@shgroup/dsh-serenity-hooks 1.47.4 → 1.48.0

package/dsh.plugin.json

@@ -1,6 +1,6 @@
 {
   "id": "dsh-serenity-hooks",
-  "version": "1.47.4",
+  "version": "1.48.0",
   "main": "lib/index.js",
   "description": "宁静号 ACC harness（Native Cordis 插件）：给 DSH 装一个「AI 工作区」——11 个工具（container_fs/container_trajectory/dashboard/container_git/msm/praxis/handyman/localstore/container_admin/im-bridge/acc-diag；后两个按配置条件出现）+ 机械约束（安全模式/工作区围墙/密钥守卫）+ 轨迹日志与原地重建 + 网页登录入口/微信桥/子角色/对外问答页/trajectory 唤醒注册表。适配 DSH 0.1.5-rc.2（deepseek-ai/deepseek-harness）。",
   "engines": {

package/lib/agent-idle.d.ts

@@ -15,13 +15,27 @@
  * 无超时：agent 工作多久等多久（handyman 可永续）。订阅后再查一次 `agent.status`——
  * 宿主 `followup`/`steer` 会同步把 phase 置为 running（`agent.ts:181-201`），
  * 因此此刻读到 idle 只可能是"唤醒已在订阅前收敛"，立即结算以避免漏事件挂死。
+ *
+ * ── 🔴 2026-09-25 I2 收敛（约束文档 §2.7 违反清单，L1 违反之一）────────────────
+ * **`ctx` 参数类型从 `Context` 改为 `unknown`** ⇒ 消除本文件的 `W2`（宿主 `cordis` 类型）接触。
+ *
+ * **判据（本文件与前两个不同：它不是"纯透传"，但仍适用）**：本模块**确实用** `ctx`，
+ * 但用法是**结构化读**而非类型化读 —— 原码第 47 行**本就写着**
+ * `(ctx as unknown as { on?: … }).on?.(…)`：它**主动绕过** `Context` 类型去取 `on`。
+ * ⇒ 那个 `Context` 注解**没有为这处调用提供任何类型保证**（调用点已弃用它），
+ * 它只贡献了一处 L1→宿主 的接触点。
+ * 🔵 **证据（可重跑）**：本文件**零处** `ctx.xxx` 类型化属性访问；
+ * 唯一的 `ctx` 使用点是被 `as unknown as` **双重断言**后的结构化调用。
+ * ⚠️ 与 `live-sessions.ts`／`ccc-roots.ts` 的区别：那两处是**纯透传**（连断言都没有）；
+ * 本处是**结构化访问**。两者的共同结论一致：`Context` 注解未参与类型检查。
+ * 🔵 **`Agent` 类型 import 保留**：它**被真正使用**（`p?.agent === agent` 的同一性比较）
+ * ⇒ 属 §2.6 的 W2-类型，但本模块**不是**"只贡献接触点"那种 —— 它是真需要，故不在本次收敛面。
  */
-import type { Context } from 'cordis';
 import type { Agent } from '@deepseek-ai/dsh-agent';
 /**
  * 等待 agent 空闲或销毁。
- * @param ctx 宿主插件上下文（事件通道来源）
+ * @param ctx 宿主插件上下文（事件通道来源；**结构化访问**，故类型为 `unknown`，见文件头 I2 段）
  * @param agent 目标 agent
  * @returns 空闲、agent 销毁、或会话销毁时结算（永不 reject）
  */
-export declare function waitAgentIdle(ctx: Context, agent: Agent): Promise<void>;
+export declare function waitAgentIdle(ctx: unknown, agent: Agent): Promise<void>;

package/lib/{ccc-roots-NpTWo0-c.js → ccc-roots-Duk89a-h.js}

@@ -22,6 +22,17 @@ import { basename } from "node:path";
 *
 * 不新增持久状态（Q5 裁决：**不新增"本机 CCC 名单"**、不扫盘、不写路径假设）——
 * 枚举只读 **DSH 已有的三个来源**。
+*
+* ── 🔴 2026-09-25 I2 收敛（约束文档 §2.7 违反清单，L1 违反之一）────────────────
+* **本模块的 `ctx` 参数类型从 `Context` 改为 `unknown`** —— 消除本文件唯一的 `W2` 接触。
+*
+* **判据（与 `live-sessions.ts` 同款，但本文件要多过一道）：** 约束文档 §2.7 原记本处
+* `Context` 是"**实测真被用到**"（因它调 `hostService(ctx,…)`／`hostSessions(ctx)`）。
+* 🔴 **该判断把"透传"与"解引用"混为一谈了** —— 实测本文件 `ctx` 的**唯一**去向是
+* **原样透传**给两个 L0 取数口（签名均为 `ctx: unknown`），**零处** `ctx.xxx` 属性访问。
+* ⇒ `Context` 这个 import **未参与任何类型检查**，只贡献了一处 L1→宿主 的接触点。
+* 🔵 **证据（可重跑）**：grep 本文件 —— `ctx.` **0 命中**；`ctx` 命中全在
+* 参数位／调用位（`hostService(ctx, …)` ／ `hostSessions(ctx)`）。
 */
 var ccc_roots_exports = /* @__PURE__ */ __exportAll({
 	NO_CCC_FROM_AGENT_CWD: () => NO_CCC_FROM_AGENT_CWD,

