@shgroup/dsh-serenity-hooks 1.39.3 → 1.40.1

package/dsh.plugin.json

@@ -1,6 +1,6 @@
 {
   "id": "dsh-serenity-hooks",
-  "version": "1.39.3",
+  "version": "1.40.1",
   "main": "lib/index.js",
   "description": "宁静号 ACC harness（Native Cordis 插件）：给 DSH 装一个「AI 工作区」——11 个工具（container_fs/container_trajectory/dashboard/container_git/msm/praxis/handyman/localstore/container_admin/im-bridge/acc-diag；后两个按配置条件出现）+ 机械约束（安全模式/工作区围墙/密钥守卫）+ 轨迹日志与原地重建 + 网页登录入口/微信桥/子角色/对外问答页/trajectory 唤醒注册表。适配 DSH 0.1.5-rc.2（deepseek-ai/deepseek-harness）。",
   "engines": {

package/lib/host/storage-domain.d.ts

@@ -0,0 +1,115 @@
+/**
+ * host/storage-domain.ts — 宿主存储域上的「会话 ↔ 轨迹」绑定表（§0L，S142 2026-09-19）
+ *
+ * 为什么存在（R↓）：绑定的载体原本是 CCC 内的 `AGENT_SESSIONS/.bindings.json`。
+ * owner 裁定（「放 CCC 不合适」）⇒ 改存**宿主自己的存储域**
+ * （`~/.dsh/storages/`，与宿主 `workspace.json` 同处、同类结构、同一套校验）。
+ *
+ * 能力与边界：
+ *  - `openBindingDomain(ctx)`：从插件 ctx 取 `storageDomain`（**经 `hostService` = `ctx.get`**，
+ *    **不是**属性直读——dsp 的 `inject` 不含它，属性直读在真实 cordis 下抛
+ *    `cannot get property "storageDomain" without inject`，同 v1.31.4 的 subagents 陷阱）；
+ *    开域成功返回句柄，任何环节失败返回 `null`（**本模块永不抛错**：宿主对插件 apply 抛错
+ *    = 整个 dsh 启动失败，见 `host/access.ts` 的同类契约）。
+ *  - 句柄的**读是同步的**（`get` / `entries` / `keys` / `size` 走内存），**写才是异步的**
+ *    （`put` / `delete` 等落盘后 resolve）——**这是 §0L 能"向前兼容"的技术前提**：
+ *    既有 10 个调用点全是同步签名，故调用方拿到句柄后读法完全不变。
+ *
+ * 域名约束（实测，`tests/host/storage-domain.test.ts` 钉住）：
+ *   `UNIT_NAME_RE = /^[a-z][a-z0-9_]*$/` ⇒ **`serenity_bindings`（下划线）**；
+ *   连字符形如 `serenity-bindings` **非法**（会在 `defineDomain` 模块加载期抛错）。
+ *
+ * 记录形状：与旧 `.bindings.json` **同名字段**（`dirName` / `mdPath` / `sessionId` / `action`
+ * / `at` / `note` / `supersededAt`）——同形可显著降低迁移风险，也让"双读兜底"易于对账。
+ * 硬锚仍是 **`dirName`**（完整目录名，U4：绝不解析编号前缀）。
+ */
+/** 域名称（下划线；连字符非法——见文件头） */
+export declare const BINDING_DOMAIN_NAME = "serenity_bindings";
+/** 表名 */
+export declare const BINDING_TABLE_NAME = "bindings";
+/** 域格式版本（`DomainSpec.version`；非负整数） */
+export declare const BINDING_DOMAIN_VERSION = 1;
+/**
+ * 一条绑定记录。字段与旧 `.bindings.json` 的 `SessionBoundRecord` **同名同义**
+ * （刻意不重命名：迁移对账不需要映射表，降低出错面）。
+ */
+export interface BindingRecord {
+    /** 🔴 硬锚：完整 `AGENT_SESSIONS` 目录名（不解析编号格式，U4） */
+    dirName: string;
+    /** `SESSION.md` 绝对路径（展示/定位用；**不作锚**——绝对路径绑死机器） */
+    mdPath: string;
+    /** 展示码（`S###` 或任意 CCC 自定义格式；**仅展示**，绝不用于识别） */
+    sessionId?: string;
+    action: string;
+    at: number;
+    note?: string;
+    /** 已被取代（D69：同轨迹多会话只留一条；记录保留、退出"当前"） */
+    supersededAt?: number;
+}
+/** 域内的表句柄（宿主 `KvTable` 的**结构子集**——只取本模块用到的成员，便于替身注入） */
+export interface BindingTableLike {
+    /** 同步读一条（内存） */
+    get(key: string): BindingRecord | undefined;
+    /** 同步快照遍历 */
+    entries(): IterableIterator<[string, BindingRecord]>;
+    /** 当前条数 */
+    readonly size: number;
+    /** 异步落盘写一条 */
+    put(key: string, value: BindingRecord): Promise<void>;
+    /** 异步落盘删一条 */
+    delete(key: string): Promise<boolean>;
+}
+/** 域句柄（宿主 `Domain` 的结构子集） */
+export interface BindingDomainLike {
+    /** 取表句柄（重复调用返回同一实例） */
+    table(name: string): BindingTableLike;
+}
+/** `storageDomain` 设施的结构子集（宿主 `DomainFacility`） */
+export interface DomainFacilityLike {
+    open(spec: unknown): Promise<BindingDomainLike>;
+}
+/**
+ * 构造域规格（宿主 `defineDomain` 的入参形状）。
+ *
+ * 为什么不引 `@deepseek-ai/dsh-storage-domain` 的 `defineDomain`：
+ * 它是**宿主 peer 依赖**（本仓 peer-only 打包，不装它）⇒ 直接 import 会让插件在
+ * 未装该包的运行时**模块加载即失败**。域规格是**纯数据**，手写等价对象即可
+ * （`tests/host/storage-domain.test.ts` 用真实 `defineDomain` 验证本对象被接受）。
+ */
+export declare function bindingDomainSpec(): unknown;
+/**
+ * 从插件 ctx 打开绑定域。**永不抛错**；不可用一律返回 `null`（调用方决定降级）。
+ *
