@sema-agent/server 7.150.0 → 7.151.0

package/dist/plugins/memory-sync-store-pg.js

@@ -3,6 +3,7 @@ import { ensureIndexes } from "./ensure-index.js";
 import { pgSafeJsonStringify, pgProtocolJsonStringify } from "./pg-safe-json.js";
 import { assertMemoryScopeWidth } from "./memory-key-guards.js";
 import { decodeJsonColumn, decodeNullableJsonColumn, foldJsonColumn, jsonColumnText, readNonNullJsonValueColumn, readOpaqueJsonValueColumn, readStringRecordColumn, } from "./sql-json-column.js";
+import { sealStoreClass } from "./store-boundary.js";
 export const PG_MEMORY_SYNC_TABLES = {
     syncCursor: "agent_memory_engine_sync_cursor",
     syncPartition: "agent_memory_engine_sync_partition",
@@ -128,6 +129,9 @@ export class PgMemorySyncStore {
        WHERE id = $1`, [id, error, nextAttemptAtMs]);
     }
 }
+sealStoreClass(PgMemorySyncStore, "pg-memory-sync-store", {
+    partitionIncarnation: "exit", getCursor: "exit", putCursor: "exit", enqueue: "exit", claimDue: "exit", complete: "exit", fail: "exit",
+});
 export const MEMORY_HISTORY_INDEXES = [
     { table: `${PG_MEMORY_SYNC_TABLES.history}`, name: `idx_${PG_MEMORY_SYNC_TABLES.history}_scope`, columns: ["scope"] },
 ];
@@ -174,6 +178,7 @@ export class PgMemoryHistoryStore {
         return toMs(res.rows[0]?.n ?? 0);
     }
 }
+sealStoreClass(PgMemoryHistoryStore, "pg-memory-history-store", { appendHistory: "exit", historyOf: "exit", countByScope: "exit" });
 export function historyRowFrom(r) {
     return {
         id: String(r.id),

package/dist/plugins/memory-sync-store-tidb.js

@@ -3,6 +3,7 @@ import { decodeJsonColumn, jsonColumnText, readOpaqueJsonValueColumn, readString
 import { ensureIndexes } from "./ensure-index.js";
 import { MEMORY_SYNC_INDEXES, MEMORY_HISTORY_INDEXES, PG_MEMORY_SYNC_TABLES } from "./memory-sync-store-pg.js";
 import { assertMemoryScopeWidth } from "./memory-key-guards.js";
+import { sealStoreClass } from "./store-boundary.js";
 export const TIDB_MEMORY_SYNC_TABLES = {
     syncCursor: "agent_memory_engine_sync_cursor",
     syncPartition: "agent_memory_engine_sync_partition",
@@ -117,6 +118,9 @@ export class TiDBMemorySyncStore {
        WHERE id = ?`, [error, nextAttemptAtMs, id]);
     }
 }
+sealStoreClass(TiDBMemorySyncStore, "tidb-memory-sync-store", {
+    partitionIncarnation: "exit", getCursor: "exit", putCursor: "exit", enqueue: "exit", claimDue: "exit", complete: "exit", fail: "exit",
+});
 export async function ensureTiDBMemoryHistorySchema(pool) {
     await pool.query(`CREATE TABLE IF NOT EXISTS ${TIDB_MEMORY_SYNC_TABLES.history} (
     id            CHAR(36)     NOT NULL,
@@ -160,4 +164,5 @@ export class TiDBMemoryHistoryStore {
         return toMs(rows[0]?.n ?? 0);
     }
 }
+sealStoreClass(TiDBMemoryHistoryStore, "tidb-memory-history-store", { appendHistory: "exit", historyOf: "exit", countByScope: "exit" });
 //# sourceMappingURL=memory-sync-store-tidb.js.map

package/dist/plugins/one-time-migrations.d.ts

@@ -12,8 +12,8 @@
