@lqc123qwe/car-runtime 1.8.0 → 1.10.0

package/adr/mlps-audit-checklist.md

@@ -1,41 +0,0 @@
-# 等保 2.0 三级安全审计逐条核验清单（D-4 裁决落地 · S9）
-
-> **核验方法**：GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》8.1.4.3 安全审计（三级，安全计算环境）
-> 条目原文经**三个独立公开来源交叉证实**（腾讯云等保解读 cloud.tencent.com.cn/document/practice/664/71724、
-> 深信服等保三级配置指导手册、长沙望城区政府采购需求文件 changs.ccgp-hunan.gov.cn，2026-09-04 检索）——
-> 置信度由 v1.1 的「常识归纳」升级为「条目级已核验（公开文本交叉证实）」。正式测评仍以测评机构现场判定为准。
-
-## 逐条核验（8.1.4.3 a–d）
-
-| 条目 | 原文（三级） | CAR 承载 | 判定 |
-|------|------------|---------|------|
-| a) | 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计 | 会话日志全量事件覆盖四类 actor（user/model/plugin/runtime）；授权决策（authorization/*）、沙箱拒绝、降级事件、供应链事件全留痕；默认开启不可关闭（检测不可静默关闭，红线 §6.3） | ✅ 满足 |
-| b) | 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息 | 13 项审计字段最小集：ts（ISO-8601 UTC）/actor/eventType/result/status……（安全设计 §7.2.2 Q-09） | ✅ 满足 |
-| c) | 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等 | 防未预期篡改 = append-only + SHA-256 哈希链 + verifyChain（断链即 AL-01 P0）；导出前强制断链校验；文件权限 0700/0600 | ⚠️ 部分——**「定期备份」为部署方配套措施**（运行时提供导出副本 + 完整性清单，不执行自动备份调度）；防覆盖 = 运行时零删除路径（仅用户显式删会话）已满足 |
-| d) | 应对审计进程进行保护，防止未经授权的中断 | 审计写路径 fail-fast：盘满 A070001 → turn 以 error 收口，禁止静默丢弃（L0 审计无降级路径）；审计接口对日志零写入（T4 域隔离） | ⚠️ 部分——**本机同级进程可终止运行时进程**（OS 级保护归部署方：专用账户/最小权限/主机加固）；运行时侧已尽 fail-fast + 显式失败 |
-
-## 差距项处置（禁止静默降标）
-
-| 编号 | 差距 | 处置 | 时机 |
-|------|------|------|------|
-| MLPS-G1 | c) 定期备份调度 | 部署方配套措施——部署文档提供《等保配套检查单》（导出副本周期建议 + WORM 存储选项）；运行时侧 M3 评估可选定时导出 | S9 文档 / M3 评估 |
-| MLPS-G2 | d) 进程级防中断 | 部署方配套措施——以专用低权限账户运行（car doctor 已检查 root/SYSTEM 并 WARN）+ OS 服务管理器托管（systemd Restart/Windows 服务恢复策略） | S9 文档 |
-| MLPS-G3 | 日志留存 ≥6 个月 | 运行时默认永不清理（满足）；「留存承诺」为部署方在等保定级材料中的义务声明 | 声明模板 |
-
-## 分层声明集成
-
-`complianceStatement('mlps')`（src/session/export.ts）输出上述判定结论的程序化版本——
-面向客户合规问卷的答复骨架；三标（SOC 2 / GDPR / 等保）分层字段映射见 FIELD_STANDARD_MAP。
-
-## 遗留
-
-- 正式测评口径以测评机构现场判定为准；本清单为产品侧证据准备。
-- M3 backlog：可选定时导出（若企业深访显示备份自动化是采购关键）。
-
-## D-4 追记 · MLPS-G1 处置定稿（2026-09-09 主理人裁决）
-
-> **裁决：维持部署方配套，运行时不实装定时导出**（M3 backlog 保留观察）。
->
-> 依据：①运行时侧 c) 项证据链已闭环（append-only + SHA-256 哈希链 + verifyChain + 零删除路径 + 导出副本/完整性清单能力），「定期备份调度」属部署方运维域；②等保三级才是审计备份强约束场景，rc 阶段无企业等保客户在途，提前实装属过度供给；③零依赖红线（G-04）下新增定时器为纯增量代码重量。
->
-> 关闭条件重开：企业深访中「备份自动化」成为采购关键，或首个等保定级客户接入时，从 M3 backlog 提级（预估 0.5 人日：定时器 + 导出副本 + 完整性清单 + 关闭开关）。

