@sema-agent/client-core 0.59.2 → 0.61.0

package/dist/hitl/planReviewWire.d.ts

@@ -67,7 +67,14 @@ export declare function planReviewDecisionFromAnswer(answer: QuestionAnswer | nu
 export declare function notePlanReviewAnsweredIfDecisive(questionId: unknown, answer: QuestionAnswer | null | undefined): void;
 /** W1 带 key 变体。 */
 export declare function notePlanReviewAnsweredIfDecisiveFor(sessionKey: string, questionId: unknown, answer: QuestionAnswer | null | undefined): void;
-/** done 帧的 plan_review park 形状(结构性读,别的终态一律 false)。 */
+/**
+ * done 帧的 plan_review park 形状(结构性读,别的终局一律 false)。
+ *
+ * 🔴 0.60.0(engine ≥7.64.0 / sdk 8.4.0):判据从退役的两个平面键(`status:"needs_review"` +
+ *    `checkpointGate.kind`)换成带标因由 `terminal.paused.gate.kind`,读法单源
+ *    {@link readRunTerminal}。门种仍**逐字只认 `plan_review`**(不顺手放宽到 `dry_run_review` /
+ *    `needs_review`):本臂驱动的是那一个 resume verb,放宽等于把别的门送进一个它答不了的入口。
+ */
 export declare function isPlanReviewPark(result: unknown): result is {
     taskId: string;
     sessionId?: string;

package/dist/hitl/planReviewWire.js

@@ -44,6 +44,9 @@ import { enqueuePlanReviewOutcome } from '../notifications.js';
 import { planReviewQuestionId, REOPEN_ID_TAIL } from './gateIdentity.js';
 import { notePlanReviewAnswered, notePlanReviewAnsweredFor, planReviewArmedKeyFor, registerArmedGateFor, waitForGateArmedFor, wasGateArmedFor, } from './armedGateRegistry.js';
 import { DEFAULT_SESSION_KEY } from '../sessionSlot.js';
+import { PLAN_REVIEW_GATE_KIND } from '../adapter/activeRunSelfHeal.js';
+// 0.60.0(engine ≥7.64.0 / sdk 8.4.0):终局/park 读数的单一读器。
+import { readRunTerminal, runTerminalGateKind } from '../runTerminal.js';
 /** resume 是 SYNC 驱动到终态的(可能分钟级)——原 raw fetch 无超时;SDK Transport 恒有每请求
  *  超时,取 6h 宽上界(诚实预算:超过它基本是引擎僵死,超时文案与网络失败同走 outcome 通知)。 */
 const PLAN_REVIEW_RESUME_TIMEOUT_MS = 6 * 60 * 60_000;
@@ -91,14 +94,22 @@ export function notePlanReviewAnsweredIfDecisiveFor(sessionKey, questionId, answ
         return;
     notePlanReviewAnsweredFor(sessionKey, questionId);
 }
-/** done 帧的 plan_review park 形状(结构性读,别的终态一律 false)。 */
+/**
+ * done 帧的 plan_review park 形状(结构性读,别的终局一律 false)。
+ *
+ * 🔴 0.60.0(engine ≥7.64.0 / sdk 8.4.0):判据从退役的两个平面键(`status:"needs_review"` +
+ *    `checkpointGate.kind`)换成带标因由 `terminal.paused.gate.kind`,读法单源
+ *    {@link readRunTerminal}。门种仍**逐字只认 `plan_review`**(不顺手放宽到 `dry_run_review` /
+ *    `needs_review`):本臂驱动的是那一个 resume verb,放宽等于把别的门送进一个它答不了的入口。
+ */
 export function isPlanReviewPark(result) {
-    const r = result;
-    return (!!r &&
-        r.status === 'needs_review' &&
-        r.checkpointGate?.kind === 'plan_review' &&
-        typeof r.taskId === 'string' &&
-        r.taskId.length > 0);
+    const read = readRunTerminal(result);
+    if (read === null || read.kind !== 'paused')
+        return false;
+    if (runTerminalGateKind(read) !== PLAN_REVIEW_GATE_KIND)
+        return false;
+    const taskId = result?.taskId;
+    return typeof taskId === 'string' && taskId.length > 0;
 }
 /**
  * REF-CC-027:已武装未消解的 taskId 去重集(与 `HitlBridge`/`liveQuestionStore` 同款「进程内单例

