@agentunion/fastaun 0.5.20 → 0.5.22

package/CHANGELOG.md

@@ -6,6 +6,110 @@
 
 ---
 
+## 0.5.22 — 未发布
+
+> 基线：已发布的 `0.5.21`；本节整理截至 2026-10-23 工作区的 SDK 增量。
+
+### 新功能
+
+#### Ownership 2.1 按发起方绑定
+- sub-first 绑定先 fresh 确认无 owner 锁及 NS 的 Stage 能力，再以原 CAS 发布本人签名的 `agent.md`；`pending/unlocked` 映射为公共 `single_sided`。owner 发布本轮声明并经 NS fresh 验收后完成，sub 可离线，无须再次 PUT。
+- owner-first 绑定先条件发布 owner 的 `owner.md` 再发请求；sub 明确同意后直接条件提交 `agent.md`，不带 Stage，无须 bind.accept／owner.ready 往返。拒绝邀请只清理仍未锁定且匹配任务的 owner 原件，使用当前对象 `version` 作 `expected_version` 原子删除。
+- 持久保存待确认原文、摘要、ETag、审批和原提交条件；旧 owner 声明不代替本轮审批。拒绝后仅由 sub 按原件 CAS 清理对应候选；reset 只归档本地任务，不清除远端 pending 或解除已成立的 owner 锁。新流程依赖目标 NS 支持待确认绑定，历史任务保留原恢复边界。
+
+#### Storage / Group FS 默认读缓存
+- Storage 与 Group FS 响应缺少或返回 `null` 的 `read_cache` 时，客户端默认缓存元数据 60 秒；正文默认仅缓存不超过 64 KiB 且 SHA-256 校验通过的内容。显式策略须 `reusable=true`，正文还须 `inline=true`；省略 `max_age_ms` 时默认 60 秒，正数 TTL 最多使用 60 秒。显式禁止、null／非正数／非法 TTL 不复用。
+- 单次读取可用 `noCache: true` 跳过有效缓存命中并请求远端校验，底层 RPC 和 Group FS 兼容 `no_cache`；已有正文摘要仍可用于复用未变化内容，返回结果仍可缓存，因此它不是 no-store。`consistency: "authoritative"` 继续绕过读缓存。普通文件 API 读取 `owner.md` 也遵循默认策略；Ownership 管理/共识权威读取和 `resolve` ownership 快照仍按各自机制处理。
+- 新增内存与持久读缓存：SQLite 索引位于 `{aunPath}/.cache/storage/index.sqlite3`，正文按 SHA-256 分离保存；默认内存正文 32 MiB、持久正文 256 MiB，包含容量淘汰、失效及完整性校验。
+- 修正显式允许但省略 TTL 时的默认缓存、缺省／null 策略正文的持久恢复，以及 `not_modified` 摘要校验；恢复保留原 TTL。四端缓存覆盖及验证边界见 [parity 块⑦](../python/CHANGES_FOR_PARITY.md#块⑦-storage--group-fs-默认读缓存)。
+
+### 修复
+
+#### 后台同步退避与群终止
+- P2P、群消息、群事件、peer 目录及按对端恢复失败后按 namespace 执行 1～30 秒指数退避，重复通知和已入队任务不能绕过等待，成功后重置；等待不占用 Pull Gate，其他 namespace 及手动请求仍可继续，切换身份或连接时取消旧代任务。
+- 群后台 Pull 优先识别服务端 `data.retryable`，兼容既有错误码及错误文本；被封禁、非成员、群不存在／解散／暂停等明确失败终止该群消息和事件同步，并清理补拉需求，群 ID 别名共享终止状态。
+- 手动群 Pull 成功后允许恢复该群后台同步，重连或切换身份时清空终止状态；解除封禁不再由持续轮询自动发现。
+- 上线群身份恢复、绑定和自动确认提案跳过明确非 `active` 的群，保留缺少 `status` 的旧响应兼容，避免重复操作已解散群。
+
+#### Ownership 共识与释放恢复
+- 始终以 NS 新鲜观测作为关系版本和 lock 权威，并与 `agent.md`、owner.md 的签名材料核对。投影矛盾时立即 fresh-read 一次，若仍未收敛则返回可重试 `unavailable`，不凭文件材料越过 NS 状态执行释放、清理或重绑。
+- 绑定、释放、转移和清理继续核对原声明、关系版本、ETag 及内容摘要；释放确认要求 NS 解锁与当前双文件材料一致，NS 解锁本身也不能替代文件共识。
+
+#### 凭证撤销与服务事件
+- `credential.revoked` 和 `credential.revocationList` 经服务验签及接收身份校验后持久合并撤销状态，按 authority／CID 保留最大事件序号，旧分页结果不能覆盖较新的撤销记录，单条推送不跳过尚未同步的分页事件。
+- 服务事件在异步验签前后复核身份和连接代次，持久化前再次检查有效期及身份、连接／worker 代次，防止旧连接结果写入当前身份。
+- 撤销列表改为每小时兜底补拉，凭证续期仍每分钟检查；首次补拉在连接后一小时执行，重连后重新计时。
+
+#### 组织转让与成员续期
+- 组织转让完成后保留 `completed` 结果；使用相同原参数重放时直接返回已完成结果，继续核对转让 ID、owner 和参数摘要，重连跳过已完成任务。
+- 跨域实体名片重试按上传者所属域获取 token，缺失或过期时不再向目标域登录，有效缓存继续复用；上传仍发往实体所在域。
+- 成员续期成功后同步保存凭证、绑定、条款、登记回执、服务端版本和凭证服务信息，不再等待成员事件补齐；仅写当前成员账户，短期凭证保持 `long_term=false`，后续验签保留完整材料。
+
+#### 证书验证与缓存
+- 实体当前证书解析直接验证本次 PKI 响应，避免再按指纹读取另一次证书观察；验链缓存清理遵循 `chainCacheTtl`（默认 86,400 秒），不再固定按五分钟淘汰。
+
+### 兼容性与语言边界
+
+- 保持既有公开业务 API，后台退避和群终止状态按客户端、身份及连接隔离；Node.js 的异步上下文与 Pull Gate 协同处理，不阻塞手动调用。
+- Ownership 协议消息复用普通 P2P 收取；推荐连接前注册普通消息处理器，READY 后补注册也会唤起积压恢复，仍受 `background_sync`、背压和代际检查约束。仅订阅 `ownership.*` 不会启动后台 Pull，原提交及 ACK 契约保持。
+- 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.22`。
+
+### 测试
+
+- 增加 sub 离线后 owner 验收、旧声明隔离、pending 原件替换、拒绝清理响应丢失、reset 不解锁，以及证书缓存配置 TTL 的回归入口；列示用例不代表本轮已执行。
+- 扩展后台 Pull、peer 目录及按对端恢复的退避、通知去重、并发隔离、取消、群终止／别名／手动恢复和非 active 群初始化测试。
+- 增加默认读缓存、条件复用、写入失效、持久恢复及边界测试入口；[缓存矩阵](../tests/cross-sdk/cases.storage-cache.json) 为 16 场景 × 4 SDK，[独立 runner](../tests/cross-sdk/runner/run_storage_cache_e2e.py) 首失败停止并支持断点续跑。JS 另有浏览器 Storage 缓存测试；本条列示入口，不声明全部通过。
+- 扩展 Ownership 投影滞后下的释放、清理及重绑，以及撤销推送验签、持久化、序号合并、身份／连接／worker 隔离和小时补拉测试；测试入口和执行边界见 Python parity 文档，不以用例存在代替全量通过结论。
+- 补充组织转让完成结果重放、原参数冲突，以及无成员事件时的续期完整包、短期标记和组织账户隔离回归。
+
+## 0.5.21 — 2026-10-19
+
+> 基线：上次发布的 `0.5.20` 对应仓库快照 `08221fbb`；本节整理 2026-10-18 工作区的 SDK 增量。
+
+### 新功能
+
+#### resolve 元数据与 ownership
+- `resolve` 和 `downloadAgentMd` 返回 `agent_md.frontmatter` / `frontmatter`，保留标准字段、扩展字段及嵌套类型；公开 `AgentMdFrontmatter`，历史缺字段不补默认值。
+- `resolve(aid, { ownership: client, ownershipTtlMs? })` 按需复用现有 Ownership 2.1 共识校验，返回状态及 owner.md 原文快照；默认缓存 60 秒，支持 TTL=0、forceRefresh、名片内容变化失效和失败隔离，缓存不用于授权。
+
+#### 按对端同步与批量投递
+- 新增 `MessageFacade.peers`，按服务端协商的 peer pull 能力查询对端目录；支持按 sender 隔离 P2P Pull、ACK、历史查询、水位和 volatile cursor，重连及 Push 提示驱动目录刷新与补拉。
+- 新增 `message.batch`、`group.message_batch`、`group.event_batch` 应用事件；按页聚合消息及事件，应用处理完成后再提交交付水位、去重记录和 ACK，处理失败保留未提交部分供恢复。
+
+#### 凭证续期与诊断
+- 新增 `credential.current`，保存长效凭证及组织成员续期材料，处理加密续期请求、响应、登记回执和提交确认；断线恢复复用持久 checkpoint，返回当前已验证的凭证，旧输入不绕过撤销状态。
+- 同步并验证撤销列表分页，将已知撤销状态用于凭证及证明链检查；组织成员包按接收身份验证后持久保存，切换身份或连接时废弃旧代异步结果。
+- 新增 `client.debug.diag`，支持全部、命名空间及具体 RPC 的 dry-run 诊断，校验服务端 `dry_run=true/executed=false` 与阶段结果，汇总通过、失败和缺少真实材料的跳过项。
+
+### 修复
+
+#### 消息投递、背压与 ACK
+- Pull 页大小统一为 200，预取最多 4 页；网络预取、解密准备和应用交付分离，并按待交付消息数量施加背压，handler 失败不提前确认消息。
+- peer tail／forward 的连续证明、实际 ACK 与已提交前缀分别校验；tail 跳跃、内联 Push、撤回、volatile 重复和响应丢失恢复不跨 sender 或身份代次推进水位。
+- 批量和逐条订阅使用同页开始时的处理器快照；应用事件、去重状态和消息提交保持顺序，重入、取消或存储失败保留待办。
+
+#### agent.md 与 Ownership 恢复
+- 保持 `agent.md` 与 `owner.md` 双文件、六字段声明和既有 `aun.ownership.sdk.v1` 控制格式；普通名片读写不以前置 Ownership 共识、owner Storage 或关系状态为条件，正文更新仍须原样保留已有关系材料及原 ETag/CAS。
+- 增加 `resetOwnershipTask()`，归档当前身份发起的未完成绑定、释放和转移任务，保留原记录及远端文件；返回成功重置和无法判断的任务 ID，迟到消息、审批及恢复不能复活已重置任务。
+- 恢复 0.5.20、0.5.19 的既有任务，核对原 operation、审批、签名字节及提交条件；旧未发布 Owner 候选缺少原 revision 证据时保留现场，已提交目标需本地原签名候选与新鲜共识匹配才能完成；旧 release 的 wire 目标版本保留，实际释放关系仍按 base 核验。更早 proof 材料保留原兼容边界，不自动伪造 2.1 关系。
+- 绑定先恢复可继续的原任务；确认本地任务损坏时归档后重新发起并重新审批，网络故障、CAS 竞争、有效其他意图及远端关系冲突保持失败分类，不借 reset 覆盖远端关系。
+
+#### 凭证、存储与证书
+- 组织创建、转让和续期恢复保留原身份、密钥、凭证链、固定请求及签名；恢复过期请求绑定时重新核对原上下文，登记结果先验证再提交本地状态。
+- 对组织身份创建／转移及凭证续期的敏感 checkpoint 加密保存；读取兼容旧明文并在写入时升级，损坏或身份不匹配时拒绝继续。
+- 合并相同条件下的并发对端证书请求，保留指纹、历史签署时间和当前验证场景的隔离，失败后允许重试。
+
+### 兼容性与语言边界
+
+- P2P 后台收取依赖应用普通 `message.received`／`message.recalled`／`message.batch` 订阅；仅 `ownership.*` 不启动拉取，控制消息继续遵守普通积压、背压和提交／ACK 边界。
+- TypeScript 发送选项新增 `needRender`，并保留消息和返回值中的 `need_render`，默认可渲染；SQLite 保存交付回执，seed 轮换重加密受保护 metadata。
+- 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.21`。
+
+### 测试
+
+- 扩展 peer 目录与按对端 Pull、tail／forward、批量事件、应用背压、处理失败、水位及 ACK 的定向测试。
+- 扩展凭证续期、撤销分页、成员包、checkpoint 加密、证书并发及 Ownership reset／旧任务／绑定容错测试；测试入口和执行边界见 Python parity 文档，不以用例存在代替全量通过结论。
+
 ## 0.5.20 — 未发布
 
