# B 站认证扩展标准托管加载工具

本目录实现 `V003+V004+V005+V006` 已审核方案的离线部分：生成可提交 Chrome Web Store 的确定性九文件 ZIP，并在后续取得独立发布与安装批准后，以 Windows `ExtensionInstallForcelist` 单值策略完成可恢复安装。

它不使用 `chrome://extensions`、开发者模式、unpacked、`--load-extension`、CDP、profile 注入或自托管更新服务。工具不发布扩展，不启动或控制 Chrome，不读取 Cookie/session，不执行下载，也不写 `F:\video` 或正式 `ana-data`。

## 离线构建入口

实现审核 PASS 后，原 reviewer 才能以 CreateNew 在固定树外路径 `ai-inforev/worklog/2026-08-10-bili-authenticated-extension-managed-load-audit-anchor-source-approval.json` 创建 schema 2 source approval。生产入口会复算该文件绑定的合同、原扩展 manifest、当前实现树，以及 `dev-doc/开发审计报告.md` 中唯一实现审核二级标题章节的 canonical bytes/SHA-256。该章节使用 strict UTF-8、无 BOM、LF-only，截取到下一个 `## ` 或 EOF，去除尾部空行后补一个 LF；必须精确包含 `- verdict=PASS/0`、`- blocking_findings=0`，并绑定 task 与当前 source tree。审计文件后续 append 不会改变该不可变章节锚点。

历史 schema 1 approval `ai-inforev/worklog/2026-08-10-bili-authenticated-extension-managed-load-source-approval.json` 永久保留为旧候选证据，builder 与 installer 均不回退读取或接受它；schema 1、错误固定路径、章节篡改/缺失/重复/跨 source 绑定均在任何候选或策略副作用前失败关闭。

```powershell
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\build_webstore_upload.ps1 `
  -ApprovedSourceReceipt <reviewer-owned-json> `
  -ApprovedSourceReceiptBytes <bytes> `
  -ApprovedSourceReceiptSha256 <SHA256>
```

上例只验证并返回 `VALIDATION_PASS_ONLY`。受控构建另传 `-Build -OutputRoot <不存在的目录>`；成功目录只能含 ZIP 和 schema 1 build receipt。

## 策略入口

策略入口同时要求 reviewer source approval、reviewer release approval 与 project.admin install approval 的精确 path/bytes/SHA-256。默认同样只验证；`-Install`、`-HealthCheck`、`-Rollback` 是互斥模式。

```powershell
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\install_managed_extension_policy.ps1 `
  -ApprovedSourceReceipt <reviewer-source-approval> -ApprovedSourceReceiptBytes <bytes> -ApprovedSourceReceiptSha256 <SHA256> `
  -ReleaseApproval <reviewer-release-approval> -ReleaseApprovalBytes <bytes> -ReleaseApprovalSha256 <SHA256> `
  -InstallApproval <admin-install-approval> -InstallApprovalBytes <bytes> -InstallApprovalSha256 <SHA256>
```

安装和回滚使用现有普通非 reparse receipt parent、与其互不包含的管理员批准 failure root、命名 mutex、完整注册表前像、immutable pending 与 final atomic rename。进程在 commit 前异常退出时，下次启动只按冻结矩阵恢复；歧义状态不修改注册表。固定错误码及其 SHA-256 写入 failure root 的 CreateNew/flush 证据，stdout 只返回证据 bytes/SHA，不回显路径、值或异常正文。

生产脚本参数面不存在 synthetic approval、source override、file-registry、fault 或 pause 开关。离线测试只在 `TemporaryDirectory` 复制产品源码后由测试文件插入内部 adapter，复制树和合成审核/批准一并重新哈希；该 adapter 不能由生产 CLI 或环境选择。

## 后续外部门

离线实现 PASS 不等于已发布、已安装或已加载。后续仍须依次取得并验证：Web Store 发布授权与 exact ID/version 事实、reviewer release approval、project.admin install approval、受控策略写入、正常 Chrome 状态核验，以及独立 runtime 调度。