@pm_zhousl/xinyun-ai-init 1.7.2 → 1.8.0

package/README.md

@@ -24,7 +24,7 @@ npx --yes @pm_zhousl/xinyun-ai-init@latest --force
 npm run verify:init
 npm run verify:rules
 npm run verify:rules -- --json
-npm run verify:rules -- --tarball ./pm_zhousl-xinyun-ai-init-1.7.2.tgz
+npm run verify:rules -- --tarball ./pm_zhousl-xinyun-ai-init-1.8.0.tgz
 ```
 
 `verify:rules` 为只读规则包一致性检查，不自动修复、不安装依赖、不修改 Git 或业务代码。

package/init/xinyun-ai-init/README.md

@@ -2,7 +2,7 @@
 
 本目录是“欣芸技术开发 Agent 流”的初始化包，负责把完整 AI 执行要求下发到目标项目。
 
-当前规则版本：`1.7.2`。
+当前规则版本：`1.8.0`。
 
 ## Codex 一句话入口
 
@@ -19,6 +19,8 @@ npx --yes @pm_zhousl/xinyun-ai-init@latest --force
 ```
 
 v1.7.2 fixed task contract keys: `taskKind=initialization-main`, `taskKind=initialization-record`, `taskKind=role-execution`.
+v1.7.3 fixed Codex role session contract keys: `provider=codex`, `sessionStatus=pending/creating/created/onboarding/ready/blocked/failed/closed`, `roleSessionIdempotency={taskId,roleId,provider,targetVersion}`.
+v1.7.3 Codex role session orchestration is host-level only; CLI still only creates `xinyun-ai-init/`.
 
 执行上面的命令后，会生成 `xinyun-ai-init/`。随后让 AI 读取 `xinyun-ai-init/README.md` 即可。
 
@@ -1015,6 +1017,24 @@ CodeGraph 状态只能是 `initialized`、`healthy`、`missing`、`unavailable`
 
 CodeGraph 失败时，不自动安装 CodeGraph，不修改系统环境，不修改业务代码、数据库、API、配置、依赖或 Git。相同项目、相同 `codeGraphRecordId` 和相同失败状态只提示一次；命令、权限、服务或索引状态变化后才允许再次提示或重试。
 
+## v1.7.3 Codex 角色会话自动创建与绑定
+
+v1.7.3 在 v1.7.2 已创建或恢复 5 个 `role-execution` 本地任务之后，由 Codex 主会话尝试创建 5 个真实角色子会话：`project-owner`、`project-product`、`chief-engineer`、`programmer`、`test-reviewer`。这是 Codex 宿主编排规则，不是 npm CLI 行为；CLI 边界保持不变，只创建 `xinyun-ai-init/`。
+
+会话绑定固定登记到 `xinyun-ai/sessions/role-session-bindings.json`，角色会话目录为 `xinyun-ai/sessions/roles/`，模板为 `xinyun-ai-init/templates/role-session-binding.template.json`。`manifest.json`、`project-index.json`、`task-index.json`、角色任务和 `assignments.json` 必须引用同一绑定记录。
+
+每个绑定至少记录：`bindingId`、`taskId`、`roleId`、`sessionId`、`parentSessionId`、`provider`、`targetVersion`、`sessionStatus`、`understandingStatus`、`confirmationStatus`、`executionEligible`、`idempotencyKey`、`hostCapability`、`createdAt`、`updatedAt`、`failure`、`degradation` 和 `audit`。
+
+`provider=codex`。`sessionStatus=pending/creating/created/onboarding/ready/blocked/failed/closed`。会话幂等键固定为 `taskId + roleId + provider + targetVersion` 的 JCS-SHA-256；重复升级或重复初始化必须优先复用已有真实会话和绑定，不得创建重复角色会话。
+
+真实 `sessionId` 必须来自 Codex 宿主创建会话后的返回值；不得伪造 sessionId，不得用任务 ID、角色 ID、占位符或历史摘要冒充真实会话。Codex 宿主不支持创建子会话、创建接口不可用或权限不足时，只能记录 `local-degraded-no-fake-session-id`，保持 `sessionId=null`，并写入 `sessionStatus=blocked` 或 `failed`、`degradation.reason` 和 `nextAction`。
+
+创建成功后角色会话先进入 `onboarding`，且只读读取入口规则、角色任务、职责确认和角色理解资料。`sessionStatus=ready` 只有在真实 sessionId 已回写、职责理解完成、职责确认完成、成员/会话绑定有效、确认门禁和执行资格全部满足后才允许写入。创建成功不等于业务代码修改授权。
+
+会话创建成功但回写失败时，必须记录 `created-but-writeback-failed`、可查询恢复线索和真实 `sessionId` 来源；下次按幂等键查询并恢复绑定。单角色创建、回写或 onboarding 失败不得影响其他角色，失败角色单独进入 `blocked` 或 `failed`。
+
+任务界面、`current-task.md`、`init-result.json` 和项目索引必须展示 5 个角色会话入口、`sessionId`、`sessionStatus`、理解进度和阻塞原因。普通咨询不创建角色会话，不写绑定文件，不创建外部账号或第三个会话。
+
 ## 自我学习
 
 AI 可以沉淀项目经验，但不能自己升级正式规则。
@@ -1082,3 +1102,15 @@ npx --yes @pm_zhousl/xinyun-ai-init@latest --force
 每个角色的幂等键是对 `{sourceTaskId, roleId, taskKind, targetVersion}` 使用 v1.6 JCS 规范化 JSON 后计算的 SHA-256，规范化算法为 `JCS-SHA-256`。同一幂等键只对应一个 `role-execution` 任务；重复升级复用已有任务并补齐索引，不覆盖用户控制文件或业务文件。
 
