@furongjun1999/dsh-memory 0.5.1 → 0.6.1

package/docs/plans//350/234/202/345/267/242/346/250/241/345/236/213/345/257/206/351/222/245/351/205/215/347/275/256/351/235/242_v1.0.md

@@ -0,0 +1,385 @@
+# 蜂巢模型密钥配置面改造 v1.0
+
+> **范围**：hive 的密钥/令牌配置面——Rust 剥离面与锚密钥链、Python 执行器端点解析、serve 运维展示面、文档与示例件。
+> **缺陷号**：**N200**（缺陷台账正式编号，`docs/eval/缺陷挖掘_自主迭代_v23.md:124` 首次编号、`docs/eval/缺陷挖掘_自主迭代_v24.md:242` 复测仍成立；本批代码注释内标注为 **N190**——编号口径不一致，见 §六-5）。
+> **批次**：批次69（编排批号）；病根源头是批次65（提交 `3069d14b`）的 N185 env 剥离。
+> **一句话结论**：把「一个变量干两件事」拆成三个角色——模型密钥（普通配置、默认继承给执行器）、身份锚（独立、默认不进执行器、orchestrate 例外）、子代理覆盖（可选开关）。契约 C1–C6 全部落地；全量 python 247/247、cargo 50/50、门禁 VERDICT=PASS（均为本轮实跑，见 §四；门禁为本报告落盘前实测，落盘后的 R4 时序性见 §八-8）。**两条遗留**（MCP 面锚链副本未同步、README 计数陈旧）见 §七。
+
+---
+
+## 一、背景与病根（N200：一变量双角色）
+
+### 1.1 病根陈述
+
+`HIVE_API_KEY` 在改造前同时承担两个互不相干的角色：
+
+| 角色 | 位置 | 生效形态 |
+|---|---|---|
+| **锚密钥链尾**（结果完整性锚 P11 的密钥来源） | `hive/src/keyres.rs` 旧版链第三环 `env("HIVE_API_KEY")` | 谁配了模型密钥，谁就能签锚 |
+| **LLM 网关密钥**（执行器调 chat/completions 的凭据） | `hive/exec.py` 的 `_post_chat` | 执行器干活所必需 |
+
+缺陷台账的原始判据（`docs/eval/缺陷挖掘_自主迭代_v23.md:124-127`，F. N200，high，留档·大设计决策）：一变量双角色 = **判据面与身份面混同**——「谁有权签锚」退化为「谁能调模型」；同时批次65 的 env 剥离把该键从每个执行器子进程无条件摘掉，导致 serve 派发的全部 LLM 任务确定性失败。
+
+### 1.2 批次65 的显性回归（N185）
+
+批次65 把 `HIVE_API_KEY` 列入 `ORCH_SECRET_ENV_KEYS` 三键、每次 `spawn_executor` **无条件** `env_remove`，且只在 `spec.orchestrate` 为真时重注身份两键——`HIVE_API_KEY` **永不重注**：
+
+- 剥离面（旧）：`hive/src/exec.rs:85-86` 三键常量；`:134-135` 无条件 `env_remove`；`:137` 起仅 orchestrate 重注。
+- 后果（现码同位置仍可见该约束）：`hive/exec.py:1405-1412` 的 `_post_chat` 经 `model_endpoint()` 取键，键为空即 `RuntimeError`（`hive/exec.py:146-151`）→ 执行器在首次 API 调用前即退。
+- 台账证据（材料，非本轮实跑）：v23 复核会话 A/B 实跑——哑 dumper 作执行器经 serve 跑，落盘 env 实测**无 `HIVE_API_KEY`**；同 spec 以仓内 `exec.py` 经 serve 跑 → `state=error`、`error="RuntimeError: HIVE_API_KEY 未设置…"`；同一 spec 带哑密钥直跑 `exec.py` → 走到网络调用（两臂唯一变量即 env 剥离）。
+
+**结论**：标准部署下 serve 派发的全部 LLM 任务（`exec.py` 直路与 `orch.py` 编排路复用同一 `_post_chat`）在首次 API 调用前确定性落 error——**主能力全断，无需攻击者**。
+
+### 1.3 本机实测现状（本轮只读观察）
+
+| 观察项 | 读到的事实 | 证据 |
+|---|---|---|
+| 本机锚的实际来源 | `hive/config.local.json` 里 `HIVE_ORCH_TOKEN_FILE` 为**直值非空**、`HIVE_ORCH_TOKEN` 未设、`HIVE_API_KEY` 为 `{"env": "DEEPSEEK_API_KEY"}` ⇒ **锚链首环就命中身份令牌文件** | 逐键形态只读列举（未打印任何值） |
+| 在役 serve 是否带上批次65 剥离面 | 最近三个作业均为 LLM 任务（`model=deepseek-flash`）`state=done`、`result.json` 带 `result_anchor`，创建时间 2026-09-27 14:55–14:58；而在役 `hive/target/release/hive.exe` 的构建时间为 **2026-09-26 12:44** ⇒ **运行中的二进制尚未带上剥离面** | `hive/jobs/*/status.json`、`hive/jobs/*/result.json` 只读摘要 + 二进制 mtime |
+| 运行态 | 心跳新鲜（age ≈ 0.22s）、`workers=4`、`exec_mode=deterministic+llm` ⇒ serve 在跑，本批未动 | `hive/jobs/_serve.json` 只读 |
+
+**故本机的真实影响是「功能回归风险」而不是已发生的密钥泄露**：
+
+1. **锚泄露/混同面休眠**——锚密钥实际来自令牌文件，「链尾 = 模型密钥」这条混同路径在本机部署上根本没被用到；
+2. **功能回归尚未落地**——在役二进制仍是批次65 之前的构建（LLM 任务照常 `done`），但**下一次 `--rebuild`/重启就会把「LLM 任务全断」带上线**（v23 台账同向记载：「该回归尚未落地、下次 --rebuild/重启后落地」）。
+
+⇒ 本批的价值在于：**在该回归上线之前把契约修正掉**，而不是修一个已经发生的事故。
+
+---
+
+## 二、设计（三角色分离）
+
+### 2.1 角色表
+
+| 角色 | 键 | 是否默认进执行器 env？ | 判据/依据 |
+|---|---|---|---|
+| **模型（网关）密钥**（唯一默认项） | `HIVE_API_KEY` / `HIVE_API_BASE` | **是**（默认继承） | 普通配置：执行器调模型所必需。`hive/exec.py:92-158` 的解析段；`hive/README.md:535` |
+| **身份锚 / 身份令牌**（独立） | `HIVE_ORCH_TOKEN` / `HIVE_ORCH_TOKEN_FILE` | **否**，唯一例外 `spec.orchestrate` 真值任务条件重注 | `hive/src/exec.rs:98` 两键常量 + `:151-164`；同两键 = 锚密钥链两环 `hive/src/keyres.rs:33-52` |
+| **子代理覆盖**（可选开关） | `HIVE_SUBAGENT_API_KEY` / `HIVE_SUBAGENT_API_BASE` | 是（普通配置） | `hive/exec.py:113-125`；`hive/orch.py:516-517` 只写布尔开关 |
+
+### 2.2 三条设计决策
+
+1. **模型密钥 = 唯一默认项，默认继承给执行器**。收回批次65 对 `HIVE_API_KEY` 的剥离：它从 `ORCH_SECRET_ENV_KEYS` 出表（`hive/src/exec.rs:98`），两种任务形态一致到达执行器（`hive/src/exec.rs:130-132`、`:148-150`）。
+2. **身份锚独立且不进执行器、orchestrate 例外**。剥离判据从「键名里带不带 API/TOKEN」改为**身份**（`hive/src/exec.rs:83-97` 常量 doc 的口径陈述）：执行器持身份令牌即可对任意任务自签合法锚（keyres 不可伪造性对最暴露进程失效）、或以 serve 身份认领 principal；编排任务（执行器 = `orch.py`）需要令牌派生收窄身份（`orch.py` `load_principal` fail-closed），故按 `spec.orchestrate` 条件重注，且**重注面 = 剥离面 = 同一常量**（`hive/src/exec.rs:154-164`，杜绝两处清单分叉）。
