@fa-software/semi2-dsh 0.0.11 → 0.0.13-preview.20260921160207

package/lib/api/client.js

@@ -91,6 +91,7 @@ export async function postGraphql(client, request) {
                 ...(client.creator === undefined
                     ? {}
                     : { 'x-semi2-cnb-creator': client.creator }),
+                ...(client.face === undefined ? {} : { 'x-semi2-face': client.face }),
             },
             cache: 'no-store',
             redirect: 'error',

package/lib/api/generated/documents.js

@@ -73,10 +73,21 @@ export const RUNTIME_MODEL_CREDENTIALS_DOCUMENT = `query RuntimeModelCredentials
     value
   }
 }`;
+/** 运行面生命周期上报（会话启停 / 拒绝 / 交付分支与核对）：`action` 与 `outcome` 用 SDL 枚举名，失败只 warn 降级。 */
+export const RUNTIME_REPORT_EVENT_DOCUMENT = `mutation RuntimeReportEvent($input: RuntimeEventInput!) {
+  runtimeReportEvent(input: $input) {
+    id
+    action
+    outcome
+    code
+    occurredAt
+  }
+}`;
 /** 全部操作名（契约测试用：领域声明的操作必须都在这里）。 */
 export const API_OPERATIONS = [
     'RuntimeBoot',
     'RuntimeSkillFiles',
     'RuntimeWorkspaceProjects',
     'RuntimeModelCredentials',
+    'RuntimeReportEvent',
 ];

package/lib/api/generated/schema.js

@@ -1,3 +1,36 @@
+/** 身份来源：会话 / 用户密钥 / 接入密钥 / 匿名（登录失败、无效密钥）。 */
+export var AuditActorKind;
+(function (AuditActorKind) {
+    AuditActorKind["AccessKey"] = "ACCESS_KEY";
+    AuditActorKind["Anonymous"] = "ANONYMOUS";
+    AuditActorKind["Session"] = "SESSION";
+    AuditActorKind["UserKey"] = "USER_KEY";
+})(AuditActorKind || (AuditActorKind = {}));
+/** 审查类别：读 / 写 / 身份凭据 / 运行面生命周期。 */
+export var AuditCategory;
+(function (AuditCategory) {
+    AuditCategory["Auth"] = "AUTH";
+    AuditCategory["Read"] = "READ";
+    AuditCategory["Runtime"] = "RUNTIME";
+    AuditCategory["Write"] = "WRITE";
+})(AuditCategory || (AuditCategory = {}));
+/** 来源面：控制台 / NPC / 云开发工作站 / 容器 Web / 宿主直跑 / 未标注。 */
+export var AuditChannel;
+(function (AuditChannel) {
+    AuditChannel["Console"] = "CONSOLE";
+    AuditChannel["ContainerWeb"] = "CONTAINER_WEB";
+    AuditChannel["Host"] = "HOST";
+    AuditChannel["Npc"] = "NPC";
+    AuditChannel["Unknown"] = "UNKNOWN";
+    AuditChannel["Workstation"] = "WORKSTATION";
+})(AuditChannel || (AuditChannel = {}));
+/** 结果：SUCCESS = 完成；DENIED = 身份 / 权限 / 来源被拒；ERROR = 领域校验或冲突失败。 */
+export var AuditOutcome;
+(function (AuditOutcome) {
+    AuditOutcome["Denied"] = "DENIED";
+    AuditOutcome["Error"] = "ERROR";
+    AuditOutcome["Success"] = "SUCCESS";
+})(AuditOutcome || (AuditOutcome = {}));
 /** 账户的 CNB 连接态。AWAITING_BINDING = 账户由上游目录预建，还没绑定本人令牌。 */
 export var CnbConnectionState;
 (function (CnbConnectionState) {
@@ -74,6 +107,16 @@ export var Role;
     Role["Admin"] = "ADMIN";
     Role["User"] = "USER";
 })(Role || (Role = {}));
+/** 运行面可上报的动作：会话启停、拒绝、交付分支与交付核对。 */
+export var RuntimeEventAction;
+(function (RuntimeEventAction) {
+    RuntimeEventAction["DeliveryReady"] = "DELIVERY_READY";
+    RuntimeEventAction["DeliveryVerified"] = "DELIVERY_VERIFIED";
+    RuntimeEventAction["SessionEnd"] = "SESSION_END";
+    RuntimeEventAction["SessionFailed"] = "SESSION_FAILED";
+    RuntimeEventAction["SessionRefused"] = "SESSION_REFUSED";
+    RuntimeEventAction["SessionStart"] = "SESSION_START";
+})(RuntimeEventAction || (RuntimeEventAction = {}));
 /** 技能附件内容的编码：文本类用 UTF8，其余（图片 / 二进制）用 BASE64。 */
 export var SkillFileEncoding;
 (function (SkillFileEncoding) {

