@jayyuen66/dsh-quality-gate 0.1.0 → 0.1.2

package/CHANGELOG.md

@@ -0,0 +1,103 @@
+# Changelog
+
+格式遵循 [Keep a Changelog](https://keepachangelog.com/en/1.1.0/)，版本号遵循
+[Semantic Versioning](https://semver.org/spec/v2.0.0.html)。最新版本在最上。
+
+## 0.1.1
+
+宿主生态与工具链跟到发布线，发布面的判据补严。**门禁判定规则、四条命令白名单、注入文案与
+默认设置都没改**，改的是「跟谁对齐」与「发出去的东西长什么样」。
+
+### Changed
+
+- `@deepseek-ai/*` 家族从 `0.2.1-alpha.1` 升到 `0.2.1-alpha.2`：devDependencies、
+  peerDependencies 的 `@deepseek-ai/dsh`、`pnpm-workspace.yaml` 的 `overrides`、`engines.dsh`
+  四处同值（`test/publish-manifest.test.ts` 要求 `dsh-*` 与 peer 逐项相等）。
+  `@deepseek-ai/cordis` `4.0.5-alpha.1` 与 `@deepseek-ai/schemastery` `3.18.5-alpha.1` **不动**：
+  那是 alpha.2 自己钉的两枚（`~4.0.5-alpha.1` / `~3.18.5-alpha.1`），registry 上没有更新的 alpha。
+- 上游逐包比对过发布件：本包消费的声明面没有 breaking。`dsh-agent` / `dsh-credentials` /
+  `dsh-settings` / `dsh-shell` / `dsh-sandbox-policy` / `dsh-package-manifest` 的 shipped 内容
+  与 alpha.1 逐字节相同；`dsh-session` / `dsh-session-query` / `dsh-client-ui-plugin-manager`
+  只有增量。打包契约（`cordis.patch.yml`、`dsh.bundle.patch`、`dsh.client`、`manifestVersion: 1`）
+  不变，因此 `host.ts` 无必须的适配改动。
+- `@jayyuen66/dsh-plugin-shared` `^0.1.2` → `^0.1.4`。这一枚改变了**发布物形状**：0.1.2 把
+  `@deepseek-ai/dsh-jobs` / `dsh-tools` / `dsh-session` 等宿主包列在自己的 `dependencies` 里，
+  消费方 profile（`nodeLinker: hoisted` + `autoInstallPeers: false`）于是会物化出第二份宿主
+  类型面——正是「`@deepseek-ai/*` 不进 dependencies」那条门禁管不到的依赖树下一层。0.1.3 把它们
+  挪进 `peerDependencies`，0.1.4 再把那几枚 peer 钉到 `0.2.1-alpha.2`。
+- 入口面：`main` / `exports` 指向构建产物 `host.js` / `client.js`，入口覆盖不再写在
+  `publishConfig` 里（pnpm 发布时合并到顶层、npm 忽略并打印 Unknown publishConfig——同一仓库
+  换个发布器就会发出一个 import 必失败的包）。
+- 工具链（`pnpm-workspace.yaml` 的 `catalog`）跟到发布线：`@types/node` 26.6.3→26.6.5、
+  `vitest` 与 `@vitest/coverage-v8` 5.0.2→5.0.3、`vite` 8.3.1→8.3.4、`rolldown` 1.2.11→1.2.13、
+  `oxlint` 1.86.0→1.87.0、`oxfmt` 0.71.0→0.72.0、`oxlint-tsgolint` 7.0.2003→7.0.2004。
+  `typescript` 7.0.2、`react` / `@types/react` 19.3.0、`eslint-plugin-sonarjs` 4.2.2 已在发布线。
+- 新增 `engines.node`（`>=22.12.0`）：产物用到 `AbortSignal.any` 这类较新的运行面。
+- `tsconfig.client.json` 删掉 `"types": ["node"]` 这枚本地覆盖：shared 的 client 预设本来就是
+  `types: []`，这一枚覆盖把 Node 全局又塞回了 client 半。删掉后 client 工程与宿主预设同形，
+  类型检查照绿——client 面从未依赖 Node 全局。
+
+### Added
+
+- 文档拆分：`README.md` 为英文入口、`README.zh-CN.md` 为中文，两行头部互链。
+- `CHANGELOG.md` 与 `THIRD_PARTY_NOTICES.md`（ECC `stop-format-typecheck` /
+  `post-edit-accumulator` 的机制来源与差异表），两者一并写进 `files`。
+- `test/publish-manifest.test.ts` 的发布面门禁：
+  - 「仓库根目录每个 `.md` 都必须出现在发布面里」——只有 readme 形态的文件靠发布器无条件附带，
+    `CHANGELOG.md` 之类不写进 `files` 就发不出去，而"文档写了但读者看不到"此前无人能发现。
+  - `ALWAYS_SHIPPED` 改为按 `pnpm pack --dry-run` 实测的四枚，删掉不成立的条目。
+  - 构建产物的内容扫描：随包发布的 `host.js` / `client.js` 里不许出现日期、本机绝对路径、
+    pnpm 的 store 目录名。
+  - `engines.dsh` 必须等于 peer `@deepseek-ai/dsh` 去掉区间算子的下界；`engines.node` 不得
+    低于宿主发布线。
+- 注释门禁（同一文件）从「只禁完整日期」扩到：只到月份的日期、指向作者主目录的本机路径、
+  pnpm 的 store 目录名、内部工作项编号（字母+数字形态）、指向未随包发布的笔记的行号指针、
+  上游源码仓的工作区路径，以及描述工作过程而非约束本身的那一类词（黑名单逐条见
+  `test/publish-manifest.test.ts` 的 `FORBIDDEN_IN_COMMENTS`）。据此把 `host.ts`、`lib/*.ts`、
+  `src/*.ts` 的注释重写了一遍：只留约束本身，删掉过程记录。指向已安装依赖的声明文件行号不在
+  禁面内——版本钉住之后那是人人可查的证据。
+- `pack-check.mjs` + `check:pack` 脚本：对 `pnpm pack` 产出的**真 tarball** 做体检——入口与
+  无条件附带项都在包里、源码与本地状态目录没混进去、`@deepseek-ai/*` 没落进 `dependencies`、
+  代码面里每个裸说明符都由 dependencies ∪ peerDependencies 提供、产物内容不含日期与本机路径。
+  已接进 `check`，因此本地与 CI 同一口径。
+- `test/dist-size.test.ts`：两个构建产物的字节预算。判据落在体积上是因为「依赖被内联进产物」
+  这一类回归没有更早的报警器——类型检查与单测都不看产物。
+- `ci.yml`：push / PR 上跑 `pnpm install --frozen-lockfile` + `pnpm run check`（含上面那条
+  tarball 体检），并断言门禁没有改写受版本控制的文件。运行时只跑 node 24，与发布流程同一条线。
+
+### Fixed
+
+- `@deepseek-ai/dsh-credentials` 的声明位置与注释不一致：注释说它落在 `dependencies`，
+  实际由「`@deepseek-ai/*` 不进 dependencies」的门禁禁掉。注释按真实机制改写——它靠
+  **peerDependencies** 进入 `build-host.mjs` 的外部化面（外部化集合 = dependencies ∪
+  peerDependencies），因此产物保留裸说明符、官方函数体不被内联。
+- README 里「另一枚运行期依赖是 `@deepseek-ai/schemastery`」的措辞：那一枚由宿主解析、
+  不由本包安装，文档改为按真实来源描述，并补上宿主版本要求。
+
+### Not changed, deliberately
+
+- 四条门禁命令的白名单与优先级、`not-run` 与 `code-failure` 的分界、注入配额、预算分摊、
+  默认设置值、双语文案内容。
+- `@deepseek-ai/*` 一律 type-only（`dsh-credentials` 的两枚纯字符串函数除外）。
+- 覆盖率阈值仍由 `@jayyuen66/dsh-plugin-shared/config/vitest.base` 单源给出（100%），
+  本包不放宽；`coverageInclude` 仍只覆盖 host 半（`host.ts` + `lib/*.ts`），client 半没有
+  DOM 环境可跑，见 `test/client-card.test.ts` 的说明。
+
+### Tests
+
+- 门禁全套通过：typecheck（两个 tsconfig）、`oxlint`（0 warning / 0 error）、两个 rolldown
+  构建、`vitest run --coverage`、`oxfmt --check`。
+- 构建产物在真实 Node 上直接 `import()` 装载成功，裸说明符全部解析得到。
+- `pnpm pack` 的 tarball 逐项目检：入口指向构建产物、`@deepseek-ai/*` 不在
+  `dependencies`、两份 README 与两份新文档都在发布面里。
+
+## 0.1.0
+
+`@jayyuen66` 作用域下的首个公共 npm 发布。
+
+### Added
+
+- 回合收口质量门禁：`agent/turn-stopping` 按项目形态跑 `pnpm check` / `cargo check` /
+  `ruff check .` / `npx tsc --noEmit`，未过则注入修复指令开新回合。
+- 显式三态判定（`pass` / `code-failure` / `not-run`）与会话级配额、总预算、编辑记账。
+- 设置卡（web client 面）与中英双语文案；记忆网关反馈默认关闭，密钥走宿主凭据通道。

package/README.md

@@ -1,108 +1,6 @@
 # @jayyuen66/dsh-quality-gate
 
-[中文](#中文) · [English](#english)
-
-## 中文
-
-### 它做什么
-
-- 回合收口质量门禁：本轮改过代码/配置文件时，在回合收口前自动跑该项目自己声明的检查命令；不通过就经 `agent.followup` 开新回合、把修复指令注入给模型。
-- 一次检查只有三种结论：`pass`（真的跑完且 exit 0）、`code-failure`（跑了且报代码错）、`not-run`（没跑成）。一条没真正跑完的检查绝不会被记成通过。
-- 它不改代码、不拦截危险命令（那是 danger-guard 的职责）、也不写任何文件。
-
-### 触发时机与不触发条件
-
-- 触发点：宿主事件 `agent/turn-stopping`。流程是读增量事件窗 → 取本会话**成功**的编辑 → 每个文件向上找最近清单根 → 探测门禁 → 执行。
-  - 编辑口径：`edit` / `write` / `str_replace_editor` 的写入；`view` 只读不算。
-  - 清单根：最多向上找 10 层；monorepo 子包升到 `pnpm-workspace.yaml` 所在的工作区根。
-- 不触发：
-  - `enabled: false`；本回合没有可检编辑（只改 md/txt/图片/`.sh`，或被拒、执行失败的编辑）。
-  - 子代理会话（`origin === "subagent"` 或 `delegationDepth > 0`）；inbox 已有待处理消息（不抢话）。
-  - 探测不出门禁的根；回合 signal 已取消或插件已卸载。
-- 宿主没有 shell 服务时 warn 一次并放行；plan mode 不豁免——规划回合改了代码同样收口。
-
-### 安装
-
-```sh
-dsh plugin --profile web add @jayyuen66/dsh-quality-gate
-```
-
-- 包在公共 npm（`registry.npmjs.org`）上，安装侧不需要凭据。
-- 运行时依赖 `@jayyuen66/dsh-plugin-shared` 必须已在同一 registry 上，否则整组 404。
-- 另一枚运行期依赖是 `@deepseek-ai/schemastery`（宿主 fork）：0.1.7 的 `.volatile()` 活引用只有它解析得出来，装公共 `schemastery` 会让改设置要重启才生效。
-- 本地目录形态安装需 pnpm ≥ 12.3.0（12.0.0 的本地目录 `add` 有已知缺陷）。
-
-### 在 dsh 里启用
-
-- 装载由包内 `cordis.patch.yml` 负责（`package.json` 的 `dsh.bundle.patch` 指向它），插一行 `- id: quality-gate`、`name` 为本包名；`dsh plugin --profile web add/remove` 维护该行。
