# QingLong 3.0 Architecture RFC - RFC ID: QL-RFC-0001 - 标题：QingLong 3.0 运行时、工作流与 AI 自动化架构 - 状态：Draft - 目标版本：QingLong 3.x - 作者：QingLong Maintainers - 创建日期：2026-07-17 - 最后更新：2026-08-19 - 讨论范围：架构与演进路线，不包含最终 UI 视觉方案 最新增量证据（2026-08-19）： - D-367/ADR-0460（已接受；有界 blocked drill-down 与 Console 可选接入待完成）：在现有 `ql3 run`/`ql3-run-client` 增加一次性 `status --config=... --assertion=... --project=... [--format=text|json]` 产品入口。它在内存生成固定 `run.cancellation.summary` 命令，仍经同一 exact codec、TLS 1.3、Run 专用 mTLS/OIDC、固定 management route 和响应交叉不变量校验；原 `--command` 私有文件模式保持兼容。默认 text 是无 ANSI 的确定性 Project 状态卡，JSON 使用 `qinglong/run-cancellation-status@v1`；两者只含 D-366 低敏计数与结论。告警映射固定为 `clear→ok/0`、`converging→warning/10`、`attention_required→critical/20`，查询失败仍为 1、用法错误仍为 64，使外部 supervisor 无需解析自然语言。 命令一次请求后退出，不轮询、不重试、不缓存、不保持 socket，也不改变 Cluster readiness。实现只在已有 `cluster-admin/run-management` 与 `management-support` 内增加真实职责，不新增 package、binary、依赖、服务、端口、timer、queue、cache、数据库权限、migration 或 Kubernetes 对象； Edge/Standalone 闭包不变化。未知 blocked Run 的发现仍须后续独立的有界 cursor 契约，不能把 status 扩成无界列表或把第二组管理 authority 默认塞进 Copilot Console。聚焦门 `12/12`、CLI/product 真实进程门 `15/15`；Cluster Admin 全量为 `407 total / 404 pass / 3 conditional skip / 0 fail`， backend 为 `1,489 total / 1,487 pass / 2 conditional skip / 0 fail`，18-package clean build/test 退出 0。四项架构审计与 `14/14` Local artifact audit 全部 compatible；workspace 保持 18 packages、无 single/shallow package，Cluster Admin 为 123 个 source、122 个 nested source、仅 1 个受审 binary root entry。基础 Edge/Standalone 保持 `2,589,998 / 2,590,076` bytes，Application+AI 保持 `4,493,151 / 4,493,283` bytes，MCP 保持 `7,315,930 / 7,316,038` bytes。PostgreSQL 18.6 arm64 HA `145/145`、timeline `1→2`，报告 SHA-256 为 `59a568d0511cde671946ebf6df09f88868a3d591c5021c90bc27d4715411091e`，独立 evidence audit compatible 且零 finding。 - D-366/ADR-0459（已接受；一次性产品 CLI 由 D-367 完成，Console 可选接入待完成）：在既有 Run management plane 增加 `run.cancellation.summary`，由强认证 User 以 `run.read` 按需读取 Project 级 PostgreSQL 快照。响应只有五态 dispatch 计数、due/expired-lease 信号、四种 blocking-result 计数、最早 blocked 时间和 `clear|converging|attention_required`/`none|wait|inspect` 固定结论，不返回 Run/Attempt/Worker identity 或 lease capability。blocked 触发 `attention_required`，但不错误撤回整个 Cluster readiness；due/expired 只作为 caller-driven 收敛信号。查询与 allowed audit 位于同一 5 秒 SERIALIZABLE 短事务，复用 v66 Run manager SELECT、既有单连接池和通用 mTLS 客户端，不新增 migration、权限、package、依赖、服务、端口、timer、 queue、cache 或 Kubernetes 对象。Edge/Standalone 闭包不变化；代码继续位于已有 `run-management` 子域，没有新增微包或 `src` 根目录平铺。完整 backend `1,487 pass / 0 fail / 2 conditional skip`，18-package clean build/test、四项架构审计与 `14/14` Local artifact audit 通过；基础 Edge/Standalone 保持 `2,589,998 / 2,590,076` bytes，Application+AI 保持 `4,493,151 / 4,493,283` bytes。PostgreSQL 18.6 arm64 HA `145/145` 执行 blocked summary→inspect→rearm→production delivery→WAL→promotion，timeline `1→2`，报告 SHA-256 为 `d763157b3a781e305add3c6f0c5080820b1d65b5feefe60be6fa7006c0050107`。 - D-365/ADR-0458（已接受；聚合出口由 D-366、一次性产品 CLI 由 D-367 完成）：在既有隔离 `cluster-admin` Run management plane 上增加 `run.cancellation.inspect` 与 `run.cancellation.rearm`，不新建 package、服务、端口、timer、连接池或 Kubernetes 对象。inspect 要求强认证 User 与 `run.read`，viewer 可读取 Run/dispatch 的固定低敏投影，但永不返回 lease owner、raw token 或 token digest；rearm 要求 `run.stop`，只接受 `blocked + expected dispatch version + expected blocking result` 的精确 CAS，retry delay 固定为 1 秒至 24 小时并由 PostgreSQL `transaction_timestamp()` 计算绝对到期时间。成功事务同时推进 Run version/event sequence、保留 blocking result 作为历史、追加 `run.cancel_dispatch_rearmed` 与 allowed audit；mutation replay 返回同一不可变 receipt，stale result/version、终态 Run、非活跃 Attempt 或 authorization drift 均失败关闭。`pg-0067-cancellation-dispatch-management` 把 capability 提升至 v66，只给 `ql3_run_manager` 增加 dispatch SELECT 与 `status/version/next_attempt_at_ms/updated_at_ms` 四列 UPDATE。真实 HA 首跑发现 `FOR KEY SHARE` 会隐含要求 Attempt UPDATE 权限，最终以既有 SERIALIZABLE 事务、Run 行锁和普通 Attempt 读取修复，没有扩权。完整 backend `1,487 pass / 0 fail / 2 conditional skip`，18-package clean build/test、四项架构审计与 `14/14` Local artifact audit 通过；workspace 仍为 18 包，`cluster-postgres` 为 172 个 source（171 nested），基础 Edge/Standalone 仍为 `2,589,998 / 2,590,076` bytes，Application+AI 为 `4,493,151 / 4,493,283` bytes。PostgreSQL 18.6 arm64 HA `144/144` 真实执行 blocked→低敏 inspect→CAS rearm→not-due→生产交付→WAL→promotion；timeline `1→2`，报告 SHA-256 为 `58f43327f426c286aaa1764aa6dd9f5963a462304716e09b933f326991442b8a`。 - D-364/ADR-0457（已接受；运维可见性与实机容量门待完成）：把 PostgreSQL CancellationDispatch 接入既有 caller-driven Remote Worker lease-control 生产路径，没有新建扫描 timer 或第二调度 authority。只有已有 Session/RunDispatchLease/Attempt fence 产生 `stop_requested` 后才 claim； `claimed` 必须先以 `termination_requested` 原子结算 dispatch 与 `run.cancel_dispatched`，验证 durable 结果后才向 Worker 释放停止响应；`dispatched` 精确重放，foreign live lease、not-due 与 blocked 均失败关闭并撤回可用性。Workflow Task timeout 保持 `untracked`，不伪造父 Run cancellation。 owner 复用 recovery replica ID，观察面只含固定状态/code/scope；包装层不拥有 timer、listener、queue、connection 或 lifecycle，shutdown 复用 Worker ingress drain 后再关闭数据库的既有顺序。完整 backend `1,487 pass / 0 fail / 2 conditional skip`（总计 1,489）；18-package clean/build 与顺序测试 退出 0；五项架构审计与 `14/14` Local artifact audit 通过，workspace 仍为 18 包且新增文件位于 `cluster-control/remote-execution` 子域；基础 Edge/Standalone 保持 `2,589,998 / 2,590,076` bytes 且无 PostgreSQL 闭包。PostgreSQL 18.6 arm64 HA `144/144` 保留双连接 claim/takeover/fence/retry/WAL/promotion 证据并新增 production settle-before-stop；timeline `1→2`，报告 SHA-256 为 `4313b405c2ea56a3d44bc4907d5299b6e5c0d3062bb9c9f1522749d1021bd462`。 - D-363/ADR-0456（已接受；生产交付由 D-364 接入）：完成 profile-neutral CancellationDispatch canonical contract 与 PostgreSQL `pg-0066-cancellation-dispatch`/capability v65 adapter。公共契约仅从显式子路径发布，调用方不提交当前时间、lease expiry 或绝对 retry timestamp； PostgreSQL 以 `transaction_timestamp()` 作为 lease/retry authority，按 Run→Attempt→dispatch 固定锁序执行 claim/result。raw lease token 只随成功 claim 返回，durable record、表、WAL 与事件只保存 domain-separated SHA-256 digest；结果事务原子完成 dispatch 更新、Run version CAS 与低敏 RunEvent，runtime 角色对新表只有 SELECT/INSERT/UPDATE。新增能力收进 `run/cancellation-dispatch` 与 `run/migrations` 子域，没有扩大 workspace package 数、根入口、生产依赖、 timer、连接、端口或 Kubernetes 对象；Local legacy adapter 复用 canonical outward record，但本阶段不冒充已迁移既有 SQLite raw-token 存量。完整 backend `1,487 pass / 0 fail / 2 conditional skip`；18-package clean/build 退出 0，18-package 顺序测试单次退出 0；五项架构审计与 `14/14` artifact audit 全部通过，基础 Edge/Standalone 仍为 `2,589,998 / 2,590,076` bytes 且不包含 PostgreSQL 闭包。PostgreSQL 18.6 arm64 HA 门 `144/144`，覆盖双连接单 claim、数据库时间、digest-only token、租约接管、stale fence、retry due、事务回滚、WAL standby 与 promotion 后读取；timeline `1→2`，报告 SHA-256 为 `b168b25023f7aad623153d22e41cccfe5f511a6985dc75c9e9e20073f980d5cb`，临时容器已清理。 - D-362/ADR-0455（已接受；首次真实目标实例执行待运维）：manual Primary 默认 bootstrap 在 router 安装后、`activated` 审计前原子发布 `qinglong/manual-primary-runtime-receipt@v1` 当前状态，并在清理前后推进 `active → stopping → stopped`；激活或停止失败收敛为 `failed`。receipt 固定为 config root 内一个 `0600`、8 KiB 上限、有 domain-separated 自摘要的 observed-state projection，绑定 Profile、manifest revision 与原始 SHA-256，但不成为第二 rollout authority。 Linux 以 boot ID、PID、process-group 与 start ticks 联合复验，已有 live identity 时拒绝替换，旧 identity 确定退出后才允许新 generation 接管；非 Linux portable receipt 可用于开发启动，但独立 auditor 必须返回 unsupported，不能宣称 current。canary auditor 新增 `--require=active`，同时复核 plan/qualification/selection/live manifest、 receipt binding 与进程 current；`off|rolled-back` 也会拒绝仍存活的旧 Primary。由此明确了无 watcher 约束：审批过期/rollback 使下一次 bootstrap 为 off，但不会自动卸载已运行 router，operator 必须停止/重启后再闭合审计。默认关闭路径零新增 I/O/timer/watcher/连接，不新增 package、依赖、schema、migration 或部署对象。 阶段门已重跑：聚焦 `25/25`、`build:back`、完整 backend `1,487 pass / 0 fail / 2 conditional skip`、18-package clean build/test、四项架构审计与 `14/14` artifact audit 全部通过；14 档字节与 D-361 一致。隔离 frozen-dependency Linux arm64 Docker 的 128 MiB router/256 MiB Edge release peak 分别为 `87,339,008 / 145,506,304` bytes，`memory.events max/oom/oom_kill` 增量均为 0。D-362 不改 PostgreSQL schema/migration、依赖树或 Kubernetes 拓扑，故不重跑 PostgreSQL HA；相邻 D-359 的 `142/142` 与 timeline `1→2` 仅作为既有证据。 - D-361/ADR-0454（已接受；首次真实用户目标实例执行待运维）：把 D-360 的 manual Primary evidence/gate 收敛为一次显式、可重放且不新增常驻组件的目标实例仪式。 `prepare → observe → resource → qualify → approve → status/audit → rollback` 固定为七个 operator-driven 阶段；Edge 精确 8 条，Standalone 由维护者在 32–128 条内选择精确目标。prepare 绑定当时 absent/disabled rollout 基线并只输出 `QL_DEPLOYMENT_PROFILE`、`QL3_SHADOW_ORIGINS=manual` 和唯一 capture basename，不触发任务、重启或自动启用；observe 固定复用五分钟闭合窗口只读审计，resource 固定执行 compiled-backend full rollback。qualification 同时绑定 plan、三份原文件 SHA-256、canonical evidence SHA-256 与 Primary gate；approve 是唯一写 live manifest 的动作，显式审批最长 24 小时，并在最终写入前复核基线摘要。 写入结果只称 `activation_approved`/`primary_selected`，强制返回 `requiresRestart=true`、`runtimeActivationObserved=false`，不能冒充现有 bootstrap 已完成 `selected → reconciled → activated`。