[chore] 对 opencode-a2a 执行系统安全审计（对齐 codex-a2a #331）

[liujuanjuan1984]

背景

参照 codex-a2a #331 的方法，对 opencode-a2a 执行同等级的系统安全审计，重点覆盖网络暴露、认证授权、OpenCode 能力桥接、出站请求/SSRF、文件与持久化、资源耗尽、供应链及信息泄露面。

基线快照

• 审计起点：adf2a9b68c42b142640b1b61d14baad66591e15b（main）
• 本地目录：opencode-a2a/

初步发现（已拆解为子 issue）

• 出站 a2a_call 无 URL 白名单/SSRF 防护，全局出站凭据可被任意端点窃取 → [bug] 出站 a2a_call 缺少 URL 白名单/SSRF 防护，全局出站凭据可能被任意端点窃取 #500，PR fix(client): enforce outbound A2A network policy and credential binding #505 已合并
• provider/workspace discovery 响应透传上游原始条目，需字段过滤审查 → [bug] provider/workspace discovery 响应透传上游原始条目，需字段过滤审查 #503，PR fix(server): normalize discovery responses and gate workspace root #506 已合并
• HTTP 服务缺少 Origin/Host 边界校验，Basic 认证下存在 CSRF 与 DNS rebinding 风险 → [bug] HTTP 服务缺少 Origin/Host 边界校验，Basic 认证下存在 CSRF 与 DNS rebinding 风险 #504，PR fix(server): enforce inbound Origin/Host boundary (CSRF and DNS rebinding guard) #508 已合并
• SQLite 持久化缺少文件权限/ownership/symlink 加固 → [chore] SQLite 持久化缺少文件权限/ownership/symlink 加固 #501，PR chore: harden SQLite persistence file permissions, ownership, and symlink checks #507 已合并
• 缺少按凭据/IP 的限流与 SSE/流式输出预算 → [chore] 缺少按凭据/IP 的限流与 SSE/流式输出预算 #502，PR feat(server): enforce per-credential rate limits and streaming budgets (#502) #509 已合并

审计范围与验收标准

• 固定并记录审计 commit，检查依赖与发布/CI 供应链 → 基线 adf2a9b 已记录；依赖/CI 供应链审计记录见本 issue 评论与收口 PR（pip-audit、dependency-review、dependabot 均已配置，依赖升级 chore: simplify redundant code and upgrade vulnerable dependencies #490/chore: upgrade dependencies and fix audit findings #493）
• 映射全部监听器、路由、认证、授权、输入限制和出站副作用 → 交付 docs/security-architecture.md（收口 PR）
• 端到端映射远程 A2A 输入到 OpenCode 会话/工具/文件副作用 → 交付 docs/security-architecture.md（收口 PR）
• 检查 SSRF、路径穿越、凭据泄露、跨会话访问和资源耗尽风险 → 拆解子项 [bug] 出站 a2a_call 缺少 URL 白名单/SSRF 防护，全局出站凭据可能被任意端点窃取 #500-[bug] HTTP 服务缺少 Origin/Host 边界校验，Basic 认证下存在 CSRF 与 DNS rebinding 风险 #504 均已修复并合并
• 修复确认的 Critical/High 问题，或明确阻断部署 → PR fix(client): enforce outbound A2A network policy and credential binding #505/fix(server): normalize discovery responses and gate workspace root #506/chore: harden SQLite persistence file permissions, ownership, and symlink checks #507/fix(server): enforce inbound Origin/Host boundary (CSRF and DNS rebinding guard) #508/feat(server): enforce per-credential rate limits and streaming budgets (#502) #509 全部合并；残余风险登记于 docs/security-architecture.md
• 交付安全报告与测试计划（对齐 codex-a2a docs/inspection/ 做法） → 按维护决策：报告、测试计划与供应链记录以本 issue + 收口 PR 交付，不落库（一次性审计结论，避免仓库文档漂移）

安全约束

不得在生产环境或携带真实凭据的环境中启动服务；动态测试必须限制到本地回环/测试夹具，避免真实外联和生产数据。

[liujuanjuan1984]

首个实施项 #500 已在分支 fix/outbound-network-policy 完成：新增出站 URL 网络策略（http/https 限定、A2A_CLIENT_ALLOWED_HOSTS 白名单、私网/环回解析拒绝防 DNS rebinding、凭据仅发白名单 host）。./scripts/doctor.sh 全绿（732 通过、覆盖率 93.14%），Draft PR #505 已创建（Closes #500, Relates to #499）。其余子项（#503/#504/#501/#502）按序推进。

[liujuanjuan1984]

审查状态同步（worktree: chore/security-audit-499 @ origin/main 23f8968）

已基于最新 main 创建 worktree opencode-a2a-499（分支 chore/security-audit-499），基线 ./scripts/doctor.sh 全绿（793 passed，覆盖率 93.31%）。

