@sema-agent/server 7.147.0 → 7.149.0

package/dist/card-void.d.ts

@@ -1,6 +1,7 @@
 /**
- * **结算时作废一张本 run 自己会话上的、本服务兑现不了的卡** —— 读卡 → 卡仍 pending ∧ 卡在调用方说的那只会话上 ⇒
- * 按卡**自己的** scope 走 checkpoint 店的 `expire`(与引擎的本进程仲裁器、续跑的 resolve 同一只 CAS,恰一个赢家)。不新增任何持久态。
+ * **结算时作废一张归本 run 会话的、本服务兑现不了的卡** —— 卡仍 pending ∧ 卡归调用方说的那只会话(归属列,`hostSessionOfCard`)⇒
+ * 按店里该卡的属主格走 checkpoint 店的 `expire`(全仓唯一的读法 {@link expireCardUnderStoredScope}:先读状态、再核归属、最后按属主列 CAS;与引擎的本进程仲裁器、续跑的 resolve 同一只 CAS,恰一个赢家)。
+ * 不新增任何持久态。
  *
  * 规则只有一条:**本服务兑现不了的卡不留在待决面上**。产地 = 停驻没落定就以失败收场的腿(`runs.ts` 的 `voidHeldParkCard`:后台腿与
  * 续跑腿):卡在本 run 的会话上,但兑现它的那条 run 已经 `failed`、认领已放 —— 卡的命运先于认领释放(调用方先调本动词、再放认领)。
@@ -8,21 +9,15 @@
  * `verifier-pause-card.ts`);那只动词只收验证器的卡,本 run 自己会话上的卡按引擎的读法仍走店级 `expire`。
  *
  * 不抛:作废没做成(店读 / 作废抛错、卡的会话对不上、没接店)⇒ 卡回到「留在待决面上、由审批兜底收割收走」的形,按产地登记的 tag
- * 响亮留痕(计数 + 探针行 + 一次 warn),结算照常往下走。卡已不 pending / 已不在 ⇒ 什么都不做(CAS 输给了别的结算者,结局相同)。
+ * 响亮留痕(计数 + 探针行 + 一次 warn),结算照常往下走。卡已不 pending / 已不在 ⇒ 什么都不做(别的结算者先收走了,结局相同;先于归属判,已结的卡不因归属对不上而报警)。
  * 店级 `expire` 只作废卡,不动引擎在停驻时给这只会话打的钉(钉在续跑终局 / 续跑失败臂放)。
  */
 import type { CheckpointToken } from "@sema-agent/core";
 import { type FailOpenTag } from "./observability/fail-open.js";
-/** 结算点手里那只 checkpoint 店的两个动词:读卡(取它自己的 scope / 会话 / 状态)→ 按卡自己的 scope CAS 作废。 */
-export interface CardVoidPort {
-    get(token: CheckpointToken): Promise<{
-        readonly scope?: string;
-        readonly sessionId?: string;
-        readonly status?: string;
-    } | null>;
-    expire(token: CheckpointToken, scope: string): Promise<boolean>;
-}
-/** 要作废的那一张:停驻带回的凭据 + 它应在的会话(对不上就不动它 —— 只作废**这一张**)。 */
+import { type CardHostPort, type CardSettlePort } from "./card-settle-stored-scope.js";
+/** 结算点手里那只 checkpoint 店的动词:读卡的状态、读它归在哪只会话上(归属列)、读它的属主格(属主列)→ 按那一格 CAS 作废。 */
+export type CardVoidPort = CardSettlePort & CardHostPort;
+/** 要作废的那一张:停驻带回的凭据 + 它应归的会话(本 run 的会话;对不上就不动它 —— 只作废**这一张**)。 */
 export interface CardRef {
     readonly token: CheckpointToken;
     readonly sessionId: string | undefined;