package/lib/ccc-roots.d.ts

@@ -17,8 +17,18 @@
  *
  * 不新增持久状态（Q5 裁决：**不新增"本机 CCC 名单"**、不扫盘、不写路径假设）——
  * 枚举只读 **DSH 已有的三个来源**。
+ *
+ * ── 🔴 2026-09-25 I2 收敛（约束文档 §2.7 违反清单，L1 违反之一）────────────────
+ * **本模块的 `ctx` 参数类型从 `Context` 改为 `unknown`** —— 消除本文件唯一的 `W2` 接触。
+ *
+ * **判据（与 `live-sessions.ts` 同款，但本文件要多过一道）：** 约束文档 §2.7 原记本处
+ * `Context` 是"**实测真被用到**"（因它调 `hostService(ctx,…)`／`hostSessions(ctx)`）。
+ * 🔴 **该判断把"透传"与"解引用"混为一谈了** —— 实测本文件 `ctx` 的**唯一**去向是
+ * **原样透传**给两个 L0 取数口（签名均为 `ctx: unknown`），**零处** `ctx.xxx` 属性访问。
+ * ⇒ `Context` 这个 import **未参与任何类型检查**，只贡献了一处 L1→宿主 的接触点。
+ * 🔵 **证据（可重跑）**：grep 本文件 —— `ctx.` **0 命中**；`ctx` 命中全在
+ * 参数位／调用位（`hostService(ctx, …)` ／ `hostSessions(ctx)`）。
  */
-import type { Context } from 'cordis';
 /**
  * 工具/缝里"取会话工作目录"的那段形状的最小模型。
  * 多数工具只带 `agent`（`exec.agent.session.header.cwd`）；少数缝把 agent 本身传进来。
@@ -102,4 +112,4 @@ export interface ListCccsOptions {
  * @param opts.defaultRoot 默认根（不在列表 → 置首）；opts.withRoles 是否读 `skiff.roles`
  * @returns 按上述顺序去重的 CCC 条目（无任何来源 → 空数组 + 可选默认根）
  */
-export declare function listCccs(ctx: Context, opts?: ListCccsOptions): Promise<CccEntry[]>;
+export declare function listCccs(ctx: unknown, opts?: ListCccsOptions): Promise<CccEntry[]>;

package/lib/clock-runtime.d.ts

@@ -171,8 +171,11 @@ export interface ClockOptions<T> {
      *   `ticks`/`lastTickAt` 在**枚举到 live+enabled CCC 之后、任何 await 之前**同步记账；
      *   "无 CCC 可扫" 的那一拍**不计**（既有行为：`ticks` 停在 0 直到真有 CCC 可唤起）。
      *   若把它交给工厂"body 前同步记账"，就会**在闸之后无条件 +1**——那会把
-     *   "无 CCC 可扫时不计数"这条既有语义改掉（实测：`autopilot-trajectory.test.ts`
-     *   的『启动时无 live 会话』与『配置关闭』两条回归钉立刻变红）。
+     *   "无 CCC 可扫时不计数"这条既有语义改掉（🔴 **回归钉在 `clock-runtime.test.ts`**：
+     *   『`bodyCountsTick=true` → 工厂不记账，由 body 决定（autopilot 语义：无目标则不计）』
+     *   ＋『body 调 `countTick` 才计，且可在 await 之前同步计』—— 原文曾指向
+     *   `autopilot-trajectory.test.ts`，**该文件已随 v1.35.0 退场、全仓不存在**
+     *   ⇒ 2026-09-25 **只修引用**，语义与断言逐字未动）。
      *
      * ⚠️ 故本项**不是**"记账早晚"的风格开关，而是"**谁**知道该不该记"的归属划分：
      *   知道"有没有目标"的只有 body ⇒ 由 body 决定何时记账。

package/lib/cro-turns.d.ts

@@ -48,7 +48,6 @@
  * **查询时按轨迹聚合**（`listBoundSessionIds` → 「任一载体在跑」⇒ 该轨迹在跑）。
  * ⚠️ 这也天然处理了「同一轨迹多载体」（S142 曾挂 4 条）的情形。
  */
-import type { Context } from 'cordis';
 /** 一次「在跑」记录的 TTL（见文件头的方向性判据） */
 export declare const TURN_TTL_MS: number;
 /** 标记「在跑」（`agent/created` + `agent/status=running` 调用） */
@@ -87,6 +86,23 @@ export declare function __resetCroTurnsForTest(): void;
  *
  * ⚠️ **失败不抛**：任一事件通道缺失 ⇒ 响亮日志 + 该订阅跳过（**apply 不可成为启动单点**，
  * 与 `registerDeepseekVisionPatch` 等既有装配同款纪律）。
- * @param ctx 插件上下文
+ *
+ * ── 🔴 2026-09-25 I2 收敛（约束文档 §2.7 违反清单，L1 违反之一）────────────────
+ * **两个宿主 import 全部清除**（`Context`（cordis）＋ `Agent`（`@deepseek-ai/dsh-agent`）），
+ * `ctx` 参数类型 → `unknown`。
+ *
+ * 🔴 **本处顺带更正 §2.7 的一处分档**：本文件原被列在"剩余 3 个属**真依赖**档"里，
+ * 但**逐符号查证后与那个判断不符** ——
+ *   · `Context`：`ctx` 只被**结构化访问**（原码本就写着 `ctx as unknown as { on: … }`）
+ *     ⇒ 该注解未提供任何类型保证（与 `agent-idle.ts` 同档）。
+ *   · `Agent`：**导入后从未使用** —— 事件 payload 一律按 `{ agent?: unknown }` 解构，
+ *     再交给 `sessionIdOf(...)`（它收 `unknown`）。⇒ **纯粹是死 import**。
+ * ⇒ **判据（本件再证一次，且比上一件更硬）**：分档**必须逐符号看"它有没有参与类型检查"**，
+ *   **不能按文件整档划分** —— 同一个文件里可以并存"真依赖符号"与"纯名义符号"。
+ * 🔵 **剩余 2 个文件**才是真依赖档：`rebuild.ts` 用 `Session`/`SessionEvent`/
+ *   `deriveEventMessage`/`Agent` 等**真调用**的类型；`wake-scheduler.ts` 用 `Agent` 的
+ *   `followup`/`steer`（**真调用**）⇒ 它们走 §2.7-③ **选项 (b)** 或把中立接口下沉到 L0，
+ *   **另立一件**（D85 一次只改一件事）。
+ * @param ctx 插件上下文（**结构化访问** `on`，故类型为 `unknown`，见下方 I2 说明）
  */
-export declare function registerCroTurnTracking(ctx: Context): void;
+export declare function registerCroTurnTracking(ctx: unknown): void;

