Submit oncue-screening-room 0.5.4 #78

本正文按 Submit an app 表单更新到 0.5.4，替换最初的 0.4.8 正文。原正文中的 ad293eeb… 是 v0.4.8 附注标签对象的 SHA，不是提交 SHA（v0.4.8 对应提交为 b4b6c8ecbd22375d2e4009af9d6340a421460483）。当前提交以本正文为准，历次 Release 见下方评论。

Release status

GitHub release ready for review

App id

oncue-screening-room

Version

0.5.4

Repository URL

https://github.com/codezzzsleep/OnCue

Requested capabilities and app behavior

OnCue（群聊试映室）是 Rinx 小程序。它读取用户授权的群聊的最近消息，请宿主助手写出三种说法；程序逐条核对每种说法的出处、数字和承诺句式，不合格的只拦那一条并写明原因。用户两步确认后，应用才把草稿原样发到该群，发出后读回核验。之后用户可以点「看反响」：新回复按原话列出，允许有效时再请助手对照试映时的预想给出下一句。应用不声明网络主机，不持有密钥。

发给助手的内容需要用户在数据范围卡里单独允许：台词、目标、勾选消息的正文（不含发送者名字）；修订另含当前草稿和修改要求；反响对照另含已发出的那句、试映预想和新回复正文。改变勾选范围、重新载入、撤回或关闭应用后须重新允许；撤回、授权到期或账号切换后，看反响只列原话、不调用助手。

Tag

v0.5.4

Full commit SHA

6dab6a1433c6ab703db53efaec49784530afdce4

Bundle path

bundle/

GitHub workflow run URL

https://github.com/codezzzsleep/OnCue/actions/runs/38358415982

Release and pack URL

https://github.com/codezzzsleep/OnCue/releases/tag/v0.5.4

Release pack SHA256

f52b32255a1edfbae81d6369047e19716896fe77df47723f5cc6a80c5244a7e9（与 release-receipt.json 的 pack_sha256 一致）

Bundle BLAKE3 digest

4ad4914314ed91b1b68810e6ae01d9eaa20e1c11bd093cdc7d8dcd4d88fa3a66

Privacy policy URL

https://github.com/codezzzsleep/OnCue/blob/main/oncue/PRIVACY.md

Support contact

https://github.com/codezzzsleep/OnCue/issues

Platforms tested

• Linux x86_64，官方 Rinx 1.3.0 发布包（rinx_1.3.0_x86_64.tar.gz，零本地补丁），模型 MiniMax-M2.7-highspeed，2026-10-13。在真实 Matrix 测试房间跑通完整闭环：导入 Review → 打开即读群 → 允许并试映 → 两条说法被核对拦下、改用通过的推荐句 → 两步确认发送 → 读回核实 → 第二账号回复后看反响 → 确认窗口内来新消息时先标出、读后再确认才发送。证据：evidence/native-130/（对应 bundle/main.splash SHA-256 2de9daef…，与 0.5.4 相同）。
• 授权状态：在官方 Rinx 源码 c515e5fc（零本地补丁）上实拍未选房间、未允许、撤回、到期四种状态，证据 evidence/auth-053/。
• card-host（App Hub 386359153ed6377b5f047bd9ed2767a6a2ac2bc7）：界面场景 75 个、85/85 次运行通过（412×892、954×448、1000×800）；逻辑测试 12 套 437 项断言通过。宿主回复由测试注入，不是真机运行。
• 平台声明只写 linux。macOS、Windows、Android、iOS 没有测过。

App Hub revision the gate ran on

3863591

Gate and publisher verification output

$ git -C OctoSense-App-Hub rev-parse HEAD
386359153ed6377b5f047bd9ed2767a6a2ac2bc7
(exit 0)

$ sha256sum app.bundle.pack.json
f52b32255a1edfbae81d6369047e19716896fe77df47723f5cc6a80c5244a7e9  app.bundle.pack.json
(exit 0)

$ grep pack_sha256 release-receipt.json
  "pack_sha256": "f52b32255a1edfbae81d6369047e19716896fe77df47723f5cc6a80c5244a7e9",
(exit 0)

$ hub publisher-unpack app.bundle.pack.json --out review-bundle
{"app_id":"oncue-screening-room","digest":"4ad4914314ed91b1b68810e6ae01d9eaa20e1c11bd093cdc7d8dcd4d88fa3a66","findings":[],"passed":true,"resources":[],"schema":1,"stage":"structural","version":"0.5.4"}
(exit 0)

$ hub publisher-verify review-bundle --catalog OctoSense-App-Hub/catalog-v2.json
{"app_id":"oncue-screening-room","digest":"4ad4914314ed91b1b68810e6ae01d9eaa20e1c11bd093cdc7d8dcd4d88fa3a66","findings":[],"passed":true,"resources":[],"schema":1,"stage":"structural","version":"0.5.4"}
(exit 0)

