@sema-agent/server 7.151.0 → 7.152.0

package/dist/plugins/local-checkpoint-store.js

@@ -1,22 +1,19 @@
 import { writeLogText } from "../observability/logger.js";
 import { z } from "zod";
-import { denySweepOwns, parkedApprovalCard } from "../approval-content-kind.js";
-import { parkRowFacts, skillCardFacts } from "../approval-card.js";
-import { durableRowIdentity } from "../checkpoint-identity.js";
+import { denySweepOwns } from "../approval-content-kind.js";
 import { createHash } from "node:crypto";
 import { closeSync, existsSync, fsyncSync, openSync, readFileSync, readdirSync, rmSync, unlinkSync } from "node:fs";
 import { IS_WIN32 } from "./host-platform.js";
 import { join } from "node:path";
-import { CHECKPOINT_LIST_LIMITS, FileCheckpointStore, atomicWriteFile, checkpointDeadlinePassed, ensureDir, executionVerdict, sanitizePathComponent, } from "@sema-agent/core";
+import { CHECKPOINT_LIST_LIMITS, FileCheckpointStore, judgeCheckpointRow, summarizeCheckpoint, atomicWriteFile, checkpointDeadlinePassed, ensureDir, executionVerdict, sanitizePathComponent, } from "@sema-agent/core";
 import { approvalPayloadFingerprint } from "./approval-payload-fingerprint.js";
-import { approvalDecisionOfWinner, boundedRuleOffers, boundedToolInput, candidateIdentityOf, DENY_SWEEP_PAGE_ROWS, isUnreadableSummaryForm, parkedLegTaskId, pendingRowPrecedes, queueRowGateKind, queueTriageOrder, readRiskDescriptorBody, TERMINAL_BACKSTOP_MS, TERMINAL_GRACE_MS, } from "./checkpoint-store-face.js";
+import { approvalDecisionOfWinner, buildQueueActionFacts, buildQueueRow, candidateIdentityOf, DENY_SWEEP_PAGE_ROWS, pendingRowPrecedes, queueRowGateKind, queueTriageOrder, TERMINAL_BACKSTOP_MS, TERMINAL_GRACE_MS, } from "./checkpoint-store-face.js";
 import { quarantineUnreadableSidecar } from "./local-sidecar-quarantine.js";
 import { hostSessionOf } from "./checkpoint-index-columns.js";
-import { createZodColumnReader, decodeJsonColumn, foldJsonColumn, isJsonObject, readStringArrayColumn } from "./sql-json-column.js";
+import { createZodColumnReader, decodeJsonColumn, foldJsonColumn, readStringArrayColumn } from "./sql-json-column.js";
 import { UNMANAGED_RETENTION } from "./retention-declaration.js";
 import { assertJsonColumnWritable, createObjectColumnReader } from "./sql-json-column.js";
 import { FENCE_LANDED } from "./store-contracts.js";
-import { recordFailOpen } from "../observability/fail-open.js";
 const isFiniteNumber = (v) => typeof v === "number" && Number.isFinite(v);
 function terminalAtOf(cp) {
     const createdAt = cp.createdAt;
@@ -32,16 +29,6 @@ function sweepDeadlineKey(deadline) {
 function sweepPositionPrecedes(a, b) {
     return a.deadline < b.deadline || (a.deadline === b.deadline && a.token < b.token);
 }
-function queueRiskDescriptorOf(gate) {
-    const raw = isJsonObject(gate) ? gate.riskDescriptor : undefined;
-    if (raw === undefined || raw === null)
-        return null;
-    const shape = readRiskDescriptorBody(raw);
-    if (shape.problem === undefined)
-        return shape.value;
-    recordFailOpen("server.approvals.risk-descriptor-cell-unreadable");
-    return null;
-}
 function ctxFileOf(sessionId) {
     return `${sanitizePathComponent(sessionId).slice(0, 48)}-${createHash("sha256").update(sessionId).digest("hex").slice(0, 12)}.json`;
 }
@@ -69,6 +56,7 @@ const CtxRecordSchema = z.object({
 const readCtxRecord = createZodColumnReader(CtxRecordSchema);
 const readScopeRegistry = readStringArrayColumn;
 const readSessionTokenIndex = createZodColumnReader(z.record(z.string(), z.array(z.string())));
+const readCardScopeRootIndex = createZodColumnReader(z.record(z.string(), z.string()));
 function createCtxRecordReader() {
     const readPayload = createObjectColumnReader();
     return (body) => {
@@ -107,6 +95,8 @@ export class LocalCheckpointStore {
     hostTokens = new Map();
     hostOfToken = new Map();
     hostSessionsPath;
+    cardScopeRoots = new Map();
+    cardScopeRootsPath;
     opts;
     constructor(root, opts = {}) {
         this.inner = new FileCheckpointStore(root);
@@ -115,6 +105,7 @@ export class LocalCheckpointStore {
         this.scopesPath = join(root, "checkpoint-scopes.json");
         this.sessionTokensPath = join(root, "checkpoint-session-tokens.json");
         this.hostSessionsPath = join(root, "checkpoint-host-sessions.json");
+        this.cardScopeRootsPath = join(root, "checkpoint-card-scope-roots.json");
         const dirs = localCheckpointStoreDirsFor(root);
         this.ctxDir = dirs.ctx;
         this.tmpDir = dirs.tmp;
@@ -146,6 +137,11 @@ export class LocalCheckpointStore {
                 this.indexHost(host, toks);
             }
         }
