v0.8.0 — безопасные границы и воспроизводимая поставка

Защитный релиз закрывает подтверждённые границы входных данных и конкурентного
доступа, синхронизирует публичные контракты и делает цепочку поставки
воспроизводимой.

Главное

• Добавлены fail-closed лимиты для schema v1, архивов и контейнеров, HTTP-тел,
  multipart-загрузок, поисковых фраз и кэша стемов.
• Все потребители Registry переведены на единый неизменяемый снимок;
  сериализованы параллельные административные правки словаря и проверки
  токенов сведены к одному constant-time helper.
• Локальный сетевой профиль ограничен loopback, а отдельный remote-профиль
  требует токены и TLS reverse proxy.
• Цепочка поставки получила hash-lock для runtime, разработки, сборки и аудита,
  закреплённые digest/SHA, dependency audit и CycloneDX SBOM.
• Сборка четырёх BSL-вариантов стала атомарной, а публичные README, schema v1 и
  описание источников синхронизированы с фактическим поведением.
• Добавлен обезличенный измеритель цены снимка расширений. На доступном корпусе
  оптимизация не потребовалась: три расширения добавили не больше 0,71 мс к p50,
  1,03 мс к p95 и 0,1% к traced peak.

Проверка выпуска

• 1 713 тестов локально и в GitHub Actions на Python 3.12 и 3.13;
• воспроизводимая сборка экспортёра и package job;
• wheel/sdist 0.8.0 прошли twine check;
• dependency audit не нашёл известных уязвимостей в закреплённом runtime-наборе;
• локальный контейнер healthy, без рестартов и OOM; MCP initialize сообщает
  0.8.0.

Полные изменения: CHANGELOG · сравнение с v0.7.0

GitHub Actions: tests · supply-chain