@sema-agent/server 7.134.0 → 7.136.0

package/dist/rule-entry-list.d.ts

@@ -9,7 +9,7 @@
  *  ① **形**({@link ruleEntryListShapeOk}):字符串数组。引擎逐条迭代;一个裸字符串会被逐字符读成几条(deny 侧 = 意图静默落空)。
  *     本谓词不带条数帽(引擎的 `screenAllowedToolsValue` 只判形);条数帽是另一只函数 {@link allowLayerEntryCountIssue}(`MAX_ALLOW_LAYER_ENTRIES`,
  *     请求 allow 桶、技能两只清单、运维表四张表同一只、同一句)。
- *  ② (7.116.0–7.122.x 的「引擎读不到的一形」—— 工具段为空的协议名 `mcp__srv__` 四张表都拒 —— 随 core 7.48.0 #1400 退役:引擎判官给它判词
+ *  ② (7.116.0–7.122.x 的「引擎读不到的一形」—— 工具段为空的协议名 `mcp__srv__` 四张表都拒 —— 随 core 7.48.0 [ref] 退役:引擎判官给它判词
  *     `unmintable_segment`,条目由下面 ③ 读成 `tool_name`,与对端段铸不出的名字同一条路。)
  *  ③ **引擎读成空的条目**({@link inertRuleEntriesOf},判据 = 引擎包根 `compileAllowList(entries, behavior, 名册)`;原因词是引擎的 `ALLOW_ENTRY_INERT_REASONS`)。
  *     条目的工具名也过引擎判官:退役名 / 无前缀短名 / 对端段或工具段铸不出、为空读成 `tool_name`,带判词与 1:1 现名;名册里有那只工具、条目只差大小写 ⇒ `near_miss`(`BASH` ⇒ 现名 `Bash`)。
@@ -19,14 +19,15 @@
  *     近似名 · 退役名 · 文法读不出 · 不带内容形的工具带内容;**放行侧**(读成空 = 想放的什么也没放:`settings.permissions.allow`、根 / 子代 `allowTools`、技能 `allowedTools`)**只拒近似名**
  *     ({@link allowSideReadsAsNothing}):近似名现名唯一、确定是笔误;退役名 / 内容形 / 文法读不出 / 协议名对端段通配照 7.130.0 受理、交引擎既有通告(其中选择器清单 `allowTools` 里**有后继**的退役名〔`Task` ⇒ `Agent`、`bash` ⇒ `Bash`〕core 7.52.0 起由引擎开跑前拒,不在本仓拒面;规则表上的退役名引擎照旧告运维 ——
  *     壳转投的 CC 用户 settings 里这些极常见,尤其内容形里的 `$VAR`(`Bash(echo $HOME)`)读成 `grammar`,拒了 = 每次提交 400)。运维的 `APPROVAL_GRANT` 是运维自己的配置:任何读成空都拒启(写错了当场改)。
- *     技能拒侧那一拒与引擎 #1372(core 7.43.0:那只技能不激活)是同一件事的两处 —— 7.118.0 重估过、本版**不退**:本仓的续跑腿把引擎的
+ *     技能拒侧那一拒与引擎 [ref](core 7.43.0:那只技能不激活)是同一件事的两处 —— 7.118.0 重估过、本版**不退**:本仓的续跑腿把引擎的
  *     `checkpoint.config_refused`(`config.skill_deny_unreadable`)答得不一(资源停车续跑腿 500、`/decide` 先结了卡、`/wake` 先铸了 run 行),先统一那一层再退
  *     (重估读数与退役条件在下面 {@link skillDenyInertEntryOf} 头注)。
  *  ④ **工具名选择器清单**(请求顶层 `allowTools` / `excludeTools`、子代定义的 `allowTools` / `denyTools`;引擎的可用性选择器,**不是**规则条目表):读成空的条目在受理口**开跑前拒并点名现名**
  *     (拒面按 ③ 的方向分),拒句点名有界({@link MAX_NAMED_INERT_ENTRIES} 条 + 计数),清单先过条数帽({@link inertToolListEntryOf})。
  *     **真未知名**(拼写合法、没有近似也没有退役对应 —— 懒挂载的合法形,例如一台之后才连上的 MCP 服务器的工具)不是读成空:原样保留、运维行告知一次,不拒。
  *     选择器读一条条目 = 引擎 `judgeToolNameList` 的读法({@link selectorEntryName}):先取工具名那一段再只判名字(限制侧 `Tool(content)` ⇒ 整只工具,内容里写什么都不读;放行侧内容形引擎告「什么也不授」,受理口不拒);
- *     `*` 在放行侧是「本层不设名单」、在限制侧读成空;限制侧 `mcp__*` / `a2a__*`(整个协议的拒)合法。
+ *     `*` 在放行侧是「本层不设名单」、在限制侧读成空;限制侧整个协议的名字 `mcp__*` / `mcp__*__*` / `a2a__*` 合法 —— 那是引擎条目读法的读数(core 7.55.0 [ref]:
+ *     `compileAllowList(…, "deny", 名册)` 把它们读成这一协议的每一只工具),本仓不另写豁免。
  *  ⑤ **机读位**:拒体的码与句子是第一处命中的清单的(句子冻结),体另带这一遍判下来的**全部**读成空的条目(`entry-problems.ts` 的 `detail.problems`,{@link inertToolListEntryOf} 铸);
  *     放行侧选择器清单里受理口没拒、却什么也不放的条目随受理应答的 `warnings` 交回({@link allowSelectorWarningsOf})—— 两处读同一次条目读法({@link selectorReadings}),不另判。
  */
@@ -42,7 +43,7 @@ export declare const ruleEntryListShapeOk: (v: unknown) => v is readonly string[
  * 与技能授予表的 `hold` 都对已有条目线性查重 ⇒ 整表平方级、同步执行;core 7.42.0 上 1 万条约 2 s、2 万条约 6 s,本仓亲测)。不设帽 = 一份
  * 8 MiB 以内的请求体能把整个进程的事件循环卡住几十秒。与 deny / ask 两桶的帽(`permission-rule-list.ts` `MAX_PERMISSION_RULES_PER_LIST`,
  * 编译口的整表帽)是两件事、两个名字,数字恰好相同。
- * 7.118.0 重估(core 7.43.0 #1370 把播种改成集合查重,本仓同一只探针亲测 `AllowEntryTable.seed`:7.42.1 上 1 千条 127 ms、1 万条 4.9 s;7.44.0 上 1 千条 8 ms、
+ * 7.118.0 重估(core 7.43.0 [ref] 把播种改成集合查重,本仓同一只探针亲测 `AllowEntryTable.seed`:7.42.1 上 1 千条 127 ms、1 万条 4.9 s;7.44.0 上 1 千条 8 ms、
  * 1 万条 160 ms、2 万条 226 ms、10 万条 1.08 s —— 线性了,但仍是同步工作,8 MiB 的体装得下几十万条)⇒ 帽留着、数不动:理由由「平方级」换成「线性但同步、
  * 没有真实用法需要上千条」。抬不抬这个数是产品判断,不随提货改。
  */
@@ -131,7 +132,7 @@ export type ToolListLayer = keyof typeof TOOL_LIST_FACES;
 /**
  * 请求体 `settings.permissions.deny` / `ask`(规则编译器读的收紧表)所在的层 —— **不在** {@link toolListsOf} 的扫描里:它们的判与句子的唯一铸点在 `config.ts` 的
  * `unmatchableToolNamesRefusal`(经 `task-settings.ts` 的 `rulePolicyBucketsRefusal`,单表桶序;拒点是 `applyTaskSettings`,422),存体预判(`http/stored-body-replay.ts`)调同一只函数(home 同源于部署配置),把命中装成本型。
- * 层名进这个联合只为让命中能带坐标进 409 体与运维日志。S-1351 起「只收紧」座位族的四座(`tighten-only-seats.ts`,坐标由座位表派生)同走这条路:座位门命中(形 / 超帽 / 条目)与 `permissions.neverAuto` 的名字层。
+ * 层名进这个联合只为让命中能带坐标进 409 体与运维日志。[ref] 起「只收紧」座位族的四座(`tighten-only-seats.ts`,坐标由座位表派生)同走这条路:座位门命中(形 / 超帽 / 条目)与 `permissions.neverAuto` 的名字层。
  */
 export type RulePolicyLayer = "settings.permissions.deny" | "settings.permissions.ask" | TightenOnlySeatField;
 /** 一份提交体里第一处「工具名清单里有引擎读成空的条目」:在哪一层、哪个方向、拒码、拒句(超帽时另带机读字段,同 `settings.permissions.*` 桶超帽的形)。 */
@@ -162,7 +163,7 @@ export declare function skillToolListsOverCap(skill: unknown, at: string, scope:
  * 本函数单独导出是给随包排空脚本:那条判据(`skill-deny-inert`)只数技能这两层,SQL 车道的孪生也只看技能的清单。
  *
  * 判据就是引擎的读法({@link inertRuleEntriesOf};7.118.0 起条目名也过引擎判官,退役名 / 对端段铸不出读成 `tool_name` —— 技能清单的名字层在受理口不再另判)。
- * 7.118.0 重估(core 7.43.0 #1372 到货:读成空的拒侧条目让那只技能不激活)—— **本版不退**。实测(本判退掉之后跑同一批夹具):引擎的拒到本仓各续跑腿的
+ * 7.118.0 重估(core 7.43.0 [ref] 到货:读成空的拒侧条目让那只技能不激活)—— **本版不退**。实测(本判退掉之后跑同一批夹具):引擎的拒到本仓各续跑腿的
  * 答法不一 —— 资源停车续跑腿把 `checkpoint.config_refused` 答成 500 `internal.error`;工具审批 `/decide` 在引擎拒之前已把卡结掉;`/wake` 在引擎拒之前已铸
  * run 行;子代 `agents[].skills[]` 不在引擎的认领前屏里(续跑放行、技能在调用时被拒)。退役条件:本仓续跑腿对引擎 `checkpoint.config_refused` 的答法
  * 收成一只(拒在认领前、行 / 卡不动、同一个 409)之后,本判与本仓的预判一起退,排空判据随之重估。
@@ -200,7 +201,7 @@ export interface CallerToolNames {
 }
 /**
  * **放行侧选择器清单的受理告知**(根 `allowTools`、子代定义的 `allowTools`)—— 这两张清单没有面向用户的通告通道(规则表与技能的放行清单读成空,引擎有受众 = 用户的通告
- * `permission.allowed_tool_not_granted`;选择器清单上引擎只告运维一行),壳转投的 `.claude/agents` 文件里的 `tools:` 恰落在这两张表上。受理口**不拒**(引擎是这一面的判官,#1736 起
+ * `permission.allowed_tool_not_granted`;选择器清单上引擎只告运维一行),壳转投的 `.claude/agents` 文件里的 `tools:` 恰落在这两张表上。受理口**不拒**(引擎是这一面的判官,[ref] 起
  * 没有任何工具答应的名字保留、只告),把「这几条什么也不放」作为 `warnings` 随受理应答交回:每条 `{ code, field, entry, reason }`(形的属主 `entry-problems.ts`),`code` = 这张清单被拒时的码。
  * 限制侧不告(`denyTools` / `excludeTools` 的近似名 / 退役名 / 文法读不出已是 400)。
  *

