@nathan33/nao-skill 0.18.6 → 0.19.2

package/.agents/checklists/pm.md

@@ -62,7 +62,7 @@ description: PM 交付核对清单（按需，交付/派发前读取）
 - [ ] 输出里有 `warn`/`error`/`pending approval`/`N vulnerabilities` 却判完成，或遗留项未走三出口（「先放着」不算出口）？（见 @.agents/skills/task-completion.md）
 - [ ] 降级（无 `gh` / 无远端）未在 `tasks-state` 与回执中标注？
 
-## 交付检查清单（完整 40 项）
+## 交付检查清单（完整 41 项）
 
 - [ ] 目标/边界/验收三件事齐备
 - [ ] 证据 + 5 Whys 已产出
@@ -90,6 +90,7 @@ description: PM 交付核对清单（按需，交付/派发前读取）
 - [ ] 项目 `AGENTS.md` 已建立/同步（项目级属性与约束，见 @.agents/skills/pm-operations.md §四）
 - [ ] worker 回执含**全量**门禁精确数字（命令 + exit code + 文件数/例数/红数）；PM 仅核对数字 + 读变更文件 + 异常才抽查（未重复跑）
 - [ ] 派发消息只给引用路径（`docs/...md#section`），无 PRD/方案全文或附件传全文
+- [ ] 派发含「根因 + 修复方向」的指令已附**一条已执行的实测命令与输出**（无实测只能派「诊断/复现任务」，不得先给方向）
 - [ ] 派发时已声明回执级别（未声明默认 `done(lite)`；有阻塞/风险/需决策已要求 `done(full)`）；模板已按需读取 `@.agents/checklists/comm-templates.md`
 - [ ] 用户口头约束已**当场落盘**（`AGENTS.md` 项目级 / PRD「变更治理」），未等归档
 - [ ] 归档前已更新接续快照 + 记录会话体检（归档后按 @.agents/skills/pm-operations.md §三 重开会话）

package/.agents/common/intercom-protocol.md

@@ -29,10 +29,9 @@ description: pi-intercom 多会话协作协议（常驻引用）
 - **子代理会话不属舰队会话身份模型**：由 pi-subagents 拉起的子代理会话以 `subagent-<agent>-<id>`（无名时 `subagent-chat-<id>`）进入 intercom 名册，但**不属**舰队会话 —— `status` 只对其汇总计数（不列名、不参与在线/turn 判重），`close subagent-*` 显式拒绝（生命周期归 pi-subagents 的 stop/retention，nao 不接管）。
 
 - **判重 / 在线判定**：脚本按 pi 自设的**终端标题**（`π - <会话名> - <仓库名>`）+ `pi-intercom` 名册判在线（**不用 `pgrep --name`**：pi 启动后 argv 被改写为 `pi`，会恒失配）；已运行则跳过并 warn。确需重开加 `--force`。
-- **标题被改写时的 pane 定位**（v0.9.4）：终端标题可被外部改写（实测变为 `pi:c`），此时 `status`/`close`/`ensure` 按三层后备定位 pane：① 标题契约 → ② pi-intercom 名册 `tmuxPane`（注册时读 `$TMUX_PANE`，与标题改名无关，权威）→ ③ 本仓「未被认领 pi pane」唯一兜底。三层均未命中才认「无法确认」并 exit 非 0（不静默 no-op）。`close` 的在跑 turn 判定叠加名册活动状态（thinking / tool:* 等）与 pane 末 12 行状态行双重信号。
-- **宿主阶梯（tmux 外也看得见）**：`nao-fleet.sh ensure` 按环境选宿主：① `NAO_TERMINAL` 显式（`tmux`/`foot`/`ghostty`/`ptyxis`/`screen`；命令缺失或非法 ⇒ `exit 2`）→ ② `$TMUX` 内：**派生宿主窗口**（调用者 pane 所在 window）分屏 → ③ tmux 可用且有图形会话：建 `nao-<别名>` 会话并用 `xdg-terminal-exec` 开**可见窗口** attach（默认 socket，句柄模型完整）→ ④ 无 tmux 有图形：`xdg-terminal-exec --app-id=org.nao.<别名> --dir=<repo>` 直接开窗 → ⑤ 无图形：仅显式 `--background` 才建 detached 会话 → ⑥ 否则 `exit 2` + 一行诊断与恢复命令。**失败不假成功**：打印「已拉起」前必先校验宿主句柄。
-- **tmux 布局**：②/③ 的 tmux 宿主三选一（`NAO_TMUX_LAYOUT`）：默认 `main-row2`（首 pane 全高占左，后续每角色往右开列、每列上下 2 个）；`main-col`（其余在右列竖排）；`grid`（等大网格）。**窄列守卫**：`main-row2` 最窄非主 pane < `NAO_TMUX_MIN_PANE_WIDTH`（默认 30）时自动回退 `main-col`，仍不足再退 `grid`（打印带数字的 warn，**不中断拉起**）。
-- **非 tmux 宿主降级边界（D2/D6）**：④ 路径无 tmux pane 句柄，`status` 会明确标注「turn 判定来源 = 名册」（在跑 turn 判定仅供参照），`close` 按窗口 `app-id`（`org.nao.<别名>`）→ pid（校验 `comm=pi`）回收；无 `hyprctl`/`swaymsg`/`xdotool`/`wmctrl` 等 class 探针时，接受启动并打印一行 warn（**无法校验 ≠ 校验失败**）。
+- **标题被改写时的 pane 定位**（v0.9.4）：终端标题可被外部改写（实测变为 `pi:c`），此时 `status`/`close`/`ensure` 按三层后备定位 pane：① 标题契约 → ② pi-intercom 名册 `tmuxPane`（注册时读 `$TMUX_PANE`，与标题改名无关，权威）→ ③ 本仓「未被认领 pi pane」唯一兜底。三层均未命中 ⇒ 视为无句柄：`close` 走「未运行（无需回收）」或（名册报在线但无句柄）exit 非 0。`close` 的在跑 turn 判定叠加名册活动状态（thinking / tool:* 等）与 pane 末 12 行状态行双重信号。
+- **运行前提（唯一路径 · ADR `2026-10-27-strict-tmux-pi`）**：`ensure`/`status`/`close` **只接受 tmux 会话内**（`$TMUX` 非空且 `tmux` 命令可用）**且 `pi ≥ 1.4.0`**；不满足 ⇒ `exit 3`（前提不满足 ⇒ 命令未执行）+ 单行提示（含 `tmux new -s nao`），**不建 session/pane/lock、不写状态**。`cleanup` 豁免（其正常场景就是非 tmux 的隔离实验场）。拉起路径只有一条：**派生宿主窗口**（调用者 pane 所在 window）分屏，显式 `-t @<window_id>`；**失败不假成功**：打印「已拉起」前必先校验 pane 句柄。
+- **tmux 布局**：宿主三选一（`NAO_TMUX_LAYOUT`）：默认 `main-row2`（首 pane 全高占左，后续每角色往右开列、每列上下 2 个）；`main-col`（其余在右列竖排）；`grid`（等大网格）。**窄列守卫**：`main-row2` 最窄非主 pane < `NAO_TMUX_MIN_PANE_WIDTH`（默认 30）时自动回退 `main-col`，仍不足再退 `grid`（打印带数字的 warn，**不中断拉起**）。
 - **模型规则**：用户未指定则**禁止传 `--model`**，也禁止继承 PM 自身模型。
   显式指定时由 `NAO_MODEL_WHITELIST` 在**命令行入口解析阶段**即校验，
   不命中直接 `die`，无部分拉起；PM 只需如实转达用户 `-m` 指定。

package/.agents/prompts/product-manager.md

@@ -1,8 +1,8 @@
 ---
 description: 产品经理角色 Prompt（短常驻）——需求分析/PRD/优先级/验收/多会话调度
 role: pm
-version: 26
-updated: 2026-10-27
+version: 27
+updated: 2026-10-28
 ---
 
 # 产品经理（PM）
@@ -66,7 +66,7 @@ updated: 2026-10-27
 - **会话生命周期（PM 专属）**：按批次边界重开（归档完成 / 用户换需求 / `/session` contextTokens 超窗口 40%）+ 落盘接续 + 重开后**回读确认**；细则见 @.agents/skills/pm-operations.md §三。
 - **状态外部化**：任务状态落 `docs/tasks-state.md`（含接续快照），每次派发/回执/验收后更新；重开先读它。
 - **回收与残留**：派生会话验收通过即 `close --task <编号> <别名>`；常驻会话不回收，需重开时 `ensure --force`；`status` 残留即核对回收。
-- **派发协议（省 token）**：一条消息给 `编号 + 范围 + 引用路径（docs/...md#section）+ AC 编号 + 回执级别 + 需求分支`；**不贴 PRD/方案全文、不用 `attachments`**；worker `ask` → PM `reply`。
+- **派发协议（省 token）**：一条消息给 `编号 + 范围 + 引用路径（docs/...md#section）+ AC 编号 + 回执级别 + 需求分支`；**不贴 PRD/方案全文、不用 `attachments`**；worker `ask` → PM `reply`。**根因类派发须附实测**：消息含「根因 + 修复方向」时，必附**一条已执行的实测命令与其输出**（不是推测、不是转述他人结论）；无实测只能派「诊断 / 复现任务」，不得先给修复方向（T529 教训：无实测的根因被 QA A/B 推翻）。
 
