@sema-agent/client-core 0.77.1 → 0.78.0

package/dist/seatContract.js

@@ -1,114 +1,5 @@
-/**
- * seatContract — desktop/web **座位 IPC 契约的单一真源**(design/159 B18,2026-07-29)。
- *
- * 搬迁前的形:同一份契约有**两份声明**,而且跨仓名字零重合 ——
- *   · `sema-desktop/src/shared/localSessions.ts`  = 15 个类型 + 3 个词表常量 + 6 个校验器 + SPEC(生产端)
- *   · `sema-web-client/ui/lib/desktop/local-sessions-transport.ts` = 9 个 `Seat*` 本地重声明(消费端)
- * 两边名字不同 ⇒ **编译器永远不会告诉你它们漂了**。实测已经漂了(见下「漂移清单」),其中
- * `LocalSessionEvent.outcome` 那一条是真 bug:宿主发了词、消费端的镜像里根本没有这个位,
- * 于是「拒绝 / TTL 到点 / 人点了允许」在屏上长得一模一样 —— 正是 localSessions 自己在
- * 「接缝记账」里写下的第 1 条,它一直没被销账的原因就是没有任何机制会让它红。
- *
- * 落点为什么是本包:desktop 与 web 都已经依赖 `@sema-agent/client-core`(0.11.5),而本文件是
- * **纯类型 + 常量 + 纯谓词**,零值级 import、零 Node 内建 ⇒ 不动本包的可移植闭包(portability 门的
- * `EXPECTED_PACKAGES_INDEX` 一个字不变)。
- * ⚠️ 两条 `import type`(`./effortWire.js` 的 `ReasoningEffort`、`./seam.js` 的 `LaneProof`)都是
- * **类型边**:portability 门走值级传递闭包时按规则剥掉 type-only import(门里 `/^\s*type\b/` 那一跳),
- * bundle 里一个字节都不多。写成 import 而不是就地复刻,是因为「座位闭集」与「wire 投影闭集」必须是
- * **同一套词**——复刻一份就等于埋一条只有真用户能发现的漂移(拨盘上的档在座位 lane 上静默到不了引擎;
- * 车道证明在座位面变成一个「有位无证」的空对象)。
- *
- * ── 搬迁时按「真源为准」收敛的漂移(逐条,web 侧镜像 → 本文件)────────────────────────────
- *  🔴 D1 `LocalSessionEvent.outcome` —— web 镜像整位缺席 ⇒ `tool_permission_resolved` 只会清面,
- *      不会告诉用户为什么工具没跑。**真 bug**,本批只做「位补回来」;把词渲成可见痕迹是渲染面的活。
- *  D2 `SendMessageRequest.permissionMode` —— web 镜像是裸 `string`,真源是闭集 `PermissionModeIntent`,
- *      而宿主入站门 `requireOptionalPermissionMode` 是**会抛的闭集门**。今日两边词表逐字相等
- *      (web `ComposerMode` 五档 ≡ `PERMISSION_MODE_INTENTS` 五档,已核),所以是**潜伏**不是现症:
- *      ComposerMode 哪天加一档,裸 string 一路放行到宿主门口才抛。收敛成闭集后当天编译红。
- *  D3 `AttachmentUploadReceipt.sha256` / `ToolPermissionRequest.createdAtMs` / `StartSessionOptions.cwd`
- *      / `.excludeTools` / `LocalSessionRecord.queuedMessages`·`model`·`engineSessionId` ——
- *      web 镜像缺位。都是「没接线」不是「接错线」(web 侧今日无消费点,已核),收敛后位在、待接。
- *  D4 `LocalSessionEvent.request` —— 真源有这个位,**宿主从不发**(session-host 零处写 `request:`);
- *      web 镜像没有它反而与运行时事实一致。真源保留该位(CC `fQe` 的 form 位),记在这里免得
- *      下一棒把「web 没有」当成漏。
- *  D5 `EipcStoreClient.getStateSync` web 侧是 optional、真源是 required;`SeatSessionDirectoryRow.createdAt`
- *      web 侧 optional、真源 required。两条都是「更弱」方向,收敛到真源即可(宿主校验器
- *      `isLocalSessionRecord` 本来就要求 createdAt 在场,运行时保证一直成立)。
- *  · web 侧**没有**镜像、因而至今拿不到的面:队列三动词 / setFocusedSession / setModel /
- *    focusedSessionState / settingsState / `CHROME_EVENT_KINDS` / `ATTACHMENT_IDS_PER_TASK_CAP`。
- *    本文件导出后它们对 web 首次可见(接不接线是渲染面的决定)。
- *
- * ── 🔴 wave2 卡E-seat 的**破坏性契约变更**(2026-08-02,REF-CC-064~070/072~074;发包说明点名)──
- *  ① `EipcMethodSpec.validate` / `EipcStoreSpec.validate` → **改名 `check`**,返回形从 `boolean`
- *     升成 `true | SeatValidationFailure`(REF-CC-069)。改名是**安全机制不是洁癖**:老消费点写的是
- *     `if (m.validate && !m.validate(v))`,而失败**对象是真值** ⇒ 那一行会把「不合格」读成「合格」,
- *     门从 fail-closed 静默变成 fail-open。改名让每个旧调用点在编译期红,而不是在运行期悄悄放行。
- *  ② `ToolPermissionRequest.createdAt: number` → **`createdAtMs`**(REF-CC-067):同一文件里
- *     `LocalSessionRecord.createdAt` 是 ISO 串,两个同名位两种域两种类型;epoch 单位入名(A4)。
- *  ③ `ToolPermissionRequest.boundCallId` + `.boundInputHash` → **合成 `toctouBinding`**
- *     (REF-CC-070):注释一直把它称作 pair,而类型/门此前各查各的,半个 pair 照样过门。
- *  ④ `LocalSessionEvent.chrome.laneProof` **可选 → 必填**且升成命名类型 `LaneProof`(REF-CC-064)——
- *     出站门本来就要求它在场,类型却说可以缺席:一个照着这份「单一真源」写的宿主编译全绿、
- *     事件被整条丢掉、而门只回 boolean 说不出为什么。这条是本卡的 bug 修复位。
- *  ⑤ `LocalSessionEvent.type` / `.chrome.kind` / `.permissionMode` 三个位闭集化(REF-CC-065)。
- *  ⑥ `uploadAttachment` 入参、`getTranscript`/`searchSessions` 返回形、三个 store 状态形全部提成
- *     具名 interface(REF-CC-072/073/074),SPEC 里 13 个内联匿名 validator 收成具名 `check*`。
- *  三端消费坐标见本批 commit message 的「候提货单」节。
- *
- * ── 沿革(以下正文自 sema-desktop/src/shared/localSessions.ts 逐字迁入)──────────────────────
- * LocalSessions — the desktop host's session service contract, FORM-ported from the CC desktop
- * app's `claude.web / LocalSessions` eipc interface (212 methods there; FIRST BATCH here = the four
- * families clay scoped: session lifecycle / event subscription / interrupt / approvals).
