@sema-agent/server 7.134.0 → 7.135.0

package/dist/config.d.ts

@@ -75,7 +75,7 @@ export declare function parseNumOrFailNonNegative(name: string, raw: string | un
  *
  * `invalid-default` 是**缺省种类**(不写 `kind` 即是它)—— 历史形 `{env,raw}` 的存量生产者(`optFinitePositiveEnv`)
  * 因此逐字不动,它的断言也不破。(布尔族 `boolEnv` 自 [ref]-rc2 起未知词在 `parseBoolWord` 里拒启,不再往这里 push;
- * S-588 起旧负名走墓碑表 —— 两者都不是本种类的生产者。)
+ * [ref] 起旧负名走墓碑表 —— 两者都不是本种类的生产者。)
  */
 type ConfigWarningKind = "invalid-default" | "clamped" | "empty-preserved" | "entry-rejected" | "set-rejected" | "ineffective";
 interface ConfigWarning {
@@ -94,7 +94,7 @@ export declare function drainConfigWarnings(): ConfigWarning[];
  *  carries its own event name + fields (the warnings drain has one fixed "invalid, using default" message
  *  which would misdescribe an inference). main.ts drains + logs right after createLogger.
  *
- *  S-176 —— 每条带一个**级别**(闭集两词,排空处穷举 switch)。此前这一格固定按 warn 排空,于是「每次 boot 都成立的
+ *  [ref] —— 每条带一个**级别**(闭集两词,排空处穷举 switch)。此前这一格固定按 warn 排空,于是「每次 boot 都成立的
  *  常态事实」(posture 派生的档位)在这里没有位置:进 warn 会让一台一个字节都没配错的单机每次启动报警,另开一个
  *  收集器又是第五条日志族。级别写在**铸点**(不是按事件名在排空处猜):
  *   · `warn` —— 运维要看一眼的决定(推断出的 provider、被丢掉的缺省行、no-op 旋钮……):既有的每一条;
@@ -115,10 +115,10 @@ export declare function logConfigDiagnostics(logger: {
     info?: (event: string, fields?: Record<string, unknown>) => void;
     debug?: (event: string, fields?: Record<string, unknown>) => void;
 }): void;
-/** B-089:`Model.cost` 的四项(per-1M USD)。类型从 core 的 `Model` 取,不在本仓重列一份。 */
+/** [ref]:`Model.cost` 的四项(per-1M USD)。类型从 core 的 `Model` 取,不在本仓重列一份。 */
 type ModelCost = NonNullable<Model["cost"]>;
 /**
- * 🔴 B-089 —— `Model.cost` 这**一个键**的唯一铸点(可展开片段):有价目表 ⇒ 键在;没配 ⇒ **键不出**。
+ * 🔴 [ref] —— `Model.cost` 这**一个键**的唯一铸点(可展开片段):有价目表 ⇒ 键在;没配 ⇒ **键不出**。
  * 三个铸点(env 主槽 / env cheap 槽 / web-admin 车道)共用它,所以「缺席怎么表达」在本仓只有一处答案。
  *
  * `Model.cost` 自 core 7.16.0([ref])起在**类型面**上也是可选的(`dist/engine/llm/types.d.ts` 的
@@ -130,7 +130,7 @@ type ModelCost = NonNullable<Model["cost"]>;
  */
 export declare function buildModelCostKey(cost: ModelCost | undefined): Pick<Model, "cost">;
 /**
- * 🔴 B-089 —— 「配了 $ 成本天花板,但目录里一只带价模型都没有」的判据 + 文案(纯函数,零副作用)。
+ * 🔴 [ref] —— 「配了 $ 成本天花板,但目录里一只带价模型都没有」的判据 + 文案(纯函数,零副作用)。
  *
  * 两道天花板(`MAX_TASK_COST_USD` / `MAX_PRINCIPAL_COST_USD`)量的是 `costUsd`,而一只**未定价**的模型
  * 算不出成本([ref] 之后它连 `costMicroUsd` 这个键都不发)—— 于是这两根旋钮在这台机器上**永不可能
@@ -144,17 +144,17 @@ export declare function buildModelCostKey(cost: ModelCost | undefined): Pick<Mod
  * **采纳之后**(`main.ts` 的 `createWebAdminRuntime` 之后 / `run-local.ts` 的 `applyEffective` 之后)。
  *
  * 判据 = **目录里没有任何一只带价模型**,问法与 `budget.buildPricing` 的填表判据是**同一只函数**
- * (S-231:core 7.16.0 导出的 `isModelPriced`;第二参传 `undefined` = 这一问发生在注入表建起来之前,
+ * ([ref]:core 7.16.0 导出的 `isModelPriced`;第二参传 `undefined` = 这一问发生在注入表建起来之前,
  * 谓词落在「模型自报价了吗」那一半)。本模块刻意不 import `budget.ts`(那边挂着 metrics/fleet 一串
  * 运行期依赖,config 是纯解析层)—— 单源因此不是「谁 import 谁」,而是两边都问引擎那一只。
  */
-/** 「$ 天花板 × 价目表」的三位事实 —— 告警判据与清警原因的**同一只**读数(S-232 合并复审:清警要说得出为什么清)。 */
+/** 「$ 天花板 × 价目表」的三位事实 —— 告警判据与清警原因的**同一只**读数([ref] 合并复审:清警要说得出为什么清)。 */
 export interface CostCeilingPricingPosture {
     /** 配了的天花板旋钮名(空 = 一根都没配)。 */
     ceilings: string[];
     /** 生效目录里的模型 id(空 = 目录还空着)。 */
     modelIds: string[];
-    /** 目录里至少一只模型自报了价(`isModelPriced(m, undefined)`,S-231 单源)。 */
+    /** 目录里至少一只模型自报了价(`isModelPriced(m, undefined)`,[ref] 单源)。 */
     anyPriced: boolean;
 }
 export declare function costCeilingPricingPosture(models: Record<string, Model>, limits: {
@@ -184,7 +184,7 @@ export declare function buildUnpricedCeilingNotice(models: Record<string, Model>
  *  `boolEnv(x, true)` — for the two literals and for unset. Anything else goes through `parseBoolWord` ([ref]-rc2,
  *  [ref]): `1`/`0`/`yes`/`no`/`on`/`off` in any case are read as the operator meant them (`LSP_ENABLED=1` reads as
  *  "on" to a human, and now to the parser too), and an unknown word REFUSES TO BOOT — it no longer lands on the
- *  default with a warning (that was this helper's first form, retired with [ref]-rc2; S-588 corrected this note).
+ *  default with a warning (that was this helper's first form, retired with [ref]-rc2; [ref] corrected this note).
