@sema-agent/server 7.131.0 → 7.133.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/server",
-  "version": "7.131.0",
+  "version": "7.133.0",
   "description": "Sema Server — the server/API implementation layer for Sema, wiring core, registry, model providers, and cloud agent execution. Built on @sema-agent/core.",
   "type": "module",
   "license": "BUSL-1.1",
@@ -18,6 +18,10 @@
       "types": "./dist/device-protocol.d.ts",
       "default": "./dist/device-protocol.js"
     },
+    "./model-route-env": {
+      "types": "./dist/model-route-env.d.ts",
+      "default": "./dist/model-route-env.js"
+    },
     "./package.json": "./package.json",
     "./deploy/sema-up/lanes.json": "./deploy/sema-up/lib/lanes.json"
   },
@@ -64,8 +68,8 @@
     "build:binary:run-local:darwin-arm64": "bun build --compile --target=bun-darwin-arm64 src/run-local.ts --outfile dist/run-local-darwin-arm64"
   },
   "dependencies": {
-    "@sema-agent/core": "7.51.2",
-    "@sema-agent/settings-schema": "13.0.1",
+    "@sema-agent/core": "7.53.0",
+    "@sema-agent/settings-schema": "14.2.0",
     "e2b": "^2.28.0",
     "libsodium-wrappers": "^0.8.4",
     "mysql2": "^3.22.4",
@@ -80,7 +84,7 @@
     "sharp": "^0.35.3"
   },
   "devDependencies": {
-    "@sema-agent/sdk": "23.0.0",
+    "@sema-agent/sdk": "24.0.0",
     "@types/libsodium-wrappers": "^0.7.14",
     "@types/node": "22.10.2",
     "@types/pg": "^8.20.0",

package/scripts/drain-check-local.mjs

@@ -1,7 +1,7 @@
 #!/usr/bin/env node
 /**
  * 换钉前的**排空检查 —— `DB_BACKEND=local`(File 店)车道**,只读。随 npm 包出(`scripts/drain-check-local.mjs`)。
- * 一次跑**六条判据**(判据表 {@link DRAIN_CRITERIA},每条一行末行、各自的命中行;SQL 车道的同一判据是同目录随包的 `drain-check.mysql.sql` / `drain-check.pg.sql`,
+ * 一次跑**八条判据**(判据表 {@link DRAIN_CRITERIA},每条一行末行、各自的命中行;SQL 车道的同一判据是同目录随包的 `drain-check.mysql.sql` / `drain-check.pg.sql`,
  * 每条判据一段、段首标记 `-- drain-check:<判据名>:<后端>`,判据名与本表的 `name` 同一个词):
  *  · `skill-grants-rollback`(**回滚**到 7.115.x 前,即引擎从 7.41 退回 7.40):四样任一 ——
  *    ① pending 行带 `state.skillGrants`(本次 run 冻结在行上的技能授予行:模型激活 / 子代捕获写下的放行与禁止);
@@ -30,6 +30,7 @@
  *    账本行的读法是服务里那一只(`src/orchestration/workflow-agent-session-index.ts` 的 `readAgentSessionLedgerLine`),经编译产物
  *    `dist/orchestration/workflow-agent-session-index.js` 取 —— 本脚本只按 runId 折叠;读不出的行计入 `corrupt`(rc 2:读不出的那一行可能正是点名某张待批卡的那一份);
  *    窗与删码:本判据是一次性迁移 M9 的读侧半场 —— 窗口与删码清单见引擎启动期一次性迁移登记表(one-time-migrations)M9 一行,随 M9 一起删;这里不写第二份窗。
+ *  · `parked-tool-lists`(升级到 7.132.0 前)/ `own-tool-lists-rollback`(从 7.132.0 回滚前):停驻行记下的工具名清单 / 7.52 写下的 `ownToolLists`(判据与出路见判据表那两条的注);
  *  · `retired-mode-seed`(换钉 7.113.0 前,core 7.39.0 删掉退役 mode-seed 的一次性迁移):pending 行的 `state.inheritedGate` 仍带退役成员;
  *  · `permissions-allow-list`(换钉 7.117.0 前,本服务把 `settings.permissions.allow` 整份交给引擎的 allow 层):pending 行所在会话的续跑上下文
  *    (`checkpoint-ctx/*.json` 的信封 `{ sessionId, updatedAt, ctx }`)里,`ctx.body.settings.permissions.allow` 是非空数组,且 `ctx.permissionsAllowReading` 不是 `"allow_layer"`
@@ -72,12 +73,15 @@
  *  · 每条命中一行:`SKILL-GRANTS-ROW token=<token> sessionId=<id> createdAt=<ms> member=<skillGrants|boundGrantDigest|userInvokedSkills|disallowedTools>` / `SKILL-MANIFEST-ROW token=<token> sessionId=<id> createdAt=<ms> member=<skills|agents.skills>` /
  *    `SKILL-DENY-INERT-ROW token=<token> sessionId=<id> createdAt=<ms> member=<skills|agents.skills>` /
  *    `WORKFLOW-PARK-ROW token=<token> sessionId=<id> createdAt=<ms> runId=<点名它的 run,逗号连接>` /
+ *    `PARKED-TOOL-LISTS-ROW token=<token> sessionId=<id> createdAt=<ms> member=<toolCeiling|constraintChain|boundGrantDigest>` / `OWN-TOOL-LISTS-ROW token=<token> sessionId=<id> createdAt=<ms>` /
  *    `ALLOW-LIST-ROW token=<token> sessionId=<id> createdAt=<ms>` / `RETIRED-ROW token=<token> sessionId=<id> createdAt=<ms> member=<成员>`;
  *  · 每条判据一行末行(表序;`RETIRED-MODE-SEED` 那一行恒在最后,7.113.0 起读「最后一行」的下游不受影响;`PERMISSIONS-ALLOW-LIST` 仍是倒数第二行):
  *    `SKILL-GRANTS rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `RETIRED-SKILL-MANIFEST rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `SKILL-DENY-INERT rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `WORKFLOW-PARK-HOLDER rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
+ *    `PARKED-TOOL-LISTS rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
+ *    `OWN-TOOL-LISTS-ROLLBACK rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `PERMISSIONS-ALLOW-LIST rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `RETIRED-MODE-SEED rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`;
  *    `corrupt` = 共用扫描的坏记录 + 这条判据自己读不懂的旁路输入(`permissions-allow-list`:读不懂的 ctx 档,文件名进 stderr —— 一份读不懂的 ctx 可能正是某条 pending 行带 `allow` 的那一份;
@@ -427,6 +431,35 @@ export const DRAIN_CRITERIA = [
       return runs === undefined ? undefined : ` runId=${runs.join(",")}`;
     },
   },
+  {
+    // 升级到 7.132.0 之前(引擎 7.52 在认领前按规范拼写读停驻行记下的工具名清单):pending 行带这三座任一 —— 子代的工具天花板 `state.toolCeiling`(键在场且不是空数组)、
+    // 冻结的父约束链 `state.inheritedGate.constraintChain`(非空数组)、Skill 卡的清单绑定 `pendingAction.boundGrantDigest`。7.51 按原拼写记它们,7.52 读到 `Bash(*)` / `Tool()` /
+    // 读不出的名 / deny `*` ⇒ 认领前拒(409 `checkpoint.config_refused`)、名字集的重复条目 ⇒ `resume.parent_constraint_mismatch`、Skill 清单读作空的条目 ⇒ `resume_outcome_invalid`;
+    // 卡都留 pending。引擎的拼写判法没有在包根给出 ⇒ 与随包 SQL 同一个**真超集**(座在不在、非空),不是精确判;命中行点名是哪一座。出路见随包 `MIGRATION.md` 7.132.0 节。
+    // 天花板一座不要求「是数组」:引擎对在场的天花板就读,非列表的值(JSON null / 对象 / 字符串)同样认领前拒(`not_a_list`);空数组读不出条目、引擎不拒。链只认数组(引擎 `Array.isArray(chain)` 才读)。
+    name: "parked-tool-lists",
+    tail: "PARKED-TOOL-LISTS",
+    hit: "PARKED-TOOL-LISTS-ROW",
+    load: () => ({ input: undefined, corrupt: 0, unreadable: [] }),
+    judge: (row) => {
+      const state = isObject(row.state) ? /** @type {Record<string, unknown>} */ (row.state) : {};
+      const nonEmptyList = (/** @type {unknown} */ v) => Array.isArray(v) && v.length > 0;
+      const emptyList = (/** @type {unknown} */ v) => Array.isArray(v) && v.length === 0;
+      if (Object.hasOwn(state, "toolCeiling") && !emptyList(state.toolCeiling)) return " member=toolCeiling";
+      const gate = isObject(state.inheritedGate) ? /** @type {Record<string, unknown>} */ (state.inheritedGate) : {};
+      if (nonEmptyList(gate.constraintChain)) return " member=constraintChain";
+      if (isObject(row.pendingAction) && Object.hasOwn(/** @type {Record<string, unknown>} */ (row.pendingAction), "boundGrantDigest")) return " member=boundGrantDigest";
+      return undefined;
+    },
+  },
+  {
+    // 从 7.132.0 回滚到 7.131.x 之前:7.52 写下 `state.ownToolLists` 的行(读方要求词 `own_tool_lists`,7.51 读不了)。键在不在,精确。
+    name: "own-tool-lists-rollback",
+    tail: "OWN-TOOL-LISTS-ROLLBACK",
+    hit: "OWN-TOOL-LISTS-ROW",
+    load: () => ({ input: undefined, corrupt: 0, unreadable: [] }),
+    judge: (row) => (isObject(row.state) && Object.hasOwn(/** @type {Record<string, unknown>} */ (row.state), "ownToolLists") ? "" : undefined),
+  },
   {
     name: "permissions-allow-list",
     tail: "PERMISSIONS-ALLOW-LIST",

