@sema-agent/server 7.9.0 → 7.11.0

package/dist/config-types.d.ts

@@ -12,6 +12,7 @@ import type { ElicitationThrottle } from "./elicitation.js";
 import type { QuestionThrottle } from "./question.js";
 import type { InfraCostRates } from "./observability/cost-taxonomy.js";
 import type { Autonomy, CommandRule } from "./runtime-governance.js";
+import type { GitApiKind } from "./git-api-kind.js";
 /** A sema-registry MCP server resolved to a core spec (env-NAME refs already → real values) plus the
  *  scenarios it applies to (empty = all). `resolveSpec` filters by scenario and passes `spec` to core. */
 export interface ScopedMcpServer {
@@ -866,6 +867,21 @@ export interface ServiceConfigFlat {
      *  cap → posture-gated like askQuestion (single-user turnkey → ON; multi-tenant opt-in);
      *  `TOOL_APPROVAL_ENABLED=true/false` overrides. Absent ⇒ core's headless auto-deny stands ([819]⑤ fail-closed). */
     toolApprovalEnabled: boolean;
+    /**
+     * #154 车二(core design/179 持久化权限规则「不再询问」车道)**总开关**。`PERMISSION_RULES_ENABLED`,
+     * **默认 OFF**。
+     *
+     * 🔴 为什么是显式 opt-in 而不是「有 SQL 后端就自动上」(codex 交叉复审 round7 [high] 一,验真后收):
+     * 这条车道**只会加放行、不会减**,而 v1 **还没有撤销面**(列出 / 删除自己已存规则的口子没建;core 的
+     * `removePersistedRule` 在包里,但本仓零调用点)。一次误导入的全局规则因此会一直生效,租户自己拿它
+     * 没办法。在撤销面落地之前,**默认不开**是这条轴唯一诚实的姿势;开它的部署等于明说「我接受这条状态,
+     * 并且知道现在只能靠运维改库来收回」。
+     *
+     * 关 ⇒ 规则店根本不装配:`RunnerDeps.permissionRuleStore` 缺席(引擎的 `permissionRules.storeWired`
+     * 如实报 false)、ask 帧不带 `ruleSuggestions`、回决的 `persistRule` 拒、`POST /v1/rules/cc-import/*`
+     * 两口 501。三张表仍随中央 `ensureSchema` 建(纯 CREATE、零行),这不是行为面。
+     */
+    permissionRulesEnabled: boolean;
     /** #151 车2(design/172 §3.3 D3,窗长三元的安全余量):`ToolApprovalCoordinator` 的可选 `windowMarginMs`
      *  构造项——有效窗 = `min(ttlMs, legRemainingMs − 本值)`,余量不足 ⇒ 不开窗直接走窗到期同路(park）。
      *  仅在装配点把 `ToolApprovalRunContext.legDeadlineMonotonic` 传给协调器(车3 的活)时才实际生效——本
@@ -966,6 +982,10 @@ export interface ServiceConfigFlat {
     gitApiBaseUrl?: string;
     /** Read-only Git host token (server-side only; never reaches the model). */
     gitApiToken?: string;
+    /** Git host API dialect for the repo tools (env GIT_API_KIND, closed set gitea|github; default gitea).
+     *  "github" = api.github.com or GHE `/api/v3` root — the Gitea client's `/api/v1` + `.diff` shapes
+     *  404 there (P1-2: our own repos live on GitHub and were unreviewable). Unknown word = refuse boot. */
+    gitApiKind: GitApiKind;
     /** S3-TOB 设计 §1.3:memory 持久面方言(env MEMORY_ENGINE_BACKEND,缺省 file)。boot-only。 */
     memoryEngineBackend: "file" | "pg" | "tidb";
     /** CC `workflowSizeGuideline` (advisory, injected into the Workflow tool card via
@@ -1004,7 +1024,7 @@ export type ServiceStoreConfig = Pick<ServiceConfigFlat, "sessionBackend" | "ses
