@sema-agent/server 7.35.1 → 7.36.0

package/dist/http/routes/rules.js

@@ -4,7 +4,7 @@ import { gatedPrincipal, explicitOperatorOk } from "../principal-gate.js";
 import { createLogger } from "../../observability/logger.js";
 // 等待秒数的单一真源在车道:它同时被「放回认领时判这张票还撑不撑得过这段窗」用到(见那侧头注)。
 // scope 的 wire 形也在车道(列举列 / 查询参数 / 删除体 / 游标四处同一份表示,见那侧头注)。
-import { RULE_IMPORT_RETRY_AFTER_SEC, parseRuleScope, serializeRuleScope } from "../../rules-consent.js";
+import { RULE_IMPORT_RETRY_AFTER_SEC, MAX_RULE_SCOPE_CHARS, parseRuleScope, serializeRuleScope } from "../../rules-consent.js";
 const logger = createLogger();
 export const RULES_CC_IMPORT_PREPARE_PATH = "/v1/rules/cc-import/prepare";
 export const RULES_CC_IMPORT_REDEEM_PATH = "/v1/rules/cc-import/redeem";
@@ -45,12 +45,15 @@ const CcImportPrepareBodySchema = z
 const CcImportRedeemBodySchema = z.object({ ticket: z.string().min(1).max(190) }).strict();
 /** `DELETE /v1/rules` 的体。`.strict()` 同族理由:把 `scope` 拼错成 `scopes` 的客户端应该当场知道,
  *  而不是拿到一个「删掉了 global 那条」的意外结果。`principal` = operator 越权域(缺席 = 删自己的)。
- *  长度上限与 principal 入口上限同源(`PRINCIPAL_MAX_LENGTH = 190`,security.ts);`rule` 的 1024 与
- *  cc-import 的 `root` 同族(一条规则文本是人写的一行,不是载荷)。 */
+ *  长度上限与 principal 入口上限同源(`PRINCIPAL_MAX_LENGTH = 190`,security.ts);`rule` 的 1024 覆盖
+ *  core 的 `MAX_RULE_TEXT_CHARS`(512,铸侧真上界)且留足余量。
+ *  🔴 `scope` 的上限**不再是本文件自己挑的数**(A-054.24):改由铸侧的尺派生 —— 见
+ *  {@link MAX_RULE_SCOPE_CHARS} 顶注(此前独立写死 1088,而铸侧能落到 4096+,于是超限 root 的规则
+ *  「列得出、删不掉」)。撤销口的收窄若严于铸侧,等于造一条**不可撤的常驻放行规则**,方向是错的一侧。 */
 const RuleRevokeBodySchema = z
     .object({
     rule: z.string().min(1).max(1024),
-    scope: z.string().min(1).max(1088), // "project:" + root(1024)+ 余量
+    scope: z.string().min(1).max(MAX_RULE_SCOPE_CHARS),
     principal: z.string().min(1).max(190).optional(),
 })
     .strict();