package/dist/card-void.js

@@ -1,5 +1,6 @@
 import { errorText } from "./observability/err-text.js";
 import { recordFailOpen } from "./observability/fail-open.js";
+import { CARD_EXPIRE_OUTCOME, expireCardUnderStoredScope } from "./card-settle-stored-scope.js";
 export async function voidPendingCard(card, cards, tag, at) {
     const miss = (reason, err) => recordFailOpen(tag, `reason=${reason}${at === undefined ? "" : ` ${at}`}${err === undefined ? "" : ` err=${err}`}`);
     if (cards === undefined) {
@@ -7,14 +8,8 @@ export async function voidPendingCard(card, cards, tag, at) {
         return;
     }
     try {
-        const live = await cards.get(card.token);
-        if (live === null || live.status !== "pending")
-            return;
-        if (card.sessionId === undefined || live.sessionId !== card.sessionId || typeof live.scope !== "string") {
+        if ((await expireCardUnderStoredScope(cards, card.token, { hostSession: card.sessionId })) === CARD_EXPIRE_OUTCOME.hostMismatch)
             miss("card_mismatch");
-            return;
-        }
-        await cards.expire(card.token, live.scope);
     }
     catch (e) {
         miss("store_error", errorText(e));

package/dist/center-credential-renewer.d.ts

@@ -38,8 +38,12 @@ export interface CenterCredentialRenewer {
     renewal(): CenterCredentialRenewal;
     /** 最近一次读到的信封的访问令牌到期时刻(epoch ms;最近一次取值不是信封 ⇒ undefined)。 */
     sessionExpiresAt(): number | undefined;
-    /** 退订 + 停定时器(幂等;在飞的那一次照常落地 —— 它的结果对壳同样有用)。 */
-    stop(): void;
+    /**
+     * 退订 + 停定时器(幂等),此后不再发起续签;返回的 promise 在**已经发出**的那一次续签落定之后才 settle(新信封落盘,或按失败落定 —— 从不 reject;
+     * 没有在飞的 ⇒ 立即 settle)。进程出口(起服前探针、停机)等它:中心一旦答应了续签,旧 refresh token 就作废了,换来的新信封没落盘就退出 ⇒
+     * 下一次起服手里只剩一只被消费的令牌。续签请求本身有界(`CENTER_PULL_TIMEOUT_MS`),所以这一等有界。
+     */
+    stop(): Promise<void>;
 }
 /** `/health.centerCredential` 的 wire 形(免鉴权面:只有闭集词、时刻与计数 —— 不带路径、不带 reason 原句、不带令牌)。 */
 export interface CenterCredentialHealthView {

