@sema-agent/settings-schema 15.1.0 → 16.0.0

package/llms-full.txt

@@ -1,6 +1,6 @@
 <!--
 llms-full.txt — 自包含全文 · 消费方(使用者)视角 · @sema-agent/settings-schema
-重写日期: 2026-10-28 | 包版本: 15.1.0
+重写日期: 2026-10-30 | 包版本: 16.0.0
 生成方式: 无生成脚本——按当前树 src/*.ts 导出面 + package.json + README/CHANGELOG 手写事实版。
 证据约定: 每条"它怎么工作"的断言附 (文件: 符号) 坐标,刻意不用行号(行号逐版腐烂;符号名由
 typecheck 与 test/package-surface.test.ts、test/docs-hygiene.test.ts 等常驻门钉住)。无证据推断显式标【推断】。
@@ -123,10 +123,10 @@ registry:公网 npmjs,无需私有 registry 配置。
   · systems:接入/凭据元数据(nonce+路由,永不存凭据值;`SystemStatusEntry` 状态行)。
   · collab:协作模板(0.7.0 取代 teams;slot 引用 models 目录名;预算 `maxTokens`/`maxCost`)。
   · workers:`WorkerSpec[]`(fleet 声明;`image` 默认值为公开 worker 镜像名、reconciler 白名单强制;
-    7.0.0 两个结构块 `runtime.execution { lane, coords, secretRefs }` / `runtime.store { backend, session, memory, db? }`
+    7.0.0 两个结构块 `runtime.execution { lanes, coords, secretRefs }`(16.0.0 起车道集;此前单值 `lane`)/ `runtime.store { backend, session, memory, db? }`
     (+ `secretRefs.dbPasswordEnv`),enabled 的 worker 两块必填,按 §4.5b 的词表判;`RESERVED_WORKER_ENV` 拒结构化字段
     (含车道与店产出的全部 env 名)走 env;`WORKER_RESOURCE_PRESETS`;状态形 `WorkerStatus`/`WorkerCondition`)。
-  · hosts:机器注册表(`HostEntry`,`approved` 门;`HostProbes`/`HostStatus`)。
+  · hosts:机器注册表(`HostEntry`,`approved` 门;`HostProbes`/`HostStatus`;16.0.0 起 `HostStatus.ts` 判 RFC 3339 时刻、加可选 `heartbeatMs` 正整数毫秒,无缺省)。
   · governance:治理三件 `autonomy`(read-only|ask|plan|auto)/ `commandPolicy`(精确 argv[0],DENY-WINS,
     拒 glob,见 §8 T5)/ `approvalRequire`。
   · entitlement:`tiers`(`EntitlementTier`:roster/models/visibleSkills/visibleMcp/visiblePlugins/budget/
@@ -255,26 +255,28 @@ entitlement/execution/limits = `none`;`projects` = `salvage`,整域档位仍 `"t
     timeoutMs?, memory?, cpu?, s3Snapshot?{ endpoint, bucket?, accessKeyEnv, secretKeyEnv, … } }。
   - `ssh`:{ host!, port?, username!, privateKeyEnv!, mountPath? }。
   - `adb`:{ serial!, adbPath?, mountPath? }。
-  (secret 全 env-NAME ref;exec-bound 串拒 NUL。通过校验 ≠ 目标服务版本已从文件驱动该 provider。)
+  (secret 全 env-NAME ref;exec-bound 串拒 NUL 与纯空白〔16.0.0:空串同拒,判官 = 车道坐标的 `isBlankCoordinate`,接受的值不 trim〕。通过校验 ≠ 目标服务版本已从文件驱动该 provider。)
 
 --- 4.5b 执行车道 + 存储词表正本(src/execution-lanes.ts,主 barrel + `./execution-lanes`,7.0.0,纯数据) ---
 - `EXECUTION_LANE_WORDS` / `ExecutionLane`:host · e2b · k8s · ssh · adb · local-docker · device(= 引擎 `REMOTE_EXEC` 收的词,
   逐字同序;无 `in-process`、无 `remote-docker`)。
