@sema-agent/server 7.11.0 → 7.12.0

package/dist/tool-approval.js

@@ -430,9 +430,25 @@ export class ToolApprovalCoordinator {
      * `req.args` 是 `unknown` ⇒ 窄读,**禁裸 as-cast**(宪法 [2704]:一个形状漂了的 args 若被 cast,
      * 会把 `undefined` 当命令送进 `prepareCardApproval`,那是放宽面上的静默垃圾)。
      */
-    buildRuleLaneMaterial(req) {
+    buildRuleLaneMaterial(req, owner, governanceForced) {
         if (this.ruleConsent === undefined)
             return undefined;
+        // 🔴 **治理档的 ask 不进规则车道**(#204 件7)。`governanceForced` 的语义(wire 契约逐字)是「这只
+        // ask 的门来自运维治理层,客户端表态掀不掉」;而一条持久规则会让引擎侧的规则命中臂短路掉后续
+        // **同命令**的 ask(core `hooks.js` 只排除 `decisionReason === "hook"` 与 `requiresRealApproval`),
+        // 于是一次「不再询问」= 静默拆掉 operator 的档位,且拆完之后遥测里连 ask 都不再出现。
+        // 与下面 `owner === null` 同族:这是**铸侧第一道门**,回决那侧 `persistRuleAfterDecision` 有同源的
+        // 第二道(拒因 `rule_governance_forced`)。两侧同源的理由见那一行。
+        if (governanceForced)
+            return undefined;
+        // 🔴 **归属人也是合取项**(codex 对抗复审 R1-F1,#203,验真后修)。这一条与回决那侧
+        // `persistRuleAfterDecision` 的第二道门(`owner === null ⇒ rule_lane_unavailable`)**同源** ——
+        // 一条规则是「**某个人**的持久同意」,没有人就没有桶可写。两侧不同源时的后果不是多问一次,而是
+        // 一张卡上渲出一格按下去恒被拒的「不再询问」= 本域顶注自己定义的 wire 谎言。
+        // 它在 #203 之前碰不到:local 车道没有规则店 ⇒ 上一行就返回了;本车给 local 接上 File 店之后,
+        // 「单机 + 无 principal」的部署第一次同时满足其余三项。
+        if (owner === null)
+            return undefined;
         const suggestions = req.ruleSuggestions;
         if (!Array.isArray(suggestions) || suggestions.length === 0)
             return undefined;
@@ -750,12 +766,24 @@ export class ToolApprovalCoordinator {
         const id = uuidv7();
         const child = isChildAsk(req);
         const bounded = boundArgs(req.args);
-        // #154 车二:规则候选的投影素材。**三个合取项**,缺一不投:
+        // [2942]/[2943]:治理来源标的**一次** peek(非消费式)。此前它只在下面的帧字面量里就地读 ——
+        // #204 件7 起规则车道也要它(治理档的 ask 不进车道),两处读同一个值必须是**同一次** peek:
+        // 分开读会让「帧说这是治理门 / 车道说不是」这种自相矛盾的卡在理论上存在。
+        const governanceForced = (this.governanceAskMarks ?? governanceAskMarksFor(this.streamKey(primary.owner, primary.sessionId, origin.taskId))).isMarked(req.toolCallId);
+        // 🔴 **规则车道用的是本地 peek 与持久行的并集**(#204 件7,codex 对抗复审 R1-中,验真后修)。
+        // 本地表是进程内的:failover / 重启后幂等命中一条既有行时它恒空,而行上的卡里存着落库那一刻的判定。
+        // 下面 `ensureAsk` 的对账段按「行 = 真源」同步**帧上**那个键(那是出处属性,行说了算);但规则车道
+        // 是一次**放宽**动作,它的合成必须 fail-closed —— 任一侧说「治理门」就不进车道。只同步帧键会留下
+        // 一张「说是治理门却仍带 ruleSuggestions」的卡,且回决侧第二道门跟着没武装。
+        let effectiveGovernanceForced = governanceForced;
+        // #154 车二:规则候选的投影素材。**四个合取项**,缺一不投:
         //  ① 规则店真装配(`this.ruleConsent` 在场)—— 店缺席仍投 = 无处可兑的「不再询问」= wire 谎言;
