release: prepare Desktop 0.13.15 recovery

Carry the approved unpublished 0.13.14 release notes into 0.13.15 after
stabilizing the CI UI tests. Remove the duplicate unpublished entry and
update the bilingual feature matrices and recovery evidence.

Keep published Agent 0.13.4 unchanged. Its minimum Desktop requirement is
0.13.14; users should install this recovery release before updating Hosts.
Schema 47 still requires a pre-upgrade backup for rollback.

Release-note verification and nine focused tests passed. Require this
candidate main-branch validation and production build before tagging.

Release note: 承接监督回顾、待办布局、原生搜索和远程恢复更新；请先升级 Desktop 0.13.15，再更新 Host 至 Agent 0.13.4。

FEATURES.md

@@ -322,7 +322,7 @@ records are listed separately and do not introduce another feature status.
   failure, Agent `SIGKILL`/restart, and recovery from a reopened Desktop SQLite
   database. Successful tool START/END events appear exactly once, with no
   Prompt, provider, or tool replay observed. The current Agent source lock is
-  `0.13.4`, while the current Desktop release candidate is `0.13.14`; formal
+  `0.13.4`, while the current Desktop release candidate is `0.13.15`; formal
   publication status follows the separate Agent and Desktop
   release channels. Previous macOS validation covered native package installation,
   detached lifecycle, Attach, real Ask/Execute, and cancellation of tools in
@@ -851,10 +851,10 @@ records are listed separately and do not introduce another feature status.
 
 ### Open source, builds, and releases
 
-- Current source candidates are Desktop `0.13.14` and Agent `0.13.4`, with
+- The current Desktop candidate is `0.13.15`; Agent `0.13.4` is published, with
   OpenCode pinned to `1.18.29` and Continue to `1.5.47`. Publication status follows the independent
   Desktop and Agent release channels.
-- Desktop `0.13.14` improves paged Supervisor reviews and resume behavior,
+- Desktop `0.13.15` carries forward the unpublished `0.13.14` changes to paged Supervisor reviews and resume behavior,
   native ripgrep searches, to-do layouts, and explicit remote follow-up after an
   uncertain result. Database schema 47 requires a complete pre-upgrade backup
   for rollback to older clients.
@@ -865,13 +865,14 @@ records are listed separately and do not introduce another feature status.
   preserves completed results when idle Runtime cleanup fails, and removes verified
   inactive Agent payloads and owned orphan processes after environment updates.
   History and active or uncertain installations are retained. Its independent
-  packages require Desktop `0.13.14`; upgrade Desktop first, then update the Host.
-- Release preparation requires the full local test suite, notes verification,
+  packages require Desktop `0.13.14` or later. Since `0.13.14` did not publish,
+  upgrade to Desktop `0.13.15` first, then update the Host.
+- Release preparation requires the full test suite, notes verification,
   typecheck, and lint. Candidate main-branch CI, its production build, native
   packaging, and publication verification remain separate acceptance steps.
   No local production build, packaging, or LoongArch preview is requested.
   Current validation status is recorded in the
-  [release preparation record](./docs/development/release-preparation-0.13.14.md).
+  [recovery preparation record](./docs/development/release-preparation-0.13.15.md).
 - Desktop `0.13.12` and Agent `0.13.3` have completed their native release jobs;
   this does not replace development-time real-Host scenario coverage.
 - Validation records remain separate from implementation status. Current-source
@@ -921,7 +922,7 @@ records are listed separately and do not introduce another feature status.
   Windows desktop-to-Linux checks cover installation, checklist updates, long lists,
   cancellation and restart recovery. Execute session MCP delivery passed real
   text-model Host checks with a substituted image service, not real image generation.
-  Candidate Agent `0.13.4` requires Desktop `0.13.14`; publication and native
+  Published Agent `0.13.4` requires Desktop `0.13.14` or later; publication and native
   platform acceptance remain separate from Linux development evidence. See the
   [validation record](./docs/features/remote-host/runtime-checklist-validation.md).
 

