docs/RELEASE_NOTES_v0.3.4.md

Rama main · réplica de lectura del repositorio original.

# BailingHub v0.3.4：匿名预览与可信业务身份引导

`v0.3.4` 收紧了聊天入口、内置演示和真实业务身份之间的用户引导。控制台原“试聊”入口现在明确标识为“匿名预览”，避免让管理员或访客误以为中枢后台登录态会自动变成业务操作主体。

## 主要变化

- **匿名预览语义**：聊天入口列表、嵌入弹窗和独立预览页统一说明，该页不继承中枢管理员登录态，也不提供独立业务登录入口。
- **无主体时的正确引导**：当会话没有收到业务后端签发的可信身份票据时，Agent 会说明应返回真实业务系统完成登录并重新打开或刷新助手；不会声称预览页可自行登录，也不会索要账号、密码、Token 或用户 ID。
- **演示验证分流**：导入内置演示配置后，上手向导将“运行演示主体 Smoke”作为明确的下一步。Smoke 使用受控演示主体产生真实 job 和 trace；导入配置本身不会自动运行任务，也不会把管理员提升为业务主体。
- **票据配置更准确**：控制台明确“业务身份票据签发方”只表示入口支持哪个接入方签票。只有已登录业务系统的后端签发短票并由页面携带 `data-ticket` 时，才会建立可信业务主体。

## 身份与授权边界

本版本没有放宽身份或工具闸门：

- `visitor_id` 仍只用于匿名会话连续性，不是身份凭证；
- 没有通过验签票据建立可信主体时，所有声明 `subject.required:true` 的工具（包括只读查询和写操作）仍不会向 Agent 暴露；
- 票据验证只建立可信业务主体并让需主体工具进入候选清单，真实业务系统仍必须根据 On-Behalf-Of 和自身权限做最终授权；
- 中枢管理员身份不会自动转换为任何业务用户。

## 兼容性与升级

- 无新增数据库迁移或 Schema 变化；最新迁移仍为 `054_demo_dataset_state.sql`。
- 无新增或变更 HTTP API、Client API、Kernel Host API v1、聊天协议、Executor Protocol、ACC、票据格式、工具签名或审批语义。
- 现有匿名入口和携票据嵌入代码无需修改；主要变化是控制台、预览页和无主体回答的准确语义。
- 已部署 `v0.3.3` 的实例可按普通补丁版本升级。

## 验证

发布门禁覆盖完整 `npm run release:check`、无主体工具装配测试、匿名预览页契约、控制台真实浏览器 E2E、演示主体 Smoke、双语文档和 npm 制品一致性检查。

## 相关文档

- [快速开始](QUICKSTART.md)
- [聊天入口与身份契约](CONTRACT.md)
- [Docker Demo](DEMO.md)
- [用户指南：核心概念](user-guide/concepts.md)
- [English release notes](RELEASE_NOTES_v0.3.4.en.md)