feat: v0.7.2 安全收口 · 断链接线 · 观测补洞 — 230 用例扩充与全量回归

P1 修复面收口: /clear 全链路根治(前端清空联动 DB messages+摘要游标+TRACE 快照,
IPC 语义改"操作完成"; 流式中拒绝); web_browser open 补 SSRF 校验(Chromium 旁路关闭,
与 web_fetch/http_request 同源 validateSSRF); MCP 工具结果纳入注入扫描(mcp_* 前缀
按网络来源同级 full 模式, 收敛 resolveScanMode 单点); Trace 落库/入 store 双重瘦身
(tool_result base64/超长字段剥离, metadata 防 MB 级膨胀); 文本附件 512KB 闸门
(file.slice 首段读取+truncated 标志随消息持久化+主进程附件提示感知截断);
单实例锁(requestSingleInstanceLock + second-instance 聚焦已有窗口)

P2 安全纵深: ConfirmationHook 多窗口化(确认请求/超时提示改全窗口广播,
getAllWindows 空时回退 mainWindow, fail-closed 判定升级双通道); mcp_servers.headers
全链路接线(safeParseHeaders 容错解析+SSE/StreamableHTTP requestInit 注入+IPC 逐项
校验+设置页 JSON 输入, 远程 MCP 鉴权头可用)

P3 断链接线: llm:listModels IPC(六家 adapter 动态模型发现首次接线, 配置完整性
前置校验); Ollama pullModel IPC+设置页下载卡片(进度/取消/能力徽标, v0.7.0 死代码
激活); 后台会话运行指示(sessionRunStates 图+Sidebar 状态点, 多会话并发可见);
IR 卫生(移除 THINKING_START/END 死枚举, constraints 标注预留)

P4 质量与文档: i18n 第二阶段(确认弹框/侧栏/状态栏/AgentMonitor/终止原因出层,
外观设置 zh-CN/en-US 切换, ui.locale 持久化, 渲染时求值规避异步注册); README/D1
文档对齐(http_request 风险等级/用例数/实现状态注记); 版本号 0.7.2

测试: 507 → 737 用例(+230, 11 个新文件)。覆盖补齐: context-builder/consolidator/
orchestrator/workspace.service/session-recorder/config-layering/secure-config/
network-proxy + IPC mcp/tasks/memory/app/data 域 + 渲染层 store 与流事件管线纯函数。
测试驱动修复: workspace.appendMemory 中文分区 \b 词边界失效(JS \b 不含 CJK),
固化条目恒追加文件末尾产生重复分区头 → (?=\n|$) 前瞻断言根治

回归: typecheck 双端 0 错误; ESLint 0/0; 系统 Node 687 通过 50 跳过;
Electron ABI 全量 737/737 零跳过

src/components/settings/MCPSettings.tsx

@@ -30,6 +30,8 @@ export function MCPSettings() {
   // v0.4.1: 新增传输方式选择（stdio / streamable-http）与 URL 字段
   const [newTransport, setNewTransport] = useState<'stdio' | 'streamable-http'>('stdio');
   const [newUrl, setNewUrl] = useState('');
+  // v0.7.2 P2-8: 远程传输自定义请求头（JSON 对象字符串，如 {"Authorization": "Bearer xxx"}）
+  const [newHeaders, setNewHeaders] = useState('');
   // L-11 修复: 用 MUI Dialog 替换浏览器原生 confirm()，保持 UI 一致性
   const [confirmRemove, setConfirmRemove] = useState<string | null>(null);
 
@@ -64,6 +66,29 @@ export function MCPSettings() {
     if (!newName.trim()) return;
     if (newTransport === 'stdio' && !newCommand.trim()) return;
     if (newTransport === 'streamable-http' && !newUrl.trim()) return;
+
+    // v0.7.2 P2-8: 自定义请求头解析 —— 留空视为匿名连接；
+    // 非空时必须是 JSON 对象（值统一转为字符串，最终由 IPC 层逐项校验）
+    let headers: Record<string, string> | undefined;
+    if (newTransport !== 'stdio' && newHeaders.trim()) {
+      try {
+        const parsed: unknown = JSON.parse(newHeaders.trim());
+        if (!parsed || typeof parsed !== 'object' || Array.isArray(parsed)) {
+          throw new Error('需要 JSON 对象');
+        }
+        headers = Object.fromEntries(
+          Object.entries(parsed as Record<string, unknown>).map(([k, v]) => [k, String(v)]),
+        );
+      } catch {
+        import('@metona-team/metona-toast')
+          .then((mod) =>
+            mod.default.error('自定义请求头需为合法 JSON 对象，如 {"Authorization": "Bearer xxx"}'),
+          )
+          .catch(() => {});
+        return;
+      }
+    }
+
     try {
       const config =
         newTransport === 'stdio'
@@ -78,6 +103,7 @@ export function MCPSettings() {
               name: newName.trim(),
               transport: 'streamable-http' as const,
               url: newUrl.trim(),
+              headers,
               enabled: true,
             };
       const r = await window.metona?.mcp?.addServer(config);
@@ -86,6 +112,7 @@ export function MCPSettings() {
         setNewCommand('');
         setNewArgs('');
         setNewUrl('');
+        setNewHeaders('');
         setNewTransport('stdio');
         setShowAdd(false);
         loadServers();
@@ -295,12 +322,24 @@ export function MCPSettings() {
               />
             </>
           ) : (
-            <TextField
-              size="small"
-              value={newUrl}
-              onChange={(e) => setNewUrl(e.target.value)}
-              placeholder="Streamable HTTP URL（如 https://example.com/mcp）"
-            />
+            <>
+              <TextField
+                size="small"
+                value={newUrl}
+                onChange={(e) => setNewUrl(e.target.value)}
+                placeholder="Streamable HTTP URL（如 https://example.com/mcp）"
+              />
+              {/* v0.7.2 P2-8: 远程传输自定义请求头（鉴权/网关路由）—— 留空匿名连接 */}
+              <TextField
+                size="small"
+                value={newHeaders}
+                onChange={(e) => setNewHeaders(e.target.value)}
+                placeholder='自定义请求头 (JSON，可选)，如 {"Authorization": "Bearer xxx"}'
+                multiline
+                minRows={2}
+                slotProps={{ input: { sx: { fontFamily: 'monospace', fontSize: 11 } } }}
+              />
+            </>
           )}
           <Stack direction="row" spacing={1}>
             <Button