feat(sandbox): 添加明确的标准输入输出通道与有界帧传输

docs/development/OpenNexus生产化实施进度-2026-09-08.md

@@ -459,3 +459,14 @@ Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写
 - 新增真实临时 Workspace / Stronghold 测试，覆盖正常读写、CAS、同 ID 内容冲突、跨包隔离、重启重放、权限/伪造字段/私有路径拒绝、帧/正文/速率限制、硬链接与异 Vault 拒绝、凭据锁定撤销。另有 Workspace 故障注入测试在提交前拒绝，确认重启正文与 outbox 不变，同 ID 原内容可以重试并只增加一次 revision/outbox。
 - 当前仍是内部策略适配器，未开放第三方执行。写入底层尚使用字符串路径，需完成全程句柄约束；原子撤权与最终提交的严格排序、真实管道身份认证、Vault 根目录替换、网络 broker 及完整攻击矩阵也尚未完成，不据此判定 C-02 / C-04 或整体生产化通过。
 - 本轮完整 Rust desktop all-targets 回归 115 项通过、6 项 ignored；其中三个 Job 辅助入口和一个上传故障辅助入口由父测试实际驱动，另外两项是需显式执行的 60 秒期限验收与打包 Core 20 次冷启动，本轮未重跑。全目标 Clippy -D warnings 通过。日志 `.build/extension-file-broker-full-tests.log`、`.build/extension-file-broker-clippy.log`。未修改前端/Python 实现，本轮没有把此前测试结果冒充重新执行结果。
+
+
+## 增量：沙箱实例标准管道与实际文件 RPC 探针
+
+- 新增 extension_stdio 的每次启动专用匿名管道；Host 端不继承，子端只有 stdin/stdout/stderr 三个句柄。扩展进程创建同时设置 SECURITY_CAPABILITIES 与 PROC_THREAD_ATTRIBUTE_HANDLE_LIST，STARTF_USESTDHANDLES 指向这三个子端；所有者保持到 CreateProcessW 返回，失败自动关闭，Host 不保留多余子端阻塞 EOF。
+- PreparedLaunch 新增带 stdio 的挂起创建路径，沿用创建前后租约检查、BoundEntry 全生命周期持有、AppContainer 身份核验和 Job 先绑定后恢复。返回 Host 管道端供实例运行线程持有，未引入共享监听地址、请求自报 PID 或包身份。无 stdio 的受控探针路径继续不继承任何句柄。
+- 新增有界 NDJSON 解码器：每帧最多 2 MiB，在扩展缓冲前检查；拒绝超长、空帧与 EOF 前未结束的帧，协议/读取错误后解码器不再继续解析。编码拒绝未转义换行与超限帧。该同步组件不自行解决阻塞读取/写入，需要后续 IO 取消所有者与工具期限控制；stderr 持续排空/限额也仍待运行编排接入。
+- 真实 AppContainer 原生探针经已签发参数/环境与解锁会话启动，通过 stdout 发出 notes.read，由绑定当前 Vault 和权限的文件 broker 处理，经 stdin 返回正文；子进程核对正文后正常退出。测试同时确认独立 stderr、关闭 stdin 产生 EOF、正文未改动，以及 Host 中另一个显式可继承的事件句柄未进入该子进程。仅使用隔离测试 Vault/虚构凭据。
+- 管道标志测试确认三个 Host 端全部非继承、三个子端继承且六个句柄互异；帧测试覆盖单字节分片、多帧、CRLF、恰好上限、超一字节、截断、错误后封闭及写入拒绝。57 项扩展回归通过、4 项 ignored 为既有三个父测试驱动辅助入口与显式 60 秒验收。desktop 全目标及非 desktop 库 Clippy -D warnings 均通过；首次非 desktop 检查指出两处桌面专用构造函数未限制编译条件，已修正。日志 `.build/extension-stdio-tests.log`、`.build/extension-stdio-clippy.log`、`.build/extension-stdio-core-clippy.log`。
+- API 依据 [Microsoft handle inheritance](https://learn.microsoft.com/en-us/windows/win32/procthread/inheritance)。明确句柄清单约束本次扩展创建，但 Host 内其他并发启动若使用不带清单的全量句柄继承，仍可能继承这段短暂窗口内的子端；正式启用前须审计并统一所有创建路径或采用隔离创建代理，不能仅凭本测试声明该并发风险消失。
+- 这增加真实沙箱至文件 broker 的通信证据，尚未接入用户安装实例注册、JSON-RPC/MCP 派发、活跃安装/信任复核、IO 超时/背压和完整句柄安全写入。第三方执行仍禁用，C-02/C-04 及完整生产化保持未通过状态。