- *
- * Naming: CC ns `claude.web` → `sema.web` (brand table). Method names kept verbatim where the CC
- * method exists (`start`/`stop`/`interrupt`/`sendMessage`/`onEvent`/`onToolPermissionRequest`/
- * `respondToToolPermission` are all real CC LocalSessions methods — see the 854-channel census).
- *
- * ══ 🔴 证据等级标注:本文件的 CC 断言取自**桌面 unpack**,本地语料库不可复验 ════════════════
- *
- * (test [5087] 提出的「语料**种类**缺口」,cli [5088] 认领三件之①,随 0.42.0 落;判据形见下)
- *
- * 本文件里所有以「CC 如何如何」为形的断言 —— 上面那句「212 methods / 854-channel census /
- * 方法名逐字保留」、下面 `checkLocalSessionEvent` 的「CC 的 `fQe` 逐字段对照」、以及一切引
- * `.vite/build/index.chunk-*.js` 坐标的句子 —— **证据等级 = 桌面 unpack(CC Electron app 的
- * `.vite/build` 产物),本地语料库不可复验**。
- *
- * 为什么这一条必须写在这里(而不是只写进台账):
- *   · 本仓手边可复验的参照语料**只覆盖终端 CLI 形态**的静态产物,**没有**桌面壳的 unpack 产物。
- *     这不是「语料版本旧」,是**产物形态不对** —— 拿 CLI 形态的语料去 grep 桌面壳里的符号只会得到
- *     零命中,而零命中在这里**既不能证真也不能证伪**;
- *   · 「CC 取证纪律」要求 CC 断言的合法证据只有两种:本机 claude 实测,或语料二进制直证。本文件
- *     的这一批两种都够不着 ⇒ 断言**保留**(它当初是照着真产物写的),但**必须带着这个等级一起读**;
- *   · 🔴 **这段注释随 `dist/*.d.ts` 出包**,三端读到的就是它。只把等级写进不进 tarball 的台账,
- *     消费端读到的仍是一句看起来可复验、实际不可复验的断言(与本文件 `workerBadge` 出身订正
- *     同一条理由)。
- *
- * **对下游的判据**:凡要对这些断言做「CC 到底是不是这样」的复核,**别拿终端 CLI 形态的语料当反证**
- * ——零命中是语料形态缺口的必然结果,不是断言错。真正的复核路只有一条:取一份 CC 桌面版
- * unpack 产物再对照(已在册为独立小件,做成后参照语料库增桌面形态子目录)。
- *
- * Event payload contract: ported in FORM from CC's `onEvent` runtime validator `fQe`
- * (unpack `.vite/build/index.chunk-CnWKsyE_.js:369773`;**证据等级:桌面 unpack,本地语料库
- * 不可复验** —— 见上方标注段). The load-bearing property we keep
- * byte-faithful ([1832] axiom 2, independently proven by CC's own code): on an otherwise
- * fully-schema'd IPC surface, the `message`/`messages` fields (= CC session-vocabulary SDKMessage
- * bodies, our transcript plane) are UNVALIDATED passthrough positions, while every other field is a
- * neutral typed position. Our implementation体 differs (sema wire via @sema-agent/sdk +
- * @sema-agent/client-core), the contract shape does not.
