@sema-agent/client-core 0.77.1 → 0.78.0

package/dist/fleet/fleetLedger.d.ts

@@ -1,318 +1,73 @@
-/**
- * ⇄ B6 批搬迁(2026-07-27,设计稿 §3 B6 + §2.5 拆缝表):cli `src/sema/fleetClient.ts` 的
- *    **帧消费半场** —— `applyFrame` 的帧体 upsert + own/foreign 判别 + `recordOwnEngineRun` /
- *    `recordBgParentRun` / `recordBgTerminalFacts` 台账三写 + `retained` 终态留存池 + 帧间时钟
- *    补偿 + 模块级 bg 读面(`readEngineActiveBgTasks` / `isFleetSessionScoped`)。
- *
- * 留在 TUI(设计稿 §2.4.2-B):`AgentClient` 构造与 consume/重连循环 · `main` 合成行 ·
- * `selection` 游标 · `viewed` 的所有者(AppState)· `SEMA_DEBUG_FILE` 行字段落盘探针 ·
- * hook_notice 的**写 store** 半场(判定在 notifications.ts,本文件只做分发)。
- *
- * ── B6 三处删债(每条都有直证,不是「看起来能删」)──────────────────────────────────────────
- *
- * 🔴 **P1-4 / `makeSessionScopingFetch` 退役**:壳里为了给 fleet 流塞 `?session=` 注了一个自定义
- *   `fetch`(fleetClient.ts:201-227,注入点 :604)—— 归属过滤是最不该留在端上的东西。SDK 0.0.117
- *   `fleet.stream({ session })` / `fleet.snapshot({ session })` 已是一等参数(`resources/fleet.d.ts`
- *   实读),本包出 `fleetStreamOptions()` 直接给出那个参数,**壳侧删掉整个 fetch 包装器**。
- *
- * 🔴 **G12 / `rowSessionTag` 整条删(比任务书说的更彻底,附直证)**:任务书写「ownerSessionId /
- *   rootSessionId 防御读删」。实测 server **1.291.0** `dist/http/server.js` 的 `streamFleet`:
- *   ```js
- *   const stripT = (r) => { const { scope: _s, sessionId: _sid, ...rest } = r; … }
- *   const stripW = (r) => { const { scope: _s, sessionId: _sid, ...rest } = r; … }
- *   ```
- *   ⇒ task/workflow **行**上 `scope` 与 `sessionId` **双双被剥**,而 `rootSessionId`/`ownerSessionId`
- *   在 `FleetTaskRow`/`FleetWorkflowRow` 里**从来就不存在**(server 自己的 `fleet-bus.d.ts` 实读)。
- *   ⇒ `rowSessionTag(row)` 三个键**全部恒 undefined**,整条腿是死的 —— 不是「删两个键留一个」。
- *   后果方向核过:这条腿在 `ownTaskRow` 里是**放行**位(命中即判 own),死 ⇒ 从不放行 ⇒ 删掉
- *   **零可观测差异**(其余两腿:祖链 own-run 台账 / `sessionScoped` 让位,原样保留)。
- *   ⚠️ 对照:`bg_notification` 帧上 server 只剥 `ownerScope`/`ownerSessionId`,**`rootSessionId`
- *   与 `sessionId` 照发** ⇒ 通知臂的 `ownByRoot` 那条腿**是活的,保留**。同一个名字两条腿、
- *   一死一活 —— 这正是「判据锚在决定结果的量上」要求逐条核而不是按名字一刀切的地方。
- *
- * 🔴 **G19 / 一次性快照**:`fleet.snapshot({session})` 已是 SDK 一等 verb(开流→取 snapshot 帧→
- *   关流封装),壳的 `engineBgProbe.ts:8-9` 自述「引擎 fleet 面只有 SSE,没有一次性口」已过期。
- *   本包出 `fleetSnapshotOptions()`;`engineBgProbe` 的手抄开流即断由壳侧换 verb(见交接报告)。
- *
- * ── design/285(P-31 正位解,批 0+1)—— per-stream ingress + epoch ──────────────────────────────
- * `fleetStreamOptions()` / `fleetSnapshotOptions()` 是 **module 级、只认默认槽会话**的形,对单会话
- * 宿主(cli 及今天的三端)**正确**,原样保留。keyed 多会话宿主不给它们加 `*For` 兄弟 —— 一个
- * module 级 keyed helper 与 ledger 的绑定状态**互不可见**,会造出两条互斥的假象(用 B 参数开了 B 流
