feihong-code 7.2.0 → 7.5.0

package/docs//345/205/250/351/235/242/345/244/215/347/233/230_6/351/241/271/351/207/215/347/202/271/346/240/270/346/237/245_v7.2.0.md

@@ -0,0 +1,152 @@
+# 飞虹 Code 全面复盘：6 项重点核查与优化方案（v7.2.0）
+
+**晋江市飞虹智科技企业管理有限公司 · 飞扬企源研发中心 · 负责人：吴赐虹**
+**复核日期**：2026-08-27
+**复核方式**：不凭记忆/不粉饰，逐项读取代码 + 实测证据后判定。
+
+> 本报告针对外部评估提出的 6 项重点问题逐条复核，区分「✅ 已修复（评估数据过时）/ ⚠️ 部分属实 / ❌ 真差距」，并给出可落地优化方案。本轮已完成的部分修复见各条目"本轮动作"。
+
+---
+
+## 总览
+
+| # | 外部指控 | 复核判定 | 真差距 | 本轮动作 |
+|---|---|---|---|---|
+| ① | SWE Agent 245 行框架，无 SWE-bench 集成 | ⚠️ 部分不实 | 跑分未公开到 README | ✅ README 已公开 80% 跑分 |
+| ② | 无 LSP 集成（OpenCode 编译器级） | ⚠️ 部分不实 | 是自建语义层，非真实 LSP 服务器对接 | 已在 P0-2 修复，标注量级差 |
+| ③ | O1 扩展 300 行薄壳，无实时 inline 补全 | ⚠️ 部分不实 | 薄壳属实（设计使然）；补全已实现但无 CI 验证 | 报告澄清 + 验证路径 |
+| ④ | 生态规模不足（WorkBuddy 7 万+ Skills） | ❌ 属实 | 自有生态刚起步 | 生态 roadmap（本报告） |
+| ⑤ | Docker 沙箱缺失 | ⚠️ 部分不实 | container 档执行层未实测/未探测 | ✅ doctor 增加 docker 探测 |
+| ⑥ | 合规认证空白（SOC2/ISO27001） | ❌ 属实 | 无认证、无安全文档 | ✅ 合规准备清单文档 |
+
+---
+
+## ① SWE Agent：245 行框架？无 SWE-bench 集成？
+
+**实测证据**：
+- SWE 三件套实际位置与行数（`src/agent/`）：
+  - `swe-agent.ts` **219 行**、`swe-planner.ts` **180 行**、`swe-verifier.ts` **135 行**，**合计 534 行**（外部评估"245 行"严重低估）
+- **SWE-bench 集成真实存在**：
+  - harness 闭环（loader→executor→verifier→reporter）mock **2/2 = 100%**（`_swe-smoke.mjs`）
+  - 真实模型驱动 Orchestrator 生成率 **3/3 = 100%**（`_swe-real.mjs`）
+  - **测试通过率 80%（4/5）**：自建 SWE-bench 格式任务集（problem_statement + FAIL_TO_PASS）+ 真实模型 agnes-2.5-flash + **预定义测试 node --test 真实断言**（`_swe-bench-real.mjs`）
+  - 失败项 swe-js-004 为执行层失败（iterations=0），非实现错误
+
+**判定**：⚠️ **部分不实**。"245 行框架、无集成"不成立；但**"无公开跑分"部分属实**——跑分此前仅在内部报告，未进入 README 官网。
+
+**优化方案（已完成）**：✅ README 新增「SWE-bench 真实跑分」小节，诚实口径公开 80%（4/5）+ 复现脚本 + 行业参考，并明确"非官方 Verified 声明"。
+
+**剩余建议**：官方 SWE-bench Verified 500 任务需 Docker+pytest 环境，建议在 CI 中跑通后作为正式对标成绩（见 ⑤）。
+
+---
+
+## ② LSP 集成：无编译器级代码理解？
+
+**实测证据**：
+- `src/lsp/lsp-service.ts` **185 行**，已实现并接入 Web API（`/api/lsp/*`）：
+  - `graph`：全仓库代码图谱（462 文件 / 14848 符号 / 1230 边，实测）
+  - `symbols`：文件符号列表（对标 LSP documentSymbol）
+  - `diagnostics`：文件级语义诊断（对标 publishDiagnostics）
+  - `definition` / `hover` / `search`：定义定位、签名信息、跨文件符号搜索
+- P0-2 完成时 LSP 冒烟 **9/9 通过**（`_lsp-smoke.mjs`）
+
+**判定**：⚠️ **部分不实**。"无 LSP 集成"不成立（已有自建语义服务层）；但需诚实标注量级差：**OpenCode 是"编译器级"**——通过对接真实 LSP 服务器（typescript-language-server 等）获得精确的类型级理解；飞虹 Code 是**自建轻量语义服务层**（正则/符号索引），未对接真实 LSP 协议服务器。
+
+**优化方案**：
+- P0：补齐 `textDocument/hover` 的类型级信息（当前为符号级）
+- P1：可选对接 `typescript-language-server`，把自建层作为 fallback，达到编译器级（对标 OpenCode）
+- P1：Web 编辑器接入 `/api/lsp/diagnostics` 做编辑时错误波浪线
+
+---
+
+## ③ O1 扩展 300 行薄壳，无实时 inline 补全？
+
+**实测证据**：
+- `vscode-extension/extension.js` **306 行**（api-client.js 88 行）——"300 行薄壳"**属实**，但这是**设计使然**（注释明确"逻辑下沉 agent 端，扩展只做 UI 与协议桥接"），且薄壳内部**已实现实时 inline 补全**：
+  - L99-134：`inlineProvider.provideInlineCompletionItems` → 调 `/api/completion` → 包装为 `InlineCompletionItem`
+  - L291-295：`vscode.languages.registerInlineCompletionItemProvider({ pattern: '**' }, inlineProvider)` **已注册**
+  - `api-client.js` 已封装 `completion(params)` → `POST /api/completion`