  * **≥** 某条未发布形的 `introducedIn` 而两格仍是 `null` ⇒ 红(发布准备提交就是回填时刻,忘了就当场红;版本更低 = 还在开发,不红)。
  * 最后一条删掉时,整个文件连同 `StoreBackend.runOneTimeMigrations()`(npm 公面上的接口成员)、`NO_SQL_MIGRATIONS`、
  * `logOneTimeMigrations` / `runAndLogOneTimeMigrations`、三只后端与两只测试夹具上的实现、`boot/stores.ts` 的调用点一起删 —— 零例外:本文件里只有带窗的迁移与它们自己的
- * 帮手(两只在场探针、锁腿、方言适配器)与迁移段的**段头**两步(副本能力登记、起服准入 —— 常设,码在 `replica-registration.ts` / `serving-requirement.ts`,本文件只在 {@link runSqlOneTimeMigrations}
- * 里排它们的序;最后一条迁移删码时,段头连同锁腿搬进起服序列,不随文件删);没有窗的东西(跳版升级的库的拒启臂)住在起服对账一族(`schema-consistency.ts`、`approval-exemption-skill-cutoff.ts`、local 的
+ * 帮手(两只在场探针、锁腿、方言适配器)与迁移段的**段头**两步(副本能力登记、起服准入 —— 常设,码在 `replica-registration.ts` / `serving-requirement.ts`)与锁内的**守卫段**(停-迁-起,常设,码在 `stop-then-start.ts`;本文件只在 {@link runSqlOneTimeMigrations}
+ * 里排它们的序;最后一条迁移删码时,段头与守卫段连同锁腿搬进起服序列,不随文件删);没有窗的东西(跳版升级的库的拒启臂)住在起服对账一族(`schema-consistency.ts`、`approval-exemption-skill-cutoff.ts`、local 的
  * `local-data-root-admission.ts`),不在这里 —— 那条迁移还在时臂只判、不拒,读本文件的 {@link migrationCarried}(行随码同删 ⇒ 删码那一版起臂恒判)。
  * 其余文件一律只写「窗口见本文件登记表」,不各写一个日期或版本 —— [ref] 之前本文件头写死了一个删除版本号(7.75.0),
  * 连同 11 个文件里的复述共 23 行;那一版过去了 28 个 minor 也没删,7.93.5 反倒往本文件里又加了一条迁移。
@@ -67,8 +67,9 @@
  *
  * M12(停驻行模式词读法记号的拒臂;不写库;7.150.0 删,窗 2026-11-08 关,发版日前已关)同样已删码,登记行一并删:判据、拒臂与答复、两处记号写点与 ctx 上的记号位都没有了,续跑重放不再问「行上有没有记号」。逐条写跳过了它直接升的库由谁接住:
  * ⑦ 停驻行模式词读法记号的拒臂(M12):没有响亮臂 —— 7.121.x 及以前写下、此刻仍停驻的行(把 `APPROVAL_TERMINAL_BACKSTOP_MS` 调长的部署,或跳过了带本条的版本直接升的库)体里是请求原词、没有记号;
- *    在设了 `AUTONOMY=plan` 的部署上不再被拒,续跑按体里的原词重放(运维的 plan 不再被按段重钳;`plan_review` 的驳回仍由引擎留在 plan)。存量行上的那只记号键原样留着、无人读。出路 = 升级前把这些停驻的 run 决掉 / 取消,
- *    或升级窗内设 `AUTONOMY=read-only`(按段的只读围栏)。
+ *    在设了 `AUTONOMY=plan` 的部署上不再被拒,由续跑口接住:重放之前体的词过**现**入口地板(`permission-mode-admission.ts` `stampReplayEntryMode`,与提交口同一只入口一步)——
+ *    `bypassPermissions` / `auto` / `dontAsk` / 无词钳成 `plan`;`default` / `acceptEdits` 与 plan 地板的出口词(`plan_review` 批准写下的词)同字、读不出是谁写的,原样重放。
+ *    存量行上的那只记号键原样留着、无人读。出路(要那两个词也不按原词续跑)= 升级前把这些停驻的 run 决掉 / 取消,或升级窗内设 `AUTONOMY=read-only`(按段的只读围栏)。
  *
  * ## 窗内的迁移(逐条的失败方向刻意不同)
  *  · **M13 盘上 LKG 信封 formatVersion 2 → 3**(7.123.0)—— 不在店里(配置候选的盘上缓存):被丢目录条目收成一份载体
@@ -355,11 +356,11 @@
  *    逐目录点名进 warn `local_data_dir_mode_refused`(经不可缺席的披露口,窗内每次起服再报)。幂等:第二次起服零命中零写。没有读数键(它不写库)。local 独有;SQL 车道没有这些目录。
  *  · **M40 没有执行环境的车道的存词 `in-process` → `none`**(7.147.0)—— 本版起每个部署都声明车道(`REMOTE_EXEC`),没有执行环境的那一条叫 `none`;本版之前没声明车道的部署在
  *    出处 / 放置格里存下的词是它的旧名,本版的车道闭集里没有它(读口一律响亮拒,补句点名本条,`execution-lane-rename-m40.ts`)。改值不丢信息,四处:SQL 两方言的
- *    `approval_ask.execution_lane` 与会话的 `execution_lane`(`session_meta` 上;M41 搬过之后在 `session_ext` 上 —— 三张表逐张读形,列在哪张改哪张)(本段**第一步**,先于任何写:列不在 ⇒ 那一张零动作 —— 跳版升上来的库由 M32 加列、按声明车道回填,不会再铸旧词);
+ *    `approval_ask.execution_lane` 与会话的 `execution_lane`(`session_meta` 上;M41 搬过之后在 `session_ext` 上 —— 三张表逐张读形,列在哪张改哪张)(列不在 ⇒ 那一张零动作 —— 跳版升上来的库由 M32 加列、按声明车道回填,不会再铸旧词);
  *    local 的会话元数据边档(`session-incarnations.json` 的 `[会话].execution.lane`,**排在严格边档对账之前** —— `LocalBackend.ensureSchema()` 第一步,否则旧词先撞严格拒)
