@sema-agent/server 7.134.0 → 7.136.0

package/dist/config-types.d.ts

@@ -44,7 +44,7 @@ export interface MemoryEmbedderConfig {
  * 的 `mode` 列共读它);两词之外的值在启动期响亮拒 —— 一个拼错的档位静默落回 `audit-only` 会让运维
  * 以为在删、其实没删,而拼成别的方向就是反过来那件更坏的事。
  */
-/** S-591:任务层「掀开写围栏」的天花板档位闭集(**词表属主在此** —— config 型面与
+/** [ref]:任务层「掀开写围栏」的天花板档位闭集(**词表属主在此** —— config 型面与
  *  `hosted-posture.ts` 的判据读同一份;抄第二份的那天两边会在加词时分家)。 */
 export declare const TASK_WRITE_FACE_ESCALATIONS: readonly ["allow", "refuse"];
 /** 天花板档位(闭集两词;缺席 = 本层不表态)。 */
@@ -52,7 +52,7 @@ export type TaskWriteFaceEscalation = (typeof TASK_WRITE_FACE_ESCALATIONS)[numbe
 export declare const RETENTION_MODES: readonly ["audit-only", "enforce"];
 export type RetentionMode = (typeof RETENTION_MODES)[number];
 /**
- * S-841 —— `CONFIG_PROVIDER` 的词表闭集(**属主在此**:`loadConfig` 的唯一读点、web-admin 工厂、执行车道合成步、
+ * [ref] —— `CONFIG_PROVIDER` 的词表闭集(**属主在此**:`loadConfig` 的唯一读点、web-admin 工厂、执行车道合成步、
  * 配置目录的 enum 行共读这一份)。缺席 / 空串 = 未表态(配了 `SEMA_WEB_ADMIN_URL` ⇒ 中心,否则纯 env);两词之外 ⇒ 拒启。
  * 修前是开放词:认不出的词被配置源判官当 `local`、被隐式 host 臂当「不是 local」,一个旋钮在一个进程里有两种读法。
  */
@@ -77,12 +77,12 @@ export declare const MEMORY_CONSOLIDATION_MIN_INTERVAL_SEC = 300;
 /**
  * Node 的 `setTimeout` delay 上界(2^31−1 ms ≈ 24.8 天)。**超过它的 delay 被静默折成 1ms** —— 任何「一个时长
  * 旋钮的值最终会变成一次 `setTimeout` 的 delay」的键都必须在上界处拒启,不能夹取([ref] + codex r1-[high]:夹取
- * 只是把一句谎换成另一句)。S-757 起从 `config.ts` 的模块私有常量提到本纯叶:解析器与配置目录的合法域句读
+ * 只是把一句谎换成另一句)。[ref] 起从 `config.ts` 的模块私有常量提到本纯叶:解析器与配置目录的合法域句读
  * 同一个数([ref]:边界不手抄)。
  */
 export declare const MAX_TIMER_DELAY_MS = 2147483647;
 /**
- * S-757(test [ref] / core #1125)—— `AUTO_MODE_CLASSIFIER_TIMEOUT_MS`(→ core `RunnerDeps.autoMode.timeoutMs`)
+ * [ref](test [ref] / core [ref])—— `AUTO_MODE_CLASSIFIER_TIMEOUT_MS`(→ core `RunnerDeps.autoMode.timeoutMs`)
  * 的**合法域**,闭区间、整数 ms。解析器(`config.ts`)与目录行(`config-catalog.ts`)共读这一处。
  *
  *  · **下界 1000**:亚秒值是「秒写成毫秒」的手滑形(`180` 想说三分钟,落地 180 ms ⇒ 每一级立即判「没裁」⇒ 门控
@@ -101,13 +101,13 @@ export declare const AUTO_MODE_CLASSIFIER_TIMEOUT_BOUNDS: {
 /**
  * `DRAIN_GRACE_MS` 的**地板**(10s)—— 夹取(env,[ref] B 档)与中心 stage 校验(`stage-limits.ts` 的 `atLeast`)两条写入腿
  * 都以它为下界,于是「排空窗」在任何写入通道上都不会短于它。**属主在 settings-schema**(`@sema-agent/settings-schema/fleet` 的
- * `DRAIN_GRACE_FLOOR_MS`,drain 协议合同值;S-778 起本叶只转出口,不再本地铸同一个数)。S-752 起它从 `config.ts` 的
+ * `DRAIN_GRACE_FLOOR_MS`,drain 协议合同值;[ref] 起本叶只转出口,不再本地铸同一个数)。[ref] 起它从 `config.ts` 的
  * `LIMITS_HTTP_FLOORS` 字面提到本叶:{@link DRAIN_SECOND_SIGNAL_MIN_GAP_BOUNDS} 的上界与配置目录的合法域句共读这一个数([ref]:
  * 边界不手抄;目录模块不能值引 `config.ts` —— `config → server-secret-env → config-catalog` 已成链)。
  */
 export { DRAIN_GRACE_FLOOR_MS };
 /**
- * S-752(test [ref])—— `DRAIN_SECOND_SIGNAL_MIN_GAP_MS` 的**合法域**(闭区间、整数 ms)与缺省。解析器(`config.ts`)
+ * [ref](test [ref])—— `DRAIN_SECOND_SIGNAL_MIN_GAP_MS` 的**合法域**(闭区间、整数 ms)与缺省。解析器(`config.ts`)
  * 与目录行(`config-catalog.ts`)共读这一处。
  *
  *  · **语义**:排空期里一发停止信号(SIGTERM / SIGINT)只有在与**排空起点**相隔 ≥ 本值时才算硬停意图;更近的是同一拍的
@@ -135,7 +135,7 @@ export declare const CENTER_BASE_URL_RULE = "\u8BBE\u4E86\u5C31\u5FC5\u987B\u662
 /** 编排器片 2:`FLEET_LEASE_OUTAGE_MAX_MS` 的缺省(24 h)—— 中心 / 库故障、中心降级在今天都靠 LKG 无限期容忍,10 分钟级的窗会把它们变成数据面停服。 */
 export declare const FLEET_LEASE_OUTAGE_MAX_DEFAULT_MS = 86400000;
 /**
- * S-753(core 7.33.0 #1121)—— `MODEL_FIRST_BYTE_TIMEOUT_MS`(→ core `BrainTimeoutConfig.firstByteTimeoutMs`,`fetch()` → 响应头
+ * [ref](core 7.33.0 [ref])—— `MODEL_FIRST_BYTE_TIMEOUT_MS`(→ core `BrainTimeoutConfig.firstByteTimeoutMs`,`fetch()` → 响应头
  * 的等待)的**合法域**,闭区间、整数 ms。解析器(`config.ts`)与目录行(`config-catalog.ts`)共读这一处。
  *
  *  · **下界 0**:`0` 在这一座有真含义 —— 该段**不设引擎钟,传输层的响应头 / 响应体钟也关**(TCP + TLS 建连仍归传输层自己的钟;core 7.33.0 起每请求带引擎 dispatcher,把传输层的
@@ -143,7 +143,7 @@ export declare const FLEET_LEASE_OUTAGE_MAX_DEFAULT_MS = 86400000;
  *    (failover 拓扑真会这么配;窗上还有 core 按 body 大小加的上传宽限)。
  *  · **上界 = {@link MAX_TIMER_DELAY_MS}**:core 对超过它的值构造期拒(`config.stall_timeout_invalid`);本仓在 boot 就拒,
  *    拒句点名 env 键,而不是等到 brain 装配时报一个运维没写过的 config 键名。
- *  · **没有缺省常量**:缺席 = 不铸键,core 自缺省当家([ref];本仓不复制上游数字 —— S-753 的病根正是本仓自带的 30 000)。
+ *  · **没有缺省常量**:缺席 = 不铸键,core 自缺省当家([ref];本仓不复制上游数字 —— [ref] 的病根正是本仓自带的 30 000)。
  */
 export declare const FIRST_BYTE_TIMEOUT_BOUNDS: {
     readonly minMs: 0;
@@ -179,11 +179,11 @@ export declare const DEVICE_EXEC_TIMEOUT_BOUNDS: {
     readonly max: 2147483647;
 };
 /**
- * S-220 —— **`resilience` 块缺省的唯一属主**(S-202 的单源从一根扩到整族)。
+ * [ref] —— **`resilience` 块缺省的唯一属主**([ref] 的单源从一根扩到整族)。
  *
  * 这是一张**表**,不是六个常量:缺省长在三条腿上(解析器腿 `config.ts` 的 `numEnv`/`boolEnv` 缺省、
  * 目录腿 `config-catalog.ts` 的 `staticDefault`、`brain.ts` 的 `DEFAULT_RESILIENCE` —— config 对象
- * 没带 resilience 块时的同姿态兜底),而三条腿此前**各写一份字面量**。S-202 只把 `firstTokenTimeoutMs`
+ * 没带 resilience 块时的同姿态兜底),而三条腿此前**各写一份字面量**。[ref] 只把 `firstTokenTimeoutMs`
  * 一根收成单源,于是剩下五根还在「改一处漏一处 = 目录对外宣告的缺省与真跑的不是同一代」这条病里 ——
  * 按类修的形是把**整族**收进一张表,让三条腿都只许引用它,而不是再加五个同形常量(六个常量 = 六份
  * 要各自记得引用的纪律;一张表 = 一条)。
@@ -193,19 +193,19 @@ export declare const DEVICE_EXEC_TIMEOUT_BOUNDS: {
  * D1 双向对账门(`test/config-catalog.test.ts` ⑦)是 AST 扫 `numEnv("NAME", …)` 的字面名来数「src/ 在读
  * 哪些键」,改成间接引用会让这六个键在那道门眼里整体消失(实测:6 个幽灵键 + 动态读棘轮 27→33)——
