@sema-agent/server 7.4.0 → 7.5.0

package/dist/boot/coordinators.js

@@ -43,7 +43,11 @@ export function createLiveCoordinators(ctx) {
         parkFacility: durableEnabled,
     });
     // §8.4:协议**开着**却上不了场 = 合法部署形(不是配置错误)⇒ 一行 **info**(不是 warn),把原因说明白。
-    // 反过来「开关本来就没开」不打日志:那是默认形,每次启动刷一行噪音没有信息量。
+    // 反过来「开关本来就没开」不打日志:显式关掉的部署自己知道为什么关,一行噪音没有信息量。
+    // ⚠️ 读数已反转:总开关默认在树上已是 ON(版本坐标见 config.ts 的 `streamApprovalConfig()` 头注),
+    // 所以这一行在**默认部署**上是常态 —— 任何没有 durable
+    // backend / park 设施的默认部署每次启动都会打一行 `stream_approval_disabled`(每次启动一行,不是每
+    // tick)。写这条判据时的前提「默认形绕开本路径」已不成立;要收紧,收紧点在本 if 而不是在开关处。
     if (config.streamApproval.enabled && !streamApprovalGate.active) {
         logger.info("stream_approval_disabled", {
             reason: streamApprovalGate.reason,
@@ -55,8 +59,12 @@ export function createLiveCoordinators(ctx) {
     }
     const toolApproval = config.toolApprovalEnabled
         ? new ToolApprovalCoordinator({
-            // 协议上场 ⇒ 持久层 + 60s 窗(§7:`STREAM_ASK_WINDOW_MS` **只在开关内**生效,
+            // 协议上场 ⇒ 持久层 + 配置窗(§7:`STREAM_ASK_WINDOW_MS` **只在开关内**生效,
             // `DEFAULT_APPROVAL_TTL_MS` 一个字不动);不上场 ⇒ 两者都不传,窗保持既有 5min(D1 逐字不变)。
+            // ⚠️ 两臂的窗**默认已同长**:窗默认自 7.5.0 起 = 300000 = `DEFAULT_APPROVAL_TTL_MS`(clay 同裁把
+            // 「窗变短」从翻真里摘出去)。原注画的「上场 = 60s / 不上场 = 5min」这个对比在默认配置下不存在
+            // 了,别据它得出「开了协议窗会缩短」的运维结论:上场与否改变的是**持久层与协议帧**,窗只有在
+            // 部署显式设了 `STREAM_ASK_WINDOW_MS` 时才分叉。
             ...(streamApprovalGate.active ? { askStore: streamApprovalGate.askStore, ttlMs: config.streamApproval.windowMs } : {}),
             // 余量旋钮恒传(既有键,窗长三元公式的第二项;legDeadlineMonotonic 缺席时它不参与计算)。
             windowMarginMs: config.streamAskWindowMarginMs,

package/dist/boot/org-memory.d.ts

@@ -26,9 +26,15 @@ import type { RunnerDeps } from "@sema-agent/core";
 import type { ServiceConfig } from "../config.js";
 import type { Logger } from "../observability/logger.js";
 import type { Metrics } from "../observability/metrics.js";
+import { type OrgMemoryDirectory } from "../org-memory-admission.js";
 export interface OrgMemoryAdmissionWiring {
     memoryScopeAdmission: RunnerDeps["memoryScopeAdmission"];
     deploymentMemoryScopes: RunnerDeps["deploymentMemoryScopes"];
+    /** §7 第二消费者收编:同一个目录实例也喂 memory-policy 面的 `org:` 属主门(`ServiceDeps.orgMemoryDirectory`)。
+     *  **同实例**是这条收编的全部意义——「谁属于 org:acme」在一个进程里必须只有一个答案,两面共享同一份
+     *  TTL 缓存/退避窗/gen 高水位;各建各的目录会让准入门与策略面在吊销窗内公开分歧。缺席=无目录源
+     *  (单用户/无 center 且无 env 表)⇒ 策略面逐字保持收编前的 operator-only 行为。 */
+    directory: OrgMemoryDirectory | undefined;
 }
 /** 依赖收窄到真实消费面(warn/inc 各一手)——接口隔离让测试用真形字面量,零铸形([2704] §1)。 */
 export declare function createOrgMemoryAdmissionWiring(opts: {

package/dist/boot/org-memory.js

@@ -82,6 +82,6 @@ export function createOrgMemoryAdmissionWiring(opts) {
             },
         })
         : undefined;
-    return { memoryScopeAdmission, deploymentMemoryScopes };
+    return { memoryScopeAdmission, deploymentMemoryScopes, directory };
 }
 //# sourceMappingURL=org-memory.js.map

package/dist/boot/reapers.d.ts

@@ -68,6 +68,8 @@ export interface ReapersCtx {
     imageBakes: ImageBake | undefined;
     worktreeReap: (() => Promise<void>) | undefined;
     workflowNotifyGate: WorkflowNotifyGate | undefined;
+    /** [2995]/[2999] recover 的两半 opts(boot 与周期扫描共用,单点合成在 workflow-orchestration)。 */
+    workflowRecoverOpts: Parameters<WorkflowNotifyGate["recover"]>[0];
     workflowJournalStore: ServiceWorkflowJournalStore | undefined;
     sqlWorkflowRunStore: WorkflowRunStore | undefined;
     workflowNotifyJournal: WorkflowNotifyJournalStore | undefined;