package/adr/win32-spike.md

@@ -1,45 +0,0 @@
-# Windows 沙箱 spike 方案（M2-S7 出方案 → S8 实装，M2系统设计增补 T-3 / 规划 §4 三重闸门第一道）
-
-## 路线定稿
-
-**路线 a（推荐，证据充分）**：Node + koffi FFI 纯 JS 实现 Win32 受限 token + Job Object——
-dsh win32 路径即此形态（`sandbox-local/src/index.ts:160-161`，源码级已核实），Codex 受限 token 语义为参照
-（SR-19）。禁运行时网络下载沙箱组件（M2部署设计增补 D-3）——koffi 走 optionalDependencies 随包分发。
-
-## 三阶段 spike（S8 第一周执行，Windows 10/11 + Server 2022 双机）
-
-### 阶段 1：受限 token 创建（约 1 人日）
-
-koffi 调用链：`CreateProcessAsUserW`（受限 token）或 `CreateProcessW` + `CREATE_RESTRICTED_TOKEN`
-- `OpenProcessToken(GetCurrentProcess(), TOKEN_DUPLICATE|TOKEN_QUERY, &h)`
-- `CreateRestrictedToken(h, DISABLE_MAX_PRIVILEGE, 0, NULL, 0, NULL, 1, [sids deny Administrators], &restricted)`
-- 验证命令：spike 子进程内执行 `whoami /groups` → 断言 `S-1-16-0`（Untrusted IL）或 Administrators deny SID 在列；
-- 写能力探针：尝试写 `%USERPROFILE%` 外路径 → 断言拒绝（fail-closed）。
-
-### 阶段 2：Job Object 资源配额（约 0.5 人日）
-
-- `CreateJobObjectW` → `SetInformationJobObject(JobObjectExtendedLimitInformation)`：
-  内存 256MB + 活跃进程数 32 + `JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE`；
-- `AssignProcessToJobObject`；验证：fork 炸弹用例（POC-4 T-17）在配额内被拒。
-
-### 阶段 3：逃逸矩阵试跑（约 1 人日）
-
-- POC-4 的 20 条用例以 win32 后端实跑（env-proc 类预期通过 deny 继承成立）；
-- 全 PASS + 审计 JSONL → 进 CI windows-2022 runner（16 Job 矩阵，M2部署设计增补）。
-
-## 四判据（S8 结论门）
-
-1. 受限 token 下 `whoami /groups` 显示剥离管理员 SID；
-2. 工作区外写操作返回 ACCESS_DENIED（fail-closed，非静默）；
-3. Job Object 配额触发生效（fork 炸弹被杀，父进程存活）；
-4. koffi 调用零原生编译（纯 JS 依赖链成立，npm install 干净机器可复现）。
-
-## 逐级回退（判据任一不可达）
-
-a 失败 → 回退 b：`PsExec -l -e` 外部工具包装（依赖 Sysinternals，企业可接受性降）；b 失败 → 回退 c：
-win32 显式降级维持 S3 现状（BD-01 语义，降级需走中间确认——M2 规划 §4 第三道闸门）。
-
-## spike 脚本
-
-`scripts/win32-koffi-spike.ts`——阶段 1/2 的 koffi 调用骨架（`koffi` 未安装时输出 SKIP + 判据清单，
-与 POC-4 windows-skip 后端口径一致）。

