fix(plugin-dev,plugin-hono-server): retire the security dev stubs; refuse to load under NODE_ENV=production (#4093)

[os-zhuang]

#4093 的 A 档第一步。接 #4082（step 1 分类）与 #4086（step 2 门）。

分类和门对其中三个都不够 —— 原因与 #3891 的 analytics shim 一样：标签是准确的，行为却仍然把它所替代的那个判断反了过来。

security.permissions → checkObjectPermission() { return true; }   // allow-all
security.rls         → compileFilter()        { return null; }    // 无行过滤
security.fieldMasker → maskResults(r)         { return r; }       // 不脱敏

ADR-0076 D12 自己写的那条（从 #3891 学到的）是：fallback 可以降级功能，绝不能降级安全语义 —— 而它退役的那个 shim 只是丢了调用者的 RLS 作用域，这三个是直接回答"允许"。packages/spec/src/contracts/security-service.ts:20 从另一头说了同一件事：这三个句柄是 plugin-security 的实现内部、不属于任何契约面，而且收窄访问的回答必须 fail CLOSED —— "a consumer must never treat a thrown error or a deny filter as 'no restriction'"。由另一个包在这些名字下注册假实现，正是它的反面。

触发条件不需要任何特殊配置：plugin-dev 通过与其他插件相同的可选 dynamic import 加载 SecurityPlugin，所以 @objectstack/plugin-security 仅仅是没装，就足以把真实的 RBAC/RLS/脱敏换成 allow-all，背后只有一行 warn。

改了什么

1. 三个槽位不再被 stub 占住。 空槽正是生产环境没装 SecurityPlugin 时的状态，而消费者本来就能处理：强制执行发生在插件自己注册的 hook 里，唯一读取槽位的地方（plugin-hono-server 的 /auth/me/permissions 与 /me/apps）都是防御式解析，且只在呈现层 fail-open —— 数据本身已经在读路径被强制过。

启动日志现在会明说 RBAC / 行级安全 / 字段脱敏没有被强制执行 —— 一个悄悄回答"允许"的假实现从来不会说这句。（该告警只在 security 启用但插件缺失时出现；显式 services: { security: false } 时保持安静。）

2. plugin-dev 在 NODE_ENV=production 下拒绝初始化。 它是一个已发布（非 private）的包，会为每个空闲核心槽位注册假实现（包括为从未发生的事报成功的那些），却自己没有任何环境判据 —— 一份带着 new DevPlugin() 的 objectstack.config.ts 进到生产部署，拿到的就是整套假台面，只有一行启动日志提示。

直接让启动失败而不是安静降级：走到这一行的生产进程，其配置错误是任何运行时行为都无法补救的，而这些假实现恰恰属于"看起来能用"的那类。逃逸阀 OS_ALLOW_DEV_PLUGIN=1（按 Prime Directive #9 的 OS_ALLOW_{X} 形状），用于刻意的场景（模拟生产的 staging、固定该变量的 smoke test），并且在调用点上留下"有人做了这个选择"的痕迹。

3. 顺带： /auth/me/permissions 解析 security.permissions 和 metadata 时改用它旁边三个 lookup 早就在用的 guarded 写法。空槽会让 getService 抛异常，原先落到外层 catch —— 响应体一样（fail-open），但每次 console 导航都记一条「/auth/me/permissions failed」，读起来像故障，而不是走下面那个刻意的 !evaluator 分支。

⚠️ 期间发现的更严重问题：#4113（不在本 PR 修，但请优先看）

准备删 auth dev stub 时发现，dispatcher 的 /auth 域自带一个 mock 登录，而且它 —— 不是 dev stub —— 才是空槽时真正应答 /auth/* 的东西：

// packages/runtime/src/domains/auth.ts
if (authService && typeof authService.handler === 'function') { … }
// 2. Mock fallback for MSW/test environments when no auth service is registered
return mockAuthFallback(normalizedPath, method, body);

POST /api/v1/auth/sign-in/email 用任意邮箱 + 任意密码（密码根本没被读取）→ 200 + 伪造的 user + mock_token_* session + 24 小时有效期。它在 packages/runtime 里（跟着发行版走，不是 dev-only），判据只有"auth 槽位有没有服务"。不是越权（token 没有 session 存储支撑，身份解析仍返回匿名），但它对客户端伪造了认证成功 —— 而且 discovery 那边正确地报着 auth: unavailable，两边直接矛盾。

顺带确认：plugin-dev 的 auth stub 从来没被这个分支调用过 —— 域要求 .handler 方法，stub 实现的是 handleRequest。所以 #4093 A 档里的 auth 一项挂在 #4113 上，本 PR 不动它。

刻意留在 #4093 的部分

• data —— 删之前要先修 http-dispatcher.ts 的 data: svcAvailable(routes.data, 'kernel')（没传 svc，任何占槽者都被报成 available）。
• ui —— 删之前要先把 routes.ui 的判据从 ui 槽位改到真正服务 /ui 的 protocol，否则会误伤一条实际能用的路由。
• auth —— 见上，挂在 dispatcher 的 /auth 域内置 mock 登录：无 auth 服务时任意邮箱+任意密码都返回 200 + 伪造 session token —— 在发行装配里，不是 dev-only #4113。

验证

• plugin-dev 12 / plugin-hono-server 132 / plugin-security 677 / runtime 923 / objectql 1183 全过；pnpm build 71/71；eslint 干净
• 新增测试：三个槽位不被注册 + 必须告警（plugin-security 被 mock 成缺失，正是过去拿到 allow-all 的那种启动）；生产护栏的三种情形（拒绝且注册前就拒绝、错误信息点名逃逸阀且逃逸阀生效、其他 NODE_ENV 一律放行）
• 端到端真实启动：装了 plugin-security 时三个真实服务正常注册且新告警保持安静；security: false 时槽位为空且安静；NODE_ENV=production 下 init 抛错且没有注册任何东西，带逃逸阀则整套照常启动

🤖 Generated with Claude Code

https://claude.ai/code/session_018UNGqBQcdJ2RYHtWgntJ9B

---

Generated by Claude Code

[vercel]

The latest updates on your projects. Learn more about Vercel for GitHub.

1 Skipped Deployment

Project	Deployment	Actions	Updated (UTC)
objectstack	Ignored		Jul 30, 2026 10:33am

[github-actions]

📓 Docs Drift Check

This PR changes 2 package(s): @objectstack/plugin-dev, @objectstack/plugin-hono-server.

6 hand-written doc(s) reference the affected code and may need an implementation-accuracy re-verification:

• content/docs/getting-started/your-first-project.mdx (via @objectstack/plugin-hono-server)
• content/docs/permissions/authentication.mdx (via @objectstack/plugin-hono-server)
• content/docs/plugins/index.mdx (via @objectstack/plugin-hono-server)
• content/docs/plugins/packages.mdx (via @objectstack/plugin-dev, @objectstack/plugin-hono-server)
• content/docs/releases/implementation-status.mdx (via @objectstack/plugin-hono-server)
• content/docs/releases/v16.mdx (via @objectstack/plugin-hono-server)

Advisory only. To re-verify, run the docs-accuracy-audit workflow scoped to these files:
node scripts/docs-audit/affected-docs.mjs origin/main → pass the list as args.docs.