@sema-agent/server 7.137.0 → 7.139.0

package/wire-changes/server@7.139.0.json

@@ -0,0 +1,348 @@
+{
+  "repo": "server",
+  "version": "7.139.0",
+  "from": "v7.138.0",
+  "fromCommit": "8b41148fef6d0d0c316c0e963efec70714a24e98",
+  "to": "v7.139.0",
+  "generator": "scripts/wire-changes-server.mjs",
+  "sources": [
+    "docs/ASSISTANT-WIRE-CONTRACT.md#A.1",
+    "docs/ASSISTANT-WIRE-CONTRACT.md#A.1b",
+    "docs/ASSISTANT-WIRE-CONTRACT.md#B.1",
+    "docs/ASSISTANT-WIRE-CONTRACT.md#B.1a",
+    "docs/ASSISTANT-WIRE-CONTRACT.md#B.2b",
+    "docs/ASSISTANT-WIRE-CONTRACT.md#B.2",
+    "docs/ASSISTANT-WIRE-CONTRACT.md#D.3",
+    "src/trace/wire-projection-faces.ts",
+    "src/trace/self-minted-wire.ts",
+    "node_modules/@sema-agent/core/wire-changes"
+  ],
+  "added": [
+    {
+      "id": "A1",
+      "source": "errorCode",
+      "member": "conflict.fork_id_taken",
+      "text": "附录 A.1 / A.1b 错误码新增 `conflict.fork_id_taken`(状态码 409)"
+    },
+    {
+      "id": "A2",
+      "source": "errorCode",
+      "member": "conflict.fork_in_progress",
+      "text": "附录 A.1 / A.1b 错误码新增 `conflict.fork_in_progress`(状态码 409)"
+    },
+    {
+      "id": "A3",
+      "source": "errorCode",
+      "member": "conflict.session_mirror",
+      "text": "附录 A.1 / A.1b 错误码新增 `conflict.session_mirror`(状态码 409)"
+    },
+    {
+      "id": "A4",
+      "source": "errorCode",
+      "member": "conflict.session_row_changed",
+      "text": "附录 A.1 / A.1b 错误码新增 `conflict.session_row_changed`(状态码 409)"
+    },
+    {
+      "id": "A5",
+      "source": "errorCode",
+      "member": "conflict.session_writer",
+      "text": "附录 A.1 / A.1b 错误码新增 `conflict.session_writer`(状态码 409)"
+    },
+    {
+      "id": "A6",
+      "source": "errorCode",
+      "member": "execution_lane.not_served",
+      "text": "附录 A.1 / A.1b 错误码新增 `execution_lane.not_served`(状态码 409)"
+    },
+    {
+      "id": "A7",
+      "source": "errorCode",
+      "member": "execution_lane.tree_bound",
+      "text": "附录 A.1 / A.1b 错误码新增 `execution_lane.tree_bound`(状态码 409)"
+    },
+    {
+      "id": "A8",
+      "source": "errorCode",
+      "member": "state.fork_target_unsettled",
+      "text": "附录 A.1 / A.1b 错误码新增 `state.fork_target_unsettled`(状态码 503)"
+    },
+    {
+      "id": "A9",
+      "source": "selfMinted.endpointFaceStatus",
+      "member": "PATCH /v1/sessions/:id#expectedRowTag_current(行仍在那只标签上;体 = 列表行)",
+      "text": "自铸 逐端点应答面 → 状态(<端点>#<面> → 状态;只登记本版改了状态的面) 新增 `PATCH /v1/sessions/:id#expectedRowTag_current(行仍在那只标签上;体 = 列表行)`(属性 200;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A10",
+      "source": "selfMinted.endpointFaceStatus",
+      "member": "PATCH /v1/sessions/:id#expectedRowTag_stale(行已不在那只标签上;体 conflict.session_row_changed + currentRow)",
+      "text": "自铸 逐端点应答面 → 状态(<端点>#<面> → 状态;只登记本版改了状态的面) 新增 `PATCH /v1/sessions/:id#expectedRowTag_stale(行已不在那只标签上;体 conflict.session_row_changed + currentRow)`(属性 409;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A11",
+      "source": "selfMinted.endpointFaceStatus",
+      "member": "PATCH /v1/sessions/:id#mirror_row(只读镜像行上的写,带不带 expectedRowTag;体 conflict.session_mirror + forkPath)",