package/dist/http/routes/runs.js

@@ -8,6 +8,7 @@ import { redactSteerIn, STEER_IN_MAX_CHARS, STEER_IN_MAX_REQUEST_CHARS } from ".
 import { defaultSubagentTailBus } from "../../fleet/subagent-tail-bus.js";
 import { fleetRunPublisher, fleetRunLabels } from "../../fleet/fleet-bus.js";
 import { composeSupervisorCost, infraCost, infraUsageFromEvents, hasInfraPricing } from "../../observability/cost-taxonomy.js";
+import { recordFailOpen } from "../../observability/fail-open.js";
 import { cascadeConfig, runMeta } from "../run-meta.js";
 import { createHash } from "node:crypto";
 import { scopedIdempotencyKey } from "../idempotency.js";
@@ -312,7 +313,7 @@ async function handleRunsBody(req, res, url, ctx, miss) {
     const runMatch = req.method === "GET" ? RUN_ID_RE.exec(url) : null;
     if (runMatch) {
         if (!deps.runStore) {
-            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg)");
+            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg|local)");
             return;
         }
         const taskId = runMatch[1];
@@ -404,7 +405,7 @@ async function handleRunsBody(req, res, url, ctx, miss) {
     const cancelMatch = req.method === "POST" ? RUN_CANCEL_RE.exec(url) : null;
     if (cancelMatch) {
         if (!deps.runStore) {
-            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg)");
+            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg|local)");
             return;
         }
         // Principal check BEFORE the lookup (parity with GET /v1/runs/:id): no 404-vs-401 existence oracle.
@@ -617,7 +618,7 @@ async function handleRunsBody(req, res, url, ctx, miss) {
         if (rateLimited(req, res) || quotaExceeded(req, res) || (await leaseDenied(req, res)))
             return; // mutating + hits TiDB / runs the model
         if (!deps.runStore) {
-            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg)");
+            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg|local)");
             return;
         }
         // Per-tenant identity MUST come from gatedPrincipal (direct-door secure single point), NOT principalFrom:
@@ -862,7 +863,7 @@ async function handleRunsBody(req, res, url, ctx, miss) {
             }
             // per-session 串行(复审 HIGH:并发双终态 steer 的 tryPark→put 窗口双铸两个 pending park)。
             const prior = wakeParkMints.get(run.sessionId) ?? Promise.resolve();
-            const mintResult = { parked: false, queueFull: false, duplicateKey: false };
+            const mintResult = { parked: false, queueFull: false, duplicateKey: false, noResumeCtx: false };
             // wake park 腿的 queue_full:新铸的 task_done checkpoint 队列必空,所以只可能来自「锁内重查撞到
             // 既有 pending」或「跨副本赢家」两条既有 park 上——两处都要如实报满,不许折成「不接受转向」。
             const parkOnce = async (t, sc) => {
@@ -902,6 +903,25 @@ async function handleRunsBody(req, res, url, ctx, miss) {
                 const leafId = await Promise.resolve(deps.sessionStorage.getLeafId(run.sessionId)).catch(() => undefined);
                 if (leafId === undefined || leafId === null)
                     return;
+                // 🔴 A-057.19 [CONFIRMED high](2026-08-19 三轴组复审,真机复现)—— **铸卡前先证明它赎得回**。
+                // 缺口:本支铸的 `task_done` park 只有一条出路 = `POST /v1/sessions/:id/wake`,而那条腿硬依赖
+                // `checkpoint_ctx`(server.ts 的 resumeWake:`getCtx` 为 null ⇒ 409
+                // `conflict.resume_context_unavailable`,无任何从 run 行重建的兜底);而 `reapCtx` 按**设计**在
+                // run 终态后把该行删掉(`run-store-sql.ts` 的 setTerminal 删 task_active ⇒ ctx 失去保护,
+                // reaper 每 tick 按 `REAP_RUN_STALE_SEC`(默认 120s)清理)。于是 steer-on-terminal 的真实用法
+                // (跑完隔几分钟补一句)几乎恒中:202「用 /wake 送」→ /wake 恒 409 → 消息永久搁浅在一张
+                // `GET /v1/approvals` 还照列、`/decide` 打它必 409(gate-kind 守卫)的卡上,直到 30 天
+                // terminal backstop 把它 expire 掉、消息静默蒸发。
+                // 处置照 #308 那条判例(「宁响亮拒不永久搁浅」):证不出 resume ctx 在 ⇒ **不铸**,当场诚实 409,
+                // 把真因(ctx 已随终态回收)与出路(重新提交任务)写进回体。读失败/超时同样算「证不出」——
+                // 方向 fail-closed:铸一张没人能消费的卡比拒绝一次 steer 伤得多(拒绝可重试,搁浅不可)。
+                // ⚠️ 射程只在**铸新卡**这一步:上面 reprobe 把消息 park 到**既有** pending 卡上的那条路不动
+                // (那张卡不是本腿造的,出路也未必是 /wake)。
+                const resumeCtx = await Promise.resolve(cs.getCtx(run.sessionId)).catch(() => null);
+                if (resumeCtx === null || resumeCtx === undefined) {
+                    mintResult.noResumeCtx = true;
+                    return;
+                }
                 const cpScope = encodeCheckpointScope(run.owner); // 匿名提交哨兵,与 main.ts putCtx 的 principal ?? "_" 同域
                 const wakeToken = mintCheckpointToken();
                 await cs.put(wakeToken, {
@@ -916,6 +936,21 @@ async function handleRunsBody(req, res, url, ctx, miss) {
                     createdAt: Date.now(),
                     sourceTaskId: taskId,
                 });
+                // 🔴 A-057.19 第二半(codex 对抗复审 high,验真后采纳):上面那次 `getCtx` 与这次 `put` 之间
+                // 仍有一个 TOCTOU 窗 —— 窗内 `reapCtx` 完全可能把 ctx 删掉(它的三守卫此刻全部成立:run 已终态
+                // ⇒ 无 task_active、卡还没铸 ⇒ 无 pending checkpoint、提交早于 cutoff),于是我们照样铸出那张
+                // 赎不回的卡。**put 本身就是关窗动作**:`reapCtx` 的谓词逐字含
+                // `session_id NOT IN (SELECT session_id FROM checkpoint WHERE status='pending')`
+                // (checkpoint-store-sql.ts 的 reapCtx / local-checkpoint-store.ts 双生同谓词),卡一落盘该 session
+                // 的 ctx 就被排除在回收之外。⇒ **put 之后再证一次**:还在 ⇒ 窗内没被删,从此也删不掉了;
+                // 不在 ⇒ 窗内正好被删,把刚铸的孤儿 expire 掉再诚实 409(绝不留一张赎不回的卡)。
+                // 读失败同样按「证不出」处置(与铸前那次同向 fail-closed)。
+                const ctxStillThere = await Promise.resolve(cs.getCtx(run.sessionId)).catch(() => null);
+                if (ctxStillThere === null || ctxStillThere === undefined) {
+                    await cs.expire(wakeToken, cpScope).catch(() => undefined);
+                    mintResult.noResumeCtx = true;
+                    return;
+                }
                 // 跨副本纵深:put 后复核赢家——若另一副本抢先铸了别的 pending,expire 我方孤儿并把消息
                 // park 到赢家上(收敛到单 park;店无序时收敛到店的稳定扫描序,残窗如实记 fast-follow)。
                 const winner = await cs.findPendingTokenBySession(run.sessionId).catch(() => null);
@@ -944,6 +979,12 @@ async function handleRunsBody(req, res, url, ctx, miss) {
                 sendDuplicateKey();
                 return;
             }
+            // A-057.19:与 /wake 腿**同一个** errorCode —— 消费端对这条 session 的判断是同一件事(续跑材料没了),
+            // 两条腿给两个码只会让壳以为是两回事。
+            if (mintResult.noResumeCtx) {
+                sendError(res, 409, "conflict.resume_context_unavailable", "run already ended and this session's resume context is gone — a steer parked now could never be delivered by POST /v1/sessions/:id/wake; submit a new task instead");
+                return;
+            }
             if (mintResult.parked) {
                 sendJson(res, 202, { taskId, status: run.status, delivery: "parked_for_wake", messageId, ...(priority ? { priority } : {}), note: "run already ended — steer parked on a task_done checkpoint; deliver it with POST /v1/sessions/:id/wake" });
                 return;
@@ -962,7 +1003,7 @@ async function handleRunsBody(req, res, url, ctx, miss) {
         if (rateLimited(req, res) || quotaExceeded(req, res) || (await leaseDenied(req, res)))
             return; // mutating + runs the model (compaction summarizes)
         if (!deps.runStore) {
-            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg)");
+            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg|local)");
             return;
         }
         const principal = gatedPrincipal(req, deps.config); // direct-door-secure identity, never the spoofable header
@@ -1067,7 +1108,7 @@ async function handleRunsBody(req, res, url, ctx, miss) {
         if (rateLimited(req, res))
             return; // mutating, but runs no model (no quota gate — parity with cancel, not steer)
         if (!deps.runStore) {
-            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg)");
+            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg|local)");
             return;
         }
         const principal = gatedPrincipal(req, deps.config); // direct-door-secure identity, never the spoofable header
@@ -1414,7 +1455,7 @@ async function handleRunVerbsBody(req, res, url, ctx, miss) {
         if (rateLimited(req, res) || quotaExceeded(req, res) || (await leaseDenied(req, res)))
             return; // mutating + drives a model agent
         if (!deps.runStore) {
-            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg)");
+            sendError(res, 501, "capability.run_store_required", "async runs require a durable run store (DB_BACKEND=mysql|pg|local)");
             return;
         }
         // Identity from gatedPrincipal (direct-door-secure single point), NEVER the spoofable header — `trusted`
@@ -1757,7 +1798,13 @@ async function handleRunVerbsBody(req, res, url, ctx, miss) {
         const syncLiveFromDecidedRow = (row) => {
             if (!decidedRowIsAuthoritative(row))
                 return false;
-            deps.toolApproval?.notifyExternalDecision(row.askId, row.decision === "approve");
+            const settled = deps.toolApproval?.notifyExternalDecision(row.askId, row.decision === "approve");
+            // 🔴 A-054.15:**行派生**的 approve —— 第三形参 `updatedInput` 结构上取不到(行没有那一列),交出去的
+            // 裸 `true` 会让 core 落回**原始未改写**实参执行。与 tool-approval.ts 的三个同形站点计同一个 tag
+            // (选择性登记比不登记更坏);`settled > 0` 才算 —— 本地没有闭包被结算时什么都没执行,记了是假阳性。
+            if (row.decision === "approve" && (settled?.settled ?? 0) > 0) {
+                recordFailOpen("server.hitl.row-derived-approve-drops-updated-input", "runs:sync-live-from-decided-row");
+            }
             return true;
         };
         /**

package/dist/http/routes/sessions-list.js

@@ -27,7 +27,7 @@ async function handleSessionsListBody(req, res, url, ctx, miss) {
         }
         const lister = deps.sessionStorage?.listSessions?.bind(deps.sessionStorage) ?? deps.runStore?.listSessions?.bind(deps.runStore);
         if (!lister) {
-            sendError(res, 501, "capability.session_store_required", "session list requires a durable session store (DB_BACKEND=mysql|pg)");
+            sendError(res, 501, "capability.session_store_required", "session list requires a durable session store (DB_BACKEND=mysql|pg|local)");
             return;
         }
         // [4198] 窄互认第二臂(列表面)—— 条件①③ 在此判,条件②(`owner === null`)由 store 的

