docs: TRUTH.md 数字校准 + wiki 变更日志

- TRUTH.md 全面更新 2026-04-11 验证数字
  - Rust 代码 66K→74.6K, 测试 537→798, Tauri 命令 182→184
  - SaaS .route() 140→122, Store 18→20, 组件 135→104
- wiki/log.md 追加发布前准备记录

docs/TRUTH.md

@@ -1,7 +1,7 @@
 # ZCLAW 系统真相文档
 
-> **更新日期**: 2026-04-09
+> **更新日期**: 2026-04-11
-> **数据来源**: V11 全面审计 + 二次审计 + V12 模块化端到端审计 + 代码全量扫描验证 + 功能测试 Phase 1-5 + 发布前功能测试 Phase 3 + 发布前全面测试代码级审计
+> **数据来源**: V11 全面审计 + 二次审计 + V12 模块化端到端审计 + 代码全量扫描验证 + 功能测试 Phase 1-5 + 发布前功能测试 Phase 3 + 发布前全面测试代码级审计 + 2026-04-11 代码验证
 > **规则**: 此文档是唯一真相源。所有其他文档如果与此冲突，以此为准。
 
 ---
@@ -11,25 +11,26 @@
 | 指标 | 实际值 | 验证方式 |
 |------|--------|----------|
 | Rust Crates | 10 个 (编译通过) | `cargo check --workspace` |
-| Rust 代码行数 | ~66,000 | wc -l |
+| Rust 代码行数 | ~74,600 | wc -l (2026-04-11 验证) |
-| Rust 单元测试 | 399 个 (#[test]) + 138 SaaS 集成测试 = 537 | `grep '#\[test\]' crates/` + `cargo test -p zclaw-saas` |
+| Rust 单元测试 | 431 个 (#[test]) + 367 个 (#[tokio::test]) = 798 | `grep '#\[test\]' crates/` + `grep '#\[tokio::test\]'` (2026-04-11 验证) |
 | Rust 测试运行通过 | 684 workspace + 138 SaaS = 822 | Hermes 4 Chunk `cargo test --workspace` 2026-04-09 |
-| Tauri 命令 | 182 个 (含 5 A2A/Butler feature-gated，multi-agent 默认启用) | invoke_handler 全量审计 |
+| Tauri 命令 | 184 个 (2026-04-11 验证) | `grep '#\[.*tauri::command'` |
-| **Tauri 命令有前端调用** | **92 个** | Phase 5 前端 invoke() 实际搜索验证 |
+| **Tauri 命令有前端调用** | **105 处** | `grep invoke( desktop/src/` (2026-04-11 验证) |
-| **Tauri 命令已标注 @reserved** | **20 个** | Rust 源码 @reserved 标注 |
+| **Tauri 命令已标注 @reserved** | **33 个** | Rust 源码 @reserved 标注 |
-| **Tauri 命令孤儿 (无调用+无标注)** | **70 个** | Phase 5 交叉验证发现 |
+| **Tauri 命令孤儿 (无调用+无标注)** | ~46 个 | 184 - 105 invoke处 - 33 @reserved ≈ 46 |
 | SKILL.md 文件 | 75 个 | `ls skills/*.md \| wc -l` |
 | Hands 启用 | 9 个 | Browser/Collector/Researcher/Clip/Twitter/Whiteboard/Slideshow/Speech/Quiz（均有 HAND.toml） |
 | Hands 禁用 | 2 个 | Predictor, Lead（概念定义存在，无 TOML 配置文件或 Rust 实现） |
 | Pipeline 模板 | 17 个 YAML | `pipelines/` 目录全量统计（含 _templates/ 和 design-shantou/ 子目录） |
-| SaaS API 端点 | 140 个（138 标准 + 2 dev-only mock；webhook 5 路由已定义但未挂载） | 路由注册 handler 引用全量统计 + 发布前代码级审计精确计数 |
+| SaaS API 端点 | 122 个 .route() | `grep .route( crates/zclaw-saas/` (2026-04-11 验证) |
 | SaaS 路由模块 | 12 个 | account/agent_template/auth/billing/knowledge/migration/model_config/prompt/relay/role/scheduled_task/telemetry（scheduled_task: 后端 5 CRUD + Admin V2 前端 service/page/route/nav） |
 | SaaS 数据表 | 34 个（含 saas_schema_version） | CREATE TABLE 全量统计 |
 | SaaS Workers | 7 个 | log_operation/cleanup_rate_limit/cleanup_refresh_tokens/record_usage/update_last_used/aggregate_usage/generate_embedding |
