@sema-agent/server 7.150.0 → 7.152.0

package/deploy/sema-up/README.md

@@ -5,8 +5,9 @@
 
 ```bash
 # npm 分发姿势(package.json bin 已挂)
-npx -p @sema-agent/server sema-up --profile=full-single --gateway=https://api.deepseek.com/v1 \
+npx -p @sema-agent/server sema-up --profile=full-single --users=single --gateway=https://api.deepseek.com/v1 \
   --model=deepseek-v4-flash --model-key=sk-… -f site.env --yes
+# --users 必填(single = 只给一个人用 | multi = 一个团队):脚本不替你选人数,缺了即拒并给两条出路
 # 或直接跑仓内脚本
 deploy/sema-up/sema-up.sh
 ```
@@ -51,7 +52,7 @@ summary 会打印手动接法。
 | flag | 默认 | 说明 |
 |---|---|---|
 | `--profile=P` | 交互问 | `full-single`/`data-center`/`local-plus`/`full-cluster` |
-| `--users=U` | `single` | `single`(超管 turnkey;落 `OPERATOR_SINGLE_USER=true` = 每个调用方都是运维,server 单用户形起服要这一行)/`multi`(身份隔离 REQUIRE_PRINCIPAL=true;`OPERATOR_SINGLE_USER=false`)。两根键由同一个租户词派生,重跑即按租户词重写;具名运维名单(`OPERATOR_PRINCIPALS`)本脚本不渲 |
+| `--users=U` | **必填,没有缺省**(装 agent 的档:`full-single` / `local-plus` / `full-cluster`;`data-center` 不装 agent,不用) | `single`(只给一个人用,超管 turnkey;落 `OPERATOR_SINGLE_USER=true` = 每个调用方都是运维,server 单用户形起服要这一行)/`multi`(一个团队,身份隔离 REQUIRE_PRINCIPAL=true;`OPERATOR_SINGLE_USER=false`)。几个人用是这台部署自己的声明,脚本不替它选(缺省 single 会让忘设人数的团队集群每个调用方都成运维,缺省 multi 同样是替单人部署选):没给旗、`-f` 配置里也没有、这台部署的 `.env` 里也没有上一次落下的事实 ⇒ 拒并给 `--users=single` / `--users=multi` 两条出路(向导里问句的缺省只有事实词,没有事实就没有缺省,空答即拒;`kube-up.sh` / `cluster-up.sh` 单独跑时同一个词是环境变量 `USERS`)。两根键由同一个租户词派生,重跑即按租户词重写(kube 两条 helm 路径把声明写进 values 的 `server.operatorSingleUser`,图表自己不派生,见下「运维声明」);具名运维名单(`OPERATOR_PRINCIPALS`)本脚本不渲 |
 | `--region=R` | `auto` | `cn`/`global`;auto=对 aliyun/npmjs 探测延迟 |
 | `--project=NAME` | `sema` | compose project 名;并行试验/多套共存用。也是工作目录 `~/.sema-up/<名>` 与自动数据根 `<盘>/sema-data/<名>` 的一段 ⇒ 只收小写字母 / 数字 / `-` / `_`,首字符是字母或数字(别的写法在建任何目录之前拒) |
 | `--dry-run` | — | 只打印执行计划,不写 .env、不起容器 |
@@ -154,6 +155,12 @@ data-center:2c/2G/20G)以下 BLOCK——确实无法稳定部署,提前警告不
 - **MinIO**:钉死的 tag(`minio/minio:RELEASE.…`,chart / cluster 静态清单 / compose 三份同值;k8s `imagePullPolicy: IfNotPresent`,不再 `:latest` + `Always`)。换源 = 换整条引用:
   compose 与 kube-up 读环境变量 `MINIO_IMAGE`(kube-up 给了才递给 chart),chart 直接 `--set minio.image=<源>/minio/minio:<tag>`(预灌镜像的节点 `--set minio.pullPolicy=Never`)。
 
+## 运维声明(helm 图表的 `server.operatorSingleUser` / `server.requirePrincipal`)
+
+「谁是运维」是部署写的声明,图表不替你派生:单人部署写 `server.operatorSingleUser=true`(每个调用方都是运维,env `OPERATOR_SINGLE_USER`),被不止一个人调用的部署写 `server.requirePrincipal=true`(多租;运维由具名名单另给,本图表不渲 `OPERATOR_PRINCIPALS`)。
+两把键都没设 ⇒ `helm template` / `helm upgrade` 渲染即拒,句子就是出路;`server.operatorSingleUser` 只收布尔,字符串渲染即拒;只有 `operatorSingleUser=true` 与 `requirePrincipal=true` 同写才互斥,由服务端起服拒(图表不抄那一判);要用自己 env 补的具名运维名单 `OPERATOR_PRINCIPALS`(本图表不渲它)而不声明单人,写 `server.operatorSingleUser=false`。
+`sema-up` 的 kube 两条 helm 路径(`--kube=existing` / `--kube=k3s`,`--kube=machines` 下 `STACK_ENGINE=helm`)按 `--users` 把 `operatorSingleUser` 写进它生成的 values;自己拼 values 的部署照上面写。
+
 ## 停驻钥匙的持久卷(三条交付路径同形;helm 图表的 `sealedKey` 块)
 
 server 的钥匙保管目录存着停驻任务续跑上下文里请求凭据的封签钥匙(子目录 `checkpoint-ctx-keys/`)和模型钥匙 —— 私钥只在这个目录里、不进库。
@@ -196,8 +203,8 @@ Helm 形里,未启用 `serverV4pro`、钥匙卷是 `ReadWriteOnce` 的形(`serve
 全部凭据生成一次、落 `~/.sema-up/<project>/.env`(0600),重跑**绝不轮换**;
 summary 里管理员密码只显示一次(新生成那次),不进日志不进 git。
 
-重跑时租户形与车道同一条规则:**决策 = 显式旗 ∨ 部署事实 ∨ 表缺省**。部署事实 = `.env`(与 shell / `-f` 环境)里
-上一次落下的 `REQUIRE_PRINCIPAL` / `REMOTE_EXEC` —— **不带旗重跑即沿用它**(多租部署、e2b 部署都不必再带旗);显式
+重跑时租户形与车道同一条规则:**决策 = 显式旗 ∨ 部署事实 ∨ 表缺省** —— 租户形**没有表缺省**(`--users` 必填:显式旗 ∨ 部署事实,都没有 ⇒ 拒),车道才有。部署事实 = `.env`(与 shell / `-f` 环境)里
+上一次落下的 `REQUIRE_PRINCIPAL` / `REMOTE_EXEC` —— **不带旗重跑即沿用它**(多租部署、e2b 部署都不必再带旗;升级到本版的存量部署零动作,`.env` 里已有 `REQUIRE_PRINCIPAL`);显式
 `--users` / `--sandbox` 与事实不一致 ⇒ 非零退出并点名两处(不静默覆盖;要换就先清掉旧值)。`.env` 与 shell / `-f`
 两处都给了且不同 ⇒ 同样拒。读 `.env` 的这几个键(连同所选车道的必需键,如 `E2B_API_KEY`)只认 sema-up 自己写出的
 **规范形**:一行、行首顶格 `K=<值>`,值是一个词或一对同型引号包住的一个词;`export ` 前缀、键旁空格、`K: v`、