package/dist/http/routes/sessions.js

@@ -257,7 +257,7 @@ async function handleSessionsBody(req, res, url, ctx, miss) {
             const getLeafId = deps.sessionStorage?.getLeafId?.bind(deps.sessionStorage);
             const ownerOf = deps.sessionStorage?.ownerOf?.bind(deps.sessionStorage);
             if (!getLeafId || !ownerOf) {
-                sendError(res, 501, "capability.session_store_required", "session head probe requires a durable session store (DB_BACKEND=mysql|pg)");
+                sendError(res, 501, "capability.session_store_required", "session head probe requires a durable session store (DB_BACKEND=mysql|pg|local)");
                 return;
             }
             const headSession = decodeURIComponent(hm[1]);
@@ -310,7 +310,7 @@ async function handleSessionsBody(req, res, url, ctx, miss) {
             const ownerOf = deps.sessionStorage?.ownerOf?.bind(deps.sessionStorage);
             const watch = deps.sessionWatch;
             if (!deps.sessionStorage?.getLeafId || !ownerOf || !watch) {
-                sendError(res, 501, "capability.session_store_required", "session events require a durable session store (DB_BACKEND=mysql|pg)");
+                sendError(res, 501, "capability.session_store_required", "session events require a durable session store (DB_BACKEND=mysql|pg|local)");
                 return;
             }
             const evSession = decodeURIComponent(em[1]);
@@ -579,7 +579,7 @@ async function handleSessionsBody(req, res, url, ctx, miss) {
             const fork = deps.sessionStorage?.fork?.bind(deps.sessionStorage);
             const ownerOf = deps.sessionStorage?.ownerOf?.bind(deps.sessionStorage);
             if (!fork || !ownerOf) {
-                sendError(res, 501, "capability.session_store_required", "session fork requires a durable session store (DB_BACKEND=mysql|pg)");
+                sendError(res, 501, "capability.session_store_required", "session fork requires a durable session store (DB_BACKEND=mysql|pg|local)");
                 return;
             }
             const scope = sessionOwnerScopeForWrite(req);
@@ -638,7 +638,7 @@ async function handleSessionsBody(req, res, url, ctx, miss) {
             const purge = deps.purgeSession;
             const ownerOf = deps.sessionStorage?.ownerOf?.bind(deps.sessionStorage);
             if (!purge || !ownerOf) {
-                sendError(res, 501, "capability.session_store_required", "session delete requires a durable session store (DB_BACKEND=mysql|pg)");
+                sendError(res, 501, "capability.session_store_required", "session delete requires a durable session store (DB_BACKEND=mysql|pg|local)");
                 return;
             }
             const scope = sessionOwnerScopeForWrite(req);

package/dist/http/routes/side-query.js

@@ -161,7 +161,12 @@ async function handleSideQueryBody(req, res, url, ctx, miss) {
                 signal: ac.signal,
             };
             try {
-                const result = await deps.runner.sideQuery(spec);
+                // #303:**不走** `deps.runner.sideQuery` —— core 的 SideQuerySpec 没有 key 座位,那条路恒把
+                // brain 构造时的网关 key 发到模型自己的 baseUrl(上游 401 + 凭据外泄形)。`deps.sideQuery` =
+                // boot/side-query-lane.ts 装配的执行席(真 runSideQuery + per-model key 注入 brain wrapper),
+                // 结果形逐字同 core 规格。poison(sealed key 不可解)在这里以异常上抛 ⇒ 落下面 500 臂(响亮),
+                // 绝不静默用网关 key 顶上。
+                const result = await deps.sideQuery(spec);
                 // 记账(codex R2 high→R3 收敛):走与 createTracer 同源装配的四路 sink seam(costQuota+指标+
                 // fleetUsage 批报+fleetLease 本地扣减)——sideQuery 不发 brain.call,tracer 链不经过这里。
                 // usageMissing/无 cost 面=0 记账,诚实缺席。

package/dist/http/server.d.ts

@@ -1,6 +1,6 @@
 import http from "node:http";
 import type { IncomingMessage } from "node:http";
-import { type Runner, type TaskSpec, type TaskResult, type WorkflowRunStore, type MemoryEntry, type MemoryExportBundle, type MemoryImportReport } from "@sema-agent/core";
+import { type Runner, type TaskSpec, type TaskResult, type WorkflowRunStore, type MemoryEntry, type MemoryExportBundle, type MemoryImportReport, type SideQuerySpec, type SideQueryResult } from "@sema-agent/core";
 import type { TaskRequestBody } from "./wire-types.js";
 import type { ServiceConfig } from "../config-types.js";
 import { type RestartSignal, type SessionMirrorRuling } from "../config-center/facade.js";
@@ -60,10 +60,19 @@ export interface RequestAuth {
  * 入口摊平回平铺视图,server.ts 内的 ~700 处 `deps.x` 消费点原样保留。消费点迁移是后批的事——
  * 一步到位需要同批改 ~700 处 src + ~800 处 test 键位,与「先立形、后搬家」相比没有额外收益。
  */
-/** createHttpServer 的**必填三件**——引擎、部署配置、请求→TaskSpec 的映射。三者恒在场,
- *  故留在顶层(不进任何可选组):没有它们 server 根本起不来,包一层可选组只会把编译期错误推迟到运行期。 */
+/** createHttpServer 的**必填四件**——引擎、部署配置、请求→TaskSpec 的映射、side-query 执行席。
+ *  四者恒在场,故留在顶层(不进任何可选组):没有它们 server 根本起不来,包一层可选组只会把编译期
+ *  错误推迟到运行期(本仓 E-HIGH-1 病族的成因就是「可选键从未接线、编译期无声」)。 */
 export interface ServiceCoreDeps {
     runner: Runner;
+    /**
+     * #303:`POST /v1/side-query` 的 brain 出口。**不是** `runner.sideQuery` —— core 的 `SideQuerySpec`
+     * 结构性没有 key 座位,经 Runner 那条路走的 side-query 恒用 brain 构造时的网关 key 打**模型自己的**
+     * baseUrl(上游 401 + 凭据外泄形)。装配点 `boot/side-query-lane.ts` 给它一只 per-model key 注入
+     * 的 brain wrapper,models/roles 与 Runner 同源。
+     * 🔴 **必填**:可选形会让「装配点忘了接线」退化成静默走回旧路(安全轴上没有静默降级),必填让它编译红。
+     */
+    sideQuery: (spec: SideQuerySpec) => Promise<SideQueryResult>;
     config: ServiceConfig;
     /**
      * Map an inbound request body + resolved auth to a full TaskSpec. The SERVICE/deployment owns model
@@ -352,7 +361,9 @@ export interface ServiceSeamDeps {
      *  requiresParentConstraint 的 parked checkpoint 恒被 core pre-CAS 门诚实拒(不可赎回)。
      *  ⚠️ **async**(A-010.1):重建要按本行 principal 现解 entitlement——理由在 parked-decide.ts 的
      *  `rebuildInheritedGate` 头注。 */
-    parkedReviveInheritedGate?: (row: import("@sema-agent/core").BackgroundAgentRecord) => Promise<unknown>;
+    parkedReviveInheritedGate?: (row: import("@sema-agent/core").BackgroundAgentRecord, identity: {
+        principal: string | undefined;
+    }) => Promise<unknown>;
 }
 /** **可观测面**:日志/指标/累加器。全体 fail-open——观测失败绝不改变业务面行为。 */
 export interface ServiceObservabilityDeps {
@@ -458,7 +469,9 @@ export interface ServiceDeploymentDeps {
      *  缺席(local/memory/探针关)= /health 形状不变;接线 = `storeProbe{live,ageMs,error?}` 恒在
      *  (「探过且活」与「没接线」机读可分),顶层告警键 `storeLive:false` 只在死时出现。status 恒 "ok"
      *  ——liveness≠readiness,DB 死不是进程死;摘流语义留给读键的编排器(与 durable/ready 同姿势,
-     *  披露不代裁)。钉:test/health-store-live.test.ts。 */
+     *  披露不代裁)。钉:test/health-store-live.test.ts。
+     *  🔴 #305:座席给的 `error` 是**驱动原始 message**(DSN/主机/账号常在其中),而 /health 在鉴权门
+     *  之前 ⇒ 路由把它过 `publicStoreProbeError` 换成闭集词才上线;原文只走日志轴。 */
     storeLiveState?: () => {
         live: boolean;
         ageMs: number;

