@sema-agent/server 7.133.0 → 7.135.0

package/dist/http/wire-types.d.ts

@@ -77,6 +77,12 @@ export interface TaskRequestBody {
      *  只在非缺省风格时声明。值形的属主是引擎(`{ name, turnReminder? }` 恰两键、`name` 非空且 ≤ `OUTPUT_STYLE_NAME_MAX`、`turnReminder` 在场即非空串):
      *  本服务**不另判**,坏值在 prepare 被引擎拒 `config.output_style_invalid`(不会被静默忽略)。能力位 `outputStyle`。 */
     outputStyle?: TaskSpec["outputStyle"];
+    /** 7.135.0(core 7.55.0):这一条 run 不读部署的项目上下文(引擎 `TaskSpec.projectMemory`,唯一的词 `"disabled"`):带这个词的腿引擎不调
+     *  `RunnerDeps.loadProjectMemory` —— 项目层、声明的指令文件、它们喂的那几处一并缺席(引擎自己的 git 状态车道、记忆引擎、技能 / hooks / MCP 不受影响)。
+     *  原样投给引擎;拼写门与 `fileHistory` 同一张单成员关断词表(`request-value-closure.ts`:别的值 fresh 400 `request.field_invalid`、续跑重放同判),
+     *  引擎读到的恒是这一个词;子代随父继承(引擎的夹紧表)。
+     *  本服务自铸的 `wiring_manifest.instructions` 段在这样的腿上缺席(loader 没被调就没有陈述)。能力位 `projectMemory`。 */
+    projectMemory?: TaskSpec["projectMemory"];
     /** Explicit model selection (CLI `/model` picker + `run --model <ref>`). An INTENT by catalog
      *  name (e.g. "deepseek-pro") — resolveSpec gates it against the SAME allow-list as an inline `@name` mention
      *  (config.models keys), so it picks WHICH configured model but can never inject one. Wins over an inline
@@ -112,7 +118,7 @@ export interface TaskRequestBody {
      *  content in the user's OWN principal-isolated task (self-harm surface, not privilege widening);
      *  scenario/center skills remain the only trusted layer.
      *
-     *  🔴 **类型 = core 的 `SkillSpec` 本体,不是它的手抄子集**(S-377):这里曾写死
+     *  🔴 **类型 = core 的 `SkillSpec` 本体,不是它的手抄子集**([ref]):这里曾写死
      *  `{ name; description; content }` —— core 闭集六位里的三位,而 `manifest` / `files` / `baseDir`
      *  三位在运行期一直是**收的**(受理门 `validateUserSkills` 不判未知键,`mergeUserSkills` 原样透传到
      *  `TaskSpec.skills`)。一份会漂的手抄 = 声明面比真受理面**窄**,SDK 消费方按声明写代码就以为发不了,
@@ -199,13 +205,13 @@ export interface TaskRequestBody {
      *  value is the same handle as `resumeAt` (the prompt's taskId); the service resolves it → the entry id. Honored ONLY
      *  when `resumeAt` is ABSENT (the two modes are mutually exclusive). Requires the anchor map + a FileHistoryStore. */
     rewindFilesTo?: string;
-    /** S-724(core 7.31.0 #1048 `TaskSpec.fileHistory`)—— 请求级的**文件历史关断词**,唯一词 `"disabled"`(core 的拼法,
+    /** [ref](core 7.31.0 [ref] `TaskSpec.fileHistory`)—— 请求级的**文件历史关断词**,唯一词 `"disabled"`(core 的拼法,
      *  与 `checkpointStore` 同;没有 `"enabled"` —— 缺席就是「部署说了算」的唯一形,声明只能单向收紧)。`"disabled"` ⇒
      *  这条 run 零历史店调用:编辑照常落盘,但不做首次触碰备份、不铸回合边界、不做 fork 携带;委派出去的子代继承
      *  (core `ParentSpecSeat` 从本位铸,本仓零接线)。`wiring_manifest.fileHistory` 报 `"disabled"`。
      *  同一个提交里再要还原(`restoreFiles` / `rewindFilesTo` / 退役 `rewindFiles`)= 体内矛盾 ⇒ **受理时** 400
      *  `request.field_conflict`(`request-value-closure.ts` 的 `FILE_HISTORY_DISABLED_NO_RESTORE`):立门时 core 的 `rewind.capture_disabled`
-     *  落在会话按 `resumeAt` 分叉之后、拒后不回滚,所以本层在副作用之前拒(S-865 / core 7.35.0 #1195 起 core 在分叉**之前**拒,
+     *  落在会话按 `resumeAt` 分叉之后、拒后不回滚,所以本层在副作用之前拒([ref] / core 7.35.0 [ref] 起 core 在分叉**之前**拒,
      *  本层 400 照旧有效)。续跑腿不过这道门。
      *  ⚠️ 拼写门**两腿同判、响亮拒**:fresh 400 `request.field_invalid`;resume 重放同判(与 `memoryCapture` / `memory`
      *  同一张单成员闭集表,`request-value-closure.ts` 的 `singleMemberOffFieldIssue`)。
@@ -240,7 +246,7 @@ export interface TaskRequestBody {
      *  core 默认开列表注入的通道)与三个 deadline opt-out 在类型面失踪。agentListing/skillsListing 是
      *  boolean 透传(core DEFAULT-ON,explicit false 才关);budgetUsd/mcpInstructions 只认 literal true;
      *  limits 三个 opt-out 只认 literal false(normalizer 同判)。 */
-    /** core 7.39.0 #1254:`planModeReminder` 退役(硬破坏,零别名)—— 提交即 400 点名退役;plan 姿态由引擎从 `permissionMode:"plan"` 自己陈述。 */
+    /** core 7.39.0 [ref]:`planModeReminder` 退役(硬破坏,零别名)—— 提交即 400 点名退役;plan 姿态由引擎从 `permissionMode:"plan"` 自己陈述。 */
     attachments?: {
         todoReminder?: boolean;
         todoReminderMode?: "baseline" | "off";
@@ -261,7 +267,7 @@ export interface TaskRequestBody {
     forwardSubagentEvents?: boolean;
     /** G3([ref] 壳侧承诺③/[ref]③):壳供 per-session scratchpad 路径(壳 vendored getScratchpadDir 的
      *  约定路径)。接受后优先于 server 自算,同源喂 envFacts.scratchpadDir 宣告(core 据它开根围栏的洞,
-     *  S-842 起是唯一写者,引擎的模式门也据它免问)—— 壳提示词与引擎的写根指同一个目录。验收 fail-closed(单用户 +
+     *  [ref] 起是唯一写者,引擎的模式门也据它免问)—— 壳提示词与引擎的写根指同一个目录。验收 fail-closed(单用户 +
      *  host-semantics lane + 绝对路径/深度/长度门,规则在 env-facts.acceptShellScratchpadDir),拒收形
      *  warn 后回落自算——「没到货引擎忽略 = 无害 additive」的对偶:异形键忽略,任务照跑。 */
     scratchpadDir?: string;
@@ -288,7 +294,7 @@ export interface TaskRequestBody {
      *  it takes the same single-user gate as backgroundShell/hooks (multi-tenant warns + ignores; advertised via
      *  capabilities.retainBackgroundProcesses). Boolean fail-loud at submit; only `true` rides the spec. */
     retainBackgroundProcesses?: boolean;
-    /** S-493(core 7.8.0 [ref] `TaskSpec.excludeAllTools`,cli L-207 / 板 [ref]): **整只工具面卸载**
+    /** [ref](core 7.8.0 [ref] `TaskSpec.excludeAllTools`,cli [ref] / 板 [ref]): **整只工具面卸载**
      *  —— 调用方工具、脚手架、手、MCP、skills 一个都不挂,模型这一 run 里没有任何工具可调、终局是纯文本。
      *
      *  🔴 **与 {@link excludeTools} 是两种语义,刻意不折叠**:`"*"` 是一个合法的调用方工具名,所以「卸全部」
@@ -300,7 +306,7 @@ export interface TaskRequestBody {
      *  探测:本键在不在受理面由**键闭集**自己回答 —— 没接线的 server 版本对它 400 `request.body_shape`
      *  并逐字列名,所以**不加能力位**(一个键一条探测路,不长第二条)。 */
     excludeAllTools?: boolean;
-    /** S-946(cli L-920 请托;CC 2.1.280 `--disable-slash-commands`「Disable all skills」,cli280.js:240760 整张命令表置空):
