fix: resolve final distribution audit findings

Author: BitCook

.github/workflows/release.yml

@@ -57,9 +57,9 @@ jobs:
           tag="v$(cat VERSION)"
           tar -xzf "dist/AgentBoot-offline-${tag}-linux-x64.tar.gz" -C "$root/extract"
           app="$root/extract/AgentBoot"
-          AGENTBOOT_HOME="$root/home/.agentboot" HOME="$root/home" python3 "$app/core/menu.py" offline codex --payload "$app/payloads"
+          HOME="$root/home" sh "$app/install-offline.sh" codex
           AGENTBOOT_HOME="$root/home/.agentboot" HOME="$root/home" "$root/home/.agentboot/bin/codex" --version
-          AGENTBOOT_HOME="$root/home/.agentboot" HOME="$root/home" python3 "$app/core/menu.py" uninstall codex
+          AGENTBOOT_HOME="$root/home/.agentboot" HOME="$root/home" python3 "$root/home/.agentboot/app/core/menu.py" uninstall codex
           test ! -e "$root/home/.agentboot/agents/codex"
           mv "dist/AgentBoot-offline-${tag}-linux-x64.tar.gz" "dist/AgentBoot-offline-${tag}-linux-x64-codex.tar.gz"
           mv "dist/AgentBoot-offline-${tag}-linux-x64-sfx.sh" "dist/AgentBoot-offline-${tag}-linux-x64-codex-sfx.sh"
@@ -87,9 +87,10 @@ jobs:
           $app = Join-Path $extract 'AgentBoot'
           $env:AGENTBOOT_HOME = Join-Path $smokeHome '.agentboot'
           $env:USERPROFILE = $smokeHome
-          python "$app\core\menu.py" offline codex --payload "$app\payloads"
+          $env:LOCALAPPDATA = Join-Path $smokeHome 'LocalAppData'
+          & "$app\install-offline.ps1" -Agents codex
           & "$smokeHome\.agentboot\bin\codex.cmd" --version
-          python "$app\core\menu.py" uninstall codex
+          python "$env:LOCALAPPDATA\AgentBoot\app\core\menu.py" uninstall codex
           if (Test-Path "$smokeHome\.agentboot\agents\codex") { throw 'Codex payload not removed' }
           Move-Item "dist\AgentBoot-offline-$tag-win-x64.zip" "dist\AgentBoot-offline-$tag-win-x64-codex.zip"
       - uses: actions/upload-artifact@v4

CHANGELOG.md

@@ -12,6 +12,10 @@
 - 在线包新增 SHA-256 旁车校验和原子升级回滚；构建器以临时文件原子发布且结果可复现。
 - 自定义脚本仅允许 HTTPS，下载到临时文件后以固定参数执行，消除 URL shell 注入；脚本上限 4 MiB。
 - 修正 `ab bench` 首字延迟计时、全部 60 个 Linux 知识库段落索引、`ab` 子命令包装器和 CoCo 数据备份恢复。
+- 离线包新增目标机逐文件 SHA-256 校验，`--all` 仅安装包内 MANIFEST 实际列出的 Agent；构建缺载荷会硬失败。
+- 修复 Windows CMD shim 百分号格式、npm 真实入口解析和便携 Node 路径，Linux/Windows 均通过原生安装→启动→卸载矩阵。
+- Worker 支持 Range/If-Range 与真实资产健康探测；发布采用 prerelease→Pages/Worker live verify→Latest 的协调状态机。
+- 修正 Node engine 范围、离线资产名、相对链接、vLLM 文案、移动端表格溢出、触摸目标和旧性能固定数字。
 