package/deploy/sema-up/chart/Chart.yaml

@@ -7,5 +7,5 @@ description: >-
   SC、kata-deploy(runtimeclass)、CNPG operator、runner-token 跨 ns 复制、MinIO 建桶、
   imagePullSecret(sema-regcred)。
 type: application
-version: 0.4.0
+version: 0.5.0
 appVersion: "1.156.1"

package/deploy/sema-up/chart/templates/NOTES.txt

@@ -1,3 +1,8 @@
+{{- with (include "sema.operatorSingleUser" .) }}
+运维声明:server.operatorSingleUser={{ . }} 已原样渲给每只 worker(env OPERATOR_SINGLE_USER);图表不从 server.requirePrincipal 派生它 —— 这是你写下的部署声明。
+{{- else }}
+运维声明:server.operatorSingleUser 未设,图表没有渲 OPERATOR_SINGLE_USER(不从 server.requirePrincipal 派生);单人部署缺这一行、又没有你自己补的具名运维名单 OPERATOR_PRINCIPALS ⇒ 服务端起服拒 —— 补一行 server.operatorSingleUser=true(或补名单)。
+{{- end }}
 {{- $persist := eq (include "sema.sealedKey.enabled" .) "true" }}
 {{- if $persist }}
 停驻封签钥匙:server 的 <数据根>/sealed-key/ 在持久卷 {{ include "sema.sealedKey.claimName" . }}(挂在容器内 {{ include "sema.sealedKey.mountPath" . }},{{ include "sema.sealedKey.accessMode" . }}),重启与换副本都不丢钥匙,停驻的任务照常续跑。PVC 带 helm.sh/resource-policy: keep(helm uninstall 与把 sealedKey.persistence.enabled 改成 false 的 upgrade 都不删它)。

package/deploy/sema-up/chart/templates/_helpers.tpl

@@ -113,25 +113,24 @@ false
 {{- end -}}
 
 {{- /*
-  单用户运维声明(env OPERATOR_SINGLE_USER)渲给 worker 的值 = 租户姿态 `server.requirePrincipal` 的否定(同一个值派生,不另开 values 键):
-  单用户 ⇒ "true"(这台的调用方就是运维;server 装配运维面时要单用户部署说出谁是运维,缺了起服拒);多租 ⇒ "false"(运维由具名名单另给)。
-  `server.requirePrincipal` 只认 "true" / "false"(布尔与字符串写法同义,大小写不论;缺省 / null = "false");其它词渲染即拒 —— server 读
-  REQUIRE_PRINCIPAL 用的是更宽的布尔词表,图表若按「不是 true 就是单用户」读,"yes" / "1" / "on" 在 server 读成多租、在这里读成单用户 ⇒
-  两根键互斥、起服拒;抄一份那张词表又是第二份真源。两只 worker 都调这一只。
+  单用户运维声明(env OPERATOR_SINGLE_USER)渲给 worker 的值 = 部署写的显式键 `server.operatorSingleUser`(只收布尔),原样渲:`true` / `false` 逐字,不设 ⇒ 交回空(调用处不出这一行)。
+  **图表不替部署派生它**:「谁是运维」是部署的声明;从租户词 `server.requirePrincipal` 推出它(修前:未开 ⇒ `"true"`)会让忘设 `requirePrincipal` 的团队集群升级之后每个调用方都成运维 ——
+  服务端拒句里「不止一个人调用 ⇒ 设 REQUIRE_PRINCIPAL」那一道人判,对用模板的人永远不出现。两键都没设 ⇒ 渲染即拒(句子照服务端拒句的两条出路:单人 ⇒ operatorSingleUser;多人 ⇒ requirePrincipal),不静默二选一。
+  `requirePrincipal` 在这里只读「设没设」(nil 或空串 = 没设),不读它的值、不抄服务端的布尔词表(两条规则读同一个词表是第二份真源);单人声明与多租的互斥由服务端起服拒(唯一的判官)。
+  非布尔 ⇒ 渲染即拒:字符串 "false" 在模板里恒为真,会静默声明人人运维。两只 worker 都调这一只。
 */ -}}
 {{- define "sema.operatorSingleUser" -}}
-{{- $raw := .Values.server.requirePrincipal -}}
-{{- $rp := "" -}}
-{{- if not (kindIs "invalid" $raw) -}}
-{{- $rp = lower (trim (toString $raw)) -}}
-{{- end -}}
-{{- if eq $rp "" -}}
-{{- $rp = "false" -}}
-{{- end -}}
-{{- if not (has $rp (list "true" "false")) -}}
-{{- fail (printf "server.requirePrincipal must be \"true\" or \"false\", got %q — the chart derives OPERATOR_SINGLE_USER from it, and any other word would be read one way here and another way by the server" $rp) -}}
+{{- $raw := .Values.server.operatorSingleUser -}}
+{{- $rp := .Values.server.requirePrincipal -}}
+{{- if kindIs "invalid" $raw -}}
+{{- if or (kindIs "invalid" $rp) (eq (toString $rp) "") -}}
+{{- fail "neither server.operatorSingleUser nor server.requirePrincipal is set — the chart does not derive the operator declaration from the tenancy setting (a team cluster that forgot requirePrincipal would silently make every caller an operator). Declare it in one line: a deployment used by one person: set server.operatorSingleUser=true (every caller of this deployment is its operator); a deployment called by more than one person is multi-tenant: set server.requirePrincipal=true instead (its operators are then named in OPERATOR_PRINCIPALS); a deployment that names its operators in OPERATOR_PRINCIPALS through its own env (this chart does not render that list) states so with server.operatorSingleUser=false" -}}
+{{- end -}}
+{{- else if kindIs "bool" $raw -}}
+{{- $raw -}}
+{{- else -}}
+{{- fail (printf "server.operatorSingleUser must be a boolean (true or false) or unset, got %s %q — a string such as \"false\" is truthy in a template and would silently declare every caller an operator" (kindOf $raw) (toString $raw)) -}}
 {{- end -}}
-{{- ternary "false" "true" (eq $rp "true") -}}
 {{- end -}}
 
 {{- /*

package/deploy/sema-up/chart/templates/server-v4pro.yaml

@@ -61,9 +61,11 @@ spec:
             - { name: MODEL_VISION, value: {{ .Values.server.modelVision | quote }} }
             {{/* 租户姿态与主 worker 同值(文件头「同 env 面」的承诺;修前缺席 ⇒ 主 worker 多租时本只仍单用户)。 */}}
             - { name: REQUIRE_PRINCIPAL, value: {{ .Values.server.requirePrincipal | default "false" | quote }} }
-            {{/* 单用户运维声明 = 租户姿态的否定(同一个值派生,不另开 values 键):单用户 ⇒ 这台的调用方就是运维;多租 ⇒ 不声明(运维由具名名单另给)。
-                 server 装配运维面时要单用户部署说出谁是运维,缺了这一行单用户 worker 起服拒。派生与「只认 true / false」见 _helpers.tpl 的 sema.operatorSingleUser。 */}}
-            - { name: OPERATOR_SINGLE_USER, value: {{ include "sema.operatorSingleUser" . | quote }} }
+            {{/* 单用户运维声明 = 部署写的显式键 server.operatorSingleUser(只收布尔),原样渲;不设 ⇒ 不出这一行。图表不从租户词派生它;
+                 两键(operatorSingleUser / requirePrincipal)都没设 ⇒ 渲染即拒。判与句子见 _helpers.tpl 的 sema.operatorSingleUser。 */}}
+{{- with (include "sema.operatorSingleUser" .) }}
+            - { name: OPERATOR_SINGLE_USER, value: {{ . | quote }} }
+{{- end }}
             - { name: SANDBOX_PKG_SOURCE, value: {{ .Values.server.sandboxPkgSource | quote }} }
             {{/* 车道显式点名(REMOTE_EXEC)。REQUIRE_EXECUTION_LANE 是退役 env(设了即起服拒,拒句指向 REMOTE_EXEC),不再渲。
                  下面圈起来的一行取自车道表(lanes.json 的 kube 行),由生成器渲出,不要手改。 */}}

