@sema-agent/server 7.103.2 → 7.104.0

package/deploy/sema-up/sema-up.sh

@@ -17,6 +17,13 @@ set -euo pipefail
 HERE="$(cd "$(dirname "$0")" && pwd)"
 # `.env` 文法(写口 envf_representable + envf_encode / 读口 envf_canonical_line)的唯一定义 —— 写读两半从这一处取判据。
 . "$HERE/lib/envf.sh"
+# 数据根归属(S-851)与「壳怎么接」的渲染(S-850)各一处定义;preflight / kube-up / cluster-up 读同一份。
+. "$HERE/lib/dataroot.sh"
+. "$HERE/lib/shell-access.sh"
+# 取值旗的形(S-621):判据与词表(--profile / --users / --region / --git / --kube)的唯一定义;--help 的词表也从这里渲。
+. "$HERE/lib/flagshape.sh"
+# 日志一律打到 stderr(stdout 留给 --interactive=json 的协议行)。定义在最前面:参数一解析完就要判形,那时下面的函数都还没定义。
+log() { printf '[sema-up] %s\n' "$*" >&2; }
 # 执行车道表的唯一读者(S-599)。定义在**最前面**:`--help` 的词表也从表渲(手抄的词表会在加一条
 # 车道时静默分叉),而 `-h` 在参数循环里就被处理,那时后面的函数还没定义。
 lanes() { python3 "$HERE/lib/lanes.py" "$@"; }
@@ -32,22 +39,28 @@ PG_URL="${PG_URL:-}" S3_ENDPOINT="${S3_ENDPOINT:-}" S3_ACCESS_KEY="${S3_ACCESS_K
 usage() {
   cat <<'EOF'
 用法: sema-up.sh [选项]
-  --profile=P            full-single|data-center|local-plus|full-cluster
-  --users=U              single|multi
-  --region=R             auto|cn|global
+EOF
+  # 闭集词表从 lib/flagshape.sh 渲(单一属主):加 / 删一个词,这几行自己跟着变
+  printf '  --profile=P            %s\n' "$(printf '%s' "$FLAG_WORDS_PROFILE" | tr ' ' '|')"
+  printf '  --users=U              %s\n' "$(printf '%s' "$FLAG_WORDS_USERS" | tr ' ' '|')"
+  printf '  --region=R             %s\n' "$(printf '%s' "$FLAG_WORDS_REGION" | tr ' ' '|')"
+  cat <<'EOF'
   --interactive=json     机器可读交互协议(sema cloud deploy 渲染用)
   --yes                  全默认无人值守(与 -f 组合)
   -f FILE                site 配置(env 形式;machines.yaml=固定形状 mini-parser)
-  --project=NAME         compose project 名(默认 sema;并行试验用)
+  --project=NAME         compose project 名(默认 sema;并行试验用)。也是工作目录 ~/.sema-up/<名> 与自动数据根
+                         <盘>/sema-data/<名> 的一段 ⇒ 只收小写字母 / 数字 / - / _,首字符是字母或数字
+  --data-root=DIR        数据卷 bind 到这条目录(缺省:多盘机自动选大盘 <盘>/sema-data/<project>);首装落定不漂移,
+                         一条数据根只归一个项目(根里的 .sema-up-project 标记,别的项目的根一律拒)
   --dry-run              只打印将执行计划(不写 .env、不起任何容器)
-  --port=N               服务端口(默认 8090);--pg-port/--minio-port/--minio-console-port 同理
+  --port=N               服务端口(默认 8090);--pg-port/--minio-port/--minio-console-port 同理(端口旗只收 1–65535 的整数)
   --gateway=URL --model=ID --model-key=K   模型面(带 agent 的档必需)
 EOF
   # 词表从 lib/lanes.json 渲(单一属主):加/删一条车道,这行自己跟着变
   printf '  --sandbox=LANE         %s(full-single / local-plus;kube 路径不选词,runtimeClass 自动)\n' \
     "$(lanes choices | tr '\n' '|' | sed 's/|$//')"
   cat <<'EOF'
-  --registry=BOOL        配置中心网站(默认 true;local-plus 默认 false)
+  --registry=true|false  配置中心网站(默认 true;local-plus 默认 false;只收这两个词)
   --registry-image=REF   sema-registry 镜像(registry=true 必需,可 -f 配置 SEMA_REGISTRY_IMAGE)
   --git=MODE             none(默认)|provision(一键自建 Gitea)|connect(接已有 git)
   --git-url=URL --git-token=T   git=connect 的已有服务(Gitea/GitHub/任意三方 git;自动识别,证书不校验)
@@ -121,6 +134,39 @@ if [ -n "$CONF" ]; then
   esac
 fi
 
