AgentSQL v1.5.0

AgentSQL v1.5.0

本版对达梦 DM8 Pack3（COMPATIBLE_MODE=0）、金仓 KingbaseES V9R1C10（PG 模式）和 Vastbase G100 V3.0 Build 9（PG 模式）的指定实例做了更深入的真实数据库验收。三款数据库各自通过最小权限只读查询、表级授权、手机号脱敏、规则拒绝、持久审计、策略和业务账号权限撤销、业务库断连后的失败关闭及恢复。

每款数据库均由 MCP Inspector 0.16.8 CLI 和 Dify 1.17.1 的实际 MCPClient 完成允许与拒绝调用，结果核对了掩码、规则 ID 和审计 ID。Dify 验证覆盖其客户端 SDK，不包含可视化工作流编辑器；Claude Desktop 未实测。

逐库真实查询超时/取消、同一厂商夹具中的独立审计存储故障、厂商 HA、TLS、长时负载、跨版本兼容及正式生产许可尚未完成验证。当前结论严格限于上述版本、模式、合成数据和受控只读 SQL 子集，不声明完整生产支持或厂商认证。详情见设计、发布说明和验收记录。

v1.4.0 正式包到 v1.5.0 已验证 SQLite 与 PostgreSQL metadata/audit 分库迁移检查、持久数据保留和成套备份恢复。本版不改变 schema；旧 v1.4.0 包的只读迁移检查仍为 current，实际回滚仍需停流、备份和检查配置。发行物包括 linux/amd64 与 linux/arm64 安装包、SPDX SBOM、provenance、SHA256SUMS 和 Ed25519 分离签名；请固定精确版本并验签。

官网、下载资料、GHCR latest、GitHub Latest Release 和公网 Demo 已从 v1.0.0 直接切换到 v1.5.0。公网 Demo 的允许、拒绝、掩码与审计烟测通过；官网 23 项公网检查和三份 PDF 下载校验通过。GHCR latest 与精确版本镜像使用同一已验收双架构 digest sha256:49b2a78ad11428c21a1f7c0c6314341ef425429d14594a084d18fd5873ef72c7，匿名拉取通过。切换前的 Demo 数据与官网版本均保留，具体路径和结果见验收记录。

AgentSQL v1.4.0

AgentSQL v1.4.0

本版把 PostgreSQL metadata 部署中的控制台密码和 LDAP 登录尝试次数改为跨网关共享预算。每个规范化租户及账号在首次尝试后的 60 秒内最多 10 次；多个节点在数据库事务中共同裁定。账号预算键以部署密钥计算 HMAC，不保存账号明文。metadata 故障返回 503，预算耗尽返回 429；SQLite 单节点继续使用本地预算。

共享 metadata/audit 的双网关、独立业务数据库已完成并发登录、一节点退出、审计库故障与恢复、结果交付、审计链和 outbox 状态演练。v1.3.0 正式包到 v1.4.0 的 SQLite 与 PostgreSQL metadata/audit 分库升级、只读迁移检查、旧版本启动保护及备份恢复均已通过；Go、Web 和 govulncheck CI 全绿。

SQLite 及合并 PostgreSQL metadata schema 从 21 升至 22，分离 PostgreSQL metadata 从 20 升至 21，audit-only 保持 6。升级前应停流并成套备份；v1.3.0 和 v1.4.0 节点不可混合承接登录。双节点须使用相同的部署密钥与配置、不同的实例身份。部署与升级细节见 部署文档。

发行物提供 linux/amd64 与 linux/arm64 包、SPDX SBOM、provenance、SHA256SUMS 与 Ed25519 分离签名。请固定 v1.4.0 精确版本并验签。其他数据库的支持级别不因本版提升；支持边界和证据见 发布说明与验收记录。

按照分阶段发布计划，官网、公网 Demo 和 GHCR latest 保持 v1.0.0，完成 v1.5.0 后统一更新。主、Demo 和 quickstart 镜像使用 v1.4.0 精确标签。

AgentSQL v1.3.0

AgentSQL v1.3.0

本版增加默认关闭的 MySQL 8.0/8.4 单表 InnoDB SELECT 列授权子集。明确列投影、受限谓词、排序和有界行数可在列权限与掩码下执行；JOIN、视图、生成列、函数、子查询等未证明语法在执行前拒绝。既有无列策略 MySQL 路径、PostgreSQL B2 和其他数据库的支持口径不变。

