berimor 0.24.0 → 0.24.1

package/README.md

@@ -71,10 +71,12 @@ Deny-таблица деструктивных операций не переи
 
 **Rust-workspace по крейту на компонент** — Process Engine, Mediation, Executors, Memory, Capability, Model Pool, Actors, Tool Runtime, Context Engine, Eval, Storage. Гостевой WASM-модуль (`codeact-guest/`) живёт отдельным crate и закоммичен как готовый артефакт — обычная сборка не замедляется.
 
-**Дисциплина проверок.** Каждый релиз: `cargo fmt` + `clippy -D warnings` + `cargo test --workspace` (719 тестов: юнит, интеграционные, e2e через настоящий бинарник, золотые фикстуры процессов и вредоносных вводов). Критические компоненты проходят обязательное независимое ревью. Полный самостоятельный аудит (`docs/audit-2026-07-31.md`) — **все находки закрыты или осознанно задокументированы**.
+**Дисциплина проверок.** Каждый релиз: `cargo fmt` + `clippy -D warnings` + `cargo test --workspace` (778 тестов: юнит, интеграционные, e2e через настоящий бинарник, золотые фикстуры процессов и вредоносных вводов). Критические компоненты проходят обязательное независимое ревью. Полный самостоятельный аудит (`docs/audit-2026-07-31.md`) — **все находки закрыты или осознанно задокументированы**.
 
 **Supply chain как у взрослых.** Кросс-платформенные релизы (Linux x64/arm64, macOS arm64, Windows x64) с keyless-подписью cosign/sigstore — приватного ключа не существует нигде. Проверка: `berimor verify <архив>`. npm-публикация с provenance, SBOM (CycloneDX) в пайплайне, самообновление (`berimor self-update`) реализовано на примитивах Process Engine — тот же журнал и восстановление после сбоя, что у обычных процессов, а не ad hoc скрипт.
 
+**npm-установщик вообще без install-скриптов** (класс замечаний Socket.dev закрыт структурно, с 0.24.1): на этапе `npm install` не выполняется НИЧЕГО — в пакете нет ни одного life-cycle скрипта. Скачивание происходит при первом запуске — с фиксированного `github.com/devpilgrin/berimor/releases`, со сверкой SHA-256 скачанного архива против пина `checksums.json`, который CI кладёт в сам npm-пакет при публикации (доверие из npm-канала, независимого от раздающего GitHub Release). Сравнение — константным временем, несовпадение — отказ без распаковки.
+
 **Архитектура задокументирована до кода.** `docs/arch/` — самодостаточная спецификация, реализуемая на любом стеке; `docs/ADR/` — журнал решений с отклонёнными альтернативами; `docs/ROADMAP.md` — очередь задач с классом модели-исполнителя на каждую.
 
 ## Установка

package/checksums.json

@@ -1,6 +1,6 @@
 {
-  "berimor-v0.24.0-darwin-arm64.tar.gz": "9bca80dfffd6696efadfbe6a239659f93c832991650501edc0ea8e9233b57dbb",
-  "berimor-v0.24.0-linux-arm64.tar.gz": "f7dcb023ef381c039765046e4a6756f1f61581c15eeddfe24b6c04d693027635",
-  "berimor-v0.24.0-linux-x64.tar.gz": "40deccae50a673c8e0e1a6839963a47ce535caa7f0f036b71f921750ec4bbd1a",
-  "berimor-v0.24.0-win32-x64.zip": "bf9eea84e6d305f7c3e72f72c2717f55b7eb4b51a77bc81d21abadff008398ac"
+  "berimor-v0.24.1-darwin-arm64.tar.gz": "221fdb114aee2e7063a5aae7edff046ef78249f83b569138cf56414798b3f84f",
+  "berimor-v0.24.1-linux-arm64.tar.gz": "2200e9c28b28f68b55b8ec83657abf5a921078981e682da96a0f7582df063ac2",
+  "berimor-v0.24.1-linux-x64.tar.gz": "b9a005de34394275af8c24e4c893e71a185c2fe1d7880fd4531876934d0242b5",
+  "berimor-v0.24.1-win32-x64.zip": "e3728de9acf6e7157c0cb72f4b4b50151ec93151a552decec556997c1389a44e"
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "berimor",
-  "version": "0.24.0",
+  "version": "0.24.1",
   "description": "Berimor — агентный CLI для LLM: интерактивный чат с инструментами (файлы, терминал, HTTP), детерминированные процессы, аудит и replay. Этот пакет — установщик платформенного бинарника.",
   "license": "Apache-2.0",
   "repository": {
@@ -21,7 +21,6 @@
   },
   "scripts": {
     "build": "tsc -p tsconfig.json",
-    "postinstall": "node dist/postinstall.js",
     "test": "node --test dist/*.test.js"
   },
   "devDependencies": {

package/dist/postinstall.js

@@ -1,19 +0,0 @@
-/**
- * postinstall-хук npm.
- *
- * Источник: docs/arch/deployment.md §9 — граница №4: «bootstrap не выполняет
- * ничего, кроме определения платформы, на этапе установки». Это крупнейшая
- * типовая поверхность атаки цепочки поставок для npm-пакетов, поэтому здесь
- * нет ни скачивания, ни исполнения чего-либо — только определение платформы.
- * Скачивание и верификация — на первом запуске (index.ts), не здесь.
- */
-import { detectPlatform } from "./platform.js";
-try {
-    const info = detectPlatform(process.env.npm_package_version ?? "0.0.0");
-    console.log(`[berimor] платформа определена: ${info.platform}/${info.arch}`);
-}
-catch (err) {
-    console.error(`[berimor] ${err.message}`);
-    process.exitCode = 1;
-}
-//# sourceMappingURL=postinstall.js.map

package/dist/postinstall.js.map

@@ -1 +0,0 @@
-{"version":3,"file":"postinstall.js","sourceRoot":"","sources":["../src/postinstall.ts"],"names":[],"mappings":"AAAA;;;;;;;;GAQG;AACH,OAAO,EAAE,cAAc,EAAE,MAAM,eAAe,CAAC;AAE/C,IAAI,CAAC;IACH,MAAM,IAAI,GAAG,cAAc,CAAC,OAAO,CAAC,GAAG,CAAC,mBAAmB,IAAI,OAAO,CAAC,CAAC;IACxE,OAAO,CAAC,GAAG,CAAC,mCAAmC,IAAI,CAAC,QAAQ,IAAI,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC;AAC/E,CAAC;AAAC,OAAO,GAAG,EAAE,CAAC;IACb,OAAO,CAAC,KAAK,CAAC,aAAc,GAAa,CAAC,OAAO,EAAE,CAAC,CAAC;IACrD,OAAO,CAAC,QAAQ,GAAG,CAAC,CAAC;AACvB,CAAC"}