@sema-agent/server 7.148.0 → 7.149.0

package/dist/plugins/local-session-store.d.ts

@@ -10,11 +10,69 @@ import { type Logger } from "../observability/logger.js";
 import type { SessionOccupant } from "../session-erase.js";
 import { type RegisterReceipt, type SessionBirth, type SessionFace, type WithdrawOutcome } from "../session-incarnation.js";
 import type { SessionDeletionFace } from "../session-deletion.js";
+import { type ExecutionLane } from "../execution-lane-caps.js";
 import { type ExecutionPlacementSeat, type LocalPlacementBackfillSeat } from "../execution-placement.js";
 import { type ForkPlacement, type ForkTarget, type ForkToOutcome } from "./session-fork.js";
 import { type InstructionSourceBaseline } from "../instruction-source-notice.js";
 import type { SessionWorkspace } from "../session-workspace.js";
 import { type StagedCommitOptions, type StagingHandle, type SyncRelation } from "../session-sync-kernel.js";
+/**
+ * 本店执行格的形(会话元数据那一格的 `execution` 位;规则在 `src/execution-placement.ts`):`writer(L)` | `mirror`;缺 = absent。
+ * local 车道没有 device 表 ⇒ 不设任何设备位(writer 只带车道)。`forking` 不是存下的值,是「fork 创建的格({@link isForkCreatedCell})而存档不在」的读法。
+ */
+type LocalExecutionCell = {
+    readonly role: "writer";
+    readonly lane: ExecutionLane;
+} | {
+    readonly role: "mirror";
+};
+/** 对象形一格(六位;`owner` 键缺 = 属主从没被记下,与 `owner: null` = 记下无主不同义)。 */
+interface SessionMetaCellObject {
+    readonly incarnation: string;
+    readonly owner?: string | null;
+    readonly execution?: LocalExecutionCell;
+    readonly forkKey?: string;
+    /** 行的建档时刻(ISO;SQL `session_meta.created_at` 的对位)。每个铸行点同一笔写下;缺 = 补铸的格(没有事实可写),或一次性迁移 M33 之前写下、还没回填的格。 */
+    readonly createdAt?: string;
+    /** fork 谱系:建这一行的那次 fork 的源会话 id(只由 fork 创建点写)。缺 = 这一行不是 fork 建的。 */
+    readonly forkedFrom?: string;
+    /**
+     * fork 谱系的住客那一半:源行在 fork 那一刻的住客令牌(这只边档那一格的令牌体系 —— 与 SQL 孪生 `session_meta.forked_from_incarnation` 同义),与 `forkedFrom` 同一笔、
+     * 只由 fork 创建点写(core `forkRowCells` 铸)。缺 = 不是 fork 建的,或这一位落地之前建的 fork / 源那一刻没有格(来源住客未知,不回填)。
+     */
+    readonly forkedFromIncarnation?: string;
+    /**
+     * 「删除中」(删一行的唯一删序的第一笔,{@link LocalSessionStore.dropRowHeld} 的 s0):在 = 删除已经开始、还没收完 —— 这一行对每个读者都不在(读者律),每一节会话写锁先把它收完(写者律),
+     * 起服扫一遍逐只收尾。只有删序写它、只有删序的收尾删它;别的写者撞上带它的格 = 不变量破,响亮抛。缺 = 活行。
+     */
+    readonly dropping?: true;
+    /**
+     * 「在删」(会话三态 活 → 在删 → 没了 的中间一态,律在 `src/session-deletion.ts`):值 = 立了围栏的那一次删除的**令牌**。在 = 一次删除已经在这只会话的写锁里判过
+     * 「没有认领、属主是调用方」,还没删完 —— 删除门之外的一切读者与写者读作「行不在」(读者律同 `dropping`),写者撞上它不写(登记 = 已存在;其余写者响亮抛);
