@sema-agent/server 7.133.0 → 7.135.0

package/dist/web-admin-client/skills-mcp.js

@@ -1,10 +1,37 @@
 import { readMcpSourceLabel } from "../mcp-source-label.js";
-import { readMcpToolFaces } from "../mcp-tool-faces.js";
 import { skillContentHash } from "@sema-agent/settings-schema";
-import { readMcpToolAxes } from "@sema-agent/core";
+import { readMcpToolAxes, readToolFaces } from "@sema-agent/core";
 import { MCP_CONTENT_ORIGINS, describeBadContentOrigin, describeBadWireName, isContentOriginWord, isUsableWireName } from "@sema-agent/settings-schema";
 import { noteMcpAssertionHeaderNotSent, sentMcpAssertionHeaderMember, withholdsMcpAssertionHeader } from "../mcp-assertion-header.js";
 import { SHA256_HEX_RE } from "../digest-form.js";
+export function skillToolListsOf(source) {
+    return {
+        ...(source.allowedTools !== undefined ? { allowedTools: [...source.allowedTools] } : {}),
+        ...(source.disallowedTools !== undefined ? { disallowedTools: [...source.disallowedTools] } : {}),
+    };
+}
+function sameToolList(a, b) {
+    if (a === undefined || b === undefined)
+        return a === b;
+    return a.length === b.length && a.every((entry, i) => entry === b[i]);
+}
+export function installedSkillMatchesManifest(installed, m) {
+    const canonScenarios = (a) => [...(a ?? [])].sort().join("\u0000");
+    const lists = skillToolListsOf(m);
+    return (installed.spec.name === m.name &&
+        skillContentHash(installed.spec.content) === m.contentHash &&
+        installed.spec.description === m.description &&
+        canonScenarios(installed.scenarios) === canonScenarios(m.scenarios) &&
+        sameToolList(installed.spec.allowedTools, lists.allowedTools) &&
+        sameToolList(installed.spec.disallowedTools, lists.disallowedTools));
+}
+export function skillManifestEntriesNotInstalled(installed, entries) {
+    const winners = new Map();
+    for (const m of entries)
+        if (m.enabled !== false)
+            winners.set(m.name, m);
+    return [...winners.values()].filter((m) => !installed.some((sk) => installedSkillMatchesManifest(sk, m)));
+}
 function skillBodyPresent(body) {
     return body !== undefined && body !== "";
 }
@@ -64,7 +91,7 @@ export async function applySkillsManifest(baseline, manifest, bodies, logger) {
             }
             contentCache.set(m.contentHash, content);
             const overrodeBuiltin = byName.has(m.name);
-            byName.set(m.name, { spec: { name: m.name, description: m.description, content }, scenarios: m.scenarios ?? [] });
+            byName.set(m.name, { spec: { name: m.name, description: m.description, content, ...skillToolListsOf(m) }, scenarios: m.scenarios ?? [], source: "center" });
             logger?.info("web_admin_skill", { name: m.name, hash: m.contentHash, scenarios: m.scenarios, overrodeBuiltin });
         }
         catch (err) {
@@ -116,7 +143,7 @@ export function resolveMcpServers(mcp, logger) {
                 });
         }
         const source = readMcpSourceLabel(s.name, s.source);
-        const facesRead = readMcpToolFaces(s.toolFaces);
+        const facesRead = readToolFaces(s.toolFaces);
         if (!facesRead.ok) {
             logger?.warn("web_admin_mcp_tool_faces_invalid", {
                 server: s.name,

package/dist/web-admin-client/types.d.ts

@@ -48,7 +48,7 @@ export interface CenterModel {
      *  此后记账,不回算窗口内历史(registry types.d.ts 同句契约)。 */
     quotaWeight?: number;
     /**
-     * S-188(settings-schema 1.10.0 `ModelEntry.compat`)—— 这条目录条目对 **openai-completions 线路**的
+     * [ref](settings-schema 1.10.0 `ModelEntry.compat`)—— 这条目录条目对 **openai-completions 线路**的
      * 兼容声明,上 core `Model.compat`(`OpenAICompletionsCompat` 五键)。真需求 = vLLM / Qwen 类**缺省开
      * 思考**的网关:关思考只能靠 `thinkingFormat: "qwen-chat-template"`(`chat_template_kwargs.
      * enable_thinking=false`),而 `extraBody` 穿不过引擎的 OpenAI 保留键表。
@@ -82,9 +82,9 @@ export interface CenterModel {
      *  the missing leg made every promptGuidance pilot a false control). */
     promptGuidance?: string[];
     /**
-     * S-931(7.108.0)—— 这条条目发给供应商的**附加请求头**(部署 ↔ 供应商的契约;今天只有 `anthropic-beta`),上 core 的 per-model
+     * [ref](7.108.0)—— 这条条目发给供应商的**附加请求头**(部署 ↔ 供应商的契约;今天只有 `anthropic-beta`),上 core 的 per-model
      * 头座 `Model.headers`。类型是 `unknown` 而不是那个结构,理由与 {@link CenterModel.compat} 逐字同:本类型是承载形,判据(闭集白名单 +
-     * 线路 + 值形)与坏形处置的单一属主是 `model-entry-headers.ts`(执法点 = S-704 逐条判据,判不过 ⇒ 条目不可用)。
+     * 线路 + 值形)与坏形处置的单一属主是 `model-entry-headers.ts`(执法点 = [ref] 逐条判据,判不过 ⇒ 条目不可用)。
      * ⚠️ 两条读腿今天**剥掉**它(settings-schema 6.3.0 `ModelEntry` 无此键;候裁加字段):今天到得了这里的只有绕过读腿的输入。
      */
     headers?: unknown;
@@ -102,6 +102,13 @@ export interface CenterSkillManifest {
     scenarios: string[];
     contentHash: string;
     enabled?: boolean;
+    /**
+     * 技能自带的两只工具名单(settings-schema 14.4.0 `SkillSpec.allowedTools?` / `disallowedTools?`,与引擎 `SkillSpec` 同名同形)。**缺席 ⇒ 键不出现;在场 ⇒ 整只数组原样
+     * 交给引擎**(逐条按作者所写:不去重 / 不排序 / 不判拼写;`[]` 与缺席是两种承运形,读成什么由引擎定)。本仓只承载,不判 —— 判官是引擎(拒侧读成空的条目 fail-closed)。
+     * 承运单点 = {@link skillToolListsOf}(`skills-mcp.ts`):本地腿投影与 manifest → 引擎规格的铸点读同一只。
+     */
+    allowedTools?: string[];
+    disallowedTools?: string[];
 }
 /** MCP server registry entry. `envRefs`/`headerRefs` are env-NAME refs (target-key → ENV_NAME), NOT secrets. */
 export interface CenterMcpServer {
@@ -137,7 +144,7 @@ export interface CenterMcpServer {
      * 自动翻红逼销账。
      */
     contentOrigin?: ToolContentOrigin;
-    /** B-036 / S-143:声明方自述的分组标签(开集,非空 ≤80;settings-schema 1.7.0 `McpServerSpec.source`)——上 core
+    /** [ref] / [ref]:声明方自述的分组标签(开集,非空 ≤80;settings-schema 1.7.0 `McpServerSpec.source`)——上 core
      *  `McpServerSpec.source`,由 `wiring_manifest.mcp[].source` 逐字回显。显示用,不进信任轴。 */
     source?: string;
     /**
@@ -147,18 +154,18 @@ export interface CenterMcpServer {
      *
      * 🔴 类型是 `unknown` 而不是那个结构,**刻意的**:本类型是两条 center 腿的**承载形**(本地 config.d 经
      * settings-schema 的 `z.unknown()` 解析透明地过来、远端 /effective 是直读 JSON),判据与坏形处置的单一
-     * 属主是 `mcp-tool-faces.ts` 的 `readMcpToolFaces`(`resolveMcpServers` 在铸 spec 那一刻调它)。在承载
+     * 属主是引擎根导出的 `readToolFaces`(`resolveMcpServers` 在铸 spec 那一刻调它)。在承载
      * 形上先写一个结构,等于把同一张判据表抄成两份(而其中一份没有执行力)。
      */
     toolFaces?: unknown;
     /**
-     * S-1475(settings-schema 12.2.x `McpServerSpec.toolAxes`,解析透明 `z.unknown()`)—— 部署侧为这台 server 的**每只工具**声明的
+     * [ref](settings-schema 12.2.x `McpServerSpec.toolAxes`,解析透明 `z.unknown()`)—— 部署侧为这台 server 的**每只工具**声明的
      * 风险轴(`effect` / `egress` / `irreversibility`),键 = server 的**原始(未加命名空间)**工具名,上 core
      * `McpServerSpec.toolAxes`。
      *
      * 🔴 类型是 `unknown` 而不是那个结构,**刻意的**(与 {@link CenterMcpServer.toolFaces} 逐字同姿):本类型是两条部署腿的**承载形**
      * (本地 config.d 经 `z.unknown()` 解析透明地过来、远端 /effective 是直读 JSON),形判与投影的单一属主是**引擎**根导出的
-     * `readMcpToolAxes`(core 7.51.2 #1763;`resolveMcpServers` 在铸 spec 那一刻调它;产出的型是引擎的 `McpServerSpec["toolAxes"]`;本仓自铸的那一只
+     * `readMcpToolAxes`(core 7.51.2 [ref];`resolveMcpServers` 在铸 spec 那一刻调它;产出的型是引擎的 `McpServerSpec["toolAxes"]`;本仓自铸的那一只
      * 7.129.0 退役)。坏形 ⇒ 整条 server 不进 + 一行 `web_admin_mcp_tool_axes_invalid`。
      * (同批解析透明键 `authForm` / `entryKind` 的语义归连接器,本层仍只承载。)
      */
@@ -290,7 +297,7 @@ export interface EffectiveConfig {
         atMention?: unknown;
         tierGroups?: unknown;
         activeTierGroup?: string;
-        /** 🔴 S-712 / S-1295 —— **本仓读腿铸的**载体(不是 wire 键:中心在模型域里写同名键会被 schema 当未知键剥掉并进候选门):这次读
+        /** 🔴 [ref] / [ref] —— **本仓读腿铸的**载体(不是 wire 键:中心在模型域里写同名键会被 schema 当未知键剥掉并进候选门):这次读
          *  被 schema 逐条丢掉的**每一条**目录条目一行(下标 + settings-schema 闭集词 `reasonCode` + 告警自带的 `identity` + 字段诊断;形与律见
          *  `read-warnings.ts` {@link DroppedCatalogEntry})。读者各取所需:模型面 stage 把有名且启用的行铸成 `config.model_entry_invalid` 墓碑
          *  (不变量 `refused-names-not-minted` 据此判增广),每一行与 `models` 同 commit 进 `config.droppedCatalogEntries`(`GET /v1/models.droppedEntries` 的源)。
@@ -353,7 +360,7 @@ export interface EffectiveConfig {
     /** settings-schema 0.6 起治理三件(autonomy/commandPolicy/approvalRequire)的**唯一**承运域(0.7.1 撤
      *  runtime 位双写镜像;顺序契约当年已走完:消费端先切、center 再撤)。键集与 schema `GovernanceConfig.shape`
      *  逐字相等([ref] 件3 对账门钉)。消费:autonomy/commandPolicy 逐请求热(`stageRuntimeHot`,boot+refresh);
-     *  approvalRequire 自 S-668 波 2 起同样热(`stageApprovalGate`,boot+refresh 双腿,有自己的拒绝臂)。
+     *  approvalRequire 自 [ref] 波 2 起同样热(`stageApprovalGate`,boot+refresh 双腿,有自己的拒绝臂)。
      *  同一 presence 规则(undefined = 不管 → 回 env 基线,非粘)。 */
     governance?: {
         autonomy?: Autonomy;
@@ -379,7 +386,7 @@ export interface EffectiveConfig {
  *  ruling riding the caps view. `required=false` / ruling absent = no enforcement (legacy). `allowedLanes` is
  *  an OPEN value domain (adding one is never BREAKING; consumers tolerate unknown names). Known lane names:
  *  `host`/`e2b`/`k8s`/`ssh`/`adb`/`local-docker`/`device` (the REMOTE_EXEC providers) **plus `in-process`**
- *  — the REMOTE_EXEC-unset fleet posture (S-601: previously "OA/review-style workers", a scenario family retired in 5.0.0; named distinctly from the explicit
+ *  — the REMOTE_EXEC-unset fleet posture ([ref]: previously "OA/review-style workers", a scenario family retired in 5.0.0; named distinctly from the explicit
  *  `host` lane on purpose). ⚠️ Admins writing `required=true` policies must include `in-process` when such
  *  workers should stay admittable — center UI/doc 词表待补齐。
  *

