progmune-runtime 3.7.58 → 3.7.59

package/CHANGELOG.md

@@ -22,6 +22,33 @@ external-ID）用 JSON 列 `.contains()` 做匹配——contains() 在 JSON 列
 不可点亮：污点根是 DB 字段（跨请求存储污点），现有管线结构性够不着，
 归入漏报根因新子类（详见 CAPABILITY_THREE_PROOFS_V1.md）。
 
+### fr-014 点亮 + fr-015 关闭（2026-10-05）
+
+- **fr-014（8/17，DETECTED-with-boundary）**：mockoon 管理 API 裸奔检出——
+  两处 Express 检测器可见性缺口修复：①`extractRoutes` 支持模板字符串路径
+  （库形态模块路径全是 `${prefix}/...` 变量拼前缀，此前整文件 0 路由）；
+  ②`app: Express` 形参的 setup 模块纳入整 app 无认证判定（此前落在
+  creator 门与 hasAnyAuth 门之间的盲区）。修复后残留归因到匿名中间件
+  函数体内的 bearer 校验超出名字级分类；AUTH_MIDDLEWARE_PATTERNS 补
+  timingSafeEqual/extractBearerToken（对具名形态有效）。express-realworld
+  回归 20 路由零新增误报。
+- **fr-015 判定关闭（corpus_invalid）**：真值 sink 在虚拟模块
+  （#og-image-virtual/public-assets.mjs，pre 快照不存在），mini 切片无 sink；
+  且 pre-fix 已有 isBlockedUrl 守卫未接在 fonts 路径——fr-009 同族
+  「守卫存在但不足」。检测无从谈起，如实不覆盖。
+
+### fr-012 复测点亮 + fr-004 判定关闭（2026-10-05）
+
+- **fr-012（7/17，DETECTED-with-boundary）**：MCP 工具实参污点根（3.7.33 C 系列）
+  上线后修复前 markdownUpload 已命中路径穿越标记——此前未复测。修复后残留
+  2 条归因到 local 部署 by-design 分支（IS_REMOTE 拒绝 filePath 是修复，
+  local 保留文件读取是设计；提取器无分支语义，fr-009 同族边界）。
+- **fr-004 判定关闭**：形态是闭包晚绑定（循环内 cookies 被内层函数晚绑定
+  捕获，多工具服务器时共享最后连接的 cookie jar）而非污点流——检测需变量
+  绑定分析，词形判据下 FP 爆炸，不硬做。根因归类修正为「作用域语义
+  （闭包晚绑定）」。注：fix_commit cd9db21c 是「重构形式的安全修复」
+  （fr-013 教训的镜像：fix 性质必须以公告摘要核对）。
+
 ## [3.7.57] — 2026-10-04（未发布）
 
 ### §51 held-out 验证 + §52-53 决策门禁 + 修冤枉第一刀（Data Mutation 族移除）

package/dist/frameworks/express-detector.js

@@ -76,6 +76,11 @@ const AUTH_MIDDLEWARE_PATTERNS = [
     /\bensureAuthenticated\b/,
     /\bauthGuard\b/,
     /\bAuthGuard\b/,
+    // 匿名中间件函数体内的 bearer 校验证据（2026-10-05 fr-014 mockoon 修复形态：
+    // app.use(`${prefix}*`, (req,res,next) => { hasValidAdminApiToken(...) })——
+    // 认证在函数体里，中间件名不可见）
+    /\btimingSafeEqual\b/,
+    /\bextractBearerToken\b/,
     /\brequire\w*[Aa]uth\b/,
     /\bcheckAuth\b/,
     /\bprotect\b/,
@@ -161,17 +166,22 @@ function extractRoutes(code, appName) {
     for (const method of methods) {
         // Pattern: app.get('/path', middleware1, middleware2, handler)
         // or: router.post('/path', handler)
-        const routeRegex = new RegExp(`\\b${receivers}\\.${method}\\s*\\(\\s*['\"]([^'\"]+)['\"]\\s*,([^;]+)\\)`, "gi");
+        // 2026-10-05（fr-014 mockoon）：路径也支持模板字符串
+        // app.get(`${adminApiPrefix}/events`, ...)——库形态模块（app 经参数传入）
+        // 的路径几乎全是变量拼前缀的模板串，字符串字面量 regex 整文件 0 路由。
+        // 捕获组：1=单引号 2=双引号 3=模板串；path 取三者首个非空。
+        const routeRegex = new RegExp(`\\b${receivers}\\.${method}\\s*\\(\\s*(?:'([^']+)'|\"([^\"]+)\"|\`([^\`]+)\`)\\s*,([^;]+)\\)`, "gi");
         let match;
         while ((match = routeRegex.exec(code)) !== null) {
-            const rawArgs = match[2].trim();
+            const routePath = match[1] ?? match[2] ?? match[3] ?? "";
+            const rawArgs = match[4].trim();
             const args = rawArgs.split(",").map(a => a.trim()).filter(a => a.length > 0);
             // Last arg is the handler, everything before is middleware
             const handler = args[args.length - 1] || "anonymous";
             const middlewares = args.slice(0, -1);
             routes.push({
                 method,
-                path: match[1],
+                path: routePath,
                 handler,
                 middlewares,
                 line: code.slice(0, match.index).split("\n").length,
@@ -274,9 +284,14 @@ function analyzeExpressApp(code) {
     const hasSession = globalMiddleware.some(m => m.type === "session") || /\bsession\s*\(/.test(code);
     // ── Generate Issues ──
     // 整 app 无认证：仅真 app（实例化 express()）且自身有非公开 mutation
-    // 路由时报——main.ts 只挂载路由模块（真实认证在 controllers 内）不算裸
+    // 路由时报——main.ts 只挂载路由模块（真实认证在 controllers 内）不算裸。
+    // 2026-10-05（fr-014 mockoon）：库形态 setup 模块（app: Express 经参数
+    // 传入、在调用方 app 上挂载）同样报——此前「非 creator 且无 auth」落在
+    // 两条判定路之间（整 app 报要求 creator、逐路由报要求 hasAnyAuth），
+    // 管理 API 裸奔的系统性盲区。
+    const appIsParam = /\bapp\s*:\s*Express\b/.test(code);
     const hasNakedMutation = routes.some(nonPublicMutation);
-    if (!hasAnyAuth && appIsCreator && hasNakedMutation) {
+    if (!hasAnyAuth && (appIsCreator || appIsParam) && hasNakedMutation) {
         issues.push({
             severity: "critical",
             rule: "EXPRESS_NO_AUTH_MIDDLEWARE",

package/dist/sdk.js

@@ -20,7 +20,7 @@ const risk_model_1 = require("./risk-model");
 const protocol_knowledge_1 = require("./protocol-knowledge");
 const evidence_repository_1 = require("./evidence-repository");
 /** Runtime version — stable public identifier. Internal layers evolve underneath. */
-exports.RUNTIME_VERSION = "3.7.58";
+exports.RUNTIME_VERSION = "3.7.59";
 function verify(filePath) {
     const cert = (0, certify_1.certify)(filePath);
     const kb = (0, protocol_knowledge_1.buildKnowledgeBase)();

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "progmune-runtime",
-  "version": "3.7.58",
+  "version": "3.7.59",
   "description": "Progmune — AI Trust Decision Engine. Verify AI-generated code before it reaches production. Outputs APPROVED / NEEDS_REVIEW / BLOCKED with evidence.",
   "files": [
     "dist/",