修复(08-23-isolated-backup-restore-drill): 闭环Attempt 5安装器路径缺陷

.trellis/tasks/08-23-isolated-backup-restore-drill/implement.md

@@ -122,7 +122,7 @@
 - [x] “socket 可用但 TCP 不可用仍失败”、首次失败后恢复、streak 重置、名称错配立即失败、永久查询失败有界退出五类回归通过；真实 `restore-db.sh` Docker stdin/host-file、源/副本身份、dynamic migration、附件安全、敏感输出和清理合同继续通过。
 - [x] 已审计合同全部覆盖机制，未发现第二套自写等价恢复逻辑；完整 runner 的 migration/12 类表/附件编排仍只能由真实隔离恢复验证，已作为明确限制保留，不能由本地组件合同替代。
 - [x] `scripts/restore-db.sh` 相对生产构建字节未改；runner、成对备份/恢复、自动异机备份 74 项、task、Trellis、process、docs、敏感扫描和空白门禁均通过。
-- [ ] 本地修复阶段不连接 ARM、不生成或安装 Attempt 5 现场入口。提交后重新选择最新批次并执行只读探针、重新渲染候选和核对 SHA-256；实际恢复须再次单独批准。
+- [x] 本地修复阶段未连接 ARM、未生成或安装 Attempt 5 现场入口；提交后已重新选择最新批次、执行只读探针、重新渲染候选并核对 SHA-256，实际恢复另行取得了明确批准。
 
 ### Attempt 5 前只读身份探针结果
 
@@ -138,7 +138,7 @@
 - [x] runner 增加固定 allowlist 阶段字段，成功时八段均为非负整数且精确加总为 `data_restore_rto_seconds`；失败时已完成段和当前失败段保留数字，后续段为 `NOT_RUN`。
 - [x] 合同注入各阶段成功/失败，验证最长 TCP 轮询只进入目标确认阶段、后续 `NOT_RUN`、总数精确加总、输出不含路径/SQL/凭据；原有清理与恢复合同继续通过。
 - [x] 用户批准的当前边界仅为本地修改 runner、更新可复跑合同并执行回归；不连接 ARM、不重新渲染 Attempt 5 现场候选、不执行实际恢复。
-- [ ] 本轮八阶段计时与完整合同通过后，下一份满足 24 小时门禁的新鲜批次直接进入 Attempt 5 的候选渲染、SHA-256 核对、只读探针和实际恢复审批流程。此后发现的改进项，除非会导致 Attempt 5 失败或产生错误结论，否则只登记为后续任务，不再作为 Attempt 5 前置增强插队。
+- [x] 八阶段计时与完整合同通过后，满足 24 小时门禁的批次已直接进入 Attempt 5 候选渲染、SHA-256 核对、只读探针和实际恢复审批流程；期间未插入新的非阻断增强。
 - [x] 八阶段状态必须在失败路径清理前输出；阶段边界沿用 `dump_list`、`target_confirmation`、`restore_apply` 等既有诊断词汇，不建立第二套同义命名。
 
 ### Attempt 5 最终候选与执行前探针
@@ -148,7 +148,19 @@
 - [x] 最终只读探针重新选择执行时最新正式批次：来源构建与当前生产相同，年龄 `68889` 秒且不超过 24 小时，run id/目录配对、DB/附件完整性和 source digest 均通过。
 - [x] 本地复核来源/当前 migration 为 `65/65`、差异 `0`，候选 migration 指纹与来源集合一致，应用代码漂移和 `scripts/restore-db.sh` 字节漂移均为 `0`。
 - [x] 探针 root 入口、sudoers 和普通用户暂存残留均为 `0`；本地 runner 合同容器残留为 `0`。本阶段未复制、解包或恢复正式归档，未连接腾讯云生产。
-- [ ] Attempt 5 实际隔离恢复须在新鲜度门禁仍成立时另行批准；runner 会在执行开始重新选择最新正式批次并重算 24 小时门禁，超龄或身份变化均失败关闭。执行证据还必须记录实际选择的批次脱敏身份及其与本次探针批次是否一致，不能默认二者相同。
+- [x] Attempt 5 实际隔离恢复已在新鲜度门禁成立时另行批准并执行；紧邻执行前探针通过，但 runner 在选择实际恢复批次之前即因依赖库入口合同失败，因此本轮不存在“实际选择批次”，不能宣称恢复输入与探针批次相同。
+
+### Attempt 5 实际结果与安装器差异调查
+
+- [x] 安装前候选 SHA-256 与已批准值精确一致；紧邻执行前只读探针通过，批次年龄 `70444` 秒，来源构建与当前生产相同，run id 配对、产物完整性和 source digest 门禁通过。
+- [x] runner 在 `entry_contract` 阶段以 `restore_library_missing` 失败关闭；批次选择、正式归档复制、PostgreSQL 容器启动、数据库/附件恢复和全部八阶段 RTO 均未运行，原始结果保留为 `NO_GO`。
+- [x] 失败分类为 `installer_path_mismatch`：已批准 runner 从固定 `libexec` 位置加载三项依赖，本轮一次性安装器却把同一组依赖安装到相似但不同的 `lib` 位置。该结论指向演练安装器，不证明 runner 或备份不可用。
+- [x] 对错误安装目录做精确只读检查：三项依赖均为 root 拥有的普通文件、SHA-256 前缀与本地包一致、额外条目数 `0`；随后只清理该已确认目录并得到 `runner_lib_cleanup=PASS`。
+- [x] 诊断脚本在 sudo 上下文中用 `$HOME` 推断普通用户暂存位置，导致自删除误指向 root 家目录；随后由普通用户外层对已知暂存脚本执行精确清理。后续安装器不得在 sudo 脚本中用 `$HOME` 推断调用用户路径。
+- [x] Attempt 5 后腾讯云生产 `/ready` 为 `PASS`，12 位构建前缀仍为 `7b86ffb3c9ef`；失败发生在归档选择之前，未触碰腾讯云生产或正式归档内容。
+- [x] 最终只读复核确认 runner/probe 入口与 sudoers、正确 `libexec`、错误 `lib`、普通用户暂存、Docker 容器和 runtime 六类残留全部为 `0`，dead-man/健康 timer 为 `active/active`；复核脚本自身清理 `PASS`。
+- [x] ignored/workspace 安装器已把三项依赖安装目标对齐 runner 已批准的 `libexec` 合同；诊断脚本改用经 basename、普通文件和非链接校验的调用路径自清理，不再以 sudo `$HOME` 推断普通用户路径。runner 与候选字节未改、无需重新渲染。
+- [ ] 再次实际恢复前重新选择满足 24 小时门禁的新鲜批次，执行只读身份探针并单独申请实际恢复批准；不得复用 Attempt 5 的批次新鲜度或既有实际恢复授权。
 
 ## 验证命令类别