 export type ServiceModelPlaneConfig = Pick<ServiceConfigFlat, "gatewayBaseUrl" | "gatewayApiKey" | "gatewayFallbackUrls" | "gatewayMaxRetries" | "anthropic" | "resilience" | "model" | "models" | "modelApiKeyEnv" | "modelApiKeys" | "modelQuotaWeights" | "tiers" | "projects" | "roles" | "cascadeLadder" | "degrade">;
 /** 组:approval(审批 / HITL 门)。`directDoorActive` 无 env 解析腿(装配层三域合取的产物),但语义上
  *  就是本组的门状态,故进组;`parseApprovalDomain` 的返回类型相应是 `Omit<…, "directDoorActive">`。 */
-export type ServiceApprovalConfig = Pick<ServiceConfigFlat, "approvalRequire" | "approvalDeny" | "approvalTimeoutSec" | "approvalAutoBudget" | "approvalNeverAuto" | "approvalHmacKeys" | "durableApproval" | "directApprovalDoor" | "directDoorActive" | "resourceSuspend" | "resourceSuspendTtlSec" | "askQuestionEnabled" | "questionThrottle" | "toolApprovalEnabled" | "streamAskWindowMarginMs" | "streamApproval" | "mcpElicitation" | "sensitiveWritePatterns" | "manualModeShellGate">;
+export type ServiceApprovalConfig = Pick<ServiceConfigFlat, "approvalRequire" | "approvalDeny" | "approvalTimeoutSec" | "approvalAutoBudget" | "approvalNeverAuto" | "approvalHmacKeys" | "durableApproval" | "directApprovalDoor" | "directDoorActive" | "resourceSuspend" | "resourceSuspendTtlSec" | "askQuestionEnabled" | "questionThrottle" | "toolApprovalEnabled" | "permissionRulesEnabled" | "streamAskWindowMarginMs" | "streamApproval" | "mcpElicitation" | "sensitiveWritePatterns" | "manualModeShellGate">;
 /** 组:memory(记忆面 + TOC 同步腿)。 */
 export type ServiceMemoryConfig = Pick<ServiceConfigFlat, "memoryEngineEnabled" | "memoryEngineDir" | "memoryEngineRemoteLaneAllowed" | "memoryEngineBackend" | "memoryScope" | "memorySync" | "memoryOrgAdmissionMode" | "memoryOrgDirectoryJson" | "memoryOrgGrantTtlMs" | "memoryOrgUnavailableBackoffMs" | "projectMemoryEnabled" | "syncImportLeaseStaleSec">;
 /** 组:auth(鉴权 / 身份 / 治理棒)。`commandPolicy` 只有 sema-registry 腿(无 env 标量形),故 env 解析
@@ -1017,7 +1037,7 @@ export type ServiceLimitsHttpConfig = Pick<ServiceConfigFlat, "port" | "attachme
 /** 组:observability(可观测)。 */
 export type ServiceObservabilityConfig = Pick<ServiceConfigFlat, "metricsToken" | "traceToken" | "toolTrace" | "traceThinking" | "logLevel" | "otel">;
 /** 组:integrations(外部集成)。`mcpServers` 由 sema-registry 适配器填(无 env 腿),归本组。 */
-export type ServiceIntegrationsConfig = Pick<ServiceConfigFlat, "pluginsAllowHosts" | "mcpServers" | "configBootFetchBudgetMs" | "gitApiBaseUrl" | "gitApiToken" | "defaultScenario" | "skillsDir" | "configCenter" | "configProvider" | "configLocalDir">;
+export type ServiceIntegrationsConfig = Pick<ServiceConfigFlat, "pluginsAllowHosts" | "mcpServers" | "configBootFetchBudgetMs" | "gitApiBaseUrl" | "gitApiToken" | "gitApiKind" | "defaultScenario" | "skillsDir" | "configCenter" | "configProvider" | "configLocalDir">;
 /** 九个组槽。每组恒在场(`loadConfig` / `attachConfigGroups` 装好才交出配置),故不可选——新代码写
  *  `config.modelPlane.model` 不需要 `?.`(可选组会把 `Model` 污染成 `Model | undefined`)。 */
 export interface ServiceConfigGroups {