+3. **子代理覆盖为可选开关**。spec 只承载布尔 `use_subagent_llm`，**密钥值与地址只从 serve env 读**（`hive/exec.py:92-99`、`:107-110`）——spec 会落盘、进 log/result、被编排链与读取方看见，一旦允许携带值，写 spec 者就能让执行器把任意凭据发往任意地址。半套覆盖（开关真、子代理密钥缺）= 主密钥 + 子代理网关的跨网关错配，故**整组回落主配置**（`hive/exec.py:118-125`）。
+
+### 2.3 与 v24 裁决建议的关系（必须说清的口径选择）
+
+`docs/eval/缺陷挖掘_自主迭代_v24.md:245-269`（5.1 N200 裁决建议）给出三案，推荐 **方案 A（新增专用变量 `HIVE_LLM_API_KEY` + 条件注入）**、次选 **方案 B（按需重注原键）**、不建议 **方案 C（短时作用域凭据）**。
+
+**本批既不是 A 也不是 B**，而是第三条路：**让模型密钥回到批次65 之前的地位（普通配置、默认继承），同时把它从锚链尾摘掉**（消掉双角色的另一半）。
+
+理由：① 模型密钥本来就是执行器干活的必需品，机密等级与身份锚不同——批次65 把它当身份面是判据混同；② 零新变量、零新注入判据（A 会引入「任务类型决定是否注入」的第二个判据面，B 会让剥离面按任务类型而非进程类型变化）；③ 锚链收窄为身份两环后，执行器即使持有模型密钥也**无法自签锚**——「执行器不持 serve 密钥」这一不变量收敛为「执行器不持**身份**密钥」，与 `hive/src/exec.rs:83-97` 的判据陈述一致。
+
+代价（如实）：这是**契约变更**——把「`HIVE_API_KEY` 不在执行器 env」从既有契约翻转为「必须在」。三条既有断言随之同步（§三末尾逐条列明），这是本批唯一的测试期望例外。
+
+---
+
+## 三、契约 C1–C6 逐条落地情况
+
+契约全文出自本次编排的单据（`.zcode/workflow-drafts/蜂巢模型密钥配置面改造.dwf.ts:61-66`）。每条给出落地位置（本轮读码核对的现码行号）、关键实现与结论。
+
+### C1 · Rust 剥离面收窄为身份两键 → **落地**
+
+| 项 | 现码 |
+|---|---|
+| 常量 | `hive/src/exec.rs:98` `const ORCH_SECRET_ENV_KEYS: [&str; 2] = ["HIVE_ORCH_TOKEN", "HIVE_ORCH_TOKEN_FILE"];`（旧为 `[&str; 3]` 含 `HIVE_API_KEY`） |
+| 常量 doc 改写为身份面口径 | `hive/src/exec.rs:83-97`：剥离判据是**身份**而非「键名带不带 API/TOKEN」；并写明 `HIVE_API_KEY` 是模型（网关）密钥、属普通配置、随 serve env 默认继承、既不剥离也不需条件重注 |
+| 剥离 | `hive/src/exec.rs:151-153` `for k in ORCH_SECRET_ENV_KEYS { cmd.env_remove(k) }` |
+| 条件重注 | `hive/src/exec.rs:154-164` 改为遍历**同一常量**（旧为字面两键数组）⇒ 重注面 = 剥离面由同一常量保证 |
+| spawn_executor 头注 | `hive/src/exec.rs:118-136`，末段明写 `HIVE_API_KEY` 不在剥离面、两种任务形态一致到达 |
+| 纪律核查 | 生产代码仅此一条 `const`（`grep -n "^const \|^pub const " hive/src/exec.rs hive/src/keyres.rs` 只命中 `hive/src/exec.rs:98`）；全仓 `env_remove` 仅 `hive/src/exec.rs:152` 一处（本轮实跑） |
+
+### C2 · 锚密钥链去掉 `HIVE_API_KEY` 兜底环 → **落地（复核判 partial，根因在工作区另一文件，见 §七-1）**
+
+| 项 | 现码 |
+|---|---|
+| 链收窄 | `hive/src/keyres.rs:40-42`（`HIVE_ORCH_TOKEN`）→ `:43-50`（`HIVE_ORCH_TOKEN_FILE` 读全文 strip 非空）→ `:51` `None`；全文无 `env("HIVE_API_KEY")` |
+| 头注同步 | `hive/src/keyres.rs:1-26`：去掉兜底环的理由、诚实边界「从未配身份密钥 → 锚判据整体不启用（安全方向降级，行为 = 批次53 之前的旧产物判据）」、N143 不设公开缺省常量、**同链副本必须同步**（点名 `hive/hive_mcp/mcp_server.py::_result_anchor_key`，`:24-26`） |
+| 诚实边界可见化（超出通道声明范围的 13 行，见下方注） | `hive/src/main.rs:189-206`（serve 启动 stderr 只列身份两环、写明 `HIVE_API_KEY` 非锚链兜底）；`hive/src/scheduler.rs:574-584`（`Unverifiable` 分支的 `needs_review` reason 同口径） |
+
+> 注：`main.rs` / `scheduler.rs` 两处用户可见文案不在「Rust 通道」声明的两个文件内（属同一条锚链口径的受影响处），改动为纯字符串 + 注释、零断言依赖（全仓无测试断言这两句）——复核已由独立复核员读码确认（C2 verdict ok 的 evidence 含该两处）。如需回退，回退面即这 13 行新增文本。
+
+### C3 · 执行器端点解析（含子代理覆盖）→ **落地**
+
+| 项 | 现码 |
+|---|---|
+| 解析段（新增） | `hive/exec.py:92-158`：`USE_SUBAGENT_LLM_KEY`、模块态 `_USE_SUBAGENT_LLM`、`_llm_switch`（`:107-110`，spec 唯一读取点且**只当布尔**）、`_endpoint_parts`（`:113-125`，值只取 `os.environ`）、`_missing_key_msg`（`:128-136`，点名该配的键、不含键值）、`model_base`（`:139-142`）、`model_endpoint`（`:145-151`，缺键 `RuntimeError`）、`_bind_llm_spec`（`:154-158`） |
+| 出站取值 | `hive/exec.py:1405-1422`：`api_key, api_base = model_endpoint(_USE_SUBAGENT_LLM)`（`:1412`）、URL（`:1413`）、`Authorization`（`:1419`）——`_post_chat` 内唯一取值点；签名保持 `(body, timeout)`（既有定参桩 mock 面不变，`:1408-1411` 写明理由） |
+| 两个入口绑定开关 | `hive/exec.py:1430`（`call_llm`）、`:1565`（`run_with_tools`，工具路两处 `_post_chat` 调用点共用模块态） |
+| 配对闸口径 | `hive/exec.py:1726-1733`：`model_base(spec)` 取**生效 base**（开关真且有覆盖时即子代理 base），与实际 POST 目标同口径 |
+| web_search 回落**逐字未动** | `hive/exec.py:982-988` 仍 `HIVE_WEB_SEARCH_KEY` → `HIVE_API_KEY`（`:984-985`），仅新增 `:980-981` 的「C3 有意不改本回落链」注释 |
+
+### C4 · 编排派发只写布尔开关 → **落地**
+
+- `hive/orch.py:516-517`：`if (os.environ.get("HIVE_SUBAGENT_API_KEY") or "").strip(): sub["use_subagent_llm"] = True`——紧跟 `context_budget_tokens`（`:508-510`）之后，**只写布尔**（无键值 / 无 env 名 / 无地址）；env 为假（未设、空串、纯空白）时该键**不出现**（子任务继承主配置，与历史 sub 键集逐位一致）。
