klutch：交付验收与故障处置
以逐节点证据验证传输和执行结果，区分部分成功阶段，明确临时服务、安全默认值与恢复限制。
运行状态与交接目标
审阅日期：2026-09-08。本文针对 v1.0.0-dev 源码标记组织受控测试和交付检查，没有执行真实节点操作。klutch 当前按实验项目收录，不能在交接记录中写成已完成生产认证、完整 Kubernetes 生命周期或默认安全的批量执行平台。
已有维护能力与交接准备
现有源码可输出分组节点、逐节点 SSH 结果、SCP 成败、系统检查结果，并通过模块脚本读取服务状态。containerd 与 os-repo 存在实际脚本，但状态结果仍需与本环境证据对照；不存在统一持久任务账本或完整审计平台的已验证保证。
交接前保存源码或制品标识、实际动作脚本清单、授权节点组、远端身份、包清单、独立校验值、文件落点和临时服务范围。秘密只保存在原受控系统，交接材料不要包含密钥、完整连接信息或未脱敏输出。记录每批成功、失败、未开始与结果不明的节点，不能只保留一个总体退出码。
交付验收顺序
- 核对目标组解析和节点数量，禁止通过扩大到 all 规避空组问题。
- 确认远端身份、最小权限和主机密钥校验策略，审阅实际命令及脚本。
- 验证非敏感样例传输的内容、层级、权限与完整性，逐节点保存结果。
- 在另行授权的镜像试验中，核对实际运行时、namespace 与镜像标识；业务可用性另行验收。
- 完成后检查临时 HTTP 进程、监听端口、测试文件和日志的归属与清理状态。
这些是待实施标准，不是本次已经完成的测试。没有目标侧证据的“发送成功”“加载完成”提示不能代替全链路验收。
常见故障与分层处置
- 节点组为空或数量异常：只读核对分组名、清单格式、继承关系与授权范围；不要改为全节点执行。
- SSH 失败或任务不结束：只读核对账号、端口、连通性、命令本身与建连超时语义；不要关闭更多安全限制后直接重跑。
- 反向拉取失败：只读核对临时服务是否启动、节点到控制机路径、curl/wget 和目录权限；不要将服务长期暴露到公共网络。
- 包不存在或架构不符：只读核对包名、OS/架构、受控来源及校验清单；不要随机下载替代包或跳过验证。
- 镜像导入后未在预期位置：只读核对实际选择了 ctr 还是 Docker、namespace 与镜像格式；不要清空整个运行时镜像缓存。
- 命令报告缺少实现：只读核对主路由、模块元数据与对应脚本是否齐全；不要把 README 示例当作实现补丁。
证据来源包括 core/exec.go:103、bin/klutch-dist:69、bin/klutch-loadimage:35 和 bin/klutch-install:92。定位中保持原始错误类别和时间，不公开节点连接细节。
部分成功与恢复边界
对批量任务逐节点判断修改阶段。只完成文件复制的节点与已经执行安装脚本的节点应采用不同恢复计划；先确认包、服务、配置和数据归属，再由负责人决定清理或回退。不要删除共享目录，也不要无差别卸载运行时。主入口当前未提供可用 uninstall 路由，内部脚本存在并不等于具有受支持的自动回退流程。
容器运行时或系统参数变更可能影响已有工作负载，需保留原配置、版本和服务状态并安排单独维护窗口。README 明确不负责 kubeadm init/join，不得把控制面重建、节点加入或数据恢复加入本工具常规回退步骤。
安全风险与停止推广条件
--dry-run 不能承诺无副作用，安装路径存在强制上传/执行；SSH 默认关闭主机密钥验证；临时 HTTP 服务未实现认证并监听所有接口。系统准备还可能调整防火墙、SELinux、时间和内核参数。只有确认目标、安全策略、网络限制和恢复能力后，才能在受控环境逐项测试，不提供生产一键初始化示例。
发现未授权目标、敏感文件被服务目录暴露、部分执行状态不明、校验不一致或业务受到影响时，停止后续分批。先保全证据并通报负责人，按既有安全流程关闭临时暴露；不能把重新执行或 dry-run 当成消除副作用的方法。
交接结论与关联阅读
最终记录应区分“源码存在”“测试通过”“未验证”“不支持”四种结论。bin/VERSION:1 的开发版标记不是正式 release；未核实公开来源前不填写下载链接或生产推荐版本。新版本需要重新审阅能力差异、安全默认值及任务恢复行为。