@sema-agent/server 7.103.2 → 7.105.0

package/dist/http/server.d.ts

@@ -28,7 +28,7 @@ import type { QuotaTracker } from "../observability/cost-quota.js";
 import type { ModelUsageTracker, PromptManifestTracker } from "../budget.js";
 import { scopedIdempotencyKey } from "./idempotency.js";
 export { scopedIdempotencyKey };
-import type { ConsolidationSeatLabel } from "../boot/memory-consolidation.js";
+import type { ConsolidationSeatLabel, ConsolidationValve } from "../boot/memory-consolidation.js";
 import { streamApprovals, checkQuestionAnswer } from "./routes/approvals-assistant.js";
 export { streamApprovals, checkQuestionAnswer };
 import { cascadeConfig } from "./run-meta.js";
@@ -112,10 +112,15 @@ export interface ServiceCoreDeps {
     }) => TaskSpec | Promise<TaskSpec>;
     /**
      * [ref] 场景 hands lane 选路:按 `resolveSpec` 刚产出的 TaskSpec 取本任务的执行 Runner。
-     * 装配点(main.ts)把「场景判别位 → Runner 对」的映射整只闭包传进来 —— 本层不解释场景,只取用。
-     * 缺席 ⇒ 恒 {@link ServiceDeps.runner}(单 Runner 部署形 = [ref] 之前的行为,逐字不变;测试桩即此形)。
+     * 装配点(`boot/stage-10-http-server.ts`)传的是 `createHandsRunnerSelector` —— 选路规则只有那一份实现,
+     * 本层不解释场景,只取用。
+     * 🔴 **必填**(S-175,7.105.0):修前这一席可选,缺席 ⇒ 静默落 {@link ServiceDeps.runner} —— 最宽的那只
+     * (带全量手的主 Runner)。而同一轴上「车道**字段**缺席」早已是拒(S-149,`handsLaneOf` 抛
+     * `HandsLaneUnstampedError`),席缺席回落最宽 = 同一件事两条律。现在缺席是**编译错**;绕过类型
+     * (JS 嵌入方 / `as` 硬转)造的 deps 在 {@link createHttpServer} 入口**拒启**。单 Runner 的嵌入方显式传
+     * `runnerFor: () => runner` —— 那是一句表态,不是一个回落。
      */
-    runnerFor?: (spec: TaskSpec) => Runner;
+    runnerFor: (spec: TaskSpec) => Runner;
 }
 /** **durable 持久面**:每个键 present ⇔ 对应路由/能力位在场,absent ⇒ 501(诚实缺席),
  *  绝不静默降级。装配点 = main.ts 的 store backend 开箱段。 */
@@ -148,8 +153,9 @@ export interface ServiceStoreDeps {
     /** [ref] per-edited-file rewind history store. Present ⇒ the rewind capabilities are advertised; core uses it
      *  via RunnerDeps.fileHistoryStore (first-touch tracking + per-turn boundaries + tracked-set restore, ANY
      *  env). Also the 2c history-transfer store (exportHistory/importHistory + blob negotiation faces).
-     *  🔴 S-589:这是装配单点 `assembleFileHistory` 的**捕获脸**(后端 ∧ `FILE_HISTORY_CAPTURE`),不是「后端有没有这只店」
-     *  —— 旋钮关着时它缺席,rewind 族四位、能力词 `fileHistoryCapture` 与 2c sync 路由族一起按「店不在」走。
+     *  🔴 S-724:这是装配单点 `assembleFileHistory` 的**店**(后端在即在,与 `FILE_HISTORY_CAPTURE` 无关 —— 旋钮只关捕获,
+     *  落在 core 的 `RunnerDeps.fileHistoryCapture` 上)。rewind 族四位与 2c sync 路由族跟它走;能力词 `fileHistoryCapture`
+     *  = `fileHistoryCaptureOf(本键, config.fileHistoryCapture)`(与 core 捕获位同一只判定)。
      *  擦除(E21 / 孤儿 blob GC)不读本键,读 boot 侧的擦除脸。 */
     fileHistoryStore?: ServiceFileHistoryStore;
     /** D-1 通用文件上传(clay 拍 2026-07-27:独立附件 store,不骑 snapshot blob 面):enables
@@ -341,10 +347,14 @@ export interface ServiceSeamDeps {
      *  run-ledger/checkpoint/tool-result rows, owner-guarded, in one call. Returns `{ deleted }` (idempotent) — or
      *  `{ active }` when the runs-ledger TX re-asserted a still-live run (a concurrent createRun raced the route's
      *  pre-check), which the route maps to 409. Enables DELETE /v1/sessions/:id. Wired by main.ts (all the stores). */
+    /** E21 删除协调器。三种结局:删了 / 有活跑(`{active}`,409 `conflict.session_active_run`)/ S-790:以本会话为根的后台子代没停干净
+     *  (`{childrenAlive}` = 仍活着的子代句柄,409 `conflict.session_children_alive` 的 `remaining[]`;会话记录不动)。 */
     purgeSession?: (sessionId: string, owner: string | null) => Promise<{
         deleted: boolean;
     } | {
         active: string;
+    } | {
+        childrenAlive: readonly string[];
     }>;
     /** [ref]③(b): read a BACKGROUND agent-handle child's final report / current status out of the core
      *  TaskRegistry (the same face the TaskOutput tool reads — agent handles are NEVER in the run store).
@@ -460,6 +470,12 @@ export interface ServiceSeamDeps {
      * 装配漏接 ⇒ tsc 红(本行就是通知);测试桩在 `test/helpers/boot.ts` 显式给 false。
      */
     memoryAutoConsolidationArmed: boolean;
+    /**
+     * S-824 / [ref] + 车PI 修复轮 ④ —— 记忆整理阀门的**生效判决**(boot 第 4 段 `createConsolidationValve`:显式词,或出厂缺省按
+     * 装配结果派生)。配置目录那一行(`GET /v1/config/catalog` 的 `MEMORY_CONSOLIDATION_DRIVER` `effectiveValue`)读它 —— 那一列的契约是
+     * 「本进程实际生效值」,而这根旋钮的生效值只有装配期才知道。🔴 **必填**:装配漏接 ⇒ tsc 红;测试桩在 `test/helpers/boot.ts` 显式给。
+     */
+    memoryConsolidationValve: Pick<ConsolidationValve, "enabled" | "source">;
     /** [ref] 件②(core 5.59.0 `MemoryEngine.listExternalOriginEntries` / `listOriginClearances` /
      *  `clearEntryOrigin`):**外源标记人面**。启用 `GET /v1/memory/origin/external`、
      *  `GET /v1/memory/origin/clearances`、`POST /v1/memory/origin/entries/:entryId/clear`(三口 operator-only)。
@@ -493,7 +509,8 @@ export interface ServiceSeamDeps {
     /** [ref](core 5.58.0 `runMemoryConsolidationDriver`):记忆 **consolidation 阀门**的操作面。
      *  启用 `POST /v1/admin/memory/consolidation/run` 与 `GET /v1/admin/memory/consolidation`(两口 operator-only)。
      *  main.ts 把它接到 `createMemoryConsolidationFaces` 的产物上。
-     *  🔴 缺席的**唯一**成因是「阀门没开」(`MEMORY_CONSOLIDATION_DRIVER` 不是 `on` —— 出厂缺省):
+     *  🔴 缺席的**唯一**成因是「阀门没开」(显式 `MEMORY_CONSOLIDATION_DRIVER=off`,或未设而出厂缺省派生成关 ——
+     *  S-824 / [ref]:整理座落主模型 / 结构上跑不起来;判决属主 `boot/memory-consolidation.ts` `resolveConsolidationValve`):
      *  阀门开着却结构上跑不了的三种形(引擎没接线 / 后端没有控制面归属 / `MEMORY_PROVENANCE=off`)在
      *  **启动期**就被拒了(`boot/memory-consolidation.ts`),那些机器根本起不来。⇒ 缺席形是 **404 族**
      *  (整域不挂),刻意**不是** 501:501 说「换部署形态」,这里的动作是「把旋钮打开」。全文见
@@ -755,6 +772,11 @@ export interface ServiceDeploymentDeps {
      *  ⚠️ 席位只承载**部署默认**:单用户车道上每请求的 `settings.webSearch` 压过它,但那条腿**不经过本席**
      *  (它在场景装配里每请求现算),所以本位不会随调用方漂。 */
     webSearchProvider?: import("../plugins/web-search.js").WebSearchProvider;
+    /** S-737:本进程模型钥匙保管店的**公钥面** —— `GET /v1/capabilities` 的 `sealedKey` 段唯一席位。值**逐字**取自
+     *  config-center 运行时(`boot/config-center.ts` 的 `sealedKeyPublic`,boot 期建的那一只店),路由里不再建店、不读全局。
+     *  类型只有最新那把公钥(`sealed-key.ts` `SealedKeyPublicFace`):私钥、保管路径、持有的旧 id 列表从这一层结构上够不着。
+     *  缺席 = 本进程没有保管店(boot 建店失败,或不是由 composition root 装起来的测试夹具形)⇒ caps 的 `sealedKey` 键缺席。 */
+    sealedKeyPublic?: import("../sealed-key.js").SealedKeyPublicFace;
     /** ① core ruling — SPLIT: `capabilities.workflows` = the ENGINE-CAN axis, boot-computed from core's own
      *  `workflowsCapability(deps)` (hardened script runner ∧ governance), NOT the `Boolean(workflowRunStore)` store
      *  proxy. Orthogonal to `workflowsList` (the durable-list axis = `workflowRunStore`). Falls back to the store
@@ -839,7 +861,7 @@ export declare function createHttpServer(rawDeps: ServiceDeps): http.Server & {
 /** SSE: replay durable events after Last-Event-ID, then tail until the run is terminal (or stale). */
 /**
  * The differences a concrete log (task_run | image_bake) feeds the ONE resumable SSE reader (P2.8). Everything
- * the reader does — Last-Event-ID/`?from=` resume, the 416 retention boundary, the per-poll concurrent
+ * the reader does — Last-Event-ID/`?from=` resume (every row with seq > from; no eviction answer, S-211 ①), the per-poll concurrent
  * status+events read, the terminal re-fetch (the terminal event lands in the gap before the status flips), the
  * stale fallback, the 15-min cap, the 15s idle heartbeat — is provider-agnostic and lives in `streamSseLog`.
  * 🔴 The task_run provider MUST keep the existing wire bytes EXACTLY (center's relay + 730+ tests depend on it).