package/dist/boot/reapers.js

@@ -74,7 +74,7 @@ export function createThrottledReaperCatch(name, logger, threshold = REAPER_FAIL
 }
 /** 起后台维护 tick,返回定时器 handle(收尾段 clearInterval 用)。 */
 export function startReapers(ctx) {
-    const { config, logger, metrics, localRoot, backend, subRunner, runStore, checkpointStore, rateLimiter, costQuota, toolResultStore, fileSnapshotStore, taskAttachmentStore, imageBakes, worktreeReap, workflowNotifyGate, workflowJournalStore, sqlWorkflowRunStore, workflowNotifyJournal, rosterStore, backgroundAgentStore, mailboxStore, toolApproval, getRunDenySweep, } = ctx;
+    const { config, logger, metrics, localRoot, backend, subRunner, runStore, checkpointStore, rateLimiter, costQuota, toolResultStore, fileSnapshotStore, taskAttachmentStore, imageBakes, worktreeReap, workflowNotifyGate, workflowRecoverOpts, workflowJournalStore, sqlWorkflowRunStore, workflowNotifyJournal, rosterStore, backgroundAgentStore, mailboxStore, toolApproval, getRunDenySweep, } = ctx;
     // S7 (SILENT-FALLBACK P0-d): the sweeps' return counts were discarded — an instance death that batch-fails
     // N orphans was indistinguishable from organic failures. Count + log ONLY when a sweep flipped rows (>0),
     // so healthy ticks stay silent. Tolerant of void-returning stores (typeof guard).
@@ -112,8 +112,15 @@ export function startReapers(ctx) {
     const scratchpadSweepStaleGuard = createThrottledReaperCatch("scratchpad_sweep_stale", logger);
     const approvalReconcileGuard = createThrottledReaperCatch("approval_reconcile", logger);
     let approvalReconcileInFlight = false; // 车5 §8 C-8:重入守卫(邻居四先例同形——本腿时长随 PARKING 行数增长)
-    // #151 车5(design/172 §3.0 对账收敛器 + 崩溃恢复扫描):**总开关默认 OFF ⇒ 本腿根本不注册**
-    // (`STREAM_APPROVAL_ENABLED=false` 的部署一行库都不扫,零新增查询)。开且有 durable backend 时才建。
+    // #151 车5(design/172 §3.0 对账收敛器 + 崩溃恢复扫描):建腿条件 = 开关开 ∧ **有 `StoreBackend`**
+    // (见下方判据行 —— 是**任意** backend,不限 SQL twins:`local` 车道也算,它的 `approvalAsk()` 是进程内
+    // `InMemoryApprovalAskStore`,扫的是内存不是库)。无 backend 或显式关 ⇒ 本腿根本不注册,零扫描。
+    // ⚠️ 运维读数已反转:总开关默认**在树上已是 ON**(发布线上落在 7.4.0 之后的下一发布;版本坐标与
+    // 「别按 /health 版本号推默认」的告诫见属主 config.ts 的 `streamApprovalConfig()` 头注),
+    // 所以「零新增扫描」从**默认态**变成了 **opt-out 态** —— 任何配了 backend 的部署(含单用户 local)
+    // 默认都会注册本腿并每 tick 扫两段(PARKING + 孤儿 STREAM_PENDING,每段
+    // `STREAM_APPROVAL_RECONCILE_BATCH` 行,默认 200);SQL twins 上这就是**真新增的周期性查询**,local 上
+    // 只是内存遍历。存量部署升级后要回到零扫描,需显式把开关关掉。
     // 判据 1/2 的两个读口按能力面接:checkpoint 店的窄读口只有 SQL twins 有(local 车道的店没有这个面),
     // 缺席 ⇒ 判据 1 恒不命中(诚实降级,行落 ②③④⑤),不是「假装没 checkpoint 就该 DENY」。
     const approvalReconciler = (() => {
@@ -354,7 +361,7 @@ export function startReapers(ctx) {
         // run whose in-process notify was lost, AND finalizes-as-abandoned a `running` run orphaned past the grace
         // window (core never resumes/reaps a prior `running` row, so nothing else would). Idempotent; best-effort.
         void workflowNotifyGate
-            ?.recover({ orphanGraceMs: config.workflowOrphanGraceMs })
+            ?.recover(workflowRecoverOpts)
             .then(() => workflowNotifyRecoverGuard.onSuccess(), workflowNotifyRecoverGuard.onError);
         // SVC-2 (adversarial-review HIGH): time-based GC of the workflow_journal table (the heaviest, TaskResult-bearing
         // one) — the per-run deleteByRun has no run-store reap hook, so this bounded sweep is what stops unbounded

package/dist/boot/resolve-spec.d.ts

@@ -73,8 +73,9 @@ export interface ResolveSpecCtx {
  *  `createDurableQuestionPolicy()`(恒 ask ⇒ 恒 durable park)。在场 ⇒ **判决时**按活流上下文分腿:
  *  活流腿(bg/SSE,coordinator.runWithContext 包裹且投递面此刻可达,ALS 判)allow——工具执行落到
  *  RunnerDeps.onQuestion 的 coordinator,问正在 tail 流的活人;无活流腿(sync /v1/tasks、verify/cascade、
- *  durable resume 驱动、断连后的 detach 腿)ask——durable park 原语义逐字保留(此时执行只会拿到 headless
- *  空答,park 才是把问题送到人面前的那条腿)。
+ *  durable resume 驱动、断连后的 detach 腿)ask——durable park 原语义逐字保留(#166 后无活流腿放行执行
+ *  也不会产出空答:coordinator 无 ALS ctx ⇒ 冻结 `{kind:"unavailable"}`(src/question.ts),永不悬挂;
+ *  park 仍是把问题送到人面前的唯一那条腿,正当性不变、只是反事实前提换了)。
  *  工具名字面量与 server.ts 的 pre-CAS 守卫同源("AskUserQuestion",core 未根导出常量)。
  *  ⚠️ **单一属主**(复审 A2):AskUserQuestion 的 durable 判决只有这一处。任何需要「同参重建」这条判决的
  *  地方(main.ts 的 parkedReviveInheritedGate 父约束链)必须调本工厂,不得自折 core 原形——两份拷贝里

