@sema-agent/server 7.52.0 → 7.53.0

package/dist/rules-consent.d.ts

@@ -31,14 +31,14 @@ export interface RuleConsentStores {
         }): Promise<RuleImportTicket>;
         /** 一次**认领**(不是「已完成」)。语义与「认领之后怎么办」见 {@link RuleConsentStores.tickets.release}。
          *  `purpose` = 车道绑定(A7 R1-F2):一条车道的口只认它自己铸的票,不符与「票不存在」同形。
-         *  `opts.decisionNowMs` = [4232]③ 的判定钟覆写(记账列不受影响),见 {@link RuleTicketDecisionClock}。 */
+         *  `opts.decisionNowMs` = [ref]③ 的判定钟覆写(记账列不受影响),见 {@link RuleTicketDecisionClock}。 */
         consume(ticketId: string, principal: string, purpose: RuleTicketPurpose, opts?: RuleTicketDecisionClock): Promise<RuleTicketRedeemResult>;
         /** 把认领**放回去**(认领之后遇到不确定/瞬时失败时)。`claimId` = 本次认领的代次(A7 R1-F1 围栏:
          *  被顶替的旧持有者动不了现持有者的认领);`mustRemainValidMs` = 放回之后这张票至少还要能用多久
          *  —— 撑不过就**不算放回成功**(理由逐字见 store 侧 `release` 的头注)。 */
         release(ticketId: string, principal: string, claimId: string, mustRemainValidMs?: number, opts?: RuleTicketDecisionClock): Promise<boolean>;
         /**
-         * #265 A7 三态协议的三条口(CLAIMED → SETTLED / 三态快照 / 崩溃窗抢认领)。
+         * [ref] A7 三态协议的三条口(CLAIMED → SETTLED / 三态快照 / 崩溃窗抢认领)。
          *
          * 🔴 **必填,不给 optional**:它们是 local-import 车道正确性的承重件 —— 一个"没有 settle 的店"上,
          * 一次已经落地的导入会永远答不出终局(属主重放恒 409 到票过期)。把它们写成可选 = 让一台缺实现的
@@ -59,11 +59,11 @@ export interface RuleConsentStores {
  * 路由)一个字都不用知道行躺在哪里。
  */
 export interface PermissionRuleStoreBundle extends RuleConsentStores {
-    /** #203 §3:库里已有几只规则桶(一 owner 一桶)。boot 期休眠行审计的**唯一**依赖;
+    /** [ref] §3:库里已有几只规则桶(一 owner 一桶)。boot 期休眠行审计的**唯一**依赖;
      *  为什么数桶不数规则、以及读失败必须响亮,见 `boot/permission-rules-audit.ts` 与两个实现处的注。 */
     countBuckets(): Promise<number>;
     /**
-     * A-010.17 保留期腿:清掉**可证已死**的导入票与孤儿 pending 审批记录,返回删掉的总行数。
+     * [ref] 保留期腿:清掉**可证已死**的导入票与孤儿 pending 审批记录,返回删掉的总行数。
      * 谓词与「为什么不需要旋钮」逐字见 `plugins/permission-rule-store-sql.ts` 的同名成员。
      *
      * 🔴 **可选**,而缺席是**如实登记**过的:File 车道(`permission-rule-store-file.ts`)的审批/票两面是
@@ -139,7 +139,7 @@ export interface LocalImportRuleKey {
 export type LocalImportRefusalCode = 
 /** scope 串读不出形(既不是 `global` 也不是 `project:<非空 root>`)。 */
 "scope_unreadable"
-/** scope 的 project root 里有 bidi 控制符([4537]② Trojan Source 族):人看到的射程与机器判据用的
+/** scope 的 project root 里有 bidi 控制符([ref]② Trojan Source 族):人看到的射程与机器判据用的
  *  射程不是同一串 —— 一条规则的**作用范围**因此可以被伪装。 */
  | "scope_bidi_controls"
 /** scope 的 project root 里有 **C0/DEL 控制字节**(codex 交叉轮 R9,验真后补)。与 bidi 分家成两个词:
@@ -169,15 +169,19 @@ export type LocalImportRefusalCode =
  *  在 prepare 过了全部内容判据 —— 于是 core 交回的 `refused` 行只剩店侧成因(读不出店 / 写面抛 / OCC
  *  用尽),而那些**都是"不知道落没落"**,不是"这条规则不行"。core 的 `RedeemedBatchMember` 拒绝臂
  *  只带一个**自由文本** `reason`,把它按串去猜「这是裁定还是瞬时」正是本仓明令禁止的自造判读,
- *  所以一律落到 `indeterminate`(安全方向)。词留在表里是因为**两个面共用同一张词表**(预览面发的
- *  正是它),而不是留一个死枝:客户端一套分支读得通两张表。收窄需要 core 给拒绝臂一个**带类型的**
- *  瞬时/裁定判别位 —— 已作为上游请托登记(server 不在下游造第二份判据,[2862])。 */
+ *  所以一律落到 `indeterminate`(安全方向)。词仍留在表里是因为它进了**落盘回执的边界 schema**
+ *  (`LocalImportOutcomeSchema` 的 z.enum——`redeemed_outcome` 列回读同一张词表,旧行 / 别版本进程写下的
+ *  `refused` 必须读得回),不是留一个死枝;⚠️ 预览面**不用**这个词:那一面的拒绝形是
+ *  `admitted:false + LocalImportRefusalCode`({@link LocalImportPreviewMember}),两面词表**不同**。
+ *  收窄需要 core 给拒绝臂一个**带类型的**
+ *  瞬时/裁定判别位 —— 已作为上游请托登记(server 不在下游造第二份判据,[ref])。 */
 export type LocalImportMemberOutcome = 
 /** 这一次真的写进店里了。 */
 "persisted"
 /** 等价规则**已经在店**(引擎的 `deduped`)—— 同意早就生效,这次什么都不用做。 */
  | "no-op"
-/** 这条被拒了(预览面的词;兑付面见上方登记)。 */
+/** 这条被拒了(落盘回执 schema 的历史词位——现行两面都不铸它:预览面用 admitted:false +
+ *  LocalImportRefusalCode,兑付面见上方登记恒折 indeterminate;留词只为旧行回读)。 */
  | "refused"
 /** **不知道落没落**:店在这一条上出了状况。如实编,禁猜(猜"成了"会谎报一次没发生的授权,猜"没成"
  *  会让人以为可以重来一次,而重来会撞上一条其实已经存在的规则)。 */
@@ -245,7 +249,7 @@ export type LocalImportRedeemed =
     outcome: LocalImportOutcome;
     replayed: boolean;
 }
-/** 四类票拒(不存在 / 别人的 / 过期 / 已用过而无从回放)—— wire 面同形 404。 */
+/** 五类票拒(不存在 / 别人的 / 错车道 / 过期 / 已用过而无从回放)—— wire 面同形 404。 */
  | {
     ok: false;
     reason: "ticket-unusable";
@@ -266,7 +270,7 @@ export type LocalImportRedeemed =
     detail: string;
 };
 /** 一次导入 prepare 的产物(HTTP 200 体的素材),或**超帽**的拒绝(见 {@link MAX_IMPORT_CANDIDATES})。
- *  5.58(design/375):零 importable 候选 ⇒ core **不铸** `approvalId`(「absence says so」)⇒ 无票可铸,
+ *  5.58([ref]):零 importable 候选 ⇒ core **不铸** `approvalId`(「absence says so」)⇒ 无票可铸,