 补建使用逐角色临时文件、完整校验、原子重命名和任务索引原子更新。单角色写入失败记录 `status=blocked`、`blockedReason=write-failed`；部分成功为 `partial`，全失败为 `blocked`。索引更新中断时不得清空 `activeTaskIds` 或伪造 `idle`，下次按幂等键恢复。
+
+## v1.8 多会话协作控制面
+
+v1.8 按 A-D 分阶段启用：A 共享事实和冲突协调，B Skill 注册与技术栈路由，C 前端耦合审计和单页面试点，D 临时程序员会话。A 的状态和事务契约未通过前，不得进入 D 的真实并行写入。
+
+共享控制文件位于 `xinyun-ai/coordination/`：`project-facts.json` 使用 `factStatus`，`change-ledger.json` 使用 `changeStatus`，`conflict-records/<conflictId>.json` 使用 `conflictStatus`。任务索引使用 `taskStatus`，受影响任务使用 `refreshStatus`。状态字段按对象分域，禁止用 `status` 跨对象互相覆盖；临时会话的 `queued` 只属于会话状态域。
+
+Skill 位于 `xinyun-ai/skills/`。分配文件必须使用 `assignmentStatus`，使用记录必须使用 `usageStatus`，固定映射以 `xinyun-ai-init/rules/skills.md` 为准。缺依赖、权限不足、未审核或未知框架只能降级或阻塞，不自动安装、不伪造执行。
+
+前端审计位于 `xinyun-ai/frontend-audits/`。`audit-only` 不产生代码 diff；`refactor-now` 必须有计划、用户确认、允许路径、前后哈希、diff 和测试证据。预算或权限不足只能记录 `partial/unknown` 和 `unverifiedScope`。
+
+临时程序员会话必须有已确认的 `planId`、`userConfirmationId`、单一 `taskId`、规范化 `changeDomain`、允许路径和真实 `sessionId`。最多同时占用 3 个运行额度；`occupancyStatus=unknown` 不得自动释放，人工释放必须有完整 `releaseAudit`。跨文件控制面必须使用 `coordinationTransactionId`。详情见 `rules/coordination.md`、`rules/skills.md`、`rules/frontend-audit.md` 和 `rules/temporary-sessions.md`。

package/init/xinyun-ai-init/rules/coordination.md

@@ -0,0 +1,33 @@
+# v1.8-A 共享事实与跨会话协调
+
+`xinyun-ai/coordination/` 是多会话共享控制面，不是业务代码目录。初始化或按需升级时创建最小目录，不扫描或写入业务文件。
+
+## 文件与状态源
+
+- `project-facts.json` 记录可追溯项目事实，字段必须包含 `factId`、`factType`、`scope`、`valueHash`、`source`、`taskId`、`sessionId`、`evidence`、`confidence`、`factStatus`、`revision`、`observedAt`、`updatedAt`。
+- `change-ledger.json` 记录改动台账，字段必须包含 `changeId`、`taskId`、`sessionId`、`actor`、`role`、`changeDomain`、`targetPaths`、`baselineHash`、`changeStatus`、`evidence`、`createdAt`、`updatedAt`。
+- `contract-snapshots/<contractId>.json` 记录 API、字段、组件、路由、消息和业务流程快照。
+- `conflict-records/<conflictId>.json` 记录冲突，必须使用 `conflictStatus`，不能使用通用 `status` 裁决冲突。
+- `task-index.json` 裁决 `taskStatus`；`change-ledger.json` 裁决 `changeStatus`；冲突文件裁决 `conflictStatus`；受影响任务记录裁决 `refreshStatus`。
+
+状态字段严格分域：`taskStatus=pending/assigned/accepted/executing/paused/blocked/completed/cancelled`；`changeStatus=proposed/reserved/in-progress/completed/conflict-pending/blocked/cancelled`；`conflictStatus=detected/awaiting-confirmation/resolved/rejected/blocked`；`refreshStatus=not-required/refresh-required/refreshed/blocked`。临时会话的 `queued` 不属于 `changeStatus`。
+
+取消只允许 `changeStatus=proposed/reserved -> cancelled`。同一事实、台账、冲突记录的状态源缺失、非法或 `revision` 不一致时，关联任务统一进入 `taskStatus=blocked`，并写 `blockedReason=status-inconsistent`，不得用最近写入内容覆盖。
+
+## 三道门禁
+
+1. 领取前：声明 `changeDomain`、目标路径、API、数据库字段、组件、路由和业务流程影响，读取当前共享事实和冲突记录。
+2. 写入前：重新校验基线、契约快照、同域活动任务和冲突状态；冲突时进入 `changeStatus=conflict-pending` 与 `conflictStatus=awaiting-confirmation`。
+3. 完成后：写入证据、更新共享事实和台账；受影响任务设置 `refreshStatus=refresh-required`，在刷新完成前保持 `taskStatus=paused` 或 `blocked`。
+
+冲突不得由单个会话自行裁决，不自动覆盖或合并。解决后由总工或业务确认人写入 `resolvedBy`、`resolvedAt`、`resolutionEvidence`，重新验证基线后才可继续。
+
+## changeDomain 与事务
+
+规范化格式至少包括 `file:<normalized-path>`、`api:<METHOD> <normalized-route>`、`db:<table>.<field>`、`component:<normalized-path>`、`flow:<business-flow-id>`。路径优先 realpath，统一 `/` 和 Unicode NFC；无法规范化写 `unknown`。
+
+跨文件写入必须使用 `coordinationTransactionId`，记录在 `.transactions/<coordinationTransactionId>.json`。事务阶段为 `prepared/validated/renamed/revision-updated/committed/recovery-required/blocked`；每个 `targetFiles` 条目必须有 `path`、`tempPath`、`beforeHash`、`afterHash`、`targetRevision`。按“临时文件、完整校验、原子重命名、更新 revision、提交事务”执行，重复请求复用同一事务。崩溃、部分重命名、权限失败或哈希不一致时保留记录并进入 `recovery-required` 或 `blocked`，不能只更新索引、删除历史或覆盖新版本。
+
+## 安全边界
+
+只读冲突审计不产生业务 diff。数据库、API、业务流程和跨端冲突未确认前不得 SQL、migration、seed、批量修复、接口兼容改动或自动合并。

