@jayyuen66/dsh-quality-gate 0.1.1 → 0.1.3

package/host.js

@@ -1,4 +1,5 @@
 // GENERATED by build-host.mjs — edit host.ts / lib/*.ts, then run `node build-host.mjs`.
+import { createRequire } from "node:module";
 import { closeSync, existsSync, openSync, readFileSync, readSync } from "node:fs";
 import { randomUUID } from "node:crypto";
 import path from "node:path";
@@ -9,7 +10,7 @@ import { deriveProjectKey } from "@jayyuen66/dsh-plugin-shared/lib/project-key";
 import { editPathOf, scanToolEvents } from "@jayyuen66/dsh-plugin-shared/lib/tool-events";
 import { settleLessonCall } from "@jayyuen66/dsh-plugin-shared/lib/lesson-bus";
 import { fieldOf, isRecord } from "@jayyuen66/dsh-plugin-shared/lib/record";
-//#region lib/accumulator.ts
+// lib/accumulator.ts
 /**
 * 需要过门禁的扩展名（代码与配置；md/txt/图片等免检）。
 *
@@ -19,7 +20,11 @@ import { fieldOf, isRecord } from "@jayyuen66/dsh-plugin-shared/lib/record";
 */
 const GATED_EXT = /\.(?:ts|tsx|mts|cts|js|jsx|mjs|cjs|rs|py|json|ya?ml|toml)$/iu;
 /** 编辑类工具名。str_replace_editor 是 dsh-base 并存的另一套编辑器
-*  （host 侧只对 create/str_replace/insert 记账，view 只读不入这里）。 */
+*  （host 侧只对 create/str_replace/insert 记账，view 只读不入这里）。
+*
+*  这是**唯一真源**：host 侧的同名判定（isEditTool）也用这一份，两边各写一份时新增
+*  编辑器工具只改一侧就会静默分叉——只改 host 则累加器静默丢弃记账，只改这里则 host
+*  根本不会调用 note。 */
 const EDIT_TOOLS = /* @__PURE__ */ new Set([
 	"edit",
 	"write",
@@ -30,28 +35,29 @@ const DEFAULT_MAX_FILES = 500;
 var EditAccumulator = class {
 	files = /* @__PURE__ */ new Set();
 	maxFiles;
-	/** 容量淘汰累计丢弃数：drain 时清零（500-cap 静默淘汰要可观测）。 */
+	/** 容量淘汰累计丢弃数：drain 时清零（静默淘汰要可观测）。 */
 	dropped = 0;
 	constructor(options = {}) {
-		this.maxFiles = options.maxFiles ?? DEFAULT_MAX_FILES;
+		const configured = options.maxFiles;
+		this.maxFiles = configured !== void 0 && Number.isInteger(configured) && configured > 0 ? configured : DEFAULT_MAX_FILES;
 	}
 	/** 记一笔：编辑类工具 + 代码/配置扩展名 + 非空路径才收；容量淘汰时计数。 */
 	note(name, filePath) {
 		if (name === void 0 || !EDIT_TOOLS.has(name)) return;
 		if (typeof filePath !== "string" || filePath.length === 0) return;
 		if (!GATED_EXT.test(filePath)) return;
-		if (this.files.size >= this.maxFiles && !this.files.has(filePath)) this.evictOldest();
+		this.files.delete(filePath);
+		if (this.files.size >= this.maxFiles) this.evictOldest();
 		this.files.add(filePath);
 	}
 	/**
-	* 淘汰插入序最旧的一项并计数。调用点已保证集合非空（`size >= maxFiles >= 1`，本包
-	* maxFiles 只取默认 500 或测试里的 2），所以原意是**取首项这一次动作**，不是迭代——
-	* 旧写法拿 `for…of` + 无条件 `break` 伪装单次取值，那正是 eslint(no-unreachable-loop)
-	* 判的「循环体只允许一次迭代」：循环结构在这里没有承载任何语义。改成直接取首个元素，
-	* 单次淘汰的行为（删最旧 + 计数）与原样一致。
+	* 淘汰顺序最旧的一项并计数。
+	*
+	* 归一化后 `maxFiles >= 1`，而调用点只在 `size >= maxFiles` 时进来，所以集合必有可取首项。
 	*/
 	evictOldest() {
 		const [oldest] = this.files;
+		/* v8 ignore next 3 —— 上面那条不变量的直接推论：这一支只为类型收窄而写，正常配置下不可达。 */
 		if (oldest === void 0) return;
 		this.files.delete(oldest);
 		this.dropped += 1;
@@ -68,8 +74,7 @@ var EditAccumulator = class {
 		return out;
 	}
 };
-//#endregion
-//#region lib/gate-detect.ts
+// lib/gate-detect.ts
 /**
 * `pnpm check` 是否可用：必须有已声明的 check 脚本，**信息缺失时一律判否**。
 *
@@ -83,9 +88,25 @@ var EditAccumulator = class {
 function pnpmCheckReady(scripts) {
 	return scripts?.includes("check") === true;
 }
-/** 从 ProjectRoot（根目录相对名清单 + 已声明脚本）判定单根门禁。 */
+/**
+* `ruff check .` 是否可用：必须有 ruff 自己的配置面，**信息缺失时一律判否**。
+*
+* 为什么 pyproject.toml 单独不算证据：它不是 ruff 的配置标记，而是 Python 工程最常见的
+* 元数据文件——只写 `[project]`、lint 交给别的工具（flake8 / pylint / ruff 的编辑器集成）
+* 的工程大量存在。对这类工程发 `ruff check .`，一旦宿主 PATH 上有 ruff，就会拿 ruff 的
+* 默认规则集去判一个从未声明用 ruff 的项目，产出与使用者意图无关的告警，再经同一个注入
+* 通道被当成真实缺陷。这正是本模块要压住的假失败，方向与 pnpmCheckReady 一致。
+*
+* 判据收在两处**声明**上：`ruff.toml`（ruff 专属文件名，在场即声明）与 pyproject 里真有
+* 的 `[tool.ruff]` 一族段（由 host 读盘后经 ruffConfigured 传入）。二者都缺＝没有信息，
+* 按保守口径不给门禁——代价只是这一轮少一次自动核验，用户可以自己跑。
+*/
