feat(ql3): scope deployment-family release candidates

docs/QINGLONG_3_0_ARCHITECTURE_RFC.md

@@ -11,7 +11,8 @@
 
 最新增量证据（2026-08-16）：
 
-- D-332/ADR-0424（实现门完成、外部验收待公开 release）：从 exact reviewed `v3.*` source tag 执行的 Cluster Admin release workstation ceremony 已实现为根级 runner + 独立 offline auditor，不新增 workspace package、生产依赖、产品命令、镜像内容或常驻组件。runner 只接受 owner-bound `ghcr.io/<owner>/qinglong3-cluster-admin@sha256:<digest>`、40-hex source revision、完整 tag ref、canonical absolute `cosign|gh|docker`、current-owner `0600` 短期 GitHub token file 与 no-replace 私有 report；三个工具按绝对路径直接执行且前后复验 inode/size/SHA-256，不经 shell/ambient PATH，token 只注入 3 个 `gh attestation verify` 子进程。ceremony 精确验证 keyless workflow identity、provenance、CycloneDX 与 OS-vulnerability evidence，拉取并 inspect 同一 RepoDigest，再在 non-root/read-only/network-none/drop-ALL/no-new-privileges/128 MiB/0.25 CPU/32 PIDs 下运行 release image 内置 `evidence-verify` 检查固定非敏感 vector。成功报告只含 public release identity、tool/argv/stdout/stderr digest、字节数、isolation/limitation 与自身 canonical SHA-256，不含原始 transcript、token、路径或 workstation identity；offline auditor 只证明 canonical structure、digest 和 expected identity binding，明确 `externalResults=not_replayed`、`reportAttestation=none`、`actionAuthority=none`。定向正负门覆盖 token 隔离、mutable/source drift、tool/file authority drift、no-replace、结构重签和 report swapping；backend 1,233 pass/2 条件 skip、Cluster Admin 387 pass/3 条件 skip、18-package clean build/test 退出 0。workspace 保持 18 package、无 single/shallow package；npm pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked；package/dependency/Edge import/Cluster deployment/image release/OS vulnerability/Console/distribution 审计均 compatible。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 与 MCP 也不变。本门无 schema/migration/SQL/role/Pool/连接拓扑变化，复用紧邻 D-331 的 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线。由于当前没有公开 3.0 release digest，且工作站没有真实 `gh/cosign`，ADR-0424 必须保持 Proposed；stub 或本地 image 不能冒充最终外部 ceremony，公开 digest 可用后才记录真实 report/tool digest 并转 Accepted。
+- D-333/ADR-0425（已接受；公开发布结果待实际 tag）：3.0 发布入口不再把所有部署者绑成一个不可分割矩阵。唯一 `.github/workflows/ql3-image-release.yml` 增加 closed `local|cluster|all` deployment-family scope；根级 source-derived release-candidate contract 从 exact `v3` SemVer/tag/40-hex revision、18 个边界审计通过且非 single/shallow 的 workspace、Node 24.18.0 engine、容器 runtime manifest/Dockerfile version、双架构和部署 profile 推导唯一 OS/publish matrix，并以 canonical SHA-256 失败关闭版本或源码漂移。`local` 只发布 AI-excluded Local image、只要求 Edge/Standalone digest rollout，不再等待 Worker management/CloudNativePG 私有 HA evidence；`cluster` 才要求两个 ephemeral private evidence gate，并闭合此前遗漏的 `qinglong3-worker`，与 control/control-ai/admin 一同进入 native amd64/arm64 build-once、Trivy OS scan、CycloneDX、OCI merge、Cosign 与 GitHub attestation 链；`all` 同时保留两族门禁。legacy 根 `2.21.0-14` 被显式标记为不参与 3.0 release identity，而不是伪改旧产品版本。