package/init/xinyun-ai-init/rules/directory-self-completion.md

@@ -49,3 +49,18 @@
 - 同步校验 `task-index.json`、`current-task.md`、`manifest.json` 和 `project-index.json` 的角色执行任务路径与索引。
 - 活动角色任务不可执行时仍保留在 `activeTaskIds`；只有活动列表为空才允许 current-task 为 idle/null。
 - 逐角色临时文件和索引必须原子写入；发现中断、冲突或写入失败时保留恢复记录，不清空活动任务。
+
+## v1.7.3 角色会话绑定目录
+
+- Codex 角色会话绑定触发后，按需补齐 `xinyun-ai/sessions/`、`xinyun-ai/sessions/roles/` 和 `xinyun-ai/sessions/role-session-bindings.json`。
+- 绑定模板来源固定为 `xinyun-ai-init/templates/role-session-binding.template.json`。
+- `manifest.json`、`project-index.json` 和 `task-index.json` 必须登记 `roleSessions`、`roleSessionBindingIds`、`roleSessionBindings`、`provider=codex` 和 `sessionStatus` 枚举。
+- 绑定目录只保存 Codex 宿主返回的真实 `sessionId` 摘要、onboarding 状态、失败原因和 audit，不保存伪造 sessionId。
+- 宿主不支持创建子会话时，仍可补齐本地目录和降级记录，状态使用 `local-degraded-no-fake-session-id`。
+
+## v1.8 按需目录
+
+- 多会话协调任务按需补齐 `xinyun-ai/coordination/`、`contract-snapshots/`、`conflict-records/` 和 `.transactions/`。
+- Skill 路由任务按需补齐 `xinyun-ai/skills/registry.json`、`assignments.json` 和 `usage-records/`；分配字段必须是 `assignmentStatus`。
+- 前端审计按需补齐 `xinyun-ai/frontend-audits/`；临时程序员任务按需补齐 `xinyun-ai/sessions/temporary/`。
+- 普通咨询、首次极速初始化和不涉及这些能力的任务不创建空目录。目录补齐只修改 AI 控制面，不修改业务代码。

package/init/xinyun-ai-init/rules/frontend-audit.md

@@ -0,0 +1,9 @@
+# v1.8-C 前端耦合审计与渐进式组件化
+
+适用微信小程序、uni-app 和 HTML。先审计，再决定是否改造；不整站重写，不默认更换 UI 框架，不自动把 HTML 转成小程序或 uni-app。
+
+审计记录必须包含页面/组件路径、平台、框架、`couplingType`、props、events、slots、状态、API、路由、业务流程依赖、`baselineHash`、`decision`、`status`、`coverage`、`evidence` 和 `unverifiedScope`。`couplingType` 使用 `template-style/state-view/api-page/route-page/business-page/cross-platform/shared-component/unknown`。
+
+审计状态使用 `not-started/assessing/partial/completed/blocked/unknown`；处理决定使用 `audit-only/refactor-now/defer/requires-confirmation/out-of-scope`；覆盖使用 `full/partial/unknown`。这些是审计记录的字段，不得与 `taskStatus`、`changeStatus` 或 `conflictStatus` 混用。
+
+`audit-only` 必须零代码 diff。`refactor-now` 必须先有 `planId`、`userConfirmationId`、`permittedPaths`，并保留前后哈希、diff 证据和测试证据；单页面或单组件试点也必须遵守确认门禁。预算超限、权限失败或依赖未知只能输出 `partial/unknown` 和未验证范围，不能宣称完整审计。