package/docs/plugin-authoring.md

@@ -1,82 +0,0 @@
-# CAR 插件作者指南（M6 DX）
-
-面向插件作者的写码红线与热重载实操。本文所述行为均为实测口径（POC-2 + S1–S3 红线），不是"建议"。
-
-## 插件文件形态
-
-CAR 免编译加载插件（Node type-stripping 载体），一个插件 = 一个 `.ts` 文件：
-
-```ts
-// my-plugin.ts
-export const manifest = { name: 'my-plugin', version: '1.2.3' }  // 命名导出，可省略（省略则按文件名合成）
-
-export default function apply(api) {
-  api.registerTool({ name: 'hello', run: async () => 'world' })
-  api.registerCommand({ name: 'hi', run: async (args) => console.log('hi', args) })
-}
-```
-
-- `manifest.version` 必须是**精确 semver**（`x.y.z`），版本区间仅用于 peer 校验；
-- `manifest.peers` 声明 peer 约束：`{ peer, range, optional? }`；冲突即加载期硬报错，
-  放宽需 `manifest.peerPolicyOverride = { relaxed: true, reason: '…' }`（reason 必填，审计留痕）；
-- 插件源码只接受 **erasable TS**（禁 enum/namespace/装饰器等需转换的语法，loader 挂点显式拒绝）。
-
-## 写码红线（违反 = 运行期错位，已实证）
-
-### 1. invalidate 必须包裹插件 fiber 作用域 ctx，而非根 ctx
-
-POC-2 实证：把根 ctx 透传给插件工厂会导致 effect 注册到错误 fiber——**effect 注册错位、
-dispose 回卷不到**。热重载失效旧实例时，只能失效插件自身作用域的 ctx（`api` 句柄），
-根 ctx 与其它插件不受影响。插件作者视角：不要保存/传递宿主根 ctx，只使用 `apply(api)` 收到的 `api`。
-
-### 2. apply 不能返回非 disposer 对象
-
-cordis 语义：`apply` 返回值 = effect body。CAR 内核同步约定——`apply` 同步完成注册，
-需要异步初始化请走 `ctx.effect(async () => { … })`。返回 Promise/普通对象 = 加载期显式报错。
-
-### 3. getRegisteredTools 在 bindCore 前调用即抛 CAR-STUB
-
-Stub 语义分层（红线 5）：
-- **注册类动作**（`registerTool`/`registerCommand`）Stub 期始终可用——收集待注册项，`bindCore` 后冲刷；
-- **能力查询**（`getRegisteredTools`）依赖宿主绑定，bindCore 前一调用即抛
-  `CAR-STUB`——用启动期显式失败换运行期时序正确。
-
-### 4. 旧 ctx 访问抛 CAR-INVALIDATED
-
-`car reload`（或 `ReloadManager.reload()`）后，旧插件实例的 `api` 句柄**任何属性访问**都抛
-`CAR-INVALIDATED: … (旧上下文已失效，请重新加载)`。持有旧句柄的闭包不会静默失效——显式报错定位。
-
-## 热重载实操
-
-```bash
-car reload my-plugin.ts      # 单文件
-car reload ./plugins/        # 目录（扫描 *.ts，排除 .d.ts/.spec.ts）
-```
-
-五阶段流水线（任一 FAIL 短路，后续 SKIPPED，FAIL 附文件+原因定位）：
-
-| 阶段 | 内容 | 典型 FAIL |
-|------|------|-----------|
-| discover | 扫描插件文件；git 直载来源产生 CAR-W-GIT-DIRECT 告警（E-03） | 路径不存在 / 无 .ts |
-| parse | 读 manifest（命名导出，缺失按文件名合成）+ parseManifest | version 非精确 semver |
-| validate | peer 约束校验，冲突链进报告 `conflicts` | peer 区间不符且未豁免 |
-| topo | peer 依赖边 Kahn 拓扑排序 | 依赖环（CAR-E-DEPCYCLE） |
-| register | mountPlugin 逐个装配（拓扑序） | 工厂非默认导出 / erasable 违规 / 重名 |
-
-成功输出含 `installId`、`startedTime`、`durationMs`（QS-05 基线 P95 ≤ 800ms）与 `warnings`。
-
-程序化热重载：
-
-```ts
-import { ReloadManager } from '../src/load/report.ts'
-const mgr = new ReloadManager()
-const { report, plugins } = await mgr.reload('./plugins/')  // epoch 每次 +1 击穿模块缓存
-```
-
-## peer 冲突链示例
-
-```
-[validate] FAIL — ./plugins/b.ts: peer dep-p@^2.0.0 required but 1.0.0 installed (path: manifest.peers)
-```
-
-冲突链定位三要素：**文件**（谁声明的）、**区间 vs 实际版本**、**依赖路径**。按此修版本或走豁免流程。

package/native/landlock-run/Makefile

@@ -1,19 +0,0 @@
-# landlock-run 构建单源（M3部署设计增补 §2.1.2：J-01 单点编译，J-05/J-17 消费产物，禁止平台内重编译）
-# 目标三元组：linux-x64-gnu；产物指纹随 J-01 SBOM 下发，消费方启动时校验 sha256
-CC      ?= cc
-CFLAGS  ?= -O2 -std=c11 -Wall -Wextra -Werror
-TARGET   := landlock-run
-
-.PHONY: all clean verify
-
-all: $(TARGET)
-
-$(TARGET): landlock-run.c
-	$(CC) $(CFLAGS) -o $@ $<
-
-# 消费方（J-05/J-17）产物指纹校验入口
-verify: $(TARGET)
-	sha256sum $(TARGET)
-
-clean:
-	rm -f $(TARGET)

