Release list

v1.7.0｜可审计治理、隔离客户端与真实证据加固 Latest

Latest

github-actions released this 18 Jul 09:36

v1.7.0

80b416e

v1.7.0｜可审计治理、隔离客户端与真实证据加固

发布范围

本版本在 v1.6.0 的 release quality gate 基础上，补足可重建技能索引、依赖/覆盖率审计和真实客户端运行边界；不移动历史 tag。默认安装稳定版仍由发布后核验更新。

主要更新

新增 schema=1 的 skills/registry.json、重建/查询工具及测试；当前单技能保持轻量，同时为未来 catalog 选择提供兼容 manifest。
新增 dependency inventory、全仓 tracked UTF-8 凭据模式扫描、stdlib trace line-coverage baseline，并把这些门放入双平台 quality workflow。
forward runner 的 fixture、probe 与 Agent 采用最小环境；env-file 拒绝 repo 内路径、链接回仓库和受控 runtime 变量。report-prefix、输出上限、Job Object/进程组边界继续 fail-closed。
Windows 仅对经 profile 控制的 .cmd 启动器等待同一 Job 中的真实子进程完成；普通父进程退出仍清理并报错，避免 wrapper 误杀与 orphan 放行同时发生。
默认真实运行只接受仓库外 env-file 凭证。已登录 Codex/Claude 另需 --execute --allow-unsafe-host-execution --allow-host-client-config；如本机需要代理，还需独立 --allow-host-network-configuration。这些路径不复制凭证、不继承其他宿主环境，代理值不会写入报告。

本地验证

python -m unittest discover -s .github/workflows/tests -p test_*.py -v
python -m unittest discover -s skills/tests -p test_*.py -v
python -m unittest discover -s tools/tests -p test_*.py -v
python -m unittest discover -s evals/production-delivery-orchestrator/tests -p test_*.py -v
python evals/production-delivery-orchestrator/run_evals.py
python evals/production-delivery-orchestrator/run_forward_tests.py --self-test
python tools/build_skill_registry.py --check
python tools/generate_dependency_inventory.py --check
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify
git diff --check

真实客户端证据与边界

Codex CLI 0.144.5 在 hardened runner 的三条 fixture 用户旅程均 PASS：受限修复、只读诊断、用户可见选项；skill artifact SHA-256 在执行前后相同，输出未截断。
Claude Code 2.1.212 已实际执行，不是 NOT_RUN。本机 OAuth 配置可见，但其用户配置/账户强制的 grok-4.5 与测试的 sonnet 都返回“无权限或模型不存在”；因此三案例没有产生行为通过结论。用户级模型设置已恢复原始备份。
Gemini CLI 0.51.0 probe 可用，临时 fixture 明确 --skip-trust，但未提供 API/Vertex 凭证，未启动 Agent。
所以本版本不声称三客户端行为全绿。发布后仅当每个启用 profile 的三例真实旅程均 PASS，才可将跨 CLI 矩阵标为通过。

回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.6.0 \
  --skill production-delivery-orchestrator --global --agent codex claude-code

发布后核验

下载 Release ZIP、SHA256SUMS.txt 和 provenance.json，执行 checksum、release/build_release.py --verify --expected-commit <tag-commit>、gh attestation verify 以及 tagged npx skills ... --list。把实际 run ID、digest 和下载复验写入当前状态页后，才将本版本描述为稳定发布。

Assets 5

v1.6.0｜发布门、进程边界与制品验证加固

github-actions released this 18 Jul 05:25

v1.6.0

3471ada

v1.6.0｜发布门、进程边界与制品验证加固

发布范围

这是 production-delivery-orchestrator 的安全与交付可靠性小版本。v1.5.0 保留为直接回滚版本；本版本不移动任何历史 tag。