结论：代码层修复已完成，issue 尚未全部完成

• 五个拆解子项 [bug] 出站 a2a_call 缺少 URL 白名单/SSRF 防护，全局出站凭据可能被任意端点窃取 #500/[chore] SQLite 持久化缺少文件权限/ownership/symlink 加固 #501/[chore] 缺少按凭据/IP 的限流与 SSE/流式输出预算 #502/[bug] provider/workspace discovery 响应透传上游原始条目，需字段过滤审查 #503/[bug] HTTP 服务缺少 Origin/Host 边界校验，Basic 认证下存在 CSRF 与 DNS rebinding 风险 #504 均已由 PR fix(client): enforce outbound A2A network policy and credential binding #505/chore: harden SQLite persistence file permissions, ownership, and symlink checks #507/feat(server): enforce per-credential rate limits and streaming budgets (#502) #509/fix(server): normalize discovery responses and gate workspace root #506/fix(server): enforce inbound Origin/Host boundary (CSRF and DNS rebinding guard) #508 关闭并合并，修复均落在 main，实现与当前代码库最佳实践一致（fail-closed、可配置、文档化、回归测试齐备）。
• 剩余缺口集中在交付物与审计记录，不属于代码修复：
  1. 安全报告与测试计划未交付（无 docs/inspection/ 或等价物）；
  2. 监听器/路由/认证/授权/输入限制/出站副作用及端到端 A2A→OpenCode 副作用映射无集中审计文档（现有内容散见于 architecture.md / maintainer-architecture.md / extension-specifications.md / SECURITY.md）；
  3. 供应链/CI 审计结果未成文（pip-audit、dependency-review、dependabot 均已存在，缺审计记录）；
  4. issue 验收 checkbox 未同步勾选；
  5. 残余风险需在报告中显式记录：出站 DNS-rebinding 校验存在 resolve-then-connect TOCTOU；限流为进程内实现，多进程部署需网关；非 loopback 绑定未配置 A2A_ALLOWED_HOSTS 时仅为启动告警。

其它 open issue

• 当前唯一其它 open issue 为 [Priority: Med] [Enhancement] 明确 push config persistence 与能力恢复的分层方案 #451（push config persistence 分层），与本审计无直接关联，且此前已明确排除，不建议并入本分支。

冗余/清理项

• 旧 worktree opencode-a2a-500..504 对应分支均已合并，远端 502/504 分支已被 prune，本地残留分支/worktree 可随本分支一并清理。

后续开发将聚焦安全报告/测试计划/映射文档交付与 #499 验收收口，继续在本 worktree 进行。

[liujuanjuan1984]

审计收口状态（PR #510 已创建）

收口 PR：#510（Closes #499），基于 chore/security-audit-499（最新 main 23f8968），./scripts/doctor.sh 全绿（793 passed，覆盖率 93.31%）。

仓库文档（单一权威源）

新增 docs/security-audit-499.md，集中承载审计映射（监听器/路由/认证授权/输入限制/出站副作用、端到端 A2A→OpenCode 副作用映射）与残余风险登记，README/architecture/maintainer-architecture/guide/SECURITY 均已交叉引用，避免散落表述漂移。

残余风险（已登记于新文档，此处同步记录）

• R-1 出站 a2a_call resolve-then-connect 存在 DNS-rebinding TOCTOU（白名单 + 私网拒绝已降低暴露，pinned-IP 连接未实现）
• R-2 限流为进程内实现，多进程部署需网关级限流或按实例限额
• R-3 非 loopback 绑定未配置 A2A_ALLOWED_HOSTS 时仅启动告警，依赖部署方 Host 校验
• R-4 单租户共享工作区边界、默认仅静态凭据（威胁模型见 SECURITY.md）
• R-5 A2A_LOG_PAYLOADS=true 时日志可能含敏感数据
• R-6 push notification config exposed-but-unsupported（501/unsupported），能力恢复由 [Priority: Med] [Enhancement] 明确 push config persistence 与能力恢复的分层方案 #451 单独跟踪
• R-7 SQLite 加固豁免 :memory:/file: URI 与非 POSIX 平台

供应链/CI 审计记录（不落库，按维护决策）

• validate/publish 工作流均执行 pip-audit（runtime requirements）
• dependency-review.yml 月度审计开发依赖（scripts/dependency_health.sh）
• .github/dependabot.yml 分组升级依赖
• 依赖升级与审计修复历史：chore: simplify redundant code and upgrade vulnerable dependencies #490（简化冗余 + 升级脆弱依赖）、chore: upgrade dependencies and fix audit findings #493（升级依赖并修复审计发现）
• 结论：供应链检查机制已就位，无未处置的高危依赖项

安全报告与测试计划（不落库，按维护决策）

一次性审计结论不写入仓库，以本 issue 验收勾选、PR #510 描述与各子项 PR 的验证段落作为交付记录；测试计划见 #505/#506/#507/#508/#509 的验证与测试章节。