package/lib/api/index.js

@@ -1,5 +1,5 @@
 import { consoleEndpoint, postGraphql } from './client.js';
-import { RUNTIME_BOOT_DOCUMENT, RUNTIME_MODEL_CREDENTIALS_DOCUMENT, RUNTIME_SKILL_FILES_DOCUMENT, RUNTIME_WORKSPACE_PROJECTS_DOCUMENT, } from './generated/documents.js';
+import { RUNTIME_REPORT_EVENT_DOCUMENT, RUNTIME_BOOT_DOCUMENT, RUNTIME_MODEL_CREDENTIALS_DOCUMENT, RUNTIME_SKILL_FILES_DOCUMENT, RUNTIME_WORKSPACE_PROJECTS_DOCUMENT, } from './generated/documents.js';
 import { exchangeCnbToken, loginToConsole } from './login.js';
 import { ConfigurationError } from '../hub/errors.js';
 function text(value) {
@@ -18,6 +18,10 @@ export function createSemi2Api(options) {
             token: connection.token,
             ...(options.fetchImpl === undefined ? {} : { fetchImpl: options.fetchImpl }),
             ...(creator === undefined ? {} : { creator }),
+            ...(() => {
+                const face = options.readFace?.();
+                return face === undefined ? {} : { face };
+            })(),
         }, {
             operationName,
             document,
@@ -34,5 +38,19 @@ export function createSemi2Api(options) {
         modelCredentials: connectionIds => request('RuntimeModelCredentials', RUNTIME_MODEL_CREDENTIALS_DOCUMENT, connectionIds === undefined ? {} : { connectionIds }),
         exchangeCnbToken: input => exchangeCnbToken(input, options.fetchImpl),
         loginToConsole: input => loginToConsole(input, options.fetchImpl),
+        reportEvent: event => request('RuntimeReportEvent', RUNTIME_REPORT_EVENT_DOCUMENT, {
+            input: {
+                action: event.action,
+                outcome: event.outcome,
+                ...(event.code === undefined ? {} : { code: event.code }),
+                ...(event.projectSlug === undefined
+                    ? {}
+                    : { projectSlug: event.projectSlug }),
+                ...(event.targetLabel === undefined
+                    ? {}
+                    : { targetLabel: event.targetLabel }),
+                ...(event.detail === undefined ? {} : { detail: event.detail }),
+            },
+        }),
     };
 }

package/lib/contract.js

@@ -18,8 +18,8 @@ function credentialsFromEnv(env) {
             ...(accessToken === undefined ? {} : { accessToken }),
         };
 }
-function runtime(platform, fields) {
-    const contract = { platform };
+function runtime(platform, face, fields) {
+    const contract = { platform, face };
     if (fields.credentials !== undefined)
         contract.credentials = fields.credentials;
     return contract;
@@ -27,9 +27,10 @@ function runtime(platform, fields) {
 /**
  * CNB 运行面：优先用 secret import 注入的 hub 接入密钥（`SEMI2_ACCESS_TOKEN`），
  * 缺失时才回退平台短期 `CNB_TOKEN`（插件启动时换成 hub 用户密钥）。
+ * face 由调用它的适配器给（NPC 面与云开发工作站面共用这条 env 通道）。
  */
-export function runtimeFromCnbEnv(env) {
-    return runtime('cnb', { credentials: credentialsFromEnv(env) });
+export function runtimeFromCnbEnv(env, face) {
+    return runtime('cnb', face, { credentials: credentialsFromEnv(env) });
 }
 /**
  * 容器运行面：**只盖章，不给凭据也不给身份**——本地容器靠登录（设置页账号密码换用户密钥）。
@@ -38,5 +39,5 @@ export function runtimeFromCnbEnv(env) {
  * CNB 面相反：身份取平台注入的触发 env、凭据取 secret 注入的 env，见 `runtimeFromCnbEnv`。
  */
 export function runtimeFromContainerEnv(_env) {
-    return runtime('container', {});
+    return runtime('container', 'container-web', {});
 }

package/lib/domains/default-model/domain.js

@@ -64,6 +64,7 @@ export class DefaultModelDomain {
         if (this.host.state().status !== 'ready')
             return {
                 kind: 'refused',
+                code: 'CONFIG_NOT_READY',
                 reason: `控制台配置未就绪（status=${this.host.state().status}），无法确定项目与模型；本次不运行。`,
             };
         if (compiled === null)
@@ -73,12 +74,14 @@ export class DefaultModelDomain {
         if (workspace === undefined)
             return {
                 kind: 'refused',
+                code: 'NO_WORKSPACE',
                 reason: '本面没有工作区能力，无法确定项目；本次不运行。',
             };
         const project = await workspace.projectForCwd(input.cwd);
         if (project === null)
             return {
                 kind: 'refused',
+                code: 'NO_PROJECT_MATCH',
                 reason: '没有匹配到项目：请先在控制台「项目与访问」登记本仓库（slug 需与仓库路径一致，且项目为启用、上游正常），再到「模型接入」配好全局默认模型。',
             };
         const projectModelId = role === 'execute' ? project.executeModelId : project.planModelId;

package/lib/index.js

@@ -19,6 +19,16 @@ export function apply(ctx, _config) {
     ctx.provide('semi2Config', configuration.config);
     ctx.provide('semi2Session', configuration.session);
     ctx.provide('semi2Health', configuration.health);
+    // 运行面（NPC 面）回报生命周期与交付事实的出口；上报失败只 warn。
+    ctx.provide('semi2Audit', configuration.audit);
+    // 优雅卸载 = 本面会话结束：进程被强杀（SIGKILL / 容器停止）没有结束行，属已知边界。
+    ctx.effect(() => () => {
+        void configuration.audit.report({
+            action: 'SESSION_END',
+            outcome: 'SUCCESS',
+            detail: { platform: configuration.config.platform, reason: 'dispose' },
+        });
+    });
     // 索引由使用方建立、工具由官方 MCP 服务提供：插件侧没有可失败的后台动作，只标注开关状态。
     configuration.registerHealth({
         key: 'healthCodegraph',