package/lib/index.js

@@ -1,8 +1,8 @@
 import { t as __exportAll } from "./rolldown-runtime-D7D4PA-g.js";
 import { a as hostSessions, c as hostWeb, i as hostService, l as hostWebServer, n as hostInjected, o as hostSettings, r as hostLlm, s as hostSubagents, t as hostAgents } from "./access-CNccNtgf.js";
 import { a as findSerenityRoot, c as matchBlacklist, d as readCccName$1, f as readExclusiveTools, g as resolveInside, i as findGitRoot, l as pathInside, m as readTrajectorySkills, n as SAFE_MODE_MARKER, o as isSafeModeOn, p as readHandymanConfig, r as classifyPath, s as loadSerenityConfig, t as DEFAULT_SERENITY_CONFIG_PATHS, u as readBlacklist } from "./ccc-DG4Oc7I1.js";
-import { i as cccRootForExec, n as agentCwdFor, o as listCccs, r as cccRootForCwd, t as NO_CCC_FROM_AGENT_CWD } from "./ccc-roots-NpTWo0-c.js";
-import { A as localIdStamp, C as setActiveSessionInfo, D as isoLocal, E as useSession, O as localFileStamp, S as sessionsRoot, T as summarize, _ as namingTitleFor, a as pruneMissingBindings, b as resolveSessionByTitle, c as setBindingStore, d as clearActiveSessionInfo, f as createSession, g as listSessions, h as getActiveSessionInfo, i as listBoundSessionIds, k as localHuman, l as DEFAULT_SESSION_SCOPE, m as findSession, n as PLUGIN_SOURCE, o as readLastBound, p as extractSessionMdPathFromText, r as appendBound, s as resolveSessionTrajectoryLabel, t as ACC_MESSAGE_KIND, u as TRAJECTORY_ACTIONS, v as parseSessionContextFromEvents, w as showSession, x as sessionEvents$1, y as readActiveSessionMd } from "./message-source-yuCgrbU6.js";
+import { i as cccRootForExec, n as agentCwdFor, o as listCccs, r as cccRootForCwd, t as NO_CCC_FROM_AGENT_CWD } from "./ccc-roots-Duk89a-h.js";
+import { A as localIdStamp, C as setActiveSessionInfo, D as isoLocal, E as useSession, O as localFileStamp, S as sessionsRoot, T as summarize, _ as namingTitleFor, a as pruneMissingBindings, b as resolveSessionByTitle, c as setBindingStore, d as clearActiveSessionInfo, f as createSession, g as listSessions, h as getActiveSessionInfo, i as listBoundSessionIds, k as localHuman, l as DEFAULT_SESSION_SCOPE, m as findSession, n as PLUGIN_SOURCE, o as readLastBound, p as extractSessionMdPathFromText, r as appendBound, s as resolveSessionTrajectoryLabel, t as ACC_MESSAGE_KIND, u as TRAJECTORY_ACTIONS, v as parseSessionContextFromEvents, w as showSession, x as sessionEvents$1, y as readActiveSessionMd } from "./message-source-D72jte0u.js";
 import { a as readWeixinCredential, c as weixinInboundDir, d as LOCALSTORE_SCOPES, f as checkLocalstoreGitCompliance, g as runLocalStore, h as readStore, i as matchWeixinRoute, l as weixinSessionIdFor, m as readGitTrack, n as extractWeixinText, o as readWeixinSettings, p as localstorePath, r as hasVoiceItem, s as sanitizeFileName$1, t as extractWeixinMedia } from "./weixin-route-CWMRa36W.js";
 import { a as unregisterSkiffSession$1, i as skiffSessionSnapshot$1, n as skiffRoleFor$1, o as ACC_VERSION, r as skiffSessionInfo$1, t as registerSkiffSession$1 } from "./skiff-registry-BjIX_KD1.js";
 import { a as readSkiffRoles, c as roleMsmWhitelist, d as systemPromptSource, f as trajectorySubset, i as isSkiffSessionId, l as roleToolWhitelist, n as buildSkiffBasePrompt, o as resolveRoleSystemPrompt, r as createRolePromptReader, s as resolveSkiffKind } from "./skiff-role-KqQA6pkr.js";
@@ -1938,7 +1938,7 @@ function listActiveHandymen(root) {
 //#region src/agent-idle.ts
 /**
 * 等待 agent 空闲或销毁。
-* @param ctx 宿主插件上下文（事件通道来源）
+* @param ctx 宿主插件上下文（事件通道来源；**结构化访问**，故类型为 `unknown`，见文件头 I2 段）
 * @param agent 目标 agent
 * @returns 空闲、agent 销毁、或会话销毁时结算（永不 reject）
 */
@@ -5714,6 +5714,56 @@ function registerDisposer(ctx, label, cleanup) {
 }
 //#endregion
 //#region src/cro-turns.ts
+/**
+* cro-turns.ts — 「这条轨迹是否正在跑轮次」的追踪（设计 §3.2，2026-09-19 S142）
+*
+* ## 为什么需要这个模块（CRO 唯一需要 ACC 新增的状态）
+*
+* CRO 程序要能回答「**已经在工作则停止**」这类问题 ⇒ 输入快照里必须有
+* 「**哪些载体正在跑轮次**」。而这件事**今天判不出来**：
+* 调度器只掌握**会话 live 与否**，而 **`live ≠ 在跑`**——
+* 一条会话可以 live 而空闲（本会话此刻就是活的反例）。
+*
+* ## 怎么夹出来（用**既有的**两个契约事件，不需要新宿主能力）
+*
+* | 事件 | 动作 | 出处 |
+* |---|---|---|
+* | `agent/created` | 标记「在跑」 | `host/contract.ts`（dsp 已在 `seams/context.ts` 订阅）。⚠️ v0.1.7 前名为 `agent/session-start`；新事件 `@mode = serial` ⇒ 处理函数须快速返回 |