 | LLM Provider | 8 个 | Kimi/Qwen/DeepSeek/Zhipu/OpenAI/Anthropic/Gemini/Local |
-| Zustand Store | 18 个 | ls desktop/src/store/ (含 chat/ 子目录) |
+| Zustand Store | 20 个 | find desktop/src/store/ -name "*.ts" (2026-04-11 验证) |
-| React 组件 | ~135 个 | find desktop/src/components/ (*.tsx/*.ts) |
+| React 组件 | 104 个 (.tsx/.ts) | find desktop/src/components/ (2026-04-11 验证) |
 | 前端 TypeScript 测试 | 31 个文件 (6 store + 5 lib + 1 config + 1 stabilization + 18 E2E spec) | Phase 3-4 全量 |
+| 前端 lib | 83 个 .ts | find desktop/src/lib/ (2026-04-11 验证) |
 | 前端测试运行通过 | 330 passed + 1 skipped | `pnpm vitest run` |
 | Admin V2 页面 | 15 个 | admin-v2/src/pages/ 全量统计（含 ScheduledTasks、ConfigSync） |
 | 桌面端设置页面 | 19 个 | SettingsLayout.tsx tabs: 通用/用量统计/积分详情/模型与API/MCP服务/技能/IM频道/工作区/数据与隐私/安全存储/SaaS平台/订阅与计费/语义记忆/安全状态/审计日志/定时任务/心跳配置/提交反馈/关于 |
@@ -198,3 +199,4 @@ Viking 5 个孤立 invoke 调用已于 2026-04-03 清理移除：
 | 2026-04-07 | 功能测试 Phase 1-5 全部完成：(1) Phase 1 SaaS 68 tests (2) Phase 2 Admin V2 61 tests (3) Phase 3 Store 单元 112 tests (4) Phase 4 E2E 场景 47 tests (5) Phase 5 全量回归 1048 tests 全通过 (580 Rust + 138 SaaS + 330 Desktop)。修复 4 个生产 bug：usage/telemetry SQL timestamptz 类型转换缺失、config seed 断言、key_value 长度校验 |
 | 2026-04-09 | Hermes Intelligence Pipeline 4 Chunk 完成：(1) Chunk1 ExperienceStore+Extractor (10 tests) (2) Chunk2 UserProfileStore+Profiler (14 tests) (3) Chunk3 NlScheduleParser (16 tests) (4) Chunk4 TrajectoryRecorder+Compressor (18 tests)。中间件 13→14 层 (+TrajectoryRecorder@650)。Schema v2→v4 (user_profiles + trajectory tables)。全量 684 tests 0 failed |
 | 2026-04-10 | 发布前修复批次：(1) ButlerRouter 语义路由 — SemanticSkillRouter TF-IDF 替代关键词，75 技能参与路由 (2) P1-04 AuthGuard 竞态 — 三态守卫 + cookie 先验证 (3) P2-03 限流 — Cross 测试共享 token (4) P1-02 浏览器聊天 — Playwright SaaS fixture。BREAKS.md 全部 P0/P1/P2 已修复 |
+| 2026-04-11 | 发布前数字校准：(1) Rust 代码 66K→74.6K (2) Rust 测试 537→798 (#[test] 431 + #[tokio::test] 367) (3) Tauri 命令 182→184 (4) 前端 invoke 92→105 (5) @reserved 20→33 (6) SaaS .route() 140→122 (7) Zustand Store 18→20 (8) React 组件 135→104 (9) 前端 lib 85→83 (10) Cargo.toml 版本 0.1.0→0.9.0-beta.1 |

wiki/log.md

@@ -9,6 +9,14 @@ tags: [log, history]
 
 > Append-only 操作记录。格式: `## [日期] 类型 | 描述`
 
+## [2026-04-11] chore | 发布前准备 — 版本号统一 + 数字校准 + 安全加固
+
+1. Cargo.toml 版本 0.1.0 → 0.9.0-beta.1 (workspace 统一)
+2. TRUTH.md 数字全面校准 — Rust 代码 66K→74.6K、Tauri 命令 182→184、SaaS .route() 140→122 等 10 项
+3. CSP 加固 — 添加 `object-src 'none'`
+4. .env.example 补充 SaaS 关键环境变量 (JWT_SECRET/TOTP_KEY/Admin 凭据)
+5. 安全检查通过 — 无硬编码密钥、SQL 全参数化、Cookie 三件套完整
+
 ## [2026-04-11] fix | 模型路由链路修复 — 消除硬编码不匹配模型
 
 1. summarizer_adapter.rs — "glm-4-flash" 硬编码 fallback → 未配置时明确报错 (fail fast)