+# ── 取值旗的形(S-621;判据与词表单一属主 lib/flagshape.sh)─────────────────────────────────────────────
+# 一条规则:每只取值旗都过形判,在建任何目录、写任何文件之前(工作目录 ~/.sema-up/<project> 就建在这一段的下一行)。
+# 判的是**生效值**:命令行旗 ∪ -f 配置(env 形的 -f 在命令行之后 source,同名变量盖过旗 ⇒ 称呼里连变量名一起报)。
+# bool / enum 的空 = 没给(走缺省或询问);命令行上写了 `--旗=` 却没给值 ⇒ 不是没给,照判(空串不在任何闭集里)。
+# 交互答案由 ask() 判(必须是那道题的选项之一)。自由文本旗(URL / 镜像引用 / 路径 / 凭据 / 模型 id)不判,盘点见 README。
+_empty_flags=" "; for a in "$@"; do case "$a" in --*=) _empty_flags="$_empty_flags${a%=} " ;; esac; done
+flag_given() { case "$_empty_flags" in *" $1 "*) return 0 ;; esac; [ -n "$2" ]; }
+# 项目名是 compose 项目名,也是工作目录与自动数据根的一段路径(S-851):`..` / `/` / 空串会把两者指到别处。
+flag_project "--project(PROJECT)" "$PROJECT"
+if flag_given --profile "$PROFILE"; then flag_enum "--profile(PROFILE)" "$PROFILE" $FLAG_WORDS_PROFILE; fi
+if flag_given --users "$USERS"; then flag_enum "--users(USERS)" "$USERS" $FLAG_WORDS_USERS; fi
+flag_enum "--region(REGION)" "$REGION" $FLAG_WORDS_REGION
+if flag_given --registry "$REGISTRY_ENABLED"; then flag_bool "--registry(REGISTRY_ENABLED)" "$REGISTRY_ENABLED"; fi
+if flag_given --git "$GIT_MODE"; then flag_enum "--git(GIT_MODE)" "$GIT_MODE" $FLAG_WORDS_GIT; fi
+if flag_given --kube "$KUBE_MODE"; then flag_enum "--kube(KUBE_MODE)" "$KUBE_MODE" $FLAG_WORDS_KUBE; fi
+# --sandbox 的词表属车道表(lib/lanes.json):这里只判「是不是表里的在役词」(退役词照样拒并指路),
+# 与租户形相关的那一半(multi 不许 host 等)留给下面的车道块 `lanes resolve`。
+if flag_given --sandbox "$SANDBOX_LANE"; then lanes check "$SANDBOX_LANE" || exit 1; fi
+flag_port "--port(SERVER_PORT)" "$SERVER_PORT"
+flag_port "--pg-port(PG_PORT)" "$PG_PORT"
+flag_port "--minio-port(MINIO_PORT)" "$MINIO_PORT"
+flag_port "--minio-console-port(MINIO_CONSOLE_PORT)" "$MINIO_CONSOLE_PORT"
+flag_port "--git-http-port(GIT_HTTP_PORT)" "$GIT_HTTP_PORT"
+flag_port "--git-ssh-port(GIT_SSH_PORT)" "$GIT_SSH_PORT"
+# 没有旗、只从 -f / 环境来,但与上面几只同样落 .env、同样进预检的端口面。
+flag_port "REGISTRY_PORT(-f / 环境)" "$REGISTRY_PORT"
+# 无值旗落成的变量同样会被 env 形的 -f 覆盖,而下面四只布尔随后被**当命令执行**(`if $DRY_RUN`、`! $SKIP_PREFLIGHT`):
+# `1` 找不到命令 ⇒ 条件为假(set -e 不管条件)⇒ 显式 --dry-run 静默变真装;`yes` 会跑起 yes 程序(车内 codex r1 [high])。一并判。
+flag_bool "--dry-run(DRY_RUN)" "$DRY_RUN"
+flag_bool "--teardown(TEARDOWN)" "$TEARDOWN"
+flag_bool "--teardown-volumes(TEARDOWN_VOLUMES)" "$TEARDOWN_VOLUMES"
+flag_bool "--skip-preflight(SKIP_PREFLIGHT)" "$SKIP_PREFLIGHT"
+flag_enum "--interactive=json / --yes(MODE_INTERACTIVE)" "$MODE_INTERACTIVE" $FLAG_WORDS_INTERACTIVE
 WORK="$HOME/.sema-up/$PROJECT"; mkdir -p "$WORK"; chmod 700 "$HOME/.sema-up" "$WORK"
 # 凭据/配置文件的坐标(S-599 提到这里:车道决策要在模型面之前读既有 .env)。**读写原语全在 lib/envf.sh**
 # (envf_get / envf_has / envf_load / envf_put / setk / setk_new / resetk,S-618):决策键严格读口、写口序列化、
@@ -165,7 +211,6 @@ fact_conflict() {
 # 协议流(--interactive=json 的 question/summary 行)固定走 fd3=原始 stdout——
 # $(ask …) 的命令替换只捕获答案,协议行不被吞(真机验出的坑)
 exec 3>&1
-log() { printf '[sema-up] %s\n' "$*" >&2; }
 
 # compose 入口解析:优先 docker compose(插件),缺了退 docker-compose(独立版)——
 # homebrew 裸 docker CLI 不带插件是真场景;都没有=报错带下一步
@@ -183,6 +228,15 @@ compose_globals() {
   COMPOSE_GLOBALS=(--project-name "$PROJECT" --env-file "$ENVF" -f compose.yaml)
   if [ -n "$DATA_ROOT" ]; then COMPOSE_GLOBALS+=(-f compose.dataroot.yaml); fi
 }
+# compose 路径的「壳接入」(S-850):引擎口在这台机的回环上直连,别的机器 ssh 隧道到它的回环。dry-run 计划与汇总调同一只;
+# 文本与 json 两形的接法同源(lib/shell-access.sh 渲)。<端口> = 这台部署真会用的引擎口。
+compose_shell_access_text() {
+  shell_access_text "$ENVF" "引擎这台机上:" "" "http://127.0.0.1:$1" \
+    "别的机器上:" "ssh -L <本地口>:127.0.0.1:$1 <用户>@$HOSTIP" "http://127.0.0.1:<本地口>"
+}
+compose_shell_access_json() {
+  shell_access_json "$ENVF" "http://127.0.0.1:$1" "ssh -L <local-port>:127.0.0.1:$1 <user>@$HOSTIP" "http://127.0.0.1:<local-port>"
+}
 
 # ── 跨平台探针(Linux 目标机为主;macOS 开发机跑 docker 档也是真场景——npx 分发)────────────
 ram_mb() { if [ -r /proc/meminfo ]; then awk '/MemTotal/{printf "%d", $2/1024}' /proc/meminfo
@@ -236,6 +290,13 @@ ask() {
       log "⛔ 选项 $ans 在本机不可行:${infpart%%|*};建议:${infpart#*|}"; exit 1
     fi
   done
+  # 有选项的题,答案必须是选项之一(S-621,与取值旗同一条规则:不在闭集里的词一律拒,不会落进「别的那一臂」)。
+  # 没有选项的题(网关 / 模型 id / 地址 / 凭据)是自由文本。
+  if [ "$#" -gt 0 ]; then
+    local hit=false words=""
+    for o in "$@"; do [ "${o%%:*}" = "$ans" ] && hit=true; words="${words:+$words / }${o%%:*}"; done
+    if ! $hit; then log "⛔ 问题 $id 的回答 $(flag_show "$ans") 不是选项 —— 可选:$words"; exit 1; fi
+  fi
   printf '%s' "$ans"
 }
 