package/dist/http/server.js

@@ -14,6 +14,7 @@ import { normalizeApproachNotice, validateTaskAgents } from "../spec-fields.js";
 import { isValidCwd, MAX_ADDITIONAL_DIRS } from "../task-cwd.js";
 import { runInBackground, evictIfConflict, stripCheckpointToken, TurnAnchorCapture, HEARTBEAT_MS, markChildrenStoppedByUserOnAbort } from "../runs.js";
 import { readTurnActivityMs, recordTurnActivity } from "../turn-activity.js";
+import { publicStoreProbeError } from "../store-live-probe.js"; // #305:免鉴权 /health 面的探针错误闭集词表
 import { looksLikeJwt } from "@sema-agent/registry-core/api/auth-bridge";
 import {} from "../orchestration/workflow-agent-steer.js";
 import { emitPendingWorkflowCompletions, taskNotificationInboxEntry, taskNotificationStreamKey, NotifiedKeys } from "../orchestration/workflow-completion-inbox.js";
@@ -498,7 +499,10 @@ export function createHttpServer(rawDeps) {
                         return {};
                     return {
                         ...(probe.live ? {} : { storeLive: false }),
-                        storeProbe: { live: probe.live, ageMs: probe.ageMs, ...(probe.error !== undefined ? { error: probe.error } : {}) },
+                        // #305:error 过闭集词表 —— 这一整个响应体在鉴权门**之前**发出,而座席给的是驱动原始
+                        // message(DSN/主机/账号常在其中)。消毒钉在**这个 wire 装配点**而不是探针环里:座席是
+                        // 可注入接缝,只有边界上的这一道对**任何**生产者成立(fail-closed 方向)。原文留日志轴。
+                        storeProbe: { live: probe.live, ageMs: probe.ageMs, ...(probe.error !== undefined ? { error: publicStoreProbeError(probe.error) } : {}) },
                     };
                 })(),
             });

package/dist/index.d.ts

@@ -21,4 +21,7 @@ export { createAuthorizer, principalFrom, HttpError, type AuthContext, type Owne
 export { memoryScopeFor, memoryEngineBackendFor } from "./memory-scope.js";
 export type { TaskRequestBody } from "./http/wire-types.js";
 export { createHttpServer, type ServiceDeps, type RequestAuth, type FlatServiceDeps, type ServiceDepGroups, type ServiceCoreDeps, type ServiceStoreDeps, type ServiceCoordinatorDeps, type ServiceSeamDeps, type ServiceObservabilityDeps, type ServiceGovernanceDeps, type ServiceDeploymentDeps, type ServiceKnobDeps, } from "./http/server.js";
+export { createSideQueryLane, createPerModelKeyBrain, type KeyResolver, type SideQueryLane, type SideQueryLaneCtx } from "./boot/side-query-lane.js";
+export { createKeyResolver, resolveModelApiKey, type ModelKeyRef } from "./key-resolver.js";
+export { isSealedKeyPoison, SealedKeyPoisonedError, type SealedKeyPoison, type SealedKeyPoisonReason } from "./sealed-key.js";
 //# sourceMappingURL=index.d.ts.map

package/dist/index.js

@@ -25,4 +25,18 @@ export { buildScenarios, selectScenario, } from "./capabilities/scenarios.js";
 export { createAuthorizer, principalFrom, HttpError, } from "./security.js";
 export { memoryScopeFor, memoryEngineBackendFor } from "./memory-scope.js";
 export { createHttpServer, } from "./http/server.js";
+// ── A-057.8:`ServiceCoreDeps.sideQuery` 是**必填**席,而它的装配链此前整条不在公面上 ──
+// CHANGELOG 对自建 `ServiceDeps` 的嵌入方逐字指路「按 `createSideQueryLane` 装配即可」,但
+// `package.json` 的 `exports` 只开 `.` / `./main` / `./package.json`(无通配、无 typesVersions),
+// `files` 又只出 `dist` ⇒ 安装态里被指路的那个源文件读都读不到,深径 import 必
+// `ERR_PACKAGE_PATH_NOT_EXPORTED`。嵌入方于是只剩「手抄一份 per-model key 解析 + poison 处理」,
+// 而抄漏 poison 那半 = 拿共享网关账号去打别家上游,正是 #303 立案要修的凭据外泄病灶本身。
+// 🔴 poison 的判别式(`isSealedKeyPoison` / `SealedKeyPoisonedError`)与工厂**同批**出面是刻意的:
+// 只给工厂不给判据,嵌入方对「sealed key 解不开」就只能靠 message 猜,而猜错的方向恰好是静默回落
+// 网关 key(安全轴上没有静默降级 —— CLAUDE.md #157)。
+// 🔴 这五个值导出必须保持**值**形态(不许改成 `export type`):门 = `test/export-liveness-gate.test.ts`
+// 的 gate:embedder-assembly-exports(表内符号缺一即红;runtime 类被 type-only 化同样红)。
+export { createSideQueryLane, createPerModelKeyBrain } from "./boot/side-query-lane.js";
+export { createKeyResolver, resolveModelApiKey } from "./key-resolver.js";
+export { isSealedKeyPoison, SealedKeyPoisonedError } from "./sealed-key.js";
 //# sourceMappingURL=index.js.map