- * 而 ledger 显示未绑定 / 调了 helper 却把返回值丢掉而 ledger 显示已绑定):它测的是「你调了哪个
- * helper」,不是「流是按哪个 key 开的」。
- * ⇒ **keyed 开流参数的唯一正身 = `ledger.issueStream()` 发的 ingress**:它在开流那一刻**一次性捕获**
- *   `{sessionKey, session, epoch}` 并且**帧只能经它进入 ledger**,于是「绑定」不再是一句声明,而是
- *   帧真正走过的那条通道。重连 = 新 ingress + epoch+1,旧 ingress 的迟到帧丢弃并计数
- *   (`droppedStaleIngress`)—— 结构性堵死「{旧 runId, 新 session}」这类错组合。
- *   snapshot 走**独立 ingress**,绝不改写 stream 锚。
- * 🔴 本设计**挡不住**宿主把 A 会话的流喂进 B 的 ingress —— 所以可信谓词**按臂拆分**:内容自校的
- *   `own_root` 解封,零内容自校的 `server_fail_closed` 在 keyed 上恒封顶。见
- *   {@link BgNotificationAcceptEvidence} 与 `docs/INTEGRATION-CLIENTS.md` §7c P-31。
- *
- * ── 单实例纪律(REF-CC-044,fleet2-06:per-sessionKey 化,W1/design/161 同款原语)────────────────
- * `liveBgViews` 是 module 级 `Map<sessionKey, Set<LiveBgView>>`:写者 = 每个 `createFleetLedger()`
- * (登记进自己的 `opts.sessionKey`,零参 = `DEFAULT_SESSION_KEY`),读者 = 引擎温切门
- * (`readEngineActiveBgTasks[For]`)与代际让位读面(`isFleetSessionScoped[For]`)。同一 sessionKey
- * 两份实例 = 温切门恒读空 ⇒ respawn 会静默杀掉在飞 bg 子代;per-session 化同时堵住了跨会话污染
- * (A 会话的 `clearAllRetainedFleetRows` 不该清掉 B 会话的池,B 断线也不该把 A 标 fresh)。
- */
 import type { FleetFrame, FleetTaskRow, FleetWorkflowRow } from '@sema-agent/sdk';
 import { type FleetTaskView, type FleetWorkflowView, type ProjectTasksOptions } from './fleetProjection.js';
-/** 终态行留存宽限窗(187 的 agents 页把完成会话留在列表;窗过即净,防长会话堆行)。 */
 export declare const TERMINAL_RETAIN_MS = 60000;
 export interface EngineActiveBgTask {
     id: string;
     name?: string;
     status: string;
-    /** fleet 行的 parentId(spawn 该子代的 run 行 id;顶层 run 行缺席)—— killed 残局合成通知的
-     *  own/foreign 判别用。 */
     parentId?: string;
-    /**
-     * 🔴 #242 批 3(E4-7 解耦,design-242 §2.2-5):true = 该行由 **belt(终态通知)退休**、且仍在
-     * `TERMINAL_RETAIN_MS` 窗内。行帧车道**没有**为它 settle 过(终态行帧丢失,状态由通知车道推定)。
-     * 语义与消费纪律:
-     *   · 这行**按在飞计**是保守默认(在读面里出现 ⇒ 温切/升级门 defer)——通知车道没有代际号,
-     *     误退休(旧周期回声退休了复活行)不可排除,而「多等一窗可恢复,杀错在跑子代不可恢复」;
-     *   · 消费方**可以自裁**:它的 `status` 是终态词(诚实),带本标 ⇒ 「通知说它完了、行帧没确认」。
-     *     🔴 残局 killed 合成(温切 cap 强切 / configDrift respawn)必须**跳过**带本标的行 ——
-     *     对一条已 completed 的行合成 killed 通知是谎报;
-     *   · 窗过(`TERMINAL_RETAIN_MS`)即从读面消失;行帧车道一旦重新开口(终态行帧到达覆盖 /
-     *     非终态行帧复活)本标即撤。
-     * 行帧车道 settle 的行(终态行帧 + task_remove)**从不**带本标,也从不进这个读面(与旧行为同)。
-     */
     retiredByNotification?: boolean;
 }
 export interface EngineActiveBgReading {
     tasks: EngineActiveBgTask[];
-    /** true = 至少一条 fleet 流当前连着(读数新鲜);false = 断线期 last-known(可能 stale)或无 live 源。 */