package/lib/service/audit.js

@@ -0,0 +1,23 @@
+/** 生命周期事件：动作名与结果名都用 hub SDL 的枚举名，两侧不各维护一张映射表。 */
+export async function reportEvent(engine, event) {
+    try {
+        if (engine.connection() === null)
+            return;
+        const outcome = await engine.api.reportEvent({
+            ...event,
+            detail: { face: faceOf(engine), ...(event.detail ?? {}) },
+        });
+        if (outcome.data === null)
+            engine.warn(`运行面事件上报失败（${event.action}）：${outcome.errorCode ?? '未知错误'}`);
+    }
+    catch (error) {
+        engine.warn(`运行面事件上报失败（${event.action}）：${error instanceof Error ? error.message : String(error)}`);
+    }
+}
+/** 本面标识：契约里有就用它；宿主直跑没有契约，记 host。 */
+export function faceOf(engine) {
+    const declared = engine.contract()?.face;
+    if (declared !== undefined)
+        return declared;
+    return engine.platform === 'host' || engine.platform === null ? 'host' : 'unknown';
+}

package/lib/service/config-service.js

@@ -1,6 +1,7 @@
 import { createSemi2Api } from '../api/index.js';
 import { createPorts } from './ports.js';
 import { Orchestrator } from './orchestrator.js';
+import { faceOf } from './audit.js';
 import * as lifecycle from './lifecycle.js';
 /**
  * 装配三个能力面并开始后台领取：领域挂载与首次取数都在后台——不阻塞插件树 settle，
@@ -22,6 +23,7 @@ export function installConfiguration(ctx, options = {}) {
         createSemi2Api({
             readConnection: () => engineRef.current?.connection() ?? null,
             environment: { ...process.env },
+            readFace: () => engineRef.current?.contract()?.face,
         }), ports, { ...process.env }, options);
     engineRef.current = orchestrator;
     void orchestrator
@@ -37,6 +39,28 @@ export function installConfiguration(ctx, options = {}) {
             logout: () => lifecycle.logout(orchestrator),
         },
         health: { snapshot: () => orchestrator.healthSnapshot() },
+        audit: {
+            report: async (event) => {
+                if (orchestrator.connection() === null)
+                    return { ok: false, code: 'MISSING_ACCESS_TOKEN' };
+                try {
+                    const outcome = await orchestrator.api.reportEvent({
+                        ...event,
+                        detail: {
+                            face: faceOf(orchestrator),
+                            ...(event.detail ?? {}),
+                        },
+                    });
+                    return { ok: outcome.data !== null, code: outcome.errorCode };
+                }
+                catch (error) {
+                    return {
+                        ok: false,
+                        code: error instanceof Error ? error.message : String(error),
+                    };
+                }
+            },
+        },
         registerHealth: (contributor) => {
             orchestrator.registerHealthContributor(contributor);
         },

package/lib/service/lifecycle.js

@@ -5,6 +5,7 @@ import { installSections } from './settings-sections.js';
 import { appliedState, publishFailed, publishStatus } from './publish.js';
 import { readOwned, readWorkspaces } from './namespaces.js';
 import { DOMAINS } from './registry.js';
+import { reportEvent } from './audit.js';
 import { connectionSnapshot, exchangeCnbCredential, resolveConnectionWithRetry, resolveContract, } from './connection.js';
 /** 首次加载；未配凭据或失败只落到 state.error，绝不 throw，也不注入任何配置。 */
 export async function start(engine) {
@@ -38,6 +39,20 @@ export async function start(engine) {
         else
             await load(engine);
         await publishStatus(engine);
+        // 会话启动 = 首次配置领取成功；未配凭据 / 领取失败都不是「会话起来过」。
+        // NPC 面自己的会话起点由适配器上报（带触发事实），这里只覆盖另外两个 Web 面与宿主直跑。
+        if (engine.connection() !== null &&
+            engine.state().status === 'ready' &&
+            engine.contract()?.face !== 'npc')
+            await reportEvent(engine, {
+                action: 'SESSION_START',
+                outcome: 'SUCCESS',
+                detail: {
+                    platform: engine.platform,
+                    consoleUrl: engine.connection()?.url ?? null,
+                    identity: engine.state().identity?.username ?? null,
+                },
+            });
     }
     finally {
         engine.settle();

package/lib/service/publish.js

@@ -3,6 +3,7 @@ import { SYNC_FIELD } from './settings-sections.js';
 import { SETTINGS_NAMESPACE } from './namespaces.js';
 import { aggregateHealth, healthText } from './health.js';
 import { DOMAINS } from './registry.js';
+import { reportEvent } from './audit.js';
 /** 状态 + 健康 + 工作区 tab 一次写回（权威 replace；sync 字段复位为空，无令牌比对）。 */
 export async function publishStatus(engine) {
     const settings = engine.settings();
@@ -50,6 +51,12 @@ export async function publishFailed(engine, code) {
     engine.emitConfigUpdated();
     // 失败也必须回写设置页：登录成功但同步失败时，错误码是唯一提示（客户端按 error 渲染「最近失败」）。
     await publishStatus(engine);
+    // 启动期的整体失败落一条运行面事件：判「本面起没起来」不必翻容器日志。
+    await reportEvent(engine, {
+        action: 'SESSION_FAILED',
+        outcome: 'ERROR',
+        code,
+    });
 }
 /** boot 事实 → ready 状态（技能切片取自 skills 领域；项目缓存随装配作废，由工作区同步重取）。 */
 export function appliedState(engine, boot, compiled, errorCode) {

