@lqc123qwe/car-runtime 1.8.0 → 1.10.0

package/src/mcp/gateway.ts

@@ -13,6 +13,11 @@
  * （MCP `_meta` 保留扩展点——未知键对端忽略，加法无害）；仅 otel 显式开且 client span 存活时
  * 非空（trace.ts mcpToolSpan）——**缺省不注入，JSON-RPC 字节面不变**；tools/list 不注入
  * （注册期无 span 上下文，登记）。解析/校验归 trace.ts（parseTraceparent fail-open），本层原样透传。
+ *
+ * 1.9（D-32 远程 MCP 头通道）：callTool 把 opts.traceparent 加法透传给 transport.send 第二参——
+ * 载体由传输层自选（HTTP 通道注入 `traceparent` 请求头〔W3C Trace Context 惯例〕；stdio 通道
+ * 忽略 opts，`params._meta` 载体不变）。`_meta` 注入口径一字节不动——otel 开时 HTTP 请求
+ * 双载体同值（头为主消费面，登记）；otel 关时双载体零注入（头面与字节面不变）。
  */
 export interface JsonRpcRequest { jsonrpc: '2.0'; id: number; method: string; params?: unknown }
 export interface JsonRpcResponse { jsonrpc: '2.0'; id: number; result?: unknown; error?: { code: number; message: string } }
@@ -20,9 +25,10 @@ export interface JsonRpcResponse { jsonrpc: '2.0'; id: number; result?: unknown;
 /**
  * 客户端传输（CAR → MCP Server 方向）。M3-S11 双向分层：本接口为 client 侧对偶；
  * server 侧（宿主 → CAR）见 src/host/hostGateway.ts 的 ServerTransport。
+ * 1.9-D32：send 加法可选第二参 opts（既有 `send(req)` 实现结构兼容零改动）。
  */
 export interface ClientTransport {
-  send(req: JsonRpcRequest): Promise<JsonRpcResponse>
+  send(req: JsonRpcRequest, opts?: { traceparent?: string }): Promise<JsonRpcResponse>
   /** 进程/通道存活状态 */
   alive(): boolean
   /** 主动终止 */
@@ -113,10 +119,12 @@ export class McpGateway {
     if (!this.#tools.has(key)) return { ok: false, error: `unknown tool "${tool}" on "${serverId}"` }
     try {
       const res = await Promise.race([
+        // 1.9-D32：traceparent 加法透传第二参（载体归传输层——HTTP 头 / stdio 忽略）；
+        // `_meta` 注入 1.8-D29 口径不动（otel 开 = 双载体同值）
         cfg.transport.send({
           jsonrpc: '2.0', id: this.#nextId++, method: 'tools/call',
           params: { name: tool, arguments: args, ...(opts.traceparent ? { _meta: { traceparent: opts.traceparent } } : {}) },
-        }),
+        }, opts.traceparent ? { traceparent: opts.traceparent } : undefined),
         new Promise<never>((_, rej) => setTimeout(() => rej(new Error('mcp timeout')), opts.timeoutMs ?? 30_000)),
       ])
       return { ok: true, result: (res as JsonRpcResponse).result }

package/src/mcp/httpClient.ts

@@ -14,13 +14,20 @@
  *  - headers 凭据规则（CR-05 经配置通道执行）：值支持 `${ENV_VAR}` 引用（env 缺席显式报错）；
  *    字面值疑似明文凭据（containsPlaintextCredential 同款模式）直接拒绝——env 引用注入
  *    才是登记合规通道（展开后值不复查：引注入即目的，展开值是凭据本身）；
- *  - legacy HTTP+SSE（2024-11-05）不做（1.5 规划 D-21 登记不追溯）。
+ *  - legacy HTTP+SSE（2024-11-05）不做（1.5 规划 D-21 登记不追溯）；
+ *  - 1.9（D-32 远程 MCP 头通道）：send 加法可选第二参 opts.traceparent → tools/call 请求头
+ *    加法 `traceparent`（W3C Trace Context HTTP 载体惯例——第三方 OTel 接入面主消费通道）；
+ *    注入前 parseTraceparent 校验，畸形**不注入不抛**（协议面 fail-open——严格格式天然排除
+ *    CR/LF，兼防头注入越权面）；otel 关 = 双载体零注入（头与 JSON-RPC 字节面不变）；
+ *    initialize/notifications/tools/list 不注入（无 span 上下文——1.8 tools/list 口径延伸）；
+ *    配置 headers 含字面 `traceparent` 时注入优先（动态 span 上下文为请求级事实，登记）。
  */
 import { request as httpRequest } from 'node:http'
 import { request as httpsRequest } from 'node:https'
 import type { ClientTransport, JsonRpcRequest, JsonRpcResponse } from './gateway.ts'
 import { containsPlaintextCredential } from './gateway.ts'
 import { assertTlsOrLoopback } from '../runtime-core/llm.ts'
+import { parseTraceparent } from '../runtime-core/trace.ts'
 
 export const MCP_PROTOCOL_VERSION = '2025-06-18'
 
