OpenCode Swarm

证据展示了较强的最小权限设计：只读审查角色、写入范围约束、路径包含与符号链接防护、默认关闭的外部技能整理和优化器，以及高风险操作的监督机制，足以支持 least_privilege 满分。确认和外部影响处理较好，危险重置要求 --confirm，Full-Auto 对含糊或高风险动作设置监督，但安装器会修改全局配置、禁用原生代理，自动继续模式也可降低阶段确认，因此 user_confirmation 与 external_effects 各扣 1 分。README 说明了 .swarm 状态、遥测、模型供应商、PR 监控和网络操作，但没有完整的数据字段、保留期限、传输目的地或隐私说明，data_flow_transparency 扣 1 分。存在密钥扫描、依赖审计和外部技能隔离/哈希校验，但未给出凭据存储、日志脱敏或事件响应政策，sensitive_data_handling 扣 1 分。依赖审计被声明且 GitHub Action 固定到提交，但依赖多用范围版本，所给材料没有锁文件、漏洞处置政策或更新机器人证据，dependency_security 扣 1 分。配置写入测试证明保留备份，技能优化器也声明原子激活和回滚，因此 rollback 满分。仓库和 npm 元数据可追溯到项目，MIT 文件存在，但许可证仅写 Copyright (c) 2025、没有明确权利人，且发布者身份未知，source_attribution 扣 1 分。

README、package 元数据和局部 CLI 测试总体描述同一产品，但安装行为存在直接矛盾：前文称缺失时创建项目覆盖配置，Quick Start 又称不会创建项目配置，因此 self_consistency 仅 1 分。Bun/Node 最低版本、OpenCode 插件依赖、可选 peer dependency、模型后备和缓存升级路径都有说明，但未提供锁文件或所有外部服务离线/降级行为，dependency_availability 扣 1 分。测试覆盖无值参数、畸形 JSON、缺失环境变量和挂起超时的清晰错误，不过只证明 swarm-model 辅助脚本的一小部分，未展示主编排管线的系统性错误消息，failure_messages 扣 1 分。

受众、常规开发、快速迭代、并行执行、无人值守、PR 反馈和多语言场景均有明确描述，audience_and_scenarios 满分。核心、可选、条件代理以及 strict/balanced/fast、Turbo、Full-Auto 的边界较清楚，但部分广泛承诺（如“任何 OpenCode 支持的供应商”）缺少逐项约束，capability_boundaries 扣 1 分。斜杠命令、issue 标签、配置开关、条件代理和活动架构师要求使触发条件精确，trigger_precision 满分。文档覆盖 Bun 与 Node、Linux/macOS/Windows 缓存布局、13 种语言、20 种语法和供应商格式，environment_fit 满分。

README 具有清晰导航、架构、模式、命令、代理、升级和配置入口，information_architecture 满分。安装、运行时要求、npm 替代方案、首运行副作用和升级缓存处理具体，install_notes 满分。命令注册表被声明为事实来源，提供规范名称和弃用别名，naming_stability 满分。示例、演示脚本和配置片段丰富，但所给材料未包含完整 FAQ，且演示结果属于声明而非静态证实，examples_and_faq 扣 1 分。缓存问题、模式安全差异、命令冲突和自动暂停有所披露，但没有集中且完整的已知限制清单，known_limitations 扣 1 分。LICENSE 与 package.json 均明确 MIT，license 满分。语义化版本、升级说明和弃用兼容可见，但没有提供变更日志或版本到变更的完整映射，versioning_changelog 扣 1 分。仓库地址清楚，但许可证未标明具体权利人，材料也没有维护者、支持渠道、安全联系人或维护承诺，maintenance_responsibility 仅 1 分。

状态、计划、证据、诊断、恢复会话和结构化反馈面向实际使用，且配置写入测试显示嵌套字段与备份可保留；但未执行主流程，也没有静态输出样例能够验证所有门禁产物，因此 output_usability 扣 1 分。角色分离、独立审查、范围约束、可恢复状态和多供应商路由相对单代理工作流具有可信增量价值，但对竞品的对比表缺少随附证据，marginal_value 扣 1 分。免费模型支持、可配置代理、串行回退和明确的成本 burn-in 提供成本意识，但没有延迟、令牌、资源占用或质量收益数据，cost_benefit 扣 1 分。

文档将部分能力指向具体命令、配置键、源文件、问题编号和测试标识，claim_traceability 较好；然而“6000+ 测试”“每项任务均评审和测试”及竞品比较等核心宣传未由所给文件逐项支撑，扣 1 分。README 的版本、引擎、许可证、脚本能力与 package.json 和局部测试有一定交叉印证，但主编排、安全门禁和大量代理能力缺少相应实现文件或测试材料，cross_source_corroboration 扣 1 分。材料会区分默认、可选、条件能力，并指出实时代理列表和命令注册表才是事实来源，但演示故事板和比较表仍将预期行为表述为既成事实，fact_inference_separation 扣 1 分。