输入：支持真实 PDF/DOCX 赛题包的安全提取

[ZZDR1023]

背景

当前 importer 只把 .md/.txt 作为题面，并仅盘点表格和图片文件；真实数学建模赛题常以 PDF/DOCX 提供题面，数据可能是 XLSX，图片也需要尺寸/格式等受限元数据。缺少安全、可审计的提取层会阻断真实题包进入现有 Orchestrator。

目标

建立不联网、有限额、可复现的赛题包盘点与题面提取能力，让 PDF/DOCX/TXT/Markdown 题面和 CSV/XLSX/JSON/Parquet/图片资产都能形成稳定 inventory，并拒绝危险或超限输入。

范围

• 仅修改 src/input/**、输入专用 Schema（如确有必要）、tests/input-*.test.ts / tests/fixtures/input-*，以及解析依赖所需的 package.json/lock。
• 支持题面候选：problem.md、problem.txt、problem.pdf、problem.docx，有明确且确定的优先级；同优先级歧义必须结构化失败。
• PDF：本地、无网络提取文本；记录页数、提取字符数、SHA-256；加页数/字节/输出字符上限；加密、损坏、空文本或工具缺失必须显式失败。
• DOCX：只读取 OOXML 正文，不执行宏、不跟随外部关系、不展开任意嵌入对象；加压缩包条目数、解压字节和输出字符上限；拒绝 zip-slip、加密/损坏包。
• XLSX/图片/Parquet 等数据资产继续保持原始字节不可变，只做有界元数据盘点；不得静默抽样或改写原文件。
• symlink、路径穿越、隐藏目录和超限文件继续拒绝或忽略，并有测试。
• ImportedPackage 对现有 Orchestrator 保持兼容；提取文本只用于 parse context，原始题面仍进入 frozen inputs。

TDD / 验收

先写 Red，覆盖：PDF/DOCX 成功、PDF 空文本、DOCX 外部关系/zip-slip、超限、题面歧义、原始 SHA 不变。实现后：

npm run check
npm run build
npm run smoke

并用本地生成的最小 PDF/DOCX fixture 做黑盒导入；不得依赖网络或用户机器凭据。

非目标

• OCR、图片语义识别、任意压缩包递归解包；
• ResearchGateway/OpenCLI；
• Orchestrator、REST API、Benchmark harness 或报告逻辑修改。

[ZZDR1023]

开始实施。

• Orca Run：run_48945588edab
• 计划 worktree：issue-4-safe-package-input（从默认 main 独立创建）
• 唯一写入者：Pi worker
• 文件边界：src/input/**、输入专用测试/fixtures、必要输入 Schema，以及解析依赖对应的 package.json/package-lock.json；禁止修改 Orchestrator、server、benchmark、report
• 实现计划：有界题面候选选择 → PDF/DOCX 安全提取 → 原始资产 inventory/metadata → structured failure
• Red 测试：PDF/DOCX 成功、空 PDF、损坏/加密、DOCX 外部关系/zip-slip、压缩炸弹/字符上限、题面歧义、symlink/traversal、原始 SHA 不变
• PR 目标：main，正文仅 Refs #4
• CI 验收：npm run check、npm run build、npm run smoke，本地生成最小 PDF/DOCX 黑盒导入
• 人工验收：用公开/自建题面 PDF 与 DOCX 分别导入，确认题面文本、页数/字符数与原始哈希正确
• 非目标：OCR、图片语义、递归压缩包、网络研究

[ZZDR1023]

Orca 派发已建立：Task task_d0c7a3800557，Dispatch ctx_963cc6f82312，worktree /home/zzdr1023/orca/workspaces/modeling-agent/issue-4-safe-package-input。从 origin/main 独立创建，当前正在 Red 阶段；worker 完成后将推送独立分支并创建目标为 main 的 PR。

[ZZDR1023]