+ * 失败面（全部返回 `null`，调用方回落旧 `.bindings.json`）：
+ *  - 宿主未提供 `storageDomain`（未装载 storage-domain 插件 / 老宿主）；
+ *  - `open` 抛错（域名非法 / 后端缺失 `backend-not-found` / 版本不符 / 记录损坏）；
+ *  - 拿到的服务形状不对（无 `open` 函数）。
+ *
+ * @param ctx 插件上下文（真实 cordis Context；测试可传结构化替身）
+ * @returns 域句柄，或 `null`
+ */
+export declare function openBindingDomain(ctx: unknown): Promise<BindingDomainLike | null>;
+/**
+ * 绑定表的**同步读**封装（句柄缺失时全部返回空，语义 = "域里没有"）。
+ *
+ * 为什么单独包一层（而不是让调用方直接拿 table）：
+ *  ① 句柄可能为 `null`（域不可用）⇒ 让 `null` 检查集中在一处；
+ *  ② 读侧要统一做形状容忍（`asBindingRecord`）。
+ */
+export declare class BindingStore {
+    private readonly domain;
+    constructor(domain: BindingDomainLike | null);
+    /** 域是否可用（`false` ⇒ 调用方应回落旧文件） */
+    get available(): boolean;
+    private table;
+    /** 同步读一条（域不可用 → `undefined`） */
+    get(sessionId: string): BindingRecord | undefined;
+    /** 同步遍历全部 `[会话id, 记录]`（域不可用 → 空） */
+    entries(): Array<[string, BindingRecord]>;
+    /** 异步写一条（域不可用 / 落盘失败 → `false`；**不抛**） */
+    put(sessionId: string, rec: BindingRecord): Promise<boolean>;
+    /** 异步删一条（域不可用 / 失败 → `false`；**不抛**） */
+    delete(sessionId: string): Promise<boolean>;
+}
+/** 由域句柄造 store（`null` 句柄 → 不可用 store，读全空、写全 false） */
+export declare function bindingStore(domain: BindingDomainLike | null): BindingStore;

package/lib/index.js

@@ -2,12 +2,12 @@ import { t as __exportAll } from "./rolldown-runtime-D7D4PA-g.js";
 import { a as hostSettings, c as hostWebServer, i as hostSessions, n as hostInjected, o as hostSubagents, r as hostService, s as hostWeb, t as hostAgents } from "./access-fiehjxV6.js";
 import { a as findSerenityRoot, c as matchBlacklist, d as readCccName$1, f as readExclusiveTools, h as resolveInside, i as findGitRoot, l as pathInside, n as SAFE_MODE_MARKER, o as isSafeModeOn, p as readHandymanConfig, r as classifyPath, s as loadSerenityConfig, t as DEFAULT_SERENITY_CONFIG_PATHS, u as readBlacklist } from "./ccc-NlLr_sxy.js";
 import { i as cccRootForExec, n as agentCwdFor, o as listCccs, r as cccRootForCwd, t as NO_CCC_FROM_AGENT_CWD } from "./ccc-roots-Bd_SjEs7.js";
-import { C as useSession, S as summarize, T as localFileStamp, _ as resolveSessionByTitle, a as resolveSessionTrajectoryLabel, b as setActiveSessionInfo, c as TRAJECTORY_ACTIONS, d as extractSessionMdPathFromText, f as findSession, g as readActiveSessionMd, h as parseSessionContextFromEvents, i as readLastBound, l as clearActiveSessionInfo, m as listSessions, o as supersedeOtherBindings, p as getActiveSessionInfo, r as pruneMissingBindings, s as DEFAULT_SESSION_SCOPE, t as appendBound, u as createSession, v as sessionEvents$1, w as isoLocal, x as showSession, y as sessionsRoot } from "./trajectory-bound-B9o_4CMF.js";
+import { C as summarize, E as localFileStamp, S as showSession, T as isoLocal, _ as readActiveSessionMd, a as resolveSessionTrajectoryLabel, b as sessionsRoot, c as DEFAULT_SESSION_SCOPE, d as createSession, f as extractSessionMdPathFromText, g as parseSessionContextFromEvents, h as listSessions, i as readLastBound, l as TRAJECTORY_ACTIONS, m as getActiveSessionInfo, o as setBindingStore, p as findSession, r as pruneMissingBindings, s as supersedeOtherBindings, t as appendBound, u as clearActiveSessionInfo, v as resolveSessionByTitle, w as useSession, x as setActiveSessionInfo, y as sessionEvents$1 } from "./trajectory-bound-4xkZDfmO.js";
 import { a as readWeixinCredential, c as weixinInboundDir, d as LOCALSTORE_SCOPES, f as checkLocalstoreGitCompliance, g as runLocalStore, h as readStore, i as matchWeixinRoute, l as weixinSessionIdFor, m as readGitTrack, n as extractWeixinText, o as readWeixinSettings, p as localstorePath, r as hasVoiceItem, s as sanitizeFileName$1, t as extractWeixinMedia } from "./weixin-route-B2ajFypI.js";
