@yottameta/yotta-intel 0.2.0 → 0.2.1

package/CHANGELOG.md

@@ -1,5 +1,15 @@
 # 更新日志
 
+## v0.2.1 (2026-09-25)
+
+维护性发布：安装器加固 + README 锁定版本。
+
+- 安装器：拒绝对符号链接目标写入、目标不是目录时拒绝、不做整目录删除。
+- README（中英）：安装命令改为锁定版本写法（去掉 `@版本` 即跟随最新）。
+- 输出示例与 references 头部版本号同步 0.2.1。
+- 修复：IPv4 前导零写法（`010.000.000.001`）归一为 `10.0.0.1` —— Python 3.9.5 起
+  `ipaddress.IPv4Address` 拒绝前导零八位组，旧引擎会静默丢掉该地址；`999.1.1.1` 仍判非法。
+
 ## v0.2.0 (2026-09-09)
 
 - 评测完善批 2：新增 references/faq.md（12 条常见问题 + 速查索引 + 安装排障）；SKILL.md 增加 FAQ 速查节。

package/README.md

@@ -91,7 +91,7 @@ python3 scripts/yotta_intel.py refang --path safe.txt
 Sample text output:
 
 ```
-元情 yotta-intel v0.2.0 —— IOC 提取结果
+元情 yotta-intel v0.2.1 —— IOC 提取结果
 共发现 2 个 IOC：
 
 ■ IPv4 地址（ipv4）
@@ -108,8 +108,8 @@ Pick any of the four methods below; the order is the recommended priority. Skill
 
 ```text
 # Optional China mirror: npm config set registry https://registry.npmmirror.com
-npx -y @yottameta/yotta-intel --agent <agent-name>      # install to the agent's default user-level skills dir
-npx -y @yottameta/yotta-intel --dir <your-skills-dir>   # point to the skills dir itself (e.g. ~/.codex/skills)
+npx -y @yottameta/yotta-intel@0.2.1 --agent <agent-name>      # install to the agent's default user-level skills dir
+npx -y @yottameta/yotta-intel@0.2.1 --dir <your-skills-dir>   # point to the skills dir itself (e.g. ~/.codex/skills)
 ```
 
 - `--agent <name>` installs to that agent's default user-level directory; `--list` shows each agent's default directory.

package/README.zh-CN.md

@@ -99,7 +99,7 @@ python3 scripts/yotta_intel.py refang --path safe.txt
 输出示例（text）：
 
 ```
-元情 yotta-intel v0.2.0 —— IOC 提取结果
+元情 yotta-intel v0.2.1 —— IOC 提取结果
 共发现 2 个 IOC：
 
 ■ IPv4 地址（ipv4）
@@ -116,8 +116,8 @@ python3 scripts/yotta_intel.py refang --path safe.txt
 
 ```text
 # 可选国内加速：npm config set registry https://registry.npmmirror.com
-npx -y @yottameta/yotta-intel --agent <智能体名称>      # 装到指定智能体默认用户级技能目录
-npx -y @yottameta/yotta-intel --dir <智能体的技能目录>  # 指到技能目录本身（如 ~/.codex/skills）
+npx -y @yottameta/yotta-intel@0.2.1 --agent <智能体名称>      # 装到指定智能体默认用户级技能目录
+npx -y @yottameta/yotta-intel@0.2.1 --dir <智能体的技能目录>  # 指到技能目录本身（如 ~/.codex/skills）
 ```
 
 - `--agent <name>` 自动装到该智能体默认用户级目录；`--list` 可查看各智能体默认目录。

package/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: yotta-intel
-version: 0.2.0
+version: 0.2.1
 description: 元情 —— 跨智能体的威胁情报 IOC 提取与规范化技能：零依赖自研从文本 / 日志 / 报告中提取 IP（IPv4/IPv6）、域名、URL、邮箱、哈希（MD5/SHA1/SHA256/SHA512）与 CVE 编号，识别并还原 defang 写法，去重、归一化后输出 CSV / JSON / STIX-lite。触发：用户给出含可疑 IP / 域名 / URL / 哈希的威胁情报文本、恶意样本分析报告、钓鱼邮件或日志，要提取 IOC、规范化、去重、转格式、共享情报时。边界：纯本地离线提取与规范化；不联网查证、不下载样本、不主动扫描任何系统；仅用于已获授权 / 自有资产 / 教学环境的安全分析。
 license: MIT
 ---

package/install.sh

@@ -61,10 +61,29 @@ resolve_user() {
 }
 
 install_to() {
-  mkdir -p "$1/$SKILL_NAME"
-  cp -r "$SOURCE_DIR/." "$1/$SKILL_NAME/"
-  rm -rf "$1/$SKILL_NAME/.git"
-  echo "installed -> $1/$SKILL_NAME"
+  local base="$1"
+  local dest
+  case "$base" in
+    ""|"/") echo "安装失败：拒绝不安全的目标目录：'$base'" >&2; return 1 ;;
+  esac
+  if [ -L "$base" ]; then
+    echo "安装失败：目标目录是符号链接，拒绝跟随：$base" >&2; return 1
+  fi
+  mkdir -p "$base"
+  dest="$base/$SKILL_NAME"
+  if [ -L "$dest" ]; then
+    echo "安装失败：技能目录是符号链接，拒绝跟随：$dest" >&2; return 1
+  fi
+  if [ -e "$dest" ] && [ ! -d "$dest" ]; then
+    echo "安装失败：技能路径已存在且不是目录：$dest" >&2; return 1
+  fi
+  mkdir -p "$dest"
+  cp -RP "$SOURCE_DIR/." "$dest/"
+  # 只清理副本内部的开发残留（固定子路径），不做整目录删除、不跟随符号链接
+  if [ -d "$dest/.git" ] && [ ! -L "$dest/.git" ]; then rm -rf "$dest/.git"; fi
+  find "$dest" -type d -name '__pycache__' -prune -exec rm -rf {} + 2>/dev/null || true
+  find "$dest" -type f -name '*.pyc' -delete 2>/dev/null || true
+  echo "installed -> $dest"
 }
 
 list() {
@@ -129,4 +148,4 @@ main() {
   fi
 }
 
-main "$@"
+main "$@"