package/dist/main.js

@@ -1,7 +1,7 @@
 import { readFileSync, realpathSync } from "node:fs";
 import { homedir } from "node:os";
 import { join } from "node:path";
-import { Runner, InMemoryToolResultStore, TtlSessionStore, uuidv7, defaultTaskRegistry, createAllowDenyPolicy, workflowsCapability, createWebFetchSummarizer, resolveTaskModel as coreResolveTaskModel, probeSearchBackend, describeStaticWiring } from "@sema-agent/core";
+import { Runner, InMemoryToolResultStore, TtlSessionStore, uuidv7, defaultTaskRegistry, createAllowDenyPolicy, workflowsCapability, probeSearchBackend, describeStaticWiring } from "@sema-agent/core";
 import { createSessionTitler } from "./session-titler.js";
 import { posIntEnv } from "./session-watch.js";
 import { selectEnvironmentTool } from "./capabilities/select-environment-tool.js";
@@ -51,6 +51,8 @@ import { openStores } from "./boot/stores.js";
 import { runAdoptionBootScan } from "./boot/adoption.js";
 import { auditDormantPermissionRules } from "./boot/permission-rules-audit.js";
 import { createBudgetAndTracing } from "./boot/budget-tracing.js";
+import { createSideQueryLane } from "./boot/side-query-lane.js";
+import { createWebFetchSummarizeLane } from "./boot/webfetch-summarize-lane.js";
 import { createRuleConsentLane } from "./rules-consent.js";
 import { createExecutionEnv } from "./boot/execution-env.js";
 import { createWorkflowOrchestration } from "./boot/workflow-orchestration.js";
@@ -261,7 +263,11 @@ async function main() {
     const sharedMemoryStore = orgMemoryAdmission.directory !== undefined
         ? backend?.sharedMemoryStore?.(createSharedMemoryScopeAuthorizer({
             directory: orgMemoryAdmission.directory,
-            deploymentScopes: config.requirePrincipal === true ? [] : orgMemoryAdmission.deploymentMemoryScopes,
+            // 🔴 A-057.40:递的是**取值口**不是值 —— `config.projects` 由 config-center 就地热应用,
+            // boot 期快照会让新登记的 org 库变成终局式空集、让已撤销的 scope 继续被放行(后者是
+            // fail-open,且 projects 不在 RESTART_SLICES 里 ⇒ /health 一句提示都没有)。多租户择净
+            // 仍留在这一行(那是部署形态判据,boot 期定死,不随热应用变)。
+            deploymentScopes: config.requirePrincipal === true ? () => [] : orgMemoryAdmission.deploymentMemoryScopesLive,
         }))
         : undefined;
     if (sharedMemoryStore)
@@ -784,31 +790,9 @@ async function main() {
     const ensureChildSessionDurable = checkpointStore && config.sessionBackend === "tidb" ? (sessionId) => ensureChildSessionDurableWithPromotion(sessionStore, subRunnerSessions, sessionId) : undefined;
     // [1900]/[1904] WebFetch 摘要器:core 工厂 + summarize 角色模型(cheap tier;resolveTaskModel 自带
     // 默认回落——与压缩线同族档位,不新造)。构造一次全场景共享;多租户形 WebFetch 整体被 filter,
-    // 本注入无效化由 scenarios 现行为保证。
-    // 🔴 复审 E-MED-2/E-MED-3 两修:
-    //  ① **惰性解析**:模型每次调用现取——`config.models`/`config.roles` 会被 center 的 effective
-    //     热应用 mutateInPlace 整表替换,boot 期急求值会把摘要器永久 pin 在占位/旧模型上(故障形态是
-    //     静默退回上下文放大 + 每次一发无效 LLM 调用)。
-    //  ② **fail-soft**:core resolveTaskModel 在无可解析角色时 throw,这是全仓唯一 boot 期裸调用;
-    //     center 发一张既无 summarize 又无 default 的 roles 表就会拒启。解析失败 ⇒ 本次不摘要
-    //     (core 的 summarize 抛错是 fail-open:回退原文+note),绝不崩 boot。
-    // core 2.13.0:返回形放宽为 additive union(`string | { text, truncated? }`)—— 这里**原样转发**
-    // core summarizer 的返回值,不在本仓收窄成 string(收窄会把 core 的截断披露 `truncated` 吃掉,
-    // 让「内容被截断」这个事实在 fence 外消失)。
-    const webFetchSummarize = async (content, prompt, signal) => {
-        const model = (() => {
-            try {
-                return coreResolveTaskModel({ modelRole: "summarize" }, { models: config.models, roles: config.roles }).model;
-            }
-            catch (err) {
-                logger.warn("webfetch_summarizer_model_unresolved", { err: String(err), note: "this fetch falls back to raw page content" });
-                return undefined;
-            }
-        })();
-        if (!model)
-            throw new Error("summarize model unresolved for this deployment");
-        return createWebFetchSummarizer(brain, model)(content, prompt, signal);
-    };
+    // 本注入无效化由 scenarios 现行为保证。惰性解析 / fail-soft(E-MED-2/E-MED-3)与本席的 key plane
+    // (A-057.5:#303 的第四条直发面)都在 `boot/webfetch-summarize-lane.ts`,顶注写着全部判据与红先读数。
+    const webFetchSummarize = createWebFetchSummarizeLane({ brain, config, getKeyResolver: () => configCenter.getKeyResolver(), logger });
     // design/158 S4:标注 `: ScenarioDeps` —— 无标注的字面量连自己的键名都不校验(打错/多写一个键
     // 只是多一个没人读的属性,编译期无声),这是 1.304 落错家那一族的另一半土壤。
     const scenarioDeps = {
@@ -1210,7 +1194,12 @@ async function main() {
     });
     // #196:执行点选路。resolveSpec 已按场景判别位登记 lane;`full` 恒回主 runner(修前行为逐字不变)。
     const runnerFor = (spec) => pickHandsRunner(handsLanes.laneOf(spec), { full: runner, handsless: handslessRunner });
-    const server = createHttpServer({ runner, runnerFor, config, resolveSpec, stores, coordinators, seams, observability, governance, deployment, knobs });
+    // #303:side-query 执行席 —— **不是** runner.sideQuery(core 的 SideQuerySpec 无 key 座位,那条路恒把
+    // 网关 key 发到模型自己的 baseUrl)。key plane 第三面在此接线,取的是与另两面(任务面
+    // boot/resolve-spec.ts、hook 面 hooks/hook-llm.ts)**同一只**活引用 getKeyResolver;brain 与
+    // RunnerDeps.brain 同实例(wrapper 在外层包,主推理链零扰动)。
+    const sideQuery = createSideQueryLane({ brain, config, getKeyResolver: () => configCenter.getKeyResolver() });
+    const server = createHttpServer({ runner, runnerFor, sideQuery, config, resolveSpec, stores, coordinators, seams, observability, governance, deployment, knobs });
     // D-D SLA-timer: wire the server's deny-sweep into the reaper holder declared above (the reaper is defined
     // before the server, so it calls through this late-bound reference).
     runDenySweep = server.denyExpiredApprovals;