+     * 只有删除面写它:围栏写、接管换写,终刀的删序随这一格一起删。与 `dropping` 两件事:`dropping` = 这一行的字节正在删(店内删序 s0),`deleting` = 这只会话正被一次删除独占。
+     * 缺 = 不在删。
+     */
+    readonly deleting?: string;
+    /**
+     * 客户端写计数(提交出口的撤回判据,`session-birth.ts`;SQL 孪生 `session_ext.client_writes`):客户端可见会话态的四个写者(行格写 / 导入 / 会话规则 / 附件绑定)
+     * 在这只会话的写锁里、自己的写之前 +1。**在场即版本位** —— 本版的登记新行臂铸格时写 `0`(「生在计数协议之下」);缺 = 本版之前铸的格(或不经登记铸的格),
+     * 撤回对它一律答「留」(`upgrade_pending`)。不需要一次性升级:撤回的候选只可能是本版登记新铸的格(化身比对,`session-birth.ts`),缺这一位的格永远不是候选。
+     */
+    readonly clientWrites?: number;
+}
+/**
+ * 会话元数据边档(`session-incarnations.json`)的一格 —— SQL 孪生 `session_meta` 行在本店的对位(同一行 ⇒ 同一格、同一次落盘):属主 / 化身 / 执行放置 / `fork_key` /
+ * 建档时刻 / fork 谱系。**本店读的每一样行事实只住在这里**(规则一,见 {@link LocalSessionStore} 的 `rowMetadataOf` 注):引擎仓里的存档是匿名内容仓,存档头上的属主、
+ * 建档时刻、谱系本店都不读。两形:
+ *  · 对象 `{ incarnation, owner?, execution?, forkKey?, createdAt?, forkedFrom?, forkedFromIncarnation? }` —— `owner` 键在 = 属主**记下了**(`owner: null` = 登记为无主的会话,与 SQL 列上的 NULL 同义);
+ *    `owner` 键缺 = 属主**从没被记下**(与裸串同义);`execution` 缺 = absent;`forkKey` = 建这一格的那次 fork 请求的键(只由 fork 创建点写);`createdAt` / `forkedFrom` / `forkedFromIncarnation` 见上。
+ *  · 裸串(只有化身)—— **只读旧形,不再新写**:7.118.x 及更早只往这只边档里写化身(属主那时只活在进程内存里),那些格原样留在盘上;读作「属主从没被记下」、
+ *    登记不认领它({@link LocalSessionStore.register} 只补化身;7.119.0–7.147.x 的升级窗内曾由一次性迁移 M10 让带 principal 的登记认领,窗关、认领臂删)。本店补铸 / 只补化身时写对象形 `{ incarnation }`(同义)。
+ * **每个写者只改自己那一位**、其余照 `before` 带过({@link cellWith} / {@link cellObjectOf}):执行位的写永不写 `owner` 键 ⇒ 遗留格回填执行位后仍是「未记」(读作无主);
+ * 推送 / 换装改属主与执行位,建档时刻与谱系照带。
+ * 文件名是 7.104.0 起就在盘上的那一只(当时只装化身)—— 它是持久面,换名要一次搬家迁移,而里面装的仍是同一张「会话元数据」表。
+ */
+type SessionMetaCell = string | SessionMetaCellObject;
 /**
  * 对象形一格的形(本店是它唯一的写者,形属主就在这里):不收别的键 —— 一只不认得某一位的读者(回滚到的上一版)对带着那一位的格整只严格拒,
  * 而不是把它读丢(边档是严格读,见 `SidecarMap.strict`)。
@@ -38,7 +96,7 @@ export declare const SESSION_META_CELL_OBJECT: z.ZodObject<{
 }, z.core.$strict>;
 /**
  * 数据根对账里一只文件的读数(拒句的逐文件一段;{@link LocalDataRootSchemaMismatchError.findings}):严格边档清册里的一只边档,或引擎版本高水位 marker
- * (`local-engine-high-water.ts`),或跳过了必经一次性迁移的会话存档目录({@link holdArchiveTokenAdoptionDuty})。**判别联合**,判别位 `problem`:
+ * (`local-engine-high-water.ts`),或跳过了必经一次性迁移的会话存档目录({@link judgeArchiveTokenAdoptionDuty})。**判别联合**,判别位 `problem`:
  * `"newer-engine"` ⇒ {@link LocalDataRootNewerEngine}(必带 `engineHighWater`);`"skipped-required-migration"` ⇒ {@link LocalDataRootSkippedMigration}(必带 `skippedMigration`);
  * 别的每一个词 ⇒ {@link LocalDataRootUnreadable}(两样都没有)—— 载荷跟着判别位走,由类型保证,不靠运行时约定。
  */
@@ -73,34 +131,44 @@ export interface LocalDataRootNewerEngine {