package/dist/http/server.js

@@ -19,7 +19,7 @@ import { cascadeConfig } from "./run-meta.js";
 export { cascadeConfig };
 import { coarseStatusForState, errorCodeForExit } from "./routes/images.js";
 export { coarseStatusForState, errorCodeForExit };
-import { sendError, httpErrorCode, msg } from "./send.js";
+import { sendError, sendSessionError, httpErrorCode, msg } from "./send.js";
 import { createRequestGuards } from "./request-guards.js";
 import { createAdmission, MAX_SKILL_CONTENT_CHARS, MAX_SYSTEM_PROMPT_CHARS, MAX_OUTPUT_SCHEMA_CHARS, validateUserSkills } from "./admission.js";
 import { createResumeLegs } from "./resume-legs.js";
@@ -38,6 +38,9 @@ export function flattenServiceDeps(deps) {
 }
 export function createHttpServer(rawDeps) {
     const deps = flattenServiceDeps(rawDeps);
+    if (typeof deps.runnerFor !== "function") {
+        throw new Error("createHttpServer: the runnerFor seat is required (it picks each task's Runner from its execution lane) — pass the hands-lane selector, or `runnerFor: () => runner` for a single-Runner embedding; refusing to start rather than run every task on the widest Runner");
+    }
     const idemCache = new IdempotencyCache();
     const inflightRuns = new Map();
     const cancelledViaVerb = new Set();
@@ -107,15 +110,18 @@ export function createHttpServer(rawDeps) {
                 return;
             }
             deps.logger?.error("request_error", { method: req.method, url: req.url, err: redactHead(msg(err), 2000) });
-            if (!res.headersSent)
-                sendError(res, 500, "internal.error", "internal error");
-            else
+            if (res.headersSent) {
                 res.end();
+                return;
+            }
+            if (sendSessionError(res, err, "open"))
+                return;
+            sendError(res, 500, "internal.error", "internal error");
         });
     });
     deps.deviceHub?.attach(server);
     function runnerFor(spec) {
-        return deps.runnerFor?.(spec) ?? deps.runner;
+        return deps.runnerFor(spec);
     }
     function recordTaskResult(result) {
         const plane = outwardPlane(result.terminal);

