@sema-agent/server 7.22.0-rc.1 → 7.23.0-rc.1

package/dist/observability/secret-env-scrub.js

@@ -0,0 +1,135 @@
+/**
+ * A-033.3(#256)—— **密钥形 env 剥除的留痕面**(core D1 `scrubSecretEnv` 的可观测半场)。
+ *
+ * ## 它解决的问题
+ * `scrubSecretEnv` 是本仓两条 shell/子进程腿的**安全默认**:模型可驱动的 shell(`inheritEnv:"scrub"`)与
+ * git 子进程(钩子/凭证助手)拿到的 env 里,`*_KEY`/`*_TOKEN`/`*_SECRET`/`*_PASSWORD`… 一律先丢掉。
+ * 两处都以**单参形**调用,于是「这一次到底丢了哪些 key、按哪条规则(suffix-rule / exact-name)、置信度多少」
+ * **零留痕** —— 部署方既证明不了保护生效过,也发现不了它悄悄不生效了(词表漂移 / 一个新的密钥命名法从
+ * 规则的缝里穿过去 / 某条腿被改成 `inheritEnv:"all"`)。core 早就把收集口开好了(`findings?:
+ * SecretEnvFinding[]`,d.ts 原话:the VALUE is never carried — this record is meant to be loggable),
+ * 缺的只是本仓这半场。本模块就是那半场,**不是**一个新的执法面:它一个字节也不改变剥除行为。
+ *
+ * ## 形(照 `fail-open.ts` 的仓内先例)
+ *  1. **计数(逐次)** —— `secret_env_scrubbed_total{site,kind,confidence}`;
+ *  2. **结构化披露(每 site×key 一次)** —— 首次在某条腿上丢掉某个 key 时一条 `info`,之后同 key 只走计数。
+ *     不是「每 site 一次」:一个**新**的密钥形 key 后来才出现(部署加了一个凭证)时,那才是最该看见的一行。
+ * 值永不进任何一件(core 的 finding 本身就不携带值)。
+ *
+ * ## 为什么是进程级自由函数而不是注入
+ * 与 `recordFailOpen` 同因:两个调用点都在**没有 logger/metrics 句柄**的深处
+ * (`plugins/remote-env-host.ts` 的 `mergeEnv` 全文零观测通道;`project-memory.ts` 的 `git()` 是个自由函数)。
+ * 装配层用 {@link installSecretEnvScrubRecorder} 把句柄接上,装配之前命中的次数不会丢(计数照常累加,
+ * install 时一次性补进 metrics),披露行则在下一次命中时补发(未成功披露的 key 不进 `disclosed` 集)。
+ */
+import { summarizeRedactions } from "@sema-agent/core";
+/** 登记过的剥除现场。闭集:未登记的 site 传不进 {@link recordSecretEnvScrub}(编译期拒,同 FAIL_OPEN_TAGS 纪律)。 */
+export const SECRET_ENV_SCRUB_SITES = {
+    "server.remote-env-host.inherit-scrub": "模型可驱动的 host shell 继承 env(`inheritEnv:\"scrub\"` 默认腿)——这条腿上的一次泄漏等于把编排器的脑钥/仓库令牌交给模型选的命令",
+    "server.project-memory.git-subprocess": "project-memory 读仓叙事时的 git 子进程 env —— 仓内的钩子/凭证助手会以本进程身份运行",
+};
+/** 计数器名。 */
+const SCRUB_COUNTER = "secret_env_scrubbed_total";
+/** 已披露集的上限。key 集在一个进程里实际上是常量(恒扫同一份 `process.env`),这个帽只是防病态输入
+ *  把集合撑爆;越帽之后只停止**新增披露**,计数照常(缺席的是行,不是账)。 */
+const DISCLOSED_CAP = 512;
+/** 桶键与披露键的分隔符。用 `=` 是有据的:POSIX 环境变量名里唯二不可能出现的字节就是 `=` 与 NUL
+ *  (NUL 不写进源码 —— 裸控制字节会让 grep 对整个文件失明,本仓有机械门盯它)。用空格/冒号分隔则会让
+ *  `A B`+`C` 与 `A`+`B C` 撞成同一个键 —— 标签串台 = 遥测说谎。 */
+const SEP = "=";
+let sink = {};
+/** `site=kind=confidence` → 累计次数(逐次,进程级)。 */
+let counts = new Map();
+/** 已经推进 metrics 的部分 —— 差额即欠账,install 时一次性补。 */
+let pushed = new Map();
+/** `site=key` —— 已经出过披露行的现场×键。 */
+let disclosed = new Set();
+function bucketKey(site, f) {
+    return `${site}${SEP}${f.kind}${SEP}${f.confidence}`;
+}
+/** 把 counts 与 pushed 的差额推进 metrics。metrics 缺席时什么也不做(差额留着,下次补)。 */
+function drainToMetrics() {
+    const m = sink.metrics;
+    if (m === undefined)
+        return;
+    for (const [k, n] of counts) {
+        const already = pushed.get(k) ?? 0;
+        if (n <= already)
+            continue;
+        const [site, kind, confidence] = k.split(SEP);
+        try {
+            m.inc(SCRUB_COUNTER, { site: site, kind: kind, confidence: confidence }, n - already);
+            pushed.set(k, n); // 真进了汇才销账(投递失败 ⇒ 差额留着重放)
+        }
+        catch {
+            /* 下一次命中/下一次装配再补 */
+        }
+    }
+}
+/**
+ * 记一次剥除。**总不抛** —— 观测本身绝不能变成故障(同 `recordFailOpen` / reapers 的判据)。
+ * `findings` 为空(这一次没丢任何 key)时什么也不做:那不是事件,是常态。
+ */
+export function recordSecretEnvScrub(site, findings) {
+    if (findings.length === 0)
+        return;
+    try {
+        for (const f of findings) {
+            const k = bucketKey(site, f);
+            counts.set(k, (counts.get(k) ?? 0) + 1);
+        }
+        drainToMetrics();
+        const logger = sink.logger;
+        if (logger === undefined)
+            return; // 披露行留到有 logger 的下一次命中(未进 disclosed ⇒ 会补发)
+        // 🔴 帽是**对这一次的批也生效**的(codex 复审 round2 medium 真修):先按剩余容量截断,再用截断后的
+        // 那一批去发行与登记。两条都靠它:
+        //   ① 帽满 ⇒ 停止披露,而不是「喊了但记不下」—— 后者会把「每 site×key 一次」在 key 最多的时候
+        //      反转成「每次调用一行」(mergeEnv 是逐命令调用的,那是刷屏);
+        //   ② 单批越界 ⇒ 也得截断 —— 只在批**之前**判帽,一次 513 条的病态 env 会一次性把 513 条全发出去
+        //      (一行超大日志)并全部留驻,帽等于没有。计数不受截断影响:账永远是全的,缺席的只是行。
+        const room = DISCLOSED_CAP - disclosed.size;
+        if (room <= 0)
+            return;
+        const fresh = findings.filter((f) => !disclosed.has(`${site}${SEP}${f.key}`)).slice(0, room);
+        if (fresh.length === 0)
+            return;
+        logger.info("secret_env_scrubbed", {
+            site,
+            note: SECRET_ENV_SCRUB_SITES[site],
+            // 只报**本次新见**的 key(值永不携带 —— core 的 finding 按契约只带键名/规则/置信度/来源)。
+            keys: fresh.map((f) => f.key),
+            // 一行人读摘要走 core 的 `summarizeRedactions`(SecretEnvFinding 满足 SummarizableFinding),
+            // 不在本仓另写一份分组渲染 —— 那正是本票要消灭的那种孪生。
+            summary: summarizeRedactions(fresh),
+        });
+        for (const f of fresh)
+            disclosed.add(`${site}${SEP}${f.key}`);
+    }
+    catch {
+        /* 观测绝不抛 */
+    }
+}
+/** 装配层把 logger/metrics 接上(main.ts,与 `installFailOpenRecorder` 同一处)。装配前累计的次数在此补进 metrics。 */
+export function installSecretEnvScrubRecorder(deps) {
+    sink = { ...deps };
+    deps.metrics?.counter(SCRUB_COUNTER, "secret-pattern env entries dropped before spawning a child process, by site/rule/confidence (core scrubSecretEnv findings)");
+    drainToMetrics();
+}
+/** 已留驻的「现场×键」条数(测试/诊断读面)。恒 ≤ {@link DISCLOSED_CAP}。 */
+export function secretEnvScrubDisclosedSize() {
+    return disclosed.size;
+}
+/** 本进程各桶的累计次数(测试/诊断读面)。 */
+export function secretEnvScrubCounts() {
+    return new Map(counts);
+}
+/** 测试用重置(进程级状态在同一个 vitest worker 里跨用例存活)。 */
+export function resetSecretEnvScrubRecorderForTest(deps = {}) {
+    counts = new Map();
+    pushed = new Map();
+    disclosed = new Set();
+    sink = { ...deps };
+    deps.metrics?.counter(SCRUB_COUNTER, "secret-pattern env entries dropped before spawning a child process, by site/rule/confidence (core scrubSecretEnv findings)");
+}
+//# sourceMappingURL=secret-env-scrub.js.map