@@ -127,8 +134,9 @@ export function createHttpMcpTransport(spec: HttpMcpServerSpec): ClientTransport
     throw new Error('CAR-E-MCP: SSE 流结束未见本请求响应（阶段：read-response）')
   }
 
-  async function postAndRead(body: unknown, matchId: number | null, phase: string): Promise<JsonRpcResponse> {
-    const res = await rawPost(spec.url, baseHeaders(), JSON.stringify(body), timeoutMs)
+  async function postAndRead(body: unknown, matchId: number | null, phase: string, extraHeaders: Record<string, string> = {}): Promise<JsonRpcResponse> {
+    // 1.9-D32：extraHeaders 展开在 baseHeaders 之后——配置头同名时注入优先（登记口径）
+    const res = await rawPost(spec.url, { ...baseHeaders(), ...extraHeaders }, JSON.stringify(body), timeoutMs)
     const sid = res.headers['mcp-session-id']
     if (typeof sid === 'string') sessionId = sid
     if (res.status < 200 || res.status >= 300) {
@@ -158,15 +166,25 @@ export function createHttpMcpTransport(spec: HttpMcpServerSpec): ClientTransport
     }
   }
 
+  /**
+   * 1.9-D32：tools/call 请求的 `traceparent` 头（W3C Trace Context HTTP 载体惯例）——
+   * parseTraceparent 校验 fail-open（畸形/空 = {} 不注入不抛；严格 hex 格式排除 CR/LF 头注入面）；
+   * 与 body params._meta.traceparent 双载体同值并存（1.8-D29 `_meta` 面维持，头为主消费面）。
+   */
+  function callHeaders(tp: string | undefined): Record<string, string> {
+    if (!tp || !parseTraceparent(tp)) return {}
+    return { traceparent: tp }
+  }
+
   const transport: ClientTransport = {
-    send(req: JsonRpcRequest): Promise<JsonRpcResponse> {
+    send(req: JsonRpcRequest, opts?: { traceparent?: string }): Promise<JsonRpcResponse> {
       return (async (): Promise<JsonRpcResponse> => {
         if (closed) throw new Error('CAR-E-MCP: http transport closed（server 已收口）')
         if (!initialized) {
           initPromise ??= doInitialize().then(() => { initialized = true })
           try { await initPromise } catch (e) { initPromise = null; throw e }
         }
-        return postAndRead(req, req.id, 'request')
+        return postAndRead(req, req.id, 'request', callHeaders(opts?.traceparent))
       })()
     },
     alive: () => !closed,

package/src/runtime-core/trace.ts

@@ -29,6 +29,11 @@
  *  - ptcRelay（D-31）：PTC worker 桥挂链——workerTrace 载荷（traceId/parentSpanId）经 workerData
  *    进隔离体，worker 计时经 done 消息回传后 complete() 主线程单点收口 car.ptc span（facade
  *    time.startMs/end(atMs) 时刻覆盖；单 exporter 纪律——worker 零独立出站通道）。
+ *
+ * 1.9（D-32 · 远程 MCP Streamable HTTP 头通道）：mcpToolSpan 产出的 traceparent 除 1.8 `params._meta`
+ * 载体外，经 gateway.callTool → transport.send 第二参透传，httpClient 注入 `traceparent` 请求头
+ * （W3C Trace Context HTTP 载体惯例——远程 server 主消费面）。本模块仅复用 parseTraceparent 作
+ * 传输层 fail-open 校验（畸形不注入不抛）——编解码与传播语义 1.8 口径零触碰。
  */
 import { randomBytes } from 'node:crypto'
 import type { TelemetryFacade } from './telemetry.ts'