package/native/landlock-run/landlock-run.c

@@ -1,162 +0,0 @@
-/**
- * landlock-run — CAR F3 沙箱 Linux 后端（self-restrict-then-exec，fail-closed）
- *
- * 接口契约（src/sandbox/sandbox.ts 调用面，不得单方面变更）：
- *   landlock-run --probe                     探测内核 Landlock 可用性：可用 exit 0，不可用 exit 1
- *   landlock-run --ro -- argv...             只读沙箱：全盘可读可执行，任何写一律拒绝
- *   landlock-run --rw -- argv...             工作区写沙箱：仅当前工作目录（cwd）可写，其余全盘只读
- *
- * 语义（《系统设计》F3 / 安全设计 §5.3 / M3部署设计增补 §2.1.2）：
- *   - allowlist 制：Landlock ruleset 未覆盖路径的 handled 访问位一律拒绝（fail-closed）；
- *   - handled 位 = ABI1 全集（EXECUTE/WRITE_FILE/READ_FILE/READ_DIR/REMOVE_DIR/REMOVE_FILE/
- *     MAKE_CHAR/MAKE_DIR/MAKE_REG/MAKE_SOCK/MAKE_FIFO/MAKE_TRANS/MAKE_SYM）
- *     + ABI≥3 追加 TRUNCATE；
- *     ABI2 REFER 不处理（跨目录 re-link 由内核默认拒绝——逃逸面收紧而非放松）；
- *   - PR_SET_NO_NEW_PRIVS 先置位再 restrict_self（setuid 提权失效）；
- *   - 用例/审计要求：任何一条访问位拒绝都表现为目标系统调用的 EACCES，由上层用例断言。
- *
- * ABI 兼容：直接 syscall（x86_64: 444/445/446），不依赖 glibc 封装（glibc < 2.34 也可编译）。
- * 构建单源（M3 §2.1.2）：J-01 单点编译 linux-x64-gnu，J-05/J-17 消费同一二进制，禁止平台内重编译。
- */
-#define _GNU_SOURCE
-#include <errno.h>
-#include <fcntl.h>
-#include <linux/prctl.h>
-#include <sched.h>
-#include <stdint.h>
-#include <stdio.h>
-#include <stdlib.h>
-#include <string.h>
-#include <sys/prctl.h>
-#include <sys/stat.h>
-#include <sys/syscall.h>
-#include <unistd.h>
-
-/* ── Landlock ABI（x86_64 syscall numbers，内核 ≥ 5.15 环境，J-17 环境自检兜底） ── */
-#define SYS_LANDLOCK_CREATE_RULESET 444
-#define SYS_LANDLOCK_ADD_RULE       445
-#define SYS_LANDLOCK_RESTRICT_SELF  446
-
-#define LANDLOCK_CREATE_RULESET_VERSION 1U
-
-/* Landlock FS 访问位（linux/landlock.h 同值，手工定义以摆脱头文件版本依赖） */
-#define LL_FS_EXECUTE    (1ULL << 0)
-#define LL_FS_WRITE_FILE (1ULL << 1)
-#define LL_FS_READ_FILE  (1ULL << 2)
-#define LL_FS_READ_DIR   (1ULL << 3)
-#define LL_FS_REMOVE_DIR (1ULL << 4)
-#define LL_FS_REMOVE_FILE (1ULL << 5)
-#define LL_FS_MAKE_CHAR  (1ULL << 6)
-#define LL_FS_MAKE_DIR   (1ULL << 7)
-#define LL_FS_MAKE_REG   (1ULL << 8)
-#define LL_FS_MAKE_SOCK  (1ULL << 9)
-#define LL_FS_MAKE_FIFO  (1ULL << 10)
-#define LL_FS_MAKE_TRANS (1ULL << 11)
-#define LL_FS_MAKE_SYM   (1ULL << 12)
-/* ABI v2 (1<<13 REFER) 有跨目录授权约束，不纳入 handled（跨目录 mv/link 默认拒绝，收紧面） */
-#define LL_FS_TRUNCATE   (1ULL << 14) /* ABI v3 (kernel ≥ 6.2) */
-
-#define LL_ABI1_WRITE_BITS (LL_FS_WRITE_FILE | LL_FS_REMOVE_DIR | LL_FS_REMOVE_FILE | \
-                            LL_FS_MAKE_CHAR | LL_FS_MAKE_DIR | LL_FS_MAKE_REG | \
-                            LL_FS_MAKE_SOCK | LL_FS_MAKE_FIFO | LL_FS_MAKE_TRANS | \
-                            LL_FS_MAKE_SYM)
-#define LL_ABI3_EXTRA      LL_FS_TRUNCATE
-
-#define LANDLOCK_RULE_PATH_BENEATH 1U /* linux/landlock.h 同值 */
-
-struct ll_ruleset_attr { uint64_t handled_access_fs; };
-struct ll_path_beneath_attr { uint64_t allowed_access; int parent_fd; };
-
-static int ll_create_ruleset(uint64_t handled, uint32_t *abi_out) {
-  /* 先查 ABI 版本（不创建 ruleset） */
-  int abi = (int)syscall(SYS_LANDLOCK_CREATE_RULESET, NULL, 0,
-                         LANDLOCK_CREATE_RULESET_VERSION);