+* | `agent/turn-stopping` | 清除标记 | `host/contract.ts:277`（dsp 已在 `rebuild.ts:442` 等 4 处订阅） |
+* | `agent/disposed` | **清该载体的项** | `host/contract.ts:280` |
+* | `session/disposed` | **清该载体的项** | `host/contract.ts:283` |
+*
+* ## 🔴 清理设计（**这是本模块最容易被做坏的地方**）
+*
+* ⚠️ 本容器栽过 **5 次**「只增不清」的病（wake-registry / keeper 三表 / pendingRebuilds …），
+* 而 `agent/disposed` 在 `HOST_EVENTS` 里的 impact 原文**恰好就是**
+* 「*per-会话内存态不清理（**长跑泄漏**）*」⇒ **本模块属于该已登记病族，必须在设计期就带清理**。
+*
+* **三层清理**：
+* 1. **正常路径**：`turn-stopping` ⇒ 清除该项；
+* 2. **载体销毁**：`agent/disposed` / `session/disposed` ⇒ 清除该项；
+* 3. 🔴 **异常路径（前两层都漏掉的兜底）**：读取时按 **TTL** 过滤——
+*    超过 `TURN_TTL_MS` 未收到 `turn-stopping` 的项**视为不在跑**（并顺手清除）。
+*    触发场景：进程被 kill / 卡死 / 事件丢失。
+*
+* ## TTL 取值的**方向性判据**（R↓，别用"感觉合适"）
+*
+* 两种误判的代价**不对称**：
+* · **误报"在跑"**（实际没跑）⇒ CRO 可能**不唤起** ⇒ **漏排 = 硬故障**（链停滞）；
+* · **误报"没跑"**（实际在跑）⇒ CRO 可能**多唤起**一次 ⇒ **多排 = 常态成本**（既有纪律：
+*   「漏排是硬故障、多排是常态成本」）。
+*
+* ⇒ **不确定时宁可报"没跑"**（选便宜的那种错）⇒ **TTL 不宜过长**。
+* 取 **30 分钟**：单轮静默超过 30 分钟仍无 `turn-stopping` 的情形罕见；
+* 而真发生了，代价只是一次可能多余的唤起（5min tick 限制频率，且 CRO 程序自己还能看
+* `pendingWakes` / `lastWakeAt` 二次判）。
+*
+* ## 键的选择
+*
+* **以载体（dsh 会话 id）为键**——因为事件本身就以 agent/session 为主语，直接映射最省。
+* **查询时按轨迹聚合**（`listBoundSessionIds` → 「任一载体在跑」⇒ 该轨迹在跑）。
+* ⚠️ 这也天然处理了「同一轨迹多载体」（S142 曾挂 4 条）的情形。
+*/
 /** 一次「在跑」记录的 TTL（见文件头的方向性判据） */
 const TURN_TTL_MS = 18e5;
 /**
@@ -5783,7 +5833,24 @@ function runningCarriersOf(boundSessionIds, nowMs, ttlMs = TURN_TTL_MS) {
 *
 * ⚠️ **失败不抛**：任一事件通道缺失 ⇒ 响亮日志 + 该订阅跳过（**apply 不可成为启动单点**，
 * 与 `registerDeepseekVisionPatch` 等既有装配同款纪律）。
-* @param ctx 插件上下文
+*
+* ── 🔴 2026-09-25 I2 收敛（约束文档 §2.7 违反清单，L1 违反之一）────────────────
+* **两个宿主 import 全部清除**（`Context`（cordis）＋ `Agent`（`@deepseek-ai/dsh-agent`）），
+* `ctx` 参数类型 → `unknown`。
+*
+* 🔴 **本处顺带更正 §2.7 的一处分档**：本文件原被列在"剩余 3 个属**真依赖**档"里，
+* 但**逐符号查证后与那个判断不符** ——
+*   · `Context`：`ctx` 只被**结构化访问**（原码本就写着 `ctx as unknown as { on: … }`）
+*     ⇒ 该注解未提供任何类型保证（与 `agent-idle.ts` 同档）。
+*   · `Agent`：**导入后从未使用** —— 事件 payload 一律按 `{ agent?: unknown }` 解构，
+*     再交给 `sessionIdOf(...)`（它收 `unknown`）。⇒ **纯粹是死 import**。
+* ⇒ **判据（本件再证一次，且比上一件更硬）**：分档**必须逐符号看"它有没有参与类型检查"**，
+*   **不能按文件整档划分** —— 同一个文件里可以并存"真依赖符号"与"纯名义符号"。
+* 🔵 **剩余 2 个文件**才是真依赖档：`rebuild.ts` 用 `Session`/`SessionEvent`/
+*   `deriveEventMessage`/`Agent` 等**真调用**的类型；`wake-scheduler.ts` 用 `Agent` 的
+*   `followup`/`steer`（**真调用**）⇒ 它们走 §2.7-③ **选项 (b)** 或把中立接口下沉到 L0，
+*   **另立一件**（D85 一次只改一件事）。
+* @param ctx 插件上下文（**结构化访问** `on`，故类型为 `unknown`，见下方 I2 说明）
 */
 function registerCroTurnTracking(ctx) {
 	const on = (event, handler) => {
@@ -6236,6 +6303,31 @@ function createClock(opts) {
 //#endregion
 //#region src/wake-scheduler.ts
 /**
+* wake-scheduler.ts — trajectory 唤醒调度器（D58/D59/D60；S142 2026-09-13）
+*
+* 一个**中心调度器**（5min tick，复用 autopilot 的节律常量），处理 CCC 唤醒注册表里
+* 到期的条目：把「未来时刻 + 一条 message」投递给目标 trajectory，**fire-and-forget**
+* （无阻塞、无等待、无回执——发起方不 await，调度器不替模型结果负责）。
+*
+* 与 autopilot 的关系（D59）：**两个 tick 各自独立**。autopilot 是每 CCC 单例的
+* 周期自唤醒，逻辑一行不碰；本模块只处理注册表的一次性唤醒条目。
+*
+* 投递路径（P-1 证据链见 SESSION.md §30.6）：
+*  1. target（S### / 目录名）→ 目录名 + SESSION.md
+*  2. 目标 dsh 会话 id：`.bindings.json` 里绑定该目录名的会话（按绑定时间倒序，权威）
+*     → 回退：live 会话标题匹配
+*  3. agent：**live 优先**（`ctx.agents.get`）→ 冷会话走 `ctx.sessionController.resolveAgent`
+*     （宿主实现：live 优先 + resume 去重 + 由会话元数据恢复 preset）
+*     → `sessionController` 缺席 ⇒ 仅投递 live 目标，**不静默**（v1.39.3：**归为"环境未就绪"**
+*       而非"投递失败"，见 `WakeDeliveryResult.notReady` —— 启动那一拍早于懒服务就绪是常态）
+*  4. 投递：`agent.followup(...)`（"Queue an ordinary follow-up turn and wake the driver"）
+*
+* 守卫（2026-09-21 起**本钟无闸**）：🔴 **恒武装**——原 `wakeSchedulerEnabled` 已砍，
+* 本钟不再有「可被误关的开关」；旧配置残留该键**静默忽略**，且**不**回退 `autopilotEnabled`｜
+* CRO 阶段另有**独立**总闸 `croEnabled`（只停 CRO，**不影响**本注册表投递）｜
+* 补跑窗口 2h（超窗置 missed 留痕）｜同 tick 串行｜唤起后维持 live（人类可介入）。
+*/
+/**
 * 解析条目的 target（`S###` 或完整目录名）→ 目录名 + SESSION.md 路径。
 * @param root CCC 根
 * @param target 条目里的目标标识
@@ -16313,7 +16405,7 @@ function registerWeixinBridge(ctx) {
 	const syncFromLive = () => {
 		(async () => {
 			try {
-				const { listCccs } = await import("./ccc-roots-NpTWo0-c.js").then((n) => n.a);