+        if (existsSync(this.cardScopeRootsPath)) {
+            for (const [tok, root] of Object.entries(decodeJsonColumn(readFileSync(this.cardScopeRootsPath, "utf8"), readCardScopeRootIndex, "checkpoint-card-scope-roots.json (the local card→rule-scope-root snapshot index)"))) {
+                this.cardScopeRoots.set(tok, root);
+            }
+        }
     }
     registerDurably(record, undo, persist) {
         if (!record())
@@ -188,6 +184,10 @@ export class LocalCheckpointStore {
         const host = hostSessionOf(cp);
         this.registerDurably(() => !this.scopes.has(cp.scope) && (this.scopes.add(cp.scope), true), () => this.scopes.delete(cp.scope), () => atomicWriteFile(this.tmpDir, this.scopesPath, JSON.stringify([...this.scopes])));
         this.registerDurably(() => this.indexHost(host, [token]) > 0, () => this.unindexHost(host, token), () => this.persistHostSessions());
+        const scopeRoot = this.opts.cardScopeRoot?.of(cp.sessionId);
+        if (scopeRoot !== undefined) {
+            this.registerDurably(() => !this.cardScopeRoots.has(token) && (this.cardScopeRoots.set(token, scopeRoot), true), () => this.cardScopeRoots.delete(token), () => atomicWriteFile(this.tmpDir, this.cardScopeRootsPath, JSON.stringify(Object.fromEntries(this.cardScopeRoots))));
+        }
         this.registerDurably(() => {
             if (this.sessionTokens.get(cp.sessionId)?.has(token))
                 return false;
@@ -283,45 +283,31 @@ export class LocalCheckpointStore {
     }
     async listPending(scope) {
         const rows = [];
-        for (const { token, cp, summary } of await this.pendings(scope)) {
+        for (const { token, cp, summary: listed } of await this.pendings(scope)) {
+            let summary = listed;
+            let reading;
+            try {
+                summary = summarizeCheckpoint(cp, () => { });
+                reading = { rowVerdict: summary.rowVerdict, cp, summary };
+            }
+            catch {
+                reading = { rowVerdict: judgeCheckpointRow(cp), cp };
+            }
             const gateKind = queueRowGateKind(summary.gateKind);
             if (gateKind === undefined)
                 continue;
-            const joinKey = durableRowIdentity("approvals-queue", summary.checkpointId, token);
             const host = this.hostOfToken.get(token);
-            const taskId = parkedLegTaskId(cp.state?.rowTaskId, host === undefined ? null : ((await this.opts.getActiveTaskId?.(host)) ?? null));
-            const createdAt = summary.createdAt !== undefined ? { createdAt: summary.createdAt } : {};
-            const deadline = summary.deadline ?? null;
-            if (isUnreadableSummaryForm(summary)) {
-                rows.push({ sessionId: summary.sessionId, ...joinKey, scope: summary.scope, toolName: null, toolCallId: null, gateKind, taskId, input: null, ...createdAt, deadline, riskDescriptor: null, rowVerdict: summary.rowVerdict });
-                continue;
-            }
-            const pa = cp.pendingAction;
-            const toolCallId = pa?.toolCallId ?? null;
-            rows.push({
+            const claimHolder = host === undefined ? null : ((await this.opts.getActiveTaskId?.(host)) ?? null);
+            const address = {
+                token,
                 sessionId: summary.sessionId,
-                ...joinKey,
                 scope: summary.scope,
-                toolName: pa?.toolName ?? null,
-                toolCallId,
-                ...(toolCallId !== null ? { boundCallId: toolCallId } : {}),
-                ...(pa?.boundInputHash !== undefined ? { boundInputHash: pa.boundInputHash } : {}),
                 gateKind,
-                taskId,
-                input: boundedToolInput(pa?.args),
-                ...createdAt,
-                deadline,
-                riskDescriptor: queueRiskDescriptorOf(cp.gate),
-                ...(() => {
-                    const rs = boundedRuleOffers(pa?.ruleOffers);
-                    return rs !== undefined ? { ruleOffers: rs } : {};
-                })(),
-                ...(pa?.hasBidiControls === true ? { hasBidiControls: true } : {}),
-                ...((card) => (card !== undefined ? { approvalCard: card } : {}))(parkedApprovalCard(cp.gate)),
-                ...parkRowFacts(cp.pendingAction),
-                ...skillCardFacts(summary),
-                rowVerdict: summary.rowVerdict,
-            });
+                ...(summary.createdAt !== undefined ? { createdAt: summary.createdAt } : {}),
+                deadline: summary.deadline ?? null,
+                claimHolder,
+            };
+            rows.push(buildQueueRow(address, buildQueueActionFacts(reading)));
         }