     };
 }
 /**
- * 数据根跳过了一条**必经**的一次性迁移(本构建已不带它),而根里还留着那条迁移要处理的形(今天一条:会话存档在、会话元数据格缺 —— 存档头上的住客令牌没被收进行,
- * {@link holdArchiveTokenAdoptionDuty})。两种来历,由 `skippedMigration` 的两格推出(不另带位):`highWater` 为 `null` 或早于 `requiredSince` ⇒ 带那条迁移的版本从没打开过这只根;
- * 不早于 `requiredSince` ⇒ 带它的版本打开过、没收完(数据根里的收令牌欠账标记还在)—— 出路要一个**不低于 `highWater`**、仍带它的版本(更低的会被高水位拒在门外)。
+ * 数据根跳过了一条**必经**的一次性迁移(本构建已不带它),而根里还留着那条迁移要处理的形 —— 哪一形由 `skippedMigration.residue` 说(判别联合,闭集):
+ *  · `archives-without-cell` —— 会话存档在、会话元数据格缺:存档头上的住客令牌没被收进行({@link judgeArchiveTokenAdoptionDuty})。两种来历由两格推出(不另带位):
+ *    `highWater` 为 `null` 或早于 `requiredSince` ⇒ 带那条迁移的版本从没打开过这只根;不早于 ⇒ 带它的版本打开过、没收完(收令牌欠账标记还在);
+ *  · `pre-cutoff-skill-exemptions` —— 会话豁免日志里有首次放行早于 `Skill` 豁免截点(或截点缺席)的 `Skill` 行(`approval-exemption-skill-cutoff.ts`,数据根准入判);
+ *    `cutoff` = 截点(`null` = 根里没有截点文件:落截点的版本从没完整打开过这只根)。
+ * 出路一律要一个**不低于 `requiredSince` 与 `highWater` 两者**、仍带那条迁移的版本完整起一次(更低的会被高水位拒在门外)。
  */
 export interface LocalDataRootSkippedMigration {
-    /** 那一形住的目录(会话存档目录)的绝对路径。 */
+    /** 那一形住的目录(会话存档目录 / 会话豁免日志目录)的绝对路径。 */
     readonly path: string;
-    /** 角色(`sessions (the local session archives)`)。 */
+    /** 角色(`sessions (the local session archives)` / `approval-exemptions (the local session approval exemptions)`)。 */
     readonly label: string;
     readonly problem: "skipped-required-migration";
     readonly unknownFields: readonly [];
     /**
      * `highWater` = 这只根记的引擎高水位(纯 `x.y.z`;`null` = 没有 marker:只被不记高水位的引擎打开过 —— 7.148.0 之前的 run-local、7.144.0 之前的服务);
      * `requiredSince` = 那条迁移的引入版本(根必须被它或更新、且仍带它的版本完整起过一次);`sessions` = 那一形的会话数。
-     * `highWater` 不早于 `requiredSince` ⇒ 「打开过、没收完」那一支(见类型头注;出路版本不低于 `highWater`)。
      */
     readonly skippedMigration: {
+        readonly residue: "archives-without-cell";
         readonly highWater: string | null;
         readonly requiredSince: string;
         readonly sessions: number;
+    } | {
+        readonly residue: "pre-cutoff-skill-exemptions";
+        readonly highWater: string | null;
+        readonly requiredSince: string;
+        readonly sessions: number;
+        readonly cutoff: string | null;
     };
 }
 /**
  * **local 数据根的「本构建读不出」拒**(起服对账一族的 local 腿;机读码与 SQL 列册对账同一个 `config.schema_mismatch`,拒句同形)。
  * 一只严格边档用它那一只严格读者读不出 ⇒ 这一只拒,文件原地不动、一个字节不改。两处触发、一只类:
- *  · `boot` —— 两处拒启:local 后端**打开数据根的那一刻**(锁在手之后、本仓任何一只店建起之前;`store-backend.ts` 的 `openLocalBackend`)引擎版本高水位 marker 读不出 / 高于本构建
- *    (`local-engine-high-water.ts`,读数种别 `newer-engine` 或读不出的那几种;同一判词「数据根比代码新」的第二种证据 —— 这一拒由公开序列的 `ensureSchema()` 交出);
