diff --git a/CHANGELOG.md b/CHANGELOG.md
index fc65639..42dc1c3 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -1,6 +1,11 @@
 # Changelog
 
-## [v2.1.0] (unreleased)
+## [v2.2.0]
+
+- Connect the existing Oracle Free native driver and narrow SELECT parser to the HTTP MCP authorization, masking, and durable audit path on one named `FREEPDB1` instance. Verify a least-privilege account, Inspector/Dify calls, policy and database privilege revocation, plus business and independent audit database outages.
+- Keep Oracle pre-execution `EXPLAIN PLAN` disabled for the least-privilege account until its plan-object permissions are proven. Do not extend B2/B5, write operations, commercial-edition support, TCPS, HA, or full production support from this synthetic case. See the [candidate acceptance record](docs/v2.2.0-acceptance.md).
+
+## [v2.1.0]
 
 - Join the bounded YashanDB 23.4.1.109 read-only path with a real least-privilege database account, HTTP MCP, masking, policy denial and durable audit in one live regression.
 - Verify MCP Inspector 0.16.8 and Dify MCPClient 1.17.1 against the isolated instance. Rehearse database SELECT revocation, business database outage and independent PostgreSQL audit-store outage without delivering unmasked results.
diff --git a/Dockerfile b/Dockerfile
index ad92a35..7eea9e3 100644
--- a/Dockerfile
+++ b/Dockerfile
@@ -2,7 +2,7 @@
 
 FROM golang:1.26.9-bookworm AS build
 
-ARG VERSION=v2.1.0
+ARG VERSION=v2.2.0
 # Overridable module proxy for restricted networks, e.g.
 # `docker build --build-arg GOPROXY=https://goproxy.cn,direct`.
 ARG GOPROXY=https://proxy.golang.org,direct
@@ -48,7 +48,7 @@ RUN --mount=type=cache,target=/root/.cache/go-build mkdir -p /out \
 
 FROM debian:bookworm-slim AS runtime
 
-ARG VERSION=v2.1.0
+ARG VERSION=v2.2.0
 ARG REVISION
 LABEL org.opencontainers.image.title="AgentSQL" \
       org.opencontainers.image.source="https://github.com/cuipengdba/agentsql" \
diff --git a/Makefile b/Makefile
index 69a20e4..adc1267 100644
--- a/Makefile
+++ b/Makefile
@@ -1,5 +1,5 @@
 BINARY_DIR := bin
-VERSION ?= v2.1.0
+VERSION ?= v2.2.0
 GO_VERSION ?= 1.26.9
 GOPROXY ?= https://goproxy.cn,direct
 SOURCE_DATE_EPOCH ?= 1704067200
diff --git a/README.md b/README.md
index 67d0b3d..b6f16df 100644
--- a/README.md
+++ b/README.md
@@ -1,6 +1,6 @@
 # AgentSQL
 
-![Version v2.1.0](https://img.shields.io/badge/Version-v2.1.0-blue)
+![Version v2.2.0](https://img.shields.io/badge/Version-v2.2.0-blue)
 [![Go](https://img.shields.io/badge/Go-1.26-00ADD8?logo=go)](go.mod)
 [![License: Apache-2.0](https://img.shields.io/badge/License-Apache--2.0-blue)](LICENSE)
 [![Commercial License](https://img.shields.io/badge/License-Commercial-orange)](COMMERCIAL-LICENSE.md)
@@ -17,7 +17,9 @@ v1.5.0 对达梦、金仓和 Vastbase 的指定实例深入验证真实 MCP 客
 
 v2.1.0 在 YashanDB 23.4.1.109 指定实例、独立客户端 23.4.7.100 和受限只读 SQL 子集内，验证最小权限账号的真实 HTTP MCP、R010、脱敏、独立持久审计、MCP Inspector/Dify 以及断库恢复；并补齐已认证 SQL 工具的数据源可见性预检拒绝审计。其他崖山版本、TLS、主备和完整生产支持未验证，见[发布说明](docs/release-notes-v2.1.0.md)与[候选验收](docs/v2.1.0-acceptance.md)。
 
-**验证范围：**v1.0.0 的列策略、人员委托及真实客户端结果见[验收记录](docs/v1.0-acceptance.md)；v1.1.0 的审批与 B5 双身份结果见[验收记录](docs/v1.1.0-acceptance.md)；v1.2.0 的 OAuth 互通结果见[验收记录](docs/v1.2.0-acceptance.md)；v1.3.0 的 MySQL 列授权边界见[验收记录](docs/v1.3.0-acceptance.md)；v1.4.0 的共享登录预算与双节点恢复见[验收记录](docs/v1.4.0-acceptance.md)；v1.5.0 的三款国产数据库指定子集深度验证见[验收记录](docs/v1.5.0-acceptance.md)；v1.6.0 的故障关闭与恢复证据见[验收记录](docs/v1.6.0-acceptance.md)；v1.7.0 的瀚高和金仓证据见[正式发布验收](docs/v1.7.0-release-evidence.md)；v1.8.0 的 Vastbase TLS 范围见[本版验收](docs/v1.8.0-acceptance.md)；v1.9.0 接入向导改进见[本版验收](docs/v1.9.0-acceptance.md)；v2.0.0 双网关与管理端列登记见[本版验收](docs/v2.0.0-acceptance.md)；v2.1.0 崖山指定实例和入口拒绝审计见[本版验收](docs/v2.1.0-acceptance.md)。厂商结论只覆盖指定实例、模式及合成数据。以下命令须以 [GitHub Release](https://github.com/cuipengdba/agentsql/releases/tag/v2.1.0)、签名及镜像匿名拉取验收为准。
+v2.2.0 在 Oracle AI Database 26ai Free、`FREEPDB1`、服务端 `23.26.3.0.0` 指定合成实例中，把原生驱动的窄 SELECT 路径接入真实 HTTP MCP、最小权限账号、R010、脱敏和持久审计；双客户端、权限撤销及业务库/独立审计库断线恢复也通过。运行账号未验证 `PLAN_TABLE` 写权限，本版 Oracle 路径不预执行计划；商业版、TCPS、主备及完整生产支持未验证，见[发布说明](docs/release-notes-v2.2.0.md)与[候选验收](docs/v2.2.0-acceptance.md)。
+
+**验证范围：**v1.0.0 的列策略、人员委托及真实客户端结果见[验收记录](docs/v1.0-acceptance.md)；v1.1.0 的审批与 B5 双身份结果见[验收记录](docs/v1.1.0-acceptance.md)；v1.2.0 的 OAuth 互通结果见[验收记录](docs/v1.2.0-acceptance.md)；v1.3.0 的 MySQL 列授权边界见[验收记录](docs/v1.3.0-acceptance.md)；v1.4.0 的共享登录预算与双节点恢复见[验收记录](docs/v1.4.0-acceptance.md)；v1.5.0 的三款国产数据库指定子集深度验证见[验收记录](docs/v1.5.0-acceptance.md)；v1.6.0 的故障关闭与恢复证据见[验收记录](docs/v1.6.0-acceptance.md)；v1.7.0 的瀚高和金仓证据见[正式发布验收](docs/v1.7.0-release-evidence.md)；v1.8.0 的 Vastbase TLS 范围见[本版验收](docs/v1.8.0-acceptance.md)；v1.9.0 接入向导改进见[本版验收](docs/v1.9.0-acceptance.md)；v2.0.0 双网关与管理端列登记见[本版验收](docs/v2.0.0-acceptance.md)；v2.1.0 崖山指定实例和入口拒绝审计见[本版验收](docs/v2.1.0-acceptance.md)；v2.2.0 Oracle Free 指定实例见[本版验收](docs/v2.2.0-acceptance.md)。厂商结论只覆盖指定实例、模式及合成数据。以下命令须以 [GitHub Release](https://github.com/cuipengdba/agentsql/releases/tag/v2.2.0)、签名及镜像匿名拉取验收为准。
 
 ```text
 AI Agent → LLM / MCP Client → AgentSQL 网关 → PostgreSQL / MySQL
@@ -42,6 +44,7 @@ AI Agent → LLM / MCP Client → AgentSQL 网关 → PostgreSQL / MySQL
 - v1.4.0 多网关登录预算：PostgreSQL metadata 部署对密码和 LDAP 登录使用共享的 60 秒 10 次预算；数据库故障返回 503，预算耗尽返回 429，SQLite 单实例仍使用本地预算。
 - v2.0.0 固定双网关部署：两个 Kubernetes 网关共享 PostgreSQL metadata 与独立审计库，分开保存 B2 实例标识；无状态 MCP 只读请求通过 Service 转发，升级与回退需维护窗口。管理端可对 PostgreSQL 闭合绑定模式的单张普通表登记列策略。公开 Live Demo 仍采用单网关合成数据环境。
 - v2.1.0 崖山指定实例深度验证：临时最小权限账号在真实 MCP 中完成窄 SELECT、R010、手机号脱敏及持久审计；数据库权限撤销、业务库和独立审计库断线均按无原始结果交付验收。已认证的 SQL 工具对不可见数据源的预检拒绝也会记录无原始 SQL 的审计。
+- v2.2.0 Oracle Free 指定实例受控只读：临时最小权限账号经真实 MCP 和 Inspector/Dify 执行窄 SELECT、R010 与手机号脱敏；数据库权限撤销、业务库及独立审计库断线按无原始结果交付验收。此路径不预执行 `EXPLAIN PLAN`。
 
 ## 生态与兼容
 
@@ -83,17 +86,17 @@ AgentSQL 作为数据库中立的安全网关，当前原生支持 PostgreSQL 
 v0.4.0 起提供 `linux/amd64` 与 `linux/arm64` 两种原生 glibc 包：`uname -m` 为 `x86_64` / `amd64` 时使用 amd64 包，为 `aarch64` / `arm64` 时使用 arm64 包。两者均要求 glibc 2.28+ 且 systemd 为 PID 1；安装器会自动选择本机架构、校验发布包外层与包内哈希，并安装为 systemd 服务。musl / Alpine 与 CentOS 7 仍不支持：
 
 ```bash
-curl -fsSL https://github.com/cuipengdba/agentsql/releases/download/v2.1.0/install.sh | sudo sh -s -- install --version v2.1.0
+curl -fsSL https://github.com/cuipengdba/agentsql/releases/download/v2.2.0/install.sh | sudo sh -s -- install --version v2.2.0
 ```
 
 管道和 CI 的非 TTY 输出不会显示自动生成的管理员密码；root 可在 `/etc/agentsql/agentsql.env` 查看。交互终端会在首次创建凭据时显示一次，也可显式加 `--show-password`。离线环境同时取得 tarball 与同名 `.sha256` 后，校验、解压并从包根安装：
 
-以下是 v2.1.0 的 amd64 资产名示例；v0.4.0 起 arm64 主机使用同版本的 `-linux-arm64` 资产名。
+以下是 v2.2.0 的 amd64 资产名示例；v0.4.0 起 arm64 主机使用同版本的 `-linux-arm64` 资产名。
 
 ```bash
-sha256sum -c agentsql-v2.1.0-linux-amd64.tar.gz.sha256
-tar -xzf agentsql-v2.1.0-linux-amd64.tar.gz
-cd agentsql-v2.1.0-linux-amd64
+sha256sum -c agentsql-v2.2.0-linux-amd64.tar.gz.sha256
+tar -xzf agentsql-v2.2.0-linux-amd64.tar.gz
+cd agentsql-v2.2.0-linux-amd64
 sudo ./install.sh install
 ```
 
@@ -102,20 +105,20 @@ sudo ./install.sh install
 脚本默认拉取 GitHub 最新稳定 Release 对应的精确 GHCR tag；该 tag 是 `linux/amd64` + `linux/arm64` 多架构镜像，Docker 会自动匹配运行架构。脚本生成权限为 `0600` 的 `.env`，使用 `agentsql-data` 命名卷，并固定绑定回环地址：
 
 ```bash
-curl -fsSL https://raw.githubusercontent.com/cuipengdba/agentsql/v2.1.0/scripts/quickstart.sh -o quickstart.sh && sh quickstart.sh --version v2.1.0
+curl -fsSL https://raw.githubusercontent.com/cuipengdba/agentsql/v2.2.0/scripts/quickstart.sh -o quickstart.sh && sh quickstart.sh --version v2.2.0
 ```
 
-GHCR 包必须由发布者设为 public，以上命令才能在未登录环境匿名拉取。先核对 `v2.1.0` 精确 tag 的公开状态与双架构 manifest；Docker 会从 manifest list 自动选择 `linux/amd64` 或 `linux/arm64`：
+GHCR 包必须由发布者设为 public，以上命令才能在未登录环境匿名拉取。先核对 `v2.2.0` 精确 tag 的公开状态与双架构 manifest；Docker 会从 manifest list 自动选择 `linux/amd64` 或 `linux/arm64`：
 
 ```bash
-docker pull ghcr.io/cuipengdba/agentsql:v2.1.0
+docker pull ghcr.io/cuipengdba/agentsql:v2.2.0
 ```
 
 等价的单条 `docker run` 如下；随机值只通过当前 shell 环境传入，不写进命令行参数：
 
 ```bash
 export AGENTSQL_SECRET="$(openssl rand -base64 24)" AGENTSQL_ADMIN_USER=admin AGENTSQL_ADMIN_PASSWORD="$(openssl rand -base64 18)"
-docker run -d --name agentsql --restart unless-stopped --security-opt no-new-privileges:true -p 127.0.0.1:7780:7780 -e AGENTSQL_SECRET -e AGENTSQL_ADMIN_USER -e AGENTSQL_ADMIN_PASSWORD -v agentsql-data:/var/lib/agentsql ghcr.io/cuipengdba/agentsql:v2.1.0
+docker run -d --name agentsql --restart unless-stopped --security-opt no-new-privileges:true -p 127.0.0.1:7780:7780 -e AGENTSQL_SECRET -e AGENTSQL_ADMIN_USER -e AGENTSQL_ADMIN_PASSWORD -v agentsql-data:/var/lib/agentsql ghcr.io/cuipengdba/agentsql:v2.2.0
 ```
 
 ### 3. 本地 Live Demo（一条命令，无需源码）
@@ -124,7 +127,7 @@ docker run -d --name agentsql --restart unless-stopped --security-opt no-new-pri
 
 ```bash
 mkdir agentsql-demo && cd agentsql-demo
-curl -fsSL -o docker-compose.yml https://raw.githubusercontent.com/cuipengdba/agentsql/v2.1.0/deploy/quickstart/docker-compose.yml
+curl -fsSL -o docker-compose.yml https://raw.githubusercontent.com/cuipengdba/agentsql/v2.2.0/deploy/quickstart/docker-compose.yml
 docker compose up -d
 ```
 
@@ -167,7 +170,7 @@ docker compose --profile observability up -d --build
 以下源码构建示例仅生成本机可执行文件。自行构建的文件没有经过正式发布资产的签名与分发验收：
 
 ```bash
-make build VERSION=v2.1.0
+make build VERSION=v2.2.0
 ./bin/agentsqlctl init-config -o config.yaml
 export AGENTSQL_SECRET="$(openssl rand -base64 24)"
 export AGENTSQL_ADMIN_USER='admin'
@@ -272,13 +275,13 @@ v0.5 审计报表支持 CSV、JSONL、纯 Go 生成的 PDF，以及包含四类
 
 ## 数据库兼容矩阵
 
-v2.1.0 代码的注册表覆盖 **8 大类、29 款数据库**（8 款关系型 + 21 款 NoSQL / 向量）。瀚高 HighGo 已作为独立的限定只读类型计入；金仓 KingbaseES V9 另列为指定实例 PG 协议路径，不计入 29 款；分类表共 30 行。🟢 表示解析、授权、受控执行、脱敏、审计链路在所述范围通过；🔵 受控只读＝连接、元数据、只读查询子集；🔷 连接级＝ping、版本、Schema、只读预览；🟡 待验证＝等厂商环境。指定实例闭环不代表完整生产支持。
+v2.2.0 代码的注册表覆盖 **8 大类、29 款数据库**（8 款关系型 + 21 款 NoSQL / 向量）。瀚高 HighGo 已作为独立的限定只读类型计入；金仓 KingbaseES V9 另列为指定实例 PG 协议路径，不计入 29 款；分类表共 30 行。🟢 表示解析、授权、受控执行、脱敏、审计链路在所述范围通过；🔵 受控只读＝连接、元数据、只读查询子集；🔷 连接级＝ping、版本、Schema、只读预览；🟡 待验证＝等厂商环境。指定实例闭环不代表完整生产支持。
 
 | 类别 | 数据库 | 适配状态 | 边界说明 |
 | --- | --- | --- | --- |
 | 关系型 | PostgreSQL 14–18 | 🟢 已适配 · 完整防护 | 全链路实测通过 |
 |  | MySQL 8.0 | 🟢 已适配 · 完整防护 | 全链路实测通过 |
-|  | Oracle 23ai | 🔵 已适配 · 受控只读 | 连接 / 元数据 / 只读查询子集 |
+|  | Oracle AI Database 26ai Free | 🔵 指定版本受控只读 | `FREEPDB1`、服务端 `23.26.3.0.0`：最小权限 HTTP MCP、R010、手机号脱敏、双客户端、权限撤销、独立审计故障及业务库断线恢复通过；`EXPLAIN PLAN` 不在网关账号路径，商业版及完整生产支持未验，见[验收记录](docs/v2.2.0-acceptance.md) |
 |  | 达梦 DM8 | 🟢 指定场景闭环 | Pack3、COMPATIBLE_MODE=0：v1.5.0 完成客户端与权限撤销；v1.6.0 补齐审计故障、锁等待超时、取消与恢复复验；见[验收记录](docs/v1.6.0-acceptance.md) |
 |  | 崖山 YashanDB | 🔵 已适配 · 指定版本受控只读 | 23.4.1.109 指定实例的最小权限 HTTP MCP、R010、脱敏、持久审计和故障关闭通过；其他版本及生产拓扑未验证 |
 |  | SQL Server 2025 | 🔵 已适配 · 受控只读 | 连接 / 元数据 / 只读查询子集 |
@@ -307,7 +310,7 @@ v2.1.0 代码的注册表覆盖 **8 大类、29 款数据库**（8 款关系型
 |  | Qdrant | 🔷 已适配 · 连接级 | 同口径 |
 |  | Weaviate | 🔷 已适配 · 连接级 | 同口径 |
 
