@shgroup/dsh-serenity-hooks 1.73.0 → 1.75.0

package/lib/{route-ItCgAsnz.js → route-COOFLTpU.js}

@@ -1,5 +1,5 @@
 import { n as __exportAll } from "./rolldown-runtime-B4iAMlE-.js";
-import { s as loadSerenityConfig, t as DEFAULT_SERENITY_CONFIG_PATHS } from "./ccc-CZUOq3NY.js";
+import { s as loadSerenityConfig, t as DEFAULT_SERENITY_CONFIG_PATHS } from "./ccc-CyYJL4F2.js";
 import { join, resolve } from "node:path";
 import { existsSync, mkdirSync, readFileSync, writeFileSync } from "node:fs";
 import { createHash } from "node:crypto";
@@ -288,7 +288,7 @@ function runLocalStore(root, args) {
 * 职责（零 DSH 依赖，可独立单测）：
 * - 读取 CCC 的 weixin 配置（.opencode/serenity.json weixin 段——结构/路由/开关）
 * - 读取/写入 CCC localstore 的账号凭据（weixin.accounts.<accountId>.token/.baseUrl/.userId）
-* - 微信用户 → skiff 会话 id 映射（固定可重建：skiff-weixin-<sha256(userid)>.slice(1, 17)；
+* - 微信用户 → 轨迹约束会话 id 映射（固定可重建：skiff-weixin-<sha256(userid)>.slice(1, 17)；
 *   v1.27.3 错位一位避开损坏 log）
 * - 路由匹配（exact user → 通配 * 兜底）
 *
@@ -300,7 +300,9 @@ var route_exports = /* @__PURE__ */ __exportAll({
 	extractWeixinMedia: () => extractWeixinMedia,
 	extractWeixinText: () => extractWeixinText,
 	hasVoiceItem: () => hasVoiceItem,
+	imCredentialBound: () => imCredentialBound,
 	matchWeixinRoute: () => matchWeixinRoute,
+	nextFeishuAccountId: () => nextFeishuAccountId,
 	nextWeixinAccountId: () => nextWeixinAccountId,
 	readFeishuCredential: () => readFeishuCredential,
 	readImSettings: () => readImSettings,
@@ -313,6 +315,7 @@ var route_exports = /* @__PURE__ */ __exportAll({
 	upsertWeixinAccount: () => upsertWeixinAccount,
 	weixinInboundDir: () => weixinInboundDir,
 	weixinSessionIdForTrajectory: () => weixinSessionIdForTrajectory,
+	writeFeishuCredential: () => writeFeishuCredential,
 	writeWeixinCredential: () => writeWeixinCredential
 });
 /** localstore 凭据键前缀（**credential scope**——token 是凭据，走 UPPER_SNAKE 键；
@@ -323,10 +326,10 @@ function accountKeyPart(accountId) {
 	return accountId.toUpperCase().replace(/[^A-Z0-9]+/g, "_");
 }
 /**
-* 微信桥 skiff 会话 id 前缀（守卫识别"外部面"用）。
+* 微信桥 轨迹约束会话 id 前缀（守卫识别"外部面"用）。
 *
-* ⚠️ **2026-10-19 起它只是命名习惯，不再是判据** —— skiff 的身份是**轨迹**，
-* 判据 = 「绑定的轨迹有 `skiff.json`」（`trajectory/policy/profile.ts` 的 `isSkiffSession`）。
+* ⚠️ **2026-10-19 起它只是命名习惯，不再是判据** —— 轨迹约束的身份是**轨迹**，
+* 判据 = 「绑定的轨迹有 `trajectory-constraint.json`」（`trajectory/policy/profile.ts` 的 `isTrajectoryConstrained`）。
 * 保留前缀只为：① 日志/会话列表里一眼认出这是外部面；② 存量会话目录名不变。
 */
 const WEIXIN_SESSION_PREFIX = "skiff-weixin-";
@@ -340,7 +343,7 @@ const WEIXIN_SESSION_PREFIX = "skiff-weixin-";
 * 对不上旧会话的历史工具清单）。⇒ 那不是"轨迹是一等公民"，那是"用户是一等公民"。
 *
 * 新派生 = **由轨迹编码决定**：同一条轨迹 ⇒ 恒同一条 dsh 会话（无论谁在跟它说话）；
-* 换轨迹 ⇒ 新会话。这正是"skiff 是认知轨迹的一种"。
+* 换轨迹 ⇒ 新会话。这正是"轨迹约束是认知轨迹的一种"。
 *
 * ## 连带删掉的东西
 *
@@ -507,6 +510,28 @@ function readFeishuCredential(root, accountId) {
 		appSecret
 	};
 }
+/** 写入飞书账号凭据（面板保存后；两者都必写——只写一半等于没绑） */
+function writeFeishuCredential(root, accountId, cred) {
+	writeEntry(root, "credential", feishuLsKey(accountId, "APPID"), cred.appId);
+	writeEntry(root, "credential", feishuLsKey(accountId, "SECRET"), cred.appSecret);
+}
+/**
+* **按渠道判「该账号是否已绑定凭据」**（面板读数用；单一处）。
+*
+* 🔴 为什么需要它（2026-10-19 P2 面板实测缺陷）：面板原先对所有账号都调
+* `readWeixinCredential`（只看 `WEIXIN_<A>_TOKEN`）。一个**飞书**账号的凭据在
+* `FEISHU_<A>_APPID|SECRET`，走那条读法**必然读到 null** ⇒ 面板把一个配好的飞书账号
+* 显示成「未绑定凭据」，用户据此以为没配上。
+*
+* 判据与装配处**同源**（`im/bridge.ts` 的 `readImCredentialByChannel`）：飞书要 appId **且**
+* appSecret，微信只要有 token。两处若各写一份判据，就会重演"两个读数器给出不同答案"。
+*
+* ⚠️ 只回**布尔**，不回任何凭据值 —— 这是 wire 面。
+*/
+function imCredentialBound(root, accountId, channel) {
+	if ((channel ?? "").trim() === "feishu") return readFeishuCredential(root, accountId) !== null;
+	return readWeixinCredential(root, accountId) !== null;
+}
 /**
 * 路由匹配：exact user 优先，通配 `*` 兜底。
 * @returns 命中的**轨迹编码**；未命中 → null（无路由 → 消息不回复/忽略）
@@ -645,6 +670,19 @@ function nextWeixinAccountId(settings) {
 	while (used.has(`wechat-${n}`)) n++;
 	return `wechat-${n}`;
 }
+/**
+* 生成下一个可用飞书账号 id（`feishu-N`，N 取**最小未占用**）。
+*
+* 与 {@link nextWeixinAccountId} 分开而不是加参数：两者的**前缀不同**，
+* 而前缀是给人看的（面板上一眼分清哪些账号来自哪个渠道）。
+* 判据相同（最小未占用，删中间不跳号）。
+*/
+function nextFeishuAccountId(settings) {
+	const used = new Set((settings.accounts ?? []).map((a) => a.accountId));
+	let n = 1;
+	while (used.has(`feishu-${n}`)) n++;
+	return `feishu-${n}`;
+}
 /** 切换总开关 */
 function setWeixinEnabled(root, enabled) {
 	const next = {