     fresh: boolean;
 }
-/**
- * server 代际证据读面:任一 live fleet 源的 meta 报过 `sessionScoped=true`。
- * true ⇒ 到达本连接的**行帧**已经过 server 会话过滤,端侧行级 own 判别可以让位。
- * 🔴 只覆盖【行帧】:通知帧的 own-run 台账判别不看本标,恒开(1.244 对缺 ownerSessionId 的通知
- *    仍广播,fail-closed 是 1.245+)。
- */
 export declare function isFleetSessionScoped(): boolean;
-/** W1 keyed variant:只看**这一个会话**登记的视图(REF-CC-044)。 */
 export declare function isFleetSessionScopedFor(sessionKey: string): boolean;
-/** 引擎侧在飞 bg 子代读数(union 所有未 dispose 的源,按 row.id 去重)。无 live 源 ⇒ `{[], false}`。 */
 export declare function readEngineActiveBgTasks(): EngineActiveBgReading;
-/** W1 keyed variant(REF-CC-044):只 union **这一个会话**登记的视图,不跨会话泄漏。 */
 export declare function readEngineActiveBgTasksFor(sessionKey: string): EngineActiveBgReading;
-/**
- * 清空**这一个会话**的所有 live 源的终态留存池 —— 会话切换(/clear、REPL 内 resume、fork)信号
- * 一到就调。R7:留存池是渲染层宽限窗,快照臂刻意不清它(重连不该抽走行);但换了会话继续渲上一
- * 会话的终态行(名字 = objective 派生)就是跨会话残影。
- */
 export declare function clearAllRetainedFleetRows(): void;
-/** W1 keyed variant(REF-CC-044):只清**这一个会话**的池,不广播到别的会话。 */
 export declare function clearAllRetainedFleetRowsFor(sessionKey: string): void;
-/** 测试钩:摘掉所有登记的视图(同进程多组断言之间互不污染)。 */
 export declare function __resetFleetLedgerRegistryForTests(): void;
-/**
- * `client.fleet.stream(...)` 的会话过滤参数。缺席(端未装 SessionPort / 还没有会话 id)⇒ `{}`
- * = principal 级视图,**与 1.37 之前逐字同行为**(不是错误态)。
- *
- * 🔴 **默认槽形**(design/285 §2.1):读的是 `DEFAULT_SESSION_KEY` 槽的 `SessionPort`。单会话宿主
- *    (cli 及今天的三端)用它**正确**;**keyed 多会话宿主别用它开流** —— 用
- *    `createFleetLedger(hooks, { sessionKey }).issueStream()` 拿 `ingress.options`,那是本包对
- *    keyed 开流参数的唯一承诺形(理由见文件头 design/285 段)。
- */
 export declare function fleetStreamOptions(): {
     session?: string;
 };
-/** G19:`client.fleet.snapshot(...)` 的参数(同上,同为默认槽形;首屏/温切探针用)。
- *  keyed 宿主走 `ledger.issueSnapshot(opts)`。 */
 export declare function fleetSnapshotOptions(opts?: {
     timeoutMs?: number;
 }): {
     session?: string;
     timeoutMs?: number;
 };
-/**
- * ingress 的公共面(stream / snapshot 两形共用)。
- *
- * 🔴 **不可变捕获**:`session` 在 `issueStream()`/`issueSnapshot()` 的**那一刻**从本 ledger 的
- *    `sessionKey` 槽解析一次,之后**永不重读**(与 owner 台账 tick 腿「开流时一次性捕获,不逐帧
- *    现读」同一条纪律)。
- * 🔴 **帧只能经 ingress 进入 ledger**:这样「这条流是替谁开的」不再是宿主的一句声明,而是帧真正
- *    走过的通道。旧 ingress(重连后 epoch 落后)或已 `close()` 的 ingress 上到达的帧一律丢弃并计
- *    `droppedStaleIngress`。
- */
 export interface FleetIngressBase {
-    /**
-     * 本 ingress 的会话锚(= `options.session`);`undefined` = principal 级流(该键未装 SessionPort
