VAP研究、SDK更新与外部复现说明
由VeritasChain Co., Ltd.运营的VeritasChain Standards Organization（VSO）汇总截至2026年11月5日已合并的GitHub更新。各实验的结果分别说明，不将不同测试数量累加为单一成果。
研究状态与边界
实验性扩展仍未采纳，独立第三方复现尚未成立。以下结果来自自有CI和内部研究，不构成独立评估、认证、生产适用性结论或完整观测的证明。
控制状态证据：观测与安全结论分开
VAP PR #46新增隔离的、尚未采纳的控制端观测实验。Linux/Docker的16个案例与预期一致；69项辅助测试在普通及优化Python模式下均成功。这是同一69项测试运行两次，不是138项不同测试。签名封装连接运行ID、观测和产物。故意绕过的负对照仍报告VIOLATED_IN_NEGATIVE_CONTROL／BYPASS_EFFECT_OBSERVED；外部锚为NOT_ESTABLISHED，整体安全为NOT_ASSESSED。预期的负对照结果不表示已经阻止绕过。
钱包证据：绑定实际签署的字节
VAP PR #48–#50分别评估integrity、authorization、execution_match和delegation_state。本地EVM适配器从实际签名授权中提取目标、操作、chain ID与nonce，修正将旧签名目标重新标为预期操作的路径。PR #50最终CI分别通过43项签名证据测试和17项本地EVM测试。这是本地研究实验，不是线上交易闸门或生产钱包监控，不使用公开RPC或真实资金。ALLOW仅表示有限的证据受理。
SDK：修正后的开发快照与离线演示
SDK已合并对小数等非法Merkle索引的提前拒绝、安装程序已审核哈希及签名证书核查，以及修正开发快照的安装说明。包元数据仍为0.1.0预发布，不是新的PyPI/npm发行，也未替换历史v0.1.0标签。可选的钱包演示将SDK记录完整性与四项钱包证据结论分开。PR #13将辅助实现固定到VAP 7bdec51，四条封存记录及其签名不变。SDK CI属于自有检查，不计为外部实现或独立复现。
外部复现说明：未来审查的步骤
已合并的VSO说明要求评审者自行选择可信密钥、在自己管理的环境中运行，并记录版本及观测边界，区分不一致、证据缺失与旧格式差异。这些说明面向未来复现与批评，不表示评审者已接受任务或完成执行。现行VAP §4.1.3的VALID／INVALID与未采纳的三值提案及工具用语分别说明。缺少外部锚证据不是通过，也不单凭缺失认定篡改。
网站维护：统一CSP检查与发布范围
网站CSP检查曾将扩展开发页面和合成HTML测试文件当作公开网页解析而失败。修正仅将tools/browser-recorder/排除于网站发布及网站CSP/CSS收集范围之外；公开网页和按版本提供的下载保持不变，并以回归测试确保名称相近的公开路径仍被检查。公开网页的CSP保护不被削弱。
已合并来源与自有CI
- VAP #46 — control-state evidence
- VAP #48–#50 — wallet evidence (latest correction #50)
- Control-state first-party CI
- Wallet first-party CI: 43 signed-evidence / 17 local-EVM tests
- SDK #8 — installer integrity
- SDK #10 — Merkle indices
- SDK #11 — development snapshot
- SDK #12 — offline wallet demo
- SDK #13 — companion pin
- SDK wallet-demo first-party CI
- VSO #3 — external reproduction notes
保留各版本的历史记录
包括Explorer 159项测试检查点与固定复现套件在内的旧公告保留原日期和结果。本次发布不修改规范要求、既有研究实现、已签名数据、固定分发物或K3。VAP正文的当前引用及哈希不变。研究提案合并不等于正式采纳。