# OpenNexus 生产化实施进度 工作树：`G:\OSProject\NotesAgent-phase3`，分支：`feat/phase3-completion`。用户已授权实施，正式名称为 OpenNexus。保留旧应用 identifier、内部包名和数据目录约定，避免更名导致旧数据不可见。个人 Vault 的已有改动不属于本次交付。 **状态：实施中，未 done，未通过生产发布门禁。** 本文记录工程进度，不将单元测试或开发机运行替代[生产化计划](../architecture/第三阶段生产化工程规划与验收目标.md)中 A–E 的完整验收。 ## 当前状态摘要 截至 `7b69537`，Host Sync capability 已开启，扩展 capability 仍关闭。笔记与 Task CRUD 已接入当前 Rust Vault；同步具备上传/拉取、冲突解决、非空初始合并、100 MiB 续传、主题和编辑器偏好、持久退避。Workspace 当前 schema 10（上传尝试记录增量后）。凭据备份/恢复及 WTS 撤销已实现，但实机锁屏验收仍缺。 最近完整测试：后端 900 项（Task 增量后）、前端 517 项、Rust desktop 52 项；后两者在重试持久化增量后复跑。以下各节为历史增量，出现的旧 capability、旧 schema 和旧测试数量描述对应当时状态，以本摘要及后续增量为准。OS 沙箱、Rust 扩展管理、剩余逻辑数据类别、完整故障/性能/发布验收仍未完成。 ## 持续实施增量 - Rust 同步新增 schema 4 inbox/boundary、稳定远端 file_id、remote 来源的移动/删除日志和冲突保留。真实 HTTP 双客户端测试覆盖历史拉取、零回流、本机提交回放保护和同改冲突；文件提交前后的 inbox 重启测试通过。冲突解决和用户界面正在继续实施，仍不开放完整 Sync capability。 - Rust 同步上传队列与 HTTP 客户端已实现首批链路：持久绑定、spool、冻结远端基线、offset 查询续传及原子确认。20 次离线编辑/重启重试、解绑隔离测试通过；真实本地 Sync 服务验证 20 条 revision 与 100 次提交重放。Sync capability 仍保持 false，等待双向同步、会话与 UI 完成。 - 桌面全文/向量投影按 Vault 隔离，搜索前经 Host 对账文件摘要；向量重建从 Host 读取正文并保留 file_id。任务和笔记关联使用同一 Vault 的持久库。新增测试覆盖同路径双 Vault 隔离、变更/删除刷新、稳定 ID 和任务跨 Vault 不可见；真实 Core 测试增加全文搜索与删除后的检索验证。 - 检索隔离增量最终后端全量 899 项通过，真实 Core/Vault 搜索集成和 Rust desktop 全目标 Clippy 通过。语义重建的稳定 ID 测试使用显式测试 Embedding，不作为真实模型质量或性能证据。 - Core 笔记 CRUD 已经由受控管道接入当前授权 Rust Vault，保留稳定 file_id，支持 CAS 和跨 Vault 拒绝。新增 schema 2 操作回执，记录写入/移动/删除提交结果，升级前保存 schema 1 一致备份。同一写入操作重放 100 次不新增 outbox，也不覆盖后续编辑。 - 真实 Python Core + 临时 Rust Vault 集成测试覆盖创建、列表、修改、并发冲突、移动、删除、跨 Vault 拒绝和提交查询；Rust desktop 全目标 35 项通过。Core 检索投影、后台任务取消的完整提交边界、大媒体和 UI 提交确认仍需继续实现，不能将 CRUD 接通等同整个 AI 工作流验收完成。 - 此增量后端全量 897 项、前端全量 94 文件/506 项通过；Rust desktop 全目标 Clippy 与文档链接检查通过。旧 Core 打包产物尚未重新构建，不将开发解释器进程测试作为最新安装包证据。 - 已修复多实例凭据覆盖与桌面请求取消/超时，证据见[全量回归](OpenNexus验收修复与回归-2026-09-08.md)。 - 新增加密凭据备份、原生确认恢复、恢复前留存和逐条完整性验证。