主要更新

Release workflow 将 Ubuntu/Windows quality matrix 放入同一 tag workflow，只有 quality 成功后 publish 才会构建、attest 和创建 GitHub Release；默认 token 收敛为只读，仅 publish 获得必要写权限。
whitespace 检查按 PR base/head、push before/head 和 tag fallback 比较真实差异；新增 Actions SHA、最小权限和已知凭据模式治理测试。
forward runner 对 Windows 使用 Job Object，对 Linux 使用 subreaper + process group；timeout、持管道 orphan、关闭管道 orphan、setsid child/grandchild 均 fail-closed 并清理。stdout/stderr 总采集限制为 256 KiB。
三个评测 CLI 的 --report-prefix 只接受 portable filename；矩阵执行会在启动 Agent 前验证 profile suffix 后的完整文件名。
Release ZIP 验证限制成员数、单成员/总未压缩大小和压缩比，以 128 KiB 分块读取验证 raw/canonical hash。

验证

PYTHONUTF8=1 python -m unittest discover -s .github/workflows/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover -s skills/production-delivery-orchestrator/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover -s evals/production-delivery-orchestrator/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover -s release/tests -p "test_*.py" -v
python evals/production-delivery-orchestrator/run_evals.py --self-test
python evals/production-delivery-orchestrator/run_forward_tests.py --self-test
python evals/production-delivery-orchestrator/run_evals.py --report-prefix current-head
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify --expected-commit "$(git rev-parse 'v1.6.0^{}')"
git diff --check

本地证据：workflow governance 6/6、安装/盘点 25/25、Release builder 7/7；Windows eval/forward/matrix 49 项中 47 项通过、2 项 Linux 专用回归跳过，Ubuntu WSL 两项 subreaper 回归 2/2 通过。candidate 得分 100.0 且无 critical failures；known-bad 以预期非零退出被拒绝。synthetic harness、WSL 安全 stub 和离线 eval 不是实际 Agent 行为证明。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.6.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.5.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.5.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布后核验

tag CI 成功后下载 ZIP、provenance.json 与 SHA256SUMS.txt，执行 checksum、release/build_release.py --verify --expected-commit <tag-commit>、gh attestation verify 和 tagged npx skills ... --list。只有这些命令和 GitHub Release/Actions 都实际成功，才能把本版本描述为已发布。

Assets 5

v1.5.0｜新鲜证据完成门与最小实验

github-actions released this 17 Jul 16:36

v1.5.0

216dcaf

v1.5.0｜新鲜证据完成门与最小实验

发布范围

这是 production-delivery-orchestrator 的交付可信度小版本。它把已有的风险验证和候选根因流程收敛为两个可迁移、按需加载的明确规则：L1/L2/L3 新鲜证据完成门，以及“单一假设、最小实验、保留反证”的调试循环。v1.4.1 保留为直接回滚版本；不移动任何历史 tag。

主要更新

在 validation-contract.md 明确 L1/L2/L3 的比例化完成门：低风险 L1 只需当前差异对应的定向新鲜证据；L2/L3 再按实际风险增加接缝、兼容、权限、数据、并发、恢复和审查证据；
所有计入完成门的证据必须关联验收标准、操作/命令、结果、当前变更标识和失效条件；共享 Schema、测试、迁移或生产路径变化会使受影响旧证据失效；
在 discovery-contract.md 补充单一假设与最小实验：每次诊断记录支持/反证、候选集合、支持观察、证伪观察和停止条件；不具区分性的结果保留竞争候选；
新增三类离线案例和两项关键门禁。弱化验证或侦察契约后，fresh-evidence-completion-gate 或 single-hypothesis-minimal-experiment 必须失败。

验证

PYTHONUTF8=1 python -m unittest discover \
  -s skills/production-delivery-orchestrator/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover \
  -s evals/production-delivery-orchestrator/tests -p "test_*.py" -v
python evals/production-delivery-orchestrator/run_evals.py --self-test
python evals/production-delivery-orchestrator/run_evals.py --report-prefix latest
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify \
  --expected-commit "$(git rev-parse 'v1.5.0^{}')"
git diff --check

