jkooe
141f479e4a
fix(ci): 让质量门禁真正生效 —— 修两处「一直红所以等于没有」，并清零高危漏洞
## 发现
今天 8 次质量门禁运行**全部失败**（从今天第一个 commit 起就没绿过）。
一道长期红的门禁等于没有门禁 —— 没人会看它，也就保护不了任何东西。
两处独立原因：
### ① SCA：audit 打到了镜像
仓库 `.npmrc` 指向 `registry.npmmirror.com`（加速用），但**镜像不实现 audit 接口**，
`pnpm audit` 必报 `ERR_PNPM_AUDIT_ENDPOINT_NOT_EXISTS`。
→ 显式加 `--registry=https://registry.npmjs.org`。
### ② typecheck：缺 build 顺序
各包 import 的是 `@nodeagent/protocol` 的**类型产物**（dist/*.d.ts）。
CI 全新检出没有 dist，直接 typecheck 集体报
`TS2307: Cannot find module '@nodeagent/protocol'` —— 而本地因为 dist 还在，看不出来
（典型「本地绿 / CI 红」）。
→ 在 typecheck 前插入 `pnpm --filter @nodeagent/protocol build`（只建这一个包，够用且快）。
**注入验证**：把 `packages/protocol/dist` 移走 → 复现 TS2307 → 执行新增的 build 步骤 →
typecheck 零错误。（先证明诊断对，再证明修复有效。）
## audit 通了以后暴露 2 个 high（之前被「假绿」掩盖）
1. **node-forge <=1.4.0**（路径 `apps/agent > selfsigned > node-forge`）
上游**无修复版本**（patched_versions: None）→ 只能移除依赖。
`selfsigned` 5.x 已整体改用 `@peculiar/x509` + pkijs，node-forge 被彻底删掉。
- 升级带来两处不兼容：`generate` 改为**异步**、`days` 改为 `notAfterDate`
- `ensureCert()` 随之改 async（唯一调用点在 async 的 `main()` 里）
2. **@modelcontextprotocol/sdk <1.31.0**（OAuth 凭据可能被发往 MCP 服务器指定的授权服务器）
→ 升到 `^1.32.1`
## 证书不能只看编译通过（权威本上一条真机教训）
用临时数据目录起真被控端实测：
- 证书 `notBefore=2026-10-17 / notAfter=2036-10-14`（10 年，换算正确）
- key.pem 权限仍为 600
- 客户端握手成功：**52 项能力**，验收 **13 通过 / 0 失败**
- 审计：`No known vulnerabilities found`
验证：`pnpm typecheck` 通过；`pnpm test:unit` **357 项全绿**；
`pnpm install --frozen-lockfile` 通过（lock 与 manifest 一致）。
2026-10-17 23:21:51 +08:00
..
2026-10-17 23:21:51 +08:00
2026-10-17 23:21:51 +08:00
2026-09-27 01:06:35 +08:00