 ## 七、AGENTS.md 项目上下文治理（PM 独有职责）
 
@@ -92,6 +92,7 @@ updated: 2026-10-27
 - [ ] PM 以「亲自探查技术实现」替代转角色、并据此形成 PRD 前提？（§九 技术调研边界）
 - [ ] 派发消息贴了 PRD/方案全文、或用 `attachments` 传全文？（应给引用路径，worker 自己读文件）
 - [ ] 跨批次未重开会话、未更新接续快照？（长上下文丢红线/闸门；见 §六 生命周期）
+- [ ] 派发含「根因 + 修复方向」的指令未附**一条已执行的实测命令与输出**？（无实测只能派「诊断/复现任务」，不得先给方向；§六 派发协议）
 - [ ] 用外部调研（文章/竞品/开源实现）替代 arch 技术取舍，或把外部做法写成既定技术前提？（§九 + @.agents/skills/research.md）
 - [ ] PM 改源码/测试/构建配置，或手改冲突内容？（应转 worker；PM 只做仓库治理与发布）
 - [ ] PM 亲自合并 PR / `push` main？（合并由 RD 执行，PM 只验收授权；§十三）
@@ -103,7 +104,7 @@ updated: 2026-10-27
 - [ ] 输出里有 `warn`/`error`/`pending approval`/`N vulnerabilities` 却判完成？（`exit 0` ≠ 完成，见 @.agents/skills/task-completion.md §三）
 - [ ] 降级（无 `gh` / 无远端）未在 `tasks-state` 与回执中标注？
 
-> 完整红线（33 项）与交付检查清单（40 项）：**交付/派发前**读取 @.agents/checklists/pm.md 逐项核对。
+> 完整红线（33 项）与交付检查清单（41 项）：**交付/派发前**读取 @.agents/checklists/pm.md 逐项核对。
 
 ## 十一、交付检查清单
 

package/.agents/scripts/nao-fleet.sh

@@ -2,32 +2,36 @@
 # =============================================================================
 # nao-fleet.sh — 按角色一键拉起 pi 会话窗口（nao 团队工具箱）
 #
+# 运行前提（ADR 2026-10-27-strict-tmux-pi · 唯一路径）
+#   必须在 tmux 会话内（$TMUX 非空且 tmux 命令可用）· pi ≥ 1.4.0（check 断言）
+#   非 tmux ⇒ ensure/status/close 一律 exit 3 + 一行提示，且不建 session/pane/lock、不写状态（BR3）
+#   cleanup 豁免本前提：其正常场景就是「非 tmux 的隔离实验场」（env -u TMUX ... -S <socket>）
+#
 # 用法
-#   nao-fleet.sh check [--strict] [-v]            静态体检：roles.yaml/缩进/EOL/角色卡/交叉引用/PR 模板/白名单/布局
+#   nao-fleet.sh check [--strict] [-v]            静态体检：roles.yaml/缩进/EOL/角色卡/交叉引用/PR 模板/白名单/布局/tmux+pi 前提
 #                                                 默认单行摘要（含 warn 计数）；-v 展开完整报告；失败始终展开
-#   nao-fleet.sh status                           角色会话在线状态（按终端标题/名册判定；权威名单见 intercom list）
+#   nao-fleet.sh status                           角色会话在线状态（按 tmux 终端标题/名册判定；权威名单见 intercom list）
 #   nao-fleet.sh ensure <别名>[@<repo>] [更多...]  拉起角色窗口（默认工作区=roles.yaml workspace）
 #   nao-fleet.sh ensure -m <model> <别名>...       显式指定模型（须命中白名单）
 #   nao-fleet.sh ensure --task <编号> <别名>[@<repo>]   任务派生会话：--name <别名>-<编号>（并行隔离，避免同名冲突）
 #   nao-fleet.sh ensure --force <别名>...          忽略"已在运行"判重
-#   nao-fleet.sh ensure --background <别名>...     无图形会话时显式允许后台 detached（否则 exit 2）
 #   nao-fleet.sh close <别名|派生会话名> [--task <编号>] [--force]
 #                                                 回收已完成会话（派生名如 rd-be-T1；跨仓定位；定位失败/名册报在线但无句柄 ⇒ 非 0 + 诊断）
 #                                                 （闸门：在跑 turn / tasks-state 未推进 → 拒绝，--force 跳过；
 #                                                  常驻缺席而其派生在场 ⇒ 目标歧义拒绝，T516 AC3）
-#   nao-fleet.sh cleanup -S <socket>              终结实验场 tmux server（**强制**显式 -S socket）
+#   nao-fleet.sh cleanup -S <socket>              终结实验场 tmux server（**强制**显式 -S socket；不看 $TMUX）
 #                                                 不带 -S / 命中生产默认 socket ⇒ exit 2 + 单行拒绝（真 server 不受影响）
 #                                                 ⚠ 生产默认 socket 判定 = $TMUX 句柄 + /tmp/tmux-<uid>/default（+$TMPDIR 变体），
 #                                                 **与 TMUX_TMPDIR 无关**（T516 事故：夹具设 TMUX_TMPDIR 曾令真默认 socket 被放行而连坐自灭）
 #                                                 ⚠ 实验纪律：一律 `env -u TMUX` + `-S <隔离 socket>`（T515 血训：
 #                                                 tmux 客户端在 $TMUX 已设时无视 TMUX_TMPDIR，裸 tmux/kill-server 会连坐真 server）；
-#                                                 验证脚本勿在承载自己会话的 tmux 内执行（清 TMUX_PANE 会令 F1 自 pane 闸门失效）
+#                                                 验证脚本勿在承载自己会话的 tmux 内执行（F1 自 pane 闸门已改为
+#                                                 进程归属判定 pane_hosts_caller，不再依赖 $TMUX_PANE——T530）
 #
 # 角色别名 → 角色卡：见 .agents/roles.yaml（单一事实来源）
 #   当前：pm / arch-designer(arch) / rd-fe / rd-be / qa / rd-infra(infra)
 #
 # 环境变量
-#   NAO_TERMINAL=tmux|foot|ghostty|ptyxis|screen  强制宿主（非法/命令缺失 ⇒ exit 2）
 #   NAO_TMUX_LAYOUT=main-row2|main-col|grid   tmux 布局（默认 main-row2）
 #   NAO_TMUX_MAIN_WIDTH=<10..90>             主 pane 宽度百分比（默认 35；main-row2/main-col 共用）
 #   NAO_TMUX_MIN_PANE_WIDTH=<10..80>         最小非主 pane 列宽守卫（默认 30；低于则回退）
@@ -38,6 +42,8 @@
 #   NAO_TASKS_STATE=<path>                   任务状态文件（默认 docs/tasks-state.md，供残留检测/回收闸门）
 #
 # 在线判定与 pane 定位（status / close / ensure 判重共用）
+#   ⚠️ pane id（%N）是 **server 局部**命名空间（每个 server 首块 pane 都是 %0）⇒ 任何「跨 server 比较
+#     pane id」的判据都是错的（T530 误拒根因）；「解析句柄」与「执行 kill」必须同 server（同 $TMUX）。
 #   pi 启动后用 OSC 0 把终端标题设为 "π - <会话名> - <cwd basename>" 并改写 argv
 #   （/proc/<pid>/cmdline 只剩 "pi"）⇒ 不使用 `pgrep --name`（历史假阴性根因）。
 #   ⚠️ 标题可能被外部改写（PM 实测变为 "pi:c"）⇒ pane 定位按三层后备（find_pane_for）：
@@ -45,19 +51,12 @@
 #     ② pi-intercom 名册 tmuxPane（注册时读 $TMUX_PANE；与标题改名无关，权威）
 #     ③ 本仓「未被认领 pi pane」唯一兜底（启发式；歧义即 warn，不猜）
 #   名册由 intercom-probe.mts（一次调用、进程内缓存，含 tmuxPane）取；探针不可用回退
-#   pi-intercom 官方 cli.ts（无 tmuxPane），再不可用回退 tmux/screen 会话名；
-#   仍无法确认「不在线」时 close 不做静默 no-op（exit 非 0）。
-#
-# 宿主阶梯（非 tmux 用户；ADR 2026-10-12-non-tmux-host-spawn）
-#   ① NAO_TERMINAL 显式 → ② $TMUX 内分屏 → ③ tmux+图形：tmux 会话 + 可见窗口 attach
-#   → ④ 图形无 tmux：xdg-terminal-exec --app-id=org.nao.<角色> --dir=<repo> 直开窗
-#   → ⑤ 无图形：仅 --background 时 detached tmux/screen → ⑥ 否则 exit 2 + 一行 DEGRADED 诊断
+#   pi-intercom 官方 cli.ts（无 tmuxPane），再不可用回退 tmux 会话名。
 #
-# tmux 宿主行为
-#   - 已在 tmux 内（$TMUX 存在）：以派生宿主窗口（调用者 pane 所在 window）分屏拉起，不新建窗口；
+# tmux 宿主行为（唯一路径）
+#   - 以派生宿主窗口（调用者 pane 所在 window）分屏拉起，不新建窗口；
 #     显式 `-t @<window_id>` 目标（定位链：NAO_TMUX_HOST_WINDOW > $TMUX_PANE > 名册唯一命中；
 #     否则 warn + 跳过该 pane，不落入当前窗口）
-#   - 不在 tmux 内：创建 detached 会话 nao-<角色>，需 tmux attach -t nao-<角色>。
 #   - main-row2：第 1 个 pane 全高占左，后续每角色往右开列、每列上下 2 个（默认）：
 #                 1 | 2 | 4
 #                 1 | 3 | 5
@@ -97,20 +96,18 @@ VERBOSE=false
 CLOSE_BUSY_PATTERN="${NAO_CLOSE_BUSY_PATTERN:-Working \(|Thinking\.\.\.|to interrupt|to cancel|Retrying \(|Compacting|Summarizing branch}"
 # 任务状态文件（相对当前目录；供残留检测与回收闸门）
 TASKS_STATE="${NAO_TASKS_STATE:-docs/tasks-state.md}"
-# T513-S2 F2：窗口/分离宿主派生前清 TMUX/TMUX_PANE —— 防子进程继承调用者的 pane 句柄，
-#   导致 pi-intercom 按调用者 pane 错注册名册、close 反噬调用者（见 ADR 不变量）。
-#   ⚠️ 只用于「非 tmux 窗口/screen」宿主：tmux 自身的 split-window/new-session/attach
-#   会为新 pane 注入正确的 TMUX_PANE（实测 -L 隔离 server：外层 TMUX_PANE=%FAKE 被覆盖为 %0），
-#   对这些路径前缀剥离反而会抹掉正确句柄。
-TMUX_ENV_SCRUB="env -u TMUX -u TMUX_PANE"
 