         return rows.sort(queueTriageOrder);
     }
@@ -414,6 +400,9 @@ export class LocalCheckpointStore {
         }
         return out;
     }
+    async cardScopeRootOf(token) {
+        return this.cardScopeRoots.get(token) ?? null;
+    }
     async hostSessionOfCard(token) {
         const host = this.hostOfToken.get(token);
         if (host !== undefined)

package/dist/plugins/one-time-migrations.d.ts

@@ -26,7 +26,7 @@
  * ⇒ 换成本段:**升一次级把存量字节改完,兼容臂当场删干净**。代价是每一条在它的窗内每次启动都要跑一遍(第二次起全是
  * 零命中的空转);收益是窗关之后可以把那一条连同它的 SQL 一起删,而读腿从引入那一版起就只有**一种**读法。
  *
- * ## 已退役的 M1–M12 与 M14
+ * ## 已退役的 M1–M16
  * 退役的整树快照索引表(M1)、退役的单座 steering 列(M2)、被上游改了名的闭集词 `unresolvable` → `ancestor_marked`(M3)三条的改写、计数与读数
  * 窗关后已全部删码,登记行一并删。跳过了它们直接升的库由起服对账一族的拒启臂接住(`schema-consistency.ts` 头注「第二道对账」一节:两件退役 schema
  * 任一在场 ⇒ 拒启、点名出路;先于一切建表)—— 那一道没有窗,所以不在本文件里。本段入口({@link runSqlOneTimeMigrations})不问这一问。
@@ -68,22 +68,28 @@
  * M12(停驻行模式词读法记号的拒臂;不写库;7.150.0 删,窗 2026-11-08 关,发版日前已关)同样已删码,登记行一并删:判据、拒臂与答复、两处记号写点与 ctx 上的记号位都没有了,续跑重放不再问「行上有没有记号」。逐条写跳过了它直接升的库由谁接住:
  * ⑦ 停驻行模式词读法记号的拒臂(M12):没有响亮臂 —— 7.121.x 及以前写下、此刻仍停驻的行(把 `APPROVAL_TERMINAL_BACKSTOP_MS` 调长的部署,或跳过了带本条的版本直接升的库)体里是请求原词、没有记号;
  *    在设了 `AUTONOMY=plan` 的部署上不再被拒,由续跑口接住:重放之前体的词过**现**入口地板(`permission-mode-admission.ts` `stampReplayEntryMode`,与提交口同一只入口一步)——
- *    `bypassPermissions` / `auto` / `dontAsk` / 无词钳成 `plan`;`default` / `acceptEdits` 与 plan 地板的出口词(`plan_review` 批准写下的词)同字、读不出是谁写的,原样重放。
- *    存量行上的那只记号键原样留着、无人读。出路(要那两个词也不按原词续跑)= 升级前把这些停驻的 run 决掉 / 取消,或升级窗内设 `AUTONOMY=read-only`(按段的只读围栏)。
+ *    这些行没有写据(体顶层模式词那一格的写者,7.152.0 起才记)⇒ 不是地板的出口写下的,每个词(含 `default` / `acceptEdits`)都照钳成 `plan`。
+ *    存量行上的那只记号键原样留着、无人读。出路(要按原词走完)= 升级前把这些停驻的 run 决掉 / 取消。
+ *
+ * M13(盘上 LKG 信封 formatVersion 2 → 3;不写库;7.152.0 删,窗 2026-11-09 关,发版日前已关)同样已删码,登记行一并删:`loadLkg` 读回 2 时的内存迁移(旧载体 `droppedIdentities` 搬成 `droppedCatalogEntries`、去掉 etag)与它的两只帮手都没有了。
+ * 逐条写跳过了它直接升的库(从 < 7.123.0 直接升到本版、中间没在 7.123.0–7.151.x 任一版起过服)由谁接住:
+ * ⑧ 盘上 LKG 信封 formatVersion 2 的读回迁移(M13):由既有的响亮臂接住 —— `loadLkg` 对 2 答「unknown formatVersion 2」(拒因点名版本),调用方一行 `config_lkg_unusable` + env 兜底;中心可达照拉
+ *    (整拉,读腿铸出完整载体,新 LKG 按当期版本覆盖),断着则 env 兜底,下一份干净候选重写 —— 与回滚到 7.122.0 读 3 同一种处置。那是缓存文件、不是数据:不采纳载荷、不迁、不改写文件。
+ *
+ * M15(盘上 LKG 的载荷换代,settings-schema 10.x → 11 的形;不写库;7.152.0 删,窗 2026-11-10 关,发版日前已关)同样已删码,登记行一并删:`loadLkg` 读回时过契约的一次性迁移的那一段、读回的收据与对契约包迁移子路径的 import 都没有了。
+ * 逐条写跳过了它直接升的库(从 < 7.124.0 直接升到本版、中间没在 7.124.0–7.151.x 任一版起过服)由谁接住:
+ * ⑨ 盘上 LKG 的载荷换代(M15):由既有的响亮臂接住 —— 信封仍是 3 的 LKG(载荷是 settings-schema 10.x 的形)⇒ `loadLkg` 对 3 答「unknown formatVersion 3」,调用方一行 `config_lkg_unusable` + env 兜底;
+ *    中心可达照拉(整拉,新 LKG 按当期版本覆盖),断着则 env 兜底,下一份干净候选重写 —— 与回滚到 7.123.0 读 4 同一种处置。整份文件不读回(缓存、不是数据;不采纳载荷、不迁、不改写文件),
+ *    所以「旧键留在载荷里被下游当作缺席静默略过」这条路不存在。
+ *
+ * M16(本地 `config.d` 的起服一次性迁移;不写库;7.152.0 删,窗 2026-11-10 关,发版日前已关)同样已删码,登记行一并删:起服不再改写 `config.d` —— 接线文件、两个入口(HTTP 服务第 2 段 / `run-local`)的调用与三种迁移日志都没有了;
+ * 目录信任判官的文档名单(`config-dir-trust.ts` 的 `LOCAL_READER_DOCUMENTS`)本是判官自己的名单、不是迁移的,搬进了判官的文件。逐条写跳过了它直接升的库(从 < 7.124.0 直接升到本版、中间没在 7.124.0–7.151.x 任一版起过服)由谁接住:
+ * ⑩ 本地 `config.d` 的起服迁移(M16):由既有的、常设的契约读腿墓碑与车道合成接住 —— 目录里还带迁移前写法的文档不再被起服改写、一个字节不动:`runtime.json` 带事实 ⇒ 读腿对退役域答 `RetiredDomainError`(整份读不出);
+ *    `models.atModelAllowlist` / `models.default` ⇒ models 域降级、rosters 整份读不出;`remote-exec.json` 的 `apiUrl` 带 `#`(SS-M7)⇒ 车道合成读它时拒启(`run-local` 退 2);同设两种钥匙的模型条目(SS-M5)⇒ 读腿能抢救就逐条丢弃那一条,没有幸存条目时 models 域降级、整份候选被拒回落 env。
+ *    拒句 / 告警止于今天的位 / 规则本身(settings-schema 26.0.0 删了这几步,不再点名迁移 id;它的 `migrate` 也不再改写这几形)—— 出路 = 手写到今天的位,
+ *    或升级前用上一个契约 major 跑一次 `npx @sema-agent/settings-schema@25 migrate <config.d 目录>`。
  *
  * ## 窗内的迁移(逐条的失败方向刻意不同)
- *  · **M13 盘上 LKG 信封 formatVersion 2 → 3**(7.123.0)—— 不在店里(配置候选的盘上缓存):被丢目录条目收成一份载体
- *    (`models.droppedCatalogEntries`,每条被丢的目录条目一行),7.122.0 及以前写的 2 只记了有名且启用的行、记在旧键 `droppedIdentities`。
- *    `config-lkg.ts` `loadLkg` 读回 2 时在内存里迁一次(旧载体搬成新载体、去掉 etag ⇒ 中心可达后第一拍整拉、重铸完整载体),启动日志
- *    `config_lkg_migrated` 一行;写盘一律写 3。规则与判形在 `config-lkg.ts` 顶注与 `migrateV2Lkg`。没有读数键(它不写库)。
- *  · **M15 盘上 LKG 的载荷换代(settings-schema 11)**(7.124.0)—— 不在店里(与 M13 同为非店迁移):3 及更早的 LKG 载荷是 settings-schema 10.x
- *    的形(`models.atModelAllowlist` / `models.default` / `runtime` 域 …)。`config-lkg.ts` `loadLkg` 每次读回都过契约的一次性迁移
- *    `migrateEffectiveSnapshot`(本仓不写任何一条改写规则;只认形、幂等),迁不动(收据 `refused`)⇒ 不读回(拒因点名迁移 id);迁过的由读回方
- *    按信封 formatVersion 4 写回原位,启动日志 `config_lkg_migrated` 一行(带收据)。没有读数键(它不写库)。
- *  · **M16 本地 config.d 的一次性迁移(settings-schema 11)**(7.124.0)—— 不在店里:起服时本地配置源第一次读之前,`config-d-migration.ts`
- *    调契约的目录迁移 `migrateConfigDirectory`(覆盖面 = 本地读腿会读的那几份:便携域 + 退役域 `runtime`),整域终判通过才原子写回、搬空的
- *    `runtime.json` 删;读腿不读的域文件(`hosts` / `workers` …)不碰;
- *    迁不动 ⇒ 一字不写、`config_dir_migration_refused` 一行。没有读数键(它不写库)。