  * 拿一条真在岗的对账门去换一处写法上的统一是亏的。键名的同源由那道门自己咬:src/ 字面名 ⟺ 目录行名
- * ⟺ 本表的 `env`(S-220 那一格按 `env` 查目录行,查不到当场红),三方互钉,没有静默漂移的空间。
+ * ⟺ 本表的 `env`([ref] 那一格按 `env` 查目录行,查不到当场红),三方互钉,没有静默漂移的空间。
  * `satisfies Readonly<Record<keyof ServiceConfigFlat["resilience"], …>>` 双向咬:块上加字段而表里没行
  * ⇒ tsc 红(加字段的人被迫当场回答「它的出厂缺省是多少、归哪个 env」);表里多一行块上没有的键同样红。
  *
  * ⚠️ 语义面**一个数字都没动**:「熔断默认关」照旧,env 恒赢。看门狗的 `0` 自 core 7.33.0 起 = 该段**不设引擎钟,传输层的响应头 / 响应体钟
- * 也关**(TCP + TLS 建连仍归传输层自己的钟;此前 = 只关引擎的钟)。S-753 起本表**不再有首字节那一行**:`MODEL_CONNECT_TIMEOUT_MS`(自带 30 000)退役,替代键
+ * 也关**(TCP + TLS 建连仍归传输层自己的钟;此前 = 只关引擎的钟)。[ref] 起本表**不再有首字节那一行**:`MODEL_CONNECT_TIMEOUT_MS`(自带 30 000)退役,替代键
  * `MODEL_FIRST_BYTE_TIMEOUT_MS` 缺席 = 不铸键(见 {@link ServerDefaultedResilienceKey})。
- * 首 token 那一行的 600_000 由来(S-202 clay 裁 A):自托管后端在长 prefill(大上下文 / 冷缓存 /
+ * 首 token 那一行的 600_000 由来([ref] clay 裁 A):自托管后端在长 prefill(大上下文 / 冷缓存 /
  * 排队)下首字合理地要等几分钟,120s 会把一次**正常**的慢启动判成 `[network]` 失败去重试,而重试
  * 再交同一份 prompt 给同一个排队中的后端只会更慢更贵;依赖旧姿态的部署显式写回
  * `MODEL_FIRST_TOKEN_TIMEOUT_MS=120000` 即可。
  *
- * 🔴 **常量在此、别处只许引用**:`test/config-catalog.test.ts` 的 S-220 两格咬 —— 一格按表逐行钉
+ * 🔴 **常量在此、别处只许引用**:`test/config-catalog.test.ts` 的 [ref] 两格咬 —— 一格按表逐行钉
  * 三腿同值(目录 staticDefault / 解析器实算值 / {@link buildDefaultResilience}),一格扫全 `src/`
  * 判「字面量」这一类写法为红(下一份镜像出生即红)。
  */
@@ -232,7 +232,7 @@ export declare const RESILIENCE_DEFAULTS: {
     };
 };
 /**
- * S-220 —— 「config 对象没带 resilience 块」时的整块兜底,**逐字段派生自 {@link RESILIENCE_DEFAULTS}**。
+ * [ref] —— 「config 对象没带 resilience 块」时的整块兜底,**逐字段派生自 {@link RESILIENCE_DEFAULTS}**。
  *
  * 返回类型把键集钉死(缺键 / 多键都是 tsc 红),所以这里剩下的唯一手写物是键名本身,值一个字面量都没有。
  * 每次调用铸一只新对象(共享一只导出常量会被消费方就地改掉,那是另一条病)。
@@ -246,7 +246,7 @@ export interface MemoryConsolidationDriverConfig {
     /**
      * 阀门的**部署表态**(env `MEMORY_CONSOLIDATION_DRIVER=on|off`,原词)。**缺席 = 没表态,不是 off**。
      *
-     * 🔴 S-824 / clay **[ref]**(取代 [ref] ① 的「出厂 off」实况):出厂缺省 = **开,但只在整理座不落主模型时生效**
+     * 🔴 [ref] / clay **[ref]**(取代 [ref] ① 的「出厂 off」实况):出厂缺省 = **开,但只在整理座不落主模型时生效**
      * (`MODEL_CHEAP_ID` 在场,或目录给 consolidate / summarize / flash 档位绑了别的模型);否则不开并在起服时提示一行。
      * 这件事要等**目录应用之后**、记忆引擎接线之后才判得出来,所以本字段只记表态,开不开由 boot 第 6 段的
      * `resolveConsolidationValve`(`boot/memory-consolidation.ts`)一次判定 —— 那是阀门开关**唯一**的属主。
@@ -270,7 +270,7 @@ export interface MemoryConsolidationDriverConfig {
      *  第二套授权语义**。显式传的 scope 照跑,表只管缺省。 */
     scopes: readonly string[];
     /**
-     * S-362 / core 7.21.0 [ref] —— **`RunnerDeps.autoRunOnRecommendation` 的部署席**
+     * [ref] / core 7.21.0 [ref] —— **`RunnerDeps.autoRunOnRecommendation` 的部署席**
      * (env `MEMORY_AUTO_CONSOLIDATION=on|off`;**缺席 = 不写那个键**,由 core 的具名缺省
      * `AUTO_RUN_ON_RECOMMENDATION_DEFAULT` 作答)。
      *
@@ -286,12 +286,12 @@ export interface MemoryConsolidationDriverConfig {
      * ⚠️ **前置 = 整理阀门开着**(`MEMORY_CONSOLIDATION_DRIVER=on`,或未设而 [ref] 出厂缺省派生成开 —— 见 {@link valve};
      * 且记忆引擎接了线)。阀门开着 ⇒ 引擎那半场的整理两席
      * (`RunnerDeps.memoryConsolidation` + `memoryConsolidationDriver`)由**同一只已解析座**接上
-     * (S-399,`boot/runner-deps.ts` 的 `ctx.consolidationSeat` 那一段)⇒ 本旋钮真的生效;阀门关着 ⇒ 两席
+     * ([ref],`boot/runner-deps.ts` 的 `ctx.consolidationSeat` 那一段)⇒ 本旋钮真的生效;阀门关着 ⇒ 两席
      * 一个键都不写,而 core 对「武装但没接整理席」的处置是**每一次 prepare 都抛** `config.auto_consolidation`
      * —— 那会买到一台**启动成功、每个任务都死**的机器,所以本仓把那一拒提前到启动期响亮拒
      * (`assertAutoConsolidationWirable`,读的是刚铸出来的那只 deps 而不是一个手抄的布尔),与
      * `MEMORY_CONSOLIDATION_DRIVER` 的 D1「安全/成本控件不得半开」同一条。
-     * 🔴 **本段自 S-399 改判**:S-362 那一批这里写的是「本 build 上 `on` 一定拒启(本仓没接整理席)」——
+     * 🔴 **本段自 [ref] 改判**:[ref] 那一批这里写的是「本 build 上 `on` 一定拒启(本仓没接整理席)」——
      * 同一批的后半场把两席接上之后,那句话成了谎。旧世界断言留在树上比欠账更危险(7.81.0 整批的教训),
      * 所以真相变了就地改,不留「将来某一版」的口气。
      */
@@ -493,17 +493,17 @@ export interface ServiceConfigFlat {
     port: number;
     /** OpenAI-compatible model gateway base URL (without /chat/completions) — `MODEL_GATEWAY_BASEURL`.
      *
-     *  🔴 S-623:**缺席 = 这台部署没有网关**(没有出厂缺省;旧的本机占位值在读入那一步抹掉「来源」,让没配网关的
+     *  🔴 [ref]:**缺席 = 这台部署没有网关**(没有出厂缺省;旧的本机占位值在读入那一步抹掉「来源」,让没配网关的
      *  部署起得来、第一次调用才炸)。形取「可选键」而不是判别联合:消费方问的只有「有没有声明网关根、是哪个」,
      *  一个只带一位载荷的联合不比 `string | undefined` 多说任何事,且与紧邻的 `gatewayApiKey?` / `gatewayMaxRetries?`
      *  的「缺席不铸键」同一条 presence 律。一条 openai 路由请求打到哪儿,只经 `model-route-endpoint.ts` 的
      *  `openaiRouteBaseUrl` 求(路由自己的 `baseUrl` 胜、网关次之);「配置能派发到的每条 openai 路由都解析得到」
      *  由 boot(config.ts)与热路径(apply-effective)同一只判据保证。 */
     gatewayBaseUrl?: string;
-    /** `MODEL_API_KEY` —— **网关的**凭据,只与网关根配对([ref])。S-623:与 `gatewayBaseUrl` 同进同出 ——
+    /** `MODEL_API_KEY` —— **网关的**凭据,只与网关根配对([ref])。[ref]:与 `gatewayBaseUrl` 同进同出 ——
      *  没有网关就不装载(否则 brain 的声明根为空:core 7.51.0 起判 `route.credential_mismatch`,每条自带 baseUrl、没有
      *  per-model 凭据的 openai 条目被拒;7.51.0 前是 `unpinned`,key 随请求发往那些条目),由 `model_gateway_key_unpaired`
-     *  启动通知说出来。S-1561:brain 在构造时读它一次(core 收据律),本仓没有运行期写者 ⇒ 换值 = 重启。 */
+     *  启动通知说出来。[ref]:brain 在构造时读它一次(core 收据律),本仓没有运行期写者 ⇒ 换值 = 重启。 */
     gatewayApiKey?: string;
     /** Secondary openai-compatible gateways for cross-gateway FAILOVER (same protocol + same model id).
