@sema-agent/server 7.134.0 → 7.136.0

package/dist/unattended-permission-mode.d.ts

@@ -1,5 +1,5 @@
 /**
- * S-934 ①(S-906 / clay 裁 [ref];core 7.37.0 #1214,`docs/INTEGRATION-CORE.md` §4.6e)—— **无人值守腿:`default` 模式 + 按类作答的 onAsk**。
+ * [ref] ①([ref] / clay 裁 [ref];core 7.37.0 [ref],`docs/INTEGRATION-CORE.md` §4.6e)—— **无人值守腿:`default` 模式 + 按类作答的 onAsk**。
  *
  * ## 规则(一句)
  * 本仓**自己铸** spec、**没有调用方**能在请求上表态模式的腿 —— leader worker(`src/leader/wire.ts` provisionWorker 两车道)、leader 的
@@ -9,7 +9,7 @@
  * 它自建 spec 的出生点盖下的运维 `AUTONOMY=plan` 地板、续跑重建读到的存储体的 `plan` 都是天花板,本腿的 `default` 落在它下面就是 `plan`,
  * 不把它降回去)与 `onAsk` = {@link createUnattendedOnAsk}。
  * 那只 onAsk 读 `AskRequest.classes` **整体**:集非空且每一类都在 {@link UNATTENDED_ANSWERED_CLASSES}(= `{ordinary}`,常量,不是旋钮)⇒ 答 yes
- * —— **以策略的名义**(S-953 / core 7.39.0 #1265:`{allow:true, settledBy:"policy", approver:"unattended_class_answer"}` ⇒ core 结算 `policy_allowed` /
+ * —— **以策略的名义**([ref] / core 7.39.0 [ref]:`{allow:true, settledBy:"policy", approver:"unattended_class_answer"}` ⇒ core 结算 `policy_allowed` /
  * `who.party:"policy"`;修前是裸 `true`,core 把机器的放行记成**人**批 `human_allowed` / `person`);
  * 否则不答 —— 本腿**有席**(run-local 的 `createLocalApprover`:有 TTY 问人、无 TTY 当场拒;续跑腿的协调器席)⇒ 交给席;**无席** ⇒ 答
  * `"unavailable"` = 交回 core 的缺席路(本腿武装了 durable park ⇒ park,等人经 `/decide` 答;否则 headless 拒 —— fail-closed)。
@@ -35,7 +35,7 @@
  *
  * ## 退役(硬破坏,零别名 / 零双读 / 零过渡臂)
  * `UNATTENDED_PERMISSION_MODE` 旋钮(`config-catalog` 行 / `config` 解析 / `ServiceConfig.unattendedPermissionMode`)、`createUnattendedWriteProtectionPolicy`
- * (#1211 的 `pathDenyRules` 过渡形)、`createUnattendedLeg` 的模式 / Runner 座参数、写面钉 `writeFace: "roots"`(那一钉只为不拿 bypass 的开放写面;
+ * ([ref] 的 `pathDenyRules` 过渡形)、`createUnattendedLeg` 的模式 / Runner 座参数、写面钉 `writeFace: "roots"`(那一钉只为不拿 bypass 的开放写面;
  * `default` 模式行不给写面 ⇒ 引擎缺省 roots,与 7.105.0 同)、P-DEBT 臂 `server.unattended-leg.mode-releases-protective-asks`(FAIL-OPEN-CENSUS 第 101 行终态)。
  *
  * ## 射程外(成文)
@@ -52,7 +52,7 @@ import type { AskClass, AskRequest, OnAsk, PermissionMode, TaskSpec } from "@sem
  */
 export declare const UNATTENDED_ANSWERED_CLASSES: ReadonlySet<AskClass>;
 /**
- * S-953(core 7.39.0 #1265):按类作答层这只席的**名字** —— 本仓自己的闭词(core 只把它转录到结算记录的 `who.approver`,不认证、不回读;
+ * [ref](core 7.39.0 [ref]):按类作答层这只席的**名字** —— 本仓自己的闭词(core 只把它转录到结算记录的 `who.approver`,不认证、不回读;
  * `AskOutcome.approver` 契约逐字「a closed word the host owns, never a person」)。审计读者按它认出「这一次放行是无人值守腿按类答的」。
  */
 export declare const UNATTENDED_POLICY_APPROVER = "unattended_class_answer";
@@ -61,7 +61,7 @@ export type UnattendedSeat = Extract<OnAsk, (req: AskRequest, signal?: AbortSign
 /** 这一问是不是机器答得了的:读 `classes` **整体** —— 在场、非空、且每一类都在答集;缺席 / 空 / 任一类在答集外 ⇒ 否。 */
 export declare function unattendedAnswers(req: Pick<AskRequest, "classes">): boolean;
 /**
- * 按类作答的 onAsk(活对象 ⇒ `create*`)。答得了 ⇒ 策略的 yes(这一次调用的答,记在策略名下 —— S-953);答不了 ⇒ 有席交席(席的答原样返回,席自己的
+ * 按类作答的 onAsk(活对象 ⇒ `create*`)。答得了 ⇒ 策略的 yes(这一次调用的答,记在策略名下 —— [ref]);答不了 ⇒ 有席交席(席的答原样返回,席自己的
  * fail-closed 语义不动),无席 ⇒ `"unavailable"`(core G1:这一问此刻没有人够得着 ⇒ 改道 durable park;本腿没武装 park ⇒ headless 拒)。
  * 不答的臂**从不**自己拒成 `false`:那会把「交给 park 的人」折成「机器拒了」,durable 审批块的 leader worker 就再也 park 不下来。
  */

package/dist/url-credential-refusal.d.ts

@@ -0,0 +1,52 @@
+/**
+ * **请求面「URL 里带凭据」座位的拒体铸点**([ref] / [ref];判官本身在契约包)。
+ *
+ * ## 谁判、谁铸
+ * 「这个 URL 里带着凭据吗」的**判官**(`findUrlCredential` / `findUrlUserinfo` / 规则句 `urlCredentialRule` / 拒因词 `URL_CREDENTIAL_REASONS` / 凭据名表 `CREDENTIAL_PARAM_NAMES`)
+ * 住 `@sema-agent/settings-schema` 包根(14.5.0 起;规则、拒因词与规则句由本仓上移时逐字搬走,本仓零副本)。规则一条:URL 里的凭据 = 日志脱敏器已经在用的那个定义 ——
+ * userinfo(只有用户名也算),或 query / fragment 里名字整名在凭据名表上的参数(名字按收方的读法读:`URLSearchParams` 解一次码,ASCII 大小写不敏感);答首个命中,值从不进答案。
+ * 契约包只判「有没有」:**拒体的形**(HTTP 码、字段坐标、出路句)是座位自己的铸点 —— 本模块就是这一处,下面的导出之外没有第二处。
+ *
+ * ## 座位(同读包根的判官;座位只决定读哪个值、坐标怎么写、凭据改走哪个已封签的位)
+ *  · 请求面 MCP `transport.url`(`task-mcp.ts` 条目判官表):读器只判 `http(s)://` 前缀,解析不了的 url 由拨号期失败答(fetch 对带 userinfo 的 URL 本就构造即抛);
+ *  · 请求面 A2A 对端 `url` / `cardUrl`(`task-a2a.ts` 的条目判官表 `assertRequestA2aEntries`,fresh 腿):`url` / `cardUrl` 先判是 http(s) 串、再问判官;超过 32 条的列表整份 400(判官看过每一条,或这份体不收);
+ *  · 请求面图片 `images[i].url`(`request-image-urls.ts` 的 `assertRequestImageUrls`,fresh 腿):`{ url }` 臂的串值;没有封签的头位,出路是图片字节走内联 `{ data, mimeType }`;
+ *  · 请求面 http 钩子 `url`(`hooks/hook-runner.ts` 的 `hooksUrlCredentialIssue`,`admission.ts` 的 settings 子树门):按配置序扫读者交回的配置;
+ *  · 请求面搜索后端 `endpoint`(`plugins/web-search.ts` 的 `judgeFreshRequestWebSearch`,fresh 提交门):载体之间有差 —— 部署 env 与续跑重放读法只因 userinfo 拒(`findUrlUserinfo`),凭据名参数只在 fresh 门拒;
+ *  · `SANDBOX_PKG_SOURCE=custom` 的六只地址(`sandbox-pkg-source.ts` 唯一读口):不是层级式 http(s) / 含反斜杠 ⇒ 起服拒(读者是包管理器,不是 WHATWG);拒句走 `url-refusal.ts` 的另一只铸点(值只回显 origin)。
+ * 请求面五类座位的拒是同一个形:`400 request.field_invalid` + 体顶层 `field`(体内全坐标)/ `reason`(判官的拒因闭集两词),机读位、原因句骨架与整句只在本模块的铸点
+ * ({@link urlCredentialFacts} / {@link urlCredentialRefusalReason} / {@link buildRequestUrlCredentialRefusal})。
+ *
+ * ## 为什么拒、而不是封或剥
+ * 条目有凭据座位的地方(MCP 的 `transport.headers` 是停驻封签位之一),凭据只走那个座:URL 照原样进停驻上下文、日志与读面,封签闭集刻意不收 URL 一类自由文本。
+ * 剥掉 / 改写 = 交引擎的不是申报的那一份;半封一只 URL = 封签规则多一种半值封法。受理口拒,拒句点名座位。
+ */
+import { type UrlCredential, type UrlCredentialReason } from "@sema-agent/settings-schema";
+/** 拒体上的机读位(加性键:直接当 `request.field_invalid` 的附加键用)。 */
+export type UrlCredentialFacts = {
+    readonly field: string;
+    readonly reason: UrlCredentialReason;
+};
+/** 机读位的唯一铸点:`field` 是座位给的体内全坐标,`reason` 是判官的拒因词(不另造)。 */
+export declare function urlCredentialFacts(field: string, credential: UrlCredential): UrlCredentialFacts;
+/**
+ * 出路句(停驻封签的位是请求头):凭据改写进这一条的 `headers`(停驻任务的续跑上下文里只以封签存在)。MCP `transport.headers` · A2A 对端 `headers` ·
+ * http 钩子条目 `headers` 三座同一句骨架,`place` 是那一条的 `headers` 在请求体里的坐标。
+ */
+export declare function urlCredentialHeaderExit(place: string): string;
+/**
+ * 原因句骨架(各座同一句,值不回显):规则句 + 「URL 原样存」的事实 + 出路。`exit` 是座位给的出路句(`urlCredentialHeaderExit` 或座位自己的)。
+ * 为什么说「原样存」:封签闭集刻意不收 URL 一类自由文本,所以 URL 照原样进停驻上下文、日志与读面 —— 凭据只许走为它设的座。
+ */
+export declare function urlCredentialRefusalReason(credential: UrlCredential, exit: string): string;
+/** 一处请求面拒的整句 + 机读位({@link buildRequestUrlCredentialRefusal} 的产物)。 */
+export interface UrlCredentialRefusal {
+    readonly message: string;
+    readonly facts: UrlCredentialFacts;
+}
+/**
+ * 请求面 URL 座位的拒(整句 + 机读位),`<field>[ (<subject>)] <原因句>`。`subject` 是座位给的条目指认(MCP 的 server 名 / A2A 的 peer 名;坐标本身唯一的座位不带)。
+ * MCP 与 A2A 两座的整句要接条目判官表的统一句尾(`request-declaration-refusal.ts`),所以它们取 {@link urlCredentialRefusalReason} + {@link urlCredentialFacts},另几座(http 钩子 / 搜索后端 / 图片)走这一只。
+ */
+export declare function buildRequestUrlCredentialRefusal(field: string, credential: UrlCredential, exit: string, subject?: string): UrlCredentialRefusal;
+//# sourceMappingURL=url-credential-refusal.d.ts.map

package/dist/url-credential-refusal.js

@@ -0,0 +1,14 @@
+import { urlCredentialRule } from "@sema-agent/settings-schema";
+export function urlCredentialFacts(field, credential) {
+    return { field, reason: credential.reason };
+}
+export function urlCredentialHeaderExit(place) {
+    return `${place} is stored sealed: send the credential as a header in ${place} (for example "Authorization": "Bearer …")`;
+}
+export function urlCredentialRefusalReason(credential, exit) {
+    return `${urlCredentialRule(credential)} — the URL is kept as written (a parked task's resume context, logs), while ${exit}`;
+}
+export function buildRequestUrlCredentialRefusal(field, credential, exit, subject) {
+    return { message: `${field}${subject === undefined ? "" : ` (${subject})`} ${urlCredentialRefusalReason(credential, exit)}`, facts: urlCredentialFacts(field, credential) };
+}
+//# sourceMappingURL=url-credential-refusal.js.map

package/dist/url-refusal.d.ts

@@ -1,5 +1,5 @@
 /**
- * **「交给 `fetch` 的 http(s) URL」的拒句铸点**(S-1269 的展示半场)。判官本身 —— 这个值是不是层级式 http(s) URL、座位禁的部件
+ * **「交给 `fetch` 的 http(s) URL」的拒句铸点**([ref] 的展示半场)。判官本身 —— 这个值是不是层级式 http(s) URL、座位禁的部件
  * (userinfo / query / fragment)在不在、每个拒因词的规则句 —— 是 settings-schema 的 URL 形判官(`httpUrlFlaws` / `httpUrlRule` /
  * `HTTP_URL_SHAPE_RULE` / `isHierarchicalUrl`,11.0.0 由本仓的那一只 lift 过去、规则与拒因词闭集逐字搬);本仓**零第二份**形规则,
  * 只留本仓自己的展示律:拒句里值的样子({@link buildRefusalShownUrl})与拒句的唯一铸点({@link buildHttpUrlRefusal})。
@@ -14,9 +14,10 @@
  * ## 读者
  * 中心基址三席 + 公告地址 + 请求期 `centerFetch`(`web-admin-client/center-request.ts` `pathBaseUrlRefusal`:禁 userinfo / query / fragment)·
  * 续签 issuer(只问形)· 模型路由三键(`model-route-url.ts`:禁 userinfo / fragment,query 照收)· `MEMORY_EMBEDDER_ENDPOINT` 与
- * `A2A_SERVE_URL`(禁 userinfo)。「scheme 只有判官与展示铸点读」由 `test/config-url-display-safe.test.ts` 的读者普查门钉住。
+ * `A2A_SERVE_URL`(禁 userinfo)· `SANDBOX_PKG_SOURCE=custom` 六只地址(形 + 带凭据,后者的判官是契约包根的 `findUrlCredential`,拒句经 {@link buildUrlCredentialRefusal})。
+ * 「scheme 只有判官与展示铸点读」由 `test/config-url-display-safe.test.ts` 的读者普查门钉住。
  */
-import { type HttpUrlFlaw } from "@sema-agent/settings-schema";
+import { type HttpUrlFlaw, type UrlCredential } from "@sema-agent/settings-schema";
 /**
  * 拒句里值的样子(纯函数):合格的 http(s) 形 ⇒ 只到 origin(`scheme://host[:port]`,过展示铸点),origin 之后还有东西(userinfo /
  * 路径 / query / fragment)⇒ 接一枚 `/…`;其余(不透明 / 不可解析 / 层级式非 http(s))⇒ 展示铸点的占位 `«redacted:url»` ——
@@ -27,9 +28,21 @@ import { type HttpUrlFlaw } from "@sema-agent/settings-schema";
  * 这几处不赌形状律的覆盖面:座位名 + 规则词已经说清了哪一席错在哪,值只需要认得出是哪一台主机。
  */
 export declare function buildRefusalShownUrl(raw: string): string;
+/**
+ * **自由文本里每一条嵌着的 http(s) URL 换成它的展示形**({@link buildRefusalShownUrl}:`scheme://host[:port]`,origin 之后还有东西接 `/…`;读法不唯一 / 读不出的串给展示铸点的占位),
+ * 句子其余部分逐字不动。用在宿主不控制句子的日志面 —— 引擎把「拨不通的 A2A 对端 / MCP 服务器」连同被拨的 URL 拼成一句交来(`onError`),宿主手里没有那条 URL 的结构化值,
+ * 只能在文本上换。展示形的铸点仍只有 {@link buildRefusalShownUrl} 一只(userinfo / 路径 / query / fragment 一个字节不进,不赌形状律认得出的令牌形);本函数只负责「找到文本里的 URL」。
+ * 非 http(s) 的 scheme 不在射程(这两座的 URL 读器只收 http(s))。纯函数。
+ *
+ * 已知的界(不是兜底):URL 串里含**裸空白**的(userinfo 里写了空格)在第一个空白处被截 —— 余下的尾巴留在句里。那一形是调用方在受理口就被拒的(userinfo 一律 400),
+ * 到不了这里的只有存量停驻体 / 部署基线;引擎的警告句对该形也是把 URL 原样拼进去,没有结构化值可救。
+ */
+export declare function buildShownUrlsInText(text: string): string;
 /**
  * 拒句的**唯一**铸点:`<subject> <规则句>[; <规则句>…]; got "<值的样子>"`(`build*` = 纯数据)。
  * 值只经 {@link buildRefusalShownUrl} 出现;`flaws` 来自 settings-schema 的 `httpUrlFlaws`(调用方按首个拒因选自己的码与出路句)。
  */
 export declare function buildHttpUrlRefusal(subject: string, raw: string, flaws: readonly HttpUrlFlaw[]): string;
+/** 「带凭据」那一形的拒句([ref];判官 = 契约包根的 `findUrlCredential`):同一只铸点形,规则句换成凭据判官的那一句。 */
+export declare function buildUrlCredentialRefusal(subject: string, raw: string, credential: UrlCredential): string;
 //# sourceMappingURL=url-refusal.d.ts.map

