跳转至

ECC v2.0.0-rc.1 发布证据 - 2026-05-18

这只是发布就绪证据。它不会创建 GitHub 发布、 npm 发布、插件标签、Marketplace 提交或公告帖。

源提交

字段 证据
上游 main 4470e2e6702f17099d6feb137ba03ff00582c202
Git 远程 https://github.com/affaan-m/everything-claude-code.git
证据范围 当前 main 在 PR #1970 workflow-security 验证器绕过修复、PR #1971 metrics bridge 成本报告修复、PR #1972 uncloud 技能合并、PR #1973 过期脚本清理、Issue #1974 成本报告验证/关闭、PR #1976 OpenAI/AstraFlow 提供商响应防护、PR #1978 审查/关闭、目录/操作员仪表板刷新、ECC-Tools Wrangler OAuth 计费回读镜像、AgentShield 840952a fleet-ticket 和 Mini Shai-Hulud IOC 证据镜像、Mini Shai-Hulud/TanStack 保护复查、防御性拒绝 IOC 扫描器加固、发布名称/插件发布检查清单、针对该检查清单的就绪/冒烟门控执行、发布 OIDC 发布范围加固、workflow 行尾规范化、当前 head CI/安全扫描、work-items 同步、Linear 进度同步、ITO-46 发布路径演练刷新、ITO-46 Linear 关闭，以及关闭后的操作员仪表板刷新之后
本地状态说明 git status --short --branch 在仪表板生成时是干净的；生成的证据文件在其所描述的源快照之后提交

实际发布操作员应在发布前，从最终发布提交开始，使用严格干净的检出重复所有面向发布的检查。

队列与讨论状态

检查面 命令 结果
主干 PR gh pr list --limit 100 --json number,title,state,author,updatedAt,url 0 个开放 PR
主干问题 gh issue list --limit 100 --json number,title,state,updatedAt,url,labels 0 个开放问题
讨论审计 npm run discussion:audit -- --json 就绪；affaan-m/everything-claude-code 中抽样 58 个讨论，0 个需要维护者处理，0 个可回答讨论缺少已接受答案，0 个获取错误
平台审计 node scripts/platform-audit.js --json --allow-untracked docs/drafts/ 就绪；受跟踪仓库报告 0 个开放 PR、0 个开放问题、0 个讨论维护者处理缺口、0 个可回答 Q&A 缺少已接受答案，以及 0 个阻塞性脏文件
work-items 同步 node scripts/work-items.js sync-github --repo <tracked-repo> for five tracked repos; node scripts/status.js --json; node scripts/work-items.js list --json 五个受跟踪仓库均已同步，开放 PR/问题为 0，且没有变更的 work items；本地状态报告 0 个开放、0 个阻塞和 0 个已关闭 work items
操作员仪表板 npm run operator:dashboard -- --markdown --write docs/releases/2.0.0-rc.1/operator-readiness-dashboard-2026-05-18.md 已在 4470e2e6702f17099d6feb137ba03ff00582c202 重新生成；仪表板就绪为 true，发布就绪为 false，因为 release、npm、plugin、billing 和 announcement 门控均受审批门控；受跟踪仓库中剩余 0 个 PR、0 个问题、0 个讨论缺口；AgentShield 企业证据包含 840952a；ECC Tools native-payments 门控现在指明收窄后的 ITO-61 阻塞项：创建或验证具有 webhook 来源的 Marketplace 托管 Pro 目标计费状态，配置目标账户和 INTERNAL_API_SECRET，然后重新运行目标回读和实时公告门控

平台审计和 work-items 同步中的受跟踪仓库为：

  • affaan-m/everything-claude-code
  • affaan-m/agentshield
  • affaan-m/JARVIS
  • ECC-Tools/ECC-Tools
  • ECC-Tools/ECC-website

