feat: v0.4.1 质量加固版 — 工程化基线 + 安全加固 + 测试补齐 + 体验升级

工程化（从零到一）:
- 新增 Gitea Actions CI（debian-latest）：类型检查 + Lint + 单元测试 + 产物编译验证
- 新增 husky + lint-staged 预提交钩子（lint-staged + typecheck 门禁）
- 移除坏脚本 test:e2e（无 Playwright 配置必失败）；prebuild 改用内置 fs.rmSync
- 依赖清理：移除死依赖 sql.js(2MB)/@playwright/test，@types/shell-quote 移至 devDependencies

安全加固:
- PolicyEngine 频率限制按会话隔离（多会话并发不再互抢配额）
- ConfirmationHook 拒绝记忆加 10 分钟 TTL + 恢复询问入口（新增 2 个 IPC 通道）
- Windows run_command 白名单工具（git/node/npm/npx/pnpm/yarn/tsc）改走 cmd.exe /c + 参数数组执行，收窄 shell 注入面
- web_search 四引擎 HTML 解析迁移 node-html-parser（结构化主层 + 正则降级）

缺陷修复（测试驱动发现）:
- mapError 大小写缺陷：网络错误码永远落入 UNKNOWN 无法触发重试
- 搜狗解析器自我过滤：相对链接补全后又被 sogou.com 过滤导致结果全丢
- 百度复合类名重复收录：class="result c-container" 被双重匹配

测试补齐（113 → 194 用例）:
- 新增 5 个测试文件：sse-stream / base-adapter / confirmation-hook / ipc-agent 编排链路 / web-search 解析器
- 覆盖 sendMessage 全分支、SSE 流解析、错误映射、确认钩子竞态/超时/批量审批

体验升级:
- OutputValidator 验证结果可见化（VALIDATION 流事件 → 聊天流提示卡）
- SettingsModal 巨型组件拆分（1503 行 → 10 个文件，可独立维护）
- MessageList 接入 react-virtuoso 真虚拟滚动（千条消息恒定开销）
- MCP 新增 streamable HTTP 传输支持（SDK 内置传输 + DB 迁移 6 + UI 双模式）

electron/ipc/mcp.ts

@@ -13,46 +13,65 @@ export function registerMCPHandlers(ctx: IPCContext): void {
     return mcpManager.getServerStates();
   });
 
-  ipcMain.handle('mcp:addServer', async (_event, config: { name: string; transport: string; command?: string; args?: string[]; url?: string }) => {
-    // M-38 修复: 完整参数校验，防止字段缺失或类型不符导致异常行为
-    if (!config || typeof config !== 'object') {
-      return { success: false, error: 'Invalid config' };
-    }
-    if (typeof config.name !== 'string' || !config.name.trim()) {
-      return { success: false, error: 'Server name is required' };
-    }
-    // M-5 修复: transport 运行时校验（替代 as 'stdio' | 'sse' 断言）
-    if (config.transport !== 'stdio' && config.transport !== 'sse') {
-      return { success: false, error: `Invalid transport: ${config.transport}. Must be 'stdio' or 'sse'` };
-    }
-    // stdio 类型必须有 command
-    if (config.transport === 'stdio' && (typeof config.command !== 'string' || !config.command.trim())) {
-      return { success: false, error: 'command is required for stdio transport' };
-    }
-    // sse 类型必须有合法 url
-    if (config.transport === 'sse') {
-      if (typeof config.url !== 'string' || !config.url.trim()) {
-        return { success: false, error: 'url is required for sse transport' };
+  ipcMain.handle(
+    'mcp:addServer',
+    async (
+      _event,
+      config: { name: string; transport: string; command?: string; args?: string[]; url?: string },
+    ) => {
+      // M-38 修复: 完整参数校验，防止字段缺失或类型不符导致异常行为
+      if (!config || typeof config !== 'object') {
+        return { success: false, error: 'Invalid config' };
       }
-      try { new URL(config.url); } catch {
-        return { success: false, error: 'Invalid url format' };
+      if (typeof config.name !== 'string' || !config.name.trim()) {
+        return { success: false, error: 'Server name is required' };
       }
-    }
-    try {
-      await mcpManager.addServer({
-        name: config.name,
-        transport: config.transport,  // 已校验，无需断言
-        command: config.command,
-        args: config.args,
-        url: config.url,
-        enabled: true,
-      });
-      log.info(`MCP server added: ${config.name}`);
-      return { success: true };
-    } catch (error) {
-      return { success: false, error: (error instanceof Error ? error.message : String(error)) };
-    }
-  });
+      // M-5 修复: transport 运行时校验（替代 as 断言）
+      // v0.4.1: 新增 'streamable-http' 传输方式
+      if (
+        config.transport !== 'stdio' &&
+        config.transport !== 'sse' &&
+        config.transport !== 'streamable-http'
+      ) {
+        return {
+          success: false,
+          error: `Invalid transport: ${config.transport}. Must be 'stdio', 'sse', or 'streamable-http'`,
+        };
+      }
+      // stdio 类型必须有 command
+      if (
+        config.transport === 'stdio' &&
+        (typeof config.command !== 'string' || !config.command.trim())
+      ) {
+        return { success: false, error: 'command is required for stdio transport' };
+      }
+      // sse / streamable-http 类型必须有合法 url
+      if (config.transport === 'sse' || config.transport === 'streamable-http') {
+        if (typeof config.url !== 'string' || !config.url.trim()) {
+          return { success: false, error: `url is required for ${config.transport} transport` };
+        }
+        try {
+          new URL(config.url);
+        } catch {
+          return { success: false, error: 'Invalid url format' };
+        }
+      }
+      try {
+        await mcpManager.addServer({
+          name: config.name,
+          transport: config.transport, // 已校验，无需断言
+          command: config.command,
+          args: config.args,
+          url: config.url,
+          enabled: true,
+        });
+        log.info(`MCP server added: ${config.name}`);
+        return { success: true };
+      } catch (error) {
+        return { success: false, error: error instanceof Error ? error.message : String(error) };
+      }
+    },
+  );
 
   ipcMain.handle('mcp:removeServer', async (_event, name: string) => {
     // M-38 修复: name 校验
@@ -63,7 +82,7 @@ export function registerMCPHandlers(ctx: IPCContext): void {
       await mcpManager.removeServer(name);
       return { success: true };
     } catch (error) {
-      return { success: false, error: (error instanceof Error ? error.message : String(error)) };
+      return { success: false, error: error instanceof Error ? error.message : String(error) };
     }
   });
 
@@ -79,7 +98,7 @@ export function registerMCPHandlers(ctx: IPCContext): void {
       await mcpManager.toggleServer(name, enabled);
       return { success: true };
     } catch (error) {
-      return { success: false, error: (error instanceof Error ? error.message : String(error)) };
+      return { success: false, error: error instanceof Error ? error.message : String(error) };
     }
   });
 }