LACD v1.0.2

LACD v1.0.2 — patch release

Q2 独立审查：PASS（第七轮，2026-10-12，GPT-6 独立技术审查）
RRC 发布核验：全部 PASS | CI：Python 3.11/3.12 全绿

主要修复

模板版本锁定

• 采用者 workflow 模板安装版本从 @v1.0.0 更正为 @v1.0.2
• manifest.json 的 template_version 同步为 1.0.2，SHA-256 重新计算
• 修复"安装旧模板却运行新 CLI 参数"的 P0 缺陷

信任边界（Trust Boundary）

• 远端 enforcement 策略从受保护基线（origin/main）读取，不再信任 PR 工作区文件
• PR 无法通过提交削弱的 lacd.yaml / .lacd/lock.json 给自己降低门槛
• 支持 LACD_TRUSTED_BASE_SHA 环境变量，由可信 CI 绑定外部验证的基线 SHA

安全加固（Fail-closed）

• EnforcementPolicy 在 CLI 远端调用路径强制构造传入，policy=None 旧路径不再使用
• Git 读取失败、策略解析失败时直接返回 UNVERIFIED，不继续远端判定
• 本地 fallback 模式（无环境变量绑定）永不返回 ENFORCED，仅限非安全保证场景
• 空 required_checks 遇到远端 enforced 时降级为 UNVERIFIED

兼容性

• 新增 governance.required_checks 为可选字段，旧配置/旧 lock 文件保持兼容
• 远端核验语义更严格，可能改变此前依赖错误肯定结果的脚本行为

验证

• 本地：391 passed, 1 skipped
• CI：3.11/3.12 全绿（含 coverage 门槛）
• Q2：7 轮独立审查，最终 PASS
• RRC：merge SHA 核验、wheel 构建、Q2 绑定全部通过

---

Tag / Release / 分支保护为人工作业。PRV 发布后验证按流程执行。