release-skill 0.2.5 → 0.2.7

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "release-skill",
-  "version": "0.2.5",
+  "version": "0.2.7",
   "description": "Safe preparation and frozen GitHub/npm production publishing with full happy end verification",
   "author": {
     "name": "广州市风荷科技有限公司"

package/references/.render-manifest.json

@@ -10,8 +10,8 @@
       "bytes": 8840
     },
     "02-project-config.md": {
-      "digest": "1e3c10fb4598aa6406b9d7cb4fdab2f663c3dad017dce88098b9e79868796806",
-      "bytes": 16514
+      "digest": "0cff13ebb270f3515290e0ce60b91303143777d1a4948db28cf2c69612ceff8e",
+      "bytes": 19029
     },
     "03-readme-quality.md": {
       "digest": "d74e41052592443ebbd450d0ace5f9b9b19c7a94db50f952b17c1c5a4c5dc230",
@@ -22,8 +22,8 @@
       "bytes": 4682
     },
     "05-evidence-and-errors.md": {
-      "digest": "00039b9bd3724f40ec084b366103f1b84a2b599c5e884f23904d337f4c193661",
-      "bytes": 8484
+      "digest": "ebcb4940ff2a25ce6945c3b11cfcafe751f4a1f515276b7e021717ea5844eebf",
+      "bytes": 9688
     },
     "06-adapter-contract.md": {
       "digest": "39f0271bc06eae38dade518ece8f7e16a18f53099a433e3ae07e9d20ff7a142e",

package/references/02-project-config.md

@@ -23,8 +23,9 @@ apiVersion: release-skill/v1
 kind: ReleaseProject
 
 project:
-  name: <string>            # 项目标识，必填
-  defaultBranch: <string>   # 默认分支，必填
+  name: <string>                 # 项目标识，必填
+  defaultBranch: <string>        # workspace 远端默认分支，必填；不限定为 main
+  sourceRepository: <owner/repo> # workspace 源仓库；生产发布必填
 
 releaseUnits:               # 发布单元数组，至少 1 个
   - id: <string>            # 唯一标识
@@ -125,6 +126,31 @@ human-owned 权威源，然后重新 prepare、审阅并 approve；后续环节
 
 旧的 `policy.requiredPublicFiles` 已不支持。加载器必须返回 `CONFIG_INVALID`，并引导迁移到各自的 `releaseUnits[].requiredPublicFiles`。
 
+### 3.1.1 Workspace 源码权威内容闭包
+
+`project.sourceRepository` 标识承载当前 workspace 人工源文件的 GitHub
+`owner/repo`，它与各发布单元的 `publicRepo` 不是同一概念；多个发布单元可以投影到不同
+公开仓库，但它们仍可共享一个 workspace 源仓库。`project.defaultBranch` 表示该源仓库的
+真实远端默认分支，可以是 `main`、`master`、`develop`、`trunk` 或其他明确名称。
+setup 只在 workspace Git remotes 唯一一致时提出候选；缺失或冲突时要求人工裁决，不保存
+`auto`。
+
+生产 prepare 在 hooks 完成后，从所有 `publicFiles.from`（目录递归展开）和每个 unit 的
+`version.source` 计算源码输入闭包，冻结 workspace 相对路径、内容 SHA-256 和 Git mode。
+只有闭包内 staged、unstaged 或 untracked 的文件会阻断 prepare；无关 dirty 文件不阻断。
+离线 prepare 明确记录 `unobserved-offline`，远端内容的强制比较留在 publish。
+
+production publish 在任何 adapter `execute` 前，从
+`sourceRepository/defaultBranch` 读取冻结路径集合，先确认配置分支仍是远端实际默认分支，
+再比较内容和 mode。判定只依赖内容闭包，不依赖 commit ancestry，因此普通 merge、
+squash、rebase 和默认分支上的无关后续提交可以通过；冲突解决或 revert 丢失 README、
+版本源或其他公开输入会按具体路径失败关闭。系统不会自动 merge、rebase、切分支、push
+或创建 PR。
+
+通过后，publish 写入与 plan digest 绑定的源码权威收据；PARTIAL 经 reconcile 恢复时继承
+并重新校验该收据。verify 只消费这份冻结收据，不在发布完成后用可变默认分支重新判定历史
+发布。
+
 ### 3.2 公开分支策略
 
