feat: v0.7.0 四阶段全量迭代 — 修复面收口 · 安全纵深 · 架构还债 · 能力演进

P1 修复面收口: v0.6.3 截断自愈推全量(Anthropic/Ollama/非流式/引擎兜底); SSE 上游错误帧检测进重试通道;
clearMessages 摘要游标根治; truncateResult 内联图片白名单统一; 前端四 bug(确认弹窗锁死/MemoryViewer/
Virtuoso Footer/abort 尾部过滤) + reasoning 缓冲跨迭代污染; 托盘通知过滤与新建会话死链接线

P2 安全纵深: MCP 审批闭环(ConfirmationHook×PolicyEngine 联动+重名拒注册); SSRF 收敛 ssrf-guard 共享模块
(web_fetch 双通道校验+重定向终态复检); Electron 加固(preload CJS 化→sandbox:true/CSP/权限白名单/will-navigate);
run_command cmd.exe 白名单通道元字符守门; diff_viewer 10MB 预检; Anthropic thinking 预算下限; Agnes 思考显式关闭

P3 架构还债: OpenAICompatibleAdapter 中间基类收敛四家样板; 错误分类单轨化(删 mapError/getFetchSignal,
超时显式 ETIMEDOUT); PRAGMA user_version 迁移版本化; 死代码清理专项(cn.ts/SHORTCUTS/ContextMenu 分支/
getWindowState/modifiedArgs/sandbox 空壳); i18next 引入; a11y 第一轮; SearXNG 页批量草稿模型统一

P4 能力演进: Ollama pull 可取消/capabilities 探测/num_ctx 实测缓存; UpdateService feed 比对式自动更新
(app:updateCheck IPC + StatusBar 入口); MiMo providerOptions(web_search 服务端工具/strict JSON);
web_fetch extract_mode=markdown(turndown); network.proxyUrl 全局代理(Chromium sessions+undici dispatcher)

测试: 264 → 507 用例(Electron ABI 全绿零跳过), 覆盖引擎压缩管线/重试竞速/MEMORY.md 闸门/file_editor 五操作/
filesystem 七工具实体夹具/git 真实仓库/SSE 错误帧/全线截断自愈/Provider 请求形态矩阵/SSRF 表测/钩子分级矩阵/
OutputValidator 全量/SLO 指标/MCP 安全纯函数/task_manager 链路/渲染层纯域/i18n 桥契约

electron/harness/tools/registry.ts

@@ -11,10 +11,69 @@ import type {
   MetonaToolResult,
 } from '../types';
 import type { IMetonaTool, ToolRegistryEntry, ToolExecutionContext } from '../types/metona-tool';
+import log from 'electron-log';
 
 /** 工具返回值最大字符数（约 50KB），超过则截断 */
 const MAX_RESULT_CHARS = 50_000;
 
+/**
+ * 内联图片字段的统一白名单（v0.6.4 P1-4 根治）。
+ *
+ * v0.3.1 的 FAIL-1 白名单只认 `dataUrl` 字段 —— 而 web_browser 截图返回的字段名
+ * 是 `image`（browser.ts 截图分支），导致每张截图都被当作普通文本截成破损 base64，
+ * 多模态展示必失败。现把两类内联图片字段收敛到同一检测函数：
+ * - `dataUrl`：view_image 等（data:image/...;base64, 前缀）
+ * - `image`：web_browser 截图等（裸 base64 PNG）
+ */
+const INLINE_IMAGE_FIELDS = ['dataUrl', 'image'] as const;
+
+/**
+ * 内联图片跳过截断的硬上限（字符数 ≈ 字节数×4/3）。
+ * 应用内的图片来源均有更低的内部限额（view_image 5MB、Electron capturePage 截图），
+ * 正常路径远达不到此值；设置硬限是为了防御异常来源借"白名单字段名"绕过
+ * 体积闸门造成上下文/内存爆炸 —— 超限时不再原样放行，也不截出破损 base64，
+ * 而是把该字段替换为明确的占位说明并打 _imageOmitted 标记。
+ */
+const MAX_INLINE_IMAGE_CHARS = 12_000_000;
+
+/**
+ * 判断字符串是否为可安全整段放行的内联图片载荷。
+ * 精确匹配两种形态，避免旧的 "'dataUrl' in result" 式白名单被任意大对象冒用：
+ * 1. data URI：data:image/<mime>;base64,<payload>
+ * 2. 裸 base64：解码后命中常见图片文件头魔数（PNG / JPEG / GIF / BMP / RIFF(WEBP)）
+ */
+function isInlineImagePayload(value: string): boolean {
+  if (value.length < 128) return false;
+  if (/^data:image\/[a-z0-9.+-]+;base64,/i.test(value)) return true;
+  // 裸 base64 前缀必须是 base64 字符集，才值得继续做魔数校验
+  if (!/^[A-Za-z0-9+/=\r\n]+$/.test(value.slice(0, 256))) return false;
+  let head: Buffer;
+  try {
+    head = Buffer.from(value.slice(0, 64), 'base64');
+  } catch {
+    return false;
+  }
+  if (head.length < 4) return false;
+  // PNG
+  if (head[0] === 0x89 && head[1] === 0x50 && head[2] === 0x4e && head[3] === 0x47) return true;
+  // JPEG
+  if (head[0] === 0xff && head[1] === 0xd8 && head[2] === 0xff) return true;
+  const ascii = head.toString('latin1');
+  // GIF87a/GIF89a
+  if (ascii.startsWith('GIF')) return true;
+  // BMP
+  if (ascii.startsWith('BM')) return true;
+  // WEBP（RIFF 容器，第 8..11 字节为 'WEBP'）
+  if (
+    ascii.startsWith('RIFF') &&
+    head.length >= 12 &&
+    head.toString('latin1', 8, 12) === 'WEBP'
+  ) {
+    return true;
+  }
+  return false;
+}
+
 export class ToolRegistry {
   private tools = new Map<string, ToolRegistryEntry>();
 