+    /** [ref](cli [ref] 请托;CC 2.1.280 `--disable-slash-commands`「Disable all skills」,cli280.js:240760 整张命令表置空):
      *  **这一发一只技能都不装** —— 场景出厂技能(启动期烤入 + 中心下发)、调用方 `skills`、子代定义的 `agents[].skills`
      *  一个都不进 `TaskSpec`。`true` ⇒ `TaskSpec.skills = []`(core 对空表:零 `<skills>` 块、`Skill` 工具不挂);
      *  `false` / 缺席 = 技能照旧。值形门与 {@link excludeAllTools} **同一只**(非 boolean ⇒ 400 `request.field_invalid`);
@@ -308,10 +314,11 @@ export interface TaskRequestBody {
      *  续跑重放逐字重放存量体 ⇒ 同一只写点同判(坏形 defensive:只认 literal `true`)。无租户门(收窄,不跨租户)。
      *  探测位 `GET /v1/capabilities` 的 `disableSkills`(与本键同一个词)。 */
     disableSkills?: boolean;
-    /** core 7.41.0 #1303 —— **人用名字点过的技能**(壳从人敲的 `/name` 解析出来的,按 `SkillSpec.name`),原样交给 core 的
+    /** core 7.41.0 [ref] —— **人用名字点过的技能**(壳从人敲的 `/name` 解析出来的,按 `SkillSpec.name`),原样交给 core 的
      *  `TaskSpec.userInvokedSkills`:这些技能的 `allowedTools` / `disallowedTools` 开跑即生效,不出 `Skill` 卡(人自己点的名就是那句表态),
      *  只管这一次 run(steer 不终止它,下一次 run 不带)。每个名字必须是这一 run 装着的技能(场景出厂 ∪ 本请求 `skills`),否则引擎
-     *  拒启 `config.user_invoked_skill_unknown`(同步腿 400)。值形:非空串数组(受理门 400 `request.field_invalid`);续跑重放逐字重放存量体,
+     *  拒启 `config.user_invoked_skill_unknown`(同步腿 400)。场景出厂那一半的名字从场景卡读(`GET /v1/capabilities/scenarios/:name` 的 `skills[].name`,
+     *  能力位 `scenarioSkills`;[ref])—— 拒句里的名字是引擎的散文,不是契约。值形:非空串数组(受理门 400 `request.field_invalid`);续跑重放逐字重放存量体,
      *  坏形不挂键。不投递技能正文(正文照旧由 `Skill` 工具 / 调用方负责)。 */
     userInvokedSkills?: string[];
     /** [ref]② (core 1.314 工具面控制批): roster 真卸载清单(schema 不上 wire,manifest 收窄)。wire 工具名;
@@ -319,7 +326,7 @@ export interface TaskRequestBody {
      *  读成空的条目(退役拼法 `bash`、大小写孪生 `BASH`、任何工具名都不可能有的拼法、`*`)7.131.0 起受理口 400 `config.tool_face_control` 并点名现名
      *  (拒侧读成空 = 放行,不照跑);读得出的名字与真未知名(拼写合法、没有近似也没有退役对应)照收。 */
     excludeTools?: string[];
-    /** S-1448(core 7.49.0 #1623,[ref]):引擎的**可用性选择器** —— 这一 run 只用列出的工具(wire 名、别名、`Tool(content)` 整只、
+    /** [ref](core 7.49.0 [ref],[ref]):引擎的**可用性选择器** —— 这一 run 只用列出的工具(wire 名、别名、`Tool(content)` 整只、
      *  `mcp__srv` / `mcp__srv__*` / 工具段通配;`"*"` = 本层不设名单;`[]` = 什么都不给)。宿主**原样透传**进 `TaskSpec.allowTools`:
      *  不算补集、不过滤、不与 `settings.permissions.allow`(免问)混词;真未知名(拼写合法、没有近似也没有退役对应:懒挂载的合法形)照跑(原样保留,今天什么都不准,之后挂上同名工具即生效;引擎告知运维一次),
    *  任何工具名都不可能有的拼法由引擎开跑前拒(`config.tool_face_control`,同步腿 400);7.131.0 起受理口另拒近似名(大小写孪生 `BASH`:想放的什么也没放 = 静默收窄,句子点名现名);
@@ -381,7 +388,7 @@ export interface TaskRequestBody {
      *  记忆面暗的部署(引擎未接线 / 多租户)上本键随 `memory` 整体缺席而无处落 —— 那里本就零采集。
      *  Rides the persisted body onto resume legs(与 memoryWrite 同姿势)。 */
     memoryCapture?: "off";
-    /** core [ref] r5 §5 W3(server S-405):**请求级「记忆整面关」声明** —— `"off"` = 这一次运行**不挂记忆面**
+    /** core [ref] r5 §5 W3(server [ref]):**请求级「记忆整面关」声明** —— `"off"` = 这一次运行**不挂记忆面**
      *  (没有 `# Memory` 段/索引/三只记忆工具/写准入)。单成员闭集,**没有** `"on"`(缺席就是记忆照常挂的唯一形;
      *  声明只能单向收紧)。透传为 `TaskSpec.memory.enabled:false` —— ⚠️ **保留事实,不折成整键缺席**:core 的
      *  终局观测面把「有 spec 但被关」读作 `reason:"disabled"`、把「没有 spec」读作 `reason:"no-spec"`,审计上
@@ -402,10 +409,10 @@ export interface TaskRequestBody {
      *  记忆面暗的部署(引擎未接线 / 多租户)上 `memory` 整键本就缺席,本声明无处落也无事可关。
      *  Rides the persisted body onto resume legs(与 `memoryWrite` 同姿势)。
      *  ✅ **子代地板自 core 7.22.0 到货,本仓零接线**:core 的 `parentSpecSeatOf` 从**这条 run 自己的**
-     *  `spec.memory.enabled === false` 铸 `ParentSpecSeat.memoryOff`,`applyParentSpecSeat` 作**无条件
-     *  REMOVAL** 施加(改写成 `{ …子代自己的 scopes, enabled:false }`,永不删键)⇒ 父关 ⇒ 子代 / 孙代 /
+     *  `spec.memory.enabled === false` 铸座位的 `memory: { enabled: false }`(core 7.54.0 起是夹表座的一行;此前叫 `memoryOff`,已退役),
+     *  `applyParentSpecSeat` 按表**夹**到子代上(改写成 `{ …子代自己的 scopes, enabled:false }`,永不删键;子代的 `enabled:true` 抬不起)⇒ 父关 ⇒ 子代 / 孙代 /
      *  workflow 子 spec / 跨 run 唤醒与保留 resume 一律无记忆面。🚧 **tier-3 耐久复活不带**(core 已记残余)。
-     *  链路的机器锚:`test/memory-off-request.test.ts` ⑥ 段(亲读 core dist 的铸点与施加点)。 */
+     *  链路的机器锚:`test/memory-off-request.test.ts` ⑥ 段(经 core 包根 `parentSpecSeatOf` / `applyParentSpecSeat` 读铸与施)。 */
     memory?: "off";
     /** 142-S4 projectId 线程化([ref] §2):这个 run 归属的项目(center 登记簿键,generic lowercase
      *  UUID — core S1 `resolveProjectId` marker 或 S3 无仓 mint 的产物;客户端只透传,零铸造权威)。是「哪个
@@ -419,15 +426,15 @@ export interface TaskRequestBody {
     projectId?: string;
     /** [#40 / TOC cwd seam, SDK 0.0.36] The TOC client's launch directory — the agent's HOST execution-env workspace
      *  runs HERE (CC-parity: `sema` in a project dir operates on THAT project). An ABSOLUTE host path. 🔒 honored ONLY
-     *  on the single-user `host` lane (see task-cwd.ts `cwdHonored`); IGNORED on cloud/container lanes + multi-tenant
+     *  on the single-user `host` lane or the `device` lane (deployment-shape row `callerCwd`); IGNORED on cloud/container lanes + multi-tenant host
      *  (a caller can't point a shared/cloud worker at an arbitrary host path). Validated absolute (prepareSpec 400s a
      *  relative cwd — it would silently resolve against the SERVICE process cwd). */
     cwd?: string;
     /**
-     * S-895(7.106.0,core [ref] [ref] ②)—— 模型驱动的 host shell **继承多少用户环境**,由调用方按请求声明。
+     * [ref](7.106.0,core [ref] [ref] ②)—— 模型驱动的 host shell **继承多少用户环境**,由调用方按请求声明。
      * 闭集两词(词表外 ⇒ 400 `request.field_invalid`,两腿同判,判据属主 `request-value-closure.ts` 的 `inheritEnvFieldIssue`):
      *  · `"all"` —— 整份用户环境**减本服务自有凭据名**(配置目录 secret 名 / 名单型旋钮名 / 模型条目 `apiKeyEnv`,起服向引擎声明一次,判在引擎;7.129.0 起,CC 交互形);只在**单用户**部署兑现,射程 = 写容纳面那一只
-     *    `hostPostureDeclarationsHonored`(`hosted-posture.ts`)⇒ 托管部署(`REQUIRE_PRINCIPAL=true`)响亮拒