  *
  *  Note the deliberate non-migrations: the posture family (`postureOn`) keeps its tri-state — its unset case is
  *  neither `true` nor `false` but "single-user ∧ infra-ready" — and the sentinel-valued knobs (`MEMORY_ENGINE`,
@@ -195,7 +195,7 @@ export declare function buildUnpricedCeilingNotice(models: Record<string, Model>
  *  用",而实际设了就拒启——诊断面撒的谎比没有诊断更贵(它会让人先去试那个必然拒启的开关)。 */
 type ConfigKnobSource = "env" | "posture" | "default";
 export interface ConfigKnobRecord {
-    /** The env name. 3.0.0 起只有这一个名字 —— 负名别名已是墓碑(`RETIRED_ENVS` 的 replaced 行,S-588 起在场即拒)。 */
+    /** The env name. 3.0.0 起只有这一个名字 —— 负名别名已是墓碑(`RETIRED_ENVS` 的 replaced 行,[ref] 起在场即拒)。 */
     name: string;
     /** `opt-in` = default OFF, `opt-out` = default ON, `posture` = default derived from REQUIRE_PRINCIPAL ∧ infra. */
     polarity: "opt-in" | "opt-out" | "posture";
@@ -205,7 +205,7 @@ export interface ConfigKnobRecord {
 /** The registered boolean knobs, sorted by name — the data behind `logConfigDiagnostics`'s polarity table. */
 export declare function configKnobTable(): ConfigKnobRecord[];
 /** [ref] B4 ②:D 族四枚(`PROJECT_MEMORY` / `CONFIG_LKG` / `HOST_BG` / `HOST_EXEC_SPOOL`)的正名 —— 缺省开,读点只读正名。
- *  3.0.0 之前它们叫 `X_DISABLED`(读点上的双重否定);那四个旧负名是墓碑,在 `RETIRED_ENVS` 里(S-588 起在场即拒启,不论正名在不在)。
+ *  3.0.0 之前它们叫 `X_DISABLED`(读点上的双重否定);那四个旧负名是墓碑,在 `RETIRED_ENVS` 里([ref] 起在场即拒启,不论正名在不在)。
  *
  *  其中 `CONFIG_LKG_ENABLED`(远程配置的 LKG 盘缓存)已升成配置席 `configLkgEnabled`,由 `loadConfig` 一次铸出;这里只剩另外两个懒读孪生。 */
 /** The `host` exec lane's background-shell capability kill switch (read per capability probe in remote-env-host.ts). */
@@ -255,14 +255,14 @@ export declare function isRosterGateArmed(webAdmin: ServiceConfig["webAdmin"]):
  *     名单比的是**整串工具名**,带括号那串不是任何活工具的名字 ⇒ 永不匹配。指引=按命令名走
  *     `runtime.commandPolicy`,整条 shell 进门走 `MANUAL_MODE_SHELL_GATE=always`。判别式见
  *     {@link findCcRuleFormNames}(它同时是 `allow` 腿的**唯一**判据,见下方例外说明)。
- *   - 退役名(`bash`/`Task`/`KillShell`…)与 pre-prefix 短名(`figma__x`):S-1047(core 7.41.0 #1156)起判据是 core 导出的
+ *   - 退役名(`bash`/`Task`/`KillShell`…)与 pre-prefix 短名(`figma__x`):[ref](core 7.41.0 [ref])起判据是 core 导出的
  *     **那一只** `judgeRuleToolName`(准备阶段、两只会话规则店、本仓会话规则写口同调),本函数零手写臂;指引 = core 表给的现役指引 /
  *     补全协议前缀。
- *   - 够不着挂载工具的协议名:**对端段铸不出**(`mcp__github.com`、`mcp__github.com__*`、`mcp__*`、超长 / 归一后带连串下划线的服务器段、对端段为空的
- *     `mcp__` / `mcp____x`)—— 前缀对,但引擎铸注册名时归一对端段,而规则对对端段逐字比,永不匹配。判官是引擎的 `judgeRuleToolName`(core 7.43.0 #1355 (b)
+ *   - 够不着挂载工具的协议名:**对端段铸不出**(`mcp__github.com`、`mcp__github.com__*`、对端段里的部分通配 `mcp__git*`、超长 / 归一后带连串下划线的服务器段、对端段为空的
+ *     `mcp__` / `mcp____x`)—— 前缀对,但引擎铸注册名时归一对端段,而规则对对端段逐字比,永不匹配。判官是引擎的 `judgeRuleToolName`(core 7.43.0 [ref] (b)
  *     的判词 `unmintable_segment`,句子带它的 guidance 与 1:1 现名);本仓 7.116.0–7.117.x 那只自比 `mintNamespacePrefix` 的对照随之退役。
- *     **工具段为空**(`mcp__srv__`)core 7.48.0 #1400 起也是这一判词(7.116.0–7.122.x 由本仓自答,随之退役)。
- *     ⚠️ 两段覆盖形 `mcp__<server>`(服务器段是自铸形)够得着(S-1047 收掉的分叉,见下)。
+ *     **工具段为空**(`mcp__srv__`)core 7.48.0 [ref] 起也是这一判词(7.116.0–7.122.x 由本仓自答,随之退役)。
+ *     ⚠️ 两段覆盖形 `mcp__<server>`(服务器段是自铸形)够得着([ref] 收掉的分叉,见下)。
  *   - **core 的文法编不出来的串**:判词取自 core 自己的 `validatePermissionRules`,射程与指引见 {@link uncompilableRuleGuidance}
  *     (名表消费者只递得来名字里带反斜杠、单条 >512 字符、空串三种;规则编译器消费者递来的每一条内容形都走这里)。[ref]①([ref])补齐 ——
  *     此前只有 `ask` 腿(经 `createPermissionRulePolicy` 的 throw)拒得出这一族,`deny` 静默 no-op。
@@ -278,12 +278,14 @@ export declare function isRosterGateArmed(webAdmin: ServiceConfig["webAdmin"]):
  * `<ns>__<server>__*` / `<ns>__<server>__<glob>` 在**每一条**腿上都是**真判**,不再是
  * 「放行进 no-op」—— 而那正是 [ref] 病形(`APPROVAL_DENY=mcp__figma__*` 判 allow)的根。
  *
- * 🔴 **S-1047(core 7.41.0 #1156)收掉的分叉:两段覆盖形 `<ns>__<server>`(`mcp__figma`)自 7.116.0 起受理**。core 全家把它解成
+ * 🔴 **[ref](core 7.41.0 [ref])收掉的分叉:两段覆盖形 `<ns>__<server>`(`mcp__figma`)自 7.116.0 起受理**。core 全家把它解成
  * covering(这台服务器的每一只工具,与 `mcp__figma__*` 同义),core 的判词 `judgeRuleToolName` 判它 `current`,本仓会话规则写口也一直
  * 收它;而本函数此前以「一名两义」(运维也可能是把三段名写漏了一段)拒它,句子却说它「永远不生效」—— 对它不成立,且同一个名字在本仓两张表上
  * 两种答案。收成一个答案:受理。代价(三问在 CHANGELOG 7.116.0):少了「三段名漏打一截」的那一次拦截 —— 想要一只工具就写全名;
- * 拒放集合的变化逐条在 MIGRATION 7.116.0 节。服务器段带通配(`mcp__*`)仍拒(core 的匹配器对服务器段逐字比,一只都够不着;7.116.0 起它是
- * 「对端段铸不出」的一例,不再单列)。
+ * 拒放集合的变化逐条在 MIGRATION 7.116.0 节。
+ * 🔴 **core 7.55.0 [ref] 起整个协议的名字 `mcp__*` / `mcp__*__*`(与 `a2a__*`)在这些限制表里受理**:引擎的判官与覆盖匹配器按表的态度读名字,限制侧把它们读成
