From 9683c16d1da4013838413b8c6d12dfeafd5c70e2 Mon Sep 17 00:00:00 2001 From: ReSerendipity Date: Thu, 24 Sep 2026 10:14:36 +0800 Subject: [PATCH] =?UTF-8?q?docs(security):=20=E5=8F=B0=E8=B4=A6=E8=AE=B0?= =?UTF-8?q?=E4=B8=A4=E6=9D=A1=E5=8F=A3=E5=BE=84=E2=80=94=E2=80=94=E5=B7=B2?= =?UTF-8?q?=E5=90=88=E5=B9=B6=E5=88=86=E6=94=AF=E9=BB=98=E8=AE=A4=E4=BF=9D?= =?UTF-8?q?=E7=95=99=E3=80=81GPU=20=E7=9C=9F=E9=93=BE=E8=B7=AF=E4=B8=89?= =?UTF-8?q?=E6=A0=BC=E7=BB=B4=E6=8C=81=E8=A7=82=E5=AF=9F?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit delete_branch_on_merge=false 是仓库级显式设置，删分支等于替维护者改掉这条策略， 所以 #155/#156 的两个分支留在 origin，以后默认保留、要删单独取授权。 resolve_persona_ref 与 voxcpm2 两条路由的音色解析仍空着：不为补测试自行 下载权重或加载引擎（3-4GB 与 GPU 都在红线上），这三格只能用户侧真机收口。 另记 A1-A16 的跟踪载体待定：pip-audit 无 expiration 机制、Dependabot 只覆盖 A1-A8，汇总 issue 草稿已交、批复前保持只有文档没有 issue。 Signed-off-by: ReSerendipity --- docs/SECURITY_CODEQL_TRIAGE.md | 14 ++++++++++++++ 1 file changed, 14 insertions(+) diff --git a/docs/SECURITY_CODEQL_TRIAGE.md b/docs/SECURITY_CODEQL_TRIAGE.md index fde2d45..069abb7 100644 --- a/docs/SECURITY_CODEQL_TRIAGE.md +++ b/docs/SECURITY_CODEQL_TRIAGE.md @@ -499,3 +499,17 @@ A9–A16 那 8 条 PYSEC-only 的永远不会自己冒出来。要不要为这 1 却一条都没打到业务分支 —— 加正向对照（合规但不存在的名字要回 400「不存在」）才暴露出来。 **仍未覆盖**：`resolve_persona_ref` / `voxcpm2` 设计与剧本工坊三条生成路由的音色解析 （要真的加载引擎才会走到，属 GPU 验收范围，交回人耳/人工侧）。 + +### 8.7 台账口径补两条（晨会裁定，2026-09-24） + +- **已合并分支不删。** `fix/codeql-path-injection-unified`（#155 → `d875c9c`）与 + `docs/codeql-rescan-155`（#156 → `5c578a5`）留在 origin。理由不是"没来得及删"： + `delete_branch_on_merge=false` 是仓库级显式设置，删分支等于替维护者改掉这条策略。 + 以后 PR 合并后**默认保留分支**，要删得单独拿一句话。 +- **GPU 真链路那三格维持观察**（`resolve_persona_ref`、voxcpm2 设计与剧本工坊的音色解析）。 + 权重与引擎属用户环境：**不为补测试自行下载或加载模型**（3–4GB 下载、GPU 加载都在红线上）。 + 这三格只能由用户侧真机点一遍收口。 +- `transformers 4.52.x` 那 16 条公告（A1–A16）的**跟踪载体**待定：§4 条件 5 写明了 pip-audit + 没有 expiration 机制、只能靠文档 + 人守，而 Dependabot 只会为 A1–A8 开单，A9–A16 那 8 条 + PYSEC-only 的永不自动冒出来。汇总 tracking issue 的草稿已交，开不开由用户拍板； + 在批复之前**保持只有文档、没有 issue** 的现状。