+     *    部署形表行 `taskHostPostureDeclarations`(`deployment-shape.ts`)⇒ 托管部署(`REQUIRE_PRINCIPAL=true`)响亮拒
      *    422 `request.host_posture_refused`;
      *  · `"scrub"` —— 缺省清洗(剥凭据形变量),**任何车道、任何部署**都受理(它就是缺省;7.106.0 合并复审 X7)。
      * **缺席 = 缺省清洗**:不带键的请求把本会话的绑定清掉(不继承上一条请求的声明 —— 这一位是「本条请求要什么」,
@@ -439,7 +446,7 @@ export interface TaskRequestBody {
      */
     inheritEnv?: "all" | "scrub";
     /**
-     * S-470(device lane 首绑写协议,design `device-executor-lane-v2` §4.3.2)—— 这条**根会话**要执行在
+     * [ref](device lane 首绑写协议,design `device-executor-lane-v2` §4.3.2)—— 这条**根会话**要执行在
      * 哪台已注册的员工设备上(`POST /v1/devices/enroll` 返回的 `dev_<ulid>`)。
      *
      * 与 {@link cwd} **同级同信任姿势**:调用方供给、server 闸裁 —— 它不是身份,身份恒取验证过的
@@ -455,7 +462,7 @@ export interface TaskRequestBody {
     deviceId?: string;
     /** [ref] (CC `--add-dir`, core `TaskSpec.additionalDirectories`): extra host dirs the FILE tools may reach
      *  beyond the containment root. 🔒 Gated exactly like `cwd`/`shellEnv` — honored ONLY on the single-user host
-     *  lane (`task-cwd.ts` `cwdHonored`); off that lane `boot/resolve-spec.ts` drops them with a loud
+     *  lane (deployment-shape row `callerOwnsWorkerDisk`); off that lane `boot/resolve-spec.ts` drops them with a loud
      *  `task_additional_directories_ignored` (never silently). SHAPE is fail-loud at submit (absolute host paths,
      *  no `..` segments, ≤ MAX_ADDITIONAL_DIRS entries) — separate from whether the lane honors them.
      *  `additionalReadDirectories` (core 5.11.0) is the same door with a READ-only semantic: it widens the read
@@ -490,7 +497,7 @@ export interface TaskRequestBody {
      *  NOT mirrored here — a hand-written second shape on this interface would be the classic mirror-drift form.
      *  Per-key ownership is split, not single: `parseTaskSettings` (src/task-settings.ts) defensively owns the
      *  shared settings keys on every path, while `settings.webSearch` has its OWN judge (plugins/web-search.ts
-     *  `judgeRequestWebSearch`, S-199): a malformed block — including a missing or unknown `provider` — 400s on submit
+     *  `judgeRequestWebSearch`, [ref]): a malformed block — including a missing or unknown `provider` — 400s on submit
      *  on every lane, and only the single-user
      *  scenario lane honors a well-formed one (capabilities/scenarios.ts — the multi-tenant lane ignores it by design;
      *  a malformed block replayed on resume mounts no WebSearch for that call — never a substitute destination — with a
@@ -526,7 +533,7 @@ export interface TaskRequestBody {
      *  (完整论证见 `task-mcp.ts` 的 `assertRequestMcpEntries` 顶注)。部署面的正门是 center 下发的
      *  `CenterMcpServer.contentOrigin`。
      *
-     *  S-1515:`transport.kind:"http"` 的条目可选 `assertionHeader`(托管连接器断言头的**头名**,契约包 settings-schema ≥12.2.0 同键)。
+     *  [ref]:`transport.kind:"http"` 的条目可选 `assertionHeader`(托管连接器断言头的**头名**,契约包 settings-schema ≥12.2.0 同键)。
      *  与 `principalHeader` **互斥**:同设 ⇒ 新提交腿同步 400 `request.body_shape`(拒句与契约包解析期那一句逐字相同);值不是字符串 ⇒ 400
      *  `request.field_invalid`。耐久 resume 腿不拒(重放存量 body),也**不摘 server**(摘了,park 在它工具审批上的任务批准后撞 `resume.tool_unavailable`
      *  且每次重试重放同一份 body):降级到升级前的读法 —— server 照挂、`principalHeader` 胜、`assertionHeader` 不生效,一行 warn `mcp_assertion_header_ignored`。
@@ -572,6 +579,10 @@ export type DecideBinding = {
     boundInputHash?: string;
     /** [ref] edit: operator-corrected tool args, applied by core AFTER the binding check, on approve only. */
     updatedInput?: unknown;
+    /** core 7.54.0: the words the approving person wrote on the card ("and tell the agent what to do next"). The decide door admits
+     *  the key only on a person's `approve` (a `deny` or a policy decide with it is a 400 `request.field_conflict`), and the outcome
+     *  mints carry it verbatim when present — the engine owns what counts as written (blank = nothing) and judges it again pre-CAS. */
+    feedback?: string;
 };
 /** [ref]([ref]④→[ref] 坐标轮换判定):409 `approval_stale` 拒体上的 additive 机读指路 ——
  *  **本会话当前 pending** 的 D-1 回显坐标,让持旧坐标的壳一跳重定位(免重拉列表)。
@@ -586,7 +597,7 @@ export type ApprovalStaleCurrentPending = {
     /** 当前 pending 的 server 铸 `boundInputHash`(行上有才带;逐字回显,壳不重算)。 */
     boundInputHash?: string;
 };
-/** S-528 —— `wiring_manifest` **起手接线回执**在 wire 上的值形。
+/** [ref] —— `wiring_manifest` **起手接线回执**在 wire 上的值形。
  *
  *  🔴 **从投影器的返回型派生,不手抄键**:键表的唯一属主是 `trace/project.ts` 的
  *  {@link wiringManifestFaceEventData}(它自己又把 `tools` 段的判形属主让给 core 的 typebox schema)。
@@ -596,11 +607,11 @@ export type ApprovalStaleCurrentPending = {
  *  `unknown`,产物按段 present-iff 铸)。所以这一行**不**声称「wire 上的每一段都有静态型」;它声称的是
  *  「这一键的值恒等于那只投影器的产物」,而那正是消费端唯一需要的那句话。段级判据的属主在 core。 */
 export type WiringManifestReceipt = ReturnType<typeof wiringManifestFaceEventData>;
-/** S-173 —— `POST /v1/tasks`(**非流式**)200 体的值形(不含下方 {@link SyncSubmitExtraKeys}),**从铸点返回型派生**:
+/** [ref] —— `POST /v1/tasks`(**非流式**)200 体的值形(不含下方 {@link SyncSubmitExtraKeys}),**从铸点返回型派生**:
  *  「封口脱敏后的引擎结果」,park 时再叠 poll 回执三键 `{taskId, sessionId, status}`。键表的唯一属主是
  *  `http/sync-submit-body.ts` 的 `buildSyncSubmitBody`(结果的键集属主是 core `TaskResult`),这里不手抄一张。 */
 export type SyncSubmitBody = ReturnType<typeof buildSyncSubmitBody>;
-/** S-528 —— `POST /v1/tasks`(**非流式**)200 体在 {@link SyncSubmitBody}(引擎结果 / park 回执)之外带的**附加键**。
+/** [ref] —— `POST /v1/tasks`(**非流式**)200 体在 {@link SyncSubmitBody}(引擎结果 / park 回执)之外带的**附加键**。
  *
  *  两键都是 **additive + present-iff**,同一只装饰点铸(`routes/tasks.ts` 的 `withSyncSubmitKeys`),
  *  所以三处 200 出口(终局 / suspended / needs_review)与幂等重放腿自动同形:

package/dist/index.d.ts

@@ -23,6 +23,8 @@ export { ensureTiDBTaskListSchema, ensurePgTaskListSchema } from "./plugins/task
 export { createAuthorizer, principalFrom, HttpError, type AuthContext, type OwnerAwareSessionStore, } from "./security.js";
 export { memoryScopeFor, memoryEngineBackendFor } from "./memory-scope.js";
 export type { TaskRequestBody } from "./http/wire-types.js";
+export { ensureCheckpointCtxSealing } from "./sealed-key.js";
+export type { CheckpointCtxSealing } from "./http/checkpoint-ctx.js";
 export { createHttpServer, type ServiceDeps, type RequestAuth, type FlatServiceDeps, type ServiceDepGroups, type ServiceCoreDeps, type ServiceStoreDeps, type ServiceCoordinatorDeps, type ServiceSeamDeps, type ServiceObservabilityDeps, type ServiceGovernanceDeps, type ServiceDeploymentDeps, type ServiceKnobDeps, } from "./http/server.js";
 export { createSideQueryLane, type KeyResolver, type SideQueryLane, type SideQueryLaneCtx } from "./boot/side-query-lane.js";
 export { createKeyResolver, resolveModelApiKey, type ModelKeyRef } from "./key-resolver.js";

package/dist/index.js

@@ -20,6 +20,7 @@ export { createTaskListLane, taskListKeyFor, MAX_TASK_LIST_SESSIONS } from "./bo
 export { ensureTiDBTaskListSchema, ensurePgTaskListSchema } from "./plugins/task-list-store-sql.js";
 export { createAuthorizer, principalFrom, HttpError, } from "./security.js";
 export { memoryScopeFor, memoryEngineBackendFor } from "./memory-scope.js";
+export { ensureCheckpointCtxSealing } from "./sealed-key.js";
 export { createHttpServer, } from "./http/server.js";
 export { createSideQueryLane } from "./boot/side-query-lane.js";
 export { createKeyResolver, resolveModelApiKey } from "./key-resolver.js";

package/dist/instruction-source-notice.d.ts

@@ -1,5 +1,5 @@
 /**
- * S-690 —— 项目指令文件**换源**通告(`engine_notice` 码 `instructions.source_changed`)的唯一铸点与基线属主口。
+ * [ref] —— 项目指令文件**换源**通告(`engine_notice` 码 `instructions.source_changed`)的唯一铸点与基线属主口。
  *
  * ## 这件事为什么归本仓
  * 选哪一份指令文件是**部署的内容半场**(`project-memory.ts` 的 `INSTRUCTION_FILE_CHAIN`;core 的 `loadProjectMemory`
@@ -29,7 +29,7 @@
  * 这条 run 的账本)。向 core 要 ctx 加 runId 已登记为未闭环项。
  */
 import type { EngineNotice, EngineNoticeCode } from "@sema-agent/core";
-/** 码常量型 = core 码册(#1240 入册:受众 user、铸者 `NOTICE_MINTER` = `"server"`)。 */
+/** 码常量型 = core 码册([ref] 入册:受众 user、铸者 `NOTICE_MINTER` = `"server"`)。 */
 export declare const INSTRUCTION_SOURCE_CHANGED: EngineNoticeCode;
 /** 基线读数。`recorded: false` = 这个会话还没有任何 run 记过基线(首 run ⇒ 只写不发);`source: null` = 记过,且那一次
  *  没有项目指令文件被选中。两态必须可判别:把「没记过」读成「记过没有」会让新会话首 run 发一帧 `null → CLAUDE.md`。 */

package/dist/key-resolver.d.ts

@@ -1,5 +1,5 @@
 import type { Model } from "@sema-agent/core";
-/** 托管密钥解不开的三个成因(**托管**失败;密文形错归 S-704 `config.model_entry_invalid`,旧词 `unsupported_alg` 已随之退役)。 */
+/** 托管密钥解不开的三个成因(**托管**失败;密文形错归 [ref] `config.model_entry_invalid`,旧词 `unsupported_alg` 已随之退役)。 */
 export type SealedCustodyPoisonReason = "sealed_decrypt_failed" | "stale_ciphertext" | "no_key_store";
 /** 毒丸成因全集(闭集;拒句按它穷举)。 */
 export type ModelKeyPoisonReason = SealedCustodyPoisonReason | "env_missing";
@@ -62,7 +62,7 @@ export declare class ModelKeyPoisonedError extends Error {
  * A model absent from BOTH maps returns `undefined`, so core falls back to the brain's construction-time
  * gateway key — that is the operator's choice (the entry declared no key of its own). A model that DECLARED
  * a key it cannot get (poisoned sealed key, or an `apiKeyEnv` whose variable is missing / empty in this
- * process) THROWS {@link ModelKeyPoisonedError} — never `undefined` (S-896). When no per-model keys are
+ * process) THROWS {@link ModelKeyPoisonedError} — never `undefined` ([ref]). When no per-model keys are
  * configured at all this returns `undefined`, leaving the spec field unset so core's default path is
  * byte-for-byte unchanged.
  *
@@ -97,7 +97,7 @@ export declare function modelKeyPoisonOf(modelName: string, modelApiKeyEnv: Reco
  * 被当成"没配 key"。链只有一条,重复实现就会长出这种半条链的偏差,故此处抽出同步内核共用。
  *
  * `undefined` = this model DECLARED no per-model key ⇒ the CALLER's gateway/default credential applies (the
- * additive contract). A declared env reference whose variable is missing or empty throws (S-896; 7.105.0 and
+ * additive contract). A declared env reference whose variable is missing or empty throws ([ref]; 7.105.0 and
  * earlier answered `undefined` there — the silent gateway fallback this family removes).
  */
 export declare function resolveModelApiKey(modelName: string, modelApiKeyEnv: Record<string, string>, env?: NodeJS.ProcessEnv, modelApiKeys?: Record<string, string | SealedCustodyPoison>): string | undefined;