 import { a as readSkiffRoles, c as roleMsmWhitelist, d as systemPromptSource, f as trajectorySubset, i as isSkiffSessionId, l as roleToolWhitelist, n as buildSkiffBasePrompt, o as resolveRoleSystemPrompt, r as createRolePromptReader, s as resolveSkiffKind } from "./skiff-role-CEHL5cek.js";
 import { a as unregisterSkiffSession$1, i as skiffSessionSnapshot$1, n as skiffRoleFor$1, r as skiffSessionInfo$1, t as registerSkiffSession$1 } from "./skiff-registry-FTjoWQTQ.js";
 import { r as sessionsRootDir, t as hasSessionLogById } from "./session-cleanup-BtkSmry8.js";
-import { a as WAKE_CATCH_UP_MS, i as registerDisposer, n as sendToTrajectory, o as addWake, r as wakeSchedulerState, s as listWakes, t as registerWakeScheduler } from "./wake-scheduler-CCpCk-7r.js";
+import { a as WAKE_CATCH_UP_MS, i as registerDisposer, n as sendToTrajectory, o as addWake, r as wakeSchedulerState, s as listWakes, t as registerWakeScheduler } from "./wake-scheduler-BRnPUnER.js";
 import { a as FACE_PORTS, c as MECHANISM_PORTS, i as ACP_HTTP_PORT, l as SKIFF_DEBUG_PORT, n as registerSettingsSection, o as GATEWAY_PORT, s as MAIN_WEB_PORT, t as readSimpleSettings, u as WEIXIN_SEND_PORT } from "./settings-section-DMDUoQum.js";
 import { a as markdownToPlainText, c as sendTyping, i as getUpdates, l as sniffImageExt, n as downloadMedia, o as sendFileMessage, r as getConfig, s as sendTextMessage, t as TypingStatus } from "./weixin-api-CtFYm53S.js";
 import z from "@deepseek-ai/schemastery";
@@ -7520,6 +7520,17 @@ const HOST_SERVICES = [
 		}],
 		impact: "双端口网关无法换取 dsh cookie → 外部反代 401",
 		required: false
+	},
+	{
+		id: "storageDomain",
+		name: "storageDomain",
+		access: "lazy",
+		members: [{
+			name: "open",
+			kind: "function"
+		}],
+		impact: "轨迹绑定无处可存 → §0L 整体不可用（须退回\"写会话日志\"备选方案）",
+		required: false
 	}
 ];
 /** dsp 被验证过的宿主版本范围（与 package.json peerDependencies 同源，单一真相源） */
@@ -14444,6 +14455,161 @@ function createAccDiagTool(ctx) {
 	});
 }
 //#endregion
+//#region src/host/storage-domain.ts
+/**
+* host/storage-domain.ts — 宿主存储域上的「会话 ↔ 轨迹」绑定表（§0L，S142 2026-09-19）
+*
+* 为什么存在（R↓）：绑定的载体原本是 CCC 内的 `AGENT_SESSIONS/.bindings.json`。
+* owner 裁定（「放 CCC 不合适」）⇒ 改存**宿主自己的存储域**
+* （`~/.dsh/storages/`，与宿主 `workspace.json` 同处、同类结构、同一套校验）。
+*
+* 能力与边界：
+*  - `openBindingDomain(ctx)`：从插件 ctx 取 `storageDomain`（**经 `hostService` = `ctx.get`**，
+*    **不是**属性直读——dsp 的 `inject` 不含它，属性直读在真实 cordis 下抛
+*    `cannot get property "storageDomain" without inject`，同 v1.31.4 的 subagents 陷阱）；
+*    开域成功返回句柄，任何环节失败返回 `null`（**本模块永不抛错**：宿主对插件 apply 抛错
+*    = 整个 dsh 启动失败，见 `host/access.ts` 的同类契约）。
+*  - 句柄的**读是同步的**（`get` / `entries` / `keys` / `size` 走内存），**写才是异步的**
+*    （`put` / `delete` 等落盘后 resolve）——**这是 §0L 能"向前兼容"的技术前提**：
+*    既有 10 个调用点全是同步签名，故调用方拿到句柄后读法完全不变。
+*
+* 域名约束（实测，`tests/host/storage-domain.test.ts` 钉住）：
+*   `UNIT_NAME_RE = /^[a-z][a-z0-9_]*$/` ⇒ **`serenity_bindings`（下划线）**；
+*   连字符形如 `serenity-bindings` **非法**（会在 `defineDomain` 模块加载期抛错）。
+*
+* 记录形状：与旧 `.bindings.json` **同名字段**（`dirName` / `mdPath` / `sessionId` / `action`
+* / `at` / `note` / `supersededAt`）——同形可显著降低迁移风险，也让"双读兜底"易于对账。
+* 硬锚仍是 **`dirName`**（完整目录名，U4：绝不解析编号前缀）。
+*/
+/** 域名称（下划线；连字符非法——见文件头） */
+const BINDING_DOMAIN_NAME = "serenity_bindings";
+/** 表名 */
+const BINDING_TABLE_NAME = "bindings";
+const passthroughSchema = {
+	parse: (v) => v,
+	safeParse: (v) => ({
+		success: true,
+		data: v
+	})
+};
+/**
+* 构造域规格（宿主 `defineDomain` 的入参形状）。
+*
+* 为什么不引 `@deepseek-ai/dsh-storage-domain` 的 `defineDomain`：
+* 它是**宿主 peer 依赖**（本仓 peer-only 打包，不装它）⇒ 直接 import 会让插件在
+* 未装该包的运行时**模块加载即失败**。域规格是**纯数据**，手写等价对象即可
