ECC v2.0.0-rc.1 发布证据 - 2026-05-13 强化后¶
这仅是发布就绪证据。它不会创建 GitHub 发布、npm 发布、插件标签、市场提交或公告帖子。
源提交¶
| 字段 | 证据 |
|---|---|
| 上游 main 基线 | 209abd403b7eaa968c6d4fa67be82e04b55706d6 |
| 证据分支 | docs/post-hardening-release-evidence-20260513 |
| 证据范围 | PR #1850 和 PR #1851 之后的当前 main |
| Git 远程 | https://github.com/affaan-m/everything-claude-code.git |
| 本地状态说明 | 工作树中存在无关的未跟踪 docs/drafts/ 目录 |
实际发布操作者应在发布前，从最终发布提交使用干净检出重复这些检查。
队列与发布状态¶
| 检查面 | 命令 | 结果 |
|---|---|---|
| GitHub PR 与 issue | gh pr list / gh issue list，覆盖 trunk、AgentShield 和 JARVIS |
可访问的 affaan-m 仓库中 0 个开放 PR 和 0 个开放 issue |
| trunk 讨论 | affaan-m/everything-claude-code 的 GraphQL 讨论计数 |
0 个开放讨论 |
| Dependabot 告警 | trunk、AgentShield 和 JARVIS 的 Dependabot 告警 API | 0 个开放告警 |
| 发布状态 | gh release view v2.0.0-rc.1 |
仍未创建；发布仍受审批门控 |
本次未通过当前 GraphQL token 重新检查 ECC-Tools 组织仓库计数，因为该 token 无法解析这些组织仓库。 此前 #42 之后的本地检出交接记录显示，两个 ECC-Tools 仓库均为 0 个开放 PR 和 0 个开放 issue。
自上次证据以来已落地的强化¶
| PR | 合并提交 | 证据 |
|---|---|---|
| #1850 | 248673271455e9dc85b8add2a6ab76107b718639 |
从只读分析器代理和 zh-CN 副本中移除了 Bash 工具访问权限；该检查面的 AgentShield 高危发现从 21 降至 18，且没有新增高危发现 |
| #1851 | 209abd403b7eaa968c6d4fa67be82e04b55706d6 |
在具有写权限的工作流中禁用了 actions/checkout 凭据持久化，并添加了一条工作流安全校验器规则以保持该防护生效 |
必需命令证据¶
| 证据 | 命令 | 结果 |
|---|---|---|
| Harness 审计 | npm run harness:audit -- --format json |
overall_score: 70、max_score: 70，无顶级操作 |
| 适配器记分卡 | npm run harness:adapters -- --check |
Harness Adapter Compliance: PASS；11 个适配器 |
| 可观测性就绪 | npm run observability:ready -- --format json |
overall_score: 21、max_score: 21、ready: true，无顶级操作；包含 Release Safety 3/3 |
| 工作流安全校验器 | node scripts/ci/validate-workflow-security.js |
已校验 7 个工作流文件 |
| 工作流校验器测试 | node tests/ci/validate-workflow-security.test.js |
通过 14/14 |
| 发布检查面 | node tests/docs/ecc2-release-surface.test.js |
通过 18/18 |
| 包检查面 | node tests/scripts/npm-publish-surface.test.js |
通过 2/2 |
| 根测试套件 | node tests/run-all.js |
通过 2381/2381，0 失败 |
| Markdown 检查 | npx markdownlint-cli '**/*.md' --ignore node_modules --ignore docs/drafts |
通过 |
| Rust 检查面 | cd ecc2 && cargo test |
通过 462/462；警告仅为未使用的函数/字段 |
| GitGuardian 安全检查 | 针对强化后安全 PR 的 GitHub 检查 | 合并前通过 |
供应链证据¶
| 检查面 | 命令或检查 | 结果 |
|---|---|---|
| 本地 npm 漏洞审计 | npm audit --json |
0 个漏洞 |
| 本地 npm 签名审计 | npm audit signatures |
241 个已验证注册表签名和 30 个已验证证明 |
| Rust 公告审计 | cd ecc2 && cargo audit -q |
静默通过 |
| TanStack / Mini Shai-Hulud IOC 检查 | Grep 受影响的包命名空间、载荷文件名和已知提交标记 | 运行时或 lockfile 均不依赖受影响的包；没有蠕虫 IOC 匹配 |
| GitGuardian 安全检查 | 针对强化后安全 PR 的 GitHub 检查 | 合并前通过 |
外部公告映射¶
2026 年 5 月的 TanStack 事件通过三类工作流映射到 ECC 发布风险：
- 执行或检出不可信 PR 代码的
pull_request_target工作流； - 跨越 fork、base 和 release 工作流信任边界的共享依赖缓存；
- 具有可写 token 或 OIDC token，并暴露给后续进程执行的 release 作业。
ECC 当前的防护栏通过以下方式覆盖这些类别：
- 在
workflow_run和pull_request_target工作流中拒绝不可信的检出 ref； - 在
pull_request_target和id-token: write工作流中拒绝共享缓存； - 当工作流运行
npm audit时，强制要求npm audit signatures； - 在具有写权限的工作流中强制要求
npm ci --ignore-scripts； - 在具有写权限的工作流中，强制要求
actions/checkout设置persist-credentials: false。
仍需审批或外部操作的阻塞项¶
- 创建或验证 GitHub 预发布
v2.0.0-rc.1。 - 使用 npm dist-tag
next发布ecc-universal@2.0.0-rc.1。 - 仅在明确批准后创建并推送 Claude 插件标签。
- 确认实时的 Claude/Codex/OpenCode 市场提交路径，或记录手动提交负责人和状态。
- 在启动文案中使用 ECC Tools 计费/App/Marketplace 声明之前，先验证这些声明。
- 在发布以及包/插件 URL 存在后，使用实时 URL 更新公告文案。
本页原文 Markdown：在 AtomGit 查看·内容源自开源项目 ev/ECC