progmune-runtime 3.7.61 → 3.7.62

package/CHANGELOG.md

@@ -1,6 +1,37 @@
 # Changelog
 
-## [3.7.61] — 2026-10-06（未发布）
+## [3.7.62] — 2026-10-09
+
+### 迁移脚本排除出应用面（修冤枉第三刀：§49.19 补标注后首个数据驱动修复）
+
+**背景**：§49.19 补标注队列全部完成——docmost 174/174 条逐条人工核实
+（gold_confidence=verified，verified_by=ai-read-source），**全部为 FP**。
+这补齐了修冤枉第二刀撞到的数据边界（fp-pool 重扫 381→189 后「可干净
+动刀的根因挖完」的剩余瓶颈就是标注不足）。
+
+- **证据**：`blind-benchmark/reports/advisories/annotation-queue.jsonl`
+  （174 条全量 gold 字段落档）+ `blind-benchmark/fp-gold.jsonl`（+174 条
+  schema v2）+ `annotate-batches/`（16 批原始标注记录）
+- **首个根因**：Kysely 迁移脚本 `up()/down()`（src/database/migrations/）
+  被多族规则误报——addColumn/createTable 词撞 Authorization
+  (Unauthenticated Mutation)，dropTable 撞 Data Mutation 族。
+  迁移只在部署时跑一次、不暴露请求面，与 node_modules/benchmarks 同属
+  「无应用面」判定。
+- **修复**：`src/extract-ir.ts` 提取循环跳过 `/migrations/` 路径
+  （与 node_modules 跳过并列；Python 侧 alembic 未在本轮测量，暂不动——
+  按三要件，没有数据不扩面）
+- **A/B 实测**（docmost apps/server 同引擎双扫描）：告警流 992 → 942
+  （−50，恰好等于 fullscan 里 47 条 Unauthenticated Mutation + 3 条
+  Ownership Check 的迁移脚本 FP）；**判定/分数/主路径违规零变化**
+  （NEEDS_REVIEW 86 / 7 violations / auth 44，两侧完全一致）
+- **回归锁定**：新测试 `src/extract-ir-migrations.test.ts`（2 例：迁移
+  不提取 + migrations 字样非目录不误伤）；TS 盲测 119 项目零漂移
+  （仅时间戳变化）；taintpath 160/160；fr-007 pre5/post0、fr-016
+  pre7/post0 维持
+- 已知代价（如实记录）：迁移文件里的真实问题（如数据回填 SQLi）不再
+  检出——与 node_modules 跳过同一取舍，提取面=应用面
+
+## [3.7.61] — 2026-10-06
 
 ### fr-017 点亮：授权身份锚点取自请求输入（修复回归 11/17）
 

package/dist/extract-ir-migrations.test.js

@@ -0,0 +1,104 @@
+"use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
+Object.defineProperty(exports, "__esModule", { value: true });
+const vitest_1 = require("vitest");
+const fs = __importStar(require("fs"));
+const os = __importStar(require("os"));
+const path = __importStar(require("path"));
+const extract_ir_1 = require("./extract-ir");
+/**
+ * /migrations/ 目录跳过（2026-10-08 §49.19 补标注的产物）。
+ *
+ * 数据：docmost 补标注队列 174 条里，迁移脚本 up()/down() 被多族规则报
+ * （Authorization 族 + Data Mutation 族——addColumn/createTable 词撞），
+ * 全部人工核实为 FP：迁移只在部署时跑一次，不暴露请求面，与
+ * node_modules/benchmarks 同属「无应用面」判定。
+ *
+ * 锁定行为：migrations 目录下的源文件整体不参与提取；
+ * 同项目其他目录正常提取（防误伤）。
+ */
+const TSCONFIG = JSON.stringify({
+    compilerOptions: {
+        target: "ES2020",
+        module: "commonjs",
+        moduleResolution: "node",
+        strict: false,
+        skipLibCheck: true,
+        noEmit: true,
+    },
+    include: ["**/*.ts"],
+});
+function makeProject(files) {
+    const dir = fs.mkdtempSync(path.join(os.tmpdir(), "pm-migrations-"));
+    fs.writeFileSync(path.join(dir, "tsconfig.json"), TSCONFIG);
+    fs.writeFileSync(path.join(dir, "package.json"), JSON.stringify({ name: "fixture", version: "0.0.0", private: true }));
+    for (const [rel, body] of Object.entries(files)) {
+        const abs = path.join(dir, rel);
+        fs.mkdirSync(path.dirname(abs), { recursive: true });
+        fs.writeFileSync(abs, body);
+    }
+    return dir;
+}
+(0, vitest_1.describe)("extractIR：/migrations/ 目录跳过（无应用面判定）", () => {
+    (0, vitest_1.it)("迁移脚本不提取，同项目其他目录正常提取", () => {
+        const dir = makeProject({
+            "src/app.ts": `export function handleCreatePage(): void {
+  console.log("app surface");
+}`,
+            "src/database/migrations/20260101T000000-init.ts": `import { Kysely } from "kysely";
+export async function up(db: Kysely<any>): Promise<void> {
+  await db.schema.createTable("page").addColumn("id", "text").execute();
+}
+export async function down(db: Kysely<any>): Promise<void> {
+  await db.schema.dropTable("page").execute();
+}`,
+        });
+        const fns = (0, extract_ir_1.extractIR)(dir).map((f) => f.name).sort();
+        // 应用面函数保留
+        (0, vitest_1.expect)(fns).toContain("handleCreatePage");
+        // 迁移脚本 up/down 不参与提取
+        (0, vitest_1.expect)(fns).not.toContain("up");
+        (0, vitest_1.expect)(fns).not.toContain("down");
+    });
+    (0, vitest_1.it)("路径含 migrations 字样但不属于 /migrations/ 目录的文件不误伤", () => {
+        const dir = makeProject({
+            "src/migrations-service.ts": `export function runMigrations(): void {
+  console.log("service, not a migration dir");
+}`,
+        });
+        const fns = (0, extract_ir_1.extractIR)(dir).map((f) => f.name);
+        (0, vitest_1.expect)(fns).toContain("runMigrations");
+    });
+});

package/dist/extract-ir.js

@@ -3136,6 +3136,14 @@ function _extractSingleProject(absRoot, tsconfigPath) {
     for (const sf of project.getSourceFiles()) {
         if (sf.getFilePath().includes("node_modules"))
             continue; // lib.d.ts 等声明文件只贡献噪声（2026-09-17 性能）
+        // 2026-10-08（§49.19 补标注 174/174 的证据）：迁移脚本不是应用表面——
+        // Kysely 的 addColumn/createTable/insertInto 词撞变更/审计规则族
+        // （docmost 全量告警 ~5% 全 FP：up()/down() 迁移函数被多族规则报）。
+        // 与 node_modules 同款「无应用面」判定：迁移只在部署时跑一次，
+        // 不暴露请求面。Python 侧 alembic（/migrations/ 或 /alembic/versions/）
+        // 未在本轮测量，暂不动。
+        if (sf.getFilePath().split(path.sep).join("/").includes("/migrations/"))
+            continue;
         const relPath = path.relative(absRoot, sf.getFilePath());
         const _ft0 = Date.now();
         for (const f of sf.getFunctions()) {

package/dist/sdk.js

@@ -20,7 +20,7 @@ const risk_model_1 = require("./risk-model");
 const protocol_knowledge_1 = require("./protocol-knowledge");
 const evidence_repository_1 = require("./evidence-repository");
 /** Runtime version — stable public identifier. Internal layers evolve underneath. */
-exports.RUNTIME_VERSION = "3.7.61";
+exports.RUNTIME_VERSION = "3.7.62";
 function verify(filePath) {
     const cert = (0, certify_1.certify)(filePath);
     const kb = (0, protocol_knowledge_1.buildKnowledgeBase)();

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "progmune-runtime",
-  "version": "3.7.61",
+  "version": "3.7.62",
   "description": "Progmune — AI Trust Decision Engine. Verify AI-generated code before it reaches production. Outputs APPROVED / NEEDS_REVIEW / BLOCKED with evidence.",
   "files": [
     "dist/",