package/dist/plugins/image-bake-store-sql.d.ts

@@ -123,7 +123,14 @@ export declare class SqlImageBake {
     retainedFrom(bakeId: string): Promise<number>;
     /** Events with seq strictly greater than `afterSeq` (0 for the whole stream), ascending. */
     getEvents(bakeId: string, afterSeq: number): Promise<BakeEvent[]>;
-    /** Coarse 4-value lifecycle transition (the column the SSE reader polls for terminality). */
+    /**
+     * Coarse 4-value lifecycle transition (the column the SSE reader polls for terminality).
+     *
+     * @deprecated #193 车7(staleness-sweep P2-12):**test-only**——生产零调用。生产唯一写入路径是
+     * `ingestBakeLine`(routes/images.ts),它只经 `setState`(denormalize)与 `setTerminal` 驱动状态;
+     * 本方法是绕开「status 只由 state/done 驱动」不变量的唯一直接写口,**禁止新增生产调用**。留而不删
+     * 的唯一理由=三个集成测试用它铸中间态,整删随该套件下次翻新一并做。
+     */
     setStatus(bakeId: string, status: BakeStatus): Promise<void>;
     /** Denormalize build.sh's 8-value `state` for the UI progress bar (NEVER drives terminality, P2.3). */
     setState(bakeId: string, state: BakeState): Promise<void>;

package/dist/plugins/image-bake-store-sql.js

@@ -494,7 +494,14 @@ export class SqlImageBake {
             ts: iso(r.ts),
         }));
     }
-    /** Coarse 4-value lifecycle transition (the column the SSE reader polls for terminality). */
+    /**
+     * Coarse 4-value lifecycle transition (the column the SSE reader polls for terminality).
+     *
+     * @deprecated #193 车7(staleness-sweep P2-12):**test-only**——生产零调用。生产唯一写入路径是
+     * `ingestBakeLine`(routes/images.ts),它只经 `setState`(denormalize)与 `setTerminal` 驱动状态;
+     * 本方法是绕开「status 只由 state/done 驱动」不变量的唯一直接写口,**禁止新增生产调用**。留而不删
+     * 的唯一理由=三个集成测试用它铸中间态,整删随该套件下次翻新一并做。
+     */
     async setStatus(bakeId, status) {
         await this.db.query(this.q("UPDATE image_bake SET status = ?, updated_at = ? WHERE bake_id = ?", "UPDATE image_bake SET status = $1, updated_at = $2 WHERE bake_id = $3"), [status, new Date(), bakeId]);
     }