package/scripts/drain-check.mysql.sql

@@ -8,13 +8,15 @@
 --   sessions   命中行所在的会话 id,逗号连接,新的在前。以 hit_rows 为准:这一列被会话变量 group_concat_max_len(缺省 1024 字节)截断时,列出的会话数会少于 hit_rows ——
 --              先处理列出的再跑一次,或先在同一个会话里 SET SESSION group_concat_max_len = 1048576; 再跑本文件(本文件自己只含 SELECT)。
 -- 每段只数 pending 行(已决 / 已过期的行不数);判据只看**键在不在 / 值形**,不读行的其余内容。
--- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,六条判据同名。
+-- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,八条判据同名。
 --
--- 六条判据(顺序同 drain-check-local.mjs 的判据表):
+-- 八条判据(顺序同 drain-check-local.mjs 的判据表):
 --   skill-grants-rollback   回滚到 7.115.x(引擎 7.40)之前:7.116.0 停驻的行带 7.40 不读的技能授予节 / 卡绑定 / 会话上下文里的人点名技能 / 还没被激活的技能声明的禁止清单。
 --   retired-skill-manifest  升级到 7.116.0 之前:停驻、持久化提交体里技能(顶层 skills[] 或子代 agents[].skills[])还带已退役的 manifest 键。
 --   skill-deny-inert        换钉 7.117.0 之前:停驻、提交体里技能(顶层 skills[] 或子代 agents[].skills[])的 disallowedTools 有引擎会读成空的条目的**候选**(见该段注)。
 --   workflow-park-holder    换钉 7.118.0 之前 / 从 7.118.0 回滚到 7.117.x 之前:此刻待批、且子会话被 workflow park 索引点名的卡(workflow 子代卡;见该段注)。
+--   parked-tool-lists       升级到 7.132.0 之前:停驻行记着子代工具天花板 / 冻结的父约束链 / Skill 卡的清单绑定(7.52 在认领前按规范拼写读它们)的**候选**(见该段注)。
+--   own-tool-lists-rollback 从 7.132.0 回滚到 7.131.x 之前:7.132.0 停驻、带 state.ownToolLists 的行(7.131.x 读不了)。
 --   permissions-allow-list  换钉 7.117.0 之前:停驻、提交体 settings.permissions.allow 是非空数组且读法记号不是当前的 "allow_layer"(无记号 = 名单时代;"statement" = 表态时代)。
 --   retired-mode-seed       换钉 7.113.0 之前:检查点的 inheritedGate 里仍带退役 mode-seed 成员。
 
@@ -87,6 +89,32 @@ FROM checkpoint k
 WHERE k.status = 'pending'
   AND EXISTS (SELECT 1 FROM workflow_agent_session w WHERE w.session_id = k.session_id);
 