  *    与问账日志(排在 M32 的 local 问回填之前,一次压实重写整本)。**版本围栏(停-迁-起)**:旧副本不认 `none`、新读者不认旧词,列形不变 ⇒ 混跑没有列检查拦得住。
- *    SQL:还有旧词行要改 ∧ 有停-迁-起证据(`readOlderReplicaEvidence`:`task_run` 的 `running` 行在 `REAP_RUN_STALE_SEC` 之内更新过 —— 收割器判活的同一条谓词 —— 且持有者没有登记为知道 M40)⇒ 拒启
- *    (`config.execution_lane_rename_refused`,一行没改;拒句给最新心跳时刻与「全停之后何时再起」);没有旧词行 ⇒ 零动作、可滚动。local:数据根的起服锁(core `FileStorageBackend` 的 `LOCK`)
+ *    SQL:还有旧词行要改 ∧ 有停-迁-起证据(守卫段,`stop-then-start.ts` 的 `readOlderReplicaEvidence`:`task_run` 的 `running` 行在 `REAP_RUN_STALE_SEC` 之内更新过 —— 收割器判活的同一只谓词构造 —— 且持有者没有登记为知道 M40)⇒ 拒启
+ *    (`config.execution_lane_rename_refused`,一行没改;拒句给最新心跳时刻与「全停之后何时再起」);放行 ⇒ 改名之前记起服要求 `(M40, in_force)`;没有旧词行 ⇒ 零动作、可滚动。local:数据根的起服锁(core `FileStorageBackend` 的 `LOCK`)
  *    本来就只许一个进程 ⇒ 不另设守卫。读数 `executionLaneWordsRenamed`(四处合计)。幂等:第二次起服零命中零写。
  *  · **M41 会话的部署格搬出引擎座表**(7.147.0)—— 引擎座表 `session_meta` 只带引擎的列;本服务记在会话上的十二格(标题 / 置顶 / 换源通告基线 / 位置与项目 / 执行放置七列 / fork 键)
  *    自本版起住旁表 `session_ext`(一会话一行,外键 `ON DELETE CASCADE` 随会话行走;建表、列定义、补行与级联能力探针的唯一属主 `session-ext-table.ts`,起服在本段之前已建表并证过级联)。
@@ -367,7 +368,7 @@
  *    (`ON DUPLICATE KEY UPDATE` / `ON CONFLICT DO UPDATE`:旁表那一行的这几格 = 根行上的值;中断后重跑同一句同一结果);② 逐行核对(每一列 null 安全相等,旁表行不在 = 缺省)——
  *    有一行不等 ⇒ 拒启 `config.session_ext_move_refused`(`copy_mismatch`,点名那只会话;一列没删,下一次起服重搬);③ **一句** `ALTER TABLE session_meta DROP COLUMN …` 删掉在场的全部部署格列
  *    (按后置条件收敛:那几列都不在)。旁表形的库(本版新建、或已搬过)⇒ 零动作。**版本围栏(停-迁-起)**:旧副本对这十二格的每一笔写在删列之后都撞未知列,
- *    搬与删之间落下的写会丢 ⇒ 还有列要搬 ∧ 有停-迁-起证据(与 M40 同一只读法)⇒ 拒启(`older_replica`,一字节没写;本段第二步,紧随 M40,先于任何别的写)。
+ *    搬与删之间落下的写会丢 ⇒ 还有列要搬 ∧ 有停-迁-起证据(与 M40 同一只读法,守卫段里判)⇒ 拒启(`older_replica`,一字节没写);放行 ⇒ ① 的第一句 upsert 之前记起服要求 `(M41, in_force)`。
  *    如实的边(7.147.0 起已披露,不改):① 搬 → ② 核对 → ③ 删列三步之间一只没被看见的旧副本落下的写会丢 —— 删列让旧写在 ③ 之后响亮失败,却挡不住 ② 与 ③ 之间那一笔。
  *    **M32 × M41 的序与读表**:迁移段里 M32 先、M41 后。M32 读两种形 —— 八列在 `session_meta` 上(7.139–7.146 形:M32 全程写根行,随后 M41 连同别的格一起搬进旁表)
  *    或部署格已在旁表(本条之后 / 新库)。旁表形里 M32 的加列 / 回填 / 收尾标记(② ④ ④b ⑥)都不跑(切换早已收尾;回填前提的拒随之不判),剩 ⓪(旧版副本建回的空退役表删掉)、围栏,
@@ -376,9 +377,9 @@
  *  · **M42 场景前缀的切换检查**(7.148.0)—— 本版起以 `_scn:` 开头的身份读作「某个人的某个场景」(恢复管线 `owner-brands.ts` 的 `partsOf`);更早的版本不保留这一前缀,
  *    自称 `_scn:<x>:<y>` 的调用方写下的行在本版会被读成另一个人的场景。**持久数据「响亮拒」那一半,不改写**:库里没有本条的标记 ⇒ 只读扫存量身份(本树建表句里名字以
  *    owner / scope / principal / subject 结尾、且库里在的每一列;local = run / 会话 / 问 / 附件四处 File 店的属主),一处命中 ⇒ 拒启 `config.scenario_prefix_switch_refused`(点名来源与行数,
- *    一字节没写);零命中 ⇒ 写标记;有标记 ⇒ 不扫(本版自己写下的合法 `_scn:` 行不让第二次起服拒启)。**停-迁-起(SQL)**:零命中而有停-迁-起证据(与 M40 / M41 同一只
- *    读法)⇒ 同码拒启(`older_replica`),标记不写 —— 更早版本的副本不保留前缀,扫描之后它还会收下这类身份。标记随库(SQL:本条自己建的标记表一行;local:数据根里一只文件),
- *    不随进程。**第一步**:先于任何写(拒了就是一字节没动)。律、扫描面、拒句的唯一属主 = `scenario-prefix-switch-m42.ts`。读数 `scenarioPrefixSourcesScanned`(0 = 标记在场)。
+ *    一字节没写);零命中 ⇒ 记起服要求 `(M42, in_force)`、写标记;有标记 ⇒ 不扫(本版自己写下的合法 `_scn:` 行不让第二次起服拒启)。**停-迁-起(SQL)**:标记不在而有停-迁-起证据(与 M40 / M41 同一只
+ *    读法,守卫段里判 —— 先于扫描)⇒ 同码拒启(`older_replica`),标记不写 —— 更早版本的副本不保留前缀,扫描之后它还会收下这类身份(同时有存量命中与证据的库先看到的是 `older_replica`)。标记随库(SQL:本条自己建的标记表一行;local:数据根里一只文件),