 log()  { printf '\033[1;32m[fleet]\033[0m %s\n' "$*"; }
 warn() { printf '\033[1;33m[fleet]\033[0m %s\n' "$*" >&2; }
 die()  { printf '\033[1;31m[fleet]\033[0m %s\n' "$*" >&2; exit 1; }
-# 环境不足/宿主不可运行统一出口：exit 2，单行 `DEGRADED: <诊断>；恢复：<命令>`（对齐 0.12.0 D5 口径）
-die_env() { printf 'DEGRADED: %s；恢复：%s\n' "$1" "$2" >&2; exit 2; }
-# 宿主存在但动作失败（拉起未成）：exit 1（BR3）；不清零/不声称已回收（回收结果由各派生函数自报）
-die_spawn() { printf '\033[1;31m[fleet]\033[0m %s\n' "$*" >&2; exit 1; }
+# 唯一运行前提（BR1/BR3 · ADR 2026-10-27-strict-tmux-pi）：$TMUX 非空且 tmux 可用。
+# 不满足 ⇒ exit 3 + 单行提示；调用点在建 session / load_manifest / 写状态**之前**（失败零副作用）。
+# rc 语义：3 = 前提不满足 ⇒ 命令未执行；不复用 1（已执行但失败）/ 2（用法守卫，现仅 cleanup）。
+require_tmux() {
+  if [[ -n "${TMUX:-}" ]] && command -v tmux >/dev/null 2>&1; then return 0; fi
+  printf '需要 tmux：nao-fleet 只支持在 tmux 会话内运行（先 `tmux new -s nao`，再在该会话内重试）\n' >&2
+  exit 3
+}
 
 # ---------------------------------------------------------------------------
 # roles.yaml 解析（严格子集：顶层 roles:，2 空格角色条目 / 4 空格字段，禁 Tab）
@@ -299,6 +296,25 @@ check_codegraph() {
   fi
 }
 
+# pi 运行前提（BR4/AC3）：版本源 = `pi --version` 首个 semver token；预发布（含 `-`）视为不满足。
+# 输出当前版本（缺失/不可解析也给占位），rc 0 = 满足 ≥1.4.0；失败只置 rc，由 check 聚合后继续跑完其余体检。
+pi_version_check() {
+  if ! command -v pi >/dev/null 2>&1; then printf '%s' '<缺失>'; return 1; fi
+  local raw cur base c1 c2
+  raw="$(pi --version 2>/dev/null || true)"
+  cur="$(printf '%s\n' "$raw" | grep -oE '[0-9]+\.[0-9]+\.[0-9]+(-[0-9A-Za-z.-]+)?(\+[0-9A-Za-z.-]+)?' | head -1 || true)"
+  if [[ -z "$cur" ]]; then printf '%s' '<无法解析>'; return 1; fi
+  printf '%s' "$cur"
+  [[ "$cur" == *-* ]] && return 1          # 预发布不满足（BR4）
+  base="${cur%%+*}"                        # 忽略 build metadata
+  c1="${base%%.*}"; base="${base#*.}"
+  c2="${base%%.*}"
+  if (( c1 > 1 )); then return 0; fi
+  if (( c1 < 1 )); then return 1; fi
+  if (( c2 >= 4 )); then return 0; fi
+  return 1
+}
+
 # ---------------------------------------------------------------------------
 resolve_role() {
   local id="${ALIAS_ROLE[$1]:-}"
@@ -307,22 +323,8 @@ resolve_role() {
   PROMPT="${ROLE_CARDS[$id]}"
 }
 
-# 宿主阶梯（ADR 实施闸门 · T513b/c）——由「枚举模拟器」改为「环境查询 + 显式覆盖」：
-#   ① NAO_TERMINAL 显式（档值 ∈ {tmux,foot,ghostty,ptyxis,screen}；命令缺失/非法 ⇒ exit 2）
-#   ② $TMUX 存在 ⇒ 派生宿主窗口（调用者 pane 所在 window）split-window（显式 -t @<window_id>；单窗口逐值零回归）
-#   ③ 非 tmux + tmux 可用 + 图形 ⇒ new-session -d + xdg-terminal-exec 开窗 attach（默认 socket）
-#   ④ 无 tmux + 图形 ⇒ xdg-terminal-exec --app-id=org.nao.<角色> --dir=<repo> 直开窗
-#   ⑤ 无图形 + 显式 --background ⇒ detached tmux/screen
-#   ⑥ 否则 exit 2 + 单行 DEGRADED 诊断 + 可复制恢复命令
-NAO_TERMINAL_ALLOWED=(tmux foot ghostty ptyxis screen)
-NAO_TERMINAL_LIST='tmux|foot|ghostty|ptyxis|screen'   # 文案用（与 ALLOWED 同步）
-
-# 图形会话探针（ADR 门禁）：有显示变量且 `xdg-terminal-exec --print-id` 成功
-xdg_launcher_ok() {
-  command -v xdg-terminal-exec >/dev/null 2>&1 || return 1
-  [[ -n "${WAYLAND_DISPLAY:-}${DISPLAY:-}" ]] || return 1
-  xdg-terminal-exec --print-id >/dev/null 2>&1
-}
+# 宿主阶梯（已删 · ADR 2026-10-27-strict-tmux-pi）：单一前提 = tmux 会话内；
+#   ② $TMUX 存在 ⇒ 派生宿主窗口（调用者 pane 所在 window）split-window 显式 -t @<window_id>。
 
 # ---------------------------------------------------------------------------
 # 会话在线判定
@@ -332,9 +334,9 @@ xdg_launcher_ok() {
 # 并同步改写 argv —— /proc/<pid>/cmdline 只剩 "pi"，`pgrep -f --name` 恒失配，
 # 于是 status/close 长期判「不在线」（close 退化为静默空转、exit 0）。
 # 现改为按「终端标题契约」取句柄，argv 扫描一律不用：
-#   ① pi-intercom 名册（权威在线名单；跨 tmux/ghostty/ptyxis/screen 宿主）
+#   ① pi-intercom 名册（权威在线名单）
 #   ② tmux pane_title（pi 自设；与 pane_start_command 是否为空无关）
-#   ③ tmux detached 会话 / screen 会话名 nao-<会话名>
+#   ③ tmux detached 会话名 nao-<会话名>
 # ⚠️ 标题可被外部改写（实测 "pi:c"）⇒ find_pane_for 再叠三层后备：标题契约 →
 #   名册 tmuxPane（$TMUX_PANE，权威）→ 本仓未认领 pi pane 唯一兜底。
 # repo（可选）：给出时要求标题 basename / 名册 cwd 一致，避免跨项目同名会话互串。
@@ -442,6 +444,51 @@ tmux_pane_live() {
   tmux list-panes -a -F '#{pane_id}' 2>/dev/null | grep -qxF "$1"
 }
 
+# 目标 pane 是否就是**调用者自己所在的 pane**（F1 不变量：close 任何路径不得回收调用者的 pane）。
+# T530 修正根因：旧判据是裸 pane id 比较（`"$pane" == "$TMUX_PANE"`）。pane id 是 **server 局部**
+#   命名空间（每个 server 的首块 pane 都是 %0）⇒ 跨 server 撞号时必然误判：隔离/custom socket 的
+#   测试 server 里解析出的 %0 与调用者默认 server 的 $TMUX_PANE=%0 字符串相同 → 误判「是自己」→ **误拒**
+#   正常回收（安全侧失败，不误杀，但功能不可用）。
+#   为什么不用「(socket, pane_id) 二元组相等」：撞号的成因就是 $TMUX_PANE 是**陈旧/外来**的
+#   （$TMUX 指向隔离 server，而 $TMUX_PANE 还是默认 server 的 %0）—— 两边读出来的 socket 恰好都等于
+#   $TMUX 首字段、id 又都是 %0，二元组照样相等 ⇒ 仍误拒。所以判据必须是「我是否真在这个 pane 里」。
+#   实现：目标 pane 的 pane_pid 是否是本进程（$$）的祖先 —— OS 级事实，与 pane id 命名空间无关，
+#   天然免疫跨 server 撞号，且顺带覆盖旧闸门的已知缺口（$TMUX_PANE 被清/未设时旧判据完全失效）。
+#   语义不放松：真自身 pane（如派生时继承 $TMUX_PANE 致名册错注册，T513-S2/T523/T525）⇒ 祖先命中 ⇒ 仍拒。
+#
+# T530-D1（QA 复核）：判据必须 **fail-closed**（三态），不得「不可判定 ⇒ 不声称是自己」。
+#   QA 实证：伪造 `ps` 令祖先链不可读 ＋ 在自身 pane 内跑 close ⇒ 自身 pane 被回收（SELF_KILLED）。
+#   F1「绝不杀自己」是硬不变量 ⇒ 判不了就**拒**（成本是少回收一次，代价是误杀一个会话）。
+#   返回：0 = 确定是自己 · 1 = 确定不是 · 2 = 不可判定（pane_pid 取不到 / ps 读不出 / 链断）
+pane_hosts_caller() {
+  local pane="$1" p_pid cur
+  [[ -n "$pane" ]] || return 2
+  p_pid="$(tmux display-message -p -t "$pane" '#{pane_pid}' 2>/dev/null || true)"
+  [[ "$p_pid" =~ ^[0-9]+$ ]] || return 2          # pane_pid 取不到 ⇒ 不可判定
+  cur="$$"
+  while [[ "$cur" =~ ^[0-9]+$ ]] && (( cur > 1 )); do
+    [[ "$cur" == "$p_pid" ]] && return 0
+    cur="$(ps -o ppid= -p "$cur" 2>/dev/null | tr -d '[:space:]')"
+    [[ -n "$cur" ]] || return 2                  # 链断（ps 不可读/被伪造）⇒ 不可判定
+  done
+  return 1                                        # 走到 init 仍未命中 ⇒ 确定不是
+}
+
+# F1 闸门统一判据（两个调用点共用）：0 = 必须拒绝回收，1 = 放行。
+#   不可判定（rc=2）时**仅当**目标 pane id 与调用者句柄 `$TMUX_PANE` 撞号才拒（保守侧）。
+#   ⛔ 不得把「rc=2 且 id 不等」也拒：跨 server 撞号是陈旧句柄造成的，若一律拒会把 v0.19.0
+#   那种「隔离 server 的 %0 被当成自己」的误拒（发布阻断红态）重新引回来。
+self_pane_refuse() {
+  local pane="$1" rc=0
+  pane_hosts_caller "$pane" || rc=$?
+  case "$rc" in
+    0) return 0 ;;                                                      # 确定是自己 ⇒ 拒
+    2) [[ -n "${TMUX_PANE:-}" && "$pane" == "$TMUX_PANE" ]] && return 0  # 不可判定但撞号 ⇒ 保守拒
+       return 1 ;;
+    *) return 1 ;;                                                      # 确定不是 ⇒ 放行
+  esac
+}
+
 # 名册中该会话的 tmux pane（注册时读 $TMUX_PANE；标题被改写仍有效）
 intercom_pane_for() {
   local name="$1" repo="${2:-}" abs="" json
@@ -552,7 +599,8 @@ pi_pids_for() {
   pane="$(find_pane_for "$1" "${2:-}")"
   [[ -n "$pane" ]] || return 0
   # F1 纵深（T513-S2）：绝不据「调用者自己的 pane」反查 pid，否则会 kill 到自身进程。
-  [[ -n "${TMUX_PANE:-}" && "$pane" == "$TMUX_PANE" ]] && return 0
+  # T530：判据=进程归属（pane_hosts_caller 三态，fail-closed），不比较裸 pane id（server 局部命名空间）。
+  self_pane_refuse "$pane" && return 0
   root="$(tmux display-message -p -t "$pane" '#{pane_pid}' 2>/dev/null)"
   [[ -n "$root" ]] || return 0
   { printf '%s\n' "$root"; pgrep -P "$root" 2>/dev/null || true; } | while IFS= read -r pid; do
@@ -561,50 +609,7 @@ pi_pids_for() {
   done
 }
 