package/lib/seams/guards.d.ts

@@ -9,7 +9,7 @@
 import type { Context } from 'cordis';
 import type { Agent } from '@deepseek-ai/dsh-agent';
 import { type BlacklistRule } from '../kernel/ccc.js';
-import { type SkiffProfile } from '../trajectory/policy/profile.js';
+import { type TrajectoryConstraint } from '../trajectory/policy/profile.js';
 export interface GuardInput {
     root: string;
     toolName: string;
@@ -20,13 +20,13 @@ export interface GuardInput {
     /** container_fs 等复合工具的子命令 action（只读子命令不查黑名单） */
     action?: string;
     /**
-     * 该会话的 skiff 约束面（`null`/`undefined` = 不是 skiff 会话 ⇒ 不判定）。
+     * 该会话的 轨迹约束面（`null`/`undefined` = 不是 轨迹约束会话 ⇒ 不判定）。
      *
      * 🔴 2026-10-19 起传**已解析好的约束面**，不传 sessionId：解判据（"这条轨迹有没有
-     * `skiff.json`"）留在唯一入口 `profile.ts`，守卫只消费结果 ⇒ 纯函数里不再做 IO，
+     * `trajectory-constraint.json`"）留在唯一入口 `profile.ts`，守卫只消费结果 ⇒ 纯函数里不再做 IO，
      * 也不可能出现"守卫的判据与 schema 收窄的判据不一致"。
      */
-    skiffProfile?: SkiffProfile | null;
+    trajectoryConstraint?: TrajectoryConstraint | null;
 }
 interface GuardDecisionResult {
     deny?: string;
@@ -102,21 +102,21 @@ export declare function forgetHostScheduleToolHiding(sessionId: string): void;
 export declare function getExclusiveToolsDiagnostics(): {
     hidden: string[];
 };
-/** Skiff 角色工具面诊断（排查"某工具为什么不在 skiff 的清单里"） */
-export declare function getSkiffRoleVisibilityDiagnostics(): {
+/** 轨迹约束工具面诊断（排查"某工具为什么不在 轨迹约束的清单里"） */
+export declare function getTrajectoryConstraintVisibilityDiagnostics(): {
     keys: string[];
     denyByKey: Record<string, string[]>;
 };
 /**
- * 同步 **skiff 会话的工具面**：把白名单之外的工具**从 schema 移除**（不是"看得到但被拒"）。
+ * 同步 **轨迹约束会话的工具面**：把白名单之外的工具**从 schema 移除**（不是"看得到但被拒"）。
  *
  * ## 为什么必须有这条（owner 2026-10-19：「工具清单也要热加载」）
  *
- * 在它之前，skiff 白名单**只由运行时守卫拦截**（`decideGuard` 的 skiff 分支）：
+ * 在它之前，轨迹约束白名单**只由运行时守卫拦截**（`decideGuard` 的 轨迹约束 分支）：
  * 工具全部出现在模型 schema 里，调用时才被打回。⇒ 两个真实后果：
  *  ① **模型看得见它不该有的工具** —— 它会去试，试了才撞墙（一轮白烧，且错误文案泛化，
  *     看不出"是不在清单里"还是"临时性拒绝"）；
- *  ② **配置变动在 schema 上永远不生效** —— 改 `skiff.json` 的 `tools` 只影响"调用是否放行"。
+ *  ② **配置变动在 schema 上永远不生效** —— 改 `trajectory-constraint.json` 的 `tools` 只影响"调用是否放行"。
  *
  * ## 判据与降级
  *
@@ -124,17 +124,17 @@ export declare function getSkiffRoleVisibilityDiagnostics(): {
  *   不去动宿主的工具 —— 宿主的工具由各自的条件同步管）。
  * - ⚠️ **未注册的名字会让整次 restrict 失败**（宿主契约逐字 "unknown names … fail"），
  *   而 `diagram` 是按开关注册的 ⇒ 与 `hideAllFor` 同款**两档尝试**（先全覆盖，失败退常驻段）。
- * - 读不到约束面（不是 skiff / 配置删了）⇒ **撤销既有隐藏**（回到"无约束"）：
- *   ⛔ 不能只是 `return` —— 那会把上一步的隐藏**永久留在**一个已不再是 skiff 的会话上
- *   （这正是 owner 说的"删掉 `skiff.json` 就该立刻恢复"）。
+ * - 读不到约束面（不是 轨迹约束 / 配置删了）⇒ **撤销既有隐藏**（回到"无约束"）：
+ *   ⛔ 不能只是 `return` —— 那会把上一步的隐藏**永久留在**一个已不再是 轨迹约束的会话上
+ *   （这正是 owner 说的"删掉 `trajectory-constraint.json` 就该立刻恢复"）。
  * - 幂等：算出来的 deny 签名不变就跳过（不每步重建 schema）。
  *
  * @param agent 目标会话
  * @param root  CCC 根
  */
-export declare function syncSkiffRoleToolVisibility(agent: Agent, root: string): void;
+export declare function syncTrajectoryConstraintToolVisibility(agent: Agent, root: string): void;
 /** 会话销毁清理（lifecycle 调用） */
-export declare function forgetSkiffRoleToolVisibility(sessionId: string): void;
+export declare function forgetTrajectoryConstraintToolVisibility(sessionId: string): void;
 /**
  * 同步专属工具可见性（v1.33）。
  *