@@ -261,8 +322,8 @@ if $TEARDOWN; then
     fi
     log "已卸载 project=$PROJECT $($TEARDOWN_VOLUMES && echo '(含数据卷)' || echo '(数据卷保留:pgdata/miniodata/registrydata/gitdata)')"
     if $TEARDOWN_VOLUMES && [ -n "$DATA_ROOT" ]; then
-      # ${DATA_ROOT} 必须带花括号:后面紧跟中文破折号,bash 3.2(macOS 系统壳)会把多字节并进变量名(真踩)
-      log "⚠ 数据根在大盘 bind 目录 ${DATA_ROOT}——卷对象已删,盘上文件还在;确认不要了再手动 rm -rf"
+      # 删不删盘上文件看这条根归谁(S-851:标记是别的项目 / 没有标记 ⇒ 不教 rm -rf)。
+      dataroot_teardown_hint "$DATA_ROOT"
     fi
   else log "没有找到 $ENVF,无可卸载"; fi
   exit 0
@@ -322,7 +383,6 @@ fi
   "none:不带(已有别的地方管代码,或暂时用不上)" \
   "provision:一键自建 Gitea(本机起一个 git 服务,含管理员账号)" \
   "connect:接已有的 git 服务(自建 Gitea 或 GitHub,填地址+token)")
-case "$GIT_MODE" in none|provision|connect) : ;; *) log "⛔ --git 只认 none|provision|connect(收到:$GIT_MODE)"; exit 1 ;; esac
 if [ "$GIT_MODE" = "connect" ]; then
   [ -z "$GIT_URL" ] && { [ "$MODE_INTERACTIVE" = "none" ] && { log "⛔ --git=connect 需要 --git-url(如 https://gitea.example.com 或 https://github.com/<org>)"; exit 1; } || GIT_URL=$(ask git_url "git 服务地址?(如 https://gitea.example.com)" "" "要验证连通并登记进配置中心"); }
   [ -z "$GIT_TOKEN" ] && { [ "$MODE_INTERACTIVE" = "none" ] && { log "⛔ --git=connect 需要 --git-token(该服务的 access token)"; exit 1; } || GIT_TOKEN=$(ask git_token "该服务的 access token?" "" "验证连通用;Gitea 还会用它自动建 OAuth 登录应用"); }
@@ -426,7 +486,9 @@ if [ "$PROFILE" = "full-cluster" ]; then
         MODEL_GATEWAY_BASEURL="$GATEWAY" MODEL_ID="$MODEL" MODEL_API_KEY="${MODEL_KEY:-${MODEL_API_KEY:-}}" \
         exec "$HERE/kube-up.sh"
       ;;
-    *) log "⛔ --kube 只认 existing|k3s|machines(收到:$KUBE_MODE)"; exit 1 ;;
+    # 到不了:旗在建工作目录之前按 FLAG_WORDS_KUBE 判过,交互答案在 ask() 里按选项判过(选项 == 词表,对拍钉在
+    # test/sema-up-flag-shape.test.ts)。真到这里 = 词表加了词而这里没加分支。
+    *) log "⛔ 内部不一致:--kube=$KUBE_MODE 过了形判(lib/flagshape.sh 的 FLAG_WORDS_KUBE)却没有对应分支 —— 词表与这里的分支要同批改"; exit 1 ;;
   esac
 fi
 
@@ -462,7 +524,7 @@ if ! $SKIP_PREFLIGHT; then
       PF_PORTS="${NEW_PORTS#,}"
     fi
   fi
-  PF="$("$HERE/preflight.sh" --json --profile="${PROFILE:-full}" --ports="$PF_PORTS")" || {
+  PF="$("$HERE/preflight.sh" --json --profile="${PROFILE:-full}" --ports="$PF_PORTS" --project="$PROJECT")" || {
     emit "{\"type\":\"preflight\",\"deployable\":false,\"findings\":$(printf '%s' "$PF" | sed 's/.*"findings"://;s/,"deployable".*//')}" "预检未过:"
     printf '%s\n' "$PF" | python3 -c 'import json,sys
 d=json.load(sys.stdin)
@@ -487,23 +549,45 @@ if [ "$REGION" = "auto" ]; then
   REGION=$(awk -v a="$t_cn" -v b="$t_gl" 'BEGIN{print (a<b)?"cn":"global"}')
 fi
 HOSTIP=$(host_ip)
-# E(S-618):进度日志只打**已校验的决策词**,不回显未过校验的原始输入。REGISTRY_ENABLED 到这里还是运维
-# argv 的原样值(真正的校验在 resetk 写口),曾把带标记的 --registry 值抢先泄进 stderr(test srv796 实测 NEW-5)——
-# 收成 on/off 决策词。region/profile/users/lane/git 到这里都已定死(车道块 / git 词校验都在上面)。
+# E(S-618):进度日志只打**已校验的决策词**,不回显未过校验的原始输入(曾把带标记的 --registry 值抢先泄进 stderr,
+# test srv796 实测 NEW-5)。7.104.0 起(S-621)REGISTRY_ENABLED 在建工作目录之前已过形判(只会是 true / false,或空 =
+# 走档位缺省,缺省在上面已落定),registry 仍收成 on/off 决策词。region/profile/users/lane/git 到这里都已定死
+# (形判在参数解析之后、交互答案在 ask() 里、车道在车道块)。
 log "region=$REGION profile=$PROFILE users=$USERS sandbox=${SANDBOX_LANE:-n/a} lane=${LANE_REMOTE_EXEC:-n/a} registry=$([ "$REGISTRY_ENABLED" = "true" ] && echo on || echo off) git=$GIT_MODE"
 