package/dist/url-refusal.js

@@ -1,4 +1,4 @@
-import { httpUrlRule, isHierarchicalUrl } from "@sema-agent/settings-schema";
+import { httpUrlRule, isHierarchicalUrl, urlCredentialRule } from "@sema-agent/settings-schema";
 import { DISPLAY_SAFE_URL_TOKEN, buildDisplaySafeUrl } from "./trace/redact.js";
 export function buildRefusalShownUrl(raw) {
     if (!isHierarchicalUrl(raw))
@@ -11,7 +11,20 @@ export function buildRefusalShownUrl(raw) {
     const origin = `${u.protocol}//${u.host}`;
     return `${buildDisplaySafeUrl(origin)}${u.href === `${origin}/` ? "" : "/…"}`;
 }
+const EMBEDDED_HTTP_URL = /https?:\/\/[^\s"'`<>()[\]{}]+/gi;
+export function buildShownUrlsInText(text) {
+    return text.replace(EMBEDDED_HTTP_URL, (token) => {
+        const trail = /[.,;:!?]+$/.exec(token)?.[0] ?? "";
+        return buildRefusalShownUrl(trail === "" ? token : token.slice(0, -trail.length)) + trail;
+    });
+}
 export function buildHttpUrlRefusal(subject, raw, flaws) {
-    return `${subject} ${flaws.map(httpUrlRule).join("; ")}; got ${JSON.stringify(buildRefusalShownUrl(raw))}`;
+    return composeUrlRefusal(subject, raw, flaws.map(httpUrlRule));
+}
+export function buildUrlCredentialRefusal(subject, raw, credential) {
+    return composeUrlRefusal(subject, raw, [urlCredentialRule(credential)]);
+}
+function composeUrlRefusal(subject, raw, rules) {
+    return `${subject} ${rules.join("; ")}; got ${JSON.stringify(buildRefusalShownUrl(raw))}`;
 }
 //# sourceMappingURL=url-refusal.js.map

package/dist/usage-analytics.d.ts

@@ -75,7 +75,7 @@ export type UsageGranularity = "hour" | "day";
 /**
  * GET /v1/usage/series — 时间序列(UTC 桶;空桶不发行,消费方按需补零)。
  *
- * 🔴 **行带 `estimated`**(S-228):与 {@link usageSummary} / {@link usageBreakdown} **同轴同谓词** ——
+ * 🔴 **行带 `estimated`**([ref]):与 {@link usageSummary} / {@link usageBreakdown} **同轴同谓词** ——
  * 三个读面的桶都是同一只 {@link UsageTotals},由同一条 {@link foldRow} 折出来,所以「这个数字不精确」
  * 的四个来源(旧行 fallback / per-model echo 缺键 / 缺 `usageBasis` 的 legacy 口径 / 行自陈
  * `usageMissing` 的下界)在三面上是**同一句话**。修前只有 series 的出口把这一位扔了:桶里塞进一条
@@ -96,7 +96,7 @@ export declare function usageBreakdown(rows: UsageRow[], dimension: UsageDimensi
 /**
  * store 行投影 helper:**已解码的** result 体 → UsageRow.stats。三个后端复用(方言只在 SQL)。
  *
- * 🔴 **本函数不解码**(S-550 车③b 删掉了它的 `typeof result === "string" ? JSON.parse(result) : result`
+ * 🔴 **本函数不解码**([ref] 车③b 删掉了它的 `typeof result === "string" ? JSON.parse(result) : result`
  * 那一跳):那正是设计稿点名的歧义臂 ——「体是串就再解一次」在一列真 `JSON`/`JSONB` 上等于**解第二次**,
  * 于是一个双重编码的 `task_run.result`(解一次得到的是串)会被解回好体、当成真的用量端出去。三个调用点
  * 逐行亲核过,今天**一处都不递串**:

package/dist/user-input-ledger.d.ts

@@ -1,6 +1,6 @@
 /**
- * S-928 —— **「已受理、未消费」的用户输入账本**(user-input acceptance ledger)的唯一属主:行形、判据、收敛、通告、读面投影。
- * 设计稿 = sema-internal `server/design/` 的 S-928 稿(fable 主会话 2026-10-02);本文件是那份稿在代码里的**一处成文**。
+ * [ref] —— **「已受理、未消费」的用户输入账本**(user-input acceptance ledger)的唯一属主:行形、判据、收敛、通告、读面投影。
+ * 设计稿 = sema-internal `server/design/` 的 [ref] 稿(fable 主会话 2026-10-02);本文件是那份稿在代码里的**一处成文**。
  *
  * ## 病
  * `POST /v1/runs/:id/steer` 对本副本的活 run 回 **200 `delivery:"applied"`**:输入只进了 core `TaskStream` 的**进程内**队列,
@@ -10,13 +10,13 @@
  * 该会话下一条 run 之前铸。本文件 = 那个服务层。
  *
  * ## 对象(一只账本,一类输入,一句规则)
- * 「本服务以回执向调用方承诺已交给引擎、而消费只发生在进程内存里的用户输入」,**且承载它的那只 `TaskStream` 活在本服务的一条 run 腿里**(S-966)——
+ * 「本服务以回执向调用方承诺已交给引擎、而消费只发生在进程内存里的用户输入」,**且承载它的那只 `TaskStream` 活在本服务的一条 run 腿里**([ref])——
  * 后半句是收敛判词成立的前提:证据面是那条 run 行(下文「收敛判据」)。行的 `taskId` = 回执上的 run、`sessionId` = 那条 run 的会话(人看的那一只),
  * run 里是哪一只流(run 自己的 / 同步子代的)**不是**账本的事实:告知按 run 并帧(`steer` = 条数),读面行同形。今天只有 steer 一族(`kind:"steer"` =
  * 受理它的引擎动词 `TaskStream.steer`,三档 `now` / `next` / `later` 同一个动词同一族),三个入口同一个引擎动词:
  *  · `POST /v1/runs/:id/steer` 的 live 腿(200 applied);
  *  · `POST /v1/runs/:id/interrupt` 的带 text 形(202 queued-immediate,档位 now;设计稿把它划在病面外,车 SW 亲核它进的是同一只进程内队列 ⇒ 同类同修);
- *  · `POST /v1/runs/:id/subagents/:target/steer`(200 applied,S-966)—— 投进**同步子代**自己的流(core `createSteerHandle` → `stream.steer`)。子代由父腿
+ *  · `POST /v1/runs/:id/subagents/:target/steer`(200 applied,[ref])—— 投进**同步子代**自己的流(core `createSteerHandle` → `stream.steer`)。子代由父腿
  *    await,父腿收场时 core 撤掉在飞的复活(`subagentRetain.disposeAll`),所以它活在父 run 的腿里;腿 = 子代句柄,`handle.settled` 兑现 ⇒ 结清。
  * 规则的反面(不是例外表):workflow agent steer(`POST /v1/workflows/:id/agents/:label/steer`,200 applied)不在本账 —— workflow 是会话锚定的后台件
  * (core `WorkflowTaskHandle.sessionScoped`),活得比发起它的 run 腿长,没有一条 run 行约束它,而 workflow run 行上没有持有者列 ⇒ 判不出写者死没死(另票);
@@ -24,34 +24,34 @@
  * follow-up 入口)。steer 的 `later` 档在引擎里走 follow-up 车道(引擎在腿收场时按车道分账:没投出去的 `later` 记进 `task.user_followup_undrained`),
  * 但它仍是一次 `TaskStream.steer` 受理、消费帧同为 `human_input{delivery:"applied"}`(两车道同一只消费口)⇒ 同进本账,消费即结清。
  * **族 = 受理时它排进的引擎车道**(core `UserInputLane`,经引擎的 `injectionLaneOf(steerPriorityOf(…))` 读出 —— {@link acceptedInputKindOf};落盘 / wire 词 {@link UserInputKind}:
- * `steer` / `follow_up`),崩溃告知的码与条数键按车道取 core `USER_INPUT_UNDRAINED_FAMILIES`(core 7.44.0 #1362:两族同一只成因词表 `USER_INPUT_UNDRAINED_CAUSES`,
- * 服务层的 `crashed` 臂按车道选族,与引擎自己的 `leg_end` 臂同一种分账;core 7.45.0 #1408 起族表与车道读法在包根,本仓不再抄)。
+ * `steer` / `follow_up`),崩溃告知的码与条数键按车道取 core `USER_INPUT_UNDRAINED_FAMILIES`(core 7.44.0 [ref]:两族同一只成因词表 `USER_INPUT_UNDRAINED_CAUSES`,
+ * 服务层的 `crashed` 臂按车道选族,与引擎自己的 `leg_end` 臂同一种分账;core 7.45.0 [ref] 起族表与车道读法在包根,本仓不再抄)。
  *
  * ## 五形行(append-only;行序 = 语义序;File 孪生的盘上形 = 下面的 {@link UserInputLedgerRecord},SQL 孪生 = 一行一受理 + CAS 列 + 删行,同义)
  *  · `accepted`  —— 受理点(`routes/runs.ts` 的 live 腿,**调 `TaskStream.steer` 之前**、回 200 之前)写;写不进 ⇒ 503
  *                   `steering.ledger_unavailable`,引擎一个字节都没收到(fail-closed:没账的 200 是空头承诺)。身份 = `acceptId`
  *                   (每次受理一枚;同 Idempotency-Key 的重放共享 `messageId`,但各是一次受理)。`writer` = 受理进程的 `instanceId`。
- *  · `settled`   —— 本进程对这次受理的守护**正常结束**:`consumed`(S-968 / core 7.39.0 #1273:引擎在承载它的腿上铸了
+ *  · `settled`   —— 本进程对这次受理的守护**正常结束**:`consumed`([ref] / core 7.39.0 [ref]:引擎在承载它的腿上铸了
  *                   `human_input{delivery:"applied"}`、`inputId` = 本受理的 `messageId` —— 引擎确认把它消费进了转录;腿的事件环把每一帧交
  *                   {@link UserInputLedger.observeLegEvent},认哪一帧只在本文件判;且引擎收下了**这次受理的调用** —— 路由报 {@link UserInputLedger.confirm},
  *                   [ref] 7.113.0 opus 腿 L4:同 key 异正文的那次受理会被引擎拒,不能凭同名消费证据先结清)、`leg_end`(承载它的腿在本进程收场 —— done / suspended / needs_review / failed
  *                   一律,未消费的那一半 core 已用 `leg_end` 自己告知,本仓不重算「消费了没有」)或 `not_applied`(`TaskStream.steer`
- *                   抛了,这次受理没有变成 200;路由随即落这一行)。子代腿的 `leg_end`:core 铸在子代自己的会话上,core 7.39.0 #1279(S-980)起同一次收场
+ *                   抛了,这次受理没有变成 200;路由随即落这一行)。子代腿的 `leg_end`:core 铸在子代自己的会话上,core 7.39.0 [ref]([ref])起同一次收场
  *                   **再铸一条到父腿**(`detail.sessionId` = 父会话、`taskId` = 父 run、带 `childSessionId`)⇒ 经分流器到人;本账对子代受理落的
- *                   `settled{leg_end}`(行记父 run,S-966)与那条父口帧说的是同一件事(钉在 `test/engine-notice-wire.test.ts` S-980 两格)。
+ *                   `settled{leg_end}`(行记父 run,[ref])与那条父口帧说的是同一件事(钉在 `test/engine-notice-wire.test.ts` [ref] 两格)。
  *  · `converged` —— 收敛器判「受理它的进程已经不在、而它从没 settle」⇒ `cause:"crashed"`(core 闭集里服务层那一臂)。
  *  · `announced` —— 通告**落进新 run 的事件账之后**写(`taskId` = 告知它的那条**新** run;`EngineNoticeRouter.routeConfirmed` 等口的落账结果,
  *                   codex r1-F2):落账失败 ⇒ 不写,下一条 run 再说;重启再重启不重复。唯一的重复形 = 帧已落账而这一行没写成(写失败 / 进程死在两步之间)
  *                   —— run 事件账与本账是两只店、没有共同事务,两害取「多说一遍」,不取「声称说过」。
  * 转移只有四条(open → settled | converged;converged → announced),两只孪生都按 CAS 守它们(File 单进程 = 内存判;SQL = `WHERE state=…`)。
- *  · `erased`    —— (S-965)**会话树删除**:该会话此前的每一次受理(不论状态)离开账本。行随会话走 —— 账本行的唯一归属键就是 `sessionId`,
+ *  · `erased`    —— ([ref])**会话树删除**:该会话此前的每一次受理(不论状态)离开账本。行随会话走 —— 账本行的唯一归属键就是 `sessionId`,
  *                   所以两条删会话树的级联(在线删除协调器 `boot/session-faces.ts` 的 `purgeSession`、托管留存的事务化孪生
  *                   `retention-store-sql.ts` 的 `purgeSessionTrees`)各有一臂删它,谓词同一只(`session_id` 单键,店动词 `deleteBySession`)。
  *                   File 孪生的盘上形 = 一行会话级墓碑 `{ kind:"erased", sessionId, at }`(与 workflow 完成信箱 `drain{sessionId}` 同形),
  *                   只擦它**之前**的同会话行 —— 会话 id 删后可被重新登记,之后的受理属于下一位住客;SQL 孪生 = 真删行。被删受理上迟到的转移全输
  *                   (行不在了,与「未知 acceptId」同一条守卫)。
  *
- * ## 收敛判据(一条:**受理它的进程已经不在,而承载它的腿没有正常收场**)—— 两车道同一只判词({@link judgeOpen},S-969 L8 合一)
+ * ## 收敛判据(一条:**受理它的进程已经不在,而承载它的腿没有正常收场**)—— 两车道同一只判词({@link judgeOpen},[ref] L8 合一)
  * 证据面只有一个:承载它的 **run 行**(run 店;行上的 `instanceId` = 当前持有者,createRun 铸、markResuming 接管)。
  *  · 行在、持有者是写者、仍 `running` ⇒ 腿没收场;写者在不在由车道答(下一段)—— 不在 ⇒ `crashed`,可能在 ⇒ `live`(不动,等 reaper)。
  *  · 行在、持有者是写者、`failed` 且行上是 run 店的**死亡判决码**({@link isHolderDeathVerdict}:`reapStale` 的 `run.stalled` /
@@ -66,10 +66,10 @@
  *    boot 序是先孤儿回收(把这样的行翻成 `failed` + `RUN_ORPHANED_ERROR`)再收敛,所以 local 上最常见的崩溃形读到的是落款;仍 `running`
  *    的只剩回收因续跑中的检查点刻意跳过的行(写者死、腿没收场 ⇒ 同样 `crashed`)。
  *  · `run_store_verdict`(SQL,多副本):可能。「本进程启动前写的」不证明写者已死(滚动发布 / 三副本)⇒ 等 reaper 把判决落在行上。
