@shgroup/dsh-serenity-hooks 1.78.0 → 1.79.1

package/dsh.plugin.json

@@ -1,6 +1,6 @@
 {
   "id": "dsh-serenity-hooks",
-  "version": "1.78.0",
+  "version": "1.79.1",
   "main": "lib/index.js",
   "description": "宁静号 ACC harness（Native Cordis 插件）：给 DSH 装一个「AI 工作区」——14 个工具（container_fs/cognitive_trajectory/dashboard/container_git/msm/praxis/ontology/serenity-skill-creator/cheap-worker/localstore/container_admin；另三个 im-bridge/acc-diag/diagram 按配置条件出现）+ 机械约束（安全模式/工作区围墙/密钥守卫）+ 认知轨迹日志与原地重建 + 网页登录入口/IM 桥/认知轨迹唤醒注册表。轨迹声明 = 轨迹目录下的 trajectory.json（约束面 + 旧标识 uid + CRO 机器绑定 cro.host；旧名 trajectory-constraint.json / skiff.json 仍在读取族里）；轨迹提示词 = 轨迹目录下的 PROMPT.md（一条轨迹「是谁、按什么章程工作」，所有轨迹通用，追加在容器层与质量层之后，不替换它们）。适配 DSH 0.1.7-rc.1 / 0.2.0-rc.1 / 0.2.1-rc.1（三档，deepseek-ai/deepseek-harness）。",
   "engines": {

package/lib/im/channels.d.ts

@@ -64,6 +64,16 @@ export interface ImChannel {
     id: string;
     /** 该 CCC 是否启用了本通道（缺省实现：读该通道的 CCC 配置） */
     isEnabled(root: string): boolean;
+    /**
+     * `isEnabled` 为假时**给人看的原因与怎么改**（可选）。
+     *
+     * 🔴 为什么它归通道自己而不归工具面（2026-10-20 Q4 真机验收踩到）：
+     * 工具面先前统一印「enable it in … (weixin.enabled)」，而**只有通道自己知道
+     * "怎样才能启用我"** —— 飞书能否用不取决于 `weixin.enabled`，而取决于有没有
+     * 一条启用中的飞书账号。⇒ 统一文案在第二个渠道上就成了**教一个不生效的改法**。
+     * 缺省（不给）⇒ 用通用文案，说"查该渠道自己的开关／账号表"，不点名任何具体字段。
+     */
+    notEnabledReason?(root: string): string | undefined;
     /** 别名/裸 id → 通道用户；无法解析返回 null */
     resolveUser(root: string, input: string): ImUserEntry | null;
     /** 已配置别名列表（`users` 动作） */

package/lib/im/feishu-account.d.ts

@@ -68,6 +68,16 @@ export interface FeishuSdk {
  * 缺省 = 动态 import 真包 —— 这样生产路径不需要 `bridge.ts` 也能独立跑。
  */
 export declare function installFeishuSdk(loader: () => Promise<FeishuSdk>): void;
+/**
+ * 取 SDK（未注入 ⇒ 动态 import 真包）。
+ *
+ * 🔴 **导出**（2026-10-20 Q4）：出站通道 `feishu-channel.ts` 也要用它。
+ * 让它走**同一个加载器**而不是自己再写一次 `import('@larksuiteoapi/node-sdk')` ——
+ * 否则 `installFeishuSdk()` 注入的替身只对入站那半生效，出站那半在测试里会去加载真 SDK
+ * （那正是本文件头注记着的实测坑：真 SDK 会打自己的日志证明你没拦住它）。
+ * ⇒ **注入点必须唯一**，否则"能不能测"这件事会随调用方向而变。
+ */
+export declare function loadFeishuSdk(): Promise<FeishuSdk>;
 /** 测试辅助：关掉并清空全部长连接（生产零调用） */
 export declare function __closeAllFeishuConnectionsForTest(): void;
 /** 测试辅助：清空去重表（生产零调用） */

package/lib/im/feishu-channel.d.ts

@@ -0,0 +1,23 @@
+import type { ImChannel } from './channels.js';
+/** 解析结果（与微信侧 `WeixinAccountResolution` 同构） */
+type FeishuAccountResolution = {
+    ok: true;
+    accountId: string;
+    appId: string;
+    appSecret: string;
+} | {
+    ok: false;
+    code: string;
+    error: string;
+    remediation?: string;
+};
+/**
+ * 解析该 CCC 的飞书发送账号 ＋ 凭据。
+ *
+ * 顺序与微信侧 `resolveWeixinAccount` **同构**（桥启用 → 有启用账号 → 指定账号存在且是飞书
+ * → 凭据已绑），因为"为什么发不出去"的排查路径必须逐字对应——两个渠道给出不同的失败顺序，
+ * 用户就得记两套。
+ */
+export declare function resolveFeishuAccount(root: string, accountId?: string): FeishuAccountResolution;
+export declare const feishuChannel: ImChannel;
+export {};