package/dist/http/sse-lifecycle.d.ts

@@ -33,7 +33,7 @@
  * ## 为什么注册完还要回看一眼状态
  *
  * 光「订阅未来事件」不够:`'close'` **只发一次**,而四条腿的接线全都排在若干次 await 之后
- * (trace 是 `getRun`/`retainedFrom`,runs 是 subagent probe,sse-log 是 `retainedFrom`)。客户端
+ * (trace 是 `getRun`,runs 是 subagent probe;sse-log 自 S-211 ① 起写头前已无 await,此前是 `retainedFrom`)。客户端
  * 在那段慢查询里断开 ⇒ 两个 close 都在监听器注册**之前**烧完(实测:后装的监听器不会被补发)⇒
  * 清理整条不发生,泵对着死连接轮询到 15 分钟帽。这不是假想:`sse-log.ts` 的 preamble 注里记着的
  * 同一个坑,当时只把 preamble 挪到了接线之后,而接线本身前面还有别的 await。

package/dist/http/sse-log.d.ts

@@ -1,7 +1,7 @@
 /**
  * [ref] A9 seam —— 通用可恢复 SSE 泵(P2.8),从 `http/server.ts` 整段搬出的原文。
  *
- * task_run 与 image_bake 两条日志共用同一套 liveness/heartbeat/416/终态复取/15 分钟帽逻辑;域模块
+ * task_run 与 image_bake 两条日志共用同一套 liveness/heartbeat/终态复取/15 分钟帽逻辑;域模块
  * (routes/images.ts)与 server.ts 都要用它,所以它必须住在 http/ 叶子里(routes/* 值 import server.ts
  * 会闭合运行时装载环)。
  */
@@ -17,8 +17,6 @@ export interface SseLogProvider<E extends {
     } | null | undefined>;
     /** Events with seq strictly greater than `after`, ascending. */
     getEvents(id: string, after: number): Promise<E[]>;
-    /** Earliest retained seq → the 416 resume boundary. */
-    retainedFrom(id: string): Promise<number>;
     /** Map ONE event to its SSE frame (the `id:`/`event:`/`data:` lines differ per log). */
     formatEvent(ev: E): {
         id: number;
@@ -31,13 +29,12 @@ export interface SseLogProvider<E extends {
         data: unknown;
     };
     /**
-     * [ref] 车3 §5:**开流 preamble** —— 在 416 判定与 `sseHeaders` **之后**、日志 tail **之前**写的
+     * [ref] 车3 §5:**开流 preamble** —— 在 `sseHeaders` **之后**、日志 tail **之前**写的
      * 一批**非账本**帧(今天唯一的用户 = 审批未决卡的全量对账基准)。
      *
-     * 🔴 为什么必须是这里的内部 hook,而不是调用方在 `streamSseLog` **之前**自己写:本 helper 的判序是
-     * ①读 `last-event-id`/`?from=` → ②保留期比对、超界直接 `sendError(416)` → ③`sseHeaders` → ④tail。
-     * 在 ① 之前写任何字节 = 提前提交 200 头 ⇒ ② 的 416 分支**结构上不可能再触发**(或触发
-     * headers-already-sent),而调用方自己先调 `sseHeaders` 又会被本 helper 重复写头。
+     * 为什么是这里的内部 hook,而不是调用方在 `streamSseLog` **之前**自己写:写头是本 helper 的事,调用方
+     * 先调 `sseHeaders` 会被这里重复写头。(S-211 ① 之前本 helper 在写头之前还有一道 416 判定,那是这条
+     * 理由的另一半 —— 判定随「账本不存在局部头部裁剪」一起删了,见 {@link streamSseLog} 头注。)
      *
      * 返回帧**不带 `id:`** —— 它不是账本行,不参与 `Last-Event-ID` 游标(壳的规则:preamble 给的是
      * 权威全量卡集,账本重放里的同 id 帧只用于时间线渲染)。
@@ -83,7 +80,13 @@ export declare function collectSsePreamble(preamble: (signal: AbortSignal) => Pr
     data: unknown;
 }>>;
 /** The shared resumable SSE pump (P2.8) — provider supplies the log-specific differences; the liveness/
- *  heartbeat/416/terminal-re-fetch/15-min-cap logic is identical for task_run + image_bake. */
+ *  heartbeat/terminal-re-fetch/15-min-cap logic is identical for task_run + image_bake.
+ *
+ *  🔴 S-211 ①:**没有「续读点已被淘汰」这一答**。两条日志都**没有局部头部裁剪腿** —— `task_event` 唯一的删除者
+ *  是整棵会话树连删(会话删除 / 托管留存,`task_run` 行同批消失 ⇒ 调用方开流前 404),`image_bake_event` 库里一条
+ *  删除语句都没有。此前这里按 `retainedFrom > from + 1` 答 416 `limit.retention_evicted`:真淘汰永远走不到它,
+ *  唯一走得到的形是「写失败耗掉了号」留下的**头部缺行**(ledger-sink 账本留洞)—— 那一形里什么都没被淘汰,416
+ *  是一句谎。续读语义因此只有一句:投 `seq > from` 的每一行(缺的行就是缺的,不补、不猜)。 */
 export declare function streamSseLog<E extends {
     seq: number;
 }>(req: IncomingMessage, res: ServerResponse, provider: SseLogProvider<E>, id: string, staleMs: number): Promise<void>;

package/dist/http/sse-log.js

@@ -1,5 +1,5 @@
 import { bindSseLifecycle } from "./sse-lifecycle.js";
-import { sendJson, sendError, sseHeaders, SSE_MAX_STREAM_MS, SSE_HEARTBEAT_IDLE_MS } from "./send.js";
+import { sseHeaders, SSE_MAX_STREAM_MS, SSE_HEARTBEAT_IDLE_MS } from "./send.js";
 export const SSE_PREAMBLE_TIMEOUT_MS = 2_000;
 export async function collectSsePreamble(preamble, onFailure, timeoutMs = SSE_PREAMBLE_TIMEOUT_MS) {
     const timedOut = Symbol("preamble-timeout");
@@ -34,13 +34,6 @@ export async function collectSsePreamble(preamble, onFailure, timeoutMs = SSE_PR
 export async function streamSseLog(req, res, provider, id, staleMs) {
     const lastId = Number(req.headers["last-event-id"] ?? new URL(req.url ?? "", "http://x").searchParams.get("from") ?? 0);
     let from = Number.isFinite(lastId) ? lastId : 0;
-    if (from > 0) {
-        const retainedFrom = await provider.retainedFrom(id);
-        if (retainedFrom > from + 1) {
-            sendError(res, 416, "limit.retention_evicted", "resume point evicted past retention", { retainedFrom });
-            return;
-        }
-    }
     sseHeaders(res);
     let closed = false;
     bindSseLifecycle(req, res, () => {