package/src/seam.ts

@@ -0,0 +1,21 @@
+/**
+ * KernelSeam 公开导出面（1.10.0 加法——D16 T-6 冻结面口径：本文件即内核库形态的 semver 承诺面）
+ *
+ * 消费方：CAR 平台层（KernelSeam 适配器）；约定：
+ *  - 仅暴露进程内挂接所需的最窄面（装配/会话/turn/遥测），禁止透出内核内部模块路径语义；
+ *  - 破坏性变更须内核 major；加法演进走 minor 并在本文件头登记；
+ *  - 语义不变：runTurn/chatStep/SessionLog 即 CLI 与测试承载的同一实现（非转发壳）。
+ */
+export { SessionLog, type SessionEvent, type EventKind, type Actor } from './session/log.ts'
+export { SessionFileStore } from './session/store.ts'
+export { runTurn, type TurnEndReason, type TurnPreset, type TurnResult } from './loop/stop.ts'
+export { chatStep } from './runtime-core/chatStep.ts'
+export { RuntimeCore, createOpenAICompatAdapter, createAnthropicAdapter } from './runtime-core/llm.ts'
+export { CredentialService } from './runtime-core/credentials.ts'
+export type { LlmAdapter, LlmRequest, LlmChunk } from './runtime-core/types.ts'
+export { mountPlugin } from './load/loader.ts'
+export { Context } from './kernel/context.ts'
+export { loadCarConfig, mergeLlmConfig, mergeSignatureGate, warmCarConfig, type CarConfig, type LlmConfig } from './load/config.ts'
+export { probeCapabilities, SandboxExecutor } from './sandbox/sandbox.ts'
+export { createTelemetryFacade, telemetryConfigFromEnv } from './runtime-core/telemetry.ts'
+export { TurnTracer, type TurnSpanHandle } from './runtime-core/trace.ts'

package/.gitattributes

@@ -1,11 +0,0 @@
-# 行尾纪律：Windows runner checkout 默认 autocrlf=true 会把文本文件打成 CRLF，
-# WSL 内 bash 脚本遇 \r 即炸（run 35314482866：set: pipefail\r invalid option）。
-* text=auto
-*.sh text eol=lf
-*.c text eol=lf
-*.h text eol=lf
-Makefile text eol=lf
-*.md text eol=lf
-*.yml text eol=lf
-*.json text eol=lf
-*.ts text eol=lf

