@yottameta/yotta-vetter 0.2.5 → 0.2.6

package/CHANGELOG.md

@@ -1,5 +1,14 @@
 # 更新日志
 
+## v0.2.6 (2026-09-25)
+
+安全修复：规则表豁免改为「路径 + 摘要绑定」。
+
+- 背景：`collect_files()` 按文件名全局跳过 `audit_rules.py / vetter_rules.py / verify_rules.py / hardening_rules.py`——把恶意文件改成这些名字即可免扫（ClawHub T09 High）。
+- 修复：豁免必须同时满足「相对路径为 `scripts/<规则表名>`（或扫描根就是 scripts 目录）」与「CRLF 归一化 SHA-256 命中已发布摘要表」；任一条不满足一律正常扫描（fail-closed）。
+- 安装器加固：拒绝对符号链接目标写入、不做整目录删除。
+- 回归：新增 4 项绑定用例，测试 16/16 通过。
+
 ## v0.2.5 (2026-09-19)
 
 版本对齐维护：修复历史发布元数据与包内版本不一致；无功能变更。

package/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: yotta-vetter
-version: 0.2.5
+version: 0.2.6
 description: 元审 —— 安装任何技能前的安全审查协议：四阶段 checklist（来源→代码→权限→风险）+ 轻量 checker，与元安联动深度扫描。触发：安装/评估任何技能前、从市场或 GitHub 获取技能、审查他人分享的技能、任何「要装未知代码」的场景；或用户说 审查/审查技能/vetting/技能安全审查/检查技能 等。边界：checker 只做初审与报告，结论需人工确认；绝不代替最终决策。
 license: MIT
 ---

package/install.sh

@@ -61,10 +61,29 @@ resolve_user() {
 }
 
 install_to() {
-  mkdir -p "$1/$SKILL_NAME"
-  cp -r "$SOURCE_DIR/." "$1/$SKILL_NAME/"
-  rm -rf "$1/$SKILL_NAME/.git"
-  echo "installed -> $1/$SKILL_NAME"
+  local base="$1"
+  local dest
+  case "$base" in
+    ""|"/") echo "安装失败：拒绝不安全的目标目录：'$base'" >&2; return 1 ;;
+  esac
+  if [ -L "$base" ]; then
+    echo "安装失败：目标目录是符号链接，拒绝跟随：$base" >&2; return 1
+  fi
+  mkdir -p "$base"
+  dest="$base/$SKILL_NAME"
+  if [ -L "$dest" ]; then
+    echo "安装失败：技能目录是符号链接，拒绝跟随：$dest" >&2; return 1
+  fi
+  if [ -e "$dest" ] && [ ! -d "$dest" ]; then
+    echo "安装失败：技能路径已存在且不是目录：$dest" >&2; return 1
+  fi
+  mkdir -p "$dest"
+  cp -RP "$SOURCE_DIR/." "$dest/"
+  # 只清理副本内部的开发残留（固定子路径），不做整目录删除、不跟随符号链接
+  if [ -d "$dest/.git" ] && [ ! -L "$dest/.git" ]; then rm -rf "$dest/.git"; fi
+  find "$dest" -type d -name '__pycache__' -prune -exec rm -rf {} + 2>/dev/null || true
+  find "$dest" -type f -name '*.pyc' -delete 2>/dev/null || true
+  echo "installed -> $dest"
 }
 
 list() {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@yottameta/yotta-vetter",
-  "version": "0.2.5",
+  "version": "0.2.6",
   "description": "Yuanshen (元审) — the security review protocol before installing any skill: a four-phase checklist (source → code → permissions → risk) + a lightweight checker, with deep-scan handoff to yotta-security-audit. Triggers before installing/evaluating any skill or reviewing unknown code. Boundaries: initial review & report only; human confirmation required.",
   "license": "MIT",
   "keywords": [

package/scripts/yotta_vetter.py

@@ -24,6 +24,7 @@ exit code 语义（与元安一致）：
   python3 yotta_vetter.py source github:YottaMeta/yotta-memory
 """
 import argparse
+import hashlib
 import json
 import os
 import re
@@ -48,7 +49,7 @@ _HERE = Path(__file__).resolve().parent
 sys.path.insert(0, str(_HERE))
 import vetter_rules  # noqa: E402
 