  *  · **M17 会话规则一列一文法**(7.129.0,引擎 7.51.0 [ref])—— 引擎把会话规则的 `toolDeny` / `toolAllow` 换成规则条目文法(`Bash(rm:*)` 是一条拒 `rm`
  *    的规则),退役 `commandAllow` / `commandDeny` 两只命令桶。持久面三件事,同一步做:
  *    ① **列改名** `session_policy.rules` → `rule_entries`(列定义唯一属主 `session-rules-column.ts`):7.128.x 及以前的副本按整串工具名读 `rules`,
@@ -171,8 +177,8 @@
  *    改写按原文 CAS(MySQL 协议两边 `CAST(… AS BINARY)`,PG `text` 等值)+ `status = 'pending'`,第二跑零命中。**够不到的一格(如实登记)**:local 车道的停驻行在
  *    引擎自己的 File 店里(盘上格式归引擎,本仓没有合法缝改写)⇒ 那里的存量问答行照旧按「无卡」读(显示通用卡、到期 SLA 拒扫、决断口按工具名要 `answer`);
  *    那一车道的队列行门型从文档读(引擎恒写),没有可回填的列。窗 = 发布日 + 30 天 = 停驻行的终局兜底窗缺省(与 M19 同一条论证与同三类逃出窗的部署)。
- *  · **M22 盘上 LKG 信封 formatVersion 4 → 5**(7.132.0)—— 不在店里(与 M13 / M15 同为非店迁移):中心提示层收成一种 wire 形(`{ schemaVersion: 2, artifact }`),
- *    4 及更早的载荷若带 prompts,那是 13.x 的两轴 wire(引擎当期不读)。`config-lkg.ts` `loadLkg` 读回 4(及迁到 4 的 2 / 3)时:载荷带 prompts ⇒ 不读回
+ *  · **M22 盘上 LKG 信封 formatVersion 4 → 5**(7.132.0)—— 不在店里(非店迁移):中心提示层收成一种 wire 形(`{ schemaVersion: 2, artifact }`),
+ *    4 及更早的载荷若带 prompts,那是 13.x 的两轴 wire(引擎当期不读)。`config-lkg.ts` `loadLkg` 读回 4 时:载荷带 prompts ⇒ 不读回
  *    (拒因点名版本与键);不带 ⇒ 载荷零改动读回,读回方按 5 写回原位,启动日志 `config_lkg_migrated` 一行。规则在 `config-lkg.ts` 顶注 formatVersion 5 一段与
  *    `migrateV4Lkg`。没有读数键(它不写库)。
  *  · **M23 存量 placed 子代行的属主**(7.133.0)—— 7.132.x 及以前两只 SQL 店建委派子代的 placed 行时属主恒 NULL,会话面的属主谓词对 NULL 放行 ⇒ 谁拿到子代的会话 id
@@ -320,7 +326,7 @@
  *    起服迁移的 local 腿(`FileApprovalAskStore.upgradeJournalEnvelope`)一次压实把整本重写成 v2。
  *    **回滚**:7.141.x 对改名后的表每一条读写都响亮失败、对 v2 日志拒启 —— 回滚的唯一支持形 = 恢复升级前的备份,或手工把列改回(MIGRATION 写了语句)。
  *    读数:`askCauseColumnsChanged`(0–2 处表形改动)/ `askParkTriggersMoved`(SQL;local 恒 0)/ `askJournalRecordsUpgraded`(local;SQL 恒 0)。
- *  · **M35 配置根上 env 模型表的决定(settings-schema SS-M11)**(7.143.0)—— 不在店里(与 M16 同为本地配置根上的起服迁移):本版起本地配置腿上,一份管模型面的
+ *  · **M35 配置根上 env 模型表的决定(settings-schema SS-M11)**(7.143.0)—— 不在店里(本地配置根上的起服迁移):本版起本地配置腿上,一份管模型面的
  *    `config.d/models.json` 在 env 模型表已声明时,只有配置根上的决定文档 `config.env-models.json` 读作 `replaced` 才被采纳(否则模型面组拒
  *    `config.catalog_replaces_env_models`,`env-model-table-gate.ts`);升级前这种目录静默顶替 env 表。本条保住升级前的读法:起服、本地配置第一次读之前
  *    (`config-root-migration.ts`,两个入口同调),调契约的 `migrateEnvModelsDecision` —— 先读决定与目录,再独占创建运行记录 `config.migration.SS-M11.json`
@@ -455,6 +461,13 @@
  *    `background_agent.record_json` 的 `error`(`errorCode` 出了本仓词法;`summary` 里逐字含旧句的那一段同换)与 `task_event` 里 `tool_end` 卡的 `structured.errorMessage`
  *    (卡 `errorCode` 出了词法)。自由文本面(父转录、卡外的 `output` 报告行、workflow 节点句)没有结构标记 —— 不改,MIGRATION 披露。键集分批读、逐行写(后台行按 `rev` CAS、照本表写律把 `rev` 抬 1 —— 拿着改写之前那一读的写者 CAS 落空、重读,不会把旧句写回;
  *    打空留给下一次起服);幂等:改过的格已是对外句。不是停-迁-起:旧副本写下的新行仍是旧句,窗内每次起服再扫。读数 `storeFaultSentencesRewritten`;local 恒 0(本地数据根上没有 SQL 驱动)。
+ *  · **M54 退役 `checkpoint` 的展示拷贝列**(7.152.0)—— 运维队列行的动作事实(工具名、入参、风险描述、规则候选、bidi 位 ……)改为读时从续跑执行的同一份字节、同一次整行解码
+ *    投影(两孪生同调 `checkpoint-store-face.ts` 的 `buildQueueActionFacts`)⇒ `tool_name` / `tool_input` / `risk_descriptor` / `rule_suggestions` / `has_bidi_controls` 五列是同一事实的
+ *    第二份存储,再无读者、再无写者(留下的 `tool_call_id` / `bound_input_hash` / `approval_card` / `gate_kind` 有找行 / 到期谓词的读者)。任一列在 ⇒ 记起服要求 `(M54, in_force)`、
+ *    再一句 `ALTER TABLE checkpoint DROP COLUMN …` 删掉在场的那几列(按后置条件收敛:一列都不在);都不在 ⇒ 零动作。没有搬运:值从快照读,删列不丢信息(升级前停驻的行同样按本版读法投影)。
+ *    停-迁-起 `structural`(书写序 ③ 的第一形):第一笔改动就是删列 DDL,删之后更早版本副本点名这些列的每一句当场失败 —— 它的每一次停驻写(INSERT 带这些列)与每一次运维队列读。
+ *    这不是滚动形 ②(a):更早副本写不出的不是「旧形的一格值」,而是它的全部停驻与队列读,两版混跑不成立 ⇒ 守卫段有证据(判活窗内有不知道 M54 的持有者在跑 run)即拒启、一字节不写;
+ *    放行之后缺 M54 的构建起服即被准入拒(回滚形)。读数 `checkpointDisplayColumnsDropped`(本次删掉的列数,0–5);local 恒 0(LOCAL 孪生从来没有这些列)。
  *
  * ## 停-迁-起(常设,码不在本文件)
  * 登记行的 `stopThenStart` 一格是声明(围栏类 · 欠不欠 · 有证据时的拒;每一行显式写,`null` = 不声明),律、型、唯一判官、守卫段与证据读法住 `stop-then-start.ts`(常设,不带窗)。
@@ -577,6 +590,8 @@ export interface OneTimeMigrationReport {
     /** M53:本次把存量子代失败句换成对外句的格数(SQL `background_agent.record_json` 的 `error` / `summary` 一行算一格 + `task_event` 的 `tool_end` 卡 `errorMessage` 一行算一格)。
      *  local 恒 0(本地数据根上没有 SQL 驱动,存量行不可能带驱动原句)。非零 = 真写了存量行。 */
     readonly storeFaultSentencesRewritten: number;
+    /** M54:本次从 `checkpoint` 删掉的退役展示列数(0–5:在场几列删几列)。SQL 独有;local 恒 0(LOCAL 孪生从来没有这些列)。非零 = 真改了表形。 */
+    readonly checkpointDisplayColumnsDropped: number;
     /** M44:本次改写了 `errorCode` 码列的 run 行数(SQL `task_run` / local `run.json`;结果投影的码 ≠ 列,或 `running` 行带码)。非零 = 真写了存量行。 */
     readonly runErrorCodeColumnRewritten: number;
     /** M45:本次改写了预览列的 run 行数(SQL `task_run` / local `run.json`;以闭集注入块开标签起头的旧形剥到不动点)。非零 = 真写了存量行。 */
@@ -723,7 +738,7 @@ export declare class OneTimeMigrationInterruptedError extends Error {
  * 规则(窗长 30 天、窗关后的第一个 minor 删码、门怎么判)在本文件头注「窗」一节,只写那一次。
  */
 export interface OneTimeMigrationWindow {