-# ---- ④ 路径句柄（app-id/class；BR7/AC8）-------------------------------------
-# 窗口 client pid：Hyprland `hyprctl clients -j` 主路；sway 树后备（仅存在性探测；NFR4/NFR5）
-app_client_pid() {  # <name> → echo 窗口进程 pid（无则空）
-  local name="$1" cls="org.nao.$name" json=""
-  if command -v hyprctl >/dev/null 2>&1; then
-    json="$(hyprctl clients -j 2>/dev/null || true)"
-  elif command -v swaymsg >/dev/null 2>&1; then
-    json="$(swaymsg -t get_tree 2>/dev/null || true)"
-  fi
-  [[ -n "$json" ]] || return 0
-  printf '%s' "$json" | node -e '
-    let s="";process.stdin.on("data",d=>s+=d).on("end",()=>{
-      try{const a=JSON.parse(s);const arr=Array.isArray(a)?a:[a];
-        const walk=x=>{for(const n of (x||[])){const c=n.class||n.initialClass||n.app_id;
-          if(c===process.argv[1]&&n.pid!=null){process.stdout.write(String(n.pid));return;}
-          walk(n.nodes);walk(n.floating_nodes);}};
-        walk(arr);}catch(e){}
-    });' "$cls" 2>/dev/null || true
-  return 0
-}
-
-# 深度优先找 comm=pi 的后代（窗口进程往往是终端，pi 在其下）
-pi_descendant_of() {  # <root pid> → echo 首个 pi 后代 pid
-  local root="$1" c r
-  for c in $(pgrep -P "$root" 2>/dev/null); do
-    [[ "$(ps -o comm= -p "$c" 2>/dev/null | tr -d ' ')" == "pi" ]] && { printf '%s\n' "$c"; return 0; }
-    r="$(pi_descendant_of "$c")"
-    [[ -n "$r" ]] && { printf '%s\n' "$r"; return 0; }
-  done
-  return 0
-}
-
-# app-id/class 句柄 → 校验 comm=pi 后的 pi pid（BR7：取 pid 后校验 comm=pi）
-app_pid_for() {  # <name> → echo pi pid（无句柄/不可校验则空）
-  local name="$1" pid d
-  pid="$(app_client_pid "$name")"
-  [[ -n "$pid" ]] || return 0
-  if [[ "$(ps -o comm= -p "$pid" 2>/dev/null | tr -d ' ')" == "pi" ]]; then printf '%s\n' "$pid"; return 0; fi
-  d="$(pi_descendant_of "$pid")"
-  [[ -n "$d" ]] && printf '%s\n' "$d"
-  return 0
-}
-
-# ④ 路径 class 探针存在性由 app_class_visible() 返回码 2 表达（无独立 helper，避免死代码）
+# ---- ④ 路径句柄（app-id/class）已随宿主阶梯删除（ADR 2026-10-27-strict-tmux-pi）---------
 
 # 派生会话在场检测（T516 AC3）：visible_session_names 中形如 <name>-<非空后缀> 者。
 # 用于 close <常驻名> 时判目标歧义：常驻精确句柄缺席而其派生在场 ⇒ 拒绝 + 指路（禁静默谎报「未运行」）。
@@ -626,46 +631,18 @@ subagent_in_field() {  # → echo 子代理会话数（0..N）
   printf '%s\n' "$c"
 }
 
-# screen 会话精确令牌（T516 F1/F2 · arch 评审）：从 `screen -ls` 取**精确** nao-<名> 会话的 `pid.name` 令牌。
-# 与 running()/close 检测同一锚定（名字后必须是空白或行尾；`\b` 在派生名的 "-" 处仍成立，故不用）。
-# 检测与销毁共用本 helper ⇒ 检测锚与销毁目标不会漂移；**取不到令牌即空，调用方不得 quit**（宁不回收，也不误伤派生）。
-screen_token_for() {  # <name> → echo pid.name（无精确匹配则空；恒 rc 0）
-  local name="$1"
-  command -v screen >/dev/null 2>&1 || return 0
-  # 左锚：`[0-9]+\.nao-` 必须紧接 pid 点（弃 `[^[:space:]]*` —— 旧式允许 `pid.Xnao-<名>` 型非目标会话被当精确令牌，
-  # QA 波4 (e) 红：误杀非目标 + 幻影成功 + 误报在线）。右锚 `([[:space:]]|$)` 同时排除派生 `nao-<名>-<任务>`。
-  screen -ls 2>/dev/null \
-    | grep -oE '[0-9]+\.nao-'"$name"'([[:space:]]|$)' \
-    | sed -E 's/[[:space:]]+$//' \
-    | head -1 || true
-  return 0
-}
-screen_present() {  # <name> → 0 = 精确 screen 会话在场
-  [[ -n "$(screen_token_for "$1")" ]]
-}
-
 running() {
   local name="$1" repo="${2:-}"
   if intercom_online "$name" "$repo"; then return 0; fi
   if [[ -n "$(find_pane_for "$name" "$repo")" ]]; then return 0; fi
+  # T516 #1（=锚）：tmux 会话名唯一前缀匹配曾误命中派生 nao-<名>-<任务>（T515 V4 实证）⇒ 一律 =nao-<名>。
   if command -v tmux >/dev/null 2>&1 && tmux has-session -t "=nao-$name" 2>/dev/null; then return 0; fi
-  # T516 #1（=锚）：tmux 会话名唯一前缀匹配曾误命中派生 nao-<名>-<任务>（T515 V4 实证）⇒ 一律 =nao-<名>；
-  # screen 同理：锚定收敛到 screen_present()（同一 helper 服务检测与销毁，见 screen_token_for）。
-  if command -v screen >/dev/null 2>&1 && screen_present "$name"; then return 0; fi
   return 1
 }
 
-# 能否可信地断言「不在线」：名册可用（完整），或本机就是 tmux/screen 宿主（句柄可枚举）
-offline_verifiable() {
-  intercom_list_json >/dev/null 2>&1 && return 0
-  [[ -n "${TMUX:-}" ]] && return 0
-  case "${NAO_TERMINAL:-}" in tmux|screen) return 0 ;; esac
-  return 1
-}
-
-# 本机可见的会话名（tmux 标题 + tmux/screen 会话 + 名册），供 status 枚举；已去重
-# ⚠️ 每条枚举 `|| true`：set -e + pipefail 下 `screen -ls`（无 socket 时 rc=1）或
-#    `tmux`（无 server 时 rc=1）会中断其余枚举，使「名册回退」永远走不到 —— 必疾。
+# 本机可见的会话名（tmux 标题 + tmux 会话 + 名册），供 status 枚举；已去重
+# ⚠️ 每条枚举 `|| true`：set -e + pipefail 下 `tmux`（无 server 时 rc=1）会中断其余枚举，
+#    使「名册回退」永远走不到 —— 必疾。
 visible_session_names() {
   { if command -v tmux >/dev/null 2>&1; then
       { tmux list-panes -a -F '#{pane_title}' 2>/dev/null || true; } \
@@ -673,10 +650,6 @@ visible_session_names() {
       { tmux list-sessions -F '#{session_name}' 2>/dev/null || true; } \
         | sed -n 's/^nao-//p'
     fi
-    if command -v screen >/dev/null 2>&1; then
-      { screen -ls 2>/dev/null || true; } \
-        | sed -n 's/.*[0-9]\.nao-\([A-Za-z0-9_-]*\).*/\1/p'
-    fi
     intercom_roster 2>/dev/null || true
   } | awk -F'\t' 'NF {print $1}' | awk '!seen[$0]++'
 }
@@ -1040,23 +1013,18 @@ spawn_tmux() {
     *) die "NAO_TMUX_LAYOUT 无效: $TMUX_LAYOUT（可选 main-row2|main-col|grid）" ;;
   esac
   local wrapped="bash -lc $(printf %q "$inner")"
-  if [[ -n "${TMUX:-}" ]]; then
-    # T517：目标显式化——HOST_WINDOW 解析失败时此处已由解析处 warn（每 run 一次），
-    #   跳过该 pane；禁止无 -t 续建（tmux 会落「当前窗口」= 用户视图，即缺陷根因）。
-    [[ -n "$HOST_WINDOW" ]] || return 0
-    # 窄窗口/宿主上限会让 split-window 失败（no space for new pane，含宿主窗已关竞态）；
-    # 捕获后 warn 并继续，不因单个 pane 失败中断整轮 ensure。
-    local serr
-    if ! serr=$(tmux split-window -h -t "$HOST_WINDOW" "$wrapped" 2>&1); then
-      warn "pane 创建失败（宿主窗口 $HOST_WINDOW 过窄/已关或已达上限）：${serr:-<no message>}"
-      warn "  已跳过该 pane，其余角色继续拉起；可放大窗口后重跑 ensure"
-      return 0
-    fi
-    apply_tmux_layout
-  else
-    tmux new-session -d -s "nao-$name" "$wrapped"
-    log "tmux 会话 nao-$name 已创建（附加: tmux attach -t nao-$name）"
+  # T517：目标显式化——HOST_WINDOW 解析失败时此处已由解析处 warn（每 run 一次），
+  #   跳过该 pane；禁止无 -t 续建（tmux 会落「当前窗口」= 用户视图，即缺陷根因）。
+  [[ -n "$HOST_WINDOW" ]] || return 0
+  # 窄窗口/宿主上限会让 split-window 失败（no space for new pane，含宿主窗已关竞态）；
+  # 捕获后 warn 并继续，不因单个 pane 失败中断整轮 ensure。
+  local serr
+  if ! serr=$(tmux split-window -h -t "$HOST_WINDOW" "$wrapped" 2>&1); then
+    warn "pane 创建失败（宿主窗口 $HOST_WINDOW 过窄/已关或已达上限）：${serr:-<no message>}"
+    warn "  已跳过该 pane，其余角色继续拉起；可放大窗口后重跑 ensure"
+    return 0
   fi
+  apply_tmux_layout
 }
 