+ * 这一协议的每一只工具 —— 本函数按表的态度问判官(名表消费者的态度 = `NAME_TABLE_BEHAVIOR`,`approval.ts` 的匹配器读同一个),不再拒;7.116.0–7.134.x 它们是
+ * 「对端段铸不出」的一例(那时引擎的匹配器对服务器段逐字比,一只都够不着)。对端段里的**部分**通配(`mcp__git*`)哪张表都读不出,照旧拒。
  */
 export interface UnmatchableToolName {
     name: string;
@@ -295,18 +297,18 @@ export interface UnmatchableToolName {
     reason: string;
 }
 /**
- * S-177(core 7.9.0 [ref])—— **这条名单条目喂给谁**,决定「永不匹配」这句话怎么判。三个消费者形态:
+ * [ref](core 7.9.0 [ref])—— **这条名单条目喂给谁**,决定「永不匹配」这句话怎么判。三个消费者形态:
  *
  *  · `"tool-name-table"` —— 消费者按**整串工具名**比对(精确 ∪ covering):env `APPROVAL_*` 三键与
  *    中心下发 `runtime.approvalRequire`(消费者 `createDurableAskPolicy`)。带括号的内容形
  *    在这里永远匹配不上任何活工具名 —— 与引擎的规则文法认不认得它**无关**,是这条腿的比对方式决定的,
  *    所以内容形照旧响亮拒 + 指路。
  *  · `"rule-policy"` —— 消费者是 core 的**规则编译器**(`createPermissionRulePolicy`):`settings.permissions.deny` / `.ask`
- *    (S-177 / core 7.9.0 起)。引擎**真的按内容匹配** deny / ask 的内容形(`Bash(rm -r:*)` / `Edit(~/.sema/**)`),所以本仓不许再替它拒 ——
+ *    ([ref] / core 7.9.0 起)。引擎**真的按内容匹配** deny / ask 的内容形(`Bash(rm -r:*)` / `Edit(~/.sema/**)`;core 7.55.0 起 `WebFetch(domain:<host>)` 按调用到达的主机),所以本仓不许再替它拒 ——
  *    判据整条交回 core 的 `validatePermissionRules`,按这张表自己的 behavior 问。core 7.42.0 起策略只说 deny / ask(allow 表不再是本消费者)。
- * (7.117.0 有过第三种 `"allow-layer"` —— 请求的 `settings.permissions.allow` 只判名字。7.118.0 / core 7.43.0 #1358 起引擎的 allow 层自己按名册读条目名并通告
+ * (7.117.0 有过第三种 `"allow-layer"` —— 请求的 `settings.permissions.allow` 只判名字。7.118.0 / core 7.43.0 [ref] 起引擎的 allow 层自己按名册读条目名并通告
  *  (`permission.allowed_tool_not_granted`,`reason: "tool_name"` / `near_miss`)⇒ 本仓的名字判退役,allow 侧整只交引擎;7.116.0–7.122.x 另拒的「工具段为空」
- *  一形随 core 7.48.0 #1400 也交引擎。)
+ *  一形随 core 7.48.0 [ref] 也交引擎。)
  */
 export type RuleEntryConsumer = "tool-name-table" | "rule-policy";
 /**
@@ -346,7 +348,7 @@ export declare function judgeUnmatchableToolNames(source: string, names: readonl
  * allow 表同一份(`rule-entry-list.ts`):
  *  ① 值不是字符串表 ⇒ 拒(env 的 CSV 恒给字符串表;判在这里是为了「值一旦换了来源,第一道判仍在」);
  *  ② 引擎读成空的条目(`compileAllowList(names, "allow", 名册).inert` 非空 —— `*`、`mcp__*`、写路径 / 域名形、带空白或畸形的名字,以及
- *     core 7.43.0 起条目名过引擎判官读成 `tool_name` 的退役名 / 无前缀短名 / 对端段铸不出,core 7.48.0 #1400 起含工具段为空的 `mcp__<srv>__`;
+ *     core 7.43.0 起条目名过引擎判官读成 `tool_name` 的退役名 / 无前缀短名 / 对端段铸不出,core 7.48.0 [ref] 起含工具段为空的 `mcp__<srv>__`;
  *     7.116.0–7.122.x 那一形由本仓先拒,随之退役)⇒ 拒,句子点名条目、引擎给的原因词(名字层带判词与现名)、
  *     该怎么写。请求的 allow 侧对 ② 只收通告;运维这一侧拒启:这是运维自己的配置,写错了当场改,而引擎对读成空的部署条目只在每一跑发一条通告。
  * 文法随引擎:工具名、协议名覆盖形、`Bash(...)` 命令规则、`Read(//dir/**)` 读目录都收(内容形里带逗号的写不进 CSV —— 这张表的分隔符就是逗号)。

package/dist/config.js

@@ -7,6 +7,7 @@ import { compileAllowList, inheritEnvPolicyProblem, BUILTIN_COMPLIANCE_DENIES, C
 import { ROSTER_PRIMARY_ROLES, ROSTER_CHEAP_ROLES, WEB_ADMIN_ENV, retiredEnvRefusal, stripControlAndBidi } from "@sema-agent/settings-schema";
 import { parseApprovalHmacKeys, parsePrincipalJwks } from "./auth-keys.js";
 import { DEFAULT_ELICITATION_THROTTLE } from "./elicitation.js";
+import { buildRuleListJudgeOptions } from "./permission-rule-list.js";
 import { isV2ScopeKey, memoryReplicationCoverage, replicatesProjectLayersOf } from "./memory-scope.js";
 import { assertProjectLayerOwnable } from "./project-identity.js";
 import { projectLayerOwnerOf } from "./project-layer-key.js";
@@ -24,7 +25,7 @@ import { buildReadFacePostureNotice, settleDerivedReadFace } from "./read-face-p
 import { THINKING_LEVELS, THINKING_FORMATS, buildModelCompat, isThinkingFormat, isThinkingTier } from "./model-compat.js";
 import {} from "./posture-source.js";
 import { COST_QUOTA_WINDOW_SEC_RANGE, costQuotaWindowSecInRange } from "./observability/cost-quota.js";
-import { TOOL_NAME_ROSTER, describeUnmatchableRuleName, ruleEntryToolName, unmatchableRuleNameOf } from "./namespaced-rule-name.js";
+import { NAME_TABLE_BEHAVIOR, TOOL_NAME_ROSTER, describeUnmatchableRuleName, ruleEntryToolName, unmatchableRuleNameOf } from "./namespaced-rule-name.js";
 import { bakeOperatorPrincipalsRefusal, bakeRunnerCredentialRefusal, centerIdentityRefusal, halfOpenDirectDoorRefusal, leaderDurableStoreRefusal, operatorPrincipalsRequiredRefusal, operatorSingleUserRefusal, workflowParkDecisionDomainRefusal } from "./config-invariants.js";
 import { declaredSemaConfigDir } from "./sema-config-dir.js";
 import { lkgPathOverrideOf } from "./config-lkg.js";