-NoSQL / 向量目前是连接级、低阶支持；只读预览不代表完整查询、检索或服务端安全能力。21 款注册类型、默认端口及 HBase/Couchbase 的实际连接端口边界见 [NoSQL 支持范围](docs/nosql-support.md)。DM8、金仓、Vastbase 的指定实例在 v1.5.0 通过受控只读查询、真实 MCP 客户端、权限撤销、断库恢复、脱敏和持久审计；v1.6.0 在同一范围通过独立审计库故障、锁等待超时、客户端取消、数据库端终止及恢复复验，仍不声明完整生产支持。DM8 的 R006、多行分页、JOIN、函数和系统目录未验证，写入未放开。Oracle 仍限于既有有界证据。YashanDB 在 v2.1.0 指定实例中，使用真实最小权限账号、HTTP MCP 与独立持久审计库完成窄 SELECT、R010、手机号脱敏、双客户端、权限撤销和故障关闭；写入、事务、EXPLAIN、TLS、主备及完整生产支持仍未验证，见 [YashanDB 方言边界](docs/yashan-dialect.md)和[本版验收](docs/v2.1.0-acceptance.md)。所有实测仅基于指定容器镜像与合成用例，**并非数据库厂商官方认证**；协议兼容不等于安全语义相同。所有数据库请求须经 AgentSQL 网关，并使用专用最小权限账号；解析、授权或能力事实不明时一律 fail-closed。详情见 [SECURITY.md](SECURITY.md)。
+NoSQL / 向量目前是连接级、低阶支持；只读预览不代表完整查询、检索或服务端安全能力。21 款注册类型、默认端口及 HBase/Couchbase 的实际连接端口边界见 [NoSQL 支持范围](docs/nosql-support.md)。DM8、金仓、Vastbase 的指定实例在 v1.5.0 通过受控只读查询、真实 MCP 客户端、权限撤销、断库恢复、脱敏和持久审计；v1.6.0 在同一范围通过独立审计库故障、锁等待超时、客户端取消、数据库端终止及恢复复验，仍不声明完整生产支持。DM8 的 R006、多行分页、JOIN、函数和系统目录未验证，写入未放开。Oracle 在 v2.2.0 的 26ai Free 指定实例完成受控只读闭环，范围见[验收记录](docs/v2.2.0-acceptance.md)；商业版和完整生产支持未验证。YashanDB 在 v2.1.0 指定实例中，使用真实最小权限账号、HTTP MCP 与独立持久审计库完成窄 SELECT、R010、手机号脱敏、双客户端、权限撤销和故障关闭；写入、事务、EXPLAIN、TLS、主备及完整生产支持仍未验证，见 [YashanDB 方言边界](docs/yashan-dialect.md)和[本版验收](docs/v2.1.0-acceptance.md)。所有实测仅基于指定容器镜像与合成用例，**并非数据库厂商官方认证**；协议兼容不等于安全语义相同。所有数据库请求须经 AgentSQL 网关，并使用专用最小权限账号；解析、授权或能力事实不明时一律 fail-closed。详情见 [SECURITY.md](SECURITY.md)。
 
 控制面存储另计：SQLite 默认零配置，可 combined 存储；PostgreSQL 15+ 可 combined 或独立 metadata / audit 库（PG18 为基准）。使用 `agentsqlctl migrate-sqlite-to-postgres` 可从 SQLite 迁至单库或独立双库。
 
@@ -360,7 +363,7 @@ NoSQL / 向量目前是连接级、低阶支持；只读预览不代表完整查
 ```bash
 go vet ./...
 go test -race -count=1 ./...
-make build VERSION=v2.1.0
+make build VERSION=v2.2.0
 ```
 
 `pg_query_go` 要求 cgo；不要使用 `CGO_ENABLED=0` 或 Alpine/musl 构建。提交改动前请阅读 [SPEC](docs/SPEC.md)，为行为变化补测试，并保持 `tests/corpus` 决策语料不被无意改写。
diff --git a/ROADMAP.md b/ROADMAP.md
index 38b9fe5..4e9ef93 100644
--- a/ROADMAP.md
+++ b/ROADMAP.md
@@ -31,6 +31,7 @@ AgentSQL 是面向 AI Agent 的数据库安全网关与 MCP Server。核心价
 | v1.9.0 | 已发布（[正式 Release](https://github.com/cuipengdba/agentsql/releases/tag/v1.9.0)） | Dify / MCP Inspector 接入说明、目标 SQL 离线解释、真实调用审计定位；正式资产、升级、GHCR、官网与 Demo 见[发布证据](docs/v1.9.0-release-evidence.md)。未取得真实客户首次接入任务完成率。 |
 | v2.0.0 | 已发布（[正式 Release](https://github.com/cuipengdba/agentsql/releases/tag/v2.0.0)） | 固定双网关 Kubernetes 部署及 PostgreSQL 单表列策略管理端登记；正式资产、双节点、升级恢复、GHCR、官网与 Demo 见[发布证据](docs/v2.0.0-release-evidence.md)。不承诺无停机滚动升级或任意水平扩容。 |
 | v2.1.0 | 已发布（[正式 Release](https://github.com/cuipengdba/agentsql/releases/tag/v2.1.0)） | 崖山 23.4.1.109 指定实例的最小权限账号、真实 HTTP MCP、脱敏、R010、独立持久审计与故障关闭；范围和未验证项见[验收记录](docs/v2.1.0-acceptance.md)，正式交付见[发布证据](docs/v2.1.0-release-evidence.md)。 |
+| v2.2.0 | 开发中 | Oracle AI Database 26ai Free、`FREEPDB1`、服务端 `23.26.3.0.0` 指定实例的受控只读 MCP、最小权限、脱敏、R010、持久审计和故障关闭；当前真库候选见[验收记录](docs/v2.2.0-acceptance.md)。商业版、预执行计划和完整生产支持未验证。 |
 
 ## v1.8.0–v3.0.0 候选开发顺序
 
@@ -41,7 +42,7 @@ AgentSQL 是面向 AI Agent 的数据库安全网关与 MCP Server。核心价
 | v1.9.0 | Dify 与 MCP Inspector 的接入体验、策略解释和向导 | 两客户端真实允许/拒绝调用、首次接入与排障任务完成率 |
 | v2.0.0 | 多网关、Kubernetes、管理 API 与运维 | 双节点共享状态、故障转移、升级回滚、容量与审计一致性 |
 | v2.1.0 | 崖山 YashanDB 指定版本深化 | 原生驱动、许可、权限/执行/脱敏/审计与故障关闭的真库证据 |
-| v2.2.0 | Oracle 指定版本深化 | 原生方言、最小权限、计划、授权与审计；按许可和实例范围声明 |
+| v2.2.0 | Oracle 指定版本深化 | 原生窄方言、最小权限、授权、脱敏与审计；明确记录最小权限账号的预执行计划限制，按许可和实例范围声明 |
 | v2.3.0 | SQL Server 指定版本深化 | 证书、TDS 权限、查询和故障恢复矩阵 |
 | v2.4.0 | openGauss 指定版本适配 | PG 兼容差异、类型/计划、TLS、权限和执行边界 |
 | v2.5.0 | MongoDB 受控只读能力 | 命令白名单、集合授权、字段脱敏与持久审计 |
diff --git a/SECURITY.md b/SECURITY.md
index 32359ee..d52dd9c 100644
--- a/SECURITY.md
+++ b/SECURITY.md
@@ -38,7 +38,7 @@ v0.6.1 至 v0.9.0 的发布状态以 [GitHub Releases](https://github.com/cuipen
 
 - 🟢 **PostgreSQL 14–18**：原生 `postgres` 路径；B2/B5 仍受自身版本、目录和能力检查约束。
 - 🟢 **MySQL 8.0**：原生 `mysql` 路径；不继承 PostgreSQL B2/B5 证明。
-- 🔵 **Oracle 23ai**：独立 `oracle` 严格 SELECT 子集；不能据此推断企业版或完整 Oracle 方言已通过。
+- 🔵 **Oracle AI Database 26ai Free，服务端 23.26.3.0.0**：`FREEPDB1` 指定合成实例的临时最小权限账号经 HTTP MCP 完成窄 SELECT、R010、手机号脱敏、Inspector/Dify 调用与持久审计；数据库权限撤销、业务库和独立审计库故障均按无原始结果交付验证。运行账号未验证 `PLAN_TABLE` 写权限，本路径不预执行计划；商业版、TCPS、主备、复杂 SQL 与完整生产支持未验证，见 [v2.2.0 候选验收](docs/v2.2.0-acceptance.md)。
 - 🟢 **达梦 DM8**：Pack3、`COMPATIBLE_MODE=0` 实例的只读 SELECT、列血缘、R010 表策略、审计和手机号脱敏实测通过；R006 未验证，多行分页/JOIN/函数/系统目录未测，写入未放开。
 - 🔵 **崖山 YashanDB 23.4.1.109**：独立 `yashan` parser 与窄 SELECT 路径已接通；在 Linux x86_64、`COMPAT_VECTOR=yashan` 和独立 C 客户端 23.4.7.100 上，最小权限账号经真实 HTTP MCP 完成允许、R010 拒绝、手机号脱敏和持久审计，MCP Inspector/Dify 各完成允许与拒绝。数据库 SELECT 撤权、业务库断线及独立审计库停机均验证无原始行交付。仅为指定实例及合成数据的受控只读子集；TLS、取消/超时、主备、写入、事务和 EXPLAIN 未验证或关闭，见 [v2.1.0 候选验收](docs/v2.1.0-acceptance.md)。
 - 🔵 **SQL Server 2025（17.x）**：独立 `sqlserver` 严格只读子集；不提供完整 T-SQL、写入、B2/B5 或厂商认证。
diff --git a/deploy/kubernetes/README.md b/deploy/kubernetes/README.md
index e18a83c..607af65 100644
--- a/deploy/kubernetes/README.md
+++ b/deploy/kubernetes/README.md
@@ -1,6 +1,6 @@
-# AgentSQL v2.1.0 双网关 Kubernetes 部署
+# AgentSQL v2.2.0 双网关 Kubernetes 部署
 
-此清单只针对**两个节点、固定两个副本、无状态 MCP 只读请求**。运行配置把 HTTP 状态会话、事件续传和 B5 事务关闭；这不是已有单节点 B5 能力的迁移方案。双网关拓扑以[v2.0.0 设计与验收](../../docs/v2.0.0-design.md)为基线，v2.1.0 的数据库支持边界见[本版发布说明](../../docs/release-notes-v2.1.0.md)。
+此清单只针对**两个节点、固定两个副本、无状态 MCP 只读请求**。运行配置把 HTTP 状态会话、事件续传和 B5 事务关闭；这不是已有单节点 B5 能力的迁移方案。双网关拓扑以[v2.0.0 设计与验收](../../docs/v2.0.0-design.md)为基线，v2.2.0 的数据库支持边界见[本版发布说明](../../docs/release-notes-v2.2.0.md)。
 
 ## 准备
 
@@ -20,7 +20,7 @@ kubectl -n agentsql apply -f deploy/kubernetes/configmap.yaml
 
 ## 首次安装或从 v2.0.0 升级
 
-先对两个 PostgreSQL 库做成套备份并记录旧镜像摘要。`migrate` 可能执行 DDL；即使本版 schema 未变，也要记录检查结果。Job 不在基础 `kustomization.yaml` 中，避免普通部署隐式迁移。**B2 对活跃网关的二进制摘要要求一致，v2.0.0 与 v2.1.0 不能混合提供服务；此部署使用 `OnDelete`，版本切换必须安排维护窗口。**
+先对两个 PostgreSQL 库做成套备份并记录旧镜像摘要。`migrate` 可能执行 DDL；即使本版 schema 未变，也要记录检查结果。Job 不在基础 `kustomization.yaml` 中，避免普通部署隐式迁移。**B2 对活跃网关的二进制摘要要求一致，v2.1.0 与 v2.2.0 不能混合提供服务；此部署使用 `OnDelete`，版本切换必须安排维护窗口。**
 
 从 v2.0.0 升级时，先执行下列维护窗口操作；首次安装跳过这一段。
 
diff --git a/deploy/kubernetes/jobs/migrate.yaml b/deploy/kubernetes/jobs/migrate.yaml
index d5f4637..ee2d69c 100644
--- a/deploy/kubernetes/jobs/migrate.yaml
+++ b/deploy/kubernetes/jobs/migrate.yaml
@@ -21,7 +21,7 @@ spec:
           type: RuntimeDefault
       containers:
         - name: migrate
-          image: ghcr.io/cuipengdba/agentsql:v2.1.0
+          image: ghcr.io/cuipengdba/agentsql:v2.2.0
           command:
             - /usr/local/bin/agentsqlctl
             - migrate
diff --git a/deploy/kubernetes/jobs/schema-check.yaml b/deploy/kubernetes/jobs/schema-check.yaml
index 3691b14..ab44d33 100644
--- a/deploy/kubernetes/jobs/schema-check.yaml
+++ b/deploy/kubernetes/jobs/schema-check.yaml
@@ -20,7 +20,7 @@ spec:
           type: RuntimeDefault
       containers:
         - name: schema-check
-          image: ghcr.io/cuipengdba/agentsql:v2.1.0
+          image: ghcr.io/cuipengdba/agentsql:v2.2.0
           command:
             - /usr/local/bin/agentsqlctl
             - migrate
diff --git a/deploy/kubernetes/preflight.sh b/deploy/kubernetes/preflight.sh
index d49ea77..024d638 100644
--- a/deploy/kubernetes/preflight.sh
+++ b/deploy/kubernetes/preflight.sh
@@ -25,14 +25,14 @@ done
 rendered="$(kubectl kustomize "$script_dir")"
 if ! grep -Fq 'replicas: 2' <<<"$rendered" ||
    ! grep -Fq 'type: OnDelete' <<<"$rendered" ||
-   ! grep -Fq 'image: ghcr.io/cuipengdba/agentsql:v2.1.0' <<<"$rendered" ||
+   ! grep -Fq 'image: ghcr.io/cuipengdba/agentsql:v2.2.0' <<<"$rendered" ||
    ! grep -Fq 'instance_id_file: "/var/lib/agentsql/instance-id"' <<<"$rendered" ||
    [[ "$(grep -Fc 'driver: postgres' <<<"$rendered")" -lt 2 ]] ||
    grep -Fq 'sqlite_path:' <<<"$rendered" ||
    ! grep -Fq 'stateful: false' <<<"$rendered" ||
    ! grep -Fq 'event_store_enabled: false' <<<"$rendered" ||
    ! grep -Fq 'auto_migrate: false' <<<"$rendered"; then
-  echo 'preflight failed: expected fixed two-replica v2.1.0 safety profile is missing' >&2
+  echo 'preflight failed: expected fixed two-replica v2.2.0 safety profile is missing' >&2
   exit 1
 fi
 
diff --git a/deploy/kubernetes/statefulset.yaml b/deploy/kubernetes/statefulset.yaml
index 28cd707..124bbf8 100644
--- a/deploy/kubernetes/statefulset.yaml
+++ b/deploy/kubernetes/statefulset.yaml
@@ -39,7 +39,7 @@ spec:
               topologyKey: kubernetes.io/hostname
       initContainers:
         - name: schema-check
-          image: ghcr.io/cuipengdba/agentsql:v2.1.0
+          image: ghcr.io/cuipengdba/agentsql:v2.2.0
           imagePullPolicy: IfNotPresent
           command:
             - /usr/local/bin/agentsqlctl
@@ -66,7 +66,7 @@ spec:
               mountPath: /tmp
       containers:
         - name: gateway
-          image: ghcr.io/cuipengdba/agentsql:v2.1.0
+          image: ghcr.io/cuipengdba/agentsql:v2.2.0
           imagePullPolicy: IfNotPresent
           args:
             - serve
diff --git a/deploy/quickstart/docker-compose.debug.yml b/deploy/quickstart/docker-compose.debug.yml
index 41105ab..11849cd 100644
--- a/deploy/quickstart/docker-compose.debug.yml
+++ b/deploy/quickstart/docker-compose.debug.yml
@@ -1,6 +1,6 @@
 services:
   seed:
-    image: ghcr.io/cuipengdba/agentsql:v2.1.0-quickstart
+    image: ghcr.io/cuipengdba/agentsql:v2.2.0-quickstart
   gateway:
     image: agentsql-quickstart-gateway:debug
 volumes:
diff --git a/deploy/quickstart/docker-compose.yml b/deploy/quickstart/docker-compose.yml
index 5bdca2a..a43dcd1 100644
--- a/deploy/quickstart/docker-compose.yml
+++ b/deploy/quickstart/docker-compose.yml
@@ -49,7 +49,7 @@ services:
           - demo-mysql
 
   seed:
-    image: ghcr.io/cuipengdba/agentsql:v2.1.0-quickstart
+    image: ghcr.io/cuipengdba/agentsql:v2.2.0-quickstart
     container_name: agentsql-quickstart-seed
     restart: "no"
     entrypoint: ["/usr/local/bin/agentsqlctl"]
@@ -77,7 +77,7 @@ services:
         condition: service_healthy
 
   gateway:
-    image: ghcr.io/cuipengdba/agentsql:v2.1.0-quickstart
+    image: ghcr.io/cuipengdba/agentsql:v2.2.0-quickstart
     container_name: agentsql-quickstart-gateway
     restart: unless-stopped
     environment:
diff --git a/docs/DEPLOY.md b/docs/DEPLOY.md
index 78b63cb..26a1a27 100644
--- a/docs/DEPLOY.md
+++ b/docs/DEPLOY.md
@@ -2,7 +2,7 @@
 
