v1.0.0

新增

• 第一个稳定版。 从这一版起，"升级不丢数据"成为有测试与演练守着的能力：Windows 安装版原地升级会先把旧版数据从安装目录抢救出来、逐文件校验后才动旧版本，装完交回应用，首次启动弹一次确认窗，确认后先把整份数据备份到 %APPDATA%\ResumeForge\backups\pre-migration-<时间戳>\ 再迁移到 %APPDATA%\ResumeForge\data\；拒绝迁移则维持现状并下次再问。全过程已用线上发布的 0.18.0 安装包 + 虚构数据在隔离环境完整演练过（见下方「升级须知」）。
• 投递存档「下载存档」入口。 简历详情的每条投递记录旁可下载存档：export 快照按存档内容与当时参数重放导出，apply/track 快照下载冻结的内容 JSON——原简历已删除也能取到证据；重放字节与原文件可能不同（例如 HTML 每次渲染换 CSP nonce）时界面会如实说明并给出原始产物指纹。
• 风险扫描「AI 增强」开关。 面板上可一键关掉远端增强：关掉后这份简历只跑本地规则，连模型都不创建，状态记在本机；开着时只把结构信息（类别、承担程度、核实状态等）发给模型，台账原文（可能含客户名、对接人、内部编号）一律不出站。
• 设置 → 数据 新增存储占用总览：数据库、数据集、附件副本、备份、导出、日志分项可见，迁移前自动备份也会列出，可逐份确认后清理。

变更

• 备份恢复改为「先验后发布」。 导入备份包前先逐个核对附件（存在性、大小、SHA-256、文件名）并与本机同名文件比冲突；校验在私有暂存完成、通过后才原子发布，同名不同内容绝不覆盖；发布或复核失败会回滚本次新增文件，回滚受阻则保留现场并记录。默认整包拒绝（4xx），显式 allow_partial_assets=true（界面弹窗）才只导数据库内容。
• 隐私： 简历自由文本里的邮箱、http(s)/data: 链接、内嵌图片在出站前统一遮罩；助手与风险扫描的提示词同步改写。
• 搜索关键词按字面匹配： %、_ 不再被当通配符，前后空格参与匹配；全局搜索与知识库同口径，升级前后（有没有建全文索引）结果一致。
• 首页与搜索更轻： /api/search、/api/stats 的岗位对象不再含 JD 全文，改为 has_description（500 岗位库实测 /api/stats 从 ~114 KB 降到 ~9 KB）；需要全文请用 GET /api/jobs/{id}。
• 桌面数据位置规范化（ADR-0004）： 用户数据（数据库、附件、导出、备份、浏览器登录态）统一落在 %APPDATA%\ResumeForge\data，安装目录只放程序；更新、重装、换安装目录都不再触碰用户数据。旧位置的数据由首次启动的迁移流程搬运（旧副本保留，不删除）。

修复

• 升级安装会丢旧版用户数据（重点修复）。 0.18.0 安装版把数据库、附件、备份写在安装目录里，而原地升级会先运行旧版卸载器、把安装目录整体删除——用户数据在"新版的迁移逻辑有机会运行"之前就已消失。1.0.0 安装器现在在动旧版本之前先复制并逐文件校验这份数据（应用还在运行、或复制校验失败都会中止安装并保证旧数据原样保留），装完再交回应用迁移。此前从未发布的 macOS 桌面包同样不涉及（macOS 使用源码包 + start.command）。
• 桌面退出不再误停无关进程。 停止后端前核对进程身份（PID＋命令行＋启动时间），对不上就不动它并给出可见提示；后端未被确认停止时阻止更新安装。
• 旧数据迁移更稳。 迁移前备份改到用户目录下；数据库用 SQLite 一致快照（含未合并的 WAL 帧）并以 quick_check 复核；迁移标记与数据库不一致时不再静默新建空库，而是弹窗让用户选择。
• 提交后失败不再误报成「执行失败」。 提案已实际提交、之后才失败的情况改报"结果未知"（409、不再执行）；提交前失败仍为 422。
• 交付下载的哈希头如实反映本次字节。 X-Content-Sha256 指本次响应真实字节；历史产物指纹移到 X-Artifact-Sha256 / X-Source-Content-Sha256，新增 X-Delivery-Replay。
• 一批安全与稳定性修复：本机接口的跨站防线、导出保存位置只允许本机原生选择器、数据备份不含 API Key（导出前字节级自检）、桌面依赖审计与打包链路加固。

---

纯源码发行包：解压后运行 start.cmd（Windows）/ start.command（macOS），首次启动自动装配运行环境。sha256 校验文件与压缩包同列。