 ## v1.0.0 (2026-08-29)
 

README.en.md

@@ -49,14 +49,14 @@ Two commands after install:
 | | |
 |---|---|
 | 📦 **Choose what to install** | 14 mainstream agents, multi-select in the menu |
-| 🛟 **Built-in fallback agent** | `ab`: single file, stdlib only, Agnes by default, offline Linux knowledge base, session persistence |
+| 🛟 **Built-in fallback agent** | `ab`: zero third-party dependencies, Agnes by default, offline Linux knowledge base, session persistence |
 | 🧠 **Model provider manager** | Named custom providers, Ollama/LM Studio presets, failover order, connectivity test |
 | 🇨🇳 **China network adaptive** | npmmirror / Node mirrors / Tsinghua PyPI, four-source downloads, proxy support |
 | 📴 **Verified offline packages** | Releases provide Codex slim packs tested through install/run/uninstall; menu `[7]` builds other Agents on their target platform |
 | ➕ **Custom agents** | Add anything beyond the registry (npm / pip / script), stored in your home dir |
 | 🧹 **Safe uninstall** | Menu `[9]` or `agentboot uninstall <id>`; removes owned program files and preserves user data by default |
 | 🔐 **Verified install** | Enforced SHA-256, atomic app switching, rollback; custom scripts require HTTPS and avoid shell interpolation |
-| ⚡ **Extreme performance** | TLS connection reuse (~440ms off per turn), pre-indexed KB (<1ms warm), `/bench` |
+| ⚡ **Measured performance** | TLS connection reuse, pre-indexed KB, and an on-device `/bench` for current network/model conditions |
 
 ## Supported agents (14)
 
@@ -81,7 +81,7 @@ Package names verified on the npm registry. `✓` = offline payload bundled.
 
 ## Built-in fallback agent (ab)
 
-Works when everything else fails — the design baseline:
+Works when everything else fails — a Python standard-library core shipped with i18n and knowledge-base resources:
 
 ```bash
 ab                                  # interactive (Agnes free model by default)
@@ -104,7 +104,7 @@ Download a platform-and-Agent-specific verified pack from [Releases](https://git
 python core/menu.py build-offline win-x64 claude-code,pi
 ```
 
-Details: [Installation Guide (EN)](docs/en/install-guide.md) · [安装指南 (中文)](../安装指南.md)
+Details: [Installation Guide (EN)](docs/en/install-guide.md) · [安装指南 (中文)](安装指南.md)
 
 ## Models
 
@@ -126,15 +126,11 @@ AgentBoot records install ownership and will not remove an unrelated command mer
 
 ## Performance (measured via `ab bench`)
 
-```
-KB query      : cold 2.4 ms · warm 0.0 ms
-Model TTFB    : first (TLS handshake) 1016 ms · reused 579 ms
-Reuse benefit : ~437 ms saved per turn
-```
+`ab bench` measures KB cold/warm queries and first-token latency for a fresh TLS connection versus a reused connection on the current machine and provider. Results vary by network, model, and region and are not a fixed product guarantee.
 
 ## Links
 
-- [Installation Guide (EN)](docs/en/install-guide.md) · [安装指南 (中文)](../安装指南.md)
+- [Installation Guide (EN)](docs/en/install-guide.md) · [安装指南 (中文)](安装指南.md)
 - Primary entry: [boot.ide.pub](https://boot.ide.pub) · Mirror: [GitHub Pages](https://bit-cook.github.io/AgentBoot/)
 
 ## Security

README.md

@@ -48,7 +48,7 @@ powershell -NoProfile -ExecutionPolicy Bypass -Command "iex ((New-Object Net.Web
 | | |
 |---|---|
 | 📦 **菜单自选安装** | 14 个主流 Agent 按需勾选（见下表），支持命令行指定 |
-| 🛟 **内置保底 Agent** | `ab` 单文件零依赖：Agnes 开箱即用、离线 Linux 知识库、工具调用、会话持久化 |
+| 🛟 **内置保底 Agent** | `ab` 零第三方依赖 Python 核心：Agnes 开箱即用、离线 Linux 知识库、工具调用、会话持久化 |
 | 🧠 **提供商管理器** | Agnes 预设 + 自定义提供商命名管理 + Ollama/LM Studio 本地模型 + 故障切换顺序 |
 | 🇨🇳 **中国网络自适应** | npmmirror / Node 镜像 / 清华 PyPI 自动切换；四源下载容错；代理一键配置 |
 | 📴 **可验证离线包** | Release 提供经安装/启动/卸载冒烟的 Codex 精简包；菜单 `[7]` 可按目标平台自建其他 Agent 包 |
@@ -83,7 +83,7 @@ powershell -NoProfile -ExecutionPolicy Bypass -Command "iex ((New-Object Net.Web
 