package/dist/hitl/toolApprovalWire.d.ts

@@ -77,7 +77,7 @@
  *    静默截断);真落行与否看 ack 的 `noteRecorded`(缺席 ≠ false)。
  *    🔴 方向纪律:reason/note 只做归因,绝不参与裁决;缺席 ⇒ 现状字节不变。
  */
-import { type GateCurrentPending, type HitlClientLike } from './hitlBridge.js';
+import { type GateCurrentPending, type HitlFailureStage, type HitlSafetyCode, type HitlClientLike } from './hitlBridge.js';
 import { RULE_OFFER_MATCHES, RULE_OFFER_BATCH_MEMBER_KINDS, RULE_OFFER_UNCOVERED_REASONS, RULE_OFFERS_ABSENCE_REASONS, DENIAL_LIMIT_KINDS } from '@sema-agent/sdk';
 import type { RuleSuggestion, ToolApprovalRespondAck, PersistedRuleAnchor as SdkPersistedRuleAnchor, RuleOfferMatch as SdkRuleOfferMatch, RuleOfferBatchMember as SdkRuleOfferBatchMember, RuleOfferUncoveredDetail as SdkRuleOfferUncoveredDetail, RuleOfferUncoveredReason as SdkRuleOfferUncoveredReason, AskOrigin as SdkAskOrigin, RuleOffersAbsence as SdkRuleOffersAbsence, DenialLimitKind as SdkDenialLimitKind, DenialLimitFallback as SdkDenialLimitFallback } from '@sema-agent/sdk';
 /** fs 写权限 gate 判定:未来的一等 kind(tool_approval)或按 toolName(server 桥首批=fs 写三件,
@@ -122,11 +122,43 @@ export type FsApprovalOutcome = {
  *     不是 stale 臂,四种情形在 wire 上同形(server 自己的 F 类留痕账逐字如此)。
  *  🔴 它**不参与任何裁决** —— 见 `GateCurrentPending` 顶注;消费方拿它当指路,不当放行凭据。
  *  🔴 **取件腿的 `no_pending` 恒不带这一位**:那一腿连 decide 都没发,谈不上「你决的那条过期了」。 */
+/** `errorCode`(0.60.0,上游候包件 ②;与 0.47.0 补 `currentPending` **同形**):这次失败的
+ *  **引擎机器码**,原样透传(`readWireErrorCode` 单源读口)。
+ *  🔴 **它与 {@link code} 是两个命名空间,绝不合并**:`code` 是**本包铸**的取件腿判别位(闭集,
+ *     今天只有 `no_pending`),本位是 **server/core 铸**的 wire 码(开集,`resume.preflight_rejected`
+ *     / `approval_stale` / …)。合成一个位会让消费点拿两种语义当一种用。
+ *  🔴 **为什么非补不可**:本类型把 typed 错**拍平成 `reason` 串**,于是只读 outcome 形的消费者
+ *     对机读码全盲,要分辨拒绝族只能去正则匹配那句拍平文案(里面嵌的是 `String(e)`,上游改一个
+ *     词就静默空转)。
+ *  🔴 **缺席不带语义**:取件腿的失败、卡口失败、以及抛出物身上根本没有码的传输类失败,三形同样
+ *     缺席 —— 缺席 ≠「不是引擎拒的」。
+ *  🔴 **只搬码,不搬正文**:错误正文可能含凭据/内部路径,照旧只进 `reason` 的既有拍平位,
+ *     不经本位外流。 */
+/** `stage`(0.60.0,异源对抗复审 [medium] 采纳:B-037 候包件 ② 的**完整**兑现):这次失败**停在
+ *  链条的哪一段**。四类失败此前在本形上不可分 —— 「取件那一拍没有可决行」「卡口没装」「引擎语义
+ *  拒绝」「出站瞬断耗尽」拍平之后**只剩一个 `reason` 串**,消费点要分流只能去正则匹配那句文案
+ *  (里面嵌的是 `String(e)`,上游改一个词就静默空转)。⇒ 本位是**必填**的:一个可选的阶段位等于
+ *  又留了一格「读不出就猜」。
+ *   · `fetch`  —— 取件腿(`findPendingForTask`)没给出可决行,或读面自己炸了;
+ *   · `input`  —— 行上没有可呈现的工具入参(卡渲不出来);
+ *   · `card`   —— 卡口那一段失败(没装卡口 / 卡口自己报失败);
+ *   · `decide` —— 决断已经发出去了(引擎语义拒绝、或出站瞬断耗尽)。
+ *  🔴 **只有 `decide` 这一段代表「引擎那一头知道这次决断」**——安全停(是否要重呈、能否重试)
+ *     的第一问就是它,而前三段一个字节都没送出去。 */
+/** `safetyCode`(0.60.0,同批):本包**自己**的安全停判别位({@link HitlSafetyCode} 闭五词)。
+ *  🔴 与 {@link errorCode}(server/core 铸的 **wire** 码,开集)、{@link code}(取件腿的闭集判别位)
+ *     是**三个命名空间**,绝不合并 —— 「本地拦下的」「引擎拒的」「这一拍没有行」是三件不同的事,
+ *     出路也不同(重呈 / 换参数或等 / 重探)。
+ *  🔴 与 ask 腿 `parkResolver.GateOutcome.failed.code` **同形同源**(那一腿早有这一位,fs 腿此前没有
+ *     —— 同形存量清剿:两件 hitl 文件一次改齐)。 */
  | {
     kind: 'failed';
+    stage: HitlFailureStage;
     gatedCallId?: string | undefined;
     reason: string;
     code?: 'no_pending' | undefined;
+    errorCode?: string | undefined;
+    safetyCode?: HitlSafetyCode | undefined;
     retryExhausted?: true;
     currentPending?: GateCurrentPending | undefined;
 };
@@ -809,8 +841,10 @@ export interface ToolApprovalFrame {
      *    反向不成立(安全类 ask 有别的出身)。
      * 🔴 **四成员全必填**(core 形上没有可选位):少一位不是「老 core」而是**坏值**,server 整键不铸,
      *    本包的窄读器 {@link readDenialLimitFallback} 同判 —— 绝不半铸一张让人误读计数的卡。
-     * 🔴 **`autoDenyAfterMs` 只用来渲倒计时**:窗的执行全在引擎(窗到即 deny 且盖
-     *    `settledBy:"timeout"` / `resolution:"window_expired"` / `tool_end.autoDenied:true`)。
+     * 🔴 **`autoDenyAfterMs` 只用来渲倒计时**:窗的执行全在引擎(窗到即 deny,并在 `tool_end.gate`
+     *    上盖 `settlement.kind:"denial_limit_window_expired"` —— engine ≥7.64.0 起这一个词就说完了
+     *    「是引擎的限额回落窗自己拒的」,不再需要旧形那三个键的合取;包面谓词
+     *    `isDenialLimitAutoDeniedGate`)。
      *    消费端**不得**据它自铸第二只定时器 —— 两只窗重叠比原缺陷更坏且静默(server/sdk 两侧同一条禁令)。
      *    `0` = 不武装(部署把旋钮关了,或 TOTAL 档的卡恒 0 等人)。
      * 🔴 **缺席不是断言**:绝大多数 ask 根本不是回落卡。

package/dist/hitl/toolApprovalWire.js

@@ -77,7 +77,13 @@
  *    静默截断);真落行与否看 ack 的 `noteRecorded`(缺席 ≠ false)。
  *    🔴 方向纪律:reason/note 只做归因,绝不参与裁决;缺席 ⇒ 现状字节不变。
  */
-import { DEFAULT_DENY_REASON, DecideTransportRetryExhaustedError, HitlBridge, HitlSafetyError, denyReasonForWire, findPendingForTask, readDecideCurrentPending, } from './hitlBridge.js';
+import { DEFAULT_DENY_REASON, DecideTransportRetryExhaustedError, HitlBridge, HitlSafetyError, denyReasonForWire, findPendingForTask, readDecideCurrentPending, readWireErrorCode, } from './hitlBridge.js';
+// B-042(0.60.0):取件身份闸与**行路由同源**的单一谓词。见 `surfaceFsApprovalAndDecide` 里的调用点注。
+// ⚠️ 这条 import 与 `frameRouter → toolApprovalWire` 构成一个 ESM 环(askParkRowRouting → frameRouter
+//    → 本文件)。环安全的判据不是「跑起来没炸」而是**结构**:三个模块在环上的顶层求值都只铸函数声明
+//    与字面量常量,没有任何一处在**模块体**里读另一模块的绑定(读全发生在函数体内,那时环早已闭合)。
+//    单例门与 portability 门各自盯着这条性质的一半;新增顶层 `const X = <另一模块的绑定>` 会破坏它。
+import { askParkRowArm } from './askParkRowRouting.js';
 import { hostLog } from '../host.js';
 import { createSessionSlot, DEFAULT_SESSION_KEY } from '../sessionSlot.js';
 import { readEngineActiveBgTasks } from '../fleet/fleetLedger.js';
@@ -215,7 +221,7 @@ export function surfaceApprovalCard(req) {
     const cardPort = approvalCardPortFor(DEFAULT_SESSION_KEY);
     if (cardPort === null) {
         bumpCardPortMiss(DEFAULT_SESSION_KEY);
-        return Promise.resolve({ kind: 'failed', reason: cardPortMissReason() });
+        return Promise.resolve({ kind: 'failed', stage: 'card', reason: cardPortMissReason() });
     }
     return cardPort(req);
 }
@@ -276,14 +282,24 @@ parkGatedCallId) {
     // 🔴 常驻判据不是「看得见 pending 这个实参」,是 pure 门那四条「approvals.list 全程恰好 1 次」——
     // 漏传一条腿,形状断言全绿而计数当场翻红(回炉车前的实况:只有 aborted 臂传了)。
     const found = await findPendingForTask(deps.client, taskId, (toolName) => toolName !== undefined && (toolNameIsFsWrite(toolName) || toolNameIsShellExec(toolName)), signal ? { signal } : undefined, parkGatedCallId, // 见本参数头注:身份在场 ⇒ 逐字命中优先于「同族第一行」;缺席/不命中 ⇒ 原两腿
-    // 身份腿的族闸走**整行**判据:本腿的族是 `isToolApprovalGate` 的**两条腿**(一等 kind 放行任意
-    // toolName + fs/shell 名字腿),而上面那个 `matches` 只有名字腿那半 —— 拿它当身份闸会把合法的
-    // kind-only 行判出局(五审 finding①)。gateKind = 行上的扁平投影,与 gate.kind 同一权威。
-    (row) => isToolApprovalGate({ kind: row.gateKind, toolName: row.toolName }));
+    // ── B-042 修根(0.60.0):身份闸与**行路由同源** ────────────────────────────────────────────
+    // 病形 = [paired-mechanisms-must-share-premise]:三端把一行**路由**进本臂用的是
+    // `askParkRowRouting.askParkRowArm`(kind ∈ ask 门族 ∧ 不是 ask 工具 ⇒ `tool-gate`),而这里的
+    // 身份闸此前是 `isToolApprovalGate`,只有两条腿(一等 `kind === 'tool_approval'` 放行任意
+    // toolName,或 fs 写 / shell 的**名字腿**)。于是 `gateKind:"irreversible_ask"` +
+    // 工具名不在 fs 三件 + Bash 里的行(MCP 远端工具 / WebFetch / NotebookEdit / agent 工具 …)
+    // **路由说「是我的」、取件说「不是」**:身份逐字命中却被族闸判出局 ⇒ `identityConflicts` 收紧
+    // 候选池 ⇒ 池空 ⇒ `no_pending` ⇒ 卡永远重开不了。内建 fs/Bash 行只是恰好走了名字腿才没中招。
+    // 🔴 修 = 让这一格读**同一只**谓词:`askParkRowArm(row) === 'tool-gate'`。名字腿**只留给**
+    //    上面那个 `matches`(它服务的是 leg 2「同族第一行」,那一腿本来就该按工具名挑)。
+    // 🔴 **不会顺手放宽到外族**:`findPendingForTask` 先用 `askParkForeignGateKind` 把
+    //    plan_review / resource_limit / 未来新词整族滤掉,本闸只在那批**可决行**里再分问答/工具两臂
+    //    —— 两道闸串联的语义与修前逐字相同,变的只是「工具臂认不认得非 fs/Bash 的工具名」。
+    (row) => askParkRowArm(row) === 'tool-gate');
     // #357:取件腿的结构化判别位原样透传(见 `FsApprovalOutcome.code` 头注)——「这一拍队列里没有
     // 本 run 的可决行」与「approvals.list 自身炸了」自此对消费点结构可分,不再靠文案子串猜。
     if (!found.ok)
-        return { kind: 'failed', reason: found.reason, ...(found.code !== undefined ? { code: found.code } : {}) };
+        return { kind: 'failed', stage: 'fetch', reason: found.reason, ...(found.code !== undefined ? { code: found.code } : {}) };
     const { pending, gatedCallId } = found;
     const toolName = typeof pending.toolName === 'string' ? pending.toolName : '';
     // 工具入参:优先流上 tool_start.args(完整、零额外语义);缺则 pending.input(service 已 redact+限长
@@ -292,7 +308,7 @@ parkGatedCallId) {
         pending.input ??
         {};
     if (typeof args !== 'object' || args === null) {
-        return { kind: 'failed', gatedCallId, reason: 'gate has no tool input payload' };
+        return { kind: 'failed', stage: 'input', gatedCallId, reason: 'gate has no tool input payload' };
     }
     const bridge = new HitlBridge(deps.client, taskId);
     // A-028.3:卡身份键经 gateIdentity 唯一铸口(呈现台账/壳侧重开腿同源,字面不再各铸各的)。
@@ -343,7 +359,7 @@ parkGatedCallId) {
     });
     switch (card.kind) {
         case 'failed':
-            return { kind: 'failed', gatedCallId, reason: card.reason };
+            return { kind: 'failed', stage: 'card', gatedCallId, reason: card.reason };
         case 'aborted':
             // turn 被中断(Esc/Ctrl+C):把挂着的 ask 用一次 **TOOL 级 deny** 结算掉(server
             // `ASSISTANT-WIRE-CONTRACT.md` §4a;0.42.0 撤稿 —— 原文写的是「cancel-by-deny(contract/04
@@ -399,13 +415,19 @@ parkGatedCallId) {
             catch (e) {
                 // #363:S-02 指路键原样透传(读不出 ⇒ 键不铸,形状逐字节不变)。见 FsApprovalOutcome 同名位。
                 const currentPending = readDecideCurrentPending(e);
+                // 0.60.0(候包件 ②):引擎机器码原样透传(单源 `readWireErrorCode`;读不出 ⇒ 键不铸)。
+                const wireCode = readWireErrorCode(e);
+                const safetyCode = e instanceof HitlSafetyError ? e.code : undefined;
                 return {
                     kind: 'failed',
+                    stage: 'decide',
                     gatedCallId,
                     reason: `decide(approve) failed: ${String(e)}`,
                     // Inkglow-1085 P0a:瞬断耗尽的判别位(在场即真)—— 语义失败缺席,reason 字节不变。
                     ...(e instanceof DecideTransportRetryExhaustedError ? { retryExhausted: true } : {}),
                     ...(currentPending !== undefined ? { currentPending } : {}),
+                    ...(wireCode !== undefined ? { errorCode: wireCode } : {}),
+                    ...(safetyCode !== undefined ? { safetyCode } : {}),
                 };
             }
         case 'deny':
@@ -420,12 +442,17 @@ parkGatedCallId) {
             catch (e) {
                 // #363:与 allow 臂**同形同源**(同形存量清剿:两条 decide 失败腿一次改齐,不许只修当格)。
                 const currentPending = readDecideCurrentPending(e);
+                const wireCode = readWireErrorCode(e);
+                const safetyCode = e instanceof HitlSafetyError ? e.code : undefined;
                 return {
                     kind: 'failed',
+                    stage: 'decide',
                     gatedCallId,
                     reason: `decide(deny) failed: ${String(e)}`,
                     ...(e instanceof DecideTransportRetryExhaustedError ? { retryExhausted: true } : {}),
                     ...(currentPending !== undefined ? { currentPending } : {}),
+                    ...(wireCode !== undefined ? { errorCode: wireCode } : {}),
+                    ...(safetyCode !== undefined ? { safetyCode } : {}),
                 };
             }
     }