package/dist/rule-entry-list.js

@@ -18,13 +18,9 @@ export function allowLayerEntryCountIssue(field, list) {
 export function inertRuleEntriesOf(list, behavior) {
     return compileAllowList(list, behavior, TOOL_NAME_ROSTER).inert;
 }
-function peerSegmentIsWild(entry) {
-    const at = entry.indexOf("__");
-    return at >= 0 && (entry.slice(at + 2).split("__")[0] ?? "").includes("*");
-}
 export function inertRuleEntryGuidance(i) {
     const reason = i.reason;
-    const write = i.currentName !== undefined && !peerSegmentIsWild(i.entry) ? ` — write ${displayListEntry(i.currentName)}` : "";
+    const write = i.currentName !== undefined ? ` — write ${displayListEntry(i.currentName)}` : "";
     switch (reason) {
         case "tool_name":
             return `the tool name can never match a mounted tool (${i.verdict ?? "stale"})${write}`;
@@ -33,7 +29,7 @@ export function inertRuleEntryGuidance(i) {
         case "wildcard_all":
             return "`*` names no tool (on an allow list it voids the whole list) — name the tools instead";
         case "namespace_wildcard":
-            return "a server segment does not take a wildcard (`mcp__*`) — name the server: mcp__<server> or mcp__<server>__*";
+            return "a server segment takes no partial wildcard (`mcp__git*`) — name the server: mcp__<server> or mcp__<server>__*; a deny or ask list may write mcp__* for every MCP tool";
         case "content_unsupported":
             return "this tool takes no content form here — name the tool itself, or use Bash(<command>) / Bash(<prefix>:*) for a shell command";
         case "grammar":
@@ -75,7 +71,6 @@ const REFUSAL_TAIL = {
 function selectorEntryName(entry) {
     return entry !== entry.trim() ? entry : parsePermissionRule(entry).toolName;
 }
-const isProtocolWideName = (name) => PROTOCOL_TABLE.some((e) => name === `${e.prefix}*`);
 function selectorInertEntriesOf(list, side) {
     const readings = selectorReadings(list, side);
     return side === "allow" ? readings.filter((i) => allowSideReadsAsNothing(i.reason)) : readings;
@@ -85,8 +80,6 @@ function selectorReadings(list, side) {
         if (entry === "*" && side === "allow")
             return [];
         const name = selectorEntryName(entry);
-        if (side === "deny" && isProtocolWideName(name))
-            return [];
         return compileAllowList([name], "deny", TOOL_NAME_ROSTER).inert.map((i) => ({ ...i, entry }));
     });
 }

package/dist/rules-consent.d.ts

@@ -157,7 +157,7 @@ export interface LocalImportRuleKey {
  * 🔴 闭集而不是自由文本:客户端要按拒因分流(「这条是你本机的数据坏了」vs「这条规则本身不合法」是
  * 两句不同的话),而自由文本只能被展示、不能被分支。`detail` 才是给人看的那一半。
  *
- * 🔴 S-511 起**两条腿共用这一张表**(导入面的逐行预览 + 单步写口的拒):它们判的是同一件事,而判据
+ * 🔴 [ref] 起**两条腿共用这一张表**(导入面的逐行预览 + 单步写口的拒):它们判的是同一件事,而判据
  * 本身就是同一个函数({@link screenLocalImportRow})。给写口另起一张同形的表,就是给同一个问题立第二个
  * 说话人 —— 漂的表现会是「同一条规则在一条腿上收、在另一条腿上拒」。写口的**方向**判据不在这张表里:
  * 它在端点上先判、有自己的整句文案,而且判完就把类型收窄掉(`permission-rule-vocab.ts` 的
@@ -593,7 +593,7 @@ export interface PersistedRuleListing {
  */
 export type RuleBucketRef = string | RuleOwner;
 /**
- * S-511 —— 单步写的结果(闭集三臂)。
+ * [ref] —— 单步写的结果(闭集三臂)。
  *
  * 🔴 三臂**刻意不塌成布尔**:「落了」「早就有了」「不知道落没落」对调用方是三种不同的处置,而把第三种
  * 折进前两种里的任一边都是编一个结论(猜"成了"会谎报一次没发生的写,猜"没成"会让人以为可以重来)。
@@ -604,9 +604,9 @@ export type RuleWritten =
  *  (幂等重写)。两支都带 `row` —— 它是**从店里读出来的**那一行,不是我方按入参拼出来的回声。
  *
  *  🔴 两个词的判别位是「**这次调用有没有写**」(codex 对抗复审 F1,验真后修)。
- *  S-511 时这条口借的是导入面的兑付腿,而那侧的 `deduped` 只说「等价规则此前已站」、**仍然落了一枚新的 dot**
+ *  [ref] 时这条口借的是导入面的兑付腿,而那侧的 `deduped` 只说「等价规则此前已站」、**仍然落了一枚新的 dot**
  *  ⇒ 那一格必须如实报 `persisted`,否则一个照常重试的客户端会让 `adds` 台账无界增长、桶的 rev 逐次推进
- *  (在翻页的治理面全体重列)。**S-525 换成 core 的直写接缝之后这条歧义没了**:`addPersistedRule` 的 `no-op`
+ *  (在翻页的治理面全体重列)。**[ref] 换成 core 的直写接缝之后这条歧义没了**:`addPersistedRule` 的 `no-op`
  *  契约逐字是「等价规则已经在这只桶里活着,**没有铸第二枚 dot**」——与本口 `no-op` 承诺的那句话逐字同一件事,
  *  所以现在两个词与 core 的两个词一一对应,不再需要翻译。 */
 {
@@ -718,7 +718,7 @@ export interface RuleConsentLane {
         scope: RuleScope;
     }): Promise<RemoveResult>;
     /**
-     * S-511 撤销面写半场的**对偶** —— 一条**收紧**规则(deny/ask)的单步写入,无同意仪式往返。
+     * [ref] 撤销面写半场的**对偶** —— 一条**收紧**规则(deny/ask)的单步写入,无同意仪式往返。
      *
      * 它为什么可以没有仪式,与 `removeRule` 为什么可以没有仪式是**同一条理由**(core
      * `removePersistedRule` 头注逐字:「a host may narrow on a user's behalf, it may not widen」)。放宽
@@ -726,7 +726,7 @@ export interface RuleConsentLane {
      *
      * 🔴 **一行都不自造**:行的 tool/match/command 三格是规则文本的**派生事实**,由 core 的
      * `parseRuleText` 铸;**内容判据**与导入面走**同一个函数**({@link screenLocalImportRow}),于是本口与
-     * 导入口对「一条规则能不能进店」永远给同一个答案。**落店**(S-525 / core 7.25.0)走 core 的**记录级
+     * 导入口对「一条规则能不能进店」永远给同一个答案。**落店**([ref] / core 7.25.0)走 core 的**记录级
      * 直写接缝** `addPersistedRule` —— 一步、无票、core 自己铸 `origin:"user"`、`allow` 在类型上不可拼;
      * 此前借的是导入面的两跳票仪式,代价是出处词恒 `imported-cc` + 每次成功的写白落两行台账。
      *

package/dist/rules-consent.js

@@ -90,6 +90,8 @@ function isSupportedRuleMatch(match) {
         case "prefix":
         case "wildcard":
             return true;
+        case "pattern":
+            return true;
         case "subpath":
         case "path":
             return false;

package/dist/run-cancel-context.d.ts

@@ -22,7 +22,7 @@ export declare function buildCancelContext(taskId: string, startedAtMs: number,
  */
 export declare const CANCELLED_CODE = "cancelled";
 /**
- * S-104 —— **取消终局的唯一铸点**。三条用户取消腿(sync stream 的断连支与 cancel-verb 支、durable bg 腿)
+ * [ref] —— **取消终局的唯一铸点**。三条用户取消腿(sync stream 的断连支与 cancel-verb 支、durable bg 腿)
  * 都从这里出结果,于是「一次取消在账本/wire 上长什么样」只有一份口径。
  *
  * ## 两种到达形,一条规则
@@ -47,7 +47,7 @@ export declare const CANCELLED_CODE = "cancelled";
  * (`cause()` 在场),那是 server 自己的事实。让本函数去嗅 `terminal.message` 的字面就是再造事实
  * —— [ref] 二那次事故的同一个形。
  *
- * ## S-947:成因(`abortCause`)与码、快照**同进同退**
+ * ## [ref]:成因(`abortCause`)与码、快照**同进同退**
  * `cause` 是**必填**:本函数是 server 铸取消终局的唯一出口,而每一次取消都有一个发起者 ⇒ 「本仓铸的取消终局上恒有
  * `abortCause`」由签名保证,不靠调用方记得。它走与补码、补快照**同一条**空座闸 —— 引擎给的终局不是无码的 failed
  * (与中止赛跑跑完了 / 引擎自带码)⇒ 整只原样返回,成因也不挂(那条终局不是这次中止的结果,挂上就是「完成了却带着取消便签」)。
@@ -68,11 +68,11 @@ interface CancelMintArgs {
     startedAtMs: number;
     /** 合成形的失败文案(引擎给了终局时不用)。 */
     message: string;
-    /** S-947:这次取消的发起者(本腿 {@link RunAbort} 句柄上登记的那一个;park 中直接终局化的取消动词给 `"cancel_verb"`)。 */
+    /** [ref]:这次取消的发起者(本腿 {@link RunAbort} 句柄上登记的那一个;park 中直接终局化的取消动词给 `"cancel_verb"`)。 */
     cause: AbortCause;
 }
 /**
- * S-947 —— 没有 `done` 可落的取消形在账本上的那一行(`failed`):**从铸好的取消终局投影**,不手抄。
+ * [ref] —— 没有 `done` 可落的取消形在账本上的那一行(`failed`):**从铸好的取消终局投影**,不手抄。
  *
  * 账本 `failed` 行是平面形(`errorMessage` / `errorCode` 顶层),所以成因也在顶层、与 `errorCode` 并列;有 `done` 可落的
  * 那几形,成因随 `done.result` 走(结果本身带它)。两形同一个来源 = 同一只取消终局,不是两处各写一份。
@@ -84,7 +84,7 @@ export declare function buildCancelledLedgerRow(c: PersistedTaskResult): {
     abortCause?: AbortCause;
 };
 /**
- * S-947 —— 一条 run 腿的**中止句柄**:server 中止这条腿的唯一入口,也是「为什么中止」的唯一登记处。
+ * [ref] —— 一条 run 腿的**中止句柄**:server 中止这条腿的唯一入口,也是「为什么中止」的唯一登记处。
  *
  * ## 为什么是句柄、不是一张按 taskId 键控的表
  * 修前这件事由 `cancelledViaVerb: Set<taskId>`(「这次是取消动词」一个词)+ 各腿手写的生命周期(登记 / finally 里按身份守卫删 /