-     * 或端自己还没有会话 id)。
-     *
-     * 🔴 空锚下 `own_root` **结构性不可能成立** —— 它要拿 `rootSessionId` 与本锚**逐值比对**,没有锚就
-     * 比不了(`ownByRoot` 恒 false)。
-     * ⚠️ 但 `server_fail_closed` **不受空锚影响**:那一臂的前提是「这条流是替谁开的」,**与本端会话端口
-     * 无关**(端可能根本没装 `SessionPort`,而流是宿主自己按别的方式按会话开的)。所以默认槽 + 空锚 +
-     * 生产 meta 仍报 `server_fail_closed`(与 0.32.0 逐字同);keyed 上它本来就恒封顶,与锚空不空无关。
-     */
     readonly session: string | undefined;
-    /** 发放本 ingress 的 ledger 的会话槽键。 */
     readonly sessionKey: string;
-    /** 发放序号(ledger 内单调递增;`issueStream()` 一次 +1,旧 stream ingress 随即作废)。 */
     readonly epoch: number;
-    /** 🔴 帧的唯一入口 —— 经本 ingress 进入 ledger,携带本 ingress 的不可变捕获。 */
     applyFrame(frame: FleetFrame): void;
-    /** 关闭:此后本 ingress 的 `applyFrame` 全部丢弃并计数(迟到帧不再污染台账)。 */
     close(): void;
 }
-/** `client.fleet.stream(...)` 的 keyed 开流参数 + 帧入口。 */
 export interface FleetIngress extends FleetIngressBase {
-    /** 开这条流要用的参数(不可变;本 ingress 生命期内恒定)。 */
     readonly options: {
         readonly session?: string;
     };
 }
-/** `client.fleet.snapshot(...)` 的 keyed 参数 + 帧入口(**独立** ingress,绝不改写 stream 锚)。 */
 export interface FleetSnapshotIngress extends FleetIngressBase {
     readonly options: {
         readonly session?: string;
         readonly timeoutMs?: number;
     };
-    /**
-     * 🔴 SDK `client.fleet.snapshot(opts)` 的返回形是 **`{tasks, workflows}`,不是帧**(它内部开流→取
-     * `snapshot` 帧→关流,`type`/`ts`/`meta` 都在封装里被吞掉)—— 所以 `applyFrame` 那条口接不上它。
-     * 本口**直吃那个返回值**并在库内合成 `snapshot` 帧,省掉端手抄一份会漂的帧形。
-     *
-     * ⚠️ 一次性快照拿不到 `meta` 帧 ⇒ 本 ledger 的 `sessionScoped` / `bgNotifyFailClosed` 两位**不会**被它
-     * 填上(诚实:那两位说的是「这条连接」的性质,快照封装里的那条连接已经关了)。要那两位就走 stream。
-     *
-     * 🔴 **发放那一刻有活流的快照一律不落账**(「活流」含两形:`issueStream()` 发过的 ingress 流,
-     * **以及**兼容入口消费、由 `setConnected(true)` 自报的流)(丢弃 + 计 `droppedStaleIngress`,`applyFrame` 同闸;
-     * 判据固化在**发放**时,不是落账时现查 —— 否则「流活着时签发 → 快照在路上、流先 `close()` → 落账」
-     * 会因 close 把流模式位清零而反而通过闸,而那只快照当初跳过了连接级 meta 复位,会沿用一条**已关连接**
-     * 的信任位给自己带回来的行背书):
-     * ①两条连接两个写者而本口是无条件 REPLACE —— 「取样之后、落账之前」流又推了一帧时,照落会把更新的行
-     * 覆盖回旧值,而 fleet 是 latest-state 总线,没有后续帧保证修回来;②快照连接的行**自带零 scoping
-     * 断言**,落进一本正持着别条连接 `sessionScoped=true` 的账里会被那条不相干连接的信任位放行投影。
-     * 而 live stream 本身就是「snapshot 先行的 latest-state 总线」,此时再落一份一次性快照零收益。
-     * 一次性快照的正当场景(首屏 / 温切探针)本来就发生在**没有 live stream**的时候。
-     */
     applySnapshot(snapshot: {
         tasks: FleetTaskRow[];
         workflows: FleetWorkflowRow[];
     }): void;
 }
