Toolars

Toolars 开源发行版

直接在浏览器中使用 Toolars 在线版处理 PDF、图像、文本， 以及开发者工具。

此目录是 Toolars 公开发布代码的唯一可信来源。它由私有仓库中的 scripts/export-open-source.mjs 组装为可分发目录；此处的内容不会构建或打包到网站中。

持续验证

每次推送以及每天 UTC 时间 03:17， 隐私证明工作流 都会仅使用此目录中的内容重新构建两个包，重新运行它们的测试向量，并 针对线上网站重新采集隐私证明凭据。只有最新凭据的结果为 verified 时，徽章 才会显示绿色。

运行失败并不自动代表发现隐私问题。测试框架会区分两种结果：violation 表示测得的请求越过了 本地处理边界（工作流会在首次尝试时失败，不会重试）；inconclusive 表示运行无法完成——通常是 运行器与网站之间的网络问题——这对网站本身不作任何正面或负面的说明。对于 inconclusive 运行会进行重试；如果重试后仍然如此，作业会失败并显示明确通知。看到红色徽章时， 请先查看运行日志，再判断原因。

发布内容

路径	内容
evidence-harness/	可运行的测试框架，可在无头 Chromium 中操作公开网站并记录每个网络请求，包括专用 Web Worker 发起的 fetch 请求。它是支撑“文件绝不会离开浏览器”这一声明的工具。
packages/cli/	@toolars/cli——本地 stdio CLI 和 MCP 服务（哈希、base64、JWT 解码、UUID/ULID、时间戳、cron、URL 编码/解码），以预构建包形式发布于 dist/ 中。
packages/local-tools/	@toolars/local-tools——更精简的本地 stdio CLI 和 MCP 服务（JSON 格式化、SHA-256），以可运行源码形式发布。

所有内容均采用 MIT 许可证（参见 LICENSE）。THIRD-PARTY.md 说明了确切的 范围并列出了第三方组件。

有意不发布的内容

这是一个开放核心发行版，并非完整产品。未包含：

• 网站应用（路由、SEO 层、目录、编辑内容、13 组本地化内容）；
• 网站提供的工具实现和 Web Workers，以源代码形式——但有一个有意保留的例外：packages/*/vendor/ 包含这两个包导入的网站运行器核心（CLI 用 15 个文件，local-tools 用 2 个文件），因为没有这些文件，这些包就无法在此处重新构建或重新测试。packages/cli 包还内嵌了相同核心的已编译副本，因为它是为未来发布 @toolars/cli npm 包而准备的制品。这两者均受本仓库的 MIT 许可证保护；
• 运行时资源（WASM 引擎、OCR 语言包、字体、PDF.js）；
• 内部工程、产品和审计文档；
• 任何部署配置、凭据或分析配置。

这正是划定边界的目的：该测试框架验证的是已部署的网站，因此独立验证无需网站源代码。有关测试框架能证明和不能证明的内容，请参阅 evidence-harness/README.md。

自行验证本地处理声明

cd evidence-harness
npm install
npx playwright install chromium
npm run verify -- --base-url https://toolars.com

运行会写入 privacy-proof-receipt.json；如果有意外请求离开网站的源站、任何请求携带金丝雀标记，或任何请求上传数据，则会以非零状态码退出。已披露的 shell 请求会单独计数。缺失或变化的发布身份也会导致无法获得已验证结果。

这两个包均以 @toolars 作用域发布在 npm 上： npm install -g @toolars/cli 会安装 toolars + toolars-mcp，而 npm install -g @toolars/local-tools 会安装 toolars-local + toolars-local-mcp。这些可执行文件不会冲突。

运行 CLI 和 MCP 服务

cd packages/cli
node dist/cli.mjs hash --sha256 "hello"
node dist/mcp.mjs   # stdio MCP server

dist/ 已提交，并从私有构建输出复制而来，因此运行它无需安装或构建。如果想查看实际执行的代码，可以检查该包：它未经压缩，且各部分的章节注释会标明其来源文件。

你也可以在此处重新构建，并重新运行私有工作区使用的相同测试向量。每个包都在 vendor/ 下包含其依赖的完整网站核心，因此两者都不需要私有仓库：

cd packages/cli
npm install          # esbuild + vitest, declared as devDependencies
npm run build        # writes dist/ from src/ plus vendor/
npm test             # shared digest vectors and CLI/MCP boundary tests

cd packages/local-tools
npm install          # esbuild + prettier
node build.mjs       # regenerates src/json-core.mjs from vendor/
node --test test/*.test.mjs

vendor/ 保存这些包导入的网站运行器核心副本，由导出器生成，与私有版本逐字节相同。它们有意以源代码形式发布：能够重新构建包并重新运行测试向量的读者，可以自行检查结果，而非盲目信任。以导出布局重新构建会改变 CLI 包和 local-tools 生成的核心中的源路径注释。请将可执行内容与这些注释分开比较；我们不声称重新构建能逐字节复现原始清单。

这两个包都仅支持本地 stdio。其输入和结果会进入调用方客户端的上下文，并可能传送给该客户端的模型提供商；网站的隐私承诺不适用于客户端。每个包的 README 都说明了这一范围。

报告此代码的问题

请在公开仓库中提交问题。安全问题请按照该仓库 SECURITY.md 中的流程报告。

许可证

MIT — 详见 LICENSE。适用范围和第三方组件：THIRD-PARTY.md 和 evidence-harness/fixtures/PROVENANCE.md。