refactor: migrate browser gateway to native xvfb

docs/architecture/container-control.md

@@ -1,86 +1,83 @@
-# 浏览器容器控制面
+# 宿主机浏览器控制面
 
-> 当前实现说明，核对基线 `main@1fbf126`；不是新业务完成证明。目标范围与验收以 [plan01](../plan01.md) 为准，运行步骤见[部署说明](../deployment.md)。现状限制不自动成为新产品约束。
+> 当前实现说明，基于已同步的 `main@7e3808cf4ce453b3583079680a3b59ca2ed64ad4`。单节点 native browser + Xvfb 已实现；真实平台、代理、LAN 和多节点能力仍以[验证文档](../native-browser-verification.md)为准。业务范围以 [plan01](../plan01.md) 为准，部署步骤见[部署说明](../deployment.md)。
 
 ## 技术选型
 
-- 前端：React 19 + Vite 8 + Refine + shadcn/ui + Tailwind CSS，图标 RemixIcon；项目自有 Layout 与 HashRouter，当前页面见 [main.jsx](../../web/src/main.jsx)，依赖见 [package.json](../../web/package.json)。
-- 后端：Go 模块化单体，Fiber v3 提供 HTTP 路由，Viper 读取并校验启动配置，Logrus 输出 JSON 结构化日志，Cobra 保持当前两个服务入口。控制面提供同源 API 和静态文件，并编排网关；受限网关单独封装 Docker Engine API，是纯执行器。
-- 数据：环境配置（别名、中文名、网关、镜像版本、指纹参数）持久化在 Postgres，列表/详情读取持久运行记录，不触发网关实时探测；后台独立维护运行租约；Profile 使用命名卷持久化；阶段 A 账号、凭据引用、确认、任务、尝试和审计实体同样由控制面持久化到 Postgres。
-- 部署：Docker Compose 启动控制面和受限网关；浏览器容器由网关按平台下发的镜像引用动态创建，缺失时自动拉取。
+- 前端：React 19 + Vite 8 + Refine + shadcn/ui + Tailwind CSS，图标 RemixIcon；项目自有 Layout 与 HashRouter。
+- 控制面：Go、Fiber v3、Viper、Logrus、Cobra。控制面编排浏览器 gateway、环境、账号、任务和审计，不直接启动浏览器。
+- 浏览器 gateway：Python 3.12+ 标准库 HTTP/进程/文件/socket 能力；以非 root `systemctl --user` 服务运行，在宿主机管理 Xvfb、native/fingerprint browser、Profile、CDP、代理和运行代次。
+- 数据：PostgreSQL 保存网关登记、浏览器版本、环境绑定、运行实例、清理状态、租约、账号、任务、结果和审计。`browser_version.browser_path` 是宿主机已安装的可执行文件路径，不是镜像引用。
+- 部署：Compose 只提供控制面和 PostgreSQL；gateway 与 Xvfb 在宿主机运行。控制面在 Compose 中通过 `host.docker.internal:8081` 访问 gateway，裸机运行使用 `127.0.0.1:8081`。
 
-## 调用链与契约
+## 调用链与职责
 
 ```text
-React ── /api/* (Basic Auth) ──> control-plane
-                                      ├─ /v1/browsers (Bearer token) ──> docker-gateway ──> docker.sock
-                                      │                                      └─> browser container
-                                      ├─ /v1/browsers/.../douyin/events (Bearer token) ──> docker-gateway ──> browser event stream
-                                      └─ 账号/环境/任务/互动事件持久记录 ──> PostgreSQL
+React ── /api/* (Basic Auth) ──> control-plane ──> PostgreSQL
+                                      │
+                                      └─ /v1/browsers (Bearer token)
+                                           └─ host-native browser gateway
+                                                ├─ Xvfb display
+                                                ├─ fingerprint browser + Profile
+                                                ├─ CDP endpoint
+                                                └─ loopback proxy / event stream
 ```
 
-控制面是唯一事实源：网关不持有镜像清单和业务规则，镜像引用、启动命令和卷名均随请求下发。
+控制面是业务事实源，gateway 是本机浏览器资源事实源。gateway 不接受任意 Profile 路径、不暴露通用 CDP、不创建 Docker 资源；Profile 由 gateway 根据 `profile_id` 映射到 gateway 自己管理的目录。
 