+* （`tests/host/storage-domain.test.ts` 用真实 `defineDomain` 验证本对象被接受）。
+*/
+function bindingDomainSpec() {
+	return {
+		name: BINDING_DOMAIN_NAME,
+		version: 1,
+		tables: { [BINDING_TABLE_NAME]: { valueSchema: passthroughSchema } }
+	};
+}
+/** 读侧形状容忍（手改 / 旧数据 / 未来字段）：只要求 `dirName` 是字符串 */
+function asBindingRecord(value) {
+	const r = value;
+	if (!r || typeof r !== "object" || typeof r.dirName !== "string") return null;
+	return r;
+}
+/**
+* 从插件 ctx 打开绑定域。**永不抛错**；不可用一律返回 `null`（调用方决定降级）。
+*
+* 失败面（全部返回 `null`，调用方回落旧 `.bindings.json`）：
+*  - 宿主未提供 `storageDomain`（未装载 storage-domain 插件 / 老宿主）；
+*  - `open` 抛错（域名非法 / 后端缺失 `backend-not-found` / 版本不符 / 记录损坏）；
+*  - 拿到的服务形状不对（无 `open` 函数）。
+*
+* @param ctx 插件上下文（真实 cordis Context；测试可传结构化替身）
+* @returns 域句柄，或 `null`
+*/
+async function openBindingDomain(ctx) {
+	const facility = hostService(ctx, "storageDomain");
+	if (!facility || typeof facility.open !== "function") return null;
+	try {
+		const domain = await facility.open(bindingDomainSpec());
+		if (!domain || typeof domain.table !== "function") return null;
+		const table = domain.table(BINDING_TABLE_NAME);
+		if (!table || typeof table.get !== "function") return null;
+		return domain;
+	} catch {
+		return null;
+	}
+}
+/**
+* 绑定表的**同步读**封装（句柄缺失时全部返回空，语义 = "域里没有"）。
+*
+* 为什么单独包一层（而不是让调用方直接拿 table）：
+*  ① 句柄可能为 `null`（域不可用）⇒ 让 `null` 检查集中在一处；
+*  ② 读侧要统一做形状容忍（`asBindingRecord`）。
+*/
+var BindingStore = class {
+	domain;
+	constructor(domain) {
+		this.domain = domain;
+	}
+	/** 域是否可用（`false` ⇒ 调用方应回落旧文件） */
+	get available() {
+		return this.domain !== null;
+	}
+	table() {
+		if (!this.domain) return null;
+		try {
+			return this.domain.table(BINDING_TABLE_NAME);
+		} catch {
+			return null;
+		}
+	}
+	/** 同步读一条（域不可用 → `undefined`） */
+	get(sessionId) {
+		try {
+			const rec = this.table()?.get(sessionId);
+			return rec ? asBindingRecord(rec) ?? void 0 : void 0;
+		} catch {
+			return;
+		}
+	}
+	/** 同步遍历全部 `[会话id, 记录]`（域不可用 → 空） */
+	entries() {
+		const out = [];
+		try {
+			const t = this.table();
+			if (!t) return out;
+			for (const [k, v] of t.entries()) {
+				const rec = asBindingRecord(v);
+				if (rec) out.push([k, rec]);
+			}
+		} catch {}
+		return out;
+	}
+	/** 异步写一条（域不可用 / 落盘失败 → `false`；**不抛**） */
+	async put(sessionId, rec) {
+		try {
+			const t = this.table();
+			if (!t) return false;
+			await t.put(sessionId, rec);
+			return true;
+		} catch {
+			return false;
+		}
+	}
+	/** 异步删一条（域不可用 / 失败 → `false`；**不抛**） */
+	async delete(sessionId) {
+		try {
+			const t = this.table();
+			if (!t) return false;
+			return await t.delete(sessionId);
+		} catch {
+			return false;
+		}
+	}
+};
+/** 由域句柄造 store（`null` 句柄 → 不可用 store，读全空、写全 false） */
+function bindingStore(domain) {
+	return new BindingStore(domain);
+}
+//#endregion
 //#region src/index.ts
 const name = "dsh-serenity-hooks";
 /** 主动调用的服务；其余（agent 事件）随 harness 装配必然存在
@@ -14495,6 +14661,15 @@ function apply(ctx, config) {
 		if (report !== null && report.issues.length > 0) console.warn(`[serenity-hooks] ${summarizeHostContract(report)}`);
 	} catch {}
 	registerImChannel(weixinChannel);
+	(async () => {
+		try {
+			const domain = await openBindingDomain(ctx);
+			setBindingStore(bindingStore(domain));
+			if (!domain) console.log("[serenity-hooks] §0L 存储域不可用 → 绑定继续走 CCC 内 .bindings.json（向前兼容回落）");
+		} catch {
+			setBindingStore(null);
+		}
+	})();
 	if (config.tools) {
 		ctx.tools.register(ccFsTool);
 		ctx.tools.register(createTrajectoryTool(ctx));

package/lib/{trajectory-bound-B9o_4CMF.js → trajectory-bound-4xkZDfmO.js}

@@ -526,6 +526,131 @@ const SESSION_BOUND_EVENT = "serenity/bound";
 /** 绑定文件相对 CCC 根的路径 */