package/lib/im/guard.d.ts

@@ -7,13 +7,21 @@
  * 该用机械守卫兜底的场景（与 output-guard 同一套思路：turn-stopping + agent.steer）。
  *
  * 本模块做三件事（全部是机制，不含任何纪律措辞——措辞归 CCC 角色提示词）：
- *  ① `noteManualOutputSession`：桥每轮把手动模式会话登记进来（含 root/account/user/role）
+ *  ① `noteManualOutputSession`：桥每轮把手动模式会话登记进来（含 root/account/user/role/**channel**）
  *  ② 订阅 `tools/post-execute`：观察本轮是否真的成功调用过输出工具（`im-bridge` 的
  *     `action=send|send-file`，兼容旧 `msm("weixin-send", …)`）——**只在执行成功时**计入
  *  ③ 订阅 `agent/turn-stopping`：本轮结束仍没有成功发送 → `agent.steer` 打回一次（≤2 次），
  *     提示内容 = **标记 + 事实**（"本轮未发送，用户什么都没收到"），具体怎么做由 CCC 角色
  *     提示词定义（与 per-message 标记同名 `[serenity:weixin-manual-output]`，模型能对上）。
  *
+ * 🔴 **渠道中立（2026-10-20，Q4 出站飞书）**：本模块原先**处处假定微信**——
+ * "成功判定"硬比 `channel === 'weixin'`、打回文案硬写 `channel:"weixin"`。
+ * 接第二个渠道后那两处会让**飞书会话永远打回**（详见 `isSuccessfulImSend` 的注释）。
+ * ⇒ 现在渠道由**登记时**带进来（缺省 `'weixin'`，既有调用点与测试读数不变）。
+ * ⚠️ **标记字符串 `[serenity:weixin-manual-output]` 不改名**：CCC 侧的角色提示词按它做判据，
+ *    改名会把所有已写好的 CCC 纪律文档打成废纸；它是一个**协议标记**，不是渠道名
+ *    （与 `weixinSessionIdForTrajectory` 同一个处置，A85）。
+ *
  * 为什么不直接替 agent 发送（R↓）：用户拍板的语义是"输出权归 agent"——代发会让 agent 误以为
  * 自己发过、也掩盖了"模型没遵守"这一事实；打回让模型自己完成，且留下可观测的日志。
  *
@@ -28,6 +36,14 @@ interface ManualOutputSession {
     accountId: string;
     userId: string;
     role: string;
+    /**
+     * 这个会话走的是哪个渠道（2026-10-20 Q4）。
+     *
+     * 🔴 它决定两件事：① 打回文案里那条命令该写哪个 `channel`；
+     * ② 判定"本轮是否真的发出去了"时该认哪个 `channel`。
+     * ⚠️ 缺省 `'weixin'` 保留既有调用点与测试的读数（B1 判据：微信行为逐字不变）。
+     */
+    channel?: string;
 }
 /** 桥：登记手动模式会话（每轮 incoming 都调用，幂等覆盖） */
 export declare function noteManualOutputSession(sessionId: string, session: ManualOutputSession): void;
@@ -45,13 +61,22 @@ export declare function clearSentThisTurn(sessionId: string): void;
 /** 闸门是否装配成功（未装配 → 桥不做兜底：宁可静默也不冒重复发送的风险） */
 export declare function isWeixinOutputGuardActive(): boolean;
 /**
- * 工具调用是否为「成功的微信发送」。
+ * 工具调用是否为「本轮成功发出了一条消息」。
  *
  * v1.31.0 起有两种合法形态（标记与闸门同时认，迁移期并存）：
- * - `im-bridge({channel:"weixin", action:"send"|"send-file", …})` —— ACC 工具（推荐）
+ * - `im-bridge({channel:"<渠道>", action:"send"|"send-file", …})` —— ACC 工具（推荐）
  * - `msm("weixin-send", ["send"|"send-file", …])` —— CCC MSM（v1.30.x 通道，逐步退役）
+ *
+ * 🔴 **原名为 `isSuccessfulWeixinSend`，2026-10-20 改名**（Q4 出站飞书）：
+ * 它曾硬比 `channel !== 'weixin' ⇒ false`。接第二个渠道后，那条判据的含义变成
+ * **"只有微信算发出去了"** —— 而实际后果是：飞书会话里 agent 真的发成功了，
+ * 闸门仍判"未发送" ⇒ 打回 ≤2 次，若 CCC 开了 `fallbackOnNoSend` 还会再兜底转发一遍
+ * ⇒ **重复投递**。⇒ 判据从"是不是微信"改成"是不是**这个会话所在的那条渠道**"，
+ * 函数名随之更正（**名字要能对着行为读**，D151/D179 同族）。
+ *
+ * @param channel 该会话的渠道（缺省 `'weixin'` = 既有调用点与测试的读数不变）
  */
-export declare function isSuccessfulWeixinSend(exec: unknown, result: unknown): boolean;
+export declare function isSuccessfulImSend(exec: unknown, result: unknown, channel?: string): boolean;
 /** 打回消息（机制事实 + 标记；怎么做由 CCC 角色提示词定义） */
 export declare function buildManualOutputRebuke(session: ManualOutputSession): string;
 /** 测试辅助：清空全部状态 */