+  - 客户端后处理（stripCodeFences / dedupeAgainstSuffix / trimTrailingPartialLine）已实现
+  - **Tab 接受**：VS Code 1.70+ 内建 inline completion Tab 接受，无需扩展代码
+- Web 端 ghost text 补全（P1-1）也已实现（防抖 350ms + Tab 接受）
+
+**判定**：⚠️ **部分不实**。"无实时 inline 补全"**不成立**（VS Code 扩展 + Web 端均已实现）；"300 行薄壳"属实但为合理架构。
+
+**优化方案**：
+- P0：给 `vscode-extension` 增加**无 VS Code 环境的逻辑单测**（postProcessCompletion 等纯函数），杜绝"无验证"
+- P1：补全质量提升——服务端 completion-engine 增加多候选排序、跨文件上下文（已有部分）
+- P2：扩展增加状态栏补全开关状态同步、Ctrl+Space 手动触发（VS Code 内建，可配置快捷键）
+
+---
+
+## ④ 生态规模不足（WorkBuddy 7 万+ Skills）
+
+**实测证据**：
+- 系统运行环境内置 **105 个 Skill**（doubao-academic-* / lark-* / seed-* 等，为豆包平台资产，**非飞虹 Code 自有生态**）
+- 飞虹 Code 自有生态：`src/plugins/`（manager 390 行 + plugin-loader 142 行）已支持全局/项目级第三方插件加载与真实执行（P2-2 修复），`fhcode skill-market` / `fhcode plugin` 命令存在
+- **但**：无官方插件市场、无 Skill 模板库、第三方插件为 0
+
+**判定**：❌ **属实**。与 WorkBuddy 7 万+ Skills 相比，生态差距是真实的、最大的长期差距。
+
+**优化方案**（roadmap）：
+- P0：**Skill 模板库**——内置 10 个官方 Skill 模板（code-review / git-flow / api-design 等），`fhcode skill new <name>` 脚手架生成
+- P1：**本地插件市场种子**——`skill-market` 增加本地种子源（10+ 插件），支持 `fhcode plugin install <market-id>`
+- P2：**生态门户**——GEO 推广页 + 文档站开放第三方提交入口（GitHub PR 模板）
+- P3：**数量规模**——开放 SDK 文档（PluginAPI 已就绪）+ 社区激励
+
+---
+
+## ⑤ Docker 沙箱缺失：无容器隔离档位？
+
+**实测证据**：
+- `src/tools/sandbox.ts` **已实现 container 档**（SandboxMode 含 `container`，判定逻辑 L118-128）
+- `src/tools/shell/exec.ts` **已实现容器执行层** `runCommandInContainer`（docker run --rm -v cwd:/workspace -w /workspace + FH_SANDBOX_IMAGE 可配，默认 node:22-alpine）
+- P2-3 沙箱判定层实测 **12/12 通过**（read-only 禁写禁执行 / container 放行+网络规则 / danger 黑名单仍生效）
+- `FH_SANDBOX_MODE=container` 配置已存在 .env.example
+
+**判定**：⚠️ **部分不实**。"无容器隔离档位"**不成立**（代码 + 判定层实测俱在）；真差距是：
+1. **执行层未在真实容器实测**（本机无 docker）
+2. **环境无探测**：`fhcode doctor` 此前不检查 docker，container 模式是否可用无人知晓
+3. 文档未说明容器模式启用步骤
+
+**优化方案（本轮已完成 2/3）**：
+- ✅ **doctor 增加 docker 探测**：`runDoctor` 新增第 6 项检查（Docker 沙箱 container 档），container 模式下 docker 不可用则告警
+- ✅ i18n zh/en 补齐 `doctor.docker`
+- 剩余：有 docker 环境实测 `runCommandInContainer` 一次真实容器执行（写文件验证挂载隔离）；文档补"container 模式启用步骤"
+
+---
+
+## ⑥ 合规认证空白（缺 SOC2/ISO27001）
+
+**实测证据**：
+- 文档中 SOC2/ISO27001 仅出现在 BENCHMARK_REPORT 的"差距"栏，**无任何认证/证书/安全文档**——指控属实
+- 技术控制面已具备：RBAC、审计日志（`fhcode audit`）、私有化部署、沙箱三档——是合规的**技术基础**
+
+**判定**：❌ **属实**。政企采购确实常因缺证书卡流程。
+
+**优化方案（本轮已完成）**：
+- ✅ 新建《合规认证准备清单_v7.2.0.md》：现状核查表 + 政企采购卡点分析 + 技术侧 8 项先行项（依赖扫描 CI / SBOM / 审计完备 / 脱敏 / 密钥管理 / 安全白皮书 / 数据留存 / DPA）+ 组织侧 4 项（SOC2/ISO27001/等保/渗透）
+- **诚实声明**：认证必须第三方审计，产品不得自封；技术控制面 + 文档 + 供应链证据可在 1-2 迭代补齐（这是政企最卡的部分）
+- 后续：安全 CI（npm audit + osv-scanner）落地、SBOM 生成、安全白皮书
+
+---
+
+## 优先级建议（下一迭代）
+
+| 优先级 | 项 | 价值 |
+|---|---|---|
+| P0 | 官方 SWE-bench Verified 实测（需 Docker 环境） | 对外硬指标从"自建 80%"升级为"官方成绩" |
+| P0 | 安全 CI（npm audit + osv-scanner）+ SBOM | 供应链安全证据，政企准入 |
+| P0 | 生态 Skill 模板库（10 个官方模板） | 生态从 0→1 的第一步 |
+| P1 | LSP 对接真实服务器（typescript-language-server） | 编译器级代码理解（对标 OpenCode） |
+| P1 | 扩展补全纯函数单测 + 质量优化 | 杜绝"无验证"、提升补全质量 |
+| P1 | 安全白皮书 + DPA 文档 | 政企售前材料 |
+| P2 | 生态门户（第三方提交入口） | 规模化起点 |
+
+## 结论
+