 # 组装系统提示文件：角色卡 + 环境锚点（本机绝对路径，供跨仓库会话解析 @ 引用失败时兜底）
@@ -1070,262 +1038,22 @@ build_system_prompt() {
   echo "$f"
 }
 
-# ---- 派生 pid 传递（T513-S5 · M2 设计修复）--------------------------------
-# 父进程建「匿名管道」（在 mktemp -d 内 mkfifo，打开 fd 后立即 rm -rf 该目录 ⇒ 仅 fd 存活）
-# → 子进程经**继承 fd** 写自身 pid → 父进程读。子进程**不打开任何路径**，因此
-# 「父先清理、子后写重建」的竞态与 /tmp 残留从设计上不可能（无文件系统对象可残留）；
-# 失败时父仍能拿到 pid ⇒ M1 回收能力保留。
-#   ⚠ 管道以 O_RDWR 打开（exec {fd}<>）：父读端提前关闭时，子进程写不会 SIGPIPE（实测）。
-#   ⚠ 实测 foot 等终端保留继承 fd，故 ④ 路径的 M1 仍可拿到 pid。
-PID_PIPE_FD=""
-open_pid_pipe() {
-  local d
-  d="$(mktemp -d "/tmp/nao-fleet-pidpipe-XXXXXX")" || return 1
-  mkfifo "$d/p" 2>/dev/null || { rm -rf -- "$d"; return 1; }
-  # 不得在 exec 的 fd 分配上加 `2>/dev/null`：exec 重定向会**持久**作用于当前 shell（会静默后续所有 warn/xtrace）。
-  if ! exec {PID_PIPE_FD}<>"$d/p"; then rm -rf -- "$d"; return 1; fi
-  rm -rf -- "$d"          # 立即 unlink：路径消失，仅 fd 存活
-  return 0
-}
-close_pid_pipe() {
-  if [[ -n "${PID_PIPE_FD:-}" ]]; then exec {PID_PIPE_FD}>&- || true; fi
-  PID_PIPE_FD=""
-  return 0
-}
-# 读子进程 pid（有界轮询；echo pid / 超时 rc=1）
-wait_for_pid_pipe() {  # [tries]
-  local tries="${1:-30}" pid=""
-  [[ -n "${PID_PIPE_FD:-}" ]] || return 1
-  while (( tries-- > 0 )); do
-    if IFS= read -r -t 0.1 -u "$PID_PIPE_FD" pid 2>/dev/null && [[ -n "$pid" ]]; then
-      printf '%s' "$pid"; return 0
-    fi
-  done
-  return 1
-}
-# 子进程包装命令：把自身 $$ 写入继承 fd（写成后 exec 目标 ⇒ pid 不变，即最终 pi/宿主 pid）
-pid_pipe_wrapper() { printf 'echo $$ >&%s; exec "$@"' "$PID_PIPE_FD"; }
-
-# 非 tmux 窗口宿主（ghostty/ptyxis/foot）派生：P4 根因 = `setsid -f <缺失命令>` 仍 rc=0，
-# 故不能以 setsid 的 rc 当成功 —— 必须验证子进程 pid 存活（BR2）。
-# pid 经继承管道回传（M2：无 pidfile ⇒ 无残留）；失败即回收 pid（不产生孤儿窗口，AC6）。
-spawn_fork_window() {  # <name> <cmd...>
-  local name="$1"; shift
-  local pid=""
-  open_pid_pipe || return 1
-  if ! setsid -f bash -c "$(pid_pipe_wrapper)" _ "$@" >/dev/null 2>&1; then
-    close_pid_pipe; return 1
-  fi
-  pid="$(wait_for_pid_pipe)" || pid=""
-  close_pid_pipe
-  if [[ -n "$pid" ]] && kill -0 "$pid" 2>/dev/null; then return 0; fi
-  [[ -n "$pid" ]] && kill "$pid" 2>/dev/null || true
-  return 1
-}
-
-# screen 宿主派生：以「会话存在」为「已拉起」前置；未出现即回收会话（AC6）。
-spawn_screen() {  # <name> <inner>
-  local name="$1" inner="$2" tries=30 stok
-  screen -dmS "nao-$name" $TMUX_ENV_SCRUB bash -lc "$inner" >/dev/null 2>&1 || return 1
-  while (( tries-- > 0 )); do
-    if screen_present "$name"; then return 0; fi
-    sleep 0.1
-  done
-  # F1（arch 评审）：失败清理**只 quit 锚定令牌**指向的会话；取不到令牌即不 quit（不对 nao-<名> 前缀下手）。
-  stok="$(screen_token_for "$name")"
-  [[ -n "$stok" ]] && screen -S "$stok" -X quit >/dev/null 2>&1 || true
-  return 1
-}
-
-# ---- 阶梯③/④ 原子件：可见窗口 + 限时句柄校验 -----------------------------
-# tmux 会话是否有客户端 attach（ADR：会话在、窗口无 ⇒ 降级④；防隐形会话）
-wait_for_tmux_client() {  # <sess> [tries]
-  local sess="$1" tries="${2:-50}" out
-  while (( tries-- > 0 )); do
-    out="$(tmux list-clients -t "=$sess" 2>/dev/null || true)"
-    [[ -n "$out" ]] && return 0
-    sleep 0.1
-  done
-  return 1
-}
-
-# 开可见窗口（只启动、不校验）：xdg-terminal-exec；--app-id 含角色名，--dir 为 repo
-# 默认 socket（无 -L）；setsid -f 的 rc 不作成功依据，由调用方做句柄前置校验（BR2）。
-open_xdg_window() {  # <name> <repo> <cmd...>
-  local name="$1" repo="$2"; shift 2
-  command -v xdg-terminal-exec >/dev/null 2>&1 || return 1
-  setsid -f xdg-terminal-exec --app-id="org.nao.$name" --dir="$repo" -- "$@" >/dev/null 2>&1 || return 1
-  return 0
-}
-
-# 窗口 class 可见性（④ 句柄）：Hyprland 主路；其它合成器/X11 仅存在性探测（NFR4；覆盖限制 NFR5）
-#   返回 0=可见 / 1=不可见 / 2=无查询器（不可校验）
-app_class_visible() {  # <name>
-  local name="$1" cls="org.nao.$name" out
-  if command -v hyprctl >/dev/null 2>&1; then
-    out="$(hyprctl clients -j 2>/dev/null || true)"
-    [[ "$out" == *"$cls"* ]] && return 0
-    return 1
-  fi
-  if command -v swaymsg >/dev/null 2>&1; then
-    out="$(swaymsg -t get_tree 2>/dev/null || true)"
-    [[ "$out" == *"$cls"* ]] && return 0
-    return 1
-  fi
-  if command -v xdotool >/dev/null 2>&1; then
-    xdotool search --class "$cls" >/dev/null 2>&1 && return 0
-    return 1
-  fi
-  if command -v wmctrl >/dev/null 2>&1; then
-    out="$(wmctrl -lx 2>/dev/null || true)"
-    [[ "$out" == *"$cls"* ]] && return 0
-    return 1
-  fi
-  return 2
-}
-
-wait_for_app_class() {  # <name> [tries] → 0 可见 / 1 未出现 / 2 无查询器
-  local name="$1" tries="${2:-50}" rc
-  while (( tries-- > 0 )); do
-    rc=0; app_class_visible "$name" || rc=$?
-    (( rc == 0 )) && return 0
-    (( rc == 2 )) && return 2
-    sleep 0.1
-  done
-  return 1
-}
-
-# ④ 直开窗：启动 + 限时 class 出现校验；失败尽力回收（M1：不假称已清理）
-#   pid 经继承管道回传（wrapper exec 后即 pi）⇒ 终端单实例/daemon 化形态下仍能可靠定位 pi，
-#   不依赖窗口生命周期；无 pidfile ⇒ 父先返回也不会被「子进程晚写」残留（M2 设计修复）。
-spawn_xdg_window() {  # <name> <repo> <cmd...>
-  local name="$1" repo="$2"; shift 2
-  local pid="" vrc=0
-  open_pid_pipe || return 1
-  if ! open_xdg_window "$name" "$repo" bash -c "$(pid_pipe_wrapper)" _ "$@"; then
-    close_pid_pipe; return 1
-  fi
-  wait_for_app_class "$name" || vrc=$?
-  # 成功 / D6 接受：无需 pid，直接关管道（子进程 O_RDWR 写不会 SIGPIPE；无路径 ⇒ 无残留）
-  if (( vrc == 0 )); then close_pid_pipe; return 0; fi
-  if (( vrc == 2 )); then
-    warn "无 class 探针（hyprctl/swaymsg/xdotool/wmctrl 均缺）：未能校验 $name 窗口可见性（D6）"
-    close_pid_pipe; return 0
-  fi
-  # 有探针但限时未出现 class ⇒ 尽力回收 pi，如实报告回收结果（M1）
-  pid="$(wait_for_pid_pipe 10)" || pid=""
-  close_pid_pipe
-  if [[ -n "$pid" ]] && kill -0 "$pid" 2>/dev/null; then
-    kill "$pid" 2>/dev/null || true
-    warn "④ 校验失败：已尽力回收 $name 的 pi 进程（pid=$pid）；若窗口仍在请手动关闭"
-  else
-    warn "④ 校验失败：未捕获 $name 的 pi 进程 pid，已开窗口可能仍在，请手动关闭"
-  fi
-  return 1
-}
-
-# ③ tmux 会话 + 可见窗口 attach：new-session -d 后开窗 attach，限时校验 list-clients；
-# 无客户端 ⇒ kill-session 并返回非 0（调用方降级④；用户裁量①：降级而非 exit 1）。
-spawn_tmux_attach() {  # <name> <repo> <inner>
-  local name="$1" repo="$2" inner="$3" sess="nao-$name"
-  tmux new-session -d -s "$sess" "bash -lc $(printf %q "$inner")" >/dev/null 2>&1 || return 1
-  if ! open_xdg_window "$name" "$repo" tmux attach -t "$sess"; then
-    tmux kill-session -t "=$sess" >/dev/null 2>&1 || true
-    return 1
-  fi
-  if wait_for_tmux_client "$sess"; then
-    log "tmux 会话 $sess 已创建 + 可见窗口 attach（默认 socket；pane 句柄完整）"
-    return 0
-  fi
-  tmux kill-session -t "=$sess" >/dev/null 2>&1 || true
-  return 1
-}
-
-# 是否有 tmux pane 句柄（L6：status 降级标注按「④ 路径」而非「tmux 命令缺失」判断）
-#   in tmux｜NAO_TERMINAL=tmux｜未显式指定且本机有 tmux（将走 ②/③）⇒ 有 pane 句柄
-has_tmux_handle() {
-  [[ -n "${TMUX:-}" ]] && return 0
-  [[ "${NAO_TERMINAL:-}" == tmux ]] && return 0
-  [[ -z "${NAO_TERMINAL:-}" ]] && command -v tmux >/dev/null 2>&1 && return 0
-  return 1
-}
-
-# 宿主阶梯判定（ADR 实施闸门）：echo 动作标签；rc 11=档值非法 / 12=命令缺失 / 1=无可用宿主
-resolve_action() {
-  if [[ -n "${NAO_TERMINAL:-}" ]]; then
-    local h ok=0
-    for h in "${NAO_TERMINAL_ALLOWED[@]}"; do [[ "$h" == "$NAO_TERMINAL" ]] && { ok=1; break; }; done
-    (( ok )) || return 11
-    command -v "$NAO_TERMINAL" >/dev/null 2>&1 || return 12
-    printf 'nao:%s\n' "$NAO_TERMINAL"; return 0
-  fi
-  if [[ -n "${TMUX:-}" ]]; then
-    if command -v tmux >/dev/null 2>&1; then printf 'tmux-in\n'; return 0; fi
-    # L1（PM 裁定）：$TMUX 已设但 tmux 命令缺失 ⇒ warn + 继续（不因升级中途变量残留卡死）
-    warn "TMUX 已设置但 tmux 命令缺失：忽略 tmux 句柄，按环境继续选择宿主"
-  fi
-  if command -v tmux >/dev/null 2>&1 && xdg_launcher_ok; then printf 'tmux-attach\n'; return 0; fi
-  if xdg_launcher_ok; then printf 'xdg-window\n'; return 0; fi
-  if [[ "${BACKGROUND:-false}" == true ]]; then
-    if command -v tmux >/dev/null 2>&1; then printf 'tmux-bg\n'; return 0; fi
-    if command -v screen >/dev/null 2>&1; then printf 'screen-bg\n'; return 0; fi
-  fi
-  return 1
-}
-
 spawn_one() {
-  local name="$1" repo="$2" model="$3" card prompt_file inner action rrc=0 spawn_rc=0 htag
+  local name="$1" repo="$2" model="$3" card prompt_file inner
   card="$PROMPTS_DIR/$PROMPT"
   [[ -f "$card" ]] || die "角色卡不存在: $card"
   [[ -d "$repo" ]] || die "工作区不存在: $repo"
 