package/lib/im/inbound-event.d.ts

@@ -136,15 +136,20 @@ export declare function resolveInboundTarget(ctx: Context, input: {
  * @param preset 机器级模式：目标已解析好 ⇒ **不再自行路由**，且**不看本 CCC 的 `enabled`**
  */
 export declare function handleInboundEvent(ctx: Context, root: string, accountId: string, io: ImAccountIo, event: ImInboundEvent, preset?: {
-    target: ResolvedInboundTarget;
+    target?: ResolvedInboundTarget;
+    channel?: string;
 }): Promise<void>;
 /**
  * 手动输出模式的**机制标记**（v1.30.10 引入；v1.30.16 按「ACC 管机制、CCC 管措辞」重构）。
  *
  * 边界（R↓）：ACC 只提供**机制与数据**——"桥不转发最终文本"这个事实 + 三个已填好的参数值。
  * **纪律措辞归 CCC**：怎么写、必须怎么做、后果是什么，全部写在轨迹的 `PROMPT.md` 里。
+ *
+ * 🔴 **渠道不是常量**（2026-10-20 Q4）：此前这里硬写 `channel:"weixin"`，
+ * 而一条**飞书**会话收到的却是"发往微信"的命令 ⇒ 模型照着做必然失败（目标 id 是 open_id）。
+ * ⇒ 渠道由调用方传入；缺省 `'weixin'` 保留既有调用点与测试的读数。
  */
-export declare function manualOutputMarker(accountId: string, userId: string): string;
+export declare function manualOutputMarker(accountId: string, userId: string, channel?: string): string;
 /**
  * 手动输出模式的**兜底判定**（纯函数，v1.30.17——把决策矩阵从装配里抽出来，可独立测试）。
  *