rollback 以 intent→摘要复核→disabled 原子替换→completion 链支持 response-loss 重放；审批过期立即按 off 解释，但仍要求显式 rollback 收敛磁盘事实。config root/证据要求当前 UID、非 symlink、group/world 不可写及 `0600` no-replace；路由设备不增加 daemon、watcher、timer、连接、package、 生产依赖、schema、migration 或部署对象。真实 compiled backend 已完成一次 Edge `prepare → resource`，只证明仪式固定 child/资源回滚入口可执行，不冒充真实产品入口的 8 条 manual admission、运行态 activation、物理路由、flash 或断电证据。阶段门已重跑：聚焦 `24/24`、`build:back`、完整 backend `1,481 pass / 0 fail / 2 conditional skip`、18-package clean build/test、四项可执行架构审计与 `14/14` artifact audit 全部通过；14 档产物字节与 D-360 完全一致。使用隔离 frozen-lockfile Linux 依赖重新执行 arm64 Docker 门后，router stress 保持 `128 MiB / 0.5 CPU / 0 swap / 64 PID`，cgroup peak `81,887,232` bytes；Edge release 保持 `256 MiB / 1 CPU / 0 swap / 128 PID`，13 个 workload 全绿、peak `148,840,448` bytes，两档 `memory.events max/oom/oom_kill` 增量均为 0。D-361 不改 PostgreSQL schema/migration、依赖树或 Kubernetes 拓扑，故不重跑 PostgreSQL HA；相邻 D-359 的 `142/142` 与 timeline `1→2` 仅作为既有证据。 - D-360/ADR-0453（已接受；首次真实目标实例 manual canary bundle 待执行）：不再用 2.x RunningInstance 推测 Legacy→Shadow 分母，也不再让 Primary manifest 只信任维护者填写的 `"passed"`。默认 Legacy bridge 为每个已启用 origin admission 分配 process-epoch token，固定守恒 `captured + failed + pending = admitted`，失败只分 `fact/observer/initialization/accept`；只有真实 Shadow writer accept 才结算 captured，Legacy spawn/返回值与失败开放语义不变。HTTP worker 在 startup reconciliation 后装配无 timer/watcher 的一次性 exporter；仅显式配置 `QL3_SHADOW_CAPTURE_EVIDENCE_FILE` 时，干净 shutdown 才以 `0600`、no-replace 写一份不含 Run/Cron/Attempt/PID/task/path 的 capture+startup evidence。 `gate:legacy-shadow-primary:ql3` 当前只裁决 manual：Edge 必须精确 8 条、Standalone 为 32–128 条；capture window 与 closed terminal audit 必须完全一致， captured/scanned/matched 相等、两种 agreement 均为 1000/1000，并绑定同 Profile 的 compiled-backend full rollback/resource report。Primary gate v1 bundle 嵌入三份低敏 source report 及 canonical SHA-256；rollout manifest 升为 v2，loader 通过同目录 basename+digest 读取 bundle 后重新计算 source digest 和 全部门禁，不信任 CLI 的 eligible 字段，且复验 receipt 先于审批、Profile 与实际部署一致。v1 enabled、缺失/篡改/ineligible bundle、样本不足、pending/failure、 terminal 漂移、audit-only rollback 或 symlink 均失败关闭；disabled/off 保持零重组件。真实 compiled backend `ScheduleService.runTask` 已让默认 system bridge 产生 admitted/captured `1/1`、failed/pending `0/0`，只证明真实结算链，不冒充正式 manual canary。该能力不自动写 manifest、不启用 Primary、不授权其他 origin，也不证明物理路由、flash、断电或跨主机签名。阶段门已重跑：聚焦 `48/48`、Legacy/Shadow 串行扩展 `117/117`、资源/回滚专项 `4/4`、`build:back`、完整 backend `1,469 pass / 0 fail / 2 conditional skip`、18-package clean build/test、四项可执行 架构审计与 `14/14` artifact audit 全部通过。14 档产物字节保持 D-358 基线。Linux arm64 router stress 维持 `128 MiB / 0.5 CPU / 0 swap / 64 PID`， cgroup peak `95,113,216` bytes；Edge release 维持 `256 MiB / 1 CPU / 0 swap / 128 PID`，13 个 workload 全绿、peak `144,740,352` bytes， 两档 `memory.events max/oom/oom_kill` 增量均为 0。D-360 不改 PostgreSQL schema/migration、依赖树或 Kubernetes 拓扑，故不重跑 PostgreSQL HA； 相邻 D-359 的 `142/142` 与 timeline `1→2` 只保留为既有证据，不冒充本阶段新结果。 - D-359/ADR-0451、ADR-0452（已接受）：为 D-358 的闭合窗口审计增加真实 compiled-backend 资源与关闭回滚门。证据 schema 固定为 `qinglong/legacy-shadow-resource-rollback-evidence@v1`；edge 为 8 candidates/1 page，standalone 为 128 candidates/4 pages，8 个样本分别精确执行 16/64 条查询，SQLite database/WAL/SHM/journal 的 logical/allocated bytes 和 file count 前后必须一致。full 模式经过独立进程重启：enabled 与 off 都执行真实 `ScheduleService.runTask` Legacy child 且 exit 0，Shadow Run 增量必须从 1 变为 0；off 还要求零 fact factory、默认 observer/Repository 未加载。Linux arm64 router stress 保持 128 MiB/0.5 CPU/0 swap/64 PID，cgroup peak `80,416,768` bytes，edge audit p95 `3.914 ms`；Edge release 保持 256 MiB/1 CPU/0 swap/128 PID，cgroup peak `139,079,680` bytes，edge full/standalone audit p95 分别为 `32.056/19.265 ms`，两档 `memory.events max/oom/oom_kill` 增量均为 0。双 Node crash harness 留在 256 MiB 发布门，完整 Edge+Standalone Workflow/Prompt crash matrix 仍通过；路由门只跑 单进程产品/恢复 workload，不提高内存或 timeout。只读 mount 验证改为解析路径实际生效的最具体 mount：`/workspace` 可继承只读 `/`，但任一可写 descendant 仍失败。干净镜像同时暴露历史 `build:back` 被 stale artifact 掩盖的 TypeScript common-root 错位；新构建器在隔离 staging 编译，只原子发布 `output/back` 到既有扁平 `static/build/*`，重写 source map，拒绝携带 `output/packages`，失败保留上一版。D-359 不新增 package、生产依赖、schema、 migration、数据库 authority、timer/watcher、端口或部署对象。完整 backend 与 18-package clean build/test 退出 0；静态契约 `126/126`，四项可执行 架构审计与 14/14 artifact budget 全部通过，制品字节保持 D-358 基线。D-359 不把 Docker arm64 冒充物理路由/断电/flash 证据。D-360 继续负责可信的 Legacy→Shadow capture authority、具体 exporter 与正式 Primary gate。 - D-358/ADR-0450（已接受）：新增显式、只读、一次性的 Legacy Shadow 闭合窗口终态审计。调用方必须提供 origin 与 `[windowStartMs, windowEndMs)`，cohort 固定为窗口内创建的 legacy-owned Shadow Run；只有窗口经过默认五分钟 settling、候选 keyset 与 Legacy evidence 都完整且分母非零时，才输出 terminal agreement/full comparability permille。关联只接受 direct Run/Attempt reference、同 Cron opaque log ID、PID 或唯一容差内 started time，任何多解或 evidence hard-limit 都归入 ambiguous/incomplete；报告按八类 outcome 与五个固定 dimension 计数守恒，不含 Project/Run/Attempt/Cron/PID/log/task/user/error identity。edge 预算为 `8 × 1 page`，standalone 为 `32 × 4 pages`；每页一次候选查询和一次 evidence 查询，无 N+1、timer、watcher、写入、schema/migration、package、生产依赖或部署对象。 因 2.x RunningInstance 没有可信 execution origin，v1 明确只证明 `shadow_to_legacy`，将 `legacyWithoutShadow` 标为 `not_measured`，不把它单独 冒充 Primary gate。阶段门已重跑：真实 SQLite/CLI 聚焦测试 `14/14`、Legacy/Shadow 串行扩展 `91/91`、`build:back`、完整 backend `1,455 pass / 0 fail / 2 conditional skip`、18-package clean build/test、14/14 static audit 与 14/14 artifact audit 全部通过。 edge/standalone 产物字节保持 D-357 基线：base `2,589,998 / 2,590,076`、adopted `2,809,293 / 2,809,416`、application `3,632,877 / 3,632,997`、application-api `3,800,430 / 3,800,574`、AI `3,069,251 / 3,069,341`、application+AI `4,493,151 / 4,493,283`、MCP `7,315,930 / 7,316,038`。本切片不改 PostgreSQL、容器或 Kubernetes 部署面，因而不重跑物理 PostgreSQL HA/K3s，也不把 D-357 的相邻结果冒充本阶段新证据；D-359 继续负责 edge/standalone 资源压力和 Shadow-off 回滚演练。 - D-357/ADR-0449（已接受）：将 D-356 的进程内 startup summary 收紧为可供后续 origin-scoped gate 使用的版本化差异证据。每个候选只归入 completed/cancelled/abandoned/markedLost/repaired/pending/ambiguous/skipped/failed 九个固定 outcome，总量与最多七条已配置 origin matrix 必须逐级守恒；bootstrap 还验证 Profile 页/候选预算、origin exact coverage、remaining/stopReason 与 page-limit cursor，畸形 summary 继续失败开放。`qinglong/legacy-shadow-startup-difference-report@v1` 只输出 Profile、预算、覆盖范围、固定计数与 converged/waiting_external_callback/incomplete/attention_required 四态 assessment，不含 Run/Cron/Attempt/PID/log/task/user/error 原文，也不在未知分母上伪造完整率。`qinglong/legacy-shadow-startup-metric-batch@v1` 以 profile/assessment/stopReason 三个固定维度和固定数值 字段提供单次 snapshot；默认结构化 audit 可直接采集，组合方也可注入一次性 collector，collector 失败不影响 Legacy。实现复用同一次扫描，只增加 最多七行常数内存，不新增 package、生产依赖、查询、schema/migration、连接、timer/watcher、进程、端口或部署对象；默认 off 与 cluster-control/worker 仍为零 Repository/报告/指标。本切片不把 startup snapshot 冒充跨测量窗口终态对账、具体 exporter、资源/回滚证据或 Primary gate。阶段门已重跑：聚焦 `21/21`、Legacy/Shadow 串行扩展 `77/77`、`build:back`、完整 backend `1,440 pass / 0 fail / 2 conditional skip`、18-package clean build/test、14/14 static audit 与 14/14 artifact audit 全部通过。 edge/standalone 产物字节继续为：base `2,589,998 / 2,590,076`、adopted `2,809,293 / 2,809,416`、application `3,632,877 / 3,632,997`、application-api `3,800,430 / 3,800,574`、AI `3,069,251 / 3,069,341`、 application+AI `4,493,151 / 4,493,283`、MCP `7,315,930 / 7,316,038`，与 D-356 完全一致。由于本阶段不改数据库、 容器或 Kubernetes 部署面，不重跑物理 PostgreSQL HA/K3s；对象存储恢复/PITR 与 cert-manager mTLS 轮换仍是既有发布最终化现场证据门。 - D-356/ADR-0448（已接受）：补齐监听前、一次性且 Profile-aware 的 Legacy Shadow Startup Reconciler。它只在至少一个已审 origin 显式 Shadow 时，于 Legacy `initData` 归一之后、manual Primary activation/HTTP listen 之前加载；默认 off 与 cluster-control/worker 均保持零 Repository/恢复查询/写入。只读 Source 使用 `(created_at_ms, run_id)` keyset，单页硬上限 64、每 Cron RunningInstance 证据硬上限 8，原始 log path 在 adapter 内先转为 opaque artifact ID。唯一终态证据补齐 success/failure/cancel；Node worker owner 重启后的 dispatching/running 收敛 lost，queued/claimed 收敛 abandoned cancellation；system crond 无终态证据保持 pending，等待稳定 execution ID callback。Attempt 已提交而 Run response loss 时，下次启动从唯一 terminal Attempt 修复 Run。edge 预算固定 `8 × 1 page`，standalone 为 `32 × 4 pages`，无 timer/watcher/第二 SQLite authority；remaining/ambiguous/failed 留给后续差异报表、指标与 Primary gate。本切片不新增 package、生产依赖、 schema、migration、进程、端口或部署对象。阶段门已重跑：启动恢复聚焦 `15/15`、Legacy/Shadow 扩展 `63/63`、Legacy 身份专项 `8/8`、两者串行组合 `71/71`、完整 backend `1,434 pass / 0 fail / 2 conditional skip`、18-package clean build/test、`build:back`、14/14 static audit 与 14/14 artifact audit 全部通过。edge/standalone 产物字节分别为：base `2,589,998 / 2,590,076`、adopted `2,809,293 / 2,809,416`、application `3,632,877 / 3,632,997`、application-api `3,800,430 / 3,800,574`、AI `3,069,251 / 3,069,341`、application+AI `4,493,151 / 4,493,283`、MCP `7,315,930 / 7,316,038`，与 D-355 完全一致。本切片只新增复用现有 SQLite authority 的只读 Legacy Sequelize Source，不修改 schema/migration、数据库连接拓扑、容器或 Kubernetes 资源，因此不重跑物理 PostgreSQL HA/K3s 门； 对象存储 backup/WAL/restore/PITR 与 cert-manager mTLS 轮换仍是既有发布最终化现场证据门，不因本阶段静态兼容通过而关闭。 - D-355/ADR-0447（已接受）：完成 `once/boot/grpc` 的独立裁决，但不因枚举存在而虚构三条 owner 边界。`bootTask` 是唯一真实独立触发路径：只筛选 enabled `@boot`，固定以 `boot` origin 复用 `runSingle` 已创建的同一个 ChildProcess；显式 Shadow 时形成 legacy-owned terminal Run/Attempt/八 Event，默认关闭且失败开放。`@once` 当前只是被 system/node scheduler 排除的 schedule 标记，用户执行仍进入 manual；gRPC `runCrons` 只是委托同一 `CronService.run` 的 transport，也保持 manual。`once/grpc` 保留在 domain/schema vocabulary，但不进入 Legacy Shadow allowlist，避免按任务定义或传输协议污染 origin、完整率和 Primary 门禁。本切片不新增 package、生产依赖、schema、migration、timer、watcher、进程、 端口或部署对象；路由设备默认零 Repository/listener/写入，cluster 也不获得新的本机 owner。阶段门已重跑：Legacy Shadow 聚焦 42/42、`build:back`、完整 backend 1,419 pass + 2 条条件 skip/0 fail、18-package clean build/test、14/14 静态审计与 14/14 artifact 档位全部通过；artifact 字节与 D-354 一致：基础 Edge/Standalone `2589998/2590076`、adopted `2809293/2809416`、application `3632877/3632997`、application-api `3800430/3800574`、AI `3069251/3069341`、application+AI `4493151/4493283`、MCP `7315930/7316038`。本阶段不修改数据库 schema/adapter、容器或 Kubernetes 拓扑，因此没有重跑物理 PostgreSQL HA/K3s 门，也不把相邻阶段结果冒充新证据。 - D-354/ADR-0446（已接受）：关闭 system crond Shadow 的最后一个准入身份缺口。只有实际 system scheduler 写出的 crontab 命令带 `QL_EXECUTION_ORIGIN=scheduled_system`；Node scheduler、manual/boot 与直接 Shell 调用不带标记，避免一次执行双记。Shell 每次 被标记执行只生成一个 `legacy-system::`，start/finish callback 原样复用；Linux 路由设备优先读取 kernel UUID， `uuidgen`/Node 只作 fallback。后端严格校验 ID，使用专用 detached observer 从 finish-only callback 建立 accepted→spawned→exited，不伪造 ChildProcess。Shadow writer 以 ID/accepted time 派生稳定 UUIDv7 形态 Run/Attempt ID并复用既有 Project idempotency unique index；只有完整 task/Cron/origin/request/time fence 一致才接受重放，response loss、重复 finish 和迟到 start 不增加 Run/Event，定义漂移失败开放。默认仍关闭， 不新增 package、生产依赖、schema、migration、timer、watcher、网络重试、端口或部署对象。D-354 开始前还复核了 18 包边界：4 个小包分别是 六消费者文件协议叶子、高权限短生命周期维护进程、三消费者 POSIX adapter 与 Secret/keyring authority，合并会扩大依赖或权限闭包，因此保留； 当前没有单源码包或平铺实现包。阶段门已重跑：system crond/Bridge/Correlation 聚焦 38/38、`build:back` 与 4 个 Shell 文件语法检查、完整 backend 1,415 pass + 2 条条件 skip/0 fail、18-package clean build/test、14/14 静态审计与 14/14 artifact 档位全部通过；artifact 字节与 D-353 完全一致：基础 Edge/Standalone `2589998/2590076`、adopted `2809293/2809416`、application `3632877/3632997`、application-api `3800430/3800574`、AI `3069251/3069341`、application+AI `4493151/4493283`、MCP `7315930/7316038`。本阶段没有修改数据库 schema/adapter、容器或 Kubernetes 拓扑，因此没有重跑物理 PostgreSQL HA/K3s 门，也不把相邻阶段结果冒充 D-354 新证据。 - D-353/ADR-0445（已接受；`scheduled_system` 的 response-loss-safe 幂等准入待独立 Gate）：3.0 Shadow Run 不再只覆盖 `manual/scheduled_node`。现有 `ScheduleService.runTask` 在既有 task limit 选中且 `onBefore` 成功后，可按默认关闭的 `QL3_SHADOW_ORIGINS` 精确旁路观察 `subscription/system/script`；观察器只附着到 Legacy 已创建的同一个 ChildProcess，不调用 Executor、不第二次 spawn、不改变 callback、PID 或完成结果。Run 继续固定 `executionOwner=legacy`，task revision 只摘要 command/schedule， task ID 使用 origin-scoped SHA-256 摘要而不复制 Script 路径、System command 或 caller ID 原文。origin 未启用时 factory 不执行，不计算摘要、 不加载 Repository、不附加 listener、不写数据库；observer 初始化或写入失败仍为 no-op。真实子进程与 SQLite 集成门已证明三类 origin、Script start-completion、失败开放和一个完整 succeeded Run/Attempt/八 Event 聚合。阶段门已重跑：专项 27/27、`build:back`、完整 backend 1,408 pass + 2 条条件 skip/0 fail、18-package clean build/test、14/14 静态审计与 14/14 artifact 档位均通过。artifact 字节为基础 Edge/Standalone `2589998/2590076`、adopted `2809293/2809416`、application `3632877/3632997`、application-api `3800430/3800574`、AI `3069251/3069341`、application+AI `4493151/4493283`、MCP `7315930/7316038`；包边界审计同时证明 18 个包的根 `src` 只保留公共 `index.ts`，其余实现均在领域子目录，没有以继续拆包掩盖平铺问题。本切片不新增 package、生产依赖、schema、 migration、SQL、timer、watcher、端口、Kubernetes object 或 Cluster 连接；为修复既存 `build:back` 类型闭包， runtime-core 两处只把全局 `TextDecoder` 改为显式 `node:util` import，不改变 UTF-8 运行语义。system crond 只有可重复/乱序的 Shell status callback，尚无稳定 accept identity，因此本门拒绝从结束事实伪造 `scheduled_system` Run，也不开放任何 Primary origin。由于数据库模式、 PostgreSQL adapter、容器与 Kubernetes 拓扑均未变化，本阶段没有重新运行物理 PostgreSQL HA 或 K3s 门，也不把 D-351/D-352 的相邻基线冒充 新证据。 - D-352/ADR-0444（已接受；首份真实 GHCR response-loss 重放待实际 release tag）：修复 D-351 终态 finalizer 中仍残留的 mutation-before-validation 风险。原 workflow 内联 Node publisher 直接解析 plan 并执行 registry copy，直到生成 observation 时才间接验证 plan self-digest；篡改 plan 可能先产生错误副作用。promotion 现唯一进入 `scripts/ql3-release-tag-finalizer.cjs`：只读取 current-user `0700/0600` canonical plan，在第一条 registry command 前完整验证 publication plan v2、deployment readiness、repository、immutable source 和 exact tags；固定 `regctl` dev/inode/size/uid/mode/time identity 并在每条命令前后复验。所有 repository 的 source digest、最大 1 MiB canonical inventory 与既有目标 tag 必须在首次 copy 前全量通过，最后一个冲突同样保持零 mutation；copy-after-write response loss 不猜测结果，同 source 重跑复用 exact tag 并只补 absent。最终 observation 以 `0600` no-replace 发布，closure 前再执行一次 `registryMutation=false` 的 live terminal audit。hermetic registry 已覆盖 plan 篡改零调用、全局 conflict 零写、response-loss 重放、畸形/ 超限 inventory、错误终态 digest、no-replace CLI 与 executable drift；workflow 不再保留高权限 Node heredoc。publication/observation/ closure schema 和无 CAS/跨仓库事务声明不变，不新增 package、生产依赖、数据库、Kubernetes object 或设备常驻资源。阶段门已重跑：finalizer/ publication/workflow/Console distribution 聚焦测试 116/116，完整 backend 1,403 pass + 2 条条件 skip/0 fail，18-package clean build/test 退出 0，14/14 静态审计与 14/14 artifact 档位全部 compatible。artifact 保持 D-351 字节基线：基础 Edge/Standalone `2589890/2589968`、adopted `2809185/2809308`、application `3632769/3632889`、application-api `3800322/3800466`、AI `3069143/3069233`、application+AI `4493043/4493175`、MCP `7315930/7316038`。D-352 不修改 package/runtime、数据库/schema、镜像内容或 Kubernetes/Compose 部署面，因而没有制造新的 PostgreSQL HA/K3s 物理环境证据；本阶段复用紧邻 D-351 已通过的 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 与三节点 K3s v1.34.3/arm64 synthetic fixture 作为未变部署面的基线， 不把它们冒充 D-352 新运行的证据。真实 GHCR response-loss 仍只能由受保护 release tag 或受控 release repository 演练产生。 - D-351/ADR-0443（已接受；首份真实 GHCR deployment-ready finalization 待实际 release tag）：D-350 的 catalog-ready publication 继续收紧为 deployment-ready publication。`release-set` job 只发布、验签并 attested immutable catalog，不再登录 registry 或修改最终 image tag；`local|all` 必须先完成 Edge 与 Standalone 的 catalog-bound 正式 Compose rollout，`cluster|all` 必须先完成三节点 K3s install、Head 与 UID/resourceVersion fenced retirement。两个只读部署 job 现在连同 content-free report 保存各自 exact-three-file catalog consumption bundle；终态 `release-finalization` 按 scope 强制精确 success/skipped 真值表、下载并复验 exact 文件集合，再第三次独立消费 公开 immutable catalog。新增 `qinglong/release-deployment-readiness-receipt@v1` 联合绑定 finalizer consumption、要求的部署族、每个 consumption/report digest、release-set/catalog identity 与清理结果，拒绝 synthetic/incomplete/unclean、跨 scope 或 catalog-detached evidence，并在任何 Docker login/tag mutation 前本地复审和单独 attested。publication plan/closure receipt 升为 v2，发布 authority 为 `verified_catalog_bound_deployments`；D-350 的 bounded inventory、零写 conflict preflight、exact reuse、absent copy、终态 tag 回读和 `crossRepositoryAtomicity=false`/`registryTagCas=false` 均保留。最终 90 天 bundle 闭合 finalizer catalog、部署 evidence、readiness、plan、 observation 与 closure。该变化不新增 package、生产依赖、数据库、migration、Kubernetes object 或设备常驻资源；Local 不承担 K3s 门， Cluster 不承担 Compose 门，Edge/Standalone/路由设备与集群节点稳态成本仍为零。阶段门已重跑：readiness/publication/workflow/Console distribution 聚焦测试 112/112，完整 backend 1,393 pass + 2 条条件 skip/0 fail，18-package clean build/test 退出 0，14/14 静态审计与 14/14 artifact 档位全部 compatible；artifact 字节保持基础 Edge/Standalone `2589890/2589968`、adopted `2809185/2809308`、application `3632769/3632889`、application-api `3800322/3800466`、AI `3069143/3069233`、 application+AI `4493043/4493175`、MCP `7315930/7316038`。真实 Docker 三节点 K3s v1.34.3/arm64 fixture 完成 install、Head、 UID/resourceVersion fenced retirement、receipt audit 与零残留；fixture 明确保持 `synthetic_live_fixture`，不冒充公开 catalog 证据。 PostgreSQL 18.6/arm64 HA 再次通过 142/142、timeline `1→2`，报告 SHA-256 为 `d7bb8164b46c1392518eb08bea338640639fe5eca71a7401d98d98ea94146fd2`，离线复审通过且容器/卷/网络残留为零。本机成功构建 exact Local image，但 Local selection 有意只接受真实 `ghcr.io//...@sha256`，因此本地 loopback registry 和 image-id 伪装均失败关闭；首份真实 Local catalog-bound rollout 与完整 deployment-ready finalization 仍只能由受保护 release tag 产生。 - D-350/ADR-0442（已接受；首份真实 GHCR 部分 promotion/replay 证据待实际 release tag）：正式 image tag 不再在完整 release-set 审计后、durable catalog 建立前提前公开。`versionTag/sourceTag` mutation 现位于 release-set provenance、catalog immutable round-trip、catalog signature/provenance 验证、catalog receipt 审计及其 attestation 全部成功之后。新的 `qinglong/release-publication-plan@v1` 联合复验 exact release-set、catalog plan/raw manifest/manifest digest/receipt，并只列出每个 image 的 immutable source 与两个目标 tag。publisher 对每个已存在 image repository 取得最大 1 MiB 的 canonical tag inventory， 严格检查 OCI tag 字符集与无重复；auth/network/registry error 不再被任意 `image digest` 非零退出降级成 absent。所有 immutable source 和既有目标 tag 必须在任何 mutation 前完成全量预检，冲突保持零 tag 写；随后只 copy absent tag，exact tag 用于 response-loss 重放。 