+      "text": "自铸 逐端点应答面 → 状态(<端点>#<面> → 状态;只登记本版改了状态的面) 新增 `PATCH /v1/sessions/:id#mirror_row(只读镜像行上的写,带不带 expectedRowTag;体 conflict.session_mirror + forkPath)`(属性 409;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A12",
+      "source": "selfMinted.endpointFaceStatus",
+      "member": "PATCH /v1/sessions/:id#owner_changed_after_gate(门那一读之后同一会话的属主被改;体 not_found.session)",
+      "text": "自铸 逐端点应答面 → 状态(<端点>#<面> → 状态;只登记本版改了状态的面) 新增 `PATCH /v1/sessions/:id#owner_changed_after_gate(门那一读之后同一会话的属主被改;体 not_found.session)`(属性 404;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A13",
+      "source": "selfMinted.endpointFaceStatus",
+      "member": "POST /v1/side-query#uncoded_error_with_preflight_prefix(没有引擎码、英文开头与前缀表同形的错误;体 internal.error)",
+      "text": "自铸 逐端点应答面 → 状态(<端点>#<面> → 状态;只登记本版改了状态的面) 新增 `POST /v1/side-query#uncoded_error_with_preflight_prefix(没有引擎码、英文开头与前缀表同形的错误;体 internal.error)`(属性 500;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A14",
+      "source": "selfMinted.endpointFaceStatus",
+      "member": "POST /v1/tasks|/v1/tasks/stream|/v1/runs#rewindFiles(新提交;体 request.body_shape + unknownKeys [rewindFiles])",
+      "text": "自铸 逐端点应答面 → 状态(<端点>#<面> → 状态;只登记本版改了状态的面) 新增 `POST /v1/tasks|/v1/tasks/stream|/v1/runs#rewindFiles(新提交;体 request.body_shape + unknownKeys [rewindFiles])`(属性 400;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A15",
+      "source": "selfMinted.fieldConflictKind",
+      "member": "fork_target",
+      "text": "自铸 400 request.field_conflict detail.kind 新增 `fork_target`(属性 -;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A16",
+      "source": "selfMinted.refusalSentenceForm",
+      "member": "400 request.body_shape#PATCH /v1/sessions/:id",
+      "text": "自铸 拒体 message 的句型(<码>#<座> → 句型骨架;码 / 状态 / 机读位不变) 新增 `400 request.body_shape#PATCH /v1/sessions/:id`(属性 the body must be a JSON object carrying at least one of `title` and `pinned` (and, optionally, `expectedRowTag`), and nothing else;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A17",
+      "source": "selfMinted.refusalSentenceForm",
+      "member": "400 request.field_invalid#PATCH /v1/sessions/:id.expectedRowTag",
+      "text": "自铸 拒体 message 的句型(<码>#<座> → 句型骨架;码 / 状态 / 机读位不变) 新增 `400 request.field_invalid#PATCH /v1/sessions/:id.expectedRowTag`(属性 expectedRowTag must be the `rowTag` string a session list row carries (43 characters: letters, digits, `-` and `_`);since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A18",
+      "source": "selfMinted.refusalSentenceForm",
+      "member": "409 conflict.session_mirror#PATCH /v1/sessions/:id",
+      "text": "自铸 拒体 message 的句型(<码>#<座> → 句型骨架;码 / 状态 / 机读位不变) 新增 `409 conflict.session_mirror#PATCH /v1/sessions/:id`(属性 this session is a read-only mirror of a session whose writer is elsewhere — it cannot be renamed or pinned here; fork it (forkPath) to continue here; nothing was written;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A19",
+      "source": "selfMinted.refusalSentenceForm",
+      "member": "409 conflict.session_row_changed#PATCH /v1/sessions/:id",
+      "text": "自铸 拒体 message 的句型(<码>#<座> → 句型骨架;码 / 状态 / 机读位不变) 新增 `409 conflict.session_row_changed#PATCH /v1/sessions/:id`(属性 the session row changed since the rowTag you sent was read — nothing was written; currentRow is the row as it stands now: decide again, then send its rowTag;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A20",