+- 生效条件注释同步：`hive/orch.py:458`。
+- 写入点唯一：`grep -rn use_subagent_llm --include=*.py` 仅 `hive/orch.py:517` 一处写；读点 `hive/exec.py:99/:107/:158`。
+
+### C5 · 运维展示面与启动前置校验 → **落地**
+
+| 项 | 现码 |
+|---|---|
+| 三角色常量表 | `hive/serve_start.py:63-85`（`MODEL_KEY` / `IDENTITY_KEYS` / `SUBAGENT_KEYS` / `LLM_DISABLED_KEY` / `_ROLES` / `_ALWAYS_SHOWN` / `_WATCH_KEYS`） |
+| 掩码单点 | `hive/serve_start.py:88-103` `mask_secret`：至多 2 字符前缀（仅 `len > 4`）+ `len=N` + `sha256[:8]`；空值返回空串。全文件仅定义 + 调用点（`:232`） |
+| 角色 / 到达面 | `:107-109` `role_of`；`:112-120` `reaches_executor`（身份两键 `False`，其余 `True`） |
+| 来源三形态 | `:123-134` `_source_of`（直值 / `env:名字` / `file:路径`）；`:137-150` `_raw_config`（坏配置如实报错、不 fail fast） |
+| 判据单点 | `:154-157` `model_key_ready`；`:162-174` `llm_disabled`（真值口径沿用 `md_cg/writelimit.py:54-58` 先例）；`:178-185` `_model_key_problem`（start 与展示面**同判据同文案**） |
+| `--show-config` | `:188-259` `show_config`：`{ok, config, keys[], problems[], llm_disabled, conclusion}`，只读（无 Popen、无落盘、不探测进程），缺密钥**不拒答** |
+| 启动前置校验 | `:443-458`：在任何 Popen（`:481`）**之前**判 `_model_key_problem(merged)` 且未声明 `llm_disabled` → 返回 `ok:False` 的「启动前置校验未通过——…」；放行时回带 `llm_disabled=true` + note（`:489-502`） |
+| CLI 接线 | `:650-671`：`--show-config` 分派（`:658-659`）在 `--rebuild`/`--restart` 之前；`--status` 附同一份 `config_summary`（`:666-670`）——同一函数、无第二套判据 |
+| 既有语义未动 | `_jobs_from` / `_lifecycle_jobs` 函数体零改动（本轮读码 + 守卫 ⑥ 节） |
+
+### C6 · 文档与示例件 → **落地（复核判 partial，见 §七-3）**
+
+- `hive/README.md`：快速开始密钥装配 `:106-121`；两条拉起路径 env 口径（含裸 serve **无**前置校验）`:174-180`；spec 字段表新增 `use_subagent_llm` 行 `:278` 与「面差异」键数表述 `:281-283`；执行器契约 env 段 `:355-360`；令牌段「身份令牌的到达面」「子任务换模型凭据（可选）」`:516-529`；env 表 `:531-552`（`:535` `HIVE_API_KEY` 明写「不再作锚密钥兜底」、`:539-540` 身份两键、`:541-543` 新增子代理两键与 `HIVE_LLM_DISABLED`、`:550` `HIVE_WEB_SEARCH_KEY` 明标「回落语义不变」）；新增「密钥三角色（谁进执行器、谁是锚）」表 `:553-560` + 单命令核对段与启动前置校验说明 `:561-575`；验证章两条守卫登记 `:598-606`。
+- `hive/config.local.example.json`：`_comment` 补「下划线键被 `load_config` 跳过」（`:2`）；新增 `_note_key_roles`（`:3`）、`_note_subagent_optional`（`:6`）、`_note_llm_disabled`（`:7`）、`_note_show_config`（`:8`）、`_note_web_search_key`（`:9`）。真实键仍 5 个且原序（`HIVE_API_KEY` / `HIVE_API_BASE` / `HIVE_WEB_SEARCH_KEY` / `HIVE_EXEC_PY` / `MDCG_ROOT`），形态未动（`{"env": …}` 引用形态保留）。
+- 跳过规则一致：`hive/serve_start.py:296-298` `if k.startswith("_"): continue`（与 `_comment` 自述一致）。
+
+### 3.1 契约同步改动的既有断言（本批唯一允许的「改测试」例外，逐条列明）
+
+| # | 文件:行（现码） | 旧断言 | 现断言 | 为什么必须改 |
+|---|---|---|---|---|
+| 1 | `hive/src/exec.rs:282-286` | `assert!(env_of(&dump, "HIVE_API_KEY").is_none())` | `assert_eq!(env_of(&dump, "HIVE_API_KEY"), Some("\"DUMMY-N185-APIKEY\""), "模型密钥未到达执行器…")` | 旧断言把「`HIVE_API_KEY` 不在执行器 env」固化为契约；C1 已明文废除该行为，保留即与 C1 直接矛盾（契约翻转，不是放宽） |
+| 2 | `hive/src/exec.rs:298-320`（orchestrate 用例同类断言） | 同上（orchestrate 任务下 `HIVE_API_KEY` 被剥离） | 翻转为「必须到达」`Some("\"DUMMY-N185-APIKEY\"")` | 同上；且编排器派发的子任务是普通任务，剥离主键只会打断编排 |
+| 3 | `hive/src/keyres.rs:64-121` `env_chain_priority` | `assert_eq!(resolve_key_from_env().as_deref(), Some("api-fallback"))`（`HIVE_API_KEY` 兜底） | 身份两环皆缺 → `assert_eq!(resolve_key_from_env(), None, "身份两环皆缺时 HIVE_API_KEY 不得兜底…")`（`:91-95`），并新增令牌文件不可读/内容空白两条不回落断言（`:102-107`） | C2 已把兜底环删除，旧断言断言的正是本批废除的行为 |
+
+附带（**不改断言强度**）：
+- 两个测试函数因语义变化**改名**：`hive/src/exec.rs:262` `env_secrets_stripped_from_plain_executor` → `identity_secrets_stripped_from_plain_executor`；`:298` `orchestrate_executor_gets_identity_token_not_api_key` → `orchestrate_executor_gets_identity_token_and_model_key`（旧名含「not_api_key」在新契约下是假陈述）。
+- 模块名 `env_secrets_tests` 与 `ENV_TEST_LOCK` **未动**（跨文件引用：`hive/src/keyres.rs:66`）。
+- `hive/test_serve_entry.py`：⑧ 用例新增环境装配 `with mock.patch.dict(os.environ, {"HIVE_API_KEY": "DUMMY-KEY-c5-precheck-not-a-credential"})`（`:258-262`）+ 文件头新增 `from unittest import mock`（`:43`）——**只补环境装配**，⑧a/⑧b 的断言文本、期望值、判据一字未动（本轮 git diff 复核：该文件仅 10 增 1 删，无断言行变动）。