package/dist/index.d.ts

@@ -149,6 +149,10 @@ export * from './engineInlineTaskStats.js';
 export * from './printToolResultFrame.js';
 export * from './engineCapsCache.js';
 export * from './sqlEngineCapability.js';
+export * from './writeProtectionCapability.js';
+export * from './runTerminal.js';
+export * from './readFacePosture.js';
+export * from './gateOutcome.js';
 export * from './engineToolLabelStore.js';
 export * from './fleetTaskDesc.js';
 export type * from './types/engineState.js';

package/dist/index.js

@@ -162,6 +162,18 @@ export * from './printToolResultFrame.js';
 export * from './engineCapsCache.js';
 // S-131(0.59.0):`Capabilities.sql` 的四态窄读器 —— 壳侧那份逐字上收(导出名同名 = drift-lock)。
 export * from './sqlEngineCapability.js';
+// S-138(0.60.0;engine ≥7.63.0 / sdk 8.4.0):`Capabilities.writeProtection` 的四态窄读器 +
+// operator 面 `diagnostics.wiring.writeProtection` 的行表投影。与 `sqlEngineCapability` 同构同纪律
+// (四态词汇 / tee+换代失效口 / 唯一措辞铸点),端零自铸 —— 壳的 doctor 两处留位由它填。
+export * from './writeProtectionCapability.js';
+// 0.60.0(engine ≥7.64.0 / sdk 8.4.0):终局因由与门记录两只**判定归包**的读器。
+export * from './runTerminal.js';
+// 0.61.0(engine ≥7.65.0 / sdk 8.5.0 / S-167):READ 容纳面档位 + 来源的 operator 面窄读器
+// (`WiringDiagnostics.readFace`)。与 `writeProtectionCapability` / `gateOutcome` 同构同纪律
+// (防御读 / 唯一措辞铸点 / UNTRUSTED-for-display);与租户面 `capabilities.readFace` 刻意不合流,
+// 只带一个纯比较函数,渲染归端。
+export * from './readFacePosture.js';
+export * from './gateOutcome.js';
 export * from './engineToolLabelStore.js';
 export * from './fleetTaskDesc.js';
 // ── B2 批:通知族合并 / caps-wire 门族 / 模型面纯逻辑 / control 路由(2026-07-27)──────────────