- */
 const bad = (reason, field) => field === undefined ? { reason } : { reason, field };
-/**
- * 🔴 [2393] sweep-F8(2026-08-03 全窗复审):**嵌套失败的 field 路径不许在汇聚点被丢掉**。
- * 修前三种写法各写各的:`chrome` 那条把已经算好的 `chrome.laneProof.lane` 整个覆盖成 `"chrome"`;
- * `request`/`session`/`results[i]`/`sessions[i]` 把路径丢成父键名(reason 前缀里还留着索引,
- * field 里没有)。这与 `SeatValidationFailure.field` 自己的定义(「嵌套位用点号,如
- * `chrome.laneProof`」)直接相悖,也削弱 REF-CC-069 存在的理由 ——「一条被门吃掉的事件从此可诊断」:
- * 宿主日志只会说「chrome 有问题」,而门明明知道是 `chrome.laneProof.lane`。
- * @param prefix 父位路径(`"chrome"` / `` `results[${i}]` ``)
- * @param verdict 子判据的失败(field 可能已是点号路径,也可能是裸键名,也可能缺席)
- */
 const nested = (prefix, verdict) => {
-    // 子判据自己已经带上父前缀时(checkSeatChromeEnvelope 收的就是 field 参数)不再重复拼。
     const path = verdict.field === undefined
         ? prefix
         : verdict.field === prefix || verdict.field.startsWith(`${prefix}.`)
@@ -117,18 +8,10 @@ const nested = (prefix, verdict) => {
     const reason = verdict.reason.startsWith(`${prefix}:`) ? verdict.reason : `${prefix}: ${verdict.reason}`;
     return bad(reason, path);
 };
-/** 存在性判定(§B10:`!!v` 那种真值判定会把空串/0 当缺席,对象位则会把 `{}` 当「有证」)。 */
 const isObject = (v) => typeof v === "object" && v !== null;
 const isAbsent = (v) => typeof v === "undefined";
 const optionalString = (v) => isAbsent(v) || typeof v === "string";
 const inTuple = (tuple, v) => tuple.includes(v);
-/**
- * `ToolPermissionRequest.requestId` 的**域词表**(FIX⑥,2026-08-07)—— 三端唯一真源。
- *
- * 🔴 前缀不是装饰:它**就是**决断的路由依据(session-host 按它挑 wire 动词)。一个域外的 requestId
- * 意味着「这条决断无处可去」,所以校验器对它 fail-loud 而不是放行(此前门只校「是不是串」,
- * 于是 desktop 早就在用的 `plan:` 既不在枚举里、也不会被任何一处说出来)。
- */
 export const TOOL_PERMISSION_REQUEST_ID_DOMAINS = [
     "live:",
     "durable:",
@@ -136,38 +19,11 @@ export const TOOL_PERMISSION_REQUEST_ID_DOMAINS = [
     "elicit:",
     "plan:",
 ];
-/** 读口:requestId → 它的域。未登记前缀 / 非串 ⇒ `undefined`(诚实缺席,绝不猜一个域)。 */
 export function toolPermissionRequestIdDomain(requestId) {
     if (typeof requestId !== "string")
         return undefined;
     return TOOL_PERMISSION_REQUEST_ID_DOMAINS.find((d) => requestId.startsWith(d));
 }
-/**
- * **正向铸口**:域 + 域内 id → `ToolPermissionRequest.requestId`(P-26,2026-08-12)。
- *
- * 沿革:此前本文件只有域表与读口 {@link toolPermissionRequestIdDomain},**没有铸口** —— 于是每个
- * 铸方(session-host 的五条 park 臂、各端的合成行)各自手抄 `` `live:${id}` `` 这样的模板串。手抄
- * 模板串的失效形不是编译红,是**运行期路由到一个不存在的目标**:少个冒号 / 抄错域 / id 是
- * `undefined` 时静默铸出 `"live:undefined"`,而读口对这三种坏键里的后两种照样「认得出域」,所以
- * 谁都不会响。铸口在场之后,这一类错在**铸的那一行**就被拒。
- *
- * 🔴 **往返性**(本口的契约,门里有断言):对任何登记域 `d` 与合法 id,
- *    `toolPermissionRequestIdDomain(toolPermissionRequestId(d, id)) === d` 恒成立 ——
- *    铸出来的键必被读口认回**同一个**域,`isToolPermissionRequest` / `LOCAL_SESSIONS_SPEC` 的
- *    域校验也必然放行(三处读的是同一张 {@link TOOL_PERMISSION_REQUEST_ID_DOMAINS})。
- *
- * 🔴 **坏入参一律 throw,绝不静默吐坏键**:铸口的整个价值就在于「坏键铸不出来」,返回
- * `undefined` 只会把 `${undefined}` 推到下一行的模板串里(与 `honest-absence` 同族的取舍:
- * 缺席要说出来,而这里连「缺席」都不该发生 —— 调用方手上没有合法 id 就不该走到铸这一步)。
- * 三条拒绝各自对应一个真实误用:
- *   ① 域不在词表(含忘了尾冒号的 `"live"`)—— 域外键 = 这条决断无处可去,与读口/校验器同判据;
- *   ② id 非串 / 空串 —— `"live:"` 是半截键,读口却照样认出 `live:` 域,故必须在铸时拦;
- *   ③ id **本身**已经带着某个登记域前缀 —— 典型误用 = 把一条铸好的 requestId 当 id 再喂进来,
- *      得到 `"live:live:ap-1"`(往返性仍成立、校验器仍放行,只有决断落地时才发现目标不存在)。
- *      ⚠️ 这条不拦「id 里含冒号」:`durable:<engineSessionId>:<callId>` 的 id 段天生带冒号。
- *
- * 错误文本只带**域**与判据,不回显 id 原文(id 段可能含 session/call 标识,错误路径也是外溢面)。
- */
 export function toolPermissionRequestId(domain, id) {
     if (!TOOL_PERMISSION_REQUEST_ID_DOMAINS.includes(domain)) {
         throw new Error(`toolPermissionRequestId: 未登记的 requestId 域 —— 只认 ${TOOL_PERMISSION_REQUEST_ID_DOMAINS.join(" / ")}` +