 > 基线：2026-10-12 发布的 npm `0.5.19`，发布包已与仓库快照 `ab05792f` 核对；本节整理 2026-10-15 工作区的 SDK 增量。

package/_packed_docs/CHANGELOG.md

@@ -6,6 +6,110 @@
 
 ---
 
+## 0.5.22 — 未发布
+
+> 基线：已发布的 `0.5.21`；本节整理截至 2026-10-23 工作区的 SDK 增量。
+
+### 新功能
+
+#### Ownership 2.1 按发起方绑定
+- sub-first 绑定先 fresh 确认无 owner 锁及 NS 的 Stage 能力，再以原 CAS 发布本人签名的 `agent.md`；`pending/unlocked` 映射为公共 `single_sided`。owner 发布本轮声明并经 NS fresh 验收后完成，sub 可离线，无须再次 PUT。
+- owner-first 绑定先条件发布 owner 的 `owner.md` 再发请求；sub 明确同意后直接条件提交 `agent.md`，不带 Stage，无须 bind.accept／owner.ready 往返。拒绝邀请只清理仍未锁定且匹配任务的 owner 原件，使用当前对象 `version` 作 `expected_version` 原子删除。
+- 持久保存待确认原文、摘要、ETag、审批和原提交条件；旧 owner 声明不代替本轮审批。拒绝后仅由 sub 按原件 CAS 清理对应候选；reset 只归档本地任务，不清除远端 pending 或解除已成立的 owner 锁。新流程依赖目标 NS 支持待确认绑定，历史任务保留原恢复边界。
+
+#### Storage / Group FS 默认读缓存
+- Storage 与 Group FS 响应缺少或返回 `null` 的 `read_cache` 时，客户端默认缓存元数据 60 秒；正文默认仅缓存不超过 64 KiB 且 SHA-256 校验通过的内容。显式策略须 `reusable=true`，正文还须 `inline=true`；省略 `max_age_ms` 时默认 60 秒，正数 TTL 最多使用 60 秒。显式禁止、null／非正数／非法 TTL 不复用。
+- 单次读取可用 `noCache: true` 跳过有效缓存命中并请求远端校验，底层 RPC 和 Group FS 兼容 `no_cache`；已有正文摘要仍可用于复用未变化内容，返回结果仍可缓存，因此它不是 no-store。`consistency: "authoritative"` 继续绕过读缓存。普通文件 API 读取 `owner.md` 也遵循默认策略；Ownership 管理/共识权威读取和 `resolve` ownership 快照仍按各自机制处理。
+- 新增内存与持久读缓存：SQLite 索引位于 `{aunPath}/.cache/storage/index.sqlite3`，正文按 SHA-256 分离保存；默认内存正文 32 MiB、持久正文 256 MiB，包含容量淘汰、失效及完整性校验。
+- 修正显式允许但省略 TTL 时的默认缓存、缺省／null 策略正文的持久恢复，以及 `not_modified` 摘要校验；恢复保留原 TTL。四端缓存覆盖及验证边界见 [parity 块⑦](../python/CHANGES_FOR_PARITY.md#块⑦-storage--group-fs-默认读缓存)。
+
+### 修复
+
+#### 后台同步退避与群终止
+- P2P、群消息、群事件、peer 目录及按对端恢复失败后按 namespace 执行 1～30 秒指数退避，重复通知和已入队任务不能绕过等待，成功后重置；等待不占用 Pull Gate，其他 namespace 及手动请求仍可继续，切换身份或连接时取消旧代任务。
+- 群后台 Pull 优先识别服务端 `data.retryable`，兼容既有错误码及错误文本；被封禁、非成员、群不存在／解散／暂停等明确失败终止该群消息和事件同步，并清理补拉需求，群 ID 别名共享终止状态。
+- 手动群 Pull 成功后允许恢复该群后台同步，重连或切换身份时清空终止状态；解除封禁不再由持续轮询自动发现。
+- 上线群身份恢复、绑定和自动确认提案跳过明确非 `active` 的群，保留缺少 `status` 的旧响应兼容，避免重复操作已解散群。
+
+#### Ownership 共识与释放恢复
+- 始终以 NS 新鲜观测作为关系版本和 lock 权威，并与 `agent.md`、owner.md 的签名材料核对。投影矛盾时立即 fresh-read 一次，若仍未收敛则返回可重试 `unavailable`，不凭文件材料越过 NS 状态执行释放、清理或重绑。
+- 绑定、释放、转移和清理继续核对原声明、关系版本、ETag 及内容摘要；释放确认要求 NS 解锁与当前双文件材料一致，NS 解锁本身也不能替代文件共识。
+
+#### 凭证撤销与服务事件
+- `credential.revoked` 和 `credential.revocationList` 经服务验签及接收身份校验后持久合并撤销状态，按 authority／CID 保留最大事件序号，旧分页结果不能覆盖较新的撤销记录，单条推送不跳过尚未同步的分页事件。
+- 服务事件在异步验签前后复核身份和连接代次，持久化前再次检查有效期及身份、连接／worker 代次，防止旧连接结果写入当前身份。
+- 撤销列表改为每小时兜底补拉，凭证续期仍每分钟检查；首次补拉在连接后一小时执行，重连后重新计时。
+
+#### 组织转让与成员续期
+- 组织转让完成后保留 `completed` 结果；使用相同原参数重放时直接返回已完成结果，继续核对转让 ID、owner 和参数摘要，重连跳过已完成任务。
+- 跨域实体名片重试按上传者所属域获取 token，缺失或过期时不再向目标域登录，有效缓存继续复用；上传仍发往实体所在域。
+- 成员续期成功后同步保存凭证、绑定、条款、登记回执、服务端版本和凭证服务信息，不再等待成员事件补齐；仅写当前成员账户，短期凭证保持 `long_term=false`，后续验签保留完整材料。
+
+#### 证书验证与缓存
+- 实体当前证书解析直接验证本次 PKI 响应，避免再按指纹读取另一次证书观察；验链缓存清理遵循 `chainCacheTtl`（默认 86,400 秒），不再固定按五分钟淘汰。
+
+### 兼容性与语言边界
+
+- 保持既有公开业务 API，后台退避和群终止状态按客户端、身份及连接隔离；Node.js 的异步上下文与 Pull Gate 协同处理，不阻塞手动调用。
+- Ownership 协议消息复用普通 P2P 收取；推荐连接前注册普通消息处理器，READY 后补注册也会唤起积压恢复，仍受 `background_sync`、背压和代际检查约束。仅订阅 `ownership.*` 不会启动后台 Pull，原提交及 ACK 契约保持。
+- 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.22`。
+
+### 测试
+
+- 增加 sub 离线后 owner 验收、旧声明隔离、pending 原件替换、拒绝清理响应丢失、reset 不解锁，以及证书缓存配置 TTL 的回归入口；列示用例不代表本轮已执行。
+- 扩展后台 Pull、peer 目录及按对端恢复的退避、通知去重、并发隔离、取消、群终止／别名／手动恢复和非 active 群初始化测试。
+- 增加默认读缓存、条件复用、写入失效、持久恢复及边界测试入口；[缓存矩阵](../tests/cross-sdk/cases.storage-cache.json) 为 16 场景 × 4 SDK，[独立 runner](../tests/cross-sdk/runner/run_storage_cache_e2e.py) 首失败停止并支持断点续跑。JS 另有浏览器 Storage 缓存测试；本条列示入口，不声明全部通过。
+- 扩展 Ownership 投影滞后下的释放、清理及重绑，以及撤销推送验签、持久化、序号合并、身份／连接／worker 隔离和小时补拉测试；测试入口和执行边界见 Python parity 文档，不以用例存在代替全量通过结论。
+- 补充组织转让完成结果重放、原参数冲突，以及无成员事件时的续期完整包、短期标记和组织账户隔离回归。
+
+## 0.5.21 — 2026-10-19
+
+> 基线：上次发布的 `0.5.20` 对应仓库快照 `08221fbb`；本节整理 2026-10-18 工作区的 SDK 增量。
+
+### 新功能
+
+#### resolve 元数据与 ownership
+- `resolve` 和 `downloadAgentMd` 返回 `agent_md.frontmatter` / `frontmatter`，保留标准字段、扩展字段及嵌套类型；公开 `AgentMdFrontmatter`，历史缺字段不补默认值。
+- `resolve(aid, { ownership: client, ownershipTtlMs? })` 按需复用现有 Ownership 2.1 共识校验，返回状态及 owner.md 原文快照；默认缓存 60 秒，支持 TTL=0、forceRefresh、名片内容变化失效和失败隔离，缓存不用于授权。
+
+#### 按对端同步与批量投递
+- 新增 `MessageFacade.peers`，按服务端协商的 peer pull 能力查询对端目录；支持按 sender 隔离 P2P Pull、ACK、历史查询、水位和 volatile cursor，重连及 Push 提示驱动目录刷新与补拉。
+- 新增 `message.batch`、`group.message_batch`、`group.event_batch` 应用事件；按页聚合消息及事件，应用处理完成后再提交交付水位、去重记录和 ACK，处理失败保留未提交部分供恢复。
+
+#### 凭证续期与诊断
+- 新增 `credential.current`，保存长效凭证及组织成员续期材料，处理加密续期请求、响应、登记回执和提交确认；断线恢复复用持久 checkpoint，返回当前已验证的凭证，旧输入不绕过撤销状态。
+- 同步并验证撤销列表分页，将已知撤销状态用于凭证及证明链检查；组织成员包按接收身份验证后持久保存，切换身份或连接时废弃旧代异步结果。
+- 新增 `client.debug.diag`，支持全部、命名空间及具体 RPC 的 dry-run 诊断，校验服务端 `dry_run=true/executed=false` 与阶段结果，汇总通过、失败和缺少真实材料的跳过项。
+
+### 修复
+
+#### 消息投递、背压与 ACK
+- Pull 页大小统一为 200，预取最多 4 页；网络预取、解密准备和应用交付分离，并按待交付消息数量施加背压，handler 失败不提前确认消息。
+- peer tail／forward 的连续证明、实际 ACK 与已提交前缀分别校验；tail 跳跃、内联 Push、撤回、volatile 重复和响应丢失恢复不跨 sender 或身份代次推进水位。
+- 批量和逐条订阅使用同页开始时的处理器快照；应用事件、去重状态和消息提交保持顺序，重入、取消或存储失败保留待办。
+
+#### agent.md 与 Ownership 恢复
+- 保持 `agent.md` 与 `owner.md` 双文件、六字段声明和既有 `aun.ownership.sdk.v1` 控制格式；普通名片读写不以前置 Ownership 共识、owner Storage 或关系状态为条件，正文更新仍须原样保留已有关系材料及原 ETag/CAS。
+- 增加 `resetOwnershipTask()`，归档当前身份发起的未完成绑定、释放和转移任务，保留原记录及远端文件；返回成功重置和无法判断的任务 ID，迟到消息、审批及恢复不能复活已重置任务。
+- 恢复 0.5.20、0.5.19 的既有任务，核对原 operation、审批、签名字节及提交条件；旧未发布 Owner 候选缺少原 revision 证据时保留现场，已提交目标需本地原签名候选与新鲜共识匹配才能完成；旧 release 的 wire 目标版本保留，实际释放关系仍按 base 核验。更早 proof 材料保留原兼容边界，不自动伪造 2.1 关系。
+- 绑定先恢复可继续的原任务；确认本地任务损坏时归档后重新发起并重新审批，网络故障、CAS 竞争、有效其他意图及远端关系冲突保持失败分类，不借 reset 覆盖远端关系。
+
+#### 凭证、存储与证书
+- 组织创建、转让和续期恢复保留原身份、密钥、凭证链、固定请求及签名；恢复过期请求绑定时重新核对原上下文，登记结果先验证再提交本地状态。
+- 对组织身份创建／转移及凭证续期的敏感 checkpoint 加密保存；读取兼容旧明文并在写入时升级，损坏或身份不匹配时拒绝继续。
+- 合并相同条件下的并发对端证书请求，保留指纹、历史签署时间和当前验证场景的隔离，失败后允许重试。
+
+### 兼容性与语言边界
+
+- P2P 后台收取依赖应用普通 `message.received`／`message.recalled`／`message.batch` 订阅；仅 `ownership.*` 不启动拉取，控制消息继续遵守普通积压、背压和提交／ACK 边界。
+- TypeScript 发送选项新增 `needRender`，并保留消息和返回值中的 `need_render`，默认可渲染；SQLite 保存交付回执，seed 轮换重加密受保护 metadata。
+- 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.21`。
+
+### 测试
+
+- 扩展 peer 目录与按对端 Pull、tail／forward、批量事件、应用背压、处理失败、水位及 ACK 的定向测试。
+- 扩展凭证续期、撤销分页、成员包、checkpoint 加密、证书并发及 Ownership reset／旧任务／绑定容错测试；测试入口和执行边界见 Python parity 文档，不以用例存在代替全量通过结论。
+
 ## 0.5.20 — 未发布
 
 > 基线：2026-10-12 发布的 npm `0.5.19`，发布包已与仓库快照 `ab05792f` 核对；本节整理 2026-10-15 工作区的 SDK 增量。

package/_packed_docs/INDEX.md

@@ -1,6 +1,6 @@
 # AUN SDK Core 文档索引
 
-> 根级文档索引采用三层结构。Layer 1 用于快速定位，Layer 2 按主题交叉查找，Layer 3 给出重点文档摘要。SDK API 细节继续查看 `docs/sdk/INDEX.md`；当前 Pull Gate 按 namespace 单飞、每客户端最多 4 个并行，末页独立 ACK。
+> 根级文档索引采用三层结构。Layer 1 用于快速定位，Layer 2 按主题交叉查找，Layer 3 给出重点文档摘要。SDK API 细节继续查看 `docs/sdk/INDEX.md`；P2P 保留共享 seq、按 sender 隔离游标，网络 Pull Gate 同 namespace 单飞、每客户端最多4个并行，末页独立 ACK。
 