- *    起服对账(`LocalBackend.ensureSchema()`)里严格边档清册读不出的每一只合成一只({@link LocalSessionStore.assertStrictSidecarsReadable});
+ *  · `boot` —— **只由数据根准入铸**(`local-data-root-admission.ts` 的 `admitLocalDataRoot`:只读,本进程对这只根第一笔写之前 ⇒ 拒句说「数据根一个字节没动」处处成立):
+ *    引擎版本高水位 marker 读不出 / 高于本构建(`local-engine-high-water.ts`,读数种别 `newer-engine` 或读不出的那几种;同一判词「数据根比代码新」的第二种证据)、
+ *    严格边档清册读不出的每一只合成一只({@link judgeStrictSidecars})、跳版拒启臂({@link judgeArchiveTokenAdoptionDuty},读数种别 `skipped-required-migration`);
+ *    公开序列上由 `ensureSchema()` 交出(`createStoreBackend()` 的 local 腿当场取准入,拒 ⇒ 交回一只没取锁的拒后端);
  *  · `serving` —— 起服之后这只边档第一次被碰时才读不出(嵌入方跳过了 `ensureSchema()`;或起服后别的写者把它写成本构建读不出的形,在替换之前那一读里看见):
  *    读不出的是**形**(`not-json` / `malformed`,确定的判词)⇒ 这只边档在本进程里从此每一读每一写都交这一只(重启才重判);碰它的请求失败(把它交给 HTTP 全局兜底的路由:
  *    500 `internal.error` + 一行 error 级 `request_error` 带本码;自己接住故障的路由按各自的 500 臂答)。I/O 故障(非确定)不粘。
@@ -118,33 +186,56 @@ export declare class LocalDataRootSchemaMismatchError extends StoreBootRefusalEr
  * 登记表 M47 行的 `introducedIn` 与它逐字相同(`test/local-root-one-row-store.test.ts` 钉);M47 删码之后行不在了,臂照读这里。
  */
 export declare const ARCHIVE_TOKEN_ADOPTION_SINCE = "7.148.0";
-/** 本构建带不带那条迁移:登记表里有没有 M47 行(行随码同删 —— 删码那一版起臂恒判、窗内补铸只新铸)。 */
-export declare function archiveTokenAdoptionCarried(): boolean;
 /**
- * 数据根里「存档在而会话元数据格缺」的会话 id(同步一读;读者两位 —— 常驻臂 {@link holdArchiveTokenAdoptionDuty}(在数据根打开的同步段里跑,店还没建、不许写)
- * 与收令牌的证明(`LocalSessionStore.adoptArchiveTokensM47` 的尾部:收齐 = 用常驻臂自己这一只读法读到的,只剩迁移收取范围之外的那几类)。
- * 存档 = 存档目录 `<root>/sessions/` 里的 `<id>.jsonl`(引擎文件仓的命名 —— 本店的存档目录屏障 `syncArchiveDirectory` 读同一个目录名);格 = 会话元数据边档的键(活格与标记格都算有格)。
- * **只会多、不会少**:委派分区的 placed 存档、会话头读不出的存档也算(它们不在列表面上,一次性迁移 M47 不收它们)—— 臂因此在少数根上多拒一次,出路相同、零写;证明按迁移的范围把这两类剔掉。
- * 边档读不出 ⇒ {@link LocalDataRootSchemaMismatchError}(`boot`;与起服严格对账同一判、同一拒);存档目录不在 ⇒ 空;目录读故障原样抛(判不了 ⇒ 不放行)。
+ * 欠账标记在不在(`lstat`:目录里有这一项就算在 —— 悬空符号链接也是在;`ENOENT` = 不在;别的故障原样抛 = 判不了 ⇒ 调用方不放行)。只读在场,不读内容。
+ * 读者两位:常驻臂({@link judgeArchiveTokenAdoptionDuty},不带迁移的构建)与迁移的尾部(`LocalSessionStore.adoptArchiveTokensM47`:在 ⇒ 这一次起服是欠账起服)。
  */
-export declare function archiveIdsWithoutCellSync(root: string): string[];
+export declare function archiveTokenAdoptionPendingPresent(root: string): boolean;
+/** 数据根存档目录里的会话 id(同步一读,只读目录项、不读存档):存档目录不在 ⇒ 空;目录读故障原样抛(判不了 ⇒ 不放行)。三位读者读同一只布局:记账、常驻臂与收令牌的证明。 */
+export declare function archiveIdsInSync(root: string): string[];
+/** 严格边档的同步一读的读数(数据根准入与 M47 收尾证明共用;读不出 ⇒ 一段读数,由调用方决定拒形)。 */
+type StrictSidecarReading<V> = {
+    readonly state: "absent";
+} | {
+    readonly state: "read";
+    readonly entries: Record<string, V>;
