跳转至

PRAXO-CORE 2.3.3

发布日期： 2026-10-24

本补丁修复准备回调后的工具授权缺口，并确保发布检查逐条传播命令失败。 不新增、删除或修改导出 pkg/... 声明。

工具授权

原始策略拒绝仍提前拦截。整个准备批次执行前，最终工具名重新检查 allowlist， 变更的 JSON 参数或名称重新授权。覆盖 middleware、HITL Edit、hook、事件/流回调， 以及后续回调修改前面调用参数的情况。未变更调用仍仅请求一次工具授权。

启用策略时参数必须可 JSON 序列化；回调不得异步修改保留的参数引用。 nil Policy 和空 AllowedTools 的原有宽松配置不变，最小权限应用应显式配置两者。 工具自身仍需负责副作用和资源级校验。

验证

  • 核心 test、vet/build、Linux race/fuzz、staticcheck、govulncheck。
  • 三平台测试及发布脚本失败注入。
  • 9 个独立模块的 Linux race 与漏洞检查。
  • 严格双语文档构建，API 快照不变。

发布前的 consumer 测试验证旧版发布基线；发布后须 pin 2.3.3，无本地 replace 验证本补丁。以上不代表生产验证或部署 IAM 验证。

升级

go get github.com/axisvela/praxo-core/v2@v2.3.3

使用已验证的 Go 1.26.10。从 2.3.2 无需源码迁移，API 快照完全相同。 可选适配器 tag 不变；产品必须升级核心依赖才能获得运行时修复。

标签

发布环境未配置签名密钥，因此使用附注标签，而非加密签名标签。 发布 workflow 生成校验和及 SBOM。