 ---
 
@@ -8,9 +8,13 @@
 
 | 文档 | 定位 |
 | --- | --- |
-| [aun测试运行指南](aun测试运行指南.md) | `agentid.pub/agentid.cn` 双域本地单实例、独立固定材料与 Tester、Go 1.24、断网 cross-SDK、三文件线上镜像替换包、开箱默认配置、一次性初始化辅助包及单节点部署 |
+| [0.5.21 SDK 应用集成指南](sdk/0.5.21-SDK应用集成指南.md) | TypeScript 应用接入、batch 持久幂等、peer 同步、resolve/owner 展示、关系审批、凭证续期、诊断与升级验收 |
+| [0.5.21 SDK 开发与移植指南](sdk/0.5.21-SDK开发与移植指南.md) | 四端公开契约、peer 水位、流控与提交边界、frontmatter/共识缓存、原 CAS 和旧任务、checkpoint、语言差异及验收顺序 |
+| [0.5.22 SDK 应用集成指南](sdk/0.5.22-SDK应用集成指南.md) | TypeScript 接入、消息订阅、两种绑定与审批恢复、resolve 展示、60 秒读缓存与刷新、撤销同步和组织完整成员包 |
+| [0.5.22 SDK 开发与移植指南](sdk/0.5.22-SDK开发与移植指南.md) | 后台退避、群状态、两种绑定与 Stage/CAS、消息内部消费、撤销同步、组织恢复及配套服务修复、默认读缓存、Rust 移植与验收 |
+| [aun测试运行指南](aun测试运行指南.md) | `agentid.pub/agentid.cn` 双域本地单实例、MySQL 命名卷/bind 核验、独立固定材料与 Tester、Go 1.24、断网 cross-SDK、缓存专项首失败续跑、三文件线上镜像替换包、开箱默认配置、一次性初始化辅助包及单节点部署 |
 | [aun公网测试运行指南](aun公网测试运行指南.md) | 可配置 issuer domain 的 Python SDK 公网 integration/E2E runner、独立身份/运行目录、TLS 与服务端公网验收衔接 |
-| [aun分布式测试运行指南](aun分布式测试运行指南.md) | 当前 `kite` worktree 内的三节点、本地与公网 `agentid.pub/agentid.cn` 双域、隔离 federation、固定材料/双身份 runner、Storage OSS 验收、镜像/Compose/mount 来源预检及分布式 Tester/cross-SDK |
+| [aun分布式测试运行指南](aun分布式测试运行指南.md) | 当前worktree三节点/双域、固定身份runner和Storage OSS；P0授权启动/TLS/单活放置、Tester新pycache与C2续跑；MinIO双healthy/原marker重建读回通过，旧87a09263镜像及AIO04/pool05续跑通过，双形态历史六项C2分轮累计及恢复后最终完整六项C2通过；五app正常停启持久恢复与NS材料匹配/错误0已有证；第二轮5project全15容器停用、10依赖/control/新desired/worker恢复及SQL-before-app/before-SDK一致及旧事实/继续写/post SQL已证，恢复后schema/身份材料/最终完整C2及readiness收敛已证；MinIO原marker及最终日志已通过；新e294两域升级/旧87a回滚/恢复、SQL退休、最终C2各6项、持久v3→v4读写/正ACK及MinIO/诊断通过；fresh10005两域V2/签名状态/SQL/清理及pool重复confirm闭环通过，旧日志不倒推且全窗非0；原Pool Org/Cred首FAIL及历史10004/10006证据缺口保留；57d4双形态回滚恢复/局部重启、独立SDK最终C2/持久v4→v5、03默认1DH路径/清理/严格对账与配置持久化已证，最终日志已分类并保留来源缺口，P0默认1DH有限范围本地技术验收通过，Git/线上待；本轮有限清单真实失败已修复，历史参数/来源缺口旁列；群七天保留/物理清理后续另验、当前未实施；P0 C7部署撤回/保留数据及peer ACK恢复门禁，未签收、P1—P9未开始 |
 | [分布式 AUN 节点与服务启动流程](../../extensions/services/docs/分布式AUN节点与服务启动流程.md) | control master / worker node、控制/注册/配置中心一体化、节点启动、服务启停、注册发现和配置恢复流程 |
 | [AUN 服务 Go 化重构精细化源码审查](audit/AUN服务Go化重构精细化源码审查-20260718.md) | 10 个 AUN 服务的 Go/Python 调用链、字段、并发、安全与性能修复终审；开放 P0/P1/P2 已归零，并附 Claude 60+76 条复审映射、跨实例/资源边界修复和 Docker/Linux 2344 条 Python 回归证据 |
 | [AUNClient 拆分重构执行方案](design/AUNClient拆分重构执行方案.md) | Python / Go / TS / JS SDK AUNClient 内部拆分边界、执行步骤和验收矩阵 |
@@ -28,21 +32,21 @@
 | [E2EE V2 简化为 1DH + Per-AID Wrap 方案](design/E2EE_V2简化为1DH加Per-AID_Wrap方案.md) | SDK bootstrap 能力声明 + 服务端 policy 控制 1DH/per-AID wrap 的兼容方案 |
 | [E2EE V2 消息通信时序图](sdk/E2EE_V2消息通信时序图.md) | 当前 V2-only P2P / Group 明文与加密主链路、设备密钥注册和 pull/ack 时序 |
 | [ProtectedHeaders 用法专题](sdk/ProtectedHeaders用法专题.md) | 四 SDK `protected_headers` API、E2EE V2 元数据 HMAC、自动字段和接收信任边界 |
-| [Ownership 协议定义 2.1](protocol/Ownership协议定义2.1.md) | 当前双文件关系、release/清理/重绑版本、响应 Header 投影、agent.md 非回归及隔离的旧 SDK owner RPC；非权威 P2P 编排与 Group/Org 专属生命周期、实体主签、owner token 上传与可选附签和实体证书代际 |
+| [Ownership 协议定义 2.1](protocol/Ownership协议定义2.1.md) | agent.md/owner.md 关系、原格式兼容、release/清理/重绑版本、Header 投影、普通 agent.md 独立及旧 SDK 兼容；非权威 P2P 编排与 Group/Org 专属生命周期、实体主签、owner token 上传与可选附签和实体证书代际 |
 | [Ownership SDK 编排指南 2.1](sdk/Ownership-SDK编排指南2.1.md) | 七 Facade、审批、普通加密 P2P、本地事件、按角色完成证据与恢复契约 |
-| [Ownership 2.1 SDK 应用集成指南](sdk/Ownership2.1-SDK应用集成指南.md) | 普通 agent 可选 owner 注册与应用接入、sign/verify 公共门面、显式文件多签、Group/Org 实体上传、审批任务与新鲜共识 |
-| [Ownership 2.1 SDK 开发与移植指南](sdk/Ownership2.1-SDK开发与移植指南.md) | 统一签验核心、多签 HTTP 表示、实体指纹绑定、Storage 完整文件、owner.md 同会话上传及发布 CAS、原件恢复与持久任务 |
-| [凭证与组织服务 SDK 应用集成指南](sdk/凭证与组织服务SDK应用集成指南.md) | 0.5.19 应用接入、CAP 完整验证、登记回执、成员闭环、实体主签与 owner 上传、转让恢复 |
-| [凭证与组织服务 SDK 开发与移植指南](sdk/凭证与组织服务SDK开发与移植指南.md) | 0.5.19 四端协议实现、canonical JSON、强状态 proof、facade/RPC、实体多签与原件恢复、共同向量 |
+| [Ownership 2.1 SDK 应用集成指南](sdk/Ownership2.1-SDK应用集成指南.md) | 应用侧 TS 接线与审批；sub-first／owner-first 绑定、释放、三方转移和重连恢复流程图，任务与当前共识分开判断 |
+| [Ownership 2.1 SDK 开发与移植指南](sdk/Ownership2.1-SDK开发与移植指南.md) | SDK 内部 TS 接口；严格文件签验、NS fresh 共识、Storage 同会话发布、收件持久化和原 CAS 恢复流程图 |
