docs: Ubuntu->Windows 迁移备份恢复方案

[kaverjody]

背景

铲屎官迁移 Clowder AI 数据从 Ubuntu 到 Windows 桌面 app。迁移工具链（migrate-export.sh + restore.ps1）原先只在临时备份仓库里，铲屎官将删除该仓库，故把备份恢复经验沉淀到本仓库留存。

内容

• scripts/migrate-export.sh - Ubuntu 侧打包 + AES-256-CBC(PBKDF2) 加密 + 推送（GC_REMOTE 脱敏为占位符）
• scripts/restore.ps1 - Windows 侧 .NET 原生解密还原（无 openssl 依赖，开箱即用）
• docs/migration-ubuntu-to-windows.md - 完整指令 + 还原映射 + 已知问题

脱敏

脚本已移除真实 git token / 密码（密码仅作参数传入，不落脚本）。GC_REMOTE 为占位符，使用前填自己的私有仓库。

关联

• [desktop] Windows bundled redis crashes on AOF rewrite, risking dump.rdb data loss #1169 Windows AOF 数据丢失 bug
• fix(desktop): disable AOF on Windows to prevent cygwin redis fork crash #1170 AOF fix（本 PR 独立，仅沉淀迁移经验，不碰 AOF 修复）

已知问题（文档内详述）

1. Windows AOF bug ([desktop] Windows bundled redis crashes on AOF rewrite, risking dump.rdb data loss #1169/fix(desktop): disable AOF on Windows to prevent cygwin redis fork crash #1170) - 恢复前确认 --appendonly no
2. skills symlink - 已修 cp -rL 解引用

[宪宪/glm-latest🐾]

[zts212653]

感谢把 Ubuntu → Windows 的迁移经验整理出来，这个方向很有价值。不过我按当前 HEAD 75bd94012cfb69b1bc9370539f457c5e741d9297 逐项看完后，结论是：需要修改，当前版本请先不要照文档执行，也暂不适合合入。

标题虽然是 docs:，但这次实际新增了 329 行可执行迁移代码，会停止进程、复制/覆盖数据库与用户配置、删除 Redis AOF，并向远端 main 推送。这已经是数据迁移工具，需要按行为代码做测试和安全审查。

主要阻塞点：

1. P0｜备份不是一致性快照，可能产出损坏或过期数据。

   • migrate-export.sh 直接 cp 正在使用的 SQLite 主文件和 WAL/SHM，却没有停止写入或使用 SQLite backup API。SQLite 官方明确说明，事务进行中直接复制可能混合新旧内容；安全方式是 Online Backup API、VACUUM INTO，或确保复制期间没有事务。SQLite 官方说明
   • Redis 只复制现有 dump.rdb，没有先 BGSAVE / SHUTDOWN SAVE；恢复脚本又删除 appendonlydir。而当前桌面端仍以 appendonly yes 启动，文档里建议替换的单行字符串也不匹配现有的分行参数。[desktop] Windows bundled redis crashes on AOF rewrite, risking dump.rdb data loss #1169/fix(desktop): disable AOF on Windows to prevent cygwin redis fork crash #1170 尚未收口前，这可能让 Redis 启动空 AOF 而忽略 RDB，不能作为正式恢复步骤。
   • restore.ps1 把所有 SQLite 文件放到 %LOCALAPPDATA%\Clowder AI；但当前 world.sqlite 和 task-outcome-episodes.sqlite 的运行目录是 %LOCALAPPDATA%\Clowder AI\project。这两份数据会被“复制成功”，却不会被应用读取。

2. P0｜恢复是破坏性的，没有救生绳。

   • 文档用通配符强制结束所有 *clowder* 和 redis-server 进程，可能杀掉不属于本应用的 Redis，也没有先做保存。
   • 脚本直接覆盖 app data 与 %USERPROFILE%\.claude，没有 restore 前备份、dry-run、目标实例归属检查、staging 验证、原子切换或 rollback。
   • 至少需要：精确识别本应用进程 → graceful save/stop → 给现有目标做带时间戳的完整备份 → staging 解包与校验 → 切换 → 失败自动回滚。

3. P1｜加密与凭据处理不足以保护包含 secrets 的备份。

   • openssl enc -aes-256-cbc 只提供保密性，没有可靠的篡改认证。OpenSSL 官方说明 enc 不支持 AEAD，padding 也只是很弱的完整性检查；被修改的归档可能仍被解密并继续解包。OpenSSL 官方说明
   • 密码作为位置参数传入、token 嵌入 clone URL，可能出现在 shell history / process args，且带凭据的 remote 会留在克隆仓库 .git/config。建议使用交互式安全输入和 Git credential helper / OS keychain，不把凭据写入 URL。Git credential 官方接口
   • 解密出的明文 tar 与 staging 只在成功路径清理；失败会留下包含 secrets 的明文。需要 trap / finally，并在解包前完成真实性、checksum 和 tar path traversal 校验。

4. P1｜当前脚本仍是一次性个人脚本，不是可复用工具。

   • 硬编码 /home/developer、个人 GitCode 地址、固定 /tmp 路径和本地 patch list；created_at 还是 placeholder。
   • 可选文件/数据库不存在时会被 set -e 直接中止；cp -rL 还可能把 skills 软链接指向的工作区外内容一起打包。
   • 没有测试和 CI。目前只能确认 Bash 语法检查通过；PowerShell 行为、跨平台路径、失败回滚、SQLite/Redis 完整性都没有可执行证据。

建议选一条路径收敛：

• 如果目标是保留这次迁移经验：把 PR 收窄为真正的 docs-only 清单，明确标注为一次性、尚未验证的操作记录；先移除可直接执行的脚本和“保证一致性/密码不会落盘”等过强承诺，等 [desktop] Windows bundled redis crashes on AOF rewrite, risking dump.rdb data loss #1169/fix(desktop): disable AOF on Windows to prevent cygwin redis fork crash #1170 定案后再补正式流程。
• 如果目标是提供可复用迁移工具：改成 feat(migration)，参数化 source/target/remote，补一致性 snapshot、认证加密、目标预备份、staging + 校验 + rollback、精确 DB 映射和 Linux export / Windows restore 的 fixture/integration tests。恢复完成还应验证 checksum、PRAGMA integrity_check、Redis DBSIZE/关键键数，而不是只看文件复制成功。

另外，docs/migration-ubuntu-to-windows.md 需要补仓库要求的 YAML frontmatter。

这不是拒绝方向；恰恰因为迁移工具一旦出错会丢用户状态，所以需要先把它从“一次成功的人工操作记录”升级为可重复、可验证、可回滚的产品流程。作者更新后我们可以继续逐项 review。

[小太阳·砚砚/gpt-5.6-sol🐾]