+function ruffGateReady(files, ruffConfigured) {
+	return files.includes("ruff.toml") || ruffConfigured === true;
+}
+/** 从 ProjectRoot（根目录相对名清单 + 已声明脚本 + ruff 配置事实）判定单根门禁。 */
 function gateForRoot(entry) {
-	const { root, files, scripts } = entry;
+	const { root, files, scripts, ruffConfigured } = entry;
 	const has = (name) => files.includes(name);
 	let gate;
 	if (has("pnpm-workspace.yaml") && has("package.json") && pnpmCheckReady(scripts)) gate = {
@@ -96,7 +117,7 @@ function gateForRoot(entry) {
 		root,
 		command: ["cargo", "check"]
 	};
-	else if (has("pyproject.toml") || has("ruff.toml")) gate = {
+	else if (ruffGateReady(files, ruffConfigured)) gate = {
 		root,
 		command: [
 			"ruff",
@@ -106,11 +127,7 @@ function gateForRoot(entry) {
 	};
 	else if (has("package.json") && has("tsconfig.json")) gate = {
 		root,
-		command: [
-			"npx",
-			"tsc",
-			"--noEmit"
-		]
+		command: ["tsc", "--noEmit"]
 	};
 	return gate;
 }
@@ -123,8 +140,7 @@ function detectGate(roots) {
 	}
 	return out;
 }
-//#endregion
-//#region lib/messages.ts
+// lib/messages.ts
 const MESSAGES = {
 	zh: {
 		evidenceTruncated: "[证据截断] {label} 内存里只保留尾部（首个错误可能在被丢弃的头部）。完整输出：{spill}",
@@ -144,7 +160,6 @@ const MESSAGES = {
 		toolMissing: "命令不存在（工具未安装）",
 		toolNotExecutable: "命令不可执行",
 		toolNotRun: "{cause}，门禁没有运行。",
-		toolStub: "门禁工具本身不可用（npx 抓到的是 stub 包，不是真工具）。",
 		policyUnresolvable: "沙箱策略无法解析（{message}），门禁拒绝在未确认的沙箱边界下执行。",
 		sandboxUnavailable: "沙箱在本机不可用（{message}）：命令被拒绝执行，未做任何检查。",
 		gateStartFailed: "门禁未能启动（{message}）。",
@@ -168,7 +183,6 @@ const MESSAGES = {
 		toolMissing: "command not found (tool not installed)",
 		toolNotExecutable: "command not executable",
 		toolNotRun: "{cause} — the gate did not run.",
-		toolStub: "The gate tool itself is unavailable (npx fetched a stub package, not the real tool).",
 		policyUnresolvable: "The sandbox policy could not be resolved ({message}); the gate refuses to run under an unconfirmed sandbox boundary.",
 		sandboxUnavailable: "The sandbox is unavailable on this machine ({message}): the command was denied and no check was performed.",
 		gateStartFailed: "The gate failed to start ({message}).",
@@ -177,33 +191,41 @@ const MESSAGES = {
 };
 /** 渲染模板里的 {name} 占位符；未提供的名字留空串（宁可少一段说明，也不给模型留裸花括号）。
 *  与 client 半官方 `@deepseek-ai/dsh-client-locale` 的 Translate 插值同语义（宿主同规则）。
+*
+*  查参数用 `Object.hasOwn` 而不是直接下标：模板里若出现 `{constructor}` / `{toString}` 这类被
+*  Object.prototype 覆盖的名字，裸下标取到的是函数对象、`String()` 之后会渲染成源码串，
+*  与"未提供的名字留空串"这条契约相反。
 *  @param text - 字典里的整行模板。
 *  @param params - 占位符名 → 值（数字会转成字符串）。
 *  @returns 替换后的文本。
 */
 function renderTemplate(text, params) {
-	return text.replaceAll(/\{(?<key>\w+)\}/gu, (_all, key) => {
-		const value = params[key];
-		return value === void 0 ? "" : String(value);
-	});
+	const provided = new Map(Object.entries(params));
+	return text.replaceAll(/\{(?<key>\w+)\}/gu, (_all, key) => provided.get(key)?.toString() ?? "");
+}
+// lib/feedback-content.ts
+/** 空白折叠成单个空格并去首尾：让副本身处"一行正文"的契约之内。
+*  参数收 `unknown` 而不是 `string`：这是运行时边界（门禁执行结果由 spawn 与上游透传拼出来），
+*  类型注释拦不住 undefined/null。原先直接 `text.replaceAll` 时，异常会冒到
+*  pushFeedbackToMemory 的 catch 里 → "门禁失败却一条记忆都没写"，且日志里只有一句
+*  "memory feedback skipped"，看起来像网关挂了。 */
+function oneLine(text) {
+	return typeof text === "string" ? text.replaceAll(/\s+/gu, " ").trim() : "";
 }
-//#endregion
-//#region lib/feedback-content.ts
 /** 门禁失败 → 记忆正文：单行化（防换行噪音）。
+*  三处插值都要折叠：`failure` 来自被检查仓库的自由文本，`command` 来自配置里的自定义命令，
+*  `root` 可以是任何路径——任一处带换行/制表符，这条"一条记忆正文"就会被 auto-recall 拆成多段。
 *  不截断：截尾会吃掉多根错误里的中间根因；记忆网关的入库限额由网关侧把关，这里送全文。
 *  正文语言随官方 locale 偏好走（messages 由调用方按回合取出后传进来）——这条文本会被
 *  auto-recall 注入后续会话的上下文，是模型读的，不是日志。 */
 function buildFeedbackText({ command, root, failure }, messages) {
-	const cmd = command.join(" ");
