qpm 0.5-alpha 文档（本地/静态 registry，1.7.0-dev / v4.38）

English summary. qpm 0.5-alpha (with a 1.9 production-enhancement POC) provides local/static registry install/vendor flows (index v2, optional detached signatures via system OpenSSL). There is no central registry service, no hosted/parallel network installer, no accounts/online revocation or production signing infrastructure; private keys never enter the repository. qpm is a release-engineering overlay, not shipped in the language tree.

qpm 是 Q+ 的包管理工具（独立组件，非语言核心）。当前版本 0.3.0-alpha.1。

能力

• 静态 registry：<registry>/index.json + packages/<name>/<version>.tar.gz， 可本地目录、file://、http(s) 托管；无服务端 API。
• 多 registry / mirror：可配置多个 registry 与镜像解析顺序。
• vendor 离线：vendor 快照支持完全离线安装。
• publish --index-only：归档由 CDN/静态托管，索引单独发布。
• audit / verify：供应链检查（索引/归档 sha256 校验；--verify-packages）。
• 确定性 publish：排序 + 固定 mtime/uid/gid/mode + gzip mtime=0；两次 publish 字节一致。
• 命令：registry init/check、publish、search、info、yank、add、install --offline。

边界（不得宣称）

• 无账号/签名/中心服务/上传 API；静态 registry 的信任 = checksum + 人工审查，不防恶意包；
• HTTP registry 只读；publish/yank 需要可写本地 checkout；
• 单版本解析、无回溯（冲突 loud error）；无增量编译；编译器行号指向合并单元；
• qpm 未自举重写；qpm 集成/signing/workspace/多版本 = 2.0 方向；
• qpm 0.5-alpha 文档 不是发布组件之外的“已发布生态”；1.7.0-dev 为 release candidate（NOT PUBLISHED）。

qpm 生产化 POC（v1.9.0-dev）

• tools/qpm overlay：本地静态 registry、批量/并行 install、per-file sha256 完整性、多包 index； self 242/242 + production 55/55 PASS；NOT PUBLISHED/无中心服务/0.5-alpha POC。