package/dist/config.js

@@ -7,6 +7,7 @@ import { parseApprovalHmacKeys, parsePrincipalJwks } from "./auth-keys.js"; // d
 import { DEFAULT_ELICITATION_THROTTLE } from "./elicitation.js";
 import { isV2ScopeKey } from "./memory-scope.js"; // A-002.4: v2 scope 前缀词表的单一属主(纯谓词,无反向依赖)
 import { DEFAULT_QUESTION_THROTTLE } from "./question.js";
+import { GIT_API_KINDS, isGitApiKind } from "./git-api-kind.js"; // P1-2: 方言词表叶模块(config 不得值引 capabilities 层)
 function csv(name) {
     return (process.env[name] ?? "")
         .split(",")
@@ -1052,6 +1053,10 @@ function parseApprovalDomain(ctx) {
             ttlMs: numEnvBounded("QUESTION_TTL_MS", String(DEFAULT_QUESTION_THROTTLE.ttlMs), 1_000, 3_600_000),
         },
         toolApprovalEnabled: postureOn("TOOL_APPROVAL_ENABLED"), // [816]/[820]② live tool-approval HITL; posture-gated (single-user → ON), mirrors askQuestion
+        // #154 车二:持久化权限规则车道的总开关。**默认 OFF**,理由(撤销面未落地之前只加放行不减)逐字见
+        // `ServiceApprovalConfig.permissionRulesEnabled`。**不**做 posture 派生:这条轴与「单用户交钥匙」
+        // 无关,它取决于运维接不接受「暂时只能改库收回」,那必须是一次显式表态。
+        permissionRulesEnabled: boolEnv("PERMISSION_RULES_ENABLED", false),
         // #151 车2(design/172 §3.3 D3):ToolApprovalCoordinator 窗长三元的安全余量。numEnv fail-loud 形,
         // 照邻居旋钮(approvalTimeoutSec 等)抄——坏形（非数字)在启动期炸,不静默折成 NaN。
         streamAskWindowMarginMs: numEnv("STREAM_ASK_WINDOW_MARGIN_MS", "10000"),
@@ -1501,6 +1506,42 @@ function parseObservabilityDomain() {
             : undefined,
     };
 }
+/** GIT_API_KIND:repo 工具的 Git-host 方言(闭集 gitea|github,缺省 gitea)。
+ *  未知词=拒启(安全轴词表纪律);另一坏形也拒启:kind 缺省/gitea 而 BASEURL 指向 github.com——
+ *  Gitea 形状(`/api/v1` 前缀、`.diff` 后缀)对 GitHub 恒 404,与其在任务运行时逐调用 loud 404,
+ *  不如启动即指路(#123 FLEET_ADVERTISE_ADDRESS 坏形响亮拒同族)。 */
+function parseGitApiKind(raw, baseUrl) {
+    const kind = raw ?? "gitea";
+    if (!isGitApiKind(kind)) {
+        throw new Error(`GIT_API_KIND="${raw}" is not a known Git host kind (expected one of: ${GIT_API_KINDS.join(", ")})`);
+    }
+    if (!baseUrl)
+        return kind;
+    // 配了就必须是合法 URL(USAGE 本就要求带 scheme 的完整 baseURL;坏 URL 此前静默过门、逐调用 fetch
+    // 才炸 —— 启动即拒;codex F3)。尾点主机(api.github.com.)DNS 等价,归一后再比对,防绕过。
+    if (!URL.canParse(baseUrl)) {
+        throw new Error(`GIT_API_BASEURL="${baseUrl}" is not a valid URL (expected e.g. https://git.example.com)`);
+    }
+    const u = new URL(baseUrl);
+    const host = u.hostname.replace(/\.$/, "").toLowerCase();
+    const githubFamily = host === "github.com" || host === "api.github.com" || host.endsWith(".github.com");
+    if (kind === "gitea" && githubFamily) {
+        throw new Error(`GIT_API_BASEURL points at ${host} but GIT_API_KIND is "gitea" — the Gitea API shapes 404 on GitHub. Set GIT_API_KIND=github (base url should be https://api.github.com, or your GHE /api/v3 root).`);
+    }
+    if (kind === "github") {
+        // 对称校验(codex F3):web 域名/带 path 的 api 根都会让每个仓操作 404,而客户端照建、场景照宣可用。
+        if (githubFamily && host !== "api.github.com") {
+            throw new Error(`GIT_API_BASEURL host ${host} is the GitHub WEB host — the API root is https://api.github.com (a repo page URL is not an API base).`);
+        }
+        if (host === "api.github.com" && u.pathname !== "/" && u.pathname !== "") {
+            throw new Error(`GIT_API_BASEURL for github.com must be exactly https://api.github.com (no path; got path "${u.pathname}"). GHE uses https://<ghe-host>/api/v3.`);
+        }
+        if (u.search || u.hash) {
+            throw new Error(`GIT_API_BASEURL must not carry a query or fragment (got "${baseUrl}")`);
+        }
+    }
+    return kind;
+}
 /** 域:misc-integration(外部集成)—— plugins clone 白名单、git/OA 面、场景与 skill 目录、sema-registry 接入。 */
 function parseIntegrationsDomain() {
     return {
@@ -1509,6 +1550,7 @@ function parseIntegrationsDomain() {
         configBootFetchBudgetMs: Math.max(0, numEnv("CONFIG_BOOT_FETCH_BUDGET_MS", "1500")), // boot 首拉抢答窗;过窗转后台补齐(clay 2026-07-17:本地 5s 启动=黑洞中心同步等待)
         gitApiBaseUrl: process.env.GIT_API_BASEURL,
         gitApiToken: process.env.GIT_API_TOKEN,
+        gitApiKind: parseGitApiKind(process.env.GIT_API_KIND, process.env.GIT_API_BASEURL),
         // BEHAVIOR CHANGE([891] clay 硬裁定):出厂缺省场景 default→code(CC 编码 persona 蒸馏版)——
         // 编码产品出厂态对标 CC 出厂态,通用域中性 persona 用 DEFAULT_SCENARIO=default 显式选回。
         defaultScenario: env("DEFAULT_SCENARIO", "code"),
@@ -1540,7 +1582,7 @@ const MODEL_PLANE_GROUP_KEYS = [
 const APPROVAL_GROUP_KEYS = [
     "approvalRequire", "approvalDeny", "approvalTimeoutSec", "approvalAutoBudget", "approvalNeverAuto",
     "approvalHmacKeys", "durableApproval", "directApprovalDoor", "directDoorActive", "resourceSuspend",
-    "resourceSuspendTtlSec", "askQuestionEnabled", "questionThrottle", "toolApprovalEnabled", "streamAskWindowMarginMs", "streamApproval", "mcpElicitation",
+    "resourceSuspendTtlSec", "askQuestionEnabled", "questionThrottle", "toolApprovalEnabled", "permissionRulesEnabled", "streamAskWindowMarginMs", "streamApproval", "mcpElicitation",
     "sensitiveWritePatterns", "manualModeShellGate",
 ];
 const MEMORY_GROUP_KEYS = [
@@ -1570,7 +1612,7 @@ const LIMITS_HTTP_GROUP_KEYS = [
 ];
 const OBSERVABILITY_GROUP_KEYS = ["metricsToken", "traceToken", "toolTrace", "traceThinking", "logLevel", "otel"];
 const INTEGRATIONS_GROUP_KEYS = [
-    "pluginsAllowHosts", "mcpServers", "configBootFetchBudgetMs", "gitApiBaseUrl", "gitApiToken", "defaultScenario",
+    "pluginsAllowHosts", "mcpServers", "configBootFetchBudgetMs", "gitApiBaseUrl", "gitApiToken", "gitApiKind", "defaultScenario",
     "skillsDir", "configCenter", "configProvider", "configLocalDir",
 ];
 /** 组名 → 该组取景的平铺键(introspection 面:测试用它钉「每个平铺键恰好被一组取景」)。 */