package/init/xinyun-ai-init/rules/init-rules.md

@@ -63,3 +63,20 @@
 - `activeTaskIds` 包含未完成角色任务；`executableTaskIds` 只包含真正满足执行条件的任务。活动任务非空时不得写 `current-task.status=idle` 或 `taskId=null`。
 - 任务选择按 priority、createdAt、roleId、taskId 稳定排序；角色默认 priority 为 10、20、30、40、50。
 - 重复升级按逐角色 JCS-SHA-256 幂等键复用任务。写入失败记录 `blockedReason=write-failed`；部分成功为 `partial`，全失败为 `blocked`；索引失败时保留活动任务并在下次恢复。
+
+## v1.7.3 Codex 角色会话初始化
+
+- 只有 5 个 `role-execution` 本地任务已存在或已按幂等键恢复后，才允许 Codex 主会话尝试创建真实角色子会话。
+- 角色会话固定为 `project-owner`、`project-product`、`chief-engineer`、`programmer`、`test-reviewer` 五个，不创建第三个类型的会话。
+- 会话创建属于 Codex 宿主编排规则，CLI 仍只创建 `xinyun-ai-init/`。
+- 创建或恢复绑定时写入 `xinyun-ai/sessions/role-session-bindings.json` 和 `xinyun-ai/sessions/roles/` 摘要，并同步 `manifest.json`、`project-index.json`、`task-index.json`、`assignments.json`、`current-task.md`、`init-result.json`。
+- 绑定必须使用 `provider=codex`，`sessionStatus=pending/creating/created/onboarding/ready/blocked/failed/closed`。
+- 幂等键固定为 `taskId + roleId + provider + targetVersion` 的 JCS-SHA-256。
+- 真实 `sessionId` 必须来自 Codex 宿主返回值；不得伪造 sessionId。宿主不支持时记录 `local-degraded-no-fake-session-id`，`sessionId=null`。
+- 创建成功后先进入只读 `onboarding`；`sessionStatus=ready` 必须等待职责理解、职责确认、成员 / 会话绑定和执行资格全部满足。
+
+## v1.8 控制面按需初始化
+
+需要多会话协作时，按 A-D 顺序补齐 `xinyun-ai/coordination/`、`xinyun-ai/skills/`、`xinyun-ai/frontend-audits/` 和 `xinyun-ai/sessions/temporary/` 的最小模板。普通咨询和首次极速初始化不强制创建这些业务记录目录。
+
+共享事实和 Skill 文件使用临时文件、完整校验和原子重命名。前端审计默认只读；临时会话只有用户确认的代码任务才可创建。不得修改业务代码、数据库、API、依赖、Git 或发布配置。

package/init/xinyun-ai-init/rules/session-workbench.md

@@ -257,3 +257,30 @@ HTML 迁移只允许评估和单页面 / 区块试点计划；实际代码迁移
 - `activeTaskIds`、`executableTaskIds`、`currentTaskId`
 - `roleExecutionResult`：created / reused / blocked / write-failed
 - 活动任务非空时，交接单必须说明不可执行原因和下一步，不得写成“暂无待执行任务”。
+
+## v1.7.3 角色会话交接字段
+
+涉及 Codex 真实角色会话创建、绑定、恢复或降级时，任务单、交接单和行为证据必须补充：
+
+- `provider`：固定为 codex
+- `parentSessionId`
+- `sessionId`：必须为 Codex 宿主返回的真实值；不得伪造 sessionId
+- `sessionStatus`：pending / creating / created / onboarding / ready / blocked / failed / closed
+- `sessionBindingId`
+- `sessionBindingPath`：xinyun-ai/sessions/role-session-bindings.json
+- `roleSessionPath`：xinyun-ai/sessions/roles/<roleId>.md
+- `roleSessionIdempotency`：taskId + roleId + provider + targetVersion
+- `hostCapability`：available / unavailable / permission-denied / unknown / failed
+- `degradationReason`：local-degraded-no-fake-session-id / none
+- `onboardingStatus`
+- `created-but-writeback-failed` 恢复线索
+
+会话创建成功只代表可进入只读 onboarding；不得把 `created` 直接写成 `ready`，不得因此获得业务代码修改授权。普通咨询不创建角色会话，也不写 `role-session-bindings.json`。
+
+## v1.8 任务单补充
+
+涉及共享事实时记录 `factStatus`、`changeStatus`、`conflictStatus`、`refreshStatus`、`coordinationTransactionId`、`changeDomain`、目标文件和 revision。涉及 Skill 时记录 `skillId`、`assignmentStatus`、`usageStatus`、匹配证据、依赖、降级原因、`failureReason`、`nextAction` 和 `unverifiedScope`。
+
+涉及前端审计时记录 `couplingType`、`decision`、审计 `status`、`coverage`、props/events/slots、状态/API/路由/业务流依赖、前后哈希、diff 和测试证据。涉及临时程序员会话时记录 `taskId`、`changeDomain`、`sessionId`、会话 `status`、`occupancyStatus`、并发额度、`releaseAudit` 和 `closeEvidence`。
+
+任何跨会话冲突、状态源缺失、预算超限、权限失败或敏感信息无法确认时暂停或阻塞，不自动重试、合并、覆盖或释放。

package/init/xinyun-ai-init/rules/skills.md

@@ -0,0 +1,15 @@
+# v1.8-B Skill 注册与技术栈路由
+
+Skill 只能从 `xinyun-ai/skills/registry.json` 的已登记记录中选择。未登记、未审查、过期或被阻断的外部 Skill 不得执行，不自动安装 Python、Node 驱动、CLI 或第三方依赖。
+
+## 注册与选择
+
+每个 Skill 记录 `skillId`、`name`、`version`、`source`、`digest`、`priority`、`availabilityStatus`、`trustStatus`、`reviewedAt`、`allowedRoles`、`frameworks`、`platforms`、`dependencies`、`permissions`、`evidence`、`fallbackPlan`、`createdAt`、`updatedAt`。`availabilityStatus` 与 `trustStatus` 独立：前者为 `available/unavailable/disabled/unknown`，后者为 `unreviewed/reviewed/blocked/expired`，不得用 registry `status` 代替。
+
+按“项目明确绑定 > 框架专用 > 通用 Skill > fallback”选择；同级按稳定 `priority` 和 `skillId` 排序，不按扫描顺序随机选择。ThinkPHP、uni-app、微信小程序和 HTML 只在对应技术栈已确认时路由专用 Skill；未识别框架使用通用 Skill 并标记不确定性。
+
+## 分配与使用状态
+
+`assignments.json` 使用 `assignmentStatus`，`usage-records/<usageRecordId>.json` 使用 `usageStatus`。固定映射为：`pending + selected`、`selected + selected/running`、`running + running`、`completed + completed`、`fallback + fallback`、`blocked + failed/blocked`、`cancelled + skipped`。`usageStatus=failed` 必须映射 `assignmentStatus=blocked`，并记录 `failureReason` 和 `nextAction`；非法组合统一 `assignmentStatus=blocked`。
+
+调用前记录匹配证据、使用工具、未使用工具、降级方案和 `unverifiedScope`。依赖缺失、权限不足、宿主不可用或未知框架只能 `usageStatus=fallback/blocked`，不得伪造已执行结果。使用记录不得保存 Token、密码、私钥、完整 `.env`、连接串或未经脱敏的项目内容。