package/lib/seams/keeper.d.ts

@@ -85,7 +85,7 @@ export declare function __resetLogbookCompactionForTest(): void;
  * 解析**活跃** SESSION.md 绝对路径（缓存 60s）。
  *
  * 候选链（刻意比 rebuild 的完整链短——这里每个工具调用都要跑，贵候选不划算）：
- * ① `getActiveSessionInfo(scope).mdPath`（`cognitive_trajectory use` / skiff 绑定 / 重启恢复都会写）
+ * ① `getActiveSessionInfo(scope).mdPath`（`cognitive_trajectory use` / 轨迹约束 绑定 / 重启恢复都会写）
  * ② `readLastBound(session).mdPath`（`.bindings.json` 权威绑定——重启后内存空时兜底）
  * 两者都拿不到 → null（**不猜**：宁可不提醒，也不去猜别的轨迹——对齐 v1.30.13 D4 的教训）。
  */

package/lib/seams/lifecycle.d.ts

@@ -4,13 +4,13 @@
  * 两个此前缺失的收尾面：
  *
  * ① **会话/agent 销毁 → 清理 per-会话内存态**。dsp 有约 10 处 per-会话 Map
- *    （活跃 SESSION 作用域、skiff 注册表、keeper 计分、guard 白名单缓存、bootstrap
+ *    （活跃 SESSION 作用域、轨迹约束 注册表、keeper 计分、guard 白名单缓存、bootstrap
  *    晋升状态、输出守卫状态…）。此前无人订阅 `agent/disposed` / `session/disposed`
  *    （宿主 0.1.2-rc.1 真实存在：`core/agent/src/runtime-types.ts:175`、
  *    `core/session/src/index.ts:62`），长跑进程里这些 Map 只增不减——且 `waitIdle`
  *    在 agent 先被销毁时永不结算。
  *
- * ② **插件卸载/HMR/profile 重载 → 停掉自起的监听器与轮询器**。skiff 调试页、微信桥轮询
+ * ② **插件卸载/HMR/profile 重载 → 停掉自起的监听器与轮询器**。轨迹约束调试页、微信桥轮询
  *    都是 dsp 自己起的资源（⚠️ 2026-10-15：原同批还有 ACP HTTP 端点，该面已退役）；
  *    此前没有 `ctx.effect` 拆卸，卸载后端口仍被占用（EADDRINUSE）、轮询器重复启动。
  *