package/dist/lane-home-probe.d.ts

@@ -73,7 +73,7 @@ export interface LaneHomeSeatOptions {
  */
 export interface LaneHomeConfig {
     /**
-     * S-213④ / core [ref] —— 运维声明的执行环境 **home 目录**(绝对路径,本环境自己的命名空间里;`REMOTE_EXEC_HOME_DIR`)。`~/…` 形权限规则(`Edit(~/.ssh/**)`)对**跑在本 env 里的调用**
+     * [ref]④ / core [ref] —— 运维声明的执行环境 **home 目录**(绝对路径,本环境自己的命名空间里;`REMOTE_EXEC_HOME_DIR`)。`~/…` 形权限规则(`Edit(~/.ssh/**)`)对**跑在本 env 里的调用**
      * 就以它为基。值由 `boot/execution-env.ts` 从**唯一属主** `execution-lane-caps.ts` 的 `executionLaneHomeDir` 递进来;adapter 不自算(两处各算一份 = 422 门与引擎对同一条规则给相反答案)。
      * 缺席 ⇒ 不声明:车道建环境时自己问执行环境的 `$HOME`({@link LaneHomeSeat});实测也缺席 ⇒ 本 env 的 `homeDir` 座缺席,core 对 `~/` 规则判 `unreadable`
      * (fail-closed 的 ask),绝不回落引擎进程自己的 home(那在远端腿上是另一个用户的另一个目录 —— 静默守错目录正是 [ref] 的病)。

package/dist/leader/diffout.d.ts

@@ -25,7 +25,7 @@ export interface PullDiffOptions {
     /** Fail-on-truncation cap (bytes). Default 5 MiB. */
     maxBytes?: number;
     signal?: AbortSignal;
-    /** Idle read timeout (E2B #1128 — never hang on an unreachable sandbox). Default 30s. */
+    /** Idle read timeout (E2B [ref] — never hang on an unreachable sandbox). Default 30s. */
     readTimeoutMs?: number;
 }
 export type PullDiffResult = {

package/dist/leader/diffup.d.ts

@@ -28,11 +28,11 @@ export declare function buildUploadScript(p: {
 /** The objective suffix that makes the upload the worker's last task step (no URL through the model). */
 export declare function uploadStepSuffix(workDir: string): string;
 /**
- * S-949 —— the INCREMENTAL upload loop's lifetime protocol (single writer; the wire only runs its two verbs).
+ * [ref] —— the INCREMENTAL upload loop's lifetime protocol (single writer; the wire only runs its two verbs).
  *
  * While a worker env lives, a background loop re-runs the staged upload script every {@link UPLOAD_LOOP_PERIOD_SEC}
  * seconds, so the worker's fixed diff key tracks its latest COMMITTED progress and salvage survives an env hard-crash
- * (#16 tail: run 019eca71's "4 commits vaporized"). The loop must NOT outlive the env: the pre-S-949 form
+ * (#16 tail: run 019eca71's "4 commits vaporized"). The loop must NOT outlive the env: the pre-[ref] form
  * (`nohup sh -c 'while true; …' &`) relied on "the pod dies, the loop dies", which holds only where the env IS a
  * pod — on an env whose shell is the host's (`RemoteHostExecutionEnv`, core `NodeExecutionEnv`) teardown does not
  * reap detached processes (by contract), and the loop became a ppid-1 orphan (254 of them on one box, 2026-10-01).

package/dist/leader/endpoint.d.ts

@@ -73,7 +73,7 @@ export declare function createLeaderEndpoint(runLeader: (body: LeaderRequestBody
     requiredFields?: readonly string[];
     /** [ref] 车4 件1:durable 登记表。缺席 ⇒ 显式的单副本内存降级臂(见文件头注)。 */
     store?: LeaderRunStore;
-    /** S-487 RH-3:「这个调用方读得到这一行 leader run 吗」—— 属主存取器的判官形(`http/owner-access.ts` 的 `createLeaderRunVisibility`,boot 装一次)。
+    /** [ref] RH-3:「这个调用方读得到这一行 leader run 吗」—— 属主存取器的判官形(`http/owner-access.ts` 的 `createLeaderRunVisibility`,boot 装一次)。
      *  必填:本模块不自判属主(修前手抄 `owner == null || owner === requester`,缺 [ref] C8 窄互认臂而注称 mirrors runOwnerOk),读面与幂等重放同读它。 */
     ownerVisible: (principal: string | null | undefined, owner: string | null | undefined) => boolean;
 }): LeaderEndpoint;

package/dist/leader/fanout.d.ts

@@ -51,7 +51,7 @@ export interface WorkerReport {
     checkpointGate?: CheckpointGate;
     /** [ref] Slice 6: the worker's terminal failure code (e.g. `limits.max_cost_exceeded` on an
      *  exhausted resume, `limits.max_turns_exceeded` — core 5.8.0 码名轴) — surfaced for /v1/leader observability.
-     *  S-136:源从 `TaskResult.errorCode` 换成因由 `failed` 臂的 `code`(本报告面的键名与形不变)。 */
+     *  [ref]:源从 `TaskResult.errorCode` 换成因由 `failed` 臂的 `code`(本报告面的键名与形不变)。 */
     errorCode?: string;
     /** LEADER-REPAIRLOOP-INTEGRATION §10.6 (THE push chokepoint): the `runRepairLoop` terminal a single-agent
      *  worker resolved to, when the repair loop ran on this worker (LEADER_REPAIR_LOOP on). It MUST ride on the