+| [凭证与组织服务 SDK 应用集成指南](sdk/凭证与组织服务SDK应用集成指南.md) | TS 示例与凭证登记／验证、成员申请／邀请、续期、撤销同步和组织 rekey／finalize 转让流程图 |
+| [凭证与组织服务 SDK 开发与移植指南](sdk/凭证与组织服务SDK开发与移植指南.md) | TS 内部示例与 Verify、双层请求摘要、登记最终化、撤销快照和实体 checkpoint 流程图；跨语言契约与验收 |
 | [凭证服务 RPC 手册](sdk/09-凭证服务RPC手册.md) | Credential Service 实际注册 RPC、状态 proof、登记、吊销和吊销列表 |
 | [组织服务 RPC 手册](sdk/09-组织服务RPC手册.md) | Org Service 生命周期、成员、受保护查询、审计/授权及内部/未实现方法 |
-| [Ownership 2.1 详细设计](sdk/Ownership2.1详细设计.md) | agent.md 兼容非回归原则与审查矩阵、旧 SDK owner RPC/JSONL 隔离、SDK／NS／Storage 职责；关系事实依赖持久化的 `sub_aid/agent.md` 与 owner_aid 规范路径的 `owner.md` |
-| [Ownership 2.1 TDD 分阶段实施计划](sdk/Ownership2.1-TDD分阶段实施计划.md) | 当前实施计划、历史冻结契约、HTTP 428 与错误分类、共同向量及四 SDK 实际验收范围 |
+| [Ownership 2.1 详细设计](sdk/Ownership2.1详细设计.md) | agent.md 兼容非回归原则与审查矩阵、旧 SDK owner RPC/JSONL 隔离、SDK／NS／Storage 职责；关系事实依赖`sub_aid/agent.md` 与 owner_aid 规范路径的 `owner.md`，普通名片和其 Storage 副本独立 |
+| [Ownership 2.1 TDD 分阶段实施计划](sdk/Ownership2.1-TDD分阶段实施计划.md) | 历史分阶段计划、冻结契约、HTTP 428 与错误分类、共同向量及四 SDK 实际验收范围 |
 | [Ownership 管理专题（legacy）](sdk/Ownership管理专题.md) | 历史 `aun.ownership.v1`、proof、托管、代签、代上传与 rekey 记录，不作为 2.1 接入依据 |
 | [Ownership SDK 集成指南（legacy）](sdk/Ownership-SDK集成指南.md) | 2026-10-09 历史 TypeScript 应用接入、旧审批 API 与自动编排记录 |
 | [Ownership SDK 实现指南（legacy）](sdk/Ownership-SDK实现指南.md) | 历史 proof/escrow、metadata、恢复和 rekey 移植记录 |
 | [Ownership 协议定义（legacy）](protocol/Ownership协议定义.md) | 历史 `aun.ownership.v1`、proof、托管和 owner 上传授权格式 |
-| [Ownership 2.1 代码审查报告](audit/Ownership2.1代码审查报告.md) | 历史审查与修复；2026-10-15 旧 SDK 隔离兼容、owner 可选、四端会话/CAS、Storage 持久化与当前验收边界 |
+| [Ownership 2.1 代码审查报告](audit/Ownership2.1代码审查报告.md) | 第二十二节：恢复 agent.md/owner.md 与原控制格式、reset、历史兼容、本地专项、Gateway 部署、单域／cross-SDK／双域验证及未测边界；第十六至二十一节保留阶段记录，不替代当前验收 |
 | [Group 专属生命周期与名片](sdk/09-group-rpc-manual.md) | 自动 owner 绑定/解绑、强制 rekey 的两阶段转移、实体主签、owner token 名片上传与可选附签 |
 | [Org 0.8 专属生命周期](../../extensions/services/docs/org/0.8/02-组织模型.md) | 创建与解散 owner 自动建立/解除、先 rekey 后 owner CAS、材料归属与组织名片 |
 | [AUN RPC Trace 增强设计](design/2026-05-22-aun-rpc-trace-enhancement.md) | RPC trace 诊断字段与 enter/exit span 设计 |
@@ -57,10 +61,10 @@
 | [AID 类型、owner 关系与 agent.md 签发/换 owner 完整设计与实施计划](agent.md/working/AID类型-owner关系完整设计与实施计划.md) | 汇总设计及 Phase 0 已确认的 P0-A01 至 P0-A12：Schema owner/proof 可选性与 human 禁止 owner、三字段共同声明与 self-owner 单签、事实 hash 与完整声明 hash 分层、canonical JSON/可见分号域分隔符/签名封套、proof-only 与 registered 验证等级、Auth 登记见证/回执、证书状态与关系 operation 分离、legacy/绑定中基本登录通信及按应用场景降级、旧 AID `aid_bind` 与新建 `aid_register` 的 Facade/RPC 边界、active/pending 唯一性检查、离线审批、`unbound`/`unusable`、Storage 保留目录和内部对象操作、服务端/四端 SDK 调整及逐阶段验收标准；剩余仅为正式 wire/RPC 文档和跨端向量落稿 |
 | [本地 Docker 测试 Bug 清单](agent.md/working/本地Docker测试Bug清单.md) | 本轮 owner 关系实施及单域、cross-SDK、双域 federation 回归中发现的非任务失败、根因、修复与验证记录 |
 | [群索引版本提示与附件引用方案](design/群索引版本提示与附件引用方案.md) | `group.index` 签名索引、`_meta.group_indexes` 版本提示、CAS 更新、服务端缓存注入和附件稳定引用 |
-| [SDK 文档索引](sdk/INDEX.md) | SDK 使用手册、四 SDK 当前 access token getter、Python Push 自动登记/Facade、RPC 手册、E2EE、Storage VFS、Group FS 和 Collab 的子索引 |
+| [SDK 文档索引](sdk/INDEX.md) | SDK 使用手册、P2P peer 能力/游标、完整 pending peers/快照、need_render、50k 内存去重/应用持久幂等、四端门面、RPC、E2EE、Storage VFS、Group FS 和 Collab 的子索引 |
 | [SDK 查阅指南](sdk/AUN_DOCS_GUIDE.md) | SDK 文档按行区间渐进式查阅方法 |
 | [AUN SDK 0.5.6 更新日志](sdk/CHANGELOG-0.5.6.md) | 以 0.5.5 为基线的四 SDK 发布汇总；覆盖首次签名者回源、下载提交前验签、消息窗口、显式 change-seed 和语言能力边界 |
-| [四 SDK 版本对齐变更清单](../python/CHANGES_FOR_PARITY.md) | 以 Python 实现为主线的 v0.3.3 至 v0.5.20 跨语言对齐清单；0.5.20 以已发布 0.5.19 对应快照为基线，覆盖通用多签、离线草稿、Ownership 原件与恢复、消息同步、组织凭证、语言边界和测试入口 |
+| [四 SDK 版本对齐变更清单](../python/CHANGES_FOR_PARITY.md) | 以 Python 实现为主线的 v0.3.3 至 v0.5.22 跨语言对齐清单；0.5.22 覆盖后台退避、Ownership 2.1、撤销同步、组织恢复与配套服务修复、默认读缓存及已对齐分支，区分发布基线、专项回归和联网矩阵验证边界 |
 | [AUN CLI 手册](cli/CLI手册.md) | Python CLI 源码位置、安装运行入口、全局选项、profile 配置和主要命令集 |
 | [AUN CLI 设计文档](cli/AUN-CLI设计文档.md) | `python/src/aun_cli` 当前实现架构、命令注册面、配置解析、SDK 桥接和实现边界 |
 | [AUN Storage 架构设计](<aun-fs/AUN Storage架构设计.md>) | Storage SDK VFS、控制面/数据面分离、下载 ticket / AID Bearer 边界、当前 access token getter、类 Linux 权限、mount/symlink、服务端分层和 direct backend 上传下载 |
@@ -94,10 +98,10 @@
 