package/dist/boot/resolve-spec.js

@@ -18,8 +18,8 @@
  * 描述的代码下移进阶段②。
  */
 import { realpathSync } from "node:fs";
-import { join } from "node:path";
-import { NodeExecutionEnv, QUESTION_AWAITS_RESUME, combinePolicies, createAllowDenyPolicy, createDurableQuestionPolicy, expandTiers, tightenTaskSpec } from "@sema-agent/core";
+import { join, posix } from "node:path";
+import { FileError, NodeExecutionEnv, QUESTION_AWAITS_RESUME, StubExecutionEnv, combinePolicies, createAllowDenyPolicy, createDurableQuestionPolicy, createSensitivePathPolicy, err, expandTiers, ok, tightenTaskSpec } from "@sema-agent/core";
 import { createDurableAskPolicy } from "../approval.js";
 import { cappedCeiling } from "../budget.js";
 import { centerPromptProvider, centerIdentityAssembled } from "../capabilities/center-prompts.js";
@@ -53,8 +53,9 @@ import { DeferredSandboxPathEnv, isSandboxPathAdjudicationLane, sandboxPathEnvSl
  *  `createDurableQuestionPolicy()`(恒 ask ⇒ 恒 durable park)。在场 ⇒ **判决时**按活流上下文分腿:
  *  活流腿(bg/SSE,coordinator.runWithContext 包裹且投递面此刻可达,ALS 判)allow——工具执行落到
  *  RunnerDeps.onQuestion 的 coordinator,问正在 tail 流的活人;无活流腿(sync /v1/tasks、verify/cascade、
- *  durable resume 驱动、断连后的 detach 腿)ask——durable park 原语义逐字保留(此时执行只会拿到 headless
- *  空答,park 才是把问题送到人面前的那条腿)。
+ *  durable resume 驱动、断连后的 detach 腿)ask——durable park 原语义逐字保留(#166 后无活流腿放行执行
+ *  也不会产出空答:coordinator 无 ALS ctx ⇒ 冻结 `{kind:"unavailable"}`(src/question.ts),永不悬挂;
+ *  park 仍是把问题送到人面前的唯一那条腿,正当性不变、只是反事实前提换了)。
  *  工具名字面量与 server.ts 的 pre-CAS 守卫同源("AskUserQuestion",core 未根导出常量)。
  *  ⚠️ **单一属主**(复审 A2):AskUserQuestion 的 durable 判决只有这一处。任何需要「同参重建」这条判决的
  *  地方(main.ts 的 parkedReviveInheritedGate 父约束链)必须调本工厂,不得自折 core 原形——两份拷贝里
@@ -74,8 +75,79 @@ export function createDurableQuestionGate(live) {
         },
     };
 }
+/**
+ * 沙箱 lane 上**相对形**写目标的守卫补层用 env(codex 对抗复审 round1 finding 1,红先复现)。
+ *
+ * 缺口:沙箱 lane 的守卫策略拿不到 `rootPath`(沙箱 cwd 不是 server 能猜的,#165 裁定 1),而
+ * `DeferredSandboxPathEnv.absolutePath` 对相对形一律报错。core 的 `canonicalizeTarget` 在
+ * **absolutePath 失败**这一支不置 `unresolvedSymlink`,于是 `createSensitivePathPolicy` 走的是
+ * 「判不了就弃权」的 `allow`(dist 亲读)。写门在场时这条腿被门的 `ask` 兜住;而
+ * `bypassPermissions` / settings 缺席这几形**根本没有门**,于是 `Write(file_path: ".env")` 一路放行——
+ * 而 core 的结构化写工具会把相对形按 engine 跟踪的 cwd 解析后真写下去(fs-write.js `resolveKey`)。
+ *
+ * 补法:**同一只** `createSensitivePathPolicy` 再铸一个实例,只把「路径→canonical key」这一步换成
+ * 纯词法基准(本 env)。判定与提取(哪个参数是写目标、NotebookEdit 的 notebook_path 优先、段匹配)
+ * 全部仍是 core 的,server 侧零复刻——复刻 core 的裁决逻辑正是「同源谎」那一类错误。
+ *
+ * 三条不可动的边界:
+ *  · **绝对形一律弃权**(absolutePath 报错 ⇒ canon 失败且非 unresolvedSymlink ⇒ core 判 allow):
+ *    绝对形归真身裁决那一层,#165「真身胜过名字」的裁定(域内良性软链名叫 `.ssh` 只 ask)不受影响。
+ *  · **只会 deny,不会放行**:相对形自身拼写里出现的段,解析成绝对路径后仍在,所以词法命中即真命中;
+ *    反过来一条名叫 `.env` 而真身良性的相对软链会被误 deny —— 方向是 fail-closed,与守卫集语义同向。
+ *  · 🔴 **覆盖面到此为止:cwd 里的守卫段看不见**(codex 对抗复审 round2,验真)。本层把相对形挂在 `/`
+ *    上,而工具是挂在 engine **活** cwd 上的:`cd .git` 后 `Write("config")` 真写 `<root>/.git/config`
+ *    (命中缺省模式 `.git/config`),本层只看得到 `/config` ⇒ 不命中 ⇒ 弃权。同形的还有 cwd 落在
+ *    `.ssh`/`.aws` 里再写叶名。**这一格今天无人裁决**(沙箱 lane ∧ 守卫集开 ∧ 写门不在场的
+ *    bypass/settings 缺席两形)。收口只有两条路,都超出本件自裁范围,已上交:①(正解)一条「按当前
+ *    工具调用的活 cwd/env 裁决」的引擎缝——与子代继承那条残余面同一条缝;②(代价形)守卫集开启时把
+ *    沙箱 lane 的相对写目标一律 deny——那是拿「相对写从 ask 变 deny」换覆盖,有真受损方且无对应旋钮,
+ *    须部署方拍板。特征化钉见 test/task-settings.test.ts(「cwd 里的守卫段」那条),别把它读成已保护。
+ */
+class RelativeTargetLexicalEnv extends StubExecutionEnv {
+    /** 相对形 → `/<词法归一>`;绝对形 / 空串 / 含 NUL 一律报错(= 弃权,见类注)。 */
+    absolutePath(path) {
+        if (path.length === 0 || path.startsWith("/") || path.includes("\u0000")) {
+            return Promise.resolve(err(new FileError("not_supported", "this guard layer only adjudicates RELATIVE write targets (absolute forms are adjudicated against the real sandbox filesystem)", path)));
+        }
+        return Promise.resolve(ok(posix.normalize(`/${path}`)));
+    }
+    /** 恒「不存在」⇒ core 的 `canonicalizeNewPath` 逐级回退,最终把词法归一形当 canonical key 交给段匹配。
+     *  这里绝不能报错:报错会被 core 读成 `unresolvedSymlink` 而对**每一个**相对目标 deny(含普通文件)。 */
+    exists(_path, _abortSignal) {
+        return Promise.resolve(ok(false));
+    }
+}
 export function createResolveSpec(ctx) {
     const { config, logger, metrics, localRoot, scenarios, principalCaps, centerRuntimeCapsResolver, getCenterPrompts, getKeyResolver, taskAttachmentStore, perSessionCwd, setSessionCwd, setSessionShellEnv, hookLlm, hookAgent, fleetBus, hookWakeBus, resumeAnchorStore, ownerAware, taskLimitCaps, taskTimeoutSec, selectEnvTool, sendUserFileToolSpec, memoryEngine, durableEnabled, approvalExemptionStore, singleUserAutoAcceptBaseline, checkpointStore, deploymentHooks, imageIndex, perTaskImage, sessionEnvSelection, liveQuestionFace, } = ctx;
+    // ── #177 的两件 boot 期收口(把守卫集搬到 governance 拍之后才成立的两条)────────────────────────
+    //
+    // ① 守卫集的**编译**从此每个请求都发生(旧家只在 default/auto/acceptEdits 三个模式臂里发生)。
+    //    core 的 `compilePatterns` 对「一个路径段都没有」的模式(`"/"`、`"//"`)THROW,那条 throw 在旧家
+    //    还会被 `applyTaskSettings` 的 catch 误标成「settings 不能放松部署策略」的 422;搬家后它会变成
+    //    **每一个任务一条 500**,且运维从错误里看不出是自己的 env 写错了。这里在 boot 期先编译一次:
+    //    非法旋钮值当场炸在启动上(与 config.ts 的 env fail-loud 同族),指名键与 core 的原因。
+    //    env 只是编译期的占位(compilePatterns 不碰它),真裁决用的是每请求按 lane 铸的那一个。
+    if (config.sensitiveWritePatterns.length > 0) {
+        try {
+            createSensitivePathPolicy({ env: new StubExecutionEnv(), patterns: config.sensitiveWritePatterns });
+        }
