@sema-agent/server 7.145.0 → 7.147.0

package/dist/config.d.ts

@@ -1,13 +1,14 @@
 import { type Model, type PathRuleBases, type PermissionRule } from "@sema-agent/core";
 import { type ConfigProviderWord } from "./config-types.js";
 import { type CenterEndpoint } from "./web-admin-client/center-request.js";
+import { type ExecutionLane } from "./execution-lane-caps.js";
 import { type Autonomy } from "./runtime-governance.js";
 import { type RunnerEnvNameAllowlistKnob, type ServerEnvNameAllowlistKnob } from "./env-name-allowlist-knobs.js";
-import type { ServiceConfig, ServiceConfigFlat, ServiceConfigGroups } from "./config-types.js";
+import type { ServiceConfig, LoadedConfig, RemoteExecConfig, ServiceConfigFlat, ServiceConfigGroups } from "./config-types.js";
 /** [ref] A1: the config TYPE face lives in the leaf module config-types.ts; re-exported here so
  *  every existing `from "./config.js"` importer compiles unchanged (pure-type consumers should prefer
  *  importing config-types.js directly — a type-only leaf, no loader baggage). */
-export type { ServiceConfig, ScopedMcpServer, ImageBakeConfig, ServiceConfigFlat, ServiceConfigGroups, ServiceStoreConfig, ServiceModelPlaneConfig, ServiceApprovalConfig, ServiceMemoryConfig, ServiceAuthConfig, ServiceOrchestrationConfig, ServiceLimitsHttpConfig, ServiceObservabilityConfig, ServiceIntegrationsConfig, MemoryEmbedderConfig, // [ref]:embedder 坐标(plugins/memory-embedder.ts 消费同一属主类型)
+export type { ServiceConfig, LoadedConfig, RemoteExecConfig, ScopedMcpServer, ImageBakeConfig, ServiceConfigFlat, ServiceConfigGroups, ServiceStoreConfig, ServiceModelPlaneConfig, ServiceApprovalConfig, ServiceMemoryConfig, ServiceAuthConfig, ServiceOrchestrationConfig, ServiceLimitsHttpConfig, ServiceObservabilityConfig, ServiceIntegrationsConfig, MemoryEmbedderConfig, // [ref]:embedder 坐标(plugins/memory-embedder.ts 消费同一属主类型)
 A2aServeConfig, A2aServeSkill, RetentionMode, RetentionSweepConfig, MemoryConsolidationDriverConfig, } from "./config-types.js";
 export { RETENTION_MODES, MEMORY_CONSOLIDATION_MIN_INTERVAL_SEC } from "./config-types.js";
 /** Parse the AUTONOMY env into a validated autonomy mode. Unset/empty → undefined (unmanaged → no extra
@@ -113,7 +114,7 @@ export declare function drainConfigNotices(): ConfigNotice[];
  * 不许被悄悄猜成某一种意思)。
  *
  * 修前这根旋钮是开放词,而一个认不出的词在同一进程里被读成两种意思:配置源判官(`configProviderKind`)把它当 `local`