-	const tail = failure.replaceAll(/\s+/gu, " ").trim();
 	return renderTemplate(messages.memoryFeedback, {
-		command: cmd,
-		root,
-		failure: tail
+		command: oneLine(command.join(" ")),
+		root: oneLine(root),
+		failure: oneLine(failure)
 	});
 }
-//#endregion
-//#region lib/gateway-target.ts
+// lib/gateway-target.ts
 /** env 值 trim 后非空则用之，否则回到 fallback（保留原 `||` 语义，
 *  又以显式比较规避 prefer-nullish-coalescing 与 strict-boolean-expressions）。 */
 function envOr(key, fallback) {
@@ -216,28 +238,98 @@ function envOr(key, fallback) {
 * 端口写死成默认，等于让别人的每次门禁失败都去连一个不存在的服务。设置优先于 env 的理由：
 * 设置卡是用户显式配置面，env 只能兜底，
 * 否则用户改了设置卡仍被一个看不见的环境变量越权。
+*
+* 解析不出合法 URL 时同样返回空串（按"未配置"处理）：`http://` 这类半截串裁掉斜杠后剩
+* `http:`，如果原样透给调用方，凭据安全判据会把它报成"明文 http 且非回环"——把配置写错
+* 误报成协议不安全，用户照提示改成 https 也修不好。
 */
 function resolveGatewayUrl(settingUrl) {
 	const configured = settingUrl.trim();
-	return (configured === "" ? envOr("TDAI_GATEWAY_URL", "") : configured).replace(/\/+$/u, "");
+	const candidate = configured === "" ? envOr("TDAI_GATEWAY_URL", "") : configured;
+	if (candidate === "") return "";
+	const normalized = candidate.replace(/\/+$/u, "");
+	let parsed;
+	try {
+		parsed = new URL(normalized);
+	} catch {
+		return "";
+	}
+	if (parsed.protocol !== "http:" && parsed.protocol !== "https:") return "";
+	return normalized;
+}
+/** 是否为 IPv4 回环（127.0.0.0/8 整段，不只是 127.0.0.1）。 */
+function isIpv4Loopback(host) {
+	const parts = host.split(".");
+	if (parts.length !== 4 || parts[0] !== "127") return false;
+	return parts.every((part) => /^\d{1,3}$/u.test(part) && Number(part) <= 255);
 }
-/** x-tdai-service-id：env 可覆盖，默认是网关协议的匿名服务名（不含任何机器信息）。 */
+/**
+* 凭据只允许发往 https 或回环地址：明文 http 到远端会把 Bearer 令牌暴露给同网段
+* （设置卡默认值就是本机 http，属有意用法）。返回 false 时调用方按"未配置"处理，
+* 不解析、不发送凭据。
+*
+* 回环按整段判定而不是三个字面量：IPv4 回环是 127.0.0.0/8，网关绑在 127.0.0.2 /
+* 127.0.1.1 时同样只在本机，判成"不安全"会让记忆反馈静默停掉、而用户从提示里看不出
+* 自己其实就在本机；IPv6 的 IPv4-mapped 写法（URL 把 `[::ffff:127.0.0.1]` 归一成
+* `[::ffff:7f00:1]`）同理。
+*
+* `localhost` 这一支是**有意保留的 fail-open**：它依赖 hosts/DNS 解析，hosts 被指向远端时
+* 本函数仍判安全。保留它是为了让设置卡的默认写法可用；要彻底关掉这个口子只能改成只认 IP
+* 字面量，那会让"本机网关"这条最常见用法需要用户自己去查 IP。
+*/
+function isCredentialSafeUrl(url) {
+	let parsed;
+	try {
+		parsed = new URL(url);
+	} catch {
+		return false;
+	}
+	if (parsed.protocol === "https:") return true;
+	if (parsed.protocol !== "http:") return false;
+	const host = parsed.hostname.replaceAll(/^\[|\]$/gu, "");
+	return host === "localhost" || isIpv4Loopback(host) || host === "::1" || host.startsWith("::ffff:7f");
+}
+/** `x-tdai-service-id` 的合法形状：网关侧按服务名路由，空白与控制字符会让请求头
+*  在 fetch 处直接抛 TypeError（undici 拒收含换行的头值），把一次投递变成一条异常。
+*  不合规的值一律回落到默认服务名，而不是把用户的笔误送上网关。 */
+const SERVICE_ID_RE = /^[A-Za-z0-9._-]{1,64}$/u;
+/** 默认服务名：网关协议的匿名服务名（不含任何机器信息）。 */
+const DEFAULT_SERVICE_ID = "default";
+/** x-tdai-service-id：env 可覆盖，形状不合规时回落默认值。 */
 function resolveServiceId() {
-	return envOr("TDAI_SERVICE_ID", "default");
+	const configured = envOr("TDAI_SERVICE_ID", "");
+	return SERVICE_ID_RE.test(configured) ? configured : DEFAULT_SERVICE_ID;
 }
-/** cwd → agent_id：'尾目录名-<cwd 前 8 位 sha256>'（与网关插件 workspace-peer 同分桶语义，
-* 读/写同键，保证反馈沉淀进 auto-recall 同一记忆桶）。
-* 派生本体在 shared/lib/project-key.ts：lesson-loop 的 project 与这里同源一份实现，
-* 此前两处各存一份，改一处漏一处就把"教训 ↔ 记忆"的跨系统对照拆断了。 */
+/**
+* 作用：cwd → agent_id，'尾目录名-<cwd 前 8 位 sha256>'（与网关插件 workspace-peer 同分桶
+* 语义，读/写同键，保证反馈沉淀进 auto-recall 同一记忆桶）。
+*
+* 条件：派生本体在 shared/lib/project-key.ts —— lesson-loop 的 project 与这里同源一份实现，
+* 两处各存一份时改一处漏一处，把"教训 ↔ 记忆"的跨系统对照拆断而不报错。
+*
+* 子功能：参数保留 `unknown`（调用方的 cwd 来自会话事件，形状不由本包保证）；非字符串、
+* 空串、根路径一律回落 'default'。
+*
+* 执行：直接委托 deriveProjectKey。
+*
+* 验证方式：test/gateway-feedback.test.ts 的 deriveAgentId 组逐条钉住回落面，并有一例
+* 断言它与 deriveProjectKey 逐值同源。
+*
+* 不适用条件：'default' 是所有项目共享的记忆桶 —— 回落因此**可能**把反馈混进别人的桶。
