@sema-agent/settings-schema 14.0.0 → 14.1.0

package/CHANGELOG.md

@@ -6,6 +6,50 @@
 > `@sema-agent/registry-core`(更早还曾是 `@sema-ai/registry-core`)。本档 `0.19.0` 以下各节里的
 > 包名是**历史记录**,如实保留不追改。
 
+## Unreleased
+
+## 14.1.0 — 2026-10-18 — minor:请求面 MCP 判官与服务端请求腿同严(申报名首尾空白 · `env` / `headers` 只收纯数据记录 · 两只回显描述器的回显口径)
+
+> 档位:**minor**(型面加性:`McpEntryKeyIssue` 新增两个可选格 `member?` / `fault?`;三处两层两答的判官变严是 bug 修复);导出名单不变(请求面判官与描述器自 14.0.0 起都在主 barrel:`isUsableWireName` · `describeBadWireName` · `isContentOriginWord` ·
+> `describeBadContentOrigin` · `readRequestMcpTransport` · `readMcpIdentityHeaders` · 值种类描述件与 `TOOL_WIRE_NAME_MAX_CHARS`,本版无增删,`docs/API-SURFACE.md` 不动)。
+> 型面一处加性:`McpEntryKeyIssue` 多两个**可选**格 `member?` / `fault?`(不改既有的 `path` / `reason`;只有 `env` / `headers` 记录上的坏形带)。
+
+- **行为修复(申报名首尾空白 = 坏名)**。`isUsableWireName` 对首尾带空白的名返回 `false`;此前它只判非串 / 空串 / 超 `TOOL_WIRE_NAME_MAX_CHARS`,所以 `" fs"` / `"fs\n"` 被收。
+  「空白」就是 `String.prototype.trim` 剥的那一组(ECMAScript 的 WhiteSpace + LineTerminator 共 25 个码点:空格 / 制表 / 换行 / NBSP / BOM / 全角空格 / 行段分隔符等);不在这一组里的不可见字符(零宽空格 U+200B 等)不算空白,本判官不管。申报名是线上工具名 `mcp__<server>__<tool>` 的身份片:带着空白的那个名字不是
+  另一个名字、是坏名 —— 所以**不 trim、不规范化**(与「不截断」同向:改写一个名字就是换一个身份,挂在原名上的 allowTools / toolFaces 收窄声明会一起对不上号)。内部空白(`"a b"`)照旧合法,本判官不扩判。
+  `describeBadWireName` 对这类名给一个种类词:`" a" (leading or trailing whitespace)`;又超界的一句说全:`… (129 chars > 128, leading or trailing whitespace)`;摘要的回显口径见下面「两只回显描述器」一条,
+  既有的超界 / `empty` / 非串三形的句式不变。判与说共读同一个「首尾空白」定义,不会各按各的口径。
+  三问 —— **谁需要**:两层同答。装配口(client-core)对首尾空白的申报名拒、而本判官收,同一个名字两层两答;判官在契约包,各层读同一份才不会再分岔。
+  **谁受伤**:申报名带首尾空白的配置 / 请求 —— 读本判官的服务端请求腿与声明腿(壳的发送前预检若读它亦然)此前放行(服务端受理后以带空白的名挂上),现在按坏名处理;重放存量提交体的消费方按各自对坏名的处置走
+  (服务端的重放腿:摘掉这条 server 并点名),所以存量里带空白名的 parked 任务续跑时会少这台 server。**补偿**:去掉空白 —— 拒句点名 `leading or trailing whitespace`(制表 / 换行这类控制空白在回显里被剥掉,看得出是空白靠这个种类词);
+  `"a b"` 这类内部空白无须改。
+  钉:`test/mcp-request-entry-14.0.0.test.ts` ⑥(首尾空白各形,含 `trim` 那一组 25 个码点的前后位 · 组外不可见字符照旧合法 · 内部空白照旧 · 摘要既有三形不动 + 空白种类词 + 超界并存一句说全 · 判官与摘要按逐名事实表同一定义)·
+  ⑦(消费方切 import 要用的判官 / 描述器 / 常量与三个结果型逐名在主 barrel)。
+- **行为修复(`env` / `headers` 只收纯数据的「名 → 串」记录)**。`readRequestMcpTransport` 读 `transport.env`(stdio)/ `transport.headers`(http)此前判「每个值都是串」(`Object.values` 全是串):
+  `new Map()`、`Set`、带自有串属性的类实例照收并原样交出(交出的就是那个 `Map` / 实例),JSON 文本铸出的自有 `__proto__` 键原样带出,交出的还是调用方的**同一个对象**,一个抛错的访问器会让读器抛出去。
+  现在与服务端请求腿同严:记录交不交 = 原型是 `Object.prototype` 或 `null`(纯数据)且每个自有成员(不可枚举的也算,访问器调一次)的值都是串。
+  `Map` / `Set` / 类实例 / 建在原型上的记录 ⇒ 这个键整张不交,`lost` 记一处,原因句 `must be a plain object of string values — got an object that is not plain data (…)`;不是对象 / 数组 / `null` ⇒ 同一条(`got an array` 等);
+  有成员值不是串(或访问器抛了)⇒ 整张不交,句子点名第一个坏成员(`its member "PORT" must be a string — got a number`);读原型与成员名时代理的 trap 抛了 ⇒ 同样整张不交(读器对递来的任何对象都不抛,这一条服务端读法是抛出去,本包更稳);
+  名叫 `__proto__` 的成员(引擎的声明收据不收这个名)⇒ 记录照交、副本里没有它,`lost` 单记一处、路径 `transport.env.__proto__`,它的值也不是串时整张不交、一句说全两件事。
+  **交出的是副本**(原型 `Object.prototype`),改调用方的对象不影响读后的形。`isStringRecord` 与读器是同一个定义(包内没有第二把更宽的尺)。
+  机读位:`McpEntryKeyIssue` 多两个可选格 —— `member`(成员名的回显形,可直接进日志与句子)与 `fault`(闭集词 `not_plain_record` / `member_not_string` / `member_name_reserved`),
+  只有 `env` / `headers` 记录上的坏形带,调用方分流不必解析句子;句子 `reason` 仍是消费方拒句的来源(逐字同服务端请求腿,期望句取自服务端 7.132.0 读器的实测输出)。
+- **行为修复(两只回显描述器用服务端的回显口径)**。`describeBadWireName` / `describeBadContentOrigin` 此前用 `JSON.stringify`(控制字符转义成 `\n` 字样、**双向控制字符原样输出**),名只截 32 字、内容出处值连引号截 64 字;
+  现在:剥掉 C0 控制符、DEL 与双向控制字符(Unicode `Bidi_Control=Yes` 全集 12 个码点:U+061C · U+200E/200F · U+202A–202E · U+2066–2069;一个 RLO 能把一行字读反,一个换行能伪造一行日志)—— 是**删**,不转义;
+  剥完再数,超 64 字截到 64 加 `…`(省略号在引号内);引号形 `"…"`,内部的引号与反斜杠逐字。清洗面不含 C1 与 U+2028 / U+2029(加宽是行为变更,要各自的判据)。`N chars > 128` 的 N 仍是送来的原长度。
+  双向这一半的属主是引擎(`BIDI_CONTROL_CHARS`),本包运行期不依赖引擎,以镜像承载并由上游漂移门 ⑨ 逐码点全扫(U+0000–U+10FFFF)对拍。
+  三问(这两条一起答)—— **谁需要**:服务端请求腿(与壳的发送前预检)。它们此前各留一份自家的传输读器与两只描述器,因为本包的读法比请求腿松;读法同严之后切到 import,请求面没有第二份判官。
+  **谁受伤**:① 直接调读器、把 `Map` / `Set` / 类实例当 `env` 或 `headers` 递进来的调用方 —— 此前本包放行(服务端请求腿已拒),现在整张不交并记 `lost`,受理新提交的门据它 400,两层同拒;
+  ② 带自有 `__proto__` 成员的 JSON 体 —— 现在 `lost` 点名它、副本里没有它;③ 读坏名 / 坏内容出处回显的运维 —— 换行不再显示成 `\n`、双向字符不再原样出现、名的回显从 32 字变 64 字、引号内不再转义。
+  **补偿**:把 `Map` / 类实例展开成纯对象再递(`Object.fromEntries(map)` / `{ ...instance }`);删掉 JSON 体里的 `__proto__` 键;分流用 `lost` 的 `path` / `member` / `fault`,不解析句子。
+  钉:`test/mcp-request-entry-14.0.0.test.ts` ⑧(`Map` / `Set` / 类实例 / 原型上的记录 / `Date` · 非对象值 · 非串成员 · 自有 `__proto__` 成员与值也坏的并列 · 副本 · 隐藏成员与访问器 · 成员名回显清洗 · `lost` 读序 · 正控 · `isStringRecord` 与读器同答)·
+  ⑨(C0 / DEL / 12 个双向码点逐个剥,两只描述器各验 · C1 与 U+2028 / U+2029 不剥 · 先剥后数 · 64 字界 · 引号形 · 空白种类词与清洗同在)· `test/upstream-drift.test.ts` ⑨(回显清洗类对引擎 `BIDI_CONTROL_CHARS` 逐码点全扫,两只描述器各扫一遍 + 门有牙)。
+- **下游(表态制:认领 + 排期 / 显式拒绝 + 理由 / 申请裁定)**:
+  **server**:申报名判官已读本包,抬到本版随之收严,零代码改动;请求腿的传输读器(`env` / `headers` 半场)与两只回显描述器的读法与服务端 7.132.0 同严,可整个换成 import、删自家三份
+  (描述器切过来时空白名多一个种类词);A2A 对端 `headers` 的记录读法(自家的 `plain-string-record.ts`)仍在服务端,本包不导出记录读器。
+  **cli**:可直接 import(14.0.0 起);读它即与服务端受理同答,本版无导出变化。**client-core**:对 14.0.0 档里「经包转出判官要加运行期依赖,请选」的答 = 选**构建期抄本**、不加运行期依赖;抄本的对拍钉请对本版
+  `isUsableWireName` 的真值表(首尾空白 = `trim` 那一组 ⇒ 坏名,内部空白合法,界 128);读器与描述器若也抄,请跟本版的读法(纯数据记录、回显口径)。**sdk**:零引用。
+
 ## 14.0.0 — 2026-10-17 — major:prompts 域单轴(中心 artifact v3 的结构镜像;声明轴与 v1 catalog 轴退役,一次性迁移 SS-M10)· 请求面 MCP 条目判官入包
 