package/dist/run-local.d.ts

@@ -54,7 +54,7 @@ export declare class UsageError extends Error {
  * set: …" list rather than letting the first brain call crash with a cryptic auth error. Returns a list of
  * missing items (empty = OK).
  *
- * 🔴 S-623:这里**不再**判网关 base URL。「将要服务的那张表里每一条 openai 路由都解析到显式端点」是配置源应用之后的拒启判据
+ * 🔴 [ref]:这里**不再**判网关 base URL。「将要服务的那张表里每一条 openai 路由都解析到显式端点」是配置源应用之后的拒启判据
  * (`model-route-endpoint.ts` 的 `judgeServedModelRoute`,本入口在预检之前就判过 —— 没设网关的配置根本走不到
  * 这里),原来那条臂(a)是它的一份更弱的手抄:注释要求「本机用户必须指向自己的网关」,判据却只查 `/v1` 后缀,
  * 旧的出厂缺省值恰好以 `/v1` 结尾 ⇒ 缺省值照样过(本仓自己也被骗)。`/v1` 后缀本身也一并删,理由三条:
@@ -79,7 +79,7 @@ export interface LocalGovernanceConfigView extends DeploymentGovernanceConfigVie
  * 叠上部署治理段(autonomy / commandPolicy / MANUAL_MODE_SHELL_GATE / 守卫集)。本函数一条 policy 都不
  * 自己合成。
  *
- * · **审批基线 = live 席**({@link RUN_LOCAL_APPROVAL_SEAT},S-694):一次性 CLI 没有 durable 审批设施(没有
+ * · **审批基线 = live 席**({@link RUN_LOCAL_APPROVAL_SEAT},[ref]):一次性 CLI 没有 durable 审批设施(没有
  *   `/decide` 腿可赎回),但**有**一只活 onAsk 席({@link createLocalApprover})。三张审批名单因此与 HTTP 腿
  *   **同一只**策略执法(`createDurableAskPolicy`:deny ⇒ 拒;require / never-auto ⇒ ask ⇒ 那只席当场服),
  *   不叠 durable 问答门。修前本腿不传席 ⇒ 落 allow-all 臂 ⇒ 名单在 CLI 上无声空转 —— [ref] 件一把「没有
@@ -107,7 +107,7 @@ export interface LocalApproverIo {
     readonly askYesNo: (prompt: string, signal?: AbortSignal) => Promise<boolean>;
     /** 非 TTY 臂的告知面(stderr)。 */
     readonly printErr: (line: string) => void;
-    /** S-956:本席**没有人被问**就拒了一只 ask(无 TTY / 参数展示不出)的事实出口 —— 退出码的判据之一(见 {@link unfinishedStopOf}):
+    /** [ref]:本席**没有人被问**就拒了一只 ask(无 TTY / 参数展示不出)的事实出口 —— 退出码的判据之一(见 {@link unfinishedStopOf}):
      *  这一拒交给 core 的是部署政策拒(不停批、不记人拒),「活没干完」于是不再经 core 的人拒标记传出来,由本席自己说。 */
     readonly noteRefusedWithoutPerson: () => void;
 }
@@ -121,16 +121,16 @@ export interface LocalApproverIo {
  * core 的 `isLiveApproverSeat(onAsk)` 为真时 `suspendAsk` 早退(prepare-task dist 亲读),ask 于是落回
  * 本回调 —— 把 park 换成「问人 / 当场拒」的正当接法。
  *
- * 🔴 **本席不是那颗雷的唯一防线,也从来不该是**(B-060 批 codex 交叉复审 [medium] 的教训):它只挡
+ * 🔴 **本席不是那颗雷的唯一防线,也从来不该是**([ref] 批 codex 交叉复审 [medium] 的教训):它只挡
  * **审批**那条车道;core 的**平台/资源停驻**(`suspendForPlatformLimit`)由「店在不在」一位武装,
- * 压根不经过 onAsk。所以自 B-060 起本腿的结构性防线是**整条腿不接 checkpointStore**(装配点在
+ * 压根不经过 onAsk。所以自 [ref] 起本腿的结构性防线是**整条腿不接 checkpointStore**(装配点在
  * `createSharedRunnerDeps` 调用处,理由全文在那里),本席退回它本来的职责:**给 TTY 前的人一次真的
  * 问答**。两道并存不是冗余 —— 一道管「谁来答」,一道管「答不了时会不会留下无人兑付的行」。
  *
  * ⛔ **不在 toolPolicy 层做 ask→deny 映射**:core 自己就有 headless auto-deny 的语义与文案,在策略层
  * 复刻一份 = 同源谎(两处判据日后各改各的)。裁决归 core,座位归这里。
  *
- * 🔴 S-694 起本席也服**三张审批名单**产的 ask(审批基线取 live 席,见 {@link RUN_LOCAL_APPROVAL_SEAT}):
+ * 🔴 [ref] 起本席也服**三张审批名单**产的 ask(审批基线取 live 席,见 {@link RUN_LOCAL_APPROVAL_SEAT}):
  * `APPROVAL_REQUIRE` / `APPROVAL_NEVER_AUTO` 命中 ⇒ 策略 `ask` ⇒ 落到这里。`AskRequest` 不带是哪条声明产的
  * ask(core 把 `matchedAskRule` 刻意留在闸内、不上请求),但带这一问的**类**(`classes`,core 7.37.0 起)。
  * 🔴 无 TTY 拒句的出路**按这一问的类说话**({@link NO_TTY_ASK_CLASS_ROW} 一张闭集表:每类 ⇒ 一种出路):普通问与没人表态的服务器工具调用指 `APPROVAL_GRANT`(allow 层的部署成员清的就是这两类),
@@ -141,13 +141,13 @@ export interface LocalApproverIo {
  * `suspendAsk`**(dist `core/hooks.js` 的 `approverUnavailable` 重投)。今天本腿无店 ⇒ 那条改道无处
  * 可去(fail-closed 拒),但这一条仍是本席的契约:答案是「不批」,不是「找不到人」。
  *
- * 🔴 S-956:**谁拒的就记谁**。本席的拒分两种,交给 core 的形不同:
+ * 🔴 [ref]:**谁拒的就记谁**。本席的拒分两种,交给 core 的形不同:
  *  · **人答 N**(TTY 臂)⇒ 裸 `false` —— core 契约里这就是「一个人拒了」(`human_refused` / `who.party:"person"`,模型读「用户不想继续,
  *    停下来等他」,run 以 `haltedOnUserRejection` 停批);
  *  · **没有人被问**(无 TTY 臂 / 参数展示不出臂)⇒ 部署政策拒对象 {@link UnattendedPolicyRefusal}(经与协调器 deny 政策臂**同一只**构造
- *    `buildUnattendedPolicyRefusal`;core `readApproverOutcomeObject` ⇒ `policy_refused` / `who.party:"policy"`(core 7.39.0 #1265 起;此前 `"none"`),模型读 core 的
+ *    `buildUnattendedPolicyRefusal`;core `readApproverOutcomeObject` ⇒ `policy_refused` / `who.party:"policy"`(core 7.39.0 [ref] 起;此前 `"none"`),模型读 core 的
  *    策略句 + 本席的拒因,不停批)。修前两臂交裸 `false` ⇒ 机器的拒被记成人拒、模型被告知去等一个不存在的人。
- *  两臂的拒都经 `io.noteRefusedWithoutPerson` 报一次 —— 「活没干完」(退 1)此前搭的是 core 人拒标记的便车,S-956 之后由本席的事实给。
+ *  两臂的拒都经 `io.noteRefusedWithoutPerson` 报一次 —— 「活没干完」(退 1)此前搭的是 core 人拒标记的便车,[ref] 之后由本席的事实给。
  */
 /** 本席的形:core `OnAsk` 的函数臂(`"allow"` / `"deny"` 两个字面臂本席从不用)—— 人的答是布尔,没有人被问的拒是部署政策拒对象;
  *  结构上可赋给 `OnAsk`。 */
@@ -167,7 +167,7 @@ type NoTtyRemedy = NoTtySpokenRemedy | "terminal_only";
  *  · `ordinary`:普通问(内置工具的写门、shell 的普通检查等)—— 7.117.0 起同样由 `APPROVAL_GRANT` 清(allow 层只清这两类),出路同上;
  *  · `ask_rule`:写下的 ask 规则 —— `APPROVAL_REQUIRE` / `APPROVAL_NEVER_AUTO`(`operatorAsk`)与治理层的 commandPolicy ask 名单(同一只铸点);请求体的
  *    `settings.permissions.ask` 到不了这条腿(本文件不 import 任何请求受理 / `task-settings`,`run-local` 的 spec 自铸);
- *  · `operator_forced`:部署**强制**要人答的问 —— 能铸它的来源(真 Runner × `applyLocalGovernance` 亲读类集,读数在 `test/run-local.test.ts` S-1100 ⑨ 各格):`APPROVAL_NEVER_AUTO`
+ *  · `operator_forced`:部署**强制**要人答的问 —— 能铸它的来源(真 Runner × `applyLocalGovernance` 亲读类集,读数在 `test/run-local.test.ts` [ref] ⑨ 各格):`APPROVAL_NEVER_AUTO`
  *    (`operatorAlwaysHumanAsk` 盖部署出身;类集 `[ask_rule, operator_forced]`)与 `runtime.commandPolicy`(ask 条目 ⇒ `[ask_rule, operator_forced]`,同一只铸点;allowlist 形里没列的命令 ⇒ `[operator_forced]`)。
  *    读码补全(未亲跑):耐久资源耗尽的「恒问人」同走 `operatorAlwaysHumanAsk`、SUP 路由的 capability-danger 门同走它 —— 两者都要 checkpoint 店 / 路由器,run-local 没有;本仓没有给 `spec.tools` 盖部署工具标记的旋钮
  *    (grep `egress: true` / `irreversibility` 字面量零命中),core 的 A2A 隔离对端形本仓也不设。所以「one of」两项就是这条腿上能铸它的全部来源;