 ### 测试与 E2E
 
-- 本机各套环境边界、默认单实例服务端、独立 SDK Tester、容器/网络/数据目录和测试命令 → [aun测试运行指南](aun测试运行指南.md)
+- 本机各套环境边界、MySQL 命名卷/bind 来源、默认单实例服务端、独立 SDK Tester、容器/网络/数据目录和测试命令 → [aun测试运行指南](aun测试运行指南.md)
 - `evolagent.cn` / `agentid.pub` 等公网域的 Python SDK integration/E2E、隔离目录、TLS 和报告 → [aun公网测试运行指南](aun公网测试运行指南.md)
 - 双域 Issuer/AID/MySQL 材料校验、三文件线上镜像替换包、开箱默认值与可选生产覆盖、一次性初始化辅助包及线上单节点部署 → [aun测试运行指南](aun测试运行指南.md)
-- 当前 worktree 三节点、本地与公网 `agentid.pub/agentid.cn` 双域、固定身份双域 runner、Storage OSS、dist 域名、data-dist、镜像/Compose/mount 来源核验、控制中心和跳过 TLS verify → [aun分布式测试运行指南](aun分布式测试运行指南.md)
+- 当前worktree三节点/双域、固定身份runner、Storage OSS与来源核验；2.0 P0授权启动/运行失败断点、AIO端口、新pycache Tester/TLS与C2续跑、双形态/C1—C10及回滚/交付门禁；大文件仍外部OSS、小对象P0仍localfs，内部S3迁移属P2 → [aun分布式测试运行指南](aun分布式测试运行指南.md)
 - 分布式节点角色、节点启动、服务启动/停止、注册发现、配置恢复和重启后状态恢复 → [分布式 AUN 节点与服务启动流程](../../extensions/services/docs/分布式AUN节点与服务启动流程.md)
 - AUNClient 巨类拆分、内部组件边界、逐步迁移和验收矩阵 → [AUNClient 拆分重构执行方案](design/AUNClient拆分重构执行方案.md)
 - AUNClient 完全门面化、Runtime 状态归属、状态写入收口和四端分批实施 → [AUNClient 门面化与 Runtime 状态迁移细化方案](design/AUNClient门面化与Runtime状态迁移细化方案.md)
@@ -119,23 +123,28 @@
 