package/lib/{settings-UcwIPJhM.js → settings-CII0Y597.js}

@@ -1,5 +1,5 @@
-import { f as hostSettings } from "./ccc-roots-BhoA7G-0.js";
-import { _ as resolveInside, g as readUtf8 } from "./ccc-CZUOq3NY.js";
+import { f as hostSettings } from "./ccc-roots-BVxn97dY.js";
+import { _ as resolveInside, g as readUtf8 } from "./ccc-CyYJL4F2.js";
 import { dirname, join } from "node:path";
 import { existsSync, readFileSync, statSync } from "node:fs";
 import { fileURLToPath } from "node:url";
@@ -56,26 +56,26 @@ const ACC_VERSION = (() => {
 *
 * | 模块 | 管什么 |
 * |---|---|
-* | `./profile.ts` | **判据 + 读盘**（"这是不是 skiff"、"约束面是什么"） |
+* | `./profile.ts` | **判据 + 读盘**（"这是不是 轨迹约束"、"约束面是什么"） |
 * | `./rules.ts`（本文件） | **从约束面派生出的纯函数**（白名单集合、提示词读取器、基础提示词文本） |
 * | `../session-create.ts` | 会话创建/复用、提问、守门查询 |
 *
-* ⇒ 本文件**不再读 `serenity.json`**：`skiff.roles` 整段已退役（owner 2026-10-19 重做）。
-* 它只接收一个已解析好的 `SkiffProfile`，因此**不涉及任何 IO**（除提示词文件，那是刻意懒读的）。
+* ⇒ 本文件**不再读 `serenity.json`**：`轨迹约束.roles` 整段已退役（owner 2026-10-19 重做）。
+* 它只接收一个已解析好的 `TrajectoryConstraint`，因此**不涉及任何 IO**（除提示词文件，那是刻意懒读的）。
 *
 * ## S12（2026-10-19，轨迹中心重构）
 *
-* 原名 `role/skiff/config.ts`。改名理由（框架 §6.3「角色不是一个概念，是一段历史」）：
+* 原名 `role/轨迹约束/config.ts`。改名理由（框架 §6.3「角色不是一个概念，是一段历史」）：
 * 它派生的是**某条轨迹的约束面**，与"配置读取"无关（本文件零配置读取，见上一段）
 * ⇒ `config` 这个名字描述的是**它曾经的样子**，`rules` 描述它**现在做的事**。
 */
 /** 白名单推导 ────────────────────────────────────────────────────────────── */
 /** 提示词来源提示串（`apply` 回执与面板共用；避免两处措辞漂） */
-const SKIFF_PROFILE_HINT = "systemPromptFile hot-reloads by mtime; the rest of skiff.json is re-read every turn";
+const TRAJECTORY_CONSTRAINT_HINT = "systemPromptFile hot-reloads by mtime; the rest of trajectory-constraint.json is re-read every turn";
 /**
-* 该 skiff 会话**可见**的工具面（tools ∪ `msm`）。
+* 该 轨迹约束会话**可见**的工具面（tools ∪ `msm`）。
 *
-* 🔴 `msm` 为什么自动加入：`msms` 非空意味着这个 skiff **有 MSM 通道**，
+* 🔴 `msm` 为什么自动加入：`msms` 非空意味着这个 轨迹约束 **有 MSM 通道**，
 * 而 MSM 的唯一合法调用入口是 `msm` 工具（单入口纪律）——不给它 `msm` 就等于
 * 声明了一堆调不动的能力。⚠️ 这是**并集**，不是覆盖：`tools` 里显式写的照旧生效。
 */
@@ -85,12 +85,12 @@ function profileToolWhitelist(profile) {
 	if ((profile?.msms?.length ?? 0) > 0) out.add("msm");
 	return out;
 }
-/** 该 skiff 会话可 exec 的 MSM 白名单（`msm` 工具内部再过滤；独立于工具白名单） */
+/** 该 轨迹约束会话可 exec 的 MSM 白名单（`msm` 工具内部再过滤；独立于工具白名单） */
 function profileMsmWhitelist(profile) {
 	return new Set(profile?.msms ?? []);
 }
-/** 轨迹纪律参与项（`profile` 缺省已在 `readSkiffProfileAt` 归一为全 true） */
-function profileCognitiveTrajectory(profile) {
+/** 轨迹纪律参与项（`profile` 缺省已在 `readTrajectoryConstraintAt` 归一为全 true） */
+function constraintCognitiveTrajectory(profile) {
 	return {
 		session: profile?.cognitiveTrajectory.session === true,
 		keeper: profile?.cognitiveTrajectory.keeper === true,
@@ -105,18 +105,32 @@ function profileCognitiveTrajectory(profile) {
 *
 * ⚠️ 热路径**不用**它（那会用每次工具调用去读盘）——热路径用 `createProfilePromptReader`。
 */
-function resolveProfileSystemPrompt(root, profile) {
+function resolveConstraintSystemPrompt(root, profile) {
 	if (!profile) return "";
 	const file = profile.systemPromptFile?.trim();
 	if (file) {
 		const abs = resolveInside(root, file);
-		if (!existsSync(abs)) throw new Error(`skiff "${profile.code}": systemPromptFile "${file}" not found (resolved: ${abs})`);
+		if (!existsSync(abs)) throw new Error(`轨迹约束 "${profile.code}": systemPromptFile "${file}" not found (resolved: ${abs})`);
 		return readUtf8(abs).trim();
 	}
 	return profile.systemPrompt ?? "";
 }
-/** 提示词来源（`list`/`validate` 展示用） */
-function profileSystemPromptSource(profile) {
+/**
+* 提示词来源（`list`/`validate` 展示用）。
+*
+* 🔴 **2026-10-19 修（T4 的漏网面）**：v1.72.0 起提示词有两代来源——**新形态**
+* 是轨迹目录里的 `PROMPT.md`（`trajectory/prompt.ts`，**优先**），旧形态才是
+* `systemPromptFile` / `systemPrompt`。本函数原先只认旧形态 ⇒ 两条只写了 `PROMPT.md`
+* 的轨迹在 `container_admin config list` 里恒显示 `promptSource: 'none'`。
+*
+* 那是**读数器过时**，不是配置缺失：`validate` 侧早已按两条来源判（见
+* `trajectory-constraint-admin.ts` 的 `hasTrajectoryPromptOrLegacy`），而 `list` 侧漏了。