 AgentSQL 是面向 AI Agent 的数据库安全网关和生产级 MCP Server。元数据与审计记录默认保存在本地 SQLite，也可使用 PostgreSQL 控制面；业务数据库仍使用各自的 PostgreSQL 或 MySQL 连接。
 
-当前精确安装版本、下载链接和升级前检查见 [快速上手](GETTING_STARTED.md)与 [v2.1.0 发布说明](release-notes-v2.1.0.md)。固定双网关 Kubernetes 部署另见 [v2.1.0 操作指南](../deploy/kubernetes/README.md)。本文后部标有 v1.2.0 或其他旧版本号的发布命令与分阶段上线记录是历史示例；执行前须使用正式 Release 的同版资产、签名及镜像摘要。
+当前精确安装版本、下载链接和升级前检查见 [快速上手](GETTING_STARTED.md)与 [v2.2.0 发布说明](release-notes-v2.2.0.md)。固定双网关 Kubernetes 部署另见 [v2.2.0 操作指南](../deploy/kubernetes/README.md)。本文后部标有 v1.2.0 或其他旧版本号的发布命令与分阶段上线记录是历史示例；执行前须使用正式 Release 的同版资产、签名及镜像摘要。
 
 ## 目录约定
 
diff --git a/docs/GETTING_STARTED.md b/docs/GETTING_STARTED.md
index eb276a7..1d7f755 100644
--- a/docs/GETTING_STARTED.md
+++ b/docs/GETTING_STARTED.md
@@ -1,6 +1,6 @@
 # AgentSQL 快速上手
 
-> 本文说明 AgentSQL v2.1.0 的安装与使用。执行下列固定 v2.1.0 tag 的安装、Demo 和镜像命令前，先在 [GitHub Releases](https://github.com/cuipengdba/agentsql/releases) 核对正式资产及签名，并确认对应 GHCR 镜像可以匿名拉取；源码仓库为 `github.com/cuipengdba/agentsql`。
+> 本文说明 AgentSQL v2.2.0 的安装与使用。执行下列固定 v2.2.0 tag 的安装、Demo 和镜像命令前，先在 [GitHub Releases](https://github.com/cuipengdba/agentsql/releases) 核对正式资产及签名，并确认对应 GHCR 镜像可以匿名拉取；源码仓库为 `github.com/cuipengdba/agentsql`。
 
 AgentSQL 是放在 AI Agent 与业务数据库之间的数据库安全网关和生产级 MCP Server，让每条 SQL 在执行前经过身份、权限、规则和决策检查，并在可审计的边界内执行。
 
@@ -31,15 +31,15 @@ AgentSQL 不是 BI、ORM 或 Text2SQL，不负责把自然语言转换成 SQL，
 | 范围 | 当前支持 | 说明 |
 | --- | --- | --- |
 | 一键安装宿主 | `linux/amd64`、`linux/arm64`；glibc 2.28+、systemd | v0.4.0 起提供 linux/arm64 原生 glibc 包；`x86_64` / `amd64` 对应 amd64，`aarch64` / `arm64` 对应 arm64 |
-| 其他宿主 | Docker / Docker Compose | v2.1.0 GHCR tag 须经 `linux/amd64` + `linux/arm64` multi-arch manifest 与匿名拉取核验；musl / Alpine、CentOS 7 与上述两种架构之外的平台不提供原生包 |
+| 其他宿主 | Docker / Docker Compose | v2.2.0 GHCR tag 须经 `linux/amd64` + `linux/arm64` multi-arch manifest 与匿名拉取核验；musl / Alpine、CentOS 7 与上述两种架构之外的平台不提供原生包 |
 | 业务数据库 | MySQL 8；PostgreSQL 14–18 | 为 AgentSQL 创建独立、最小权限运行账号 |
 | 控制面存储 | SQLite；PostgreSQL 15+ | SQLite 为默认；PostgreSQL 可分离 metadata 与 audit |
 | 浏览器控制台 | `http://127.0.0.1:7780` | 默认绑定回环地址 |
-| 本地 Live Demo | Docker Engine / Docker Desktop、Docker Compose v2 | 使用 v2.1.0 精确 tag 的 Compose 和经核验的 GHCR 镜像；无需克隆源码或构建 |
+| 本地 Live Demo | Docker Engine / Docker Desktop、Docker Compose v2 | 使用 v2.2.0 精确 tag 的 Compose 和经核验的 GHCR 镜像；无需克隆源码或构建 |
 
 ## 路径 A：5 分钟零配置看效果（一条命令）
 
-这是 v2.1.0 专用 Demo 模式：使用合成数据和固定演示身份，无需克隆源码、无需编辑任何配置、无需构建镜像。执行前须核对 v2.1.0 Git tag 中的 Compose 文件与其引用的三个 GHCR 镜像均已公开且可匿名拉取；首次启动会拉取镜像并播种固定演示数据。
+这是 v2.2.0 专用 Demo 模式：使用合成数据和固定演示身份，无需克隆源码、无需编辑任何配置、无需构建镜像。执行前须核对 v2.2.0 Git tag 中的 Compose 文件与其引用的三个 GHCR 镜像均已公开且可匿名拉取；首次启动会拉取镜像并播种固定演示数据。
 
 只需一个 `docker-compose.yml`（在任意空目录执行）：
 
@@ -48,7 +48,7 @@ AgentSQL 不是 BI、ORM 或 Text2SQL，不负责把自然语言转换成 SQL，
 mkdir agentsql-demo && cd agentsql-demo
 
 # 2) 下载自包含 compose（仅这一个文件，约 2KB）
-curl -fsSL -o docker-compose.yml https://raw.githubusercontent.com/cuipengdba/agentsql/v2.1.0/deploy/quickstart/docker-compose.yml
+curl -fsSL -o docker-compose.yml https://raw.githubusercontent.com/cuipengdba/agentsql/v2.2.0/deploy/quickstart/docker-compose.yml
 
 # 3) 一条命令拉起全部容器（postgres + mysql + seed + gateway）
 docker compose up -d
@@ -58,7 +58,7 @@ Windows（PowerShell）用等价命令：
 
 ```powershell
 New-Item -ItemType Directory -Force agentsql-demo | Out-Null; Set-Location agentsql-demo
-Invoke-WebRequest -OutFile docker-compose.yml https://raw.githubusercontent.com/cuipengdba/agentsql/v2.1.0/deploy/quickstart/docker-compose.yml
+Invoke-WebRequest -OutFile docker-compose.yml https://raw.githubusercontent.com/cuipengdba/agentsql/v2.2.0/deploy/quickstart/docker-compose.yml
 docker compose up -d
 ```
 
@@ -93,16 +93,16 @@ docker compose down -v
 
 **v0.4.0 起提供 linux/arm64 原生 glibc 包：**一键安装支持 `linux/amd64`（`uname -m` 为 `x86_64` / `amd64`）和 `linux/arm64`（`aarch64` / `arm64`），均要求 glibc 2.28+、systemd，且命令需要 root 权限：
 
-以下示例固定 v2.1.0。执行前先确认正式 Release 提供该版本的 `install.sh`、`SHA256SUMS` 和签名；按 [发布资产说明](RELEASE_ASSETS.md) 使用独立核验的公钥验签清单，再用清单中的哈希核验安装器。
+以下示例固定 v2.2.0。执行前先确认正式 Release 提供该版本的 `install.sh`、`SHA256SUMS` 和签名；按 [发布资产说明](RELEASE_ASSETS.md) 使用独立核验的公钥验签清单，再用清单中的哈希核验安装器。
 
 ```bash
 # 适用前提：linux/amd64 或 linux/arm64 + glibc 2.28+ + systemd
-curl -fsSLo install.sh https://github.com/cuipengdba/agentsql/releases/download/v2.1.0/install.sh
+curl -fsSLo install.sh https://github.com/cuipengdba/agentsql/releases/download/v2.2.0/install.sh
 # 先用已验签的 SHA256SUMS 核验 install.sh，再运行：
-sudo sh ./install.sh install --version v2.1.0
+sudo sh ./install.sh install --version v2.2.0
 ```
 
-除一键安装外，也可按 [部署指南](DEPLOY.md) 使用源码或 Docker Compose 构建。确认 v2.1.0 镜像已公开、双架构 manifest 和匿名拉取均通过后，运行 `docker pull ghcr.io/cuipengdba/agentsql:v2.1.0`；manifest 应匹配 `linux/amd64` / `linux/arm64`。发布状态和资产以 GitHub Releases 页面为准。
+除一键安装外，也可按 [部署指南](DEPLOY.md) 使用源码或 Docker Compose 构建。确认 v2.2.0 镜像已公开、双架构 manifest 和匿名拉取均通过后，运行 `docker pull ghcr.io/cuipengdba/agentsql:v2.2.0`；manifest 应匹配 `linux/amd64` / `linux/arm64`。发布状态和资产以 GitHub Releases 页面为准。
 
 ### 2. 登录控制台
 
@@ -130,7 +130,7 @@ PostgreSQL 与 Vastbase G100 Build 9 PG 模式的指定实例可在数据源表
 
 在「权限」中新建绑定该 Agent 与数据源的 `allow` 策略，从确实需要的单张表开始，例如 `public.customers` 或 `customers`。不要用 `*` 或 `schema.*` 做普通示例：两者虽然合法，却代表整表全列授权，会让列级白名单失效。
 
-安装 v2.1.0 后，控制台「接入向导」可复用同一个 Agent 和数据源选择做连接与权限预检、目标 SQL 离线解释，并生成 Dify 1.17.1 或 MCP Inspector 0.16.8 的无密钥接入说明。预检不执行 Agent SQL；策略数量大于零或离线结论为“未知”都不证明目标 SQL 已获授权。请在真实客户端分别验证允许与拒绝请求，再用响应中的审计 ID 跳转到审计详情核对。配置步骤与客户端可达地址的限制见[使用手册](USER_GUIDE.md#接入向导-onboardingv190)。
+安装 v2.2.0 后，控制台「接入向导」可复用同一个 Agent 和数据源选择做连接与权限预检、目标 SQL 离线解释，并生成 Dify 1.17.1 或 MCP Inspector 0.16.8 的无密钥接入说明。预检不执行 Agent SQL；策略数量大于零或离线结论为“未知”都不证明目标 SQL 已获授权。请在真实客户端分别验证允许与拒绝请求，再用响应中的审计 ID 跳转到审计详情核对。配置步骤与客户端可达地址的限制见[使用手册](USER_GUIDE.md#接入向导-onboardingv190)。
 
 ### 6. 接入 MCP 客户端
 
@@ -185,9 +185,9 @@ curl -fsS http://127.0.0.1:7780/healthz
 curl -fsS -o /dev/null -w '%{http_code}\n' http://127.0.0.1:7780/readyz
 ```
 
-## v2.1.0：升级前只读检查
+## v2.2.0：升级前只读检查
 
-正式发布并取得 v2.1.0 `agentsqlctl` 后，使用目标环境的配置先检查控制面 schema 版本。v2.1.0 不增加 schema 迁移；从 v2.0.0 升级仍须成套备份、只读检查并在隔离环境演练恢复。双网关 Kubernetes 部署另须按[维护窗口操作指南](../deploy/kubernetes/README.md)停止旧版双副本、等待 B2 租约到期后再启动新版，不支持新旧二进制同时活跃：
+正式发布并取得 v2.2.0 `agentsqlctl` 后，使用目标环境的配置先检查控制面 schema 版本。v2.2.0 不增加 schema 迁移；从 v2.1.0 升级仍须成套备份、只读检查并在隔离环境演练恢复。双网关 Kubernetes 部署另须按[维护窗口操作指南](../deploy/kubernetes/README.md)停止旧版双副本、等待 B2 租约到期后再启动新版，不支持新旧二进制同时活跃：
 
 ```bash
 agentsqlctl migrate --check --config /etc/agentsql/config.yaml
diff --git a/docs/INTEGRATIONS.md b/docs/INTEGRATIONS.md
index 6881a43..7f724d6 100644
--- a/docs/INTEGRATIONS.md
+++ b/docs/INTEGRATIONS.md
@@ -1,6 +1,6 @@
 # AgentSQL MCP 接入指南
 
-> 本文说明 AgentSQL v2.1.0 的 MCP 接入。安装或拉取 v2.1.0 前，先在 [GitHub Releases](https://github.com/cuipengdba/agentsql/releases) 核对正式资产与签名，并确认对应 GHCR 镜像可以匿名拉取；源码仓库为 `github.com/cuipengdba/agentsql`。
+> 本文说明 AgentSQL v2.2.0 的 MCP 接入。安装或拉取 v2.2.0 前，先在 [GitHub Releases](https://github.com/cuipengdba/agentsql/releases) 核对正式资产与签名，并确认对应 GHCR 镜像可以匿名拉取；源码仓库为 `github.com/cuipengdba/agentsql`。
 
 本文说明如何把 MCP 客户端接到 AgentSQL。身份、授权、规则、审批与能力边界见 [使用手册](USER_GUIDE.md)，首次部署见 [快速上手](GETTING_STARTED.md)；把决策事件外发到 Webhook、告警群或 Syslog 见 [通知外发指南](NOTIFICATIONS.md)。
 
@@ -132,7 +132,7 @@ stdio 模式会关闭控制台与事件流；不要期待它提供控制台 UI
 | --- | --- | --- | --- |
 | `list_datasources` | 列出当前 Agent 已获授权的数据源 | 无 | 成功返回公开标识信息，不返回 host、密码或连接参数；失败为 `error` |
 | `list_schema` | 读取已授权结构并按列权限裁剪 | `datasource_id`；`table` 可选 | 成功通常为 `allow`；`table` 只接受字母、数字、下划线，以及至多一个点的 `table` 或 `schema.table`，不支持引号和特殊标识符；结果超过 10000 行时必须缩小到具体表 |
-| `explain_query` | 解析、评估并做只读 EXPLAIN，不执行 SQL | `datasource_id`、`sql` | 可返回 `allow`、`deny`、`warn`、`approve` 或 `error`；即使 `allow` 也没有执行 SQL |
+| `explain_query` | 解析并评估 SQL；已验证计划能力的方言附带执行计划，不执行查询 | `datasource_id`、`sql` | 可返回 `allow`、`deny`、`warn`、`approve` 或 `error`；即使 `allow` 也没有执行 SQL。Oracle Free 与崖山指定只读路径不预执行计划。 |
 | `query` | 执行受保护的单条 `SELECT` | `datasource_id`、`sql` | 仅查询；结果自动按数据源 `row_limit` 限行并做结果层脱敏；危险查询可 `deny` 或 `approve` |
 | `execute_write` | 提交单条 `INSERT`、`UPDATE`、`DELETE` 或 DDL | `datasource_id`、`sql`、必填 `reason` | 管理类语句不走此工具；DDL 要求 Agent 为 `ddl`；`allow`/`warn` 才执行，`approve` 会自动创建 pending 审批单但不执行 |
 | `request_approval` | 主动把 SQL 送审 | `datasource_id`、`sql`、必填 `reason` | 只创建审批单，不执行 SQL；返回 `approval_id` |
diff --git a/docs/USER_GUIDE.md b/docs/USER_GUIDE.md
index 109637b..31bd82f 100644
--- a/docs/USER_GUIDE.md
+++ b/docs/USER_GUIDE.md
@@ -1,8 +1,8 @@
 # AgentSQL 使用手册
 
-> 本文说明 AgentSQL v2.1.0 的功能与操作。安装或拉取 v2.1.0 前，先在 [GitHub Releases](https://github.com/cuipengdba/agentsql/releases) 核对正式资产与签名，并确认对应 GHCR 镜像可以匿名拉取；源码仓库为 `github.com/cuipengdba/agentsql`。
+> 本文说明 AgentSQL v2.2.0 的功能与操作。安装或拉取 v2.2.0 前，先在 [GitHub Releases](https://github.com/cuipengdba/agentsql/releases) 核对正式资产与签名，并确认对应 GHCR 镜像可以匿名拉取；源码仓库为 `github.com/cuipengdba/agentsql`。
 
-本手册按控制台主要菜单说明 v2.1.0 的能力和操作。首次使用请先完成 [快速上手](GETTING_STARTED.md)；MCP 客户端配置见 [接入指南](INTEGRATIONS.md)；版本范围与验收状态见 [v2.1.0 发布说明](release-notes-v2.1.0.md)和[验收记录](v2.1.0-acceptance.md)；「设置与集成 → 通知设置」的 Webhook、Syslog 与安全边界见 [通知外发指南](NOTIFICATIONS.md)。
+本手册按控制台主要菜单说明 v2.2.0 的能力和操作。首次使用请先完成 [快速上手](GETTING_STARTED.md)；MCP 客户端配置见 [接入指南](INTEGRATIONS.md)；版本范围与验收状态见 [v2.2.0 发布说明](release-notes-v2.2.0.md)和[验收记录](v2.2.0-acceptance.md)；「设置与集成 → 通知设置」的 Webhook、Syslog 与安全边界见 [通知外发指南](NOTIFICATIONS.md)。
 