Windows 新增 WTS 锁屏/注销/断开通知，原子撤销解析资格；解锁不会随系统返回而自动恢复。设置页同步锁定状态，提供备份和恢复入口。 - 备份恢复、错误口令保护、锁屏后解析/写入拒绝、原生窗口通知测试通过；后者向专用测试窗口注入消息，不等于真实锁屏时延验收。前端两项交互测试、类型检查、Rust desktop 全目标 Clippy 通过。凭据旧库确认清除和迁移故障矩阵仍待补齐。 ## 已实现的链路 - Rust 管理 Core 进程组；使用 stdin 引导、随机 loopback 端口、HMAC 握手、独立代际与会话令牌。每个请求先认证，拒绝浏览器 Origin、重复鉴权头及旧代际。Host 关闭时关闭管道并清理进程组，重启具有退避和次数上限。 - 常规 JSON/二进制及 SSE 请求经原生命令进入 Core。SSE 支持游标、跨 UTF-8 分片及取消；每次流累计不超过 64 MiB，最多 16 个并发流。二进制上传暂为 64 MiB，尚未满足原媒体页面 128 MiB 的完整能力。 - Core 可由 PyInstaller 构建为带运行时的 onedir。构建脚本生成 SHA-256 清单；release Host 编译时嵌入清单，启动前验证文件集合与摘要，拒绝链接、额外文件和篡改。新增 NSIS 资源配置，但尚未生成或验证签名安装包。 - Stronghold 采用 Argon2id 口令派生和单文件快照；解锁期间 Store 中仍保存 AEAD 密文。提供状态、解锁、手动锁定、改密和原生选择旧库导入命令，不提供 WebView 通用明文读取命令。 - Fernet 迁移先验证所有条目与冲突，备份密文和封装主密钥，持久化新库后重新打开逐条比较，最后切换所有权标记。旧文件保留，旧 Python 凭据 API 检测标记后拒绝读写。Core 凭据解析经 Host 管道，不在桌面 Core 使用环境变量凭据回退。 - 同步服务按已确认 offset 修复磁盘超前，磁盘不足时拒绝续传；对象上传与校验使用流；下载先验证完整摘要再响应。完成回执支持重复确认且不重复计费。过期上传每分钟清理，CLI 提供独立清理入口；启动入口支持共享 staging 的两个 worker。ready 检查数据库、staging 和对象存储，429 带 Retry-After。 ## 已执行的检查 - 后端全量复跑 894 项测试通过，测试数据使用隔离目录。 - 前端现有 91 个文件、495 项测试通过；新增流式通道测试后，针对性 4 个文件、8 项测试通过；前端类型检查和生产构建通过。构建仍有部分既有大分块警告。 - Rust 15 项库测试、Core 清单完整性测试通过；两个真实 Python Core 集成测试通过，其中一个完整执行 HTTP 凭据写入、管道分发和 Stronghold 解析，确认响应与 Core 目录不泄露秘密。 - Rust desktop 全目标 Clippy `-D warnings` 通过；工具链为 Windows GNU 1.98.1，不能作为 MSVC 发布证据。 - 同步服务 23 项隔离 SQLite 测试通过，包含 100 次重复 complete。不是 PostgreSQL/MinIO 双 worker 压测。 ## 尚未完成的工程和验收 | 范围 | 尚需完成 | | --- | --- | | Sidecar | AI 笔记读写接入当前 Rust Vault；完整路由 DTO 与取消提交确认；恢复诊断、更新事务；128 MiB 媒体传输；签名包、干净 VM 和 20 次冷启动 | | 凭据 | OS 锁屏联动；备份恢复与用户确认清除旧库；迁移所有边界故障注入；按真实扩展身份绑定域许可 | | OS 沙箱 | 平台隔离实现、Host broker、资源预算与恶意二进制验证；当前未启用无沙箱第三方进程 | | Rust 扩展管理 | 签名验证、ZIP 安全边界、持久安装/升级/回滚事务、旧包迁移、撤回与运行时生命周期 | | 同步客户端 | Rust push/pull、持久 cursor/inbox、附件续传、绑定隔离、冲突保留与解决 UI、默认/可选数据分类 | | 同步生产服务 | 真 PostgreSQL/MinIO 两 worker 竞争与负载验证；部署、最小权限、备份恢复、指标与运行手册 | | 发布 | 统一逐 ID 验收 runner；MSVC 签名安装更新包、SBOM/依赖扫描；两台独立设备 E-01–05 | Core 的独立数据目录目前不等于已授权 Vault。