+      "source": "selfMinted.sessionBackgroundRowKey",
+      "member": "sessionId",
+      "text": "自铸 GET /v1/sessions/:id/background rows[] 行键(<键> → 在场律) 新增 `sessionId`(属性 present-iff background agent row bound to a child session;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A21",
+      "source": "selfMinted.sessionRowWriteKey",
+      "member": "409 conflict.session_mirror#forkPath",
+      "text": "自铸 PATCH /v1/sessions/:id 体受理键与 409 拒体键(<面>#<键> → 读法 / 在场律;只登本版新增的) 新增 `409 conflict.session_mirror#forkPath`(属性 always;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A22",
+      "source": "selfMinted.sessionRowWriteKey",
+      "member": "409 conflict.session_row_changed#currentRow",
+      "text": "自铸 PATCH /v1/sessions/:id 体受理键与 409 拒体键(<面>#<键> → 读法 / 在场律;只登本版新增的) 新增 `409 conflict.session_row_changed#currentRow`(属性 always;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A23",
+      "source": "selfMinted.sessionRowWriteKey",
+      "member": "body#expectedRowTag",
+      "text": "自铸 PATCH /v1/sessions/:id 体受理键与 409 拒体键(<面>#<键> → 读法 / 在场律;只登本版新增的) 新增 `body#expectedRowTag`(属性 optional;43×[A-Za-z0-9_-] else 400 request.field_invalid;alone 400 request.body_shape;stale⇒409 conflict.session_row_changed;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A24",
+      "source": "selfMinted.sessionsListRowKey",
+      "member": "rowTag",
+      "text": "自铸 GET /v1/sessions sessions[] 行键 = PATCH /v1/sessions/:id 200 体 = 409 conflict.session_row_changed currentRow(<键> → 在场律) 新增 `rowTag`(属性 present-iff the row can be written conditionally (the store has the row write primitive and the row carries an incarnation);since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A25",
+      "source": "selfMinted.wireValueRule",
+      "member": "GET /v1/config/catalog#rows[CONFIG_PROVIDER].semantics",
+      "text": "自铸 出口值变换(<端点>#<键> → 变换) 新增 `GET /v1/config/catalog#rows[CONFIG_PROVIDER].semantics`(属性 remote-without-center-url-refuses-boot;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A26",
+      "source": "selfMinted.wireValueRule",
+      "member": "GET /v1/config/catalog#rows[DOCKER_SANDBOX_ENV].semantics",
+      "text": "自铸 出口值变换(<端点>#<键> → 变换) 新增 `GET /v1/config/catalog#rows[DOCKER_SANDBOX_ENV].semantics`(属性 own-credential-name-refuses-boot;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A27",
+      "source": "selfMinted.wireValueRule",
+      "member": "GET /v1/config/catalog#rows[E2B_SANDBOX_ENV].semantics",
+      "text": "自铸 出口值变换(<端点>#<键> → 变换) 新增 `GET /v1/config/catalog#rows[E2B_SANDBOX_ENV].semantics`(属性 own-credential-name-refuses-boot;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A28",
+      "source": "selfMinted.wireValueRule",
+      "member": "GET /v1/config/catalog#rows[K8S_NAMESPACE].semantics",
+      "text": "自铸 出口值变换(<端点>#<键> → 变换) 新增 `GET /v1/config/catalog#rows[K8S_NAMESPACE].semantics`(属性 required-no-default;absent-or-blank-refuses-boot;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A29",
+      "source": "selfMinted.wireValueRule",
+      "member": "GET /v1/config/catalog#rows[RETENTION_MODE].semantics",