      *  Tried in order after the primary when a gateway fails before streaming any content. */
@@ -518,11 +518,12 @@ export interface ServiceConfigFlat {
     /** Optional Anthropic Messages API ROUTE (cloud). Selected for models whose `provider` is
      *  "anthropic" (routing is by model.provider); the local gateway serves every other provider. */
     anthropic?: {
-        /** `x-api-key` auth. OPTIONAL since the Anthropic-compatible Bearer path: a Bearer-only
-         *  provider may auth by `authToken` alone. When BOTH are set, authToken wins. */
+        /** `ANTHROPIC_API_KEY` —— sent as the `x-api-key` header ONLY. One name, one header ([ref]): mutually exclusive with
+         *  `authToken` — both set refuses boot (`loadConfig`, invariant `anthropic-credential-exclusive`) and refuses brain construction
+         *  for an embedder-built config. Which header rides is `judgeAnthropicCredential`'s answer (`model-route-gap.ts`). */
         apiKey?: string;
         /** Anthropic-compatible-ecosystem `ANTHROPIC_AUTH_TOKEN` (many such providers use Bearer, not x-api-key):
-         *  sent as `Authorization: Bearer <token>`; when set, `apiKey` is NOT sent (二选一, AUTH_TOKEN priority). */
+         *  sent as `Authorization: Bearer <token>` ONLY. Mutually exclusive with `apiKey` (see there) — no precedence arm. */
         authToken?: string;
         /** Default https://api.anthropic.com (overridden by model.baseUrl). */
         baseUrl?: string;
@@ -541,13 +542,13 @@ export interface ServiceConfigFlat {
      *  immediately instead of waiting out timeouts). BreakerState is core's in-process Map for now —
      *  cross-replica shared state (TiDB adapter) is a documented follow-up. */
     resilience: {
-        /** S-753(core 7.33.0 #1121)—— `fetch()` → 响应头的等待上限(ms;env `MODEL_FIRST_BYTE_TIMEOUT_MS`,合法域
+        /** [ref](core 7.33.0 [ref])—— `fetch()` → 响应头的等待上限(ms;env `MODEL_FIRST_BYTE_TIMEOUT_MS`,合法域
          *  {@link FIRST_BYTE_TIMEOUT_BOUNDS})。**缺席 = 不铸键** ⇒ core 自缺省当家(另加 core 按 body 大小给的上传宽限,
          *  到点后 core 自有一次加宽重试,不吃 `maxRetries`)—— 本仓不复制上游数字([ref])。`0` = 该段不设引擎钟,传输层的响应头 / 响应体钟
-         *  也关(TCP + TLS 建连仍归传输层自己的钟)。取代退役的 `connectTimeoutMs`(名义建连、实际就是计到响应头;本仓自带的 30 000 缺省正是 S-753 的病根)。 */
+         *  也关(TCP + TLS 建连仍归传输层自己的钟)。取代退役的 `connectTimeoutMs`(名义建连、实际就是计到响应头;本仓自带的 30 000 缺省正是 [ref] 的病根)。 */
         firstByteTimeoutMs?: number;
         /** Cancel an open SSE stream if no content/thinking delta arrives within this many ms.
-         *  Default 600s (S-202; core's idle timer only arms after the first token,
+         *  Default 600s ([ref]; core's idle timer only arms after the first token,
          *  so this is the only guard for a stream that opens and never emits). 0 = no engine clock on this
          *  segment and the transport's body clock off too (core ≥7.33.0). */
         firstTokenTimeoutMs: number;
@@ -567,7 +568,7 @@ export interface ServiceConfigFlat {
      *  (`config.model = config.models.default!`,web-admin-client/apply-effective.ts 的 commit 段)。 */
     model: Model;
     /**
-     * S-188 —— **boot 期 env 派生的那只模型**,`loadConfig()` 铸一次,此后**永不换**(与 `model` 在 boot
+     * [ref] —— **boot 期 env 派生的那只模型**,`loadConfig()` 铸一次,此后**永不换**(与 `model` 在 boot
      * 那一刻是同一个对象引用;center 热应用只动 `model`/`models`,不碰这里)。
      *
      * 用途只有一个:**BL-8 继承源** —— 一条 center 目录条目省掉 `maxTokens` / `contextWindow` /
@@ -599,10 +600,10 @@ export interface ServiceConfigFlat {
      *  ⇒ 它的 apiKeyEnv 引用不采(sealed 压过 env-NAME,解封失败也不回落——fail-loud 见 applyEffective)。
      *  Env path: empty;populated ONLY by applyEffective(重赋值;keyResolver 随 boot/refresh 重建)。 */
     /** 值=解封明文 或托管来源的毒丸(`SealedCustodyPoison`,解封失败标记;key-resolver 对其任务级 throw,恒不落 gateway key 兜底)。
-     *  env 来源的毒丸(S-896 `env_missing`)不进这张表:key 链在取值时按 `modelApiKeyEnv` 现判。 */
+     *  env 来源的毒丸([ref] `env_missing`)不进这张表:key 链在取值时按 `modelApiKeyEnv` 现判。 */
     modelApiKeys: Record<string, string | SealedCustodyPoison>;
     /**
-     * S-704 —— **已发布但本部署不可用**的目录条目:catalog NAME → 拒因(`model-entry-refusal.ts` 的闭集码
+     * [ref] —— **已发布但本部署不可用**的目录条目:catalog NAME → 拒因(`model-entry-refusal.ts` 的闭集码
      * `config.model_no_brain` / `config.model_entry_invalid` + 上游 id + 一句出路,不含任何值)。
      *
      * 这些条目**不在** `models` 里(不可点、不列、不当缺省、不进钥匙表 —— 永远不被改路到另一条 brain / 另一个端点);
@@ -612,7 +613,7 @@ export interface ServiceConfigFlat {
      */
     modelRefusals: Readonly<Record<string, ModelEntryRefusal>>;
     /**
-     * S-1295 —— **本世代目录里被读腿逐条丢掉的条目**(载体 `EffectiveConfig.models.droppedCatalogEntries` 经模型面判据判过形的行,保序;
+     * [ref] —— **本世代目录里被读腿逐条丢掉的条目**(载体 `EffectiveConfig.models.droppedCatalogEntries` 经模型面判据判过形的行,保序;
      * 下标 + settings-schema 闭集词 + 身份 + 字段诊断)。`GET /v1/models` 的 `droppedEntries` 唯一的源(出口投影 `buildDroppedEntriesWire`:
      * 只投词与可披露身份)。env 腿恒空(没有目录读);只由 applyEffective 与 `models` **同世代同 commit** 整表重赋值(非粘)—— 模型面这一组
      * 被拒时它与目录一起停在上一代。墓碑(`modelRefusals` 里的 `entry_invalid` 行)是同一份载体的另一种读法,不是第二份记录。
@@ -674,7 +675,7 @@ export interface ServiceConfigFlat {
     /** B1 /health 活体 store 探测:后台缓存探针间隔 ms(STORE_PROBE_INTERVAL_MS;0=显式关,负/非数 boot
      *  响亮拒)。只对 SQL 后端接线;探针原语=backend.dbNowMs()(S10 时钟探针的真 DB 往返,零新 SQL 面)。 */
     storeProbeIntervalMs: number;
-    /** S-553 —— `DB_BACKEND=local` 数据根 `LOCK` 撞上**活**持锁人时的**有界等待窗** ms
+    /** [ref] —— `DB_BACKEND=local` 数据根 `LOCK` 撞上**活**持锁人时的**有界等待窗** ms
      *  (`STORE_LOCK_WAIT_MS`;缺省 60_000,地板 0 = 7.93.0 的当场拒,**不设上界**)。
      *  病 = 壳自 spawn 引擎的单机形:旧引擎排空期间一直抱着锁,新引擎当场 fatal ⇒ 用户「刚关掉就再也起不来」。
      *  失败方向一格不动:到窗仍拿不到 ⇒ 原码 fatal(文案多一句等了多久),**永不**放行第二个写者。
@@ -733,7 +734,7 @@ export interface ServiceConfigFlat {
     /** 142-S2.5-W1: TOC 同步 client 腿 —— file memory 形态把本地记忆盘与中心(DB 权威,
      *  POST /v1/memory/sync/:scope)做一轮一 RTT 双向同步。env 三键:`MEMORY_SYNC_URL`(设了=开;缺省
      *  undefined=纯本地现状零变化)/`MEMORY_SYNC_TOKEN`(Bearer)/`MEMORY_SYNC_SCOPE`(可选,缺省 =
-     *  memoryScope 本身**仅当它已是 v2 typed key**;非 typed 键 ⇒ 拒启,S-964 —— 旧 formatUserScope 派生臂铸出的是本部署
+     *  memoryScope 本身**仅当它已是 v2 typed key**;非 typed 键 ⇒ 拒启,[ref] —— 旧 formatUserScope 派生臂铸出的是本部署
      *  从不写的层,见 loadConfig)。半配置 fail-loud
      *  (memoryEngineBackend 同款姿势);DB backend(pg/tidb)配了这些键=boot throw(中心侧自己就是
      *  同步权威,不该再跑 client 腿)。 */
@@ -869,7 +870,7 @@ export interface ServiceConfigFlat {
      *  默认 10s。env `MEMORY_ORG_UNAVAILABLE_BACKOFF_MS`(numEnvBounded)。 */
     memoryOrgUnavailableBackoffMs: number;
     /** [ref] v1b + [ref]: opt-in remote execution backend (PEER adapters, chosen by REMOTE_EXEC). Unset
-     *  → in-process stub env (S-601: this used to read "OA/review deployments", a scenario family retired wholesale
+     *  → in-process stub env ([ref]: this used to read "OA/review deployments", a scenario family retired wholesale
      *  in 5.0.0 — see RETIRED_ENVS; the real discriminant is CONFIG_PROVIDER, and REQUIRE_EXECUTION_LANE turns this
      *  arm into a boot refusal). Secrets (apiKey/privateKey) ONLY from env.