+} | {
+    readonly state: "unreadable";
+    readonly finding: LocalDataRootMismatch;
+};
+/** 严格边档清册的字节(按清册次序;同步一读,零写)—— 数据根准入的观察读它,锁内的「没动」核对读同一只。 */
+export declare function readStrictSidecarTextsSync(root: string): readonly DataRootFileText[];
+/** 会话元数据边档的严格同步一读(清册里那一只;在窗的 M40 改名在内存里先套)—— M47 收尾的证明读盘上此刻那一份。 */
+export declare function readSessionMetaCellsSync(root: string): StrictSidecarReading<SessionMetaCell>;
 /**
- * **判或记收令牌欠账**(无窗;唯一调用点 = `store-backend.ts` 的 `openLocalBackend`,经引擎版本高水位的判前钩 —— 数据根锁在手、高水位判过、**抬之前**、本仓任何一只店建起之前)。
- * 两件事、两只事实:「谁可能写过这只根」归引擎高水位(判过即抬,本函数不动它);「这只根还欠不欠那条迁移」归欠账标记({@link ARCHIVE_TOKEN_ADOPTION_PENDING_FILE})。
- * 「欠账开着吗」只在这一处判 —— 带迁移的构建记、不带迁移的构建拒:
- *  · **带迁移**(`adoptionCarried`,{@link archiveTokenAdoptionCarried})⇒ **记账**:打开之前的高水位早于 {@link ARCHIVE_TOKEN_ADOPTION_SINCE} 或缺席(带那条迁移的版本从没打开过这只根)
- *    ∧ 存档目录里至少一只存档 ⇒ 原子写欠账标记(`required`;已在也重写)。只读目录、不读会话元数据边档:严格读者不认一次性迁移 M40 的旧车道词(M40 在起服对账里才改名),
- *    在打开这一刻用它会把一只 M40 马上就能修好的根拒掉;多记无害(根里都有格 ⇒ 迁移当次即销)。标记先于高水位落盘 ⇒ 「抬了而没记账」的窗不存在。目录读故障 ⇒ 抛(抬之前拒、零写)。
- *    销账在迁移的尾部:`required` 提交 → 用 {@link archiveIdsWithoutCellSync} 证明收齐 → 删标记(任何一步失败标记留着)。
- *  · **不带迁移** ⇒ **常驻臂**:(① 打开之前的高水位早于引入版本或缺席 ∨ ② 欠账标记在)∧ 根里有存档在而格缺的会话({@link archiveIdsWithoutCellSync})⇒
+ * **数据根准入的严格边档一格**(纯;唯一调用点 = `local-data-root-admission.ts` 的 `admitLocalDataRoot`,判的是准入那一次观察里的字节 `texts`,按清册次序):
+ * 读不出的合成**一只** {@link LocalDataRootSchemaMismatchError}(`boot` 形,逐文件一段)⇒ 拒。缺席 = 还没有,不是读不出(交空表)。
+ * 7.148.0 及以前这一问在 `LocalBackend.ensureSchema()` 里(店构造、抬高水位、M40 写之后);搬到准入里,被拒的起服才真的零写。
+ * 交回会话元数据的格(准入的跳版臂按它数「存档在而格缺」)。
+ */
+export declare function judgeStrictSidecars(root: string, texts: readonly DataRootFileText[]): Readonly<Record<string, SessionMetaCell>>;
+/** 跳版臂的动作(准入算、锁内做):`record` = 带 M47 的构建要在抬之前记欠账;`discharge` = 欠账标记在而无事可收,抬之前销账;`none` = 不写。 */
+export type ArchiveTokenAdoptionDutyAction = "none" | "record" | "discharge";
+/**
+ * **判收令牌欠账**(纯,无窗;唯一调用点 = 数据根准入 `admitLocalDataRoot`,判的是准入那一次观察里的存档 id、欠账标记在不在与会话元数据的格)。
+ * 两件事、两只事实:「谁可能写过这只根」归引擎高水位(本函数只读它的读数);「这只根还欠不欠那条迁移」归欠账标记({@link ARCHIVE_TOKEN_ADOPTION_PENDING_FILE})。
+ * 「欠账开着吗」只在这一处判 —— 带迁移的构建算出要记、不带迁移的构建拒:
+ *  · **带迁移**(`adoptionCarried` = 登记表 `migrationCarried("M47")`:行随码同删 —— 删码那一版起臂恒判)⇒ 打开之前的高水位早于 {@link ARCHIVE_TOKEN_ADOPTION_SINCE} 或缺席(带那条迁移的版本从没打开过这只根)
+ *    ∧ 存档目录里至少一只存档 ⇒ `record`(锁内、抬之前由 {@link settleArchiveTokenAdoptionDuty} 原子写欠账标记)。只读目录、不读会话元数据边档(那一读归准入的严格边档一格)。
+ *    销账在迁移的尾部:`required` 提交 → 用常驻臂的同一只读法证明收齐 → 删标记(任何一步失败标记留着)。
+ *  · **不带迁移** ⇒ **常驻臂**:(① 打开之前的高水位早于引入版本或缺席 ∨ ② 欠账标记在)∧ 根里有存档在而格缺的会话(`cells` = 准入那一读的会话元数据格)⇒