+      "text": "自铸 出口值变换(<端点>#<键> → 变换) 新增 `GET /v1/config/catalog#rows[RETENTION_MODE].semantics`(属性 enforce-without-horizon-or-cadence-refuses-boot;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A30",
+      "source": "selfMinted.wireValueRule",
+      "member": "GET /v1/config/catalog#rows[RETENTION_SWEEP_INTERVAL_SEC].semantics",
+      "text": "自铸 出口值变换(<端点>#<键> → 变换) 新增 `GET /v1/config/catalog#rows[RETENTION_SWEEP_INTERVAL_SEC].semantics`(属性 cadence-without-horizon-refuses-boot;since 7.139.0 = 本版新上 wire)"
+    },
+    {
+      "id": "A31",
+      "source": "wireFace.coreKey",
+      "member": "status.seat",
+      "text": "投影面 status 新投 core 新键 seat(core 7.60.0 新增,面表没有把它登记进 excluded ⇒ 默认上 wire)"
+    }
+  ],
+  "registered": [],
+  "excluded": [],
+  "removed": [],
+  "changed": [
+    {
+      "id": "C1",
+      "source": "engineNotice",
+      "member": "delegation.ask_unresolvable",
+      "text": "附录 D.3 engine_notice 码 `delegation.ask_unresolvable` 的detail:`{ sessionId, toolName, toolCallId, cause, parkLaneExisted }` —— `sessionId` 在 core 侧是 **REQUIRED** typed 键(委派子代上是**子代**的 session,归属标按 `fromSubagent`/`sourceTaskId` 同路);🔴 **`cause`(7.74.0 / core 7.17.0 [ref]② 起;旧名 `settlementKind` 已随该版**退役**,读它恒 `undefined`,无别名无双读)闭三词** `approver_unavailable`(被咨询的席答了 unavailable,其后无 park 接住)/ `no_approver_wired`(这条腿压根没接审批席或问答面,含 headless 的 `\"deny\"` 姿态)/ `mandate_unreconstructible`(祖先绑的 durable mandate 在这条腿上没有 park 设施可兑现 ⇒ 委派子代折内拒),逐字透传不窄化(词表属主在 core);`toolCallId` 与 `tool_approval` 卡帧同值可 join。🔴 **`remedies`(core 7.56.0;server 7.137.0 起过境)= 出路的数据形**:闭集 `approver` / `permission_mode` 上的非空表,恰在 `remedy`(无人可问的那一句)在场时带 —— `{ kind: \"approver\" }`(句子已说的那条:接一个审批席 / 让接着的那个能答)与 `{ kind: \"permission_mode\", value: \"bypassPermissions\", disclosedOn: \"gate.disposition.released\" }`(只在两臂上:模式放行这一问,放行披露在那只调用的 `tool_end.gate.disposition.released`)。`detail.remedies` 由宿主按 `kind` 渲染(或不渲染;`permission_mode` 是宿主只在运维放开该模式时才可提的出路,旁边带上 `disclosedOn` 指的披露),**server 只透传、不改写、不补句**;闭集外的 `kind` 属于更新的引擎,忽略。用户读的 `message` / `remedy` 自 core 7.56.0 起**不再教** `bypassPermissions`(那条出路只在 `remedies` 里) → `{ sessionId, toolName, toolCallId, cause, parkLaneExisted }` —— `sessionId` 在 core 侧是 **REQUIRED** typed 键 = 被拒那只调用**所在腿**的会话(委派子代上是**子代自己的** session);本服务按这一个键投给该会话**当前登记的腿**,不经 `fromSubagent` / `sourceTaskId`(那两键属于审批卡帧,不在本码 `detail` 上)转投父会话 —— 同步委派子代的会话本服务不登记腿,于是子代上的这一条今天**不上任何会话流**,只落运维日志行;父会话可见要等引擎为本码另铸父会话副本(`detail.sessionId` = 父会话 + `childSessionId`,`task.user_steer_undrained` 的同形先例),届时本服务零改动承载;🔴 **`cause`(7.74.0 / core 7.17.0 [ref]② 起;旧名 `settlementKind` 已随该版**退役**,读它恒 `undefined`,无别名无双读)闭三词** `approver_unavailable`(被咨询的席答了 unavailable,其后无 park 接住)/ `no_approver_wired`(这条腿压根没接审批席或问答面,含 headless 的 `\"deny\"` 姿态)/ `mandate_unreconstructible`(祖先绑的 durable mandate 在这条腿上没有 park 设施可兑现 ⇒ 委派子代折内拒),逐字透传不窄化(词表属主在 core);`toolCallId` 与 `tool_approval` 卡帧同值可 join。🔴 **`remedies`(core 7.56.0;server 7.137.0 起过境)= 出路的数据形**:闭集 `approver` / `permission_mode` 上的非空表,恰在 `remedy`(无人可问的那一句)在场时带 —— `{ kind: \"approver\" }`(句子已说的那条:接一个审批席 / 让接着的那个能答)与 `{ kind: \"permission_mode\", value: \"bypassPermissions\", disclosedOn: \"gate.disposition.released\" }`(只在两臂上:模式放行这一问,放行披露在那只调用的 `tool_end.gate.disposition.released`)。`detail.remedies` 由宿主按 `kind` 渲染(或不渲染;`permission_mode` 是宿主只在运维放开该模式时才可提的出路,旁边带上 `disclosedOn` 指的披露),**server 只透传、不改写、不补句**;闭集外的 `kind` 属于更新的引擎,忽略。用户读的 `message` / `remedy` 自 core 7.56.0 起**不再教** `bypassPermissions`(那条出路只在 `remedies` 里)"
