@bolloon/bolloon-agent 0.6.1 → 0.6.3

package/README.md

@@ -1,180 +1,197 @@
-# Bolloon — P2P AI 智能体平台
+# Bolloon
 
-Bolloon 是一个本地优先、P2P 协作的 AI 智能体平台。它在你的设备上运行，通过 DHT 网络发现并连接其他节点。
+**一万个智能体，为你工作。**
 
-> 中文 · [English](#english)
+Bolloon 是一台跑在你自己设备上的智能体。它有自己的身份（DID）、自己的记忆、自己的技能库，
+并且能在点对点网络里**找到别的智能体、把自己的活委派出去、按结果结算**。
+
+不是「又一个聊天框」，而是**一个可以互相接手工作的智能体网络**。
+
+> 官网 · https://bolloon.cn　｜　安装 · `npm i -g @bolloon/bolloon-agent`（[npm 上的最新版](https://www.npmjs.com/package/@bolloon/bolloon-agent)）
 
 ---
 
-## 快速安装
+## 为什么
+
+今天你和 AI 的关系是「一个人问，一个模型答」。可真正的活儿往往需要好几个角色：
+一个人查资料、一个人写、一个人验、一个人盯着别搞坏。
+
+Bolloon 把这件事变成网络问题：**每个智能体都有身份、技能和账本**，于是它可以被别的智能体
+发现、被委派、被结算——你只需要说清目标。
+
+这也是我们的方向：让 C 端用户在自己的电脑上，拥有一条**由很多智能体组成的生产线**，
+而不只是一个对话框。我自己每天用它做的事是**可控核聚变的研究**——线圈设计、仿真、验证、
+论文形式化，由不同智能体分头接手，我只看结论。
+
+---
 
-### macOS / Linux
+## 现在就能做的四件事
+
+每一条都能在终端里当场验证，没有一条是愿景：
+
+**1. 让智能体自己干活，你只看结论**
+它有一百多个工具（读写文件、跑命令、搜代码、连钱包、发消息），会自己拆步骤、自己判断卡在哪、
+失败了自己换法；每轮结束**必复盘**，把教训写进技能库和判断力库。
+
+**2. 把它接进网络，让别的智能体接手**
+DID 身份 + 点对点发现（Hyperswarm / iroh）。它可以把编码任务委派给本机的其他智能体 CLI
+（codex / claude-code / opencode …），**起完就走**，结果自己回灌到下一轮。
+反过来，别的节点也可以按能力清单找到你的智能体并派活。
+
+**3. 技能是可以积累、可以卖的资产**
+1300+ 个技能在本地注册表里，可以读、可以改、可以分享。每一次变更都进**账本**
+（内容寻址备份 + 单条回滚），自审只能治理自己造出来的技能——用户点名要的归用户。
+
+**4. 干完的活能被核对**
+任务、证据、结算都在链上有记录（Base 主网）。终端里的「链上活动」是可点开区块浏览器的**真交易**，
+不是漂亮数字。
+
+---
+
+## 快速开始
 
 ```bash
-# 方式一：npm（需 Node.js ≥ 18）
 npm install -g @bolloon/bolloon-agent
-
-# 方式二：一键脚本
-curl -fsSL https://raw.githubusercontent.com/logos-42/bolloon/master/scripts/install.sh | sh
+bolloon
 ```
 
-### Windows
+首次启动会引导你填一个模型供应方（OpenAI / DeepSeek / Anthropic / 自定义）。
+Node.js ≥ 18。Windows 用 PowerShell 装同一个包即可。
 
-```powershell
-# 方式一：npm（需 Node.js ≥ 18）
-npm install -g @bolloon/bolloon-agent
+其他入口：
 
-# 方式二：一键脚本
-# 以管理员身份运行 PowerShell：
-iwr -useb https://raw.githubusercontent.com/logos-42/bolloon/master/scripts/install.ps1 | iex
+```bash
+bolloon --web      # 浏览器界面 (http://127.0.0.1:54188)
+bolloon --help     # 全部命令
 ```
 
-> **Node.js 安装**：如果尚未安装，访问 [nodejs.org](https://nodejs.org) 下载 LTS 版本，或使用包管理器：
-> - macOS: `brew install node`
-> - Windows: `winget install -e --id OpenJS.NodeJS.LTS`
-> - Linux: `sudo apt install -y nodejs npm`
+Docker（不想在本机装环境时）：
+
+```bash
+docker run -d --name bolloon -p 127.0.0.1:54188:54188 \
+  -v bolloon-data:/home/bolloon/.bolloon bolloon-agent:local --web
+```
 
 ---
 
-## 快速启动
+## 它长什么样
 
-```bash
-bolloon              # CLI 交互模式（默认）
-bolloon --web        # Web UI 模式（浏览器）
-bolloon --cli        # 强制 CLI 模式
-bolloon --help       # 查看所有命令
-```
+**终端**：正文是**一条一条的消息**，工具调用显示成「这一步在做什么」（`🔧 查看 git 状态 · git_status 327ms`），
+不刷思维流；任务结束后会看到 `📚 复盘: …`，告诉你它学到了什么。
 
-首次启动会自动配置 LLM（需要 `OPENAI_API_KEY` 或 `DEEPSEEK_API_KEY` 环境变量）。
+**网页**：`bolloon --web` 打开本地面板——链上活动表格、待接单任务、去中心化群聊，
+以及每个数字的**来源与口径**（见官网「来源」一节）。
 
 ---
 
-## 功能概览
+## 状态与边界
+
+**已经稳定**：CLI 交互 · 技能库与提炼 · 工具调用与类型门 · 后台进程与服务管理 · 链上任务与结算 · P2P 发现与委派。
 
-| 功能 | 描述 |
-|------|------|
-| 🤖 AI 对话 | 本地运行的智能体，支持多轮对话 |
-| 🌐 P2P 网络 | 自动发现并连接其他 Bolloon 节点 |
-| 📄 文档处理 | 接收和管理文档，支持 DID 签名验证 |
-| 🔧 工具调用 | shell 命令、文件操作、代码分析等 |
-| 🔄 自我改进 | 自动检查更新、质量门控 |
+**还在早期**：多智能体之间的**经济闭环**（谁付钱、怎么分账、争议怎么裁）只有最基础的一层；
+「一万个智能体」是方向，不是今天打开就能看到的数量。
+
+**我们不说的话**：不承诺「全自动无需照看」；链上记录不可撤销；模型能力是上限，
+智能体不会超过它用的模型。
 
 ---
 
-## 项目结构
+## 深入
 
-```
-bolloon/
-├── src/
-│   ├── agents/          # 智能体核心（pi-sdk、工具、session）
-│   ├── cli/             # CLI 界面（Ink TUI 渲染引擎）
-│   ├── network/         # P2P 网络（Hyperswarm / DIAP）
-│   ├── security/        # 安全层（工具闸门、守卫）
-│   ├── llm/             # LLM 接入层
-│   └── web/             # Web UI
-├── dist/                # 编译输出
-├── docs/                # 文档
-└── scripts/             # 构建和安装脚本
-```
+| 想做什么 | 去哪里 |
+|---|---|
+| 看产品与截图 | https://bolloon.cn |
+| 读安装/文档 | https://bolloon.cn/docs |
+| 让别的 agent 接入你的智能体 | https://bolloon.cn/gateway |
+| Docker 部署细节 | [docs/wiki/docker-deployment.md](./docs/wiki/docker-deployment.md) |
+| 项目当前状态（内部台账） | [docs/wiki/current-status.md](./docs/wiki/current-status.md) |
 
 ---
 
 ## 从源码构建
 
 ```bash
-git clone https://github.com/logos-42/bolloon.git
-cd bolloon
+git clone https://github.com/logos-42/bolloon.git && cd bolloon
 npm install
 npm run build:all
 npm start
 ```
 
+跑测试：`npx vitest run`（当前 304 个文件 / 4609 个用例）。
+改了 TypeScript 后：`npx tsc --noEmit`。
+
 ---
 
-## Docker
+## 开源协议
 
-不想在本机装 Node 与依赖, 可以直接跑容器 (多阶段镜像 · 非 root 用户 uid 1001 · 状态全部落在卷里):
+MIT。见 [LICENSE](./LICENSE)。
 
-```bash
-docker build -t bolloon-agent:local .
-docker run -d --name bolloon-agent \
-  -p 127.0.0.1:54188:54188 \
-  -v bolloon-data:/home/bolloon/.bolloon \
-  bolloon-agent:local --web
-# → http://127.0.0.1:54188
-
-docker compose up -d                            # 同上的 compose 写法
-docker compose run --rm bolloon-cli --version   # 一次性 CLI (不用起服务)
-```
+---
 
-- **密钥别写进 compose**: 复制 `.env.example` → `.env.docker` (已在 `.gitignore`), 或者把本机
-  0600 的 `llm-config.json` **只读挂载**进容器 (更安全: 不进环境变量、不进 `docker inspect`)。
-- **数据卷里有身份私钥与 API key 配置** (`/home/bolloon/.bolloon`): 别导出、别提交、别 `docker commit`。
-- 端口只认环境变量 `PORT` (默认 `54188`); `--port` 参数无效。
+<a name="english"></a>
 
-完整说明 (镜像怎么搭的 · 卷与 uid 权限 · HEALTHCHECK 探什么/不探什么 · 常见问题) 见
-[docs/wiki/docker-deployment.md](./docs/wiki/docker-deployment.md)。
+# Bolloon (English)
 
----
+**Ten thousand agents, working for you.**
 
-## 环境变量
+Bolloon is an agent that runs on your own machine. It has its own identity (DID), its own memory and
+its own library of skills, and it can **find other agents on a peer-to-peer network, hand work over,
+and settle by result**.
 
-| 变量 | 说明 |
-|------|------|
-| `OPENAI_API_KEY` | OpenAI 提供商（可选） |
-| `DEEPSEEK_API_KEY` | DeepSeek 提供商（可选） |
-| `ANTHROPIC_API_KEY` | Anthropic 提供商（可选） |
-| `BOLLOON_LLM_PROVIDER` | 指定 LLM 提供商 |
+Not "yet another chat box" — **a network of agents that can take over each other's work.**
 
----
+> Website · https://bolloon.cn　｜　Install · `npm i -g @bolloon/bolloon-agent`（[latest on npm](https://www.npmjs.com/package/@bolloon/bolloon-agent)）
 
-## 开源协议
+## Why
 
-本项目基于 [MIT 开源协议](./LICENSE) 发布。你可以自由使用、修改、分发本项目，但需保留版权声明和许可声明。详见 [LICENSE](./LICENSE) 文件。
+Today your relationship with AI is one person asking, one model answering. Real work needs several
+roles: someone researches, someone writes, someone verifies, someone makes sure nothing breaks.
 
----
+Bolloon turns that into a network problem. Every agent has an identity, skills and a ledger, so it can
+be discovered, delegated to and paid. You only have to state the goal.
 
-<a name="english"></a>
+That is the direction: a **production line made of many agents**, running on a consumer machine —
+not a single dialogue box. I use it every day for **controlled nuclear fusion** research.
 
-## English
+## What works today
 
-**Bolloon** — A local-first, P2P-collaborative AI agent platform that runs on your device and discovers other nodes through a DHT network.
+**1. The agent works on its own, you read the conclusion.** 125 tools (files, shell, search, wallets,
+messaging), its own step planning and error recovery, and a **review after every task** that writes
+lessons into its skill library.
 
-### Quick Install
+**2. Plug it into the network and let others take the work.** DID identity plus P2P discovery
+(Hyperswarm / iroh). It can delegate coding tasks to other local agent CLIs and **return immediately**,
+while results flow back into the next turn. Other nodes can find and delegate to your agent too.
 
-**macOS / Linux:**
-```bash
-npm install -g @bolloon/bolloon-agent
-```
+**3. Skills are an accumulating, sellable asset.** 1300+ skills in a local registry; every change goes
+into a ledger with content-addressed backups and single-entry rollback.
 
-**Windows (PowerShell):**
-```powershell
-npm install -g @bolloon/bolloon-agent
-```
+**4. Finished work can be verified.** Tasks, evidence and settlement are recorded on-chain (Base).
+Transactions in the terminal open in a block explorer — real, not decorative.
 
-### Quick Start
+## Quick start
 
 ```bash
-bolloon            # CLI interactive mode
-bolloon --web      # Web UI mode
-bolloon --help     # All commands
+npm install -g @bolloon/bolloon-agent
+bolloon
 ```
 
-Requires Node.js ≥ 18 and an LLM API key (`OPENAI_API_KEY` or `DEEPSEEK_API_KEY`).
+Node.js ≥ 18. First run walks you through picking a model provider.
 
-### Docker
+## Status and limits
 
-Run it in a container instead (multi-stage image, non-root user, state in a volume):
+**Stable**: CLI · skills · tool calling · background services · on-chain tasks · P2P discovery and
+delegation.　**Early**: the economics between agents (who pays, how it splits, how disputes resolve).
+"Ten thousand agents" is a direction, not a number you will see on day one.
 
-```bash
-docker build -t bolloon-agent:local .
-docker run -d --name bolloon-agent -p 127.0.0.1:54188:54188 \
-  -v bolloon-data:/home/bolloon/.bolloon bolloon-agent:local --web
-```
+**What we will not claim**: fully unattended operation; reversible on-chain records; capability beyond
+the model you plug in.
+
+## Links
 
-Copy `.env.example` to `.env.docker` (gitignored) for keys, or mount your `llm-config.json` read-only
-(safer). Full guide: [docs/wiki/docker-deployment.md](./docs/wiki/docker-deployment.md).
+Website https://bolloon.cn · Docs https://bolloon.cn/docs · Gateway https://bolloon.cn/gateway ·
+Docker [docs/wiki/docker-deployment.md](./docs/wiki/docker-deployment.md)
 
-### License
+## License
 
-This project is released under the [MIT License](./LICENSE). You are free to use, modify, and distribute this project, provided that you retain the copyright and permission notices. See the [LICENSE](./LICENSE) file for details.
+MIT — see [LICENSE](./LICENSE).

package/dist/agents/gateway-group.js

@@ -33,7 +33,7 @@ import { decodeFromPeer, encodeForPeer, recordLangDecision } from '../efficode/n
 // 白名单里放的是 **OrbitDB 写身份 id** (66 位压缩 secp256k1 公钥 hex), 不是 DID 字符串
 // (canAppend 只比 identity.id; 放 DID 会永远匹配不上 → 谁都写不了)。
 // 成员变更 = 一条**双侧 Ed25519 验签**的群事件 (成员自签 + 群主签), 细节见 group-access.ts。
-import { applyMembershipEvents, groupAccessOptions, membershipEntryOf, normalizeWriteList, verifyMembershipEvent, GROUP_MEMBERSHIP_KIND, } from '../orbitdb/group-access.js';
+import { aclChangePlan, applyMembershipEvents, groupAccessOptions, membershipEntryOf, normalizeWriteList, verifyMembershipEvent, GROUP_MEMBERSHIP_KIND, } from '../orbitdb/group-access.js';
 // ============ 依赖注入 (测试用, 避免单测起真实 OrbitDB 节点) ============
 let _dbOverride = null;
 /** 测试用: 注入 fake CIDDatabase */
@@ -45,6 +45,20 @@ export function resetGroupState() {
     onChangeCallbacks.clear();
     openFailures.clear();
 }
+/**
+ * 关闭群聊使用的 OrbitDB/Helia 资源。
+ * 一次性 CLI、验收探针和测试必须在读回后调用它，否则底层 libp2p/Helia 句柄
+ * 会继续保持事件循环活跃，表现为“消息已读完但进程不退出”。
+ * 测试注入的 fake DB 不关闭，避免破坏测试夹具生命周期。
+ */
+export async function closeGroupResources() {
+    storeCache.clear();
+    onChangeCallbacks.clear();
+    openFailures.clear();
+    if (_dbOverride)
+        return;
+    await getCIDDatabase().close();
+}
 /**
  * 群 store 打不开 (区块不在本机 / 地址不可解析)。
  *
@@ -211,7 +225,7 @@ export async function createGroup(name, opts) {
                 ...(gate.members ?? []).map((m) => m.orbitdbId),
             ];
             writeList = normalizeWriteList(ids);
-            gateInfo = { gated: true, ownerDid: gate.owner.did, aclWrite: writeList };
+            gateInfo = { gated: true, ownerDid: gate.owner.did, ownerPublicKeyHex: gate.owner.publicKeyHex, aclWrite: writeList };
             membershipEntries = applied.accepted.map(membershipEntryOf);
         }
         else if (opts?.acl === 'open') {
@@ -233,6 +247,8 @@ export async function createGroup(name, opts) {
             id, name: groupName, address, link,
             createdAt: new Date().toISOString(),
             lastSyncAt: new Date().toISOString(),
+            // 2026-10-05: 隐私群标记 —— 建群默认隐私 (白名单/独占写); acl=open 才是公开
+            privacy: opts?.acl !== 'open',
             ...gateInfo,
         };
         storeCache.set(id, store);
@@ -294,8 +310,7 @@ export async function listGroups() {
  * 不会因为本机退出而改 (本模块没有"踢人/解散"的权限, 也不假装有)。
  * 返回 `removed` = 被摘掉的 groupId (按 id 或群名匹配)。
  *
- * 注意: 底层 OrbitDB store 已在进程内打开的**不会**在这里关 (适配层没暴露 close);
- * 对 `bolloon task group leave` 这种一次性进程无影响, 长驻进程里它活到进程结束。
+ * 注意: leave 只摘本地群列表；需要结束进程资源时调用 `closeGroupResources()`。
  */
 export async function leaveGroup(idOrName) {
     const raw = String(idOrName || '').trim();
@@ -337,6 +352,33 @@ export async function groupMessages(groupId, limit = 50) {
             // 只透传字符串形态的语言声明; 别的形状一律当"没声明"(不让脏值进到解码分派)
             if (typeof v.lang === 'string' && v.lang.trim())
                 m.lang = v.lang.trim();
+            // 2026-10-02: 新字段一律**先验形状再透传** (脏值当没声明, 不做修补)
+            const entryId = String(entry?.hash ?? entry?.id ?? '').trim();
+            if (entryId)
+                m.id = entryId;
+            if (Array.isArray(v.mentions)) {
+                const ms = v.mentions.map((x) => String(x ?? '').trim()).filter(Boolean);
+                if (ms.length)
+                    m.mentions = ms;
+            }
+            if (typeof v.replyTo === 'string' && v.replyTo.trim())
+                m.replyTo = v.replyTo.trim();
+            if (typeof v.branch === 'string' && v.branch.trim())
+                m.branch = v.branch.trim();
+            if (typeof v.kind === 'string' && v.kind.trim())
+                m.kind = v.kind.trim();
+            if (Array.isArray(v.attachments)) {
+                const at = v.attachments
+                    .filter((a) => a && typeof a.cid === 'string' && /^(image|audio|file)$/.test(String(a.kind)))
+                    .map((a) => ({
+                    kind: a.kind,
+                    cid: String(a.cid).trim(),
+                    ...(typeof a.name === 'string' && a.name.trim() ? { name: a.name.trim().slice(0, 120) } : {}),
+                    ...(typeof a.bytes === 'number' && Number.isFinite(a.bytes) ? { bytes: a.bytes } : {}),
+                }));
+                if (at.length)
+                    m.attachments = at;
+            }
             msgs.push(m);
         }
     }
@@ -455,8 +497,38 @@ export async function groupSend(groupId, text, from, opts) {
         const lang = typeof opts?.lang === 'string' ? opts.lang.trim() : '';
         if (lang)
             record.lang = lang;
-        await store.add(record);
-        return { ok: true };
+        // 2026-10-02: 与 lang 同口径 —— **只有显式给了合法形状才写字段** (不给就不写, 老读者读到的一字不变)
+        const mentions = Array.isArray(opts?.mentions)
+            ? opts.mentions.map((x) => String(x ?? '').trim()).filter(Boolean).slice(0, 20)
+            : [];
+        if (mentions.length)
+            record.mentions = mentions;
+        const replyTo = typeof opts?.replyTo === 'string' ? opts.replyTo.trim() : '';
+        if (replyTo)
+            record.replyTo = replyTo.slice(0, 200);
+        const branch = typeof opts?.branch === 'string' ? opts.branch.trim() : '';
+        if (branch)
+            record.branch = branch.slice(0, 120);
+        const attachments = Array.isArray(opts?.attachments)
+            ? opts.attachments
+                .filter((a) => a && typeof a.cid === 'string' && a.cid.trim() && /^(image|audio|file)$/.test(String(a.kind)))
+                .slice(0, 8)
+                .map((a) => ({
+                kind: a.kind,
+                cid: String(a.cid).trim(),
+                ...(a.name ? { name: String(a.name).slice(0, 120) } : {}),
+                ...(typeof a.bytes === 'number' && Number.isFinite(a.bytes) ? { bytes: a.bytes } : {}),
+            }))
+            : [];
+        if (attachments.length)
+            record.attachments = attachments;
+        const kind = typeof opts?.kind === 'string' ? opts.kind.trim() : '';
+        if (kind)
+            record.kind = kind.slice(0, 40);
+        // 2026-10-02: 回传本条消息的 id —— 回复/建分支都要锚点 (拿不到就不给字段, 不假造)
+        const entry = (await store.add(record));
+        const id = String(entry?.hash ?? entry?.id ?? '').trim();
+        return id ? { ok: true, id } : { ok: true };
     }
     catch (e) {
         return { ok: false, error: `发送失败: ${String(e?.message || e).slice(0, 160)}` };
@@ -523,3 +595,156 @@ export async function restoreGroups() {
     }
     return { restored, failed, total: groups.length };
 }
+// ─────────────────────────────────────────────────────────── 群运营能力 (2026-10-05, leo: 邀请/踢出/隐私/链接/状态)
+/**
+ * 重建群 store (新白名单) —— 这是"改成员"唯一诚实的路径。
+ *
+ * IPFS 型 AC 的白名单烧在内容寻址的 ACL manifest 里, 改它必然换 store 地址
+ * (见 `ACL_INPLACE_UPDATE.ipfsType` / `aclChangePlan`)。所以:
+ *   · 邀请 = 新白名单 + 被邀请者 → 重建;
+ *   · 踢出 = 新白名单 − 被踢者 → 重建。
+ * 重建 = 新地址、新链接、**历史消息不回放** (要保留必须显式回放)。
+ *
+ * 本函数做"换地址重建 + 历史回放 (逐条 add) + 本机链接更新", 返回新 GroupInfo。
+ * 迁移代价 (老链接作废/其他成员需重新 join) 由调用方 (CLI) 明示, 这里不假装无痛。
+ */
+export async function rebuildGroupWithWriteList(groupId, mode, opts) {
+    const groups = await loadGroups();
+    const g = groups.find((x) => x.id === groupId);
+    if (!g)
+        return { ok: false, error: '群组不存在 (先 joinGroup/createGroup)' };
+    if (!g.gated) {
+        return {
+            ok: false,
+            error: `「${g.name}」不是门控群 (write:[*]), 没有白名单可改 —— 邀请=分享链接, 踢出=不适用 (人人可写)`,
+        };
+    }
+    const owner = {
+        did: g.ownerDid || '',
+        publicKeyHex: g.ownerPublicKeyHex || '',
+        orbitdbId: g.aclWrite?.[0] || '',
+    };
+    if (!owner.did || !owner.publicKeyHex || !owner.orbitdbId) {
+        return { ok: false, error: '缺少群主身份信息 (ownerDid/ownerPublicKeyHex/aclWrite 为空), 无法派生新白名单' };
+    }
+    // 当前白名单 = manifest 快照 (aclWrite, 上次重建/建群时烧进去的) 优先;
+    // 事件派生只在没有快照的老门控群兜底 (两套语义: 事件=成员自签加入, rebuild=群主单方改名单)
+    const derived = await groupWriteList(groupId, owner).catch(() => null);
+    const before = g.aclWrite && g.aclWrite.length > 0 ? g.aclWrite : (derived?.write ?? []);
+    const after = normalizeWriteList(mode.kind === 'add'
+        ? [...before, mode.ref.orbitdbId]
+        : before.filter((id) => id !== mode.orbitdbId));
+    const changed = before.join(',') !== after.join(',');
+    if (!changed) {
+        return { ok: false, error: mode.kind === 'add' ? '该成员已在白名单里' : '该成员不在白名单里' };
+    }
+    if (mode.kind === 'remove' && !before.includes(mode.orbitdbId)) {
+        return { ok: false, error: `白名单里没有 ${mode.orbitdbId.slice(0, 16)}…, 无需踢出` };
+    }
+    const plan = aclChangePlan({ before, after, messageCount: opts?.replayHistory ? undefined : 0 });
+    const db = getDb();
+    // 1) 读历史消息 (回放前) —— 只在显式要求时
+    const history = opts?.replayHistory ? await groupMessages(groupId, 100000) : [];
+    // 2) 建新 store (新白名单)
+    let store = null;
+    try {
+        store = await db.openStore(`bolloon-gw-group-${g.name}-r${Date.now().toString(36)}`, 'events', groupAccessOptions(after));
+    }
+    catch (e) {
+        return { ok: false, error: `重建 store 失败: ${String(e?.message || e).slice(0, 160)}` };
+    }
+    if (!store)
+        return { ok: false, error: '重建 store 返回空 (openStore 失败, 未改任何东西)' };
+    // 3) 迁移成员事件 (原样重放, 双侧签名保留) —— 否则新 store 派生白名单只剩群主, 成员全丢
+    try {
+        const rawAll = await allRawEntries(groupId);
+        for (const { value } of rawAll) {
+            const v = value;
+            if (v && typeof v === 'object' && v.kind === GROUP_MEMBERSHIP_KIND) {
+                try {
+                    await store.add(v);
+                }
+                catch (e) { /* 单条失败不阻断 */ }
+            }
+        }
+    }
+    catch (e) {
+        return { ok: false, error: `迁移成员事件失败: ${String(e?.message || e).slice(0, 120)}` };
+    }
+    // 4) 回放历史消息 (逐条 add, 保持 ts)
+    if (opts?.replayHistory) {
+        for (const m of history) {
+            try {
+                await store.add({ ...m });
+            }
+            catch (e) {
+                // 逐条静默跳过, 能回放多少算多少; 回放是尽力而为, 不阻断重建
+            }
+        }
+    }
+    // 5) 更新本机记录: 换地址/换链接; 老 store 不删 (占用不回收, 见 plan.costs)
+    const address = store.address;
+    const link = `orbitdb://${address}?type=group&name=${encodeURIComponent(g.name)}`;
+    const info = {
+        ...g,
+        address,
+        link,
+        lastSyncAt: new Date().toISOString(),
+        gated: true,
+        ownerDid: g.ownerDid,
+        aclWrite: after,
+        privacy: g.privacy ?? true,
+    };
+    await saveGroups(groups.map((x) => (x.id === groupId ? info : x)));
+    storeCache.set(groupId, store);
+    return { ok: true, group: info, before, after, costs: plan.costs };
+}
+/** 邀请: 把 orbitdbId 加进白名单 (重建路径) */
+export async function inviteMember(groupId, ref) {
+    const r = await rebuildGroupWithWriteList(groupId, { kind: 'add', ref });
+    return { ok: r.ok, error: r.error, group: r.group, costs: r.costs };
+}
+/** 踢出: 把 orbitdbId 移出白名单 (重建路径; 协议上无法记"被踢者自签的 remove 事件", 不假装) */
+export async function kickMember(groupId, orbitdbId) {
+    const r = await rebuildGroupWithWriteList(groupId, { kind: 'remove', orbitdbId });
+    return { ok: r.ok, error: r.error, group: r.group, costs: r.costs };
+}
+/** 设置隐私群标记 (只影响本机展示/默认 ACL 说明, 不改变 OrbitDB 权限语义) */
+export async function setGroupPrivacy(groupId, privacy) {
+    const groups = await loadGroups();
+    const g = groups.find((x) => x.id === groupId);
+    if (!g)
+        return { ok: false, error: '群组不存在' };
+    const info = { ...g, privacy, lastSyncAt: new Date().toISOString() };
+    await saveGroups(groups.map((x) => (x.id === groupId ? info : x)));
+    return { ok: true, group: info };
+}
+/** 群状态快照: 成员/消息/白名单/gated/privacy/最后同步 (状态管理用) */
+export async function groupStatus(groupId) {
+    const g = await groupInfo(groupId);
+    if (!g)
+        return { ok: false, error: '群组不存在' };
+    const members = await groupMembers(groupId);
+    const wl = await (async () => {
+        if (!g.gated || !g.ownerDid)
+            return g.aclWrite ?? [];
+        const owner = { did: g.ownerDid, publicKeyHex: g.ownerPublicKeyHex || '', orbitdbId: g.aclWrite?.[0] || '' };
+        if (!owner.orbitdbId || !owner.publicKeyHex)
+            return g.aclWrite ?? [];
+        const d = await groupWriteList(groupId, owner).catch(() => null);
+        return d ? d.write : (g.aclWrite ?? []);
+    })();
+    return {
+        ok: true,
+        status: {
+            group: g,
+            memberCount: members.length,
+            messageCount: g.messageCount ?? 0,
+            writeList: wl,
+            gated: !!g.gated,
+            privacy: g.privacy ?? !!g.gated,
+            ownerDid: g.ownerDid,
+            lastSyncAt: g.lastSyncAt,
+        },
+    };
+}