-VERSION = "0.2.5"
+VERSION = "0.2.6"
 TOOL_NAME = "yotta-vetter"
 MAX_FILE_SIZE = 1_000_000
 MAX_LINE_LEN = vetter_rules.MAX_LINE_LEN
@@ -116,6 +117,51 @@ def _is_binary(head):
     return b"\x00" in head[:8192]
 
 
+# v0.2.6：签名数据文件（家族规则表）白名单 —— 相对路径 + CRLF 归一化 SHA-256 双绑定。
+# 任一条不满足即正常扫描（fail-closed），杜绝「改名即豁免」。
+PUBLISHED_SIGNATURES = {
+    "scripts/verify_rules.py":
+        "8d8c128911b05b24413cc3aec8a2d1c36c1ccf66f656330f723cd68718bda8bd",
+    "scripts/vetter_rules.py":
+        "fc5bad6a7705f9fde60f4fdaf540a3aaa6490448d1fe22ed264e3f812c8ba092",
+    "scripts/audit_rules.py":
+        "475ba1daee436589997260291917126218ae7cae572d16eb59459ca5a2192d23",
+    "scripts/hardening_rules.py":
+        "6b9cbdaa106ae7f5827e60f83c016c237d4cd28785426930abc24cde00bcf5c7",
+    "scripts/guardian_rules.py":
+        "a9fc0da3e0344d485b20c55378b58bc81d78ecbb28a7f2b3bd44bcbed06aebe3",
+}
+
+
+def _sha256_normalized(path):
+    """CRLF 归一化后的 SHA-256（跨 Windows / Linux 检出结果一致）。"""
+    try:
+        data = path.read_bytes().replace(b"\r\n", b"\n")
+    except OSError:
+        return ""
+    return hashlib.sha256(data).hexdigest()
+
+
+def is_published_signature_data(root, path):
+    """判断文件是否为「已发布家族规则表」：路径受限 + 摘要一致（摘要为最终判据）。
+
+    路径接受 `scripts/<规则表名>`，以及「扫描根就是 scripts 目录」时的 `<规则表名>`
+    形式（自扫 scripts/ 子目录的场景）。两条路径都必须命中已发布摘要，改名 / 改内容
+    一律照常扫描。
+    """
+    try:
+        rel = path.relative_to(root).as_posix()
+    except ValueError:
+        rel = path.name
+    expected = PUBLISHED_SIGNATURES.get(rel)
+    if not expected and Path(root).name.lower() == "scripts":
+        # 直接扫描 scripts/ 子目录（自扫场景）：按 scripts/<规则表名> 复核
+        expected = PUBLISHED_SIGNATURES.get("scripts/" + path.name)
+    if not expected:
+        return False
+    return _sha256_normalized(path) == expected
+
+
 def collect_files(root):
     files = []
     for dirpath, dirnames, filenames in os.walk(str(root)):
@@ -125,8 +171,10 @@ def collect_files(root):
             try:
                 if p.suffix.lower() not in TEXT_EXTENSIONS and p.name.lower() not in DOTFILE_NAMES:
                     continue
-                if p.name in ("audit_rules.py", "vetter_rules.py", "verify_rules.py", "hardening_rules.py"):
-                    continue  # 签名数据文件（规则表）
+                # v0.2.6：签名数据文件豁免改为「路径 + 摘要绑定」。旧行为只按文件名跳过，
+                # 攻击方把恶意文件命名成 audit_rules.py / verify_rules.py 即可免扫（T09）。
+                if is_published_signature_data(Path(root), p):
+                    continue
                 if p.stat().st_size > MAX_FILE_SIZE:
                     continue
             except OSError: