@sema-agent/server 7.52.0 → 7.53.0

package/dist/config-types.d.ts

@@ -1,4 +1,4 @@
-/** design/158 A1: the ServiceConfig TYPE face, split out of the 1.8k-line loader module (config.ts)
+/** [ref] A1: the ServiceConfig TYPE face, split out of the 1.8k-line loader module (config.ts)
  *  so pure-type consumers (http/server, plugins/*, hooks/hook-llm, security, brain, sema-registry)
  *  depend on a LEAF with zero runtime edges — this is the substantive step that dissolves the
  *  type-closed edges into config.ts (lens2 §A). TYPES ONLY: loadConfig and every runtime value stay
@@ -14,7 +14,7 @@ import type { UnattendedApprovalPolicy } from "./tool-approval.js";
 import type { InfraCostRates } from "./observability/cost-taxonomy.js";
 import type { Autonomy, CommandRule } from "./runtime-governance.js";
 import type { GitApiKind } from "./git-api-kind.js";
-/** #228:记忆向量面的 embedder 坐标(env `MEMORY_EMBEDDER_*` 解析结果;单一属主 = 本类型,
+/** [ref]:记忆向量面的 embedder 坐标(env `MEMORY_EMBEDDER_*` 解析结果;单一属主 = 本类型,
  *  `plugins/memory-embedder.ts` 的工厂直接消费它,不复制形状)。语义与三问见
  *  {@link ServiceConfigFlat.memoryEmbedder}。纯数据 —— 端点原文照存(拼 `/embeddings` 是 transport
  *  的活,与 `memorySync.url` 的尾斜杠口径一致)。 */
@@ -31,13 +31,13 @@ export interface MemoryEmbedderConfig {
     apiKey?: string;
 }
 /**
- * #270 §4 —— 托管留存的**灰度档**闭集。`as const` 数组是词表的唯一真源(config 解析、能力位、审计行
+ * [ref] §4 —— 托管留存的**灰度档**闭集。`as const` 数组是词表的唯一真源(config 解析、能力位、审计行
  * 的 `mode` 列共读它);两词之外的值在启动期响亮拒 —— 一个拼错的档位静默落回 `audit-only` 会让运维
  * 以为在删、其实没删,而拼成别的方向就是反过来那件更坏的事。
  */
 export declare const RETENTION_MODES: readonly ["audit-only", "enforce"];
 export type RetentionMode = (typeof RETENTION_MODES)[number];
-/** #270 §3/§4 —— sweep lane 的节律与灰度档(语义与三问见 {@link ServiceConfigFlat.retentionSweep})。 */
+/** [ref] §3/§4 —— sweep lane 的节律与灰度档(语义与三问见 {@link ServiceConfigFlat.retentionSweep})。 */
 export interface RetentionSweepConfig {
     /** `audit-only` = 照跑照判、只记 `audit_only` 行,**不调任何破坏性方法**;`enforce` = 真删。默认前者。 */
     mode: RetentionMode;
@@ -45,7 +45,7 @@ export interface RetentionSweepConfig {
     intervalSec: number;
 }
 /**
- * design/378 D2 —— 周期腿节律的**下界**(秒)。一轮 consolidation 读全库(~1e5 prompt tokens)且
+ * [ref] D2 —— 周期腿节律的**下界**(秒)。一轮 consolidation 读全库(~1e5 prompt tokens)且
  * core 自带 24h 的时间闸,比这更密的节律只可能是把分钟/毫秒当成秒写的手滑。夹取(不是拒启)方向安全:
  * 夹上去只会**少**跑,而这条腿花的是钱。
  * ⚠️ 今天这条夹取**还够不着**:本 build 没有周期腿,任何正值在解析期就拒启(见
@@ -54,7 +54,7 @@ export interface RetentionSweepConfig {
  */
 export declare const MEMORY_CONSOLIDATION_MIN_INTERVAL_SEC = 300;
 /**
- * design/378 D1/D2 —— consolidation driver 阀门的三根旋钮(语义与三问见
+ * [ref] D1/D2 —— consolidation driver 阀门的三根旋钮(语义与三问见
  * {@link ServiceConfigFlat.memoryConsolidationDriver})。纯数据。
  */
 export interface MemoryConsolidationDriverConfig {
@@ -122,7 +122,7 @@ export interface A2aServeSkill {
  *
  * `url` is REQUIRED here because it is required when the knob is on: a public discovery document that
  * cannot say where to call is a broken card, and the reachable address is the operator's to declare —
- * #123 `FLEET_ADVERTISE_ADDRESS` precedent, 不自猜可达地址(deriving it from the request `Host` header
+ * [ref] `FLEET_ADVERTISE_ADDRESS` precedent, 不自猜可达地址(deriving it from the request `Host` header
  * would let an anonymous caller decide what our public card advertises).
  */
 export interface A2aServeConfig {
@@ -144,15 +144,15 @@ export interface A2aServeConfig {
  *  off (the control plane never mounts). The runner-facing facts (the runner principal, the build-host CACHE_BASE,
  *  the default base ref) live here so image-api injects only VETTED, server-fixed values into the build.sh argv —
  *  operator free-text never reaches the runner. */
-/** #151 车3(design/172 流内审批协议)的配置面。总开关默认 **true**(clay 裁 2026-08-08,#164 翻真验证后;
+/** [ref] 车3([ref] 流内审批协议)的配置面。总开关默认 **true**(clay 裁 2026-08-08,[ref] 翻真验证后;
  *  树上已生效,发布线落在 7.4.0 之后的下一个发布);四个从属旋钮只在开关为真时生效
  *  (语义与「谁需要 / 谁被伤 / 什么补偿」三问见 `ServiceConfigFlat.streamApproval` 的注)。 */
 export interface StreamApprovalConfig {
-    /** 协议总开关。`STREAM_APPROVAL_ENABLED`,默认 **true**(clay 裁 2026-08-08,#164 翻真验证后;7.5.0 起)。显式 false ⇒ 全链逐字 7.3.0 前行为(唯一干净还原键)。
+    /** 协议总开关。`STREAM_APPROVAL_ENABLED`,默认 **true**(clay 裁 2026-08-08,[ref] 翻真验证后;7.5.0 起)。显式 false ⇒ 全链逐字 7.3.0 前行为(唯一干净还原键)。
      *  翻真要等回决端点(车4)与对账收敛器(车5)到位——在此之前是个不完整协议(有卡无正规回决口、
      *  有 PARKING 无收敛器、跨副本回决无唤醒路径)。 */
     enabled: boolean;
-    /** 开关为真时作为 `ToolApprovalCoordinator` 的 `ttlMs`(design/172 §3.3 的「配置窗默认」)。
+    /** 开关为真时作为 `ToolApprovalCoordinator` 的 `ttlMs`([ref] §3.3 的「配置窗默认」)。
      *  `STREAM_ASK_WINDOW_MS`,默认 **300000**(同裁与 sync 腿既有 5min 活卡窗对齐)。`0` = 运维显式关窗 ⇒ 恒 park(§3.3 窗=0 语义)。
      *  开关为假 ⇒ 本值不参与,窗保持既有 `DEFAULT_APPROVAL_TTL_MS`(5min)。 */
     windowMs: number;
@@ -161,12 +161,12 @@ export interface StreamApprovalConfig {
     replayMax: number;
     /** 写侧准入门(§0 X-2)的 per-task 未决 ask 上限。超限 ⇒ 在落 pending/建 timer/发帧**之前**返回
      *  `"unavailable"`(park 路由;**缺省 park 政策下永不 deny**——过载 bypass 到 park 是 §3.3 的硬条款。
-     *  #280 R-13 C:`UNATTENDED_APPROVAL_POLICY=deny` 的部署按自声明当场拒,理由见该键域注)。
+     *  [ref] R-13 C:`UNATTENDED_APPROVAL_POLICY=deny` 的部署按自声明当场拒,理由见该键域注)。
      *  `STREAM_APPROVAL_ADMIT_MAX_PER_TASK`,默认 **32**。消费点在刀 3b。 */
     admitMaxPerTask: number;
     /** 同上,per-owner(租户)维。`STREAM_APPROVAL_ADMIT_MAX_PER_OWNER`,默认 **256**。 */
     admitMaxPerOwner: number;
-    /** #151 车5 §5 治理旋钮(全部 `numEnvBounded` 有界解析,§9 C6)—— 对账收敛器每 tick **每段**
+    /** [ref] 车5 §5 治理旋钮(全部 `numEnvBounded` 有界解析,§9 C6)—— 对账收敛器每 tick **每段**
      *  (PARKING / 孤儿 STREAM_PENDING)最多处理的行数。超出的下轮接着扫(靠 `deferReconcile` 的队列
      *  轮转保证「接着」是真的,不是永远同一批)。`STREAM_APPROVAL_RECONCILE_BATCH`,默认 **200**,
      *  有界 [1, 10000]。 */
@@ -184,12 +184,12 @@ export interface StreamApprovalConfig {
      *  默认 **7d**,有界 [60000, 90d]。 */
     orphanTtlMs: number;
     /**
-     * S-43(案A,#374 / core #481)—— **零活流铸造**的 ask 的悬挂窗。`UNREACHED_ASK_TTL_MS`,
-     * 默认 **3600000**(1h),有界 [60000, 86400000](60s ~ 24h),坏值/越界**拒启**(#210 A 档)。
+     * [ref](案A,[ref] / core [ref])—— **零活流铸造**的 ask 的悬挂窗。`UNREACHED_ASK_TTL_MS`,
+     * 默认 **3600000**(1h),有界 [60000, 86400000](60s ~ 24h),坏值/越界**拒启**([ref] A 档)。
      *
      * 三问(behavior-facing 硬条款):
      *  · **谁需要**:workflow 恒后台跑(CC 220 parity)⇒ 子代 ask 到达时 (owner, session) 键域常无活 SSE。
-     *    改形前那一刻即答 `"unavailable"`,合成整条命令死拒([5443] 车道2 实证)。悬挂让人稍后经
+     *    改形前那一刻即答 `"unavailable"`,合成整条命令死拒([ref] 车道2 实证)。悬挂让人稍后经
      *    `/v1/approvals` / 壳队列 / attach 补投三通道回来答它。1h 是「人不在场但当天会回来」的尺度。
      *  · **谁被伤**:悬挂 ask 占一格写侧准入配额(`STREAM_APPROVAL_ADMIT_MAX_PER_TASK`,默认 32)且占一条
      *    持久行,窗越长积压越久;显式声明无人值守的部署(`UNATTENDED_APPROVAL_POLICY=deny`)**完全不受
@@ -252,7 +252,7 @@ export interface ServiceConfigFlat {
      *
      *  🔴 **缺席 = 不传给引擎**(不是"传个默认值"):此前这里是硬编码 `maxRetries: 2`,而显式传参**压过**
      *  引擎默认 ⇒ core 抬默认对 server 部署一点效果都没有。缺席不传之后,引擎默认当家、core 抬默认自动继承。
-     *  (五报清查 R1① 的 server 半场,黑板 [2161]/[2162];anthropic 腿早有 `ANTHROPIC_MAX_RETRIES` 出口,
+     *  (五报清查 R1① 的 server 半场,黑板 [ref]/[ref];anthropic 腿早有 `ANTHROPIC_MAX_RETRIES` 出口,
      *  这条只是把同样的出口补给限流 provider 真正走的那条腿。) */
     gatewayMaxRetries?: number;
     /** Optional Anthropic Messages API ROUTE (cloud). Selected for models whose `provider` is
@@ -274,7 +274,7 @@ export interface ServiceConfigFlat {
          *  env 没配时以前会铸成 `2` 再显式传给引擎,把引擎默认写死在 server 这一层。 */
         maxRetries?: number;
     };
-    /** Resilience brain stack (1.38, design/27): tiered timeouts + an optional circuit breaker layered
+    /** Resilience brain stack (1.38, [ref]): tiered timeouts + an optional circuit breaker layered
      *  UNDER the existing failover (gatewayFallbackUrls). Every field defaults to off/disabled, so the
      *  brain composition stays byte-identical until an operator opts in. The breaker only changes
      *  behaviour when paired with ≥2 gateway routes (it fast-fails a tripped primary so failover switches
@@ -282,10 +282,10 @@ export interface ServiceConfigFlat {
      *  cross-replica shared state (TiDB adapter) is a documented follow-up. */
     resilience: {
         /** Abort fetch if response headers don't arrive within this many ms → retryable [network].
-         *  Default 30s ([880] fleet audit). 0 = off. */
+         *  Default 30s ([ref] fleet audit). 0 = off. */
         connectTimeoutMs: number;
         /** Cancel an open SSE stream if no content/thinking delta arrives within this many ms.
-         *  Default 120s ([880] fleet audit — core's idle timer only arms after the first token,
+         *  Default 120s ([ref] fleet audit — core's idle timer only arms after the first token,
          *  so this is the only guard for a stream that opens and never emits). 0 = off. */
         firstTokenTimeoutMs: number;
         /** Mid-stream stall watchdog (1.40.1): after output starts, re-armed on every delta; silence for
@@ -339,7 +339,7 @@ export interface ServiceConfigFlat {
     /** Role → model map (1.24): `subagent`/`summarize` → the cheap model when `MODEL_CHEAP_ID` is set
      *  (council lenses + compaction get cheap), `default`/`team`/`synthesize` stay on the main model. */
     roles: ModelRoles;
-    /** #233 / A-002.8 —— **`@`-mention 允许名单**(registry-core `models.atModelAllowlist` 的服务端消费面)。
+    /** [ref] / [ref] —— **`@`-mention 允许名单**(registry-core `models.atModelAllowlist` 的服务端消费面)。
      *  语义(registry-core `ModelsDomain.atModelAllowlist` 的 JSDoc 同源):**缺席/空 = 全部启用模型都可被用户点选**;非空 = 用户
      *  逐 turn 选择通道只能落在名单内的 catalog name 上。
      *
@@ -368,7 +368,7 @@ export interface ServiceConfigFlat {
     /** B1 /health 活体 store 探测:后台缓存探针间隔 ms(STORE_PROBE_INTERVAL_MS;0=显式关,负/非数 boot
      *  响亮拒)。只对 SQL 后端接线;探针原语=backend.dbNowMs()(S10 时钟探针的真 DB 往返,零新 SQL 面)。 */
     storeProbeIntervalMs: number;
-    /** Long-term memory (design/138 S1, clay 2026-07-08): the injection-first file-based memory ENGINE
+    /** Long-term memory ([ref] S1, clay 2026-07-08): the injection-first file-based memory ENGINE
      *  (core `RunnerDeps.memoryBackend` + `MemoryEngine`) is the ONLY memory plane — the legacy MemoryStore
      *  path (MEMORY_BACKEND/EMBEDDING_* SQL/file note stores) was dropped without migration. Default ON;
      *  `MEMORY_ENGINE=off` is the explicit kill-switch. Single-user only — main.ts gates the wiring on
@@ -387,7 +387,7 @@ export interface ServiceConfigFlat {
     /** The single-user deployment's one memory scope name (env MEMORY_SCOPE; default "local" under
      *  single-user). Feeds `spec.memory.scope` — the new engine consumes the same normalized scopes. */
     memoryScope?: string;
-    /** #217(core 5.26.0 `TaskSpec.memoryPersistenceCapable`)—— 本部署对「这台机器上的任务**能不能**把
+    /** [ref](core 5.26.0 `TaskSpec.memoryPersistenceCapable`)—— 本部署对「这台机器上的任务**能不能**把
      *  用户说的『记住 X』落到持久处」的**自我声明**,env `MEMORY_PERSISTENCE_CAPABLE`,三态:
      *   · 缺席(默认)⇒ 键不上 TaskSpec,core 按自己的 roster 推断(已知落盘路 = 挂载且未排除的文件写工具
      *     或可写 shell;remote 执行环境的手带写的是沙箱盘,不算够得着 host 记忆根);
@@ -396,7 +396,7 @@ export interface ServiceConfigFlat {
      *     收窄的官方恢复路径);
      *   · `false` ⇒ 强制披露只读/无持久面,并关掉文件工具往记忆根的写通道(披露不会被存储事实推翻)。
      *
-     *  🔴 **`false` 自 core 5.27.0 起还多一层**([3612] F2,#231 提货):declared-false 的会话是**受限会话**
+     *  🔴 **`false` 自 core 5.27.0 起还多一层**([ref] F2,[ref] 提货):declared-false 的会话是**受限会话**
      *  —— materialize/search/harvest 一律按**已提交账**(ledger + shadow)供给,磁盘上无事务背书的分歧
      *  既不收编也不供给,而是留盘 + 响亮点名(`restricted_divergence`,`HarvestRejectionCode` 新成员),
      *  等下一次**非受限**会话走正常门收编。这补上了 5.26.0 自己登记的那条残余(读侧入站同步收编磁盘分歧
@@ -412,7 +412,7 @@ export interface ServiceConfigFlat {
      *  客户端表态(per-run 暂停写,writeScope:null),`memoryPersistenceCapable` 是**部署**声明(operator 面,
      *  与请求无关)。两轴任一取「否」方向即只读方向 —— 客户端能收紧本次运行,永远不能靠表态把部署声明的
      *  `false` 撑开(operator 旋钮不挂客户端表态派生腿)。
-     *  ⚠️ **别把两轴的「只读」当成同一件事**([3612] F2 修后口径,逐字对齐 core):**受限**是**会话级的
+     *  ⚠️ **别把两轴的「只读」当成同一件事**([ref] F2 修后口径,逐字对齐 core):**受限**是**会话级的
      *  verdict 单键**(= 这里的 declared-false),而 `writeScope:null` 的只读**平面**(`memoryWrite:false` 的
      *  per-run 暂停 / org 层默认只读 / 双根非写面)**保持 adopt-on-read 原样** —— 受限是会话的**声明**,
      *  永远不是平面的**结构**。所以:一次 `memoryWrite:false` 的运行照常收编磁盘上的新内容(用户手改、
@@ -431,18 +431,18 @@ export interface ServiceConfigFlat {
         maxPushEntries?: number;
         maxPullEntries?: number;
     };
-    /** #228(黑板 [3590]/[3606] 两裁):记忆检索的**向量面**接线 —— OpenAI 兼容 `/embeddings` 端点。
+    /** [ref](黑板 [ref]/[ref] 两裁):记忆检索的**向量面**接线 —— OpenAI 兼容 `/embeddings` 端点。
      *  env 四键(+ 可选 key):`MEMORY_EMBEDDER_ENDPOINT` / `MEMORY_EMBEDDER_MODEL` / `MEMORY_EMBEDDER_DIM`
      *  (+ `MEMORY_EMBEDDER_TIMEOUT_MS` / `MEMORY_EMBEDDER_API_KEY`)。三问:
      *
      *  ① **谁需要**:pg 记忆后端的部署。core 的记忆引擎三档(`vectorMode = lexical|portable|native`)不是
-     *     档位旋钮,而是「后端上限 × embedder 在场」的**推断结果**([3590] 裁①:不开档位 env —— 显式选档
-     *     只会造出「选了 native 却没 embedder」这类矛盾态)。本仓在 #228 之前从未注入过 embedder,所以
+     *     档位旋钮,而是「后端上限 × embedder 在场」的**推断结果**([ref] 裁①:不开档位 env —— 显式选档
+     *     只会造出「选了 native 却没 embedder」这类矛盾态)。本仓在 [ref] 之前从未注入过 embedder,所以
      *     pg 部署的检索**恒 lexical**(词面 jaccard),向量列空转。配上这几键 = 该部署真正拿到语义检索。
      *  ② **半配为何拒启**:三键里少任何一件,「向量面」都无从组装。静默忽略的后果不是功能缺席,而是
      *     **operator 以为开了**——检索照常返回结果(词面档),质量差异只在最终答案里,任何日志都不报。
      *     所以照 `MEMORY_SYNC_*` / `REQUIRED_ENVS_BY_LANE` 的同款姿势整拒并点名缺哪几键。
-     *  ③ **维度守卫为何是拒启不是 warn**:向量列写错维度是**静默毒库**形([3606] 裁③)——错长度的向量
+     *  ③ **维度守卫为何是拒启不是 warn**:向量列写错维度是**静默毒库**形([ref] 裁③)——错长度的向量
      *     既不会让 DB 报错(本仓 pg 记忆表的 embedding 是 `jsonb`,无维度约束),也不会让检索报错(维度
      *     不匹配的行只是悄悄退回词面档),只会让「向量面开着」这句话变成谎。所以坏 DIM(非正整数)在
      *     boot 期拒;运行期真维度不符(模型换了 / 端点指错)由 embedder 自己抛,绝不截断补零。
@@ -450,11 +450,11 @@ export interface ServiceConfigFlat {
      *  ⚠️ 后端门:只有 `MEMORY_ENGINE_BACKEND=pg` 收这几键 —— tidb 记忆后端 v1 无向量档(传 embedder
      *  它自己就 fail-loud 拒),file 引擎压根没有 embedder 接缝。配错后端 = 拒启点名。 */
     memoryEmbedder?: MemoryEmbedderConfig;
-    /** design/170 件A(clay 三裁 [2687]):org 记忆准入模式。`enforce`(默认)=判决即结果;`audit`=判决
+    /** [ref] 件A(clay 三裁 [ref]):org 记忆准入模式。`enforce`(默认)=判决即结果;`audit`=判决
      *  照算但纯观察零行为变化(不整拒、不窄化 writeScope,只记 would-deny/would-narrow)——运维诊断位,
      *  非发布步骤(audit-first 灰度步按裁2 免除)。env `MEMORY_ORG_ADMISSION_MODE`(enumEnv 二值)。 */
     memoryOrgAdmissionMode: "audit" | "enforce";
-    /** #299(core 5.45.0 design/324,#324 裁定① 的部署半场):委派臂的**证据标准** —— 一次委派调用要不要把
+    /** [ref](core 5.45.0 [ref],[ref] 裁定① 的部署半场):委派臂的**证据标准** —— 一次委派调用要不要把
      *  本会话的记忆标记成 polluted,按哪一档证据判。env `MEMORY_DELEGATION_EVIDENCE`,两词闭集:
      *   · `static-face` —— core 的缺省行为逐字:委派的 attestation 缺失/未知 **且** 静态工具面够得着外部
      *     内容 ⇒ 标记(能力过近似:可能性即暴露);
@@ -467,7 +467,7 @@ export interface ServiceConfigFlat {
      *     自身被分类为污染的照标。
      *
      *  🔴 **缺席 = 不铸键**(不复制上游缺省 —— 上游改缺省之日起本仓不会成为第二份真源;`readFace` 同姿态)。
-     *  坏值 ⇒ 启动期响亮拒(#210);core 侧 `prepareConfigDoors` 另有一道同判的门
+     *  坏值 ⇒ 启动期响亮拒([ref]);core 侧 `prepareConfigDoors` 另有一道同判的门
      *  (`config.memory_delegation_evidence`,精确拼写、绝不真值判),两道门同向不冲突。
      *
      *  ⚠️ **部署席 ONLY**(与 `readDenyBuiltinTiers` 同判,core 侧的设计):TaskSpec 上没有同名键,也不在受治
@@ -478,19 +478,19 @@ export interface ServiceConfigFlat {
      *  异常收尾(crash/salvage)的前台子代同样不按静态面标记(链上仍记 `incomplete`)。已标记的会话永不
      *  回滚清洗,本键只管**新**标记。 */
     memoryDelegationEvidence?: "static-face" | "attested-only";
-    /** #307 件4(core 5.46.0 design/336 §13-3 的部署半场,[4652]①/[4677]②):记忆 **provenance 总开关** ——
+    /** [ref] 件4(core 5.46.0 [ref] §13-3 的部署半场,[ref]①/[ref]②):记忆 **provenance 总开关** ——
      *  一个会话被判为「已暴露」之后,它的记忆写要怎么处置。env `MEMORY_PROVENANCE`,两词闭集:
      *   · `carry` —— core 缺省行为逐字:**普通**记忆写照常提交,但带上引擎铸的 `origin` 标记(随条目走
      *     后端/同步/导出包);指令形文件(feedback / pinned / triggers / applies-when)仍被扣下隔离;
      *     派生索引的会话散文照回滚;内容扫描门原样跑(**标记不是豁免**);
-     *   · `off` —— design/336 之前的行为:不铸 origin 标记,已暴露会话的 harvest **一条都不收**(整体
+     *   · `off` —— [ref] 之前的行为:不铸 origin 标记,已暴露会话的 harvest **一条都不收**(整体
      *     隔离候人审)。⚠️ 已提交的标记在编辑时照样带下去 —— `off` 停的是**铸**,从不抹掉已记的事实。
      *
      *  与 {@link memoryDelegationEvidence} **正交**(core 顶注明写,四种组合全合法):那一键决定
      *  **什么时候**把会话判为已暴露(证据标准),本键决定判为暴露之后**对写做什么**(带标收录 vs 整体隔离)。
      *
      *  🔴 **缺席 = 不铸键**(不复制上游缺省;`readFace` / `memoryDelegationEvidence` 同姿态)。
-     *  坏值 ⇒ 启动期响亮拒(#210 + 「部署级旋钮坏值禁静默回默认」);core 侧 `prepareConfigDoors` 另有
+     *  坏值 ⇒ 启动期响亮拒([ref] + 「部署级旋钮坏值禁静默回默认」);core 侧 `prepareConfigDoors` 另有
      *  一道同判的门(`config.memory_provenance`,精确拼写、绝不真值判),两道门同向不冲突。
      *
      *  ⚠️ **部署席 ONLY**(与 `memoryDelegationEvidence` 同判,core 侧的设计):TaskSpec 上没有同名键,
@@ -498,7 +498,7 @@ export interface ServiceConfigFlat {
      *  ⚠️ **不冻进 checkpoint**:resume 的那条腿跟**当前**部署配置走(core 成文)。
      *  运维读面 = `GET /v1/diagnostics/wiring` 的 `memoryPosture.provenance`(`null`=本部署未设)。 */
     memoryProvenance?: "off" | "carry";
-    /** design/383 §3.1(core 7.0.0 片3,S-49 S-1b):本部署的记忆 **capture 姿态** —— per-principal
+    /** [ref] §3.1(core 7.0.0 片3,[ref] S-1b):本部署的记忆 **capture 姿态** —— per-principal
      *  `RuntimeCaps.allowMemoryOptOut` verdict 被读进的那个框。env `MEMORY_CAPTURE_POLICY`,三词闭集:
      *   · `open`(≡ 缺席时 core 的缺省)—— `TaskSpec.memory.capture:"off"` 声明按面值生效;只有 resolver 的
      *     **显式** `false` 拒它(`memory.capture_optout_denied`,terminal)。resolver **故障**(throw / 非
@@ -521,7 +521,7 @@ export interface ServiceConfigFlat {
      *  运维读面 = `GET /v1/diagnostics/wiring` 的 `memoryPosture.capturePolicy`(`null`=本部署未设)。 */
     memoryCapturePolicy?: "open" | "governed" | "capture-required";
     /**
-     * design/378(core 5.58 design/376 片②)—— 记忆 **consolidation driver 阀门**的三根旋钮。
+     * [ref](core 5.58 [ref] 片②)—— 记忆 **consolidation driver 阀门**的三根旋钮。
      * **恒在场**(不是可选块,与 {@link retentionSweep} 同姿态):三根都有文档化的缺省,而缺省本身
      * 是一条要能被读出来的姿态 —— `{enabled:false, intervalSec:0, scopes:[]}` = 「阀门关着」。
      *
@@ -533,7 +533,7 @@ export interface ServiceConfigFlat {
      * 语义与解析见 {@link MemoryConsolidationDriverConfig} 与 config.ts 的 `parseMemoryDomain`。
      */
     memoryConsolidationDriver: MemoryConsolidationDriverConfig;
-    /** debt #322-B(core 5.48 C18 提货件):委派入口 caps 的部署旋钮 —— env `DELEGATION_MAX_CONCURRENT` /
+    /** debt [ref]-B(core 5.48 C18 提货件):委派入口 caps 的部署旋钮 —— env `DELEGATION_MAX_CONCURRENT` /
      *  `DELEGATION_MAX_PER_SESSION`(整数,numEnvBounded 响亮拒坏值)。**缺席 = 不铸键**(core 自缺省
      *  CC parity 20/200;`memoryDelegationEvidence` 同姿态);两键各自独立可设,pair 合法性
      *  (maxConcurrent ≤ maxCumulativePerSession)由 core prepare 的 `config.delegation_entry_caps`
@@ -553,12 +553,12 @@ export interface ServiceConfigFlat {
     /** 件A 目录 unavailable 退避窗(ms)——取数失败的退避语义(bound center hammering),不是策略负结果。
      *  默认 10s。env `MEMORY_ORG_UNAVAILABLE_BACKOFF_MS`(numEnvBounded)。 */
     memoryOrgUnavailableBackoffMs: number;
-    /** design/48 v1b + design/61: opt-in remote execution backend (PEER adapters, chosen by REMOTE_EXEC). Unset
+    /** [ref] v1b + [ref]: opt-in remote execution backend (PEER adapters, chosen by REMOTE_EXEC). Unset
      *  (OA/review deployments) → in-process stub env, zero behavior change. Secrets (apiKey/privateKey) ONLY from env.
      *   - `e2b`  → per-task E2B Firecracker VM (isolated, suspendable). The default code-agent worker.
      *   - `k8s`  → per-task Kata pod on our k3s (isolated, NOT suspendable — no managed memory
      *              snapshot). Self-hosted sandbox lane; auth = explicit K8S_* env or in-cluster service account.
-     *   - `ssh`  → a real host over SSH (NOT isolated/suspendable; design/61 §5). AI-orchestrated batch deploy.
+     *   - `ssh`  → a real host over SSH (NOT isolated/suspendable; [ref] §5). AI-orchestrated batch deploy.
      *   - `adb`  → a real device over ADB (NOT isolated/suspendable). On-device APP testing. */
     remoteExec?: {
         provider: "e2b";
@@ -569,7 +569,7 @@ export interface ServiceConfigFlat {
         allowInternetAccess?: boolean;
         sandboxEnv?: Record<string, string>;
         mountPath?: string;
-        /** #242:崩溃遗留沙盒回收腿(E2B_ORPHAN_RECLAIM,默认 true;判据与 v1 边界见
+        /** [ref]:崩溃遗留沙盒回收腿(E2B_ORPHAN_RECLAIM,默认 true;判据与 v1 边界见
          *  plugins/e2b-orphan-reclaim.ts 头注)。 */
         orphanReclaim?: boolean;
     } | {
@@ -625,6 +625,11 @@ export interface ServiceConfigFlat {
         execTimeoutMs?: number;
         /** `DEVICE_MAX_INFLIGHT_PER_DEVICE`(§11-O3 clay 已裁 = 4)。 */
         maxInflightPerDevice?: number;
+        /** `DEVICE_MAX_PREAUTH_PER_REMOTE`(默认 8;字面 `off` = 显式停用 per-remote 层)= 未鉴权
+         *  握手的 per-remote 并发帽([ref]/[ref]:帽键是裸 remoteAddress——XFF 反代 / 公司 NAT 部署
+         *  形会把全员折叠成单键,per-remote 层退化成共享预算而非公平层,`off` + 全局帽 64 是诚实形)。
+         *  坏值拒启([ref] A 档),词表与拒因见 config.ts `parseDevicePreAuthPerRemoteEnv`。 */
+        maxPreAuthPerRemote?: number | "off";
         /** `DEVICE_SUPERSEDE`(默认 `stale_only`)= 同 deviceId 二连的顶替策略(§5.2)。 */
         supersede?: "stale_only" | "deny";
     } | {
@@ -642,7 +647,7 @@ export interface ServiceConfigFlat {
         env?: Record<string, string>;
     };
     /**
-     * SVC-3 git-WORKTREE ISOLATION (design/97 CORE-6). Opt-in (WORKTREE_ISOLATION_ENABLED + WORKTREE_REPO_ROOT).
+     * SVC-3 git-WORKTREE ISOLATION ([ref] CORE-6). Opt-in (WORKTREE_ISOLATION_ENABLED + WORKTREE_REPO_ROOT).
      * When set, the deployment's `executionEnvFactory` is wrapped so an agent core marks `isolation:"worktree"`
      * (via the TRUSTED RunInternals — never a TaskSpec) runs in its OWN detached git worktree under `repoRoot`.
      * Operator-supplied ONLY (never a task input). v1 covers the `host` lane (the TOC fan-out lane); other lanes
@@ -683,11 +688,11 @@ export interface ServiceConfigFlat {
     };
     /** Which SQL engine the durable stores run on (clay 2026-06-21 PG migration). Canonical value is `mysql`
      *  = any MySQL-protocol server — MySQL, TiDB, MariaDB — over the same mysql2 pool; `pg` (PostgreSQL
-     *  dialect) reads `pg` below. [2354]/[2373]B-3(5.0.0):the env value `tidb` and the TIDB_* coord names
+     *  dialect) reads `pg` below. [ref]/[ref]B-3(5.0.0):the env value `tidb` and the TIDB_* coord names
      *  are RETIRED — `tidb` is rejected by the enum and any TIDB_* env in place refuses to start with the
      *  MYSQL_* replacement named (see RETIRED_ENVS in config.ts). `mysql` reads MYSQL_* coords only.
      *  TiDB itself stays fully supported (any MySQL-protocol engine works — memory no longer needs a VECTOR
-     *  column since design/138 moved it onto the file engine). Env: DB_BACKEND. */
+     *  column since [ref] moved it onto the file engine). Env: DB_BACKEND. */
     dbBackend: "mysql" | "pg" | "local" | "memory";
     /** clay 拍(2026-07-27):operator 是否显式设了 DB_BACKEND。main.ts 的降级判据——**默认推导**的
      *  local(裸 boot)在 mkdir/ensure 失败时降级 memory + warn + gauge(auto-DB 不可达先例);
@@ -701,14 +706,14 @@ export interface ServiceConfigFlat {
      *  `local` backend reads it. */
     localDataRoot?: string;
     /**
-     * S-46 件B(`RUN_STORE_STRICT_HYDRATE`,普查表第 29 行的**终局格**)—— file 后端的**可选** fail-closed
+     * [ref] 件B(`RUN_STORE_STRICT_HYDRATE`,普查表第 29 行的**终局格**)—— file 后端的**可选** fail-closed
      * 启动门。`true` ⇒ `FileRunStore.hydrate()` 列不出 `runs/` 时**拒启**(error 级遗言带绝对路径 + 异常
      * 文案,然后抛);缺省 **false** ⇒ 件6 的既有形逐字不变(带病起动 + 一行 error + P-DEBT 计数)。
      *
      * 为什么默认是 off:件6 当年把「不拒启」写成了刻意保留的行为,默认翻面等于替所有存量部署做主。
      * 为什么值得有这根旋钮:空账起动之后每一次 `getRun` 恒 miss,而「恒 miss」与「本来就没有这条 run」
      * 在 wire 上同形(#43 现场就是这么被误读的)—— 把 run 账本当真账本用的部署有权要求「读不出就别起」。
-     * 坏值**拒启**(#210 A 档):静默回默认会让 operator 要的 fail-closed 被无声吃掉。
+     * 坏值**拒启**([ref] A 档):静默回默认会让 operator 要的 fail-closed 被无声吃掉。
      *
      * 只有 `local`(file)后端读它;SQL 后端的 hydrate 不经这条路。
      */
@@ -754,7 +759,7 @@ export interface ServiceConfigFlat {
      *  实证,大字节归对象存储);`SNAPSHOT_BLOB_ALLOW_SQL_BYTES=true` 显式接受 SQL 店 + (a) 的帽
      *  (单机/测试台形)。严格 "true" 判——这是安全姿势开关,不收宽松真值。 */
     snapshotBlobAllowSql: boolean;
-    /** S-15 twin 保留条款(core design/381 §片2):per-file rewind 历史的**边界上限**,键形与 core
+    /** [ref] twin 保留条款(core [ref] §片2):per-file rewind 历史的**边界上限**,键形与 core
      *  `FileStorageBackendOptions.fileHistory.retention.keep` **同域同名**(local 腿原样透传给 core 的 File 店;
      *  SQL 双生店构造期同调 core `resolveFileHistoryRetention` —— 一套语义,三条车道)。缺席 = core 缺省
      *  (100,由 core 兑现,本仓不复制那个数);`{ keep: "unbounded" }` 是唯一的「不剪」拼法。坏值在
@@ -763,14 +768,14 @@ export interface ServiceConfigFlat {
     fileHistory?: {
         retention?: FileHistoryRetentionPolicy;
     };
-    /** plugins 域 clone host 白名单(`PLUGINS_ALLOW_HOSTS`,缺省 github.com;契约 [1361]① 双保险面,
+    /** plugins 域 clone host 白名单(`PLUGINS_ALLOW_HOSTS`,缺省 github.com;契约 [ref]① 双保险面,
      *  消费在 capabilities/center-plugins.ts)。 */
     pluginsAllowHosts: string[];
-    /** 监听绑址([1934] cli 实锤:此前 `HOST` **零消费**、`listen(port)` 恒绑所有接口)。
+    /** 监听绑址([ref] cli 实锤:此前 `HOST` **零消费**、`listen(port)` 恒绑所有接口)。
      *  `BIND_HOST`(兼容 `HOST`)。显式值恒生效;缺省见 {@link resolveBindHost}——**无鉴权写面
      *  (allowUnauthedWrites 且零凭证)自动收窄到 127.0.0.1**,其余维持全接口(既有部署零影响)。 */
     bindHost?: string;
-    /** [2062]③ `bindHost` 的取值来源(BIND_HOST 显式 / HOST 兼容名 / 未设)。`"HOST"` 时 main.ts 打一行
+    /** [ref]③ `bindHost` 的取值来源(BIND_HOST 显式 / HOST 兼容名 / 未设)。`"HOST"` 时 main.ts 打一行
      *  启动告警:zsh 常把 HOST 设成机器名,`{...process.env}` 起底的壳会静默继承给引擎——bind 面被 shell
      *  环境暗配而部署者不知情(HOST=机器名解析到 LAN 口时=静默扩暴露面)。 */
     bindHostSource?: "BIND_HOST" | "HOST";
@@ -778,11 +783,11 @@ export interface ServiceConfigFlat {
      *  复审 F10:同 tick 邻居(workflowOrphanGraceMs/attachmentUnboundTtlMs/scratchpadSweepTtlMs)都有
      *  旋钮——存量对象巨大的部署要调慢/停掉,不该被迫取消 MinIO 配置(那会连带关掉整个附件面)。 */
     attachmentOrphanGraceMs: number;
-    /** ⚠️ INERT since S-15(workspace 浏览面随整树快照纪元退役,消费点归零)。键**保留**:center 热推
+    /** ⚠️ INERT since [ref](workspace 浏览面随整树快照纪元退役,消费点归零)。键**保留**:center 热推
      *  可能仍携带它,删键会让整份推送按未知键处置——正式摘除走 settings-schema 的弃用车道。 */
     workspaceFileMaxBytes: number;
     /** SendUserFile dual-track public-link issuance (design settled cross-repo 2026-07-14; S3_PUBLIC_* are
-     *  [766]② cross-repo contract names — never rename). Enabled iff the adapter-held MinIO/S3 creds are set:
+     *  [ref]② cross-repo contract names — never rename). Enabled iff the adapter-held MinIO/S3 creds are set:
      *  `endpoint` = MINIO_ENDPOINT (the shared snapshot-lane name, wins when both are set) with S3_ENDPOINT
      *  as the external-S3 compat alias (one address serving both internal + public faces), plus
      *  MINIO_ACCESS_KEY + MINIO_SECRET_KEY (optional MINIO_REGION) — any of the three unset/empty ⇒ the whole
@@ -864,19 +869,19 @@ export interface ServiceConfigFlat {
      *  sema-registry `EffectiveConfig.runtime` (structured config, not an env scalar). undefined = unmanaged. */
     commandPolicy?: CommandRule[];
     /**
-     * design/170 件B —— 本部署的**合规档位**(core `RunnerDeps.compliancePostureResolver` 的供数)。
+     * [ref] 件B —— 本部署的**合规档位**(core `RunnerDeps.compliancePostureResolver` 的供数)。
      * env `COMPLIANCE_PROFILE`(闭集 `hipaa|zdr`)+ `COMPLIANCE_ADDITIONAL_DENIES`(闭集能力名 csv,
      * **只能收紧** profile 的内建 floor)。两个词表都是 core 的闭集,拼错一律 boot 拒 —— 一个拼错的
-     * 能力名等于「标着 hipaa 的部署根本没在执行那一条」(design/170 §3.2)。
+     * 能力名等于「标着 hipaa 的部署根本没在执行那一条」([ref] §3.2)。
      *
      * 🔴 **档位是部署级、不是 per-principal**:core 的座席按 principal 取值,但本仓能拿到的**唯一真源**
-     * 是部署配置面(design/170 §1 表:center 侧的档位真源标着「新建」= 尚不存在)。所以 resolver 对每个
+     * 是部署配置面([ref] §1 表:center 侧的档位真源标着「新建」= 尚不存在)。所以 resolver 对每个
      * principal 返回同一份档位 —— 诚实的窄实现,而不是一条永远查不到值的 center 假腿。
      * 缺席 = 无合规限制(core 契约),现存部署逐字零影响。
      */
     compliancePosture?: CompliancePosture;
     /**
-     * design/170 件C —— **管理员锁定层**的部署声明(core `RunnerDeps.lockedConfig.keys`)。
+     * [ref] 件C —— **管理员锁定层**的部署声明(core `RunnerDeps.lockedConfig.keys`)。
      * env `LOCKED_CONFIG_KEYS`(csv;词表 = core 的 `LOCKED_KEY_REGISTRY` 闭集,未知键 boot 拒 =
      * `config.locked_registry`「不解析的安全控件不得半开」)。
      *
@@ -886,17 +891,17 @@ export interface ServiceConfigFlat {
      */
     lockedConfigKeys?: readonly LockedKey[];
     /**
-     * design/170 件D —— **托管留存期**声明(core `RunnerDeps.retentionPolicy`)。env `RETENTION_MAX_AGE_DAYS`
+     * [ref] 件D —— **托管留存期**声明(core `RunnerDeps.retentionPolicy`)。env `RETENTION_MAX_AGE_DAYS`
      * (有限非负数;坏值 boot 拒 —— 删数据的旋钮不许 NaN 流通)。
      *
      * 🔴 语义边界(成文,别当成"数据会被删"):core **只**拿它做启动期能力校验(锁着 + 店未声明
      * `retention:"managed"` ⇒ 拒启),引擎自己在任务路径上从不删数据;真执行(调度/重试/副本协调/审计)
-     * 是部署侧的活,本仓**尚未**建(design/170 §5.2「server 半场四件皆新建」)。所以配了策略而没有任何
+     * 是部署侧的活,本仓**尚未**建([ref] §5.2「server 半场四件皆新建」)。所以配了策略而没有任何
      * managed 店时,启动会打一条 `retention_policy_not_executed` 的响亮 warn。
      */
     retentionPolicy?: RetentionPolicy;
     /**
-     * #270 车2 —— 托管留存 **sweep lane** 的两个旋钮(设计稿 `DESIGN-270-retention-lane.md` §3/§4)。
+     * [ref] 车2 —— 托管留存 **sweep lane** 的两个旋钮(设计稿 `DESIGN-270-retention-lane.md` §3/§4)。
      * `retentionPolicy` 说的是「保留多久」(一句声明),本格说的是「谁在什么节律上按那句话删」。
      * **恒在场**(不是可选块):两根都有文档化的缺省,而缺省本身是一条要能被读出来的姿态 ——
      * `{mode:"audit-only", intervalSec:0}` = 「lane 关着,真开起来也先只记账」。
@@ -909,14 +914,22 @@ export interface ServiceConfigFlat {
      *  CANNOT decide (a requester approving its own high-risk op would defeat the gate). **Empty/unset =
      *  legacy behavior** (the shared service token IS the operator boundary — back-compat). */
     operatorPrincipals: string[];
+    /**
+     * DESIGN-278 §5 S2([ref])—— `GET /v1/config/catalog`(配置目录自描述端点)的显式旋钮。
+     * 默认 **ON**(设计稿 §0.5:合规部署可关)。端点本身已是 operator-only(`explicitOperatorOk`,
+     * 空名单=谁都不是),本键给的是「即便 operator 也不许从 wire 读部署事实」的合规姿态:关 ⇒ 路径
+     * 不存在(404 族,与 memory-consolidation 阀门同判:旋钮没开 ≠ 能力缺失)、能力位 `configCatalog`
+     * 同步翻假。`CONFIG_CATALOG_ENABLED=false`。
+     */
+    configCatalogEnabled: boolean;
     /** Tool names that are always denied. */
     approvalDeny: string[];
-    /** design/45 durable-checkpoint (core 1.67): when true (+ a TiDB pool), F4 uses durable **suspend/resume**
+    /** [ref] durable-checkpoint (core 1.67): when true (+ a TiDB pool), F4 uses durable **suspend/resume**
      *  instead of poll-blocking — a gated tool `ask` suspends the task (status:"suspended" + checkpoint), an
-     *  operator resumes it on any replica. Default OFF([2354] A-5:轮询车道已退役,OFF+门意图 ⇒ core UNGATED
+     *  operator resumes it on any replica. Default OFF([ref] A-5:轮询车道已退役,OFF+门意图 ⇒ core UNGATED
      *  告警,不再有回退门形). `DURABLE_APPROVAL=true`. */
     durableApproval: boolean;
-    /** design/80 seam #2 (preemption) / design/74 ("失败≠没做完" third state): when true (+ durable mode), the
+    /** [ref] seam #2 (preemption) / [ref] ("失败≠没做完" third state): when true (+ durable mode), the
      *  /v1/runs durable path opts every task into core `resourceSuspend` — a budget/turns/walltime limit OR a
      *  scheduler preempt (`POST /v1/assistant/tasks/:id/preempt`) durably SUSPENDS the task (resumable via
      *  `POST /v1/assistant/tasks/:id/resume`) instead of FAILING. 🔴 PRECONDITION for `preemptSignal` to fire at
@@ -929,25 +942,25 @@ export interface ServiceConfigFlat {
      *  resume happens long before this; the deadline only reaps abandonment. `RESOURCE_SUSPEND_TTL_SEC`. */
     resourceSuspendTtlSec: number;
     /**
-     * [3833] 件 S-3 —— **跨片总额**:一条任务在整条 park→resume→再 park 链上允许烧掉的 token 总量。
+     * [ref] 件 S-3 —— **跨片总额**:一条任务在整条 park→resume→再 park 链上允许烧掉的 token 总量。
      * `RESOURCE_SUSPEND_TOTAL_TOKENS`,**0 / 缺省 = 不设**(维持现状)。
      *
      * 🔴 为什么这是一根独立的旋钮、而不是 `MAX_TASK_TOKENS` 的同义词:`limits.maxTokens` 是 core 的
      * **per-SLICE 窗**(core `types.d.ts` 逐字:"PER-SLICE windows, not whole-task totals"),而一次 resume
      * 会**重开满窗**。跨片总额是唯一能跨越 park 边界约束总量的轴 —— core 把它冻在 checkpoint 的
      * resource ledger 上,`remainingTokens(ledger)` 在 total 缺席时回 `undefined` = **无天花板**。
-     * [3833](plan_review approve 后一条 resume 腿烧 75 万 token 无产出)的三个叠加因子之一就是本值缺席。
+     * [ref](plan_review approve 后一条 resume 腿烧 75 万 token 无产出)的三个叠加因子之一就是本值缺席。
      *
      * 🔒 **冻结语义**:core 把它冻在 checkpoint 的 resource ledger 上("Set ONLY on the FIRST slice";
      * `debitLedger` 逐字 `prior ?? total`)⇒ 续跑腿重供**无效**,「一次 resume 刷新不了自己的额度」这条
      * 安全语义由 core 保证。本仓每片都供值是无害的(首片生效,其后被 prior 挡掉)。
      */
     resourceSuspendTotalTokens: number;
-    /** [3833] 件 S-3 —— 跨片总额的 **$ 轴**(`totalTokens` 的姊妹,语义与冻结形同上)。
+    /** [ref] 件 S-3 —— 跨片总额的 **$ 轴**(`totalTokens` 的姊妹,语义与冻结形同上)。
      *  `RESOURCE_SUSPEND_TOTAL_BUDGET_USD`,0 / 缺省 = 不设。可为小数(美元)。 */
     resourceSuspendTotalBudgetUsd: number;
     /**
-     * [3833] 件 S-3 —— 跨片 **片数**上限:整条 resume 链最多几片,超出 core 以 `"suspend.loop"` 收场。
+     * [ref] 件 S-3 —— 跨片 **片数**上限:整条 resume 链最多几片,超出 core 以 `"suspend.loop"` 收场。
      * `RESOURCE_SUSPEND_MAX_SLICES`,0 / 缺省 = 不设。
      *
      * 它是**零进展 slice 循环**的兜底(两条总额才是主约束),与重启环的 `maxSuspends` 是两个独立计数。
@@ -960,28 +973,28 @@ export interface ServiceConfigFlat {
      * 级旋钮本就该跟着当期部署走,但别把它误读成「冻在链上」。钉:test/resource-suspend.test.ts 的上游契约格。
      */
     resourceSuspendMaxSlices: number;
-    /** design/80 D-E (upgrade-budget): max NORMAL gated tool calls AUTO-APPROVED per run-leg before the rest
+    /** [ref] D-E (upgrade-budget): max NORMAL gated tool calls AUTO-APPROVED per run-leg before the rest
      *  escalate to a human — a circuit-breaker against a runaway/inflated approval loop (an AI stuck re-asking),
      *  NOT a cap on safety asks. 0 = OFF (every gated tool asks a human — unchanged, back-compat default). Clamped
      *  to ≤10000 (the hard ceiling). A Supervisor deployment sets this high to get "the AI auto-approves routine
      *  asks, the human only sees the rest". `APPROVAL_AUTO_BUDGET`. */
     approvalAutoBudget: number;
-    /** design/80 D-E (inv#2 — safety asks are never budgetable): gated tools that ALWAYS require a human even when
+    /** [ref] D-E (inv#2 — safety asks are never budgetable): gated tools that ALWAYS require a human even when
      *  the auto-budget is on — the "irreversible / never auto-approve" set. empty = the budget may auto-approve any
      *  required tool THIS layer sees. `APPROVAL_NEVER_AUTO`.
      *
-     *  🔴 **NOT the only human-gate under an auto-budget**(2026-08-10 修口,#205 件2)。这里原来写的是
+     *  🔴 **NOT the only human-gate under an auto-budget**(2026-08-10 修口,[ref] 件2)。这里原来写的是
      *  "(In-service every gated ask is gate.kind=\"human\", so this set is the ONLY way to keep an irreversible
      *  tool human-gated under an auto-budget.)" —— 两句都已过期,且过期方向是**高估本旋钮的责任**:
-     *   · design/80 D-2 起,带 egress / irreversibility 静态标记的工具铸的是 `irreversible_ask`,不是 `human`;
-     *   · core 5.24.0(#130/#131/#120)起,带 `requiresRealApproval` 的 ask 一律铸
+     *   · [ref] D-2 起,带 egress / irreversibility 静态标记的工具铸的是 `irreversible_ask`,不是 `human`;
+     *   · core 5.24.0([ref]/[ref]/[ref])起,带 `requiresRealApproval` 的 ask 一律铸
      *     `irreversible_ask` + `gate.realApproval:{origin}` + checkpoint v8 —— **不再铸可预算的 `human`**。
      *     而 `requiresRealApproval` 的生产者(`createTranscriptIntegrityPolicy` / `createUnverifiableDeletePolicy`)
      *     被 core 在 `prepare-task.js` 里**无条件**焊进每一条策略链,所以这条路径在**每一个**部署上都活着,
      *     不是 org 治理部署的专属面。
      *  ⇒ 本旋钮承担的是**本层**(`createDurableAskPolicy` 的 per-leg 计数预算)的 inv#2;安全类 ask 另有
      *  core 侧那两层守卫兜底,两层各自独立、不互为前提。消费侧钉:`test/durable-approval-policy.test.ts`
-     *  的「#205 件2」describe(含反向锚:普通调用仍走预算自动批)。
+     *  的「[ref] 件2」describe(含反向锚:普通调用仍走预算自动批)。
      *
      *  🔴 **NOT required to be a subset of `approvalRequire`**(2026-07-31 修口)。这里原来写的是
      *  "Subset of approvalRequire",而 `approval.ts` 的 inv#2 执行面逐字相反:
@@ -991,7 +1004,7 @@ export interface ServiceConfigFlat {
      *  「只配 APPROVAL_NEVER_AUTO」这一形被判成"零门意图" ⇒ 落进单用户 allow-all 基线 ⇒ 那张表
      *  从未进入任何 policy。判定现在单源在 `hasOperatorGateIntent()`(与 inv#2 同文件)。 */
     approvalNeverAuto: string[];
-    /** design/80 D-G (HMAC = integrity, not identity; ✅ WIRED — the "SCAFFOLD, not yet wired" note here was STALE,
+    /** [ref] D-G (HMAC = integrity, not identity; ✅ WIRED — the "SCAFFOLD, not yet wired" note here was STALE,
      *  corrected 2026-07-25: consumed by `verifyDirectDoorProof` → `verifyApprovalHmac`, reached from the live decide
      *  routes — the two `verifyDirectDoorProof(` call sites in `http/routes/approvals-assistant.ts`): the
      *  sema-registry-managed, ROTATING key-set used to verify an
@@ -1000,12 +1013,12 @@ export interface ServiceConfigFlat {
      *  accurate description of every stock deployment. sema-registry mints + rotates the set; the shape is
      *  provisional (ASK-CENTER-2026-06-17). */
     approvalHmacKeys: ApprovalHmacKey[];
-    /** design/80 D-G: open the DIRECT-connect /decide door (a CLI/desktop client without the BFF). When true, this
+    /** [ref] D-G: open the DIRECT-connect /decide door (a CLI/desktop client without the BFF). When true, this
      *  worker is in DIRECT MODE — it REQUIRES the crypto direct-door proof (signed principal JWT + HMAC envelope) and
      *  treats the trusted `x-agent-principal` header as UNTRUSTED (the BFF runs on a separate non-direct worker). Off
      *  (default) ⇒ the BFF trusted-header door is byte-identical. `DIRECT_APPROVAL_DOOR=true`. */
     directApprovalDoor: boolean;
-    /** design/80 D-G: the issuer's PUBLIC JWKS (non-secret, config-projected like operatorPrincipals) the worker
+    /** [ref] D-G: the issuer's PUBLIC JWKS (non-secret, config-projected like operatorPrincipals) the worker
      *  verifies a direct client's principal JWT against. Empty ⇒ no trust anchor ⇒ the direct door cannot open.
      *  `PRINCIPAL_JWT_PUBKEYS` (JSON [{kid,alg,key(PEM),status}]). */
     principalJwtPubkeys: PrincipalJwtKey[];
@@ -1017,16 +1030,16 @@ export interface ServiceConfigFlat {
     principalJwtMaxTtlSec: number;
     /** Computed: the direct door is truly active (all anchors present). Off ⇒ direct branch never runs. */
     directDoorActive: boolean;
-    /** design/80 b (item 3): the INFRA cost rates the service owns (the engine prices only LLM tokens), composed
+    /** [ref] b (item 3): the INFRA cost rates the service owns (the engine prices only LLM tokens), composed
      *  with core's costBreakdown for the supervisor cost surface. All default 0 (= not priced, like MODEL_COST_*).
      *  `INFRA_COST_TOOL_CALL` / `INFRA_COST_SANDBOX_SEC` / `INFRA_COST_EGRESS_GB` (micro-USD). */
     infraCostRates: InfraCostRates;
-    /** v2 leader endpoint (design/50): enable POST/GET /v1/leader. Requires an ISOLATED remote-exec backend —
+    /** v2 leader endpoint ([ref]): enable POST/GET /v1/leader. Requires an ISOLATED remote-exec backend —
      *  REMOTE_EXEC=e2b, OR REMOTE_EXEC=k8s (Kata pod-sandbox) WITH an S3/MinIO config for the workspace-durable
      *  snapshot/merge (main.ts:524) — + (deploy) git on the host + a durable remote with creds. Orthogonal to the
      *  D-G direct door (auth axis) — a worker can be direct-mode + kata + leader at once. Default OFF. `LEADER_ENABLED=true`. */
     leaderEnabled: boolean;
-    /** design/68 A6 (correctness-first knob): `LEADER_FANOUT_ENABLED=false` pins the leader router to the
+    /** [ref] A6 (correctness-first knob): `LEADER_FANOUT_ENABLED=false` pins the leader router to the
      *  deterministic single route (never fans out, zero router cost). Default true (router decides). */
     leaderFanoutEnabled: boolean;
     /** A value router (S1 verdict §6.3 cash-out, src/router/route-orchestration.ts): auto-decide per-task
@@ -1035,7 +1048,7 @@ export interface ServiceConfigFlat {
      *  mechanism dark; enable after a live validation (the router only ever TIGHTENS via tightenTaskSpec + honors
      *  caller-explicit modes, so enabling can't loosen any gate). */
     routerEnabled: boolean;
-    /** S8 LLM self-orchestration (design/98): mount core's `run_workflow` tool so a strong model can author a
+    /** S8 LLM self-orchestration ([ref]): mount core's `run_workflow` tool so a strong model can author a
      *  deterministic JS orchestration script, run under the HARDENED-vm sandbox (src/orchestration/hardened-vm-runner.ts).
      *  DEFAULT OFF (`SELF_ORCHESTRATION_ENABLED=true`). When off, core is FAIL-CLOSED (tool not mounted, prompt not
      *  injected) — zero impact. When on: the hard runner + a CONSERVATIVE governance baseline (workflow children are
@@ -1054,7 +1067,7 @@ export interface ServiceConfigFlat {
      *  (置了也只 boot warn 一次,行为零变——半配置 fail-loud)。⚠️ 非 postureOn:observer 是实验面,
      *  core ships dark,单用户 turnkey 也不默认开 —— 只认显式 "true"。合成序见 applyObserverEnvOptIn。 */
     experimentalObserverAgents: boolean;
-    /** S8 governance baseline: the model NAMES an LLM-authored workflow script may pick (design/98 §2.5). Empty ⇒
+    /** S8 governance baseline: the model NAMES an LLM-authored workflow script may pick ([ref] §2.5). Empty ⇒
      *  FAIL-CLOSED (the script cannot pick a model → spawned children use the workflow's default role). NEVER the
      *  whole catalog. `SELF_ORCHESTRATION_MODELS=a,b`. */
     selfOrchestrationModels: string[];
@@ -1069,7 +1082,7 @@ export interface ServiceConfigFlat {
      *  pinning). Either durable form means a background run's record SURVIVES a restart, which is what lets the
      *  at-least-once completion notify re-derive a run's terminal state after a crash. `memory` = the ephemeral
      *  `InMemoryWorkflowRunStore` (process-local; no crash recovery, no notify journal) — an explicit opt-out for
-     *  a single-instance/ephemeral deployment. (A-002.18: the old docblock claimed `file` was the default and
+     *  a single-instance/ephemeral deployment. ([ref]: the old docblock claimed `file` was the default and
      *  omitted `auto` entirely — a reader picking a backend off this comment would never learn the SQL twin
      *  exists.) `WORKFLOW_RUN_STORE=auto|file|memory`. Only consulted when SELF_ORCHESTRATION_ENABLED. */
     workflowRunStoreBackend: "auto" | "file" | "memory";
@@ -1084,9 +1097,9 @@ export interface ServiceConfigFlat {
      *  the TOC shell `SchedulerDaemon` reads the SAME store to fire due intents. DEFAULT OFF (the model self-scheduling
      *  is a power; multi-tenant deployments route scheduling to center, not this host daemon). `SCHEDULER_ENABLED=true`. */
     schedulerEnabled: boolean;
-    /** design/113 C4: host-lane project-memory injection (CLAUDE.md + git narrative). Default **ON** (subject to the
+    /** [ref] C4: host-lane project-memory injection (CLAUDE.md + git narrative). Default **ON** (subject to the
      *  host-lane + single-user gate), so "open like CC" works without config. `PROJECT_MEMORY_ENABLED=false` opts out.
-     *  design/158 B4 (lens4 N8): this was `projectMemoryDisabled` — the ONE negative boolean on a ServiceConfig whose
+     *  [ref] B4 (lens4 N8): this was `projectMemoryDisabled` — the ONE negative boolean on a ServiceConfig whose
      *  other 16 flags are positive `*Enabled`/`*Allowed`, so every read site had to invert twice. 🪦 server 3.0.0:
      *  the retired env name `PROJECT_MEMORY_DISABLED` is a **fail-loud tombstone** — setting it (any value) refuses
      *  boot with a message naming this knob; it is no longer read. */
@@ -1100,13 +1113,13 @@ export interface ServiceConfigFlat {
      *  中心让同步 boot 挂 ~5.7s(SYN 重传节奏,8s fetch 超时内)——本地 TOC 用户的「启动 5 秒」就是它。
      *  默认 1500;调大(≥8000)≈旧的全阻塞行为。`CONFIG_BOOT_FETCH_BUDGET_MS`。 */
     configBootFetchBudgetMs: number;
-    /** [1009]②/[1014]③ supportsSessionWakeup host-signal (core 1.309 ScheduleWakeup 治本位): the SHELL knows
+    /** [ref]②/[ref]③ supportsSessionWakeup host-signal (core 1.309 ScheduleWakeup 治本位): the SHELL knows
      *  whether a resident daemon exists to honor session wakeups — when it spawns a headless engine with none,
      *  it sets `SCHEDULER_SESSION_WAKEUP=false` and core's ScheduleWakeup refuses up front (fail-loud) instead
-     *  of parking a wakeup that would never fire (TB background-reap族 [991]②b). Default ON (the co-resident
+     *  of parking a wakeup that would never fire (TB background-reap族 [ref]②b). Default ON (the co-resident
      *  TOC daemon does honor its own sessions' wakeups); opt-out only — SCHEDULER_ENABLED 同门. */
     schedulerSessionWakeup: boolean;
-    /** [2425]/[2436] session-lifetime 同族 host-signal(5.6.0):headless 部署(spawn 时已知无常驻 daemon
+    /** [ref]/[ref] session-lifetime 同族 host-signal(5.6.0):headless 部署(spawn 时已知无常驻 daemon
      *  收割 session-lifetime 记录)设 `SCHEDULER_SESSION_LIFETIME=false` ⇒ capability 面
      *  `supportsSessionLifetime:false` ⇒ core 的 CronCreate 前门拒收 durable:false(fail-closed 于工具层),
      *  backend.schedule 第二道同拒——session 记录不落盘=孤儿不产生。Default ON(co-resident TOC daemon
@@ -1120,7 +1133,7 @@ export interface ServiceConfigFlat {
      *  handsReadOnly, read-only from start) is unaffected/independent. */
     planModeEnabled: boolean;
     /**
-     * [5118]⑥(core 5.56 `Hooks.timeoutMs` 座)—— **每一只 hook 席位单次调用的时间上限**(ms)。
+     * [ref]⑥(core 5.56 `Hooks.timeoutMs` 座)—— **每一只 hook 席位单次调用的时间上限**(ms)。
      * `HOOKS_TIMEOUT_MS`;**缺席 = 不铸键**,由 core 自默认(600s = CC 自己的数;server 不复制上游默认)。
      *
      * 🔴 `0` 是有效值(core 契约逐字:写下零的部署说了一件事 —— 每个席位立即到期),不是「未设」;
@@ -1141,43 +1154,53 @@ export interface ServiceConfigFlat {
      *  Running rows are never reaped (that is the orphan-grace sweep's job). Default 30 days, floor 1m.
      *  `WORKFLOW_RUN_RETENTION_MS`. */
     workflowRunRetentionMs: number;
-    /** design/166-T1 — core 5.8.0 部署级 token 治理窗(`RunnerDeps.usageWindows`):滑动窗内跨任务
-     *  token 预算,key=principal(缺席=GLOBAL 一口锅,per-key 各一份额度——混流部署语义见 USAGE.md)。
-     *  `USAGE_WINDOWS` 单键 JSON 数组(每项 {windowMs,maxTokens,anchor:"first-use"|"rolling"});
-     *  缺省未设=关(零行为变化)。fail-loud:坏 JSON/空数组/非正整数/未知 anchor → boot throw
-     *  (parseUsageWindows)。窗形变更≈重开账(first-use 桶按 windowMs 配对,老桶下次 charge 即弃)。 */
+    /** [ref]-T1 — core 5.8.0 部署级治理窗(`RunnerDeps.usageWindows`):滑动窗内跨任务预算,
+     *  key=principal(缺席=GLOBAL 一口锅,per-key 各一份额度——混流部署语义见 USAGE.md)。
+     *  `USAGE_WINDOWS` 单键 JSON 数组(每项 {windowMs, maxTokens?, maxCostUsd?, anchor});
+     *  缺省未设=关(零行为变化)。[ref](core 7.0.0):`maxCostUsd` 是与 maxTokens **对等**的第二只
+     *  ceiling(绝对美元;whichever fills first 即耗尽;缺席的 ceiling 不参与——非 0、非 ∞)——两者
+     *  each optional on its own、**at least one required**(双缺=parseUsageWindows 响亮拒)。fail-loud:
+     *  坏 JSON/空数组/坏值/未知 anchor → boot throw(parseUsageWindows)。窗形变更≈重开账(first-use
+     *  桶按 windowMs 配对,老桶下次 charge 即弃)。$ 窗要求 run 可计价:无价目模型撞 $ 窗=core 门口拒
+     *  (`config.usage_window_unpriced`),USAGE.md §9.2。 */
     usageWindows?: readonly {
         windowMs: number;
-        maxTokens: number;
+        maxTokens?: number;
+        maxCostUsd?: number;
         anchor: "first-use" | "rolling";
     }[];
-    /** core 1.364 durable background agents([1503] 提货单③):reaper 经 `TaskRegistry.reapDurableAgents`
+    /** core 1.364 durable background agents([ref] 提货单③):reaper 经 `TaskRegistry.reapDurableAgents`
      *  (联合 reap——条件删赢了才 release 转录 session;裸 store.reap 会 strand 转录)按 scope 清 TERMINAL
      *  `a*` 行,老于此值的删。SQL twins 走 DISTINCT-scope 枚举;local FileBackgroundAgentStore 单租户
-     *  scope="default"。Default 7 days, floor 1m。`BG_AGENT_RETENTION_MS`。 */
+     *  scope="default"。Default 7 days, floor 1m。`BG_AGENT_RETENTION_MS`。
+     *  🔴 [ref]([ref]②,设计判定 2026-08-30):这根旋钮**同时是子代转录(placed 分区)的生效留存视界**——
+     *  联合 reap 行赢删才 release 转录,分区孤儿腿 `olderThanMs` 同源(core `reapDurableAgentsLane` 亲核),
+     *  retention lane 对 placed 显式让权(retention-store-sql.ts 第五腿)。core 词表常量
+     *  `SUBAGENT_TRANSCRIPT_RETENTION_DAYS_DEFAULT`(30d)在 core dist 零消费,本服务未按它跑;天数形
+     *  专用旋钮无 core policy 座,候 core 扩座后再铸(生效值已投 wiring_static 日志)。 */
     backgroundAgentRetentionMs: number;
     /** 同批:stale-running 翻转窗——running 行的写者心跳(core 60s)断更超过此值 = 宿主进程死,行翻
      *  failed/stoppedBy=system(诚实终态,跨实例读面永不虚构存活)。core 契约要求 ≥10min(60s 心跳的
      *  安全裕度),**下限 10min 硬钳**。Default 15min。`BG_AGENT_STALE_RUNNING_MS`。 */
     backgroundAgentStaleRunningMs: number;
-    /** core 1.382(design/153,[1561] 提货单④)`TaskRegistry.reconcileParkedAgents` 的 stale-claim 清算窗
+    /** core 1.382([ref],[ref] 提货单④)`TaskRegistry.reconcileParkedAgents` 的 stale-claim 清算窗
      *  ——core 该整块逻辑被 `opts.staleClaimMaxAgeMs !== undefined` 门住,缺席 = **整块清算永不运行**
      *  (claim 后 claimer 进程崩死的行永久卡在"已 claim 不可再 claim"态,只能等 checkpoint TTL 自然过期;
      *  checkpoint 已 resolved 但 finalize 未落的行——人已做出的审批决定——同样不会被诚实翻 failed)。
-     *  cli 复查([1575] F1)抓获:server 侧此前调用漏传本项,清算臂结构性不可达。Default 1h(claim→drive→
+     *  cli 复查([ref] F1)抓获:server 侧此前调用漏传本项,清算臂结构性不可达。Default 1h(claim→drive→
      *  finalize 正常全链本应秒级完成,1h 是给"进程慢但仍在跑"的宽松裕度)。`BG_AGENT_PARK_CLAIM_STALE_MS`。 */
     backgroundAgentParkClaimStaleMs: number;
-    /** [1522] MED2:agent_roster 的 TTL 清理窗(core RB-23②③ 派给部署的半场——task-scoped 具名 spawn
+    /** [ref] MED2:agent_roster 的 TTL 清理窗(core [ref]②③ 派给部署的半场——task-scoped 具名 spawn
      *  每 run 一新行,无清理=线性无界)。按行的 recorded_at_ms(最后 upsert 触碰)删;SQL twins 扩展面,
      *  File/Memory 店 core 自带 maxAgeMs。Default 30 days, floor 1m。`ROSTER_RETENTION_MS`。 */
     rosterRetentionMs: number;
-    /** #193 车4 件1(codex R1-high②):`leader_run` 行停在 `running` 超过这个时长即被清算成 `failed`
+    /** [ref] 车4 件1(codex R1-high②):`leader_run` 行停在 `running` 超过这个时长即被清算成 `failed`
      *  并写清 WHY —— 驱动它的副本已经死了,没有任何东西在跑。**不是接管**(见 store 的
      *  `reapStaleRunning` 头注)。默认 26h(leader run 的文档上限 24h + 余量),下限 1m。
      *  Env: `LEADER_RUN_STALE_MS`。`LEADER_ENABLED=false` 的部署上这条腿根本不注册。 */
     leaderRunStaleMs: number;
     /** 修8(三路复审 absorb-2):periodic scratchpad sweep TTL — the reaper removes per-session scratchpad dirs
-     *  ([820]③ ensureScratchpadDir) whose mtime is older than this (env-facts.ts `sweepStaleScratchpads`; the E21
+     *  ([ref]③ ensureScratchpadDir) whose mtime is older than this (env-facts.ts `sweepStaleScratchpads`; the E21
      *  session-DELETE purge is the primary lifecycle, this sweep is the orphan backstop). Default 7 days, floor 1m
      *  when enabled; `SCRATCHPAD_SWEEP_TTL_MS=0`(or negative)disables the sweep entirely. */
     scratchpadSweepTtlMs: number;
@@ -1204,7 +1227,7 @@ export interface ServiceConfigFlat {
      *  documented core-side); the server only passes it through. `SENSITIVE_WRITE_PATTERNS` (comma-separated):
      *  explicitly set = FULL REPLACEMENT of the recommended set (not a merge); `off` or an empty value = disabled
      *  (empty array); unset = core's recommended set.
-     *  🔴 **施加点 = governance 层,无条件(#177 / [2951] issue #29;搬家前「composed into the fs-write gate fold
+     *  🔴 **施加点 = governance 层,无条件([ref] / [ref] issue #29;搬家前「composed into the fs-write gate fold
      *  on host-semantics lanes — task-settings.ts」的旧描述已作废)**:与 `AUTONOMY`/`MANUAL_MODE_SHELL_GATE`
      *  同拍,resolve-spec 预铸成一条纯 DENY policy 递给 `applyRuntimeGovernance`,**不看客户端 settings/
      *  permissionMode 的在场性、不看落在哪个模式臂、不看执行 lane**。旧家把它唯一的合成点挂在
@@ -1219,17 +1242,17 @@ export interface ServiceConfigFlat {
      *  ⚠️ 非法模式(不含任何路径段,如 `"/"`)在 boot 期 fail-loud(createResolveSpec 先编译一次)——
      *  **对存量部署是行为变更**:搬家前这种坏值只在 default/auto/acceptEdits 三臂上每请求炸,只跑
      *  headless 的部署带着坏值也能起服务;现在起不来(方向=运维当场看见,而不是每任务一条 500)。
-     *  ✅ 旧注写的「沙箱 lane 相对形有一格无人裁决(cwd 里的守卫段看不见)」自 core 5.19.0(#108)起
+     *  ✅ 旧注写的「沙箱 lane 相对形有一格无人裁决(cwd 里的守卫段看不见)」自 core 5.19.0([ref])起
      *  已收口:守卫按 `ToolCallRequest.cwd` 解析写目标,两条 lane 同得。剩余射程边界(引擎未盖戳的直接
      *  调用形)成文在 `deployment-governance.ts` 的 `RelativeTargetLexicalEnv` 类注。 */
     sensitiveWritePatterns: string[];
-    /** [1557]§四 opt-in (cli[1555]② finding, core[1556] suggested mechanism): the CC manual-family permission
+    /** [ref]§四 opt-in (cli[ref]② finding, core[ref] suggested mechanism): the CC manual-family permission
      *  modes (default/auto/acceptEdits) gate every fs WRITE hand tool (Write/Edit/NotebookEdit) but never touched
      *  Bash — a model can `echo -n '…' > file` straight past the write-approval card. `MANUAL_MODE_SHELL_GATE`
      *  opts a deployment into ALSO tightening `TaskSpec.shellGate` (core `bashReversibilityProbe` under
      *  `"classify"` asks on constructively-irreversible commands — shell redirects etc. — **plus** the boundary
      *  case in the 🔴 note below; it is not a "constructive-irreversibility only" filter).
-     *  🔴 **施加点 = governance 层,无条件(#153 / [2713] 分单②;搬家前的旧描述已作废)**:与 `AUTONOMY`
+     *  🔴 **施加点 = governance 层,无条件([ref] / [ref] 分单②;搬家前的旧描述已作废)**:与 `AUTONOMY`
      *  同拍在 `applyRuntimeGovernance`(runtime-governance.ts)里施加,**不看客户端 settings/permissionMode
      *  的在场性、不看落在哪个模式臂、不看执行 lane**。旧家挂在 task-settings 的 default/auto/acceptEdits 三臂
      *  + host-lane fs-write wiring 上,等于让一个部署级旋钮的生死由客户端表态决定(print/headless 腿不 stamp
@@ -1237,7 +1260,7 @@ export interface ServiceConfigFlat {
      *  rank 合成:与 autonomy 派生值取大(`ask`→`"always"` 压过 `"classify"`),对 base 只升不降。
      *  客户端 settings 折叠在其后、tighten-only,拿不掉这个值;SUP 路由姿态只会把它抬到 `"always"`。
      *  🔴 **语义随 core 版本演进(2026-07-31 核)**:`"classify"` 下「纯读自动放行」这句自 core 2.7.0 起
-     *  **不再无条件成立** —— RB-412 给 classifier 加了 root 边界扫描,core 内部自铸 boundary
+     *  **不再无条件成立** —— [ref] 给 classifier 加了 root 边界扫描,core 内部自铸 boundary
      *  (`prepare-task.ts` 的 `shellReadBoundary`:roots=任务 root+additionalRoots+additionalReadRoots,
      *  cwd=活 handsCwd),
      *  **读到 roots 之外的路径同样会 ask**(server 侧零接线即得:我们只传 shellGate,边界是 core 自算的)。
@@ -1247,7 +1270,7 @@ export interface ServiceConfigFlat {
      *  other value (incl. `"off"`) is treated as unset — this knob has no "off" value to opt BACK OUT with once a
      *  session's baseline already tightened elsewhere (tightenTaskSpec would reject that as a loosen anyway). */
     manualModeShellGate?: "always" | "classify";
-    /** [803]④ defer face (EXPERIMENTAL, default OFF): mark the default scenario's LONG-TAIL first-party tools
+    /** [ref]④ defer face (EXPERIMENTAL, default OFF): mark the default scenario's LONG-TAIL first-party tools
      *  (today = SelectEnvironment only) `defer:true` (core tool-disclosure: the model sees a placeholder until it
      *  ToolSearch-loads the schema). Assessment says the win is marginal for us (spec.tools total ≈4.2k tokens, of
      *  which Agent + the Task quartet ≈3.2k are CC-core posture = must stay inline; the deferrable tail is
@@ -1255,7 +1278,7 @@ export interface ServiceConfigFlat {
      *  hiding it behind ToolSearch suppresses exactly the spontaneous use it exists for). MCP tools are ALWAYS
      *  auto-deferred by core regardless of this flag. `TOOL_DEFER_LONGTAIL=true` opts in. */
     toolDeferLongtail: boolean;
-    /** LSP code-intelligence tool (design/64 §13.1): mount core's `lsp` tool, routed to an E2B LSP sidecar. Requires
+    /** LSP code-intelligence tool ([ref] §13.1): mount core's `lsp` tool, routed to an E2B LSP sidecar. Requires
      *  REMOTE_EXEC=e2b. Default OFF (the on-the-fly language-server install is heavy until an E2B template bakes it).
      *  `LSP_ENABLED=true`. */
     lspEnabled: boolean;
@@ -1264,7 +1287,7 @@ export interface ServiceConfigFlat {
      *  server binary on PATH, and it DEGRADES gracefully (ENOENT → grep/read) + spawns lazily/cached, so it is DEFAULT
      *  ON for the host lane (CC-parity); set `LSP_HOST_ENABLED=false` to opt out. (`REMOTE_EXEC=host` only — ssh/adb/
      *  local-docker can't reach a local child process to the right filesystem.)
-     *  design/158 B4 (lens4 N7): this lane used to share `LSP_ENABLED` with `lspEnabled` above — one env name driving
+     *  [ref] B4 (lens4 N7): this lane used to share `LSP_ENABLED` with `lspEnabled` above — one env name driving
      *  two OPPOSITE defaults. It now has its own knob. 🪦 server 3.0.0: `LSP_ENABLED=false` (the pre-split host
      *  opt-out) is a **fail-loud tombstone** — it refuses boot naming `LSP_HOST_ENABLED`; `LSP_ENABLED=true` keeps
      *  its own meaning (the sandbox lane's opt-in above) and is unaffected. */
@@ -1275,7 +1298,7 @@ export interface ServiceConfigFlat {
      *  10s hard-cut would kill long turns); floor 10s. Env: DRAIN_GRACE_MS. SIGINT (Ctrl-C dev
      *  ergonomics) and a SECOND SIGTERM skip the drain and hard-stop immediately. */
     drainGraceMs: number;
-    /** B3 (shell [771]②): SIGHUP idle window. SIGHUP means "the process-group owner's terminal went away" — but
+    /** B3 (shell [ref]②): SIGHUP idle window. SIGHUP means "the process-group owner's terminal went away" — but
      *  under the shared-engine shape (several shell sessions on one config, engine rides the FIRST shell's process
      *  group per the T11 anti-orphan call) other live sessions may still be using this engine, so an unconditional
      *  drain kills a peer mid-turn (499) and 503s new submits. Instead SIGHUP arms an idle watch: shut down only
@@ -1284,7 +1307,7 @@ export interface ServiceConfigFlat {
      *  T11 stands, just bounded instead of immediate. A SECOND SIGHUP (or SIGTERM) escalates to the normal drain
      *  path. Default 120s, floor 5s. Env: SIGHUP_IDLE_GRACE_MS. */
     sighupIdleGraceMs: number;
-    /** #219(黑板 [3617]):引擎 **parent 监视**。壳自 spawn 引擎的同机形里,壳被 SIGKILL(崩溃/强杀,
+    /** [ref](黑板 [ref]):引擎 **parent 监视**。壳自 spawn 引擎的同机形里,壳被 SIGKILL(崩溃/强杀,
      *  没有任何清理钩子)后引擎被 reparent 到 init 而**继续活着** —— 孤儿引擎占端口、占库连接、占模型
      *  配额,而且再没有人会给它发 SIGTERM(T11 的进程组腿只覆盖信号送得到的形)。设了本键 = 引擎每 15s
      *  用 `process.kill(pid, 0)` 探一拍这个 pid,**连续两拍** ESRCH(父不在)才判死;判死后走与 SIGTERM
@@ -1295,7 +1318,7 @@ export interface ServiceConfigFlat {
      *  已知残余(成文,不收窄):两拍窗口内 pid 被系统复用 ⇒ 探活看到的是**新**进程,监视判"父还活着"
      *  而不自退。监视是**尽力自愈**、不是强一致的父子生命周期绑定。 Env: `SEMA_PARENT_PID`。 */
     parentPid?: number;
-    /** #118(黑板 [5371]②):引擎**附着租约自退**总开关。壳自 spawn 引擎的本机形里,壳退出之后引擎
+    /** [ref](黑板 [ref]②):引擎**附着租约自退**总开关。壳自 spawn 引擎的本机形里,壳退出之后引擎
      *  继续活着 = 占端口/占库连接/占模型配额的孤儿。设了本键 = 引擎每 15s 自查一次「还有没有人附着」,
      *  **三合取**(无附着 SSE 流 ∧ 无在飞 run ∧ 无非探针 HTTP 触点)**持续**满 {@link engineLingerMs}
      *  才自退,且自退走的是与 SIGTERM **逐字同一条** graceful drain 腿(不是裸 `process.exit`)。
@@ -1304,11 +1327,11 @@ export interface ServiceConfigFlat {
      *  与 {@link parentPid} 是**两件**:那条问「生我的 pid 还在吗」(多壳共享一引擎时结构性问错),
      *  这条问「还有没有人附着」。两条可同时装,各走各的判据。 Env: `ENGINE_AUTO_EXIT`(默认 off)。 */
     engineAutoExit: boolean;
-    /** #118:自退前三合取必须**持续**成立的静默窗。默认 60s —— 防的是**壳重启窗**:壳崩了/重启的 1-3s
+    /** [ref]:自退前三合取必须**持续**成立的静默窗。默认 60s —— 防的是**壳重启窗**:壳崩了/重启的 1-3s
      *  里附着数确实是 0,窗太短就在用户眼皮底下把引擎杀了,窗内任何一次重连即把计时清零。
      *  {@link engineAutoExit} 关着时本值不生效,但**照样解析、坏值照样拒启**(部署级旋钮的解析不挂在
      *  另一个旋钮的表态上 —— 否则手滑值躺在配置里,等哪天有人打开自退时当场生效且从没人报过警)。
-     *  **坏值拒启**(#210 A 档):非安全整数 / 落在 `[1000, 86400000]`(1s…24h)之外一律 boot 期 throw
+     *  **坏值拒启**([ref] A 档):非安全整数 / 落在 `[1000, 86400000]`(1s…24h)之外一律 boot 期 throw
      *  带指路 —— 「把 60(秒)填进一个毫秒键」是这类旋钮最常见的手滑,而 60ms 的 linger 等于把整条防误杀
      *  腿静默摘掉;上界那一侧同样承重(codex R1-F2):`1e100` 能过朴素的「正整数吗」检查,而 elapsed
      *  **永远追不上它** ⇒ 看着配好了、自退其实整件失效。要「永不自退」请用 `ENGINE_AUTO_EXIT=false`。
@@ -1329,26 +1352,26 @@ export interface ServiceConfigFlat {
      *  stream (the durable-suspend leg is wired separately). A CC cap → posture-gated (single-user turnkey →
      *  ON; multi-tenant opt-in); `ASK_QUESTION_ENABLED=true/false` overrides. */
     askQuestionEnabled: boolean;
-    /** #166 裁2:AskUserQuestion 的**裁量窗**——每 run 腿的并发帽 / 总量帽 / 无人应答的释放窗。窗用尽或到期
+    /** [ref] 裁2:AskUserQuestion 的**裁量窗**——每 run 腿的并发帽 / 总量帽 / 无人应答的释放窗。窗用尽或到期
      *  不是拒绝、也不是替人作答:协调器报 `unavailable`,落点(durable park / 非 durable 合成续跑)归 core。
      *  `QUESTION_MAX_CONCURRENT_PER_RUN`(默认 2)/ `QUESTION_MAX_TOTAL_PER_RUN`(20)/ `QUESTION_TTL_MS`
      *  (300000),越界值启动期响亮拒(照 `MCP_ELICITATION_*` 同门,不静默夹取)。缺席 ⇒ 协调器出厂窗
      *  {@link import("./question.js").DEFAULT_QUESTION_THROTTLE}(与本旋钮族默认逐字同值)。 */
     questionThrottle?: QuestionThrottle;
-    /** [816]/[820]② live tool-approval HITL — mount the ToolApprovalCoordinator on `RunnerDeps.onAsk` + the
+    /** [ref]/[ref]② live tool-approval HITL — mount the ToolApprovalCoordinator on `RunnerDeps.onAsk` + the
      *  `POST /v1/tool-approvals/:id/respond` route so a policy `ask` (the fs-write gate, ask-lists, non-durable safety
      *  asks) routes to the live human as the CC three-choice card on the run's stream (core 1.290 sync-ask leg). A CC
      *  cap → posture-gated like askQuestion (single-user turnkey → ON; multi-tenant opt-in);
-     *  `TOOL_APPROVAL_ENABLED=true/false` overrides. Absent ⇒ core's headless auto-deny stands ([819]⑤ fail-closed). */
+     *  `TOOL_APPROVAL_ENABLED=true/false` overrides. Absent ⇒ core's headless auto-deny stands ([ref]⑤ fail-closed). */
     toolApprovalEnabled: boolean;
     /**
-     * #154 车二(core design/179 持久化权限规则「不再询问」车道)**总开关**。`PERMISSION_RULES_ENABLED`,
-     * **#203 起默认 ON**(clay [3396] 裁)。
+     * [ref] 车二(core [ref] 持久化权限规则「不再询问」车道)**总开关**。`PERMISSION_RULES_ENABLED`,
+     * **[ref] 起默认 ON**(clay [ref] 裁)。
      *
      * 🔴 它曾经默认 OFF,而那个默认有**唯一**一条理由(codex 车二 round7 [high] 一):这条车道**只会加
      * 放行、不会减**,而车二**没有撤销面**——列出 / 删除自己已存规则的口子没建,core 的
      * `removePersistedRule` 在包里但本仓零调用点。一次误导入的全局规则因此会一直生效,租户自己拿它没
-     * 办法,只能找运维改库。#203 交付的正是那条撤销面本身(`GET /v1/rules` + `DELETE /v1/rules`,后者
+     * 办法,只能找运维改库。[ref] 交付的正是那条撤销面本身(`GET /v1/rules` + `DELETE /v1/rules`,后者