package/lib/types/api/client.d.ts

@@ -6,6 +6,8 @@ export interface GraphqlClientOptions {
     token: string;
     /** CNB 面：环境创建者的外部用户 id（平台注入 CNB_BUILD_USER_ID），供 hub 决定读取身份。 */
     creator?: string;
+    /** 本面标识（适配器在运行面契约里盖章）：hub 审查日志据此区分来源面。 */
+    face?: string;
     fetchImpl?: typeof fetch;
 }
 export interface GraphqlRequest {

package/lib/types/api/generated/documents.d.ts

@@ -6,6 +6,8 @@ export declare const RUNTIME_SKILL_FILES_DOCUMENT = "query RuntimeSkillFiles($sk
 export declare const RUNTIME_WORKSPACE_PROJECTS_DOCUMENT = "query RuntimeWorkspaceProjects($slugs: [String!]) {\n  runtimeProjects(slugs: $slugs) {\n    id\n    slug\n    name\n    enabled\n    planModelId\n    executeModelId\n    planReasoningLevel\n    executeReasoningLevel\n  }\n}";
 /** 连接级模型密钥（连接列表变化时只刷新密钥）。 */
 export declare const RUNTIME_MODEL_CREDENTIALS_DOCUMENT = "query RuntimeModelCredentials($connectionIds: [ID!]) {\n  runtimeModelCredentials(connectionIds: $connectionIds) {\n    connectionId\n    value\n  }\n}";
+/** 运行面生命周期上报（会话启停 / 拒绝 / 交付分支与核对）：`action` 与 `outcome` 用 SDL 枚举名，失败只 warn 降级。 */
+export declare const RUNTIME_REPORT_EVENT_DOCUMENT = "mutation RuntimeReportEvent($input: RuntimeEventInput!) {\n  runtimeReportEvent(input: $input) {\n    id\n    action\n    outcome\n    code\n    occurredAt\n  }\n}";
 /** 全部操作名（契约测试用：领域声明的操作必须都在这里）。 */
-export declare const API_OPERATIONS: readonly ["RuntimeBoot", "RuntimeSkillFiles", "RuntimeWorkspaceProjects", "RuntimeModelCredentials"];
+export declare const API_OPERATIONS: readonly ["RuntimeBoot", "RuntimeSkillFiles", "RuntimeWorkspaceProjects", "RuntimeModelCredentials", "RuntimeReportEvent"];
 export type ApiOperation = (typeof API_OPERATIONS)[number];

package/lib/types/api/generated/graphql.d.ts

@@ -8,9 +8,28 @@ type Exact<T extends {
 export type Incremental<T> = T | {
     [P in keyof T]?: P extends ' $fragmentName' | '__typename' ? T[P] : never;
 };
+/** 结果：SUCCESS = 完成；DENIED = 身份 / 权限 / 来源被拒；ERROR = 领域校验或冲突失败。 */
+export type AuditOutcome = 'DENIED' | 'ERROR' | 'SUCCESS';
 export type InputModality = 'IMAGE' | 'TEXT';
 export type ModelProtocol = 'ANTHROPIC' | 'DEEPSEEK' | 'OPENAI_CHAT' | 'OPENAI_RESPONSES';
 export type ReasoningLevel = 'HIGH' | 'LOW' | 'MAX' | 'MEDIUM' | 'MINIMAL' | 'OFF' | 'XHIGH';
+/** 运行面可上报的动作：会话启停、拒绝、交付分支与交付核对。 */
+export type RuntimeEventAction = 'DELIVERY_READY' | 'DELIVERY_VERIFIED' | 'SESSION_END' | 'SESSION_FAILED' | 'SESSION_REFUSED' | 'SESSION_START';
+/**
+ * 运行面上报：只接受用户密钥身份，动作码限闭集；detail 由服务端脱敏后落库。
+ * 目标项目按 slug 解析：命中可读项目时 targetId 是项目 id，否则只留 slug 快照。
+ */
+export type RuntimeEventInput = {
+    action: RuntimeEventAction;
+    /** 原因码 / 交付状态码（例 SETUP_FAILED、delivered）。 */
+    code?: string | null | undefined;
+    detail?: unknown;
+    outcome: AuditOutcome;
+    /** 项目 slug（CNB 仓库 slug 或工作区目录名），用于把事件挂到项目上。 */
+    projectSlug?: string | null | undefined;
+    /** 目标展示名（例 `issue-12` / `PR #34`）。 */
+    targetLabel?: string | null | undefined;
+};
 /** 技能附件内容的编码：文本类用 UTF8，其余（图片 / 二进制）用 BASE64。 */
 export type SkillFileEncoding = 'BASE64' | 'UTF8';
 export type RuntimeBootQueryVariables = Exact<{
@@ -104,4 +123,16 @@ export type RuntimeModelCredentialsQuery = {
         value: string;
     }> | null;
 };
+export type RuntimeReportEventMutationVariables = Exact<{
+    input: RuntimeEventInput;
+}>;
+export type RuntimeReportEventMutation = {
+    runtimeReportEvent: {
+        id: string;
+        action: string;
+        outcome: AuditOutcome;
+        code: string | null;
+        occurredAt: string;
+    };
+};
 export {};

