기능: Web Computer 북극성 수명주기를 통합

내구 Web Computer 수명주기와 원자적 서명 이미지 이관을 공개 핸들에 결합했다.
Python과 Buildroot Linux를 패킷, 디스크, 화면, 입력 장치 경계로 연결했다.
Buildroot 재현 입력에 9P, VT, 자동 마운트 구성을 추가하고 레시피를 v2로 분리했다.
알 수 없는 boot 옵션과 PYMACHINE2 및 host proxy 이미지 경계를 명시적으로 거부한다.
은퇴한 mainPlan은 복원하지 않고 docs, tests, Git 이력으로 정본을 수렴했다.

검증: npm test 3198/3198, 타입 검사와 자산 provenance 검사 통과.

Author: eddmpython

.github/workflows/buildroot-guest.yml

@@ -24,8 +24,8 @@ jobs:
     env:
       PYPROC_BUILDROOT_WORKSPACE: ${{ github.workspace }}/../pyproc-buildroot-${{ matrix.slot }}
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           cache: npm
@@ -38,15 +38,15 @@ jobs:
           echo "dist=$(realpath "$PYPROC_BUILDROOT_WORKSPACE/dist")" >> "$GITHUB_OUTPUT"
           echo "legal=$(realpath "$PYPROC_BUILDROOT_WORKSPACE/output/legal-info")" >> "$GITHUB_OUTPUT"
       - name: Upload independent build evidence
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: pyproc-buildroot-guest-${{ matrix.slot }}
           path: ${{ steps.evidence.outputs.dist }}/
           if-no-files-found: error
           retention-days: 30
       - name: Upload complete legal material
         if: matrix.slot == 'a'
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: pyproc-buildroot-legal-info
           path: ${{ steps.evidence.outputs.legal }}/
@@ -60,11 +60,11 @@ jobs:
     runs-on: ubuntu-24.04
     timeout-minutes: 15
     steps:
-      - uses: actions/download-artifact@v8
+      - uses: actions/download-artifact@3e5f45b2cfb9172054b4087a40e8e0b5a5461e7c # v8
         with:
           name: pyproc-buildroot-guest-a
           path: .cache/repro/a
-      - uses: actions/download-artifact@v8
+      - uses: actions/download-artifact@3e5f45b2cfb9172054b4087a40e8e0b5a5461e7c # v8
         with:
           name: pyproc-buildroot-guest-b
           path: .cache/repro/b
@@ -98,7 +98,7 @@ jobs:
           await writeFile(`${base}/reproducibility-manifest.json`, `${JSON.stringify(receipt, null, 2)}\n`);
           NODE
       - name: Upload verified reproducible guest
-        uses: actions/upload-artifact@v7
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         with:
           name: pyproc-buildroot-guest-verified
           path: .cache/repro/verified/

.github/workflows/ci.yml

@@ -8,12 +8,15 @@ on:
   # 게시 경로가 같은 게이트 집합을 재사용한다(목록 이중 관리 = 표류의 씨앗).
   workflow_call:
 
+permissions:
+  contents: read
+
 jobs:
   structure:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
       # 의존성 0이지만 lockfile 정합(extraneous 잔재 감지)을 위해 npm ci를 먼저 돈다.
@@ -27,8 +30,8 @@ jobs:
   browser:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
       # ubuntu 러너에 Google Chrome이 프리인스톨되어 있다. CI=true라 --no-sandbox가 자동 적용된다.
@@ -38,10 +41,11 @@ jobs:
           PYPROC_GATE_OUT: gateMeasurements.json
       # 제품 소비자 게이트: npm pack으로 설치한 pyproc을 브라우저 앱이 public specifier로 import한다.
       - run: npm run test:consumer
+      - run: npm run test:golden
         env:
           PYPROC_BROWSER: /usr/bin/google-chrome
       # 러너 실측 수치를 보존한다: 원장/리드미의 로컬 수치와 비교 가능한 근거.
-      - uses: actions/upload-artifact@v7
+      - uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
         if: always()
         with:
           name: gate-measurements
@@ -64,7 +68,7 @@ jobs:
           PYPROC_NO_COI: "1"
       # WASI 세션 게이트: pyproc/wasi subpath(bootWasi/WasiSession)의 실배선.
       # 30MB 자산은 릴리즈 zip에서 준비하고 버전 키로 캐시해 SKIP이 아니라 실제 GREEN으로 돈다.
-      - uses: actions/cache@v4
+      - uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4
         with:
           path: |
             tests/attempts/enginePort/python-3.14.6.wasm
@@ -89,16 +93,56 @@ jobs:
         env:
           PYPROC_BROWSER: /usr/bin/google-chrome
 
