@agentunion/fastaun 0.5.21 → 0.5.23

package/CHANGELOG.md

@@ -6,7 +6,63 @@
 
 ---
 
-## 0.5.21 — 未发布
+## 0.5.22 — 未发布
+
+> 基线：已发布的 `0.5.21`；本节整理截至 2026-10-23 工作区的 SDK 增量。
+
+### 新功能
+
+#### Ownership 2.1 按发起方绑定
+- sub-first 绑定先 fresh 确认无 owner 锁及 NS 的 Stage 能力，再以原 CAS 发布本人签名的 `agent.md`；`pending/unlocked` 映射为公共 `single_sided`。owner 发布本轮声明并经 NS fresh 验收后完成，sub 可离线，无须再次 PUT。
+- owner-first 绑定先条件发布 owner 的 `owner.md` 再发请求；sub 明确同意后直接条件提交 `agent.md`，不带 Stage，无须 bind.accept／owner.ready 往返。拒绝邀请只清理仍未锁定且匹配任务的 owner 原件，使用当前对象 `version` 作 `expected_version` 原子删除。
+- 持久保存待确认原文、摘要、ETag、审批和原提交条件；旧 owner 声明不代替本轮审批。拒绝后仅由 sub 按原件 CAS 清理对应候选；reset 只归档本地任务，不清除远端 pending 或解除已成立的 owner 锁。新流程依赖目标 NS 支持待确认绑定，历史任务保留原恢复边界。
+
+#### Storage / Group FS 默认读缓存
+- Storage 与 Group FS 响应缺少或返回 `null` 的 `read_cache` 时，客户端默认缓存元数据 60 秒；正文默认仅缓存不超过 64 KiB 且 SHA-256 校验通过的内容。显式策略须 `reusable=true`，正文还须 `inline=true`；省略 `max_age_ms` 时默认 60 秒，正数 TTL 最多使用 60 秒。显式禁止、null／非正数／非法 TTL 不复用。
+- 单次读取可用 `noCache: true` 跳过有效缓存命中并请求远端校验，底层 RPC 和 Group FS 兼容 `no_cache`；已有正文摘要仍可用于复用未变化内容，返回结果仍可缓存，因此它不是 no-store。`consistency: "authoritative"` 继续绕过读缓存。普通文件 API 读取 `owner.md` 也遵循默认策略；Ownership 管理/共识权威读取和 `resolve` ownership 快照仍按各自机制处理。
+- 新增内存与持久读缓存：SQLite 索引位于 `{aunPath}/.cache/storage/index.sqlite3`，正文按 SHA-256 分离保存；默认内存正文 32 MiB、持久正文 256 MiB，包含容量淘汰、失效及完整性校验。
+- 修正显式允许但省略 TTL 时的默认缓存、缺省／null 策略正文的持久恢复，以及 `not_modified` 摘要校验；恢复保留原 TTL。四端缓存覆盖及验证边界见 [parity 块⑦](../python/CHANGES_FOR_PARITY.md#块⑦-storage--group-fs-默认读缓存)。
+
+### 修复
+
+#### 后台同步退避与群终止
+- P2P、群消息、群事件、peer 目录及按对端恢复失败后按 namespace 执行 1～30 秒指数退避，重复通知和已入队任务不能绕过等待，成功后重置；等待不占用 Pull Gate，其他 namespace 及手动请求仍可继续，切换身份或连接时取消旧代任务。
+- 群后台 Pull 优先识别服务端 `data.retryable`，兼容既有错误码及错误文本；被封禁、非成员、群不存在／解散／暂停等明确失败终止该群消息和事件同步，并清理补拉需求，群 ID 别名共享终止状态。
+- 手动群 Pull 成功后允许恢复该群后台同步，重连或切换身份时清空终止状态；解除封禁不再由持续轮询自动发现。