 ## 1. 总览 `/`
 
@@ -35,6 +35,10 @@ v1.9.0 在同一页面增加 Dify 1.17.1 / MCP Inspector 0.16.8 的接入说明
 
 离线解释只返回“明确拒绝”或“尚不能确认允许”，并可列出对象、匹配策略 ID 与静态规则；它不连接业务库，也不执行 SQL。最后在真实客户端分别发起允许与拒绝请求，将响应的正整数审计 ID 填入向导直达审计详情，核对 Agent、数据源、决策、规则及脱敏。没有审计 ID 时按错误码先查认证、协议或依赖故障。向导不能替代逐对象授权、执行链路或生产支持验收。
 
+## v2.2.0：Oracle Free 指定实例受控只读验证
+
+本版在 Oracle AI Database 26ai Free、`FREEPDB1`、服务端 `23.26.3.0.0` 的隔离实例中，用只获 `CREATE SESSION` 和目标表 `SELECT` 的临时账号验证真实 HTTP MCP、表策略 R010、手机号脱敏与持久审计。Inspector 与 Dify 的允许/拒绝调用、数据库 SELECT 撤权、业务库及独立审计库停机均用合成数据复验。Oracle 运行账号未验证 `PLAN_TABLE` 写权限，网关不预执行 `EXPLAIN PLAN`；商业版、TCPS、主备、复杂 SQL、写入与完整生产支持不在本版声明中。详见[候选验收](v2.2.0-acceptance.md)。
+
 ## v2.1.0：崖山指定实例受控只读验证
 
 本版在 YashanDB Enterprise Edition 23.4.1.109、`COMPAT_VECTOR=yashan` 的隔离实例中，使用临时最小权限账号验证真实 HTTP MCP、表策略 R010 拒绝、手机号脱敏和持久审计。MCP Inspector 与 Dify 的允许/拒绝调用、数据库 SELECT 撤权、业务库及独立审计库停机也经过合成数据测试。该结论限指定版本、模式和窄 SELECT 子集；写入、事务、EXPLAIN、服务端 TLS、主备、客户端取消/超时仍未验证或保持关闭。详见 [候选验收](v2.1.0-acceptance.md) 与 [YashanDB 方言边界](yashan-dialect.md)。
@@ -775,7 +779,7 @@ SQLite → PostgreSQL 控制面迁移要点：停止旧服务写入；备份 SQL
 - PostgreSQL 的 B2 列级授权、B5 跨请求逻辑会话与计划事务均出厂默认开启；MySQL 不进入 B2 PostgreSQL 路径，且不支持 B5 跨请求事务。每个 operation 仍只允许一条顶层 SQL，并受预检计划和会话安全边界约束。
 - 完整原生路径仍以 PostgreSQL 14–18 与 MySQL 8 为主。DM、Oracle、YashanDB 的独立最小 dialect，以及 OpenTenBase、PolarDB 等协议兼容路径均受严格边界约束；达梦 DM8 Pack3、金仓 V9R1C10 PG 模式、Vastbase G100 Build 9 PG 模式在 v1.5.0 完成指定实例的真实客户端、权限撤销和断库恢复复验，v1.6.0 在相同范围内通过独立审计库故障、真实锁等待超时、客户端取消、数据库端终止和恢复后脱敏复验。v1.7.0 的独立 HighGo 类型仅限 9.0.10 企业版 PG 模式有界 SELECT；金仓 TLS 仅限 V9R1C10 PG 模式指定实例。范围见[瀚高验收](v1.7.0-acceptance.md)与[金仓 TLS 验收](v1.7.0-dm-kingbase-depth-acceptance.md)，不得视为完整方言支持或厂商认证。
 - v1.0.0 的 `/mcp/2026-07-28` 是独立无状态 HTTP 入口：每次 POST 都重新验证 Agent Key、由 Key 确定租户并与旧入口共用 Agent QPS；版本 Header、`Mcp-Method`、适用时的 `Mcp-Name` 必须与请求体匹配。旧 `/mcp` 与 stdio 继续服务旧协议；新入口没有 B5 跨请求逻辑会话或计划事务工具。客户端配置和请求示例见 [MCP 接入指南](INTEGRATIONS.md)。
-- v0.4.0 起提供 linux/arm64 原生 glibc 包（`aarch64` / `arm64`），并继续提供 linux/amd64 包（`x86_64` / `amd64`）；v2.1.0 GHCR tag 须在公开发布并通过双架构 manifest 与匿名拉取验收后使用。v0.5.0 已提供可选的 TOTP MFA、OIDC 和 LDAP/AD 人员认证；配置与限制见 [身份认证指南](AUTHENTICATION.md)。v2.1.0 的 Kubernetes 清单限固定双网关与指定无状态只读路径；PostgreSQL 自身 HA、法规级 WORM、SIEM、musl / Alpine 或 CentOS 7 原生一键安装仍不支持，RBAC / 多租户能力仍是 MVP。
+- v0.4.0 起提供 linux/arm64 原生 glibc 包（`aarch64` / `arm64`），并继续提供 linux/amd64 包（`x86_64` / `amd64`）；v2.2.0 GHCR tag 须在公开发布并通过双架构 manifest 与匿名拉取验收后使用。v0.5.0 已提供可选的 TOTP MFA、OIDC 和 LDAP/AD 人员认证；配置与限制见 [身份认证指南](AUTHENTICATION.md)。v2.2.0 的 Kubernetes 清单限固定双网关与指定无状态只读路径；PostgreSQL 自身 HA、法规级 WORM、SIEM、musl / Alpine 或 CentOS 7 原生一键安装仍不支持，RBAC / 多租户能力仍是 MVP。
 ## 在线安装包升级预演（与 schema 检查不同）
 
 准备可信渠道提供的 HTTPS 清单，JSON 字段为 `version`、同源 HTTPS `url` 和下载内容的 `sha256`。当前仅支持版本检查和只读预演：
diff --git a/docs/en/SECURITY.md b/docs/en/SECURITY.md
index 756e113..da01cdd 100644
--- a/docs/en/SECURITY.md
+++ b/docs/en/SECURITY.md
@@ -21,13 +21,13 @@ This table describes evidence for the **released v0.5.0 code**, not vendor certi
 | TDSQL for PostgreSQL | PG protocol candidate, awaiting commercial target environment | OpenTenBase results do not establish this product's status |
 | TDSQL for MySQL | MySQL protocol candidate, awaiting commercial target environment | Separate from TDSQL for PostgreSQL |
 | TXSQL | OpenTenBase community MySQL direction (TXSQL); separate MySQL route with no product-specific live test | MySQL 8 or OpenTenBase results do not establish this route |
-| Oracle Database 23ai | Independent `oracle` strict SELECT subset | No claim for Enterprise Edition or full Oracle SQL |
+| Oracle AI Database 26ai Free, server 23.26.3.0.0 | `FREEPDB1` synthetic instance: a least-privilege account passed bounded SELECT over real HTTP MCP with R010, phone masking, Inspector/Dify calls, durable audit, privilege revocation, and business/audit-store outage checks | No pre-execution `EXPLAIN PLAN` for this account; commercial editions, TCPS, HA, complex SQL, full production support, and vendor certification remain unverified. See the [v2.2.0 candidate record](../v2.2.0-acceptance.md). |
 | YashanDB 23.4.1.109 | Independent `yashan` bounded SELECT path; a least-privilege account passed real HTTP MCP allow/R010 deny, phone masking, durable audit, Inspector/Dify calls, permission revocation, and business/audit-store outage checks on one x86_64 synthetic instance | Other versions and modes, verified TLS, cancellation/timeout, HA, writes, transactions, EXPLAIN, and complete production support remain unproven; see the [v2.1.0 candidate record](../v2.1.0-acceptance.md) |
 | DM8 | Independent `dm` bounded SELECT subset exercised | Full grammar, writes, and column security pipeline incomplete |
 | TiDB 7.5.1 / OceanBase CE 4.4.2.1 | MySQL compatibility candidates; EXPLAIN adapters and regression fixtures exist | Fixtures do not establish a full target-environment exercise or certification |
 | PolarDB-X | Old official `2.0.1` all-in-one image exercised through `mysql`; see below | Full CN/DN/CDC, commercial service, distributed semantics, and B2/B5 unproven |
 
-> **YashanDB client redistribution authorization:** Release artifacts bundle matching-architecture YashanDB C client 23.4.7.100 runtime libraries with yashandb-go v1.4.4. The project maintainer has stated vendor authorization, but no written authorization file was supplied to this repository. The v2.1.0 candidate verifies only the stated bounded SELECT path on a named instance; writes, transactions, and EXPLAIN remain closed. Authenticated SQL-tool datasource-visibility denials are durably audited before return without storing unparsed SQL; unit, real-instance and audit-outage checks passed, with final release CI pending.
+> **YashanDB client redistribution authorization:** Release artifacts bundle matching-architecture YashanDB C client 23.4.7.100 runtime libraries with yashandb-go v1.4.4. The project maintainer has stated vendor authorization, but no written authorization file was supplied to this repository. The v2.1.0 release verifies only the stated bounded SELECT path on a named instance; writes, transactions, and EXPLAIN remain closed. Authenticated SQL-tool datasource-visibility denials are durably audited before return without storing unparsed SQL; unit, real-instance, audit-outage, and formal release CI checks passed.
 
 Reproducible AgentSQL evidence is in the [compatibility research](../ecosystem-db-compat-research.md), [v0.5 release notes](../release-notes-v0.5.md), and [KingbaseES/HighGo case record](../joint-case-kingbase-highgo.md). Product distinctions follow vendor material for [TDSQL for PostgreSQL](https://cloud.tencent.com/document/product/1129), [TDSQL for MySQL](https://cloud.tencent.com/product/dcdb), and OpenTenBase's [separate TXSQL download](https://docs.opentenbase.org/en/download/).
 