package/dist/plugins/image-index-sql.d.ts

@@ -17,7 +17,16 @@ export declare class SqlImageIndex {
     private q;
     /** Stable index id = sha256(repo@digest) — identity is the digest, not the mutable tag. */
     static idFor(repo: string, digest: string): string;
-    /** Register or update an index row (idempotent on repo+digest). Returns the row id. */
+    /**
+     * Register or update an index row (idempotent on repo+digest). Returns the row id.
+     *
+     * @deprecated #193 车7(staleness-sweep P2-11):**生产零调用**——曾声称的 operator
+     * `/v1/images/register` 路径实际走 `registerBuilding`(routes/images.ts),本方法只剩集成测试当
+     * seed 口在用。危险语义原样保留着:UNCONDITIONAL upsert 会把 `published` 行打回 `building`
+     * (正是 §P2.10 静默 de-publish 病的成因,`registerBuilding` 因此才带 STATUS-MONOTONIC 守卫)。
+     * **禁止新增生产调用**;测试 seed 请优先走 `registerBuilding`(不需要覆盖语义时)。留而不删的
+     * 唯一理由=16 处 pg 集成测试 seed 依赖,整删随该套件下次翻新一并做。
+     */
     upsert(e: ImageIndexUpsert): Promise<string>;
     /**
      * STATUS-MONOTONIC register (IMAGE-API-DESIGN.md §P2.10 MUST-FIX) — the auto-register path the bake runner uses.
@@ -30,8 +39,9 @@ export declare class SqlImageIndex {
      * isn't already `published` — a late/duplicate `done` for an already-promoted digest is a no-op on the
      * lifecycle, never a regression. Returns the row id.
      *
-     * Distinct from the unconditional `upsert` (kept for the seed + the operator `/v1/images/register` path); this
-     * is the bake auto-register's ONLY write into the index. Default status is `building` (P2 registers
+     * Distinct from the unconditional `upsert` (#193 车7 更正:那条 operator `/v1/images/register` 路径
+     * **也走本方法**——routes/images.ts:446 `idx.registerBuilding(...)`;`upsert` 已 @deprecated,只剩
+     * 测试 seed 在用)。This is the bake auto-register's ONLY write into the index. Default status is `building` (P2 registers
      * node-local/quarantine `building` artifacts; P3's verify gate is what flips `building → published`).
      *
      * The `IF(...published...)` (TiDB) / `CASE WHEN...published...` (PG) guards are the monotonic de-publish

package/dist/plugins/image-index-sql.js

@@ -180,7 +180,16 @@ export class SqlImageIndex {
     static idFor(repo, digest) {
         return createHash("sha256").update(`${repo}@${digest}`).digest("hex").slice(0, 64);
     }
-    /** Register or update an index row (idempotent on repo+digest). Returns the row id. */
+    /**
+     * Register or update an index row (idempotent on repo+digest). Returns the row id.
+     *
+     * @deprecated #193 车7(staleness-sweep P2-11):**生产零调用**——曾声称的 operator
+     * `/v1/images/register` 路径实际走 `registerBuilding`(routes/images.ts),本方法只剩集成测试当
+     * seed 口在用。危险语义原样保留着:UNCONDITIONAL upsert 会把 `published` 行打回 `building`
+     * (正是 §P2.10 静默 de-publish 病的成因,`registerBuilding` 因此才带 STATUS-MONOTONIC 守卫)。
+     * **禁止新增生产调用**;测试 seed 请优先走 `registerBuilding`(不需要覆盖语义时)。留而不删的
+     * 唯一理由=16 处 pg 集成测试 seed 依赖,整删随该套件下次翻新一并做。
+     */
     async upsert(e) {
         // 🔴 PG-only identity-axis validation (codex R17-H1/R19) — TiDB has no NUL/lone-surrogate column
         // constraint, so it stores repo/tenantId verbatim; PG rejects up front (see file-header dialect delta).
@@ -226,8 +235,9 @@ export class SqlImageIndex {
      * isn't already `published` — a late/duplicate `done` for an already-promoted digest is a no-op on the
      * lifecycle, never a regression. Returns the row id.
      *
-     * Distinct from the unconditional `upsert` (kept for the seed + the operator `/v1/images/register` path); this
-     * is the bake auto-register's ONLY write into the index. Default status is `building` (P2 registers
+     * Distinct from the unconditional `upsert` (#193 车7 更正:那条 operator `/v1/images/register` 路径
+     * **也走本方法**——routes/images.ts:446 `idx.registerBuilding(...)`;`upsert` 已 @deprecated,只剩
+     * 测试 seed 在用)。This is the bake auto-register's ONLY write into the index. Default status is `building` (P2 registers
      * node-local/quarantine `building` artifacts; P3's verify gate is what flips `building → published`).
      *
      * The `IF(...published...)` (TiDB) / `CASE WHEN...published...` (PG) guards are the monotonic de-publish