@@ -185,14 +41,6 @@ export function toolPermissionRequestId(domain, id) {
     return `${domain}${id}`;
 }
 export const TOCTOU_BINDING_KEYS = ["callId", "inputHash"];
-/**
- * 座位事件名的**闭集**(REF-CC-065):这是三端唯一的事件名真源。
- *
- * 方向判据(本文件 `PERMISSION_MODE_INTENTS` 头注立的那条):词由**我们自己的宿主**铸出、发往渲染端,
- * 因此闭集 —— 拼错一个字母在编译期红,而不是变成一条谁也不认识、被 switch 默默丢掉的事件。
- * 与 `outcome`(wire 铸词,开集)的区别正是「谁铸的词」,不是「字段像不像枚举」。
- * 词表 = sema-desktop `session-host` 的 emit 面实测八词。
- */
 const SEAT_EVENT_TYPE_TUPLE = [
     "start",
     "close",
@@ -204,38 +52,15 @@ const SEAT_EVENT_TYPE_TUPLE = [
     "tool_permission_resolved",
 ];
 export const SEAT_EVENT_TYPES = SEAT_EVENT_TYPE_TUPLE;
-/** Chrome arms wired to the renderer position (batch 4); other arms stay host-side on the ring. */
 const CHROME_EVENT_KIND_TUPLE = [
     "panel_task",
     "notification_terminal",
     "prompt_suggestions",
     "subagent_lifecycle",
 ];
-/**
- * 🔴 BREAKING(REF-CC-065,2026-08-02):公开面类型从 `readonly string[]` **收窄**成
- * `readonly ChromeEventKind[]`。与 `PERMISSION_MODE_INTENTS` / `SEAT_REASONING_EFFORTS` 那两条
- * **不同**:那两个本来就已经是闭集类型,加元组只是补「类型→常量」那半边、公开面一个字没变;
- * 这一个的公开面**真的变了**,所以它是本批第四处破坏性契约变更,不是「同上理由」的搭车项。
- *
- * 谁受影响(实测消费坐标,提货单同条):`sema-desktop/src/main/session-host.ts:1752`
- * `CHROME_EVENT_KINDS.includes(event.kind)` —— 那里的 `event: ChromeEvent` 是 seam.ts 的 17 词
- * 判别式联合,收窄后 `includes()` 的入参类型只认这 4 个词 ⇒ TS2345,提货当天编译红。
- * 迁移形:`(CHROME_EVENT_KINDS as readonly string[]).includes(event.kind)`,或先按 `ChromeEventKind`
- * 做一次显式收窄再进这一支。sema-web-client / sema-cli 实测零命中。
- */
 export const CHROME_EVENT_KINDS = CHROME_EVENT_KIND_TUPLE;
-/** `LaneProof` 的判别位词表 —— 与 `seam.ts` 的联合逐词对账(下方 `_seatContractPins` 双向钉:
- *  seam 加一条车道而这里不跟 ⇒ 编译红,而不是运行期把新车道的 chrome 帧整条丢掉)。 */
 const LANE_PROOF_LANE_TUPLE = ["main", "subagent", "workflow"];
 export const SEAT_CHROME_ENVELOPE_KEYS = ["kind", "laneProof"];
-/**
- * The resolution words the host currently puts on `tool_permission_resolved.outcome` ([1947] 红③).
- * DOCUMENTARY + test anchor only — the gate does NOT enforce membership (see the field's doc: a
- * closed set would fail-close the whole event on the day the wire grows a word). Grouped by family:
- *  - tool approval (wire `ToolApprovalFrame.outcome`, + our own settle sweep): allowed/denied/expired
- *  - question      (wire `QuestionFrame.outcome`):                             answered/unanswered
- *  - elicitation   (wire `ElicitationFrame.action`):                           accept/decline/cancel
- */
 export const HITL_RESOLUTION_OUTCOMES = [
     "allowed",
     "denied",
@@ -246,10 +71,6 @@ export const HITL_RESOLUTION_OUTCOMES = [
     "decline",
     "cancel",
 ];
-/** The closed set the inbound gate checks. CLOSED deliberately, unlike `outcome` above: this word
- *  ORIGINATES in our own renderer and goes OUT to a wire that 400s on anything else, so an unknown
- *  value is a local bug we want reported at the door — not an unknown future wire word we must
- *  tolerate. (The direction of travel is what decides open vs closed, not the field's shape.) */
 const PERMISSION_MODE_INTENT_TUPLE = [
     "default",
     "plan",
@@ -258,18 +79,7 @@ const PERMISSION_MODE_INTENT_TUPLE = [
     "auto",
 ];
 export const PERMISSION_MODE_INTENTS = PERMISSION_MODE_INTENT_TUPLE;
-/** Per-task attachment cap — the server's own limit (`attachmentIds` > 16 ⇒ 400). Gated here so the
- *  seat gets a precise local error instead of a wire 400 halfway through a turn. */
 export const ATTACHMENT_IDS_PER_TASK_CAP = 16;
-/** The per-turn `reasoningEffort` accept-set — core's ThinkingLevel tiers, re-exported from the
- *  package's own wire projection (`effortWire.ReasoningEffort`) rather than re-typed here.