-当前生命周期契约集中如下（代码：[控制面](../../cmd/control-plane/hub.go)、[环境存储](../../internal/hub/environment.go)）：
+## 生命周期契约
+
+生命周期操作都必须带当前 `binding_version`，并在需要时带 `runtime_id`、`network_id` 和 `runtime_instance_id`。服务端以 alias 串行化操作，拿锁后重新读取账号、环境、版本和出口。
 
 | 接口/动作 | 当前行为与失败语义 |
 | --- | --- |
-| `POST /api/browsers` / create | 严格接收 `{alias, name, gateway, image_version, fingerprint, account_id, network_exit_id}`，未知字段拒绝；`account_id` 必填，`network_exit_id` 可空表示明确选择直连。新绑定要求账号 authorized/paused、镜像启用，指定出口须健康并再次核验。先保存环境与稳定 binding，创建停止态容器；不是创建即启动。相同绑定及配置可复用，冲突拒绝；已存在且账号可运行的环境可调和/恢复运行。网关失败不删除已保存环境/binding，保留以供核验/恢复 |
-| `GET /api/browsers`、`GET /api/browsers/{alias}` | 只读数据库环境/运行记录；列表的 running 表示已记录运行实例，不保证实时存活。页面可直接展示返回 status，不主动探测或轮询。后台租约调和与列表读取独立 |
-| `POST /api/browsers/{alias}/start` | 要求账号可运行；有出口时重新核验，不健康则失败而非直连。当前匹配且就绪的运行容器可复用；停止/缺失容器按当前 binding 重建并激活租约；支持预先选定的直连 |
-| `POST /api/browsers/{alias}/stop` | 停止容器并处理租约/清理状态；失败或结果不明可见，不据请求发出即声称已停止 |
-| `POST /api/browsers/{alias}/upgrade` | 接收 `{version}`，要求启用镜像；删除旧容器并保留 Profile，更新版本后按原指纹/binding 重建，账号可运行才启动，否则为停止态。无自动回滚；失败保留结果，人工重试进入现有调和流程。当前实现无条件核验出口，空出口的直连环境不能据 create/start 成功推断 upgrade 可用 |
-| `POST /api/browsers/{alias}/rebind` | 接收 `{network_exit_id}`；要求 paused、无 executing task、无活动 runtime，验证目标出口后变更。当前要求有效出口 ID，不支持以空值切回直连 |
-| `DELETE /api/browsers/{alias}` / recycle | 回收容器、处理运行记录，但保留环境、稳定 binding 与命名 Profile 卷；后续 create/start 复用。不是永久删除账号/环境或素材；没有新增永久删除 API |
+| `POST /api/browsers` | 接收 `alias`、`name`、`gateway`、`browser_version`、`fingerprint`、`account_id`、`network_exit_id`。版本必须启用且路径为绝对可执行路径；账号必须满足授权/暂停规则，指定出口必须健康。先保存环境和稳定 binding，再向 gateway 创建停止态 runtime；失败保留环境、operation 和清理状态，不伪造成功。 |
+| `GET /api/browsers`、`GET /api/browsers/{alias}` | 返回数据库状态与 gateway 可达时的 runtime 快照，包括 `node_id`、generation、ready、运行状态、cleanup 状态和失败原因。不可达、版本缺失、Profile 占用和待清理均保持可见；读取不把未知状态改成 stopped。 |
+| `POST /api/browsers/{alias}/start` | 重新核对账号、版本、Profile、出口和 binding。匹配的 ready runtime 可复用；缺失或不匹配时按当前 binding 创建新代次并激活。必需代理失败时不得直连。 |
+| `POST /api/browsers/{alias}/stop` | 以当前 generation 停止浏览器、Xvfb、代理和订阅，并记录独立 cleanup 状态。结果未知、强杀或清理失败返回可见失败/待清理状态，而不是请求发出即成功。 |
+| `POST /api/browsers/{alias}/upgrade` | 接收 `{version}`，要求目标 browser version 启用；停止旧代次、保留 Profile、按新路径创建并按需启动。无隐式回退和自动回滚，失败保留证据供重试。 |
+| `POST /api/browsers/{alias}/rebind` | 接收有效 `network_exit_id`，要求没有执行中的 runtime-use 或业务任务；成功后递增 binding version。空值切直连不通过此接口隐式完成。 |
+| `DELETE /api/browsers/{alias}` | 回收当前 runtime 和本次临时资源，保留环境、稳定 binding、账号 Profile、正式结果和长期监听。旧 generation 的迟到清理不会触碰 successor。 |
 