+* 这里不为此加日志：本模块被 host 的 catch 包着、失败只 warn 一次，再往 lib 里塞一条
+* console 会污染测试日志账本（test/setup-logs.ts 要求每条日志都有模板认领）；而实际
+* 调用点传的是会话 cwd（host.ts 里由事件流给出，必为字符串），回落是给未来调用方的护栏。
+*/
 function deriveAgentId(cwd) {
 	return deriveProjectKey(cwd);
 }
-//#endregion
-//#region lib/gateway-feedback.ts
+// lib/gateway-feedback.ts
 /** 反馈尽力而为：5s 封顶，超时/失败只 warn（不吃掉门禁主流程）。 */
 const FEEDBACK_TIMEOUT_MS = 5e3;
 /** 沉淀门禁失败到 L0 记忆（role=assistant：这是 agent 自身行为教训，归顺 assistant 提炼面）。 */
 async function pushGateFeedback(input, target, messages) {
+	const base = target.url.trim().replace(/\/+$/u, "");
+	if (base === "" || target.key.trim() === "") throw new Error("投递目标不完整：url 与 key 都必须非空（目标面应由调用方解析后传入）");
 	const agentId = deriveAgentId(input.cwd);
 	const content = buildFeedbackText(input, messages);
 	const payload = JSON.stringify({
@@ -248,31 +340,36 @@ async function pushGateFeedback(input, target, messages) {
 			content
 		}]
 	});
-	const res = await fetch(`${target.url}/v2/conversation/add`, {
+	const res = await fetch(`${base}/v2/conversation/add`, {
 		method: "POST",
 		headers: {
 			Authorization: `Bearer ${target.key}`,
-			"x-tdai-service-id": resolveServiceId(),
+			"x-tdai-service-id": target.serviceId,
 			"Content-Type": "application/json"
 		},
 		body: payload,
 		signal: AbortSignal.timeout(FEEDBACK_TIMEOUT_MS)
 	});
-	if (!res.ok) throw new Error(`gateway feedback HTTP ${res.status}`);
-	await res.arrayBuffer().catch(() => null);
+	const drained = await res.arrayBuffer().catch(() => null);
+	if (!res.ok) {
+		const detail = drained === null ? "" : new TextDecoder().decode(drained).trim().slice(0, 200);
+		throw new Error(detail === "" ? `gateway feedback HTTP ${res.status}` : `gateway feedback HTTP ${res.status}：${detail}`, { cause: drained });
+	}
 }
-//#endregion
-//#region host.ts
+// host.ts
 /**
 * 常见项目根标记文件：向上找最近的含清单目录。
 * ruff.toml 必须在列：只有 ruff 配置、无 pyproject.toml 的 Python
 * 工程若不在此登记，gate-detect 的 has("ruff.toml") 就是死码——那类工程根本得不到根，
 * 也就永远没有门禁。
 */
+const PKG_MANIFEST = "package.json";
+const TSCONFIG_MANIFEST = "tsconfig.json";
+const PYPROJECT_MANIFEST = "pyproject.toml";
 const MANIFESTS = [
-	"package.json",
+	PKG_MANIFEST,
 	"Cargo.toml",
-	"pyproject.toml",
+	PYPROJECT_MANIFEST,
 	"pnpm-workspace.yaml",
 	"ruff.toml"
 ];
@@ -330,8 +427,8 @@ function messageOf(error) {
 	return message;
 }
 /**
-* 会话级 Map 淘汰：把 keep 先删后插移到队尾（JS Map 迭代按插入序），再淘汰队首
-* (size - 50) 项 → keep 永不被淘汰，且总大小收敛。泛型复用：注入配额 Map（InjectState）、
+* 会话级 Map 淘汰：把 keep 先删后插移到队尾（JS Map 迭代按插入序），再淘汰队首超出
+* `SESSION_BUDGET` 的项 → keep 永不被淘汰，且总大小收敛。泛型复用：注入配额 Map（InjectState）、
 * 事件游标 Map（number）与编辑累加器 Map（EditAccumulator）共用同一策略。
 * keep 不在表内 → 直接返回（inbox-busy 分支的 injectState 就会命中：该会话从未失败过）。
 */
@@ -391,17 +488,34 @@ function preInjectCheck(agent, signal) {
 	};
 }
 /**
-* 判定门禁失败是否为"工具本身不可用"（而非代码问题）。
-*
-* `npx tsc` 在项目未装 typescript 时会**自动安装**已弃用的 stub 包 `tsc@2.0.4`，
-* 它打印横幅并以 exit 1 退出——不是 126/127，所以只按退出码判定会误报为代码失败。
-* 实测：`npx --no-install` 在本机拦不住 stub（已从 npx 缓存解析），
-* 所以必须在输出侧识别，不能只靠加 flag。
+* 本次门禁要跑的 tsc 入口：优先工程自己装的 typescript（与工程惯用的编译器版本一致），
+* 装不到时用本包依赖的那份（随包安装，运行期无网络动作）。两处都解析不到时回落到 PATH 上的
+* `tsc`，由 126/127 那条「工具不可用」出口报成未执行——绝不走 `npx` 的自动下载。
 */
-function gateToolUnavailable(stdout, stderr) {
-	const out = `${stdout}\n${stderr}`.toLowerCase();
-	if (out.includes("not the tsc command you are looking for")) return true;
-	return out.includes("npm warn deprecated tsc@");
+function tscEntry(root) {
+	let entry;
+	for (const from of [path.join(root, PKG_MANIFEST), import.meta.url]) try {
+		const manifest = createRequire(from).resolve("typescript/package.json");
+		entry = path.join(path.dirname(manifest), "bin", "tsc");
+		break;
+	} catch {}
+	return entry;
+}
+/** 门禁命令的实际 argv：tsc 的门禁只带逻辑名，入口在运行时按工程根解析。 */
+function gateCommandArgs(gate) {