package/dist/memory-posture.d.ts

@@ -50,10 +50,23 @@ export interface MemoryPosture {
         model: string;
         dimensions: number;
     } | null;
+    /**
+     * #299(core 5.45.0 design/324):本部署给委派臂设的**证据标准**(`MEMORY_DELEGATION_EVIDENCE`)。
+     *
+     * 🔴 `null` = **本部署没设这个键** ⇒ 引擎按它自己的缺省跑。**不是**「等于 static-face」—— 那句话是
+     *    关于 core 缺省的知识声明,本读面不替 core 宣布它(`vectorMode: null` 同一条诚实纪律:
+     *    「没有这个指示面」与「档位是词面」是两件事)。运维要知道「实际生效的是哪一档」,读这一位 +
+     *    实装 core 的契约,两件事分开摆。
+     *
+     * 受众 = **operator 面独占**:与 `darkReason`/`multiTenant`/embedder 身份同判(#252 件3 的分界),
+     * 刻意**不**进 `GET /v1/capabilities` 的窄投影 —— 证据标准回答的是「这台机器怎么判污染」,是运维
+     * 诊断料,不是任何持凭证调用方该读的位。
+     */
+    delegationEvidence: "static-face" | "attested-only" | null;
 }
 /** 推导入参 = 装配现场的真事实(不在本函数里重算任何一件)。 */
 export interface MemoryPostureFacts {
-    config: Pick<ServiceConfig, "memoryEngineEnabled" | "memoryEngineBackend" | "requirePrincipal" | "memoryEmbedder">;
+    config: Pick<ServiceConfig, "memoryEngineEnabled" | "memoryEngineBackend" | "requirePrincipal" | "memoryEmbedder" | "memoryDelegationEvidence">;
     /** 引擎这一腿真的接上了吗(`memoryEngine !== undefined`)—— 装配结果。 */
     engineWired: boolean;
     /** 两支 SQL 后端从**实例 getter** 读到的档位;file 腿传 `undefined`(无此面)。 */

package/dist/memory-posture.js

@@ -23,6 +23,8 @@ export function buildMemoryPosture(facts) {
         darkReason,
         multiTenant: config.requirePrincipal === true,
         embedder: embedder !== undefined ? { model: embedder.model, dimensions: embedder.dimensions } : null,
+        // #299:键缺席 ⇒ `null`(「本部署没设」),不折成 core 的缺省词 —— 见字段 JSDoc 的诚实纪律。
+        delegationEvidence: config.memoryDelegationEvidence ?? null,
     };
 }
 /**

package/dist/observability/fail-open.d.ts

@@ -69,6 +69,10 @@ export declare const FAIL_OPEN_TAGS: {
         readonly cls: "P-DEBT";
         readonly note: "跨副本赎回 parked 审批时,祖先层在 park 时是 **auto-mode 武装**的,但那只分类器是祖先任务上的活闭包(绑着它自己的转写窗+brain),跨进程重建不出来 ⇒ 本仓交一只如实拒答的 decider,core 收到 `unavailable` 后**不产生任何自动裁决**、原样落到祖先冻结审批席那条链(本腿的席位又是无 ALS 的降级形 ⇒ 再 park 给人)。方向:分类器本会 allow 的改成问人(更严),本会 block 的也改成问人(**不是自动放行**,但比自动拒松一档)⇒ 记债不当合法兜底。计数 = 「丢了祖先分类器判决的继承 ask」次数。收口件二选一:core 把分类器判据持久进链条目,或让祖先 decider 有可跨进程重建的形。";
     };
+    readonly "server.hitl.row-derived-approve-drops-updated-input": {
+        readonly cls: "P-DEBT";
+        readonly note: "A-054.15:一条**持久 ask 行**上的 `DECIDED=approve` 被回放成裸 `true` 交给 core —— 而人当时可能是带 **ctrl+g 编辑**批的(`updatedInput`)。持久层没有该列(`AskRow`/`DecideAskInput` 皆无),行读不出「这次批准是否改写过实参」,于是 core 的 `d.updatedInput === undefined` 分支落回**原始未改写**实参执行:人批的是改写后的命令,真跑的是原命令 —— 一次**执行面宽于人所批准**的扩权,方向错的一侧,故记债不当合法兜底。四个同形站点全部计在本 tag 下(只在真把 `true` 交出去时计,不在读到行时计):`replayTerminalAskRow` 的三个消费点(`ensureAsk` 幂等回放 / `convergeFromDurableState` / 店报错臂的 `readDecidedForRecovery`)与 `runs.ts` 的 `syncLiveFromDecidedRow`(settled>0 才算)。⚠️ 计数是**上限**不是实数:分不出这次 approve 原本带没带编辑(能分出来就不用记债了),真丢的是其中带编辑的那一部分。补偿:回体在这条路上**省略** `updatedInputForwarded`(从不发 false = 成文的否定信号)。终局收口 = 给 ask 行加 `updated_input` 列(店语义级,须本模块属主立件),届时本 tag 同批销。";
+    };
     readonly "server.e2b.orphan-skip-unknown": {
         readonly cls: "F";
         readonly note: "#242 E2B 孤儿回收对一只沙盒**判不了属主/活性**(metadata 缺 taskId 的病态形 / run 行状态词在 LIVE 与 TERMINAL 两表之外 / getRun 抛错)⇒ 恒不杀,本轮跳过。方向纪律:回收是清理型能力,缺席判据=不动作——误杀是杀活任务的手,漏杀只是钱;但每次跳过必须计数,否则「回收在跑却总有几只杀不掉」的病灶(店故障/新状态词未收编/别家部署共用 key)永不显形。";
@@ -93,6 +97,14 @@ export declare const FAIL_OPEN_TAGS: {
         readonly cls: "F";
         readonly note: "#193 车5(staleness-sweep P1-3):OTLP 周期导出失败(HTTP 非 2xx 或 fetch 拒绝)⇒ 丢弃本轮快照继续服务。导出本就 best-effort(collector 打嗝绝不影响 serving,方向不改),但此前唯一留痕是装配层 onError 的一条 warn——**metrics 轴零信号**,而 USAGE 力荐的 Prometheus-only 部署恰好只看 metrics ⇒ collector 持续宕机对运维完全不可见(遥测腿自盲)。放行的最坏后果 = 一段时间的指标断供;计数让「断供正在发生」本身成为一条指标。";
     };
+    readonly "server.approvals.active-run-conflict-material-unavailable": {
+        readonly cls: "F";
+        readonly note: "A-057.47:`buildActiveRunConflict` 的材料装配段(getRun / turnActivity / peekPendingScope / findPendingTokenBySession / checkpoint `get`)任一失败 ⇒ 整段退化成裸 409(只剩 error + errorCode + activeTaskId),`activeTaskStatus` / `msSinceLastActivity` / `pendingGate`(kind·decidePath·governanceForced·checkpointId)全部蒸发。放行的最坏后果 = **展示/分诊**面缺料:壳画不出「这条 run 卡在哪道门、去哪儿决」,人退回 `POST /v1/runs/{activeTaskId}/cancel` 这条保底真路 —— 不参与任何门/CAS/resume 判定(执法面读的是 checkpoint blob 的 `get()`,不经本材料;与 census 第 21 行同一条判据),故 F 类。方向刻意不改:本材料是 best-effort 增强,让它抛会把一次 store 抖动变成整个 409 路径的 500(顶注第 11 行逐字成文「store 面任何失败都不得挡 409 本体」)。必须留痕的理由:本文件零 logger 席、pool 层无 per-query 错误日志、调用侧(tasks.ts / runs.ts / server.ts 五处)因本函数恒不 reject 结构上拿不到信号 ⇒ 「approval 出路材料系统性丢失」此前在遥测里与「一切正常」同形;滚动升级期 `checkpoint-store-sql.ts` 的 version-too-new throw 与 strict parseJson 也一并被吞在这里。";
+    };
+    readonly "server.model-key.off-route-model-uses-gateway-key": {
+        readonly cls: "P-DEBT";
+        readonly note: "A-057.59:一只 **baseUrl 指向别家主机**(非本部署 `gatewayBaseUrl`)的目录模型**没有** per-model key ⇒ `createPerModelKeyBrain` 不注入 `options.apiKey` ⇒ core 的 `options?.apiKey ?? config.apiKey` 回落**主网关 key**,而同一行下面的 `model.baseUrl || config.baseUrl` 仍把请求路由到那台外部主机 —— 这一次调用真把共享网关凭据发给了运维在 config-center 里指定的另一家。方向明知不对(hook 面对逐字同形的场景是 TRUE fail-closed:「refusing to send the prompt off-gateway」),之所以记债而不是当场收严:该缺席语义与**主推理链**(`dist/engine/harness/agent-harness.js` 的 `auth?.apiKey !== undefined` 臂)逐字同语义,只收严 wrapper 这两面会造成「同一只模型跑任务能用、问一句 401」,且「同账号多网关主机/多区域」是既有且正当的部署形、无旋钮可退。计数覆盖两面(side-query / WebFetch 摘要),`detail` = 模型名。⚠️ 判据需要参照系:调用方没给 `gatewayBaseUrl` ⇒ **不计**(宁可漏计不可错计),故计数是**下限**。终局收口 = 跨面收严件 #309(三面同批 + 旋钮 + 表态制),届时本 tag 同批销。";
+    };
 };
 /** 词表键推导的闭集类型——未登记的 tag 传不进 {@link recordFailOpen}(编译期拒)。 */
 export type FailOpenTag = keyof typeof FAIL_OPEN_TAGS;

