rule-exec

rule-exec — 规则层（执行侧）说明书

English: rule-authoring_EN.md (rule format) and toolchain_EN.md (tools and flow). 本文件的中文内容与这两份英文文档一一对应。

⚠️ 探索态 — 规则格式尚未升格为随注册表发布的正式规范；本文档与 rule.schema.json、ruleexec.Rule 三者必须一致（有测试守着）。

这一层回答一个问题：谁在什么条件下、允许网关执行哪些操作。 判定层（这份能力允许不允许）在 semantics/（CLC-v1），执行层只做两件事： 按规则检查运行上下文，然后按 op | if | seq 执行——执行层不做授权判断。

规则的来源            可验证的产物                加载与执行
────────────         ─────────────              ─────────────
rule.json      →  PKCS#7 签名 + default.json  →  验签 → 结构校验 →
（人或 AI 写）      + manifest.json               发布边界（签名者 AIC grant）→
                                                 条件求值 → op|if|seq → SQL

1. 规则文件格式

机器可读契约：rule.schema.json（draft-07， additionalProperties: false）。字段与 ruleexec.Rule 逐字对应， 两者漂移会被 TestRuleSchemaMatchesStruct 拦下。

条件算子仅限：and / or / not / is-null / eq / neq / lt / lte / gt / gte / in / between。 流程构造仅限：op / if / seq（没有循环、没有重试）。

2. 失败即拒绝（fail-closed）

3. 三步用法

# ① 规则文件：rules/<vendor>/<product>-v<major>/vX.Y.json
#    （见 /tmp/rules-src 示例；或用 rule.schema.json 让 AI 生成）

# ② 发布：结构校验 + PKCS#7 签名 + default.json（字节副本）+ manifest
go run ./demo/rule-exec -publish <rules-dir> -out <out-dir>
#    → <out-dir>/<scheme>/vX.Y.json(.p7s)、default.json(.p7s)、manifest（JSON 打到 stdout）

# ③ 加载并执行（进程内）
#    ruleexec.LoadRulePlugin(rulePath, trustRoots, handler)
#    ruleexec.RegisterRulePluginsFromDir(outDir, trustRoots, handler)

# 端到端演示（规则 → 签名 → 验签 → 条件 → 流程）
go run ./demo/rule-exec

4. 相关文档

• ../../docs/condition-semantics.md —— 条件语义（null / 类型 / 大小写 / SQL 映射）与共享向量
• ../../docs/capability-language-layers.md —— 判定层与执行层的分工、规则发布边界
• ../../docs/database-scheme-design.md §8 —— 规则闭环与信任分层