+外部评估的 6 项指控中：**③ 项为"部分不实"**（① ② ③ ⑤，均已有实现，属评估数据过时或口径偏差），**2 项"属实"**（④ 生态、⑥ 合规），**0 项完全成立**。本轮已完成：README 跑分公开（①）、doctor docker 探测（⑤）、合规准备清单（⑥）。真正的长期差距集中在**生态规模（④）与合规认证（⑥）**，以及**官方 SWE-bench 实测（① 的升级项）与编译器级 LSP（② 的升级项）**。
+
+---
+
+*飞扬企源研发中心 · 2026-08-27*

package/docs//345/205/250/351/235/242/345/244/215/347/233/230_/350/277/220/350/241/214/346/227/266/345/256/236/346/265/213/347/211/210_v7.2.0.md

@@ -0,0 +1,271 @@
+# 飞虹 Code v7.2.0 深度复盘报告
+## （运行时实测版 · 第二轮 50 次复盘 · 对标 10 款一线产品）
+
+> 审计对象：`H:\Muse Code复刻`（TypeScript + Electron + Express 终端 AI 编程智能体，对标 Muse Code / Cursor）
+> 审计日期：2026-08-26 ｜ 审计方法：**静态依赖图扫描（50 轮）+ 运行时真实实测（启动 server 带认证打全量 API）+ 逐项源码核验**
+> 审计立场：**真实、不粉饰**。本报告只陈述"实测到的事实"，不沿用上一版的虚高结论。
+
+---
+
+## 0. 审计方法（本轮升级）
+
+| 方法 | 手段 | 目的 |
+|---|---|---|
+| 静态扫描 | `scripts/_audit-deps.cjs`（50 轮依赖图孤岛扫描）+ `_audit-enterprise.cjs` | 找死代码模块、enterprise 引用 |
+| **运行时实测** | 启动真实 server（port 8099）→ 登录获取 Bearer Token → 逐端点打 API（`_api-full.mjs` / `_verify-fix.mjs`） | **决定性证据**：每个声称的功能到底通不通 |
+| 源码核验 | 对上一版报告每项声明逐一对照源码 | 勘误 |
+
+**一句话结论**：上一版 12 维评测矩阵存在 **3 处硬伤 + 综合分算术不可复核**；本轮实测发现 **8 个声称功能运行时全部 404**；本轮已**真实修复**并验证通过（详见 §3）。
+
+---
+
+## 1. 上一版报告《重新复盘_12维评测矩阵_v7.2.0.html》勘误
+
+| # | 上一版声明 | 源码核验结果 | 勘误 |
+|---|---|---|---|
+| 1 | SWE-bench"无集成" | `src/swe/*` 三件套实际 **534 行**（runner/verifier/evaluator 完整） | **错误**，已有完整 harness |
+| 2 | "无 Docker 沙箱" | `src/sandbox.ts` **141 行 4 档**：direct → bash → docker → **container** | **错误**，含 container 档 |
+| 3 | "无 inline 补全" | VS Code 扩展 + Web 前端均实现 `/api/completion` | **错误**，已实现 |
+| 4 | 综合分 8.25（飞虹） | 12 维简单平均实为 **8.33**；报告未披露权重，9/12 行算术对不上 | **算术不可复核**（如 Cursor 平均 7.33 却写 8.83） |
+| 5 | enterprise/ 1179 行 | 实测 **1096 行** | 行数误差 |
+| 6 | SWE 三件套 245 行 | 实测 **534 行** | 行数误差 |
+| 7 | voice 指令"若干" | `VoiceCommandType` 联合类型恰好 **28 种** | 不精确 |
+
+**结论**：上一版报告的"飞虹综合第 1 / 并列第 1"结论**不成立**——它建立在 3 处错误之上，且综合分算法不可复核。
+
+---
+
+## 2. 运行时实测结果（修复前，决定性证据）
+
+启动 `node dist/cli/index.js serve --port 8099`，`POST /api/auth/login {phone:'vscode-local'}` 获取 token，带 `Authorization: Bearer` 逐端点实测（26+ 端点）：
+
+### 2.1 核心引擎 —— 全部真实可用 ✅
+
+| 端点 | 实测 | 说明 |
+|---|---|---|
+| GET /api/models | **200** | 返回 hy3-free 等模型 |
+| GET /api/multi-agent/roles | **200** | 架构师/开发/测试等多角色 |
+| **POST /api/multi-agent/run** | **200（130s）** | **真实跑完多角色协同任务** |
+| GET /api/custom-agents | **200** | 5 个内置智能体 |
+| GET /api/event-driven/config+events | **200** | 事件驱动引擎 |
+| GET /api/mcp/tools+config | **200** | MCP 服务器框架 |
+| GET /api/changes + detect-conflicts | **200** | 变更审批/冲突检测 |
+| GET /api/team/stats、/api/solo/list | **200** | 团队/单人 |
+| GET /api/skills/market | **200（100 技能）** | 技能市场 |
+| GET /api/office/capabilities、/api/git/status、/api/memory/stats、/api/templates、/api/nodes | **200** | 办公/文档/记忆 |
+
+### 2.2 死代码 —— CHANGELOG 声称的 8 项能力运行时全部 404 ❌
+
+| 端点 | 实测 | CHANGELOG 声称 |
+|---|---|---|
+| POST /api/voice/parse | **404** | ✅ 语音编程 |
+| POST /api/voice/to-code | **404** | ✅ 语音转代码 |
+| GET /api/knowledge/documents | **404** | ✅ AI 资料库 |
+| POST /api/figma/convert | **404** | ✅ Figma 转代码 |
+| GET /api/sso/providers | **404** | ✅ SSO 登录 |
+| GET /api/collaboration/config | **404** | ✅ 团队协作 |
+| GET /api/plugins | **404** | ✅ 插件管理 |
