v1.5.2 — 🔍 审计模块 · 对外面与判定语义

🔍 审计模块升级「对外可举证」——审计数据可查（audit_query 只读查询 + 事件订阅推送）、规则可导出（ruleset_export 机器可读 JSON 双向可逆）、证据可外验（verify-chain 零依赖独立验签器——第三方无需安装 sofagent 即可举证 HMAC 链）；判定语义补两头：开工前五问判定链（挂起非失败自动恢复）+ 结论失效语义（三触发标记失效，失效结论不当新证据）。

TL;DR (EN): The audit module goes externally provable — audit data queryable (read-only MCP audit_query + event subscription push), rulesets exportable (machine-readable JSON, round-trip reversible), and evidence externally verifiable (a zero-dependency standalone HMAC chain verifier — third parties can validate without installing sofagent). Decision semantics land on both ends: a five-question should-run gate before work starts and conclusion-invalidation semantics; plus egress governance (default-deny host allowlist), a pre-authorization mandate loop, and the DSH plugin npm debut. MCP tools 105→107. 5296 tests · 107 MCP tools · MIT.

⚡ Install / Upgrade

# 新装（五形态任选：FDE 插件 / Skill / MCP / CLI / GitHub Action）
curl -fsSL https://raw.githubusercontent.com/KongFangXun/sofagent/refs/tags/v1.5.2/install.sh | bash

# 已装用户升级到本版
npx @sofagent/audit@v1.5.2 --doctor

🔨 核心变更

🔍 审计数据对外（audit_query 只读 + 事件订阅）

• MCP audit_query：按时间 / 规则 / exitCode 过滤读 history，字节级只读不变量（查询前后 sha256 相等）
• 审计事件订阅推送：复用 webhook 通道，出站三态（PASS/WARN/FAIL）可订阅

📦 约束导出与证据链外部可验（ruleset_export + verify-chain）

• ruleset_export：24 条规则导出机器可读 JSON，与 --ruleset-path 加载格式双向可逆；每条带 rule_id / 意图 / 样例 / 级别元数据 + 版本号 + 内容指纹
• tools/verify/verify-chain.mjs：单文件零依赖独立验签器，裸 node 可跑；三态输出（链完整 / 断链定位条目号 / 链头不匹配）；decision-log 决策链双覆盖

🧭 should-run 五问判定链 + 结论失效语义

• 开工前五问（健康 / 人审 gate / 证据等待 / 专注等待 / 配额），任一不过挂起等待，条件满足自动恢复——挂起非失败
• 结论失效三触发（授权变更 / 压缩不兼容 / 风险升级）即标失效；失效结论从 fresh-eyes 输入 / HITL 依据 / KPI 统计下游过滤，原文保留不删

🌐 网络出口治理面（数据主权「管出」翼）

• host 白名单声明面：默认空全拒（opt-in，对齐 G10 读取审计模式）
• 出站裁决审计挂链 HMAC（与「管进」对称）；拦截器契约可导出（判定底座消费源）

🔐 事前授权补环（mandate）

• 动作执行前先领有限且可归属的授权（范围 + 时效 + 审批人，缺一不受理）
• 越界在执行前拦截并挂链留痕；复用 should-run 判定骨架，不新建第二套

🧩 DSH 插件 npm 首发面

• @sofagent/dsh-plugin-kit + 七款 cordis-plugin-sofagent-* 仓内可发布就绪（摘 private + files 白名单 + 包名依赖）；npm publish --dry-run 八包对账锚（S448）

🔒 BugFix（上版遗留）

• v1.5.1 发版后四轮审查修复批 35 条目收编：6 条安全 fail-open 收口（install.sh 供应链降级 / diff 解析假绿 / MCP_ROLES 静默回退 / config 签名 / A2 扫描盲区 / dashboard CORS）+ 文档面 17 条 + 元数据面 5 条
• 独立验证工具链加固：verify-chain 篡改注入回归、验证命令可证伪规范入档

✅ 质量验证

检查项	结果
npm test	5296 tests 全绿 ✅
acceptance-test	455/455 passed · SKIP: 0 · EXIT: 0 ✅
shellcheck	零 error ✅
check-version	138/138 全绿 ✅
回归检查	85 维度 ✅
release-gate	verdict=PASS ✅
fresh-eyes	12 视角审查闭环 ✅

⚠️ 破坏性变更

• MCP 工具数 105 → 107：新增 audit_query（审计数据只读查询）与 ruleset_export（规则集导出）
• 审计决策类型 DecisionKind 枚举扩展：新增 INVALIDATION（结论失效标记条目）
• install.sh 目标版本安装失败不再自动降级 @latest（供应链纪律 fail-closed，显式指引手动安装）

🔗 深入了解

想看什么	链接
全部变更明细	CHANGELOG
上手指南	HANDBOOK
有问题 / 晒场景	Discussions
npm 包	@sofagent/audit · 共 23 包（npm）

📖 详细开发日志