package/dist/observability/fail-open.js

@@ -92,6 +92,10 @@ export const FAIL_OPEN_TAGS = {
         cls: "P-DEBT",
         note: "跨副本赎回 parked 审批时,祖先层在 park 时是 **auto-mode 武装**的,但那只分类器是祖先任务上的活闭包(绑着它自己的转写窗+brain),跨进程重建不出来 ⇒ 本仓交一只如实拒答的 decider,core 收到 `unavailable` 后**不产生任何自动裁决**、原样落到祖先冻结审批席那条链(本腿的席位又是无 ALS 的降级形 ⇒ 再 park 给人)。方向:分类器本会 allow 的改成问人(更严),本会 block 的也改成问人(**不是自动放行**,但比自动拒松一档)⇒ 记债不当合法兜底。计数 = 「丢了祖先分类器判决的继承 ask」次数。收口件二选一:core 把分类器判据持久进链条目,或让祖先 decider 有可跨进程重建的形。",
     },
+    "server.hitl.row-derived-approve-drops-updated-input": {
+        cls: "P-DEBT",
+        note: "A-054.15:一条**持久 ask 行**上的 `DECIDED=approve` 被回放成裸 `true` 交给 core —— 而人当时可能是带 **ctrl+g 编辑**批的(`updatedInput`)。持久层没有该列(`AskRow`/`DecideAskInput` 皆无),行读不出「这次批准是否改写过实参」,于是 core 的 `d.updatedInput === undefined` 分支落回**原始未改写**实参执行:人批的是改写后的命令,真跑的是原命令 —— 一次**执行面宽于人所批准**的扩权,方向错的一侧,故记债不当合法兜底。四个同形站点全部计在本 tag 下(只在真把 `true` 交出去时计,不在读到行时计):`replayTerminalAskRow` 的三个消费点(`ensureAsk` 幂等回放 / `convergeFromDurableState` / 店报错臂的 `readDecidedForRecovery`)与 `runs.ts` 的 `syncLiveFromDecidedRow`(settled>0 才算)。⚠️ 计数是**上限**不是实数:分不出这次 approve 原本带没带编辑(能分出来就不用记债了),真丢的是其中带编辑的那一部分。补偿:回体在这条路上**省略** `updatedInputForwarded`(从不发 false = 成文的否定信号)。终局收口 = 给 ask 行加 `updated_input` 列(店语义级,须本模块属主立件),届时本 tag 同批销。",
+    },
     "server.e2b.orphan-skip-unknown": {
         cls: "F",
         note: "#242 E2B 孤儿回收对一只沙盒**判不了属主/活性**(metadata 缺 taskId 的病态形 / run 行状态词在 LIVE 与 TERMINAL 两表之外 / getRun 抛错)⇒ 恒不杀,本轮跳过。方向纪律:回收是清理型能力,缺席判据=不动作——误杀是杀活任务的手,漏杀只是钱;但每次跳过必须计数,否则「回收在跑却总有几只杀不掉」的病灶(店故障/新状态词未收编/别家部署共用 key)永不显形。",
@@ -116,6 +120,14 @@ export const FAIL_OPEN_TAGS = {
         cls: "F",
         note: "#193 车5(staleness-sweep P1-3):OTLP 周期导出失败(HTTP 非 2xx 或 fetch 拒绝)⇒ 丢弃本轮快照继续服务。导出本就 best-effort(collector 打嗝绝不影响 serving,方向不改),但此前唯一留痕是装配层 onError 的一条 warn——**metrics 轴零信号**,而 USAGE 力荐的 Prometheus-only 部署恰好只看 metrics ⇒ collector 持续宕机对运维完全不可见(遥测腿自盲)。放行的最坏后果 = 一段时间的指标断供;计数让「断供正在发生」本身成为一条指标。",
     },
+    "server.approvals.active-run-conflict-material-unavailable": {
+        cls: "F",
+        note: "A-057.47:`buildActiveRunConflict` 的材料装配段(getRun / turnActivity / peekPendingScope / findPendingTokenBySession / checkpoint `get`)任一失败 ⇒ 整段退化成裸 409(只剩 error + errorCode + activeTaskId),`activeTaskStatus` / `msSinceLastActivity` / `pendingGate`(kind·decidePath·governanceForced·checkpointId)全部蒸发。放行的最坏后果 = **展示/分诊**面缺料:壳画不出「这条 run 卡在哪道门、去哪儿决」,人退回 `POST /v1/runs/{activeTaskId}/cancel` 这条保底真路 —— 不参与任何门/CAS/resume 判定(执法面读的是 checkpoint blob 的 `get()`,不经本材料;与 census 第 21 行同一条判据),故 F 类。方向刻意不改:本材料是 best-effort 增强,让它抛会把一次 store 抖动变成整个 409 路径的 500(顶注第 11 行逐字成文「store 面任何失败都不得挡 409 本体」)。必须留痕的理由:本文件零 logger 席、pool 层无 per-query 错误日志、调用侧(tasks.ts / runs.ts / server.ts 五处)因本函数恒不 reject 结构上拿不到信号 ⇒ 「approval 出路材料系统性丢失」此前在遥测里与「一切正常」同形;滚动升级期 `checkpoint-store-sql.ts` 的 version-too-new throw 与 strict parseJson 也一并被吞在这里。",
+    },
+    "server.model-key.off-route-model-uses-gateway-key": {
+        cls: "P-DEBT",
+        note: "A-057.59:一只 **baseUrl 指向别家主机**(非本部署 `gatewayBaseUrl`)的目录模型**没有** per-model key ⇒ `createPerModelKeyBrain` 不注入 `options.apiKey` ⇒ core 的 `options?.apiKey ?? config.apiKey` 回落**主网关 key**,而同一行下面的 `model.baseUrl || config.baseUrl` 仍把请求路由到那台外部主机 —— 这一次调用真把共享网关凭据发给了运维在 config-center 里指定的另一家。方向明知不对(hook 面对逐字同形的场景是 TRUE fail-closed:「refusing to send the prompt off-gateway」),之所以记债而不是当场收严:该缺席语义与**主推理链**(`dist/engine/harness/agent-harness.js` 的 `auth?.apiKey !== undefined` 臂)逐字同语义,只收严 wrapper 这两面会造成「同一只模型跑任务能用、问一句 401」,且「同账号多网关主机/多区域」是既有且正当的部署形、无旋钮可退。计数覆盖两面(side-query / WebFetch 摘要),`detail` = 模型名。⚠️ 判据需要参照系:调用方没给 `gatewayBaseUrl` ⇒ **不计**(宁可漏计不可错计),故计数是**下限**。终局收口 = 跨面收严件 #309(三面同批 + 旋钮 + 表态制),届时本 tag 同批销。",
+    },
 };
 /**
  * 断流丢帧该记哪个 tag —— **按帧型分类**,纯函数(与写流的那条闭包解耦,才单测得动)。