package/dist/runs.d.ts

@@ -97,7 +97,7 @@ export declare function resumeAtHttpStatus(result: {
     terminal: TerminalCause;
 }): number | undefined;
 /**
- * 同步提交腿的**拒因状态**(S-271 车内 codex r1 [high] 以类修):`resumeAtHttpStatus` 的逐码档,只对**零工作的拒**生效。
+ * 同步提交腿的**拒因状态**([ref] 车内 codex r1 [high] 以类修):`resumeAtHttpStatus` 的逐码档,只对**零工作的拒**生效。
  *
  * 那张分诊表(`resume_at.*` / 治理闭集 / 名册超界闭集 / 开集 if 链)的每一格都立在同一个前提上:这个码是 prepare 期的拒,
  * 整次提交一个 turn 都没跑、一个 token 都没烧 ⇒ 答 4xx / 5xx、**不走** `finalizeTaskResult`、不进幂等缓存(只缓存 < 400)。
@@ -119,10 +119,12 @@ export declare function syncRefusalHttpStatus(result: Pick<TaskResult, "terminal
  */
 export declare function zeroWorkRefusalFacts(terminal: unknown, admissionReadings?: readonly EntryProblem[]): Readonly<Record<string, unknown>>;
 /**
- * 一条提交腿把引擎终局落行之后的**唯一**收尾:**零工作的拒不占提交幂等键**。判据就是上面这只 {@link syncRefusalHttpStatus}
- * (零 turn、零 token 且是 prepare 期的拒码)—— 三条提交腿(同步 / 流式 / durable)同调这一只,不另开判据。
- * 行留作那次拒绝的记录,只放开键:拒绝邀请的正是重发(同步腿的 4xx / 带 `Retry-After` 的 503;流式 / durable 腿结果里的
- * `retryAfterMs`),同键重发必须按新请求受理,而不是回放这次拒绝。做过工作的结局(完成 / 失败 / 取消 / park)一律占键。
+ * 一条提交腿把引擎终局落行之后的**唯一**收尾:**邀请重发的零工作结局不占提交幂等键**。三条提交腿(同步 / 流式 / durable)同调这一只,不另开判据。
+ * 行留作那次结局的记录,只放开键:同键重发必须按新请求受理(重跑),而不是回放这次结局。「邀请重发」两形,判据各只有一处:
+ *  · 零工作的拒 —— {@link syncRefusalHttpStatus}(零 turn、零 token 且是 prepare 期的拒码;同步腿的 4xx / 带 `Retry-After` 的 503,流式 / durable 腿结果里的 `retryAfterMs`);
+ *  · 零工作而引擎替它判了 `transient` 的失败({@link engineRetryClassOf};今天 = core 7.55.0 的 `rewind.restore_failed` 带店判的 `permanence`:
+ *    边界在而读不了,什么都不改再试可能成 —— 同步腿照旧 200 + 失败体,只是这次失败不再被同键重发永远回放)。`terminal` / 没判 ⇒ 占键。
+ * 做过工作的结局(turn / token 非零:完成 / 失败 / 取消 / park)一律占键。
  */
 export declare function releaseKeyIfZeroWorkRefusal(runStore: {
     releaseIdemKey(taskId: string): Promise<void>;
@@ -187,7 +189,7 @@ export declare class TurnAnchorCapture {
      *  assistant). This is the CC rewind target ("rewind to the prompt" = the code-restore parity path — a code
      *  change happens in a tool turn WITHIN a prompt's run, so rewinding to the prompt + rewindFiles undoes it).
      *  Keyed by the run's taskId (the handle the shell already holds from the POST response — no eventId→entryId
-     *  side map / no `getLeafId` inference needed). The assistant-turn capture above stays as an additive bonus. */
+     *  side map / no leaf-read inference needed). The assistant-turn capture above stays as an additive bonus. */
     private readonly captureUser?;
     /** The turn's FIRST text_delta eventId = the message's stable resume handle (also stamped on the durable text event). */
     firstTextEventId: string | undefined;
@@ -201,7 +203,7 @@ export declare class TurnAnchorCapture {
      *  assistant). This is the CC rewind target ("rewind to the prompt" = the code-restore parity path — a code
      *  change happens in a tool turn WITHIN a prompt's run, so rewinding to the prompt + rewindFiles undoes it).
      *  Keyed by the run's taskId (the handle the shell already holds from the POST response — no eventId→entryId
-     *  side map / no `getLeafId` inference needed). The assistant-turn capture above stays as an additive bonus. */
+     *  side map / no leaf-read inference needed). The assistant-turn capture above stays as an additive bonus. */
     captureUser?: ((entryId: string) => Promise<void>) | undefined);
     /** A `human_input` arrived — the objective's declared attachments open the frame window of {@link createPromptCommitReader}. */
     onHumanInput(ev: {
@@ -251,7 +253,7 @@ export declare function graftParkToolCallId<T>(result: T, cs: ParkCheckpointRead
  * text); tool/lifecycle events are recorded individually. Per-token live streaming stays on the
  * synchronous `/v1/tasks/stream` endpoint. Never throws — failures are recorded on the run.
  *
- * Cancellation (POST /v1/runs/:id/cancel): the run registers its abort handle (S-947 `RunAbort`) in `inflight`
+ * Cancellation (POST /v1/runs/:id/cancel): the run registers its abort handle ([ref] `RunAbort`) in `inflight`
  * (same-replica fast path — the cancel handler aborts it directly) and its heartbeat tick polls the durable
  * `cancel_requested` flag (cross-replica, ≤HEARTBEAT_MS lag); both abort with `cancel_verb`. Either way the run settles
  * to status "failed" + errorCode "cancelled" + `result.abortCause` (metric label "cancelled"); the entry is removed in
@@ -280,7 +282,7 @@ cascade?: CascadeConfig, instrumentDegenerate?: (result: TaskResult) => void, pl
  *  header → can be null while a JWT principal exists). Falls back to the run owner when not supplied. */
 elicitOwner?: string | null, 
 /** E18 resume-at: capture the turn's (firstTextEventId → leaf entryId) anchor at each turn_end. Built by the caller
- *  closing over {sessionId, owner, sessionStore.getLeafId, resumeAnchorStore}; undefined ⇒ no anchor store wired. */
+ *  closing over {sessionId, owner, the session store's head read (`headOf(id)?.leafId`), resumeAnchorStore}; undefined ⇒ no anchor store wired. */
 captureTurnAnchor?: (eventId: string) => Promise<void>, 
 /** MF-Fleet (shell-host contract): the run-scoped fleet-row publisher. `onStart` adds the live row; `onEvent` accrues
  *  tokens (turn_end) + subagent child rows (task_progress); `onTerminal` flips/removes it. Fired for ALL legs
@@ -341,7 +343,7 @@ parkCheckpointReader?: {
         };
     } | null>;
 }, 
-/** L-167:装配期(`prepareSpec` → `resolveSpec`)铸下的用户面通告 —— 那一刻本腿的通告口还没开,
+/** [ref]:装配期(`prepareSpec` → `resolveSpec`)铸下的用户面通告 —— 那一刻本腿的通告口还没开,
  *  所以由本腿在 `registerEngineNoticeLeg` 那一拍连同 `pending` 一起投(投递单点仍是 `route()`)。
  *  缺席 ⇒ 一个字节不投(既有调用方逐字不变)。 */
 pendingEngineNotices?: readonly {
@@ -363,7 +365,7 @@ pendingEngineNotices?: readonly {
  */
 trustedInternals?: Pick<RunInternals, "workflowParkedResume">, 
 /**
- * S-928 用户输入受理账本(`src/user-input-ledger.ts`;路由层 `deps.userInputLedger`)。两手:开通告口那一拍(模型调用之前)把本会话
+ * [ref] 用户输入受理账本(`src/user-input-ledger.ts`;路由层 `deps.userInputLedger`)。两手:开通告口那一拍(模型调用之前)把本会话
  * 已收敛、未告知的崩溃丢失铸成 `task.user_steer_undrained` / `task.user_followup_undrained`(`cause:"crashed"`,码按受理时的车道选);腿收场时把本腿上的受理 settle 掉。
  * 缺席 ⇒ 两手都不做(与本参数存在之前逐字相同)。
  */