package/dist/printToolResultFrame.d.ts

@@ -60,7 +60,7 @@ export interface ToolEndResultArmLike {
     truncated?: unknown;
     /**
      * 这次调用失败的**机器码**(开集;`eventToSdkMessage` 的 `case 'tool_end'` 臂原样上臂,宿主从
-     * 臂上直读 —— 与 {@link settledBy}/{@link approver} 同款「臂带、卡不带」姿势)。已知族:中断
+     * 臂上直读 —— 与 {@link gate}/{@link delivered} 同款「臂带、卡不带」姿势)。已知族:中断
      * 合成收口两码(`interrupted_never_started` / `interrupted_outcome_unknown`,core 5.10.0)、
      * 委派席位到限两码(`delegation.*`)与 `mcp.server_revoked`(两族 core ≥5.50.0 孪生拼法起才
      * 真到达 —— 更旧引擎恒缺席,缺席≠没拒过)。词表与判定单源 `engineErrorCodes.ts`
@@ -68,61 +68,46 @@ export interface ToolEndResultArmLike {
      */
     errorCode?: unknown;
     /**
-     * 这次调用**是怎么结算的**(core ≥5.18.1 #187;`human`/`timeout`/`aborted` + 开集读)与
-     * **是谁结算的**(core ≥5.35.0 design/252 G-7 / server ≥7.23.0 #263;审批通道自报的身份串,
-     * 无词表)。#263 半场(0.30.8)起由 `eventToSdkMessage` 的 `case 'tool_end'` 臂原样透传到本臂,
-     * 宿主据此把结算归属渲到工具卡/审计面。
+     * 这次调用**整条门记录**(0.60.0 / engine ≥7.64.0 / sdk 8.4.0)—— `eventToSdkMessage` 的
+     * `case 'tool_end'` 臂经包内单源窄读器 `gateOutcomeOf` 铸出后原样上臂,宿主据此把处置/结算归属
+     * 渲到工具卡与审计面。
      *
-     * 🔴 两键**合读**:`settledBy` 说这次收场是哪一种,`approver` 说是谁的 —— `settledBy:"timeout"`
-     * 带 approver 时,名字指的是**超时的那条队列**,不是拒绝的人。
-     * 🔴 **缺席不带语义,不许反推**:`settledBy` 缺席既不等于 `human` 也不等于「没走审批」(旧引擎 /
-     * 姿态臂故意不填,两源同形);`approver` 缺席 = 通道没报名字,永不意味「没人批」也永不意味
-     * 「有人批」。判这次运行的命运读 run 行 / checkpoint 面。
-     * 🔴 `approver` 是 **UNTRUSTED-for-display**:转录不是认证(core 只筛形不鉴别不比对不回读),
-     * 可信度 = 那条审批通道的可信度;只渲染,绝不回喂模型/工具入参,更不许当鉴权判据。
-     * 🔴 本形是**防御性读形**(全员 `unknown`):`settledBy` 的类型面虽是三词闭集,但词表属主是引擎,
-     * 消费方必须**分支已知值 + 永远带 default**,绝不写无 default 的穷举 switch。
+     * 它取代了退役的四个正交词 `settledBy` / `resolution` / `autoDenied` / `approver`
+     * (**四键全删,无 alias**);那四个词的配对规则只活在注释里,消费端要靠**缺席**推语义。现在是
+     * 一条记录:`disposition`(放行 / 被哪一**层**拒)+ `settlement?`(这次消费掉的等待怎么结束的)
+     * + `origin?`(谁问的),后两位**同在同缺**。
+     *
+     * 🔴 **判定归包,别在宿主自拼**:「这次是不是审批窗自己走完的拒绝」「是不是引擎的限额回落窗
+     *    自动拒的」两问各有一个包面谓词(`isApprovalWindowExpiredGate` / `isDenialLimitAutoDeniedGate`)
+     *    —— 旧形上这个判定是端各自拼的两键合取,而拼错的方式有好几种且错法静默。
+     * 🔴 **缺席不带语义,不许反推**:上游逐字列了四种在 wire 上不可分辨的成因(门没看见这次调用 /
+     *    延后重发 / reconcile 捡回的孤儿 / 记录过不了引擎的筛而 server 整条不投)⇒ 一律退回
+     *    `isError` + 文案。
+     *    ⚠️ **第五种成因有可读标记**(engine 7.64.0 真机黑盒 + server 认定为契约设计):审批窗走完
+     *    未决而走 **park** 路径时,本臂上没有 `gate`、只有 {@link errorCode} `"gate.parked"`。宿主判
+     *    「这次调用没在这里结算」必须**两形合读**(`isApprovalWindowExpiredGate` ∪
+     *    `isGateParkedToolEnd`);两形语义不同 —— 前者「窗走完拒了」,后者「park 了还没人决」。
+     * 🔴 **UNTRUSTED-for-display**:`settlement.who.approver`(通道自报的身份串)与 `settlement.note`
+     *    (拒批人自写)只渲染,绝不回喂模型/工具入参,更不许当鉴权判据 —— 转录不是认证。
+     * 🔴 本形是**防御性读形**(`unknown`):词表属主是引擎,消费方分支已知值 + 永远带 `default`。
      */
-    settledBy?: unknown;
-    /** 见 {@link settledBy} —— 两键同批同源(#263 半场,0.30.8),合读、缺席不反推、转录不是认证。 */
-    approver?: unknown;
+    gate?: unknown;
     /**
-     * 这次 deny **是哪一条拒绝臂**(core ≥5.35 `AskDenyResolution`;A-D2 半场,0.42.0)——
-     * `human_refused` / `window_expired` / `no_approver` / `blanket_allow_refused` /
-     * `approver_unavailable` / `task_aborted` / `presentation_failed` / `approver_error` /
-     * `approver_contract`。
+     * 这次 **MCP** 失败**到没到那台服务器**(core ≥7.6.0 S6-B;`yes` / `no` / `unknown` + 开集读)。
      *
-     * 🔴 与 {@link settledBy} **合读而不互替**:settledBy 只说「这次等待是哪一**种**收场」,本位
-     * 分类的是**拒绝臂本身**。单锚 settledBy 会把「审批方违约」(approver 回了契约外的东西)
-     * 那一臂一起误收进「窗口走完了」。
-     * 🔴 **判据用正面匹配,不用「不等于」**(异源复审 [medium] 采纳,0.42.0):要判「审批窗口自己
-     * 走完了」,写 `settledBy === 'timeout' && resolution === 'window_expired'`。
-     * **绝不**写 `resolution !== 'approver_contract'` —— 那个不等式对**缺席**(旧引擎不发这一位)和
-     * 对**任何未来新码**都为真,于是「不知道是怎么拒的」会被折成「窗口自然结束」,正是本位存在要防的
-     * 那件事;两条正交轴在那种写法里被一个否定比较替代掉了。缺席与未知值一律进 `default` 分支。
-     * 🔴 **缺席不带语义,不许反推**:每一次真执行了的调用、每一次 policy/hook 直拒、以及
-     * durable/decide 腿的结算都不带这一位;缺席 ≠「不是拒绝」也 ≠「人拒的」。
-     * 🔴 本形同样是**防御性读形**(`unknown`):九词是引擎的闭集,消费方分支已知值 + 永远带 default。
+     * 🔴 与 {@link errorCode} **合读**才有意义:同一个 `connection_closed`,`no` 可以直接重试
+     *    (什么都没发出去)、`unknown` 必须先去查(请求**可能**已经执行了)——带写副作用的工具在
+     *    `unknown` 上必须先核实再重试。
+     * 🔴 **缺席不带语义**:每一次执行成功的调用、每一次非 MCP 失败都不带它。
+     * ⚠️ `no` 说的是**调用方的工具调用**没发出去,**不**保证「那台服务器一个字节都没收到」。
      */
-    resolution?: unknown;
+    delivered?: unknown;
     /**
-     * 这次 deny 是**引擎的窗自己拒的**(S-125⑧,0.59.0;core 7.4.0 auto 模式分类器的限额回落窗 →
-     * server ≥7.57.0 `tool_end.autoDenied`)。`eventToSdkMessage` 的 `case 'tool_end'` 臂**严格
-     * `true` 才上臂**,与 {@link settledBy}/{@link approver}/{@link resolution} 同款「臂带、卡不带」。
-     *
-     * 🔴 **它答的是既有两键答不了的那一问**:`settledBy:"timeout"` 与 `resolution:"window_expired"`
-     * 覆盖**一切**审批窗到期(普通 ask 的 TTL 也在内),分不出「这一次到期是**自动拒**收的场」还是
-     * 「park 了等人」。要渲「自动拒(限额回落)」而不是「已转后台候批」,判据只有这一位。
-     * 🔴 **缺席不带语义,不许反推**:缺席同时覆盖「不是自动拒」「老引擎(<7.57.0)不报」「这次根本
-     * 没走审批」三形 ⇒ **禁**读成「是人拒的」。
-     * 🔴 **机读位是二值的**:`true` 才有意义,「在场但不是 true」没有语义 —— 消费端同样只认严格 `true`。
-     * 🔴 **不据它自铸第二只定时器/第二张资格表**:窗的执行全在引擎(上游
-     * `tool_approval.denialLimitFallback` 顶注的同一条禁令),本位是**事后**的判别位。
-     * ⇄ 卡面那一侧的孪生位 = `ApprovalCardRequest.denialLimitFallback`(带触限计数与窗),两者是
-     * 同一件事的**事前 / 事后**两个面:卡上告诉人「再拒就到限额了,这一次必须你来批」,本位告诉人
-     * 「那张卡的窗走完了,引擎替你拒了」。
+     * 耐久 park 正扣着**哪一个** tool call 的 id(core ≥5.55.0 #333)。引擎从已提交 checkpoint 的
+     * pendingAction 直读(**禁由工具自报**)。tool-less park(resource_limit / plan_review / task_done)
+     * 上**整键缺席**,契约逐字 "ABSENT, never guessed" —— 缺席不铸键、也不猜。
      */
-    autoDenied?: unknown;
+    gatedCallId?: unknown;
     parentToolCallId?: unknown;
     uuid?: unknown;
     session_id?: unknown;

