v0.3.5-dev

新增

• 新增 Elasticsearch 上游事件来源，复用账号配置和加密凭据，支持 API Key、Basic、Bearer 与自定义 CA；普通日志按事件表达，不进入 Finding 同步或替代归流数据库。
• 新增只读事件查询、来源字段能力和证据回查；公共筛选转换为有界 ES 查询，支持 ECS/显式字段映射、PIT 游标与有限文档计数，保留超时、分片失败、计数下界和证据变更说明。
• Web、REST、MCP 与查询 CLI 共用事件服务，新增 events / event-fields / event 命令和三个 MCP 工具；ES 需要 7.12+，目前仅完成合成契约及本地链路验证，待真实环境验收。详见 Elasticsearch 接入。

行为变更（升级前必读）

• 通用 CEF 连接器必须显式配置 event_categories，未配置时不再接收任何记录，避免把流量或审计日志当作告警入库。已有 cef 账号升级后会停止入库，需要补配置；accept_all_events=true 可临时跳过过滤。
• 推送通道只承载可归一化为 Finding 的告警。Syslog 默认不启用；启用时仅限可信网络，UDP 无认证，启动时会输出告警日志。

修复与数据契约

• 腾讯云域名类告警用厂商声明的域名作为 resource_id，mapper 升级到 tencent-csip/v7。分组不再把缺少 region 的全局资源判为独立告警，同一域名的多条告警可聚为一组。历史记录用 guiliu replay -account <名称> -mapper-version tencent-csip/v6 -apply 重放（会新增修订）。
• 华为 SecMaster 的 website / domain 资源在厂商未返回 id 时使用声明名称作为 resource_id，mapper 升级到 huawei-secmaster/v6。类型枚举依据官方 API 文档，双方都提供 id 时仍以 id 为准。
• 审计列表翻页后显示页码与本页条数；JSON 响应加 Cache-Control: no-store，避免缓存掩盖新写入的记录。
• 分组视图在缺少资源身份时说明原因，不再只显示“缺少分组依据”。

v0.3.4

新增与调整

• 新增长亭 SafeLine、SafeLine CE、全悉、万象、谛听、牧云，以及 Cloudflare WAF、CrowdStrike Falcon、Microsoft Defender XDR 和通用 CEF 连接器；云安全 API、REST、数据库 schema 的版本保持独立。
• 新增 Webhook 与 TCP/UDP Syslog 接入，复用拉取的归一化、去重、修订和映射失败保存路径。纯推送来源自动跳过定时拉取。
• 控制台创建纯推送来源时生成仅展示一次的 Token，管理员可轮换；数据库仅存哈希，账号读取和审计不返回 Token。配置文件管理的 Token 保持配置优先，需修改配置后重启。
• 推送来源区分等待、接收正常和近期无推送，隐藏不适用的拉取操作；Coverage 明确推送新鲜度不等于完整送达，并补充事件类型、租户和 zone 等采集范围。

修正与兼容影响

• CrowdStrike 改为先查询告警 ID、再批量读取详情；详情不完整时阻止该页提交，避免错误推进采集游标。
• CEF 不再将设备 ID 当作事件 ID，映射版本升级为 cef/v2；同一设备的不同事件分别保留，重投保持幂等。此前误合并的历史记录不会自动拆分，需要从来源重新采集或使用保留的原始事件恢复。
• Cloudflare 满页区间继续缩小到秒；最小区间仍满页时明确失败，保留采集游标。
• Syslog 停机先终止接收与已建立连接，再关闭队列并有界排空；TCP 增加背压和单帧大小限制。UDP 与进程崩溃场景仍不承诺零丢失。
• 修复牧云与万象裸数组响应的分页截断；牧云保持每个账号一种事件类型，默认 webshell_event，多类事件需分别配置账号。
• 修正 SafeLine CE 路径、毫秒查询窗口及检测类型展示；配置支持单 Token 凭据。测试样本使用合成标识、地址和时间，不保留实测事件身份信息。

验证范围

• Go 测试与静态检查、推送和 API 并发检查、前端测试与构建，以及本地临时实例的创建、Token 轮换、事件去重与界面接收状态验证。
• 沿用此前腾讯云与 SafeLine CE 9.4.3 的已披露验证结论；本轮不扩大真实厂商验收范围。其他厂商仍需真实账号或设备验证，万象与牧云映射继续标记为未验证。

v0.3.3

• 可执行文件更名为 gl-cli / gl-cli.exe，同步更新构建、Docker、命令示例与查询 Skill。原配置文件名及环境变量保持 GuiLiu 命名。
• CLI 命令发现改为分层输出：describe 返回简明目录，<command> --describe 返回参数和字段，追加 --schema 按需读取完整响应结构与 occurrence 语义。
• 对齐 MCP 参数类型、范围、默认值、分组 key 和资源身份描述；无效参数拒绝执行，取消静默截断或修正。精确修订与快照互斥。
• 告警/分组的部分导出返回 continuation: 完整续查参数，保留原查询窗口、过滤条件和快照；Skill 补充续查、证据及资产缺失原因说明。
• 新增仅在推送版本 tag 时触发的发布工作流：Linux/macOS/Windows × amd64/arm64 六种压缩包，包含可执行文件、Skill、中英文 README、LICENSE 和公共说明；发布 SHA-256 校验文件。
• 本批以合成数据、契约测试与交叉编译验证；不新增真实云账号验证声明。