- *
- *  CLOSED for the same reason `PERMISSION_MODE_INTENTS` is: the word ORIGINATES in our own composer
- *  and travels OUT to a wire that 400s (fail-loud) on an unknown tier — so an unknown value is a
- *  local bug we want reported at the seat's door, not a future wire word to tolerate. `ultracode` is
- *  deliberately NOT a tier here: in CC it is a standalone `settings.ultracode` preset boolean that
- *  COEXISTS with `xhigh` (see `SeatTurnSettings`), and folding it into this axis is exactly how the
- *  orchestration axis gets eaten by the reasoning axis. */
 const SEAT_REASONING_EFFORT_TUPLE = [
     "off",
     "minimal",
@@ -284,12 +94,6 @@ export const SEAT_TURN_SETTINGS_KEYS = ["ultracode"];
 export const ATTACHMENT_UPLOAD_REQUEST_KEYS = ["name", "mimeType", "bytes"];
 export const SESSION_SEARCH_RESULT_KEYS = ["sessionId", "title", "matches"];
 export const GET_TRANSCRIPT_RESULT_KEYS = ["sessionId", "messages"];
-// ───────────────────────────── validators (CC dual-gate posture) ─────────────────────────────
-//
-// 一种方言(REF-CC-072):每个载荷形恰有一个具名 `check*`(返回 `true | {reason, field?}`),
-// 需要类型收窄的地方再包一层 `is*` 谓词。SPEC 里不再有内联匿名 validator。
-// 「哪些键真被校验、哪些是刻意豁免」由 `SEAT_VALIDATOR_KEY_COVERAGE` 登记,门里逐位投毒对账
-// (REF-CC-068):说校验的位投毒必拒,说豁免的位投毒必过 —— 表和码不可能各说各话。
 const checkLocalSessionRecord = (s) => {
     if (!isObject(s))
         return bad("session record is not an object");
@@ -324,7 +128,6 @@ export function isLocalSessionRecord(s) {
 const checkToctouBinding = (v) => {
     if (!isObject(v))
         return bad("toctouBinding must be an object", "toctouBinding");
-    // 🔴 REF-CC-070:pair 的两半在同一个判据里 —— 只剩一半的绑定不是「降级」,是半个绑定。
     if (typeof v.callId !== "string")
         return bad("toctouBinding.callId must be a string", "toctouBinding.callId");
     if (typeof v.inputHash !== "string")
@@ -336,7 +139,6 @@ const checkToolPermissionRequest = (r) => {
         return bad("tool permission request is not an object");
     if (typeof r.requestId !== "string")
         return bad("requestId must be a string", "requestId");
-    // FIX⑥:域(前缀)就是决断的路由依据 —— 认不出域 = 这条决断无处可去,fail-closed 而不是放行。
     if (toolPermissionRequestIdDomain(r.requestId) === undefined) {
         return bad(`requestId must carry a registered domain prefix (${TOOL_PERMISSION_REQUEST_ID_DOMAINS.join("|")})`, "requestId");
     }
@@ -348,7 +150,6 @@ const checkToolPermissionRequest = (r) => {
     if (!isAbsent(r.toolCallId) && r.toolCallId !== null && typeof r.toolCallId !== "string") {
         return bad("toolCallId must be a string or null when present", "toolCallId");
     }
-    // `input` is the untrusted redacted payload — passthrough (render-only), like CC's request args.
     if (!optionalString(r.message))
         return bad("message must be a string when present", "message");
     if (!isAbsent(r.toctouBinding)) {
@@ -364,8 +165,6 @@ const checkToolPermissionRequest = (r) => {
 export function isToolPermissionRequest(r) {
     return checkToolPermissionRequest(r) === true;
 }
-/** 车道证明的结构校验(REF-CC-064 的另一半):此前门写的是 `!!laneProof` —— 真值判定当存在性判定
- *  (§B10),于是 `laneProof: {}` 这种「有位无证」的帧照样过门,而下游按 lane 分发时它谁也不是。 */
 const checkLaneProof = (v, field) => {
     if (!isObject(v))
         return bad("laneProof must be an object", field);
@@ -392,25 +191,6 @@ const checkSeatChromeEnvelope = (v, field) => {
     }
     return checkLaneProof(v.laneProof, `${field}.laneProof`);
 };
-/**
- * onEvent payload validator — line-for-line FORM port of CC's `fQe`
- * (`.vite/build/index.chunk-CnWKsyE_.js:369773`)。
- * 🔴 **证据等级:桌面 unpack,本地语料库不可复验**(0.42.0 标注件,判据与复核路见文件头注的
- *    「证据等级标注」段;下面每一条 `CC …` 对照句都受该等级约束)。
- * Field-by-field mapping:
- *  - `type`/`sessionId`: required strings (same);`type` 另加闭集成员校验(REF-CC-065,词由本宿主铸);
- *  - `message`: CC's minified source reads `typeof e.message<"u"` inside a comma expression whose
- *    value is discarded — i.e. NO validation, a deliberate transcript-plane passthrough. Same here.
- *  - `messages`: array-checked, elements `every(t=>!0)` (constant true) — array shape only. Same here.
- *  - `error`/`errorCategory`: optional strings (same); `code`: optional number (same);
- *  - `request`: CC gates with `S1` (ToolPermissionRequest schema) → our checkToolPermissionRequest;
- *  - `session`: CC gates with `aM` (SessionRecord schema) → our checkLocalSessionRecord;
- *  - `data`: optional string / `sources`: optional string[] / `permissionMode`: 闭集成员 /
- *    `userMessageUuid`: optional string / `hasPreClearSession`: optional boolean (same);
- *  - CC fields we do not emit in this batch (`tccFolderKind`/`initializationStatus`/`fsFile`/
- *    `localMcpServers`/`refusalFallbackPrompt`) are not carried — their positions return when the
- *    corresponding service families are ported.
