`os doctor` 对非法 `OS_TENANCY_POSTURE` 退出码 0 并报告「环境功能正常」—— 抛错被 config 分析的宽 catch 吞成一句「Could not load config」

[baozhoutao]

发现于 #5359（serve 的 posture 闸门，PR #5381）实施过程中的顺带核验；本单只记录，不在该 PR 里改（那单的文件面被限定为 packages/cli/src/commands/serve.ts）。

与 #5359 是同一形状、不同命令，但不是它的子集：#5359 的完成范围只覆盖 serve.ts，本单的修复点在 doctor.ts，两者可独立进行。

现象

一个 OS_TENANCY_POSTURE 拼错、根本无法启动的环境，os doctor 报告它「functional」并 exit 0：

$ OS_TENANCY_POSTURE=bogus os doctor
  …
  ⚠ Could not load config for analysis (config checks skipped)

⚠️  Environment is functional but has some warnings.
   Run with --verbose to see fix suggestions.

EXIT=0

全程没有任何一个字提到 OS_TENANCY_POSTURE。而同一个环境下 os serve 是会拒绝启动的（退出码 1）。

成因（origin/main @ 2f6516e）

packages/cli/src/commands/doctor.ts:688：

        if (postureGatesGlobalUniques(resolveTenancyPosture())) {

这行位于 config 分析那个很宽的 try 内，其 catch 在 doctor.ts:740-743：

      } catch {
        printWarning('Could not load config for analysis (config checks skipped)');
        hasWarnings = true;
      }

resolveTenancyPosture()（packages/types/src/env.ts:145）对无法识别的值抛错，这个抛错被上面这个 catch 接住，转述成「配置载不进来」——归因错了（配置本身没问题），并且只记为 warning，所以最终退出码是 0。

doctor.ts:294（findUnscopedGlobalUniques() 内的 resolveTenancyPosture()）在同一个 try 的覆盖下，同理。

为什么值得修

这是「declared ≠ enforced」落在诊断面上，而且落在最糟的位置：os doctor 正是运维在 serve 起不来之后会去跑的那个命令。它此刻回答「环境功能正常」，等于把排查引向别处。#4801 / cloud#1020 已经为「诊断面与运行时不一致」付过一次账，这次是诊断面与另一个 CLI 命令不一致。

另外 exit 0 意味着任何把 os doctor 放进 CI/健康检查的地方，都不会因为这个配置错误变红。

建议方向（未实现，供 triage）

两条都不在本单决定：

1. 与 PR fix(cli): 非法 OS_TENANCY_POSTURE 在 serve 最开头被显式拒绝，不再伪装成 AuthPlugin 加载失败 (#5359) #5381 给 serve 加的闸门同构 —— 在 doctor 早期、宽 catch 之外解析一次 posture，非法值直接以带处方的文案报 error 并让 hasErrors = true（doctor 的语义是「报告」而非「拒绝」，所以大概率不该 process.exit(1)，而是走它自己的 error 汇总）。
2. 更窄的做法：只把 resolveTenancyPosture() 从那个 try 里提出来。

倾向 1：doctor 的价值就在于把 env 层面的问题指名道姓说出来，而不是让它以「config 载不进来」的形态糊过去。

现状证据

packages/cli 下没有测试钉 doctor 在非法 posture 下的行为（#5359 之前 packages/cli 对该变量零测试；PR #5381 新增的 serve-tenancy-posture-gate.test.ts 只覆盖 serve）。

[baozhoutao]

分诊(cli 车道 PM,session_01VkPSGsX9o17MsGv3Lbxu2w,2026-08-05):入队 pm:queue。具名位置(doctor.ts:688 / 宽 catch :740-743、:294 同罩)+ 真机复现(exit 0 + 「Environment is functional」)+ 与 #5359 同形不同命令、修复独立。方向倾向 issue 建议 1:doctor 的语义是「报告」而非「拒绝」,在宽 catch 之外解析一次,非法值指名道姓报 error 并计入 hasErrors(不 process.exit),与 PR #5381 的闸门同构但走 doctor 自己的错误汇总。派发时把 PR #5381 作为范本写进派发词。维护者可否决。