策略登记分两次真库发现与持锁复核；运行请求在只读事务中用 metadata lock 与 InnoDB TABLE_ID 绑定对象，逐列验证权限和脱敏，执行原 SQL 后完成 Fpost、持久审计和最终控制面 fence。业务账号要求最小 SELECT 权限，另用 PROCESS-only 元数据账号读取表身份；缺少任一身份或校验失败均拒绝交付。

MySQL 8.0.46 和 8.4.11 隔离真库已通过允许、脱敏、缺权拒绝、持久审计、DDL 竞争、同名表重建、权限撤销、故障关闭和真实 HTTP MCP 调用。正式包从 v1.2.0 的 SQLite 与 PostgreSQL metadata/audit 分库完成升级、只读迁移检查及备份恢复。Go、Web、govulncheck CI 全绿。

发行物含 linux/amd64 与 linux/arm64 包、SPDX SBOM、provenance、SHA256SUMS 及 Ed25519 分离签名；15 项资产已经逐项校验。部署请固定 v1.3.0 精确版本并验签；本版不代表 MySQL 所有 SELECT 或所有 8.x 版本均已获得完整生产支持。支持边界、配置、测试证据见 发布说明、验收记录和部署文档。

按既定分阶段发布计划，官网、公网 Demo 和 GHCR latest 继续保持 v1.0.0，完成 v1.5.0 后统一切换。v1.3.0 的主、Demo 和 quickstart 镜像使用精确版本标签。

AgentSQL v1.2.0

AgentSQL v1.2.0 正式发布说明

范围

v1.2.0 增加可选的 MCP OAuth 受保护资源入口 /mcp/oauth，面向 MCP 2026-07-28 的无状态 HTTP 调用。原 /mcp 和 /mcp/2026-07-28 入口保留。新入口要求外部授权服务器签发面向精确资源 URI 的 RS256 JWT Access Token，同时要求独立的 Agent Key 请求头。用户映射、租户和 query.execute 权限每次请求重新核验，Agent 权限不因 OAuth 增加。

本版限定同一个已启用的控制台 OIDC issuer 和租户，不声称支持任意授权服务器、Opaque Token、所有签名算法或动态客户端注册。客户端负责 PKCE、resource 参数和 IdP 客户端注册。具体实测组合与拒绝矩阵以验收记录为准。

配置与兼容

mcp.oauth.enabled 默认为 false。启用时配置 issuer_url、resource_url、tenant_id 和单个 required_scope；issuer 与 tenant 必须匹配 auth.oidc。生产 URI 使用 HTTPS，本地回环测试可用 HTTP。OAuth Access Token 放在标准 Authorization: Bearer，Agent Key 放在 X-AgentSQL-Agent-Key。控制台会话令牌和旧人员委托令牌不可替代 OAuth Access Token。

本版未修改数据库 schema。SQLite 与 PostgreSQL 元数据/审计分库已使用正式候选包完成 v1.1.0→v1.2.0 升级、备份恢复和检查。数据库支持级别不因本版改变。

前端构建所用的间接依赖 source-map-js 更新至 1.2.2；本版锁文件经 npm audit 检查为 0 项漏洞。

发布节奏

本版独立 tag、正式 GitHub Release 与精确版本镜像。按既定计划，官网、公网 Demo 与 GHCR latest 到 v1.5.0 完成后再同步；本版部署须使用 v1.2.0 的精确标签和验签资产。未完成的验收不写作通过。

验收摘要

• 主分支 CI 39056146122 全部通过，含 Go、Web、安全检查。
• Keycloak 26.4.6 与 MCP Inspector 2.11.0 完成 OAuth 授权码/PKCE、真实 MCP 调用、脱敏允许和拒绝审计。
• Dify 1.17.1 完成旧入口真实工作流回归。
• 正式包通过 SQLite 与 PostgreSQL 分库升级及恢复；发行物经 Ed25519 验签和 SHA256SUMS 验证。
• 精确版本 GHCR 镜像面向 linux/amd64 与 linux/arm64；官网、公网 Demo 与 latest 仍保持 v1.0.0，待 v1.5.0 统一更新。

AgentSQL v1.1.0

AgentSQL v1.1.0

本版将 MCP 的用户+Agent 双身份约束延伸至审批与 B5 跨请求事务，新增委托令牌单独撤销和控制台登录限流。设计、适用范围和迁移说明见仓库中的 docs/v1.1.0-design.md、docs/release-notes-v1.1.0.md。