 - `create-release-branch`：目标分支必须不存在；创建独立 release 分支，冻结提交没有父提交。

package/references/05-evidence-and-errors.md

@@ -26,6 +26,12 @@
 | `RELEASE_DOCS_CONFLICT` | 目标文档存在人工冲突 | 非受管同版本 CHANGELOG 条目、受管标记缺失/重复/损坏、版本标记非唯一 | 人工修复目标并保留人工修改后重新演练 |
 | `RELEASE_DOCS_REFRESH_STALE` | 写入确认绑定的候选已变化 | 演练后说明源或目标发生变化，仍用旧 `refreshDigest` 写入 | 重新演练取得新的 `refreshDigest` 并重新确认 |
 | `RELEASE_DOCS_STALE` | prepare 检测到发布文档未刷新 | 说明源已更新但 README/CHANGELOG 受管内容未同步 | `docs refresh` 演练 → 确认写入 → 审阅提交 → 重新 prepare |
+| `CONFIG_MISSING` | 生产源码权威配置缺失 | 缺少明确的 `project.sourceRepository` 或 `project.defaultBranch` | 补充经人工确认的 workspace 源仓库与默认分支后重新 prepare |
+| `REMOTE_UNAVAILABLE` | 无法可靠读取 workspace 源仓库 | 网络、认证或远端协议错误导致默认分支内容不可观察 | 修复网络或认证后基于同一冻结计划重试；不得猜测成功 |
+| `REF_MISSING` | 配置的远端默认分支不存在 | `refs/heads/<defaultBranch>` 不存在 | 核对真实分支名并重新 prepare |
+| `NOT_DEFAULT` | 配置分支不是远端实际默认分支 | 默认分支在 prepare 后改变，或配置错误 | 人工确认远端默认分支，更新配置并重新 prepare |
+| `CONTENT_MISMATCH` | 远端默认分支缺少冻结源码内容 | README、版本源、公开映射输入的内容或 mode 不一致 | 人工 merge/adopt/reject；接受的内容进入默认分支后重试 publish |
+| `DIRTY_SOURCE_INPUT` | 源码输入闭包存在未提交变化 | `publicFiles.from` 或 `version.source` 有 staged、unstaged、untracked 变化 | 提交或撤销这些具体输入的变化后重新 prepare；无关 dirty 不受影响 |
 
 ---
 

package/schemas/.render-manifest.json

@@ -22,16 +22,16 @@
       "bytes": 2390
     },
     "release-plan.schema.json": {
-      "digest": "d7869cdb335618754eb787fe352c4c1775c799900f3bb926197c51359699a648",
-      "bytes": 24088
+      "digest": "01c96659223918b5ce0e2d0d01d1ce5095baeb056de401babb8928add4d2a221",
+      "bytes": 35256
     },
     "release-project.schema.json": {
-      "digest": "53efe202fc5e2bf63c8d846cf4d50648991163b270536c1450c4be44e45d4b93",
-      "bytes": 25761
+      "digest": "a3d46be1e1e8105103a505c6d58d14f3733c8da91ab8289e097ffd259bf1cd93",
+      "bytes": 30982
     },
     "release-run.schema.json": {
-      "digest": "f453845fd2aab02c7b0812b1f62fd1ab7fa37104b8e752914906551c0e8c2637",
-      "bytes": 8959
+      "digest": "bf3c8fb4ca2fc078272a45a6ee6bf663fd2420a722b2f995dbaabf2635e2179e",
+      "bytes": 14824
     }
   }
 }