package/dist/center-credential-renewer.js

@@ -5,6 +5,7 @@ import { WEB_ADMIN_ENV, WebAdminCredentialEnvelope, parseWebAdminCredentialFile
 import { ACCESS_TOKEN_TTL_SECONDS, OAuthErrorResponse, TokenGrantResponse } from "@sema-agent/settings-schema/api/auth";
 import { CENTER_PULL_TIMEOUT_MS, CenterRedirectRefusedError, centerTokenRefresh } from "./web-admin-client/center-request.js";
 import { OWNER_ONLY_FILE_MODE } from "./plugins/owner-only-file-mode.js";
+import { readUpstreamJson } from "./upstream-body.js";
 export const CENTER_CREDENTIAL_RENEW_LEAD_KEY = "CENTER_CREDENTIAL_RENEW_LEAD_MS";
 export const CENTER_CREDENTIAL_RENEW_LEAD_DEFAULT_MS = 5 * 60_000;
 export const CENTER_CREDENTIAL_RENEW_LEAD_MIN_MS = CENTER_PULL_TIMEOUT_MS;
@@ -92,6 +93,7 @@ export function createCenterCredentialRenewer(deps) {
     let subject;
     let held;
     let inFlight = false;
+    let current;
     let stopped = false;
     const stranded = new Set();
     let cleanupWarned = false;
@@ -291,13 +293,13 @@ export function createCenterCredentialRenewer(deps) {
             return;
         }
         if (res.status !== 200) {
-            const oauth = OAuthErrorResponse.safeParse(await res.json().catch(() => undefined));
+            const oauth = OAuthErrorResponse.safeParse(await readUpstreamJson(res).catch(() => undefined));
             const oauthError = oauth.success ? oauth.data.error : undefined;
             judgeRefusal(usedDigest, res.status === 400 && oauthError === "invalid_grant" ? "invalid_grant" : "rejected", { status: res.status, ...(oauthError !== undefined ? { oauthError } : {}) });
             return;
         }
         const issuedAt = now();
-        const grant = TokenGrantResponse.safeParse(await res.json().catch(() => undefined));
+        const grant = TokenGrantResponse.safeParse(await readUpstreamJson(res).catch(() => undefined));
         if (!grant.success || !Number.isFinite(grant.data.expires_in) || grant.data.expires_in <= 0) {
             judgeRefusal(usedDigest, "malformed_grant", { status: res.status });
             return;
@@ -324,7 +326,7 @@ export function createCenterCredentialRenewer(deps) {
         if (held === undefined && (expiresAt - t > leadMs || t < quietUntil))
             return;
         inFlight = true;
-        void renewOnce()
+        current = renewOnce()
             .catch((err) => {
             const error = { error: err instanceof Error ? err.message : String(err) };
             if (held !== undefined && subject !== undefined) {
@@ -336,6 +338,7 @@ export function createCenterCredentialRenewer(deps) {
         })
             .finally(() => {
             inFlight = false;
+            current = undefined;
         });
     };
     const unsubscribe = source.onRead((read) => {
@@ -358,6 +361,7 @@ export function createCenterCredentialRenewer(deps) {
             if (timer !== undefined)
                 clearInterval(timer);
             unsubscribe();
+            return current ?? Promise.resolve();
         },
     };
 }