 ### SDK 使用与协议
 
-- Python / TS / Go / JS SDK 使用手册，以及 Python `push_notify_aid` connect 自动登记和 PushFacade → [SDK 文档索引](sdk/INDEX.md)
-- Ownership 2.1 双文件关系、release 保持当前版本、清理后版本投影为 0／重绑默认 1、响应 Header 只投影校验结果、普通 agent owner 可选及旧 SDK 隔离兼容 → [协议定义 2.1](protocol/Ownership协议定义2.1.md)、[详细设计](sdk/Ownership2.1详细设计.md)
-- Ownership 2.1 七 Facade、公开签验与文件多签、Group/Org 实体上传、审批、本地事件、任务与新鲜共识 → [SDK 编排指南 2.1](sdk/Ownership-SDK编排指南2.1.md)、[应用集成指南](sdk/Ownership2.1-SDK应用集成指南.md)
-- Ownership 2.1 统一签验核心、多签 HTTP 表示、Storage 完整原文/存在性再读、owner.md 同会话上传与 expected_version 发布 CAS、原件恢复与持久任务验收 → [开发与移植指南](sdk/Ownership2.1-SDK开发与移植指南.md)、[TDD 实施账本](sdk/Ownership2.1-TDD分阶段实施计划.md)
-- Credential/Org 应用接入、CAP 完整 Verify、登记回执、成员入组/续期、代表请求和转让恢复 → [凭证与组织服务 SDK 应用集成指南](sdk/凭证与组织服务SDK应用集成指南.md)
-- Credential/Org 四端协议实现、canonical JSON、父链强状态 proof、请求绑定、facade/RPC 和共同向量 → [凭证与组织服务 SDK 开发与移植指南](sdk/凭证与组织服务SDK开发与移植指南.md)
+- 0.5.21 应用开发者的 TypeScript 接入、消息入库与 UI、resolve、Ownership、凭证组织及升级验收 → [应用集成指南](sdk/0.5.21-SDK应用集成指南.md)
+- 0.5.21 SDK 开发者的分层、peer/batch 提交、共识缓存、原件恢复、持久化和跨语言验收 → [开发与移植指南](sdk/0.5.21-SDK开发与移植指南.md)
+- 0.5.22 应用接入、两种绑定与审批恢复、resolve、60 秒读缓存与刷新、撤销同步及完整成员包 → [应用集成指南](sdk/0.5.22-SDK应用集成指南.md)
+- 0.5.22 后台退避、群状态、两种绑定与 Stage/CAS、消息订阅及内部消费、撤销同步、组织恢复与配套服务修复、默认读缓存和 Rust 移植 → [开发与移植指南](sdk/0.5.22-SDK开发与移植指南.md)
+- Python / TS / Go / JS SDK 使用手册，P2P peer 能力、共享 seq/隔离游标、轻量 pending peers/可选整体估计快照、目录/Pull逐页next_pending_seq持续提示/每N次FIFO、peer ACK/slot 公共 S、need_render/页内渲染计数、50k 内存去重/应用持久幂等，以及 Python PushFacade → [SDK 文档索引](sdk/INDEX.md)、[Message RPC](sdk/09-message-rpc-manual.md)、[服务协议](protocol/06-服务协议.md#63-点对点消息-message)
+- Ownership 2.1 agent.md/owner.md 关系、原格式兼容、普通 agent.md 独立、release 保持当前版本、清理后版本投影为 0／重绑默认 1、响应 Header 只投影校验结果、普通 agent owner 可选及旧 SDK 隔离兼容 → [协议定义 2.1](protocol/Ownership协议定义2.1.md)、[详细设计](sdk/Ownership2.1详细设计.md)
+- Ownership 2.1 应用接入：双向绑定、释放、转移、审批和恢复的 TS 示例／流程图 → [应用集成指南](sdk/Ownership2.1-SDK应用集成指南.md)
+- Ownership 2.1 SDK 移植：文件签验、fresh 共识、权威发布、消息持久化和三类 CAS 恢复 → [开发与移植指南](sdk/Ownership2.1-SDK开发与移植指南.md)
+- Credential/Org 应用接入：凭证登记验证、成员入组／续期、撤销同步和组织转让的 TS 示例／流程图 → [应用集成指南](sdk/凭证与组织服务SDK应用集成指南.md)
+- Credential/Org SDK 移植：共同签验、两层请求摘要、登记最终化、撤销快照及实体恢复 → [开发与移植指南](sdk/凭证与组织服务SDK开发与移植指南.md)
 - Credential Service 服务端 RPC、签名状态 proof 和吊销列表 → [凭证服务 RPC 手册](sdk/09-凭证服务RPC手册.md)
 - Org Service 生命周期、成员、受保护查询、内部接口和未实现占位 → [组织服务 RPC 手册](sdk/09-组织服务RPC手册.md)
 - 旧 SDK owner 注册、绑定、转移、查询和解绑的隔离 RPC/Auth JSONL 兼容 → [当前协议兼容边界](protocol/Ownership协议定义2.1.md)；legacy proof、托管、代签和代上传记录 → [Ownership 管理专题](sdk/Ownership管理专题.md)
 - legacy 应用接入与旧 SDK 自动编排 → [Ownership SDK 集成指南](sdk/Ownership-SDK集成指南.md)
 - legacy proof/escrow、metadata 和 rekey 移植记录 → [Ownership SDK 实现指南](sdk/Ownership-SDK实现指南.md)
 - legacy `aun.ownership.v1` wire 格式和 owner 上传授权 → [Ownership 协议定义](protocol/Ownership协议定义.md)
-- Ownership 2.1 代码审查、四端逐项裁决、旧 SDK 隔离兼容、普通名片保护、2026-10-15 修复和验证限制 → [Ownership 2.1 代码审查报告](audit/Ownership2.1代码审查报告.md)
+- Ownership 2.1 恢复 agent.md/owner.md 及原控制格式、无参数 reset、绑定容错和历史任务兼容 → [第二十二节](audit/Ownership2.1代码审查报告.md#二十二2026-10-18-恢复发布格式与历史兼容更正)、[编排第 8 节](sdk/Ownership-SDK编排指南2.1.md#8-崩溃与响应丢失后的恢复)
 - 四 SDK 当前 access token getter、缓存快照语义和外部 HTTP 数据面下载凭据生命周期 → [连接与认证](sdk/04-连接与认证.md)、[API 手册](sdk/06-API手册.md)、[Storage RPC 手册](sdk/09-storage-rpc-manual.md)、[AUN Storage 架构设计](<aun-fs/AUN Storage架构设计.md>)
+- 四 SDK resolve 的 opts/输入输出、frontmatter 全字段与类型、按需 ownership 共识及 owner.md 缓存 → [resolve 规格](sdk/06-API手册.md#resolve-输入与输出)、[连接与认证](sdk/04-连接与认证.md)
 - 按主题和行区间查 SDK 文档 → [SDK 查阅指南](sdk/AUN_DOCS_GUIDE.md)
 - 四 SDK 0.5.6 发布摘要、首次签名者回源、可信缓存提交、消息窗口、语言能力边界 → [AUN SDK 0.5.6 更新日志](sdk/CHANGELOG-0.5.6.md)
-- 四 SDK 0.5.20 相对已发布 0.5.19 的通用多签、草稿恢复、Ownership 原件 CAS、Pull/ACK、撤回及已读事件、组织凭证、代码/测试落点与语言边界 → [四 SDK 版本对齐变更清单](../python/CHANGES_FOR_PARITY.md)
+- 四 SDK 0.5.22 相对发布 0.5.21 的后台退避、Ownership 2.1、撤销同步、组织恢复与配套服务修复、默认读缓存已对齐分支、专项回归及联网矩阵边界 → [四 SDK 版本对齐变更清单](../python/CHANGES_FOR_PARITY.md)
 - Python CLI 源码位置、安装运行入口、全局选项、profile 配置、身份/消息/群组/Storage/Group FS/Collab/诊断等命令用法 → [AUN CLI 手册](cli/CLI手册.md)
 - Python CLI 当前实现架构、`main.py` 命令注册、`CLISession` SDK 桥接、配置解析和实现边界 → [AUN CLI 设计文档](cli/AUN-CLI设计文档.md)
 - Storage SDK VFS、控制面/数据面分离、下载 ticket / AID Bearer 边界、当前 access token getter、类 Linux 权限、mount/symlink、direct backend 上传下载和服务端分层 → [AUN Storage 架构设计](<aun-fs/AUN Storage架构设计.md>)
@@ -189,7 +198,7 @@
 
 ### aun测试运行指南
 
-记录本机 `agentid.pub/agentid.cn` 两套单节点环境以及三节点、federation 的 Compose、数据、project、网络与容器边界。真实双域各自固定 Issuer CA、服务 AID、MySQL UUID、workspace 和 Tester 目录，通过材料清单与运行态 mount 双重预检防止混用。指南统一 Go 1.24 与断网测试纪律，并定义停止写入后的 MySQL 单事务逻辑快照、三文件线上包的开箱默认值与可选生产覆盖、首部署导入和后续镜像升级流程；公网复测另有固定身份注册、TLS 和镜像发布门禁。
+记录本机 `agentid.pub/agentid.cn` 两套单节点环境以及三节点、federation 的 Compose、数据、project、网络与容器边界。真实双域各自固定 Issuer CA、服务 AID、MySQL UUID、workspace 和 Tester 目录，通过材料清单与运行态 mount 双重预检防止混用；PUB MySQL 使用逻辑导入原库的命名卷，CN 保持独立 bind，旧 PUB 目录仅保留冷现场。指南统一 Go 1.24 与断网测试纪律，并定义停止写入后的 MySQL 单事务逻辑快照、三文件线上包的开箱默认值与可选生产覆盖、首部署导入和后续镜像升级流程；公网复测另有固定身份注册、TLS 和镜像发布门禁。
 