package/schemas/release-plan.schema.json

@@ -992,6 +992,73 @@
       "type": "string",
       "minLength": 1
     },
+    "sourceAuthority": {
+      "type": "object",
+      "description": "Source authority content closure gate binding: proves frozen source inputs exist in the workspace remote default branch",
+      "required": [
+        "sourceRepository",
+        "defaultBranch",
+        "entries",
+        "inputDigest",
+        "algorithmVersion"
+      ],
+      "additionalProperties": false,
+      "properties": {
+        "sourceRepository": {
+          "type": "string",
+          "minLength": 1,
+          "pattern": "^[a-zA-Z0-9._-]+/[a-zA-Z0-9._-]+$",
+          "description": "GitHub owner/repo of the workspace source repository"
+        },
+        "defaultBranch": {
+          "type": "string",
+          "minLength": 1,
+          "description": "Workspace remote default branch name"
+        },
+        "entries": {
+          "type": "array",
+          "minItems": 1,
+          "description": "Frozen workspace-relative source inputs compared with the remote default branch",
+          "items": {
+            "type": "object",
+            "required": [
+              "path",
+              "digest",
+              "mode"
+            ],
+            "additionalProperties": false,
+            "properties": {
+              "path": {
+                "type": "string",
+                "minLength": 1,
+                "pattern": "^(?!/)(?!.*(?:^|/)\\.\\.(?:/|$))(?!.*\\\\).+$"
+              },
+              "digest": {
+                "type": "string",
+                "pattern": "^[a-f0-9]{64}$"
+              },
+              "mode": {
+                "type": "string",
+                "enum": [
+                  "100644",
+                  "100755"
+                ]
+              }
+            }
+          }
+        },
+        "inputDigest": {
+          "type": "string",
+          "pattern": "^[a-f0-9]{64}$",
+          "description": "SHA-256 digest of the deterministic source-input closure"
+        },
+        "algorithmVersion": {
+          "type": "integer",
+          "minimum": 1,
+          "description": "Source-input closure algorithm version"
+        }
+      }
+    },
     "waivers": {
       "type": "array",
       "items": {

package/schemas/release-project.schema.json

@@ -35,6 +35,12 @@
         "defaultBranch": {
           "type": "string",
           "minLength": 1
+        },
+        "sourceRepository": {
+          "type": "string",
+          "minLength": 1,
+          "pattern": "^[a-zA-Z0-9._-]+/[a-zA-Z0-9._-]+$",
+          "description": "GitHub owner/repo of the workspace source repository for source authority content gate"
         }
       }
     },

package/schemas/release-run.schema.json

@@ -227,6 +227,71 @@
         }
       }
     },
+    "sourceAuthorityReceipts": {
+      "type": "array",
+      "description": "Source authority content closure receipts: one per publish run proving remote content matches frozen inputs",
+      "items": {
+        "type": "object",
+        "required": [
+          "sourceRepository",
+          "defaultBranch",
+          "inputDigest",
+          "algorithmVersion",
+          "entryCount",
+          "planDigest",
+          "verifiedAt",
+          "result"
+        ],
+        "additionalProperties": false,
+        "properties": {
+          "sourceRepository": {
+            "type": "string",
+            "minLength": 1
+          },
+          "defaultBranch": {
+            "type": "string",
+            "minLength": 1
+          },
+          "inputDigest": {
+            "type": "string",
+            "pattern": "^[a-f0-9]{64}$"
+          },
+          "algorithmVersion": {
+            "type": "integer",
+            "minimum": 1
+          },
+          "entryCount": {
+            "type": "integer",
+            "minimum": 1
+          },
+          "planDigest": {
+            "type": "string",
+            "minLength": 1
+          },
+          "verifiedAt": {
+            "type": "string",
+            "format": "date-time"
+          },
+          "result": {
+            "type": "string",
+            "enum": [
+              "CONSISTENT",
+              "MISMATCH"
+            ]
+          },
+          "observedCommit": {
+            "type": "string",
+            "pattern": "^[a-f0-9]{40,64}$"
+          },
+          "mismatchedPaths": {
+            "type": "array",
+            "items": {
+              "type": "string"
+            }
+          }
+        }
+      }
+    },
     "consumerVerificationReceipts": {
       "type": "array",
       "description": "消费端验证收据，每个 marketplace action 一条记录",

package/skills/release-prepare/SKILL.md

@@ -36,6 +36,10 @@ description: Freeze an immutable release plan with local configuration, document
 