diff --git a/docs/release-notes-v2.2.0.md b/docs/release-notes-v2.2.0.md
new file mode 100644
index 0000000..aae1bf0
--- /dev/null
+++ b/docs/release-notes-v2.2.0.md
@@ -0,0 +1,14 @@
+# AgentSQL v2.2.0 发布说明
+
+v2.2.0 将已有 Oracle 原生连接、受限 SELECT 解析器和执行器接入 AgentSQL 的完整只读 MCP 安全链路。此前 Oracle 虽可做底层连接、发现和少量查询，但没有通过网关方言、规则、授权、脱敏和持久审计的同链路证明；本版只按实际验证的 Oracle AI Database 26ai Free 指定实例声明能力。
+
+本版候选实例为 `FREEPDB1`、服务端 `23.26.3.0.0`、`go-ora/v2`、x86_64 Docker 单实例。随机合成表和临时账号只获 `CREATE SESSION` 与目标表 `SELECT`。真实 HTTP MCP 允许查询返回遮蔽手机号；无权表 R010 拒绝、写入阻断、数据库 SELECT 撤销、Agent 策略撤销、独立审计库停机和 Oracle 断线均按不交付原始结果验证。MCP Inspector 和 Dify 也各自完成允许和拒绝调用。详细结果见[候选验收](v2.2.0-acceptance.md)。
+
+## 安全与兼容边界
+
+- Oracle 的 parser 与 executor 继续只接受已证明的窄 SELECT；写入、事务、函数、复杂 JOIN、子查询、CTE、系统目录和未确认结构保持拒绝。B2 列级授权与 B5 会话不扩展到 Oracle。
+- 最小权限运行账号未具备经过验证的 `PLAN_TABLE` 权限，因此此 Oracle 网关路径不预执行 `EXPLAIN PLAN`，也不把管理账号的计划结果外推到它。R004/R005 计划估算不适用；执行行数上限仍有效。
+- 本版没有 metadata/audit schema 变更。从 v2.1.0 升级仍须先对 SQLite 或 PostgreSQL metadata/audit 分库做成套备份、只读预检和隔离恢复演练。双网关 Kubernetes 仍需维护窗口，不能混跑新旧镜像。
+- Oracle Free 指定容器的合成测试不等于 Oracle 19c、商业 23ai/26ai、RAC、Data Guard、TCPS、持续负载或客户生产部署认证；本版不声称完整生产支持或厂商认证。官网 Live Demo 继续使用固定合成 PostgreSQL 数据，不把它展示为 Oracle 真库实例。
+
+正式发行 CI、安装包、签名、GHCR、官网和公网 Live Demo 的发布后证据将在封版后另行记录。
diff --git a/docs/v2.2.0-acceptance.md b/docs/v2.2.0-acceptance.md
new file mode 100644
index 0000000..f6bf458
--- /dev/null
+++ b/docs/v2.2.0-acceptance.md
@@ -0,0 +1,23 @@
+# AgentSQL v2.2.0 Oracle 指定实例候选验收
+
+状态：真库候选闭环与上一正式版数据的候选升级、备份恢复通过；正式封版包复验、CI、资产、GHCR、官网与 Live Demo 尚待独立验收。本记录的服务器是 Oracle AI Database 26ai Free，`FREEPDB1`、服务端 `23.26.3.0.0`，镜像 `container-registry.oracle.com/database/free@sha256:f988b0c04c4c386cd306a2a914c0d7a9702d83acc31b064a28ad8eb6278a8fba`，并非 Oracle 23ai 商业版。所有表和账号均为隔离实例中的合成数据。
+
+## 真实链路
+
+| 项目 | 实际结果 |
+| --- | --- |
+| 原生连接与发现 | 既有 `TestOracleDiscoveryE2E` 在健康的本机容器上通过 `go-ora/v2` 连接、`FREEPDB1` 查询、metadata、计划和错误分类；该旧测试使用管理账号，不能代替本版最小权限 MCP 证据。 |
+| 最小权限 | 本版每轮随机创建 `SYSTEM.AGSQL_V22_T_*` 与无权表 `SYSTEM.AGSQL_V22_D_*`，只读账号只获 `CREATE SESSION` 和目标表 `SELECT`。直连 SELECT 成功，INSERT 由 Oracle 服务端拒绝。结束后 `DBA_USERS` 中 `AGSQL_V22_R_*` 为 0，`DBA_TABLES` 中 `SYSTEM.AGSQL_V22_*` 为 0。 |
+| HTTP MCP | `TestOracleHTTPMCPRealE2E` 使用上述账号与真实服务、独立 Agent Key，经 `/mcp/2026-07-28` 完成允许查询、手机号 `138****5678` 脱敏、无权表 R010、解析拒绝、写入阻断；Oracle SELECT 撤权后不交付原始行，恢复权限后重新返回脱敏数据。撤销最后一条 Agent 策略后，数据源预检持久记录 `deny`，无原始 SQL。最终版本号下复测通过，日志 `D:\CodexLS\outputs\agentsql-v220\oracle-final-e2e.log`。 |
+| 持久审计 | 基础轮使用 SQLite，重新打开存储后审计总数与最新 ID 一致；另以 PostgreSQL 独立审计库复跑。停止独立审计库时，允许查询与预检拒绝均不交付原始行；数据库恢复后查询通过、返回脱敏结果并新增持久审计。`scripts/v2.2-oracle-fault.ps1 -Target audit` 退出码 0，日志 `D:\CodexLS\outputs\agentsql-v220\oracle-audit-fault.log`。 |
+| 业务库断线 | 停止 Oracle 容器时 MCP 查询不交付原始行，独立 PostgreSQL 审计记录 `error`；Oracle 恢复到 healthy 后返回脱敏结果，持久审计新增 `allow`。`scripts/v2.2-oracle-fault.ps1 -Target business` 退出码 0，日志 `D:\CodexLS\outputs\agentsql-v220\oracle-business-fault.log`。恢复后 Oracle 健康，隔离审计测试库清理为零。 |
+| 双客户端 | MCP Inspector 0.16.8 与 Dify MCPClient 1.17.1 各自通过 `/mcp` 执行允许和 R010 拒绝，审计 ID 分别为 8/9 和 10/11；允许结果只含脱敏手机号。`scripts/v2.2-oracle-clients.ps1` 退出码 0；正式留存日志在 `D:\CodexLS\outputs\agentsql-v220\oracle-clients-final.log`。 |
+| 规则接线 | 发现旧版虽有 Oracle parser 和 executor，但数据源加载、引擎方言及 R007 表未接入，因此首次真实 MCP 测试返回内部错误。候选补丁显式接入后同一测试通过；泛用规则仍不能接收未知方言。规则、引擎和流水线定向 Go 回归通过。 |
+| 全包与前端 | Linux Go 1.26.8 容器运行 `go test -short -p 1 -timeout 20m ./... -count=1` 全包通过，`go vet ./...` 通过；Vitest 17 个文件、56 项测试，TypeScript 类型检查和 Vite 生产构建通过。官网本地静态与三份 v2.2.0 PDF 检查 8/8 通过。最终合并提交 CI 及正式资产另验。 |
+| 从 v2.1.0 升级与回退 | 使用 v2.1.0 正式包的 `agentsqlctl` 和 v2.2.0 候选二进制检查隔离副本：SQLite schema 22、Agent 1、审批 1，候选迁移和旧版反向读取均通过，备份恢复后数据一致。PostgreSQL 元数据 schema 21 与独立审计 schema 6 成套备份、恢复到两组隔离库；候选迁移、旧版反向读取和第二组成套恢复后，Agent 1、审批 1 均保留。正式 v2.2.0 发布包须再跑同一检查。原 v2.1.0 数据未更改。 |
+
+## 安全边界和未验证项
+
+- Oracle 最小权限账号没有可验证的 `PLAN_TABLE` 写权限。本版在该路径禁用预执行 `EXPLAIN PLAN` 和静态 R010 的计划绑定；原生管理账号 `EXPLAIN` 测试不代表网关账号有此能力。R004/R005 的计划估算不适用于此 Oracle 子集，执行行数限额仍生效。
+- SQL 仅开放 parser 和 executor 都确认的窄 SELECT。函数、复杂 JOIN、CTE、子查询、写入、事务、系统目录和未列出语法保持拒绝；B2 列级授权、B5 会话、TCPS、证书轮换、客户端取消与超时终止、主备/RAC、持续负载、arm64 Oracle 服务端及商业版均未验证。
+- Oracle Free 镜像测试不构成厂商认证或完整生产支持。正式支持声明不得超出此版本、`FREEPDB1`、单实例、合成数据与只读子集。
diff --git a/docs/v2.2.0-design.md b/docs/v2.2.0-design.md
new file mode 100644
index 0000000..4a78080
--- /dev/null
+++ b/docs/v2.2.0-design.md
@@ -0,0 +1,36 @@
+# AgentSQL v2.2.0 设计：Oracle 指定实例受控只读闭环
+
+状态：开发中。目标实例为本机 Oracle AI Database 26ai Free、`FREEPDB1` 服务、服务端版本 `23.26.3.0.0`，容器镜像 `container-registry.oracle.com/database/free@sha256:f988b0c04c4c386cd306a2a914c0d7a9702d83acc31b064a28ad8eb6278a8fba`。Oracle 官方说明 Free 容器的 `FREEPDB1` 是默认应用 PDB，而 `FREE` 服务连接根容器；版本化镜像比 `latest` 更适合复现：[容器说明](https://container-registry.oracle.com/ords/ocr/ba/database/free)、[连接说明](https://docs.oracle.com/en/database/oracle/oracle-database/26/xeinw/connecting-oracle-database-xe.html)。本机 `v$version` 实测上述版本；本文件中的发布目标不替代最终验收记录。
+
+## 目标与边界
+
+| 目标 | 交付与验收方法 |
+| --- | --- |
+| 真实最小权限 | 在 `FREEPDB1` 建立唯一合成表、仅获 `CREATE SESSION` 和目标表 `SELECT` 的临时账号；由 Oracle 服务端拒绝写入，清理后无测试账号/对象残留。管理账号只用于建表、授权、撤销与清理。 |
+| 受控执行 | 固定单表、明确列投影和有界 WHERE 的 SELECT 子集；Oracle parser、网关与真实驱动串联。未验证结构、写入、事务、函数和多语句保持拒绝。 |
+| 身份与授权 | 真实 HTTP MCP Agent 身份，目标表允许、无权表 R010 拒绝；撤销 Agent 策略和 Oracle 表权限后均不交付原始行，恢复后重验。 |
+| 脱敏与审计 | 合成手机号按表列规则遮蔽；允许、拒绝、数据库错误与预检拒绝写入持久审计，并重新打开存储验证；独立 PostgreSQL 审计库停机时失败关闭。 |
+| 业务故障与客户端 | Oracle 断连及恢复后脱敏复验；MCP Inspector 和 Dify 分别真实执行允许与 R010 拒绝，并核对审计。 |
+| 发布交付 | 逐版独立 CI、v2.1.0 正式包升级及成套备份恢复、双架构签名资产、GHCR 三类镜像、GitHub Release、官网和 Live Demo 的发布后检查。Demo 可继续使用其固定合成 PostgreSQL 数据，不把 Demo 误写成 Oracle 真库展示。 |
+
+## 安全决定
+
+```mermaid
+flowchart LR
+  Client[MCP Inspector / Dify] --> Identity[Agent 身份与数据源可见性]
+  Identity --> Parser[Oracle 窄 SELECT 解析]
+  Parser --> Policy[表策略与通用规则]
+  Policy --> Reader[Oracle 最小权限账号]
+  Reader --> Mask[手机号脱敏]
+  Mask --> Audit[持久审计]
+  Audit --> Result[交付受保护结果]
+  Identity -- 拒绝 --> Audit
+  Parser -- 拒绝 --> Audit
+  Policy -- 拒绝 --> Audit
+  Reader -- 错误 --> Audit
+  Audit -- 写入失败 --> Closed[失败关闭，无结果交付]
+```
+
+- Oracle `go-ora/v2` 原生连接与已有只读 SQL 门禁沿用，但网关的 dialect 白名单和泛用规则须明确接入 Oracle。不能仅因 parser 可解析而允许执行。
+- 最小权限账号对 `PLAN_TABLE` 的写入能力未验证前，不使用需要 `EXPLAIN PLAN` 的预执行估算；静态 R010 拒绝不再为了计划绑定而触达数据库。行数仍由网关执行限额控制。若后续以专用计划对象完成可复核验证，再独立扩大此能力。
+- Oracle 26ai Free 合成实例的结果不外推至 19c、23ai 商业版、RAC、Data Guard、TCPS、生产负载、完整 SQL 方言或厂商认证。任何一个必需的安全闭环失败，则不发布 Oracle 新支持声明。
diff --git a/internal/engine/engine.go b/internal/engine/engine.go
index ff9d418..a91d2a3 100644
--- a/internal/engine/engine.go
+++ b/internal/engine/engine.go
@@ -131,6 +131,7 @@ func validateAST(ast *model.AST) error {
 	}
 	if ast.Dialect != model.DialectPostgres && ast.Dialect != model.DialectMySQL &&
 		ast.Dialect != model.DialectSQLServer && ast.Dialect != model.DialectDM &&
+		ast.Dialect != model.DialectOracle &&
 		ast.Dialect != model.DialectYashan && ast.Dialect != model.DialectVastbase &&
 		ast.Dialect != model.DialectHighGo {
 		return fmt.Errorf("validate AST dialect %q: %w", ast.Dialect, ErrInvalidInput)
@@ -253,6 +254,7 @@ func validRuleDialect(dialect model.DBDialect) bool {
 		dialect == model.DBDialect("mysql") ||
 		dialect == model.DBDialect("sqlserver") ||
 		dialect == model.DialectDM ||
+		dialect == model.DialectOracle ||
 		dialect == model.DialectYashan ||
 		dialect == model.DialectVastbase ||
 		dialect == model.DialectHighGo ||
diff --git a/internal/mcpserver/oracle_live_test.go b/internal/mcpserver/oracle_live_test.go
new file mode 100644
index 0000000..b7ff658
--- /dev/null
+++ b/internal/mcpserver/oracle_live_test.go
@@ -0,0 +1,312 @@
+package mcpserver
+
+import (
+	"context"
+	"crypto/rand"
+	"database/sql"
+	"encoding/hex"
+	"encoding/json"
+	"net/http/httptest"
+	"os"
+	"path/filepath"
+	"strings"
+	"testing"
+	"time"
+
+	"github.com/cuipengdba/agentsql/internal/audit"
+	"github.com/cuipengdba/agentsql/internal/auth"
+	executor "github.com/cuipengdba/agentsql/internal/authorizedexecute"
+	"github.com/cuipengdba/agentsql/internal/mask"
+	"github.com/cuipengdba/agentsql/internal/model"
+	"github.com/cuipengdba/agentsql/internal/pipeline"
+	"github.com/cuipengdba/agentsql/internal/store"
+	"github.com/modelcontextprotocol/go-sdk/mcp"
+	"github.com/rs/zerolog"
+	goora "github.com/sijms/go-ora/v2"
+	"github.com/stretchr/testify/require"
+)
+
+// TestOracleHTTPMCPRealE2E proves the narrowly governed Oracle path against
+// a real FREEPDB1 instance. It is opt-in and uses only synthetic data.
+func TestOracleHTTPMCPRealE2E(t *testing.T) {
+	if os.Getenv("AGENTSQL_ORACLE_E2E") != "1" {
+		t.Skip("set AGENTSQL_ORACLE_E2E=1 and ORACLE_PASSWORD for a real Oracle instance")
+	}
+	password := os.Getenv("ORACLE_PASSWORD")
+	require.NotEmpty(t, password)
+	host := os.Getenv("ORACLE_HOST")
+	if host == "" {
+		host = "127.0.0.1"
+	}
+	clientDir := os.Getenv("AGENTSQL_TEST_ORACLE_CLIENT_DIR")
+	auditDSN := os.Getenv("AGENTSQL_TEST_ORACLE_AUDIT_DSN")
+	auditFaultDir := os.Getenv("AGENTSQL_TEST_ORACLE_AUDIT_FAULT_DIR")
+	businessFaultDir := os.Getenv("AGENTSQL_TEST_ORACLE_BUSINESS_FAULT_DIR")
+	timeout := 3 * time.Minute
+	if clientDir != "" || auditFaultDir != "" || businessFaultDir != "" {
+		timeout = 15 * time.Minute
+	}
+	ctx, cancel := context.WithTimeout(context.Background(), timeout)
+	defer cancel()
+	admin, err := sql.Open("oracle", goora.BuildUrl(host, 1521, "FREEPDB1", "SYSTEM", password, nil))
+	require.NoError(t, err)
+	require.NoError(t, admin.PingContext(ctx))
+	defer admin.Close()
+
+	random := make([]byte, 4)
+	_, err = rand.Read(random)
+	require.NoError(t, err)
+	suffix := strings.ToUpper(hex.EncodeToString(random))
+	table := "AGSQL_V22_T_" + suffix
+	deniedTable := "AGSQL_V22_D_" + suffix
+	reader := "AGSQL_V22_R_" + suffix
+	secret := make([]byte, 12)
+	_, err = rand.Read(secret)
+	require.NoError(t, err)
+	readerPassword := "Aa1" + hex.EncodeToString(secret)
+	created := make([]string, 0, 2)
+	createdReader := false
+	t.Cleanup(func() {
+		cleanupCtx, stop := context.WithTimeout(context.Background(), 30*time.Second)
+		defer stop()
+		cleanup, openErr := sql.Open("oracle", goora.BuildUrl(host, 1521, "FREEPDB1", "SYSTEM", password, nil))
+		if openErr != nil || cleanup.PingContext(cleanupCtx) != nil {
+			t.Error("reconnect Oracle administrator for cleanup failed")
+			return
+		}
+		defer cleanup.Close()
+		if createdReader {
+			if _, dropErr := cleanup.ExecContext(cleanupCtx, "DROP USER "+reader+" CASCADE"); dropErr != nil {
+				t.Error("remove temporary Oracle reader failed")
+			}
+		}
+		for _, name := range created {
+			if _, dropErr := cleanup.ExecContext(cleanupCtx, "DROP TABLE SYSTEM."+name+" PURGE"); dropErr != nil {
+				t.Error("remove temporary Oracle table failed")
+			}
+		}
+	})
+	for _, name := range []string{table, deniedTable} {
+		_, err = admin.ExecContext(ctx, "CREATE TABLE SYSTEM."+name+" (ID NUMBER, PHONE VARCHAR2(32))")
+		require.NoError(t, err)
+		created = append(created, name)
+		_, err = admin.ExecContext(ctx, "INSERT INTO SYSTEM."+name+" (ID, PHONE) VALUES (1, '13800135678')")
+		require.NoError(t, err)
+	}
+	_, err = admin.ExecContext(ctx, "CREATE USER "+reader+" IDENTIFIED BY "+readerPassword)
+	require.NoError(t, err)
+	createdReader = true
+	for _, statement := range []string{
+		"GRANT CREATE SESSION TO " + reader,
+		"GRANT SELECT ON SYSTEM." + table + " TO " + reader,
+	} {
+		_, err = admin.ExecContext(ctx, statement)
+		require.NoError(t, err)
+	}
+	readerDB, err := sql.Open("oracle", goora.BuildUrl(host, 1521, "FREEPDB1", reader, readerPassword, nil))
+	require.NoError(t, err)
+	require.NoError(t, readerDB.PingContext(ctx))
+	defer readerDB.Close()
+	var plain string
+	require.NoError(t, readerDB.QueryRowContext(ctx, "SELECT PHONE FROM SYSTEM."+table+" WHERE ID = 1").Scan(&plain))
+	require.Equal(t, "13800135678", plain)
+	_, err = readerDB.ExecContext(ctx, "INSERT INTO SYSTEM."+table+" (ID, PHONE) VALUES (2, 'x')")
+	require.Error(t, err, "Oracle must reject writes from the gateway account")
+
+	opener := func(path string) (*store.Store, error) {
+		if auditDSN == "" {
+			return store.OpenWithSecret(ctx, path, mcpTestSecret)
+		}
+		return store.OpenMetadata(ctx, store.MetadataOptions{
+			Driver: store.DialectSQLite, SQLitePath: path, AutoMigrate: true,
+			Audit: store.AuditOptions{Separate: true, Driver: store.DialectPostgres,
+				PostgresDSN: auditDSN, AutoMigrate: true},
+		}, mcpTestSecret)
+	}
+	fixture := newMCPFixtureWithOpener(t, "readonly", opener)
+	const datasourceID = "ds-oracle-v22"
+	_, err = fixture.runtime.Store.Datasources().Create(ctx, model.Datasource{
+		ID: datasourceID, Name: "Oracle 26ai Free least-privilege test", DBType: "oracle",
+		Host: host, Port: 1521, Database: "FREEPDB1", Username: reader,
+		ConnLimit: 2, StmtTimeoutMS: 10_000, RowLimit: 10,
+	}, readerPassword)
+	require.NoError(t, err)
+	policy := model.Policy{ID: "oracle-allowed-table", AgentID: fixture.agent.ID,
+		DatasourceID: datasourceID, ObjectType: "table", ObjectName: "SYSTEM." + table, Action: "allow"}
+	_, err = fixture.runtime.Store.Policies().Create(ctx, policy)
+	require.NoError(t, err)
+	redactor, err := mask.NewRedactor([]mask.Rule{{Schema: "SYSTEM", Table: table, Column: "PHONE", SensitiveType: mask.TypePhone, Algorithm: mask.AlgoMask}})
+	require.NoError(t, err)
+	fixture.redactors.redactor = redactor
+	gateway := executor.NewGateway(true)
+	t.Cleanup(func() { require.NoError(t, gateway.CloseAll()) })
+	fixture.runtime.Pipeline, err = pipeline.New(pipeline.Ports{
+		Authenticator: auth.NewAuthenticator(fixture.runtime.Store.Agents()),
+		Datasources:   fixture.runtime.Store.Datasources(), Policies: fixture.runtime.Store.Policies(),
+		Executors: gateway, Approvals: fixture.runtime.Store.Approvals(),
+		Audit: audit.NewRecorder(fixture.runtime.Store.AuditLogs()), Redactors: fixture.redactors,
+		TaskReadGrants: fixture.runtime.Store.TaskReadGrants(),
+	}, mcpTestSecret)
+	require.NoError(t, err)
+	handler, err := NewHTTPHandler(fixture.runtime, statefulHTTPTestConfig(100), zerolog.Nop())
+	require.NoError(t, err)
+	httpServer := httptest.NewServer(handler)
+	defer httpServer.Close()
+	httpClient := httpServer.Client()
+	httpClient.Transport = bearerTransport{base: httpClient.Transport, key: fixture.handlers.apiKey}
+	client := mcp.NewClient(&mcp.Implementation{Name: "oracle-v22-http-e2e", Version: "test"}, nil)
+	session, err := client.Connect(ctx, &mcp.StreamableClientTransport{
+		Endpoint: httpServer.URL + modernMCPPath, HTTPClient: httpClient,
+	}, nil)
+	require.NoError(t, err)
+	defer session.Close()
+	call := func(name, query string) string {
+		t.Helper()
+		arguments := map[string]any{"datasource_id": datasourceID, "sql": query}
+		if name == "execute_write" {
+			arguments["reason"] = "verify Oracle read-only enforcement"
+		}
+		result, callErr := session.CallTool(ctx, &mcp.CallToolParams{Name: name, Arguments: arguments})
+		require.NoError(t, callErr)
+		encoded, marshalErr := json.Marshal(result)
+		require.NoError(t, marshalErr)
+		return string(encoded)
+	}
+	allowSQL := "SELECT PHONE FROM SYSTEM." + table + " WHERE ID = 1"
+	allowed := call("query", allowSQL)
+	require.Contains(t, allowed, `"decision":"allow"`)
+	require.Contains(t, allowed, "138****5678")
+	require.NotContains(t, allowed, plain)
+	denied := call("query", "SELECT PHONE FROM SYSTEM."+deniedTable+" WHERE ID = 1")
+	require.Contains(t, denied, `"decision":"deny"`)
+	require.Contains(t, denied, `"RuleID":"R010"`)
+	require.NotContains(t, denied, plain)
+	unsafe := call("query", "SELECT /* unsupported */ PHONE FROM SYSTEM."+table+" WHERE ID = 1")
+	require.Contains(t, unsafe, `"decision":"error"`)
+	require.NotContains(t, unsafe, plain)
+	write := call("execute_write", "UPDATE SYSTEM."+table+" SET PHONE = 'changed' WHERE ID = 1")
+	require.NotContains(t, write, `"decision":"allow"`)
+	require.NotContains(t, write, plain)
+
+	page, err := fixture.runtime.Store.AuditLogs().Page(ctx, 1, 20)
+	require.NoError(t, err)
+	require.Equal(t, int64(4), page.Total)
+	reopened, err := opener(fixture.databasePath)
+	require.NoError(t, err)
+	defer reopened.Close()
+	durable, err := reopened.AuditLogs().Page(ctx, 1, 20)
+	require.NoError(t, err)
+	require.Equal(t, page.Total, durable.Total)
+	require.Equal(t, page.List[0].ID, durable.List[0].ID)
+
+	_, err = admin.ExecContext(ctx, "REVOKE SELECT ON SYSTEM."+table+" FROM "+reader)
+	require.NoError(t, err)
+	permissionRevoked := call("query", allowSQL)
+	require.NotContains(t, permissionRevoked, `"decision":"allow"`)
+	require.NotContains(t, permissionRevoked, plain)
+	_, err = admin.ExecContext(ctx, "GRANT SELECT ON SYSTEM."+table+" TO "+reader)
+	require.NoError(t, err)
+	permissionRestored := call("query", allowSQL)
+	require.Contains(t, permissionRestored, `"decision":"allow"`)
+	require.Contains(t, permissionRestored, "138****5678")
+
+	require.NoError(t, fixture.runtime.Store.Policies().Delete(ctx, policy.ID))
+	visibilityDenied := call("query", allowSQL)
+	require.Contains(t, visibilityDenied, `"decision":"deny"`)
+	require.NotContains(t, visibilityDenied, plain)
+	after, err := reopened.AuditLogs().Page(ctx, 1, 20)
+	require.NoError(t, err)
+	require.Equal(t, page.Total+3, after.Total)
+	require.Equal(t, "datasource_visibility_deny", *after.List[0].Action)
+	require.Nil(t, after.List[0].SQLRaw)
+	_, err = fixture.runtime.Store.Policies().Create(ctx, policy)
+	require.NoError(t, err)
+	signal := func(dir, name string) {
+		t.Helper()
+		require.NoError(t, os.WriteFile(filepath.Join(dir, name), []byte("ready\n"), 0o600))
+	}
+	waitSignal := func(dir, name string) {
+		t.Helper()
+		for {
+			if _, statErr := os.Stat(filepath.Join(dir, name)); statErr == nil {
+				return
+			} else if !os.IsNotExist(statErr) {
+				require.NoError(t, statErr)
+			}
+			select {
+			case <-ctx.Done():
+				t.Fatal("timed out waiting for Oracle fault signal: " + name)
+			case <-time.After(250 * time.Millisecond):
+			}
+		}
+	}
+	if auditFaultDir != "" {
+		require.NotEmpty(t, auditDSN, "audit outage requires an independent audit database")
+		signal(auditFaultDir, "ready")
+		waitSignal(auditFaultDir, "down")
+		failedAudit := call("query", allowSQL)
+		require.NotContains(t, failedAudit, `"decision":"allow"`)
+		require.NotContains(t, failedAudit, plain)
+		require.NoError(t, fixture.runtime.Store.Policies().Delete(ctx, policy.ID))
+		failedPreflight := call("query", allowSQL)
+		require.Contains(t, failedPreflight, `"decision":"error"`)
+		require.NotContains(t, failedPreflight, plain)
+		_, err = fixture.runtime.Store.Policies().Create(ctx, policy)
+		require.NoError(t, err)
+		signal(auditFaultDir, "down_checked")
+		waitSignal(auditFaultDir, "up")
+		restoredAudit := call("query", allowSQL)
+		require.Contains(t, restoredAudit, `"decision":"allow"`)
+		require.Contains(t, restoredAudit, "138****5678")
+		faultPage, pageErr := reopened.AuditLogs().Page(ctx, 1, 20)
+		require.NoError(t, pageErr)
+		require.Equal(t, after.Total+1, faultPage.Total)
+		after = faultPage
+	}
+	if businessFaultDir != "" {
+		signal(businessFaultDir, "ready")
+		waitSignal(businessFaultDir, "down")
+		failedBusiness := call("query", allowSQL)
+		require.NotContains(t, failedBusiness, `"decision":"allow"`)
+		require.NotContains(t, failedBusiness, plain)
+		signal(businessFaultDir, "down_checked")
+		waitSignal(businessFaultDir, "up")
+		restoredBusiness := call("query", allowSQL)
+		require.Contains(t, restoredBusiness, `"decision":"allow"`)
+		require.Contains(t, restoredBusiness, "138****5678")
+		faultPage, pageErr := reopened.AuditLogs().Page(ctx, 1, 20)
+		require.NoError(t, pageErr)
+		require.Equal(t, after.Total+2, faultPage.Total)
+		require.Equal(t, "error", faultPage.List[1].Decision)
+		require.Equal(t, "allow", faultPage.List[0].Decision)
+		after = faultPage
+	}
+	if clientDir == "" {
+		return
+	}
+	clientInfo, err := json.Marshal(map[string]string{
+		"url": httpServer.URL + "/mcp", "api_key": fixture.handlers.apiKey,
+		"datasource_id": datasourceID, "allow_sql": allowSQL,
+		"deny_sql":  "SELECT PHONE FROM SYSTEM." + deniedTable + " WHERE ID = 1",
+		"deny_rule": "R010",
+	})
+	require.NoError(t, err)
+	infoPath := filepath.Join(clientDir, "client.json")
+	require.NoError(t, os.WriteFile(infoPath, clientInfo, 0o600))
+	defer os.Remove(infoPath)
+	for {
+		if _, statErr := os.Stat(filepath.Join(clientDir, "clients_done")); statErr == nil {
+			break
+		} else if !os.IsNotExist(statErr) {
+			require.NoError(t, statErr)
+		}
+		select {
+		case <-ctx.Done():
+			t.Fatal("timed out waiting for Oracle Inspector and Dify MCP calls")
+		case <-time.After(250 * time.Millisecond):
+		}
+	}
+	afterClients, err := reopened.AuditLogs().Page(ctx, 1, 20)
+	require.NoError(t, err)
+	require.Equal(t, after.Total+4, afterClients.Total)
+}
diff --git a/internal/mcpserver/tools.go b/internal/mcpserver/tools.go
index 33ab26d..2b78c7b 100644
--- a/internal/mcpserver/tools.go
+++ b/internal/mcpserver/tools.go
@@ -112,7 +112,7 @@ func registerTools(server *mcp.Server, handlers *toolHandlers) {
 	})
 	addAgentTool(server, &mcp.Tool{
 		Name:        "explain_query",
-		Description: "只评估和 EXPLAIN 一条 SQL，不执行；可能返回拒绝、告警或需审批结论。",
+		Description: "只评估一条 SQL，不执行查询；已验证计划能力的方言会附带执行计划，可能返回拒绝、告警或需审批结论。",
 	}, func(ctx context.Context, _ *mcp.CallToolRequest, input sqlInput) (*mcp.CallToolResult, ToolResponse, error) {
 		response := handlers.explainQuery(ctx, input.DatasourceID, input.SQL)
 		return protocolResult(response), response, nil
diff --git a/internal/pipeline/b2_mysql_routing_test.go b/internal/pipeline/b2_mysql_routing_test.go
index d41a781..35c034a 100644
--- a/internal/pipeline/b2_mysql_routing_test.go
+++ b/internal/pipeline/b2_mysql_routing_test.go
@@ -296,6 +296,12 @@ func TestDeniedSelectBindingExceptionOnlyAppliesToR010(t *testing.T) {
 		Decision: model.DecisionDeny,
 		Hits:     []model.RuleHit{otherDeny},
 	}))
+	oracleAST := &model.AST{Dialect: model.DialectOracle, StmtType: model.StmtType("SELECT")}
+	require.False(t, shouldExplain(oracleAST))
+	require.False(t, shouldBindDeniedSelect(oracleAST, model.Assessment{
+		Decision: model.DecisionDeny,
+		Hits:     []model.RuleHit{r010},
+	}))
 }
 