package/dist/workspace-space.d.ts

@@ -90,9 +90,11 @@ export interface EndedSpace {
     readonly sessionId: string;
     readonly spaceKey: string;
 }
-/** The closed word set of `workspace_cache_reclaim_failed.reason` — ONE owner for both legs of the reclaim (the seat in
- *  `plugins/remote-env-k8s.ts` says `delete_failed` / `budget`; the session-delete coordinator says `occupant_unreadable`). */
-export type CacheReclaimReason = "delete_failed" | "budget" | "occupant_unreadable";
+/** The closed word set of `workspace_cache_reclaim_failed.reason` — said by the ONE reclaim seat (`plugins/remote-env-k8s.ts`). The
+ *  session-delete coordinator's third word (`occupant_unreadable`, a second read of the deleted session's occupant that could fail on its own)
+ *  is retired: the coordinator takes the space key from the same head read its owner fence judges (`boot/session-faces.ts`), so there is
+ *  no second read to fail — a head read that throws fails the delete itself (retried to convergence). */
+export type CacheReclaimReason = "delete_failed" | "budget";
 /**
  * The ONE reclaim seat for an ended space — called where a space ENDS: the session-delete coordinator (`boot/session-faces.ts` `purgeSession`)
  * and the managed-retention sweep after it deletes session trees (`boot/retention-lane.ts`); neither writes a reclaim of its own. It reclaims

package/dist/write-protection.d.ts

@@ -1,8 +1,8 @@
 /**
- * S-138 —— **写保护表**(core `RunnerDeps.writeProtectedPaths` 座)的姿态推导点(形制照
+ * [ref] —— **写保护表**(core `RunnerDeps.writeProtectedPaths` 座)的姿态推导点(形制照
  * `memory-posture.ts` / `sql-engine-posture.ts`:一次推导,两个读面)。
  *
- * ## 病(B-023 F2 的根)
+ * ## 病([ref] F2 的根)
  *
  * core 的写保护表是**字面名表**(CC `DANGEROUS_FILES` / `DANGEROUS_DIRECTORIES` /
  * `DANGEROUS_DIRECTORY_PATHS` 三形对位):一次落在表行上的可定路径写(Write/Edit/NotebookEdit)会把

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/server",
-  "version": "7.133.0",
+  "version": "7.135.0",
   "description": "Sema Server — the server/API implementation layer for Sema, wiring core, registry, model providers, and cloud agent execution. Built on @sema-agent/core.",
   "type": "module",
   "license": "BUSL-1.1",
@@ -68,8 +68,8 @@
     "build:binary:run-local:darwin-arm64": "bun build --compile --target=bun-darwin-arm64 src/run-local.ts --outfile dist/run-local-darwin-arm64"
   },
   "dependencies": {
-    "@sema-agent/core": "7.53.0",
-    "@sema-agent/settings-schema": "14.2.0",
+    "@sema-agent/core": "7.55.0",
+    "@sema-agent/settings-schema": "14.4.0",
     "e2b": "^2.28.0",
     "libsodium-wrappers": "^0.8.4",
     "mysql2": "^3.22.4",
@@ -92,6 +92,7 @@
     "@types/ws": "^8.18.1",
     "ajv": "^8.20.0",
     "ajv-formats": "^3.0.1",
+    "core-mixed-version-reader": "npm:@sema-agent/core@7.54.1",
     "tsx": "4.19.2",
     "typescript": "5.7.2",
     "vitest": "^4.1.8",

package/scripts/drain-check-local.mjs

@@ -1,7 +1,7 @@
 #!/usr/bin/env node
 /**
  * 换钉前的**排空检查 —— `DB_BACKEND=local`(File 店)车道**,只读。随 npm 包出(`scripts/drain-check-local.mjs`)。
- * 一次跑**八条判据**(判据表 {@link DRAIN_CRITERIA},每条一行末行、各自的命中行;SQL 车道的同一判据是同目录随包的 `drain-check.mysql.sql` / `drain-check.pg.sql`,
+ * 一次跑**九条判据**(判据表 {@link DRAIN_CRITERIA},每条一行末行、各自的命中行;SQL 车道的同一判据是同目录随包的 `drain-check.mysql.sql` / `drain-check.pg.sql`,
  * 每条判据一段、段首标记 `-- drain-check:<判据名>:<后端>`,判据名与本表的 `name` 同一个词):
  *  · `skill-grants-rollback`(**回滚**到 7.115.x 前,即引擎从 7.41 退回 7.40):四样任一 ——
  *    ① pending 行带 `state.skillGrants`(本次 run 冻结在行上的技能授予行:模型激活 / 子代捕获写下的放行与禁止);
@@ -31,6 +31,7 @@
  *    `dist/orchestration/workflow-agent-session-index.js` 取 —— 本脚本只按 runId 折叠;读不出的行计入 `corrupt`(rc 2:读不出的那一行可能正是点名某张待批卡的那一份);
  *    窗与删码:本判据是一次性迁移 M9 的读侧半场 —— 窗口与删码清单见引擎启动期一次性迁移登记表(one-time-migrations)M9 一行,随 M9 一起删;这里不写第二份窗。
  *  · `parked-tool-lists`(升级到 7.132.0 前)/ `own-tool-lists-rollback`(从 7.132.0 回滚前):停驻行记下的工具名清单 / 7.52 写下的 `ownToolLists`(判据与出路见判据表那两条的注);
+ *  · `sealed-credentials-rollback`(从 7.134.0 回滚前):续跑上下文的凭据位上带封签的 pending 行(7.133.x 读不懂封签,续跑时把这些位当没有;判据与出路见判据表那一条的注);
  *  · `retired-mode-seed`(换钉 7.113.0 前,core 7.39.0 删掉退役 mode-seed 的一次性迁移):pending 行的 `state.inheritedGate` 仍带退役成员;
  *  · `permissions-allow-list`(换钉 7.117.0 前,本服务把 `settings.permissions.allow` 整份交给引擎的 allow 层):pending 行所在会话的续跑上下文
  *    (`checkpoint-ctx/*.json` 的信封 `{ sessionId, updatedAt, ctx }`)里,`ctx.body.settings.permissions.allow` 是非空数组,且 `ctx.permissionsAllowReading` 不是 `"allow_layer"`
@@ -74,6 +75,7 @@
  *    `SKILL-DENY-INERT-ROW token=<token> sessionId=<id> createdAt=<ms> member=<skills|agents.skills>` /
  *    `WORKFLOW-PARK-ROW token=<token> sessionId=<id> createdAt=<ms> runId=<点名它的 run,逗号连接>` /
  *    `PARKED-TOOL-LISTS-ROW token=<token> sessionId=<id> createdAt=<ms> member=<toolCeiling|constraintChain|boundGrantDigest>` / `OWN-TOOL-LISTS-ROW token=<token> sessionId=<id> createdAt=<ms>` /
+ *    `SEALED-CREDENTIALS-ROW token=<token> sessionId=<id> createdAt=<ms> field=<第一处带封签的凭据位>|runId=<workflow 子代卡:点它的 run>` /
  *    `ALLOW-LIST-ROW token=<token> sessionId=<id> createdAt=<ms>` / `RETIRED-ROW token=<token> sessionId=<id> createdAt=<ms> member=<成员>`;
  *  · 每条判据一行末行(表序;`RETIRED-MODE-SEED` 那一行恒在最后,7.113.0 起读「最后一行」的下游不受影响;`PERMISSIONS-ALLOW-LIST` 仍是倒数第二行):
  *    `SKILL-GRANTS rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
@@ -82,6 +84,7 @@
  *    `WORKFLOW-PARK-HOLDER rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `PARKED-TOOL-LISTS rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `OWN-TOOL-LISTS-ROLLBACK rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
+ *    `SEALED-CREDENTIALS-ROLLBACK rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `PERMISSIONS-ALLOW-LIST rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`,
  *    `RETIRED-MODE-SEED rows=<命中数> pending=<pending 行数> total=<行数> unknownEvents=<n> corrupt=<n> root=<实际读的数据根>`;
  *    `corrupt` = 共用扫描的坏记录 + 这条判据自己读不懂的旁路输入(`permissions-allow-list`:读不懂的 ctx 档,文件名进 stderr —— 一份读不懂的 ctx 可能正是某条 pending 行带 `allow` 的那一份;
@@ -97,7 +100,7 @@ import { join } from "node:path";
 import { fileURLToPath } from "node:url";
 