-- Host 半只硬依赖宿主的 `settings`（`default.inject = ["settings"]`）；`shell` / `sandboxPolicy` / `lessonLoop` / `credentials` / `sessionQuery` 一律 `ctx.get` 可选读，缺失不会让插件加载失败。
-- 优先级：设置卡的运行时值 > 该行 `config:` > 包内置默认。client 半（`dsh.client.platform = web`、`immediately: true`）往插件管理页的 `plugins.bundle.config` 槽注入一张卡（key = 本包名；`configForms.get()` 与 settings 命名空间用的是裸条目 id `quality-gate`）。
-- 卡的保存是显式的：改动先留在本地暂存，点「保存」才逐键写 settings（状态条提示「有未保存的修改，点「保存」生效」）。
-  - 写入通道把 `Promise<boolean>` 受理位原样交给卡片——首个 `false` 即停手、显示 `saveRejected` 那行并保留未落盘的改动（旧版是盲 `setTimeout` 清暂存，宿主拒写时卡仍显示已保存）；写入 reject 显示 `saveFailed`，「撤销」丢弃暂存。
-
-### 设置的检查命令
-
-四条白名单命令在类型层锁死（只有这四条能进执行面），每根择一，优先级 workspace > Rust > Python > 裸 TS：
-
-- `pnpm check`：根同时有 `pnpm-workspace.yaml` 与 `package.json`，且根 scripts 声明了非空 `check`；没声明就退回下一候选——宁可不给门禁，也不替项目发明一条稳定假失败的命令。
-- `cargo check`（`Cargo.toml`）、`ruff check .`（`pyproject.toml` 或 `ruff.toml`）、`npx tsc --noEmit`（`package.json` + `tsconfig.json`，缺 `tsconfig.json` 不算 TS 项目）。
-- 预算与并发：总预算 `gateBudgetMs` 封顶，每根取 `max(10s, 预算/根数)` 与实际剩余的小值。
-  - 剩余不足 5s 的尾段不再起跑，按「未执行」注入清单。
-  - 门禁顺序执行，一次只注入一个失败。
-- 证据上限：每条流内存留存 64 KiB，被截断时从落盘文件有界读回 4 KiB 头部（首条错误才是根因）；单会话编辑记账 500 个文件，超出按插入序淘汰并 warn。
-
-### 设置项
-
-- `enabled`：boolean，默认 `true`。关掉即收口不再核验。
-- `maxInjectsPerTurn`：1–5，默认 `2`。修复指令注入配额，按会话跨回合累计。
-- `gateBudgetMs`：10000–600000，默认 `300000`。超时按失败注入，不静默放行。
-- `memoryFeedback`：boolean，默认 `false`。是否把代码型失败额外沉淀到记忆网关。
-- `memoryGatewayUrl`：string，默认空 = 不启用；设置值优先，留空回落 env `TDAI_GATEWAY_URL`。
-- `memoryGatewayKeyRef`：string（凭据引用名），默认 `TDAI_GATEWAY_KEY`；设置里只存引用名。
-- 另有两枚非 volatile 的部署值：设置卡上没有它们的行，只在注册行的 `config:` 上给（cordis 交进 apply 的是值而非引用，改值随重启生效）。
-  - `maxRootDepth` 默认 `10`——「最多向上找 10 层」说的就是它；`gateStdoutMaxBytes` 默认 `65536`——「每条流内存留存 64 KiB」说的就是它。
-
-### 对外接口
-
-- 无 HTTP 面：本包不注册任何路由或端点，也没有供外部调用的接口。
-- 对宿主：settings 命名空间 `quality-gate` 是 0.1.7 的隐式注册（= 条目 id，可编辑字段由条目 `Config` 上标了 `.volatile()` 的项决定，本包不再调 `settings.register`），schema 与行 `config` 共用同一份 `Config`。
-  - 只剩页面策略要声明：`svc.inject(["settings"], …)` 的子上下文里 `settings.configure({ auto: false }, svc.fiber)`——本包自带卡片，别让宿主再生成一份自动表单。
-  - 注入的 followup 为 `role: "user"`、`source: { kind: "plugin:quality-gate" }`、id 为 `quality-gate-` 前缀加一个 UUID。
-- 日志走宿主具名 logger（`ctx.logger("quality-gate")`，本包用的方法面是 `info` / `warn` / `error`），该服务缺席才回退 `console`。
-- 注入给模型的文案只有四类，消息统一带 `[quality-gate]` 前缀与命令/根上下文：
-  - 修复指令。
-  - 门禁「未能执行」说明。
-  - 配额耗尽后的放行说明。
-  - 嵌在「未能执行」里的预算不足清单。
-- 两语文案随官方 settings 命名空间 `locale` 的偏好，未注册即中文，改语言下一回合生效。
-  - 卡片文案另走官方 client locale：`ctx.locale.register(NS, UI_MESSAGES)` 交字典、`ctx.locale.bind(NS)` 出取文案函数，切语言由宿主重渲染 slot、不必重载页面。
-- 对总线：`ctx.get("lessonLoop")?.report({ source: "quality-gate", category: "gate-failure" | "gate-not-run", cwd, sessionId, turn, signature: 命令串, detail: 全文证据, evidence: { root, command, kind } })`。
-- 可选外发：向 `memoryGatewayUrl` 配的地址发 `POST /v2/conversation/add`，5s 超时封顶。
-  - 请求头带 Bearer 令牌与 `x-tdai-service-id`（env 可覆盖，默认 `default`）。
-  - body 为 `session_id: "dsh-agent"` + 一条 `assistant` 消息，`agent_id` 取会话 cwd 的尾目录名加 8 位 sha256 前缀（与 lesson-loop 项目分桶同源）。
-
-### 数据与隐私
-
-- 默认零外发：`memoryFeedback` 关 + 地址空是双保险，任一为空都不推送、也不去查凭据。
-- 开启后送出的只有命令、项目根与全文报错（不截断），落到你自配的网关。
-  - 失败只 warn 且每次装载只说一次，绝不阻断收口。
-  - 密钥值由宿主凭据服务持有（`$DSH_HOME` 下的凭据文件），引用名不合 POSIX 环境变量语法即视为未配置。
-- 与 lesson-loop 的关系是**可选**的：总线缺失时报告直接丢弃，门禁照常运行；装了才多一份教训沉淀，`memoryFeedback` 开关不影响总线上报。
-  - 本包只读盘（清单存在性、根 `package.json` 的 scripts、截断落盘文件的头部），不写文件、不遥测。
-
-### 常见问题
-
-- pnpm 工程为什么没跑 `pnpm check`？根 `package.json` 没声明非空 `check` 脚本，这是刻意取舍：假失败比漏检查更贵。
-- 门禁说「未能执行」是代码错了吗？不是。
-  - 沙箱策略拒绝、runner 起不来、超时、取消、exit 126/127、`npx` 抓到 stub 包、预算不足都属此类。
-  - 注入文案明确要求「不要为此修改代码」，不写记忆，并以 `gate-not-run` 单独上报总线。
-- 会不会无限修？配额耗尽后注入一次用户可见的「放行说明」并停止自动修复，直到某次全部干净通过才重新计数。
-- 临时停掉：设置卡关 `enabled`，或 `dsh plugin --profile web remove @jayyuen66/dsh-quality-gate`。
-- 子代理改的代码呢？in-process 子代理跳过，由父会话下一回合统一核验。
-  - out-of-process 子代理（ACP/claude-code/codex）不发 dsh 事件，天然不在门禁面内。
-- 许可 MIT，仓库见 `package.json` 的 `repository.url`。
-
-## English
+[中文](./README.zh-CN.md)
 
 ### What it does
 
@@ -114,7 +12,7 @@ dsh plugin --profile web add @jayyuen66/dsh-quality-gate
 
 - Trigger: the host event `agent/turn-stopping`. Flow: read the incremental event window → take this session's **successful** edits → walk each file up to the nearest manifest root → detect the gate → run it.
   - Edits counted: `edit` / `write` / `str_replace_editor` writes; `view` is read-only and does not count.
-  - Manifest root: searched up from each file, max 10 levels; a monorepo package is upgraded to the workspace root holding `pnpm-workspace.yaml`.
+  - Manifest root: searched up from each file, max 10 levels; a monorepo package is upgraded to the workspace root holding `pnpm-workspace.yaml` only when that root yields a gate — otherwise the package keeps its own root (an outer workspace without a `check` script must not swallow the package's `tsc`/`ruff` gate).
 - Skipped when:
   - `enabled: false`; the turn has no checkable edit (only md/txt/images/`.sh`, or edits that were denied or failed).
   - Subagent sessions (`origin === "subagent"` or `delegationDepth > 0`); the inbox already has pending items (the gate does not talk over the user).
@@ -128,8 +26,9 @@ dsh plugin --profile web add @jayyuen66/dsh-quality-gate
 ```
 
 - The packages live on the public npm registry, so installs need no credentials.
+- Requires a host at `@deepseek-ai/dsh` 0.2.1-rc.2 or newer (`engines.dsh`); the plugin is compiled against that host's type surface.
 - The runtime dependency `@jayyuen66/dsh-plugin-shared` must already be on the same registry, otherwise the whole set 404s.
-- The other runtime dependency is `@deepseek-ai/schemastery` (the host's fork): it is the only one whose `resolve` wraps `.volatile()` fields into live references, so the public `schemastery` would turn "edit a setting" into "restart to apply".
+- `@deepseek-ai/schemastery` is resolved from the host, not installed by this package: the host's own fork is the only one whose `resolve` wraps `.volatile()` fields into live references, so a public `schemastery` would turn "edit a setting" into "restart to apply".
 - Installing a local directory needs pnpm ≥ 12.3.0 (12.0.0 has a known bug in that path).
