[github-actions]

rea-mcp: 6.4.0 → 6.8.0（installable 条目，人工准入复核后升级，要求客户端 10.0.201）

此前暂缓的原因是 6.8.0 的 Node 要求高于 DesireCore 随包 Node。desirecore#5671 与 config-center#131、#132 已合并，10.0.201 起随包 Node.js 26.13.0，满足新要求，因此继续升级并加客户端版本门槛。

复核结果

• 下载 tarball 并核对 SHA-256 8d542ec76a9cb350584b60a6c9c088706ff812d5bb5b094c20c95b6dc25698bb（9944902 字节）、npm SHA-1 与 SHA-512；只读展开，未安装或执行。
• 发布 tag rea-agents-6.8.0 指向 160d821ac9a0310afcb8d1fc427862dd6508add5；npm SLSA v1 来源证明显示同一提交由上游 release.yml 在 GitHub 托管 runner 上构建，证明中的 SHA-512 与发布摘要一致。读取了证明内容，未校验 Sigstore 签名。
• 顶层 LICENSE（MIT）、THIRD_PARTY_NOTICES.md 与发布提交逐字节一致。新增第三方声明含 GPL-3.0 与 GCC 运行库例外（MinGW 静态链接的 Windows 原生模块）、Frida 的 wxWindows/LGPL-2.0 文本，以及 Ghidra、.NET、Node 等参考文本；上游注明 Ghidra 与完整 Node 运行时未打包。条目不再分发 REA，redistribution 不变。
• engines.node 改为 ^22.23.4 || ^24.22.1 || >=26.12.1；MCP 模式不检查版本。10.0.200 及更早客户端随包 Node 24.21.0 不满足，故 sidecar 加 compatibility.requiredClientVersion: 10.0.201。已确认 10.0.200 起客户端对服务条目执行该门槛（返回 registry_acquisition_client_upgrade_required），一致性检查也接受只在 sidecar 声明的门槛。
• 新增经哈希校验的预编译 Windows 原生模块、可选依赖 frida@17.23.2（其原生绑定靠安装脚本下载，--ignore-scripts 下不会下载，相关工具调用时报告不可用）及若干精确版本运行依赖。
• 包内 MCP 目录：229 项工具（名称唯一）、6 个提示词。

改动

• manifest：版本、toolCount: 229、固定启动参数 rea-agents@6.8.0。
• sidecar：描述、来源 ref / sha256、noticePath: THIRD_PARTY_NOTICES.md、审核 ref / 日期 / 审核人 yi-ge、requiredClientVersion: 10.0.201。
• install.md / usage.md：Node 要求与客户端门槛、固定制品、Frida 说明、工具数；review.md 新增 6.8.0 升级复核，原运行检查标为只覆盖 6.4.0。
• scripts/catalog/automated-mcp-review.test.mjs：测试夹具原先写死 rea-mcp 为 6.4.0 且许可证据只有 LICENSE，条目升级后会失败（也会让每日 MCP 更新工作流的前置测试失败）；改为从当前条目推导版本与证据路径，新旧条目上均通过。
• 删除候选说明文件。

未覆盖

未运行 6.8.0，没有重做握手、工具列表或 DesireCore 接入验收；10.0.201 尚未发布，发布前该条目在现有客户端上显示需要升级客户端。

验证

npm test（93 项）、node --test scripts/catalog/*.test.mjs（20 项）、--require-sidecars 校验、Python 边界测试均通过。

---

Manual admission review upgrading the installable rea-mcp entry to 6.8.0 now that DesireCore 10.0.201 bundles Node.js 26.13.0 (desirecore#5671, config-center#131/#132). The tarball matched its published digests and was read without execution; the release tag and SLSA npm provenance identify the same upstream commit. MIT LICENSE and THIRD_PARTY_NOTICES.md match the release commit; new third-party notices cover the MinGW-built Windows addon, optional Frida and reference texts. The entry now requires client 10.0.201 via the sidecar (already enforced for service entries since 10.0.200). The package adds a hash-checked Windows addon and an optional Frida dependency whose binding is not downloaded under --ignore-scripts; the packaged catalog lists 229 tools. The automated-review test fixture no longer hard-codes rea-mcp 6.4.0. 6.8.0 was not executed, and until 10.0.201 ships current clients will see an upgrade-required state for this entry.

[yi-ge]

人工复核：暂不升级到 6.8.0

从 npm 下载 6.4.0 / 6.8.0 tarball 只读比对（未安装、未执行）。6.8.0 tarball SHA-256 8d542ec76a9cb350584b60a6c9c088706ff812d5bb5b094c20c95b6dc25698bb，npm integrity 匹配。暂缓的原因如下：

1. Node.js 要求高于 DesireCore 当前内置版本。 engines.node 由 ^22.19.0 || ^24.11.0 || >=26.0.0 改为 ^22.23.4 || ^24.22.1 || >=26.12.1，对应 Node 2026-10-20 的安全发布。config-center 推荐的内置 Node 是 24.21.0，不在新范围内。MCP 模式不会因此拒绝启动（只有 doctor / setup 检查），但默认环境会运行在上游声明不支持的 Node 上。6.5.0–6.7.0 的引擎要求仍与 6.4.0 相同。
2. 制品形态变化需要重新做运行验收。 包体由 1.8 MB 增至 9.9 MB（展开约 49 MB）；新增预编译的 Windows 原生模块 native/windows/build/rea-windows-x64.node（MinGW 静态链接）；新增可选依赖 frida@17.23.2（条目用 --ignore-scripts，frida 的预编译绑定不会下载，相关能力可能不可用）；新增 openpgp、cborg、@msgpack/msgpack、@bufbuild/protobuf 等运行依赖。工具目录由 170 项增至 229 项。原条目描述中的 macOS 握手与 170 项工具清单只适用于 6.4.0。
3. 许可材料。 顶层 LICENSE（MIT）未变。新增的 licenses/ 是第三方声明：GPL-3.0 与 GCC 运行库例外（MinGW 编译的 Windows 模块）、frida 的 wxWindows/LGPL-2.0 文本、Ghidra / .NET / Node 等参考文本（上游注明 Ghidra 与完整 Node 运行时并未打包）。没有发现与 redistribution: allowed 冲突的内容，但需要在升级时一并写进 review.md。

建议先把 config-center 的推荐 Node 升到 24.22.x（24.22.2 已发布），再按上述第 2、3 点重新做运行与许可复核后升级。保留本 PR 为草稿，不合并候选说明文件。

---

Manual review: hold at 6.4.0 for now. 6.8.0 requires Node ^24.22.1 (the 2026-10-20 security release) while DesireCore's recommended bundled Node is 24.21.0; MCP mode does not block startup, but it would run outside upstream's supported range. The package also adds a prebuilt Windows native addon, an optional frida dependency (its binding is not fetched under --ignore-scripts), new runtime dependencies and 229 tools (vs. the 170 verified for 6.4.0), plus third-party notices (GPL-3.0 with the GCC runtime exception, frida's wxWindows/LGPL text). Recommended path: bump config-center's Node to 24.22.x first, then redo runtime and license review before upgrading. Keeping this candidate as a draft; the candidate note should not be merged.