 其他 Agent 都装不上时，`ab` 一定能用——这是 AgentBoot 的设计底线：
 
-- **单文件、零第三方依赖**（仅 Python 标准库），任何有 Python 的机器直接跑；
+- **零第三方依赖 Python 核心**（仅标准库；随附 i18n 与知识库资源），任何有 Python 的机器直接跑；
 - **Agnes 免费模型**默认即用；`/model` 管理器可切换自定义接口与本地模型；
 - **工具**：执行命令（高危拦截）、读写/精确编辑文件、目录列表、`search_files` 内容搜索、抓网页；
 - **离线 Linux 知识库**（9 大主题 60+ 段落）：查用法、操作 Linux、修常见问题（磁盘满/端口占用/服务起不来…）；
@@ -128,7 +128,7 @@ AgentBoot 通过安装清单识别归属，不会因为系统中存在同名命
 ```
 AgentBoot/
 ├── install.sh / install.bat / scripts/install.ps1    在线一键安装
-├── core/agent.py      内置最小 Agent（单文件零依赖）
+├── core/agent.py      内置最小 Agent（零第三方依赖 Python 核心）
 ├── core/menu.py       中文控制台菜单（安装/模型/镜像/离线/构建）
 ├── agents/registry.json        Agent 注册表（v2，含平台与依赖声明）
 ├── tools/linux-kb/    离线 Linux 知识库
@@ -141,11 +141,7 @@ AgentBoot/
 
 ## 性能（`ab bench` 实测）
 
-```
-知识库查询   : 冷 2.4 ms（含首载索引） · 热 0.0 ms
-模型首字延迟 : 首次（含 TLS 握手）1016 ms · 复用连接 579 ms
-连接复用收益 : 每轮省约 437 ms
-```
+`ab bench` 会在当前机器和当前模型源现场测量知识库冷/热查询，以及首次 TLS 连接与复用连接的首字延迟；结果取决于网络、模型和地区，不写死为产品保证。
 
 ## 文档与链接
 

agents/registry.json

@@ -75,7 +75,7 @@
       "bin": "pi",
       "method": "npm",
       "npm": "@earendil-works/pi-coding-agent",
-      "node": ">=22",
+      "node": ">=22.19.0",
       "offline": true,
       "notes": ["与 pi.dev 官方安装器同源的 npm 包", "文档：https://pi.dev", "模型：pi 需按官方方式配置 provider（pi.dev 文档）"]
     },
@@ -135,7 +135,7 @@
       "bin": "openclaw",
       "method": "npm",
       "npm": "openclaw",
-      "node": ">=22.22.0",
+      "node": ">=22.22.3 <23 || >=24.15.0 <25 || >=25.9.0",
       "offline": true,
       "notes": ["需要较新 Node（22.22+ 或 24+），旧版 Node 仅警告仍可尝试", "文档：https://docs.openclaw.ai"]
     },

cloudflare/DEPLOY.md

@@ -1,79 +1,52 @@
-# Cloudflare 部署说明（AgentBoot 分发 Worker）
+# Cloudflare Worker 部署
 
-本目录的 `worker.js` 承担 `https://boot.ide.pub` 的安装脚本分发：
+`cloudflare/worker.js` 为 `https://boot.ide.pub` 提供：
 
-```
-curl -fsSL https://boot.ide.pub/install.sh | sh
-```
-
-Worker 名称固定为 **boot**（对应"域名前缀用 boot"的要求）。`*.workers.dev`
-在中国大陆通常被阻断，因此同时把自定义域 `boot.ide.pub` 绑定到该 Worker。
+- `/`、`/en`：中英文产品页；
+- `/install.sh`、`/install.ps1`：当前 Release 安装器；
+- `/rel/<asset>`：Release 资产代理，支持 `Range` / `If-Range`；
+- `/health`：实际探测当前版本安装器、在线包与 SHA-256 旁车。
 
-## 手动部署（Cloudflare 控制台）
+Worker 名称固定为 `boot`，配置见 `wrangler.jsonc`。部署只使用 Wrangler OAuth 或最小权限 API Token，不使用 Cloudflare Global API Key。
 
-1. Workers & Pages → Create Worker → 名称填 `boot` → 粘贴 `worker.js` → Deploy。
-2. Worker 详情 → Settings → Domains & Routes → Add → Custom domain → `boot.ide.pub`
-   （Cloudflare 会自动创建 DNS 记录与路由）。
-
-## 脚本部署（Cloudflare API，无需 wrangler）
-
-先准备环境变量（全局 API Key 在 Cloudflare 控制台 My Profile → API Tokens 页获取）：
+## 首次登录
 
