@sema-agent/server 7.44.0 → 7.45.0

package/dist/text-bidi.d.ts

@@ -0,0 +1,50 @@
+/**
+ * `text-bidi.ts` —— 双向控制符(bidi)与 C0 控制符字符类的**单一属主**。
+ *
+ * ## 为什么有这个文件
+ * 同一条字符类此前在本仓有两份逐字手抄(`session-titler.ts` 的 `sanitizeTitle`、
+ * `plugins/send-user-file.ts` 的 `sanitizeSendFileName`),第三份还要给审批卡的 bidi **在场检测**用。
+ * 这是一条安全语义上的词表(它划定「人眼看到的顺序可能不是字节顺序」那一族码点),三份手抄必然漂移 ——
+ * 单一属主的纪律与 `APPROVAL_GATE_KINDS` 同源(CLAUDE.md 硬条款:词表是闭集,不许散落副本)。
+ *
+ * ## 两条类刻意分开(**别合并**)
+ *  · {@link BIDI_CONTROL_CHARS} —— **只有** bidi 一族(LRM/RLM、嵌入与覆写、隔离符)。它是**检测**用的:
+ *    问的是「这串文本里有没有能让人眼读到与执行顺序不同的东西」。C0 控制符不属于这一问 —— 一条 Bash
+ *    命令里出现换行、一段 diff 里出现制表符都是**正常**的,把它们算进来会让检测位恒为真、从而毫无判别力。
+ *  · {@link CONTROL_AND_BIDI_CHARS} —— bidi ∪ C0/DEL,**清洗**用的(标题、文件名这类要落一行的短串)。
+ *    清洗面比检测面宽是对的:那两处要的是「只留可打印的一行」。
+ *
+ * ## 案锚
+ * Trojan Source([4537]②;`docs/DISEASE-SHAPES.md` 的不可见字符条):字面控制符让**人审与机器门看到
+ * 两份不同的文本**。审批卡是本仓唯一一处「把模型写的命令交给人眼判断」的面,所以它需要的是**披露**
+ * (告诉壳「这串里有 bidi」),不是清洗 —— 清洗会改掉即将被执行的那串字节,让卡上显示的与真正跑的不是
+ * 同一个东西,那比不披露更坏。
+ */
+/**
+ * bidi 一族的字符类**内容**(不含方括号,便于拼进更大的类)。
+ *
+ * 逐字 = Unicode 的 `Bidi_Control=Yes` **全集**(12 个码点),不是「常见的那几个」:
+ *  · U+061C = ALM(Arabic Letter Mark);U+200E/200F = LRM/RLM;
+ *  · U+202A-202E = 嵌入/覆写族(含 RLO);U+2066-2069 = 隔离符族。
+ *
+ * 🔴 **U+061C 是 codex 对抗复审 [medium] 验真后补的**:首版漏了它 —— 而漏一个码点在**检测**面上不是
+ * 「覆盖率差一点」,是一条完整的绕过路(只用 ALM 构造的输入让在场位缺席,壳于是照常按干净渲染)。
+ * 交叉锚:core 自己的 `APPROVER_REFUSED_CHARS_RE`(`dist/core/tool-policy.js`)同样含 `\\u061c`。
+ *
+ * ⚠️ 与 core 那只**更宽**的集合的差额如实登记(刻意,不是漏):core 还含 C1(`\\u0080-\\u009f`)与
+ * U+2028/U+2029(行/段分隔符)。那两族**不是 bidi**(不影响阅读方向),属于「不可打印 / 换行伪装」的
+ * 另一问;本类是 bidi 专用,混进来会让 {@link hasBidiControls} 的语义从「方向可能骗你」滑成「有奇怪
+ * 字符」。清洗面要不要跟着加宽是另一件(见 {@link CONTROL_AND_BIDI_CHARS} 的注)。
+ */
+export declare const BIDI_CONTROL_CHARS = "\\u061c\\u200e\\u200f\\u202a-\\u202e\\u2066-\\u2069";
+/** bidi ∪ C0/DEL —— **清洗**面用(见文件头注:清洗面比检测面宽是刻意的)。
+ *  ⚠️ 仍**不含** C1(`€-Ÿ`)与 U+2028/U+2029:加宽是行为变更、要各自的判据支撑,不搭本批的车
+ *  (登记在此,别当成漏)。两处存量消费方(标题、文件名)较其手抄前身**多剥一枚 U+061C**
+ *  (经 {@link BIDI_CONTROL_CHARS} 内插带入)—— 对本清洗类是有意收紧,merge-rescan 745 验真后
+ *  钉在两消费方各自的测试里;除此之外与手抄前身逐字同集。 */
+export declare const CONTROL_AND_BIDI_CHARS = "\\u0000-\\u001f\\u007f\\u061c\\u200e\\u200f\\u202a-\\u202e\\u2066-\\u2069";
+/** 清洗用的全局正则(`String.replace` 会在返回前把 `lastIndex` 归零,故模块级常量可安全复用)。 */
+export declare const CONTROL_AND_BIDI_STRIP_RE: RegExp;
+/** 这串文本里**有没有** bidi 控制符。纯谓词:不改一个字节、不做任何清洗(理由见文件头注)。 */
+export declare function hasBidiControls(text: string): boolean;
+//# sourceMappingURL=text-bidi.d.ts.map

package/dist/text-bidi.js

@@ -0,0 +1,8 @@
+export const BIDI_CONTROL_CHARS = "\\u061c\\u200e\\u200f\\u202a-\\u202e\\u2066-\\u2069";
+export const CONTROL_AND_BIDI_CHARS = `\\u0000-\\u001f\\u007f${BIDI_CONTROL_CHARS}`;
+export const CONTROL_AND_BIDI_STRIP_RE = new RegExp(`[${CONTROL_AND_BIDI_CHARS}]`, "g");