本地发布前证据：技能安装/扫描器测试 25 项、离线评测与 forward 安全测试 39 项、Release 构建器 5 项通过；candidate 100.0，critical failures 为空。离线评测和合成 harness 不调用真实模型，不是 Claude Code、Gemini 或 Codex CLI 行为证明。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.5.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.4.1：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.4.1 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布核验（待 tag workflow 完成后回填）

将记录 annotated tag、双平台 CI、Release workflow、附件 checksum/provenance 离线复验、GitHub attestation 和 tagged npx skills --list 的实际结果；
未获得这些远程证据前，不将本地构建或 checksum 描述为已发布、已证明或已签名。

Assets 5

v1.4.1｜修正发布验证说明

github-actions released this 17 Jul 16:23

v1.4.1

addbd0a

v1.4.1｜修正发布验证说明

发布范围

这是 v1.4.0 的文档证据修正补丁，不修改 production-delivery-orchestrator 的技能代码、契约、脚本或评测逻辑。v1.4.0 的发布说明把“技能安装/扫描器测试”误写为 23 项；实际结果为 25 项（安装器 20 项 + 扫描器 5 项）。

v1.4.0 tag 和 Release 保持原样，作为可回溯的历史记录；本补丁以新 tag 物化正确说明，不重写历史。

验证

PYTHONUTF8=1 python -m unittest discover \
  -s skills/production-delivery-orchestrator/tests -p "test_*.py" -v
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify \
  --expected-commit "$(git rev-parse 'v1.4.1^{}')"
git diff --check

本地基线：技能安装/扫描器测试 25 项、离线评测与 forward 安全测试 37 项、Release 构建器 5 项均通过；candidate 100.0，critical failures 为空。没有调用真实模型。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.4.1 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.4.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.4.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布核验（待 tag workflow 完成后回填）

将记录 annotated tag、双平台 CI、Release workflow、附件 checksum/provenance 离线复验、GitHub attestation 和 tagged npx skills --list 的实际结果；
因为技能目录未变化，ZIP 内容预期与 v1.4.0 一致；仍必须以本次 tag 的 provenance 与 attestation 核对提交来源，不能用内容相同替代版本来源验证。

Assets 5

v1.4.0｜自适应侦察、审查与测试证据

github-actions released this 17 Jul 16:16

v1.4.0

50404e1

v1.4.0｜自适应侦察、审查与测试证据

发布范围

这是 production-delivery-orchestrator 的能力增量版本：把可迁移但不能硬套的代码库扫描、两阶段规格/质量审查、核心逻辑测试先行与歧义路由做成按需契约。v1.3.0 保留为直接回滚版本；不移动任何历史 tag。

主要更新

新增 references/adaptive-delivery-contract.md：将代码库盘点、审查强度、测试证据和歧义处理收敛到一份按需契约；
新增可选 scripts/repository_inventory.py：只扫描受限数量的文件名，输出相对路径、语言/构建信号、入口/测试候选；不读取源码、不执行项目、不可作为硬依赖或完成门；
Deep 与高风险 Standard 在实现前执行规格审查、验证后执行质量审查；Quick 和普通 Standard 不生成空 Spec；
对核心业务逻辑优先测试先行；遗留、集成、迁移和文档任务允许 fixture、对账、受控运行或静态检查等可追溯的等价复现证据；
用可见结果、兼容/数据、外部影响、范围/证据四类定性风险维度路由歧义，不使用固定公式、伪精确分数或阈值；
新增离线门禁和四类案例；弱化自适应契约后 adaptive-rigor-routing 会失败，防止规则只停留在入口关键词。