 - `RETIRED_LANE_WORDS`(11.0.0):退役车道**值**的墓碑(`[旧词, 去向车道, 怎么配]`;永久、一跳;今一行 remote-docker → local-docker + DOCKER_HOST);
-  worker 规格 `runtime.execution.lane` 与车道文件 `provider` 读到退役词即拒,拒句 = `retiredLaneWordRefusal(word)`
+  worker 规格 `runtime.execution.lanes` 的一格与车道文件 `provider` 读到退役词即拒,拒句 = `retiredLaneWordRefusal(word)`
   (带出路;issue 码不变)。
-- `EXECUTION_LANES: readonly ExecutionLaneRow[]`:每行 `{ lane, tenantSeparation: "supported"|"single-user-only", requiredEnv,
+- `EXECUTION_LANES: readonly ExecutionLaneRow[]`:每行 `{ lane, tenantSeparation: "supported"|"single-user-only", singleReplica, requiredEnv,
   requiredSecretEnv, optionalEnv, optionalSecretEnv }`(深冻结;四栏 env 名两两不交、跨车道不交;行内容逐格抄自引擎,
-  坐标在每行 JSDoc)。`TENANT_SEPARATION_WORDS`。
+  坐标在每行 JSDoc)。`TENANT_SEPARATION_WORDS`。`singleReplica`(16.0.0):执行目标挂在一个副本上(host:副本自己的文件系统;device:设备连上的那一个副本)——
+  声明了这种车道的 worker 只能一个副本。device 行的非密必需栏 = `DEVICE_RELAY_URL`(16.0.0;设备拨哪里:ws(s) 绝对 URL 或字面 `none`,值判官 `deviceRelayFlaws`,包根)。
   k8s 行的非密必需栏 = `K8S_SANDBOX_IMAGE` + `K8S_NAMESPACE`(沙箱 pod 所在的命名空间,部署自己声明;服务端的必需 env 门按本行 `requiredEnv ∪ requiredSecretEnv` 拒启)——
   写 worker 的 k8s 行时 `runtime.execution.coords` 两键都要给,缺一键 ⇒ 写闸 issue、存下来的 workers 文档整域读不出。
-- `isBlankCoordinate(value: string): boolean`(包根,15.1.0):必需坐标的值算不算「缺」的**唯一判官** —— 空串或只含空白(`String.prototype.trim` 认的空白)⇒ `true`,带任何非空白字符 ⇒ `false`;
+- `isBlankCoordinate(value: string): boolean`(包根 15.1.0;`./execution-lanes` 子路径 15.2.0,与包根是同一个函数对象 —— 函数体住在零依赖的叶模块,全包一处定义):必需坐标的值算不算「缺」的**唯一判官** —— 空串或只含空白(`String.prototype.trim` 认的空白)⇒ `true`,带任何非空白字符 ⇒ `false`;
   不 trim 值、不管值的格式(`" sandboxes "` 不是空白)。写闸对所有车道、所有必需坐标读的就是这一只,消费方在自己一侧问同一个问题调它、不抄第二份。
-  它只看已经有的字符串值:「这一键根本没设」由调用方先判(写闸对没设的键另有一句 `requires coords.<键>`),据它拒不拒由调用方按键是必需还是可选决定:写闸只对必需坐标据它拒,可选坐标的空串照收(`K8S_RUNTIME_CLASS` 的空串 = 不用 Kata)。(src/execution-lane-index.ts)
-- `STORE_BACKENDS`(mysql/pg/local/memory)、`SESSION_BACKENDS`(memory/mysql/auto)、`MEMORY_ENGINE_BACKENDS`(file/pg/tidb)。
-- 判据(都在 `WorkerSpec` schema 里,zod issue 的 `path` 指字段、message 带出路):enabled ⇒ 两块必填;coords / secretRefs 键 ⊆
-  表[lane] 对应栏、必需键在场且非空白(空串或只含空白按缺);别车道键点名车道;`requirePrincipal` ∧ single-user-only 车道拒(出路按表现算);host ∧ 副本 > 1
-  拒;device ⇒ SQL 店且 session ≠ memory;memory 店 ∧ session mysql 拒;记忆引擎 pg/tidb ∧ session memory 拒;SQL 坐标 ⇔ SQL 店;
+  它只看已经有的字符串值:「这一键根本没设」由调用方先判(写闸对没设的键另有一句 `requires coords.<键>`),据它拒不拒由调用方按键是必需还是可选决定:写闸只对必需坐标据它拒,可选坐标的空串照收(`K8S_RUNTIME_CLASS` 的空串 = 不用 Kata)。(src/execution-lanes.ts)