Worker 现在有 27-component（24 external/3 internal）、28-node 的 production SBOM，BSD-3-Clause 纳入受审 allowlist，Worker config 固定 `65532:65532`、`worker` profile、`edge,node` capacity labels 和 3.0 version；control/admin 也补齐同一 version label。candidate contract 作为第四类 digest-bound GitHub predicate 发布并远端回读，Cluster Admin verifier/外部 ceremony/offline audit 同步升级为四类 attestation/八步 transcript。实现不新增 workspace package、生产依赖、数据库、migration、SQL、Pool、listener、timer、watcher 或低配设备常驻资源。定向 105/105、backend 1,246 pass/2 条件 skip/0 fail、18-package clean build/test 均通过；package boundary 确认为 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，dependency、Edge import、Cluster/Worker deployment、image release、OS vulnerability policy、Console/distribution 审计均 compatible，四个 runtime dependency root 的离线缓存审计为 0 vulnerability。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin npm pack 仍为 250 files、271,238-byte tarball、1,690,196-byte unpacked。由于本 Gate 不改变 schema、migration、SQL、role、Pool 或连接/HA 拓扑，不重复执行 PostgreSQL 门，继续复用 D-331 的 PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2` 基线。公开 tag/digest 尚不存在，因此不宣称真实 GHCR/Cosign/attestation 发布成功，在线依赖漏洞新鲜度与五镜像远端门由实际 release workflow 重新取得。
+- D-332/ADR-0424（实现门完成、外部验收待公开 release）：从 exact reviewed `v3.*` source tag 执行的 Cluster Admin release workstation ceremony 已实现为根级 runner + 独立 offline auditor，不新增 workspace package、生产依赖、产品命令、镜像内容或常驻组件。runner 只接受 owner-bound `ghcr.io/<owner>/qinglong3-cluster-admin@sha256:<digest>`、40-hex source revision、完整 tag ref、canonical absolute `cosign|gh|docker`、current-owner `0600` 短期 GitHub token file 与 no-replace 私有 report；三个工具按绝对路径直接执行且前后复验 inode/size/SHA-256，不经 shell/ambient PATH，token 只注入 4 个 `gh attestation verify` 子进程。ceremony 精确验证 keyless workflow identity、provenance、CycloneDX、OS-vulnerability evidence 与 D-333 source-derived release-candidate contract，拉取并 inspect 同一 RepoDigest，再在 non-root/read-only/network-none/drop-ALL/no-new-privileges/128 MiB/0.25 CPU/32 PIDs 下运行 release image 内置 `evidence-verify` 检查固定非敏感 vector。成功报告只含 public release identity、tool/argv/stdout/stderr digest、字节数、isolation/limitation 与自身 canonical SHA-256，不含原始 transcript、token、路径或 workstation identity；offline auditor 只证明 canonical structure、digest 和 expected identity binding，明确 `externalResults=not_replayed`、`reportAttestation=none`、`actionAuthority=none`。定向正负门覆盖 token 隔离、mutable/source drift、tool/file authority drift、no-replace、结构重签和 report swapping；backend 1,233 pass/2 条件 skip、Cluster Admin 387 pass/3 条件 skip、18-package clean build/test 退出 0。workspace 保持 18 package、无 single/shallow package；npm pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked；package/dependency/Edge import/Cluster deployment/image release/OS vulnerability/Console/distribution 审计均 compatible。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 与 MCP 也不变。本门无 schema/migration/SQL/role/Pool/连接拓扑变化，复用紧邻 D-331 的 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线。由于当前没有公开 3.0 release digest，且工作站没有真实 `gh/cosign`，ADR-0424 必须保持 Proposed；stub 或本地 image 不能冒充最终外部 ceremony，公开 digest 可用后才记录真实 report/tool digest 并转 Accepted。