 > 档位:**major**。两件事,一条律各一句:

package/README.md

@@ -56,7 +56,8 @@ therefore shows only `zod`. Node built-ins only (`node:crypto`, `node:fs`).
 - **存量**:一次性迁移 SS-M10 删掉空的 `bindings: []`;非空 `bindings` 与 `catalog` 被拒、原样留着 —— 从中心编辑器重新发布(本地 `config.d` 的 `bindings`
   引擎从未读过,删键即可)。
 - **请求面 MCP 条目**:`isUsableWireName` / `readRequestMcpTransport` / `readMcpIdentityHeaders` / `isContentOriginWord` 住本包(判据与原因句与服务端请求腿逐字同),
-  壳的发送前预检与服务端受理同答。
+  壳的发送前预检与服务端受理同答。申报名判官 `isUsableWireName` 另判首尾空白(坏名;不 trim、不规范化,内部空白照旧合法);`readRequestMcpTransport` 的 `env` / `headers`
+  只收纯数据的「名 → 串」记录(`Map` / `Set` / 类实例 / 自有 `__proto__` 成员不收,交出的是副本,`lost` 条目带 `member` / `fault` 机读位);两只回显描述器剥控制与双向字符、截 64 字,与服务端回显同口径。
 - **部署序**:中心(发布方)与服务端同一维护窗升级,中心先;窗内新旧两端互拒整份候选、停在上一份好配置。细节与逐条三问见 CHANGELOG 14.0.0。
 