+- `STORE_BACKENDS`(mysql/pg/local/memory)、`SESSION_BACKENDS`(memory/mysql/auto)、`MEMORY_ENGINE_BACKENDS`(file/pg/mysql;16.0.0 起 `tidb` → `mysql`,旧词拒并指路 SS-M12)。
+- 判据(都在 `WorkerSpec` schema 里,zod issue 的 `path` 指字段、message 带出路):enabled ⇒ 两块必填;`runtime.execution.lanes`(16.0.0)有序、去重、非空,首项缺省;
+  coords / secretRefs 的每个键归表里某条声明的车道、每条声明车道的必需键在场且非空白(空串或只含空白按缺),有文法的键(`DEVICE_RELAY_URL`)值合文法;归表外车道的键点名车道;
+  `requirePrincipal` ∧ 每条 single-user-only 车道各拒一条(出路按表现算);表里有 `singleReplica` 车道 ∧ 副本 > 1 拒(一条,点名这些车道);旧单值 `runtime.execution.lane` 是墓碑(指路 SS-M12);
+  device ∈ lanes ⇒ SQL 店且 session ≠ memory;memory 店 ∧ session mysql 拒;记忆引擎 pg/mysql ∧ session memory 拒;SQL 坐标 ⇔ SQL 店;
   记忆后端配店;多租户 ⇒ SQL 店;6.x 删除项(`sessionBackend` / `memoryBackend` / `runtime.db` /
   `coords.tidb*` / `tidbPasswordEnv`)读到即拒并指路迁移。`WorkerSpec` 是 ZodEffects(无 `.shape`):名字判据单独导出 `WORKER_NAME`(src/types.ts)。
 
@@ -401,7 +403,7 @@ entitlement/execution/limits = `none`;`projects` = `salvage`,整域档位仍 `"t
   `ModelRefusalsSignal` = `{ entries: Record<条目名, ModelEntryRefusalCode>, plane?: ModelPlaneRefusalCode }`;值只码(不带上游
   id / provider / 坏字段键 / 句子);码闭集真源在本包:`MODEL_ENTRY_REFUSAL_CODES`(`config.model_no_brain` /
   `config.model_entry_invalid`)、`MODEL_PLANE_REFUSAL_CODES`(`config.default_model_missing` / `config.model_refused_name_minted` /
-  `config.model_route_endpoint_missing` / `config.gateway_fallback_without_primary`,镜像引擎组拒码表整族),各配 z.enum + 型;
+  `config.model_route_endpoint_missing` / `config.gateway_fallback_without_primary` / `config.catalog_replaces_env_models`;16.0.0 退役 summarize 那一码),各配 z.enum + 型;
   `readModelRefusals(body)` 一只读口两出口(`/health` 体或已 parse 的公告,与 `readEngineSignal` 同一只私有读口)先判形再按
   闭集收窄,集外码丢、丢到空 ⇒ `undefined`,只答键不判版本;心跳键 `InstanceAnnouncement.modelRefusals` =
   `ModelRefusalsWire.optional().catch(undefined)` —— 集外码照过、形坏降为缺席,诊断键永不拖垮心跳;`/health` 一侧 `InstanceHealth`
@@ -527,6 +529,13 @@ entitlement/execution/limits = `none`;`projects` = `salvage`,整域档位仍 `"t
 - `validateDomain`/`validateRemoteExec` → `ValidateResult`(不 throw 用户数据)、`writeDomainFile`/
   `domainFilePath`、`listRequiredEnvNames` → `RequiredEnvName[]`。
 - `exportBundle`/`writeBundle`/`readBundle`(`ConfigBundle` 的键 = `PortableDomain`;11.0.0 起三只函数类型层只收可搬域,非便携域在运行期也拒)。
+- `FileConfigStore.read()` → `FileConfigRead`(16.0.0,`./node`;单读口,取代 15.2.0 的 `inspectBundle`):一次读完 `config.d` 里契约读的每一份文档(全部便携域 + retired 域的墓碑文档,每份只读一次),