核心变化

• 审批申请记录原委托用户并纳入 HMAC seal；执行时在数据库原子领取条件中校验租户、Agent 和申请用户。错误用户和旧单 Agent 请求不会消耗委托审批单。
• B5 会话 principal 绑定已验证的用户、Agent、租户，跨请求 continuation、计划摘要与 DML grant 保持同一身份。无法证明身份、权限、审计或数据库状态时拒绝写入。
• 新委托令牌支持单独撤销；v1.0.0 无 JTI 的令牌在原剩余有效期内兼容。密码和 LDAP 登录按租户/账号做单实例限流。

验收

• 封板提交：b698f818a4e0d9189ddce3776d910a5b77b64b9d。PR #11 和该提交的 主分支 CI 均通过 Go、Web、govulncheck。
• PostgreSQL 真库审批、B5 委托身份正反例通过；MCP Inspector 2.11.0 与 Dify 1.17.1 真实客户端调用验证通过。
• 使用 v1.0.0 正式包备份及本版正式包验证 SQLite 20→21、PostgreSQL 分库 metadata 19→20/audit 6；Agent、审批记录保留，回退快照可由 v1.0.0 migrate --check 识别。
• 15 项正式资产含 amd64/arm64 安装包、SHA-256、SPDX SBOM、provenance 和 Ed25519 签名；三份签名及完整资产集合已校验。

部署与版本节奏

升级前请成套备份 metadata/audit 数据库、配置与 AGENTSQL_SECRET，先做迁移预检并在目标环境复测。此版不扩大 DM8、KingbaseES、Vastbase 或 MySQL 的生产支持声明。

按已确认的分阶段计划，官网、公网 Live Demo、GHCR latest 暂时保持 v1.0.0；部署 v1.1.0 请使用本页精确版本资产或 ghcr.io/cuipengdba/agentsql:v1.1.0（Demo 与 quickstart 使用对应精确标签）。v1.5.0 完成后再同步官网和 Demo。

AgentSQL v1.0.0

AgentSQL v1.0.0 发布说明

v1.0.0 收紧列级授权失败关闭，新增可选的 HTTP MCP 人员委托身份，并把设计、验证、发布、官网和 Live Demo 固定为每版交付流程。此版本不增加数据库类型，也不扩大国产数据库的生产支持声明。

新增与变更

• 配有列级策略的 SELECT 不再退回表级授权路径。PostgreSQL 必须由已启用且可用的 B2 绑定器验证投影、谓词、JOIN/自连接等列引用；B2 不可用时执行前拒绝并写审计。MySQL、Vastbase 等没有等价证明的方言仍不支持列策略。
• 新增可选 mcp.delegation.require_human_token: true。HTTP MCP 请求同时使用 Agent API Key 和短时、指定 Agent 的人员委托令牌。控制台登录令牌不能直接用于 MCP；委托令牌也不能调用控制台 API。用户退出、停用或失去 query.execute 后，委托立即失效。
• 控制台「任务授权」页在启用该模式时提供人员令牌签发与一次性展示；签发写管理审计，审计不可用时不返回令牌。MCP 流量审计的 details_json.delegated_user_id 标明经验证的用户 ID；已有 Agent 和任务授权 ID 仍保留。
• 有状态 MCP 会话绑定 Agent 与人员双身份，换人必须重新初始化；无状态入口逐请求验证。双身份模式下 B5 工具、request_approval 和 execute_approved 暂不开放完整人员归属链路，故关闭。普通模式维持原工具行为。
• 权限页在列策略存在时展示 B2 与方言的执行边界；离线预检仍只给出拒绝或未知，不是允许执行的证明。

升级与兼容

• 本版无新增元数据库迁移。仍要先备份 metadata、audit 和配对的 AGENTSQL_SECRET，使用 agentsqlctl migrate --check 检查后升级；恢复时使用升级前成套备份。
• 人员委托默认关闭，不影响旧客户端。启用后 HTTP MCP 每次请求都必须加 X-AgentSQL-User-Authorization: Bearer <人员委托令牌>；控制台须开启。先由已登录且有 query.execute 的用户调用 POST /api/v1/auth/delegation-token，提交 {"agent_id":"..."} 取得令牌。令牌最长 30 分钟，不能续期；到期后重新签发。客户端需能发送自定义 HTTP 头。
• 旧部署中若设置了列策略但显式关闭 PostgreSQL B2，相关 SELECT 会从可能的表级放行改为失败关闭。升级前应检查列策略、B2 就绪状态和目标查询；不能为了恢复查询而移除必要的列约束。

