@sema-agent/server 7.122.0 → 7.124.0

package/dist/session-policy-wire.js

@@ -1,6 +1,5 @@
-import { PROTOCOL_TABLE, SessionPolicyError, assertSessionRuleNamesCurrent } from "@sema-agent/core";
+import { PROTOCOL_TABLE, SessionPolicyError, assertSessionRuleNamesCurrent, normalizeRules } from "@sema-agent/core";
 import { displayListEntry } from "./list-entry-display.js";
-import { describeEmptyToolSegment, emptyToolSegmentOf } from "./namespaced-rule-name.js";
 const RULE_FIELDS = {
     toolAllow: true,
     toolDeny: true,
@@ -20,33 +19,18 @@ function legacyToolNameRefusalOf(rules) {
         throw e;
     }
 }
-const TOOL_NAME_FIELD_TABLE = { toolAllow: "toolAllow", toolDeny: "toolDeny" };
-const TOOL_NAME_FIELDS = Object.values(TOOL_NAME_FIELD_TABLE);
-export function unreachableSessionRuleNameOf(rules) {
-    for (const field of TOOL_NAME_FIELDS) {
-        for (const name of rules[field] ?? []) {
-            const ns = emptyToolSegmentOf(name);
-            if (ns !== undefined)
-                return { field, name, ns };
-        }
-    }
-    return undefined;
-}
-export function assertSessionRuleNamesReachable(rules) {
-    const unreachable = unreachableSessionRuleNameOf(rules);
-    if (unreachable !== undefined)
-        throw new Error(describeUnreachableSessionRuleName(unreachable));
-}
 function protocolToolNameShapes() {
     return PROTOCOL_TABLE.map((ns) => `${ns.prefix}<peer>__<tool>`).join(" or ");
 }
+function isRulesObject(raw) {
+    return raw !== null && typeof raw === "object" && !Array.isArray(raw);
+}
 export function readSessionPermissionRules(raw) {
-    if (raw === null || typeof raw !== "object" || Array.isArray(raw))
+    if (!isRulesObject(raw))
         return { problem: { kind: "not-an-object" } };
-    const src = raw;
     const rules = {};
     for (const field of SESSION_PERMISSION_RULE_FIELDS) {
-        const v = src[field];
+        const v = raw[field];
         if (v === undefined)
             continue;
         if (!Array.isArray(v) || !v.every((x) => typeof x === "string"))
@@ -55,17 +39,42 @@ export function readSessionPermissionRules(raw) {
     }
     return { rules };
 }
+function engineRuleListOf(field, value) {
+    let normalized;
+    try {
+        normalized = normalizeRules({ [field]: value });
+    }
+    catch (e) {
+        if (e instanceof TypeError)
+            return { refusal: e.message };
+        throw e;
+    }
+    const list = normalized[field];
+    return list === undefined ? {} : { list };
+}
+export function unwritableRuleListOf(rules) {
+    for (const field of SESSION_PERMISSION_RULE_FIELDS) {
+        const judged = engineRuleListOf(field, rules[field]);
+        if ("refusal" in judged)
+            return { field, refusal: judged.refusal };
+    }
+    return undefined;
+}
 export function readWritableSessionPermissionRules(raw) {
-    const read = readSessionPermissionRules(raw);
-    if (read.problem !== undefined)
-        return read;
-    const refusal = legacyToolNameRefusalOf(read.rules);
+    if (!isRulesObject(raw))
+        return { problem: { kind: "not-an-object" } };
+    const rules = {};
+    for (const field of SESSION_PERMISSION_RULE_FIELDS) {
+        const judged = engineRuleListOf(field, raw[field]);
+        if ("refusal" in judged)
+            return { problem: { kind: "field-not-rule-list", field, refusal: judged.refusal } };
+        if (judged.list !== undefined)
+            rules[field] = judged.list;
+    }
+    const refusal = legacyToolNameRefusalOf(rules);
     if (refusal !== undefined)
         return { problem: { kind: "legacy-tool-name", refusal } };
-    const unreachable = unreachableSessionRuleNameOf(read.rules);
-    if (unreachable !== undefined)
-        return { problem: { kind: "unreachable-tool-name", unreachable } };
-    return read;
+    return { rules };
 }
 export function readSessionRulesRecords(raw) {
     if (!Array.isArray(raw))
@@ -91,17 +100,14 @@ export function describeSessionPermissionRulesProblem(p) {
     switch (p.kind) {
         case "not-an-object": return "rules must be a SessionPermissionRules object";
         case "field-not-string-array": return `${p.field} must be an array of strings`;
+        case "field-not-rule-list": return p.refusal;
         case "legacy-tool-name": return describeLegacyToolName(p.refusal);
-        case "unreachable-tool-name": return describeUnreachableSessionRuleName(p.unreachable);
         default: {
             const unhandled = p;
             throw new Error(`unhandled SessionPermissionRules problem: ${JSON.stringify(unhandled)}`);
         }
     }
 }
-function describeUnreachableSessionRuleName(u) {
-    return `${u.field} names ${displayListEntry(u.name)}, which can never match a tool (${describeEmptyToolSegment(u.ns)}), so nothing was written`;
-}
 function describeLegacyToolName(r) {
     const why = r.guidance !== undefined ? ` (${r.guidance})` : "";
     switch (r.verdict) {
@@ -126,8 +132,7 @@ export function legacyToolNameProblemOf(p) {
         case "rules":
             switch (p.problem.kind) {
                 case "not-an-object":
-                case "field-not-string-array":
-                case "unreachable-tool-name":
+                case "field-not-rule-list":
                     return undefined;
                 case "legacy-tool-name":
                     return p.problem.refusal;