package/lib/types/api/generated/schema.d.ts

@@ -26,6 +26,11 @@ export type Scalars = {
         input: string;
         output: string;
     };
+    /** 自由形状的脱敏数据：仅审查日志的 detail 使用（服务端写入前已脱敏，只读不参与计算）。 */
+    JSON: {
+        input: unknown;
+        output: unknown;
+    };
 };
 export type Activation = {
     __typename?: 'Activation';
@@ -36,6 +41,88 @@ export type AddCnbUsersInput = {
     /** 要预建账户的上游成员 CNB 用户 ID；本轮上游没返回的会被跳过。 */
     externalUserIds: Array<Scalars['String']['input']>;
 };
+/** 动作码选项：筛选下拉的选项来源（服务端注册表，前端不复制）。 */
+export type AuditActionOption = {
+    __typename?: 'AuditActionOption';
+    action: Scalars['String']['output'];
+    category: AuditCategory;
+    label: Scalars['String']['output'];
+};
+/** 身份来源：会话 / 用户密钥 / 接入密钥 / 匿名（登录失败、无效密钥）。 */
+export declare enum AuditActorKind {
+    AccessKey = "ACCESS_KEY",
+    Anonymous = "ANONYMOUS",
+    Session = "SESSION",
+    UserKey = "USER_KEY"
+}
+/** 审查类别：读 / 写 / 身份凭据 / 运行面生命周期。 */
+export declare enum AuditCategory {
+    Auth = "AUTH",
+    Read = "READ",
+    Runtime = "RUNTIME",
+    Write = "WRITE"
+}
+/** 来源面：控制台 / NPC / 云开发工作站 / 容器 Web / 宿主直跑 / 未标注。 */
+export declare enum AuditChannel {
+    Console = "CONSOLE",
+    ContainerWeb = "CONTAINER_WEB",
+    Host = "HOST",
+    Npc = "NPC",
+    Unknown = "UNKNOWN",
+    Workstation = "WORKSTATION"
+}
+export type AuditEvent = {
+    __typename?: 'AuditEvent';
+    /** 动作码，例 `write.project.delete`；闭集与中文文案由服务端的注册表给出。 */
+    action: Scalars['String']['output'];
+    /** 动作码的中文文案（筛选下拉同样取自服务端，前端不复制这张表）。 */
+    actionLabel: Scalars['String']['output'];
+    actorDisplayName?: Maybe<Scalars['String']['output']>;
+    actorId?: Maybe<Scalars['ID']['output']>;
+    actorKind: AuditActorKind;
+    actorUsername?: Maybe<Scalars['String']['output']>;
+    category: AuditCategory;
+    channel: AuditChannel;
+    clientIp?: Maybe<Scalars['String']['output']>;
+    /** 领域错误码或运行面原因码；成功（或被拒且无码）时为空。 */
+    code?: Maybe<Scalars['String']['output']>;
+    /** 脱敏快照：before / after、请求元信息、原因文本等。 */
+    detail: Scalars['JSON']['output'];
+    durationMs?: Maybe<Scalars['Int']['output']>;
+    id: Scalars['ID']['output'];
+    occurredAt: Scalars['DateTime']['output'];
+    outcome: AuditOutcome;
+    targetId?: Maybe<Scalars['String']['output']>;
+    /** 目标当时的展示名（目标已删除时仍可读）。 */
+    targetLabel?: Maybe<Scalars['String']['output']>;
+    /** 目标类型，例 user / project / model / connection / skill / access-key / run。 */
+    targetType?: Maybe<Scalars['String']['output']>;
+};
+/** 筛选：各条件并列（AND）；from/to 为闭区间。 */
+export type AuditEventFilter = {
+    /** 精确匹配动作码；选项清单走 auditActionOptions。 */
+    action?: InputMaybe<Scalars['String']['input']>;
+    actorUserId?: InputMaybe<Scalars['ID']['input']>;
+    category?: InputMaybe<AuditCategory>;
+    channel?: InputMaybe<AuditChannel>;
+    from?: InputMaybe<Scalars['DateTime']['input']>;
+    outcome?: InputMaybe<AuditOutcome>;
+    targetId?: InputMaybe<Scalars['String']['input']>;
+    targetType?: InputMaybe<Scalars['String']['input']>;
+    to?: InputMaybe<Scalars['DateTime']['input']>;
+};
+export type AuditEventPage = {
+    __typename?: 'AuditEventPage';
+    items: Array<AuditEvent>;
+    /** 与本次 filter 同口径的记录总数。 */
+    total: Scalars['Int']['output'];
+};
+/** 结果：SUCCESS = 完成；DENIED = 身份 / 权限 / 来源被拒；ERROR = 领域校验或冲突失败。 */
+export declare enum AuditOutcome {
+    Denied = "DENIED",
+    Error = "ERROR",
+    Success = "SUCCESS"
+}
 /** CNB 接入密钥（Hub 生成、经 secret import 注入 CNB 环境；服务端只存摘要）。 */
 export type CnbAccessKey = {
     __typename?: 'CnbAccessKey';
@@ -87,30 +174,6 @@ export type CnbUserAddResult = {
     skipped: Scalars['Int']['output'];
     total: Scalars['Int']['output'];
 };
-/** 一次运行面配置读取的记账行：读取者就是记账者本人，没有代表关系。 */
-export type ConfigurationRead = {
-    __typename?: 'ConfigurationRead';
-    actorDisplayName?: Maybe<Scalars['String']['output']>;
-    actorId?: Maybe<Scalars['ID']['output']>;
-    actorUsername?: Maybe<Scalars['String']['output']>;
-    /** 记账码，'READ' 表示读取成功。 */
-    code: Scalars['String']['output'];
-    id: Scalars['ID']['output'];
-    readAt: Scalars['DateTime']['output'];
-};
-/** 条件：userId 匹配读取者；from/to 为闭区间。 */
-export type ConfigurationReadFilter = {
-    code?: InputMaybe<Scalars['String']['input']>;
-    from?: InputMaybe<Scalars['DateTime']['input']>;
-    to?: InputMaybe<Scalars['DateTime']['input']>;
-    userId?: InputMaybe<Scalars['ID']['input']>;
-};