Python 旧笔记写入口在 desktop 模式明确拒绝，不能据此宣称 AI 笔记工作流完成。Host `sync/extensions` 能力仍为 false。缺少实机与签名环境不构成其余普通工程尚未完成的理由。 ## 增量：可恢复的同步冲突解决 - Workspace schema 5 在修改文件前持久保存解决选择和三个操作 ID；保留本地、采用远端、另存副本均通过现有文件 journal 提交，再归档旧上传队列。启动下一轮 push/pull 时恢复未完成的解决事务。 - 旧任务进入 conflict/archived 后拒绝上传或提交回执更新；未解决文件暂停发送，其他文件仍可推进。同路径删除后重建使用新的远端 file_id，原删除身份保留为 tombstone。 - 两个独立 Rust Workspace/会话通过真实本地 Sync HTTP 服务验证三种选择最终收敛及副本独立身份。新增三项测试覆盖文件已提交但解决记录未提交时重启、删除对编辑、远端删除后重建与恢复旧身份。 - Rust desktop 全目标 42 项通过，Clippy `-D warnings` 通过。测试服务使用隔离 SQLite/文件对象存储；尚不代表 PostgreSQL/MinIO 部署验收。不同文件身份占用同一路径仍返回明确的需改名错误，解决界面和 Host 会话接入继续实现中。 ## 增量：Host Sync 会话、轮询和设置页 - 登录/刷新会话按规范化服务器地址和账户分隔，令牌只保存在 Stronghold Sync scope。手动锁定也增加撤销代际，正在等待的网络操作在下一次 50ms 检查时取消；锁定后不再解析新令牌。 - 设置页提供登录、创建/选择远端库、空库初始绑定、暂停/恢复、退出、解绑和冲突选择。绑定与覆盖决定使用界面确认；HTTP 只有显式勾选测试选项才能启用。冲突使用当前本地摘要做 CAS，旧原始快照仍保留。 - Host 提供每 5 秒串行同步，先完成固定拉取窗口再发送本地作业；SQLite schema 6 保存暂停偏好。网络失败使用有界退避并尊重 Retry-After；认证、权限、协议等错误停止自动重试并显示。绑定变化/暂停取消旧轮次。 - 真实本地 HTTP 服务验证 Stronghold 会话存储、强制刷新、关闭重开保险库后复用、退出后旧令牌 401。新增 UI 测试验证密码清空、测试 HTTP 显式传参、确认取消和冲突 CAS 参数。Rust 全目标 43 项与前端全量 95 文件/508 项通过，正式 TypeScript 两项目检查通过。前端测试仍输出既有 KaTeX quirks/localhost:3000 连接警告，没有失败项。 - 尚未完成：后台轮询真实桌面实机验收、初始非空合并预览、外部文件变化捕获、附件流式持久化及全故障矩阵、数据分类和不同身份同路径解决。不能据此标记所有 S/E 验收 ID 已通过。 ## 增量：外部编辑捕获与大附件崩溃续传 - Workspace schema 7 将新 write/rename/delete journal 和 outbox 的正文替换为不可变 payload 引用，先 fsync 文件再记录摘要/长度；兼容旧内联正文恢复与上传迁移。100 MiB 不再写入 SQLite 正文列。暂不执行历史 payload GC。 - 独立 sync_observed 保存上次提交快照；文件树/编辑器读取更新 files 缓存不会吞掉外部变更。后台捕获外部新增、编辑、删除，采用快照校验且不向外部编辑器写回。重复扫描不新增 outbox；删除捕获支持重启恢复。 - 当前文件分类允许 Markdown 和 attachments 下常用附件类型，排除隐藏目录、已知缓存/日志/模型目录和可执行包扩展名；普通 JSON/配置不会直接复制。旧/新待发作业均检查分类，未支持的远端类型拒绝应用并保留游标。默认任务/Skill/配置等逻辑记录的白名单尚待实现，不作为 S-08 完整证据。 - 真实本地 HTTP 100 MiB 测试每 10 MiB 在服务端写入后、响应前强杀独立 Rust 客户端，共 10 次。恢复进程复用同一设备会话、查询服务端 offset，最终上传/下载长度、SHA-256、file_id 一致且远端落盘无回流；两个临时 Vault 的元数据文件均小于 5 MiB。最初测试错误地重新登录生成不同设备，按协议无法复用原上传，现已改为通过 stdin 传递同一受控测试会话。 - 此测试尚未覆盖完整 S-02 的每个 pull 边界 kill 20 轮，也不代表四并发服务 RSS 或生产 MinIO 性能验收。外部 rename 的稳定身份识别和目录大规模扫描优化继续实施。 - 本增量 Rust desktop 全目标 46 项通过、1 个受父测试驱动的独立进程辅助入口标记 ignored（父测试实际运行并强杀该入口 10 次）；Clippy `-D warnings` 通过。 ## 增量：非空初始合并与文件身份关联 - 同名独立创建的文件支持保留本地、采用远端、另存副本；先通过 journal 留存旧身份内容，再采用远端稳定身份，旧队列封存。三种选择及中途重开各 20 轮通过，真实双客户端也完成了同名创建后的收敛。 - schema 8 保存固定远端初始快照。设置页展示上传/下载/相同/冲突预览，每页 100 条；服务器、账户、远端或本地 Vault 变化会清除预览。确认时复核摘要，发生变化返回 SYNC_PREVIEW_CHANGED。初始同步只应用各文件最新可见版本，不重放历史旧路径；历史 tombstone 仅初始化远端基线，不删除本地文件。 - 初始文件全部落盘或持久保留冲突后，cursor 才一次推进到快照 boundary；任何未完成初始快照都禁止 push。逐文件提交前后重启各 20 轮通过，真实第三个 Workspace 完成相同内容身份采纳、本地独有上传、远端独有下载和冲突解决。 - Host 保存身份别名，旧文件引用仍可解析；Core 每个 Vault 的投影在身份采纳时同事务迁移本地任务链接，避免外键删除把任务 note_id 清空。新增后端关联测试通过。 - 目前快照最多处理 100000 条历史 revision，超限明确拒绝；大库快照/扫描性能、任务和配置逻辑同步、完整分类故障矩阵及签名/沙箱等其他生产门槛继续实施。 - 本增量后端全量 900 项、Rust desktop 全目标 49 项通过（另 1 个父测试使用的进程辅助入口）；Sync 界面 3 项交互测试、两个 TypeScript 项目检查和 Clippy `-D warnings` 通过。 ## 增量：Task 逻辑记录 - Task v1 使用专用命名空间和 Rust 字段白名单，秘密字段、未知字段/版本在 journal 前拒绝；普通配置文件仍不纳入同步。任务不依赖 Core SQLite 的全量复制，也不触发目标设备自动执行任务。 - 桌面 Task CRUD 已交由 Host 持久文件和 outbox；同操作创建重复 20 次返回同一结果，不同字段重用 ID 拒绝；更新/删除同样通过操作回执。已有当前 Vault 任务逐条迁移，保留原表且可重复完成迁移。 - 真实 Core HTTP 验证任务创建/更新/删除/重放、跨 Vault 拒绝、旧任务来源保留；真实 Sync HTTP 验证两客户端任务状态与删除传播。记录列表有 4 MiB 分页上限，读取有 1 MiB 文件上限。 - 本地文件 ID 采纳后的 task note_id 通过别名解析，上传前生成持久规范化引用，避免把本机旧 ID 留给另一设备。其余逻辑记录类别继续实施。 - Task 增量后端全量 900 项、Rust desktop 全目标 50 项通过（另 1 个父测试驱动的进程辅助入口），Clippy `-D warnings` 通过。 ## 增量：主题与编辑器偏好逻辑记录 - Host 新增两个仅限主窗口、校验当前 Vault 的偏好命令；Rust 逐字段校验主题和编辑器设置，普通 JSON、权限、密钥和本机路径不进入记录。 - 设置编辑先保存按 Vault 隔离的持久草稿，再通过 CAS 写入 Workspace。