+ *    不随进程。先于任何写(拒了就是一字节没动)。律、扫描面、拒句的唯一属主 = `scenario-prefix-switch-m42.ts`。读数 `scenarioPrefixSourcesScanned`(0 = 标记在场)。
  *  · **M43 撤回出口的启用标记**(7.148.0)—— 不改任何存量行。提交出口撤回一只「受理之前就被拒」的提交铸下的会话之前,读旁表的客户端写计数 `client_writes`
  *    (四个客户端写者在锁住根行之后同一事务 +1,`plugins/session-ext-table.ts`);更早版本的副本的写者不计数 ⇒ 混跑窗里它刚给这只会话改了标题,撤回却读到 0,会把人写过的会话删掉。
  *    ⇒ 撤回出口只在本库的**标记行**落下之后启用(标记表与 M42 同一张,属主 `one-time-migration-marker.ts`;读者 = 撤回事务里的部署判据 `plugins/session-withdraw-sql.ts`,标记未落 ⇒ 答 `upgrade_pending` = 留,
@@ -386,8 +387,8 @@
  *    读数 `withdrawMarkWritten`。local 车道:数据根独占、没有混跑窗,版本位在会话元数据格上(`clientWrites`,本版铸的格都带),恒零。
  *  · **M51 会话在删态的切换**(7.148.0)—— 不改任何存量行。本版起删会话按会话三态走(活 → 在删 → 没了,律在 `src/session-deletion.ts`):围栏写旁表 `session_ext.deleting_token`,
  *    认领点(规则 L)读它、删除路只在围栏判一次认领。更早版本的副本不读在删态 ⇒ 混跑时它会在一只在删的会话上收下提交、建 run,而本版删除路的账本腿已不再判认领 ——
- *    比修前更坏。⇒ **停-迁-起**,没有运行期开关:标记表(与 M42 同一张)无 `M51` 行 ∧ 有停-迁-起证据(与 M40 / M41 / M42 同一只读法 {@link readOlderReplicaEvidence})
- *    ⇒ 拒启 `config.session_deleting_switch_refused`(`older_replica`,一字节不写,拒句给可再起的时刻);没有 ⇒ 落标记(之后不再判)。
+ *    比修前更坏。⇒ **停-迁-起**,没有运行期开关:标记表(与 M42 同一张)无 `M51` 行 ∧ 有停-迁-起证据(与 M40 / M41 / M42 同一只读法,守卫段里判)
+ *    ⇒ 拒启 `config.session_deleting_switch_refused`(`older_replica`,一字节不写,拒句给可再起的时刻);没有 ⇒ 记起服要求 `(M51, in_force)`、落标记(之后不再判)。
  *    看不见的边与 M43 同:空闲的、早于副本登记的旧副本(零 `running` run)没有证据 —— MIGRATION 写「全部旧副本停下再起」。读数 `sessionDeletingSwitchMarked`(0 或 1)。
  *    local 车道:数据根独占、没有混跑窗 ⇒ 恒零。
  *  · **M44 run 的 `errorCode` 只读列**(7.148.0)—— 码的唯一读法是 `task_run.error_code` 列;写 `result` 的三个写口同写这一列(停驻两口此前不写)。**改写半场**:
@@ -449,11 +450,26 @@
  *    (删 `taskId` 名下的问与批 —— 今天删会话级联的一个子集,语义不丢,`InMemoryApprovalAskStore.deleteByTaskM50`)并算删行记录,构造器末段的起服压实把整本重写成存活行的快照、记录离盘
  *    (压实失败 ⇒ 位留着,下一次写或下一次窗内起服再压;重放幂等),恰一行 stderr 点名条数与账本;窗关之后 ⇒ 同一条记录拒启(`StoreBootRefusalError`,拒因点名本条、
  *    窗的最后一天与出路:用早于本条的版本起服一次 —— 它认得这只词,起服即压实删行记录),删码因此是零行为变化。没有起服读数键(它不经迁移段跑,读数是那一行 stderr)。只 local(SQL 两方言从来没有这只词)。
- *  · **M52 停-迁-起证据的心跳一半**(7.150.0)—— 不改库。停-迁-起守卫(M40 · M41 · M42 · M51)与 M43 的标记判「库上还有不知道这条迁移的副本在服务吗」只经一只读法
- *    `readOlderReplicaEvidence`:判活窗内心跳过的 `running` run,按持有者分组,减去登记为知道这条迁移的持有者(副本能力登记 `replica-registration.ts`,常设;本版起每只进程在
- *    迁移段头登记一行)。早于副本登记的副本不登记,只经它们持有的 run 心跳可见 —— 这一半(与它的判活窗输入 `liveRunWindowMs`)就是本行,窗内才在;
- *    登记一半本版**不判活**,只作归因(点名持有者)。看不见的边如实:空闲的、早于副本登记的副本没有任何证据(终局边界,运维停光旧副本是第一道);
- *    登记行不续期、不观察,**不是围栏**。没有读数键(它不写库)。local 车道:数据根独占 ⇒ 守卫没有判活腿,恒不读。
+ *  · **M53 存量子代失败句换成对外句**(7.151.0)—— 店边界换句(SQL 店的出口只带原码 + 稳定句,`terminal.ts` 的 `storeBoundaryFault`)之前落盘的子代失败句可能逐字带库驱动的原句
+ *    (库账号 / 内网地址 / 表名)。只改**有结构标记**的两格(判据与新值唯一一份 `store-fault-sentence-m53.ts`,新值 = 出口同一只读法 `outwardStoreMessageOf`):
+ *    `background_agent.record_json` 的 `error`(`errorCode` 出了本仓词法;`summary` 里逐字含旧句的那一段同换)与 `task_event` 里 `tool_end` 卡的 `structured.errorMessage`
+ *    (卡 `errorCode` 出了词法)。自由文本面(父转录、卡外的 `output` 报告行、workflow 节点句)没有结构标记 —— 不改,MIGRATION 披露。键集分批读、逐行写(后台行按 `rev` CAS、照本表写律把 `rev` 抬 1 —— 拿着改写之前那一读的写者 CAS 落空、重读,不会把旧句写回;