合并与分诊批次

项目 结果
PR #1970 已合并 workflow-security 验证器修复，针对带引号的 write-all 和 refs/pull/* checkout 绕过；main 包含来自该切片的 e06d0382 和 7bb31720
PR #1971 已合并 metrics bridge 成本报告修复、完整 costs-file 扫描行为，以及跨 hook 子进程的持久警告去重；main 包含直至 9b1d8918 的提交
PR #1972 已合并 skills/uncloud/SKILL.md，包含激活结构和 uncloud 命令引用；main 包含 8b6aed0、2e5f30f 和 caee7cf
PR #1973 在确认活动 hook 为 scripts/hooks/suggest-compact.js 后，已合并移除过期的 skills/strategic-compact/suggest-compact.sh；远程 main 包含 812d4d06
Issue #1974 在验证当前 origin/main 已读取最新的累计 metrics bridge 成本行，且聚焦的成本/指标测试通过后关闭
目录/操作员刷新 已推送 81fca2ce，在 #1973/#1974 之后刷新生成的目录计数、URL 台账和操作员仪表板状态
PR #1976 已合并针对 OpenAI 兼容和 AstraFlow 提供商的提供商响应加固；main 包含 eb0d8939 后续防护，用于空/已过滤提供商选择、缺失 OpenAI response.usage、共享的已过滤响应错误文本，以及无凭据提供商构造验证
提供商防护验证 uv run --extra dev pytest -q tests/test_provider_tools.py tests/test_astraflow_provider.py、uv run --extra dev pytest -q、node tests/run-all.js 和 git diff --check 在将 #1976 后续合并到 main 之前通过：11 个提供商聚焦 Python 测试、76 个完整 Python 测试、2509 个 Node 测试，以及干净的空白检查
防御性拒绝 IOC 扫描器加固 已推送 04d4d819，使显式 Claude permissions.deny IOC 条目被视为防御性控制，同时相同 IOC 在 hooks、tasks、scripts、locks 和 payload 文件中仍会失败；本地 npm test 通过 2511/2511，当前 head CI 26017368895 通过 37/37
发布名称/插件发布检查清单 已推送 6c0fbfb6，添加 docs/releases/2.0.0-rc.1/release-name-plugin-publication-checklist-2026-05-18.md；该产物将 rc.1 固定为 Everything Claude Code / ECC，保留 npm ecc-universal，保留 Claude/Codex 插件 slug ecc，引用当前 Anthropic/OpenAI 插件发布路径，并在最终发布证据存在之前阻止重命名/npm 发布/插件标签/提交/计费/社交操作；GitHub Actions CI 26034898420 通过
项目 结果
仪表板与预览包清单强制检查 已添加 680aeff0，使 scripts/operator-readiness-dashboard.js 和 scripts/preview-pack-smoke.js 要求发布名称/插件发布清单；本地仪表板和冒烟测试通过，预览包冒烟测试现在强制要求 26 个必需工件
AgentShield 企业证据镜像 已添加 2ba0c62d，并刷新仪表板生成器/GA 路线图/AgentShield 企业路线图，使 ECC 发布证据指明 AgentShield 840952a 车队审查工单载荷以及当前 Mini Shai-Hulud IOC 面包屑覆盖
PR #1978 审查后关闭了范围过宽/失败的 Excel 外部测试框架 PR；记录了未来更小的 Excel 测试框架提案、安装目标/工具 PR、插件运行时 PR 和翻译自动化 PR 的修正拆分路径
公告草稿跟踪 已添加 docs/drafts/release-1.10.1-announcement.md，使稳定化公告草稿被跟踪，而不是继续作为阻塞发布的未跟踪本地状态
干净工作树预览包冒烟测试 在 680aeff0fb9a8598858e3105ba4742973ef386ab 分离工作树；node scripts/preview-pack-smoke.js --root <worktree> --format json 以摘要 0ed831dbd0cf 通过 5/5；26 个必需工件、最终验证命令、Hermes 公开脱敏边界以及审批门控发布阻塞项均得到保留
公共队列 在合并和问题关闭批次后重新检查；跨受跟踪仓库剩余 0 个 PR、0 个问题、0 个讨论缺口
发布 OIDC 发布作用域 已推送 7911af4a，将发布工作流的受信发布路径限定在发布操作范围内，而不是跨无关作业扩大 OIDC 权限；本地工作流安全验证通过
发布工作流规范化 已推送 97567a91，在 OIDC 加固切片后规范化发布工作流的行尾；当前头 CI 26050727969 对 97567a91e79e1ee4c291eb78f5f9c30c2046ac94 通过
操作员就绪证据刷新 已推送 0f1775e3、fe7b4f2b 和 67e63e63，以刷新阻塞项证据、重新生成操作员仪表板，并将发布就绪状态对齐到最新 CI/安全证据；已推送 4470e2e6 以关闭 ITO-46 发布路径证据，然后在 4470e2e6702f17099d6feb137ba03ff00582c202 重新生成仪表板；当前头 CI 26057806361 对 4470e2e6702f17099d6feb137ba03ff00582c202 通过

