@furongjun1999/dsh-memory 0.7.2 → 0.7.4

package/src/lib/hook_audit.ts

@@ -0,0 +1,243 @@
+/**
+ * hook_audit.ts · 自动记忆钩子的**有界落盘审计**（issue #56，诊断面）
+ *
+ * 病灶（报告人 jiamajie，v0.7.1 实测）：src/hooks.ts 的三处过滤分支（子代理会话 /
+ * 中继消息 / `source.kind !== 'user'`）只调 `ctx.logger.info`——宿主 logger 不落盘，
+ * 盘面完全无痕。其它插件按设计注入的 `role:"user"` 消息（如 @michengai/dsh-pua 的
+ * PUA_RUNTIME_V1 提示）不进记忆库时，从记忆侧只能看到「少了一条」，无法区分
+ * 「被设计滤除」与「写入失败/漏记」。
+ *
+ * 本模块 = **诊断面**，不参与任何写入/过滤判定（红线：哪些消息进记忆一字不动）：
+ *   ① 维护一份小 JSON 状态文件（缺省 `~/.dsh/logs/dsh-memory-hook-audit.json`，
+ *      与 `lingshu-bridge-debug.log` / `dsh-memory-apply-error.log` 同目录同惯例，
+ *      见 README.md:110）；
+ *   ② 每事件只写计数与「最近条目」摘要（action/reason/kind/role），**绝不记录
+ *      消息内容**（内容可能含隐私/凭据，审计文件是可被随手打开的诊断件）；
+ *   ③ 原子写：同目录临时文件 + rename（读者永远不会看到半截 JSON）；
+ *   ④ 有界：last 截断到 MAX_LAST=20（无追加式增长）；kinds 键数上限 MAX_KINDS，
+ *      超限归并到 "other"（kind 值域理论上由宿主决定，防异常值把文件撑大）；
+ *   ⑤ 静默降级：公共方法全部 try/catch 包死——审计失败绝不冒泡进记忆路径
+ *      （审计是增益，记忆写入必须照常）。
+ *
+ * 为什么落盘采用**同步** fs：`session/event` 回调是同步的，异步落盘会引入
+ * 「多事件并发写同一文件」的乱序与竞态；状态文件只有几 KB，一次同步读（仅首次）
+ * 加一次全量重写的代价远小于它守护的诊断价值。
+ *
+ * 与 ctx.logger.info 的关系：hook 内三行 info 日志**保留不动**（in-memory 实时
+ * 视图），本审计是**盘面**视图（宿主 logger 不落盘时仍可复盘）。
+ *
+ * 边界（如实）：
+ *   · 状态是「进程内缓存 + 每次全量重写」，多进程同时写同一路径会互相覆盖
+ *     （插件单实例部署下不构成问题；审计非关键路径，不做跨进程锁）；
+ *   · 审计文件损坏/手改致形态不符时按空态重建（数值归零、last 逐条过滤），
+ *     不抛错、不保留非法内容；
+ *   · `written` 记的是「**成功发起**」的写入（fire-and-forget 的发起时刻），
+ *     发起后失败另记 `skipped.failed`——与 hooks.ts 的 memorize 两段式对应。
+ */
+import { mkdirSync, readFileSync, renameSync, unlinkSync, writeFileSync } from 'node:fs'
+import { homedir } from 'node:os'
+import { dirname, join } from 'node:path'
+
+/** 三处过滤分支的成因（与 hooks.ts 一一对应：子代理会话 / 中继消息 / kind 非 user）。 */
+export type HookFilterReason = 'subagent' | 'relay' | 'kind'
+/** 写入路径的角色（与 md_cg 对 DSH 会话事件的 role 约定一致）。 */
+export type HookWriteRole = 'user' | 'assistant' | 'tool'
+/** 跳过写入的成因。 */
+export type HookSkipReason = 'sanitized' | 'not_ready' | 'failed'
+
+/** last 的一条摘要（**绝不含消息内容**——只有动作、成因、kind 与 role）。 */
+export interface HookAuditEntry {
+  ts: string
+  action: 'filtered' | 'written' | 'skipped'
+  reason?: HookFilterReason | HookSkipReason
+  kind?: string
+  role?: HookWriteRole
+}
+
+/** 审计状态（= 状态文件的结构）。 */
+export interface HookAuditState {
+  counts: {
+    /** 三处过滤分支的计数。 */
+    filtered: Record<HookFilterReason, number>
+    /** 成功发起的写入计数（按 role 分解）。 */
+    written: Record<HookWriteRole, number>
+    /** 跳过写入的计数（脱敏置空 / 认知图未就绪 / 写入失败）。 */
+    skipped: Record<HookSkipReason, number>
+  }
+  /** 进入消息级处理的 `source.kind` 分布（缺字段/空串/非字符串记 "undefined"）。 */
+  kinds: Record<string, number>
+  /** 最近 ≤MAX_LAST 条摘要。 */
+  last: HookAuditEntry[]
+  updated_at: string
+}
+
+/** 缺省审计文件：与桥探针 / apply 探针同目录同惯例（README.md:110）。 */
+export const DEFAULT_HOOK_AUDIT_PATH = join(homedir(), '.dsh', 'logs', 'dsh-memory-hook-audit.json')
+
+/** last 条数上限（有界性单点——没有它 audit 文件会随会话无限增长）。 */
+const MAX_LAST = 20
+/** kinds 键数上限（超限归并到 OTHER_KIND，防宿主 kind 值域异常撑大文件）。 */
+const MAX_KINDS = 32
+/** kinds 归并桶。 */
+const OTHER_KIND = 'other'
+
+const FILTER_REASONS: HookFilterReason[] = ['subagent', 'relay', 'kind']
+const WRITE_ROLES: HookWriteRole[] = ['user', 'assistant', 'tool']
+const SKIP_REASONS: HookSkipReason[] = ['sanitized', 'not_ready', 'failed']
+
+/** `source.kind` 的规范化取值：非字符串（含缺字段）或空串一律记 "undefined"
+ *  （不可辨认即无值——空串与缺字段在排障上同义）。 */
+export function kindOf(source: unknown): string {
+  const k = (source as { kind?: unknown } | null | undefined)?.kind
+  return typeof k === 'string' && k.length > 0 ? k : 'undefined'
+}
+
+function nowIso(): string {
+  return new Date().toISOString()
+}
+
+function emptyState(): HookAuditState {
+  return {
+    counts: {
+      filtered: { subagent: 0, relay: 0, kind: 0 },
+      written: { user: 0, assistant: 0, tool: 0 },
+      skipped: { sanitized: 0, not_ready: 0, failed: 0 },
+    },
+    kinds: {},
+    last: [],
+    updated_at: nowIso(),
+  }
+}
+
+/** 计数位：只认有限非负整数，其余归零（防手改/坏文件把计数变成 NaN）。 */
+function countOf(v: unknown): number {
+  return typeof v === 'number' && Number.isFinite(v) && v >= 0 ? Math.floor(v) : 0
+}
+
+/** 盘面内容 → 状态：逐字段归并，形态不符的字段一律丢弃（不信任盘面内容）。 */
+function mergeState(raw: unknown): HookAuditState {
+  const s = emptyState()
+  if (!raw || typeof raw !== 'object') return s
+  const r = raw as { counts?: unknown; kinds?: unknown; last?: unknown }