-        //  ② 引擎真铸了候选(`req.ruleSuggestions` 非空)—— 命令不可匹配(复合/重定向/替换)时 core 交空数组;
-        //  ③ 命令原字节读得出(回决时**引擎**要拿它重铸候选;读不出就没有可兑付的路,投候选等于骗人)。
+        //  ② 这只 ask 不是治理档产的(#204 件7)—— 治理门上铸规则 = 静默拆掉 operator 档位;
+        //  ③ 引擎真铸了候选(`req.ruleSuggestions` 非空)—— 命令不可匹配(复合/重定向/替换)时 core 交空数组;
+        //  ④ 命令原字节读得出(回决时**引擎**要拿它重铸候选;读不出就没有可兑付的路,投候选等于骗人)。
         // 读 `req.args.command` 走窄读:`args` 是 `unknown`,禁裸 as-cast(宪法 [2704])。
-        const ruleLaneMaterial = this.buildRuleLaneMaterial(req);
+        // `let`:上面那条并集裁定可能在对账后把它撤回 undefined(行说这是治理门)。
+        let ruleLaneMaterial = this.buildRuleLaneMaterial(req, primary.owner, governanceForced);
         const frame = {
             type: "tool_approval",
             approvalId: id,
@@ -784,10 +812,8 @@ export class ToolApprovalCoordinator {
                 : {}),
             message: typeof req.message === "string" ? redactDeep(req.message) : "",
             // [2942]/[2943]:治理来源标(additive,只在为真时在场——缺席绝不编 false,见字段顶注)。
-            // 读的是**非消费式** peek:同一 toolCallId 的重播/failover 再入必须拿到同一份判定。
-            ...((this.governanceAskMarks ?? governanceAskMarksFor(this.streamKey(primary.owner, primary.sessionId, origin.taskId))).isMarked(req.toolCallId)
-                ? { governanceForced: true }
-                : {}),
+            // 值来自上方那一次**非消费式** peek(同一 toolCallId 的重播/failover 再入必须拿到同一份判定)。
+            ...(governanceForced ? { governanceForced: true } : {}),
             // #154 车二:候选逐字透传(条件见 `ruleLaneMaterial` 上方注)。
             ...(ruleLaneMaterial !== undefined ? { ruleSuggestions: ruleLaneMaterial.suggestions } : {}),
             ...(bounded.omitted ? { argsOmitted: true } : { args: bounded.args }),
@@ -952,6 +978,22 @@ export class ToolApprovalCoordinator {
                     frame.governanceForced = true;
                 else
                     delete frame.governanceForced;
+                // 🔴 #204 件7(codex 对抗复审 R1-中,验真后修):行说这是治理门 ⇒ **规则车道当场撤回**。
+                // 上面那行只同步了帧上的出处键;素材、两族帧上的候选、以及回决侧第二道门的输入都还是按**本地**
+                // 表算的,而本地表在 failover / 重启后恒空。不撤就正是本件要防的形:一张卡同时带着
+                // `governanceForced:true` 与 `ruleSuggestions`,回决口还照收 —— operator 档位被一次点击拆掉。
+                // 撤三处(缺一即漏):①旧帧的候选键;②呈卡帧读的**持久卡**上的同名键(它来自行,不是本地铸的);
+                // ③素材本身(它是下面 `pendingEntry.ruleLane` 的唯一来源,也就是回决口的等式左边)。
+                // 反向(行说不是治理门、本地表说是)**刻意不放开**:见上方并集裁定 —— 少渲一格是安全方向。
+                if (cardForFrame.governanceForced === true && !effectiveGovernanceForced) {
+                    effectiveGovernanceForced = true;
+                    ruleLaneMaterial = undefined;