 
 ### Enabling it in dsh
@@ -139,7 +38,7 @@ dsh plugin --profile web add @jayyuen66/dsh-quality-gate
 - Precedence: card runtime value > the line's `config:` > built-in default.
 - The client half (`dsh.client.platform = web`, `immediately: true`) injects a card into the `plugins.bundle.config` slot of the plugin page (key = this package name, while `configForms.get()` uses the bare entry id `quality-gate`).
 - Saving on the card is staged: edits stay in local pending state until Save writes them key by key into settings.
-  - The write channel hands the card the `Promise<boolean>` acceptance bit verbatim: the first `false` stops the loop, shows the `saveRejected` line and keeps the unwritten changes - the old blind `setTimeout` cleared them, so the card claimed "saved" while the host had refused. A rejecting write shows `saveFailed`; Revert discards the pending edits.
+  - The write channel hands the card the `Promise<boolean>` acceptance bit verbatim: the first `false` stops the loop, shows the `saveRejected` line and keeps the unwritten changes - swallowing the acceptance bit would let the card claim "saved" while the host had refused. A rejecting write shows `saveFailed`; Revert discards the pending edits.
 
 ### The commands it runs
 

package/README.zh-CN.md

@@ -0,0 +1,102 @@
+# @jayyuen66/dsh-quality-gate
+
+[English](./README.md)
+
+### 它做什么
+
+- 回合收口质量门禁：本轮改过代码/配置文件时，在回合收口前自动跑该项目自己声明的检查命令；不通过就经 `agent.followup` 开新回合、把修复指令注入给模型。
+- 一次检查只有三种结论：`pass`（真的跑完且 exit 0）、`code-failure`（跑了且报代码错）、`not-run`（没跑成）。一条没真正跑完的检查绝不会被记成通过。
+- 它不改代码、不拦截危险命令（那是 danger-guard 的职责）、也不写任何文件。
+
+### 触发时机与不触发条件
+
+- 触发点：宿主事件 `agent/turn-stopping`。流程是读增量事件窗 → 取本会话**成功**的编辑 → 每个文件向上找最近清单根 → 探测门禁 → 执行。
+  - 编辑口径：`edit` / `write` / `str_replace_editor` 的写入；`view` 只读不算。
+  - 清单根：最多向上找 10 层；monorepo 子包升到 `pnpm-workspace.yaml` 所在的工作区根——但只在该根**产得出门禁**时升级，否则保留子包自己的根（外层没有 `check` 脚本的 workspace 不得吃掉子包的 `tsc` / `ruff` 门禁）。
+- 不触发：
+  - `enabled: false`；本回合没有可检编辑（只改 md/txt/图片/`.sh`，或被拒、执行失败的编辑）。
+  - 子代理会话（`origin === "subagent"` 或 `delegationDepth > 0`）；inbox 已有待处理消息（不抢话）。
+  - 探测不出门禁的根；回合 signal 已取消或插件已卸载。
+- 宿主没有 shell 服务时 warn 一次并放行；plan mode 不豁免——规划回合改了代码同样收口。
+
+### 安装
+
+```sh
+dsh plugin --profile web add @jayyuen66/dsh-quality-gate
+```
+
+- 包在公共 npm（`registry.npmjs.org`）上，安装侧不需要凭据。
+- 宿主需 `@deepseek-ai/dsh` 0.2.1-rc.2 起（`engines.dsh`）：本包按这一版宿主的类型面编译。
+- 运行时依赖 `@jayyuen66/dsh-plugin-shared` 必须已在同一 registry 上，否则整组 404。
+- `@deepseek-ai/schemastery` 由宿主解析、不由本包安装：只有宿主 fork 的那一枚能把 `.volatile()` 字段解析成活引用，换成公共 `schemastery` 就变成改设置要重启才生效。
+- 本地目录形态安装需 pnpm ≥ 12.3.0（12.0.0 的本地目录 `add` 有已知缺陷）。
+
+### 在 dsh 里启用
+
+- 装载由包内 `cordis.patch.yml` 负责（`package.json` 的 `dsh.bundle.patch` 指向它），插一行 `- id: quality-gate`、`name` 为本包名；`dsh plugin --profile web add/remove` 维护该行。
+- Host 半只硬依赖宿主的 `settings`（`default.inject = ["settings"]`）；`shell` / `sandboxPolicy` / `lessonLoop` / `credentials` / `sessionQuery` 一律 `ctx.get` 可选读，缺失不会让插件加载失败。
+- 优先级：设置卡的运行时值 > 该行 `config:` > 包内置默认。client 半（`dsh.client.platform = web`、`immediately: true`）往插件管理页的 `plugins.bundle.config` 槽注入一张卡（key = 本包名；`configForms.get()` 与 settings 命名空间用的是裸条目 id `quality-gate`）。
+- 卡的保存是显式的：改动先留在本地暂存，点「保存」才逐键写 settings（状态条提示「有未保存的修改，点「保存」生效」）。
+  - 写入通道把 `Promise<boolean>` 受理位原样交给卡片——首个 `false` 即停手、显示 `saveRejected` 那行并保留未落盘的改动（吞掉受理位会让宿主拒写时卡仍显示已保存）；写入 reject 显示 `saveFailed`，「撤销」丢弃暂存。
+
+### 设置的检查命令
+
+四条白名单命令在类型层锁死（只有这四条能进执行面），每根择一，优先级 workspace > Rust > Python > 裸 TS：
+
+- `pnpm check`：根同时有 `pnpm-workspace.yaml` 与 `package.json`，且根 scripts 声明了非空 `check`；没声明就退回下一候选——宁可不给门禁，也不替项目发明一条稳定假失败的命令。
+- `cargo check`（`Cargo.toml`）、`ruff check .`（`pyproject.toml` 或 `ruff.toml`）、`npx tsc --noEmit`（`package.json` + `tsconfig.json`，缺 `tsconfig.json` 不算 TS 项目）。
+- 预算与并发：总预算 `gateBudgetMs` 封顶，每根取 `max(10s, 预算/根数)` 与实际剩余的小值。
+  - 剩余不足 5s 的尾段不再起跑，按「未执行」注入清单。
+  - 门禁顺序执行，一次只注入一个失败。
+- 证据上限：每条流内存留存 64 KiB，被截断时从落盘文件有界读回 4 KiB 头部（首条错误才是根因）；单会话编辑记账 500 个文件，超出按插入序淘汰并 warn。
+
+### 设置项
+
+- `enabled`：boolean，默认 `true`。关掉即收口不再核验。
+- `maxInjectsPerTurn`：1–5，默认 `2`。修复指令注入配额，按会话跨回合累计。
+- `gateBudgetMs`：10000–600000，默认 `300000`。超时按失败注入，不静默放行。
+- `memoryFeedback`：boolean，默认 `false`。是否把代码型失败额外沉淀到记忆网关。
+- `memoryGatewayUrl`：string，默认空 = 不启用；设置值优先，留空回落 env `TDAI_GATEWAY_URL`。
+- `memoryGatewayKeyRef`：string（凭据引用名），默认 `TDAI_GATEWAY_KEY`；设置里只存引用名。
+- 另有两枚非 volatile 的部署值：设置卡上没有它们的行，只在注册行的 `config:` 上给（cordis 交进 apply 的是值而非引用，改值随重启生效）。
+  - `maxRootDepth` 默认 `10`——「最多向上找 10 层」说的就是它；`gateStdoutMaxBytes` 默认 `65536`——「每条流内存留存 64 KiB」说的就是它。
+
+### 对外接口
+
+- 无 HTTP 面：本包不注册任何路由或端点，也没有供外部调用的接口。
+- 对宿主：settings 命名空间 `quality-gate` 是 0.1.7 的隐式注册（= 条目 id，可编辑字段由条目 `Config` 上标了 `.volatile()` 的项决定，本包不再调 `settings.register`），schema 与行 `config` 共用同一份 `Config`。
+  - 只剩页面策略要声明：`svc.inject(["settings"], …)` 的子上下文里 `settings.configure({ auto: false }, svc.fiber)`——本包自带卡片，别让宿主再生成一份自动表单。
+  - 注入的 followup 为 `role: "user"`、`source: { kind: "plugin:quality-gate" }`、id 为 `quality-gate-` 前缀加一个 UUID。
+- 日志走宿主具名 logger（`ctx.logger("quality-gate")`，本包用的方法面是 `info` / `warn` / `error`），该服务缺席才回退 `console`。
+- 注入给模型的文案只有四类，消息统一带 `[quality-gate]` 前缀与命令/根上下文：
+  - 修复指令。
+  - 门禁「未能执行」说明。
+  - 配额耗尽后的放行说明。
+  - 嵌在「未能执行」里的预算不足清单。
+- 两语文案随官方 settings 命名空间 `locale` 的偏好，未注册即中文，改语言下一回合生效。
+  - 卡片文案另走官方 client locale：`ctx.locale.register(NS, UI_MESSAGES)` 交字典、`ctx.locale.bind(NS)` 出取文案函数，切语言由宿主重渲染 slot、不必重载页面。
+- 对总线：`ctx.get("lessonLoop")?.report({ source: "quality-gate", category: "gate-failure" | "gate-not-run", cwd, sessionId, turn, signature: 命令串, detail: 全文证据, evidence: { root, command, kind } })`。
+- 可选外发：向 `memoryGatewayUrl` 配的地址发 `POST /v2/conversation/add`，5s 超时封顶。
+  - 请求头带 Bearer 令牌与 `x-tdai-service-id`（env 可覆盖，默认 `default`）。
+  - body 为 `session_id: "dsh-agent"` + 一条 `assistant` 消息，`agent_id` 取会话 cwd 的尾目录名加 8 位 sha256 前缀（与 lesson-loop 项目分桶同源）。
+
+### 数据与隐私
+
+- 默认零外发：`memoryFeedback` 关 + 地址空是双保险，任一为空都不推送、也不去查凭据。
+- 开启后送出的只有命令、项目根与全文报错（不截断），落到你自配的网关。
+  - 失败只 warn 且每次装载只说一次，绝不阻断收口。
+  - 密钥值由宿主凭据服务持有（`$DSH_HOME` 下的凭据文件），引用名不合 POSIX 环境变量语法即视为未配置。
+- 与 lesson-loop 的关系是**可选**的：总线缺失时报告直接丢弃，门禁照常运行；装了才多一份教训沉淀，`memoryFeedback` 开关不影响总线上报。