 ## 升级指引:10.x → 11.0.0 · 持久面:一次性迁移(`./one-time-migrations`)
@@ -462,8 +463,8 @@ therefore shows only `zod`. Node built-ins only (`node:crypto`, `node:fs`).
   written, sources}` — judged on the expanded target, echoed only as written; the managed layer (whose `allowManagedMcpServersOnly` counts)
   is the source whose tier in `SETTINGS_SOURCE_CONTRACT` is `managed`.
 - **Request-plane MCP entry judges** (`mcp-request-entry.ts`, 14.0.0): `isUsableWireName` / `describeBadWireName` (the engine's wire-name bound
-  `TOOL_WIRE_NAME_MAX_CHARS`, mirrored), `isContentOriginWord` / `describeBadContentOrigin`, `readMcpIdentityHeaders`, `readRequestMcpTransport`
-  (hard faults `ok:false` naming the key path; soft faults dropped by the reader and listed in `lost`) and the value-shape describers — one reading for
+  `TOOL_WIRE_NAME_MAX_CHARS`, mirrored; a name with leading or trailing whitespace is a bad name too — never trimmed, never normalised; inner whitespace stays legal), `isContentOriginWord` / `describeBadContentOrigin`, `readMcpIdentityHeaders`, `readRequestMcpTransport`
+  (hard faults `ok:false` naming the key path; soft faults dropped by the reader and listed in `lost`; `env` / `headers` are read as plain-data string records — a `Map`, a class instance or an own `__proto__` member is not one, the delivered record is a copy, and a `lost` entry for a record carries machine-readable `member` / `fault`; the two describers strip control and bidi characters and cut at 64 characters, the service's echo form) and the value-shape describers — one reading for
   the service's request legs and the shell's pre-send check. A `toolFaces` declaration stays parse-transparent here: its shape is the engine ingest side's to judge, and none of the tool-face vocabularies is mirrored in this package.
 - **UI language** (`ui-language.ts`, 13.0.0): `semaUiLanguage` (`en` / `zh`, category `ui`, user settings) + `readUiLanguage`.
 - **Cross-session settings** (`cross-session.ts`): the two `settings.json` keys `crossSessionInbound`