package/deploy/sema-up/chart/templates/server.yaml

@@ -72,9 +72,11 @@ spec:
             - { name: MODEL_API_KEY, valueFrom: { secretKeyRef: { name: sema-server-env, key: MODEL_API_KEY } } }
             - { name: MODEL_VISION, value: {{ .Values.server.modelVision | quote }} }
             - { name: REQUIRE_PRINCIPAL, value: {{ .Values.server.requirePrincipal | default "false" | quote }} }
-            {{/* 单用户运维声明 = 租户姿态的否定(同一个值派生,不另开 values 键):单用户 ⇒ 这台的调用方就是运维;多租 ⇒ 不声明(运维由具名名单另给)。
-                 server 装配运维面时要单用户部署说出谁是运维,缺了这一行单用户 worker 起服拒。派生与「只认 true / false」见 _helpers.tpl 的 sema.operatorSingleUser。 */}}
-            - { name: OPERATOR_SINGLE_USER, value: {{ include "sema.operatorSingleUser" . | quote }} }
+            {{/* 单用户运维声明 = 部署写的显式键 server.operatorSingleUser(只收布尔),原样渲;不设 ⇒ 不出这一行。图表不从租户词派生它;
+                 两键(operatorSingleUser / requirePrincipal)都没设 ⇒ 渲染即拒。判与句子见 _helpers.tpl 的 sema.operatorSingleUser。 */}}
+{{- with (include "sema.operatorSingleUser" .) }}
+            - { name: OPERATOR_SINGLE_USER, value: {{ . | quote }} }
+{{- end }}
             - { name: SANDBOX_PKG_SOURCE, value: {{ .Values.server.sandboxPkgSource | quote }} }
             {{/* 车道显式点名(REMOTE_EXEC)。REQUIRE_EXECUTION_LANE 是退役 env(设了即起服拒,拒句指向 REMOTE_EXEC),不再渲。
                  下面圈起来的一行取自车道表(lanes.json 的 kube 行),由生成器渲出,不要手改。 */}}

package/deploy/sema-up/chart/values-full-single.yaml

@@ -1,7 +1,9 @@
 # full-single(单节点 k3s dev/测试)覆盖:1 实例 PG、preferred 反亲和(required 在单机=永久
 # Pending——真踩)、2 副本 server(钥匙卷 RWO,见文末)。用法:
 #   helm upgrade --install sema-stack ./chart -n sema --create-namespace \
-#     -f chart/values-full-single.yaml --set server.image=… --set …(凭据)
+#     -f chart/values-full-single.yaml --set server.image=… --set …(凭据) --set server.operatorSingleUser=true
+# 末尾那一键是运维声明:单节点不等于单用户,本覆盖文件不替你写。只给一个人用 ⇒ server.operatorSingleUser=true;被不止一个人调用 ⇒ 改成 --set server.requirePrincipal=true;
+# 两键都不写渲染即拒(见 values.yaml 的 server 块)。
 pg:
   instances: 1
   antiAffinity: preferred

package/deploy/sema-up/chart/values.yaml

@@ -48,7 +48,14 @@ server:
   modelId: ""              # REQUIRED
   modelApiKey: ""          # REQUIRED
   modelVision: "false"
-  requirePrincipal: "false"   # users=multi 时 true(身份隔离;compose 路径同名 env)。只认 "true" / "false";单用户运维声明 OPERATOR_SINGLE_USER 由它派生(false ⇒ "true")
+  # 两把「谁是运维」的键 —— 部署自己写,图表不替部署派生、不给缺省:**两把都没设 ⇒ 渲染即拒**(一句话说清两条出路,不静默二选一)。
+  #   operatorSingleUser(布尔 true / false;不设 ⇒ 不渲)= 单人部署:这台的每个调用方都是运维(env OPERATOR_SINGLE_USER);只给一个人用的部署写 true。
+  #   requirePrincipal(env REQUIRE_PRINCIPAL;不设 ⇒ 渲服务端缺省 "false")= 多人部署:身份隔离,运维由具名名单另给(env OPERATOR_PRINCIPALS,本图表不渲);
+  #     被不止一个人调用的部署写 true(compose 路径同名 env)。值原样递给服务端读,图表不判词。
+  #   只有 operatorSingleUser=true 与 requirePrincipal=true 同写才互斥,由服务端起服拒,图表不抄那一判。operatorSingleUser=false 逐字渲(服务端读 false 与缺席同判):
+  #     给自己 env 补了具名运维名单 OPERATOR_PRINCIPALS 的部署用它表态「我不声明单人」。kube-up / cluster-up 按 --users 把 operatorSingleUser 写进 values。
+  operatorSingleUser: null
+  requirePrincipal: null
   # 耐久审批(env DURABLE_APPROVAL;停驻 / 续跑 / /v1/approvals 整条路由)。留空 = 图表不渲这个 env,开关归引擎按姿态定
   # (单用户 + 有耐久店 ⇒ 开;requirePrincipal=true 的多用户形 ⇒ 关);"true" / "false" = 显式表态,原样渲给每只 worker。
   # sealedKey.persistence.enabled=false 时图表固定渲 "false"(钥匙跨不过重启,停驻行就续不了);此处再写 "true" ⇒ 渲染即拒。

package/deploy/sema-up/cluster-up.sh

@@ -7,7 +7,7 @@
 #
 # 输入(sema-up.sh 解析 machines.yaml 后注入):
 #   MACHINE_COUNT + MACHINE_<i>_{HOST,USER,SSH_KEY,NAME,ROLE,PRIVATE_IP,PUBLIC_IFACE}
-#   WORK(状态目录,.env 在此)REGION PROJECT USERS(single|multi,缺省 single;翻成主 worker 的 REQUIRE_PRINCIPAL)
+#   WORK(状态目录,.env 在此)REGION PROJECT USERS(single|multi,必填、没有缺省〔重跑沿用 .env 里上一次的事实〕;翻成主 worker 的 REQUIRE_PRINCIPAL 与 OPERATOR_SINGLE_USER)
 #   SEMA_SERVER_IMAGE(registry 引用)或 SEMA_SERVER_IMAGE_TAR(本地 docker save tar[.gz])二选一
 #   MODEL_GATEWAY_BASEURL MODEL_ID MODEL_API_KEY
 #   ALLOW_SMALL_CLUSTER=true 放行 <3 机(dev/CI 单节点验流程;生产必须 >=3 奇数)
@@ -48,16 +48,16 @@ CNPG_VERSION="${CNPG_VERSION:-1.30.0}"   # ⚠ in-tree barman 1.31 移除;升版
 LONGHORN_VERSION="${LONGHORN_VERSION:-1.10.0}"
 KATA_VERSION="${KATA_VERSION:-3.21.0}"
 STACK_ENGINE="${STACK_ENGINE:-render}"   # sema-stack 装配引擎:render(as-built 渲染 apply,缺省)| helm
-USERS_GIVEN="${USERS:+1}"                # 显式给没给(缺省之前记下;决策见下方 users_decide)
-USERS="${USERS:-single}"                 # 租户形:经 principal_of_users 翻成 REQUIRE_PRINCIPAL,两条装配路径同一次翻译
+USERS="${USERS:-}"                       # 租户形没有缺省(部署自己的声明):经 principal_of_users 翻成 REQUIRE_PRINCIPAL,两条装配路径同一次翻译
+USERS_GIVEN="${USERS:+1}"                # 显式给没给(决策见下方 users_decide)
 NODEPORT=30890
 