-`name` 是环境展示名，`alias` 限 `^[a-z0-9][a-z0-9-]{0,31}$`；容器名 `creatorhub-browser-<alias>`，Profile 卷 `creatorhub-profile-<alias>`。指纹中的代理字段拒绝，使用所选出口；已绑定代理失败不能静默直连。create/start/stop/upgrade/recycle 写同一 operation ID 的 requested/finished 审计对，网关断连且无法调和时 outcome 为 `unknown`；幂等/重试是生命周期核验，不等于 plan01 中人工/自动业务发送可重发。
+每个 runtime 独立拥有：`runtime_id`、`runtime_instance_id`、`generation`、`node_id`、owner、Profile、display、CDP 端口、loopback proxy 端口、browser/Xvfb unit、日志目录和 cleanup 状态。runtime 结束后，任务目录按结果语义清理；正式素材和结果目录不由通用 runtime 清理逻辑删除。
 
-- `GET/POST /api/browser-images` 维护可用镜像版本（版本号不可改，`PUT /{version}` 仅接受 `image_ref/note/enabled`）；仅启用版本可用于创建与升级；被环境引用时拒绝删除。
-- `GET/POST /api/gateways` 注册网关（`POST` 可携带令牌，否则平台生成 48 位十六进制令牌并明文存储），`DELETE /api/gateways/{name}` 删除；仍被环境引用时拒绝删除。
-- 别名唯一约束由数据库保证；控制面不自动重试结果不明的用户生命周期请求，后台租约恢复的现状另见下文。
+## 浏览器版本、网关与 Profile
 
-## docker.sock 安全边界
+- `GET/POST /api/browser-versions` 管理 `{version, browser_path, note, enabled}`；版本号不可改，只有启用版本可创建或升级环境。旧迁移 SQL 中出现的 `browser_image`/`image_ref` 仅是 PostgreSQL 前向迁移的历史表名，当前 API、模型、页面和运行时均使用 browser version/path。
+- `GET/POST /api/gateways` 注册稳定 gateway endpoint、node name 和令牌；gateway `/v1/info` 返回稳定 `node_id`、版本和能力。当前目标只调度单 gateway，不执行跨机迁移。
+- `profile_id` 由控制面绑定账号和环境，gateway 只接受已登记的标识并生成目录。Profile 目录权限为 owner-only；同一 Profile 的第二个 runtime 在资源锁阶段拒绝。
+- 每个执行使用独立的 `.runs/<execution_id>` 目录和不可变 token。业务结果引用相对 work root 的正式产物；路径穿越、绝对路径、跨 work 目录和临时文件均拒绝。
 
-将 socket 以只读文件挂载**不会**限制 Docker API 的写操作；拥有 socket 等价于拥有宿主机 root 权限。因此：
+## generation 与 runtime-use lease
 