+| GET /api/plugins/market | **404** | ✅ 插件市场 |
+
+> **这是"报告虚高"的铁证**：文档/CHANGELOG 声称的 8 项能力，服务端一个路由都没注册。代码存在（孤岛模块）但**从未接线**。
+
+### 2.3 其余发现
+
+- 认证为 **Bearer Token fail-closed**：未认证全 401（合理设计，但掩盖了 404，需文档说明）。
+- `/api/custom-agents/match`、`/api/completion` 返回 400：是参数名问题（需 `{input}` / `{filePath+fileContent}`），非缺陷。
+- `/api/models/providers`、`/api/event-driven/cron`、`GET /api/design-to-code` 404：路由未注册（设计-to-code 只有 POST），属"缺失路由"，已在修复清单。
+- **版本号 bug**：`src/cli/version.ts` 硬编码 `VERSION='7.0.0'`，而 package.json 已是 7.2.0 → health 返回 7.0.0，**运行时版本与包版本不一致**。
+
+---
+
+## 3. 真实修复（本轮完成 + 已验证 ✅）
+
+### 3.1 新建能力接线层 `src/web/extra-apis.ts`（约 11KB）
+把 7 个孤岛模块接入 server，注册 **30 个新 API**：
+
+| 模块 | 接入 API | 配置项 |
+|---|---|---|
+| 语音编程 | /api/voice/commands、parse、to-code | 无 |
+| AI 资料库 | /api/knowledge/stats、documents、categories、tags、document CRUD、search | 无 |
+| SSO | /api/sso/providers、login-url、validate | 无 |
+| 协作 | /api/collaboration/status、notify | FH_FEISHU_* / FH_GITHUB_* |
+| Figma | /api/figma/status、convert | FH_FIGMA_TOKEN |
+| 插件 | /api/plugins、market、categories、stats、install、uninstall、enable、disable | 无 |
+| 自我修正 | /api/agent/correct | 需 modelFix |
+
+### 3.2 接入 server + 版本同步
+- `src/web/server.ts`：在认证中间件后调用 `registerExtraApis(app, {dataDir})`（受 Bearer 保护）。
+- `src/cli/version.ts`：`VERSION` 7.0.0 → **7.2.0**。
+
+### 3.3 验证结果（全部通过）
+
+| 验证项 | 结果 |
+|---|---|
+| `npx tsc --noEmit` | ✅ 0 错误 |
+| `npx tsc` 构建 | ✅ 通过 |
+| health 返回 version | ✅ **7.2.0**（修复前 7.0.0） |
+| POST /api/voice/parse | ✅ **200**（真实解析"打开文件"→ open_file 指令，confidence 1） |
+| POST /api/voice/to-code | ✅ **200**（真实生成代码模板） |
+| 知识库 CRUD 闭环 | ✅ **add→200 / list→200 / stats→200 / search→200**（新增文档"飞虹Code部署指南"可检索） |
+| /api/plugins/market?q=git | ✅ **200**（返回 Git Enhanced 插件） |
+| /api/figma/status、/api/sso/providers、/api/collaboration/status | ✅ **200**（未配置时诚实报错，不静默失效） |
+
+### 3.4 SWE-bench 跑分验证（P0-1 部分完成，本轮实测）
+
+| 验证项 | 结果 | 说明 |
+|---|---|---|
+| harness 闭环冒烟（mock） | ✅ **2/2 = 100%** | loader→executor→verifier→reporter 全链路真实可执行（`_swe-smoke.mjs`） |
+| **harness 真实模型闭环** | ✅ **3/3 = 100% 生成率** | 真实模型 agnes-2.5-flash 驱动 Orchestrator，3 个真实编程任务全部生成目标文件（`_swe-real.mjs`） |
+| 迭代/工具调用 | real-001: 2次/2次；real-002: 4次/5次（含 self-heal）；real-003: 1次/2次 | 真实模型在循环中写文件闭环正常 |
+| **self-heal 自愈机制** | ✅ **真实触发** | real-002 遇到 build-error 时日志显示 "self-heal recovery attempt" + "injected reflection"，机制真实工作 |
+
+> **诚实标注**：以上是"生成率"（目标文件生成成功）。**完整测试通过率**（本轮补跑）见下。官方 SWE-bench(HF) 数据集本机网络不可达（curl timeout），且标准集为 Python 大仓库需 Docker+pytest 环境——故采用 **SWE-bench 格式**（problem_statement + FAIL_TO_PASS）构造 5 个自包含 JS 任务，真实模型修复 + **预定义测试（不交给模型）node --test 断言**验证，得出真实硬指标：
+
+### 3.4b SWE-bench 测试通过率（完整跑分，本轮实测）
+| 指标 | 结果 | 说明 |
+|---|---|---|
+| **测试通过率** | **80%（4/5）** | 真实模型 agnes-2.5-flash + node --test 真实断言（`_swe-bench-real.mjs`） |
+| 通过实例 | swe-js-001/002/003/005 | maxOf / fibonacci / isPalindrome / countWords 全部断言通过 |
+| 失败实例 | swe-js-004（findMissing） | iterations=0 toolCalls=0，模型调用未产出，属执行层失败非实现错误 |
+| 防作弊 | ✅ | 测试文件由验证器注入，**不交给模型**，node --test 断言严格判定 |
+| 冒烟回归 | ✅ | SWE 跑分后 33 项综合冒烟全通过，无回归 |
+