@@ -32,7 +33,8 @@ import { K8S_WORKSPACE_MOUNT_DEFAULT, WORKSPACE_PERSIST_DEFAULT, WORKSPACE_PERSI
 import { laneLivenessOf } from "./exec-bounds.js";
 import { SANDBOX_IPV6_DEFAULT, SANDBOX_IPV6_WORDS } from "./sandbox-egress-policy.js";
 import { WORKSPACE_CACHE_DEFAULT, WORKSPACE_CACHE_MOUNT_DEFAULT, WORKSPACE_CACHE_MOUNT_RESERVED, WORKSPACE_CACHE_SIZE_DEFAULT, WORKSPACE_CACHE_WORDS, isK8sQuantity, mountsOverlap, reservedMountCollision } from "./workspace-cache.js";
-import { REMOTE_EXEC_PROVIDER_WORDS, executionLaneOf, executionLaneRequiredRefusal, isSingleMachineDefaultLane, laneRequiredEnv } from "./execution-lane-caps.js";
+import { DEPLOYMENT_SHAPE_PREDICATES } from "./deployment-shape.js";
+import { REMOTE_EXEC_PROVIDER_WORDS, executionLaneOf, executionLaneRequiredRefusal, laneRequiredEnv } from "./execution-lane-caps.js";
 import { MEMORY_ENGINE_BACKENDS, SESSION_BACKENDS, STORE_BACKENDS } from "@sema-agent/settings-schema/execution-lanes";
 import { AUTONOMY_MODES } from "./runtime-governance.js";
 import { MAX_NAMED_INERT_ENTRIES, allowLayerEntryCountIssue, describeInertRuleEntries, inertRuleEntriesOf, inertRuleEntryGuidance, ruleEntryListShapeOk } from "./rule-entry-list.js";
@@ -187,7 +189,7 @@ function buildExecLaneNotice(remoteExec) {
     const lane = executionLaneOf(remoteExec?.provider);
     return {
         lane,
-        source: lane === "in-process" ? "default-unset" : isSingleMachineDefaultLane(remoteExec) ? "default-local-provider" : "explicit-env",
+        source: lane === "in-process" ? "default-unset" : DEPLOYMENT_SHAPE_PREDICATES.singleMachineDefaultLane.holds({ remoteExec }) ? "default-local-provider" : "explicit-env",
     };
 }
 const ENV_VALUE_ECHO_CHARS = 120;
@@ -1188,7 +1190,7 @@ function ccRuleFormGuidance(name) {
         `to put every shell call behind an approval use MANUAL_MODE_SHELL_GATE=always`);
 }
 function uncompilableRuleGuidance(name, behavior, pathBases) {
-    const issues = validatePermissionRules([{ rule: name, behavior }], pathBases !== undefined ? { pathBases } : undefined);
+    const issues = validatePermissionRules([{ rule: name, behavior }], buildRuleListJudgeOptions(pathBases));
     const issue = issues[0];
     if (issue === undefined)
         return undefined;
@@ -1205,7 +1207,7 @@ function findUnmatchableToolNames(names, opts) {
             }
         }
         const subject = opts.consumer === "tool-name-table" ? name : ruleEntryToolName(name);
-        const verdict = unmatchableRuleNameOf(subject);
+        const verdict = unmatchableRuleNameOf(subject, opts.behavior);
         if (verdict?.kind === "retired") {
             out.push({ name, guidance: describeUnmatchableRuleName(verdict, subject), reason: verdict.kind });
             continue;
@@ -1318,7 +1320,7 @@ function parseApprovalDomain(ctx) {
     const dgHmacKeys = parseApprovalHmacKeys(process.env.APPROVAL_HMAC_KEYS, announceKeySetRejection("APPROVAL_HMAC_KEYS"));
     const durableApproval = postureOn("DURABLE_APPROVAL", infraReady);
     const rejectUnmatchableToolNames = (envName, names) => {
-        const unmatchable = unmatchableToolNamesRefusal(envName, names, { consumer: "tool-name-table", behavior: "deny" });
+        const unmatchable = unmatchableToolNamesRefusal(envName, names, { consumer: "tool-name-table", behavior: NAME_TABLE_BEHAVIOR });
         if (unmatchable !== undefined)
             throw new Error(unmatchable.message);
         return names;
@@ -2185,7 +2187,7 @@ function parseIntegrationsDomain(ctx) {
         skillsDir: env("SKILLS_DIR", defaultSkillsDir()),
         centerCredentialRenewLeadMs: parseCenterCredentialRenewLeadMs(process.env.CENTER_CREDENTIAL_RENEW_LEAD_MS),
         webAdmin,
-        fleetLeaseFailClosed: parseFleetLeaseFailClosed(process.env.FLEET_LEASE_FAIL_CLOSED, requirePrincipal),
+        fleetLeaseFailClosed: parseFleetLeaseFailClosed(process.env.FLEET_LEASE_FAIL_CLOSED, DEPLOYMENT_SHAPE_PREDICATES.multiTenant.holds({ requirePrincipal })),
         ...fleetGeneration,
         fleetScope: parseFleetScope(process.env.FLEET_SCOPE),
         ...fleetAdvertiseAddress,
@@ -2266,10 +2268,10 @@ function parseFleetLeaseOutageMaxMs(raw) {
     }
     return n;
 }
-function parseFleetLeaseFailClosed(raw, requirePrincipal) {
+function parseFleetLeaseFailClosed(raw, multiTenant) {