+        catch (e) {
+            throw new Error(`SENSITIVE_WRITE_PATTERNS is not a usable guard set: ${e instanceof Error ? e.message : String(e)}`);
+        }
+    }
+    // ② governance 拍的 DENY 基线让 `spec.toolPolicy` 在**任何**客户端表态下都在场,于是 core 的
+    //    「write-capable hand tools are present but UNGATED」那条 onError 不再触发(core 判据是
+    //    `policyLayers.length > 0`,prepare-task dist 亲读)。它此前是「部署一个门都没接」这个 misconfig
+    //    的唯一信号,而守卫集只挡那二十来个路径段、其余写目标照旧无裁决 —— 信号不能因为本件静默消失。
+    //    条件 = 两条产 toolPolicy 的腿都不在场(durable 门关 ∧ 单用户 auto-accept 基线不适用),即修前
+    //    `spec.toolPolicy` 恒缺席的那一形;三个量都是 boot 常量,所以这里说一次而不是每任务说一次。
+    if (config.sensitiveWritePatterns.length > 0 && !durableEnabled && !singleUserAutoAcceptBaseline) {
+        logger.warn("tool_policy_only_sensitive_baseline", {
+            detail: "the sensitive-path DENY baseline (SENSITIVE_WRITE_PATTERNS) is this deployment's ONLY tool policy — writes outside the guarded segments are unadjudicated, and core's own UNGATED warning no longer fires because a policy is now always present",
+            remedy: "wire an approval face (DURABLE_APPROVAL / APPROVAL_REQUIRE with a store) or accept the single-user auto-accept baseline",
+            guardedPatterns: config.sensitiveWritePatterns.length,
+        });
+    }
     // Deployment-owned mapping. Tools/prompt/skills come from the selected scenario (assembled once,
     // bound per request); identity/session/policy stay server-side. Never taken from the request body.
     // design/158 A8:从 createHttpServer 实参里提出来(原地占该字面量 1,093 行中的 967 行)——
@@ -564,8 +636,9 @@ export function createResolveSpec(ctx) {
             // [1144]/[1146] (core 1.328 R2): promptProfile 双形轴直通——纯呈现轴无租户门(deferTools 姿势);
             // 缺省不挂键(引擎缺省 simple);非法值由 HTTP 门 400,resume 重放 defensive DROP。
             ...(() => { const v = promptProfileFromBody(body.promptProfile); return v ? { promptProfile: v } : {}; })(),
-            // [2856]②(core 5.14.0):deferred 工具激活后的 schema 供给策略,per-task 位。core 侧读法是
-            // `spec.toolMaterializeStrategy ?? env ?? "static"` ⇒ **缺省不挂键**才能让进程级 env 继续说话;
+            // [2856]②(core 5.14.0 引入;5.15.0 BREAKING 末项默认翻 swap):deferred 工具激活后的 schema 供给
+            // 策略,per-task 位。core 侧读法是 `spec.toolMaterializeStrategy ?? env ?? "swap"`(5.16.0 dist
+            // prepare-task 亲读)⇒ **缺省不挂键**才能让进程级 env 继续说话;
             // 挂一个「缺省值」上去会把 env 车道悄悄夺权。非法值由 HTTP 门 400,resume 重放 defensive DROP。
             ...(() => { const v = toolMaterializeStrategyFromBody(body.toolMaterializeStrategy); return v ? { toolMaterializeStrategy: v } : {}; })(),
             // [922]①/[915]② (core 1.296): interactiveTools 三态旋钮直通——boolean 上 spec(壳 -p 恒 stamp false=
@@ -829,10 +902,49 @@ export function createResolveSpec(ctx) {
         // be an inconsistent false-safety: approval would still be live).
         // #153([2713] 分单②):MANUAL_MODE_SHELL_GATE 在此无条件施加(与 autonomy 同拍)——部署旋钮不再
         // 依赖客户端 settings 在场性/模式臂/host lane(三重条件曾让 print/headless 腿与沙箱 lane 全静默失效)。
+        //
+        // #177([2951] issue #29):SENSITIVE_WRITE_PATTERNS 是 #153 漏下的兄弟旋钮,同病同修——operator
+        // 守卫集预铸成纯 DENY policy 在 governance 拍无条件施加(bypassPermissions/键缺席/settings 整缺席
+        // 都掀不掉;deny-wins 折叠,普通目标弃权 ⇒ 不给 bypass 加 ask 门,[820] 表第四行逐字保持)。
+        // 裁决 env/cwd 在此**单点**铸,settings 折叠的 fsWriteGate wiring 复用同一份(两处各铸一份正是
+        // 漂移的成因)。lane 分形与 cwd 三形/哨兵的完整理由成文在下方 settings 块(修5/W4/#165),此处不复述。
+        const hostSemanticsLane = !isSandboxPathAdjudicationLane(config.remoteExec?.provider);
+        const pathAdjudication = hostSemanticsLane
+            ? (() => {
+                const sessionCwd = auth?.sessionId ? effectiveHostWorkspace(perSessionCwd.get(auth.sessionId), {}) : undefined;
+                const gateCwd = sessionCwd ??
+                    (config.remoteExec === undefined
+                        ? process.cwd()
+                        : join(config.localDataRoot ?? localRoot, "fs-write-gate-unrooted")); // never created — see the settings block
+                return { env: new NodeExecutionEnv({ cwd: gateCwd }), cwd: gateCwd };
+            })()
+            : {
+                env: new DeferredSandboxPathEnv({
+                    sessionId: auth?.sessionId,
+                    slots: sandboxPathEnvSlots,
+                    logger: { warn: (event, fields) => logger.warn(event, { ...(fields ?? {}), lane: config.remoteExec?.provider }) },
+                }),
+            };
+        const sensitivePathPolicy = config.sensitiveWritePatterns.length > 0
+            ? (() => {
+                const realTarget = createSensitivePathPolicy({
+                    env: pathAdjudication.env,
+                    patterns: config.sensitiveWritePatterns,
+                    ...(pathAdjudication.cwd !== undefined ? { rootPath: pathAdjudication.cwd } : {}),
+                });
+                // cwd 在场(host 形)⇒ 相对形已被 core 按 rootPath 解析进真身裁决,一层就够。
+                // cwd 缺席(沙箱形)⇒ 相对形在真身那一层是「判不了 ⇒ 弃权 allow」,而写门恰恰在
+                // bypass/settings 缺席这几形不在场 ⇒ 补一层纯词法的相对形守卫(见 RelativeTargetLexicalEnv)。
+                if (pathAdjudication.cwd !== undefined)
+                    return realTarget;
+                return combinePolicies(realTarget, createSensitivePathPolicy({ env: new RelativeTargetLexicalEnv(), patterns: config.sensitiveWritePatterns }));
+            })()
+            : undefined;
         const governedBase = applyRuntimeGovernance(spec, {
             autonomy: config.autonomy,