- * (读 `config.d/`、执行车道合成步照读 `remote-exec.json`),这里的隐式 host 臂与车道落点披露却按字面 `=== "local"`
+ * (读 `config.d/`、执行车道合成步照读 `remote-exec.json`),当时的隐式 host 臂与车道落点披露(7.147.0 随「车道恒具名」退役)却按字面 `=== "local"`
  * 判它**不是** local;web-admin 工厂同样按字面只在 `"local"` 上递本地根,于是配置源的根落回 `process.cwd()`、
  * 合成步读的是 `localRoot` —— 两个根分家。收成闭集 + 一个读点之后,这三处读的是同一个值。
  * 调用方两处、读的是同一张闭集:`loadConfig` 开头一次;`run-local` 在 `loadConfig` 之前一次(本入口只装本地配置源,词是 `remote` 就在这里拒 ——
@@ -187,6 +188,14 @@ export declare function buildUnpricedCeilingNotice(models: Record<string, Model>
     event: string;
     fields: Record<string, string>;
 } | undefined;
+/** 入口程序可以替部署声明的车道:不要坐标 env 之外的任何必需件的那两条(`host` 的坐标可选、`none` 零字段)。 */
+export type EntryDeclarableLane = Extract<ExecutionLane, "host" | "none">;
+/**
+ * 这两条车道的配置形(唯一铸点):env 声明了它们时由 {@link loadConfig} 的车道链调,入口程序自身声明它们时由执行车道合成步调 —— 坐标 env 同一读法。
+ * DUAL-MODE §5:`host` = 在这台机器上跑、无容器(坐标 `HOST_WORKSPACE_BASE` / `HOST_COMMAND_TIMEOUT_MS` 可选,无必需 env)。
+ * 契约 18.0.0:`none` = 部署声明「智能体的工具没有执行环境」(零字段、无必需 env)。
+ */
+export declare function entryDeclarableRemoteExec(lane: EntryDeclarableLane): RemoteExecConfig;
 /** [ref] N8/N9 — the BOOLEAN member of this module's env-parser family (`env`/`env2`/`numEnv`/
  *  `numEnvBounded`/`optFinitePositiveEnv`/`enumEnv`/`headerNameEnv`). Until now booleans were the
  *  one type parsed by a hand-written literal comparison at every single site, and that is exactly why the same
@@ -291,7 +300,9 @@ export declare function isRosterGateArmed(webAdmin: ServiceConfig["webAdmin"]):
  *     {@link findCcRuleFormNames}(它同时是 `allow` 腿的**唯一**判据,见下方例外说明)。
  *   - 退役名(`bash`/`Task`/`KillShell`…)与 pre-prefix 短名(`figma__x`):[ref](core 7.41.0 [ref])起判据是 core 导出的
  *     **那一只** `judgeRuleToolName`(准备阶段、两只会话规则店、本仓会话规则写口同调),本函数零手写臂;指引 = core 表给的现役指引 /
- *     补全协议前缀。
+ *     补全协议前缀。退役名里**没有后继**的那一种(判词 `retired` 不带 `currentName`:`TeamCreate` / `TaskOutput` / `MultiEdit`)不在拒面 ——
+ *     `namespaced-rule-name.ts` 的 `isRetiredWithoutSuccessor` 是唯一读法:**有通告席的表**({@link UnmatchableToolNameJudgment} 的 `noticeSeat`)上这一行不拒、原样留着,
+ *     读这张表的一方说一句(引擎读的请求规则桶由引擎通告;只有本服务读的运维 / 中心名单由装配处日志点名);没有通告席的表(请求体 `neverAuto`)照拒。
  *   - 够不着挂载工具的协议名:**对端段铸不出**(`mcp__github.com`、`mcp__github.com__*`、对端段里的部分通配 `mcp__git*`、超长 / 归一后带连串下划线的服务器段、对端段为空的
  *     `mcp__` / `mcp____x`)—— 前缀对,但引擎铸注册名时归一对端段,而规则对对端段逐字比,永不匹配。判官是引擎的 `judgeRuleToolName`(core 7.43.0 [ref] (b)
  *     的判词 `unmintable_segment`,句子带它的 guidance 与 1:1 现名);本仓 7.116.0–7.117.x 那只自比 `mintNamespacePrefix` 的对照随之退役。