package/.github/workflows/ci.yml

@@ -1,293 +0,0 @@
-# CI 门禁矩阵（M2部署设计增补 §2.3 16 Job + M3部署设计增补 §2.2 增列 J-17/J-18 = 18 Job ≤ 20）
-#
-# 落地口径（2026-09-18，实施记录见 car-docs/10-内核v1/M3部署设计增补.md 追记）：
-#   - 矩阵 Job 名对齐文档编号（j01-.../j02-...），required check = j05/j07/j17/j18（G-07 载体 + E-2 收编 + WSL2 对等层 + registry E2E）；
-#   - 测试/逃逸 Job 禁止重试（M2 §2.4 纪律）；仅打包 Job 允许维护者判定后 rerun；
-#   - 构建单源：landlock-run 仅在 j01 编译（linux-x64-gnu），j05/j17 消费 artifact 并校验 sha256，禁止平台内重编译（M3 §2.1.2）；
-#   - J-06 escape-macos = 冻结态登记（M3 §2.4 纪律）：macOS Seatbelt 仅 M2-S7 生成器实装，
-#     实跑用例不存在——不设 Job，非 CI 项登记于本注释与文档追记，复核时点 = macOS 实装启动；
-#     darwin 逃逸回归的现状覆盖 = j03 全量单测（含 buildSeatbeltProfile 生成器断言）；
-#   - J-16 release-merge = release.yml（tag 触发：SBOM/SHA256SUMS + npm publish --provenance）；
-#   - typecheck 门禁范围 = src/ + scripts/（tsconfig include）；test/ 为宽松 fixture 风格，
-#     由 node --experimental-transform-types 运行时承载（erasable-TS，类型剥离语义）——显式登记，非遗漏。
-name: ci
-on: [push, pull_request]
-
-# CodeQL SARIF 上传需要 security-events: write（run 35312565781 首跑 j01 analyze 403 教训）
-permissions:
-  contents: read
-  security-events: write
-
-jobs:
-  # ── J-01 lint-scan-build：typecheck + CodeQL + 依赖审计 + 密钥扫描 + landlock-run 单点编译 ──
-  j01-lint-scan-build:
-    runs-on: ubuntu-24.04
-    timeout-minutes: 15
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - name: cache（键 = 源码哈希 + 工具链 + 三元组，M3 §2.1.2）
-        uses: actions/cache@v4
-        with:
-          path: native/landlock-run/landlock-run
-          key: landlock-run-${{ hashFiles('native/landlock-run/**') }}-gcc-${{ runner.os }}-linux-x64-gnu
-      - run: npm install
-      - name: typecheck（strict，src+scripts 生产面）
-        run: npx -y -p typescript tsc --noEmit -p tsconfig.json
-      - name: CodeQL（M2 §2.3 J-01 静态分析面）
-        uses: github/codeql-action/init@v3
-        with: { languages: javascript-typescript }
-      - uses: github/codeql-action/analyze@v3
-      - name: 依赖审计（npm audit，lockfile 口径；非阻塞登记——升级为阻塞需评审）
-        run: npm audit --omit=dev --audit-level=high || echo "::warning::npm audit findings — 见日志"
-      - name: 密钥扫描（仓库级 fail-closed）
-        run: node --experimental-transform-types scripts/secrets-scan.ts
-      - name: landlock-run 单点编译（M3 §2.1.2 构建单源）
-        run: |
-          make -C native/landlock-run
-          sha256sum native/landlock-run/landlock-run > native/landlock-run/landlock-run.sha256
-      - uses: actions/upload-artifact@v4
-        with:
-          name: landlock-run-linux-x64-gnu
-          path: |
-            native/landlock-run/landlock-run
-            native/landlock-run/landlock-run.sha256
-          retention-days: 7
-
-  # ── J-02/J-03/J-04 三平台全量单测（179/179 基线不回退）+ G-06 Node 一致性 ──
-  # M7 能力真跑：sqlite（22.5+ 带 flag）flag 直挂测试命令行——不能走 NODE_OPTIONS（白名单拒绝，run 35451413014 实证；
-  # 且 job 级 env 会炸 actions 自身 node24）。zstd 为 22.15+ 原生内置（无 flag，Stability 1 实验标记），能力探测自动在场
-  j02-test-linux:
-    needs: [j01-lint-scan-build]
-    runs-on: ubuntu-24.04
-    timeout-minutes: 15
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      # 1.5 起 zod 为常规运行时依赖（D-22）——CLI/doctor 传递加载，测试 job 需 node_modules
-      - run: npm install
-      - run: node -p "'G-06 node ' + process.version"
-      - run: node --experimental-sqlite --experimental-transform-types --test "test/*.spec.ts"
-
-  j03-test-macos:
-    needs: [j01-lint-scan-build]
-    runs-on: macos-14
-    timeout-minutes: 25
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      # 1.5 起 zod 为常规运行时依赖（D-22）——CLI/doctor 传递加载，测试 job 需 node_modules
-      - run: npm install
-      - run: node -p "'G-06 node ' + process.version"
-      - run: node --experimental-sqlite --experimental-transform-types --test "test/*.spec.ts"
-
-  j04-test-windows:
-    needs: [j01-lint-scan-build]
-    runs-on: windows-2022
-    timeout-minutes: 25
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      # 1.5 起 zod 为常规运行时依赖（D-22）——CLI/doctor 传递加载，测试 job 需 node_modules
-      - run: npm install
-      - run: node -p "'G-06 node ' + process.version"