     const explicit = parseBoolWord("FLEET_LEASE_FAIL_CLOSED", raw);
-    const value = explicit ?? requirePrincipal;
-    registerKnob({ name: "FLEET_LEASE_FAIL_CLOSED", polarity: "posture", value, source: explicit !== undefined ? "env" : requirePrincipal ? "posture" : "default" });
+    const value = explicit ?? multiTenant;
+    registerKnob({ name: "FLEET_LEASE_FAIL_CLOSED", polarity: "posture", value, source: explicit !== undefined ? "env" : multiTenant ? "posture" : "default" });
     return value;
 }
 function parseCenterBaseUrl(name, raw, role) {

package/dist/cross-session-settings.d.ts

@@ -1,5 +1,5 @@
 /**
- * S-111 件③ —— 跨会话入站治理的**三层供给**([ref] §4.4)。
+ * [ref] 件③ —— 跨会话入站治理的**三层供给**([ref] §4.4)。
  *
  * 分工(单一属主):**判定归引擎**(`resolveCrossSessionInboundSetting` 的层次收紧 + `judgeCrossSessionInbound`
  * 的 mode-parity 与 hold 因由,全在 core 的纯函数里);**本仓只供层**。本文件不判、不折、不比较秩——

package/dist/delegated-session-owner.d.ts

@@ -1,5 +1,5 @@
 /**
- * 🔴 **委派子代会话的属主 —— 一条律;三处写点,各自的来源集;属主 = 判断时见证到的,写只 CAS 子行自己**(S-1770)。
+ * 🔴 **委派子代会话的属主 —— 一条律;三处写点,各自的来源集;属主 = 判断时见证到的,写只 CAS 子行自己**([ref])。
  *
  * ## 律
  * 一只委派子代会话(引擎为委派铸的 placed 会话,或停驻时从私店拷进宿主店的子代会话)的属主**不是它自己的事实**:它是发起它的那棵委派树的
@@ -11,6 +11,10 @@
  *     鉴权边界拒任何报出它的主体)+ 写落下之后一行 warn `delegated_session_owner_orphaned`。宁可没人能读,也不让谁都能读。
  * 一只记下的根 / 父是空串(`''`)⇒ 读作没有那一格(与 `session-placement.ts` 的 `placementFromRow` 同一个读法;M23 的扫描句在同一条语句里对连接键套
  * `NULLIF(…, '')`,与判据同读)。
+ * **与引擎属主对说法不同(如实登记,收口在引擎)**:引擎 7.55.0 的属主对把「acquire 建的行」与 placed 行一并列为记 `null`(匿名);本律对**每一只** placed 行
+ * 在建行那一笔记委派树的属主(哨兵只是「来源都不在」那一形)—— 照引擎的读法记 `null`,在本服务的门上就只有 fleet 调用方读得到(发起它的主体自己读不到;`security.ts` 的 `ownerlessRowOpen`)、且留在认领句 / M23 的射程里,
+ * 照引擎「匿名 = 对每个主体放行」的字面读法则是拿到 id 的人都读得到;哨兵两条路都不走。引擎会话店试剂盒「对已有的行
+ * register 什么都不做」一格因此在 SQL 两店上登记待翻格,盒那一格的不变量(register 不认领任何已有的行)另由正向钉逐步断言(`test/store-contract-kit-db-integration.test.ts` §9b)。
  * **写只 CAS 子行自己**:`owner IS NULL ∧ incarnation = 判断时读到的子行化身 ∧ placed`({@link CLAIM_OWNERLESS_PLACED_SQL},两方言各一句)。判断与写之间
  * 根 / 父被删、被同 id 重建、换住客 —— 写进去的仍是**判断时那棵树**的属主,这正是律要的:不锁根、不读根、不要求「根到写时还是那个根」。之后与任何会话一样
  * 首写不可变(`register` 的首写律)。判断那一刻的检查照旧在判断里做、不进 CAS:宿主行记下的根是不是这一棵;调用方见证之后根行换没换住客
@@ -47,14 +51,14 @@
  * local 店不实现 placement(子代住私店、只经停驻挂点进宿主店),没有第一处与第三处,也不认领(上一节)。
  */
 import type { SessionPlacement } from "@sema-agent/core";
-import { type SessionFace, type SessionFaceReader } from "./session-incarnation.js";
+import { type HeadRead, type SessionFace } from "./session-incarnation.js";
 /** 孤行哨兵属主的前缀(保留主体前缀:`security.ts` 的 `RESERVED_PRINCIPAL_PREFIXES` 登记它,任何身份来源报出带它的主体都在鉴权边界被拒)。 */
 export declare const ORPHAN_SESSION_OWNER_PREFIX = "_orphan:";
 /** 一只推不出属主的子代会话的哨兵属主(每只会话一个值:即便哪天有谁误配出这个串,也只够得着这一只)。 */
 export declare function orphanSessionOwner(sessionId: string): string;
 /** 这只属主是不是孤行哨兵(自己推不出、或继承自一只推不出的祖先 —— 两者都没有任何调用方匹配)。前缀的知识只住在本模块。 */
 export declare function isOrphanSessionOwner(owner: string | null): boolean;
-/** 一只来源行在本店的读数:`undefined` = 本店没有这一行;`null` = 行在、无主;串 = 属主(与 `ownerOf` 的三态同义)。 */
+/** 一只来源行在本店的读数:`undefined` = 本店没有这一行;`null` = 行在、无主;串 = 属主(与 `headOf(id)?.owner` 的三态同义)。 */
 export type SourceOwnerReading = string | null | undefined;
 /** 律的判决:继承自哪一行(属主可以是 `null` = 来源行无主),或孤行(哨兵属主)。 */
 export type InheritedOwner = {
@@ -119,7 +123,7 @@ export interface PlacedRowWriter {
     readonly readFaces: SourceFacesReader;
     /** 建行那一条 INSERT(属主与 placement 同一条落库;行已在 ⇒ 一个字节不动,首写律)。 */
     insert(owner: string | null): Promise<void>;
-    /** 写后读回本行的属主(店的 `ownerOf`:`undefined` = 行不在)—— 只为判「本笔的哨兵落没落下」。 */
+    /** 写后读回本行的属主(店的头读 `headOf(id)?.owner`:`undefined` = 行不在)—— 只为判「本笔的哨兵落没落下」。 */
     readOwner(): Promise<string | null | undefined>;
 }
 /**
@@ -147,20 +151,19 @@ export interface DelegationTreeStore {
     readonly placementOf: (sessionId: string) => Promise<PlacementSources | undefined>;
     readonly claimOwnerless: OwnerlessClaim;
 }
-/** 停驻挂点要的宿主店口(属主读 / 属主 + 化身一次读;记录委派树的店另有 {@link DelegationTreeStore})。 */
+/** 停驻挂点要的宿主店口(按 id 读一行的唯一读口 `headOf` —— 属主与住客都是它的投影;记录委派树的店另有 {@link DelegationTreeStore})。 */
 export interface DelegatedOwnerHost {
-    readonly ownerOf: (sessionId: string) => Promise<string | null | undefined>;
-    readonly sessionFaceOf: SessionFaceReader;
+    readonly headOf: HeadRead;
     /** 缺席 = 这只店不记委派树(不实现 placement)。 */
     readonly trees: DelegationTreeStore | undefined;