+- 上线群身份恢复、绑定和自动确认提案跳过明确非 `active` 的群，保留缺少 `status` 的旧响应兼容，避免重复操作已解散群。
+
+#### Ownership 共识与释放恢复
+- 始终以 NS 新鲜观测作为关系版本和 lock 权威，并与 `agent.md`、owner.md 的签名材料核对。投影矛盾时立即 fresh-read 一次，若仍未收敛则返回可重试 `unavailable`，不凭文件材料越过 NS 状态执行释放、清理或重绑。
+- 绑定、释放、转移和清理继续核对原声明、关系版本、ETag 及内容摘要；释放确认要求 NS 解锁与当前双文件材料一致，NS 解锁本身也不能替代文件共识。
+
+#### 凭证撤销与服务事件
+- `credential.revoked` 和 `credential.revocationList` 经服务验签及接收身份校验后持久合并撤销状态，按 authority／CID 保留最大事件序号，旧分页结果不能覆盖较新的撤销记录，单条推送不跳过尚未同步的分页事件。
+- 服务事件在异步验签前后复核身份和连接代次，持久化前再次检查有效期及身份、连接／worker 代次，防止旧连接结果写入当前身份。
+- 撤销列表改为每小时兜底补拉，凭证续期仍每分钟检查；首次补拉在连接后一小时执行，重连后重新计时。
+
+#### 组织转让与成员续期
+- 组织转让完成后保留 `completed` 结果；使用相同原参数重放时直接返回已完成结果，继续核对转让 ID、owner 和参数摘要，重连跳过已完成任务。
+- 跨域实体名片重试按上传者所属域获取 token，缺失或过期时不再向目标域登录，有效缓存继续复用；上传仍发往实体所在域。
+- 成员续期成功后同步保存凭证、绑定、条款、登记回执、服务端版本和凭证服务信息，不再等待成员事件补齐；仅写当前成员账户，短期凭证保持 `long_term=false`，后续验签保留完整材料。
+
+#### 证书验证与缓存
+- 实体当前证书解析直接验证本次 PKI 响应，避免再按指纹读取另一次证书观察；验链缓存清理遵循 `chainCacheTtl`（默认 86,400 秒），不再固定按五分钟淘汰。
+
+### 兼容性与语言边界
+
+- 保持既有公开业务 API，后台退避和群终止状态按客户端、身份及连接隔离；Node.js 的异步上下文与 Pull Gate 协同处理，不阻塞手动调用。
+- Ownership 协议消息复用普通 P2P 收取；推荐连接前注册普通消息处理器，READY 后补注册也会唤起积压恢复，仍受 `background_sync`、背压和代际检查约束。仅订阅 `ownership.*` 不会启动后台 Pull，原提交及 ACK 契约保持。
+- 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.22`。
+
+### 测试
+
+- 增加 sub 离线后 owner 验收、旧声明隔离、pending 原件替换、拒绝清理响应丢失、reset 不解锁，以及证书缓存配置 TTL 的回归入口；列示用例不代表本轮已执行。
+- 扩展后台 Pull、peer 目录及按对端恢复的退避、通知去重、并发隔离、取消、群终止／别名／手动恢复和非 active 群初始化测试。
+- 增加默认读缓存、条件复用、写入失效、持久恢复及边界测试入口；[缓存矩阵](../tests/cross-sdk/cases.storage-cache.json) 为 16 场景 × 4 SDK，[独立 runner](../tests/cross-sdk/runner/run_storage_cache_e2e.py) 首失败停止并支持断点续跑。JS 另有浏览器 Storage 缓存测试；本条列示入口，不声明全部通过。
+- 扩展 Ownership 投影滞后下的释放、清理及重绑，以及撤销推送验签、持久化、序号合并、身份／连接／worker 隔离和小时补拉测试；测试入口和执行边界见 Python parity 文档，不以用例存在代替全量通过结论。
+- 补充组织转让完成结果重放、原参数冲突，以及无成员事件时的续期完整包、短期标记和组织账户隔离回归。
+
+## 0.5.21 — 2026-10-19
 
