@sema-agent/sdk 16.1.0 → 16.3.0

package/dist/types.d.ts

@@ -57,7 +57,7 @@
  *    null" may be correct — check for a normalizer at the boundary before widening it to `| null`.
  */
 import type { SemaSettings } from "./settings.js";
-import type { AskOrigin, ClassifierUnavailable, DenialLimitFallback, PersistedRuleMandate, RuleOffer, RuleOffersAbsence, ToolApprovalFrame } from "./resources/tool-approvals.js";
+import type { AllowRuleShadow, AskOrigin, ClassifierUnavailable, DenialLimitFallback, PersistedRuleMandate, RuleOffer, RuleOffersAbsence, ToolApprovalFrame } from "./resources/tool-approvals.js";
 /** Authenticated end-user identity. Opaque to the service (used as memory scope + session owner). The SDK
  *  normalizes; the service does NOT validate the format. Convention: `user:` / `org:` / `ai:` / `anon:`. */
 export type Principal = string;
@@ -309,8 +309,19 @@ export interface TaskRequest {
      *  {@link import("./settings.js").SemaSettings.skillListingMaxDescChars} 两只旋钮。
      *
      *  Merge: scenario WINS on name collision (user's dropped + warn-logged) — the safety baseline can't be
-     *  overridden. Injected by the trusted BFF, never raw user input. */
+     *  overridden. Injected by the trusted BFF, never raw user input.
+     *
+     *  🔴 **server ≥7.116.0:每只技能可带 `allowedTools` / `disallowedTools`(本 run 的 allow / deny 规则来源,不是围栏 —— 读法与比 `settings.permissions.allow` 宽的口径见
+     *  {@link SkillSpec.allowedTools};探测位 `capabilities.skillToolLists`),技能的 `manifest` 键提交即 400**(core 7.41.0 退役;`manifest.allowTools` 改写成 `allowedTools`)。 */
     skills?: SkillSpec[];
+    /** server ≥7.116.0(core 7.41.0 #1303):**人用名字点过的技能**(壳从人敲的 `/name` 解析出来的,按 {@link SkillSpec.name})—— 非空串数组。这些技能的
+     *  `allowedTools` / `disallowedTools` **开跑即生效、不出 `Skill` 卡**(人自己点的名就是那句表态);**只管这一次** run(steer 不终止它,下一次提交不带)。
+     *  每个名字必须是这一 run 装着的技能(场景出厂 ∪ 本请求 `skills`),否则引擎拒启 **400 `config.user_invoked_skill_unknown`**(同步腿 `POST /v1/tasks`;
+     *  异步 / 活流腿 HTTP 2xx、同码落在终态 run 行);`disableSkills: true` 时点任何名字都是这个码。值形坏(裸串 / 含空串 / 含非串 / 对象 / null)⇒ 400
+     *  `request.field_invalid`。不投递技能正文(正文照旧由 `Skill` 工具 / 调用方负责)。
+     *  🔴 **先探 `capabilities.userInvokedSkills`**(恒真):位缺席 = 老 server ⇒ **别发这个键**(≤7.115.x 答 400 `request.body_shape`,`unknownKeys` 逐字列名)。
+     *  清单的读法见 {@link SkillSpec.allowedTools}(比同版 `settings.permissions.allow` 宽;托管 / 多租户部署不设开关)。 */
+    userInvokedSkills?: string[];
     /** Per-turn reasoning strength (CC `/effort` parity). One of the core ThinkingLevel tiers:
      *  `off`|`minimal`|`low`|`medium`|`high`|`xhigh`|`max`. Service maps it → `TaskSpec.thinking`
      *  (server.ts reasoningEffort → main.ts:1270); an UNKNOWN value is a 400 (fail-loud). Omit ⇒ engine
@@ -357,6 +368,12 @@ export interface TaskRequest {
      *  **单独送 `debate:true` 不会有辩论轮**;②`resolve-spec` 的显式组队判据是 `council || debate`
      *  (`:940/1555`)⇒ 单独送它**仍然**会放宽租期预算并抑制自动升档。同样只有字面 `true` 算数。 */
     debate?: boolean;
+    /** 图文输入:`{ data, mimeType }`(内联 base64)或 `{ url }`。
+     *  🔴 **内联臂的准入(server ≥7.117.0 / core 7.42.0)**:`mimeType` 必须是 `image/png` / `image/jpeg` / `image/gif` / `image/webp` 之一(发 API 自己的类型词,不发扩展名),解码后的字节必须带**声明类型**的文件签名,
+     *  解码后不得超 5 MiB —— 过不了 ⇒ 引擎在**第一次模型调用之前**拒(UserPromptSubmit hook 之后,一个模型 token 没烧),**400 `config.image_invalid`**,`error` 以 `TaskSpec.images: ` 起
+     *  (`config.` 不是前缀族 ⇒ 带码的 `APIError`,按 `errorCode` 分支;400 不自动重试)。≤7.116.x 没有这道门:这种图原样送到模型供应方,整只首请求在供应方那边失败(没有本包可依的码)。
+     *  **「base64 太长」不走本码**:一张内联图的 base64 串超过 5 242 880 字符(模型 API 的 5 MB 图片界;server 读引擎导出的同一只常量)⇒ 受理口先拒 **413 `request.payload_too_large`**(零模型调用、不跑提交钩子、不建 run 行)。
+     *  出路:发文件的原样字节与 API 的类型词;超 5 MB 的图先缩。URL 臂(`{ url }`)不变(server 早已按签名认类型)。模型要支持图片输入(见 {@link ModelInfo.vision};缺席 ⇒ 照发)。 */
     images?: Array<{
         data: string;
         mimeType: string;
@@ -901,12 +918,20 @@ export interface TaskAgentDefinition {
     allowTools?: string[];
     /** Denylist of tool names (subtractive; applied after `allowTools`). */
     denyTools?: string[];
-    /** Skills preloaded into the agent: `{ name, description, content }` (+ optional manifest/files). */
+    /** Skills preloaded into the agent: `{ name, description, content }` (+ optional allowedTools / disallowedTools / files).