package/dist/readFacePosture.d.ts

@@ -0,0 +1,53 @@
+/**
+ * operator 面读数(sdk `ReadFacePosture` 的防御读视图;结构逐字同源,见文件尾编译期对账钉)。
+ */
+export interface ReadFacePostureView {
+    /** 这台部署此刻的生效档。`null` = 没钉,引擎默认接管——与租户面同一份产物、同一句「没钉」。 */
+    face: 'open' | 'roots' | null;
+    /** 这一档是谁定的。server 闭四词(`env` / `center` / `posture` / `engine-default`),**按开集读**
+     *  ——server 闭集之外的值原样透传,不窄读成枚举(那会在 server 加词当天把一个合法读数判没)。 */
+    source: string;
+    /** 给运维的指路句。UNTRUSTED-for-display:呈前消毒 + 封长,见 {@link readFacePostureDetail}。 */
+    note: string;
+}
+/**
+ * `wiring.readFace` → 读数;**畸形一律 `undefined`**,绝不抛出。
+ *
+ * 🔴 整键缺席(老 worker,server <7.65.0)与在场但形坏,消费端拿到的都是同一个 `undefined` ——
+ *    两者对端说的是同一句话(「这一面这一次答不出来」)。「为什么答不出来」不是这一位该回答的,
+ *    是调用方自己知道的事(它有没有拿到 operator 响应;见 {@link readFacePostureDetail} 的
+ *    `opts.reachable` 参数,那条信息只能由调用方——不是本读器——提供)。
+ * ⚠️ `face` 只认三态字面量(闭集,坏词一律判畸形);`source` 非空串即收(开集,理由见上);`note`
+ *    允许空串(它是自由文本,空文本本身也是一句读数,不是「读不出」)。
+ */
+export declare function projectReadFacePosture(wiring: unknown): ReadFacePostureView | undefined;
+/**
+ * 三态措辞的**唯一铸点**(三端共用一句话;别在各端的行装配里另写一遍——与
+ * `writeProtectionDoctorDetail` / `sqlEngineDoctorDetail` 同一条纪律)。
+ *
+ * 🔴 三句刻意逐字互异(黑盒锚):
+ *   ① `view` 在场 —— `read face <open|roots|not pinned> (source: <source> — <note>)`;
+ *   ② `opts.reachable === false` —— 「未观测」:这次进程没读到 operator 响应,与「这台部署没有
+ *      READ 档」是两件事,消费端不许把它读成后者;
+ *   ③ `reachable:true` 但 `view` 仍缺席 —— 「不报」:响应读到了,只是这一位读不出来。
+ *      🔴 **不武断咎为版本**:`projectReadFacePosture` 把「整键缺席(老引擎,<7.65.0)」与
+ *      「在场但形坏(≥7.65.0 的引擎送出一个本读器解不出来的响应)」折成同一个 `undefined`
+ *      (见该函数顶注),句子因此**不能**替其中一种情形撒谎——「需要更新引擎」对第二种情形是一句
+ *      误导故障排查的假话。措辞同时点出两种成因,不擅自替调用方选一种。
+ */
+export declare function readFacePostureDetail(view: ReadFacePostureView | undefined, opts: {
+    reachable: boolean;
+}): string;
+/**
+ * 租户面 `capabilities.readFace` 与本面 `posture.face` 分歧时的一句话;**只答分歧,不答一致**
+ * ——一致不是新闻(两位的在场时点天然不同源,「相符」证不了什么也不该被渲成保证),本函数只在
+ * 两者**确实不同**时才开口。
+ *
+ * 🔴 两个入参**任一**答不出来 ⇒ `undefined`(诚实缺席,不是「没有分歧」——见不到两位就判不了):
+ *    `posture === undefined`(operator 面这一次读不到,见 {@link projectReadFacePosture})或
+ *    `capFace` 既不是三态字面量也不是任意字符串(租户面那一位整键缺席时调用方会传 `undefined`,
+ *    这里按同一条闸处理,不单独分支)。
+ * 🔴 `capFace` 按**开集**读,与租户面型面同宽:除 `open`/`roots`/`null` 外的任意字符串仍当一个
+ *    **能判别的词**收(不是「读不懂」),因为 sdk 的租户面型面本就留了同一个 `(string & {})` 逃生口。
+ */
+export declare function readFaceDisagreement(capFace: unknown, posture: ReadFacePostureView | undefined): string | undefined;