+
+---
+
+## 四、验证
+
+### 4.1 本轮实跑的命令与结果（原样）
+
+| # | 命令 | 结果 |
+|---|---|---|
+| 1 | `python -X utf8 scripts/run_tests.py --jobs 4` | `===== SUMMARY 247/247 通过，5 跳过（依赖缺失/平台不符） =====`，退出码 **0**；其中 `PASS hive.test_llm_key_resolution`、`PASS hive.test_serve_show_config`、`PASS hive.test_serve_entry` 均在列 |
+| 2 | `cd hive && cargo test` | `test result: ok. 33 passed; 0 failed`（lib）/ `ok. 9 passed; 0 failed`（main）/ `ok. 8 passed; 0 failed`（`tests/judgment_surface.rs`，含 `result_anchor_gate`、`anchor_e2e_done_with_echo_executor`）/ `0 passed`（Doc-tests），**EXIT=0**；2 条 warning 为既有（`judgment_surface.rs` unused variable `id_tag` / `da`，该文件本批零改动——`git status --porcelain` 未列该文件） |
+| 3 | `npm run gate` | **VERDICT=PASS**，EXIT=0（**本报告落盘前**实测；含本报告这一新增未追踪件后的复跑结果见 §八-8）；其中 `[PASS] R1 凭据/密钥面；文件面=0 内容面=0`、`[PASS] R2`、`[PASS] R3`、`[PASS] R4 非追踪件面；非追踪=28，允许=28`、`[PASS] R5`、`[PASS] R6`、`[OK  ] 工作区索引与仓库一致（顶层目录 20 · 追踪 2037 件）` |
+| 4 | `python -X utf8 scripts/run_tests.py hive --jobs 4` | `===== SUMMARY 21/21 通过，0 跳过 =====` |
+| 5 | `python -X utf8 -m hive.test_llm_key_resolution` | `结果: 22 pass / 0 fail`，rc=0（逐条 `[ok]` 计 22 条） |
+| 6 | `python -X utf8 -m hive.test_serve_show_config` | `ALL OK: serve 配置展示面与启动前置校验守卫全绿`（逐条 `OK` 计 53 条），rc=0 |
+| 7 | `python -X utf8 -m hive.test_serve_entry` | `ALL OK: serve 入口口径守卫全绿`（逐条 `OK` 计 53 条），rc=0 |
+| 8 | `python -X utf8 test/hive_exec_test.py` | `6/6 全绿` |
+| 9 | 端到端只读展示面（系统临时目录 + 哑值）<br>`python -X utf8 serve_start.py --config <临时>/config.json --show-config` | RC=0、`ok=True`、`conclusion=可拉起（模型密钥就绪）`；逐键 role / `reaches_executor` 正确（`HIVE_ORCH_TOKEN`、`HIVE_ORCH_TOKEN_FILE` → `身份令牌`/`身份锚`、`reach=False` 且 note 含「仅 spec.orchestrate 任务条件重注」；`HIVE_API_KEY` → `模型密钥`、`reach=True`；子代理两键 → `子代理覆盖`）；掩码形如 `du***len=31/sha256:…`；**三枚哑值明文在整份 stdout 中零命中**（`PLAINTEXT_HITS= []`）；临时目录测毕删除（复查不存在） |
+
+### 4.2 红转绿证据
+
+| 面 | 红（旧码 + 新断言） | 绿（新码 + 新断言） | 谁跑 |
+|---|---|---|---|
+| Rust C1/C2（3 条翻转断言） | 临时副本 `cargo test --lib` → `FAILED. 30 passed; 3 failed`，失败者正是三条翻转断言（错误文案：模型密钥未到达执行器 / 未到达编排器 / 身份两环皆缺时 `HIVE_API_KEY` 不得兜底） | `33 passed; 0 failed`；全量 `cargo test` 50/0 | 红= **Rust 通道（材料，临时副本，本轮我未复跑）**；绿= Rust 通道 + **本轮复跑**（4.1-#2） |
+| 执行器守卫 `hive/test_llm_key_resolution.py`（新增 22 条） | **本轮复跑**：`git show HEAD:hive/exec.py`、`orch.py` 拷入 `mktemp -d` 后同命令传该目录 → `结果: 15 pass / 7 fail`、rc=**1**；失败项含 `G1 工具路开关为真 → 同样用子代理密钥与 base`（实际用了主键）、`H1 编排者 env 有子代理键 → sub.use_subagent_llm is True（布尔）`（`键值类型=NoneType`） | `22 pass / 0 fail`、rc=0 | 红+绿 = **本轮复跑**（红基线临时目录已 `rm -rf`，复查不存在） |
+| 运维守卫 `hive/test_serve_show_config.py`（新增 53 条） | 旧码整面不存在：`AttributeError: module 'hive.serve_start' has no attribute 'mask_secret'`、`OK=0/FAIL=2`；行为探针：旧 `start()` 在缺模型密钥配置下**照常调用 Popen**（`popen_called=True`），`--show-config` 未分派、`--status` 无 `config_summary` | `53/53`、rc=0 | 红= ops 通道（材料，沙箱）；绿= **本轮复跑**（4.1-#6） |
+
+### 4.3 独立复核结论（材料转述 + 本轮读码/实跑确认）
+
+| 契约 | 复核 verdict | 本轮我的核对 |
+|---|---|---|
+| C1 | **ok** | 读码核对 `hive/src/exec.rs:98/:151-153/:154-164`；`cargo test` 绿（4.1-#2）；`^const ` 扫描仅 1 条、`env_remove` 仅 1 处（§三 C1 表） |
+| C2 | **partial** | 链已收窄（`:33-52`）、头注含诚实边界与「同链副本」点名；判 partial 的唯一原因是**同链 Python 副本未同步**——我确认 `hive/hive_mcp/mcp_server.py:269` 仍为三键含 `HIVE_API_KEY`、`:285-292` 按三键取首个非空、`:312`/`:325-327` 据此写 `result_nonce`（见 §七-1） |
+| C3 | **ok** | 取值口单点 `hive/exec.py:1412`、`Authorization` `:1419`；开关只当布尔 `:107-110`；web_search 回落未动 `:982-988`；守卫 22/0（本轮复跑） |
+| C4 | **ok** | `hive/orch.py:516-517` 只写布尔；写点唯一（grep） |
+| C5 | **ok** | 掩码单点 `:88-103`；门槛在任何 Popen 之前 `:443-458` vs `:481`；`--show-config` 分派 `:658-659`；守卫 53/0（本轮复跑）+ 本轮端到端只读实跑（4.1-#9） |
+| C6 | **partial** | 文档条目逐条在位并与实现相符（本轮读码）；判 partial 的两点为 ① 锚链「同链」措辞与工作区实况的张力（同 C2 根因）② README 计数陈旧（§七-3） |
+
+复核会话另做的两项**对抗性核实**（材料）：① `exec.py` 的密钥/base 不会从 spec 取值（读码逐处取值来源 + 实跑：spec 内塞 `api_key`/`api_base`/`use_subagent_llm` 为 dict 形态均被忽略）；② `serve_start` 掩码在哑值下不输出明文（实跑）。①由守卫 F1/F2 固化，我本轮复跑守卫（22/0）覆盖；②我本轮端到端实跑独立复现（哑值明文零命中）。