+const BIDI_DETECT_RE = new RegExp(`[${BIDI_CONTROL_CHARS}]`);
+export function hasBidiControls(text) {
+    return BIDI_DETECT_RE.test(text);
+}
+//# sourceMappingURL=text-bidi.js.map

package/dist/tool-approval.d.ts

@@ -1,6 +1,6 @@
 import type { IncomingMessage } from "node:http";
 import { type AskRequest, type AskOutcome } from "@sema-agent/core";
-import type { CardRulePersisted, RuleConsentLane } from "./rules-consent.js";
+import { type CardRulePersisted, type RuleConsentLane } from "./rules-consent.js";
 import { type ApprovalRequestFrame, type ApprovalRevokeFrame, type RuleEvidenceProjection } from "./approval-card.js";
 import type { ApprovalAskStore } from "./plugins/approval-ask-store-sql.js";
 import { type GovernanceAskMarks } from "./governance-ask-marks.js";
@@ -102,6 +102,31 @@ export interface ToolApprovalFrame {
      *  本键让 live-only 部署(店缺席、帧无卡)也能读到出身位;安全类标记不得依赖店在场([4392] 结构性
      *  缺口成文)。消费语义(cli 挂点已预埋):在场 ⇒ 一切自动放行让位(含记住的规则与 bypass 姿态)。 */
     requiresRealApproval?: true;
+    /**
+     * **E-14**([4537]② Trojan Source 族;**ADDITIVE**,`"tool_approval"` only)—— 这只 ask 的**工具输入**
+     * (`AskRequest.args`)里含 bidi 控制符(LRM/RLM、嵌入/覆写、隔离符;字符类属主 `text-bidi.ts`)。
+     *
+     * 🔴 **真才带,缺席绝不编 `false`**(与 `governanceForced`/`requiresRealApproval` 同形)。缺席的含义是
+     * 「没扫到」——它同时覆盖「真的没有」与「args 序列化不了(循环引用)所以扫不了」两形,消费端**禁**把
+     * 缺席读成「已确认干净」。
+     *
+     * 🔴 **披露位,不是清洗位;字节零改**。审批卡是本仓唯一一处把模型写的命令交给**人眼**判断的面,而
+     * bidi 覆写让人眼读到的顺序与真正执行的字节顺序不同 —— 人批准的是 A、跑起来的是 B。清洗会改掉即将被
+     * 执行的那串字节(卡上显示的与真跑的不是同一个东西),**比不披露更坏**;所以 server 只报「有」,显形
+     * 归壳的渲染面(转义/高亮/加标记,壳自己定)。
+     *
+     * **判据素材** = `boundArgs` 那**一次**序列化的结果(脱敏后的 args),且在**字节帽判定之前**算:
+     *  · 超帽时 args 以 `argsOmitted:true` 缺席上帧(卡上根本没有 args)—— 那正是人最看不见输入的一格,
+     *    更需要知道「你看不到的那份里有隐形字符」,所以帽不影响本键;
+     *  · 序列化失败(循环引用 / 抛错的 `toJSON` / BigInt)⇒ 两件事一起交白卷:args 不上帧,本键**不铸**;
+     *  · 用脱敏后那份而不是原文,是因为它与卡面/`card_json` 是**同一份**素材(一次算定,三面同源),
+     *    且人眼看到的正是它。理论残余如实记:一段**被遮蔽掉的密钥**里的 bidi 会随遮蔽一起消失 —— 已知、
+     *    可忽略(密钥形不含 bidi),且方向安全(少报一次,不会误报干净为脏)。
+     *
+     * 判据**不看 `message`**(引擎/策略写的说明文本,不是待执行输入):本键被壳读作「**待执行的输入**可能
+     * 在骗你的眼睛」,把两个来源折进一个布尔会让壳无法判断该给哪一段加显形标记。
+     */
+    inputHasBidi?: true;
     /** #288([4429]② cli 请托;**ADDITIVE**,`"tool_approval"` only,7.34.0+)——窗三键,与
      *  `approval_request` 帧(design/172 呈卡帧)同名同义:`expiresAtMs` = 本 ask 的绝对到期墙钟
      *  (有店=行上一次铸定的 `expiresAtMs`,与卡帧/落库同值;无店 D1=注册时刻算定的同名初值),
@@ -579,6 +604,8 @@ export declare class ToolApprovalCoordinator {
     private readonly parkTombstones;
     private readonly parkTombstoneMax;
     private readonly parkTombstoneTtlMs;
+    /** #343:per-principal 子帽(语义与取值理由见 {@link DEFAULT_PARK_TOMBSTONE_PER_PRINCIPAL_MAX})。 */
+    private readonly parkTombstonePerPrincipalMax;
     /** #329:PARKED 臂的赎回席**取值口**(晚绑 —— 赎回腿要 checkpoint/bg 店与裸 Agent 工具,它们在协调器