+* ⇒ 返 **四种**值，把"有章程但来源是新形态"这一格单独说出来。
+*
+* @param hasPromptFile 该轨迹目录下**是否真有** `PROMPT.md`（调用方查，本函数不做 IO）
+*/
+function constraintSystemPromptSource(profile, hasPromptFile = false) {
+	if (hasPromptFile) return "trajectory-file";
 	if (profile?.systemPromptFile?.trim()) return "file";
 	if (profile?.systemPrompt?.trim()) return "inline";
 	return "none";
@@ -144,7 +158,7 @@ function createProfilePromptReader(root, profile) {
 	try {
 		abs = resolveInside(root, file);
 	} catch (err) {
-		console.warn(`[serenity-hooks] ✗ skiff 提示词路径非法（${file}）: ${String(err?.message ?? err)}`);
+		console.warn(`[serenity-hooks] ✗ 轨迹约束提示词路径非法（${file}）: ${String(err?.message ?? err)}`);
 	}
 	if (abs === null) return () => "";
 	const absPath = abs;
@@ -162,19 +176,19 @@ function createProfilePromptReader(root, profile) {
 			cachedSize = st.size;
 			cachedText = text;
 			warned = false;
-			if (isReload) console.info(`[serenity-hooks] ↻ skiff 提示词已热重载（${file}，${text.length} 字符）`);
+			if (isReload) console.info(`[serenity-hooks] ↻ 轨迹约束提示词已热重载（${file}，${text.length} 字符）`);
 			return text;
 		} catch (err) {
 			if (!warned) {
 				warned = true;
-				console.warn(`[serenity-hooks] ✗ skiff 提示词读取失败（${file}）——沿用上次成功内容: ${String(err?.message ?? err)}`);
+				console.warn(`[serenity-hooks] ✗ 轨迹约束提示词读取失败（${file}）——沿用上次成功内容: ${String(err?.message ?? err)}`);
 			}
 			return cachedText;
 		}
 	};
 }
 /**
-* skiff 基础提示词（dsp 只给这部分；CCC 的 `systemPrompt` 段由调用方拼接）。
+* 轨迹约束 基础提示词（dsp 只给这部分；CCC 的 `systemPrompt` 段由调用方拼接）。
 *
 * ## 🔴 为什么**不再枚举**清单（owner 2026-10-19 令）
 *
@@ -190,11 +204,11 @@ function createProfilePromptReader(root, profile) {
 *
 * ⇒ 现在只声明**边界与发现路径**，不抄内容：清单在哪，怎么取，越界会怎样。
 *
-* @param code 轨迹编码（skiff 的身份 —— 不是"角色名"，那个概念已退役）
+* @param code 轨迹编码（轨迹约束的身份 —— 不是"角色名"，那个概念已退役）
 */
-function buildSkiffBasePrompt(code) {
+function buildTrajectoryBasePrompt(code) {
 	return [
-		"=== Serenity Skiff ===",
+		"=== Serenity 轨迹约束 ===",
 		`Cognitive trajectory: ${code} (this is the trajectory you ARE, not a role you play)`,
 		"Your capability boundary is enforced mechanically by this CCC — anything outside it is rejected at the call site, not by your judgment.",
 		"Discover your surface, do not memorize it (both are generated from the live config on every turn):",
@@ -233,7 +247,7 @@ function defaultSimpleSettings() {
 *    `meta.volatile` **无条件**包 `createVolatile(value)`，且该分支排在"缺省值回退"那一段
 *    **之前** ⇒ **"用户没设过"的字段也是恒真对象**（`.get()` 返回 `undefined`），**不是 `undefined`**。
 *
-* ⇒ 若这里不解包，下面十行的 `??` 链会**短路在这层包装上** ⇒ 网关 / Skiff 会被
+* ⇒ 若这里不解包，下面十行的 `??` 链会**短路在这层包装上** ⇒ 网关 / 轨迹约束 会被
 * **无意打开**（比"面板不显示"更坏：静默改变对外暴露面）。
 *
 * ## 为什么用结构判定
@@ -319,7 +333,7 @@ function simpleSettingsFromConfig(config) {
 /** 运行时源（`registerSettingsSection` 装配：读本插件 fiber 的**当前** Config） */
 let simpleSource = null;
 /**
-* 读取当前简单配置（各功能 gateway/rebuild/skiff/… 的启动与运行时判断都经此）。
+* 读取当前简单配置（各功能 gateway/rebuild/轨迹约束/… 的启动与运行时判断都经此）。
 *
 * 源 = 本插件 fiber 的 `config`（宿主在配置变更时走 `fiber.update()` ⇒ `config` 始终最新，
 * **不必**依赖 apply 重跑，也不必缓存）。
@@ -351,4 +365,4 @@ function registerSettingsSection(ctx, config) {
 	} catch {}
 }
 //#endregion
-export { buildSkiffBasePrompt as a, profileMsmWhitelist as c, resolveProfileSystemPrompt as d, ACC_VERSION as f, SKIFF_PROFILE_HINT as i, profileSystemPromptSource as l, readSimpleSettings as n, createProfilePromptReader as o, findPackageRoot as p, registerSettingsSection as r, profileCognitiveTrajectory as s, SERENITY_SETTINGS_NS as t, profileToolWhitelist as u };
+export { buildTrajectoryBasePrompt as a, createProfilePromptReader as c, resolveConstraintSystemPrompt as d, ACC_VERSION as f, TRAJECTORY_CONSTRAINT_HINT as i, profileMsmWhitelist as l, readSimpleSettings as n, constraintCognitiveTrajectory as o, findPackageRoot as p, registerSettingsSection as r, constraintSystemPromptSource as s, SERENITY_SETTINGS_NS as t, profileToolWhitelist as u };