-  if (abi < 0) return -1; /* EOPNOTSUPP: LSM 未启用 / ENOSYS: 内核过旧 / EINVAL */
-  *abi_out = (uint32_t)abi;
-
-  struct ll_ruleset_attr attr = { .handled_access_fs = handled };
-  return (int)syscall(SYS_LANDLOCK_CREATE_RULESET, &attr, sizeof(attr), 0U);
-}
-
-static int ll_add_path_rule(int ruleset_fd, uint64_t access, const char *path) {
-  int fd = open(path, O_PATH | O_CLOEXEC);
-  if (fd < 0) return -1;
-  struct ll_path_beneath_attr rule = { .allowed_access = access, .parent_fd = fd };
-  int rc = (int)syscall(SYS_LANDLOCK_ADD_RULE, ruleset_fd,
-                        LANDLOCK_RULE_PATH_BENEATH, &rule, 0U);
-  /* LANDLOCK_RULE_PATH_BENEATH = 1（linux/landlock.h） */
-  close(fd);
-  return rc;
-}
-
-static int ll_restrict(int ruleset_fd) {
-  if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) != 0) return -1;
-  return (int)syscall(SYS_LANDLOCK_RESTRICT_SELF, ruleset_fd, 0U);
-}
-
-/* probe：Landlock 可探测（内核 ≥ 5.13 + LSM 启用）exit 0，否则 exit 1 */
-static int do_probe(void) {
-  uint32_t abi = 0;
-  int fd = ll_create_ruleset(LL_FS_EXECUTE | LL_FS_WRITE_FILE, &abi);
-  if (fd < 0) return 1;
-  close(fd);
-  return 0;
-}
-
-static void usage_exit(void) {
-  fprintf(stderr,
-    "usage: landlock-run --probe\n"
-    "       landlock-run --ro -- argv...\n"
-    "       landlock-run --rw -- argv...\n");
-  exit(64); /* 契约：非法用法固定 64（逃逸矩阵 E 类断言面） */
-}
-
-int main(int argc, char **argv) {
-  if (argc < 2) usage_exit();
-
-  if (strcmp(argv[1], "--probe") == 0) return do_probe();
-
-  int rw;
-  if (strcmp(argv[1], "--ro") == 0) rw = 0;
-  else if (strcmp(argv[1], "--rw") == 0) rw = 1;
-  else usage_exit();
-
-  if (argc < 4 || strcmp(argv[2], "--") != 0) usage_exit();
-  char **cmd = &argv[3];
-
-  uint32_t abi = 0;
-  uint64_t handled = LL_FS_EXECUTE | LL_FS_READ_FILE | LL_FS_READ_DIR | LL_ABI1_WRITE_BITS;
-  /* 建 ruleset；ABI≥3 时重建以纳入 TRUNCATE（否则 truncate 不受控 = 收窄覆盖面） */
-  int fd = ll_create_ruleset(handled, &abi);
-  if (fd < 0) { perror("landlock-run: create_ruleset"); return 65; }
-  if (abi >= 3) {
-    close(fd);
-    handled |= LL_ABI3_EXTRA;
-    fd = ll_create_ruleset(handled, &abi);
-    if (fd < 0) { perror("landlock-run: create_ruleset(abi3)"); return 65; }
-  }
-
-  /* 全盘读/执行放行（运行面），未覆盖写位 = 全盘默认拒绝（fail-closed） */
-  if (ll_add_path_rule(fd, LL_FS_EXECUTE | LL_FS_READ_FILE | LL_FS_READ_DIR, "/") != 0) {
-    perror("landlock-run: add rule /"); return 65;
-  }
-  /* /dev/null 写放行：null 设备无逃逸面，是 shell 重定向/工具链运行必需（dsh 同款惯例） */
-  uint64_t null_bits = LL_FS_WRITE_FILE | (abi >= 3 ? LL_FS_TRUNCATE : 0);
-  if (ll_add_path_rule(fd, null_bits, "/dev/null") != 0) {
-    perror("landlock-run: add rule /dev/null"); return 65;
-  }
-  if (rw) {
-    uint64_t write_bits = LL_ABI1_WRITE_BITS | (abi >= 3 ? LL_ABI3_EXTRA : 0);
-    /* 仅 cwd（工作区）可写——M3 §2.1.1 步骤 4 强约束：用例必须在原生 FS 工作区内跑 */
-    if (ll_add_path_rule(fd, write_bits, ".") != 0) {
-      perror("landlock-run: add rule ."); return 65;
-    }
-  }
-
-  if (ll_restrict(fd) != 0) { perror("landlock-run: restrict_self"); return 65; }
-  close(fd);
-
-  execvp(cmd[0], cmd);
-  perror("landlock-run: execvp");
-  return 66;
-}