供应链与安全证据

门禁 命令 结果
仓库 IOC 扫描 npm run security:ioc-scan 通过；检查了 198 个文件
主目录持久化 IOC 扫描 node scripts/ci/scan-supply-chain-iocs.js --home --json 通过；检查了 200 个文件；findings: []
ECC 工作区 IOC 复查 node scripts/ci/scan-supply-chain-iocs.js --root <local ECC root> --home --json 通过；检查了 1212 个文件；findings: []；精确本地路径未包含在公开发布证据中
窄范围活动持久化扫描 针对用户级 Claude、VS Code、LaunchAgent/systemd、local-bin、/tmp 和 /private/tmp 活动路径的定向搜索 现有活动目标：2；无活动标记命中
扫描器测试夹具 node tests/ci/scan-supply-chain-iocs.test.js 20 通过，0 失败，包括防御性 Claude 拒绝墙通过以及具有相同 IOC 的钩子失败关闭覆盖
安全公告源刷新 node scripts/ci/supply-chain-advisory-sources.js --refresh --json 已就绪，包含 9 个源；实时刷新从 Node fetch 产生 1 个 OpenAI URL 警告，而主要 TanStack、GitHub 公告、StepSecurity、Wiz、Socket、npm 和 CISA 源返回 OK
无生命周期安装 npm ci --ignore-scripts 干净完成；安装了 213 个包，0 个漏洞
npm audit npm audit --audit-level=high 0 个漏洞
npm 签名 npm audit signatures 213 个已验证注册表签名；17 个已验证证明
工作流安全 node scripts/ci/validate-workflow-security.js 在发布 OIDC 发布作用域加固后验证了 8 个工作流文件
AgentShield 项目扫描 npx --no-install ecc-agentshield scan --format json A 级 / 99；0 个严重、0 个高、0 个中；6 个低级别文档示例技能遥测/治理发现
当前头 CI 安全扫描 gh run view 26057806361 --repo affaan-m/everything-claude-code --json status,conclusion,headSha,jobs,url 对 4470e2e6702f17099d6feb137ba03ff00582c202 成功完成；37/37 个 CI 作业通过，包括 lint、工作流/组件验证、覆盖率、跨平台包管理器测试、npm audit 和供应链 IOC 扫描
最新供应链监控 gh run view 26010432490 --repo affaan-m/everything-claude-code --json status,conclusion,headSha,url 对 25ac57ac40e9fc5a0606e76e6339e72c79748c99 成功完成；在发布前从最终发布提交重新运行