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@yottameta/yotta-intel",
-  "version": "0.2.0",
+  "version": "0.2.1",
   "description": "Yuanqing — a zero-dependency threat-intel IOC extraction & normalization engine for AI agents: extracts IP (IPv4/IPv6), domains, URLs, emails, hashes (MD5/SHA1/SHA256/SHA512) and CVE IDs from threat reports, phishing emails and logs; recognizes and reverses defanged forms (hxxp / [.] / (.) / [dot] / [:] / [@]); deduplicates, normalizes (IDN punycode, default-port stripping) and outputs CSV / JSON / STIX-lite (STIX 2.1 Bundle) with the pure Python 3.8+ standard library. Triggers when the user provides text containing suspicious IPs / domains / URLs / hashes and needs IOC extraction, normalization, dedup, format conversion, or safe sharing. Boundaries: fully local and offline; no reputation lookups, no sample downloads, no proactive scanning; authorized / own-asset / educational use only.",
   "license": "MIT",
   "keywords": [

package/references/defang-rules.md

@@ -1,6 +1,6 @@
 # defang / refang 规则与共享建议
 
-> 元情 yotta-intel v0.2.0：去活性（defang）写法识别、还原与安全共享指引。
+> 元情 yotta-intel v0.2.1：去活性（defang）写法识别、还原与安全共享指引。
 
 ## 1. 为什么要 defang
 

package/references/ioc-spec.md

@@ -1,6 +1,6 @@
 # IOC 类型与判定规则（ioc-spec）
 
-> 元情 yotta-intel v0.2.0 内部规范：七类 IOC 的提取 / 归一 / 误报控制规则。
+> 元情 yotta-intel v0.2.1 内部规范：七类 IOC 的提取 / 归一 / 误报控制规则。
 > 本文件是引擎行为的权威说明；SKILL.md 只放入口，细节在这里。
 
 ## 1. 支持的类型

package/references/stix-lite-spec.md

@@ -1,6 +1,6 @@
 # STIX-lite 输出规范
 
-> 元情 yotta-intel v0.2.0：`extract --format stix` 的产物说明。
+> 元情 yotta-intel v0.2.1：`extract --format stix` 的产物说明。
 > 「lite」= 只生成 STIX 2.1 的 Indicator 对象 + 自定义扩展属性，不实现完整 STIX 库。
 
 ## 1. 为什么叫 lite

package/scripts/test_yotta_intel.py

@@ -488,7 +488,7 @@ class TestCLI(unittest.TestCase):
     def test_cli_version(self):
         r = run_cli("--version")
         self.assertEqual(r.returncode, 0)
-        self.assertIn("0.2.0", r.stdout)
+        self.assertIn("0.2.1", r.stdout)
 
     def test_cli_unknown_type_exit4(self):
         r = run_cli("extract", "--stdin", "--types", "bogus", stdin="1.2.3.4")

package/scripts/yotta_intel.py

@@ -52,7 +52,7 @@ try:
 except Exception:
     pass
 
-VERSION = "0.2.0"
+VERSION = "0.2.1"
 TOOL = "yotta-intel"
 TOOL_CN = "元情"
 
@@ -188,6 +188,23 @@ URL_RE = re.compile(r"(?i)(?:(?:https?|ftp)://)[^\s<>\"'，。！？；：、（
 EMAIL_RE = re.compile(r"(?i)[a-z0-9._%+\-]+@[a-z0-9\-]+(?:\.[a-z0-9\-]+)+")
 DOMAIN_RE = re.compile(r"(?<![\w@.])(?:[\w\-]{1,63}\.)+[\w\-]{2,63}(?![\-\w])")
 IPV4_RE = re.compile(r"(?<!\d)(?:\d{1,3}\.){3}\d{1,3}(?!\d)")
+
+
+def normalize_ipv4_octets(raw):
+    """把前导零写法（010.000.000.001）归一为 10.0.0.1。
+
+    Python 3.9.5 起 ipaddress.IPv4Address 拒绝前导零八位组，旧版本接受；
+    这里先做十进制归一，保证跨版本行为一致（999.1.1.1 仍会被判非法）。
+    """
+    parts = raw.split(".")
+    if len(parts) != 4:
+        return raw
+    out = []
+    for part in parts:
+        if not part.isdigit() or len(part) > 3:
+            return raw
+        out.append(str(int(part)))
+    return ".".join(out)
 IPV6_TOKEN_RE = re.compile(r"(?i)(?<![\w:])(?:[0-9a-f:.]{2,45})(?![\w:])")
 HASH_RE = re.compile(r"(?i)(?<![0-9a-f])[0-9a-f]{32,128}(?![0-9a-f])")
 CVE_RE = re.compile(r"(?i)\bcve-\d{4}-\d{4,7}\b")
@@ -287,7 +304,7 @@ def find_iocs_in_line(line):
     for m in IPV4_RE.finditer(line):
         raw = m.group(0)
         try:
-            ip = ipaddress.IPv4Address(raw)
+            ip = ipaddress.IPv4Address(normalize_ipv4_octets(raw))
         except ValueError:
             continue
         found.append((m.start(), m.end(), "ipv4", str(ip)))