feat: v0.7.2 安全收口 · 断链接线 · 观测补洞 — 230 用例扩充与全量回归

P1 修复面收口: /clear 全链路根治(前端清空联动 DB messages+摘要游标+TRACE 快照,
IPC 语义改"操作完成"; 流式中拒绝); web_browser open 补 SSRF 校验(Chromium 旁路关闭,
与 web_fetch/http_request 同源 validateSSRF); MCP 工具结果纳入注入扫描(mcp_* 前缀
按网络来源同级 full 模式, 收敛 resolveScanMode 单点); Trace 落库/入 store 双重瘦身
(tool_result base64/超长字段剥离, metadata 防 MB 级膨胀); 文本附件 512KB 闸门
(file.slice 首段读取+truncated 标志随消息持久化+主进程附件提示感知截断);
单实例锁(requestSingleInstanceLock + second-instance 聚焦已有窗口)

P2 安全纵深: ConfirmationHook 多窗口化(确认请求/超时提示改全窗口广播,
getAllWindows 空时回退 mainWindow, fail-closed 判定升级双通道); mcp_servers.headers
全链路接线(safeParseHeaders 容错解析+SSE/StreamableHTTP requestInit 注入+IPC 逐项
校验+设置页 JSON 输入, 远程 MCP 鉴权头可用)

P3 断链接线: llm:listModels IPC(六家 adapter 动态模型发现首次接线, 配置完整性
前置校验); Ollama pullModel IPC+设置页下载卡片(进度/取消/能力徽标, v0.7.0 死代码
激活); 后台会话运行指示(sessionRunStates 图+Sidebar 状态点, 多会话并发可见);
IR 卫生(移除 THINKING_START/END 死枚举, constraints 标注预留)

P4 质量与文档: i18n 第二阶段(确认弹框/侧栏/状态栏/AgentMonitor/终止原因出层,
外观设置 zh-CN/en-US 切换, ui.locale 持久化, 渲染时求值规避异步注册); README/D1
文档对齐(http_request 风险等级/用例数/实现状态注记); 版本号 0.7.2

测试: 507 → 737 用例(+230, 11 个新文件)。覆盖补齐: context-builder/consolidator/
orchestrator/workspace.service/session-recorder/config-layering/secure-config/
network-proxy + IPC mcp/tasks/memory/app/data 域 + 渲染层 store 与流事件管线纯函数。
测试驱动修复: workspace.appendMemory 中文分区 \b 词边界失效(JS \b 不含 CJK),
固化条目恒追加文件末尾产生重复分区头 → (?=\n|$) 前瞻断言根治

回归: typecheck 双端 0 错误; ESLint 0/0; 系统 Node 687 通过 50 跳过;
Electron ABI 全量 737/737 零跳过

electron/harness/hooks/security-scan-hook.ts

@@ -11,6 +11,10 @@
  * 分级策略（避免破坏正常编码场景——读取含安全关键词的代码文件不应被改写）：
  * - 网络来源工具（web_fetch / web_search / web_browser / http_request）：
  *   完整防护 —— riskScore ≥ 7 时脱敏内容 + 阻断横幅；≥ 4 时附加警示横幅
+ * - MCP 扩展工具（mcp_* 前缀，v0.7.2 A3 根治）：完整防护（与网络来源同级）。
+ *   外部 MCP server 返回的内容是不可信输入源之一，此前完全不在扫描集合内，
+ *   与 v0.6.4 P2-1"mcp_* 审批闭环"的纵深方向不一致 —— 外部工具调用需要确认，
+ *   其返回内容却绕过间接注入检测，防线不对等。现按前缀匹配纳入 full 模式。
  * - 本地文件工具（read_file / search_files / code_search / diff_viewer / run_command）：
  *   仅警示 —— ≥ 4 时附加"视为数据"提示，不改动内容本体
  *
@@ -25,7 +29,28 @@ import log from 'electron-log';
 /** 网络来源工具：完整防护（脱敏 + 横幅） */
 const NETWORK_TOOLS = new Set(['web_fetch', 'web_search', 'web_browser', 'http_request']);
 /** 本地文件工具：仅警示（不改动内容，避免破坏代码/文档读取） */
-const FILE_TOOLS = new Set(['read_file', 'search_files', 'code_search', 'diff_viewer', 'run_command']);
+const FILE_TOOLS = new Set([
+  'read_file',
+  'search_files',
+  'code_search',
+  'diff_viewer',
+  'run_command',
+]);
+/** v0.7.2 A3: MCP 工具统一命名前缀（MCPToolAdapter: mcp_{serverName}_{toolName}） */
+const MCP_TOOL_PREFIX = 'mcp_';
+
+/**
+ * 解析工具的扫描模式（v0.7.2 A3: 从线性集合查找收敛为单一解析点）。
+ * 优先级：精确网络来源 > MCP 前缀 > 本地文件 > null（零扫描）。
+ * MCP 工具是运行时动态注册的外部来源，内容可信度与网络抓取同级，
+ * 归入 full 模式（脱敏 + 横幅），与 PolicyEngine 的 mcp_* 审批策略对等。
+ */
+function resolveScanMode(toolName: string): 'full' | 'warn' | null {
+  if (NETWORK_TOOLS.has(toolName)) return 'full';
+  if (toolName.startsWith(MCP_TOOL_PREFIX)) return 'full';
+  if (FILE_TOOLS.has(toolName)) return 'warn';
+  return null;
+}
 
 /** 高风险阈值：脱敏内容（与用户消息阻断阈值一致） */
 const BLOCK_THRESHOLD = 7;
@@ -55,11 +80,7 @@ export class SecurityScanHook implements PostToolHook {
   ): Promise<MetonaToolResult | void> {
     try {
       if (!result.success || result.result == null) return;
-      const mode = NETWORK_TOOLS.has(toolCall.name)
-        ? ('full' as const)
-        : FILE_TOOLS.has(toolCall.name)
-          ? ('warn' as const)
-          : null;
+      const mode = resolveScanMode(toolCall.name);
       if (!mode) return;
 
       const scanned = this.scanValue(toolCall.name, result.result, mode, 0);
@@ -74,7 +95,12 @@ export class SecurityScanHook implements PostToolHook {
   }
 
   /** 递归扫描结果结构中的长字符串字段（覆盖 content / formatted / _fetched[] 等任意嵌套） */
-  private scanValue(toolName: string, value: unknown, mode: 'full' | 'warn', depth: number): unknown {
+  private scanValue(
+    toolName: string,
+    value: unknown,
+    mode: 'full' | 'warn',
+    depth: number,
+  ): unknown {
     if (depth > MAX_SCAN_DEPTH) return value;
 
     if (typeof value === 'string') {