-# ── 数据盘选择(多盘机自动选大容量盘;--data-root 显式优先;macOS 不自动——bind 要经 VM 挂载,
-#    显式给了才用)。首装落 .env 后不漂移:换盘=先 --teardown-volumes 迁数据再重装。──────────────
-if [ -z "$DATA_ROOT" ] && [ "$(uname -s)" = "Linux" ] && [ "$PROFILE" != "local-plus" ]; then
+# ── 数据根(S-851:一条规则 —— 数据根归一个项目所有;判据全在 lib/dataroot.sh)───────────────────────────
+# 取哪条根:`.env` 首装值(已装的项目不漂移,不搬数据)∨ --data-root / -f 的 DATA_ROOT ∨ 多盘机自动选大容量盘
+# (<盘>/sema-data/<project>;macOS 不自动 —— bind 要经 VM 挂载,显式给了才用)。换盘 = 先 --teardown-volumes 迁数据,
+# 删掉 .env 的 DATA_ROOT_DIR 行,再带新 --data-root 重装。
+# 能不能用:dataroot_judge —— 在 dry-run 出口与任何写动作**之前**判(dry-run 同判、不写),拒 = 非零退出、目录零改动。
+# 判的必须是 compose 真正插值的那一个值:compose.dataroot.yaml 读 ${DATA_ROOT_DIR},而 compose 插值里 shell / -f 导出**优先于**
+# --env-file ⇒ DATA_ROOT_DIR 是一条部署事实,走 deploy_fact(与 REQUIRE_PRINCIPAL / REMOTE_EXEC 同一条规则:两处不一致 ⇒ 拒)。
+# 只判 --data-root 而 compose 挂导出值 = 所有权检查被绕过(车内 codex r1-F1)。`_stored` 只取 .env 的首装值:认存量归属的唯一证据。
+_stored="$(envf_get DATA_ROOT_DIR)" || exit 1
+deploy_fact DATA_ROOT_DIR; _dr_fact="$FACT_VAL" _dr_fact_src="$FACT_SRC"
+DATA_ROOT_SRC=""
+if [ -n "$_stored" ]; then
+  if [ -n "$DATA_ROOT" ] && [ "$DATA_ROOT" != "$_stored" ]; then
+    log "⚠ --data-root=$DATA_ROOT 与首装选定的 $_stored 不同——沿用首装值(换盘流程:--teardown-volumes 后迁数据,删掉 $ENVF 的 DATA_ROOT_DIR 行再带新 --data-root 重装)"
+  fi
+  DATA_ROOT="$_stored"; DATA_ROOT_SRC="$ENVF 的首装值 DATA_ROOT_DIR"
+elif [ -n "$_dr_fact" ]; then
+  # 首装、但 shell / -f 导出了 DATA_ROOT_DIR:compose 会挂它 ⇒ 数据根就是它;--data-root 另给了一个不同的 ⇒ 拒(不替运维挑)。
+  fact_conflict DATA_ROOT_DIR "$_dr_fact" "$_dr_fact_src" "${DATA_ROOT:-$_dr_fact}" "--data-root=${DATA_ROOT:-$_dr_fact}"
+  DATA_ROOT="$_dr_fact"; DATA_ROOT_SRC="$_dr_fact_src 导出的 DATA_ROOT_DIR"
+elif [ -n "$DATA_ROOT" ]; then
+  DATA_ROOT_SRC="--data-root / -f 的 DATA_ROOT"
+elif [ "$(uname -s)" = "Linux" ] && [ "$PROFILE" != "local-plus" ]; then
   ROOT_AVAIL=$(df -BG --output=avail / 2>/dev/null | tail -1 | tr -dc '0-9'); ROOT_AVAIL=${ROOT_AVAIL:-0}
   BEST_LINE=$(df -BG --output=source,avail,target 2>/dev/null | awk '$1 ~ /^\/dev\// && $3 != "/" && $3 !~ /^\/(boot|efi)/ {gsub(/G/,"",$2); print $2"\t"$3}' | sort -rn | head -1)
   BEST_GB="${BEST_LINE%%$'\t'*}"; BEST_MNT="${BEST_LINE#*$'\t'}"
   # 逻辑闸:候选盘要「明显更大」(>2× 根盘可用)才自动切,免得在两块差不多的盘之间抖
   if [ -n "$BEST_LINE" ] && [ "${BEST_GB:-0}" -gt $(( ROOT_AVAIL * 2 )) ]; then
-    DATA_ROOT="$BEST_MNT/sema-data"
-    log "多盘机:自动选大容量盘 $BEST_MNT(${BEST_GB}G avail,根盘 ${ROOT_AVAIL}G)→ 数据根 $DATA_ROOT(--data-root 可覆盖)"
+    DATA_ROOT="$(dataroot_for_disk "$BEST_MNT" "$PROJECT")"; DATA_ROOT_SRC="多盘机自动选盘"
+    log "多盘机:自动选大容量盘 $BEST_MNT(${BEST_GB}G avail,根盘 ${ROOT_AVAIL}G)→ 数据根 $DATA_ROOT(按项目分;--data-root 可覆盖)"
   fi
 fi
+if [ -n "$DATA_ROOT" ]; then dataroot_judge "$DATA_ROOT" "$_stored" "$DATA_ROOT_SRC"; fi
 
 # ── 必需镜像的显式校验(在 dry-run/写 .env 之前,报错带下一步动作)────────────────────────────
 # 数据面细分:外接第三方 PG(--pg-url)/S3(--s3-endpoint)时对应服务不本地部署
@@ -523,7 +607,9 @@ case "$PROFILE" in full-single|local-plus) COMPOSE_PROFILES="$COMPOSE_PROFILES,a
 COMPOSE_PROFILES="${COMPOSE_PROFILES#,}"; COMPOSE_PROFILES="${COMPOSE_PROFILES%,}"
 case ",$COMPOSE_PROFILES," in *,agent,*)
   if [ -z "${SEMA_SERVER_IMAGE:-}" ] && ! envf_has SEMA_SERVER_IMAGE; then
-    log "⛔ $PROFILE 档需要 sema-server 镜像。下一步:-f 配置里加 SEMA_SERVER_IMAGE=<registry>/sema-server:<tag>(默认=ghcr.io/sema-agent/sema-server:<tag> 公开仓匿名可拉;CN 兜底=内网 Gitea 仓;SWR 已弃用);镜像分发=D4"
+    # tag 写法取本包版本(脚本随 npm 包发,包根的 package.json 就是它的版本);发布镜像的 tag = git tag = v<版本>(ci.yml 按 ref 名推)。
+    _pkgv="$(python3 -c 'import json, sys; print(json.load(open(sys.argv[1]))["version"])' "$HERE/../../package.json" 2>/dev/null || true)"
+    log "⛔ $PROFILE 档需要 sema-server 镜像。下一步:-f 配置里加 SEMA_SERVER_IMAGE=ghcr.io/sema-agent/sema-server:v${_pkgv:-<版本>}(tag 带 v —— 发布镜像按 git tag v<版本> 打,不带 v 的 :${_pkgv:-<版本>} 拉不到;公开仓匿名可拉;CN 兜底 = 自建镜像仓里的同名镜像)"
     exit 1
   fi ;;
 esac
@@ -551,6 +637,12 @@ if $DRY_RUN; then
     [ "$GIT_MODE" = "connect" ] && echo "   +. 验证 $GIT_URL 连通(Gitea→GitHub→通用 git 探测链,证书不校验;Gitea=自动建 OAuth app,其余=打印待人工项)"
     echo "   5. 装后即验(PG/S3$([ "$PROFILE" != "data-center" ] && printf '/引擎 health')$([ "$REGISTRY_ENABLED" = "true" ] && printf '/registry healthz')$([ "$GIT_MODE" = "provision" ] && printf '/gitea healthz'))+ 一屏 summary"
     echo " 端口: $PF_PORTS(bind:数据面 $([ "$PROFILE" = "data-center" ] && echo 0.0.0.0 || echo 127.0.0.1);服务/registry/git 0.0.0.0)"
+    if [ -n "$DATA_ROOT" ]; then dataroot_plan_line "$DATA_ROOT"; fi
+    case ",$COMPOSE_PROFILES," in *,agent,*)
+      # 端口按这台部署真会用的那一个:重跑时 .env 的首装值赢(setk 不覆盖),只读、不写。
+      _dry_port="$(envf_get SERVER_PORT)" || exit 1; _dry_port="${_dry_port:-$SERVER_PORT}"
+      compose_shell_access_text "$_dry_port" ;;
+    esac
     echo " 卸载: $0 --project=$PROJECT --teardown(留数据)/--teardown-volumes(连卷删)"
     echo "═══════════════════════════════════════════════"
   } >&2
@@ -672,19 +764,11 @@ elif [ "$GIT_MODE" = "connect" ]; then
   resetk GIT_TOKEN "$GIT_TOKEN"
 fi
 