-    /** 本文件里的条目名(头注「窗内的迁移」的 M13…)。 */
+    /** 本文件里的条目名(头注「窗内的迁移」的 M17…)。 */
     readonly id: string;
     /** 引入这条迁移的版本 = 第一只含其代码的发布 tag(取证:`git log -S '<该条的常量名>' -- src/plugins/one-time-migrations.ts`
      *  找引入提交 → `git tag --contains <提交> --sort=creatordate` 取最早)。 */
@@ -926,6 +941,21 @@ export type SqlOneTimeMigrationInput = ExecutionPlacementSwitchInput & LiveRunWi
 export declare function renameRetiredExecutionLaneWordsM40(db: MigrationDb, dialect: SqlDialect, receipts: {
     executionLaneWordsRenamed: number;
 }): Promise<void>;
+/** M54 的拒启码(确定的拒启表态:全停之后再起才有另一个答案)。 */
+export declare const CHECKPOINT_DISPLAY_COLUMNS_DROP_REFUSED_CODE = "config.checkpoint_display_columns_drop_refused";
+/** M54 起服拒:退役列还在,而有停-迁-起证据(拒因闭集只有 `older_replica`)。 */
+export declare class CheckpointDisplayColumnsDropRefusedError extends StoreBootRefusalError {
+    readonly code = "config.checkpoint_display_columns_drop_refused";
+    readonly reason: "older_replica";
+    /** `tail` = 库此刻还差的列(`describeUpgradeDriftTail`;列齐 ⇒ 空串):一次起服读全,不必补一句再试。 */
+    constructor(evidence: OlderReplicaEvidence, tail?: string);
+}
+/**
+ * M54(规则与理由见头注 M54 段):退役列一列都不在 ⇒ 零动作;否则(守卫段已判过证据、放行)记起服要求 `(M54, in_force)`、再**一句**删掉在场的那几列
+ * (两方言都收多个 `DROP COLUMN`;按后置条件收敛:一列都不在)。没有第二步:删列是本条唯一的改动,也是它的围栏(`structural`)。
+ * 中断 ⇒ 要求行留着(保守:缺 M54 的构建拒启),下一次起服还在的列重删。读数 = 本次删掉的列数(0–5)。导出给真库钉驱动。
+ */
+export declare function dropCheckpointDisplayColumnsM54(db: MigrationDb, dialect: SqlDialect, receipts: MigrationReceipts): Promise<void>;
 /** M41 的拒启码(确定的拒启表态;与 `config.schema_mismatch` 同一族)。 */
 export declare const SESSION_EXT_MOVE_REFUSED_CODE = "config.session_ext_move_refused";
 /** 拒因闭集:`older_replica` = 还有列要搬而有停-迁-起证据;`copy_mismatch` = 搬完核对有一行不等(一列没删)。 */
@@ -1099,8 +1129,8 @@ export interface ParkedRowRepair {
  */
 export declare function parkedRowRepairOf(gateKindCell: unknown, gate: unknown, pendingAction: unknown): ParkedRowRepair;
 /**
- * M21 —— 停驻行补齐引擎今天在铸点写的两格(规则、为什么、够不到的一格见头注 M21 段)。只扫 `status = 'pending'` 的候选行(`gate_kind` 为 NULL,或审批门型且
- * 待决工具列是问答工具 —— 两列都是写入时从同一份文档反范式下来的;列只做预筛,判读读文档的子树),按 `token` 键集分页,每行只看一次:
+ * M21 —— 停驻行补齐引擎今天在铸点写的两格(规则、为什么、够不到的一格见头注 M21 段)。只扫 `status = 'pending'` 的候选行(`gate_kind` 为 NULL,或审批门型 ——
+ * 列只做预筛,「待决工具是不是问答工具」由判读读文档的子树答;7.152.0 起工具名不再落列,M54 删那一列),按 `token` 键集分页,每行只看一次:
  *  · 回填门型:`UPDATE … SET gate_kind = ? WHERE token = ? AND status = 'pending' AND gate_kind IS NULL`(第二跑零命中);
  *  · 续不了(列 NULL ∧ 门子树里读不出登记门型):`UPDATE … SET status = 'expired', decided_at_ms = ?`,同一守卫 —— 与到期收割同一个终态(停驻的 run 行由既有收割腿收);
  *  · 补卡词:读整只文档一次 —— 带 `requirementsDigest`(引擎行摘要封过,`gate.approvalCard` 是它覆盖的成员)或读不懂 ⇒ 一个字节不动、计进 `parkedQuestionRowsLeftAsWritten`;

package/dist/plugins/one-time-migrations.js

@@ -71,6 +71,7 @@ export function buildMigrationReceipts() {
         withdrawMarkWritten: 0,
         sessionDeletingSwitchMarked: 0,
         storeFaultSentencesRewritten: 0,
+        checkpointDisplayColumnsDropped: 0,
         runErrorCodeColumnRewritten: 0,
         runObjectivePreviewRewritten: 0,
         shellSentinelOwnersCleared: 0,
@@ -134,6 +135,7 @@ function changedAnything(r) {
         r.withdrawMarkWritten > 0 ||
         r.sessionDeletingSwitchMarked > 0 ||
         r.storeFaultSentencesRewritten > 0 ||
+        r.checkpointDisplayColumnsDropped > 0 ||
         r.runErrorCodeColumnRewritten > 0 ||
         r.runObjectivePreviewRewritten > 0 ||
         r.shellSentinelOwnersCleared > 0 ||
@@ -203,48 +205,9 @@ const RETIRED_SESSION_RULES_COLUMN = "rules";
 const OLD_GRAMMAR_SESSION_RULES_COLUMN = "rule_entries_old_grammar";
 const RETIRED_ASK_CAUSE_COLUMN = "denied_reason";
 const ASK_EXECUTION_LANE_COLUMN = "execution_lane";
+const RETIRED_CHECKPOINT_DISPLAY_COLUMNS = ["tool_name", "tool_input", "risk_descriptor", "rule_suggestions", "has_bidi_controls"];
+const CHECKPOINT_DISPLAY_COLUMNS_DROP_M54 = { kind: "drop", table: "checkpoint", columns: RETIRED_CHECKPOINT_DISPLAY_COLUMNS };
 export const ONE_TIME_MIGRATIONS = [
-    {
-        id: "M13",
-        introducedIn: "7.123.0",
-        releasedOn: "2026-10-10",
-        removableAfter: "2026-11-09",
-        removal: "删 `config-lkg.ts` 的 formatVersion 2 读回迁移:`migrateV2Lkg` / `migrateDroppedIdentityRow` / `RETIRED_CATALOG_COORDINATE` 与其上的窗注;`loadLkg` 的 2 臂" +
-            "(版本判据里的 `2` 与 `formatVersion === 2 ? migrateV2Lkg(…)` 那一支 —— 2 回到「unknown formatVersion」拒)、返回型的 `migrated` 位与 JSDoc 里说它的那一行、" +
-            "文件头注「2 读回时一次性迁移」那一句;`boot/web-admin.ts` 读 `read.migrated` 打 `config_lkg_migrated` 的那一行(这一行与 M15 / M22 的读回迁移共用 —— 三条都删完才整段删,先删 M13 时只去掉信封 2 → 3 那一路的 `migrated` 来源);契约 §A.1d " +
-            "`droppedEntries` 一节「升级窗(如实)」那一条与 §A.1d `[config.model_refused_name_minted]` 那一条里「LKG 载体 `droppedIdentities` 读回时一次性迁移」那半句;手写 formatVersion 2 信封的测试夹具" +