+    },
+    {
+      "id": "C2",
+      "source": "selfMinted.wireValueRule",
+      "member": "GET /v1/config/catalog#rows[K8S_SANDBOX_ENV].semantics",
+      "text": "自铸 出口值变换(<端点>#<键> → 变换) `GET /v1/config/catalog#rows[K8S_SANDBOX_ENV].semantics` 的属性:values-only-in-the-pod-own-secret;role-needs-secrets-create;denied-refuses-boot → values-only-in-the-pod-own-secret;role-needs-secrets-create;denied-refuses-boot;own-credential-name-refuses-boot(since 7.139.0)"
+    }
+  ],
+  "narrowed": [],
+  "closedSetMembers": [
+    {
+      "set": "errorCode",
+      "at": [
+        "docs/ASSISTANT-WIRE-CONTRACT.md#A.1",
+        "docs/ASSISTANT-WIRE-CONTRACT.md#A.1b"
+      ],
+      "added": [
+        "conflict.fork_id_taken",
+        "conflict.fork_in_progress",
+        "conflict.session_mirror",
+        "conflict.session_row_changed",
+        "conflict.session_writer",
+        "execution_lane.not_served",
+        "execution_lane.tree_bound",
+        "state.fork_target_unsettled"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    },
+    {
+      "set": "selfMinted.endpointFaceStatus",
+      "at": [
+        "src/trace/self-minted-wire.ts#endpointFaceStatus"
+      ],
+      "added": [
+        "PATCH /v1/sessions/:id#expectedRowTag_current(行仍在那只标签上;体 = 列表行)",
+        "PATCH /v1/sessions/:id#expectedRowTag_stale(行已不在那只标签上;体 conflict.session_row_changed + currentRow)",
+        "PATCH /v1/sessions/:id#mirror_row(只读镜像行上的写,带不带 expectedRowTag;体 conflict.session_mirror + forkPath)",
+        "PATCH /v1/sessions/:id#owner_changed_after_gate(门那一读之后同一会话的属主被改;体 not_found.session)",
+        "POST /v1/side-query#uncoded_error_with_preflight_prefix(没有引擎码、英文开头与前缀表同形的错误;体 internal.error)",
+        "POST /v1/tasks|/v1/tasks/stream|/v1/runs#rewindFiles(新提交;体 request.body_shape + unknownKeys [rewindFiles])"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    },
+    {
+      "set": "selfMinted.fieldConflictKind",
+      "at": [
+        "src/trace/self-minted-wire.ts#fieldConflictKind"
+      ],
+      "added": [
+        "fork_target"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    },
+    {
+      "set": "selfMinted.refusalSentenceForm",
+      "at": [
+        "src/trace/self-minted-wire.ts#refusalSentenceForm"
+      ],
+      "added": [
+        "400 request.body_shape#PATCH /v1/sessions/:id",
+        "400 request.field_invalid#PATCH /v1/sessions/:id.expectedRowTag",
+        "409 conflict.session_mirror#PATCH /v1/sessions/:id",
+        "409 conflict.session_row_changed#PATCH /v1/sessions/:id"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    },
+    {
+      "set": "selfMinted.sessionBackgroundRowKey",
+      "at": [
+        "src/trace/self-minted-wire.ts#sessionBackgroundRowKey"
+      ],
+      "added": [
+        "sessionId"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    },
+    {
+      "set": "selfMinted.sessionRowWriteKey",
+      "at": [
+        "src/trace/self-minted-wire.ts#sessionRowWriteKey"
+      ],
+      "added": [
+        "409 conflict.session_mirror#forkPath",
+        "409 conflict.session_row_changed#currentRow",
+        "body#expectedRowTag"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    },