- */
 const checkLocalSessionEvent = (v) => {
     if (!isObject(v))
         return bad("event is not an object");
@@ -422,7 +202,6 @@ const checkLocalSessionEvent = (v) => {
     }
     if (typeof v.sessionId !== "string")
         return bad("sessionId must be a string", "sessionId");
-    // `message`: intentionally unvalidated passthrough (see doc above — CC fQe does the same).
     if (!isAbsent(v.messages) && !Array.isArray(v.messages))
         return bad("messages must be an array", "messages");
     if (!optionalString(v.error))
@@ -434,7 +213,7 @@ const checkLocalSessionEvent = (v) => {
     if (!isAbsent(v.request)) {
         const verdict = checkToolPermissionRequest(v.request);
         if (verdict !== true)
-            return nested("request", verdict); // sweep-F8:路径不丢
+            return nested("request", verdict);
     }
     if (!optionalString(v.data))
         return bad("data must be a string when present", "data");
@@ -452,7 +231,7 @@ const checkLocalSessionEvent = (v) => {
     if (!isAbsent(v.session)) {
         const verdict = checkLocalSessionRecord(v.session);
         if (verdict !== true)
-            return nested("session", verdict); // sweep-F8:路径不丢
+            return nested("session", verdict);
     }
     if (!optionalString(v.userMessageUuid))
         return bad("userMessageUuid must be a string when present", "userMessageUuid");
@@ -461,14 +240,12 @@ const checkLocalSessionEvent = (v) => {
     }
     if (!optionalString(v.requestId))
         return bad("requestId must be a string when present", "requestId");
-    // `outcome`: type-checked only, NOT membership-checked (see the field doc — an unknown future
-    // wire word must reach the renderer as "settled, reason unknown", never take the event down).
     if (!optionalString(v.outcome))
         return bad("outcome must be a string when present", "outcome");
     if (!isAbsent(v.chrome)) {
         const verdict = checkSeatChromeEnvelope(v.chrome, "chrome");
         if (verdict !== true)
-            return nested("chrome", verdict); // sweep-F8:门算好的 chrome.laneProof.lane 不许被覆盖
+            return nested("chrome", verdict);
     }
     return true;
 };
@@ -510,8 +287,6 @@ const checkSeatModelInfo = (m, index) => {
     }
     return true;
 };
-/** applyModelConfig ack 校验:布尔形 + reason 条件在场(ok:false ⇒ 必带非空 reason)。
- *  🔴 错误消息零回显 req/ack 值——本 verb 载荷带 apiKey,校验层是回显面之一。 */
 const checkApplyModelConfigResult = (v) => {
     if (!isObject(v))
         return bad("applyModelConfig result is not an object");
@@ -558,31 +333,24 @@ const checkSendMessageAck = (v) => {
 export function isSendMessageAck(v) {
     return checkSendMessageAck(v) === true;
 }
-// ── REF-CC-072:SPEC 里此前 13 个内联匿名 validator 的具名化(同一方言,各配 interface + 键集钉)──
 const checkInterruptAck = (v) => isObject(v) && typeof v.interrupted === "boolean" ? true : bad("interrupt ack needs boolean `interrupted`", "interrupted");
 const checkStopAck = (v) => isObject(v) && typeof v.stopped === "boolean" ? true : bad("stop ack needs boolean `stopped`", "stopped");
 const checkOkAck = (v) => isObject(v) && typeof v.ok === "boolean" ? true : bad("ack needs boolean `ok`", "ok");
-/** Queue family + setModel — CC returns bare booleans (false = too-late/no-op), same here. */
 const checkBooleanAck = (v) => typeof v === "boolean" ? true : bad("expected a bare boolean result");
 const checkGetTranscriptResult = (v) => {
     if (!isObject(v))
         return bad("transcript envelope is not an object");
     if (typeof v.sessionId !== "string")
         return bad("sessionId must be a string", "sessionId");
-    // messages = the transcript-plane passthrough batch (fQe `messages` posture: array-checked,
-    // elements deliberately unvalidated — they are CC SDKMessage bodies).
     if (!Array.isArray(v.messages))
         return bad("messages must be an array", "messages");
     return true;
 };
-/** 一行搜索命中(REF-CC-072 的同一方言:此前它是 envelope 校验器体内的一段内联判据 ⇒ 没有自己的
- *  名字、没有覆盖表席位,给 `SessionSearchResult` 加一个必填位不会让任何门变红)。 */
 const checkSessionSearchResult = (v) => {
     if (!isObject(v))
         return bad("search result row is not an object");