+ *    打空留给下一次起服);幂等:改过的格已是对外句。不是停-迁-起:旧副本写下的新行仍是旧句,窗内每次起服再扫。读数 `storeFaultSentencesRewritten`;local 恒 0(本地数据根上没有 SQL 驱动)。
+ *
+ * ## 停-迁-起(常设,码不在本文件)
+ * 登记行的 `stopThenStart` 一格是声明(围栏类 · 欠不欠 · 有证据时的拒;每一行显式写,`null` = 不声明),律、型、唯一判官、守卫段与证据读法住 `stop-then-start.ts`(常设,不带窗)。
+ * 本文件只在 {@link runSqlOneTimeMigrations} 的锁内排守卫段的序(准入复核之后、第一步迁移之前:任一条拒 ⇒ 迁移段一字节没写),各条停-迁-起步在**自己的**第一笔
+ * 不兼容写之前记起服要求(`serving-requirement.ts` 的 `recordServingRequirement`)。证据读法没有窗:早于副本登记的副本只经它们持有的 run 心跳可见,而这样的进程在任何日期之后
+ * 都可能还在(回滚到早于副本登记的构建、跳过公开序列的嵌入方、登记行过了留存视界的长寿进程)—— 它曾登记为窗行 M52(7.150.0),7.151.0 起改为常设:删掉它,此后引入的
+ * 每一条停-迁-起迁移的守卫就零证据、静默放行。M43 的启用判同读它(不拒启,只决定标记落不落)。
+ *
+ * ## 新迁移的书写序(先满足的赢;登记行注写明前一形为什么不行)
+ *  ① 不动存量字节:新事实进新表或新列(中央建表语句;`shapeChanges: add`)—— 不要一次性迁移、不要守卫;
+ *  ② 滚动形(`stopThenStart: null`):迁移函数体里把存量字节改一次,改完之后更早副本还能写出的旧形必须是二者之一 ——(a)写不出(库让它失败);(b)本条在窗内每次起服再改一次,
+ *     且其间每个读者对旧形响亮拒。**认旧形与新形的双读只许在迁移函数体里**:新迁移不得在迁移函数体之外读旧形(不写双写窗、不写窗内才生效的读侧行为臂 —— 下面 M19 / M20 / M38 / M44 / M50
+ *     等既有窗行的读侧半场照留、随窗删,不作新迁移的先例);按证据推迟启用一项新行为(M43 形)也不是滚动形;
+ *  ③ 停-迁-起 `structural`(先围后搬:第一笔改动就是围栏 DDL,搬运只从围过的对象读;M34 ① 的就地改名是先例)> `per-write`(写句读起服要求,早至少一版发出)> `accepted`(成文的残余)。
+ *  能两版滚动的不许声明停-迁-起。三类的判据与残余见 `stop-then-start.ts`。
  *
  * ## 收据账(一次起服一只,每一条迁移同一只)
  * 每一步把它**已提交**的改写 / 删除与点名读数当场记进同一只收据账({@link MigrationReceipts}):计数随每次提交累加、行随每次提交追加、形读数在那一步落定时写。走完 ⇒
@@ -480,7 +496,8 @@ import { type ImportedLayerRootAllowRetired, type ImportedLayerRootBucketSkipped
 import { type LocalPlacementBackfillSeat, type UnusableArchiveWord } from "../execution-placement.js";
 import type { PendingShapeChange } from "./schema-consistency.js";
 import { type OlderReplicaEvidence } from "./stop-then-start-sentence.js";
-import { type ReplicaCapability, type ReplicaRegistration } from "./replica-registration.js";
+import { type ReplicaRegistration } from "./replica-registration.js";
+import { type LiveRunWindowInput, type StopThenStartEntry, type StopThenStartRow } from "./stop-then-start.js";
 /** 迁移读数(启动日志一行写全;测试按它断言,不靠日志文本)。 */
 export interface OneTimeMigrationReport {
     /** M17:`session_policy` 装规则的那一列 —— `renamed` = 本次把 `rules` 改名成 `rule_entries`;`current` = 早已是新名(新库 / 第二跑);
@@ -557,6 +574,9 @@ export interface OneTimeMigrationReport {
     readonly withdrawMarkWritten: number;
     /** M51:本次落下会话在删态切换标记的行数(0 或 1;已落 ⇒ 0;别的副本还在心跳 ⇒ 拒启,不进读数)。SQL 独有;local 恒 0(数据根独占,没有混跑窗)。非零 = 真写了标记。 */
     readonly sessionDeletingSwitchMarked: number;
+    /** M53:本次把存量子代失败句换成对外句的格数(SQL `background_agent.record_json` 的 `error` / `summary` 一行算一格 + `task_event` 的 `tool_end` 卡 `errorMessage` 一行算一格)。
+     *  local 恒 0(本地数据根上没有 SQL 驱动,存量行不可能带驱动原句)。非零 = 真写了存量行。 */
+    readonly storeFaultSentencesRewritten: number;
     /** M44:本次改写了 `errorCode` 码列的 run 行数(SQL `task_run` / local `run.json`;结果投影的码 ≠ 列,或 `running` 行带码)。非零 = 真写了存量行。 */
     readonly runErrorCodeColumnRewritten: number;
     /** M45:本次改写了预览列的 run 行数(SQL `task_run` / local `run.json`;以闭集注入块开标签起头的旧形剥到不动点)。非零 = 真写了存量行。 */