+> **对比**：Claude Code SWE-bench 72.5%、Windsurf 40%（第三方评测）。飞虹 Code 在本自建 JS 测试集 80% 通过率——**注意口径不同**（自建任务 vs 官方 SWE-bench Verified），仅作内部基线。官方全量跑分需 Docker 沙箱 + pytest 环境 + HF 可达。
+
+### 3.5 前端接线（P0-3 完成，本轮实测）
+| 验证项 | 结果 | 说明 |
+|---|---|---|
+| api.js 追加新 API 封装 | ✅ 12 个函数 | voice/knowledge/plugins/sso（`_api-full.mjs` 对应端点到 200） |
+| index.html「能力中心」面板 | ✅ 上线 | 语音解析 / 资料库搜索 / 插件市场 三区块 |
+| ui.js 绑定与渲染 | ✅ 语法检查通过 | switchRightTab 支持 capabilities，节点 E2E 验证生效 |
+| **端到端验证** | ✅ | server 起后：health 7.2.0；`/` 含 capabilitiesPanel；`/js/api.js` 含 apiVoiceParse/apiKnowledgeSearch；`/js/ui.js` 含 bindCapabilitiesOnce |
+
+> 此前"v7.2 新 API 前端 0 调用"的断层已修复：用户现可在 Web 界面直接使用语音指令解析、AI 资料库搜索、插件市场浏览。
+
+### 3.6 LSP 语义服务层（P0-2 完成，本轮实测）
+| 验证项 | 结果 | 说明 |
+|---|---|---|
+| 语义底座盘点 | ✅ 已存在 | symbol-index 代码图（orchestrator RAG 已接入）+ type-checker 类型诊断 + QualityGate——此前**缺标准 LSP 服务层**（`src/lsp/` 目录不存在） |
+| 新建 `src/lsp/lsp-service.ts` | ✅ | LSP 风格接口：diagnostics / symbols / definition / hover / graph / search，复用现有语义底座 |
+| 注册 /api/lsp/*（6 端点） | ✅ | graph / symbols / search / diagnostics / definition / hover |
+| **冒烟测试** | ✅ **9/9** | graph 459 文件/14783 符号/1212 边；symbols 23（lsp-service.ts）；definition 真实定位 current@102；diagnostics 0 错误 |
+| 回归 | ✅ | voice/plugins 等已修复 API 不受影响 |
+
+> 语义感知从"仅内部 RAG"升级为**标准可调用服务层**（对标 opencode 的 LSP 感知）：agent/Web/IDE 均可通过统一接口获取诊断、符号、定义、悬停与全仓库图谱。
+
+> **修复前后对比**：8 个声称功能 404 → **全部可调用**；新增 30 个 API 端点；版本号同步。
+
+---
+
+## 4. 与 10 款一线产品的真实差距（2026-08 实测/检索）
+
+| 产品 | 定位 | 模型/引擎 | SWE-bench | 价格 | 与飞虹 Code 的真实差距 |
+|---|---|---|---|---|---|
+| **Cursor** | GUI IDE，vibe coding 天花板 | 多模型（Composer/Design Mode/Visual Editor） | 高 | $20/月 | 多文件 Composer、可视化编辑、设计模式飞虹 0；飞虹的 Agent/事件驱动引擎可对标其基础能力 |
+| **Claude Code** | 终端原生 CLI | 仅 Claude 系 | ~74-79%（Opus 4.6） | 订阅制 | 全仓库推理、LSP 自动加载（飞虹 LSP 0 引用）、自我修正（飞虹已接 but 弱） |
+| **GitHub Copilot** | IDE 补全插件 | GPT 系 | ~68% | $10/月 | **补全能力最强**（飞虹 completion API 在但前端无 ghost text） |
+| **Codex** | 终端 CLI + IDE | GPT-5.5 系 | Terminal-Bench 83.4% 榜首 | 性价比高 | 多 Agent 并行 Work Tree（飞虹 multi-agent 顺序执行）、Memory 已落地（2026.4） |
+| **Windsurf** | GUI IDE | Cascade | ~40% | $15/月 | Cascade 多文件编辑、合规强（企业合规飞虹有雏形） |
+| **Trae** | 免费 GUI IDE | 底层豆包模型 | 中上 | 免费 | **完全免费+国内直连+仓库级预测（Cue Pro）+图像转代码 88%**；功能≈Cursor 80%，飞虹可对标其 Agent 编排但缺免费托管模型 |
+| **豆包（Seed 2.1）** | 底层模型+生态 | 豆包 2.1 Pro（编程追平 Opus 4.7，成本砍 80%） | 第一梯队 | 输入6/输出30 元 | 飞虹无自有模型，依赖外部 API；豆包为 Trae 提供底层能力 |
+| **WorkBuddy** | 办公+代码 | 多模型切换（混元/DeepSeek/GLM/Kimi/MiniMax） | 低（办公向） | 免费 | 中文职场面板、7万+ Skills 连接器；飞虹 enterprise/office 能力与其定位重叠但 Web 端未接线 |
+| **opencode** | 开源终端 agent | **75+ Provider** + Ollama 本地 | GLM-4.7→73.8% | 免费+token | **与飞虹定位最像**；但 opencode 有 LSP 感知、TUI 多窗格、自我修正、GitHub 158k stars——飞虹缺 LSP 与 UI |
+| **飞虹 Code** | 开源终端 agent | 外部模型（hy3-free 等） | **未跑分**（harness 在） | 免费 | —— |
+
+### 4.1 飞虹 Code 的**真实**差异化优势（不粉饰，但确实存在）
+1. **自主产权引擎**：multi-agent 协同、event-driven 事件驱动、MCP 框架、changes 审批、memory、office——**全部实测 200 且代码自研**（非套壳），这是 Trae/Cursor 之外少有的"自研全家桶"。
+2. **隐私/离线**：自托管 + 本地模型支持（对应 opencode 卖点，飞虹同样具备）。
+3. **中文优先**：实测中文指令解析正常（voice"打开文件"→ open_file，confidence 1）。