package/dist/leader/leader.d.ts

@@ -24,7 +24,7 @@ import { type UnattendedLegSpec } from "../unattended-permission-mode.js";
  *  the cause is `failed` with no nested park), `signal.aborted`, or `maxSlices` (a belt; core's ledger
  *  fail-fast + per-task suspend-loop cap are the primary bounds). Returns the final result.
  *
- *  🔴 S-136(core 7.6.0 D-8):判据从「两个平面键合读」(`checkpointToken` 在场 ∧ `checkpointGate.kind`)
+ *  🔴 [ref](core 7.6.0 D-8):判据从「两个平面键合读」(`checkpointToken` 在场 ∧ `checkpointGate.kind`)
  *  换成**一条因由**({@link pausedCauseOf}) —— 这条循环从一开始就刻意**不按 status 判**(顶注原话:
  *  「the verify wrapper may surface a suspend as failed-with-token」),因为嵌套边界会把 park 报成 failed;
  *  现在那件事是形状:两条路径同一个读法,而 token 与 gate 在同一个 `PausedCause` 上,不可能只有一半。
@@ -131,7 +131,7 @@ export interface LeaderDeps {
      *  reaction runs. (The suspended reaction itself — cancel the others, exempt the suspended worker, surface
      *  its token — is unconditional, not gated here.)
      *
-     *  🔴 S-113 / clay [ref] ④(7.83.0):**merge-conflict 不再是一条 replan 臂**。worker 分支合不上 ⇒ 不起
+     *  🔴 [ref] / clay [ref] ④(7.83.0):**merge-conflict 不再是一条 replan 臂**。worker 分支合不上 ⇒ 不起
      *  collapse 模型,`conflict` 段(分支 + 冲突文件)交给**用户**,见 {@link LeaderResult.conflict}。 */
     replan?: {
         /** Fan-out budget (USD, sum of worker costs). Exceeded → stop fan-out, collapse to single (C5). */
@@ -180,14 +180,14 @@ export interface LeaderResult {
     /** Set when planning/provisioning failed before fan-out. */
     error?: string;
     /** Replan-lite ([ref] §6): which trigger won arbitration + what was done.
-     *  🔴 S-113 / [ref] ④(7.83.0):闭集删掉 `"merge-conflict"`(硬 breaking,零别名——消费方的 tsc 红即通知)。 */
+     *  🔴 [ref] / [ref] ④(7.83.0):闭集删掉 `"merge-conflict"`(硬 breaking,零别名——消费方的 tsc 红即通知)。 */
     replan?: {
         trigger: "suspended" | "budget" | "verify-fail" | "worker-failed";
         redispatched?: string[];
         collapsed?: string;
     };
     /**
-     * 🔴 S-113 / clay [ref] ④(7.83.0)——**合不上 = 交给用户**(对齐 CC 形)。merge 的 `phase:"apply"` 冲突
+     * 🔴 [ref] / clay [ref] ④(7.83.0)——**合不上 = 交给用户**(对齐 CC 形)。merge 的 `phase:"apply"` 冲突
      * 不再起 collapse 模型:`ok=false` + 本段,用户拿 `workers[].branch` + `files` 自己 `git merge` / cherry-pick
      * (worker 分支本就留在集成沙箱 / 远端)。run 状态走既有第三终局 `needs_human`(endpoint 的状态映射),不加
      * 新状态词。**缺席何义** = 这一趟没有冲突,或对面是老 server。

package/dist/leader/merge.d.ts

@@ -5,7 +5,7 @@
  *   1. pull each worker's patch OUT of its container (M2 `pullDiff` — no creds go in).
  *   2. provision an EPHEMERAL no-net/no-creds integration sandbox (base pre-provisioned by the dep).
  *   3. `git apply --3way` each patch in sequence (conflict ⇒ TERMINAL: capture `.rej` + the conflict PATH list and
- *      hand them to the USER as {@link MergeConflict} — S-113 / clay [ref] ④; council#3's quarantine unchanged).
+ *      hand them to the USER as {@link MergeConflict} — [ref] / clay [ref] ④; council#3's quarantine unchanged).
  *   4. run the full test suite IN the sandbox (the gate; untrusted diff never touches the control plane — [26]§16).
  *   5. green → the **Coordinator** (trusted control plane, holds creds — NOT the sandbox, council#1) takes the
  *      integrated patch and pushes with CAS `--force-with-lease=<ref>:<baseSha>` (push race → retry — council#2).
@@ -58,7 +58,7 @@ export interface IntegrationRepair {
     }>;
 }
 /**
- * S-113 / clay [ref] ④ — **合不上 = 交给用户**(对齐 CC 形)。`git apply --3way` 冲突时的产出:冲突**路径**
+ * [ref] / clay [ref] ④ — **合不上 = 交给用户**(对齐 CC 形)。`git apply --3way` 冲突时的产出:冲突**路径**
  * (不含内容)+ 哪几只 worker 的补丁已经进树,由 leader 铸成 `LeaderResult.conflict` 段交到用户手上。
  * 本段刻意**只有路径与身份**,不把任何 worker 的 diff 交给模型。CC 对照(2.1.280 语料):`conflict resolution` 零命中,
  * `collapse` 的 169 处命中里没有一处与「把并行 worker 收成一个」相关(UI 折叠 / context collapse 一类);teammates 各一个
@@ -202,7 +202,7 @@ export declare function mergeBranches(reports: WorkerReport[], baseSha: string,
  *  所以一个真叫 `__PROBE_FAIL_grep` 的文件到达时是 `./__PROBE_FAIL_grep`,不与标记二义;把剥 `./` 挪到前面就静默破功。 */
 export declare const PROBE_FAIL_PREFIX = "__PROBE_FAIL_";
 /**
- * S-113 / [ref] ④ — 把 `grep -rIl` + `find` 的输出变成**冲突路径清单**(给用户,不含内容)。
+ * [ref] / [ref] ④ — 把 `grep -rIl` + `find` 的输出变成**冲突路径清单**(给用户,不含内容)。
  * 逐行:去掉 `./` 前缀、剥掉 `.rej` 后缀(`pkg/a.ts.rej` 与 `pkg/a.ts` 是同一处冲突的两种痕迹)、去重、
  * 按 {@link CONFLICT_FILES_MAX} 封顶并**交回是否截断**(F5:静默封顶会让用户把 200 当成全部)。两条命令合成
  * 一次 exec,所以 stdout 里两族路径混在一起 —— 本函数是它唯一的解释者。任一半探测失败 ⇒ 那一半打出

package/dist/leader/repair-wire.d.ts

@@ -83,7 +83,7 @@ export interface RepairWireCfg {
         verifierModelId: string;
     };
     /** Per-attempt observability callback. */
-    /** S-136(core 7.6.0 D-8):键名随 core 从 `terminal` 改成 `repairTerminal` —— `terminal` 这个名字在
+    /** [ref](core 7.6.0 D-8):键名随 core 从 `terminal` 改成 `repairTerminal` —— `terminal` 这个名字在
      *  `TaskResult` 上已经归**运行终局因由**所有,修复循环的判词与它同名会是两个不同东西共用一个名字
      *  (本仓 status/kind 同名词混淆病族)。 */
     onAttempt?: (info: {