+     *  server ≥7.116.0:子代技能受理两只清单(`allowedTools` / `disallowedTools`,读法见 {@link SkillSpec.allowedTools};≤7.115.x 是未知键整条拒)。 */
     skills?: Array<{
         name: string;
         description: string;
         content: string;
+        /** @deprecated server ≥7.116.0 **整条技能拒**(子代技能上 `manifest` 是未知键 ⇒ `agent.skills must be …` 400;顶层技能是 400 `request.field_invalid`,
+         *  句首 `skill.manifest was retired in core 7.41.0 — `)—— core 7.41.0 退役了技能 `manifest`(硬破坏,零别名)。**改写**:`manifest.allowTools` →
+         *  技能的 `allowedTools`(语义变了:allow 规则来源、不是围栏,见 {@link SkillSpec.allowedTools});写围栏 `allowPaths` 没有替身
+         *  (圈写路径用会话规则 `allowDirs`)。详见 server 随包 `MIGRATION.md` 7.116.0 节。
+         *  本成员**留着**:老一代 server(≤7.115.x)仍收它,删公开成员 = major,下个 major 删;对 ≥7.116.0 的 server 别再发。 */
         manifest?: Record<string, unknown>;
+        allowedTools?: string[];
+        disallowedTools?: string[];
         files?: Array<{
             path: string;
             content: string;
@@ -1375,7 +1400,10 @@ export interface ModelInfo {
     provider?: string;
     /** 该模型是否 reasoning 档（picker 可标徽章）。 */
     reasoning?: boolean;
-    /** 是否支持图片输入。 */
+    /** 这条目录行**收不收图片输入**,三态(server ≥7.117.0;之前对没声明的条目报 `false`):`true` = 条目声明了 `input` 且含 `"image"`;`false` = 声明了 `input` 且不含它;
+     *  **键缺席 = 条目没声明 `input`**(手写的目录条目;env 车道与配置中心车道恒声明,不会缺席)—— 缺席 = **不知道**,不是 `false`。
+     *  🔴 消费方读法:**缺席 ⇒ 照发并告知**(把图交给 server,由引擎处理;收不收以引擎为准),**不要读成 false(也就是别据此把用户的图拦在本地)** —— server 对同一条目在运行期照样把图交给模型,
+     *  拦截只会让「目录说不知道」变成「用户发不出图」。≤7.116.x 的 server 对没声明的条目报 `false`(那是它们的读法,同一个坑);只有明说 `false` 才该提示「这个模型不收图」。 */
     vision?: boolean;
     /** E4（shell-host；service src/http/routes/capabilities.ts，SHIPPED）— 上下文窗口 token 总额 = 「% 上下文已用 / 距 compact N
      *  token / 低上下文告警」仪表的**分母**。soft-degrade：未知（0）则 service 省略 → 壳渲染裸 token 数无 %。
@@ -2073,7 +2101,17 @@ export interface RunRecord {
     result?: TaskResult | LegacyPlaneTaskResult;
     /** 本**行的列**,7.64.0 未变(照旧说五词);只是数据源改成从 `result.terminal` 投影一次(旧行则直接读平面键)。
      *  ⚠️ K-24 / S-173(server ≥7.104.0):`needs_review` park 行上本位 = core 的规范码 **`review.pending`**(此前缺席)——
-     *  **禁**把「本位在场」读成失败,先读 `status`。`suspended` park 行缺席。 */
+     *  **禁**把「本位在场」读成失败,先读 `status`。`suspended` park 行缺席。
+     *
+     *  🔴 **server ≥7.116.0 多三种取值(additive 读面;S-1099)**:run 店自己判的终局此前只在 `error` 句子里,现在同时带机读码 ——
+     *  **`run.stalled`**(失联收割:心跳旧于 `REAP_RUN_STALE_SEC` 的 `running` 行被收割;读面在收割落盘前提前折叠的那一形同码;句子 `run stalled (instance lost?)`)·
+     *  **`run.orphaned`**(local 车道重启回收 / 会话占用接管回收;句子 `run orphaned by engine restart`)·
+     *  **`approval.expired`**(审批过期收割:耐久审批停驻的 run 过期被收割;行上码列早就有,读面此前不投;句子 `approval expired before decision`)。句子照旧。
+     *  这三码都**不是请求写错**,重试同一请求无意义,重新提交才有新 run;按 `error` 句子判「持有者没了」的消费端改按本码判;把「`errorCode` 在场」读成「core 报了错」的消费端
+     *  **先读 `status`**(`failed`)再按码分支。本位**仍是开集串**(词表属主在 server / core,分支永远带 `default`),没有闭集可加。
+     *  🔴 **缺席语义(旧行)**:升级前(≤7.115.x)写下的死亡判决行只有 `error` 句子、码列为空 —— 7.116.0 每次起服做**一次性迁移补码**(`one_time_migrations_applied` 的
+     *  `holderDeathCodeRowsBackfilled`),SQL 后端的新副本读这种行时同样读成码(升级窗);**但迁移有窗**(发布日 + 30 天之后的第一个小版本把写回与读侧一起删),
+     *  删后仍只有句子的行不再带码、`errorCode` 缺席 —— 所以「本位缺席 ≠ 不是持有者死亡」,**旧行迁移补码之后仍可能无码**,别拿缺席反推别的。 */
     errorCode?: string;
     error?: string;
     /** Work-view correlation. Present when the run has a jobId (omitted when null). LIVE server-side
@@ -2370,14 +2408,20 @@ export type DeniedBy = "policy" | "hook" | "org" | "persisted_rule" | "classifie
  */
 export type PermissionMode = "default" | "acceptEdits" | "plan" | "auto" | "bypassPermissions" | "dontAsk";
 /**
- * 一只问**属于哪一类**(core `ASK_CLASSES`:7.34.0 铸二十词,core 7.39.0 起 `shell_floor` 入册 ⇒ 二十一词,core 7.40.0 起 `unstated` 入册 ⇒ **二十二词**;模式 × 类仲裁表的列)。K-32 扩项 / server ≥7.106.0 起出现在
+ * 一只问**属于哪一类**(core `ASK_CLASSES`:7.34.0 铸二十词,core 7.39.0 起 `shell_floor` 入册 ⇒ 二十一词,core 7.40.0 起 `unstated` 入册 ⇒ 二十二词,core 7.41.0 起 `requires_user_interaction` 入册 ⇒ **二十三词**;模式 × 类仲裁表的列)。K-32 扩项 / server ≥7.106.0 起出现在
  * {@link ModeRelease.askClass} / `.classes` 与 deny 臂的 `askClass` / `classes` 上,以及通告 `permission.ask_released_by_mode` 的 detail 里;
  * K-37 扩项 / server ≥7.109.0(S-934 ②)起也在审批面:活卡帧 / 卡面 / 运维队列行 / `/stream` `pending` 帧的 `askClass` / `classes`
  * (同样经 core `isAskClass` 筛,读不出整对不投;见 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.askClass})。
  * 🔴 **门记录这一面是真闭集**(server 按 core `isAskClass` 筛,出集整条不上帧)。`bypassPermissions` 只放行其中**可放**的十类
  * (core `RELEASABLE_ASK_CLASSES`:`transcript_write` / `rule_unreadable` / `probe` / `write_protection` / `tool_marks_mcp` / `tool_marks_a2a` /