package/dist/plugins/permission-rule-store-sql.d.ts

@@ -1,81 +1,18 @@
-import { type PersistedAllowRule, type PermissionRuleStore, type PermissionRuleStoreProvider, type PutResult, type QuarantinedRuleAdd, type RuleAdd, type RuleDot, type RuleScope, type RuleSyncFrontier, type RuleTombstone, type RuleApprovalRecord, type RuleApprovalRecordStore, type RuleOwner } from "@sema-agent/core";
+import { type PermissionRuleWriter, type PermissionRuleStore, type PermissionRuleStoreProvider, type RuleScope, type RuleSyncFrontier, type RuleApprovalRecord, type RuleApprovalRecordStore, type RuleOwner } from "@sema-agent/core";
 import type { Pool as MySqlPool } from "mysql2/promise";
 import type { PgQueryFn } from "./pg-query.js";
 import { type SqlDriver } from "./sql-driver.js";
-/** core `permission-rule-store.ts` 的 `PERMISSION_RULE_WRITER` 字面值(逐字)。`writerOf(store)` 读的
- *  就是这把键——它是 core 与 backend 之间**事实上的**协议名,只是没被导出。 */
-export declare const PERMISSION_RULE_WRITER_KEY = "__semaPermissionRuleWriter";
-/** core `RedemptionAuthorization` 的镜像。 */
-export interface RedemptionAuthorizationMirror {
-    recordId: string;
-    principal?: string;
-    owner?: RuleOwner;
-}
-/** core `RuleAddDelta` 的镜像。 */
-export interface RuleAddDeltaMirror {
-    kind: "redemption-add";
-    rule: string;
-    scope: RuleScope;
-    tool: PersistedAllowRule["tool"];
-    match: PersistedAllowRule["match"];
-    command: string;
-    add: RuleAdd;
-    redemption: RedemptionAuthorizationMirror;
-}
-/** core `RuleDeleteDelta` 的镜像。 */
-export interface RuleDeleteDeltaMirror {
-    kind: "tighten-delete";
-    tombstone: RuleTombstone;
-}
-/** core `RuleSyncJoinDelta` 的镜像(**本 backend 不实现**,只为判别式完整——见顶注 ②)。 */
-export interface RuleSyncJoinDeltaMirror {
-    kind: "sync-join";
-    inbound: {
-        rules: PersistedAllowRule[];
-        tombstones: RuleTombstone[];
-    };
-    gcFrontier?: RuleSyncFrontier;
-    observedVector?: RuleSyncFrontier;
-    quarantine?: Array<{
-        rule: string;
-        scope: RuleScope;
-        dots: RuleDot[];
-        reason: QuarantinedRuleAdd["reason"];
-    }>;
-}
-export type RuleWriteDeltaMirror = RuleAddDeltaMirror | RuleDeleteDeltaMirror | RuleSyncJoinDeltaMirror;
-/** core `RawRuleSyncState` 的镜像。 */
-export interface RawRuleSyncStateMirror {
-    actor: string;
-    counter: number;
-    rev: number;
-    rules: PersistedAllowRule[];
-    tombstones: RuleTombstone[];
-    observedVector?: RuleSyncFrontier;
-    quarantined?: QuarantinedRuleAdd[];
-}
-/** core `PermissionRuleWriter` 的镜像。 */
-export interface PermissionRuleWriterMirror {
-    nextDot(): Promise<RuleDot>;
-    apply(delta: RuleWriteDeltaMirror, opts: {
-        expectedRev: number;
-    }): Promise<PutResult | {
-        conflict: true;
-        rev: number;
-    }>;
-    readRaw(): Promise<RawRuleSyncStateMirror>;
-}
-/** core `WritablePermissionRuleStore` 的镜像(属性名 = {@link PERMISSION_RULE_WRITER_KEY})。 */
-export interface WritablePermissionRuleStoreMirror extends PermissionRuleStore {
-    readonly __semaPermissionRuleWriter: PermissionRuleWriterMirror;
-}
 /**
- * core 私有 `writerOf` 的**本地对偶**:一只店的写面,或 `undefined`(该 backend 从引擎侧看是只读的)。
+ * 一只店的写面,或 `undefined`(该 backend 从引擎侧看是只读的)。
+ *
+ * 与 core 的 `writerOf` 的**唯一**区别是判据更严:core 只看 `apply`/`nextDot` 两个方法在不在(它服务的是
+ * 引擎自己的兑付腿),本函数还要求 `readRaw` —— 本仓的消费点(测试/取证)读的是**完整**写面,少一个方法
+ * 就该当场判 `undefined`,而不是在调用 `readRaw()` 时炸一个 `not a function`。
  *
- * 结构检查而不是断言 —— 它同时是本仓消费点(测试/诊断)读写面的**唯一**入口:没有这个函数,每个调用点
- * 都会各写一次 `as unknown as {…}`,那既是三处宽松断言,也是三份会各自漂的形状假设。
+ * 结构检查而不是断言:没有这个函数,每个调用点都会各写一次 `as unknown as {…}`,那既是三处宽松断言,
+ * 也是三份会各自漂的形状假设。
  */
-export declare function writerOfSqlRuleStore(store: PermissionRuleStore): PermissionRuleWriterMirror | undefined;
+export declare function writerOfSqlRuleStore(store: PermissionRuleStore): PermissionRuleWriter | undefined;
 export declare const PERMISSION_RULE_TABLE = "permission_rule";
 export declare const PERMISSION_RULE_APPROVAL_TABLE = "permission_rule_approval";
 export declare const PERMISSION_RULE_TICKET_TABLE = "permission_rule_ticket";

