Repository navigation
[chore] 加固依赖审计与发布供应链 #544
Description
背景
基于最新 main 的依赖与供应链审查，补齐仓库内可实施的加固项。仓库级安全设置和分支保护由管理员另行处理，不在本次代码改动范围内。
范围
- 拆分发布构建与发布权限，实施最小权限并避免 checkout 凭据持久化。
- 将 GitHub Actions 和 pre-commit hook 固定到不可变 commit。
- 恢复 GitHub Actions 依赖更新，并细化 uv 更新分组和冷却期。
- 对依赖文件变更加跑开发依赖审计，审计采用 strict 模式并输出可追溯报告。
- 发布物增加 SBOM，并锁定隔离构建依赖。
- 升级
sse-starlette至 3.5.1。
验收
./scripts/doctor.sh通过。- runtime 与 dev 依赖审计无已知漏洞。
- workflow、Dependabot 配置和脚本契约测试通过。
Activity
liujuanjuan1984 commentedon Oct 24, 2026
仓库内加固已完成并发起 Draft PR：#545。
已验证
./scripts/doctor.sh、runtime/dev/build 依赖审计、Dependabot schema、Actionlint 和构建产物 smoke test。需 org/repo admin 处理的仓库安全设置与分支保护未修改，已在 PR 描述中列为后续项。liujuanjuan1984 commentedon Oct 24, 2026
PR #545 的 6 项 CI 检查已全部通过，包括 Develop/build 依赖审计、默认工具链、Python 3.11/3.12/3.13 矩阵和 Protobuf 6 兼容性。当前 PR 保持 Draft，等待人工 review。
fix(ci): harden release validation and dependency maintenance (#544)
liujuanjuan1984 commentedon Oct 24, 2026
PR #545 已完成独立代码审查并收敛问题，新增修复提交
55b54dd已推送。本轮修复：pre-commit 使用
# frozen:限制稳定 tag；构建依赖迁入独立目录并交由 pip ecosystem 维护；PyPI 成功后才同步 GitHub Release；发布前校验 tag 存在且指向 checkout commit，并新增 annotated tag/错误 ref 回归测试。最终
./scripts/doctor.sh通过，833 项测试通过，覆盖率 92.65%；7 项 PR 检查全部成功。PR 仍保持 Draft，等待人工 review。refactor: remove high-confidence dead code (#544)
liujuanjuan1984 commentedon Oct 25, 2026
已在 PR #545 当前分支补充全仓死代码审查与清理，提交
04a4dd8已推送。清理了 SDK REST 迁移残留、无生产引用的 task-store 套壳函数、仅供测试使用的生产 JSON-RPC response 模型和 registry 投影方法；动态路由、SDK 回调、仓储抽象及协议边界均保留。完整
./scripts/doctor.sh通过，832 项测试、覆盖率 92.76%，6 项 CI 检查全部成功。