diff --git a/.task/feature-sillytavern-review.md b/.task/feature-sillytavern-review.md index 7c85b979..35504ef3 100644 --- a/.task/feature-sillytavern-review.md +++ b/.task/feature-sillytavern-review.md @@ -1,6 +1,6 @@ # feature/sillytavern-review 任务卡 -任务主记录：；状态：进行中；owner：weichen +任务主记录：[Dev #186](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Dev/pulls/186)；状态：进行中；owner：weichen ## 基线与授权 @@ -23,9 +23,9 @@ ## 结果与验证（完成后填写） -- 结果：安全缺口 S1–S4 与批次 A–D 已在本分支实现。Documents 记录写明 A–D 在本任务落地。指针：core `0b5c774`，agent-native `3a110a7`，agent-squad `5a57636`，ui `6b2589c`，frontend `eb6502f`，documents `f3f823e`，backend `c05832d`，Dev `4ba1d49`。 -- 验证：Dev `make test` 退出码 0（boundaries、pins、三库、core、backend、frontend vitest 16 文件 78 项、knip 43、ui tsc/vitest/knip 55、agent-command）。`make build` 退出码 0，产出 `bin/agent-system`。Backend `GOWORK=off go vet ./...` 退出码 0。 -- 影响与剩余项：合入前还要 task-sync、推送、PR、dev 验收。Tavily 密钥建议轮换，本任务不轮换。暂缓项与拒绝项仍不做。 +- 结果：安全缺口 S1–S4 与批次 A–D 已在本分支实现。子仓 PR 已合入：Documents [#37](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Documents/pulls/37)、UI [#34](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-UI/pulls/34)、Core [#21](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Core/pulls/21)、Frontend [#43](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Frontend/pulls/43)、Native [#16](https://git-home.u1680832.nyat.app:30319/weichen/Agent-Native/pulls/16)、Squad [#15](https://git-home.u1680832.nyat.app:30319/weichen/Agent-Squad/pulls/15)、Backend [#63](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Backend/pulls/63)。Dev 钉住的功能提交是这些合入提交的祖先：core `0b5c774`，native `3a110a7`，squad `5a57636`，ui `6b2589c`，frontend `eb6502f`，documents `f3f823e`，backend `c05832d`。 +- 验证：`make test` 与 `make build` 退出码 0。`config explain --addr 0.0.0.0:8788` 显示拒绝启动。`serve --addr 0.0.0.0:18799` 退出码 1 且不建库。dev 已部署 `dev@ae06838`，监听 `127.0.0.1:8788`；`/` 带 CSP、nosniff、same-origin。该实例开了认证：跨站 POST 403，无 Origin 的 POST 与 `Host: evil.example` 为 401。同一二进制的无认证实例上，无 Origin 的 POST 为 201，跨站 POST 403，`Host: evil.example` 403，`127.0.0.1` 的健康检查 200，HTML 工件带 `sandbox`。浏览器：Markdown 预览去掉 script 与 `javascript:` 链接，外链图片变成「外部图片 · 域名」；docx、xlsx、pdf 与示例插件工作区无 CSP 报错；mock 对话一轮可见复制、排除、重新生成和「约 N token」。 +- 影响与剩余项：Tavily 密钥曾暴露在无认证监听上，建议轮换，本任务不轮换。暂缓项与拒绝项仍不做。pptx 没有可用样例，未单独打开预览。 | 同步前验收 | 4fd03eee6230f82464def08f2543adab27aba948 | cd6be001414759f3ad00cf860ae095b70593e296 | 2026-10-04T18:42:56Z | | 同步前验收 | 4fd03eee6230f82464def08f2543adab27aba948 | ce551683256e770d96c18fdaf93df49df4e0e3b1 | 2026-10-04T18:45:12Z | | 同步前验收 | 4fd03eee6230f82464def08f2543adab27aba948 | ae06838d66c295d674cee0334ac2a7e9acd1a92f | 2026-10-04T19:45:46Z |