VSO更新SDK证据检查、Explorer演示与Evidect复现指南
VSO已将GitHub更新纳入公开信息：SDK对无效输入的处理、使用签名合成证据的API连接型Explorer演示，以及Evidect复现步骤。以下分别说明各工具的检查范围与限制。
第一方检查；实验性扩展尚未采纳
实验性扩展及修正提案仍未获采纳，第三方独立复现尚未成立。代码合并、CI成功或公开演示不代表正式采纳、VCP/VAP完全符合性、生产适用性、认证或外部锚定成立。
1. SDK：拒绝无效输入并保留不确定性
SDK PR #7拒绝非对象JSON、重复键、无效UTF-8以及格式错误或重复的证明，也防止无效输入被悄然替换为内置测试数据。缺少证明时返回INDETERMINATE；确认不一致时返回INVALID。预期判定、原始证据字节与API声明分别核对。合并版本c2bc767上的SDK CI、API一致性检查和公开API探测均成功，均属第一方检查。
公开API探测在Ubuntu 24.04和macOS 14上使用Python urllib、curl及Node fetch，并以本地SDK重新验证下载的证据。两个运行环境不代表两位独立评估者。此前HTTP 403仍作为历史观察保留，其确切原因尚未确定。未保证Windows、任意用户网络或持续托管可用性。
2. Explorer：区分旧仪表板与新的签名证据演示
SDK Evidence Demo从公开API取得验证报告，并提供合成事件JSONL与AnchorRecord下载。浏览器显示API报告，不独立重复密码学验证。已部署API使用固定SDK版本70240a4，并非上述新版c2bc767。
| 合成案例 | 本地检查 | 完整证据 |
|---|---|---|
| intact | VALID | INDETERMINATE |
| tampered | INVALID | INVALID |
| missing-key | INDETERMINATE | INDETERMINATE |
即使intact案例的完整证据判定也仍为INDETERMINATE。本地密码学检查不确立外部锚定、真实身份、可信时间或检查范围之外的完整性。独立保留的旧仪表板仍为不连接API、未签名且未外部锚定的12叶合成演示。159项API／26项GUI测试公告保留为当时记录，不与SDK测试数量合计。
3. Evidect：固定版本复现入口与公开页面检查
Evidect复现指南提供覆盖22个合成阶段的单命令流程，固定实现版本b394db7与指南版本1c0d567。实验涉及证据观察和报告交接，不操作生产控制、不连接AILEX或AWS，也不证明法规符合性。报告是未签名、可编辑的观察记录，并非证书。
Evidect PR #19使用Chromium，在320、390、768与1280宽度下分别启用及禁用JavaScript检查公开页面。10月29日部署后的CI 40887632944中八种条件全部通过，包括配信文件与固定源码比较、键盘导航及锚点标题可见性。这是单一环境中的第一方页面检查，不涵盖真实设备、Safari/Firefox、WCAG认证或独立复现。
保留历史记录与现有边界
10月28日SDK记录（每项任务Python 306项、TypeScript 140项）、10月27日Explorer记录（API 159项、GUI 26项）、VAP-LAP提案入口与固定研究配发文件均保留。本次仅修改网站说明，不改变现行规范要求、现有实现、已签名数据、固定配发文件或K3。