  *  第三臂把 preview(全 skipped 的理由就在里面)原样交给人看——不是错误,是「没有什么可确认」。 */
 export type RuleImportPrepared = {
     ok: true;
@@ -283,8 +287,10 @@ export type RuleImportPrepared = {
     reason: "too-many-candidates";
     candidates: number;
 };
-/** 导入 redeem 的结果。`refused` 的四个成因**在 wire 面折成同一个 404**(见顶注 ①)——这里保留分类
- *  只为服务端日志/诊断。 */
+/** 导入 redeem 的结果。wire 口径写死(端点=http/routes/rules.ts):票拒五类(自造 / 别人的 / 错车道 /
+ *  过期 / 已用过)与裁定性拒绝(record-unusable / payload-mismatch)同形 404(零存在性 oracle,顶注 ①);
+ *  `retryable === true` ⇒ 503 `state.rule_import_retry`;`state-unreadable` ⇒ 503
+ *  `state.rule_ticket_unreadable`。分类保留只为服务端日志/诊断与上述三分支的判据。 */
 export type RuleImportRedeemed = {
     ok: true;
     result: {
@@ -294,15 +300,16 @@ export type RuleImportRedeemed = {
 }
 /** `retryable` = 这次失败**没有裁定任何事**(store 抛错 / CAS 冲突),认领已放回,属主原样重试即可。
  *  它与裁定性拒绝(载荷被改写、记录不存在)分家是承重的:把两者塌成一格,一次数据库抖动就会被
- *  客户端读成「这张票永远不能用了」。⚠️ **wire 面仍然折成同一个 404**(零存在性 oracle 不因此松动);
- *  这一位只进服务端日志与本层的重试判据。 */
+ *  客户端读成「这张票永远不能用了」。⚠️ wire 面**不再**折 404:`retryable === true` ⇒ 503
+ *  `state.rule_import_retry` + Retry-After(http/routes/rules.ts;走到这一步的调用方已赢下 principal
+ *  绑定的认领,对他说「稍后再试」零存在性泄露——五类票拒仍同形 404,一个字没变)。 */
  | {
     ok: false;
     reason: "ticket-unusable" | "record-unusable" | "payload-mismatch";
     detail: string;
     retryable?: true;
 }
-/** #265 独立复审 件2(codex 轮二、轮三改形):首跳 `consume` 抛错后**结局歧义**的那一支 —— 认领
+/** [ref] 独立复审 件2(codex 轮二、轮三改形):首跳 `consume` 抛错后**结局歧义**的那一支 —— 认领
  *  可能已提交而代次丢了,可能根本没提交,甚至可能**还在途、稍后才提交**(轮三 R3-F2:一次事后
  *  peek 读到 MINTED 证明不了在途的写不会迟到落地,同一场店故障也常让 peek 一起挂)。终局宣布不了
  *  (可能把活票说死),「票还能用」承诺不了(可能撒谎),断言「在途」也不行(那是冒充知道)——
@@ -327,7 +334,7 @@ export type CardRuleRedemption =
     kind: "edited";
     text: string;
 }
-/** design/377:人勾了**合取批**——传的是**行素材上人看到的那只 batch 整只**(不是裸 index),
+/** [ref]:人勾了**合取批**——传的是**行素材上人看到的那只 batch 整只**(不是裸 index),
  *  等式两侧(看到的 / 重铸可兑的)在本车道一个函数里对齐(防漂等式,见 batch 分支行注)。 */
  | {
     kind: "batch";
@@ -341,13 +348,14 @@ export type CardRuleRedemption =
  * `memberIndex` = 这条规则在**人看到的那只 batch offer** 的 `rules[]` 里的下标。它与请求体的
  * `persistRule.batchOfferIndex`(= 帧上 `ruleOffers` 的下标)是**同一个空间**的两级坐标:
  * 「第几只 offer / 那只 offer 的第几个成员」。core 的 `RedeemedBatchMember.candidateIndex`
- * (candidate 空间)**刻意不透**:wire 面只见一个下标空间是 cli [5263] 的定形理由(三端零映射)。
+ * (candidate 空间)**刻意不透**:wire 面只见一个下标空间是 cli [ref] 的定形理由(三端零映射)。
  */
 export interface RedeemedBatchAnchor {
     memberIndex: number;
     rule: string;
 }
-/** 卡道兑付的结果。`canonical` = **真正落盘**的那条规则文本(编辑臂上它可能与人敲的原字节不同 ——
+/** 卡道兑付的结果。`rule`(旧键名 canonical 已改;single 臂顶层键,批臂在 `members[].rule`)=
+ *  **真正落盘**的那条规则文本(编辑臂上它可能与人敲的原字节不同 ——
  *  core 会把 `Bash(adb *)` 规范成 `Bash(adb:*)`;界面要回显的是这一份,不是输入框里的那一份)。 */
 export type CardRulePersisted = {
     ok: true;
@@ -356,10 +364,10 @@ export type CardRulePersisted = {
     rev: number;
     alreadyRedeemed: boolean;
 }
-/** design/377 批臂:全体成员落地(persisted/deduped 都计——等价规则已在店=同意已生效)。
+/** [ref] 批臂:全体成员落地(persisted/deduped 都计——等价规则已在店=同意已生效)。
  *  `rules` = 规范文本,**展示序**(= 兑付时递进来的那只 batch offer 的成员序,壳逐条回显)。
  *
- *  🔴 **P-39(cli [5254] 请托 / [5263] 定形):展示序自本版起是承诺,不再是碰巧。**
+ *  🔴 **P-39(cli [ref] 请托 / [ref] 定形):展示序自本版起是承诺,不再是碰巧。**
  *  修前 `rules` 直接是 `redeemRuleBatch` 的 members 走序 = **重铸批**(下面 `prepareCardApproval`
  *  在兑付这一刻重铸的那只)的成员序;而人看到的是**呈卡那一刻**的批,两侧的等式是**集合**等式
  *  (防漂等式逐字「序无关」,见 batch 分支行注)⇒ 序从来不在等式里,「回执序=展示序」只是当下
@@ -367,7 +375,7 @@ export type CardRulePersisted = {
  *  那只 offer 的成员序**显式重排**,于是它与壳渲的那张卡逐条对得上,不依赖引擎两次铸形同序。
  *
  *  `members` = 逐条**归属锚**(index 与 `rules` 对齐):`memberIndex` = 这条规则在那只展示批
- *  `rules[]` 里的位置 —— **offer 空间**,candidate 空间刻意不出现在本类型上(cli [5263] 裁词:
+ *  `rules[]` 里的位置 —— **offer 空间**,candidate 空间刻意不出现在本类型上(cli [ref] 裁词:
  *  三端零映射,candidate 空间留在 core 内部)。
  *
  *  ⚠️ **可选 = 诚实缺席**:落地成员与展示批成员对不上号(集合等式过了却出现 core 契约级的成员
@@ -382,15 +390,15 @@ export type CardRulePersisted = {
 } | {
     ok: false;
     reason: "no-candidates" | "unknown-candidate" | "confirm-refused" | "redeem-refused"
-    /** #340:编辑面**在这只卡上用不了**——卡没有绑定锚(`boundInputHash` 缺席 ⇒ 无从证明「我编辑的
+    /** [ref]:编辑面**在这只卡上用不了**——卡没有绑定锚(`boundInputHash` 缺席 ⇒ 无从证明「我编辑的
      *  是显示了这条命令的那张卡」),或这台部署没有打开编辑面。与下面那个词刻意分家:这个说的是
      *  「别再渲那个输入框」,那个说的是「你写的这条不行,改一下再来」——壳要做的事完全相反。 */
      | "edit-unsupported"
     /**
-     * #340:人写的文本**被引擎的门拒了**——共享校验器不认这个拼写,或它不覆盖本次被裁决的命令
+     * [ref]:人写的文本**被引擎的门拒了**——共享校验器不认这个拼写,或它不覆盖本次被裁决的命令
      * (「编辑可以更宽,但不许换成另一条授权」)。
      *
-     * 🔴 **射程自 #345 起收窄**(core 5.57.0 `precheckEditedRuleText` 到货 —— 下面那条上游请托兑现了)。
+     * 🔴 **射程自 [ref] 起收窄**(core 5.57.0 `precheckEditedRuleText` 到货 —— 下面那条上游请托兑现了)。
      * 原话保留作史:「兑付发生在裁决**落定之后**,所以拿到这个词时这张卡已经消费掉了;想做到『同一张
      * 卡上改了再来』需要一次**裁决之前**的预检,而那要求 core 把编辑面的校验(含它自己的拼写规范化)
      * 导出成一只纯函数 —— 在本层照抄一个更严的校验器会把 `Bash(adb *)` 这条**成因形**当场误拒。」
@@ -406,7 +414,7 @@ export type CardRulePersisted = {
      */
      | "edit-rejected"
     /**
-     * core 7.0.0(#490② BREAKING B2,design/382 §4.4):silent-global 死——`prepareCardApproval`
+     * core 7.0.0([ref]② BREAKING B2,[ref] §4.4):silent-global 死——`prepareCardApproval`
      * 在**既无显式 scope 又无 cwd**时响亮拒(`config.missing_scope`),不再默落 global。本仓的
      * scope 素材=铸卡时 `ruleScopeRootFor` 咨询一次的落点(行列 `rule_scope_root`);resolver 答不出
      * root 的车道(host lane 未注册 launch dir)在 v7 下就是这一形。**刻意不在兑付时刻补一个
@@ -417,7 +425,7 @@ export type CardRulePersisted = {
      */
      | "scope-unresolved";
     detail: string;
-    /** #345:core 的**共享校验器**refusal code(`RuleRejectCode`,开集透传)。覆盖门拒时**缺席** ——
+    /** [ref]:core 的**共享校验器**refusal code(`RuleRejectCode`,开集透传)。覆盖门拒时**缺席** ——
      *  这条在场规则与 core `confirmRuleApproval` 的 `edit_rejected` detail 逐字同源(同一个函数体)。
      *  🔴 不 switch、不翻译、不折叠:词表属主是 core,本仓照转。 */
     code?: string;
@@ -430,7 +438,7 @@ export interface RuleImportLayerInput {
     content: string;
 }
 /**
- * scope 的 **wire 形**:`global` | `project:<root>` 的判别式串(design/203 v2 §6 F5「显式成文」)。
+ * scope 的 **wire 形**:`global` | `project:<root>` 的判别式串([ref] v2 §6 F5「显式成文」)。
  *
  * 🔴 为什么是一个串而不是把 core 的 `{kind, root}` 对象直接上 wire:这一份表示要同时当**列举结果里的
  * 一列**、**查询参数**、**删除请求体的一个字段**和**分页游标的一部分**。四处若各用各的形,「删掉我刚才
@@ -442,7 +450,7 @@ export interface RuleImportLayerInput {
  */
 export declare function serializeRuleScope(scope: RuleScope): string;
 /**
- * 🔴 判别式串的**上限,由铸侧的尺派生**(A-054.24,2026-08-19 合并重扫 confirmed —— 修的是「两个数字
+ * 🔴 判别式串的**上限,由铸侧的尺派生**([ref],2026-08-19 合并重扫 confirmed —— 修的是「两个数字
  * 各挑各的」这件事本身,不是把某个数字调大一点)。
  *
  * 病:铸侧 `cardRuleScopeRoot` 对 root 长度零把关(入口尺 = `isValidCwd` 的 {@link MAX_CWD_CHARS}),
@@ -452,7 +460,7 @@ export declare function serializeRuleScope(scope: RuleScope): string;
  * 店行是无墓碑硬删、会被 sync 的 join 复活),所以那是**一条已列出的常驻放行规则在受支持接口上不可撤**;
  * 唯一的钝器补偿是 `PERMISSION_RULES_ENABLED=false`(关掉全部规则,两口自身随之 501)。
  *
- * ⚠️ 可达性在 A-054.F-A 之后**变严重**:那批把铸侧出口从 `realpath` 改成 `path.resolve`,而 realpath
+ * ⚠️ 可达性在 [ref].F-A 之后**变严重**:那批把铸侧出口从 `realpath` 改成 `path.resolve`,而 realpath
  * 要求目录真实存在(macOS PATH_MAX=1024 ⇒ 宿主上 root 恒 ≤1023,结构性免疫);`path.resolve` 纯词法、
  * 不碰盘 ⇒ **任何宿主上** 1081..4096 字符的注册 cwd 都能铸出这样一条规则。
  *
@@ -461,7 +469,7 @@ export declare function serializeRuleScope(scope: RuleScope): string;
  * 的尺,撤侧自动跟。
  */
 export declare const MAX_RULE_SCOPE_CHARS: number;
-/** durable 面的**二员**窄型(core 7.0.0 design/382 §4.3:consent 面三员、durable 面二员分治)。
+/** durable 面的**二员**窄型(core 7.0.0 [ref] §4.3:consent 面三员、durable 面二员分治)。
  *  wire 判别式串只拼得出这两员(session 刻意无 wire 拼法——它的家在引擎的会话 overlay,不在持久店),
  *  所以 parse 产物与本仓筛选行都钉在这个窄型上:`.root` 访问零猜测,session 员漏进来是编译错不是运行病。 */
 export type DurableRuleScope = Exclude<RuleScope, {
@@ -470,7 +478,7 @@ export type DurableRuleScope = Exclude<RuleScope, {
 /** {@link serializeRuleScope} 的逆。读不出形 ⇒ `undefined`(调用方 400,绝不猜一个 global 出来 ——
  *  猜 global 会把一次「删项目内规则」的请求变成一次删不掉任何东西的 no-op,或者更糟)。 */
 export declare function parseRuleScope(text: string): DurableRuleScope | undefined;
-/** 一条规则在 wire 上的行 = 一个逻辑 (rule, scope) 对(design/203 v2 §6 F5)。
+/** 一条规则在 wire 上的行 = 一个逻辑 (rule, scope) 对([ref] v2 §6 F5)。
  *  `adds` **如实上 wire**、不折叠成单值:同一条规则可以被批准过多次(不同 dot、不同来源、不同时刻),
  *  折成「一个 addedAt」会让「这条规则是我导入的还是我点过卡的」在治理面上不可分。 */
 export interface PersistedRuleWireRow {
@@ -489,12 +497,12 @@ export interface PersistedRuleListing {
     rev: number;
 }
 /**
- * 撤销面两口寻址的**桶**(#203 收官件,core 5.24.0 提货批 [3427])。
+ * 撤销面两口寻址的**桶**([ref] 收官件,core 5.24.0 提货批 [ref])。
  *
  * 裸串 = principal 简写(既有调用方逐字不变);结构形 {@link RuleOwner} 多出 `{kind:"local-owner"}`
  * —— 身份缺席的单机形自己那只桶。这不是 server 发明的第二种寻址:core 的
- * `PermissionRuleStoreProvider.forLocalOwner()`(design/182 §4.5)一直就有这只桶,缺的是**撤销入口
- * 叫不出它的名字** —— 我方 [3399]① 请托、core 5.24.0 把 `removePersistedRule` 的 `principal` 入参扩成
+ * `PermissionRuleStoreProvider.forLocalOwner()`([ref] §4.5)一直就有这只桶,缺的是**撤销入口
+ * 叫不出它的名字** —— 我方 [ref]① 请托、core 5.24.0 把 `removePersistedRule` 的 `principal` 入参扩成
  * `string | RuleOwner` 兑现(d.ts 那段注逐字写着「downstream request, 2026-08-10」)。
  *
  * 🔴 **绝不用哨兵串**表示身份缺席(core 的 `RuleOwner` 头注就是这条纪律的出处):`forPrincipal("")` /
@@ -521,9 +529,9 @@ export interface RuleConsentLane {
     prepareImport(principal: string, layers: readonly RuleImportLayerInput[]): Promise<RuleImportPrepared>;
     /** 导入道:原子消费票 → confirm → redeemRuleBatch。 */
     redeemImport(principal: string, ticket: string): Promise<RuleImportRedeemed>;
-    /** #265 A7 直通道:逐行校验 → 预览 + pending 记录 + 票(零可导入行 ⇒ 无票)。 */
+    /** [ref] A7 直通道:逐行校验 → 预览 + pending 记录 + 票(零可导入行 ⇒ 无票)。 */
     prepareLocalImport(principal: string, rows: readonly PersistedRuleWireRow[]): Promise<LocalImportPrepared>;
-    /** #265 A7 直通道:三态兑付(首兑 / 逐字回放 / 崩溃窗重驱),终局落进票行。 */
+    /** [ref] A7 直通道:三态兑付(首兑 / 逐字回放 / 崩溃窗重驱),终局落进票行。 */
     redeemLocalImport(principal: string, ticket: string): Promise<LocalImportRedeemed>;
     /**
      * 撤销面读半场:列出一只桶名下**活着**的规则(墓碑已折算)。
@@ -536,7 +544,7 @@ export interface RuleConsentLane {
      */
     listRules(bucket: RuleBucketRef): Promise<PersistedRuleListing>;
     /**
-     * 撤销面写半场。**恒经 core `removePersistedRule`**(design/203 §2 裁定)——它产墓碑,而墓碑是
+     * 撤销面写半场。**恒经 core `removePersistedRule`**([ref] §2 裁定)——它产墓碑,而墓碑是
      * `screenRuleSyncState` 的筛子保证「别的副本不把这条规则回灌回来」的唯一凭据。直接删 SQL 行/文件行
      * 是**无墓碑硬删**:sync 的 join 会让它复活,而运维以为自己收回了权限。
      *
@@ -545,7 +553,7 @@ export interface RuleConsentLane {
      * 仍然活着」——那是一个**有名字的真结果**,不是异常,更不是「撤销完成」。
      *
      * `principal` 裸串 = principal 简写(既有调用方逐字不变);{@link RuleBucketRef} 的结构形让
-     * local-owner 桶**真可撤**(core 5.24.0 起 `removePersistedRule` 的入参 union 扩,#203 收官件)。
+     * local-owner 桶**真可撤**(core 5.24.0 起 `removePersistedRule` 的入参 union 扩,[ref] 收官件)。
      */
     removeRule(input: {
         principal: RuleBucketRef;
@@ -556,7 +564,7 @@ export interface RuleConsentLane {
 export declare function createRuleConsentLane(stores: RuleConsentStores, opts?: {
     ticketTtlMs?: number;
     newTicketId?: () => string;
-    /** [4232]③ 的单调钟 seam。缺省 `performance.now()` —— 本仓既定单调域。 */
+    /** [ref]③ 的单调钟 seam。缺省 `performance.now()` —— 本仓既定单调域。 */
     monotonic?: () => number;
     /** A7 有界等待的睡眠 seam(缺省真定时器)。等待窗与轮询步长都是**实现常数**,不是旋钮 ——
      *  开成 opts 只是为了让"输者到底等没等"这件事可被确定性地钉住。 */

package/dist/run-local.d.ts

@@ -34,10 +34,10 @@ export interface RunLocalDeps {
     print?: (line: string) => void;
     /** stderr sink for the "you still need to set …" guidance (defaults to console.error). */
     printErr?: (line: string) => void;
-    /** design/181 件三: override the TTY detection behind the {@link createLocalApprover} seat
+    /** [ref] 件三: override the TTY detection behind the {@link createLocalApprover} seat
      *  (defaults to `process.stdin.isTTY === true`) — lets a test drive BOTH arms deterministically. */
     isTty?: boolean;
-    /** design/181 件三: the TTY arm's prompt (defaults to a readline `y/N` on stdin/stderr);
+    /** [ref] 件三: the TTY arm's prompt (defaults to a readline `y/N` on stdin/stderr);
      *  `signal` = core `OnAsk` 的取消(EOF/abort 决断臂见 {@link promptYesNoOnTty})。 */
     askYesNo?: (prompt: string, signal?: AbortSignal) => Promise<boolean>;
 }
@@ -60,7 +60,7 @@ export declare function missingGatewayRequirements(config: ServiceConfig): strin
 export interface LocalGovernanceConfigView extends DeploymentGovernanceConfigView, ApprovalBaselineConfigView {
 }
 /**
- * design/181 件三:run-local 腿的**部署治理链装配**(#180)。
+ * [ref] 件三:run-local 腿的**部署治理链装配**([ref])。
  *
  * 与另外两条腿(HTTP 的 `resolveSpec`、durable park 的赎回腿)装的是**同一条**链,经**同一个**构造口:
  * 审批基线作 base 的 `toolPolicy` 座,再经**折叠属主** `applyRuntimeGovernance`(→ core `tightenTaskSpec`)
@@ -73,7 +73,7 @@ export interface LocalGovernanceConfigView extends DeploymentGovernanceConfigVie
  * · **裁决 env 恒 host 形,锚 `workspaceDir`**:run-local 的手就跑在这台机器的这个目录上
  *   (`--workspace` / config.d workdir / cwd 三选一,调用方已解析好),所以 `cwd` 恒在场 —— 相对形写目标
  *   由 core 按 `rootPath` 解析进真身裁决,构造口的词法补层(沙箱腿那条)在这里自动不铺。
- *   ✅ **旧残余面已收口(core 5.19.0 #108,2026-08-08 校正)**:`rootPath` 是装配期的**静态**值,而 core
+ *   ✅ **旧残余面已收口(core 5.19.0 [ref],2026-08-08 校正)**:`rootPath` 是装配期的**静态**值,而 core
  *   的写工具解析相对形用的是被 Bash `cd` 就地改写的活 cwd —— 于是 `cd .git/hooks` 之后
  *   `Write("pre-commit")` 落进守卫段却判不出来(两条 host 腿同形,本腿与 resolve-spec)。5.19.0 起守卫