明确边界

• 人员委托只证明 HTTP MCP 请求中的人员身份与当前查询权限；Agent Key、数据库账号最小权限、SQL 策略、脱敏和审计仍各自生效。它不等同 OAuth 第三方令牌交换。委托令牌进入可信客户端凭据配置，不能放入日志或公开 Demo。
• 有状态会话在换人后重新初始化；跨请求审批执行和 B5 计划事务在委托模式下关闭，直到其完整双身份审计合同得到验证。stdio 沿用本地 Agent Key 合同。
• PostgreSQL B2 适用的 SQL 形状仍以现有绑定器能力为限。MySQL 的列级绑定、国产数据库复杂 JOIN/TLS/HA/负载及真实客户环境尚未取得新版证据；数据库支持级别维持原档。
• 正式 CI、资产签名、GHCR 摘要、真实 MCP 客户端、官网和 Live Demo 的证据以 v1.0.0 验收记录与 GitHub Release 正文为准。未通过的闸门不能写成已交付。

发布验收证据

• 封板提交：8659f391dfa4b60766796722e433c5c1e7572ccd；PR #9 与 main 同提交 CI 的 Go、Web、govulncheck 全绿。
• 双架构 Linux 包、SPDX SBOM、provenance 和安装器共 15 项资产；受控 Ed25519 公钥 ID sha256:771e8b179a031f0e3ac3e09576979532808e39f5f2e6da9d103ddf24c91d6868。SBOM、provenance、SHA256SUMS 三份签名已独立验签，15 项资产来源与 SHA-256 校验通过。
• 使用 v0.9.0 正式包和 v1.0.0 签名包完成隔离升级与成套恢复：SQLite 合并库 schema 20→20→20，旧任务授权保留；PostgreSQL 分库 metadata 19→19→19、audit 6，管理审计 outbox 核对 3 条事件。
• 发布前真实客户端：MCP Inspector 2.11.0 的两个 HTTP 入口和 Dify 1.17.1 工作流均完成允许、拒绝、脱敏与审计验收；DM8 Pack3、KingbaseES V9 PG 模式、Vastbase G100 Build 9 通过指定环境有界回归。详细边界见 验收记录。
• 公共 GHCR 精确标签均为 linux/amd64 + linux/arm64：主镜像 sha256:b7972bda72cd988aab4a6b1557f2d42ea1cfb7c96a62c12dce96dd589916a6ed；Demo sha256:732a97bce1b5478a6edb07cd460632e00731eaf027444bfeb4d7b2133f6eddd1；quickstart sha256:b9159aade9b4fbdb01222cc0eb820493c5f88b73a66baddfec23ce3c2e0c9f50。三标签六次无凭据拉取的版本与 OCI revision 均通过；主镜像的健康、就绪、匿名拒绝和管理登录隔离烟测通过。

公网交付与最终验收

最终验收记录通过 PR #10 在发布后补录；文档合并提交的 main CI 的 Go、Web、govulncheck 全绿。这份文档更新未改变 v1.0.0 tag 或发布二进制。

• 官网 已切换至 v1.0.0，发布目录 /var/www/agentsql/releases/20261017T100822Z；公网 23 项静态/TLS/安全响应头检查全部通过。主页、CSS、JS、分享图和三份 v1.0.0 PDF 的公网 SHA-256 与封板 tag 内容一致；三份 PDF 与 tag 内手册重新构建结果逐字节一致。
• Live Demo 已切换至 ghcr.io/cuipengdba/agentsql:v1.0.0-demo。先对 v0.9.0 SQLite 数据建立隔离候选副本并完成 schema 20 迁移、健康、允许/拒绝/脱敏/审计测试，然后切换公网并复测；公网 R010 拒绝与手机号脱敏通过，审计 ID 312–315 可复核。升级前备份保存在服务器 /opt/agentsql-demo/cutover-v100-20261017T100354Z。
• 官网与 Demo 均通过后，ghcr.io/cuipengdba/agentsql:latest 才从 v0.9.0 提升至本版主镜像摘要 sha256:b7972bda72cd988aab4a6b1557f2d42ea1cfb7c96a62c12dce96dd589916a6ed；使用全新无凭据 Docker 配置分别拉取 linux/amd64、linux/arm64，版本 v1.0.0 和源提交 8659f391dfa4b60766796722e433c5c1e7572ccd 均通过。
• 本次真实客户端、国产数据库和升级演练使用上述指定实例及合成数据。DM8、KingbaseES、Vastbase 的复杂负载、HA、TLS 和真实客户环境仍未作完整生产验收。