-# DATA_ROOT 落定(首装写 .env 后为准——重跑换值会造出一套空卷,数据看似丢失)。首装值经严格读口解码回读
-# (S-618 续:路径含空格时写口落整值单引号形,旧的裸 grep|cut 会把引号当成路径的一部分)。
-_stored="$(envf_get DATA_ROOT_DIR)" || exit 1
-if [ -n "$_stored" ]; then
-  if [ -n "$DATA_ROOT" ] && [ "$DATA_ROOT" != "$_stored" ]; then
-    log "⚠ --data-root=$DATA_ROOT 与首装选定的 $_stored 不同——沿用首装值(换盘流程:--teardown-volumes 后迁数据重装)"
-  fi
-  DATA_ROOT="$_stored"
-elif [ -n "$DATA_ROOT" ]; then
-  setk DATA_ROOT_DIR "$DATA_ROOT"
-fi
+# DATA_ROOT 落定(根在上面「数据根」块里已定、已判归属;首装写 .env 后为准 —— 重跑换值会造出一套空卷,数据看似丢失)。
+# 首装值经严格读口解码回读(S-618 续:路径含空格时写口落整值单引号形)。建根 / 卷目录 / 写项目标记都在 dataroot_settle 里。
 if [ -n "$DATA_ROOT" ]; then
-  for d in pgdata miniodata registrydata gitdata; do mkdir -p "$DATA_ROOT/$d"; done
+  [ -n "$_stored" ] || setk DATA_ROOT_DIR "$DATA_ROOT"
+  dataroot_settle "$DATA_ROOT"
 fi
 
 # A(S-618):`.env` 生成完毕 —— 把 setk 持久化的**生效端口**回读进 shell 变量(替代旧 source 的这半)。
@@ -942,11 +1026,23 @@ fi
 
 # ── 汇总(凭据打印一次;文件 0600 常驻;一屏读完)────────────────────────────────────────────
 if [ "$MODE_INTERACTIVE" = "json" ]; then
-  printf '{"type":"summary","profile":"%s","region":"%s","pg":"postgres://sema:***@%s:%s/sema","s3":"http://%s:%s","buckets":%s,"pgSharedBuffers":"%s","health":"%s","registry":"%s","git":"%s","credentialsFile":"%s"}\n' \
-    "$PROFILE" "$REGION" "$HOSTIP" "$PG_PORT" "$HOSTIP" "$MINIO_PORT" "${V_BK:-0}" "$V_PG" "$V_HEALTH" \
+  # 整行经 json.dumps 铸(S-850 同批):此前 printf 拼 JSON —— `health` 塞的是 /health 响应体的前 60 字节(自带双引号)、
+  # 路径 / URL 里的引号与反斜杠也不转义 ⇒ 带 agent 的档这一行恒不是合法 JSON(本批加 `shellAccess` 时红格读出)。
+  # 键名与取值口径逐字不变;`buckets` 是数字时仍是 JSON 数字(没建桶的档是串 "n/a",此前那一形同样不合法);
+  # `shellAccess` = 壳接入(没有引擎的档为 null)。
+  SHELL_ACCESS_JSON="null"
+  case ",$COMPOSE_PROFILES," in *,agent,*) SHELL_ACCESS_JSON="$(compose_shell_access_json "$SERVER_PORT")" ;; esac
+  python3 -c 'import json, sys
+a = sys.argv[1:]
+buckets = a[5]
+print(json.dumps({"type": "summary", "profile": a[0], "region": a[1], "pg": "postgres://sema:***@%s:%s/sema" % (a[2], a[3]),
+                  "s3": "http://%s:%s" % (a[2], a[4]), "buckets": int(buckets) if buckets.isdigit() else buckets,
+                  "pgSharedBuffers": a[6], "health": a[7], "registry": a[8], "git": a[9], "credentialsFile": a[10],
+                  "shellAccess": json.loads(a[11])}, ensure_ascii=False, separators=(",", ":")))' \
+    "$PROFILE" "$REGION" "$HOSTIP" "$PG_PORT" "$MINIO_PORT" "${V_BK:-0}" "$V_PG" "$V_HEALTH" \
     "$([ "$REGISTRY_ENABLED" = "true" ] && echo "http://$HOSTIP:$REGISTRY_PORT" || echo n/a)" \
     "$(case "$GIT_MODE" in provision) echo "http://$HOSTIP:$GIT_HTTP_PORT";; connect) echo "$GIT_URL";; *) echo n/a;; esac)" \
-    "$ENVF" >&3
+    "$ENVF" "$SHELL_ACCESS_JSON" >&3
 else
   {
     echo
@@ -960,7 +1056,8 @@ else
     esac
     [ -n "$S3_ENDPOINT" ] && echo " S3(外接) $S3_ENDPOINT(连接检测+三桶已确保;密钥在 .env)"
     case ",$COMPOSE_PROFILES," in *,agent,*)
-      echo " 引擎      http://$HOSTIP:$SERVER_PORT(/health: $V_HEALTH;API 凭据=SERVICE_AUTH_TOKEN)" ;;
+      echo " 引擎      http://$HOSTIP:$SERVER_PORT(/health: $V_HEALTH;API 凭据=SERVICE_AUTH_TOKEN)"
+      compose_shell_access_text "$SERVER_PORT" ;;
     esac
     if [ "$REGISTRY_ENABLED" = "true" ]; then
       echo " 配置中心  http://$HOSTIP:$REGISTRY_PORT(healthz $V_REG)"

package/deploy/sema-up/smoke.sh

@@ -8,6 +8,9 @@ set -u
 HERE="$(cd "$(dirname "$0")" && pwd)"
 # `.env` 的文法与读原语只在 lib/envf.sh 定义(S-618 续):本脚本读 `.env` 只经 envf_load,不 source。
 . "$HERE/lib/envf.sh"
+# 取值旗的形(S-621):判据同 sema-up.sh 一处定义。
+. "$HERE/lib/flagshape.sh"
+log() { printf '[smoke] %s\n' "$*" >&2; }
 