+  - 本包只读盘（清单存在性、根 `package.json` 的 scripts、截断落盘文件的头部），不写文件、不遥测。
+
+### 常见问题
+
+- pnpm 工程为什么没跑 `pnpm check`？根 `package.json` 没声明非空 `check` 脚本，这是刻意取舍：假失败比漏检查更贵。
+- 门禁说「未能执行」是代码错了吗？不是。
+  - 沙箱策略拒绝、runner 起不来、超时、取消、exit 126/127、`npx` 抓到 stub 包、预算不足都属此类。
+  - 注入文案明确要求「不要为此修改代码」，不写记忆，并以 `gate-not-run` 单独上报总线。
+- 会不会无限修？配额耗尽后注入一次用户可见的「放行说明」并停止自动修复，直到某次全部干净通过才重新计数。
+- 临时停掉：设置卡关 `enabled`，或 `dsh plugin --profile web remove @jayyuen66/dsh-quality-gate`。
+- 子代理改的代码呢？in-process 子代理跳过，由父会话下一回合统一核验。
+  - out-of-process 子代理（ACP/claude-code/codex）不发 dsh 事件，天然不在门禁面面内。
+- 许可 MIT，仓库见 `package.json` 的 `repository.url`。

package/THIRD_PARTY_NOTICES.md

@@ -0,0 +1,61 @@
+# Third-party notices
+
+本包自身编写的代码以 MIT 发布，见 [`LICENSE`](./LICENSE)。本文件记录**机制来源**与
+**运行期依赖**：本包的哪一部分来自第三方、在什么意义上「来自」，以及本包自身代码与第三方代码
+的边界在哪里。
+
+## 机制来源：ECC（Everything Claude Code）
+
+- 上游项目：`ECC`（Everything Claude Code）
+- 上游仓库：https://github.com/affaan-m/ECC
+- 上游许可：MIT，版权归 Affaan Mustafa 所有
+- 上游机制名：`stop-format-typecheck`（回合收口跑项目自己的检查）、`post-edit-accumulator`
+  （编辑记账）
+
+### 移植的是什么
+
+**机制与设计思路**，两处：
+
+1. **回合收口跑项目声明的检查**（`host.ts` 的 `agent/turn-stopping` 批处理、
+   `lib/gate-detect.ts` 按清单根择一）——收口时按项目形态运行它自己声明的检查命令，失败则把
+   报错回给模型。
+2. **编辑记账**（`lib/accumulator.ts`）——不逐文件跑检查（太贵），而是回合收口时一次算总账：
+   本轮编辑过的代码/配置文件按插入序累计，容量到上限按插入序淘汰。
+
+### 本包在其之上加了什么
+
+上游是「一条 hook 命令」的形状，本包是跑在 dsh 宿主里的常驻插件，两者不等价：
+
+| 维度 | 上游 ECC | 本包 |
+| --- | --- | --- |
+| 结论形状 | 退出码二值 | 显式三态 `pass` / `code-failure` / `not-run`，没真正跑完的检查永不记为通过 |
+| 失败处理 | 回显给人 | 经 `agent.followup` 开新回合注入修复指令，带跨回合配额与放行说明 |
+| 预算 | 无 | 会话总预算封顶、按根分摊、尾段不足则注入「未执行」清单 |
+| 证据 | 直接回显 | 每条流有内存上限，截断时从落盘文件有界读回**头部**（首条错误才是根因） |
+| 项目定位 | 当前工作目录 | 从编辑路径向上找最近清单根（monorepo 子包升到工作区根），多根各自择一 |
+| 沙箱 | 不涉及 | 按会话解析沙箱策略后执行；策略拒绝与 runner 失败归 `not-run`，不污染记忆与自进化闭环 |
+| 语言 | 单语 | 注入文案与设置卡中英双语，随宿主 locale 偏好 |
+
+没有复制上游的任何一行实现代码：`host.ts` / `lib/*.ts` 全部为本包编写，语言、结构、错误处理
+都与上游不同。
+
+## 运行期依赖
+
+本包产物（`host.js`、`client.js`）把依赖**外部化**：产物里保留裸说明符，运行时解析到宿主
+profile 里那一份实例，因此不存在"把第三方源码打进发布物"的情形，本文件也就不需要附各包的
+许可证全文。
+
+- `@jayyuen66/dsh-plugin-shared`（MIT）——唯一的普通依赖。`lib/locale`、`lib/tool-events`、
+  `lib/lesson-bus`、`lib/record`、`lib/project-key` 五个子路径来自它。
+- `@deepseek-ai/*`（一律 MIT，由宿主提供，声明为 peer / devDependency，**不进** `dependencies`）
+  ——`dsh`、`cordis`、`schemastery`、`dsh-settings`、`dsh-shell`、`dsh-sandbox`、
+  `dsh-sandbox-policy`、`dsh-session`、`dsh-session-query`、`dsh-session-projection`、
+  `dsh-session-title`、`dsh-agent`、`dsh-llm`、`dsh-credentials`、`dsh-scope`、
+  `dsh-subprocess`、`dsh-package-manifest`、`dsh-api-remotes`、`dsh-client-locale`、
+  `dsh-client-store`、`dsh-client-ui-layout`、`dsh-client-ui-plugin-manager`、
+  `dsh-client-ui-renderer`、`dsh-client-ui-settings`、`dsh-client-ui-slots`。
+  除 `dsh-credentials`（值导入 `credentialRef` / `isCredentialRefName`）与 `schemastery`
+  （值导入 `Schema`）之外，其余都只作类型消费。
+
+依赖形状由 `test/publish-manifest.test.ts` 钉住：`@deepseek-ai/*` 出现在 `dependencies` 即失败
+——那会在消费方 profile 里物化出第二份宿主类型面。

package/client.js

@@ -6,6 +6,13 @@ window.__ModuleLoader__.load({
     var exports = module.exports;
 Object.defineProperty(exports, Symbol.toStringTag, { value: "Module" });
 let react = require("react");
+//#region node_modules/@jayyuen66/dsh-plugin-shared/dist/card-diff.js
+function e(e, t) {
+	let n = [];
+	for (let r of Object.keys(e)) JSON.stringify(e[r] ?? null) !== JSON.stringify(t[r] ?? null) && n.push(r);
+	return n;
+}
+//#endregion
 //#region src/ui-messages.ts
 const UI_MESSAGES = {
 	zh: {
@@ -171,12 +178,6 @@ function TextInputRow(props) {
 		}
 	})));
 }
-/** touched 层与快照的差异字段（值语义比较；undefined 与缺失等价）。 */
-function diffTouched(touched, value) {
-	const out = [];
-	for (const key of Object.keys(touched)) if (JSON.stringify(touched[key] ?? null) !== JSON.stringify(value[key] ?? null)) out.push(key);
-	return out;
-}
 function SaveBar(props) {
 	const { t } = props;
 	const dis = !props.writable || props.busy;
@@ -199,9 +200,9 @@ function SaveBar(props) {
 }
 /**
 * 逐键 await 写入并**消费受理位**（0.1.7 的 set/unset 回 Promise<boolean>：
-* true=宿主受理；false=拒绝或写入被跳过，settings.md:13 "refuses stale revisions"；
+* true=宿主受理；false=拒绝或写入被跳过（官方语义："refuses stale revisions"；
 * 传输失败才 reject）。false 或 rejection 都**不清 touched**——否则宿主拒写时
-* 卡片仍显示"已保存"，用户修改被静默丢弃（旧版 setTimeout 盲清正是这个缺陷）。
+* 卡片仍显示"已保存"，用户修改被静默丢弃。
 */
 async function writeTouched(channels) {
 	const { t, set, unset, keys, touched, setBusy, setSaveError, setTouched } = channels;
@@ -358,7 +359,7 @@ function DgCard(props) {
 	const [saveError, setSaveError] = (0, react.useState)(null);
 	/** 渲染取值：touched 优先，快照兜底（未触碰字段实时跟随外部快照）。 */
 	const eff = (field) => field in touched ? touched[field] : value[field];
-	const dirty = diffTouched(touched, value).length > 0;
+	const dirty = e(touched, value).length > 0;
 	const setField = (field, val) => {
 		setTouched((prev) => ({
 			...prev,
@@ -372,7 +373,7 @@ function DgCard(props) {
 		}));
 	};
 	const save = () => {
-		const keys = diffTouched(touched, value);
+		const keys = e(touched, value);
 		if (keys.length === 0) return;
 		setBusy(true);
 		setSaveError(null);
@@ -472,7 +473,6 @@ function apply(ctx) {
 }
 //#endregion
 exports.apply = apply;
-exports.diffTouched = diffTouched;
 exports.inject = inject;
     return module.exports;
   },

package/cordis.patch.yml

@@ -1,4 +1,4 @@
-# quality-gate（2026-09-03）：回合收口质量门禁。
+# quality-gate：回合收口质量门禁。
 # ECC（MIT, github.com/affaan-m/ECC）stop-format-typecheck 移植：
 #   - 编辑记账：本回合编辑过的代码/配置文件（O(1)，md 等非代码面豁免）；
 #   - agent/turn-stopping 批处理：从编辑路径向上探测最近清单根
@@ -11,7 +11,7 @@
 # 设置卡：enabled / 注入配额 / 门禁预算 / 记忆反馈（开关 + 网关地址 + 密钥凭据引用，
 # 记忆反馈默认关闭且地址默认为空 = 不启用；密钥走 dsh 凭据通道，不落设置）。
 #
-# 组合包层（2026-09-05 bundle 化）：本文件由 package.json 的 dsh.bundle.patch
+# 组合包层：本文件由 package.json 的 dsh.bundle.patch
 # 指向，随 `dsh plugin --profile web add/remove ./plugins/quality-gate` 维护。
 # 行按裸包名引用本包（client-modules 只扫描裸包名条目的 dsh.client 声明）。
 # 注意 pnpm ≥12.3.0：12.0.0 的 add 本地目录有 #14437 bug。

package/host.js

@@ -1,4 +1,5 @@
 // GENERATED by build-host.mjs — edit host.ts / lib/*.ts, then run `node build-host.mjs`.
