@sema-agent/server 7.103.2 → 7.105.0

package/dist/env-facts.d.ts

@@ -30,6 +30,14 @@ export interface SandboxEnvFacts {
         note?: string;
     };
 }
+/**
+ * 一条 scratchpad 路径能不能被**原样**宣告(core 的渲染上限 {@link MAX_PATH} 之内)—— scratchpad 的**铸造条件**之一。
+ * 两个铸点(server 自算 {@link ensureScratchpadDir}、壳供 {@link screenShellScratchpadDir})读这同一只:渲染不下的路径
+ * **根本不铸**(不建目录、不进写门豁免、不宣告 —— 宣告是根围栏那个洞的唯一写者,S-842,于是也不开洞)。
+ * 🔴 S-842 codex r1 [medium]:删 [ref] 折叠之后,只在宣告那一步丢长路径会留下「建了、豁免了、却不宣告也不开洞」的目录;
+ * 规则挪到铸点,四件同有同无。(远程车道的 `/tmp/scratchpad/<sessionId>` 恒在上限内:sessionId ≤ 64,见 prepareSpec。)
+ */
+export declare function scratchpadPathRenderable(path: string): boolean;
 /** Compose envFacts from what the deployment knows at spec-prep. Returns undefined when nothing is known
  *  (no fact beats a vacuous one — an empty block would still spend prompt tokens). */
 export declare function buildEnvFacts(opts: {
@@ -68,12 +76,14 @@ export declare function scratchpadDirFor(localDataRoot: string, sessionId: strin
  *  egress/pkgSource "don't declare what you don't know"). Lifecycle: the reaper primitives live below —
  *  {@link purgeScratchpadDir}(session delete)+ {@link sweepStaleScratchpads}(mtime 周期扫),keyed by the
  *  same scratchpadDirFor convention;接线(E21 DELETE purge + 周期 sweep)在 main.ts 侧(D 组)。 */
-export declare function ensureScratchpadDir(localDataRoot: string, sessionId: string): Promise<string | undefined>;
+export declare function ensureScratchpadDir(localDataRoot: string, sessionId: string, 
+/** 渲染不下(铸造条件不成立)时的那一行 —— 调用方交日志口(S-842 codex r1:不铸必须说出来,否则「本会话没有 scratchpad」无从排查)。 */
+warn: (msg: string, meta?: object) => void): Promise<string | undefined>;
 /** G3([ref] 壳侧承诺③/[ref]③,[ref]§四接单):**壳供** scratchpad 路径的验收门。
  *
  *  壳(cli)vendored getScratchpadDir 算出 per-session scratchpad 路径随 `TaskRequest.scratchpadDir` 发来;
- *  接受后它**优先于** server 自算(ensureScratchpadDir),喂 main.ts 的同一单点(envFacts 事实 +
- *  fs-write gate exemptDirs + additionalDirectories 根围栏)。「没到货引擎忽略 = 无害 additive」。
+ *  接受后它**优先于** server 自算(ensureScratchpadDir),喂 resolve-spec 的同一单点(envFacts 宣告 ——
+ *  core 据它开根围栏的洞,S-842 起是那个洞的唯一写者 —— + fs-write gate exemptDirs)。「没到货引擎忽略 = 无害 additive」。
  *
  *  信任边界:这是 exemptDirs **放宽**输入,验收 fail-closed(任何拒收形回落自算,不 fault 任务):
  *   - 多租户(requirePrincipal)一律拒——共享 worker 盘上租户自选豁免目录=超范围面;

package/dist/env-facts.js

@@ -5,6 +5,9 @@ import { dirCoversPath, isValidCwd, normalizeAbsolutePathLexically } from "./tas
 const MAX_STR = 64;
 const MAX_CAPS = 16;
 const MAX_PATH = 160;
+export function scratchpadPathRenderable(path) {
+    return path.length <= MAX_PATH;
+}
 const bound = (s) => (s.length > MAX_STR ? s.slice(0, MAX_STR) : s);
 const bound2 = (s) => (s.length > MAX_PATH ? s.slice(0, MAX_PATH) : s);
 export function buildEnvFacts(opts) {
@@ -17,7 +20,7 @@ export function buildEnvFacts(opts) {
         ...(caps.length > 0 ? { capabilities: caps } : {}),
         ...(opts.pkgSource ? { pkgSource: bound(opts.pkgSource) } : {}),
         ...(opts.egress ? { egress: opts.egress } : {}),
-        ...(opts.scratchpadDir && opts.scratchpadDir.length <= MAX_PATH ? { scratchpadDir: opts.scratchpadDir } : {}),
+        ...(opts.scratchpadDir && scratchpadPathRenderable(opts.scratchpadDir) ? { scratchpadDir: opts.scratchpadDir } : {}),
         ...(opts.resumeFacts && Object.keys(opts.resumeFacts).length > 0
             ? { resumeFacts: { ...opts.resumeFacts, ...(opts.resumeFacts.note ? { note: bound2(opts.resumeFacts.note) } : {}) } }
             : {}),
@@ -51,8 +54,17 @@ export function scratchpadSessionSegment(sessionId) {
 export function scratchpadDirFor(localDataRoot, sessionId) {
     return join(localDataRoot, "scratchpad", scratchpadSessionSegment(sessionId));
 }
-export async function ensureScratchpadDir(localDataRoot, sessionId) {
+export async function ensureScratchpadDir(localDataRoot, sessionId, warn) {
     const dir = scratchpadDirFor(localDataRoot, sessionId);
+    if (!scratchpadPathRenderable(dir)) {
+        warn("scratchpad_not_minted", {
+            reason: "too_long",
+            length: dir.length,
+            max: MAX_PATH,
+            note: "the session scratchpad path is longer than the engine renders verbatim, so it is not created, not exempted and not declared (a truncated path would be a fake one) — shorten LOCAL_DATA_ROOT to get a scratchpad back",
+        });
+        return undefined;
+    }
     try {
         await mkdir(dir, { recursive: true });
         return dir;
@@ -89,7 +101,7 @@ export function screenShellScratchpadDir(raw, opts) {
         opts.warn("shell_scratchpad_ignored", { reason: "not_absolute" });
         return undefined;
     }
-    if (raw.length > MAX_PATH) {
+    if (!scratchpadPathRenderable(raw)) {
         opts.warn("shell_scratchpad_ignored", { reason: "too_long", length: raw.length, max: MAX_PATH });
         return undefined;
     }