             commandPolicy: config.commandPolicy,
             ...(config.manualModeShellGate ? { manualModeShellGate: config.manualModeShellGate } : {}),
+            ...(sensitivePathPolicy ? { sensitivePathPolicy } : {}),
         });
         // Fold the client's per-request settings stamp onto the governed spec, TIGHTEN-ONLY (deny-wins) — AFTER
         // the approval baseline + operator governance, so the order is deployment ⊇ operator ⊇ client (each can only
@@ -866,8 +978,7 @@ export function createResolveSpec(ctx) {
         // [820]③ scratchpadDir, hoisted from the envFacts block below so the SAME per-session dir feeds BOTH the
         // `# Environment` fact and the fs-write gate's exemptDirs (single-source path via scratchpadDirFor inside
         // ensureScratchpadDir). HOST-semantics lanes only + session required — rationale at the envFacts consumer.
-        // 判别式单一真源:补集(沙箱裁决 lane)是写门代理与工厂装饰器的挂载条件,两处各写一份正是漂移的成因。
-        const hostSemanticsLane = !isSandboxPathAdjudicationLane(config.remoteExec?.provider);
+        // (hostSemanticsLane 判别式已随 #177 上移到 governance 拍前——单一真源不变,只是搬了家。)
         // G3([816]③/[820]③,[1840]§四):壳供 body.scratchpadDir 优先——壳(CC 形)有自己的 per-session
         // scratchpad 约定路径,接受后事实/豁免/根围栏三处同源指向壳的目录(壳侧提示词与 server 写门不再
         // 两个 scratchpad)。验收门 fail-closed(多租户/远程 lane/浅路径全拒收,warn 后回落自算)——
@@ -905,13 +1016,11 @@ export function createResolveSpec(ctx) {
             //    (hand 工具的书面契约形)与 scratchpad exempt 均不受影响。
             //  · provider 未设(in-process host / run-local)⇒ hands 就在本进程 cwd 跑(无 factory),process.cwd()
             //    正是真工作目录,保留。
-            // 两形**共有**的两件(都与 env/cwd 无关,故不随 lane 分叉——单一属主,两臂各抄一份正是漂移的成因):
+            // 两形**共有**的一件(与 env/cwd 无关,故不随 lane 分叉——单一属主,两臂各抄一份正是漂移的成因):
             const gateCommon = {
-                // ③ (core 1.295) sensitive-path write deny set:组合进 gate 腿的同一 combinePolicies 折叠
-                // (deny 恒赢 —— 豁免/acceptDirs 越不过;集合取舍 core 成文,server 只透传 config 旋钮:
-                // 缺省 = core RECOMMENDED_SENSITIVE_PATTERNS,SENSITIVE_WRITE_PATTERNS 显式替换/off 关闭)。
-                // 沙箱 lane 上它按**词法** key 的路径段匹配(#156)——glob 本就只看段名,不需要真 fs。
-                ...(config.sensitiveWritePatterns.length > 0 ? { sensitivePatterns: config.sensitiveWritePatterns } : {}),
+                // ③ 的 sensitive-path DENY 腿已随 #177([2951] issue #29)搬到 governance 拍(见上方
+                // sensitivePathPolicy)——wiring 不再承运守卫集,FsWriteGateWiring.sensitivePatterns 字段一并拆除
+                // (#153 shellGate 同形搬家:部署级旋钮不得挂在客户端表态派生腿上)。
                 // [1557]§四 的 shellGate 旧家已随 #153 搬到 applyRuntimeGovernance(governance 层无条件施加,
                 // 见上方 governedBase)——wiring 不再承运该旋钮,FsWriteGateWiring.shellGate 字段一并拆除。
                 // [841]① / core 1.294 exemption seam:gate 产 ask 前查同一只 approval_exemption 店(与 decide
@@ -932,19 +1041,14 @@ export function createResolveSpec(ctx) {
                     : {}),
             };
             const fsWriteGate = hostSemanticsLane
-                ? (() => {
-                    const sessionCwd = auth?.sessionId ? effectiveHostWorkspace(perSessionCwd.get(auth.sessionId), {}) : undefined;
-                    const gateCwd = sessionCwd ??
-                        (config.remoteExec === undefined
-                            ? process.cwd()
-                            : join(config.localDataRoot ?? localRoot, "fs-write-gate-unrooted")); // never created — see above
-                    return {
-                        env: new NodeExecutionEnv({ cwd: gateCwd }),
-                        cwd: gateCwd,
-                        ...(scratchpadDir ? { scratchpadDir } : {}),
-                        ...gateCommon,
-                    };
-                })()
+                ? {
+                    // env/cwd 构造已随 #177 上移(governance 拍前的 pathAdjudication 单点),此处复用同一份——
+                    // 守卫集 DENY 腿与写门 ask 腿在同一 env/同一 cwd 基准上裁决,两腿不可能分家漂移。
+                    env: pathAdjudication.env,
+                    ...(pathAdjudication.cwd !== undefined ? { cwd: pathAdjudication.cwd } : {}),
+                    ...(scratchpadDir ? { scratchpadDir } : {}),
+                    ...gateCommon,
+                }
                 : // 沙箱 lane(#165):裁决 env = `DeferredSandboxPathEnv` 代理 —— 裁决时刻(必在 prepare 之后)
                     // 去 per-session slot 里取本 task 的**真沙箱 env**,转发 exists/canonicalPath/fileInfo/readLink。
                     // 于是绝对路径的 symlink 真身、存在性都是真沙箱 fs 的事实,域内软链指向守卫段照样 deny;
@@ -965,11 +1069,7 @@ export function createResolveSpec(ctx) {
                     (() => {
                         const sandboxScratchpadDir = isRemoteScratchpadLane(config.remoteExec?.provider) ? remoteScratchpadDirFor(auth?.sessionId) : undefined;
                         return {
-                            env: new DeferredSandboxPathEnv({
-                                sessionId: auth?.sessionId,
-                                slots: sandboxPathEnvSlots,
-                                logger: { warn: (event, fields) => logger.warn(event, { ...(fields ?? {}), lane: config.remoteExec?.provider }) },
-                            }),
+                            env: pathAdjudication.env, // #177 单点构造(DeferredSandboxPathEnv 代理),与守卫集 DENY 腿同一份
                             ...gateCommon,
                             ...(sandboxScratchpadDir ? { scratchpadDir: sandboxScratchpadDir } : {}),
                             // codex 复审 B(2026-08-05,dist 亲读+实测):core 的 canonicalizeTarget 把反斜杠 UNC 形在**入口**