+  if (r.counts && typeof r.counts === 'object') {
+    const c = r.counts as { filtered?: unknown; written?: unknown; skipped?: unknown }
+    const buckets: Array<[Record<string, number>, string[], unknown]> = [
+      [s.counts.filtered as Record<string, number>, FILTER_REASONS, c.filtered],
+      [s.counts.written as Record<string, number>, WRITE_ROLES, c.written],
+      [s.counts.skipped as Record<string, number>, SKIP_REASONS, c.skipped],
+    ]
+    for (const [dst, keys, src] of buckets) {
+      if (!src || typeof src !== 'object') continue
+      for (const key of keys) dst[key] = countOf((src as Record<string, unknown>)[key])
+    }
+  }
+  if (r.kinds && typeof r.kinds === 'object') {
+    for (const [k, v] of Object.entries(r.kinds as Record<string, unknown>)) {
+      if (typeof v === 'number' && Number.isFinite(v) && v > 0) s.kinds[k] = Math.floor(v)
+    }
+  }
+  if (Array.isArray(r.last)) {
+    for (const e of r.last) {
+      if (!e || typeof e !== 'object') continue
+      const entry = e as Partial<HookAuditEntry>
+      if (typeof entry.ts !== 'string') continue
+      if (entry.action !== 'filtered' && entry.action !== 'written' && entry.action !== 'skipped') continue
+      s.last.push(entry as HookAuditEntry)
+    }
+    if (s.last.length > MAX_LAST) s.last = s.last.slice(-MAX_LAST)
+  }
+  return s
+}
+
+/**
+ * 有界落盘审计记录器（**静默降级**：任何公共方法都不会抛错）。
+ *
+ * 用法（hooks.ts 内）：`new HookAuditRecorder(opts.auditPath)`，随后在
+ * 三处过滤分支与写入/跳过路径各调一次对应方法。审计失败只影响审计自身。
+ */
+export class HookAuditRecorder {
+  /** 实际生效的审计文件路径（构造时定死，供日志/测试核对）。 */
+  readonly path: string
+  /** 进程内状态缓存（首次记录时从盘面载入，此后只增量改内存 + 全量重写）。 */
+  #state: HookAuditState | null = null
+
+  constructor(path?: string) {
+    this.path = typeof path === 'string' && path.trim() ? path.trim() : DEFAULT_HOOK_AUDIT_PATH
+  }
+
+  /** 一条**被设计滤除**的消息（三处过滤分支各调一次）。 */
+  filtered(reason: HookFilterReason, kind?: string): void {
+    this.#mutate((s) => {
+      s.counts.filtered[reason] += 1
+      s.last.push(kind === undefined
+        ? { ts: nowIso(), action: 'filtered', reason }
+        : { ts: nowIso(), action: 'filtered', reason, kind })
+    })
+  }
+
+  /** `source.kind` 分布（每条**进入消息级处理**的事件调一次，含被滤与放行）。 */
+  observeKind(kind: string): void {
+    this.#mutate((s) => {
+      const key = this.#boundedKindKey(s, kind)
+      s.kinds[key] = (s.kinds[key] ?? 0) + 1
+    })
+  }
+
+  /** 成功**发起**的写入（按 role；发起后失败另记 skipped.failed）。 */
+  written(role: HookWriteRole): void {
+    this.#mutate((s) => {
+      s.counts.written[role] += 1
+      s.last.push({ ts: nowIso(), action: 'written', role })
+    })
+  }
+
+  /** 跳过写入（脱敏置空 / 认知图未就绪 / 写入失败）。 */
+  skipped(reason: HookSkipReason, role?: HookWriteRole): void {
+    this.#mutate((s) => {
+      s.counts.skipped[reason] += 1
+      s.last.push(role === undefined
+        ? { ts: nowIso(), action: 'skipped', reason }
+        : { ts: nowIso(), action: 'skipped', reason, role })
+    })
+  }
+
+  /** 键数有界：已见键原样用；新键在未达上限时收录，达限后统一归并到 "other"。 */
+  #boundedKindKey(s: HookAuditState, kind: string): string {
+    if (Object.prototype.hasOwnProperty.call(s.kinds, kind)) return kind
+    return Object.keys(s.kinds).length >= MAX_KINDS ? OTHER_KIND : kind
+  }
+
+  /** 读改写 + 原子落盘；整段 try/catch——审计失败静默降级（绝不冒泡进记忆路径）。 */
+  #mutate(fn: (s: HookAuditState) => void): void {
+    try {
+      const s = this.#state ?? (this.#state = this.#load())
+      fn(s)
+      if (s.last.length > MAX_LAST) s.last = s.last.slice(-MAX_LAST)
+      s.updated_at = nowIso()
+      this.#save(s)
+    } catch { /* 审计失败静默降级：记忆路径必须照常 */ }
+  }
+
+  /** 盘面 → 状态；不存在/不可读/坏 JSON/形态不符 → 空态重建（不抛）。 */
+  #load(): HookAuditState {
+    try {
+      return mergeState(JSON.parse(readFileSync(this.path, 'utf8')) as unknown)
+    } catch {
+      return emptyState()
+    }
+  }
+
+  /** 原子写：同目录临时文件 + rename（临时文件在 rename 失败时清理）。 */
+  #save(s: HookAuditState): void {
+    const dir = dirname(this.path)
+    mkdirSync(dir, { recursive: true })
+    const tmp = `${this.path}.${process.pid.toString(36)}.${Date.now().toString(36)}.tmp`
+    writeFileSync(tmp, `${JSON.stringify(s, null, 2)}\n`, 'utf8')
+    try {
+      renameSync(tmp, this.path)
+    } catch (err) {
+      try { unlinkSync(tmp) } catch { /* 清理失败忽略：残留 .tmp 不影响读路径 */ }
+      throw err
+    }
+  }
+}