 }
 /**
- * 「这只宿主店能不能承载委派子代的属主」—— 只判这一处(停驻快路与晋升建行读同一只):`ownerOf` + 住客脸都在 ⇒ 绑好的 {@link DelegatedOwnerHost};缺任一只 ⇒ `undefined`
- * (调用方响亮拒:读不回属主的宿主店上,停驻出来的就是一只谁都能读的转录)。记录委派树的两只口(`placementOf` + `claimOwnerless`)**同在或同缺**:同在 ⇒ `trees`;
- * 同缺 ⇒ 不记委派树;只有一只 ⇒ `undefined`(记着树却认领不了,或认领却读不回树 —— 半只店不猜)。住客脸的「能不能」沿用 `sessionFaceReadOf` 的同一处判法。
+ * 「这只宿主店能不能承载委派子代的属主」—— 只判这一处(停驻快路与晋升建行读同一只):店有按 id 的头读(`headOf`,「有没有」沿用 `headReadOf` 的同一处判法)⇒
+ * 绑好的 {@link DelegatedOwnerHost};没有 ⇒ `undefined`(调用方响亮拒:读不回属主的宿主店上,停驻出来的就是一只谁都能读的转录)。记录委派树的两只口
+ * (`placementOf` + `claimOwnerless`)**同在或同缺**:同在 ⇒ `trees`;同缺 ⇒ 不记委派树;只有一只 ⇒ `undefined`(记着树却认领不了,或认领却读不回树 —— 半只店不猜)。
  */
 export declare function delegatedOwnerHostOf(store: {
-    readonly ownerOf?: (sessionId: string) => Promise<string | null | undefined>;
+    readonly headOf?: unknown;
     readonly placementOf?: (sessionId: string) => Promise<PlacementSources | undefined>;
     readonly claimOwnerless?: OwnerlessClaim;
 }): DelegatedOwnerHost | undefined;
@@ -180,6 +183,6 @@ export interface SettledOwner {
  *  3. 比对 —— 此刻的属主不是律给的那一只(记着委派树 ⇒ 按记录的树判的那一只;否则 = `owner`)⇒ 抛。
  */
 export declare function settleDelegatedOwner(host: DelegatedOwnerHost, sessionId: string, owner: string | null, tree: DelegationTree): Promise<SettledOwner>;
-/** 按 id 逐只读会话面的店(`sessionFaceOf`)→ {@link SourceFacesReader}。 */
-export declare function sourceFacesVia(sessionFaceOf: SessionFaceReader): SourceFacesReader;
+/** 按 id 逐只读头的店(`headOf`,活住客经 `sessionFaceOfHead` 投影 —— 空化身响亮拒)→ {@link SourceFacesReader}。 */
+export declare function sourceFacesVia(headOf: HeadRead): SourceFacesReader;
 //# sourceMappingURL=delegated-session-owner.d.ts.map

package/dist/delegated-session-owner.js

@@ -1,4 +1,4 @@
-import { sessionFaceReadOf } from "./session-incarnation.js";
+import { headReadOf, sessionFaceOfHead } from "./session-incarnation.js";
 export const ORPHAN_SESSION_OWNER_PREFIX = "_orphan:";
 export function orphanSessionOwner(sessionId) {
     return `${ORPHAN_SESSION_OWNER_PREFIX}${sessionId}`;
@@ -66,23 +66,22 @@ export function assertRootStillWitnessed(sessionId, witness, judged) {
         "so the root's current owner is not the owner of this delegation tree");
 }
 export function delegatedOwnerHostOf(store) {
-    const ownerOf = store.ownerOf;
-    const sessionFaceOf = sessionFaceReadOf(store);
+    const headOf = headReadOf(store);
     const placementOf = store.placementOf;
     const claimOwnerless = store.claimOwnerless;
-    if (typeof ownerOf !== "function" || sessionFaceOf === undefined)
+    if (headOf === undefined)
         return undefined;
     if ((typeof placementOf === "function") !== (typeof claimOwnerless === "function"))
         return undefined;
     const trees = typeof placementOf === "function" && typeof claimOwnerless === "function"
         ? { placementOf: (id) => placementOf.call(store, id), claimOwnerless: (id, incarnation, owner) => claimOwnerless.call(store, id, incarnation, owner) }
         : undefined;
-    return { ownerOf: (id) => ownerOf.call(store, id), sessionFaceOf, trees };
+    return { headOf, trees };
 }
 export async function settleDelegatedOwner(host, sessionId, owner, tree) {
     const refuse = () => new Error(`session "${sessionId}" cannot be parked as this delegated session: the host session store holds a session with this id that is not this delegation tree's ` +
         "(a different owner, or a different recorded delegation root), and the transcript is neither copied into it nor attested by it");
-    const face = await host.sessionFaceOf(sessionId);
+    const face = sessionFaceOfHead(sessionId, await host.headOf(sessionId));
     const trees = host.trees;
     const recorded = face === undefined || trees === undefined ? undefined : await trees.placementOf(sessionId);
     let expected = owner;
@@ -91,7 +90,7 @@ export async function settleDelegatedOwner(host, sessionId, owner, tree) {
     if (face !== undefined && trees !== undefined && recorded !== undefined) {
         if ((sourceIdOf(recorded.rootSessionId) ?? null) !== tree.root)
             throw refuse();
-        judged = await readDelegatedOwner(sessionId, recorded, sourceFacesVia(host.sessionFaceOf));
+        judged = await readDelegatedOwner(sessionId, recorded, sourceFacesVia(host.headOf));
         if (tree.root !== null)