  * `artifact_shared_read` / `mode` / `unstated` / `ordinary`);其余(`operator_forced` 部署出身、`ask_rule` / `org_rule`、`hook`、`ancestor`、`content_question`、
- * `unverifiable_delete`、`governance_unavailable`、`policy_rra` …)任何模式下都照问。
+ * `unverifiable_delete`、`governance_unavailable`、`policy_rra`、`requires_user_interaction` …)任何模式下都照问。
+ *
+ * 🔴 **`requires_user_interaction`(core 7.41.0;server ≥7.116.0 提货)= 服务器声明「这只工具每次都要用户在场」**:MCP 服务器在工具申报里声明
+ * `_meta["anthropic/requiresUserInteraction"] === true`(只认布尔 `true`)⇒ 这只工具的**每一次**调用都问人 —— **每种模式含 `bypassPermissions`** 都问(**不在**可放十类里),
+ * 且**只有人的答**清得掉:请求 `settings.permissions.allow`、运维 `APPROVAL_GRANT`、技能清单 + `userInvokedSkills`、PreToolUse hook 的显式 allow 都清不掉它;
+ * 无审批席 ⇒ 拒(服务器侧零收到)、无人值守腿不答这一类;帧上同带 `requiresRealApproval:true` / `mandated:true`(`origin:"safety_tighten"`),卡上没有「不再询问」规则。
+ * 按 `askClass` 穷举渲卡的客户端要加这一个词;本型是闭集(server 对 `askClass` / `classes` 按 core `isAskClass` 筛,出集整对不投)。
  *
  * 🔴 **`unstated`(core 7.40.0;server ≥7.115.0 提货)= 没人表态的调用**:询问类模式(`default` / `acceptEdits` / `auto` / `plan`)下,MCP 服务器工具 / A2A 技能(引擎里「自己不表态权限」的席位)的调用,
  * 走到折叠尾**没有任何一层**(规则 / hook / 审批人 / 分类器 / 模式释放)说过「这次可以」⇒ 出一张 `askClass: "unstated"` 的卡(卡句 `The agent requested permission to use <tool>, but it has not been granted yet.`);
@@ -2385,7 +2429,9 @@ export type PermissionMode = "default" | "acceptEdits" | "plan" | "auto" | "bypa
  * 先探 `capabilities.settings.permissions.allowGrant`)· 运维 env `APPROVAL_GRANT` · PreToolUse hook 显式 `permissionDecision:"allow"` · 接审批面 · `permissionMode:"bypassPermissions"`(请求腿);
  * `plan` 模式下只有**只读**的服务器工具出这张卡。本类说的是「**没人说**」,不是 `ask_rule` / `org_rule` 那种「有人说了问」。
  */
-export type AskClass = "content_question" | "hook" | "ancestor" | "unverifiable_delete" | "transcript_write" | "org_rule" | "governance_unavailable" | "rule_unreadable" | "ask_rule" | "denial_limit_fallback" | "operator_forced"
+export type AskClass = "content_question" | "hook" | "ancestor" | "unverifiable_delete" | "transcript_write" | "org_rule" | "governance_unavailable" | "rule_unreadable" | "ask_rule" | "denial_limit_fallback"
+/** core 7.41.0 / server ≥7.116.0:服务器工具申报声明「每次调用都要用户在场」(见本型顶注)—— **不在** `bypassPermissions` 可放的十类里,只有人的答清得掉。 */
+ | "requires_user_interaction" | "operator_forced"
 /** core 7.39.0(#1260;server ≥7.113.0 提货):运维旋钮 `shellGate: "always"` 在**跑 shell 的席位**上的地板 —— `operator_always` 授权词所披露的那一问,
  *  自己成一类,免得持有另一种强制问的类集把它藏掉。与 `operator_forced` 同样**免疫 bypass**(不在 `bypassPermissions` 可放的十类里)。 */
  | "shell_floor" | "write_protection_unresolved" | "probe" | "write_protection" | "tool_marks_mcp" | "tool_marks_a2a" | "policy_rra" | "artifact_shared_read" | "mode"
@@ -3208,6 +3254,32 @@ export interface SkillSpec {
     name: string;
     description: string;
     content: string;
+    /** server ≥7.116.0(core 7.41.0 技能清单取上游全形):这只技能的**allow 规则来源**(字符串数组;条目文法 = 持久规则文法 ——
+     *  工具名、`mcp__<server>` / `mcp__<server>__*` 一类协议名;`*` / 写路径 / 域名形什么都不授予)。
+     *  🔴 **读法变了:它不是围栏**(≤7.115.x 引擎 7.40 把它当「只许这些」的围栏读)—— 7.116.0 起**没列的工具照常判**(询问类模式下问、
+     *  `bypassPermissions` 或部署 allow 下直接跑),不再因为没列被拒;**列着的工具在这只技能被激活之后、本 run 内免问**
+     *  (激活 = 请求顶层 {@link TaskRequest.userInvokedSkills} 点了它的名〔开跑即生效、不出 `Skill` 卡〕,或模型调 `Skill` 激活且那张卡被批准)。
+     *  清的是引擎的普通问与「没人表态」两类问;deny 规则 / ask 规则 / `APPROVAL_REQUIRE` / `APPROVAL_NEVER_AUTO` / shell 地板 / 写保护 / plan 模式的问,清单都清不掉。
+     *  🔴 **与 `settings.permissions.allow` 的关系随 server 代际变(7.117.0 起收成一种读法)**:**≥7.117.0**(能力位 `settings.permissions.allowLayer`,core 7.42.0)两只请求级放行源是**同一读法**
+     *  —— 同一条条目逐格同读(都进引擎的 allow 层、都清内置工具的写门 / shell 普通问、读成空的条目都发通告 `permission.allowed_tool_not_granted`);**7.116.x 上**请求自带技能的清单
+     *  **比同版 `settings.permissions.allow` 更宽**(后者当时只是表态,不放内置工具上引擎自己的写门 / shell 普通问)—— 那一口径到 7.116.x 为止。
+     *  值形:字符串数组(含空数组)⇒ 受理;裸串 / 含非串 / 对象 ⇒ 400 `request.field_invalid`;协议名的服务器段铸不出 / 缺段 / 带通配(`mcp__*`)⇒ 400
+     *  (顶层 `skills[]` 与子代 `agents[].skills[]` 两处受理口同判)。🔴 **7.117.0 起另有两道**(两张清单、顶层与子代两处受理口同判):**名字层**与 `settings.permissions.allow` 同一只判官 —— 退役名 / 无前缀短名(例 `Task`)
+     *  提交即 400(7.116.x 受理,引擎读作一个永不命中的名字);每张清单**超过 1000 条** ⇒ 400(句子给写法「合并成更宽的条目」;7.116.x 无帽)。
+     *  🔴 **先探 `capabilities.skillToolLists`**:位缺席 = 老 server ⇒ 顶层技能上的两只清单**照收但引擎不读**(静默不生效,没有 400 可探 ——
+     *  别指望清单拦得住工具,圈工具用 deny 规则),子代技能上是未知键整条拒。
+     *  🔴 `manifest` 键 server ≥7.116.0 **提交即拒**(顶层 400 `request.field_invalid`、子代整条技能拒);改写 `manifest.allowTools` → 本键;
+     *  写围栏 `allowPaths` 没有替身(圈写路径用会话规则 `allowDirs`)。本型从不声明 `manifest` ⇒ 顶层按型写不出它。 */