package/dist/readFacePosture.js

@@ -0,0 +1,120 @@
+import { escapeDisplayControlChars } from './fleetTaskDesc.js';
+/** `note` 上屏前的封长(UTF-16 单元,按**转义后**的字节数算——见 {@link capForDisplay})。它是
+ *  一句人话不是一个词,给得比 source/face 宽。 */
+const READ_FACE_NOTE_MAX = 256;
+/** `source` / 分歧句里词形的封长(与本包其余 detail 铸点同值同理由;同样按转义后字节数算)。 */
+const READ_FACE_WORD_MAX = 40;
+/**
+ * UNTRUSTED-for-display 呈前处理:**先转义、后按转义结果封长**——顺序反过来会让预算失守
+ * (`escapeDisplayControlChars` 把每个不可见字符改写成 6 字符的 `\uXXXX`,截长在前会把一段纯
+ * 控制字符的原文送成六倍长的显示串;文件头注有完整推导)。
+ *
+ * 封长点额外避开两种会留下断裂片段的位置:
+ *   · 一枚 `escapeDisplayControlChars` 铸出的 `\uXXXX` token 中间(留半截 `\u00` 比整枚不渲更坏 ——
+ *     它看起来像一个完整答案的开头);
+ *   · 一对合法代理对(如 emoji)中间——`DISPLAY_UNSAFE` 只转义**孤**代理项,合法对被放行原样透传,
+ *     在这里截断会人为地把它拆成一枚裸高位代理项留在末尾。
+ */
+function capForDisplay(raw, max) {
+    const escaped = escapeDisplayControlChars(raw);
+    if (escaped.length <= max)
+        return escaped;
+    let cut = max;
+    const tokenStart = escaped.lastIndexOf('\\', cut - 1);
+    if (tokenStart >= 0 && tokenStart + 6 > cut && /^\\u[0-9A-F]{4}$/.test(escaped.slice(tokenStart, tokenStart + 6))) {
+        cut = tokenStart;
+    }
+    if (cut > 0) {
+        const code = escaped.charCodeAt(cut - 1);
+        if (code >= 0xd800 && code <= 0xdbff)
+            cut -= 1;
+    }
+    return escaped.slice(0, cut);
+}
+/**
+ * `wiring.readFace` → 读数;**畸形一律 `undefined`**,绝不抛出。
+ *
+ * 🔴 整键缺席(老 worker,server <7.65.0)与在场但形坏,消费端拿到的都是同一个 `undefined` ——
+ *    两者对端说的是同一句话(「这一面这一次答不出来」)。「为什么答不出来」不是这一位该回答的,
+ *    是调用方自己知道的事(它有没有拿到 operator 响应;见 {@link readFacePostureDetail} 的
+ *    `opts.reachable` 参数,那条信息只能由调用方——不是本读器——提供)。
+ * ⚠️ `face` 只认三态字面量(闭集,坏词一律判畸形);`source` 非空串即收(开集,理由见上);`note`
+ *    允许空串(它是自由文本,空文本本身也是一句读数,不是「读不出」)。
+ */
+export function projectReadFacePosture(wiring) {
+    if (typeof wiring !== 'object' || wiring === null || Array.isArray(wiring))
+        return undefined;
+    if (!('readFace' in wiring))
+        return undefined;
+    const rf = wiring.readFace;
+    if (typeof rf !== 'object' || rf === null || Array.isArray(rf))
+        return undefined;
+    const r = rf;
+    if (r.face !== 'open' && r.face !== 'roots' && r.face !== null)
+        return undefined;
+    if (typeof r.source !== 'string' || r.source.length === 0)
+        return undefined;
+    if (typeof r.note !== 'string')
+        return undefined;
+    return { face: r.face, source: r.source, note: r.note };
+}
+/**
+ * 三态措辞的**唯一铸点**(三端共用一句话;别在各端的行装配里另写一遍——与
+ * `writeProtectionDoctorDetail` / `sqlEngineDoctorDetail` 同一条纪律)。
+ *
+ * 🔴 三句刻意逐字互异(黑盒锚):
+ *   ① `view` 在场 —— `read face <open|roots|not pinned> (source: <source> — <note>)`;
+ *   ② `opts.reachable === false` —— 「未观测」:这次进程没读到 operator 响应,与「这台部署没有
+ *      READ 档」是两件事,消费端不许把它读成后者;
+ *   ③ `reachable:true` 但 `view` 仍缺席 —— 「不报」:响应读到了,只是这一位读不出来。
+ *      🔴 **不武断咎为版本**:`projectReadFacePosture` 把「整键缺席(老引擎,<7.65.0)」与
+ *      「在场但形坏(≥7.65.0 的引擎送出一个本读器解不出来的响应)」折成同一个 `undefined`
+ *      (见该函数顶注),句子因此**不能**替其中一种情形撒谎——「需要更新引擎」对第二种情形是一句
+ *      误导故障排查的假话。措辞同时点出两种成因,不擅自替调用方选一种。
+ */
+export function readFacePostureDetail(view, opts) {
+    if (view !== undefined) {
+        const faceWord = view.face === null ? 'not pinned' : view.face;
+        const source = capForDisplay(view.source, READ_FACE_WORD_MAX);
+        const note = capForDisplay(view.note, READ_FACE_NOTE_MAX);
+        return note.length > 0
+            ? `read face ${faceWord} (source: ${source} — ${note})`
+            : `read face ${faceWord} (source: ${source})`;
+    }
+    if (!opts.reachable) {
+        return "read face not observed (this end could not read the engine's diagnostics)";
+    }
+    return 'read face not reported by this engine (an engine below 7.65.0, or a response this end could not parse)';
+}
+/**
+ * 租户面 `capabilities.readFace` 与本面 `posture.face` 分歧时的一句话;**只答分歧,不答一致**
+ * ——一致不是新闻(两位的在场时点天然不同源,「相符」证不了什么也不该被渲成保证),本函数只在
+ * 两者**确实不同**时才开口。
+ *
+ * 🔴 两个入参**任一**答不出来 ⇒ `undefined`(诚实缺席,不是「没有分歧」——见不到两位就判不了):
+ *    `posture === undefined`(operator 面这一次读不到,见 {@link projectReadFacePosture})或
+ *    `capFace` 既不是三态字面量也不是任意字符串(租户面那一位整键缺席时调用方会传 `undefined`,
+ *    这里按同一条闸处理,不单独分支)。
+ * 🔴 `capFace` 按**开集**读,与租户面型面同宽:除 `open`/`roots`/`null` 外的任意字符串仍当一个
+ *    **能判别的词**收(不是「读不懂」),因为 sdk 的租户面型面本就留了同一个 `(string & {})` 逃生口。
+ */
+export function readFaceDisagreement(capFace, posture) {
+    if (posture === undefined)
+        return undefined;
+    if (capFace !== null && typeof capFace !== 'string')
+        return undefined;
+    if (capFace === posture.face)
+        return undefined;
+    const capWord = capFace === null ? 'not pinned' : capForDisplay(capFace, READ_FACE_WORD_MAX);
+    const wireWord = posture.face === null ? 'not pinned' : posture.face;
+    return `capabilities says ${capWord}, wiring says ${wireWord}`;
+}
+/**
+ * **编译期对账钉**(不出公面):sdk 的 `ReadFacePosture` 必须能赋给本视图 —— 这是本包 sdk 地板抬到
+ * 8.5.0 的直接理由:<8.5.0 上这个名字根本不存在,`tsc` 报「没有导出成员」。
+ *
+ * 🔴 反向**刻意不钉**(本视图不必能赋给 sdk 形):`source` 在本视图上放宽成任意 `string`(开集读,
+ * 见字段注),那是**故意比铸点宽**——窄读域只许等于或宽于铸点域,钉反向会把这条纪律反过来判成错。
+ */
+const _readFacePostureShapePin = (w) => w;
+void _readFacePostureShapePin;