+  交一个结局 —— 文件层都读得进 ⇒ `{ kind: "effective", effective, warnings }`(effective 与严读 `getEffective()` 逐位同;读侧告警交成数据,不经 `onWarning`);
+  有文档被拒 ⇒ `{ kind: "refused", refusals, version, warnings }`。每条拒 `ConfigDocumentRefusal`(包根的类型,按 `reason` 判别):`{ document, reason, error }`,`reason` ∈ 闭集词 `CONFIG_DOCUMENT_REFUSAL_REASONS`
+  (`empty` 空 / 纯空白〔半写〕· `invalid_json` · `not_object`〔`null` / 数组 / 数 / 串 / 布尔〕· `io`〔在场却读不出;只有 ENOENT 是缺席〕· `too_deep`〔16.0.0:嵌得比整棵目录的内容版本能算的深〕·
+  `retired_domain`〔retired 域文档带事实;另带 `migration`〕),`error` 与严读抛的是同一句。次序确定:retired 域文档在前,便携域按 `PORTABLE_DOMAINS`。`version` 与 `FileConfigStore.getVersion()` 同一只函数
+  (被拒的文档以「坏文档的指纹」参与,与宽容读的坏文件版本哨兵同一只)。读得出却过不了门控域 schema 的拒不在拒单里,照严读抛。
+  旧出口(`readBundle` / `FileConfigStore` 各读口 / `loadRemoteExec` / 命令行 `migrate`)与新口读同一份判据(`config-d-file` 的读数),抛的还是原来那个对象、那句话。(src/bundle.ts;src/config-d-file.ts;src/config-document-refusal.ts)
 - 目录形一次性迁移:`migrateConfigDirectory(dir, { documents, io, check? })` → `ConfigDirectoryMigration`(闭集 `kind`:`unreadable`〔读不了目录 / 文件,或某份文档是坏文件;`reason`〕·
   `no-documents`〔覆盖面内一份文档都没有;带回 `entries` 目录清单〕· `refused`〔迁移步拒或整域终判拒;`refused[]` + `why`〕· `noop` · `pending`〔`check: true` 有改动〕· `applied`〔`written` / `removed` 文件名〕)。
   语义 = 命令行 `migrate` 的那一条(读目录 → 迁 → 整域终判 → 先写后删 → 原子写),命令行是它的渲染器;`documents` = 调用方读的域名集(覆盖面外不读不判不写不删;拼错的名字抛 `TypeError`;
@@ -548,17 +557,10 @@ entitlement/execution/limits = `none`;`projects` = `salvage`,整域档位仍 `"t
 --- 4.12 迁移工具(主 barrel) ---
 - 0.5 → 0.7 的迁移工具(`./migrate` 出口:hosts grandfathering、worker.model 归并计划 / 执行 / diff 门、teams → collab)
   11.0.0 起删除(窗口早过,全生态零生产读点)。
-- `migrateWorkersDomain(rawDoc) → { doc, changed, dropped, refused }`(7.0.0,主 barrel,src/migrate-workers.ts):6.x workers 文档
-  一次性抬升到两个结构块;纯、幂等(已迁形同一引用返回);`refused`(不进 `doc`,带 `index` / `field` / `original` 逐字原行 ——
-  写回 `doc` 前须按 `index` 放回)= 迁不了的 worker
-  (enabled 而无 `env.REMOTE_EXEC` 不替运维猜车道);终判**逐行**(8.2.0 起迁过的行与没动的行同一只)= 只含这一行的 workers 域读不读得进
-  (读侧的 `WorkersConfig`,不另抄保留名表),读不进 ⇒ `refused`;整域读侧只剩认不出名字的条目与跨行唯一性两类。文件形 = bin
-  `npx @sema-agent/settings-schema migrate-workers <workers.json> [--check]`(bin/settings-schema.mjs;有 refused 一字不写)。有删除窗。
-  7.0.1 起 CLI stdout 恰两行:结论行 `outcome=<refused|applied|noop|pending> written=<true|false>` + JSON(取最后一行);`changed` / `dropped`
-  仅 `written=true` 时存在,没写时是 `wouldChange` / `wouldDrop`。拒因里的迁移指路 = 一个常量(`npx …` 全名形),只给迁移能搬的键(被删旧键、
-  车道键、`DB_BACKEND` / `MEMORY_ENGINE` / `MEMORY_ENGINE_BACKEND`),`PORT` / `MODEL_*` 之类不带。8.0.0 起 `--check` 与真跑过同一只