+    {
+      "set": "selfMinted.sessionsListRowKey",
+      "at": [
+        "src/trace/self-minted-wire.ts#sessionsListRowKey"
+      ],
+      "added": [
+        "rowTag"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    },
+    {
+      "set": "selfMinted.wireValueRule",
+      "at": [
+        "src/trace/self-minted-wire.ts#wireValueRule"
+      ],
+      "added": [
+        "GET /v1/config/catalog#rows[CONFIG_PROVIDER].semantics",
+        "GET /v1/config/catalog#rows[DOCKER_SANDBOX_ENV].semantics",
+        "GET /v1/config/catalog#rows[E2B_SANDBOX_ENV].semantics",
+        "GET /v1/config/catalog#rows[K8S_NAMESPACE].semantics",
+        "GET /v1/config/catalog#rows[RETENTION_MODE].semantics",
+        "GET /v1/config/catalog#rows[RETENTION_SWEEP_INTERVAL_SEC].semantics"
+      ],
+      "registered": [],
+      "removed": [],
+      "breaking": false
+    }
+  ],
+  "breaking": 0
+}

package/dist/http/device-placement.d.ts

@@ -1,175 +0,0 @@
-/**
- * device lane **首绑写协议**(design `device-executor-lane-v2` §4.3.2)—— 两阶段 placement 的
- * server 半场:`resolveDevicePlacementIntent`(**只校验、不写库**)+ {@link commitPlacement}
- * (**唯一**写入属主)。
- *
- * ── 两阶段的**分界在哪**(codex R1 两条 finding 判真后的正形)────────────────────────────────────
- * 设计同段给了两条等价路(「同一 DB 事务原子提交,**或** commit 失败时以 taskId/rev CAS 终结并释放已建的
- * run」)。本仓取**后者**,理由是结构性的:run 行住在 `RunStore`(tidb / pg / **file**),绑定行住在
- * `DeviceStore`(tidb / pg)—— 要它们共享一个事务席,就等于要求「凡 device 车道,两只店必须是同一个
- * SQL 连接池」。那会把 file / memory 形态的 run 店整个排除在外,而「本地与云无缝、TOC 面 backend 可插」
- * 是本仓的铁律。
- *
- * 🔴 **分界的判据只有一句话:凡需要「这条会话已经归我」才成立的事,排在 claim 之后;其余全排在建任何
- * 东西之前。** claim 之后只剩两件,而且是同一条不变量的两条臂 —— **离开 commit 的那一刻,绑定就是准入
- * 批准的那一台**:首绑那一次 CAS(写),或对已有绑定的**再断言**(零写;codex 轮 2 [high] 的类修)。
- * ⚠️ 「那一刻」是字面义,**不是「此后不变」** —— 论证与残余见 {@link commitPlacement} 顶注。
- 首绑那一次 CAS 必须在 claim 之后 —— 否则两条并发提交里输掉 claim 的那个会先把绑定写成**它**要的设备,
- * 赢家的 run 于是落到别人挑的机器上。而准入链的三步(绑定解出 / devices active / presence)**全是读**,
- * 它们一个字节都不写,所以整段挪到 `resolveDevicePlacementIntent` 里、在 `createRun` **之前**判
- *(意图把批准的那台设备**带上**,commit 才有东西可断言 —— 见 `DevicePlacementIntent.admittedDeviceId`)。
- * 这条收法同时关掉 codex 轮 1 的两条(都判真):
- *  · **[medium] 幂等键被常规拒绝烧掉**:`POST /v1/runs` 的自带 `body.taskId` 重放腿读的是 durable run 行
- *    (`routes/runs.ts` 的 `getRun(clientTaskId)` 臂),行在**哪怕是 failed** 也直接回 `202 {status:"failed"}`
- *    ⇒ 「设备离线」这种**常规**拒绝若先建了行,网关按同一个 taskId 的正常重试从此永远拿不到一次真准入。
- *    读排在前面 ⇒ 常规拒绝的读面代价为零(零 run 行、零 claim、零补偿)。
- *  · **[high] claim 与 placement 写之间的无界窗**:claim 之后的**每一次**店往返都带
- *    {@link placementWriteDeadlineMs} 派生的**硬时限**(远小于 `runStaleSec`)⇒ 「挂得比 stale 回收还久、
- *    回来以后仍然放行」这条竞态被时限从结构上关掉;超时 = 拒(fail-closed)+ 释放,绝不放行。
- * 残余(如实):`createRun` 之后到心跳起来之前**本来**就有若干 await(`putCtx`、SSE 前导),那个窗是
- * 存量形,本文件只负责**不加宽它**(本层的写有界),不假装把它关掉了。
- *
- * ── 为什么 commit 只许有一个属主函数 ───────────────────────────────────────────────────────────────
- * 真码有**四个** `runStore.createRun(` 成功点(流式提交 / 同步提交 / durable 提交腿 / wake 续跑腿),
- * 而「建了 run 行之后要不要绑设备」这件事对它们是同一句话。四份手抄 = 第五个入口出现时漏接一份,
- * 而漏接的症状是「run 跑起来了但没有绑定」⇒ 执行期才 `device.not_bound`,账面上是一条已收费的失败 run。
- * 类级机器门钉住这条:`test/device-first-bind.test.ts` 按 AST 找 `src/http/**` 里每一处 `createRun(`,
- * 要求同一函数体内可见地走到 {@link commitPlacement}(漏接 = 当场红)。
- *