FEATURES.zh-CN.md

@@ -50,7 +50,7 @@
 - [x] **高效直连模型工作区工具**：直连模型使用随包 ripgrep 的原生参数发现文件和搜索内容，按行分页读取大型 UTF-8 文件，并在 Execute 中应用多文件补丁。Ask 限于工作区只读搜索和读取，Execute 按当前账号权限搜索；用户无需另行安装 ripgrep。搜索保留原生输出与退出码，大结果通过 `output_read` 完整续读，可处理的参数错误允许模型调整后继续。
 - [x] **长上下文与工具输出分页**：历史消息、长回复和文档解析文本不再采用旧的固定截断限制。直连模型可分页续读已保存的搜索、命令和 Subagent 输出；所选模型的上下文窗口及传输边界仍然有效。
 - [x] **OpenCode 与 Continue**：使用隔离子进程、环境变量白名单、统一配置、取消、启动与控制请求时限、有界流式输出和活动记录；共享进程回收逻辑保留 Windows 完整进程树终止，并对采用独立进程组的 POSIX 子进程执行组回收。聊天状态检查使用一次性探测 Runtime 并在返回后立即回收，不进入按模型与项目隔离的执行 Runtime 缓存；本机 GoodBuddy 管理的 OpenCode 在该被动检查中只确认所选路径和模型凭据，不启动用后即毁的 Server，设置中的显式连接测试和原生能力清单仍执行完整启动及健康检查，原生能力清单随后与首次实际请求复用同一个执行 Runtime，不再重复冷启动；执行 Runtime 仍按项目复用，但 OpenCode 配置依赖和按内容摘要生成的 Skill 快照在所有本机项目间全局复用，会话数据、工具输出及请求级 MCP 状态继续隔离。本机 GoodBuddy 管理的 OpenCode 只对同一会话内的请求保持顺序，不同会话即使属于同一项目也可并行，不同项目同样可并行；请求级动态 MCP 通过默认通配禁用和当前请求精确放行保持隔离。托管的本机和远端 OpenCode 跳过界面未使用的自动 Git 快照，避免同步差异计算拖住会话，文件工具、子代理与工作区 Git 差异保留；Continue 持续排空不用展示的宿主 stdout，防止控制台输出填满管道。这些调整随新启动的 Runtime 生效，不改写外部 OpenCode Server 配置。OpenCode 与 Continue 不再按固定工具调用数或活动数中止单次运行，已观察到的工具与 Subagent 活动全部保留在本地会话，不再在原生任务继续执行时丢弃后续详情。交互提问只由前台对话回答，定时任务、远程通道和委派等后台执行遇到提问时会立即失败并提示改为前台运行，避免无限等待。本机 OpenCode 启动时直接使用已选择的绝对路径，不预先检查文件或运行 `--version`，路径失效时由实际启动返回错误；托管 Linux ARM Host 激活 Runtime 时复用准备阶段已验证的 registry 和 manifest，不重新哈希或检查完整 OpenCode 二进制。
-- [x] **托管 SSH OpenCode 与 Continue**：该能力由“设置 > 平台功能”中的独立“远程项目”页签控制并默认关闭；关闭时不影响本地项目、普通桌面功能或桌面发布。支持 Linux x64、Linux arm64 和 macOS arm64 Host，不支持 Intel Mac；通过 SSH 按需启动 detached Agent，不要求开机服务。Ask 在 Runtime 工具边界保持只读，Execute 使用所选 SSH 账号的完整权限。Agent 持有 Prompt、模型和工具轮次、Runtime 进程及语义 transcript，Desktop 断开后重新 Attach 原操作而不重发 Prompt；模型凭据仅在当前操作内存中使用，不写入 Renderer、SSH 参数、环境或磁盘。当前 Agent 可以常驻，更新替换的旧 Agent 排空活动任务后退出。任务完成后回收空闲 Runtime，共享进程仍有任务或待答问题时保留；下一轮重建 Runtime 并恢复对话历史。设置页按平台和架构显示包状态，用户显式下载、更新或导入/导出包含 Agent、固定 Node、OpenCode 和 Continue 的签名 `.gbagent`；三个目标共用一个签名 catalog，继续校验签名和 SHA-256。Continue 需要更新后的联合包与配套 Desktop。首次发布混合 catalog 前需先升级 Desktop，旧版 Linux-only 目录读取器无法解析包含 Darwin 的目录。历史 macOS OpenCode 原生安装、生命周期、Attach、真实 Ask/Execute 和独立进程组工具取消已在真实 Host 验证，不代表 Continue 的同等实机覆盖或新版本已经发布。当前源码候选为 Agent `0.13.4`、Desktop `0.13.14`；详细运行边界和 Linux 历史回归证据见[远程主机技术设计](docs/features/remote-host/technical-design.md)，正式发布状态以独立发布渠道为准。
