2026-10-15
rea-agents 6.5.0 改了什么（运维长文）
上游于 2026-10-14 发布 rea-agents 6.5.0（发行标签；GitHub published_at 为 2026-10-14T12:32:45Z，即 20:32 UTC+8）。发行正文日期为 2026-10-13。文末贡献记录：893 次提交、529 个已合并 PR。本页是运维长文——能力矩阵、钉死的工具版本、清单与合规——不是 changelog 粘贴。版本索引在 /zh/changelog/。字段级破坏在 /zh/docs/breaking/。先钉版本，本机 doctor 通过后再信社交截图。
运维为何要看这一版
6.4.0 把 Android 设备侧工作、官方 compact MCP schema、合适大小的 Evidence 视图钉成可复现发行（运维长文）。6.5.0 则让你可以：精确选择 JavaScript 路径且不把 import 扩进选定范围、在二进制／托管程序集／Android／Dart／WASM／网络工作流上分页阅读已保留 Evidence、以及离线检查 SQLite 快照、数据包与信号记录、WebAssembly、Rust 依赖元数据、Electron fuses，且不启动目标。分析或清理失败时，已完成的 Evidence 与部分观察仍然保留。本页按这几项决定来组织。
本页不引用新的社区工具数或启动计时。讨论 #1998 测量的是 6.3.0／6.4.0（139 → 170 个工具），没有公布 6.5.0 的目录规模或 list 延迟。不要编造。写进工单之前，先在你自己的机器上复现。
能力矩阵：6.4.0 → 6.5.0
| 领域 | 6.4.0（2026-10-11） | 6.5.0（正文 2026-10-13；发布 2026-10-14） | 运维提示 |
|---|---|---|---|
| JS 源选择 | 自有进程；堆／超时；保留事实／未知 | 精确应用路径；未选文件保留身份与显式未知覆盖（#1944，议题 #1848） | 选择 ≠ 摘要交付 |
| 代码分割／跨包 | 非头条 | 从多个选定输入恢复相关包；逐文件来源 + 下游跨 chunk import（#1686，议题 #1605） | 记录在案的 CLI/MCP 覆盖：Linux x64、Wakaru 1.14.0、源仓自有 esbuild/webpack 夹具 |
| 包导入 | 既有解析 | 用选定 loader 与包祖先解析精确别名，不再猜测兄弟文件（#1862，议题 #1838） | 缺失的包元数据保持不可用 |
| 已保留 Evidence | 发现；摘要与选定视图 | 可选紧凑摘要，然后分页已保留 Evidence，无需重跑分析（#2122、#2193、#2413、#2438、#2455、#2634、#2308） | 保留完整记录结果及其原始覆盖 |
| 离线通道 | 非头条 | SQLite 快照、pcap/TShark、sigrok、WABT、cargo-auditable、Electron fuses | 官方工具版本见下表 |
| 客户端 | compact schema；既有 setup 行 | scoped setup 新增 Qoder、Trae、ZCode、DeepSeek Harness、Kimi Code、Factory Droid、WorkBuddy | 矩阵：/zh/docs/clients/。live Trae 与 DeepSeek API 未核验 |
| 破坏性合同 | 既有 6.0–6.4 字段变更 | attached 可为 null、source map 名为 null、--filter-output 发出 null、调用图 { graph, limitations }、binary_session 不再重复目录 | 清单：/zh/docs/breaking/ |
6.5.0 发行说明里点名的工具版本
下列字符串抄自发行亮点与变更条目。它们是已记录的覆盖范围钉版本，不是「每台主机都一样」的承诺。
| 通道 | 上游点名的版本 | 已记录覆盖（发行措辞） | 仍未核验（发行措辞） |
|---|---|---|---|
| JS 代码分割恢复 | Wakaru 1.14.0 | Linux x64 CLI/MCP；源仓自有 esbuild/webpack 夹具 | 其他主机、其他发行、任意应用的等价性 |
| 数据包捕获 | Wireshark 4.6.6（TShark） | Linux、真实引擎 | 原生 Windows／macOS 与 Bun |