package/init/xinyun-ai-init/rules/temporary-sessions.md

@@ -0,0 +1,9 @@
+# v1.8-D 临时程序员执行会话
+
+仅对已完成需求整理、技术影响审查、计划和用户确认的代码任务创建临时程序员会话。必须绑定单一 `taskId`、单一规范化 `changeDomain`、真实 `sessionId`、`planId`、`userConfirmationId` 和 `permittedPaths`；不加入永久成员名单。
+
+会话状态固定为 `pending/creating/onboarding/queued/executing/waiting-review/completed/blocked/failed/closed/cancelled`，合法主流程为 `pending -> creating -> onboarding -> executing -> waiting-review -> completed -> closed`。容量不足或同域冲突允许 `onboarding -> queued -> creating`；容量可用时不得强制排队。`changeStatus` 不使用 `queued`。
+
+并发上限为 3，最多同时占用 3 个运行额度，只统计 `creating/onboarding/executing/waiting-review`。`occupancyStatus` 独立使用 `occupied/released/unknown`；`pending/queued` 初始为 `released`，进入 `creating` 时原子占用。崩溃、锁损坏、超时或不可读时写 `occupancyStatus=unknown` 并继续占用，不得自动释放、自动重试或自动关闭。人工释放必须包含 `releaseAudit.auditId/releasedBy/releasedAt/reason/evidence`。
+
+同一变更域已有执行会话时排队或冲突待确认，不重复创建。队列按确认时间、优先级和 taskId 稳定排序。只有代码 diff、测试、共享事实和改动台账都同步，并写入 `closeEvidence`、`closedAt`、`closedBy` 后才能自动关闭；异常、冲突或测试失败保持阻塞。

package/init/xinyun-ai-init/rules/upgrade-rules.md

@@ -101,3 +101,19 @@
 - 已有任务直接复用，缺失任务逐角色补建；不得覆盖用户修改的控制文件、业务任务或业务代码。
 - `activeTaskIds` 非空时，即使 `executableTaskIds=[]`，也必须让 `current-task.md` 指向最高优先级活动任务，不能显示 `idle`。
 - 单角色写入失败为 `blocked/write-failed`，部分成功为 `partial`，全失败为 `blocked`；索引更新失败不得清空活动索引，下次按幂等键恢复。
+
+## v1.7.3 升级创建和绑定真实角色会话
+
+- 升级到 v1.7.3 时，先确认 5 个 `role-execution` 本地任务已存在；缺失时按 v1.7.2 幂等规则补齐，再处理真实会话创建。
+- Codex 主会话可为 5 个角色任务创建真实角色子会话，并把真实 `sessionId` 回写到角色任务、`assignments.json`、`task-index.json`、`manifest.json`、`project-index.json` 和 `xinyun-ai/sessions/role-session-bindings.json`。
+- 会话绑定幂等键固定为 `taskId + roleId + provider + targetVersion`；重复升级必须复用已有绑定和真实 `sessionId`。
+- 如果会话已创建但回写失败，下一次升级必须先查询宿主已有会话并恢复绑定，记录 `created-but-writeback-failed` 和 audit，不得再次创建重复会话。
+- 单角色创建或回写失败不得影响其他角色；失败角色进入 `blocked` 或 `failed` 并记录 `blockedReason` / `failureReason` / `nextAction`。
+- Codex 宿主不支持创建子会话、权限不足或接口不可用时，使用本地降级 `local-degraded-no-fake-session-id`，保持 `sessionId=null`，不得伪造 sessionId。
+- 创建成功后的角色会话为只读 `onboarding`，不得直接获得业务代码、数据库、API、配置、依赖、Git 写操作或发布授权。
+
+## v1.8 升级顺序
+
+升级先校验共享事实、状态源和 coordination transaction；再校验 Skill registry、`assignmentStatus`/`usageStatus` 映射；然后处理前端 audit-only 或已确认的单页面试点；最后才创建临时程序员会话。已有用户修改的控制文件不得静默覆盖，冲突或哈希不一致进入 `blocked`/`recovery-required`。
+
+同一 taskId + changeDomain 不得重复创建临时会话；容量不足进入 `queued`，unknown occupancy 保持占用，失败不得自动重试。升级不自动安装 Skill 依赖，不执行业务代码、数据库、API 或 Git 写操作。

package/init/xinyun-ai-init/templates/AGENTS.template.md

@@ -185,6 +185,17 @@ CodeGraph 为必需能力时，只有 `initialized` 或 `healthy` 才能将结
 - `activeTaskIds` 非空时不得把 `current-task.md` 写成 idle/null；不可执行任务使用 pending 或 blocked，并显示 blockedReason/nextAction。
 - 重复升级按逐角色幂等键复用任务；写入或索引失败时保留活动任务并恢复，不得清空索引。
 