 # 取值旗的形——在对任何一台机器发起 ssh 之前。修前:REGION=eu 当成「非 cn 非 global」、STACK_ENGINE=x 当成 render。
 flag_enum "--region(REGION)" "$REGION" $FLAG_WORDS_REGION
 flag_enum "STACK_ENGINE" "$STACK_ENGINE" $FLAG_WORDS_STACK_ENGINE
-flag_enum "--users(USERS)" "$USERS" $FLAG_WORDS_USERS
-# 租户形 = 显式 USERS ∨ 上一次落下的部署事实 ∨ single(lib/flagshape.sh 的 users_decide)——在任何 ssh 之前判,
-# 不带旗的重跑不会把多租部署降成单用户。
+if [ -n "$USERS_GIVEN" ]; then flag_enum "--users(USERS)" "$USERS" $FLAG_WORDS_USERS; fi   # 没给的由 users_decide 判(事实 ∨ 拒)
+# 租户形 = 显式 USERS ∨ 上一次落下的部署事实;都没有 ⇒ 拒(没有缺省;lib/flagshape.sh 的 users_decide / flag_users_required)——在任何 ssh 之前判,
+# 不带旗的重跑不会把多租部署降成单用户,首装忘设人数的部署也不会被脚本替选。
 ENVF="$WORK/.env"
 users_decide "$USERS_GIVEN"
 log "租户形 users=$USERS(REQUIRE_PRINCIPAL=$(principal_of_users "$USERS"))"
@@ -316,6 +316,7 @@ if [ "$STACK_ENGINE" = "helm" ]; then
     V_PKG_SOURCE="$([ "$REGION" = "global" ] && echo global || echo '')" \
     V_PG_INSTANCES="$PG_INSTANCES" V_PG_AA="$PG_AA" V_REPLICAS="$SERVER_REPLICAS" \
     V_REQ_PRINCIPAL="$(principal_of_users "$USERS")" \
+    V_OPERATOR_SINGLE_USER="$(operator_single_user_of_users "$USERS")" \
     python3 - > "$VALSF" < "$HERE/lib/helm-values-cluster.py"
   )
   [ -s "$VALSF" ] || die "helm values 生成失败"

package/deploy/sema-up/kube-up.sh

@@ -51,8 +51,8 @@ PROJECT="${PROJECT:-sema}"
 REGION="${REGION:-global}"
 KUBE_MODE="${KUBE_MODE:?KUBE_MODE 未设置(existing|k3s)}"
 DRY_RUN="${DRY_RUN:-false}"
-USERS_GIVEN="${USERS:+1}"   # 显式给没给(缺省 single 之前记下;决策见下方 users_decide)
-USERS="${USERS:-single}"
+USERS="${USERS:-}"          # 租户形没有缺省(部署自己的声明):显式 USERS ∨ 上一次落在 .env 的事实,都没有 ⇒ 拒(下方 users_decide 调 flag_users_required)
+USERS_GIVEN="${USERS:+1}"   # 显式给没给(决策见下方 users_decide)
 REGISTRY_ENABLED="${REGISTRY_ENABLED:-true}"
 GIT_MODE="${GIT_MODE:-none}"
 NAMESPACE="${NAMESPACE:-sema}"
@@ -64,12 +64,12 @@ K3S_CHANNEL="${K3S_CHANNEL:-stable}"
 # 修前:DRY_RUN=1 ≠ true ⇒ 当成真装;REGISTRY_ENABLED=yes 当关;USERS=team 当 single;KUBE_MODE=foo 走 existing 那一臂。
 flag_enum "--kube(KUBE_MODE)" "$KUBE_MODE" $FLAG_WORDS_KUBE_SINGLE   # machines 走 cluster-up.sh,不进本脚本
 flag_bool "DRY_RUN(--dry-run)" "$DRY_RUN"
-flag_enum "--users(USERS)" "$USERS" $FLAG_WORDS_USERS
+if [ -n "$USERS_GIVEN" ]; then flag_enum "--users(USERS)" "$USERS" $FLAG_WORDS_USERS; fi   # 没给的由 users_decide 判(事实 ∨ 拒)
 flag_bool "--registry(REGISTRY_ENABLED)" "$REGISTRY_ENABLED"
 flag_enum "--git(GIT_MODE)" "$GIT_MODE" $FLAG_WORDS_GIT
 flag_enum "--region(REGION)" "$REGION" $FLAG_WORDS_REGION
-# 租户形 = 显式 USERS ∨ 上一次落下的部署事实 ∨ single(规则与拒句在 lib/flagshape.sh 的 users_decide)——
-# 在动集群之前判,不带旗的重跑不会把多租部署降成单用户。
+# 租户形 = 显式 USERS ∨ 上一次落下的部署事实;都没有 ⇒ 拒(没有缺省;规则与拒句在 lib/flagshape.sh 的 users_decide / flag_users_required)——
+# 在动集群之前判,不带旗的重跑不会把多租部署降成单用户,首装忘设人数的部署也不会被脚本替选。
 ENVF="$WORK/.env"
 users_decide "$USERS_GIVEN"
 
@@ -222,7 +222,7 @@ helm_values() { # helm_values <giteaBaseUrl> <oauthId> <oauthSecret>
   V_MODEL_GATEWAY="$MODEL_GATEWAY_BASEURL" V_MODEL_ID="$MODEL_ID" \
   V_SERVER_IMAGE="$SEMA_SERVER_IMAGE" V_REPLICAS="$SERVER_REPLICAS" \
   V_PG_INSTANCES="$PG_INSTANCES" V_PG_AA="$PG_AA" V_SC="$STORAGE_CLASS" V_SK_SC="$SEALED_KEY_SC" \
-  V_RT_CLASS="$RUNTIME_CLASS" V_REQ_PRINCIPAL="$(principal_of_users "$USERS")" \
+  V_RT_CLASS="$RUNTIME_CLASS" V_REQ_PRINCIPAL="$(principal_of_users "$USERS")" V_OPERATOR_SINGLE_USER="$(operator_single_user_of_users "$USERS")" \
   V_PKG_SOURCE="$([ "$REGION" = "global" ] && echo global || echo '')" \
   V_REG_ENABLED="$REGISTRY_ENABLED" V_REG_IMAGE="${SEMA_REGISTRY_IMAGE:-}" \
   V_REG_PW="${REGISTRY_ADMIN_PASSWORD:-}" V_REG_SS="${REGISTRY_SESSION_SECRET:-}" V_REG_PT="${REGISTRY_PULL_TOKEN:-}" \