package/dist/http/sync-submit-body.d.ts

@@ -0,0 +1,43 @@
+/**
+ * S-173 —— 非流式 `POST /v1/tasks` 的 200 体的**唯一铸点**。
+ *
+ * ## 一条规则
+ * 同步 200 体恒 = **「出口封口 + 脱敏后的引擎结果」**(调用方先 `redactTerminalResult(sealResultForExit(result))`
+ * 铸**一次**,同一份对象既落 run 行、又进本体 —— 两个载体同一只来源);run 还停在门上(park)⇒ 再带
+ * **poll 回执三键** {@link SyncParkReceipt}。park 不是例外:三个 200 出口(终局 / suspended / needs_review)都经本函数。
+ *
+ * ## 修前的病
+ * park 两臂自造 `{ taskId, sessionId, status }`,**没有** `terminal`;同一次 park 在 `/v1/tasks/stream` 的
+ * `done.result` 上是 `terminal.kind === "paused"`,在本腿上是一个状态词 —— 同一事实两形。
+ *
+ * ## 回执三键为什么还在(additive,不是 BREAKING)
+ * 修前的消费方按这三键判读(`status` 词 → 转去 `GET /v1/runs/:taskId` poll)。三键**原值原样**叠在结果之上:
+ *  · `taskId` = 同步腿提交时铸的 durable run id(= 结果自带的 `taskId`:同步腿把它经 `spec.taskId` 交给引擎);
+ *  · `sessionId` = 提交的会话(= 结果自带的 `sessionId`);
+ *  · `status` = **对外词**,即 `GET /v1/runs/:id` 行上的那个词(`outwardPlane(result.terminal).status`,词由 core
+ *    pause registry 的 `taskStatus` 列给)。引擎结果自 core 7.6.0 起**没有** `status` 键(D-8),所以不存在「两个
+ *    status 打架」;这一键只在 park 时在场 —— 终局体上它从 7.64.0 起就不在,本件不把它加回去(那会给终局体
+ *    重新造一个 `terminal.kind` 之外的第二真源)。
+ * 回执叠在结果**之后**:三键的值恒等于修前,消费方读到的字节与修前逐字相同(R5 正控)。
+ *
+ * ## 安全轴
+ * 本函数**不**做封口 / 脱敏 —— 那两件事的属主是 `sealResultForExit`(`terminal.ts`)与 `redactTerminalResult`
+ * (`observability/run-terminal.ts`),调用方铸一次交进来;本函数只负责「体长什么样」。凭据(`paused.token` /
+ * `failed.nestedPause.token`)因此在进本函数之前就已摘掉,幂等缓存存的正是本函数的产物,重放体同体同脱。
+ */
+import type { ParkedRunStatus, PersistedTaskResult } from "../plugins/store-contracts.js";
+/** park 中的 run 在同步 200 体上带的 poll 回执三键(修前 park 体的全部内容,值逐字不变)。 */
+export interface SyncParkReceipt {
+    /** 同步腿提交时铸的 durable run id —— `GET /v1/runs/:taskId` 的 poll 键。 */
+    taskId: string;
+    /** 提交的会话。 */
+    sessionId: string;
+    /** 对外词 = `GET /v1/runs/:id` 行上的 `status`(park 两词之一,闭集从 `RUN_STATUS_CLASS` 派生)。 */
+    status: ParkedRunStatus;
+}
+/**
+ * 铸同步 200 体。`exitResult` = 已封口已脱敏的引擎结果(与 run 行落的是同一份对象);`parkReceipt` 在场 ⇔ run 停在门上。
+ * 返回的是纯数据(无方法、无闭包)⇒ `build*`。
+ */
+export declare function buildSyncSubmitBody<R extends PersistedTaskResult>(exitResult: R, parkReceipt?: SyncParkReceipt): R | (R & SyncParkReceipt);
+//# sourceMappingURL=sync-submit-body.d.ts.map

package/dist/http/sync-submit-body.js

@@ -0,0 +1,4 @@
+export function buildSyncSubmitBody(exitResult, parkReceipt) {
+    return parkReceipt === undefined ? exitResult : { ...exitResult, ...parkReceipt };
+}
+//# sourceMappingURL=sync-submit-body.js.map