package/scripts/contract-check.ts

@@ -1,56 +0,0 @@
-/**
- * J-09 contract · SessionEventMap 快照只增不删 + 公共 API 兼容（M2部署设计增补 §2.3）
- *
- * 口径：golden 基线（test/contract/eventmap.golden.json）⊆ 当前签名——
- *   删键/改语义 = FAIL（破坏跨宿主与审计回放兼容）；加键 = PASS（演进合法）。
- * 断言源 = src/session/log.ts 的运行时签名（用 SessionLog 实例与类型导出反射，非正则扫源码）。
- */
-import { SessionLog, type SessionEvent } from '../src/session/log.ts'
-import { readFileSync } from 'node:fs'
-
-const golden = JSON.parse(readFileSync('test/contract/eventmap.golden.json', 'utf8')) as {
-  eventKinds: string[]; actors: string[]; sessionEventFields: string[]; sessionLogApi: string[]
-}
-
-let failed = 0
-const check = (name: string, ok: boolean, detail?: string) => {
-  console.log(`[${ok ? 'PASS' : 'FAIL'}] ${name}${detail ? '  ' + detail : ''}`)
-  if (!ok) failed++
-}
-
-// ① 运行时反射：真实 append 路径产生的字段集
-const log = new SessionLog('contract-check')
-const ev: SessionEvent = log.append('user', 'user', 'T0', { text: 'x' })
-const evFields = Object.keys(ev).sort()
-const missingFields = golden.sessionEventFields.filter(f => !evFields.includes(f))
-check('SessionEvent 字段只增不删', missingFields.length === 0, missingFields.length ? `缺失: ${missingFields.join(',')}` : `当前: ${evFields.length} 字段`)
-
-// ② SessionLog 公共方法面（golden 中每个 API 必须仍存在且可调用签名合法）
-const missingApi = golden.sessionLogApi.filter(m => typeof (log as unknown as Record<string, unknown>)[m] !== 'function'
-  && typeof (SessionLog as unknown as Record<string, unknown>)[m] !== 'function')
-check('SessionLog 公共 API 只增不删', missingApi.length === 0, missingApi.length ? `缺失: ${missingApi.join(',')}` : `${golden.sessionLogApi.length} 项全在`)
-
-// ③ EventKind/Actor 枚举面：golden 的每个 kind 必须仍可 append 且进入投影
-// （编译期联合类型无法运行时枚举——用 golden 驱动正向验证：每个 kind append 成功 + deriveMessages 投影语义不变）
-let kindsOk = true
-for (const kind of golden.eventKinds) {
-  try {
-    const l = new SessionLog('kc-' + kind)
-    const actor = kind === 'user' ? 'user' : kind === 'assistant' ? 'model' : 'runtime'
-    l.append(actor as never, kind as never, 'T', { probe: kind })
-  } catch { kindsOk = false }
-}
-check('EventKind 枚举全兼容', kindsOk)
-
-// ④ 投影语义（CLI/宿主消费的 Envelope 面）：四类消息映射规则不变
-const l2 = new SessionLog('proj')
-l2.append('user', 'user', 'T', { text: 'u' })
-l2.append('model', 'assistant', 'T', { text: 'a' })
-l2.append('model', 'toolCall', 'T', { name: 't' })
-l2.append('runtime', 'toolResult', 'T', { ok: true })
-const proj = l2.deriveMessages()
-const roles = proj.map(m => m.role)
-check('deriveMessages 投影语义不变', JSON.stringify(roles) === JSON.stringify(['user', 'assistant', 'assistant', 'toolResult']), roles.join(','))
-
-console.log(`----\ncontract: ${4 - failed}/4 PASS, ${failed} FAIL`)
-process.exit(failed === 0 ? 0 : 1)

