PlainJournal v1.0.3

PlainJournal v1.0.3

v1.0.3 是正式版本与治理边界补丁，不增加业务域，也不进行前端视觉重构。

主要修复

• 后端 Maven 与前端 workspace 统一为正式 1.0.3，发布源码不再包含
  1.0.2-SNAPSHOT；
• 后端可执行 JAR 使用稳定文件名，Dockerfile 和真实链路脚本不再写死版本；
• CI 的空白检查覆盖真实 PR/push 变更集，Release 标签只接受
  vMAJOR.MINOR.PATCH；
• 增加版本一致性门禁，检查 Maven、pnpm、验证基线、CHANGELOG 和 Release Notes；
• 评价创建在资格锁后使用当前读，同一幂等键的并发重试稳定返回原评价；
• 前端命令与幂等键统一使用 Web Crypto；不支持 Web Crypto 的运行环境会明确拒绝
  生成命令，而不再降级为可预测的 Math.random()；
• 履约轨迹的经纬度只在当前页面会话中保留；结果未知后刷新页面会脱敏本地副本，并要求
  通过外部事件 ID 读取 Fulfillment 权威事实；
• 升级存在公告的 brace-expansion 与 undici 传递依赖，仓库显式固定 npm 官方源并
  保留严格 peer 依赖校验；Security 工作流改为审计完整锁文件并阻断中危及以上漏洞；
• 修复 Docker 冷启动时资源初始化早于 Nacos readiness、并把服务未就绪误报为管理员
  密码不一致的问题；初始化现在等待五类核心中间件就绪后再写入资源；
• README 删除重复验证数字，并修正前端仍显示“验收候选”的状态漂移。
• 发布材料检查不再把验证日期当作 CHANGELOG 发布日期，目标版本与独立 ISO 日期分别
  校验；
• Docker 公开示例默认使用仓库内已忽略的 .data/，本机 .env 可继续覆盖到独立
  磁盘，不再写死盘符。

文档与项目边界

• docs/ 根目录只保留当前有效的产品、架构、运行和验证规范；
• 删除 26-106 的逐批施工日志，过程改由 Git 历史追溯；仅保留 M0-M8 三层验收和
  v1.0.2 工程验收两份终局证据；
• 998 行旧总计划收敛为当前范围、M0-M8 结果、验证方法和冻结规则；
• 本地网络文档改为可移植的 Windows 诊断指南，不再携带机器级私有路径；
• 新增文档结构 CI 门禁，检查现行编号、索引完整性、验收证据白名单、机器绝对路径、
  可漂移测试数字和重复内容；
• PlainJournal 明确定义为 16GB Windows 单机约束下完整的 M0-M8 参考基线；
  PlainJournalPro 使用独立仓库承接多商户、平台账本、结算和 Java/Go 异构协作。

GitHub 治理

• 启用 Dependency Graph、Dependabot Security Updates 和 Private Vulnerability
  Reporting；
• 增加 dependencies 标签；
• 更新 CodeQL Action 的完整 Commit SHA。
• 明确记录并以仓库测试约束无状态 Bearer JWT 场景下的 CSRF 边界；未来迁移到
  HttpOnly Cookie 时必须同步引入 CSRF、SameSite 与 CORS 方案。

验证边界

本补丁保留真实 Chromium 与 F12/CDP 浏览器验证：页面控制台和网络错误均为 0。
完整测试、覆盖率与真实基础设施证据见验证摘要。

精确测试、覆盖率和真实链路证据以仓库内
docs/verification-summary.md 为准。