+## v1.7.3 Codex 角色会话自动创建与绑定
+
+- v1.7.3 在 5 个 `role-execution` 本地任务创建或恢复后，由 Codex 主会话尝试创建 5 个真实角色子会话；这是 Codex 宿主编排规则，不是 npm CLI 行为。
+- CLI 仍只创建 `xinyun-ai-init/`，不得直接创建 `xinyun-ai/`、业务代码或真实角色会话。
+- 绑定文件固定为 `xinyun-ai/sessions/role-session-bindings.json`，角色会话目录固定为 `xinyun-ai/sessions/roles/`，模板为 `xinyun-ai-init/templates/role-session-binding.template.json`。
+- 每个角色绑定必须记录 `provider=codex`、`parentSessionId`、真实 `sessionId`、`sessionStatus=pending/creating/created/onboarding/ready/blocked/failed/closed`、理解进度、确认进度和阻塞原因。
+- 会话幂等键固定为 `taskId + roleId + provider + targetVersion`；重复升级复用已有真实会话和绑定。
+- 真实 `sessionId` 必须来自 Codex 宿主返回值；不得伪造 sessionId。宿主不支持时记录 `local-degraded-no-fake-session-id`，保持 `sessionId=null`。
+- 创建后的角色会话先进入只读 `onboarding`；只有职责理解、职责确认、成员 / 会话绑定、确认门禁和执行资格都满足后才允许 `sessionStatus=ready`。
+- 创建成功不等于业务代码修改授权；普通咨询不创建角色会话，不写绑定文件，不创建外部账号或第三个会话。
+
 AI 接手本项目时，请先读取：
 
 - `xinyun-ai/README.md`
@@ -199,3 +210,9 @@ AI 接手本项目时，请先读取：
 - decision=direct-map/rewrite-required/backend-required/unsupported/pending/unknown
 - status=planned/assessing/partial/blocked/paused/completed
 - coverage=full/partial/unknown
+
+## v1.8 多会话执行边界
+
+共享事实、改动台账和冲突记录必须使用 `factStatus`、`changeStatus`、`conflictStatus` 分域状态；Skill 分配必须使用 `assignmentStatus`，使用结果必须使用 `usageStatus`。不得把 `assignments.json.status` 当作正式字段，也不得把临时会话 `queued` 写进改动状态。
+
+前端 `audit-only` 只能审计，禁止产生 diff；`refactor-now` 必须有计划、确认、允许路径、前后哈希、diff 和测试证据。临时程序员只能执行已确认任务，单变更域不得并发写入，最多 3 个运行会话；`occupancyStatus=unknown` 时不得自动释放。

package/init/xinyun-ai-init/templates/coordination-change-ledger.template.json

@@ -0,0 +1,10 @@
+{
+  "schemaVersion": 1,
+  "changes": [],
+  "recordContract": {
+    "requiredFields": ["schemaVersion", "changeId", "taskId", "sessionId", "actor", "role", "changeDomain", "targetPaths", "baselineHash", "changeStatus", "evidence", "createdAt", "updatedAt"],
+    "changeStatusEnum": ["proposed", "reserved", "in-progress", "completed", "conflict-pending", "blocked", "cancelled"],
+    "cancelRule": "Only proposed or reserved may become cancelled; in-progress cannot be silently cancelled."
+  },
+  "sourceOfTruth": "xinyun-ai/coordination/change-ledger.json"
+}

package/init/xinyun-ai-init/templates/coordination-conflict-record.template.json

@@ -0,0 +1,13 @@
+{
+  "conflictId": "",
+  "conflictType": "file|api|field|message|route|business-flow",
+  "participants": [],
+  "evidence": [],
+  "severity": "low|medium|high|critical",
+  "conflictStatus": "detected",
+  "decision": null,
+  "resolvedBy": null,
+  "resolvedAt": null,
+  "resolutionEvidence": [],
+  "nextAction": "awaiting-confirmation"
+}

package/init/xinyun-ai-init/templates/coordination-contract-snapshot.template.json

@@ -0,0 +1,9 @@
+{
+  "contractId": "",
+  "contractType": "api|database-field|component|route|message|business-flow",
+  "scope": [],
+  "contentHash": "",
+  "sourceRevision": "",
+  "capturedAt": "",
+  "changeId": ""
+}

package/init/xinyun-ai-init/templates/coordination-project-facts.template.json

@@ -0,0 +1,9 @@
+{
+  "schemaVersion": 1,
+  "facts": [],
+  "recordContract": {
+    "requiredFields": ["schemaVersion", "factId", "factType", "scope", "valueHash", "source", "taskId", "sessionId", "evidence", "confidence", "factStatus", "revision", "observedAt", "updatedAt"],
+    "factStatusEnum": ["proposed", "confirmed", "superseded", "unknown", "blocked"]
+  },
+  "sourceOfTruth": "xinyun-ai/coordination/project-facts.json"
+}

package/init/xinyun-ai-init/templates/coordination-transaction.template.json

@@ -0,0 +1,16 @@
+{
+  "schemaVersion": 1,
+  "coordinationTransactionId": "",
+  "idempotencyKey": "",
+  "taskId": "",
+  "sessionId": "",
+  "targetFiles": [],
+  "phase": "prepared",
+  "attempt": 1,
+  "failureReason": null,
+  "recoveryOwner": null,
+  "createdAt": "",
+  "updatedAt": "",
+  "phaseEnum": ["prepared", "validated", "renamed", "revision-updated", "committed", "recovery-required", "blocked"],
+  "targetFileContract": ["path", "tempPath", "beforeHash", "afterHash", "targetRevision"]
+}