 若用户明确要求 GitHub+npm 生产发布，加入 `--production`。该模式还会封存独立
 Git commit/tree 和 npm tarball，并把路径、SHA/integrity、branch/tag 写入计划。
+每个 npm tarball 在计划落盘前必须静态验证 `package.json` 的具体
+`bin`/`main`/`module`/`types`/`typings`/`exports` 入口均为 tarball 内普通文件；
+该门禁不依赖项目是否配置 `requiredPublicFiles` 或 `smokeBin`。通配符 exports 不做
+猜测展开；它与 fallback array 都属于首版最小边界外的阻断形态。
 每个 release unit 必须显式配置 `previousPublicBaseline`。只有确认不存在前序公开
 版本时用 `mode: none`；已有版本必须用 `mode: bound` + 精确 repo/ref/commit，并以
 `--online --production` 逐 unit 观察 ref→commit mapping。默认 observer 不下载远端
@@ -79,6 +83,7 @@ node "${CLAUDE_PLUGIN_ROOT}/bin/release-skill.mjs" prepare --root <path> --offli
 | GATE_FAILED (gate 授权) | 向用户展示 snapshot gate 命令和风险，获得授权后加 `--acknowledge-gate-side-effects` 重试 |
 | GATE_FAILED (bound + offline) | 改用 `--online --production`，不得把 unobserved-offline plan 交给 publish |
 | GATE_FAILED (前序基线漂移) | 先取得并比较实际远端内容；人工选择 merge/adopt/reject。merge/adopt 都必须把接受内容落回 human-owned 权威源，并把 `previousPublicBaseline` 更新为接受状态的精确 repo/ref/commit 后重新 online production prepare；reject 停止调查，禁止改 `mode: none` 绕过 |
+| GATE_FAILED (`npm-entry-closure`) | 修复打包内容或入口声明后重新 prepare；不得用 `requiredPublicFiles`/`smokeBin` 缺省绕过 |
 | GATE_FAILED (其他) | 修复门失败原因后重试；以 CLI exit code 为准 |
 | RELEASE_DOCS_STALE | 文档相对说明源已陈旧；按详情运行只读演练，展示文件/语种/版本/摘要，经用户授权“本地发布文档写入”后执行写入，审阅提交再重新 prepare |
 | RELEASE_DOCS_INVALID / TRANSLATION_MISSING / CONFLICT / REFRESH_STALE | 修复配置/说明源/目标或重新演练取得新 `refreshDigest`；不得扩大写入范围绕过 |

package/skills/release-setup/SKILL.md

@@ -14,6 +14,9 @@ description: "首次接入 release-skill：只读发现发布单元与个性化
 - 默认只读。README、slogan、CHANGELOG、业务脚本和已有配置均为人工权威内容，不得重写或覆盖。
 - 发现脚本不等于选择或授权。间接脚本以 `SIDE_EFFECTS_UNPROVEN` 排除；项目特有 hook/gate 只能人工增量注册。
 - 仓库、公开文件等证据冲突时停止自动提案，交给人工修正权威事实后重新发现。
+- npm 单元只读提取 `package.json` 的具体入口和旧 `npmRequiredPackagePaths`，报告
+  tracked/untracked/ignored/missing/non-regular 状态与覆盖漂移；这些是人工复核候选，
+  不得自动写入 `publicFiles` 或 `requiredPublicFiles`。
 - 写入只允许 create-once（仅创建一次），必须同时提供 answers 与精确 `setupDigest`；无安全原生写入能力时失败关闭。
 - Agent 的多次 shell 调用彼此独立；只能用首轮打印的会话目录绝对路径续接，不得假设变量仍存在。
 