---

Generated by Claude Code

[baozhoutao]

🔒 认领:PM 循环第 2 轮(cli 车道)
会话:session_01VkPSGsX9o17MsGv3Lbxu2w
分支:claude/issue-5382-doctor-posture-report
Worktree:objectstack-issue-5382
域:domain:cli
文件面:packages/cli/src/commands/doctor.ts + 测试 + changeset。⛔ 不动 packages/types/src/env.ts、不动 serve.ts。与同批 #5341(format.ts)、#5242(runtime)不相交。

执行口径(PM 已在上一条分诊评论裁定,按方向 1 实施):在宽 catch 之外解析一次 posture;非法值指名道姓报 error(带修法清单,复用 TENANCY_POSTURES 生成的形态)并计入 hasErrors 使退出码非零 —— doctor 的语义是「报告」,⛔ 不 process.exit(1)。doctor.ts:294 同罩的那处一并复用解析结果。范本:PR #5381(serve 的 verdict-not-throw 闸门,claude/issue-5359-serve-posture-early-exit 分支,可能已随队列合入 main —— 以 origin/main 现状为准引用)。补钉行为的测试(现状零测试)。

注意 #5381 的实测教训:in-process 装载命令的用例在满载分片会超 5s 默认超时 —— 若你的测试进程内跑 doctor,给它显式 }, 60_000)。

---

Generated by Claude Code

[baozhoutao]

✅ 验收通过 —— PR #5390,转 ready 挂合并队列(队列等全绿收单)

对实况复核(cli 车道 PM,session_01VkPSGsX9o17MsGv3Lbxu2w):

• 前提核验超出 issue:真机复现证实「Could not load config」是字面假话(config 已载入、✓ Platform spec 已跑过),且发现 issue 漏掉的另一半 —— 无 config 环境下 posture 根本不被读、零提示 exit 0。两半都被修复覆盖。
• 裁定方向 1 逐条兑现:resolveTenancyPostureOrFinding() 在 run() 顶部、所有 try 之外,verdict 返回不 throw;error 计入 hasErrors 走 doctor 自己的汇总退出,零 process.exit;修法清单由 TENANCY_POSTURES 生成;cause 引用解析器原话;两处读取复用同一值,全文件仅剩一处解析调用。合法 posture 输出逐字不变。
• 测试:11 条新用例(含「status 必须是 error 而非 warning」这颗直击缺陷机制的钉)+ 差分对照 e2e(自设两道防假绿:临时 cwd 带 node_modules、对照组明示只是对照不是证据)+ 方向预声明的反向验证;§10 合并树复跑 73 文件 / 671 用例;真机前后对照(isolatd → 指名 FATAL 行 + exit 1;isolated → 字节级不变 + exit 0)。
• 不复用 serve.ts helper 的论证成立,open question 就地裁定:取 A —— 会过期的唯一元素(posture 词表)两边都从 TENANCY_POSTURES 生成并各有测试钉;必须相异的文案不该共享;C 双轴皆错(拖入 2800 行启动依赖图 + 强迫 doctor 谎称查过 .env/拒绝过启动)。第三个命令需要同款 wrapper 时再做 B(共享 verdict 形状 + hint 表),届时一并动 serve.ts。
• 顺带核验的两处「看过、判为不动」(migrate/plan.ts 的 exit-1 缺处方、fix 文本打印两次)记录在案,处置正确;os doctor 不加载 .env*,读到的环境与 serve/dev/start 实际运行的不是同一份 —— 写在 .env 里的配置错误 doctor 一律看不见 #5387 已由 PM 分诊(见该单)。

CI 完成项全绿,余项由 auto-merge 等待。跟到 MERGED。

---

Generated by Claude Code