+	if (gate.command[0] !== "tsc") return gate.command;
+	/* v8 ignore next 1 —— 本包自己的 typescript 解析不到（安装面坏了）时才走 PATH 回落；
+	正常安装不可达，而那一路由 126/127 报成未执行。 */
+	return [tscEntry(gate.root) ?? "tsc", "--noEmit"];
+}
+/** 拼 shell 串：路径可能带空格，含空白或元字符的参数加单引号。
+*  导出只为直接测这段引号处理：tsc 入口是绝对路径，它所在目录未必没有空格。 */
+function shellArg(part) {
+	return /^[\w./:=@+-]+$/u.test(part) ? part : `'${part.replaceAll("'", `'\\''`)}'`;
+}
+/** 门禁命令的展示/执行串（与 gateCommandArgs 同源）。 */
+function gateCommandText(gate) {
+	return gateCommandArgs(gate).map((part) => shellArg(part)).join(" ");
 }
 /** harness run() 抛出的 SandboxUnavailableError（code 或 name 命中即可）。 */
 function isSandboxUnavailable(error) {
@@ -454,7 +568,7 @@ function evidenceText(messages, stream, label) {
 	return out;
 }
 const gateText = (messages, gate, out) => renderTemplate(messages.gateFailed, {
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root,
 	output: out
 });
@@ -463,19 +577,19 @@ const gateText = (messages, gate, out) => renderTemplate(messages.gateFailed, {
 * 让模型去修一个装不上的工具/越不过去的沙箱，只会配着配额环烧 token。
 */
 const notRunText = (messages, gate, reason) => renderTemplate(messages.gateNotRun, {
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root,
 	reason
 });
 /** 配额耗尽后的"放行说明"（用户可见，不再静默 return）。 */
 const giveUpText = (messages, gate, attempts) => renderTemplate(messages.gaveUp, {
 	attempts,
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root
 });
 /** 未执行清单的一行（模块级：不让 renderTemplate 套进 map 再套进 renderTemplate）。 */
 const skippedGateLine = (messages, gate) => renderTemplate(messages.skippedGateItem, {
-	command: gate.command.join(" "),
+	command: gateCommandText(gate),
 	root: gate.root
 });
 /** 预算耗尽后剩余门禁的"未执行"清单：只 warn 等于静默通过，所以要注入给模型与用户。 */
@@ -539,7 +653,7 @@ function interruptedRunOutcome(messages, budgetMs, res) {
 function unavailableToolOutcome(messages, gate, res, log) {
 	let outcome;
 	if (res.exitCode === 126 || res.exitCode === 127) {
-		log.warn(`[quality-gate] gate tool unavailable (exit ${res.exitCode}): ${gate.command.join(" ")} — reported as not-run, not as pass`);
+		log.warn(`[quality-gate] gate tool unavailable (exit ${res.exitCode}): ${gateCommandText(gate)} — reported as not-run, not as pass`);
 		const cause = res.exitCode === 127 ? messages.toolMissing : messages.toolNotExecutable;
 		outcome = {
 			kind: "not-run",
@@ -558,7 +672,7 @@ function unavailableToolOutcome(messages, gate, res, log) {
 * 策略拒绝当成代码失败注入"修这些错"。
 *
 * 判定序（三支各自成函数，顺序与 warn 次数都不变）：沙箱面拦截 → 进程没跑完 →
-* 工具装不上（126/127）→ exit 0（部分生效沙箱只 warn）→ npx stub 横幅 → 代码失败。
+* 工具装不上（126/127）→ exit 0（部分生效沙箱只 warn）→ 代码失败。
 */
 function classifyRun(messages, gate, budgetMs, res, log) {
 	const facts = res.sandbox;
@@ -571,24 +685,19 @@ function classifyRun(messages, gate, budgetMs, res, log) {
 	const unusable = unavailableToolOutcome(messages, gate, res, log);
 	if (unusable !== void 0) return unusable;
 	if (res.exitCode === 0) {
-		if (facts?.enforcement === "partial") log.warn(`[quality-gate] gate passed under PARTIAL sandbox enforcement (${sandboxNote(messages, facts)}): ${gate.command.join(" ")} @ ${gate.root}`);
+		if (facts?.enforcement === "partial") log.warn(`[quality-gate] gate passed under PARTIAL sandbox enforcement (${sandboxNote(messages, facts)}): ${gateCommandText(gate)} @ ${gate.root}`);
 		return { kind: "pass" };
 	}
-	if (gateToolUnavailable(res.stdout.text, res.stderr.text)) {
-		log.warn(`[quality-gate] gate tool unavailable (npx fetched a stub instead of the real tool): ${gate.command.join(" ")} in ${gate.root} — reported as not-run`);
-		return {
-			kind: "not-run",
-			text: `${messages.toolStub}\n${evidenceText(messages, res.stderr, "stderr")}`
-		};
-	}
 	return {
 		kind: GATE_KIND_CODE_FAILURE,
 		text: `exit=${res.exitCode}\n${evidenceText(messages, res.stdout, "stdout")}${evidenceText(messages, res.stderr, "stderr")}`
