feat(cicd): 增加 Agent 安全工作流投影 #17

lanrtop · 2026-09-22T23:18:28+08:00

lanrtop commented

2026-09-22 23:18:28 +08:00

修改内容

新增只读 plan_cicd_workflow：返回目标文件、create/update/noop、工具链来源、所需 secret 名称与内容摘要，不写磁盘
新增受控 apply_cicd_workflow：要求 confirmed=true 且摘要匹配，只写已注册项目的 .gitea/workflows/
支持 pr_ci、deepseek_review、web_ssh、tauri_oss；部署类模板只消费炼境 UI 已保存配置
Tauri、MCP 与前端封装复用同一 Rust 能力本体；保留 distribute_cicd 的兼容边界
同步 onboarding capability pack 1.4.0、Codex 插件 0.2.0 与项目 skill 指引

安全边界

MCP schema 不接收 secret 值、服务器地址、远程命令、任意路径或 URL
不触发 Gitea Actions、SSH、部署、回滚或 migration
未确认、摘要漂移、未知项目、配置缺失、路径越界和工具链冲突均拒绝写入

验证结果

cargo test --lib：162/162 通过
mise exec -- pnpm typecheck：通过
mise exec -- pnpm test：通过（当前无前端测试文件）
CI/CD targeted tests：12/12 通过
MCP targeted tests：14/14 通过
三份 skill 校验与插件结构校验：通过
git diff --cached --check：通过
pnpm-lock.yaml：无改动

未验证项

尚未在重新启动并加载本提交的炼境进程中实机调用两个新 MCP 工具
当前任务未暴露炼境 MCP，M 级复盘笔记尚未通过 append_project_note 写入
本 PR 创建后真实 Gitea CI 尚待运行

Feature-Confirmed: true

Rules-Applied: R01,R02,R06,R07,R12,R13

## 修改内容 - 新增只读 `plan_cicd_workflow`：返回目标文件、create/update/noop、工具链来源、所需 secret 名称与内容摘要，不写磁盘 - 新增受控 `apply_cicd_workflow`：要求 `confirmed=true` 且摘要匹配，只写已注册项目的 `.gitea/workflows/` - 支持 `pr_ci`、`deepseek_review`、`web_ssh`、`tauri_oss`；部署类模板只消费炼境 UI 已保存配置 - Tauri、MCP 与前端封装复用同一 Rust 能力本体；保留 `distribute_cicd` 的兼容边界 - 同步 onboarding capability pack 1.4.0、Codex 插件 0.2.0 与项目 skill 指引 ## 安全边界 - MCP schema 不接收 secret 值、服务器地址、远程命令、任意路径或 URL - 不触发 Gitea Actions、SSH、部署、回滚或 migration - 未确认、摘要漂移、未知项目、配置缺失、路径越界和工具链冲突均拒绝写入 ## 验证结果 - `cargo test --lib`：162/162 通过 - `mise exec -- pnpm typecheck`：通过 - `mise exec -- pnpm test`：通过（当前无前端测试文件） - CI/CD targeted tests：12/12 通过 - MCP targeted tests：14/14 通过 - 三份 skill 校验与插件结构校验：通过 - `git diff --cached --check`：通过 - `pnpm-lock.yaml`：无改动 ## 未验证项 - 尚未在重新启动并加载本提交的炼境进程中实机调用两个新 MCP 工具 - 当前任务未暴露炼境 MCP，M 级复盘笔记尚未通过 `append_project_note` 写入 - 本 PR 创建后真实 Gitea CI 尚待运行 Feature-Confirmed: true Rules-Applied: R01,R02,R06,R07,R12,R13

lanrtop added 1 commit 2026-09-22 23:18:28 +08:00

feat(cicd): add safe agent workflow projection

Push & PR Check / check (push) Successful in 1m0s

Details

Push & PR Check / check (pull_request) Successful in 58s

Details

806205b8b0

Add preview-and-apply workflow commands with digest confirmation, project boundary checks, and MCP/Tauri projections. Sync onboarding capability packs and Codex skill guidance.

Feature-Confirmed: true

Rules-Applied: R01,R02,R06,R07,R12,R13

lanrtop merged commit 57db32aaf0 into master

2026-09-23 00:04:30 +08:00

lanrtop referenced this issue from a commit

2026-09-23 00:04:32 +08:00

Merge pull request 'feat(cicd): 增加 Agent 安全工作流投影' (#17) from feat/cicd-workflow-t10 into master

Sign in to join this conversation.

No reviewers

No Label

No Milestone

No project

No Assignees

1 Participants

Notifications

Due Date

The due date is invalid or out of range. Please use the format 'yyyy-mm-dd'.

No due date set.

Dependencies

No dependencies set.

Reference: lanrtop/dev-manager-tauri#17