      *  构造之后才装配;同款 holder 先例 = main.ts 的 `getRunDenySweep`)。取到 undefined ⇒ 该臂逐字回落
      *  修前 404,partial 部署安全。 */
@@ -603,6 +630,8 @@ export declare class ToolApprovalCoordinator {
          *  不是部署旋钮(不接 env),可注入只为让「有界」这件事被判据观测得到。 */
         parkTombstoneMax?: number;
         parkTombstoneTtlMs?: number;
+        /** #343:per-principal 子帽(同上不接 env;生效值恒 `min(本值, parkTombstoneMax)`)。 */
+        parkTombstonePerPrincipalMax?: number;
     });
     /**
      * #280 R-13 C —— 「**无人可答**」这一类终局的**唯一**成形口(park 路由 vs deny 政策)。
@@ -772,7 +801,19 @@ export declare class ToolApprovalCoordinator {
      *  故对它重复调用天然无操作。 */
     private settleSameAskIdParkRoute;
     /** #329:落一条 park 墓碑(容量帽按**插入序**逐出最旧,与 `allowAllSessions` 同款有界纪律)。
-     *  调用点唯一 = `settle` 里的 park 路由支(见那处注);真终局绝不调它。 */
+     *  调用点唯一 = `settle` 里的 park 路由支(见那处注);真终局绝不调它。
+     *
+     *  🔴 **同键第二次调用 = 整个无操作**(A-070 二轮重扫,双 opus confirmed 的修法后半;红先钉
+     *  `test/parked-late-decision.test.ts` 的 A-070-④)。键换成 wire `approvalId` 之后,「同一把
+     *  approvalId 落两次墓碑」从不可能变成**常态**(同 askId 的重复本地注册各自按 park 路由收尾)。
+     *  两件事因此必须同时成立:
+     *   · **不占第二格、不动插入序** —— 帽与逐出序是按「对外可见的 ask」记的;兄弟刷新插入序会把一条
+     *     早该轮到逐出的墓碑一次次续命,同样是记账失真。
+     *   · **不覆写既有条目** —— `redeemed`/`inflight` 是本副本**已经对客户端做出的受理承诺**(见
+     *     {@link ParkTombstone});覆写等于把一次已受理的决议重新打开,200 丢包后的重试会去动一张
+     *     **已被消费**的 checkpoint(409/404),与本口承诺的「幂等回放首决」相反。
+     *  代价如实登记:`parkedAtMs` 保留**首次** park 的时刻 ⇒ TTL 从首次起算(晚到的兄弟不给续期)。
+     *  方向安全(墓碑早退 = 回落修前的 404,不会错兑),且与「一只 ask 一格」的记账口径自洽。 */
     private recordParkTombstone;
     /** #329:取墓碑(**惰性清扫**:过期条目读到即删,不另起定时器 —— 这张表只在迟到回决那一刻被读)。
      *  属主门在调用方(与 live 腿同一句判据:`owner === null` 或逐字相等,否则按不存在处置)。 */
@@ -882,6 +923,19 @@ export declare class ToolApprovalCoordinator {
         status: number;
         body: unknown;
     }>;
+    /**
+     * #345:自由文本规则的**裁决前**文本预检 —— 回 `undefined` = 放行(继续正常回决),回一个响应 = 400。
+     *
+     * 🔴 **触发条件与兑付口的前置门逐条同源**,一个都不许多(这是本方法最容易写错的地方):只有在这次回决
+     * **真的会去兑付一条自由文本规则**时才预检。任何一条前置门本来就会把兑付挡掉的形(治理档 ask /
+     * 车道不供 / 无属主 / ctrl+g 编辑放行),都**必须**照旧走「裁决落定 + `rulePersisted:false` + 各自的
+     * 拒因词」那条老路 —— 否则一次带着坏规则文本的**治理档回决**会被 400 掉,而它本来是能决的:那是把一个
+     * 附带愿望的失败升级成主动作的失败,方向完全错。逐门对照见 {@link persistRuleAfterDecision}。
+     *
+     * 候选臂(`edited !== true`)不进这道门:它的等式是「文本必须在引擎铸的候选里」(`rule_not_offered`),
+     * 那是记录级判据、不是文本级判据,`precheckEditedRuleText` 答不了也不该答。
+     */
+    private precheckEditedRuleBeforeDecision;
     /** #340:回执上两个新键的**唯一**成形口 —— 只在这次请求真的走了**自由文本臂**时铸。
      *  候选臂的回执因此逐字节不变(老壳按固定键集解析,多一个键就是一次没人要的 wire 变更)。 */
     private editedArmEcho;

package/dist/tool-approval.js

@@ -1,6 +1,8 @@
 import { AsyncLocalStorage } from "node:async_hooks";
 import { uuidv7, MAX_RULE_TEXT_CHARS } from "@sema-agent/core";
+import { precheckCardRuleText } from "./rules-consent.js";