- * ── 准入链(§4.3.2 提交期三步,全 fail-closed)─────────────────────────────────────────────────────
- *  1. 绑定解出 deviceId —— 解不出 = `device.not_bound`;
- *  2. devices 行 `active` —— 行不在 / 不是你的 = `not_found.device`(反枚举同形),吊销 = `device.revoked`;
- *  3. presence 在线 —— 否 = `device.offline`(**只在提交期**校验;执行期离线走 §5.4/§8)。
- * 三步的属主是 `device-enrollment.ts` 的 `admitSession`,本文件一个判据都不自建,而且**整段在建 run 之前**跑
- * (见上一段的分界判据)。任何查表故障 = 拒([ref]:安全轴上没有静默 fail-open 臂)。
- *
- * ── 便利度不变(clay [ref] 硬约束)────────────────────────────────────────────────────────────────
- * 本文件**不产生任何审批**:它只做「这条 session 该落在哪台设备上」的查表与一次 CAS。device 车道上
- * `permissionMode: "bypassPermissions"` 的 run 与 host 车道同构造同读数(判据钉在 device-first-bind
- * 测试的「零额外审批」格)——「因为是 device 车道所以多问一次」在本层结构上不存在。
- */
-import type { IncomingMessage } from "node:http";
-import { type DeviceOwner } from "../device-store.js";
-import { type DeviceEnrollment, type DeviceRejection } from "../device-enrollment.js";
-import type { ServiceConfig } from "../config.js";
-import type { RunStore } from "../plugins/store-backend.js";
-import { type RefusalBody } from "./refusal-body.js";
-/**
- * 调用方 device 域的**唯一铸造点**。`undefined` = 判不出域(无 principal,或凭据不带 tenant claim)——
- * 消费点必须响亮拒,禁静默空视图。
- *
- * 🔴 位置即契约:`{owner_tenant, owner_subject}` 是 O11 的 device-lane-local 复合身份(全局 principal
- * 一个字节不动)。subject = `gatedPrincipal`(verified 链),tenant = `ssoVerifiedScope`(registry
- * auth-bridge JWT 的 `scope` claim)—— **两者都是签名真源,不是自报头**。管理面三读三写与首绑写协议
- * 全部从这一只函数取域;派生第二份就是把 O11 的判据本体复制成一份会漂的孪生。
- */
-export declare function deviceOwnerDomainOf(req: IncomingMessage, config: ServiceConfig): DeviceOwner | undefined;
-/**
- * **已校验、未写库**的 placement 意图(§4.3.2 ①)。
- *
- * 它的存在本身就是那条设计裁定:`resolveSpec` / `prepareSpec` 那一刻**还不知道**哪个并发请求会赢下
- * session 的 active-run claim,所以它不能写绑定行 —— 只能把「如果我赢了,该写什么」算好交出去。
- * 而**除了那一次写**,别的都已经在这一刻判完了(见文件头注的分界判据)。
- */
-export interface DevicePlacementIntent {
-    /** 绑定键 = **根**会话(后代无条件继承;core 为 subagent/cascade/verify 另铸 sessionId,不另绑)。 */
-    readonly rootSessionId: string;
-    /** 验证过的复合身份(§4.3.2:恒取 verified 链,不取自可伪造头)。 */
-    readonly owner: DeviceOwner;
-    /**
-     * **准入链批准的那台设备** —— 意图阶段判完的那一台,也是 {@link commitPlacement} 的**断言对象**。
-     *
-     * 🔴 这一位是 codex 轮 2 [high] 的类修(病:已绑路径的意图**丢掉了设备身份**,于是一条明确写了
-     * `deviceId: A` 的提交在「准入过后、claim 之前」被换绑到 B 时会**静默地在 B 上跑完** —— 执行环境
-     * 工厂读的是**当下**的绑定,它根本不知道调用方点过名,`plugins/remote-env-device.ts` 的工厂段亲读坐实)。
-     * 身份留在意图里,commit 才有东西可断言。
-     */
-    readonly admittedDeviceId: string;
-    /**
-     * `true` = 这条根会话在意图阶段**还没有绑定** ⇒ commit 要做那一次首绑 CAS(写);
-     * `false` = 已有绑定 ⇒ commit **不写**,只把 {@link admittedDeviceId} 对着活绑定**再断言一次**。
-     * 两条臂的共同不变量只有一句:**离开 commitPlacement 时,这条会话的绑定就是准入批准的那一台。**
-     */
-    readonly firstBind: boolean;
-}
-/**
- * §4.3.2 ① —— 产出**已校验、不写库**的意图,或响亮拒。**准入链整段在这里跑**(它全是读),所以
- * 常规拒绝(未绑定 / 离线 / 已吊销 / 不是你的设备)的读面代价是零:没有 run 行、没有会话占用、
- * 没有补偿要做,调用方自带的幂等 taskId 一个都不会被烧掉(codex R1-[medium] 的类修)。
- *
- * 判据(逐条,fail-closed):
- *  · 车道不是 device 而体携 `deviceId` ⇒ **400**(不静默忽略 —— 安全轴禁 quiet fallback:调用方以为
- *    自己指定了执行设备,而那条声明从未存在);
- *  · 车道是 device 而装配缺件 ⇒ **501**(boot 的 `device-lane-unwired` 不变量本应先拒启,这里是消费点自卫);
- *  · 判不出调用方域 ⇒ **403 响亮**(O11:准入等值比对没有真源时放行 = 把绑定写成任何人的);
- *  · 没有根会话 ⇒ **400**(绑定键不存在,绑无可绑);