package/dist/parked-decide.d.ts

@@ -52,7 +52,9 @@ export interface ParkedDecideDeps {
      *  `forceDurableGate` 项都要按**本行的 principal** 现解 entitlement(`RunnerDeps.runtimeCapsResolver`
      *  本身就是 sync-or-async 的座),理由全在 `boot/parked-revive-gate.ts`。本腿一直就在 async 里,
      *  「席位必须同步」是那个文件此前自设的约束、不是结构事实。 */
-    rebuildInheritedGate?: (row: BackgroundAgentRecord) => Promise<unknown>;
+    rebuildInheritedGate?: (row: BackgroundAgentRecord, identity: {
+        principal: string | undefined;
+    }) => Promise<unknown>;
     warn?: (event: string, fields: Record<string, unknown>) => void;
 }
 export interface ParkedDecideRequest {

package/dist/parked-decide.js

@@ -1,4 +1,5 @@
 import { defaultSubagentTailBus } from "./fleet/subagent-tail-bus.js";
+import { backgroundScopesForCheckpointScope, decodeCheckpointScope } from "./security.js";
 /**
  * pending checkpoint → parked bg 行匹配。
  *
@@ -13,16 +14,34 @@ import { defaultSubagentTailBus } from "./fleet/subagent-tail-bus.js";
  * 该腿对已消失的 pending cp 有自己的 404/409 处置。
  */
 export async function findParkedAgentForCheckpoint(agentStore, cp) {
-    const parked = await agentStore.listByScope(cp.scope, { status: "parked" });
-    for (const s of parked) {
-        if (s.sessionId !== cp.sessionId)
-            continue;
-        const row = await agentStore.get(s.handle, cp.scope);
-        if (row === null || row.status !== "parked")
-            continue;
-        if (row.parkedCheckpointToken !== cp.token)
-            continue;
-        return { handle: s.handle, row };
+    // 🔴 A-057.44 [PARTIAL high](2026-08-19)—— **匿名部署上两套 scope 哨兵不同源**,分区查询恒落空。
+    // 病链:bg 行的 scope 写侧 = core `treeScope = reviveClaim?.row.scope ?? ctx.principal ??
+    // opts.background?.scope`,`ctx.principal` 在未开 REQUIRE_PRINCIPAL 的部署上恒 undefined ⇒ 落到本仓
+    // `capabilities/scenarios.ts` 填的 `"default"`;而 cp.scope 是 `encodeCheckpointScope(auth?.principal)`
+    // = `"_"`。店层是硬 `WHERE scope_key = ?`(MySQL/PG 双实现同形)⇒ 恒 miss ⇒ /decide 退回 legacy 腿 ⇒
+    // `getCtx(子代会话)` 必 null(全仓五个 putCtx 无一写 bg 子会话)⇒ 恒 409
+    // `conflict.resume_context_unavailable`,人的批准无处兑付、错误码还对真因有误导性。同一判别器被
+    // `server.ts` 的 deny-sweep `isParkedOwned` 复用,匿名下同样 miss ⇒ [1591] 那条静默跳过臂失效。
+    // 受害集 = REQUIRE_PRINCIPAL 未开 ∧ SQL 后端 ∧ DURABLE_APPROVAL=true。
+    //
+    // 归一**只能在读侧**(施工证伪了台账首选的「铸点改走 encodeCheckpointScope」——见
+    // `security.ts` 的 {@link backgroundScopesForCheckpointScope} 顶注:那个铸点的值同时喂进程内
+    // `defaultTaskRegistry`,而全仓读侧是一整族 `principal ?? "default"`,改铸点会把它们一起打瞎,
+    // 本车实测 subagent tail 建连当场 404)。所以这里按**别名集**查,别名表是单一属主。
+    for (const scope of backgroundScopesForCheckpointScope(cp.scope)) {
+        const parked = await agentStore.listByScope(scope, { status: "parked" });
+        for (const s of parked) {
+            if (s.sessionId !== cp.sessionId)
+                continue;
+            // ⚠️ 复核与下游(claim/rollback)都用**找到它的那个分区**,不是 cp.scope —— `decideParkedAgent`
+            // 之后取的是 `row.scope`/`row.owner` 双轴镜像([1588] Q3),故行自带的键就是权威。
+            const row = await agentStore.get(s.handle, scope);
+            if (row === null || row.status !== "parked")
+                continue;
+            if (row.parkedCheckpointToken !== cp.token)
+                continue;
+            return { handle: s.handle, row };
+        }
     }
     return undefined;
 }
@@ -104,7 +123,11 @@ export async function decideParkedAgent(deps, req) {
     // 都带着一个已认领的 claim 逃逸,行上的 `parkClaimId` 要等 stale-claim 清算窗(默认可达一小时)
     // 才放开,这期间该审批**再决不动**。搬到 claim 前:此刻还没有任何东西需要回滚,抛错就是干净地抛错。
     // (工厂本身只读 row 的 scope/handle/sessionId/rootSessionId —— claim 不改这四个字段,搬位零语义差。)
-    const inheritedGate = deps.rebuildInheritedGate ? await deps.rebuildInheritedGate(row) : undefined;
+    // 🔴 A-057.44 第二半(codex 对抗复审 medium):席位收的是**权威 principal**,不是行上那个有损的
+    // `row.scope`。checkpoint 的 scope 列由 `encodeCheckpointScope(auth?.principal)` 铸,与 core 喂给
+    // `runtimeCapsResolver` 的是同一个值;`row.scope` 在 `principal ?? "default"` 约定下匿名与真名叫
+    // `default` 的租户同形(匿名别名匹配让这一格第一次真的可达,见 findParkedAgentForCheckpoint 顶注)。
+    const inheritedGate = deps.rebuildInheritedGate ? await deps.rebuildInheritedGate(row, { principal: decodeCheckpointScope(req.scope) }) : undefined;
     const stores = { agentStore: deps.agentStore, checkpointStore: deps.checkpointStore };
     const claim = await deps.registry.claimParkedAgent(stores, match.handle, { scope: row.scope, owner: row.owner });
     if (!claim.ok) {