package/src/lib/mutual.ts

@@ -259,8 +259,12 @@ export function combineVerdict(w: VerifyResult['whitebox'],
                                l: VerifyResult['llm_review']): VerifyResult['verdict'] {
   const c = l.conclusion || ''
   // P1 修复（GPT 审查）：白箱通道异常 → fail-closed（不因复核「同意」而 pass）
+  // N268：**复核通道**异常的标记由 llmReview 写在 `l.conclusion`（`llm_error: …`）——
+  // 此前只查 w.judgment（该字段只可能由 whiteboxVerify 写 whitebox_error）⇒ 该分支
+  // 是死条件，复核抛异常时白箱「采纳」径直判 pass（复核不可用反成「通过」）。
+  // 两字段都查：l 侧是真正的生产者口径，w 侧保留同形防御（防上游把异常塞进白箱字段）。
   if (w.judgment.startsWith('whitebox_error') || w.judgment.startsWith('llm_error')
-      || w.d_norm < 0) {
+      || c.startsWith('llm_error') || w.d_norm < 0) {
     return 'needs_revision'
   }
   if (w.judgment.startsWith('采纳')) {

package/src/lib/roleplay_web.ts

@@ -847,6 +847,17 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                         res.end(JSON.stringify({ ok: false, error: '非法角色 id（白名单 ^[A-Za-z0-9_.-]{1,64}$）' }));
                         return;
                     }
+                    // N266：入口类型闸——message 必须是字符串。此前这段直接
+                    // `p.message.includes(w)`：message 为数组时静默走
+                    // Array.prototype.includes（逐元素**全等**比较），把敏感词拆进
+                    // 不同元素即整条绕过硬拦截；数字/对象/缺省则抛 TypeError 落 500
+                    // （内部异常文本随响应外泄）。与 role_id 同口径：非法形态在入口
+                    // 一律 400 拒——不转发引擎、不落转录。
+                    if (typeof p.message !== 'string') {
+                        res.writeHead(400, { 'Content-Type': 'application/json; charset=utf-8' });
+                        res.end(JSON.stringify({ ok: false, route: 'refused', refused: 'bad_message', error: 'message 必须是字符串（非字符串形态不得绕过内容硬拦截，N266）' }));
+                        return;
+                    }
                     // P1 完善（会话隔离）：按客户端实例隔离 session 与转录
                     const cid = clientIdOf(req);
                     // —— 服务端内容分级硬拦截（不依赖前端，法律与协议保护）——
@@ -860,13 +871,17 @@ export async function installRoleplayWeb(ctx, capability, config, disposers, mdc
                         res.end(JSON.stringify({ reply: '⛔ 已拒绝：涉及未成年人的性内容违反国家法律与灵枢协议（未成年人保护）。灵枢不提供任何涉及未成年人的性扮演内容。', route: 'refused', refused: 'minor_nsfw' }));
                         return;
                     }
-                    appendTranscript(role, { time: Date.now(), role: 'user', text: p.message }, cid);
-                    void toGraph('user-turn', (g) => g.writeTranscript(role, cid, 'user', p.message));
                     if (!capReady()) {
                         res.writeHead(503, { 'Content-Type': 'application/json; charset=utf-8' });
                         res.end(JSON.stringify({ reply: '', route: 'unavailable', error: CAP_ABSENT_MSG }));
                         return;
                     }
+                    // N266：落盘移到内容门控与就绪闸**之后**——被内容门控拒绝的、以及
+                    // 「能力未接入」（503）的回合都从未发生，此前这两笔写在校验与
+                    // capReady 之前，未经门控的 message 原文会被留进本地转录
+                    //（读同一文件的历史接口随即原样回放）。
+                    appendTranscript(role, { time: Date.now(), role: 'user', text: p.message }, cid);
+                    void toGraph('user-turn', (g) => g.writeTranscript(role, cid, 'user', p.message));
                     const r = await capability.callTool('roleplay_chat', {
                         message: p.message, role_id: role, session_id: sessionFor(role, cid), data_dir: roleDataDir,
                     });