+    allowedTools?: string[];
+    /** server ≥7.116.0:这只技能的 **deny 规则来源**(同 {@link allowedTools} 的文法 / 两道受理门 / 探测位):技能被激活之后,本 run 内这些工具**拒**(不执行、零卡,
+     *  `tool_end.gate.disposition` 为 `{ kind: "denied", deniedBy: "policy" }`);写路径形(`Write(/tmp/**)`)与命令规则照编 deny 行。
+     *  🔴 **server ≥7.117.0:引擎读成空的条目提交即 400**(顶层 `skills[]` 与子代 `agents[].skills[]` 两处受理口同判)—— `*`、域名形(`WebFetch(domain:…)`)、协议名带通配、带空白 / 畸形的名字:
+     *  `400 request.field_invalid`,`error` = `skill.disallowedTools entry "<条目>" reads as nothing (<原因词>): <怎么写>`(子代那一层前缀 `agents[<i>]: skills[<j>]: `)。
+     *  为什么拒:一条以为拒了、其实什么也不拒的条目,比没有更坏(≤7.116.x 受理这种条目,只发一条 operator 受众、不上会话流的通告;**那个旧码已改名**为 `permission.allowed_tool_not_granted`,user 受众、上会话流 —— 见 `engine_notice` 臂)。
+     *  🔴 **续跑同判**:升级时还停驻、提交体里带这种条目的任务,续跑 ⇒ 认领之前 **409 `resume_blocked_by_policy`**(`blockedBy:"request.field_invalid"`,`error` 带同一句;行与卡一个字节不动,出路 = 取消、改好条目重提;
+     *  终态 run 的 `POST /v1/runs/:id/steer` 在铸唤醒卡之前当场同答)—— 因为引擎 7.41 去首尾空白(`"Bash "` 曾是一条有效的拒)而 7.42 逐字读(读成空),不判就是升级后那条拒无声消失。
+     *  allow 侧不拒(`allowedTools` 里读成空的条目发通告)。位缺席 = 老 server(见 {@link allowedTools})。 */
+    disallowedTools?: string[];
 }
 /** A per-request MCP server (CC `.mcp.json` parity) — core-native `McpServerSpec` shape (core types.ts:277).
  *  `stdio` = a local command the worker spawns (single-user only); `http` = a remote streamable-HTTP server. */
@@ -3379,15 +3451,18 @@ export interface Capabilities {
     /** #13([1871] web asks;server ≥1.296)fleet 面能力族——对象=面在场,`false`/缺席=无 /v1/fleet/stream
      *  (路由 501 同谓词)。`resume: "snapshot"` 是语义广告:总线是 latest-state 非事件日志,每次连接开头
      *  即全量 snapshot 帧 ⇒ 重连=重快照,行状态无丢帧(刻意无 last-event-id 游标——重放缓冲与 snapshot
-     *  重复建设);通知帧走 durable inbox 兜底重投。`steerPriority: "advisory"`=steer body.priority 收下+
-     *  枚举校验但 no-op(E15,候 core 队列 seam)——诚实不假 yes。开集容未来键。 */
+     *  重复建设);通知帧走 durable inbox 兜底重投。`steerPriority` 答「steer body.priority 在这台 server 上生不生效」,
+     *  **两代值**:`steerPriority: "advisory"`(server ≤7.115.x)= 收下 + 枚举校验 + 回显但**不生效**(no-op,诚实不假 yes);
+     *  `steerPriority: "engine"`(server ≥7.116.0)= `priority`(`now` / `next` / `later`)交给引擎作注入档位,各档语义只有
+     *  引擎那一个定义 —— `now` **当场**切断在飞的 turn(正在执行的工具收到中止、本副本上挂着的审批卡被撤),`later` 在 run 本会停下的那一 turn 之后才投,不带 = `next`。要不要给用户露出 priority 的选择,先读这一位;
+     *  缺席 / 未知词(开集)⇒ 按「不生效」处理,别当 `"engine"`。开集容未来键。 */
     fleet?: false | {
         stream?: boolean;
         sessionScope?: boolean;
         observe?: boolean;
         resume?: "snapshot" | (string & {});
         bgNotifyFailClosed?: boolean;
-        steerPriority?: "advisory" | (string & {});
+        steerPriority?: "advisory" | "engine" | (string & {});
         /** server ≥7.48.0(#281;K-32 扩项补声明 —— server 7.106.0 的复合位成员闭集 `COMPOSITE_CAPABILITY_MEMBERS` 登记了它,本包此前漏了):
          *  本二进制会在 `hook_notice` 帧上发**第二个** kind `hook_non_blocking_failure`(用户自配的 hook 自己坏了:exit ≠ 0 ∧ ≠ 2 / 超时 /
          *  起不来 / 坏 JSON)。缺席 = 老 worker 只发得出 `hook_decision_unavailable` 一个 kind ⇒ 渲染面按 `kind` 分派、未知 kind 别崩。 */
@@ -3441,7 +3516,8 @@ export interface Capabilities {
     /** S-32(server ≥7.53,`routes/capabilities.ts:731`)—— `GET /v1/config/catalog` operator lane(部署配置目录
      *  自描述,DESIGN-278 §5 S2)在**本部署**挂载。谓词**两项合取**,逐项对着路由拒绝臂写:①旋钮
      *  `CONFIG_CATALOG_ENABLED` 开着(默认 on;合规部署显式关 ⇒ 路径 404,阀门族先例)∧ ②operator 名单**非空**
-     *  (空名单下路由对任何身份恒 403)。
+     *  (空名单下路由对任何身份恒拒 —— server ≥7.116.0 答 **501 `capability.operator_principals_required`**,≤7.115.x 答 403)。
+     *  🔴 server ≥7.116.0 旋钮关着(`CONFIG_CATALOG_ENABLED=false`)时路径答 **501 `feature.config_catalog_disabled`**(≤7.115.x:404;同路径 `POST` ⇒ 405 + `Allow: GET`)—— 「这台没有」按 `errorCode` 判。
      *  🔴 **部署级可用性,不是调用者授权**(codex R1 验真后订正):调用者自己的身份**不在**谓词里 —— 路由另要求
      *  当前 principal 是显式 operator(`routes/config-catalog.ts` `explicitOperatorOk`,否则 403 `auth.operator_only`),
      *  非 operator 读到 `true` 照样 403。只对**已另行确立**为 operator 的身份展示/调用目录;本位回答的是「这台机
@@ -3535,8 +3611,21 @@ export interface Capabilities {
      *  `beginImportStaging` ∧ a file-snapshot store. 🔴 The fourth conjunct is the correction: this doc used to
      *  list only three, and that three-item version was DISPROVEN in the field ([2024], cli 取证) — a warm-cache
      *  wrapper store forwarded exactly those three and dropped the staging family, so caps said `true` while PUSH
-     *  Phase A 501'd forever. Gate the whole `client.sessions.sync.*` surface off this — DON'T trial-by-501. */
+     *  Phase A 501'd forever. Gate the whole `client.sessions.sync.*` surface off this — DON'T trial-by-501.