| 已录信号 | sigrok-cli 0.7.2 | Linux；需要 util-linux prlimit；不采集硬件样本 | 不是采集设备 |
| QUIC／qlog | aioquic 1.5.0、JSON qlog 0.3 | 已保留对象；分页 trace／stream／观察 | 其他 qlog 布局。重叠／丢失声明 ≠ 重传或网络丢失 |
| SQLite 快照 | Node 24.x ≥24.15 或 26+，且具备 DatabaseSync.limits | 显式选定的离线数据库 | Node 22 与更早的 24 不能使用该通道。运行中的库加 WAL 副本不是原子快照 |
| WASM | 自备 WABT 1.0.42 | 真实工具检查记录于 macOS arm64；不执行模块 | 两份完整 core-module Evidence 的导入／导出对比不需要现场安装 WABT，也不证明运行时兼容 |
| Ghidra 文件偏移反编译（修复通道） | Ghidra 12.1.4 | Linux x64 | 模拟的启动／进度／编译器失败不是真实引擎核验 |
| 附着的原生 IDA | IDA Free 9.4（Linux）与 IDA Pro 9.3（Windows） | Linux：导航修正。Windows Pro：环回监听变更。数据库保持只读，从不保存或关闭 | 库存原生切换、原生 macOS、Windows IDA Free |
| Frida 插桩 | 调用方提供的脚本 | Linux 本地 Node 标记工作流 | macOS、Windows、远程设备／服务器。有破坏性，不是只读 |
| Flutter APK 结构 | 不需要外部引擎 | 文档中的 Flutter Gallery 夹具 | macOS／Windows；完整 pool 语义；pool 覆盖保持部分 |
| Fiddler SAZ | 钉死的公共编码语料 | 原生 SAZ、保留的 HTTP 来源、有界解码 | 当前 Fiddler Everywhere 变体；Bun 原生执行 |
这些配套工具从各自厂商安装（Wireshark、sigrok、WABT、Node、Ghidra、IDA）。REA 不附带它们。发行说明里的版本字符串不是 rea.run 上的下载链接。
1. JavaScript：先精确路径，再代码分割
发行亮点：分析选定的 JavaScript 文件，并恢复跨包关系，且不扩大选定源范围。
- 钉
npx -y [email protected]。跑doctor --json，把 JSON 留在工单上。 - 只选你有权阅读的精确应用路径。未选文件保留身份与显式未知覆盖。不要把「未知」当成「空」或「安全」。
- 摘要交付与源选择分开。要一份摘要不会悄悄扩大文件集。
- 包导入经由选定 loader 与包祖先解析。猜测兄弟文件是本版去掉的行为（#1862）。
- 代码分割应用：传入你实际持有的多个选定输入。恢复保留逐文件来源与下游跨 chunk import（#1686）。已记录覆盖是 Linux x64 + Wakaru 1.14.0 + 源仓夹具——其他主机在你复现前标注未核验。
- JS、浏览器与 Electron 发现结果里，
attached现在可以是null。null 表示未知。不要把它压成 false。合同：/zh/docs/breaking/。 - 目标：你拥有的源码、你发出的 debug 构建，或许可允许检查的夹具。不是「网上能下到的任意生产包」。
npx -y [email protected] doctor --json
# 钉版本后重连 MCP 客户端
同一发行里的 loader 与 trace 修复（import/require 条件、导出身份、嵌套桥调用、source map 的 file: URL 不进入运维相对路径）列在发行说明的 Fixes。它们不改变上面的选择规则。
2. 已保留 Evidence：先紧凑摘要，再分页
可选紧凑的清单／WASM、托管元数据、Android manifest、Dart AOT、Mach-O 与 EVM 摘要，然后分页已保留 Evidence，无需重跑分析。摘要交付保留完整记录结果及其原始覆盖。
| 工作流 | 6.5.0 保留什么（发行说明） | 它不证明什么 |
|---|---|---|