package/deploy/sema-up/lib/flagshape.sh

@@ -18,26 +18,54 @@
 # ── 词表(单一属主)──────────────────────────────────────────────────────────────────────────────
 FLAG_WORDS_PROFILE="full-single data-center local-plus full-cluster"
 FLAG_WORDS_USERS="single multi"
+# 租户形的释义 —— 拒句(flag_users_required)按词表逐词取,与词表同批改(词表加一个词而这里没有它 ⇒ 拒句生成处非零退出,不静默少一条出路)。
+users_gloss() {
+  case "$1" in
+    single) printf '%s' "只给一个人用:这台部署的每个调用方都是它的运维,身份隔离关" ;;
+    multi) printf '%s' "被不止一个人调用(团队):身份隔离开,运维由具名名单 OPERATOR_PRINCIPALS 另给" ;;
+    *) return 1 ;;
+  esac
+}
 # 租户形 ⇒ 容器上 REQUIRE_PRINCIPAL 的值 —— 这条翻译的**唯一**定义(7.105.0 从 sema-up.sh 搬来):sema-up 的 compose 生成段 /
 # 事实核对,kube-up 的 helm values,cluster-up 的渲染清单与 helm values 同调这一只(修前 kube-up 另写一份同义翻译;
-# cluster-up 一份都没有 ⇒ --users=multi 在 --kube=machines 路径上被静默丢成单用户)。只认两词,别的词先过 flag_enum。
-principal_of_users() { [ "$1" = "multi" ] && echo true || echo false; }
+# cluster-up 一份都没有 ⇒ --users=multi 在 --kube=machines 路径上被静默丢成单用户)。**闭集**:只认 single / multi 两词,
+# 别的词(含空串)⇒ 非零退出、零输出 —— 不再有「认不出的词当 single」那一臂(缺省派生藏在翻译里,就是部署脚本替部署选了人数)。
+principal_of_users() { case "$1" in multi) echo true ;; single) echo false ;; *) return 1 ;; esac; }
 # 租户形 ⇒ 单用户运维声明 OPERATOR_SINGLE_USER 的值(唯一定义;三只脚本 / 渲染段同调):server 装配运维面时要单用户部署说出谁是运维,
 # 不声明不起服(声明与具名名单 OPERATOR_PRINCIPALS 二选一;本工具渲前者)。single = 这台只有一个人 ⇒ 他就是运维(true);
-# multi = 多租,运维由具名名单另给 ⇒ 不声明(false;多租形上声明本身会被 server 拒)。chart 从 server.requirePrincipal 同一句派生。
-operator_single_user_of_users() { [ "$1" = "multi" ] && echo false || echo true; }
+# multi = 多租,运维由具名名单另给 ⇒ 不声明(false;多租形上声明本身会被 server 拒)。同样是闭集(别的词 / 空串 ⇒ 非零、零输出)。
+# 这句翻译只翻**部署自己给的那一词**(`--users` / `-f` 配置 / 这台部署上一次落下的事实 / 向导里人答的那一句);词没有给 ⇒ 过不到这里(见 users_decide /
+# flag_users_required)。helm 图表不派生它:kube-up / cluster-up 的 helm 路径把这一句的结果写进 values 的 server.operatorSingleUser。
+operator_single_user_of_users() { case "$1" in single) echo true ;; multi) echo false ;; *) return 1 ;; esac; }
+# flag_users_required <称呼> —— `--users`(几个人用)**必填,没有缺省**:这一词是部署自己的声明,部署脚本 / 模板不替它选。缺省 single 会让
+# 用模板起团队集群又忘设人数的部署每个调用方都成运维(服务端拒句里「不止一个人调用 ⇒ 设 REQUIRE_PRINCIPAL」那一道人判,对用脚本的人永远不出现);
+# 缺省 multi 同样是替部署选(替单人部署开身份隔离)。拒 = log 两行 + exit 1。**拒句只在这里写一次**(sema-up / kube-up / cluster-up 同调;词从
+# FLAG_WORDS_USERS 取,释义从 users_gloss 取),与随包 helm 图表的「两键都没设 ⇒ 渲染即拒」同一律同一组出路。
+flag_users_required() {
+  local w g out=""
+  for w in $FLAG_WORDS_USERS; do
+    g="$(users_gloss "$w")" || { log "⛔ 内部不一致:租户词 $w 在 FLAG_WORDS_USERS 里却没有释义 —— 词表与 users_gloss 要同批改"; exit 1; }
+    out="${out:+$out / }--users=$w($g)"
+  done
+  log "⛔ $1 没给 —— 几个人用是这台部署自己的声明:部署脚本不替你选(缺省 single = 忘设人数的团队集群每个调用方都成运维;缺省 multi = 替单人部署开身份隔离)"
+  log "   ↳ 下一步(二选一):$out;kube-up.sh / cluster-up.sh 单独跑时同一个词写成环境变量 USERS=<词>"
+  exit 1
+}
 
 # users_decide <显式给了 USERS 吗(1 / 空)> —— kube 两条装配路径(kube-up / cluster-up)的租户形决策,与 sema-up 的
-# compose 档同一条规则:**决策 = 显式 USERS ∨ 上一次落在 $ENVF 的部署事实 REQUIRE_PRINCIPAL ∨ single**;显式值与事实
-# 不一致 ⇒ 拒并点名两处(不静默把一台多租部署降成单用户,也不静默把单用户升成多租)。事实 → 租户词只经
+# compose 档同一条规则:**决策 = 显式 USERS ∨ 上一次落在 $ENVF 的部署事实 REQUIRE_PRINCIPAL;都没有 ⇒ 拒(flag_users_required,没有缺省)**;
+# 显式值与事实不一致 ⇒ 拒并点名两处(不静默把一台多租部署降成单用户,也不静默把单用户升成多租)。事实 → 租户词只经
 # principal_of_users 反查(两词逐个过正向比,不另写反表);认不出的事实值 ⇒ 拒。设 USERS。
 # codex 一轮 [high]:machines 路径开始认 --users 之后,一次不带旗的重跑会拿缺省 single 把多租部署的
-# REQUIRE_PRINCIPAL 翻回 false(kube-up 路径此前就同形)—— 事实由两只脚本各自在写凭据的同一处 resetk 落盘。
+# REQUIRE_PRINCIPAL 翻回 false(kube-up 路径此前就同形)—— 事实由两只脚本各自在写凭据的同一处 resetk 落盘;缺省 single 本身随后退役(没有缺省)。
 # 调用方先 source lib/envf.sh 并定好 ENVF(文件可以还不存在 = 首装,无事实)。
 users_decide() {
   local given="$1" fact fact_users="" u
   fact="$(envf_get REQUIRE_PRINCIPAL)" || exit 1
-  [ -n "$fact" ] || return 0
+  if [ -z "$fact" ]; then
+    [ -n "$given" ] || flag_users_required "--users(USERS)"
+    return 0
+  fi
   for u in $FLAG_WORDS_USERS; do [ "$(principal_of_users "$u")" = "$fact" ] && fact_users="$u"; done
   if [ -z "$fact_users" ]; then
     log "⛔ 部署事实 $ENVF 里 REQUIRE_PRINCIPAL=$(flag_show "$fact"):本工具只读自己写出的两形 $(principal_of_users multi) / $(principal_of_users single)"