+- [x] **托管 SSH OpenCode 与 Continue**：该能力由“设置 > 平台功能”中的独立“远程项目”页签控制并默认关闭；关闭时不影响本地项目、普通桌面功能或桌面发布。支持 Linux x64、Linux arm64 和 macOS arm64 Host，不支持 Intel Mac；通过 SSH 按需启动 detached Agent，不要求开机服务。Ask 在 Runtime 工具边界保持只读，Execute 使用所选 SSH 账号的完整权限。Agent 持有 Prompt、模型和工具轮次、Runtime 进程及语义 transcript，Desktop 断开后重新 Attach 原操作而不重发 Prompt；模型凭据仅在当前操作内存中使用，不写入 Renderer、SSH 参数、环境或磁盘。当前 Agent 可以常驻，更新替换的旧 Agent 排空活动任务后退出。任务完成后回收空闲 Runtime，共享进程仍有任务或待答问题时保留；下一轮重建 Runtime 并恢复对话历史。设置页按平台和架构显示包状态，用户显式下载、更新或导入/导出包含 Agent、固定 Node、OpenCode 和 Continue 的签名 `.gbagent`；三个目标共用一个签名 catalog，继续校验签名和 SHA-256。Continue 需要更新后的联合包与配套 Desktop。首次发布混合 catalog 前需先升级 Desktop，旧版 Linux-only 目录读取器无法解析包含 Darwin 的目录。历史 macOS OpenCode 原生安装、生命周期、Attach、真实 Ask/Execute 和独立进程组工具取消已在真实 Host 验证，不代表 Continue 的同等实机覆盖。Agent `0.13.4` 已发布，当前 Desktop 候选为 `0.13.15`；详细运行边界和 Linux 历史回归证据见[远程主机技术设计](docs/features/remote-host/technical-design.md)，正式发布状态以独立发布渠道为准。
 - [x] **SSH Host 手动环境准备源码链路**：Host Key、认证和系统探针成功后先保存 Host，并只读探测共享 Agent/Runtime；保存 Host、打开项目都不自动安装。Host 卡片只有一个按版本事实显示“安装远程环境”“更新远程环境”或“重新安装”的主按钮，次级 SegmentedControl 选择默认且不持久化的“自动”、Host 下载或 GoodBuddy 传输；“版本匹配”badge 不等同环境健康。自动模式只在 operation/prepare 前探测并择一，显式选择保持有效，任何 prepare、commit 或 adoption 失败都不跨 acquisition 自动 fallback。两种方式把同一签名 compound `.gbagent` 交付到固定 staging 后，共用 control-plane prepare、commit、Agent activate/health、Runtime activate、finalize 与显式 cleanup。GoodBuddy 路径可在同一次操作下载并验证缺失候选、缓存并取得 lease，再有界流式 SFTP 上传一个归档和其中已验证的 bootstrap Node，不把约 294 MiB 整包读入 Main `Buffer`；Host 在解包时完成一次完整 payload 校验。未完成操作只记录暂存 cleanup 所需的 operation ID；下次更新尽力清理旧暂存后重新 prepare，不保存远端 metadata 副本，也不让 cleanup 失败阻塞新更新或回滚健康环境。已有项目在实际使用 Workspace/Runtime 时按需解析 Host current identity 并执行固定 `attach-or-bootstrap`，注册后的 health、capabilities 和 prompt 启动不扫描完整 payload。详见 [设计说明](./docs/features/remote-host/environment-provisioning-technical-design.md)。
 - **SSH Host 环境准备验证记录**：当前源码已在隔离 Linux x64 环境通过包安装、Ask/Execute、原生子代理工作区外写入、重连及 stop/bootstrap。现有记录未覆盖 Host 卡片的完整 GitHub、北京镜像、Linux x64/arm64、取消和离线 GoodBuddy 传输矩阵，候选 CI/原生打包与系统休眠唤醒也尚未验证；开发记录不代表版本已经发布。
 - [x] **远程工作区与长任务更新**：Agent `0.11.23` 新增远程文件/Git 管理和可选模型限额，随包 Runtime 不再施加固定十分钟 Prompt 时限；无限请求时长仍保留独立连接超时。请先升级 Desktop 至 `0.12.11`，再下载并更新 Host 上的 Agent。
@@ -143,11 +143,11 @@
 