-            "(`test/config-lkg.test.ts`、`test/config-hot/batch1-version-ordinal.test.ts` 改写成 3;`test/models-dropped-entries-s1295.test.ts` 的旧 LKG 迁移格改钉 2 读回不可用)",
-        afterRemoval: "既有响亮臂 `config_lkg_unusable`(`loadLkg` 对 2 答「unknown formatVersion 2」):2 读回 ⇒ 不可用,中心可达照拉(整拉,读腿铸出完整载体,新 LKG 按 3 覆盖)、" +
-            "断着则 env 兜底,下一份干净候选重写 —— 与回滚到 7.122.0 读 3 同一种处置",
-        stopThenStart: null,
-        reportKeys: [],
-    },
-    {
-        id: "M15",
-        introducedIn: "7.124.0",
-        releasedOn: "2026-10-11",
-        removableAfter: "2026-11-10",
-        removal: "删 `config-lkg.ts` 的载荷迁移:`migrateLkgPayload` 与其上的窗注、`loadLkg` 里调它的那一段(载荷照旧过 `lkgPayloadJudged`)、`LkgReadMigration.receipts`" +
-            "(信封 2 → 3 的 M13 若已先删,`LkgReadMigration` 与 `migrated` 位一并删)、对 `@sema-agent/settings-schema/one-time-migrations` 的 import;`loadLkg` 的版本判据收成" +
-            "只认 4(3 回到「unknown formatVersion」拒);`boot/web-admin.ts` 读回后按 4 写回的那一段;文件头注 formatVersion 4 一段里「每次读回都过迁移」那一句;" +
-            "`test/ss11-stored-migrations.test.ts` 的 M15 组(4 原样读回那一格留)",
-        afterRemoval: "既有响亮臂 `config_lkg_unusable`(`loadLkg` 对 3 答「unknown formatVersion 3」):旧载荷的 LKG 读回 ⇒ 不可用,中心可达照拉(整拉,新 LKG 按 4 覆盖)、" +
-            "断着则 env 兜底 —— 与回滚到 7.123.0 读 4 同一种处置",
-        stopThenStart: null,
-        reportKeys: [],
-    },
-    {
-        id: "M16",
-        introducedIn: "7.124.0",
-        releasedOn: "2026-10-11",
-        removableAfter: "2026-11-10",
-        removal: "删 `config-d-migration.ts` 整只文件与两个入口的调用(`boot/web-admin.ts` 建本地配置源之后、`run-local.ts` 建配置源之后各一行 + import);" +
-            "`test/ss11-stored-migrations.test.ts` 的 M16 组;部署文档里「起服自动迁 config.d」那一句(运维仍可手跑契约命令行,直到契约删族)",
-        afterRemoval: "契约读腿的墓碑(永久):config.d 里还带旧形的域文档 —— `runtime.json` 带事实 ⇒ `RetiredDomainError` 整份读不出;`atModelAllowlist` / `models.default` ⇒ " +
-            "models 域降级、rosters 整份读不出 —— 拒句点名迁移 id;出路是运维手跑契约命令行(契约删族之后只剩手改)",
-        stopThenStart: null,
-        reportKeys: [],
-    },
     {
         id: "M17",
         introducedIn: "7.129.0",
@@ -350,8 +313,8 @@ export const ONE_TIME_MIGRATIONS = [
         introducedIn: "7.132.0",
         releasedOn: "2026-10-18",
         removableAfter: "2026-11-17",
-        removal: "删 `config-lkg.ts` 的 formatVersion 4 读回迁移:`migrateV4Lkg` 与其上的窗注;`loadLkg` 里调它的那一支(`formatVersion !== 5` 那一段)与版本判据里的 `4`" +
-            "(4 回到「unknown formatVersion」拒;若 M13 / M15 仍在窗内,先删到期的那几条再删本条,版本判据收成只认 5)、`LkgReadMigration.fromFormat` 的 `4`;" +
+        removal: "删 `config-lkg.ts` 的 formatVersion 4 读回迁移:`migrateV4Lkg` 与其上的窗注;`loadLkg` 里调它的那一支(`formatVersion === 4` 那一段)与版本判据里的 `4`" +
+            "(4 回到「unknown formatVersion」拒,版本判据收成只认 5)、`LkgReadMigration` 与 `loadLkg` 返回型的 `migrated` 位(它只服务这一条)、`boot/web-admin.ts` 打 `config_lkg_migrated` 并按当期信封写回的那一段;" +
             "文件头注 formatVersion 5 一段里「4 的载荷 …」那两句;`test/center-artifact-v3-lane.test.ts` 的两格 4 读回(5 原样读回那一格留)",
         afterRemoval: "既有响亮臂 `config_lkg_unusable`(`loadLkg` 对 4 答「unknown formatVersion 4」):4 读回 ⇒ 不可用,中心可达照拉(整拉,新 LKG 按 5 覆盖)、断着则 env 兜底 —— " +
             "与回滚到 7.131.x 读 5 同一种处置",
@@ -851,6 +814,26 @@ export const ONE_TIME_MIGRATIONS = [
         stopThenStart: null,
         reportKeys: ["storeFaultSentencesRewritten"],
     },
+    {
+        id: "M54",
+        introducedIn: "7.152.0",
+        releasedOn: "2026-11-11",
+        removableAfter: "2026-12-11",
+        removal: "删本文件的 M54 步(`dropCheckpointDisplayColumnsM54` / `owesCheckpointDisplayColumnsDropM54` / `refuseCheckpointDisplayColumnsDropM54`〔本行 `stopThenStart.owedOn` / `refuse`〕/ `CheckpointDisplayColumnsDropRefusedError` / " +
+            "`CHECKPOINT_DISPLAY_COLUMNS_DROP_REFUSED_CODE` / `RETIRED_CHECKPOINT_DISPLAY_COLUMNS` / `CHECKPOINT_DISPLAY_COLUMNS_DROP_M54`,`migrateStepsOn` 里那一行)、报告 / 收据 / `changedAnything` / `readingFields` / `NO_SQL_MIGRATIONS` 的 " +
+            "`checkpointDisplayColumnsDropped`、头注 M54 段;`test/checkpoint-display-columns-drop-m54.test.ts` 与 `test/checkpoint-display-columns-drop-m54-db-integration.test.ts`(`scripts/db-integration-files.json` 里它那一行同删)。" +
+            "能力名单 `REPLICA_CAPABILITIES` 里的 `M54` 不删(只增)。**不随本条删**:读时投影 `buildQueueActionFacts` / `boundedToolInput` 与给人看的入参的读法 `src/human-facing-args.ts`(常设)",
+        afterRemoval: "跳过了带本条的版本直接升上来的库:`checkpoint` 上仍带那几列 ⇒ 起服列册对账拒启(`config.schema_mismatch`,它们是本树之外的多余列,拒句不给 ALTER —— 出路是带本条的版本);" +
+            "列上的值不被任何读者读。出路 = 升级时先过一次带本条的版本并起服",
+        stopThenStart: {
+            reason: "retires the checkpoint display-copy columns (the approval queue reads a pending call's tool name, input, risk descriptor, rule offers and bidi bit from the suspended checkpoint itself); after the retirement every approval an earlier replica parks and every approval-queue read it serves fails",