-- 只有 `docker-gateway` 挂载 socket，控制面和浏览器容器均不可见；网关加入 control 并按需接入浏览器隔离网络，浏览器在代理模式只拿到无凭据的内存转发代理地址，`/v1` 仍必须通过容器内不可见的网关令牌；
-- 网关只暴露面向领域的路由，不提供通用 Docker 代理；`/v1` 全部接口校验 `Authorization: Bearer <GATEWAY_TOKEN>`（常数时间比较），令牌由部署者在网关环境变量与平台注册表中保持一致；
-- 网关直连的 `POST /v1/browsers/{alias}/start|stop` 仅供内部维护使用，必须提交并精确匹配容器标签中的 `{binding_version,runtime_id,network_id}`；直连 start 拒绝空 `network_id`，generation 不匹配返回 `409`，控制面生命周期编排不依赖无 fence 的直连 start；
-- 网关恢复内存代理时会同时 fence 隔离网络成员及网关成员 IPv4，地址变化返回 `409` 并关闭刚恢复的监听；代理移除或代际替换会立即关闭所有已 hijack 的 CONNECT 双向连接，任一端先关闭也会关闭隧道两端，不等待优雅 drain；
-- 网关固定命令、网络、挂载和资源限制；外部输入是受校验的别名，以及平台下发的镜像引用、启动参数和卷名——镜像引用来自平台维护的版本表，新增/变更由人工在页面审核启用，不再写死在代码中；
-- 启停和删除前必须同时匹配固定名称前缀及 `io.creatorhub.managed`、`io.creatorhub.runtime-id` 标签；
-- 动态容器使用只读根文件系统、非 root `1000:1000` 与固定镜像入口、全部 capability drop、`no-new-privileges`、CPU/内存/PID 限制，且无宿主机端口和目录挂载；
-- 控制面发布到宿主机所有网卡；控制网络为固定名称的 Compose 网络；浏览器 bridge 按 ownership、role、driver、Internal 失败关闭校验，且拒绝复用 control 网络；
-- Compose 基础镜像锁定 digest；浏览器镜像推荐使用 `@sha256:` 摘要引用以获得不可变性，tag 引用由部署者自行把控。
+- 激活 runtime 时保存 owner、node、binding version、runtime/network ID 和 runtime instance ID。所有 gateway 写操作核对这些值；旧代次收到迟到请求时返回冲突，不删除 successor。
+- 业务任务和长期监听不共享“环境存在”这一隐含占用。`runtime_use_lease` 默认 60 秒，20 秒续租；任务、素材处理、平台读取、会话历史和监听均显式 acquire/renew/release。
+- lease 续租失败会取消使用上下文并保留失败原因；释放操作幂等。gateway 重启后先按 runtime instance 恢复或标记 cleanup pending，再允许新 lease。
+- 采集 task lease 与合法长期监听 lease 分开；监听重连会核对 node/generation/binding，事件去重和 UID 冷却仍由 creator 数据层负责。
 
-网关自身一旦被攻破，socket 仍允许接管宿主机；应用内校验不能消除这个平台级风险。开发目标不新增认证或访问限制，安全由部署者自行把控；但当前代码仍强制 HTTP Basic Auth（除 `/healthz` 外的 API 与静态页面），Compose 仍要求用户名/密码。见 [main.go](../../cmd/control-plane/main.go) 与 [compose.yaml](../../compose.yaml)；本轮未移除现有策略，也不新增 RBAC 或认证 profile。
+## 代理边界
 
-## 运行
+控制面只把经过校验的出口配置交给 gateway。gateway 代理绑定 `127.0.0.1` 动态端口，并以 alias、binding version、runtime/network generation 绑定；代理恢复或移除失败必须可见。必需代理启动失败时不切换直连，不把不确定的写结果转换成成功。
 
-使用[部署说明](../deployment.md)中的完整变量及启动命令（含 Basic Auth、凭据主密钥与 socket GID），不维护另一套省略必填配置的命令。首次注册网关和镜像、创建账号、再创建停止态环境；恢复账号后显式启动。网关拉取镜像上限约 10 分钟；失败查看审计和保留的环境，不能按“数据库已回滚”直接假定没有资源。
+出口凭据只存在于控制面单次请求和 gateway 内存代理，不能进入 URL、日志、数据库、浏览器命令行或 API 响应。代理检查、重启恢复和清理均按当前 generation fence。
 
-## 现有账号与阶段 A 离线闭环
+## 非 root 与系统边界
 
-本节描述已运行的基础及历史 schema，不规定 plan01 的新业务范围。旧阶段 A 的 Mock 任务验证不等于 G0 平台能力或 G1 抖音完整验收；当前抖音受限读取连接器也未接成完整竞品/监听/发送流程。
+- gateway 由宿主机非 root 用户的 `systemctl --user` 服务运行；Xvfb、browser 和 Profile 的 unit 都属于该用户。
+- native gateway 不读取 Docker socket，不创建/删除浏览器 container、image、volume 或 network，也不保留 Docker fallback。
+- 启动命令拒绝 `--no-sandbox` 等越权参数；无法满足 sandbox、磁盘、路径、端口、权限或版本条件时直接失败并记录原因。
+- `/healthz` 用于存活；其它 gateway API 使用 Bearer token。控制面继续按现有部署策略提供 Basic Auth；本目标不新增 RBAC。
 