最终逐 tag 回读形成 `qinglong/release-publication-tag-observation@v1`，再与上游闭包组成自摘要 `qinglong/release-publication-closure-receipt@v1`，本地复审并独立 attested 后才上传 deployment bundle。receipt 诚实保留 `crossRepositoryAtomicity=false` 与 `registryTagCas=false`；immutable catalog digest 仍是唯一部署 authority。实现不新增 package、 生产依赖、数据库、migration、Kubernetes object、设备工具或常驻资源；所有 inventory 与收据只存在于短生命周期 release runner， Edge/Standalone/路由设备和 Cluster 节点稳态成本均为零。阶段门已重跑：专项 closure/workflow 96/96、完整 backend 1382 pass + 2 条条件 skip、18-package clean build/test 全通过、14/14 静态审计与 14/14 artifact 档位通过；artifact 实际字节依次为基础 Edge/Standalone `2589890/2589968`、adopted `2809185/2809308`、application `3632769/3632889`、application-api `3800322/3800466`、AI `3069143/3069233`、application+AI `4493043/4493175`、MCP `7315930/7316038`，均低于各自硬上限。 PostgreSQL HA Docker 门以 PostgreSQL 18.6/arm64 完成 142/142、timeline `1→2`，私有报告 SHA-256 为 `c8c5cad7a7feb6db066b14efcc241f33ed574c3d80b909014bc894d8f9cb7cbf`，证据复审通过且临时容器/卷/网络残留均为零。Barman live object-store 恢复与 cert-manager 在线轮换仍诚实保持外部 release blocker。真实 GHCR 部分 promotion/response-loss 仍只能由 受保护 `v3` tag 或受控 release repository 演练证明。 - D-349/ADR-0441（已接受；首份真实 GHCR conflict/reuse 证据待实际 release tag）：关闭 durable catalog discovery tag 的覆盖窗口。 之前 workflow 虽声明 `v-` 无部署 authority，却直接对该 tag 执行 `artifact put`；已有不同 digest 会先被覆盖， response-loss 重跑也没有“相同复用、冲突拒绝”的可执行分支。catalog plan/receipt 现升级为 v2，publisher 必须先在 runner 私有 `ocidir://` 生成 exact manifest；远端 repository 不存在时仅以 `staging-` 非权威 tag 建立可读 inventory。 `qinglong/release-catalog-tag-inventory-decision@v1` 先执行 1 MiB、canonical line、OCI tag 字符集和无重复约束，随后 `qinglong/release-catalog-publication-decision@v1` 将 absent 映射为 `publish_if_absent`、exact digest 映射为 `reuse_exact_digest`，其他 digest 或无界/畸形 inventory 均在 discovery mutation 前失败。两条成功路径都按 immutable reference 回读 release-set 和 raw manifest；receipt 明确绑定 `fail_closed_before_mutation` 与 `reuse_exact_manifest_digest_only`。OCI registry 仍无 tag CAS，因此诚实保留 `registryTagCas=false`：同 ref concurrency 与组织 package 权限限制外部 writer，最终回读检测发布期间竞争，consumer 永远只信任签名/attested immutable digest。本 Gate 不修改 release-set v3/OCI media、package、生产依赖、数据库、Kubernetes object 或设备运行时。定向 receipt/set/catalog/consumption/ deployment-lock/image-release 回归 143/143；完整 backend 1,371 项为 1,369 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0。12 项 package boundary、Cluster dependency、Edge import、Cluster/Worker/CloudNativePG 部署、backup、 Barman/cert-manager selection、image release、deployment-lock surface 与 release-version 审计全部 compatible；14 档 Local artifact 全部 compatible 且保持既有字节基线：默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，adopted 为 2,809,185/2,809,308 bytes，application 为 3,632,769/3,632,889 bytes，application-api 为 3,800,322/3,800,466 bytes，AI 为 3,069,143/3,069,233 bytes，application+AI 为 4,493,043/4,493,175 bytes， MCP 为 7,315,930/7,316,038 bytes。真实 PostgreSQL 18.6 arm64 physical HA 再次通过 142/142、timeline `1→2`，报告 SHA-256 为 `13e2f3793d7f418f0c1cc3b05206b393c4f09a45e1b9a5783219c12fb930b3dd`，离线审计通过且无 `ql3-ha-*` Docker 容器、卷或网络残留。首份真实 GHCR conflict/reuse 结果仍只能由实际受保护 `v3` release tag 取得。 - D-348/ADR-0440（已接受；首份真实线上闭合待实际 release tag）：补齐 D-347 确定性收据与实际 tag promotion 之间的 freshness 窗口。此前私有 job 在收据创建时验证 24 小时 freshness，但 release-set aggregate 只检查 `observedAt` 可解析与 receipt digest；镜像构建、扫描和 attestation 延迟后，创建时有效的收据可能在闭合时已经过期。现在 `cluster|all` aggregate 与紧随其后的 source-record audit 必须各自取得 runner-owned 当前 时钟，对两份 receipt 公开的 `observedAt` 重新执行 24 小时最大年龄和五分钟未来偏差门；缺失/非安全整数/过期/未来漂移均在 release-set 写文件、 tag promotion 和 catalog publication 前失败关闭。当前时钟没有 CLI 参数、环境变量或 durable 字段，只参与瞬时准入；因此同一 source evidence 在 两个有效闭合时钟下仍生成逐字节相同的 receipt v2、release-set v3 与 catalog identity。Local scope 保持零私有收据且该门为 `not_applicable`；历史 standalone inspection 继续验证结构/identity/self-digest 而不以今天的时钟淘汰合法 catalog，并诚实声明未重放 source records/private reports。本 Gate 不修改 durable schema/media type，不新增 package、生产依赖、数据库、migration、Pod、controller、RBAC、 listener、timer、设备工具或稳态资源。定向 release receipt/set/catalog/consumption/deployment-lock/image audit 回归 137/137；完整 backend 1,365 项为 1,363 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0。12 项 package boundary、Cluster dependency、Edge import、Cluster/Worker/CloudNativePG 部署、backup、Barman/cert-manager selection、image release、deployment-lock surface 与 release-version 审计全部 compatible；14 档 Local artifact 全部 compatible 且保持既有字节基线：默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，adopted 为 2,809,185/2,809,308 bytes，application 为 3,632,769/3,632,889 bytes， application-api 为 3,800,322/3,800,466 bytes，AI 为 3,069,143/3,069,233 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes。真实 PostgreSQL 18.6 arm64 physical HA 再次通过 142/142、 timeline `1→2`，报告 SHA-256 为 `7566a54f86f3e4e0fee2096a49ea2877d827595575c7075bc44b65314cb2ba19`，离线审计通过且无 `ql3-ha-*` Docker 容器、卷或网络残留；真实线上 closure 仍只能由实际受保护 `v3` release tag 取得。 - D-347/ADR-0439（已接受；首份真实线上重放待实际 release tag）：修正 D-346 收据把私有 runner `validatedAt` wall-clock 写入 durable JSON 导致同一 source/report 在 workflow 重跑时产生第二个 release identity 的问题。私有收据升为 `qinglong/private-release-evidence-receipt@v2`：创建时仍以当前私有时钟执行 source-aware gate 和 24 小时 freshness 双重验证，但 durable projection 只保留不可变报告自身的 `observedAt`、report/static-lock/self digest，并显式声明 `freshnessValidatedAtCreation=true`、 `durableValidationClockPublished=false` 与公开 consumer 不能重放现场报告。相同 release identity、相同私有报告字节和相同 source-controlled static locks 在不同有效运行时间必须生成逐字节相同收据。由于嵌入协议发生不兼容变化，release-set/OCI artifact media type 同步升为 `qinglong/release-set@v3`/`application/vnd.qinglong.release-set.v3+json`，不在 v2 下偷换语义；catalog recovery 收紧为 `republish_deterministic_content_then_verify_digest`，只允许相同不可变输入的同内容重放。Local 仍为零私有收据，新增工作只在短生命周期 release runner 发生，不新增 package、依赖、数据库、migration、Pod、controller、listener、timer、设备工具或稳态资源。定向发布链 135/135；完整 backend 1,363 项为 1,361 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0。12 项 package boundary、Cluster dependency、Edge import、Cluster/Worker/CloudNativePG 部署、backup、Barman/cert-manager selection、image release、deployment-lock surface 与 release-version 审计全部 compatible；14 档 Local artifact 与既有字节基线完全一致：默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，adopted 为 2,809,185/2,809,308 bytes，application 为 3,632,769/3,632,889 bytes，application-api 为 3,800,322/3,800,466 bytes，AI 为 3,069,143/3,069,233 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes。阶段完整性 PostgreSQL HA 以 18.6/arm64 重跑 142/142 gates、timeline `1→2`，独立 evidence audit compatible，mode-0600 报告 SHA-256 为 `db72086e971fc91c25a4a482af6634acbf4d463e567c44f42af0e7d0cc24fca2`， container/network/volume 残留为 0。真实线上 response-loss 重放仍只能由实际受保护 `v3` release tag 取得。 - D-346/ADR-0438（已接受；首份真实公开收据待实际 release tag）：Cluster/All 发布不再只通过 GitHub `needs` 保存“两个私有 evidence job 成功”的瞬时调度事实。Worker management 与 CloudNativePG DR 私有 runner 在 source-aware gate 成功后，各自产生一个 `qinglong/private-release-evidence-receipt@v1`：只投影 exact version/source tag/revision/scope、evidence kind、24 小时 freshness、 原报告 SHA-256、可选静态审计摘要和自身 digest，显式禁止原始报告、路径、credential、token、Kubernetes object 与 transcript 发布，并声明 公开消费者不能在缺少私有报告时重放现场结果。两个 1 天 artifact 均绑定同一 `run_id/run_attempt`，只作为跨 job 交接；长期 authority 升为 `qinglong/release-set@v2`，其 digest 对完整收据对象做闭包。Local 必须零收据且不运行私有 evidence job；Cluster/All 必须按固定顺序恰好包含 Worker 与 DR 两份同 identity 收据，缺失、重复、额外 kind、source/scope/freshness/static audit/self-digest 漂移均在 tag promotion 前失败关闭。 OCI artifact/file media type同步升为 `application/vnd.qinglong.release-set.v2+json`，不在 v1 下偷换语义。Barman/cert-manager 静态 lock 继续 保持 `releaseReady=false`：它们只证明供应链选择，某次发布的现场 ready 结论由 freshness-bound 收据链给出。实现不新增 package、生产依赖、 数据库、migration、Pod、controller、listener、timer、设备工具或稳态资源；低配设备仍只消费可信工作站生成的 Local selection 与 immutable image。定向 receipt/release-set/catalog/部署锁/workflow 契约 134/134；完整 backend 1,362 项为 1,360 pass/2 条件 skip/0 fail， 18-package clean build/test 退出 0。12 项 package boundary、Cluster dependency、Edge import、Cluster/Worker/CloudNativePG 部署、backup、 Barman/cert-manager selection、image release、deployment-lock surface 与 release-version 审计全部 compatible；package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`。14 档 Local artifact 全部 compatible 且与 D-345 字节基线完全一致：默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，adopted 为 2,809,185/2,809,308 bytes，application 为 3,632,769/3,632,889 bytes，application-api 为 3,800,322/3,800,466 bytes，AI 为 3,069,143/3,069,233 bytes， application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes。阶段完整性 PostgreSQL HA 在 Docker Engine 恢复后以 18.6/arm64 重跑 142/142 gates、timeline `1→2`，独立 evidence audit compatible，mode-0600 报告 SHA-256 为 `1e7c31cc6c7aa3e1e0398eb51696b6054850d5fc25910a08d6faffc9a75f1c6f`，container/network/volume 残留为 0。以上证明实现、 失败关闭与本地/HA 回归边界；第一份线上公开收据及其 catalog 闭包仍只能由实际受保护 `v3` release tag dispatch 产生，不能由单测、 workflow 静态审计或本地 fixture 冒充。 - D-345/ADR-0437（已接受；首份真实公开 catalog evidence 待实际 release tag）：Local 发布不再只依赖 image publisher 在完整 release-set/catalog 形成前直接掌握 digest 的 Compose rollout。