@@ -27,14 +86,36 @@ export class ToolRegistry {
     });
   }
 
-  /** 注册 MCP 工具 */
-  registerMCP(serverName: string, tool: IMetonaTool): void {
-    this.tools.set(tool.definition.name, {
+  /**
+   * 注册 MCP 工具
+   *
+   * v0.6.4 P2 修复（重名静默覆盖 → 显式拒绝）：原先 MCP 工具注册直接 set，
+   * 若某 server 导出的工具与内置工具同名、或两个 server 导出同名工具，
+   * 后者会无告警顶掉前者 —— 既有功能劫持面，也让排障无从下手。
+   * 现契约：冲突一律拒绝注册并 ERROR 日志明示冲突方，由调用方计数上报。
+   *
+   * @returns 是否注册成功
+   */
+  registerMCP(serverName: string, tool: IMetonaTool): boolean {
+    const name = tool.definition.name;
+    const existing = this.tools.get(name);
+    if (existing) {
+      log.error(
+        `[ToolRegistry] Rejected MCP tool registration '${name}' from server '${serverName}'` +
+          (existing.source === 'builtin'
+            ? " — name conflicts with a built-in tool."
+            : ` — name already registered by MCP server '${existing.serverName}'.`) +
+          ' Rename the tool on that MCP server or disable one of the conflicting tools.',
+      );
+      return false;
+    }
+    this.tools.set(name, {
       tool,
       source: 'mcp',
       serverName,
       enabled: true,
     });
+    return true;
   }
 
   /** 注销 MCP Server 提供的所有工具 */
@@ -175,18 +256,36 @@ export class ToolRegistry {
   /**
    * 截断过大的工具返回值，防止 LLM 上下文溢出
    *
-   * v0.3.1 修复 FAIL-1: view_image 返回的 dataUrl 需完整传输给多模态 LLM，
-   * 截断会导致 base64 损坏、图片无法显示。对含 dataUrl 字段的结果跳过截断。
-   * view_image 已在工具内部限制文件大小 5MB，base64 后约 6.7MB，
-   * 多模态 LLM 能处理此量级数据。
+   * v0.3.1 修复 FAIL-1: 内联图片类结果（view_image 的 dataUrl）需完整传输给
+   * 多模态 LLM，截断会导致 base64 损坏、图片无法显示。
    *
-   * v0.3.1 修复 WARN-2: dataUrl 检测前置到 stringify 之前，
-   * 避免对 5MB+ 的图片对象做无意义的 JSON.stringify（约 6.7MB 字符串）。
+   * v0.6.4 P1-4 根治: 白名单从单一 'dataUrl' in result 键名探测升级为
+   * isInlineImagePayload 载荷校验（dataUrl/image 双字段 + data URI/裸 base64
+   * 魔数识别）。修复 web_browser 截图（image 字段）必被截坏的缺陷；同时消除
+   * 旧白名单"任意大对象带一个 dataUrl 键即可绕过 50KB 闸门"的漏洞 ——
+   * 非图片载荷的键不再放行，超硬上限的图片以占位符替换而非截出破损 base64。
    */
   private truncateResult(result: unknown): unknown {
-    // 先检测 dataUrl 白名单：图片类结果跳过截断（避免 base64 损坏 + 避免无意义的序列化）
-    if (typeof result === 'object' && result !== null && 'dataUrl' in result) {
-      return result;
+    if (typeof result === 'object' && result !== null) {
+      const record = result as Record<string, unknown>;
+      for (const field of INLINE_IMAGE_FIELDS) {
+        const value = record[field];
+        if (typeof value !== 'string' || !isInlineImagePayload(value)) continue;
+        // 正常量级的内联图片：完整放行（跳过截断 + 跳过无意义的整体序列化）
+        if (value.length <= MAX_INLINE_IMAGE_CHARS) {
+          return result;
+        }
+        // 超硬上限：绝不返回损坏的半截 base64，也不原样放行失控体积
+        log.error(
+          `[ToolRegistry] Inline image on field '${field}' exceeds hard limit ` +
+            `(${value.length} > ${MAX_INLINE_IMAGE_CHARS} chars) — replaced with placeholder`,
+        );
+        return {
+          ...record,
+          [field]: `[inline image omitted: ${value.length} chars exceeds the ${MAX_INLINE_IMAGE_CHARS}-char hard limit]`,
+          _imageOmitted: true,
+        };
+      }
     }
 
     const str = typeof result === 'string' ? result : JSON.stringify(result);