-`POST /api/phase-a/accounts` 只接受 `{name, platform, platform_account_key, tags, cookies}`；`platform` 限定为 `douyin`、`xiaohongshu`、`wechat-official`、`kuaishou`，`cookies` 可空，非空时须为浏览器 Cookie Header 格式。控制面通过持久 provider bridge 安全写入凭据：部署侧 Secret Manager/OS Keyring 注入 32 字节主密钥，独立凭据卷只保存 AES-GCM 密文，数据库只记录凭据引用；外部 API 不返回 Cookies、provider 或 `reference_key`。数据库明确回滚时清理凭据，提交结果未知时保留凭据并返回 `account_creation_result_unknown`，不自动破坏可能已提交的账号。内部账号 ID 由服务端生成，新账号默认 `paused`，`(platform, platform_account_key)` 全局唯一。pause/revoke 会递增账号版本并将 queued 任务置为 `policy_hold`，resume 要求稳定 binding，若绑定出口则需 healthy，并满足无活动 runtime/待清理等条件；未绑定出口的显式直连不要求出口记录。账号与浏览器环境通过一对一 `environment_binding` 关联，出口可复用；运行实例保留历史，并以 binding 和外部 runtime id 的部分唯一索引限制活动实例。
+## 运行与恢复
 
-草稿经 `POST /api/phase-a/confirmations` 显式确认后才可投递到 `/api/phase-a/tasks`。任务由幂等键去重；`POST /api/phase-a/mock/execute` 使用 `FOR UPDATE SKIP LOCKED` 领取一分钟租约，执行前统一核对账号、草稿和确认版本。缺少确认或版本不一致会进入 `needs_confirmation`，暂停账号或 Mock 策略结果会进入 `policy_hold`，不确定结果与过期租约进入 `needs_confirmation`；这些状态都不会自动重试。`GET /api/phase-a/audit` 只导出账号、确认版本、尝试和结果等非秘密证据。
+使用[部署说明](../deployment.md)中的变量和命令。首次部署时先安装已批准的浏览器版本和 Xvfb，再以 `scripts/install-native-browser-gateway.sh` 安装 gateway user service，随后在控制面注册 gateway、browser version、账号和出口。
 
-启动时控制面先应用 Phase A v1，再由 Hub runner 顺序应用 v2 至 v14；CreatorHub 业务迁移继续顺序应用至 v26（竞品同步 lease token、事件消息正文）；每一步都在事务和 advisory lock 下前向执行。v3 保留旧表、列和历史记录，旧账号回填为 `platform=mock` 并暂停，仅账号 ID 与环境 alias 相同的记录自动建立 binding；v4 追加环境动作审计字段与索引，v5 清理持久 fingerprint 中的旧代理字段，v6 增加可重试的 runtime cleanup 状态，v7 为 runtime lease 增加 binding version 并回填可确定的既有记录，v8 至 v10 补齐 cleanup/runtime 的不可变 generation 与兼容约束，v11、v12 增加任务恢复状态并修复兼容约束，v13 增加账号名称和 TAGS；v14 仅前向修复旧 PR v13 的空数据 schema。若旧 v13 已产生空引用或明文 Cookies，v14 会在删除前阻断启动，必须先将凭据迁入 provider。其余记录等待显式绑定。本阶段不提供破坏性自动回滚。
+启动、停止、回收和升级分别写 requested/finished operation；gateway 不可达、返回未知、cleanup pending、Profile 被占用和版本缺失都在页面和 API 显示。gateway 重启只恢复仍匹配当前代次的 runtime；机器重启不自动恢复已过期短任务。控制面后台 heartbeat 续租 running runtime 并调和 cleanup，读取列表不会用轮询伪装业务事件监听。
 
-`POST /api/network-exits` 只接受协议、主机、端口、已有 `credential_reference: {id}` 和预期出口身份；新出口为 `unchecked`，由 `POST /api/network-exits/:id/check` 经实际代理链路变为 `healthy` 或 `unhealthy`，`disable` 不可被检查重新启用。credential reference 的 `reference_key` 不出现在 API、日志或审计中；OS Keyring/Secret Manager bridge 在控制面进程启动前注入 `CREATORHUB_CREDENTIAL_<SHA256(reference_key)>`（大写十六进制），值为请求期解析的 `username:password`，控制面不持久化解析值。
+## 阶段 A 与 Creator 业务边界
 