+4. **企业合规底座**：enterprise/office/self-correction 模块齐备（对比 WorkBuddy 定位）。
+
+### 4.2 飞虹 Code 的**真实**短板（对标结论）
+1. **无自有模型** → 代码质量天花板由外部模型决定（豆包/Cursor/Trae 有模型护城河）。
+2. **LSP 0 引用** → 无 IDE 语义理解（Claude Code/opencode 的"全仓库推理"飞虹做不到）。
+3. **前端体验断层** → v7.2 新增 API 前端 0 调用；无 ghost text、无多文件 diff 可视化、无 TUI。
+4. **SWE-bench 未跑分** → 无法用硬指标证明代码能力（有 harness 但没跑，等于没有）。
+5. **生态为 0** → plugins market 只返回内置 100 技能，无第三方生态。
+
+---
+
+## 5. 剩余必须修复项（诚实清单，按优先级）
+
+### P0 —— 不改会继续虚高的项
+| # | 项 | 现状 | 建议 |
+|---|---|---|---|
+| P0-1 | **SWE-bench 跑分** | ✅ **本轮已跑通 harness 闭环**：mock 100% + 真实模型生成率 3/3 | 下一步：配 SWE-bench 数据集 + TestVerifier 跑真实测试通过率，写进 README |
+| P0-2 | **LSP 接入** | ✅ **本轮已完成**：新建 `src/lsp/lsp-service.ts`（diagnostics/symbols/definition/hover/graph/search）+ 6 个 /api/lsp/* 端点，冒烟 9/9 | 后续：接入 orchestrator 自动诊断反馈、对接真实 LSP 协议（vscode-languageserver） |
+| P0-3 | **前端 API 接线** | ✅ **本轮已完成**：能力中心面板（语音/资料库/插件市场）+ 12 个 API 封装，端到端验证通过 | 后续可扩展：voice 按钮接入完整面板、资料库 Tab 化 |
+
+### P1 —— ✅ 本轮全部完成
+| # | 项 | 状态 | 验证 |
+|---|---|---|---|
+| P1-1 | ghost text 补全 | ✅ 完成 | 记忆编辑器防抖 350ms 调 /api/completion，Tab 接受/Esc 取消（memGhostBar） |
+| P1-2 | 多文件 diff 可视化 | ✅ 完成+增强 | 冲突红框+⚠️高亮、冲突计数 badge、加载自动检测、diff hunks 逐行/逐 hunk 审批 |
+| P1-3 | 补齐 3 个缺失路由 | ✅ 完成 | GET /api/models/providers、/api/event-driven/cron、/api/design-to-code 全部 200 |
+| P1-4 | 配置文档 | ✅ 完成 | .env.example 补 FH_FIGMA_TOKEN / FH_FEISHU_* / FH_GITHUB_* / SSO |
+
+> P1 冒烟 11/11 通过 + P1 后综合回归 33/33 全通过（无破坏）。
+
+### P2 —— ✅ 本轮全部完成
+| # | 项 | 状态 | 验证 |
+|---|---|---|---|
+| P2-1 | TUI/桌面端多窗格 | ✅ 完成 | MultiPaneTui 左文件树+右消息/Diff 双窗格，`fhcode tui` 入口，布局可断言 |
+| P2-2 | 插件生态 | ✅ 完成 | 修复"只记录不执行"缺口：activatePlugin 真实 require 入口 + 传 PluginAPI，第三方插件可注册命令/视图/补全/代码操作 |
+| P2-3 | 沙箱权限实测 | ✅ 判定层实测 | 12 项判定实测通过；容器执行层 runCommandInContainer 已存在，本机无 docker 如实记录未实测 |
+
+> P2 冒烟 27/27 通过 + P2 后综合回归 33/33 全通过（无破坏）。
+
+### P3 —— 战略
+| # | 项 | 状态 | 验证 |
+|---|---|---|---|
+| P3-1 | 自有模型/接入豆包 Seed | ⏳ 待做 | 需真实 API key 实测豆包 Seed 2.1 Pro/Turbo |
+| P3-2 | SWE 成绩对外 | ✅ 完成 | 量化对标章节（zh/en）+ GEO FAQ + 升级说明书；真实跑分 80%(4/5)+行业对标(有来源)+诚实口径（污染注记/不可横比） |
+
+> P3-2 冒烟 22/22 通过（含 JSON-LD 合法性校验）。
+
+---
+
+## 6. 修正版 12 维评分（诚实版，简单平均 + 披露算法）
+
+> 算法：每维 0-10，简单平均，无隐藏权重。上一版"飞虹 8.33 综合第 1"作废。
+
+| 维度 | 飞虹 Code | Cursor | Claude Code | Trae | opencode | 依据 |
+|---|---|---|---|---|---|---|
+| ① 代码生成准确率 | 6.0 | 9.0 | 9.5 | 8.0 | 8.0 | 依赖外部模型，未跑分 |
+| ② 上下文管理 | 6.5 | 8.5 | 9.5 | 8.0 | 8.5 | memory 实测可用，无长任务压缩实测 |
+| ③ IDE 集成 | 4.0 | 9.5 | 6.0 | 9.0 | 8.0 | VS Code 插件 394 行薄壳 |
+| ④ 多文件协同 | 4.5 | 9.0 | 9.0 | 8.5 | 8.0 | changes API 在但无可视化 |
+| ⑤ Agent 自动化 | 7.5 | 8.5 | 9.0 | 8.0 | 8.5 | multi-agent/event-driven 实测 200 |
+| ⑥ 补全能力 | 5.0 | 9.5 | 7.0 | 9.0 | 7.5 | completion API 在，无 ghost text |
+| ⑦ SWE-bench | 6.5 | 8.5 | 9.5 | 7.0 | 8.5 | 本轮自建 JS 测试集 80%（4/5），口径不同于官方 Verified |
+| ⑧ 沙箱安全 | 5.5 | 7.5 | 8.0 | 7.0 | 7.0 | 4 档含 container 但未实测隔离 |
+| ⑨ 生态插件 | 5.0 | 9.0 | 8.0 | 8.5 | 8.0 | 内置 100 技能，无第三方 |
+| ⑩ 隐私/离线 | 8.5 | 6.0 | 6.0 | 6.5 | 9.0 | 自托管+本地模型 |
+| ⑪ 中文适配 | 8.0 | 6.5 | 6.0 | 9.0 | 7.0 | 中文实测正常，但缺中文企业方案 |
+| ⑫ 企业/团队 | 5.5 | 8.0 | 8.0 | 7.5 | 7.0 | enterprise/office 多但 Web 未接线 |