 - D-331/ADR-0423（已接受）：`@qinglong/cluster-admin` 在既有 `copilot-console/` 职责目录增加独立 TypeScript evidence verifier，并以第 11 个静态产品命令 `ql3-cluster-admin evidence-verify --bundle=/absolute/evidence.json` 交付。它只通过 no-follow/stable descriptor 读取一个最大 512 KiB 的 canonical absolute UTF-8 JSON，拒绝 BOM、CRLF、minified、duplicate-key、symlink、relative path 与读取中漂移；独立固定检查 exact bundle/request shape、13 operations、16-entry/8 MiB/64-item/depth/key ceiling、安全字段白名单和顺序 typed alias，再重算不含 `contentDigest` 的 canonical SHA-256。结果明确只证明 `bundleDigest=verified`；没有原始 fact 时逐条 digest 为 `not_recomputed_without_raw_facts`，server signature/attestation/durable audit 均未验证且 action authority 为 none。实现不读 stdin/environment/context，不联网、不写文件、不新增 package、依赖、route、listener、数据库、Kubernetes workload 或 Edge/Standalone closure。定向门 18/18，Cluster Admin 387 pass/3 条件 skip，18-package clean build/test 退出 0，backend 1,225 pass/2 条件 skip/0 fail。真实 arm64 Admin image `qinglong3-cluster-admin:d331-local` 为 344,567,527 bytes，在 non-root/read-only/network-none/no-capability/no-new-privileges/0.25 CPU/128 MiB/32 PIDs 下验证 11 个命令、有效 bundle、tamper rejection 与零 verifier file write。npm pack dry-run 为 250 files、271,238-byte tarball、1,690,196-byte unpacked；结构/依赖/部署/发布/Console 审计零 finding，workspace 保持 18 package、无 single/shallow package，Cluster Admin 122 个源码中 121 个位于领域目录。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 仍为 2,589,890/2,589,968 bytes。因本门没有 schema/migration/SQL/role/Pool/连接拓扑变化，不重复冒充执行 HA，复用紧邻 D-330 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线。下一门应完成公开 release digest 的外部工作站 ceremony，不得给 verifier 增加上传、签名或行动能力。
 - D-330/ADR-0422（已接受）：同一 loopback-only Cluster field ledger 现可由用户显式导出纯浏览器本地的脱敏 evidence bundle。导出只消费本页已逐次读取的最近 16 条、最多 8 MiB canonical fact，不调用 upstream/BFF、补读详情/分页、轮询、上传或持久化；固定 sanitizer 只保留 operation、非权威本机观察时间、安全枚举/boolean/有界 number、结构计数/分页事实、per-bundle typed alias 与原始 fact canonical byte count/SHA-256，自由文本、名称、路径/URL/command/input/output/environment、reason/error/message、credential/token/session/authorization、未知字段及 Copilot model text 一律省略。bundle 固定为 UTF-8 `qinglong/cluster-console-redacted-evidence-bundle@v1` JSON、最大 512 KiB，顶层 self-digest 明确不是 server signature/audit/action authority；生成器作为第 4 个 digest-bound asset 留在既有 `@qinglong/cluster-admin`，不增加 package、依赖、Cluster/BFF route、数据库、对象存储、Kubernetes workload 或 Edge/Standalone closure。定向门 24/24，Cluster Admin 382 pass/3 条件 skip，完整 18-package test 退出 0，backend 1,224 pass/2 条件 skip/0 fail。真实浏览器以恶意 HTML、credential-like 值、私有路径和 Copilot model text 验证纯文本与零泄漏；3 次显式读取后导出 3,611-byte 可复算 JSON，upstream 计数仍为 3，390×844 无横向溢出且 0 console error/warning。