package/dist/boot/runner-deps.d.ts

@@ -9,7 +9,7 @@
  * (`runnerTierFrozen` 判据就取自构造那一刻的 `config.tiers`)。
  * `getRunStore()` 是唯一的晚绑取值(runStore 在本段之后才构造),原文靠同作用域前向引用。
  */
-import { type RunnerDeps, type WorkflowRunStore } from "@sema-agent/core";
+import { type RunnerDeps, type WorkflowRunStore, type AskOutcome } from "@sema-agent/core";
 import type { createBrain } from "../brain.js";
 import type { buildPricing, createTracer } from "../budget.js";
 import type { ServiceConfig } from "../config.js";
@@ -25,6 +25,28 @@ import type { QuestionCoordinator } from "../question.js";
 import type { ToolApprovalCoordinator } from "../tool-approval.js";
 import type { MemoryBackend } from "@sema-agent/core";
 import type { MemorySyncRunner } from "../memory-sync-client.js";
+/**
+ * `RunnerDeps.onAsk` 的装配(#168 件4:从内联闭包提为具名导出,**纯 testability 重构、零行为变化**)。
+ *
+ * 为什么值得有名字:bg / resume 两条腿**没有** per-task `spec.onAsk` 装配点(routes/runs.ts 只递 ALS 与
+ * 两个窗旋钮),它们唯一的审批接缝就是这一格。端到端测试此前只能把这一行**照抄**一份,再靠一条读源码
+ * 的正则当漂移告警 —— 那种锚只抓得到「这一行没了/改名了」,抓不到任何语义变化,而且抄件与真件从此是两
+ * 份实现。提成导出之后,测试直接取本函数,接缝与 production 是**同一个符号**。
+ *
+ * 命名(CLAUDE.md 工厂命名律):返回的是一个闭包(活对象)⇒ `create*`。
+ *
+ * 返回型**刻意窄于** `RunnerDeps["onAsk"]`(它还允许 `"allow"`/`"deny"` 两个字符串常量):本仓的接缝
+ * 恒是回调形,而 core 的 sync-first 判据只看 `onAsk !== undefined` ⇒ 字符串模式会顶掉 durable park
+ * (core backlog #73,黑板 [2897]④ / [2899] 已知悉)。窄返回型把「本仓零受迫于那一形」变成编译期事实。
+ *
+ * 语义逐字不变:[816]/[820]② 的 live tool-approval 接缝(core `resolveAsk` 读 `spec.onAsk ?? deps.onAsk`),
+ * ALS 路由同 `onQuestion` —— 被协调器 `runWithContext` 包住的腿才够得着人。[879] G1 终态(core 1.295
+ * OnAsk 三值化)下**恒**接线:回调逐 ask 时刻判活人,无附着/卡送达失败 ⇒ 返 `"unavailable"`,core 以
+ * `approverUnavailable` 回路把该 ask 交回 `suspendAsk` 走 durable park;无 park 设施的部署 core 自己
+ * fail-closed deny。协调器缺席(协议未上场)⇒ `undefined`,即「这条部署没有活人接缝」。
+ */
+export type RunnerDepsOnAsk = (req: Parameters<ToolApprovalCoordinator["ask"]>[0], signal?: AbortSignal) => Promise<AskOutcome>;
+export declare function createRunnerDepsOnAsk(toolApproval: ToolApprovalCoordinator | undefined): RunnerDepsOnAsk | undefined;
 export interface RunnerDepsCtx {
     config: ServiceConfig;
     logger: Logger;

package/dist/boot/runner-deps.js

@@ -20,6 +20,11 @@ import { resolveServedSession } from "../orchestration/workflow-completion-inbox
 import { WorkflowNotifyGate } from "../orchestration/workflow-notify-journal.js";
 import { makeLoadProjectMemory, makeProbeInstructionSources } from "../project-memory.js";
 import { workflowModelAllowlistFor } from "../task-workflow.js";
+export function createRunnerDepsOnAsk(toolApproval) {
+    if (!toolApproval)
+        return undefined;
+    return (req, signal) => toolApproval.ask(req, signal);
+}
 export function createSharedRunnerDeps(ctx) {
     // 具名带类型的字面量(非裸 return)——deps-literal-shape-gate 的 POINTS 按 `const X: T = {` 咬装配
     // 字面量,裸 return 形在它的覆盖外(复审 2026-07-30 F5):conditional-spread 病在这里就会失检。
@@ -215,17 +220,9 @@ export function createRunnerDeps(ctx) {
         // (live-stream leg → this coordinator; no-live-context leg → durable park). The sentinel is stamped only
         // when the coordinator is absent (ASK_QUESTION_ENABLED off).
         onQuestion: question ? question.question : undefined,
-        // [816]/[820]②: the live tool-approval seam (core `resolveAsk` — `spec.onAsk ?? deps.onAsk`). ALS-routed like
-        // onQuestion: a leg wrapped by the coordinator's runWithContext reaches the human.
-        //
-        // [879] G1 终态(core 1.295 OnAsk 三值化):恒 wire。回调逐 ask 时刻判活人——ALS 附着腿 ⇒ 同步三选卡;
-        // 无附着/卡送达失败 ⇒ 返 "unavailable",core 以 approverUnavailable 回路把该 ask 交回 suspendAsk 走
-        // durable park(prepare-task 分路带 `approverUnavailable !== true` 豁免位,dist 亲读)——park 与 live 卡
-        // 两全,1.199 的「durable 部署不 wire deps.onAsk」止血撤除。无 park 设施的部署 core 自己 fail-closed
-        // deny(resolveAsk 的 unavailable 文案),与旧姿势同向。
-        onAsk: toolApproval
-            ? (req, signal) => toolApproval.ask(req, signal)
-            : undefined,
+        // live tool-approval 接缝 —— 语义与历史全部搬进 `createRunnerDepsOnAsk` 的头注(#168 件4:同一份
+        // 说明只留一处,不在装配点复述)。
+        onAsk: createRunnerDepsOnAsk(toolApproval),
         // [822]② auto permission mode, deployment half: RunnerDeps.autoMode is the operator TRUST face of core's
         // auto-mode classifier (1.276/1.277) — wiring it alone arms NOTHING (core requires the per-principal entitlement
         // runtimeCaps.autoMode === true from center, fail-closed dark by default; see runtime-caps-resolver.ts). With