+-- drain-check:parked-tool-lists:mysql —— 期望 hit_rows = 0;每一行 = 一条**候选**:升级到 7.132.0 后续跑可能在认领前被拒的停驻行。
+-- 在**升级之前**、对 7.131.x 的数据跑。7.131.x 的引擎(7.51)把行上的三样按原拼写记下,7.132.0 的引擎(7.52)在认领前按规范拼写读它们:
+--   子代的工具天花板 state.toolCeiling(`Bash(*)` / `Tool()` / 内容形 / 读不出的名 / deny `*` ⇒ 409 checkpoint.config_refused,blockedBy = config.tool_face_control,field = inheritedGate);
+--   冻结的父约束链 state.inheritedGate.constraintChain(非规范名同上;名字集里的重复条目 ⇒ 409 resume.parent_constraint_mismatch);
+--   Skill 卡绑的两只清单 pendingAction.boundGrantDigest(清单里读作空的条目 ⇒ 409 resume_outcome_invalid,field = boundGrantDigest)。
+-- 卡都留 pending、行留停驻。SQL 读不了引擎的拼写判法 ⇒ 数的是**真超集**:带这三样任一的 pending 行 —— 天花板键在场且不是空数组(引擎对在场的天花板就读:
+-- 非列表的值〔JSON null / 对象 / 字符串〕同样认领前拒,所以不要求「是数组」;空数组读不出条目、不数),链是非空数组(引擎只读数组形的链),或卡带绑定摘要。
+-- 出路(见随包 MIGRATION.md 7.132.0 节):升级前让它们在 7.131.x 上跑完 / 决完;已经升级的,在 7.131.x 的副本上续跑,或取消那条 run 重提。
+SELECT 'parked-tool-lists' AS criterion, COUNT(*) AS hit_rows,
+       COALESCE(GROUP_CONCAT(k.session_id ORDER BY k.created_at_ms DESC SEPARATOR ','), '') AS sessions
+FROM checkpoint k
+WHERE k.status = 'pending'
+  AND ((JSON_CONTAINS_PATH(k.checkpoint, 'one', '$.state.toolCeiling')
+        AND NOT (JSON_TYPE(JSON_EXTRACT(k.checkpoint, '$.state.toolCeiling')) = 'ARRAY' AND JSON_LENGTH(JSON_EXTRACT(k.checkpoint, '$.state.toolCeiling')) = 0))
+       OR (JSON_TYPE(JSON_EXTRACT(k.checkpoint, '$.state.inheritedGate.constraintChain')) = 'ARRAY' AND JSON_LENGTH(JSON_EXTRACT(k.checkpoint, '$.state.inheritedGate.constraintChain')) > 0)
+       OR JSON_CONTAINS_PATH(k.checkpoint, 'one', '$.pendingAction.boundGrantDigest'));
+
+-- drain-check:own-tool-lists-rollback:mysql —— 期望 hit_rows = 0;每一行 = 一条从 7.132.0 回滚到 7.131.x 后续跑会被拒的停驻行。
+-- 在**回滚之前**、对 7.132.0 的数据跑:7.132.0 的引擎在子代行上记下这条腿的工具清单是谁写的(state.ownToolLists,行上的读方要求词 own_tool_lists),
+-- 7.131.x 的引擎读不了 ⇒ 409 checkpoint.unsupported_version(writerVersion 比 readerVersion 新)、卡留 pending。判据 = 键在不在(精确)。
+SELECT 'own-tool-lists-rollback' AS criterion, COUNT(*) AS hit_rows,
+       COALESCE(GROUP_CONCAT(k.session_id ORDER BY k.created_at_ms DESC SEPARATOR ','), '') AS sessions
+FROM checkpoint k
+WHERE k.status = 'pending'
+  AND JSON_CONTAINS_PATH(k.checkpoint, 'one', '$.state.ownToolLists');
+
 -- drain-check:permissions-allow-list:mysql —— 期望 hit_rows = 0;每一行 = 一条升级后续跑会被拒的停驻行。
 -- 读哪一份续跑上下文:与续跑腿同 —— workflow 子代的停驻行(在 workflow_agent_session 里登记过)续跑时读的是**发起这条 workflow 的会话**那一份
 -- (workflow_run.run 的 originatingSessionId);其余行读自己会话那一份。一个子会话可以被好几条 workflow 记录点名(续跑链 / 分叉;7.118.0 起索引主键是

package/scripts/drain-check.pg.sql

@@ -7,13 +7,15 @@
 --   hit_rows   命中的停驻行数(pending 行里算命中的那些);**全部为 0 才算排空**,非 0 ⇒ 逐条答完或取消(各判据对应的升级 / 回滚说明见随包 MIGRATION.md);
 --   sessions   命中行所在的会话 id,逗号连接,新的在前。
 -- 每段只数 pending 行(已决 / 已过期的行不数);判据只看**键在不在 / 值形**,不读行的其余内容。
--- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,六条判据同名。
+-- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,八条判据同名。
 --
--- 六条判据(顺序同 drain-check-local.mjs 的判据表):
+-- 八条判据(顺序同 drain-check-local.mjs 的判据表):
 --   skill-grants-rollback   回滚到 7.115.x(引擎 7.40)之前:7.116.0 停驻的行带 7.40 不读的技能授予节 / 卡绑定 / 会话上下文里的人点名技能 / 还没被激活的技能声明的禁止清单。
 --   retired-skill-manifest  升级到 7.116.0 之前:停驻、持久化提交体里技能(顶层 skills[] 或子代 agents[].skills[])还带已退役的 manifest 键。
 --   skill-deny-inert        换钉 7.117.0 之前:停驻、提交体里技能(顶层 skills[] 或子代 agents[].skills[])的 disallowedTools 有引擎会读成空的条目的**候选**(见该段注)。
 --   workflow-park-holder    换钉 7.118.0 之前 / 从 7.118.0 回滚到 7.117.x 之前:此刻待批、且子会话被 workflow park 索引点名的卡(workflow 子代卡;见该段注)。
+--   parked-tool-lists       升级到 7.132.0 之前:停驻行记着子代工具天花板 / 冻结的父约束链 / Skill 卡的清单绑定(7.52 在认领前按规范拼写读它们)的**候选**(见该段注)。
+--   own-tool-lists-rollback 从 7.132.0 回滚到 7.131.x 之前:7.132.0 停驻、带 state.ownToolLists 的行(7.131.x 读不了)。
 --   permissions-allow-list  换钉 7.117.0 之前:停驻、提交体 settings.permissions.allow 是非空数组且读法记号不是当前的 "allow_layer"(无记号 = 名单时代;"statement" = 表态时代)。
 --   retired-mode-seed       换钉 7.113.0 之前:检查点的 inheritedGate 里仍带退役 mode-seed 成员。
 
@@ -96,6 +98,31 @@ FROM checkpoint k
 WHERE k.status = 'pending'
   AND EXISTS (SELECT 1 FROM workflow_agent_session w WHERE w.session_id = k.session_id);
 