AgentSQL v0.9.0

AgentSQL v0.9.0 发布说明

v0.9.0 聚焦临时任务 Key 的使用预算、管理审计投递可观测性和策略变更前的离线解释。数据库适配分档沿用 v0.8.0 的证据边界；本版不把任何协议兼容路径升级为完整生产支持。

新增与变更

• 新申请的任务级只读 Key 默认最多返回一次结果，可在申请时设置 1–10 次。申请、审批、签发、查看与撤销流程展示预算及已用次数。授权在执行前检查余量，在持久审计后、结果返回前以元数据库的条件更新原子扣减；并发跨实例最多放行预算内的结果。传输失败或进程异常时已经扣减的次数不退还。v0.8.0 及更早创建、未设置预算的授权维持原有效期与撤销语义。
• 分库审计部署的总览页展示当前租户管理审计 outbox 的待投递数、重试数和最老等待时间。超过 60 秒或存在重试显示延迟，超过 5 分钟显示严重积压；状态读取失败明确报错。它不替代流量审计库的就绪检查和持久审计门禁。
• 权限页新增 SQL 策略离线预检：读取当前已保存的 Agent、数据源、表策略并复用静态规则。只返回可证明的拒绝或“尚不能确认允许”，列出相关策略 ID；不连接业务库、不执行 SQL、不写流量审计。列级绑定、动态规则、视图/函数副作用和业务库状态仍须通过真实网关与 MCP 客户端验收。
• PostgreSQL/MySQL 敏感派生输出负向用例扩展到 COALESCE、NULLIF、MD5 等表达式，并继续覆盖函数、聚合、CTE、UNION 和视图等已实现的来源追踪与失败关闭路径。结果层脱敏仍不是完整 DLP；数据库账号最小权限、列级授权和安全视图仍是必要边界。
• 公开 Demo 的健康探针不再回显演示管理员登录凭据。隔离演示环境的登录配置接口继续向登录页提供公开演示账号，以保留自动填充；非 Demo 部署不返回该字段。

升级与兼容

• SQLite 合并库 metadata schema 从 19 升至 20；独立 metadata 的 SQLite/PostgreSQL 从 18 升至 19；audit-only schema 保持 6。新字段为 max_uses（可空）及 used_count（非空、默认 0）。旧授权的空预算表示不限次，避免升级时意外失效。
• 升级前停止写入，成套备份 metadata、audit（如分库）及配对的 AGENTSQL_SECRET；运行 agentsqlctl migrate --check，升级后再次检查。回退必须恢复升级前的成套备份，不能用旧程序直接打开新版 schema。
• v0.8.0 客户端创建新申请时若省略 max_uses，v0.9.0 会赋默认值 1。同一幂等键重放 v0.8.0 时代未设置预算的旧申请，可能得到内容冲突；应用应读取原申请并使用新幂等键提交新的有预算申请。

明确边界

• 预算限制的是向 MCP 客户端返回结果的次数，不阻止预算内并发请求先发起只读查询；最终返回前原子扣减。一次已审计结果在网络断开后可能消耗一次预算。
• 总览 outbox 统计按管理登录租户隔离，只覆盖待投递管理审计，不表示外部通知 Webhook/Syslog 的投递状态。
• 离线预检不产生“允许执行”结论，也不包含待提交策略变更；真实权限、执行、脱敏与审计仍以网关执行时的当前状态为准。
• DM8、KingbaseES V9 和 Vastbase G100 的能力仍限于已记录的指定实例、模式、合成数据和有界用例，不代表厂商认证、跨版本兼容或生产负载支持。