      * 恒经 `removePersistedRule` 产墓碑)加上 operator 的超范围回收腿 ⇒ **前置条件兑现,默认翻转**。
      * 记这段史不是怀旧:哪天有人想把某条「只加放行」的车道默认打开,判据就是这一条 —— 收得回来才敢开。
      *
@@ -1364,15 +1387,15 @@ export interface ServiceConfigFlat {
     /** 运维是否**显式**设过 `PERMISSION_RULES_ENABLED`(取值之外的一位,同 {@link dbBackendExplicit} 的
      *  姿势)。唯一消费者 = boot 期休眠行审计:对显式表过态的部署说「N 只桶随默认 ON 激活」是假话。 */
     permissionRulesEnabledExplicit: boolean;
-    /** #151 车2(design/172 §3.3 D3,窗长三元的安全余量):`ToolApprovalCoordinator` 的可选 `windowMarginMs`
+    /** [ref] 车2([ref] §3.3 D3,窗长三元的安全余量):`ToolApprovalCoordinator` 的可选 `windowMarginMs`
      *  构造项——有效窗 = `min(ttlMs, legRemainingMs − 本值)`,余量不足 ⇒ 不开窗直接走窗到期同路(park）。
      *  仅在装配点把 `ToolApprovalRunContext.legDeadlineMonotonic` 传给协调器(车3 的活)时才实际生效——本
      *  旋钮本身缺省对现行为零影响(D1)。`STREAM_ASK_WINDOW_MARGIN_MS`,默认 10000(10s）。ttl 概念沿用既有
      *  `approvalTimeoutSec` 族,本旋钮不新增第二个 TTL 概念。 */
     streamAskWindowMarginMs: number;
-    /** #151 车3(design/172 流内审批协议)总开关 + 四个从属旋钮。
+    /** [ref] 车3([ref] 流内审批协议)总开关 + 四个从属旋钮。
      *
-     *  **现行默认(clay 裁 2026-08-08 走 (a),#164 翻真验证后)**:`STREAM_APPROVAL_ENABLED` 默认 **true**
+     *  **现行默认(clay 裁 2026-08-08 走 (a),[ref] 翻真验证后)**:`STREAM_APPROVAL_ENABLED` 默认 **true**
      *  = 协议整体默认 **ON**;`STREAM_ASK_WINDOW_MS` 默认 **300000**(5min,与 sync 腿既有活卡窗、与
      *  `DEFAULT_APPROVAL_TTL_MS` 对齐——「开协议」不再顺带把窗砍短)。⚠️ 版本坐标:翻转**已在树上生效**,
      *  发布线上落在 7.4.0 之后的下一个发布,所以一台自报 7.4.0 的**已发布** worker 仍是 OFF,别只按
@@ -1397,20 +1420,20 @@ export interface ServiceConfigFlat {
      *  `STREAM_APPROVAL_ADHOC_GRACE_MS` / `STREAM_APPROVAL_ORPHAN_TTL_MS`(后四键 = 车5 收敛器)。 */
     streamApproval: StreamApprovalConfig;
     /**
-     * #280 R-13 C(`UNATTENDED_APPROVAL_POLICY`;裁定 [4297]Q1「裁2:A+C」/[4338] 裁②)——一只治理 ask
+     * [ref] R-13 C(`UNATTENDED_APPROVAL_POLICY`;裁定 [ref]Q1「裁2:A+C」/[ref] 裁②)——一只治理 ask
      * 到了而**没有任何人**能答时,这条部署要什么终局。闭集 `park`(缺省)/ `deny`,**坏值 boot 拒启**
-     * (#210 A 档:一个拼错的词若被当成「未设」静默回缺省,运维会以为自己关掉了 park 积压而实际没有)。
+     * ([ref] A 档:一个拼错的词若被当成「未设」静默回缺省,运维会以为自己关掉了 park 积压而实际没有)。
      *
      * **谁需要**:auto / headless / 无人值守部署(夜间批处理、CI 里的 agent、没有任何人盯屏的 worker)。
      * 它们的 park 是死信:run 挂起候一个永远不会来的人,占着 checkpoint 与配额直到 TTL。
      * **谁被伤**:配了 `deny` 却其实有人的部署 —— 那些本可以补批的操作变成当场拒绝。补偿 = 这是**显式**
      * 一句声明,缺省永远是 `park`;改回来只需删掉这一行 env。
-     * **不看任何客户端表态**(纯部署级;memory: operator-knob-must-be-unconditional —— #153 shellGate 让
+     * **不看任何客户端表态**(纯部署级;memory: operator-knob-must-be-unconditional —— [ref] shellGate 让
      * 一个部署级旋钮的生死由客户端 posture 决定,同病犯过两次)。
      *
      * 施加点 = `ToolApprovalCoordinator` 的构造参 `unattendedPolicy` **一处**,五条「无人可答」的臂读同一
      * 个值(设计稿 §1 的表:(a) 有店窗到期赢 CAS /(b) 无店窗到期 /(c) 店报错 catch /(d) windowZero 与
-     * headless 腿 /(e) 断连强转 + emit 全灭 + 写侧准入超限 + **投递集合入口活性过滤清空**(A-054.17 归
+     * headless 腿 /(e) 断连强转 + emit 全灭 + 写侧准入超限 + **投递集合入口活性过滤清空**([ref] 归
      * 位:与「查无活流」同一件事实的两个时刻,详见 `askBroadcast` 的该臂注))。`"timeout"` 宿主自报只留在 (b)(c) ——
      * 结束等待的确实是本仓的窗;其余三臂结束等待的是容量/连接/装配,自报恒缺席。
      *
@@ -1435,9 +1458,9 @@ export interface ServiceConfigFlat {
      *    自行收敛成 DENIED/VOID,不会凭空生出 park;残余 = 那类行的归因记成 `routing_failure`。
      */
     unattendedApprovalPolicy: UnattendedApprovalPolicy;
-    /** [824]① (clay A 案 = workflow 权限全面 CC parity): workflow 子 agent 的默认权限基线与主 LLM 同权(base `{}`)。
-     *  安全论证:主 LLM 与子 agent 同 root 同信任域,主 LLM 本就能写这棵树([816] ask 门照管),单独钳子 agent 的
-     *  安全增益≈0(只防绕路不防直路的门不是边界);实测产品代价=[814]A 死锁。`WORKFLOW_AGENTS_READONLY=true` =
+    /** [ref]① (clay A 案 = workflow 权限全面 CC parity): workflow 子 agent 的默认权限基线与主 LLM 同权(base `{}`)。
+     *  安全论证:主 LLM 与子 agent 同 root 同信任域,主 LLM 本就能写这棵树([ref] ask 门照管),单独钳子 agent 的
+     *  安全增益≈0(只防绕路不防直路的门不是边界);实测产品代价=[ref]A 死锁。`WORKFLOW_AGENTS_READONLY=true` =
      *  TOB 保守部署的可选旋钮:workflow 子 agent 基线加 handsReadOnly(1.190 前的旧默认)。默认 off。 */
     workflowAgentsReadOnly: boolean;
     /** Sandbox-image-pool BAKE job API (IMAGE-API-DESIGN.md §P2): enable /v1/images/bakes* (operator-submit + the
@@ -1450,22 +1473,22 @@ export interface ServiceConfigFlat {
     /** Task Trace API (S1): persist the agent's reasoning/thinking into the durable run event log (for the CC-style
      *  trace UI). Default ON; `TRACE_THINKING=false` disables capture for sensitive deployments. Redacted on persist. */
     traceThinking: boolean;
-    /** #246(core 5.30.0 readFace 部署座席):READ 容纳面。缺席=不铸(core 引擎默认 roots,server 不写死
+    /** [ref](core 5.30.0 readFace 部署座席):READ 容纳面。缺席=不铸(core 引擎默认 roots,server 不写死
      *  上游默认);显式坏词启动期响亮拒。只影响读面,写面永不受它管(core 契约)。 */
     readFace?: "open" | "roots";
-    /** #246:部署级 READ deny 追加表(additive-only,core 内建表永不可缩)。env=JSON 数组
+    /** [ref]:部署级 READ deny 追加表(additive-only,core 内建表永不可缩)。env=JSON 数组
      *  [{pattern, caseSensitive?}],boot 时用 core `compileReadDeny` 预验——坏形拒启。缺席=不铸。 */
     readDenyPatterns?: {
         pattern: string;
         caseSensitive: boolean;
     }[];
-    /** #253 件 G5(core 5.33.0 #245,clay 裁定件):**内建** deny 表的档位选择(闭集四档:credentials /
+    /** [ref] 件 G5(core 5.33.0 [ref],clay 裁定件):**内建** deny 表的档位选择(闭集四档:credentials /
      *  shell-history / browser / wallet)。`READ_DENY_BUILTIN_TIERS`=逗号分隔;`none`=显式空姿态(core 的
      *  `[]`:一档内建都不要);坏档名 / 空串**启动期响亮拒**(校验用 core 自己的 `resolveReadDenyBuiltins`)。
      *  缺席=不铸 ⇒ core 自默认(除 shell-history 外全开)。**仅 deployment 席**:TaskSpec 上没有同名键,
      *  任务/受治脚本无法据此放宽自己的部署(core 侧的设计,与本仓「部署级旋钮无条件施加」同向)。 */
     readDenyBuiltinTiers?: readonly string[];
-    /** #253 件 G5:按**行名**(内建表的 canonical pattern)删内建条目,在档位选择**之后**生效。
+    /** [ref] 件 G5:按**行名**(内建表的 canonical pattern)删内建条目,在档位选择**之后**生效。
      *  `READ_DENY_BUILTIN_EXCLUDE`=逗号分隔;不在表里的行名 / 空串**启动期响亮拒**。
      *  🔴 不变量(判据帖 G5b):删内建**绝不**削弱任务自己显式声明的 deny —— 那是另一层(additions)。 */
     readDenyBuiltinExclude?: readonly string[];
@@ -1579,11 +1602,11 @@ export type ServiceApprovalConfig = Pick<ServiceConfigFlat, "approvalRequire" |
 export type ServiceMemoryConfig = Pick<ServiceConfigFlat, "memoryEngineEnabled" | "memoryEngineDir" | "memoryEngineRemoteLaneAllowed" | "memoryEngineBackend" | "memoryScope" | "memoryPersistenceCapable" | "memorySync" | "memoryEmbedder" | "memoryOrgAdmissionMode" | "memoryDelegationEvidence" | "memoryProvenance" | "memoryCapturePolicy" | "memoryConsolidationDriver" | "memoryOrgDirectoryJson" | "memoryOrgGrantTtlMs" | "memoryOrgUnavailableBackoffMs" | "projectMemoryEnabled" | "syncImportLeaseStaleSec">;
 /** 组:auth(鉴权 / 身份 / 治理棒)。`commandPolicy` 只有 sema-registry 腿(无 env 标量形),故 env 解析
  *  函数不产出它,但它与 `autonomy` 是同一根治理棒的两半,归本组。
- *  design/170 的三件部署治理声明(`compliancePosture`/`lockedConfigKeys`/`retentionPolicy`)同归本组:
+ *  [ref] 的三件部署治理声明(`compliancePosture`/`lockedConfigKeys`/`retentionPolicy`)同归本组:
  *  三者都是 operator 在配置面写下的**治理声明**(与 autonomy/commandPolicy 同族),不是存储旋钮
  *  ——`retentionPolicy` 尤其容易被误归 store 组:它的消费点是 core 的启动期能力校验与将来的调度面,
  *  config 这一层它只是一句声明。 */
-export type ServiceAuthConfig = Pick<ServiceConfigFlat, "authToken" | "authTokens" | "allowUnauthedWrites" | "corsOrigins" | "principalHeader" | "requirePrincipal" | "autonomy" | "commandPolicy" | "compliancePosture" | "lockedConfigKeys" | "retentionPolicy" | "retentionSweep" | "operatorPrincipals" | "principalJwtPubkeys" | "principalJwtIss" | "principalJwtAud" | "principalJwtMaxTtlSec" | "bindHost" | "bindHostSource">;
+export type ServiceAuthConfig = Pick<ServiceConfigFlat, "authToken" | "authTokens" | "allowUnauthedWrites" | "corsOrigins" | "principalHeader" | "requirePrincipal" | "autonomy" | "commandPolicy" | "compliancePosture" | "lockedConfigKeys" | "configCatalogEnabled" | "retentionPolicy" | "retentionSweep" | "operatorPrincipals" | "principalJwtPubkeys" | "principalJwtIss" | "principalJwtAud" | "principalJwtMaxTtlSec" | "bindHost" | "bindHostSource">;
 /** 组:orchestration(编排 + 执行车道 + 沙箱面 + workflow/后台 agent 存留)。 */
 export type ServiceOrchestrationConfig = Pick<ServiceConfigFlat, "remoteExec" | "worktreeIsolation" | "leaderEnabled" | "leaderFanoutEnabled" | "routerEnabled" | "selfOrchestrationEnabled" | "selfOrchestrationModels" | "selfOrchestrationWorkerIsolation" | "forkEnabled" | "experimentalObserverAgents" | "schedulerEnabled" | "schedulerSessionWakeup" | "schedulerSessionLifetime" | "schedulerStorePath" | "planModeEnabled" | "hooksTimeoutMs" | "workflowRunStoreBackend" | "workflowOrphanGraceMs" | "workflowJournalRetentionMs" | "workflowRunRetentionMs" | "usageWindows" | "workflowAgentsReadOnly" | "workflowSizeGuideline" | "backgroundAgentRetentionMs" | "backgroundAgentStaleRunningMs" | "backgroundAgentParkClaimStaleMs" | "delegationEntryCaps" | "rosterRetentionMs" | "leaderRunStaleMs" | "scratchpadSweepTtlMs" | "sandboxPkgSource" | "sessionAutoTitle" | "selectEnvironmentTool" | "envFactsEnabled" | "toolDeferLongtail" | "lspEnabled" | "lspHostEnabled" | "imageBakes" | "readFace" | "readDenyPatterns" | "readDenyBuiltinTiers" | "readDenyBuiltinExclude">;
 /** 组:limitsHttp(HTTP 面 + 各类上限/配额/回收窗)。 */