+-- drain-check:parked-tool-lists:pg —— 期望 hit_rows = 0;每一行 = 一条**候选**:升级到 7.132.0 后续跑可能在认领前被拒的停驻行。
+-- 在**升级之前**、对 7.131.x 的数据跑。7.131.x 的引擎(7.51)把行上的三样按原拼写记下,7.132.0 的引擎(7.52)在认领前按规范拼写读它们:
+--   子代的工具天花板 state.toolCeiling(`Bash(*)` / `Tool()` / 内容形 / 读不出的名 / deny `*` ⇒ 409 checkpoint.config_refused,blockedBy = config.tool_face_control,field = inheritedGate);
+--   冻结的父约束链 state.inheritedGate.constraintChain(非规范名同上;名字集里的重复条目 ⇒ 409 resume.parent_constraint_mismatch);
+--   Skill 卡绑的两只清单 pendingAction.boundGrantDigest(清单里读作空的条目 ⇒ 409 resume_outcome_invalid,field = boundGrantDigest)。
+-- 卡都留 pending、行留停驻。SQL 读不了引擎的拼写判法 ⇒ 数的是**真超集**:带这三样任一的 pending 行 —— 天花板键在场且不是空数组(引擎对在场的天花板就读:
+-- 非列表的值〔JSON null / 对象 / 字符串〕同样认领前拒,所以不要求「是数组」;空数组读不出条目、不数),链是非空数组(引擎只读数组形的链),或卡带绑定摘要。
+-- 出路(见随包 MIGRATION.md 7.132.0 节):升级前让它们在 7.131.x 上跑完 / 决完;已经升级的,在 7.131.x 的副本上续跑,或取消那条 run 重提。
+SELECT 'parked-tool-lists' AS criterion, count(*) AS hit_rows,
+       coalesce(string_agg(k.session_id, ',' ORDER BY k.created_at_ms DESC), '') AS sessions
+FROM checkpoint k
+WHERE k.status = 'pending'
+  AND (((k.checkpoint #> '{state,toolCeiling}') IS NOT NULL AND (k.checkpoint #> '{state,toolCeiling}') <> '[]'::jsonb)
+       OR (jsonb_typeof(k.checkpoint #> '{state,inheritedGate,constraintChain}') = 'array' AND (k.checkpoint #> '{state,inheritedGate,constraintChain}') <> '[]'::jsonb)
+       OR (k.checkpoint -> 'pendingAction') ? 'boundGrantDigest');
+
+-- drain-check:own-tool-lists-rollback:pg —— 期望 hit_rows = 0;每一行 = 一条从 7.132.0 回滚到 7.131.x 后续跑会被拒的停驻行。
+-- 在**回滚之前**、对 7.132.0 的数据跑:7.132.0 的引擎在子代行上记下这条腿的工具清单是谁写的(state.ownToolLists,行上的读方要求词 own_tool_lists),
+-- 7.131.x 的引擎读不了 ⇒ 409 checkpoint.unsupported_version(writerVersion 比 readerVersion 新)、卡留 pending。判据 = 键在不在(精确)。
+SELECT 'own-tool-lists-rollback' AS criterion, count(*) AS hit_rows,
+       coalesce(string_agg(k.session_id, ',' ORDER BY k.created_at_ms DESC), '') AS sessions
+FROM checkpoint k
+WHERE k.status = 'pending'
+  AND (k.checkpoint -> 'state') ? 'ownToolLists';
+
 -- drain-check:permissions-allow-list:pg —— 期望 hit_rows = 0;每一行 = 一条升级后续跑会被拒的停驻行。
 -- 读哪一份续跑上下文:与续跑腿同 —— workflow 子代的停驻行(在 workflow_agent_session 里登记过)续跑时读的是**发起这条 workflow 的会话**那一份
 -- (workflow_run.run 的 originatingSessionId);其余行读自己会话那一份。一个子会话可以被好几条 workflow 记录点名(续跑链 / 分叉;7.118.0 起索引主键是

package/dist/capabilities/memory-notice.d.ts

@@ -1,138 +0,0 @@
-/**
- * [ref](板 [ref]②/[ref]④ 两次点名的 server 接线半场)—— 零记忆面部署形的**持久记忆披露**。
- *
- * 病(core [ref] 实测,[ref] 立案):一台没有任何持久记忆面的部署,用户说「请记住 X」,模型回一句
- * 「已经记住了」——落盘处并不存在。用户带着「这条事实已入库」的信念离开,下一次会话才发现是空的。
- *
- * core 5.26.0 的分工:引擎**能自证**只读的两态(engine 侧 `writeScope:null` / runner 侧 `handsReadOnly`)
- * 由引擎自动挂 `MEMORY_READONLY_NOTICE`;而「整台部署根本没有记忆面」这一形 core 只导出文本
- * (`NO_PERSISTENT_MEMORY_NOTICE`)、**不注入** —— 逐字原文:「A deployment that composes its own prompt
- * should include this block exactly when no memory face is mounted」。组装归宿主,与 `MEMORY_SAFETY`
- * 同姿势。本模块就是那半场。
- *
- * ⚠️ 两条边界,越界即双重注入/假话:
- *  · **engine 在场就不是我们的座位**。哪怕 `memoryWrite:false`(writeScope null)——那恰恰是引擎自己
- *    挂只读披露的状态,server 再叠一句口径不同的「你没有持久记忆」= 同一件事两种说法同框。
- *  · **推断到「有落盘路」就闭嘴**。判别式与 core 的 `rosterCanPersist` 同口径(已知落盘路 = 这一 run 名册上
- *    真挂着的文件写工具 / 可写 shell)。「名册上还剩什么」**只读引擎的答案**:core 7.49.0(#1623)起一 run 的可用工具是
- *    引擎一只选择器(`allowTools` ∩ … − `excludeTools`,别名 / `Tool(content)` / `mcp__srv…` 都由它读)在 prepare 算出的,
- *    本模块不再读请求的任何一张工具名表 —— 名册臂在装配时刻读 provider 拿到的 `ctx.tools`(选择器之后的名册)。
- *    负控仍然成立:必须**全部**已知落盘路都不在名册上才算断链(摘掉 `Write`,Bash / Edit 还在)。
- */
-import { type PromptProvider, type ToolCatalogEntry } from "@sema-agent/core";
-import type { ScenarioHands } from "./hands-lane.js";
-import { type ExecutionLane } from "../execution-lane-caps.js";
-/**
- * 「已知落盘路」的判据,作用在 core **静态工具目录**的一行上(S-503 / [ref])—— 与 core 自己的
- * `rosterCanPersist` 推断逐条同形,取的是同一批目录属性,不是它结论的抄件:
- *  · `mountedBy` 落在 core 的 `HANDS_BAND_TAGS` 里 —— 手带 band 之外的定义(记忆面工具、调度族)
- *    不在本判别式说得着的面上:本判别式的输入全是**手带事实**(`hands` / `handsReadOnly` / 名册上的手带名),
- *    把一只 band 外的写工具算进来,就是拿一条根本没挂的通道去撤回披露(fail-open);
- *  · `face.effect !== "read"`(缺席读 `write`,与 core 同缺省)—— 只读 shell 壳在这里出局,它与全壳
- *    共用 `Bash` 这个 wire 名,靠的正是这一位分开;
- *  · `face.pathTarget.access !== "read"`(文件写工具)**或** `face.family === "shell"`(可写 shell)。
- *
- * 🔴 这条析取式**不是** effect=write 的全集:core 逐字裁过「a generic write-effect tool does NOT count
- * — a mail sender's side effect is not a memory store」。`TaskStop` 正是那种(effect=write、没有路径
- * 目标、不是 shell),它在这条判据下自己就出局 —— 改前那张手抄名单要靠人记得别把它写进去。
- *
- * 一条都派生不出来 ⇒ **抛**(不是回一个空集):空集会让下面那条判据读成「一条落盘路都不剩」⇒ 每台
- * 有手的机器都开始披露「本部署没有持久记忆」,而那句话在那时是假的。目录换形是提货期事实(静态数据,
- * 与请求/环境无关:要么恒抛要么恒不抛),所以这一抛是**提货门**,不是运行期风险。
- */
-export declare function persistencePathToolNamesOf(entries: readonly ToolCatalogEntry[]): readonly string[];
-/**
- * 「已知落盘路」的工具名闭集 —— **由 core 的静态工具目录派生**,本仓不再存第二份名表
- * (S-503 / [ref];改前是手抄的四名表 Write / Edit / NotebookEdit / Bash,没有任何差集门)。
- *
- * 为什么手抄在这一位上特别危险:core 改名/加一只写工具,手抄表静默失配(fail-open 方向)—— 名册上真正的
- * 落盘路已经全不在了,而我们对着一张旧名单答「还剩」。
- * 判据的属主现在是 {@link persistencePathToolNamesOf},值的属主是 core 的目录行。
- */
-export declare const KNOWN_PERSISTENCE_TOOL_NAMES: readonly string[];
-/** 披露段在 `prompt.assembled` 清单里的段 id(`core/` 命名空间是 core 保留的,部署段一律自家前缀)。 */
-export declare const NO_PERSISTENT_MEMORY_SECTION_ID = "sema/memory.no-persistent";
-/** 判别式的全部输入 —— 每一位都是**部署/装配期事实**,没有一位来自请求体的自我表态。 */
-export interface MemoryFaceFacts {
-    /** 这一腿挂不挂记忆面 —— 由唯一属主 `memory-scope.ts` `memoryFaceMounted(spec.memory)` 算出(与 core `prepareMemory`
-     *  同判:`normalizeMemorySpec(...)?.enabled === true`)。`false` = 引擎未接 / 多租户 dark / remote lane fail-closed /
-     *  S-405 `memory:"off"`(键在场但 `enabled:false`)—— 殊途同归:core 不会 prepare 记忆,也就不会挂任何披露。
-     *  🔴 不再收 `TaskSpec.memory` 本体:按「键在不在场」判是 7.84.0 前的病(合并复审 车HF F1)。
-     *  🔴 属主会**抛**(值闭包门没过的手搓 spec —— 单数 `scope` / 非 `"off"` 的 `capture`),理由与两个属主
-     *  的坐标逐字写在 `memory-scope.ts` 的 `memoryFaceMounted` 头注里;本判别式不接这条臂(接了就是在
-     *  披露轴上静默 fail-open)。 */
-    memoryFaceMounted: boolean;
-    /** 部署声明 `MEMORY_PERSISTENCE_CAPABLE`(三态)。`true` = operator 自证有推断看不见的持久通道
-     *  (自定义 writer / MCP 记忆服务)⇒ 披露会变成假话,撤回;`false` = 强制披露;缺席 ⇒ 走推断。 */
-    declaredCapable: boolean | undefined;
-    /** 本请求命中场景的手带表态([ref] 判别位)。`none` = 该场景跑在不挂 `executionEnvFactory` 的 Runner 上,
-     *  core 的手带 band(Bash/Edit/Write/…)整批不 mount。 */
-    hands: ScenarioHands;
-    /** 折完 governance+settings 后的最终 `handsReadOnly`(`AUTONOMY=read-only` 收窄;plan 模式不点亮它 —— plan 的手带照挂、调用时由引擎问)。手带只剩读腿。 */
-    handsReadOnly: boolean;
-    /**
-     * 本部署的手带**挂没挂**(= core 拿没拿到执行环境;能力表 `coreRemoteExecutionEnv` 位,经
-     * {@link buildNoticeLaneFacts} 取)。`false` = `in-process`:core 落 `StubExecutionEnv`,手带整族不 mount
-     * ⇒ **一条落盘路都没有**,不管名册上写着什么名字。
-     * 🔴 S-602(clay 裁 [ref] A):改前这里只有一位 `remoteExecutionEnv`(判别位 = `REMOTE_EXEC` 设没设),
-     * 于是 in-process 读成「不是 remote ⇒ 手就在本机 fs 上 ⇒ 已知落盘路真的在」—— 而那条 lane 根本没有手,
-     * 用户说「记住 X」拿到的是无处落盘的幻觉回执([ref] 要消灭的原形)。一位拆成两位,各答各的问题。
-     */
-    handsWired: boolean;
-    /**
-     * 手带的文件平面**不在**本 worker(能力表 `hostFilePlane` 答否;经 {@link buildNoticeLaneFacts} 取)——
-     * 沙箱 / 远端 / 设备车道。为什么这一位必须进判别式(codex 复审 round2 [high],已核真):core 的
-     * `rosterCanPersist` 在沙箱盘上把 Write/Edit/NotebookEdit/Bash **全部不算**落盘路(每任务即焚,够不着
-     * host 记忆根)。而 server 在任何 remote 车道上默认让记忆引擎 dark —— 两件事合起来正是**最常见的云部署形**:
-     * 引擎不在、手带在,却一份持久面都没有。
-     * ⚠️ `host` 车道这一位是 `false`(文件平面就是本机);core 自己仍把 host 判 remote,那一面由装配层的
-     * `effectiveMemoryPersistenceCapable`(host 腿自动声明 capable)在臂② 接住,不归本位。
-     */
-    filePlaneRemote: boolean;
-}
-/**
- * S-602 —— 判别式的两位**车道事实**,由能力表派生([ref]:不手抄投影)。resolve-spec 的装配点只调它,
- * 不在调用点手写 `config.remoteExec !== undefined`(门 D R4)。
- */
-export declare function buildNoticeLaneFacts(lane: ExecutionLane): Pick<MemoryFaceFacts, "handsWired" | "filePlaneRemote">;
-/**
- * 披露的三种结局。`"roster"` = 部署事实答不完,剩下的问题(「名册上还剩不剩已知落盘路」)只有引擎在 prepare
- * 之后知道 —— 由 {@link withNoPersistentMemoryNotice} 在装配时刻读 provider 拿到的名册作答,不在 resolveSpec 期猜。
- */
-export type NoPersistentMemoryNotice = "disclose" | "silent" | "roster";
-/**
- * 该不该把 `NO_PERSISTENT_MEMORY_NOTICE` 组进本次任务的 system prompt。
- *
- * 优先序(每一条都有独立理由,不是同一条判据的三种写法):
- *  ① engine 在场 ⇒ `silent`(引擎的座位,见文件头注);
- *  ② 部署显式声明(或 host 腿装配层自动声明)⇒ 声明说了算(`true` ⇒ `silent` / `false` ⇒ `disclose`)—— operator 的部署
- *     事实压过我们的推断,与 core 对 `memoryPersistenceCapable` 的处置同向;
- *  ③ 否则推断:手带没挂 / 场景摘手 / 只读 / 文件平面不在本机 ⇒ `disclose`;都不是 ⇒ `roster`(名册上还剩不剩已知落盘路,
- *     读引擎选择器之后的名册 —— 本模块不读请求的任何工具名表,core 7.49.0 #1623 起那是引擎一只运算的输入)。
- * 🔴 S-602 只改臂③ 里「车道」那一段(`handsWired` / `filePlaneRemote`),①② 的优先序一字不动 —— 「in-process ⇒
- * 披露」只在这两臂**之后**成立(挂了记忆面、或声明了 capable 的 in-process 部署照旧不披露)。
- */
-export declare function noPersistentMemoryNotice(facts: MemoryFaceFacts): NoPersistentMemoryNotice;
-/**
- * 名册臂:引擎选择器之后的名册上还剩不剩已知落盘路(`KNOWN_PERSISTENCE_TOOL_NAMES` 任一名在册)。⚠️ 负控:摘掉**一个**
- * `Write` 不算断链(Bash / Edit 还在)—— 必须**全部**已知落盘路都不在名册上。名册为空(`excludeAllTools`)⇒ 一条都不剩。
- */
-export declare function rosterLeavesPersistencePath(tools: readonly {
-    readonly name: string;
-}[]): boolean;
-/**
- * 把披露段组进一个 prompt provider,**按 provider 自己的钩子形分腿**(换形会改段身份与 append 座位):
- *  · typed(`stableBlocks`)⇒ {@link mountNotice}(普通形追加 behavior 声明;已组装 identity 形接在其文本后)。
- *  · string(`stableSystem`)⇒ 接在 role 层文本之后(落进 `core/role.base` 段)。
- *  · 两个钩子都没有(= core 会用 `defaultPromptProvider`)⇒ **只发一条 typed 声明**,role 层留给 core 自己铸。
- *
- * ⚠️ 最后一腿为什么不是「自铸 role 层」(2026-08-12 复扫 medium,已实测):自铸形
- * `stableSystem: (ctx) => ${ctx.userSystemPrompt ?? DEFAULT_SYSTEM_PROMPT}\n\n${段落}` 把**调用方的**
- * systemPrompt 逐字变成了 provider 的输出。调用方传一份已组装 prompt(集成方/center 的常见形)时,装配器的
- * 迁移卫就在 provider 输出上探到三锚 ⇒ pass-through 臂 ⇒ 保留集无 `core/role.append` ⇒ 已被 append 门放行的
- * `appendSystemPrompt`/`settings.outputStyle` 静默蒸发(门在包装**之前**按未包装的 provider 判,两边分家)。
- * 走 typed 声明腿就没有这条耦合:role 层仍由 core 按 `userSystemPrompt ?? DEFAULT_SYSTEM_PROMPT` 自己铸,
- * 我方只贡献一条 behavior 段,`providerDropsAppend` 的判决包装前后逐格相同。
- */
-export declare function withNoPersistentMemoryNotice(provider: PromptProvider | undefined, when: Exclude<NoPersistentMemoryNotice, "silent">): PromptProvider;
-//# sourceMappingURL=memory-notice.d.ts.map

package/dist/capabilities/memory-notice.js

@@ -1,64 +0,0 @@
-import { describeToolCatalog, HANDS_BAND_TAGS, NO_PERSISTENT_MEMORY_NOTICE } from "@sema-agent/core";
-import { hasConstitutionAnchors } from "../task-settings.js";
-import { executionLaneCaps } from "../execution-lane-caps.js";
-export function persistencePathToolNamesOf(entries) {
-    const names = new Set();
-    for (const e of entries) {
-        if (!e.mountedBy.some((tag) => HANDS_BAND_TAGS.has(tag)))
-            continue;
-        if ((e.face.effect ?? "write") === "read")
-            continue;
-        const pt = e.face.pathTarget;
-        if (!((pt !== undefined && pt.access !== "read") || e.face.family === "shell"))
-            continue;
-        names.add(e.name);
-    }
-    if (names.size === 0) {
-        throw new Error("core tool catalog yields no hand-band persistence path (file-write target or writable shell) — " +
-            "the #148 disclosure would start claiming 'no persistent memory' on every machine that HAS hands. " +
-            "Re-read core's rosterCanPersist inference and re-derive persistencePathToolNamesOf.");
-    }
-    return Object.freeze([...names]);
-}
-export const KNOWN_PERSISTENCE_TOOL_NAMES = persistencePathToolNamesOf(describeToolCatalog());
-export const NO_PERSISTENT_MEMORY_SECTION_ID = "sema/memory.no-persistent";
-export function buildNoticeLaneFacts(lane) {
-    const caps = executionLaneCaps(lane);
-    return { handsWired: caps.coreRemoteExecutionEnv === "supported", filePlaneRemote: caps.hostFilePlane !== "supported" };
-}
-export function noPersistentMemoryNotice(facts) {
-    if (facts.memoryFaceMounted)
-        return "silent";
-    if (facts.declaredCapable !== undefined)
-        return facts.declaredCapable ? "silent" : "disclose";
-    if (facts.hands === "none" || facts.handsReadOnly)
-        return "disclose";
-    if (!facts.handsWired)
-        return "disclose";
-    if (facts.filePlaneRemote)
-        return "disclose";
-    return "roster";
-}
-export function rosterLeavesPersistencePath(tools) {
-    return tools.some((t) => KNOWN_PERSISTENCE_TOOL_NAMES.includes(t.name));
-}
-const NOTICE_BLOCK = { id: NO_PERSISTENT_MEMORY_SECTION_ID, slot: "behavior", text: NO_PERSISTENT_MEMORY_NOTICE };
-function mountNotice(decls) {
-    const assembledIdentity = decls.find((d) => d.slot === "identity" && hasConstitutionAnchors(d.text));
-    if (!assembledIdentity)
-        return [...decls, NOTICE_BLOCK];
-    return decls.map((d) => (d === assembledIdentity ? { id: d.id, slot: d.slot, text: `${d.text}\n\n${NO_PERSISTENT_MEMORY_NOTICE}` } : d));
-}
-export function withNoPersistentMemoryNotice(provider, when) {
-    const due = (ctx) => when === "disclose" || !rosterLeavesPersistencePath(ctx.tools);
-    if (provider?.stableBlocks) {
-        const blocks = provider.stableBlocks.bind(provider);
-        return { ...provider, stableBlocks: (ctx) => (due(ctx) ? mountNotice(blocks(ctx)) : blocks(ctx)) };
-    }
-    if (provider?.stableSystem) {
-        const stable = provider.stableSystem.bind(provider);
-        return { ...provider, stableSystem: (ctx) => (due(ctx) ? `${stable(ctx)}\n\n${NO_PERSISTENT_MEMORY_NOTICE}` : stable(ctx)) };
-    }
-    return { stableBlocks: (ctx) => (due(ctx) ? [NOTICE_BLOCK] : []) };
-}
-//# sourceMappingURL=memory-notice.js.map