  *    {@link LocalDataRootSchemaMismatchError}(`boot`,读数种别 `skipped-required-migration`;② 那一支的拒句点名「打开过它的那一版带这条迁移但没收完」与「不低于已记高水位」的出路)。
- *    拒 ⇒ 高水位不抬、不改既有文件的字节(判拒发生在钥匙对与空账本已落、店尚未开之后;下一版改为判拒先于任何写) ⇒ 拒句点名的那一版(带那条迁移、不比已记高水位旧)仍开得了这只根(抬过之后它会被「数据根比本构建新」拒在门外,出路就断了)。
- *    ① ② 都假 ⇒ 带那条迁移的版本收齐过这只根,此后的无格存档只可能是建档与写格之间的崩溃留下的(头令牌从没交出过,补铸无害)。
- *    标记在而无格存档为零(收齐之后、销账之前停了)⇒ 无事可收 = 欠账已清:**销账**(删标记、落盘)后放行 —— 在抬之前:否则本构建抬过窗内版本之后,一只崩溃生的无格存档就让这只根被拒,
- *    而出路要的「不低于已记高水位、仍带那条迁移」的版本不存在。
- * 判拒零写(本仓):记账在本模块的判(高水位读不出 / 高于本构建)之后;不带迁移的构建拒时一个字节不写,放行时只可能删一只已清的欠账标记。
+ *    拒在准入里 ⇒ 数据根零写、高水位不抬 ⇒ 拒句点名的那一版(带那条迁移、不比已记高水位旧)仍开得了这只根。① ② 都假 ⇒ 带那条迁移的版本收齐过这只根,此后的无格存档只可能是
+ *    建档与写格之间的崩溃留下的(头令牌从没交出过,补铸无害)。标记在而无格存档为零(收齐之后、销账之前停了)⇒ `discharge`(锁内、抬之前删):留着它,高水位抬过窗内版本之后
+ *    一只崩溃生的无格存档就让这只根被拒,而出路要的「不低于已记高水位、仍带那条迁移」的版本不存在。
  */
-export declare function holdArchiveTokenAdoptionDuty(root: string, priorHighWater: ReleaseTriple | undefined, adoptionCarried: boolean): void;
+export declare function judgeArchiveTokenAdoptionDuty(root: string, priorHighWater: ReleaseTriple | undefined, adoptionCarried: boolean, observed: {
+    readonly cells: Readonly<Record<string, unknown>>;
+    readonly archiveIds: readonly string[];
+    readonly adoptionPending: boolean;
+}): ArchiveTokenAdoptionDutyAction;
+/** **做收令牌欠账的动作**(锁内;准入的读数核过之后、抬高水位之前;唯一调用点 = 数据根准入的锁内一步)。`record` 写不进 ⇒ 抛(抬之前拒)。 */
+export declare function settleArchiveTokenAdoptionDuty(physicalRoot: string, priorHighWater: ReleaseTriple | undefined, action: ArchiveTokenAdoptionDutyAction): void;
 /** 数据根对账文件的一读的读数(两个出口同形)。 */
 export type DataRootFileText = {
     readonly state: "absent";
@@ -316,11 +407,6 @@ export declare class LocalSessionStore implements SessionStore, SessionRootRows
      * 盘上有会话而边档里没有它那一格 ⇒ 第一次读补铸一格只有化身的(属主没有事实可写)并落盘。严格读(读不出 ⇒ 整只拒,见 `SidecarMap.strict`)。
      */
     private readonly meta;
-    /**
-     * [ref] —— 本店的**严格边档清册**(今天一只:会话元数据)。唯一来源 = 构造里 `sidecar(…, strict)` 那一参:工厂造出严格读的边档时同一手登进来,
-     * 没有第二张手写名单。读者只有起服对账 {@link assertStrictSidecarsReadable}。
-     */
-    private readonly strictSidecars;
     /** 本店运维日志行(存档收尾未完成 `session_drop_unfinished`、令牌收养跳过 `archive_token_adoption_skipped`)的出口。 */
     private readonly log;
     /**
@@ -364,7 +450,7 @@ export declare class LocalSessionStore implements SessionStore, SessionRootRows
     } & LocalSessionStoreDeclaration & LocalSessionWithdrawDeclaration);
     /**
      * 🔴 一次性迁移 **M40 的 local 会话腿**(窗口见 `plugins/one-time-migrations.ts` 登记表 M40 行;唯一调用点 `LocalBackend.ensureSchema()` 的**第一步**,