package/dist/execution-lane-caps.d.ts

@@ -70,6 +70,21 @@ export interface ExecutionLaneCaps {
      * 静默继承一个没人表过态的缺席。
      */
     readonly canonicalPathAuthority: LaneCapability;
+    /**
+     * 车PI 修复轮 ②(S-775 / clay C-R91A ②,主会话裁「按表不按词」;裁定语义 = **租户不共宿主**)—— 这条车道**分不分租户**。
+     *  · `supported` = 每个租户的命令落在各自的目标上(每任务一只沙箱:e2b / k8s / local-docker;发起者自己的设备:device,
+     *    归属由 deviceId↔principal 绑定验过),或根本没有手(in-process:没有可共享的执行目标);
+     *  · `single-user-only` = 所有任务落在**同一个共享目标**上(worker 宿主:host;一台常驻 SSH 对端:ssh;一台 ADB 设备:adb)
+     *    ⇒ 只许单用户部署用。
+     * 本位**没有** `unsupported` 这一档(那会读成「谁都不许用」,不是车道事实)—— 型上收窄掉,每条车道必须在两档里表态。
+     * 🔴 **本位即执法源**(车PI 验修轮 F8,如实登记):唯一消费点是 `config-invariants.ts` 的 `multi-tenant-shared-lane`(经
+     * {@link laneCapabilityHolds} 落成布尔),能力表对账格里本位的「判别式」读的就是这张表 —— 自指,只证明消费点读的是本位,不证明本位
+     * 的值对。本位值的**独立作者** = 部署面 `deploy/sema-up/lib/lanes.json` 的 users 列(只有 host / e2b / k8s 三行)+ 行为格
+     * (`test/multi-tenant-shared-lane.test.ts`:ssh / adb 的工厂给两个租户的任务铸出的 env 报同一个 `workspaceHandle().sandboxId`)。
+     * local-docker / device / in-process 的 `supported` 今天没有独立预言机(e2b / local-docker 的句柄要连上才有,k8s 连前恒 `(unconnected)`,
+     * 都不是零成本格)—— 改这几行时按适配器事实自查。
+     */
+    readonly tenantSeparation: Exclude<LaneCapability, "unsupported">;
 }
 /**
  * per-lane 能力表。**穷举 switch,禁 default 臂**(hands-lane.ts:39-46 先例)。

package/dist/execution-lane-caps.js

@@ -20,6 +20,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: YES,
                 coreRemoteExecutionEnv: NO,
                 canonicalPathAuthority: NO,
+                tenantSeparation: YES,
             };
         case "host":
             return {
@@ -37,6 +38,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: YES,
                 coreRemoteExecutionEnv: YES,
                 canonicalPathAuthority: YES,
+                tenantSeparation: SU,
             };
         case "e2b":
             return {
@@ -54,6 +56,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: NO,
                 coreRemoteExecutionEnv: YES,
                 canonicalPathAuthority: NO,
+                tenantSeparation: YES,
             };
         case "k8s":
             return {
@@ -71,6 +74,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: NO,
                 coreRemoteExecutionEnv: YES,
                 canonicalPathAuthority: YES,
+                tenantSeparation: YES,
             };
         case "ssh":
             return {
@@ -88,6 +92,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: NO,
                 coreRemoteExecutionEnv: YES,
                 canonicalPathAuthority: YES,
+                tenantSeparation: SU,
             };
         case "adb":
             return {
@@ -105,6 +110,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: NO,
                 coreRemoteExecutionEnv: YES,
                 canonicalPathAuthority: YES,
+                tenantSeparation: SU,
             };
         case "local-docker":
             return {
@@ -122,6 +128,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: NO,
                 coreRemoteExecutionEnv: YES,
                 canonicalPathAuthority: NO,
+                tenantSeparation: YES,
             };
         case "device":
             return {
@@ -139,6 +146,7 @@ export function executionLaneCaps(lane) {
                 hostFilePlane: NO,
                 coreRemoteExecutionEnv: YES,
                 canonicalPathAuthority: YES,
+                tenantSeparation: YES,
             };
     }
 }