package/dist/runs.js

@@ -141,8 +141,22 @@ export function zeroWorkRefusalFacts(terminal, admissionReadings = []) {
     const c = cause;
     return c.kind === "coded" && c.detail !== undefined ? { detail: c.detail } : {};
 }
+const RETRY_CLASS_WORDS = { transient: true, terminal: true };
+function engineRetryClassOf(terminal) {
+    if (terminal.kind !== "failed")
+        return undefined;
+    const cause = terminal.detail;
+    if (cause === null || typeof cause !== "object")
+        return undefined;
+    const c = cause;
+    if (c.kind !== "coded" || c.detail === null || typeof c.detail !== "object")
+        return undefined;
+    const word = c.detail.permanence;
+    return typeof word === "string" && Object.hasOwn(RETRY_CLASS_WORDS, word) ? word : undefined;
+}
 export async function releaseKeyIfZeroWorkRefusal(runStore, taskId, result) {
-    if (syncRefusalHttpStatus(result) !== undefined)
+    const zeroWork = result.stats.turns === 0 && result.stats.tokens === 0;
+    if (syncRefusalHttpStatus(result) !== undefined || (zeroWork && engineRetryClassOf(result.terminal) === "transient"))
         await runStore.releaseIdemKey(taskId);
 }
 export function createPromptCommitReader() {

package/dist/runtime-caps-resolver.d.ts

@@ -27,7 +27,7 @@
  *                        显式 opt-in 极性，且 [ref] 起本侧传的是三态 org deny 位，见 toCoreRuntimeCaps 头注）
  *  · `bypassPermissions` — `dist/core/mode-policy.js` 的模式折叠（请求 `bypassPermissions` ∧ 本位 `=== false` ⇒ 这条腿跑在
  *                        `default`、发 `config.permission_mode_unavailable{by:"operator_deny"}`、回执 `foldedBy:"operator_deny"`）；
- *                        deny 形，缺席 = 不阻。S-900 D2 起由 center 的 `allowBypassPermissions` 写（此前本仓零写点）
+ *                        deny 形，缺席 = 不阻。[ref] D2 起由 center 的 `allowBypassPermissions` 写（此前本仓零写点）
  *  · `allowMemoryOptOut` — prepare-memory.js `resolveCaptureEntitlementFresh`（+prepare-task.js
  *                        的 value/faulted 投影）；**极性反转，但只在 `open` 姿态下**——判决全表在
  *                        `dist/core/runner/memory-capture-optout.js` 的 `adjudicateCaptureOptOut`，按
@@ -38,7 +38,7 @@
  *                          （拒由分「answered false」与「verdict absent / resolver fault」两句）
  *                        · `"capture-required"`:4-12 **完全不看本 verdict**（逐字「resolver-independent」），恒拒
  * center 的键里只有 `allowUltracode` 被 DROP（下文）；center 的其余每一键都在 {@link toCoreRuntimeCaps} 的处置表里，
- * settings-schema 加一键而这里没处置 ⇒ tsc 红（S-900 D2 之前 `allowBypassPermissions` / `allowAutoMode` 两键就是这样被静默丢掉的）。
+ * settings-schema 加一键而这里没处置 ⇒ tsc 红（[ref] D2 之前 `allowBypassPermissions` / `allowAutoMode` 两键就是这样被静默丢掉的）。
  *
  * It pulls the PER-PRINCIPAL entitlement from center's `GET /api/config/effective?principal=` (via
  * {@link fetchPrincipalCaps}). center has ALREADY pre-resolved the tighten-only intersection (fleet defaults ∩
@@ -55,7 +55,7 @@
  * ⚠️ [ref]① 纠失实：这段曾写作「降级为 `{ allowWorkflows: false }`」，与真码不符 —— 真铸点在本文件
  * `load()` 的 catch 臂（搜 `Caps face FAIL CLOSED`），逐字是上行那几键：`allowFork` 自提货批就在，
  * `autoMode` 由 [ref] / core [ref] 同车加入（org deny 位不能因一次抖动在 denyTtl 窗内抬起），`bypassPermissions`
- * 由 S-900 D2 加入（同一条律：center 可能已经拒了的 bypass 不能因一次抖动放出来；core 自己的 resolver-throw 降级臂
+ * 由 [ref] D2 加入（同一条律：center 可能已经拒了的 bypass 不能因一次抖动放出来；core 自己的 resolver-throw 降级臂
  * 铸的也是这四位拒，`dist/core/runner/prepare-caps-and-workflow.js`）。
  * 🔒 **四只放大位以外的那三键刻意不铸**：`forceDurableGate` 同上（强挂人在环会搞死无人值守的 run）；
  * `allowObservers` 是 `=== true` opt-in，缺席已等于关；`allowMemoryOptOut` 是隐私轴的 FAULT-TRANSIT 契约
@@ -70,7 +70,7 @@
  * also carries `allowUltracode` (a shell/UX reasoning-tier cap the engine has no primitive for), which we DROP —
  * this seam feeds the ENGINE, and `allowUltracode` is enforced at the service settings-resolution layer, not here.
  * center's two MODE kill-switches are NOT dropped: `allowBypassPermissions:false` ⇒ `bypassPermissions:false`,
- * `allowAutoMode:false` ⇒ the same auto deny bit `autoMode:false` writes (S-900 D2 — a mode's every refusal is an engine
+ * `allowAutoMode:false` ⇒ the same auto deny bit `autoMode:false` writes ([ref] D2 — a mode's every refusal is an engine
  * deny bit; the engine folds, announces and reports it on `wiring_manifest.permissionMode`).
  */
 import type { RuntimeCaps } from "@sema-agent/core";
@@ -83,7 +83,7 @@ import { type Logger } from "./observability/logger.js";
 /** test-only: reset the once-per-process trace so each test observes a fresh "first hit". */
 export declare function resetExecutionLaneDefaultTraceForTest(): void;
 export interface EntitlementsResolverOpts {
-    /** S-651:中心端点(基址 + 凭证**来源**;每次抓取取一次值,不持有启动快照)。 */
+    /** [ref]:中心端点(基址 + 凭证**来源**;每次抓取取一次值,不持有启动快照)。 */
     center: CenterEndpoint;
     /** This worker's name (`SEMA_WEB_ADMIN_WORKER`), passed as `?worker=` so a worker-scoped `wpt_<self>` token can
      *  resolve its OWN worker's principal caps (caps-only); harmless on a full token (the caps value
@@ -126,7 +126,7 @@ export interface EntitlementsResolverOpts {
  *  镜像)。core 武装式 = `spec.permissionMode === "auto" ∧ deps.autoMode !== undefined ∧ runtimeCaps?.autoMode !== false`(core 7.34.0 起;此前意图座是退役的 `autoModeRequested`)
  *  ——「用户开 + org 拒」极性(此前是 `=== true` 的「org 授予」极性,无 center 的本地部署零授予路径 ⇒ auto 永不
  *  武装,真实用户诊断的病根)。
- *  ([ref]① 的历史:npm 7.2.0 不含 [ref]、是旧「org 授予」极性,本仓曾用安装包探针分臂;S-877 / core 7.34.0 起引擎只剩
+ *  ([ref]① 的历史:npm 7.2.0 不含 [ref]、是旧「org 授予」极性,本仓曾用安装包探针分臂;[ref] / core 7.34.0 起引擎只剩
  *  上面这一种极性,探针随 7.106.0 退役 —— 本仓精确钉的 core 恒是它。)
  *  所以**缺键=不写键**在这条轴上是行为承重的:补一个 false 就是替 org 说了一句它没说的 deny。[ref]B-6a:registry-core 0.13.0 已把 autoMode 收进 EntitlementRuntimeCaps——类型直读。 */
 export declare function toCoreRuntimeCaps(ent: EntitlementRuntimeCaps | null | undefined): RuntimeCaps | undefined;