-     * 排在 {@link assertStrictSidecarsReadable} 之前 —— 严格读的执行位只认本版车道词,旧词先到那里就整只拒启):会话元数据边档里 `execution` 位记成退役词的
+     * 先于任何读会话元数据的店步骤 —— 严格读的执行位只认本版车道词;数据根准入的那一读在内存里先套同一只内核 {@link renameRetiredExecutionLaneWordsInCellsM40},零写):会话元数据边档里 `execution` 位记成退役词的
      * writer 格改记新名,整只原子重写一次。只改那一个词,别的字节按 JSON 原样写回。字节经边档的唯一一读({@link readDataRootFileText})。
      * 缺文件 / 读不出(I/O 故障如 EACCES / EISDIR、坏 JSON、不是对象)⇒ 不抛、不改,交给其后的严格对账判 —— 它读同一只文件、以 `config.schema_mismatch`
      * 拒(那是这只拒码在本店的唯一铸点);这里抛了,拒码与具名拒都会丢。读得出而写不进 ⇒ {@link ExecutionLaneRenameWriteRefusedError}(拒启,降级臂不吞)。
@@ -373,12 +459,6 @@ export declare class LocalSessionStore implements SessionStore, SessionRootRows
     /** 一次性迁移 **M42 的 local 腿**(场景前缀的切换检查;窗口见 `plugins/one-time-migrations.ts` 登记表):会话元数据格里属主以保留前缀开头的会话数(严格边档那一读,零写)。 */
     scenarioPrefixOwnerRowsM42(): Promise<number>;
     renameRetiredExecutionLaneWordM40(): Promise<number>;
-    /**
-     * [ref] —— **起服对账的 local 腿**(SQL 列册对账的对位;唯一调用点 `LocalBackend.ensureSchema()`,排在 M33 快照消化之前 —— 消化会写会话元数据格):
-     * 严格边档清册里的每一只读一次盘(`SidecarMap.reconcile`:冷 ⇒ 载入那一读;已载入 ⇒ 重读只判);读不出的合成**一只** {@link LocalDataRootSchemaMismatchError}
-     * (`boot` 形,逐文件一段)⇒ 拒启,开始服务之前。每一只只会以那一只拒失败(严格读的拒臂把读不出的每一形都收成它);别的故障原样上抛(响亮,不归并)。内存部署(没有数据根)⇒ 零读。
-     */
-    assertStrictSidecarsReadable(): Promise<void>;
     /**
      * 这一格此刻是不是 `forking`(fork 创建的格 {@link isForkCreatedCell} ∧ 存档不在)。存档在不在只问 repo 的唯一探针 {@link probeArchive} 的「不在」—— **只问有没有**:存档在而用不了(会话头读不出 / 截断)
      * 是「在」,内容读不读得出归真正读内容的那一读(门之后、体之前读一次叶子,读不出 ⇒ `corrupt_session`)。所以带键的会话与不带键的会话在执行席上同形,坏档照样能被换装修好
@@ -531,7 +611,7 @@ export declare class LocalSessionStore implements SessionStore, SessionRootRows
      */
     headOf(sessionId: string): Promise<SessionHead | undefined>;
     /**
-     * **删除门的头读**(`OwnerAwareSessionStore.deletionHeadOf`;读者只有删除门 —— 路由的属主门):活行 ⇒ 与 {@link headOf} 同答;
+     * **「被占着」的头读**(`OwnerAwareSessionStore.deletionHeadOf`;读者:`DELETE /v1/sessions/:id` 的属主门 · 认领面 · 同步推送三口的门 —— 都问「这个 id 被占着吗」,经 `session-incarnation.ts` 的 `deletionHeadReadOf` 一只取法):活行 ⇒ 与 {@link headOf} 同答;
      * 在删格(一次删除独占着它)与标记格(删序停在 s0 之后)⇒ 那一格上的属主与住客(叶子 `null`:内容已在删)—— 开始删它的那位属主重发删除(= 接管)就收得完。
      * 别的读者一律读作不在(读者律);门对别的属主答「不在」的同一句,所以不可探测。SQL 孪生同交这一口(座的原始头读)。
      */
@@ -1064,9 +1144,14 @@ export declare class LocalSessionStore implements SessionStore, SessionRootRows
     /**
      * 一次性迁移 **M48 的 local 腿**(会话行半场;窗、删法与删后谁接住:窗口见 `plugins/one-time-migrations.ts` 登记表):属主恰为 cli 哨兵(`shell-sentinel-owner-m48.ts`)的
      * 会话元数据格改写成无主(`owner: null`),一次边档提交(落不了盘 ⇒ 响亮抛,不当已改)。带「删除中」位的格不碰(删序正在收它)。起服时调(`LocalBackend.runOneTimeMigrations`,