package/dist/http/wire-types.d.ts

@@ -9,6 +9,7 @@
 import type { A2aServerSpec, AgentDefinition, ApproverPosture, McpServerSpec, SkillSpec } from "@sema-agent/core";
 import type { SettingsPermissionMode } from "../task-settings.js";
 import type { wiringManifestFaceEventData } from "../trace/project.js";
+import type { buildSyncSubmitBody } from "./sync-submit-body.js";
 export interface TaskRequestBody {
     objective: string;
     sessionId?: string;
@@ -173,8 +174,10 @@ export interface TaskRequestBody {
     };
     /** [ref] file restore ([ref]): with `resumeAt`, ALSO converge the working tree's **agent-edited files**
      *  (the tracked set — nothing else is visible to the history, so a user's parallel work is structurally
-     *  untouchable) to that entry's history boundary. Capture needs no request anymore: first-touch tracking is
-     *  always on when the deployment wires a history store. Requires a FileHistoryStore. */
+     *  untouchable) to that entry's history boundary. Capture needs no request: first-touch tracking is on
+     *  whenever the deployment wires a history store, unless `FILE_HISTORY_CAPTURE=false` (the deployment's capture
+     *  switch) or this request's {@link fileHistory} turns it off — restore reads what the store already holds
+     *  either way. Requires a FileHistoryStore. */
     restoreFiles?: boolean;
     /** DV-15: opt-in tolerance for a PARTIAL file restore (default = loud terminal failure carrying the per-file
      *  ledger; `true` = keep going and disclose the same ledger on the result's rewindNotes). */
@@ -189,6 +192,17 @@ export interface TaskRequestBody {
      *  value is the same handle as `resumeAt` (the prompt's taskId); the service resolves it → the entry id. Honored ONLY
      *  when `resumeAt` is ABSENT (the two modes are mutually exclusive). Requires the anchor map + a FileHistoryStore. */
     rewindFilesTo?: string;
+    /** S-724(core 7.31.0 #1048 `TaskSpec.fileHistory`)—— 请求级的**文件历史关断词**,唯一词 `"disabled"`(core 的拼法,
+     *  与 `checkpointStore` 同;没有 `"enabled"` —— 缺席就是「部署说了算」的唯一形,声明只能单向收紧)。`"disabled"` ⇒
+     *  这条 run 零历史店调用:编辑照常落盘,但不做首次触碰备份、不铸回合边界、不做 fork 携带;委派出去的子代继承
+     *  (core `ParentSpecSeat` 从本位铸,本仓零接线)。`wiring_manifest.fileHistory` 报 `"disabled"`。
+     *  同一个提交里再要还原(`restoreFiles` / `rewindFilesTo` / 退役 `rewindFiles`)= 体内矛盾 ⇒ **受理时** 400
+     *  `request.field_conflict`(`request-value-closure.ts` 的 `FILE_HISTORY_DISABLED_NO_RESTORE`):core 的 `rewind.capture_disabled`
+     *  落在会话按 `resumeAt` 分叉之后、拒后不回滚,所以本层在副作用之前拒。续跑腿不过这道门。
+     *  ⚠️ 拼写门**两腿同判、响亮拒**:fresh 400 `request.field_invalid`;resume 重放同判(与 `memoryCapture` / `memory`
+     *  同一张单成员闭集表,`request-value-closure.ts` 的 `singleMemberOffFieldIssue`)。
+     *  Rides the persisted body onto resume legs —— 它是这条 run 的策略,不是一次性历史动作(与 `rewindFilesTo` 不同,续跑不剥)。 */
+    fileHistory?: "disabled";
     /** [ref] (core 1.246): per-task resilience INTENT flags. allowDegrade/allowFailover are caller-facing;
      *  bypassBreaker is operator-only (resolveSpec drops it for non-operators — a permission downgrade, not a 400). */
     resilience?: {
@@ -238,8 +252,8 @@ export interface TaskRequestBody {
      *  behavior). Purely a render channel — core never merges the child stream into the parent's model context. */
     forwardSubagentEvents?: boolean;
     /** G3([ref] 壳侧承诺③/[ref]③):壳供 per-session scratchpad 路径(壳 vendored getScratchpadDir 的
-     *  约定路径)。接受后优先于 server 自算,同源喂 envFacts.scratchpadDir 事实 + fs-write gate exemptDirs +
-     *  additionalDirectories 根围栏——壳提示词与 server 写门指同一个目录。验收 fail-closed(单用户 +
+     *  约定路径)。接受后优先于 server 自算,同源喂 envFacts.scratchpadDir 宣告(core 据它开根围栏的洞,
+     *  S-842 起是唯一写者)+ fs-write gate exemptDirs——壳提示词与 server 写门指同一个目录。验收 fail-closed(单用户 +
      *  host-semantics lane + 绝对路径/深度/长度门,规则在 env-facts.acceptShellScratchpadDir),拒收形
      *  warn 后回落自算——「没到货引擎忽略 = 无害 additive」的对偶:异形键忽略,任务照跑。 */
     scratchpadDir?: string;
@@ -546,7 +560,11 @@ export type ApprovalStaleCurrentPending = {
  *  `unknown`,产物按段 present-iff 铸)。所以这一行**不**声称「wire 上的每一段都有静态型」;它声称的是
  *  「这一键的值恒等于那只投影器的产物」,而那正是消费端唯一需要的那句话。段级判据的属主在 core。 */
 export type WiringManifestReceipt = ReturnType<typeof wiringManifestFaceEventData>;
-/** S-528 —— `POST /v1/tasks`(**非流式**)200 体在 core `TaskResult` / park 回执之外带的**附加键**。
+/** S-173 —— `POST /v1/tasks`(**非流式**)200 体的值形(不含下方 {@link SyncSubmitExtraKeys}),**从铸点返回型派生**:
+ *  「封口脱敏后的引擎结果」,park 时再叠 poll 回执三键 `{taskId, sessionId, status}`。键表的唯一属主是
+ *  `http/sync-submit-body.ts` 的 `buildSyncSubmitBody`(结果的键集属主是 core `TaskResult`),这里不手抄一张。 */
+export type SyncSubmitBody = ReturnType<typeof buildSyncSubmitBody>;
+/** S-528 —— `POST /v1/tasks`(**非流式**)200 体在 {@link SyncSubmitBody}(引擎结果 / park 回执)之外带的**附加键**。
  *
  *  两键都是 **additive + present-iff**,同一只装饰点铸(`routes/tasks.ts` 的 `withSyncSubmitKeys`),
  *  所以三处 200 出口(终局 / suspended / needs_review)与幂等重放腿自动同形:

package/dist/index.d.ts

@@ -1,4 +1,5 @@
 export { loadConfig, type ServiceConfig } from "./config.js";
+export { composeExecutionLane, assertExecutionLaneInvariants } from "./boot/execution-lane.js";
 export { createBrain } from "./brain.js";
 export { createSessionStore } from "./plugins/session-store.js";
 export { createStoreBackend, type StoreBackend, type SessionCaptureRecordSource } from "./plugins/store-backend.js";

package/dist/index.js

@@ -1,4 +1,5 @@
 export { loadConfig } from "./config.js";
+export { composeExecutionLane, assertExecutionLaneInvariants } from "./boot/execution-lane.js";
 export { createBrain } from "./brain.js";
 export { createSessionStore } from "./plugins/session-store.js";
 export { createStoreBackend } from "./plugins/store-backend.js";

