v1.8.0 — 风险感知开发简报与本地 HTTP 加固

v1.8.0 概览

v1.8.0 聚焦“让 AI 顺手、让用户省心、让 AI 长脑子、让组织敢用”：把开发工作项准备升级为风险感知、证据可追溯、失败可降级的开发简报，并在发布前完成本地 HTTP 传输、安全边界、代码结构、行尾一致性和发布链路的系统收口。

新增与改进

风险感知的 prepare_work_item

• 汇总近期评论、仓库策略与脚本、相关文件、CODEOWNERS、PR 历史和 GitHub 原生依赖关系。
• 对核心或高风险工作项给出防御性编程、安全边界、失败处理和验证预算提示。
• 暴露上下文完整度与局部失败，保留已取得的证据，不把不完整结果包装成确定结论。
• 保持既有工具 schema 与辅助导出兼容。

本地 HTTP 传输加固

• 使用 MCP SDK 的 Express 应用工厂和无状态 Streamable HTTP transport。
• 默认仅监听 127.0.0.1，校验 Host 与 Origin，并隔离并发请求状态。
• 明确拒绝不支持的 GET/DELETE，统一处理畸形 JSON-RPC、超限请求和内部错误。
• 新增并发、恶意来源、IPv6、端口边界、异常关闭和错误信息泄露测试。

HTTP 模式在本版本仍定位为本机开发能力，不应直接暴露到公网。远程 OAuth、租户隔离、限流及产品级资源预算属于后续版本范围。

代码质量与可维护性

• 拆分 prepare-work-item.ts 的证据收集职责，降低核心工具模块的体积和耦合。
• 新增 .gitattributes、.editorconfig 和 CI 行尾检查，统一文本文件为 LF 并阻止混合行尾回归。
• 增加行尾检查器自身的 LF/CRLF/混合行尾回归测试。
• 将 @modelcontextprotocol/sdk 最低版本提升至 ^1.29.0，与实际使用 API 对齐。

文档与生态发布

• 更新中英文 README、CHANGELOG、ROADMAP、测试策略和架构说明。
• npm 包、运行时版本与 MCP Registry 元数据统一为 1.8.0。
• GitHub Release 通过 OIDC 先发布 npm，再发布并验证 MCP Registry 元数据。

验证

• build、typecheck、smoke test 全部通过。
• 37 个测试文件、805 个测试全部通过。
• 覆盖率：Statements 94.22%，Branches 89.79%，Functions 94.70%，Lines 95.05%。
• CI 24 环境测试矩阵与 Gitleaks 均通过。
• 行尾检查、npm 包内容检查和官方 mcp-publisher validate 均通过。
• 独立 reviewer 最终结论：通过。

升级

npx -y agentic-sdlc-mcp@1.8.0

stdio 仍是默认传输方式；如需本地 HTTP，请按 README 显式启用。

完整变更见 CHANGELOG.md。