@@ -729,22 +749,13 @@ export interface OneTimeMigrationWindow {
      */
     readonly shapeChanges?: readonly PendingShapeChange[];
     /**
-     * 本条是**停-迁-起**迁移:起服时的守卫在有停-迁-起证据时拒启、一字节不写(动作段的唯一属主 = `stop-then-start-sentence.ts`)。两格见 {@link StopThenStartRow}:
-     * 缘由句与「这只库还欠不欠本条」的唯一读法 —— 起服列册对账的升级清单(`schema-consistency.ts` 的 `describeUpgradeChecklist`)只列这只库还欠的行、把缘由句原样列给运维,
-     * 于是「本构建有哪几条要先停光旧副本」只有这一处在写、随行删码一起没。读者 = {@link stopThenStartMigrations}。
+     * 本条是不是**停-迁-起**迁移 —— **每一行显式写**(缺键 = tsc 红;形门 `test/one-time-migration-window-gate.test.ts` 再核一次「每行自有这一键」)。
+     * 一份声明({@link StopThenStartRow}:缘由句 · 这只库还欠不欠 · 有证据时本条的拒 · 围栏类)⇒ 起服时守卫段在任何写之前判证据(有 ⇒ 拒启、一字节不写),
+     * 本条放行之后在自己的第一笔不兼容写之前记一行起服要求;起服列册对账的升级清单只列这只库还欠的行、把缘由句原样列给运维。律、型与唯一判官在 `stop-then-start.ts`。
+     * `null` = 本条**不声明**停-迁-起(不拒启、不进清单的停-迁-起一步)—— 只是声明,不是混跑安全的证明;新迁移写 `null` 只许两形:改完之后更早副本写不出旧形
+     * (库让它失败),或本条在窗内每次起服再改一次、其间每个读者对旧形响亮拒(头注「新迁移的书写序」一节)。读者 = {@link stopThenStartMigrations}。
      */
-    readonly stopThenStart?: StopThenStartRow;
-}
-/**
- * 一条停-迁-起迁移的登记格(一句话 + 一只只读判据的引用;登记表里只写引用,判据的码在本条的迁移步旁边):
- *  · `reason` —— 一句英文:更早版本的副本在迁移之后还会写什么、写了会怎样(升级清单原样列给运维);
- *  · `owedOn` —— **这只库还欠不欠本条**的唯一读法(只读,一字节不写):本条的守卫先问它(不欠 ⇒ 零动作、不读证据),升级清单第 2 步只列它答「欠」的行 ——
- *    清单不另判(修前清单按登记表全列、不判欠不欠,对走过这几条的库说「不可滚动」,与守卫的放行是一事两说)。读口是列册对账同一只无参读口
- *    {@link SchemaProbeRead}:判据的语句只内联本文件的常量(标记键 / 退役词 / 表名列名,与 `tableExists` / `columnExists` 同形),不带参数。
- */
-export interface StopThenStartRow {
-    readonly reason: string;
-    readonly owedOn: (read: SchemaProbeRead, dialect: SqlDialect) => Promise<boolean>;
+    readonly stopThenStart: StopThenStartRow | null;
 }
 /**
  * 🔴 [ref] —— 一次性迁移登记表,本文件各条的窗的**唯一属主**。别处(接口 JSDoc、调用点、DDL 注、部署文档)只写「窗口见
@@ -770,12 +781,11 @@ export declare function migrationWindowEnd(id: string): string;
  */
 export declare function migrationCarried(id: string): boolean;
 /**
- * 本构建带的**停-迁-起**迁移(登记行的 `stopThenStart` 一格;行在 ⇔ 码在 ⇒ 起服会在这一条上判活),按登记表顺序。读者 = 起服列册对账的升级清单:
- * 逐行问 `owedOn`,只把这只库还欠的列给运维。登记表里再没有这样的行时返回空数组 —— 清单的这一步随之不出。
+ * 本构建带的**停-迁-起**迁移(登记行的 `stopThenStart` 不是 `null`;行在 ⇔ 码在 ⇒ 起服会在这一条上判证据),按登记表顺序,连同判官要读的 `introducedIn` / `shapeChanges`。
+ * 读者 = 守卫段(`stop-then-start.ts` 的 `guardOwedStopThenStart`,{@link runSqlOneTimeMigrations} 的锁内)与起服列册对账的升级清单(逐行问 `owedOn`,只把这只库还欠的列给运维)。
+ * 登记表里再没有这样的行时返回空数组 —— 守卫段的循环为空、清单的这一步随之不出。
  */
-export declare function stopThenStartMigrations(registry?: readonly Pick<OneTimeMigrationWindow, "id" | "stopThenStart">[]): readonly ({
-    readonly id: string;
-} & StopThenStartRow)[];
+export declare function stopThenStartMigrations(registry?: readonly Pick<OneTimeMigrationWindow, "id" | "introducedIn" | "shapeChanges" | "stopThenStart">[]): readonly StopThenStartEntry[];
 /** local 车道上 SQL 独有的几条(M17 / M18 / M21 / M23 / M24 / M26 / M27 / M29)的读数(M32 的回填两车道都有、M33 只在 local,local 腿的读数由 `LocalBackend.runOneTimeMigrations` 现算):那几张表 / 列在文件底座上从来不存在 ⇒ 如实答 absent / 0。 */