+            owedOn: owesCheckpointDisplayColumnsDropM54,
+            refuse: refuseCheckpointDisplayColumnsDropM54,
+            fence: { kind: "structural", fencedBy: CHECKPOINT_DISPLAY_COLUMNS_DROP_M54 },
+        },
+        reportKeys: ["checkpointDisplayColumnsDropped"],
+        shapeChanges: [CHECKPOINT_DISPLAY_COLUMNS_DROP_M54],
+    },
 ];
 export function migrationWindowOpen(window, today) {
     return window.removableAfter === null || today <= window.removableAfter;
@@ -900,6 +883,7 @@ export const NO_SQL_MIGRATIONS = {
     withdrawMarkWritten: 0,
     sessionDeletingSwitchMarked: 0,
     storeFaultSentencesRewritten: 0,
+    checkpointDisplayColumnsDropped: 0,
     askCauseColumnsChanged: 0,
     askParkTriggersMoved: 0,
 };
@@ -1028,6 +1012,7 @@ async function migrateStepsOn(db, dialect, receipts, input) {
     await migrateSessionRuleGrammar(db, dialect, receipts);
     await repairParkedRows(db, dialect, receipts);
     await backfillParkedApprovalCards(db, dialect, receipts);
+    await dropCheckpointDisplayColumnsM54(db, dialect, receipts);
     if (await tableExists(db, dialect, "session_meta"))
         await inheritPlacedSessionOwners(db, dialect, receipts);
     if ((await tableExists(db, dialect, PERMISSION_RULE_TABLE)) && (await columnExists(db, dialect, PERMISSION_RULE_TABLE, "grammar"))) {
@@ -1255,6 +1240,18 @@ async function owesSessionExtMoveM41(read, dialect) {
 async function owesScenarioPrefixSwitchM42(read, dialect) {
     return !(await migrationMarked(read, dialect, SCENARIO_PREFIX_MARKER_ID));
 }
+async function owesCheckpointDisplayColumnsDropM54(read, dialect) {
+    return (await retiredDisplayColumnsPresent({ rows: read }, dialect)).length > 0;
+}
+async function retiredDisplayColumnsPresent(db, dialect) {
+    if (!(await tableExists(db, dialect, "checkpoint")))
+        return [];
+    const present = [];
+    for (const column of RETIRED_CHECKPOINT_DISPLAY_COLUMNS)
+        if (await columnExists(db, dialect, "checkpoint", column))
+            present.push(column);
+    return present;
+}
 async function owesSessionDeletingSwitchM51(read, dialect) {
     return !(await migrationMarked(read, dialect, SESSION_DELETING_MARK_ID));
 }
@@ -1378,6 +1375,30 @@ async function refuseExecutionLaneRenameM40(evidence, read, dialect) {
         stopThenStartAction(evidence.after) +
         (await describeUpgradeDriftTail(read, dialect)));
 }
+export const CHECKPOINT_DISPLAY_COLUMNS_DROP_REFUSED_CODE = "config.checkpoint_display_columns_drop_refused";
+export class CheckpointDisplayColumnsDropRefusedError extends StoreBootRefusalError {
+    code = CHECKPOINT_DISPLAY_COLUMNS_DROP_REFUSED_CODE;
+    reason = "older_replica";
+    constructor(evidence, tail = "") {
+        super(`${CHECKPOINT_DISPLAY_COLUMNS_DROP_REFUSED_CODE} (reason: older_replica): this version reads a suspended approval's tool name, input, risk descriptor, rule offers and ` +
+            `bidi bit from the checkpoint itself and drops the checkpoint columns ${RETIRED_CHECKPOINT_DISPLAY_COLUMNS.join(", ")} on this boot (one-time migration M54), but ${olderReplicaEvidenceSentence(evidence)} — ` +
+            "a replica of an earlier version may still be serving; after the drop every approval it parks and every approval-queue read it serves fails. Nothing was changed. " +
+            stopThenStartAction(evidence.after) +
+            tail);
+        this.name = "CheckpointDisplayColumnsDropRefusedError";
+    }
+}
+async function refuseCheckpointDisplayColumnsDropM54(evidence, read, dialect) {
+    return new CheckpointDisplayColumnsDropRefusedError(evidence, await describeUpgradeDriftTail(read, dialect));
+}
+export async function dropCheckpointDisplayColumnsM54(db, dialect, receipts) {
+    const present = await retiredDisplayColumnsPresent(db, dialect);
+    if (present.length === 0)
+        return;
+    await recordServingRequirement(db, dialect, "M54", Date.now());
+    await execUntil(db, `ALTER TABLE checkpoint ${present.map((c) => `DROP COLUMN ${c}`).join(", ")}`, async () => (await retiredDisplayColumnsPresent(db, dialect)).length === 0);
+    receipts.checkpointDisplayColumnsDropped += present.length;
+}
 export const SESSION_EXT_MOVE_REFUSED_CODE = "config.session_ext_move_refused";
 export class SessionExtMoveRefusedError extends StoreBootRefusalError {
     reason;
@@ -2088,13 +2109,13 @@ export async function repairParkedRows(db, dialect, receipts) {
     const kinds = APPROVAL_GATE_KINDS;
     const kindSlots = kinds.map((_, i) => ph(i + 1)).join(", ");