package/dist/config-catalog.d.ts

@@ -8,6 +8,26 @@ export declare const CATALOG_TIMINGS: readonly ["hot", "restart", "deploy", "ine
 export type CatalogTiming = (typeof CATALOG_TIMINGS)[number];
 export declare const CATALOG_DANGER_AXES: readonly ["security", "billing", "data"];
 export type CatalogDangerAxis = (typeof CATALOG_DANGER_AXES)[number];
+/**
+ * url 型行「值里带凭据怎么办」的披露词(闭集;只在 `type: "url"` 的行上,其余行恒缺席):
+ *  · `refuse` —— 本部署**读这根键时**(它的车道 / 功能开着),值里带凭据(至少 userinfo;部分座位连凭据名参数一起判)⇒ 起服拒;
+ *  · `mask`   —— 配置层照收;任何回显都过 display-safe 尺(userinfo 落地)。凭据在传输层用不用得上是消费方的事(出网代理把 userinfo 译成认证头)。
+ * 🔴 列是**披露**,不是开关:判由各座位自己做(模型路由 / 中心基址 / 包源 / 设备入口 … 的判点,各自的拒句与码),本列不被任何判点读 —— 一只座位常有不止一道判
+ * (A2A 卡地址、设备入口都是),从某一只常量算出的词在多判座位上会说错。列与行为由 `test/config-catalog-credential-policy.test.ts` 逐行锁住:
+ * 每条 url 行都在它的座位消费它的形下各喂一个带凭据的值与一个对照值 —— 拒 ⟺ `refuse`。改了判却没改列(或反之)⇒ 那一格红。
+ */
+export declare const URL_CREDENTIAL_POLICIES: readonly ["refuse", "mask"];
+export type UrlCredentialPolicy = (typeof URL_CREDENTIAL_POLICIES)[number];
+/**
+ * secret 行的值**装着几枚凭据、按什么读出来**(闭集;只在 `type: "secret"` 的行上,其余行恒缺席)—— 本服务凭据的颗粒按本服务读这只变量的那一只解析器定:
+ *  · `whole`       —— 整值是一枚(令牌 / 口令 / 私钥 / 一只模型密钥;名单型旋钮的原文也按凭据类整值对待);
+ *  · `token-table` —— `tok=system` 逗号表,每个 `tok` 是一枚(`SERVICE_AUTH_TOKENS`;读法 = `auth-keys.ts` `parseServiceAuthTokens`,`loadConfig` 同读);
+ *  · `key-set`     —— `{kid,key,status}` JSON 数组,每个 `key` 是一枚(`APPROVAL_HMAC_KEYS`;读法 = `auth-keys.ts` `parseApprovalHmacKeys`,`loadConfig` 同读)。
+ * 读者只有一个:自有凭据声明的值臂(`server-secret-env.ts`)—— 整值总在内,列表形另把每一枚交给引擎 ⇒ 一枚令牌换了个变量名放着,与原变量同扣。
+ * 词加一个而读者不补 ⇒ 编译红(读者是穷举 switch);secret 行不写 ⇒ 编译红(`r()` 的 secret 重载要它)。不上 wire。
+ */
+export declare const SECRET_CREDENTIAL_FORMS: readonly ["whole", "token-table", "key-set"];
+export type SecretCredentialForm = (typeof SECRET_CREDENTIAL_FORMS)[number];
 /** 域 = 配置九组(类型锁步:组集变了这里跟着红)。 */
 export type CatalogDomain = keyof ServiceConfigGroups;
 export declare const CATALOG_RESTART_SLICES: readonly RestartSlice[];
@@ -49,7 +69,8 @@ export interface ConfigCatalogSpec {
      *
      * 🔴 **不上 wire**:消费方(UI 下拉、非法值的纠错提示)要的是「可写集」= `enumValues`,那一义不变;
      * 本字段服务的是服务端自己的回显纪律。一个词进得了 `enumValues` 却不在这里 ⇒ 它的语义恒是
-     * 「**缺席的另一种拼法**」(写下去与不写同效),那正是目前仅有的两行的形。
+     * 「**缺席的另一种拼法**」(写下去与不写同效)。今天只有 `MANUAL_MODE_SHELL_GATE` 一行是这一形(`MODEL_DEFAULT_THINKING` 的 `off`
+     * 自引擎 7.66.0 起是真档「缺省关」,回显得出它,那一行随之不再声明本字段)。
      */
     readonly echoWords?: readonly string[];
     /**
@@ -80,6 +101,10 @@ export interface ConfigCatalogSpec {
     /** 缺省 "deploy";retired/零消费键标 "inert"(设计稿 ⚪ 的 env 腿投影)。 */
     readonly envTiming?: "inert";
     readonly scope?: "bootstrap-only";
+    /** url 行的凭据处置披露({@link UrlCredentialPolicy});url 行必填(`r()` 的 url 重载要它,缺 ⇒ 编译红),其余行写不进来。 */
+    readonly credentialPolicy?: UrlCredentialPolicy;
+    /** secret 行的凭据颗粒({@link SecretCredentialForm});secret 行必填(`r()` 的 secret 重载要它,缺 ⇒ 编译红),其余行写不进来。 */
+    readonly credentialForm?: SecretCredentialForm;
 }
 export interface ConfigCatalogRowCenter {
     readonly domain: string;
@@ -128,6 +153,8 @@ export interface ConfigCatalogRow extends CatalogValueVerdicts {
     readonly centerPath?: string;
     readonly scope?: "bootstrap-only";
     readonly enumValues?: readonly string[];
+    /** url 行恒在场、其余行恒缺席({@link UrlCredentialPolicy})。 */
+    readonly credentialPolicy?: UrlCredentialPolicy;
 }
 /**
  * 只有 **boot 装配**才知道、`ServiceConfig` 上没有的**生效事实** —— 目录实算腿的第三参(车PI 修复轮 ④)。