+     *
+     *  🔴 **server ≥7.116.0:本位说的是「对话半族」**(manifest / entries / plan / import 两段)—— 文件历史的 **blob 两口**(`PUT …/sync/blobs/:hash` /
+     *  `GET …/sync/history/blobs/:hash`)归新位 {@link sessionSyncFileHistory}。三种生产后端(mysql / pg / local)上本位**值不变**,变的是广告的端点收窄;
+     *  判据另加「策略店擦得动」(`deleteBySession`;嵌入方自带的策略店缺这只动词 ⇒ 整族 501 `capability.policy_purge_required`、本位为 `false`,
+     *  7.115.x 只有 consented `overwrite-dst` 的导入在 commit 前答 501)。 */
     sessionSync?: boolean;
+    /** server ≥7.116.0(S-509,契约附录 B.1,谓词类「设施依赖」):**会话同步的文件历史 blob 面**可用 —— `PUT /v1/sessions/:id/sync/blobs/:hash` 与
+     *  `GET /v1/sessions/:id/sync/history/blobs/:hash` 两口。= {@link sessionSync} ∧ 文件历史店有 blob 传输面(`syncBlobFaces`;**只有 SQL 后端有**,`DB_BACKEND=local` 上恒 `false`)。
+     *  🔴 **两端都读**:同步是 src → dst 两个 peer,**任一端为 `false` ⇒ 只同步对话**:别推 `fileHistory`、别 PUT blob(把 `fileHistory` 推给没有 blob 面的对端,
+     *  commit 之后因缺 blob 422 `missing_blob`)。位为 `false` 时两口答 **501 `capability.snapshot_store_required`**(任何会话 id 同一句,先于属主判);
+     *  blob「未被会话历史图引用 / 字节不存在」仍是 404 `not_found.blob`(scope 边界,只在有 blob 面的后端上可达)。
+     *  ⚠️ **缺席 = 老 server(≤7.115.x)**:那里 `sessionSync: true` 的 local 部署上 PUT blob 恒 501(位说「能」而口恒拒)—— 缺席时**读不出**这一面能不能用,
+     *  既有 verb 照旧试(`pushSessionBundle` / `pullSessionBundle` 对缺席位照旧尝试,见 {@link import("./sync.js").PushSessionResult.fileHistory})。 */
+    sessionSyncFileHistory?: boolean;
     /** 🔴 K-5 session-resume gates(service src/http/routes/capabilities.ts,§0.5 session 抽象)—— shell 的 `/resume` picker 据此诚实
      *  gate,别 trial-by-501:`sessionList` = list 可用(`Boolean(sessionStorage.listSessions ?? runStore.listSessions)`,
      *  喂 picker 行);`sessions` = transcript preview 可用(`Boolean(sessionAudit)`,`GET /v1/sessions/:id`→SessionAudit)。
@@ -3611,15 +3700,20 @@ export interface Capabilities {
         hooks?: boolean;
         [k: string]: unknown;
     };
-    /** 🔴 **server ≥7.115.0 起恒在**:`{ permissions: { allowGrant: true } }` —— 「请求体 `settings.permissions.allow` 按**哪一种读法**收」的**版本位**(S-654;wire additive,新顶层键)。
-     *  `permissions.allowGrant === true` = 这台 server 把 `allow` 桶编成 **allow 规则**:命中 = 给出「有人表态」(让没人表态的 MCP / A2A 服务器工具调用不再出卡),**不是免问、不是名单**
-     *  (名单外的工具不再被拒;引擎对内置工具的写门 / shell 检查照问,deny / ask 照赢;坏形 / 内容形名字提交即 422 —— 读法全文见 {@link import("./settings.js").SettingsPermissions.allow})。
-     *  🔴 **键缺席 = 老 server(≤7.114.x,按名单读 `allow`:名单外一律拒)—— 别投 allow 桶**(投了只是一份收窄,方向安全,但不是你要的「表态」)。
+    /** 🔴 **server ≥7.115.0 起恒在**:`{ permissions: { allowGrant: true } }`;**≥7.117.0 起 `permissions` 多一位 `allowLayer: true`** —— 「请求体 `settings.permissions.allow` 按**哪一种读法**收」的**版本位**(wire additive;两位都是恒真、
+     *  不随部署形变:单用户与 `REQUIRE_PRINCIPAL=true` 两形同值,不挂任何设施)。逐位读,三段读 `settings` → `permissions` → <位>:
+     *  · `allowGrant === true`(≥7.115.0)= 两代都成立的那句话:**allow 桶按 allow 规则读,不是名单**(名单外的工具不再被拒);键缺席 = 老 server(≤7.114.x,按名单读)—— **别投 allow 桶**(投了只是一份收窄,方向安全,但不是你要的)。
+     *  · `allowLayer === true`(**≥7.117.0**,core 7.42.0)= 这台 server 把 `allow` **整份原样**交给引擎的 **allow 层**:表里的调用**免问** —— 清「普通问 + 没人表态」两类(内置工具的写门 / shell 普通问也清,与参照实现的 `permissions.allow` 同读);
+     *    **内容形受理**(`Bash(git:*)`、`Read(//dir/<glob>)`);引擎读成空的条目(`*`、写路径 / 域名形、带空白的名字、`Read(~/…)`)**不拒**,开跑时收 `engine_notice` `permission.allowed_tool_not_granted`(user 受众);
+     *    清不掉的:任何一层的 deny / ask 规则、运维强制类(`APPROVAL_REQUIRE` / `APPROVAL_NEVER_AUTO` / `MANUAL_MODE_SHELL_GATE=always` / 写保护 / 敏感写 / 治理)、hook 的问、plan 的问 —— 清不掉而命中时卡上带 `allowRuleShadowed`
+     *    ({@link import("./resources/tool-approvals.js").ToolApprovalFrame.allowRuleShadowed});受理口只判**名字**(退役名 / 无前缀短名 / 协议名对端段铸不出 ⇒ 422)与条数(≤1000,超了 400),内容不判。
+     *    🔴 **键缺席 = 7.115.0–7.116.x(allow 只表态:不放掉内置工具的写门 / shell 检查,内容形整请求 422)或更老 —— 别指望内置工具免问、别投内容形**。
      *  ⚠️ 与 `taskSettings.permissions` 不是一件事:那一位不变、仍是布尔(只说「受理这一面」,读 `=== true` 的旧端不失明);判 allow 的读法只看本位。