package/deploy/sema-up/lib/helm-values-cluster.py

@@ -10,6 +10,8 @@ print(json.dumps({
     "modelGatewayBaseurl": e["V_MODEL_GATEWAY"], "modelId": e["V_MODEL_ID"],
     "modelApiKey": e["V_MODEL_KEY"], "sandboxPkgSource": e["V_PKG_SOURCE"],
     "requirePrincipal": e["V_REQ_PRINCIPAL"],
+    # 单用户运维声明由部署工具按 --users 写(图表不派生);值是 flagshape 那一句翻译的 true / false,JSON 布尔 = 图表只收的类型。
+    "operatorSingleUser": e["V_OPERATOR_SINGLE_USER"] == "true",
   },
   # chart 0.3.0 起 registry.enabled 默认 true(单机档语义)——machines 多机路径的 registry/git
   # 面还没接线,必须显式关,不然 helm 撞 registry.image required(2026-07-12 自查)

package/deploy/sema-up/lib/helm-values-kube.py

@@ -17,6 +17,8 @@ v = {
     "serviceAuthToken": e["V_SVC_TOKEN"], "modelGatewayBaseurl": e["V_MODEL_GATEWAY"],
     "modelId": e["V_MODEL_ID"], "modelApiKey": e["V_MODEL_KEY"],
     "sandboxPkgSource": e["V_PKG_SOURCE"], "requirePrincipal": e["V_REQ_PRINCIPAL"],
+    # 单用户运维声明由部署工具按 --users 写(图表不派生);值是 flagshape 那一句翻译的 true / false,JSON 布尔 = 图表只收的类型。
+    "operatorSingleUser": e["V_OPERATOR_SINGLE_USER"] == "true",
   },
   "sandbox": {"runtimeClass": e["V_RT_CLASS"],
               "networkPolicy": {"nodeCidrs": json.loads(e["V_NODE_CIDRS"])}},

package/deploy/sema-up/machines.example.yaml

@@ -3,7 +3,9 @@
 # 凭据二选一:password(bootstrap 用它铺 ssh key,不落盘不入日志)或 ssh_key(已互信)。
 profile: full-cluster   # full-cluster | full-single | data-center | local-plus
 region: auto            # auto | cn | global(auto=连通性探测,--region 可覆盖)
-users: single           # single(超管 turnkey,推荐)| multi(身份隔离+能力默认全开)
+# users: single|multi   # 必填(这里不写缺省,也不替你选):几个人用是这台部署自己的声明。取消注释写一个,或每次带 sema-up 的 --users=<词>;
+#                       # single = 只给一个人用(每个调用方都是运维;超管 turnkey)| multi = 一个团队(身份隔离+能力默认全开,运维由具名名单另给)。
+#                       # 重跑沿用 ~/.sema-up/<project>/.env 里上一次落下的,不必再写;都没有 ⇒ sema-up 拒并给两条出路。
 # server_image: ghcr.io/sema-agent/sema-server:<tag>   # 引擎镜像 registry 引用(GHCR/Docker Hub 公开仓,
 #                         # 匿名可拉;CN 兜底=内网 Gitea registry。SWR 已弃用 2026-07-13);
 #                         # 不填则要 env SEMA_SERVER_IMAGE 或 SEMA_SERVER_IMAGE_TAR(tar 预灌)

package/deploy/sema-up/sema-up.sh

@@ -56,7 +56,7 @@ usage() {
   cat "$HERE/lib/usage-head.txt"
   # 闭集词表从 lib/flagshape.sh 渲(单一属主):加 / 删一个词,这几行自己跟着变
   printf '  --profile=P            %s\n' "$(printf '%s' "$FLAG_WORDS_PROFILE" | tr ' ' '|')"
-  printf '  --users=U              %s\n' "$(printf '%s' "$FLAG_WORDS_USERS" | tr ' ' '|')"
+  printf '  --users=U              %s(必填,没有缺省;重跑沿用 .env 里上一次落下的;data-center 档不装 agent,不用)\n' "$(printf '%s' "$FLAG_WORDS_USERS" | tr ' ' '|')"
   printf '  --region=R             %s\n' "$(printf '%s' "$FLAG_WORDS_REGION" | tr ' ' '|')"
   cat "$HERE/lib/usage-flags.txt"
   # 词表从 lib/lanes.json 渲(单一属主):加/删一条车道,这行自己跟着变
@@ -327,7 +327,7 @@ fi
   "data-center:只装数据面(PG+MinIO+备份)——agent 在你自己机器上,数据放这里" \
   "full-cluster:k8s 准生产——3 机 ssh 装配 / 已有集群 kubeconfig / 本机装 k3s" \
   "local-plus:本机只跑 agent,连一个已经部署好的 data-center 数据面")
-# ── 两个决策(租户形 / 车道)同一条规则:决策 = 显式旗 ∨ 部署事实 ∨ 表缺省 ─────────────────────
+# ── 两个决策(租户形 / 车道)同一条规则:决策 = 显式旗 ∨ 部署事实 ∨ 表缺省 —— 租户形**没有表缺省**(见下)─────────────────────
 # 「部署事实」= 同一只 `$WORK/.env`:compose 的 agent 档由本脚本写,full-cluster 由 kube-up / cluster-up 在写凭据的同一处
 # 写(修前 kube 两条路径不落这条事实 ⇒ 不带旗重跑拿缺省 single 把多租部署降回单用户);data-center 不起 agent。事实 → 决策词只经属主翻译,本脚本不抄第二份:
 #   · REQUIRE_PRINCIPAL → --users:只认 sema-up 自己写出的两形 true / false(别的写法 ⇒ 拒;不复刻 server 的布尔词表);
@@ -335,18 +335,20 @@ fi
 # 不带旗重跑 ⇒ 沿用事实(多租部署重跑不必再带 --users=multi);显式旗与事实不一致 ⇒ fact_conflict 拒并点名两处。
 # 🔴 为什么缺省不能先于事实(合并复审两条真案):把表缺省当成意图去和事实比,合法的无旗重跑就被拒;
 # 反过来若只比不拒,保留的多租 `.env` 在缺省 single 下会被车道表判成 host —— 容器拿到 REQUIRE_PRINCIPAL=true ∧ host。
+# 🔴 租户形不取缺省(单用户声明由部署写,脚本不替它选):显式旗(`--users` / `-f` 配置)∨ 部署事实 ∨ 向导里人答的那一句,都没有 ⇒ 拒
+# (`flag_users_required`,拒句与 kube-up / cluster-up 同一只判官)。缺省 single = 用模板起团队集群又忘设人数的部署人人是运维;缺省 multi 同样是
+# 替部署选。data-center 档不装 agent,没有声明可言:不问、不拒(USERS 留空,汇总行写 n/a)。
 # 租户形 ⇒ 容器上 REQUIRE_PRINCIPAL 的值:`principal_of_users`(lib/flagshape.sh,三只脚本共用的唯一定义;kube-up /
-# cluster-up 也调它)。正向(生成段 setk、事实核对)与反向(事实 → --users 缺省)都经它:反向是拿两个租户词逐个过这只函数去比,
+# cluster-up 也调它)。正向(生成段 setk、事实核对)与反向(事实 → 向导问句的缺省词)都经它:反向是拿两个租户词逐个过这只函数去比,
 # 不另写一张反表(与车道的 `lanes choice-of` 同一姿势)。
-USERS_DEF="single" RP_FACT="" RP_FACT_SRC=""
+USERS_DEF="" RP_FACT="" RP_FACT_SRC="" REQUIRE_PRINCIPAL_WANT=""
 case "$PROFILE" in
   # full-cluster 也读 —— kube-up / cluster-up 在写凭据的同一处把 REQUIRE_PRINCIPAL 落进同一只 .env(它们自己
   # 单独跑时也按同一条规则判,见 lib/flagshape.sh 的 users_decide)。
   full-single|local-plus|full-cluster)
     deploy_fact REQUIRE_PRINCIPAL; RP_FACT="$FACT_VAL" RP_FACT_SRC="$FACT_SRC"
     if [ -n "$RP_FACT" ]; then
-      USERS_DEF=""
-      for _u in single multi; do [ "$(principal_of_users "$_u")" = "$RP_FACT" ] && USERS_DEF="$_u"; done
+      for _u in $FLAG_WORDS_USERS; do [ "$(principal_of_users "$_u")" = "$RP_FACT" ] && USERS_DEF="$_u"; done
       if [ -z "$USERS_DEF" ]; then
         log "⛔ 部署事实 REQUIRE_PRINCIPAL=$RP_FACT(来自 $RP_FACT_SRC):本脚本只读自己写出的两形 $(principal_of_users multi) / $(principal_of_users single)"
         log "   ↳ 下一步:改成 REQUIRE_PRINCIPAL=$(principal_of_users multi)(多人,身份隔离)或 REQUIRE_PRINCIPAL=$(principal_of_users single)(单人),再重跑"
@@ -354,13 +356,17 @@ case "$PROFILE" in
         exit 1
       fi
     fi
+    if [ -z "$USERS" ]; then
+      # 无人值守没有人答 ⇒ 没有事实就没有词:拒。向导(tty / json)里问句的缺省只有事实词(重跑),没有事实 ⇒ 缺省为空,空答由 ask 的闭集句拒(同样列两词)。
+      if [ -z "$USERS_DEF" ] && [ "$MODE_INTERACTIVE" = "none" ]; then flag_users_required "--users(USERS)"; fi
+      USERS=$(ask users "几个人用?" "$USERS_DEF" "这是这台部署自己的声明,没有缺省(重跑沿用上一次落下的);单人可跳过全部权限配置,多人要开身份隔离" \
+        "single:就我一个(超级管理员 turnkey,零权限配置)" \
+        "multi:一个团队(身份隔离 ON,能力默认全开,之后可用 policy 收紧)")
+    fi
+    REQUIRE_PRINCIPAL_WANT="$(principal_of_users "$USERS")"
+    fact_conflict REQUIRE_PRINCIPAL "$RP_FACT" "$RP_FACT_SRC" "$REQUIRE_PRINCIPAL_WANT" "--users=$USERS"
     ;;
 esac
-[ -z "$USERS" ] && USERS=$(ask users "几个人用?" "$USERS_DEF" "单人可跳过全部权限配置,多人要开身份隔离" \
-  "single:就我一个(超级管理员 turnkey,零权限配置)" \
-  "multi:一个团队(身份隔离 ON,能力默认全开,之后可用 policy 收紧)")
-REQUIRE_PRINCIPAL_WANT="$(principal_of_users "$USERS")"
-fact_conflict REQUIRE_PRINCIPAL "$RP_FACT" "$RP_FACT_SRC" "$REQUIRE_PRINCIPAL_WANT" "--users=$USERS"
 