+import { createRequire } from "node:module";
 import { closeSync, existsSync, openSync, readFileSync, readSync } from "node:fs";
 import { randomUUID } from "node:crypto";
 import path from "node:path";
@@ -30,7 +31,7 @@ const DEFAULT_MAX_FILES = 500;
 var EditAccumulator = class {
 	files = /* @__PURE__ */ new Set();
 	maxFiles;
-	/** 容量淘汰累计丢弃数：drain 时清零（C10：500-cap 静默淘汰可观测）。 */
+	/** 容量淘汰累计丢弃数：drain 时清零（静默淘汰要可观测）。 */
 	dropped = 0;
 	constructor(options = {}) {
 		this.maxFiles = options.maxFiles ?? DEFAULT_MAX_FILES;
@@ -44,11 +45,10 @@ var EditAccumulator = class {
 		this.files.add(filePath);
 	}
 	/**
-	* 淘汰插入序最旧的一项并计数。调用点已保证集合非空（`size >= maxFiles >= 1`，本包
-	* maxFiles 只取默认 500 或测试里的 2），所以原意是**取首项这一次动作**，不是迭代——
-	* 旧写法拿 `for…of` + 无条件 `break` 伪装单次取值，那正是 eslint(no-unreachable-loop)
-	* 判的「循环体只允许一次迭代」：循环结构在这里没有承载任何语义。改成直接取首个元素，
-	* 单次淘汰的行为（删最旧 + 计数）与原样一致。
+	* 淘汰插入序最旧的一项并计数。`maxFiles` 配成 0 时调用点对空集也成立，所以取到的首项
+	* 可以不存在——那一支什么都不做，由该退化配置的用例钉住。
+	* 这里只需要**取首项这一次动作**，不需要迭代：`for…of` + 无条件 `break` 正是
+	* eslint(no-unreachable-loop) 判的「循环体只允许一次迭代」——循环结构在这里不承载任何语义。
 	*/
 	evictOldest() {
 		const [oldest] = this.files;
@@ -56,7 +56,7 @@ var EditAccumulator = class {
 		this.files.delete(oldest);
 		this.dropped += 1;
 	}
-	/** 自上次 drain 以来容量淘汰丢弃的文件数（C10：>0 时 host 侧 console.warn）。 */
+	/** 自上次 drain 以来容量淘汰丢弃的文件数（>0 时 host 侧 console.warn）。 */
 	droppedCount() {
 		return this.dropped;
 	}
@@ -106,11 +106,7 @@ function gateForRoot(entry) {
 	};
 	else if (has("package.json") && has("tsconfig.json")) gate = {
 		root,
-		command: [
-			"npx",
-			"tsc",
-			"--noEmit"
-		]
+		command: ["tsc", "--noEmit"]
 	};
 	return gate;
 }
@@ -144,7 +140,6 @@ const MESSAGES = {
 		toolMissing: "命令不存在（工具未安装）",
 		toolNotExecutable: "命令不可执行",
 		toolNotRun: "{cause}，门禁没有运行。",
-		toolStub: "门禁工具本身不可用（npx 抓到的是 stub 包，不是真工具）。",
 		policyUnresolvable: "沙箱策略无法解析（{message}），门禁拒绝在未确认的沙箱边界下执行。",
 		sandboxUnavailable: "沙箱在本机不可用（{message}）：命令被拒绝执行，未做任何检查。",
 		gateStartFailed: "门禁未能启动（{message}）。",
@@ -168,7 +163,6 @@ const MESSAGES = {
 		toolMissing: "command not found (tool not installed)",
 		toolNotExecutable: "command not executable",
 		toolNotRun: "{cause} — the gate did not run.",
-		toolStub: "The gate tool itself is unavailable (npx fetched a stub package, not the real tool).",
 		policyUnresolvable: "The sandbox policy could not be resolved ({message}); the gate refuses to run under an unconfirmed sandbox boundary.",
 		sandboxUnavailable: "The sandbox is unavailable on this machine ({message}): the command was denied and no check was performed.",
 		gateStartFailed: "The gate failed to start ({message}).",
@@ -190,8 +184,7 @@ function renderTemplate(text, params) {
 //#endregion
 //#region lib/feedback-content.ts
 /** 门禁失败 → 记忆正文：单行化（防换行噪音）。
-*  去截断（用户拍板"不为省 token 降能力"）：旧实现 400 字符截尾会把
-*  多根错误的中间根因吃掉；记忆网关的入库限额由网关侧把关，这里送全文。
+*  不截断：截尾会吃掉多根错误里的中间根因；记忆网关的入库限额由网关侧把关，这里送全文。
 *  正文语言随官方 locale 偏好走（messages 由调用方按回合取出后传进来）——这条文本会被
 *  auto-recall 注入后续会话的上下文，是模型读的，不是日志。 */
 function buildFeedbackText({ command, root, failure }, messages) {
@@ -213,15 +206,32 @@ function envOr(key, fallback) {
 }
 /**
 * 网关基址：设置值优先，留空时回落到 TDAI_GATEWAY_URL（逃生门），**两处都空则为空串**。
-* 空串即"未配置"——调用方据此不启用记忆反馈。默认值不再是任何人的本机地址
-* （旧实现把作者机器上的 http://127.0.0.1:8420 写死成默认，别人每次门禁失败都去连一个
-* 不存在的服务）。设置优先于 env 的理由：设置卡是用户显式配置面，env 只能兜底，
+* 空串即"未配置"——调用方据此不启用记忆反馈。默认值不是任何本机地址：把某个开发机的
+* 端口写死成默认，等于让别人的每次门禁失败都去连一个不存在的服务。设置优先于 env 的理由：
+* 设置卡是用户显式配置面，env 只能兜底，
 * 否则用户改了设置卡仍被一个看不见的环境变量越权。
 */
 function resolveGatewayUrl(settingUrl) {
 	const configured = settingUrl.trim();
 	return (configured === "" ? envOr("TDAI_GATEWAY_URL", "") : configured).replace(/\/+$/u, "");
 }
+/**
+* 凭据只允许发往 https 或回环地址：明文 http 到远端会把 Bearer 令牌暴露给同网段
+* （设置卡默认值就是本机 http，属有意用法）。返回 false 时调用方按"未配置"处理，
+* 不解析、不发送凭据。
+*/
+function isCredentialSafeUrl(url) {
+	let parsed;
+	try {
+		parsed = new URL(url);
+	} catch {
+		return false;
+	}
+	if (parsed.protocol === "https:") return true;
+	if (parsed.protocol !== "http:") return false;
+	const host = parsed.hostname.replaceAll(/^\[|\]$/gu, "");
+	return host === "localhost" || host === "127.0.0.1" || host === "::1";
+}
 /** x-tdai-service-id：env 可覆盖，默认是网关协议的匿名服务名（不含任何机器信息）。 */
 function resolveServiceId() {
 	return envOr("TDAI_SERVICE_ID", "default");
@@ -266,12 +276,13 @@ async function pushGateFeedback(input, target, messages) {
 //#region host.ts
 /**
 * 常见项目根标记文件：向上找最近的含清单目录。
-* ruff.toml 必须在列（审计 LOW-MED 项）：只有 ruff 配置、无 pyproject.toml 的 Python
+* ruff.toml 必须在列：只有 ruff 配置、无 pyproject.toml 的 Python
 * 工程若不在此登记，gate-detect 的 has("ruff.toml") 就是死码——那类工程根本得不到根，
 * 也就永远没有门禁。
 */
+const PKG_MANIFEST = "package.json";
 const MANIFESTS = [
-	"package.json",
+	PKG_MANIFEST,
 	"Cargo.toml",
 	"pyproject.toml",
 	"pnpm-workspace.yaml",
@@ -292,14 +303,15 @@ const GATE_SOURCE_KIND = "plugin:quality-gate";
 const GATE_KIND_CODE_FAILURE = "code-failure";
 /** 设置面（= profile 条目 `quality-gate` 的可编辑表单）与 loader 行 config 共用同一份
 *  schema（单源，防漂移）。六个字段**全部** `.volatile()`：没有任何 volatile 字段的条目
-*  会被宿主 describe() 整条跳过（packages/settings/settings/src/index.ts:308-309），
-*  写入则抛 `has no volatile fields`（:386）。
+*  会被宿主 describe() 整条跳过（installed @deepseek-ai/dsh-settings/lib/index.js:413-418
+*  只在 volatileForm(schema) 有值时才登记条目），写入则抛
+*  `has no volatile fields`（:505-506）。
 *  两个策略陷阱（都锁在下面对应的行内注释里，改默认前先读）：
 *   - `memoryGatewayUrl` 的默认是**空串**而不是缺省：`""` + feedback-off = 永不推送，
 *     换成 undefined 会把"未配置"变成"字段不存在"，行为不再等价；
 *   - `memoryGatewayKeyRef` 的 `.role('credential-ref')` 与 `.volatile()` **共存**：role 只
-*     写 meta.role（fork 的 role/volatile 都是 `{...meta, k: v}` 展开，见
-*     vendor/schemastery/src/index.ts:463-482），不会抹掉 meta.volatile。 */
+*     写 meta.role（fork 的 role/volatile 都走 `extra`＝`{...meta, k: v}` 展开，见
+*     installed @deepseek-ai/schemastery/src/index.ts:385-389），不会抹掉 meta.volatile。 */
 const Config = Schema.object({
 	enabled: Schema.boolean().default(true).volatile(),
 	maxInjectsPerTurn: Schema.natural().min(1).max(5).default(2).volatile(),
@@ -330,8 +342,8 @@ function messageOf(error) {
 	return message;
 }
 /**
-* 会话级 Map 淘汰：把 keep 先删后插移到队尾（JS Map 迭代按插入序），再淘汰队首
-* (size - 50) 项 → keep 永不被淘汰，且总大小收敛。泛型复用：注入配额 Map（InjectState）、
+* 会话级 Map 淘汰：把 keep 先删后插移到队尾（JS Map 迭代按插入序），再淘汰队首超出
+* `SESSION_BUDGET` 的项 → keep 永不被淘汰，且总大小收敛。泛型复用：注入配额 Map（InjectState）、
 * 事件游标 Map（number）与编辑累加器 Map（EditAccumulator）共用同一策略。
 * keep 不在表内 → 直接返回（inbox-busy 分支的 injectState 就会命中：该会话从未失败过）。
 */
@@ -348,13 +360,12 @@ function pruneToSessionBudget(map, keep) {
 	}
 }
 /**
-* 根会话判定（与 ctx-observe/lesson-loop 同款口径）：子代理会话
-* （delegationDepth>0 或 origin==='subagent'）跳过门禁。
+* 根会话判定：子代理会话（delegationDepth>0 或 origin==='subagent'）跳过门禁。
 *
-* agent/turn-stopping 对每个 agent（含 in-process fork/spawn 子代理）都触发，
-* 旧实现未过滤子代理 → ①父会话与子代理对同一项目根各跑一遍门禁（token/耗时翻倍）；
+* agent/turn-stopping 对每个 agent（含 in-process fork/spawn 子代理）都触发，不过滤的后果有
+* 两条：①父会话与子代理对同一项目根各跑一遍门禁（token/耗时翻倍）；
 * ②失败注入文案面向用户，却 followup 进子代理——结算前到达会多拖一轮子代理回合，
-* 结算后到达则滞留 inbox 被丢弃（门禁静默失效）。统一改为只对根会话收口。
+* 结算后到达则滞留 inbox 被丢弃（门禁静默失效）。所以只对根会话收口。
 *
 * out-of-process 子代理（ACP/claude-code/codex）
 * 在独立进程运行，不发射 dsh 的 agent 事件，其编辑天然不在任何门禁面内；in-process
@@ -374,7 +385,7 @@ function inboxHasPending(inbox) {
 * （官方 agent.ts：turn-stopping 在 running 相内 serial 分发，转 idle 发生在回合结束之后），
 * 故绝不能用 status 判 idle。改用数据信号：turn signal 已取消、或 inbox 有待处理
 * （用户接管/已排队工作）→ 不注入（对齐官方 "Data decides" 语义）。
-* 插件卸载的拦截不在这里：W4 起 disposer abort 在飞门禁批次，迟到结果在批次层就地丢弃
+* 插件卸载的拦截不在这里：disposer abort 在飞门禁批次，迟到结果在批次层就地丢弃
 * （见 processGate），到不了注入点——卸载收口比"注入前拦一下"更强。
 */
 function preInjectCheck(agent, signal) {
@@ -392,17 +403,34 @@ function preInjectCheck(agent, signal) {
 	};
 }
 /**
-* 判定门禁失败是否为"工具本身不可用"（而非代码问题）。
-*
-* `npx tsc` 在项目未装 typescript 时会**自动安装**已弃用的 stub 包 `tsc@2.0.4`，
-* 它打印横幅并以 exit 1 退出——不是 126/127，所以只按退出码判定会误报为代码失败。
-* 实测：`npx --no-install` 在本机拦不住 stub（已从 npx 缓存解析），
-* 所以必须在输出侧识别，不能只靠加 flag。