真实 arm64 Admin image `qinglong3-cluster-admin:d330-local` 为 344,543,263 bytes，在 non-root/read-only/network-none/no-capability/no-new-privileges/0.25 CPU/128 MiB/32 PIDs 下验证 10 个产品命令、原生/host-published Console、第 4 个 asset 与内置分发。npm pack dry-run 为 246 files、267,731-byte tarball、1,665,996-byte unpacked；package/dependency/Edge import/Cluster deployment/image release/Console/distribution 审计零 finding。workspace 保持 18 package、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，1,199 个源码中 1,181 个位于职责目录。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 保持 4,493,043/4,493,175 bytes，MCP 保持 7,315,930/7,316,038 bytes。PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2`，报告 SHA-256 `c9feb83c98ad2269c7649bd0869921d9dee7cfd00c9bc1a8a7879d81630d37c7`，证据审计与 Docker 残留均为零；本 Gate 没有 schema、migration、SQL、role、Pool 或连接拓扑变化。下一独立 Gate 应交付公开 release digest 的外部工作站 ceremony，或提供独立、离线、无 authority 的 evidence bundle verifier；不得为导出增加服务端聚合、稳定跨包标识、自动抓取或上传能力。
 - D-329/ADR-0421（已接受）：同一 loopback-only Console/BFF 已扩展为 Cluster field ledger，固定提供 Copilot `inspect|output`、Run list/detail/events/steps、Task list/detail、Workflow list 与 Workflow Run list/detail/events/steps 共 13 个显式只读 operation；browser 仍不能提交 upstream URL/method/header/credential。服务端 exact contract 负责 ID/cursor/limit 校验和 path/query 生成，并复用既有 owner-private `ql3c_`、TLS 1.3、request-ID、2 MiB response 与低敏错误 transport；通用 Project read grammar 只接受审核过的 Run/Task/Workflow GET，拒绝 mutation、absolute URL 与 path traversal。UI 采用仅存内存的 evidence ledger，每次按钮只执行一次读取，分页只在 `hasMore|truncated` 携带 cursor 时由用户显式触发，没有自动 detail cascade、poller、WebSocket/SSE、retry、queue、cache 或后台 timer。实现继续留在 `@qinglong/cluster-admin`，workspace 维持 18 package，部署 credential 推荐只授予 `run.read|task.read|artifact.read`；不回接 2.x Web/session、不新增 Cluster route/schema/SQL/Pool/Kubernetes resident service，也不进入 Edge/Standalone closure。13-operation contract、Console/CLI/TLS 定向门 23/23，Cluster Admin 378 pass/3 条件 skip，完整 18-package test 退出 0，backend 1,223 pass/2 条件 skip/0 fail。真实浏览器完成 Run/Task/Workflow 读取、显式下一页、恶意 HTML 纯文本、390×844 与零 console error/warning，并发现、修正 `[hidden]` 被 panel layout 覆盖的问题；真实 arm64 Admin image `qinglong3-cluster-admin:d329-local` 为 344,518,724 bytes，在 non-root/read-only/network-none/no-capability/no-new-privileges/0.25 CPU/128 MiB/32 PIDs 下验证 10 个产品命令、原生/host-published Console 与内置分发文件。npm pack dry-run 为 245 files、262,246-byte tarball、1,642,267-byte unpacked；package/dependency/Cluster deployment/image release/Console/distribution 审计零 finding，workspace 为 18 package 且无 single-source/shallow package。14 档 Local artifact 全部 compatible；默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 保持 4,493,043/4,493,175 bytes，MCP 保持 7,315,930/7,316,038 bytes。本 Gate 无 schema、migration、SQL、role、Pool、连接或 HA 拓扑变化，继续引用 D-323 PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2` 基线。下一独立 Gate 应把现场 evidence 升级为可下载的显式脱敏诊断包，或补公开 release digest 的外部工作站 ceremony；不得增加浏览器代理权、自动全量抓取或把 Console 变为 Kubernetes 常驻服务。