 	};
 }
-/** 是否是会被记账的编辑类工具（edit/write + str_replace_editor）。 */
+/** 是否是会被记账的编辑类工具（edit/write + str_replace_editor）。名单的真源在
+*  lib/accumulator.ts 的 EDIT_TOOLS：host 先用它过滤、累加器再用同一集合过滤一次，
+*  两边各写一份时新增编辑器工具只改一侧就会静默分叉。 */
 function isEditTool(name) {
-	return name === "edit" || name === "write" || name === "str_replace_editor";
+	return EDIT_TOOLS.has(name);
 }
 /**
 * 根 package.json 已声明的 scripts 名清单（值是非空字符串才算"声明了这条脚本"）。
@@ -599,7 +708,7 @@ function isEditTool(name) {
 function declaredScriptsOf(root) {
 	let names;
 	try {
-		const raw = JSON.parse(readFileSync(`${root}/package.json`, "utf8"));
+		const raw = JSON.parse(readFileSync(path.join(root, PKG_MANIFEST), "utf8"));
 		const scripts = fieldOf(raw, "scripts");
 		if (isRecord(scripts)) names = Object.entries(scripts).filter(([, body]) => typeof body === "string" && body.length > 0).map(([name]) => name);
 	} catch {
@@ -612,23 +721,50 @@ function isArrayDelivery(value) {
 	return Array.isArray(value);
 }
 /**
+* pyproject 里 ruff 段头的字面形状：`[tool.ruff]` 或它的子表 `[tool.ruff.lint]` 等。
+*
+* `^` 加 `m` 旗标限定为行首；`[tool.ruff]` 与 `[tool.ruff.<子表>]` 都要认——只写子表、
+* 不写父表的 pyproject 是常见写法。数组表（`[[tool.ruff...]]`）同样命中段名，一并算声明。
+*/
+const RUFF_SECTION = /^\[\[?tool\.(?:"ruff"|ruff)[\].]/mu;
+/**
+* 根 pyproject.toml 里是否声明了 ruff 配置段（段头形状见 RUFF_SECTION）。
+*
+* 只按行首段头字面匹配，不引 TOML 解析器：判据只需要回答"有没有这一段"，而段头在
+* TOML 里必须独占一行（行内写法 `[a.b] c = 1` 非法），故行首匹配与解析器同解。带引号的
+* 键形式（`[tool."ruff"]`）在 TOML 里合法且等价，一并认。
+*
+* 读不到 / 解码失败 → undefined（"没有信息"），由 gate-detect 按保守口径处理：不发 ruff
+* 门禁。这里与 declaredScriptsOf 同一方向，理由见 gate-detect 的 ruffGateReady。
+*/
+function ruffConfiguredOf(root) {
+	let configured;
+	try {
+		const text = readFileSync(path.join(root, PYPROJECT_MANIFEST), "utf8");
+		configured = RUFF_SECTION.test(text);
+	} catch {
+		configured = void 0;
+	}
+	return configured;
+}
+/**
 * 解析事件游标窗口：fork 切点下限 vs 上次已读 seq 取大，返回起始 seq 与本批事件。
 * 事件流取自官方 `ctx.sessionQuery.observeSession(sessionId)`（见上面 SessionQueryFace：
-* 一次交回 `events` 与 `inheritedEventCount`）。三条降级路径一律 `undefined`（调用方直接
-* 返回，**游标不推进**、不误报）：① `sessionQuery` 未装配（`Context["get"]` 的官方语义即
-* "or `undefined` when not (yet) provided"，installed cordis/lib/types/reflect.d.ts:12）；
-* ② `observeSession` 抛错/拒绝（会话已卸载、存储读不出）；③ 交回的 events 不是数组
-* （契约外交付，由 `isArrayDelivery` 那道**布尔**判据挡——不用 `Array.isArray` 作守卫收窄，
-* 它会把官方 `readonly SessionEvent[]` 塌成 `any[]`，类型面当场作废并把 any 传进下游记账）。
+* 一次交回 `events` 与 `inheritedEventCount`）。两条降级路径一律 `undefined`（调用方直接
+* 返回，**游标不推进**、不误报）：① `observeSession` 抛错/拒绝（会话已卸载、存储读不出）；
+* ② 交回的 events 不是数组（契约外交付，由 `isArrayDelivery` 那道**布尔**判据挡——不用
+* `Array.isArray` 作守卫收窄，它会把官方 `readonly SessionEvent[]` 塌成 `any[]`，类型面
+* 当场作废并把 any 传进下游记账）。`sessionQuery` 服务本身缺席是第三条降级，判定在
+* `readEditedFiles`（那里才能发 warn-once）。
 * 窗口仍由**本地按 from 切片**：观察面给的是自日志开头的连续切片（`seq = log.length`
-* 连续性契约，installed dsh-session/lib/index.js:1285 的注记），而 `from` 是本包游标算出的
+* 连续性契约，installed dsh-session/lib/index.js:1476 的注记），而 `from` 是本包游标算出的
 * 裸 number——这样连 `SessionLogOffset` 的品牌都不必造（官方只要 `SessionId`，那一位从
 * `Session.id` 上拿回来就是品牌的）。
 */
 async function resolveEventWindow(query, sessionId, lastSeq) {
 	let window;
-	if (query !== void 0) try {
-		const observation = await query.observeSession(sessionId);
+	try {
+		const observation = await query.observeSession(sessionId, { projectionMode: "none" });
 		const forkCut = observation.inheritedEventCount ?? 0;
 		const from = Math.max(forkCut, lastSeq.get(sessionId) ?? forkCut);
 		if (isArrayDelivery(observation.events)) window = {
@@ -682,7 +818,7 @@ function findManifestRoot(file, maxDepth) {
 	let found;
 	let hitDepthLimit = false;
 	for (let depth = 0; depth < maxDepth; depth += 1) {
-		for (const manifest of MANIFESTS) if (existsSync(`${dir}/${manifest}`)) {