覆盖选择串行等待在途写入，选择远端期间的新编辑不被丢弃；存储删除失败时保留内存及磁盘草稿并报告失败。远端主题应用不产生同步回流。 - 初始上传和合并预览包含当前偏好；空库下载不提前创建记录。真实双客户端 HTTP 测试新增主题记录传播，嵌套未知字段和非法值由 Rust 测试验证。 - 本增量全量前端 97 文件 / 515 项通过；其后补充存储故障修复，两文件 7 项针对性测试通过。TypeScript 两项目检查通过，Rust desktop 全目标通过（数量见测试日志），Clippy `-D warnings` 通过。测试日志为 `.build/preferences-frontend-tests.log` 和 `.build/preferences-rust-tests.log`。生产签名、OS 沙箱、Skill/配置等未完成项仍未通过整体验收。 ## 增量：跨重启的同步退避和停止状态 - Workspace schema 9 持久保存每个绑定的错误码、失败次数、下次重试时间及 halted 状态。旧 schema 升级前保留独立 SQLite 备份。重启后自动同步沿用该状态；成功、同账户登录恢复或手动继续会清除当前绑定状态。 - 取消/切换绑定不增加失败次数，旧绑定回调不能修改新绑定；保存的错误仅允许有长度限制的机器码，不保存服务端任意响应正文。Retry-After 和指数退避保持 1–3600 秒限制。界面对停止自动重试状态不再显示误导性的倒计时。 - 连续关闭重开 20 次验证失败次数与时间保留，另验证认证停止、状态清除、取消、错误正文过滤和新旧绑定隔离。当前是绑定级轮次状态；每个上传作业的独立尝试历史、强制刷新后的 401 重试和完整服务故障矩阵仍需完成。 - 全量前端 97 文件 / 517 项、Rust desktop 全目标 52 项通过（另 1 个父测试驱动并强杀的辅助入口）；TypeScript 两项目检查和 Clippy `-D warnings` 通过。日志 `.build/retry-frontend-tests.log`、`.build/retry-rust-tests.log`。Core 打包正在更新，不视为签名发布包。 ## 增量：最新 Core 打包与 20 次冷启动 - 使用锁定 packaging 环境重新生成 PyInstaller onedir，清单包含 1523 个文件。构建日志 `.build/core-build-production.log`，产物 `.build/sidecar/dist/opennexus-core` 与 `.build/sidecar/manifest.json`。 - 新增显式打包测试 `cargo test --locked --features desktop --test core_bundle packaged_core_twenty -- --ignored`，调用实际可执行文件并在每次启动前校验完整文件清单。20 个独立临时数据目录、20 个不同会话代际、带鉴权和代际头的 HTTP 健康请求全部成功，逐次退出后端口关闭。测试耗时 95.64 秒，日志 `.build/core-packaged-cold-starts.log`。初版测试遗漏代际请求头导致拒绝，修正测试后通过。 - 该测试按要求先构建后显式运行，普通源码全目标测试会跳过此入口。Clippy `-D warnings` 通过。此证据来自当前 Windows 开发机，不能替代干净 VM、MSVC 签名安装包、两台真实设备或完整 A-01 验收。 ## 增量：401 恢复与每作业持久尝试记录 - 协调器对可重放的同步轮次收到 401 时仅强制刷新一次；刷新仍校验设备身份且受凭据锁撤销。刷新失败或第二次 401 返回停止错误，403 不刷新。普通非幂等业务创建没有套用重放包装。 - 真实本地 HTTP 测试先在隔离数据库中提前过期 Access Token，确认读取经一次刷新恢复；删除测试会话后 Refresh 也被拒绝，不重新登录、不注册新设备。另注入连续 401 和 403，分别确认最多两次与一次操作调用。 - Workspace schema 10 保存每个上传作业的累计尝试次数与 running/failed/interrupted/succeeded 结果；普通取消通过析构记录中断，进程强杀则由重开修复。