- * S-969 L8 之前 local 臂不读 run 店、一律 `crashed`:进程恰死在 park 已提交、收场 settle 之前 ⇒ 那次 steer 已迁进检查点、续跑会重投,却被按崩溃
+ * [ref] L8 之前 local 臂不读 run 店、一律 `crashed`:进程恰死在 park 已提交、收场 settle 之前 ⇒ 那次 steer 已迁进检查点、续跑会重投,却被按崩溃
  * 告知一次;settle 写丢后再崩的正常收场同理。两车道读同一只判词之后,「正常收场 / 已 park ⇒ 不告知」不再随车道变。
  * 本进程写的行不读 run 店(活着的进程的受理归它自己的腿 settle,见 judgeOpen 首行)。触发 = boot 一次 + 每个维护 tick 一次;local 上 boot 之后
- * open 集里不再有外来写者的行(每一行要么收敛要么结清,恒不判 `live`),维护 tick 的 local 臂恒空。一趟收敛对同一 taskId 只读一次 run 店(S-969 L9,
+ * open 集里不再有外来写者的行(每一行要么收敛要么结清,恒不判 `live`),维护 tick 的 local 臂恒空。一趟收敛对同一 taskId 只读一次 run 店([ref] L9,
  * 趟内备忘:同一条 run 上的受理在同一趟里得同一个判词)。
  *
  * ## 两张脸
@@ -106,7 +106,7 @@ export type UserInputKind = (typeof LEDGER_KIND_OF_LANE)[UserInputLane];
 export declare const USER_INPUT_KIND_WORDS: Readonly<Record<UserInputKind, true>>;
 /**
  * 一次受理的族词 —— 三个受理口(run steer 的 live 腿 / interrupt 带 text 形 / 子代 steer)同调这一只。车道是引擎的那一只读法
- * `injectionLaneOf(steerPriorityOf(…))`(core 7.45.0 #1408:缺席档 = `next`;`later` 走 follow-up 车道,`now` / `next` 走 steer 车道;
+ * `injectionLaneOf(steerPriorityOf(…))`(core 7.45.0 [ref]:缺席档 = `next`;`later` 走 follow-up 车道,`now` / `next` 走 steer 车道;
  * 档外值抛 `steering.invalid_content` —— 受理口在这之前已按 `isSystemInjectionPriority` 400 掉档外值,这一抛在本仓不可达)。
  */
 export declare function acceptedInputKindOf(priority: SystemInjectionPriority | undefined): UserInputKind;
@@ -225,7 +225,7 @@ export interface OpenScanCursor {
     readonly acceptId: string;
 }
 /**
- * `listOpen` 的一页(S-969 L6):`open` = 这一页里**读得出**的 open 受理(读不出形的行已逐行跳过 + 计 F 类 tag);`next` = 续翻游标 =
+ * `listOpen` 的一页([ref] L6):`open` = 这一页里**读得出**的 open 受理(读不出形的行已逐行跳过 + 计 F 类 tag);`next` = 续翻游标 =
  * 这一页**原始**末行的键(被跳过的坏行也算 —— 断点不许卡在坏行上,也不许因为页里少了一行就被当成「扫到底」),缺席 = 原始行不满一页(扫到底)。
  * 游标属于店(只有店见过原始行),收敛扫描只照着它翻,不从交回的行反推。
  */
@@ -236,7 +236,7 @@ export interface OpenScanPage {
 /** 收敛扫描的页长(open = 活腿上的受理 + 等收敛的孤儿,量级是人的手速)。 */
 export declare const USER_INPUT_OPEN_SCAN_MAX = 1000;
 /** 一趟收敛至多翻多少页(预算:十万条 open 行;到顶 ⇒ 断点留下,下一趟从断点续翻、扫到底再回绕 —— codex r3-F2)。
- *  一趟的上界(S-969 L9 成文):至多 `PAGES` 次页读 × `OPEN_SCAN_MAX` 行;run 店读 = 外来写者行里**不同 taskId** 的个数(趟内备忘,本进程写的行不读);
+ *  一趟的上界([ref] L9 成文):至多 `PAGES` 次页读 × `OPEN_SCAN_MAX` 行;run 店读 = 外来写者行里**不同 taskId** 的个数(趟内备忘,本进程写的行不读);
  *  转移写 = 判出 crashed / leg_over 的行数。boot 那一趟在 stage-07 被 await(协调面开服之前收完 —— 时机不变),所以它的墙钟也受这个上界约束。 */
 export declare const USER_INPUT_OPEN_SCAN_PAGES = 100;
 /** 一个会话的「收敛过的受理」读口上限(读面 / 通告都经它;有界 wire)。收敛行 = 崩溃丢失,量级远小于受理总数;超出时取最新的这么多条。 */
@@ -253,7 +253,7 @@ export interface UserInputLedgerStore {
     /** open 受理的一页 —— 收敛扫描的读口。键集分页:按 (受理时刻, acceptId) 升序,严格在 `after` 之后(缺席 = 从头),至多 `limit` 条**原始行**
      *  (缺席 = {@link USER_INPUT_OPEN_SCAN_MAX});读不出形的行逐行跳过、续翻游标按原始行推进({@link OpenScanPage})。收敛逐页翻到底
      *  (codex r2-F2:固定最旧一页会让活腿占满窗口时后面的崩溃丢失永远轮不到)。三只读口对读不出的行同一处置:跳过 + F 类 tag
-     *  `server.user-input-ledger.corrupt-record-skipped`,不整页抛(S-969 L6)。 */
+     *  `server.user-input-ledger.corrupt-record-skipped`,不整页抛([ref] L6)。 */
     listOpen(after?: OpenScanCursor, limit?: number): Promise<OpenScanPage>;
     /** 一个会话里**收敛过**(崩溃丢失)的受理,含已告知的(按受理时刻升序,至多最新的 {@link USER_INPUT_SESSION_READ_MAX} 条)—— **读面**的读口。
      *  只读收敛行是刻意的:一个长会话可以有成千上万条正常收场的受理,读口若按「会话的全部受理」截断,新的丢失会被旧的正常行挤出窗外。 */
@@ -261,7 +261,7 @@ export interface UserInputLedgerStore {
     /** 一个会话里收敛且**未告知**的受理,从最旧起至多 `limit` 条(按受理时刻升序)—— **通告**的待办读口([ref] gpt-6 腿 [medium]:
      *  通告若读读面那只「最新 N 条含已告知」的窗,已告知行占窗 ⇒ 窗外更旧的未告知行永远不被说;待办只看未告知,说过的让位,窗外的最终可达)。 */
     listUnannounced(sessionId: string, limit: number): Promise<UserInputAcceptance[]>;
-    /** S-965 —— **会话树删除**:删掉该会话**每一种状态**的受理,回删除条数(没有可删的 ⇒ 0、零写;幂等)。按 `session_id` 单键:行上没有属主列,
+    /** [ref] —— **会话树删除**:删掉该会话**每一种状态**的受理,回删除条数(没有可删的 ⇒ 0、零写;幂等)。按 `session_id` 单键:行上没有属主列,
      *  会话所有权由调用方证过(在线删除 = 路由的 DELETE 门;留存 = 候选集本身出自本域加锁读的 `session_meta`),与 anchors / exemptions /
      *  attachments 同律。调用方 = 在线删除协调器(`boot/session-faces.ts` `purgeSession` 的一腿);托管留存的事务化孪生不调店、在自己的事务里
      *  发**同一只谓词**(`retention-store-sql.ts` `purgeSessionTrees` ④)。写不进 ⇒ 抛(协调器据此不删会话本体,幂等重试收敛)。 */
@@ -272,13 +272,13 @@ export interface RunStoreReader {
     getRun(taskId: string): Promise<RunRecord | null | undefined>;
 }
 /**
- * 「受理它的进程已经不在」的证据(S-969 L8 合一):两车道读**同一只** run 店判词(见顶注「收敛判据」),`kind` 只回答车道事实表
+ * 「受理它的进程已经不在」的证据([ref] L8 合一):两车道读**同一只** run 店判词(见顶注「收敛判据」),`kind` 只回答车道事实表
  * {@link LANE_FACTS} 里的两问(闭集穷举,判词本身不随车道变):
  *  ① 外来写者仍持有的 `running` 行,写者可能还活着吗 —— `exclusive_data_root`(local):不可能(数据根 LOCK:本进程之前的写者都已死);
  *    `run_store_verdict`(SQL,多副本):可能(等 reaper 把死亡判决落在行上)。
  *  ② run 行不在(`getRun` 答 undefined),这条腿怎么了(7.111.0 [ref] gpt-6 腿 X2)—— local:File 店 `hydrate` 跳过坏 / 缺时间戳的
- *    `run.json`(S-582 F 座)也答不在 ⇒ 读不出腿怎么收场、写者又已证死 ⇒ `crashed`(告知;= v7.110.0);SQL:店不藏行(读失败是响的
- *    Error,走 read-failed),不在 = 真删了 ⇒ 腿既不可能还活着也不可能续跑、没有可对照的 run ⇒ `leg_over`(结清;= v7.110.0)。S-965 起
+ *    `run.json`([ref] F 座)也答不在 ⇒ 读不出腿怎么收场、写者又已证死 ⇒ `crashed`(告知;= v7.110.0);SQL:店不藏行(读失败是响的
+ *    Error,走 read-failed),不在 = 真删了 ⇒ 腿既不可能还活着也不可能续跑、没有可对照的 run ⇒ `leg_over`(结清;= v7.110.0)。[ref] 起
  *    删会话 / 留存级联连账本行一起删,SQL 的这一形只剩级联半拍里的竞态与旧副本混版窗删的会话。
  */
 export interface WriterGoneEvidence {
@@ -325,7 +325,7 @@ export interface UserInputLedger {
     /** 腿在本进程收场 ⇒ 这条腿上的每一次受理落 `settled{leg_end}`。不抛。 */
     settleLeg(leg: object): Promise<void>;
     /**
-     * S-968(core 7.39.0 #1273):腿的事件环把**每一帧**引擎事件交进来(三条腿同一只口;不认的帧零成本返回)。唯一认的一形 =
+     * [ref](core 7.39.0 [ref]):腿的事件环把**每一帧**引擎事件交进来(三条腿同一只口;不认的帧零成本返回)。唯一认的一形 =
      * `human_input{delivery:"applied"}`:引擎确认把那条输入消费进了转录 ⇒ 这条腿上 `messageId` = 帧 `inputId`、**且引擎已收下其调用**({@link confirm})的受理
      * (同 Idempotency-Key 的幂等重放一并)落 `settled{consumed}`,离开 open 集 —— 之后写者死也不再按崩溃告知。结清写失败 ⇒ 留在腿上(收场照常落 `leg_end`),不抛。
      * 引擎还没判的受理不结清:messageId 只由 key 派生、账本看不见正文,同 key 异正文的那一次会被引擎拒(`steering.duplicate_input_id`)、走 {@link withdraw}。
@@ -377,7 +377,7 @@ export declare function createUserInputLedgerAtBoot(opts: Parameters<typeof crea
     converged: number;
 }>;
 /**
- * 装配层按**车道**给证据(闭集穷举:`StoreBackend.kind` 加一个词而这里没跟 ⇒ 编译红)。两臂都带 run 店(S-969 L8:判词同一只),车道词只答
+ * 装配层按**车道**给证据(闭集穷举:`StoreBackend.kind` 加一个词而这里没跟 ⇒ 编译红)。两臂都带 run 店([ref] L8:判词同一只),车道词只答
  * 「外来写者仍持有的 running 行」那一问:
  *  · `local` —— 数据根 LOCK 保证单进程 ⇒ `exclusive_data_root`(外来写者都已死);
  *  · `mysql` / `pg` —— 多副本共享一张表,「我启动之前写的」证明不了写者已死 ⇒ `run_store_verdict`(等 reaper 落款)。