docs/adr/ADR-0196-local-image-attested-multiarch-release-contract.md

@@ -7,6 +7,7 @@
   D-184、D-185、D-186
 - 关联 ADR：ADR-0042、ADR-0090、ADR-0128、ADR-0185、ADR-0194、
   ADR-0195
+- 后续修订：ADR-0425 已取代本 ADR 的固定三镜像矩阵；本 ADR 的 Local image identity、双架构、SBOM、签名与 digest rollout 约束继续有效。
 
 ## 背景
 

docs/adr/ADR-0253-private-worker-management-evidence-image-release-gate.md

@@ -4,6 +4,7 @@
 - 日期：2026-08-01
 - 关联 RFC：QL-RFC-0001 D-235、D-236
 - 关联 ADR：ADR-0128、ADR-0196、ADR-0252
+- 后续修订：ADR-0425 已把本 ADR 的私有 Worker evidence gate 收窄到 `cluster|all` 发布族；`local` 发布不得等待该证据，Cluster 的 source/freshness/private-runner 约束继续有效。
 
 ## 背景
 

docs/adr/ADR-0424-external-cluster-admin-release-workstation-ceremony.md

@@ -28,12 +28,13 @@ attestation service、transparency log、本地 Docker daemon 和短期 GitHub t
    `cosign`、`gh`、`docker`、短期 token file 和新 report path；mutable tag、branch
    ref、owner 漂移、symlink、group/other-writable executable 或已存在输出均失败关闭。
 2. 三个外部工具按绝对路径直接执行，不经 shell 或 ambient `PATH`。GitHub token
-   必须来自 current-owner `0600` bounded file，只注入三个 `gh attestation verify`
+   必须来自 current-owner `0600` bounded file，只注入四个 `gh attestation verify`
    子进程；不得进入 argv、`cosign`/`docker` 环境、报告或失败输出。工具在执行前后
    复验 device/inode/size/SHA-256，降低 ceremony 中途替换风险。
 3. ceremony 精确执行一次 keyless signature 验证，以及绑定 release workflow、
    source digest、source tag、非 self-hosted runner 和 OCI bundle 的 provenance、
-   CycloneDX、OS-vulnerability 三类 GitHub attestation 验证。随后拉取同一 digest，
+   CycloneDX、OS-vulnerability、source-derived release-candidate contract 四类 GitHub
+   attestation 验证。随后拉取同一 digest，
    要求本地 image inspection 的 Linux `amd64|arm64` `RepoDigests` 包含精确输入。
 4. ceremony 使用固定、非敏感、单条 `run_read` redacted evidence vector 检验最终
    release image 内的第 11 个 `evidence-verify` 产品命令。该容器使用 non-root
@@ -41,12 +42,12 @@ attestation service、transparency log、本地 Docker daemon 和短期 GitHub t
    128 MiB、0.25 CPU 与 32 PIDs，只读挂载 vector；输出必须与独立 verifier 的
    exact no-authority result 一致，vector inode/size/mtime/digest 前后不变。
 5. 成功只新建一个 current-owner `0600`、two-space canonical JSON 报告。报告保留
-   public release identity、工具 SHA-256/size、七步 argv/stdout/stderr digest 与字节数、
+   public release identity、工具 SHA-256/size、八步 argv/stdout/stderr digest 与字节数、
    verification/isolation 结果和自身 canonical SHA-256，不保留原始工具输出、token、
    executable path 或 workstation identity。它明确声明
    `reportAttestation=none`、`actionAuthority=none`。
 6. 独立 offline audit 使用 no-follow stable read 校验报告 canonical encoding、exact
-   shape、expected release identity、工具与七步 transcript digest、一致的 isolation/
+   shape、expected release identity、工具与八步 transcript digest、一致的 isolation/
    limitation 以及顶层 digest。其结果固定为 `externalResults=not_replayed`；离线审计
    不能证明外部命令确实运行，也不能重放某一历史时点的 registry、GitHub 或
    transparency-log 状态。

