[Priority: High] [Quality] 收敛 A2A 1.0 契约、验证工具链与开源工程卫生

[liujuanjuan1984]

背景

基于最新 main 的开源生态与工程卫生审查发现：仓库内部测试和契约治理基线较强，但仍存在少量 A2A 1.0 运行时语义偏差、外部 conformance 脚本失效、core 能力描述漂移，以及 Python/贡献入口/运行时可观测性欠账。

官方 a2aproject/a2a-tck 当前接口和行为持续漂移，且存在认证文档与实际 transport client 行为不一致的问题。本 issue 不把官方 TCK 版本或内部 API 固化为仓库依赖，而是建立仓库自维护、可回归的最小协议探针；官方 TCK 仅保留为人工调查输入。

目标

• 修复空 SendMessage / 空 REST body 未在执行前被拒绝的问题。
• 未启用 push notification 时，返回 A2A 1.0 定义的专用错误语义。
• 终态任务的 SubscribeToTask 按 A2A 1.0 返回 unsupported error。
• 以仓库自维护的黑盒协议探针替代当前失效的官方 TCK 代码/API 绑定，并覆盖 JSON-RPC、HTTP+JSON 和 Agent Card。
• 收敛 ListTasks、push config、extended card 等 SDK-owned core surface 的文档与 OpenAPI 描述。
• 清理当前可处理的 SDK 弃用警告，并正式验证 Python 3.14。
• 增加 issue/PR 模板和最小、可抓取的运行时 metrics 能力。

非目标

• 不修改组织或仓库级 ruleset、Actions 默认权限、漏洞报告等管理设置。
• 不在 PyPI 可安装前升级 a2a-sdk==1.1.3；该阻塞继续由 升级 a2a-sdk 至 1.1.3 并审计下游兼容层 #515 跟踪。
• 不恢复 push notification webhook 能力；该功能继续由 [Priority: Med] [Enhancement] 明确 push config persistence 与能力恢复的分层方案 #451 跟踪。
• 不把官方 TCK 结果提升为 PR gate 或合规认证。
• 不处理低优先级 Python facade 治理；该项继续由 [Priority: Low] [Enhancement] 明确 Python API facade 导出契约 #519 跟踪。

验收标准

• 三项 A2A 1.0 协议语义偏差有双 transport 回归测试。
• conformance 入口不 clone、pin 或导入官方 TCK，实现可重复的仓库自维护探针。
• core 能力描述由单一事实源生成或由一致性测试保护。
• Python 3.14 纳入声明和 CI 矩阵。
• 当前直接 SDK 弃用警告清零，或明确记录无法消除的上游阻塞。
• 增加贡献模板与最小 metrics 导出，并同步英文文档。
• bash ./scripts/doctor.sh 通过。

关联

• [Priority: Med] [Enhancement] 明确 push config persistence 与能力恢复的分层方案 #451
• 升级 a2a-sdk 至 1.1.3 并审计下游兼容层 #515
• [Priority: Low] [Enhancement] 明确 Python API facade 导出契约 #519
• 历史审查：[Priority: High] [Quality] 接入 A2A Inspector / TCK 外部兼容性验证 #370、评估当前工程质量与设计实现风险 #491

[liujuanjuan1984]

已在 PR #521 完成本 issue 中可落地的范围：

• 修复三项 A2A 1.0 协议语义偏差
• 用仓库自持的 8 项黑盒兼容性探针替换失效的外部 TCK 绑定
• 收敛核心能力、兼容性和安全文档
• 纳入 Python 3.14 CI 并移除测试中的 SDK 弃用告警
• 增加 issue/PR 模板和认证保护的 /metrics

验证结果：./scripts/doctor.sh 全通过（825 tests、93.33% coverage），./scripts/conformance.sh 8/8 probes passed。

未纳入且已有独立跟踪：SDK 1.1.3 PyPI 发布阻塞 #515、push webhook 能力 #451、低层 facade #519。未修改 org/repository 治理设置，也未绑定官方 A2A TCK。

[liujuanjuan1984]

PR #521 已完成一轮独立代码审查并继续保持 Draft。审查后补充收敛了以下事项：

• 不再把 A2A 核心的终态订阅拒绝语义重复发布为项目自定义 service behavior
• 外部 conformance 目标新增 CONFORMANCE_ALLOW_EXTERNAL=1 显式安全确认，并补充专用测试部署限制
• 本地 conformance 新增端口占用预检，避免误测已有服务
• 新增 conformance 脚本端到端回归测试，实际校验 8/8 probes
• 安全问题入口改为可靠的 SECURITY.md 指引
• 将共享请求校验错误文案改为 transport-neutral 表述

修复已通过提交 72177bf 推送。最新 ./scripts/doctor.sh 在 Python 3.14.6 下通过：826 tests passed、总覆盖率 93.33%，pre-commit、mypy、coverage policy、构建及 wheel/sdist smoke 均通过。

Issue 关系复核结果：#520 由本 PR 关闭准确；#451、#515、#519 仅作为相关后续事项，不应随本 PR 关闭；#370、#491 仅作为历史背景。

[liujuanjuan1984]

补充修正已通过提交 09c55f4 推送到 Draft PR #521：本 PR 新增的 issue forms、contact links 和 PR template 消息已全部改为英文。仓库级扫描确认源码、脚本、文档及 GitHub 模板中没有中文消息文本；实际 issue、PR 和评论仍按仓库协作规范使用简体中文。

修正后重新运行 ./scripts/doctor.sh：826 tests passed、总覆盖率 93.33%，其余 lint、类型检查、构建及发布制品 smoke 均通过。