 import { redactDeep, redactSecrets } from "./trace/redact.js";
+import { hasBidiControls } from "./text-bidi.js";
 import { createLogger } from "./observability/logger.js";
 import { recordFailOpen } from "./observability/fail-open.js";
 import { deriveAskId, deriveBatchId, MAX_DECISION_NOTE_CHARS } from "./approval-ask-machine.js";
@@ -20,6 +22,7 @@ const DEFAULT_ADMIT_MAX_PER_TASK = 32;
 const DEFAULT_ADMIT_MAX_PER_OWNER = 256;
 const DEFAULT_PARK_TOMBSTONE_MAX = 2000;
 const DEFAULT_PARK_TOMBSTONE_TTL_MS = 60 * 60_000;
+const DEFAULT_PARK_TOMBSTONE_PER_PRINCIPAL_MAX = 128;
 const PARKING_RETRY_AFTER_MS = 250;
 const DURABLE_CONVERGE_BACKOFF_MS = [50, 100, 200, 400, 800, 1600];
 const DURABLE_CONVERGE_READ_TIMEOUT_MS = 2_000;
@@ -87,14 +90,17 @@ function isChildAsk(req) {
 }
 function boundArgs(args) {
     const redacted = redactDeep(args);
+    let hasBidi = false;
     try {
-        if (Buffer.byteLength(JSON.stringify(redacted), "utf8") > MAX_APPROVAL_ARGS_BYTES)
-            return { omitted: true };
+        const text = JSON.stringify(redacted);
+        hasBidi = hasBidiControls(text);
+        if (Buffer.byteLength(text, "utf8") > MAX_APPROVAL_ARGS_BYTES)
+            return { omitted: true, hasBidi };
     }
     catch {
-        return { omitted: true };
+        return { omitted: true, hasBidi: false };
     }
-    return { args: redacted, omitted: false };
+    return { args: redacted, omitted: false, hasBidi };
 }
 function readBoundInputHash(req) {
     if (req === null || typeof req !== "object")
@@ -188,6 +194,7 @@ export class ToolApprovalCoordinator {
     parkTombstones = new Map();
     parkTombstoneMax;
     parkTombstoneTtlMs;
+    parkTombstonePerPrincipalMax;
     parkedRedeem;
     constructor(opts) {
         this.ruleConsent = opts?.ruleConsent;
@@ -202,6 +209,7 @@ export class ToolApprovalCoordinator {
         this.parkedRedeem = opts?.parkedRedeem;
         this.parkTombstoneMax = opts?.parkTombstoneMax ?? DEFAULT_PARK_TOMBSTONE_MAX;
         this.parkTombstoneTtlMs = opts?.parkTombstoneTtlMs ?? DEFAULT_PARK_TOMBSTONE_TTL_MS;
+        this.parkTombstonePerPrincipalMax = opts?.parkTombstonePerPrincipalMax ?? DEFAULT_PARK_TOMBSTONE_PER_PRINCIPAL_MAX;
     }
     unattendedOutcome() {
         return this.unattendedPolicy === "deny" ? false : "unavailable";
@@ -371,10 +379,51 @@ export class ToolApprovalCoordinator {
             entry.settleParkRoute();
     }
     recordParkTombstone(approvalId, tomb) {
-        if (this.parkTombstones.size >= this.parkTombstoneMax) {
-            const oldest = this.parkTombstones.keys().next().value;
-            if (oldest !== undefined)
-                this.parkTombstones.delete(oldest);
+        const existing = this.parkTombstones.get(approvalId);
+        if (existing !== undefined) {