文件已确认而结果未记录时，恢复以已持久的 ack 为准。错误只保存限定机器码；待处理作业最多展示 20 项恢复记录。 - 20 次重开验证尝试累加且冻结的提交载荷不变；取消测试确认无需重启即显示 interrupted。真实 100 MiB 十次强杀后，重开查询准确显示 10 次尝试与 interrupted，最终继续上传、下载与摘要校验通过。测试过程使用独立临时 Vault 和服务账号。 - Rust desktop 全目标 53 项通过，之后新增取消测试单独通过；更新后的真实 HTTP 集成再跑通过。两个 ignored 入口分别是已在前轮显式运行的打包测试和父测试实际驱动的强杀辅助进程。前端 SyncSettings 5 项、两项目 TypeScript 检查及最终 Clippy `-D warnings` 通过。日志 `.build/job-recovery-rust-tests.log`、`.build/job-recovery-http-tests.log`；本增量无 Python 变更。 - 此增量不等于完整 S-02/S-03 故障矩阵，pull 各边界 20 次强杀、同目标 rename 与历史恢复等完整验收仍需推进。 ## 增量：Rust 扩展签名与 ZIP 验证基础 - 新增 Rust Release v1 验签及有界 ZIP 检查，真实 Python canonical JSON/Ed25519 向量验证通过；逐个签名字段篡改、错误公钥/签名者、撤回和键撤销均拒绝，ZIP 摘要另行核对。 - ZIP 原始中央目录预检阻止映射覆盖隐藏重复项、本地头不一致和重叠数据。测试覆盖穿越、Windows 特殊路径、Unicode 大小写重名、文件/目录前缀、链接、加密和 CRC 损坏。Theme 的 5/10 MiB 与 100 条、其他包的 10/50 MiB 与 2048 条边界和超界通过。 - 新增锁定依赖 ed25519-dalek 2.2.0 与 unicode-casefold 0.2.0；复用已存在的 zip 8.6.0、Unicode normalization。声明 Rust 下限调整到 ZIP 库要求的 1.88，实际验证仍使用本机 GNU 1.98.1，尚无最低工具链或 MSVC 发布证据。 - Rust desktop 全目标 58 项通过（另两个既有显式/辅助入口 ignored），随后补充较新 Unicode 大小写映射，4 项包验证测试复跑通过，最终 Clippy `-D warnings` 通过。日志 `.build/extension-verification-rust-tests.log`。期间一次链接被仍在运行的测试 EXE 占用；确认原进程完成后，针对性测试重跑通过。 - 此批只验证包，不提取、不安装、不执行。清单身份/权限和 schema、在线撤回复核、单一安装库、迁移及事务尚未完成，extensions capability 维持 false，完整 D-01–04 仍未通过。 ## 增量：有界类型清单与发行一致性校验 - `verify_package` 串联签名、ZIP 全字节检查和清单解析，返回经过检查的摘要清单及声明内容。清单最多 1 MiB / 32 层 / 10000 节点 / 单文档；重复键、循环别名、文件包含、未知 schema_version 和非法 JSON 拒绝。YAML 解析关闭环境插值与文件包含特性，错误不回显正文。 - Theme 保持专用 theme_id；Skill/Plugin 兼容 Runtime 实际包使用的 id 与专用类型 ID，双声明冲突拒绝。发现并修复 Community 服务此前会拒绝项目自带 id 清单的兼容问题；两端均使用 markdown-workbench/note-reviewer 实际文件验证。 - 版本与权限集合须匹配发行；人设/模板/MCP/模型基本结构和递归秘密字段校验已加入。此处尚不替代各 Runtime 完整配置 schema、运行许可与 OS 沙箱。 - 锁定 serde-saphyr 1.2.0 的 deserialize 特性与传递依赖，按其要求将声明 Rust 下限调整至 1.89；实际仍为 GNU 1.98.1，不作为最低工具链测试证据。 - Community 全量 15 项通过（两个既有弃用警告）；Rust desktop 全目标 61 项通过（两个既有特殊入口 ignored）。随后核对 Theme 专用 ID，7 项扩展验证复跑与最终 Clippy `-D warnings` 通过。日志 `.build/extension-manifest-rust-tests.log`。 - 安全解包写盘、在线来源/撤回复核、安装库迁移、依赖与配置升级事务、授权和运行生命周期仍须实现，完整 D-01–04 和整体生产化继续进行。 ## 增量：Rust 持久扩展暂存库 - 新增独占应用目录的扩展暂存库 schema 1；只接收通过签名、ZIP、清单检查的发行。先 fsync 不可变 ZIP 对象，再在同一 SQLite 事务保存版本元数据和操作回执。来源/命名空间/包/版本组成不可变身份，签名内容改变不得原地替换。 - 同操作重放返回原回执，仍重新检查撤销标志和 ZIP 完整性；不同请求重用操作 ID 拒绝。数据库和分页列表仅声明 staged，不声明安装/启用，也不产生运行许可。暂不清理无引用对象，避免中断后删除恢复材料。 - 对象写入后、版本记录后、回执记录后、事务提交后，各注入错误并重开 20 轮，均恢复为一份版本及回执。另验证独占锁、不可变发行、撤销重放拒绝、对象损坏拒绝、数据库及 WAL/SHM/journal 预置硬链接拒绝且目标原文件不变。 - Rust desktop 全目标 64 项与 Clippy `-D warnings` 通过；日志 `.build/extension-store-rust-tests.log`。这些是受控错误注入，不能替代完整 D-03 的真实断电/磁盘满矩阵。安全解包、活动版本和配置切换、在线信任/撤回、旧库迁移及运行生命周期尚待接入。 - 同轮复查远端测试 Sync 的 `/ready` 返回 503 / DEPENDENCY_UNAVAILABLE，正继续定位；不视为服务器验收通过。 ## 远端测试服务就绪复查 `http://yui.kronecker.cc:18080/health` 返回 200 / status=ok，`/ready` 返回 503 / DEPENDENCY_UNAVAILABLE。SSH 域名地址与公开 AAAA 地址均在认证前关闭连接、未返回 banner，尚无法读取 Docker/数据库/对象存储诊断。未执行任何远端修改，也未判定为密码错误。已询问 SSH 入口是否改变；本地工程继续推进，不因这一单项暂停整体目标。证据 `.build/acceptance/sync-readiness-current.json`。 ## 增量：确定性依赖锁与兼容性预览 - 暂存库新增只读依赖预览，固定根发行，只使用同来源候选；无命名空间的键归属当前命名空间，显式 namespace/package 也必须来自同来源。较新版本优先，遇到菱形冲突会回溯选择满足全部约束的版本，结果按依赖先于使用者输出。 - 裸完整版本表示精确约束；范围采用明确的 Rust SemVer 语法，未知范围拒绝。应用 min/max、平台和架构不兼容拒绝；缺包、版本冲突、依赖环或预算超限不返回部分计划。 - 锁定结果绑定包身份、完整签名发行、ZIP、签名者、权限及目标应用/平台/架构。选中包重新从暂存对象读取并校验签名和清单；重开后摘要稳定，归档损坏会拒绝。尚无安装/停止实例的副作用。 - 预算为同源 4096 候选 / 64 MiB 元数据、200 解析包、10000 搜索展开与 4 MiB 预览编码。测试覆盖输入乱序、菱形回溯、环、缺包、精确版本、平台不兼容、来源/命名空间隔离、深图和过大预览。 - Rust desktop 全目标 69 项通过（两个既有特殊入口 ignored）；其后补充预览编码上限，4 项依赖测试和最终 Clippy `-D warnings` 通过。日志 `.build/extension-dependencies-rust-tests.log`。依赖使用已锁定的 semver 1.0.28。 - 正式安装的在线撤回复核、权限确认、解包与包/配置原子切换、健康检查和回滚仍未完成，不能据此通过完整 D-03/D-04。