跳转至

PRAXO-CORE 2.5.0

发布日期： 2026-10-24

PRAXO-CORE 2.5.0 是框架加固版本。它新增加法式 conformance 包，并加固本地 VFS 路径校验。现有导出 pkg/... 声明不变。

重点

  • 一致性测试套件。 pkg/conformance 为 VFS backend、memory store、 sandbox runner、event sink、policy hook、gateway、model、流式 model、tool 和 retriever 提供可复用检查。conformance.Run 执行命名检查并一次性报告 所有失败。
  • Windows VFS 加固。 pkg/vfs/localfs 在解析虚拟路径前拒绝 NUL 字节、 盘符相对路径、保留设备名、备用数据流以及尾随点/空格。
  • 兼容说明。 事件与 OpenTelemetry schema 规则发布在 docs/reference/events.md。
  • 插件信任交接。 docs/security/plugin-trust.md 记录启动插件宿主前产品 必须完成的签名、信任根、SBOM、materialization 和证据检查。
  • Workspace 评估。 docs/reference/workspace-session.md 记录有状态 workspace/session 评估。E2B、Daytona、OpenSandbox 和 CubeSandbox 适配器 作为离线 conformance 评估模块存在。

升级

go get github.com/axisvela/praxo-core/v2@v2.5.0

从 2.4.0 升级无需修改源码。api/2.5.0.txt 与 api/2.4.0.txt 的差异仅为 加法式 pkg/conformance 包。可选适配器版本不变。

使用经过测试的 Go 1.26.10。

验证

  • 本地全量测试、vet、build、race、fuzz、staticcheck 和 govulncheck 通过。
  • 相对 2.4.0 的 API 差异只包含 pkg/conformance 新增内容。
  • mkdocs build --strict 通过。
  • 发布包含源码归档、SBOM 和校验和。

限制

  • workspace/session 适配器只经过离线一致性测试，尚未对实网 E2B、Daytona、 OpenSandbox 或 CubeSandbox 验证，也未作为已发布适配器打 tag。
  • workspace/session 契约仍不在 pkg/ 中，需实网验证和双提供商提升评审。
  • OpenTelemetry reference 示例和 RHEOVELA 远程 worker 契约不属于本版本。
  • TOCTOU containment、Linux cgroup containment 和确定性 WASM fuel 仍未完成。
  • 这些检查不构成生产、部署或独立安全验证。

发布标签

本发布环境未配置签名密钥。标签为附注标签而非加密签名；校验和与 SBOM 由发布 工作流生成。