+
+---
+
+## 五、验收步骤（用户怎么验）
+
+### 5.1 只读看配置：`--show-config` 看什么
+
+```cmd
+:: 在 hive 目录下（或给 --config 指向你的配置）
+python serve_start.py --show-config
+python serve_start.py --status          :: 心跳 + 任务统计 + 同一份 config_summary
+```
+
+四栏读法：
+
+1. **`source`**——确认密钥来源是你预期的形态：`直值` / `env:<系统变量名>` / `file:<路径>`。若你期望引系统变量却看到「直值」，说明密钥被写死在配置文件里了。
+2. **`masked`**——形式为「少量前缀 + `len=N` + `sha256:<8位指纹>`」，用来比对「是不是我期望的那把 key / 有没有被换过」。**任何情况下都不出明文**（这是单点函数 `hive/serve_start.py:88-103` 的承诺）。
+3. **`role` 与 `reaches_executor`**——本次改造的核心验收点：
+   - `HIVE_ORCH_TOKEN` / `HIVE_ORCH_TOKEN_FILE` 必须是 `身份令牌` / `身份锚` 且 `reaches_executor=False`（note 会写「仅 spec.orchestrate 任务条件重注」）；
+   - `HIVE_API_KEY` 必须是 `模型密钥` 且 `reaches_executor=True`（模型密钥是执行器干活的必需品）；
+   - `HIVE_SUBAGENT_API_KEY` / `_BASE` 为 `子代理覆盖`（可选，未设也逐键列出并标 `empty`）。
+4. **`problems` 与 `conclusion`**——缺模型密钥时会点名该配哪个键（并给出 `{"HIVE_API_KEY": {"env": "DEEPSEEK_API_KEY"}}` 这样的示例形态）或提示声明 `HIVE_LLM_DISABLED`；身份面两键皆缺时会提示「锚判据整体不启用（安全方向降级，行为=旧产物判据）」。
+
+注意语义：`ok` 的含义是「**这份配置能拉起 serve 吗**」，故缺密钥时 `--show-config` 仍输出完整 JSON，但 `ok=false` 且 CLI 退出码为 **1**（沿用 `emit` 的既有 0/1 口径）——它是诊断面，不是失败。`--show-config` / `--status` 属只读动作：不改 env、不落盘、不探测/拉起任何进程。
+
+### 5.2 何时生效（关键）
+
+| 改动面 | 生效时机 | 依据 |
+|---|---|---|
+| **C1/C2（Rust 二进制行为：剥离面、锚密钥链）** | **必须重编译 + 重启**：`python serve_start.py --rebuild`（= stop → `cargo build --release` → start） | `hive/serve_start.py:564-571` 注释与实测记录：Windows 会锁住运行中的 `hive.exe`，`--restart` 的 stop→start 中间插不进 build，等于「重启了个旧二进制」；`--rebuild` 把三步合成原子序且 build 失败保持停止态 |
+| C3/C4（`exec.py` / `orch.py`） | 新提交的任务即用盘上最新脚本（执行器**每任务新起进程**：`hive/src/scheduler.rs:454` → `hive/src/exec.rs:137-170`，argv=`[python, exec_py, dir]`）；但**依赖 env 的部分**（`HIVE_API_KEY` / `HIVE_SUBAGENT_*`）由 serve 启动时固化（`hive/serve_start.py:481-485` `env=merged`）⇒ 改 `config.local.json` 后须 `--restart` / `--rebuild` 才进入 serve env | 读码（两条均在位） |
+| C5（`serve_start.py`） | CLI 每次运行即用最新脚本；**启动前置校验在下次 `start`/`--restart`/`--rebuild` 时生效** | `hive/serve_start.py:443-458`、`:650-671` |
+| C6（文档/示例件） | 即读即新 | — |
+
+**推荐验收序列**：① `--show-config` 确认三角色来源与到达面 → ② `python serve_start.py --rebuild` → ③ 提交一个最小 LLM 任务（`hive submit`，或任一既有派发入口），确认 `state=done` 且 `result.json` 带 `result_anchor`（本机锚来自 `HIVE_ORCH_TOKEN_FILE`，锚判据应处于**启用**态）→ ④ 再 `--status` 看配置摘要与任务统计。
+
+### 5.3 关于在役 serve
+
+本次交付**未触碰运行态**（§八）。在役二进制若尚未带上批次65 剥离面（§1.3 判定为「尚未带上」），`--rebuild` 会在生效新契约的同时把该回归一并修掉——这是本次交付的目标，不会引入新回归。是否现在 rebuild 由用户决定。
+
+---
+
+## 六、待用户复核项
+
+1. **`HIVE_LLM_DISABLED` 命名**（新增键）。语义：显式声明「本部署不跑 LLM」，作为启动前置校验的逃生门（只跑确定性任务的部署用它放行）。真值口径沿用仓内先例（`md_cg/writelimit.py:54-58`：去空白后非空且小写不在 `{"0","false","no"}`，见 `hive/serve_start.py:160-174`）。改名的同步面：`hive/serve_start.py:70`、`hive/README.md:543`、`hive/config.local.example.json:7`、守卫 `hive/test_serve_show_config.py` ④ 节。备选：`HIVE_NO_LLM` / `HIVE_DETERMINISTIC_ONLY`。
+2. **`HIVE_SUBAGENT_API_KEY` / `HIVE_SUBAGENT_API_BASE` 命名**。「子代理」在本仓指 **orch 派发的子任务**（子 job），与「主代理/子代理记忆架构」文档里的角色不完全是同一所指；若担心歧义可改 `HIVE_SUBTASK_*`。同步面：`hive/exec.py:98` 的注释段、`hive/orch.py:511-517`、`hive/serve_start.py:69`、README 与 example json、守卫。
+3. **是否还要 spec 级显式声明**。现状：C4 由 `orch.py` 按 serve env **自动**写布尔 `use_subagent_llm`（子任务无需显式声明）；而 MCP 面 `SPAWN_ALLOWED_KEYS`（`hive/hive_mcp/mcp_server.py:418-423`，15 键）**不含**该键 ⇒ MCP 外部调用者目前**无法**显式声明子代理覆盖（只能由父任务经 orch 自动派生）。若需要这一面，两处需一并开：MCP 白名单 + README「面差异」表述（`hive/README.md:281-283`）。
+4. **契约选择本身**（§2.3）。本批未采纳 v24 5.1 推荐的方案 A（新增 `HIVE_LLM_API_KEY` + 条件注入），而采纳「收回批次65 剥离 + 锚链去兜底」。若用户倾向方案 A：本批改动是它的互补前件（锚链与剥离面已收敛到身份面），但需再加新变量与「何时注入」的判据（v24 5.1 的拍板点 ①②③ 依旧存在）。
+5. **编号口径**。代码/注释/守卫把本批标注为 **N190**，而缺陷台账的正式编号是 **N200**（`docs/eval/缺陷挖掘_自主迭代_v23.md:124` 首次编号，v24 复测仍成立）。建议归一（报告员未代改源码注释）。
+6. **`--show-config` 缺密钥时的退出码语义**。现为 `ok=false` + 退出码 1。若希望「只读面恒退出 0」需改判据（属语义选择，实施通道已书面提出）。
+7. **MCP 面锚链副本**（§七-1）。修法明确（把 `_RESULT_KEY_KEYS` 收窄为身份两键），但该文件不在本批四通道任何文件清单内，需指派。
+
+---
+
