25 · 独立审查、修正与交付验收¶
25.0 本轮Astra重审：先判断能否学会，再检查能否构建¶
本轮初审判定旧稿教学结构需要重写：首次实际业务任务太晚，search已返回全文使read没有信息增量，部分章节把函数说明与边界堆在任务之前。新版从六个真实运行检查点开始，再用同一个请求轨迹解释Cordis、Session、profile与工具政策；18–20重写为可跟做讲义，技术广度保留供第二遍精读。
本轮作者初审与逐章处置记录在 research/astra/dsh-initial-review.md；独立质量初审记录在 research/astra/quality-initial.md。代码新增结构化输出、精确callId的证据校验、独立gate、业务验收、保留home与官方冷读。作者类型检查、运行测试和源事实复核是自查，不能算独立终审。
本轮使用三个彼此独立的审查视角，作者自查另计。报告的结论只覆盖各自列明的范围；初审失败及修正记录保留。
| 审查 | 证据与范围 |
|---|---|
| 教学质量与独立读者路径实跑 | 独立终审：全正文、实际实验与改造练习 |
| 另一课程作者交叉审查 | 交叉终审：源码命题、实验和学习闭环 |
| 新的独立源码与图示审查 | 初审、复验：两套全部正文与 68 张图，逐项追踪固定源码 |
Pi 的实验集为 28 项测试、22 张正文图；Harness 为 21 项测试、46 张正文图。复审发现并修正了 Harness preset 注册与选择时机、限时提问无 provider 路径，以及 Schedule 执行与 receipt 可交错的图示。各实验通过不等于真实模型质量已经通过评测。
网站发布另做 strict 构建、固定源码与归档逐字节核对、下载包解压重建、真实浏览器的图表/搜索/手机/深色显示、HTTPS 与公网下载哈希验收。本轮最终交付收据记录实际执行后的结果、版本、文件 SHA 与未测边界；请以该收据的状态判断公网交付，不能以本段检查计划代替结果。
下载包保存打包时已有的审查证据。最终公网收据在发布并验证包的哈希后单独生成，不回填进被校验的 ZIP，避免自引用哈希；离线包与在线收据通过版本 20261004-astra1 关联。
25.1 旧版审查怎样组织¶
用户要求足够细致地研究代码、Markdown课程与必要图示，并在完成后独立检查超过三遍，或由多个Agent独立审查全部通过。我们采用三位审查者交叉核对其他作者的范围，并由主作者另做网站/源码引用/归档/下载重建/公网验证。
作者自己检查行号、fence或编译不算独立审查。审查者A写过02/03/05/06/07/08/13，因此独立检查B的04/09/10/11/12与主作者整合；审查者B写过后者，因此独立检查C的14–17与主作者18–20/26；审查者C写过14–17，因此独立检查A七章和主作者examples。各自只对自己实际审的范围出结论。
25.2 原报告与纠错过程¶
初审保留当时的FAIL、原文和源码证据，修正后另建复验报告，不把初审覆盖成“第一次就PASS”。关键修正包括：MCP无法确认closed时实际只log后resolve、fswrite/edit版本归属与已提交副作用、Codexhookpayload字段、present工具名、SDK官方providerfallback、实战测试覆盖不能夸大。最终问题列表与文件指纹以报告为准。首轮真实浏览器验收还发现09/16两张时序图使用保留字Loop，已将参与者ID改为Driver再逐图重验；初轮失败记录保留在公开研究附件。
25.3 旧版交付验证的证据链¶
| 检查 | 证据 | 判断对象 |
|---|---|---|
| 官方身份与版本 | version / version-recheck | repo/tag/npm/PyPI时点分开 |
| 固定源码引用 | source-citations-check | Git对象、路径、40位SHA、行界限 |
| 全文件/包覆盖 | source-inventory / package-inventory | 可追溯全仓清单，无人工全读夸称 |
| 文档构建 | mkdocs-build / course-check | strict、内部链接/anchor、必需artifact |
| 原码与归档 | artifacts-check | source reader逐行、ZIP逐字节、Pythonvendor与tag一致 |
| 下载重建 | download-packages-check | 旧包从空目录ZIP编译、18tests、双语言demo |
| 浏览器 | browser-check | 每页真实SVG、搜索、手机导航、源码跳转、下载 |
| HTTPS与服务器 | deployment-final | public/originTLS、Nginx配置、dotfile、续期 |
| 公网下载 | public-downloads-final | 三个公网文件逐字节匹配本地SHA256 |
最终交付记录 汇总实际值。旧版三位交叉审查者的限定范围与上述实际交付检查当时通过；它们不覆盖本轮Astra重写。原始失败记录保留，最终构建、下载和浏览器记录可分别核对；ZIP保存打包时证据，在线research资产会更新到冻结后的最终复核。
25.4 通过的含义与限制¶
独立审查通过是对明确快照、明确源码范围与本次实验的检查结果，不是对整个快速变化项目或所有生产场景的形式化证明。没有真实模型付费调用、跨平台/远程/电脑/语音服务测试，也没有上游全仓全部测试；这些限制保留在正文与研究索引，不以“通过”二字抹掉。
如果之后课程更新，旧报告的文件指纹不能证明新稿；应重新审新增和变动范围、生成新的报告与revision。读者发现问题可从固定source link和原记录定位，并将其与当前远端变化分开处理。
本轮依赖审计记录¶
2026-10-04对当前实验lockfile运行 npm audit --json，注册表返回16项（7 moderate、9 high），原始JSON见本轮依赖审计。这说明通过运行测试不等于依赖安全审查通过。实验保留精确rc.2来保证API/SDK/runtime一致，没有自动audit fix或混装alpha；计划产品部署时应逐项判断受影响路径及经过复核的升级方案。该结果是查询时点的依赖树报告，不是整个上游monorepo的安全审计。