package/dist/plugins/permission-rule-store-sql.js

@@ -23,23 +23,28 @@
  * 天然原子,不需要事务、不需要 `FOR UPDATE`、不进本仓在案的悲观锁死锁族。
  *
  * ─────────────────────────────────────────────────────────────────────────────────────────────────
- * 🔴 已登记的**上游契约缺口**(汇报件,不是本车的自由发挥)
+ * 🔴 写面 = **core 的本尊**(A-033.2 / #256 销账,交接件③已兑现)
  * ─────────────────────────────────────────────────────────────────────────────────────────────────
- * core 的**写面**(`PERMISSION_RULE_WRITER` 常量、`PermissionRuleWriter`/`WritablePermissionRuleStore`/
- * `RuleWriteDelta`/`RawRuleSyncState` 类型、`foldDelta`/`applySyncJoin`/`writerOf`/
- * `assertRedemptionNotQuarantined`/`assertDeleteDeltaCarriesNoAdd` 函数)**全部不在 `@sema-agent/core`
- * 的公开导出面上**(亲读 `dist/index.d.ts`;`exports` map 只开 `.`/`./bench`/`./fixtures`,深路径
- * import 被封)。core 的原话是「a host cannot hold one, so no API-level path to the store bypasses the
- * consent protocol」——那条纪律针对的是「宿主自己往店里写」,而**一个宿主提供的 backend** 恰恰必须持有
- * 写面才能被 `redeemRuleTicket` 使用(core 的 `writerOf(store)` 读的就是这个属性)。
+ * 本文件曾整段登记一个上游契约缺口:core 的写面(`PERMISSION_RULE_WRITER` 常量、`PermissionRuleWriter`/
+ * `WritablePermissionRuleStore`/`RuleWriteDelta`/`RawRuleSyncState` 类型、`foldDelta`/`writerOf`/
+ * `assertRedemptionNotQuarantined`/`assertDeleteDeltaCarriesNoAdd` 函数)当时**不在包的公开导出面上**,
+ * 于是本文件按结构满足它:属性名用字面常量、类型在下方一份份**本地镜像**(`RuleWriteDeltaMirror` 等),
+ * 并把「求 core 导出写面」列为交接件③。
  *
- * ⇒ 本文件按**结构**满足写面:属性名用 core 的字面常量 `"__semaPermissionRuleWriter"`,类型在下方
- *   本地镜像(`RuleWriteDeltaMirror` 等)。这**是**一次形状复制,违反「schema 单一属主」的字面——
- *   处置不是隐瞒而是登记:①镜像类型逐字对着 core 的 d.ts 写,并在 `test/permission-rule-store-*.test.ts`
- *   里用**结构可赋值性**钉住(core 改形 ⇒ 编译红);②`sync-join` 那一臂**不实现**——它的落地管线
- *   (`applySyncJoin`)是 core 私有的一整条流水线,复制它才是真的会漂;本 backend 对该 delta **响亮拒绝**
- *   (fail-closed,不是静默 no-op),同步客户端本仓尚未接线,所以这条臂今天零调用点。
- *   ③ 求 core 导出写面(或提供一个 `createSqlBackedRuleStore` 适配器)已列入交接件。
+ * core 2026-08-10 裁定**导出后端契约**(d.ts 原话:「Exported as part of the BACKEND CONTRACT … so an
+ * out-of-repo store implementation hangs the same face the file backend does, instead of mirroring the
+ * types」),5.33.0 起全部根导出 ⇒ 镜像与手写孪生一并摘除,本文件直接消费 core 的类型与三个共享判据。
+ * 这不是洁癖:`foldDelta` 的 d.ts 自陈「Pure — the backends share it so the file and in-memory forms
+ * cannot drift in what a delta MEANS」,而本 backend 此前**没有共享它**——一份 delta 在 file 后端与
+ * SQL 后端上「意味着什么」可以各自漂,漂的落点是放行面。换装同时把两条判据换成 core 的严格版:
+ *   · `assertDeleteDeltaCarriesNoAdd`:core 查 **6 个** add-only 键(add/redemption/rule/command/match/tool)
+ *     并要求 `removedDots` 是**非空数组**;本地孪生只查过一个 `rules` 键(那还是 sync-join 的字段名,
+ *     打偏了)且对空 `removedDots` 放行 —— 一条删不掉任何 add 的墓碑会让本该已删的规则继续放行。
+ *   · `assertRedemptionNotQuarantined`:语义等价(同 dot 即拒),换本尊后报文也与 file 后端一致。
+ *
+ * 仍然**不实现**的只剩 `sync-join` 那一臂:它的落地管线(`applySyncJoin`)至今是 core 私有的一整条
+ * 流水线,复制它才是真的会漂;本 backend 对该 delta **响亮拒绝**(fail-closed,不是静默 no-op),
+ * 同步客户端本仓尚未接线,所以这条臂今天零调用点。
  *
  * ─────────────────────────────────────────────────────────────────────────────────────────────────
  * 边界纪律:列回读一律 zod `safeParse`(宪法 [2704] 禁裸 as-cast)。JSON 列是驱动交回的 `unknown`,
@@ -49,22 +54,23 @@
  */
 import { createHash, randomBytes } from "node:crypto";
 import { z } from "zod";
-import { applyTombstones, parseAllowRuleText, sameScope, screenRuleSyncState, RULE_SYNC_DROP_CODES, } from "@sema-agent/core";
+import { applyTombstones, assertDeleteDeltaCarriesNoAdd, assertRedemptionNotQuarantined, foldDelta, parseAllowRuleText, screenRuleSyncState, PERMISSION_RULE_WRITER, RULE_SYNC_DROP_CODES, } from "@sema-agent/core";
 import { dialectProtocolJsonEncoder } from "./sql-driver.js";
 // ─────────────────────────────────────────────────────────────────────────────────────────────────
-// core 私有写面的**本地镜像**(顶注 §「上游契约缺口」逐条理由)
+// 写面(core 的后端契约,2026-08-10 裁定导出;本仓 A-033.2 已摘除全部本地镜像)
 // ─────────────────────────────────────────────────────────────────────────────────────────────────
-/** core `permission-rule-store.ts` 的 `PERMISSION_RULE_WRITER` 字面值(逐字)。`writerOf(store)` 读的
- *  就是这把键——它是 core 与 backend 之间**事实上的**协议名,只是没被导出。 */
-export const PERMISSION_RULE_WRITER_KEY = "__semaPermissionRuleWriter";
 /**
- * core 私有 `writerOf` 的**本地对偶**:一只店的写面,或 `undefined`(该 backend 从引擎侧看是只读的)。
+ * 一只店的写面,或 `undefined`(该 backend 从引擎侧看是只读的)。
+ *
+ * 与 core 的 `writerOf` 的**唯一**区别是判据更严:core 只看 `apply`/`nextDot` 两个方法在不在(它服务的是
+ * 引擎自己的兑付腿),本函数还要求 `readRaw` —— 本仓的消费点(测试/取证)读的是**完整**写面,少一个方法
+ * 就该当场判 `undefined`,而不是在调用 `readRaw()` 时炸一个 `not a function`。
  *
- * 结构检查而不是断言 —— 它同时是本仓消费点(测试/诊断)读写面的**唯一**入口:没有这个函数,每个调用点
- * 都会各写一次 `as unknown as {…}`,那既是三处宽松断言,也是三份会各自漂的形状假设。
+ * 结构检查而不是断言:没有这个函数,每个调用点都会各写一次 `as unknown as {…}`,那既是三处宽松断言,
+ * 也是三份会各自漂的形状假设。
  */
 export function writerOfSqlRuleStore(store) {
-    const w = Reflect.get(store, PERMISSION_RULE_WRITER_KEY);
+    const w = Reflect.get(store, PERMISSION_RULE_WRITER);
     if (w === null || typeof w !== "object")
         return undefined;
     const nextDot = Reflect.get(w, "nextDot");
@@ -315,42 +321,6 @@ function canonicalJson(v) {
         .sort(([a], [b]) => (a < b ? -1 : a > b ? 1 : 0));
     return `{${entries.map(([k, val]) => `${JSON.stringify(k)}:${canonicalJson(val)}`).join(",")}}`;
 }
-/**
- * core `foldDelta` 的**语义镜像**:把一次 redemption-add 折进原始规则集。
- *
- * 逐字对着 core 的 JSDoc 与 in-memory 参照物写:同 (rule, scope) 归一组,组内 adds 按 **dot 身份**并集
- * (同 dot 重放 ⇒ 恒等,这正是 core「一次兑付恒铸一个 dot,重放多少次都只有一个 add」的落点)。
- */
-function foldAdd(rules, delta) {
-    const next = rules.map((r) => ({ ...r, adds: [...r.adds] }));
-    const hit = next.find((r) => r.rule === delta.rule && sameScope(r.scope, delta.scope));
-    if (hit === undefined) {
-        next.push({ rule: delta.rule, tool: delta.tool, match: delta.match, command: delta.command, scope: delta.scope, adds: [delta.add] });
-        return next;
-    }
-    if (!hit.adds.some((a) => a.dot.actor === delta.add.dot.actor && a.dot.counter === delta.add.dot.counter))
-        hit.adds.push(delta.add);
-    return next;
-}
-/** core `assertRedemptionNotQuarantined` 的语义镜像:**任何** (rule, scope) 下与本 delta 同 dot 的
- *  隔离行都让这次写响亮失败——dot 只铸一次,被隔离钉住的 dot 再出现就是「复活」形。 */
-function assertNotQuarantined(quarantined, delta) {
-    const hit = quarantined.find((q) => q.add.dot.actor === delta.add.dot.actor && q.add.dot.counter === delta.add.dot.counter);
-    if (hit !== undefined) {
-        throw new Error(`refusing to fold a redemption whose dot (${hit.add.dot.actor}#${hit.add.dot.counter}) is quarantined (${hit.reason}) — ` +
-            `re-entry requires a NEW consent (a new ask, a new record, a new dot)`);
-    }
-}
-/** core `assertDeleteDeltaCarriesNoAdd` 的语义镜像(联合已让它不可拼写,但 JS 调用方不受联合约束 ⇒ 执行它)。 */
-function assertDeleteCarriesNoAdd(delta) {
-    // `Reflect.get` 而不是 `as unknown as {…}`:这一行的**全部目的**就是看一个联合类型里不存在的键在不在
-    // (JS 调用方不受联合约束),用断言去表达「我知道它可能有个类型上没有的键」既绕过类型面又触类型卫生门。
-    const smuggled = Reflect.get(delta, "rules");
-    if (smuggled !== undefined)
-        throw new Error("a tighten-delete delta must carry a tombstone and nothing else");
-    if (delta.tombstone === undefined || delta.tombstone.removedDots === undefined)
-        throw new Error("a tighten-delete delta must carry a tombstone");
-}
 /** {@link SqlPermissionRuleStore} 的 dot 铸造 CAS 重试上限。有界:一个无界循环只会把「争不过」变成
  *  挂死;用尽 ⇒ 响亮抛错,由 core 的兑付腿(它自己也有有界重试)如实回 refused。 */
 const NEXT_DOT_MAX_ATTEMPTS = 8;
@@ -475,7 +445,7 @@ class SqlPermissionRuleStore {
     async quarantined() {
         return (await this.read()).quarantined;
     }
-    get [PERMISSION_RULE_WRITER_KEY]() {
+    get [PERMISSION_RULE_WRITER]() {
         return this.writer;
     }
     writer = {
@@ -535,12 +505,14 @@ class SqlPermissionRuleStore {
                 return { conflict: true, rev: cur.rev };
             let nextRules = cur.rules;
             let nextTombstones = cur.tombstones;
+            // A-033.2(#256):两条判据 + 折叠本体全部走 core 的共享件(`foldDelta` 的 d.ts:「the backends share
+            // it so the file and in-memory forms cannot drift in what a delta MEANS」)。此前这三处是本地孪生。
             if (delta.kind === "redemption-add") {
-                assertNotQuarantined(cur.quarantined, delta);
-                nextRules = foldAdd(cur.rules, delta);
+                assertRedemptionNotQuarantined(cur.quarantined, delta);
+                nextRules = foldDelta(cur.rules, delta);
             }
             else {
-                assertDeleteCarriesNoAdd(delta);
+                assertDeleteDeltaCarriesNoAdd(delta);
                 nextTombstones = [...cur.tombstones, delta.tombstone];
             }
             // 🔴 codex 交叉复审 round5 [high] 一(验真后修)——**只写读得回来的东西**。

