test(install): isolate Claude smoke host roots - #5290

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

评审 head：a97c75a705dbe53209f696354d6933b9eb5d23f7。结论：APPROVE，未发现本 PR 的阻断项。按 LoopX PR review capability 完成 smoke 价值及失败归因检查；未执行合并。

动机

仅设置临时 HOME 并不足以隔离安装 smoke：继承的 CODEX_HOME 等覆盖项仍能让真实 installer 写到测试目录以外。这个 PR 修复测试本身的写入边界，防止开发者验证产品时修改自己的已安装 skills，而不是把绿色 smoke 当作真实隔离证据。

改动思路

保留实际 bash installer 和 Claude installer 子进程，改为构造明确的 fixture 环境。父进程故意注入 fixture 外的各类根目录，子进程只收到允许的环境项；检查预期 skills 确实出现在 fixture 内，同时外部目录仅保留原有哨兵。project/user scope、dry-run、hooks opt-in 和权限保留测试继续走真实脚本。没有修改生产安装器，也没有给宿主安装更多权限。

具体改动

仅修改既有 smoke，增加 44 行、删除 15 行，没有新增一次性示例或生产模块。

关键代码讲解

1. _isolated_host_env（examples/claude-install-optin-smoke.py:40）明确提供测试 HOME、PATH、shell 和三个宿主配置根，不再复制整个父进程环境。其职责是测试 fixture 隔离，不改变生产 installer 解释用户配置的方式。
2. main（同文件:51）的默认安装分支为父进程设置外部根目录反例，再调用真实 install-local.sh；新增 Codex skill 的内部存在检查以及外部目录/哨兵不变检查。因此“测试没写任何东西”不能伪装成隔离成功。
3. _install_py（同文件:36，未修改）的真实调用在 project/user 分支使用相同隔离环境。现有无 scope 拒绝、dry-run 无写入、project 不写全局目录、默认不写 hooks、harden 保留既有 deny 和用户 hook 的断言继续有效。显式 project harden 分支只写其临时 project；未扩大到全局宿主。

对主干的风险

实际 base/head 反例使用同一受控外部 Codex 根和相同未修改 smoke：基线 smoke 返回成功，却写入外部根的 14 个 skill 文件；head 同样返回成功，但外部根只剩原有哨兵，内容不变。这证明新增断言不是只重复检查成功码。基线为 ee1ea64b0aef45fdda81d2d7e48da356a1750eab，配对 fixture 指纹为 e11a812d36180feec10acb147092ce54d4422a0f1a7e8eb0cedfcf258773c48f。全部外部路径都属于临时合成 fixture，未触碰真实用户根。

修改后的原始 smoke 独立重跑通过，配对 head 的完整 smoke 也通过；相邻 no-system-mutation smoke、Ruff 和编译检查通过。首次原始运行曾在 candidate doctor 阶段失败，未获得细分原因；保留这一历史失败，不把它编造成外部故障。后续相同 head、未修改 smoke 的独立重跑及配对执行通过，独立 deep installation doctor 的 6 项 required 检查也通过；因此当前验收证据不是首次失败的成功码改写。

选中 premerge 的 4 项直接检查通过，6 项选中检查中 5 项通过。唯一剩余失败为未修改的 install-local-smoke 超时：同一命令、同一 120 秒预算在不可变 base 和本 head 均为 timed_out，returncode 为空且完整输出均为空。脚本及生产 install-local/Claude installer 的 base/head SHA-256 一致；该脚本不调用本 PR 修改的 smoke。结合上面的独立隔离反例通过，将此失败归为 pre_existing_unrelated，保留其安装验证预算排查，不增加 timeout 或宣称全部 canary 绿色。当前策略不查询或等待远端 CI。

已扫描 install-local、Claude no-system-mutation、slash installer 的既有覆盖及同作者近期安装相关 PR：它们没有覆盖此 smoke 子进程继承宿主根的漏洞；#5151 的生产安装 guard 修复、#5307 的 deprecated skills alias 清理也不是本次 fixture 隔离修复。增加断言位于原有 smoke，具备防止验证污染开发者环境的持续价值，不是重复批量 scaffolding。

我的整体评价

long_horizon：improved，反复执行安装验证不会积累测试外 skill 写入。user_experience：improved，维护者可以安全运行原有命令，scope、opt-in 和用户权限保留的产品合同不变。机制与问题相称；向前精简检查已把重复环境构造收束为局部 helper，无需提升成公共 capability。它不修改产品界面或共享控制面语义，不能据此声称整套 installer 性能验收完成。基线/head 的 120 秒超时须另行诊断，但不应让一个已经证明无关的红检查把本 PR 变成 request changes。

English verdict: APPROVE - a97c75a. Real baseline/head execution proves the smoke no longer writes inherited host roots; focused rerun, deep doctor and adjacent boundary validation passed. The unchanged installer canary timed out identically on immutable base and head and is separately attributed, not a PR regression. No merge or remote CI polling.