验证

PYTHONUTF8=1 python -m unittest discover \
  -s skills/production-delivery-orchestrator/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover \
  -s evals/production-delivery-orchestrator/tests -p "test_*.py" -v
python evals/production-delivery-orchestrator/run_evals.py --self-test
python evals/production-delivery-orchestrator/run_evals.py --report-prefix latest
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify \
  --expected-commit "$(git rev-parse 'v1.4.0^{}')"
git diff --check

本地发布前证据：技能安装/扫描器测试 23 项、离线评测与 forward 安全测试 37 项、Release 构建器 5 项通过；candidate 评分 100.0，critical failures 为空。离线评测和合成 harness 不调用真实模型，不是 Claude Code、Gemini 或 Codex CLI 行为证明。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.4.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.3.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.3.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布核验（待 tag workflow 完成后回填）

将记录 annotated tag、双平台 CI、Release workflow、附件 SHA-256、离线制品复验、gh attestation verify 与 tagged npx skills --list 的实际结果；
未获得这些远程证据前，不将本地构建或 checksum 描述为已发布、已证明或已签名。

Assets 5

v1.3.0｜稳定多 Agent 协作与合并契约

github-actions released this 17 Jul 15:46

v1.3.0

dba7be6

v1.3.0｜稳定多 Agent 协作与合并契约

发布范围

这是 production-delivery-orchestrator 的协作能力小版本。它不要求任何 CLI 必须支持子 Agent；支持并行时提供稳定的所有权和合并边界，不支持时按同一模型安全串行降级。v1.2.1 保留为直接回滚版本。

主要更新

新增 references/collaboration-contract.md，父线程成为共享状态、计划、最终文档、跨模块验证和最终合并的唯一写入者；
子任务只允许并行执行只读侦察/审查，或拥有明确且互不重叠文件范围的实现/测试；
同一文件、公共契约、共享数据、迁移、锁文件、生成制品、版本/发布元数据和汇总文档必须由单一所有者串行处理；
子任务发现冲突时停止该范围写入并交回父线程重划分，不能覆盖邻近结果；
增加 multi-agent-safe-merge 评测，验证安全并行与父线程合并；把协作 contract 削弱为无所有权规则的文本时，新门禁会失败。

验证

PYTHONUTF8=1 python -m unittest discover \
  -s evals/production-delivery-orchestrator/tests -p "test_*.py" -v
PYTHONUTF8=1 python -m unittest discover \
  -s skills/production-delivery-orchestrator/tests -p "test_*.py" -v
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify \
  --expected-commit "$(git rev-parse 'v1.3.0^{}')"
git diff --check

本地验证基线：离线评测/forward 安全测试 36 项、安装器 20 项、Release 构建器 5 项均通过；离线 candidate 100.0，critical failures 为空。未调用真实模型。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.3.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.2.1：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.2.1 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布核验（2026-07-17）

Annotated tag：v1.3.0 → dba7be6cc2099c8baf12dd9b3707fe6f95ee9372。
双平台门禁：29593421927 成功；Ubuntu/Windows 都完成制品构建、评测、forward 安全、安装器与 whitespace 门禁。
Release workflow：29593507945 成功；tag/metadata/commit 强绑定、确定性 ZIP、attestation 和中文 Release 已完成。
GitHub Release：v1.3.0 为正式发布，附件为 ZIP、provenance.json 与 SHA256SUMS.txt。
ZIP SHA-256：177cbf55d05101e1447a2a06b8aab3184f1c4f22864806bc0c6e38a2a4b888eb；已下载三份附件，以 --expected-commit dba7be6cc2099c8baf12dd9b3707fe6f95ee9372 离线复验成功。

对下载的 ZIP 执行：

sha256sum --check SHA256SUMS.txt
gh attestation verify production-delivery-orchestrator-v1.3.0.zip \
  --repo lza6/Agent-skills-code-op