 PROJECT="" URL="" TOKEN=""
 for a in "$@"; do case "$a" in
@@ -15,6 +18,8 @@ for a in "$@"; do case "$a" in
   --url=*) URL="${a#*=}" ;;
   --token=*) TOKEN="${a#*=}" ;;
 esac; done
+# --project 是 ~/.sema-up/<名> 的一段路径(与 sema-up 同一只形判;空 = 远程 URL 模式)。--url / --token 是自由文本。
+[ -z "$PROJECT" ] || flag_project "--project" "$PROJECT"
 
 FAILS=0
 ok()   { printf '[OK  ] %s\n' "$1"; }

package/dist/auto-mode-face.js

@@ -2,12 +2,11 @@ import { createRequire } from "node:module";
 import { readFileSync } from "node:fs";
 import { dirname, join } from "node:path";
 import { z } from "zod";
-import { classifierSeatModel, expandTiers, resolveTaskModel } from "@sema-agent/core";
-import { DEFAULT_MODEL_REF } from "./model-select.js";
+import { classifierSeatModel } from "@sema-agent/core";
+import { resolveMainModel } from "./model-select.js";
 export function classifierRouteFor(deps) {
     try {
-        const expanded = expandTiers(deps.models, deps.tiers ?? {}) ?? deps.models;
-        const main = resolveTaskModel({ model: DEFAULT_MODEL_REF }, { ...deps, ...(expanded !== undefined ? { models: expanded } : {}) }).model;
+        const main = resolveMainModel(deps);
         return { id: classifierSeatModel({ deps, main }).model.id };
     }
     catch (err) {

package/dist/boot/budget-tracing.js

@@ -31,7 +31,7 @@ export function createBudgetAndTracing(ctx) {
     const sideQueryAccounting = createSideQueryAccountant(metrics, costQuota, fleetUsage, fleetLease, (m) => config.modelQuotaWeights[m] ?? 1);
     const toolResultStore = backend?.toolResult ? backend.toolResult() : undefined;
     const sessionPolicyStore = backend ? backend.sessionPolicy() : undefined;
-    const { store: fileHistoryStore, erasure: fileHistoryErasure } = assembleFileHistory(backend, config.fileHistoryCapture);
+    const { store: fileHistoryStore, erasure: fileHistoryErasure } = assembleFileHistory(backend);
     return {
         brain, degradeRouteWatch, pricing, counterDegradeHook, costQuota, modelUsageTracker, promptManifestTracker,
         fleetUsage, fleetLease, tracer, sideQueryAccounting, toolResultStore, sessionPolicyStore, fileHistoryStore, fileHistoryErasure,

package/dist/boot/config-center.d.ts

@@ -9,6 +9,7 @@ import { type CenterCredentialHealthView } from "../center-credential-renewer.js
 import { type ModelKeyRef } from "../key-resolver.js";
 import type { Logger } from "../observability/logger.js";
 import type { Metrics } from "../observability/metrics.js";
+import { type SealedKeyPublicFace } from "../sealed-key.js";
 import type { UnpricedCeilingVerdict } from "./unpriced-ceiling-verdict.js";
 import type { ConsolidationSeatWatch } from "./memory-consolidation.js";
 import type { DegradeRouteWatch } from "../brain.js";
@@ -36,10 +37,13 @@ export type SelfReportChange = "roster_landed" | "restart_signal" | "model_refus
 export interface ConfigCenterRuntime {
     /** 配置源形态;`undefined` = 纯 env 部署(本运行时的所有分支不存在)。 */
     readonly providerKind: "remote" | "local" | undefined;
+    /** S-737:本进程模型钥匙保管店的**公钥面**(只有最新那把公钥;私钥 / 持有 id 列表 / 开箱口结构上够不着,见
+     *  `sealed-key.ts` `SealedKeyPublicFace`)。present-iff boot 期建店成功 —— 建店与配置源形态无关(纯 env / 本地 / 远程
+     *  三形都建),失败 ⇒ `undefined`(`sealed_key_store_unavailable` 那一行已响亮告警)。店只在 boot 建一次、进程内不换钥匙,
+     *  所以这是一个值,不是 getter。唯一读者 = `GET /v1/capabilities` 的 `sealedKey` 段(stage-10 经 deps 交过去)。 */
+    readonly sealedKeyPublic: SealedKeyPublicFace | undefined;
     /** core `CenterPromptSource`(RunnerDeps / subRunner 必须同实例)。 */
     readonly promptSource: CenterPromptSource;
-    /** DUAL-MODE §4/§5:local 形从 `config.d/remote-exec.json` 覆写 `config.remoteExec`(坏文件 = fail-closed 抛)。 */
-    applyLocalRemoteExec(): Promise<void>;
     /** center skills overlay → plugins 消费 → boot LKG 落盘/skill-stale 判定 → mcp 解析。返回新的 skills 表。 */
     applyCenterCapabilities(skills: LoadedSkill[]): Promise<LoadedSkill[]>;
     /** center 声明场景 overlay(就地写进传入的两张表)。 */