      *   - `e2b`  → per-task E2B Firecracker VM (isolated, suspendable). The default code-agent worker.
@@ -878,7 +879,7 @@ export interface ServiceConfigFlat {
      *   - `ssh`  → a real host over SSH (NOT isolated/suspendable; [ref] §5). AI-orchestrated batch deploy.
      *   - `adb`  → a real device over ADB (NOT isolated/suspendable). On-device APP testing. */
     /**
-     * S-213④ —— `REMOTE_EXEC_HOME_DIR`:**执行环境的 home 目录**(core `ExecutionEnv.homeDir`),
+     * [ref]④ —— `REMOTE_EXEC_HOME_DIR`:**执行环境的 home 目录**(core `ExecutionEnv.homeDir`),
      * `~/…` 形权限规则(`Edit(~/.ssh/**)`)唯一的基,绝对路径。
      *
      * 部署级旋钮,**跨车道同一根**(不按 provider 分七根 —— 它回答的是同一个问题:「这条部署的手,
@@ -890,7 +891,7 @@ export interface ServiceConfigFlat {
      */
     remoteExecHomeDir?: string;
     /**
-     * S-598 —— `REQUIRE_EXECUTION_LANE`:**「没点名车道」要不要拒启**。默认 **false**(缺省行为逐字不变)。
+     * [ref] —— `REQUIRE_EXECUTION_LANE`:**「没点名车道」要不要拒启**。默认 **false**(缺省行为逐字不变)。
      *
      * `REMOTE_EXEC` 未设/空串 **∧** `CONFIG_PROVIDER ≠ local` ⇒ {@link remoteExec} 缺席 ⇒ `boot/execution-env.ts`
      * 一条工厂臂都不走 ⇒ core 的 `handsEnabled` 为 false ⇒ **整条手带一件不挂**,而任务照跑、回执
@@ -905,8 +906,8 @@ export interface ServiceConfigFlat {
      * 运维读面(2026-09-22 主会话验收订正:车原写「`GET /v1/diagnostics/wiring` 的 `executionLane.requireExecutionLane`」,
      * 而该端点当时**没有** `executionLane` 段、`src/` 零投影 —— 一句没兑现的承诺,按 [ref] 不信 JSDoc 只信实现行的纪律改写):
      * boot 期 `exec_lane_selected` 一行(`config.ts` 装配尾,带 `lane` / `source`)+ `GET /v1/config/catalog` 的目录行。
-     * 本键的**有效值今天没有运行期读面**;要出就随 S-602 的执行座三态在一处铸,不在这里单独长一位。
-     * (S-281 起诊断面**有了** `executionLane` 段,但它就是能力面那一只投影 `{provider, toolsOnThisHost, isolated?}`,**不带**本键。)
+     * 本键的**有效值今天没有运行期读面**;要出就随 [ref] 的执行座三态在一处铸,不在这里单独长一位。
+     * ([ref] 起诊断面**有了** `executionLane` 段,但它就是能力面那一只投影 `{provider, toolsOnThisHost, isolated?}`,**不带**本键。)
      */
     requireExecutionLane: boolean;
     remoteExec?: {
@@ -916,7 +917,7 @@ export interface ServiceConfigFlat {
         timeoutMs?: number;
         livenessMs?: number;
         allowInternetAccess?: boolean;
-        /** S-713 —— `E2B_SANDBOX_ENV=NAME,NAME` 点到、且本进程环境里真有的键 ⇒ 原值(经唯一的「点名放行」谓词 `allowlistedEnv`,
+        /** [ref] —— `E2B_SANDBOX_ENV=NAME,NAME` 点到、且本进程环境里真有的键 ⇒ 原值(经唯一的「点名放行」谓词 `allowlistedEnv`,
          *  空串值照带)。键缺席 = 旋钮未设 / 空串;名单形错(空段 / 非变量名形 / 点名名单型旋钮)拒启,源里没有的名按序号 warn。 */
         sandboxEnv?: Record<string, string>;
         mountPath?: string;
@@ -1008,7 +1009,7 @@ export interface ServiceConfigFlat {
         maxPreAuthPerRemote?: number | "off";
         /** `DEVICE_ENROLL_TOKEN_TTL_SEC`(§4.7 第五个旋钮;默认 900 = §7-T5 ① 的 15min)= enrollment
          *  token 的有效期**时长**(整秒,自 **DB now** 起算 —— 时间权威是库,不是副本墙钟)。唯一消费点 =
-         *  签发动词 `POST /v1/devices/enroll-tokens`(`http/routes/devices.ts`);S-470 之前它刻意未铸
+         *  签发动词 `POST /v1/devices/enroll-tokens`(`http/routes/devices.ts`);[ref] 之前它刻意未铸
          *  (端点不存在 ⇒ 铸了就是一个「配了不生效」的死键,[ref] 病族),随该端点同批铸 + 接线。
          *  域 = `[1, 86400]` 的十进制正整数,坏值**拒启**([ref] A 档;解析器 `parseDeviceEnrollTokenTtlEnv`)。
          *  缺席 ⇒ 签发点的属主默认 900(不在 config 层抄第二份默认,与本族其余旋钮同姿势)。 */
@@ -1027,7 +1028,7 @@ export interface ServiceConfigFlat {
         dropAllCaps?: boolean;
         network?: "none" | "bridge" | "host";
         commandTimeoutMs?: number;
-        /** S-713 —— `DOCKER_SANDBOX_ENV=NAME,NAME` 点到、且本进程环境里真有的键 ⇒ 原值(与 e2b 的 `sandboxEnv` 同一只解析器、
+        /** [ref] —— `DOCKER_SANDBOX_ENV=NAME,NAME` 点到、且本进程环境里真有的键 ⇒ 原值(与 e2b 的 `sandboxEnv` 同一只解析器、
          *  同一只谓词;每条 `docker exec` 以 `-e K=V` 注入)。键缺席 = 旋钮未设 / 空串。 */
         env?: Record<string, string>;
     };
@@ -1091,6 +1092,13 @@ export interface ServiceConfigFlat {
      *  service and a run-local on the same box agree on one data dir (boot-locked single-instance). Only the
      *  `local` backend reads it. */
     localDataRoot?: string;
+    /**
+     * `SEALED_KEY_DIR` —— 模型钥匙保管目录(sealed 形的 X25519 钥匙对 `<publicKeyId>.json`,连同停驻行封签那一域的子目录 `checkpoint-ctx-keys/`)。
+     * **缺席不铸键** ⇒ 保管目录 = `<localDataRoot>/sealed-key`(今天的行为;建不了只是一行 warn,sealed 模型逐个 `no_key_store`)。
+     * 给了 ⇒ 绝对路径(相对路径 loadConfig 拒启),该目录是**唯一**保管目录;起服在它上面建不了保管店 ⇒ 拒启(fail-closed:运维点名了目录)。
+     * 谁需要:读同一份 `config.d` 而数据根不同的多台引擎(终端 × 桌面端默认形)—— sealed 条目绑定的是钥匙身份(`publicKeyId` → 钥匙对),指到同一目录 ⇒ 同一把钥。
+     */
+    sealedKeyDir?: string;
     /**
      * [ref] 件B(`RUN_STORE_STRICT_HYDRATE`,普查表第 29 行的**终局格**)—— file 后端的**可选** fail-closed
      * 启动门。`true` ⇒ `FileRunStore.hydrate()` 列不出 `runs/` 时**拒启**(error 级遗言带绝对路径 + 异常
@@ -1154,10 +1162,10 @@ export interface ServiceConfigFlat {
     fileHistory?: {
         retention?: FileHistoryRetentionPolicy;
     };
-    /** S-589 / S-724:文件历史**捕获**总开关(`FILE_HISTORY_CAPTURE`,布尔词表,缺省 true,未知词拒启)。三条车道
+    /** [ref] / [ref]:文件历史**捕获**总开关(`FILE_HISTORY_CAPTURE`,布尔词表,缺省 true,未知词拒启)。三条车道
      *  (local / mysql / pg)同一语义:`false` ⇒ 装配点照接历史店,但给 core 的部署捕获位 `RunnerDeps.fileHistoryCapture: "off"`
      *  (首次触碰备份 / 回合边界 / fork 携带结构上不发生;能力词 `fileHistoryCapture:"off"` 同一只判定派生)。**只关捕获**:
-     *  已存历史照常服务 restore / rewind / 2c session-sync(S-589 时旋钮关 = 摘店,连已存历史也读不了;S-724 改落 core 的捕获位)。
+     *  已存历史照常服务 restore / rewind / 2c session-sync([ref] 时旋钮关 = 摘店,连已存历史也读不了;[ref] 改落 core 的捕获位)。
      *  **不管擦除**:已捕获的历史照旧随会话删除 / 留存规则清理,翻旋钮本身不做批量删除。没有店的部署形不下发捕获位
      *  (core 对「off 但没店」拒 prepare,而没店本来就不捕获)。判定的唯一属主是 `file-history-capture.ts`。
      *  刻意**不**并进上面的 `fileHistory` 键:那一格是 core 店构造选项的同域键形,原样透传给 core。 */
@@ -1305,11 +1313,11 @@ export interface ServiceConfigFlat {
     approvalRequire: string[];
     /** Principals allowed to act as OPERATORS (`OPERATOR_PRINCIPALS`): every operator face reads it through the one reading
      *  `explicitOperatorOk` (`http/principal-gate.ts`) — e.g. the F4 approval queue (`/v1/approvals`): list ANY owner's pending +
