feat(sense): add reconciliation safety controls [T-012]

docs/tasks/T-012.md

@@ -3,7 +3,7 @@ id: T-012
 title: 补齐 Sense 对账安全闸、孤儿受控处置与多实例可观测性
 phase: 2
 deps: [T-011]
-status: DOING
+status: DONE
 created: 2026-08-07
 issue: 43
 context_ref: 25357723a09218bae58626a9934309abcda34899
@@ -88,6 +88,16 @@ T-003 已实现幂等调和与持久化退避，T-011 已完成 Control API、
 
 ## 执行记录
 
+### 2026-08-07 完成多实例对账安全与孤儿受控处置
+
+- PostgreSQL schema 提升到 v5：`010`/`011` 为 due row 增加 owner/token/expiry fencing，新增不含 source URI 的 MediaMTX Path 历史归属、孤儿扫描租约、15 分钟报告、发现项和处置审计，并补齐 `sense_app` 最小权限与 PUBLIC 拒绝；启动会拒绝旧 schema 或越权运行角色。
+- 调和器改为 `FOR UPDATE SKIP LOCKED` 批量领取、逐项续租、短于租期的外部调用 deadline 和带 token 的完成/失败；数据库时钟判定租约，旧 worker 不能覆盖接管者结果。成功启用在同一完成事务中刷新 Path 归属；SQLite 明确保留单进程开发语义。
+- MediaMTX 薄客户端新增只返回排序去重 Path 名称的有界分页枚举，包含重复页保护且不读取/返回 source；独立孤儿扫描把差异分为 `owned_stale` 与永不删除的 `unowned`。周期任务默认只报告，人工 `sense-orphan apply` 必须使用 15 分钟内 scan ID、合法 actor 和精确确认文本，并在删除前重取库存/归属。
+- 处置安全闸固定为 1～128 项且不超过当前 Path 的 10%，使用整数交叉相乘，无 force/bypass；目标只能从原快照收窄。逐项结果可审计和幂等重试，数据库外键/约束也拒绝为 `unowned` 写入删除记录。
+- 新增无第三方运行时依赖的 `/metrics`：只使用构建/实例及固定结果枚举标签，覆盖调和 run/item/lease-lost/时长/未收敛和孤儿扫描/阻断/删除汇总；tenant、Site、device、Path、URI 与错误正文均不进入标签。
+- `./scripts/test_postgres.ps1 -PgRoot D:\pgsql17` 通过：隔离 PostgreSQL 17.10 临时集群连续重放 `001`～`011`，SQL 权限/约束断言及 29 个 `TestPostgres*` 全绿，覆盖两个 store 并发唯一领取、租约接管/旧 token fencing、归属记录、扫描租约、未知 Path 数据库拒删和处置幂等；随机端口实例已停止并清理，现有 `D:\pgsql17\data`/5432 未被读取、停止或修改。
+- `./init.ps1` 通过；Python 治理/契约测试共 52 项通过，T-012 定向静态契约 12 项通过；全部 Go 测试、生成漂移、`go vet`、`go build` 与 `git diff --check` 通过；`go test -race ./internal/metrics ./internal/mtx ./internal/orphan ./internal/reconcile ./internal/store` 通过。不需要摄像头/GPU，本结果不解除 T-007，也不形成 16/128 路容量承诺。
+
 ### 2026-08-07 领取任务
 
 - dispatcher `ila` 将 Issue #43 分配给 `codex`；`context_ref` 为 `25357723a09218bae58626a9934309abcda34899`，claim 为 `claims/T-012`，工作分支为 `agent/codex/T-012`。