0fa1cda1b7
产物沙箱 inject.ts 外科改(两条加载路径主体不碰): - 删 L69-71 三行 gamedef 专属注释化石(声明式 gameDefinition behaviors/rules + gd-runtime new Function 编译执行的理由) - CSP script-src 由 'unsafe-inline' 'unsafe-eval' 收紧为 'unsafe-inline': 两条活路径(A-model esbuild iife bundle / SDK Runtime 内联)皆静态打包、 不含 eval/new Function,'unsafe-eval' 纯属已删 gamedef gd-runtime 遗留需求, 撤之缩小 XSS 攻击面、不影响活路径 验证:cd game-studio && npm run build = 绿(vue-tsc 类型检查 + vite build 全过,✓ built;CSP/注释改动不引入类型错,无 spec 预警的 vue-i18n 红)。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>