package/dist/leader/wire.d.ts

@@ -1,5 +1,6 @@
 import { type Brain, type Model, type ModelRoles, type ModelPricing, type TaskSpec, type ExecutionEnvFactory, type RemoteExecutionEnv, type ToolResultStore, type SessionStore, type ExecutionEnv, type RunnerDeps } from "@sema-agent/core";
 import type { Autonomy } from "../runtime-governance.js";
+import { type CheckpointCtxSealer } from "../http/checkpoint-ctx.js";
 import type { CheckpointStoreFull } from "../plugins/store-backend.js";
 import { type LeaderDeps, type LeaderResult } from "./leader.js";
 import { type DeploymentPostureSeats } from "../boot/runner-deps.js";
@@ -7,6 +8,9 @@ import type { LeaderRequestBody } from "./endpoint.js";
 /** leader worker 的 durable 审批座(`LeaderWireConfig.durable` 函数席每次产出的一份)。 */
 export interface LeaderDurableSeat {
     readonly checkpointStore: CheckpointStoreFull;
+    /** [ref]:写 worker 续跑上下文的封口(`ServiceDeps.checkpointCtxSealing` 同一只;规则属主 `http/checkpoint-ctx.ts` 末段「凭据位密封」)。
+     *  worker 的续跑体只有入口词 + 子任务 objective、不带凭据位 ⇒ 实际不封任何值,但写 ctx 的每一笔都经同一只封口(没有不封的第二种写法)。 */
+    readonly ctxSealer: CheckpointCtxSealer | undefined;
     readonly requireApproval: string[];
     readonly deny?: string[];
     readonly ttlMs?: number;
@@ -25,7 +29,7 @@ export interface LeaderWireConfig {
      *  (checkpoint + paused env) instead of failing — the trigger replan-lite C4 arbitrates on. Mirrors main.ts's
      *  per-task durable wiring; ctx is seeded at provision so the surfaced token is resumable on the single-agent path.
      *
-     *  🔴 **函数席,不是快照**(S-668 波 2 ①;先例 = 下方 `deploymentPosture` 的 S-174 函数席):审批名单
+     *  🔴 **函数席,不是快照**([ref] 波 2 ①;先例 = 下方 `deploymentPosture` 的 [ref] 函数席):审批名单
      *  (`governance.approvalRequire`)自本批起在进程内会被中心热换。boot 期取一次值会把这条腿钉在起服那一刻的名单上
      *  —— 起服时名单为空 ⇒ 整块缺席、之后加进来的工具在 leader worker 上**永远**不被门住(fail-OPEN)。
      *  `provisionWorker` 每只 worker 调一次(同一只 worker 的 toolPolicy / resource 停车 / ctx 保温读同一份);
@@ -56,8 +60,8 @@ export interface LeaderWireConfig {
      * 修前(≤7.53)这五只 Runner 一席都没有:运维写的 READ_DENY_PATTERNS / MEMORY_DELEGATION_EVIDENCE 等对
      * leader 编排的 planner / worker / repair / conflict 四类任务**静默不生效**(core 内建 deny 表仍在)。
      *
-     * 🔴 **是 provider 不是快照**(S-174 追加,codex 对抗复审 r1 [high] 验真后修):本车道的 Runner 是
-     * **逐调用现构**的,而 S-174 起 `config.readFace` 在进程内**会变**(center 下发的 read face 转成了
+     * 🔴 **是 provider 不是快照**([ref] 追加,codex 对抗复审 r1 [high] 验真后修):本车道的 Runner 是
+     * **逐调用现构**的,而 [ref] 起 `config.readFace` 在进程内**会变**(center 下发的 read face 转成了
      * `Runner.swapDeps` 热换席)。boot 期取一次值再五处复用,等于让 leader 车道永远停在起服那一刻的 READ
      * 姿态:读面(`/v1/capabilities`、`/v1/diagnostics/wiring`)报新档、`restart.reasons` 也不再要求重启,
      * 而**新建的 leader Runner 仍在旧档上跑** —— 组织把 `open` 收紧成 `roots` 之后这条腿还在 open,方向是
@@ -167,7 +171,7 @@ export interface LeaderWireConfig {
 /** The env surface wire needs (both the E2B and k8s adapters implement core's RemoteExecutionEnv). */
 type WireEnv = Pick<RemoteExecutionEnv, "exec" | "writeFile">;
 /**
- * [ref] —— leader 自铸沙盒的**回收闸**(集成沙盒 / repair-loop grader 各一只;判据本身 S-949 起抽成下方
+ * [ref] —— leader 自铸沙盒的**回收闸**(集成沙盒 / repair-loop grader 各一只;判据本身 [ref] 起抽成下方
  * {@link assertLeaderOwnedEnvReapable},worker 腿同判)。
  *
  * core 契约:`ExecutionEnv` 基面**没有** `destroy`;只有实现了 `RemoteExecutionEnv` 的适配器才有
@@ -277,7 +281,7 @@ export declare const LEADER_PUSH_LOCAL_TIMEOUT_MS = 30000;
  *  plan→provision→fan-out→merge 管线单测(那条管线需要真 brain + E2B/k8s env)。行为与抽出前逐字相同,
  *  唯一新增是六条 execFileSync 各自的 `timeout`。
  *
- *  7.103.0(S-684 残余):六条 git 子进程的 env 一律 = `gitSubprocessEnv({ isolateConfig: false })` + `LC_ALL=C`(修前:
+ *  7.103.0([ref] 残余):六条 git 子进程的 env 一律 = `gitSubprocessEnv({ isolateConfig: false })` + `LC_ALL=C`(修前:
  *  `{ ...process.env, LC_ALL: "C" }`,两条 `git config` 连 env 都不交 ⇒ 整份服务 env 进 git 与它拉起的 helper / hook)。
  *  **不隔离宿主 git 配置**(读后定):写凭据是控制面宿主的(「Coordinator's creds」,`durableRemote` 由受信调用方给出,
  *  代码里从不带凭据),而宿主侧能供凭据的形 —— 全局配置里的 credential helper(自带存储)/ `url.<…>.insteadOf` 改写 /

package/dist/leader/wire.js

@@ -274,9 +274,10 @@ export function createLeaderRunner(cfg) {
         const provisionWorker = async (sub) => {
             const sessionId = `leader-${sub.workerId}-${Date.now()}`;
             const durable = cfg.durable?.();
-            const resumeCtx = buildCheckpointCtx({ body: { ...entry, objective: sub.spec.objective }, unattendedLeg: true, writerVersion: serviceVersion() });
+            const resumeBody = { ...entry, objective: sub.spec.objective };
+            const storedResumeCtx = durable !== undefined ? buildCheckpointCtx({ body: resumeBody, unattendedLeg: true, writerVersion: serviceVersion() }, durable.ctxSealer, sessionId) : undefined;
             let durableSpec = {};
-            if (durable) {
+            if (durable && storedResumeCtx !== undefined) {
                 const d = durable;
                 durableSpec = {
                     toolPolicy: combinePolicies(createDurableQuestionPolicy(), createDurableAskPolicy({ requireApproval: d.requireApproval, ...(d.deny ? { deny: d.deny } : {}), ...(d.autoBudget ? { autoBudget: d.autoBudget } : {}), ...(d.neverAuto ? { neverAuto: d.neverAuto } : {}) })),
@@ -284,7 +285,7 @@ export function createLeaderRunner(cfg) {
                     durableApproval: { scope: "_leader", ...(d.ttlMs ? { ttlMs: d.ttlMs } : {}) },
                     onQuestion: QUESTION_AWAITS_RESUME,
                 };
-                await d.checkpointStore.putCtx(sessionId, resumeCtx).catch((e) => {
+                await d.checkpointStore.putCtx(sessionId, storedResumeCtx).catch((e) => {
                     cfg.logger?.warn?.("leader_putctx_failed", { workerId: sub.workerId, err: redactHead(e instanceof Error ? e.message : String(e), 2000) });
                 });
             }
@@ -313,13 +314,13 @@ export function createLeaderRunner(cfg) {
             }
             const keepCtxWarm = (runner) => {
                 const d = durable;
-                if (!d)
+                if (!d || storedResumeCtx === undefined)
                     return runner;
                 const orig = runner.runTaskStream.bind(runner);
                 runner.runTaskStream = (spec, resume) => {
                     const stream = orig(spec, resume);
                     const iv = setInterval(() => {
-                        void d.checkpointStore.putCtx(sessionId, resumeCtx).catch(() => { });
+                        void d.checkpointStore.putCtx(sessionId, storedResumeCtx).catch(() => { });
                     }, 45_000);
                     iv.unref?.();
                     void stream.result().then(() => clearInterval(iv), () => clearInterval(iv));
@@ -359,7 +360,7 @@ export function createLeaderRunner(cfg) {
                         },
                     })),
                     fetchDiff: () => fetchUploadedDiff(getUrl),
-                    spec: withLeaderLeg({ ...workerLimits, ...sub.spec, ...durableSpec, ...resourceSpec, ...principalSpec(), objective: `${sub.spec.objective}${uploadStepSuffix(W)}` }, resumeCtx.body),
+                    spec: withLeaderLeg({ ...workerLimits, ...sub.spec, ...durableSpec, ...resourceSpec, ...principalSpec(), objective: `${sub.spec.objective}${uploadStepSuffix(W)}` }, resumeBody),
                 };
             }
             if (!cfg.e2bApiKey)
@@ -374,7 +375,7 @@ export function createLeaderRunner(cfg) {
                 runner: keepCtxWarm(new Runner({ brain: cfg.brain, models: cfg.models, roles: cfg.roles, pricing: cfg.pricing, ...onNoticeSeat, ...governanceSeat, ...deploymentPostureSeat(), ...tracerSeat, ...usageWindowSeat, ...promptSourceSeat, ...onErrorSeat, ...(cfg.toolResultStore ? { toolResultStore: cfg.toolResultStore } : {}), ...(cfg.sessionStore ? { sessionStore: cfg.sessionStore } : {}), executionEnv: env })),
                 diffEnv: env,
                 destroy: () => env.destroy().then(() => { }),
-                spec: withLeaderLeg({ ...workerLimits, ...sub.spec, ...durableSpec, ...resourceSpec, ...principalSpec() }, resumeCtx.body),
+                spec: withLeaderLeg({ ...workerLimits, ...sub.spec, ...durableSpec, ...resourceSpec, ...principalSpec() }, resumeBody),
             };
         };
         const provisionIntegrationSandbox = async () => {