package/dist/file-history-capture.d.ts

@@ -1,35 +1,41 @@
 /**
- * S-589 —— 文件历史的**装配单点**与能力词 `fileHistoryCapture` 的闭集(叶模块:只 type-import store-backend)。
+ * S-589 → S-724 —— 文件历史的**装配单点**与能力词 `fileHistoryCapture` 的闭集(叶模块:只 type-import store-backend 与 core 型)。
  *
- * ## 病(修前)
- * `boot/budget-tracing.ts` 只要后端有文件历史店就无条件交给 core(`RunnerDeps.fileHistoryStore`)。core 的首次触碰
- * 捕获是**进程级**的:接了店就恒捕获,没有任何单会话 / 单 run 的杠杆;全仓相关旋钮只有保留条数
- * `FILE_HISTORY_RETENTION_KEEP`。于是用户在客户端关掉「文件检查点」关掉的只是提示,文件字节照旧进
- * `file_history_*` —— 隐私 / 留存轴上的用户面语义谎言。
+ * ## 病史
+ * S-589(7.97.0):`boot/budget-tracing.ts` 只要后端有文件历史店就无条件交给 core(`RunnerDeps.fileHistoryStore`)。core 的首次
+ * 触碰捕获当时是**进程级**的:接了店就恒捕获,没有任何单会话 / 单 run 的杠杆。于是用户在客户端关掉「文件检查点」关掉的只是
+ * 提示,文件字节照旧进 `file_history_*`。S-589 给了部署旋钮 `FILE_HISTORY_CAPTURE`,而 core 那时只有一种写法表达「不捕获」——
+ * **不接店** ⇒ 旋钮关 = 摘店,代价是已存历史也一起读不了(restore / rewind / 2c sync 一并关)。
+ * S-724(7.104.0):core 7.31.0 收了两件 —— 部署的**捕获位** `RunnerDeps.fileHistoryCapture: "off"`(店照接,只停新捕获,
+ * 已存历史照常服务 `restoreFiles` / `rewindFilesTo`)与请求级关断词 `TaskSpec.fileHistory: "disabled"`。旋钮改落 core 的同名座:
+ * **名字说的是「捕获」,就只关捕获** —— 一条旋钮一个意思。
  *
- * ## 一处判定,两张脸(按动词类别切分,不是特例)
- * 「这台部署有没有文件历史店」只在 {@link assembleFileHistory} 判一次,部署旋钮 `FILE_HISTORY_CAPTURE` 在这一处合取:
- *  · **捕获脸** `store` = 后端 ∧ 旋钮。喂 core 的首次触碰捕获(`RunnerDeps.fileHistoryStore`)、rewind 族能力位
- *    (`rewindFiles` / `restoreFiles` / `rewindFilesTo` / `sessionSync`)与本模块的能力词、2c sync 路由族。
- *  · **擦除脸** `erasure` = 后端在即在,类型上**只有删除类动词**。喂 E21 在线删除(`boot/session-faces.ts`)与
- *    孤儿 blob GC(`boot/reapers.ts`)。
- * 规则一句话:**旋钮只管写入,从不管擦除**。关掉捕获的部署照样要能删掉已经捕获的文件字节 —— 否则翻旋钮之后
- * `DELETE /v1/sessions/:id` 会回成功却把存量文件内容留在库里,而留存车道(`plugins/retention-store-sql.ts` 的
- * 原生 SQL 删六张 `file_history_*` 表,本来就不看店在不在)与在线删除从此不再等价(E21 两个执行体分家)。
- * ⚠️ 关掉 ≠ 删掉:翻旋钮**不**做任何批量删除。已捕获的历史照既有的会话删除 / 留存规则清理;在旋钮关着的
- * 部署上它也不会再被读用(rewind / restore / sync 都随捕获脸一起缺席)。
+ * ## 两件事,两个单点
+ *  · 「这台部署有没有文件历史店」只在 {@link assembleFileHistory} 判一次(后端在即在,**与旋钮无关**),产出两张脸:
+ *    **店** `store` 喂 core 的 `RunnerDeps.fileHistoryStore`(还原族)、rewind 族能力位(`rewindFiles` / `restoreFiles` /
+ *    `rewindFilesTo` / `sessionSync`)与 2c sync 路由族;**擦除脸** `erasure` = 店的**只有删除类动词**的收窄视图,喂 E21 在线删除
+ *    (`boot/session-faces.ts`)与孤儿 blob GC(`boot/reapers.ts`)。旋钮从不管擦除:关掉捕获的部署照样要能删掉已捕获的文件字节。
+ *  · 「捕不捕」只在 {@link fileHistoryCaptureOf} 判一次(纯函数,输入 = 店在不在 + 旋钮)。两个消费点喂它同一组输入:
+ *    core 的部署捕获位({@link coreFileHistoryCaptureSeat},`boot/runner-deps.ts`)与能力词(`http/routes/capabilities.ts`)——
+ *    core 收到的与能力面说的不可能各说各话。捕获位 `"off"` ⟺ 店在 ∧ 旋钮关;**没有店的部署形不下发**该位:core 对
+ *    「off 但没店」拒 prepare(`config.invalid_file_history_capture`,「nothing to switch off」),而旋钮的意思「不捕获」在没店的
+ *    部署上本来就成立 —— 旋钮照样无条件生效,只是那一形无事可关(选这一臂而不是拒启的理由见 CHANGELOG 7.104.0 S-724 条:
+ *    拒启会把「形合法、意思成立」的配置判成错,且会与 auto 后端的降级臂耦合)。
+ * ⚠️ 关掉 ≠ 删掉:翻旋钮**不**做任何批量删除;已捕获的历史照旧被 restore / rewind / sync 读用,按既有的会话删除 /
+ * 留存规则清理。要让已存历史也不可用,部署今天的出路只有逐会话 `DELETE /v1/sessions/:id` 与留存清扫(见 USAGE)。
  *
- * ## 能力词为什么是闭集两词、没有 `on-optional`
- * cli 要的是「`/config` 那个开关该不该出现」。present-iff 布尔在今天的**每一台**部署上都只能回答「关不掉」
- * (core 的捕获是进程级的)⇒ 出一格三词闭集的前两词:`off`(这台部署根本不捕获,也没有 rewind)与
- * `on-always`(捕获中,且无法按会话关闭)。第三词 `on-optional`(「本会话可以不捕获」)要等 core 收一个
- * 单会话 / 单 run 的不捕获位,**在那之前刻意留空**:预先声明一个结构上不可达的词,等于给客户端一个永远等不到的分支。
+ * ## 能力词为什么是 `off` / `on-optional` 两词
+ * cli 要的是「`/config` 那个开关该不该出现」。三词闭集的设计(S-589)是 `off` / `on-always` / `on-optional`;S-589 时第三词
+ * 结构上不可达(没有单 run 不捕获位)。S-724 起请求词 `fileHistory: "disabled"` 受理 ⇒ 捕获中的部署恒可按 run 关掉 ⇒
+ * `on-optional` 成真,而 `on-always`(「捕获中且关不掉」)**结构上不可达** —— 预先声明一个到不了的词等于给客户端一个
+ * 永远等不到的分支,所以删词不留(7.97.0–7.103.x 的 worker 仍会发它,消费端读法在契约附录 B)。
  */
+import type { RunnerDeps } from "@sema-agent/core";
 import type { ServiceFileHistoryStore, StoreBackend } from "./plugins/store-backend.js";
 /** 能力词闭集的单点属主(`Record` 锁步:联合加词而这里不补 ⇒ 编译红;词表数组由它派生,不手抄)。 */
 declare const FILE_HISTORY_CAPTURE_WORD_SET: {
     readonly off: true;
-    readonly "on-always": true;
+    readonly "on-optional": true;
 };
 /** `GET /v1/capabilities` 的 `fileHistoryCapture` 词。 */
 export type FileHistoryCapture = keyof typeof FILE_HISTORY_CAPTURE_WORD_SET;
@@ -41,25 +47,26 @@ export declare const FILE_HISTORY_CAPTURE_WORDS: readonly FileHistoryCapture[];
 export type FileHistoryErasureFace = Pick<ServiceFileHistoryStore, "reap" | "deleteBySession" | "sweepOrphanBlobs">;
 /** 装配结果:两张脸。 */
 export interface FileHistoryAssembly {
-    /** 捕获脸:在场 ⟺ 后端在 ∧ `FILE_HISTORY_CAPTURE`。 */
+    /** 店:在场 ⟺ 后端在(与旋钮无关)。 */
     readonly store: ServiceFileHistoryStore | undefined;
-    /** 擦除脸:在场 ⟺ 后端在(与旋钮无关)。 */
+    /** 擦除脸:在场 ⟺ 后端在(与旋钮无关;是 {@link store} 的删除类动词视图)。 */
     readonly erasure: FileHistoryErasureFace | undefined;
 }
+/** 装配:「这台部署有没有文件历史店」的唯一判定。旋钮不在这里 —— 它只关捕获,不摘店(S-724)。 */
+export declare function assembleFileHistory(backend: StoreBackend | undefined): FileHistoryAssembly;
 /**
- * **唯一**的装配判定。`capture` = 部署旋钮 `FILE_HISTORY_CAPTURE`(`config.fileHistoryCapture`)。
+ * 「捕不捕」的**唯一**判定(纯函数):能力词。`store` = 装配出来的店(在不在),`knob` = 部署旋钮 `FILE_HISTORY_CAPTURE`
+ * (`config.fileHistoryCapture`)。从**装配结果**派生,不照旋钮字面回声:后端本来就没有这只店的部署同样是 `off`。
  *
- * 形照 `execution-lane-caps.ts` 的穷举 switch(无 default 臂):意图词加一个(将来的 `on-optional`)而这里不加臂
- * ⇒ 编译红 —— 加臂的那一刻就是决定「这一词下捕获脸接不接、core 那一位单会话不捕获位怎么递」的地方。
+ * 与 `rewindFiles` 分叉(S-589 当时写下的分叉条件,自本版成真):本词答「这台部署捕不捕、能不能按 run 关掉」,
+ * `rewindFiles` 答「这台部署能不能还原」—— 旋钮关的部署本词 `off` 而 `rewindFiles` 仍为真。
  */
-export declare function assembleFileHistory(backend: StoreBackend | undefined, capture: boolean): FileHistoryAssembly;
+export declare function fileHistoryCaptureOf(store: object | undefined, knob: boolean): FileHistoryCapture;
 /**
- * 能力词 = 捕获脸在不在(读**装配结果**,不照旋钮字面回声:后端本来就没有这只店的部署同样是 `off`)。
- *
- * 与 `rewindFiles` 读的是**同一个判定**(`deps.fileHistoryStore` 在场),今天两位同构。分叉条件(写在这里免得
- * 将来有人把两位当成一回事):core 收了单会话不捕获位之后,本词在捕获脸在场时会变成 `on-optional`,而
- * `rewindFiles` 仍是 true —— 它回答的是「这台部署能不能还原」,本词回答的是「捕获关不关得掉」。
+ * core 的部署捕获位 `RunnerDeps.fileHistoryCapture`,由 {@link fileHistoryCaptureOf} 派生(同一组输入、同一只判定)。
+ * 形照 `execution-lane-caps.ts` 的穷举 switch(无 default 臂):能力词加一个而这里不加臂 ⇒ 编译红 —— 加臂的那一刻就是
+ * 决定「这一词下 core 的捕获位怎么递」的地方。没有店 ⇒ 恒 `undefined`(core 对「off 但没店」拒 prepare)。
  */
-export declare function fileHistoryCaptureOf(captureFace: object | undefined): FileHistoryCapture;
+export declare function coreFileHistoryCaptureSeat(store: object | undefined, knob: boolean): RunnerDeps["fileHistoryCapture"];
 export {};
 //# sourceMappingURL=file-history-capture.d.ts.map