@@ -353,6 +364,13 @@ export type UnmatchableToolNameJudgment = {
     readonly consumer: RuleEntryConsumer;
     readonly behavior: PermissionRule["behavior"];
     readonly pathBases?: PathRuleBases;
+    /**
+     * 这张表上退役且**无后继**的名字({@link isRetiredWithoutSuccessor})由谁说那一句:`engine` = 引擎准备期名字审计铸 `config.legacy_tool_name`
+     * (表经带名单投影的策略到达引擎:请求体 `settings.permissions.deny` / `ask`);`server` = 本服务读这张表的那一处落一行日志(运维 `APPROVAL_REQUIRE` /
+     * `DENY` / `NEVER_AUTO` 起服、中心 `governance.approvalRequire` 落配)。**在场才不拒**:不拒必须配恰一句话;缺席 = 这张表没有通告席(请求体
+     * `settings.permissions.neverAuto`:引擎不读这张表,它编成的策略不带名单投影)⇒ 照拒;放行那一天由本服务铸通告(引擎导出「条目 + 句」源之后),那时加第三个席位词。
+     */
+    readonly noticeSeat?: "engine" | "server";
 };
 /**
  * 「这张表里有永远不会生效的条目」的**判据与拒因句,同一只函数**(返回 `undefined` = 通过;拒 ⇒ 句子 + 被点名的条目)。
@@ -401,6 +419,47 @@ export declare function approvalGrantRefusal(names: unknown): string | undefined
 /** [ref] 车2 —— sweep 节律的上界(秒)。`setInterval` 的 delay 是 32 位有符号毫秒(2^31-1);越界会被
  *  Node **重置成 1ms**,理由与拒启判据见调用点。导出供判据与文档单点引用。 */
 export declare const RETENTION_SWEEP_INTERVAL_MAX_SEC: number;
+/** 域:orchestration(编排 + 执行车道)—— remoteExec 五车道/worktree 隔离、leader/router/scheduler/fork、
+ *  workflow 与后台 agent 的存留旋钮、沙箱面(pkg 源/env facts/LSP)、烤镜像门。 */
+/**
+ * 「按静默判死」的地板 = 引擎写者心跳(60 s)的十倍 —— 引擎给两只按静默收割的同一句参考:耐久行的 stale-running 翻转窗(`BG_AGENT_STALE_RUNNING_MS` 的硬钳)
+ * 与会话驻留后台子代理的停滞收割窗(`BG_AGENT_STALL_MS` 派生值的地板)。一句参考一个数。
+ */
+export declare const BG_AGENT_SILENCE_FLOOR_MS: number;
+/**
+ * `BG_AGENT_STALL_MS`(会话驻留后台子代理的停滞收割窗)的**缺省,同时是下限** —— 唯一计算处(装配读它当缺省与钳位,目录行的派生说明写它的公式,钉断言它)。
+ *
+ * 引擎按**工具活动**判静默(子代一次工具开始 / 结束算一拍),两拍之间可以合法地静默多久 = 一步:一轮模型输出,接一次工具调用(先在门上等人,再执行)。
+ * 本部署说得出上限的两段:
+ *  · 等人:四个等人窗取大 —— 活审批卡窗(`STREAM_ASK_WINDOW_MS`,单用户 posture 缺省 24 h)、没人在场时铸的审批卡窗(`UNREACHED_ASK_TTL_MS`)、
+ *    `AskUserQuestion` 窗(`QUESTION_TTL_MS`)、MCP elicitation 窗(`MCP_ELICITATION_TTL_MS`)。子代在这些窗里等人时行是 `running`(只有窗满之后的
+ *    耐久停驻才转 `parked`),窗不取大就会把一只等你回来批的子代当僵尸收掉。四个窗不按「这一门开没开」挑 —— 「开没开」的判在各门自己的装配点,
+ *    这里再判一次就是第二个读者;没开的门的窗只会让下限偏大(方向 = 多等),要收紧就调小那个窗(门没开时它本来就不起作用)。
+ *  · 执行:引擎给单条命令的上限(`resolveBashTimeoutCaps().maxMs`,引擎读法的唯一出口,缺省 600 s)。
+ * 不进派生的三类(这只窗的误杀面,补偿是把旋钮拉大):
+ *  · MCP 调用:引擎的时限缺省 1e8 ms(约 27.8 h,引擎刻意取大、交给任务级预算管;进程 env `MCP_TOOL_TIMEOUT` / `MCP_TOOL_TIMEOUT_TOTAL`),
+ *    读法不在引擎包根导出 —— 本服务另读那两个 env、另抄那个常数就是第二个读者;调用中的进度通知也不给本行打拍;
+ *  · 前台嵌套委派:子委派里的工具活动与等人都不给本行打拍(引擎只认带本行派生调用号的工具开始 / 结束),整段委派对本行是一次静默;