package/dist/leader/merge.d.ts

@@ -60,9 +60,14 @@ export interface IntegrationRepair {
 /**
  * S-113 / clay [ref] ④ — **合不上 = 交给用户**(对齐 CC 形)。`git apply --3way` 冲突时的产出:冲突**路径**
  * (不含内容)+ 哪几只 worker 的补丁已经进树,由 leader 铸成 `LeaderResult.conflict` 段交到用户手上。
- * 本段刻意**只有路径与身份**:CC 259 语料对 collapse / conflict resolution 零命中,CC 的并行是同机 teammates
- * 各 worktree、结束由 git 重放到用户 HEAD、冲突列给用户(cli259.js @2303113)——没有任何模型去读别的 worker
- * 的 diff。7.83.0 删掉的那条「冲突解决模型」通道(它的类型面与 `LEADER_CONFLICT_ROUNDS` 旋钮)正是此意。
+ * 本段刻意**只有路径与身份**,不把任何 worker 的 diff 交给模型。CC 对照(2.1.280 语料):`conflict resolution` 零命中,
+ * `collapse` 的 169 处命中里没有一处与「把并行 worker 收成一个」相关(UI 折叠 / context collapse 一类);teammates 各一个
+ * worktree,团队收尾对每个成员的 worktree 只做移除(移不掉就保留),这条路径上没有 merge / 重放回用户 HEAD(cli280.js:214129
+ * `swarm_team_cleanup` / `le`);`/batch` 是每个隔离 worktree agent 各开一个 PR(cli280.js:224700)。旧引的
+ * `cli259.js @2303113` 不是 teammates,而是 Directory sync:agent 未发布的 commit 重建到用户 HEAD 上,重放冲突时 commit
+ * 停到一个 ref、改动以未提交编辑留在工作树且用户的行胜出 —— 冲突是告诉**模型**的(路径 + blob id,不含 diff 正文;
+ * cli280.js:247957)。「CC 里没有模型读别的 worker 的 diff」只有缺席证据,未闭环(车LZ X2)。
+ * 7.83.0 删掉的那条「冲突解决模型」通道(它的类型面与 `LEADER_CONFLICT_ROUNDS` 旋钮)正是此意。
  */
 export interface MergeConflict {
     /** 有冲突标记或 `.rej` 的路径(**不含内容**;`.rej` 后缀已剥,指向源文件)。 */

package/dist/memory-incident-sink.js

@@ -1,3 +1,4 @@
+import { redactIncarnations } from "./session-incarnation.js";
 export function createMemoryEngineIncidentSink(deps) {
     return (err, ctx) => {
         const code = err?.code;
@@ -5,7 +6,7 @@ export function createMemoryEngineIncidentSink(deps) {
         deps.logger.warn("memory_engine_incident", {
             ...(ctx?.sessionId !== undefined ? { sessionId: ctx.sessionId } : {}),
             code: codeText ?? null,
-            detail: String(err),
+            detail: redactIncarnations(String(err)),
         });
         deps.metrics?.inc("memory_engine_incident_total", { code: codeText ?? "none" });
     };

package/dist/model-select.d.ts

@@ -1,3 +1,4 @@
+import { type Model, type RunnerDeps } from "@sema-agent/core";
 import type { ModelEntryRefusal } from "./model-entry-refusal.js";
 /**
  * Resolve the model ref for a task spec from the request (CLI `/model` picker + `run --model`).
@@ -28,6 +29,14 @@ import type { ModelEntryRefusal } from "./model-entry-refusal.js";
  *  `resolveModel("default", catalog)` 解它)。**单点**:读面要说「这台部署的主模型是谁」时读同一个词
  *  (`auto-mode-face.ts` 的席解析器入参),两处各写一个 `"default"` 字面串正是漂移的成因。 */
 export declare const DEFAULT_MODEL_REF = "default";
+/**
+ * 本仓给一条**没选模型**的 task 铸的主模型 —— {@link DEFAULT_MODEL_REF} 在**展开**目录上(与引擎构造期 `expandTiers(models, tiers)`
+ * 之后再解逐字同源)解到的那只**目录条目**(对象引用)。`boot/resolve-spec.ts` 每条 spec 都盖 `spec.model`,所以引擎眼里的 main
+ * 恒是它,**不是** core 的 `default` **角色**链。解不出 ⇒ 抛(core 的拒句);调用方决定披露形。
+ * 读它的两处(`auto-mode-face.ts` 的分类器席 / `boot/memory-consolidation.ts` 的整理座是否落主模型)调这同一只 —— 车PI 修复轮 ⑦(h)
+ * 起不再各抄一份「展开 + 解」。
+ */
+export declare function resolveMainModel(plane: Pick<RunnerDeps, "models" | "tiers">): Model;
 export declare function resolveTaskModel(bodyModel: unknown, objective: string, catalog: Record<string, unknown>, allowlist?: readonly string[], refusals?: Readonly<Record<string, ModelEntryRefusal>>): {
     model: string;
     cleanedObjective: string;

package/dist/model-select.js

@@ -1,5 +1,9 @@
-import { expandTiers, parseModelMention } from "@sema-agent/core";
+import { expandTiers, parseModelMention, resolveTaskModel as coreResolveTaskModel } from "@sema-agent/core";
 export const DEFAULT_MODEL_REF = "default";
+export function resolveMainModel(plane) {
+    const expanded = expandTiers(plane.models, plane.tiers ?? {}) ?? plane.models;
+    return coreResolveTaskModel({ model: DEFAULT_MODEL_REF }, { ...(expanded !== undefined ? { models: expanded } : {}) }).model;
+}
 export function resolveTaskModel(bodyModel, objective, catalog, allowlist, refusals) {
     const mention = parseModelMention(objective, [...Object.keys(refusals ?? {}), ...Object.keys(catalog)]);
     const mentionUsable = mention.model !== undefined && Object.hasOwn(catalog, mention.model) ? mention.model : undefined;