package/conformance/VERSION

@@ -1 +1 @@
-14.0.0
+14.1.0

package/dist/mcp-request-entry.d.ts

@@ -7,13 +7,16 @@
  * 或者自己抄一份 —— 两份判据就是将来漂开的那一份。现在判官在契约包,服务端与壳读同一份,同一条条目在两处同受理 / 同拒、同一个键路径、同一句原因。
  *
  * ## 语义是搬来的,不是重写的
- * 判据与原因句逐字等于消费方 7.131.x 的那一份(钉:`test/mcp-request-entry-14.0.0.test.ts` 逐例搬了消费方既有钉的夹具与期望)。
+ * 判据与原因句逐字等于消费方请求腿的那一份(钉:`test/mcp-request-entry-14.0.0.test.ts` 逐例搬了消费方既有钉的夹具与期望)。
  * 本模块只答「这一格的形」;拒绝的整句(条目下标、条目名的回显清洗、收尾句)与「拒还是降级」的后果仍是消费方按自己的腿定的 —— 判据一份,后果按腿分。
+ * 与最初搬来时相比有三处收严,都是收到与消费方请求腿同严、不是新语义,消费方改 import 这一份之后不再各留一份旧判据:申报名判官另判**首尾空白**;
+ * `env` / `headers` 只收**纯数据**的「名 → 串」记录(Map / 类实例 / 自有 `__proto__` 成员不收,交出的是副本);两只回显描述器用消费方的回显口径(剥控制与双向字符、截 64 字、引号形)。
  *
  * ## 依赖的引擎事实(镜像 + 漂移门)
  *  · 申报名的线长界 {@link TOOL_WIRE_NAME_MAX_CHARS} = 引擎同名常量(值级对拍:上游漂移门 ⑧);
  *  · 请求面传输形 {@link RequestMcpTransport} = 引擎 MCP 条目的传输形,http 形多一个本包承载的 `assertionHeader`(编译期双向对拍:门 ⑧);
  *  · 内容出处词表 = {@link MCP_CONTENT_ORIGINS}(已有的镜像,门 ⑥);
+ *  · 回显清洗类的双向半场 = 引擎 `BIDI_CONTROL_CHARS`(镜像,逐码点全扫对拍:门 ⑨;本包运行期不依赖引擎);
  *  · url 前缀守卫 = `./url-shape` 的 `startsWithHttpScheme`(本包判 URL 的正则只在那一个模块)。
  *
  * ## 与配置面的关系(如实)
@@ -30,23 +33,31 @@ export declare function describeNotStringArray(v: unknown): string;
 export declare function describeNotStringRecord(v: unknown): string;
 /** 字符串数组(空数组合法)。 */
 export declare function isStringArray(v: unknown): v is string[];
-/** 字符串值的对象(空对象合法;数组不是)。 */
+/**
+ * 纯数据的「名 → 串」记录(空对象合法;数组、`Map`、类实例、自有 `__proto__` 成员、有非串成员的对象都不是)。与传输读器读 `env` / `headers` 是**同一个**定义
+ * ({@link readPlainStringRecord}):包内没有第二把更宽的尺。
+ */
 export declare function isStringRecord(v: unknown): v is Record<string, string>;
 /** 引擎 `TOOL_WIRE_NAME_MAX_CHARS` 的镜像:一台 MCP server(或 A2A 对端)的申报名会成为线上工具名的命名空间段,引擎对超界名是**拒**(不截断)。 */
 export declare const TOOL_WIRE_NAME_MAX_CHARS = 128;
 /**
- * 这个申报名能用吗。严判:非串、空串、超 {@link TOOL_WIRE_NAME_MAX_CHARS} 一律不可用。不截断、不规范化 —— 截短一个名字就是**换一个身份**,
- * 而被换掉身份的那台 server 上挂的 allowTools / toolFaces 收窄声明会一起对不上号。
+ * 这个申报名能用吗。严判:非串、空串、超 {@link TOOL_WIRE_NAME_MAX_CHARS}、**首尾带空白**一律不可用。不截断、不 trim、不规范化 —— 截短或剥掉一个名字就是**换一个身份**,
+ * 而被换掉身份的那台 server 上挂的 allowTools / toolFaces 收窄声明会一起对不上号。首尾空白 = 坏名(它不是另一个名字:名字是 `mcp__<server>__<tool>` 的身份片,
+ * 带着空白的一端无从与不带的那个对上号);内部空白(`a b`)照旧是合法名,本判官不扩判。
  */
 export declare function isUsableWireName(v: unknown): v is string;
-/** 坏名的**可打印**摘要(进拒句 / 告警元数据):种类、`empty`,或截到 32 字加长度事实 —— 绝不把任意长度的申报串原样回显。 */
+/**
+ * 坏名的**可打印**摘要(进拒句 / 告警元数据):种类、`empty`,或引号形的回显加原因 —— 绝不把任意长度的申报串原样回显。回显口径见 {@link quotedCallerText}
+ * (剥控制与双向字符、截 64 字)。串的原因是:超界 ⇒ `N chars > 128`(N 是送来的原长度,不是剥完的);首尾带空白 ⇒ `leading or trailing whitespace`
+ * (制表 / 换行这类控制空白在回显里被剥掉,所以看得出是空白靠这个种类词,不靠引号里的样子);两件事并存 ⇒ 一句说全(`N chars > 128, leading or trailing whitespace`)。
+ */
 export declare function describeBadWireName(v: unknown): string;
 /**
  * 在内容出处词表({@link MCP_CONTENT_ORIGINS})内吗。严判:非串与大小写不符(`"LOCAL"`)一律不在 —— 引擎的词是字面量联合、不做规范化;
  * 替它「宽容一下」等于自造第二份值域语义,而这条轴上宽容的方向恰好是**放宽信任**(把一个写坏的声明读成 `"local"`)。
  */
 export declare function isContentOriginWord(v: unknown): v is McpContentOrigin;
-/** 坏内容出处值的**可打印**摘要:串 JSON 化、64 字截断加 `…`;非串只说种类。 */
+/** 坏内容出处值的**可打印**摘要:串 ⇒ 引号形的回显({@link quotedCallerText}:剥控制与双向字符、截 64 字);非串只说种类。 */
 export declare function describeBadContentOrigin(v: unknown): string;
 /**
  * 一份 http 传输上两个身份头(`principalHeader` / `assertionHeader`)的读法:字符串才收;**`principalHeader` 胜** —— 它在场(不论值形)时
@@ -69,10 +80,21 @@ export type RequestMcpTransport = {
     principalHeader?: string;
     assertionHeader?: string;
 };
-/** 条目内一处坏形:`path` = 条目内的键路径(`transport.url`),`reason` = 判官的原因句(只说形与词表,不回显值)。 */
+/**
+ * 条目内一处坏形:`path` = 条目内的键路径(`transport.url`),`reason` = 判官的原因句(只说形与词表,不回显值)。
+ *
+ * `env` / `headers` 这两张「名 → 串」记录上的坏形另带两格机读位,调用方分流不必解析句子:`fault` = 闭集词 ——
+ *  · `not_plain_record`:这个键的值不是纯数据记录(不是对象 / 数组 / `null`,或原型不是 `Object.prototype` 与 `null`:`Map`、`Set`、类实例);整张记录不交;
+ *  · `member_not_string`:有一个成员的值不是串(或访问器抛了);整张记录不交,`member` 点名它;
+ *  · `member_name_reserved`:有一个成员叫 `__proto__`(引擎的声明收据拒这个名)。成员的值是串 ⇒ 只剔这个成员、其余照交,`path` 是成员级(`transport.env.__proto__`);
+ *    成员的值也不是串 ⇒ 整张记录不交,`path` 是键级,句子一次说全两件事 —— 名坏优先、值坏并列,所以词仍是 `member_name_reserved`。
+ * `member` 是成员名的**回显形**(剥控制与双向字符、截 64 字加 `…`),可直接进日志与句子,不是回查原对象的键。其余的坏形(`args` / `url` / `principalHeader` / ……)两格都不带。
+ */
 export interface McpEntryKeyIssue {
     readonly path: string;
     readonly reason: string;
+    readonly member?: string;
+    readonly fault?: "not_plain_record" | "member_not_string" | "member_name_reserved";
 }
 /** {@link readRequestMcpTransport} 的结果:`ok:false` = 硬坏形(这条 server 无从挂载);`ok:true` 的 `lost` = 读器**丢掉**的可选子键(server 照挂、少一个声明)。 */
 export type RequestMcpTransportRead = {
@@ -86,8 +108,11 @@ export type RequestMcpTransportRead = {
 /**
  * 请求面 `transport` 的**唯一读器**:读器投影 transport 用它,发送前 / 受理时的判形读它报的 `lost` —— 同一只函数两个消费点,「读器丢了什么」与「门拒什么」不可能分岔。
  *  · 硬坏形(`transport` 不是对象 / `kind` 出闭集 / stdio 缺 `command` / http 的 `url` 不是 http(s))⇒ `ok:false`,`path` 是读器点名的键路径;
- *  · 软坏形(`args` 不是串数组 / `env` `headers` 含非串值 / `principalHeader` 非串)⇒ 读器**丢这个键**(重放存量提交体时的升级前读法),并把它记进 `lost`
+ *  · 软坏形(`args` 不是串数组 / `env` `headers` 不是纯数据的串记录 / `principalHeader` 非串)⇒ 读器**丢这个键**(重放存量提交体时的升级前读法),并把它记进 `lost`
  *    (受理新提交的门据它响亮拒)。`assertionHeader` 不在 `lost` 里:两个身份头的键组合与 `assertionHeader` 的值形由调用方在读之前对原始传输判。
+ *  · `env` / `headers` 只收**纯数据**的记录({@link readPlainStringRecord}):原型必须是 `Object.prototype` 或 `null`(`Map`、`Set`、类实例整张不收),每个自有成员的值都是串;
+ *    交出的是**副本**(不是调用方的对象,改原对象不影响读后的形)。名叫 `__proto__` 的成员(JSON 文本铸得出这个自有键,对象字面量写不出)不进副本、单独记进 `lost`。
+ *    坏形的 `lost` 条目带机读位(见 {@link McpEntryKeyIssue})。
  * url 的拒句不回显值:它常规地带凭据(userinfo)。
  */
 export declare function readRequestMcpTransport(t: unknown): RequestMcpTransportRead;

package/dist/mcp-request-entry.js

@@ -7,13 +7,16 @@
  * 或者自己抄一份 —— 两份判据就是将来漂开的那一份。现在判官在契约包,服务端与壳读同一份,同一条条目在两处同受理 / 同拒、同一个键路径、同一句原因。
  *
  * ## 语义是搬来的,不是重写的
- * 判据与原因句逐字等于消费方 7.131.x 的那一份(钉:`test/mcp-request-entry-14.0.0.test.ts` 逐例搬了消费方既有钉的夹具与期望)。
+ * 判据与原因句逐字等于消费方请求腿的那一份(钉:`test/mcp-request-entry-14.0.0.test.ts` 逐例搬了消费方既有钉的夹具与期望)。
  * 本模块只答「这一格的形」;拒绝的整句(条目下标、条目名的回显清洗、收尾句)与「拒还是降级」的后果仍是消费方按自己的腿定的 —— 判据一份,后果按腿分。
+ * 与最初搬来时相比有三处收严,都是收到与消费方请求腿同严、不是新语义,消费方改 import 这一份之后不再各留一份旧判据:申报名判官另判**首尾空白**;
+ * `env` / `headers` 只收**纯数据**的「名 → 串」记录(Map / 类实例 / 自有 `__proto__` 成员不收,交出的是副本);两只回显描述器用消费方的回显口径(剥控制与双向字符、截 64 字、引号形)。
  *
  * ## 依赖的引擎事实(镜像 + 漂移门)
  *  · 申报名的线长界 {@link TOOL_WIRE_NAME_MAX_CHARS} = 引擎同名常量(值级对拍:上游漂移门 ⑧);
  *  · 请求面传输形 {@link RequestMcpTransport} = 引擎 MCP 条目的传输形,http 形多一个本包承载的 `assertionHeader`(编译期双向对拍:门 ⑧);
  *  · 内容出处词表 = {@link MCP_CONTENT_ORIGINS}(已有的镜像,门 ⑥);
+ *  · 回显清洗类的双向半场 = 引擎 `BIDI_CONTROL_CHARS`(镜像,逐码点全扫对拍:门 ⑨;本包运行期不依赖引擎);
  *  · url 前缀守卫 = `./url-shape` 的 `startsWithHttpScheme`(本包判 URL 的正则只在那一个模块)。
  *
  * ## 与配置面的关系(如实)
@@ -50,31 +53,65 @@ export function describeNotStringRecord(v) {
 export function isStringArray(v) {
     return Array.isArray(v) && v.every((a) => typeof a === "string");
 }
-/** 字符串值的对象(空对象合法;数组不是)。 */
+/**
+ * 纯数据的「名 → 串」记录(空对象合法;数组、`Map`、类实例、自有 `__proto__` 成员、有非串成员的对象都不是)。与传输读器读 `env` / `headers` 是**同一个**定义
+ * ({@link readPlainStringRecord}):包内没有第二把更宽的尺。
+ */
 export function isStringRecord(v) {
-    return !!v && typeof v === "object" && !Array.isArray(v) && Object.values(v).every((x) => typeof x === "string");
+    const read = readPlainStringRecord(v);
+    return read.ok && !read.reservedMember;
 }
 function isRecord(v) {
     return v !== null && typeof v === "object" && !Array.isArray(v);
 }
+// ── 调用方写的串的回显口径 ──────────────────────────────────────────────────────────────────────────
+/**
+ * 回显清洗类:C0 控制符 + DEL + 双向控制字符(Unicode `Bidi_Control=Yes` 全集 12 个码点 —— 一个 RLO 能把一行字读反,一个换行能伪造一行日志)。清洗面刻意不含 C1 与
+ * U+2028 / U+2029:加宽是行为变更,要各自的判据。双向这一半的属主是引擎(`BIDI_CONTROL_CHARS`),这里是镜像,由上游漂移门逐码点全扫对拍。
+ */
+const CONTROL_AND_BIDI_STRIP_RE = /[\u0000-\u001f\u007f\u061c\u200e\u200f\u202a-\u202e\u2066-\u2069]/g;
+/** 回显的字符上限(剥完控制与双向字符之后数)。 */
+const CALLER_TEXT_ECHO_MAX_CHARS = 64;
+/** 调用方写的串的回显形(不带引号):剥控制与双向字符 → 超 {@link CALLER_TEXT_ECHO_MAX_CHARS} 字截断加 `…`。拒句 / 告警元数据里的有界回显,串可能任意长、可能带换行。 */
+function echoCallerText(text) {
+    const clean = text.replace(CONTROL_AND_BIDI_STRIP_RE, "");
+    return clean.length > CALLER_TEXT_ECHO_MAX_CHARS ? `${clean.slice(0, CALLER_TEXT_ECHO_MAX_CHARS)}…` : clean;
+}
+/** 句子里点名一个值的写法:{@link echoCallerText} 外加一对双引号;内部的引号与反斜杠逐字(不转义)。 */
+function quotedCallerText(text) {
+    return `"${echoCallerText(text)}"`;
+}
 // ── 申报名的线长界 ──────────────────────────────────────────────────────────────────────────────────
 /** 引擎 `TOOL_WIRE_NAME_MAX_CHARS` 的镜像:一台 MCP server(或 A2A 对端)的申报名会成为线上工具名的命名空间段,引擎对超界名是**拒**(不截断)。 */
 export const TOOL_WIRE_NAME_MAX_CHARS = 128;
 /**
- * 这个申报名能用吗。严判:非串、空串、超 {@link TOOL_WIRE_NAME_MAX_CHARS} 一律不可用。不截断、不规范化 —— 截短一个名字就是**换一个身份**,
- * 而被换掉身份的那台 server 上挂的 allowTools / toolFaces 收窄声明会一起对不上号。
+ * 首尾带空白吗 —— 「空白」就是 `String.prototype.trim` 剥的那一组(ECMAScript 的 WhiteSpace + LineTerminator:空格 / 制表 / 换行 / NBSP / BOM / 全角空格 / 行段分隔符等)。
+ * {@link isUsableWireName} 与 {@link describeBadWireName} 共读这一个定义,判与说不会各按各的口径。
+ */
+const hasEdgeWhitespace = (v) => v.trim() !== v;
+/**
+ * 这个申报名能用吗。严判:非串、空串、超 {@link TOOL_WIRE_NAME_MAX_CHARS}、**首尾带空白**一律不可用。不截断、不 trim、不规范化 —— 截短或剥掉一个名字就是**换一个身份**,
+ * 而被换掉身份的那台 server 上挂的 allowTools / toolFaces 收窄声明会一起对不上号。首尾空白 = 坏名(它不是另一个名字:名字是 `mcp__<server>__<tool>` 的身份片,
+ * 带着空白的一端无从与不带的那个对上号);内部空白(`a b`)照旧是合法名,本判官不扩判。
  */
 export function isUsableWireName(v) {
-    return typeof v === "string" && v.length > 0 && v.length <= TOOL_WIRE_NAME_MAX_CHARS;
+    return typeof v === "string" && v.length > 0 && v.length <= TOOL_WIRE_NAME_MAX_CHARS && !hasEdgeWhitespace(v);
 }
-/** 坏名的**可打印**摘要(进拒句 / 告警元数据):种类、`empty`,或截到 32 字加长度事实 —— 绝不把任意长度的申报串原样回显。 */
+/**
+ * 坏名的**可打印**摘要(进拒句 / 告警元数据):种类、`empty`,或引号形的回显加原因 —— 绝不把任意长度的申报串原样回显。回显口径见 {@link quotedCallerText}
+ * (剥控制与双向字符、截 64 字)。串的原因是:超界 ⇒ `N chars > 128`(N 是送来的原长度,不是剥完的);首尾带空白 ⇒ `leading or trailing whitespace`
+ * (制表 / 换行这类控制空白在回显里被剥掉,所以看得出是空白靠这个种类词,不靠引号里的样子);两件事并存 ⇒ 一句说全(`N chars > 128, leading or trailing whitespace`)。
+ */
 export function describeBadWireName(v) {
     if (typeof v !== "string")
         return v === null ? "null" : Array.isArray(v) ? "array" : typeof v;
     if (v.length === 0)
         return "empty";
-    const head = v.length > 32 ? `${JSON.stringify(v.slice(0, 32))}…` : JSON.stringify(v);
-    return `${head} (${v.length} chars > ${TOOL_WIRE_NAME_MAX_CHARS})`;
+    const head = quotedCallerText(v);
+    const tooLong = `${v.length} chars > ${TOOL_WIRE_NAME_MAX_CHARS}`;
+    if (!hasEdgeWhitespace(v))
+        return `${head} (${tooLong})`;
+    return `${head} (${v.length > TOOL_WIRE_NAME_MAX_CHARS ? `${tooLong}, ` : ""}leading or trailing whitespace)`;
 }
 // ── 内容出处词 ──────────────────────────────────────────────────────────────────────────────────────
 const CONTENT_ORIGIN_WORDS = new Set(MCP_CONTENT_ORIGINS);
@@ -85,10 +122,9 @@ const CONTENT_ORIGIN_WORDS = new Set(MCP_CONTENT_ORIGINS);
 export function isContentOriginWord(v) {
     return typeof v === "string" && CONTENT_ORIGIN_WORDS.has(v);
 }
-/** 坏内容出处值的**可打印**摘要:串 JSON 化、64 字截断加 `…`;非串只说种类。 */
+/** 坏内容出处值的**可打印**摘要:串 ⇒ 引号形的回显({@link quotedCallerText}:剥控制与双向字符、截 64 字);非串只说种类。 */
 export function describeBadContentOrigin(v) {
-    const raw = typeof v === "string" ? JSON.stringify(v) : v === null ? "null" : Array.isArray(v) ? "array" : typeof v;
-    return raw.length > 64 ? `${raw.slice(0, 64)}…` : raw;
+    return typeof v === "string" ? quotedCallerText(v) : v === null ? "null" : Array.isArray(v) ? "array" : typeof v;
 }
 // ── 两个身份头 ──────────────────────────────────────────────────────────────────────────────────────
 /**
@@ -105,8 +141,11 @@ const transportBad = (path, reason) => ({ ok: false, issue: { path, reason } });
 /**
  * 请求面 `transport` 的**唯一读器**:读器投影 transport 用它,发送前 / 受理时的判形读它报的 `lost` —— 同一只函数两个消费点,「读器丢了什么」与「门拒什么」不可能分岔。
  *  · 硬坏形(`transport` 不是对象 / `kind` 出闭集 / stdio 缺 `command` / http 的 `url` 不是 http(s))⇒ `ok:false`,`path` 是读器点名的键路径;
- *  · 软坏形(`args` 不是串数组 / `env` `headers` 含非串值 / `principalHeader` 非串)⇒ 读器**丢这个键**(重放存量提交体时的升级前读法),并把它记进 `lost`
+ *  · 软坏形(`args` 不是串数组 / `env` `headers` 不是纯数据的串记录 / `principalHeader` 非串)⇒ 读器**丢这个键**(重放存量提交体时的升级前读法),并把它记进 `lost`
  *    (受理新提交的门据它响亮拒)。`assertionHeader` 不在 `lost` 里:两个身份头的键组合与 `assertionHeader` 的值形由调用方在读之前对原始传输判。
+ *  · `env` / `headers` 只收**纯数据**的记录({@link readPlainStringRecord}):原型必须是 `Object.prototype` 或 `null`(`Map`、`Set`、类实例整张不收),每个自有成员的值都是串;
+ *    交出的是**副本**(不是调用方的对象,改原对象不影响读后的形)。名叫 `__proto__` 的成员(JSON 文本铸得出这个自有键,对象字面量写不出)不进副本、单独记进 `lost`。
+ *    坏形的 `lost` 条目带机读位(见 {@link McpEntryKeyIssue})。
  * url 的拒句不回显值:它常规地带凭据(userinfo)。
  */
 export function readRequestMcpTransport(t) {
@@ -119,15 +158,14 @@ export function readRequestMcpTransport(t) {
             return transportBad("transport.command", `must be a non-empty string (the command to run) — got ${describeValueShape(tr.command)}`);
         if (tr.args !== undefined && !isStringArray(tr.args))
             lost.push({ path: "transport.args", reason: `must be an array of strings — got ${describeNotStringArray(tr.args)}` });
-        if (tr.env !== undefined && !isStringRecord(tr.env))
-            lost.push({ path: "transport.env", reason: `must be an object of string values — got ${describeNotStringRecord(tr.env)}` });
+        const env = readTransportRecord("transport.env", tr.env, lost);
         return {
             ok: true,
             transport: {
                 kind: "stdio",
                 command: tr.command,
                 ...(isStringArray(tr.args) ? { args: tr.args } : {}),
-                ...(isStringRecord(tr.env) ? { env: tr.env } : {}),
+                ...(env !== undefined ? { env } : {}),
             },
             lost,
         };
@@ -137,8 +175,7 @@ export function readRequestMcpTransport(t) {
         if (typeof tr.url !== "string" || !startsWithHttpScheme(tr.url))
             return transportBad("transport.url", "must be an absolute http(s) URL (put credentials in transport.headers, never in the URL)");
         const ids = readMcpIdentityHeaders(tr);
-        if (tr.headers !== undefined && !isStringRecord(tr.headers))
-            lost.push({ path: "transport.headers", reason: `must be an object of string values — got ${describeNotStringRecord(tr.headers)}` });
+        const headers = readTransportRecord("transport.headers", tr.headers, lost);
         if (tr.principalHeader !== undefined && ids.principalHeader === undefined) {
             lost.push({ path: "transport.principalHeader", reason: `must be a string (the HTTP header NAME the end-user principal is injected into) — got ${describeValueShape(tr.principalHeader)}` });
         }
@@ -147,7 +184,7 @@ export function readRequestMcpTransport(t) {
             transport: {
                 kind: "http",
                 url: tr.url,
-                ...(isStringRecord(tr.headers) ? { headers: tr.headers } : {}),
+                ...(headers !== undefined ? { headers } : {}),
                 ...ids,
             },
             lost,
@@ -155,3 +192,75 @@ export function readRequestMcpTransport(t) {
     }
     return transportBad("transport.kind", `must be "stdio" or "http" — got ${describeValueShape(tr.kind)}`);
 }
+// ── 「名 → 串」记录的读法(`env` / `headers`)────────────────────────────────────────────────────────
+/** 引擎的声明收据不收的成员名(core `mcp-server-spec`:按赋值拷贝它会变成原型):JSON 文本铸得出这个**自有**键,对象字面量写不出。 */
+const RESERVED_MEMBER_NAME = "__proto__";
+const RESERVED_MEMBER_FAULT = `no member of a declaration may be named "${RESERVED_MEMBER_NAME}"`;
+/**
+ * 读一份「名 → 串」记录。记录交不交:是对象(不是数组 / `null`),原型是 `Object.prototype` 或 `null`(纯数据:`Map`、`Set`、类实例、建在原型上的记录都不是),
+ * 且每个成员的值都是串。成员 = `Object.getOwnPropertyNames` 的每一个名字(不可枚举的也算 —— 引擎的收据按全部自有属性名读),值按属性描述读:数据属性取值,访问器调一次(访问器或描述 trap 抛了同判为坏)。
+ * 读原型与成员名时代理 trap 抛了 ⇒ 整张不交(读器对调用方递来的任何对象都不抛;`JSON` 存体里不会有代理,这条只落在直接调读器的嵌入方身上)。
+ * 交出去的是副本(原型 `Object.prototype`、成员全可枚举),调用方的对象不被交出去、也不被改;名叫 `__proto__` 的成员不进副本,`reservedMember` 记下它。
+ * 名叫 `__proto__` 而值也坏的成员,句子一次说全两件事(名坏在前、值坏并列):调用方照值改完再撞第二条是两步才改对。
+ */
+function readPlainStringRecord(v) {
+    if (v === null || typeof v !== "object" || Array.isArray(v))
+        return { ok: false, fault: "not_plain_record", detail: v === null ? "got null" : Array.isArray(v) ? "got an array" : `got a ${typeof v}` };
+    let proto;
+    let names;
+    try {
+        proto = Object.getPrototypeOf(v);
+        names = Object.getOwnPropertyNames(v);
+    }
+    catch {
+        // 代理的 trap 抛了:读不出原型与成员名的对象不是纯数据。读器不抛出去 —— 重放存量提交体的腿被一次抛错砖死比整键不交糟,而「整键不交」是响亮的(进 `lost`)。
+        return { ok: false, fault: "not_plain_record", detail: "got an object that could not be inspected (a proxy trap threw)" };
+    }
+    if (proto !== Object.prototype && proto !== null) {
+        return { ok: false, fault: "not_plain_record", detail: "got an object that is not plain data (a class instance, a Map, process.env, or a record built on a prototype; copy it into a plain object)" };
+    }
+    const record = {};
+    let reservedMember = false;
+    for (const name of names) {
+        let value;
+        let unreadable = false;
+        try {
+            const d = Object.getOwnPropertyDescriptor(v, name);
+            value = d === undefined ? undefined : Object.hasOwn(d, "value") ? d.value : d.get === undefined ? undefined : Reflect.apply(d.get, v, []);
+        }
+        catch {
+            unreadable = true;
+        }
+        if (unreadable || typeof value !== "string") {
+            const valueFault = unreadable ? "could not be read (its getter threw)" : `must be a string — got ${describeValueShape(value)}`;
+            const reserved = name === RESERVED_MEMBER_NAME;
+            return {
+                ok: false,
+                fault: reserved ? "member_name_reserved" : "member_not_string",
+                member: echoCallerText(name),
+                detail: `its member "${echoCallerText(name)}" ${reserved ? `is not allowed (${RESERVED_MEMBER_FAULT}) and its value ${valueFault}` : valueFault}`,
+            };
+        }
+        if (name === RESERVED_MEMBER_NAME)
+            reservedMember = true;
+        else
+            record[name] = value;
+    }
+    return { ok: true, record, reservedMember };
+}
+/**
+ * `transport.env` / `transport.headers` 的读法(两键同一只):缺席 ⇒ 缺席;记录不交 ⇒ `lost` 一处点名**这个键**(不交的是整张记录;坏在某个成员时句子与 `member` 点名它);
+ * 交 ⇒ 纯数据副本,名叫 `__proto__` 的成员在 `lost` 里单记一处、路径 `<键>.__proto__`。
+ */
+function readTransportRecord(path, raw, lost) {
+    if (raw === undefined)
+        return undefined;
+    const read = readPlainStringRecord(raw);
+    if (!read.ok) {
+        lost.push({ path, reason: `must be a plain object of string values — ${read.detail}`, ...(read.member !== undefined ? { member: read.member } : {}), fault: read.fault });
+        return undefined;
+    }
+    if (read.reservedMember)
+        lost.push({ path: `${path}.${RESERVED_MEMBER_NAME}`, reason: RESERVED_MEMBER_FAULT, member: RESERVED_MEMBER_NAME, fault: "member_name_reserved" });
+    return read.record;
+}