-  # 宿主阶梯判定先于任何资源创建：环境不足 ⇒ exit 2，失败路径零残留（BR3/AC3/AC4/AC6）
-  action="$(resolve_action)" || rrc=$?
-  case "$rrc" in
-    0) ;;
-    11) die_env "不支持的宿主：NAO_TERMINAL=$NAO_TERMINAL（可选 ${NAO_TERMINAL_ALLOWED[*]}）" \
-                "改用受支持宿主：\`NAO_TERMINAL=<$NAO_TERMINAL_LIST> nao-fleet.sh ensure $name\`" ;;
-    12) die_env "宿主不可用：NAO_TERMINAL=$NAO_TERMINAL 未找到命令 $NAO_TERMINAL" \
-                "先用 \`command -v $NAO_TERMINAL\` 确认安装，或改用已安装宿主（如 \`NAO_TERMINAL=tmux nao-fleet.sh ensure $name\`）" ;;
-    *)  die_env "无可用宿主：无 tmux / 无图形窗口宿主（xdg-terminal-exec）且未显式 --background" \
-                "安装或指定已安装宿主：\`NAO_TERMINAL=<$NAO_TERMINAL_LIST> nao-fleet.sh ensure $name\`；无图形会话时用 \`nao-fleet.sh ensure --background $name\`" ;;
-  esac
-
+  # 前提已由入口 require_tmux 硬校验（exit 3）；此处只走唯一路径（BR1/BR3）。
   prompt_file="$(build_system_prompt "$card")"
   inner="cd $(printf %q "$repo") && exec pi --name $(printf %q "$name")"
   [[ -n "$model" ]] && inner+=" --model $(printf %q "$model")"
   inner+=" --append-system-prompt $(printf %q "$prompt_file")"
   ( sleep 60; rm -f -- "$prompt_file" ) & disown 2>/dev/null || true
 
-  # 拉起 + 句柄前置校验；失败不打印「已拉起」，清理本轮资源后 exit 1（BR2/BR3/AC6）
-  case "$action" in
-    tmux-in|nao:tmux|tmux-bg) spawn_tmux "$name" "$inner" ;;
-    tmux-attach)
-      if ! spawn_tmux_attach "$name" "$repo" "$inner"; then
-        warn "tmux 会话 attach 限时内无客户端 → 降级为 xdg-terminal-exec 直开窗（阶梯④；用户裁量①）"
-        spawn_xdg_window "$name" "$repo" $TMUX_ENV_SCRUB bash -lc "$inner" || spawn_rc=1
-      fi ;;
-    xdg-window)  spawn_xdg_window "$name" "$repo" $TMUX_ENV_SCRUB bash -lc "$inner" || spawn_rc=1 ;;
-    screen-bg|nao:screen) spawn_screen "$name" "$inner" || spawn_rc=1 ;;
-    nao:foot)    spawn_fork_window "$name" $TMUX_ENV_SCRUB foot --app-id="org.nao.$name" --working-directory="$repo" -e bash -lc "$inner" || spawn_rc=1 ;;
-    nao:ghostty) spawn_fork_window "$name" $TMUX_ENV_SCRUB ghostty -e bash -lc "$inner" || spawn_rc=1 ;;
-    nao:ptyxis)  spawn_fork_window "$name" $TMUX_ENV_SCRUB ptyxis  -- bash -lc "$inner" || spawn_rc=1 ;;
-    *)           spawn_rc=1   # 理论上不可达（resolve_action 标签全覆盖）；防御性不假成功
-  esac
-  if (( spawn_rc != 0 )); then
-    rm -f -- "$prompt_file" 2>/dev/null || true
-    die_spawn "宿主 $action 未能拉起 $name（动作失败，exit 1；回收结果见上方提示）"
-  fi
-  case "$action" in
-    tmux-in|nao:tmux) htag="tmux" ;;
-    tmux-attach)     htag="tmux+window" ;;
-    xdg-window)      htag="xdg-terminal-exec" ;;
-    tmux-bg)         htag="tmux(detached)" ;;
-    screen-bg|nao:screen) htag="screen" ;;
-    nao:*)           htag="${action#nao:}" ;;
-    *)               htag="$action" ;;
-  esac
-  log "[$htag] 已拉起 $name @ $repo${model:+（model=$model）}$([[ "$action" == tmux-in || "$action" == nao:tmux ]] && echo "（layout=$TMUX_LAYOUT）")"
+  # 拉起（pane 级失败 = warn + 跳过该角色，D-A）；成功后打印「已拉起」
+  spawn_tmux "$name" "$inner"
+  log "[tmux] 已拉起 $name @ $repo${model:+（model=$model）}（layout=$TMUX_LAYOUT）"
 }
 
 # ---------------------------------------------------------------------------
@@ -1528,37 +1256,27 @@ cmd_check() {
     done
   fi
 