package/dist/fleet/fleet-terminal-window.d.ts

@@ -43,7 +43,7 @@ export declare const FLEET_SNAPSHOT_TERMINAL_MAX_ROWS = 20;
  * 每个终态**扫描面**的行数(店侧下推的 limit)。它比 {@link FLEET_SNAPSHOT_TERMINAL_MAX_ROWS} 大是有
  * 具体病灶的(codex R1-M3,红先复现):店侧分页按 `createdAt DESC` 排(core 契约 + 两个 SQL 实现皆然),
  * 而本窗的判据是**结束时刻**——一条跑了三天、刚刚才结束的 workflow(正是用户此刻要看的那条)会被 20 条
- * 更晚创建的行挤出首页。留这段余量是在现有契约内能给的最好答案;彻底解法是店侧加一个 `ended_at DESC`
+ * 更晚创建的行挤出首页。留这段余量是在现有契约内能给的最好答案;彻底解法是店侧加一个 `ended_at_ms DESC`
  * 的窄查询(要过真双库门,已作移交项记在发车说明里)。
  *
  * 残余(如实记档):同 scope 同一终态下,若有超过本值条**更晚创建**的行,那条"早创建、刚结束"的行仍会

package/dist/fleet/fleet-terminal-window.js

@@ -44,7 +44,7 @@ export const FLEET_SNAPSHOT_TERMINAL_MAX_ROWS = 20;
  * 每个终态**扫描面**的行数(店侧下推的 limit)。它比 {@link FLEET_SNAPSHOT_TERMINAL_MAX_ROWS} 大是有
  * 具体病灶的(codex R1-M3,红先复现):店侧分页按 `createdAt DESC` 排(core 契约 + 两个 SQL 实现皆然),
  * 而本窗的判据是**结束时刻**——一条跑了三天、刚刚才结束的 workflow(正是用户此刻要看的那条)会被 20 条
- * 更晚创建的行挤出首页。留这段余量是在现有契约内能给的最好答案;彻底解法是店侧加一个 `ended_at DESC`
+ * 更晚创建的行挤出首页。留这段余量是在现有契约内能给的最好答案;彻底解法是店侧加一个 `ended_at_ms DESC`
  * 的窄查询(要过真双库门,已作移交项记在发车说明里)。
  *
  * 残余(如实记档):同 scope 同一终态下,若有超过本值条**更晚创建**的行,那条"早创建、刚结束"的行仍会

package/dist/git-api-kind.d.ts

@@ -0,0 +1,7 @@
+/** Git-host API dialect word table (P1-2). Leaf module — the single owner shared by the config layer
+ *  (env parse/validation) and `capabilities/repo-tools` (the two client implementations); config must not
+ *  value-import the capabilities layer (module-cycle gate §G), so the table lives below both. */
+export declare const GIT_API_KINDS: readonly ["gitea", "github"];
+export type GitApiKind = (typeof GIT_API_KINDS)[number];
+export declare function isGitApiKind(v: unknown): v is GitApiKind;
+//# sourceMappingURL=git-api-kind.d.ts.map

package/dist/git-api-kind.js

@@ -0,0 +1,8 @@
+/** Git-host API dialect word table (P1-2). Leaf module — the single owner shared by the config layer
+ *  (env parse/validation) and `capabilities/repo-tools` (the two client implementations); config must not
+ *  value-import the capabilities layer (module-cycle gate §G), so the table lives below both. */
+export const GIT_API_KINDS = ["gitea", "github"];
+export function isGitApiKind(v) {
+    return typeof v === "string" && GIT_API_KINDS.includes(v);
+}
+//# sourceMappingURL=git-api-kind.js.map

package/dist/http/routes/adoption.d.ts

@@ -0,0 +1,26 @@
+/**
+ * design/183 §4.3 —— **收编面**(operator lane):`POST /v1/adoption` 发起、`GET /v1/adoption/:id` 读状态。
+ *
+ * 形态:一次性的**部署级动作**,不是常驻业务面 —— 所以它 billable=false(零模型工作)、operator-only、
+ * 且在没有 SQL 后端的部署上诚实 501(收编重绑的是多租身份轴,local 后端根本没有那个轴)。
+ *
+ * ── 三条拒的分家(183 §7.3 拒绝可判别)──────────────────────────────────────────────────────────
+ *  · `adoption.source_already_bound` (409):同一个源已绑到**别的**目的地 = 二次收编/多租转让,
+ *    183 D7 明确拒,非本协议射程。与「已收编回执」不同形 —— 后者是 200。
+ *  · `adoption.destination_conflict` (409):目的地侧已有与源侧重叠的逻辑键。**响应列出冲突表族**,
+ *    运维据此知道该去清理哪张表;源/目的地两侧字节零变更。
+ *  · `adoption.destination_unrepresentable` (409):目的地身份装不进这次收编会**派生**出来的某个键
+ *    (典型:memory 的 `proj:` 键 = 新 tenant 段 + 原有项目段后缀,合起来越过列宽)。与上一条分家的理由:
+ *    运维的动作完全不同 —— 那条要去清理另一个 principal 的行,这条要换一个更短的目的地身份。
+ *  · `not_found.adoption` (404):operator 拿着一个不存在的 id 来读。
+ *
+ * 幂等:同参数重跑秒回**同一份** `AdoptionReceipt`(`immutableReport` 逐字节恒同 —— 它在 phase 6
+ * 一次落库,此后原样回放)。并发同参 POST 由 `adoption_log.from_principal` 的 UNIQUE 仲裁:恰一行落库,
+ * 两条连接拿到同一个 adoptionId、同一份回执。
+ *
+ * 分层:本模块不值 import `server.ts`(那条边闭合运行时装载环),只 `import type`。
+ */
+import type { IncomingMessage, ServerResponse } from "node:http";
+import type { RouteCtx } from "../route-ctx.js";
+export declare function handleAdoption(req: IncomingMessage, res: ServerResponse, url: string, ctx: RouteCtx): Promise<boolean>;
+//# sourceMappingURL=adoption.d.ts.map

package/dist/http/routes/adoption.js

@@ -0,0 +1,120 @@
+import { createAdoptionRunner } from "../../adoption/runner.js";
+import { AdoptionRequestSchema } from "../../adoption/wire.js";
+import { checkAdoptionWidths } from "../../adoption/plan.js";
+import { sendJson, sendError } from "../send.js";
+import { gatedPrincipal, explicitOperatorOk } from "../principal-gate.js";
+const ADOPTION_ID_RE = /^\/v1\/adoption\/([^/]+)$/;
+/** 结局 → wire。**拒从不走 200 回执包络**(见顶注三条拒的分家)。
+ *  成功码写死 200(不收 `okStatus` 参数):一个**表达式**状态码会让 errorCode 归一门读不出这是成功面,
+ *  而且本面本来就只有一个成功码 —— 同参重跑必须与首次同形,重跑创建不了任何东西。 */
+function sendOutcome(res, out) {
+    switch (out.kind) {
+        case "receipt":
+            sendJson(res, 200, { adoptionId: out.adoptionId, ...out.receipt });
+            return;
+        case "source_already_bound":
+            sendError(res, 409, "adoption.source_already_bound", "this source principal is already bound to a different adoption target", {
+                adoptionId: out.adoptionId,
+                fromPrincipal: out.fromPrincipal,
+                boundTo: out.boundTo,
+            });
+            return;
+        // 闭集穷举:`AdoptionRejectCode` 加一个成员而这里没加臂 ⇒ **编译红**(拒绝码是 wire 契约,
+        // 不许有一个走到默认臂的静默码)。
+        case "rejected":
+            switch (out.code) {
+                case "adoption.destination_conflict":
+                    sendError(res, 409, "adoption.destination_conflict", "the destination principal already holds rows sharing a logical key with the source", {
+                        adoptionId: out.adoptionId,
+                        detail: out.detail,
+                        conflicts: out.conflicts,
+                    });
+                    return;
+                case "adoption.destination_unrepresentable":
+                    sendError(res, 409, "adoption.destination_unrepresentable", "the destination principal does not fit every key this adoption would derive from it", {
+                        adoptionId: out.adoptionId,
+                        detail: out.detail,
+                    });
+                    return;
+            }
+            return;
+    }
+}
+export async function handleAdoption(req, res, url, ctx) {
+    const miss = { fell: false };
+    await handleAdoptionBody(req, res, url, ctx, miss);
+    return !miss.fell;
+}
+async function handleAdoptionBody(req, res, url, ctx, miss) {
+    const { deps } = ctx;
+    const { readJson } = ctx.helpers;
+    const isPost = req.method === "POST" && url === "/v1/adoption";
+    const idMatch = req.method === "GET" ? ADOPTION_ID_RE.exec(url) : null;
+    if (!isPost && !idMatch) {
+        miss.fell = true;
+        return;
+    }
+    // 门序 = operator 面的既有口径:身份(401)→ 授权(403)→ 能力(501)→ 验型(400)。
+    // 授权在能力之前:一个够不着任何东西的调用方不该从「有没有 SQL 后端」上读出部署形态。
+    const principal = gatedPrincipal(req, deps.config); // direct-door safe: verified identity, never the spoofable header
+    if (deps.config.requirePrincipal && !principal) {
+        sendError(res, 401, "auth.principal_required", `missing principal header '${deps.config.principalHeader}'`);
+        return;
+    }
+    if (!explicitOperatorOk(principal, deps.config.operatorPrincipals)) {
+        sendError(res, 403, "auth.operator_only", "adoption is an operator-only deployment action");
+        return;
+    }
+    const store = deps.backend?.adoptionLog?.();
+    if (!store) {
+        sendError(res, 501, "capability.adoption_store_required", "adoption requires a SQL store backend (DB_BACKEND=mysql|pg)");
+        return;
+    }
+    const runner = createAdoptionRunner({ store, dialect: deps.backend?.kind === "pg" ? "pg" : "tidb", now: Date.now, logger: deps.logger });
+    if (idMatch) {
+        const id = ctx.helpers.safeDecode(idMatch[1]);
+        if (id === null) {
+            // 复用既有的 `request.id_invalid`(sessions/attachments 同族),不为一条新路由铸第二个同义码
+            // ——附录 A 的判据②:只有消费端真会分支时才铸新码。
+            sendError(res, 400, "request.id_invalid", "invalid adoption id");
+            return;
+        }
+        const out = await runner.get(id);
+        if (!out) {
+            sendError(res, 404, "not_found.adoption", "adoption not found");
+            return;
+        }
+        sendOutcome(res, out);
+        return;
+    }
+    let raw;
+    try {
+        raw = await readJson(req);
+    }
+    catch {
+        sendError(res, 400, "request.invalid_json", "invalid JSON body");
+        return;
+    }
+    const parsed = AdoptionRequestSchema.safeParse(raw);
+    if (!parsed.success) {
+        sendError(res, 400, "request.body_shape", "invalid adoption body — expected {fromPrincipal, toPrincipal} as non-empty strings");
+        return;
+    }
+    const { fromPrincipal, toPrincipal } = parsed.data;
+    // 🔴 列宽校验在**铸行之前**(codex R1-F3):合法长度的 principal 也可能装不进最窄的那根被写列,
+    // 而那种失败若发生在腿的中途,phase 会永远停在 INTENT —— 每次重发和每次 boot 扫描都再撞一次同样的墙。
+    const tooWide = checkAdoptionWidths(fromPrincipal, toPrincipal);
+    if (tooWide !== undefined) {
+        sendError(res, 400, "request.field_invalid", "the adoption principals do not fit every identity column and derived key this adoption must write", { detail: tooWide });
+        return;
+    }
+    if (fromPrincipal === toPrincipal) {
+        // 183 §8 的「nothing to adopt」分支:同名不是一次无操作的成功,它是一个提错了的请求
+        // ——铸一行 adoption_log 会永久占掉那个 from 的 UNIQUE 名额(D7 之后再也收编不了),所以拒在入库之前。
+        sendError(res, 400, "request.field_invalid", "fromPrincipal and toPrincipal are the same — nothing to adopt");
+        return;
+    }
+    const out = await runner.start(fromPrincipal, toPrincipal);
+    sendOutcome(res, out);
+}
+//# sourceMappingURL=adoption.js.map

package/dist/http/routes/approvals-assistant.js

@@ -178,9 +178,9 @@ async function handleApprovalsAssistantBody(req, res, url, ctx, miss) {
                 };
             }))
             // severity DESC, then **explicitly** oldest-first within a tier ([2027] 第五节欠单②,红先绿后:
-            // test/assistant-triage-ordering.test.ts)。旧姿势只比 severity,靠「listByScope 是 created_at ASC
+            // test/assistant-triage-ordering.test.ts)。旧姿势只比 severity,靠「listByScope 是 created_at_ms ASC
             // + Array#sort 稳定」来兑现 §2 那句 oldest-first —— 而那个前提**只在本仓的 SQL 后端成立**
-            // (checkpoint-store-sql.ts 的 `ORDER BY created_at ASC`):core 的 `CheckpointStore.listByScope` 接口
+            // (checkpoint-store-sql.ts 的 `ORDER BY created_at_ms ASC`):core 的 `CheckpointStore.listByScope` 接口
             // 零顺序声明,InMemory/File 两个实现直接遍历 Map(LOCAL 车道包的正是 File store)⇒ 那句承诺过去是
             // **后端相关**的。比较器自带兜底后它与 store 顺序无关。形与 listPending 的同族 sort 逐字一致
             // (checkpoint-store-sql.ts `|| a.createdAt - b.createdAt`)。createdAt 缺席(pre-1.116 投影的老行)

package/dist/http/routes/capabilities.js

@@ -81,6 +81,18 @@ async function handleCapabilitiesBody(req, res, url, ctx, miss) {
             // the old caps honestly hides the affordances (the adaptation was pre-announced).
             memory: false,
             memoryWrite: false,
+            // design/177 —— org 共享记忆库只读面。判据**逐字**等于 server.ts 里那个域的挂载合取式(供给面 ∧
+            // org 折叠面),所以"说 yes ⟺ 面真能用"是结构性的:少一个,域不挂载、这里也翻假,消费方看到的
+            // 与它真能打通的永远一致。折叠面缺席时刻意不报 true —— 一个没有成员性判据的共享读面比没有更糟。
+            sharedMemory: Boolean(deps.sharedMemoryStore && deps.orgMemoryDirectory),
+            // design/183 form b:收编面(operator lane)。谓词与 handleAdoption 的 501 同源:SQL backend 的
+            // adoptionLog 工厂在场(local backend 刻意不实现——单用户数据根没有多租身份轴可重绑)。
+            // SDK 半场车逮的能力位缺口:两条新车道此前只能 trial-by-501,违本仓「says yes ⟺ route works」姿势。
+            adoption: Boolean(deps.backend?.adoptionLog),
+            // #154 车二:规则车道(cc-import 两口 + respond persistRule 兑付口)。谓词与 /v1/rules/cc-import
+            // 的 501 同源:ruleConsent lane 在场 ⟺ PERMISSION_RULES_ENABLED=true ∧ 规则店 wired(默认 OFF ⇒
+            // 恒 false=诚实;撤销面落地前多租户部署不该看到 true)。
+            permissionRules: Boolean(deps.ruleConsent),
             // CLI surfaces: /v1/policy is always served (config surface); /v1/usage returns real
             // cumulative spend only when a per-principal quota is configured (else enabled:false).
             policy: true,

package/dist/http/routes/rules.d.ts

@@ -0,0 +1,23 @@
+/**
+ * #154 车二 —— **CC settings 导入两口**(design/179 §7 的 wire 半场)。
+ *
+ *   POST /v1/rules/cc-import/prepare  → 预览 + 一张**一次性、principal 绑定、有期、载荷绑定**的票
+ *   POST /v1/rules/cc-import/redeem   → 原子消费票 → confirm → 批量兑付进店
+ *
+ * **lane = principal**(不是 operator):用户导的是**他自己**的规则,一条规则的语义就是「这个人自己
+ * 说过 yes」。operator 在这条路上没有位置——他既不该替租户扩权,也不该被要求代人点确认。
+ * 因此本域**只认已验明的 principal**,连 `explicitOperatorOk` 的旁路都不给:一个 operator 想给自己
+ * 导规则,用他自己的 principal 走同一条路即可(那时他就是租户)。
+ *
+ * **billable = false**:两口都不烧模型(读 settings 文本、写规则行),不进 `isBillableSubmitPath`。
+ *
+ * 🔴 **四类拒绝在 wire 上同形 404**(信任边界 ①):unknown ticket / 别人的 ticket / 过期 / 已用过 ——
+ * 四个成因返回不同的码就是一台存在性 oracle(拿别人的票撞库能探到「它在别处存在」)。分类只进服务端
+ * 日志,不上 wire。同族先例 = run/trace 属主门与 `POST /v1/tasks/:id/asks/:askId/decision` 的 404 姿势。
+ */
+import type { IncomingMessage, ServerResponse } from "node:http";
+import type { RouteCtx } from "../route-ctx.js";
+export declare const RULES_CC_IMPORT_PREPARE_PATH = "/v1/rules/cc-import/prepare";
+export declare const RULES_CC_IMPORT_REDEEM_PATH = "/v1/rules/cc-import/redeem";
+export declare function handleRules(req: IncomingMessage, res: ServerResponse, url: string, ctx: RouteCtx): Promise<boolean>;
+//# sourceMappingURL=rules.d.ts.map

package/dist/http/routes/rules.js

@@ -0,0 +1,117 @@
+import { z } from "zod";
+import { sendJson, sendError } from "../send.js";
+import { gatedPrincipal } from "../principal-gate.js";
+import { createLogger } from "../../observability/logger.js";
+// 等待秒数的单一真源在车道:它同时被「放回认领时判这张票还撑不撑得过这段窗」用到(见那侧头注)。
+import { RULE_IMPORT_RETRY_AFTER_SEC } from "../../rules-consent.js";
+const logger = createLogger();
+export const RULES_CC_IMPORT_PREPARE_PATH = "/v1/rules/cc-import/prepare";
+export const RULES_CC_IMPORT_REDEEM_PATH = "/v1/rules/cc-import/redeem";
+/** 一层 settings 的上限。一份 CC settings 是人手写的 JSON,不是数据集;16 KiB 宽到装得下几百条 allow,
+ *  窄到一次请求不能拿它当上传通道。层数同理(core v1 只读三层,给 3 就够,多给等于给一个放大面)。 */
+const MAX_LAYER_CONTENT_CHARS = 16_384;
+const MAX_LAYERS = 3;
+/** 🔴 边界必 schema(宪法 [2704])。`.strict()`:多给一个键 = 400,不是静默忽略 —— 一个把 `content`
+ *  拼错成 `contents` 的客户端应该当场知道,而不是拿到一份「零候选」的预览去纳闷。 */
+const CcImportPrepareBodySchema = z
+    .object({
+    layers: z
+        .array(z
+        .object({
+        layer: z.enum(["userSettings", "projectSettings", "localSettings"]),
+        path: z.string().min(1).max(1024),
+        /** 项目层规则的作用域根。**用户自己的**目录标签(它只影响这条规则将来在哪些 cwd 下生效),
+         *  故不做**真实性**校验——server 上没有那棵树可对照,假装校验过才是谎。
+         *  🔴 但**非空**是硬的(codex 交叉复审 round5 [high] 一,验真后修):`root: ""` 会被 core 直接
+         *  变成 `{kind:"project", root:""}`,而空前缀在 `pathWithinRoot` 下**包含每一个 cwd** —— 一条
+         *  项目内规则就此悄悄升成全局规则;更糟的是本仓的读面对空 root 是整桶拒,于是一次「成功」的
+         *  导入会让这位租户**之后每一次**规则读写都失败。 */
+        root: z.string().min(1).max(1024),
+        content: z.string().max(MAX_LAYER_CONTENT_CHARS),
+    })
+        .strict())
+        .min(1)
+        .max(MAX_LAYERS),
+})
+    .strict();
+const CcImportRedeemBodySchema = z.object({ ticket: z.string().min(1).max(190) }).strict();
+export async function handleRules(req, res, url, ctx) {
+    const miss = { fell: false };
+    await handleRulesBody(req, res, url, ctx, miss);
+    return !miss.fell;
+}
+async function handleRulesBody(req, res, url, ctx, miss) {
+    const { deps } = ctx;
+    const { readJson, rateLimited } = ctx.helpers;
+    const isPrepare = req.method === "POST" && url === RULES_CC_IMPORT_PREPARE_PATH;
+    const isRedeem = req.method === "POST" && url === RULES_CC_IMPORT_REDEEM_PATH;
+    if (!isPrepare && !isRedeem) {
+        miss.fell = true;
+        return;
+    }
+    // 🔴 `prepare` 每次调用**都会**落一条 pending 审批记录 + 一张票 —— 它是本域唯一一条「一次请求 = 一行」
+    // 的写面,没有限流就是一条行洪口。与 `POST /v1/tasks/:id/asks/:askId/decision` 同姿势(限流在最前)。
+    if (rateLimited(req, res))
+        return;
+    // 鉴权**先于**可用性(501-before-auth 先例的反面同理):这两口没有可被探测的部署事实,但
+    // principal 是本域的全部授权基础,先立住它再谈别的。
+    const principal = gatedPrincipal(req, deps.config);
+    if (principal === undefined) {
+        sendError(res, 401, "auth.unauthorized", "unauthorized");
+        return;
+    }
+    const lane = deps.ruleConsent;
+    if (lane === undefined) {
+        sendError(res, 501, "capability.rule_store_required", "this deployment has no permission-rule store wired");
+        return;
+    }
+    let rawBody;
+    try {
+        rawBody = await readJson(req);
+    }
+    catch {
+        sendError(res, 400, "request.body_shape", "body must be valid JSON");
+        return;
+    }
+    if (isPrepare) {
+        const parsed = CcImportPrepareBodySchema.safeParse(rawBody);
+        if (!parsed.success) {
+            sendError(res, 400, "request.body_shape", "body must be {layers:[{layer,path,root,content}]}");
+            return;
+        }
+        const prepared = await lane.prepareImport(principal, parsed.data.layers);
+        if (!prepared.ok) {
+            // 413(不是 400):族语义就是「体/条目超上限」,与附件/图片同码同状态(附录 A 已成文)。
+            // 帽的位置与理由(为什么单层字节帽不够、为什么帽在**铸票之前**)见 `rules-consent.ts` 的
+            // `MAX_IMPORT_CANDIDATES`。
+            sendError(res, 413, "request.payload_too_large", "too many allow entries across the submitted settings layers");
+            return;
+        }
+        sendJson(res, 200, { preview: prepared.preview, ticket: prepared.ticket, expiresAtMs: prepared.expiresAtMs });
+        return;
+    }
+    const parsed = CcImportRedeemBodySchema.safeParse(rawBody);
+    if (!parsed.success) {
+        sendError(res, 400, "request.body_shape", "body must be {ticket}");
+        return;
+    }
+    const redeemed = await lane.redeemImport(principal, parsed.data.ticket);
+    if (!redeemed.ok) {
+        logger.info("rule import ticket refused", { reason: redeemed.reason, detail: redeemed.detail, retryable: redeemed.retryable === true });
+        // 🔴 codex 交叉复审 round2 [medium](验真后修):**可重试**那一支不能折进 404。
+        // 为什么这不破坏零存在性 oracle:走到这一支的调用方**已经赢下了一次 principal 绑定的认领** ——
+        // 也就是说他已经证明了这张票是他自己的、没过期、没用过。对他说「稍后再试」泄不出任何**别人**的
+        // 存在性(伪造 / 别人的 / 过期 / 已用过 四类仍然同形 404,一个字都没变)。反过来把它折成 404 才是
+        // 真损失:round1 修好的「认领已放回、这张票还能用」在 wire 上被抹掉,客户端按常规 404 处置一丢了之。
+        if (redeemed.retryable === true) {
+            res.setHeader("retry-after", String(RULE_IMPORT_RETRY_AFTER_SEC)); // 体里有等待提示 ⇒ 标准头同值(同 503 族先例)
+            sendError(res, 503, "state.rule_import_retry", "the rule import could not be completed right now; the ticket is still usable — retry", { retryAfterSec: RULE_IMPORT_RETRY_AFTER_SEC });
+            return;
+        }
+        // 同形 404(顶注):四类成因**不上 wire**,只进服务端日志。
+        sendError(res, 404, "not_found.rule_ticket", "no such import ticket");
+        return;
+    }
+    sendJson(res, 200, { result: redeemed.result });
+}
+//# sourceMappingURL=rules.js.map

package/dist/http/routes/shared-memory.d.ts

@@ -0,0 +1,31 @@
+/**
+ * design/177 —— 共享记忆库(org 盘)的**只读 HTTP 面**。
+ *
+ * 路由:`GET /v1/shared-memory/stores`、`GET /v1/shared-memory/stores/:store/documents`、
+ * `GET /v1/shared-memory/stores/:store/document?path=`。本域零可变状态。
+ *
+ * ─────────────────────────────────────────────────────────────────────────────────────────────────
+ * 挂载条件 = store ∧ org 折叠面,**双在场**才有这个域(v2/F4 硬化)
+ * ─────────────────────────────────────────────────────────────────────────────────────────────────
+ * 供给面在场但授权面缺席时,这个域整体**不挂载** —— 请求落到全局 404 `not_found.route`。刻意不是 501:
+ *  · 501 的自述是「这个面存在,只是本部署没开」,它对一个连身份都无法被判定的调用方泄露了「这套部署
+ *    有共享记忆库」,并暗示补个配置就能读;
+ *  · 「store 好了先挂载、授权后补」是这条纪律真正要堵的中间态 —— 一个没有成员性判据的读面,唯一能做的
+ *    要么是全放(跨租户读)要么是全拒(伪装成故障),两个都比「这个面不存在」差。
+ * 能力广告(`capabilities.sharedMemory`)读的是**同一个合取式**,所以「说 yes ⟺ 面真能用」结构上成立。
+ *
+ * ─────────────────────────────────────────────────────────────────────────────────────────────────
+ * 授权:一次 snapshot,零第二真源
+ * ─────────────────────────────────────────────────────────────────────────────────────────────────
+ * 每个请求取**一次** `provider.snapshot({ principal })` —— 与模型面(core 的 memory_list/memory_read)
+ * 走的是同一个供给口、同一次绑定。可见的 store 集合因此按定义等于模型看到的那一份,HTTP 面不可能比
+ * 模型面多看见一个库。越界一律 404 且**与「这个库根本不存在」字节同形**:状态码、errorCode、message
+ * 全同,差一个字就是一次成员性探针(某人能用 404 的差异枚举出别的 org 有哪些库)。
+ *
+ * 文档**不存在**则另说(`not_found.shared_memory_document`):调用方已经证明了自己是这个库的成员,
+ * 「库里没有这份文件」对他不是秘密,把它和「你不是成员」合并反而会让成员无法区分打错路径和权限问题。
+ */
+import type { IncomingMessage, ServerResponse } from "node:http";
+import type { RouteCtx } from "../route-ctx.js";
+export declare function handleSharedMemory(req: IncomingMessage, res: ServerResponse, url: string, ctx: RouteCtx): Promise<boolean>;
+//# sourceMappingURL=shared-memory.d.ts.map