| 二进制／Mach-O | 紧凑 Mach-O 摘要；Go 嵌入构建元数据，含文件支持的未映射 Mach-O 调试段（#1363）；通用 Mach-O 做 cargo-auditable 时须选定薄切片 | 摘要不是完整反汇编 |
| 托管程序集（.NET） | 检查成员时选择声明类型；以独立覆盖解码被检查的 ldstr；分页成员摘要；target_declaring_type 与 field_declaring_type，含受支持的泛型方法目标（#1706、#2125、#3061、#2163） | 未解析元数据保持未知 |
| Android | Manifest 摘要；DEX 精确方法描述符与逐条 direct-invoke 观察（源方法、DEX 条目、操作码、code-unit 偏移）（#2439） | 静态引用 ≠ 运行时调用次数。设备工作仍限于你的设备——/zh/docs/android-adb/ |
| Dart／Flutter | 不借助外部引擎检查 AOT 结构；识别快照／引擎构建（#1582） | pool 覆盖为部分；已记录的真实 APK 是 Gallery 夹具 |
| WASM | 紧凑清单；自备 WABT 检查（下一节） | 检查 ≠ 执行 |
| 网络 | 从已保留 HAR 推导方法／源／路径模板，含观察到的查询参数名；未知予以保留（#1891、#2982） | 查询值、头与正文保持排除 |
| EVM | 从看似合理的终端 Solidity CBOR 根映射候选保留有界、无损事实（#2790） | 候选 ≠ Solidity 来源、源码或编译器身份。链接的元数据不会去拉取 |
运维闭环（与 6.4.0 Evidence 一节 同形）：身份 → 紧凑摘要 → 分页已保留 Evidence → 必要时落盘 → 再切进模型。配合 /zh/faq/token-efficient-rea/。分析或清理失败时，留下已完成的 Evidence 与部分观察；不要编摘要填空。
参考源图：CLI import-reference-source --detail summary 输出紧凑的清单、计数、状态与路径大纲（#2768，议题 #2442）。完整图仍然可用，且仍是默认。被隐藏的大纲条目保留各自的覆盖计数。
3. 离线通道——不启动目标
这些操作读取你已经持有的文件。它们不是去捕获他人流量、附着你不拥有的进程，或修改应用程序的授权。
3.1 SQLite 快照
检查显式选定的离线数据库，可选表／列，Evidence 有界（#2271）。
- 确认 Node：24.x ≥ 24.15 或 26+，且具备
DatabaseSync.limits。受支持的 Node 22 与更早的 24 不能使用该通道。6.5.0 的其余部分仍可运行；这一项会拒绝。 - 指向你被允许离线复制的数据库文件。运行中的库加上 WAL 副本不能算原子快照——工单里要写明。
- 选择表与列。保持 Evidence 有界。
- 把 Node 版本和
doctor --json记在一起。
3.2 数据包（pcap／TShark）
用有界的 TShark 输出、紧凑捕获摘要和保留分页检查已保存的数据包。可发现已安装的协议／字段定义（#2318、#2340、#2496）。
- 从 Wireshark 项目安装 Wireshark／TShark。已记录的真实引擎覆盖是 Linux 与 Wireshark 4.6.6。原生 Windows、macOS 与 Bun 仍未核验。
- 喂入你有权持有的既有捕获（你的实验室、你的应用、随分析发布的夹具）。本指南不描述如何捕获他方流量。
- 读紧凑摘要并分页已保留 Evidence。有界输出是目的——不要为了「在模型里看全」而取消界限。
- QUIC：仅已保留的 aioquic 1.5.0 JSON qlog 0.3 对象（#2277）。其他布局不受支持。重叠与丢失声明不证明重传或网络丢失。
- Fiddler：原生 SAZ 归档、保留的 HTTP 来源、有界解码（#2409）。已记录的生产者覆盖是钉死的公共编码语料。当前 Fiddler Everywhere 变体与 Bun 原生执行未核验。
Evidence 里已有的 HAR：推导出的 API 面是方法、源与路径模板，加上观察到的查询参数名。值、头与正文不进入（#2982，议题 #2913）。
3.3 已录信号（sigrok）
通过调用方提供的 sigrok-cli 0.7.2 解码既有记录，并发现已安装的解码器／选项（#2339、#2487）。
- 仅 Linux。从 sigrok 项目安装 sigrok-cli；若要对齐已记录钉版本，确认 0.7.2。