+## 七、未覆盖面与已知边界
+
+1. **【跨面未落地项·建议单列修复】`hive/hive_mcp/mcp_server.py` 的锚链副本未同步**。现码：`:269` `_RESULT_KEY_KEYS = ("HIVE_ORCH_TOKEN", "HIVE_ORCH_TOKEN_FILE", "HIVE_API_KEY")`（仍含兜底环，其 docstring `:274-278` 却自称「与 rust keyres::resolve_key_from_env 同链…勿再分叉」）、`:285-292` 按三键取首个非空、`:312` 与 `:325-327` 据此写 `result_nonce`。C2 落地后 Rust 侧只剩身份两环 ⇒ **提交面与 serve 面判据分叉**：仅配 `HIVE_API_KEY` 的部署，MCP 提交的任务声明锚预期（带 `result_nonce`），而 serve 侧 `resolve_key_from_env()=None` → `hive/src/scheduler.rs:574-584` 判 `Unverifiable` → 落 `needs_review`（即「提交侧在签发、校验侧已无密钥」）。`hive/src/keyres.rs:24-26` 已书面点名该副本必须同步。**本机不受影响**（锚在令牌文件，链首环即命中），但这是同一判据面的真实分叉。
+2. **MCP 面无法声明 `use_subagent_llm`**（同 §六-3）。
+3. **README 计数陈旧（非本批引入，本批未刷新）**：`hive/README.md:579` 写「`cargo test`：22 项全绿（lib 17 + main 5）」，本轮实测 **50 通过**（lib 33 + main 9 + `tests/judgment_surface.rs` 8）；`:582` 写「`test_serve_entry.py`：38 项全绿」，本轮实测 **53 项**；`:604-606` 登记了 `hive/test_serve_show_config.py` 但未写条数（实测 53）。刷新成本极低，但涉及本批同步改动过的两个守卫，需用户/编排确认口径后改。
+4. **`md_cg/units.py` 的 `autostart_serve` 是 serve 拉起形态的零依赖复制件，不带 C5 的前置校验**（材料自陈属复制契约内的诚实边界）⇒ 经该路径拉起不会因缺模型密钥被拦。
+5. **未跑（如实）**：
+   - **真实 serve 端到端（rebuild 后提交 LLM 任务实测）**——纪律禁止 rebuild/restart 在役 serve，故本批只到「代码绿 + 守卫绿 + 只读展示面实跑」；
+   - **真实网关调用、真实令牌库**（全批实验只用哑值 + 系统临时目录）；
+   - **Rust 红基线**未由我复跑（避免与并行通道争用 `hive/target`），我复跑的是绿态 `cargo test` 50/0；
+   - **TS 面 `npm test` / `tsc`**（`src/` 本批零改动）；
+   - **掩码「无明文」的形式化证明**（只做了哑值反查，非穷举）。
+6. **掩码比契约更严**：`--show-config` 对**所有**键一视同仁掩码（含 `HIVE_API_BASE`、`HIVE_JOBS_DIR` 等非密钥键）⇒ 运维看不到 base 全文，只能比对指纹。这是有意的最严口径（契约只要求「绝不输出完整值」）。
+7. **不在本批覆盖面内**：密钥轮换/吊销面、网关侧限流、短时作用域凭据（v24 5.1 方案 C）、锚判据在「零身份密钥」部署下的端到端行为实测（诚实边界已在 `hive/src/keyres.rs:15-19` 声明：判据整体不启用、行为=旧产物判据、不静默）。
+
+---
+
+## 八、纪律合规声明
+
+1. **实验环境红线**：所有实验只在**系统临时目录 + 哑值**（哑密钥 / 哑令牌 / 哑 base，哨兵域名 `*.invalid`）进行；**未触真实令牌库、未触在役数据目录、未触 DSH 探针节点、未启动/未探测任何真实 serve、未出网**（HTTP 全程桩驱动）。
+2. **零明文**：本报告**不含任何真实密钥/令牌/PII**——哑值一律以类别名（`DUMMY-*`）或占位符（`<路径>`、`<orch.token 路径>`）表述。本轮 `--show-config` 实跑后做明文反查：三枚哑值在整份 stdout 中**零命中**。报告与代码注释**不写本机绝对路径**（盘符 / 用户目录 / 临时目录一律中性表述）。
+3. **未 git commit**（按纪律由编排会话负责提交）；本批只改代码、测试与文档。
+4. **未 rebuild / restart / stop 任何 serve**：只跑 `cargo test`（dev profile，不产 release 二进制）与 python 侧只读动作。在役 serve 仍活（心跳 age ≈ 0.22s、workers=4、exec_mode=deterministic+llm）；我**仅只读**其心跳与最近三个作业的 status/result 摘要（用途：§1.3 的现状判定），未写、未停、未重启。
+5. **测试期望**：本批唯一例外已在 §3.1 逐条列明（Rust 三条既有断言因契约翻转必须同步 + 两个测试函数改名（不改断言强度）+ `hive/test_serve_entry.py` ⑧ 的环境装配补齐（断言文本/期望值未动，已由 git diff 复核）。除此之外未改任何测试期望。
+6. **实验清理**：本轮自建临时目录均在同一命令内删除并复查（`cleaned=YES`）；全盘复查 `n185-*` / `n190-*` 遗留**零命中**。
+7. **本轮我实际执行的检查**：见 §4.1 的九条（python 全量 247/247、cargo test 50/50、`npm run gate` VERDICT=PASS、hive 组 21/21、三守卫计数、`test/hive_exec_test.py` 6/6、执行器守卫红基线复跑、`--show-config` 端到端只读实跑）+ §4.3 的读码核对（含 `mcp_server.py` 副本、`SPAWN_ALLOWED_KEYS`、README 计数）。**凡材料转述而未由我本轮实跑者，§4 已逐处标注来源**。
+8. **门禁时序性（如实，实测非推测）**：
+   - **落盘前**（本批交付状态）：`npm run gate` → `VERDICT=PASS`、EXIT=0（§4.1-#3）。
+   - **落盘后**（含本报告这一新增未追踪件的状态，本轮实跑）：`npm run gate` → `VERDICT=FAIL`、**EXIT=1**；唯一命中为 `[FAIL] R4 非追踪件面 命中=1；非追踪=29，允许=28` → `- docs/plans/蜂巢模型密钥配置面_v1.0.md`，其余 `R1 文件面=0 内容面=0` / `R2` / `R3` / `R5` / `R6` **全 PASS**。
+   - 原因：R4 判据为「`npm pack` 清单内非追踪件只允许 `lib/`」（`scripts/check_publish_artifact.py:537-541`、`:602-604`），本报告属 `docs/` 面新增未追踪件 ⇒ **属未追踪新件的时序性**，不是规则内容红；`git add` 入库后该件转为追踪件，R4 计数回到 28/28 即自愈。编排会话提交后请重跑门禁确认。
+
+---
+
+## 九、自查双清单
+
+### 清单 A · 引证复核（报告中每条关键结论 ↔ 我本轮读到/跑到的证据）
+
+| 结论 | 证据（path:line / 命令） | 类型 |
+|---|---|---|
+| C1 常量收为两键、重注面=剥离面同一常量 | `hive/src/exec.rs:98`、`:151-153`、`:154-164` | 读码 |
+| C1 无新增公开缺省密钥常量 | `grep -n "^const \|^pub const " hive/src/exec.rs hive/src/keyres.rs` → 仅 `:98` 一条；`grep -rn env_remove hive/src/*.rs` → 仅 `:152` | 实跑 |
+| C2 链只剩两环 + None、无 `env("HIVE_API_KEY")` | `hive/src/keyres.rs:40-42`、`:43-50`、`:51` | 读码 |
+| C2 诚实边界与「同链副本」点名 | `hive/src/keyres.rs:15-19`、`:24-26` | 读码 |