+                    delete frame.ruleSuggestions;
+                    if (cardForFrame.ruleSuggestions !== undefined) {
+                        const { ruleSuggestions: _dropped, ...rest } = cardForFrame;
+                        cardForFrame = rest;
+                    }
+                }
             }
             catch (err) {
                 this.noteStoreError(err, "ensureAsk");
@@ -1029,10 +1071,34 @@ export class ToolApprovalCoordinator {
         // 稍后才赋值的引用格(鸡生蛋:settle 是 pendingEntry 的一个字段,pendingEntry 建好之后才能把它自己
         // 塞进这个引用里)。
         let selfEntry;
-        const settle = (allowed, outcome, updatedInput) => {
+        // core 5.23.0(#187/#114②):本次结算的**宿主自报来源**(见 {@link HostSettledBy})。
+        // 🔴 记在 `settle` 的 **done 卫兵之内**,不是在调用点旁边立一个标志:窗到期的臂是「先算、后 settle」,
+        // 而 `settle` 可能因为人已经答过了而整个是空操作 —— 标志式写法会在那种赛跑里给一个**人类的**终局盖上
+        // 「窗到期」的章。只有真正落定这次终局的那一次调用才有资格留下自报词。
+        let hostSettled;
+        /**
+         * 已落定的本地终局 → `AskOutcome` 的**唯一**成形口。本方法有两个出口(方法尾的正常路,与
+         * `earlyAbortDuringEnsure` 的早退路),它们此前各写了一份等价分派 —— 结果就是本批的 `settledBy`
+         * 只加到了一份上(codex 复审 round2 抓获)。合成一个函数,判据只写一次。
+         *  · `windowRouteUnavailable` ⇒ park 路由(持久终局是 PARKING/PARKED,压过一切);
+         *  · allow + 编辑 ⇒ 对象臂带 `updatedInput`;
+         *  · deny + 宿主自报 ⇒ 对象臂带 `settledBy`(见 {@link HostSettledBy};allow 侧恒不带 —— core 对
+         *    `{allow:true, settledBy:"timeout"}` 是响亮拒,而自报只在 deny 分支产生);
+         *  · 其余 ⇒ 裸 boolean(falsy 纪律)。
+         */
+        const shapeOutcome = (settled) => {
+            if (windowRouteUnavailable)
+                return "unavailable";
+            if (settled.allowed) {
+                return settled.updatedInput !== undefined ? { allow: true, updatedInput: settled.updatedInput } : true;
+            }
+            return hostSettled !== undefined ? { allow: false, settledBy: hostSettled } : false;
+        };
+        const settle = (allowed, outcome, updatedInput, hostSettledBy) => {
             if (done)
                 return;
             done = true;
+            hostSettled = hostSettledBy;
             if (timer)
                 clearTimeout(timer);
             for (const [sig, fn] of abortListeners)
@@ -1123,7 +1189,9 @@ export class ToolApprovalCoordinator {
         const windowExpired = () => {
             void (async () => {
                 if (!this.askStore || askId === undefined || batchId === undefined) {
-                    settle(false, "expired");
+                    // D1(无持久 ask 店)——终局**完全**由本仓这个窗决定,没有第二个写者。core 5.23.0 起如实自报
+                    // `"timeout"`:这条腿的窗归宿主,引擎观察不到它走完,不说就被记成「一个人拒绝了」。
+                    settle(false, "expired", undefined, "timeout");
                     return;
                 }
                 try {
@@ -1157,7 +1225,10 @@ export class ToolApprovalCoordinator {
                     // 两种结局都成立:真提交了 ⇒ 与行一致;没提交 ⇒ core 自己走 durable park,不劣于 deny。
                     if (err instanceof ApprovalStoreDeadlineError)
                         windowRouteUnavailable = true;
-                    settle(false, "expired"); // fail-open(D5):店抖动不挡窗到期的进程内机械照旧完成
+                    // fail-open(D5):店抖动不挡窗到期的进程内机械照旧完成。自报仍是 `"timeout"` 且如实 —— 结束这次
+                    // 等待的**确实**是本仓的窗(店只是没能给出更精确的终局);deadline 那一支已经改判 park 路由,
+                    // 走不到用得上这个词的返回臂。
+                    settle(false, "expired", undefined, "timeout");
                 }
             })();
         };
@@ -1271,12 +1342,11 @@ export class ToolApprovalCoordinator {
             // `done` 为真而落定值是 `true`,写死 false 会把一次真实的人类批准悄悄吞成拒绝(且与 durable 行矛盾)。
             // 改成把**已经落定的那个值**如实交回去(与方法尾部的返回值分派同一套判据)。
             if (done) {
-                const early = await allowedP;
-                if (windowRouteUnavailable)
-                    return "unavailable"; // 持久终局是 PARKING/PARKED ⇒ park 路由
-                if (early.allowed && early.updatedInput !== undefined)
-                    return { allow: true, updatedInput: early.updatedInput };
-                return early.allowed;
+                // 🔴 [3372] codex 复审 round2(验真后修):这里**曾经**是尾部那套分派的手抄第二份,于是本批给
+                // 窗到期加的 `settledBy` 自报只进了尾部、没进这里 —— 「窗先落定、取消臂随后才走完」的交错里,
+                // 一个由**窗**决定的终局从这个出口以裸 `false` 溜出去,core 照旧记成人类拒绝。两个出口现在共用
+                // {@link shapeOutcome} 这**一个**成形函数,结构上不可能再分家(红先钉:codex-R2-2)。
+                return shapeOutcome(await allowedP);
             }
         }
         // Register BEFORE emitting so a (fast) respond can never miss the entry. 子代 ask 的生存期挂子代
@@ -1291,9 +1361,12 @@ export class ToolApprovalCoordinator {
             ...(child ? { originTaskId: req.sourceTaskId } : { targetCtxs: new Set(aliveCtxs), onTargetGone }),
             ...(primary.sessionId ? { sessionId: primary.sessionId } : {}),
             toolName: req.toolName,
-            // #154 车二:规则车道素材 —— 与帧上的 `ruleSuggestions` **同一个条件**(店在场 ∧ 引擎真铸了候选 ∧
-            // 命令原字节读得出)。三者任一不成立 ⇒ 不登记,回决带 `persistRule` 时如实拒(不猜命令)。
+            // #154 车二:规则车道素材 —— 与帧上的 `ruleSuggestions` **同一个条件**(店在场 ∧ 非治理档 ∧ 引擎真
+            // 铸了候选 ∧ 命令原字节读得出)。任一不成立 ⇒ 不登记,回决带 `persistRule` 时如实拒(不猜命令)。
             ...(ruleLaneMaterial !== undefined ? { ruleLane: ruleLaneMaterial } : {}),
+            // #204 件7:治理标随条目落定(回决侧第二道门的输入,理由见字段顶注)。读的是**并集后**的值
+            // (`effectiveGovernanceForced`),不是本地 peek —— 幂等命中既有行那条路上,只有并集才是武装的。
+            ...(effectiveGovernanceForced ? { governanceForced: true } : {}),
             ...(askId !== undefined && batchId !== undefined ? { askId, batchId } : {}),
         };
         selfEntry = pendingEntry; // 供 settle() 结算时把自己从 pendingByAskId 的 Set 里摘除(上方顶注)
@@ -1448,13 +1521,12 @@ export class ToolApprovalCoordinator {
         // 方法顶注。
         if (!emitSettled && lastOutcome === "expired")
             return "unavailable";
-        // [1458] 编辑放行对象臂:core AskOutcome 公开类型已含 `{allow, updatedInput?}`([1462])——
-        // 宽铸退役,真类型直返(core BAGGAGE #17 严格化前提=对象臂 allow 恒严格 true,我方满足)。
-        // deny 恒返 false(falsy 纪律)。
-        if (settled.allowed && settled.updatedInput !== undefined) {
-            return { allow: true, updatedInput: settled.updatedInput };
-        }
-        return settled.allowed;
+        // [1458] 编辑放行对象臂 + core 5.23.0(#187/#114②)宿主自报臂 —— 两条判据都在
+        // {@link shapeOutcome} 里,与早退出口**共用同一份**(codex 复审 round2:此前这里与早退臂各写一份
+        // 等价分派,本批的 `settledBy` 于是只加到了其中一份上)。
+        // 到得了这里说明卡**确实送达过**(emit 全灭 / park 路由两条早就 return 掉了),所以自报的「窗到期」
+        // 是这次等待的真实结局,而不是「没人可送」。
+        return shapeOutcome(settled);
     }
     /** `POST /v1/tool-approvals/:id/respond` — settle a parked approval with the shell's decision. Owner-gated with a
      *  404 (no existence oracle), body validated first (400 is existence-independent) — question/steer parity. The HTTP
@@ -1507,6 +1579,13 @@ export class ToolApprovalCoordinator {
             status: result.status,
             body: { ...result.body, rulePersisted, ...(ruleRefusal !== undefined ? { ruleRefusal } : {}) },
         });
+        // 🔴 **治理档第二道门**(#204 件7),排在 `rule_lane_unavailable` 那道**之前**:两道门都会命中一只
+        // 治理 ask(铸侧不登记素材 ⇒ `material === undefined`),但回给壳的词必须是精确的那一个 ——
+        // `rule_lane_unavailable` 意为「这台部署压根不供规则」,壳据它可以从此不渲这一格,而这里的真相是
+        // 「车道好好的,只是**这一只** ask 归 operator 管」。与铸侧 `buildRuleLaneMaterial` 的同源门成对:
+        // 少了这一道,一次回滚/旧壳(或将来某条不经铸侧登记的回决路径)就能把 operator 档位绕过去。
+        if (entry.governanceForced === true)
+            return withFlag(false, "rule_governance_forced");
         if (lane === undefined || material === undefined || owner === null)
             return withFlag(false, "rule_lane_unavailable");
         // 🔴 codex 交叉复审 round3 [high] 二(验真后修,**真扩权面**):`updatedInput`(ctrl+g 编辑放行)

package/dist/trace/core-keyset-guard.d.ts

@@ -15,7 +15,7 @@
  * 维护:core 新键到来时,transparently 透传的加进对应 PROJECTED 并去实现投影;有意不上 wire 的加进
  * EXCLUDED 并写一行理由。谁改投影(project.ts / fleet-bus.ts / roster-store-sql.ts)谁同步本文件。
  */