package/dist/list-entry-display.d.ts

@@ -5,7 +5,7 @@
 export declare function redactListEntry(entry: string): string;
 /**
  * **人读句里条目的唯一写法** —— 本仓把规则条目 / 工具名原串写进任何一句给人读的话(拒句、起服拒启行)一律调这一只:引擎的条目写者
- * `renderListEntry`(core 7.46.0 #1428 包根导出:JSON 串形带引号,看不见 / 印成空白的字符写成 `\uXXXX`,超长截断)—— 与引擎自己的通告句同一个渲染;
+ * `renderListEntry`(core 7.46.0 [ref] 包根导出:JSON 串形带引号,看不见 / 印成空白的字符写成 `\uXXXX`,超长截断)—— 与引擎自己的通告句同一个渲染;
  * 判定拿原串。
  * 🔴 凭据先认、再渲染:渲染把看不见的字符写成 ASCII 转义,之后的脱敏器就认不出夹着零宽字符的凭据 ⇒ 原串上认出凭据时渲染它的脱敏值;
  * 没有凭据的条目渲染**原串**(格式字符留给渲染器写成 `\uXXXX` —— 人要看得见它,不能先被脱敏器剥掉)。

package/dist/lsp-evict.d.ts

@@ -6,7 +6,7 @@
  * doesn't retain one heavy language server (jdtls = a whole JVM) per (task × language) until process shutdown.
  * `evict` is best-effort + idempotent + fire-and-forget so it NEVER blocks or breaks teardown; the server dies async
  * while the dir is rm'd (rooted there, it just sees ENOENT). Only the ephemeral lane is wrapped by the caller — the
- * cwdHonored persistent-project path keeps its warm server (stable root, reused across turns = CC-parity, no leak).
+ * caller-cwd (deployment-shape row `callerCwd`) persistent-project path keeps its warm server (stable root, reused across turns = CC-parity, no leak).
  *
  * Structural param types (no `ExecutionEnv`/`NodeLspManager` import): a non-evicting manager (e2b/k8s bridge) or an
  * env without a string `cwd` / callable `destroy` is returned UNWRAPPED (probe-guarded), so this is a safe no-op

package/dist/main.js

@@ -17,7 +17,7 @@ async function main() {
     const s04 = await runStage04(s03);
     const s05 = await runStage05(s04);
     await settleHostLaneShell(s05.config, s05.logger);
-    const s06 = runStage06(s05);
+    const s06 = await runStage06(s05);
     const s07 = await runStage07(s06);
     const s08 = runStage08(s07);
     const s09 = runStage09(s08);

package/dist/mcp-assertion-header.d.ts

@@ -9,7 +9,7 @@
  *    受理 = 字符串才收;互斥 = 同设即拒;投影 = 铸 spec 时不投(见下)。
  * 同一条规则、两处执行者(契约包解析期 / 请求面受理期);判据 {@link mcpIdentityHeadersIssue} 与互斥拒句
  * {@link describeMcpIdentityHeadersConflict} 对契约包的原判官**逐字**对齐 —— 不是靠这句注释,而是
- * `test/task-mcp.test.ts` 的 S-1515 组把两边对拍(格子差分 + 拒句逐字相等),契约包改一个字那一组当场红。
+ * `test/task-mcp.test.ts` 的 [ref] 组把两边对拍(格子差分 + 拒句逐字相等),契约包改一个字那一组当场红。
  *
  * ## 后果按腿分(判据同一只,后果不同 —— 本仓成文的 `opts.leg` 姿势)
  *  · **fresh 提交腿**:判出问题 ⇒ 同步 400(同设 `request.body_shape`;值不是字符串 `request.field_invalid`)。

package/dist/memory-layer-legacy-lock.d.ts

@@ -1,5 +1,5 @@
 import type { EngineNotice, EngineNoticeCode } from "@sema-agent/core";
-/** 码常量型 = core 码册(#1240 入册:受众 operator、铸者 `NOTICE_MINTER` = `"server"`;不上会话流,只落转发体的运维日志)。 */
+/** 码常量型 = core 码册([ref] 入册:受众 operator、铸者 `NOTICE_MINTER` = `"server"`;不上会话流,只落转发体的运维日志)。 */
 export declare const MEMORY_LAYER_LOCKED_LEGACY: EngineNoticeCode;
 /** 探测读数:锁住的层名(排序)+ 看不全的目录条数。挂载面不存在(新数据根)⇒ 两者皆空。 */
 export interface LockedLegacyLayerProbe {

package/dist/memory-operator-faces.d.ts

@@ -233,7 +233,7 @@ export interface SessionMemoryStatusFace {
  *
  * `captureRecordStore` = [ref]② 的 SQL 载体(main.ts 单实例,与 Runner/其余引擎同源 —— 全站同批注入律,
  * 机器钉 capture-optout-lane ②):`captureOptedOut` / `optOutSource` 两键经它读,多副本部署上答的才是
- * 跨副本的真记录。S-215 起 local 车道在引擎接线时也供(core 文件三腿,同一只控制面,单机字节不变);缺席 ⇒ 记忆面暗。
+ * 跨副本的真记录。[ref] 起 local 车道在引擎接线时也供(core 文件三腿,同一只控制面,单机字节不变);缺席 ⇒ 记忆面暗。
  *
  * 面**不抛**(core 契约:sessionMemoryStatus never throws —— 每个事实源各自 catch 折缺席键);
  * 不接 onIncident:这条只读路径上今天零 sink 站点,而且缺席键本身就是它的披露形。

package/dist/memory-origin-fence.js

@@ -1,6 +1,6 @@
 import { createHash } from "node:crypto";
 import { committedOriginOf } from "@sema-agent/core";
-import { canonicalJson } from "./canonical-json.js";
+import { canonicalJsonStringify } from "@sema-agent/core";
 export const ORIGIN_AWARE_QUERY = "originAware";
 export function readOriginAware(params) {
     return params.get(ORIGIN_AWARE_QUERY) === "1";
@@ -47,7 +47,7 @@ export function buildOriginFencedBundle(bundle, originAware) {
         integrity: {
             entryCount: kept.length,
             revs: Object.fromEntries(kept.map((e) => [e.id, e.rev])),
-            sectionHashes: { ...bundle.integrity.sectionHashes, entries: sha256Line(canonicalJson(kept)) },
+            sectionHashes: { ...bundle.integrity.sectionHashes, entries: sha256Line(canonicalJsonStringify(kept)) },
         },
         withheldOriginTagged: withheld,
     };