package/lib/surface/faces.d.ts

@@ -3,7 +3,7 @@
  *
  * ## 现状 → 本模块要收掉什么（取证：`…/acc-c4c5-current-state.md` §①/§③ 3.1）
  *
- * 插件自己 spawn 了**三个** node:http 监听器（B 3081 网关 / C 3082 微信发送 / D 3099 Skiff 调试）。
+ * 插件自己 spawn 了**三个** node:http 监听器（B 3081 网关 / C 3082 微信发送 / D 3099 轨迹约束调试）。
  * ⚠️ **2026-10-15 变更**：原为四个（含 **E 3100 ACP+问答**），E 已随 owner「砍掉外部问答」令**整面退役**
  * ⇒ 仍保有面 B/C/D 三个；本段保留"当年是四个"的记述，因为下方"两套拆卸"的病史由它解释。
  * 此前四处各写一份同款样板：`createServer` + `server.once('error')` +

package/lib/surface/http.d.ts

@@ -39,7 +39,7 @@ interface StatusApiRegistration {
  *
  * 🔴🔴 **2026-10-18 修缺陷（owner 报「在别的 CCC 点开显示的还是 home-serenity 的信息」）**：
  * 旧实现第 ③ 步是「**遍历 live sessions 找第一个 CCC 会话的 cwd**」—— 那是**跨工作区猜测**：
- * 只要 sessionId 缺失或那条会话查不到（ACP/skiff 会话、尚未 materialize 的会话、远程访问），
+ * 只要 sessionId 缺失或那条会话查不到（ACP/轨迹约束会话、尚未 materialize 的会话、远程访问），
  * 它就会**静默返回另一个 CCC 的路径**，于是面板把**别人的轨迹/技能/安全模式**当成你的显示出来。
  * 这比"显示未激活"危险得多 —— 用户会据此做判断（以为自己的 safe-mode 开着、以为那是自己的轨迹）。
  *

package/lib/surface/settings.d.ts

@@ -15,7 +15,7 @@
  * ## 为什么旧扁平键**原样保留**（这是本文件最容易被后人改错的地方）
  *
  * 旧模型把简单配置存成 `~/.dsh/settings.yaml` 的 `serenity-hooks:` 段，字段名是**扁平**的
- * （`gatewayEnabled` / `skiffEnabled` / …）。新模型的命名空间**逐字相同**
+ * （`gatewayEnabled` / `轨迹约束Enabled` / …）。新模型的命名空间**逐字相同**
  * （`serenity-hooks`），而宿主的 `SettingsForms.importLegacyDocument()` 会把该段
  * **按同名条目导入**；schemastery 的 object 解析在非 strict 模式下 `merge(result, data)`
  * ⇒ **未声明的键会被保留而非报错**。⇒ 只要这些扁平键**仍在本插件 Config 里声明**，
@@ -59,12 +59,12 @@ interface SimpleConfigFragment {
     rebuild?: {
         thresholdK?: number;
     };
-    /** F4 Skiff（实验性）：调试服务启停（人工） */
-    skiff?: {
+    /** F4 轨迹约束（实验性）：调试服务启停（人工） */
+    轨迹约束?: {
         enabled?: boolean;
         debugPort?: number;
     };
-    /** F4 Skiff（实验性）：调试服务启停（人工） */
+    /** F4 轨迹约束（实验性）：调试服务启停（人工） */
     /** diagram（实验性 demo；2026-09-29 owner 具名令 D104）：标签源码 → 进程内出图（不借浏览器） */
     diagram?: {
         enabled?: boolean;
@@ -103,7 +103,7 @@ interface SerenitySimpleSettings {
      *  `parseDsl → renderDsl（SVG ＋ 四项体检）→ resvg-wasm 光栅化（内置字体）→ PNG`，
      *  产物落 CCC `_tmp/diagram/` 且**图片块进对话**（**不借浏览器、不截图**）。
      *  **缺省关**：owner 口中的"demo 功能" ⇒ 关时**不注册**（工具不进模型工具清单：
-     *  零 token、不会被误调），同 `skiff` 的"未开启零资源占用"口径。
+     *  零 token、不会被误调），同 `轨迹约束` 的"未开启零资源占用"口径。
      *  依赖面：随包分发 3.8 MB 内置字体（`assets/diagram/`，wasm 对系统字体不可见）。 */
     diagramEnabled: boolean;
     /** **human-channel（人机信道）机器级配置**（2026-09-26 owner 定案；P0-1 立 schema ＋ 投影）。
@@ -128,7 +128,7 @@ interface VolatileRef<T> {
  *    `meta.volatile` **无条件**包 `createVolatile(value)`，且该分支排在"缺省值回退"那一段
  *    **之前** ⇒ **"用户没设过"的字段也是恒真对象**（`.get()` 返回 `undefined`），**不是 `undefined`**。
  *
- * ⇒ 若这里不解包，下面十行的 `??` 链会**短路在这层包装上** ⇒ 网关 / Skiff 会被
+ * ⇒ 若这里不解包，下面十行的 `??` 链会**短路在这层包装上** ⇒ 网关 / 轨迹约束 会被
  * **无意打开**（比"面板不显示"更坏：静默改变对外暴露面）。
  *
  * ## 为什么用结构判定
@@ -220,7 +220,7 @@ export declare function humanChannelSettingsFromConfig(fragment: HumanChannelCon
  */
 export declare function simpleSettingsFromConfig(config: SimpleConfigFragment): SerenitySimpleSettings;
 /**
- * 读取当前简单配置（各功能 gateway/rebuild/skiff/… 的启动与运行时判断都经此）。
+ * 读取当前简单配置（各功能 gateway/rebuild/轨迹约束/… 的启动与运行时判断都经此）。
  *
  * 源 = 本插件 fiber 的 `config`（宿主在配置变更时走 `fiber.update()` ⇒ `config` 始终最新，
  * **不必**依赖 apply 重跑，也不必缓存）。

package/lib/surface/text.d.ts

@@ -3,11 +3,11 @@
  *
  * ## 为什么它从调试面里拆出来（S11，2026-10-19，轨迹中心重构）
  *
- * 拆之前它是 `role/skiff/debug.ts` 的**后半段**，而那份文件是**混装件**：
+ * 拆之前它是 `role/轨迹约束/debug.ts` 的**后半段**，而那份文件是**混装件**：
  *   · 前半段 = **面 D** 的 HTTP 调试页（自起 listener，端口见 `kernel/ports.ts`）
  *   · 后半段 = **通用文本清洗**（本文件，已随重构搬到 `surface/text.ts`）
  *
- * 判据（实测，不是猜）：本文件的导出被**两个与 skiff 无关的模块**直接使用 ——
+ * 判据（实测，不是猜）：本文件的导出被**两个与 轨迹约束 无关的模块**直接使用 ——
  * `im/bridge.ts`（微信桥：回复前剥 think）与 `guard/seam.ts`（输出守卫：检测前剥 think）。
  * ⇒ 它不属于"某一条轨迹的调试面"，它是**任何输出面都会用的清洗**。
  *
@@ -28,7 +28,7 @@
  *    **hideThink=true（v1.26.4，public 口）→ 直接移除**（思考过程对普通用户不展示）
  * @param hideThink 为 true 时 `<think>` 内容完全不渲染（public 问答页体验）
  */
-export declare function renderSkiffMarkdown(raw: string, hideThink?: boolean): string;
+export declare function renderTrajectoryMarkdown(raw: string, hideThink?: boolean): string;
 /**
  * 剥离 `<think>…</think>` 块（v1.27.1，微信桥用户反馈："过微信桥回复给用户的消息，
  * 要去掉 think 标签，用户不应看到"）。复用 extractThinkBlocks 状态机（v1.26.8，

package/lib/tools/config-docs.d.ts

@@ -0,0 +1,71 @@
+/**
+ * tools/config-docs.ts — `container_admin config docs` 的**两层菜单**（P3，2026-10-19）
+ *
+ * ## owner 原话（本文件存在的全部理由，逐字）
+ *
+ * > 「im 的整体配置方法要在 ACC 级有方法能交代我们的**说明类内容**越来越多了，
+ * >   做个**两层菜单**来承载吧，admin 里面搞两个方法，一个是**使用说明目录**，
+ * >   一个是**使用说明详情（按章节获得）**」
+ *
+ * ⇒ 第一层 `docs`（无参）= **目录**：只列"有哪几章、每章一句话、去哪个子命令看详情"。
+ *   第二层 `docs <chapter>` = **详情**：该章全文。
+ *
+ * ## 为什么是"目录 + 按章详情"而不是一坨长文（R↓，这不是排版偏好）
+ *
+ * 说明类内容已经长到 `ccc-config` 单份约 20 KB。整份塞进一次工具返回有两个真实代价：
+ * ① **截断** —— 宿主对工具结果有预算（超了走 head/tail + 落盘）⇒ 用户拿到的**不是全文**，
+ *    而是它以为的全文（本轨 A59 记过这一格）。
+ * ② **不可发现** —— 一坨长文里"我该看哪一段"要靠通读才知道；目录让模型**先选后读**。
+ * ⇒ 判据：**目录只索引，不复制**。每章正文的唯一真相源仍在它自己的产出函数里
+ *   （本章 = `ccc-config` 的对应段 / `role guide` 全文），本文件只做**切分与路由**。
+ *
+ * ## 归属（D23）
+ * 机制在 ACC（有哪几章、怎么切、怎么路由）；**章目内容**部分来自 ACC 自己的 guide
+ * （那些是机制说明），部分来自 CCC 的配置现状（运行时读取）。
+ *
+ * ## 与 `msm catalog` 的分工（两个目录不是冗余）
+ * - `msm catalog` = **工具/能力**目录（"去哪找功能说明"）
+ * - `config docs` = **配置**目录（"这个键怎么填、填错会怎样"）
+ * 二者在 ④ 章互指，但**不复制**对方的内容。
+ */
+/** 一个章节 = 菜单项（第一层）+ 正文（第二层） */
+export interface DocsChapter {
+    /** 章节 id（稳定标识：`config docs <id>`；**英文短名**，便于逐字敲出来） */
+    id: string;
+    /** 菜单里的一句话（用户据此决定要不要读下去） */
+    summary: string;
+    /** 该章正文（第二层才返回；**惰性**——目录不触发它） */
+    render: () => string;
+}
+/**
+ * 渲染**目录**（第一层）。
+ *
+ * 🔴 只调 `summary`，**绝不调 `render`** —— 目录若触发正文，就退化成"整份长文"。
+ * 这条不是性能优化，是**判据**：它保证 `docs` 的输出大小与章数成正比，与正文长度无关。
+ */
+export declare function renderDocsIndex(chapters: readonly DocsChapter[]): string;
+/**
+ * 解析一个章节参数（第二层）。
+ *
+ * 不存在 ⇒ 返回 `null`，由调用方给出**带候选清单**的拒绝 ——
+ * "不知道这个章节" 与 "这一章是空的" 必须可区分（否则用户以为功能没有）。
+ */
+export declare function findDocsChapter(chapters: readonly DocsChapter[], id: string): DocsChapter | null;
+/**
+ * **指针文案**（v1.75.0，owner 裁 Q3「指针」）——被降级的旧入口共用这一份。
+ *
+ * ## 为什么要有"指针"这个形态（而不是直接删掉旧入口）
+ *
+ * 旧入口的名字（`msm catalog` / `msm ccc-config` / `config guide`）**已经写在 CCC 侧的
+ * 文档与提示词里**，硬删会让它们全部变成"未知动作"，而且**没有任何机械信号**告诉我们
+ * 哪份文档已经说谎了（本仓 D151 同族）。
+ *
+ * ⇒ 保留名字、只换返回内容：调用方能**自己顺着指针找到正文**，而正文仍然只有一份。
+ *
+ * 🔴 **必须只有一处实现**：`container-admin.ts`（config 域）与 `msm/service.ts`（msm 域）
+ * 都要用它。两处各写一份文案 ⇒ 措辞漂移（本仓反复踩过的形态）。
+ *
+ * @param chapter 正文所在的章 id
+ * @param what 这个入口原来叫什么（进标题，让调用方一眼确认自己找对了）
+ */
+export declare function docsPointer(chapter: string, what: string): string;

package/lib/tools/container-admin.d.ts

@@ -1,21 +1,33 @@
 /**
  * container-admin.ts — container_admin（v1.30：机务舱——容器管理面统一入口）
  *
- * 合并自：
- *   · skiff_admin（F4 Skiff 认知子集角色：guide/validate/apply/list）
- *   · acc_msm 管理面（register/deregister/check/guide/catalog/ccc-config）
- *     —— msm 工具只管执行+发现；一切「管理容器」的操作归本工具
+ * ## 域结构（2026-10-19 owner 两条令后：**两域**）
  *
- * 语义（用户拍板"skiff_admin 及系列 admin 合并成 container_admin"）：
- *   container = CCC（具体认知容器）；admin = 管理操作。
- *   类比 The Manifest（清单维护——工具注册表）+ Crew（角色管理）+ 机务（配置/手册）。
+ * | 域 | 管什么 |
+ * |---|---|
+ * | `config` | **本 CCC 的全部配置面**：说明目录/按章详情 ＋ 轨迹约束（原 `role` 域，已并入） |
+ * | `msm`    | MSM 注册表管理 ＋ 手册（register/deregister/check/guide/catalog/ccc-config） |
+ *
+ * 🔴 **`role` 域已并入 `config`**（owner 2026-10-19 裁「1 并入」）。为什么不是三个平行域：
+ * `role` 管的本来就是"某条轨迹的约束面"——**一组配置**，与 `config` 是同一抽象层的两半。
+ * 分着放的代价是：用户在 `config` 里看不到"轨迹怎么约束"，得先知道 `role` 这个词存在。
+ * ⚠️ **旧 `role` 域仍被接受**（过渡别名，指向同一实现）——存量 CCC 的文档/脚本里到处是
+ * `container_admin role validate`（实测本仓 30 处），硬切会让它们全部变成"未知域"。
+ * 别名**只保留读取路径**：schema 的 `enum` 只列新名，文案只教新名。
  *
- * 参数极简（LLM 直觉）：domain（管理域）+ action（该域子命令）+ 少量业务参数。
+ * ## 三个动作名为什么是这三个（P3 的实现形态）
+ * - `config docs`（无参）→ **使用说明目录**（第一层；只索引不复制）
+ * - `config docs <chapter>` → **使用说明详情**（第二层；按章获得）
+ * - `config view` → 配置**现值**（原来是唯一动作；现在是"看当前填了什么"）
  *
- * v1.34.1（⑥ C6a）：由 `export const containerAdminTool` 改为**工厂**
- * `createContainerAdminTool(ctx)`——原为 autopilot 域传进程内运行态事实（全局闸 / live 会话 /
- * agent 可解析性）。该域已于 2026-09-15 随 ACC 侧 autopilot 整段退场删除（所有者裁决 (a)）：
- * `ctx` 现**无消费者**，工厂形态保留只是为了让装配点签名不再变动（见 index.ts 注册处）。
+ * 归属（D23）：**机制在 ACC**（有哪几章、怎么路由、怎么校验），**内容在 CCC**（填什么）。
+ * 语义（用户拍板"轨迹约束_admin 及系列 admin 合并成 container_admin"）：
+ *   container = CCC（具体认知容器）；admin = 管理操作。
  */
 import type { Context } from 'cordis';
+/**
+ * 指针与章目的关系（v1.75.0）：
+ * 被降级的旧入口（`msm catalog` / `msm ccc-config` / `config guide`）统一走
+ * `config-docs.ts` 的 `docsPointer()` —— **只有一处实现**，避免两域各写一份文案而漂移。
+ */
 export declare function createContainerAdminTool(ctx: Context): import("@deepseek-ai/dsh-tools").ToolDefinition;