package/dist/runtime-caps-resolver.js

@@ -95,7 +95,7 @@ export function createPrincipalEntitlementsClient(opts) {
         center: { baseUrl: opts.center.baseUrl, credential },
         cache: new Map(),
         inflight: new Map(),
-    }));
+    })).now;
     const readMintedDeny = new WeakSet();
     const MAX_CACHE = 10_000;
     const putCache = (cache, key, entry) => {

package/dist/runtime-governance.d.ts

@@ -64,13 +64,13 @@ export declare function validateCommandRules(rules: CommandRule[]): string[];
  * Either way the result only ever ADDS asks/denies — composed onto the baseline via `combinePolicies`
  * (deny-wins) by {@link applyRuntimeGovernance}, so it is tighten-only.
  *
- * 🔴 **S-958:返回叶,不在这里折**(改名自 `compileCommandPolicy`,修前返回 blocklist 形里 `combinePolicies(coarseDeny, askList)` 的
+ * 🔴 **[ref]:返回叶,不在这里折**(改名自 `compileCommandPolicy`,修前返回 blocklist 形里 `combinePolicies(coarseDeny, askList)` 的
  * 一只折叠)。复合命令(`a && b`、管道、`;`)上两只叶都按「解析不了 ⇒ 问」问 ⇒ 那只折叠带出 `foldedAskClasses`,而治理层随后要给每只
- * ask 盖部署出身 —— 盖在折叠的输出上就是展开一只 core 担保过身份的对象(core #1266 7.39.0 按名拒)。叶交出去,由
+ * ask 盖部署出身 —— 盖在折叠的输出上就是展开一只 core 担保过身份的对象(core [ref] 7.39.0 按名拒)。叶交出去,由
  * {@link applyRuntimeGovernance} 逐叶盖位、折**一次**:本函数不知道出身这件事,治理层只有一个折叠点。 (Assumes commands are pre-validated by
  * {@link validateCommandRules}; an un-matchable command here is simply inert, never a parse error.)
  *
- * 🔴 **S-496:词表外的 `decision` 折 `deny`,不折 `ask`。** {@link validateCommandRules} 的头注写下的那条
+ * 🔴 **[ref]:词表外的 `decision` 折 `deny`,不折 `ask`。** {@link validateCommandRules} 的头注写下的那条
  * 后果(「域外的 `decision` 穿过本函数的三元链落到 ASK,静默把一条 intended deny 弱化掉」)此前只靠
  * **调用方记得先校验**挡着 —— 而本函数在 `resolve-spec` 里是逐请求现调的,`config.commandPolicy` 的来路
  * (center hot apply / 本地 `config.d/governance.json` / LKG / 测试直塞)不止一条。现在闭集在本函数**内部**
@@ -213,7 +213,7 @@ export interface GovernancePosture {
  * ⚠️ 残留(双向失真的窄在场向 + 根治路径)与「只收窄」的那一个裁决读者,都登记在
  * {@link governanceMandatesShellGateAlways} 的顶注,别在这里复述。
  *
- * 🔴 **形状档的 ask 刻意不标**(S-877 起它不再是一个档位词:core 7.34.0 把形状档装在**每一种模式**的全权 shell 上,
+ * 🔴 **形状档的 ask 刻意不标**([ref] 起它不再是一个档位词:core 7.34.0 把形状档装在**每一种模式**的全权 shell 上,
  * 行上的 `shellGateDoctrine` 只在运维地板 `"always"` 铸门时出现):形状档的一次 shell ask 出自引擎自己的判断,
  * 也可能叠着 `APPROVAL_REQUIRE` 这类别的门,行上无从分辨 —— 与活卡腿同一条「宁缺毋假」纪律。
  *
@@ -230,7 +230,7 @@ export interface GovernancePosture {
  * (checkpoint → ask)今天**没有读口**:两条 list 读口都硬过滤 `state='STREAM_PENDING'`,而 park 完的行是
  * `PARKED`;唯一精确的连接键是 ask 行上的 `gate_token`,要按它反查得给店加一个新读口(SQL 面 = 双库集成
  * 门)。派生 `deriveAskId(...)` 也不行:它吃 `legKey`(= 上一腿 resume token 的摘要)、`parentToolCallId` 与这一问的
- * 类集(S-944);前两维从 checkpoint 行推不出来,类集在 park 行上老行缺席、续跑不补 —— 二腿/子代/老行形上会算出一个
+ * 类集([ref]);前两维从 checkpoint 行推不出来,类集在 park 行上老行缺席、续跑不补 —— 二腿/子代/老行形上会算出一个
  * **错**的 id —— 在「等的谁」这条通道上,错 id 比缺席坏得多(`http/active-run-conflict.ts` 的 `resumeEntryForGate` 的 default 臂是同一条纪律)。故诚实缺席。
  */
 export declare function governanceOriginOf(gate: {
@@ -253,14 +253,14 @@ export declare function governanceOriginOf(gate: {
  * (task-settings deriveSettingsPolicy 的 default/auto/acceptEdits 三臂)让一个**部署级 tighten-only 旋钮
  * 的生死由客户端表态在场性决定**:body 无 settings/permissionMode(cli print/headless 腿按设计不 stamp)
  * ⇒ 旋钮静默失效(clay 实机 Monitor 案「门根本没铸」);bypassPermissions 一句话掀掉部署闸;非 host lane
- * fsWriteGate wiring 不建 ⇒ 沙箱 lane 全失效。governance 层与 autonomy 同拍施加后三者全闭。S-877 起地板只有
+ * fsWriteGate wiring 不建 ⇒ 沙箱 lane 全失效。governance 层与 autonomy 同拍施加后三者全闭。[ref] 起地板只有
  * `"always"` 一个词,合成退化成在场性(两个来源同词),不再有秩比较。
  *
  * [ref]([ref] issue #29,**邻仓 test AI 的 46 格真机矩阵**实证——不是本仓的钉,别到本仓文件里数 46;
  * 本仓的类级门是 test/operator-knob-client-posture-matrix.test.ts 的 旋钮×表态×lane 矩阵):
  * `SENSITIVE_WRITE_PATTERNS` 是 [ref] 那次搬家漏下的兄弟旋钮——同一个病灶原样复发在 sensitive-path
  * DENY 腿上(唯一合成点在 deriveSettingsPolicy 的 fsWriteGate 闭包,bypassPermissions/键缺席/settings
- * 整缺席三形整条腿不建)。同方修:调用方(resolve-spec)把 operator 守卫集预铸成 `sensitivePathLayers`(叶;S-958 起不再是
+ * 整缺席三形整条腿不建)。同方修:调用方(resolve-spec)把 operator 守卫集预铸成 `sensitivePathLayers`(叶;[ref] 起不再是
  * 一只预折的策略,见下段)从这里**无条件施加**——它只在守卫段上产 deny(core 语义 deny/"safety"),对其余目标返回的是
  * `action:"allow"`(**不是**「无意见」这种第三态:core 的 ToolPolicy 没有弃权值。它在
  * `combinePolicies` 的 deny/ask 优先折叠里不构成一票,所以在**折叠语境**下等价于弃权;若日后有人把
@@ -269,7 +269,7 @@ export declare function governanceOriginOf(gate: {
  * 只组合不构造:裁决 env 的 lane 分形(host 真 fs / 沙箱 deferred 代理)是 resolve-spec 的属主知识,
  * governance 层不重复它。
  *
- * 🔴 **S-958(core #1266 7.39.0)—— 治理层只有一个折叠点**:两种输入都交**叶**(`compileCommandPolicyLayers` 的那几只、
+ * 🔴 **[ref](core [ref] 7.39.0)—— 治理层只有一个折叠点**:两种输入都交**叶**(`compileCommandPolicyLayers` 的那几只、
  * `sensitivePathLayers` 的那几只),本函数对每一片叶各盖一次部署出身(`createDeploymentAuthoredPolicy`),再交 core
  * `combinePolicies` 折一次;折叠是最外层,输出经标记观察器原物交回。修前是「先折、再在折叠输出上展开盖位」——折叠带出
  * `foldedAskClasses` 时交给 core 的是副本,7.39.0 起按名拒(工具不跑、无卡)。
@@ -278,7 +278,7 @@ export declare function applyRuntimeGovernance(base: TaskSpec, governance: {
     autonomy?: Autonomy;
     commandPolicy?: CommandRule[];
     manualModeShellGate?: ShellGateDoctrine;
-    /** 守卫集的**叶**(`deployment-governance.ts` `createDeploymentGovernanceInputs` 预铸;S-958 起是叶的列表,不是一只预折的策略)。
+    /** 守卫集的**叶**(`deployment-governance.ts` `createDeploymentGovernanceInputs` 预铸;[ref] 起是叶的列表,不是一只预折的策略)。
      *  空列表与缺席同义。 */
     sensitivePathLayers?: readonly ToolPolicy[];
     /** [ref]/[ref] `governanceForced` 的标记表(缺省 = **当前 run 腿的 ALS 表**,见