package/dist/web-admin-client/apply-effective.d.ts

@@ -29,13 +29,13 @@ export interface ApplyReport extends ConfigApplyReport {
     /** 🔴 codex R2-F1:本候选是否**完整**应用 —— 有任何一组被拒 ⇒ false。调用方据此决定要不要把它发布成
      *  LKG / 推进 etag(一个「其余面提交了但某组被拒」的候选覆盖掉好 LKG,重启后就再也回不去了)。 */
     readonly fullyApplied: boolean;
-    /** S-768:本候选目录的模型拒因判决 —— 逐条(`entries`,stage 判出的那份候选的,键已过名筛)+ 组拒码(`plane`,模型面组被拒时在场,
+    /** [ref]:本候选目录的模型拒因判决 —— 逐条(`entries`,stage 判出的那份候选的,键已过名筛)+ 组拒码(`plane`,模型面组被拒时在场,
      *  判决那刻当数据带出)。落地与组拒同一只来源:两者都描述**这一份**候选(组拒时引擎自己的拒因表不换代,这里仍报被拒的那份)。
      *  候选不管模型面(一条启用条目也没有 —— 幸存的与被丢的都算)⇒ `entries` 空、无 `plane`。`/health.modelRefusals` 与心跳的唯一数据源(web-admin 投影)。 */
     readonly modelRefusals: ModelRefusalVerdict;
 }
 /**
- * S-668 波 2 —— 一次 apply 在**哪条腿**上跑,以及这条腿知道的**部署事实**。必填(没有缺省腿):安全轴上「忘了说是哪条
+ * [ref] 波 2 —— 一次 apply 在**哪条腿**上跑,以及这条腿知道的**部署事实**。必填(没有缺省腿):安全轴上「忘了说是哪条
  * 腿」不许静默落成某一种语义([ref])。
  *  · `boot` —— 装配期(stage-02 的 boot 拉取 / LKG 起服;run-local 的一次性装配)。此刻 checkpoint 店**还没建**,
  *    审批组的「门意图可服务」由装配完之后的 stage-07 对**整份** config 判(拒启)—— 与热腿是同一只
@@ -94,7 +94,7 @@ export declare function withModelPlaneOf<E extends EffectiveConfig>(target: E, s
  */
 export declare function fullyLandedForLkg(read: ConfigCandidateRead, report: ApplyReport | undefined): boolean;
 /**
- * S-768:组拒码 → 铸它的那条模型面不变量 —— **以码为键**(组拒码闭集的属主是 settings-schema `MODEL_PLANE_REFUSAL_CODES`;那边加一个码
+ * [ref]:组拒码 → 铸它的那条模型面不变量 —— **以码为键**(组拒码闭集的属主是 settings-schema `MODEL_PLANE_REFUSAL_CODES`;那边加一个码
  * ⇒ 本表缺键 ⇒ 本仓 tsc 红)。模型面 stage 的组拒按**码**铸(码是判决那刻的数据),不变量 id 由本表派生 —— 一个 id 两个码
  * (`model-route-endpoint`)时码不可能从 id 反推,反过来查才是全函数。
  */
@@ -105,7 +105,7 @@ export declare const PLANE_REFUSAL_INVARIANT_OF: {
     readonly "config.gateway_fallback_without_primary": "model-route-endpoint";
 };
 /**
- * S-667 —— **「无中心配置」档的候选**:中心凭证换人时,server 把在用的中心配置降到这一档({@link applyEffective} 吃它,和吃任何候选走同一条 stage → swap → commit)。
+ * [ref] —— **「无中心配置」档的候选**:中心凭证换人时,server 把在用的中心配置降到这一档({@link applyEffective} 吃它,和吃任何候选走同一条 stage → swap → commit)。
  * 它的意思是「**撤回**中心配置」—— 中心下发的每个热面回 env 底:
  *  · 限额键 / 审批名单 / autonomy / commandPolicy / projects:本来就**非粘**(域缺席 ⇒ 回 env 底),这份候选什么域都没有,于是自然回底,不另写降档代码;
  *  · 模型面组:中心发来的零启用条目空候选 = 本候选不管模型面、上一代继续(不是撤回),所以模型面需要这一个专门的词 —— 见 {@link stageEnvModelPlane};
@@ -138,7 +138,7 @@ export declare function centerManagedConfigKeys(eff: EffectiveConfig | undefined
 /** 独立调用面的兼容壳(测试/外部):stage → 就地赋值 → 通知。applyEffective 不走这里——它把
  *  赋值并进自己的 commit 段以保住整世代原子性([ref]②)。入参是 eff 的两个域(审批闸住 governance,
  *  限额键住 limits —— 各自的属主判据,这里不合成视图;settings-schema 11 退役了 `runtime` 域)。
- *  [ref]:限额键的属主是热腿,所以本壳**同样**要过 stage-limits。S-668 波 2:审批组的判据依赖腿(④ 只在热腿判),
+ *  [ref]:限额键的属主是热腿,所以本壳**同样**要过 stage-limits。[ref] 波 2:审批组的判据依赖腿(④ 只在热腿判),
  *  所以本壳与 applyEffective 一样**必须**说是哪条腿。 */
 export declare function applyRuntimeGates(config: ServiceConfig, eff: Pick<EffectiveConfig, "limits" | "governance"> | undefined, leg: ApplyLeg, logger?: Logger): void;
 export declare function applyRuntimeHot(config: ServiceConfig, gov: EffectiveConfig["governance"], logger?: Logger): void;

package/dist/web-admin-client/apply-effective.js

@@ -3,6 +3,7 @@ import { WEB_ADMIN_ENV, narrowAtMention, resolveActiveTiers, resolveCatalogDefau
 import { modelKeyPoison } from "../key-resolver.js";
 import { buildEnvModelIdNotServedNotice, mintCapabilityKeys, readAtMention, servedModelTableLeg } from "../model-select.js";
 import { applyAutoCompactWindow, buildModelCostKey, parseAutonomy, unmatchableToolNamesRefusal } from "../config.js";
+import { NAME_TABLE_BEHAVIOR } from "../namespaced-rule-name.js";
 import { buildModelCompat, readModelCompat } from "../model-compat.js";
 import { buildModelHeadersKey } from "../model-entry-headers.js";
 import { validateCommandRules } from "../runtime-governance.js";
@@ -526,7 +527,7 @@ function stageApprovalRequire(raw) {
         return { ok: false, detail, reason: detail, names: nonString.map((e) => `[${e.i}]`), kept: KEPT_WOULD_REMOVE_GATE };
     }
     const names = raw.filter((n) => typeof n === "string").map((n) => n.trim()).filter((n) => n.length > 0);
-    const unmatchable = unmatchableToolNamesRefusal("published governance.approvalRequire", names, { consumer: "tool-name-table", behavior: "deny" });
+    const unmatchable = unmatchableToolNamesRefusal("published governance.approvalRequire", names, { consumer: "tool-name-table", behavior: NAME_TABLE_BEHAVIOR });
     if (unmatchable !== undefined) {
         return {
             ok: false,