 export declare const NO_SQL_MIGRATIONS: Omit<OneTimeMigrationReport, "runErrorCodeColumnRewritten" | "runObjectivePreviewRewritten" | "shellSentinelOwnersCleared" | "shellSentinelOwnerRowsRetained" | "checkpointHostSessionsBackfilled" | "legacySkillExemptionsDropped" | "executionPlacementsBackfilled" | "askExecutionLanesBackfilled" | "executionLaneWordsRenamed" | "scenarioPrefixSourcesScanned" | "executionPlacementSessionsUnreadable" | "localArchiveRowFactsBackfilled" | "localArchivesAnonymized" | "localArchivesKeptStamped" | "localArchivesUnreadable" | "localArchiveSnapshotsRecovered" | "localArchiveTokensAdopted" | "localArchiveTokensMinted" | "askJournalRecordsUpgraded" | "importedLayerRootAllowsRetired" | "importedLayerRootBucketsSkipped" | "importedLayerRootBucketsUnnamed">;
 /** 启动期的日志口(logger 的子集)。两级各有其用,见 {@link logOneTimeMigrations}。 */
@@ -816,8 +826,10 @@ export interface MigrationDb {
  */
 export declare function createSqlImportedLayerRootSource(exec: Parameters<typeof listRuleBucketOwners>[0]): ImportedLayerRootRetirementSource;
 /**
+ * 取连接之前:本构建的停-迁-起声明过唯一判官(`stop-then-start.ts` 的 `assertStopThenStartDeclarations`;自相矛盾 = 构建缺陷 ⇒ 抛,一句库语句都没发)。
  * **段头**(常设两步,不带窗;只在这里排序;与迁移步同一条连接):两张表在(不在 ⇒ 拒,点名公开序列)→ 本进程登记(`replica-registration.ts`)→ 起服准入**锁外预读**(`serving-requirement.ts`)
- * → 取迁移锁 → **锁内复核**(同一判据;本进程等锁期间握锁的那一只写下的要求在这里读得到)→ 各迁移步。准入拒 ⇒ 一步迁移都不跑。
+ * → 取迁移锁 → **锁内复核**(同一判据;本进程等锁期间握锁的那一只写下的要求在这里读得到)→ **守卫段**(`stop-then-start.ts`:本构建全部还欠的停-迁-起迁移先一起判证据,
+ * 任一有 ⇒ 抛那一条自己的拒,迁移段一字节没写)→ 各迁移步(各停-迁-起步在自己的第一笔不兼容写之前记起服要求)。准入拒 / 守卫拒 ⇒ 一步迁移都不跑。
  * 登记在任何守卫读证据之前、本进程能持有任何 run 之前落下;跳过 `ensureSchema()` 的嵌入方走同一段。`me` 缺省 = 本进程的登记行;真库钉传别的构建(能力名单不同的起服者)。
  */
 export declare function runSqlOneTimeMigrations(dialect: SqlDialect, pool: MysqlPool | PgPool, input: SqlOneTimeMigrationInput, me?: ReplicaRegistration): Promise<OneTimeMigrationReport>;
@@ -857,12 +869,12 @@ export declare function scannedIdentityColumnsM42(db: Pick<MigrationDb, "rows">,
 }[]>;
 /**
  * 🔴 M42 的 SQL 腿:标记在场 ⇒ 返回(零扫描);否则逐列只读计数 `LIKE '<前缀>%'`,一处命中 ⇒ {@link ScenarioPrefixSwitchRefusedError}(`stored_prefix`;一字节没写,标记不写);
- * 零命中而有停-迁-起证据({@link readOlderReplicaEvidence})⇒ 同一只拒(`older_replica`;标记不写);否则写标记。
+ * 零命中 ⇒ 记起服要求 `(M42, in_force)`、再写标记(停-迁-起证据已在守卫段里判过:有证据的库在扫描之前就以 `older_replica` 拒了)。
  * 握着迁移段的那一把锁、在那一条连接上:两只副本同时起服时第二只读到第一只写下的标记(写标记用 `INSERT IGNORE` / `ON CONFLICT DO NOTHING`,收敛)。
  */
 export declare function switchScenarioPrefixM42(db: MigrationDb, dialect: SqlDialect, receipts: {
     scenarioPrefixSourcesScanned: number;
-}, input: LiveRunWindowInput): Promise<void>;
+}): Promise<void>;
 /** M40 的拒启码(停-迁-起守卫)。 */
 export declare const EXECUTION_LANE_RENAME_REFUSED_CODE = "config.execution_lane_rename_refused";
 /**
@@ -900,33 +912,20 @@ export declare class ExecutionLaneRenameWriteRefusedError extends StoreBootRefus
     /** 落不了盘的那只文件(绝对路径)。 */
     file: string, cause: unknown);
 }
-/** 停-迁-起证据读法心跳一半的输入(归 M52 行):判活窗(毫秒)= 本部署的 `REAP_RUN_STALE_SEC` —— 收割器判「这条 run 的持有者还活着」用的同一个窗。 */
-export interface LiveRunWindowInput {
-    readonly liveRunWindowMs: number;