package/dist/resumeRefusalCopy.d.ts

@@ -50,9 +50,17 @@ export declare function resumeRefusalFromError(err: unknown): ResumeRefusalDetai
  *
  * 🔴 第三句由 {@link ResumeRefusalDetail.waitable} 选,**不由 message 文本选**:按上游散文分支
  *    正是「上游改一个词、壳的判定静默空转」的形(wire 锚契约门要挡的就是它)。
- * 🔴 `preflight_rejected` 且 `waitable === false` 时说的是**两条臂都为真**的那句(cli 1.0.x 的现行
- *    文案逐字),把「还能不能再赎」交给屏上那行引擎原文;`waitable === true` 时 server 真给了窗
- *    ——那是 `retry_later` 臂的**充分证据**(core 的 `terminal` 臂抛的 `CheckpointError` 一个
- *    detail 都不带,窗结构上到不了客户端)⇒ 可以放心说「障碍清掉之后这个 token 还能再赎」。
+ * 🔴 `preflight_rejected` 且 `waitable === false` 时说的是**两条臂都为真**的那句;`waitable === true`
+ *    时 server 真给了窗 ——那是 `retry_later` 臂的**充分证据**(core 的 `terminal` 臂抛的
+ *    `CheckpointError` 一个 detail 都不带,窗结构上到不了客户端)⇒ 可以放心说「障碍清掉之后这个
+ *    token 还能再赎」。
+ *
+ * 🔴 **三句每一句都必须自足**(0.60.0 修;上游候包件 ①):无窗那一句此前写的是「The engine line
+ *    above says whether this token can still be redeemed」—— 它把答案**外包给了屏上另一行**,而
+ *    那一行只有 **turn 级**报错路径才有。同一份文案在**决断路径**(审批卡 decide 的 409)上也照发,
+ *    那条路上引擎原文按凭证纪律**根本不上屏** ⇒ 用户读到的是一句指向不存在的东西的指路话。
+ *    ⇒ 措辞改成只陈述**本读面自己知道的事实**(「引擎没给窗,所以这次拒绝没说它还能不能再赎」),
+ *    在两条路上都为真。**不是**把那句话删掉换成沉默:「不知道」本身就是用户要的答案之一
+ *    ([honest-absence-not-fabricated-zero])。
  */
 export declare function resumeRefusalContent(detail: ResumeRefusalDetail): string;

package/dist/resumeRefusalCopy.js

@@ -93,10 +93,18 @@ export function resumeRefusalFromError(err) {
  *
  * 🔴 第三句由 {@link ResumeRefusalDetail.waitable} 选,**不由 message 文本选**:按上游散文分支
  *    正是「上游改一个词、壳的判定静默空转」的形(wire 锚契约门要挡的就是它)。
- * 🔴 `preflight_rejected` 且 `waitable === false` 时说的是**两条臂都为真**的那句(cli 1.0.x 的现行
- *    文案逐字),把「还能不能再赎」交给屏上那行引擎原文;`waitable === true` 时 server 真给了窗
- *    ——那是 `retry_later` 臂的**充分证据**(core 的 `terminal` 臂抛的 `CheckpointError` 一个
- *    detail 都不带,窗结构上到不了客户端)⇒ 可以放心说「障碍清掉之后这个 token 还能再赎」。
+ * 🔴 `preflight_rejected` 且 `waitable === false` 时说的是**两条臂都为真**的那句;`waitable === true`
+ *    时 server 真给了窗 ——那是 `retry_later` 臂的**充分证据**(core 的 `terminal` 臂抛的
+ *    `CheckpointError` 一个 detail 都不带,窗结构上到不了客户端)⇒ 可以放心说「障碍清掉之后这个
+ *    token 还能再赎」。
+ *
+ * 🔴 **三句每一句都必须自足**(0.60.0 修;上游候包件 ①):无窗那一句此前写的是「The engine line
+ *    above says whether this token can still be redeemed」—— 它把答案**外包给了屏上另一行**,而
+ *    那一行只有 **turn 级**报错路径才有。同一份文案在**决断路径**(审批卡 decide 的 409)上也照发,
+ *    那条路上引擎原文按凭证纪律**根本不上屏** ⇒ 用户读到的是一句指向不存在的东西的指路话。
+ *    ⇒ 措辞改成只陈述**本读面自己知道的事实**(「引擎没给窗,所以这次拒绝没说它还能不能再赎」),
+ *    在两条路上都为真。**不是**把那句话删掉换成沉默:「不知道」本身就是用户要的答案之一
+ *    ([honest-absence-not-fabricated-zero])。
  */
 export function resumeRefusalContent(detail) {
     const parts = [];
@@ -110,6 +118,8 @@ export function resumeRefusalContent(detail) {
     parts.push('The refusal happened before the commit — your decision was not consumed');
     parts.push(detail.waitable
         ? 'The engine supplied a wait, so this token stays redeemable once the obstacle clears'
-        : 'The engine line above says whether this token can still be redeemed');
+        : // 🔴 自足措辞(见函数顶注):只说本读面知道的事 —— 引擎没给窗,所以这次拒绝**没有**表态
+            // 这个 token 还能不能再赎。绝不指向「上面那一行」(决断路径上没有那一行)。
+            'The engine supplied no wait, so this refusal does not say whether the token stays redeemable');
     return parts.join(' · ');
 }