 ### aun公网测试运行指南
 
@@ -197,7 +206,7 @@
 
 ### aun分布式测试运行指南
 
-规定当前 `D:\modelunion\kite` worktree 独立维护默认单实例、本地与公网真实域名双域 `agentid.pub/agentid.cn`、三节点 `dist-agentid.pub`、隔离 federation、服务端镜像、Tester 和部署产物，不得引用相邻 worktree。包含本地双域的 env 合并规则、固定身份双挂载 runner、Storage OSS 跨域授权/下载验收、公网固定身份注册与 TLS 复测、线上镜像门禁、跨域日志判定、跨 worktree 的停写整套冷克隆边界、分布式 Tester/cross-SDK、镜像哈希、Compose label 与 bind mount 强制预检、精确 Git 忽略边界；日常流程禁止在线或局部复制、擅自重签、`setup_aids.py` 或清库，Go Tester 统一 1.24。
+规定当前 `D:\modelunion\kite` worktree 独立维护默认单实例、本地与公网真实域名双域 `agentid.pub/agentid.cn`、三节点 `dist-agentid.pub`、隔离 federation、服务端镜像、Tester 和部署产物，不得引用相邻 worktree。包含本地双域的 env 合并规则、固定身份双挂载 runner、Storage OSS 跨域授权/下载验收、公网固定身份注册与 TLS 复测、线上镜像门禁、跨域日志判定、跨 worktree 的停写整套冷克隆边界、分布式 Tester/cross-SDK、镜像哈希、Compose label 与 bind mount 强制预检、精确 Git 忽略边界；日常流程禁止在线或局部复制、擅自重签、`setup_aids.py` 或清库，Go Tester 统一 1.24。2.0专节列出已落地的infra/worker Compose、两域隔离材料/镜像及实际端口，要求pool control完整业务desired先stopped，再逐个准入三个worker；提供本域网络/CoreDNS/CA下的Tester和真实`--checks/--fail-fast` C2命令，保留实际端口probe、持久基线和回滚待办。容量目标为消息发送1万次/秒，ACK/pull另计；10万稳态/30万峰值连接、1KiB典型/1MiB最大、15分钟峰值+60分钟观察、每接收投递设备各1 ACK+1 pull、单聊80%/群聊20%、群20/1000、RPO=0/RTO≤60秒及30%余量为用户授权推算冻结的计划输入，P9实测待补。P0—P9同版本双形态独立验收，P2起第三数据集双向切换，适用C1—C10和真实私网TLS；两形态分别回滚、恢复目标版本并最终就绪，证据关联执行账本，缺项不签收。阶段相关变更独立commit、普通push并记录结果后停止；用户线上运行后由Codex审阅对应版本/运行窗口日志，再获用户继续指令才进下阶段。旧87a09263镜像曾完成部署，AIO04/pool05续跑通过、双形态历史六项C2分轮累计及恢复后最终完整六项C2通过；实际schema/新目标快照已冻结、两域持久create/停机SQL精确对账、SDK前原行/旧事实读回/继续写及schema前后一致均通过；五app正常停启的持久读回/继续写及schema保持通过；NameService DB/文件/链匹配和约4min错误0已证（非sync成功证明）；首轮5app部分演练保留；第二轮已停用5project全部15容器，恢复10依赖及control/新desired/worker，SQL-before-app/before-SDK与C7基线一致，恢复后旧事实/继续写及post SQL通过；恢复后schema/身份材料/最终完整C2及readiness收敛已证；MinIO原marker及最终日志已通过；新e294两域升级/旧87a回滚/恢复、SQL退休、最终C2各6项、持久v3→v4读写/正ACK及MinIO/诊断通过；fresh10005两域V2/签名状态/SQL/清理及pool重复confirm闭环通过，旧日志不倒推且全窗非0；原Pool Org/Cred首FAIL及历史10004/10006证据缺口保留；57d4双形态回滚恢复/局部重启、独立SDK最终C2/持久v4→v5、03默认1DH路径/清理/严格对账与配置持久化已证，最终日志已分类并保留来源缺口，P0默认1DH有限范围本地技术验收通过，Git/线上待；本轮有限清单真实失败已修复，历史参数/来源缺口旁列；群七天保留/物理清理后续另验、当前未实施；本轮追加Org/Cred4个现有kernelrpc文件与catalog/TLS新增2项，当前45项为已验专项子集，Git全工作区清单待审，SDK5文件TDD/安全回归与522文件/8overlay冻结已证，最终1DH业务已证，Git全工作区清单待审，57d4分段回滚恢复/同Kernel局部重启已证，默认1DH业务/配置已证，Git/线上待；旧现场event_id候选未实证；P0默认1DH有限范围本地技术验收通过、Git/线上待，P1—P9未开始。
 
 ### 分布式 AUN 节点与服务启动流程
 
@@ -307,9 +316,25 @@
 
 定义 `group.index` 的 owner/admin SDK 生成、canonical JSONL、签名、`etag` / `body_hash`、`expected_index_etag` CAS、`_meta.group_indexes` 版本提示、Gateway/Message 转发边界、服务端正/负缓存、singleflight、写后失效/刷新、注入频率控制，以及 DB 保存核心设置、group.fs 保存大附件、附件稳定引用和 SDK `check/get/updateGroupIndex` 语义。
 
+### 0.5.21 SDK 应用集成指南
+
+面向应用开发者整理当前 0.5.21 工作区的身份与连接、批量消费和持久幂等、peer Pull/History、业务已读、resolve 全类型元数据与按需 owner 展示、Ownership 审批/reset、当前托管凭证、组织恢复、诊断及升级验收。示例统一使用 TypeScript，区分 Node 和浏览器。
+
+### 0.5.21 SDK 开发与移植指南
+
+面向四端维护者和新语言 SDK 实现者说明严格能力协商、稀疏 seq 与 A/T/H、共享 Gate 和背压、batch/single 选择、handler/水位/ACK 提交、运行时去重、resolve 缓存、双文件原 CAS、历史任务/reset、续期撤销、加密 checkpoint、证书并发、语言差异和分阶段验收。
+
+### 0.5.22 SDK 应用集成指南
+
+TypeScript 身份与消息接线、Ownership 审批恢复、resolve、默认缓存与刷新、撤销同步、完整成员包及升级验收。
+
+### 0.5.22 SDK 开发与移植指南
+
+定义后台退避、群状态、Ownership Stage／CAS、内部消费、撤销与续期、缓存后端及失效契约；列出服务依赖、语言修复、Rust 定位和验收入口。
+
 ### SDK 文档索引
 
-`docs/sdk/INDEX.md` 是 SDK 手册的三层子索引，覆盖快速开始、连接认证、E2EE V2、P2P device/TTL volatile 消息、Group 成员控制与两阶段群主转让、Storage MIME/Content-Type/OSS 403、Python `ErrorInfo.cause`、Group FS、Collab 和各类 RPC 手册。
+`docs/sdk/INDEX.md` 是 SDK 手册的三层子索引，覆盖快速开始、连接认证、E2EE V2、P2P 共享 seq/peer 游标、pending peers/统计快照、need_render、50k 内存去重/应用持久幂等、device/TTL volatile、Group 成员控制与两阶段群主转让、Storage、Group FS、Collab 和各类 RPC 手册。peer 模式本期限定单 Message 实例，设备级密钥安全证明可缺省。
 
 ### ProtectedHeaders 用法专题
 
@@ -325,29 +350,29 @@
 
 ### Ownership SDK 编排指南 2.1
 
-定义七 Facade、明确审批、普通加密 P2P 载荷、公共 local_roles 与请求身份、本地事件、按角色核对完成证据和新鲜权威恢复；冻结重复发起复用、错误与任务状态分别记录、时间整数边界，文件保存、关系完成与清理分别跟踪；整体 30 秒从首次 GET 前计时，接收方固定授权摘要/期限，无控制消息也按精确本人历史同意恢复清理。
+定义七 Facade、sub-first Stage／owner-first 直接提交及无锁预检、明确审批、普通加密 P2P 载荷、公共 local_roles 与请求身份、本地事件、按角色核对完成证据和新鲜权威恢复；冻结重复发起复用、错误与任务状态分别记录、时间整数边界，文件保存、关系完成与清理分别跟踪；整体 30 秒从首次 GET 前计时，接收方固定授权摘要/期限，无控制消息也按精确本人历史同意恢复清理。
 