package/dist/file-history-capture.js

@@ -1,21 +1,26 @@
 const FILE_HISTORY_CAPTURE_WORD_SET = {
     off: true,
-    "on-always": true,
+    "on-optional": true,
 };
 export const FILE_HISTORY_CAPTURE_WORDS = Object.keys(FILE_HISTORY_CAPTURE_WORD_SET);
-export function assembleFileHistory(backend, capture) {
+export function assembleFileHistory(backend) {
     if (backend === undefined)
         return { store: undefined, erasure: undefined };
     const physical = backend.fileHistory();
-    const intent = capture ? "on-always" : "off";
-    switch (intent) {
+    return { store: physical, erasure: physical };
+}
+export function fileHistoryCaptureOf(store, knob) {
+    return store !== undefined && knob ? "on-optional" : "off";
+}
+export function coreFileHistoryCaptureSeat(store, knob) {
+    if (store === undefined)
+        return undefined;
+    const word = fileHistoryCaptureOf(store, knob);
+    switch (word) {
         case "off":
-            return { store: undefined, erasure: physical };
-        case "on-always":
-            return { store: physical, erasure: physical };
+            return "off";
+        case "on-optional":
+            return undefined;
     }
 }
-export function fileHistoryCaptureOf(captureFace) {
-    return captureFace === undefined ? "off" : "on-always";
-}
 //# sourceMappingURL=file-history-capture.js.map

package/dist/file-history-disclosure.d.ts

@@ -1,34 +1,3 @@
-/**
- * S-157④ —— SQL file-history 店的 **typed 永久失败**披露座:散文一个铸点 + 机器面一只 sink。
- *
- * ## 病(基线 v7.79.0 逐行亲核 + 亲跑)
- * `plugins/blob-backend.ts:55` 的 `BlobTooLargeError` 带 typed 判别码 `blob_too_large_for_sql`,头注
- * 原话「绝不能与 transient 写失败混在一类(那类是可重试的 502;这类重试永远不会成功)」。可它一旦被
- * `plugins/file-history-store-sql.ts` 的任何一条 `catch` 折进 `FileHistoryResult.error.message`,判别码
- * 就只剩散文,**机器一位都读不到**。两条腿各自的后果:
- *
- * · **snapshot(边界捕获)腿**:引擎把失败包成一句散文交给 `RunnerDeps.onError({phase:"rewind"})`
- *   (core 7.20.0 `dist/core/runner/prepare-file-history.js` 的 `wrapFileHistoryEntry`),服务那条臂从文本里抠**第一个**
- *   括号词当 metric label —— 而第一个括号词恒是引擎自己的闭集码。实测:「这个文件永远存不进这口店」
- *   与「连接被重置」在 `rewind_snapshot_failed_total` 上**同形** `code="snapshot_failed"`。
- * · **trackEdit(首触备份)腿**:本服务用引擎默认的 `onTrackFailure:"refuse"`(`boot/runner-deps.ts` 亲读),
- *   那条路 **完全不走 onError** —— 引擎把 `(track_failed: <本店 message>)` 念给模型,末句是
- *   「Retry when the file-history store is healthy.」(`prepare-file-history.js`)。对这枚码那是永远
- *   不会到来的一天,而**运维面一个计数都没有**:这条腿今天在遥测上完全不可见。
- *
- * ## 修法(源头留痕,不走文本通道)
- * · **散文面**({@link discloseCaughtFailure} 的返回值):把 caught error 的 typed `code` 写成一个括号词
- *   前置到它自己的 message 前 —— **不 `instanceof` 单挑任何一个类**(身上有字符串 `code` 就折),该店
- *   11 处折点全部改走这一只函数。人与模型因此看得到「这是哪一类失败」。
- * · **机器面**(同一只函数的副作用):码取自 typed 错**对象**、对闭集词表判定,**绝不从散文里抠**。
- *   🔴 这一条是 codex R1-[high] 验真后的定形:文本通道**天然可伪造** —— 一个名叫
- *   `(blob_too_large_for_sql).txt` 的文件读不出来时,它的路径就在 `snapshot_failed` 的散文里,任何
- *   「从散文里取在册括号词」的读法都会把它当成一枚永久码(继而抑制掉真故障的告警)。闭集只约束基数,
- *   不能证明来源。所以机读判定搬回**唯一知道真相的那一层**=铸错的地方,`rewind` 臂的读法一字不动。
- * · 留痕三件套与 `observability/fail-open.ts` / `observability/secret-env-scrub.ts` 同律:**计数逐次**
- *   (`file_history_permanent_failure_total{code}`)、**每进程每码一条 warn**(第二条起零新增内容,而
- *   20G 树的用户每 turn 撞一次)、装配前累计的次数在 install 时补进 metrics。
- */
 import type { Logger } from "./observability/logger.js";
 import type { Metrics } from "./observability/metrics.js";
 interface Sink {
@@ -49,5 +18,12 @@ export declare function installFileHistoryFailureRecorder(deps: Sink): void;
 export declare function fileHistoryPermanentFailureCounts(): ReadonlyMap<string, number>;
 /** 测试用重置(进程级状态在同一个 vitest worker 里跨用例存活)。 */
 export declare function resetFileHistoryFailureRecorderForTest(deps?: Sink): void;
+/** core `FileHistoryError.code` 闭集的值投影(两道差集钉在下面;`satisfies` 让它进 core 读表的 `literals` 段 ——
+ *  core 退役其中一词时,提货前的求交门就能点名这张表)。 */
+declare const FILE_HISTORY_ERROR_CODE_WORDS: readonly ["track_failed", "snapshot_failed", "restore_failed", "adopt_failed", "not_found", "aborted", "unsupported_format", "conflict"];
+/** rewind 粗码臂的码词 = core 的闭集。 */
+export type FileHistoryErrorCode = (typeof FILE_HISTORY_ERROR_CODE_WORDS)[number];
+/** rewind 臂一次失败的粗码:文本里**第一个**在册的 `(码)` / `(码:`;没有 ⇒ `unknown`。纯函数、不抛。 */
+export declare function rewindFailureCode(err: unknown): FileHistoryErrorCode | "unknown";
 export {};
 //# sourceMappingURL=file-history-disclosure.d.ts.map

package/dist/file-history-disclosure.js

@@ -86,4 +86,16 @@ export function resetFileHistoryFailureRecorderForTest(deps = {}) {
     sink = { ...deps };
     deps.metrics?.counter(PERMANENT_FAILURE_COUNTER, PERMANENT_FAILURE_HELP);
 }
+const FILE_HISTORY_ERROR_CODE_WORDS = ["track_failed", "snapshot_failed", "restore_failed", "adopt_failed", "not_found", "aborted", "unsupported_format", "conflict"];
+const FILE_HISTORY_ERROR_CODE_SET = new Set(FILE_HISTORY_ERROR_CODE_WORDS);
+const isFileHistoryErrorCode = (w) => FILE_HISTORY_ERROR_CODE_SET.has(w);
+export function rewindFailureCode(err) {
+    const text = err instanceof Error ? err.message : String(err);
+    for (const m of text.matchAll(/\(([a-z_]+)[):]/g)) {
+        const word = m[1];
+        if (isFileHistoryErrorCode(word))
+            return word;
+    }
+    return "unknown";
+}
 //# sourceMappingURL=file-history-disclosure.js.map

package/dist/fleet/fleet-bus.d.ts

@@ -54,7 +54,11 @@ export interface FleetTaskRow {
      *  🔴 与 `name` 分域:`name` 是**显示名**(源 `description ?? name`,模型自由文本);本键是**身份键**,
      *  消费端按串相等把「@某个名字」绑到这一行(同类型两个子代在 `agentType` 上不可分,在本键上可分)。
      *  ADDITIVE / tolerate-absent:**缺席 = 一次匿名委派**(不是「不知道它叫什么」)—— 7.25.0 之前本键在本仓
-     *  没有任何源,恒缺席。SECRET-SAFE:与 `name` 同一道边界(emit 前 redact)。 */
+     *  没有任何源,恒缺席。**VERBATIM,不过 `redactSecrets`**(S-546 B6①:本注此前写「与 `name` 同一道边界,emit 前
+     *  redact」,而三处铸点从本键到货起就是原样投 —— 见本文件 spawn / tick / terminal 三臂的行注与
+     *  `trace/core-keyset-guard.ts` 的 `spawnName` 记账):它是**身份键**,消费端按串相等绑行,脱敏会把两个合法队友名
+     *  改写成同一串;出生点校验过的字符集里也没有可脱敏的形。残余(已披露)= 有人把真凭据当队友名写进
+     *  `Agent({name})`,那一串原样上 fleet 面。展示名 `name` 照旧脱敏。 */
     agentName?: string;
     /** Owning principal (= the run's scope). The `/v1/fleet/stream` route filters to the caller's scope (owner-gated)
      *  unless the caller is fleet-wide (operator / trace-token). NOT rendered — a tenant-isolation field. */

package/dist/http/admission.d.ts

@@ -29,11 +29,18 @@ export declare const MAX_OUTPUT_SCHEMA_CHARS = 32768;
  *  · `skill.description must be a string of at most 1024 characters`(描述长度帽);
  *  · `skill.name must be a non-empty string of at most 64 characters` 里的 **长度**那一半。
  *
- * 退役的判据是**上游两侧都没有同形门**:CC 2.1.259 的技能清单渲染(`cli259.js:23195` 的预算算法)
- * 在超预算时把**描述裁短**、再不够就退成 name-only,**从不**因为条数多或描述长而拒掉一条技能;
- * 它的 `Ir()` 名字校验也只判非空 / 无配对代理 / 无首尾空白 / 无括号逗号控制字符,没有长度帽。
+ * 退役的判据是**上游两侧都没有同形门**:CC 的技能清单渲染**从不**因为条数多或描述长而拒掉一条技能 —— 超预算时每一条
+ * 只有两种结局:全文,或退成 name-only(`- name`);bundled 技能恒为全文,其余按优先级在剩余预算内贪心升回全文
+ * (cli280.js:217940-217942 `JBt`;预算 = `max(1, floor((窗口 ?? 200000) × bytesPerToken(缺省 4)× fraction))`,
+ * env `SLASH_COMMAND_TOOL_CHAR_BUDGET` 优先,cli280.js:215920 `nUe`)。单条描述超过 `skillListingMaxDescChars`(默认 1536)
+ * 截成前 1535 字符加「…」,这一截与预算无关、恒生效(cli280.js:217940 `NFr`)。旧引的 `cli259.js:23195` 是 `skillListingBudgetFraction` 的 settings describe 文案,
+ * 不是算法本体。CC 的技能名校验(2.1.259 `Ir()` / 2.1.280 `Rs()`,cli280.js:236381;校验的是 Agent SDK `skills` 选项里的
+ * 技能名)判非空、无未配对代理、无首尾空白、无括号逗号控制字符、不是 `'*'`、无通配后缀、不以 `/` 开头、无连续反斜杠、
+ * 不以反斜杠结尾 —— **没有长度这一条**;CC 的名字长度界在别的面上且都不是 64:forked skill 作用域持久化 256
+ * (cli280.js:214671 `BV`)、transcript 载入(resume)时 `skill_listing.names` 每条 ≤ 512 / 至多 4096 条,不合格整条附件丢弃
+ * (cli280.js:217865)。
  * 引擎侧同理:唯一整拒的是 1 MiB 的单技能加载门。于是那三条帽是「装了 11 个技能就 400」这种
- * 纯本仓面的伤——收益是零(预算由渲染侧按字节兜),代价是用户装不进自己的技能库。
+ * 纯本仓面的伤——收益是零(预算由渲染侧兜),代价是用户装不进自己的技能库。
  *
  * **补偿**(三问的第三问):`settings.skillListingBudgetFraction` / `settings.skillListingMaxDescChars`
  * 两个旋钮直达引擎的渲染预算(per-turn 成本的真属主)。
@@ -47,7 +54,7 @@ export declare const MAX_OUTPUT_SCHEMA_CHARS = 32768;
 export declare function validateUserSkills(skills: unknown): string | null;
 export declare function createAdmission(ctx: {
     deps: FlatServiceDeps;
-    runnerFor: NonNullable<FlatServiceDeps["runnerFor"]>;
+    runnerFor: FlatServiceDeps["runnerFor"];
 } & Pick<RouteHelpers, "readJson">): {
     prepareSpec: (req: IncomingMessage, res: ServerResponse, bodyIn?: TaskRequestBody, onTypedFailure?: (err: HttpError) => void, legFacts?: {
         liveStream?: boolean;

package/dist/http/admission.js

@@ -4,7 +4,7 @@ import { modelUnavailableMessage } from "../model-entry-refusal.js";
 import { HttpError } from "../security.js";
 import { MAX_SETTINGS_OUTPUT_STYLE_CHARS, MAX_SETTINGS_PERMISSION_RULES, MAX_SETTINGS_ENV_VARS, MAX_SETTINGS_ENV_KEY_CHARS, MAX_SETTINGS_ENV_VALUE_CHARS, SETTINGS_PERMISSION_MODE_WORDS, isSettingsPermissionMode, parseTaskSettings, skillListingBudgetFractionOk, skillListingMaxDescOk, taskSettingsKeyIssue } from "../task-settings.js";
 import { taskBodyKeyIssue } from "../request-key-closure.js";
-import { singleMemberOffFieldIssue } from "../request-value-closure.js";
+import { FILE_HISTORY_DISABLED_NO_RESTORE, fileHistoryRestoreConflict, singleMemberOffFieldIssue } from "../request-value-closure.js";
 import { selfOrchestrationDenial } from "../task-workflow.js";
 import { centerEntitlementSourceWired } from "../runtime-caps-resolver.js";
 import { parseHooksConfig } from "../hooks/hook-runner.js";
@@ -333,6 +333,10 @@ export function createAdmission(ctx) {
                 return null;
             }
         }
+        if (fileHistoryRestoreConflict(body)) {
+            sendError(res, 400, "request.field_conflict", FILE_HISTORY_DISABLED_NO_RESTORE);
+            return null;
+        }
         if (body.requireExistingSession !== undefined && typeof body.requireExistingSession !== "boolean") {
             sendError(res, 400, "request.field_invalid", "requireExistingSession must be a boolean");
             return null;

package/dist/http/dispatch.d.ts

@@ -22,6 +22,24 @@ import type { FlatServiceDeps } from "./server.js";
  *  凭证门、[ref] 的 parked 赎回席、以及 [ref] 的 consolidation 阀门启动期告警读同一句(手抄迟早
  *  只改一处,而这条判据决定的是「无凭证部署上写口开不开」)。导出仅为最后一个消费点(main.ts)。 */
 export declare function hasServiceAuth(config: ServiceConfig): boolean;
+/**
+ * 🔴 S-672(test T-72 [ref];主会话裁 ①,分诊 [ref])—— 全局服务凭据门**之前**那几族只读路
+ * (`route-table.ts` 里 `position: "read-credential"` 的行)的**唯一**鉴权谓词:「服务凭据 ∨ 已验 principal」。
+ *
+ * 病:这几族(trace-usage / workflows / fleet)排在全局门之前,理由只有一条 —— 只读 `TRACE_TOKEN` 单凭据的调用方
+ * (registry 用量 / 轨迹中继)在全局门会被 401。可排在门前之后,每一族只剩**块内**自己那道门:fleet / workflows
+ * 只在 `REQUIRE_PRINCIPAL` 时要身份,trace 认 `gatedPrincipal`(BFF 形上就是调用方自己写的 principal 头)。于是
+ * 配了 service token、没开 REQUIRE_PRINCIPAL 的部署上,`POST /v1/tasks` 吃凭据,这三族读路对端口全开。
+ *
+ * 规则(一条,三族同读;fail-closed):
+ *  · 部署**没配**任何 service 凭据(`hasServiceAuth` 假)⇒ 放行 —— 与全局门对 `/v1/tasks` 同判(run-local 形);
+ *  · 否则要么出示了**服务凭据**(service token 单 / 多,或只读 `TRACE_TOKEN` —— 后者正是这几族在门前的理由),
+ *    要么带着**验过的** principal(registry 登录令牌 / direct-door 签名 principal 令牌;判据 = `verifiedIdentitySource`,
+ *    与 off-box operator 读面同一只)。调用方自己写的 principal 头不是凭据。
+ * 过了本门,各族块内的门(属主 scope / fleet-wide 上限 / `REQUIRE_PRINCIPAL` 的身份门)照旧 —— 本谓词只回答
+ * 「这个请求带没带这台部署认的凭据」,不回答「它能看谁的行」。
+ */
+export declare function readCredentialOk(req: IncomingMessage, config: ServiceConfig): boolean;
 export declare function createDispatch(ctx: {
     deps: FlatServiceDeps;
     noteActivity: (url: string) => void;

package/dist/http/dispatch.js

@@ -3,14 +3,21 @@ import { setSsoPrincipal, ssoVerifiedPrincipal, setSsoScope, isDestructiveSessio
 import { publicStoreProbeError } from "../store-live-probe.js";
 import { looksLikeJwt } from "@sema-agent/settings-schema/api/auth-bridge";
 import { ROUTE_METHOD_ORDER } from "./route-ctx.js";
-import { PRE_CREDENTIAL_ROUTES, POST_CREDENTIAL_ROUTES, routeLabel, isBillableSubmitPath, isCredentialGatedRewrite, isMethodDispatchedSubmitPath, lookupRoute, isProbePath } from "./route-table.js";
+import { READ_CREDENTIAL_ROUTES, PUBLIC_ROUTES, POST_CREDENTIAL_ROUTES, routeLabel, isBillableSubmitPath, isCredentialGatedRewrite, isMethodDispatchedSubmitPath, lookupRoute, isProbePath } from "./route-table.js";
 import { sendJson, sendError, isSseResponse } from "./send.js";
 import { readinessOf, healthReadinessKeys, sendReadyz, billableRefusalOf, sendBillableRefusal } from "./readiness.js";
-import { authorized, systemFor, gatedPrincipal, sendPrincipalRefusal } from "./principal-gate.js";
+import { authorized, systemFor, gatedPrincipal, sendPrincipalRefusal, sendUnauthorized, verifiedIdentitySource } from "./principal-gate.js";
 const PROCESS_STARTED_AT_MS = Date.now() - Math.round(process.uptime() * 1000);
 export function hasServiceAuth(config) {
     return Boolean(config.authToken) || Object.keys(config.authTokens ?? {}).length > 0;
 }
+export function readCredentialOk(req, config) {
+    if (!hasServiceAuth(config))
+        return true;
+    if (verifiedIdentitySource(req, config) !== undefined)
+        return true;
+    return config.traceToken !== undefined && config.traceToken !== "" && authorized(req, config.traceToken);
+}
 function cors(res, req, origins, principalHeader) {
     if (!origins || origins.length === 0)
         return;
@@ -44,7 +51,7 @@ export function createDispatch(ctx) {
         };
         deps.drainState.lastAttachEndedAt = () => lastAttachEndedAt;
     }
-    async function dispatchSegment(rows, req, res, url, search, method, allow, ctx) {
+    async function dispatchSegment(rows, req, res, url, search, method, allow, ctx, admit) {
         for (const row of rows) {
             if (row.enabled !== undefined && !row.enabled(deps))
                 continue;
@@ -54,6 +61,10 @@ export function createDispatch(ctx) {
                     allow.push(m);
             if (found.decl === null)
                 continue;
+            if (admit !== undefined && !admit(req)) {
+                sendUnauthorized(res, "credential");
+                return true;
+            }
             await row.handler(req, res, { decl: found.decl, params: found.params, search }, ctx);
             return true;
         }
@@ -175,7 +186,7 @@ export function createDispatch(ctx) {
             const devOpen = !anyT && !mt && !deps.config.requirePrincipal;
             const ok = devOpen || (anyT && systemFor(req, deps.config) !== undefined) || (!!mt && authorized(req, mt));
             if (!ok) {
-                sendError(res, 401, "auth.unauthorized", "unauthorized");
+                sendUnauthorized(res, "operator");
                 return;
             }
             if (url === "/metrics/summary") {
@@ -204,7 +215,9 @@ export function createDispatch(ctx) {
                 }
             }
         }
-        if (await dispatchSegment(PRE_CREDENTIAL_ROUTES, req, res, url, search, method, allow.pre, ctx))
+        if (await dispatchSegment(READ_CREDENTIAL_ROUTES, req, res, url, search, method, allow.pre, ctx, (r) => readCredentialOk(r, deps.config)))
+            return;
+        if (await dispatchSegment(PUBLIC_ROUTES, req, res, url, search, method, allow.pre, ctx))
             return;
         let source = null;
         const anyServiceAuth = hasServiceAuth(deps.config);
@@ -215,7 +228,7 @@ export function createDispatch(ctx) {
                     source = "sso";
                 }
                 else {
-                    sendError(res, 401, "auth.unauthorized", "unauthorized");
+                    sendUnauthorized(res, "credential");
                     return;
                 }
             }