package/src/lib/session_state.ts

@@ -0,0 +1,127 @@
+/**
+ * session_state.ts —— 插件侧「运行期会话状态」单点（观测 → 写归因注入）
+ *
+ * 为什么有这个模块（B 治本批，2026-10-06）
+ * ----------------------------------------
+ * DSH 单进程多会话：宿主的会话标识只经 `session/event` 到达插件。此前它只被
+ * 用在 hooks 面（自动记忆的 remember / read 带 extra.session）；**agent 直调
+ * 工具面**（src/tools.ts 的 execute → bridge.callTool）转发时**不带会话**——
+ * 而部署侧 `MDCG_SESSION` env 一旦取消/为空，`md_cg/mcp_server.py` 的
+ * `_declared_session`（:3823-3850）就以**请求声明**为归因来源
+ * （优先级：env > 请求声明 > 进程身份），不传即落回进程身份——md_cg 的
+ * `Principal.__init__` 会为假值 session 生成**进程级随机** `sess_<hex>`
+ * （md_cg/security.py:117）：归属在审计上既读不出是谁、跨进程也对不上，
+ * 是静默的归属丢失。
+ *
+ * 本模块把「观测会话」与「写归因注入」收成**单点**：
+ *   · hooks 面：每收到 session/event 就 `noteSession(sid)`——调用点仍在 H1
+ *     子代理闸**之后**（子代理会话不得污染会话状态的位置不变量保持）；
+ *   · 工具面：写归因调用注入 `currentSession() || UNASSIGNED_SESSION`
+ *     （判据矩阵见 `attributeSession`，只注入写面；读面一律不注入）。
+ *
+ * 模块级状态（`lastSession`）是**进程级**的：同一进程内多个会话共享它，
+ * 「最近一次观测」即当前活动会话——与 hooks 面的既有口径一致（见
+ * test/session-attribution.test.ts ④「取值每步稳定」）。
+ */
+
+/** 会话归属未知时的**显式占位**（H2③，2026-09-30；原定义在 src/hooks.ts，
+ *  B 治本批迁入本单点——注释要点保真搬迁）。
+ *
+ *  ⚠️ 不可退回「不传 session 键」：md_cg 的 `Principal.__init__` 在 session 为假值时
+ *  生成**进程级随机** `sess_<hex>`（md_cg/security.py:117）——插件不传，等于让一个
+ *  进程内所有「宿主未给标识」的会话共用一个**不可辨认**的随机桶：归属在审计上既
+ *  读不出是谁、跨进程也对不上，是静默的归属丢失。
+ *  本常量把这一态写成**显式值**：跨进程一致、可辨认、可审计，且不是伪造的宿主
+ *  会话 id（非 DSH 形态，服务端 `_normalize_session` 原样采用、不会被改写成别的桶）。
+ *  要读这个桶：`stg(op=timeline, session="unassigned")`。 */
+export const UNASSIGNED_SESSION = 'unassigned'
+
+/** 最近一次观测到的宿主会话标识（空串 = 未观测到会话）。
+ *
+ *  ⚠️ 本状态是**模块级（进程级）单点**：hooks 面观测写入（src/hooks.ts 的
+ *  session/event），工具面读它做写归因注入（src/tools.ts 的转发面）——两处必须
+ *  同源，否则注入的会话与写入的归属对不上（B 治本批的目的即在此）。
+ *
+ *  「本实例是否观测过」的**实例级门不在本模块**，在 src/hooks.ts 的
+ *  installMemoryHooks 内（局部 `observedSession`）：即「本实例观测到会话之后」
+ *  才用本单点值回落召回过滤。这是**经 owner 裁定的契约字面偏离（dwfq-7b3a555e-1）**
+ *  ——契约建议的形态是 hooks 侧字面 `|| currentSession()`，但字面形态与硬边界
+ *  「test/session-attribution.test.ts 逐字未动且全绿」互斥（该守卫 ② 以
+ *  「新建 harness = 未观测」为前提，字面回落会读成前一实例的 sess_B）。保留
+ *  实例门的两条理由：
+ *    ① 「新实例 = 干净状态」是原闭包变量 `lastSession` 的**有意属性**（新装的钩子
+ *       在观测到会话前，自动召回不加过滤）——实例隔离语义在测试面被真实保留；
+ *    ② 与既有冻结守卫 ② 相容（守卫逐字未动且全绿是本批硬边界）。
+ *  真机单实例下两者**逐位等价**：唯一差异窗口是「本实例未观测 ∧ 模块单点非空」，
+ *  而模块值只由本实例的 hooks 观测写入，单实例下该窗口不可达；HMR 重载场景下新
+ *  实例回落 '' 而非上一会话值，属更保守的防御行为（已由 owner 裁定接受）。 */
+let lastSession = ''
+
+/** 记录一次会话观测（H2③ 观测面单点）。
+ *
+ *  trim 后非空才写入——空串/纯空白**不覆盖**旧值（否则「宿主给了一次空标识」
+ *  会把已观测到的真会话抹掉，后续注入退化为 unassigned）。 */
+export function noteSession(sid: string): void {