+		for (const manifest of MANIFESTS) if (existsSync(path.join(dir, manifest))) {
 			found = dir;
 			break;
 		}
@@ -704,7 +840,7 @@ function findManifestRoot(file, maxDepth) {
 function workspaceRootUpgrade(root, maxDepth) {
 	let up = path.dirname(root);
 	for (let depth = 0; depth < maxDepth; depth += 1) {
-		if (existsSync(`${up}/pnpm-workspace.yaml`)) return up;
+		if (existsSync(path.join(up, "pnpm-workspace.yaml"))) return up;
 		const parent = path.dirname(up);
 		if (parent === up) break;
 		up = parent;
@@ -718,20 +854,22 @@ function workspaceRootUpgrade(root, maxDepth) {
 * - tsconfig.json 不作为"根标记"（不进 MANIFESTS，避免改动根向上探测的语义），
 *   但要进清单集合——gate-detect 用它区分"真 TS 项目"与"只有 package.json 的空壳"；
 * - scripts：根 package.json 已声明的脚本名清单，交给 gate-detect 判定 pnpm check
-*   是否可用。**这里只做如实登记，不做取舍**（探测策略集中在纯函数里）。
+*   是否可用。**这里只做如实登记，不做取舍**（探测策略集中在纯函数里）；
+* - ruffConfigured：根 pyproject.toml 里是否真有 `[tool.ruff]` 一族段，交给 gate-detect
+*   判定 ruff 门禁是否可用。理由同上——只登记，不取舍。
 */
 function probeProjectRoot(root) {
-	const manifests = MANIFESTS.filter((manifest) => existsSync(`${root}/${manifest}`));
-	if (existsSync(`${root}/tsconfig.json`)) manifests.push("tsconfig.json");
+	const manifests = MANIFESTS.filter((manifest) => existsSync(path.join(root, manifest)));
+	if (existsSync(path.join(root, TSCONFIG_MANIFEST))) manifests.push(TSCONFIG_MANIFEST);
 	const scripts = manifests.includes("package.json") ? declaredScriptsOf(root) : void 0;
-	return scripts === void 0 ? {
+	const ruffConfigured = manifests.includes(PYPROJECT_MANIFEST) ? ruffConfiguredOf(root) : void 0;
+	const entry = {
 		root,
 		files: manifests
-	} : {
-		root,
-		files: manifests,
-		scripts
 	};
+	if (scripts !== void 0) entry.scripts = scripts;
+	if (ruffConfigured !== void 0) entry.ruffConfigured = ruffConfigured;
+	return entry;
 }
 /** 注入载荷组装（id 唯一，同一毫秒多次注入也不碰撞）。 */
 const injectMessage = (text) => ({
@@ -758,7 +896,7 @@ function reportProblemToBus(get, attribution, gate, problem, log) {
 		cwd: attribution.cwd,
 		sessionId: attribution.sessionId,
 		turn: attribution.turn,
-		signature: gate.command.join(" "),
+		signature: gateCommandText(gate),
 		detail: problem.text,
 		evidence: {
 			root: gate.root,
@@ -785,6 +923,10 @@ async function resolveFeedbackTarget(cfg, credentials) {
 		ok: false,
 		reason: "memoryGatewayUrl 未配置（留空 = 不启用记忆反馈）"
 	};
+	if (!isCredentialSafeUrl(url)) return {
+		ok: false,
+		reason: `memoryGatewayUrl ${url} 是明文 http 且非回环：Bearer 凭据只发往 https 或本机`
+	};
 	if (!isCredentialRefName(cfg.memoryGatewayKeyRef)) return {
 		ok: false,
 		reason: `memoryGatewayKeyRef "${cfg.memoryGatewayKeyRef}" 不是合法凭据引用名`
@@ -802,7 +944,8 @@ async function resolveFeedbackTarget(cfg, credentials) {
 		ok: true,
 		target: {
 			url,
-			key: hit.value
+			key: hit.value,
+			serviceId: resolveServiceId()
 		}
 	};
 }
@@ -857,20 +1000,40 @@ function isGateHost(value) {
 	return typeof get === "function" && typeof on === "function" && typeof effect === "function" && typeof inject === "function" && isRecord(fiber) && typeof fieldOf(settings, "describe") === "function" && typeof fieldOf(settings, "configure") === "function";
 }
 /**
+* 一个文件的最近清单根 → 实际要跑的根：workspace 根优先，**但只在外层真能产出门禁时**才升级。
+*
+* 只判「上面有没有 pnpm-workspace.yaml」就升级是漏门禁的一条路：外层若是"有 workspace 清单、
+* 却没有 check 脚本也没有 tsconfig"的根，gate-detect 对它返回空表，子包本来有的
+* `npx tsc --noEmit` / `ruff check` 会被这次上溯抹掉，且没有任何输出。
+*/
+function rootForFile(useRoot, maxDepth) {
+	const inner = probeProjectRoot(useRoot);
+	const upgraded = workspaceRootUpgrade(useRoot, maxDepth);
+	if (upgraded === useRoot) return inner;
+	const outer = probeProjectRoot(upgraded);
+	if (detectGate([outer]).length > 0) return outer;
+	return detectGate([inner]).length > 0 ? inner : outer;
+}
+/**