package/dist/plugins/remote-env-host.js

@@ -48,6 +48,7 @@ import { hostBackgroundShellEnabled, hostExecSpoolEnabled } from "../config.js";
 import { resolveHostShell, hostShell, spawnGroupOptions, killTreeHard, killTreeSoft, collapseWin32EnvKeys } from "./host-platform.js";
 import { BackgroundShellManager, seedMemStream, feedMemStream, drainMemStream } from "./background-shell-support.js";
 import { FileError, ExecutionError, RemoteExecutionError, scrubSecretEnv, RollingTailBuffer, markTruncated, SchedulerError, BackgroundShellError, } from "@sema-agent/core";
+import { recordSecretEnvScrub } from "../observability/secret-env-scrub.js";
 const PROVIDER = "host";
 /** Default per-command wall-clock when the caller passes none (NOT a hang detector — host commands rarely hang).
  *  ⚠️ 同判据三腿之一(另两条:`remote-env-local-docker.ts` 同值 30min、`remote-env-ssh.ts` **5min**)——
@@ -1526,8 +1527,15 @@ export class RemoteHostExecutionEnv {
                 if (process.env[k] !== undefined)
                     base[k] = process.env[k];
         }
-        else
-            base = scrubSecretEnv(process.env); // "scrub" — core's first-party D1 secret-env filter
+        else {
+            // "scrub" — core's first-party D1 secret-env filter. A-033.3(#256):带 `findings` 收集器调用,
+            // 把「这一次丢了哪些密钥形 key、按哪条规则、置信度多少」交给既有观测面留痕。零留痕的保护证明不了
+            // 自己生效过,也发现不了自己不再生效(词表漂/新命名法穿缝/这条腿被改成 inheritEnv:"all")。
+            // 收集器**不改变**剥除行为一个字节(core: 省略它 ⇒ byte-for-byte 与之前相同)。
+            const findings = [];
+            base = scrubSecretEnv(process.env, findings);
+            recordSecretEnvScrub("server.remote-env-host.inherit-scrub", findings);
+        }
         if (this.cfg.env)
             Object.assign(base, this.cfg.env); // caller-supplied (control-plane secrets) verbatim
         if (perCommand)