-/** REF-CC-047(fleet2-09):hook_notice 具名臂(B2 禁 unknown 出公开面;Extract 同款手法已在
- *  文件内的 `BgNotificationWire` 示范过)。 */
 export type HookNoticeFrame = Extract<FleetFrame, {
     type: 'hook_notice';
 }>;
-/**
- * 🔴 #284:`onBgNotificationAccepted` 的**证据等级** —— 这条通知是**凭哪一条**放行的。
- *
- * 为什么钩子要说这个:四条放行臂的证据强度**不一样**,而旧签名把它们压成一个「已放行」布尔事实,
- * 端因此无法对不同强度的证据分级处置(强证据可直接落库/翻卡,弱证据宜先渲染、别拿它当归属结论)。
- * 判据锚在**实际命中的那条臂**上,不是锚在「有没有 parentTaskId」这类前置条件上。
- *
- * 🔴 **每个词命名的是「放行臂」,不是「归属结论」**(对抗复审两轮收紧:首版把 `own_parent` 写成
- *    「硬证据」、二版只给 `own_root` 挂了会话锚警告,都是过度声称)。强度分档如下 —— 前两格的
- *    会话级读法**带前提**,第三格永远只是进程级,第四格根本不是证据。
- *
- * 🔴 **可信谓词按臂拆分**(design/285 §2.3.3,0.45.0 起;此前是「非默认 `sessionKey` 一律封顶」
- *    这一刀切):两条会话级臂**不同命**,因为它们**自校能力不同**。
- *
- *    · `own_root` 是**内容自校臂** —— 拿通知里的 `rootSessionId` 与**本 ledger 的会话锚**逐值比对。
- *      宿主就算把 A 会话的流喂进 B 的 ingress,A 的通知带的是 `rootSessionId = sid-A ≠ sid-B` ⇒ 值不等,
- *      自动拒。所以锚一换成 per-key,这一臂就**真的可信**:
- *        · 默认槽(零参装配的单会话宿主)恒可信 —— 与 0.32.0 逐字同;
- *        · keyed ledger 上,帧**经 `ledger.issueStream()` 的 ingress** 到达即可信(ingress 在开流那一刻
- *          一次性捕获会话);宿主直喂 `ledger.applyFrame` 的兼容入口上仍**封顶**(没有通道证据)。
- *    · `server_fail_closed` **零内容自校** —— 它只读 meta 的两个布尔位,不读任何会话、不比对任何值。
- *      **任何**一条 session-bound 流的 meta 都长这样 ⇒ 把 A 流喂给 B 的 ingress 时,A 的每一条通知
- *      都会在 B 上命中这一臂、绕过 `own_root` 与 foreign 门、被标成最强档,而 ingress 证明不了帧的
- *      来源连接。⇒ **keyed ledger 上这一臂恒封顶**,直到上游在 fleet `meta` 帧上回显本连接的
- *      session id、本端校验相等为止(在册局限 **P-31** 的残余半场,`docs/INTEGRATION-CLIENTS.md` §7c)。
- *
- *   · **会话级证明**:
- *     · `server_fail_closed` — server 侧注入路已 fail-closed(meta `bgNotifyFailClosed` ∧ 本连接
- *       session-bound):最强,到达即**这条流的**会话,端侧台账判别整体让位([1510])。
- *       ⚠️ 这一臂**完全不读会话端口**,它信的就是「这条流是替谁开的」——前提破了它也不会报错,
- *       所以它只在**默认槽**(前提可成立的那一格)出现;
- *     · `own_root` — 通知带 `rootSessionId`(委托树 root 宿主会话,固定点语义)=== **本 ledger 的
- *       会话锚**(经 ingress 到达 ⇒ 该 ingress 开流那一刻捕获的会话;兼容入口 ⇒
- *       `engineSessionParamFor(sessionKey)` 现读)。
- *   · **进程级成员证明**(只证明「本进程曾亲手驱动过这条 run」,🔴 **不区分会话代际**):
- *     · `own_parent` — `parentTaskId`(spawn 该子代的 leader run)∈ 本端 own-run 台账。台账真源
- *       `subagentContentStore.ownEngineRuns` 是**进程级 `Set`、按会话零分区**(它自己的头注:
- *       「进程内存态,壳重启即空」),所以 `/clear` 或换会话之后,**旧会话**登记的 run 仍然命中
- *       —— 这正是在册局限 **P-13**(`docs/INTEGRATION-CLIENTS.md` §7c)在通知面的同一张脸。
- *       ⇒ 端不得把它当作「属于当前会话」的证明;要按会话归属做事,自注入会话粒度的 own-run
- *       判据(P-13 给的出路),或只认上面那两格。
- *   · **封顶词(非证据)**:
- *     · `session_anchor_untrusted` — 会话级臂放行了,但**那一臂在本 ledger 上不可自校**。今天恰有
