@sema-agent/server 7.98.0 → 7.99.0

package/dist/sealed-key.js

@@ -3,6 +3,8 @@ import { chmod, mkdir, readdir, readFile, writeFile } from "node:fs/promises";
 import { join } from "node:path";
 import _sodium from "libsodium-wrappers";
 import { buildDisplaySafeUrl } from "./trace/redact.js";
+import { createCenterCredentialSource } from "./center-credential.js";
+import { centerFetch } from "./config-center/center-request.js";
 export const SEALED_KEY_ALG = "libsodium-sealedbox-x25519";
 const SEAL_OVERHEAD_BYTES = 48;
 const BASE64_STRICT = /^[A-Za-z0-9+/]+={0,2}$/;
@@ -114,13 +116,7 @@ export async function reportExecutionPublicKey(opts) {
         return;
     }
     try {
-        const doFetch = opts.fetchImpl ?? fetch;
-        const res = await doFetch(`${baseUrl.replace(/\/$/, "")}/api/config/execution-keys`, {
-            method: "POST",
-            headers: { authorization: `Bearer ${adminToken}`, "content-type": "application/json" },
-            body: JSON.stringify({ publicKey: key.publicKey, publicKeyId: key.publicKeyId, ...(notes ? { notes } : {}) }),
-            signal: AbortSignal.timeout(10_000),
-        });
+        const { res } = await centerFetch({ baseUrl, credential: createCenterCredentialSource({ from: "env", token: adminToken }, undefined) }, { kind: "execution-keys" }, { method: "POST", json: { publicKey: key.publicKey, publicKeyId: key.publicKeyId, ...(notes ? { notes } : {}) }, timeoutMs: 10_000, ...(opts.fetchImpl ? { fetchImpl: opts.fetchImpl } : {}) });
         if (res.ok) {
             let idempotent = false;
             try {

package/dist/server-secret-env.d.ts

@@ -0,0 +1,41 @@
+/**
+ * 7.99.0 合并复审 F7(web-admin [ref] 实测;安全轴;DEBTS S-684)—— 子进程 env 交出去之前的**本仓**密钥剥除。
+ *
+ * ## 病
+ * 本仓两条子进程腿 —— 模型可驱动的 host shell(`inheritEnv:"scrub"` 缺省腿,`plugins/remote-env-host.ts`)与
+ * project-memory 的 git 子进程(`project-memory.ts`)—— 此前只调 core 的 `scrubSecretEnv`。它按键名**形状**判
+ * (`*_KEY` / `*_TOKEN` / `*_SECRET` …),而本仓自己的凭据键里有形状规则认不出的:`SERVICE_AUTH_TOKENS`(复数,
+ * per-system 凭据表)、`APPROVAL_HMAC_KEYS`(直连门 HMAC 密钥集)、`OTEL_EXPORTER_OTLP_HEADERS`(常载鉴权头)⇒
+ * 原样进子进程,模型选的一句 `printenv` 就读得到。
+ *
+ * ## 规则(一句)
+ * 本仓**知道**哪些 env 键是凭据 —— 配置目录(`config-catalog.ts`)里 `type:"secret"` 的每一行,从目录机器派生,
+ * 不手抄第二份名单 —— 这些键按名剥;其余照旧交 core 按形剥。{@link scrubServerSecrets} = 目录派生剥除 ∘ core
+ * `scrubSecretEnv`,两条腿都只调它。core 形状规则的缺口由 core 源头修(另案);本层不改 core 的判据,也不自造
+ * 第二份形状规则。目录里加一个 secret 型键,两条腿当场就剥它。
+ *
+ * ## 不变的面
+ * `inheritEnv:"all"`(显式全继承)与显式 allowlist 两形不经本函数,行为逐字不变;调用方显式传入的 env
+ * (`cfg.env` / 单次命令的 `env`)照旧原样覆盖在剥除结果之上。
+ */
+import { type SecretEnvFinding } from "@sema-agent/core";
+/** 目录派生臂的一条剥除记录(形同 core 的 `SecretEnvFinding`:键名 / 规则 / 置信度 / 来源;值永不携带)。
+ *  `source` 用本仓自己的词 `server-config-catalog`,与 core 的 `secret-env` 分开 —— 读观测面的人要分得清
+ *  「形状规则剥的」与「本仓目录点名剥的」(后者多出来的那部分正是 core 形状规则的缺口)。 */
+export interface CatalogSecretEnvFinding {
+    readonly key: string;
+    readonly kind: "config-catalog";
+    readonly confidence: "high";
+    readonly source: "server-config-catalog";
+}
+/** 本仓两条子进程腿的剥除记录:core 的形状臂 ∪ 本仓的目录臂。 */
+export type ServerSecretEnvFinding = SecretEnvFinding | CatalogSecretEnvFinding;
+/** 配置目录里 `type:"secret"` 的 env 名(大写 —— Windows 的 env 名不分大小写,按大写比才不会漏)。 */
+export declare const CATALOG_SECRET_ENV_NAMES: ReadonlySet<string>;
+/**
+ * 先交 core 按形剥,再按目录名剥它漏下的。`findings` 是调用方持有的收集器(交给 `recordSecretEnvScrub` 留痕):
+ * 形状臂剥掉的记 core 的 finding;目录臂只记**形状臂漏下、被目录点名剥掉**的键 —— 于是既有的形状臂计数不变,
+ * 目录臂的计数恰好就是 core 形状规则的缺口读数。
+ */
+export declare function scrubServerSecrets(env: NodeJS.ProcessEnv, findings: ServerSecretEnvFinding[]): NodeJS.ProcessEnv;
+//# sourceMappingURL=server-secret-env.d.ts.map