package/dist/web-admin-client/apply-ledger.d.ts

@@ -23,7 +23,7 @@
 /**
  * 世代账按组记账的**组闭集**(读面 `groups` 的键集;加组 = 这里加词,报告形 `Record<组, …>` 随之编译红)。
  *  · `limitsHttp` —— [ref] 批1 限额组(属主 `stage-limits.ts`);
- *  · `approvalGate` —— S-668 波 2 审批组(`governance.approvalRequire`;属主 `apply-effective.ts` 的
+ *  · `approvalGate` —— [ref] 波 2 审批组(`governance.approvalRequire`;属主 `apply-effective.ts` 的
  *    `stageApprovalGate`:坏形 / 工具名匹配不到 / ④ 门意图不可服务 ⇒ 整组拒)。
  *  · `modelPlane` —— 模型面组(组内有哪些 effective 域的**唯一定义** = `apply-effective.ts` 的 `MODEL_PLANE_DOMAINS`:models 域 =
  *    目录 / roles / tiers / 拒因表 / 名单 / 钥匙表(今天组内只此一域);属主 `stageModelPlane`:
@@ -34,7 +34,7 @@
 export declare const CONFIG_APPLY_GROUPS: readonly ["limitsHttp", "approvalGate", "modelPlane"];
 export type ConfigApplyGroup = (typeof CONFIG_APPLY_GROUPS)[number];
 /**
- * S-810(车QU codex r1 [high] F1,验真后修)—— 一组在**热腿**被整组拒之后,新进程在 **boot 腿**上对同一候选重判会怎样。每组一格的闭集
+ * [ref](车QU codex r1 [high] F1,验真后修)—— 一组在**热腿**被整组拒之后,新进程在 **boot 腿**上对同一候选重判会怎样。每组一格的闭集
  * (`satisfies Record<ConfigApplyGroup, …>`:加一组 ⇒ 这里编译红,不许静默落进某一格)。部分应用的拍据此决定能不能发重启信号
  * (`boot/web-admin.ts` 的 `signalRestart`):
  *  · `"refuses-group"` —— boot 腿同一判据、同样整组拒,其余组照落 ⇒ 重启收敛(新进程的 boot 快照就是这份候选,同一差异不再签)。

package/dist/web-admin-client/center-request.d.ts

@@ -13,7 +13,7 @@ export interface CenterEndpoint {
     readonly credential: CenterCredentialSource;
 }
 /**
- * S-866 ④ —— 「中心车道配齐」的**唯一**谓词:基址 ∧ **声明了**凭证(S-651:按声明,不按此刻读不读得出)∧ worker。
+ * [ref] ④ —— 「中心车道配齐」的**唯一**谓词:基址 ∧ **声明了**凭证([ref]:按声明,不按此刻读不读得出)∧ worker。
  *
  * 三处同调、不许各抄一份门:租约管理器(`fleet-lease.ts` `createFleetLeaseFromEnv`)、fleet 客户端的用量环
  * (`fleet-client.ts` `startFleetClientFromConfig`)、用量累加器(`boot/budget-tracing.ts`)。公告环另要一件可达性声明
@@ -81,7 +81,7 @@ export interface CenterRequestInit {
  */
 export declare function pathBaseUrlRefusal(subject: string, raw: string): string | undefined;
 /**
- * S-698 —— 凭证续签:`POST {issuer}/api/v1/auth/token/refresh`,form `refresh_token=…`(settings-schema `AUTH_V1_PATHS.tokenRefresh`)。
+ * [ref] —— 凭证续签:`POST {issuer}/api/v1/auth/token/refresh`,form `refresh_token=…`(settings-schema `AUTH_V1_PATHS.tokenRefresh`)。
  *  · 以 `issuer` 为根(可带路径前缀;同源与否由续签器先判,本函数只装配);query / fragment 不带过去。
  *  · **不带 Authorization**:这条端点凭 refresh token 认人,手里的 access token 可能已经过期。
  *  · `redirect: "manual"`:3xx 不跟 —— POST 307/308 会把体(= refresh token)原样带去 `Location`,同源判据在重定向面前失效。

package/dist/web-admin-client/facade.d.ts

@@ -15,7 +15,7 @@
  *     (core 1.45), so each model/cascade-rung authenticates with its own upstream key.
  *
  * Per-model `baseUrl` IS transported (a catalog model may live on a different gateway;
- * core brain honors model.baseUrl, absent = "" = the deployment gateway `MODEL_GATEWAY_BASEURL`; S-623: with no gateway
+ * core brain honors model.baseUrl, absent = "" = the deployment gateway `MODEL_GATEWAY_BASEURL`; [ref]: with no gateway
  * declared, a candidate carrying such an openai-lane entry is refused whole — cross-invariant `model-route-endpoint`).
  *
  * Hot-reload status (复审 2026-07-29 P1-11 — 亲读判定,取代此处旧的 "models/roles are restart-to-apply"
@@ -28,7 +28,7 @@
  *   - tiers (and the whole plane under an active tier table) — **HOT** as well: core expands a PRIVATE catalog
  *     copy at Runner construction, and the refresh loop swaps every changed plane into all boot Runners before
  *     commit (`Runner.swapDeps`, core 7.10.0; production always wires it). The old "tier-frozen ⇒ defer to restart"
- *     arm and its `models-tiers` restart slice retired in S-668 波 0 — `/v1/models` and tier-word routing move on
+ *     arm and its `models-tiers` restart slice retired in [ref] 波 0 — `/v1/models` and tier-word routing move on
  *     the same tick.
  *   - **`degrade-route`** — one of the two genuinely boot-frozen catalog consumers left (the other is the
  *     memory-consolidation driver seat, last bullet): reactive degrade
@@ -37,8 +37,8 @@
  *     restartRequired /health contract instead (see `restart-signal.ts`). Fail-loud beats serving a stale
  *     gateway silently on the rate-limit path.
  *   - skills(+plugins)/mcp/a2a/scenarios — restart-to-apply by construction (baked into the boot
- *     wiring); so is the memory-consolidation driver's model seat (`memory-consolidation` slice, S-668 波 0).
- *     (`governance.approvalRequire` left this list in S-668 波 2 — its own staged group, hot on both legs.)
+ *     wiring); so is the memory-consolidation driver's model seat (`memory-consolidation` slice, [ref] 波 0).
+ *     (`governance.approvalRequire` left this list in [ref] 波 2 — its own staged group, hot on both legs.)
  *
  * ([ref] A13, internal-lossless) This module is now a FACADE: the implementation lives
  * alongside it in `src/web-admin-client/` split by responsibility group (HTTP client / EffectiveConfig
@@ -50,7 +50,7 @@
 export { fetchEffective, fetchPrincipalCaps, fetchPrincipalOrgMemory, WebAdminHttpError, fetchSkillContent, fetchPromptArtifact, fetchPromptBlob, } from "./http-client.js";
 export { mutateInPlace, applyEffective, NO_CENTER_EFFECTIVE, isNoCenterEffective, type ApplyReport, applyRuntimeGates, applyRuntimeHot, logEffectiveDiff, MODEL_PLANE_DOMAINS, type ModelPlaneDomain, type ModelPlaneOf, withModelPlaneOf, fullyLandedForLkg, } from "./apply-effective.js";
 export { restartReasons, modelPlaneChanged, type RestartSlice, type RestartSliceCtx, type EngineRestartSignal, } from "./restart-signal.js";
-export { applySkillsManifest, resolveMcpServers, mcpForScenario, resolveA2aPeers, a2aForScenario } from "./skills-mcp.js";
+export { applySkillsManifest, installedSkillMatchesManifest, skillManifestEntriesNotInstalled, skillToolListsOf, resolveMcpServers, mcpForScenario, resolveA2aPeers, a2aForScenario } from "./skills-mcp.js";
 export { applyCenterReadFace, buildReadFaceBaseline, buildReadFaceSwapCandidate, restoreReadFaceBaseline, CENTER_READ_FACE_LIVE_KEYS, type CenterReadFaceApply, type CenterReadFaceReport, type ReadFaceBaseline, type ReadFaceSeat } from "./read-face.js";
 export type { CenterSkillManifest, CenterMcpServer, CenterA2aPeer, CenterModel, CenterReadFace, EffectiveConfig, ExecutionRuling, SessionMirrorRuling, } from "./types.js";
 //# sourceMappingURL=facade.d.ts.map