-  判定(逐只 refused → noop → 整域终判 → 有改动;`--check` 只决定写不写):整域会被拒的文档 `--check` 也报 `refused` / 退出 1,
-  `refused[]` 逐条带出被拒项(条目没有字符串名字时 `name` 为 null)。(src/cli.ts;src/execution-lane-index.ts)
+- 7.0.0 的 workers 一次性抬升函数与它的文件形子命令,11.0.0 起已删:6.x workers 行的改写进一次性迁移 SS-M4(`./one-time-migrations` 的
+  `migrateStoredDocuments`;目录形 bin `npx @sema-agent/settings-schema migrate <config.d directory>`),逐行终判单立成永久读语义 `readWorkersRows`。
+  16.0.0 再加 SS-M12(15.x workers 行 → 16.0.0 形)。CLI 报告形:stdout 恰两行 —— 结论行 `outcome=<refused|applied|noop|pending> written=<true|false>`
+  + JSON(取最后一行;`written=true` 才有 `applied`,没写时是 `wouldApply`)。(src/cli.ts;src/one-time-migrations.ts)
 
 --- 4.13 错误契约 ---
 - **throw**(ZodError 或 Error):`parseDomain`/`buildEffective`/`loadLocalConfig`/`FileConfigStore.get*`

package/llms.txt

@@ -1,6 +1,6 @@
 <!--
 llms.txt — 消费方(使用者)视角索引 · @sema-agent/settings-schema
-重写日期: 2026-10-28 | 包版本: 15.1.0
+重写日期: 2026-10-30 | 包版本: 16.0.0
 生成方式: 无生成脚本——按当前树的 src/*.ts 导出面 + package.json + README/CHANGELOG 手写事实版;
 每条断言附证据坐标(文件:符号),刻意不用行号(行号随每版腐烂,符号名由 typecheck/test 钉住)。
 刷新触发: package.json 版号变更(test/docs-hygiene.test.ts D 组钉「包版本:」与 package.json 相等、
@@ -13,8 +13,8 @@ llms.txt — 消费方(使用者)视角索引 · @sema-agent/settings-schema
 > 依赖 zod ^4.4.0)。它是 sema 栈配置域的**单一真值**:16 个配置域的 zod schema、`EffectiveConfig` 确定性合并、
 > per-worker roster 解析、跨域引用完整性、`remoteExec` 执行层契约、本地 `config.d/*.json` 读写,外加 hooks /
 > fleet / scheduler-store / safety-merge-spec / auth·scopes wire 五族纯契约。被 web-admin 产品(舰队管理台)、
-> worker 服务、TOC 桌面/CLI 共同消费。**纯被消费**——无服务、永不携带 secret 值;唯一的 bin 是 7.0.0 的一次性迁移
-> `npx @sema-agent/settings-schema migrate-workers <file>`。
+> worker 服务、TOC 桌面/CLI 共同消费。**纯被消费**——无服务、永不携带 secret 值;唯一的 bin 是一次性迁移族的目录形
+> `npx @sema-agent/settings-schema migrate <config.d directory>`(11.0.0 起;函数形在 `./one-time-migrations`)。
 > (package.json: description/exports/engines;README「What's in it」)
 >
 > 改名声明:`1.0.0` 起包名 `@sema-agent/settings-schema`;≤`0.19.0` 为 `@sema-agent/registry-core`(冻结)。
@@ -78,6 +78,7 @@ llms.txt — 消费方(使用者)视角索引 · @sema-agent/settings-schema
   收窄、skills 转 manifest、rosters/entitlement 剥离)。(src/resolve-roster.ts)
 - 从本地 `config.d/*.json` + `.env` **一把加载**(`loadLocalConfig(root)`,worker 服务与 CLI 共用零漂移);
   单域坏文件可**容错**(`FileConfigStore.getEffective({tolerant:true})`)。(src/local-load.ts;src/file-store.ts)
