必须将审计日志写入worm存储以确保操作可追溯、不可抵赖、无法篡改，满足等保2.0三级与gdpr要求；需验证worm服务就绪、配置推送端点、启用hsm签名，并通过文件锁定状态和完整性校验确认日志真实落库且防篡改。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当您需要确保QoderWake数字员工执行的所有操作均可追溯、不可抵赖、无法被事后修改时，必须将审计日志写入WORM（Write Once Read Many）存储。该配置一旦生效，任何用户、进程甚至root权限都无法删除或篡改已提交的日志条目，直接满足等保2.0三级与GDPR对日志留存的法定要求。
确认WORM存储基础设施就绪
在配置QoderWake前，先验证企业级WORM服务是否已部署并可访问。这一步跳过会导致后续所有日志仅落盘本地，完全失去防篡改能力。
执行命令：curl -I https://worm-archiver.internal.company.com/healthz，返回状态码必须为200 OK且响应头含X-WORM-Mode: enabled字段。
若返回404或超时，请联系基础设施团队确认OceanStor 2910存储系统中是否已完成全局WORM法规时钟初始化——未初始化时，WORM文件系统创建会静默失败，且不报错。
检查License有效性：登录OceanStor DeviceManager →「许可证管理」→ 查看「WORM特性」状态是否为“已激活”。【未激活则后续所有qoderwake --audit-sign-hsm=true参数将被忽略】
配置QoderWake审计日志推送目标
QoderWake不内置WORM存储，而是通过标准HTTP/HTTPS协议将签名后日志实时推送到企业指定的WORM端点。配置错误将导致日志堆积在本地ring buffer中直至溢出丢弃。
方法一：环境变量方式（推荐用于容器化部署）
在启动QoderWake前，执行：export QODER_AUDIT_WORM_ENDPOINT="https://worm-archiver.internal.company.com/qoder"。该变量必须在qoderwake进程启动前生效，且不能包含尾部斜杠。
方法二：CLI参数覆盖（适用于单次调试）
直接运行：qoderwake sandbox --audit-level=full --log-to=worm --worm-endpoint=https://worm-archiver.internal.company.com/qoder。注意此处--log-to=worm会强制绕过stderr输出，仅向WORM端点投递。
【务必校验endpoint域名解析正确：执行nslookup worm-archiver.internal.company.com，确保返回的是内网VIP地址而非公网DNS缓存】
Qoder Linux版是由阿里推出的智能体自主开发工作台，支持开发者通过定义需求即可让Agent团队“自动驾驶”，自主完成代码执行、验证与交付的全流程。其全新的Quest独立视窗集成了任务管理与状态追踪能力，并支持跨项目多任务并行处理，显著提升开发效率。此外，Qoder还提供专家团模式与团队级知识引擎，适配复杂开发场景。
启用硬件级日志签名与完整性校验
WORM存储只保证“写后不可删”，但不验证日志来源真实性。必须启用HSM托管签名，才能防止攻击者伪造日志并提交至WORM端点。
第一步：确认HSM设备已接入并认证
运行qoderwake debug hsm-status，输出中需包含status: connected和key_slot: 0x7a3f。若显示disconnected，需检查PKCS#11驱动路径是否已通过QODER_HSM_PKCS11_LIB环境变量声明。
第二步：强制启用签名机制
启动时必须添加--audit-sign-hsm=true参数。不加此参数时，日志虽推送至WORM，但无HMAC-SHA256签名，WORM端点将拒绝接收并返回403 Forbidden。
第三步：触发签名验证流
执行测试工作流：qoder workflow run --name="worm-sign-test" --target=dummy，随后立即检查WORM端点返回的HTTP响应体——成功时应含"signature_verified":true,"hmac":"a1b2c3..."字段。缺失该字段说明HSM密钥未正确绑定或签名算法协商失败。
验证日志是否真实落库且不可篡改
完成上述配置后，必须人工验证日志已进入WORM存储并锁定，而非暂存在代理层缓冲区。
① 在WORM端点服务器上执行：find /worm/volume/qoder/ -name "*.worm" -mtime -1 -exec ls -l {} \;，确认生成时间在最近1分钟内、文件大小非零的.worm文件存在。
② 尝试用root权限删除该文件：rm /worm/volume/qoder/20260613_211822_abc123.worm，系统应返回Operation not permitted。若返回No such file or directory，说明文件实际未落盘，仍在内存ring buffer中。
③ 登录OceanStor DeviceManager →「文件服务」→「WORM文件系统」→ 找到对应租户的qoder目录 → 点击「属性」，确认「保留到期时间」字段显示为未来10年（默认策略），且「锁定状态」为“已锁定”。
④ 最后，在QoderWake CLI中运行：qoderwake debug audit-integrity-check --worm-endpoint=https://worm-archiver.internal.company.com/qoder，输出必须包含integrity_status: valid与tamper_evidence: none。