package/llms-full.txt

@@ -1,6 +1,6 @@
 <!--
 llms-full.txt — 自包含全文 · 消费方(使用者)视角 · @sema-agent/settings-schema
-重写日期: 2026-10-17 | 包版本: 14.0.0
+重写日期: 2026-10-18 | 包版本: 14.1.0
 生成方式: 无生成脚本——按当前树 src/*.ts 导出面 + package.json + README/CHANGELOG 手写事实版。
 证据约定: 每条"它怎么工作"的断言附 (文件: 符号) 坐标,刻意不用行号(行号逐版腐烂;符号名由
 typecheck 与 test/package-surface.test.ts、test/docs-hygiene.test.ts 等常驻门钉住)。无证据推断显式标【推断】。

package/llms.txt

@@ -1,6 +1,6 @@
 <!--
 llms.txt — 消费方(使用者)视角索引 · @sema-agent/settings-schema
-重写日期: 2026-10-17 | 包版本: 14.0.0
+重写日期: 2026-10-18 | 包版本: 14.1.0
 生成方式: 无生成脚本——按当前树的 src/*.ts 导出面 + package.json + README/CHANGELOG 手写事实版;
 每条断言附证据坐标(文件:符号),刻意不用行号(行号随每版腐烂,符号名由 typecheck/test 钉住)。
 刷新触发: package.json 版号变更(test/docs-hygiene.test.ts D 组钉「包版本:」与 package.json 相等、
@@ -109,8 +109,9 @@ llms.txt — 消费方(使用者)视角索引 · @sema-agent/settings-schema
   (src/http-hook-allowlists.ts)
 - **MCP 名单判决**(13.0.0):`mcpServerPolicyVerdict(server, layers)` → `McpPolicyBlock{name, list, rule, target, written, sources}` 或 `undefined`;
   判按展开后目标、回显只按展开前写法(stdio 只给可执行名 + 参数个数);托管层 = 源表档 `managed` 的源(层只带源名)。(src/mcp-server-policy.ts)
-- **请求面 MCP 条目判官**(14.0.0,`src/mcp-request-entry.ts`):`isUsableWireName` / `describeBadWireName`(引擎线上名长界 `TOOL_WIRE_NAME_MAX_CHARS` 的镜像)·
-  `isContentOriginWord` / `describeBadContentOrigin` · `readMcpIdentityHeaders` · `readRequestMcpTransport`(硬坏形 `ok:false` 点名键路径;软坏形读器丢键并记进 `lost`)
+- **请求面 MCP 条目判官**(14.0.0,`src/mcp-request-entry.ts`):`isUsableWireName` / `describeBadWireName`(引擎线上名长界 `TOOL_WIRE_NAME_MAX_CHARS` 的镜像;首尾空白 = 坏名,不 trim 不规范化,内部空白合法)·
+  `isContentOriginWord` / `describeBadContentOrigin`(回显剥控制与双向字符、截 64 字、引号形)· `readMcpIdentityHeaders` · `readRequestMcpTransport`(硬坏形 `ok:false` 点名键路径;软坏形读器丢键并记进 `lost`;
+  `env` / `headers` 只收纯数据的「名 → 串」记录,`Map` / 类实例 / 自有 `__proto__` 成员不收、交副本,`lost` 条目带 `member` / `fault` 机读位)
   + 值种类描述件 —— 服务端请求腿与壳的发送前预检同读一份(判据与原因句逐字同)。`toolFaces` 声明在本包解析透明,形归引擎摄入侧判,本包不镜像工具面词表。
 - **prompts 域单轴**(14.0.0):只装中心 artifact(存储 `PromptsConfig = { artifact?, workers? }` / 下发 `EffectivePromptsWire = { schemaVersion: 2, artifact }` /
   唯一选择读法 `promptArtifactFor`);本包镜像 artifact v3 的结构与上界,语义交引擎 verify;13.x 两轴是墓碑,存量经一次性迁移 SS-M10。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/settings-schema",
-  "version": "14.0.0",
+  "version": "14.1.0",
   "description": "Sema settings schema — pure config contract (zod domains + effective-config + roster resolution + ref-integrity + remoteExec) shared by sema-web-admin, sema-server, and the TOC desktop/CLI. One source of truth. (Renamed at 1.0.0 from @sema-agent/registry-core — name and docs only, no behavior change; note the range moves 0.19.0 -> 1.0.0, so a dependency must become ^1.0.0. The old names @sema-agent/registry-core <=0.19.0 and @sema-ai/registry-core remain published, frozen, for migration.)",
   "type": "module",
   "license": "BUSL-1.1",