 /** 从脚本隔壁的编译产物取来的服务判据(脚本不持第二份实现)。
- * @typedef {{ allowListReadingUnstated: (ctx: Record<string, unknown>) => boolean, retiredSkillManifestLayerOf: (body: unknown) => "skills" | "agents.skills" | undefined, skillDenyInertEntryOf: (body: unknown) => { layer: "skills" | "agents.skills", message: string } | undefined, readAgentSessionLedgerLine: (v: unknown) => { runId: string, rows: Array<{ sessionId: string }> } | undefined }} ServiceCriteria */
+ * @typedef {{ allowListReadingUnstated: (ctx: Record<string, unknown>) => boolean, sealedCredentialFieldOf: (ctx: unknown) => string | undefined, retiredSkillManifestLayerOf: (body: unknown) => "skills" | "agents.skills" | undefined, skillDenyInertEntryOf: (body: unknown) => { layer: "skills" | "agents.skills", message: string } | undefined, readAgentSessionLedgerLine: (v: unknown) => { runId: string, rows: Array<{ sessionId: string }> } | undefined }} ServiceCriteria */
 
 /** 读期间文件在变时的有界重读次数(含第一次)。 */
 const STABLE_READ_ATTEMPTS = 3;
@@ -460,6 +463,35 @@ export const DRAIN_CRITERIA = [
     load: () => ({ input: undefined, corrupt: 0, unreadable: [] }),
     judge: (row) => (isObject(row.state) && Object.hasOwn(/** @type {Record<string, unknown>} */ (row.state), "ownToolLists") ? "" : undefined),
   },
+  {
+    // 从 7.134.0 回滚到 7.133.x 之前:pending 行所在会话的续跑上下文里,提交体的凭据位(MCP / A2A 请求头与 env、settings.env、settings.webSearch.apiKey、http hook 请求头;7.135.0 起另有 command hook 的插件选项)
+    // (从 7.135.0 回滚到 7.134.x 之前同用本判据:7.134.x 不认插件选项上的封签,续跑时那份 hooks 整只不采纳;本判据数任何凭据位上的封签,这一类在候选里)
+    // 上带封签 —— 7.134.0 封好才落盘,7.133.x 读不懂封签、续跑时把这些位当作没有(无凭据照跑、不报错)。出路:回滚前把它们决掉或取消(随包 `MIGRATION.md` 7.134.0 节)。
+    // 判据函数是服务里那一只(`sealedCredentialFieldOf`,经编译产物 `dist/http/checkpoint-ctx.js` 取;走法与封口 / 开口 / 一次性迁移同一只),本脚本不写第二份;
+    // 命中行点名第一处凭据位(`field=`,键名;值从不出来);读不懂的 ctx 档 / 索引账本行计入 `corrupt`(rc 2)。
+    // 读哪一份续跑上下文与续跑腿同:workflow 子代卡(子会话被 park 索引点名)续跑读**发起会话**那一份,而发起会话记在引擎的 run 账里(引擎自己的账本格式,本脚本不重抄)
+    // ⇒ 子代卡数的是真超集:自己那一份带封签,或数据根里任一份 ctx 带封签,即记为候选并点名点它的 run(`runId=`)—— 与随包 SQL 孪生同为超集,不漏。
+    // 表序在 `permissions-allow-list` 之前 —— 那一条仍倒数第二、`RETIRED-MODE-SEED` 仍最后。
+    name: "sealed-credentials-rollback",
+    tail: "SEALED-CREDENTIALS-ROLLBACK",
+    hit: "SEALED-CREDENTIALS-ROW",
+    load: (root, service) => {
+      const idx = readCtxIndex(root);
+      const parks = readParkIndex(root, service.readAgentSessionLedgerLine);
+      const fieldOf = service.sealedCredentialFieldOf;
+      const anySealed = [...idx.bySession.values()].some((ctx) => fieldOf(ctx) !== undefined);
+      return { input: { bySession: idx.bySession, fieldOf, parkedBy: parks.bySession, anySealed }, corrupt: idx.corrupt + parks.corrupt, unreadable: [...idx.unreadable, ...parks.unreadable] };
+    },
+    judge: (row, input) => {
+      const { bySession, fieldOf, parkedBy, anySealed } = /** @type {{ bySession: Map<string, Record<string, unknown>>, fieldOf: ServiceCriteria["sealedCredentialFieldOf"], parkedBy: Map<string, string[]>, anySealed: boolean }} */ (input);
+      if (typeof row.sessionId !== "string") return undefined;
+      const ctx = bySession.get(row.sessionId);
+      const field = ctx === undefined ? undefined : fieldOf(ctx);
+      if (field !== undefined) return ` field=${field}`;
+      const runs = parkedBy.get(row.sessionId);
+      return runs !== undefined && anySealed ? ` runId=${runs.join(",")}` : undefined;
+    },
+  },
   {
     name: "permissions-allow-list",
     tail: "PERMISSIONS-ALLOW-LIST",
@@ -503,6 +535,7 @@ async function loadServiceCriteria(rootEcho) {
   /** @type {Array<[string, () => Promise<Record<string, unknown>>, string]>} 〔产物相对路径(报告用), 取模块, 导出名〕 */
   const wanted = [
     ["dist/http/checkpoint-ctx.js", () => import("../dist/http/checkpoint-ctx.js"), "allowListReadingUnstated"],
+    ["dist/http/checkpoint-ctx.js", () => import("../dist/http/checkpoint-ctx.js"), "sealedCredentialFieldOf"],
     ["dist/http/retired-skill-manifest.js", () => import("../dist/http/retired-skill-manifest.js"), "retiredSkillManifestLayerOf"],
     ["dist/rule-entry-list.js", () => import("../dist/rule-entry-list.js"), "skillDenyInertEntryOf"],
     ["dist/orchestration/workflow-agent-session-index.js", () => import("../dist/orchestration/workflow-agent-session-index.js"), "readAgentSessionLedgerLine"],