package/lib/index.js

@@ -11168,11 +11168,19 @@ function hasEnabledImChannel(root) {
 	} catch {}
 	return false;
 }
-/** 错误码 → 可行动提示（模型视角：说清怎么改） */
-function remediationFor(code) {
+/**
+* 错误码 → 可行动提示（模型视角：说清怎么改）。
+*
+* 🔴 `CHANNEL_NOT_CONFIGURED` 的提示**不能写死某一个渠道的字段名**（2026-10-20 Q4 真机验收踩到）：
+* 首版逐字写「enable it in … (weixin.enabled)」，而接第二个渠道后，**飞书能不能用不取决于
+* 这个开关**（它取决于有没有一条启用中的飞书账号）⇒ 按那句提示去改 `weixin.enabled`
+* **不会生效**，而错误码又指向"没配置" ⇒ 用户据此改完还是同一句报错。
+* ⇒ 提示按**渠道是否带自己的启用判据**分岔：带 `channelHint` 的就用它自己的说法。
+*/
+function remediationFor(code, channelHint) {
 	switch (code) {
 		case "CHANNEL_UNKNOWN": return "Use a registered channel id (see the tool description)";
-		case "CHANNEL_NOT_CONFIGURED": return "This CCC has not configured that channel — enable it in .opencode/serenity.json (weixin.enabled) or the settings panel";
+		case "CHANNEL_NOT_CONFIGURED": return channelHint ?? "This CCC has not configured that channel — check .opencode/serenity.json (the channel's own enabled flag / accounts) or the settings panel";
 		case "ACTION_UNKNOWN": return "Use send / send-file / users / status";
 		case "ACTION_UNSUPPORTED": return "This channel does not support that action";
 		case "ALIAS_UNKNOWN": return "Use a configured alias (see action=users) or a raw channel user id";
@@ -11252,7 +11260,7 @@ async function runImBridge(root, req) {
 	if (channelId === "") return fail("CHANNEL_REQUIRED", "channel is required", "Provide channel (e.g. \"weixin\")");
 	const channel = channels.get(channelId);
 	if (!channel) return fail("CHANNEL_UNKNOWN", `unknown channel "${channelId}" (registered: ${imChannelIds().join(", ") || "(none)"})`);
-	if (!channel.isEnabled(root)) return fail("CHANNEL_NOT_CONFIGURED", `channel "${channelId}" is not configured for this CCC (${root})`);
+	if (!channel.isEnabled(root)) return fail("CHANNEL_NOT_CONFIGURED", `channel "${channelId}" is not configured for this CCC (${root})`, channel.notEnabledReason?.(root));
 	if (action === "users") return {
 		ok: true,
 		channel: channelId,
@@ -18860,30 +18868,40 @@ function sessionIdOf$1(value) {
 	return typeof id === "string" && id !== "" ? id : null;
 }
 /**
-* 工具调用是否为「成功的微信发送」。
+* 工具调用是否为「本轮成功发出了一条消息」。
 *
 * v1.31.0 起有两种合法形态（标记与闸门同时认，迁移期并存）：
-* - `im-bridge({channel:"weixin", action:"send"|"send-file", …})` —— ACC 工具（推荐）
+* - `im-bridge({channel:"<渠道>", action:"send"|"send-file", …})` —— ACC 工具（推荐）
 * - `msm("weixin-send", ["send"|"send-file", …])` —— CCC MSM（v1.30.x 通道，逐步退役）
+*
+* 🔴 **原名为 `isSuccessfulWeixinSend`，2026-10-20 改名**（Q4 出站飞书）：
+* 它曾硬比 `channel !== 'weixin' ⇒ false`。接第二个渠道后，那条判据的含义变成
+* **"只有微信算发出去了"** —— 而实际后果是：飞书会话里 agent 真的发成功了，
+* 闸门仍判"未发送" ⇒ 打回 ≤2 次，若 CCC 开了 `fallbackOnNoSend` 还会再兜底转发一遍
+* ⇒ **重复投递**。⇒ 判据从"是不是微信"改成"是不是**这个会话所在的那条渠道**"，
+* 函数名随之更正（**名字要能对着行为读**，D151/D179 同族）。
+*
+* @param channel 该会话的渠道（缺省 `'weixin'` = 既有调用点与测试的读数不变）
 */
-function isSuccessfulWeixinSend(exec, result) {
+function isSuccessfulImSend(exec, result, channel = "weixin") {
 	const e = exec;
 	if (result?.isError === true) return false;
 	const args = e?.arguments;
 	if (e?.name === "im-bridge") {
-		if ((typeof args?.channel === "string" ? args.channel : "") !== "weixin") return false;
+		if ((typeof args?.channel === "string" ? args.channel : "") !== channel) return false;
 		const action = typeof args?.action === "string" ? args.action : "";
 		return action === "send" || action === "send-file";
 	}
-	if (e?.name === "msm") return args?.name === "weixin-send";
+	if (e?.name === "msm") return channel === "weixin" && args?.name === "weixin-send";
 	return false;
 }
 /** 打回消息（机制事实 + 标记；怎么做由 CCC 角色提示词定义） */
 function buildManualOutputRebuke(session) {
+	const channel = session.channel ?? "weixin";
 	return [
 		"[serenity:weixin-manual-output] no send detected in this turn — the user has received NOTHING.",
-		`ccc=${session.root} account=${session.accountId} user=${session.userId}`,