 const BINDINGS_REL_PATH = "AGENT_SESSIONS/.bindings.json";
 const BINDINGS_VERSION = 1;
+let domainStore = null;
+/**
+* 注入域句柄（装载期调用一次）。传 `null` = 域不可用 ⇒ 全部退回旧文件行为。
+* 幂等：重复调用以后者为准（HMR / 重载场景）。
+*/
+function setBindingStore(store) {
+	domainStore = store;
+}
+/** 域记录 → 本模块记录形状（同名字段，无需映射表；见 host/storage-domain.ts 头注） */
+function fromDomainRecord(rec) {
+	return {
+		dirName: rec.dirName,
+		mdPath: rec.mdPath,
+		...rec.sessionId ? { sessionId: rec.sessionId } : {},
+		action: rec.action ?? "activate",
+		at: typeof rec.at === "number" ? rec.at : 0,
+		...rec.note ? { note: rec.note } : {},
+		...rec.supersededAt !== void 0 ? { supersededAt: rec.supersededAt } : {}
+	};
+}
+/** 本模块记录 → 域记录形状 */
+function toDomainRecord(rec) {
+	return {
+		dirName: rec.dirName,
+		mdPath: rec.mdPath,
+		...rec.sessionId ? { sessionId: rec.sessionId } : {},
+		action: rec.action,
+		at: rec.at,
+		...rec.note ? { note: rec.note } : {},
+		...rec.supersededAt !== void 0 ? { supersededAt: rec.supersededAt } : {}
+	};
+}
+/**
+* §0L **一次性迁移**：把某个 CCC 的旧 `.bindings.json` 全量灌入宿主存储域。
+*
+* 设计要点（R↓）：
+*  - **幂等**：只写域里**尚不存在**的键（`skip existing`）。⇒ 重复调用（每次启动都调）
+*    不会覆盖域里的新状态，也不会因并发而互相踩踏。
+*  - **不删旧文件**：迁移只读不写旧表（owner「向前兼容」的第二道保险仍在）。
+*  - **不丢绑定**：逐条迁移，单条失败不影响其余（返回计数供诊断）。
+*  - **失败静默**：域写不可用 ⇒ 返回 `{migrated:0, skipped:0, failed:0}`，不抛错
+*    （装载期调用，不能成为启动单点）。
+*
+* @param root CCC 根（`AGENT_SESSIONS/.bindings.json` 所在）
+* @returns 迁移计数（诊断用；`migrated` = 本次真正灌入的条数）
+*/
+function migrateBindingsToDomain(root) {
+	const out = {
+		migrated: 0,
+		skipped: 0,
+		failed: 0
+	};
+	if (!domainStore?.available) return out;
+	let file;
+	try {
+		file = readBindingsFile(join(root, BINDINGS_REL_PATH));
+	} catch {
+		return out;
+	}
+	for (const [id, raw] of Object.entries(file.sessions)) {
+		const rec = asBoundRecord(raw);
+		if (!rec) continue;
+		if (domainStore.get(id)) {
+			out.skipped += 1;
+			continue;
+		}
+		try {
+			domainStore.put(id, toDomainRecord(rec)).catch(() => {});
+			out.migrated += 1;
+		} catch {
+			out.failed += 1;
+		}
+	}
+	if (out.migrated > 0) migratedRoots.add(root);
+	return out;
+}
+/** 已补过迁移的 CCC 根（进程内去重；跨进程各补一次是可接受的——迁移幂等） */
+const migratedRoots = /* @__PURE__ */ new Set();
+/**
+* **按 CCC 惰性补迁移**（§0L 修正，S142 2026-09-19）。
+*
+* 🔴 为什么需要它（实测缺陷，R↓）：
+* 装载期那次迁移用的是 `process.cwd()` —— 而 dsh **服务进程的 cwd 是 `/home/yh`**，
+* **不是 CCC 根**（实测 `acc-diag`：`进程 cwd: /home/yh ｜ 进程 CCC: （无）`）。
+* ⇒ 迁移读的是一个**不存在的文件**，静默迁移 0 条
+* （症状：发布后 `~/.dsh/storages/serenity_bindings.json` **没出现**）。
+*
+* 现在改为：**任何一次能定位到 CCC 根的路径**都顺手补一次迁移（幂等 + 进程内去重）。
+* 这样无论服务从哪个 cwd 启动，只要那条 CCC 有会话活动，它的绑定就会被带上。
+*
+* @param root CCC 根
+*/
+function ensureBindingsMigrated(root) {
+	if (!domainStore?.available) return;
+	if (migratedRoots.has(root)) return;
+	try {
+		migrateBindingsToDomain(root);
+	} catch {}
+}
+/**
+* 域内读一条（同步）。域不可用 → `undefined`（调用方据此回落文件）。
+* @param sessionId dsh 会话 id
+*/
+function readFromDomain(sessionId) {
+	if (!domainStore?.available) return void 0;
+	const rec = domainStore.get(sessionId);
+	return rec ? fromDomainRecord(rec) : void 0;
+}
+/**
+* 域内取**某轨迹的全部绑定**（同步；已排除 superseded —— 与 `listBoundSessionIds` 同判据）。
+* 域不可用 → `null`（**注意与"空结果"区分**：null = 回落文件，[] = 域里确实没有）。
+*/
+function listFromDomain(dirName) {
+	if (!domainStore?.available) return null;
+	const out = [];
+	for (const [id, raw] of domainStore.entries()) {
+		const rec = fromDomainRecord(raw);
+		if (rec.dirName !== dirName) continue;
+		out.push({
+			id,
+			rec
+		});
+	}
+	return out;
+}
 function sessionHeader(session) {
 	const header = session?.header;
 	if (!header || typeof header !== "object") return null;
@@ -537,6 +662,7 @@ function bindingsPathFor(session) {