-  echo "== 宿主阶梯（BR1；非 tmux 用户）=="
-  echo "  ① NAO_TERMINAL → ② tmux 内分屏 → ③ tmux 会话+可见窗口 attach → ④ xdg-terminal-exec 直开窗 → ⑤ --background → ⑥ exit 2"
-  if [[ -n "${NAO_TERMINAL:-}" ]]; then
-    local okh=0 h
-    for h in "${NAO_TERMINAL_ALLOWED[@]}"; do [[ "$h" == "$NAO_TERMINAL" ]] && { okh=1; break; }; done
-    if (( ! okh )); then
-      printf '  ✗ NAO_TERMINAL=%-10s 非法（可选 %s）\n' "$NAO_TERMINAL" "${NAO_TERMINAL_ALLOWED[*]}"; rc=1
-    elif ! command -v "$NAO_TERMINAL" >/dev/null 2>&1; then
-      printf '  ✗ NAO_TERMINAL=%-10s 命令缺失（ensure 将 exit 2）\n' "$NAO_TERMINAL"; rc=1
-    else
-      printf '  ✓ NAO_TERMINAL=%-10s 合法且可用\n' "$NAO_TERMINAL"
-    fi
+  echo "== 运行前提（tmux 内 + pi ≥1.4.0；AC1/AC3）=="
+  if command -v tmux >/dev/null 2>&1; then
+    echo '  ✓ tmux 可用（唯一受支持宿主）'
   else
-    echo '  · NAO_TERMINAL 未设置（按环境自动选择阶梯）'
+    printf '  ✗ tmux 缺失（ensure/status/close 将 exit 3）\n'; rc=1
   fi
-  if command -v xdg-terminal-exec >/dev/null 2>&1; then
-    echo '  ✓ xdg-terminal-exec 可用（阶梯③/④ 开可见窗口）'
+  if [[ -n "${TMUX:-}" ]]; then
+    echo "  ✓ 当前在 tmux 会话内（$(tmux display-message -p '#S' 2>/dev/null || echo '?')）"
   else
-    echo '  · xdg-terminal-exec 缺失（阶梯③/④ 不可用；无图形会话需 --background）'
+    printf '  · 当前不在 tmux 会话内：ensure/status/close 将 exit 3（先 `tmux new -s nao`）；纯静态体检可照跑\n'
   fi
-  if command -v tmux >/dev/null 2>&1; then
-    echo '  ✓ tmux 可用（阶梯②/③/⑤）'
+  local pi_cur
+  if pi_cur="$(pi_version_check)"; then
+    printf '  ✓ pi 版本 %s ≥ 1.4.0\n' "$pi_cur"
   else
-    echo '  · tmux 缺失（阶梯②/③/⑤ 不可用）'
+    printf '  ✗ pi 版本 %s < 1.4.0\n' "$pi_cur"; rc=1
   fi
 
   echo "== tmux 布局 =="
-  if [[ -n "${TMUX:-}" ]]; then
-    echo "  当前在 tmux 内（会话 $(tmux display-message -p '#S' 2>/dev/null || echo '?')）"
-  else
-    echo "  （当前不在 tmux 内：宿主阶梯将按 ③/④/⑤ 选择可见窗口或 --background）"
+  if [[ -z "${TMUX:-}" ]]; then
+    echo '  · 当前不在 tmux 内（布局只在 tmux 分屏时生效）'
   fi
   case "$TMUX_LAYOUT" in
     main-row2|main-col|grid)
@@ -1591,11 +1309,7 @@ cmd_check() {
 cmd_status() {
   local a
   intercom_list_json >/dev/null 2>&1 || true   # 预热名册缓存（后续子 shell 复用）
-  echo "== 角色会话在线状态（权威名单见 intercom({action:'list'})；本表按终端标题/名册判定）=="
-  # ④ 路径降级标注（BR6/D2/L6）：无 tmux pane 句柄（含 NAO_TERMINAL=foot 等）时 turn 判定仅靠名册；恰好一行
-  if ! has_tmux_handle; then
-    echo '  （turn 判定来源 = 名册；非 tmux 宿主降级：无 tmux pane 句柄，在跑 turn 判定仅供参考）'
-  fi
+  echo "== 角色会话在线状态（权威名单见 intercom({action:'list'})；本表按 tmux 终端标题/名册判定）=="
   for a in "${ROLE_ORDER[@]}"; do
     if running "$a" "${ROLE_WS[$a]:-}"; then
       printf '  ✓ %-14s 在线（--name %s；卡片 %s）\n' "$a" "$a" "${ROLE_CARDS[$a]}"
@@ -1640,7 +1354,7 @@ cmd_status() {
 }
 
 # ---------------------------------------------------------------------------
-# 回收已完成会话：闸门（tasks-state 已推进 + 无在跑 turn）+ 落地（pane/会话/screen/进程）
+# 回收已完成会话：闸门（tasks-state 已推进 + 无在跑 turn）+ 落地（pane/tmux 会话/进程）
 cmd_close() {
   local force="$1" task="$2" target="${3:-}"
   [[ -n "$target" ]] || die "close 需要目标：角色别名或派生会话名（如 rd-be / rd-be-T1 / qa-T1）"
@@ -1650,7 +1364,7 @@ cmd_close() {
   if [[ "$target" == subagent-* ]]; then
     die "拒绝回收 $target：这是 pi-subagents 子代理会话（subagent-*），其生命周期不归 nao 回收（请用 pi-subagents 的 stop / retention 管理）"
   fi
-  local name repo cls bus pane pids st tgt a best="" stok
+  local name repo cls bus pane pids st tgt a best=""
   intercom_list_json >/dev/null 2>&1 || true   # 预热名册缓存
 
   # ---- 目标解析：别名/canonical id | 派生会话名 <角色>-<编号> ----
@@ -1698,33 +1412,19 @@ cmd_close() {
   # F1 不变量（T513-S2）：close 任何路径不得回收调用者自己的 pane/窗口。
   #   根因：派生窗口若继承 $TMUX_PANE，子进程按该 pane 注册名册 ⇒ 层② 命中调用者自身；
   #   本闸门是纵深防御——无论上游解析为何，命中即拒绝（不 kill-pane、不进入 pi_pids_for 兜底）。
-  if [[ -n "$pane" && -n "${TMUX_PANE:-}" && "$pane" == "$TMUX_PANE" ]]; then
-    warn "拒绝回收 $name：解析出的 pane $pane 与调用者自己的 pane（\$TMUX_PANE=$TMUX_PANE）相同"
+  #   T530：判据=进程归属三态（fail-closed，见 self_pane_refuse），不是裸 pane id 比较 —— pane id 是
+  #   server 局部命名空间，隔离 socket 的 %0 与默认 server 的 $TMUX_PANE=%0 撞号会被误判为「自己」而**误拒**。
+  #   不可判定时只对「撞号」保守拒绝：判不了自己 ⇒ 宁可少回收一次，不得误杀一个会话。
+  if [[ -n "$pane" ]] && self_pane_refuse "$pane"; then
+    warn "拒绝回收 $name：解析出的 pane $pane 判为调用者自身（pane_pid 祖先链命中，或祖先链不可判定且与 \$TMUX_PANE 撞号）"
     warn "  名册 tmuxPane 可能因派生时继承 TMUX_PANE 而错注册；请用 intercom({action:'list'}) 核对目标会话后再处理"
     return 1
   fi
   if [[ -z "$pane" ]]; then
-    # nao-<会话名> detached tmux / screen 会话（不依赖 repo）
+    # nao-<会话名> detached tmux 会话（不依赖 repo）
     if command -v tmux >/dev/null 2>&1 && tmux has-session -t "=nao-$name" 2>/dev/null; then
       if tmux kill-session -t "=nao-$name" 2>/dev/null; then log "已回收 $name（tmux 会话 nao-$name）@ $repo"; return 0; fi
     fi
-    # F2（arch 评审）：销毁目标 = `screen -ls` 锚定行取出的 `pid.name` 精确令牌；取不到即不 quit
-    # （此前 `screen -S nao-<名> -X quit` 是前缀目标，精确+派生并存时无「只杀精确」保障）。
-    stok="$(screen_token_for "$name")"
-    if [[ -n "$stok" ]] && screen -S "$stok" -X quit 2>/dev/null; then
-      log "已回收 $name（screen 会话 $stok）@ $repo"; return 0
-    fi
-    # ④ 路径句柄（BR7/AC8）：app-id/class → pid（校验 comm=pi）→ kill 优先；
-    # 有句柄即回收，不再依赖名册（名册可能滞后）。
-    local app_pid
-    app_pid="$(app_pid_for "$name")"
-    if [[ -n "$app_pid" ]]; then
-      if kill "$app_pid" 2>/dev/null; then
-        log "已回收 $name（app-id=org.nao.$name · pid=$app_pid）@ $repo"; return 0
-      fi
-      warn "已定位 $name 的 app-id 句柄 pid=$app_pid 但回收失败（进程可能刚好退出；核对后可忽略）"
-      return 1
-    fi
     # 无任何可杀句柄：名册若报在线 ⇒ 定位失败，必须非静默（禁止「未运行」而 pane 仍在）
     if intercom_online "$name"; then
       warn "无法回收 $name：pi-intercom 名册报在线（cwd=${repo}）但未定位到存活 pane/会话"
@@ -1733,7 +1433,7 @@ cmd_close() {
       return 1
     fi
     # T516 AC3（#1 错定缺陷的负向闸）：常驻精确句柄全缺席而其派生在场 ⇒ 目标歧义，
-    # 拒绝并指路（不得落入 offline_verifiable 的「未运行（无需回收）」静默 no-op）。
+    # 拒绝并指路（不得落入「未运行（无需回收）」静默 no-op）。
     local -a dfield=()
     mapfile -t dfield < <(derived_in_field "$name")
     if (( ${#dfield[@]} > 0 )); then
@@ -1741,13 +1441,8 @@ cmd_close() {
       warn "  目标歧义（tmux 会话名前缀匹配曾误回收派生，T515 #1）：如需回收派生用 close <派生名>（如 close ${dfield[0]}）；如需拉起常驻用 ensure $tgt"
       return 1
     fi
-    if offline_verifiable; then
-      log "$name 未运行（无需回收）"; return 0
-    fi
-    warn "无法确认 $name 在线状态：宿主无 tmux/screen 句柄，且 pi-intercom 名册不可用"
-    warn "  pi 启动后 argv 被改写为 \"pi\"，进程扫描不可信 ⇒ 不做静默 no-op（本命令 exit 非 0）"
-    warn "  请用 intercom list 人工核对；确认已退出后忽略本提示"
-    return 1
+    # BR5（T529）：tmux 下必有句柄，不可判定不再发生 ⇒ 直接报「未运行」（无 offline 分支）
+    log "$name 未运行（无需回收）"; return 0
   fi
 
