[REQ-128][VERIFY] 打包版真机 L2:本地插件包导入八步端到端取证

[jinjunnn]

大白话

把 #783 的最后一件事做完:在真的打包出来的 mac 应用里,把「导入一个本地 Claude 插件包 →
装 10 个技能 → 显示未启用 → 用户拨开关 → 下一条消息里真能用 → 整包移除」这条路从头走了一遍,
把看到的东西原样记下来。方案基线 §12 的风险 5「零真机证据」到此为止。

只加了一份证据文档和六张截图,没有改任何生产代码。

被测件

• 9996d2c9(origin/alpha,工作树干净)打出的 packages/ui-mac/dist/mac-arm64/alpha-code.app
• com.tide.alphacode.dev / 0.1.2 / 构建于 2026-08-02 10:11:45 EDT / Electron 42.3.3 / electron-builder 26.15.2
• Developer ID 签名并 codesign --verify --deep --strict 通过;app.isPackaged=true
• 语料 ~/.claude/plugins/marketplaces/tide-plugin(本轮亲测:10 skills + 9 commands + 1 agent + .mcp.json)

第 7 步用的是什么判据

R1 的 Blocker 是「读引擎会读的那个文件 ≠ 跑引擎的读」,所以本轮不查账本、不查 skills-enabled.json。

判据 = 运行中引擎的 GET /skill(OpenAPI app.skills)。它由 packages/opencode/src/skill/index.ts
的 Skill.Service 服务,而 session/system.ts:98-110 的 SystemPrompt.skills 调的是同一个 service 的
available() —— 即下一条消息系统提示里 <available_skills> 的那一个集合。

时点	/skill 数量	tide 技能
装之前	20	无
装完 10 个、全部 disabled	20	无 ← 裁决 B 在引擎侧为真
拨开一个开关	21	仅那一个
整包移除后	20	无

全程未重启应用、未重启 sidecar。另补一次真实模型回合:正向出现「技能 chain-analysis 已加载」;
负向由引擎自己吐出 Skill "tide-intro" not found. Available skills: … chain-analysis … ——
含被拨开的那个、不含同一个包里其余九个。

如实记下的三处没做到 + 一处口径修正

1. 原生 NSOpenPanel 没有由真人点击。取证窗口内本机屏幕处于锁定态
   (CGSSessionScreenIsLocked=true),锁屏下 screencapture 只给壁纸、System Events 对所有进程报 0 windows。
   改用生产代码里既有的 main 侧短路 ALPHA_OPEN_DIR;被替换的只有 picker 的返回值,#255 的安全性质不受影响。
2. 界面经 CDP 驱动(本仓既有口子 ALPHA_CDP=1,与 2026-07-27-e7-packaged-live/ 同款),
   未覆盖真实鼠标/键盘/无障碍输入面。
3. 「拨开关 → 紧接着发消息」的完全连续链路本轮没一次性跑通,中间有一次 renderer reload
   (原因见下方第 8 节的 composer 门)。未经 reload 的那一半由 GET /skill 覆盖。
4. 口径修正:整包移除后插件正文仍在 CAS 里。账本 / ext-store / 引擎三面逐字干净,
   但 cas/v1/sha256 下 10 个 blob(那 10 份 SKILL.md 正文,52K)仍在,
   按 ext-cas-gc.ts:34 的 CAS_GC_GRACE_MS_DEFAULT = 6 小时定时 GC 才清。
   这是既有设计(#194)的后果不是本期缺陷,但「移除无残留」在用户口径上是有条件的,建议 owner 判是否要在文案上说明。

顺带记下的打包坑(下一个人会踩)

• electron-builder 26.x 的 identity: null 不做 ad-hoc 签名,只是跳过签名 ⇒ 产物 Killed: 9、
  零日志零窗口。配置里的注释「null => ad-hoc sign」与 26.15.2 的实际行为不符。
  只跑 package:mac 不跑 install:local 的人必踩。
• 本机 DNS 对 models.dev 被污染 ⇒ prebuild 直接挂;用 MODELS_DEV_API_JSON(generate.ts 自带入口)绕开。
• scripts/worktree-link-deps.sh 不链 node_modules/.bin(glob 不含点开头条目)⇒ worktree 里
  electron-vite/electron-builder/tsgo 全 command not found。跑 bun 的门没暴露过它。
• 锁屏会让 GUI 取证手段静默失效;判据是 ioreg | grep -a CGSSessionScreenIsLocked,先判它再判 UI。

与本期无关、建议单开票的一条

sidecar 因 token 轮换 respawn 之后,composer 的模型预检认为「本次引擎启动没有加载这个模型」,
直到 renderer 重载才恢复(平台模型与 BYOK 都被拦,而引擎 /config/providers 同一时刻列得出 10 个模型)。
已排除 G20 的 refreshEngine():reload 后跑完一次完整安装(必走 refreshEngine)再发消息仍然成功。
这是相关性不是隔离出的因果,建议按 REQ-109/110 的 token 轮换面单独查。

文档影响

docs/verification/ 新增一份记录 + docs/verification/assets/ 六张截图。
未改 CHANGELOG(本 PR 无用户可见变更;功能本身的条目已随 #791 落地)。
未改方案基线 —— §12 风险 5 的收口指针是否要写回基线,留给编排者裁。

Fixes #783
Refs #784