package/dist/session-sync.d.ts

@@ -159,7 +159,11 @@ export declare function planSync(sessionId: string, srcBackend: StoreBackend, ds
  *  无条件写都 rev+1,而 rev 是 operator 乐观锁的 CAS 令牌(`PutRulesOptions.expectedRev`),
  *  幂等重试/无害重复同步不该把在途 CAS 打失败。归一化用 core 的 `normalizeRules`(store 落盘
  *  前走同一函数 ⇒ 两侧同坐标);`stripRev` 去掉记录内嵌的 rev(`listBySession` 的 rules 含 rev,
- *  它不是内容)。 */
+ *  它不是内容)。
+ *  🔴 core 7.48.0 起 `normalizeRules` 对「不是一列非空字符串」的桶抛 `TypeError`。`incoming` 由写口读者保证是引擎肯写的
+ *  (`session-policy-wire.ts` `readSessionRulesRecords`);`stored` 可能是 7.47.x 及以前写下的空串项存量行 —— 读得出、引擎却不肯再写。
+ *  这种行与任何肯写的 `incoming` 都**不同内容**(它多一个空项),所以答 `false`(判官 = 写口读者那一只 `unwritableRuleListOf`,不拿它跑 normalize):
+ *  写照常交给店 —— 店的收紧门对它照常判(operator 照写,是清旧行的出路;非 operator 删空串 deny 项被读成放宽 ⇒ 403,与 7.122.0 同答)。 */
 export declare function sameRulesContent(stored: StoredSessionRules | null, incoming: SessionPermissionRules): boolean;
 /** [ref] ① 的重放腿共享实现:PUSH 路由的两条 policy 重放腿(Phase A identical 短路支 / Phase B
  *  commit 后支)都从这里走 —— 等内容跳过(rev 零漂移),真变更照常落地(E6 tighten-only 门在

package/dist/session-sync.js

@@ -1,5 +1,6 @@
 import { classifySyncRelationship } from "./session-sync-kernel.js";
 import { normalizeRules, stripRev } from "@sema-agent/core";
+import { unwritableRuleListOf } from "./session-policy-wire.js";
 export function fileHistoryImportFace(fs) {
     const candidate = fs?.importHistory;
     if (typeof candidate !== "function")
@@ -54,7 +55,7 @@ export async function planSync(sessionId, srcBackend, dstBackend) {
     return classifySyncRelationship(srcEntries, dstEntries);
 }
 export function sameRulesContent(stored, incoming) {
-    if (stored === null)
+    if (stored === null || unwritableRuleListOf(stored) !== undefined)
         return false;
     const norm = (r) => JSON.stringify(normalizeRules(stripRev(r)));
     return norm(stored) === norm(incoming);