package/dist/project-memory.js

@@ -17,6 +17,7 @@ import { execFile } from "node:child_process";
 import { createHmac, randomBytes } from "node:crypto";
 import { isAbsolute, join, sep } from "node:path";
 import { scrubSecretEnv } from "@sema-agent/core";
+import { recordSecretEnvScrub } from "./observability/secret-env-scrub.js";
 import { redactSecrets } from "./trace/redact.js";
 /** The instruction-file name chain (core 1.302 S-1): AGENTS.md wins, CLAUDE.md is the fallback, then the
  *  `.claude/` nested form. The FIRST hit is the single declared instruction source. */
@@ -122,11 +123,16 @@ async function hasSymlinkedParent(root, rel) {
  *  and GIT_CONFIG_GLOBAL/SYSTEM=/dev/null drop the global/system config so a planted one can't inject either. */
 function git(root, args, maxBytes) {
     const safeArgs = ["-c", "core.fsmonitor=false", "-c", "core.hooksPath=/dev/null", ...args];
+    // A-033.3(#256):带 `findings` 收集器 —— 见下方 env 行的注释,这条腿丢掉的是「仓内的钩子/凭证助手
+    // 本来会看到的」那批 key,零留痕的话保护生效与否在遥测里读不出来。收集器不改变剥除行为。
+    const scrubFindings = [];
+    const scrubbedEnv = scrubSecretEnv(process.env, scrubFindings);
+    recordSecretEnvScrub("server.project-memory.git-subprocess", scrubFindings);
     return new Promise((res) => {
         execFile("git", safeArgs, 
         // scrubSecretEnv: a git hook / credential helper must not see the orchestrator's *_KEY/*_TOKEN/*_SECRET env.
         // GIT_CONFIG_GLOBAL/SYSTEM=/dev/null: ignore ~/.gitconfig + /etc/gitconfig so a planted exec-config can't steer us.
-        { cwd: root, timeout: 5000, maxBuffer: maxBytes, env: { ...scrubSecretEnv(process.env), GIT_CONFIG_GLOBAL: "/dev/null", GIT_CONFIG_SYSTEM: "/dev/null" } }, (err, stdout, stderr) => {
+        { cwd: root, timeout: 5000, maxBuffer: maxBytes, env: { ...scrubbedEnv, GIT_CONFIG_GLOBAL: "/dev/null", GIT_CONFIG_SYSTEM: "/dev/null" } }, (err, stdout, stderr) => {
             if (!err)
                 return res({ out: stdout.trim() });
             // S23: the git narrative used to vanish with zero fingerprint — classify why (→ gitDropReason).

package/dist/run-local.js

@@ -78,6 +78,7 @@ import { createPermissionDeniedMeter } from "./observability/tool-trace.js";
 import { createKeyResolver } from "./key-resolver.js";
 import { createLogger } from "./observability/logger.js";
 import { createMetrics } from "./observability/metrics.js";
+import { installSecretEnvScrubRecorder } from "./observability/secret-env-scrub.js";
 /** Parse argv (everything AFTER `node run-local.js`). Throws a clear Error on a missing objective. */
 export function parseArgs(argv) {
     let objective;
@@ -308,6 +309,12 @@ export async function runLocal(argv, deps = {}) {
     const config = loadConfig();
     const logger = deps.logger ?? createLogger(config.logLevel);
     const metrics = createMetrics();
+    // A-033.3(#256,codex 复审 medium 真修):run-local **也**要装密钥剥除的留痕面。这不是 main.ts 的
+    // 复制粘贴 —— 它恰恰是最该有的那条腿:run-local 是 TOC 本地形,模型可驱动的 shell 跑在**用户自己的
+    // 机器**上、继承的是用户**真实的** env(脑钥/仓库令牌/DB 凭据),而这两条剥除腿(hostExecutionEnvFactory
+    // 的 mergeEnv 与 makeLoadProjectMemory 的 git 子进程)在本入口全都接线了。不装 ⇒ 收集器有了、sink 是空的,
+    // 这条腿保留 A-033.3 要消灭的那个「零披露」原状(而且进程一退,连计数都没了)。
+    installSecretEnvScrubRecorder({ logger, metrics });
     // F10 (codex audit): run-local used to drop the pre-logger config diagnostics on the floor (S20 soft-knob
     // warnings + [792]④ boot notices) — main.ts drained them, this entrypoint didn't. Shared helper, no drift.
     logConfigDiagnostics(logger);

package/dist/runtime-governance.d.ts

@@ -52,7 +52,7 @@ export declare function stripDelegationTools<T extends {
 }>(tools: readonly T[]): T[];
 /** The operator autonomy mode (registry `runtime.autonomy`). */
 export type Autonomy = "read-only" | "ask" | "plan" | "auto";
-/** 导出给  的枚举式行为钉用(见那里的顶注:从 core 行为反推再比对)。 */
+/** 导出给 `test/coarse-shell-tools-mirror.test.ts` 的同源钉用(见那里的顶注)。 */
 export declare const COARSE_SHELL_TOOLS_MIRROR: readonly string[];
 /** Validate `commandPolicy` rules — the shape (array of {command, decision}), the `command` (a bare argv[0] name,
  *  see {@link VALID_COMMAND_NAME}), AND the `decision` enum. Returns the list of human-readable errors (empty =