 ```sh
-export CF_EMAIL="你的账号邮箱"
-export CF_KEY="你的 Global API Key"
-export CF_ACCOUNT_ID="账户 ID（域名为 ide.pub 的那个账户）"
-export CF_ZONE_ID="ide.pub 这个 zone 的 ID"
+npx wrangler login
+npx wrangler whoami
 ```
 
-然后：
+浏览器授权应至少允许 Workers Scripts 与 Routes 写入，以及 Zone 读取。
+
+## 发布
+
+先确保 GitHub Release 与 Pages 已发布当前 `VERSION`，再执行：
 
 ```sh
-# 1) 部署/更新 Worker（模块语法上传）
-curl -X PUT \
-  "https://api.cloudflare.com/client/v4/accounts/$CF_ACCOUNT_ID/workers/scripts/boot" \
-  -H "X-Auth-Email: $CF_EMAIL" -H "X-Auth-Key: $CF_KEY" \
-  -F 'metadata={"main_module":"worker.js","compatibility_date":"2024-09-23"};type=application/json' \
-  -F 'worker.js=@worker.js;type=application/javascript+module'
-
-# 2) 启用 workers.dev 预览地址（可选）
-curl -X POST \
-  "https://api.cloudflare.com/client/v4/accounts/$CF_ACCOUNT_ID/workers/scripts/boot/subdomain" \
-  -H "X-Auth-Email: $CF_EMAIL" -H "X-Auth-Key: $CF_KEY" \
-  -H "Content-Type: application/json" -d '{"enabled":true}'
-
-# 3) DNS：创建 boot 子域（AAAA 100:: + 代理，把流量交给 Cloudflare）
-curl -X POST \
-  "https://api.cloudflare.com/client/v4/zones/$CF_ZONE_ID/dns_records" \
-  -H "X-Auth-Email: $CF_EMAIL" -H "X-Auth-Key: $CF_KEY" \
-  -H "Content-Type: application/json" \
-  -d '{"type":"AAAA","name":"boot","content":"100::","proxied":true}'
-
-# 4) 路由：boot.ide.pub/* 全部交给 Worker boot 处理
-curl -X POST \
-  "https://api.cloudflare.com/client/v4/zones/$CF_ZONE_ID/workers/routes" \
-  -H "X-Auth-Email: $CF_EMAIL" -H "X-Auth-Key: $CF_KEY" \
-  -H "Content-Type: application/json" \
-  -d '{"pattern":"boot.ide.pub/*","script":"boot"}'
+cd cloudflare
+sh deploy.sh
 ```
 
-## 验证
+`deploy.sh` 会执行：
 
 ```sh
-curl -fsSL https://boot.ide.pub/health
-curl -fsSL https://boot.ide.pub/install.sh | head -n 5
+npx wrangler deploy --config wrangler.jsonc
+python3 ../scripts/verify-live-release.py
 ```
 
-## 版本升级
+只有以下条件全部满足才算发布成功：
 
-`worker.js` 顶部的 `REPO` / `TAG` 与各安装脚本中的 `TAG` 保持一致；发新版本时同步修改。
+- `/health` 返回当前 tag 且 `ok=true`；
+- Worker 与 Pages 的 `install.sh` / `install.ps1` 都指向当前 tag；
+- 两个来源的在线 tar/zip 与各自 `.sha256` 一致；
+- Worker `/rel/` 正确返回 `206 Partial Content`。
 
-当前推荐使用已登录的 Wrangler OAuth 会话部署，配置位于 `wrangler.jsonc`：
+## 回滚
 