docs/adr/ADR-0425-deployment-family-release-candidate-contract.md

@@ -0,0 +1,120 @@
+# ADR-0425：按部署族冻结 3.0 Release Candidate，并闭合 Worker 发布集合
+
+- 状态：Accepted（实现与静态/变异门已完成；公开 tag、GHCR digest 和远端证明结果待实际发布）
+- 日期：2026-08-16
+- 关联 RFC：QL-RFC-0001 D-01、D-03、D-05、D-14、D-42、D-61、D-186、D-257、D-333
+- 关联 ADR：ADR-0088、ADR-0128、ADR-0196、ADR-0253、ADR-0254、ADR-0255、ADR-0281、ADR-0420、ADR-0424
+
+## 背景
+
+原唯一 image release workflow 有两项结构问题。第一，version 只由 dispatch input 与 tag 字符串相互校验，
+没有把 18 个 QL3 workspace manifest、容器 runtime manifest、Node ABI、Dockerfile version、部署 Profile、
+镜像集合与双架构矩阵冻结为同一份可证明契约。第二，Local、Control、Control AI 与 Admin 四个 image 被一个
+固定矩阵发布，且无条件等待 Worker management 和 CloudNativePG 两个私有集群证据。这让只使用
+Edge/Standalone 的路由器/NAS 发布也依赖集群 HA 基础设施；反过来，真实 Cluster 部署需要的
+`qinglong3-worker` 已有 Dockerfile、锁文件、Kubernetes manifests 和 live rollout，却完全不在发布矩阵中。
+
+这不是测试数量问题，而是产品集合和发布 authority 不一致：轻量用户被过度阻塞，集群用户又拿不到完整制品。
+
+## 决策
+
+### 1. 唯一 workflow 支持三个封闭部署族
+
+`.github/workflows/ql3-image-release.yml` 继续是唯一 image publication authority，并只接受显式
+`workflow_dispatch` 到 exact protected `v3` tag。新增必选 `release_scope`：
+
+- `local`：仅 `qinglong3-local-application`，服务 Edge/Standalone；
+- `cluster`：`control`、可选 AI control、Admin、Worker；
+- `all`：同时发布两族，但不得弱化任一族的门禁。
+
+scope 不接受自由文本、额外 repository 或运行时拼接。matrix 只能来自下一节的 source-derived contract，
+workflow 内不再维护第二份 image 清单。
+
+### 2. Source-derived release-candidate contract 是矩阵唯一来源
+
+根级 `ql3-release-candidate-contract.cjs` 接受 exact QingLong 3 SemVer、40-hex commit、匹配的完整 tag ref 和
+closed scope，随后从受审源码推导 no-replace canonical JSON：
+
+- 18 个 workspace 必须全部通过 package-boundary audit，hard cap 仍为 18，且无 single/shallow package；
+- 每个 workspace version 必须等于 tag version，Node engine 必须为 `>=24.18.0 <25`；
+- 每个所选 image 的 production manifest、Dockerfile Node 24.18.0 与 OCI version label 必须相同；
+- 平台固定 `linux/amd64`、`linux/arm64`；
+- Local profile 固定 `edge|standalone` 且不要求 Cluster private evidence；
+- Cluster profile 固定 `cluster|worker-edge|worker-node`，必须要求 Worker management 与 CloudNativePG evidence；
+- legacy 根 package 的 2.x version 只作为兼容事实记录，并明确排除出 3.0 release identity。
+
+报告携带对自身 unsigned exact JSON 的 SHA-256。publisher 从同一 checkout 重新生成并独立 exact-audit，不能直接
+信任 job output 中的任意 repository/path；job output 只传递 contract 派生的有界 matrix 和 cluster evidence bit。
+
+### 3. Local 不再被 Cluster HA 证据阻塞
+
+Local scope 的两个私有 evidence job 必须为 skipped；publisher 仍无条件依赖 release-candidate 与 native OS scan，
+并继续对 pushed Local digest 执行 Edge/Standalone 两个真实 compose rollout。Cluster/all scope 才能把 private
+evidence bit 置为 true；publisher 使用显式 `always()` 条件，只在 candidate/OS 成功，且 cluster scope 的两个
+私有 job 均成功时取得写权限。skipped 不能被当作 Cluster success，failed/cancelled 也不能通过条件表达式旁路。
+
+### 4. Cluster 发布集合必须包含 Worker
+
+Worker 加入与其他 image 相同的 native amd64/arm64 build-once、Trivy 0.70.0 OS-only HIGH/CRITICAL、扫描证据、
+OCI merge、production dependency audit、CycloneDX、Cosign keyless、GitHub attestation、远端 manifest 回读和
+验证后 tag promotion。Worker production SBOM 当前为 27 components（24 external、3 internal）和 28 dependency