- *       两格产出它:①keyed ledger 上的 `server_fail_closed`(结构性,零内容自校);②keyed ledger
- *       **未经 ingress**(宿主直喂 `ledger.applyFrame`)时的 `own_root`。不冒充前两格,也不谎标
- *       `own_parent`(经会话级臂放行的帧,其 `parentTaskId` 可能是 foreign —— 标进程成员比错标会话
- *       更糟)、不标 `absent_parent`(键可能在场)。端按非证据档自裁。
- *       🔴 单会话宿主(默认槽)**结构性不出现此词**。
- *   · **非证据**:
- *     · `absent_parent` — 通知**没带** `parentTaskId`:🔴 **这不是证据,是 absent-放行姿势**
- *     (老引擎/老帧形不带该键,fail-closed 会把自家通知整批吞掉,故按放行处理)。端要拿归属做
- *     有副作用的事(落库、跨会话搬运、翻别人的卡)时,这一格应当自裁为「未证明」。
- *
- * 臂序 = `applyBgNotification` 放行判据的求值序,**但只在「成立 ∧ 可信」的会话级臂之间排序**
- * (0.45.0 收紧):生产 meta 组合下两位恒 true,若无条件先报 `server_fail_closed`,keyed 车道就
- * **永远走不到** `own_root` —— 哪怕内容自校(`rootSessionId` === 本锚)已经成立。那等于把一条真的
- * 会话级证明扔掉换一个封顶的非证据词。规矩:第一条**成立且可信**的会话级臂胜出;一条都没有而至少
- * 有一条成立 ⇒ 封顶词 `session_anchor_untrusted`;🔴 **绝不下探到 `own_parent`**(会话级臂放行的帧
- * 没验过 `parentTaskId ∈ own-run 台账`,报进程成员就是谎报)。
- * 开集只在本包加臂时扩,端按未知词兜底(`default` 当 `absent_parent` 一档处理最安全)。
- */
 export type BgNotificationAcceptEvidence = 'server_fail_closed' | 'own_root' | 'session_anchor_untrusted' | 'own_parent' | 'absent_parent';
-/**
- * 0.74.0 —— 一条 fleet 行**离场**(`task_remove` 帧)的读口载荷。
- * 🔴 离场**不是终局证据**:`task_remove` 在任何形态下都只说「这一行离场了」,结算的属主在 durable 侧;
- *    要终局去读 run 面,本包不据它 settle。`removeReason`(开集原词;今天只有 `orphaned`)与 `cycleSeq`
- *    (被退那一代的代际号)**在场才带**,缺席不编。
- */
 export interface FleetTaskRemoval {
     readonly id: string;
     readonly removeReason?: string;
     readonly cycleSeq?: number;
-    /** 只在这条退场帧退的是**前一代**、而账本里这一行已经是更新的一代时在场:前代迟到帧,**行没有被删**。 */
     readonly stale?: true;
-    /** 只在账本里本来就没有这一行时在场(晚连接者收到的退场帧;端可以直接忽略)。 */
     readonly unknownRow?: true;
 }
 export interface FleetLedgerHooks {
-    /**
-     * 0.74.0 —— `task_remove` 帧的读口(见 {@link FleetTaskRemoval})。不给 = 行为逐字同旧(只删行)。
-     * 回调抛错被吞(fail-soft):宿主的渲染 bug 不许打断账本。
-     */
     onTaskRemoved?(removal: FleetTaskRemoval): void;
-    /**
-     * hook_notice 帧的**写 store** 半场(判定在 `classifyHookNoticeFrame`,本台账只做分发)。
-     * 返回值忽略;不给 = 该帧被静默丢弃(端没有承载面时的正确行为)。
-     */
     onHookNotice?(frame: HookNoticeFrame, sessionScoped: boolean): void;
-    /**
-     * 🔴 #242 批 3(design-242 §2.2-3,壳侧 fleetClient「长线正解已记账:请 client-core 在归属判定
-     * **通过之后**给一个 accepted 钩子,壳改接它」的兑现):`bg_notification` 帧经本台账的
-     * own/foreign 判别(serverFailClosed / ownByRoot / parentTaskId ∈ own-run 台账)**放行之后**回调。
-     *   · 被隔离丢弃(foreign)/畸形早退的通知**不**回调 —— 钩子的语义就是「归属判定已通过」;
-     *   · 终态与非终态通知都回调(状态筛选归消费方);