             assertRootStillWitnessed(sessionId, { sessionId: tree.root, incarnation: tree.rootIncarnation }, judged);
         expected = judged.inherited.owner;
@@ -101,15 +100,15 @@ export async function settleDelegatedOwner(host, sessionId, owner, tree) {
                 throw refuse();
         }
     }
-    if ((await host.ownerOf(sessionId)) !== expected)
+    if ((await host.headOf(sessionId))?.owner !== expected)
         throw refuse();
     return { claimed, judged };
 }
-export function sourceFacesVia(sessionFaceOf) {
+export function sourceFacesVia(headOf) {
     return async (ids) => {
         const out = new Map();
         for (const id of ids) {
-            const face = await sessionFaceOf(id);
+            const face = sessionFaceOfHead(id, await headOf(id));
             if (face !== undefined)
                 out.set(id, face);
         }

package/dist/deployment-governance.d.ts

@@ -11,15 +11,15 @@ export interface DeploymentGovernanceConfigView {
     readonly commandPolicy?: ServiceConfig["commandPolicy"];
     readonly manualModeShellGate?: ServiceConfig["manualModeShellGate"];
     readonly sensitiveWritePatterns: ServiceConfig["sensitiveWritePatterns"];
-    /** core 7.46.0 #1419:部署声明的配置根 —— 守卫集的 `.sema/…` 模式在根下同样守(与 Runner 的同名座同一个值,`loadConfig` 铸)。 */
+    /** core 7.46.0 [ref]:部署声明的配置根 —— 守卫集的 `.sema/…` 模式在根下同样守(与 Runner 的同名座同一个值,`loadConfig` 铸)。 */
     readonly agentConfigDir?: ServiceConfig["agentConfigDir"];
     /**
      * 本部署的**本地店根**(`LOCAL_DATA_ROOT → CONFIG_LOCAL_DIR → AGENT_DATA_DIR → ~/.ai-agent`)—— 在本口只喂
-     * **誊本门**(`<localDataRoot>/sessions`)。S-133 起它**不再**当守卫集的数据根(那是引擎记忆根);core 7.49.0 [ref] 起守卫集
+     * **誊本门**(`<localDataRoot>/sessions`)。[ref] 起它**不再**当守卫集的数据根(那是引擎记忆根);core 7.49.0 [ref] 起守卫集
      * 根本不收数据根 —— 豁免根只从 `RunnerDeps.memoryEngineDir` 一处来(`boot/runner-deps.ts` 共享基座,每只 boot Runner 同一个值)。
-     * 下面这段历史注保留,记的是 S-125 件⑦ 把两根混作一根的由来。
+     * 下面这段历史注保留,记的是 [ref] 件⑦ 把两根混作一根的由来。
      *
-     * S-125 件⑦(core 7.4.0 [ref] HRD-PRM-10)—— 当时把本键原样交给 `createSensitivePathPolicy` 的 `dataRoot`。
+     * [ref] 件⑦(core 7.4.0 [ref] HRD-PRM-10)—— 当时把本键原样交给 `createSensitivePathPolicy` 的 `dataRoot`。
      *
      * 为什么必须**显式**传而不是吃 core 的缺省:core 的缺省是 `$AGENT_DATA_DIR ?? ~/.ai-agent`,而本仓的
      * 数据根解析链多一节最高优先级的覆盖(`config.ts`:`LOCAL_DATA_ROOT → CONFIG_LOCAL_DIR → AGENT_DATA_DIR
@@ -47,11 +47,11 @@ export interface PathAdjudication {
     readonly env: ExecutionEnv;
     /** 相对路径基准(core 的 `rootPath`)。缺席 ⇒ 相对形在真身那层判不了,补词法臂(见下)。 */
     readonly cwd?: string;
-    /** 🔴 S-177:**真任务根**(权限规则模式的基)。与上面那个 `cwd` 分开:后者在 host 腿的无 session-cwd
+    /** 🔴 [ref]:**真任务根**(权限规则模式的基)。与上面那个 `cwd` 分开:后者在 host 腿的无 session-cwd
      *  形上是一个永不创建的哨兵目录 —— 对写门 fail-safe,对规则 fail-open。理由逐字见
      *  `task-settings.ts` 的 `FsWriteGateWiring.taskRoot`。缺席 ⇒ 需要基的规则拼法被 core 整表拒(fail-loud)。 */
     readonly taskRoot?: string;
-    /** 🔴 S-177 / codex r2 + S-213④:**执行环境的 home**(`~/…` 形规则的基)。在**本部署的执行车道
+    /** 🔴 [ref] / codex r2 + [ref]④:**执行环境的 home**(`~/…` 形规则的基)。在**本部署的执行车道
      *  真知道自己的 home 时**在场 —— 判据的唯一属主是 `execution-lane-caps.ts` 的 `executionLaneHomeDir`
      *  (adapter 的 `ExecutionEnv.homeDir` 座读的是同一个函数)。绝不回落引擎进程自己的 home:远端车道上
      *  那是另一个用户的目录,拿它去匹配 = 一条收紧规则静默守错地方。逐字见
@@ -63,16 +63,16 @@ export interface LiveQuestionFace {
     hasLiveContext(): boolean;
 }
 /**
- * S-694 —— 审批基线的**席**:这条腿上「一个名单产的 `ask` 由谁来服」。闭集三形,每条腿**显式**说出自己那一形
+ * [ref] —— 审批基线的**席**:这条腿上「一个名单产的 `ask` 由谁来服」。闭集三形,每条腿**显式**说出自己那一形
  * ({@link createApprovalBaselinePolicy} 的席参数必填、按 `kind` 穷举 —— 闭集 +1 = 编译红):
  *  · `durable` —— checkpoint suspend/resume 服 ask(HTTP 腿 durable 开、park 赎回腿)。AskUserQuestion 的问答门
  *    **只**叠在这一形上(它的 `ask` 语义就是 durable park)。
  *  · `live`    —— Runner 的活 onAsk 席当场服 ask(run-local 的 `createLocalApprover`:TTY 问 y/N / 无 TTY 当场拒;
  *    core `isLiveApproverSeat(onAsk)` 为真时 `suspendAsk` 早退,ask 落回调)。三张名单与 durable 席**同一只**策略。
  *  · `absent`  —— 没有谁服 ask ⇒ adjudicated allow-all;**只**服务零名单(HTTP 腿「durable 关 ∧ 单用户零意图」)。
- *    带名单进来 = 响亮拒:名单被一条没有席的腿静默吞掉,正是 S-694 的病形。
+ *    带名单进来 = 响亮拒:名单被一条没有席的腿静默吞掉,正是 [ref] 的病形。
  *
- * 🔴 由来(S-694):修前席是一个**可选**参数、缺席即 allow-all。run-local 调它时没传 ⇒ 三张名单一张都不进策略,
+ * 🔴 由来([ref]):修前席是一个**可选**参数、缺席即 allow-all。run-local 调它时没传 ⇒ 三张名单一张都不进策略,
  * 而这条腿其实**有**一只活 onAsk 席 —— [ref] 件一把「没有 durable 赎回腿」等同成了「ask 无处可服」。