ITO-46 发布路径刷新

门禁 命令 结果
干净发布路径基线 git status --short --branch; git rev-parse HEAD; git remote get-url origin 在 67e63e63f9bfd074bd6a21bf6bac71f3dfefa58b 的干净 main；远程 https://github.com/affaan-m/everything-claude-code.git
包/插件身份回读 node -p "JSON.stringify({pkg, claude, codex, opencode}, null, 2)" ecc-universal@2.0.0-rc.1；Claude 插件 ecc@2.0.0-rc.1；Codex 插件 ecc@2.0.0-rc.1；OpenCode 包 ecc-universal@2.0.0-rc.1
名称可用性 npm view ecc name version description repository.url --json; npm view @affaan-m/ecc name version --json; npm view ecc-universal name version dist-tags --json ecc 已被无关的 ecc@0.0.2 占用；@affaan-m/ecc 返回 404；ecc-universal 注册表最新版本仍为 1.10.0，没有 next dist-tag
插件清单测试 node tests/plugin-manifest.test.js 54 通过，0 失败
发布表面测试 node tests/docs/ecc2-release-surface.test.js 21 通过，0 失败
Claude 插件验证 claude plugin validate .claude-plugin/plugin.json; claude plugin validate .; claude plugin tag .claude-plugin --dry-run Claude Code 2.1.143；清单验证通过；完整插件验证通过，并有一个预期的根 CLAUDE.md 上下文警告；标签试运行将创建 ecc--v2.0.0-rc.1
门禁 命令 结果
Claude 市场源帮助 claude plugin marketplace add --help; claude plugin marketplace update --help 市场添加支持 URL、本地路径、GitHub 仓库、--scope 和 --sparse；更新支持定向或全市场刷新
Codex 市场帮助 codex plugin marketplace add --help Codex CLI 0.131.0；市场添加支持本地路径、owner/repo[@ref]、HTTPS Git URL、SSH Git URL、--ref 和 --sparse
Codex 本地市场冒烟 HOME="$(mktemp -d)" codex plugin marketplace add ./ 从本地检出添加了市场 ecc，未触及真实 Codex 配置
Codex GitHub-ref 市场冒烟 HOME="$(mktemp -d)" codex plugin marketplace add affaan-m/everything-claude-code --ref "$(git rev-parse HEAD)" 从公共 GitHub 仓库添加了市场 ecc，固定到 67e63e63f9bfd074bd6a21bf6bac71f3dfefa58b，未触及真实 Codex 配置
npm 包干跑 NPM_CONFIG_USERCONFIG=/dev/null npm pack --dry-run --json; NPM_CONFIG_USERCONFIG=/dev/null npm publish --tag next --dry-run 打包生成了 ecc-universal-2.0.0-rc.1.tgz，2228 个文件，打包后 4,348,504 字节，解包后 13,024,929 字节，shasum 29d6a17029d80f5cb1df068880ba86c55a5d60f1；发布干跑将发布 ecc-universal@2.0.0-rc.1，标签为 next
OpenCode 包构建 npm run build:opencode 通过
预览打包冒烟 npm run preview-pack:smoke 就绪：是；摘要 0ed831dbd0cf；5 个通过，0 个失败
官方文档检查 Anthropic https://code.claude.com/docs/en/plugins 和 https://code.claude.com/docs/en/plugin-marketplaces；OpenAI https://developers.openai.com/codex/plugins/build Anthropic 记录了自托管市场源；OpenAI 记录了仓库/个人市场和官方 Plugin Directory。ECC 在本轮未创建真实发布标签、官方列表或 npm 发布
ITO-46 关闭 Linear ITO-46 评论 9ef92056-ab23-4eed-bfdb-932dddc2b056；Linear 问题状态 Done；GitHub Actions 26057806361 发布路径文档现在记录了每个渠道、名称冲突、包/插件干跑命令和阻塞项登记；Codex 仓库市场分发已验证，但在 OpenAI 提交/列表证据之前未声称官方 Plugin Directory 列表