+  **单读口**(16.0.0):`FileConfigStore.read()`(`./node`)一次读完整个目录,交 effective + 告警,或文件层的类型化拒单 + 版本;每条拒 `{ document, reason, error }`,`reason` ∈ 包根的闭集词 `CONFIG_DOCUMENT_REFUSAL_REASONS`(empty / invalid_json / not_object / io / too_deep / retired_domain;墓碑拒另带 `migration`);次序确定(retired 域在前,便携域按 `PORTABLE_DOMAINS`),严读(`readBundle` / `getEffective`)照旧抛同一句。(src/file-store.ts;src/config-d-file.ts;src/config-document-refusal.ts)
 - **secret 边界**:密钥字段一律 env-NAME(`ENV_NAME` 正则强制,拒 secret 形状字面量),浏览器端封箱的
   sealed-box 形(`SealedApiKey`);`collectEnvRefs` 列出全部引用。自由文本写口(`extraBody` / `compat` / `headers` / URL / mcp 参数 / 插件源 / ssh 登录 /
   worker env / 车道坐标 / 覆盖值)经同一只 `containsSecretToken` 拒 secret 形状;10.0.0 起私钥 PEM 头在串中**任意位置**都拒(此前只认串首;读原文 + 前三层百分号解码),
@@ -86,11 +87,12 @@ llms.txt — 消费方(使用者)视角索引 · @sema-agent/settings-schema
 - `remoteExec` 执行层契约:6 个 provider(host / local-docker / e2b / k8s / ssh / adb),判别字段 `provider`;
   每个 provider 词 ⊆ 车道词表(7.0.0 删 `remote-docker`:引擎零读点)。(src/remote-exec.ts: `RemoteExecSpec`)
 - **执行车道 + 存储的词表正本**(7.0.0,纯数据):`EXECUTION_LANE_WORDS`(host / e2b / k8s / ssh / adb / local-docker / device)、
-  `EXECUTION_LANES`(每车道 `tenantSeparation`〔supported 行另带依据 `tenantSeparationBasis`:isolation / principal-binding,11.0.0 判别联合〕+ 它读的 env 名四栏)、退役车道值墓碑 `RETIRED_LANE_WORDS` + 拒句 `retiredLaneWordRefusal(word)`(11.0.0)、`STORE_BACKENDS` / `SESSION_BACKENDS` / `MEMORY_ENGINE_BACKENDS`。
-  必需坐标的值算不算「缺」的唯一判官 `isBlankCoordinate(value)`(包根,15.1.0:空串或只含空白 ⇒ true;写闸读的同一只,消费方在自己一侧问同一个问题调它;「键没设」由调用方先判,据它拒不拒由调用方按键的必需 / 可选决定〔写闸只对必需坐标据它拒〕;src/execution-lane-index.ts)。
+  `EXECUTION_LANES`(每车道 `tenantSeparation`〔supported 行另带依据 `tenantSeparationBasis`:isolation / principal-binding,11.0.0 判别联合〕+ `singleReplica`〔16.0.0〕+ 它读的 env 名四栏;device 行必需 `DEVICE_RELAY_URL`〔16.0.0,值判官 `deviceRelayFlaws`〕)、退役车道值墓碑 `RETIRED_LANE_WORDS` + 拒句 `retiredLaneWordRefusal(word)`(11.0.0)、`STORE_BACKENDS` / `SESSION_BACKENDS` / `MEMORY_ENGINE_BACKENDS`(file / pg / mysql)。
+  worker 声明有序车道集 `runtime.execution.lanes`(16.0.0,首项缺省;旧单值 `lane` 是墓碑)。
+  必需坐标的值算不算「缺」的唯一判官 `isBlankCoordinate(value)`(包根与 `./execution-lanes` 子路径同一个函数对象〔包根 15.1.0、子路径 15.2.0〕:空串或只含空白 ⇒ true;写闸读的同一只,消费方在自己一侧问同一个问题调它;「键没设」由调用方先判,据它拒不拒由调用方按键的必需 / 可选决定〔写闸只对必需坐标据它拒〕;src/execution-lanes.ts)。
   WorkerSpec 的 `runtime.execution` / `runtime.store` 两块按这张表判(写闸 = `WorkerSpec.safeParse`,拒因在 zod issue 里);
-  6.x 存量 workers 文档在 `parseDomain` 之前跑一次 `migrateWorkersDomain`(或 bin `npx @sema-agent/settings-schema migrate-workers`;7.0.1 起 stdout = 结论行 `outcome=… written=…` + JSON,没写时 `wouldChange` 取代 `changed`)。