-export type ConfigurationReadPage = {
-    __typename?: 'ConfigurationReadPage';
-    items: Array<ConfigurationRead>;
-    /** 与本次 filter 同口径的读取记录总数。 */
-    total: Scalars['Int']['output'];
-};
 export type CreateCnbAccessKeyInput = {
     /** 省略 = 默认名「CNB 接入密钥」。 */
     name?: InputMaybe<Scalars['String']['input']>;
@@ -284,7 +347,7 @@ export type ModelDefaultSelection = {
     reasoningLevel?: Maybe<ReasoningLevel>;
 };
 /**
- * 条件：connectionId 限定某连接的目录；protocol 按所属连接的协议过滤；
+ * 条件：connectionId 限定某连接的目录；protocol / discoveryStatus 按所属连接的协议与发现状态过滤；
  * ids 按模型 id 批查（≤100，用于显示名解析）；search 匹配显示名 / 上游 id；
  * missingOnly = 既不在上游发现也不在手工保留里；availableOnly = 连接启用 ∧ 密钥齐备 ∧ 模型启用 ∧ 存在（运行面可选池）。
  */
@@ -350,6 +413,11 @@ export type Mutation = {
     removeSkillFiles: Skill;
     /** 吊销接入密钥。 */
     revokeCnbAccessKey: Scalars['ID']['output'];
+    /**
+     * 回报一条运行面生命周期事实（会话启停 / 拒绝 / 交付分支与核对）。
+     * 上报失败不改变运行面行为：运行面按「只 warn 降级」处理，事件缺失不影响交付闭环。
+     */
+    runtimeReportEvent: AuditEvent;
     saveGlobalConfiguration: GlobalConfiguration;
     saveModel: Model;
     saveModelConnection: ModelConnection;
@@ -411,6 +479,9 @@ export type MutationRemoveSkillFilesArgs = {
 export type MutationRevokeCnbAccessKeyArgs = {
     id: Scalars['ID']['input'];
 };
+export type MutationRuntimeReportEventArgs = {
+    input: RuntimeEventInput;
+};
 export type MutationSaveGlobalConfigurationArgs = {
     input: SaveGlobalInput;
 };
@@ -535,6 +606,10 @@ export type ProjectPage = {
 };
 export type Query = {
     __typename?: 'Query';
+    /** 审查动作码清单（管理员）：筛选下拉的选项来源。 */
+    auditActionOptions: Array<AuditActionOption>;
+    /** 审查日志（管理员）：读取 / 写操作 / 身份凭据 / 运行面生命周期四类事实。 */
+    auditEvents: AuditEventPage;
     /** 该用户可用模型（连接启用 + 模型启用 + 存在性 + 密钥齐备）。 */
     availableModels: Array<Model>;
     /** 该连接的内置目录模型清单；不需要密钥，上游读不到时的出路。 */
@@ -543,7 +618,6 @@ export type Query = {
     cnbAccessKeys: Array<CnbAccessKey>;
     /** 当前登录账户自己的 CNB 连接。 */
     cnbConnection: CnbAccount;
-    configurationReads: ConfigurationReadPage;
     /** 该用户三项生效默认（web / plan / execute）；未配置或不在可用目录内为 null。 */
     effectiveModelDefaults: EffectiveModelDefaults;
     globalConfiguration: GlobalConfiguration;
@@ -608,17 +682,17 @@ export type Query = {
     users: UserPage;
     viewer: User;
 };
+export type QueryAuditEventsArgs = {
+    filter?: InputMaybe<AuditEventFilter>;
+    first?: InputMaybe<Scalars['Int']['input']>;
+    offset?: InputMaybe<Scalars['Int']['input']>;
+};
 export type QueryAvailableModelsArgs = {
     userId?: InputMaybe<Scalars['ID']['input']>;
 };
 export type QueryBuiltinModelCatalogArgs = {
     connectionId: Scalars['ID']['input'];
 };
-export type QueryConfigurationReadsArgs = {
-    filter?: InputMaybe<ConfigurationReadFilter>;
-    first?: InputMaybe<Scalars['Int']['input']>;
-    offset?: InputMaybe<Scalars['Int']['input']>;
-};
 export type QueryEffectiveModelDefaultsArgs = {
     userId?: InputMaybe<Scalars['ID']['input']>;
 };
@@ -730,6 +804,30 @@ export type RuntimeConnection = {
      */
     provider?: Maybe<Scalars['String']['output']>;
 };
+/** 运行面可上报的动作：会话启停、拒绝、交付分支与交付核对。 */
+export declare enum RuntimeEventAction {
+    DeliveryReady = "DELIVERY_READY",
+    DeliveryVerified = "DELIVERY_VERIFIED",
+    SessionEnd = "SESSION_END",
+    SessionFailed = "SESSION_FAILED",
+    SessionRefused = "SESSION_REFUSED",
+    SessionStart = "SESSION_START"
+}
+/**
+ * 运行面上报：只接受用户密钥身份，动作码限闭集；detail 由服务端脱敏后落库。
+ * 目标项目按 slug 解析：命中可读项目时 targetId 是项目 id，否则只留 slug 快照。
+ */
+export type RuntimeEventInput = {
+    action: RuntimeEventAction;
+    /** 原因码 / 交付状态码（例 SETUP_FAILED、delivered）。 */
+    code?: InputMaybe<Scalars['String']['input']>;
+    detail?: InputMaybe<Scalars['JSON']['input']>;
+    outcome: AuditOutcome;
+    /** 项目 slug（CNB 仓库 slug 或工作区目录名），用于把事件挂到项目上。 */
+    projectSlug?: InputMaybe<Scalars['String']['input']>;
+    /** 目标展示名（例 `issue-12` / `PR #34`）。 */
+    targetLabel?: InputMaybe<Scalars['String']['input']>;
+};
 /** 全局 headless 角色默认（plan / execute）；读取失败时整个块为 null。 */
 export type RuntimeHeadlessModels = {
     __typename?: 'RuntimeHeadlessModels';
@@ -967,7 +1065,7 @@ export type SkillPage = {
     /** 与本次 filter 同口径的技能总数。 */
     total: Scalars['Int']['output'];
 };
-/** 一个不可变历史快照。作者用扁平字段（同 ConfigurationRead 口径），不构造完整 User。 */
+/** 一个不可变历史快照。作者用扁平字段（同 AuditEvent 口径），不构造完整 User。 */
 export type SkillVersion = {
     __typename?: 'SkillVersion';
     archived: Scalars['Boolean']['output'];