package/dist/http/principal-gate.d.ts

@@ -44,6 +44,28 @@ export declare function principalTokenPresentedButUnverified(req: IncomingMessag
  * 调用链上的**证明三件套**,与本门(身份面)是两道门。
  */
 export declare function sendPrincipalRefusal(res: ServerResponse, req: IncomingMessage, config: ServiceConfig): void;
+/**
+ * 🔴 **`401 auth.unauthorized` 的唯一铸点**(S-850,7.104.0;test [ref] QA 7a C15)。
+ *
+ * 病:十六处路由(9 个文件)各自手抄同一个 401 —— 码 `auth.unauthorized`、message 就一个词 `unauthorized`。照 sema-up 部署、壳接上
+ * 引擎后,第一句就撞上它,不说要哪份凭据、放哪、去哪拿。
+ *
+ * 规则:码不变;message 按**这道门收什么**分三面(闭集 {@link UnauthorizedFace},穷举 switch —— 加一面不接句子 = 编译红),
+ * 每面一句模块级常量(冻结门按常量解引用逐字钉)。三句都**不含任何值**(令牌 / 头名 / 路径实参一概不回显),且**不区分**
+ * 「没带」与「带错」—— 同一道门上两者逐字同体,区分就是探测面。
+ *  · `credential` —— 全局凭据门(`dispatch.ts`):部署配了 service token,请求没带或带的不认(registry 登录令牌验不过同属此面);
+ *  · `operator` —— 只给运维凭据开的口(`/metrics*` 与 `GET /v1/tasks/source-summary`):service token 开得了,指标口另认只读的
+ *    `METRICS_TOKEN`(它在全局门之前判);
+ *  · `identity` —— 过了凭据门(或这台部署没配 service token)、但这一口要一个**验过的调用方身份**:属主寻址的读 / 写面、规则面、
+ *    记忆面。在配了 service token 的部署上,「带 service token 却没身份」只会落在只认身份的口(规则 / 记忆 / 会话策略)上 ——
+ *    这时再叫调用方「去带 service token」是假出路,所以这一面的句子只讲身份。
+ * `auth.principal_required` / `principal_unverified`(上面 {@link sendPrincipalRefusal})是另一只码、另一只铸点,不在此列。
+ */
+export type UnauthorizedFace = "credential" | "operator" | "identity";
+export declare const UNAUTHORIZED_CREDENTIAL = "unauthorized \u2014 the request carries no credential this deployment accepts: send the deployment's service token as a Bearer token in the Authorization header (its operator set it as SERVICE_AUTH_TOKEN or SERVICE_AUTH_TOKENS; a sema-up deployment keeps SERVICE_AUTH_TOKEN in ~/.sema-up/<project>/.env on the machine that ran sema-up)";
+export declare const UNAUTHORIZED_OPERATOR = "unauthorized \u2014 this endpoint is for the deployment's operators and the request carries no operator credential: send the deployment's service token as a Bearer token in the Authorization header (the metrics endpoints also accept the read-only METRICS_TOKEN)";
+export declare const UNAUTHORIZED_IDENTITY = "unauthorized \u2014 this endpoint acts for a named caller and the request carries no caller identity this deployment verifies: identify the caller the way this deployment does (a registry sign-in token as the Bearer token, a signed principal token on a direct-door deployment, or the principal header set by a trusted front end)";
+export declare function sendUnauthorized(res: ServerResponse, face: UnauthorizedFace): void;
 /**
  * 🔴 **「这个调用方读得到这一行 run 吗」的唯一谓词**(S-297 抽取;此前只活在 `server.ts runOwnerOk` 的
  * 函数体里,而 `runOwnerOk` 把**判断**与**404 怎么发**焊在一起 —— 于是任何需要同一条判断但不想 404 的

package/dist/http/principal-gate.js

@@ -65,6 +65,26 @@ export function sendPrincipalRefusal(res, req, config) {
     }
     sendError(res, 401, "auth.principal_required", `missing principal header '${config.principalHeader}'`);
 }
+export const UNAUTHORIZED_CREDENTIAL = "unauthorized — the request carries no credential this deployment accepts: send the deployment's service token as a Bearer token in the Authorization header (its operator set it as SERVICE_AUTH_TOKEN or SERVICE_AUTH_TOKENS; a sema-up deployment keeps SERVICE_AUTH_TOKEN in ~/.sema-up/<project>/.env on the machine that ran sema-up)";
+export const UNAUTHORIZED_OPERATOR = "unauthorized — this endpoint is for the deployment's operators and the request carries no operator credential: send the deployment's service token as a Bearer token in the Authorization header (the metrics endpoints also accept the read-only METRICS_TOKEN)";
+export const UNAUTHORIZED_IDENTITY = "unauthorized — this endpoint acts for a named caller and the request carries no caller identity this deployment verifies: identify the caller the way this deployment does (a registry sign-in token as the Bearer token, a signed principal token on a direct-door deployment, or the principal header set by a trusted front end)";
+export function sendUnauthorized(res, face) {
+    switch (face) {
+        case "credential":
+            sendError(res, 401, "auth.unauthorized", UNAUTHORIZED_CREDENTIAL);
+            return;
+        case "operator":
+            sendError(res, 401, "auth.unauthorized", UNAUTHORIZED_OPERATOR);
+            return;
+        case "identity":
+            sendError(res, 401, "auth.unauthorized", UNAUTHORIZED_IDENTITY);
+            return;
+        default: {
+            const unknownFace = face;
+            throw new Error(`sendUnauthorized: unknown face ${String(unknownFace)}`);
+        }
+    }
+}
 export function runOwnerReadable(principal, owner, config) {
     if (owner === null)
         return true;

package/dist/http/resume-legs.d.ts

@@ -24,7 +24,7 @@ import type { createRequestGuards } from "./request-guards.js";
 import type { FlatServiceDeps } from "./server.js";
 export declare function createResumeLegs(ctx: {
     deps: FlatServiceDeps;
-    runnerFor: NonNullable<FlatServiceDeps["runnerFor"]>;
+    runnerFor: FlatServiceDeps["runnerFor"];
 } & RunRegistry & RouteHelpers & Pick<RouteLegs, "prepareSpec" | "finalizeTaskResult"> & Pick<ReturnType<typeof createRequestGuards>, "ownerCostQuotaDenied" | "ownerFleetLeaseDenied" | "usageWindowDenialFor">): {
     routeCtxBase: RouteCtxBase;
     resumeCheckpoint: (sessionId: string, decision: "approve" | "deny", reason: string | undefined, hostDecision: HostDecision, req?: IncomingMessage, answer?: QuestionAnswer, binding?: DecideBinding, onResumeCommitted?: (grant: {