[loveRhythm1990]

Capability assessment: N/A: 本 PR 同步版本元数据，并更新现有间接依赖的安全补丁；不改变能力实现、能力状态或运行配置。

Summary

为后续使用 MOI 客户端工作流构建候选版本，准备 Astra 0.2.14。

• 从上游最新 main（c048e243）新建独立分支，执行 make release-prepare VERSION=0.2.14。
• 将 Rust workspace/本地 crate lock、TypeScript SDK/Web 及 lockfile、CITATION、Helm chart 和部署示例统一从 0.2.13 更新为 0.2.14。
• 保留 MatrixOne/Memoria 的现有镜像 digest，不调整运行逻辑。
• 将 Cargo.lock 中现有间接依赖 ctutils 从 0.4.3 更新到 0.4.4，修复 RUSTSEC-2026-0385。该依赖版本原已存在于 main，本次 CI 在 cargo audit 阶段检出；保留所有审计门禁，不新增忽略项。

本 PR 不创建 GitHub Release、不打 tag、不触发镜像或客户端发布、不修改 QA/Prod。合并和实际发布仍由用户分别决定。

Related issue

N/A：例行版本准备及发布前依赖安全补丁。上游修复：RustCrypto/utils#1569 。

Change type

• Feature
• Bug fix
• Documentation
• Refactor or performance improvement
• Test
• Build, CI, or maintenance

User and compatibility impact

本次 diff 包含版本元数据和 ctutils 安全补丁，不直接改变用户已安装的客户端。合并不等于已发布，也不等于当前 main 与旧生产环境的完整链路已经验收。

当前 Prod 客户端渠道仍是 2026.10.19.1，包含 Astra/Edge 0.2.12 与 Product moi-cli 0.1.7。线上 MOI 仍是旧 Backend/Catalog 拆分部署。当前 Matrixflow dev 的完整 moi-cli/Skill 已包含新原生接口，不能仅凭构建成功就认定可替换旧 Prod 的 moi-cli；本 PR 不替发布流程做这个组件选择。

后续发布应明确区分：在更新后的 QA 验收新 moi-cli，或保留已验收的旧组件；若只需要更新器修复，应另行准备基于兼容源码的 moi-cli，不把当前 dev 的全部产品接口改动一起带入旧 Prod。

发布前核查状态

项目	本次结果
发布来源与版本	已固定 c048e243 基线，版本元数据同步为 0.2.14；尚未构建新产物。
客户端 bundle、moi-cli 与 Skill	尚未发布新 bundle；最新版 moi-cli 与旧 Prod 的完整兼容性未验收，不能标记通过。
Astra Server 与 MOI/UC	只读确认线上仍为旧拆分 MOI；新候选的登录、工作区、模型策略和回调链路未验收。
Server/CLI/Edge 协议	当前基线与线上源码的 interaction API major 均为 3，这不代替新旧组合端到端验收。
数据库 schema	当前基线与线上源码的 CORE_SCHEMA_CONTRACT_VERSION 均为 2026-10-17-v105；本 PR 不改 schema，不计划凭版本号默认换库。
Server 镜像/GitOps	不适用：本 PR 不构建或部署镜像。
托管 Runner	本次不改默认镜像或已有实例；候选发布前仍需核对实际共存协议与 CLI/Skill 组合。
自托管 Edge	本次不改下载地址或认证方式；发布前仍需核对平台产物与更新说明。
QA 晋升 Prod	未执行；仍沿用 QA 验收后晋升的既有流程，保留 Prod 兼容标识和服务地址。
新装、更新提示与回滚	未执行新候选安装/升级/回滚；不会把 main 中的修复当作已发布到用户。

Architecture and complexity delta

• Canonical owner changed or extended: N/A，仅使用现有版本生成器同步元数据。
• Existing implementations and callers searched: release-prepare、prepare-release-version.py、validate-release-version.sh 与当前 PR 模板。
• Superseded code, states, tables, shims, or self-only tests removed: 无。
• If parallel implementations remain, their boundary and retirement condition: 无新增实现或兼容路径。

Verification

• Commands and results: make release-prepare VERSION=0.2.14 成功；生成器内置的版本一致性检查在生成前后通过。cargo update -p ctutils --precise 0.4.4 通过，只更新该包版本及校验和；git diff --check 通过，部署示例的依赖镜像 digest 未变化。
• 初始 head 6ead098a：Test Suite 全部检查、live harness、SDK/Web 和 Docker 依赖校验通过。lint 因上述安全公告失败，check 为其汇总失败；追加依赖补丁后的 CI 仍待执行，不能沿用旧 head 的测试结果作为新 head 已通过的证明。
• Public entrypoint exercised: 版本准备入口；没有构建或运行候选 binary。
• Unhappy paths exercised: 没有新增应用行为分支；依赖补丁的编译、测试和安全审计由新 head 的正常 CI 验证。
• Database verification: 只读比较 schema 常量；没有连接数据库、迁移或删除数据。

遵守用户已有的 Astra 本地验证约束，本次没有执行 Rust 编译、格式检查、单测或完整 make release-check；完整 CI 及候选产物验收仍待执行，未运行项不声称通过。

Final checklist

• I added or updated tests at the layer that owns the behavior, or explained why no test is needed.
• I updated public or design documentation for contract changes, or the change needs no documentation update.
• I checked the diff for credentials, private URLs, customer data, generated files, and other sensitive information.
• The PR title follows the repository's Conventional Commit format.