package/dist/capabilities/prompt.d.ts

@@ -1,17 +0,0 @@
-import type { PromptProvider } from "@sema-agent/core";
-/**
- * Build a scenario's prompt provider from just its ROLE base, on core 1.243's 提示词主权 contract:
- * `stableSystem` returns ONLY the role layer (base + the task's own systemPrompt) and **core appends
- * the constitution structurally** — harness/safety blocks (Truth/CYBER_RISK/URL_SAFETY), mode blocks,
- * AND the memory safety/hygiene guidance (`constitutionBlocks`), plus the volatile `<user_memory>`
- * tail LAST ([ref] prefix-cache discipline; guarded in CI by `assertPromptCacheFriendly`).
- *
- * History: the pre-1.243 seam made this helper's whole-prompt replacement silently DROP
- * core's constitution — oa/code-review/team ran with zero safety blocks. Same batch also moved
- * MEMORY_SAFETY/MEMORY_HYGIENE into the constitution layer, so the hand-composition this helper used
- * to do (core 1.62, [ref]) would now DOUBLE-inject them — both removed; core owns the discipline
- * (consolidation mutual-exclusion included). This stays a thin role-layer join so scenarios don't
- * re-implement the same two-line body five times.
- */
-export declare function stablePrompt(base: string): PromptProvider;
-//# sourceMappingURL=prompt.d.ts.map

package/dist/capabilities/prompt.js

@@ -1,6 +0,0 @@
-export function stablePrompt(base) {
-    return {
-        stableSystem: ({ userSystemPrompt }) => [base, userSystemPrompt].filter(Boolean).join("\n\n"),
-    };
-}
-//# sourceMappingURL=prompt.js.map

package/dist/mcp-content-origin.d.ts

@@ -1,34 +0,0 @@
-/**
- * [ref](core 5.60.0)—— `McpServerSpec.contentOrigin` 的**闭词表单一属主**。
- *
- * core 给 MCP 条目开了一个**内容出处声明**座位:一台 server 的整套工具的结果算 `"local"`(部署自己
- * 写的)/ `"execution"`(执行环境产物,`execIsExternalContent` 仍能收紧)/ `"external"`(第三方内容,
- * 显式 PIN —— 它同时**取消** `trustedTools` 的按名豁免)。缺席 = pre-378 逐字节现行为(协议命名空间
- * 一律判 external,fail-closed)。它只影响**记忆写治理**(会话污染标记),core 明写「no gate/policy/
- * roster effect」——与审批门、角色表、工具白名单都无关。
- *
- * ## 为什么值得一个自己的模块
- * 本仓有**两个**平面会拿到这个键(部署面 center 下发 / 请求面 body),两边都要判「词在不在表里」。
- * 一条安全轴上的判据有两份实现,就是其中一份将来漂开的方式(`mcpInjectionHonored` 顶注里那句
- * 「判据只有一只谓词,不许两处各判一半」的同款理由)。⇒ 表与谓词都只有这一份。
- *
- * ## 闭集纪律(CLAUDE.md:安全轴上未知词必须是**编译**错误)
- * 下面两条 `AssertNever` 是**双向**钉:
- *  · core 给 `ToolContentOrigin` 加词而本表没跟 ⇒ `_ContentOriginCovers` 残余非 never ⇒ tsc 红;
- *  · 本表写错/写多一个词 ⇒ `_ContentOriginNoStray` 残余非 never ⇒ tsc 红。
- * 单向钉挡不住第二种(手滑把 `"local"` 打成 `"locale"` 只会让一个合法声明被静默拒),所以两条都要。
- */
-import type { ToolContentOrigin } from "@sema-agent/core";
-/** core `ToolContentOrigin` 的执法副本 —— **唯一**一份(见模块头注)。 */
-export declare const CONTENT_ORIGIN_WORDS: readonly ["local", "execution", "external"];
-/**
- * 词表内?—— 两个平面共用的**那一只**谓词。
- *
- * 🔴 严判:非串(数字 / 布尔 / null / 对象)与大小写不符(`"LOCAL"`)一律**不在词表内**。core 的
- * `ToolContentOrigin` 是字面量联合,不做规范化;本层替它「宽容一下」等于自造第二份值域语义,而这条
- * 轴上宽容的方向恰好是**放宽信任**(把一个写坏的声明当成 `"local"` 读)。
- */
-export declare function isContentOriginWord(v: unknown): v is ToolContentOrigin;
-/** 坏值的**可打印**摘要(进 400 文案 / warn 元数据)——中和 + 截长,绝不把任意长度的调用方输入原样回显。 */
-export declare function describeBadContentOrigin(v: unknown): string;
-//# sourceMappingURL=mcp-content-origin.d.ts.map