- 该通道需要 util-linux 的
prlimit。 - 它不采集硬件样本。带上你已在获准设备上录好的文件。
- 发现解码器；不要把解码器列表当成一次测量。
3.4 WASM——自备 WABT
用 WABT 1.0.42 检查本地模块，且不执行它们（#1533，议题 #884）。对比两份完整 core-module 检查 Evidence 的导入／导出时，不需要现场安装 WABT（#2464，议题 #2356）。
- 从上游项目安装 WABT。需要对齐已记录通道时钉 1.0.42。说明中的真实工具检查覆盖是 macOS arm64。
- 不执行模块。不要为了「看看能不能跑」在这条通道上再加运行时。
- 不支持的签名与重复身份保持未知。
- 对比不建立运行时兼容性。
3.5 Rust 依赖元数据（cargo-auditable）
在不执行文件的前提下，检查 ELF、PE 与薄 Mach-O 中嵌入的 cargo-auditable 包与依赖记录（#2456）。
- 选择你有权阅读的二进制。不会执行。
- 缺失的元数据与推断的编译器哈希保留显式限制——把这些限制写进工单。
- 通用 Mach-O 必须选定薄切片。不要让工具猜切片。
3.6 Electron fuses
读取已打包的 fuse 字节及逐切片的运行时含义，不启动、不修改应用（#2399）。
- 指向你拥有或获许可检查的包。
- 缺失、截断与未知连线保持显式。
- fuse 观察不证明其他启用 Inspector 的路径。一个 fuse 位不是完整的安全结论。
- Electron 发现上
attached可以为 null——与 JavaScript 同一条 null 规则（/zh/docs/breaking/）。
4. 破坏性变更——读运行手册，不要在本页重推一遍
6.5.0 的 BREAKING CHANGES 对运维是承重的。本页不逐字段复述。升级消费方之前先看 /zh/docs/breaking/（英文：/docs/breaking/）。从 6.1 跳到 6.5.0 仍然包含 6.2、6.3、6.4 的合同。
| 破坏项（发行说明） | 阅读方要改什么 | 锚点 |
|---|---|---|
attached 可为 null（JS、浏览器、Electron） | 把 null 当未知；绝不压成 false | e55ef72 |
| source map 行的源名可为 null | 处理 null；不要发明「未知源」字符串。新索引字段在旧 Evidence 上仍可选 | ee50ed1 |
值为 null 时 --filter-output 发出 JSON null 而不是 {} | 区分「存在的 null」与「没有选中」。需要对象信封时用 --full-output | #2333 |
get_call_graph.normalized_result 为 { graph, limitations } | 在 graph 下读深度分组；保留关系级注意事项 | 5dfb9d0 |
binary_session 不再重复 server_identity.catalog.tools | 用已连接工具列表、分组的 tool_availability 与提供者能力 | #1988 |
| 未解析 GNU ABI 属性的 MIPS 被拒绝；macOS 上已保存的 Hopper 数据库不可用 | 提供受支持的 ABI 声明。macOS 上选可执行文件，而不是已保存的 Hopper 数据库 | d4bd65c |
binary_overview 段长度可为 null（Hopper） | 保留未知；不要压成 0 | 36db19c |
server.command_path 可为 null；doctor／setup 状态可为未知 | 先确认真实调用，再把登记当成对齐 | 187f113 |
ADB 的 replaced 可为 null；replace_requested 记录 adb install -r 意图 | 重装意图 ≠ 已经替换的证明 | 864314a |
模块身份未知时，未解析的 P/Invoke 仍可能带 matched_native | 读 status、basis、limitations。未知模块 ≠ 空观察 | 3f6b575 |
SQLite 的 Node 门槛（24.x ≥24.15 或 26+）是能力拒绝，没有列在 BREAKING CHANGES 里，但在 Node 22 与更早的 24 上会失败关闭。写明你跑的是哪条 Node。