+  const s = sid.trim()
+  if (s) lastSession = s
+}
+
+/** 当前运行期会话标识（空串 = 未观测到；调用方按 `|| UNASSIGNED_SESSION` 兜底）。 */
+export function currentSession(): string {
+  return lastSession
+}
+
+/** 写归因面判据：本次调用是否属于「要注入运行期会话」的写归因调用。
+ *
+ *  **恰两条命中路径**（不得放宽、不得收窄出契约外）：
+ *    ① `mdcg_remember` —— md_cg 细粒度写入口（插件侧自动记忆/落图的写通道）；
+ *    ② `cg` 且 `op === 'write'` —— 认知图基元的带审核写路径。
+ *
+ *  为什么**只**这两个面（判据出处：md_cg/mcp_server.py）：
+ *    · **读面一律不注入**——`mdcg_recall` / `mdcg_search` / `mdcg_get` / `stg`
+ *      以及 `cg` 的其它 op，其 `session` 是**视图过滤**：服务端 schema 描述原文
+ *      「会话归属过滤（frontmatter.session；…缺省不过滤）」
+ *      （md_cg/mcp_server.py:218-219 / :251-252 / :908-912 / :1074-1077）。
+ *      注入会把文档化的「缺省跨会话」翻转成「本会话视图」——那是功能收窄，
+ *      不是本批目标（读面要跨会话视图请显式 `stg(op=timeline, session="*")`）。
+ *    · **op 特化语义不动**——`cg` 的 `sustain`/`session` 等 op 的 `session` 是
+ *      特化语义（resume/note 的**目标会话**），注入即污染其目标参数。
+ *    · 归因与授权正交（issue #35 定稿）：`call_tool` 的请求级 session **只做
+ *      归因**（写入归属/`_attribution` 取它），**不**改 `principal.session`
+ *      （md_cg/mcp_server.py:3261-3264）——绑定档（private/secret）的读授权
+ *      锚定连接级身份，调用方自报的会话不构成看他人 private 的授权。
+ *      绑定档可见性判定 `MdCGSecure._readable`（md_cg/mdcos.py:5009-5053）
+ *      的会话绑定分支恒用 `nsess == self.principal.session`（:5051-5052），
+ *      can_admin（设计者）豁免（:5045）——故本注入对绑定档无回归。
+ *
+ *  ⚠️ 禁止把本判据放宽成「所有带 session 参数的工具」：那会把上面两类语义
+ *  （读面视图过滤 / op 特化目标）一并改写，属越权改契约。
+ */
+function isWriteAttributionCall(toolName: string, args: Record<string, unknown>): boolean {
+  if (toolName === 'mdcg_remember') return true
+  return toolName === 'cg' && args['op'] === 'write'
+}
+
+/** 请求是否已显式声明会话（string 且 trim 后非空 → 保留调用方声明，绝不覆盖）。 */
+function hasDeclaredSession(args: Record<string, unknown>): boolean {
+  const v = args['session']
+  return typeof v === 'string' && v.trim() !== ''
+}
+
+/** 把**运行期会话**注入**写归因调用**（args 的 session 键不可用时才注入）。
+ *
+ *  注入条件：`session` 键缺失 / 非 string 类型 / trim 后空串 ⇒ 注入
+ *  （`null`/`''`/空白一律视为「未声明」——服务端 `_declared_session` 对假值
+ *  同样解析为无归属声明，原样转发只会落回进程级随机 sess_* 兜底桶）；
+ *  显式非空声明一律**不覆盖**（调用方自报优先——插件不替调用方改归属）。
+ *
+ *  注入值：`currentSession() || UNASSIGNED_SESSION`（未观测到会话时用
+ *  'unassigned' 显式占位——与 hooks 面 H2③ 同口径）。
+ *
+ *  命中且需注入 → 返回**新对象** `{ ...args, session: v }`（绝不 mutate 输入）；
+ *  否则**原样返回**（同一引用）——未命中的调用零开销、零可观察差异。 */
+export function attributeSession(toolName: string, args: Record<string, unknown>): Record<string, unknown> {
+  if (!isWriteAttributionCall(toolName, args)) return args
+  if (hasDeclaredSession(args)) return args
+  return { ...args, session: currentSession() || UNASSIGNED_SESSION }
+}