-      - run: node --experimental-sqlite --experimental-transform-types --test "test/*.spec.ts"
-
-  # ── J-05 escape-linux（required check，G-07 转 PASS 载体）：20 条 POC-4 移植用例常驻 + 审计 JSONL 常驻上传 ──
-  j05-escape-linux:
-    needs: [j02-test-linux]   # 传递依赖 j01（消费其 landlock-run 产物，禁止重编译）
-    runs-on: ubuntu-24.04
-    timeout-minutes: 30
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/download-artifact@v4
-        with: { name: landlock-run-linux-x64-gnu, path: dist/ci-artifacts }
-      - name: 恢复可执行位（artifact zip 不保留 +x；run 35313717410 教训）
-        run: chmod +x dist/ci-artifacts/landlock-run
-      - name: 产物指纹校验（防制品传递错位，对齐 M2 §3.5）
-        run: |
-          EXPECTED="$(cut -d' ' -f1 dist/ci-artifacts/landlock-run.sha256)"
-          ACTUAL="$(sha256sum dist/ci-artifacts/landlock-run | cut -d' ' -f1)"
-          echo "expected=$EXPECTED actual=$ACTUAL"
-          [ "$EXPECTED" = "$ACTUAL" ] || { echo "::error::landlock-run artifact sha256 mismatch"; exit 1; }
-      - name: 环境自检 + 逃逸矩阵实跑（20 条 × 5 类；exit 2 = 环境失败，§2.1.3）
-        run: bash test/sandbox-escape/run-matrix.sh "$(pwd)/dist/ci-artifacts/landlock-run" "$(pwd)/dist/ci-audit"
-      - name: 审计 JSONL 常驻上传（无论成败，§2.1.1 步骤 6）
-        if: always()
-        uses: actions/upload-artifact@v4
-        with: { name: j05-escape-audit, path: dist/ci-audit/escape-audit.jsonl, retention-days: 90 }
-
-  # ── J-07 escape-windows（required check，E-2 实装态收编）：受限 token + Job Object 四判据 ──
-  j07-escape-windows:
-    needs: [j04-test-windows]
-    runs-on: windows-2022
-    timeout-minutes: 30
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - run: npm install
-      - name: FFI debug matrix（diagnostic，S26 0xC0000142 排查）
-        run: node --experimental-transform-types scripts/win32-ffi-debug.ts
-      - name: 四判据沙箱 spike（FAIL 即非零退出，脚本退出码直连）
-        run: node --experimental-transform-types scripts/win32-koffi-spike.ts
-
-  # ── J-08 invariant-n1：N1 不变量 100 回放 fixtures（含篡改检出防假绿自检） ──
-  j08-invariant-n1:
-    needs: [j02-test-linux]
-    runs-on: ubuntu-24.04
-    timeout-minutes: 15
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - run: node --experimental-transform-types scripts/invariant-n1.ts
-      - uses: actions/upload-artifact@v4
-        with: { name: j08-invariant-n1, path: dist/ci/invariant-n1.jsonl, retention-days: 90 }
-
-  # ── J-09 contract：SessionEventMap 快照只增不删 + 公共 API 兼容 ──
-  j09-contract:
-    needs: [j02-test-linux]
-    runs-on: ubuntu-24.04
-    timeout-minutes: 10
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - run: node --experimental-transform-types scripts/contract-check.ts
-
-  # ── J-10/J-11/J-12 dx-smoke：QS-05 首跑通冒烟（doctor + reload 五阶段报告） ──
-  j10-dx-smoke-linux:
-    needs: [j02-test-linux]
-    runs-on: ubuntu-24.04
-    timeout-minutes: 15
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      # 1.5 起 zod 为常规运行时依赖（D-22）——cli.ts 传递加载，dx-smoke 需 node_modules
-      - run: npm install
-      - run: node --experimental-transform-types src/cli.ts doctor
-      - run: node --experimental-transform-types src/cli.ts reload test/fixtures/hello-plugin.ts
-
-  j11-dx-smoke-macos:
-    needs: [j03-test-macos]
-    runs-on: macos-14
-    timeout-minutes: 20
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      # 1.5 起 zod 为常规运行时依赖（D-22）——cli.ts 传递加载，dx-smoke 需 node_modules
-      - run: npm install
-      - run: node --experimental-transform-types src/cli.ts doctor
-      - run: node --experimental-transform-types src/cli.ts reload test/fixtures/hello-plugin.ts
-
-  j12-dx-smoke-windows:
-    needs: [j04-test-windows]
-    runs-on: windows-2022
-    timeout-minutes: 20
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      # 1.5 起 zod 为常规运行时依赖（D-22）——cli.ts 传递加载，dx-smoke 需 node_modules
-      - run: npm install
-      - run: node --experimental-transform-types src/cli.ts doctor
-      - run: node --experimental-transform-types src/cli.ts reload test/fixtures/hello-plugin.ts
-