-     *  本位是**版本位**:恒 `true`、不随部署形变;部署级「替谁表了态」(运维 env `APPROVAL_GRANT`)不在能力面,在 operator 诊断面 {@link ServerWiringGates.approvalGrant}。 */
+     *  运维侧「替谁表了态」(env `APPROVAL_GRANT`)不在能力面,在 operator 诊断面 {@link ServerWiringGates.approvalGrant}。 */
     settings?: {
         permissions?: {
             allowGrant?: boolean;
+            allowLayer?: boolean;
             [k: string]: unknown;
         };
         [k: string]: unknown;
@@ -3762,8 +3856,15 @@ export interface Capabilities {
     s3PublicEndpoint?: string | null;
     /** GET /v1/files/sent 台账面(`routes/capabilities.ts` 的能力对象 `Boolean(sendFileLedger)`)。 */
     sendUserFileLedger?: boolean;
-    /** GET /v1/workflows 列表面(`routes/capabilities.ts` 的能力对象 `Boolean(workflowRunStore)`;`workflows` 总位见上)。 */
+    /** GET /v1/workflows 的**列表 / 详情 / 流三口**(`Boolean(workflowRunStore)`;`workflows` 总位见上)。
+     *  🔴 **server ≥7.116.0:本位只说这三口,journal 口看新位 {@link workflowsJournal}**(7.115.x 的本位广告 journal 口,而 journal 店缺席时那一口恒 501 —— 位说「能」而口恒拒)。
+     *  本位**值不变**(= workflow 行店在场)。 */
     workflowsList?: boolean;
+    /** server ≥7.116.0(S-509,谓词类「设施依赖」):`GET /v1/workflows/:id/journal` 可用 = workflow 行店 ∧ journal 店。
+     *  无后端部署(`DB_BACKEND=memory`、多租户裸起、SQL 坐标没配齐)+ 自编排开着的形上 `workflowsList: true`、本位 `false`;位为 `false` 时 journal 口答
+     *  **501 `capability.workflow_store_required`**(对任何 id 同一句,先于按行判属主;行店缺席时是 `capability.self_orchestration_required`)。
+     *  🔴 **journal 入口读本位,别读 `workflowsList`**;**缺席 = 老 server(≤7.115.x)**⇒ 按 `workflowsList` 兜底(= 旧行为:位为真而 journal 口可能恒 501)。 */
+    workflowsJournal?: boolean;
     /** device lane 探测位(server `routes/capabilities.ts:162`;design/device-executor-lane-v2 §4.8)——
      *  **一个诚实对象或 `false`**,与 {@link fleet} / {@link workspace} 同族三态形。谓词 = `deps.deviceHub`
      *  在场,而那正是 `GET /v1/device/ws` 的 upgrade 处理器挂没挂的**同一个**判据(`server.ts` 的
@@ -3925,13 +4026,14 @@ export interface Capabilities {
      *  **例外**是配置被 lock 时,提交口 400 `config.locked_key`(那条 veto 正是让「说 yes ⟺ 路真能用」
      *  在这一形上仍成立的东西)。 */
     a2aInjection?: boolean;
-    /** server-as-peer 半场的**旋钮实况**(server `routes/capabilities.ts:564` =
-     *  `deps.config.a2aServe !== undefined`;DESIGN-269 车2)—— 这台 worker 是否作为一个 A2A agent 对外存在。
-     *  `true` ⟺ `A2A_SERVE_ENABLED` 开 ⟺ `GET /.well-known/agent-card.json` 与 `POST /v1/a2a` 两条路由存在;
-     *  `false` ⟺ 两条都 **404**(设计稿 §3.3「卡都不发 = 对外不存在」)。缺席即关。
-     *  ⚠️ **辖域 = 路由在不在,不是「每个方法都能跑」**:`message/send` / `tasks/get` 还需要 durable run store
-     *  (缺它时两个方法回具名 JSON-RPC `-32004`,不是静默降级)。server 刻意不把 runStore 折进本位 ——
-     *  那会造出「卡还在发、位却是 false」这种更糟的谎。 */
+    /** server-as-peer 半场的**能否对外存在**(DESIGN-269 车2;server ≥7.116.0 谓词 = **`A2A_SERVE_ENABLED` 旋钮 ∧ 有 durable run store**,契约附录 B.1「设施 + config」;
+     *  ≤7.115.x 只看旋钮 = `deps.config.a2aServe !== undefined`)—— 这台 worker 是否作为一个 A2A agent 对外存在。
+     *  `true` ⟺ 旋钮开 ∧ 有 run 店 ⟺ `GET /.well-known/agent-card.json` 与 `POST /v1/a2a` 两条路由存在;
+     *  `false` ⟺ 两条都 **404**(`not_found.route`,反指纹:「卡都不发 = 对外不存在」,**唯一**登记在 404 而非 501 的「不可用」例外)。缺席即关。
+     *  🔴 **7.116.0 的位值变化**:`A2A_SERVE_ENABLED=true` 而**没有 durable run store** 的部署(`DB_BACKEND=memory`、多租户裸起)上,本位由 `true` 变 `false`
+     *  —— 那里它广告的两条路由本来就恒拒(7.115.x:卡照发 200,`message/send` / `tasks/get` 恒答 JSON-RPC `-32004`);现在卡与 RPC 都 404,起服日志一行 warn
+     *  `a2a_serve_not_served`(`reason` 点名成因)。对端 orchestrator 对这种部署拉卡由 200 变 404(与旋钮关同一形)。出路:`DB_BACKEND=mysql|pg|local`,或关掉 `A2A_SERVE_ENABLED`。
+     *  旧注「server 刻意不把 runStore 折进本位」**作废**(位与路由门现读同一只事实,「位说有而端点恒拒」结构上不可能)。 */
     a2aServe?: boolean;
     /** 后台 agent **名册读面** `GET /v1/agents/roster` 的位(server `routes/capabilities.ts:640` =
      *  `Boolean(deps.backgroundAgentStore)`;#A1)。谓词**逐字**是那条路由的 501 门 ⇒「说 yes ⟺ 路由真能用」
@@ -4113,6 +4215,14 @@ export interface Capabilities {
      *  ⚠️ **缺席 = 老 server(≤7.108.x)**:那台对请求键答 400 `request.body_shape`(`unknownKeys` 逐字列名)⇒ 别发那个键,如实告诉用户