 ### 开源、构建与发布
 
-- 当前源码候选为 Desktop `0.13.14`、Agent `0.13.4`，OpenCode 固定为 `1.18.29`、Continue 为 `1.5.47`；正式发布状态以独立发布渠道为准。
-- Desktop `0.13.14` 改善监督者分页回顾与续跑、ripgrep 原生搜索、待办布局和远程结果未知后的显式续聊。数据库升级至 schema 47，回退旧客户端需使用升级前完整备份。
+- 当前 Desktop 候选为 `0.13.15`，Agent `0.13.4` 已发布，OpenCode 固定为 `1.18.29`、Continue 为 `1.5.47`；正式发布状态以独立发布渠道为准。
+- Desktop `0.13.15` 承接未发布的 `0.13.14`，改善监督者分页回顾与续跑、ripgrep 原生搜索、待办布局和远程结果未知后的显式续聊。数据库升级至 schema 47，回退旧客户端需使用升级前完整备份。
 - Agent `0.13.3` 回收空闲 Runtime，并使被替换的 Agent 等已有工作结束后退出；复合包要求 Desktop `0.13.12`，请先升级 Desktop，再更新 Host 环境。Node 保持 `24.19.0`。
-- Agent `0.13.4` 在完成前等待模型交付确认，空闲 Runtime 回收失败不改变已完成结果，并在环境更新后清理已确认停用的旧程序及所属孤儿进程；保留历史、活动及状态不明的安装。独立包要求 Desktop `0.13.14`，请先升级 Desktop，再更新 Host。
-- 发布准备要求本地全量测试、发布说明校验、类型检查及 lint；候选主分支 CI、生产构建、原生打包及公开发布核验为独立验收步骤。本轮不做本地生产构建、打包或龙芯预览，当前验证状态见[发布准备记录](./docs/development/release-preparation-0.13.14.md)。
+- Agent `0.13.4` 在完成前等待模型交付确认，空闲 Runtime 回收失败不改变已完成结果，并在环境更新后清理已确认停用的旧程序及所属孤儿进程；保留历史、活动及状态不明的安装。独立包要求 Desktop `0.13.14` 或更新版本；因 `0.13.14` 未发布，请先升级至 Desktop `0.13.15`，再更新 Host。
+- 发布准备要求全量测试、发布说明校验、类型检查及 lint；候选主分支 CI、生产构建、原生打包及公开发布核验为独立验收步骤。本轮不做本地生产构建、打包或龙芯预览，当前验证状态见[恢复版准备记录](./docs/development/release-preparation-0.13.15.md)。
 - Desktop `0.13.12` 和 Agent `0.13.3` 已完成原生发布流程，但不替代开发期真实 Host 场景覆盖。
 - 验证记录与功能状态分开。存储已有本地及 Linux x64 Host 真实工具任务、多项目多会话、取消和无损迁移验证；进程复用有 Windows 完整 App 与 Linux x64 Host 证据，PPTX OCR 与空闲内存释放有 Windows 真实文件证据。图片工具已有真实服务商生成/编辑及 Host 传输证据，这些记录未覆盖完整界面自然语言调用和本地/远程切换。候选仍需主分支 CI 及原生发布打包，详见[Runtime 验证记录](./docs/features/assistant-workbar/progress.md)与[图片工具验证记录](./docs/features/conversation-media-generation/progress.md)。
 - 发布准备前，`9836a4c` 已通过本地 4,858 项测试（67 项跳过）、完整类型检查和 lint；真实服务商画布分析仍未验证。该提交的三个原生 Agent CI 构建通过；桌面 CI `35485936807` 为 4,875 项通过、8 项 Electron 测试失败，均因 Linux 沙箱辅助程序未配置，在页面断言前退出。候选配置该程序并在 Xvfb 下运行测试，不关闭沙箱；候选本地验证、主分支 CI 与原生标签打包分别记录，不在发布准备中运行本地生产构建或打包。
@@ -159,7 +159,7 @@
 