 func TestFunctionQualificationFailureIsAuditedAuthorizationDeny(t *testing.T) {
diff --git a/internal/pipeline/pipeline.go b/internal/pipeline/pipeline.go
index 357759a..1c17dff 100644
--- a/internal/pipeline/pipeline.go
+++ b/internal/pipeline/pipeline.go
@@ -142,7 +142,7 @@ func (pipeline *Pipeline) process(
 		if datasource.ID != request.DatasourceID {
 			return fmt.Errorf("datasource reader returned ID %q for %q", datasource.ID, request.DatasourceID)
 		}
-		if datasource.DBType != "postgres" && datasource.DBType != "vastbase" && datasource.DBType != "highgo" && datasource.DBType != "mysql" && datasource.DBType != "sqlserver" && datasource.DBType != "dm" && datasource.DBType != "yashan" {
+		if datasource.DBType != "postgres" && datasource.DBType != "vastbase" && datasource.DBType != "highgo" && datasource.DBType != "mysql" && datasource.DBType != "sqlserver" && datasource.DBType != "dm" && datasource.DBType != "oracle" && datasource.DBType != "yashan" {
 			return fmt.Errorf("datasource %q has unsupported dialect %q", datasource.ID, datasource.DBType)
 		}
 		run.datasource = &datasource
@@ -1334,9 +1334,10 @@ func hasB2ColumnPolicy(policies []model.Policy) bool {
 }
 
 func shouldExplain(ast *model.AST) bool {
-	// Yashan has no verified plan decoder. Its row limit still applies at
-	// execution, but plan-based R004/R005 estimates are unavailable.
-	if ast == nil || ast.Dialect == model.DialectYashan {
+	// Yashan has no verified plan decoder; Oracle's least-privilege account
+	// has no proven PLAN_TABLE write privilege. Row limits still apply, but
+	// plan-based R004/R005 estimates are unavailable on these paths.
+	if ast == nil || ast.Dialect == model.DialectYashan || ast.Dialect == model.DialectOracle {
 		return false
 	}
 	switch ast.StmtType {
@@ -1348,8 +1349,9 @@ func shouldExplain(ast *model.AST) bool {
 }
 
 func shouldBindDeniedSelect(ast *model.AST, assessment model.Assessment) bool {
-	// Without a verified Yashan EXPLAIN binder, a static R010 deny is final.
-	if ast == nil || ast.Dialect == model.DialectYashan || ast.StmtType != model.StmtType("SELECT") || assessment.Decision != model.DecisionDeny {
+	// Without a verified Yashan or least-privilege Oracle plan binder, a
+	// static R010 deny is final and must not touch the database for a plan.
+	if ast == nil || ast.Dialect == model.DialectYashan || ast.Dialect == model.DialectOracle || ast.StmtType != model.StmtType("SELECT") || assessment.Decision != model.DecisionDeny {
 		return false
 	}
 	foundObjectDeny := false
diff --git a/internal/pipeline/rules.go b/internal/pipeline/rules.go
index 0378499..01b1a5a 100644
--- a/internal/pipeline/rules.go
+++ b/internal/pipeline/rules.go
@@ -98,6 +98,9 @@ func assembleRules(
 	case model.DialectDM:
 		// DM8 uses the generic rules. Its parser and executor independently
 		// enforce the documented read-only SELECT subset.
+	case model.DialectOracle:
+		// Oracle Free uses generic rules. The separate parser and executor keep
+		// the verified read-only SELECT boundary.
 	case model.DialectYashan:
 		// Yashan uses generic rules; its parser and executor reject unproved SQL.
 	case model.DialectVastbase:
diff --git a/internal/rules/generic.go b/internal/rules/generic.go
index c4ed233..41d077f 100644
--- a/internal/rules/generic.go
+++ b/internal/rules/generic.go
@@ -424,6 +424,7 @@ var dangerousFunctions = map[string]map[string]struct{}{
 		"waitfor":        {},
 	},
 	"dm":       {}, // The DM8 parser rejects function calls in its SELECT subset.
+	"oracle":   {}, // The Oracle parser rejects function calls in its SELECT subset.
 	"yashan":   {}, // The Yashan parser rejects function calls in its SELECT subset.
 	"vastbase": {}, // The Vastbase PG-mode parser rejects all function calls.
 	"highgo":   {}, // The HighGo PG-mode parser rejects all function calls.
@@ -634,6 +635,7 @@ func requiredAST(context engine.EvalContext) (*model.AST, error) {
 		context.AST.Dialect != model.DBDialect("mysql") &&
 		context.AST.Dialect != model.DBDialect("sqlserver") &&
 		context.AST.Dialect != model.DialectDM &&
+		context.AST.Dialect != model.DialectOracle &&
 		context.AST.Dialect != model.DialectVastbase &&
 		context.AST.Dialect != model.DialectHighGo &&
 		context.AST.Dialect != model.DialectYashan {
diff --git a/internal/rules/generic_test.go b/internal/rules/generic_test.go
index 84d6106..79be853 100644
--- a/internal/rules/generic_test.go
+++ b/internal/rules/generic_test.go
@@ -340,7 +340,7 @@ func TestGenericRulesFailClosed(t *testing.T) {
 		{name: "missing agent level", ruleID: "R003", context: engine.EvalContext{AST: astWith("postgres", "SELECT", "SELECT 1")}},
 		{name: "negative explain rows", ruleID: "R004", context: engine.EvalContext{AST: astWithExplain(-1)}},
 		{name: "invalid threshold", ruleID: "R005", context: mergeContext(astWithExplain(2), thresholds(ThresholdRowLimit, -1))},
-		{name: "unsupported dialect", ruleID: "R007", context: engine.EvalContext{AST: astWith("oracle", "SELECT", "SELECT 1")}},
+		{name: "unsupported dialect", ruleID: "R007", context: engine.EvalContext{AST: astWith("unknown", "SELECT", "SELECT 1")}},
 		{name: "nil limiter", ruleID: "R008", context: rateContext("ag_nil", 1, 1)},
 		{name: "fractional concurrency", ruleID: "R008", limiter: mustLimiter(t, newFakeClock()), context: rateContext("ag_fraction", 1, 1.5)},
 		{name: "malformed complexity", ruleID: "R009", context: engine.EvalContext{AST: mutateAST(astWith("postgres", "SELECT", "SELECT 1"), operation(OperationUnionCount+":many"))}},
diff --git a/internal/version/version.go b/internal/version/version.go
index 950423b..41f2ddd 100644
--- a/internal/version/version.go
+++ b/internal/version/version.go
@@ -2,4 +2,4 @@
 package version
 
 // Version is overridden in release builds through -ldflags -X.
-var Version = "v2.1.0"
+var Version = "v2.2.0"
diff --git a/scripts/build-ghcr-multiarch.ps1 b/scripts/build-ghcr-multiarch.ps1
index 8a0e418..78362db 100644
--- a/scripts/build-ghcr-multiarch.ps1
+++ b/scripts/build-ghcr-multiarch.ps1
@@ -10,7 +10,7 @@
 [CmdletBinding()]
 param(
     [ValidatePattern('^v[0-9]+\.[0-9]+\.[0-9]+$')]
-    [string]$Version = 'v2.1.0',
+    [string]$Version = 'v2.2.0',
 
     [string]$Builder = 'agentsql-multiarch',
 
diff --git a/scripts/build-release-linux.sh b/scripts/build-release-linux.sh
index 3eabe5a..e5c15a0 100644
--- a/scripts/build-release-linux.sh
+++ b/scripts/build-release-linux.sh
@@ -3,7 +3,7 @@
 set -eu
 
 ARCH=${ARCH:-amd64}
-VERSION=${VERSION:-v2.1.0}
+VERSION=${VERSION:-v2.2.0}
 GO_VERSION=${GO_VERSION:-1.26.9}
 GOPROXY=${GOPROXY:-https://goproxy.cn,direct}
 YASHAN_CLIENT_VERSION=${YASHAN_CLIENT_VERSION:-23.4.7.100}
diff --git a/scripts/package-release.sh b/scripts/package-release.sh
index a61f7da..cbbf211 100644
--- a/scripts/package-release.sh
+++ b/scripts/package-release.sh
@@ -3,7 +3,7 @@
 set -eu
 umask 022
 
-VERSION=${VERSION:-v2.1.0}
+VERSION=${VERSION:-v2.2.0}
 ARCH=${ARCH:-amd64}
 SOURCE_DATE_EPOCH=${SOURCE_DATE_EPOCH:-1704067200}
 
diff --git a/scripts/release-dryrun.ps1 b/scripts/release-dryrun.ps1
index c9f6e24..66bd391 100644
--- a/scripts/release-dryrun.ps1
+++ b/scripts/release-dryrun.ps1
@@ -4,7 +4,7 @@
 [CmdletBinding()]
 param(
     [ValidatePattern('^v[0-9]+\.[0-9]+\.[0-9]+$')]
-    [string]$Version = 'v2.1.0',
+    [string]$Version = 'v2.2.0',
 