+				const { listCccs } = await import("./ccc-roots-Duk89a-h.js").then((n) => n.a);
 				for (const entry of await listCccs(ctx)) syncCccBridge(ctx, entry.root);
 			} catch {}
 		})();
@@ -16439,7 +16531,7 @@ function matchCcc(input, candidates) {
 }
 /** 组装候选列表（`ccc-roots.listCccs` 投影 + `.serenity` 名；动态 import 保持本模块静态依赖轻量） */
 async function collectCandidates(ctx) {
-	const { listCccs } = await import("./ccc-roots-NpTWo0-c.js").then((n) => n.a);
+	const { listCccs } = await import("./ccc-roots-Duk89a-h.js").then((n) => n.a);
 	const entries = await listCccs(ctx, { defaultRoot: process.cwd() });
 	const seen = /* @__PURE__ */ new Set();
 	const out = [];
@@ -16927,6 +17019,110 @@ function opencodeRouteHeaders() {
 		"x-opencode-project": "global"
 	};
 }
+/**
+* 目录补丁表（**唯一真相源 = pi-ai 的 `dist/providers/data/opencode-go.json`**）。
+*
+* 录取判据：① 官方文档 <https://opencode.ai/docs/zh-cn/go/> 的端点表列了它；
+* ② pi-ai 目录里**没有**它 ⇒ 面板不显示、手加也没 thinking。
+*
+* `deepseek-v4.1-flash` 的各字段**逐字取自目录里 `deepseek-v4-flash`**（同族兄弟，
+* 同 `chat/completions` 端点 + 同 `thinkingFormat: deepseek`）——不自行发明规格。
+*/
+const OPENCODE_EXTRA_MODELS = { "deepseek-v4.1-flash": {
+	name: "DeepSeek V4.1 Flash",
+	api: "openai-completions",
+	contextWindow: 1e6,
+	maxTokens: 384e3,
+	input: ["text"],
+	reasoningEfforts: {
+		low: "low",
+		high: "high",
+		max: "max"
+	},
+	compat: {
+		supportsStore: false,
+		supportsDeveloperRole: false,
+		maxTokensField: "max_tokens",
+		requiresReasoningContentOnAssistantMessages: true,
+		thinkingFormat: "deepseek"
+	}
+} };
+/**
+* opencode-go 上**已知不说 `openai-completions`** 的模型 id（安全闸）。
+*
+* 为什么需要它：给路由设 `api` 会**覆盖该路由每个条目的 `base.api`**
+* （`resolveRouteModels` 的 `request.api ?? base?.api ?? routeApi`）⇒
+* 若用户的 models 列表里混着异协议模型，设 `api` 会把它们**配坏**。
+* 故：列表里只要出现下表中的任一 id，本模块**放弃补模型**（响亮说明原因，不硬来）。
+*
+* 来源 = 官方文档端点表（`@ai-sdk/anthropic` 与 `@ai-sdk/openai`（Responses）两族）。
+*/
+const OPENCODE_GO_NON_COMPLETIONS = /* @__PURE__ */ new Set([
+	"minimax-m3",
+	"minimax-m2.7",
+	"minimax-m2.5",
+	"qwen3.8-max",
+	"qwen3.8-flash",
+	"qwen3.7-max",
+	"qwen3.7-plus",
+	"qwen3.6-plus",
+	"grok-4.7",
+	"grok-4.6",
+	"gpt-6-luna",
+	"gpt-5.6-luna",
+	"muse-spark-1.3-contributor",
+	"muse-spark-1.2-contributor"
+]);
+/**
+* 往**已有显式 `models` 列表**的路由里追加目录未收录的模型（**纯函数**）。
+*
+* 三条拒绝条件（每条都对应一个会让配置变坏的真实形态）：
+*   ① **没有显式 `models` 列表** ⇒ 该路由此刻服务的是 pi-ai 目录本体；
+*      一旦我们写出 `models`，**整个目录会被顶掉**（宿主的 `models` 是"整体替换"语义）
+*      ⇒ 宁可不动。
+*   ② **列表里出现已知异协议模型** ⇒ 设路由级 `api` 会覆盖它们的 `base.api`，把它们配坏。
+*   ③ **路由已显式设了别的 `api`** ⇒ 同上，且那是用户的显式选择，不覆盖。
+*/
+function planExtraModels(profile) {
+	const raw = profile.models;
+	if (!Array.isArray(raw) || raw.length === 0) return {
+		addedIds: [],
+		skip: "catalog-served"
+	};
+	const ids = /* @__PURE__ */ new Set();
+	for (const entry of raw) if (isPlainObject$1(entry) && typeof entry.id === "string") ids.add(entry.id);
+	const missing = Object.entries(OPENCODE_EXTRA_MODELS).filter(([id]) => !ids.has(id));
+	if (missing.length === 0) return { addedIds: [] };
+	for (const id of ids) if (OPENCODE_GO_NON_COMPLETIONS.has(id)) return {
+		addedIds: [],
+		skip: "mixed-protocol"
+	};
+	const apis = new Set(missing.map(([, model]) => model.api));
+	if (apis.size !== 1) return {
+		addedIds: [],
+		skip: "mixed-protocol"
+	};
+	const api = [...apis][0];
+	const existingApi = profile.api;
+	if (typeof existingApi === "string" && existingApi !== api) return {
+		addedIds: [],
+		skip: "api-conflict"
+	};
+	const appended = missing.map(([id, model]) => ({
+		id,
+		name: model.name,
+		contextWindow: model.contextWindow,
+		maxTokens: model.maxTokens,
+		input: [...model.input],
+		reasoningEfforts: { ...model.reasoningEfforts },
+		compat: { ...model.compat }
+	}));
+	return {
+		models: [...raw, ...appended],
+		...existingApi === api ? {} : { api },
+		addedIds: missing.map(([id]) => id)
+	};
+}
 function isPlainObject$1(value) {
 	return typeof value === "object" && value !== null && !Array.isArray(value);
 }
@@ -16996,7 +17192,23 @@ function planOpencodeAutoConfig(input) {
 		const missing = {};
 		for (const [name, value] of Object.entries(wanted)) if (!hasHeaderCaseInsensitive(existing, name)) missing[name] = value;