-     *  decide. A non-operator principal may only LIST ITS OWN pending. **Empty = no one is an operator** (S-1050: the old
+     *  decide. A non-operator principal may only LIST ITS OWN pending. **Empty = no one is an operator** ([ref]: the old
      *  "empty = everyone on the approval queue" reading is gone); a single-user deployment that wants to be its own operator
      *  declares {@link operatorSingleUser}. */
     operatorPrincipals: string[];
-    /** `OPERATOR_SINGLE_USER=true` —— 单用户形显式声明「这台部署的每个调用方都是运维」(S-1050,[ref] ① 裁 A)。缺席 = 不声明(没人是,除非在名单里)。
+    /** `OPERATOR_SINGLE_USER=true` —— 单用户形显式声明「这台部署的每个调用方都是运维」([ref],[ref] ① 裁 A)。缺席 = 不声明(没人是,除非在名单里)。
      *  只在单用户形(`REQUIRE_PRINCIPAL` 未开)且名单为空时成立 —— 否则拒启(`config-invariants.ts` 的 `operator-single-user`:一个事实一个来源)。
      *  env 独有(没有中心写位),起服冻结。读法只有 `explicitOperatorOk` / `operatorRosterPresent` 两只。 */
     operatorSingleUser?: boolean;
@@ -1328,12 +1336,12 @@ export interface ServiceConfigFlat {
      *  operator resumes it on any replica. Default OFF([ref] A-5:轮询车道已退役,OFF+门意图 ⇒ core UNGATED
      *  告警,不再有回退门形). `DURABLE_APPROVAL=true`. */
     durableApproval: boolean;
-    /** S-178:上面那一位**是谁定的**(闭集四词,见 `posture-source.ts` —— 与 `readFaceSource` 同一张表)。
+    /** [ref]:上面那一位**是谁定的**(闭集四词,见 `posture-source.ts` —— 与 `readFaceSource` 同一张表)。
      *  7.67.0 起本键进 posture 家族:单机 turnkey ∧ 有耐久店 ⇒ 默认 ON,多租户/内存底座仍 OFF,显式 env
      *  两个方向恒赢。来源上 operator 读面(`GET /v1/diagnostics/wiring` 的 `serverGates`),因为「这台机器
-     *  为什么开着 park/resume」在升级后是运维必须看得见的一句话(与 S-167 的补偿项同族)。 */
+     *  为什么开着 park/resume」在升级后是运维必须看得见的一句话(与 [ref] 的补偿项同族)。 */
     durableApprovalSource: PostureSource;
-    /** S-178:`STREAM_ASK_WINDOW_MS` 的来源(同一张四词表)。值在 {@link StreamApprovalConfig.windowMs};
+    /** [ref]:`STREAM_ASK_WINDOW_MS` 的来源(同一张四词表)。值在 {@link StreamApprovalConfig.windowMs};
      *  单机 turnkey 缺席 ⇒ 24h(posture),多租户缺席 ⇒ 5min(engine-default),显式 env ⇒ env。 */
     streamAskWindowMsSource: PostureSource;
     /** [ref] seam #2 (preemption) / [ref] ("失败≠没做完" third state): when true (+ durable mode), the
@@ -1447,9 +1455,9 @@ export interface ServiceConfigFlat {
     /** Expected `iss` / `aud` of a direct client's principal JWT. `PRINCIPAL_JWT_ISS` / `PRINCIPAL_JWT_AUD`. */
     principalJwtIss?: string;
     principalJwtAud?: string;
-    /** S-591:registry SSO-JWT 的**显式** issuer(`AUTH_BRIDGE_ISSUER`)。
+    /** [ref]:registry SSO-JWT 的**显式** issuer(`AUTH_BRIDGE_ISSUER`)。
      *  🔴 **只是显式 env,不含 boot 期那条 `?? webAdmin.baseUrl` 回退**(回退仍在
-     *  `boot/stage-09-leader.ts` 的桥装配处)。唯一消费方是桥;S-671([ref] ①)起它**不是**托管证据 ——
+     *  `boot/stage-09-leader.ts` 的桥装配处)。唯一消费方是桥;[ref]([ref] ①)起它**不是**托管证据 ——
      *  显式与回退 issuer 在租户轴上同判(理由见 `hosted-posture.ts`)。 */
     authBridgeIssuer?: string;
     /** Max accepted principal-JWT lifetime (exp − now), seconds — caps the replay window past the short-lived mandate.
@@ -1648,7 +1656,7 @@ export interface ServiceConfigFlat {
      *  session; fills a NULL title only — a title the user set via `PATCH /v1/sessions/:id` is never overwritten).
      *  Default ON; `SESSION_AUTO_TITLE=false` opts out. */
     sessionAutoTitle: boolean;
-    /** S-178:上面那一位的来源(同一张四词表)。本键**不进 posture**(缺省恒 true,两形同值)——
+    /** [ref]:上面那一位的来源(同一张四词表)。本键**不进 posture**(缺省恒 true,两形同值)——
      *  报来源是为了让运维分辨「这台机器显式关了自动标题」与「它本来就开着」;壳此前注 `false` 的那条
      *  理由(gateway 不可达时的 warn 噪音)已在 `session-titler.ts` 侧修掉。 */
     sessionAutoTitleSource: PostureSource;
@@ -1659,7 +1667,7 @@ export interface ServiceConfigFlat {
      *  field; rendered as the `# Environment` block, sanitized+bounded core-side). Default ON —
      *  facts only ride when the deployment actually knows them (image binding/pkgSource/egress/resume facts), absent =
      *  block unchanged. `SANDBOX_ENV_FACTS=false` opts out of the SANDBOX facts only.
-     *  🔴 S-842:the session scratchpad declaration (`envFacts.scratchpadDir`) is NOT under this knob — it is the write
+     *  🔴 [ref]:the session scratchpad declaration (`envFacts.scratchpadDir`) is NOT under this knob — it is the write
      *  surface's declaration (core opens the root-fence hole for it and teaches it by the same verdict), not a display
      *  fact; gating it would close the scratchpad together with the display. */
     envFactsEnabled: boolean;
@@ -1688,14 +1696,14 @@ export interface ServiceConfigFlat {
      *  调用形)成文在 `deployment-governance.ts` 的 `RelativeTargetLexicalEnv` 类注。 */
     sensitiveWritePatterns: string[];
     /**
-     * S-138 —— core **写保护名表**(`RunnerDeps.writeProtectedPaths` 座)的部署决定。两根 env 旋钮
+     * [ref] —— core **写保护名表**(`RunnerDeps.writeProtectedPaths` 座)的部署决定。两根 env 旋钮
      * 共铸这**一个**键(它们写的是同一条语义面,两根同写 ⇒ boot 拒启,见 config.ts 的解析点):
      *  · `WRITE_PROTECTED_EXTRA` ⇒ `{knob:"extra", entries:[...WRITE_PROTECTED_DEFAULT_TABLE, …增量]}`;
      *  · `WRITE_PROTECTED_TABLE_REPLACE` ⇒ `{knob:"replace", entries:<JSON 数组原样>}`(`[]` = 显式无表)。
      *
      * 🔴 **缺席 = 不铸键**(与 `readFace` 族同律):座缺席时 core 的 `resolveWriteProtectedTable` 返回它
      * 自己的缺省 51 行 —— 本仓**不复制那张表**,上游改表之日起不会有第二份真源。「缺席 = 没装表」是
-     * B-023 F2 的那个误读,读面(`writeProtection` 两位)正是为了让它不可能再发生。
+     * [ref] F2 的那个误读,读面(`writeProtection` 两位)正是为了让它不可能再发生。
      *
      * 🔴 为什么带 `knob` 而不是只存数组:`extra` 与 `replace` 铸出的 `entries` 在**值**上分不出来
      * (一份 `[...DEFAULT, 两行]` 既可能是加法、也可能是运维手抄的整表),而两者对运维的意义相反 ——
@@ -1738,7 +1746,7 @@ export interface ServiceConfigFlat {
      *  default — a deployment must explicitly choose it); `"always"` = CC-strict parity (every Bash asks). Any
      *  other value (incl. `"off"`) is treated as unset — this knob has no "off" value to opt BACK OUT with once a
      *  session's baseline already tightened elsewhere (tightenTaskSpec would reject that as a loosen anyway).