package/dist/boot/workflow-orchestration.d.ts

@@ -11,13 +11,13 @@
  *     → `workflowRunStore`(包装体)的顺序是数据依赖链,不可重排。
  *  3. `getRunStore()` 是晚绑取值(runStore 在本段之后构造),原文靠同作用域前向引用。
  */
-import { type WorkflowRunStore } from "@sema-agent/core";
+import { type WorkflowRun, type WorkflowRunStore } from "@sema-agent/core";
 import type { ServiceConfig } from "../config.js";
 import { FleetEventBus } from "../fleet/fleet-bus.js";
 import type { Logger } from "../observability/logger.js";
 import type { Metrics } from "../observability/metrics.js";
 import { type WorkflowCompletionInbox } from "../orchestration/workflow-completion-inbox.js";
-import { WorkflowNotifyGate, type WorkflowCompletionPayload } from "../orchestration/workflow-notify-journal.js";
+import { JournalingWorkflowRunStore, WorkflowNotifyGate, type WorkflowCompletionPayload } from "../orchestration/workflow-notify-journal.js";
 import { SubagentSteerRegistry } from "../orchestration/subagent-steer.js";
 import { WorkflowAgentRegistry } from "../orchestration/workflow-agent-steer.js";
 import type { StoreBackend } from "../plugins/store-backend.js";
@@ -37,10 +37,15 @@ export declare function createWorkflowOrchestration(ctx: WorkflowOrchestrationCt
     deliverWorkflowCompletion: (p: WorkflowCompletionPayload) => Promise<void>;
     workflowNotifyGate: WorkflowNotifyGate | undefined;
     fleetBus: FleetEventBus;
-    workflowRunStore: WorkflowRunStore | undefined;
+    workflowRunStore: JournalingWorkflowRunStore | undefined;
     workflowJournalStore: import("../plugins/store-backend.js").ServiceWorkflowJournalStore | undefined;
     outcomeSink: import("../plugins/file-outcome-sink.js").OutcomeSink | undefined;
     workflowAgentRegistry: WorkflowAgentRegistry | undefined;
     subagentSteerRegistry: SubagentSteerRegistry;
+    workflowRecoverOpts: {
+        orphanGraceMs?: number;
+        finalizeStartedBeforeMs?: number;
+        publishTerminalFleetRow?: (id: string, run: WorkflowRun) => void;
+    };
 };
 //# sourceMappingURL=workflow-orchestration.d.ts.map

package/dist/boot/workflow-orchestration.js

@@ -20,6 +20,11 @@ import { SubagentSteerRegistry } from "../orchestration/subagent-steer.js";
 import { WorkflowAgentRegistry } from "../orchestration/workflow-agent-steer.js";
 export function createWorkflowOrchestration(ctx) {
     const { config, logger, metrics, localRoot, backend, getRunStore } = ctx;
+    // [2995] boot-orphan 判死界:此刻之前记入 journal 的 pending 条目属于**前世进程**(workflow 执行器是
+    // in-process 的,随前世死)。取在 journal/gate 构造之前 ⇒ 本进程随后 record 的每条 createdAt 常态下都严格
+    // 晚于它。⚠️ 它是**必要不充分**条件:时钟回拨会让本世条目落到界下,判死的最终锚是 gate 内的
+    // incarnation 名册(见 WorkflowNotifyGate.recordedThisIncarnation),两者取交集。
+    const workflowBootAtMs = Date.now();
     // S8 / SVC-1 workflow run store (design/97 S1b): records LLM-authored BACKGROUND workflow
     // runs for the /v1/workflows list+detail view (live subscribe is in-process via subscribeWorkflow,
     // store-independent). Only present when self-orchestration is enabled (else no runs to record).
@@ -120,6 +125,23 @@ export function createWorkflowOrchestration(ctx) {
     const workflowRunStore = baseWorkflowRunStore
         ? new JournalingWorkflowRunStore(baseWorkflowRunStore, workflowNotifyGate, fleetBus)
         : undefined;
+    // [2995]/[2999] recover 两半的**单点合成**(boot 扫描与周期扫描共用同一对象,防两处漂移——#177 同族教训):
+    //  · finalizeStartedBeforeMs = 诚实性半场,**只在 replica-local(File)journal 形**:SQL journal 是跨副本
+    //    的(上面 1.108 注),pending running run 可能活在别的 replica,那里年龄(grace)是唯一健全的孤儿代理。
+    //    (进程内是否本世记录由 gate 自己的 incarnation 锚判,时钟回拨不参与——见 recover 的键注。)
+    //  · publishTerminalFleetRow = 判死臂的**撤行**口:sweep 翻完 durable 行后经 wrapper 的同一投影发终帧+移除,
+    //    store/面板/notify 三面一个答案。⚠️ 复审第 1 轮两条 high 的收口:sweep **绝不**发 running 行(读时快照
+    //    铸出来的行可能永远无人可撤——跨副本形属主在别的副本、同副本形 live 终态可能已把行撤了)。fleet 活行的
+    //    唯一写者是本副本 wrapper 的 put/update 观察点。
+    // 授权条件直接问「这本 journal 是不是 replica-local」,**不拿 sqlWorkflowRunStore 当代理**:两处各写一遍
+    // 必漂移,而漂移方向是把判死授权交给共享 journal = 杀别副本正在跑的 run。未知/新 journal 实现 ⇒ 恒 false
+    // (fail-closed:最坏只是孤儿多等一个 grace 窗)。
+    const replicaLocalNotifyJournal = workflowNotifyJournal instanceof FileWorkflowNotifyJournalStore;
+    const workflowRecoverOpts = {
+        orphanGraceMs: config.workflowOrphanGraceMs,
+        ...(replicaLocalNotifyJournal ? { finalizeStartedBeforeMs: workflowBootAtMs } : {}),
+        ...(workflowRunStore ? { publishTerminalFleetRow: (id, run) => workflowRunStore.republishFleet(id, run) } : {}),
+    };
     // SVC-2 (core CORE-7/CORE-9 Part A): the durable resume journal. core 1.145.0 added `RunnerDeps.workflowJournalStore`
     // (twin of workflowRunStore) + auto-wires it into the run_workflow tool's startWorkflow(RunWorkflowOptions.journalStore);
     // the tool's `resumeFromRunId` input then replays the longest unchanged prefix. tidb/pg = durable cross-replica resume;
@@ -144,7 +166,7 @@ export function createWorkflowOrchestration(ctx) {
     return {
         sqlWorkflowRunStore, workflowNotifyJournal, workflowCompletionInbox, deliverWorkflowCompletion,
         workflowNotifyGate, fleetBus, workflowRunStore, workflowJournalStore, outcomeSink,
-        workflowAgentRegistry, subagentSteerRegistry,
+        workflowAgentRegistry, subagentSteerRegistry, workflowRecoverOpts,
     };
 }
 //# sourceMappingURL=workflow-orchestration.js.map