package/dist/observability/corrupt-read-seat.d.ts

@@ -31,12 +31,15 @@
  * · **不接 `recordFailOpen`**:那条通道是给 F 类(装饰/缓存)fail-open 的计数与探针用的;这里的 fail-open
  *   是 core 的裁定、本仓不改它,server 的职责只有一条 —— **不许无声**([ref] 安全轴纪律)。响亮 warn 就是
  *   那条职责的兑现;要不要再进 fail-open 台账是另一件事、另一台车的设计。
+ *   (⚠️ 这一条只说 core 自带 File 店的座。**本仓自有**的 JSONL 店是另一回事 —— 失败方向归本仓裁,见文件
+ *   后半的 S-582 重放属主:fail-open 的座**必须**进 F 类台账,fail-closed 的座不进台账而是拒用。)
  *
  * ⚠️ core 那只 guard 的纪律同样适用:sink 是**无绑定**调用的(`this` 是 undefined)。本属主返回的是箭头
  * 闭包,天然满足;但**不要**把某个对象的裸方法引用直接塞进座 —— 读 `this` 会抛,而那个抛会被 core 的
  * guard 吞掉,于是披露**静默丢失**(比没接座更难查)。
  */
-import type { FileStorageCorruptReadInfo, readJsonlRecords } from "@sema-agent/core";
+import { type FileStorageCorruptReadInfo } from "@sema-agent/core";
+import { type FailOpenTag } from "./fail-open.js";
 import type { Logger } from "./logger.js";
 /**
  * 铸一只腐读披露座。
@@ -46,28 +49,160 @@ import type { Logger } from "./logger.js";
  * @param event warn 事件名。**留在调用点**:它是那只店的身份,接线锚(test/roster-corrupt-read.test.ts)
  *   正是靠「构造实参里能读到这个名字」来证明座不是个空回调。
  * @param note 这张脸的后果句(可选)。缺席 ⇒ 不写这个键。
+ * @param leg  与披露**同拍**的一条附加腿(可选;S-612 加):座拿到一次披露时先交给它、再写日志。唯一的用户是
+ *   `LocalSessionStore` 那只 `FileSessionRepo` 的座 —— 会话打开作用域的计数腿(`noteReplayInSessionOpenScope`:
+ *   作用域在场时把 `replay` 计数记到那次打开上,由打开方铸 `session.records_skipped`)。腿**必须不抛**(那一只是纯内存
+ *   赋值);先腿后日志,是因为日志座可能坏(core 的 guard 会吞掉它的抛),而一次日志故障不许吃掉这一记。
+ *   座本身不变:载荷投影、事件名、后果句仍由本属主铸,腿只多拿一份同一个 `info`。
  */
-export declare function createCorruptReadSeat(warn: Logger["warn"], event: string, note?: string): (info: FileStorageCorruptReadInfo) => void;
+export declare function createCorruptReadSeat(warn: Logger["warn"], event: string, note?: string, leg?: (info: FileStorageCorruptReadInfo) => void): (info: FileStorageCorruptReadInfo) => void;
 /**
  * `FileStorageBackend` 那两只座共用的后果句 —— 一个座覆盖 core 转发的三张脸,所以共同事实只有一句,
  * 差别只在第三张脸叫什么(`run-local` 腿看到的是 file-snapshot,HTTP 服务腿看到的是 file-history)。
  * 这一句从前在两处各抄一份、只差一个词;现在词从参数来,句子只有一份。
  */
 export declare function buildDurableAbsenceNote(thirdFace: string): string;
-/** core `readJsonlRecords` 的坏行回调入参(core 不从包根导出这两级的型名 ⇒ 从那只函数的签名派生,不手抄)。 */
-export type JsonlCorruptInfo = Parameters<NonNullable<Parameters<typeof readJsonlRecords>[1]>>[0];
-/** 其中「一条被跳过的记录」那一级。 */
-export type JsonlSkippedRecord = Extract<JsonlCorruptInfo, {
-    kind: "record";
-}>;
 /**
- * S-616(core 7.30.0 #1041 提货)—— 本仓直接调 `readJsonlRecords` 的店(approval-ask 日志、permission-rule 两本日志)
- * 的坏行回调**唯一**形。core 自这一版起对一次坏读报两级:每条被跳过的记录一发 `record`,这次重放的计数一发
- * `replay`(`dropped` = 同一批 `record` 的条数)。这些店按**记录**计数、按记录告警 / 跳闸 —— 手写回调不分级就把同一条
- * 坏行记两次(k3s8 实测:approval-ask 的「1 条解析不出」读成 2 条,permission-rule 的 onError 一行变两行)。
- * 规则一句:**只按记录计,计数级是同一事实的汇总,不再计一次**;穷举 switch,core 加第三级 ⇒ 编译红。
- * 与 {@link createCorruptReadSeat} 的分工:那只是 core 自带 File 店的**披露座**(两级都转发,日志按 `kind` 分桶);
- * 本函数是本仓自有店**消费**坏行事实的口子(计数 / 跳闸只要记录级)。
+ * 一只店对自己记录的**形判据 + 投影**。`read` 认得 ⇒ 返回店的记录;认不得 ⇒ `undefined`。
+ *
+ * 判据写**最小必填键**:本店重放真读的那几格必须在、且形对(一格读错形会被重放读成另一件事 —— 例如豁免店的
+ * `revoked` 若是字符串 `"false"`,真值判断会把它当成撤销)。不写「是对象就行」:那一层 core 已经判过了。
+ * 🔴 `read` 必须是记录的**纯函数** —— 属主对 core 留下的每条记录会再读一次取投影(core 的判据座只回布尔)。
+ */
+export interface JsonlRecordShape<T> {
+    /** 被拒那一行在披露句里的名字(core `JsonlRecordJudge.what`)。 */
+    readonly what: string;
+    read(record: object): T | undefined;
+}
+type JsonlReplaySeatEntry = {
+    readonly direction: "fail-closed";
+    /** 腐读座的 warn 事件名。 */
+    readonly event: string;
+    /** 这只面在拒绝句里的名字。 */
+    readonly face: string;
+    /** 进每一条披露的后果句。 */
+    readonly note: string;
+    /** 拒绝句的出路段:人该做什么、移开文件会丢什么。 */
+    readonly remedy: string;
+} | {
+    readonly direction: "fail-open";
+    readonly event: string;
+    /** 逐条计数的 F 类 tag(`fail-open.ts` 闭集词表;普查表 §1 有登记行)。 */
+    readonly tag: FailOpenTag;
+    readonly note: string;
+};
+/**
+ * JSONL 座的**登记表**(闭集:未登记的座名传不进属主 ⇒ 编译红)。每一座在 `docs/FAIL-OPEN-CENSUS.md` §1 有登记行。
+ *  · `fail-closed` —— 权限 / 安全轴:一行读不出 = 一次授权事实缺了一块,拿残缺的账判决会**放行**不该放行的
+ *    (nonce 重放 / 已撤销的豁免复活 / 已认领的票复活 / 审批记录连同 rev 回滚)。
+ *  · `fail-open` —— 可用性轴:丢一行 = 丢一段进度 / 一条列表项 / 一个事件,放行合法但**必留痕**(F 类)。
+ */
+export declare const JSONL_REPLAY_SEATS: {
+    readonly "approval-nonce": {
+        readonly direction: "fail-closed";
+        readonly event: "approval_nonce_corrupt_read";
+        readonly face: "approval-nonce ledger";
+        readonly note: string;
+        readonly remedy: string;
+    };
+    readonly "approval-exemption": {
+        readonly direction: "fail-closed";
+        readonly event: "approval_exemption_corrupt_read";
+        readonly face: "approval-exemption log";
+        readonly note: string;
+        readonly remedy: string;
+    };
+    readonly "permission-rule-approvals": {
+        readonly direction: "fail-closed";
+        readonly event: "permission_rule_approvals_corrupt_read";
