zh d5df4f5408 feat(core): 按身份过滤能力与工具白名单（A3.5） ... 新增 server/core/registry/visibility.ts：能力可见性规则（defaultAllow / denyWrite / grants 按 userId、tenantId 与能力 id 前缀授权）。能力清单与引擎工具集走同一次过滤，避免模型看到用户看不到的能力；运行时会话缓存加工具集指纹，身份或可见能力变化就重建（不跨身份复用工具集）。会话加归属校验：读、发消息、取消、订阅事件流、按会话取能力清单，非归属者一律 403。配置层加 capabilities 段（默认 defaultAllow=true 供开发使用，A4.1 接真实身份后应改 false）；开发身份支持 x-aps-user / x-aps-tenant 头覆盖，便于多身份联调与权限用例。测试 66 → 70：白名单同源、跨身份隔离、工具集变化重建、只读模式与未登记能力。		2026-09-28 22:17:25 +08:00
..
capability-visibility.test.mjs	feat(core): 按身份过滤能力与工具白名单（A3.5）	2026-09-28 22:17:25 +08:00
check-capability-description.mjs	feat(agent,eval): 假引擎接入服务端并跑通问法评测（A2.6 / A2.7，M1 闭环）	2026-09-28 15:38:42 +08:00
check-capability-description.test.mjs	feat(ci): lint 基线与三个检查接入门禁（A1.6）	2026-09-24 15:37:35 +08:00
check-contracts.test.mjs	feat(contracts): 补齐 HTTP 契约与端点一致性检查（A1.8）	2026-09-23 20:52:24 +08:00
check-cross-database.mjs	feat(config): 模型与端点配置层（ADR-0011，决策 D15 / D16）	2026-09-28 16:01:04 +08:00
check-cross-database.test.mjs	feat(config): 模型与端点配置层（ADR-0011，决策 D15 / D16）	2026-09-28 16:01:04 +08:00
check-dependency-direction.mjs	feat(core): Provider SDK、能力目录与 Core.invoke（A2.1-A2.4）	2026-09-24 15:48:45 +08:00
check-dependency-direction.test.mjs	feat(core): Provider SDK、能力目录与 Core.invoke（A2.1-A2.4）	2026-09-24 15:48:45 +08:00
config.test.mjs	feat(agent): Pi 子进程接入（A3.3）	2026-09-28 20:21:24 +08:00
core-invoke.test.mjs	fix(test): 测试强制使用假引擎，不读本机真实配置	2026-09-28 20:30:40 +08:00
dev.mjs	feat(client): 最小界面与单端口托管（A1.4 / A1.5）	2026-09-24 15:41:01 +08:00
eval-intents.mjs	feat(agent,eval): 假引擎接入服务端并跑通问法评测（A2.6 / A2.7，M1 闭环）	2026-09-28 15:38:42 +08:00
internal-tool-call.test.mjs	fix(test): 测试强制使用假引擎，不读本机真实配置	2026-09-28 20:30:40 +08:00
m1-loop.test.mjs	fix(test): 测试强制使用假引擎，不读本机真实配置	2026-09-28 20:30:40 +08:00
pi-bridge.test.mjs	feat(agent): 能力桥——Pi 真正能调用平台能力（A3.4 / A3.11）	2026-09-28 22:03:44 +08:00
pi-probe.mjs	feat(agent): Pi 子进程接入（A3.3）	2026-09-28 20:21:24 +08:00
pi-runtime.test.mjs	feat(agent): Pi 子进程接入（A3.3）	2026-09-28 20:21:24 +08:00
runtime-conformance.test.mjs	feat(agent): 引擎接口、假引擎与一致性测试套件（A3.1 / A3.2）	2026-09-28 15:14:11 +08:00
serve-client.test.mjs	fix(test): 测试强制使用假引擎，不读本机真实配置	2026-09-28 20:30:40 +08:00
server-smoke.test.mjs	fix(test): 测试强制使用假引擎，不读本机真实配置	2026-09-28 20:30:40 +08:00
storage.test.mjs	fix(test): 测试强制使用假引擎，不读本机真实配置	2026-09-28 20:30:40 +08:00
turn-runner.test.mjs	feat(agent): 能力桥——Pi 真正能调用平台能力（A3.4 / A3.11）	2026-09-28 22:03:44 +08:00