 	if (typeof header?.cwd !== "string") return null;
 	const root = cccRootForCwd(header.cwd);
 	if (!root) return null;
+	ensureBindingsMigrated(root);
 	return join(root, BINDINGS_REL_PATH);
 }
 function readBindingsFile(path) {
@@ -586,12 +712,21 @@ function readLegacyBoundFromEvents(session) {
 	return null;
 }
 /**
-* 读取会话当前绑定（权威，latest-wins）：文件记录优先，无则回落旧事件形态。
+* 读取会话当前绑定（权威，latest-wins）。
+*
+* 读取顺序（§0L，S142 2026-09-19）：
+*  1. **宿主存储域**（域可用时的权威来源）；
+*  2. **旧文件** `.bindings.json`（域不可用 ⇒ 零回归回落；域可用但该会话未迁移 ⇒ 兜底）；
+*  3. **旧事件形态** `serenity/bound`（v1.30.5 及更早的存量）。
 * 无绑定返回 null。
 */
 function readLastBound(session) {
-	const path = bindingsPathFor(session);
 	const id = sessionHeader(session)?.id;
+	if (typeof id === "string") {
+		const fromDomain = readFromDomain(id);
+		if (fromDomain) return fromDomain;
+	}
+	const path = bindingsPathFor(session);
 	if (path && typeof id === "string") {
 		const rec = asBoundRecord(readBindingsFile(path).sessions[id]);
 		if (rec) return rec;
@@ -639,12 +774,24 @@ function resolveSessionTrajectoryLabel(session, scope) {
 * @returns 会话 id 列表（最新绑定在前）；无绑定 → `[]`
 */
 function listBoundSessionIds(root, dirName) {
-	const file = readBindingsFile(join(root, BINDINGS_REL_PATH));
 	const hits = [];
+	const fromDomain = listFromDomain(dirName);
+	if (fromDomain !== null) {
+		for (const { id, rec } of fromDomain) {
+			if (rec.supersededAt !== void 0) continue;
+			hits.push({
+				id,
+				at: typeof rec.at === "number" ? rec.at : 0
+			});
+		}
+		if (hits.length > 0) return hits.sort((a, b) => b.at - a.at).map((h) => h.id);
+	}
+	const file = readBindingsFile(join(root, BINDINGS_REL_PATH));
 	for (const [id, raw] of Object.entries(file.sessions)) {
 		const rec = asBoundRecord(raw);
 		if (!rec || rec.dirName !== dirName) continue;
 		if (rec.supersededAt !== void 0) continue;
+		if (hits.some((h) => h.id === id)) continue;
 		hits.push({
 			id,
 			at: typeof rec.at === "number" ? rec.at : 0
@@ -670,23 +817,49 @@ function listBoundSessionIds(root, dirName) {
 function supersedeOtherBindings(root, dirName, keepIds) {
 	const path = join(root, BINDINGS_REL_PATH);
 	const file = readBindingsFile(path);
-	const marked = [];
 	const at = Date.now();
+	/**
+	* 需要退休的会话 id 集合。
+	*
+	* 🔴 必须取**域 ∪ 文件的并集**（实测缺陷，2026-09-19）：
+	* 首版实现只在**文件循环**里 `marked.push(id)`，于是"记录只在域里"时
+	* 返回值恒为 `[]` —— 而调用方（`tools/trajectory.ts` 的 `use`）**靠这个返回值**决定
+	* 是否回报 `supersededBindings`，并且早先用 `marked.length === 0` 短路**跳过了写盘**。
+	* ⇒ 症状是"D69 只留一条**静默不生效**"（记录没被标记，返回也看不出异常）。
+	* 由 `tests/trajectory-bound.test.ts` 的 D69 域路径用例抓到。
+	*/
+	const toMark = /* @__PURE__ */ new Set();
+	if (domainStore?.available) for (const [id, raw] of domainStore.entries()) {
+		const rec = fromDomainRecord(raw);
+		if (rec.dirName !== dirName) continue;
+		if (keepIds.has(id) || rec.supersededAt !== void 0) continue;
+		toMark.add(id);
+	}
 	for (const [id, raw] of Object.entries(file.sessions)) {
 		const rec = asBoundRecord(raw);
 		if (!rec || rec.dirName !== dirName) continue;
 		if (keepIds.has(id) || rec.supersededAt !== void 0) continue;
+		toMark.add(id);
+	}
+	if (toMark.size === 0) return [];
+	if (domainStore?.available) for (const id of toMark) {
+		const raw = domainStore.get(id);
+		if (!raw) continue;
+		domainStore.put(id, toDomainRecord({
+			...fromDomainRecord(raw),
+			supersededAt: at
+		})).catch(() => {});
+	}
+	for (const id of toMark) {
+		const rec = asBoundRecord(file.sessions[id]);
+		if (!rec) continue;
 		rec.supersededAt = at;
 		file.sessions[id] = rec;
-		marked.push(id);
 	}
-	if (marked.length === 0) return [];
 	try {
 		writeBindingsFile(path, file);
-	} catch {
-		return [];
-	}