package/lib/types/api/index.d.ts

@@ -1,4 +1,5 @@
 import type { RuntimeBootQuery, RuntimeModelCredentialsQuery, RuntimeSkillFilesQuery, RuntimeWorkspaceProjectsQuery } from './generated/graphql.js';
+import type { RuntimeReportEventMutation } from './generated/graphql.js';
 import type { ConnectionCredentials } from '../hub/credentials.js';
 import type { ConsoleLoginInput, ConsoleLoginOutcome } from './login.js';
 export type RuntimeBootFacts = {
@@ -28,11 +29,28 @@ export interface Semi2Api {
     }>;
     /** 密码登录换无会话用户密钥（密码只在本次请求内存里）。 */
     loginToConsole(input: ConsoleLoginInput): Promise<ConsoleLoginOutcome>;
+    /** 运行面生命周期上报（会话启停 / 拒绝 / 交付）；失败不改变运行面行为。 */
+    reportEvent(event: RuntimeEventReport): Promise<DomainOutcome<RuntimeReportedEvent>>;
 }
+/**
+ * 上报载荷：action / outcome 用 SDL 的枚举名（`SESSION_REFUSED` / `SUCCESS`），
+ * 与 hub 契约同名同义，两侧不各维护一张映射表。
+ */
+export interface RuntimeEventReport {
+    action: string;
+    outcome: 'SUCCESS' | 'DENIED' | 'ERROR';
+    code?: string;
+    projectSlug?: string;
+    targetLabel?: string;
+    detail?: Record<string, unknown>;
+}
+export type RuntimeReportedEvent = RuntimeReportEventMutation['runtimeReportEvent'];
 export interface Semi2ApiOptions {
     /** 当前连接凭据（编排层持有权威副本）；null = 未配置，调用会抛 MISSING_ACCESS_TOKEN。 */
     readConnection(): ConnectionCredentials | null;
     environment: NodeJS.ProcessEnv;
+    /** 本面标识（运行面契约的 face）；未解析到契约时缺省，hub 记 unknown。 */
+    readFace?: () => string | undefined;
     fetchImpl?: typeof fetch;
 }
 export declare function createSemi2Api(options: Semi2ApiOptions): Semi2Api;