package/init/xinyun-ai-init/templates/core-rules.template.md

@@ -428,6 +428,25 @@
 v1.7.2 fixed task contract keys: `taskKind=initialization-main`, `taskKind=initialization-record`, `taskKind=role-execution`.
 The fixed task ordering expression is `priority ASC`, followed by `createdAt ASC`, roleId Unicode order, and taskId order.
 A single-role write failure records `status=blocked` and `blockedReason=write-failed`.
+v1.7.3 Codex role session orchestration is host-level only; CLI still only creates `xinyun-ai-init/`.
+v1.7.3 fixed Codex role session contract keys: `provider=codex`, `sessionStatus=pending/creating/created/onboarding/ready/blocked/failed/closed`, `roleSessionIdempotency={taskId,roleId,provider,targetVersion}`.
+
+## v1.7.3 Codex 角色会话自动创建与绑定
+
+- v1.7.3 只在 5 个 `role-execution` 本地任务已经创建或恢复后，才由 Codex 主会话尝试创建 5 个真实角色子会话：`project-owner`、`project-product`、`chief-engineer`、`programmer`、`test-reviewer`。
+- 这是 Codex 宿主编排规则，不是 npm CLI 行为；CLI 边界保持不变，只创建 `xinyun-ai-init/`，不得直接创建 `xinyun-ai/`、业务代码或真实会话。
+- 会话绑定固定登记到 `xinyun-ai/sessions/role-session-bindings.json`，角色会话目录为 `xinyun-ai/sessions/roles/`，绑定模板为 `xinyun-ai-init/templates/role-session-binding.template.json`。
+- `manifest.json`、`project-index.json`、`task-index.json`、`role-execution` 任务、`assignments.json` 和 `init-result.json` 必须引用同一 `bindingId` / `sessionId` / `sessionStatus` 摘要。
+- `provider=codex`；`sessionStatus=pending/creating/created/onboarding/ready/blocked/failed/closed`。
+- 会话幂等键固定为 `taskId + roleId + provider + targetVersion` 的 JCS-SHA-256；重复升级必须复用已有真实会话和绑定，不得重复创建同一角色会话。
+- 真实 `sessionId` 必须来自 Codex 宿主创建会话后的返回值；不得伪造 sessionId，不得用任务 ID、角色 ID、占位符或历史摘要冒充真实会话。
+- Codex 宿主不支持创建子会话、创建接口不可用或权限不足时，只能记录 `local-degraded-no-fake-session-id`，保持 `sessionId=null`，并写入 `sessionStatus=blocked` 或 `failed`、`degradation.reason` 和 `nextAction`。
+- 创建成功后角色会话先进入 `onboarding` 且只读读取入口规则、角色任务、职责确认和角色理解资料；`sessionStatus=ready` 必须等待真实 sessionId 回写、职责理解完成、职责确认完成、成员 / 会话绑定有效、确认门禁和执行资格全部满足。
+- 创建成功不等于业务代码修改授权；任何业务代码、数据库、API、配置、依赖、Git 写操作或发布仍需独立计划和用户确认。
+- 会话创建成功但回写失败时，必须记录 `created-but-writeback-failed`、真实 `sessionId` 来源、恢复线索和 audit；下次按幂等键查询并恢复绑定。
+- 单角色创建、回写或 onboarding 失败不得影响其他角色；失败角色单独进入 `blocked` 或 `failed`。
+- 任务界面、`current-task.md`、`init-result.json` 和项目索引必须展示 5 个角色会话入口、`sessionId`、`sessionStatus`、理解进度和阻塞原因。
+- 普通咨询不创建角色会话，不写绑定文件，不创建外部账号，不创建第三个会话。
 
 - `current-task.md`、`tasks/<taskId>.md`、`init-result.json` 和 `task-lock.json` 的 `taskId`、`executionId`、`attempt`、状态和时间必须一致。
 - 任意文件出现不在表内的组合，主会话必须将任务改为 `blocked`，写入冲突原因并停止继续写入。
@@ -543,6 +562,20 @@ A single-role write failure records `status=blocked` and `blockedReason=write-fa
 - 幂等键固定为 `{sourceTaskId, roleId, taskKind, targetVersion}` 的 JCS-SHA-256；同键复用同一任务。
 - 单角色写入失败为 `blocked/write-failed`，部分成功为 `partial`，全失败为 `blocked`；索引更新中断时保留活动任务并按幂等键恢复，不得伪造 `idle`。
 
+## v1.8 多会话协作规则
+
+按 v1.8-A/B/C/D 分阶段执行：先完成共享事实、状态源和事务恢复，再路由 Skill，再进行前端审计，最后才允许临时程序员并行写入。
+
+`project-facts.json` 的状态字段是 `factStatus`，`change-ledger.json` 是 `changeStatus`，冲突记录是 `conflictStatus`，任务索引是 `taskStatus`，受影响任务是 `refreshStatus`。`changeStatus` 仅允许 `proposed/reserved/in-progress/completed/conflict-pending/blocked/cancelled`，取消只允许 proposed/reserved；临时会话 `queued` 不能写入改动台账。来源缺失、枚举非法或 revision 不一致统一 `taskStatus=blocked`、`blockedReason=status-inconsistent`。
+
+跨文件控制面写入必须使用 `coordinationTransactionId` 和 `.transactions/<id>.json`，经过 `prepared/validated/renamed/revision-updated/committed/recovery-required/blocked` 阶段并逐项校验哈希。
+
+Skill 分配使用 `assignmentStatus`，使用记录使用 `usageStatus`。固定映射为 pending+selected、selected+selected/running、running+running、completed+completed、fallback+fallback、blocked+failed/blocked、cancelled+skipped；`usageStatus=failed` 必须转为 assignmentStatus=blocked，并记录 failureReason/nextAction。
+
+前端审计的 `status` 仅属于审计记录，值为 `not-started/assessing/partial/completed/blocked/unknown`；处理决定使用 `audit-only/refactor-now/defer/requires-confirmation/out-of-scope`。audit-only 零 diff，refactor-now 必须绑定计划、确认、允许路径、前后哈希和测试证据。
+
+临时程序员会话最多并行 3 个，状态与 `occupancyStatus` 分离。`occupancyStatus=unknown` 时继续占用额度。同一 changeDomain 不重复写入；unknown 占用不得自动释放，人工释放必须记录 releaseAudit。异常、超时、写回失败和测试失败不得自动重试或伪造完成。
+
 ## 自我学习
 