`release-set` 成功后新增只读 `release-catalog-local-deployment-live`，仅在 `local|all` scope 运行；它从公开 discovery ref 独立消费 immutable catalog，重建并审计 exact-three-file bundle，再以 `local-create|local-audit` 物化唯一 catalog-bound v2 selection。Edge 与 Standalone 必须顺序消费同一 selection， 进入正式 deployment prepare、Compose revision/apply、SQLite backup/restore、evidence collection 与 graceful stop 链；真实模式在创建部署目录前 重验 selection canonical path/owner/`0600`/单链接/大小、自摘要、source tag/revision/scope、catalog 三摘要、image 与 root policy。普通 PR rollout 保留显式 `synthetic_live_fixture`，不能混同公开发布。consumer 仅有 `contents|packages|attestations:read`，无 Docker login、package/ tag/attestation write、签名或 catalog mutation；设备侧不安装 regctl、Cosign、GitHub CLI、Node workspace 或发布 credential。新增工作只在 Local/All release runner 短生命周期运行，不新增 package、生产依赖、数据库、migration、listener、timer、watcher、updater 或稳态资源。 定向发布/selection/部署锁契约 116/116；完整 backend 1,353 项为 1,351 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0。package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，Cluster dependency、Edge import、 image release、deployment-lock surface 与 release-version 审计全部 compatible。14 档 Local artifact 全部 compatible 且与 D-344 字节 基线完全一致：默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，application 为 3,632,769/3,632,889 bytes， application-api 为 3,800,322/3,800,466 bytes，AI 为 3,069,143/3,069,233 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes。阶段完整性 PostgreSQL HA 在 18.6/arm64 上重跑 142/142 gates、timeline `1→2`，独立 evidence audit 通过，mode-0600 报告 SHA-256 为 `555b31757194379f1a44bdfbb1ef78549ed6b6787781e5fffeada852d26dcd9d`，container/network/volume 残留为 0。本机没有可供 独立消费者拉取的公开 QingLong 3 Local immutable GHCR image，因此不把 fixture、selection 单测或 workflow 静态审计写成真实公开 catalog-bound Compose 成功；第一份端到端线上成功仍只能由实际受保护 `v3` release tag dispatch 产生。 - D-344/ADR-0436（已接受；首份真实公开 catalog evidence 待实际 release tag）：镜像发布流水线不再停在 durable catalog 与 receipt。`release-set` 成功后新增独立只读 `release-catalog-deployment-live`，仅在 `cluster|all` scope 运行；它不继承 publisher 文件或登录态，而是从公开 discovery ref 重新解析稳定 digest，以 exact Cosign workflow identity 和 GitHub source tag/revision provenance 验证 immutable catalog，下载并离线重审 exact-three-file consumption bundle，再把同一次 audit 得到的 release-set 对象 交给 deployment-lock materializer。生成的 Kubernetes v2 lock 绑定真实 release-set、catalog manifest 与 consumption report digest， 随后在 digest-reviewed 三节点 K3s 上执行 7-resource、四角色零副本 install、Head commit、UID/resourceVersion 围栏 ConfigMap 退役与两个 receipt audit。consumer 只有 `contents|packages|attestations:read`，无 Docker login、package/tag/attestation write 或签名 authority； regctl/Cosign 使用公开读取，package visibility 错误会阻断发布。配置必须一次给齐 bundle/source revision/ref/scope/owner/repository 六项， 缺一项或 Local scope 都在 K3s 启动前失败关闭；普通 PR live 保留显式 `synthetic_live_fixture`，不混淆为公开发布证据。新增工作只存在于 Cluster release runner，没有新增 package、生产依赖、controller、CRD、RBAC、Pod、数据库、migration、listener、timer 或常驻进程； Local/Edge/Standalone 发布、制品与稳态资源保持不变。定向发布/部署契约 109/109；完整 backend 1,344 项为 1,342 pass/ 2 条件 skip/0 fail，18-package clean build/test 退出 0。14 项有效架构/发布/部署审计 compatible，package boundary 仍为 18 packages、 `singleSourcePackages=[]`、`shallowSourcePackages=[]`；14 档 Local artifact 全部 compatible 且字节数与 D-343 完全一致。catalog-bound 三节点 K3s live 在 linux/arm64 上得到 3 个 Ready node，以一份真实执行六步 ceremony、可完整离线重审的 fixture bundle 物化同一 release-set；Head generation `1→2`、inventory `7→6`，install/retirement receipt audit、UID/resourceVersion DELETE preconditions、 Unix socket proxy、server-side dry-run/apply、目标 absent 与清理全部通过。release-set/catalog manifest/consumption report digest 分别为 `sha256:e407cddb6348f96a8fef0822589c73415912be7397205669f2072d70c5bda035`、 `sha256:74abea141364570ac803bdc9dd6da1dcbe10ea694e6b7e0f3f7a56a2f84ba55a`、 `sha256:2a9b93dcf19984c90a628b8987a04620f31ec0acb62c672bfe912c19bc458b2b`，最终 retirement receipt digest 为 `sha256:e20532f2f2cd3fce3e7985e4bb3b4b75dc87ca3b59d7f9530ad9d8e02694d1f3`，Docker container/network 残留为 0。 PostgreSQL 18.6/arm64 HA 为 142/142 gates、timeline `1→2`，独立 evidence audit compatible；mode-0600 报告 SHA-256 为 `796e4b85a9f45c3b63537010057c1c91c6011ecfab2f2f289763b4915037d9dd`，container/network/volume 残留为 0。仓库 fixture 证明代码路径与 真实 Kubernetes mutation，但不能冒充 GHCR 在线验签；第一份公开 GHCR/Cosign/GitHub 成功记录仍必须由实际受保护 `v3` release tag dispatch 产生。 - D-343/ADR-0435（已接受；真实公开 catalog 运行仍待 release Gate）：在 D-342 的 resource-inventory-closed Head 上增加独立 `cluster.deployment.retirement.preflight|apply|receipt.audit`。退役目标只能来自 current locked manifest 与 committed active inventory， 最多 64 个显式 namespaced resource；固定 Head、cluster-scoped resource 以及 Secret/PVC/ServiceAccount 均拒绝进入通用删除面，survivor inventory 必须非空并继续覆盖 `control|control-ai|admin|worker` 四类 authority。preflight 通过 API discovery 绑定每个对象的 exact UID/resourceVersion、desired subset 与 `qinglong3-catalog-lock` Apply ownership，再发送带同一 Preconditions 的服务端 DeleteOptions dry-run；apply 在删除前复验 observation，以 Head resourceVersion CAS 取得唯一 `applying` 意图，逐对象使用 Background DELETE 并确认 old UID absent，之后才提交缩小 inventory 的下一代 committed Head 与 no-replace receipt。替换 UID、resourceVersion/字段漂移、 terminating/finalizer、Head 冲突均失败关闭；DELETE 已生效但响应丢失时，只允许相同 command/mutation/preflight 从 durable applying Head 和 absent target 恢复。同版本 rollback 可精确恢复 retirement 前一个 inventory，仍走完整 server-side apply/convergence。 pinned kubectl 只在 ceremony 期间启动 owner-private Unix socket proxy，由 pinned curl 发送带 body 的 DELETE；不开放 TCP，不读取 ambient HOME，完成即清理。没有新增 package、第三方依赖、controller、CRD、webhook、ServiceAccount、Pod、数据库、migration、Pool、 watcher、timer 或常驻进程，Local/Edge/Standalone 零导入、零稳态成本。独立 GitHub Actions job 固定 kubectl/K3s 版本并验证真实 install、退役、Head 收敛、content-free evidence 与隔离清理；定向 deployment ceremony 22/22，完整 backend 1,339 项为 1,337 pass/ 2 条件 skip/0 fail，18-package clean build/test 退出 0。架构/部署审计保持 compatible，package boundary 为 18 packages 且 `singleSourcePackages=[]`、`shallowSourcePackages=[]`；14 档 Local artifact 全部 compatible 且字节数与 D-342 完全一致。三节点 K3s live 使用 digest-reviewed `rancher/k3s:v1.34.3-k3s1`，在 linux/arm64 上得到 3 个 Ready node，真实 install 后 Head generation `1→2`、inventory `7→6`、目标 absent，server-side dry-run/apply、UID/resourceVersion DELETE preconditions、Unix socket proxy、Head CAS 与两个 receipt audit 均通过，`cleanupComplete=true` 且 Docker container/network 残留为 0；最终 retirement receipt digest 为 `sha256:d3145b3fee7a1191458b5c3a930c0063a0e1e446d3a196565bcdd20d9da06ec5`。PostgreSQL HA 在 18.6/arm64 上完成 142/142 gates、timeline `1→2` 与独立 evidence audit，mode-0600 报告 SHA-256 为 `89fd4fb47f82f35d3819d1fd9540cf3764f65fa68ac6561effd16778bee4ab8a`，container/network/volume 残留为 0。 - D-342/ADR-0434（已接受；资源退休 ceremony 与真实公开 catalog 运行仍待后续 Gate）：Cluster deployment command、preflight 与 receipt 在尚未发布前直接升为 v2，并以目标 namespace 中唯一 `qinglong3-deployment-head` ConfigMap 建立部署顺序 authority。每次 `install|upgrade|rollback` 都必须绑定 exact expected Head generation/deployment/lock/state digest；preflight 读取当前 Head，apply 再用 API Server 返回的 opaque `resourceVersion` 执行 create/replace CAS，先取得 `applying`，完成五步 server-side apply/convergence 后再提交 `committed`。相同意图可从 applying 或已提交但丢失本地 receipt 的窗口确定性恢复，陈旧 preflight、并发不同意图、Head 漂移与本地 receipt 对已前进 Head 的重放全部失败关闭。locked manifest 必须完整覆盖 `control|control-ai|admin|worker`，自动推导并 排序唯一 resource inventory；upgrade 不能省略现存对象，rollback 必须与上一 deployment 使用相同 inventory，避免把普通 apply 不会 删除的残留对象冒充成功。删除仍保留给后续绑定 UID/resourceVersion 的独立 retirement ceremony，不采用 alpha prune。Head 只增加一个 小 ConfigMap 和 preflight 一次 GET、apply 两次 CAS；没有 controller、CRD、webhook、Pod、listener、timer、数据库、migration、Pool、 新 package 或第三方依赖，Local/Edge/Standalone 零导入、零制品增量。Service Bridge 审计同时发现其仅为错误类型而加载完整 foundation contract；已把同一 class identity 下沉到既有 `local-owner-cli/deployment/foundation/error` 内部模块，各 importer 改用叶子入口，未拆出 浅 package。定向 deployment ceremony 14/14、Local Owner 171 项为 166 pass/5 条件 skip、完整 backend 1,331 项为 1,329 pass/2 条件 skip/0 fail、18-package clean build/test 退出 0。10 项架构/部署审计与 14 档 Local artifact 全部 compatible，package boundary 仍为 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`；Local Owner 的 107 个源码中 106 个位于领域目录。默认 Edge/Standalone 保持 2,589,890/2,589,968 bytes，MCP 保持 7,315,930/7,316,038 bytes；Cluster Admin dry-run pack 保持 250 files、 271,238-byte tarball、1,690,196-byte unpacked。隔离三节点 K3s `v1.34.3+k3s1`/arm64 真实运行 6 个 release resource、4 个零副本 Deployment 和 generation 1 committed Head，deployment/preflight/receipt digest 分别为 `sha256:f911cda19195735d00fcc6317db2c22794855e5eb5795696b19a4239fb68a263`、 `sha256:574f80dde330c5b4fe41c681906a67ffd6e4b608dedc6d955574771b2bd5c711`、 `sha256:0f2edd2037a4df7ae6eb28616aa38a280498660443d0f091e1fac5c1ff532258`，资源清理完成。经允许重跑 PostgreSQL 18.6 arm64 physical HA，142/142、timeline `1→2`，报告 SHA-256 `8ba0b130100b48e19c602546b63844903e567d6997630f8c950b51cf41ee70ea`，独立证据审计通过且容器、卷、网络零残留。live 使用 synthetic lock，只证明部署状态机和目标 API CAS，不冒充尚未产生的公开 GHCR catalog。 - D-341/ADR-0433（已接受；真实公开 catalog 运行待实际 release tag）：Cluster 最后一跳不再交给裸 `kubectl apply -f locked.yaml`。新增工作站级 `cluster.deployment.preflight|apply|receipt.audit`，从 owner-private canonical command 出发独立复验 Kubernetes v2 lock/report、locked manifest、release-set/catalog/workflow/image/annotation 闭包，并固定 kubectl executable digest、kubeconfig digest/context、`kube-system` Namespace UID 与 field manager `qinglong3-catalog-lock`。kubeconfig `exec`/`auth-provider`、ambient namespace/HOME、`--force-conflicts`、symlink/replaceable input、 lock/target 漂移均失败关闭。preflight 只执行 pinned kubectl 的 server-side strict dry-run；apply 在再次 dry-run 后执行显式 server-side apply，再以同一 executable 的 managed-fields convergence read 复验 live UID/resourceVersion、期望字段、image/catalog authority 与 Apply ownership；不用会隐式启动 ambient `diff` 的 `kubectl diff`。成功才发布绑定 command/preflight/lock/cluster/ executable/step transcript digest 的 no-replace receipt；多资源非原子事实显式为 false，响应丢失使用同 command 幂等重放后收敛， 不猜测自动删除或回滚。每个 kubectl 调用使用一次性私有 HOME/XDG/TMP，结束清理。实现没有新增 workspace package、生产依赖、 controller、webhook、CRD、RBAC、ServiceAccount、Pod、listener、timer、数据库或 Pool；Local/Edge/Standalone 零导入、零制品增量。 定向契约 10/10；完整 backend 1,327 项为 1,325 pass/2 条件 skip/0 fail；18-package clean build/test 退出 0。10 项架构/部署 审计与 14 档 Local artifact 全部 compatible，package boundary 保持 18 packages、`singleSourcePackages=[]`、 `shallowSourcePackages=[]`；最小 Edge 仍为 2,589,890 bytes/315 files，14 档字节数均与 D-340 一致。Cluster Admin exact dry-run pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked。隔离三节点 K3s `v1.34.3+k3s1`/arm64 真实运行 6 个资源、4 个零副本 Deployment，server-side dry-run/apply/convergence/offline receipt audit 全部通过；最终 preflight/receipt digest 为 `sha256:7c6db6236a704cd7791f94268b3883d6385a75a993a14d1611791f885fb65404`/ `sha256:58817a667bccf28c068fff40619cf13d2d0a1be84153de66a137b005feb536ba`，容器、网络和仓库 `.kube` cache 零残留。经允许 重跑 PostgreSQL 18.6 arm64 physical HA，142/142、timeline `1→2`，报告 SHA-256 `f5f4398229d0122e86f159bed005111b7f5ecacee9ce38ab6d532b0986b540cf`，离线审计通过且容器、卷、网络零残留。live 使用的 synthetic lock 只验证目标 apply 语义，不冒充尚未产生的公开 GHCR catalog。 - D-340/ADR-0432（已接受；真实公开 catalog 运行待实际 release tag）：Local/Compose 最后一跳不再接受裸 `image`。现有 `@qinglong/local-owner-cli` 的 prepare/upgrade 只接收 owner-private `releaseSelection.path + expectedSelectionDigest`，以 `O_NOFOLLOW` stable descriptor 有界读取不超过 64 KiB 的 canonical v2 selection，并重新验证 self-digest、3.x release identity、release-set/catalog manifest/catalog report digest 闭包、exact workflow identity、immutable catalog reference、唯一 GHCR Local application digest 与 explicit root policy。Compose revision/active selection 升为 `qinglong/local-compose-image-selection@v2`，持久保存完整 catalog/release authority；rollback 精确复制目标 revision authority，Preflight、Apply、Restore、Evidence 与 Status 共用同一 fail-closed parser。prepare/upgrade 仍只发布 revision，不联网、不执行 rollout、不修改数据库，也不新增 package、生产依赖、常驻进程或 Cluster 对象；低配设备每次显式命令只增加一次最多 64 KiB 的私有文件读取、canonical JSON 校验和 SHA-256，Cluster 路径不变。旧 v1 裸 image 在尚未正式发布的 3.0 中失败关闭，孵化环境须从原 catalog-bound selection 重新 prepare。Local 定向 30/30、物理 Edge Compose storage 6/6；Local Owner 全量 171 项为 166 pass/5 条件 skip/0 fail，backend 共 1,317 项为 1,315 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0。10 项架构/部署审计与 14 档 Local artifact 全部 compatible，package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`；Edge/Standalone 默认制品为 2,589,890/2,589,968 bytes，application 为 3,632,769/3,632,889 bytes，application-api 为 3,800,322/3,800,466 bytes，AI 为 3,069,143/3,069,233 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes。Cluster Admin exact dry-run pack 为 250 files、271,238-byte tarball、1,690,196-byte unpacked。经允许重新运行的 PostgreSQL 18.6 arm64 physical HA 通过 142/142、timeline `1→2`，报告 SHA-256 为 `07c914551ec700da26b42cd42760ccb3b28ad31266a8bae5f62dee38eb97e6a9`，离线审计通过且无 `ql3-ha-*` Docker 资源残留。测试中的 synthetic selection 只验证本地 Compose 兼容性，不冒充公开 catalog ceremony；公开 GHCR catalog 尚未实际产生，因此不宣称真实线上验签成功。 - D-339/ADR-0431（已接受；真实公开 catalog 运行待实际 release tag）：D337 的 deployment-lock CLI 不再接受一份无法证明来源的松散 `--release-set`；Local/Kubernetes create/audit 必须同时接收 exact source repository 和 D338 生成的 owner-private three-file `--consumption-bundle`，先完整离线重建 release-set、raw OCI manifest、catalog plan/receipt、六步 argv/transcript digest 与 self-digest report，再把同一次 audit 读取的 release-set 对象交给 materializer，避免验真后重新按裸路径读取。Local selection 与 Kubernetes lock schema 升为 v2，显式绑定 consumption schema、source repository、exact workflow identity、catalog immutable reference、manifest digest、consumption report digest、release-set digest 和 `discoveryTagAuthority=none`；Cluster 被改写资源与 Pod template 也新增 catalog manifest/report digest annotations。旧 `--release-set`、bundle symlink/open shape、identity/scope/owner/image-count/digest 漂移均在创建任何输出前失败关闭。offline audit 诚实保持 `externalToolResultsReplayed=false`；本 Gate 不联网、不访问 Kubernetes API、不执行 Compose rollout/`kubectl apply`、不修改数据库，也不新增 package、生产依赖或运行期组件。供应链工作仍留在可信工作站，低配设备只接收 catalog-bound Local v2 selection 与一个 immutable image reference；Cluster 复用既有 post-render 流程。完整定向发布链 123/123；backend 共 1,317 项，1,315 pass/2 条件 skip/0 fail；18-package clean build/test 退出 0，package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`。10 项架构/部署审计与 14 档 Local artifact 全部 compatible，默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked。本 Gate 不改变数据库或 HA 拓扑，复用紧邻发布 Gate 的 PostgreSQL 18.6 arm64 physical HA 基线而不把它声明为本阶段新证据。公开 GHCR catalog 未实际产生，因此不宣称真实线上验签成功。 - D-338/ADR-0430（已接受；真实公开 catalog 运行待实际 release tag）：发布端的 durable catalog 不再由部署者通过松散 shell 重定向手工消费。可信工作站上的 `ql3-release-catalog-consumption-ceremony.cjs` 从 exact source version/revision/tag、closed `local|cluster|all` scope 与 owner/source repository 推导唯一 discovery ref，前后两次解析必须得到同一 digest，后续只使用 catalog `@sha256:` immutable reference。ceremony 以绝对路径、dev/inode/size/SHA-256 固定 `regctl|cosign|gh`，owner-private token 只进入单个 GitHub provenance verifier；环境、cache/config/tmp 与最终写入均有封闭边界。下载的 canonical release set 经过 standalone identity/family/self-digest inspection，raw OCI manifest 同时按 digest、media type、empty config、单 layer、basename、size/content digest 与四项 annotation 重建 publication plan/receipt。成功后才以 `0700` no-replace 目录和三项 `0600` 文件发布 release set、raw manifest 与 self-digest report；offline audit 要求 exact-three-file，并完全重建结构/manifest/report，同时诚实声明网络签名结果未离线 replay。该 ceremony 无 registry/GitHub mutation、deployment action authority、Compose/Kubernetes apply 或数据库访问；D337 继续只消费审计后的 release set。Local/低配设备不安装任何工作站工具，Cluster 也不新增 controller/CRD/RBAC。独立 ceremony 20/20、完整定向发布链 121/121 已通过；backend 共 1,315 项，1,313 pass/2 条件 skip/0 fail；18-package clean build/test 退出 0，package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`。10 项架构/部署审计与 14 档 Local artifact 全部 compatible，默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked。本 Gate 不改变数据库或 HA 拓扑，复用紧邻发布 Gate 的 PostgreSQL 18.6 arm64 physical HA 基线而不把它声明为本阶段新证据。公开 GHCR catalog 仍未实际产生，因此本门不宣称已取得真实 Cosign/GitHub/registry 成功证据。 - D-337/ADR-0429（已接受）：D-336 的 durable release set 现在可以离线物化为最终部署 authority，而不是由运维者手工复制 digest。可信工作站上的 `ql3-deployment-lock-contract.cjs` 不联网、不连接 Kubernetes API、不执行 rollout：Local/All 生成绑定 release-set digest、唯一 Local `@sha256:` 与显式 root policy 的 canonical selection；Cluster/All 先消费 `kubectl kustomize` 的最终多文档 YAML，再只改写封闭的 Pod/Deployment/StatefulSet/DaemonSet/ReplicaSet/Job/CronJob container 字段和 exact Plugin Package admission ConfigMap，生成带输入/输出 digest、各 role occurrence、release annotation 与 self digest 的 locked manifest/report。调用方必须显式声明 required role，未知位置的完整 role authority、畸形 container image、缺失角色、YAML alias/cycle/非 mapping、超限或覆盖输出全部失败关闭；audit 从原 release set 与原 render byte-exact 重建。采用 post-render 是因为真实原型证明外层 Kustomize component 不能可靠覆盖内层已选 repository/digest，且 `images` transformer 不处理 ConfigMap `data.image`。本机 kubectl 1.36.1/Kustomize 5.8.1 已真实渲染 CloudNativePG Core、Cluster AI、Worker node 与 Plugin Package Executor 四类清单，内层零 digest 均被同一 release set 的精确引用替换；定向 deployment-lock 11/11、发布链路联动 101/101，静态审计冻结 224 个 YAML、31 个直接 role image 引用与两个 admission authority。工具只在工作站运行，低配路由器只消费 Local selection，不新增 Node/YAML/Kubernetes/registry 工具、package、依赖、常驻进程或资源；Cluster 也不新增 controller/webhook/CRD/RBAC。完整 backend 共 1,295 项，1,293 pass/2 条件 skip/0 fail；18-package clean build/test 退出 0，package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，10 项架构/部署审计与 14 档 Local artifact 全部 compatible。默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked。本 Gate 不改数据库或 HA 拓扑。 - D-336/ADR-0428（已接受；公开发布结果待实际 tag）：D-335 的 90 天 workflow artifact 不再是长期唯一发布入口。完整 release set 现以单层 OCI artifact 发布到专用 `ghcr.io//qinglong3-release-catalog`，固定 artifact/file media type、basename、四项 annotation 和 byte-exact round trip；`v-` 仅作发现且 authority 明确为 `none`，部署权威是验证后的 catalog `@sha256:` immutable reference。