      *  「这台 server 上出厂技能照装」(CC `--disable-slash-commands` 在那台上兑现不了)。位为真**只**说「认这个键」,不说这台部署有没有出厂技能。 */
     disableSkills?: boolean;
+    /** **请求键 {@link TaskRequest.userInvokedSkills} 的事先读数**(server ≥7.116.0;恒真位,铸点字面 `userInvokedSkills: true`,不挂谓词、无租户门)—— 这台 server 认不认
+     *  顶层 `userInvokedSkills`(人用名字点过的技能,开跑即生效、不出 `Skill` 卡)。位名与请求键**同一个词**。
+     *  ⚠️ **缺席 = 老 server(≤7.115.x)**:那台对这个键答 400 `request.body_shape`(`unknownKeys` 逐字列名)⇒ **别发那个键**。位为真**只**说「认这个键」。 */
+    userInvokedSkills?: boolean;
+    /** **技能两只清单 `allowedTools` / `disallowedTools` 的事先读数**(server ≥7.116.0;恒真位):技能上的两只清单**生效**(allow / deny 规则来源,读法见 {@link SkillSpec.allowedTools})。
+     *  ⚠️ **缺席 = 老 server(≤7.115.x)**:顶层技能上的两只清单**照收但引擎不读**(静默不生效,**没有 400 可探**)—— 别指望清单拦得住工具,圈工具用 deny 规则
+     *  (请求 `settings.permissions.deny`);子代技能(`agents[].skills[]`)上两只清单是未知键 ⇒ 整条技能拒。 */
+    skillToolLists?: boolean;
     [k: string]: unknown;
 }
 /**
@@ -4333,6 +4443,9 @@ export interface LivePendingRow {
     sessionId?: string;
     requiresRealApproval?: true;
     governanceForced?: true;
+    /** server ≥7.116.0:这张卡上「本会话放行」不会被记住(真才带、永不 `false`;缺席 = 记得住 **或** 老 server)。与 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.rememberRefused}
+     *  **同一位**(`livePending` 行顶层与其内 {@link frame} 同投)。 */
+    rememberRefused?: true;
     /** server ≥7.101.0(T4① / 车OC;sdk 11.4.0 追平)—— 强制位(`AskRequest.mandated`),与上两位**同层同形**(真才带,
      *  缺席不编 false);值 = 条目上那一位(server `askBroadcast` 铸条目时取自这一次过闸的 `req.mandated`,与 {@link frame}
      *  上同名键同源)。此前只在 `frame` 里。 */
@@ -4447,6 +4560,9 @@ export interface PendingCheckpoint {
      *  以 stream 重发帧为准。additive,**只在为真时在场**,恒不写 false;缺席 ≠「非治理门」,是「无治理
      *  来源证据」。 */
     governanceForced?: true;
+    /** server ≥7.116.0:这张卡上「本会话放行」不会被记住(真才带、永不 `false`;缺席 = 记得住 **或** 老 server;`/v1/approvals` 的 `pending[]` 行与 `/stream` 的 `pending` 帧同投)。
+     *  与 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.rememberRefused} **同一位**。 */
+    rememberRefused?: true;
     /** server ≥7.100.0(S-700)—— 这只 park 住的 ask **只有真人能清**(core park 行孪生座,`=== true` 严判才铸)。
      *  与 inbox 行 / 活卡帧同名位同一件事。缺席 = 「没打这个标」,**不是**「不用人也能清」。 */
     requiresRealApproval?: true;
@@ -4513,6 +4629,13 @@ export interface PendingCheckpoint {
         /** core 5.11.0([2625] Added②):铸造时在场的 shell 门 doctrine 自报——仅 shell-gated ask 铸造
          *  时在场(在场条件敏感,勿按在场性判别 code;[2597] 案取证缺口的结构性补)。 */
         shellGateDoctrine?: "classify" | "always";
+        /** server ≥7.117.0(core 7.42.0)—— allow 层披露:命中这次调用、却没能清掉这只 ask 的成员,`{ member, entries, omitted? }[]`(见 {@link AllowRuleShadow};
+         *  语义逐字见 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.allowRuleShadowed} —— 本键是它的**耐久对偶**,经 `GET /v1/approvals` 与 `/stream` 的 `riskDescriptor`
+         *  整体透传;条目在读边界另过 server 的脱敏)。缺席 ≠ 「你没有规则」。
+         *  🔴 **旧键 `shadowedRule`(字符串)已退役**(≤7.116.x 的耐久对偶,本型从未声明它):SQL 后端在 7.117.0 升级起服时把停驻行一次性改写成
+         *  `[{ member: "persisted", entries: [<旧值>] }]`;**file 后端升级前的停驻行与已落盘的 run 结果**(`checkpointGate.riskDescriptor`)上旧键原样留着(文本仍脱敏,只缺结构化披露)——
+         *  读这两处的消费端要同时认得「旧串」,本包不为它再声明一个键。 */
+        allowRuleShadowed?: AllowRuleShadow[];
     } | null;
     [k: string]: unknown;
 }
@@ -4951,6 +5074,39 @@ export interface SyncSnapshot {
     key: string;
     manifest: Array<[string, string]>;
 }
+/** core `FileHistoryExport`(`formatVersion: "file-history/1"`)的**镜像** —— server ≥7.52(S-15 / design/381)起会话同步搬运文件历史的信封,**取代**已退役的 E19 整树快照
+ *  {@link SyncSnapshot}:per-edited-file 的版本链(tracked)+ 边界(boundaries);**blob 字节不在信封里**(按 hash 寻址,经 history blob 两口搬运,见
+ *  {@link import("./resources/session-sync.js").SessionSyncResource.getHistoryBlob} / `putBlob`)。SDK 只读 `tracked[].versions[].blobHash`(决定要搬哪些 blob),其余**逐字透传**