+ *  · 一轮模型输出的总时长(流式文本不打拍)。
+ * 另:引擎按墙钟(`Date.now()`)记最后一拍、也按墙钟量静默 —— 墙钟前跳或整机睡眠超过窗,醒来的第一读就会收掉睡前那一拍之后再没打拍的行。
+ * 地板 {@link BG_AGENT_SILENCE_FLOOR_MS}:两段都被调到很小时窗也不低于引擎的参考值。
+ */
+export declare function backgroundAgentStallFloorMs(f: {
+    readonly streamApproval: {
+        readonly windowMs: number;
+        readonly unreachedTtlMs: number;
+    };
+    /** 缺席 = 问答协调器的出厂窗(与协调器构造时的回落同一个常量)。 */
+    readonly questionThrottle?: {
+        readonly ttlMs: number;
+    } | undefined;
+    readonly mcpElicitation: {
+        readonly throttle: {
+            readonly ttlMs: number;
+        };
+    };
+    readonly commandCeilingMs: number;
+}): number;
 /** 域:limits+http(限额与 HTTP 面)—— 端口、附件/工作区体积与 TTL、成本与速率天花板、排空窗、回收周期。 */
 /**
  * [ref]:limitsHttp 组里**有下限**的三个数值旋钮的下限值 —— env 腿(夹取+点名)与 center 热腿(整批拒)
@@ -461,7 +520,11 @@ export declare const CONFIG_GROUP_KEYS: {
  *
  *  `loadConfig` 是主调用点;测试夹具(test/helpers/make-config.ts)构造 `ServiceConfigFlat` 后同样过它。 */
 export declare function attachConfigGroups(flat: ServiceConfigFlat): ServiceConfig;
-export declare function loadConfig(): ServiceConfig;
+/**
+ * env → **raw** 配置({@link LoadedConfig}):执行车道可以缺席(env 没有点名)。只有执行车道合成步(`composeExecutionLane`)把它收成
+ * {@link ServiceConfig} —— 车道必须来自显式声明(文件 / env / 入口程序自身),否则拒启;合成之前没有读者读车道。
+ */
+export declare function loadConfig(): LoadedConfig;
 /** 有效监听绑址([ref])。**显式 `BIND_HOST`/`HOST` 恒生效**(operator 保留在任何形下明示暴露的
  *  权利);未显式时:**无鉴权写面 ⇒ 127.0.0.1**,其余 ⇒ undefined(Node 默认全接口,既有部署零影响)。
  *
@@ -502,11 +565,16 @@ export declare function parseCapEnv(name: string, raw: string | undefined): {
  * 这里**不改解析**(让配置根跟着 `LOCAL_DATA_ROOT` 走,会让现有部署的 config.d 当场失踪 —— 代价比
  * 分家本身大得多)。只回一个「分家了,两个根分别是什么」的事实,由 boot 期打告警,合一旋钮 = `CONFIG_LOCAL_DIR`。
  *
- * @returns 分家时回两个根;一致(或已被 CONFIG_LOCAL_DIR/AGENT_DATA_DIR 统一)时回 undefined。
+ * 判的是「**一声不响**的分家」,不是「两个根不同」:合一旋钮一旦给出就是运维表过的态 —— `CONFIG_LOCAL_DIR`
+ * 等于数据根 = 合一,不等 = 有意分家,两者都不报。只有配置根是**推导**来的(`AGENT_DATA_DIR` / 家目录缺省)
+ * 且 ≠ 数据根,才可能是没人表过态的分家 ⇒ 报。
+ *
+ * @returns 一声不响的分家时回两个根;一致、或 `CONFIG_LOCAL_DIR` 显式在场(等 = 合一,不等 = 有意分家)时回 undefined。
  */
 export declare function splitLocalRoots(a: {
     /** optional:类型上可缺席(config-types 里是 `localDataRoot?`)——缺席时无从比较,判为不分家。 */
     localDataRoot: string | undefined;
+    /** `CONFIG_LOCAL_DIR`(`loadConfig` 已把空串归为缺席):在场 ⇒ 运维用合一旋钮表过态,本函数不再判。 */
     configLocalDir: string | undefined;
     agentDataDir: string | undefined;
     home: string;