-  # ── J-13/J-14/J-15 package-*：npm pack 干跑 + files 白名单/包名断言（唯一允许 rerun 的 Job 组） ──
-  j13-package-linux:
-    needs: [j05-escape-linux, j10-dx-smoke-linux]
-    runs-on: ubuntu-24.04
-    timeout-minutes: 20
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - run: node --experimental-transform-types scripts/package-check.ts
-
-  # 依赖调整登记：J-14 原依赖 J-06（冻结态未设 Job）→ 回退 J-03（darwin 测试面），见文件头 J-06 冻结登记
-  j14-package-macos:
-    needs: [j03-test-macos, j11-dx-smoke-macos]
-    runs-on: macos-14
-    timeout-minutes: 25
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - run: node --experimental-transform-types scripts/package-check.ts
-
-  j15-package-windows:
-    needs: [j07-escape-windows, j12-dx-smoke-windows]
-    runs-on: windows-2022
-    timeout-minutes: 25
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - run: node --experimental-transform-types scripts/package-check.ts
-
-  # ── J-17 escape-wsl2（required check，M3 新增）：§2.1.1 六步编排，企业代表拓扑对等回归 ──
-  j17-escape-wsl2:
-    needs: [j02-test-linux]
-    runs-on: windows-2022
-    timeout-minutes: 40
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/download-artifact@v4
-        with: { name: landlock-run-linux-x64-gnu, path: dist/ci-artifacts }
-      - name: 步骤 1 · WSL 启用自检（内核缺失时 wsl --update 自愈；run 35312957963 教训）
-        shell: pwsh
-        run: |
-          wsl --status; if ($LASTEXITCODE -ne 0) { wsl --update --web-download }
-          # run 35315242805 教训：默认版本可能是 1（无内核翻译层，Landlock 不可用）——强制 WSL2
-          wsl --set-default-version 2; if ($LASTEXITCODE -ne 0) { wsl --update; wsl --set-default-version 2 }
-          wsl --status
-      - name: 步骤 2 · Ubuntu 24.04 发行版导入（web-download 绕 Store；失败 = 环境失败 §2.1.3）
-        shell: pwsh
-        run: |
-          wsl --install -d Ubuntu-24.04 --no-launch --web-download
-          wsl --set-version Ubuntu-24.04 2
-          wsl -d Ubuntu-24.04 -e uname -r
-      - name: 步骤 3-5 · 环境自检 + 工作区迁移 ext4 + 20 条实跑
-        shell: bash
-        run: |
-          set -e
-          # run 35313717410 教训：runner 的 D 盘不一定被 automount（/mnt/d 不存在）——
-          # 全部经 tar 流直灌 ext4（~/car-import），绕开 /mnt 依赖；编排器从该路径自取 native/test
-          wsl -d Ubuntu-24.04 -e bash -c "rm -rf ~/car-import && mkdir -p ~/car-import"
-          tar -cf - native test dist/ci-artifacts | wsl -d Ubuntu-24.04 -e bash -c "tar -xf - -C ~/car-import && chmod +x ~/car-import/dist/ci-artifacts/landlock-run"
-          # 防御性去 CR：runner checkout 可能仍产 CRLF（\r 会让 set -euo pipefail 直接 invalid option）
-          wsl -d Ubuntu-24.04 -e bash -c "sed -i 's/\r\$//' ~/car-import/test/sandbox-escape/*.sh"
-          wsl -d Ubuntu-24.04 -e bash -c "bash ~/car-import/test/sandbox-escape/j17-orchestrate.sh ~/car-import ~/car-import/dist/ci-artifacts/landlock-run"
-      - name: 步骤 6 · 审计 JSONL 回传（无论成败）
-        if: always()
-        shell: bash
-        run: |
-          REPO_WSL="/mnt/$(pwd | sed 's#^/##')"
-          mkdir -p dist/ci-audit
-          wsl -d Ubuntu-24.04 -e bash -c "cp ~/car-matrix/audit/escape-audit.jsonl '$REPO_WSL/dist/ci-audit/escape-audit.jsonl' 2>/dev/null || true" || true
-          # /mnt 不可用时兜底：cat 直出（run 35313717410 教训）
-          [ -s dist/ci-audit/escape-audit.jsonl ] || wsl -d Ubuntu-24.04 -e bash -c "cat ~/car-matrix/audit/escape-audit.jsonl" > dist/ci-audit/escape-audit.jsonl 2>/dev/null || true
-      - uses: actions/upload-artifact@v4
-        if: always()
-        with: { name: j17-escape-audit, path: dist/ci-audit/escape-audit.jsonl, retention-days: 90 }
-
-  # ── J-18 registry-e2e（required check，M3 新增）：Verdaccio 实跑 + §3.6 六用例组 ──
-  j18-registry-e2e:
-    needs: [j02-test-linux]
-    runs-on: ubuntu-24.04
-    timeout-minutes: 20
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with: { node-version: '22.19' }
-      - run: node --experimental-transform-types test/registry-e2e/run-e2e.ts
-      - uses: actions/upload-artifact@v4
-        if: always()
-        with: { name: j18-registry-e2e, path: dist/ci/registry-e2e.jsonl, retention-days: 90 }