     [string]$OutputDirectory,
 
diff --git a/scripts/v2.2-oracle-clients.ps1 b/scripts/v2.2-oracle-clients.ps1
new file mode 100644
index 0000000..516dd62
--- /dev/null
+++ b/scripts/v2.2-oracle-clients.ps1
@@ -0,0 +1,69 @@
+param(
+    [string]$Container = 'oracle-v06',
+    [string]$TempRoot = 'D:\CodexLS\tmp\agentsql-v220'
+)
+
+$ErrorActionPreference = 'Stop'
+Set-StrictMode -Version Latest
+$repo = Split-Path -Parent $PSScriptRoot
+$moduleCache = 'D:\CodexLS\cache\agentsql-go-mod-linux'
+$buildCache = 'D:\CodexLS\cache\agentsql-go-build-linux'
+foreach ($path in @($repo, $moduleCache, $buildCache)) {
+    if (-not (Test-Path -LiteralPath $path -PathType Container)) { throw "Required directory is missing: $path" }
+}
+if ((& docker inspect $Container --format '{{.State.Health.Status}}').Trim() -ne 'healthy') {
+    throw 'The isolated Oracle container is not healthy'
+}
+New-Item -ItemType Directory -Path $TempRoot -Force | Out-Null
+$clientDir = Join-Path $TempRoot ('clients-' + [guid]::NewGuid().ToString('N'))
+New-Item -ItemType Directory -Path $clientDir | Out-Null
+$testContainer = 'agentsql-v220-oracle-' + [guid]::NewGuid().ToString('N').Substring(0, 8)
+$passwordLine = & docker inspect $Container --format '{{range .Config.Env}}{{println .}}{{end}}' |
+    Where-Object { $_ -like 'ORACLE_PWD=*' } | Select-Object -First 1
+if (-not $passwordLine) { throw 'Oracle test credential is unavailable' }
+$env:ORACLE_PASSWORD = $passwordLine.Substring('ORACLE_PWD='.Length)
+try {
+    & docker run -d --name $testContainer --network "container:$Container" `
+        --mount "type=bind,source=$repo,target=/src" `
+        --mount "type=bind,source=$moduleCache,target=/gomod" `
+        --mount "type=bind,source=$buildCache,target=/buildcache" `
+        --mount "type=bind,source=$clientDir,target=/clients" `
+        --workdir /src --env GOPROXY=off --env GOTOOLCHAIN=local `
+        --env GOMODCACHE=/gomod --env GOCACHE=/buildcache `
+        --env AGENTSQL_ORACLE_E2E=1 --env ORACLE_PASSWORD --env ORACLE_HOST=127.0.0.1 `
+        --env AGENTSQL_TEST_ORACLE_CLIENT_DIR=/clients `
+        golang:1.26-bookworm /usr/local/go/bin/go test -timeout 12m -count=1 -v `
+        -run '^TestOracleHTTPMCPRealE2E$' ./internal/mcpserver | Out-Null
+    if ($LASTEXITCODE -ne 0) { throw 'Could not start Oracle live MCP test container' }
+    $clientInfoPath = Join-Path $clientDir 'client.json'
+    $deadline = (Get-Date).AddMinutes(8)
+    while (-not (Test-Path -LiteralPath $clientInfoPath)) {
+        if ((& docker inspect $testContainer --format '{{.State.Running}}').Trim() -ne 'true') {
+            & docker logs $testContainer
+            throw 'Oracle live MCP test exited before external clients connected'
+        }
+        if ((Get-Date) -ge $deadline) { throw 'Timed out waiting for Oracle MCP test gateway' }
+        Start-Sleep -Seconds 1
+    }
+    $clientInfo = Get-Content -LiteralPath $clientInfoPath -Raw | ConvertFrom-Json
+    & (Join-Path $PSScriptRoot 'v1.5-mcp-client-probes.ps1') `
+        -Network "container:$Container" -MCPURL $clientInfo.url -ApiKey $clientInfo.api_key `
+        -DatasourceID $clientInfo.datasource_id -AllowSQL $clientInfo.allow_sql `
+        -DenySQL $clientInfo.deny_sql -DenyRule $clientInfo.deny_rule
+    if ($LASTEXITCODE -ne 0) { throw 'Oracle Inspector/Dify client probe failed' }
+    Set-Content -LiteralPath (Join-Path $clientDir 'clients_done') -Value 'four calls completed'
+    $deadline = (Get-Date).AddMinutes(2)
+    while ((& docker inspect $testContainer --format '{{.State.Running}}').Trim() -eq 'true') {
+        if ((Get-Date) -ge $deadline) { throw 'Oracle live MCP test did not finish' }
+        Start-Sleep -Seconds 1
+    }
+    $testExit = (& docker inspect $testContainer --format '{{.State.ExitCode}}').Trim()
+    & docker logs $testContainer
+    if ($testExit -ne '0') { throw "Oracle live MCP test failed with exit=$testExit" }
+    Write-Output 'V220_ORACLE_INSPECTOR_DIFY=PASS'
+}
+finally {
+    Remove-Item Env:\ORACLE_PASSWORD -ErrorAction SilentlyContinue
+    Remove-Item -LiteralPath (Join-Path $clientDir 'client.json') -Force -ErrorAction SilentlyContinue
+    & docker rm -f $testContainer 2>$null | Out-Null
+}
diff --git a/scripts/v2.2-oracle-fault.ps1 b/scripts/v2.2-oracle-fault.ps1
new file mode 100644
index 0000000..0785672
--- /dev/null
+++ b/scripts/v2.2-oracle-fault.ps1
@@ -0,0 +1,124 @@
+param(
+    [ValidateSet('audit', 'business')][string]$Target = 'audit',
+    [string]$OracleContainer = 'oracle-v06',
+    [string]$AuditContainer = 'agentsql-v210-audit',
+    [string]$TempRoot = 'D:\CodexLS\tmp\agentsql-v220'
+)
+
+$ErrorActionPreference = 'Stop'
+Set-StrictMode -Version Latest
+$repo = Split-Path -Parent $PSScriptRoot
+$moduleCache = 'D:\CodexLS\cache\agentsql-go-mod-linux'
+$buildCache = 'D:\CodexLS\cache\agentsql-go-build-linux'
+foreach ($path in @($repo, $moduleCache, $buildCache)) {
+    if (-not (Test-Path -LiteralPath $path -PathType Container)) { throw "Required directory is missing: $path" }
+}
+if ((& docker inspect $OracleContainer --format '{{.State.Health.Status}}').Trim() -ne 'healthy') {
+    throw 'Oracle test container is not healthy'
+}
+if ((& docker inspect $AuditContainer --format '{{.State.Running}}').Trim() -ne 'true') {
+    throw 'Independent PostgreSQL audit container is not running'
+}
+New-Item -ItemType Directory -Path $TempRoot -Force | Out-Null
+$faultDir = Join-Path $TempRoot ($Target + '-fault-' + [guid]::NewGuid().ToString('N'))
+New-Item -ItemType Directory -Path $faultDir | Out-Null
+$dbName = 'agv22_' + [guid]::NewGuid().ToString('N').Substring(0, 10)
+$testContainer = 'agentsql-v220-' + $Target + '-' + [guid]::NewGuid().ToString('N').Substring(0, 8)
+$oraclePasswordLine = & docker inspect $OracleContainer --format '{{range .Config.Env}}{{println .}}{{end}}' |
+    Where-Object { $_ -like 'ORACLE_PWD=*' } | Select-Object -First 1
+$auditPasswordLine = & docker inspect $AuditContainer --format '{{range .Config.Env}}{{println .}}{{end}}' |
+    Where-Object { $_ -like 'POSTGRES_PASSWORD=*' } | Select-Object -First 1
+if (-not $oraclePasswordLine -or -not $auditPasswordLine) { throw 'Test database credential is unavailable' }
+$env:ORACLE_PASSWORD = $oraclePasswordLine.Substring('ORACLE_PWD='.Length)
+$auditPassword = $auditPasswordLine.Substring('POSTGRES_PASSWORD='.Length)
+$env:AGENTSQL_TEST_ORACLE_AUDIT_DSN = "postgres://postgres:${auditPassword}@host.docker.internal:25432/${dbName}?sslmode=disable"
+$faultContainer = if ($Target -eq 'audit') { $AuditContainer } else { $OracleContainer }
+$faultEnv = if ($Target -eq 'audit') {
+    'AGENTSQL_TEST_ORACLE_AUDIT_FAULT_DIR=/fault'
+} else {
+    'AGENTSQL_TEST_ORACLE_BUSINESS_FAULT_DIR=/fault'
+}
+$network = if ($Target -eq 'audit') { "container:$OracleContainer" } else { 'bridge' }
+$oracleHost = if ($Target -eq 'audit') { '127.0.0.1' } else {
+    $inspect = & docker inspect $OracleContainer | ConvertFrom-Json
+    [string]$inspect[0].NetworkSettings.Networks.bridge.IPAddress
+}
+if ([string]::IsNullOrWhiteSpace($oracleHost)) { throw 'Oracle test network address is unavailable' }
+$faultStopped = $false
+$createdDB = $false
+try {
+    & docker exec $AuditContainer psql -U postgres -d postgres -v ON_ERROR_STOP=1 -c "CREATE DATABASE $dbName" | Out-Null
+    if ($LASTEXITCODE -ne 0) { throw 'Could not create isolated audit database' }
+    $createdDB = $true
+    & docker run -d --name $testContainer --network $network `
+        --mount "type=bind,source=$repo,target=/src" `
+        --mount "type=bind,source=$moduleCache,target=/gomod" `
+        --mount "type=bind,source=$buildCache,target=/buildcache" `
+        --mount "type=bind,source=$faultDir,target=/fault" `
+        --workdir /src --env GOPROXY=off --env GOTOOLCHAIN=local `
+        --env GOMODCACHE=/gomod --env GOCACHE=/buildcache `
+        --env AGENTSQL_ORACLE_E2E=1 --env ORACLE_PASSWORD --env "ORACLE_HOST=$oracleHost" `
+        --env AGENTSQL_TEST_ORACLE_AUDIT_DSN --env $faultEnv `
+        golang:1.26-bookworm /usr/local/go/bin/go test -timeout 17m -count=1 -v `
+        -run '^TestOracleHTTPMCPRealE2E$' ./internal/mcpserver | Out-Null
+    if ($LASTEXITCODE -ne 0) { throw 'Could not start Oracle fault test container' }
+    $deadline = (Get-Date).AddMinutes(8)
+    while (-not (Test-Path -LiteralPath (Join-Path $faultDir 'ready'))) {
+        if ((& docker inspect $testContainer --format '{{.State.Running}}').Trim() -ne 'true') {
+            & docker logs $testContainer
+            throw 'Oracle fault test exited before ready signal'
+        }
+        if ((Get-Date) -ge $deadline) { throw 'Timed out waiting for Oracle fault test' }
+        Start-Sleep -Seconds 1
+    }
+    & docker stop $faultContainer | Out-Null
+    if ($LASTEXITCODE -ne 0) { throw "Could not stop $Target test database" }
+    $faultStopped = $true
+    Set-Content -LiteralPath (Join-Path $faultDir 'down') -Value 'stopped'
+    $deadline = (Get-Date).AddMinutes(2)
+    while (-not (Test-Path -LiteralPath (Join-Path $faultDir 'down_checked'))) {
+        if ((& docker inspect $testContainer --format '{{.State.Running}}').Trim() -ne 'true') {
+            & docker logs $testContainer
+            throw 'Oracle MCP test exited during database outage'
+        }
+        if ((Get-Date) -ge $deadline) { throw 'Timed out waiting for fail-closed check' }
+        Start-Sleep -Seconds 1
+    }
+    & docker start $faultContainer | Out-Null
+    if ($LASTEXITCODE -ne 0) { throw "Could not restart $Target test database" }
+    $faultStopped = $false
+    $ready = $false
+    for ($i = 0; $i -lt 120; $i++) {
+        if ($Target -eq 'audit') {
+            & docker exec $AuditContainer pg_isready -U postgres -d $dbName *> $null
+            $ready = $LASTEXITCODE -eq 0
+        } else {
+            $ready = (& docker inspect $OracleContainer --format '{{.State.Health.Status}}').Trim() -eq 'healthy'
+        }
+        if ($ready) { break }
+        Start-Sleep -Seconds 5
+    }
+    if (-not $ready) { throw "$Target test database did not recover" }
+    Set-Content -LiteralPath (Join-Path $faultDir 'up') -Value 'recovered'
+    $deadline = (Get-Date).AddMinutes(3)
+    while ((& docker inspect $testContainer --format '{{.State.Running}}').Trim() -eq 'true') {
+        if ((Get-Date) -ge $deadline) { throw 'Oracle MCP fault test did not finish' }
+        Start-Sleep -Seconds 1
+    }
+    $testExit = (& docker inspect $testContainer --format '{{.State.ExitCode}}').Trim()
+    & docker logs $testContainer
+    if ($testExit -ne '0') { throw "Oracle MCP fault test failed with exit=$testExit" }
+    Write-Output "V220_ORACLE_${Target}_FAULT=PASS"
+}
+finally {
+    if ($faultStopped) { & docker start $faultContainer | Out-Null }
+    if ($createdDB -and $Target -eq 'audit' -and
+        (& docker inspect $AuditContainer --format '{{.State.Running}}').Trim() -ne 'true') {
+        & docker start $AuditContainer | Out-Null
+    }
+    if ($createdDB) {
+        & docker exec $AuditContainer psql -U postgres -d postgres -v ON_ERROR_STOP=1 -c "DROP DATABASE IF EXISTS $dbName" *> $null
+    }
+    Remove-Item Env:\ORACLE_PASSWORD,Env:\AGENTSQL_TEST_ORACLE_AUDIT_DSN -ErrorAction SilentlyContinue
+    & docker rm -f $testContainer 2>$null | Out-Null
+}
diff --git a/website/deploy/verify-static.sh b/website/deploy/verify-static.sh
index 2706c96..4b2bbb8 100644
--- a/website/deploy/verify-static.sh
+++ b/website/deploy/verify-static.sh
@@ -197,9 +197,9 @@ fi
 