   # 闸门②：在跑 turn（pane 标记 + roster 状态双重信号）
@@ -1877,7 +1572,7 @@ usage() {
 }
 
 # ---- 入口 ----
-CMD=""; FORCE=false; STRICT=false; MODEL=""; TASK=""; BACKGROUND=false; CLEANUP_SOCK=""; TARGETS=()
+CMD=""; FORCE=false; STRICT=false; MODEL=""; TASK=""; CLEANUP_SOCK=""; TARGETS=()
 while [[ $# -gt 0 ]]; do
   case "$1" in
     check)  CMD="check";  shift ;;
@@ -1892,7 +1587,6 @@ while [[ $# -gt 0 ]]; do
       check_model "$MODEL" || die "模型 '$MODEL' 不在白名单内。允许: $MODEL_WHITELIST（可通过 NAO_MODEL_WHITELIST 覆盖）"
       shift 2 ;;
     --force)  FORCE=true;  shift ;;
-    --background) BACKGROUND=true; shift ;;
     --task)   TASK="${2:-}"; [[ -n "$TASK" ]] || die "--task 需要任务编号（如 T1）"; [[ "$TASK" =~ ^[A-Za-z0-9_-]+$ ]] || die "--task 非法: $TASK（仅字母/数字/-/_）"; shift 2 ;;
     --strict) STRICT=true; shift ;;
     -v|--verbose) VERBOSE=true; shift ;;
@@ -1901,9 +1595,11 @@ while [[ $# -gt 0 ]]; do
   esac
 done
 
+# 唯一运行前提闸门（BR1/BR3）：先于 load_manifest 与任何副作用；不满足 ⇒ exit 3（命令未执行）。
+# cleanup 豁免：其正常场景就是非 tmux 的隔离实验场（env -u TMUX ... -S <socket>）。
 case "$CMD" in
   check)  : ;;   # cmd_check 自行先做文本契约体检，再 load_manifest（缩进违例时也能先出报告）
-  ensure|status|close) load_manifest ;;
+  ensure|status|close) require_tmux; load_manifest ;;
 esac
 case "$CMD" in
   cleanup) : ;;  # cleanup 不需角色清单

package/.agents/skills/github-flow.md

@@ -53,7 +53,7 @@ PM 在**立项 / 终签 / 发布**时读取；RD 在**起分支 / 开 PR / 合
 
 - 版本号：SemVer，PM 按批次范围定（feat→MINOR / fix→PATCH / 破坏性→MAJOR）；项目 `AGENTS.md` 有约定则从之。
 - 门禁：AC 全过 + 验收闭环 + main 门禁全绿 + 工作区干净 + PR 已合并。
-- **发布前置（严格闸门）**：若仓库提供 `test:t4:full` 脚本，发布前须先 `npm run test:t4:full` **rc=0**（判据 = **SKIP 计数与 DEGRADE 计数均为 0**，`SKIP`/`DEGRADE` 即 FAIL）。
+- **发布前置（严格闸门 · 双环境）**：若仓库提供 `test:t4:full:dual` 脚本，发布前须先 `npm run test:t4:full:dual` **rc=0**（**两组**= `$TMUX_PANE` 已设 / `env -u TMUX_PANE`；判据 = **两组 SKIP 计数与 DEGRADE 计数均为 0，且非白名单 NOTE 计数为 0**，`SKIP`/`DEGRADE`/非白名单 `NOTE` 即 FAIL）。仅有 `test:t4:full`（单环境）的仓库退用 `npm run test:t4:full` rc=0；双环境 gate 误红时可临时回落单环境并记台账。
 - **优先 `gh`**：`gh release create <tag> --title "vX.Y.Z" --notes-file docs/releases/<version>.md`（**标题口径（强约束）：@.agents/common/release-notes.md** —— 标题仅裸版本号，描述进正文首段）。
 - 探测：`gh auth status` 按 **exit code** 判定（`keyring` 警告但 exit 0 **仍可用**，可 `gh api user` 复核）；**不自动 `gh auth login`**（涉用户凭证）。
 - release notes 落盘 `docs/releases/<version>.md`（**写作规范（强约束）：@.agents/common/release-notes.md** —— 面向用户「本次更新」置顶、内部编号 / 文件名 / 属性名一律下沉「技术细节」、正文不用表格；骨架见 @.agents/templates/release-notes.md.example）。

package/README.md

@@ -47,7 +47,7 @@ nao-skills 是一套 **角色卡 + 协作规矩 + 小工具**。装上以后，
 
 角色名可以写**别名**或**规范名**（两者等价）：`arch` = `arch-designer`、`infra` = `rd-infra`；上例里两者混用也照常拉起。完整别名表见 `.agents/roles.yaml` 或 `nao-fleet.sh --help`。
 
-**不在 tmux 里也能用**：默认每个角色开一个**看得见的终端窗口**（走 `xdg-terminal-exec`，窗口标识 `org.nao.<角色>`），不是后台黑箱；无图形会话（如 SSH）默认拒绝，需显式 `--background` 才建后台会话，并打印可复制的 `tmux attach` 命令。宿主的完整选择顺序与降级边界见 `nao-fleet.sh --help`。不过我们**推荐装 tmux**——多数能力在 tmux 宿主下体验最完整，理由见下方常见问题。
+**必须在 tmux 里用**：舰队在 tmux 会话内以派生 pane 拉起（`ensure` / `status` / `close` 都只接受 tmux 内，同时要求 `pi ≥ 1.4.0`），不再提供终端窗口 / 后台会话等多宿主路径。非 tmux 环境会直接报错（`exit 3` + 一行提示 `tmux new -s nao`），**不会**建任何窗口或会话。旧版用 `--background` / screen 拉起过的会话，本版起 `status` 看不到、`close` 收不回，先 `screen -ls` 手工清一次。
 
 然后**在 PM 会话里说需求**就行，剩下的它自己流转。大概长这样：
 
@@ -95,14 +95,11 @@ PM：在 PR 核 AC 并评论 → 验收通过（授权合并）→ rd-be squash
 
 **跑完的会话要留着吗？** 后台派生会话验收完可以回收：`nao-fleet.sh close --task T1 rd-be`（等价写法 `nao-fleet.sh close rd-be-T1`，直接用派生会话名即可）；常驻角色留着复用。`nao-fleet.sh status` 会提示哪些是残留。目标在别的项目里也能回收——`close` 会按名册/窗口标题跨项目定位；定位不到时会**非 0 退出并打印诊断**，不会假装已回收。实验/夹具用的隔离 tmux server 用 `nao-fleet.sh cleanup -S <socket>` 清理：**强制显式 socket**，不带 `-S` 或指向生产默认 socket 一律 exit 2 拒绝，绝不会连坐你正在用的真实 server。
 
-**推荐用 tmux 吗？** **推荐**——装上 tmux 后，舰队机制的使用体验最完整：
+**为什么要装 tmux？** **必须装**（v0.19.0 起唯一的运行前提）：
 
 - **布局可控**：6 个角色会话在 tmux 里按三种布局自动排布（`main-row2` / `main-col` / `grid`），间距与列宽可用 `NAO_TMUX_*` 变量调，不会把桌面铺满一圈窗口。
-- **后台会话可回看**：后台派生的会话随时 `tmux attach` 进去看，不挑图形环境（SSH 无图形会话也能用）。
-- **定位回收更可靠**：`status` 查残留、`close` 跨项目回收，都是按会话名册与窗口标题定位的——tmux 宿主下窗口标题稳定可寻，误判和找不到的概率最低。
-- **多种宿主探测路径**：机制里 tmux 属首选阶梯；非 tmux 宿主走外部终端窗口，探测与降级链路更长。
-
-没装 tmux 也能正常用（见「不在 tmux 里也能用」），只是上述便利项会依次降级。
+- **句柄完整**：`status` 查残留、`close` 跨项目回收都按会话名册与 pane 标题定位；tmux 宿主下句柄稳定可寻，没有「查不到就只能猜」的分支。
+- **SSH 也能用**：不挑图形环境，起一个 tmux 会话就能拉起整套舰队。
 
 **终端窗口太挤怎么办？** tmux 宿主支持三种布局：默认 `main-row2`（主会话占左，其余往右分列）、`main-col`（其余在右列竖排）、`grid`（等大网格）。窗口太窄时 `main-row2` 会**自动回退** `main-col`、仍不够再退 `grid`，并打印带数字的提示（不中断拉起）；用 `NAO_TMUX_LAYOUT` / `NAO_TMUX_MAIN_WIDTH` / `NAO_TMUX_MIN_PANE_WIDTH` 调整，详见 `bash .agents/scripts/nao-fleet.sh --help`。
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@nathan33/nao-skill",
-  "version": "0.18.6",
+  "version": "0.19.2",
   "description": "nao 多角色 AI 开发舰队：角色卡 / 技能 / 协作协议 / 工具链，一键接入项目（pi / Claude / 任意 Agent）",
   "type": "module",
   "bin": {
@@ -46,6 +46,7 @@
     "test:agents": "bash .agents/scripts/nao-fleet.sh check && npm run check:agents",
     "test:t4": "bash tests/t4/run.sh",
     "test:t4:full": "T4_ALLOW_MISSING=0 T4_REQUIRE_FULL=1 bash tests/t4/run.sh",
+    "test:t4:full:dual": "bash tests/t4/run-dual.sh",
     "check:agents": "tsc -p tsconfig.agents.json",
     "prepack": "npm run test:agents"
   },