@@ -43,7 +46,13 @@ node -e 'const fs=require("node:fs");const r=JSON.parse(fs.readFileSync(process.
 node -e 'const fs=require("node:fs");const r=JSON.parse(fs.readFileSync(process.argv[1],"utf8"));if((r.proposalConflicts??[]).length){console.error("proposal conflicts require human resolution");process.exit(2)}if(!r.recommendedAnswers){console.error("recommendedAnswers missing");process.exit(2)}fs.writeFileSync(process.argv[2],JSON.stringify(r.recommendedAnswers,null,2)+"\n",{flag:"wx",mode:0o600})' "$REPORT" "$ANSWERS"
 ```
 
-若 `proposalConflicts` 非空，暂停，让用户修正仓库/映射权威事实，删除本会话目录后从第 2 步重跑，不得猜测选边。无冲突时可人工增量编辑 `answers.json`：hook 写入 `recommendedAnswers.projectConfig.hooks` 对应的 `projectConfig.hooks`；gate 写入 `verificationGates`，并把同一 id 加入 `selectedGateIds`。人工文件保持 `mode: preserve`，跨单元共享源使用 `sourceScope: workspace`。
+若 `proposalConflicts` 非空，暂停，让用户修正仓库/映射权威事实或 npm 入口候选，
+删除本会话目录后从第 2 步重跑，不得猜测选边。构建后才产生且被忽略的入口应先由
+人工确认构建流程与最终 tarball 边界，不能因为 setup 发现了路径就自动信任或纳入公开
+配置。无冲突时可人工增量编辑 `answers.json`：hook 写入
+`recommendedAnswers.projectConfig.hooks` 对应的 `projectConfig.hooks`；gate 写入
+`verificationGates`，并把同一 id 加入 `selectedGateIds`。人工文件保持
+`mode: preserve`，跨单元共享源使用 `sourceScope: workspace`。
 
 3. 使用上一步打印的两个绝对字面量重新赋值，运行绑定 dry-run；任何人工编辑后都必须重跑本步：
 

package/skills/release-verify/SKILL.md

@@ -17,7 +17,7 @@ verify 只接受 `PUBLISHED` 状态的源 run；`VERIFIED` 是终态，不会再
 
 ## 职责与边界
 
-验证远端所有 action 的实际状态与冻结计划一致。执行精确 `<package>@<version>` npm 安装到隔离目录，验证包名、版本、bin 路径安全和 CLI 烟雾输出。对每个声明的 marketplace distribution 执行全新隔离消费者安装验证。
+验证远端所有 action 的实际状态与冻结计划一致。执行精确 `<package>@<version>` npm 安装到隔离目录，验证包名、版本、静态入口闭包，并在配置时验证 bin 路径安全和 CLI 烟雾输出。对每个声明的 marketplace distribution 执行全新隔离消费者安装验证。
 
 **阶段通过规则**: 只有 CLI exit code 0 和结构化状态码 `VERIFIED` 才是完整终态。
 
@@ -55,8 +55,10 @@ node "${CLAUDE_PLUGIN_ROOT}/bin/release-skill.mjs" verify --root <path> --plan <
 - 在 `os.tmpdir()` 创建隔离目录
 - 执行 `npm install <package>@<version>` 带安全标志
 - 验证安装的 `package.json` name 和 version 精确匹配
+- 无条件静态验证已安装包中具体 `bin`/`main`/`module`/`types`/`typings`/`exports`
+  目标是普通文件；失败时不得写入 `VERIFIED`
 - 若配置了 `smokeBin`：验证 bin 路径安全（无逃逸、无 symlink），从精确安装根、隔离 HOME 和最小环境执行并验证输出；这会运行已安装代码，必须显式授权
-- 若未配置 `smokeBin`：仅安装 + name/version 检查即通过
+- 若未配置 `smokeBin`：跳过运行代码，但静态入口闭包检查仍然强制执行
 
 ## 常见错误
 

package/skills-src/release-prepare/SKILL.md

@@ -36,6 +36,10 @@ description: Freeze an immutable release plan with local configuration, document
 
 若用户明确要求 GitHub+npm 生产发布，加入 `--production`。该模式还会封存独立
 Git commit/tree 和 npm tarball，并把路径、SHA/integrity、branch/tag 写入计划。