package/dist/server-secret-env.js

@@ -0,0 +1,18 @@
+import { scrubSecretEnv } from "@sema-agent/core";
+import { CONFIG_CATALOG } from "./config-catalog.js";
+export const CATALOG_SECRET_ENV_NAMES = new Set(CONFIG_CATALOG.filter((spec) => spec.type === "secret").map((spec) => spec.name.toUpperCase()));
+export function scrubServerSecrets(env, findings) {
+    const shapeFindings = [];
+    const shaped = scrubSecretEnv(env, shapeFindings);
+    findings.push(...shapeFindings);
+    const out = {};
+    for (const key of Object.keys(shaped)) {
+        if (CATALOG_SECRET_ENV_NAMES.has(key.toUpperCase())) {
+            findings.push({ key, kind: "config-catalog", confidence: "high", source: "server-config-catalog" });
+            continue;
+        }
+        out[key] = shaped[key];
+    }
+    return out;
+}
+//# sourceMappingURL=server-secret-env.js.map

package/dist/tool-approval.d.ts

@@ -76,6 +76,50 @@ export type ParkedAskRedeem = (req: ParkedAskRedeemRequest) => Promise<{
     status: number;
     body: Record<string, unknown>;
 }>;
+/**
+ * 一问身上与「站着的答案」有关的三个事实位 —— {@link standingAnswerMayRetire} 的全部入参。
+ *
+ * 🔴 **三格全必填布尔**,刻意不做 `?: true` 的「只记真」形:判据哪天多一位,每个读者都要当场编译红,
+ * 而不是漏传一格被静默读成 `false`(那是安全轴上的 fail-open)。读者各自从自己手里的形折成这三格:
+ * live 读侧取 `req` + 本地治理 peek,live 写侧取 pending 条目。本型**不绑** live 条目 —— 耐久 `/decide`
+ * 腿候 core 给 `PendingAction` 补 `mandated` 孪生位后按同一形接入(见 S-663;今天行上只有
+ * `requiresRealApproval` 孪生与依赖车道的 `ruleOffersAbsence`,缺一位不先接两位)。
+ */
+export interface StandingAnswerFacts {
+    /** 本仓治理层(`AUTONOMY` / `commandPolicy` / shellGate / `SENSITIVE_WRITE_PATTERNS`)产的门。 */
+    readonly governanceForced: boolean;
+    /** core 闸站盖的「必须真人逐次批」位(连一揽子 `onAsk:"allow"` 席也不得答)。 */
+    readonly requiresRealApproval: boolean;
+    /** core 闸站盖的强制位([ref]):规则清不掉、站着的答案退不掉,只有对**这一次调用**的应答能答。 */
+    readonly mandated: boolean;
+}
+/**
+ * 🔴 **S-660 —— 会话级放行的唯一判据:站着的答案能不能退掉这一问。** 纯谓词,两个(将来三个)读者:
+ *  · **读侧**(`askBroadcast` 的会话授权短路):`true` 才可能由既有 grant 代答,否则往下走真出卡;
+ *  · **写侧**(`finishRespond` 的 `grantable`):`true` 才可能把这张卡上的 `allow_session` 铸成 grant,
+ *    否则只放行这一次、`rememberApplied:false`。
+ * 两臂读同一份事实、说同一句话:一问若不许被记住的放行答掉,它的应答也不许变成一条记住的放行 —— 否则
+ * 同一只卡「重跑一遍」就被自己上一次的回答代答(test [ref] U1s-off 的真形)。
+ *
+ * **为什么三位是同一类**(「站着的答案退不掉的一问」):会话授权 = **上一次**应答记下的一揽子放行,不是对
+ * **这一次**调用的应答 —— 与持久 allow 规则同族,只是更短命(`askBroadcast` 短路处的注早已这么定性)。
+ *  · `mandated`:core 7.29.0 `PermissionResult` ask 臂 `mandated` 成员的文档「no persisted allow rule and no standing
+ *    posture may retire it, only an answer to THIS call」;`ruleClearanceOf` 的文档「Allow rules silence the
+ *    classifier's questions, never a mandated one」。core 09-23 澄清(将在 7.30.0 落进 d.ts):「从早先某次
+ *    回答记住的放行,**任何 scope、会话级也算**」都是站着的答案。它**不**绑这一次调用的应答者(人、hook、
+ *    部署的一揽子 `onAsk:"allow"` 席、mandate 表允许的活判定者)—— 那一半本仓不动(见 `mandated` 帧键顶注)。
+ *  · `requiresRealApproval`([ref]):更强的那条,连一揽子席也不得答,当然也不许记住的放行答。
+ *  · `governanceForced`([ref]):运维治理层的门,客户端表态掀不掉;持久规则车道早已同判(`buildRuleLaneMaterial`)。
+ * 本谓词**不重推** core 的 `ruleClearanceOf` / `ruleMayClear`(core 刻意不导出:闸外重算拿不到同一份标记快照,
+ * 会分叉),只读闸站**盖好**的两位 + 本仓自己的治理标。
+ *
+ * **为什么读侧的行复核(`sessionGrantUncontestedByRow`)不必为 `mandated` 加一次行读**:`mandated` 是 `req`
+ * **自己**的位 —— core 每一次过闸(含 failover / 重启后的重入)都由 `runGateLanes` 里的 `stampAskOrigin`
+ * 重新盖、经同一处的 `carryOf` 带上 `AskRequest`,读侧手里的 `req` 恒是这一次过闸的真值。`governanceForced`
+ * 需要行读,是因为它来自本仓的**进程内**治理标表:failover / 重启后幂等命中既有行时本地表恒空,行上的卡才
+ * 存着落库那一刻的判定。何况行上本来就没有 `mandated`(耐久面不造孪生座)—— 读了也读不到。
+ */
+export declare function standingAnswerMayRetire(facts: StandingAnswerFacts): boolean;
 /** A live approval frame delivered to whoever tails this run's stream. `type` IS the SSE event name (named-event
  *  convention, same as question). The shell renders `tool_approval` as the CC three-choice card and dismisses on
  *  `tool_approval_complete`. */
@@ -150,7 +194,10 @@ export interface ToolApprovalFrame {
      * 「不是强制」「老引擎」「这是一张从 park 行上重铸的耐久卡」三形 —— **耐久面上本仓不造孪生座**:core 的
      * 寄存行(`PendingAction`)没有这一位(KL-997a 亲读登记),行上强制表现为 `ruleOffersAbsence:"mandated"`
      * 且无 `ruleOffers`;在 `card_json` 侧自铸一个就是本仓成了这个事实的第二个源(而 park 那侧根本没有输入)。
-     * 🔴 echo-only:server 不据它做任何裁决(强制的判定属主在 core 的闸站)。
+     * 🔴 **server 不判「是不是强制」**(判定属主在 core 的闸站),只**读**闸站盖好的这一位 —— 读者恰一个:
+     * S-660 起的会话级放行判据 {@link standingAnswerMayRetire}(会话授权是**上一次**应答记下的站着的答案,
+     * 不是对这一次调用的应答 ⇒ 强制卡上既不被既有 grant 代答、也不铸 grant)。上一段「一揽子 `onAsk:"allow"`
+     * 席照常答得了」说的是**这一次调用的应答者**,本仓不改它。
      */
     mandated?: true;
     /**

package/dist/tool-approval.js

@@ -79,6 +79,9 @@ function sessionAllowCategory(toolName) {
 function sessionAllowKey(owner, sessionId, category) {
     return JSON.stringify([owner, sessionId, category]);
 }
+export function standingAnswerMayRetire(facts) {
+    return !facts.governanceForced && !facts.requiresRealApproval && !facts.mandated;
+}
 export const PERSIST_RULE_TEXT_ERROR = `persistRule.rule must be a non-empty string of at most ${MAX_RULE_TEXT_CHARS} characters`;
 export const PERSIST_RULE_EDITED_FLAG_ERROR = "persistRule.edited must be a boolean when present";
 export const PERSIST_RULE_BATCH_INDEX_ERROR = "persistRule.batchOfferIndex must be a non-negative integer when present";
@@ -829,8 +832,7 @@ export class ToolApprovalCoordinator {
         }
         const primary = aliveCtxs[0];
         const governanceForced = (this.governanceAskMarks ?? governanceAskMarksFor(this.streamKey(origin.owner, origin.sessionId, origin.taskId))).isMarked(req.toolCallId);
-        if (!governanceForced &&
-            req.requiresRealApproval !== true &&
+        if (standingAnswerMayRetire({ governanceForced, requiresRealApproval: req.requiresRealApproval === true, mandated: req.mandated === true }) &&
             origin.sessionId &&
             this.allowAllSessions.has(sessionAllowKey(origin.owner, origin.sessionId, sessionAllowCategory(req.toolName))) &&
             (await this.sessionGrantUncontestedByRow(origin, req))) {
@@ -1385,6 +1387,7 @@ export class ToolApprovalCoordinator {
             ...(ruleLaneMaterial !== undefined ? { ruleLane: ruleLaneMaterial } : {}),
             ...(effectiveGovernanceForced ? { governanceForced: true } : {}),
             ...(req.requiresRealApproval === true ? { requiresRealApproval: true } : {}),
+            ...(req.mandated === true ? { mandated: true } : {}),
             ...(askId !== undefined && batchId !== undefined ? { askId, batchId } : {}),
         };
         selfEntry = pendingEntry;
@@ -1962,7 +1965,11 @@ export class ToolApprovalCoordinator {
     }
     finishRespond(id, entry, parsed, opts) {
         let rememberApplied;
-        const grantable = entry.requiresRealApproval !== true && entry.governanceForced !== true;
+        const grantable = standingAnswerMayRetire({
+            governanceForced: entry.governanceForced === true,
+            requiresRealApproval: entry.requiresRealApproval === true,
+            mandated: entry.mandated === true,
+        });
         if (parsed.value === "allow_session")
             rememberApplied = Boolean(entry.sessionId) && grantable;
         if (parsed.value === "allow_session" && entry.sessionId && grantable) {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/server",
-  "version": "7.98.0",
+  "version": "7.99.0",
   "description": "Sema Server — the server/API implementation layer for Sema, wiring core, registry, model providers, and cloud agent execution. Built on @sema-agent/core.",
   "type": "module",
   "license": "BUSL-1.1",
@@ -38,10 +38,11 @@
     "sema-up": "deploy/sema-up/sema-up.sh"
   },
   "engines": {
-    "node": ">=20"
+    "node": "^20.19.0 || >=22.12.0"
   },
   "scripts": {
     "typecheck": "tsc --noEmit -p tsconfig.typecheck.json",
+    "typecheck:scripts": "tsc --noEmit -p tsconfig.scripts.json",
     "build": "rm -rf dist && tsc -p tsconfig.build-js.json && tsc -p tsconfig.build-dts.json && node scripts/scrub-dist-refs.mjs dist",
     "prepublishOnly": "npm run build && vitest run test/pack-hygiene.test.ts",
     "start": "node dist/main.js",
@@ -61,7 +62,7 @@
   },
   "dependencies": {
     "@sema-agent/core": "7.29.0",
-    "@sema-agent/settings-schema": "3.0.0",
+    "@sema-agent/settings-schema": "5.0.0",
     "e2b": "^2.28.0",
     "libsodium-wrappers": "^0.8.4",
     "mysql2": "^3.22.4",