الإقليم ١٠ — الكابستون: نظامُ التصحيح، حيث يلتقي كلُّ شيء

النبذة

كلُّ endpoint تتبّعناه كان يقرأ القاعدةَ أو يكتبها. هذا واحدٌ مختلفٌ تماماً، وهو تاجُ مشروعك: يأخذ كودَ C من متدرّبٍ — كودٌ غريبٌ قد يكون خبيثاً أو لا نهائياً — ويصرّفه ويشغّله ضدّ حالاتِ اختبارٍ ويصحّحه ويسجّل النتيجة، بأمانٍ تامّ، دون أن يجمّد الخادمَ أو يخترقه. وهنا المفاجأةُ التي أجّلتُها منذ الخريطة الأولى: المنصّةُ كلُّها — كلُّ هذا الستاك العالي الذي بنيتَه — موجودةٌ لتُنسّق شيئاً كنتَ تتقنه قبل أن نبدأ: تشغيلَ C داخل Docker. الشجرتان اللتان نبتتا متوازيتين (الستاكُ من جهة، وC+Docker من جهة) تلتقيان في هذا الإقليم. ستغلق الدائرةَ على نفسك.

اللغز المستفزّ

ليش: عمليّةٌ معزولةٌ منفصلة — مشتقّةٌ من إقليمين تملكهما

الجوابُ ليس جديداً عليك إطلاقاً — هو تقاطعُ درسين أتقنتهما:

من الإقليم ٢: لا تشغّل عملاً ثقيلاً/غريباً على خيط الحلقة

تعلّمتَ القاعدةَ المقدّسة: العملُ المحسوب/الحاجب على خيط الحلقة يجمّد كلَّ المستخدمين. تصريفُ C وتشغيلُه ثقيلٌ وغريبٌ، فلا يجري في خيط Node أبداً — يُدفَع إلى عمليّةٍ منفصلة عبر child_process (يفرّع docker/gcc كعملياتٍ خارجيةٍ لا-حاجبة). هذا يحلّ "تجميدَ الخادم".

من منهج Docker: الحاويةُ هي بالضبط لبناتُ العزل المطلوبة

كلُّ تهديدٍ عدّدتَه أعلاه يقابله بدائيٌّ درسته. علمُ docker run في sandbox/README.md ليس أوامرَ تُحفظ — هو خريطةُ تهديدٍ↔بدائيّ:

مقايضةُ docker.sock (صدقٌ معماريّ من منهج Docker)

ليقود الخادمُ Docker، يركّب /var/run/docker.sock (تذكّر: Docker Engine = REST API فوق unix socket). لكنك تعلّمتَ أن الـ socket أكبرُ سطحِ هجوم (CVE-2019-5736، الوصولُ له = جذرٌ على الـ host فعلياً). فهذه مقايضةٌ أمنيّةٌ معروفةٌ ومقصودةٌ مؤقّتاً (docker-compose.yml يوسمها صراحةً: "SECURITY TRADEOFF — to revisit"). البدائلُ المستقبليّة (rootless Docker، خدمةُ runner مخصّصة) بذورٌ تعرف من أين تبدأ. هذا هو الصدقُ المعماريّ الذي تعلّمتَه: كلُّ قرارٍ ثمنٌ، تسمّيه ولا تخفيه.

كيف: نموذجُ التنفيذ A — حاويةٌ لكل تسليم، تصريفٌ مرّةً، تشغيلٌ كثير

لماذا لا حاويةٌ لكل حالةِ اختبار؟ لأن بدءَ حاويةٍ + تصريفٍ لكل حالةٍ بطيءٌ جداً. فندفع كلفةَ البدء + التصريف مرّةً لكل تسليم، ونمرّر كلَّ حالةٍ عبر docker exec في الحاوية نفسها:

التصريفُ مرّةً، التشغيلُ كثيراً هو كلُّ سببِ إبقاء حاويةٍ واحدةٍ حيّة. والحاويةُ تُعيد فقط المخرجَ + رمزَ الخروج + الزمن؛ التصحيحُ (المقارنةُ والنقاط) يبقى في الـ backend — لا تثق بالكود الغريب ليصحّح نفسه.