不要移动任何已发布 tag；需要后续调整时创建新版本和新的 attestation。

Assets 5

v1.2.1｜Provenance 核验闭环加固

github-actions released this 17 Jul 15:28

v1.2.1

45fe743

v1.2.1｜Provenance 核验闭环加固

发布范围

这是 v1.2.0 的发布治理补丁。技能内容、安装器参数、原生目标和桥接格式不变；v1.2.0 保留为直接回滚版本。

修复内容

Release 制品验证器现在会校验 provenance.json 的 metadata_sha256、artifact.file_count 与 commit 格式；
--verify --expected-commit <SHA> 可将 provenance commit 绑定到指定的 annotated tag 解引用提交；
tag 发布工作流将该预期 commit 传给构建器，因此 ZIP、checksum、provenance、元数据和 tag 提交在上传前必须同时一致；
新回归测试覆盖“攻击者重写 SHA256SUMS.txt 后再篡改 provenance commit、metadata hash 或 file count”的场景，不能再以自洽 checksum 掩盖声明字段篡改。

验证

PYTHONUTF8=1 python -m unittest \
  skills/production-delivery-orchestrator/tests/test_install_skill.py -v
PYTHONUTF8=1 python -m unittest release/tests/test_build_release.py -v
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify \
  --expected-commit "$(git rev-parse 'v1.2.1^{}')"
git diff --check

安装器共 20 项测试；Release 构建器共 5 项测试。该版本继续不调用真实模型或付费 API。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.2.1 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.2.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.2.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布核验（2026-07-17）

Annotated tag：v1.2.1 → 45fe7437cd84dc433a6b40e29fe2be0c110027d9。
双平台门禁：29592137411 成功；Ubuntu 和 Windows 都完成构建器、20 项安装器、5 项 Release 构建器、eval/forward 与 whitespace 门禁。
Release workflow：29592221435 成功；annotated tag、元数据、--expected-commit、确定性制品、ZIP attestation 和中文 Release 均已核验。
GitHub Release：v1.2.1 为正式发布，附件为 ZIP、provenance.json 和 SHA256SUMS.txt。
ZIP SHA-256：ee53bef30bec90fdb34ea02d4c64757b33c2db4c6c77c63fe3050830c1c7d985；已下载三份附件，并以 --expected-commit 45fe7437cd84dc433a6b40e29fe2be0c110027d9 完成离线复验。

对下载的 ZIP 执行：

sha256sum --check SHA256SUMS.txt
gh attestation verify production-delivery-orchestrator-v1.2.1.zip \
  --repo lza6/Agent-skills-code-op

不要移动 v1.2.0 或更早的 tag；如需继续修复，创建后续版本和新的 attestation。

Assets 5

v1.2.0｜可恢复安装事务与可证明的自动发布

github-actions released this 17 Jul 15:12

v1.2.0

03ad1d9

v1.2.0｜可恢复安装事务与可证明的自动发布

发布范围

v1.2.0 是 production-delivery-orchestrator 的运维加固版本。技能名称、目录结构、原生目标、项目桥接格式和既有安装参数保持兼容；v1.1.0 保留为直接回滚版本。

主要更新

1. 多目标安装成为可补偿事务

安装器在写入前预检全部原生目标与桥接文件，并为所有将修改的路径建立快照；
任一技能目录或桥接写入失败时，已写入的目标会逆序恢复，包括原有目录和规则文件内容；
进程异常中断会保留项目级或用户级 journal。使用原安装相同的 --scope、--project-dir、--targets、--bridges 和 --custom-bridge 参数加 --recover 可恢复未完成安装；
恢复前严格校验 journal schema、事务根目录、备份布局、路径边界和符号链接。journal 被篡改、备份缺失或路径越界时会失败关闭，不会触碰目标文件；
已提交但来不及清理的 journal 只清理自身备份，不会回退已成功安装的内容。