package/scripts/drain-check.mysql.sql

@@ -8,15 +8,16 @@
 --   sessions   命中行所在的会话 id,逗号连接,新的在前。以 hit_rows 为准:这一列被会话变量 group_concat_max_len(缺省 1024 字节)截断时,列出的会话数会少于 hit_rows ——
 --              先处理列出的再跑一次,或先在同一个会话里 SET SESSION group_concat_max_len = 1048576; 再跑本文件(本文件自己只含 SELECT)。
 -- 每段只数 pending 行(已决 / 已过期的行不数);判据只看**键在不在 / 值形**,不读行的其余内容。
--- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,八条判据同名。
+-- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,九条判据同名。
 --
--- 八条判据(顺序同 drain-check-local.mjs 的判据表):
+-- 九条判据(顺序同 drain-check-local.mjs 的判据表):
 --   skill-grants-rollback   回滚到 7.115.x(引擎 7.40)之前:7.116.0 停驻的行带 7.40 不读的技能授予节 / 卡绑定 / 会话上下文里的人点名技能 / 还没被激活的技能声明的禁止清单。
 --   retired-skill-manifest  升级到 7.116.0 之前:停驻、持久化提交体里技能(顶层 skills[] 或子代 agents[].skills[])还带已退役的 manifest 键。
 --   skill-deny-inert        换钉 7.117.0 之前:停驻、提交体里技能(顶层 skills[] 或子代 agents[].skills[])的 disallowedTools 有引擎会读成空的条目的**候选**(见该段注)。
 --   workflow-park-holder    换钉 7.118.0 之前 / 从 7.118.0 回滚到 7.117.x 之前:此刻待批、且子会话被 workflow park 索引点名的卡(workflow 子代卡;见该段注)。
 --   parked-tool-lists       升级到 7.132.0 之前:停驻行记着子代工具天花板 / 冻结的父约束链 / Skill 卡的清单绑定(7.52 在认领前按规范拼写读它们)的**候选**(见该段注)。
 --   own-tool-lists-rollback 从 7.132.0 回滚到 7.131.x 之前:7.132.0 停驻、带 state.ownToolLists 的行(7.131.x 读不了)。
+--   sealed-credentials-rollback 从 7.134.0 回滚到 7.133.x(或从 7.135.0 回滚到 7.134.x)之前:停驻、续跑上下文里提交体的凭据位上带封签的行(7.133.x 读不懂封签,续跑时把这些位当没有)的**候选**(见该段注)。
 --   permissions-allow-list  换钉 7.117.0 之前:停驻、提交体 settings.permissions.allow 是非空数组且读法记号不是当前的 "allow_layer"(无记号 = 名单时代;"statement" = 表态时代)。
 --   retired-mode-seed       换钉 7.113.0 之前:检查点的 inheritedGate 里仍带退役 mode-seed 成员。
 
@@ -115,6 +116,25 @@ FROM checkpoint k
 WHERE k.status = 'pending'
   AND JSON_CONTAINS_PATH(k.checkpoint, 'one', '$.state.ownToolLists');
 
+-- drain-check:sealed-credentials-rollback:mysql —— 期望 hit_rows = 0;每一行 = 一条**候选**:从 7.134.0 回滚到 7.133.x 后续跑会丢掉请求凭据的停驻行。
+-- 在**回滚之前**、对 7.134.0 的数据跑:7.134.0 把续跑上下文里提交体的凭据位(MCP / A2A 请求头与 env、settings.env、settings.webSearch.apiKey、http hook 请求头;7.135.0 起另有 command hook 的插件选项)
+-- 封成封签(对象,格式词 "checkpoint-ctx-sealedbox-v1")才落盘;7.133.x 读不懂封签,续跑时把这些位当作没有(无凭据照跑、不报错)。出路:回滚前把它们决掉或取消(见随包 MIGRATION.md 7.134.0 节)。
+-- 读哪一份续跑上下文:与续跑腿同(连接形与 permissions-allow-list 段逐字同,理由见该段注)。SQL 不走凭据位闭集 ⇒ 数的是**真超集**:提交体里任何一处有一个
+-- JSON 串值恰为这个格式词即数(封签只落在凭据位上;体里别处恰好写着这个词的串值也会被数到 —— 多数,不漏)。本地脚本同名判据走服务里那一只凭据位走法(精确)。
+-- 从 7.135.0 回滚到 7.134.x 之前同用本判据:7.135.0 起 command hook 条目的插件选项(settings.hooks.<事件>[].hooks[].plugin.options)也封成封签,7.134.x 不认这一位,
+-- 续跑时那份 hooks 整只不采纳(其中的守卫不再拦)。本判据数任何凭据位上带封签的行,所以这一类也在候选里(超集)。
+SELECT 'sealed-credentials-rollback' AS criterion, COUNT(*) AS hit_rows,
+       COALESCE(GROUP_CONCAT(k.session_id ORDER BY k.created_at_ms DESC SEPARATOR ','), '') AS sessions
+FROM checkpoint k
+WHERE k.status = 'pending'
+  AND EXISTS (SELECT 1
+              FROM checkpoint kk
+              LEFT JOIN workflow_agent_session w ON w.session_id = kk.session_id
+              LEFT JOIN workflow_run r ON r.id = w.run_id
+              JOIN checkpoint_ctx c ON c.session_id = COALESCE(JSON_UNQUOTE(JSON_EXTRACT(r.run, '$.originatingSessionId')), kk.session_id)
+              WHERE kk.token = k.token
+                AND LOCATE('"checkpoint-ctx-sealedbox-v1"', CAST(JSON_EXTRACT(c.ctx, '$.body') AS CHAR)) > 0);
+
 -- drain-check:permissions-allow-list:mysql —— 期望 hit_rows = 0;每一行 = 一条升级后续跑会被拒的停驻行。
 -- 读哪一份续跑上下文:与续跑腿同 —— workflow 子代的停驻行(在 workflow_agent_session 里登记过)续跑时读的是**发起这条 workflow 的会话**那一份
 -- (workflow_run.run 的 originatingSessionId);其余行读自己会话那一份。一个子会话可以被好几条 workflow 记录点名(续跑链 / 分叉;7.118.0 起索引主键是