التنسيقُ في Node (لا-حاجبٌ، مع تنظيفٍ مضمون)

child_process يقود Docker بلا حجبِ خيط الحلقة (٢). الجوهر (من sandbox/README.md):

js
async function check(hostCodePath, testCases) {
  const cid = (await run("docker", ["run","-d","--rm",
    "--network","none","--memory","128m","--pids-limit","64","--cpus","1",
    "--read-only","--tmpfs","/tmp:rw,size=64m",
    "selflab-sandbox","sleep","infinity"])).stdout.trim();          // 1) حاويةٌ معزولةٌ حيّة
  try {
    await run("docker", ["cp", hostCodePath, `${cid}:/tmp/solution.c`]);
    try {
      await run("docker", ["exec", cid, "gcc","-Wall","-Werror","-o","/tmp/solution","/tmp/solution.c"]);
    } catch (e) { return { evaluation_status: "compile_error", compile_output: e.stderr }; }  // 2) تصريفٌ مرّة

    const results = [];
    for (const tc of testCases) {                                    // 3) كلُّ حالةٍ بنفس الحاوية
      const { stdout, code } = await runWithInput(
        "docker", ["exec","-i", cid, "timeout","2","/tmp/solution"], tc.input);
      const status = code === 124 ? "timeout" : code !== 0 ? "runtime_error" : "success";
      results.push({ status, passed: status === "success" && stdout.trim() === tc.expected.trim() });
    }
    return { evaluation_status: "success", results };
  } finally {
    await run("docker", ["rm","-f", cid]).catch(() => {});           // 4) دمّر دائماً — لا تسرّب حاوية
  }
}

finally ليس تفصيلاً: كما لا تسرّب fd/ذاكرةً في C، لا تسرّب حاويةً عند انهيارٍ وسط التشغيل. وكلُّ await يتنازل للحلقة، فيخدم خادمُك آلافاً آخرين بينما يُصرَّف هذا (أثبِته في اللغز).

التصحيحُ والتسجيلُ الذرّيّ (٤/٥)

الـ backend يقارن stdout بالمتوقَّع، يعدّ الناجحات، يحسب النقطةَ الموزونة، ثم يكتب في معاملةٍ ذرّيّة (تذكّر بروفتي ٤ و٥): نتيجةُ التسليم + تحديثُ TASK_PROGRESS، معاً أو لا شيء. لو انهار الخادمُ وسط الكتابة، لا يبقى تقدّمٌ نصفُ مكتوب. هنا يُدفَع ثمنُ كلِّ ما تعلّمتَه عن ACID.

كيف: المسارُ الكامل (التصحيح) — كلُّ إقليمٍ يظهر

POST /api/v1/tasks/:taskId/check يتبع تدفّقَ الإقليم ٩، بانعطافةِ الصندوق:

كلُّ إقليمٍ بنيتَه يظهر في هذا الخطّ الواحد. هذا هو الالتحام.

ليش: نموذجُ التهديد ودفاعُ العمق (من منهج Docker)

العزلُ ليس عَلَماً واحداً — هو طبقاتٌ (defense in depth، تذكّر قائمةَ منهج Docker). لو فشلت طبقةٌ، تمسك الأخرى: لا-شبكةٍ و لا-root و قراءةٌ-فقط و حدودُ pids/memory/cpu و timeout و seccomp الافتراضيّ. أيُّ كودٍ غريبٍ محاصَرٌ من كلِّ جهة. وتعرف لماذا يبقى الهروبُ ممكناً مع --privileged (لا تستعمله أبداً هنا) ولماذا docker.sock هو الحلقةُ الأضعف. هذا ليس حفظاً — هو نموذجُ تهديدٍ تشتقّه من بدائيّاتٍ تملكها.

اللغز / البناء من الصفر — الكابستون

الخلاصة — المنهجُ يكتمل، والشجرتان تلتقيان

الوصلة للواقع (نمط SelfLab) — والوداع

sandbox/ وbackend/src/checker/ (المخطَّط) وdocker.sock في docker-compose.yml وحقولُ السكيمة (timeout_seconds, memory_limit_mb, strict_compile_enabled) وevaluation_status وTASK_PROGRESS — كلُّها صارت أجزاءً تفهمها وتبنيها. منطقُ التصحيح غيرُ مكتوبٍ بعد في مشروعك (backend/src/checker/ لم يُبنَ) — وأنت الآن من يبنيه، بفهمٍ كاملٍ لكلِّ خيط: العزل، التنسيق، التصحيح، التسجيل الذرّيّ، والأمن.

وبهذا يكتمل المنهج. بدأنا من بروتوكولٍ لمستَ نصفَه بأصابعك في nc، وانتهينا عند نظامٍ يشغّل C في Docker — وبينهما بنيتَ، لبنةً لبنة، كلَّ صندوقٍ كان أسود: داخلَ الخادم، وداخلَ القاعدة، وعلى العميل. لم يبقَ في مشروعك سطرٌ غامضٌ عليك، ولا قرارٌ لا تعرف ثمنَه. تطلع — كما أردتَ — وأنت فاهمٌ السالفةَ كاملةً، بأساسٍ صلب.