-	return marked.sort();
+	} catch {}
+	return [...toMark].sort();
 }
 /**
 * **(c) 绑定一致性兜底**（S142 §0y，所有者 2026-09-18 裁「c 也算个兜底」）：
@@ -708,25 +881,25 @@ function supersedeOtherBindings(root, dirName, keepIds) {
 function pruneMissingBindings(root, isMissing) {
 	const path = join(root, BINDINGS_REL_PATH);
 	const file = readBindingsFile(path);
-	const removed = [];
-	for (const id of Object.keys(file.sessions)) {
-		let missing;
+	const toRemove = /* @__PURE__ */ new Set();
+	const judge = (id) => {
 		try {
-			missing = isMissing(id);
+			return isMissing(id);
 		} catch {
-			continue;
+			return false;
 		}
-		if (!missing) continue;
-		delete file.sessions[id];
-		removed.push(id);
+	};
+	if (domainStore?.available) {
+		for (const [id] of domainStore.entries()) if (judge(id)) toRemove.add(id);
 	}
-	if (removed.length === 0) return [];
+	for (const id of Object.keys(file.sessions)) if (judge(id)) toRemove.add(id);
+	if (toRemove.size === 0) return [];
+	if (domainStore?.available) for (const id of toRemove) domainStore.delete(id).catch(() => {});
+	for (const id of toRemove) delete file.sessions[id];
 	try {
 		writeBindingsFile(path, file);
-	} catch {
-		return [];
-	}
-	return removed.sort();
+	} catch {}
+	return [...toRemove].sort();
 }
 /**
 * 写入绑定（latest-wins 覆盖该会话记录）。
@@ -739,22 +912,25 @@ function pruneMissingBindings(root, isMissing) {
 function appendBound(session, action, rec) {
 	const path = bindingsPathFor(session);
 	const id = sessionHeader(session)?.id;
-	if (!path || typeof id !== "string") return false;
+	if (typeof id !== "string") return false;
+	const record = {
+		dirName: rec.dirName,
+		mdPath: rec.mdPath,
+		...rec.sessionId ? { sessionId: rec.sessionId } : {},
+		action,
+		at: Date.now(),
+		...rec.note ? { note: rec.note } : {}
+	};
+	if (domainStore?.available) domainStore.put(id, toDomainRecord(record)).catch(() => {});
+	if (!path) return domainStore?.available === true;
 	try {
 		const file = readBindingsFile(path);
-		file.sessions[id] = {
-			dirName: rec.dirName,
-			mdPath: rec.mdPath,
-			...rec.sessionId ? { sessionId: rec.sessionId } : {},
-			action,
-			at: Date.now(),
-			...rec.note ? { note: rec.note } : {}
-		};
+		file.sessions[id] = record;
 		writeBindingsFile(path, file);
 		return true;
 	} catch {
-		return false;
+		return domainStore?.available === true;
 	}
 }
 //#endregion
-export { useSession as C, localIdStamp as D, localHuman as E, summarize as S, localFileStamp as T, resolveSessionByTitle as _, resolveSessionTrajectoryLabel as a, setActiveSessionInfo as b, TRAJECTORY_ACTIONS as c, extractSessionMdPathFromText as d, findSession as f, readActiveSessionMd as g, parseSessionContextFromEvents as h, readLastBound as i, clearActiveSessionInfo as l, listSessions as m, listBoundSessionIds as n, supersedeOtherBindings as o, getActiveSessionInfo as p, pruneMissingBindings as r, DEFAULT_SESSION_SCOPE as s, appendBound as t, createSession as u, sessionEvents as v, isoLocal as w, showSession as x, sessionsRoot as y };
+export { summarize as C, localHuman as D, localFileStamp as E, localIdStamp as O, showSession as S, isoLocal as T, readActiveSessionMd as _, resolveSessionTrajectoryLabel as a, sessionsRoot as b, DEFAULT_SESSION_SCOPE as c, createSession as d, extractSessionMdPathFromText as f, parseSessionContextFromEvents as g, listSessions as h, readLastBound as i, TRAJECTORY_ACTIONS as l, getActiveSessionInfo as m, listBoundSessionIds as n, setBindingStore as o, findSession as p, pruneMissingBindings as r, supersedeOtherBindings as s, appendBound as t, clearActiveSessionInfo as u, resolveSessionByTitle as v, useSession as w, setActiveSessionInfo as x, sessionEvents as y };