正式资产、同提交 CI、双架构 GHCR、官网及 Demo 的验收结果以 v0.9.0 GitHub Release 和验收记录为准。

发布验收证据

• 封板提交：4d723648a0db1ea3b372e62697a2aad841989e1e；PR #8 与 main 同提交 CI 的 Go、Web、govulncheck 全绿。
• Linux amd64/arm64 正式包、SPDX SBOM、provenance 和安装器共 15 项资产；受控 Ed25519 公钥 ID sha256:771e8b179a031f0e3ac3e09576979532808e39f5f2e6da9d103ddf24c91d6868。SBOM、provenance、SHA256SUMS 的三份签名均独立验签；GitHub Release 草稿全部资产回下载后，15 项字节一致、三签名再验证通过。
• 使用 v0.8.0 正式签名包完成升级与成套恢复：SQLite metadata 19→20→19，PostgreSQL 分库 metadata 18→19→18，audit-only 保持 6；旧任务 Key 保留，分库管理审计 outbox 复核 3 条事件。
• 公共 GHCR 精确标签均为 linux/amd64 + linux/arm64：主镜像 sha256:aa35e545b029879a7d1310f12fe84ebcd36672e18d8cef11e42d9b6473d1278d；Demo sha256:2ff8c1a16ebcf8acc1c7f660468e2209d36fa07098e4e6b5643409f4f72e6a76；quickstart sha256:aab93f9125e39c43b7855074f320d281972155712d4f527412e335850e7b839e。三标签六次无凭据拉取、版本与 OCI revision 均通过；主镜像独立健康、就绪和管理登录烟测通过。
• Live Demo 独立数据卷先行试升级，再备份正式数据与 Compose 切换到 v0.9.0-demo。公网 /healthz 报告 v0.9.0、metadata schema 20；真实 MCP 查询返回 2 个脱敏单元，显式拒绝表返回 R010，两次均有持久审计（ID 305/306）；健康探针不含演示管理员凭据。
• 发布前指定环境：Dify 1.17.1 工作流、MCP Inspector 2.11.0 两入口，以及 DM8 Pack3、KingbaseES V9 PG 模式、Vastbase G100 Build 9 均完成文档界定的有界验证。细节和未测边界见 验收记录。- 官网 已部署 v0.9.0 内容，远端发布目录 /var/www/agentsql/releases/20261016T203531Z，旧目录保留为回退点；公网静态验收 23/23，通过同源资源、安全响应头、跳转和 3 份 PDF 检查。三份 PDF 与封板文档在隔离目录重建后的字节完全一致。
• GHCR latest 已提升到主镜像 digest sha256:aa35e545b029879a7d1310f12fe84ebcd36672e18d8cef11e42d9b6473d1278d；无凭据环境的 amd64/arm64 匿名拉取、版本 v0.9.0 和 revision 4d723648a0db1ea3b372e62697a2aad841989e1e 均通过。

AgentSQL v0.8.0

AgentSQL v0.8.0

v0.8.0 将任务级临时只读 Key 升级为“申请 → 异人审批 → 原申请人一次性领取”。审批者核对精确 SQL；现有 v0.7.0 Key 按原到期与撤销规则继续生效，旧直接签发 API 返回 HTTP 410。新版还改善了 MCP 工具 schema 兼容性、控制台审计关联与接入排障。

升级与回退

从 v0.7.0 升级前，应停止写入并成套备份 metadata、audit（若分库）和配对的 AGENTSQL_SECRET。SQLite 须用一致性备份，不得只复制未合并 WAL 的主文件。先运行新版 agentsqlctl migrate --check，再显式迁移并检查健康、MCP 允许与拒绝、脱敏及审计。生产配置保持 auto_migrate: false。回退时先停止新版，恢复升级前数据库和密钥，再启动 v0.7.0；旧版不能直接读取新版 schema。