- *  · 其余全部交给准入链属主 `admitSession`,**唯一的分叉**是它答 `device.not_bound` 那一支 ——
- *    那正是「还没有绑定」,于是本函数看提交体有没有携首绑目标:没携 ⇒ 把 `device.not_bound` 原样交回;
- *    携了 ⇒ 形门 + devices 行(active ∧ 是本域的 ∧ **在线**)三条读判完,产出首绑意图。
- *
- * 返回 `undefined` = 本部署不是 device 车道 ⇒ 整条 placement 面不存在(既有行为逐字节不变)。
- */
-export declare function resolveDevicePlacementIntent(args: {
-    config: ServiceConfig;
-    req: IncomingMessage | undefined;
-    rootSessionId: string | undefined;
-    deviceId: unknown;
-    store: import("../device-store.js").DeviceStore | undefined;
-    enrollment: DeviceEnrollment | undefined;
-}): Promise<DevicePlacementIntent | undefined>;
-/** {@link commitPlacement} 的依赖 —— 逐字取自 `ServiceDeps` 的同名键(同一只 deps 对象喂进来,所以
- *  「意图在 ⟹ 准入链在」是**同对象不变量**,不是一句祈愿)。 */
-export interface PlacementCommitCtx {
-    deviceEnrollment?: DeviceEnrollment | undefined;
-    config?: {
-        runStaleSec?: number;
-    } | undefined;
-    logger?: {
-        warn(msg: string, fields?: Record<string, unknown>): void;
-    } | undefined;
-    metrics?: {
-        inc(name: string, labels?: Record<string, string>): void;
-    } | undefined;
-}
-/**
- * claim 之后那一次写的**硬时限**(codex R1-[high] 的类修)。
- *
- * 界从 `runStaleSec` **派生**而不是新铸一个旋钮(operator-knob 纪律:没人要求过的旋钮不铸):它要回答的
- * 问题只有一个 —— 「这次写会不会挂到 stale 回收把我的会话占用收走」。取四分之一并夹在 `[1s, 15s]`:
- * 上夹是因为一次 CAS 写挂过 15 秒已经不是慢而是坏,下夹是因为运维把 `runStaleSec` 配得极小时,时限
- * 不该短到把正常的库往返判成故障。
- */
-export declare function placementWriteDeadlineMs(runStaleSec: number | undefined): number;
-/**
- * §4.3.2 ②③ —— placement 的**唯一**提交点(写 + 断言都只在这里发生)。四个 `createRun` 成功点全部经它。
- *
- * 到这一刻为止,该判的读已经判完(见文件头注的分界判据),而本函数拿到了一样意图阶段拿不到的东西:
- * **这条会话的 active-run claim 已经归我们了**。两件事因此才成立:
- *  · **首绑臂**(`firstBind`)—— 做那一次 INSERT-if-absent CAS(赢 = 成立;输且同设备 = 幂等成功;
- *    输且异设备 = `device.claim_conflict`);
- *  · **已绑臂** —— **不写**,但拿同一只 `admitSession` 对着活绑定把 {@link DevicePlacementIntent.admittedDeviceId}
- *    **再断言一次**(codex 轮 2 [high] 的类修)。判据属主仍是准入链那一只函数,本文件一个新判据都没造。
- *
- * 不变量(一句话):**离开本函数的那一刻,这条会话的绑定就是准入批准的那一台;否则本请求刚建的 run
- * 已被终结并释放,调用方拿到的是一个 typed 拒绝。**
- *
- * 🔴 **这条不变量到此为止,它不说「此后不变」——一次如实改口(codex 轮 3 驳回了我方轮 2 的论证)。**
- * 我方轮 2 写过「claim 一归我们,换绑动词的『无活跃 run』门就把并发换绑拒掉 ⇒ 断言之后绑定不可能再动」。
- * **那句话是错的**,codex 轮 3 给的交错成立、亲读坐标复核无误:换绑腿的那道门是 check→act
- * (`http/routes/devices.ts` 的「🔴 成文残留(设计裁定,非疏漏)」那一段逐字写着这个窗),它可以在本次
- * `createRun` **之前**读到「无活跃 run」而在本函数**之后**才提交 CAS —— run claim 不推进绑定 `rev`,
- * 那条 CAS 照样赢。于是:
- *  · 本断言**关掉**的是「换绑在本函数读之前已可见」那一半(较大的一半);
- *  · **剩下**的一半是那条**存量**的 check→act 窗,它的既有处置逐字在那段注里:①赢窗的 run 在换绑提交
- *    **后**铸 env ⇒ 读到新绑定;②在提交前铸(或已 connect)⇒ 投递门 `expectedDeviceId` 围栏按铸造时
- *    设备恒拒,零指令落到任何一台设备。**对本批新增的「体里点了名」这一形,臂 ① 的『合法』口径不再成立**
- *    (调用方点了 A,却在 B 上跑),这条**登记为未闭环**:要真正关掉它,得把 `admittedDeviceId` 一路钉进
- *    执行环境工厂与投递围栏(那是一条跨 core seam 的**新能力**,按本仓复审纪律不在复审环里加),或按
- *    稿 §6 的候门段做跨店互斥 claim。两条都是独立的车与设计,不是本层的一个补丁。
- *
- * 返回 `null` = 放行(含「本部署不是 device 车道」)。
- */
-export declare function commitPlacement(ctx: PlacementCommitCtx, runStore: RunStore, taskId: string, intent: DevicePlacementIntent | undefined): Promise<DeviceRejection | null>;
-/** 拒绝的**唯一** wire 体铸点(四个消费点各自用自己协议的发送姿势,但体的键集只有这一份)。 */
-export declare function devicePlacementErrorBody(rej: DeviceRejection): RefusalBody;
-//# sourceMappingURL=device-placement.d.ts.map