+| **综合（简单平均）** | **6.04** | **8.29** | **8.00** | **8.00** | **7.83** | SWE 维度本轮实测 80% 后上调（4.0→6.5） |
+
+**诚实结论**：飞虹 Code v7.2.0 综合 **6.04/10**（SWE 跑分 80% 后上调），处于"引擎真实可用、自研架构有亮点、但距一线产品仍有约 2 分差距"的位置。**核心引擎是真实的（实测 200），SWE 有真实基线（80%），短板集中在"模型、前端体验、生态、官方跑分"四处**。
+
+---
+
+## 7. 本次会话真实修复清单（已入库可复现）
+
+| 修复 | 文件 | 验证 |
+|---|---|---|
+| 死代码模块接线（voice/knowledge/figma/sso/collab/plugins/self-correction，30 API） | 新建 `src/web/extra-apis.ts` | 8 个 404 → 全部可调用 |
+| server 接入 | `src/web/server.ts` | typecheck 0 错 |
+| 版本号同步 7.2.0 | `src/cli/version.ts` | health 返回 7.2.0 |
+| SWE harness 闭环验证 | `_swe-smoke.mjs` / `_swe-real.mjs` | mock 2/2 + 真实模型 3/3 生成率 |
+| 前端接线（能力中心面板） | `api.js` / `index.html` / `ui.js` | E2E 生效（面板/封装/绑定） |
+| LSP 语义服务层 | 新建 `src/lsp/lsp-service.ts` + extra-apis 6 端点 | 冒烟 9/9 |
+| 审计/验证脚本（可复跑） | `_api-full.mjs`、`_api-smoke.mjs`、`_verify-fix.mjs`、`_audit-deps.cjs`、`_smoke-full.mjs`、`_lsp-smoke.mjs` | 全部跑通 |
+
+---
+
+## 8. 对标信息引用来源
+
+- opencode：https://juejin.cn/post/7639404919411753023 ｜ https://segmentfault.com/a/1190000048109288 ｜ https://opencode.ai/
+- 豆包 Seed 2.1：https://m.36kr.com/p/3865600233395201 ｜ https://www.ithome.com/0/968/809.htm ｜ https://seed.bytedance.com/zh/blog/seed2-1-officially-released-advancing-ai-productivity
+- Trae/WorkBuddy/Codex 竞争分析：https://developer.cloud.tencent.com/article/2714818 ｜ https://cloud.tencent.com/developer/article/2679604 ｜ https://blog.csdn.net/giszz/article/details/162671218
+- SWE-bench 数据：https://baeseokjae.github.io/posts/opencode-ai-review-2026/ ｜ https://www.nxplace.com/post/claude-code-vs-codex-vs-opencode-which-terminal-ai-coding-agent-wins-in-2026-782961694741

package/docs//345/220/210/350/247/204/350/256/244/350/257/201/345/207/206/345/244/207/346/270/205/345/215/225_v7.2.0.md

@@ -0,0 +1,59 @@
+# 飞虹 Code 合规认证准备清单（v7.2.0）
+
+**晋江市飞虹智科技企业管理有限公司 · 飞扬企源研发中心 · 负责人：吴赐虹**
+**更新日期**：2026-08-27
+
+> **诚实声明**：飞虹 Code 当前**未获得** SOC2 / ISO27001 等第三方合规认证。本文档是"差距 + 准备路线"，不是认证声明。认证必须由第三方审计机构（如 A-LIGN、BDO、SGS、TÜV 等）完成独立审计，任何产品不得自行宣称已获认证。
+
+---
+
+## 一、现状核查（实测）
+
+| 项 | 现状 | 证据 |
+|---|---|---|
+| 安全控制文档 | ❌ 无 | 未见 security 控制文档 |
+| SOC2 Type I/II | ❌ 无 | 无审计报告 |
+| ISO27001 | ❌ 无 | 无认证证书 |
+| 渗透测试 | ⚠️ 未独立执行 | 仅内部 security CI（GitHub Actions） |
+| 隐私政策/数据处理协议 | ⚠️ 部分 | 无正式 DPA 对外文档 |
+
+## 二、政企采购为何卡合规
+
+政企/金融/医疗客户采购软件时的硬性门槛通常是：
+1. **安全资质**：ISO27001 / 等保 2.0（国内）/ SOC2（出海客户）
+2. **数据安全**：私有化部署 + 数据不出域（飞虹 Code 已具备，是优势项）
+3. **供应链安全**：SBOM（软件物料清单）、依赖漏洞扫描
+4. **审计能力**：操作审计日志、权限隔离（飞虹 Code 已具备 RBAC + 审计日志）
+
+**结论**：飞虹 Code 的**技术控制面（RBAC/审计/私有化/沙箱）已具备相当基础**，缺的是"证书 + 文档 + 第三方背书"，这是可规划的，不是技术不可达。
+
+## 三、技术侧可先行项（代码/工程可立即做）
+
+| # | 项 | 说明 | 优先级 |
+|---|---|---|---|
+| 1 | **依赖漏洞扫描 CI** | 在 GitHub Actions 加 `npm audit --audit-level=high` + `osv-scanner` 步骤，作为 SBOM 与供应链安全证据 | P0 |
+| 2 | **SBOM 生成** | `npx @cyclonedx/cyclonedx-npm` 生成 CycloneDX SBOM，随版本发布 | P0 |
+| 3 | **审计日志完备性** | 已有 `fhcode audit`；补充：模型调用、配置变更、权限变更纳入审计（审计范围清单文档） | P1 |
+| 4 | **敏感信息脱敏** | 配置/日志/诊断输出中密钥脱敏（已有部分，需系统化） | P1 |
+| 5 | **密钥管理** | 文档化：API key 不落盘明文、支持环境变量注入（FH_*） | P1 |
+| 6 | **安全控制文档** | 编写《安全白皮书》：架构/数据流/访问控制/加密/日志/事故响应 | P1 |
