WinBridge Recovery 下一版本规划：从 4.0.0 走向更可验证的 4.1

WinBridge Recovery 4.0.0 已经把 Windows x64 安装器、便携包、只读诊断门禁、五种运行布局和正式发布流程整合到了一起。下一步不应该急着堆更多按钮，而是让现有能力在更多真实 Windows 环境里更容易验证、更容易解释，也更容易安全地失败。

这篇文章是下一版本的公开规划草案。版本号暂按 4.1 讨论，具体内容仍以实际实现、测试和最终 Release 为准。

先解决什么：当前公开反馈指向的三类问题

1. Windows 目录切换失败还缺少精确归因

公开反馈中已经出现两类 Move-Item / Access Denied：一类发生在 WinBridge 自己的资源 staging 目录，另一类发生在 Codex 的 Chrome 插件缓存目录。它们表面相似，但不能直接认定为同一个根因。

下一版本的第一优先级不是“再试一次管理员权限”，而是区分：

目标树中是否仍有 Codex、Native Host 或 CUA 子进程持有文件；
extension-host.exe 是否在早期清理后被重新拉起；
是否属于 Defender、杀毒、EDR、DLP、透明加密或文件系统过滤驱动造成的策略性阻止；
是否存在 ACL、DELETE / DELETE_CHILD、目录句柄或 reparse point 问题；
WinBridge 自身是否还有未释放的文件或目录句柄。

这里的目标是“知道为什么停”，而不是为了成功率去强行绕过系统策略。

2. Windows 10/11 的正式回归矩阵仍需补齐

4.0.0 已通过现有语法、自动化、构建、打包与干净环境 smoke test，但这不等于每一条修复路径都已经在新装 Windows 10、Windows 11 和 Windows PowerShell 5.1 上独立跑过。

下一版本应把安装器和便携包分别纳入矩阵，并把验证拆成独立结果：

安装、首次启动、卸载与便携解压启动；
只读 Preflight / diagnosis；
健康 fast path、定向修复、完整修复和 rollback；
Browser、Chrome、Computer Use 三个表面的真实运行时验证；
常规 DPI、高 DPI、窄窗口和多语言界面；
失败证据脱敏，不采集账号、令牌、Cookie、会话或私人路径。

3. 发布可信度还可以继续提高

4.0.0 提供 SHA-256 sidecar，并明确说明当前证书不是 Windows 公共信任根认可的正式代码签名。下一版本会继续保留哈希校验与历史资产可复现性，同时评估受信任代码签名。

如果未来完成正式签名，发布说明、manifest、README 和下载页必须一致标注；已经公开的 4.0.0 文件不会被静默替换。

4.1 暂定工作包

P0：目标树级文件锁诊断

在原子替换前识别目标目录树中的锁所有者，而不只检查少数已知文件；
记录 PID、父 PID、可执行路径、命令行与实际锁定路径；
在最终 rename 前再次做轻量锁检查，防止 Native Host 被重新拉起；
只在能确认属于目标 Codex/WinBridge 进程树时考虑终止，绝不按名称批量结束系统里的所有 node.exe；
无法识别锁主时，明确引导到 ACL、目录句柄和过滤驱动分类。

P0：把“拒绝修复”也做成明确结果

如果公司加密、DLP、EDR 或系统策略明确阻止目录操作，WinBridge 应安全停止并解释原因，不尝试关闭驱动、接管 WindowsApps、重置整棵目录权限或绕过组织策略。

最终摘要要区分：

可以重试的瞬时共享冲突；
需要用户关闭目标应用的普通文件锁；
需要管理员或组织安全团队处理的策略性阻止；
WinBridge 自身可修复的状态漂移；
只能诊断、不能安全自动修复的上游问题。

P1：更清楚的完成页和可访问性

显示本次运行是 Healthy fast path、Targeted repair 还是 Full repair；
列出修复、未变更、警告、回滚状态和下一步；
增加“打开日志”“复制脱敏诊断”“查看修复项”等明确动作；
补全键盘焦点、Tab 顺序、图标按钮名称、高对比度和屏幕阅读器状态；
继续验证五种布局在窄窗口、常规窗口与高 DPI 下可滚动且无遮挡。

P1：先测量，再优化

记录包发现、hash、诊断、备份、staging、swap、启动和验证的分阶段耗时；
统计文件数、读取字节和 hash 次数；
在单次运行内避免对未变化文件重复做深层 SHA-256；
把启动后验证拆成轻量 readiness 与一次深层 consistency 检查；
保留复制后校验、关键文件校验、备份与 rollback，不用降低安全性换速度。

下一版本的发布门槛

4.1 不以“代码写完”作为完成标准，而以可复现证据作为发布门槛：

现有自动化测试全部通过，并为新增失败分类补充测试；
安装器、便携包、卸载与 rollback 在隔离环境验证；
Windows 10/11 结果分开记录，不用一台机器替代整个矩阵；
Browser、Chrome、Computer Use 分别做真实交互验证，静态健康不能替代运行时证据；
Release 资产、版本号、manifest、SHA-256 sidecar 和文档一致；
公开记录只保留脱敏结论，不发布私人路径、完整敏感日志或第三方受保护文件。

明确不进入本轮范围

下一版本仍不会承诺恢复 Computer Use / Browser 中断前的点击轨迹、页面状态、隐藏上下文或任务执行游标。WinBridge 修复的是插件与运行时基础设施，不是官方 Agent 的内部任务现场。

同样不会把“兼容更多机器”理解为绕过企业安全策略、关闭防护驱动或强改 WindowsApps 权限。遇到无法安全跨越的边界时，正确行为是识别、解释并停止。

公开跟踪入口

这份规划会随着公开证据更新。某个功能只有在实现、构建、隔离测试和发布回读都完成后，才会从“计划”变成“已交付”。