全栈安全加固、性能提速与架构演进：连接池与沙箱止血、双路混合检索、多版本归档及前端分包治理

- 第一批（安全加固与生命周期止血）：隔离测试宿主机密钥与 .env 泄漏；修复 SQLite 取消查询挂死、:memory: 连接池报错与 EngineCache 世代竞态；补齐运行与评测删除时的 Checkpointer 线程、Artifact 磁盘文件与无主附件回收；加固三套沙箱路径越界、进程组清理与 Seatbelt 数据目录隔离，封堵 SSRF IPv4-mapped IPv6 元数据绕过与响应体 OOM；修复推理模型多轮 reasoning_content、结构化输出 Token 漏计与缓存折扣计费
- 第二批（数据库/集群/问数提速与首屏分包）：补齐核心表索引与 SQLite WAL 调优，列表接口按需 defer 大列，收敛启动扫描并打通跨进程 slot 槽位唤醒；优化跨源全局选表、哈希桶数字绑定、流式 CSV 导入及多方言分析算子；剥离首屏静态引入的 @xyflow/react 与全局样式（首屏主包降至 461.59 kB），补充流式 rAF 攒批、Store 精细订阅与表单无障碍绑定
- 第三批（架构演进与工程自动化闭环）：记录库超挂接阈值历史版本自动增量归档至单库多表（解除 SQLite 10 库 ATTACH 硬上限）；重构知识库为词面 BM25 与全集合归一化向量矩阵真·双路独立召回并支持游标分批重建；升级多方言感知 SQL 模板词法分析（E'...' / $$...$$ / q'[...]' / # / 嵌套注释）与 Decimal / bool / NaN 参数校验，消除 ledger 层对 api 路由层的反向依赖；拆分 3101 行 CaliberDrafts 页面为 7 个领域子模块，消除检查脚本本机路径硬编码并新增 GitHub Actions CI 门禁与三批回归测试套件

scripts/check-decode.mjs

@@ -9,38 +9,22 @@
 // 跑之前前端得起着（./scripts/dev.sh），默认连 5273。对别的实例（比如一份沙箱拷贝）跑时
 // 带上地址：AGENTLAB_WEB=http://localhost:<前端端口> node scripts/check-decode.mjs
 import { readFileSync } from 'node:fs'
+import { join } from 'node:path'
+import { createTsLoader, ROOT } from './lib/env.mjs'
 
 const WEB = process.env.AGENTLAB_WEB ?? 'http://localhost:5273'
-const root = new URL('..', import.meta.url).pathname
+const root = `${ROOT}/`
 const fixtures = JSON.parse(
-  readFileSync(`${root}frontend/src/run/__tests__/fixtures.json`, 'utf8'))
+  readFileSync(join(ROOT, 'frontend/src/run/__tests__/fixtures.json'), 'utf8'))
 
-// decode.ts 在运行时 import 了 lib/format、lib/terms。data: URL 里的模块没法解析
-// "/src/..." 这种路径，所以把依赖也各自转成 data: URL 再替换进去（同 check-trace）
-const loaded = new Map()
-async function load(path) {
-  if (loaded.has(path)) return loaded.get(path)
-  const res = await fetch(`${WEB}${path}?t=${Date.now()}`)
-  if (!res.ok) throw new Error(`${path} → HTTP ${res.status}`)
-  let code = await res.text()
-  const deps = new Set([...code.matchAll(/from\s+["'](\/src\/[^"'?]+)(?:\?[^"']*)?["']/g)]
-    .map((m) => m[1]))
-  for (const dep of deps) {
-    const url = await load(dep)
-    const pattern = new RegExp(`(["'])${dep.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')}(\\?[^"']*)?\\1`, 'g')
-    code = code.replace(pattern, JSON.stringify(url))
-  }
-  const url = 'data:text/javascript;base64,' + Buffer.from(code).toString('base64')
-  loaded.set(path, url)
-  return url
-}
+const load = await createTsLoader(WEB)
 
 let mod, synthetic
 try {
   mod = await import(await load('/src/run/decode.ts'))
   synthetic = await import(await load('/src/run/__tests__/synthetic.ts'))
 } catch (e) {
-  console.error(`✗ 拿不到转译结果（${WEB}）——前端没起？先跑 ./scripts/dev.sh\n  ${e.message}`)
+  console.error(`✗ 加载前端解码器模块失败（${WEB}）：\n  ${e.message}`)
   process.exit(1)
 }