CI/主控复核：退回回归修复。

已核对 PR #8、最新 commit 93bbb2e6dbbb72d7032909480f1871cb24706b51 与 Dispatch ctx_963cc6f82312 一致；PR 只改允许的 input/package/test 文件，目标 main，CI verify 通过。主控从远端提交导出独立副本后复跑：8 个 Vitest 文件 / 26 tests、7 个 Python tests、npm run build、npm run smoke、git diff --check 全部通过；npm audit 为 0 漏洞。

但自建恶意/边界 fixture 确认以下缺口：

1. PDF 最终输出字符上限可绕过：两页分别为 A、B，maxPdfCharacters=3 时 import 成功，最终 problemText.length=4（页间 \n\n 未计入限制）。上限必须约束实际最终返回文本，包括 text-item 间空格、页间分隔符和 normalization 后的字符。
2. 加密 DOCX 分类错误：带 OLE/CFB 加密 Office 容器标识的 problem.docx 返回 docx_corrupt，而契约已有 docx_encrypted。应在 ZIP 解析前有界检测 CFB/EncryptedPackage 形态并结构化拒绝；不得尝试解密。
3. 外部关系规范化绕过：TargetMode=" External " 的 relationship 被接受并成功提取正文。所有 relationship 的 TargetMode 应 trim + case-normalize；任何 external 必须拒绝，未知非空模式也应保守失败。
4. 宏关系/部件可改名绕过：word/_rels/document.xml.rels 声明 VBA project relationship，目标 hidden-macro.bin，同时 Content Types 声明 VBA content type；主文档 content type 保持普通 DOCX 时 import 成功。必须拒绝任何 macro/VBA content type、relationship type 或对应部件，不得只匹配精确 word/vbaProject.bin。
5. package entry 限额只统计支持后缀：maxPackageEntries=2 下，problem.md 加 20 个非支持的 .bin 文件仍成功。安全遍历上限必须统计所有非隐藏 filesystem entries（文件和目录），再决定是否 inventory；否则大量忽略文件/深目录可绕过资源边界。
6. OOXML 语义歧义：除重复 ZIP 名外，还应拒绝重复/冲突的 main document ContentType Override、多个 officeDocument relationship、重复 relationship id；不能依赖 XML 出现顺序“最后一个覆盖”。

必须补的 Red：上述每一项，以及修复后正常 PDF/DOCX、现有 zip-slip/CRC/entry/uncompressed limits、XLSX/图片 metadata 和原始 SHA 测试继续全绿。错误只保留稳定 code 和有界去敏原因；不得在 warning/message 中意外固化私有文件内容。

旧 Dispatch 已 completed/capability revoked；将创建新的 regression Task/Dispatch 更新同一 PR #8。主控不直接修改该分支。

[ZZDR1023]

回归派发已建立：Task task_e5f86f296dd4，Dispatch ctx_9b82a24aeb9b，复用 PR #8 的原 worktree。旧 Dispatch ctx_963cc6f82312 已 completed/capability revoked；当前只有新的 Pi worker 拥有写入权。先补 PDF 最终字符上限、CFB encrypted DOCX、relationship 规范化/VBA、总 entry/depth 与 OOXML 唯一性的 Red tests，再更新同一 PR #8。

[ZZDR1023]

Orca runtime recovery 记录：回归 Dispatch ctx_9b82a24aeb9b 在长等待期间因 “assigned worker terminal is no longer live after orchestration recovery” 被 runtime 标记 failed，completed_at 2026-08-13 07:11:57，capability 已撤销。恢复后的无有效 Dispatch Pi 终端已由主控通过 Orca 停止，worktree 中未提交修改完整保留且 git diff --check 通过。不会把旧 heartbeat/终端输出当作完成，也不会由主控代提交；将创建新的 recovery Task/Dispatch 在原 PR #8 worktree 继续。

[ZZDR1023]