+每个 npm tarball 在计划落盘前必须静态验证 `package.json` 的具体
+`bin`/`main`/`module`/`types`/`typings`/`exports` 入口均为 tarball 内普通文件；
+该门禁不依赖项目是否配置 `requiredPublicFiles` 或 `smokeBin`。通配符 exports 不做
+猜测展开；它与 fallback array 都属于首版最小边界外的阻断形态。
 每个 release unit 必须显式配置 `previousPublicBaseline`。只有确认不存在前序公开
 版本时用 `mode: none`；已有版本必须用 `mode: bound` + 精确 repo/ref/commit，并以
 `--online --production` 逐 unit 观察 ref→commit mapping。默认 observer 不下载远端
@@ -79,6 +83,7 @@ node "${CLAUDE_PLUGIN_ROOT}/bin/release-skill.mjs" prepare --root <path> --offli
 | GATE_FAILED (gate 授权) | 向用户展示 snapshot gate 命令和风险，获得授权后加 `--acknowledge-gate-side-effects` 重试 |
 | GATE_FAILED (bound + offline) | 改用 `--online --production`，不得把 unobserved-offline plan 交给 publish |
 | GATE_FAILED (前序基线漂移) | 先取得并比较实际远端内容；人工选择 merge/adopt/reject。merge/adopt 都必须把接受内容落回 human-owned 权威源，并把 `previousPublicBaseline` 更新为接受状态的精确 repo/ref/commit 后重新 online production prepare；reject 停止调查，禁止改 `mode: none` 绕过 |
+| GATE_FAILED (`npm-entry-closure`) | 修复打包内容或入口声明后重新 prepare；不得用 `requiredPublicFiles`/`smokeBin` 缺省绕过 |
 | GATE_FAILED (其他) | 修复门失败原因后重试；以 CLI exit code 为准 |
 | RELEASE_DOCS_STALE | 文档相对说明源已陈旧；按详情运行只读演练，展示文件/语种/版本/摘要，经用户授权“本地发布文档写入”后执行写入，审阅提交再重新 prepare |
 | RELEASE_DOCS_INVALID / TRANSLATION_MISSING / CONFLICT / REFRESH_STALE | 修复配置/说明源/目标或重新演练取得新 `refreshDigest`；不得扩大写入范围绕过 |

package/skills-src/release-setup/SKILL.md

@@ -14,6 +14,9 @@ description: "首次接入 release-skill：只读发现发布单元与个性化
 - 默认只读。README、slogan、CHANGELOG、业务脚本和已有配置均为人工权威内容，不得重写或覆盖。
 - 发现脚本不等于选择或授权。间接脚本以 `SIDE_EFFECTS_UNPROVEN` 排除；项目特有 hook/gate 只能人工增量注册。
 - 仓库、公开文件等证据冲突时停止自动提案，交给人工修正权威事实后重新发现。
+- npm 单元只读提取 `package.json` 的具体入口和旧 `npmRequiredPackagePaths`，报告
+  tracked/untracked/ignored/missing/non-regular 状态与覆盖漂移；这些是人工复核候选，
+  不得自动写入 `publicFiles` 或 `requiredPublicFiles`。
 - 写入只允许 create-once（仅创建一次），必须同时提供 answers 与精确 `setupDigest`；无安全原生写入能力时失败关闭。
 - Agent 的多次 shell 调用彼此独立；只能用首轮打印的会话目录绝对路径续接，不得假设变量仍存在。
 
@@ -43,7 +46,13 @@ node -e 'const fs=require("node:fs");const r=JSON.parse(fs.readFileSync(process.
 node -e 'const fs=require("node:fs");const r=JSON.parse(fs.readFileSync(process.argv[1],"utf8"));if((r.proposalConflicts??[]).length){console.error("proposal conflicts require human resolution");process.exit(2)}if(!r.recommendedAnswers){console.error("recommendedAnswers missing");process.exit(2)}fs.writeFileSync(process.argv[2],JSON.stringify(r.recommendedAnswers,null,2)+"\n",{flag:"wx",mode:0o600})' "$REPORT" "$ANSWERS"
 ```
 
