@sema-agent/server 7.82.0 → 7.83.0

package/dist/plugins/tool-result-store-sql.js

@@ -2,6 +2,7 @@ import { MAX_MINTED_TOOL_RESULT_REF_CHARS, assertSafeToolResultRef, assertToolRe
 import { pgSanitizeText } from "./pg-safe-json.js";
 import { mysqlDriver, pgDriver } from "./sql-driver.js";
 import { MANAGED_RETENTION } from "./retention-store-sql.js";
+import { ensureIndexes } from "./ensure-index.js";
 export const PG_TOOL_RESULT_SCHEMA = [
     `CREATE TABLE IF NOT EXISTS tool_result (
      ref              VARCHAR(518) COLLATE "C" NOT NULL,
@@ -11,11 +12,14 @@ export const PG_TOOL_RESULT_SCHEMA = [
      created_at       TIMESTAMPTZ(3) NOT NULL,
      PRIMARY KEY (ref)
    )`,
-    `CREATE INDEX IF NOT EXISTS idx_tool_result_created ON tool_result (created_at)`,
+];
+export const TOOL_RESULT_INDEXES = [
+    { table: "tool_result", name: "idx_tool_result_created", columns: ["created_at"] },
 ];
 export async function ensureSchema(pool) {
     for (const stmt of PG_TOOL_RESULT_SCHEMA)
         await pool.query(stmt);
+    await ensureIndexes((t, p) => pool.query(t, p), "pg", TOOL_RESULT_INDEXES);
 }
 export async function assertToolResultProvenanceSchema(query, dialect) {
     const widthRow = await query(dialect === "tidb"

package/dist/plugins/web-search.d.ts

@@ -52,8 +52,56 @@
  *    验证搜索配对不对。挂哪儿(boot 期一次性 warn / `/health` 子字段 / 显式端点)未定 ——
  *    注意 boot 期探活会给每次启动加一次出网,多租/离线部署要能关。
  */
-/** Search providers this backend speaks. Absent `WEB_SEARCH_PROVIDER` ⇒ no backend ⇒ WebSearch is not assembled. */
-export type WebSearchProvider = "brave" | "tavily" | "searxng";
+/**
+ * Search providers this backend speaks —— **词表的唯一属主**(运行期与类型同一份)。
+ * Absent `WEB_SEARCH_PROVIDER` ⇒ no backend ⇒ WebSearch is not assembled.
+ *
+ * 🔴 **为什么是常量元组而不是裸 union**(车GW 对抗复审 F1[medium],2026-09-17):改前这张表在仓里有**四份**
+ * —— 类型一份 + 两只解析器各一条 `provider !== "brave" && …` 后置链 + `config-catalog` 的
+ * `enumValues: [...]` 字面量(那个字段是 `readonly string[]`,与本类型零类型联系)。加一只后端时 tsc
+ * **只红** `createWebSearchBackend` 的 switch:守卫链把 provider 收窄成旧三词,而旧三词是新 union 的
+ * 子集 ⇒ 赋值合法 ⇒ 改完 switch 全绿发版,`WEB_SEARCH_PROVIDER=<新词>` 却被判 undefined、能力位
+ * (`projectWebSearchCapability`)诚实报 `"none"`,运维以为自己配上了。收成一只元组之后:类型从它派生、
+ * 两只解析器读它、目录行**就用它本人**(身份相等有钉),规则集从四张表降到一张。
+ */
+export declare const WEB_SEARCH_PROVIDERS: readonly ["brave", "tavily", "searxng"];
+export type WebSearchProvider = (typeof WEB_SEARCH_PROVIDERS)[number];
+/**
+ * S-382:`GET /v1/capabilities` 的 `webSearch` 位 —— **部署默认后端**的闭集自述。
+ *
+ * ## 病
+ * 「这台 worker 的搜索走哪只后端」此前只在 operator 面可知(`GET /v1/config/catalog` 的
+ * `WEB_SEARCH_PROVIDER` 行)。消费端(cli doctor / client-core 的能力投影)要答「本部署有没有搜索、
+ * 是哪一只」,只能让用户跑一个真任务去撞 —— 而搜索缺席时工具**根本不装配**(`capabilities/scenarios.ts`
+ * 的 `assembleCodeTools({ webSearch })`),模型只会说「我没有这个工具」,那句话在 UX 上与「后端配错了」
+ * 不可区分。
+ *
+ * ## 形
+ * `{ backend: "brave" | "tavily" | "searxng" | "none" }`。三条纪律逐条写明:
+ * ① **词源单点** —— 闭集是 {@link WebSearchProvider} **取型** ∪ `"none"`,而该类型又派生自
+ *    {@link WEB_SEARCH_PROVIDERS}(全仓**唯一**一张 provider 词表:两只解析器读它、`config-catalog` 的
+ *    `enumValues` **就用它本人**〔身份相等有钉〕)。加一只后端 = 改那只元组一处,这一位自动跟着长;
+ *    没跟上的地方只剩 `createWebSearchBackend` 的穷尽 `switch`,而那一处是**编译红**。
+ * ② **只出词,不出内情** —— 端点(SearXNG 实例 URL)、API key、配额一个字都不上这条 wire:本面在
+ *    service-credential 门之后但**非 operator 专属**,任何拿得到凭据的调用方都读得到它。
+ * ③ **广告的是部署默认** —— 每请求的 `body.settings.webSearch`(单用户车道上**压过**部署座,见
+ *    `capabilities/scenarios.ts` 的 default 场景)**刻意不在这一面回显**:那是请求方自己送进来的东西,
+ *    把它回显出去等于让能力面随调用方漂,而消费端正是拿这一位去渲「这台机器有没有搜索」的。
+ */
+export interface WebSearchCapability {
+    readonly backend: WebSearchProvider | "none";
+}
+/**
+ * 部署席 → 消费端窄投影。**唯一**写 `"none"` 的地方(缺席折词的属主),形照 `projectSqlEngineCapability` /
+ * `projectWriteProtectionCapability`。
+ *
+ * 🔴 缺席折 `"none"` **不是**兜底 fail-open:`undefined`(装配没喂席位 / `WEB_SEARCH_PROVIDER` 未设或拼错)
+ * 与「本部署没有搜索后端」在**行为上是同一件事** —— `webSearchConfigFromEnv` 对这两种输入都返回
+ * `undefined`,于是 WebSearch 工具都不装配。方向也是安全的那一向:本位只会**少报**能力(说没有、其实
+ * 也真没有),不会替一台没配后端的部署点亮一格。「键整个缺席」才是另一回事(= 老 server),那一层由
+ * 消费端的探位纪律管,见契约附录 B.1 本行的「缺席何义」。
+ */
+export declare function projectWebSearchCapability(provider: WebSearchProvider | undefined): WebSearchCapability;
 export interface WebSearchBackendConfig {
     readonly provider: WebSearchProvider;
     /** API key (brave/tavily). From `WEB_SEARCH_API_KEY` — never reaches the model. */

package/dist/plugins/web-search.js

@@ -1,4 +1,11 @@
 import { createSearxngSearchBackend } from "@sema-agent/core";
+export const WEB_SEARCH_PROVIDERS = ["brave", "tavily", "searxng"];
+function isWebSearchProvider(word) {
+    return WEB_SEARCH_PROVIDERS.includes(word);
+}
+export function projectWebSearchCapability(provider) {
+    return provider === undefined ? { backend: "none" } : { backend: provider };
+}
 const DEFAULT_MAX_RESULTS = 10;
 const DEFAULT_TIMEOUT_MS = 10_000;
 const BRAVE_BASE = "https://api.search.brave.com/res/v1/web/search";
@@ -152,7 +159,7 @@ export function shouldProbeWebSearchOnBoot(env = process.env) {
 }
 export function webSearchConfigFromEnv(env = process.env) {
     const provider = env.WEB_SEARCH_PROVIDER?.trim().toLowerCase();
-    if (provider !== "brave" && provider !== "tavily" && provider !== "searxng")
+    if (provider === undefined || !isWebSearchProvider(provider))
         return undefined;
     const searxngParams = parseSearxngParams(env.WEB_SEARCH_SEARXNG_PARAMS);
     const maxRaw = Number(env.WEB_SEARCH_MAX_RESULTS ?? "");
@@ -171,7 +178,7 @@ export function webSearchConfigFromSettings(raw) {
         return undefined;
     const s = raw;
     const provider = typeof s.provider === "string" ? s.provider.trim().toLowerCase() : "";
-    if (provider !== "brave" && provider !== "tavily" && provider !== "searxng")
+    if (!isWebSearchProvider(provider))
         return undefined;
     const max = typeof s.maxResults === "number" && Number.isFinite(s.maxResults) && s.maxResults > 0 ? Math.floor(s.maxResults) : undefined;
     return {

package/dist/trace/project.d.ts

@@ -190,7 +190,8 @@ export declare function screenedStoredEventData(type: string, data: unknown): un
 /** `text_end` 段末帧的**唯一**铸点(三腿共用:top stream / 转发子代腿 / 子代 tail 面)。content = 段权威全文 ⇒ 与
  *  durable 面(`result` / 账本 `text` 行)同一只 {@link redactModelText}(认出才改写、抛则占位、不设上限)。
  *  此前三处各自逐字透传 —— 同一份文本毫秒后在 `done.result.result` 上已脱,live 面却在凭据生成瞬间明文(B-114)。
- *  `text_delta` 仍逐字:跨 chunk 的凭据无法就地判,流式脱敏是独立设计件(S-270)。
+ *  `text_delta` 仍逐字:跨 chunk 的凭据无法就地判;clay [ref] ②(2026-09-18)裁定**维持逐字成文**(S-270 U-3 关票),
+ *  权威段 `text_end.content` 已脱敏、消费端段末整段替换即得脱敏读法。
  *  坏形(content 非串/空串)⇒ null(丢帧,不铸「权威空段」:core 契约明言空段不发本帧,消费端收到空段会清掉已攒 delta)。
  *  身份**四键**随行(live 现状带全四键,消费端可能已依赖);值经 {@link identityKey} —— 非空 string 才上 wire
  *  (S-334 起不再逐字透传:坏形身份键会在 live 写口上铸出假游标)。 */

package/dist/trace/redact.d.ts

@@ -77,6 +77,12 @@ export declare function resetPpkScanBytesForTest(): void;
  *  (亲读 `@sema-agent/core/dist/agents/subagent-steps.js:9-11`),截过与天生就短在 wire 上不可区分。
  *  所以一个 `arm="fragment"` 计数可能来自残片,也可能来自一个恰好落在阈值之上的 look-alike;
  *  core [ref] 落地后这一支**趋零是证据、不归零不是证明**。别把它当截断事实的度量用。 */
+/**
+ * 🔴 **词名 = 表归属,不是语义**(clay 裁 [ref] ①,2026-09-18,关 S-307):`"full"` = 强证据表(`SECRET_PATTERNS` 一族,
+ * 含 7.76.2 起改判进来的 PEM/ppk 体)命中的臂,`"fragment"` = 弱证据表({@link FRAGMENT_SECRET_PATTERNS})命中的臂。
+ * 7.76.2 起两档语义已是「强证据 / 弱证据」,词名**刻意保留**:它是 Prometheus 标签 `redactions_applied_total{arm}` 的
+ * 标签值,改名 = 硬 breaking 的标签值漂移(面板与告警按值匹配),而语义只在这一段注释里说全即可。判据是 {@link armOfToken}。
+ */
 export type RedactionArm = "full" | "fragment";
 export interface RedactionHitMeta {
     /** 命中臂的**判别力档位**(闭集两词,S-303):`"fragment"` = {@link FRAGMENT_SECRET_PATTERNS} 那一族

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/server",
-  "version": "7.82.0",
+  "version": "7.83.0",
   "description": "Sema Server — the server/API implementation layer for Sema, wiring core, registry, model providers, and cloud agent execution. Built on @sema-agent/core.",
   "type": "module",
   "license": "BUSL-1.1",
@@ -69,7 +69,7 @@
     "sharp": "^0.35.3"
   },
   "devDependencies": {
-    "@sema-agent/sdk": "9.5.0",
+    "@sema-agent/sdk": "9.6.0",
     "@types/libsodium-wrappers": "^0.7.14",
     "@types/node": "22.10.2",
     "@types/pg": "^8.20.0",