 > 基线：上次发布的 `0.5.20` 对应仓库快照 `08221fbb`；本节整理 2026-10-18 工作区的 SDK 增量。
 
@@ -45,6 +101,7 @@
 
 ### 兼容性与语言边界
 
+- P2P 后台收取依赖应用普通 `message.received`／`message.recalled`／`message.batch` 订阅；仅 `ownership.*` 不启动拉取，控制消息继续遵守普通积压、背压和提交／ACK 边界。
 - TypeScript 发送选项新增 `needRender`，并保留消息和返回值中的 `need_render`，默认可渲染；SQLite 保存交付回执，seed 轮换重加密受保护 metadata。
 - 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.21`。
 

package/_packed_docs/CHANGELOG.md

@@ -6,7 +6,63 @@
 
 ---
 
-## 0.5.21 — 未发布
+## 0.5.22 — 未发布
+
+> 基线：已发布的 `0.5.21`；本节整理截至 2026-10-23 工作区的 SDK 增量。
+
+### 新功能
+
+#### Ownership 2.1 按发起方绑定
+- sub-first 绑定先 fresh 确认无 owner 锁及 NS 的 Stage 能力，再以原 CAS 发布本人签名的 `agent.md`；`pending/unlocked` 映射为公共 `single_sided`。owner 发布本轮声明并经 NS fresh 验收后完成，sub 可离线，无须再次 PUT。
+- owner-first 绑定先条件发布 owner 的 `owner.md` 再发请求；sub 明确同意后直接条件提交 `agent.md`，不带 Stage，无须 bind.accept／owner.ready 往返。拒绝邀请只清理仍未锁定且匹配任务的 owner 原件，使用当前对象 `version` 作 `expected_version` 原子删除。
+- 持久保存待确认原文、摘要、ETag、审批和原提交条件；旧 owner 声明不代替本轮审批。拒绝后仅由 sub 按原件 CAS 清理对应候选；reset 只归档本地任务，不清除远端 pending 或解除已成立的 owner 锁。新流程依赖目标 NS 支持待确认绑定，历史任务保留原恢复边界。
+
+#### Storage / Group FS 默认读缓存
+- Storage 与 Group FS 响应缺少或返回 `null` 的 `read_cache` 时，客户端默认缓存元数据 60 秒；正文默认仅缓存不超过 64 KiB 且 SHA-256 校验通过的内容。显式策略须 `reusable=true`，正文还须 `inline=true`；省略 `max_age_ms` 时默认 60 秒，正数 TTL 最多使用 60 秒。显式禁止、null／非正数／非法 TTL 不复用。
+- 单次读取可用 `noCache: true` 跳过有效缓存命中并请求远端校验，底层 RPC 和 Group FS 兼容 `no_cache`；已有正文摘要仍可用于复用未变化内容，返回结果仍可缓存，因此它不是 no-store。`consistency: "authoritative"` 继续绕过读缓存。普通文件 API 读取 `owner.md` 也遵循默认策略；Ownership 管理/共识权威读取和 `resolve` ownership 快照仍按各自机制处理。
+- 新增内存与持久读缓存：SQLite 索引位于 `{aunPath}/.cache/storage/index.sqlite3`，正文按 SHA-256 分离保存；默认内存正文 32 MiB、持久正文 256 MiB，包含容量淘汰、失效及完整性校验。
+- 修正显式允许但省略 TTL 时的默认缓存、缺省／null 策略正文的持久恢复，以及 `not_modified` 摘要校验；恢复保留原 TTL。四端缓存覆盖及验证边界见 [parity 块⑦](../python/CHANGES_FOR_PARITY.md#块⑦-storage--group-fs-默认读缓存)。
+
+### 修复
+
+#### 后台同步退避与群终止
+- P2P、群消息、群事件、peer 目录及按对端恢复失败后按 namespace 执行 1～30 秒指数退避，重复通知和已入队任务不能绕过等待，成功后重置；等待不占用 Pull Gate，其他 namespace 及手动请求仍可继续，切换身份或连接时取消旧代任务。
+- 群后台 Pull 优先识别服务端 `data.retryable`，兼容既有错误码及错误文本；被封禁、非成员、群不存在／解散／暂停等明确失败终止该群消息和事件同步，并清理补拉需求，群 ID 别名共享终止状态。
+- 手动群 Pull 成功后允许恢复该群后台同步，重连或切换身份时清空终止状态；解除封禁不再由持续轮询自动发现。
