release: v1.16.2 — 三轮审计质量加固（B6.9→A7.9）

经三轮代码审计后的综合质量加固版本，覆盖协议核心层、数据正确性、
错误处理、测试真实度与可维护性。761 单测全绿（+58），ruff/mypy 全过。

主要修复：
- 离线 .day 写入原子化（fsync + _repair_tail + 读取校验，CQS 守住）
- 回测止损前视偏差（延迟下一根开盘 + 跳空保护）
- VWAP 权重索引 / bar_time fail-fast / 绩效除零保护
- 闭包绑定 / 路径穿越 / naive datetime 跨时区 / ruff UP038

重构：
- 抽 AsyncHeartbeatMixin 收敛 4 处心跳副本（12→1）
- 统一 _RETRY_DELAYS 退避序列 / scanner 失败可观测性

新增 5 个测试文件 + 公共 API 类型契约，CI 加 Windows 矩阵 +
trusted publishing 签名 + 锁文件。

详见 CHANGELOG.md

.github/workflows/ci.yml

@@ -8,9 +8,14 @@ on:
 
 jobs:
   test:
-    runs-on: ubuntu-latest
+    runs-on: ${{ matrix.os }}
     strategy:
+      fail-fast: false
       matrix:
+        # 项目核心场景是读取 Windows 通达信安装目录下的 .day 文件，
+        # 路径分隔符 / GBK 文件名 / tzdata 时区行为在 Windows 上与 Linux 不同，
+        # 故补充 Windows 矩阵覆盖这些平台特有路径。
+        os: [ubuntu-latest, windows-latest]
         python-version: ["3.10", "3.12", "3.13"]
     steps:
       - uses: actions/checkout@v4
@@ -18,7 +23,8 @@ jobs:
         with:
           python-version: ${{ matrix.python-version }}
       - run: pip install -e ".[dev]"
-      - run: python -m pytest tests/unit/ -v --tb=short --cov src/easy_tdx --cov-fail-under=50
+      - run: pip install -r requirements-dev.txt
+      - run: python -m pytest tests/unit/ -v --tb=short --cov src/easy_tdx --cov-fail-under=60
       - run: ruff check src/ tests/
       - run: ruff format --check src/ tests/
 

.github/workflows/publish.yml

@@ -26,4 +26,6 @@ jobs:
 
       - uses: pypa/gh-action-pypi-publish@release/v1
         with:
-          attestations: false
+          # 启用 PyPI 签名认证（sigstore provenance），让用户可验证产物来源。
+          # id-token: write 已在上方 permissions 配置，OIDC trusted publishing 直连。
+          attestations: true