-     * 任何读者之前);数据根独占 ⇒ 没有混跑窗。幂等:写后不再有哨兵值 ⇒ 第二跑零命中、不落盘。
+     * 任何读者之前);数据根独占 ⇒ 没有混跑窗。幂等:写后不再有哨兵值 ⇒ 第二跑零命中、不落盘。命中的格由 {@link shellSentinelCellIdsM48} 说(与 {@link countShellSentinelOwnersM48} 同一只)。
      */
     clearShellSentinelOwnersM48(): Promise<number>;
+    /**
+     * 一次性迁移 **M48 的 local 腿**(有身份边界的部署:只数不写;窗、删法与删后谁接住:窗口见 `plugins/one-time-migrations.ts` 登记表):属主恰为 cli 哨兵的会话元数据格数 ——
+     * 命中判据与 {@link clearShellSentinelOwnersM48} 是同一只函数({@link shellSentinelCellIdsM48}),在写链上读同一份草稿(`change` 答 `false` ⇒ 不写、不重证)。
+     */
+    countShellSentinelOwnersM48(): Promise<number>;
     /**
      * 一次性迁移 M47 的 local 腿(`LocalBackend.ensureSchema` 调,紧随快照消化、先于整段 `runOneTimeMigrations` —— 迁移段里任何一步拒启也不再挡在它前面;起服、先于任何请求;窗内每次起服都跑,第二次起零命中):
      * 列表面行集({@link rowHeaders})里每一只**存档头读得出、会话元数据格缺**的会话 —— 主要来源是 7.148.0 之前的 run-local(它经引擎的文件仓直接建档、续跑,从不写格),
@@ -1075,9 +1160,9 @@ export declare class LocalSessionStore implements SessionStore, SessionRootRows
      * 为什么取头令牌:格缺 ⇒ 没有竞争的令牌;存档头那只是唯一交给过消费者的值 —— 7.148.0 之前 run-local 的记忆引擎按它落记录(采集 opt-out、污染标记),收进行之后两条入口照样绑;
      * 崩溃生的无格存档,头令牌从没交出过(交出在写格之后,{@link handOut}),取它也无害。本条是那条规则的急切版(窗内按 id 打开 / 登记 / 回填走同一只函数)。
      *
-     * **欠账起服**(数据根里有收令牌欠账标记 —— 带本条的构建打开这只根时它还欠,`holdArchiveTokenAdoptionDuty` 在抬高水位之前记下的)多两步,收齐才**销账**:
+     * **欠账起服**(数据根里有收令牌欠账标记 —— 带本条的构建打开这只根时它还欠,数据根准入算出、锁内在抬高水位之前由 `settleArchiveTokenAdoptionDuty` 记下的)多两步,收齐才**销账**:
      *  1. 边档提交用 `required`(有改动 ⇒ 写并证目录项;零改动 ⇒ 重证盘上那一份 —— 上一次可能正停在「落了、没证」;证不了 ⇒ 拒);
-     *  2. **证明收齐**({@link assertArchiveTokensAdoptedM47}):用常驻臂自己那一只读法(`archiveIdsWithoutCellSync`:失败即抛的目录读 + 盘上的严格边档读)再读一遍,
+     *  2. **证明收齐**({@link assertArchiveTokensAdoptedM47}):用常驻臂自己那一只读法(失败即抛的目录读 + 盘上的严格边档读 {@link readSessionMetaCellsSync})再读一遍,
      *     剩下的无格存档必须都在本条的收取范围之外(placed、存档头读不出)—— 引擎的列表在目录读失败时降级为空列表(列表面的成文降级),本条读到空列表会「什么都没收」,
      *     证明把它变成拒,在 M33 与任何请求之前;
      *  3. 删标记(落盘)。任何一步失败 ⇒ 拒启、标记留着,下一次窗内起服重来;窗关之后的构建见标记 ∧ 无格存档 ⇒ 拒(出路 = 不低于已记高水位、仍带本条的版本起一次)。
@@ -1085,7 +1170,7 @@ export declare class LocalSessionStore implements SessionStore, SessionRootRows
      */
     adoptArchiveTokensM47(): Promise<LocalArchiveTokenAdoption>;
     /**
-     * M47 欠账起服的**证明**(销账之前;拒 ⇒ 标记留着):盘上「存档在而格缺」的每一只(常驻臂的同一只读法 {@link archiveIdsWithoutCellSync}:目录读失败即抛)都必须在本条的收取范围之外
+     * M47 欠账起服的**证明**(销账之前;拒 ⇒ 标记留着):盘上「存档在而格缺」的每一只(常驻臂的同一只读法 {@link readSessionMetaCellsSync} + 存档目录读:目录读失败即抛)都必须在本条的收取范围之外
      * ({@link adoptionScopeOf});范围之内还剩 ⇒ `SessionError("storage")`(只点名只数)。
      */
     private assertArchiveTokensAdoptedM47;