feat: v0.7.0 四阶段全量迭代 — 修复面收口 · 安全纵深 · 架构还债 · 能力演进

P1 修复面收口: v0.6.3 截断自愈推全量(Anthropic/Ollama/非流式/引擎兜底); SSE 上游错误帧检测进重试通道;
clearMessages 摘要游标根治; truncateResult 内联图片白名单统一; 前端四 bug(确认弹窗锁死/MemoryViewer/
Virtuoso Footer/abort 尾部过滤) + reasoning 缓冲跨迭代污染; 托盘通知过滤与新建会话死链接线

P2 安全纵深: MCP 审批闭环(ConfirmationHook×PolicyEngine 联动+重名拒注册); SSRF 收敛 ssrf-guard 共享模块
(web_fetch 双通道校验+重定向终态复检); Electron 加固(preload CJS 化→sandbox:true/CSP/权限白名单/will-navigate);
run_command cmd.exe 白名单通道元字符守门; diff_viewer 10MB 预检; Anthropic thinking 预算下限; Agnes 思考显式关闭

P3 架构还债: OpenAICompatibleAdapter 中间基类收敛四家样板; 错误分类单轨化(删 mapError/getFetchSignal,
超时显式 ETIMEDOUT); PRAGMA user_version 迁移版本化; 死代码清理专项(cn.ts/SHORTCUTS/ContextMenu 分支/
getWindowState/modifiedArgs/sandbox 空壳); i18next 引入; a11y 第一轮; SearXNG 页批量草稿模型统一

P4 能力演进: Ollama pull 可取消/capabilities 探测/num_ctx 实测缓存; UpdateService feed 比对式自动更新
(app:updateCheck IPC + StatusBar 入口); MiMo providerOptions(web_search 服务端工具/strict JSON);
web_fetch extract_mode=markdown(turndown); network.proxyUrl 全局代理(Chromium sessions+undici dispatcher)

测试: 264 → 507 用例(Electron ABI 全绿零跳过), 覆盖引擎压缩管线/重试竞速/MEMORY.md 闸门/file_editor 五操作/
filesystem 七工具实体夹具/git 真实仓库/SSE 错误帧/全线截断自愈/Provider 请求形态矩阵/SSRF 表测/钩子分级矩阵/
OutputValidator 全量/SLO 指标/MCP 安全纯函数/task_manager 链路/渲染层纯域/i18n 桥契约

electron/harness/tools/built-in/diff-viewer.ts

@@ -7,7 +7,10 @@
  * 用于 Agent 在编辑文件前后对比变化，或对比两个配置文件。
  */
 
-import { readFile } from 'fs/promises';
+import { readFile, stat } from 'fs/promises';
+
+/** v0.6.4: 单文件 diff 的字节上限（与 read_file/write_file 的 10MB 闸门对齐） */
+const MAX_DIFF_FILE_BYTES = 10 * 1024 * 1024;
 import type { IMetonaTool, ToolExecutionContext } from '../../types/metona-tool';
 import type { MetonaToolDef } from '../../../harness/types';
 import { MetonaToolCategory, MetonaRiskLevel } from '../../../harness/types';
@@ -198,6 +201,17 @@ export class DiffViewerTool implements IMetonaTool {
         }
 
         try {
+          // v0.6.4 修复（OOM 预检）: files 模式此前没有文件大小闸门 —— 数 GB 的
+          // 日志文件会被 readFile 全量读进主进程内存。read_file/write_file 均有
+          // 10MB 上限，diff_viewer 是唯一漏网者，补齐同源限制。
+          const statA = await stat(pathA);
+          const statB = await stat(pathB);
+          if (statA.size > MAX_DIFF_FILE_BYTES || statB.size > MAX_DIFF_FILE_BYTES) {
+            return {
+              success: false,
+              error: `File too large for diff: ${statA.size > MAX_DIFF_FILE_BYTES ? fileA : fileB} exceeds ${MAX_DIFF_FILE_BYTES / (1024 * 1024)}MB limit`,
+            };
+          }
           // F4-1: 用智能编码检测读取文件（支持 GBK/UTF-16 等非 UTF-8 编码）
           const bufferA = await readFile(pathA);
           const bufferB = await readFile(pathB);
@@ -247,8 +261,7 @@ export class DiffViewerTool implements IMetonaTool {
       };
 
       // D4.6: unifiedDiff 大小限制
-      const MAX_DIFF_CHARS = 50_000;
-      const truncatedDiff = unifiedDiff.length > MAX_DIFF_CHARS
+      const MAX_DIFF_CHARS = 50_000;      const truncatedDiff = unifiedDiff.length > MAX_DIFF_CHARS
         ? unifiedDiff.slice(0, MAX_DIFF_CHARS) + '\n... (diff truncated)'
         : unifiedDiff;