-  (src/execution-lanes.ts;src/types.ts: `WorkerSpec`;src/migrate-workers.ts)
+  存量 workers 行由一次性迁移改写(6.x 行 SS-M4、15.x 行 SS-M12;`migrateStoredDocuments` / bin `npx @sema-agent/settings-schema migrate <config.d directory>`),逐行终判是读侧的 `readWorkersRows`。
+  (src/execution-lanes.ts;src/types.ts: `WorkerSpec`;src/one-time-migrations.ts)
 - **hooks 契约**:33 个 hook 事件的全集 + owner 表 + 逐事件输入/输出形 + 配置面:hook 条目五种 type(`HOOK_ENTRY_TYPES`,含 `mcp_tool`)与**一只**
   坏形分类器 `classifyHooksConfig(settingsDoc)`(非守卫事件坏块逐个剔、守卫事件 PreToolUse / PermissionRequest 任何坏处或守卫迹象 ⇒ 整份拒;码 + 坐标 + 坏字段名 `field`(坏块是匹配器 / 条目 ⇒ 它上面出问题的键,块不是对象才缺席;一块多个迹象时先该块自身的迹象(自有守卫事件键;条目自己是匹配器形取 `hooks`),再按文档序找嵌套迹象;匹配器下合形条目列表里的迹象归各条目)、零句子、零 zod 自含;
   闭包里 JS 内建之外只有一个自由名 `HOOK_EVENTS` —— 整函数抄走的生成器(client-core)须把本包运行期导出 `HOOK_EVENTS`(上游常量)注入抄本作用域,不许贴字面事件表),
@@ -136,7 +138,7 @@ llms.txt — 消费方(使用者)视角索引 · @sema-agent/settings-schema
 - **fleet 契约**(drain / 实例发现 / 派发策略 / 配额租约 / 用量上报;S-741 重启信号 `RestartSignal` 定义一次,
   11.0.0 起它是引擎状态,两出口只在 `engineSignal` 里读(`readEngineSignal(body)?.restart`;平铺 `restart` 是方言、不读,平铺读口已删),在场 ⇔ 需要重启;
   S-768 模型拒因同法定义一次:wire 形 `ModelRefusalsWire` = `{ entries: 名 → 码, plane?: 组拒码 }`(码是开放串),
-  `readModelRefusals(body)` 一只读口读两出口并按闭集 `MODEL_ENTRY_REFUSAL_CODES`(2)/ `MODEL_PLANE_REFUSAL_CODES`(4)收窄成
+  `readModelRefusals(body)` 一只读口读两出口并按闭集 `MODEL_ENTRY_REFUSAL_CODES`(2)/ `MODEL_PLANE_REFUSAL_CODES`(5)收窄成
   `ModelRefusalsSignal`,集外码 = 没说;心跳 `InstanceAnnouncement.modelRefusals?` 上形坏 / 集外码都不拖垮心跳;缺席读 `version`,
   老引擎缺席 = 不可知;8.1.0 additive:`RestartSignal.withheld?`、引擎自铸信号的闭形 `EngineSignal` + `readEngineSignal(health)`
   (`undefined` = 没有这只信号,不是就绪)、服务租约 API 型 `ServingLeaseRequest` / `ServingLeaseResponse`(`granted` / `denied` / `unknown` 三词闭集,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@sema-agent/settings-schema",
-  "version": "15.1.0",
+  "version": "16.0.0",
   "description": "Sema settings schema — pure config contract (zod domains + effective-config + roster resolution + ref-integrity + remoteExec) shared by sema-web-admin, sema-server, and the TOC desktop/CLI. One source of truth. (Renamed at 1.0.0 from @sema-agent/registry-core — name and docs only, no behavior change; note the range moves 0.19.0 -> 1.0.0, so a dependency must become ^1.0.0. The old names @sema-agent/registry-core <=0.19.0 and @sema-ai/registry-core remain published, frozen, for migration.)",
   "type": "module",
   "license": "BUSL-1.1",