[CSJ608]

范围

基于已合并的 #104，完成测试工具与构建发布安全加固：SDK 10.0.402 基线、固定包源、传递审计/双锁图、xunit.v3 4.0.2、Analyzer 3.0.316、net10 示例/AOT、Actions SHA 固定与发布权限隔离。

已知风险独立跟踪

维护者要求将 coverlet.collector 10.1.0 内嵌 Pkcs 10.0.12 的问题登记为 #107，其他已验证改动先合并。

• 仅 CI 显式 --coverage --defer-coverlet-107 对精确 collector/Pkcs 版本的 GHSA-846f-f764-76mx（high）与 GHSA-2fmv-rv2c-59x7（medium）延期。
• 日志、warning 和 Summary 继续输出全部告警与 Issue 链接。没有整步 continue-on-error。
• 默认严格审计仍退出1；其他版本、其他组件、生产依赖命中、新公告、Critical升级及审计不可用继续失败。
• Issue #107保持开放；本PR合并不代表漏洞修复，后续核验上游官方包并移除延期逻辑后才能关闭。

验证

• Release构建0警告0错误；Windows net8/net10各180通过、net48 172通过，各3项Soak正常Skip；Linux net8/net10各180通过。
• 同一生产实现五目标×三场景×三轮，每场景600秒，45/45通过、0失败/Skip。
• 普通双源审计6项目68包无告警；coverage89包的两项已知告警严格模式失败，显式延期模式保留报告后通过。
• 21项Python测试验证精确边界，四份workflow actionlint通过。
• NativeAOT正常及四类故障路径通过；覆盖率采集/摘要正常。
• 无发包发布演练39744060150成功：五目标测试、打包与上传通过，release job跳过，未推NuGet。

证据：docs/SECURITY-VALIDATION-2026-10-22.md、docs/validation/security-soak-2026-10-22.json。

不修改分支保护或生产环境，不打tag、不发包。

[CSJ608]

远端验证已完成：CI 39741071758 的 Windows/Linux 构建测试、security-audit、NativeAOT，以及 CodeQL 全部通过。coverage 的采集、摘要和上传均成功，唯一失败步骤为 Audit embedded coverage components，准确报告 GHSA-846f-f764-76mx（high）及 GHSA-2fmv-rv2c-59x7（medium）。本 PR 保持草稿，不豁免、不合并。另已触发分支 workflow_dispatch 无发包演练 39741818547；release job 受 tag 条件保护不会执行。

[CSJ608]

最终远端验证（提交 487f329）：CI 39744063594 的 Windows/Linux 构建测试、security-audit、NativeAOT 与 CodeQL 全部通过；coverage 唯一失败仍为内嵌 Pkcs 的两项已知公告，测试采集和报告上传成功。发布演练 39744060150 已成功完成五目标测试、生产打包和产物上传，release job 按分支条件跳过，未创建 Release/推 NuGet。首次演练暴露的固定睡眠测试时序已用明确编码门控修正，未改变生产实现，三轮长测的生产 SHA256 保持一致。PR 继续保持草稿，等待 coverlet 上游修复或另行批准的处理方案。