@epoch-agent/core 0.7.1 → 0.8.1

package/dist/index.d.ts

@@ -1845,6 +1845,91 @@ interface PlanModeDeps {
  */
 declare function createPlanModeTools(deps: PlanModeDeps): EpochTool[];
 
+/**
+ * `plugin_validate` / `plugin_pack` —— 模型**做一个插件包**的那两条路（2026-09-09）。
+ *
+ * ## 一、⚠️ 刻意**没有** `plugin_install`，而那是这个文件的正题
+ *
+ * 装一个插件会往用户机器上落下 `hooks.json`（每一条都是会 spawn 的 shell 命令）
+ * 和 `mcp.json`（stdio 那档同样起子进程）。整套安装链上给人的那道闸门就是
+ * 「装之前看一屏预览再确认」（`core/src/plugin/install.ts` 的 `confirm`），
+ * 而把安装交给模型等于**让被审批的一方自己按下确认**。
+ *
+ * 所以这两个工具在**打出那个包**那一步停住，回执里明写交接点：
+ * `epoch plugin install <zip>`（本机压缩包那一档是现成的路，见 `source.ts`）。
+ * ⚠️ **想加安装的时候要答的问题是「模型给用户装了一条 PreToolUse hook，
+ * 他从哪儿知道」**，而不是「能力层已经有这个函数了」——
+ * 判据同 `skill-write.ts` 第三节对 `delete` 的处置。
+ *
+ * ## 二、为什么值得有这两个工具（模型手上明明有 `file_write`）
+ *
+ * 因为它们恰好是 `file_write` 做不对的那两件：
+ *
+ * | 模型要答的问题             | 只有 file_write 时       | 有了这两个                     |
+ * | -------------------------- | ------------------------ | ------------------------------ |
+ * | 「我这个目录算不算插件」   | 猜，或者读一遍文档再猜   | {@link PLUGIN_VALIDATE_TOOL}   |
+ * | 「装进去会带来什么」       | 答不上来                 | 同上（六类扩展物盘点）         |
+ * | 「打成包」                 | 做不到（要起 tar）       | {@link PLUGIN_PACK_TOOL}       |
+ *
+ * 校验那一条**复用安装时那一份**（`readPluginManifest` + `scanPluginDir`），
+ * 和 `epoch plugin validate` 逐字节同一条判据 —— 于是「这里绿了装上去就不会因为
+ * 格式被拒」这句话对模型和对人是同一句。**不为模型另写一份校验**：两份的那天，
+ * 模型会照着一份不作数的规则改文件。
+ *
+ * ## 三、⚠️ `plugin_pack` 归 `file_write` 不归 `command`，虽然它 spawn `tar`
+ *
+ * 反过来那条判据（`runtime/src/mcp-tools.ts` 第一节：`mcp_add` 归 `command`，
+ * 因为「写一台 stdio server 就是配一条以后会被 spawn 的命令行」）在这里
+ * **结论相反**，而理由是同一条：
+ *
+ * - 那 argv 是定死的（`tar -c -f <zip> --format zip -C <dir> -T <list>`），
+ *   **不过 shell**，模型能控的只有两条路径 —— 它配不出一条命令行；
+ * - `PermissionManager.ruleMatches` 按**类别**授权（规则到不了工具名这一级），
+ *   于是一条 `allow: plugin_pack` 如果归 `command`，顺带放行的是**任意进程启动**。
+ *   而用户在审批框里真正要判的是「把这个目录打成一个包写到那儿」，那是 `file_write`。
+ *
+ * ## 四、⚠️ 两个工具都吃工作区闸门（`isInWorkspace`），这是唯一一处边界
+ *
+ * `planPack` 会**递归走完整个目录**，`packPlugin` 会把它写成一个 zip ——
+ * 不卡边界的话这一对就是一条「读任意目录 + 写任意位置」的原语。
+ * 判定走 infra 那一份（全仓唯一，验收 #11），相对路径按 `ctx.workDir` 解析。
+ *
+ * ⚠️ 顺带还有一道**天然的**闸，比上面那道更早生效：`planPack` 第一句就是
+ * `readPluginManifest(dir)`，没有 `epoch-plugin.json` 直接拒。也就是说这条路
+ * 打不出「随便一个目录的包」—— 目标必须先是一个插件。
+ *
+ * ## 五、错误话术为什么是英文
+ *
+ * 判据逐字同 [skill-view.ts](./skill-view.js) 第七节。⚠️ 但**下一层的 `t()`
+ * 措辞原样转发**（`plugin_manifest.*` / `plugin_pack.*` 那几句）——
+ * 那些话里带着字段路径和文件路径，是模型下一步唯一的依据，翻一遍只会译丢。
+ * 口径同 `mcp-tools.ts` 第四节。
+ */
+
+/**
+ * 两个工具名。**这是同构位置的真源** —— 另外两处认它们：
+ * `permission/operation-type.ts`（`plugin_validate` 进 `FILE_READ_TOOLS`，
+ * `plugin_pack` 进 `FILE_WRITE_TOOLS`）、`docs/TOOLS.md` 顶上那张表
+ * （两处由根 `__tests__/tool-registration.test.ts` 守着）。
+ *
+ * ⚠️ **下面 `name:` 那几格写的是字面量，不是这些常量，别「顺手」统一** ——
+ * 判据全文在 `SKILL_VIEW_TOOL` 的 JSDoc 上。
+ */
+declare const PLUGIN_VALIDATE_TOOL = "plugin_validate";
+declare const PLUGIN_PACK_TOOL = "plugin_pack";
+/**
+ * 建那两个插件写作工具。
+ *
+ * **一个服务都不要，所以无条件注册** —— 口径同 `createMcpTools` 那句「控制面在
+ * 就全部注册」。它们的边界不是「有没有依赖」，是权限管线 + 工作区闸门，
+ * 两者都在每一次调用时才生效。
+ *
+ * 交出一个数组而不是两个 `createXxxTool`：装配层那一侧是一行
+ * `registry.registerTools(...)`，分成两个等于让「再加一个」变成一次要改两个文件的
+ * 改动，而漏接的表现是那个工具静默不存在（判据同 `createSkillWriteTools`）。
+ */
+declare function createPluginAuthorTools(): EpochTool[];
+
 /**
  * `schedule_draft` —— 在对话里**起草**一条定时任务，交给人去审。
  *
@@ -2856,17 +2941,27 @@ interface SkillSystem$1 {
  *
  * ## 三、输出**不自己截**
  *
- * 一份 `SKILL.md` 轻易超过 `TOOL_OUTPUT_MAX_CHARS`（2000，
- * [message-utils.ts](../../agent/message-utils.ts)），而截一半的操作说明比没有
- * 更坏 —— 模型会照着前半截把事做完。所以这里既不分页也不摘要，正文原样交出去，
- * 豁免由 `PROTECTED_TOOLS` 那个集合负责。
- *
- * > ✅ **2026-08-27 核过：那一格已经是 `new Set([SKILL_VIEW_TOOL])` 了，这段 ⚠️
- * > 到期。** 原话是「那个集合今天写的是 `new Set(['skill'])`，对不上这个名字 ——
- * > 它给一个从来不存在的工具豁免截断」，处置是「修它的是另一条车道」。
- * > 那条车道修完了（`message-utils.ts` 现在 import 的就是这个常量），
- * > 所以这里交出去的正文**真的不截**。留着这几行是因为**那笔账的形状值钱**：
- * > 一个豁免名单和一个工具名分两处写，走散了不会红。
+ * 一份 `SKILL.md` 轻易超过工具输出预算（`agent/output-budget.ts` 的
+ * `MAX_TOOL_OUTPUT`），而截一半的操作说明比没有更坏 —— 模型会照着前半截把事做完。
+ * 所以这里既不分页也不摘要，正文原样交出去，豁免由工具定义上的
+ * `governsOwnOutput: true` 负责（判据在 `EpochTool.governsOwnOutput` 上）。
+ *
+ * > ⚠️ **2026-09-08：这一段上一次「核过」核错了，而正文被静默截到 2000 字符
+ * > 一直在发生。** 原话是「✅ 2026-08-27 核过：那一格已经是
+ * > `new Set([SKILL_VIEW_TOOL])` 了」——**名字确实对上了，但那个集合没有人用**。
+ * > 它唯一的读者是 `message-utils.ts` 的 `truncateToolOutput()`，而那个函数
+ * > **全仓没有一处生产调用方**：活路径是 `ToolExecutor` 自己那一刀
+ * > （`agent/tool-executor.ts`），它当时不认任何豁免。
+ * > 钉着那个集合的用例直接调那个死函数，所以**它一直是绿的**。
+ * >
+ * > 这一轮的处置是把豁免搬到**执行那一处**能看见的地方（工具定义上），
+ * > 并把那份第二实现（`truncateToolOutput` / `PROTECTED_TOOLS` /
+ * > `TOOL_OUTPUT_MAX_CHARS`）整个删掉 —— 留着它就是留着「下一次又有人把修复
+ * > 接到死函数上」的入口。
+ * >
+ * > **那笔账的形状比上一次记的更值钱**：上一次记的是「一个豁免名单和一个工具名
+ * > 分两处写，走散了不会红」；真正的教训是**核一个豁免要核到它的读者**，
+ * > 光核「名字对不对得上」是核了一半 —— 而对不上和没人用，症状完全一样。
  *
  * ## 四、`openWorldHint: false` —— 正文**不包** `<tool_output untrusted="true">`
  *
@@ -2914,10 +3009,14 @@ interface SkillSystem$1 {
  */
 
 /**
- * 工具名。**这是同构位置的真源** —— 另外三处认它：
+ * 工具名。**这是同构位置的真源** —— 另外两处认它：
  * `permission/operation-type.ts` 的 `INTERNAL_TOOLS`、`docs/TOOLS.md` 顶上那张表
- * （这两处由根 `__tests__/tool-registration.test.ts` 守着），
- * 以及 `agent/message-utils.ts` 的 `PROTECTED_TOOLS`（见文件头第三节）。
+ * （这两处由根 `__tests__/tool-registration.test.ts` 守着）。
+ *
+ * ⚠️ **2026-09-08 少了一处**：原来还列着 `agent/message-utils.ts` 的
+ * `PROTECTED_TOOLS`（截断豁免名单）。那个名单整个删了，豁免改成下面工具定义上的
+ * `governsOwnOutput: true` —— **同一个对象上的一个字段，不再是异地的一份名字**，
+ * 所以这类「两处走散」从此在这一格上不可能发生。判据全文在文件头第三节。
  *
  * ⚠️ **下面 `name:` 那一格写的是字面量，不是这个常量，别「顺手」统一** ——
  * `.husky/commit-msg` 那道模型门禁认的是 `name: '<snake_case>',` **这一行本身**
@@ -3140,6 +3239,8 @@ declare function createToolSearchTool(deps: ToolSearchDeps): EpochTool;
 /**
  * Tracker 类型定义 — 会话级 TODO 管理。
  */
+/** TODO 状态的值域 */
+type TodoStatus = 'pending' | 'in_progress' | 'completed' | 'cancelled';
 /** TODO 项 */
 interface TodoItem {
     /** 6 位 hex 短 ID */
@@ -3147,7 +3248,7 @@ interface TodoItem {
     /** 任务描述 */
     content: string;
     /** 任务状态 */
-    status: 'pending' | 'in_progress' | 'completed' | 'cancelled';
+    status: TodoStatus;
     /**
      * 放弃这件事的理由。**只有 `cancelled` 那一档会有**，而且**可以没有**。
      *
@@ -3201,6 +3302,14 @@ declare class TrackerDB {
     constructor(dbPath: string);
     /** 按会话 ID 获取所有 TODO */
     listBySession(sessionId: string): TodoItem[];
+    /**
+     * 这个会话还有多少没做完（{@link isOpenTodo} 那一档）。
+     *
+     * ⚠️ 为什么在 SQL 里数、不 `listBySession()` 再 filter：整个列表可能上千条，
+     * 而这道闸门在**每一轮收工**都会问一次 —— 多拉一个数组比多跑一个 `COUNT(*)`
+     * 贵一个数量级，而且这个数只进一句提示语，用不上任何一行正文。
+     */
+    countOpen(sessionId: string): number;
     /** 全量替换会话的 TODO 列表（事务：DELETE + INSERT 批量） */
     replaceAll(sessionId: string, todos: TodoItem[]): void;
     /** 释放连接（引用计数归零才真正关闭） */
@@ -4430,7 +4539,8 @@ declare function loadPlugins(opts: PluginLoadOptions): PluginArtifacts;
  *
  * 插件名会**变成命名空间前缀**（`/my-toolkit:review`、角色 `my-toolkit:reviewer`），
  * 所以它必须同时是合法的命令名片段、合法的角色名、以及合法的目录名。
- * 三者的交集就是 {@link PLUGIN_NAME_PATTERN}：`[a-z0-9]` 开头，中间允许连字符。
+ * {@link PLUGIN_NAME_PATTERN}：`[a-z0-9]` 开头，中间允许连字符和下划线
+ * （下划线 2026-09-08 加的，判据在那个常量上）。
  * 特别地**不允许 `:`** —— 允许了就能构造出 `a:b` 这种名字，装完之后
  * `/a:b:c` 到底是哪个插件的哪条命令要靠猜。
  *
@@ -4443,11 +4553,46 @@ declare const PLUGIN_MANIFEST_FILE = "epoch-plugin.json";
 /**
  * 插件名的合法形状。理由见文件头 —— 它同时是命令前缀、角色前缀和目录名。
  *
- * 和 `AGENT_ROLE_NAME_PATTERN` 逐字相同不是巧合：角色名是三者里最严的那个，
- * 插件名必须能安全地拼进角色名，所以直接对齐它。
+ * ## ⚠️ 2026-09-08 加宽了：多认一个下划线
+ *
+ * 原来是 `^[a-z0-9][a-z0-9-]*$`，注释写着「和 `AGENT_ROLE_NAME_PATTERN` 逐字相同
+ * 不是巧合：角色名是三者里最严的那个」。**那句话现在不成立了，而加宽是有外因的**：
+ * 嵌入宿主那一侧的插件标识（盘古的 `plugin_key`）允许下划线，而**那个标识必须和
+ * 这个名字是同一个字符串** —— 市场目录里的条目名、包里 `epoch-plugin.json` 的
+ * `name`、宿主用来判「这一条装了没有」的键，三者是同一个东西。
+ * 不加宽的话，一个叫 `my_shop_helper` 的插件在这套体系里**根本装不进来**。
+ *
+ * ## 逐条核过下游三处，`_` 全是安全的（不是「应该没事」）
+ *
+ * | 拼出来的东西            | 谁在判                                         | `_` 合法吗 |
+ * | ----------------------- | ---------------------------------------------- | ---------- |
+ * | 命令 `/my_plugin:review`| **没人判形状** —— 名字取自文件名，按空白切分   | ✅          |
+ * | 角色 `my_plugin:review` | 复合名带 `:`，本来就过不了那张正则，**不重判** | ✅          |
+ * | 工具 `mcp__my_plugin__x`| provider 那条 `^[a-zA-Z0-9_-]{1,128}$`         | ✅（含 `_`）|
+ * | 目录 `plugins/my_plugin`| 文件系统                                       | ✅          |
+ *
+ * 第三行原来是 `plugin-mcp-servers.ts` 里「前半截白拿」那条判据的依据（它引的是
+ * 「两张正则逐字相同」）—— 那个文件头已经跟着改了：白拿的理由现在是
+ * **provider 的正则本身含 `_`**，而不是「和角色名同宽」。
+ *
+ * ⚠️ **开头那一位没动**（照旧 `[a-z0-9]`）：加宽只加中间那一段，这样任何一个
+ * 今天合法的名字明天照样合法。⚠️ **`.` 和路径分隔符仍然不许**（判据见文件头：
+ * 这个名字会被直接 `join(pluginsDir, name)`），**`:` 也仍然不许**。
  */
 declare const PLUGIN_NAME_PATTERN: RegExp;
 declare function isValidPluginName(name: string): boolean;
+/**
+ * 「谁写的」。
+ *
+ * ⚠️ **导出它，因为市场目录的条目上也有一格 author**（`marketplace.ts` 的
+ * `EntrySchema`）。两处各写一份 zod 的话，它们分家的那天没有任何东西会红 ——
+ * 而分家的表现是一份在清单里合法的 author 在市场目录里被 `parseLenient` 静默丢掉。
+ */
+declare const PluginAuthorSchema: z.ZodObject<{
+    name: z.ZodString;
+    email: z.ZodOptional<z.ZodString>;
+    url: z.ZodOptional<z.ZodString>;
+}, z.core.$strip>;
 declare const ManifestSchema: z.ZodObject<{
     name: z.ZodString;
     version: z.ZodString;
@@ -4461,6 +4606,7 @@ declare const ManifestSchema: z.ZodObject<{
     homepage: z.ZodOptional<z.ZodString>;
     keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
 }, z.core.$strip>;
+type PluginAuthor = z.infer<typeof PluginAuthorSchema>;
 type PluginManifest = z.infer<typeof ManifestSchema>;
 interface ManifestReadOutcome {
     /** 校验通过的清单；缺席表示这个目录不是一个可用的插件 */
@@ -4533,6 +4679,214 @@ declare function checkEpochVersion(range: string | undefined, current: string):
  */
 declare function currentEpochVersion(): string;
 
+/**
+ * 压缩包解包 —— zip 和 tar.gz 都交给系统的 `tar`（方案 32 的第三、四种来源）。
+ *
+ * ## 为什么是 `tar` 而不是一个 npm 依赖
+ *
+ * 当前支持的两个平台上，系统自带的 `tar` **都是 bsdtar，都认 zip**：
+ *
+ * - macOS 自带 bsdtar（`/usr/bin/tar`）
+ * - Windows 10 1803 起自带 `C:\Windows\System32\tar.exe`，同样是 bsdtar
+ *
+ * ## ⚠️ Windows 上必须**指名**那个 bsdtar，不能赌 `PATH`（2026-08-12 修的 bug）
+ *
+ * 上面那句「Windows 上 tar 是 bsdtar」只对**干净的** `PATH` 成立。任何装了
+ * Git for Windows / MSYS2 的机器上，`PATH` 里 `/usr/bin` 排在 `System32`
+ * 前面，`tar` 解析到的是 **GNU tar** —— 而 GNU tar 不吃 Windows 路径：
+ *
+ * - `-f C:\...\x.tgz` 被当成 `host:path` 的远程归档：
+ *   `tar (child): Cannot connect to C: resolve failed`
+ * - 连 `-C C:\...\dest` 都会被它按 POSIX 路径 + 反斜杠转义处理掉
+ *
+ * **`--force-local` 解决不了**：GNU tar 认它，而 bsdtar 直接
+ * `Option --force-local is not supported` —— 一个 flag 服务不了两边。
+ * 所以走 {@link resolveTar}：Windows 上指名 `%SystemRoot%\System32\tar.exe`，
+ * 找不到才回落到 `PATH`。这条和 infra 的 `resolveRipgrep()` 是同一个形状 ——
+ * **别让一个外部二进制的身份取决于用户的 PATH 顺序。**
+ *
+ * 换成 JS 实现要自己解 zip 的中央目录 + inflate，再加一份 tar 解析 —— 三百行
+ * 安全敏感的解析代码（路径穿越、zip slip、符号链接逃逸都得自己防），
+ * 而 bsdtar 早就把这些处理完了。多引一个 npm 包则是往一条**会下载并解压
+ * 网络内容**的路径上再加一个供应链面，方向反了。
+ *
+ * `unzip` 不用是因为 Windows 上没有它。
+ *
+ * ## 单根目录会被自动摊平
+ *
+ * GitHub 的 zip 裹一层 `repo-main/`，npm 的 tarball 裹一层 `package/` ——
+ * 两者都不该出现在插件目录里。与其让调用方各猜一个 `--strip-components`，
+ * 不如解完之后看一眼：**清单不在顶层、而顶层恰好只有一个目录**，就把那一层
+ * 提上来。判据是「清单在哪」而不是「有几个条目」，所以一个本来就把
+ * `epoch-plugin.json` 放在顶层、旁边还有一个 `commands/` 的正常包不会被误摊。
+ */
+type ExtractOutcome = {
+    ok: true;
+} | {
+    ok: false;
+    reason: string;
+};
+/**
+ * 解一个压缩包到 `dest`（目录必须已存在），然后按需摊平单根目录。
+ *
+ * `tar` 的 `-x` 对 zip 和 tar.gz 是同一条命令 —— bsdtar 按内容自动识别格式，
+ * 不用我们先判后缀（后缀本来也不可信，URL 上写什么都行）。
+ */
+/**
+ * 用哪个 `tar`。见文件头那条 ⚠️ —— Windows 上指名系统自带的 bsdtar。
+ *
+ * 用 `%SystemRoot%` 而不是写死 `C:\Windows`：系统盘不一定是 C，而这个环境变量
+ * 是 Windows 自己维护的。取不到再退回字面量，那时候我们已经在猜了，猜一个
+ * 比不猜好 —— 后面还有一层「找不到就回落 PATH」兜着。
+ */
+declare function resolveTar(): string;
+declare function extractArchive(archive: string, dest: string): Promise<ExtractOutcome>;
+
+/**
+ * 插件打包 —— 一条本地插件目录 → 一个 `.zip`。
+ *
+ * 这是 [archive.ts](./archive.ts) 的**反方向**：那一份把下载来的包解开，这一份
+ * 把用户自己写的插件裹起来交出去。两边共用 {@link resolveTar}，所以「用哪个 tar」
+ * 只有一个答案（Windows 上 `PATH` 顺序那个坑记在那个文件头）。
+ *
+ * ```
+ * planPack('/Users/me/my-plugin')     → 会打包哪 12 个文件、一共多大、有没有可疑的
+ * packPlugin(plan, mkdtempSync(…))    → /tmp/…/my-plugin-1.0.0.zip
+ * ```
+ *
+ * ## ⚠️ 零、格式是 **zip**，而 2026-09-08 从 `.tar.gz` 改过来的
+ *
+ * 改的原因是外部约束：嵌入宿主的插件仓库（盘古那套）**只收 `.zip`**，
+ * 传别的格式当场被拒。
+ *
+ * 当初选 tar.gz 的理由是「GNU tar 写不出 zip，只有 bsdtar 能」—— 那个顾虑
+ * **不成立**，因为这个项目**只支持 Windows 和 macOS**（README 第一节明写
+ * 「Linux 暂不支持」），而**两个平台自带的都是 bsdtar**。同一条事实也是
+ * `archive.ts` 敢用 `tar -xf` 解 zip 的依据 —— 也就是说「读」那一侧早就在
+ * 依赖它了，「写」这一侧跟着它走才是一致的。
+ *
+ * 落法是 `--format zip`（**不是**靠后缀猜）：bsdtar 按 `-f` 的后缀选格式这件事
+ * 不是它的契约，显式给格式才是。本机实测过：`tar -c -f x.zip --format zip` 出来的
+ * 是真 zip（`file(1)` 认、`unzip -l` 也认）—— 后者要紧，因为**解包那一侧可能不是
+ * 我们**（宿主的服务端拿 Python / Java 去解）。
+ *
+ * ## 一、⚠️ 分成两段，是因为**上传是不可逆的对外发布**
+ *
+ * 装一个插件出了错还能卸掉；把一个目录发到别人的服务器上**收不回来**。所以这条路
+ * 上给人的那道闸门不是「确认吗」，而是**「这些文件会离开这台机器」的那一份清单**——
+ * `planPack` 存在的全部理由就是让那份清单在按下去之前拿得到。
+ *
+ * ## 二、⚠️ 喂给 `tar` 的就是 {@link PackPlan.files}，**不是一套 `--exclude` 规则**
+ *
+ * 两个理由，第二个是正题：
+ *
+ * 1. `--exclude` 的 glob 语义 GNU tar 和 bsdtar **不一致**（`.git` 这个模式对上
+ *    `./.git` 两边表现不同），把排除项建在它上面等于把一条安全相关的判断交给
+ *    「用户机器上装没装 Git for Windows」；
+ * 2. **用户看到的那一份和真发出去的那一份，在构造上必须是同一份。** 走两套规则
+ *    （预览走 fs 遍历、打包走 tar 的 glob）的话，它们分叉的那天没有任何东西会红 ——
+ *    而分叉的表现是「预览里没有的东西被发出去了」。
+ *
+ * 所以 `-T <清单文件>`：清单由 {@link planPack} 产出，`packPlugin` 只是把它抄给 tar。
+ *
+ * ## 三、⚠️ 软链**不打包**，而且要说出来
+ *
+ * 一条指向 `~/.ssh/id_rsa` 的软链，tar 默认存的是「链接目标那串字符」而不是内容 ——
+ * 发出去无害但读起来莫名其妙；而真要跟着解引用又是一次**目录外的读取**。
+ * 两头都不选：跳过它，然后在 {@link PackPlan.skippedLinks} 里报出来。
+ * 静默跳过的表现是「解开的包比原目录少东西，而没人说过为什么」。
+ *
+ * ## 四、⚠️ 看起来像密钥的文件**照打**，只是警告
+ *
+ * 处置口径同 `hooks.json` / `mcp.json` 那两行（在安装预览里带警示色、但不拦）：
+ * 静默剔除会让用户以为发出去的是全量，而那正是他之后据以判断「要不要重新发一版」
+ * 的依据。说一句、让他自己决定 —— 判据同「拿不准时说拿不准，不猜一个」。
+ */
+
+/**
+ * 一律不打包的顶层 / 任意层目录名。
+ *
+ * 四个都是「本机产物」而不是插件内容：`.git` 里有完整历史（常常比插件大两个
+ * 数量级，而且带着作者的邮箱和别的分支），`node_modules` 是装出来的，
+ * `.DS_Store` 是 Finder 写的，`__pycache__` 是 CPython 写的字节码缓存。
+ *
+ * ⚠️ 最后一个 2026-09-09 加的，而它不只是「省点体积」：`.pyc` 里钉着**生成它的
+ * 那个解释器版本**（`cpython-311`），发到一台跑 3.13 的机器上是死重量。
+ * 名字这一格可以按字面判，因为 `__pycache__` 是 CPython 保留的目录名（PEP 3147），
+ * 不会是用户自己的东西 —— 虚拟环境那一档不成立，所以它走 {@link isVirtualenv}。
+ */
+declare const PACK_EXCLUDES: readonly string[];
+/** 默认容量上限。超了拒 —— 一个 2GB 的包交给宿主回调不是「慢一点」，是把它打挂 */
+declare const PACK_MAX_BYTES: number;
+declare const PACK_MAX_FILES = 2000;
+interface PackLimits {
+    maxBytes?: number;
+    maxFiles?: number;
+}
+/** 会被打进包里的一个文件 */
+interface PackFile {
+    /** 相对插件根，**永远用 `/` 分隔** —— 它要写进 tar 的清单文件 */
+    path: string;
+    bytes: number;
+    /**
+     * 落在 token 里，用来判「预览之后这个目录又被改过」。
+     *
+     * 只看大小不够：改一个字符的 `hooks.json` 完全可能字节数不变，而那一改正是
+     * 「你确认的和真发出去的是两份」里最要紧的一种。
+     */
+    mtimeMs: number;
+}
+/** 「会打包什么」。这份东西**同时**是给人看的那一屏和喂给 tar 的清单 */
+interface PackPlan {
+    /** 插件根的绝对路径 */
+    dir: string;
+    manifest: PluginManifest;
+    /** 按路径排过序 —— 屏幕上要稳定，token 也要稳定 */
+    files: readonly PackFile[];
+    totalBytes: number;
+    /** 名字看起来像密钥的那几条（**在 `files` 里面**，只是被点名了），见文件头第四节 */
+    suspicious: readonly string[];
+    /** 跳过的软链（**不在 `files` 里**），见文件头第三节 */
+    skippedLinks: readonly string[];
+}
+type PackPlanOutcome = {
+    ok: true;
+    plan: PackPlan;
+} | {
+    ok: false;
+    reason: string;
+};
+type PackOutcome = {
+    ok: true;
+    archivePath: string;
+    bytes: number;
+} | {
+    ok: false;
+    reason: string;
+};
+/**
+ * 会打包什么。**纯遍历，一个字节都不写、一个子进程都不起。**
+ *
+ * @param dir 插件根的绝对路径（里面得有 `epoch-plugin.json`）
+ */
+declare function planPack(dir: string, limits?: PackLimits): PackPlanOutcome;
+/**
+ * 打好的包叫什么。`<name>-<version>.zip` —— 两格都已经过了清单校验。
+ *
+ * ⚠️ 这个名字**会被宿主原样用作上传的文件名**（盘古那侧按后缀判「只收 .zip」），
+ * 所以后缀不是装饰。判据见文件头第零节。
+ */
+declare function packFileName(manifest: PluginManifest): string;
+/**
+ * 照着 {@link PackPlan} 打一个包。
+ *
+ * ⚠️ **`destDir` 必须在 `plan.dir` 外面。** 同 `install.ts` 的 `withDownloadDir`
+ * 记的那个坑：一个躺在插件目录旁边的压缩包会被下一次 `planPack` 数进去，
+ * 而解包那一侧的 `flattenSingleRoot` 也会因此判断失准。这一条**在这里挡住**，
+ * 不靠调用方记得。
+ */
+declare function packPlugin(plan: PackPlan, destDir: string): Promise<PackOutcome>;
+
 /**
  * 「这个插件里有什么」—— 扫一个插件目录，数出**六类**扩展物（方案 32，
  * 方案 44 PR-3 补上第六类 MCP server）。
@@ -4705,16 +5059,22 @@ declare function scanPluginDir(dir: string, pluginName: string): PluginInventory
 /**
  * 插件是从哪装来的。
  *
- * `marketplace` 不是第五种传输方式 —— 它最终仍然落到前四种之一，
+ * `marketplace` 不是第六种传输方式 —— 它最终仍然落到这五种之一，
  * 记成独立一档是为了 `epoch plugin list` 能说出「这是从哪个市场装的」，
  * 以及 `update` 时知道该回哪个市场重新解析 `source`。
+ *
+ * ⚠️ `host` 是 2026-09-08 加的第五档：**字节由宿主去取**（它有登录会话，
+ * 我们没有）。判据在 `source.ts` 的 `host:` 那一支上。
+ * 它是一档**真的传输方式**而不是 `archive` 的变体：`archive` 那一档的字节
+ * 我们自己下，这一档我们一个网络请求都不发。
  */
-type PluginSourceType = 'local' | 'git' | 'npm' | 'archive';
+type PluginSourceType = 'local' | 'git' | 'npm' | 'archive' | 'host';
 declare const RecordSchema$1: z.ZodObject<{
     name: z.ZodString;
     version: z.ZodString;
     source: z.ZodString;
     sourceType: z.ZodEnum<{
+        host: "host";
         local: "local";
         git: "git";
         npm: "npm";
@@ -4781,10 +5141,30 @@ interface ResolvedSource {
     type: PluginSourceType;
     /** 用户敲的原文，原样进记录 —— `epoch plugin update` 要照它重来一遍 */
     raw: string;
-    /** git 用 clone 地址、npm 用包名、archive 用 URL、local 用绝对路径 */
+    /**
+     * git 用 clone 地址、npm 用包名、archive 用 URL **或一条本地压缩包路径**、
+     * local 用绝对路径、host 用**宿主自己认得的那串**（我们不解析它）。
+     */
     target: string;
     /** archive 专用：`#sha256=…` 里那串十六进制（小写） */
     sha256?: string;
+    /**
+     * archive 专用：`target` 是**本机一个压缩包文件**，不是一条 URL（2026-09-08）。
+     *
+     * ## ⚠️ 为什么它是 `archive` 的一格，而不是 `local` 的一格
+     *
+     * `local` 的语义是「**软链**到用户的源码目录，改完重启即生效」——
+     * 那是写插件时用的。一个 `.zip` 文件软链过去之后，
+     * `readPluginManifest` 会去一个**文件**里找 `epoch-plugin.json`，
+     * 读不出来，而报错是「这个目录不是 epoch 插件」（指着一个 zip）。
+     *
+     * 2026-09-08 之前 `resolveSource('/tmp/x.zip')` 正是落到 `local` 那一支的 ——
+     * 也就是说「装一个本地压缩包」这件事**做不到，而且报错指向错的地方**。
+     *
+     * 归到 `archive` 是因为落地方式一致（解包 + 拷贝，不是软链），
+     * 差别只在「字节从哪来」：一条 URL 要下载，这一档直接读文件。
+     */
+    localFile?: true;
     /**
      * git 专用：插件在仓库里的子目录，来自 `#subdir=…`。
      *
@@ -4800,22 +5180,42 @@ interface ResolvedSource {
  * 判定顺序有讲究：`git+https://` 必须排在裸 `https://` 前面，
  * 而 `.zip` 结尾的 https 必须排在「其余 https 一律当 git」前面 —— 否则
  * `https://x/plugin.zip` 会被 clone。
+ *
+ * ## ⚠️ 一条 https 地址**没有压缩包后缀就会被 clone**，这不是 bug 是这张表的形状
+ *
+ * `isArchiveUrl` 去掉 query 之后要求 `.zip` / `.tgz` / `.tar.gz` 结尾。所以一条
+ * **下载端点**形态的地址（`https://host/api/download?version_id=9`）会落到最后
+ * 那一支、被当成 git 仓库去 clone —— 而报错是一句 git 的话，跟「这是个 zip」
+ * 毫无关系。
+ *
+ * 这一条 2026-09-08 撞到过（盘古的 `download_url` 正是这个形状）。**处置不是
+ * 放宽后缀判断**（那会把一条真的 git 地址判成压缩包），而是让宿主用
+ * `host:` 那一档 —— 那条路上地址由宿主自己认、字节也由宿主自己取。
  */
 declare function resolveSource(raw: string): ResolvedSource | undefined;
 
 /**
- * 插件安装 —— 四种 source 到 `~/.epoch/plugins/<name>/`（方案 32）。
+ * 插件安装 —— 六种 source 到 `~/.epoch/plugins/<name>/`（方案 32，后两行 2026-09-08）。
  *
- * | 形式                                  | 落地方式                       |
- * | ------------------------------------- | ------------------------------ |
- * | `./local/path`                        | **软链**（开发插件时用）       |
- * | `github:owner/repo` / `git+https://…` | `git clone --depth 1`          |
- * | `npm:package-name`                    | `npm pack` + 解包              |
- * | `https://…/plugin.zip`                | 下载 + 解压，可选 `#sha256=…`  |
+ * | 形式                                  | 落地方式                        | 谁去取字节 |
+ * | ------------------------------------- | ------------------------------- | ---------- |
+ * | `./local/path`（目录）                | **软链**（开发插件时用）        | —          |
+ * | `github:owner/repo` / `git+https://…` | `git clone --depth 1`           | 我们       |
+ * | `npm:package-name`                    | `npm pack` + 解包               | 我们       |
+ * | `https://…/plugin.zip`                | 下载 + 解压，可选 `#sha256=…`   | 我们       |
+ * | `./local/plugin.zip`（**文件**）      | 直接解压                        | —          |
+ * | `host:<宿主自己的编码>`               | 解压                            | **宿主**   |
  *
  * 「用户敲的那串 → 上面哪一行」的解析在 [source.ts](./source.ts)：它是这条链上
  * 唯一的纯函数，也是参数注入的唯一闸门，所以单独一个文件、单独一张用例表。
  *
+ * ## ⚠️ 最后一行是这张表上唯一一档「**我们不发网络请求**」
+ *
+ * 有些包要登录会话才下得到（嵌入宿主的私有插件仓库），而这一层的下载是一次
+ * **裸 fetch，一个凭据都不带** —— 那是刻意的立场（判据在 `marketplace.ts` 文件头
+ * 「为什么不直接支持鉴权」）。`host:` 把取字节整个交给宿主：它有会话、
+ * 它自己校验摘要，交回来一个本地包。判据在 {@link InstallOptions.fetchFromHost} 上。
+ *
  * ## 装到临时目录、验完再搬过去
  *
  * 每一种来源都先落到 `~/.epoch/plugins/.staging-<uuid>/`，读清单、校验名字、
@@ -4874,6 +5274,33 @@ interface InstallOptions {
     confirm?: (preview: InstallPreview) => Promise<boolean>;
     /** 进度提示（clone / 下载）。不给就静默 —— 库不替宿主决定往哪儿写 */
     onProgress?: (message: string) => void;
+    /**
+     * 取一个 `host:` 来源的包 —— **由宿主去下，我们一个网络请求都不发**（2026-09-08）。
+     *
+     * `source.target` 是宿主写在自己那份市场目录里的那串（我们不解析它，
+     * 判据在 `source.ts` 的 `host:` 那一支上）；宿主拿它去自己的接口下包、
+     * **自己校验摘要**，然后把一个本地压缩包的路径交回来。
+     *
+     * ⚠️ **不给它 = `host:` 那一档装不了**（`fetchInto` 回一句拒绝）。
+     * 这不是降级路径：那些包我们压根没有凭据去取，
+     * 硬造一次裸 fetch 只会拿到一个 401 的 HTML 然后当成压缩包解。
+     *
+     * ⚠️ **摘要校验在宿主那一侧，这一层不重做**：我们看不见那份目录里的 sha256
+     * （它是宿主的私有编码的一部分），而两处各校一次的话，
+     * 「谁没校」这个问题会有两个答案。宿主那侧不校就是宿主的漏 —— 它的文档该写这条。
+     */
+    fetchFromHost?: (input: {
+        /** `host:` 后面那串，原样 */
+        target: string;
+        /** 我们准备好的一个**空临时目录**，包放这儿。用完由我们清掉 */
+        destDir: string;
+    }) => Promise<{
+        ok: true;
+        archivePath: string;
+    } | {
+        ok: false;
+        reason?: string;
+    }>;
 }
 /** 安装前预览（§2.8）。宿主拿它画那张「将安装什么」的表 */
 interface InstallPreview {
@@ -5062,18 +5489,39 @@ declare function updatePlugin(name: string, opts: InstallOptions): Promise<Insta
 /**
  * 插件市场 —— 加市场 / 搜 / 从市场装（方案 32）。
  *
- * 市场 = **一个 `epoch-marketplace.json`**，没有服务端、没有账号、没有上传接口：
+ * 市场 = **一个 `epoch-marketplace.json`**，没有服务端、没有账号：
  *
  * ```json
  * {
  *   "name": "acme",
  *   "owner": { "name": "Acme Inc." },
  *   "plugins": [
- *     { "name": "toolkit", "description": "…", "source": "./plugins/toolkit", "category": "dev" }
+ *     {
+ *       "name": "toolkit",
+ *       "description": "…",
+ *       "source": "./plugins/toolkit",
+ *       "category": "dev",
+ *       "author": { "name": "张三" },
+ *       "downloads": 1240,
+ *       "likes": 87
+ *     }
  *   ]
  * }
  * ```
  *
+ * ⚠️ `downloads` / `likes` 是**市场那一侧数的**，而且**冻在加市场那一刻**
+ * （目录是快照，见下面第二节）—— 判据在那两格自己的注释上。
+ *
+ * ## ⚠️ 「没有上传接口」这句话 2026-09-08 改了半句
+ *
+ * 原话是「没有服务端、没有账号、**没有上传接口**、没有审核」。改的是第三句 ——
+ * 而**改的是主语不是事实**：**我们**仍然没有服务端、没有上传接口，一个字节都不收。
+ * 变的是嵌入宿主那一侧多了一条出口（`HostMarketplaces.upload` 那个回调），
+ * epoch 只负责把一条本地目录打成 `.tar.gz` 交给它（[pack.ts](./pack.ts)）。
+ *
+ * 于是目录条目上多了一格 `author` —— 一个用户上传的市场里，「清单是谁放的」
+ * （`owner`）和「这一条是谁写的」（`author`）从第二条开始就不相等了。
+ *
  * ## 目录是**缓存下来的**，不是每次现拉
  *
  * `epoch plugin search` 要能在飞机上跑。加市场那一刻把整份目录存进
@@ -5104,6 +5552,23 @@ declare const EntrySchema: z.ZodObject<{
     source: z.ZodString;
     category: z.ZodOptional<z.ZodString>;
     keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
+    author: z.ZodOptional<z.ZodObject<{
+        name: z.ZodString;
+        email: z.ZodOptional<z.ZodString>;
+        url: z.ZodOptional<z.ZodString>;
+    }, z.core.$strip>>;
+    downloads: z.ZodOptional<z.ZodNumber>;
+    likes: z.ZodOptional<z.ZodNumber>;
+    displayName: z.ZodOptional<z.ZodString>;
+    icon: z.ZodOptional<z.ZodString>;
+    version: z.ZodOptional<z.ZodString>;
+    changelog: z.ZodOptional<z.ZodString>;
+    size: z.ZodOptional<z.ZodNumber>;
+    homepage: z.ZodOptional<z.ZodString>;
+    visibility: z.ZodOptional<z.ZodEnum<{
+        private: "private";
+        public: "public";
+    }>>;
 }, z.core.$strip>;
 declare const CatalogSchema: z.ZodObject<{
     name: z.ZodString;
@@ -5118,6 +5583,23 @@ declare const CatalogSchema: z.ZodObject<{
         source: z.ZodString;
         category: z.ZodOptional<z.ZodString>;
         keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
+        author: z.ZodOptional<z.ZodObject<{
+            name: z.ZodString;
+            email: z.ZodOptional<z.ZodString>;
+            url: z.ZodOptional<z.ZodString>;
+        }, z.core.$strip>>;
+        downloads: z.ZodOptional<z.ZodNumber>;
+        likes: z.ZodOptional<z.ZodNumber>;
+        displayName: z.ZodOptional<z.ZodString>;
+        icon: z.ZodOptional<z.ZodString>;
+        version: z.ZodOptional<z.ZodString>;
+        changelog: z.ZodOptional<z.ZodString>;
+        size: z.ZodOptional<z.ZodNumber>;
+        homepage: z.ZodOptional<z.ZodString>;
+        visibility: z.ZodOptional<z.ZodEnum<{
+            private: "private";
+            public: "public";
+        }>>;
     }, z.core.$strip>>;
 }, z.core.$strip>;
 declare const RecordSchema: z.ZodObject<{
@@ -5137,6 +5619,23 @@ declare const RecordSchema: z.ZodObject<{
             source: z.ZodString;
             category: z.ZodOptional<z.ZodString>;
             keywords: z.ZodOptional<z.ZodArray<z.ZodString>>;
+            author: z.ZodOptional<z.ZodObject<{
+                name: z.ZodString;
+                email: z.ZodOptional<z.ZodString>;
+                url: z.ZodOptional<z.ZodString>;
+            }, z.core.$strip>>;
+            downloads: z.ZodOptional<z.ZodNumber>;
+            likes: z.ZodOptional<z.ZodNumber>;
+            displayName: z.ZodOptional<z.ZodString>;
+            icon: z.ZodOptional<z.ZodString>;
+            version: z.ZodOptional<z.ZodString>;
+            changelog: z.ZodOptional<z.ZodString>;
+            size: z.ZodOptional<z.ZodNumber>;
+            homepage: z.ZodOptional<z.ZodString>;
+            visibility: z.ZodOptional<z.ZodEnum<{
+                private: "private";
+                public: "public";
+            }>>;
         }, z.core.$strip>>;
     }, z.core.$strip>;
 }, z.core.$strip>;
@@ -5970,9 +6469,10 @@ interface SystemPromptParams {
  *
  * ## ⚠️ 删了它**不等于** system prompt 不再依赖工具表
  *
- * `PromptBuilder.projectBlock()` 里还有四个按工具存在与否开的策略块
+ * `PromptBuilder.projectBlock()` 里还有五个按工具存在与否开的策略块
  * （`isOpenWorldTool` / `enter_plan_mode` / `lsp_diagnostics` /
- * `ask_user_question`），所以 `loop.ts` 那条**工具名指纹**照样是必须的 ——
+ * `ask_user_question` / `todo`，五个是 2026-09-08 才算齐的）——
+ * 所以 `loop.ts` 那条**工具名指纹**照样是必须的 ——
  * 工具表变了 system prompt 仍然可能要跟着变，只是依赖变少了。
  * 判据和一条会红的门禁在 `__tests__/prompt-tool-prose.test.ts`。
  */
@@ -7247,6 +7747,19 @@ interface GenerateInput {
      * SDK 只负责单次「请求 → 拿到 tool-call 或文本」。
      */
     maxSteps?: number;
+    /**
+     * 中止这一次出站请求，原样交给 AI SDK 的 `abortSignal`。
+     *
+     * ⚠️ **这一格以前整个不存在**，而它的缺席不是「少一个便利功能」：
+     * 一次请求发出去之后没有任何东西能停下它，于是模型进复读环时用户按停止
+     * 没有反应，`repetition-detector` 判出来之后也只能停止读取、出站请求照跑。
+     * 判据全文在 `agent/types.ts` 的 `ProviderGenerateInput.signal` 上。
+     *
+     * 重试那一层**刻意不管它**：signal 一旦 abort，`streamText` 抛的是
+     * `AbortError`，而重试的判据是「这家挂了要不要换一家」—— 用户按了停止
+     * 之后换一家再发一次是最不该做的事。
+     */
+    signal?: AbortSignal;
     /**
      * 这一次用哪个 provider（方案 19）。不给 = 配置里的主 provider。
      *
@@ -7436,6 +7949,23 @@ interface ProviderGenerateInput {
     system?: string;
     maxTokens?: number;
     maxSteps?: number;
+    /**
+     * 中止这一次**出站请求**。
+     *
+     * ## 为什么必须到这一层
+     *
+     * `RunInput.signal` 一直存在，但 `AgentLoop` 只在**轮次之间**看它，
+     * 这一格以前压根不存在 —— 于是一次请求发出去之后就没有任何东西能停下它。
+     * 后果有两个，都实测过：
+     *   1. 模型进了复读环，用户按停止**没有反应**，得等它把整个输出预算
+     *      （某些模型这一格是 384K）吐完或者 provider 自己断；
+     *   2. `repetition-detector` 判出复读之后 `break` 出去只是「我们不再读」，
+     *      出站请求还在跑、token 还在计 —— 检测器等于白做。
+     *
+     * 真 `AbortSignal`（不是 `RunInput.signal` 那个只要 `aborted` 布尔的鸭子类型）：
+     * 它要原样交给 AI SDK 的 `abortSignal`，那边需要 `addEventListener`。
+     */
+    signal?: AbortSignal;
 }
 interface ProviderGenerateOutput {
     text: string;
@@ -7481,6 +8011,17 @@ interface ProviderGenerateOutput {
      * 缺席规则同 `usage`：一条都没有时整个缺席，不是空数组。
      */
     warnings?: ProviderWarning[];
+    /**
+     * `finishReason === 'looping'` 时给用户看的那句话里要填的数
+     * （「最后 N 个字符里只有约 X% 的片段不重复」）。
+     *
+     * 为什么要一格而不是让循环自己算：判定发生在 `turn.ts`，它掐掉之后
+     * 检测器就跟着那次请求一起没了，循环手上只有已经产出的那段文本 ——
+     * 而那段文本的比例**不等于**开火那一刻窗口里的比例（窗口只看尾巴）。
+     *
+     * 其余 finishReason 下缺席（缺席规则同 `usage`）。
+     */
+    loopingInfo?: string;
 }
 /** AgentLoop 需要的 provider 能力 */
 interface AgentProvider {
@@ -7959,6 +8500,33 @@ interface AgentConfig {
      * 会红的门禁：`runtime/__tests__/compliance-wiring.test.ts`。
      */
     compliance?: ComplianceEngine;
+    /**
+     * 「这个会话还有多少项 TODO 没做完」的读点（2026-09-08，收工闸门那一半）。
+     *
+     * 给了之后，模型不再调工具、清单里还有没做完的条目时，循环会注一句
+     * 「还有 N 项没做完」把它踢回去（每 run 最多一次）。不给 = 没有这道闸门，
+     * 行为与改动前逐字节相同 —— 插入宿主和全部既有用例走的都是那一条。
+     *
+     * ## 给**函数**不给数，理由同 `approvedPlan` / `role`
+     *
+     * 这个数在一次 run 里**每一步都在变**（模型每做完一条就 `todo` 替换一次），
+     * 快照等于永远拿到「run 开始那一刻」的清单 —— 而那一刻常常还没落任何条目。
+     * 真正该读它的是「模型想收工的那一轮」，只有现问才拿得到。
+     *
+     * ## `sessionId` 走入参，不走闭包
+     *
+     * 子 agent 是**另一个** sessionId（`delegate_task` 派出去的那个任务自己记一笔，
+     * 见 `tools/builtin/delegate.ts`）。闭包的话，派活的父会话有清单、子任务那一侧
+     * 读到的也是**父的**清单 —— 而子任务确实只被派了几件事，它若拿「父还有 97
+     * 件事没完」来给自己收工，就是最糟的一种假结案。判据同
+     * `backgroundTasks` 那句（闭包会把「这个会话」和「读到的会话」劈开）。
+     *
+     * ⚠️ **装配层的每一处 `new AgentLoop` 都要填**，子 agent 那条也要 ——
+     * 漏填一处的表现是「主会话被闸门护住了、派出去的子任务照样做 3 个就收工」，
+     * 而这两条路在今天都会被批成行径是「智能体偷懒」。会红的门禁：
+     * `runtime/__tests__/todo-gate-wiring.test.ts`。
+     */
+    pendingTodos?: (sessionId: string) => number;
 }
 /** 历史里的一条。`parts` 存在时 `content` 是它的文本投影（见 EpochMessage） */
 interface HistoryEntry {
@@ -16651,4 +17219,4 @@ declare function resolveCodeModeWorker(baseDir: string, exists?: typeof existsSy
  */
 declare function codeModeWorkerPath(): string | undefined;
 
-export { AGENT_ROLE_DIAG_MODULE, ARTIFACT_MAX_TOTAL_BYTES, ARTIFACT_RETENTION_DEFAULTS, type AcquireResult, type AgentConfig, AgentLoop, type AgentProvider, type AgentSite, type AgentSiteRef, type AppendMessageInput, ApprovalCache, type ApprovalDecision, type ApprovalScope, type ArtifactOpenRefusal, type ArtifactRetention, type AskQuestionDeps, BLOCKED_TOOLS, type BackendOptions, type BackendOutcome, type BackgroundTaskSource, type BaseOrigin, type BaseSlot, type BeginTurnInput, type BreakdownInput, BudgetGuard, type BudgetGuardOptions, type BudgetInfo, type BudgetLevel, type BudgetOptions, type BudgetStatus, BudgetStore, type BudgetStoreOptions, type BuildFireArgvInput, type BuildIndexOptions, CHECKPOINT_MAX_TOTAL_BYTES, CLAUDE_EVENT_NAMES, CLAUDE_TOOL_NAMES, CODE_MODE_LIMITS, CODE_MODE_SDK_TAG, CONFIG_KEYS, CURRENT_CONFIG_VERSION, type CachedApproval, type CachedDecision, type CheckpointCapture, type CheckpointFile, CheckpointManager, type CheckpointManagerOptions, type CheckpointManifest, CheckpointStore, type CheckpointStoreOptions, type CheckpointSummary, type ClaudeHooksParseOptions, type CodeModeLimits, type CodeRequest, type CodeResult, CodeSandbox, type CommandHookConfig, type CommandHookResult, type CommandLoadOutcome, type CommandLoadSummary, type CommandResult, type CommandRunner, type CompactionResult, type CompiledRules, type ComplianceDirSpec, type ComplianceDirsSummary, ComplianceEngine, type ComplianceEngineInput, type ComplianceGate, type ComplianceHit, type ComplianceRule, type ComplianceRuleSource, type ComplianceSettings, type ComplianceVerdict, type CompressConfig, type CompressResult, type ConfigMigration, type ConfigOrigins, ContextCompressor, type ContextEngine, type CreateScheduleInput, type CreateSessionInput, DEFAULT_COMPLIANCE_ACTIONS, DEFAULT_COMPLIANCE_SETTINGS, DEFAULT_GOAL_MAX_ROUNDS, DEFAULT_MAX_HOLD_CHARS, type DelegateArgs, type DelegateConfig, DelegateManager, type DelegateTaskResult, type DiagnoseOptions, type DiscoverOutcome, type DiscoveredFile, type DoctorReport, type DraftParse, EMPTY_RULES, EPOCH_DISK_LEDGER, EpochConfigSchema, type ExpandOptions, FTS_TABLES, FTS_TRIGGERS, type FallbackEvent, type FileSlots, type FileSourceKind, type ForkInput, type FrontmatterParse, type FrontmatterSplit, type FtsHealth, type FtsReclaim, type FtsSpace, type FtsTableHealth, GOAL_BLOCK_CODES, type GateAxis, type GateVerdict, type GenerateInput, type GenerateOutput, type Goal, type GoalBlockReason, type GoalClear, type GoalPhase, type GoalPromptView, type GoalRefusal, type GoalRoundResult, GoalService, GoalStore, type GoalToolDeps, type GoalWrite, HEADLESS_AUDIT_CODES, type HeadlessPolicy, type HookConfigEntry, HookManager, type HookManagerOptions, type HookMatcher, type HookSourceKind, type HookSourceStatus, type HookSourcesOptions, type HookSourcesSummary, type HooksParseOutcome, type MemoryManager$1 as IMemoryManager, INSTRUCTION_BUDGET_CHARS, INSTRUCTION_FILES, type SessionManager$1 as ISessionManager, type SkillSystem$1 as ISkillSystem, ImageLoadError, type ImageSize, type ImportDecision, type ImportGate, type ImportNode, type ImportSkipReason, ImportTrustStore, type InstallOptions, type InstallOutcome, type InstallPreview, type InstructionScan, type InstructionSource, type IsolationReason, type IsolationReport, type JsonSchemaDocument, LAUNCHD_LABEL_PREFIX, LOCK_HEARTBEAT_MS, LOCK_STALE_MS, type LayerOutcome, type LayerScalars, type LayerStatus, type LearningContext, type LearningResult, type LearningSkipReason, type LexiconLoadOutcome, type LifecycleOutcome, type ListCandidatesInput, type ListSessionsInput, type ListSessionsOutput, type LoadCommandsOptions, type LoadConfigOptions, type LoadKeybindingsOptions, type LoadKeybindingsResult, type LoadRolesOptions, type LoadedPlugin, type LockHolder, MARKETPLACE_FILE, MAX_AUDIT_ENTRIES, MAX_COMMAND_DEPTH, MAX_GOAL_MAX_ROUNDS, MAX_IMPORT_DEPTH, MAX_OBJECTIVE_CHARS, MAX_REASON_CHARS, MAX_RECENT_WORKSPACES, MODEL_GIVE_UP_THRESHOLD, MULTIMODAL_DEFAULTS, type ManagedPolicy, ManagedPolicyError, type ManagedSettings, ManagedSettingsSchema, type MarketplaceCatalog, type MarketplaceEntry, type MarketplaceOutcome, type MarketplaceRecord, type MemoryConfig, type MemoryEntry, MemoryManager, MemoryReviewer, type MemorySearchResult, type MemoryTarget, type MemoryWriteResult, type MentionPart, type MentionResolution, type Message, type MessageHit, type MessageRecord, type MessageSurface, type ModelCapability, ModelFailureTracker, type ModelMetaEntry, type ModelPricing, type MultimodalPolicy, NOMINAL_TOTAL_BYTES, NO_REVEALED_TOOLS, type NonInteractiveProbe, type OsTaskSnapshot, type OutputGuard, PERMISSION_AUDIT_CODES, PLUGIN_LAYOUT, PLUGIN_MANIFEST_FILE, PLUGIN_NAME_PATTERN, PLUGIN_ROOT_ENV, PLUGIN_ROOT_TOKEN, POLICY_DECISIONS, PROJECT_AGENTS_SUBDIR, PROVIDER_NO_CREDENTIAL, type PermissionAuditCode, type PermissionAuditEntry, type PermissionAuditOutcome, type PermissionAuditScope, type PermissionAuditSnapshot, PermissionManager, type PersistedBudget, type PersistedPart, type PlanApprovalFn, type PlanEnterResult, type PlanModeDeps, PlanModeState, type PlanSettlement, type PluginArtifacts, type PluginCommandDir, type PluginCounts, type PluginHookFile, type PluginInventory, type PluginLoadOptions, type PluginManifest, type PluginPathRef, type PluginRecord, type PluginSettingsFile, type PluginSourceType, type PluginStateReadOutcome, PluginStore, type PolicyDirSpec, type PolicyDirsSummary, type PolicyLoadOutcome, type PolicyRule, PolicyRuleSchema, type ProjectContext, ProviderError, ProviderRouter, type ProviderStreamChunk, type ProviderToolCall$1 as ProviderToolCall, type ProviderWarning, type PruneResult, type QuestionAskFn, RECORDING_KEEP_RUNS, RECORDING_MAX_BYTES, ROLE_FRONTMATTER_SCHEMA, RUN_CODE_TOOL, type ReadMessagesInput, type ReadMessagesOutput, type RecentWorkspace, RecentWorkspaces, type RecordRunInput, type RecorderOptions, type RecoveryAction, type RegisterInput, type RegisterOutcome, type RegistrarOptions, type RegistrationPatch, type RepairOutcome, type ResolveMentionsOptions, type ResolveReferenceInput, type ResolveSettingsOptions, type ResolvedCompression, type ResolvedReference, type ResolvedSource, type ResponseFormat, type RestorePartsOptions, type ReviewIssue, type RewindAction, type RewindDrift, type RewindFilePlan, type RewindOptions, type RewindOutcome, type RewindPreview, type RoleCreateFailure, type RoleCreateInput, type RoleCreateOptions, type RoleCreateOutcome, type RoleLoadOutcome, type RoleLoadSummary, type RoleMergeNotice, type RoleMergeResult, type RoleScope, type RuleMatch, type RuleSuggestion, type RuleVerdict, type RunCodeFailure, type RunCodeInput, type RunCodeOutcome, type RunCodeToolDeps, type RunEstimateInput, type RunInput, type RunResult, SANDBOX_COVERS, SANDBOX_EXCLUDES, SCALAR_KEYS, SCHEDULE_DEFAULTS, SCHEDULE_DEFAULT_ALLOWLIST, SCHEDULE_ISSUE_CODES, SCHTASKS_FOLDER, SESSION_MESSAGES_READ_TOOL, SESSION_MESSAGES_SEARCH_TOOL, SESSION_QUERY_TOOLS, SESSION_SEARCH_TOOL, SESSION_TRACE_TOOL, SETTINGS_LAYER_ORDER, SETTING_WRITE_APPLY, SETTING_WRITE_KEYS, SETTING_WRITE_LAYERS, SKILL_CREATE_TOOL, SKILL_EDIT_TOOL, SKILL_PATCH_TOOL, SKILL_VIEW_TOOL, SKILL_WRITE_FILE_TOOL, SLASH_COMMANDS_DIAG_MODULE, type ScalarKey, type ScanInstructionsOptions, type ScheduleArgvRefusal, type ScheduleArgvResult, type ScheduleArgvWarning, type ScheduleBackend, type ScheduleCliEntry, type ScheduleDraftDeps, type ScheduleDrift, type ScheduleDriftKind, type ScheduleInstallForm, type ScheduleIssue, type ScheduleIssueCode, type ScheduleLock, ScheduleRecorder, ScheduleRegistrar, ScheduleStore, type ScheduleValidation, type SchemaExport, type SearchHit, type SearchInput, type SearchMessagesInput, type SearchMessagesOutput, type SearchOutput, type SearchSessionsInput, type SelectionDeps, type Session, type SessionCandidate, type SessionHit, SessionManager, type SessionMentionDeps, type SessionMeta, SessionQueries, SessionReferences, type SessionSearchDeps, type SessionStats, type SessionSurface, type SessionTrace, type SessionVisibility, type SessionVisibilityInput, type SettingApply, type SettingChain, type SettingFutile, type SettingLayer, type SettingStep, type SettingValue, type SettingValueKind, type SettingWriteFailure, type SettingWriteKey, type SettingWriteLayer, type SettingWriteOutcome, type SettingWriteRequest, type SettingWriteTarget, type SettingWriteTargetsOptions, type SettingsFile, SettingsFileError, SettingsFileSchema, type SettingsLayer, type SettingsResolution, type ShadowFinding, type ShadowKind, type Skill, type SkillDirSource, type SkillDirSpec, type SkillDirsSummary, type SkillImportConflict, type SkillImportDone, type SkillImportEntry, type SkillImportFailure, type SkillImportForm, type SkillImportOptions, type SkillImportPreview, type SkillImportResult, type SkillIndexEntry, type SkillIndexOptions, type SkillIndexResidency, type SkillIndexStats, SkillLearner, type SkillLearningProvider, type SkillMeta, type SkillStats, SkillSystem, type SkillSystemOptions, type SkillViewDeps, type SkillWriteDeps, type SubAgentRunner, type SubTask, type SubToolCaller, type SummarizeOutput, type SurfaceMessage, type SystemPromptParams, type SystemPromptSegments, TOOL_SEARCH_TOOL, TaskNoticeTracker, type TodoItem, type ToolCall, type ToolConflict, type ToolGate, type ToolNameFidelity, type ToolNameLookup, ToolRegistry, type ToolRevealState, type ToolScope, type ToolSearchDeps, type ToolTableCost, type TraceInput, type TraceNode, TrackerDB, type TrustDecision, type TrustGate, type TrustGateOptions, TrustManager, type TurnRecord, type TurnTiming, type UpdateScheduleInput, type UtilityModelInfo, type ValidateScheduleInput, type VersionCheck, Workspace, type WorkspaceFiles, type WorkspaceIssue, type WorkspaceIssueKind, acquireScheduleLock, addMarketplace, addUsage, admitArtifact, admitArtifacts, affectedPaths, artifactLaunchArgv, artifactOpenRefusal, assertLevelAllowed, blockedRoleTools, buildContextBreakdown, buildFireArgv, buildFtsMatchQuery, buildSchemaExports, buildSystemPrompt, buildTrigramMatchQuery, builtinRoles, checkEpochVersion, checkFtsHealth, checkShadowing, classifyProviderError, clearModelCache, coalesceRecording, codeModeWorkerPath, commandNameFromRelPath, compileRuleLists, compressionOptions, computeCost, computeCostMicros, countRules, createAllowAllGate, createAllowAllImportGate, createAskQuestionTool, createCodeExecTool, createDelegateTool, createDenyAllGate, createDenyAllImportGate, createGoalTool, createImportGate, createMemoryTool, createPlanModeTools, createRoleFile, createRoleScope, createRunCodeTool, createScheduleDraftTool, createSessionMessagesReadTool, createSessionMessagesSearchTool, createSessionSearchTool, createSessionSearchTools, createSessionTraceTool, createSkillViewTool, createSkillWriteTools, createTodoTool, createToolRevealState, createToolScope, createToolSearchTool, createTrustGate, currentEpochVersion, decideImport, decideTrust, defaultConfig, defaultModelOf, describeArtifactRefusal, describeBackgroundTask, describeHeadlessPolicy, describeIsolation, describeJsonError, diagnoseSchedules, discoverMarkdown, discoverModels, discoverProject, draftCommandLine, draftWidening, escapeRuleContent, estimateImageTokens, estimateRunTokens, estimateTokens, evaluateSelection, expandCommand, expandImports, explainSetting, findInstructionFiles, findProjectInstructions, findRole, formatBytes, formatSkillIndex, formatUsd, gateForTool, getCapability, getConfigIssues, getConfigOrigins, getImportGate, getTrustGate, hasPromptCaching, hasProviderCredentials, imageFromBase64, imageFromPath, imagePartTokens, importSkills, installPlugin, instructionDirs, instructionNotices, intervalSlots, inventoryTotal, isBlockCode, isCodeModeDeferred, isEmptyRules, isGoalPhase, isNonInteractive, isReadOnlySubCall, isSettingWriteLayer, isValidPluginName, isWithinWindow, isWritableSettingKey, labelSlug, layerRank, listSessionCandidates, listWorkspaceFiles, loadCommandDefinitions, loadCommandFile, loadCommands, loadConfig, loadHookSources, loadKeybindings, loadLexiconDir, loadLexiconFiles, loadPlugins, loadPolicyFiles, loadPolicyRules, loadRoleDefinitions, loadRoleDir, loadedImports, localDateString, managedSwitchNotes, mapClaudeToolName, mapEpochToolName, mapOperationType, matchPreauthorization, matchRuleLists, matchesHook, mentionsPluginRoot, mergeHeadlessPolicy, mergeRoles, mergeSchedulePatch, microsToUsd, modelListCandidates, needsAllowlist, nextFallbackModel, nextRunAt, noConfigOrigins, noManagedPolicy, noPlugins, openArtifact, originOf, parseClaudeSettingsHooks, parseClock, parseDate, parseFrontmatter, parseHooksConfig, parseHooksConfigVerbose, parseImportLine, parseModelList, parseRoleDefinition, parseScheduleDraft, parseSkillFrontmatter, parseTrigger, pendingImageTokens, persistParts, persistToolResults, persistedUsage, previewSkillImport, pruneArtifacts, pruneRecordings, pruneSchedules, readImageSize, readMarketplaces, readPluginManifest, readPluginRecords, readProviderKeyEnv, readRecording, readSessionSurface, reclaimFtsSpace, redactLine, refreshOpenRouterMetadata, removeMarketplace, removeSessionArtifacts, renderImportTree, renderProjectContext, renderSdkDeclaration, repairSchedules, resolveArtifactRetention, resolveCodeModeWorker, resolveComplianceDirs, resolveEntrySource, resolveInWorkspace, resolveMarketplaceRef, resolveMentions, resolveMultimodalPolicy, resolvePolicyDirs, resolveProjectRoot, resolveScheduleBackend, resolveSessionReference, resolveSessionVisibility, resolveSettings, resolveSkillDirs, resolveSource, resolveWorkspace, restoreParts, revealScopedProvider, roleScopedProvider, roleSourceLabel, ruleCovers, ruleFromString, ruleToString, runCode, runCommand, sanitizeArgNames, sanitizeCommand, sanitizeFtsQuery, sanitizePath, sanitizeToolOutput, scanInstructions, scanPluginDir, scanSkillDirs, searchMarketplaces, setImportGate, setPluginEnabled, setTrustGate, settingValueChoices, settingValueKind, settingWriteLayers, settingWriteTargets, skillIndexDescription, skillIndexResidency, skillIndexStats, sniffMediaType, splitFrontmatter, staticToolProvider, stripArtifactData, substitutePluginRoot, suggestRuleFromApproval, systemOpenArgv, systemPromptSegments, toPosix, toolDefinitionTokens, toolMatches, toolTableTokens, totalTokens, traceSession, triggerPeriodMs, unescapeRuleContent, uninstallPlugin, unknownRoleSkills, unknownRoleTools, unloadedInstructionFiles, updateMarketplace, updatePlugin, usdToMicros, validateSchedule, validateTrigger, validateWindow, withGoalCompression, withGoalPrompt, workspaceDisplayPath, writeSettingValue };
+export { AGENT_ROLE_DIAG_MODULE, ARTIFACT_MAX_TOTAL_BYTES, ARTIFACT_RETENTION_DEFAULTS, type AcquireResult, type AgentConfig, AgentLoop, type AgentProvider, type AgentSite, type AgentSiteRef, type AppendMessageInput, ApprovalCache, type ApprovalDecision, type ApprovalScope, type ArtifactOpenRefusal, type ArtifactRetention, type AskQuestionDeps, BLOCKED_TOOLS, type BackendOptions, type BackendOutcome, type BackgroundTaskSource, type BaseOrigin, type BaseSlot, type BeginTurnInput, type BreakdownInput, BudgetGuard, type BudgetGuardOptions, type BudgetInfo, type BudgetLevel, type BudgetOptions, type BudgetStatus, BudgetStore, type BudgetStoreOptions, type BuildFireArgvInput, type BuildIndexOptions, CHECKPOINT_MAX_TOTAL_BYTES, CLAUDE_EVENT_NAMES, CLAUDE_TOOL_NAMES, CODE_MODE_LIMITS, CODE_MODE_SDK_TAG, CONFIG_KEYS, CURRENT_CONFIG_VERSION, type CachedApproval, type CachedDecision, type CheckpointCapture, type CheckpointFile, CheckpointManager, type CheckpointManagerOptions, type CheckpointManifest, CheckpointStore, type CheckpointStoreOptions, type CheckpointSummary, type ClaudeHooksParseOptions, type CodeModeLimits, type CodeRequest, type CodeResult, CodeSandbox, type CommandHookConfig, type CommandHookResult, type CommandLoadOutcome, type CommandLoadSummary, type CommandResult, type CommandRunner, type CompactionResult, type CompiledRules, type ComplianceDirSpec, type ComplianceDirsSummary, ComplianceEngine, type ComplianceEngineInput, type ComplianceGate, type ComplianceHit, type ComplianceRule, type ComplianceRuleSource, type ComplianceSettings, type ComplianceVerdict, type CompressConfig, type CompressResult, type ConfigMigration, type ConfigOrigins, ContextCompressor, type ContextEngine, type CreateScheduleInput, type CreateSessionInput, DEFAULT_COMPLIANCE_ACTIONS, DEFAULT_COMPLIANCE_SETTINGS, DEFAULT_GOAL_MAX_ROUNDS, DEFAULT_MAX_HOLD_CHARS, type DelegateArgs, type DelegateConfig, DelegateManager, type DelegateTaskResult, type DiagnoseOptions, type DiscoverOutcome, type DiscoveredFile, type DoctorReport, type DraftParse, EMPTY_RULES, EPOCH_DISK_LEDGER, EpochConfigSchema, type ExpandOptions, type ExtractOutcome, FTS_TABLES, FTS_TRIGGERS, type FallbackEvent, type FileSlots, type FileSourceKind, type ForkInput, type FrontmatterParse, type FrontmatterSplit, type FtsHealth, type FtsReclaim, type FtsSpace, type FtsTableHealth, GOAL_BLOCK_CODES, type GateAxis, type GateVerdict, type GenerateInput, type GenerateOutput, type Goal, type GoalBlockReason, type GoalClear, type GoalPhase, type GoalPromptView, type GoalRefusal, type GoalRoundResult, GoalService, GoalStore, type GoalToolDeps, type GoalWrite, HEADLESS_AUDIT_CODES, type HeadlessPolicy, type HookConfigEntry, HookManager, type HookManagerOptions, type HookMatcher, type HookSourceKind, type HookSourceStatus, type HookSourcesOptions, type HookSourcesSummary, type HooksParseOutcome, type MemoryManager$1 as IMemoryManager, INSTRUCTION_BUDGET_CHARS, INSTRUCTION_FILES, type SessionManager$1 as ISessionManager, type SkillSystem$1 as ISkillSystem, ImageLoadError, type ImageSize, type ImportDecision, type ImportGate, type ImportNode, type ImportSkipReason, ImportTrustStore, type InstallOptions, type InstallOutcome, type InstallPreview, type InstructionScan, type InstructionSource, type IsolationReason, type IsolationReport, type JsonSchemaDocument, LAUNCHD_LABEL_PREFIX, LOCK_HEARTBEAT_MS, LOCK_STALE_MS, type LayerOutcome, type LayerScalars, type LayerStatus, type LearningContext, type LearningResult, type LearningSkipReason, type LexiconLoadOutcome, type LifecycleOutcome, type ListCandidatesInput, type ListSessionsInput, type ListSessionsOutput, type LoadCommandsOptions, type LoadConfigOptions, type LoadKeybindingsOptions, type LoadKeybindingsResult, type LoadRolesOptions, type LoadedPlugin, type LockHolder, MARKETPLACE_FILE, MAX_AUDIT_ENTRIES, MAX_COMMAND_DEPTH, MAX_GOAL_MAX_ROUNDS, MAX_IMPORT_DEPTH, MAX_OBJECTIVE_CHARS, MAX_REASON_CHARS, MAX_RECENT_WORKSPACES, MODEL_GIVE_UP_THRESHOLD, MULTIMODAL_DEFAULTS, type ManagedPolicy, ManagedPolicyError, type ManagedSettings, ManagedSettingsSchema, type MarketplaceCatalog, type MarketplaceEntry, type MarketplaceOutcome, type MarketplaceRecord, type MemoryConfig, type MemoryEntry, MemoryManager, MemoryReviewer, type MemorySearchResult, type MemoryTarget, type MemoryWriteResult, type MentionPart, type MentionResolution, type Message, type MessageHit, type MessageRecord, type MessageSurface, type ModelCapability, ModelFailureTracker, type ModelMetaEntry, type ModelPricing, type MultimodalPolicy, NOMINAL_TOTAL_BYTES, NO_REVEALED_TOOLS, type NonInteractiveProbe, type OsTaskSnapshot, type OutputGuard, PACK_EXCLUDES, PACK_MAX_BYTES, PACK_MAX_FILES, PERMISSION_AUDIT_CODES, PLUGIN_LAYOUT, PLUGIN_MANIFEST_FILE, PLUGIN_NAME_PATTERN, PLUGIN_PACK_TOOL, PLUGIN_ROOT_ENV, PLUGIN_ROOT_TOKEN, PLUGIN_VALIDATE_TOOL, POLICY_DECISIONS, PROJECT_AGENTS_SUBDIR, PROVIDER_NO_CREDENTIAL, type PackFile, type PackLimits, type PackOutcome, type PackPlan, type PackPlanOutcome, type PermissionAuditCode, type PermissionAuditEntry, type PermissionAuditOutcome, type PermissionAuditScope, type PermissionAuditSnapshot, PermissionManager, type PersistedBudget, type PersistedPart, type PlanApprovalFn, type PlanEnterResult, type PlanModeDeps, PlanModeState, type PlanSettlement, type PluginArtifacts, type PluginAuthor, PluginAuthorSchema, type PluginCommandDir, type PluginCounts, type PluginHookFile, type PluginInventory, type PluginLoadOptions, type PluginManifest, type PluginPathRef, type PluginRecord, type PluginSettingsFile, type PluginSourceType, type PluginStateReadOutcome, PluginStore, type PolicyDirSpec, type PolicyDirsSummary, type PolicyLoadOutcome, type PolicyRule, PolicyRuleSchema, type ProjectContext, ProviderError, ProviderRouter, type ProviderStreamChunk, type ProviderToolCall$1 as ProviderToolCall, type ProviderWarning, type PruneResult, type QuestionAskFn, RECORDING_KEEP_RUNS, RECORDING_MAX_BYTES, ROLE_FRONTMATTER_SCHEMA, RUN_CODE_TOOL, type ReadMessagesInput, type ReadMessagesOutput, type RecentWorkspace, RecentWorkspaces, type RecordRunInput, type RecorderOptions, type RecoveryAction, type RegisterInput, type RegisterOutcome, type RegistrarOptions, type RegistrationPatch, type RepairOutcome, type ResolveMentionsOptions, type ResolveReferenceInput, type ResolveSettingsOptions, type ResolvedCompression, type ResolvedReference, type ResolvedSource, type ResponseFormat, type RestorePartsOptions, type ReviewIssue, type RewindAction, type RewindDrift, type RewindFilePlan, type RewindOptions, type RewindOutcome, type RewindPreview, type RoleCreateFailure, type RoleCreateInput, type RoleCreateOptions, type RoleCreateOutcome, type RoleLoadOutcome, type RoleLoadSummary, type RoleMergeNotice, type RoleMergeResult, type RoleScope, type RuleMatch, type RuleSuggestion, type RuleVerdict, type RunCodeFailure, type RunCodeInput, type RunCodeOutcome, type RunCodeToolDeps, type RunEstimateInput, type RunInput, type RunResult, SANDBOX_COVERS, SANDBOX_EXCLUDES, SCALAR_KEYS, SCHEDULE_DEFAULTS, SCHEDULE_DEFAULT_ALLOWLIST, SCHEDULE_ISSUE_CODES, SCHTASKS_FOLDER, SESSION_MESSAGES_READ_TOOL, SESSION_MESSAGES_SEARCH_TOOL, SESSION_QUERY_TOOLS, SESSION_SEARCH_TOOL, SESSION_TRACE_TOOL, SETTINGS_LAYER_ORDER, SETTING_WRITE_APPLY, SETTING_WRITE_KEYS, SETTING_WRITE_LAYERS, SKILL_CREATE_TOOL, SKILL_EDIT_TOOL, SKILL_PATCH_TOOL, SKILL_VIEW_TOOL, SKILL_WRITE_FILE_TOOL, SLASH_COMMANDS_DIAG_MODULE, type ScalarKey, type ScanInstructionsOptions, type ScheduleArgvRefusal, type ScheduleArgvResult, type ScheduleArgvWarning, type ScheduleBackend, type ScheduleCliEntry, type ScheduleDraftDeps, type ScheduleDrift, type ScheduleDriftKind, type ScheduleInstallForm, type ScheduleIssue, type ScheduleIssueCode, type ScheduleLock, ScheduleRecorder, ScheduleRegistrar, ScheduleStore, type ScheduleValidation, type SchemaExport, type SearchHit, type SearchInput, type SearchMessagesInput, type SearchMessagesOutput, type SearchOutput, type SearchSessionsInput, type SelectionDeps, type Session, type SessionCandidate, type SessionHit, SessionManager, type SessionMentionDeps, type SessionMeta, SessionQueries, SessionReferences, type SessionSearchDeps, type SessionStats, type SessionSurface, type SessionTrace, type SessionVisibility, type SessionVisibilityInput, type SettingApply, type SettingChain, type SettingFutile, type SettingLayer, type SettingStep, type SettingValue, type SettingValueKind, type SettingWriteFailure, type SettingWriteKey, type SettingWriteLayer, type SettingWriteOutcome, type SettingWriteRequest, type SettingWriteTarget, type SettingWriteTargetsOptions, type SettingsFile, SettingsFileError, SettingsFileSchema, type SettingsLayer, type SettingsResolution, type ShadowFinding, type ShadowKind, type Skill, type SkillDirSource, type SkillDirSpec, type SkillDirsSummary, type SkillImportConflict, type SkillImportDone, type SkillImportEntry, type SkillImportFailure, type SkillImportForm, type SkillImportOptions, type SkillImportPreview, type SkillImportResult, type SkillIndexEntry, type SkillIndexOptions, type SkillIndexResidency, type SkillIndexStats, SkillLearner, type SkillLearningProvider, type SkillMeta, type SkillStats, SkillSystem, type SkillSystemOptions, type SkillViewDeps, type SkillWriteDeps, type SubAgentRunner, type SubTask, type SubToolCaller, type SummarizeOutput, type SurfaceMessage, type SystemPromptParams, type SystemPromptSegments, TOOL_SEARCH_TOOL, TaskNoticeTracker, type TodoItem, type ToolCall, type ToolConflict, type ToolGate, type ToolNameFidelity, type ToolNameLookup, ToolRegistry, type ToolRevealState, type ToolScope, type ToolSearchDeps, type ToolTableCost, type TraceInput, type TraceNode, TrackerDB, type TrustDecision, type TrustGate, type TrustGateOptions, TrustManager, type TurnRecord, type TurnTiming, type UpdateScheduleInput, type UtilityModelInfo, type ValidateScheduleInput, type VersionCheck, Workspace, type WorkspaceFiles, type WorkspaceIssue, type WorkspaceIssueKind, acquireScheduleLock, addMarketplace, addUsage, admitArtifact, admitArtifacts, affectedPaths, artifactLaunchArgv, artifactOpenRefusal, assertLevelAllowed, blockedRoleTools, buildContextBreakdown, buildFireArgv, buildFtsMatchQuery, buildSchemaExports, buildSystemPrompt, buildTrigramMatchQuery, builtinRoles, checkEpochVersion, checkFtsHealth, checkShadowing, classifyProviderError, clearModelCache, coalesceRecording, codeModeWorkerPath, commandNameFromRelPath, compileRuleLists, compressionOptions, computeCost, computeCostMicros, countRules, createAllowAllGate, createAllowAllImportGate, createAskQuestionTool, createCodeExecTool, createDelegateTool, createDenyAllGate, createDenyAllImportGate, createGoalTool, createImportGate, createMemoryTool, createPlanModeTools, createPluginAuthorTools, createRoleFile, createRoleScope, createRunCodeTool, createScheduleDraftTool, createSessionMessagesReadTool, createSessionMessagesSearchTool, createSessionSearchTool, createSessionSearchTools, createSessionTraceTool, createSkillViewTool, createSkillWriteTools, createTodoTool, createToolRevealState, createToolScope, createToolSearchTool, createTrustGate, currentEpochVersion, decideImport, decideTrust, defaultConfig, defaultModelOf, describeArtifactRefusal, describeBackgroundTask, describeHeadlessPolicy, describeIsolation, describeJsonError, diagnoseSchedules, discoverMarkdown, discoverModels, discoverProject, draftCommandLine, draftWidening, escapeRuleContent, estimateImageTokens, estimateRunTokens, estimateTokens, evaluateSelection, expandCommand, expandImports, explainSetting, extractArchive, findInstructionFiles, findProjectInstructions, findRole, formatBytes, formatSkillIndex, formatUsd, gateForTool, getCapability, getConfigIssues, getConfigOrigins, getImportGate, getTrustGate, hasPromptCaching, hasProviderCredentials, imageFromBase64, imageFromPath, imagePartTokens, importSkills, installPlugin, instructionDirs, instructionNotices, intervalSlots, inventoryTotal, isBlockCode, isCodeModeDeferred, isEmptyRules, isGoalPhase, isNonInteractive, isReadOnlySubCall, isSettingWriteLayer, isValidPluginName, isWithinWindow, isWritableSettingKey, labelSlug, layerRank, listSessionCandidates, listWorkspaceFiles, loadCommandDefinitions, loadCommandFile, loadCommands, loadConfig, loadHookSources, loadKeybindings, loadLexiconDir, loadLexiconFiles, loadPlugins, loadPolicyFiles, loadPolicyRules, loadRoleDefinitions, loadRoleDir, loadedImports, localDateString, managedSwitchNotes, mapClaudeToolName, mapEpochToolName, mapOperationType, matchPreauthorization, matchRuleLists, matchesHook, mentionsPluginRoot, mergeHeadlessPolicy, mergeRoles, mergeSchedulePatch, microsToUsd, modelListCandidates, needsAllowlist, nextFallbackModel, nextRunAt, noConfigOrigins, noManagedPolicy, noPlugins, openArtifact, originOf, packFileName, packPlugin, parseClaudeSettingsHooks, parseClock, parseDate, parseFrontmatter, parseHooksConfig, parseHooksConfigVerbose, parseImportLine, parseModelList, parseRoleDefinition, parseScheduleDraft, parseSkillFrontmatter, parseTrigger, pendingImageTokens, persistParts, persistToolResults, persistedUsage, planPack, previewSkillImport, pruneArtifacts, pruneRecordings, pruneSchedules, readImageSize, readMarketplaces, readPluginManifest, readPluginRecords, readProviderKeyEnv, readRecording, readSessionSurface, reclaimFtsSpace, redactLine, refreshOpenRouterMetadata, removeMarketplace, removeSessionArtifacts, renderImportTree, renderProjectContext, renderSdkDeclaration, repairSchedules, resolveArtifactRetention, resolveCodeModeWorker, resolveComplianceDirs, resolveEntrySource, resolveInWorkspace, resolveMarketplaceRef, resolveMentions, resolveMultimodalPolicy, resolvePolicyDirs, resolveProjectRoot, resolveScheduleBackend, resolveSessionReference, resolveSessionVisibility, resolveSettings, resolveSkillDirs, resolveSource, resolveTar, resolveWorkspace, restoreParts, revealScopedProvider, roleScopedProvider, roleSourceLabel, ruleCovers, ruleFromString, ruleToString, runCode, runCommand, sanitizeArgNames, sanitizeCommand, sanitizeFtsQuery, sanitizePath, sanitizeToolOutput, scanInstructions, scanPluginDir, scanSkillDirs, searchMarketplaces, setImportGate, setPluginEnabled, setTrustGate, settingValueChoices, settingValueKind, settingWriteLayers, settingWriteTargets, skillIndexDescription, skillIndexResidency, skillIndexStats, sniffMediaType, splitFrontmatter, staticToolProvider, stripArtifactData, substitutePluginRoot, suggestRuleFromApproval, systemOpenArgv, systemPromptSegments, toPosix, toolDefinitionTokens, toolMatches, toolTableTokens, totalTokens, traceSession, triggerPeriodMs, unescapeRuleContent, uninstallPlugin, unknownRoleSkills, unknownRoleTools, unloadedInstructionFiles, updateMarketplace, updatePlugin, usdToMicros, validateSchedule, validateTrigger, validateWindow, withGoalCompression, withGoalPrompt, workspaceDisplayPath, writeSettingValue };