package/src/tools.ts

@@ -8,6 +8,10 @@
 import type { Context } from '@deepseek-ai/cordis'
 import { defineTool, type ParameterPropertySpec, type ParameterSchemaSpec, type ValueSchemaSpec } from '@deepseek-ai/dsh-tools'
 import type { LingshuBridge, McpTool } from './bridge.ts'
+// B 治本批（2026-10-06）：写归因注入单点（运行期会话 → 写归因调用）。
+// 运行时导入写 `.js`（本仓口径：type-only 才写 `.ts`，tsconfig 未开
+// allowImportingTsExtensions —— 值导入写 `.ts` 会 TS5097 编译失败）。
+import { attributeSession } from './lib/session_state.js'
 
 /** 默认暴露的核心工具集合：**记忆面已基元化**，只注册 `cg` / `stg` 两个认知基元。
  *
@@ -186,7 +190,14 @@ export async function registerLingshuTools(
         // 此前完全忽略取消，取消后写操作（remember/relate/ingest 等）仍可能产生副作用
         async execute(args: Record<string, unknown>, exec: { signal: AbortSignal }) {
           if (exec.signal.aborted) throw new Error(`灵枢 ${tool.name} 已取消`)
-          const result = await bridge.callTool(tool.name, args as Record<string, unknown>, exec.signal)
+          // B 治本批（2026-10-06）：agent 直调工具的转发面把**运行期会话**注入
+          // **写归因调用**——env（MDCG_SESSION）取消后，请求声明即归因唯一来源
+          // （md_cg/mcp_server.py 的 _declared_session：env > 请求声明 > 进程身份）。
+          // 判据单点在 lib/session_state.ts 的 attributeSession：只注入
+          // mdcg_remember 与 cg(op=write) 两个写面；读面（视图过滤）/ op 特化语义
+          // 一律不动。命中且未显式声明时返回新对象，否则原样透传。
+          const forwarded = attributeSession(tool.name, args as Record<string, unknown>)
+          const result = await bridge.callTool(tool.name, forwarded, exec.signal)
           if (exec.signal.aborted) throw new Error(`灵枢 ${tool.name} 已取消`)
           if (result.isError) {
             throw new Error(extractText(result.content) || `灵枢 ${tool.name} 执行失败`)

package/zcode/AGENTS.md

@@ -2,11 +2,11 @@
 
 > 本文件由 `scripts/render_discipline.py` 从真源
 > `docs/工作纪律_认知图条目_v1.1.json` 渲染生成，**请勿手改**；改真源后重跑渲染。
-> 真源指纹（SHA256 前16位）：134dd7e69870405d
+> 真源指纹（SHA256 前16位）：e8c979edba52de41
 