package/dist/boot/config-center.js

@@ -2,7 +2,6 @@ import { createHash } from "node:crypto";
 import { readFile as fsReadFile } from "node:fs/promises";
 import { homedir } from "node:os";
 import { join } from "node:path";
-import { loadRemoteExec } from "@sema-agent/settings-schema/node";
 import { CENTER_CREDENTIAL_ENV, skillContentHash } from "@sema-agent/settings-schema";
 import { stableStringify } from "@sema-agent/settings-schema/hash";
 import { buildModelRefusalsSignal } from "../model-entry-refusal.js";
@@ -17,10 +16,9 @@ import { defaultLkgPath, defaultSkillCacheDir, saveLkg, loadLkg, legacyV1LkgPath
 import { answerStillCurrent, centerStateBin, credentialIdentityNow, judgeCenterCredentialAtBoot } from "../center-credential.js";
 import { buildCenterCredentialHealthView, createCenterCredentialRenewer } from "../center-credential-renewer.js";
 import { centerManagedConfigKeys } from "../config-center/apply-effective.js";
-import { createConfigProvider, raceBootFetch, BOOT_FETCH_DEFERRED } from "../config-provider.js";
-import { executionLaneCaps, executionLaneOf } from "../execution-lane-caps.js";
+import { createConfigProvider, raceBootFetch, serviceConfigSourceKind, BOOT_FETCH_DEFERRED } from "../config-provider.js";
 import { createKeyResolver } from "../key-resolver.js";
-import { ensureSealedKeyStore, reportExecutionPublicKey } from "../sealed-key.js";
+import { buildSealedKeyPublicFace, ensureSealedKeyStore, reportExecutionPublicKey } from "../sealed-key.js";
 import { applyEffective, applyCenterReadFace, mutateInPlace, logEffectiveDiff, applyCenterSkills, resolveMcpServers, resolveA2aPeers, restartReasons, modelPlaneChanged, withModelPlaneOf, bootSnapshotOf, fullyLandedForLkg, fetchPromptArtifact } from "../config-center/facade.js";
 import { createMcpRevocationLedger, enabledMcpEntries } from "../config-center/mcp-revocation.js";
 import { SHA256_HEX_RE } from "../digest-form.js";
@@ -119,11 +117,11 @@ export async function createConfigCenterRuntime(ctx) {
     catch (err) {
         logger.warn("sealed_key_store_unavailable", { err: String(err), note: "sealed api keys cannot be unsealed on this host — models carrying sealedApiKey will fail loud per-model" });
     }
-    const configProvider = cc || config.configProvider === "local"
+    const configProvider = serviceConfigSourceKind(config) !== undefined
         ? createConfigProvider({
             ...(config.configProvider ? { provider: config.configProvider } : {}),
             ...(cc ? { configCenter: { baseUrl: cc.baseUrl, credential: cc.credential, worker: cc.worker, dryRun: cc.dryRun } } : {}),
-            ...(config.configProvider === "local" ? { localDir: localRoot } : {}),
+            localDir: localRoot,
         })
         : undefined;
     const rosterGateArmed = isRosterGateArmed(cc);
@@ -590,6 +588,7 @@ export async function createConfigCenterRuntime(ctx) {
     let ccTimer;
     return {
         providerKind: configProvider?.kind,
+        sealedKeyPublic: sealedKeys === undefined ? undefined : buildSealedKeyPublicFace(sealedKeys),
         promptSource,
         takeMcpRevocations: () => {
             mcpRevocationWired = true;
@@ -612,59 +611,6 @@ export async function createConfigCenterRuntime(ctx) {
                 return "not-wired";
             return (await manualRefresh()) === "failed" ? "failed" : "triggered";
         },
-        async applyLocalRemoteExec() {
-            if (configProvider?.kind === "local") {
-                try {
-                    const fileRx = await loadRemoteExec(localRoot);
-                    if (fileRx) {
-                        const preemptedLane = executionLaneOf(config.remoteExec?.provider);
-                        const isolatedLane = (lane) => executionLaneCaps(lane).isolation === "supported";
-                        const disclosePreemption = (winner) => {
-                            if (winner === preemptedLane)
-                                return;
-                            const downgrade = isolatedLane(preemptedLane) && !isolatedLane(winner);
-                            logger.warn("remote_exec_lane_preempted_by_file", {
-                                preemptedLane,
-                                effectiveLane: winner,
-                                root: localRoot,
-                                isolationDowngrade: downgrade,
-                                note: `config.d/remote-exec.json (CONFIG_PROVIDER=local, file-wins) replaced the env-derived execution lane ` +
-                                    `"${preemptedLane}" with "${winner}" — any REMOTE_EXEC/lane coordinate env for "${preemptedLane}" is now INERT` +
-                                    (downgrade ? `. This is an ISOLATION DOWNGRADE: tasks run on a non-isolated target. Delete/fix the file, or unset the lane env if the file is the intended source.` : `. Delete/fix the file, or unset the lane env if the file is the intended source.`),
-                            });
-                        };
-                        if (fileRx.provider === "host") {
-                            config.remoteExec = {
-                                provider: "host",
-                                ...(fileRx.workdir ? { workspaceBase: fileRx.workdir } : {}),
-                                ...(fileRx.commandTimeoutMs != null ? { commandTimeoutMs: fileRx.commandTimeoutMs } : {}),
-                            };
-                            disclosePreemption("host");
-                            logger.info("remote_exec_from_file", { provider: "host", root: localRoot });
-                        }
-                        else if (fileRx.provider === "local-docker") {
-                            config.remoteExec = {
-                                provider: "local-docker",
-                                image: fileRx.image,
-                                ...(fileRx.mountPath ? { mountPath: fileRx.mountPath } : fileRx.workdir ? { mountPath: fileRx.workdir } : {}),
-                                ...(fileRx.memory ? { memory: fileRx.memory } : {}),
-                                ...(fileRx.cpus != null ? { cpus: fileRx.cpus } : {}),
-                                ...(fileRx.network ? { network: fileRx.network } : {}),
-                            };
-                            disclosePreemption("local-docker");
-                            logger.info("remote_exec_from_file", { provider: "local-docker", root: localRoot, image: fileRx.image });
-                        }
-                        else {
-                            logger.warn("remote_exec_file_isolated_lane_unwired", { provider: fileRx.provider, effectiveLane: preemptedLane, note: "e2b/k8s/ssh/adb are sourced from REMOTE_EXEC env until file-source NAME→value resolution lands (center field map) — the env-derived lane above stays in force" });
-                        }
-                    }
-                }
-                catch (err) {
-                    logger.error("remote_exec_file_invalid", { root: localRoot, err: String(err) });
-                    throw err;
-                }
-            }
-        },
         async applyCenterCapabilities(skills) {
             if (effective?.skills && config.configCenter) {
                 skills = await applyCenterSkills(skills, effective.skills, config.configCenter, logger, undefined, configLkgEnabled() ? defaultSkillCacheDir() : undefined);