+            if (existing.redeemed !== undefined || existing.inflight !== undefined)
+                return;
+            if (Date.now() - existing.parkedAtMs <= this.parkTombstoneTtlMs)
+                return;
+            this.parkTombstones.delete(approvalId);
+        }
+        const effectivePerPrincipalMax = Math.min(this.parkTombstonePerPrincipalMax, this.parkTombstoneMax);
+        const now = Date.now();
+        let ownCount = 0;
+        let ownExpiredVictim;
+        let ownPlainVictim;
+        let ownEvictable;
+        let globalExpiredVictim;
+        for (const [k, t] of this.parkTombstones) {
+            const expired = now - t.parkedAtMs > this.parkTombstoneTtlMs;
+            if (globalExpiredVictim === undefined && expired && t.inflight === undefined)
+                globalExpiredVictim = k;
+            if (t.owner !== tomb.owner)
+                continue;
+            ownCount++;
+            if (t.inflight !== undefined)
+                continue;
+            if (ownEvictable === undefined)
+                ownEvictable = k;
+            if (ownExpiredVictim === undefined && expired)
+                ownExpiredVictim = k;
+            if (ownPlainVictim === undefined && t.redeemed === undefined)
+                ownPlainVictim = k;
+        }
+        if (ownCount >= effectivePerPrincipalMax) {
+            const victim = ownExpiredVictim ?? ownPlainVictim ?? ownEvictable;
+            if (victim === undefined) {
+                recordFailOpen("server.approval.park-tombstone-global-cap-refused", `owner=${tomb.owner ?? "<none>"} reason=all-inflight`);
+                return;
+            }
+            this.parkTombstones.delete(victim);
+        }
+        else if (this.parkTombstones.size >= this.parkTombstoneMax && globalExpiredVictim !== undefined) {
+            this.parkTombstones.delete(globalExpiredVictim);
+        }
+        else if (this.parkTombstones.size >= this.parkTombstoneMax) {
+            recordFailOpen("server.approval.park-tombstone-global-cap-refused", `owner=${tomb.owner ?? "<none>"}`);
+            return;
         }
         this.parkTombstones.set(approvalId, tomb);
     }
@@ -383,7 +432,8 @@ export class ToolApprovalCoordinator {
         if (tomb === undefined)
             return undefined;
         if (Date.now() - tomb.parkedAtMs > this.parkTombstoneTtlMs) {
-            this.parkTombstones.delete(approvalId);
+            if (tomb.inflight === undefined)
+                this.parkTombstones.delete(approvalId);
             return undefined;
         }
         return tomb;
@@ -530,6 +580,7 @@ export class ToolApprovalCoordinator {
             ...((c) => (c !== undefined ? { probeCause: c } : {}))(readProbeCause(req)),
             ...((c) => (c !== undefined ? { ruleEvidence: c } : {}))(readRuleEvidence(req)),