 Group/Org 作为 sub 时不进入这些通用任务或审批；以其为 sub 误调用直接 not_applicable，符合普通 owner 规则时仍可作为 owner_aid。实体 owner 创建自动建立、解散自动解除，专属转移强制 rekey，名片由实体主签、owner token 上传，可选 owner 附签不改变当前授权。
 
 ### Ownership 2.1 SDK 应用集成指南
 
-说明普通 agent 注册 owner 可选、应用身份准备、sign/verify 公共门面、显式文件输入与多签结果、Group/Org 实体主签和 owner 上传、审批 UI/策略、任务事件、新鲜 checkOwnershipConsensus 和恢复接入；普通下载 ownership_status 保留 legacy proof 展示语义，不能作为 2.1 授权结果；实体 pending 保留完整原件和原 CAS，由应用显式重试。
+按身份准备、发起、审批、核验和恢复组织内容；提供短 TS 示例及 sub-first／owner-first、release、三方转移和重连图。保留普通消息订阅、持久任务、六态、Group/Org 与 legacy 边界。
 
 ### Ownership 2.1 SDK 开发与移植指南
 
-以当前 Node TS 接线为参考，说明公开签验门面与唯一内部核心、多签 prefix、离线证书与显式 resolver、HTTP 表示协商和现代实体指纹绑定；Storage authoritative 保留当前完整原文/摘要/存在性，object_id/version 不作为读取一致性或共识条件；owner.md 使用 create_upload_session→HTTP PUT→complete_upload 的同一会话，沿用 expected_version 作发布 CAS，agent 保留原 ETag，持久 CAS/outbox 恢复不刷新原提交条件；HTTP 428 统一映射 unsupported_protocol；通知恢复发送前逐条核对新鲜 NS，不以参考实现代替各语言验收；严格 OCSP issuer 绑定、本人原件/任务上下文和实体 pending 完整原件恢复以协议与逐项裁决为准，不默认全部行为以 TS 为准。
+聚焦 SDK 内部实现：严格签验、当前证书、NS fresh 复读、Storage 原子发布、消息保存先于 ACK，以及原任务／原字节／原 CAS 恢复。图示关键边界，协议字段和历史细节链接原规范。
 
 ### Ownership 2.1 详细设计
 
-定义四 SDK、NS、Storage 的组件职责、NS原ETag、owner.md 同会话完整发布与 expected_version CAS、名片同步、legacy RPC/Auth JSONL 隔离与 agent.md 非回归；NS 可信内部 Storage 副本仅限本域 default/agent.md，不经客户端会话，不写删 owner.md，也不替代 NS 权威；Ownership 关系事实只由持久化的 `sub_aid/agent.md` 与 owner_aid 规范路径的 `owner.md` 提供，Header 只投影本次校验结果；补 release 保持 v、清理后版本投影为 0／重绑默认 1，以及当前时间 OCSP 复核、原文件及 CAS 固定、无消息释放清理和实体多签恢复边界。
+定义四 SDK、NS、Storage 的组件职责、NS原ETag、owner.md 同会话完整发布与 expected_version CAS、名片同步、legacy RPC/Auth JSONL 隔离与 agent.md 非回归；NS 可信内部 Storage 副本仅限本域 default/agent.md，不经客户端会话，不写删 owner.md，也不替代 NS 权威；Ownership 关系事实只由`sub_aid/agent.md` 与 owner_aid 规范路径的 `owner.md` 提供；普通 agent.md 的读写、缓存、原 CAS 和 Storage 副本不依赖关系验证，Header 只投影本次校验结果；补 release 保持 v、清理后版本投影为 0／重绑默认 1，以及当前时间 OCSP 复核、原文件及 CAS 固定、无消息释放清理和实体多签恢复边界。
 
 ### Ownership 2.1 TDD 分阶段实施计划
 
-保存当前实施顺序、共同向量、原实施阶段冻结契约与历史测试账本，统一 Group/Org 的 sub 边界、HTTP 428/错误分类及非权威 P2P；第 13 节记录当时各端源码、运行版本、恢复进程边界及未验证环境，第 13.3 节的历史冻结契约不覆盖当前协议；旧群自签/token 上传结果保留为旧契约事实，不能作为新 owner 本人名片契约验收；第 13.7 节单列 2026-10-11 的 13 项复审后本地验证，第 13.8 节关联 2026-10-13 更正与修复边界，不改写历史网络账本。
+保存早期实施顺序、共同向量、原实施阶段冻结契约与历史测试账本，统一 Group/Org 的 sub 边界、HTTP 428/错误分类及非权威 P2P；第 13 节记录当时各端源码、运行版本、恢复进程边界及未验证环境，第 13.3 节的历史冻结契约不覆盖当前协议；旧群自签/token 上传结果保留为旧契约事实，不能作为新 owner 本人名片契约验收；第 13.7 节单列 2026-10-11 的 13 项复审后本地验证，第 13.8 节关联 2026-10-13 更正与修复边界，不改写历史网络账本。
 
 ### Ownership 2.1 代码审查报告
 
-保留首次审查的实现完整性、协议一致性、四端差异及服务端问题；第九节记录用户授权后的 6 个 P1、12 个 P2、追加恢复窗口修复、受影响测试证据和验证边界；第十节记录三项契约冻结与本地验证，第十一节记录 Group/Org 既有转移/解散上的约束与恢复修复、owner 本人名片和 V2 授权、四端与服务按断点取得的本地测试证据、已知基线首败及未执行环境验收。第十二节记录 6 个 P1、7 个 P2、V2 过期停止自动重传的用户决定和断点回归。第十三节记录 2026-10-13 的误报撤回与最小修复；第十四节保留本轮中间状态，第十五节记录 2026-10-15 的当前裁决、15 项追加问题和修复：agent owner 可选、四端会话/CAS及读取错误、旧 SDK Auth/NS/Gateway 隔离入口、Group 历史副本、Storage 精确 ACL/持久化/撤权墓碑，以及独立测试批次和未执行部署边界。不能从历史状态或本地单测外推真实旧 SDK 全流程兼容验收。
+当前格式与兼容更正见[第二十二节](audit/Ownership2.1代码审查报告.md#二十二2026-10-18-恢复发布格式与历史兼容更正)：继续使用 agent.md/owner.md 和原控制字段；普通正文保留关系材料且不以前置 Ownership 共识为条件；保留 reset、绑定容错与 0.5.19 及更早任务兼容。第十六至二十一节保留阶段记录，其中独立资源、显式迁移及资源标记契约已经撤销，原通过计数不能作为恢复后专项、现场部署或全平台验收结论。
 
 ### Ownership SDK 集成指南
 
@@ -371,7 +396,7 @@ Group/Org 作为 sub 时不进入这些通用任务或审批；以其为 sub 误
 
 ### 凭证与组织服务 SDK 指南
 
-[应用集成指南](sdk/凭证与组织服务SDK应用集成指南.md)覆盖 service-plane 边界、完整验证、Credential 请求绑定、受保护读取、首次 admission、创建/转让恢复及解散清理；[开发与移植指南](sdk/凭证与组织服务SDK开发与移植指南.md)定义四端共同密码学、CAP、binding、facade/RPC、checkpoint 和测试向量契约。
+[应用集成指南](sdk/凭证与组织服务SDK应用集成指南.md) 用 TS 与流程图说明登记验证、申请／邀请、续期、代表调用、撤销同步和组织转让；[移植指南](sdk/凭证与组织服务SDK开发与移植指南.md) 定义共同签验、请求摘要、回执、持久快照、rekey checkpoint 和跨语言验收。
 
 [凭证服务 RPC 手册](sdk/09-凭证服务RPC手册.md)与[组织服务 RPC 手册](sdk/09-组织服务RPC手册.md)按两个服务当前 dispatcher 描述实际方法、请求用途和受限/未实现边界。
 
@@ -381,7 +406,7 @@ Group/Org 作为 sub 时不进入这些通用任务或审批；以其为 sub 误
 
 ### 四 SDK 版本对齐变更清单
 
-`python/CHANGES_FOR_PARITY.md` 以 Python SDK 历史实现为主线记录 Go / TypeScript / JavaScript 的对齐要求。当前 v0.5.20 章节以已发布 v0.5.19 对应的 `ab05792f` 快照为基线，记录通用多签与实体主签、离线草稿、Ownership 原件 CAS 和 release/清理/重绑、namespace 并发补拉与末页 ACK、撤回及已读队列语言差异、凭证最终时效和注册/CLI 兼容；列出四端 API、Python 函数定位及测试入口，并保留 v0.5.19 和更早历史章节。
+`python/CHANGES_FOR_PARITY.md` 以 Python SDK 历史实现为主线记录 Go / TypeScript / JavaScript 的对齐要求。v0.5.22 以已发布 v0.5.21 为基线，覆盖后台退避、Ownership 2.1 两种绑定与 CAS、撤销同步、组织恢复及配套服务修复、默认读缓存和 owner.md 读取边界；记录缺省 TTL 与权限查询分支的对齐、四端专项回归及 TS/JS 类型检查，保留 16×4 联网矩阵、真实浏览器和其它未执行范围，区分源码、发布产物和服务部署证据。
 
 ### AUN CLI 手册