-import type { TaskNotificationPayload, BackgroundChildEvent, RosterEntry, AskRequest, TaskEvent, MailboxMessage, MailboxStore } from "@sema-agent/core";
+import type { TaskNotificationPayload, BackgroundChildEvent, RosterEntry, AskRequest, TaskEvent, TraceEvent, MailboxMessage, MailboxStore } from "@sema-agent/core";
 /** 编译期断言:T 必须收敛到 never(有残余键 = tsc 红)。 */
 type AssertAllKeysHandled<T extends never> = T;
 type NotificationProjected = "task_id" | "task_type" | "toolUseId" | "status" | "summary" | "result" | "output_file" | "usage" | "sessionId" | "seq" | "lines" | "stoppedBy" | "source" | "exitCode" | "partial" | "diagnostics" | "recentSteps" | "editedFiles" | "resumable" | "completionId" | "error" | "errorCode";
@@ -36,6 +36,14 @@ type _GuardMailbox = AssertAllKeysHandled<Exclude<keyof MailboxMessage, MailboxP
 type MailboxAppendMessage = Parameters<MailboxStore["append"]>[2];
 type MailboxAppendProjected = "from" | "content" | "sentAt" | "hopChain";
 type _GuardMailboxAppend = AssertAllKeysHandled<Exclude<keyof MailboxAppendMessage, MailboxAppendProjected>>;
+type PermissionTraceKind = Extract<TraceEvent["kind"], `permission.${string}`>;
+type PermissionTraceProjected = "permission.persisted_rule_allowed" | "permission.rule_store_unreadable";
+type PermissionTraceDropped = "permission.sandbox_admitted" | "permission.rule_sync_resurrected" | "permission.rule_sync_dropped" | "permission.org_snapshot_unavailable";
+type _GuardPermissionTrace = AssertAllKeysHandled<Exclude<PermissionTraceKind, PermissionTraceProjected | PermissionTraceDropped>>;
+type _GuardPermissionTraceReverse = AssertAllKeysHandled<Exclude<PermissionTraceProjected | PermissionTraceDropped, PermissionTraceKind>>;
+/** `T` 非 `never` 时收敛到 `never`(空集 ⇒ 残留 `"EMPTY"` ⇒ tsc 红)。 */
+type AssertNonEmpty<T> = [T] extends [never] ? "EMPTY" : never;
+type _GuardPermissionTraceNonEmpty = AssertAllKeysHandled<AssertNonEmpty<PermissionTraceKind>>;
 export type CoreKeysetGuards = [
     _GuardNotification,
     _GuardBgNotif,
@@ -43,7 +51,10 @@ export type CoreKeysetGuards = [
     _GuardAsk,
     _GuardTaskEvent,
     _GuardMailbox,
-    _GuardMailboxAppend
+    _GuardMailboxAppend,
+    _GuardPermissionTrace,
+    _GuardPermissionTraceReverse,
+    _GuardPermissionTraceNonEmpty
 ];
 export {};
 //# sourceMappingURL=core-keyset-guard.d.ts.map

package/dist/trace/project.d.ts

@@ -291,8 +291,25 @@ export declare function workspaceChangedEventData(ev: {
  *    某个可选设施」的部署形自述,而那三个早已租户可见。消费端的真需求也在租户侧:审批卡要不要渲染
  *    「不再询问」这一格,取决于这台 worker 有没有规则店 —— 剥掉它,客户端只能靠试(提交后被拒)才知道。
  *    它**不在** `governance` 段里(core 自己把它放在段外),也不构成那 4 个治理布尔的侧信道。
- *    ⚠️ 恒在段(core 侧 `permissionRules` 无 `?`):本仓未接规则店 ⇒ `storeWired: false`,这是**真值**
- *    不是缺席 —— 消费端读到 false 就是「这台 worker 没有这条车道」,不许当成「这版引擎还没这个概念」。
+ *    ⚠️ 恒在段(core 侧 `permissionRules` 无 `?`):两个真值都可能出现,**别把 false 读成缺席**。
+ *    本仓自 #154 车二 / design/203 起真接了规则店(`main.ts` 在 `PERMISSION_RULES_ENABLED` 为真 ∧
+ *    backend 在场时把 `permissionRuleStore` 装进 `RunnerDeps`,SQL 与 File 两形)⇒ 那样的部署报
+ *    `storeWired: true`;旋钮关掉或后端缺席的部署仍报 `false`。消费端读到 false 就是「这台 worker
+ *    今天没有这条车道」,不许当成「这版引擎还没这个概念」。
+ *  · `permissionRules.syncWired` / `permissionRules.orgGoverned`(布尔两位;core 5.23.0 design/182 §9/§7
+ *    给**同一段**加的员,[3372] 提货批 codex 复审 high 抓获——首版把它们静默剥了,正是本仓建这份台账要防
+ *    的「投影白名单剥键」病)—— **裁:租户可见,与同段的 `storeWired` 同待遇**。判据三条:
+ *    ① **同段同类**:core 把它们放进 `permissionRules` 而不是 `governance`(唯一带 audience 标签的段),
+ *       且形状与 `storeWired` 逐字同构(恒在的布尔,present-and-false 表示「有这个概念,这里没开」);
+ *    ② **消费端真需求在租户侧**:这两位说的是「按下『不再询问』之后,这条同意到底落到多大的信任域里」——
+ *       `syncWired` = 这台 worker 会把规则并进跨设备/传输/服务端的**同一个同意信任域**;`orgGoverned` =
+ *       组织治理层武装着(且它的 fail-closed 契约意味着读不到 org 快照时**每一次**放行都会被抬成真人审批)。
+ *       同一张审批卡上的同一个动作,后果因这两位而不同,剥掉它们等于让客户端渲一格语义不明的开关;
+ *    ③ **不是治理侧信道**:两位都不参与 `governance` 那 4 个布尔的还原(它们描述规则店这条车道自身的
+ *       形状,与 lockedConfig/compliance/memoryAdmission/retention 无函数关系)。
+ *    ⚠️ 与 `storeWired` **不同**:本仓这两条至今未接(`RunnerDeps.permissionRuleSyncWired` /
+ *    `permissionRuleOrg` 全树零声明点,2026-08-10 #204 复扫亲验)⇒ 今天恒 `false`,这是**真值**不是
+ *    缺席。哪天接上其中任一条,连本句一起改 —— 这一行是它的登记处。
  * 未来 core 加一段而它没有 audience 标签时,**先在这里补一条裁定再决定挑不挑键** —— 段级完备性钉
  * (test/wiring-manifest-projection.test.ts)会在那一刻先把人拦下来。
  */

package/dist/trace/project.js

@@ -381,8 +381,25 @@ export function workspaceChangedEventData(ev) {
  *    某个可选设施」的部署形自述,而那三个早已租户可见。消费端的真需求也在租户侧:审批卡要不要渲染
  *    「不再询问」这一格,取决于这台 worker 有没有规则店 —— 剥掉它,客户端只能靠试(提交后被拒)才知道。
  *    它**不在** `governance` 段里(core 自己把它放在段外),也不构成那 4 个治理布尔的侧信道。
- *    ⚠️ 恒在段(core 侧 `permissionRules` 无 `?`):本仓未接规则店 ⇒ `storeWired: false`,这是**真值**
- *    不是缺席 —— 消费端读到 false 就是「这台 worker 没有这条车道」,不许当成「这版引擎还没这个概念」。
+ *    ⚠️ 恒在段(core 侧 `permissionRules` 无 `?`):两个真值都可能出现,**别把 false 读成缺席**。
+ *    本仓自 #154 车二 / design/203 起真接了规则店(`main.ts` 在 `PERMISSION_RULES_ENABLED` 为真 ∧
+ *    backend 在场时把 `permissionRuleStore` 装进 `RunnerDeps`,SQL 与 File 两形)⇒ 那样的部署报
+ *    `storeWired: true`;旋钮关掉或后端缺席的部署仍报 `false`。消费端读到 false 就是「这台 worker
+ *    今天没有这条车道」,不许当成「这版引擎还没这个概念」。
+ *  · `permissionRules.syncWired` / `permissionRules.orgGoverned`(布尔两位;core 5.23.0 design/182 §9/§7
+ *    给**同一段**加的员,[3372] 提货批 codex 复审 high 抓获——首版把它们静默剥了,正是本仓建这份台账要防
+ *    的「投影白名单剥键」病)—— **裁:租户可见,与同段的 `storeWired` 同待遇**。判据三条:
+ *    ① **同段同类**:core 把它们放进 `permissionRules` 而不是 `governance`(唯一带 audience 标签的段),
+ *       且形状与 `storeWired` 逐字同构(恒在的布尔,present-and-false 表示「有这个概念,这里没开」);
+ *    ② **消费端真需求在租户侧**:这两位说的是「按下『不再询问』之后,这条同意到底落到多大的信任域里」——
+ *       `syncWired` = 这台 worker 会把规则并进跨设备/传输/服务端的**同一个同意信任域**;`orgGoverned` =
+ *       组织治理层武装着(且它的 fail-closed 契约意味着读不到 org 快照时**每一次**放行都会被抬成真人审批)。
+ *       同一张审批卡上的同一个动作,后果因这两位而不同,剥掉它们等于让客户端渲一格语义不明的开关;
+ *    ③ **不是治理侧信道**:两位都不参与 `governance` 那 4 个布尔的还原(它们描述规则店这条车道自身的
+ *       形状,与 lockedConfig/compliance/memoryAdmission/retention 无函数关系)。
+ *    ⚠️ 与 `storeWired` **不同**:本仓这两条至今未接(`RunnerDeps.permissionRuleSyncWired` /
+ *    `permissionRuleOrg` 全树零声明点,2026-08-10 #204 复扫亲验)⇒ 今天恒 `false`,这是**真值**不是
+ *    缺席。哪天接上其中任一条,连本句一起改 —— 这一行是它的登记处。
  * 未来 core 加一段而它没有 audience 标签时,**先在这里补一条裁定再决定挑不挑键** —— 段级完备性钉
  * (test/wiring-manifest-projection.test.ts)会在那一刻先把人拦下来。
  */
@@ -434,10 +451,13 @@ export function wiringManifestEventData(ev) {
         ...(bool(fleetIn.backgroundAgentStore) !== undefined ? { backgroundAgentStore: fleetIn.backgroundAgentStore } : {}),
         ...(bool(fleetIn.hostChildEventSink) !== undefined ? { hostChildEventSink: fleetIn.hostChildEventSink } : {}),
     });
-    // core 5.18.0 design/179 段(裁定见头注:租户可见)。逐键挑,与其余段同规:非布尔按缺席处理
-    // (不铸假值——一个编出来的 `false` 会被读成「确实没接规则店」,而真相是这段读不出来)。
+    // core 5.18.0 design/179 段 + 5.23.0 design/182 §9/§7 两位加员(裁定见头注:三位同判租户可见)。
+    // 逐键挑,与其余段同规:非布尔按缺席处理(不铸假值——一个编出来的 `false` 会被读成「确实没接/没开」,
+    // 而真相是这段读不出来)。
     const permissionRules = nonEmpty({
         ...(bool(rulesIn.storeWired) !== undefined ? { storeWired: rulesIn.storeWired } : {}),
+        ...(bool(rulesIn.syncWired) !== undefined ? { syncWired: rulesIn.syncWired } : {}),
+        ...(bool(rulesIn.orgGoverned) !== undefined ? { orgGoverned: rulesIn.orgGoverned } : {}),
     });
     return {
         ...(num(m.schemaVersion) !== undefined ? { schemaVersion: m.schemaVersion } : {}),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/server",
-  "version": "7.11.0",
+  "version": "7.12.0",
   "description": "Sema Server — the server/API implementation layer for Sema, wiring core, registry, model providers, and cloud agent execution. Built on @sema-agent/core.",
   "type": "module",
   "license": "BUSL-1.1",
@@ -54,7 +54,7 @@
     "build:binary:run-local:darwin-arm64": "bun build --compile --target=bun-darwin-arm64 src/run-local.ts --outfile dist/run-local-darwin-arm64"
   },
   "dependencies": {
-    "@sema-agent/core": "^5.22.0",
+    "@sema-agent/core": "^5.23.0",
     "@sema-agent/registry-core": "^0.16.0",
     "e2b": "^2.28.0",
     "libsodium-wrappers": "^0.8.4",