发布后先按 digest 取回并逐字节比较、审计 raw manifest，再为该 digest 生成 exact workflow identity 的 keyless Cosign signature 与绑定 source tag/revision 的 GitHub OCI provenance；验证成功后才生成 canonical receipt 并为 receipt 增加 file provenance。release-set 新增不依赖短期 candidate/image-record 的 standalone inspect，重算结构、身份、Local/Cluster 镜像闭包与 self digest，同时显式声明未重放 source records。低配路由器可在可信工作站完成 registry/签名/provenance/Node 验真，只消费 `local` JSON 与镜像 digest，设备不增加工具、package、依赖或常驻资源；Cluster 使用同一 catalog 锁定 control、control-ai、worker、admin 四角色。真实本机 `ocidir://` 实验确认同一文件来自两个不同绝对目录时，`--file-title --strip-dirs` 产生相同 manifest digest `sha256:0443422e34edd448499a61f4580b01b9578dc35a117668c948c51a16638e4e9d`，immutable get 与源文件逐字节一致。定向发布契约/静态 workflow/Console 联动测试 93/93；backend 1282 项为 1280 pass、2 条件 skip、0 fail；18-package clean build/test 退出 0，package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，release version、dependency、Edge import、Cluster/Worker deployment、image release、Local image 与 Console distribution 审计全部 compatible。14 档 Local artifact 均 compatible，默认 Edge/Standalone 为 2,589,890/2,589,968 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked。本 Gate 无数据库/HA 拓扑变化，复用 D-331/D-333 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线。公开 GHCR push、签名和 attestation 尚未执行，且 GHCR 保留/删除仍属于组织治理，因此不宣称 catalog 为 WORM 或已完成线上发布。 - D-335/ADR-0427（已接受；公开发布结果待实际 tag）：发布矩阵不再让每个镜像验证成功后独立写 version/source tag。每个 publisher 只产生不可变 digest，在远端 manifest、Cosign、四类 GitHub attestation 与适用的 Local rollout 全部验证后生成绑定同一 candidate/scope/source/owner/repository/platform/digest 的 canonical image record；唯一 release-set 终态 job 只在完整 publish matrix 成功后下载 exact `run_id/run_attempt` record，重新生成 candidate，并要求 Local 一镜像、Cluster 四镜像或 All 五镜像集合无遗漏、无重复、顺序一致。独立审计通过后才统一 promotion，写前回读全部 source digest/既有 tag、冲突失败、缺失才 copy、写后再验 digest；明确不宣称 GHCR 跨仓库原子性，以 `verify_exact_digest_then_continue` 支持同源幂等恢复。最终 `qinglong/release-set@v1` 同时冻结 deployment family、五类可选镜像、image-record digest 和 `@sha256:` 引用，获得 GitHub file provenance 并作为 90 天 deployment digest-lock artifact 发布。Edge/Standalone 只消费 `local` set，Cluster 只消费四角色 set，`all` 不把两族运行时耦合；不新增 package、生产依赖、Pod、controller、listener、timer、watcher、数据库、migration、SQL、Pool 或低配设备常驻开销。定向 contract/workflow 回归 73/73，联动发布/Console distribution 回归 77/77；backend 1,264 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0，package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，dependency、Edge import、Cluster/Worker deployment、image release 与 Local image 审计均 compatible。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked。本 Gate 无数据库/HA 拓扑变化，复用 D-331/D-333 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线；公开 tag 尚未执行，因此不宣称真实 GHCR promotion 或线上 attestation 已成功。 - D-334/ADR-0426（已接受）：根级 canonical `ql3-release.json` 现在是唯一 QingLong 3 release identity authority，精确冻结 3.x SemVer、Node 24.18.0/engine、18-package 边界和 legacy 2.x 排除事实；发布候选、四组容器、Cluster/Worker/Console 部署、Local/Cluster image audit、CloudNativePG、物理 Edge 与外部恢复审计均改为读取同一 authority，candidate contract 额外绑定 identity schema 与 SHA-256。共享 CI 新增 `audit:release-version:ql3`，失败关闭 18 个 workspace、四组 build/runtime manifest+lock、Dockerfile Node/version label 与 242 个部署文本文件中的 32 个 image reference/36 个版本 occurrence。维护者升级版本必须走 closed `audit|plan|apply`：plan 只接受严格递增 exact v3 SemVer并生成 no-replace `0600`、逐文件 path/mode/replacement/before-after bytes+digest 和自身 digest；apply 先全量预检 65 文件/83 处替换，再用同目录确定性临时文件、fsync+rename 逐文件收敛，允许 source/target 混合状态原 plan 幂等恢复并生成 digest-bound report，绝不修改 legacy 根 2.x、自动 commit/tag/push 或宣称跨文件单事务。实现不新增 workspace package、生产依赖、数据库、migration、SQL、Pool、Pod、listener、timer、watcher 或任何低配/集群常驻开销。定向回归 177/177，backend 1,254 pass/2 条件 skip/0 fail，18-package clean build/test 退出 0；package boundary 保持 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，dependency、Edge import、Cluster deployment、image release 与 Local image 审计均 compatible。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked。本 Gate 无数据库/HA 拓扑变化，复用 D-331/D-333 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线；完整回归未发现数据库或部署拓扑漂移。 - D-333/ADR-0425（已接受；公开发布结果待实际 tag）：3.0 发布入口不再把所有部署者绑成一个不可分割矩阵。唯一 `.github/workflows/ql3-image-release.yml` 增加 closed `local|cluster|all` deployment-family scope；根级 source-derived release-candidate contract 从 exact `v3` SemVer/tag/40-hex revision、18 个边界审计通过且非 single/shallow 的 workspace、Node 24.18.0 engine、容器 runtime manifest/Dockerfile version、双架构和部署 profile 推导唯一 OS/publish matrix，并以 canonical SHA-256 失败关闭版本或源码漂移。`local` 只发布 AI-excluded Local image、只要求 Edge/Standalone digest rollout，不再等待 Worker management/CloudNativePG 私有 HA evidence；`cluster` 才要求两个 ephemeral private evidence gate，并闭合此前遗漏的 `qinglong3-worker`，与 control/control-ai/admin 一同进入 native amd64/arm64 build-once、Trivy OS scan、CycloneDX、OCI merge、Cosign 与 GitHub attestation 链；`all` 同时保留两族门禁。legacy 根 `2.21.0-14` 被显式标记为不参与 3.0 release identity，而不是伪改旧产品版本。Worker 现在有 27-component（24 external/3 internal）、28-node 的 production SBOM，BSD-3-Clause 纳入受审 allowlist，Worker config 固定 `65532:65532`、`worker` profile、`edge,node` capacity labels 和 3.0 version；control/admin 也补齐同一 version label。candidate contract 作为第四类 digest-bound GitHub predicate 发布并远端回读，Cluster Admin verifier/外部 ceremony/offline audit 同步升级为四类 attestation/八步 transcript。实现不新增 workspace package、生产依赖、数据库、migration、SQL、Pool、listener、timer、watcher 或低配设备常驻资源。定向 105/105、backend 1,246 pass/2 条件 skip/0 fail、18-package clean build/test 均通过；package boundary 确认为 18 packages、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，dependency、Edge import、Cluster/Worker deployment、image release、OS vulnerability policy、Console/distribution 审计均 compatible，四个 runtime dependency root 的离线缓存审计为 0 vulnerability。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 为 4,493,043/4,493,175 bytes，MCP 为 7,315,930/7,316,038 bytes；Cluster Admin npm pack 仍为 250 files、271,238-byte tarball、1,690,196-byte unpacked。由于本 Gate 不改变 schema、migration、SQL、role、Pool 或连接/HA 拓扑，不重复执行 PostgreSQL 门，继续复用 D-331 的 PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2` 基线。公开 tag/digest 尚不存在，因此不宣称真实 GHCR/Cosign/attestation 发布成功，在线依赖漏洞新鲜度与五镜像远端门由实际 release workflow 重新取得。 - D-332/ADR-0424（实现门完成、外部验收待公开 release）：从 exact reviewed `v3.*` source tag 执行的 Cluster Admin release workstation ceremony 已实现为根级 runner + 独立 offline auditor，不新增 workspace package、生产依赖、产品命令、镜像内容或常驻组件。runner 只接受 owner-bound `ghcr.io//qinglong3-cluster-admin@sha256:`、40-hex source revision、完整 tag ref、canonical absolute `cosign|gh|docker`、current-owner `0600` 短期 GitHub token file 与 no-replace 私有 report；三个工具按绝对路径直接执行且前后复验 inode/size/SHA-256，不经 shell/ambient PATH，token 只注入 4 个 `gh attestation verify` 子进程。ceremony 精确验证 keyless workflow identity、provenance、CycloneDX、OS-vulnerability evidence 与 D-333 source-derived release-candidate contract，拉取并 inspect 同一 RepoDigest，再在 non-root/read-only/network-none/drop-ALL/no-new-privileges/128 MiB/0.25 CPU/32 PIDs 下运行 release image 内置 `evidence-verify` 检查固定非敏感 vector。成功报告只含 public release identity、tool/argv/stdout/stderr digest、字节数、isolation/limitation 与自身 canonical SHA-256，不含原始 transcript、token、路径或 workstation identity；offline auditor 只证明 canonical structure、digest 和 expected identity binding，明确 `externalResults=not_replayed`、`reportAttestation=none`、`actionAuthority=none`。定向正负门覆盖 token 隔离、mutable/source drift、tool/file authority drift、no-replace、结构重签和 report swapping；backend 1,233 pass/2 条件 skip、Cluster Admin 387 pass/3 条件 skip、18-package clean build/test 退出 0。workspace 保持 18 package、无 single/shallow package；npm pack 保持 250 files、271,238-byte tarball、1,690,196-byte unpacked；package/dependency/Edge import/Cluster deployment/image release/OS vulnerability/Console/distribution 审计均 compatible。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 与 MCP 也不变。本门无 schema/migration/SQL/role/Pool/连接拓扑变化，复用紧邻 D-331 的 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线。由于当前没有公开 3.0 release digest，且工作站没有真实 `gh/cosign`，ADR-0424 必须保持 Proposed；stub 或本地 image 不能冒充最终外部 ceremony，公开 digest 可用后才记录真实 report/tool digest 并转 Accepted。 - D-331/ADR-0423（已接受）：`@qinglong/cluster-admin` 在既有 `copilot-console/` 职责目录增加独立 TypeScript evidence verifier，并以第 11 个静态产品命令 `ql3-cluster-admin evidence-verify --bundle=/absolute/evidence.json` 交付。它只通过 no-follow/stable descriptor 读取一个最大 512 KiB 的 canonical absolute UTF-8 JSON，拒绝 BOM、CRLF、minified、duplicate-key、symlink、relative path 与读取中漂移；独立固定检查 exact bundle/request shape、13 operations、16-entry/8 MiB/64-item/depth/key ceiling、安全字段白名单和顺序 typed alias，再重算不含 `contentDigest` 的 canonical SHA-256。结果明确只证明 `bundleDigest=verified`；没有原始 fact 时逐条 digest 为 `not_recomputed_without_raw_facts`，server signature/attestation/durable audit 均未验证且 action authority 为 none。实现不读 stdin/environment/context，不联网、不写文件、不新增 package、依赖、route、listener、数据库、Kubernetes workload 或 Edge/Standalone closure。定向门 18/18，Cluster Admin 387 pass/3 条件 skip，18-package clean build/test 退出 0，backend 1,225 pass/2 条件 skip/0 fail。