 		const keys = Object.keys(missing);
-		if (keys.length === 0) {
+		const extra = planExtraModels(profile);
+		if (extra.skip !== void 0 && extra.skip !== "catalog-served") actions.push({
+			kind: "skip-models",
+			route,
+			reason: extra.skip
+		});
+		else if (extra.addedIds.length > 0) actions.push({
+			kind: "add-models",
+			route,
+			ids: extra.addedIds,
+			api: extra.api ?? null
+		});
+		const routePatch = {};
+		if (keys.length > 0) routePatch.headers = missing;
+		if (extra.models !== void 0) routePatch.models = extra.models;
+		if (extra.api !== void 0) routePatch.api = extra.api;
+		if (keys.length === 0 && Object.keys(routePatch).length === 0) {
 			actions.push({
 				kind: "skip-route",
 				route,
@@ -17004,12 +17216,12 @@ function planOpencodeAutoConfig(input) {
 			});
 			continue;
 		}
-		patchProviders[route] = { headers: missing };
-		actions.push({
+		if (keys.length > 0) actions.push({
 			kind: "fill-headers",
 			route,
 			keys
 		});
+		patchProviders[route] = routePatch;
 	}
 	if (!sawOpencodeRoute) {
 		const key = input.env[OPENCODE_API_KEY_ENV];
@@ -17036,6 +17248,8 @@ function describeOpencodeAction(action) {
 		case "fill-headers": return `补齐 ${action.route} 的路由头（${action.keys.length} 项：${action.keys.join(", ")}）`;
 		case "create-route": return `创建 ${action.route} 路由（检测到 ${OPENCODE_API_KEY_ENV}）+ 路由头`;
 		case "skip-route": return `${action.route} 路由头已齐备（跳过）`;
+		case "add-models": return `为 ${action.route} 补目录未收录的模型：${action.ids.join(", ")}` + (action.api === null ? "" : `（并设路由 api=${action.api}）`);
+		case "skip-models": return `${action.route} 未补模型（${action.reason === "catalog-served" ? "该路由未声明 models 列表，补 models 会顶掉整个目录" : action.reason === "mixed-protocol" ? "该路由含异协议模型，设路由 api 会把它们配坏" : "该路由已显式设了别的 api"}）`;
 		case "idle": return `无需动作（${action.reason}）`;
 	}
 }
@@ -17083,6 +17297,10 @@ async function applyOpencodeAutoConfigOnce(ctx, env) {
 	}
 	for (const action of plan.actions) {
 		if (action.kind === "idle" || action.kind === "skip-route") continue;
+		if (action.kind === "skip-models") {
+			console.log(`[serenity-hooks] · opencode 路由：${describeOpencodeAction(action)}`);
+			continue;
+		}
 		console.log(`[serenity-hooks] ✓ opencode 路由：${describeOpencodeAction(action)}`);
 	}
 	return {
@@ -17640,6 +17858,35 @@ function createImBridgeTool() {
 //#endregion
 //#region src/live-sessions.ts
 /**
+* live-sessions.ts — 进程内 live 会话取数 + 精简诊断
+*
+* ── 为什么单独成模块（R↓，2026-09-15 S142「ACC 侧 autopilot 退场」S1 搬迁）──
+* 这两个函数原先住在 `autopilot-trajectory.ts`，但它们的**主语不是 autopilot**：
+* `listLiveSessions` 服务 `acc-diag` ① 段的"**哪个会话属于哪个 CCC**"（会话维度，
+* 不是 CCC 维度），而"**独立进程看不到运行时**"正是 `acc-diag` 存在的理由。
+* autopilot 退场后它们必须活下去 ⇒ 独立成模块，不再挂着已死机制的名字。
+*
+* ── 迁移边界（不搬什么，以及为什么）──────────────────────────────────────
+* 原 `diagLive` 还含两段，**均不搬**（其主语是 autopilot，随机制退场）：
+*   · `autopilotCccs`（逐 CCC 目标命中 / agent 定位诊断）—— 依赖 `readAutopilotSettings` /
+*     `getAutopilotStatus` / `resolveTargetAgent`
+*   · `panelResolved`（无参面板请求落到哪个 CCC）—— 面板区块随机制退场
+* 留下的 = **进程 cwd/CCC + live 会话清单**（`acc-diag` ① 段仍需要）。
+*
+* 判据纪律：本模块**不得**反向依赖 autopilot 判据层（那会让退场半途而废）。
+*
+* ── 🔴 2026-09-25 I2 收敛（约束文档 §2.7 违反清单，L1 违反之一）────────────────
+* **本模块的 `ctx` 参数类型从 `Context` 改为 `unknown`** —— 消除本文件唯一的 `W2` 接触
+* （直接 import 宿主 `cordis` 的类型）。
+*
+* **为什么这是"真解耦"而不是"把类型藏起来"（判据）：** `ctx` 在本模块**从不被解引用** ——
+* 它只被**原样透传**给 `hostSessions(ctx)`，而后者（`host/access.ts`，**L0**）的参数
+* 本就声明为 `ctx: unknown` ⇒ `Context` 这个 import **在语义上是多余的**，
+* 它没有参与任何类型检查，只贡献了一处 L1→宿主 的接触点。
+* 🔵 **证据**：grep 本文件 `ctx` 全部 5 处命中 —— 3 处在参数/调用位、2 处在注释，
+* **零处**属性访问（`ctx.xxx`）。
+*/
+/**
 * 从 dsh 会话 log 读取标题（latest-wins `session/title` 事件）——
 * **标题不在 `sessions.list()` 条目上**（wire/对象均无 title 字段；F3 命名经
 * `sessionTitle.rename` 写进 session log），必须从 events 提取（rebuild 同款读取模式）。
@@ -17660,7 +17907,7 @@ function readSessionTitle(session) {
 * CCC 枚举（"本机有哪些 CCC"）**不在这里**，归 `ccc-roots.listCccs`（并集语义）；
 * 本函数保留的是它**独有**的那部分：会话维度 + cwd 归属 + 标题 + id。
 *
-* @param ctx 插件上下文
+* @param ctx 插件上下文（**只透传**给 L0 取数口，本模块不解引用 ⇒ 类型为 `unknown`）
 * @returns 逐条 live 会话
 */
 function listLiveSessions(ctx) {