Linear 进度同步

方面 证据
ITO-57 问题评论 0b9931b9-1556-4ebc-a70c-f3635557625d 记录了 5 月 18 日队列计数、#1970/#1971/#1972/#1976 合并证据、供应链验证、当前头 CI URL、延迟门禁和下一切片；回复 6fa15367-d994-4e53-ade3-9462477e1100 记录了扩展的 TanStack/Mini Shai-Hulud 复查、防御性拒绝扫描器修复、当前头 CI 26017368895 以及推送后平台审计；评论 3fe5b2b7-c4fe-401c-a317-b40d72119cb3 记录了针对 97567a91 的最终紧急刷新、AgentShield 4e36aab、干净的 ECC/Ito/Documents 工作区 IOC 扫描、缺失的 dead-man/持久化产物，以及包管理器/Claude 拒绝墙姿态；评论 43837404-c01c-4aaa-b5e2-1e784c136d69 记录了 ECC-Tools brace-expansion 警报 44 在 e56fc1a 中修复，CI 26054671308，Dependabot API state: fixed
ITO-52 问题状态 f2e5a208-de91-4a3a-960b-5362d12aa5a4 记录了 ECC-Tools 69ca535 团队学习反馈控制、本地验证和 CI 26054455434；Linear ITO-52 为 Done
ITO-61 问题状态 6904e4fb-bec7-4787-90e2-759f077a628c 记录了收窄后的 native-payments 回读阻塞项：Wrangler OAuth 现在可用，聚合回读干净，但仍没有具有 webhook 来源的 Marketplace 托管 Pro 目标 billing-state，且本地公告预检缺少目标账户以及 INTERNAL_API_SECRET
ECC 平台项目评论 e32e5b7a-287b-4bf4-9ed7-314389a157e1 在项目层面记录了此前的当前公共队列、安全、#1976 和剩余门禁状态；后续 ITO-44 评论 a01eeef3-c69b-48c0-8804-a4682acfc1ef 和 6b0885cc-c4e9-40db-899b-f7b88b4aa046 记录了 ITO-52 完成以及已修复的 ECC-Tools Dependabot 警报
项目状态更新注意事项 Linear 返回“此工作区未启用项目状态更新”；项目评论被用作受支持的状态表面

当前发布阻塞项

  • GitHub 预发布 v2.0.0-rc.1 在本轮仍未创建。
  • npm ecc-universal@2.0.0-rc.1 仍未发布到 next dist-tag。
  • Claude 插件标签和市场传播仍受审批门禁控制。
  • Codex 仓库市场分发已针对 rc.1 验证，但官方 Plugin Directory 发布仍被 OpenAI 的自助发布表面阻塞。
  • ECC Tools 计费/native-payments 文案仍被阻塞，直到 Marketplace Pro 购买/webhook 路径为目标 Marketplace 测试账户写入就绪的生产 billing-state:* 来源，然后使用可用的 Cloudflare API 认证或修复后的 Wrangler OAuth 运行 npm run billing:kv-readback -- --account <github-login> --require-ready，再运行 npm run billing:announcement-gate -- --account <github-login>，返回公告就绪门禁。最新的 Wrangler OAuth 聚合回读发现 256 条 account-billing:* 记录、256 条 billing-state:* 记录、197 条 Marketplace 来源记录、59 条 Stripe 来源记录、53 条 Pro 记录、4 条 Marketplace webhook 来源记录，全部为 Open Source，0 条 Marketplace Pro 状态、0 条类就绪 Marketplace Pro 状态，以及 0 个解析失败。ECC-Tools 提交 632e059 添加了后续目标账户回读模式，脱敏账户登录名和原始 KV 键名，并要求在 --require-ready 通过前同时存在两个目标键族。ECC-Tools 提交 13cd3fc 规范化 billing-state 键大小写。最新的 ITO-61 重试失败，因为不存在 Marketplace 托管 Pro 状态，且公告预检缺少目标账户以及 INTERNAL_API_SECRET；Linear ITO-61 跟踪确切的目标账户验收标准。
  • 发布说明、X、LinkedIn、GitHub 发布和长文案在发布/包/插件 URL 存在后仍需要最终线上 URL。
  • 仪表板/证据刷新后本地检出干净，但在真实发布前仍需要严格的干净检出发布轮次。

结果

截至 2026 年 5 月 18 日，针对当前 main 分支直至 97567a91，受跟踪的公开 PR 队列、issue 队列、discussion 队列、本地 work-items 桥接、release-name/plugin 发布门禁以及 Mini Shai-Hulud/TanStack 保护循环均为最新状态；后续在 632e059 中完成了 ECC Tools 计费门禁加固， 并通过 4e36aab 完成了 AgentShield 企业/安全加固。 这提升了发布就绪度，但不会替代 publication-readiness.md 中受审批控制的 release、package、plugin、billing 和 announcement 步骤。

本页原文 Markdown：在 AtomGit 查看·内容源自开源项目 ev/ECC