package/.github/workflows/release.yml

@@ -1,54 +0,0 @@
-name: release
-on:
-  workflow_dispatch:
-  release:
-    types: [published]
-permissions:
-  # 1.3-S3（W4-2）：contents 提升为 write——gh release upload 资产上传需要；
-  # id-token: write 为 keyless cosign（OIDC + Rekor）凭据源（D-15 正式轨）
-  contents: write
-  id-token: write
-# J-16 release-merge（M2 §2.3）+ 1.3 W4 全自动化：
-#   构建制品（release-artifacts.ts——与本地 release-pipeline.ts 单一事实源，R-3）
-#   → cosign keyless 签名 tgz（OIDC + Rekor 透明日志；私钥不出本地，D-15 正式轨）
-#   → 上传五件套到 Release（gh release upload --clobber；消除 1.0 错挂/1.2 树漂移的人工拖拽面）
-#   → npm publish --provenance（原步不动）。
-# 步骤序红线：upload 先于 publish——上传失败 job 即红，publish 不带病出街。
-# 回退预案（R-1，演练预案非静默）：keyless 签名/上传失败时可临时人工拖拽资产，事后修复重发。
-jobs:
-  j16-release-merge:
-    runs-on: ubuntu-latest
-    steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
-        with:
-          node-version: 22
-          registry-url: https://registry.npmjs.org/
-      - name: Build release artifacts (single-source with local pipeline, W4-1)
-        run: node --experimental-transform-types scripts/release-artifacts.ts
-      - name: Install cosign (pinned, R-4)
-        uses: sigstore/cosign-installer@v3.7.0
-      - name: Keyless sign tarball (OIDC + Rekor, D-15 formal track)
-        run: |
-          VERSION=$(node -p "require('./package.json').version")
-          cosign sign-blob --yes --bundle "dist/car-runtime-${VERSION}.tgz.sig.bundle" "dist/car-runtime-${VERSION}.tgz"
-          echo "{\"stage\":\"cosign-keyless\",\"detail\":\"signed car-runtime-${VERSION}.tgz (keyless OIDC + Rekor)\",\"ts\":$(date +%s%3N)}" >> dist/release-audit.jsonl
-      - name: "Upload release assets (W4 - zero manual drag-and-drop)"
-        env:
-          GH_TOKEN: ${{ github.token }}
-        run: |
-          VERSION=$(node -p "require('./package.json').version")
-          for f in dist/car-runtime-${VERSION}.tgz dist/car-runtime-${VERSION}.tgz.sig.bundle dist/SHA256SUMS dist/sbom.json dist/release-audit.jsonl; do
-            # 上传目标 = 包版本号（D-14 裸 tag 形态：release tag == version）；dispatch 触发亦可用
-            gh release upload "$VERSION" "$f" --clobber
-          done
-      - name: Publish to npm with provenance
-        # dist-tag 按版本形态动态选择：prerelease（如 1.0.0-rc.1）→ rc；稳定版（1.0.0）→ latest。
-        # M5 §1.1 口径：1.0 发布时 latest→1.0.0，rc tag 保留指向 rc.1 不回指——稳定版禁止 --tag rc。
-        run: |
-          VERSION=$(node -p "require('./package.json').version")
-          if echo "$VERSION" | grep -q -- '-'; then TAG=rc; else TAG=latest; fi
-          echo "version=$VERSION -> dist-tag=$TAG"
-          npm publish --provenance --tag "$TAG"
-        env:
-          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}

package/adr/ADR-001.md

@@ -1,4 +0,0 @@
-# ADR-001 · max-tokens 处置策略
-状态: 已定稿（S2 实装）| 2026-09-02
-决策: 默认 DSH 式解析前收口（finishReason=length 不解析工具调用，禁补全半截 JSON）；TurnEndReason 保留至 turn/end（endReasonTrail）；只读白名单工具可选 Pi 式补错重试（preset 显式开启）；finishReason 为不可变透传字段，改写/吞没触发 AL-05。
-证据: D5 §4 + SR-17（vLLM #53269 教训）+ POC-3 I4 断言（截断保留语义已验证）。

package/adr/ADR-002.md

@@ -1,5 +0,0 @@
-# ADR-002 · 卸载顺序双模式接口
-状态: 已定稿 + S1 实装（strict-topo 默认）| 2026-09-04
-决策: ctx.effect 双模式——strict-topo（Kahn 分层反转逐层排空，消费者先于提供者）/ concurrent（跨 fiber 并发，对照降级模式）；fiber 内一律注册逆序。
-证据: POC-1 spike（poc1-dispose-order.ts）实证屏障可行；dsh Fiber._unload 为 Promise.all 并发（fiber.ts:676），barrier 缺失——CAR 自研超越点。
-S1 踩坑记录: Kahn 分层方向为 provider→consumer，teardown 必须 reverse 层序（首版实现即踩，测试捕获）。

package/adr/ADR-003.md

@@ -1,35 +0,0 @@
-# ADR-003 · 插件签名信任根与 enforce 策略（D-1/D-2 裁决实装）
-
-状态: 已定稿（S5 定稿文档；S6 验签器实装）| 2026-09-04
-
-## 决策（D-1）
-
-**双轨签名**：Sigstore keyless 主轨（与发布工程 G-08 cosign / G-09 npm provenance 同源，不另起炉灶）+ minisign 式静态密钥离线轨（解决 R-6 内网/离线验证失败）。
-
-信任锚三层：
-1. 内置根：CAR 项目公钥编译期 pinning；
-2. Sigstore 链：离线 bundle 验证，禁止运行时拉网（对齐部署侧禁运行时网络下载纪律）；
-3. 企业自管替换点：`trustRoot` 配置可替换信任锚，替换动作写审计日志。
-
-## 决策（D-2）
-
-**enforce 时点**：S6 warn 上线（签名缺失 = 告警放行 + manifestHash 指纹兜底）→ S8 末统计 unsigned 占比与误伤率 → S10 发布预演前切 enforce（缺失 = 硬拒绝）。
-
-fail-closed 三情形分级：
-| 情形 | M2 行为 |
-| --- | --- |
-| 签名校验失败（有签名但不对） | 硬拒绝，**不可配置放行** |
-| 签名缺失 | S6-S9 warn + 指纹兜底 → S10 enforce 拒绝 |
-| Rekor 透明日志不可达 | 回退静态轨；双轨皆败按缺失处理 |
-
-存量已装插件不回溯强制（manifestHash 指纹持续兜底，M3 企业策略项）。Git 直载维持决议⑦告警语义，不纳入 enforce。
-
-## 依据
-
-- 决议⑦：分发 = 目录+签名起步（Shai-Hulud/ClawHub 供应链教训，SR-08/09/14）；
-- 部署侧 G-08/G-09 同源复用（M2部署设计增补 T-4）；
-- M1 已有 manifestHash 指纹兜底（loader.ts）。
-
-## 回退方案
-
-Sigstore 生态不可用（如 Rekor 长期故障）→ 静态轨独立承载；企业场景 → trustRoot 替换为自管根。验签失败处置遵循安全设计 §4.4 装载前三段。

