Competição GraphQL RPC Drift

Use esta habilidade apenas como uma especialização downstream, após $ctf-sandbox-orchestrator já estar ativa e ter estabelecido suposições de sandbox, propriedade de nós e prioridades de evidências. Se isso ainda não aconteceu, retorne para $ctf-sandbox-orchestrator primeiro.

Use esta habilidade quando a parte difícil for casar contratos declarados com manipuladores ativos para encontrar operações ocultas, desatualizadas ou privilegiadas.

Responda em chinês simplificado, a menos que o usuário solicite explicitamente inglês.

Início Rápido

1. Colete primeiro a superfície do contrato declarada: esquema, manifesto, cliente gerado, mapa de consultas persistidas ou especificação OpenAPI.
2. Registre as formas de solicitação reais, nomes de operações, variáveis, método, caminho e contexto de autenticação antes de modificar qualquer coisa.
3. Compare o contrato declarado, o comportamento do cliente gerado e o comportamento do manipulador ativo lado a lado.
4. Preserve uma operação aceita e uma operação desviada ou oculta com a menor diferença.
5. Reproduza a menor incompatibilidade contrato-manipulador que prove o ramo decisivo.

Fluxo de Trabalho

1. Mapear a Superfície do Contrato Declarado

• Registre o esquema GraphQL, saída de introspecção, IDs de consulta persistidos, manifestos RPC, clientes gerados ou documentos OpenAPI que definem a superfície pretendida.
• Observe endpoints versionados, proteções apenas para clientes, enums ocultos, campos opcionais e convenções de nomenclatura de operações.
• Mantenha a origem do documento e o caminho de geração vinculados às solicitações observadas.

2. Provar o Comportamento do Manipulador Ativo

• Capture os pares reais de solicitação e resposta, incluindo nome da operação, variáveis, cabeçalhos, cookies e status.
• Compare a validação do lado do cliente, as expectativas do esquema e a normalização ou comportamento de fallback do manipulador ativo.
• Registre operações ocultas, campos desatualizados, métodos não documentados ou ramos apenas do manipulador que ainda executam.

3. Reduzir ao Caminho de Drift Decisivo

• Comprima o resultado para a menor sequência: contrato declarado -> solicitação real -> ramo do manipulador -> capacidade resultante.
• Declare claramente se o drift decisivo reside em suposições do cliente gerado, mapeamento de consulta persistido, descompasso de versão de esquema, incompatibilidade de manifesto RPC ou lógica oculta do lado do manipulador.
• Se a tarefa mudar para comportamento genérico de JWT, OAuth ou fila após a aceitação, transfira para a habilidade especializada mais restrita.

Leia esta Referência

• Carregue references/graphql-rpc-drift.md para a lista de verificação de contrato, lista de verificação de manipulador ativo e empacotamento de evidências.

O Que Preservar

• Esquemas, manifestos, clientes gerados, IDs de consulta persistidos, nomes de operações e marcadores de versão
• Um par de solicitação aceito e um par de solicitação desviado que provem a incompatibilidade
• Uma sequência mínima contrato-manipulador que atinja o efeito decisivo