package/scripts/invariant-n1.ts

@@ -1,96 +0,0 @@
-/**
- * J-08 invariant-n1 · N1 不变量常驻门禁（M2部署设计增补 §2.3）
- *
- * 口径：N1 =「Model-visible means logged」（F2）——请求时快照 === 日志前缀投影。
- * 本脚本为 CI 承载体：100 个确定性回放 fixtures（固定种子 PRNG）× 三类断言：
- *   ① 正向：每 fixture 的全部快照与当前日志前缀投影逐字节一致（assertModelVisibleLogged）
- *   ② 哈希链：verifyChain 全绿；篡改任一事件 payload 必然断链（防假绿自检——G-11 教训：
- *      「看起来在测」的门禁必须先证明它能 FAIL）
- *   ③ 事件种类覆盖：8 种 EventKind 在 100 fixtures 上全覆盖（≥95% 判据按 8/8 执行）
- * 任一失败 exit 1；输出 JSONL 明细 + 汇总行（审计口径与 J-05/J-18 一致）。
- */
-import { SessionLog } from '../src/session/log.ts'
-import { writeFileSync, mkdirSync } from 'node:fs'
-
-/** 固定种子 PRNG（mulberry32）——fixtures 可复现，重跑不漂移 */
-function prng(seed: number): () => number {
-  let a = seed >>> 0
-  return () => {
-    a |= 0; a = (a + 0x6d2b79f5) | 0
-    let t = Math.imul(a ^ (a >>> 15), 1 | a)
-    t = (t + Math.imul(t ^ (t >>> 7), 61 | t)) ^ t
-    return ((t ^ (t >>> 14)) >>> 0) / 4294967296
-  }
-}
-
-const KINDS = ['user', 'assistant', 'toolCall', 'toolResult', 'turnEnd', 'goalUpdate', 'hostRaw', 'fork'] as const
-type Kind = (typeof KINDS)[number]
-
-const ACTOR_BY_KIND: Record<Kind, string> = {
-  user: 'user', assistant: 'model', toolCall: 'model', toolResult: 'runtime',
-  turnEnd: 'runtime', goalUpdate: 'runtime', hostRaw: 'runtime', fork: 'runtime',
-}
-
-function payloadFor(kind: Kind, i: number): unknown {
-  switch (kind) {
-    case 'user': return { text: `msg-${i}` }
-    case 'assistant': return { text: `reply-${i}` }
-    case 'toolCall': return { name: 'tool', args: { n: i } }
-    case 'toolResult': return { ok: true, value: i }
-    case 'turnEnd': return { reason: 'end_turn' }
-    case 'goalUpdate': return { goal: `g-${i}` }
-    case 'hostRaw': return { raw: `r-${i}` }
-    case 'fork': return { from: `s-${i}` }
-  }
-}
-
-/** 构造一个含随机事件序列与随机快照点的 fixture */
-function buildFixture(seed: number): { log: SessionLog; kindsSeen: Set<Kind> } {
-  const rand = prng(seed)
-  const log = new SessionLog(`N1-F${String(seed).padStart(3, '0')}`)
-  const kindsSeen = new Set<Kind>()
-  const turns = 3 + Math.floor(rand() * 10)
-  for (let t = 0; t < turns; t++) {
-    // 每轮先随机登记 0-2 个快照（快照点 = 当前事件数，投影边界随机化）
-    const snaps = Math.floor(rand() * 3)
-    for (let s = 0; s < snaps; s++) log.snapshotModelRequest()
-    const events = 1 + Math.floor(rand() * 6)
-    for (let e = 0; e < events; e++) {
-      const kind = KINDS[Math.floor(rand() * KINDS.length)]
-      kindsSeen.add(kind)
-      log.append(ACTOR_BY_KIND[kind] as never, kind, `T${t}`, payloadFor(kind, log.events.length))
-    }
-  }
-  log.snapshotModelRequest() // 收尾快照：覆盖最后一条事件之后的前缀
-  return { log, kindsSeen }
-}
-
-// ── 主流程 ──
-const REPLAYS = 100
-const results: Array<{ fixture: string; events: number; snapshots: number; ok: boolean; chainOk: boolean; tamperDetected: boolean }> = []
-const kindCoverage = new Map<Kind, number>(KINDS.map(k => [k, 0]))
-let failed = 0
-
-for (let i = 0; i < REPLAYS; i++) {
-  const { log, kindsSeen } = buildFixture(i)
-  const fwd = log.assertModelVisibleLogged()
-  const chainOk = log.verifyChain() === null
-
-  // 防假绿自检：篡改中间事件 payload 必须被 verifyChain 检出
-  const tampered = SessionLog.fromEvents(log.sessionId, log.events.map((e, idx) =>
-    idx === Math.min(1, e.seq) ? { ...e, payload: { TAMPERED: true } } : e))
-  const tamperDetected = tampered.verifyChain() !== null
-
-  for (const k of kindsSeen) kindCoverage.set(k, (kindCoverage.get(k) ?? 0) + 1)
-  const ok = fwd.ok && chainOk && tamperDetected
-  if (!ok) failed++
-  results.push({ fixture: log.sessionId, events: log.events.length, snapshots: log.stats().snapshots, ok: fwd.ok, chainOk, tamperDetected })
-}
-
-const covered = [...kindCoverage.values()].filter(n => n > 0).length
-const coverage = covered / KINDS.length
-const summary = { gate: 'J-08-invariant-n1', replays: REPLAYS, passed: REPLAYS - failed, failed, kindCoverage: `${covered}/${KINDS.length}`, coverage, ok: failed === 0 && coverage >= 0.95, ts: Date.now() }
-console.log(JSON.stringify(summary))
-mkdirSync('dist/ci', { recursive: true })
-writeFileSync('dist/ci/invariant-n1.jsonl', results.map(r => JSON.stringify(r)).join('\n') + '\n')
-process.exit(summary.ok ? 0 : 1)