 # registry:各档默认带上(clay 2026-07-12 拍;显式 --registry=false 可关)。
 # local-plus 例外默认 false——它的数据面在远端,配置中心应随数据面部署,本机再起一个=两个配置中心。
@@ -544,7 +550,7 @@ HOSTIP=$(host_ip)
 # test srv796 实测 NEW-5)。7.104.0 起REGISTRY_ENABLED 在建工作目录之前已过形判(只会是 true / false,或空 =
 # 走档位缺省,缺省在上面已落定),registry 仍收成 on/off 决策词。region/profile/users/lane/git 到这里都已定死
 # (形判在参数解析之后、交互答案在 ask() 里、车道在车道块)。
-log "region=$REGION profile=$PROFILE users=$USERS sandbox=${SANDBOX_LANE:-n/a} lane=${LANE_REMOTE_EXEC:-n/a} registry=$([ "$REGISTRY_ENABLED" = "true" ] && echo on || echo off) git=$GIT_MODE"
+log "region=$REGION profile=$PROFILE users=${USERS:-n/a} sandbox=${SANDBOX_LANE:-n/a} lane=${LANE_REMOTE_EXEC:-n/a} registry=$([ "$REGISTRY_ENABLED" = "true" ] && echo on || echo off) git=$GIT_MODE"
 
 # ── 数据根(一条规则 —— 数据根归一个项目所有;判据全在 lib/dataroot.sh)───────────────────────────
 # 取哪条根:`.env` 首装值(已装的项目不漂移,不搬数据)∨ --data-root / -f 的 DATA_ROOT ∨ 多盘机自动选大容量盘
@@ -616,7 +622,7 @@ fi
 if $DRY_RUN; then
   {
     echo "══════ sema-up dry-run(不写文件、不起容器)══════"
-    echo " profile=$PROFILE users=$USERS region=$REGION registry=$REGISTRY_ENABLED git=$GIT_MODE"
+    echo " profile=$PROFILE users=${USERS:-n/a} region=$REGION registry=$REGISTRY_ENABLED git=$GIT_MODE"
     echo " compose profiles: $COMPOSE_PROFILES(project=$PROJECT)"
     echo " 凭据文件: $ENVF $([ -f "$ENVF" ] && echo '(已存在:只补缺,已有凭据不轮换)' || echo '(将新建,0600)')"
     echo " 将执行:"
@@ -680,8 +686,8 @@ if [ "$PROFILE" = "full-single" ] || [ "$PROFILE" = "local-plus" ]; then
   setk MODEL_ID "$MODEL"
   [ -n "$MODEL_KEY" ] && setk MODEL_API_KEY "$MODEL_KEY"
   setk REQUIRE_PRINCIPAL "$REQUIRE_PRINCIPAL_WANT"
-  # 单用户运维声明:由租户词派生(lib/flagshape.sh 唯一定义),每次重写 —— 它不是第二个部署事实,是 REQUIRE_PRINCIPAL 那一个事实的另一根键。
-  # 不写 ⇒ 单用户 server 起服拒(没人能当运维);升级路径上旧 .env 没有这一行,resetk 补上。
+  # 单用户运维声明:由部署自己给的那一个租户词翻译(`--users` / 配置 / 上一次的事实 / 向导答案;缺了就在上面拒,没有缺省;lib/flagshape.sh 唯一定义),
+  # 每次重写 —— 它不是第二个部署事实,是 REQUIRE_PRINCIPAL 那一个事实的另一根键。不写 ⇒ 单用户 server 起服拒(没人能当运维);升级路径上旧 .env 没有这一行,resetk 补上。
   resetk OPERATOR_SINGLE_USER "$(operator_single_user_of_users "$USERS")"
   setk SANDBOX_PKG_SOURCE "$([ "$REGION" = "global" ] && echo global || echo '')"
   [ -n "${SEMA_SERVER_IMAGE:-}" ] && setk SEMA_SERVER_IMAGE "$SEMA_SERVER_IMAGE"
@@ -1084,7 +1090,7 @@ else
     echo " 数据卷    $(printf ',%s,' "$COMPOSE_PROFILES" | grep -q ',pg,' && printf '%s_pgdata ' "$PROJECT")$(printf ',%s,' "$COMPOSE_PROFILES" | grep -q ',s3,' && printf '%s_miniodata ' "$PROJECT")$([ "$REGISTRY_ENABLED" = "true" ] && printf '%s_registrydata ' "$PROJECT")$([ "$GIT_MODE" = "provision" ] && printf '%s_gitdata ' "$PROJECT")$(printf ',%s,' "$COMPOSE_PROFILES" | grep -q ',agent,' && printf '%s_sealedkey' "$PROJECT")$([ -n "$DATA_ROOT" ] && printf '(bind 落 %s)' "$DATA_ROOT")"
     echo " 重入      再跑同命令=幂等升级(凭据不轮换);验证=smoke.sh --project=$PROJECT"
     echo " 卸载      $0 --project=$PROJECT --teardown(留数据)/--teardown-volumes(连卷删)"
-    [ "$PROFILE" = "data-center" ] && echo " 接入      别处 agent 连这个数据面 = sema-up.sh --profile=local-plus --pg-host=$HOSTIP --minio-endpoint=http://$HOSTIP:$MINIO_PORT + 两个密码(本机 .env 里)"
+    [ "$PROFILE" = "data-center" ] && echo " 接入      别处 agent 连这个数据面 = sema-up.sh --profile=local-plus --users=<single|multi> --pg-host=$HOSTIP --minio-endpoint=http://$HOSTIP:$MINIO_PORT + 两个密码(本机 .env 里)"
     echo "═══════════════════════════════════════════════════════════"
   } >&2
 fi