-若 `proposalConflicts` 非空，暂停，让用户修正仓库/映射权威事实，删除本会话目录后从第 2 步重跑，不得猜测选边。无冲突时可人工增量编辑 `answers.json`：hook 写入 `recommendedAnswers.projectConfig.hooks` 对应的 `projectConfig.hooks`；gate 写入 `verificationGates`，并把同一 id 加入 `selectedGateIds`。人工文件保持 `mode: preserve`，跨单元共享源使用 `sourceScope: workspace`。
+若 `proposalConflicts` 非空，暂停，让用户修正仓库/映射权威事实或 npm 入口候选，
+删除本会话目录后从第 2 步重跑，不得猜测选边。构建后才产生且被忽略的入口应先由
+人工确认构建流程与最终 tarball 边界，不能因为 setup 发现了路径就自动信任或纳入公开
+配置。无冲突时可人工增量编辑 `answers.json`：hook 写入
+`recommendedAnswers.projectConfig.hooks` 对应的 `projectConfig.hooks`；gate 写入
+`verificationGates`，并把同一 id 加入 `selectedGateIds`。人工文件保持
+`mode: preserve`，跨单元共享源使用 `sourceScope: workspace`。
 
 3. 使用上一步打印的两个绝对字面量重新赋值，运行绑定 dry-run；任何人工编辑后都必须重跑本步：
 

package/skills-src/release-verify/SKILL.md

@@ -17,7 +17,7 @@ verify 只接受 `PUBLISHED` 状态的源 run；`VERIFIED` 是终态，不会再
 
 ## 职责与边界
 
-验证远端所有 action 的实际状态与冻结计划一致。执行精确 `<package>@<version>` npm 安装到隔离目录，验证包名、版本、bin 路径安全和 CLI 烟雾输出。对每个声明的 marketplace distribution 执行全新隔离消费者安装验证。
+验证远端所有 action 的实际状态与冻结计划一致。执行精确 `<package>@<version>` npm 安装到隔离目录，验证包名、版本、静态入口闭包，并在配置时验证 bin 路径安全和 CLI 烟雾输出。对每个声明的 marketplace distribution 执行全新隔离消费者安装验证。
 
 **阶段通过规则**: 只有 CLI exit code 0 和结构化状态码 `VERIFIED` 才是完整终态。
 
@@ -55,8 +55,10 @@ node "${CLAUDE_PLUGIN_ROOT}/bin/release-skill.mjs" verify --root <path> --plan <
 - 在 `os.tmpdir()` 创建隔离目录
 - 执行 `npm install <package>@<version>` 带安全标志
 - 验证安装的 `package.json` name 和 version 精确匹配
+- 无条件静态验证已安装包中具体 `bin`/`main`/`module`/`types`/`typings`/`exports`
+  目标是普通文件；失败时不得写入 `VERIFIED`
 - 若配置了 `smokeBin`：验证 bin 路径安全（无逃逸、无 symlink），从精确安装根、隔离 HOME 和最小环境执行并验证输出；这会运行已安装代码，必须显式授权
-- 若未配置 `smokeBin`：仅安装 + name/version 检查即通过
+- 若未配置 `smokeBin`：跳过运行代码，但静态入口闭包检查仍然强制执行
 
 ## 常见错误
 

package/src/adapters/npm.mjs

@@ -16,6 +16,11 @@ import {
   createResult,
   matchObservation,
 } from './contract.mjs';
+import {
+  checkNpmEntryClosure,
+  buildTarballFileIndex,
+} from '../npm/npm-entry-closure.mjs';
+import { ReleaseError, GATE_FAILED } from '../core/errors.mjs';
 
 const execFile = promisify(execFileCb);
 const NAME = 'npm';
@@ -349,6 +354,53 @@ export async function verifyFrozenNpmTarballIdentity(action, root) {
   });
 }
 
+async function verifyNpmTarballBufferContract(buffer, action, tarballDir) {
+  const manifest = extractManifestFromTarball(buffer, {
+    name: action.package,
+    version: action.version,
+  });
+  const fileIndex = await buildTarballFileIndex(buffer, tarballDir);
+  const closureResult = checkNpmEntryClosure(manifest, fileIndex);
+  if (closureResult.errors.length > 0) {
+    throw new ReleaseError(
+      GATE_FAILED,
+      `npm entry closure check failed for ${action.package}@${action.version}: ${closureResult.errors.length} error(s)`,
+      {
+        gate: 'npm-entry-closure',
+        package: action.package,
+        version: action.version,
+        entries: closureResult.entries,
+        errors: closureResult.errors,
+        diagnostics: closureResult.diagnostics,
+      },
+    );
+  }
+  return { manifest, closureResult };
+}
+
+/**
+ * Shared frozen tarball contract helper: reads the verified tarball bytes ONCE
+ * and performs both identity verification (name/version from manifest) and
+ * entry closure validation (bin/main/module/types/typings/exports targets
+ * exist as regular files inside the tarball).
+ *
+ * The same Buffer that passes `readVerifiedTarballBytes` is reused for both
+ * the existing identity reader and the controlled extraction/file-index
+ * boundary. This adds no new tar parser and performs no second source read.
+ *
+ * @param {object} action - The frozen action with tarballPath, tarballSha256,
+ *   integrity, package, and version.
+ * @param {string} root - Absolute project root.
+ * @param {string} [tarballDir] - Temp directory for tar extraction (defaults to os.tmpdir()).
+ * @returns {Promise<{ manifest: object, closureResult: object }>}
+ * @throws {ReleaseError} GATE_FAILED with details.gate='npm-entry-closure'
+ *   when any declared entry is missing or invalid.
+ */
+export async function verifyFrozenNpmTarballContract(action, root, tarballDir) {
+  const buffer = await readVerifiedTarballBytes(action, root);
+  return verifyNpmTarballBufferContract(buffer, action, tarballDir);
+}
+
 /**
  * Read and verify the frozen tarball, then write it to a controlled named
  * temp file under a temp directory adjacent to the source. Returns the temp
@@ -700,7 +752,7 @@ export function createNpmAdapter(deps = {}) {
           }
           const cwd = resolvePackageCwd(action.cwd, context.root);
           if (action.tarballPath) {
-            await verifyFrozenNpmTarballIdentity(action, context.root);
+            await verifyFrozenNpmTarballContract(action, context.root);
           }
 