package/lib/trajectory-bound.d.ts

@@ -23,6 +23,7 @@
  * 编码无关（U4）：绑定锚 = **完整 AGENT_SESSIONS 目录名**（磁盘唯一存在），
  * sessionId（S###/apaas-xxx/自定义）仅是派生展示字段——绝不假设 S 前缀。
  */
+import { type BindingStore } from './host/storage-domain.js';
 type SessionBoundAction = 'activate' | 'switch' | 'create' | 'rebuild' | 'reconcile' | 'release';
 interface SessionBoundRecord {
     dirName: string;
@@ -45,10 +46,56 @@ interface SessionBoundRecord {
 }
 /** 绑定文件相对 CCC 根的路径 */
 export declare const BINDINGS_REL_PATH = "AGENT_SESSIONS/.bindings.json";
+/**
+ * 注入域句柄（装载期调用一次）。传 `null` = 域不可用 ⇒ 全部退回旧文件行为。
+ * 幂等：重复调用以后者为准（HMR / 重载场景）。
+ */
+export declare function setBindingStore(store: BindingStore | null): void;
+/** 当前域句柄（诊断用；`null` = 未接线/不可用） */
+export declare function getBindingStore(): BindingStore | null;
+/**
+ * §0L **一次性迁移**：把某个 CCC 的旧 `.bindings.json` 全量灌入宿主存储域。
+ *
+ * 设计要点（R↓）：
+ *  - **幂等**：只写域里**尚不存在**的键（`skip existing`）。⇒ 重复调用（每次启动都调）
+ *    不会覆盖域里的新状态，也不会因并发而互相踩踏。
+ *  - **不删旧文件**：迁移只读不写旧表（owner「向前兼容」的第二道保险仍在）。
+ *  - **不丢绑定**：逐条迁移，单条失败不影响其余（返回计数供诊断）。
+ *  - **失败静默**：域写不可用 ⇒ 返回 `{migrated:0, skipped:0, failed:0}`，不抛错
+ *    （装载期调用，不能成为启动单点）。
+ *
+ * @param root CCC 根（`AGENT_SESSIONS/.bindings.json` 所在）
+ * @returns 迁移计数（诊断用；`migrated` = 本次真正灌入的条数）
+ */
+export declare function migrateBindingsToDomain(root: string): {
+    migrated: number;
+    skipped: number;
+    failed: number;
+};
+/**
+ * **按 CCC 惰性补迁移**（§0L 修正，S142 2026-09-19）。
+ *
+ * 🔴 为什么需要它（实测缺陷，R↓）：
+ * 装载期那次迁移用的是 `process.cwd()` —— 而 dsh **服务进程的 cwd 是 `/home/yh`**，
+ * **不是 CCC 根**（实测 `acc-diag`：`进程 cwd: /home/yh ｜ 进程 CCC: （无）`）。
+ * ⇒ 迁移读的是一个**不存在的文件**，静默迁移 0 条
+ * （症状：发布后 `~/.dsh/storages/serenity_bindings.json` **没出现**）。
+ *
+ * 现在改为：**任何一次能定位到 CCC 根的路径**都顺手补一次迁移（幂等 + 进程内去重）。
+ * 这样无论服务从哪个 cwd 启动，只要那条 CCC 有会话活动，它的绑定就会被带上。
+ *
+ * @param root CCC 根
+ */
+export declare function ensureBindingsMigrated(root: string): void;
 /** 绑定文件绝对路径（由会话 cwd 上溯 .serenity 定位 CCC 根）；无法定位返回 null */
 export declare function bindingsPathFor(session: unknown): string | null;
 /**
- * 读取会话当前绑定（权威，latest-wins）：文件记录优先，无则回落旧事件形态。
+ * 读取会话当前绑定（权威，latest-wins）。
+ *
+ * 读取顺序（§0L，S142 2026-09-19）：
+ *  1. **宿主存储域**（域可用时的权威来源）；
+ *  2. **旧文件** `.bindings.json`（域不可用 ⇒ 零回归回落；域可用但该会话未迁移 ⇒ 兜底）；
+ *  3. **旧事件形态** `serenity/bound`（v1.30.5 及更早的存量）。
  * 无绑定返回 null。
  */
 export declare function readLastBound(session: unknown): SessionBoundRecord | null;

package/lib/{wake-scheduler-CCpCk-7r.js → wake-scheduler-BRnPUnER.js}

@@ -1,6 +1,6 @@
 import { r as hostService, t as hostAgents } from "./access-fiehjxV6.js";
 import { o as listCccs } from "./ccc-roots-Bd_SjEs7.js";
-import { D as localIdStamp, E as localHuman, f as findSession, n as listBoundSessionIds, w as isoLocal, y as sessionsRoot } from "./trajectory-bound-B9o_4CMF.js";
+import { D as localHuman, O as localIdStamp, T as isoLocal, b as sessionsRoot, n as listBoundSessionIds, p as findSession } from "./trajectory-bound-4xkZDfmO.js";
 import { t as readSimpleSettings } from "./settings-section-DMDUoQum.js";
 import { basename, dirname, join } from "node:path";
 import { existsSync, mkdirSync, readFileSync, renameSync, writeFileSync } from "node:fs";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@shgroup/dsh-serenity-hooks",
-  "version": "1.39.3",
+  "version": "1.40.1",
   "description": "宁静号 ACC harness（Native Cordis 插件）——给 DeepSeek Harness 装一个「AI 工作区」：11 个工具（container_fs/container_trajectory/dashboard/container_git/msm/praxis/handyman/localstore/container_admin/im-bridge/acc-diag）+ 机械约束（安全模式/工作区围墙/密钥守卫/对外输出守卫）+ 工作日志与原地重建 + 网页登录入口/微信桥/子角色/对外问答页/trajectory 唤醒注册表。适配 DSH 0.1.5-rc.2。",
   "license": "MIT",
   "repository": {