package/scripts/package-check.ts

@@ -1,29 +0,0 @@
-/**
- * J-13/14/15 package-* · npm pack 干跑 + 内容断言（M2部署设计增补 §2.3 / §3）
- *
- * 三平台同名同判据（files 白名单语义平台无关）；断言：
- *   ① pack 退出码 0（干跑可打包）；
- *   ② 文件数 ≥ 50（rc.1 基线 54 files——塌方即 FAIL，防 files 白名单被误改）；
- *   ③ 包名 = package.json name（防命名漂移——rc.1 tag 落后包名事故的常驻防线）。
- */
-import { execFileSync } from 'node:child_process'
-import { readFileSync } from 'node:fs'
-
-const pkg = JSON.parse(readFileSync('package.json', 'utf8'))
-const out = execFileSync(process.platform === 'win32' ? 'npm.cmd' : 'npm',
-  ['pack', '--dry-run', '--json'], { encoding: 'utf8', shell: process.platform === 'win32' })
-const info = JSON.parse(out)[0]
-
-const checks: Array<[string, boolean, string]> = [
-  ['pack exit 0', true, `${info.name}@${info.version}`],
-  ['file count >= 50', (info.files?.length ?? 0) >= 50, `${info.files?.length ?? 0} files / ${info.size} bytes`],
-  ['name no-drift', info.name === pkg.name, `${info.name} == ${pkg.name}`],
-]
-
-let failed = 0
-for (const [name, ok, detail] of checks) {
-  console.log(`[${ok ? 'PASS' : 'FAIL'}] ${name}  ${detail}`)
-  if (!ok) failed++
-}
-console.log(`----\npackage-check(${process.platform}): ${checks.length - failed}/${checks.length} PASS`)
-process.exit(failed === 0 ? 0 : 1)