package/dist/adoption/import.js

@@ -1,6 +1,6 @@
 import { createHash } from "node:crypto";
 import { SessionError } from "@sema-agent/core";
-import { createStagedLogFeed, MalformedImportEntryError, newStagingToken, StagedCommitOwnerChangedError } from "../session-sync-kernel.js";
+import { createStagedLogFeed, MalformedImportEntryError, newStagingToken, StagedCommitOccupantChangedError } from "../session-sync-kernel.js";
 import { STAGED_IMPORT_INVALID_SENTENCE } from "../session-error-wire.js";
 import { recordFailOpen } from "../observability/fail-open.js";
 import { AdoptionImportBodySchema, AdoptionImportEnvelopeSchema, ADOPTION_IMPORT_CLIENT_SESSION_ID_MAX_CHARS } from "./wire.js";
@@ -93,11 +93,11 @@ async function importOne(target, clientSessionId, entries) {
         throw e;
     }
     try {
-        await handle.commit(target.toPrincipal, { expectedOwner: undefined });
+        await handle.commit(target.toPrincipal, { expectedOccupant: undefined });
     }
     catch (e) {
         await handle.abort().catch(() => undefined);
-        if (e instanceof StagedCommitOwnerChangedError)
+        if (e instanceof StagedCommitOccupantChangedError)
             return { clientSessionId, outcome: "already_imported", sessionId };
         throw e;
     }

package/dist/approval-ask-audit-store.d.ts

@@ -166,7 +166,7 @@
  * 本店是协调器侧的审计 sink,不是跨后端 store 契约的一员(SQL 车道有真 ask 店,永不装本店)——
  * 装配点在 `boot/coordinators.ts`(判据:`toolApprovalEnabled` ∧ `backend.kind === "local"` ∧
  * `config.localDataRoot` 在场;真实 boot 恒铸 `localDataRoot`,缺席只发生在 stub-harness 上,判据
- * 理由照 `StreamApprovalGateInput.streamApprovalEnabled` 顶注的同款论证)。root 与 `LocalBackend`
+ * 只填被测键的 harness 要的必然是「别碰真盘」)。root 与 `LocalBackend`
  * 同源(`store-backend.ts:780` 的 `config.localDataRoot`),数据落 `<root>/approval-ask-audit/`。
  *
  * ## 体量与保留

package/dist/approval-ask-machine.d.ts

@@ -6,19 +6,13 @@ export declare const ASK_TERMINAL: ReadonlySet<AskState>;
 /** 批侧终态集合(无出边的 2 态)。 */
 export declare const BATCH_TERMINAL: ReadonlySet<BatchState>;
 /**
- * [ref]:回决理由(`AskRow.decisionNote` → `decision_note` 列)的字符上限,**两条回决腿共用一个常量**。
- *
- * 🔴 为什么住在这个模块:两个消费者分别是 durable 腿的 zod 体(`http/routes/runs.ts` 的
- * `AskDecisionBodySchema`)与 live 腿的手写 parser(`tool-approval.ts` 的 `parseToolApprovalResponse`),
- * 两处都在 ask 状态机的**同一张行**上写同一列。上限各写一份字面量 = 同一列上两个口径,而分歧只会在
- * 「一条腿收下、另一条腿 400」的那天才被发现。本模块是两腿唯一的共同上游(askId/batchId 铸造与转移表
- * 都在这里),放这里不引新依赖边。
+ * [ref]:回决理由(`AskRow.decisionNote` → `decision_note` 列)的字符上限 —— 列的口径住在行的状态机模块里(askId/batchId 铸造与转移表都在这里),
+ * 唯一的人决口(`http/routes/runs.ts` 的 `AskDecisionBodySchema`)读它。
  */
 export declare const MAX_DECISION_NOTE_CHARS = 2048;
 /**
- * 回决回执上「理由记上了吗」(`noteRecorded`)一格的**唯一判官与唯一组句器** —— 两口回决(live
- * `POST /v1/tool-approvals/:id/respond` 与耐久 `POST /v1/tasks/:taskId/asks/:askId/decision`)的每一个 200
- * 回体(PARKED 行经赎回腿受理的那一腿除外:它的理由走检查点回决链、不写 ask 行,尚无「记在哪张行」的定义,契约里点名为未覆盖)都经这两只函数说这件事,
+ * 回决回执上「理由记上了吗」(`noteRecorded`)一格的**唯一判官与唯一组句器** —— 决断口 `POST /v1/tasks/:taskId/asks/:askId/decision` 的每一个 200
+ * 回体(活卡首决 / 回放,与 PARKED 行经停驻赎回受理的那一腿:停驻门受理之后决定记在这只问的行上,理由就在那一列)都经这两只函数说这件事,
  * 不在各自的回体字面量里手写第二份。
  *
  * 三态同一份契约:请求**没带** `note` ⇒ 键缺席(不是 `false`);带了 ⇒ `true | false`:`true` = **已确认**持久行上那段文本就是这次提交的

package/dist/approval-ask-retention.d.ts

@@ -43,7 +43,7 @@ import type { BackgroundAgentRecord } from "@sema-agent/core";
 export declare const APPROVAL_ASK_RETENTION_DEFAULT_MS: number;
 /**
  * 正值的下限:1 天(低于即钳到 1 天并点名)。还能动的 run 的问本来就不删(见文件头);下限管的是**刚结束**的 run:
- * 客户端在 run 结束后还可能对它的卡做幂等重试 / 晚答(决断口回放首决、晚答口回 409 / 410 而不是 404),一天吸收这一段。
+ * 客户端在 run 结束后还可能对它的卡做幂等重试 / 晚答(决断口对已决行同键回放首决、否则 409,对作废行 410,而不是 404),一天吸收这一段。
  */
 export declare const APPROVAL_ASK_RETENTION_FLOOR_MS = 86400000;
 /** 两次清扫之间的最短间隔(见文件头「节律」)。 */