-}
 /** M48 的输入:本部署有没有身份边界 = 部署形表 `DEPLOYMENT_SHAPE_PREDICATES.identityBoundary` 那一行的读数(只读配置;调用方读表交来,迁移步不另读配置)。
  *  SQL 腿 `clearShellSentinelOwnersM48` 读它;local 腿(`LocalBackend.runOneTimeMigrations` 里 M48 那一格)读同一行,由后端构造时读一次;dev-open 判据(`devOpenDeployment`)读同一行。 */
 export interface ShellSentinelOwnerInput {
     readonly identityBoundary: boolean;
 }
-/** SQL 一次性迁移段的输入(各条目自己的那一半;删码车删掉它那一半)。 */
+/** SQL 一次性迁移段的输入(各条目自己的那一半;删码车删掉它那一半。判活窗那一半 `LiveRunWindowInput` 归常设的守卫段 / 证据读法,`stop-then-start.ts`)。 */
 export type SqlOneTimeMigrationInput = ExecutionPlacementSwitchInput & LiveRunWindowInput & ShellSentinelOwnerInput;
 /**
  * M40 ⓪ —— 带 `execution_lane` 列的表上的旧词改成新名(问行表 + 会话的那一列所在的表:M41 搬之前在 `session_meta`、之后在 `session_ext`;一句 UPDATE 一张表;幂等:第二跑零命中)。列不在的表零动作(跳版升上来的库:M32 稍后加列、按声明车道回填,不会再铸旧词)。
- * 还有旧词行 ⇒ 先过停-迁-起守卫({@link refuseWhileRunsHeartbeat});没有 ⇒ 不读 run 表、零写(没跑过无车道部署的库可滚动升级)。
+ * 还有旧词行 ⇒(守卫段已判过证据、放行)记起服要求 `(M40, in_force)`、再改名;没有 ⇒ 零写(没跑过无车道部署的库可滚动升级)。
  */
 export declare function renameRetiredExecutionLaneWordsM40(db: MigrationDb, dialect: SqlDialect, receipts: {
     executionLaneWordsRenamed: number;
-}, input: LiveRunWindowInput): Promise<void>;
-/**
- * **停-迁-起证据的唯一读法**(M40 / M41 / M42 / M43 / M51 同读;拒句与读数的句子属主 = `stop-then-start-sentence.ts`):判活窗内心跳过的 `running` run
- * (收割器 `reapStale` 判活的同一条谓词:`status = 'running'` ∧ `updated_at` 在 `REAP_RUN_STALE_SEC` 窗内),按持有者(`task_run.instance_id`,建行铸、认领接管)分组,
- * **减去登记为知道 `migrationId` 的持有者**(`replica-registration.ts`;`knows` 与起服准入同一只判据)—— 剩下的 run 就是证据:持有者没有登记行(早于副本登记的副本、`NULL` 身份、
- * 自传身份的嵌入方)或登记了而能力名单里没有这条迁移,照算(保守)。登记一半只作归因(点名持有者),**不判活**。
- * 本进程此刻还在迁移段里、一条 run 都没起过 ⇒ 证据里只有别的进程。`task_run` 不在 ⇒ `undefined`。心跳一半随 M52 行删(那一行的 `removal`)。
- * `migrationId` 在型上就要在能力名单里(`ReplicaCapability`):一条迁移读证据 ⇔ 它的名在名单里。
- */
-export declare function readOlderReplicaEvidence(db: MigrationDb, dialect: SqlDialect, input: LiveRunWindowInput, migrationId: ReplicaCapability): Promise<OlderReplicaEvidence | undefined>;
+}): Promise<void>;
 /** M41 的拒启码(确定的拒启表态;与 `config.schema_mismatch` 同一族)。 */
 export declare const SESSION_EXT_MOVE_REFUSED_CODE = "config.session_ext_move_refused";
 /** 拒因闭集:`older_replica` = 还有列要搬而有停-迁-起证据;`copy_mismatch` = 搬完核对有一行不等(一列没删)。 */
@@ -937,11 +936,6 @@ export declare class SessionExtMoveRefusedError extends StoreBootRefusalError {
     readonly code = "config.session_ext_move_refused";
     constructor(reason: SessionExtMoveRefusalReason, detail: string);
 }
-/**
- * M41 ⓪′ —— 停-迁-起守卫(紧随 M40 的守卫,先于任何别的写):还有部署格列要搬 ∧ 有停-迁-起证据({@link readOlderReplicaEvidence})⇒ 拒 `older_replica`,一字节没写。
- * 旁表形 ⇒ 零动作(不读 run 表)。
- */
-export declare function refuseSessionExtMoveWhileRunsHeartbeat(db: MigrationDb, dialect: SqlDialect, input: LiveRunWindowInput): Promise<void>;
 /**
  * M41(规则与理由见头注 M41 段):① 搬(键集分页 upsert)→ ② 逐行核对 → ③ 一句删列。旁表形 ⇒ 零动作。中断 ⇒ 下一次起服从头重跑:① 的 upsert 是「旁表这几格 = 根行上的值」,
  * 重跑同一结果;② 只读;③ 按后置条件收敛(那几列都不在)。排在迁移段最后(M32 之后:M32 读 / 写 `session_meta` 上的八列;M23 改的是引擎列)。导出给真库钉驱动「中断后续跑」。