 ### 开放接口、团队协作与远程执行
 
-- [x] **远程 Continue 交付**：已接入 CN 1.5.47 受管包、Agent HTTP-to-ACP 适配、模型路由、项目选择和原生清单。默认包同时携带 OC/CN；Windows 桌面到 Linux x64 已通过安装、真实模型清单更新、长清单、取消及重启恢复验证。Execute 会话 MCP 已通过真实文本模型 Host 往返，图片服务使用替代接收端，不代表真实生图验证。候选 Agent `0.13.4` 需要 Desktop `0.13.14`；正式发布及原生平台验收与 Linux 开发证据分开，详见[验证记录](./docs/features/remote-host/runtime-checklist-validation.md)。
+- [x] **远程 Continue 交付**：已接入 CN 1.5.47 受管包、Agent HTTP-to-ACP 适配、模型路由、项目选择和原生清单。默认包同时携带 OC/CN；Windows 桌面到 Linux x64 已通过安装、真实模型清单更新、长清单、取消及重启恢复验证。Execute 会话 MCP 已通过真实文本模型 Host 往返，图片服务使用替代接收端，不代表真实生图验证。已发布 Agent `0.13.4` 需要 Desktop `0.13.14` 或更新版本；正式发布及原生平台验收与 Linux 开发证据分开，详见[验证记录](./docs/features/remote-host/runtime-checklist-validation.md)。
 
 - [x] **远程任务委派**：仅在用户显式配置端点和令牌后启用，按全局内网兼容模式使用 HTTP(S)，结果进入持久化发件箱。
 - [ ] **Headless Runtime API**（规划中）：提供本机优先的任务、事件、状态和成果 API，以及有范围、有效期、限流和撤销能力的令牌。

docs/development/release-preparation-0.13.14.md

@@ -1,5 +1,10 @@
 # Desktop 0.13.14 / Agent 0.13.4 发布准备
 
+后续状态：Desktop 标签流程 `36165805814` 在测试阶段失败，未进入构建或发布；
+Agent 流程 `36165805884` 成功且 0.13.4 已公开。两个历史标签均保留，
+桌面恢复版见 [0.13.15 准备记录](./release-preparation-0.13.15.md)。
+以下为原候选准备时的范围与证据，不代表其桌面发布成功。
+
 ## 范围与审批
 
 - 用户确认从 0.13.13 升至 0.13.14，现有七个测试修改及三个验证辅助文件一起提交。

docs/development/release-preparation-0.13.15.md

@@ -0,0 +1,40 @@
+# Desktop 0.13.15 恢复版准备
+
+## 发布范围
+
+- 以已发布的 `v0.13.13` 为用户更新基线，完整承接未发布 `v0.13.14` 的产品变更。
+  历史准备及 Host 验证见 [0.13.14 记录](./release-preparation-0.13.14.md)。
+- 0.13.14 标签流程 `36165805814` 在测试阶段失败，生产构建、打包与发布均未执行；
+  GitHub Release API 返回 404。不可变标签保留，包内条目改为 0.13.15，
+  不保留重复的未发布说明。
+- Agent 0.13.4 流程 `36165805884` 成功，三个包已公开，最低 Desktop 要求仍为
+  0.13.14。恢复版满足该最低要求；不重发 Agent、不更改其签名目录或标签。
+- 用户批准 0.13.15 标题及升级提示调整，其余双语正文沿用已批准内容；
+  要求先推送候选，等 CI 全量验证与生产构建成功后再打标签。
+- 不构建 LoongArch，不运行本地生产构建、打包或安装包启动探针。
+- 中英文功能矩阵已复核，同步恢复版本和 Agent 已发布状态，保留其他未验收边界。
+
+## CI 修复
+
+`cd27163` 仅改测试和质量规范，不改变产品、Agent、数据库或外部契约：
+
+- 原生能力清单测试控制第二次响应，等待重试已开始再展开控件，并分别校验响应前后状态。
+- 浏览器关闭测试在同一个 `waitFor` 中检查两次调用、页签移除和错误清除。
+- 笔记布局测试显式扫描 fixture 依赖，使用可见的隔离 Electron 窗口执行原生输入，
+  保留 sandbox/contextIsolation，明确检查超时、信号和退出码后才读取结果。
+
+对应 CI 证据：标签流程有 1 项失败（原生能力按钮未找到）；
+main 流程 `36164698647` 有 2 项失败（关闭错误残留、布局测试约 90 秒后缺少结果文件）。
+两次失败点不同，不能仅凭本地通过认定 CI 已修复。
+
+## 验证
+
+- 本地三个定向用例通过，Electron 布局约 3.46 秒，全部几何和交互断言保留。
+- 修复提交完整 typecheck、lint 通过。
+- 本轮没有重复本地全量测试，以新候选 Linux CI 的完整测试结果为准；
+  先前 5,127 项本地通过仅为历史记录。
+- 无新真实模型调用，未改变 Agent 或 Runtime 生产源码，无需重复 Host 开发探针。
+- 恢复候选的说明校验、9 项发布说明测试和 `git diff --check` 通过；
+  三处桌面版本一致。逐项比较确认只替换版本及已批准升级提示，
+  0.13.14 无重复条目，Agent lock 仍为 0.13.4。
+- 主分支 CI、生产构建和标签发布结果待后续核对。

