feat: v0.3.8–v0.3.14 工作区汇总（依赖升级、整理来源、手动入库、原地入库等）

生产 v0.3.8～v0.3.13 均由 8013196 加工作区修改构建部署，此前未提交；本提交补齐源码，
并含未部署的 v0.3.14 原地入库。中间各版本源码状态未保存，无法逐版拆分，详见
docs/plan/17-full-upgrade.md 与 docs/plan/18-organize-release.md。

- v0.3.8 全面升级：Deno workspace 依赖、Router 8 / Vite 8、camofox 1.18.0 / Node 24、
  PostgreSQL 18.6、备份客户端 18.6、演示 qB 5.2.4
- v0.3.9 媒体整理：分类规则、整理来源与目录快照（0059）、文件管理整理入口
- v0.3.10 手动下载与入库：独立手动下载、详情页资源下载、TMDB / Local 元数据兜底
  （metadata.resolve_organize）、正常多版本 / 一次性洗版（0060）
- v0.3.11 搜索详情与桌面黑边修复
- v0.3.12 列表分页、搜索历史、首页概况
- v0.3.13 统一整理弹窗与队列
- v0.3.14 原地入库（0061，未部署）

同批审计修复：
- 刮削入队：确认原记录存在后才删重放产生的新记录；写回 run 关联失败时保持 queued，
  由处理器补关联（对齐 MP 先登记、只在入队失败时记失败）
- 识别升级链只在结果更确定时采用，不再用 no_match 顶替原有歧义候选
- bluray_dir 资产以原盘目录本身为刮削根（MP 同做法）
- metadata.resolve_organize 登记到入库排障 Skill 与能力地图
- db/src/types.ts 按迁移重新生成；contracts 整理动作枚举顺序与数据库对齐
- 测试：原地入库用例改为直接查记录表；domain 测试模板补 version
- 前端：通知铃铛弹层与用户菜单统一样式；站点卡片共用卡头、底栏贴底、分页间距

依赖升级证据只提交摘要文件，registry-snapshot.json 移至 .local/（SHA-256 记于文档）。

Co-Authored-By: Claude Opus 5.5 <[email protected]>

docker/camofox/README.md

@@ -0,0 +1,34 @@
+# 浏览器独立构建
+
+服务源码固定为 camofox-browser v1.18.0 的提交 `f94c81babf4bfd44cdd4bd46e1f2e1fb1d91c753`。标签对象 `60481dbd…` 不是源码提交。`build.sh` 核对 checkout 的提交与工作区后构建；Dockerfile 使用该源码命名上下文，并使用本目录的生产 manifest 和 lock。
+
+```sh
+APT_MIRROR=mirrors.ustc.edu.cn sh docker/camofox/build.sh
+docker build --network=host --build-arg APT_MIRROR=mirrors.ustc.edu.cn \
+  -t umt-browser-desktop:1.18.0 docker/browser-desktop
+```
+
+桌面底座含 Docker HTTPS apt 源；需要时可另传 `--build-arg APT_HTTPS_PROXY=http://127.0.0.1:7890` 使用现有代理。该参数只作用于构建中的 apt HTTPS 请求，默认直连，不写入容器 apt 配置；Debian HTTP 镜像仍直连。
+
+固定组合：Node 24.21.0（基础镜像固定摘要）、Camoufox 152.0.4-beta.30（amd64/arm64 官方资产 SHA-256）、camoufox-js 0.12.0、playwright-core 1.60.0、better-sqlite3 13.0.3、MCP SDK 1.31.0。桌面底座继续使用已核验的 Selkies 摘要；Cookie 插件、身份、代理、运行用户、umask 和 exec 信号转发保留。
+
+下载较慢时，可先把对应架构的官方资产存成某目录中的 `camoufox.zip`，设置 `CAMOUFOX_ASSET_DIR=/path/to/asset` 再运行 `build.sh`。可选命名上下文直接提供 ZIP，但仍通过完全相同的 SHA-256 校验、解压与二进制存在检查；默认仍在构建时从官方 URL 下载。
+
+Playwright 1.60.0 是满足 camoufox-js peer 的最新稳定版。官方 [修复 #312](https://github.com/apify/camoufox-js/commit/3fe80d8448) 说明：1.61 起 `Browser.setDefaultViewport` 的 `viewport.isMobile` 不被 Camoufox 的 Juggler scheme 接受，导致 newContext/newPage 失败。因此没有 override peer，也没有升级到 1.63 后隐藏冲突。
+
+本地 manifest 从上游生产入口派生，去掉开发测试、OpenClaw 可选 peer 和发布脚本；保留服务、postinstall 和生产可选 MCP。安全 overrides 固定 `adm-zip` 0.6.1、`brace-expansion` 5.0.12、`fast-uri` 3.1.8、`hono` 4.13.12、`ip-address` 10.7.2；fast-uri 保留 AJV 所需的 3.x API。其它生产依赖由独立 lock 固定。这里是显式依赖补丁，没有在构建时运行 `npm audit fix`。
+
+MCP 和内置插件从服务根目录的同一依赖树解析模块。镜像中的 MCP manifest 同步为 SDK 1.31.0，不复制上游未安装的独立旧 lock。`audit-2026-10-01.json` 记录此生产 lock 的 npm 审计：174 个依赖、0 条漏洞；该结果不代表操作系统包审计。两个镜像均在安装依赖前更新容器系统包，宿主机软件不变。
+
+需要更新依赖时，先编辑明确版本，再用固定 Node 镜像生成 lock 并审计，审查 lock 差异后构建：
+
+```sh
+docker run --rm --network=host -v "$PWD/docker/camofox:/work" -w /work \
+  node:24.21.0-trixie-slim@sha256:8ec5d7557396cfe32d21c3f9c13072355ceab22b584578ca4bb28af31120cffe \
+  npm install --package-lock-only --ignore-scripts --omit=dev
+docker run --rm --network=host -v "$PWD/docker/camofox:/work:ro" -w /work \
+  node:24.21.0-trixie-slim@sha256:8ec5d7557396cfe32d21c3f9c13072355ceab22b584578ca4bb28af31120cffe \
+  npm audit --package-lock-only --omit=dev --json
+```
+
+隔离验收使用独立容器、端口和 profile 卷，不挂生产 `umt-camofox`。`verify-upgrade.mjs` 接受测试地址和访问 key，支持重启前后两次运行以核验 Cookie 落盘和固定身份。此验收覆盖本地行为；真实 PT 挑战、远程桌面客户端兼容和 ARM64 执行仍需各自验收。