 ## 概述
 
-工作纪律集: 4条方法论(理论先行/全面处理/白箱方法/根因) + 3条执行(验证/双副本/兜底) + 1条思考(中文思考/协作模式分级) + 1条保密(敏感信息隔离) + 3条图像线(选源护栏/历史查询优先/算法权威唯一) + 1条协作(访谈澄清:先问清再动手) + 1条合规(内容政策合规:公开产物过内容政策+隐私双清单) + 2条执行调度与运行环境(命令执行统一走python/UTF-8: 显式encoding+PYTHONUTF8=1, 规避GBK, 全仓文本与路径一律UTF-8(无BOM, 中文可进路径), 不做控制台兼容(取用走python); 任务派发统一走蜂巢(zcode端的工作流工具为等效蜂巢工具——使用者2026-10-04裁定; 蜂巢功能完全完善之前可优先使用zcode工作流): 任何执行性任务经蜂巢spawn/submit执行并留痕, agent本体只做编排, L1出口=产物落点为只读判定(不改仓库/外部状态)可直跑须留痕) + 1条记忆闭环(任务收尾归档:每次任务执行完只将核心修改(内容/原因/位置/验证结论)按CCG六要素(功能名/生效条件/子功能/执行/验证方式/不适用条件)成文存入灵枢记忆, 不写中间过程; text 类缺要素即被写入闸门拒并当场返回缺失清单) + 1条信息获取(工作区索引优先: 查工作区文件先读 WORKSPACE_INDEX.md(仓根, 由 scripts/workspace_index.py 从 git 追踪面管线生成), 尚无则先跑 --write 生成再读, 不以重复全盘浏览代替; 索引是会陈化的手工件, 故须管线生成+机械守卫, 否则退化为误导源)
+工作纪律集: 4条方法论(理论先行/全面处理/白箱方法/根因) + 3条执行(验证/双副本/兜底) + 1条思考(中文思考/协作模式分级) + 1条保密(敏感信息隔离) + 3条图像线(选源护栏/历史查询优先/算法权威唯一) + 1条协作(访谈澄清:先问清再动手) + 1条合规(内容政策合规:公开产物过内容政策+隐私双清单) + 2条执行调度与运行环境(命令执行统一走python/UTF-8: 显式encoding+PYTHONUTF8=1, 规避GBK, 全仓文本与路径一律UTF-8(无BOM, 中文可进路径), 不做控制台兼容(取用走python), 公开面路径写相对路径(守 check_local_paths); 任务派发统一走蜂巢(zcode端的工作流工具为等效蜂巢工具——使用者2026-10-04裁定; 蜂巢功能完全完善之前可优先使用zcode工作流): 任何执行性任务经蜂巢spawn/submit执行并留痕, agent本体只做编排, L1出口=产物落点为只读判定(不改仓库/外部状态)可直跑须留痕) + 1条记忆闭环(任务收尾归档:每次任务执行完只将核心修改(内容/原因/位置/验证结论)按CCG六要素(功能名/生效条件/子功能/执行/验证方式/不适用条件)成文存入灵枢记忆, 不写中间过程; text 类缺要素即被写入闸门拒并当场返回缺失清单) + 1条信息获取(工作区索引优先: 查工作区文件先读 WORKSPACE_INDEX.md(仓根, 由 scripts/workspace_index.py 从 git 追踪面管线生成), 尚无则先跑 --write 生成再读, 不以重复全盘浏览代替; 索引是会陈化的手工件, 故须管线生成+机械守卫, 否则退化为误导源)
 