 发现可复用经验时，先记录为候选经验。候选经验必须标注来源、适用范围、可信度、状态和最后验证时间。用户确认后，才能合并进正式规则。

package/init/xinyun-ai-init/templates/current-task.template.md

@@ -125,8 +125,33 @@
   - executionEligible：false
   - memberId：null
   - sessionId：null
+  - parentSessionId：null
+  - provider：codex
+  - sessionStatus：pending / creating / created / onboarding / ready / blocked / failed / closed
+  - sessionBindingId：
+  - sessionBindingPath：xinyun-ai/sessions/role-session-bindings.json
   - taskIndex：xinyun-ai/tasks/task-index.json
   - currentTaskIdleStatus：status=idle, taskId=null, title=暂无待执行任务
+- Codex 角色会话：
+  - provider：codex
+  - parentSessionId：
+  - requiredRoleCount：5
+  - createdCount：
+  - reusedCount：
+  - failedCount：
+  - blockedCount：
+  - localDegradedCount：
+  - bindingsPath：xinyun-ai/sessions/role-session-bindings.json
+  - sessionStatusEnum：pending / creating / created / onboarding / ready / blocked / failed / closed
+  - 角色会话入口：
+    - roleId：
+    - taskId：
+    - sessionId：
+    - sessionStatus：
+    - understandingStatus：
+    - blockedReason：
+  - 宿主能力：
+  - 降级原因：
 - 任务归档：
   - archiveTransactionId：
   - archivePath：xinyun-ai/tasks/archive/<taskId>/
@@ -252,3 +277,15 @@
 - status=planned/assessing/partial/blocked/paused/completed
 - coverage=full/partial/unknown
 - pauseReason=out-of-scope
+
+## v1.8 协作状态摘要
+
+- 共享事实状态源：factStatus / revision：
+- 改动台账状态：changeStatus：
+- 冲突状态：conflictStatus：
+- 受影响任务刷新状态：refreshStatus：
+- coordinationTransactionId / phase：
+- Skill assignmentStatus / usageStatus：
+- 前端审计 decision / audit status / coverage：
+- 临时会话 status / occupancyStatus / changeDomain：
+- 未验证范围与阻塞原因：

package/init/xinyun-ai-init/templates/frontend-audit.template.json

@@ -0,0 +1,27 @@
+{
+  "auditId": "",
+  "repoRoot": "",
+  "platform": "wechat-miniprogram|uni-app|html",
+  "framework": "",
+  "pagePath": "",
+  "componentPath": "",
+  "couplingType": "template-style|state-view|api-page|route-page|business-page|cross-platform|shared-component|unknown",
+  "props": [],
+  "events": [],
+  "slots": [],
+  "stateDependencies": [],
+  "apiDependencies": [],
+  "routeDependencies": [],
+  "businessFlowDependencies": [],
+  "baselineHash": "",
+  "decision": "audit-only",
+  "status": "not-started",
+  "coverage": "unknown",
+  "unverifiedScope": [],
+  "evidence": [],
+  "updatedAt": "",
+  "statusEnum": ["not-started", "assessing", "partial", "completed", "blocked", "unknown"],
+  "decisionEnum": ["audit-only", "refactor-now", "defer", "requires-confirmation", "out-of-scope"],
+  "coverageEnum": ["full", "partial", "unknown"],
+  "refactorNowRequired": ["planId", "userConfirmationId", "permittedPaths", "beforeHash", "afterHash", "diffEvidence", "testEvidence"]
+}

package/init/xinyun-ai-init/templates/init-result.template.json

@@ -7,7 +7,7 @@
   "mode": "initialization",
   "status": "pending",
   "currentVersion": null,
-  "targetVersion": "1.7.2",
+  "targetVersion": "1.8.0",
   "idempotencyKey": null,
   "createdFiles": [],
   "updatedFiles": [],
@@ -31,6 +31,19 @@
     "archiveTransactionId": null,
     "archiveStatus": "not-started"
   },
+  "roleSessions": {
+    "provider": "codex",
+    "parentSessionId": null,
+    "requiredRoleCount": 5,
+    "createdCount": 0,
+    "reusedCount": 0,
+    "failedCount": 0,
+    "blockedCount": 0,
+    "localDegradedCount": 0,
+    "bindings": [],
+    "hostCapability": "unknown",
+    "degradationReason": null
+  },
   "codeGraph": {
     "codeGraphRecordId": null,
     "required": true,

package/init/xinyun-ai-init/templates/managed-baseline.template.json

@@ -3,13 +3,13 @@
   "hashAlgorithm": "sha256",
   "contentEncoding": "utf8-normalized",
   "managedBy": "@pm_zhousl/xinyun-ai-init",
-  "lastAppliedVersion": "1.7.2",
+  "lastAppliedVersion": "1.8.0",
   "files": [
     {
       "path": "xinyun-ai/rules/core-rules.md",
       "baselineHash": null,
       "templateHash": null,
-      "lastAppliedVersion": "1.7.2",
+      "lastAppliedVersion": "1.8.0",
       "managedBy": "@pm_zhousl/xinyun-ai-init",
       "status": "unknown"
     }