package/dist/sandbox-pkg-source.d.ts

@@ -15,15 +15,17 @@
  * The marker `SEMA_PKG_SOURCE` always rides along: the image's pkg-source.sh hook (pod-start / profile.d)
  * materializes the file-bound pieces from it; images without the hook simply ignore it.
  *
- * ## One law: no URL that rides into the model-visible sandbox env carries userinfo
+ * ## One law: no URL that rides into the model-visible sandbox env carries a credential
  * Everything this module derives lands in the env of every sandbox process — including the ones the model drives
- * (`env`, `printenv`) — so `https://user:pass@mirror/…` among the `custom` addresses would hand the deployment's
- * package-source credential to the model. {@link customPkgSourceFromEnv} is the ONE reader of the six addresses and the
- * one place that judges them: the shared URL-shape judge (`httpUrlFlaws`, the same one MEMORY_EMBEDDER_ENDPOINT /
- * A2A_SERVE_URL answer to) says no ⇒ it throws, startup refuses. Never stripped, never rewritten, never forwarded
- * quietly. The request face has no package-source address key at all (deployment face only).
+ * (`env`, `printenv`) — so `https://user:pass@mirror/…` or `https://mirror/simple?token=…` among the `custom` addresses would
+ * hand the deployment's package-source credential to the model. {@link customPkgSourceFromEnv} is the ONE reader of the six
+ * addresses and the one place that judges them, in two questions: the shape (the shared URL-shape judge `httpUrlFlaws`, the same
+ * one MEMORY_EMBEDDER_ENDPOINT / A2A_SERVE_URL answer to, plus this seat's backslash rule) and the credential (the shared
+ * credential judge `findUrlCredential` — userinfo, or a query / fragment parameter named in the log redactor's credential-name
+ * table; the request-face MCP `transport.url` answers to the same judge). Either says no ⇒ it throws, startup refuses. Never
+ * stripped, never rewritten, never forwarded quietly. The request face has no package-source address key at all (deployment face only).
  */
-import { type HttpUrlFlaw } from "@sema-agent/settings-schema";
+import { type UrlCredential } from "@sema-agent/settings-schema";
 /** Explicit URLs for `custom` (RFC B: 极端情况出口). Read from the service process env (operator-trusted). */
 export interface CustomPkgSource {
     aptMirror?: string;
@@ -38,15 +40,18 @@ export interface CustomPkgSource {
  * profile (unset = byte-identical sandbox — the B5 backward-compat contract).
  */
 export declare function derivePkgSourceEnv(profile: string | undefined, custom?: CustomPkgSource): Record<string, string>;
+/** 一只地址的毛病:形判不出(不是层级式 http(s) URL,或含反斜杠 —— 本座位律),或带凭据(共用判官的一处命中)。 */
+export type PkgSourceAddressProblem = "not-http-url" | UrlCredential;
 /**
- * The refusal sentence for one address (pure data): the shared judge's rule words + the value's origin only
- * ({@link buildHttpUrlRefusal}), then why it matters here and the two ways out. No byte of the credential can reach it.
+ * The refusal sentence for one address (pure data): the shared judges' rule sentence + the value's origin only
+ * ({@link buildHttpUrlRefusal} / {@link buildUrlCredentialRefusal}), then why it matters here and the two ways out. No byte of the credential can reach it.
  */
-export declare function buildCustomPkgSourceRefusal(envName: string, raw: string, flaws: readonly HttpUrlFlaw[]): string;
+export declare function buildCustomPkgSourceRefusal(envName: string, raw: string, problem: PkgSourceAddressProblem): string;
 /**
  * Read the `custom` explicit-URL set from the service process env (operator-trusted deployment config) — the ONE reader and
- * the ONE judge of those six addresses (see the module header). An address the shared judge refuses (userinfo, or a shape
- * that is not a parseable http(s) URL) throws {@link buildCustomPkgSourceRefusal}; empty / unset = not set.
+ * the ONE judge of those six addresses (see the module header). An address the shared judges refuse (a shape that is not a
+ * parseable http(s) URL, or a credential: userinfo / a credential-named parameter) throws {@link buildCustomPkgSourceRefusal};
+ * empty / unset = not set.
  */
 export declare function customPkgSourceFromEnv(env?: NodeJS.ProcessEnv): CustomPkgSource;
 //# sourceMappingURL=sandbox-pkg-source.d.ts.map