             ...(bounded.omitted ? { argsOmitted: true } : { args: bounded.args }),
+            ...(bounded.hasBidi ? { inputHasBidi: true } : {}),
         };
         const effectiveWindowMs = effectiveAskWindowMs(this.ttlMs, this.windowMarginMs, origin.legDeadlineMonotonic, performance.now());
         const expiresAtMs = Date.now() + effectiveWindowMs;
@@ -604,6 +655,10 @@ export class ToolApprovalCoordinator {
                     frame.persistedRuleShadowed = cardForFrame.persistedRuleShadowed;
                 else
                     delete frame.persistedRuleShadowed;
+                if (cardForFrame.inputHasBidi === true)
+                    frame.inputHasBidi = true;
+                else
+                    delete frame.inputHasBidi;
                 if (cardForFrame.governanceForced === true && !effectiveGovernanceForced) {
                     effectiveGovernanceForced = true;
                     ruleLaneMaterial = undefined;
@@ -659,7 +714,7 @@ export class ToolApprovalCoordinator {
         let emitFailed = false;
         let emitSettled = false;
         let windowRouteUnavailable = false;
-        let parkTombstoned = false;
+        let parkRouted = false;
         let timer;
         let resolveAllowed;
         const allowedP = new Promise((resolve) => { resolveAllowed = resolve; });
@@ -698,8 +753,8 @@ export class ToolApprovalCoordinator {
                 sig.removeEventListener("abort", fn);
             this.pending.delete(id);
             if (windowRouteUnavailable && askId !== undefined && batchId !== undefined && this.unattendedOutcome() !== false) {
-                this.recordParkTombstone(id, { askId, batchId, owner: primary.owner, parkedAtMs: Date.now() });
-                parkTombstoned = true;
+                this.recordParkTombstone(wireApprovalId, { askId, batchId, owner: primary.owner, parkedAtMs: Date.now() });
+                parkRouted = true;
             }
             if (askId !== undefined) {
                 const siblings = this.pendingByAskId.get(askId);
@@ -878,7 +933,7 @@ export class ToolApprovalCoordinator {
             ...(primary.sessionId ? { sessionId: primary.sessionId } : {}),
             toolName: req.toolName,
             registeredAtMs: Date.now(),
-            expiresAtMs,
+            expiresAtMs: persistedExpiresAtMs,
             ...(ruleLaneMaterial !== undefined ? { ruleLane: ruleLaneMaterial } : {}),
             ...(effectiveGovernanceForced ? { governanceForced: true } : {}),
             ...(req.requiresRealApproval === true ? { requiresRealApproval: true } : {}),
@@ -962,7 +1017,7 @@ export class ToolApprovalCoordinator {
                     type: "tool_approval_complete",
                     approvalId: wireApprovalId,
                     outcome: lastOutcome,
-                    ...(parkTombstoned ? { parked: true } : {}),