package/dist/session-titler.d.ts

@@ -54,17 +54,6 @@ export interface SessionTitler {
 export declare const TITLE_MAX_CHARS = 80;
 /** Single line, control chars stripped, hard cap; surrounding quotes (a common LLM tic) trimmed. */
 export declare function sanitizeTitle(raw: string): string;
-/**
- * S-236 ②(7.106.0,cli L-687)—— objective 里**用户自己写的**那部分:剥掉全部 `<system-reminder>…</system-reminder>` 块(跨行、
- * 多块、夹在正文中间都剥;**未闭合**的块剥到末尾 —— 被截断的附件同样不是用户写的)后 trim。
- *
- * 为什么:壳把附件(技能清单一类的 `<system-reminder>` 块)拼在正文**之前**提交,标题器取前 {@link OBJECTIVE_SNIPPET_CHARS} 字
- * 去起名 ⇒ 标题成了技能清单。判据只认这一个**字面标签**(CC 的附件信封),不按内容猜「像不像用户写的」——
- * 正文里提到这个词的普通文字不是块,原样保留。剥完是空串 ⇒ 调用方走「空 objective 不起名」的既有臂。
- * ⚠️ 只治这一类:S-236 原件(fresh `/decide` 腿把指路文本当 objective 提交)是另一类非用户文本,没有信封可剥,本函数刻意不加
- * 按内容猜的第二臂(要么 fresh 腿传席,要么另立一臂 —— 候裁,见车RA 收车档)。
- */
-export declare function userAuthoredObjectiveText(objective: string): string;
 export declare function buildTitlePrompt(objective: string): string;
 export declare function createSessionTitler(deps: SessionTitlerDeps): SessionTitler;
 //# sourceMappingURL=session-titler.d.ts.map

package/dist/session-titler.js

@@ -1,6 +1,7 @@
 import { CONTROL_AND_BIDI_STRIP_RE } from "./text-bidi.js";
 import { recordFailOpen } from "./observability/fail-open.js";
 import { redactSecrets } from "./trace/redact.js";
+import { userAuthoredText } from "./user-authored-text.js";
 export const TITLE_MAX_CHARS = 80;
 const OBJECTIVE_SNIPPET_CHARS = 600;
 const LLM_TIMEOUT_MS = 15_000;
@@ -12,11 +13,8 @@ export function sanitizeTitle(raw) {
     const unquoted = oneLine.replace(/^["'「『]+/, "").replace(/["'」』]+$/, "").trim();
     return unquoted.length > TITLE_MAX_CHARS ? `${unquoted.slice(0, TITLE_MAX_CHARS - 1)}…` : unquoted;
 }
-export function userAuthoredObjectiveText(objective) {
-    return objective.replace(/<system-reminder>[\s\S]*?(?:<\/system-reminder>|$)/g, "").trim();
-}
 export function buildTitlePrompt(objective) {
-    const text = userAuthoredObjectiveText(objective);
+    const text = userAuthoredText(objective);
     const snippet = text.length > OBJECTIVE_SNIPPET_CHARS ? `${text.slice(0, OBJECTIVE_SNIPPET_CHARS)}…` : text;
     const fenced = snippet.replace(/<(\/?)request>/gi, "<\u200b$1request>");
     return ("Write a short title (at most 8 words) summarizing the user request below. " +
@@ -38,7 +36,7 @@ export function createSessionTitler(deps) {
         .catch(() => ({ state: continueWord, unreadable: true }));
     return {
         maybeTitle(sessionId, objective, model) {
-            if (!sessionId || !userAuthoredObjectiveText(objective))
+            if (!sessionId || !userAuthoredText(objective))
                 return;
             if (seen.has(sessionId))
                 return;