-     *  🔴 **S-877(core 7.34.0 [ref])起值域 = core `ShellGateDoctrine` 本尊(只剩 `"always"`)**:`"classify"` 退役 ——
+     *  🔴 **[ref](core 7.34.0 [ref])起值域 = core `ShellGateDoctrine` 本尊(只剩 `"always"`)**:`"classify"` 退役 ——
      *  引擎把形状档装在**每一种模式**的全权 shell 上(不再是一个运维选的档),它当年**额外**买到的那一半(bypass 请求下
      *  shell 照问)没有忠实的继任值(引擎按模式放行 bypass 下的普通 ask)⇒ 配 `classify` 的部署 **boot 拒启**并指路
      *  (`config.ts` 的解析臂),不静默当成 no-op(那是安全轴上的静默放松)。上面几段关于 `"classify"` 的语义是历史记录。 */
@@ -1762,7 +1770,7 @@ export interface ServiceConfigFlat {
      *  真源。所以缺席时这台机器跟随 core 的 `main`,运维面由 DEPLOY-PREREQS 的升级段点名(「默认变了」
      *  是升级须知,不是一个可以静默过去的实现细节)。 */
     autoModeClassifierFallback?: "main" | "none";
-    /** 7.102.0 S-757(test [ref] / core #1125)—— **分类器单级判决上限**(`AUTO_MODE_CLASSIFIER_TIMEOUT_MS`,
+    /** 7.102.0 [ref](test [ref] / core [ref])—— **分类器单级判决上限**(`AUTO_MODE_CLASSIFIER_TIMEOUT_MS`,
      *  部署级数值旋钮,整数 ms,合法域 {@link AUTO_MODE_CLASSIFIER_TIMEOUT_BOUNDS})→ core `RunnerDeps.autoMode.timeoutMs`。
      *
      *  为什么要一根旋钮:这一级到点没裁 = 梯子往下走,走完仍没裁 ⇒ 这次门控调用**整条拒**、不出卡。自建慢网关
@@ -1771,13 +1779,13 @@ export interface ServiceConfigFlat {
      *  🔴 **缺席 = 不铸键**(与 {@link autoModeClassifierFallback} 同律):本仓不复制上游缺省数字,core 改缺省之日
      *  本仓不会成为第二份真源。旋钮**无条件**:不挂任何客户端 / 请求面派生腿。坏值(非十进制整数 / 越界)boot 拒启。 */
     autoModeClassifierTimeoutMs?: number;
-    /** S-111([ref] §4.4)—— CC `settings.crossSessionInbound` 的**部署/组织层**(引擎层形的 `managed` 层,
+    /** [ref]([ref] §4.4)—— CC `settings.crossSessionInbound` 的**部署/组织层**(引擎层形的 `managed` 层,
      *  CC `policySettings` 对位):本部署对入站跨会话消息的治理三态。`accept` 投递 / `hold` 停在收件会话的待审
      *  队列 / `refuse` 整体退出车道。**未设 = 本层不设**(不是 accept):引擎读作「managed 层未表态」,由其余层
      *  与 mode-parity 决定。词表外的值 boot 拒启(保护型旋钮不许静默回默认)。
      *  ⚠️ 供层点 = `cross-session-settings.ts`,生效前提 = 引擎的 peer 目录席在场(座缺席 ⇒ 整条车道不挂)。 */
     crossSessionInbound?: CrossSessionInboundSetting;
-    /** S-111 —— CC `settings.dialogExpiry` 的部署层:held 跨会话消息等待人审多久后按安全缺省结算(带回执过期,
+    /** [ref] —— CC `settings.dialogExpiry` 的部署层:held 跨会话消息等待人审多久后按安全缺省结算(带回执过期,
      *  不静默吞)。`"never"` = 不设期限。**未设 ⇒ 不铸键**,由引擎落它自己的缺省(`"5m"`)——本仓不复制上游
      *  缺省值。词表外 boot 拒启。⚠️ CC 同名键还有第二个消费面(远端审批对话框停靠时长),本旋钮今天不驱动它。 */
     crossSessionDialogExpiry?: CrossSessionDialogExpiry;
@@ -1813,12 +1821,12 @@ export interface ServiceConfigFlat {
      *  opt-out) is a **fail-loud tombstone** — it refuses boot naming `LSP_HOST_ENABLED`; `LSP_ENABLED=true` keeps
      *  its own meaning (the sandbox lane's opt-in above) and is unaffected. */
     lspHostEnabled: boolean;
-    /** S-699 —— host-lane language-server env **named allowlist** (`LSP_ENV_ALLOW=NAME,NAME`). The language server's env is
+    /** [ref] —— host-lane language-server env **named allowlist** (`LSP_ENV_ALLOW=NAME,NAME`). The language server's env is
      *  the engine's `inheritedHostEnv("scrub")` (shape rules + this deployment's declared own credentials); each name here is put back **verbatim** from the service's own env on top of that
      *  (`allowlistedEnv`, the same "named keys pass" predicate as the host shell's `inheritEnv:[names]`) — the deployer
      *  explicitly accepts handing that value to code the language server runs. Unnamed secret-shaped keys stay stripped.
      *  `[]` = nothing put back (the default: unset / empty string). A malformed list (empty segment / not an env-var name /
-     *  the name of a name-list knob — S-713: one parser for all three) refuses boot naming the key, without echoing the value. `REQUIRE_PRINCIPAL=true` ⇒ always `[]` (ignored, one boot
+     *  the name of a name-list knob — [ref]: one parser for all three) refuses boot naming the key, without echoing the value. `REQUIRE_PRINCIPAL=true` ⇒ always `[]` (ignored, one boot
      *  warn) — the multi-tenant posture keeps the full strip. Single-user: only names that EXIST in this process's env
      *  make it into this list (an absent name is a per-index boot warn) — so every downstream echo of it (the scrub
      *  disclosure's `allowed`, the config catalog) carries real key names only, never a value pasted in place of a name. */
@@ -1828,9 +1836,9 @@ export interface ServiceConfigFlat {
      *  /health carries `draining:true`. Default 10min (an interactive turn is minutes, not seconds — a
      *  10s hard-cut would kill long turns); floor 10s. Env: DRAIN_GRACE_MS. SIGINT (Ctrl-C dev
      *  ergonomics) hard-stops immediately; DURING a drain, a second SIGTERM / SIGINT hard-stops only when it arrives
-     *  at least {@link drainSecondSignalMinGapMs} after the drain began (S-752). */
+     *  at least {@link drainSecondSignalMinGapMs} after the drain began ([ref]). */
     drainGraceMs: number;
-    /** S-752(test [ref]):排空期「第二发信号 = 硬停」的最小间隔(ms,锚 = 排空起点)。不足 ⇒ 同一拍的重复投递,一行
+    /** [ref](test [ref]):排空期「第二发信号 = 硬停」的最小间隔(ms,锚 = 排空起点)。不足 ⇒ 同一拍的重复投递,一行
      *  info `drain_duplicate_signal_ignored` 后忽略、排空继续;`0` = 关(7.101.x 行为)。合法域
      *  {@link DRAIN_SECOND_SIGNAL_MIN_GAP_BOUNDS},缺省 {@link DRAIN_SECOND_SIGNAL_MIN_GAP_DEFAULT_MS};坏值拒启([ref] A 档)。
      *  部署级旋钮,**无条件**解析。 Env: `DRAIN_SECOND_SIGNAL_MIN_GAP_MS`。 */
@@ -1844,13 +1852,13 @@ export interface ServiceConfigFlat {
      *  T11 stands, just bounded instead of immediate. A SECOND SIGHUP (or SIGTERM) escalates to the normal drain
      *  path. Default 120s, floor 5s. Env: SIGHUP_IDLE_GRACE_MS. */
     sighupIdleGraceMs: number;
-    /** [ref](判据 S-292 / 出口 S-306 改版):引擎 **parent 监视**。壳自 spawn 引擎的同机形里,壳被 SIGKILL
+    /** [ref](判据 [ref] / 出口 [ref] 改版):引擎 **parent 监视**。壳自 spawn 引擎的同机形里,壳被 SIGKILL
      *  (崩溃/强杀,没有任何清理钩子)后引擎被 reparent 到 init 而**继续活着** —— 孤儿引擎占端口、占库连接、
      *  占模型配额、抱着 `LOCAL_DATA_ROOT/LOCK`(活孤儿是合法持锁人 ⇒ 下一只壳的引擎必撞锁),而且再没有人会给
      *  它发 SIGTERM(T11 的进程组腿只覆盖信号送得到的形)。设了本键 = 引擎每 2s 自查一拍,**两支任一成立
      *  即把自己标成孤儿**:① `process.ppid` 不再是启动那一刻的值(被过继走,强身份);② `process.kill(pid, 0)` 抛
      *  `ESRCH`(弱身份)。`EPERM` = 进程在、只是本进程无权给它发信号 ⇒ **算活着**。
-     *  🔴 **S-306(硬 breaking)**:成孤儿**不等于**停机 —— 看门狗的 drain 臂整条删。退不退由**同一条**
+     *  🔴 **[ref](硬 breaking)**:成孤儿**不等于**停机 —— 看门狗的 drain 臂整条删。退不退由**同一条**
      *  附着租约律判(无附着 ∧ 无在飞 ∧ 静默满窗),孤儿态只是把窗从 {@link engineLingerMs} 换成
      *  {@link engineOrphanLingerMs}。于是「A 起引擎、B 按 engine.port 复用、A 正常退」不会再在 B 的 turn
      *  中间把引擎拆掉;自退仍走与 SIGTERM **逐字同一条** graceful drain 腿,不是裸 `process.exit`。
@@ -1865,9 +1873,9 @@ export interface ServiceConfigFlat {
      *  才自退,且自退走的是与 SIGTERM **逐字同一条** graceful drain 腿(不是裸 `process.exit`)。
      *  **默认 false** —— 服务器部署形永不自退(k8s replica 半夜没人用是正常低谷,不是「该退了」);
      *  壳 spawn 形由壳显式注入 `true`。**部署级旋钮无条件生效**,不派生自任何客户端表态。
-     *  🔴 **S-306**:与 {@link parentPid} 不再是「各走各判据的两件」,而是**一件 + 一个输入** —— 租约腿在