package/scripts/drain-check.pg.sql

@@ -7,15 +7,16 @@
 --   hit_rows   命中的停驻行数(pending 行里算命中的那些);**全部为 0 才算排空**,非 0 ⇒ 逐条答完或取消(各判据对应的升级 / 回滚说明见随包 MIGRATION.md);
 --   sessions   命中行所在的会话 id,逗号连接,新的在前。
 -- 每段只数 pending 行(已决 / 已过期的行不数);判据只看**键在不在 / 值形**,不读行的其余内容。
--- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,八条判据同名。
+-- DB_BACKEND=local(File 店)没有 SQL:用同目录的 drain-check-local.mjs,九条判据同名。
 --
--- 八条判据(顺序同 drain-check-local.mjs 的判据表):
+-- 九条判据(顺序同 drain-check-local.mjs 的判据表):
 --   skill-grants-rollback   回滚到 7.115.x(引擎 7.40)之前:7.116.0 停驻的行带 7.40 不读的技能授予节 / 卡绑定 / 会话上下文里的人点名技能 / 还没被激活的技能声明的禁止清单。
 --   retired-skill-manifest  升级到 7.116.0 之前:停驻、持久化提交体里技能(顶层 skills[] 或子代 agents[].skills[])还带已退役的 manifest 键。
 --   skill-deny-inert        换钉 7.117.0 之前:停驻、提交体里技能(顶层 skills[] 或子代 agents[].skills[])的 disallowedTools 有引擎会读成空的条目的**候选**(见该段注)。
 --   workflow-park-holder    换钉 7.118.0 之前 / 从 7.118.0 回滚到 7.117.x 之前:此刻待批、且子会话被 workflow park 索引点名的卡(workflow 子代卡;见该段注)。
 --   parked-tool-lists       升级到 7.132.0 之前:停驻行记着子代工具天花板 / 冻结的父约束链 / Skill 卡的清单绑定(7.52 在认领前按规范拼写读它们)的**候选**(见该段注)。
 --   own-tool-lists-rollback 从 7.132.0 回滚到 7.131.x 之前:7.132.0 停驻、带 state.ownToolLists 的行(7.131.x 读不了)。
+--   sealed-credentials-rollback 从 7.134.0 回滚到 7.133.x(或从 7.135.0 回滚到 7.134.x)之前:停驻、续跑上下文里提交体的凭据位上带封签的行(7.133.x 读不懂封签,续跑时把这些位当没有)的**候选**(见该段注)。
 --   permissions-allow-list  换钉 7.117.0 之前:停驻、提交体 settings.permissions.allow 是非空数组且读法记号不是当前的 "allow_layer"(无记号 = 名单时代;"statement" = 表态时代)。
 --   retired-mode-seed       换钉 7.113.0 之前:检查点的 inheritedGate 里仍带退役 mode-seed 成员。
 
@@ -123,6 +124,25 @@ FROM checkpoint k
 WHERE k.status = 'pending'
   AND (k.checkpoint -> 'state') ? 'ownToolLists';
 
+-- drain-check:sealed-credentials-rollback:pg —— 期望 hit_rows = 0;每一行 = 一条**候选**:从 7.134.0 回滚到 7.133.x 后续跑会丢掉请求凭据的停驻行。
+-- 在**回滚之前**、对 7.134.0 的数据跑:7.134.0 把续跑上下文里提交体的凭据位(MCP / A2A 请求头与 env、settings.env、settings.webSearch.apiKey、http hook 请求头;7.135.0 起另有 command hook 的插件选项)
+-- 封成封签(对象,格式词 "checkpoint-ctx-sealedbox-v1")才落盘;7.133.x 读不懂封签,续跑时把这些位当作没有(无凭据照跑、不报错)。出路:回滚前把它们决掉或取消(见随包 MIGRATION.md 7.134.0 节)。
+-- 读哪一份续跑上下文:与续跑腿同(连接形与 permissions-allow-list 段逐字同,理由见该段注)。SQL 不走凭据位闭集 ⇒ 数的是**真超集**:提交体里任何一处有一个
+-- JSON 串值恰为这个格式词即数(封签只落在凭据位上;体里别处恰好写着这个词的串值也会被数到 —— 多数,不漏)。本地脚本同名判据走服务里那一只凭据位走法(精确)。
+-- 从 7.135.0 回滚到 7.134.x 之前同用本判据:7.135.0 起 command hook 条目的插件选项(settings.hooks.<事件>[].hooks[].plugin.options)也封成封签,7.134.x 不认这一位,
+-- 续跑时那份 hooks 整只不采纳(其中的守卫不再拦)。本判据数任何凭据位上带封签的行,所以这一类也在候选里(超集)。
+SELECT 'sealed-credentials-rollback' AS criterion, count(*) AS hit_rows,
+       coalesce(string_agg(k.session_id, ',' ORDER BY k.created_at_ms DESC), '') AS sessions
+FROM checkpoint k
+WHERE k.status = 'pending'
+  AND EXISTS (SELECT 1
+              FROM checkpoint kk
+              LEFT JOIN workflow_agent_session w ON w.session_id = kk.session_id
+              LEFT JOIN workflow_run r ON r.id = w.run_id
+              JOIN checkpoint_ctx c ON c.session_id = COALESCE(r.run::json->>'originatingSessionId', kk.session_id)
+              WHERE kk.token = k.token
+                AND strpos((c.ctx -> 'body')::text, '"checkpoint-ctx-sealedbox-v1"') > 0);
+
 -- drain-check:permissions-allow-list:pg —— 期望 hit_rows = 0;每一行 = 一条升级后续跑会被拒的停驻行。
 -- 读哪一份续跑上下文:与续跑腿同 —— workflow 子代的停驻行(在 workflow_agent_session 里登记过)续跑时读的是**发起这条 workflow 的会话**那一份
 -- (workflow_run.run 的 originatingSessionId);其余行读自己会话那一份。一个子会话可以被好几条 workflow 记录点名(续跑链 / 分叉;7.118.0 起索引主键是

package/skills/loop.md

@@ -35,7 +35,7 @@ Then briefly confirm what's scheduled (id, human cadence, how to cancel with `Cr
 With no interval, run one iteration of the task now, then call `ScheduleWakeup` to schedule when you resume:
 
 - `delaySeconds`: how long to sleep (runtime clamps to [60, 3600]).
-- `reason`: one short, specific sentence ("watching CI run #4521" beats "waiting") — shown to the user and telemetry.
+- `reason`: one short, specific sentence ("watching the release-branch CI run" beats "waiting") — shown to the user and telemetry.
 - `prompt`: the same /loop input verbatim, so the next firing re-enters this skill and continues the loop. For an autonomous loop with no user prompt, pass the literal sentinel `<<autonomous-loop-dynamic>>` (never the CronCreate-mode `<<autonomous-loop>>` sentinel — ScheduleWakeup always uses the `-dynamic` variant).
 - To END the loop: call `ScheduleWakeup` with `stop: true` and omit every other field — the loop ends immediately and no further wakeups fire.
 