+ *  (server 的 import 门按 `formatVersion` refuse-not-coerce、复核 `keyKind` / `keyFamily` 闭集 —— SDK 不替它判,也不复制那两张闭集词表:二者按 `string` 读)。
+ *  键集对拍 core `dist/core/file-history-store.d.ts` 的 `FileHistoryExport`。 */
+export interface FileHistoryExport {
+    /** 今天唯一值 `"file-history/1"`;server 对别的值拒(不是 SDK 的判)。 */
+    formatVersion: string;
+    tracked: Array<{
+        /** 任务根下捕获 ⇒ 相对路径,否则逐字绝对路径。 */
+        relOrAbsPath: string;
+        /** 键的自描述(core 闭集;本包不复制词表)。 */
+        keyKind: string;
+        keyFamily: string;
+        /** `false` ⇒ pristine base 没能捕获(链从 v1 之上起);随图走、不推断。 */
+        baseAvailable: boolean;
+        /** 完整保留链(v1 在先当且仅当 `baseAvailable`)。`blobHash: null` = 「当时不存在」标记(不用搬 blob)。 */
+        versions: Array<{
+            version: number;
+            blobHash: string | null;
+            mode?: number;
+            parentIdent?: string;
+            backupTime: string;
+        }>;
+    }>;
+    boundaries: Array<{
+        entryId: string;
+        files: Array<{
+            relOrAbsPath: string;
+            version: number;
+        }>;
+    }>;
+}
 /** One E18 resume-at anchor (eventId→entryId + its source owner). `owner` is RE-KEYED to the importing principal
  *  on a PUSH (§9) — the local peer sends what it has; the cloud overwrites it. */
 export interface SyncAnchor {
@@ -4970,7 +5126,14 @@ export interface SessionManifest {
     entryCount: number;
     /** The session's current leaf entry id, or null. */
     leafId: string | null;
+    /** 🔴 **server ≥7.52(S-15)起不发这个键、wire 上不再有它**(E19 整树快照纪元退役;server `exportSessionManifest` 铸 `{ sessionId, entryIds, entryCount, leafId, fileHistory, policy, anchors }`,
+     *  7.116.0 发布字节逐键核过)。≤7.51 老 server 仍发它。**本型承诺它恒是数组**:{@link import("./resources/session-sync.js").SessionSyncResource.manifest} 在 wire 缺席时填 `[]`
+     *  ——  所以对 ≥7.52 的 server 它恒空,真正的文件历史在 {@link fileHistory}。
+     *  🚧 这是为了不在 minor 里收窄公开型的**披露性过渡**(`snapshots` 本该是可选 / 随退役纪元删除):**下一个 major 把它改可选并删掉 `manifest()` 的填充**。 */
     snapshots: SyncSnapshot[];
+    /** server ≥7.52:per-edited-file 文件历史信封({@link FileHistoryExport});`null` = 没有历史 / 源店导不出;**键缺席 = ≤7.51 老 server**(那一代走 {@link snapshots})。
+     *  搬 blob 前先读两端的 {@link Capabilities.sessionSyncFileHistory}(server ≥7.116.0)。 */
+    fileHistory?: FileHistoryExport | null;
     policy: SessionRulesRecord[];
     anchors: SyncAnchor[];
 }
@@ -4982,6 +5145,8 @@ export interface SessionBundle {
     /** The FULL durable conversation log, verbatim ids/parents/payload (oldest-first). */
     entries: SyncEntry[];
     snapshots: SyncSnapshot[];
+    /** 同 {@link SessionManifest.fileHistory}(server ≥7.52 的文件历史信封;键缺席 = 源是 ≤7.51 老 server)。 */
+    fileHistory?: FileHistoryExport | null;
     policy: SessionRulesRecord[];
     anchors: SyncAnchor[];
 }
@@ -6168,6 +6333,9 @@ export interface ApprovalDecisionResult {
     errorCode?: string;
     errorMessage?: string;
     retriable?: boolean;
+    /** 带 `remember` 的 `/decide` 才有的回执位。🔴 **server ≥7.116.0:在带授予的卡上(引擎 `Skill` 卡等,卡面位 `rememberRefused`)恒 `false`** —— 既有键,不是新键:
+     *  决定照收、只放行这一次、豁免店零写;同一条件也使 {@link import("./resources/tool-approvals.js").ToolApprovalFrame.rememberRefused} 在场。
+     *  普通卡上仍是「按请求记」(`true` ⇒ 之后同工具零卡)。 */
     rememberApplied?: boolean;
     /** #368 幂等回放形的判别式(同一份 decide 体重发、命中已决行);回放形**不带** `taskId`/`status:"resuming"`。 */
     idempotent?: true;
@@ -6219,6 +6387,7 @@ export interface ServerWiringGates {
  * **非空 ∨ `REQUIRE_PRINCIPAL`**:满足任一,调用方就必须是名单里的 principal,否则 403
  * `auth.operator_only`。**「没开 REQUIRE_PRINCIPAL」不等于开放** —— 列了名单的部署上匿名/非名单一样 403;
  * 唯一开放的姿势是空名单 ∧ 非多租户(单租户 turnkey,唯一的用户就是 operator)。
+ * 🔴 server ≥7.116.0:**多租户形 + 空名单 ⇒ 501 `capability.operator_principals_required`**(对任何身份,先于授权;≤7.115.x 是 403)—— 按 `errorCode` 分支。
  *
  * 🔴 **不含 per-leg 历史**:治理段只出现在 live 帧的 operator 投影里,durable 账本恒存剥后形(账本写的
  * 那一刻不知道未来读者是谁)。要某条历史腿的治理面,只能在它跑的时候以 operator 身份订阅。