验收证据

• 封板提交：a1c1344f6ad664d9c87d653876f7d91a6403770e；同提交的 GitHub Actions CI Go、web、govulncheck 均通过。
• 功能：隔离 Dify 1.17.1 工作流和 MCP Inspector 2.11.0 的真实调用覆盖允许、拒绝、脱敏和持久审计；Inspector 在 /mcp 与 /mcp/2026-07-28 均通过严格工具 schema 校验。双账号控制台完成申请、异人审批、一次性领取与授权 ID 审计走查。
• 数据库：DM8 Pack3、KingbaseES V9R1C10、Vastbase G100 Build 9 仅在指定实例、协议模式和合成数据下做有界复验；不表示全版本、真实客户环境或完整生产支持。Claude Desktop 未做登录后的 GUI 实测。
• 正式资产：15/15 项，本地签名与草稿回下载的三份 Ed25519 验签均通过，15 项字节相同；正式公开后再次匿名下载 15 项，字节与三份 Ed25519 签名复验均通过。受信公钥 ID sha256:771e8b179a031f0e3ac3e09576979532808e39f5f2e6da9d103ddf24c91d6868；SHA256SUMS 的 SHA-256：27e9588ac3fc66ee7878438753d8305f191dca8686240696a36221b21c616bd0；provenance 指向封板提交且 dirtyAtBuild=false。
• SQLite v0.7.0 → v0.8.0 → 恢复 v0.7.0：PASS；正式签名资产 schema 18 → 19 → 恢复 18，旧授权与旧 Key 的 MCP 认证保留。
• PostgreSQL metadata/audit 分库 v0.7.0 → v0.8.0 → 恢复 v0.7.0：PASS；metadata 17 → 18 → 恢复 17，audit 保持 6；3 条新管理审计经 outbox 投递，恢复 v0.7.0 后旧授权仍可读。
• GHCR 精确标签（公开、双架构、匿名拉取与 OCI revision 验证）：PASS；三个精确标签均 public，匿名拉取覆盖 amd64/arm64，二进制版本和 OCI revision 与封板提交一致，主镜像隔离运行时烟测通过。主镜像 sha256:6e7572cb9d5f6039628bd0e935b633e407005e0e8d87bf15080ad80d9c320461；Demo sha256:eed3617fbc01e741bc7bb86fdd2704c889d1a990405352a0d5d982ef2d035eca；Quickstart sha256:4cabb61239048db099a418317945adb0314af393047d7acb9695c1394c6304e2。
• latest：官网验收后提升，匿名查询与 amd64/arm64 拉取复验通过；摘要与 v0.8.0 主镜像相同：sha256:6e7572cb9d5f6039628bd0e935b633e407005e0e8d87bf15080ad80d9c320461。
• 官网与 PDF：v0.8.0 静态站已部署，外网及安全检查 23/23 通过；三份版本化 PDF 从封板提交重建并完成字节比对。官网部署目录 /var/www/agentsql/releases/20261016T160214Z。独立演示源仍为旧版本，不作为 v0.8.0 后端验收证据。

详细变更与限制：发布说明、验收记录、部署指南。

AgentSQL v0.7.0

AgentSQL v0.7.0

本版增加独立的 MCP 2026-07-28 无状态 HTTP 入口、任务级临时只读授权、只读迁移预检和控制台接入检查。原 /mcp 与 stdio 入口保留。任务 Key 绑定一个 Agent、一个数据源、一条完全匹配的简单 SELECT，最长有效期 24 小时，可撤销；原有对象权限、规则、脱敏、只读数据库账号及持久审计仍逐次生效。

升级与回退

升级前停止写入，备份 metadata、audit（若分库）及配对的 AGENTSQL_SECRET；先执行 agentsqlctl migrate --check，再由迁移负责人显式执行 migrate，随后核验 /readyz、MCP 和审计。旧版不能直接读取 v0.7.0 的新 schema。SQLite 合并库恢复成套备份后可运行 v0.6.0；PostgreSQL metadata/audit 分库恢复两库及配对密钥后使用 v0.6.1。原 v0.6.0 分库服务有启动时管理审计路由缺陷，不能作为该拓扑的回退目标。具体生产部署应在目标环境演练成套备份和恢复。