package-lock.json

@@ -1,12 +1,12 @@
 {
   "name": "goodbuddy",
-  "version": "0.13.14",
+  "version": "0.13.15",
   "lockfileVersion": 3,
   "requires": true,
   "packages": {
     "": {
       "name": "goodbuddy",
-      "version": "0.13.14",
+      "version": "0.13.15",
       "license": "0BSD",
       "dependencies": {
         "@agentclientprotocol/sdk": "0.25.1",

package.json

@@ -1,6 +1,6 @@
 {
   "name": "goodbuddy",
-  "version": "0.13.14",
+  "version": "0.13.15",
   "private": true,
   "description": "Secure desktop AI workspace with controlled Agent Runtimes",
   "desktopName": "GoodBuddy",

resources/release-notes.json

@@ -2,7 +2,7 @@
   "formatVersion": 1,
   "releases": [
     {
-      "version": "0.13.14",
+      "version": "0.13.15",
       "releasedAt": "2026-09-26",
       "notes": {
         "zh-CN": {
@@ -22,7 +22,7 @@
           "notices": [
             "首次启动会将数据库升级至 schema 47。升级前请备份完整用户数据，包括数据库及相邻 `notes/` 目录；旧客户端不能打开升级后的数据库，回退需使用升级前备份。",
             "监督回顾只读且不调用工具，但会调用已配置模型并可能产生费用。分页覆盖不代表模型识别了每个事实，请结合保存的来源核对结果。",
-            "远程用户请先升级 Desktop 至 **0.13.14**，再下载并更新 Host 上的 Agent **0.13.4**。已有旧进程不会热更新，仍在运行或状态不明的旧安装不会被强制删除；Agent 独立发布，不替代桌面端的 Latest 版本。"
+            "远程用户请先升级 Desktop 至 **0.13.15**，再下载并更新 Host 上的 Agent **0.13.4**。已有旧进程不会热更新，仍在运行或状态不明的旧安装不会被强制删除；Agent 独立发布，不替代桌面端的 Latest 版本。"
           ]
         },
         "en-US": {
@@ -42,7 +42,7 @@
           "notices": [
             "The first launch upgrades the database to schema 47. Back up complete user data, including the database and adjacent `notes/` directory, before upgrading; older clients cannot open the upgraded database, and rollback requires a pre-upgrade backup.",
             "Supervision reviews are read-only and cannot call tools, but use the configured model and may incur charges. Paged coverage does not guarantee that the model identifies every fact; check results against their saved sources.",
-            "Remote users should upgrade Desktop to **0.13.14** before downloading and updating Host environments to Agent **0.13.4**. Existing older processes are not hot-updated, and active or uncertain older installations are not forcibly removed; Agent releases remain separate and do not replace the Desktop release marked Latest."
+            "Remote users should upgrade Desktop to **0.13.15** before downloading and updating Host environments to Agent **0.13.4**. Existing older processes are not hot-updated, and active or uncertain older installations are not forcibly removed; Agent releases remain separate and do not replace the Desktop release marked Latest."
           ]
         }
       }