新的 runtime recovery 派发已建立：Task task_41a5eb436aa9，Dispatch ctx_15597a962cef，复用 PR #8 worktree 并接管保留的 dirty diff。旧无效终端已全部停止；当前只有该 Pi worker 拥有写入权。它将审查现有候选修改、完成测试/提交/push、更新同一 PR #8 并发送新的 worker_done。

[ZZDR1023]

CI/主控复核：代码与自动化验证通过，待人验收。

• authoritative completion：Terra recovery Task task_6209e6bb38a4 / Dispatch ctx_17dde843c75e；worker_done 与 PR #8 head 39cf5fc3155a853ac292f0389971572bab3b517f 一致，旧 capability 已撤销。
• 边界：PR 目标为 main，仅修改允许的 input、测试和解析依赖文件；git diff --check 和文件范围检查均通过。
• CI：GitHub verify 31692543694 成功。
• 主控独立复跑：在该 commit 的干净 archive、按 lockfile 安装依赖后，npm run check 通过（8 Vitest files / 31 tests，7 Python tests）；npm run build、npm run smoke（9/9 fake tasks）、npm audit --audit-level=high 均通过。
• 主控真实文件黑盒：使用 LibreOffice 生成的 DOCX（10 OOXML entries）与 2 页 PDF 分别导入，正文、format、extractedCharacters 和原始 SHA-256 一致，源字节未被修改。
• 主控 hostile fixtures：CFB/OLE DOCX -> docx_encrypted；percent-encoded external relationship -> docx_external_relationship；改名 VBA relationship -> docx_macro_enabled；case-ambiguous OOXML part -> docx_corrupt；unsupported entry flood -> package_entry_limit；最终 PDF text limit -> pdf_character_limit。序列化错误未泄露 fixture 私有文本、URL 或 token。

待验收入口：PR #8 的 39cf5fc3155a853ac292f0389971572bab3b517f，实际 API 为 importPackage(path, { limits })。

人工验收步骤：

1. 在隔离目录 checkout PR head，执行 npm ci、npm run build。
2. 准备一个自建或公开可使用的纯文本 PDF 与一个非宏、未加密 DOCX，各自放在独立目录并命名为 problem.pdf / problem.docx。通过 src/input/package-importer.ts 的 importPackage(<目录>) 分别导入。
3. 核对返回的 problemText、problemMetadata.format、PDF pages/DOCX zipEntries、extractedCharacters 和 SHA-256 与原文件一致；确认原文件哈希在导入前后不变。
4. 用测试副本验证加密 PDF/DOCX、CFB/OLE 容器、.docm、外部/escaping relationship、VBA/ActiveX indicator、ZIP symlink、重复 OOXML part、超 entry/depth 和超字符限制均返回结构化失败，而不是 partial success。
5. 检查不会调用网络、OCR、语义图片分析或递归任意压缩包；可选 asset metadata 无法安全读取时应以 warning 表达，而不是伪装成成功。

成功判定：正常 PDF/DOCX 被离线、确定性导入并保留原始 provenance；上述不安全输入被拒绝且错误文本不泄露内容。失败回报：在本 Issue 贴可公开的最小复现、返回 code、限制值与源文件 SHA；不要贴私有题面、宏 payload、reference、cookie 或绝对宿主路径。清理：删除验收用目录和临时导出文件。

残余风险：为保持 parser 边界保守，非 canonical OOXML names/relationships 会被拒绝；这属于明确的 Alpha 输入兼容性限制。

[ZZDR1023]

补充跨 PR 集成演练：#6/#7/#8 的六种合并顺序均无 Git conflict（唯一重叠为 #6/#8 的 package.json，自动合并正确）。在未推送的隔离合并 checkout 中，三者组合已通过 npm ci、127 个 Vitest tests、7 个 Python tests、build、9/9 smoke、npm audit --audit-level=high，并独立解压组合生成的 project.zip 后 python3 reproduce.py 成功：9 verified tasks、40 verified artifacts、80 package files、有效 XeLaTeX PDF、warning=null。组合结果保持待人验收，未合并。