+nodes；唯一新增 license allowlist 项是锁中 `asn1js` 的 BSD-3-Clause。OCI config 固定 non-root `65532:65532`、
+唯一 Worker process entrypoint、`io.qinglong.profile=worker`、`edge,node` capacity profiles 与 exact 3.0 version。
+
+Control/Admin Dockerfile 同步补 exact 3.0 version label，使 tag、workspace、runtime manifest 与所有 OCI config
+首次共享同一 release identity。
+
+### 5. Candidate contract 必须成为 digest-bound 第四类证明
+
+每个发布 digest 除 SLSA、CycloneDX、OS-vulnerability 外，再以
+`https://qinglong.dev/attestations/release-candidate-contract/v1` 附加 candidate predicate，并以 repository、
+workflow、source digest、source ref、非 self-hosted builder 和 OCI bundle 远端回读。Admin image 内的
+`verify-release.sh`、外部 workstation ceremony 与 offline report auditor 同步从三类/七步升级为四类/八步；
+否则“生成了 contract”不能算发布者或部署者实际验证过。
+
+## 资源与权限边界
+
+- 不新增 workspace package、npm production dependency、数据库、migration、SQL、role、Pool、connection；
+- contract 与 audit 只在显式 release job 短生命周期运行，不进入 Local/Worker/Control/Admin runtime filesystem；
+- 不增加 Edge/Standalone timer、watcher、listener、queue、cache 或常驻进程；
+- Local scope 不接触 self-hosted private evidence runner；Cluster scope 不得把 skipped 私有证据解释为成功；
+- release tag 仍只在所有 digest verification 完成后 promotion，tag 本身不成为部署 authority。
+
+## 失败与恢复
+
+- tag/version/workspace/container version 任一漂移：修正源码并重新创建 tag，不手改报告；
+- package boundary 不兼容或出现第 19 个 package：先独立评审边界，不扩大 candidate hard cap；
+- Worker SBOM/license/config 漂移：更新锁与供应链 ADR 后重跑，不能从 Cluster scope 静默删除 Worker；
+- Local scope 意外等待 Cluster evidence：视为发布拓扑回归；
+- Cluster scope 的 private job skipped/failed：publisher 不启动；
+- candidate attestation 缺失或远端 source binding 不匹配：不得 promotion version/source tag；
+- 公开发布尚不存在：只报告 implementation-ready，不用 fixture、stub 或本机 tag 冒充 GHCR 成功。
+
+## 被拒绝的替代方案
+
+### 为 Local 和 Cluster 复制两套 workflow
+
+拒绝。它会复制 OIDC identity、action pins、scanner、copier、签名和 tag promotion 逻辑，形成安全策略漂移。
+
+### 继续发布固定 all matrix
+
+拒绝。低配用户会被无关 HA 证据阻塞，同时无法表达独立修补 Local image 的发布意图。
+
+### Cluster 不发布 Worker，让运维现场自行 build
+
+拒绝。部署 manifest 已把 Worker 作为产品制品；现场 build 绕过统一 SBOM、OS scan、签名与 provenance。
+
+### 只校验 tag，不持久化 candidate predicate
+
+拒绝。tag 不能证明 workspace、容器、Profile、平台和 gate 集合，也不能让部署端在 digest 上独立回读。
+
+## 验证
+
+- release candidate create/audit、scope/version/source/report mutation：7 项；
+- Worker SBOM/OCI、OS policy、共享 release workflow、Admin verifier/ceremony/distribution 定向总计 105/105；
+- backend 1,246 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0；
+- package boundary 返回 18 packages、hard cap 18、single/shallow 均为空；dependency、Edge import、Cluster/Worker deployment、image release、OS policy、Console/distribution 均 compatible；
+- 14 档 Local artifact 全部 compatible；默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；
+- Cluster Admin npm pack 为 250 files、271,238-byte tarball、1,690,196-byte unpacked；四个 runtime dependency root 的离线缓存审计为 0 vulnerability；
+- 本 Gate 无 schema、migration、SQL、role、Pool 或连接/HA 拓扑变化，因此不重复 PostgreSQL 门，复用 D-331 PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2` 基线；
+- 公开 tag 后再记录 GHCR 五镜像 digest、四类 attestation 与外部 Admin ceremony，不提前宣称完成。