package/lib/types/contract.d.ts

@@ -5,9 +5,13 @@ export interface Semi2Credentials {
 }
 /** 运行面平台：适配器声明的事实；宿主直跑（无契约）由插件判为 `host`。 */
 export type Semi2Platform = 'cnb' | 'container';
+/** 运行面标识：hub 的审查日志按它区分来源面（`host` = 无适配器的宿主直跑）。 */
+export type Semi2Face = 'npc' | 'workstation' | 'container-web' | 'host';
 export interface Semi2Runtime {
     /** 由 runtimeFrom*Env 工厂盖章（适配器不自己填）。 */
     platform: Semi2Platform;
+    /** 同上：本面是哪个运行面，hub 审查日志的来源面。 */
+    face: Semi2Face;
     /** semi2-hub 连接凭据；缺省 = 回落 dsh credentials 登录存储。 */
     credentials?: Semi2Credentials;
 }
@@ -21,8 +25,9 @@ declare module '@deepseek-ai/cordis' {
 /**
  * CNB 运行面：优先用 secret import 注入的 hub 接入密钥（`SEMI2_ACCESS_TOKEN`），
  * 缺失时才回退平台短期 `CNB_TOKEN`（插件启动时换成 hub 用户密钥）。
+ * face 由调用它的适配器给（NPC 面与云开发工作站面共用这条 env 通道）。
  */
-export declare function runtimeFromCnbEnv(env: NodeJS.ProcessEnv): Semi2Runtime;
+export declare function runtimeFromCnbEnv(env: NodeJS.ProcessEnv, face: 'npc' | 'workstation'): Semi2Runtime;
 /**
  * 容器运行面：**只盖章，不给凭据也不给身份**——本地容器靠登录（设置页账号密码换用户密钥）。
  * 契约一旦提供 `credentials`，插件的 `login()` 会以 `CREDENTIAL_SOURCE_READONLY` 拒绝登录

package/lib/types/domains/types.d.ts

@@ -71,8 +71,11 @@ export type HeadlessModelOutcome = {
     kind: 'degraded';
     role: 'plan' | 'execute';
     reason: string;
-} | {
+}
+/** code 是稳定原因码（审查日志按它筛选），reason 只作人读说明。 */
+ | {
     kind: 'refused';
+    code: string;
     reason: string;
 };
 /** 领域 id → 该领域的 peer 面（总映射，缺席靠 `| undefined` 表达）。 */

package/lib/types/index.d.ts

@@ -2,7 +2,7 @@ import type { Context } from '@deepseek-ai/cordis';
 import z from '@deepseek-ai/schemastery';
 export type { RuntimeProject, } from './hub/compile.js';
 export type { RuntimeIdentity, RuntimeSkillFact, RuntimeSkillFileContentFact, RuntimeSkillFileFact, Semi2ConfigState, } from './hub/facts.js';
-export type { ConfigStatus, Semi2Config, Semi2Health, Semi2Session, } from './service/config-service.js';
+export type { ConfigStatus, Semi2Config, Semi2Audit, Semi2Health, Semi2Session, } from './service/config-service.js';
 export type { HeadlessModelOutcome } from './domains/types.js';
 export type { Semi2Surface } from './hub/facts.js';
 export { SEMI2_RUNTIME_SERVICE, runtimeFromCnbEnv, runtimeFromContainerEnv, } from './contract.js';

package/lib/types/service/audit.d.ts

@@ -0,0 +1,6 @@
+import type { OrchestratorInternals } from './orchestrator.js';
+import type { RuntimeEventReport } from '../api/index.js';
+/** 生命周期事件：动作名与结果名都用 hub SDL 的枚举名，两侧不各维护一张映射表。 */
+export declare function reportEvent(engine: OrchestratorInternals, event: RuntimeEventReport): Promise<void>;
+/** 本面标识：契约里有就用它；宿主直跑没有契约，记 host。 */
+export declare function faceOf(engine: OrchestratorInternals): string;

package/lib/types/service/config-service.d.ts

@@ -1,5 +1,6 @@
 import type { Context } from '@deepseek-ai/cordis';
 import { type Semi2Api } from '../api/index.js';
+import type { RuntimeEventReport } from '../api/index.js';
 import type { DomainId, DomainPeers, HeadlessModelOutcome, HealthItem } from '../domains/types.js';
 import type { Semi2ConfigState, Semi2Surface } from '../hub/facts.js';
 import type { HealthContributor } from './health.js';
@@ -38,6 +39,14 @@ export interface Semi2Session {
 export interface Semi2Health {
     snapshot(): Record<string, HealthItem>;
 }
+/** 上报面（`ctx.semi2Audit`）：运行面（NPC 面）回报生命周期与交付事实，失败只 warn。 */
+export interface Semi2Audit {
+    /** 返回是否被 hub 接受；调用方只记日志，不据此改变行为。 */
+    report(event: RuntimeEventReport): Promise<{
+        ok: boolean;
+        code: string | null;
+    }>;
+}
 export interface ConfigurationOptions extends OrchestratorOptions {
     /** 测试缝：替换网络层（假件）。 */
     api?: Semi2Api;
@@ -49,6 +58,8 @@ export interface ConfigurationInstall {
     session: Semi2Session;
     /** 诊断面 → `ctx.semi2Health`。 */
     health: Semi2Health;
+    /** 上报面 → `ctx.semi2Audit`。 */
+    audit: Semi2Audit;
     /** 能力项（web 面 / CodeGraph 开关）登记健康贡献者。 */
     registerHealth(contributor: HealthContributor): void;
     /** 领域 peer 面（测试与内部接缝；运行面与领域之间经它取迟绑定事实）。 */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@fa-software/semi2-dsh",
-  "version": "0.0.11",
+  "version": "0.0.13-preview.20260921160207",
   "type": "module",
   "description": "Semi2 单插件：semi2-hub 配置引导 + 公共 Web 能力，并挂载 CodeGraph 官方 MCP 服务。",
   "main": "lib/index.js",