VSO 更新 Node.js 并完善 VCP Explorer 验证流程
VeritasChain Standards Organization（VSO）已更新 VCP Explorer 的 Node.js 基线并修复构建检查。我们还核查了可访问代码仓库中的 PHP 使用情况，修正了未能确认存在的软件包安装指引。本次维护不改变 VCP 规范。
运行环境更新与验证
VCP Explorer API 和 GUI 的开发及 CI 环境已统一为 Node.js 24.22.1，GUI 容器和开发镜像也采用同一补丁版本。Node.js 18 和 20 不再受支持。我们修复了 API 的 15 项 TypeScript 诊断和 GUI 的 12 项构建诊断，锁定依赖以支持可重复安装，并取消了忽略 CI 失败的配置。严格类型检查、生产构建、8 项 API 回归测试及 3 项哈希字节处理测试均已通过。CI 还构建 GUI 容器并检查其 HTTP 响应。
PHP 盘点与托管核查范围
盘点时可访问的仓库共 31 个，而此前估计为 28 个。我们在记录的默认分支提交上检查了 1,889 个受版本控制的文件，包括 1,694 个文本文件和计数的 195 个二进制文件，未发现 PHP 实现或运行配置。主站由 GitHub Pages 托管。其他托管环境的内部情况及运行中的 Explorer API 服务器尚未核查，不能据此认定所有主机均不受影响或已完成更新。
软件包名称核查与指引修正
在日本时间 2026 年 10 月 22 日的核查中，npm 的 @veritaschain/sdk 公共端点返回 404；PyPI 的 veritaschain 和 veritaschain-sdk 也返回 404。PyPI 上的 vcp-sdk 属于另一个项目 Value Context Protocol。PyPI 不使用 npm 的 @scope/name 命名形式。组织简介、SDK 规范指南和符合性指南中相关安装建议已删除或修正。404 不能证明名称预留、作用域所有权或不存在私有软件包。安装相似名称的软件包前，请核实发布者和对应仓库。
使用 VAP 记录响应过程
我们采用基于 VAP v1.2 Draft 3 的实验性本地格式记录观察、决策、修改、验证结果及未解决事项，并使用哈希链、Ed25519 签名、Merkle 证明及 RFC 3161 时间戳。下方公开证据包收录经过隐私审查的选定记录和验证说明，不包含私有运维信息。这是框架在维护工作中的应用实例，并非已注册的领域配置文件或 VAP 符合性声明。签名密钥标识本次记录会话，而非经独立认证的 VSO 组织身份。
记录能够说明的内容
密码学验证及时间戳有助于核实记录的完整性和存在时间，但不能证明每项观察均正确、未检查的主机安全或未发生入侵。这些记录为会话的事后整理，并非最初人工知悉时间的证明。本次 Node.js 与构建修复范围以外的依赖审计发现仍需另行处理，本公告不声称所有依赖和部署均已消除漏洞。
公开变更与证据
- Node.js — October 2026 security releases
- VCP Explorer API — Node.js baseline (PR #2)
- VCP Explorer API — build and regression checks (PR #3)
- VCP Explorer GUI — Node.js and validation (PR #1)
- VSO profile — package guidance (PR #3)
- VCP SDK guide — package guidance (PR #2)
- VCP conformance guide — package guidance (PR #2)