-     *   · `rowIds` = 到达时刻 live 集里按键域(整行 id + 尾段)命中的行 id(可能为空 = 行帧车道
-     *     没有这行;可能多条 = server 双生行)。快照取在退休动作**之前**;
-     *   · `evidence`(#284,additive 第三参)= **凭哪一条臂放行的**,见
-     *     {@link BgNotificationAcceptEvidence} —— 四条臂证据强度不同,`absent_parent` 尤其**不是
-     *     归属证明**。两参消费方(0.31.0 形)零改动照旧;
-     *   · 钩子抛错不拆台账(try/catch + debug 留痕),与帧消费循环隔离。
-     * 端从此**零归属逻辑、零复刻**(壳侧 meta 两位门 [cross-repo-fix-at-source] 同批整条删)。
-     */
     onBgNotificationAccepted?(n: FleetBgNotificationWire, rowIds: readonly string[], evidence: BgNotificationAcceptEvidence): void;
 }
-/** REF-CC-044(fleet2-06)/REF-CC-039(fleet2-01):`createFleetLedger` 的可选装配位。 */
 export interface CreateFleetLedgerOptions {
-    /** per-session 注册键(W1 同款;多会话宿主每会话一份,零参 = `DEFAULT_SESSION_KEY`)。 */
     sessionKey?: string;
-    /** 本地接收时钟注入(测试用确定性时钟;默认 `Date.now`)。REF-CC-039:帧到达时刻的**单一铸点**,
-     *  绝不能用 wire 上的 server 时刻(`frame.ts`)顶替 —— 两个不同时钟域的算术是缺陷,不是特性。 */
     nowFn?: () => number;
 }
 export interface FleetLedgerStatus {
@@ -323,94 +78,31 @@ export interface FleetLedgerStatus {
     bgNotifyFailClosed: boolean;
     taskCount: number;
     workflowCount: number;
-    /** REF-CC-051(fleet2-13):畸形帧/通知早退的留痕计数(C5 静默丢数据零容忍)。 */
     droppedMalformed: number;
-    /** 🔴 [2393] notif-F12(2026-08-03 全窗复审):REF-CC-051 只补了「畸形」一类,补完之后新的不
-     *  对称是 —— `default:` 未知帧型这条**同样会丢数据**的路径连一行 debug 都没有,而策略性丢弃
-     *  (foreign/unowned)有 debug 却无计数。三条丢弃路径现在三个方向都可读:
-     *    · `droppedUnknownFrame` = 未知帧型(开集,**正当**;>0 = 上游发了本端还不认识的帧型,
-     *      是提货信号,不是错误);
-     *    · `droppedForeignBgNotification` = 隔离优先丢弃的外来 bg 通知(**正当但需可查**:
-     *      判别锚一旦错了,自家通知会整批落进这一格)。 */
     droppedUnknownFrame: number;
     droppedForeignBgNotification: number;
-    /**
-     * design/285 批 1 additive 三键 —— 会话锚的可观察面(黑盒判据的着力点)。
-     *
-     * `sessionAnchorEpoch` = stream ingress 的发放序号;**`0` = 不在流模式** —— 从未 `issueStream()`,
-     * **或当代 stream 已 `close()`**(两者都不在流模式,读面不必也不该把它们分开)。
-     *
-     * `sessionAnchor` = 本 ledger 此刻的**判据 / 内容所属**会话锚,**三态**:
-     *   ① 有 live stream ⇒ 该 ingress 开流那一刻捕获的会话(它的帧就按这个判);
-     *   ② 不在流模式但**账里有内容** ⇒ 内容归属锚 —— 绝不改报一个还没被用过的现读值,否则
-     *      「`close()` 之后槽会话轮换」那一刻本读面就会报新会话而账里装的还是旧会话的行;
-     *   ③ 空账 + 不在流模式 ⇒ 兼容入口下一帧会**现读**的那个值。
-     * `undefined` = 该键未装 `SessionPort` / 端还没有会话 id。
-     * ⚠️ 只有第③态会真的去读端口(与兼容入口判据同一次取值口径),该键未装 `SessionPort` 时照常计
-     * miss —— 那正是 `hostPortMissesFor(sessionKey)` 该报的事,不是本读面的副作用。
-     */
     sessionAnchor: string | undefined;
