Evan Hu 88720a80df fix(ci): 修复引擎 bump 自动合并的守卫，并补回 Issue 模板的脱敏警告 ...

engine-bump-triage.yml 里 `&& steps.lock.outputs.locked == 'yes'` 被写进了 HEAD 这个环境变量的值，而不是步骤的 if:。它在那个位置根本不是条件：不论契约锁校验通过与否，自动合并都会执行；步骤随后发出的评论还会把 commit 后面跟上字面量 `&& steps.lock.outputs.locked == 'yes'` 一起打印出来。因为没有任何东西失败，这个问题没有暴露过。

（实际风险有限：Product inputs 是必需检查，未审的 bump 不会真的被放行。但这条守卫本身写了等于没写。）

补 tests/test_engine_bump_triage.py 三个断言：自动合并的条件必须同时包含判定和锁；任何步骤的 env 值里都不许再出现条件片段；评论用的 BASE/HEAD 必须只是 range 输出本身。第二条是通用的，同类错误以后写在别的步骤上也会被抓到。

同时补回本仓 bug_report.yml 相对组织模板丢掉的两项：日志字段的「不要粘贴真实输入内容、用户词库、API Key 或任何凭据」加粗警告，以及「这不是安全漏洞」的必选确认项。全组织的 Issue 流量几乎都在这个仓库，恰恰是最需要这两条的地方——输入法的日志天然贴近用户真实输入。

2026-09-06 18:15:51 +09:00

..

pipe-probe

fix(ci): resolve the pipe probe contracts from the repository, not the server

2026-09-06 03:28:13 +09:00

server-test-entrypoints.ps1

fix(server): 将本地测试入口接回合仓后的主工程

2026-09-06 09:40:36 +09:00

test_engine_bump_triage.py

fix(ci): 修复引擎 bump 自动合并的守卫，并补回 Issue 模板的脱敏警告

2026-09-06 18:15:51 +09:00

test_prepare_env.py

fix(server): 将本地测试入口接回合仓后的主工程

2026-09-06 09:40:36 +09:00

test_product_lock.py

fix: 修复审计发现的候选页竞态、管道权限、TSF 空指针与皮肤 CSS 逃逸等八项缺陷 (#169)

2026-09-06 10:31:48 +09:00

test_release_pr_ci.py

fix(ci): attach automatic release checks to the pull request (#175)

2026-09-06 11:10:05 +09:00