+        readonly face: "permission-rule approval log";
+        readonly note: "S-582 fail-closed: an unreadable snapshot would roll a rule-approval record (and its rev) back to an earlier state. The face refuses every read and write until a person inspects the file.";
+        readonly remedy: "the permission-rule lane is fail-closed until a person inspects the file (moving it aside restarts the lane with an empty log)";
+    };
+    readonly "permission-rule-tickets": {
+        readonly direction: "fail-closed";
+        readonly event: "permission_rule_tickets_corrupt_read";
+        readonly face: "permission-rule import-ticket log";
+        readonly note: "S-582 fail-closed: an unreadable consume/release line would resurrect a claimed import ticket as unclaimed (one human consent redeemed twice). The face refuses every read and write until a person inspects the file.";
+        readonly remedy: "the permission-rule lane is fail-closed until a person inspects the file (moving it aside restarts the lane with an empty log)";
+    };
+    readonly "approval-ask-journal": {
+        readonly direction: "fail-open";
+        readonly event: "approval_ask_journal_corrupt_read";
+        readonly tag: "server.approval-ask-journal.corrupt-record-skipped";
+        readonly note: "F: a skipped ask-journal record loses an ask transition's PROGRESS, never a gate (every write is CAS-guarded); the original is quarantined next to the journal.";
+    };
+    readonly "run-store": {
+        readonly direction: "fail-open";
+        readonly event: "run_store_corrupt_read";
+        readonly tag: "server.run-store.corrupt-record-skipped";
+        readonly note: string;
+    };
+    readonly "resume-anchor": {
+        readonly direction: "fail-open";
+        readonly event: "resume_anchor_corrupt_read";
+        readonly tag: "server.resume-anchor.corrupt-record-skipped";
+        readonly note: "F: a skipped anchor means that eventId no longer resolves (resumeAt / rewindFilesTo answer 404 unknown_event for it; the next put re-records it).";
+    };
+    readonly "send-file-ledger": {
+        readonly direction: "fail-open";
+        readonly event: "send_file_ledger_corrupt_read";
+        readonly tag: "server.send-file-ledger.corrupt-record-skipped";
+        readonly note: "F: a skipped ledger row means that issued link is missing from its tenant's listing (the stored object itself is untouched).";
+    };
+};
+/** 登记名(闭集)。 */
+export type JsonlReplaySeat = keyof typeof JSONL_REPLAY_SEATS;
+type SeatsWhere<D extends JsonlReplaySeatEntry["direction"]> = {
+    [K in JsonlReplaySeat]: (typeof JSONL_REPLAY_SEATS)[K]["direction"] extends D ? K : never;
+}[JsonlReplaySeat];
+/** 登记为 fail-closed 的座(只能交给 {@link replayJsonlGuarded})。 */
+export type FailClosedJsonlSeat = SeatsWhere<"fail-closed">;
+/** 登记为 fail-open 的座(只能交给 {@link replayJsonlSkipping})。 */
+export type FailOpenJsonlSeat = SeatsWhere<"fail-open">;
+/**
+ * fail-closed 座的**带码拒绝**。`kind` 与店层拒绝契约同字(`StoreCorruptError.kind`),`seat` 说是哪一只面。
+ * 调用方各按自己的既有纪律接:豁免探针被拒 ⇒ 当未豁免(照问人);nonce 消费被拒 ⇒ 外层 500(证明不受理)。
+ */
+export declare class JsonlStoreCorruptError extends Error {
+    readonly kind: "corrupt";
+    readonly seat: FailClosedJsonlSeat;
+    readonly path: string;
+    readonly reason: string;
+    constructor(seat: FailClosedJsonlSeat, path: string, reason: string);
+}
+/**
+ * 一个 fail-closed 文件的**损坏闸**(原 `permission-rule-store-file.ts` 的 `CorruptionGate`,S-582 收进属主)。
+ * 置位之后,店的每一个判决 / 追加方法第一行 {@link assertUsable} 即响亮拒 —— 一份不完整的授权账既不能用来
+ * 判决,也不能在它上面继续追加(追加只会让下一次重启读到同样残缺的历史)。
+ * 只是一只闩:披露由属主在跳闸那一刻经腐读座发出(逐条记录 + 计数),闸本身不再说第二遍。
+ */
+export declare class JsonlStoreGate {
+    private readonly seat;
+    private readonly path;
+    private reason;
+    constructor(seat: FailClosedJsonlSeat, path: string);
+    /** 记一次损坏(幂等:第一条原因就是拒绝句里报的那条)。 */
+    trip(reason: string): void;
+    get tripped(): boolean;
+    assertUsable(): void;
+}
+/**
+ * **fail-closed** 座的重放:坏行 ⇒ 逐条披露 + 这只文件的闸合上(交回的 {@link JsonlStoreGate});好行照常交回
+ * (闸合上时店不再用它们判决,但删除类动作 —— 例如 E21 删会话 —— 仍可按店的规矩收掉它们)。
+ * 读错(非 ENOENT)照 core 原样抛。
+ */
+export declare function replayJsonlGuarded<T>(path: string, seat: FailClosedJsonlSeat, shape: JsonlRecordShape<T>, warn?: Logger["warn"]): {
+    records: T[];
+    gate: JsonlStoreGate;
+};
+/**
+ * **fail-open** 座的重放:坏行 ⇒ 跳过 + 逐条披露 + 逐条 `recordFailOpen(<登记的 F tag>)`;`skipped` = 跳过的条数
+ * (撕尾不计 —— core 按设计不报它)。读错(非 ENOENT)照 core 原样抛。
  */
-export declare function createSkippedRecordSink(onRecord: (info: JsonlSkippedRecord) => void): (info: JsonlCorruptInfo) => void;
+export declare function replayJsonlSkipping<T>(path: string, seat: FailOpenJsonlSeat, shape: JsonlRecordShape<T>, warn?: Logger["warn"]): {
+    records: T[];
+    skipped: number;
+};
+export {};
 //# sourceMappingURL=corrupt-read-seat.d.ts.map