验证范围

• Dify 1.17.1 与 MCP Inspector 0.16.8 的真实 GUI 调用在兼容入口 /mcp 完成允许查询、手机号脱敏、R010 越权拒绝，并分别匹配四条持久审计。新 /mcp/2026-07-28 的验证是 Go SDK 协议测试，尚未在这两款 GUI 中实测。
• 隔离 PostgreSQL 真库覆盖任务 Key 的签发、精确授权、原策略约束、脱敏、撤销与审计；DM8 Pack3、KingbaseES V9R1C10 和 Vastbase G100 Build 9 进行了有界数据库链路复验。结果不代表真实客户环境、厂商认证或所有数据库“完整生产支持”。
• 封板源码提交：48e27a99f6b0ce1d4f38668fcd11fb6378d0463e；同提交 CI：GitHub Actions run 38838179289。
• 正式资产：15/15，公开回下载逐项 SHA-256 与三份 Ed25519 签名验证退出 0；受信公钥 ID sha256:771e8b179a031f0e3ac3e09576979532808e39f5f2e6da9d103ddf24c91d6868；SHA256SUMS 自身 SHA-256：f2a528f41f8d564d69e57126e74cb3e3833f5ec0b3abc52c0c0e04ed2cc6af8a。provenance.json 指向上述提交，dirtyAtBuild=false。
• 正式包回退复测：SQLite v0.6.0 → v0.7.0 → 恢复 v0.6.0 PASS（14 项检查，退出码 0）；PostgreSQL metadata/audit 分库 v0.6.1 → v0.7.0 → 恢复 v0.6.1 PASS（31 项检查，退出码 0）。两项均使用隔离实例和成套备份，不代表客户环境验收。
• 公开 GHCR 三个精确标签均完成匿名 linux/amd64 与 linux/arm64 拉取、OCI revision 与封板提交核对及运行时烟测：v0.7.0 为 sha256:611e4c31c5c36dc56e06df92928413451483e773d8f948c7b798a72101a182c4，v0.7.0-demo 为 sha256:c5f6b3926e72686c4b30245ae38a6020555d4e4a66813d4f3fb57381dd4978d6，v0.7.0-quickstart 为 sha256:419911227dbe38254651d428378ec7cef89182f5fd47c79d30bc8847dc90c483。
• ghcr.io/cuipengdba/agentsql:latest 已提升至 v0.7.0，与正式主镜像顶层 digest 完全一致；提升后再次以无凭据 Docker 配置拉取并运行 amd64、arm64，均报告 v0.7.0 和封板提交。

官网 agentsql.cn 已于 2026-10-16 部署 v0.7.0；服务器和发布机各完成 23/23 项外网烟测，HTTPS、下载链接、关键静态文件及三份版本化 PDF 均通过，远端站点字节与封板源码一致。Claude Desktop 因没有可用账号未做 GUI 实测。

详细变更、验收边界和操作步骤见 docs/release-notes-v0.7.0.md、docs/v0.7-acceptance.md 及 docs/DEPLOY.md。

AgentSQL v0.6.1

AgentSQL v0.6.1

本维护版本修复 v0.6.0 在 PostgreSQL metadata/audit 分库时的管理审计路由。管理操作和流量操作现在写入 audit 库的 traffic 链；metadata 库仅保存 management_audit_outbox 待投递记录。管理 API 与 agentsqlctl chain --domain management 在分库配置下均查询 audit 库的 traffic 链；合并库继续使用 metadata 库的 management 链。

本版本不新增 migration。PostgreSQL 分库 schema 仍为 metadata 16、audit 6；数据库支持范围和其他功能承诺与 v0.6.0 相同。

升级与回退

从 v0.6.0 升级前，停止全部实例及控制面写入，协调备份 metadata、audit 两库，并保留配对的 AGENTSQL_SECRET 和配置。核对 schema 版本为 16/6 后，成套替换 v0.6.1 服务和 CLI；使用 store.auto_migrate: false 的部署需保持该设置。启动后验证 /readyz、管理审计落入 audit 库，并核对 outbox 投递。

作为后续 v0.7 分库回退基线时，必须同时恢复升级前 metadata 16、audit 6 的数据库备份及配对 AGENTSQL_SECRET，再启动 v0.6.1。仅替换二进制无法读取 v0.7 的 metadata 17 schema；恢复会丢失备份点之后的写入。原版 v0.6.0 的 PostgreSQL 分库服务存在启动时管理审计写错库的问题，不能作为该场景的已验证服务回退目标。

验证与下载

• 源码提交：5f0e2f2cdf444569aa85e3540d6f11849293e639。该提交的 GitHub CI 包含 Go、前端和 govulncheck，均通过。
• 已在隔离 PostgreSQL 18 metadata/audit 双库验证服务启动、管理审计落库、两库备份恢复与 v0.7 升级后回退；在 ACTIVE 审计链下，CLI 和 Admin API 的显式 management 验链均通过。
• 下载发布资产后，先按 VERIFYING-SIGNATURES.md 使用 ed25519-release-public-key.json 分别验证 SPDX SBOM、provenance.json 和 SHA256SUMS 的 Ed25519 签名，再核对归档哈希与适用架构。发布资产的 provenance 应指向上述源码提交。

详细升级步骤见仓库内的 docs/release-notes-v0.6.1.md。