+| C2 用户可见文案同步（超通道声明 13 行） | `hive/src/main.rs:189-206`、`hive/src/scheduler.rs:574-584` | 读码 |
+| C3 值只来自 env、spec 只当布尔 | `hive/exec.py:107-110`、`:113-125`；出站 `:1412-1419`；守卫 F1/F2 实跑绿 | 读码 + 实跑 |
+| C3 web_search 回落逐字未动 | `hive/exec.py:980-988` | 读码 |
+| C4 只写布尔、写点唯一 | `hive/orch.py:516-517`；`grep -rn use_subagent_llm --include=*.py` → 写点仅 `:517` | 读码 + 实跑 |
+| C5 掩码单点、门槛在 Popen 之前 | `hive/serve_start.py:88-103`、`:443-458` vs `:481`、`:658-659`、`:666-670` | 读码 |
+| C5 展示面与守卫全绿 | `python -X utf8 -m hive.test_serve_show_config` → 53 OK；端到端 `--show-config` 实跑 RC=0、明文零命中 | 实跑 |
+| C6 文档条目在位 | `hive/README.md:106-121/:174-180/:278/:281-283/:355-360/:516-529/:531-560/:562-575/:598-606`；`hive/config.local.example.json:2-9` | 读码 |
+| 三条既有断言同步（契约翻转） | `hive/src/exec.rs:282-286`、`:298-320`、`hive/src/keyres.rs:64-121` | 读码 |
+| `test_serve_entry.py` 只补环境装配 | `git diff hive/test_serve_entry.py`（10 增 1 删，无断言行变动） | 实跑 |
+| 全量 python / cargo / 门禁 / hive 组 | §4.1-#1/#2/#3/#4（247/247、50/50、PASS、21/21） | 实跑 |
+| 执行器守卫红→绿 | §4.2 第 2 行（15/7 rc=1 → 22/0 rc=0） | 实跑 |
+| 本机锚在令牌文件、在役二进制未带剥离面 | `hive/config.local.json` 逐键形态（只读列举）；`hive/jobs/*/status.json`+`result.json`（三作业 LLM done、带 `result_anchor`）+ `hive/target/release/hive.exe` mtime 2026-09-26 12:44 | 实跑（只读） |
+| MCP 面锚链副本未同步、白名单无该键 | `hive/hive_mcp/mcp_server.py:269`、`:285-292`、`:312`、`:325-327`、`:418-423` | 读码 |
+| README 计数陈旧 | `hive/README.md:579`、`:582` vs 实测 50 / 53 | 读码 + 实跑 |
+| N200 编号与病根 | `docs/eval/缺陷挖掘_自主迭代_v23.md:124-127`、`docs/eval/缺陷挖掘_自主迭代_v24.md:242/:245-269` | 材料（台账） |
+
+### 清单 B · 纪律合规自查
+
+| 条目 | 自查结论 | 证据 |
+|---|---|---|
+| 查文件前先读 `WORKSPACE_INDEX.md` 按职责定位（未做全盘浏览） | **是** | 首读 `WORKSPACE_INDEX.md`；文档归域按 `docs/README.md`（`plans/` = 计划/规格） |
+| 结论均引 `path:line` 与实测输出 | **是** | 清单 A 全覆盖；材料转述处均标「材料」 |
+| 未实跑的检查未报告为通过 | **是** | §4.2/§4.3 逐处标注「谁跑」；§七-5 列未跑项（真实 serve E2E、真实网关、Rust 红基线、TS 面） |
+| 实验仅在系统临时目录 + 哑值；不触真实令牌库/在役数据目录/真实 serve/DSH 节点 | **是** | 全部临时目录 + `*.invalid` 哨兵；在役 serve 仅只读心跳摘要 |
+| 不打印密钥明文（代码/日志/测试输出/报告） | **是** | 哑值反查零命中；报告无真实凭据；`--show-config` 输出掩码 |
+| 报告与注释不写本机绝对路径 | **是** | 盘符/用户目录/临时目录一律中性表述 |
+| 未 `git commit` | **是** | 本轮只有文件写入，无 git 写操作 |
+| 未 rebuild / restart 在役 serve | **是** | 只跑 `cargo test`（dev）与只读 python 动作；心跳仍新鲜 |
+| 未改测试期望（除已列明的契约同步项） | **是** | §3.1 三条 + 两处改名 + `test_serve_entry.py` 环境装配（断言未动） |
+| 实验后清理 | **是** | 自建临时目录 `cleaned=YES`；`n185-*`/`n190-*` 零命中 |
+| 输出中文 | **是** | 本报告 |
+| 无法满足处明确说出（不绕过/不伪造） | **是** | §六 七项待复核 + §七 七项边界；门禁时序性见 §八-8 |
+
+---
+
+## 附：编排侧收尾（C2 同源链同步）
+
+本节是 **C2 的同源链收尾（C2b）**：§六-7 与 §七-1 点名「MCP 面锚链副本未同步、需指派」的那件，本轮由编排侧实施。以下结论均引 `path:line` 与本轮实跑输出；前文结论一字未改，本节只补落地、守卫与回归。
+
+### 附-1 缺口（读码实测）
+
+| 项 | 修补前现码 |
+|---|---|
+| 键集 | `hive/hive_mcp/mcp_server.py:269`（HEAD 版）`_RESULT_KEY_KEYS = ("HIVE_ORCH_TOKEN", "HIVE_ORCH_TOKEN_FILE", "HIVE_API_KEY")`——三键含**模型网关密钥** |
+| 文案 | 同文件 HEAD 版 `:272` 生效条件注仍是「三键按序首个非空字符串胜出」；`:274-278` docstring 自述「与 rust keyres::resolve_key_from_env 同链…勿再分叉」却无 N190 收窄 |
+| Rust 对照 | `hive/src/keyres.rs:33-52` 已是身份两环（`env("HIVE_ORCH_TOKEN")` → `env("HIVE_ORCH_TOKEN_FILE")` 读文件 → `None`），`:24-26` 头注明写「同链副本必须同步」 |
+| 服务端同判据的提交面 | `hive/src/main.rs:323-324`：Rust 提交面 nonce 由 `resolve_key_from_env()`（两环）决定 ⇒ 与 Python 提交面（三键）**同一决策点、两套键集** |
+
+### 附-2 后果（读码所得，逐条核对成立）
+
+只配 `HIVE_API_KEY` 的部署：Python 提交面 `_result_anchor_key()` 非 None（`_submit` 的 `is not None` 判据）⇒ `status.json` 写入 `result_nonce`（任务声明「有锚预期」）；而 Rust serve 侧 `resolve_key_from_env()` 为 None ⇒ 不注入 `HIVE_RESULT_ANCHOR`（`hive/src/scheduler.rs:758-767`；执行器契约 `hive/src/exec.rs:166`）、`classify_result` 锚校验面不启用（`hive/src/scheduler.rs:550`）⇒ **提交侧在签发、校验侧已无密钥**，任务落 `AnchorVerdict::Unverifiable` 分支（`hive/src/scheduler.rs:574`、`:641`）。
+
+另发现**同族第二处**（红基线抓到，非推理）：env 形态的 `HIVE_ORCH_TOKEN_FILE` 在旧实现里被 env 环直接 `return` 其**路径串**，其下「读文件全文 strip」段（HEAD 版 `:293-302`）**不可达**——与 Rust「该键是路径、读文件、不可读即 None」（`hive/src/keyres.rs:43-50`）判据分叉。
+
+### 附-3 修补（键集 + 环归属 + 文案）
+