5. 新客户端——用矩阵，不要再抄一份
6.5.0 的 scoped setup 登记 Qoder、Trae、ZCode、DeepSeek Harness、Kimi Code、Factory Droid、WorkBuddy（#1564、#1572、#1573、#1929、#2744、#2309、#3041）。DeepSeek 自 6.5.0 起包含；历史上的 npm 6.4 检查没有覆盖它。live Trae 与 DeepSeek API 集成仍未核验。
ID 表、dry-run 命令与 doctor 检查在 /zh/docs/clients/（英文：/docs/clients/）。不要把那张矩阵再抄成第二份 changelog。6.4.0 的 compact schema（REA_MCP_INPUT_SCHEMA_PROFILE=compact）对体量受限的主机仍然适用——见 /zh/faq/mcp-schema-size/ 与 6.4.0 长文。
npx -y [email protected] setup --client dsh --dry-run --json
npx -y [email protected] doctor --client dsh --json
把 dsh 换成矩阵里的客户端 id。setup 之后重连客户端。doctor 绿灯是登记检查，不是 Trae 或 DeepSeek 的 live API 认证。
6. 值得在工单里写一句的其他通道（不是第二份 changelog）
目标对得上再提。核验限制是句子的一部分，不是可以丢掉的脚注。
| 通道 | 发行事实 | 必须保留的限制 |
|---|---|---|
| Ghidra 原始输入／引用 | Linux／macOS 配置接受调用方选择的原始架构／入口；精确地址上的有类型入向引用（#1868、#1715） | Windows P0 只接纳原始 NMOS 6502 配置；其他原始目标与入向引用面不在 Windows P0 |
| Ghidra MIPS | 有界 MIPS32r2／o32 对象、软浮点整数寄存器存储、获准的 MIPS16 共享 ELF、狭窄的旧式 MIPS32 可执行文件（#1949、#1950、#1991、#1898） | 准入遵循每条已文档化的 ABI／标志／重定位边界 |
| Ghidra RISC-V | 声明受支持双精度 ABI 的小端 RV32／RV64 ET_EXEC（#2151） | 可重定位／共享、大端、其他 ABI 拒绝 |
| Ghidra PowerPC | Linux／macOS 上的 ELF32 大端 ET_EXEC（#1747） | PPC64、DOL 与其他变体不在本通道 |
| Ghidra PSP ELF | Linux x64、有界小端 ELF32 ET_EXEC、兼容的调用方安装 Allegrex（#1599） | PRX、共享／可重定位、PBP／ISO／CSO、模拟不在范围。真实的公开 Ghidra PSP 覆盖未核验 |
| 原始 NMOS 6502 | 无头镜像、调用方选择的入口、16 位地址空间内的源映射，含 Windows P0（#2079） | 不做卡带解析、不推断复位向量、不含 65C02／65816 |
| HarmonyOS HAP／HSP／App Pack | 不执行代码的结构清点（#1447） | 已记录工作流：一个钉死的 HAP。已安装包与真实 HSP／App Pack 覆盖未核验 |
| Frida | 显式本地／远程目标、调用方脚本、保留消息（#1359） | 执行外来代码。有破坏性，不是只读。 已记录真实覆盖仅 Linux 本地 Node 标记 |
| 被动浏览器附着 | 六个既有被动工具在 HTTP 发现不可用时接受显式端口的环回 WebSocket（#2346） | 同意与目标／源检查仍在。不启动浏览器，也不启用运行时插桩 |
| AArch64 core 笔记 | 受支持的 Linux ELF64 小端 core 笔记中，每线程 34 个 ABI 寄存器值（#2505） | 记录事实，不是当前进程或库身份的证明 |
Ghidra、IDA、Hopper、JEB、Frida、Wireshark、sigrok、WABT 仍是自备。setup 不会安装它们。见 /zh/faq/setup-vs-providers/。
合规
- 仅授权目标。 自有代码、你的设备或模拟器、许可允许检查的夹具、清洁室练习。/zh/compliance/ · /zh/faq/legal-boundary/。