+  # 실제 Microsoft Edge의 Windows 배포 경계. 설치 tarball 소비자/골든 경로와 핵심 브라우저
+  # 계약을 Chrome과 독립해 문다. examples는 Chrome의 동일 쇼케이스를 그대로 반복해 비용이
+  # 커서 제외하고, WASI/v86 실행 자산 레인은 아래 Ubuntu 전용 job이 계속 소유한다.
+  edge-release:
+    runs-on: windows-latest
+    env:
+      PYPROC_BROWSER: 'C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe'
+    steps:
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
+        with:
+          node-version: 22
+      - name: Microsoft Edge 설치 확인
+        shell: pwsh
+        run: |
+          if (-not (Test-Path -LiteralPath $env:PYPROC_BROWSER -PathType Leaf)) {
+            throw "Microsoft Edge executable not found: $env:PYPROC_BROWSER"
+          }
+          $edge = Get-Item -LiteralPath $env:PYPROC_BROWSER
+          Write-Host "Microsoft Edge $($edge.VersionInfo.ProductVersion)"
+      - run: npm ci
+      - run: npm test
+      - run: npm run test:browser
+        env:
+          PYPROC_GATE_OUT: edgeGateMeasurements.json
+      # npm pack 설치물의 public specifier와 골든 워크플로를 실제 Edge에서 검증한다.
+      - run: npm run test:consumer
+      - run: npm run test:golden
+      # 무자산 Web Machine 계약만 실행한다. v86/WASI 자산 준비는 의도적으로 하지 않는다.
+      - run: npm run test:web-machine
+      # 로컬 relay/TCP만 쓰는 통합면은 추가 다운로드 없이 Edge 차이를 잡을 수 있어 함께 돈다.
+      - run: npm run test:socket
+      - run: npm run test:mcp
+      - uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7
+        if: always()
+        with:
+          name: edge-gate-measurements
+          path: edgeGateMeasurements.json
+          if-no-files-found: error
+
   web-computer:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
       # 실행 자산(v86 engine/firmware/guest image)은 hash 고정 development channel이며
       # 미추적이다: 준비 스크립트가 받아오고 catalog 버전 키로 캐시한다.
-      - uses: actions/cache@v4
+      - uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4
         with:
           path: apps/webComputer/assets
           key: web-computer-assets-${{ hashFiles('apps/webComputer/assetCatalog.json') }}
@@ -113,11 +157,11 @@ jobs:
   web-machine-x86:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
-      - uses: actions/cache@v4
+      - uses: actions/cache@0057852bfaa89a56745cba8c7296529d2fc39830 # v4
         with:
           path: tests/webMachine/fixtures/v86/assets
           key: web-machine-v86-assets-${{ hashFiles('scripts/assetCatalog.json') }}

.github/workflows/engine-watch.yml

@@ -18,7 +18,7 @@ jobs:
   watch:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
       - name: 핀 vs 최신 릴리즈 비교, 새 버전이면 후보 Issue
         env:
           GH_TOKEN: ${{ github.token }}

.github/workflows/pages.yml

@@ -25,8 +25,8 @@ jobs:
       name: github-pages
       url: ${{ steps.deployment.outputs.page_url }}
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-node@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
       # RED 커밋이 공개 진열장으로 나가지 않게 한다. 배포는 사람이 보는 표면이고, 구조 게이트는
@@ -42,8 +42,8 @@ jobs:
           cp src/capabilities/pyprocSw.js _site/pyprocSw.js
           # 랜딩은 examples/index.html이 정본이고 배포 루트로 승격된다(상대 경로가 루트 기준).
           mv _site/examples/index.html _site/index.html
-      - uses: actions/upload-pages-artifact@v3
+      - uses: actions/upload-pages-artifact@56afc609e74202658d3ffba0e8f6dda462b719fa # v3
         with:
           path: _site
       - id: deployment
-        uses: actions/deploy-pages@v4
+        uses: actions/deploy-pages@d6db90164ac5ed86f2b6aed7e0febac5b3c0c03e # v4

.github/workflows/publish.yml

@@ -17,29 +17,33 @@ on:
 
 permissions:
   contents: read
-  id-token: write # OIDC 신원 증명. 이게 없으면 trusted publishing이 성립하지 않는다.
 
 jobs:
   # 게시는 되돌릴 수 없다(버전 번호 재사용 불가). 그래서 ci의 게이트 집합 전부를 통과해야 한다.
   # 목록을 여기 복사하지 않는 이유: 복사본은 ci가 자랄 때 조용히 뒤처진다.
   gates:
+    permissions:
+      contents: read
     uses: ./.github/workflows/ci.yml
 
   publish:
     needs: gates
     runs-on: ubuntu-latest
+    permissions:
+      contents: read
+      id-token: write # npm Trusted Publishing OIDC는 게시 job에만 연다.
     steps:
       # 태그 확인을 위해 전체 이력을 받는다(dispatch 경로는 ref가 태그가 아니다).
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
         with:
           fetch-depth: 0
-      - uses: actions/setup-node@v7
+      - uses: actions/setup-node@820762786026740c76f36085b0efc47a31fe5020 # v7
         with:
           node-version: 22
           registry-url: https://registry.npmjs.org
 
       # trusted publishing은 npm >= 11.5.1에서만 동작한다(node 22 번들은 10.x).
-      - run: npm install -g npm@latest
+      - run: npm install -g npm@11.19.0
 
       # 릴리즈 정책: package.json 버전과 태그는 항상 같은 값이다. 어긋나면 여기서 멈춘다
       # (태그만 앞서 나가 엉뚱한 버전이 게시되는 사고 방지). 이 검증에는 조건을 걸지 않는다: