@sema-agent/client-core 0.41.0 → 0.43.0

package/dist/hitl/frameRouter.js

@@ -11,6 +11,26 @@ export const HITL_REJECT_MESSAGE = "The user doesn't want to proceed with this t
 function rejectMessageForRender() {
     return HITL_REJECT_MESSAGE;
 }
+/**
+ * CC `utils/messages.ts` 的 `INTERRUPT_MESSAGE_FOR_TOOL_USE` **逐字**(件 B,#323 症状②,2026-08-25)。
+ *
+ * 🔴 CC 语料直证的两条事实(壳侧勘察,cli `src/utils/messages.ts:216-217` 逐字节同):
+ *   ① `"Operation aborted"` 在 CC 只在 transport 层 throw,**从不上屏** —— 它是我们这条引擎链
+ *      特有的产物,渲成红 `Error: Operation aborted` 是 CC 里根本不存在的形;
+ *   ② CC 的**唯一**中断呈现形就是本串:壳的 `UserToolErrorMessage` 对
+ *      `content.includes(INTERRUPT_MESSAGE_FOR_TOOL_USE)` 渲 dim `Interrupted`(CC 2.1.223 逐字判据)。
+ * ⇒ 用户中断批的 tool_result 文案在**呈现向**归一到本串,三端就天然拿到 CC 的 Interrupted 形,
+ *   不必各自再抄一份「Operation aborted 也算中断」的手工判据(那正是漂移温床)。
+ * 🔴 **呈现向,不是模型面**:本包这条链是转录/渲染链;喂回模型的那一份由引擎自己的 wire 承载,
+ *   这里一个字节都不碰它。
+ */
+export const HITL_INTERRUPT_MESSAGE_FOR_TOOL_USE = '[Request interrupted by user for tool use]';
+/**
+ * run 被**取消**的终态短码(server cancel settle 契约:`runs.cancel` → run SETTLES to `failed` +
+ * `errorCode:"cancelled"`;成文见本包 `controlRouter.ts` cancel 段与 `docs/INTEGRATION-CLIENTS.md`
+ * 的 cancel/deny 对照行 ——「ack 带 `errorCode:"cancelled"`」)。
+ */
+const RUN_CANCELLED_ERROR_CODE = 'cancelled';
 /**
  * core 对**被 gate park 的那个 call**(gate 主角)铸的 tool_end 载体(逐字;desktop session-host
  * 真引擎实测同款)。HOLD 谓词锚它做**精确等值** —— 普通工具错的输出是各自的错误文案,永不进 HOLD。
@@ -247,6 +267,87 @@ export function isHostProgressFrame(ev) {
     return ((ev.type === 'text_delta' || ev.type === 'reasoning_delta' || ev.type === 'tool_start') &&
         ev.parentToolCallId === undefined);
 }
+// ── 件 B(#323 症状②):用户中断批的呈现向文案归一 ────────────────────────────────────────────
+/**
+ * 这次 flush 的**出口**带不带「用户要停」的证据。两条腿各自是**结构事实**,都不是猜:
+ *   ① **wire 终帧腿**:`failed.errorCode === "cancelled"`(server cancel settle 契约)/ durable 腿
+ *      同码骑在 `done.result.errorCode` 上(终态投影表 `terminalToSdkResult` 头注的同一格)。
+ *      壳侧实证:Esc 的默认臂之外还有一发 best-effort `POST /v1/runs/:id/cancel`,run 就是这么
+ *      结算的 —— 所以「这一批 abort 帧属于一次取消」在 wire 上有据可查。
+ *   ② **宿主腿**:`ctx.signal.aborted`。这个 signal 是宿主的 turn 中断信号,壳侧唯一 abort 源是
+ *      用户按 Esc(`abortController.abort('user-cancel')`),web/desktop 同位。它是**宿主事实**
+ *      而非帧事实,所以只在**收口出口**读(源流已经走完/终帧已到),不在流中途读。
+ * 🔴 两腿都不命中 ⇒ 没有中断证据 ⇒ 文案一个字节不改(诚实缺席,不靠猜)。
+ */
+function isUserInterruptTerminalOrSignal(ev, signal) {
+    if (signal?.aborted === true)
+        return true;
+    if (ev === undefined)
+        return false;
+    if (ev.type === 'failed') {
+        return ev.errorCode === RUN_CANCELLED_ERROR_CODE;
+    }
+    if (ev.type === 'done') {
+        const r = ev.result;
+        return !!r && r.errorCode === RUN_CANCELLED_ERROR_CODE;
+    }
+    return false;
+}
+/**
+ * 呈现向改写的**帧级**准入(与出口级证据合取)。三条,全是不放宽的精确判据:
+ *   ① 文案**精确等于** {@link ENGINE_ABORT_TOOL_RESULT}(6.0.0 的块数组形先经 `toolEndOutputText`
+ *      归一)—— `"operation aborted before execution"`(连坐旁观者:从未执行)与
+ *      `interrupted_never_started` 族**刻意不进本臂**:core 显式拒绝合并两串向([4973]),
+ *      两串各承真语义,它们各自的文案/折叠语义已在别处成立,并进来 = 把两个语义压成一个。
+ *   ② `errorCode !== "gate.parked"`:机读位在场时,**门语义帧一票否决** —— 那是「门把这次调用
+ *      park 了」,不是「用户按了 Esc」。⚠️ 这一票**只在 ①/② 两腿证据下投**:见
+ *      `allowGateParked` 与 {@link flushHeldWithInterruptRewrite} 头注的两模判词。
+ *   ③ `isError === true`:呈现向的中断形长在报错卡那一路(壳 `UserToolErrorMessage` 的判据位)。
+ */
+function isUserInterruptRewritable(ev, allowGateParked) {
+    if (ev.isError !== true)
+        return false;
+    if (!allowGateParked && ev.errorCode === ENGINE_GATE_PARKED_ERROR_CODE) {
+        return false;
+    }
+    return toolEndOutputText(ev.output) === ENGINE_ABORT_TOOL_RESULT;
+}
+/**
+ * `led.flushHeld()` 的**唯一**排水出口包装:用户中断批把毒化帧的 `output` 归一成 CC 的中断形
+ * ({@link HITL_INTERRUPT_MESSAGE_FOR_TOOL_USE}),其余一切原样。
+ *
+ * ── 判词(两模,别合并;方向一律 fail-safe:证据不足就走原路)──────────────────────────────
+ *  · **模 A —— 纯用户中断批**(证据 = cancel 终帧码 / 宿主 `signal.aborted`):要求 **本批零 park
+ *    登记**(`hasBatchPark() === false`),且帧上 `errorCode !== "gate.parked"`。两道门都是同一件事
+ *    的两个面 ——「这一批背后没有任何门」才谈得上纯中断;有门而我们只看见 abort 帧 = 判不出,不改。
+ *  · **模 B —— 门被用户中断**(证据 = {@link HeldFlushInterruptEvidence.gateAbortedByUser}):
+ *    park 在场是**前提**而不是障碍,所以模 A 的两道门在这一模下**都让位** —— 包括
+ *    `gate.parked` 那一票。理由:该码回答的是「这次调用为什么中止 =被门 park 了」,回答不了
+ *    「这一批为什么收场 = 用户按了 Esc」,两者正交;拿它做否决会把这一格里**最该显形的那张
+ *    主角卡**留成红 `Error: Operation aborted`(真机复现:审批卡挂着按 Esc,主角与连坐帧同文案)。
+ * 🔴 **gate deny 语义零变**:deny 走的是 `decided` 分支(→ 续流重放 → `denied-call`/`deny-stamp-next`
+ *    两臂 stamp CC REJECT 文案),那两臂排在 hold-poison **之前**、帧根本不进扣留表,本包装够不着。
+ *    fail-soft 的其余原因(no_pending / 传输失败 / hop 用尽)三腿全不命中 ⇒ 诚实红照旧。
+ *
+ * 🔴 **只改 `output` 一个键**:`isError` / `errorCode` / `toolCallId` / `toolName` / `settledBy` /
+ * `approver` / `resolution` / `structured` 以及 `flushHeld` 自己盖的
+ * `_sema_collateral_abort` 机读位全部原样过境(展开赋值只覆盖 `output`)—— 端侧的连坐折叠锚的是
+ * 机读位不是文案,所以折叠语义不受影响,只是被折那一行的正文换成了 CC 中断形。
+ */
+export function* flushHeldWithInterruptRewrite(led, evidence) {
+    // 🔴 读位必须在 flushHeld **之前**求值:那一拍尾部 `retireBatchState()` 会把批级计数清零。
+    const gateAborted = evidence.gateAbortedByUser === true;
+    const rewrite = gateAborted
+        ? true
+        : !led.hasBatchPark() && isUserInterruptTerminalOrSignal(evidence.terminal, evidence.signal);
+    for (const ev of led.flushHeld()) {
+        if (!rewrite || ev.type !== 'tool_end' || !isUserInterruptRewritable(ev, gateAborted)) {
+            yield ev;
+            continue;
+        }
+        yield { ...ev, output: HITL_INTERRUPT_MESSAGE_FOR_TOOL_USE };
+    }
+}
 /**
  * 🔴 **有序**(承重):分类器批3([907])的注释原文 = 「结构性识别(core 机器签名)优先于 fs
  * HOLD/REJECT 分支(签名比"fs 写报错"更特定;分类器 deny 从不产 tool_approval 帧,denied /
@@ -496,7 +597,8 @@ function routeDone(ev, ctx) {
         led.noteParkGate({ fsOrShellFamily: isFsOrShellToolName(ev.result.checkpointGate?.toolName) });
         return { kind: 'park', gate: 'fs', pendingDone: ev, ...(gatedCallId !== undefined ? { gatedCallId } : {}) };
     }
-    const events = [...led.flushHeld()]; // 真错(非 gate)的 Ask tool_end 此刻诚实渲染
+    // 真错(非 gate)的 Ask tool_end 此刻诚实渲染;件 B:纯用户中断批在这个出口把文案归一成 CC 中断形。
+    const events = [...flushHeldWithInterruptRewrite(led, { terminal: ev, signal: ctx.signal })];
     // durable 终帧的 result.taskId === sessionId(引擎 durable quirk)会让 captureSessionId 跳过
     // rewind 绑定 —— 用 sync leg 捕的真 handle 修正回去。
     const r = ev.result;
@@ -532,7 +634,9 @@ export async function routeFrame(ev, ctx) {
         return routeSuspended(ev, ctx);
     if (ev.type === 'done')
         return routeDone(ev, ctx);
-    if (ev.type === 'failed')
-        return { kind: 'end', events: [...led.flushHeld(), ev] };
+    // 件 B:cancel settle 的终帧(`failed{errorCode:"cancelled"}`)就是「用户要停」的 wire 证据。
+    if (ev.type === 'failed') {
+        return { kind: 'end', events: [...flushHeldWithInterruptRewrite(led, { terminal: ev, signal: ctx.signal }), ev] };
+    }
     return { kind: 'yield', events: [ev] };
 }

package/dist/hitl/gateLedger.d.ts

@@ -173,6 +173,15 @@ export interface GateLedger {
     noteParkGate(evidence: {
         fsOrShellFamily: boolean;
     }): void;
+    /**
+     * 「**本批**有没有登记过 park」——件 B(#323 症状②,2026-08-25)的硬门读位。
+     *
+     * 🔴 与 {@link flushHeld} 的主角判别是**两件事**,别合并:那条要的是「恰好一张」(归属可证),
+     * 本条要的是「**零张**」(这批 abort 帧背后没有任何 gate ⇒ 才谈得上「纯用户中断批」)。
+     * 判词方向同样 fail-safe:有 park = 门语义,呈现向一个字节都不改。
+     * 🔴 读位必须在 `flushHeld` 之前取(那一拍尾部会 `retireBatchState()` 把计数清零)。
+     */
+    hasBatchPark(): boolean;
     /** 续流重放的解答 tool_end 无 output,不补就会渲成结果不可用;这里记下真实答案供该帧 stamp
      *  `structured` 让卡片渲真实选择。 */
     rememberAnswer(callId: string, answered: AskAnsweredOutput): void;

package/dist/hitl/gateLedger.js

@@ -245,6 +245,9 @@ export function createGateLedger() {
             fsOrShellFamilyGate = evidence.fsOrShellFamily;
             heldSinceLastPark = false;
         },
+        hasBatchPark() {
+            return batchParkCount > 0;
+        },
         rememberAnswer(callId, answered) {
             resolvedAnswers.set(callId, answered);
         },

package/dist/hitl/hitlBridge.d.ts

@@ -308,9 +308,23 @@ export declare class HitlBridge {
      *
      *  - `approve` → `{decision:"approve", boundCallId, boundInputHash}`; `updatedInput` rides along for
      *    approve-with-edit (applied AFTER the binding check — the hash still binds the ORIGINAL input).
-     *  - `deny`    → `{decision:"deny", reason}`. CANCEL a suspended run by DENYING, never by `runs.cancel`
-     *    (which 409s on a suspended run — contract/04 §2.4); the deny-and-abort `interrupt:true` EFFECT is
-     *    "the run ends after the deny", carried by the backend, not a wire flag.
+     *  - `deny`    → `{decision:"deny", reason}`.
+     *
+     * 🔴 **§2.4「DENY-abort」撤稿(0.42.0;server [4833] 明请,契约成文 `4631a0f` 随 7.39 出)**。
+     *    本段原文写的是:「CANCEL a suspended run by DENYING, never by `runs.cancel` (**which 409s on a
+     *    suspended run** — contract/04 §2.4); the deny-and-abort `interrupt:true` EFFECT is *the run ends
+     *    after the deny*」。**三句话里有两句已被上游证伪,逐条**:
+     *      · **「deny 用来 cancel 一条 run」** —— `ASSISTANT-WIRE-CONTRACT.md` §4a 逐字反过来说:
+     *        **DENY is a TOOL-level answer, NEVER a run kill**;客户端不得把用户的拒绝译成 cancel。
+     *        两个动词的 wire 判别式是 `cancelled`(真取消)vs `gate.batch_halted`(裸拒的兄弟结算)。
+     *      · **「`runs.cancel` 对 suspended run 回 409」** —— 自 server [868] 起**就地取消**:
+     *        `runs.js` 的 cancel 腿对 SUSPENDED/needs_review 先结算 pending checkpoint(CAS expire)再
+     *        终态化,`cancelSuspended` 有实体,409 只剩 `conflict.approval_settled` 一条
+     *        (本仓 `docs/fresh-scan-client-core-2026-08-08.md` B型-5 已按真字节证伪,当时未跟修注释)。
+     *      · **仍然成立的那一句**:deny 之后 run 是否结束由**后端编排**决定,不是 wire 上的旗标
+     *        (裸拒 ⇒ `gate.batch_halted` + `haltedOnUserRejection`;带留言拒 ⇒ run 续跑)。
+     *    ⇒ 本方法的**行为一字未改**(它本来走的就是 §4a 说的那条 TOOL 级 decide 通路);改的是这段
+     *      引用错权威、并把一条早已失效的 409 断言当理由的散文。
      *
      * The resumed run continues its SAME durable stream. A binding mismatch (409) is re-raised as a
      * `HitlSafetyError('binding_mismatch')` — the caller re-presents, NEVER auto-retries.

package/dist/hitl/hitlBridge.js

@@ -415,9 +415,23 @@ export class HitlBridge {
      *
      *  - `approve` → `{decision:"approve", boundCallId, boundInputHash}`; `updatedInput` rides along for
      *    approve-with-edit (applied AFTER the binding check — the hash still binds the ORIGINAL input).
-     *  - `deny`    → `{decision:"deny", reason}`. CANCEL a suspended run by DENYING, never by `runs.cancel`
-     *    (which 409s on a suspended run — contract/04 §2.4); the deny-and-abort `interrupt:true` EFFECT is
-     *    "the run ends after the deny", carried by the backend, not a wire flag.
+     *  - `deny`    → `{decision:"deny", reason}`.
+     *
+     * 🔴 **§2.4「DENY-abort」撤稿(0.42.0;server [4833] 明请,契约成文 `4631a0f` 随 7.39 出)**。
+     *    本段原文写的是:「CANCEL a suspended run by DENYING, never by `runs.cancel` (**which 409s on a
+     *    suspended run** — contract/04 §2.4); the deny-and-abort `interrupt:true` EFFECT is *the run ends
+     *    after the deny*」。**三句话里有两句已被上游证伪,逐条**:
+     *      · **「deny 用来 cancel 一条 run」** —— `ASSISTANT-WIRE-CONTRACT.md` §4a 逐字反过来说:
+     *        **DENY is a TOOL-level answer, NEVER a run kill**;客户端不得把用户的拒绝译成 cancel。
+     *        两个动词的 wire 判别式是 `cancelled`(真取消)vs `gate.batch_halted`(裸拒的兄弟结算)。
+     *      · **「`runs.cancel` 对 suspended run 回 409」** —— 自 server [868] 起**就地取消**:
+     *        `runs.js` 的 cancel 腿对 SUSPENDED/needs_review 先结算 pending checkpoint(CAS expire)再
+     *        终态化,`cancelSuspended` 有实体,409 只剩 `conflict.approval_settled` 一条
+     *        (本仓 `docs/fresh-scan-client-core-2026-08-08.md` B型-5 已按真字节证伪,当时未跟修注释)。
+     *      · **仍然成立的那一句**:deny 之后 run 是否结束由**后端编排**决定,不是 wire 上的旗标
+     *        (裸拒 ⇒ `gate.batch_halted` + `haltedOnUserRejection`;带留言拒 ⇒ run 续跑)。
+     *    ⇒ 本方法的**行为一字未改**(它本来走的就是 §4a 说的那条 TOOL 级 decide 通路);改的是这段
+     *      引用错权威、并把一条早已失效的 409 断言当理由的散文。
      *
      * The resumed run continues its SAME durable stream. A binding mismatch (409) is re-raised as a
      * `HitlSafetyError('binding_mismatch')` — the caller re-presents, NEVER auto-retries.
@@ -621,7 +635,9 @@ export function makeHitlCanUseTool(bridge, prompt) {
         const decision = forceDecision ??
             (await prompt({ toolName: tool.name, input, toolUseID, gate }));
         if (decision.behavior === 'deny') {
-            // Deny → cancel-by-deny (contract/04 §2.4). The deny message rides `reason`.
+            // Deny → 一次 **TOOL 级**的 deny 应答(server `ASSISTANT-WIRE-CONTRACT.md` §4a;0.42.0 撤稿:
+            // 原文写的是「cancel-by-deny (contract/04 §2.4)」,而 §4a 逐字反对把拒绝读成 run kill ——
+            // 详见 `decideTool` 头注的撤稿段)。The deny message rides `reason`.
             // 0.28.0 发版扫描 F1(P2):message 逐字嵌原始命令(壳侧 bashPermissions 无上限)——必须与
             // 卡腿同门经窄化器截到 4096,否则 server 413 丢的是整次 deny(run 留 suspended)。
             await bridge.decideTool({ decision: 'deny', reason: denyReasonForWire(decision.message, `canUseTool ${toolUseID}`) ?? DEFAULT_DENY_REASON }, toolUseID);

package/dist/hitl/hitlHostSurface.d.ts

@@ -31,9 +31,32 @@ export declare function _resetHitlHostSurfaceForTest(): void;
 /** 内部读点(计 miss)。`askGateWire.ts` 的 `surfaceClassifierDeny` 路径与本文件的
  *  `surfaceCancelDenyWarn` 共用它。 */
 export declare function surfaceForCurrentSession(): HitlHostSurface | null;
-/** cancel-by-deny 的后台 settle 预算。decide 是 SYNC 驱动的(引擎跑到下一 park/终态才返,实测
- *  4-5s+),但 DENY-abort 语义上引擎收到即终结 run;2s 内连收都没收到 ⇒ 按丢失警示(晚到成功
- *  只是多一行良性 warn,比锁死无线索诚实)。 */
+/**
+ * 中断-deny 的后台 settle 观察预算。
+ *
+ * ══ 🔴 §2.4「DENY-abort」撤稿 + 本常量的论证前提重审(0.42.0;server [4833] 明请)═══════════
+ *
+ * **本段 0.28.0 原文写的是**:「decide 是 SYNC 驱动的(引擎跑到下一 park/终态才返,实测 4-5s+),
+ * 但 **DENY-abort 语义上引擎收到即终结 run**;2s 内连收都没收到 ⇒ 按丢失警示」。
+ * 那句加粗的前提**已被上游撤稿**,来源是 server 自己的契约成文(`4631a0f`,随 7.39 出;
+ * `ASSISTANT-WIRE-CONTRACT.md` §4a):**DENY 是 TOOL 级的应答,永远不是 run kill**;客户端不得
+ * 把「拒绝」译成「取消」;两个动词的 wire 判别式是 `cancelled` vs `gate.batch_halted`。
+ * ⇒ 「引擎收到 deny 即终结 run」这条**不成立**:deny 只结算**这一只 ask**,run 按自己的编排继续
+ *   (裸拒 ⇒ `gate.batch_halted` 兄弟 coded 结算 + `haltedOnUserRejection`;带留言拒 ⇒ run 续跑)。
+ *
+ * **重审结论(本批只改论证,不改数值 —— 理由写全)**:
+ *   · 旧论证「2s 没结算 = deny 大概率丢了,因为收到就该终结」**作废**;
+ *   · 但本常量守的那件事**换一个理由仍然成立**:它是一个**观察上限**,给「decide 永不返回」这种
+ *     形态一条出声的路 —— 没有它,一次真的丢失就只剩静默;
+ *   · **数值不在本批动**:动它是行为面改动,而判据(多久算「没回来」)只有拿真实 decide 往返分布
+ *     说了算,那份实测在**消费端**(壳中断路径)而不在包里;且下游 `sema-cli` 的
+ *     `src/sema/hitlCancelDeny.test.ts` 按现值锁着行为,单边改会当场把消费端打红。
+ *   · **如实登记的残余**(接入档 §6e/§7 同批记):预算到点就发的那行 warn 措辞是
+ *     {@link CANCEL_DENY_WARN_TEXT}（「the session may stay locked」),而在新契约下「decide 慢」
+ *     与「deny 丢了」这两件事在 2s 这个刻度上**不可分** —— 晚到的成功不会撤回那行 warn(只有 10s
+ *     自清)。要根治得做成两档(软档只记 debug、硬档才上屏),那是**跨仓一批**:包侧改时序、壳侧
+ *     同批换判据与用例。本批不做单边改动。
+ */
 export declare const CANCEL_DENY_BUDGET_MS = 2000;
 /** warn 行文案(测试锁字面)。 */
 export declare const CANCEL_DENY_WARN_TEXT = "could not cancel the pending question \u2014 the session may stay locked; the run may need engine-side recovery";
@@ -64,8 +87,65 @@ export declare function surfaceRememberNotApplied(): void;
  * 已记进 docs/refactor/README.md 的宿主/上游工单表,本层不做旁路补偿(只做如实告知)。
  */
 export declare function surfaceEditNotForwarded(): void;
+/**
+ * 文案(测试锁字面)。措辞刻意描述**后果**,并且**只说证得出的话**(异源对抗复审四轮 [medium] 修):
+ *  · 不写「这台引擎不支持」——能力位缺席有三种同形成因(宿主没接这个字段 / 探测还没回来 / 探测失败),
+ *    其中只有明确的 `false` 才勉强算「引擎说了不」。写成断言就是替引擎宣布一件没证据的事
+ *    ([honest-absence-not-fabricated-zero]);改成 `could not be confirmed` 的未知口径。
+ *  · 「审批本身过了」这句**只在 respond 真成功之后**才成立 —— 所以本通知的**发出时机**被移到
+ *    `await respond(...)` 成功之后(见 `toolApprovalWire` 的调用点顶注),而不是丢键那一刻。
+ */
+export declare const RULE_NOT_SENT_WARN_TEXT = "your \"don't ask again\" choice was NOT sent to this engine \u2014 support for that rule form could not be confirmed. The approval itself went through, but you will be asked again";
+/**
+ * 卡上选中了「不再询问」(编辑臂的自由文本 / 批臂的合取批),而**这台引擎的能力位没有确认**
+ * 那条兑付通道 ⇒ 编排层把持久臂整条丢掉、只送决断。
+ *
+ * 🔴 为什么这必须上屏而不是只记 debug(异源对抗复审三轮 [high] 采纳,0.43.0):它与
+ * {@link surfaceRememberNotApplied} 是**同一个病**——用户按下了一个明确的意图,系统把它静默
+ * 丢掉,然后下一次照旧弹卡。用户能得出的唯一结论是「这个功能坏了」或「我按错了」。卡上那一格
+ * 是**真 affordance**(offer 确实在场、确实可以走本地落规则那条路),被丢的只是**这条 wire
+ * 兑付通道** —— 所以正解不是把选项藏起来,是**如实说出来**。
+ * 🔴 **一条通知服务两条臂**(同形清剿):编辑臂(`respondFreeFormRules` 位缺席)与批臂
+ * (`respondBatchRuleOffers` 位缺席)此前都只写 debug —— 同一个病形两处存量,同批一起改。
+ * 🔴 决断本身**不受影响**(照常送达),所以文案第二句说清「审批过了,只是规则没存」——
+ * ⚠️ 正因为文案里有那句话,**调用时机必须在 `respond` 真成功之后**(异源对抗复审四轮 [medium]:
+ * 丢键那一刻就发,而随后 respond 抛错 ⇒ 决断其实**没有**落定,用户却已经读到「审批过了」,
+ * 可能按「工具已经在跑」继续操作)。调用点的时序契约见 `toolApprovalWire` 那一处。
+ * 🔴 文案**不说「引擎不支持」**:能力位缺席三种同形成因(宿主没接字段 / 探测未回 / 探测失败),
+ * 断言引擎的能力是没有证据的话 —— 用 `could not be confirmed` 的未知口径。
+ * 无宿主口(print/headless 没屏)⇒ 静默,与本文件其余 surface 同语义。
+ */
+export declare function surfaceRuleArmNotSent(): void;
+/**
+ * 文案(测试锁字面)。与 {@link RULE_NOT_SENT_WARN_TEXT} **刻意分两条**:两者对用户的下一步建议不同 ——
+ * 那条说「这台引擎能不能收还不知道」(换台引擎/等探测就好了),本条说「你这次的选择**本身**没过
+ * 客户端那道核对」(卡口实现有问题或同时给了两个互斥选择,换台引擎也不会变)。折成一条会让任一方
+ * 谎报原因。措辞同样只说证得出的话:不猜是哪一种坏法,把两种都摆出来。
+ */
+export declare const RULE_NOT_SENT_REJECTED_WARN_TEXT = "your \"don't ask again\" choice was NOT sent \u2014 it did not pass the client-side check (the card returned a rule the engine never offered, an index that is not a batch offer, or two conflicting choices at once). The approval itself went through, but you will be asked again";
+/**
+ * 卡上选中了「不再询问」,而那次选择**没过包内那道表核 / 互斥核**(报了引擎没 offer 过的文本、
+ * 下标不指向 batch offer、或文本臂与批臂同场)⇒ 编排层把持久臂整条丢掉、只送决断。
+ *
+ * 🔴 为什么这也必须上屏(异源对抗复审十轮 [medium] 采纳,0.43.0):它与
+ * {@link surfaceRuleArmNotSent} 是**同一个诚实性问题**,只是原因换了一个 —— 用户按下的明确意图
+ * 被系统丢掉,审批照常成功,下次照旧弹卡。此前这三条丢键路径**只写 `hostLog('error')`**:
+ * 那是给开发者看的诊断,**不是**给按下按钮的那个人的答复。
+ * 🔴 **时序契约与那条一致**:文案里有「审批本身过了」⇒ 只在 `await respond(...)` 真成功之后发。
+ * 🔴 **成因通常是卡口实现的 bug**(表外文本/坏下标/两臂同场都是宿主侧构造出来的),所以 `hostLog`
+ * 的那条 `error` 留痕**照旧保留** —— 两个受众,两条通道,谁都不顶替谁。
+ * 无宿主口(print/headless 没屏)⇒ 静默,与本文件其余 surface 同语义。
+ */
+export declare function surfaceRuleArmRejected(): void;
 /**
  * 中断 deny 的有界观察(壳侧单测 `hitlCancelDeny.test.ts` 的被测面;REF-CC-023 起两条决断腿共用)。
+ *
+ * 🔴 **命名撤稿(0.42.0)**:函数名与日志里的「cancel-by-deny」是**历史词**,保留只为不打断下游
+ * 按名锚的用例。它描述的动作在现行契约(server `ASSISTANT-WIRE-CONTRACT.md` §4a)下的准确说法是
+ * 「**中断时把这只挂着的 ask 用一个 TOOL 级 deny 结算掉**,好让 run 不停在 suspended 上」——
+ * **不是**「用 deny 去 cancel 一条 run」。方向也别读反:这里是把**用户的中断**结算成一次 deny,
+ * 而 §4a 禁的是反向的那件事(把**用户的拒绝**译成 cancel),两者不是同一件事。
+ *
  * 铁律:不 await 进 abort 返回路径(用户立即拿回控制);这里只管后台 settle 的«观察»:
  *   - 2s 内 settle 成功 ⇒ 零上屏(SEMA_DEBUG 记成功);
  *   - 失败/超时 ⇒ 上屏一行 warn + SEMA_DEBUG 记原因(deny 丢失 = run 卡 suspended,下一条消息

package/dist/hitl/hitlHostSurface.js

@@ -61,9 +61,32 @@ export function surfaceForCurrentSession() {
     return hostSurface;
 }
 // ── 件3(中断事故修复批 G,2026-07-15)—— 中断 deny 的有界观察 ─────────────────────────────────
-/** cancel-by-deny 的后台 settle 预算。decide 是 SYNC 驱动的(引擎跑到下一 park/终态才返,实测
- *  4-5s+),但 DENY-abort 语义上引擎收到即终结 run;2s 内连收都没收到 ⇒ 按丢失警示(晚到成功
- *  只是多一行良性 warn,比锁死无线索诚实)。 */
+/**
+ * 中断-deny 的后台 settle 观察预算。
+ *
+ * ══ 🔴 §2.4「DENY-abort」撤稿 + 本常量的论证前提重审(0.42.0;server [4833] 明请)═══════════
+ *
+ * **本段 0.28.0 原文写的是**:「decide 是 SYNC 驱动的(引擎跑到下一 park/终态才返,实测 4-5s+),
+ * 但 **DENY-abort 语义上引擎收到即终结 run**;2s 内连收都没收到 ⇒ 按丢失警示」。
+ * 那句加粗的前提**已被上游撤稿**,来源是 server 自己的契约成文(`4631a0f`,随 7.39 出;
+ * `ASSISTANT-WIRE-CONTRACT.md` §4a):**DENY 是 TOOL 级的应答,永远不是 run kill**;客户端不得
+ * 把「拒绝」译成「取消」;两个动词的 wire 判别式是 `cancelled` vs `gate.batch_halted`。
+ * ⇒ 「引擎收到 deny 即终结 run」这条**不成立**:deny 只结算**这一只 ask**,run 按自己的编排继续
+ *   (裸拒 ⇒ `gate.batch_halted` 兄弟 coded 结算 + `haltedOnUserRejection`;带留言拒 ⇒ run 续跑)。
+ *
+ * **重审结论(本批只改论证,不改数值 —— 理由写全)**:
+ *   · 旧论证「2s 没结算 = deny 大概率丢了,因为收到就该终结」**作废**;
+ *   · 但本常量守的那件事**换一个理由仍然成立**:它是一个**观察上限**,给「decide 永不返回」这种
+ *     形态一条出声的路 —— 没有它,一次真的丢失就只剩静默;
+ *   · **数值不在本批动**:动它是行为面改动,而判据(多久算「没回来」)只有拿真实 decide 往返分布
+ *     说了算,那份实测在**消费端**(壳中断路径)而不在包里;且下游 `sema-cli` 的
+ *     `src/sema/hitlCancelDeny.test.ts` 按现值锁着行为,单边改会当场把消费端打红。
+ *   · **如实登记的残余**(接入档 §6e/§7 同批记):预算到点就发的那行 warn 措辞是
+ *     {@link CANCEL_DENY_WARN_TEXT}（「the session may stay locked」),而在新契约下「decide 慢」
+ *     与「deny 丢了」这两件事在 2s 这个刻度上**不可分** —— 晚到的成功不会撤回那行 warn(只有 10s
+ *     自清)。要根治得做成两档(软档只记 debug、硬档才上屏),那是**跨仓一批**:包侧改时序、壳侧
+ *     同批换判据与用例。本批不做单边改动。
+ */
 export const CANCEL_DENY_BUDGET_MS = 2000;
 /** warn 行文案(测试锁字面)。 */
 export const CANCEL_DENY_WARN_TEXT = 'could not cancel the pending question — the session may stay locked; the run may need engine-side recovery';
@@ -140,6 +163,65 @@ export function surfaceRememberNotApplied() {
 export function surfaceEditNotForwarded() {
     surfaceSelfClearingWarn(EDIT_NOT_FORWARDED_KEY, EDIT_NOT_FORWARDED_WARN_TEXT, EDIT_NOT_FORWARDED_TIMEOUT_MS);
 }
+/**
+ * 文案(测试锁字面)。措辞刻意描述**后果**,并且**只说证得出的话**(异源对抗复审四轮 [medium] 修):
+ *  · 不写「这台引擎不支持」——能力位缺席有三种同形成因(宿主没接这个字段 / 探测还没回来 / 探测失败),
+ *    其中只有明确的 `false` 才勉强算「引擎说了不」。写成断言就是替引擎宣布一件没证据的事
+ *    ([honest-absence-not-fabricated-zero]);改成 `could not be confirmed` 的未知口径。
+ *  · 「审批本身过了」这句**只在 respond 真成功之后**才成立 —— 所以本通知的**发出时机**被移到
+ *    `await respond(...)` 成功之后(见 `toolApprovalWire` 的调用点顶注),而不是丢键那一刻。
+ */
+export const RULE_NOT_SENT_WARN_TEXT = 'your "don\'t ask again" choice was NOT sent to this engine — support for that rule form could not be confirmed. The approval itself went through, but you will be asked again';
+const RULE_NOT_SENT_KEY = 'hitl-rule-arm-not-sent';
+/** 与 remember 那条同量级(都是「你以为记住了、其实没有」),取同一个时长。 */
+const RULE_NOT_SENT_TIMEOUT_MS = 10_000;
+/**
+ * 卡上选中了「不再询问」(编辑臂的自由文本 / 批臂的合取批),而**这台引擎的能力位没有确认**
+ * 那条兑付通道 ⇒ 编排层把持久臂整条丢掉、只送决断。
+ *
+ * 🔴 为什么这必须上屏而不是只记 debug(异源对抗复审三轮 [high] 采纳,0.43.0):它与
+ * {@link surfaceRememberNotApplied} 是**同一个病**——用户按下了一个明确的意图,系统把它静默
+ * 丢掉,然后下一次照旧弹卡。用户能得出的唯一结论是「这个功能坏了」或「我按错了」。卡上那一格
+ * 是**真 affordance**(offer 确实在场、确实可以走本地落规则那条路),被丢的只是**这条 wire
+ * 兑付通道** —— 所以正解不是把选项藏起来,是**如实说出来**。
+ * 🔴 **一条通知服务两条臂**(同形清剿):编辑臂(`respondFreeFormRules` 位缺席)与批臂
+ * (`respondBatchRuleOffers` 位缺席)此前都只写 debug —— 同一个病形两处存量,同批一起改。
+ * 🔴 决断本身**不受影响**(照常送达),所以文案第二句说清「审批过了,只是规则没存」——
+ * ⚠️ 正因为文案里有那句话,**调用时机必须在 `respond` 真成功之后**(异源对抗复审四轮 [medium]:
+ * 丢键那一刻就发,而随后 respond 抛错 ⇒ 决断其实**没有**落定,用户却已经读到「审批过了」,
+ * 可能按「工具已经在跑」继续操作)。调用点的时序契约见 `toolApprovalWire` 那一处。
+ * 🔴 文案**不说「引擎不支持」**:能力位缺席三种同形成因(宿主没接字段 / 探测未回 / 探测失败),
+ * 断言引擎的能力是没有证据的话 —— 用 `could not be confirmed` 的未知口径。
+ * 无宿主口(print/headless 没屏)⇒ 静默,与本文件其余 surface 同语义。
+ */
+export function surfaceRuleArmNotSent() {
+    surfaceSelfClearingWarn(RULE_NOT_SENT_KEY, RULE_NOT_SENT_WARN_TEXT, RULE_NOT_SENT_TIMEOUT_MS);
+}
+/**
+ * 文案(测试锁字面)。与 {@link RULE_NOT_SENT_WARN_TEXT} **刻意分两条**:两者对用户的下一步建议不同 ——
+ * 那条说「这台引擎能不能收还不知道」(换台引擎/等探测就好了),本条说「你这次的选择**本身**没过
+ * 客户端那道核对」(卡口实现有问题或同时给了两个互斥选择,换台引擎也不会变)。折成一条会让任一方
+ * 谎报原因。措辞同样只说证得出的话:不猜是哪一种坏法,把两种都摆出来。
+ */
+export const RULE_NOT_SENT_REJECTED_WARN_TEXT = 'your "don\'t ask again" choice was NOT sent — it did not pass the client-side check (the card returned a rule the engine never offered, an index that is not a batch offer, or two conflicting choices at once). The approval itself went through, but you will be asked again';
+const RULE_NOT_SENT_REJECTED_KEY = 'hitl-rule-arm-rejected';
+const RULE_NOT_SENT_REJECTED_TIMEOUT_MS = 10_000;
+/**
+ * 卡上选中了「不再询问」,而那次选择**没过包内那道表核 / 互斥核**(报了引擎没 offer 过的文本、
+ * 下标不指向 batch offer、或文本臂与批臂同场)⇒ 编排层把持久臂整条丢掉、只送决断。
+ *
+ * 🔴 为什么这也必须上屏(异源对抗复审十轮 [medium] 采纳,0.43.0):它与
+ * {@link surfaceRuleArmNotSent} 是**同一个诚实性问题**,只是原因换了一个 —— 用户按下的明确意图
+ * 被系统丢掉,审批照常成功,下次照旧弹卡。此前这三条丢键路径**只写 `hostLog('error')`**:
+ * 那是给开发者看的诊断,**不是**给按下按钮的那个人的答复。
+ * 🔴 **时序契约与那条一致**:文案里有「审批本身过了」⇒ 只在 `await respond(...)` 真成功之后发。
+ * 🔴 **成因通常是卡口实现的 bug**(表外文本/坏下标/两臂同场都是宿主侧构造出来的),所以 `hostLog`
+ * 的那条 `error` 留痕**照旧保留** —— 两个受众,两条通道,谁都不顶替谁。
+ * 无宿主口(print/headless 没屏)⇒ 静默,与本文件其余 surface 同语义。
+ */
+export function surfaceRuleArmRejected() {
+    surfaceSelfClearingWarn(RULE_NOT_SENT_REJECTED_KEY, RULE_NOT_SENT_REJECTED_WARN_TEXT, RULE_NOT_SENT_REJECTED_TIMEOUT_MS);
+}
 /**
  * cancel-by-deny 的「良性 no_pending」判据。**结构化 `.code` 为主,`instanceof` 只作加强,绝不替代**:
  *  - `.code` 是 client-core 自家 `HitlSafetyError` 的契约属性(hitlBridge.ts,REF-CC-036 起是闭集
@@ -161,6 +243,13 @@ function isNoPendingError(e) {
 }
 /**
  * 中断 deny 的有界观察(壳侧单测 `hitlCancelDeny.test.ts` 的被测面;REF-CC-023 起两条决断腿共用)。
+ *
+ * 🔴 **命名撤稿(0.42.0)**:函数名与日志里的「cancel-by-deny」是**历史词**,保留只为不打断下游
+ * 按名锚的用例。它描述的动作在现行契约(server `ASSISTANT-WIRE-CONTRACT.md` §4a)下的准确说法是
+ * 「**中断时把这只挂着的 ask 用一个 TOOL 级 deny 结算掉**,好让 run 不停在 suspended 上」——
+ * **不是**「用 deny 去 cancel 一条 run」。方向也别读反:这里是把**用户的中断**结算成一次 deny,
+ * 而 §4a 禁的是反向的那件事(把**用户的拒绝**译成 cancel),两者不是同一件事。
+ *
  * 铁律:不 await 进 abort 返回路径(用户立即拿回控制);这里只管后台 settle 的«观察»:
  *   - 2s 内 settle 成功 ⇒ 零上屏(SEMA_DEBUG 记成功);
  *   - 失败/超时 ⇒ 上屏一行 warn + SEMA_DEBUG 记原因(deny 丢失 = run 卡 suspended,下一条消息

package/dist/hitl/parkResolver.js

@@ -3,7 +3,7 @@ import { publishQuestionFrame, registerLocalQuestionResponder, hasQuestionOverla
 import { hostLog } from '../host.js';
 import { surfaceFsApprovalAndDecide } from './toolApprovalWire.js';
 import { observeCancelByDeny } from './hitlHostSurface.js';
-import { isAskTool } from './frameRouter.js';
+import { flushHeldWithInterruptRewrite, isAskTool } from './frameRouter.js';
 import { approvalCallKey, askGateQuestionId } from './gateIdentity.js';
 /** 一 turn 内最多循环这么多次 park(防御:引擎/模型病态连环提问时不无限 attach)。 */
 const MAX_GATE_HOPS = 24;
@@ -154,12 +154,24 @@ parkGatedCallId) {
     });
     const bridge = new HitlBridge(deps.client, taskId);
     if (answer === null) {
-        // turn 被中断(Esc/Ctrl+C):cancel-by-deny(contract/04 §2.4 —— suspended run 不 runs.cancel)。
+        // turn 被中断(Esc/Ctrl+C):把这只挂着的 ask 用一次 **TOOL 级 deny** 结算掉,好让 run 不停在
+        // suspended 上(server `ASSISTANT-WIRE-CONTRACT.md` §4a)。
+        // 🔴 **0.42.0 撤稿**:原文写的是「cancel-by-deny(contract/04 §2.4 —— suspended run 不
+        //    runs.cancel)」。那条引用的两个前提都已作废 —— §4a 逐字说 DENY 是 tool 级应答**永远不是**
+        //    run kill;而「suspended run 不能 runs.cancel」自 server [868] 起就不成立(就地取消已实装,
+        //    本仓 fresh-scan B型-5 按真字节证伪)。这里选 deny 不是因为 cancel 不可用,是因为**这一刻
+        //    要处理的就是一只挂着的 ask**:先把它结算掉,run 才走得下去。下方那句「引擎侧解锁腿到货前」
+        //    同批订正:那条腿早就到货了,本臂保留的理由变成「结算 ask 是这一步的正解」,不再是权宜。
         // 件3(中断事故修复批 G,2026-07-15,症状1 壳侧配套):此前 .catch(()=>{}) 全吞 = deny 丢失时
         // run 永卡 suspended,session 锁死,用户下一条消息撞 409「active run」还全无线索。改为有界观察
         // (observeCancelByDeny,2s 预算):abort 仍立即返回用户控制(不 await,交互时序不变),后台
-        // settle 失败/超时上屏一行 warn + SEMA_DEBUG 记失败原因。引擎侧解锁腿([866] server:cancel
-        // suspended 改语义 + reapSuspended TTL)到货前,这是壳能做的最诚实半场。
+        // settle 失败/超时上屏一行 warn + SEMA_DEBUG 记失败原因。
+        // 🔴 **0.42.0 订正**:本段原文以「引擎侧解锁腿([866] server:cancel suspended 改语义 +
+        //    reapSuspended TTL)**到货前**,这是壳能做的最诚实半场」收尾 —— 那条腿早已到货
+        //    (server [868] 起 suspended run 就地取消 + `reapSuspended` 实体在,fresh-scan B型-5 已按
+        //    真字节证伪)。本臂**不是**在等一条不存在的上游腿:它保留的理由是「这一刻要处理的就是一只
+        //    挂着的 ask,先结算它 run 才走得下去」。观察器的预算论证前提见 `CANCEL_DENY_BUDGET_MS` 头注
+        //    的重审段(同批 §2.4 撤稿件)。
         observeCancelByDeny(bridge.decideTool({ decision: 'deny', reason: 'Interrupted by user' }, gatedCallId, undefined, pending), taskId);
         return { kind: 'aborted', gatedCallId };
     }
@@ -274,7 +286,19 @@ export async function resolvePark(park, ctx) {
     }
     if (outcome.kind !== 'decided') {
         hostLog('debug', `liveHitlAskWire: gate not decided (${outcome.kind}${'reason' in outcome ? `: ${outcome.reason}` : ''}) — fail-soft to suspended terminal`);
-        const events = [...led.flushHeld()]; // 回退:毒化帧照旧渲染(= 修复前的诚实红)
+        // 回退:毒化帧照旧渲染(= 修复前的诚实红)。
+        // 件 B(异源复审 finding 采纳):**五个排水出口一律走同一个中断感知出口** —— 本出口今天恒是
+        // park 批(走到这里的前提就是有一张 park),零-park 硬门必挡,所以是**语义等价的 no-op**;
+        // 写成统一形是为了「新开一个出口就绕过改写」这条病形从此在结构上不成立(常驻门:hitl F13-h
+        // 钉住 src 下 `flushHeld()` 的调用点恰好一处)。
+        const events = [
+            ...flushHeldWithInterruptRewrite(led, {
+                terminal: park.pendingDone,
+                signal: ctx.signal,
+                // 模 B:`aborted` = 用户在门卡上按了 Esc(该 outcome 在包内的语义就是逐字这一条)。
+                gateAbortedByUser: outcome.kind === 'aborted',
+            }),
+        ];
         if (park.pendingDone) {
             events.push(park.pendingDone);
         }