     if (typeof v.sessionId !== "string")
         return bad("sessionId must be a string", "sessionId");
-    // REF-CC-073:`title` 此前从不被校 —— 一个非串 title 会一路走到渲染端。
     if (!optionalString(v.title))
         return bad("title must be a string when present", "title");
     if (!Array.isArray(v.matches))
@@ -601,7 +369,7 @@ const checkSessionSearchEnvelope = (v) => {
     for (let i = 0; i < results.length; i += 1) {
         const verdict = checkSessionSearchResult(results[i]);
         if (verdict !== true)
-            return nested(`results[${i}]`, verdict); // sweep-F8
+            return nested(`results[${i}]`, verdict);
     }
     return true;
 };
@@ -614,7 +382,7 @@ const checkSessionsState = (v) => {
     for (let i = 0; i < sessions.length; i += 1) {
         const verdict = checkLocalSessionRecord(sessions[i]);
         if (verdict !== true)
-            return nested(`sessions[${i}]`, verdict); // sweep-F8
+            return nested(`sessions[${i}]`, verdict);
     }
     return true;
 };
@@ -638,7 +406,6 @@ const checkSettingsState = (v) => {
         return bad("dataRoot must be a string when present", "dataRoot");
     return true;
 };
-// ───────────────────────────── service spec (eipc registration table) ─────────────────────────────
 export const LOCAL_SESSIONS_SPEC = {
     ns: "sema.web",
     service: "LocalSessions",
@@ -667,7 +434,6 @@ export const LOCAL_SESSIONS_SPEC = {
         settingsState: { check: checkSettingsState },
     },
 };
-/** verb 名清单 = `LOCAL_SESSIONS_SPEC.methods` 应有的键集(逐元素相等,门里断言)。 */
 export const SEAT_METHOD_NAMES = [
     "start",
     "sendMessage",
@@ -687,15 +453,12 @@ export const SEAT_METHOD_NAMES = [
     "onEvent",
     "onToolPermissionRequest",
 ];
-/** `$store$` 属性名清单;SPEC 的 store 键 + `"Store"` 必须逐条等于这里的名字(门里断言)。 */
 export const SEAT_STORE_PROPS = [
     "sessionsStateStore",
     "focusedSessionStateStore",
     "settingsStateStore",
 ];
-/** 事件式(main→renderer push)的 verb —— SPEC 里 `kind: "event"` 的那一撮,门里逐元素对账。 */
 export const SEAT_EVENT_METHOD_NAMES = ["onEvent", "onToolPermissionRequest"];
-// ── payload 键集镜像(与各自 interface 之间有类型钉,不可能漂)────────────────────────────────
 export const LOCAL_SESSION_EVENT_KEYS = [
     "type",
     "sessionId",
@@ -715,8 +478,6 @@ export const LOCAL_SESSION_EVENT_KEYS = [
     "outcome",
     "chrome",
 ];
-// 🔴 REF-CC-067/070(BREAKING):`createdAt` → `createdAtMs`(epoch 单位入名);
-//    `boundCallId` + `boundInputHash` → `toctouBinding`(pair 一位承载)。三端消费坐标见 commit。
 export const TOOL_PERMISSION_REQUEST_KEYS = [
     "requestId",
     "sessionId",
@@ -726,8 +487,6 @@ export const TOOL_PERMISSION_REQUEST_KEYS = [
     "message",
     "toctouBinding",
     "createdAtMs",
-    // [C130] 补键(2026-08-08):治理徽标+委派行的座位载体——desktop 座位 lane 此前无键可透传,
-    // 「治理徽标可开工」只在浏览器 lane 成立(半场口径,[C130] 修正)。
     "governanceForced",
     "delegation",
 ];
@@ -749,35 +508,13 @@ export const SEND_MESSAGE_REQUEST_KEYS = [
     "userMessageUuid",
     "permissionMode",
     "attachmentIds",
-    // 2026-07-29(web 收编第一批②):三位补齐。此前座位 lane **结构性**拿不到它们 —— 闭集就是
-    // 载体本身,不在集里 = 那个决定在这条 lane 上根本没有位置可放。
     "reasoningEffort",
     "retainBackgroundProcesses",
-    // 0.62.0(子代面两位补载体):同上结构性缺席形 —— 「这一轮要不要看子代正文 / 要不要留子代会话」
-    // 此前在座位 lane 上没有位置可放。两位都**原样转投**同名引擎请求位(出身表 + 常驻门对账)。
     "forwardSubagentEvents",
     "retainSubagentSessions",
     "settings",
-    // [C131] 补载体(2026-08-08):scenario 拨盘的座位 lane 席位(同上结构性缺席形)。
     "scenario",
 ];
-/**
- * **座位键 → 引擎请求位**的出身表(0.62.0;`SEND_MESSAGE_REQUEST_KEYS` 的逐键出身登记)。
- *
- * 为什么要有它:座位 lane 的载荷是一个**闭集接口**,而它的绝大多数位最终是要**原样落到引擎请求
- * 体上**的。这两件事此前没有任何东西把它们接起来 —— 一个座位位可以叫一个引擎请求体上**根本不存在**
- * 的名字(端照着它写、上了 wire 被引擎整键忽略,面上是「开关点了没反应」这类静默缺席),而引擎请求
- * 体新长出一个位时,也没有任何信号说「座位 lane 还没有它的席位」。本表把每个座位键的出身写成**数据**:
- *   · `taskRequestKey` —— 这个位**原样转投**引擎请求体的同名/异名位。常驻门拿它对**装在盘上的**
- *     sdk 型面逐名核(型直读,不手抄):名字不在引擎请求体上 ⇒ 当天红。
- *   · `seatOnly` —— 这个位**不上 wire**,只活在座位 lane 上;字符串写清它是什么、为什么不转投。
- *
- * 🔴 `sessionId` 是**同名不同义**的典型:座位这一位是**座位会话句柄**(渲染端持有的本地 id),而引擎
- *    请求体上那个同名位是**引擎会话 id**(座位记录里另有 `engineSessionId` 承载)。两者恰好同名,
- *    把它登记成「转投」会让下一个人以为直接透传就行 —— 那是把本地句柄当引擎会话送上 wire。
- * 🔴 `text` 是**异名转投**:座位说 `text`,引擎请求体那一位叫 `objective`。异名不是问题,**没记账**