package/dist/mcp-content-origin.js

@@ -1,10 +0,0 @@
-export const CONTENT_ORIGIN_WORDS = ["local", "execution", "external"];
-const WORDS = new Set(CONTENT_ORIGIN_WORDS);
-export function isContentOriginWord(v) {
-    return typeof v === "string" && WORDS.has(v);
-}
-export function describeBadContentOrigin(v) {
-    const raw = typeof v === "string" ? JSON.stringify(v) : v === null ? "null" : Array.isArray(v) ? "array" : typeof v;
-    return raw.length > 64 ? `${raw.slice(0, 64)}…` : raw;
-}
-//# sourceMappingURL=mcp-content-origin.js.map

package/dist/tool-axis-words.d.ts

@@ -1,27 +0,0 @@
-/**
- * S-249(DT-13)—— per-tool **风险轴覆写**的值域词表与谓词(读者:**A2A 请求腿**;以及一次性迁移 M19 的升级前读法 `stored-request-tool-axes-m19.ts`,随 M19 的登记行退役)。
- *
- * ## 历史与现状
- * 修前 `task-mcp.ts` 与 `task-a2a.ts` 各自在请求腿上逐键校验同一个三成员结构(`effect` / `egress` / `irreversibility`),两个**闭集词表**是手抄的字面串,
- * 没有一份钉在 core 的型上;S-249 把词表收到本文件并**两向钉死在 core 的型上**(core 加词 ⇒ 正向门红;本表留了 core 已没有的词 ⇒ 反向门红),两条腿读同一只谓词。
- *
- * 之后 MCP 面的 `toolAxes` 判官整个换给了**引擎**:core 7.51.2 起根导出 `readMcpToolAxes`(整份声明一坏全拒、不默认),部署腿(`web-admin-client/skills-mcp.ts`)
- * 与请求腿(`task-mcp.ts`)都问它,本仓不再有 MCP 面的自铸读者、也不再 import 本文件的谓词。**A2A 面引擎没有对应的判官**(core 暂无 `readA2aToolAxes`),
- * 所以 A2A 请求腿(`task-a2a.ts`)仍用本文件的谓词;引擎一旦给 A2A 也立一只判官,本文件随之退役。另一个读者是 M19 的迁移读者:续跑重放腿把升级前存下的
- * `mcpServers[].toolAxes` 按升级前那只读者的读法重读一次(产物再交引擎的判官),那段读法当年就读本文件的谓词,逐字搬回;它不是 MCP 面的第二只判官。
- *
- * 下面的同型钉(A2A 的轴型与 MCP 的轴型逐字同声明)仍有意义:A2A 的词表跟着引擎 MCP 面的轴型走,哪一边加词、改词,另一边在这里当场红。
- *
- * 🔴 **只管值域,不管处置**:A2A 腿对坏值的处置是整条拒(MCP 面是引擎判官的「整份全拒」;两面方向一致),M19 的迁移读者剔坏成员(升级前的读法),判据与理由写在各自的调用点。
- */
-import type { McpServerSpec, ToolEffect } from "@sema-agent/core";
-/** 一条 per-tool 轴覆写的形。取 MCP 那一面作代表 —— 下面的同型钉证明 A2A 面与它逐字同声明。 */
-export type ToolAxisEntry = NonNullable<McpServerSpec["toolAxes"]>[string];
-/** 轴覆写上那个**两词**的不可逆档(⚠️ 与 `AskOrigin` 面的**三词** `never|maybe|always` 不是同一个词表:
- *  覆写面只收两极,`maybe` 是引擎按工具自己的声明定的,调用方说不出口)。 */
-export type ToolAxisIrreversibility = NonNullable<ToolAxisEntry["irreversibility"]>;
-/** 值是不是一个合法的 `effect` 词(A2A 请求腿与 M19 的迁移读者读它)。 */
-export declare function isToolEffect(v: unknown): v is ToolEffect;
-/** 值是不是一个合法的**覆写面** `irreversibility` 词(A2A 请求腿与 M19 的迁移读者读它)。 */
-export declare function isToolAxisIrreversibility(v: unknown): v is ToolAxisIrreversibility;
-//# sourceMappingURL=tool-axis-words.d.ts.map

package/dist/tool-axis-words.js

@@ -1,9 +0,0 @@
-const TOOL_EFFECT_WORDS = ["read", "write", "idempotent"];
-const TOOL_AXIS_IRREVERSIBILITY_WORDS = ["always", "never"];
-export function isToolEffect(v) {
-    return typeof v === "string" && TOOL_EFFECT_WORDS.includes(v);
-}
-export function isToolAxisIrreversibility(v) {
-    return typeof v === "string" && TOOL_AXIS_IRREVERSIBILITY_WORDS.includes(v);
-}
-//# sourceMappingURL=tool-axis-words.js.map

package/dist/wire-name-bound.d.ts

@@ -1,14 +0,0 @@
-/**
- * 这个申报名能用吗 —— 四个收口共用的**那一只**谓词。
- *
- * 严判:非串、空串、超 `TOOL_WIRE_NAME_MAX_CHARS` 一律不可用。本层不做截断/规范化 —— 截短一个名字
- * 就是**换一个身份**(core 自己 7.13.0 起正是为此把截断改成拒),而被换掉身份的那台 server 上挂的
- * allowTools / toolFaces 收窄声明会一起对不上号。
- */
-export declare function isUsableWireName(v: unknown): v is string;
-/**
- * 坏名的**可打印**摘要(进 warn 元数据)——中和 + 截长,绝不把任意长度的申报串原样回显进日志。
- * 长度如实带上:运维要的是「我那个名字长了多少」,不是一屏乱码。
- */
-export declare function describeBadWireName(v: unknown): string;
-//# sourceMappingURL=wire-name-bound.d.ts.map

package/dist/wire-name-bound.js

@@ -1,13 +0,0 @@
-import { TOOL_WIRE_NAME_MAX_CHARS } from "@sema-agent/core";
-export function isUsableWireName(v) {
-    return typeof v === "string" && v.length > 0 && v.length <= TOOL_WIRE_NAME_MAX_CHARS;
-}
-export function describeBadWireName(v) {
-    if (typeof v !== "string")
-        return v === null ? "null" : Array.isArray(v) ? "array" : typeof v;
-    if (v.length === 0)
-        return "empty";
-    const head = v.length > 32 ? `${JSON.stringify(v.slice(0, 32))}…` : JSON.stringify(v);
-    return `${head} (${v.length} chars > ${TOOL_WIRE_NAME_MAX_CHARS})`;
-}
-//# sourceMappingURL=wire-name-bound.js.map