package/lib/live-sessions.d.ts

@@ -15,8 +15,18 @@
  * 留下的 = **进程 cwd/CCC + live 会话清单**（`acc-diag` ① 段仍需要）。
  *
  * 判据纪律：本模块**不得**反向依赖 autopilot 判据层（那会让退场半途而废）。
+ *
+ * ── 🔴 2026-09-25 I2 收敛（约束文档 §2.7 违反清单，L1 违反之一）────────────────
+ * **本模块的 `ctx` 参数类型从 `Context` 改为 `unknown`** —— 消除本文件唯一的 `W2` 接触
+ * （直接 import 宿主 `cordis` 的类型）。
+ *
+ * **为什么这是"真解耦"而不是"把类型藏起来"（判据）：** `ctx` 在本模块**从不被解引用** ——
+ * 它只被**原样透传**给 `hostSessions(ctx)`，而后者（`host/access.ts`，**L0**）的参数
+ * 本就声明为 `ctx: unknown` ⇒ `Context` 这个 import **在语义上是多余的**，
+ * 它没有参与任何类型检查，只贡献了一处 L1→宿主 的接触点。
+ * 🔵 **证据**：grep 本文件 `ctx` 全部 5 处命中 —— 3 处在参数/调用位、2 处在注释，
+ * **零处**属性访问（`ctx.xxx`）。
  */
-import type { Context } from 'cordis';
 /** live 会话条目（诊断用；标题从 events 读） */
 export interface LiveSessionEntry {
     id: string;
@@ -36,10 +46,10 @@ export declare function readSessionTitle(session: unknown): string | null;
  * CCC 枚举（"本机有哪些 CCC"）**不在这里**，归 `ccc-roots.listCccs`（并集语义）；
  * 本函数保留的是它**独有**的那部分：会话维度 + cwd 归属 + 标题 + id。
  *
- * @param ctx 插件上下文
+ * @param ctx 插件上下文（**只透传**给 L0 取数口，本模块不解引用 ⇒ 类型为 `unknown`）
  * @returns 逐条 live 会话
  */
-export declare function listLiveSessions(ctx: Context): LiveSessionEntry[];
+export declare function listLiveSessions(ctx: unknown): LiveSessionEntry[];
 /**
  * 进程内诊断（`acc-diag` ① 段数据源）——输出当前实例的进程归属 + live 会话清单。
  *
@@ -51,4 +61,4 @@ export interface DiagLiveReport {
     processCcc: string | null;
     liveSessions: LiveSessionEntry[];
 }
-export declare function diagLive(ctx: Context): DiagLiveReport;
+export declare function diagLive(ctx: unknown): DiagLiveReport;

package/lib/{message-source-yuCgrbU6.js → message-source-D72jte0u.js}

@@ -1,4 +1,4 @@
-import { r as cccRootForCwd } from "./ccc-roots-NpTWo0-c.js";
+import { r as cccRootForCwd } from "./ccc-roots-Duk89a-h.js";
 import { basename, dirname, join } from "node:path";
 import { existsSync, mkdirSync, readFileSync, readdirSync, renameSync, statSync, writeFileSync } from "node:fs";
 //#region src/time.ts

package/lib/opencode-provider.d.ts

@@ -16,6 +16,19 @@
  * - **L2 建路由**：环境里有 `OPENCODE_API_KEY` 且没有任何 opencode 路由 → 建 `opencode-go` 并带全头。
  *   “有 key”就是用户意图的最强证据 → 不需要的人（没 key）零影响（不会平白多出一组模型）。
  *
+ * ## L3 补模型（v1.48.0；S142 owner 具名令「做成自动吧」）
+ *
+ * pi-ai 目录**收录不全**（如 `deepseek-v4.1-flash` 已在官方端点表、目录里却没有）⇒
+ * 面板不显示；手加也不带推理（目录外模型 `base` 为 undefined ⇒ `reasoning` 恒 false，
+ * 见 {@link OPENCODE_EXTRA_MODELS} 的注释）⇒ **"能用但没 thinking"**。
+ * 本层把 {@link OPENCODE_EXTRA_MODELS} 里的模型补进该路由的 `models` 列表。
+ *
+ * 🔴 **三条拒绝条件**（每条都对应一个会把配置弄坏的真实形态，宁可不动）：
+ *   ① 路由**没有显式 `models` 列表** —— 补 `models` 会顶掉整个 pi-ai 目录（宿主是"整体替换"语义）
+ *   ② 列表里含**已知异协议**模型 —— 设路由级 `api` 会覆盖它们的 `base.api`
+ *   ③ 路由已显式设了**别的 `api`** —— 同上，且那是用户的显式选择
+ * 判据与来源见 `planExtraModels` / `OPENCODE_GO_NON_COMPLETIONS`。
+ *
  * ## 注入通道（唯一可用且是官方的）
  *
  * `ctx.settings.update('llm-pi-ai', patch)` —— `dsh-settings` 的官方写入面：
@@ -68,6 +81,37 @@ export declare const OPENCODE_API_KEY_ENV = "OPENCODE_API_KEY";
  * 头名大小写不敏感是 HTTP 语义，但**名字不同就是两个头**，故都要。
  */
 export declare function opencodeRouteHeaders(): Record<string, string>;
+/**
+ * 一个「pi-ai 目录尚未收录、但我们已知怎么配」的 opencode-go 模型。
+ *
+ * 🔴 **为什么必须有 `reasoningEfforts`**：`dsh-llm-pi-ai` 的 `resolveModelReasoning` 是
+ * `if (efforts === void 0) return { reasoning: base?.reasoning ?? false }` ——
+ * **目录里没有的模型 `base` 为 undefined ⇒ 一律判成非推理模型**（"能用但没 thinking"的唯一成因）。
+ * 已收录的兄弟模型（如 `deepseek-v4-flash`）从目录的 `base` 拿到 `reasoning`/`thinkingLevelMap`，
+ * 故本表**只需收录目录没有的那些**。
+ */
+export interface OpencodeExtraModel {
+    readonly name: string;
+    /** 该模型说的 wire 协议；见 {@link OPENCODE_GO_NON_COMPLETIONS} 的安全闸 */
+    readonly api: string;
+    readonly contextWindow: number;
+    readonly maxTokens: number;
+    readonly input: readonly string[];
+    /** pi-ai 推理档 → wire 取值（除 `off` 外都必须非空；空值会被宿主 `invalid` 拒绝） */
+    readonly reasoningEfforts: Readonly<Record<string, string>>;
+    /** 该模型族的 compat（推理 wire 格式在这里；值取自目录里同族兄弟模型） */
+    readonly compat: Readonly<Record<string, unknown>>;
+}
+/**
+ * 目录补丁表（**唯一真相源 = pi-ai 的 `dist/providers/data/opencode-go.json`**）。
+ *
+ * 录取判据：① 官方文档 <https://opencode.ai/docs/zh-cn/go/> 的端点表列了它；
+ * ② pi-ai 目录里**没有**它 ⇒ 面板不显示、手加也没 thinking。
+ *
+ * `deepseek-v4.1-flash` 的各字段**逐字取自目录里 `deepseek-v4-flash`**（同族兄弟，
+ * 同 `chat/completions` 端点 + 同 `thinkingFormat: deepseek`）——不自行发明规格。
+ */
+export declare const OPENCODE_EXTRA_MODELS: Readonly<Record<string, OpencodeExtraModel>>;
 interface OpencodeAutoConfigInput {
     /** `llm-pi-ai` 命名空间**解析后**的值（0.1.7 读面 `settings.describe()` 里按 `ns` 挑出的 `value`；undefined = 命名空间未注册） */
     resolved: unknown;
@@ -86,6 +130,15 @@ type OpencodeAutoConfigAction = {
     kind: 'skip-route';
     route: string;
     reason: 'headers-complete';
+} | {
+    kind: 'add-models';
+    route: string;
+    ids: readonly string[];
+    api: string | null;
+} | {
+    kind: 'skip-models';
+    route: string;
+    reason: 'catalog-served' | 'mixed-protocol' | 'api-conflict';
 } | {
     kind: 'idle';
     reason: 'namespace-unregistered' | 'no-route';

package/lib/wake-scheduler.d.ts

@@ -23,7 +23,6 @@
  * CRO 阶段另有**独立**总闸 `croEnabled`（只停 CRO，**不影响**本注册表投递）｜
  * 补跑窗口 2h（超窗置 missed 留痕）｜同 tick 串行｜唤起后维持 live（人类可介入）。
  */
-import type { Context } from 'cordis';
 import { type ClockRuntime } from './clock-runtime.js';
 import { type WakeEntry } from './wake-registry.js';
 /** 投递结果（写回条目的 lastResult；人读） */
@@ -86,7 +85,7 @@ export declare function buildWakeText(entry: WakeEntry, target: WakeTarget): str
  * @param entry 唤醒条目
  * @returns 投递结果（写回 lastResult）
  */
-export declare function deliverWake(ctx: Context, root: string, entry: WakeEntry): Promise<WakeDeliveryResult>;
+export declare function deliverWake(ctx: unknown, root: string, entry: WakeEntry): Promise<WakeDeliveryResult>;
 /**
  * 即时消息正文（**刻意不复用** {@link buildWakeText}）：唤醒文本以「**到点**（登记于…）」开头，
  * 对即时投递那是**错的事实**。本函数显式区分"这是即时消息、不是到点唤醒"。
@@ -138,7 +137,7 @@ export declare function buildSendText(target: WakeTarget, message: string, sende
  * @param sender 发起者轨迹标识
  * @returns 投递结果（**同步**返回给调用方）
  */
-export declare function sendToTrajectory(ctx: Context, root: string, target: string, message: string, sender: string): Promise<WakeDeliveryResult>;
+export declare function sendToTrajectory(ctx: unknown, root: string, target: string, message: string, sender: string): Promise<WakeDeliveryResult>;
 /**
  * CRO 唤起消息正文（**刻意不复用** {@link buildWakeText} / {@link buildSendText}）。
  *
@@ -163,5 +162,5 @@ export declare function buildCroWakeText(dirName: string, mdPath: string, prompt
  * 会话出现/settings 变化时热启动（与 autopilot 同款触发面，互不干扰）。
  * @param ctx 插件上下文
  */
-export declare function registerWakeScheduler(ctx: Context): void;
+export declare function registerWakeScheduler(ctx: unknown): void;
 export {};

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@shgroup/dsh-serenity-hooks",
-  "version": "1.47.4",
+  "version": "1.48.0",
   "description": "宁静号 ACC harness（Native Cordis 插件）——给 DeepSeek Harness 装一个「AI 工作区」：11 个工具（container_fs/container_trajectory/dashboard/container_git/msm/praxis/handyman/localstore/container_admin/im-bridge/acc-diag）+ 机械约束（安全模式/工作区围墙/密钥守卫/对外输出守卫）+ 工作日志与原地重建 + 网页登录入口/微信桥/子角色/对外问答页/trajectory 唤醒注册表。适配 DSH 0.1.7-rc.1。",
   "license": "MIT",
   "repository": {