真实 arm64 Admin image `qinglong3-cluster-admin:d331-local` 为 344,567,527 bytes，在 non-root/read-only/network-none/no-capability/no-new-privileges/0.25 CPU/128 MiB/32 PIDs 下验证 11 个命令、有效 bundle、tamper rejection 与零 verifier file write。npm pack dry-run 为 250 files、271,238-byte tarball、1,690,196-byte unpacked；结构/依赖/部署/发布/Console 审计零 finding，workspace 保持 18 package、无 single/shallow package，Cluster Admin 122 个源码中 121 个位于领域目录。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 仍为 2,589,890/2,589,968 bytes。因本门没有 schema/migration/SQL/role/Pool/连接拓扑变化，不重复冒充执行 HA，复用紧邻 D-330 PostgreSQL 18.6 arm64 142/142、timeline `1→2` 基线。下一门应完成公开 release digest 的外部工作站 ceremony，不得给 verifier 增加上传、签名或行动能力。 - D-330/ADR-0422（已接受）：同一 loopback-only Cluster field ledger 现可由用户显式导出纯浏览器本地的脱敏 evidence bundle。导出只消费本页已逐次读取的最近 16 条、最多 8 MiB canonical fact，不调用 upstream/BFF、补读详情/分页、轮询、上传或持久化；固定 sanitizer 只保留 operation、非权威本机观察时间、安全枚举/boolean/有界 number、结构计数/分页事实、per-bundle typed alias 与原始 fact canonical byte count/SHA-256，自由文本、名称、路径/URL/command/input/output/environment、reason/error/message、credential/token/session/authorization、未知字段及 Copilot model text 一律省略。bundle 固定为 UTF-8 `qinglong/cluster-console-redacted-evidence-bundle@v1` JSON、最大 512 KiB，顶层 self-digest 明确不是 server signature/audit/action authority；生成器作为第 4 个 digest-bound asset 留在既有 `@qinglong/cluster-admin`，不增加 package、依赖、Cluster/BFF route、数据库、对象存储、Kubernetes workload 或 Edge/Standalone closure。定向门 24/24，Cluster Admin 382 pass/3 条件 skip，完整 18-package test 退出 0，backend 1,224 pass/2 条件 skip/0 fail。真实浏览器以恶意 HTML、credential-like 值、私有路径和 Copilot model text 验证纯文本与零泄漏；3 次显式读取后导出 3,611-byte 可复算 JSON，upstream 计数仍为 3，390×844 无横向溢出且 0 console error/warning。真实 arm64 Admin image `qinglong3-cluster-admin:d330-local` 为 344,543,263 bytes，在 non-root/read-only/network-none/no-capability/no-new-privileges/0.25 CPU/128 MiB/32 PIDs 下验证 10 个产品命令、原生/host-published Console、第 4 个 asset 与内置分发。npm pack dry-run 为 246 files、267,731-byte tarball、1,665,996-byte unpacked；package/dependency/Edge import/Cluster deployment/image release/Console/distribution 审计零 finding。workspace 保持 18 package、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，1,199 个源码中 1,181 个位于职责目录。14 档 Local artifact 全部 compatible，默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 保持 4,493,043/4,493,175 bytes，MCP 保持 7,315,930/7,316,038 bytes。PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2`，报告 SHA-256 `c9feb83c98ad2269c7649bd0869921d9dee7cfd00c9bc1a8a7879d81630d37c7`，证据审计与 Docker 残留均为零；本 Gate 没有 schema、migration、SQL、role、Pool 或连接拓扑变化。下一独立 Gate 应交付公开 release digest 的外部工作站 ceremony，或提供独立、离线、无 authority 的 evidence bundle verifier；不得为导出增加服务端聚合、稳定跨包标识、自动抓取或上传能力。 - D-329/ADR-0421（已接受）：同一 loopback-only Console/BFF 已扩展为 Cluster field ledger，固定提供 Copilot `inspect|output`、Run list/detail/events/steps、Task list/detail、Workflow list 与 Workflow Run list/detail/events/steps 共 13 个显式只读 operation；browser 仍不能提交 upstream URL/method/header/credential。服务端 exact contract 负责 ID/cursor/limit 校验和 path/query 生成，并复用既有 owner-private `ql3c_`、TLS 1.3、request-ID、2 MiB response 与低敏错误 transport；通用 Project read grammar 只接受审核过的 Run/Task/Workflow GET，拒绝 mutation、absolute URL 与 path traversal。UI 采用仅存内存的 evidence ledger，每次按钮只执行一次读取，分页只在 `hasMore|truncated` 携带 cursor 时由用户显式触发，没有自动 detail cascade、poller、WebSocket/SSE、retry、queue、cache 或后台 timer。实现继续留在 `@qinglong/cluster-admin`，workspace 维持 18 package，部署 credential 推荐只授予 `run.read|task.read|artifact.read`；不回接 2.x Web/session、不新增 Cluster route/schema/SQL/Pool/Kubernetes resident service，也不进入 Edge/Standalone closure。13-operation contract、Console/CLI/TLS 定向门 23/23，Cluster Admin 378 pass/3 条件 skip，完整 18-package test 退出 0，backend 1,223 pass/2 条件 skip/0 fail。真实浏览器完成 Run/Task/Workflow 读取、显式下一页、恶意 HTML 纯文本、390×844 与零 console error/warning，并发现、修正 `[hidden]` 被 panel layout 覆盖的问题；真实 arm64 Admin image `qinglong3-cluster-admin:d329-local` 为 344,518,724 bytes，在 non-root/read-only/network-none/no-capability/no-new-privileges/0.25 CPU/128 MiB/32 PIDs 下验证 10 个产品命令、原生/host-published Console 与内置分发文件。npm pack dry-run 为 245 files、262,246-byte tarball、1,642,267-byte unpacked；package/dependency/Cluster deployment/image release/Console/distribution 审计零 finding，workspace 为 18 package 且无 single-source/shallow package。14 档 Local artifact 全部 compatible；默认 Edge/Standalone 精确保持 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 保持 4,493,043/4,493,175 bytes，MCP 保持 7,315,930/7,316,038 bytes。本 Gate 无 schema、migration、SQL、role、Pool、连接或 HA 拓扑变化，继续引用 D-323 PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2` 基线。下一独立 Gate 应把现场 evidence 升级为可下载的显式脱敏诊断包，或补公开 release digest 的外部工作站 ceremony；不得增加浏览器代理权、自动全量抓取或把 Console 变为 Kubernetes 常驻服务。 - D-328/ADR-0420（已接受）：Cluster Copilot Console 的 operator-workstation 分发已冻结为既有 `qinglong3-cluster-admin@sha256:…` 多架构 OCI，而不是再发布 Node archive、安装器镜像或第 19 个 workspace package。Admin release workflow 已有 amd64/arm64 原生构建、production dependency audit、BuildKit provenance/SBOM、OS vulnerability scan、扫描后 OCI merge、keyless Cosign signature，以及绑定 repository/workflow/source commit/source tag 的 GitHub provenance、CycloneDX 和 OS-vulnerability attestations；新增 `verify-release.sh` 要求 image digest、40-hex revision 与 `refs/tags/v3.*`，独立复验 exact workflow certificate identity、GitHub OIDC issuer、三类 predicate、OCI bundle 并拒绝 mutable tag、branch ref 与 self-hosted builder。已签名 image filesystem 现在携带 `0555` launcher/verifier 和 `0444` 文档/配置模板，因此 signature 同时覆盖宿主启动路径，不存在第二套依赖树。原生 Console 默认继续只监听 `127.0.0.1` ephemeral port；只有显式 `--container-published-loopback` 加固定高端口才允许容器 network namespace 内监听 `0.0.0.0`，并仍对外报告 `publishedHostAddress=127.0.0.1`。reviewed launcher 只接受 immutable digest、canonical private root、显式命名网络和 `compact|standard` 两档资源，拒绝 `bridge|default|host|none`；`check` 不 publish，`serve` 唯一映射为 `127.0.0.1::/tcp`，同时固定 non-root `10001:10001`、read-only root、drop ALL、no-new-privileges、8 MiB noexec tmpfs、一个只读 authority mount、`--pull never`、3 秒 stop，compact 为 192 MiB/0.25 CPU/32 PIDs，standard 为 512 MiB/1 CPU/64 PIDs。启动器/验签器/分发审计与 Console 定向门 30/30；release/OCI/SBOM 定向门 75/75，package/dependency/Edge/Cluster deployment/Console distribution 审计全部零 finding。Cluster Admin 376 pass/3 条件 skip，完整 18-package clean build/test 退出 0，backend 1,223 pass/2 条件 skip/0 fail。npm pack dry-run 保持 245 files、258,591-byte tarball、1,616,582-byte unpacked。真实 arm64 image `qinglong3-cluster-admin:d328-local` 为 344,492,529 bytes，验证 10 个产品命令、镜像内五项分发文件及 mode、原生 loopback Console；新增 named-network 现场门选择一个空闲高端口并以 exact `127.0.0.1:P:P` 发布，宿主真实读取页面，同时复验 read-only/non-root/no-capability/no-new-privileges 边界与容器/网络清理。14 档 Local artifact 全部 compatible；默认 Edge/Standalone 仍精确为 2,589,890/2,589,968 bytes、315 files、56 modules，application+AI 仍为 4,493,043/4,493,175 bytes，MCP 仍为 7,315,930/7,316,038 bytes，证明工作站分发没有进入低配路由设备闭包。workspace 保持 18 package、`singleSourcePackages=[]`、`shallowSourcePackages=[]`，Cluster Admin 120 个源码中 119 个位于嵌套职责目录。本 Gate 无 schema、migration、SQL、role、Pool、连接或 HA 拓扑变化，继续引用 D-323 PostgreSQL 18.6 arm64 physical HA 142/142、timeline `1→2` 基线。下一独立 Gate 应在同一 Console/BFF ownership 下增加只读 Run/Task/Workflow 观察面，或补公开 release tag 的外部工作站 ceremony；不得把容器内部 listener 误当宿主 LAN authority、引入第二分发依赖树或把 Console 变成 Kubernetes 常驻服务。 - D-327/ADR-0419（已接受）：QingLong 3.0 首个 Cluster 浏览器产品面已冻结为独立的 operator-workstation、loopback-only、只读 Copilot Console，而不是继续扩展 2.x Umi `src/pages`、legacy session 与 `/api` proxy。实现内聚在既有 `@qinglong/cluster-admin/copilot-console`，workspace 仍为 18 个 package；统一产品 façade 增加第十个静态命令 `copilot-console`。BFF 只监听 `127.0.0.1` ephemeral port，启动前复验包内 HTML/CSS/JS 的路径、realpath、类型、UTF-8、大小与固定 SHA-256；三项资源合计 24,150 bytes，无外部 asset/font/CDN。Cluster `ql3c_` credential 始终留在服务端 owner-private `0600` 文件且每次上游调用重新读取；浏览器只使用另一份 exact 256-bit session key，服务端只保存 domain-separated digest，页面只保存在内存，不进入 cookie、URL、argv、environment、local/session storage。Browser BFF 仅接受 exact `inspect|output`，复用 D-324 共享 TypeScript client，不执行 CLI 子进程、不直连数据库/application capability，并明确没有 diagnose/cancel、poller、WebSocket/SSE、ServiceWorker、queue/retry/cache 或后台 timer。Host、Origin、单 Authorization、route/operation 和 JSON framing 必须 exact；第三个并发 read 立即 `429`，固定 4 KiB request、约 2 MiB response、2 in-flight、16 connections 和 2 秒 shutdown ceiling。响应全为 `no-store` 且使用 default-deny CSP；模型文本只通过 `textContent` 显示并持续标记为 untrusted/no-action-authority。部署手册固定受信运维工作站生命周期，禁止 Kubernetes workload、Ingress、sidecar、共享 LAN 和容器 `0.0.0.0`；Edge/Standalone、Local MCP、Cluster Control/AI closure 均不导入 Console。npm pack dry-run 确认 245 files、258,012-byte tarball、1,614,503-byte unpacked，包含三项静态资源与全部 BFF/CLI 编译产物；独立审计还发现并修正真实 Admin Dockerfile 原先遗漏 assets 的发布缺陷，并把生产 files 白名单精确收窄到 `assets/copilot-console/*`。真实 Playwright 现场门覆盖 session 解锁、status read、显式 output reveal、390px 响应式布局和键盘路径；含 `