+                    ...(parkRouted ? { parked: true } : {}),
                 })
                 : undefined)
                 .catch(() => undefined);
@@ -983,6 +1038,9 @@ export class ToolApprovalCoordinator {
         if (!entry || (entry.owner !== null && entry.owner !== principal)) {
             return this.respondLate(id, principal, parsed, httpReq);
         }
+        const preRule = this.precheckEditedRuleBeforeDecision(entry, parsed);
+        if (preRule !== undefined)
+            return preRule;
         const ruleEligibility = { eligible: true };
         const settled = this.askStore && entry.askId !== undefined && entry.batchId !== undefined
             ? this.respondWithCas(this.askStore, entry.askId, entry.batchId, id, entry, parsed, ruleEligibility)
@@ -991,6 +1049,29 @@ export class ToolApprovalCoordinator {
             return settled;
         return this.persistRuleAfterDecision(settled, entry, parsed.persistRule, parsed.updatedInput !== undefined, ruleEligibility);
     }
+    precheckEditedRuleBeforeDecision(entry, parsed) {
+        const persistRule = parsed.persistRule;
+        if (persistRule === undefined || !persistRule.edited)
+            return undefined;
+        if (parsed.updatedInput !== undefined)
+            return undefined;
+        if (entry.governanceForced === true)
+            return undefined;
+        const command = entry.ruleLane?.command;
+        if (this.ruleConsent === undefined || command === undefined || entry.owner === null)
+            return undefined;
+        const verdict = precheckCardRuleText(persistRule.rule, command);
+        if (verdict === undefined || verdict.ok)
+            return undefined;
+        return {
+            status: 400,
+            body: {
+                error: verdict.message,
+                errorCode: "request.body_shape",
+                ...(verdict.code !== undefined ? { ruleRejectCode: verdict.code } : {}),
+            },
+        };
+    }
     editedArmEcho(persistRule, persisted) {
         if (!persistRule.edited || !persisted.ok)
             return {};

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/server",
-  "version": "7.44.0",
+  "version": "7.45.0",
   "description": "Sema Server — the server/API implementation layer for Sema, wiring core, registry, model providers, and cloud agent execution. Built on @sema-agent/core.",
   "type": "module",
   "license": "BUSL-1.1",
@@ -54,7 +54,7 @@
     "build:binary:run-local:darwin-arm64": "bun build --compile --target=bun-darwin-arm64 src/run-local.ts --outfile dist/run-local-darwin-arm64"
   },
   "dependencies": {
-    "@sema-agent/core": "^5.56.0",
+    "@sema-agent/core": "^5.57.0",
     "@sema-agent/registry-core": "^0.19.0",
     "e2b": "^2.28.0",
     "libsodium-wrappers": "^0.8.4",