$ hub check bundle --allow-unsigned   # 开发准入检查：v0.5.4 标签的 bundle/
oncue-screening-room 0.5.4 — PASSED
  [warning] publisher-signature: unsigned: accountability rests on the hub alone
  declarations: capabilities {"matrix.account_info", "matrix.read_messages", "matrix.room_info", "matrix.send_message", "octos.session.open", "octos.turn.interrupt", "octos.turn.start", "storage"}, hosts {}, storage 4194304 bytes, agent none
(exit 0)

Scan answers

依据文件：bundle/main.splash、bundle/manifest.json、bundle/listing.json（提交 6dab6a1）。更完整的自查见 build/REVIEW-ANSWERS.md。

1. Does the app do what its name, subtitle and description claim?
是。名称「OnCue · 群聊试映室」（manifest.json 的 name），副标题「先试着说，再决定要不要发」（listing.json，界面 main.splash:3212）。描述中的功能对应源码：打开即读群 cue_import_room_messages；三种说法和推荐 cue_prompt、cue_start_turn、cue_accept_reply；逐条核对 cue_validate_route、cue_numeric_tokens、cue_commitments_grounded，单条不合格只拦该条 cue_routes_accepted；修订 cue_refine；两步确认发送与读回 cue_send_prepare → cue_send_confirm_now → cue_send_dispatch → cue_send_readback，结果不明时只有 cue_send_reread；看反响 cue_react、cue_reaction_turn。说明一点：描述中「核对房间、账号和完整草稿」的账号一项由应用自动核验（matrix.account_info，账号变化即拒绝发送），确认视图显示的是群名和完整正文。

2. Do the listing's platforms and category fit an app of this kind?
是。只声明 linux，在 Linux x86_64 的官方 Rinx 1.3.0 发布包上实测。分类 productivity，年龄分级 all。

3. Do the granted capabilities match what the app visibly does?
是。八项能力的用途见上方「Requested capabilities」表，每项都有对应的界面操作；network.hosts 为空，应用不直接联网，没有界面用不到的授权。

4. Is any part of the interface deceptive?
没有。不收集密码、令牌或验证码，没有支付或订阅界面，不模仿系统提示或其他品牌。导入、Review、Run 和授权由 Rinx 宿主界面完成。发送前的确认视图显示群名、完整正文和码点数，「确认发送」60 秒内有效，草稿或群消息变化会使确认失效。

5. Does any text in the source or its data read as an instruction to an assistant?
有，属于正常的助手任务。cue_prompt（G2）、cue_refine_prompt（R1）、cue_reaction_build_prompt（F1）规定输出结构、引用编号和假设边界，经 octos.turn.start 发送。群聊消息作为数据放进请求，这不是完整的提示注入防护；助手的输出都经程序核对，没通过的说法只显示原因，不能选用。应用不声明自己的 agent（agent: null）。

6. Is any wording abusive, or aimed at a private individual?
没有。内置样例及假设回应为虚构；不预测真人心理，不冒充群友。发送者名字不进入模型请求，但消息正文仍可能含可识别信息，使用者须有权把所选消息用于该模型（oncue/PRIVACY.md）。

7. Route: pass, human-review, or reject.
human-review。应用在用户确认后会向 Matrix 群发送消息，并把用户勾选的群消息发给宿主助手。建议在 Rinx 上人工核对两步确认、读回核验、数据范围卡和授权失效后的行为。

Screenshots

官方 Rinx 1.3.0 发布包上的真机截图（1000×800 小程序窗口，0.5.3 界面；0.5.4 应用代码与 0.5.3 相同）。测试房间里的群聊是团队用两个测试账号写的虚构出行讨论，第二账号名称已遮盖。

读群	核对拦截

确认发送	看反响

What is not verified

• 商店安装与更新路径（应用尚未准入）。
• macOS、Windows、Android、iOS。
• OctoSense 桌面壳内的完整业务闭环（真机闭环在独立运行的 Rinx 1.3.0 上完成）。
• 真机只用过一个模型（MiniMax-M2.7-highspeed）；生成内容的语义质量和误拒率没有系统评估。数字和承诺检查是字面规则，引用存在不代表事实正确。
• 队外真实用户试用。
• 授权到期在真机上表现为宿主结束会话；应用内「授权已过期」提示只由注入测试覆盖。
• 恢复出的发送记录按账号、正文和时间核对，是观察性的：另一客户端发出的同文消息或时钟偏差不能完全排除。
• 并发写入与断电一致性。

Confirmations

• My bundle and this issue contain no passwords, private keys, API keys or tokens.
• I will not move, delete or recreate a pushed release tag.
• I have identified pending checks and understand that a release is not Hub approval.