评估契约

发布候选仅在所有必需层面均通过时才算通过：

• 结构：读取配置前，物理目录树预检拒绝带符号链接的根目录、父目录或入口，缺失的必需常规文件以及特殊文件。随后验证目录名与 frontmatter 名称相符、必需元数据存在、运行时扩展已显式声明、直接引用可解析、包大小与类型限制通过、不含明显 secret 模式、输出和失败契约存在，且不会随包交付未引用的伴随文件。
• 触发：正例 prompt 被激活，近似反例保持未激活。报告混淆计数、精确率、召回率和每个原始逐次预测。本地完整性将完整观察序列和路由 fixture 绑定到其来源与 SHA-256 摘要，而不仅是运行零或汇总比率。
• 稳定性：重复运行每个案例，并报告每案例通过率。
• 产物：将同一组断言应用于 baseline 和使用 skill 后的输出。skill 输出必须通过并证明有所改进。生产声明将两个捕获字符串绑定到来源和 SHA-256 摘要。
• 脚本：要求确定性脚本测试提供显式通过/失败证据，包括重复执行。生产证据将完整脚本与安全检查集绑定到捕获来源和 SHA-256 摘要。
• 安全：要求每个声明的权限边界案例都通过。平均值不能掩盖一次逃逸。
• 已安装目录树：激活前，对照记录的文件 manifest 验证干净安装副本。要求 manifestVersion: 1 和 algorithm: "sha256"。将 assets/manifest.json 视为保留元数据，并从自身 files 映射中排除；通过受信任的外层发布或注册表渠道验证该 manifest。
• 可移植性：说明每个目标宿主是原生支持、需要适配器还是不支持，并列出缺失能力。要求至少一个宿主和正的原生宿主阈值。本地完整性将捕获的要求和宿主矩阵绑定到其探测来源及 SHA-256 摘要。

将路由评测与确定性 harness 激活分开。前者衡量可发现性，后者隔离工作流和产物行为。

随附 JSON 值是用于学习门禁的确定性 fixture。它们可以设置 fixturePassed，但永远不能设置 productionReady 或 passed。对于真实发布，将 evaluationMode 设为 captured-observations、artifactMode 设为 captured-artifacts、evidenceMode 设为 captured-results、hostMode 设为 captured-capabilities；每次运行记录一个布尔预测，并将完整观察集绑定到来源与 SHA-256 摘要；用从相同任务和环境捕获的产物替换 baseline 与使用 skill 后的字符串；记录非空捕获来源和匹配的 SHA-256 产物摘要；用捕获的测试结果替换每个证据裁决；将完整证据集绑定到来源与 SHA-256 摘要；用捕获的宿主探测结果替换模拟能力矩阵并绑定到来源和摘要；重建 manifest；然后安装到干净目标。

这些本地检查可以设置 localEvidenceReady。它们不能证明捕获，因为 bundle 作者可以重标 fixture 并重新计算每个摘要。因此，评估器对完整的五项配置证据根进行哈希，并要求一份绑定它的外部 attestationVersion: 1 JSON 对象。从 bundle 外提供证明，并通过 --trusted-attestation-sha256 提供其精确字节的 SHA-256；该值应来自带外受信策略。只有六层门禁、本地完整性和这个信任锚共同满足，才能设置 productionReady 和 passed。