从网络引导到第一次写盘 · EggyByte Technology

先明确这次启动要交付什么

网络启动是取得执行环境的方式，后续任务需要各自的授权。Infra 交付应用运行环境：控制端选择镜像，引导系统 Bootstrap 核验并准备只读根目录，再将执行权限交给应用。Yaoshi 先进入内存安装器，等待明确的整盘安装授权。

两条路径独立取得授权。Infra 的执行许可只在本次启动内交给一个应用；Yaoshi 的写入权限只针对本次明确授权的整盘。获得地址、传输镜像或列出设备，都不能替代这两类许可。完成情况还要从应用或新系统取得实际观察。

两条路径各自需要的授权与结果
路径	授权范围	结果证据
Infra	核验镜像后授予一次执行许可	应用自己的执行与就绪观察
Yaoshi	针对本次启动中的确切整盘写入	离线安装结果与新系统 SSH 身份核验

Infra 在选择镜像时核对实际网络对端、有效租约、启动网卡和静态声明。硬件报告是观察，不是授权来源；设备型号和序列信息可以帮助人理解机器，但不能替代当前网络绑定。

Yaoshi 进一步为本次启动中的整盘建立随机标识，并保留实际内核设备对象。写入前重新核对身份、容量、扇区几何、占用和子分区关系。同一个设备名称再次出现，不意味着原安装授权可以转交给它。

Infra 在准备应用根和授予执行权限之前完成镜像内容核验。一次失败如果发生在授予前，读写、挂载和子进程必须先清理完，再决定是否取得当前内容。权限一旦可能送出，本次启动就不再启动第二个应用。

Yaoshi 的根文件系统镜像（Rootfs）是边接收、边解压、边写入的。完整压缩摘要只能在最后一个字节到达后确认，首次破坏性操作可能早于完整校验。因此失败记录必须说明是否已发起可能修改磁盘的工作；一次后期校验失败无法恢复旧系统。

安装命令被接纳后，本次启动的安装机会已经分配。回执丢失不能再次提交相同安装，控制端重启也不会接管此前已派发的任务。安装代理接受后持有磁盘工作，终端界面退出与报告连接断开不等于取消。

取消等待、任务清理与远端效果结束，需要分别观察。只有实际写入、原生子进程、读写和挂载清理完成，安装失败才可以成为终态。仍在清理时，系统保留原执行方与未完成状态，不能用超时或离线标记宣称磁盘已安全。

设想安装代理已经接受任务，终端却因网络断开没有收到回复。此时可确定的是本地未取得完整结果，不能据此决定磁盘完全未改动。若后续取得的记录表明已经开始写入，就继续保留这次整盘身份与原工作；若记录仍不可用，也不补成一个确定的失败。

接下来需要解决的是两件事：原生写入与清理是否结束，以及新系统是否具备预期身份。前者决定何时可以对冲突资源作出新决策，后者回答安装产物是否可接管。它们可以分别被确认，不要求一条迟到的终端输出同时解释全部历史。

离线安装成功说明目标内容、启动配置和同步收尾完成。接管检查再使用已授权密钥，在操作者确认的当前地址上核对管理员权限、预期根文件系统唯一标识（UUID），以及区别于安装器的新启动标识。结果证明当前接管，仍保留安装报告原来的已知或未知状态。

设计中的验证可使用带独立已知数据的目标盘与旁盘，分别观察授权回复丢失、写入中断、最终报告丢失和本地启动。检查非目标盘字节、实际任务终止与新系统身份，才能覆盖完整路径；这些场景本身不是已经通过的实验结果。

执行规范要求按实际影响选择验证环境：普通文件与直接子进程可以在受控进程中观察；固件、系统服务、全局块设备和启动行为则需要具有明确终止控制的隔离虚拟机。进程退出、来宾系统完成和资源清理仍分别判断，验证环境不能替代业务本身的结果。