Advance N-023 through N-026 audited parity

docs/status/N-026.md

@@ -1,18 +1,20 @@
 # N-026 全域发布门
 
-状态：`BLOCKED`（machine-readable parity manifest、依赖/状态检查、证据聚合和确定性
-序列化已落地；Chromium 完整套件、离线包、OPFS、性能/故障、SBOM 与发布审计证据未齐）
+状态：`BLOCKED`（machine-readable parity manifest、依赖/状态检查、命令/hash 证据绑定、
+Chromium 完整套件、离线包/OPFS、SPDX SBOM 和部分性能/故障证据已落地；10M/大纹理/
+长媒体、simulation cache 性能、OOM/device loss/network interruption 与上游能力仍未齐）
 
 ## 已验证切片
 
-1. N-026-A：版本化 `ReleaseManifestIR` 为每个 family 记录 `LOCAL_EXACT`、
+1. N-026-A：版本化 schema 3 `ReleaseManifestIR` 为每个 family 记录 `LOCAL_EXACT`、
    `LOCAL_BOUNDED`、`SERVER` 或 `BLOCKED`、roadmap 状态、完成/阻断切片、验收命令和
    依赖；缺失 family、非法非阻断状态或依赖环会拒绝。
 2. N-026-B/C：Chromium 主线程/OffscreenCanvas、offline/Worker restart/OPFS recovery、
    1M/10M geometry、4K/8K texture、长媒体、simulation cache、OOM/device loss/网络
    中断/损坏 blend/zip bomb 等证据字段必须逐项为 true 才能放行。
-3. N-026-D/E：license、SBOM、source offer、deterministic package 为发布必需证据；
-   manifest family 排序可确定性序列化，当前缺证据聚合为 `BLOCKED`，没有虚报发布通过。
+3. N-026-D/E：license、SBOM、source offer、deterministic package 为发布必需证据；每个 true
+   字段必须绑定实际成功命令、耗时、输出与构件 SHA-256，manifest family 排序可确定性序列化，
+   当前缺证据聚合为 `BLOCKED`，没有虚报发布通过。
 4. 当前 Chromium smoke 已通过引擎启动/Main 编辑与内容寻址资产恢复，并通过真实 64 KiB
    OPFS quota 下的失败保持旧 revision、Worker 重启恢复门。这只计为 partial evidence，不等于
    完整 suite 或其余 family 的桌面 golden。发布门 schema 2 仅接受 Chromium 浏览器证据。
@@ -20,18 +22,23 @@
    PointCloud/Curves/Hair 共 7 对象已通过 GLB/USDA desktop round-trip。Volume/VDB 仍无 renderer
    与 loss fixture，这些证据也不替代其余 family 的 desktop golden。
 6. 当前发布包已通过本地 third-party notices、Blender/Three license 文件、无远程运行时依赖、
-   非空 SHA-256 manifest、离线二进制/源码包确定性复建和 100k/1M decimate + 5 类损坏 blend
-   拒绝门；这些是 partial evidence，不等于完整 SBOM/source offer、10M/长媒体或 OPFS quota。
+   非空 SHA-256 manifest、SPDX 2.3 lockfile/vendored SBOM、对应源码提供和离线二进制/源码包
+   确定性复建；100k/1M decimate、5 类损坏 blend 和 archive 高压缩比拒绝有实际命令记录。
+7. `docs/status/release-evidence.json` 记录 Chromium 完整 E2E + release suite 以及上述发布命令；
+   `docs/web/sbom.spdx.json` 确定性覆盖 npm lockfile 与 notices 中显式 vendored/native 组件。
 
 ## 仍然阻断
 
-- Chromium 完整套件、跨 family 桌面 golden、离线/OPFS quota、1M/10M/长媒体基准和 fault fuzz
-  尚未有真实证据；本项目当前不配置 Firefox/WebKit，上游 N-015 至 N-025 的阻断能力会传递到发布门。
-- 完整 release package 审计、许可证/source offer/SBOM、10M/长媒体性能和 OPFS quota 发布流程仍未完成；
-  当前离线包确定性检查只覆盖已有二进制/源码归档门。
+- 跨 family 桌面 golden、10M、4K/8K texture、长媒体、simulation cache 性能和 OOM/device loss/
+  network interruption fault 仍无真实证据；本项目当前只配置 Chromium，上游 N-015 至 N-025
+  的阻断能力会传递到发布门。
+- 完整 native dependency/license 审计仍需发行审核；当前 SBOM 覆盖 lockfile 和显式 notices，
+  不声称替代 Blender 全部传递依赖的发布级法律审计。
 
 ## 验收
 
 ```bash
 WEB_TEST_PORT=5326 npm --prefix web run test:e2e -- --grep "N-026 release"
+npm --prefix web run test:release-evidence
+npm --prefix web run release:evidence
 ```