package/dist/web-admin-client/facade.js

@@ -1,6 +1,6 @@
 export { fetchEffective, fetchPrincipalCaps, fetchPrincipalOrgMemory, WebAdminHttpError, fetchSkillContent, fetchPromptArtifact, fetchPromptBlob, } from "./http-client.js";
 export { mutateInPlace, applyEffective, NO_CENTER_EFFECTIVE, isNoCenterEffective, applyRuntimeGates, applyRuntimeHot, logEffectiveDiff, MODEL_PLANE_DOMAINS, withModelPlaneOf, fullyLandedForLkg, } from "./apply-effective.js";
 export { restartReasons, modelPlaneChanged, } from "./restart-signal.js";
-export { applySkillsManifest, resolveMcpServers, mcpForScenario, resolveA2aPeers, a2aForScenario } from "./skills-mcp.js";
+export { applySkillsManifest, installedSkillMatchesManifest, skillManifestEntriesNotInstalled, skillToolListsOf, resolveMcpServers, mcpForScenario, resolveA2aPeers, a2aForScenario } from "./skills-mcp.js";
 export { applyCenterReadFace, buildReadFaceBaseline, buildReadFaceSwapCandidate, restoreReadFaceBaseline, CENTER_READ_FACE_LIVE_KEYS } from "./read-face.js";
 //# sourceMappingURL=facade.js.map

package/dist/web-admin-client/hot-keys-registry.d.ts

@@ -27,7 +27,7 @@ export interface HotKeyEntry {
     readonly key: keyof ServiceConfigFlat;
     readonly group: keyof ServiceConfigGroups;
     readonly form: HotKeyForm;
-    /** 落地批次:1 = [ref] 批1(limitsHttp 组);2 = S-668 波 2(审批组 —— [ref] §6 原排的「批2」)。 */
+    /** 落地批次:1 = [ref] 批1(limitsHttp 组);2 = [ref] 波 2(审批组 —— [ref] §6 原排的「批2」)。 */
     readonly batch: 1 | 2;
     readonly cases: HotKeyCases;
 }
@@ -58,7 +58,7 @@ export declare const DEFERRED_LIMIT_KEYS: ReadonlyArray<{
     readonly why: string;
 }>;
 /**
- * S-668 波 2([ref] §3)—— **审批组**真正接线的键:`apply-effective.ts` 的 `stageApprovalGate` 消费、报告(世代账
+ * [ref] 波 2([ref] §3)—— **审批组**真正接线的键:`apply-effective.ts` 的 `stageApprovalGate` 消费、报告(世代账
  * `groups.approvalGate`)与拒绝(拒因的键名)都取这一张表。换代手法 A′:消费点本就逐请求现读活 config(审批基线 /
  * SendUserFile 子代闸 / 会话与记忆读面 / parked 赎回),leader 腿与单用户基线改成现读之后,热只差 refresh 腿的写口。
  */

package/dist/web-admin-client/http-client.d.ts

@@ -5,16 +5,16 @@ import { type DroppedConfigEntry, type RetiredDomainFinding, type UnreadConfigFi
 import { type CenterEndpoint } from "./center-request.js";
 /** GET the effective config (Bearer + ETag). null = 304 (unchanged). Throws on transport/HTTP error, and on a
  *  payload that is not an effective config at all(非对象 / version 非有限数 / gate 域坏形——[ref] 裁B)。
- *  `retiredDomains`(S-1456):wire 上带事实的退役域(墓碑)不抛 —— 交成发现、那一键不进 effective,候选判官整拒这份候选(与本地腿同键同义)。
+ *  `retiredDomains`([ref]):wire 上带事实的退役域(墓碑)不抛 —— 交成发现、那一键不进 effective,候选判官整拒这份候选(与本地腿同键同义)。
  *  `domainErrors`:坏 catalog 域(schema default 已落)逐域单列——与本地腿 `FetchEffectiveResult` 同键同义,
- *  boot/refresh 的候选门直接消费。`droppedEntries`(S-704 ②):schema 逐条丢掉的条目(坐标 + 字段诊断)——
+ *  boot/refresh 的候选门直接消费。`droppedEntries`([ref] ②):schema 逐条丢掉的条目(坐标 + 字段诊断)——
  *  **不**进候选门,调用方响亮点名、其余照用(分面单点 `splitFoldedReadWarnings`,与本地腿同一只)。
  *
  *  `readWarnings`:契约 `onWarning` 流的**原值**(未折叠),与本地腿同键同义(读者:一致性门的读腿适配器,见本地腿同名键注)。
  *  🔐 原流的 `error` 字段**未经** `redactConfigError`(那道脱敏挂在真正进日志流的 `domainErrors` 产出边界上)
  *  —— 任何把本键路由进结构化日志/审计流的消费者必须自己先脱敏。
  *
- *  `credentialIdentity`(S-651 / [ref] E-15):这次拉取所用凭证的身份(`center-credential.ts`)。调用方拿它给
+ *  `credentialIdentity`([ref] / [ref] E-15):这次拉取所用凭证的身份(`center-credential.ts`)。调用方拿它给
  *  候选打分箱标记 —— LKG / prompt 活动状态只许落进**拉到它的那个身份**的箱。 */
 export declare function fetchEffective(center: CenterEndpoint, etag: string | undefined, fetchImpl?: typeof fetch, worker?: string): Promise<{
     effective: EffectiveConfig;
@@ -96,7 +96,7 @@ export declare function fetchSkillContent(center: CenterEndpoint, contentHash: s
  *  消费侧自证)。artifact=envelope JSON(验真=调用方过 core verifyPromptArtifact,canonical 重算——
  *  本函数只做传输与形读,不超范围解释);blob=段文本 raw-byte(sha256 逐位自证,fetchSkillContent 同款)。
  *  digest 参数收带前缀/裸 hex 两形([ref] 参数口径)。路径根按凭证种类(B-5,center-request.ts)。
- *  ⚠️ 现状(S-651 取证车MS 总表第 8 条):`fetchPromptBlob` 在 `src/` 里**没有生产调用点**,真走得到的内容
+ *  ⚠️ 现状([ref] 取证车MS 总表第 8 条):`fetchPromptBlob` 在 `src/` 里**没有生产调用点**,真走得到的内容
  *  拉取只有 skill 正文与 prompt 产物两条;它与另两条共用同一张路由表,本批不为它新接线。 */
 export declare function fetchPromptArtifact(center: CenterEndpoint, artifactDigest: string, fetchImpl?: typeof fetch): Promise<unknown>;
 export declare function fetchPromptBlob(center: CenterEndpoint, contentDigest: string, fetchImpl?: typeof fetch): Promise<string>;

package/dist/web-admin-client/mcp-revocation.d.ts

@@ -46,7 +46,7 @@ export declare function createMcpRevocationLedger(onChange?: (ev: {
 }) => void): McpRevocationLedger;
 /** 一拍 EffectiveConfig 的 ENABLED MCP 服务器条目表(`resolveMcpServers` 同判据:`enabled !== false`;
  *  值=整条目的 key 排序 JSON 指纹,Map 插入序=发布序);mcp 域缺席 ⇒ `null`(台账不动)。
- *  指纹序列化器 = `@sema-agent/settings-schema/hash` 的 `stableStringify`(S-778 起;[ref] 2026-08-31 起与 restart-signal 同源:此前本文件
+ *  指纹序列化器 = `@sema-agent/settings-schema/hash` 的 `stableStringify`([ref] 起;[ref] 2026-08-31 起与 restart-signal 同源:此前本文件
  *  持一份**逐字相同**的私有复刻 `fingerprintOf`;JSON 形输入上字节恒等,golden 钉 test/canonical-json-golden.test.ts)。
  *  两处指纹仍只在各自域内自比、不跨域比对——同源只是去掉一份多余的复刻,不引入跨域约束;也**不**改用
  *  `src/canonical-json.ts`(undefined 值键语义不同,见 restart-signal.ts 该函数顶注)。 */

package/dist/web-admin-client/pull-state.d.ts

@@ -1,5 +1,5 @@
 /**
- * S-866 ②(设计稿 v1.1 §2②)—— 「这台引擎**此刻**是不是真的接着中心」的两件读数:最近一次实拉的结局(`lastPull`)与生效修订号
+ * [ref] ②(设计稿 v1.1 §2②)—— 「这台引擎**此刻**是不是真的接着中心」的两件读数:最近一次实拉的结局(`lastPull`)与生效修订号
  * (`effectiveRevision`)。属主 = web-admin 运行时(`boot/web-admin.ts` 的 `centerPullState()`);读者 = caps `centerWiring`。
  *
  * 纯叶(零值 import):词表与读面形住这里,运行时与读面两侧都从这里取型,不各写一份。