---
url: /docs/agentbuff-stack/validation-2026-10-09.md
---
# 0.1 本地验收 · 2026-10-09

来源基底：Kriasoft React Starter Kit，commit `dbdb0d4991bbaae1671ff62180089f2733dd406a`。独立目录 `saas-starter/launchkit`，原演示项目保留。MIT 许可证未改动。

## 已执行的检查

| 检查 | 结果 |
| --- | --- |
| 全工作区构建（email / web / api / app） | 通过 |
| TypeScript project build | 通过 |
| Astro check | 0 errors / 0 warnings / 0 hints |
| Vitest | 11 文件、104 测试通过 |
| Oxlint | 通过 |
| Oxfmt check | 通过 |
| web / app / api 的 Wrangler dry-run dev 打包 | 均通过；未上传或部署 |
| 新站工厂真实临时副本 | 品牌/域名/Worker 名称替换、保留许可证、无凭据或本地数据、拒绝覆盖，均通过 |
| 公开 HTML | 首页/两个工具/博客在未执行 JavaScript 时含正文、H1、canonical |
| sitemap / RSS | XML 可解析；私有页面和法律占位不在 sitemap |
| 法律占位与本地预览 | noindex |
| 不存在的公开路径 | 返回 404 |
| 找回密码邮件 | 本地 outbox 捕获；不向外发信 |

## 浏览器实际流程

在 localhost:4400 完成：打开 JSON 工具 → 使用示例 → 格式化预览 → 未登录保存 → 登录本地测试账号 → 回到工具且输入/预览保留 → 保存成功 → 下载 JSON → Dashboard 显示 1 条私有历史和 20 欢迎积分 → History 展开并看到真实保存结果。

截图在被 Git 忽略的 `.local/evidence/home.png` 和 `.local/evidence/history.png`。下载样例位于浏览器下载目录。

## 安全与数据检查范围

使用实际迁移建立 PGlite 测试数据库，验证未登录拒绝、不同账号隔离及无法越权删除、并发重试仅保存一次、复用 request ID 修改输入被拒绝、无效/过大/过深或过度展开 JSON 不写入数据库、历史数量上限、欢迎积分仅发一次、并发重复扣费/退款幂等、超余额扣费拒绝。登录回跳拒绝其他来源、反斜杠和控制字符。

本机另有隔离的 PostgreSQL 数据库 `launchkit`。本地服务以 detached process 启动，避免结束当前对话时丢失预览进程。

## 尚未验收

Cloudflare 实际部署、Neon/Hyperdrive 线上连接、第三方 Google/Passkey、真实 Resend 发信、Stripe 收费/webhook/取消与 portal。R2、队列、一次性积分包、管理员、统计、多语言等尚未实现；完整状态见 [能力清单](capabilities.md)。

dry-run 是打包检查，不证明线上 CPU/额度、服务绑定、账号权限或真实支付成功。