progmune-runtime 3.7.62 → 3.7.63

package/CHANGELOG.md

@@ -1,5 +1,40 @@
 # Changelog
 
+## [3.7.63] — 2026-10-10
+
+### No Input Sanitization 触发词收窄（修冤枉第四刀：删 insert/append/write 通用词）
+
+**根因**：trigger 里三个「输出系」通用词系统性词撞，从没在真实语料命中过
+一条 XSS——`insert` 撞 Kysely `insertInto` 数据入库（docmost 补标注
+30/30 条 FP）、`append` 撞 Python `list.append` 内存数组（Python 盲测
+45 项目 270 条 FP）、`write` 撞 `writeFileSync` 文件写入（TS 盲测 8 项目
+FP + docmost 告警流 6 条）。
+
+- **修复**：trigger 收窄为 `render|display|output|innerHTML|
+  dangerouslySetInnerHTML|echo|printf|sprintf|insertAdjacentHTML`——
+  DOM sink 用原始调用名显式保留（`el.insertAdjacentHTML(...)` 的提取名
+  就是 `insertAdjacentHTML`），XSS 本意完整保留
+- **逐条归类（R30）**：TS 盲测 LOST 10（8 项目 writeFileSync 族 +
+  webshape_F insertInto/insert）、Python 盲测 LOST 45 项目（全部
+  list.append）、ADDED 0/0——**无一例外是存储 I/O 词撞，零 XSS sink**
+- **头条数字零影响（如实）**：TS 795 gold 与 Python 729 gold 均不含
+  No Input Sanitization 条目（金标全为 protocol/auth/resource 类），
+  recall/precision 不变；docmost 告警流 942→865（No Input Sanitization
+  83→6，残留 6 条为 render/output 词族：react-email 服务端渲染×2、
+  函数名 generatePdfRenderToken 撞 render×1、存储驱动 outputFile×3）
+- **A/B 隔离注记**：主路径 violations 扫描间 7↔10 波动为 LLM 语义映射
+  抖动（已知类，见 skyvern CROSS_DOMAIN 记录），与本次改动无因果——
+  safeguard 规则不进 violations（§51 证据流与判定分离），同条件 A/B
+  对照主路径一致
+- **回归锁定**：`src/protocol-detector-nis-trigger.test.ts` 5 例
+  （insertInto/writeFileSync/list.append 不触发、insertAdjacentHTML 仍
+  触发、render+sanitize 守卫仍抑制）；taintpath 160/160；fr-007
+  pre5/post0、fr-016 pre7/post0 维持
+- **已知代价（如实记录）**：`document.write` 的提取名是裸 `write`，
+  与文件写入词法不可区分，本刀后不再命中——三语料里 0 条由
+  document.write 驱动；浏览器侧 DOM sink 证据通道（marker 化）留待
+  R27 方向
+
 ## [3.7.62] — 2026-10-09
 
 ### 迁移脚本排除出应用面（修冤枉第三刀：§49.19 补标注后首个数据驱动修复）

package/dist/protocol-detector-nis-trigger.test.js

@@ -0,0 +1,43 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+const vitest_1 = require("vitest");
+const protocol_detector_1 = require("./protocol-detector");
+/**
+ * No Input Sanitization 触发词收窄（修冤枉第四刀，2026-10-09）锁定。
+ *
+ * 数据：docmost 补标注 30/30 FP（Kysely insertInto）、Python 盲测
+ * 270/270 FP（list.append）、TS 盲测 33/33 FP（writeFileSync 族）——
+ * 「输出系」通用词系统性词撞，本意是 XSS sink 却从没在真实语料
+ * 命中过一条 XSS。收窄后 trigger 只留真实 sink 语义：
+ * render/display/output/innerHTML/dangerouslySetInnerHTML/echo/
+ * printf/sprintf + 显式 DOM sink 原始名 insertAdjacentHTML。
+ *
+ * 已知代价：document.write 的提取名是裸 "write"，与文件写入不可分，
+ * 不再命中（盲测/语料里 0 条由 document.write 驱动，如实记录）。
+ */
+const RULE = "No Input Sanitization";
+const has = (vs) => vs.some((v) => v.rule === RULE);
+(0, vitest_1.describe)("No Input Sanitization：触发词收窄（修冤枉第四刀）", () => {
+    (0, vitest_1.it)("数据库写入 insertInto 不再触发（docmost 30/30 FP 根因）", () => {
+        const vs = (0, protocol_detector_1.detectSafeguardViolations)(["dbOrTx", "executeTakeFirst", "returningAll", "values", "insertInto", "__progmune_input_effect__"], "PageRepo.insertPage", "typescript");
+        (0, vitest_1.expect)(has(vs)).toBe(false);
+    });
+    (0, vitest_1.it)("文件写入 writeFileSync 不再触发（TS 盲测 8 项目 FP 根因）", () => {
+        const vs = (0, protocol_detector_1.detectSafeguardViolations)(["writeFileSync", "mkdirSync"], "uploadFile", "typescript");
+        (0, vitest_1.expect)(has(vs)).toBe(false);
+    });
+    (0, vitest_1.it)("Python list.append 不再触发（Python 盲测 45 项目 270 条 FP 根因）", () => {
+        const vs = (0, protocol_detector_1.detectSafeguardViolations)(["users", "append", "sessions", "append"], "register", "python");
+        (0, vitest_1.expect)(has(vs)).toBe(false);
+    });
+    (0, vitest_1.it)("真实 DOM sink insertAdjacentHTML 仍触发（XSS 本意保留）", () => {
+        const vs = (0, protocol_detector_1.detectSafeguardViolations)(["insertAdjacentHTML"], "renderComment", "typescript");
+        (0, vitest_1.expect)(has(vs)).toBe(true);
+    });
+    (0, vitest_1.it)("真实渲染 sink render 仍触发，带 sanitize 守卫仍抑制", () => {
+        const bare = (0, protocol_detector_1.detectSafeguardViolations)(["render"], "renderTemplate", "typescript");
+        (0, vitest_1.expect)(has(bare)).toBe(true);
+        const guarded = (0, protocol_detector_1.detectSafeguardViolations)(["render", "sanitizeHtml"], "renderTemplate", "typescript");
+        (0, vitest_1.expect)(has(guarded)).toBe(false);
+    });
+});

package/dist/protocol-detector.js

@@ -1090,10 +1090,25 @@ const SAFEGUARD_RULES = [
         ],
     },
     // ── Resource: Input sanitization missing ──
+    //
+    // 修冤枉第四刀（2026-10-09，§49.19 补标注数据）：trigger 里三个「输出系」
+    // 通用词在真实与合成语料上系统性词撞，全量 FP——
+    //   insert：Kysely insertInto 数据入库（docmost 标注 30/30 FP；
+    //           盲测 webshape_F 2/2 FP）
+    //   append：Python list.append 内存数组（Python 盲测 270/270 FP）
+    //   write： 文件写入 writeFileSync（TS 盲测 33/33 FP）
+    // 本意是 XSS sink（DOM 插入/文档写入），逐条核实无一条真阳性。
+    // 收窄方案：删通用词，DOM sink 用**原始调用名**显式保留
+    // （extractDirectCalls 对属性访问发射 getName() 原样名：
+    //  el.insertAdjacentHTML(...) → "insertAdjacentHTML"）。
+    // 已知代价（如实记录）：document.write 的原始发射名是 "write"，
+    // 与文件写入词法不可区分，本刀后不再命中——盲测/语料里 0 条由
+    // document.write 驱动，风险=浏览器侧代码的 XSS sink 词，留待
+    // marker 化证据通道（R27 方向）。
     {
         name: "No Input Sanitization",
         category: "resource",
-        trigger: /\b(render|display|write|output|append|insert|innerHTML|dangerouslySetInnerHTML|document\.write|echo|printf|sprintf)\b/i,
+        trigger: /\b(render|display|output|innerHTML|dangerouslySetInnerHTML|echo|printf|sprintf|insertAdjacentHTML)\b/i,
         safeguards: [
             { pattern: /\b(sanitize|escape|encode|html\w*entities|htmlspecialchars|encodeURI|stripTags|purify|DOMPurify|clean|filter\w*html|escape\w*html)\b/i, label: "sanitize" },
         ],

package/dist/sdk.js

@@ -20,7 +20,7 @@ const risk_model_1 = require("./risk-model");
 const protocol_knowledge_1 = require("./protocol-knowledge");
 const evidence_repository_1 = require("./evidence-repository");
 /** Runtime version — stable public identifier. Internal layers evolve underneath. */
-exports.RUNTIME_VERSION = "3.7.62";
+exports.RUNTIME_VERSION = "3.7.63";
 function verify(filePath) {
     const cert = (0, certify_1.certify)(filePath);
     const kb = (0, protocol_knowledge_1.buildKnowledgeBase)();

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "progmune-runtime",
-  "version": "3.7.62",
+  "version": "3.7.63",
   "description": "Progmune — AI Trust Decision Engine. Verify AI-generated code before it reaches production. Outputs APPROVED / NEEDS_REVIEW / BLOCKED with evidence.",
   "files": [
     "dist/",