 ```sh
-cd cloudflare
-npx wrangler deploy --config wrangler.jsonc
+npx wrangler deployments list --name boot
+npx wrangler rollback --name boot
 python3 ../scripts/verify-live-release.py
 ```
 
-`verify-live-release.py` 会同时检查 `boot.ide.pub` 与 GitHub Pages：版本、安装器、在线 tar/zip 及 SHA-256 必须一致。
+回滚 Worker 后，验证器会按仓库当前 `VERSION` 检查。如果同时回滚 GitHub Release，需要先切换到对应源码/tag再运行验证。

cloudflare/deploy.sh

@@ -1,41 +1,11 @@
 #!/bin/sh
-# AgentBoot Cloudflare Worker 一键部署脚本（API 方式）
-# 用法：
-#   export CF_EMAIL=... CF_KEY=... CF_ACCOUNT_ID=... CF_ZONE_ID=...
-#   sh deploy.sh
+# AgentBoot Cloudflare Worker 一键部署脚本（Wrangler OAuth）
 set -eu
 
 cd "$(dirname "$0")"
-: "${CF_EMAIL:?请设置 CF_EMAIL}"
-: "${CF_KEY:?请设置 CF_KEY（Global API Key）}"
-: "${CF_ACCOUNT_ID:?请设置 CF_ACCOUNT_ID}"
-: "${CF_ZONE_ID:?请设置 CF_ZONE_ID（ide.pub）}"
-
-API="https://api.cloudflare.com/client/v4"
-H1="X-Auth-Email: $CF_EMAIL"
-H2="X-Auth-Key: $CF_KEY"
-
-echo "==> 上传 Worker boot …"
-curl -sS -X PUT "$API/accounts/$CF_ACCOUNT_ID/workers/scripts/boot" \
-    -H "$H1" -H "$H2" \
-    -F 'metadata={"main_module":"worker.js","compatibility_date":"2024-09-23"};type=application/json' \
-    -F 'worker.js=@worker.js;type=application/javascript+module' | head -c 400; echo
-
-echo "==> 启用 workers.dev 预览 …"
-curl -sS -X POST "$API/accounts/$CF_ACCOUNT_ID/workers/scripts/boot/subdomain" \
-    -H "$H1" -H "$H2" -H "Content-Type: application/json" \
-    -d '{"enabled":true}' | head -c 300; echo
-
-echo "==> 创建 DNS 记录 boot（若已存在会报 already exist，可忽略）…"
-curl -sS -X POST "$API/zones/$CF_ZONE_ID/dns_records" \
-    -H "$H1" -H "$H2" -H "Content-Type: application/json" \
-    -d '{"type":"AAAA","name":"boot","content":"100::","proxied":true}' | head -c 300; echo
-
-echo "==> 创建路由 boot.ide.pub/* → boot …"
-curl -sS -X POST "$API/zones/$CF_ZONE_ID/workers/routes" \
-    -H "$H1" -H "$H2" -H "Content-Type: application/json" \
-    -d '{"pattern":"boot.ide.pub/*","script":"boot"}' | head -c 300; echo
-
-echo "==> 验证 …"
-curl -fsSL https://boot.ide.pub/health || echo "（DNS 生效可能需要 1-2 分钟）"
-echo "部署脚本执行完毕。"
+command -v npx >/dev/null 2>&1 || { echo "需要 Node.js/npm 提供 npx" >&2; exit 1; }
+echo "==> 使用 Wrangler 部署 Worker boot …"
+npx --yes wrangler deploy --config wrangler.jsonc
+echo "==> 验证主入口与镜像 …"
+python3 ../scripts/verify-live-release.py
+echo "部署与线上验证完成。"