  * 席必填之后,「这条腿能不能服 ask」是每个调用点必须写出来的一句话,不再是一个忘了写就成立的缺省。
  */
@@ -104,7 +104,7 @@ export interface AbsentApprovalSeat {
  * 也不会产出空答:coordinator 无 ALS ctx ⇒ 冻结 `{kind:"unavailable"}`(src/question.ts),永不悬挂;
  * park 仍是把问题送到人面前的唯一那条腿,正当性不变、只是反事实前提换了)。
  * 工具名取 `approval-content-kind.ts` 的单一属主(它 re-export core 根导出的 `ASK_USER_QUESTION_TOOL_NAME`);
- * server.ts 的 pre-CAS 守卫读同一枚(S-213①:此处旧注称该常量「core 未根导出」= 失实,曾据此手抄 13 处)。
+ * server.ts 的 pre-CAS 守卫读同一枚([ref]①:此处旧注称该常量「core 未根导出」= 失实,曾据此手抄 13 处)。
  * ⚠️ **单一属主**(复审 A2):AskUserQuestion 的 durable 判决只有这一处。任何需要「同参重建」这条判决的
  * 地方(main.ts 的 parkedReviveInheritedGate 父约束链)必须调本工厂,不得自折 core 原形——两份拷贝里
  * 只改一份正是本条 finding 的成因。**登记豁免一处**:leader worker 腿(src/leader/wire.ts provisionWorker)
@@ -179,7 +179,7 @@ type WriteTargetForm = "unstamped-relative" | "absolute-or-stamped";
 /**
  * 只在 `form` 那一类写目标上说话,其余显式 allow(让位);非写调用与提不出目标的调用原样交给 policy(它自己判 allow)。
  *
- * 🔴 **S-877(core 7.35.0 #1200):本包装不是 `wrapToolPolicy`,它自报成员**。core 的 wrap 契约是「包装至少拒内层所拒」,
+ * 🔴 **[ref](core 7.35.0 [ref]):本包装不是 `wrapToolPolicy`,它自报成员**。core 的 wrap 契约是「包装至少拒内层所拒」,
  * 而本包装**放行**内层会拒的另一形写目标 ⇒ 按契约它是一只自己的策略,内层的成员不能照搬(core wire 单点名这一只):
  *  · `writeGuardRows`(core 7.49.0 [ref] 起;7.48.0 叫 `writeTargetGuard`,旧成员 core **不按名拒** ⇒ 不改就是壳写站静默丢部署守卫行)
  *    —— 守卫集策略自带,壳写站按它交出的行判绝对目标;只在本层的形**覆盖行的判定形**时带上({@link WRITE_GUARD_ROWS_DOMAIN}):
@@ -214,7 +214,7 @@ export interface OperatorWarning {
 }
 /** {@link buildOnlySensitiveBaselineWarning} 读的座位量 —— 「这个部署到底有没有一道**真**门」。 */
 export interface GateSeatView {
-    /** 这条腿审批基线的**席**(与喂 {@link createApprovalBaselinePolicy} 的是同一只,S-694:此前是一个与席分家的
+    /** 这条腿审批基线的**席**(与喂 {@link createApprovalBaselinePolicy} 的是同一只,[ref]:此前是一个与席分家的
      *  `durableEnabled` 布尔,于是有活 onAsk 席的 run-local 腿被判成「没有门」)。 */
     readonly approvalSeat: ApprovalSeatKind;
     /** 单用户 turnkey 的 auto-accept 基线是否适用(= 零门意图的既定姿势,不是 misconfig)。 */
@@ -231,7 +231,7 @@ export interface GateSeatView {
  * 判据(与信号消失的条件逐字互补):**守卫集在场**(它让 `spec.toolPolicy` 在场、又不是门:只拒守卫段)∧ 这条腿的审批基线**没有席**
  * (`absent`)∧ 单用户 auto-accept 基线不适用。三个量都是部署常量 ⇒ 消费腿在 boot 期说一次,不是每任务一次。
  * (7.115.0–7.116.x 运维的 allow 表 `APPROVAL_GRANT` 也是这里的一片非门叶;7.117.0 起它住在 Runner 的部署席、不再是策略,随之出列。)
- * S-694:席读的是喂审批基线的**同一只**({@link ApprovalSeat})—— `durable` / `live` 两形都有人服 ask、名单
+ * [ref]:席读的是喂审批基线的**同一只**({@link ApprovalSeat})—— `durable` / `live` 两形都有人服 ask、名单
  * 进策略,「守卫集是唯一的策略」这句话在它们上面不成立。今天真发的只剩 HTTP 腿「durable 关 ∧ 多租户」那一形。
  *
  * ⚠️ 单一属主([ref] 件三):HTTP 腿与 run-local 腿共用本判据与文案。两处各写一份 = 一处改了另一处
@@ -245,7 +245,7 @@ export declare function buildOnlySensitiveBaselineWarning(config: Pick<Deploymen
  * `manualModeShellGate`/`sensitivePathLayers` 按在场性条件展开 —— `applyRuntimeGovernance` 对缺席与空的判读等价,
  * 但 profile 是折叠面的可观测字节,搬家不许顺手改。
  *
- * 🔴 **S-958(core #1266 7.39.0)—— 守卫集交叶,不交折叠**:修前这里铸一只预折的 `sensitivePathPolicy`
+ * 🔴 **[ref](core [ref] 7.39.0)—— 守卫集交叶,不交折叠**:修前这里铸一只预折的 `sensitivePathPolicy`
  * (`combinePolicies(真身层, 誊本门)`,沙箱形再套一层两形的折叠),治理层随后在**整个治理折叠的输出上**展开盖部署出身。
  * 现在治理层逐叶盖位、只折一次(`runtime-governance.ts` `applyRuntimeGovernance` 顶注末段),所以本口交出的是叶的列表:
  * 本口不知道出身这件事,也不再有自己的折叠点。叶的顺序 = 修前折叠的顺序(真身层 → 词法层 → 誊本门),deny 优先 / 首问 / 成员合并
@@ -265,7 +265,7 @@ export declare function buildApprovalGrantNotice(config: {
  * 审批基线 —— `applyRuntimeGovernance` 那个 base 的 `toolPolicy` 座([ref] 件一)。**恒非
  * `undefined`**:治理层是 tighten-only 的叠加层,没有基线可叠时它自己也产不出「门在场」这件事。
  *
- * 三形,按席穷举(S-694,席的定义见 {@link ApprovalSeat}):
+ * 三形,按席穷举([ref],席的定义见 {@link ApprovalSeat}):
  *  · `durable` ⇒ AskUserQuestion 判决门 + 三张名单的审批门(deny/neverAuto/预算/本会话的豁免行全在
  *    `createDurableAskPolicy` 里)。gated `ask` 由 core 变成 durable checkpoint suspend。
  *  · `live`    ⇒ **同一只**三张名单审批门,不叠问答门。gated `ask` 由 core 交给 Runner 的活 onAsk 席
@@ -274,7 +274,7 @@ export declare function buildApprovalGrantNotice(config: {
  *    effect-aware 的策略。CC 的信任模型是 auto-accept,但门**机制**必须在场(core 原则「机制留、默认
  *    可更宽」)—— 满足 core 的 `hasEffectAwareGate`,恢复可观测性与 hook/tighten 点,而运维照旧用
  *    `AUTONOMY`/`commandPolicy` 收紧不可逆操作(由 `applyRuntimeGovernance` tighten-only 叠上)。
- *    🔴 本形**只**服务零名单:名单在场却递 absent 席 = 名单被静默吞掉(S-694 的病形),响亮拒。
+ *    🔴 本形**只**服务零名单:名单在场却递 absent 席 = 名单被静默吞掉([ref] 的病形),响亮拒。
  *
  * ⚠️ 「零门意图才铺 allow-all」这条准入判据**不在本口**:它是消费腿的部署形判断(单用户/多租户、
  * 有无 checkpoint 店),属主是 `hasOperatorGateIntent` / `gateIntentUnserviceableReason`(src/approval.ts)。