           let whoamiUser;
@@ -775,7 +827,7 @@ export function createNpmAdapter(deps = {}) {
             throw new Error('frozen npm tarball requires a stable Buffer publish capability');
           }
           const buffer = await readVerifiedTarballBytes(action, context.root);
-          const manifest = extractManifestFromTarball(buffer, { name: action.package, version: action.version });
+          const { manifest } = await verifyNpmTarballBufferContract(buffer, action);
           let token;
           try {
             token = await resolveAuthToken({ registry: normalizedRegistry, cwd, exec, env: authEnv });

package/src/adapters/plugin-marketplace.mjs

@@ -2393,7 +2393,7 @@ export function createPluginMarketplaceAdapter(deps = {}) {
 
           // A non-automatable platform (kimi) has NO scriptable install CLI.
           // It is handled entirely by its manual-requirement strategy, which
-          // uses a stable plan-digest-keyed home and deliberately SKIPS the
+          // uses a stable plugin-level authority directory and deliberately SKIPS the
           // per-run isolated consumer dir and its runDir containment check
           // (that model only fits structured-cli platforms, which exec a real
           // CLI into a per-run HOME).
@@ -2913,25 +2913,12 @@ export function createPluginMarketplaceAdapter(deps = {}) {
               });
             }
 
-            // installPath 验证：必须在 managed root 内，不得逃逸，不得是符号链接
+            // installPath 验证：必须是真实目录，不得是符号链接。
+            // 安装路径不要求位于 attestationDir 内（用户使用实际全局/用户安装目录）。
             let verifiedInstallPath = null;
             if (normalizedAttestation.installPath) {
-              const managedRoot = resolve(attestationDir, 'kimi-home', 'plugins', 'managed');
               const installPathAbs = resolve(normalizedAttestation.installPath);
 
-              // 先验证 managed root 存在（KIMI_CODE_HOME 检查）
-              const managedRootReal = await realpath(managedRoot).catch(() => null);
-              if (!managedRootReal) {
-                return createResult({
-                  actionType,
-                  status: ActionStatus.OBSERVED,
-                  observation: {
-                    installed: false,
-                    error: 'KIMI_CODE_HOME does not exist',
-                  },
-                });
-              }
-
               // 检查 installPath 词法路径是否存在（lstat 在 realpath 之前）
               let lexicalStat;
               try {
@@ -2968,18 +2955,6 @@ export function createPluginMarketplaceAdapter(deps = {}) {
                   },
                 });
               }
-              const rel = relative(managedRootReal, installPathReal);
-              const sep = process.platform === 'win32' ? '\\' : '/';
-              if (rel === '' || rel === '..' || isAbsolute(rel) || rel.startsWith(`..${sep}`)) {
-                return createResult({
-                  actionType,
-                  status: ActionStatus.OBSERVED,
-                  observation: {
-                    installed: false,
-                    error: `kimi attestation installPath escapes the managed root: ${normalizedAttestation.installPath}`,
-                  },
-                });
-              }
               verifiedInstallPath = installPathReal;
             }
 
@@ -3283,7 +3258,7 @@ export function createPluginMarketplaceAdapter(deps = {}) {
                 try {
                   codexRequirement = JSON.parse(await readFile(resolve(codexAttestationDir, CODEX_REQUIREMENT_FILE), 'utf8'));
                 } catch {
-                  // No requirement file — must not read isolated attestation
+                  // No requirement file — must not read the stable attestation
                 }
 
                 // Validate requirement binds to this action and plan (完整绑定验证)