+* 本次门禁要跑的 tsc 入口：优先工程自己装的 typescript（与工程惯用的编译器版本一致），
+* 装不到时用本包依赖的那份（随包安装，运行期无网络动作）。两处都解析不到时回落到 PATH 上的
+* `tsc`，由 126/127 那条「工具不可用」出口报成未执行——绝不走 `npx` 的自动下载。
 */
-function gateToolUnavailable(stdout, stderr) {
-	const out = `${stdout}\n${stderr}`.toLowerCase();
-	if (out.includes("not the tsc command you are looking for")) return true;
-	return out.includes("npm warn deprecated tsc@");
+function tscEntry(root) {
+	let entry;
+	for (const from of [path.join(root, PKG_MANIFEST), import.meta.url]) try {
+		const manifest = createRequire(from).resolve("typescript/package.json");
+		entry = path.join(path.dirname(manifest), "bin", "tsc");
+		break;
+	} catch {}
+	return entry;
+}
+/** 门禁命令的实际 argv：tsc 的门禁只带逻辑名，入口在运行时按工程根解析。 */
+function gateCommandArgs(gate) {
+	if (gate.command[0] !== "tsc") return gate.command;
+	/* v8 ignore next 1 —— 本包自己的 typescript 解析不到（安装面坏了）时才走 PATH 回落；
+	正常安装不可达，而那一路由 126/127 报成未执行。 */
+	return [tscEntry(gate.root) ?? "tsc", "--noEmit"];
+}
+/** 拼 shell 串：路径可能带空格，含空白或元字符的参数加单引号。
+*  导出只为直接测这段引号处理：tsc 入口是绝对路径，它所在目录未必没有空格。 */
+function shellArg(part) {
+	return /^[\w./:=@+-]+$/u.test(part) ? part : `'${part.replaceAll("'", `'\\''`)}'`;
+}
+/** 门禁命令的展示/执行串（与 gateCommandArgs 同源）。 */
+function gateCommandText(gate) {
+	return gateCommandArgs(gate).map((part) => shellArg(part)).join(" ");
 }
 /** harness run() 抛出的 SandboxUnavailableError（code 或 name 命中即可）。 */
 function isSandboxUnavailable(error) {
@@ -433,11 +461,11 @@ function headExcerpt(file) {
 * 证据文本。
 *
 * tsc/cargo 等错误自顶向下，**首条才是根因**，而 harness CollectedOutput 截断时保留的是
-* **尾部**（packages/subprocess/src/types.ts）——旧实现从不查 truncated，根因错误被静默
-* 丢掉，注入给模型的"修这些错"只剩残尾（审计 MEDIUM 项）。现在：
+* **尾部**（installed @deepseek-ai/dsh-subprocess/lib/types/types.d.ts:18-23）——
+* 于是不读 `truncated` 就把根因错误静默丢掉，注入给模型的"修这些错"只剩残尾。必须：
 *   ①显式标注截断；②从 spillPath 有界读回头部摘录放在最前；③无落盘文件时明确说明
 *   首个错误可能已丢弃，让模型与用户都知道证据不完整。
-* 未截断时不叠加第二层截断（用户拍板"不为省 token 降能力"，上限由 shell 的
+* 未截断时不叠加第二层截断（不为省 token 降能力，上限由 shell 的
 * stdoutMaxBytes 把关）。
 */
 function evidenceText(messages, stream, label) {
@@ -455,7 +483,7 @@ function evidenceText(messages, stream, label) {
 	return out;
 }
 const gateText = (messages, gate, out) => renderTemplate(messages.gateFailed, {
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root,
 	output: out
 });
@@ -464,22 +492,22 @@ const gateText = (messages, gate, out) => renderTemplate(messages.gateFailed, {
 * 让模型去修一个装不上的工具/越不过去的沙箱，只会配着配额环烧 token。
 */
 const notRunText = (messages, gate, reason) => renderTemplate(messages.gateNotRun, {
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root,
 	reason
 });
 /** 配额耗尽后的"放行说明"（用户可见，不再静默 return）。 */
 const giveUpText = (messages, gate, attempts) => renderTemplate(messages.gaveUp, {
 	attempts,
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root
 });
 /** 未执行清单的一行（模块级：不让 renderTemplate 套进 map 再套进 renderTemplate）。 */
 const skippedGateLine = (messages, gate) => renderTemplate(messages.skippedGateItem, {
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root
 });
-/** 预算耗尽后剩余门禁的"未执行"清单（审计 MEDIUM 项：只 warn = 静默通过）。 */
+/** 预算耗尽后剩余门禁的"未执行"清单：只 warn 等于静默通过，所以要注入给模型与用户。 */
 const skippedText = (messages, gates) => renderTemplate(messages.gatesSkipped, {
 	budgetMs: MIN_USEFUL_GATE_MS,
 	list: gates.map((gate) => skippedGateLine(messages, gate)).join("\n")
@@ -535,12 +563,12 @@ function interruptedRunOutcome(messages, budgetMs, res) {
 *
 * 环境问题非代码问题：走失败注入会让模型去"修"装不了的工具（配合配额环更糟）。
 * 但它同样是"没跑成的检查"，所以按 not-run 注入"请手动确认"，不再算作通过
-* （审计：没跑成 ≠ 通过）。
+* ——没跑成 ≠ 通过。
 */
 function unavailableToolOutcome(messages, gate, res, log) {
 	let outcome;
 	if (res.exitCode === 126 || res.exitCode === 127) {
-		log.warn(`[quality-gate] gate tool unavailable (exit ${res.exitCode}): ${gate.command.join(" ")} — reported as not-run, not as pass`);
+		log.warn(`[quality-gate] gate tool unavailable (exit ${res.exitCode}): ${gateCommandText(gate)} — reported as not-run, not as pass`);
 		const cause = res.exitCode === 127 ? messages.toolMissing : messages.toolNotExecutable;
 		outcome = {
 			kind: "not-run",
@@ -552,13 +580,14 @@ function unavailableToolOutcome(messages, gate, res, log) {
 /**
 * 把一次 shell.execute().result() 结果分类成三态（纯函数：不进 ctx，每条分支都可测）。
 *
-* harness 的 ShellRunResult.sandbox 与退出码**正交**上报（packages/shell/shell/src/types.ts：
+* harness 的 ShellRunResult.sandbox 与退出码**正交**上报（installed
+* @deepseek-ai/dsh-shell/lib/types/types.d.ts:28：
 * "Facts are reported independently of process exit status so callers can distinguish
-* command failures from policy denials and runner failures"），旧实现从不读它 →
-* 策略拒绝被当成代码失败注入"修这些错"（审计 HIGH 项）。
+* command failures from policy denials and runner failures"），所以必须读它——不读就会把
+* 策略拒绝当成代码失败注入"修这些错"。
 *
 * 判定序（三支各自成函数，顺序与 warn 次数都不变）：沙箱面拦截 → 进程没跑完 →
-* 工具装不上（126/127）→ exit 0（部分生效沙箱只 warn）→ npx stub 横幅 → 代码失败。
+* 工具装不上（126/127）→ exit 0（部分生效沙箱只 warn）→ 代码失败。
 */
 function classifyRun(messages, gate, budgetMs, res, log) {
 	const facts = res.sandbox;
@@ -571,16 +600,9 @@ function classifyRun(messages, gate, budgetMs, res, log) {
 	const unusable = unavailableToolOutcome(messages, gate, res, log);
 	if (unusable !== void 0) return unusable;
 	if (res.exitCode === 0) {
-		if (facts?.enforcement === "partial") log.warn(`[quality-gate] gate passed under PARTIAL sandbox enforcement (${sandboxNote(messages, facts)}): ${gate.command.join(" ")} @ ${gate.root}`);
+		if (facts?.enforcement === "partial") log.warn(`[quality-gate] gate passed under PARTIAL sandbox enforcement (${sandboxNote(messages, facts)}): ${gateCommandText(gate)} @ ${gate.root}`);
 		return { kind: "pass" };
 	}
-	if (gateToolUnavailable(res.stdout.text, res.stderr.text)) {
-		log.warn(`[quality-gate] gate tool unavailable (npx fetched a stub instead of the real tool): ${gate.command.join(" ")} in ${gate.root} — reported as not-run`);
-		return {
-			kind: "not-run",
-			text: `${messages.toolStub}\n${evidenceText(messages, res.stderr, "stderr")}`
-		};
-	}
 	return {
 		kind: GATE_KIND_CODE_FAILURE,
 		text: `exit=${res.exitCode}\n${evidenceText(messages, res.stdout, "stdout")}${evidenceText(messages, res.stderr, "stderr")}`
@@ -614,21 +636,21 @@ function isArrayDelivery(value) {
 /**
 * 解析事件游标窗口：fork 切点下限 vs 上次已读 seq 取大，返回起始 seq 与本批事件。
 * 事件流取自官方 `ctx.sessionQuery.observeSession(sessionId)`（见上面 SessionQueryFace：
-* 一次交回 `events` 与 `inheritedEventCount`）。三条降级路径一律 `undefined`（调用方直接
-* 返回，**游标不推进**、不误报）：① `sessionQuery` 未装配（`Context["get"]` 的官方语义即
-* "or `undefined` when not (yet) provided"，installed cordis/lib/types/reflect.d.ts:12）；
-* ② `observeSession` 抛错/拒绝（会话已卸载、存储读不出）；③ 交回的 events 不是数组
-* （契约外交付，由 `isArrayDelivery` 那道**布尔**判据挡——不用 `Array.isArray` 作守卫收窄，
-* 它会把官方 `readonly SessionEvent[]` 塌成 `any[]`，类型面当场作废并把 any 传进下游记账）。
+* 一次交回 `events` 与 `inheritedEventCount`）。两条降级路径一律 `undefined`（调用方直接
+* 返回，**游标不推进**、不误报）：① `observeSession` 抛错/拒绝（会话已卸载、存储读不出）；
+* ② 交回的 events 不是数组（契约外交付，由 `isArrayDelivery` 那道**布尔**判据挡——不用
+* `Array.isArray` 作守卫收窄，它会把官方 `readonly SessionEvent[]` 塌成 `any[]`，类型面
+* 当场作废并把 any 传进下游记账）。`sessionQuery` 服务本身缺席是第三条降级，判定在
+* `readEditedFiles`（那里才能发 warn-once）。
 * 窗口仍由**本地按 from 切片**：观察面给的是自日志开头的连续切片（`seq = log.length`
-* 连续性契约，installed dsh-session/lib/index.js:1285 的注记），而 `from` 是本包游标算出的
+* 连续性契约，installed dsh-session/lib/index.js:1476 的注记），而 `from` 是本包游标算出的
 * 裸 number——这样连 `SessionLogOffset` 的品牌都不必造（官方只要 `SessionId`，那一位从
 * `Session.id` 上拿回来就是品牌的）。
 */
 async function resolveEventWindow(query, sessionId, lastSeq) {
 	let window;
-	if (query !== void 0) try {
-		const observation = await query.observeSession(sessionId);
+	try {
+		const observation = await query.observeSession(sessionId, { projectionMode: "none" });
 		const forkCut = observation.inheritedEventCount ?? 0;
 		const from = Math.max(forkCut, lastSeq.get(sessionId) ?? forkCut);
 		if (isArrayDelivery(observation.events)) window = {
@@ -661,7 +683,7 @@ function collectEdits(events) {
 	const noCallId = [];