 pdf_fail=0
 for pdf in \
-  assets/docs/agentsql-getting-started-v2.1.0.pdf \
-  assets/docs/agentsql-user-guide-v2.1.0.pdf \
-  assets/docs/agentsql-mcp-integrations-v2.1.0.pdf; do
+  assets/docs/agentsql-getting-started-v2.2.0.pdf \
+  assets/docs/agentsql-user-guide-v2.2.0.pdf \
+  assets/docs/agentsql-mcp-integrations-v2.2.0.pdf; do
   pdf_path="$SITE_ROOT/$pdf"
   if [[ ! -f $pdf_path ]]; then
     printf '      缺失 PDF: %s\n' "$pdf"
diff --git a/website/public/assets/docs/agentsql-getting-started-v2.2.0.pdf b/website/public/assets/docs/agentsql-getting-started-v2.2.0.pdf
new file mode 100644
index 0000000..e329d59
Binary files /dev/null and b/website/public/assets/docs/agentsql-getting-started-v2.2.0.pdf differ
diff --git a/website/public/assets/docs/agentsql-mcp-integrations-v2.2.0.pdf b/website/public/assets/docs/agentsql-mcp-integrations-v2.2.0.pdf
new file mode 100644
index 0000000..38d36ff
Binary files /dev/null and b/website/public/assets/docs/agentsql-mcp-integrations-v2.2.0.pdf differ
diff --git a/website/public/assets/docs/agentsql-user-guide-v2.2.0.pdf b/website/public/assets/docs/agentsql-user-guide-v2.2.0.pdf
new file mode 100644
index 0000000..3c07978
Binary files /dev/null and b/website/public/assets/docs/agentsql-user-guide-v2.2.0.pdf differ
diff --git a/website/public/demo/index.html b/website/public/demo/index.html
index c790367..e52dda2 100644
--- a/website/public/demo/index.html
+++ b/website/public/demo/index.html
@@ -40,7 +40,7 @@
   <main id="main">
     <section class="hero section">
       <div class="container narrow">
-        <div class="eyebrow"><span class="status-dot" aria-hidden="true"></span> AgentSQL v2.1.0 · Live Demo 安全入口</div>
+        <div class="eyebrow"><span class="status-dot" aria-hidden="true"></span> AgentSQL v2.2.0 · Live Demo 安全入口</div>
         <h1>先确认边界，再进入演示</h1>
         <p class="hero-lead">此环境只用于体验 AgentSQL 的控制台与六个预置安全剧本，不是生产服务，也不连接任何真实业务数据库。</p>
         <div class="callout callout-warning" role="note">
@@ -56,7 +56,7 @@ <h1>先确认边界，再进入演示</h1>
           <a class="button button-primary" href="/demo/console">我已了解，进入演示</a>
           <a class="button button-secondary" href="/">返回官网</a>
         </div>
-        <p class="quiet-line">控制台由独立的单网关演示源提供；入口地址保持为 <code>https://agentsql.cn/demo/</code>。公开演示未启用双网关 Kubernetes 配置或可选人员委托模式；版本边界见<a href="https://github.com/cuipengdba/agentsql/blob/main/docs/release-notes-v2.1.0.md" target="_blank" rel="noopener noreferrer">发布说明</a>。</p>
+        <p class="quiet-line">控制台由独立的单网关演示源提供；入口地址保持为 <code>https://agentsql.cn/demo/</code>。公开演示未启用双网关 Kubernetes 配置或可选人员委托模式；版本边界见<a href="https://github.com/cuipengdba/agentsql/blob/main/docs/release-notes-v2.2.0.md" target="_blank" rel="noopener noreferrer">发布说明</a>。</p>
       </div>
     </section>
   </main>
diff --git a/website/public/index.html b/website/public/index.html
index 7eb801e..702ea0f 100644
--- a/website/public/index.html
+++ b/website/public/index.html
@@ -75,14 +75,14 @@
     <section id="top" class="hero section">
       <div class="container hero-grid">
         <div class="hero-copy">
-          <div class="eyebrow"><span class="status-dot" aria-hidden="true"></span> v2.1.0</div>
+          <div class="eyebrow"><span class="status-dot" aria-hidden="true"></span> v2.2.0</div>
           <h1>AI Agent 的数据库安全网关</h1>
           <p class="hero-lead">AgentSQL（中文名：智盾）是面向 AI Agent 的数据库安全网关与 MCP Server。模型发出的 PostgreSQL / MySQL 请求在到达数据库前，经过身份认证、SQL 解析、静态与动态风险检查、四态决策与受控执行；结果按配置脱敏，并在应用层留下持久审计。</p>
-          <p class="positioning">v2.1.0 在崖山 YashanDB 23.4.1.109 指定实例上，验证最小权限账号、真实 HTTP MCP、R010 拒绝、手机号脱敏、持久审计及业务库和审计库故障关闭。支持范围限于合成数据的受控只读子集；公开 Live Demo 仍使用单网关合成 PostgreSQL 数据。</p>
+          <p class="positioning">v2.2.0 在 Oracle AI Database 26ai Free、FREEPDB1 指定合成实例上，验证最小权限账号的真实 HTTP MCP、R010 拒绝、手机号脱敏、双客户端及业务库和独立审计库故障关闭。Oracle 商业版、完整生产支持和预执行计划未验证；公开 Live Demo 仍使用单网关合成 PostgreSQL 数据。</p>
           <div class="hero-actions">
             <a class="button button-primary" href="https://github.com/cuipengdba/agentsql" target="_blank" rel="noopener noreferrer">在 GitHub 查看</a>
             <a class="button button-secondary" href="#quickstart">快速开始</a>
-            <a class="button button-ghost" href="https://github.com/cuipengdba/agentsql/blob/main/docs/release-notes-v2.1.0.md" target="_blank" rel="noopener noreferrer">v2.1.0 发布说明</a>
+            <a class="button button-ghost" href="https://github.com/cuipengdba/agentsql/blob/main/docs/release-notes-v2.2.0.md" target="_blank" rel="noopener noreferrer">v2.2.0 发布说明</a>
           </div>
           <p class="badge-line">v0.5.0 起 Apache-2.0 开源 · Go 单二进制交付（glibc / cgo 构建）· 自托管 · 无第三方遥测依赖</p>
           <p class="positioning">它不是 BI，也不是 ORM 或 Text2SQL，而是模型与数据库之间一道默认拒绝的安全闸门。</p>
@@ -200,29 +200,29 @@ <h2>让模型的数据库访问可约束、可解释、可追溯</h2>
       <div class="container">
         <div class="section-heading"><p class="kicker">文档 / 下载</p><h2 id="docs-title">从本地演示到 MCP 接入</h2><p>按真实部署状态选择入口。文档对应源码仓库 <code>github.com/cuipengdba/agentsql</code>。</p></div>
         <div class="feature-grid">
-          <article class="feature-card"><span class="risk-index">01</span><h3>快速上手</h3><p>用本地 Live Demo 看效果，再按默认拒绝的顺序接入自己的数据库。</p><div class="doc-actions"><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/GETTING_STARTED.md" target="_blank" rel="noopener noreferrer">在线阅读</a><a class="pdf-download" href="/assets/docs/agentsql-getting-started-v2.1.0.pdf" download="AgentSQL-快速上手-v2.1.0.pdf" aria-label="下载《快速上手》PDF">PDF 下载</a></div></article>
-          <article class="feature-card"><span class="risk-index">02</span><h3>使用手册</h3><p>按控制台菜单了解审计、Agent、数据源、权限、规则、审批与脱敏边界。</p><div class="doc-actions"><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/USER_GUIDE.md" target="_blank" rel="noopener noreferrer">在线阅读</a><a class="pdf-download" href="/assets/docs/agentsql-user-guide-v2.1.0.pdf" download="AgentSQL-使用手册-v2.1.0.pdf" aria-label="下载《使用手册》PDF">PDF 下载</a></div></article>
-          <article class="feature-card"><span class="risk-index">03</span><h3>MCP 接入指南</h3><p>对照客户端能力选择现有 <code>/mcp</code>、独立无状态 <code>/mcp/2026-07-28</code> 或 stdio，查看工具与拒绝边界。</p><div class="doc-actions"><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/INTEGRATIONS.md" target="_blank" rel="noopener noreferrer">在线阅读</a><a class="pdf-download" href="/assets/docs/agentsql-mcp-integrations-v2.1.0.pdf" download="AgentSQL-MCP接入指南-v2.1.0.pdf" aria-label="下载《MCP 接入指南》PDF">PDF 下载</a></div></article>
+          <article class="feature-card"><span class="risk-index">01</span><h3>快速上手</h3><p>用本地 Live Demo 看效果，再按默认拒绝的顺序接入自己的数据库。</p><div class="doc-actions"><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/GETTING_STARTED.md" target="_blank" rel="noopener noreferrer">在线阅读</a><a class="pdf-download" href="/assets/docs/agentsql-getting-started-v2.2.0.pdf" download="AgentSQL-快速上手-v2.2.0.pdf" aria-label="下载《快速上手》PDF">PDF 下载</a></div></article>
+          <article class="feature-card"><span class="risk-index">02</span><h3>使用手册</h3><p>按控制台菜单了解审计、Agent、数据源、权限、规则、审批与脱敏边界。</p><div class="doc-actions"><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/USER_GUIDE.md" target="_blank" rel="noopener noreferrer">在线阅读</a><a class="pdf-download" href="/assets/docs/agentsql-user-guide-v2.2.0.pdf" download="AgentSQL-使用手册-v2.2.0.pdf" aria-label="下载《使用手册》PDF">PDF 下载</a></div></article>
+          <article class="feature-card"><span class="risk-index">03</span><h3>MCP 接入指南</h3><p>对照客户端能力选择现有 <code>/mcp</code>、独立无状态 <code>/mcp/2026-07-28</code> 或 stdio，查看工具与拒绝边界。</p><div class="doc-actions"><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/INTEGRATIONS.md" target="_blank" rel="noopener noreferrer">在线阅读</a><a class="pdf-download" href="/assets/docs/agentsql-mcp-integrations-v2.2.0.pdf" download="AgentSQL-MCP接入指南-v2.2.0.pdf" aria-label="下载《MCP 接入指南》PDF">PDF 下载</a></div></article>
         </div>
         <div class="license-panel callout">
-          <div class="docs-callout-copy"><h3>更多资料</h3><p><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/DEPLOY.md" target="_blank" rel="noopener noreferrer">部署指南</a> · <a href="/demo/">在线演示说明</a></p><p>v2.1.0 提供 Linux amd64 / arm64 安装包与多架构镜像；Live Demo 入口仅使用合成数据。</p><h4>GHCR 多架构拉取（自动匹配 amd64 / arm64）</h4><pre class="install-command"><code>docker pull ghcr.io/cuipengdba/agentsql:v2.1.0</code></pre><h4>一键安装（Linux amd64 / arm64）</h4><pre class="install-command"><code>curl -fsSL https://github.com/cuipengdba/agentsql/releases/download/v2.1.0/install.sh | sudo sh -s -- install --version v2.1.0</code></pre><p class="install-conditions">v0.4.0 起提供 linux/arm64 原生 glibc 包 · x86_64 / amd64 或 aarch64 / arm64 · glibc ≥ 2.28 · systemd · 需要 sudo/root</p></div>
-          <div class="license-links"><a class="button button-secondary" href="https://github.com/cuipengdba/agentsql/releases/tag/v2.1.0" target="_blank" rel="noopener noreferrer">GitHub Release（v2.1.0）</a></div>
+          <div class="docs-callout-copy"><h3>更多资料</h3><p><a href="https://github.com/cuipengdba/agentsql/blob/main/docs/DEPLOY.md" target="_blank" rel="noopener noreferrer">部署指南</a> · <a href="/demo/">在线演示说明</a></p><p>v2.2.0 提供 Linux amd64 / arm64 安装包与多架构镜像；Live Demo 入口仅使用合成数据。</p><h4>GHCR 多架构拉取（自动匹配 amd64 / arm64）</h4><pre class="install-command"><code>docker pull ghcr.io/cuipengdba/agentsql:v2.2.0</code></pre><h4>一键安装（Linux amd64 / arm64）</h4><pre class="install-command"><code>curl -fsSL https://github.com/cuipengdba/agentsql/releases/download/v2.2.0/install.sh | sudo sh -s -- install --version v2.2.0</code></pre><p class="install-conditions">v0.4.0 起提供 linux/arm64 原生 glibc 包 · x86_64 / amd64 或 aarch64 / arm64 · glibc ≥ 2.28 · systemd · 需要 sudo/root</p></div>
+          <div class="license-links"><a class="button button-secondary" href="https://github.com/cuipengdba/agentsql/releases/tag/v2.2.0" target="_blank" rel="noopener noreferrer">GitHub Release（v2.2.0）</a></div>
         </div>
       </div>
     </section>
 
     <section id="compatibility" class="section section-muted">
       <div class="container">
-        <div class="section-heading"><p class="kicker">兼容性</p><h2>v2.1.0 兼容矩阵</h2><p>本版深化崖山指定实例的受控只读证据，并补齐已认证 SQL 工具的数据源预检拒绝审计；其他数据库范围沿用 v2.0.0。下表按实际能力与指定环境证据分档。</p></div>
+        <div class="section-heading"><p class="kicker">兼容性</p><h2>v2.2.0 兼容矩阵</h2><p>本版补齐 Oracle Free 指定实例的最小权限、受控只读、脱敏、审计与故障关闭证据；其他数据库范围沿用 v2.1.0。下表按实际能力与指定环境证据分档。</p></div>
         <div class="compat-summary"><strong>8 大类 / 29 款已注册</strong><span>瀚高 HighGo 已计入；另列金仓 KingbaseES V9 的指定实例 PG 协议验证</span></div>
         <div class="table-wrap">
           <table class="compat-table">
-            <caption>AgentSQL v2.1.0 数据库兼容矩阵：8 大类、29 款已注册数据库，金仓 KingbaseES V9 另列，共 30 行。</caption>
+            <caption>AgentSQL v2.2.0 数据库兼容矩阵：8 大类、29 款已注册数据库，金仓 KingbaseES V9 另列，共 30 行。</caption>
             <thead><tr><th scope="col">类别</th><th scope="col">数据库</th><th scope="col">适配状态</th><th scope="col">边界说明</th></tr></thead>
             <tbody>
               <tr><th scope="rowgroup" rowspan="9" class="compat-category">关系型</th><td>PostgreSQL 14–18</td><td><span class="compat-status tier-full">🟢 已适配 · 完整防护</span></td><td>全链路实测通过</td></tr>
               <tr><td>MySQL 8.0</td><td><span class="compat-status tier-full">🟢 已适配 · 完整防护</span></td><td>全链路实测通过</td></tr>
-              <tr><td>Oracle 23ai</td><td><span class="compat-status tier-read">🔵 已适配 · 受控只读</span></td><td>连接 / 元数据 / 只读查询子集</td></tr>
+              <tr><td>Oracle AI Database 26ai Free</td><td><span class="compat-status tier-read">🔵 指定版本受控只读</span></td><td>FREEPDB1、服务端 23.26.3.0.0：最小权限 HTTP MCP、R010、脱敏、双客户端、权限撤销和故障关闭通过；预执行计划、商业版及完整生产支持未验证</td></tr>
               <tr><td>达梦 DM8</td><td><span class="compat-status tier-full">🟢 指定场景闭环</span></td><td>Pack3、COMPATIBLE_MODE=0 真库只读链路</td></tr>
               <tr><td>崖山 YashanDB</td><td><span class="compat-status tier-read">🔵 指定版本受控只读</span></td><td>23.4.1.109 指定实例：最小权限 HTTP MCP、R010、脱敏、双客户端与独立持久审计通过；TLS、主备和完整生产支持未验证</td></tr>
               <tr><td>SQL Server 2025</td><td><span class="compat-status tier-read">🔵 已适配 · 受控只读</span></td><td>连接 / 元数据 / 只读查询子集</td></tr>
@@ -266,11 +266,11 @@ <h2>让模型的数据库访问可约束、可解释、可追溯</h2>
       <div class="container">
         <div class="section-heading"><p class="kicker">生态与兼容</p><h2>国产数据库生态适配进展</h2><p>v1.8.0 在 Vastbase G100 Build 9 PG 模式的指定实例补充 TLS 服务端身份校验、证书与凭据轮换。其他版本、模式、正式主备切换和完整生产支持仍须单独验证。欢迎数据库厂商联合验证。</p></div>
         <div class="ecosystem-panel">
-          <p class="ecosystem-label">国产数据库生态适配矩阵（v2.1.0）</p>
+          <p class="ecosystem-label">国产数据库生态适配矩阵（v2.2.0）</p>
           <p class="table-scroll-hint">表格可左右滑动，查看完整验证说明。</p>
           <div class="table-wrap">
             <table class="eco-table">
-              <caption>AgentSQL v2.1.0 国产数据库生态适配进展；状态以指定版本、镜像、拓扑及仓库证据为准。</caption>
+              <caption>AgentSQL v2.2.0 国产数据库生态适配进展；状态以指定版本、镜像、拓扑及仓库证据为准。</caption>
               <thead><tr><th scope="col">数据库</th><th scope="col">适配状态</th><th scope="col">说明</th></tr></thead>
               <tbody>
                 <tr><td class="eco-db">中电科金仓 KingbaseES</td><td><span class="eco-status ok">🟢 PG 协议指定子集实测通过</span></td><td class="eco-desc">仅 V9R1C10、PG 模式、单实例合成表：只读角色拒写，受控 SELECT、手机号脱敏、R006 拒绝和持久审计通过；v1.6.0 补齐故障关闭，v1.7.0 验证 CA 与主机名校验、错误证书拒绝、证书及账号密码轮换。其他模式、复杂查询、正式主备切换与生产负载未验证。<a href="https://github.com/cuipengdba/agentsql/blob/main/docs/v1.7.0-dm-kingbase-depth-acceptance.md">验收记录</a>。</td></tr>
@@ -300,11 +300,11 @@ <h2>让模型的数据库访问可约束、可解释、可追溯</h2>
         <div class="section-heading"><p class="kicker">开始使用</p><h2>快速开始</h2><p>在 Docker 与依赖网络已就绪时通常数分钟可完成（受网络环境影响）。GHCR tag 会自动匹配 linux/amd64 或 linux/arm64；源码路径仍以仓库 README 为准。</p></div>
         <div class="quick-grid">
           <article class="terminal-card"><div class="terminal-head"><span>GHCR</span><span>amd64 / arm64</span></div><pre><code><span class="comment"># Docker 自动选择当前平台镜像</span>
-docker pull ghcr.io/cuipengdba/agentsql:v2.1.0
+docker pull ghcr.io/cuipengdba/agentsql:v2.2.0
 
 <span class="comment"># 推荐使用仓库 quickstart 生成凭据并启动</span>
-curl -fsSL https://raw.githubusercontent.com/cuipengdba/agentsql/v2.1.0/scripts/quickstart.sh -o quickstart.sh
-sh quickstart.sh --version v2.1.0</code></pre><div class="terminal-foot">默认仅绑定 <code>127.0.0.1:7780</code></div></article>
+curl -fsSL https://raw.githubusercontent.com/cuipengdba/agentsql/v2.2.0/scripts/quickstart.sh -o quickstart.sh
+sh quickstart.sh --version v2.2.0</code></pre><div class="terminal-foot">默认仅绑定 <code>127.0.0.1:7780</code></div></article>
           <article class="terminal-card"><div class="terminal-head"><span>Live Demo</span><span>合成数据</span></div><pre><code><span class="comment"># 复制演示环境样例并替换占位凭据</span>
 cp examples/docker/demo.env.example demo/demo.env
 
@@ -356,7 +356,8 @@ <h2>让模型的数据库访问可约束、可解释、可追溯</h2>
           <li class="complete"><span>v1.8.0</span><strong>Vastbase 指定实例可校验 TLS 与轮换</strong><small>已发布阶段</small></li>
           <li class="complete"><span>v1.9.0</span><strong>Dify / Inspector 接入向导与审计定位</strong><small>已发布阶段</small></li>
           <li class="complete"><span>v2.0.0</span><strong>固定双网关部署与 PostgreSQL 列策略登记</strong><small>已发布阶段</small></li>
-          <li class="current"><span>v2.1.0</span><strong>崖山指定实例受控只读与预检拒绝审计</strong><small>当前正式版本</small></li>
+          <li class="complete"><span>v2.1.0</span><strong>崖山指定实例受控只读与预检拒绝审计</strong><small>已发布阶段</small></li>
+          <li class="current"><span>v2.2.0</span><strong>Oracle Free 指定实例受控只读与故障关闭</strong><small>当前正式版本</small></li>
           <li><span>下一阶段</span><strong>国产与商业数据库适配</strong></li>
           <li><span>后续方向</span><strong>企业身份与审计增强</strong><small>SSO/RBAC、WORM 选项</small></li>
           <li><span>后续方向</span><strong>高可用与集中管控</strong></li>
diff --git a/website/tools/build-docs-pdf.mjs b/website/tools/build-docs-pdf.mjs
index b84564b..b7f7e7b 100644
--- a/website/tools/build-docs-pdf.mjs
+++ b/website/tools/build-docs-pdf.mjs
@@ -16,7 +16,7 @@ import { tmpdir } from 'node:os';
 import { basename, dirname, extname, isAbsolute, join, relative, resolve, sep } from 'node:path';
 import { fileURLToPath, pathToFileURL } from 'node:url';
 
-const VERSION = 'v2.1.0';
+const VERSION = 'v2.2.0';
 const REPOSITORY_BLOB = `https://github.com/cuipengdba/agentsql/blob/${VERSION}`;
 const SCRIPT_DIR = dirname(fileURLToPath(import.meta.url));
 const REPOSITORY_ROOT = resolve(SCRIPT_DIR, '..', '..');
@@ -29,19 +29,19 @@ const FIXED_PDF_DATE = "D:20261019000000+00'00'";
 const DOCUMENTS = [
   {
     source: resolve(DOCS_ROOT, 'GETTING_STARTED.md'),
-    output: 'agentsql-getting-started-v2.1.0.pdf',
+    output: 'agentsql-getting-started-v2.2.0.pdf',
     title: '快速上手',
     slug: 'getting-started',
   },
   {
     source: resolve(DOCS_ROOT, 'USER_GUIDE.md'),
-    output: 'agentsql-user-guide-v2.1.0.pdf',
+    output: 'agentsql-user-guide-v2.2.0.pdf',
     title: '使用手册',
     slug: 'user-guide',
   },
   {
     source: resolve(DOCS_ROOT, 'INTEGRATIONS.md'),
-    output: 'agentsql-mcp-integrations-v2.1.0.pdf',
+    output: 'agentsql-mcp-integrations-v2.2.0.pdf',
     title: 'MCP 接入指南',
     slug: 'mcp-integrations',
   },
@@ -810,6 +810,9 @@ async function main() {
       'agentsql-getting-started-v2.0.0.pdf',
       'agentsql-mcp-integrations-v2.0.0.pdf',
       'agentsql-user-guide-v2.0.0.pdf',
+      'agentsql-getting-started-v2.1.0.pdf',
+      'agentsql-mcp-integrations-v2.1.0.pdf',
+      'agentsql-user-guide-v2.1.0.pdf',
     ];
     const expectedFiles = [...DOCUMENTS.map((document) => document.output), ...archivedFiles].sort();
     if (JSON.stringify(actualFiles) !== JSON.stringify(expectedFiles)) {