package/adr/host-onboarding.md

@@ -1,68 +0,0 @@
-# E-6 宿主实连接入指南（M4-S18）
-
-> CAR-as-MCP-Server：宿主（Claude Code / Codex）把 CAR 当作一个 MCP server 接入——
-> 9 tool 会话级能力面（session_start/turn/stop/status/replay/verify/export + tool_list/tool_call）。
-> 传输 = stdio JSON-RPC（换行分隔），与 M3 契约测试同一接入面（双宿主等价由契约锁定）。
-
-## Claude Code 接入
-
-项目根目录 `.mcp.json`（或 `~/.claude.json` 全局）：
-
-```json
-{
-  "mcpServers": {
-    "car": {
-      "command": "node",
-      "args": [
-        "--experimental-transform-types",
-        "{CAR_ROOT}/src/cli.ts",
-        "mcp-serve",
-        "--host", "claude-code"
-      ]
-    }
-  }
-}
-```
-
-## Codex 接入
-
-`~/.codex/config.toml`：
-
-```toml
-[mcp_servers.car]
-command = "node"
-args = [
-  "--experimental-transform-types",
-  "{CAR_ROOT}/src/cli.ts",
-  "mcp-serve",
-  "--host", "codex",
-]
-```
-
-## 验证步骤（E-6 五类契约手工清单）
-
-1. `car doctor` → 确认 Node ≥22.19 与沙箱能力状态；
-2. 宿主内触发 MCP 工具列表刷新 → 应看到 9 个 `session_*` / `tool_*` 工具；
-3. 调 `session_start` → 返回 `SH-` 前缀会话 id（跨宿主隔离：两个宿主各自 start 得到不同 id）；
-4. `session_turn` 提交一批宿主事件 → 返回 `{reason, steps}`；未知宿主事件应无报错（hostRaw 降级留痕，非失败）；
-5. `session_verify` → `ok:true`（哈希链完整）；`session_replay` → 消息流与宿主侧对话语义一致；
-6. 结束会话后检查 stderr 快照行：`zeroContent=true`（采集窗口零内容红线）。
-
-## 采集窗口（D-2 数据窗口 S18–S20）
-
-- 每次会话结束（stdin 关闭）向 **stderr** 输出一行快照（stdout 为协议通道不可污染）；
-- 快照仅含 3 个零内容 Counter（load_total / unsigned_confirmed / registry_decision）——
-  `assertZeroContent` 自检内建；
-- 登记表兜底：企业未开启遥测时，人工抄录快照行即可满足 S20 enforce 决策的数据输入（双通道设计）。
-
-## E-6 实连执行记录（2026-09-05 · 本机冒烟 ✅）
-
-- 协议握手已实装（initialize / notifications/initialized——MCP 协议兼容，冒烟前置补齐）；
-- 本机端到端冒烟（真实 spawn 进程，配置同款命令行）：initialize serverInfo=car-runtime 0.3.0 → tools/list 9 → session_start=SH-fa5c8838469ba4599032d35b → session_turn completed → session_verify ok → stderr 快照 zeroContent=true；
-- 宿主侧配置已写入：Claude Code 项目级 `D:/WorkBuddy/agent/.mcp.json` + Codex `~/.codex/config.toml` 追加段（command 用 Node 22.22.2 绝对路径——系统 node20 不支持 --experimental-transform-types）；
-- 待真实宿主 GUI 会话验证（启动 Claude Code 于本工作区 / codex 会话内确认 9 tool 出现）。
-
-## 已知边界
-
-- 会话状态为进程内存态（进程退出即失）；跨进程持久化走 `session_export` 取证包 → S19 评估文件落盘增强；
-- `tool_list`/`tool_call`（宿主工具面透传）在试点期返回占位（S19 接线宿主侧工具注册）。