2. 版本和制品由机器可读元数据驱动

release/metadata.json 是版本、tag、回滚版本、兼容范围、Release 说明和 attestation 策略的单一来源；
release/build_release.py 以该元数据构建确定性的 ZIP、provenance.json 和 SHA256SUMS.txt，并可离线复核 ZIP 成员、manifest、canonical artifact hash 与校验和；
构建器使用跨平台的 UTF-8/LF canonical hash，并固定 ZIP 时间与文件顺序。相同输入、提交和元数据会得到相同三份制品。

3. GitHub Release 制品证明

精确三段 SemVer tag 会触发 .github/workflows/release.yml；工作流校验 annotated tag 与元数据匹配，构建并自验制品，创建中文 GitHub Release；
工作流使用 GitHub Artifact Attestations 为 Release ZIP 创建可验证的构建证明。下载 ZIP 后运行：

gh attestation verify production-delivery-orchestrator-v1.2.0.zip \
  --repo lza6/Agent-skills-code-op

本地的 ZIP、SHA256SUMS.txt 和 provenance.json 只提供完整性及来源核验；只有 GitHub workflow 的 attestation 步骤成功后，ZIP 才拥有 GitHub 签发的可验证构建证明。历史 v1.1.0 附件没有该证明，不应倒推为已签名。

本地验证

PYTHONUTF8=1 python -m unittest \
  skills/production-delivery-orchestrator/tests/test_install_skill.py -v
PYTHONUTF8=1 python -m unittest release/tests/test_build_release.py -v
python release/build_release.py --output-dir dist
python release/build_release.py --output-dir dist --verify
git diff --check

验收要点：安装器共 20 项测试，覆盖跨目标补偿、持久 journal 恢复、篡改 journal 的项目内/项目外路径、缺失备份、已提交 journal、显式恢复计划和悬空桥接符号链接；Release 构建器共 4 项测试，覆盖确定性、篡改阻断、元数据约束和与 forward harness 的 canonical hash 一致性。

安装、恢复与回滚

安装到 Codex、Claude Code 和通用 Agent Skills：

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.2.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

若 Python 安装在异常中断后报告未完成事务，先使用原安装的 scope 和项目目录恢复，再重新执行安装：

python skills/production-delivery-orchestrator/scripts/install_skill.py \
  --scope project \
  --project-dir /path/to/project \
  --targets all \
  --bridges all \
  --recover

回滚到 v1.1.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.1.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

发布者操作

在 main 上通过本地验证并确认工作树干净；
确认 release/metadata.json 的 tag 与本说明文件一致；
创建 annotated tag，例如 git tag -a v1.2.0 -m "release: v1.2.0" 并推送；
等待 release workflow 成功，再从 GitHub Release 下载 ZIP、checksum 与 provenance；
执行 sha256sum --check SHA256SUMS.txt 和 gh attestation verify，将实际 run URL、tag commit 和附件 SHA-256 回填到发布核验记录。

不要移动已发布 tag；需要修复时创建后续版本和新的 attestation。

发布核验（2026-07-17）

Annotated tag：v1.2.0 → 03ad1d944e5c176793995bcb3ef47f3db3ba4218。
Release workflow：29591153755 成功；其中元数据校验、确定性构建/复验、ZIP attestation 和中文 Release 上传均成功。
GitHub Release：v1.2.0，非 Draft、非 Prerelease；附件为 ZIP、provenance.json 和 SHA256SUMS.txt。
ZIP SHA-256：ee53bef30bec90fdb34ea02d4c64757b33c2db4c6c77c63fe3050830c1c7d985；已从 Release 下载三份附件并通过构建器离线复验。
gh attestation verify production-delivery-orchestrator-v1.2.0.zip --repo lza6/Agent-skills-code-op 返回成功；tagged npx.cmd -y skills add .../tree/v1.2.0 --list 发现唯一技能 production-delivery-orchestrator。