+1. 键集收窄：`hive/hive_mcp/mcp_server.py:274` → `_RESULT_KEY_KEYS = ("HIVE_ORCH_TOKEN", "HIVE_ORCH_TOKEN_FILE")`。
+2. 环归属：新增 `:279` `_ENV_DIRECT_KEYS = ("HIVE_ORCH_TOKEN",)`——env 直值环只吃「值本身即密钥」的键 ⇒ `:309-317` 的文件环（读全文 strip）不再是死代码；旧码按 `_RESULT_KEY_KEYS` 顺序把路径串当密钥返回。
+3. 文案口径：`:265-273` 注释、`:282` 生效条件注、`:284-294` docstring 全部改为身份两环口径——保留「与 rust keyres::resolve_key_from_env 同链（勿再分叉第二套解析）」并补「（N190：模型密钥不再兜底）」。
+
+**读序逐位未动**：config 键按序（`{"file":…}` 由 `load_config` 解析）→ 进程 env 直值环按序 → env `HIVE_ORCH_TOKEN_FILE` 读文件（`:300-318`）；config 优先仍属 serve_start 合并语义。
+**`_submit` 逐位未动**：nonce 决策点 `:328`（`is not None`）、status 字段集与「无密钥 → 旧格式」回退语义不变。
+
+**诚实边界（如实点名，本批未动）**：config 形态的 `HIVE_ORCH_TOKEN_FILE` 按**直值**采信（部署实况 config 里就写路径串）——判据面只问「锚是否启用」，与 serve 侧读文件后的非空判定同结论，**仅当该路径不可读时两面分叉**；env 形态已按 Rust 语义读文件（两侧由守卫 C 组冻结）。
+
+### 附-4 守卫与红转绿两态实测
+
+新增 `hive/test_result_anchor_chain.py`（18 项；哑值 + 系统临时目录 + 临时「假仓」，不改工作区文件、不读写真 config / 真令牌库 / 真 jobs 池、不落真仓 `__pycache__`；mcp_server 与 serve_start 复制进临时假仓后再装载）。
+
+| 态 | 命令 | 实测输出 |
+|---|---|---|
+| 红基线（`git show HEAD:hive/hive_mcp/mcp_server.py` 写临时副本） | `python -X utf8 -m hive.test_result_anchor_chain --head-baseline` | `结果：7 pass / 11 fail（红项：A1, A2, A3, A4, C1, E1, E2, E3, H1, H2, H3）`，与脚本内 `EXPECTED_RED` 逐项相等 ⇒ RC=0 |
+| 绿态（工作区） | `python -X utf8 -m hive.test_result_anchor_chain` | `结果：18 pass / 0 fail（红项：无）` ⇒ RC=0 |
+
+红基线里三项的实测形态（引输出要点，不含路径）：`A1/A3` = 只配模型密钥时 `_result_anchor_key()` 返回哑模型密钥本身；`A2/A4` = 对应 `status.json` 键集**多出 `result_nonce`**；`C1` = env 形态返回的是令牌文件路径串而非 `strip` 后内容。
+
+覆盖对应要求：①只配 `HIVE_API_KEY`（config / env 两形态）→ 解析为 `None` 且落盘 `status.json` **不含** `result_nonce`（旧格式）；②配 `HIVE_ORCH_TOKEN`（env / config）→ 取之且写 32 位 hex nonce；③只配 `HIVE_ORCH_TOKEN_FILE`：env 形态读文件全文 strip 并写 nonce、config `{"file":…}` 形态取文件内容、config 直值路径形态冻结「非 None = 锚启用」；④身份两键皆缺但模型密钥在 → `None`；⑤键集结构 = 从 `hive/src/keyres.rs` **现场解析**的两环同名同序且不含 `HIVE_API_KEY`。
+
+### 附-5 回归与门禁（实跑）
+
+| 命令 | 结果 |
+|---|---|
+| `python -X utf8 -m hive.test_mcp_jobs_pool` | `15 pass / 0 fail`，RC=0 —— **不需要补环境装配**：该测试只走 `_jobs_dir`（A–E 组 + `:154-166` 源断言），从不调用 `_result_anchor_key` / `_submit`，其 config（`:77-83`，含 `HIVE_API_KEY` 哑值）不进入锚链判据，故改链后**未变红** |
+| `python -X utf8 -m hive.test_serve_entry` | 53 项 OK，`ALL OK`，RC=0 |
+| `python -X utf8 -m hive.test_llm_key_resolution` | `22 pass / 0 fail`，RC=0 |
+| `python -X utf8 -m hive.test_serve_show_config` | 53 项 OK，`ALL OK`，RC=0 |
+| `python -X utf8 scripts/run_tests.py hive --jobs 4` | `SUMMARY 22/22 通过，0 跳过`，RC=0（含新增守卫） |
+| `npm run gate` | **`VERDICT=FAIL`**、退出码 **1**（本次收尾实跑，明细见下） |
+
+**门禁结论（本次收尾实跑，如实）**：`npm run gate` 唯一命中 `[FAIL] R4 非追踪件面 命中=1；非追踪=29，允许=28` → `- docs/plans/蜂巢模型密钥配置面_v1.0.md`；`[PASS] R1 凭据/密钥面；文件面=0 内容面=0`、`R2`、`R3`、`R5`、`R6` 全 PASS，末行 `VERDICT=FAIL`、退出码 1。该命中为本报告件（`docs/` 面新增未追踪件）的**时序性**，即 §八-8 已登记的同一形态，非规则内容红；入库（`git add`）后该件转追踪件，R4 计数回到 28/28 自愈，编排会话提交后请重跑确认。本批新增的 `hive/test_result_anchor_chain.py` **未新增命中**：`package.json` 的 `files`（`lib`/`src`/`md_cg`/`skills`/`README.md`/`dsh`/`codebuddy`/`zcode`/`docs`）不含 `hive/`，而 R4 只统计 `npm pack` 清单内的非追踪件（`scripts/check_publish_artifact.py`）⇒ 未追踪数仍为 29、命中数仍为 1。
+
+本批**未改任何测试期望**，也**未给既有测试补环境装配**（上表实测无需）。**逐条定因**：`hive/test_mcp_jobs_pool.py` 只走 `_jobs_dir`（A–E 组）与 D 组源断言，从不调用 `_result_anchor_key` / `_submit` ⇒ 其 config 里的 `HIVE_API_KEY` 哑值不进锚链判据，改链后未变红，故未补哑值；`hive/test_serve_entry.py`（53 项）、`hive/test_llm_key_resolution.py`（22 项）、`hive/test_serve_show_config.py`（53 项）均原样绿、未补任何 env。清理复核：临时目录 `n190_anchor_*` 遗留零命中；真仓 `hive/hive_mcp/__pycache__` 未被本守卫写入（本次实跑复核：该目录 8 个 `.pyc` 在守卫运行前后的 `mtime_ns`/`size`/`sha256[:12]` 三元组逐位一致）。
+
+### 附-6 未覆盖（如实）
+
+- 真实 serve 端到端（rebuild 后提交任务实测锚校验）——纪律禁止 rebuild/restart 在役 serve，**未跑**；
+- 真实令牌库 / 真实网关 / 真实 config.local.json——全程哑值 + 系统临时目录，**未触**；
+- config 直值路径形态「文件不可读」时的两面分叉——读码判定（见附-3 诚实边界），**未做端到端实测**；
+- 本节为追加件：§六-7 与 §七-1 的原判（「跨面未落地项」/「MCP 面锚链副本未同步」）由本节落地状态**取代**，前文文本按追加原则未改。