+     *  🔴 **[ref]**:与 {@link parentPid} 不再是「各走各判据的两件」,而是**一件 + 一个输入** —— 租约腿在
      *  「本键为真 ∨ `parentPid` 在场」时装配,本键只决定 **owned 态**(父还活着 / 没被监视)的窗:为真 ⇒
-     *  {@link engineLingerMs},为假 ⇒ **永不自退**(窗 = `Infinity`,与 S-306 前逐字同)。父死之后一律
+     *  {@link engineLingerMs},为假 ⇒ **永不自退**(窗 = `Infinity`,与 [ref] 前逐字同)。父死之后一律
      *  改用 {@link engineOrphanLingerMs}。 Env: `ENGINE_AUTO_EXIT`(默认 off)。 */
     engineAutoExit: boolean;
     /** [ref]:自退前三合取必须**持续**成立的静默窗。默认 60s —— 防的是**壳重启窗**:壳崩了/重启的 1-3s
@@ -1880,8 +1888,8 @@ export interface ServiceConfigFlat {
      *  **永远追不上它** ⇒ 看着配好了、自退其实整件失效。要「永不自退」请用 `ENGINE_AUTO_EXIT=false`。
      *  Env: `ENGINE_LINGER_MS`(默认 60000,闭区间 [1000, 86400000])。 */
     engineLingerMs: number;
-    /** S-306:**孤儿态**的静默窗 —— `SEMA_PARENT_PID` 那个进程已经不在了之后,三合取还要**持续**成立多久
-     *  才自退。默认 **2s**:部署面的判据是「壳挂掉后数据根秒级重新可用」(B-117 的原病 = 孤儿引擎抱着
+    /** [ref]:**孤儿态**的静默窗 —— `SEMA_PARENT_PID` 那个进程已经不在了之后,三合取还要**持续**成立多久
+     *  才自退。默认 **2s**:部署面的判据是「壳挂掉后数据根秒级重新可用」([ref] 的原病 = 孤儿引擎抱着
      *  `LOCAL_DATA_ROOT/LOCK` 不放),而此时已经没有「壳重启窗」要防 —— 那只壳不会回来了(要回来的是**新**
      *  壳,它走的是新 boot)。窗仍然不是 0:有活附着 / 有在飞 turn 时这条窗压根不开始计时(三合取先不成立)。
      *  与 {@link engineLingerMs} **同一只校验器、同一对上下界**,坏值同样**拒启**;解析**无条件**,不看
@@ -1985,14 +1993,14 @@ export interface ServiceConfigFlat {
      * 一个部署级旋钮的生死由客户端 posture 决定,同病犯过两次)。
      *
      * 施加点 = `ToolApprovalCoordinator` 的构造参 `unattendedPolicy`,五条「无人可答」的臂读同一
-     * 个值;对账收敛器的同名构造参(S-706,`boot/reapers.ts` 恒传同一个部署值)只供它的孤儿段打同一只终态 claim ——
+     * 个值;对账收敛器的同名构造参([ref],`boot/reapers.ts` 恒传同一个部署值)只供它的孤儿段打同一只终态 claim ——
      * 两处读同一个值,于是崩溃恢复与 live 腿同答(设计稿 §1 的表:(a) 有店窗到期赢 CAS /(b) 无店窗到期 /(c) 店报错 catch /(d) windowZero 与
      * headless 腿 /(e) 断连强转 + emit 全灭 + 写侧准入超限 + **投递集合入口活性过滤清空**([ref] 归
      * 位:与「查无活流」同一件事实的两个时刻,详见 `askBroadcast` 的该臂注))。`"timeout"` 宿主自报只留在 (b)(c) ——
      * 结束等待的确实是本仓的窗;其余三臂结束等待的是容量/连接/装配,自报恒缺席。
      *
-     * 🔴 **`deny` 交给引擎的形(S-689)**:部署政策拒对象臂 `{allow:false, settledBy:"policy", reason}` ⇒ 引擎结算
-     * `policy_refused`(`who.party:"policy"` —— core 7.39.0 #1265 起;此前 `"none"`)、模型读策略句(「部署政策拒了、此处没有交互审批,别重试、做不需审批的
+     * 🔴 **`deny` 交给引擎的形([ref])**:部署政策拒对象臂 `{allow:false, settledBy:"policy", reason}` ⇒ 引擎结算
+     * `policy_refused`(`who.party:"policy"` —— core 7.39.0 [ref] 起;此前 `"none"`)、模型读策略句(「部署政策拒了、此处没有交互审批,别重试、做不需审批的
      * 部分」)、run 不以「用户拒绝」收束而是继续。修前是裸 `false` —— 引擎契约里那就是「一个人拒了」
      * (`human_refused` / `haltedOnUserRejection`),与本键「没有人会来」的自声明正好相反。(b)(c) 两臂照旧带
      * `"timeout"` 自报(`approval_window_expired`)。
@@ -2009,12 +2017,12 @@ export interface ServiceConfigFlat {
      *  · APPROVAL_REQUIRE 名单工具:**要不要 ask** 由 `createApprovalBaselinePolicy` 的 durable gate 类裁决,那一层
      *    结构上读不到本旋钮;但那只 ask 的**答法**在协调器在场时与治理 ask 同走流内臂、同政策(引擎先问活席
      *    `onAsk`,答 `"unavailable"` 才 park)⇒ `deny` 部署对名单工具同样当场拒。旧注「不经流内臂、不受本旋钮
-     *    影响」失实(test 黑盒证伪;S-689 的真 HTTP 格 `test/unattended-deny-settlement-e2e.test.ts` 用的正是
+     *    影响」失实(test 黑盒证伪;[ref] 的真 HTTP 格 `test/unattended-deny-settlement-e2e.test.ts` 用的正是
      *    名单工具)。
      *  · **持久回放**(窗到期后向真源收敛、`ensureAsk` 幂等重入撞上已终结的行)读出 PARKING/PARKED 时
      *    **同样按旋钮改判** —— 它们与 (a) 是同一件事(赢家可能是别的副本或上一次调用),不统一的话同一只
      *    ask 的终局会取决于「谁赢了那把 CAS / 重试没重试」。人的真决议回放不受影响。
-     *  · `ensureAsk` 身份未定 / 坏行两臂**同样**改判(S-702,7.101.0;此前是唯一的例外,deny 部署上店抖动期仍会落 park):
+     *  · `ensureAsk` 身份未定 / 坏行两臂**同样**改判([ref],7.101.0;此前是唯一的例外,deny 部署上店抖动期仍会落 park):
      *    两臂的处置不变(不编造 wire 身份、不在身份未定时呈卡收人决),「不呈卡之后交什么」过同一个政策口 —— deny ⇒ 部署
      *    政策拒,本次插下的行同落政策结算(归属证不出的行不当场动 —— 可能正被别的登记呈卡 —— 由收敛器孤儿段收);
      *    park ⇒ `"unavailable"` 逐字不变。
@@ -2022,9 +2030,9 @@ export interface ServiceConfigFlat {
      *    —— 这一只 ask 行 CAS 成 DECIDED(deny) + `settled_by="policy"`(按 ask 作用域,不碰批、不连坐兄弟),与交给
      *    引擎的那一只同一个来源词 ⇒ 重入 / 收敛后重入回放同一个政策拒,不退化成裸 `false`(人拒)。修前行停 PARKING,
      *    run 完成后收敛器转 DENIED 且不带来源。崩溃恢复腿(收敛器孤儿段)与两条兜底臂调**同一只** claim(`settleByPolicy`,
-     *    S-702 / S-706,7.101.0),于是本旋钮也施加到收敛器上(装配点恒传)。仍按 PARKING 记账的只剩别的写者推进的行
+     *    [ref] / [ref],7.101.0),于是本旋钮也施加到收敛器上(装配点恒传)。仍按 PARKING 记账的只剩别的写者推进的行
      *    (park 政策副本 / 切换政策之前)。
-     *  · 🔴 `deny` 部署上**批是单 ask 批**(S-689 codex R1-F1;`deriveAskScopedBatchId`):批是 park 路由的单位,
+     *  · 🔴 `deny` 部署上**批是单 ask 批**([ref] codex R1-F1;`deriveAskScopedBatchId`):批是 park 路由的单位,
      *    整腿一批的前提是「批一关腿就随 park 结束」;deny 下引擎拿到部署政策拒后腿继续跑,整腿一批会让首只到期
      *    把批关掉(同腿后续的卡人批不动)、把兄弟连坐成 VOID(裸 `false` = 人拒)。
      */
@@ -2046,16 +2054,16 @@ export interface ServiceConfigFlat {
     traceThinking: boolean;
     /** [ref](core 5.30.0 readFace 部署座席):READ 容纳面。显式坏词启动期响亮拒;只影响读面,写面永不
      *  受它管(core 契约)。
-     *  🔴 **S-167(7.65.0)起「缺席」按 posture 分两形**(clay 裁定 2):单用户 turnkey(`REQUIRE_PRINCIPAL`
+     *  🔴 **[ref](7.65.0)起「缺席」按 posture 分两形**(clay 裁定 2):单用户 turnkey(`REQUIRE_PRINCIPAL`
      *  未设)⇒ 铸 `open`(工作区外读默认放行);多租户 ⇒ 仍**不铸**(core 引擎默认 roots,server 不写死
      *  上游默认)。谁定的这一档由 {@link ServiceConfigFlat.readFaceSource} 答 —— 值与来源**同一处写**。 */
     readFace?: "open" | "roots";
-    /** S-167:上面那一档**是谁定的**(闭集四词,见 `read-face-posture.ts`)。不变量:
+    /** [ref]:上面那一档**是谁定的**(闭集四词,见 `read-face-posture.ts`)。不变量:
      *  `readFace === undefined` ⟺ `readFaceSource === "engine-default"`。
      *  🔴 承重面**不是**装饰:`web-admin-client/read-face.ts` 的「env 恒赢」逐键判据读的就是它(修前读的是
      *  「键在不在场」这个代理,posture 会铸键 ⇒ 代理当场失真,center 的 face 会被从没设过 env 的机器挡掉)。 */
     readFaceSource: ReadFaceSource;
-    /** S-591(7.95.0,车LT):任务层**掀开写围栏**这条声明的**运维天花板档位**(`TASK_WRITE_FACE_ESCALATION`)。
+    /** [ref](7.95.0,车LT):任务层**掀开写围栏**这条声明的**运维天花板档位**(`TASK_WRITE_FACE_ESCALATION`)。
      *  `"allow"` = 这台部署允许任务层把写容纳面开到任务根之外;`"refuse"` = 无条件拒;
      *  **缺席 = 不表态** ⇒ 交给托管 posture 判(托管拒 / 单用户 turnkey 照旧放行)。判据单点在
      *  `src/hosted-posture.ts` 的 `taskWriteFaceRefusal`。
@@ -2093,7 +2101,7 @@ export interface ServiceConfigFlat {
      *  `READ_DENY_BUILTIN_EXCLUDE`=逗号分隔;不在表里的行名 / 空串**启动期响亮拒**。
      *  🔴 不变量(判据帖 G5b):删内建**绝不**削弱任务自己显式声明的 deny —— 那是另一层(additions)。 */
     readDenyBuiltinExclude?: readonly string[];
-    /** core 7.46.0 #1419:部署**声明**的配置根(`SEMA_CONFIG_DIR`,绝对路径;起服的供给动作建出目录,能不能用由引擎判)—— 交引擎 `RunnerDeps.agentConfigDir`
+    /** core 7.46.0 [ref]:部署**声明**的配置根(`SEMA_CONFIG_DIR`,绝对路径;起服的供给动作建出目录,能不能用由引擎判)—— 交引擎 `RunnerDeps.agentConfigDir`
      *  与守卫集 `createSensitivePathPolicy` 的同名入参:内建读拒表里以 `.sema` 开头的行在这个根下同样拒,写进根下要问一次。缺席 = 没声明
      *  ⇒ 引擎读字面 `~/.sema`(与 LKG / skill 缓存 / scheduler 店的缺省落点同一处)。读法单一属主 `sema-config-dir.ts`。 */
     agentConfigDir?: string;
@@ -2195,10 +2203,10 @@ export interface ServiceConfigFlat {
      *  config, but do NOT apply it — a safe-rollout verification step before flipping to live.