Assets 5

v1.1.0｜跨 CLI 行为证据矩阵与交付闭环加固

lza6 released this 17 Jul 14:14

v1.1.0

8666555

v1.1.0｜跨 CLI 行为证据矩阵与交付闭环加固

发布范围

这是 production-delivery-orchestrator 的功能性小版本。技能名称、目录结构、安装器参数和既有 v1.0.1 安装路径保持兼容；默认安装地址升级到 v1.1.0，v1.0.1 是直接回滚版本。

主要更新

项目规则桥接明确：面对模糊修复请求先侦察仓库和用户旅程；本地验证失败时在当前授权范围内继续诊断、修复和复验，不把可解决的失败交回用户。
新增 Codex CLI、Claude Code、Gemini CLI 的跨平台 forward-test profile 与矩阵 runner。Windows 使用 .cmd，Linux/macOS 使用无后缀命令，并以完整三段版本精确核对；预发布和构建后缀不会被当作已验证版本放行。
新增“用户可见重试策略存在实质歧义”场景，检查智能体能给出带推荐的结果选项，而不是先要求用户指定技术细节。
真实 Agent CLI 执行改为显式双确认：--execute --allow-unsafe-host-execution。runner 不把临时 fixture 伪装成 OS/容器沙箱，正式样本应在专用 VM、容器或测试账号中执行。
Agent 子进程改用临时 HOME/TMP 和最小环境，不继承宿主 API Key、云凭据或用户 HOME；需要凭据时只能通过 --agent-env-file 显式提供，报告会脱敏其值。
完整技能会复制到临时 Git fixture 中并纳入基线；任何 Agent 对副本的改写都会让行为样本失败。报告同时检查执行前后技能 artifact hash、临时路径和常见凭据脱敏。
CI 验证新的脚本语法、profile、probe-only 端到端路径和安全回归，但不会在 GitHub Actions 消耗模型额度。

兼容性与边界

没有数据迁移、公共 API 变更或技能目录重命名。
npx skills add、Python 安装器和项目桥接保持现有参数与行为；安装器只增加更清晰的侦察和失败续修路由说明。
静态评测、synthetic self-test 和本机 CLI 探测都不等价于真实模型行为通过。当前未创建新的真实 Claude Code、Gemini CLI 或 Codex CLI 样本。
历史 reports/forward-tests.json 绑定 v1.0.1 的技能 artifact；本版本会将该历史记录判为陈旧，而不是把它冒充为 v1.1.0 证据。

本地验证

在发布提交上实际执行：

python -c "from pathlib import Path; assert (Path('skills/production-delivery-orchestrator') / 'SKILL.md').is_file()"
python -m unittest discover -s skills\production-delivery-orchestrator\tests -p "test_*.py" -v
python -m unittest discover -s evals\production-delivery-orchestrator\tests -p "test_*.py" -v
python evals\production-delivery-orchestrator\run_evals.py --self-test
python evals\production-delivery-orchestrator\run_forward_tests.py --self-test
git diff --check

结果：技能结构校验通过；安装器 11/11；eval/forward 35/35；离线 eval self-test 通过；forward synthetic self-test 通过；未调用真实模型。

发布核验

Annotated tag：v1.1.0 → 866655588eb82fd0e1991d67d660a014181e319e。
Tag CI：29586872151；Ubuntu / Windows、Python 3.11 均为 success。
GitHub Release：v1.1.0，非 Draft、非 Prerelease；Release 是否 immutable 由 GitHub 仓库设置决定，本版本不将其描述为数字签名。
production-delivery-orchestrator-v1.1.0.zip SHA-256：9e4fd5bdf49bf1e43a2bdcbfd436090e8fd1fc710ebcff007ed72ab39b7b9628。
Canonical skill artifact SHA-256：fea2b78cdf112d1dc32cc37b4400cca99e63af0d6ebf4dab6853a47e28847ff7；包含 12 个普通文件。
已从 Release 下载 ZIP、provenance.json 与 SHA256SUMS.txt 后复算校验和；npx.cmd skills add .../tree/v1.1.0 --list 可发现该技能。