package/dist/mcp-tool-faces.d.ts

@@ -1,69 +0,0 @@
-/**
- * `McpServerSpec.toolFaces` —— MCP 工具的**面覆盖层**(core 7.8.0 [ref] §1.1/§2.7;声明面
- * settings-schema 1.9.0)。一条规则、三条腿共用(请求腿 `task-mcp.ts normalizeServer` / center 腿
- * `web-admin-client/skills-mcp.ts resolveMcpServers` / 本地 config.d 腿 `config-provider.ts` 只做承载),
- * 与 {@link import("./mcp-source-label.js").readMcpSourceLabel} 同一个「判据单点、三腿一致」的形。
- *
- * ## 分工(为什么本层**不**复述 core 的那张表)
- * 覆盖层的**语义**校验属 core 的摄入侧,而且只有它做得了:`pathTarget.param` 是不是这只工具**物化后
- * schema** 的顶层属性、审批卡要的键在不在、`ruleFace` 指的是不是标量键 —— 三件都要看远端 server 真发
- * 回来的 schema,本层手里根本没有。core 的处置也已经定死:不合 ⇒ **这只工具在这条腿上不挂**,并通告
- * 一次 `config.tool_face_invalid`(亲读 `dist/core/runner/tool-face-overlay.js` 的 `return undefined` 臂 ——
- * 该文件 d.ts 头注里那句「the tool mounts BARE」是**过期**的,以实现为准)。
- *
- * 本层因此只做 core 的校验器**假定成立**的那一件事:**JSON 结构合不合 TS 型**。理由是硬的 —— core 的
- * `toolFaceProblem` 是按 TS 型写的,`renderHints.summaryParams` 是个字符串时它会 `.find is not a function`
- * 地把 prepare 整条炸掉,`ruleFace.params` 是个数字时 `for...of` 直接抛。原样透传一份任意 JSON 不是
- * 「解析透明」,是把类型错误变成运行期崩溃。
- *
- * 闭词(`family` / `pathTarget.access` / `renderHints.approvalCard`)判据**取自 core 的导出常量**
- * (`TOOL_FAMILIES` / `TOOL_PATH_ACCESSES` / `TOOL_APPROVAL_CARDS`),本仓一个词都不枚举 —— 与
- * `MCP_DELIVERY_VERDICTS` 的消费姿势同款:词表单一属主在 core,抄一遍就是抄了一张会漂的表。
- *
- * ## 坏形的方向:**整条 server 不进**(fail-closed)
- * 🔴 这一条被 codex 对抗复审 r1 的 [high] **翻正过一次**,把翻正的理由留在这里,因为它是本模块最容易
- * 想错的一格:初版按 `contentOrigin` 的先例判「丢声明、留 server + 留痕」,而那条先例管的是**放宽**键
- * (丢它 ⇒ 回落到过度标记 = fail-closed 的那一侧)。`toolFaces` 是**收窄**声明:它声明的 `pathTarget`
- * 正是敏感路径策略、写围栏、编辑跟踪读的那一格 —— 丢掉它,那只工具就**无面挂载**,运维声明的保护
- * 静默失效。codex 实测(同一只 MCP 写工具、同一个 `/work/.env` 目标,仅把 `renderHints.summaryParams`
- * 从数组写成字符串):`createSensitivePathPolicy` 从 deny 变成 allow。一条 warn 补偿不了这个方向。
- *
- * 所以判据回到本仓对**收窄键**已经成文的那一条(`task-mcp.ts` 的 `allowTools`,[ref] / [ref] codex F1):
- * **一个键在场就必须合法,否则这条 server 整条不进**。三问逐条:
- *  ① 谁需要 —— 在部署侧给 MCP 工具声明写围栏 / 审批卡 / 显示名的运维;
- *  ② 谁受伤 —— 覆盖层写错的那台 server:它**整条**不挂(请求腿进 `dropped` 并点名上报,center 腿跳过
- *     该条、兄弟 server 照挂)。代价是真的(少一套工具),但它**响亮且立刻**;反方向的代价是一条
- *     **静默失效的安全声明**,而后者按 [ref] 不许存在于安全轴上;
- *  ③ 拿什么补偿 —— 报出来的名字本身:请求腿 `mcp_injection_dropped{dropped:[name]}`、center 腿
- *     `web_admin_mcp_tool_faces_invalid{server,problem,note}` 一条点名 warn(`problem` 里带工具名与哪一段不合;运维照着改那一行即可)。
- * 每只工具的面是**整只**判(core 明写 "applied whole or not at all");而**任一只**判不出形 ⇒ 整条 server
- * 不进 —— 「留下好的那几只」同样是让坏的那一只无面挂载,与整张丢没有区别。
- */
-import { type McpServerSpec } from "@sema-agent/core";
-type ToolFaces = NonNullable<McpServerSpec["toolFaces"]>;
-/**
- * 一条 server 条目的 `toolFaces` 判形结果:
- *  · `{ ok: true, faces }` —— 合形(`faces` 缺席 = 这台 server 没有覆盖层,或声明了一个**空**覆盖层:
- *    两者对 core 同义,都不铸键);
- *  · `{ ok: false, problem }` —— 判不出形,**整条 server 不进**(方向与理由见模块头注),`problem` 是
- *    给运维的一句点名(只带工具名与哪一段不合,不带面的值)。
- */
-export type McpToolFacesRead = {
-    ok: true;
-    faces?: ToolFaces;
-} | {
-    ok: false;
-    problem: string;
-};
-/**
- * 从任一腿的原始条目里读出 `toolFaces` —— **三条腿共用的唯一判据点**。
- * 缺席 ⇒ 合形无覆盖层;整只不是对象 / **任一只**工具的面判不出形 ⇒ `ok:false`(调用方整条 server 不收)。
- *
- * 🔴 工具名是 `__proto__` ⇒ 同样判不出形,**响亮拒**:按名存面的记录装不下它 —— JSON 的自有键 `"__proto__"` 写进记录那一步走的是原型的设置器,
- * 键从结果里消失而判官答 `ok`,那条 server 照挂、收窄面叠层被无声丢掉。方向与本模块头注同(收窄声明在场就必须原样可用)。
- * 只拒这一个名字:`constructor` / `toString` 等其余根原型成员名写进记录是普通自有键、不丢,引擎按名查面也取得到 —— 拒它们是给重放存量 body 的腿
- * 新添一条「整条 server 不进」,不是修这个病。
- */
-export declare function readMcpToolFaces(v: unknown): McpToolFacesRead;
-export {};
-//# sourceMappingURL=mcp-tool-faces.d.ts.map