 ## 执行公约
 
@@ -120,10 +120,10 @@
 
 ### 15. 命令执行统一走python
 
-- **触发**：执行命令｜运行测试/脚本｜跨进程读写文本
-- **动作**：构造 argv 列表→subprocess.run(capture_output=True, text=True, encoding='utf-8', errors='replace')→env 带 PYTHONUTF8=1→shell=False；边界判据=本次调用是否产出非UTF-8字节流(纯MSYS工具与不起进程的内置工具豁免；原生Windows程序不豁免，须python包装或显式解码)
+- **触发**：执行命令｜运行测试/脚本｜跨进程读写文本｜书写文档/引用路径
+- **动作**：构造 argv 列表→subprocess.run(capture_output=True, text=True, encoding='utf-8', errors='replace')→env 带 PYTHONUTF8=1→shell=False；边界判据=本次调用是否产出非UTF-8字节流(纯MSYS工具与不起进程的内置工具豁免；原生Windows程序不豁免，须python包装或显式解码)；仓内引用与文档路径一律写相对路径(本机绝对路径以中性占位代), 判据 scripts/check_local_paths.py
 - **不适用**：IDE内置工具直调(判据=本次调用是否产出非UTF-8字节流；不起进程的内置工具(Read/Write/Edit/Grep/Glob/WebFetch)与纯MSYS工具(grep/ls/sed)归入本豁免；拉起shell且执行原生Windows程序者(taskkill/wmic/npm.cmd/cargo/where)不属本豁免，仍须python包装或对输出显式解码；2026-09-28使用者裁定)｜无跨进程的纯内存计算
-- **声明**：按工作纪律第15条: 命令执行统一走python——argv列表+显式UTF-8+PYTHONUTF8=1, 不经Windows shell, 规避GBK解码异常。 另: 全仓文本与路径/文件名一律UTF-8(中文可进路径), 不做控制台兼容(取用走python, 控制台乱码属显示层)。
+- **声明**：按工作纪律第15条: 命令执行统一走python——argv列表+显式UTF-8+PYTHONUTF8=1, 不经Windows shell, 规避GBK解码异常。 另: 全仓文本与路径/文件名一律UTF-8(中文可进路径), 不做控制台兼容(取用走python, 控制台乱码属显示层)。 另: 公开面路径写相对路径——本机绝对路径以中性占位代(仓内 `<仓根>`/家目录 `~/`/临时 `%TEMP%`), 门禁 check_local_paths。
 
 ### 16. 任务收尾归档(记忆闭环)
 
@@ -164,7 +164,7 @@
 | 12 | 按工作纪律第12条: 算法权威唯一(线稿=darkline.py/色块=contour_semantics)——选算法查文档, 勿临时切换/漂移; 换算法须记录+更新文档。 |
 | 13 | 按工作纪律第13条: 访谈澄清——先提问确认要做什么,逐轮问到完全清楚才动手;事实自查,决策归使用者,不完全清楚不固化。 |
 | 14 | 按工作纪律第14条: 内容政策合规——对外公开产物必须过「内容政策+隐私」双清单，过滤在生成阶段做；已发布发现违规要删条+重写git历史+通知平台清缓存。 |
-| 15 | 按工作纪律第15条: 命令执行统一走python——argv列表+显式UTF-8+PYTHONUTF8=1, 不经Windows shell, 规避GBK解码异常。 另: 全仓文本与路径/文件名一律UTF-8(中文可进路径), 不做控制台兼容(取用走python, 控制台乱码属显示层)。 |
+| 15 | 按工作纪律第15条: 命令执行统一走python——argv列表+显式UTF-8+PYTHONUTF8=1, 不经Windows shell, 规避GBK解码异常。 另: 全仓文本与路径/文件名一律UTF-8(中文可进路径), 不做控制台兼容(取用走python, 控制台乱码属显示层)。 另: 公开面路径写相对路径——本机绝对路径以中性占位代(仓内 `<仓根>`/家目录 `~/`/临时 `%TEMP%`), 门禁 check_local_paths。 |
 | 16 | 按工作纪律第16条: 任务收尾归档——每次任务执行完只提炼核心修改(内容/原因/位置/验证结论)并按 CCG 六要素(功能名/生效条件/子功能/执行/验证方式/不适用条件)成文存入灵枢记忆(text 类六要素缺失会被写入闸门当场拒绝并返回缺失清单——补齐后重写即可, 不必等读回确认才发现), 写入后发起一次读取查询确认写入成功且可检索, 禁写中间过程/试错/调试等无效信息, 与第2条形成「查记忆→执行→写记忆→读回确认」闭环。 |
 | 17 | 按工作纪律第17条: 任务派发统一走蜂巢——任何执行性任务经蜂巢 spawn/submit 执行并留痕(spec/status/result), agent本体只做编排; 宿主自带subagent/team不是等价通道(zcode端的工作流工具为等效蜂巢工具——使用者2026-10-04裁定; 蜂巢功能完全完善之前, zcode端可优先使用zcode工作流处理), 兜底须声明。L1只读判定(产物落点=不改仓库/外部状态)可直跑, 须输出「L1 直跑：<命令> — 风险/频次/可逆性」留痕。 |
 | 18 | 按工作纪律第18条: 工作区索引优先——查工作区文件先读 WORKSPACE_INDEX.md(仓根, 管线生成); 无则先跑 scripts/workspace_index.py --write 生成再读, 不以重复全盘浏览代替。 |