package/dist/boot/execution-env.d.ts

@@ -39,6 +39,15 @@ export interface SessionScopedRegistries {
     fenceSessionOwner(sid: string, owner: string | null): void;
     /** 会话删除:两张表 + 身份记录一起清(留着身份记录会让同 id 的下一位与一个幽灵身份比对成「同主」)。 */
     dropSession(sid: string): void;
+    /**
+     * S-506([ref] §5)—— 本副本对「这只会话此刻坐着哪一位住客」的**装配期读数**:resolve-spec 每次提交(fresh 与 resume 腿同经)
+     * 异步读一次会话面(`sessionFaceOf`),把化身记在这里;记忆引擎的 `RunnerDeps.memorySessionIncarnation` 座是**同步**签名,
+     * 从这里取(`boot/session-incarnation-seat.ts`)。`undefined` = 读不到 ⇒ 清掉这一格(座随之答 undefined + warn,core 退回按 id 绑定)。
+     * 与两张内容表同一只 LRU、同一条围栏(换主即清)、同一条删除(`dropSession`)。令牌只在进程内存里,不进任何日志。
+     */
+    noteSessionIncarnation(sid: string, incarnation: string | undefined): void;
+    /** 同步读装配期记下的化身(记忆座的唯一读者)。 */
+    sessionIncarnationOf(sid: string): string | undefined;
 }
 export declare function createSessionScopedRegistries(maxEntries?: number): SessionScopedRegistries;
 /** device lane 的三件活对象(店 / 汇聚端 / 准入链)。缺席 = 本部署没有 device 车道。 */
@@ -63,6 +72,8 @@ export declare function createExecutionEnv(ctx: ExecutionEnvCtx): {
     setSessionShellEnv: (sid: string, env: Record<string, string>) => void;
     fenceSessionOwner: (sid: string, owner: string | null) => void;
     dropSessionScoped: (sid: string) => void;
+    noteSessionIncarnation: (sid: string, incarnation: string | undefined) => void;
+    sessionIncarnationOf: (sid: string) => string | undefined;
     executionEnvFactory: import("@sema-agent/core").ExecutionEnvFactory | undefined;
     worktreeReap: (() => Promise<void>) | undefined;
     sendUserFileTaskEnvs: TaskEnvRegistry | undefined;

package/dist/boot/execution-env.js

@@ -51,10 +51,12 @@ const MAX_CWD_SESSIONS = 4096;
 export function createSessionScopedRegistries(maxEntries = MAX_CWD_SESSIONS) {
     const perSessionCwd = new Map();
     const perSessionShellEnv = new Map();
+    const perSessionIncarnation = new Map();
     const owners = new Map();
     const dropSession = (sid) => {
         perSessionCwd.delete(sid);
         perSessionShellEnv.delete(sid);
+        perSessionIncarnation.delete(sid);
         owners.delete(sid);
     };
     const touch = (sid, owner) => {
@@ -79,10 +81,20 @@ export function createSessionScopedRegistries(maxEntries = MAX_CWD_SESSIONS) {
             if (owners.has(sid) && owners.get(sid) !== owner) {
                 perSessionCwd.delete(sid);
                 perSessionShellEnv.delete(sid);
+                perSessionIncarnation.delete(sid);
             }
             touch(sid, owner);
         },
         dropSession,
+        noteSessionIncarnation: (sid, incarnation) => {
+            if (incarnation === undefined) {
+                perSessionIncarnation.delete(sid);
+                return;
+            }
+            perSessionIncarnation.set(sid, incarnation);
+            touch(sid, undefined);
+        },
+        sessionIncarnationOf: (sid) => perSessionIncarnation.get(sid),
     };
 }
 export function createExecutionEnv(ctx) {
@@ -316,6 +328,8 @@ export function createExecutionEnv(ctx) {
         perTaskImage, sessionEnvSelection, perSessionCwd, setSessionCwd, setSessionShellEnv,
         fenceSessionOwner: sessionScoped.fenceSessionOwner,
         dropSessionScoped: sessionScoped.dropSession,
+        noteSessionIncarnation: sessionScoped.noteSessionIncarnation,
+        sessionIncarnationOf: sessionScoped.sessionIncarnationOf,
         executionEnvFactory, worktreeReap, sendUserFileTaskEnvs, lspManager,
     };
 }

package/dist/boot/execution-lane.d.ts

@@ -0,0 +1,25 @@
+import { type CrossInvariantView } from "../config-invariants.js";
+import type { ServiceConfig } from "../config-types.js";
+import type { Logger } from "../observability/logger.js";
+/** `config.d/remote-exec.json` 能写进来的车道(文件契约里不带密钥名、可 1:1 映射的两条;e2b/k8s/ssh/adb 要 NAME→值解析,尚未接线)。 */
+export declare const FILE_SOURCED_LANES: readonly ["host", "local-docker"];
+export type FileSourcedLane = (typeof FILE_SOURCED_LANES)[number];
+export interface ExecutionLaneComposeCtx {
+    /** 本入口的配置源形态(`configProviderKind` / `serviceConfigSourceKind` 的答案 —— 与它真建的 provider 同一只判据)。
+     *  只有 `local` 才读文件;`undefined` = 纯 env 部署。 */
+    readonly configSource: "local" | "remote" | undefined;
+    /** 配置根(与配置源同一个根,不分裂)。 */
+    readonly localRoot: string;
+    readonly logger: Logger;
+    /** 本入口**驱动得了**的文件车道。HTTP 服务两条都驱动;`run-local` 只驱动 host(它没有容器执行器)—— 文件写了本入口
+     *  驱动不了的车道 ⇒ 不写进 config,落「未接线」告警,env 腿的车道照旧(与 e2b/k8s/ssh/adb 的文件表态同一臂)。 */
+    readonly drivesFromFile: readonly FileSourcedLane[];
+}
+/** 合成 + 判。覆写就地改写 `config.remoteExec`;坏文件 / 不变量不过 ⇒ 抛(拒启)。 */
+export declare function composeExecutionLane(config: ServiceConfig, ctx: ExecutionLaneComposeCtx): Promise<void>;
+/**
+ * 车道合成之后的跨域不变量 —— 表(`config-invariants.ts`)里读 `remoteExec.provider` 的那几条,boot 期 `live === next`。
+ * 同步、纯判据:只读 config,不碰文件(测试可以对 `loadConfig()` 的产物直接调它)。
+ */
+export declare function assertExecutionLaneInvariants(config: CrossInvariantView): void;
+//# sourceMappingURL=execution-lane.d.ts.map