- 官方安装来源。 从 npm 钉
rea-agents（npx -y [email protected]）。Wireshark、sigrok、WABT、Node、Ghidra、IDA 从各自厂商安装。不要用重打包、破解或「修补版」引擎。 - 离线通道读取你已经持有的文件。它们不是去捕获、挂钩或修改你不运营的系统的步骤。
- Frida 插桩执行调用方提供的脚本，并且有破坏性。不要指向你无权插桩的进程。
- ADB 的
replaced: null是不确定，不是重装你不拥有的包的绿灯。设备通道：/zh/docs/android-adb/。 - 主 CTA 留在 rea.run。GitHub 发行说明是版本钉的脚注。
6.5.0 运维问答
| 问题 | 短答 | 去哪看 |
|---|---|---|
| 精确 JS 选择会把 import 拉进来吗？ | 不会。未选文件保持显式未知 | 本页 §1；#1944 |
| 哪条 Node 能做 SQLite 快照？ | 仅 24.x ≥24.15 或 26+ | 发行说明；/zh/docs/breaking/ |
| WABT 对比必须安装 WABT 吗？ | 若两份 Evidence 都是完整 core-module 检查，则不必。这仍不证明运行时兼容 | #2464 |
| Electron fuse 位能证明 Inspector 已关闭吗？ | 不能。缺失／未知连线保持显式；其他启用路径不在范围 | #2399 |
| setup 能登记哪些新客户端？ | Qoder、Trae、ZCode、DeepSeek Harness、Kimi Code、Factory Droid、WorkBuddy | /zh/docs/clients/ |
| live Trae 或 DeepSeek API 核验了吗？ | 没有——发行说明写明未核验 | /zh/docs/clients/ |
| 字段级破坏在哪？ | 6.0 至 6.5.0 运行手册 | /zh/docs/breaking/ |
| tools/list 变慢了吗？ | 本页没有 6.5.0 的测量。#1998 停在 6.4.0 | /zh/blog/rea-linux-startup-benchmarks/ |
建议的钉版本策略
| 环境 | 建议 |
|---|---|
| 教学实验室／CI 冒烟 | 显式钉 6.5.0（npx -y [email protected]） |
| 日常主力仍在 6.4.0 | 先读 /zh/docs/breaking/；附上两个钉版本的 doctor --json |
| SQLite 快照任务 | 同时钉 Node 24.x ≥24.15 或 26+；不要排到 Node 22 |
| 跟踪 main | 记录你实际跑的 commit SHA。6.5.0 说明没有公布标签之后的基准 SHA |
通知团队升级时附上四件： 发行 URL、doctor --json、Node 版本（因为 SQLite 门槛），以及是否登记了新的客户端 id。这套材料能减少「我这边智能体可以」的扯皮。
发行说明 vs 运维指南
GitHub 发行正文很长（893 次提交、529 个已合并 PR，以及一大段 Fixes）。运维通常只需六个决定：(1) 钉 6.5.0 还是留在 6.4.0，(2) 是否收窄 JS 选择，(3) 是否分页已保留 Evidence，(4) 启用哪条离线通道、钉哪个官方工具版本，(5) 是否按 null／调用图／MCP 破坏更新阅读方，(6) 是否登记新客户端。本页就是这些决定。每条合并 PR 留在发行说明里。版本索引：/zh/changelog/。
来源
- rea-agents 6.5.0 发行——正文日期 2026-10-13，发布于 2026-10-14T12:32:45Z；893 次提交、529 个已合并 PR
- 上一篇运维长文：/zh/blog/rea-agents-6-4-0/
- CTA：/zh/docs/breaking/ · /zh/docs/clients/ · /zh/changelog/ · /zh/docs/android-adb/ · /zh/faq/token-efficient-rea/ · /zh/faq/mcp-schema-size/ · /zh/faq/setup-vs-providers/ · /zh/compliance/
- 本页英文版：/blog/rea-agents-6-5-0/