-环境创建/启动/回收及直连边界以上方生命周期表为唯一说明。已配置代理时由控制面下发代理信息与 `disable_non_proxied_udp`；直连并非代理失败后的替代路径。
+阶段 A 账号、凭据引用、确认、任务和审计继续由 PostgreSQL 持久化。账号身份在每次写操作前由 gateway 返回的实际 UID 与已授权 `platform_account_key` 核对；Cookie、密码、token 和 provider reference 不回显。
 
-解析后的出口凭据只存在于控制面单次请求和网关内存转发器中；Docker inspect、容器环境、标签、挂载、`Config.Cmd` 与进程参数只包含 `docker-gateway` 的无凭据本地代理地址。网关内存代理以 alias、binding version 和 exit ID 共同标识 generation；生命周期操作按 alias 串行，重启恢复或重建必须重新核对该 generation，旧出口代理不能被新容器复用。
+Creator 采集流程使用独立 runtime-use lease：登录二维码、身份核对、抖音读取、评论/私信历史、素材下载、音频提取和指标处理完成后才释放浏览器使用权。结果保存与资源清理分开记录；结果未知时保留执行目录和证据，不能重复写入或删除可能仍被引用的素材。
 
-控制面后台每 20 秒调和网关（[runtimeLeaseHeartbeat](../../cmd/control-plane/main.go)），续租 running runtime、释放 stopped/missing runtime；列表/详情读取不触发调和，过期 lease 也会在绑定事务中回收。控制面还按账号调和抖音事件监听（[creator_events.go](../../cmd/control-plane/creator_events.go)）：每个已授权且有有效运行代际的账号只有一个监听，网关断连或代际改变时停止旧监听并退避重连；事件通知在控制面转换为互动事件后进入 `ProcessAutomaticEvent`，数据库的事件唯一键负责去重，写入结果不明不会由监听器重复发送。当前通知边界、平台事件游标/基线连续性和真实写操作仍需真机证据，不能把网关轮询队列视为平台监听验收。控制面用 PostgreSQL advisory transaction lock 按 alias 协调多副本；每个 Store 最多允许 5 个锁会话占用 10 连接池的一半，为锁内数据库调用保留连接。create 同时锁定账号 ID、alias、请求出口和请求镜像；start、reconcile/rebuild、rebind 和 upgrade 锁定 alias、当前出口及当前镜像（upgrade 还锁目标镜像），拿锁后重新读取出口与镜像版本。账号 pause/resume/revoke 使用账号 ID 与当前 binding alias 加入同一协调域；镜像禁用、引用更新或账号状态变更不能穿透在途生命周期。
-
-非法 upgrade/rebind 目标在进入 advisory lock key 前按公开格式校验；审计仅保留环境原有的非秘密资源关联，并以 `upgrade_input_rejected` / `rebind_input_rejected` 写同一 operation ID 的 requested/finished 对。reconcile 恢复或重建后会重新读取 context，finished 事件关联实际激活的 runtime instance、binding version 与出口；后台释放 runtime 的成功或失败也写独立的 `reconcile` 审计对。
-
-## 与新业务计划的边界
-
-- 当前受限抖音读取仅允许自身身份与 `count=20/max_cursor=0` 首批作品，JSON 响应限制为 1 MiB，见 [douyin.py](../../cmd/docker_gateway/douyin.py)。竞品同步仍需外部平台证据；媒体通过 `POST /api/creator/works/:id/material/process` 下载到持久卷、用 FFmpeg 提取音轨，再调用显式配置的 `CREATOR_TRANSCRIPTION_BIN`。未配置转写入口时明确记为 failed，不接受手写 succeeded 或二进制塞入通用 JSON。
-- 当前账号凭据入口处理 Cookie；登录密码可按现有凭据保存流程保存，读取不回显、不进入日志，但绝不由系统自动注入或用于绕过人工登录。
-- 新业务平台监听、前端业务推送和现有后台运行租约是三件事；前两者要求见 plan01 A6，列表不主动探测的约定不禁止业务事件推送。现有生命周期/租约可能核验出口，不应误写成已完成 plan01 的手动代理管理目标。
+当前仍需真实账号、真实代理和人工 LAN 验收的项目见[验证记录](../evidence/native-browser-verification-2026-09-18.md)。多节点、A/B、跨机故障恢复和性能对比明确移出本目标。