      *  `worker` (SEMA_WEB_ADMIN_WORKER=<name>; injected per-worker by the reconciler): scopes the pull to
      *  that worker's roster via `/effective?worker=<name>`. Unset → the global roster (backward compatible).
-     *  `credential`(S-651,BREAKING:取代 7.98.0 及以前的 `token: string` 启动快照):凭证来源活对象
+     *  `credential`([ref],BREAKING:取代 7.98.0 及以前的 `token: string` 启动快照):凭证来源活对象
      *  (`center-credential.ts`),每条出站请求经它取一次值 —— `SEMA_WEB_ADMIN_TOKEN`(值)或
      *  `SEMA_WEB_ADMIN_TOKEN_FILE`(每次读文件,轮换 / 换账号不重启)二选一(两键名与判官的属主 = settings-schema
-     *  `WEB_ADMIN_ENV` / `judgeWebAdminCredentialDeclaration`,S-742)。
+     *  `WEB_ADMIN_ENV` / `judgeWebAdminCredentialDeclaration`,[ref])。
      *  `liveBaseUrl`(编排器片 2,env `SEMA_WEB_ADMIN_LIVE_URL`):fleet 活性组(心跳 / 注销、服务租约 —— settings-schema `FLEET_LIVE_PATHS`)的基址,
      *  给「管理面在就绪门后、活性面另走一条不看就绪的入口」的部署;缺席 ⇒ 活性组也打 `baseUrl`(这条缺省只在 `centerFetch` 读)。
      *  `webBaseUrl`(7.121.0,env `SEMA_WEB_ADMIN_WEB_URL`):这个中心的 **web 面固定基址**,运维声明、引擎原样转述到 `/health.center.webBaseUrl`
@@ -2211,10 +2219,10 @@ export interface ServiceConfigFlat {
         dryRun: boolean;
         worker?: string;
     };
-    /** S-866 ③(E-2):租约**连接级**失败(中心 401 / 403 / 400、凭证文件不可读;不可达 / 5xx / 超时 / 坏体)时的姿态 ——
+    /** [ref] ③(E-2):租约**连接级**失败(中心 401 / 403 / 400、凭证文件不可读;不可达 / 5xx / 超时 / 坏体)时的姿态 ——
      *  `true` ⇒ 计费入口答 503 `fleet.lease_unavailable`(`Retry-After` 5s);`false` ⇒ 照旧放行(AP 姿态,warn + 计数)。
      *  `FLEET_LEASE_FAIL_CLOSED`(布尔词表,词表外拒启);**缺席随部署姿态派生**:`REQUIRE_PRINCIPAL=true` ⇒ `true`,单用户 ⇒ `false`;
-     *  显式值压过派生(部署级旋钮无条件,与 `READ_FACE` 缺省按 posture 派生 S-167 同形)。只在装了租约管理器的部署上有意义
+     *  显式值压过派生(部署级旋钮无条件,与 `READ_FACE` 缺省按 posture 派生 [ref] 同形)。只在装了租约管理器的部署上有意义
      *  (`lease:"absent"` 的部署不参与);生效值上 caps `centerWiring.failMode`。 */
     fleetLeaseFailClosed: boolean;
     /** 编排器片 2:fleet 成员的**代际**(env `FLEET_GENERATION`,settings-schema `FLEET_GENERATION_ENV`;配置渲染器是唯一写手)。
@@ -2236,7 +2244,7 @@ export interface ServiceConfigFlat {
      *  不自停;中心恢复授予即恢复。② 排空口 `POST /v1/admin/drain` 的**期限准入上界**(`fleet/drain-entry.ts` 规则 2):`deadlineAt` 离此刻超过它 ⇒
      *  400 `request.field_invalid`。 */
     fleetLeaseOutageMaxMs: number;
-    /** S-698(design-325 §2):中心凭证**续签提前量**(ms)—— `SEMA_WEB_ADMIN_TOKEN_FILE` 指向人的登录会话信封
+    /** [ref](design-325 §2):中心凭证**续签提前量**(ms)—— `SEMA_WEB_ADMIN_TOKEN_FILE` 指向人的登录会话信封
      *  (`kind:"user-session"`)时,访问令牌离到期 ≤ 本值即由引擎续签并原子改写同一文件(`center-credential-renewer.ts`)。
      *  缺省 5 min;`0` = 关续签、只读信封(壳负责续);其余必须是整数毫秒且落在 `CENTER_CREDENTIAL_RENEW_LEAD_MIN_MS`(一次续签请求的
      *  传输上界)与 `CENTER_CREDENTIAL_RENEW_LEAD_MAX_MS`(访问令牌寿命之半)之间,坏值拒启(解析口 `parseCenterCredentialRenewLeadMs`)。
@@ -2244,7 +2252,7 @@ export interface ServiceConfigFlat {
     centerCredentialRenewLeadMs: number;
     /** Dual-mode config SOURCE (DUAL-MODE-DESIGN §4): "remote" (web-admin HTTP) | "local" (.env + config.d
      *  via @sema-agent/settings-schema FileConfigStore) | unset → remote if SEMA_WEB_ADMIN_URL is set, else pure-env.
-     *  Env: CONFIG_PROVIDER —— S-841 起闭集 {@link CONFIG_PROVIDER_WORDS}(认不出的词拒启;空串 = 未设)。
+     *  Env: CONFIG_PROVIDER —— [ref] 起闭集 {@link CONFIG_PROVIDER_WORDS}(认不出的词拒启;空串 = 未设)。
      *  The same resolver/EffectiveConfig either way (can't drift). */
     configProvider?: ConfigProviderWord;
     /** Root dir holding `config.d/<domain>.json` for the local config source. Env: CONFIG_LOCAL_DIR. */
@@ -2255,7 +2263,7 @@ export interface ServiceConfigFlat {
     configLocalOwnerUid?: number;
 }
 /** 组:store(持久化)—— DB 引擎三态、session 后端、SQL coords、快照 BLOB / SendUserFile 对象存储。 */
-export type ServiceStoreConfig = Pick<ServiceConfigFlat, "sessionBackend" | "sessionCacheTtlSec" | "storeProbeIntervalMs" | "storeLockWaitMs" | "dbBackend" | "dbBackendExplicit" | "localDataRoot" | "runStoreStrictHydrate" | "tidb" | "pg" | "dbQueryTimeoutMs" | "snapshotBlobStore" | "snapshotBlobSqlMaxBytes" | "snapshotBlobAllowSql" | "fileHistory" | "fileHistoryCapture" | "sendUserFile">;
+export type ServiceStoreConfig = Pick<ServiceConfigFlat, "sessionBackend" | "sessionCacheTtlSec" | "storeProbeIntervalMs" | "storeLockWaitMs" | "dbBackend" | "dbBackendExplicit" | "localDataRoot" | "sealedKeyDir" | "runStoreStrictHydrate" | "tidb" | "pg" | "dbQueryTimeoutMs" | "snapshotBlobStore" | "snapshotBlobSqlMaxBytes" | "snapshotBlobAllowSql" | "fileHistory" | "fileHistoryCapture" | "sendUserFile">;
 /** 组:modelPlane(模型面)—— 网关坐标、Anthropic 路线、韧性旋钮、主/廉价 model entry、role 表、降级梯。 */
 export type ServiceModelPlaneConfig = Pick<ServiceConfigFlat, "gatewayBaseUrl" | "gatewayApiKey" | "gatewayFallbackUrls" | "gatewayMaxRetries" | "anthropic" | "resilience" | "model" | "envModel" | "models" | "modelApiKeyEnv" | "modelApiKeys" | "modelRefusals" | "droppedCatalogEntries" | "modelQuotaWeights" | "tiers" | "projects" | "roles" | "atMention" | "cascadeLadder" | "degrade">;
 /** 组:approval(审批 / HITL 门)。`directDoorActive` 无 env 解析腿(装配层三域合取的产物),但语义上