package/dist/config-center/apply-effective.js

@@ -434,20 +434,43 @@ export function runtimeGatePresent(rt, key) {
  *
  * 顺带 C1-2:数组项 trim + 去空串,与 env csv 归一(`csv()` 的 `.map(trim).filter(Boolean)`)一致——
  * 否则 `" Bash "` 从中心腿进来会是个永不匹配的名字,正是本条要消灭的那类静默失效。
+ *
+ * ⚠️ codex R1(#186 同批复审):**形错必须拒域,不能折成 `[]`**。旧实现先按 `typeof === "string"` 过滤再验
+ * 判据,于是 `[123]`(非串项)与 `"Bash"`(整个不是数组)双双归约成空名单、判据自然干净 ⇒ 被当作「运维
+ * 显式把闸关掉」落配,把前值换成空门且**零告警**。方向与 A1 相反(A1 是门空转,这条是门蒸发),但同属本域
+ * 要堵的失败,且在安全轴上是静默 fail-open。判据分家:**空串/纯空白仍丢弃**(C1-2 的 env csv 归一,env 腿
+ * 产不出非串项),**非串项 / 非数组=形错 ⇒ 拒整域保前值**;显式 `[]` 依旧是合法的「闸关掉」。
  */
 function stageApprovalRequire(raw, logger) {
-    // wire verbatim ⇒ 不信任元素形状(整表是 center 发的):非串项与空串一并落地板,与 env csv 归一同形。
-    const names = (Array.isArray(raw) ? raw : [])
-        .map((n) => (typeof n === "string" ? n.trim() : n))
-        .filter((n) => typeof n === "string" && n.length > 0);
+    // `kept` 逐臂说真话:内容臂的后果是「门空转」,形错臂的后果是「门蒸发」——两句不能混用。
+    const refuse = (detail, names, kept) => {
+        logger?.warn("sema_registry_approval_require_invalid", { detail, names: [...names], kept });
+        return {};
+    };
+    const KEPT_WOULD_MATCH_NOTHING = "the prior approvalRequire is unchanged — the published list would have silently matched nothing";
+    const KEPT_WOULD_REMOVE_GATE = "the prior approvalRequire is unchanged — coercing this malformed value would have silently REMOVED the approval gate";
+    // 形错门(codex R1),先于内容判据:此处**不能**静默归一,归一的结果恰好是「空门」。
+    // 非数组一支是**纵深防御**:唯一调用点先过 `runtimeGatePresent`(判 `Array.isArray`),非数组在那里就按
+    // 「缺席」跳过、保前值——已是 fail-safe。本函数签名收 `unknown`,所以自己也把这一形收口,免得 present
+    // 判据日后放宽时非数组悄悄掉进下面的归一腿(测试两支都钉了)。
+    if (!Array.isArray(raw)) {
+        return refuse(`published runtime.approvalRequire must be an ARRAY of whole tool names — got ${raw === null ? "null" : typeof raw}. ` +
+            `Refusing the domain instead of coercing it: an empty list means "no approval gate", so coercing a malformed value would SILENTLY remove the gate.`, [], KEPT_WOULD_REMOVE_GATE);
+    }
+    // 逐项报**下标 + 实际类型**(运维要能在发布件里定位到那一项;只报个数无法行动)。
+    const nonString = raw
+        .map((n, i) => (typeof n === "string" ? undefined : { i, t: n === null ? "null" : typeof n }))
+        .filter((e) => e !== undefined);
+    if (nonString.length > 0) {
+        return refuse(`published runtime.approvalRequire contains ${nonString.length} non-string entr${nonString.length === 1 ? "y" : "ies"} ` +
+            `(${nonString.map((e) => `[${e.i}]:${e.t}`).join(", ")}) — every entry must be a whole tool name string. ` +
+            `Refusing the domain instead of dropping them: dropping every entry would SILENTLY remove the approval gate.`, nonString.map((e) => `[${e.i}]`), KEPT_WOULD_REMOVE_GATE);
+    }
+    // wire verbatim ⇒ 空串/纯空白按 env csv 归一丢弃(C1-2);元素形状已在上面的形错门收口。
+    const names = raw.filter((n) => typeof n === "string").map((n) => n.trim()).filter((n) => n.length > 0);
     const bad = findUnmatchableToolNames(names);
     if (bad.length > 0) {
-        logger?.warn("sema_registry_approval_require_invalid", {
-            detail: formatUnmatchableToolNames("published runtime.approvalRequire", bad),
-            names: bad.map((b) => b.name),
-            kept: "the prior approvalRequire is unchanged — the published list would have silently matched nothing",
-        });
-        return {};
+        return refuse(formatUnmatchableToolNames("published runtime.approvalRequire", bad), bad.map((b) => b.name), KEPT_WOULD_MATCH_NOTHING);
     }
     return { value: names };
 }