Fix rebase conflicts, log and ATTACH durability, recovery and row diff OOM

[marcobambini]

Cosa cambia

Rebase

• Un statement con policy di conflitto propria (INSERT/UPDATE OR ..., clausola ON CONFLICT di un UPSERT) non è nelle row image: riprodurlo con la policy dello schema poteva cancellare o ignorare una riga già confermata da un altro writer. La transazione ora è rifiutata (BUSY) invece di essere rebasata.
• Una colonna ANY di una tabella STRICT non ha affinità (noaff): 1 e 1.0 sono valori diversi.
• bind_col: niente shift a sinistra di un valore negativo nella decodifica degli interi.

Log

• synchronous=NORMAL/OFF: il commit ritorna solo quando il suo record è nel file, non mentre un altro writer sta ancora scrivendo un prefisso precedente (stage_wait_written).
• PRAGMA synchronous: il livello dell'engine segue SQLite (nomi, booleani, esadecimali, valori fuori range, maschera del pager) e un PRAGMA rifiutato da SQLite dentro una transazione non lo cambia.
• La connessione proprietaria di ogni lane è acquisita tramite SQLITE_FCNTL_PDB, anche per ATTACH: la verifica dell'autocommit funziona prima della prima lettura/scrittura e anche quando l'applicazione sostituisce il trace hook. Dopo un cambio a OFF rifiutato da SQLite, un commit FULL continua a sincronizzare il log.

Recovery

• Un record illeggibile lascia ignota la fine del log: i segmenti successivi non vengono più cancellati, così una riapertura può riprovare.

Row diff

• I fallimenti di allocazione sono riportati (unsupported: "no memory", il commit è rifiutato) in ov_put, catena overflow, freelist e lista dei cambi.

Test

• mw_attachsync: 32 casi con main standard o multiwriter, modalità thread o multiprocesso, rebase abilitato/disabilitato, trace hook presente/rimosso e DETACH seguito da un nuovo ATTACH. Verifica la connessione della lane, i PRAGMA rifiutati prima e dopo la scrittura e il sync effettivo del commit FULL.
• mw_strictany, mw_rebasepolicy, mw_rebaseneg, mw_syncpragma, mw_stagednormal (mette in pausa il vero pwritev del log), mw_recoverread (EIO a ogni n-esima lettura), mw_rowdiffoom (fallisce a turno ogni allocazione del commit).
• test/sanitize.sh: pipefail, tutti i test girano e il primo stato non-zero è l'exit status; i test con funzione iniettata sono compilati anche lì. test/sanitize_exit.sh lo verifica ed è eseguito da make test / test-ci.

Da sapere prima del merge

Costo in NORMAL/OFF: circa -25% di commit/s misurato con mw_bench --workload independent --agents 16 --threads 8 (base della PR ~206k tx/s, questo branch ~157k; p50 da 35 a 48 µs). È il prezzo del non confermare un commit il cui record è ancora solo nel ring in memoria.

Scelta conservativa: INSERT OR ABORT/FAIL/ROLLBACK su tabelle senza ON CONFLICT nello schema non è più rebasabile, anche se lo sarebbe senza rischio. Restringerlo guardando lo schema è possibile in un seguito.

Verifica

• Il riproduttore ATTACH prima del fix fallisce: SQLite resta a FULL (2), la lane passa a OFF (0) e il commit esegue zero sync del log. Con il fix passano tutti i 32 casi di mw_attachsync.
• macOS: make test, make test-mp, make test-io e make test-loadable: exit 0. mw_diskfull viene saltato perché l'ambiente non può creare l'immagine disco; i casi di disco pieno simulati in mw_ioerr passano.
• ASan e UBSan: passano mw_attachsync, mw_syncpragma, mw_strictany, mw_rebasepolicy, mw_rebaseneg, mw_recoverread, mw_rowdiffoom, mw_stagednormal e mw_rebasecases.
• I riproduttori originali falliscono sui sorgenti della base (mw_rebaseneg soltanto sotto UBSan).
• Gli otto casi UPSERT di mw_rebasepolicy passano anche con MW_TEST_MP=1; senza il controllo CONFLICT perdono la riga confermata dal secondo writer.