  *   按 `ToolCallRequest.cwd`(引擎每次调用从同一只 tracked cwd 盖戳)解析写目标,本腿零改动即得保护;
@@ -93,7 +93,7 @@ export interface LocalApproverIo {
     readonly printErr: (line: string) => void;
 }
 /**
- * design/181 件三:**onAsk 座**(§0 潜雷 / §5 锁 6)。
+ * [ref] 件三:**onAsk 座**(§0 潜雷 / §5 锁 6)。
  *
  * 🔴 为什么这个座位是接治理链的**同窗必做项**:run-local 有 checkpointStore(file backend),所以
  * `AUTONOMY=ask` ⇒ `shellGate:"always"` ⇒ Bash 进 `irreversibleTools` ⇒ park lane effective ⇒ **每一次

package/dist/run-local.js

@@ -5,7 +5,7 @@ import { realpathSync } from "node:fs";
 import { createInterface } from "node:readline/promises";
 import { fileURLToPath } from "node:url";
 import { loadRemoteExec } from "@sema-agent/settings-schema/node";
-import { Runner, uuidv7, parseModelMention, AdoptionError, FileStorageBackend, NodeExecutionEnv, NodeLspManager, TtlSessionStore, CenterPromptSource, FilePromptArtifactStore, FilePromptSourceStateStore, MemoryPromptArtifactStore, MemoryPromptSourceStateStore } from "@sema-agent/core";
+import { Runner, uuidv7, parseModelMention, AdoptionError, FileStorageBackend, NodeExecutionEnv, NodeLspManager, TtlSessionStore, CenterPromptSource, FilePromptArtifactStore, FilePromptSourceStateStore, MemoryPromptArtifactStore, MemoryPromptSourceStateStore, defaultTaskRegistry } from "@sema-agent/core";
 import { hasOperatorGateIntent } from "./approval.js";
 import { createBrain } from "./brain.js";
 import { assertGuardPatternsUsable, buildOnlySensitiveBaselineWarning, createApprovalBaselinePolicy, createDeploymentGovernanceInputs, } from "./deployment-governance.js";
@@ -378,9 +378,9 @@ export async function runLocal(argv, deps = {}) {
         promptSource,
         executionEnvFactory,
         lspManager,
-        backgroundAgentStore: undefined,
-        mailboxStore: undefined,
-        rosterStore: undefined,
+        backgroundAgentStore: fileBackend.backgroundAgentStore,
+        mailboxStore: fileBackend.mailboxStore,
+        rosterStore: fileBackend.rosterStore,
         deploymentHooks: {
             ...createPermissionDeniedMeter(metrics),
             ...(config.hooksTimeoutMs !== undefined ? { timeoutMs: config.hooksTimeoutMs } : {}),
@@ -416,6 +416,7 @@ export async function runLocal(argv, deps = {}) {
     const scenarioDeps = {
         runner, subRunner, handslessSubRunner, model: "default", skills, repoClient, metrics, logger,
         ...(webSearch ? { webSearch } : {}),
+        backgroundAgentStore: fileBackend.backgroundAgentStore,
         taskListStoreFor: taskListLane.storeFor,
         brandIdentity: true,
     };
@@ -473,6 +474,27 @@ export async function runLocal(argv, deps = {}) {
         ...(Object.keys(limits).length > 0 ? { limits } : {}),
     }, config, workspaceDir);
     logger.info("run_local_start", { scenario: scenarioName, model: spec.model, sessionId, exec: config.remoteExec?.provider ?? "in-process" });
+    const settleSessionBackground = async () => {
+        const reaped = defaultTaskRegistry.reapSessionBackground(sessionId, scope);
+        if (reaped === 0)
+            return;
+        const deadline = Date.now() + 5_000;
+        try {
+            for (;;) {
+                const running = (await fileBackend.backgroundAgentStore.listByScope(scope, { status: "running" })).length;
+                if (running === 0)
+                    return;
+                if (Date.now() >= deadline) {
+                    logger.warn("run_local_bg_settle_timeout", { reaped, stillRunning: running });
+                    return;
+                }
+                await new Promise((r) => setTimeout(r, 25));
+            }
+        }
+        catch (err) {
+            logger.warn("run_local_bg_settle_readback_failed", { reaped, err: err instanceof Error ? err.message : String(err) });
+        }
+    };
     let result;
     let exitCode = 0;
     const taskRunner = pickHandsRunner(cap.hands, { full: runner, handsless: handslessRunner });
@@ -481,6 +503,7 @@ export async function runLocal(argv, deps = {}) {
     }
     catch (err) {
         printErr(`task crashed: ${err instanceof Error ? err.message : String(err)}`);
+        await settleSessionBackground();
         runner.sessions.dispose();
         subRunner.sessions.dispose();
         void lspManager?.dispose();
@@ -509,6 +532,7 @@ export async function runLocal(argv, deps = {}) {
             logger.warn("memory_sync_failed", { reason: "post-task", err: String(err) });
         }
     }
+    await settleSessionBackground();
     runner.sessions.dispose();
     subRunner.sessions.dispose();
     void lspManager?.dispose();

package/dist/runs.d.ts

@@ -32,14 +32,14 @@ import type { VerifyRoundsSpec } from "./http/verify-rounds.js";
  * core's full markable set (background_agent / background_bash / monitor); running-only +
  * first-marker-wins guards live inside the seam.
  */
-/** [1488]③(b) + codex R2: the bg agent-handle OUTPUT read, kind-gated BEFORE any poll. `pollTask` is the
+/** [ref]③(b) + codex R2: the bg agent-handle OUTPUT read, kind-gated BEFORE any poll. `pollTask` is the
  *  generic registry face and polling is NOT side-effect-free for other kinds — a terminal workflow poll
  *  fires `onServedTerminal` (acknowledges the completion as served → suppresses its notification) and a
  *  bash poll advances the output cursor. `getAccessibleTask` is a pure lookup: resolve + access-check +
  *  type-check FIRST; only a `background_agent` row is ever polled (non-blocking). Everything else returns
  *  the registry's own not_found shape, indistinguishable from an unknown handle (the route 404s it).
  *
- *  1.250 durable arm (core 1.364, [1511] follow-up delivered): a FULL in-process miss (`!row`) falls
+ *  1.250 durable arm (core 1.364, [ref] follow-up delivered): a FULL in-process miss (`!row`) falls
  *  through to `pollTask(…, { agentStore })` — core's durable arm only fires for `a*`-shaped handles
  *  (DURABLE_AGENT_HANDLE_RE) behind `canAccessAgentRecord`, and with NO in-process handle the live
  *  workflow/bash branches are unreachable, so the kind-gate's reason (onServedTerminal / cursor advance)
@@ -63,7 +63,7 @@ export declare function taskHandleOutput(registry: typeof defaultTaskRegistry, h
     content: string;
     details: unknown;
 }>;
-/** [1499] CC TaskStop 人侧对位 — stop a background task handle (bash kill / monitor stop / agent abort).
+/** [ref] CC TaskStop 人侧对位 — stop a background task handle (bash kill / monitor stop / agent abort).
  *  Same kind gate as the read face (a workflow stops via its own cancel face, never this verb). stopTask is
  *  idempotent on a terminal handle (the registry answers honestly); the stop is attributed "user" via the
  *  registry's existing markStopSource machinery (an HTTP stop is the human's hand — parity with the shell's
@@ -83,7 +83,7 @@ export declare function taskHandleStop(registry: typeof defaultTaskRegistry, han
 /**
  * Attribute this signal's abort as a USER stop for the owner's task-scoped children.
  *
- * 🔴 已经 abort 的信号在这里**立刻**记账,不是静默无操作(#168 件3 的配套)。调用点在 #168 件3 之后
+ * 🔴 已经 abort 的信号在这里**立刻**记账,不是静默无操作([ref] 件3 的配套)。调用点在 [ref] 件3 之后
  * 一律挪到了「run 认领成功之后」—— 认领是一次 await,断连完全可能落在它之前。`addEventListener` 对一个
  * 已 fire 的信号永不回调,那样一次真实的人为断连会被吞成「无归因」(子代 settle 时记成 system)。
  * 语义上这两种时序是同一件事:本请求赢下了这条 session,而这条 session 的连接是被人断掉的。
@@ -106,24 +106,24 @@ export declare function isSessionConflictResult(result: {
  * sync path otherwise 200s a failed result; map these to 4xx so a caller mistake reads as one. `not_found` (the
  * entry is genuinely absent) → 404; everything else (not_a_message / conflicts_resume / no_session) → 422.
  *
- * design/114 Phase3: `requireExistingSession` on a genuinely-missing/purged session ALSO surfaces as a failed result
+ * [ref] Phase3: `requireExistingSession` on a genuinely-missing/purged session ALSO surfaces as a failed result
  * (core prepare-task maps the store's `not_found` → `resume.session_not_found`); map it to 404 (the session is gone),
  * the same "caller mistake reads as a 4xx, not a silent 200 fresh run" discipline.
  *
- * [833] rewind exclusive mode (core 1.292 resumeAtMode:"before"): its two edge rejections ride the same `resume_at.*`
+ * [ref] rewind exclusive mode (core 1.292 resumeAtMode:"before"): its two edge rejections ride the same `resume_at.*`
  * prefix (before_target_not_user / before_root_unsupported → 422 via the existing branch, errorCode passed through
  * UNCHANGED for the shell). `rewind_snapshot.unresolvable` (rewindFiles + "before": no snapshot at/above the branch
  * point) is core's third rejection with a DIFFERENT prefix — same caller-mistake shape (prepare-throw, nothing
  * billed), map it to 422 explicitly so it doesn't fall through to a 200-with-failed body.
  *
- * design/170 件A(#148 件4): core 5.13.0's org-memory admission rides the SAME prepare-throw pipe
+ * [ref] 件A([ref] 件4): core 5.13.0's org-memory admission rides the SAME prepare-throw pipe
  * (GOVERNANCE_CODES). `memory.admission_denied` is TERMINAL — the principal has no grant on that tenant
  * plane → 403 (a retry cannot change the verdict). `memory.admission_required` is TRANSIENT fail-closed —
  * the directory is unreachable / no resolver is wired → 503 (retry later; the sync leg forwards the
  * result's `retryAfterMs` as body `retryAfterSec`, same family shape as usage.window_exhausted). Exact
  * codes only, no memory.* family grab — an unknown sibling stays a 200-with-failed-body until cataloged.
  *
- * design/383 (core 7.0.0 片2/3, S-49 S-3): the session capture opt-out's four prepare-throw refusals ride the
+ * [ref] (core 7.0.0 片2/3, [ref] S-3): the session capture opt-out's four prepare-throw refusals ride the
  * same pipe. `memory.capture_optout_denied` is TERMINAL (the principal's `allowMemoryOptOut` verdict is an
  * explicit `false`, or the posture is `capture-required` / `governed`-with-absent-verdict — a retry cannot
  * change it) → 403, the `memory.admission_denied` twin. `memory.capture_optout_unpersisted` is the
@@ -206,7 +206,7 @@ export declare class TurnAnchorCapture {
  * non-secret and intentionally kept.
  */
 export declare function stripCheckpointToken<T>(result: T): T;
-/** [4913] 投影腿的最小 checkpoint 读口(结构型——真店 `CheckpointStore.get` 直接对上)。 */
+/** [ref] 投影腿的最小 checkpoint 读口(结构型——真店 `CheckpointStore.get` 直接对上)。 */
 type ParkCheckpointReader = {
     get(token: CheckpointToken): Promise<{
         pendingAction?: {
@@ -216,17 +216,17 @@ type ParkCheckpointReader = {
     } | null>;
 };
 /**
- * [4913](cli 判别子 v3 请托)—— park 结果的**待批工具调用身份**:suspended/needs_review 结果在
+ * [ref](cli 判别子 v3 请托)—— park 结果的**待批工具调用身份**:suspended/needs_review 结果在
  * strip 之前手握 checkpointToken,用它 `cs.get(token)` 换 `pendingAction`,`tool_approval` 臂直读
  * `toolCallId`(与 tool_approval 帧 ≥1.307 同键同义)。核心 `TaskResult` 上没有这个键(CheckpointGate
- * 只带 toolName),checkpoint 本体是 park 的事实源——同源判据(A-058 教训)。
+ * 只带 toolName),checkpoint 本体是 park 的事实源——同源判据([ref] 教训)。
  *
- * 缺席形照 core `CheckpointSummary` 的 [1995]② OMITTED 契约:tool-less park(resource_limit /
+ * 缺席形照 core `CheckpointSummary` 的 [ref]② OMITTED 契约:tool-less park(resource_limit /
  * plan_review / task_done)回 `undefined` ⇒ 调用方**不铸键**,绝不编 null。读失败=F 类兜底
  * (展示/关联键,缺席=该键到货前的现状),`recordFailOpen` 留痕,绝不挡 done/suspended 终局写链。
  */
 export declare function parkToolCallId(result: unknown, cs: ParkCheckpointReader | undefined): Promise<string | undefined>;
-/** [4913] 整对象形:park 结果顶层 additive 上 `toolCallId` 键(与 `checkpointId` 同位,#285 先例;
+/** [ref] 整对象形:park 结果顶层 additive 上 `toolCallId` 键(与 `checkpointId` 同位,[ref] 先例;
  *  不塞进 `checkpointGate`——那是 core 的类型,server 不改其形)。非 park / 无 token / tool-less /
  *  读失败 ⇒ **同一引用**原样返回(键缺席)。graft 不负责 strip——组合序恒为 graft → strip。 */
 export declare function graftParkToolCallId<T>(result: T, cs: ParkCheckpointReader | undefined): Promise<T>;
@@ -244,7 +244,7 @@ export declare function evictIfConflict(runner: Runner, sessionId: string | unde
  * `cancel_requested` flag (cross-replica, ≤HEARTBEAT_MS lag). Either way the run settles to
  * status "failed" + errorCode "cancelled" (metric label "cancelled"); the entry is removed in `finally`.
  *
- * Preemption (POST /v1/assistant/tasks/:id/preempt, design/80 seam #2): a SECOND, INDEPENDENT controller
+ * Preemption (POST /v1/assistant/tasks/:id/preempt, [ref] seam #2): a SECOND, INDEPENDENT controller
  * (`preemptCtrl`, registered in `preemptable`) carries the scheduler's graceful "yield this task" — when raised,
  * core durably SUSPENDS the task at the next clean turn boundary (gate resource_limit, reason "preempt") so it is
  * RESUMABLE, the opposite of cancel's kill. It is wired ONLY on the plain-stream path: the verify/cascade
@@ -253,7 +253,7 @@ export declare function evictIfConflict(runner: Runner, sessionId: string | unde
  * failure. Cross-replica via the `preempt_requested` flag (same heartbeat tick). Eligibility (resourceSuspend +
  * durable store + durable tool-results + remote env) is core's call: an ineligible task's preemptSignal no-ops.
  *
- * Steering (POST /v1/runs/:id/steer, design/47): the live core `TaskStream` is registered in `steerable` so the
+ * Steering (POST /v1/runs/:id/steer, [ref]): the live core `TaskStream` is registered in `steerable` so the
  * HTTP route can inject a mid-task message via `stream.steer()` (drained at the next turn boundary). Same-replica
  * only — a suspended run is steered durably via the checkpoint's `setPendingSteer` instead, and only the
  * plain-stream path holds a steerable stream (the verify/cascade branches return a result, not a stream).
@@ -297,11 +297,11 @@ subagentSteer?: {
 completionDiagLog?: (msg: string, meta?: Record<string, unknown>) => void, 
 /** SendUserFile(切片2):per-run file_link 帧发射 ALS(question/elicitation 同款)。emit=durable append。 */
 sendUserFile?: SendUserFileEmitter, 
-/** [998]② the shared prompt-manifest accumulator (tracer records at prepare; this leg drains the pending
+/** [ref]② the shared prompt-manifest accumulator (tracer records at prepare; this leg drains the pending
  *  record into a durable `prompt_assembled` event — turns/stream read it). undefined ⇒ not wired. */
 promptManifests?: PromptManifestTracker, 
 /**
- * #151 车3 刀 3b:**bg 腿的流内审批 ctx**(design/172 §4.3(b))。今天为止这条腿连 approval ALS 都没有
+ * [ref] 车3 刀 3b:**bg 腿的流内审批 ctx**([ref] §4.3(b))。今天为止这条腿连 approval ALS 都没有
  * ——`deps.onAsk` 拿不到 ctx ⇒ 恒 `"unavailable"` ⇒ durable park,一张卡都不产。接上之后,bg run 的
  * 权限 ask 走本腿的 **durable events tail**(`GET /v1/runs/:id/events`,唯一带 SSE `id:` 的面)。
  *
@@ -314,7 +314,7 @@ approval?: {
     windowMs: number;
     windowMarginMs: number;
 }, 
-/** [4913]:park 投影腿的 checkpoint 读口(`deps.checkpointStore`)。在场时,durable park 的
+/** [ref]:park 投影腿的 checkpoint 读口(`deps.checkpointStore`)。在场时,durable park 的
  *  `suspended` 事件带 `toolCallId`(graft 见 {@link parkToolCallId});缺席=旧字节逐字不变。 */
 parkCheckpointReader?: {
     get(token: CheckpointToken): Promise<{
@@ -326,7 +326,7 @@ parkCheckpointReader?: {
 }): Promise<void>;
 /** How often a running instance refreshes its run's updated_at (liveness, independent of events).
  *  Must stay strictly below `runStaleSec` (asserted at startup AND on every hot config candidate) or the
- *  reaper would race live runs. #322:数值的单源是 `config-invariants.ts`(那条不变量的属主),两个消费面
+ *  reaper would race live runs. [ref]:数值的单源是 `config-invariants.ts`(那条不变量的属主),两个消费面
  *  ——心跳环与 run-stale 判据——因此不可能各读各的。 */
 export declare const HEARTBEAT_MS = 30000;
 export {};

package/dist/runtime-caps-resolver.d.ts

@@ -1,6 +1,6 @@
 /**
- * Entitlements resolver — the SERVICE-side wiring of core 1.157's `RunnerDeps.runtimeCapsResolver` (design/99 §K).
- * (design/158 N11: this module's own exports were renamed `*Caps*` → `*Entitlements*` to stop sharing a word
+ * Entitlements resolver — the SERVICE-side wiring of core 1.157's `RunnerDeps.runtimeCapsResolver` ([ref] §K).
+ * ([ref] N11: this module's own exports were renamed `*Caps*` → `*Entitlements*` to stop sharing a word
  * root with the UNRELATED `capabilities` face (deployment route discovery, `src/capabilities/`) and
  * `ScenarioBundle` assembly — "caps" meant three different things across those three faces. `RuntimeCaps` /
  * `EntitlementRuntimeCaps` themselves stay as-is below: they are core's / registry-core's own contract type
@@ -72,12 +72,12 @@ export interface EntitlementsResolverOpts {
  *
  *  `autoMode`(core 1.276.0 `RuntimeCaps.autoMode`):auto-mode 分类器 per-principal
  *  开闸线,极性同 allowObservers(`=== true` 显式 opt-in,默认 OFF;真执行还要 deployment 装配
- *  `RunnerDeps.autoMode` 分类器面=信任门,center 键只是 entitlement 半场)。[2373]B-6a:registry-core
+ *  `RunnerDeps.autoMode` 分类器面=信任门,center 键只是 entitlement 半场)。[ref]B-6a:registry-core
  *  0.13.0 已把 autoMode 收进 EntitlementRuntimeCaps(types.d.ts:1786)——宽读逃逸期结束,现为类型直读
  *  (allowObservers 同款收编先例)。 */
 export declare function toCoreRuntimeCaps(ent: EntitlementRuntimeCaps | null | undefined): RuntimeCaps | undefined;
 /**
- * #A5([4147] 件2)—— 「这台 worker 上**存在** per-principal entitlement 源吗」的**单一谓词**。
+ * #A5([ref] 件2)—— 「这台 worker 上**存在** per-principal entitlement 源吗」的**单一谓词**。
  *
  * 判据逐字 = `boot/runtime-caps.ts` 建 caps 客户端的那一条(**配了 center ∧ 非 dry-run**):dry-run 的部署
  * 拉取并记录 center 配置但**不应用、不执法**(observe-only),所以它解不出任何 per-principal caps —— 把它
@@ -136,7 +136,7 @@ export declare function createEntitlementsResolver(opts: EntitlementsResolverOpt
 /** core's `RunnerDeps.runtimeCapsResolver` seam signature (types.d.ts): sync or async, undefined = no caps. */
 export type EntitlementsResolverFn = (principal: string | undefined) => RuntimeCaps | undefined | Promise<RuntimeCaps | undefined>;
 /**
- * design/383 §3.1(S-49 S-1 / S-50 §1.2)—— `RuntimeCaps.allowMemoryOptOut` 的 **verdict 源**(本地腿)。
+ * [ref] §3.1([ref] S-1 / [ref] §1.2)—— `RuntimeCaps.allowMemoryOptOut` 的 **verdict 源**(本地腿)。
  * 唯一实现 = `plugins/memory-optout-grant-store-sql.ts`(三层折叠:per-principal 行 → 部署缺省哨兵行 →
  * 代码缺省 allow,所以健康的源**恒答显式 boolean**;`principal` 缺席=匿名/系统 run,只看缺省行)。
  * 契约:答非 boolean 或 throw = **面故障**(见 {@link applyMemoryOptOutGrant} 的处置)。
@@ -145,7 +145,7 @@ export interface MemoryOptOutVerdictSource {
     resolveAllow(principal: string | undefined): Promise<boolean>;
 }
 /**
- * design/383 §3.1 **F2 例外臂**(server 阻断级,采;core 7.0.0 `RuntimeCaps.allowMemoryOptOut` JSDoc 的
+ * [ref] §3.1 **F2 例外臂**(server 阻断级,采;core 7.0.0 `RuntimeCaps.allowMemoryOptOut` JSDoc 的
  * FAULT-TRANSIT CONTRACT 逐字):把本地 grant 腿的 verdict 合成进 caps resolver —— **与 allowWorkflows 家族
  * 反向的例外臂,逐字注释**:
  *