- *    才是;本表就是那本账。
- */
 export const SEAT_SEND_MESSAGE_KEY_ORIGINS = {
     sessionId: { seatOnly: "座位会话句柄(渲染端持有的本地 id);引擎会话 id 由座位记录的 `engineSessionId` 承载 —— 与引擎请求体上的同名位**同名不同义**,绝不直传" },
     text: { taskRequestKey: "objective" },
@@ -801,29 +538,6 @@ export const TOOL_PERMISSION_DECISION_KEYS = [
     "remember",
 ];
 export const START_SESSION_OPTION_KEYS = ["model", "title", "cwd", "excludeTools"];
-/**
- * 校验器覆盖表(REF-CC-068)—— 每个校验器**逐键**声明:哪些位真被校验、哪些位**刻意**不校验。
- *
- * 为什么需要它:`防再漂钉` 封的是「interface ↔ 名字常量 ↔ SPEC」两跳,**校验器这条链此前没人钉**。
- * 给一个 interface 加一个必填位,门全绿,而新位从此不过校验(fail-closed 面出现缺口)。
- * 正确做法不是「全键必查」—— 本文件有真正**刻意不查**的位(transcript 面直通),所以豁免必须显式登记
- * 并带理由。门里对每个位投毒:说校验的必拒、说豁免的必过 ⇒ 这张表不可能变成一段过期的说明文字。
- *
- * 🔴 覆盖范围(wave2 回炉批 2026-08-02 补齐,首版只登了 6 个而发包说明写的是「每个校验器」——
- * 那 8 个没登的恰好就是 REF-CC-072 本批新提名的那批 `check*`,实测「加一个必填位、全门照绿」在它们
- * 身上仍然全开,即这张表自称堵死的失效形当时并没有被堵死):
- *   · **SPEC 面 15 个具名 `check`,14 个对象形在本表登记**,余下 1 个(裸布尔回执)逐形豁免;
- *   · 另加 4 个**嵌套**形(SeatModelInfo / SessionSearchResult / ToctouBinding /
- *     SeatChromeEnvelopeBase)—— 它们不是 SPEC 面的直接 check,但父校验器的覆盖表只登记得到
- *     `models` / `results` / `toctouBinding` / `chrome` 这一个顶层键,给**子形**加必填位同样全绿;
- *   · 合计 **18 条**。两个不适用的形逐形写在 `SEAT_VALIDATOR_COVERAGE_EXEMPT` 里。
- * 完备性不靠这段话:门里逐条比对 `LOCAL_SESSIONS_SPEC` 每个 method/store 的 `check` **函数引用**
- * 必须落在「本表 ∪ 豁免表」里 —— 再加一条 verb 而不登记,门当场红。
- *
- * `check` 位存的是**函数引用本身**(不是名字):名字查表要靠一张 guards 映射,而那张映射漏一行
- * 就是又一个没人看见的缺口;引用相等是机械的。`guard` 位只在该形另有公开面 `is*` 谓词时登记,
- * 门里额外校「谓词与 check 判决一致」。
- */
 export const SEAT_VALIDATOR_KEY_COVERAGE = {
     LocalSessionRecord: {
         guard: "isLocalSessionRecord",
@@ -901,7 +615,6 @@ export const SEAT_VALIDATOR_KEY_COVERAGE = {
         validated: ["sessionId", "userMessageUuid", "queued"],
         unchecked: [],
     },
-    // ── wave2 回炉批补齐:REF-CC-072 提名的 8 个 SPEC 面 check* ────────────────────────────────
     InterruptAck: {
         check: checkInterruptAck,
         validated: ["interrupted"],
@@ -919,8 +632,6 @@ export const SEAT_VALIDATOR_KEY_COVERAGE = {
     },
     GetTranscriptResult: {
         check: checkGetTranscriptResult,
-        // `messages` 登在 validated:门校的是**数组形**这一层(与 `LocalSessionEvent.messages` 同口径)。
-        // 元素刻意不校(CC fQe 姿态,SDKMessage 体)—— 那是键**内**的粒度,覆盖表管的是键面,别把两者混谈。
         validated: ["sessionId", "messages"],
         unchecked: [],
     },
@@ -944,7 +655,6 @@ export const SEAT_VALIDATOR_KEY_COVERAGE = {
         validated: ["defaultModel", "engineVersion", "dataRoot"],
         unchecked: [],
     },
-    // ── wave2 回炉批补齐:父校验器只登记得到一个顶层键的 4 个嵌套形 ──────────────────────────
     SeatModelInfo: {
         check: (v) => checkSeatModelInfo(v, 0),
         validated: ["id", "name", "provider", "contextWindow", "maxOutputTokens"],
@@ -966,11 +676,6 @@ export const SEAT_VALIDATOR_KEY_COVERAGE = {
         unchecked: [],
     },
 };
-/**
- * 逐形豁免(REF-CC-068 的另一半):**不适用**覆盖表的具名校验器 —— 每条写清为什么,以及它的判别力
- * 由谁承担。这张表存在的唯一理由是让「本表 ∪ 覆盖表 ⊇ SPEC 面全部 check」这条完备性钉能机械成立:
- * 没有它,「某个 check 没登记」和「某个 check 不该登记」在门里长得一模一样。
- */
 export const SEAT_VALIDATOR_COVERAGE_EXEMPT = [
     {
         label: "BooleanAck",
@@ -987,12 +692,9 @@ export const SEAT_VALIDATOR_COVERAGE_EXEMPT = [
             "② run-client-core-pure-test.mjs **FIX7 段 ④** —— 未登记车道词 / subagent 缺伴随位 / workflow 缺 via 或 key 三条投毒 + 两条逐臂正控 + 一条「main 臂不被过紧误拒」负控,全部直接喂本条的 `check`。",
     },
 ];
-/** 双向覆盖钉:`Exclude` 两个方向都必须塌成 `never`,少一个键红、多一个键也红。
- *  `Covers`(REF-CC-145/dup-12,P3 wave1 卡C-argv)改吃共用叶 typePins.ts——四份逐字重复钉之一。 */
 const _seatContractPins = [
     true, true, true, true, true, true, true, true, true,
     true, true, true, true, true, true, true, true,
-    // 0.62.0:出身表 ↔ 载荷键集双向
     true, true,
     true, true,
     true, true, true, true,
@@ -1004,7 +706,6 @@ const _seatContractPins = [
     true, true, true, true,
     true, true, true, true, true, true,
     true, true, true, true, true, true, true, true, true, true, true, true,
-    // wave2 回炉批:覆盖表补齐的 12 个形 × 双向 = 24
     true, true, true, true, true, true, true, true,
     true, true, true, true, true, true, true, true,
     true, true, true, true, true, true, true, true,