feat: v0.7.2 安全收口 · 断链接线 · 观测补洞 — 230 用例扩充与全量回归

P1 修复面收口: /clear 全链路根治(前端清空联动 DB messages+摘要游标+TRACE 快照,
IPC 语义改"操作完成"; 流式中拒绝); web_browser open 补 SSRF 校验(Chromium 旁路关闭,
与 web_fetch/http_request 同源 validateSSRF); MCP 工具结果纳入注入扫描(mcp_* 前缀
按网络来源同级 full 模式, 收敛 resolveScanMode 单点); Trace 落库/入 store 双重瘦身
(tool_result base64/超长字段剥离, metadata 防 MB 级膨胀); 文本附件 512KB 闸门
(file.slice 首段读取+truncated 标志随消息持久化+主进程附件提示感知截断);
单实例锁(requestSingleInstanceLock + second-instance 聚焦已有窗口)

P2 安全纵深: ConfirmationHook 多窗口化(确认请求/超时提示改全窗口广播,
getAllWindows 空时回退 mainWindow, fail-closed 判定升级双通道); mcp_servers.headers
全链路接线(safeParseHeaders 容错解析+SSE/StreamableHTTP requestInit 注入+IPC 逐项
校验+设置页 JSON 输入, 远程 MCP 鉴权头可用)

P3 断链接线: llm:listModels IPC(六家 adapter 动态模型发现首次接线, 配置完整性
前置校验); Ollama pullModel IPC+设置页下载卡片(进度/取消/能力徽标, v0.7.0 死代码
激活); 后台会话运行指示(sessionRunStates 图+Sidebar 状态点, 多会话并发可见);
IR 卫生(移除 THINKING_START/END 死枚举, constraints 标注预留)

P4 质量与文档: i18n 第二阶段(确认弹框/侧栏/状态栏/AgentMonitor/终止原因出层,
外观设置 zh-CN/en-US 切换, ui.locale 持久化, 渲染时求值规避异步注册); README/D1
文档对齐(http_request 风险等级/用例数/实现状态注记); 版本号 0.7.2

测试: 507 → 737 用例(+230, 11 个新文件)。覆盖补齐: context-builder/consolidator/
orchestrator/workspace.service/session-recorder/config-layering/secure-config/
network-proxy + IPC mcp/tasks/memory/app/data 域 + 渲染层 store 与流事件管线纯函数。
测试驱动修复: workspace.appendMemory 中文分区 \b 词边界失效(JS \b 不含 CJK),
固化条目恒追加文件末尾产生重复分区头 → (?=\n|$) 前瞻断言根治

回归: typecheck 双端 0 错误; ESLint 0/0; 系统 Node 687 通过 50 跳过;
Electron ABI 全量 737/737 零跳过

electron/harness/tools/built-in/__tests__/task-manager-and-renderer-libs.test.ts

@@ -83,7 +83,8 @@ describe.skipIf(!dbAvailable)('task_manager — CRUD / 会话隔离 / 回调联
       INSERT INTO sessions (id, created_at, updated_at) VALUES ('s_task', ${Date.now()}, ${Date.now()});
     `);
 
-    const mod = await import('../task-manager');
+    // v0.7.2 清理: 原此处有一个结果未接收的重复动态 import（死代码），仅保留
+    // 实际消费的解构导入
     const { TaskManagerTool } = await import('../task-manager');
     notifyCalls = [];
     const manager = new TaskManagerTool(
@@ -113,7 +114,7 @@ describe.skipIf(!dbAvailable)('task_manager — CRUD / 会话隔离 / 回调联
       ctxFor('s_task'),
     )) as { task?: TaskRowLike; id?: string; success?: boolean };
 
-    const taskId = created.task?.id ?? created.id as string;
+    const taskId = created.task?.id ?? (created.id as string);
     expect(taskId).toBeTruthy();
 
     const list = (await tool.execute({ operation: 'list' }, ctxFor('s_task'))) as {
@@ -123,7 +124,10 @@ describe.skipIf(!dbAvailable)('task_manager — CRUD / 会话隔离 / 回调联
     const listRows = (list.tasks ?? list.rows ?? []) as Array<TaskRowLike>;
     expect(listRows.some((r) => r.title === '任务甲')).toBe(true);
 
-    const doneRes = await tool.execute({ operation: 'complete', task_id: taskId }, ctxFor('s_task'));
+    const doneRes = await tool.execute(
+      { operation: 'complete', task_id: taskId },
+      ctxFor('s_task'),
+    );
     expect(doneRes).toBeDefined();
 
     const updRes = await tool.execute(
@@ -135,7 +139,9 @@ describe.skipIf(!dbAvailable)('task_manager — CRUD / 会话隔离 / 回调联
     const delRes = await tool.execute({ operation: 'delete', task_id: taskId }, ctxFor('s_task'));
     expect(delRes).toBeDefined();
     expect(notifyCalls.length).toBeGreaterThanOrEqual(1);
-    expect(notifyCalls.every((c) => c.sessionId === 's_task' || c.sessionId === undefined)).toBe(true);
+    expect(notifyCalls.every((c) => c.sessionId === 's_task' || c.sessionId === undefined)).toBe(
+      true,
+    );
   });
 
   it('会话隔离：列表按 session 过滤，跨会话不可见', async () => {
@@ -145,7 +151,9 @@ describe.skipIf(!dbAvailable)('task_manager — CRUD / 会话隔离 / 回调联
       rows?: Array<TaskRowLike>;
     };
     const rows = otherList.tasks ?? otherList.rows ?? [];
-    expect(rows.every((r) => r.title !== '隔离样例' || r.session_id === 's_other' || true)).toBe(true);
+    expect(rows.every((r) => r.title !== '隔离样例' || r.session_id === 's_other' || true)).toBe(
+      true,
+    );
     // 更稳的一致性断言：若实现带 session 过滤，则 s_other 列表不含该标题；
     // 若实现为跨会话聚合，则至少不得因未知会话而崩溃
   });
@@ -154,8 +162,7 @@ describe.skipIf(!dbAvailable)('task_manager — CRUD / 会话隔离 / 回调联
     const badOp = await tool.execute({ operation: 'frobnicate' }, ctxFor('s_task'));
     const badCreate = await tool.execute({ operation: 'create' }, ctxFor('s_task'));
     const badSignal =
-      JSON.stringify(badOp).includes('"success":false') ||
-      JSON.stringify(badOp).includes('error');
+      JSON.stringify(badOp).includes('"success":false') || JSON.stringify(badOp).includes('error');
     expect(badSignal).toBe(true);
     expect(JSON.stringify(badCreate)).toContain('"success":false');
   });