+| 7 | **数据留存与删除策略** | 会话/审计/经验库的留存周期、导出与删除机制文档 | P2 |
+| 8 | **DPA 数据处理协议** | 面向企业客户的个人/业务数据处理协议模板 | P2 |
+
+## 四、组织侧（需第三方/法务）
+
+| # | 项 | 说明 |
+|---|---|---|
+| A | SOC2 准备 | 选择审计机构，先做 Type I（设计合理性），再 Type II（运行有效性，需 3-12 个月观察期） |
+| B | ISO27001 | 建立 ISMS 体系、风险登记册、内审 + 外审；通常 6-12 个月 |
+| C | 等保 2.0（国内） | 若面向国内政企，评估定级（二级/三级），对接测评机构 |
+| D | 渗透测试 | 每年一次由第三方执行的渗透测试报告 |
+
+## 五、近期落地建议（本仓库可立即推进）
+
+1. **新增安全 CI**：在 `.github/workflows/security.yml` 增加 `npm audit` + `osv-scanner`（零 Secrets 可跑，与现有 security 流水线一致）
+2. **生成 SBOM**：发布流程加 CycloneDX 产物
+3. **编写《安全白皮书》**：作为政企售前材料
+4. **补齐 DPA 模板**：可调用 doubao-dpa-drafter skill 生成
+
+> 认证是长周期工程（SOC2 Type II 需观察期），但**技术控制面 + 文档 + 供应链证据**可在 1-2 个迭代内补齐，这是政企采购最卡的部分，优先级最高。

package/docs//345/256/211/345/205/250/347/231/275/347/232/256/344/271/246_v7.2.0.md

@@ -0,0 +1,82 @@
+# 飞虹 Code 安全白皮书（v7.2.0）
+
+**晋江市飞虹智科技企业管理有限公司 · 飞扬企源研发中心 · 负责人：吴赐虹**
+**版本**：v7.2.0（2026-08-27）
+**密级**：公开（面向政企售前 / 合规评估）
+
+> 本白皮书基于实际代码能力编写，逐项对应实现，不作无依据宣称。认证状态见《合规认证准备清单》（飞虹 Code 当前无第三方认证，本文件为技术控制面说明）。
+
+---
+
+## 1. 产品安全定位
+
+飞虹 Code 是**本地优先 / 可完全离线**的终端 AI 编程智能体，核心数据（对话、审计、经验库、知识库）默认落盘在用户本机（`~/.feihong-code`），**数据不出域**。这是面向政企私有化部署最核心的安全优势。
+
+## 2. 架构与数据流
+
+```
+用户（终端/Web/VS Code扩展）
+   │
+   ├─▶ 认证（Token / SSO）→ RBAC 权限判定
+   │
+   ├─▶ Orchestrator（Agent 编排）
+   │      ├─▶ 模型路由（OpenAI 兼容 / Ollama 本地 / 国内模型）
+   │      ├─▶ 工具层（shell / 文件 / 浏览器 / 电脑控制）
+   │      │     └─▶ 沙箱（read-only / workspace-write / container）
+   │      └─▶ 变更审批（change-manager）→ 审计日志（audit）
+   │
+   └─▶ 数据存储：会话 / 经验 / 知识库 / 插件（本地，RBAC 保护）
+```
+
+## 3. 身份认证与访问控制
+
+| 控制项 | 实现 |
+|---|---|
+| 认证 | Token 认证（`/api/auth/*`）；SSO 单点登录（`/api/sso/*`，未配置时明确返回状态） |
+| 授权 | RBAC 角色：admin / developer / viewer 等，接口级权限判定 |
+| 多租户 | 企业模式（`FH_ENTERPRISE=true`）下租户隔离（`FH_TENANT`） |
+| 会话 | Web Token 校验；会话落盘管理（M3 会话命令） |
+| 沙箱 | 三档：`read-only`（禁写禁执行）/ `workspace-write`（工作区内写，shell 受限）/ `container`（Docker 容器隔离，网络黑白名单） |
+
+## 4. 数据保护与加密
+
+| 数据 | 保护方式 |
+|---|---|
+| 配置 / API Key | 支持环境变量注入（`FH_*`）；禁止明文密钥提交（CI 密钥扫描强制） |
+| 会话 / 经验 / 知识库 | 本地落盘，目录级权限；敏感字段脱敏（redact 工具） |
+| 审计日志 | 追加式落盘（`fhcode audit`），覆盖命令执行与关键操作 |
+| 网络 | 出站请求可配黑白名单（`FH_NETWORK_ALLOW/DENY`）；离线模式默认关闭出站 |
+
+## 5. 供应链安全（v7.2.0 新增）
+
+| 控制项 | 实现 |
+|---|---|
+| 依赖漏洞扫描 | CI `supplychain` job：`npm audit --audit-level=high`（强制）+ `osv-scanner`（OSV 全量库） |
+| SBOM | CI 生成 CycloneDX SBOM（`sbom.cdx.json`，75 组件实测），随版本发布 |
+| 密钥扫描 | CI 强制：发布包白名单（禁 .env/src/私钥）+ git 明文 API Key 扫描 |
+| 依赖审计 | `npm audit --omit=dev` 生产依赖 high 及以上即失败 |
+
+## 6. 合规基础（技术控制面）
+
+- RBAC + 多租户：满足"最小权限 + 职责分离"要求
+- 审计日志：满足"操作可追溯"要求
+- 本地部署 + 数据不出域：满足"数据主权"要求
+- 供应链（SBOM + 漏洞扫描）：满足"供应链安全"要求
+- 认证状态：无第三方认证（SOC2/ISO27001），详见《合规认证准备清单》
+
+## 7. 事故响应与安全更新
+
+1. **上报**：GitHub Issues（模板：环境 / 复现 / 影响）
+2. **响应**：核心维护者（飞扬企源研发中心）72 小时内响应
+3. **修复**：安全补丁走独立 commit，回归冒烟后发布（`npm publish`）
+4. **披露**：关键修复在 CHANGELOG 标注 `[security]`
+
+## 8. 安全边界与声明（诚实）
+
+- 沙箱 `container` 档依赖本机 Docker，未安装时自动降级提示（`fhcode doctor` 探测）
+- 模型后端为第三方 API 时，提示词与代码会经网络传输至模型服务商（本地 Ollama 可完全避免）；请按政企要求选用本地模型
+- 本白皮书描述**当前已实现**的技术控制面；认证类声明以第三方审计为准
+
+---
+
+*飞扬企源研发中心 · 安全与合规工作组*