package/dist/mcp-tool-faces.js

@@ -1,104 +0,0 @@
-import { TOOL_APPROVAL_CARDS, TOOL_FAMILIES, TOOL_PATH_ABSENCES, TOOL_PATH_ACCESSES, TOOL_PATH_BASES } from "@sema-agent/core";
-import { isStringArray } from "@sema-agent/settings-schema";
-import { quotedCallerText } from "./caller-text-echo.js";
-function isRecord(v) {
-    return typeof v === "object" && v !== null && !Array.isArray(v);
-}
-function memberOf(table, v) {
-    return typeof v === "string" && table.includes(v);
-}
-function onlyKeys(rec, allowed) {
-    return Object.keys(rec).every((k) => allowed.includes(k));
-}
-function readOneFace(raw) {
-    if (!isRecord(raw))
-        return undefined;
-    if (!onlyKeys(raw, ["family", "pathTarget", "renderHints", "ruleFace"]))
-        return undefined;
-    const out = {};
-    if (raw.family !== undefined) {
-        if (!memberOf(TOOL_FAMILIES, raw.family))
-            return undefined;
-        out.family = raw.family;
-    }
-    if (raw.pathTarget !== undefined) {
-        const pt = raw.pathTarget;
-        if (!isRecord(pt) || typeof pt.param !== "string" || !memberOf(TOOL_PATH_ACCESSES, pt.access))
-            return undefined;
-        if (!onlyKeys(pt, ["param", "access", "aliases", "skillScopeEligible", "base", "absent", "patternParam"]))
-            return undefined;
-        if (pt.aliases !== undefined && !isStringArray(pt.aliases))
-            return undefined;
-        if (pt.skillScopeEligible !== undefined && typeof pt.skillScopeEligible !== "boolean")
-            return undefined;
-        if (pt.base !== undefined && !memberOf(TOOL_PATH_BASES, pt.base))
-            return undefined;
-        if (pt.absent !== undefined && !memberOf(TOOL_PATH_ABSENCES, pt.absent))
-            return undefined;
-        if (pt.patternParam !== undefined && typeof pt.patternParam !== "string")
-            return undefined;
-        out.pathTarget = {
-            param: pt.param,
-            access: pt.access,
-            ...(pt.aliases !== undefined ? { aliases: pt.aliases } : {}),
-            ...(pt.skillScopeEligible === true ? { skillScopeEligible: true } : {}),
-            ...(pt.base !== undefined ? { base: pt.base } : {}),
-            ...(pt.absent !== undefined ? { absent: pt.absent } : {}),
-            ...(pt.patternParam !== undefined ? { patternParam: pt.patternParam } : {}),
-        };
-    }
-    if (raw.renderHints !== undefined) {
-        const rh = raw.renderHints;
-        if (!isRecord(rh) || !onlyKeys(rh, ["userFacingName", "activity", "summaryParams", "resultCards", "approvalCard"]))
-            return undefined;
-        if (rh.userFacingName !== undefined && typeof rh.userFacingName !== "string")
-            return undefined;
-        if (rh.activity !== undefined && typeof rh.activity !== "string")
-            return undefined;
-        if (rh.summaryParams !== undefined && !isStringArray(rh.summaryParams))
-            return undefined;
-        if (rh.resultCards !== undefined && !isStringArray(rh.resultCards))
-            return undefined;
-        if (rh.approvalCard !== undefined && !memberOf(TOOL_APPROVAL_CARDS, rh.approvalCard))
-            return undefined;
-        out.renderHints = {
-            ...(rh.userFacingName !== undefined ? { userFacingName: rh.userFacingName } : {}),
-            ...(rh.activity !== undefined ? { activity: rh.activity } : {}),
-            ...(rh.summaryParams !== undefined ? { summaryParams: rh.summaryParams } : {}),
-            ...(rh.resultCards !== undefined ? { resultCards: rh.resultCards } : {}),
-            ...(rh.approvalCard !== undefined ? { approvalCard: rh.approvalCard } : {}),
-        };
-    }
-    if (raw.ruleFace !== undefined) {
-        const rf = raw.ruleFace;
-        if (!isRecord(rf) || !onlyKeys(rf, ["primaryParams", "params"]))
-            return undefined;
-        if (rf.primaryParams !== undefined && !isStringArray(rf.primaryParams))
-            return undefined;
-        if (rf.params !== undefined && !isStringArray(rf.params))
-            return undefined;
-        out.ruleFace = {
-            ...(rf.primaryParams !== undefined ? { primaryParams: rf.primaryParams } : {}),
-            ...(rf.params !== undefined ? { params: rf.params } : {}),
-        };
-    }
-    return out;
-}
-export function readMcpToolFaces(v) {
-    if (v === undefined)
-        return { ok: true };
-    if (!isRecord(v))
-        return { ok: false, problem: `toolFaces is ${Array.isArray(v) ? "an array" : typeof v}, not an object of per-tool faces` };
-    const faces = {};
-    for (const [tool, raw] of Object.entries(v)) {
-        if (tool === "__proto__") {
-            return { ok: false, problem: `toolFaces names tool "__proto__" — a per-tool record cannot hold a face under that name (writing it sets the record's prototype instead of a key), so the declaration would silently vanish` };
-        }
-        const face = readOneFace(raw);
-        if (face === undefined)
-            return { ok: false, problem: `the declared face for tool ${quotedCallerText(tool)} does not fit the tool-face shape` };
-        faces[tool] = face;
-    }
-    return Object.keys(faces).length > 0 ? { ok: true, faces } : { ok: true };
-}
-//# sourceMappingURL=mcp-tool-faces.js.map

package/dist/orchestration/workflow-journal-entry.js

@@ -1,27 +0,0 @@
-export function journalEntryPayload(entry) {
-    return entry.parked !== undefined ? { payload: entry.parked, parked: true } : { payload: entry.result, parked: false };
-}
-export function journalRowPayloadOf(entry) {
-    const { payload, parked } = journalEntryPayload(entry);
-    return JSON.stringify(parked ? { parked: payload } : payload);
-}
-export const readJournalRowBody = (body) => {
-    if (typeof body !== "object" || body === null || Array.isArray(body)) {
-        return { problem: "expected a JSON object (a TaskResult, or the `{parked: …}` envelope)" };
-    }
-    if (!Object.hasOwn(body, "parked"))
-        return { value: { parked: false, payload: body } };
-    const payload = body.parked;
-    if (typeof payload !== "object" || payload === null || Array.isArray(payload)) {
-        return { problem: "the `parked` envelope does not carry an object" };
-    }
-    const terminal = payload.terminal;
-    if (terminal === undefined || terminal.kind !== "paused") {
-        return { problem: `recorded as PARKED but its stored terminal is "${terminal === undefined ? "absent" : terminal.kind}" (expected "paused") — a park row that cannot be driven must not be replayed as a completed result` };
-    }
-    return { value: { parked: true, payload: { ...payload, terminal } } };
-};
-export function journalEntryOfBody(callKey, body) {
-    return body.parked ? { callKey, parked: body.payload } : { callKey, result: body.payload };
-}
-//# sourceMappingURL=workflow-journal-entry.js.map