     const scan = `SELECT token, session_id, gate_kind, ${jsonColumnText(dialect, "checkpoint", M21_GATE)}, ${jsonColumnText(dialect, "checkpoint", M21_PENDING_ACTION)} FROM checkpoint ` +
-        `WHERE status = 'pending' AND (gate_kind IS NULL OR (gate_kind IN (${kindSlots}) AND tool_name = ${ph(kinds.length + 1)})) AND token > ${ph(kinds.length + 2)} ` +
+        `WHERE status = 'pending' AND (gate_kind IS NULL OR gate_kind IN (${kindSlots})) AND token > ${ph(kinds.length + 1)} ` +
         `ORDER BY token LIMIT ${PARKED_ROW_REPAIR_PAGE}`;
     const docText = jsonColumnTextExpr(dialect, "checkpoint");
     const encode = dialectProtocolJsonEncoder(dialect);
     let after = "";
     for (;;) {
-        const page = await db.rows(scan, [...kinds, ASK_USER_QUESTION_TOOL_NAME, after]);
+        const page = await db.rows(scan, [...kinds, after]);
         for (const r of page) {
             const token = String(r.token);
             after = token;
@@ -2286,6 +2307,7 @@ function readingFields(r) {
         withdrawMarkWritten: r.withdrawMarkWritten,
         sessionDeletingSwitchMarked: r.sessionDeletingSwitchMarked,
         storeFaultSentencesRewritten: r.storeFaultSentencesRewritten,
+        checkpointDisplayColumnsDropped: r.checkpointDisplayColumnsDropped,
         runErrorCodeColumnRewritten: r.runErrorCodeColumnRewritten,
         runObjectivePreviewRewritten: r.runObjectivePreviewRewritten,
         shellSentinelOwnersCleared: r.shellSentinelOwnersCleared,

package/dist/plugins/pg-pool.js

@@ -30,6 +30,7 @@ import { PRINCIPAL_MAX_BYTES } from "../principal-shape.js";
 import { SKILL_EXEMPTION_CUTOFF_ID, markIfAbsentSql, migrationMarkerDdl } from "./one-time-migration-marker.js";
 import { replicaRegistrationDdl } from "./replica-registration.js";
 import { servingRequirementDdl } from "./serving-requirement.js";
+import { sessionBlobNamespaceClaimDdl } from "./session-blob-claim-token.js";
 export const PG_SCHEMA_STATEMENTS = [
     `CREATE TABLE IF NOT EXISTS task_run (
      task_id     VARCHAR(64) COLLATE "C"  NOT NULL,
@@ -96,9 +97,7 @@ export const PG_SCHEMA_STATEMENTS = [
      session_id   VARCHAR(190) COLLATE "C" NOT NULL,
      version      INT          NOT NULL DEFAULT 1,
      status       VARCHAR(16) COLLATE "C"  NOT NULL DEFAULT 'pending',
-     tool_name    VARCHAR(190) COLLATE "C",
      tool_call_id VARCHAR(190) COLLATE "C",
-     tool_input   JSONB,
      checkpoint   JSONB        NOT NULL,
      outcome      JSONB,
      deadline     BIGINT,
@@ -117,13 +116,6 @@ export const PG_SCHEMA_STATEMENTS = [
      -- (tidb-pool.ts 同两列的行内注)。PG text 无长度上限,预算由 core 侧统一执法。
      pending_steer_queue TEXT COLLATE "C",
      pending_steer_rev BIGINT NOT NULL DEFAULT 0,
-     risk_descriptor TEXT COLLATE "C",
-     -- rule_suggestions:语义、铸行侧的窄读/脱敏/截断纪律、以及「NULL = 无供给 ⇒ 读口省键」的完整由来见
-     -- MySQL 孪生(tidb-pool.ts 同名列的行内注)。
-     rule_suggestions TEXT COLLATE "C",
-     -- has_bidi_controls(S-30① / #356②):bidi 在场位,语义与「1 或 NULL、恒不写 0」见 MySQL 孪生同名列的
-     -- 行内注。clay 批 TINYINT(1) 归一先例:PG 侧统一 SMALLINT。
-     has_bidi_controls SMALLINT,
      -- execution_outcome / execution_at_ms(S-160;core 7.7.0 #602):语义、两轴的分工、CAS 与冲突的
      -- 「记录物理不可变」由来见 MySQL 孪生(tidb-pool.ts 同两列的行内注)。载荷是 core 的 GateOutcome
      -- JSON ⇒ 与同表 outcome 列同取 JSONB(协议信封无损,IS NULL 谓词两方言同义)。
@@ -131,6 +123,8 @@ export const PG_SCHEMA_STATEMENTS = [
      execution_at_ms   BIGINT,
      -- host_session_id:这张卡归在哪只会话上(MySQL 孪生同名同义;语义、写口与 M49 回填见 tidb-pool.ts 同名列的行内注)。
      ${CHECKPOINT_HOST_SESSION_COLUMN.pg},
+     -- card_scope_root:「不再询问」规则的 project root 铸卡快照(MySQL 孪生同名同义;语义见 tidb-pool.ts 同名列的行内注)。
+     card_scope_root   VARCHAR(4096) COLLATE "C",
      PRIMARY KEY (token)
    )`,
     `CREATE TABLE IF NOT EXISTS checkpoint_ctx (
@@ -304,6 +298,13 @@ export const PG_SCHEMA_STATEMENTS = [
      -- bytes NULLABLE = the same two-backend (SQL inline / MinIO index-only) contract as snapshot_blob above.
      bytes      BYTEA          NULL,
      created_at TIMESTAMPTZ(3) NOT NULL
+   )`,
+    `CREATE TABLE IF NOT EXISTS file_history_blob_grant (
+     scope         VARCHAR(64) COLLATE "C"  NOT NULL,
+     landing_owner VARCHAR(${PRINCIPAL_MAX_BYTES}) COLLATE "C" NOT NULL,
+     blob_hash     CHAR(64) COLLATE "C"     NOT NULL,
+     granted_at    TIMESTAMPTZ(3)           NOT NULL,
+     PRIMARY KEY (scope, landing_owner, blob_hash)
    )`,
     `CREATE TABLE IF NOT EXISTS workflow_journal (
      run_id        VARCHAR(191) COLLATE "C" NOT NULL,
@@ -426,6 +427,7 @@ export const PG_SCHEMA_STATEMENTS = [
     migrationMarkerDdl("pg"),
     replicaRegistrationDdl("pg"),
     servingRequirementDdl("pg"),
+    sessionBlobNamespaceClaimDdl("pg"),
 ];
 export function pgPoolOptions(pgCfg, dbQueryTimeoutMs) {
     return {