+- 上线群身份恢复、绑定和自动确认提案跳过明确非 `active` 的群，保留缺少 `status` 的旧响应兼容，避免重复操作已解散群。
+
+#### Ownership 共识与释放恢复
+- 始终以 NS 新鲜观测作为关系版本和 lock 权威，并与 `agent.md`、owner.md 的签名材料核对。投影矛盾时立即 fresh-read 一次，若仍未收敛则返回可重试 `unavailable`，不凭文件材料越过 NS 状态执行释放、清理或重绑。
+- 绑定、释放、转移和清理继续核对原声明、关系版本、ETag 及内容摘要；释放确认要求 NS 解锁与当前双文件材料一致，NS 解锁本身也不能替代文件共识。
+
+#### 凭证撤销与服务事件
+- `credential.revoked` 和 `credential.revocationList` 经服务验签及接收身份校验后持久合并撤销状态，按 authority／CID 保留最大事件序号，旧分页结果不能覆盖较新的撤销记录，单条推送不跳过尚未同步的分页事件。
+- 服务事件在异步验签前后复核身份和连接代次，持久化前再次检查有效期及身份、连接／worker 代次，防止旧连接结果写入当前身份。
+- 撤销列表改为每小时兜底补拉，凭证续期仍每分钟检查；首次补拉在连接后一小时执行，重连后重新计时。
+
+#### 组织转让与成员续期
+- 组织转让完成后保留 `completed` 结果；使用相同原参数重放时直接返回已完成结果，继续核对转让 ID、owner 和参数摘要，重连跳过已完成任务。
+- 跨域实体名片重试按上传者所属域获取 token，缺失或过期时不再向目标域登录，有效缓存继续复用；上传仍发往实体所在域。
+- 成员续期成功后同步保存凭证、绑定、条款、登记回执、服务端版本和凭证服务信息，不再等待成员事件补齐；仅写当前成员账户，短期凭证保持 `long_term=false`，后续验签保留完整材料。
+
+#### 证书验证与缓存
+- 实体当前证书解析直接验证本次 PKI 响应，避免再按指纹读取另一次证书观察；验链缓存清理遵循 `chainCacheTtl`（默认 86,400 秒），不再固定按五分钟淘汰。
+
+### 兼容性与语言边界
+
+- 保持既有公开业务 API，后台退避和群终止状态按客户端、身份及连接隔离；Node.js 的异步上下文与 Pull Gate 协同处理，不阻塞手动调用。
+- Ownership 协议消息复用普通 P2P 收取；推荐连接前注册普通消息处理器，READY 后补注册也会唤起积压恢复，仍受 `background_sync`、背压和代际检查约束。仅订阅 `ownership.*` 不会启动后台 Pull，原提交及 ACK 契约保持。
+- 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.22`。
+
+### 测试
+
+- 增加 sub 离线后 owner 验收、旧声明隔离、pending 原件替换、拒绝清理响应丢失、reset 不解锁，以及证书缓存配置 TTL 的回归入口；列示用例不代表本轮已执行。
+- 扩展后台 Pull、peer 目录及按对端恢复的退避、通知去重、并发隔离、取消、群终止／别名／手动恢复和非 active 群初始化测试。
+- 增加默认读缓存、条件复用、写入失效、持久恢复及边界测试入口；[缓存矩阵](../tests/cross-sdk/cases.storage-cache.json) 为 16 场景 × 4 SDK，[独立 runner](../tests/cross-sdk/runner/run_storage_cache_e2e.py) 首失败停止并支持断点续跑。JS 另有浏览器 Storage 缓存测试；本条列示入口，不声明全部通过。
+- 扩展 Ownership 投影滞后下的释放、清理及重绑，以及撤销推送验签、持久化、序号合并、身份／连接／worker 隔离和小时补拉测试；测试入口和执行边界见 Python parity 文档，不以用例存在代替全量通过结论。
+- 补充组织转让完成结果重放、原参数冲突，以及无成员事件时的续期完整包、短期标记和组织账户隔离回归。
+
+## 0.5.21 — 2026-10-19
 
 > 基线：上次发布的 `0.5.20` 对应仓库快照 `08221fbb`；本节整理 2026-10-18 工作区的 SDK 增量。
 
@@ -45,6 +101,7 @@
 
 ### 兼容性与语言边界
 
+- P2P 后台收取依赖应用普通 `message.received`／`message.recalled`／`message.batch` 订阅；仅 `ownership.*` 不启动拉取，控制消息继续遵守普通积压、背压和提交／ACK 边界。
 - TypeScript 发送选项新增 `needRender`，并保留消息和返回值中的 `need_render`，默认可渲染；SQLite 保存交付回执，seed 轮换重加密受保护 metadata。
 - 包配置、锁文件、运行时 `VERSION` 和 V2 envelope 的 `sdk_version` 统一为 `0.5.21`。