 	const failed = /* @__PURE__ */ new Set();
 	const { calls, results } = scanToolEvents(events);
-	for (const call of calls) if (call.name !== void 0 && isEditTool(call.name) && !call.badArguments) {
+	for (const call of calls) if (isEditTool(call.name) && !call.badArguments) {
 		const target = editPathOf(call);
 		if (target.kind === "write") storeEdit(call.callId, {
 			name: call.name,
@@ -676,7 +698,7 @@ function collectEdits(events) {
 	};
 }
 /** 单文件向上找最近的清单根；hitDepthLimit 标记是否因超深而无根（供可观测 warn）。
-*  maxDepth 来自 Config 的 maxRootDepth（W4 非 volatile 部署值）。 */
+*  maxDepth 来自 Config 的 maxRootDepth（非 volatile 部署值）。 */
 function findManifestRoot(file, maxDepth) {
 	let dir = path.dirname(file);
 	let found;
@@ -746,8 +768,8 @@ const injectMessage = (text) => ({
 /**
 * 总线上报（自进化闭环）：门禁失败是事实，无论注入与否都要沉淀
 * ——修复环里同一门禁反复失败会形成 violation 序列，度量"提醒有没有用"。
-* 但"没跑成"以 gate-not-run 单独上报：环境/策略问题不得被学成代码教训（审计 HIGH 项
-* 的第二半——假的失败指令曾经既进注入又进记忆/lesson-loop）。
+* 但"没跑成"以 gate-not-run 单独上报：环境/策略问题不得被学成代码教训——假的失败指令
+* 一旦既进注入又进记忆/lesson-loop，闭环就学会了错的东西。
 * report 自身容错（同步抛错与异步拒绝经 settleLessonCall 落进同一条 warn）；
 * 总线缺失（未装 lesson-loop）时 get 返回 undefined 直接跳过。
 */
@@ -758,7 +780,7 @@ function reportProblemToBus(get, attribution, gate, problem, log) {
 		cwd: attribution.cwd,
 		sessionId: attribution.sessionId,
 		turn: attribution.turn,
-		signature: gate.command.join(" "),
+		signature: gateCommandText(gate),
 		detail: problem.text,
 		evidence: {
 			root: gate.root,
@@ -785,6 +807,10 @@ async function resolveFeedbackTarget(cfg, credentials) {
 		ok: false,
 		reason: "memoryGatewayUrl 未配置（留空 = 不启用记忆反馈）"
 	};
+	if (!isCredentialSafeUrl(url)) return {
+		ok: false,
+		reason: `memoryGatewayUrl ${url} 是明文 http 且非回环：Bearer 凭据只发往 https 或本机`
+	};
 	if (!isCredentialRefName(cfg.memoryGatewayKeyRef)) return {
 		ok: false,
 		reason: `memoryGatewayKeyRef "${cfg.memoryGatewayKeyRef}" 不是合法凭据引用名`
@@ -828,9 +854,8 @@ async function pushFeedbackToMemory(get, notice, cfg, messages, input) {
 		notice.log.warn(`[quality-gate] memory feedback skipped: ${messageOf(error)}`);
 	}
 }
-/** 一次读全的解析后设置快照（旧 scope.get() 的等价物）：门禁按回合现读，纯值往下传，
-*  不必让每个消费方都持有引用。官方同款读法见 harness
-*  packages/llm/llm-deepseek/src/config.ts 的 `plainOptions(config)`。 */
+/** 一次读全的解析后设置快照（`scope.get()` 的等价物）：门禁按回合现读，纯值往下传，
+*  不必让每个消费方都持有引用——所有 `.volatile()` 引用一次 `.get()` 成普通值。 */
 function settingsOf(config) {
 	return {
 		enabled: config.enabled.get(),
@@ -858,20 +883,40 @@ function isGateHost(value) {
 	return typeof get === "function" && typeof on === "function" && typeof effect === "function" && typeof inject === "function" && isRecord(fiber) && typeof fieldOf(settings, "describe") === "function" && typeof fieldOf(settings, "configure") === "function";
 }
 /**
-* 从编辑文件路径向上找最近的清单根（层数上限 = Config 的 maxRootDepth，W4 非 volatile
+* 一个文件的最近清单根 → 实际要跑的根：workspace 根优先，**但只在外层真能产出门禁时**才升级。
+*
+* 只判「上面有没有 pnpm-workspace.yaml」就升级是漏门禁的一条路：外层若是"有 workspace 清单、
+* 却没有 check 脚本也没有 tsconfig"的根，gate-detect 对它返回空表，子包本来有的
+* `npx tsc --noEmit` / `ruff check` 会被这次上溯抹掉，且没有任何输出。
+*/
+function rootForFile(useRoot, maxDepth) {
+	const inner = probeProjectRoot(useRoot);
+	const upgraded = workspaceRootUpgrade(useRoot, maxDepth);
+	if (upgraded === useRoot) return inner;
+	const outer = probeProjectRoot(upgraded);
+	if (detectGate([outer]).length > 0) return outer;
+	return detectGate([inner]).length > 0 ? inner : outer;
+}
+/**
+* 从编辑文件路径向上找最近的清单根（层数上限 = Config 的 maxRootDepth，非 volatile
 * 部署值），每个根探一次真实盘上事实（清单名 + 已声明脚本）。找不到清单根的文件跳过
-* （无门禁面）。
+* （无门禁面）。同一内层根只判一次盘：一轮改几百个文件时逐文件重复探盘没有意义。
 */
 function projectRootsOf(files, maxDepth, log) {
 	const roots = /* @__PURE__ */ new Map();
+	const chosenByInner = /* @__PURE__ */ new Map();
 	for (const file of files) {
 		const hit = findManifestRoot(file, maxDepth);
 		const useRoot = hit.root;
 		if (useRoot === void 0) {
 			if (hit.hitDepthLimit) log.warn(`[quality-gate] no manifest within ${maxDepth} levels of ${file}; gate skipped for it`);
 		} else {
-			const upgraded = workspaceRootUpgrade(useRoot, maxDepth);
-			if (!roots.has(upgraded)) roots.set(upgraded, probeProjectRoot(upgraded));
+			let chosen = chosenByInner.get(useRoot);
+			if (chosen === void 0) {
+				chosen = rootForFile(useRoot, maxDepth);
+				chosenByInner.set(useRoot, chosen);
+			}
+			if (!roots.has(chosen.root)) roots.set(chosen.root, chosen);
 		}
 	}
 	return [...roots.values()];
@@ -879,15 +924,15 @@ function projectRootsOf(files, maxDepth, log) {
 /**
 * 执行一个门禁：只有 exitCode 0 才是 pass。
 * 超时/取消/信号/策略拒绝/工具装不上都走 classifyRun 的显式三态；
-* **catch 不再报通过**（审计 MEDIUM 项：workdir 不存在、spawn 失败、
-* SandboxUnavailableError 都曾落进 catch 被当 PASS）。
+* **catch 一律不报通过**：workdir 不存在、spawn 失败、SandboxUnavailableError
+* 都会落进 catch，而被当 PASS 就是漏门禁。
 */
 async function runGate(messages, shell, gate, budgetMs, context) {
 	const { policy, signal, stdoutMaxBytes, log } = context;
 	let outcome;
 	try {
 		const spec = shell.resolve({
-			command: gate.command.join(" "),
+			command: gateCommandText(gate),
 			workdir: gate.root,
 			stdoutMaxBytes,
 			timeoutMs: budgetMs,
@@ -896,7 +941,7 @@ async function runGate(messages, shell, gate, budgetMs, context) {
 		});
 		outcome = classifyRun(messages, gate, budgetMs, await (await shell.execute(spec)).result(), log);
 	} catch (error) {
-		log.error(`[quality-gate] gate did not run: ${gate.command.join(" ")} @ ${gate.root} — ${messageOf(error)}`);
+		log.error(`[quality-gate] gate did not run: ${gateCommandText(gate)} @ ${gate.root} — ${messageOf(error)}`);
 		const cause = messageOf(error);
 		outcome = isSandboxUnavailable(error) ? {
 			kind: "not-run",
@@ -914,17 +959,17 @@ async function runGate(messages, shell, gate, budgetMs, context) {
 * **不可写成 `svc.shell`**：cordis ctx 的 Proxy get 陷阱对未列入 `inject` 的属性
 * 直接抛 `cannot get property "shell" without inject`（见 cordis reflect.ts 的
 * `ReflectService.handler.get`），于是下面的 `=== undefined` 判定永远走不到，
-* C9 静默放行分支形同虚设，且每回合结束都冒一个 turn 错误卡。
+* 无 shell 时的静默放行分支形同虚设，且每回合结束都冒一个 turn 错误卡。
 * shell 服务由 host 组合（@deepseek-ai/dsh-shell 的 Service 构造即注册），
-* 正常环境下 get 命中；异常环境才落 C9。
+* 正常环境下 get 命中；异常环境才走静默放行。
 *
 * **也不加 `?? svc.shell` 兜底**：shell 真缺失时右值会重新触发同一个抛错，
-* 兜底反而把 C9 再打断。mock 需实现 get() 才有意义。
+* 兜底反而把静默放行再打断。mock 需实现 get() 才有意义。
 */
 function getShell(rt) {
 	return rt.svc.get("shell");
 }
-/** 取本会话的解析后沙箱策略（审计 HIGH 项）。`session` 交官方 `Session` 类本身：
+/** 取本会话的解析后沙箱策略。`session` 交官方 `Session` 类本身：
 *  官方 `SandboxPolicyRequest.session` 就是这个类（@deepseek-ai/dsh-sandbox-policy/lib/
 *  types/index.d.ts:52），而 `Session` 带私有字段、按名义比 —— 本包那个只服务退役中同步
 *  读面的 SessionRef 视图交不进去，编译器原话：`Type 'SessionRef' is missing the following
@@ -966,12 +1011,12 @@ function accumulatorOf(rt, sessionId) {
 }
 /**
 * 从事件流读本回合**成功**编辑的文件（按官方观察面给的增量窗），记进本会话的账。
-* 低危修复（authoritative 记账）：被 danger-guard 拒绝或执行失败的编辑，其 tool/call
-* 仍在事件流里——旧实现照记，会对未真正改动的文件（若落在独立项目根）多跑一次门禁。
-* 改为：tool/call 建 callId→{name,path}，tool/result 的 isError 标记失败 callId，只记成功的。
+* 被 danger-guard 拒绝或执行失败的编辑，其 tool/call 仍在事件流里——照记就会对未真正
+* 改动的文件（若落在独立项目根）多跑一次门禁。所以 tool/call 建 callId→{name,path}，
+* tool/result 的 isError 标记失败 callId，只记成功的。
 * turn-stopping 时本回合 call+result 同处一个增量窗，单次扫描即可关联；无 callId 的事件
 * （异常/旧形状/测试 mock）保守直记，避免漏门禁。
-* fork 前缀修复（源码核对 0.1.3 后落地）：子代理会话 fork 自父会话时，
+* fork 前缀：子代理会话 fork 自父会话时，
 * 事件流含父事件前缀，游标从 0 首读会把父会话的历史编辑一并计入、多跑门禁。
 * Session.inheritedEventCount（0.1.2-rc.1 起公开只读）给出 fork 切点——首读下限
 * 取切点而非 0，父前缀天然跳过；缺属性退回 0（旧行为，保守不漏门禁）。
@@ -979,8 +1024,22 @@ function accumulatorOf(rt, sessionId) {
 async function readEditedFiles(rt, agent, acc) {
 	const { session } = agent;
 	const sessionId = session.id;
-	const window = await resolveEventWindow(rt.svc.get("sessionQuery"), sessionId, rt.lastSeqBySession);
-	if (window === void 0) return;
+	const query = rt.svc.get("sessionQuery");
+	if (query === void 0) {
+		if (!rt.queryMissingWarned) {
+			rt.queryMissingWarned = true;
+			rt.log.warn("[quality-gate] sessionQuery service unavailable; edit accounting is off, so no gate will run");
+		}
+		return;
+	}
+	const window = await resolveEventWindow(query, sessionId, rt.lastSeqBySession);
+	if (window === void 0) {
+		if (!rt.queryReadWarned) {
+			rt.queryReadWarned = true;
+			rt.log.warn("[quality-gate] session event read returned no window; this turn's gate is skipped (further read failures stay silent)");
+		}
+		return;
+	}
 	rt.lastSeqBySession.set(sessionId, window.from + window.events.length);
 	pruneToSessionBudget(rt.lastSeqBySession, sessionId);
 	const edits = collectEdits(window.events);
@@ -1053,7 +1112,7 @@ function handleGateFailure(scope, target, problem) {
 	}
 }
 /** 卸载收口的读法：两次判读之间隔着 `await runGate(...)`，那期间 disposer 的 abort() 是真会
-*  发生的（W4 收口由测试钉住）；直接读 `gateAbort.signal.aborted` 会被控制流分析钉在前一次
+*  发生的（卸载收口由测试钉住）；直接读 `gateAbort.signal.aborted` 会被控制流分析钉在前一次
 *  判读的 false 上（属性窄不跨 await 复位），后一处守卫就被判成恒假。经函数取值 ⇒ 每读都按
 *  声明的 boolean 算，守卫才是必要的。 */
 function gateAborted(rt) {
@@ -1096,14 +1155,13 @@ async function processGate(state, left) {
 	if (!handleGateFailure(scope, gate, outcome)) await processGate(state, left.slice(1));
 }
 /**
-* 一趟门禁批次：C4 按总预算封顶（perGate 保底 10s 会超支）——跟踪已花时间，每门
+* 一趟门禁批次：按总预算封顶（perGate 保底 10s 会超支）——跟踪已花时间，每门
 * min(perGate, remaining)。尾段不足最小可用预算（真实 tsc/pnpm 冷启动也要数秒，几百 ms
-* 必超时 → 假"超时失败"注入）时**注入未执行说明**——旧实现只 console.warn，那等于静默
-* 通过（审计 MEDIUM 项）。
+* 必超时 → 假"超时失败"注入）时**注入未执行说明**——只 console.warn 等于静默通过。
 *
-* W4 防御收口：①整段顶层 try/catch——批次自身故障只记一条 error，绝不产生
+* 防御收口：①整段顶层 try/catch——批次自身故障只记一条 error，绝不产生
 * unhandledRejection；②批次 promise 由调用方登记进在飞账本，disposer abort 后 await 收敛
-* （defensive-patterns.md:19-23：dispose 必须终止并等待在飞工作）。
+* （dispose 必须终止并等待在飞工作）。
 */
 async function runGateBatch(input) {
 	const { scope } = input;
@@ -1221,6 +1279,8 @@ function apply(ctx, config) {
 		gateAbort: new AbortController(),
 		inFlightGates: /* @__PURE__ */ new Set(),
 		shellWarned: false,
+		queryMissingWarned: false,
+		queryReadWarned: false,
 		disposed: false
 	};
 	svc.on("agent/turn-stopping", async (payload) => {
@@ -1245,4 +1305,4 @@ var host_default = {
 	apply
 };
 //#endregion
-export { Config, apply, host_default as default };
+export { Config, apply, host_default as default, shellArg };

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@jayyuen66/dsh-quality-gate",
-  "version": "0.1.0",
+  "version": "0.1.2",
   "description": "dsh 插件：回合收口质量门禁（在 agent/turn-stopping 按项目形态跑 pnpm check / cargo check / ruff check / tsc，未过则注入修复指令开新轮）",
   "license": "MIT",
   "author": "JayYuen",
@@ -12,7 +12,11 @@
     "icon.svg",
     "host.js",
     "client.js",
-    "cordis.patch.yml"
+    "cordis.patch.yml",
+    "README.md",
+    "README.zh-CN.md",
+    "CHANGELOG.md",
+    "THIRD_PARTY_NOTICES.md"
   ],
   "type": "module",
   "main": "host.js",
@@ -27,48 +31,51 @@
     "registry": "https://registry.npmjs.org"
   },
   "dependencies": {
-    "@deepseek-ai/dsh-credentials": "0.2.0-rc.2",
-    "@deepseek-ai/schemastery": "3.18.4",
-    "@jayyuen66/dsh-plugin-shared": "^0.1.0"
+    "@jayyuen66/dsh-plugin-shared": "^0.1.6",
+    "typescript": "7.0.2"
   },
   "devDependencies": {
-    "@deepseek-ai/cordis": "4.0.4",
-    "@deepseek-ai/dsh-agent": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-api-remotes": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-locale": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-store": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-layout": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-plugin-manager": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-renderer": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-settings": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-client-ui-slots": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-llm": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-package-manifest": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-sandbox": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-sandbox-policy": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-scope": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-session": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-session-projection": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-session-query": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-session-title": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-settings": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-shell": "0.2.0-rc.2",
-    "@deepseek-ai/dsh-subprocess": "0.2.0-rc.2",
-    "@types/node": "26.6.3",
+    "@deepseek-ai/cordis": "4.0.5",
+    "@deepseek-ai/dsh-agent": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-api-remotes": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-locale": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-store": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-layout": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-plugin-manager": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-renderer": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-settings": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-client-ui-slots": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-credentials": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-llm": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-package-manifest": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-sandbox": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-sandbox-policy": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-scope": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-session": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-session-projection": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-session-query": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-session-title": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-settings": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-shell": "0.2.1-rc.2",
+    "@deepseek-ai/dsh-subprocess": "0.2.1-rc.2",
+    "@deepseek-ai/schemastery": "3.18.5",
+    "@types/node": "26.6.5",
     "@types/react": "19.3.0",
-    "@vitest/coverage-v8": "5.0.2",
+    "@vitest/coverage-v8": "5.0.5",
     "eslint-plugin-sonarjs": "4.2.2",
-    "oxfmt": "0.71.0",
-    "oxlint": "1.86.0",
-    "oxlint-tsgolint": "7.0.2003",
+    "oxfmt": "0.73.0",
+    "oxlint": "1.88.0",
+    "oxlint-tsgolint": "7.0.2004",
     "react": "^19.3.0",
-    "rolldown": "1.2.11",
+    "rolldown": "1.2.14",
     "typescript": "7.0.2",
-    "vite": "8.3.1",
-    "vitest": "5.0.2"
+    "vite": "8.3.4",
+    "vitest": "5.0.5"
   },
   "peerDependencies": {
-    "@deepseek-ai/dsh": "^0.2.0-rc.2"
+    "@deepseek-ai/dsh": "^0.2.1-rc.2",
+    "@deepseek-ai/dsh-credentials": "0.2.1-rc.2",
+    "@deepseek-ai/schemastery": "3.18.5"
   },
   "peerDependenciesMeta": {
     "@deepseek-ai/dsh": {
@@ -77,7 +84,8 @@
   },
   "icon": "icon.svg",
   "engines": {
-    "dsh": ">=0.2.0-rc.2"
+    "dsh": "^0.2.1-rc.2",
+    "node": ">=22.12.0"
   },
   "dsh": {
     "manifestVersion": 1,
@@ -93,7 +101,8 @@
     "typecheck": "tsc --noEmit -p tsconfig.json && tsc --noEmit -p tsconfig.client.json",
     "lint": "oxlint .",
     "test": "vitest run --coverage",
-    "check": "npm run --loglevel=warn typecheck && npm run --loglevel=warn lint && npm run --loglevel=warn build:client && npm run --loglevel=warn build && npm run --loglevel=warn test && npm run --loglevel=warn fmt:check",
+    "check:pack": "node pack-check.mjs",
+    "check": "npm run --loglevel=warn typecheck && npm run --loglevel=warn lint && npm run --loglevel=warn build:client && npm run --loglevel=warn build && npm run --loglevel=warn test && npm run --loglevel=warn check:pack && npm run --loglevel=warn fmt:check",
     "build:client": "node build-client.mjs",
     "build": "node build-host.mjs",
     "fmt:check": "oxfmt --check ."