-    /** stream ingress 的发放序号;**0 = 不在流模式**(从未 `issueStream()`,或当代 stream 已 `close()`)。 */
     sessionAnchorEpoch: number;
-    /**
-     * 迟到帧丢弃计数,三形共用一个量:①旧 epoch 的 ingress(重连后);②已 `close()` 的 ingress;
-     * ③**有 live stream 时到达的快照帧**(两个写者 + 无条件 REPLACE 会把更新的行覆盖回旧值;而且快照
-     * 连接的行自带零 scoping 断言,不该被另一条连接的信任位放行 —— 详见 `applySnapshot` 顶注)。
-     */
     droppedStaleIngress: number;
 }
 export interface FleetLedger {
-    /**
-     * 消费一帧(consumer-side active-set update-in-place / remove)。
-     *
-     * 🔴 **兼容入口**(design/285 §3.1):单会话默认槽宿主的既有姿势,语义逐字不变(`epoch` 记 0 =
-     * 「未经 ingress」,会话锚走 `engineSessionParamFor(sessionKey)` 现读)。**keyed 多会话宿主只许用
-     * `issueStream()` 的 ingress** —— 走这条入口的 keyed ledger 上,会话级臂一律封顶
-     * (没有通道证据,见 {@link BgNotificationAcceptEvidence})。
-     */
     applyFrame(frame: FleetFrame): void;
-    /**
-     * 开一条新 stream ingress(design/285 批 1):解析本 ledger `sessionKey` 槽的会话并**一次性捕获**,
-     * `epoch` +1,**旧 stream ingress 随即作废**(其上的迟到帧丢弃并计 `droppedStaleIngress`)。
-     *
-     * 宿主用法(keyed 开流的单一正道):
-     * ```ts
-     * const ingress = ledger.issueStream()
-     * const stream = client.fleet.stream({ ...ingress.options, signal })
-     * for await (const frame of stream) ingress.applyFrame(frame)
-     * ingress.close()
-     * ```
-     */
     issueStream(): FleetIngress;
-    /** 🔴 **独立** ingress(design/285 §2.3.2):一次探针快照绝不改写正在跑的 stream 锚与 epoch。 */
     issueSnapshot(opts?: {
         timeoutMs?: number;
     }): FleetSnapshotIngress;
-    /** 连接态由宿主的 consume 循环告知(台账自己不开流)。 */
     setConnected(v: boolean): void;
-    /**
-     * 把当前 Map 投影成渲染行。`nowMs` 驱动帧间时钟补偿与留存池过期。
-     * `rowFilter` 必填(端专属决策,见 fleetProjection 头注)。
-     */
     project(nowMs: number, opts: ProjectTasksOptions & {
-        /** 正在被查看的行不过期(用户读报告中途被抽走=清障变添堵)。 */
         viewingTaskId?: string | undefined;
     }): {
         tasks: FleetTaskView[];
         workflows: FleetWorkflowView[];
     };
     status(): FleetLedgerStatus;
-    /** 摘掉模块级读面登记(宿主 dispose 时必调,否则温切门读到僵尸源)。 */
     dispose(): void;
-    /** 测试直取:当前 task 行原样(顺序 = 插入序)。 */
     __rowsForTest(): FleetTaskRow[];
 }
 export declare function createFleetLedger(hooks?: FleetLedgerHooks, opts?: CreateFleetLedgerOptions): FleetLedger;
-/**
- * `bg_notification` 帧的通知体 wire 形(SDK `FleetFrame` 联合的具名臂投影)。
- * #242 批 3 起公开导出 —— `FleetLedgerHooks.onBgNotificationAccepted` 的参数型,端(壳/web/桌面)
- * 接钩子要能写出这个签名。开集读纪律不变:键随 SDK 走,消费方防御读。
- */
 export type FleetBgNotificationWire = Extract<FleetFrame, {
     type: 'bg_notification';
 }>['notification'];