v3.36.0 (prerelease)

v3.36.0 — Node 安全运行时闸门与 2026-10 安全公告修复

本版是安全驱动发布。Node.js 2026-10-21 安全更新修复 10 个漏洞（含 4 个高危，修复版本 24.22.1 / 26.12.1）。天枢作为客户端，Brotli 解码器越界写入（CVE-2026-111497）是真实可达的远程攻击面：所有 HTTP 响应经 fetch 自动解压，web_fetch 抓取的任意 URL、用户配置的 API 端点、MCP 服务器与代理都可能投递恶意压缩流。

主要变化

• 运行时安全闸门：CLI 与桌面 sidecar 在 Node 低于 24.22.1（或 26.x 低于 26.12.1）时直接拒绝启动，并给出升级指引；桌面打包版缺失 bundled Node 时不再回退系统 Node。
• Node pin 升级到 24.22.1：覆盖 CLI、桌面端、Linux 容器与 Windows 打包链；ABI 不变（137），better-sqlite3 无需重编。
• 回归测试与文档：新增安全策略单测与缓存 marker 失效测试；Mac 打包手册与 provider-usage 同步。

升级注意

• 本版起，旧版 Node 无法启动 CLI 与桌面 sidecar。 升级前请先切换运行时（nvm use / fnm use，仓库 .nvmrc 已指向 24.22.1）。
• Node 22.x 不在支持范围（即使 22.23.4 已含本次修复）。
• 桌面端自带 runtime 会随安装包升级，无需单独安装 Node；CLI 用户需自备 24.22.1+ 或 26.12.1+。

安装提示

• macOS 未公证：首次打开请执行 xattr -cr /Applications/Tianshu.app。
• Windows 安装包未做 Authenticode 签名，SmartScreen 可能提示「更多信息 → 仍要运行」。
• 预发布：本版本为预发布通道，稳定通道仍为 v3.35.0；确认无问题后再晋升。