安装与回滚

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.1.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

回滚到 v1.0.1：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.0.1 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

Release 页面会附带版本化 ZIP、provenance.json 与 SHA256SUMS.txt。这些文件提供完整性核验和构建来源，不构成数字签名。

Assets 5

v1.0.1｜评测可移植性与发布链加固

lza6 released this 17 Jul 02:40

v1.0.1

9e8eb8c

v1.0.1｜评测可移植性与发布链加固

这是 production-delivery-orchestrator 的补丁版本，重点修复跨 CLI 安装说明、跨平台评测指纹、审计事实口径和可复现发布链。没有数据迁移，也没有破坏现有技能目录结构。

主要更新

修正技能内安装器示例：先解析当前 SKILL.md 所在目录，再调用 <skill-dir>/scripts/install_skill.py，不再依赖用户当前工作目录。
明确兼容长协议的优先级：与模块化 contracts 冲突时，以当前模块化契约为准；多 Agent、HTML 报告和固定覆盖率不再是 Deep 任务的无条件默认项。
加固离线评测可移植性：仓库内路径改为 POSIX 相对路径，外部路径使用 external:<label>，报告和 CLI 摘要不再泄露本机绝对路径。
新增 Candidate/Baseline canonical tree SHA-256，将相对路径、文件内容和结构变化纳入评测指纹；reference 新增、删除、重命名都会使旧证据失效。
修复 Windows/Linux 路径排序差异，并对 UTF-8 文本换行做 canonical 处理；固定 fixture hash 可在双系统保持一致。
新增 8 项 Eval 回归测试；Eval/Forward 合计 23/23，安装器 11/11。
修正参考技能库的 reparse/junction、结构候选、递归和 rg 计数口径，并补充 16,102 的可复现算法。
CI 升级到 Node 24 Action：actions/checkout@v7.0.0、actions/setup-python@v6.3.0，均锁定完整 commit digest。
README 默认安装、升级和回滚全部锁定 immutable tag；明确 npx skills 不会自动验证本 Release 的 checksum。

验证结果

GitHub Actions tag run：29550346228
Ubuntu / Windows：全部通过
Candidate / Baseline：100 / 40
Known-bad：15.8，正确以失败码阻断
Eval/Forward 单元测试：23/23
安装器集成测试：11/11
两个 fresh-context 真实 Forward 场景：模糊修复与只读分析均通过
Canonical skill artifact SHA-256：7291cc43c07401dd833fa30601254c3c3dafed85eb7c501f4ced93216d03b29d

安装

npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.0.1 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code

一次性生成使用提示：

npx skills use https://github.com/lza6/Agent-skills-code-op/tree/v1.0.1 \
  --skill production-delivery-orchestrator

回滚到 v1.0.0：

npx skills remove production-delivery-orchestrator --global --yes
npx skills add https://github.com/lza6/Agent-skills-code-op/tree/v1.0.0 \
  --skill production-delivery-orchestrator \
  --global \
  --agent codex claude-code \
  --yes

Release 附件

production-delivery-orchestrator-v1.0.1.zip：从 v1.0.1:skills/production-delivery-orchestrator 直接执行 git archive 生成。
provenance.json：记录 tag、commit、tag CI、canonical artifact hash 和 12 个文件的逐文件 SHA-256 manifest。
SHA256SUMS.txt：记录 ZIP 与 provenance 的 SHA-256。

ZIP SHA-256：7cec511265c1308de5298b33d61e3e9254079319ea9788ae1fdd06a87c52772e

已知边界

静态 Eval 不能冒充所有模型在真实项目中的行为证明。
Codex 已有真实 Forward 证据；Claude Code、Cursor、Gemini CLI 等目前主要验证格式、安装和桥接兼容性。
Release 提供 checksum 和来源信息，不是 GPG/Sigstore 数字签名或第三方认证。

Assets 5

Releases: lza6/Agent-skills-code-op

Release list