package/dist/runtime-governance.js

@@ -23,7 +23,7 @@
  * path-prefixed commands all bypass the argv[0] match (they route to `ask`, fail-closed, but are not blocked by
  * name). Real isolation is the `executionEnv` sandbox. Same caveat core documents on `createCoarseCommandNamePolicy`.
  */
-import { combinePolicies, createCoarseCommandNamePolicy, DEFAULT_SUBAGENT_TOOL_NAME, parseLeadingCommandName, tightenTaskSpec, } from "@sema-agent/core";
+import { combinePolicies, COARSE_SHELL_TOOLS as CORE_COARSE_SHELL_TOOLS, createCoarseCommandNamePolicy, DEFAULT_SUBAGENT_TOOL_NAME, parseLeadingCommandName, tightenTaskSpec, } from "@sema-agent/core";
 import { currentGovernanceAskMarks } from "./governance-ask-marks.js";
 /** True when `name` names a DELEGATION tool — the subagent tool(CC-187 canonical `"Agent"`,core
  *  `DEFAULT_SUBAGENT_TOOL_NAME`)。5.0.0 RB-476:折叠面退役,RAW 比对 core 单源常量——旧名("Task")
@@ -48,23 +48,20 @@ export function stripDelegationTools(tools) {
     const kept = tools.filter((t) => !isDelegationToolName(t.name));
     return kept.length === tools.length ? tools : kept;
 }
-/** The shell tool names a command-name gate parses. Mirrors core's (un-exported) `COARSE_SHELL_TOOLS` default so
- *  the ask-list policy below gates the SAME tools `createCoarseCommandNamePolicy` does. A unit test pins behavior
- *  (a `Bash` ask-command asks) so a core rename surfaces as a red test, not silent drift.
+/** The shell tool names a command-name gate parses — **core 的 {@link COARSE_SHELL_TOOLS} 本尊**,不再是镜像。
+ *  本仓的 ask-list 策略因此恒门住与 `createCoarseCommandNamePolicy` **同一批**工具。
  *  Q6 (core 1.161): tool names align to CC — `bash`→`Bash`; the old `bash_readonly` MERGED into `Bash` (read-only is
  *  now a toolEffect, not a separate tool).
  *
- *  🔴 2026-07-26:core 1.414 把默认从 `["Bash"]` 改成 `["Bash","Monitor"]`(Monitor 走同一条执行 seam,此前是
- *  两条 always-on 门的旁门;core 的端到端实证:同一条 `rm -rf $(cat targets)`,Bash 被拒、**Monitor 零门执行**)。
- *  我这份镜像因此漂了,后果是 **blocklist 模式下我的 ask-list 不覆盖 Monitor 而 core 的 deny 覆盖**。
- *  ⚠️ 更要紧的是**旧的钉抓不到这次加名** —— 它只钉了「一条 Bash 的 ask-command 会 ask」,加一个新名字它照样绿
- *  (core [1707]③ 明确点了这条)。现在的钉改成**枚举式且从 core 的行为反推**:
- *  `test/coarse-shell-tools-mirror.test.ts` 拿 core 导出的 `createCoarseCommandNamePolicy()`(默认参)去逐个探
- *  候选工具名,把「core 真的门了哪些」测出来,再断言本常量**等于**那个集合。
- *  这样做的理由:core 的 `COARSE_SHELL_TOOLS` **未导出**,而扫它的 dist 源码只能挡写法不挡行为
- *  (core RB-149 的教训:一个变异靠换写法就穿过了源码扫描)。 */
-const COARSE_SHELL_TOOLS = ["Bash", "Monitor"];
-/** 导出给  的枚举式行为钉用(见那里的顶注:从 core 行为反推再比对)。 */
+ *  🔴 A-033.1(#256)换装记:本常量此前是**手抄镜像** `["Bash","Monitor"] as const`,注释自称「core 未导出」。
+ *  那句话在 core RB-153(server [1708] 请托)之后就过期了 —— core 现在**公开导出**这份名单(index.d.ts:134),
+ *  它自己的原话是「The list itself is the fact; publishing it removes the guess」。镜像的真实代价有前科:
+ *  core 1.414 把默认从 `["Bash"]` 扩到 `["Bash","Monitor"]`(Monitor 走同一条执行 seam),镜像漏跟一轮 ⇒
+ *  **blocklist 模式下本仓的 ask-list 不覆盖 Monitor 而 core 的 deny 覆盖**(core 端到端实证:同一条
+ *  `rm -rf $(cat targets)`,Bash 被拒、Monitor 零门执行)。换真 import 之后这一整类漏跟在结构上消失。
+ *  `test/coarse-shell-tools-mirror.test.ts` 的钉相应从「行为反推 + 值比对」改成**同源断言**(见那里顶注)。 */
+const COARSE_SHELL_TOOLS = CORE_COARSE_SHELL_TOOLS;
+/** 导出给 `test/coarse-shell-tools-mirror.test.ts` 的同源钉用(见那里的顶注)。 */
 export const COARSE_SHELL_TOOLS_MIRROR = COARSE_SHELL_TOOLS;
 /**
  * A per-command ask-list ToolPolicy: a parsed shell command whose `argv[0]` is in `askCommands` tightens to

package/dist/security.d.ts

@@ -138,7 +138,9 @@ export interface AuthContext {
     sessionId: string;
     /** Long-term memory scope, derived from the principal (not the body). Undefined disables memory. */
     memoryScope?: string;
-    /** 142-S4:the request's SHAPE-VALIDATED projectId (body.projectId 过 PROJECT_ID_REGEX 门后回传)。
+    /** 142-S4:the request's SHAPE-VALIDATED **且已归一(小写)** 的 projectId(body.projectId 过 core
+     *  `PROJECT_ID_REGEX` 门后折小写回传;A-033.1/#256 宽读严写 —— 词法带 /i 收下大写形,但派生 scope 键
+     *  与 config.projects 查表都只认这一个归一形,否则同一个项目会按大小写分成两只记忆盘)。
      *  身份半场(scope 的 tenant 段)永远来自 verified principal — projectId 只选「哪个项目盘/哪条登记」
      *  (config.projects 查表键 + proj: 键的 projectId 段),不是 capability。main.ts 拿它查 defaultScopes。 */
     resolvedProjectId?: string;