package/dist/shared-memory-scope-authorizer.d.ts

@@ -25,7 +25,7 @@ export interface SharedMemoryScopeAuthorizerOptions {
      * 部署自证的 org scope —— **取值口而非值**([ref])。
      *
      * 🔴 类型上是函数是刻意的,不是风格:这组 scope 的真源是 `config.projects` 的 `defaultScopes`,
-     * 而 `config.projects` 被 config-center **就地热应用**(`mutateInPlace`,整表替换),env 腿恒空
+     * 而 `config.projects` 被 web-admin **就地热应用**(`mutateInPlace`,整表替换),env 腿恒空
      * ⇒ 这一域的**常态**就是运行期变更。此前这里收的是一个数组(装配点在 boot 期算一次),而且本模块
      * 还 `[...new Set(...)]` 又复制一层,连「换引用」这条后路都封死 ⇒ 两个方向都错到进程重启为止:
      *  · **新登记**一个带 `org:` 的项目 ⇒ 该 org 的共享库在快照里没有 ⇒ 折成 `{state:"connected",
@@ -33,7 +33,7 @@ export interface SharedMemoryScopeAuthorizerOptions {
      *    unavailable),运维以为配好了;
      *  · **撤销**方向更糟:项目/scope 下架后,principal-less 的单用户请求仍按旧快照继续被放行 ——
      *    一次运维撤销动作**静默不生效**([ref] 点名的静默类型),方向是 fail-OPEN。
-     * 而且它没被登进 `config-center/restart-signal.ts` 的 `RESTART_SLICES` ⇒ `/health` 连一句
+     * 而且它没被登进 `web-admin-client/restart-signal.ts` 的 `RESTART_SLICES` ⇒ `/health` 连一句
      * 「该重启了」都不会说。⇒ 收口是把读取时机对齐消费时机:每次 `resolve` 现取。
      * (缺席 = 部署没有任何自证 scope,与传 `() => []` 等价。)
      *
@@ -51,8 +51,8 @@ export interface SharedMemoryScopeAuthorizerOptions {
  *    Set 建、交回来已去重,这里再包一层是纯浪费。**去重责任因此上移到取值口**(契约见下面那个字段的注),
  *    principal 在场那支的合并 Set 保留(它要与目录 scope 求并,那一次是真需要的)。
  *  · **具名保留**(不做 generation 缓存):`config.projects` 由 `mutateInPlace` **就地**改,对象身份恒定,
- *    没有可用的失效信号;而 config-center 的 `appliedGeneration` 是那个模块的私有 WeakMap,不在公面上。
- *    要缓存就得先给 config-center 开一只「已提交世代」读口 —— 那是别人模块的接缝件,且**缓存失效写错
+ *    没有可用的失效信号;而 web-admin 的 `appliedGeneration` 是那个模块的私有 WeakMap,不在公面上。
+ *    要缓存就得先给 web-admin 开一只「已提交世代」读口 —— 那是别人模块的接缝件,且**缓存失效写错
  *    一次,就恰好把本条 finding 刚关掉的那个陈旧窗原样放回来**(还多一层代码)。规模面亦不支持先做:
  *    projects 是运维手写的登记簿(量级十几~百),而这条腿的**同一次**调用里,principal 在场那支还要
  *    `await directory.lookup()`(网络/缓存),扫表在它旁边不构成瓶颈。⇒ 若哪天登记簿真长到会阻塞事件循环,

package/dist/spec-fields.d.ts

@@ -51,16 +51,16 @@ export declare const MAX_TASK_AGENTS = 32;
  * `ruleEntryListShapeOk`):引擎直接 `for (const entry of list)` —— 一个裸字符串 `"Bash"` 会被逐字符迭代成 `B` / `a` / `s` / `h` 四条
  * (deny 侧 = 意图静默落空,安全轴上的放宽方向)。条目的**文法与名字**是引擎的读法:允侧读不出的条目(`*` / 写路径 / 域名 / 退役名 …)引擎在开跑时发
  * `permission.allowed_tool_not_granted`(受众 = 用户);拒侧读成空的条目(文法或名字层)在 `resolveSpec` 拒(提交 400 / 续跑 409,`rule-entry-list.ts` 的
- * `skillDenyInertEntryOf`,判据 = 引擎的条目读法)。形对之后两道门再问 {@link skillToolListRefusal}(条数帽 + 引擎读不到的那一形 ⇒ 400)。
+ * `skillDenyInertEntryOf`,判据 = 引擎的条目读法)。形对之后两道门再问 {@link skillToolListRefusal}(条数帽 ⇒ 400)。
  * 条数帽 = 条目表那一只(`rule-entry-list.ts` `allowLayerEntryCountIssue`,准备开销的界;与请求 allow 桶、运维表同一只),
  * 在 {@link skillToolListRefusal} 里判;无长度帽([ref])。
  */
 export declare const skillToolListOk: (v: unknown) => v is readonly string[];
 /**
  * 一条技能(形已过两道门的字符串数组判)的两只清单在受理口的拒因 —— 都过 ⇒ `undefined`。两处受理口同调:顶层 `skills[]`
- * (`http/admission.ts` 的 `validateUserSkills`)、子代 `agents[].skills[]`({@link validateTaskAgents})。两问:条数帽;引擎读不到、却永远匹配不到的
- * 条目(工具段为空的协议名,`rule-entry-list.ts` 那一份,与配置表、会话规则写口同一只)。退役名 / 对端段铸不出 / 读成空的条目是引擎的读法(见上):
- * 允侧交引擎通告,拒侧由 `resolveSpec` 拒。
+ * (`http/admission.ts` 的 `validateUserSkills`)、子代 `agents[].skills[]`({@link validateTaskAgents})。一问:条数帽。退役名 / 对端段或工具段铸不出、为空 /
+ * 读成空的条目是引擎的读法(见上):允侧交引擎通告,拒侧由 `resolveSpec` 拒(7.116.0–7.122.x 本仓在这里另拒工具段为空的协议名,core 7.48.0 #1400 起
+ * 它是引擎判官的判词,随之退役)。
  */
 export declare function skillToolListRefusal(skill: Record<string, unknown>): string | undefined;
 /** [ref] 单条 agent 定义的形状裁决:null=合法;否则一句可 400 的英文错误(不带索引,调用方自己加)。

package/dist/spec-fields.js

@@ -1,7 +1,7 @@
 import { isThinkingLevel } from "@sema-agent/core";
 import { taskWallClockSec } from "./task-workflow.js";
 import { isValidCwd } from "./task-cwd.js";
-import { allowLayerEntryCountIssue, describeEmptyToolSegmentEntry, emptyToolSegmentEntryOf, ruleEntryListShapeOk } from "./rule-entry-list.js";
+import { allowLayerEntryCountIssue, ruleEntryListShapeOk } from "./rule-entry-list.js";
 export function normalizeSuggestNextPrompts(v) {
     if (v === true)
         return true;
@@ -76,9 +76,6 @@ export function skillToolListRefusal(skill) {
         const over = allowLayerEntryCountIssue(`skill.${key}`, list);
         if (over !== undefined)
             return over.message;
-        const empty = emptyToolSegmentEntryOf(list);
-        if (empty !== undefined)
-            return describeEmptyToolSegmentEntry(`skill.${key}`, empty);
     }
     return undefined;
 }

package/dist/task-a2a.d.ts

@@ -1,7 +1,7 @@
 /**
  * [DESIGN-269 车1 §2.2/§2.3 — A2A client seam] — project a caller's per-request A2A peers
  * (`TaskRequest.a2aPeers`) into the engine, so a `sema` run can talk to the agents the USER declares,
- * not only the ones the deployment's config center declares. Point-for-point mirror of `task-mcp.ts`
+ * not only the ones the deployment's web-admin declares. Point-for-point mirror of `task-mcp.ts`
  * (the MCP seam), because the trust question is the same question — and deliberately NOT a copy where
  * the two protocols differ (see 「A2A 比 MCP 窄」 below).
  *

package/dist/task-settings.d.ts

@@ -108,13 +108,12 @@ export declare function planReviewDecisionExitsPlan(decision: "approve" | "edit"
 /**
  * 运维 `AUTONOMY=plan` 的**入口词地板**盖进提交体 —— 此后一条 run 的模式词只有存储体顶层 `permissionMode` 一个源。
  *
- * 规则:入口词 = core `clampPermissionMode(体的生效词, 地板).effective`(体无词 ⇒ 地板;比地板松的词 ⇒ 钳成地板;秩是 core 的,本仓不另写)。
- * 地板缺席 ⇒ 体**原物**交回(零字节变化)。盖章 = 新体 `{ ...body, permissionMode: 入口词 }`:调用方的对象不改;bundle 的
+ * 入口词 = `runtime-governance.ts` `entryPermissionMode(体的生效词, 地板).effective`(「词在地板下变成什么」的唯一一只函数;秩是 core 的)。本函数只加
+ * 「写进体」这一半:地板缺席 ⇒ 体**原物**交回(零字节变化);地板在场 ⇒ 新体 `{ ...body, permissionMode: 入口词 }`,调用方的对象不改;bundle 的
  * `settings.permissions.defaultMode` 不动 —— 顶层赢过它({@link effectivePermissionMode} 的优先序),再改它就是同一语义的第二个写者。
  *
- * 调用点两个:提交入口(`http/admission.ts` 的 `prepareSpec`:值形门全部判完之后、`resolveSpec` 之前)与 leader run 的入口体(`leader/wire.ts`:
- * leader 请求不带模式词,盖的是一份空体 ⇒ 入口词 = 地板本身;本车道的每一条 spec 与 worker 的续跑体都从它取词)。提交入口那一份体就是首跑装配读的体,也是 `buildCheckpointCtx` 持久化的体 ⇒ 一处盖章同时覆盖首跑与每一次续跑重建;
- * 装配腿与续跑腿都不读地板(两处读 = 两个源)。run-local 自建 spec、收不到客户端表态,在它的出生点直接写地板本身(同一个入口词)。
+ * 调用点一个:提交入口(`http/admission.ts` 的 `prepareSpec`:值形门全部判完之后、`resolveSpec` 之前)。那一份体就是首跑装配读的体,也是
+ * `buildCheckpointCtx` 持久化的体 ⇒ 一处盖章同时覆盖首跑与每一次续跑重建;装配腿与续跑腿都不读地板(两处读 = 两个源)。
  * 另一个写者是 `plan_review` 写回(`http/resume-legs.ts` `drivePlanReview`,判据 {@link planReviewDecisionExitsPlan})。
  * 热改 `AUTONOMY` 只影响之后提交的任务:在飞的 run 保持它出生时盖下的词。地板的属主是 `runtime-governance.ts` 的 `autonomyModeFloor`。
  */

package/dist/task-settings.js

@@ -1,11 +1,12 @@
-import { clampPermissionMode, combinePolicies, createFsWriteGatePolicy, parseRuleText, resolveReasoningProfile, rankOf, isThinkingLevel, CYBER_RISK, URL_SAFETY, HARNESS_SECTION_ANCHOR, RUN_WORKFLOW_TOOL_NAME, PERMISSION_MODES, isPermissionMode, ruleToolGrammarOf, } from "@sema-agent/core";
+import { combinePolicies, createFsWriteGatePolicy, parseRuleText, resolveReasoningProfile, rankOf, isThinkingLevel, CYBER_RISK, URL_SAFETY, HARNESS_SECTION_ANCHOR, RUN_WORKFLOW_TOOL_NAME, PERMISSION_MODES, isPermissionMode, ruleToolGrammarOf, } from "@sema-agent/core";
 import { unmatchableToolNamesRefusal } from "./config.js";
 import { MAX_PERMISSION_RULES_PER_LIST, createRuleListPolicy } from "./permission-rule-list.js";
-import { allowLayerEntryCountIssue, describeAllowLayerOverCap, describeEmptyToolSegmentEntry, emptyToolSegmentEntryOf, ruleEntryListShapeOk } from "./rule-entry-list.js";
+import { allowLayerEntryCountIssue, describeAllowLayerOverCap, ruleEntryListShapeOk } from "./rule-entry-list.js";
 import { tightenGoverned } from "./governance-overrides.js";
 import { MAX_KEY_ECHO, keyClosureClause, scanKeyClosure } from "./request-key-closure.js";
 import { parseHooksConfig } from "./hooks/hook-runner.js";
 import { heldRuleName } from "./tool-rule-names.js";
+import { entryPermissionMode } from "./runtime-governance.js";
 import { policyAskStandingAnswerFacts, standingAnswerDurablyRecordable } from "./tool-approval.js";
 export const PERMISSION_MODE_WORDS = PERMISSION_MODES.map((m) => `"${m}"`).join(" | ");
 export function coercePermissionMode(raw) {
@@ -33,9 +34,8 @@ export function planReviewDecisionExitsPlan(decision) {
     }
 }
 export function stampEntryPermissionMode(body, floor) {
-    if (floor === undefined)
-        return body;
-    return { ...body, permissionMode: clampPermissionMode(storedBodyPermissionMode(body), floor).effective };
+    const entry = entryPermissionMode(storedBodyPermissionMode(body), floor);
+    return entry.floor === undefined ? body : { ...body, permissionMode: entry.effective };
 }
 export function storedBodyPermissionMode(body) {
     return effectivePermissionMode(body, parseTaskSettings(body.settings).settings);
@@ -347,9 +347,6 @@ function rejectUnmatchableSettingsNames(perms, pathBases) {
         if (unmatchable !== undefined)
             throw new Error(unmatchable.message);
     }
-    const emptyAllow = perms.allow !== undefined ? emptyToolSegmentEntryOf(perms.allow) : undefined;
-    if (emptyAllow !== undefined)
-        throw new Error(describeEmptyToolSegmentEntry("permissions.allow", emptyAllow));
 }
 export function deriveSettingsPolicy(settings, gate, workflowGate) {
     const perms = settings.permissions;

package/dist/tool-approval.d.ts

@@ -5,6 +5,7 @@ import { type CardRulePersisted, type RuleConsentLane } from "./rules-consent.js
 import { type AllowRuleShadowProjection, type DenialLimitFallback, type RuleOffersAbsence, type ApprovalRequestFrame, type ApprovalRevokeFrame, type RuleEvidenceProjection } from "./approval-card.js";
 import { type ApprovalAskStore, type AskRow } from "./plugins/approval-ask-store-sql.js";
 import type { ApprovalAskAuditSink } from "./approval-ask-audit-store.js";
+import { type AskRowEndingCause, type SettleCause, type SettleOutcome } from "./approval-deny-reasons.js";
 import type { ParkCommitWatch } from "./plugins/park-commit-watch.js";
 import { type GovernanceAskMarks } from "./governance-ask-marks.js";
 import { type GovernancePosture } from "./runtime-governance.js";
@@ -25,6 +26,38 @@ export declare const APPROVAL_GATE_KINDS_SQL_IN: string;
  * (`test/parked-late-decision.test.ts` G3-c:本函数的输出经 `lookupRoute` 落 `approval-decide`)。会话段按路由的 `safeDecode` 对称编码。
  */
 export declare function approvalDecidePath(sessionId: string): string;
+/**
+ * [ref] 随批小件:`tool_approval.not_pending` 404 的**判别位**([ref] 排障代价实证 —— 三因合并成一句人话,现场分不出「答案没地方兑」与「打错副本了」)。
+ * DECIDED/PARKED 已从 404 分流(DECIDED ⇒ 200 回放首决,回执带 `decidedBy`,**不是**成因;PARKED ⇒ 赎回席),残余两类:
+ *  · 行 `VOID` / `DENIED`(没有人决过它)—— `cause` = **行上记的那个成因词**(问账 `denied_reason` 列;与决断口 410 `gone.ask` 体的 `cause`、审计 settle 行
+ *    的 `cause` 同一个词,闭集 {@link SettleCause});行上没写归因(存量行)⇒ 缺席,不替没写的行编一个词;
+ *  · {@link NOT_PENDING_UNKNOWN_CAUSE} —— 无墓碑 / 无行 / 行仍在别处活着:换副本或换端点重试才有意义(这个词只属于 404 面,不是结局成因)。
+ * 对齐 [ref] 反枚举语义:cause 只在**已过属主门**的面上出,不扩枚举面(属主门不过 = 与未知 id 同形)。
+ * **无持久店的部署上恒不带**:那台机器压根没有行可判,编一个 cause 是撒谎(D1 体逐字不变)。
+ */
+export declare const NOT_PENDING_UNKNOWN_CAUSE: "unknown_or_other_replica";
+export type NotPendingCause = AskRowEndingCause | typeof NOT_PENDING_UNKNOWN_CAUSE;
+/**
+ * 结算一张卡的**判决** —— 判别联合,逼每个调用点说清「这次等待是怎么结束的」:
+ *  · `by:"human"` —— 一次**决议**到了(人答,或从问账行读回来的决议,含部署政策拒落成的 `DECIDED` 行,`hostSettledBy` 记它的来源词):`allowed` 说方向;审计 settle 行
+ *    `outcome` = `allowed` / `denied`,**没有 `cause`**;
+ *  · `by:"system"` —— 这次等待**没有等到决议就结束了**(非人结局):必须点名一个 {@link SettleCause};审计 settle 行 `outcome:"expired"` + 该 `cause`。
+ * 成因**只从事实读**(窗钟到 / 中止信号 / emit 零接收 / 腿作用域退出 / 兄弟被原子撤卡 / 有序关停锁存位 / 问账行的列),不从拒句散文判;
+ * 没有「裸 `settle(false, "expired")`」这一形。
+ */
+export type SettleVerdict = {
+    readonly by: "human";
+    readonly allowed: boolean;
+    readonly updatedInput?: unknown;
+    /** 宿主自报来源(见 {@link HostSettledBy};缺席 = 人)。 */
+    readonly hostSettledBy?: HostSettledBy;
+    readonly denyReason?: string;
+    readonly readRootGrant?: string;
+} | {
+    readonly by: "system";
+    readonly cause: SettleCause;
+    readonly hostSettledBy?: HostSettledBy;
+};
 /**
  * 🔴 [ref](案A)追记 F6 —— durable 回决口(`POST /v1/tasks/:taskId/asks/:askId/decision`)的 **200 体
  * additive 判别位**:这次决议在**本副本**上有没有被一条活着的腿消费掉。
@@ -597,7 +630,13 @@ export interface ToolApprovalFrame {
      * 成因表也补了第四支:`settleVoidedSiblings` 的撤卡兄弟走的同样是这个词,那既不是 TTL 也不是断连。
      * Cosmetic dialog-dismiss(这句仍成立——它讲的是**帧的角色**,不是终局)。
      */
-    outcome?: "allowed" | "denied" | "expired";
+    outcome?: SettleOutcome;
+    /**
+     * "tool_approval_complete" only(**ADDITIVE**):`outcome:"expired"` 的**成因** —— 与审计 settle 行 `cause` 是同一个词(闭集 {@link SettleCause}:窗到期 / 广播全灭 /
+     * 断连 / 呈不出去 / run 取消 / run 退出 / 批撤 / 兄弟被撤 / 崩溃 / 关停 ……)。**在场 ⇔ 非人结局**;人答(`allowed` / `denied`)不带。壳据它把「卡消失了」渲成具体的话
+     * (「已取消」「已到期」「断连」各自一句),而不再只有 `expired` 一个词。⚠️ 缺席不是证据:旧 server 从不发这个键,人答也不发。
+     */
+    cause?: SettleCause;
 }
 /** The per-run context `ask` recovers via ALS (mirrors QuestionRunContext + sessionId, which keys the allow-all). */
 /** [ref]:`GET /v1/approvals` 第二顶层键 `livePending` 的行形(与 durable `pending` 行**分数组不混编**
@@ -1363,7 +1402,7 @@ export declare class ToolApprovalCoordinator {
      * 三步:
      *  ① 本进程握着的**每一张**未决卡(可达 / 悬挂 / 委派子代,不挑)按**断连同路**收场 —— {@link PendingApproval.forceParkNow}(park 路由;
      *     `deny` 政策下是部署政策拒;有持久 ask 店时走同一把终局 claim)。有序关停与断连是同一件事:投递面要没了,**不是**有人拒了
-     *     (不交裸 `false`,S-689 同律)。审计 settle 行携 `cause:"shutdown_before_park"`(成因在 `settle` 咽喉读锁存位,F10);
+     *     (不交裸 `false`,S-689 同律)。审计 settle 行携 `cause:"shutdown_before_park"`(`forceParkNow` 的调用点点名它);
      *  ② 在 `deadlineMs` 之前等:未决卡结清、在飞腿闭合(闭了的腿照常落 `leg_closed`)、**本次路由到 park 的卡全部结清**
      *     (F1:观察到 core 已处置这次调用 —— 停车行提交或承载它的腿退场 ⇒ 那张卡的审计 settle 行此刻才写,见 {@link settleParksAwaitingCommit})、
      *     店里在飞的 `put` 静默;
@@ -1427,7 +1466,7 @@ export declare class ToolApprovalCoordinator {
      *
      *  🔴 **本口只收「行真的没了」那一类**([ref] codex R3-F2,验真后拆分;红先钉在
      *  `test/unattended-approval-policy.test.ts`):`expireAsk` 返回的 `voidedSiblings` 的行是 **VOID**,
-     *  裸 `(false,"expired")` 正是它们的真终局。而**调用方自己那个 askId** 的行是 **PARKING**(已转投递
+     *  非人结局的判决(`{by:"system", cause}`)正是它们的真终局。而**调用方自己那个 askId** 的行是 **PARKING**(已转投递
      *  面)—— 把它混进本名单会让「同 askId 的重复本地注册」拿到裸 deny,而赢家拿的是 park 路由:同一条
      *  持久行、两种 live 终局。那一支改走 {@link settleSameAskIdParkRoute}。 */
     private settleVoidedSiblings;
@@ -1592,7 +1631,7 @@ export declare class ToolApprovalCoordinator {
      * 条目(跨副本/无流内窗)= 正常,返回 `{ settled: 0 }`,调用方据此诚实回显 `updatedInputForwarded`。
      *
      * 🔴 与 {@link settleVoidedSiblings} 是**两个语义,禁合并**(F29):那边是撤卡收尾,结算值恒
-     * `(false, "expired")`——批内兄弟被原子撤卡,它们的终局就是「没了」;这边是「同一只 askId 已经有了
+     * `{by:"system", cause}`(`batch_sibling_withdrawn` 等)——批内兄弟被原子撤卡,它们的终局就是「没了」;这边是「同一只 askId 已经有了
      * 真决议」,重复注册必须拿到**同一个**决议(approve 就是 approve)——合并会把外部批准的重复条目错
      * 结算成拒绝。已被结算过的条目再调 settle 天然无操作(幂等),所以本口对「赢家自己已 settle」安全。
      */