 * 从编辑文件路径向上找最近的清单根（层数上限 = Config 的 maxRootDepth，非 volatile
 * 部署值），每个根探一次真实盘上事实（清单名 + 已声明脚本）。找不到清单根的文件跳过
-* （无门禁面）。
+* （无门禁面）。同一内层根只判一次盘：一轮改几百个文件时逐文件重复探盘没有意义。
 */
 function projectRootsOf(files, maxDepth, log) {
 	const roots = /* @__PURE__ */ new Map();
+	const chosenByInner = /* @__PURE__ */ new Map();
 	for (const file of files) {
 		const hit = findManifestRoot(file, maxDepth);
 		const useRoot = hit.root;
 		if (useRoot === void 0) {
 			if (hit.hitDepthLimit) log.warn(`[quality-gate] no manifest within ${maxDepth} levels of ${file}; gate skipped for it`);
 		} else {
-			const upgraded = workspaceRootUpgrade(useRoot, maxDepth);
-			if (!roots.has(upgraded)) roots.set(upgraded, probeProjectRoot(upgraded));
+			let chosen = chosenByInner.get(useRoot);
+			if (chosen === void 0) {
+				chosen = rootForFile(useRoot, maxDepth);
+				chosenByInner.set(useRoot, chosen);
+			}
+			if (!roots.has(chosen.root)) roots.set(chosen.root, chosen);
 		}
 	}
 	return [...roots.values()];
@@ -886,7 +1049,7 @@ async function runGate(messages, shell, gate, budgetMs, context) {
 	let outcome;
 	try {
 		const spec = shell.resolve({
-			command: gate.command.join(" "),
+			command: gateCommandText(gate),
 			workdir: gate.root,
 			stdoutMaxBytes,
 			timeoutMs: budgetMs,
@@ -895,7 +1058,7 @@ async function runGate(messages, shell, gate, budgetMs, context) {
 		});
 		outcome = classifyRun(messages, gate, budgetMs, await (await shell.execute(spec)).result(), log);
 	} catch (error) {
-		log.error(`[quality-gate] gate did not run: ${gate.command.join(" ")} @ ${gate.root} — ${messageOf(error)}`);
+		log.error(`[quality-gate] gate did not run: ${gateCommandText(gate)} @ ${gate.root} — ${messageOf(error)}`);
 		const cause = messageOf(error);
 		outcome = isSandboxUnavailable(error) ? {
 			kind: "not-run",
@@ -970,7 +1133,7 @@ function accumulatorOf(rt, sessionId) {
 * tool/result 的 isError 标记失败 callId，只记成功的。
 * turn-stopping 时本回合 call+result 同处一个增量窗，单次扫描即可关联；无 callId 的事件
 * （异常/旧形状/测试 mock）保守直记，避免漏门禁。
-* fork 前缀修复（源码核对 0.1.3 后落地）：子代理会话 fork 自父会话时，
+* fork 前缀：子代理会话 fork 自父会话时，
 * 事件流含父事件前缀，游标从 0 首读会把父会话的历史编辑一并计入、多跑门禁。
 * Session.inheritedEventCount（0.1.2-rc.1 起公开只读）给出 fork 切点——首读下限
 * 取切点而非 0，父前缀天然跳过；缺属性退回 0（旧行为，保守不漏门禁）。
@@ -978,8 +1141,22 @@ function accumulatorOf(rt, sessionId) {
 async function readEditedFiles(rt, agent, acc) {
 	const { session } = agent;
 	const sessionId = session.id;
-	const window = await resolveEventWindow(rt.svc.get("sessionQuery"), sessionId, rt.lastSeqBySession);
-	if (window === void 0) return;
+	const query = rt.svc.get("sessionQuery");
+	if (query === void 0) {
+		if (!rt.queryMissingWarned) {
+			rt.queryMissingWarned = true;
+			rt.log.warn("[quality-gate] sessionQuery service unavailable; edit accounting is off, so no gate will run");
+		}
+		return;
+	}
+	const window = await resolveEventWindow(query, sessionId, rt.lastSeqBySession);
+	if (window === void 0) {
+		if (!rt.queryReadWarned) {
+			rt.queryReadWarned = true;
+			rt.log.warn("[quality-gate] session event read returned no window; this turn's gate is skipped (further read failures stay silent)");
+		}
+		return;
+	}
 	rt.lastSeqBySession.set(sessionId, window.from + window.events.length);
 	pruneToSessionBudget(rt.lastSeqBySession, sessionId);
 	const edits = collectEdits(window.events);
@@ -1219,6 +1396,8 @@ function apply(ctx, config) {
 		gateAbort: new AbortController(),
 		inFlightGates: /* @__PURE__ */ new Set(),
 		shellWarned: false,
+		queryMissingWarned: false,
+		queryReadWarned: false,
 		disposed: false
 	};
 	svc.on("agent/turn-stopping", async (payload) => {
@@ -1242,5 +1421,4 @@ var host_default = {
 	Config,
 	apply
 };
-//#endregion
-export { Config, apply, host_default as default };
+export { Config, apply, host_default as default, shellArg };