-		`im-bridge({channel:"weixin", action:"send", account:"${session.accountId}", user:"${session.userId}", text:"<回复>"})`
+		`ccc=${session.root} account=${session.accountId} user=${session.userId} channel=${channel}`,
+		`im-bridge({channel:"${channel}", action:"send", account:"${session.accountId}", user:"${session.userId}", text:"<回复>"})`
 	].join("\n");
 }
 /**
@@ -18896,9 +18914,11 @@ function registerWeixinOutputGuard(ctx) {
 			const downstream = await next();
 			try {
 				const sessionId = sessionIdOf$1(exec?.agent);
-				if (sessionId && manualSessions.has(sessionId) && isSuccessfulWeixinSend(exec, result)) {
-					sentThisTurn.add(sessionId);
-					rebukeCounts.delete(sessionId);
+				if (sessionId && manualSessions.has(sessionId)) {
+					if (isSuccessfulImSend(exec, result, manualSessions.get(sessionId)?.channel ?? "weixin")) {
+						sentThisTurn.add(sessionId);
+						rebukeCounts.delete(sessionId);
+					}
 				}
 			} catch {}
 			return downstream;
@@ -19056,13 +19076,25 @@ async function resolveInboundTarget(ctx, input) {
 * @param preset 机器级模式：目标已解析好 ⇒ **不再自行路由**，且**不看本 CCC 的 `enabled`**
 */
 async function handleInboundEvent(ctx, root, accountId, io, event, preset) {
+	/**
+	* 🔴 **渠道身份必须穿过本层**（2026-10-20，Q4 出站飞书）。
+	*
+	* 为什么缺省值是 `'weixin'` 而不是"必填"：本层有 7 处既有测试调用点**逐字不动**
+	* （B1 的判据是"微信行为逐字不变"）。⇒ 缺省 = 当时唯一存在的渠道，
+	* 而**新增渠道必须显式传**，这样"漏传"只会退化到旧行为，不会把两条渠道搅混。
+	*
+	* ⚠️ 为什么由**调用方**给而不是从 `accountId` 推：`accountId`（`feishu-1` / `wechat-1`）
+	* 只是**命名习惯**，配置里没有任何字段强制它带渠道前缀 —— 从名字推渠道 =
+	* 让一个会漂的约定承当判据（D167 同族：认族不认名）。
+	*/
+	const channel = preset?.channel ?? "weixin";
 	const fromUserId = event.userId;
 	if (!fromUserId) return;
 	const text = event.text;
 	const mediaRefs = event.media;
 	const settings = readWeixinSettings(root);
 	let resolved;
-	if (preset) resolved = preset.target;
+	if (preset?.target) resolved = preset.target;
 	else {
 		if (!settings.enabled) return;
 		const cccTarget = matchWeixinRoute(settings.routes ?? [], fromUserId);
@@ -19172,9 +19204,10 @@ async function handleInboundEvent(ctx, root, accountId, io, event, preset) {
 					root,
 					accountId,
 					userId: fromUserId,
-					role: trajectory
+					role: trajectory,
+					channel
 				});
-				parts.push(manualOutputMarker(accountId, fromUserId));
+				parts.push(manualOutputMarker(accountId, fromUserId, channel));
 			} else forgetManualOutputSession(sessionId);
 			const question = parts.join("\n");
 			const hookRel = settings.hook;
@@ -19249,9 +19282,13 @@ async function handleInboundEvent(ctx, root, accountId, io, event, preset) {
 *
 * 边界（R↓）：ACC 只提供**机制与数据**——"桥不转发最终文本"这个事实 + 三个已填好的参数值。
 * **纪律措辞归 CCC**：怎么写、必须怎么做、后果是什么，全部写在轨迹的 `PROMPT.md` 里。
+*
+* 🔴 **渠道不是常量**（2026-10-20 Q4）：此前这里硬写 `channel:"weixin"`，
+* 而一条**飞书**会话收到的却是"发往微信"的命令 ⇒ 模型照着做必然失败（目标 id 是 open_id）。
+* ⇒ 渠道由调用方传入；缺省 `'weixin'` 保留既有调用点与测试的读数。
 */
-function manualOutputMarker(accountId, userId) {
-	return ["[serenity:weixin-manual-output]", `im-bridge({channel:"weixin", action:"send", account:"${accountId}", user:"${userId}", text:"<回复>"})`].join("\n");
+function manualOutputMarker(accountId, userId, channel = "weixin") {
+	return ["[serenity:weixin-manual-output]", `im-bridge({channel:"${channel}", action:"send", account:"${accountId}", user:"${userId}", text:"<回复>"})`].join("\n");
 }
 /**
 * 手动输出模式的**兜底判定**（纯函数，v1.30.17——把决策矩阵从装配里抽出来，可独立测试）。
@@ -19271,7 +19308,15 @@ function manualOutputFallbackNeeded(input) {
 const SEEN_LIMIT = 2e3;
 /** 已处理过的 message_id（超时重推去重；按账号隔离） */
 const seenByAccount = /* @__PURE__ */ new Map();
-/** 取 SDK（未注入 ⇒ 动态 import 真包） */
+/**
+* 取 SDK（未注入 ⇒ 动态 import 真包）。
+*
+* 🔴 **导出**（2026-10-20 Q4）：出站通道 `feishu-channel.ts` 也要用它。
+* 让它走**同一个加载器**而不是自己再写一次 `import('@larksuiteoapi/node-sdk')` ——
+* 否则 `installFeishuSdk()` 注入的替身只对入站那半生效，出站那半在测试里会去加载真 SDK
+* （那正是本文件头注记着的实测坑：真 SDK 会打自己的日志证明你没拦住它）。
+* ⇒ **注入点必须唯一**，否则"能不能测"这件事会随调用方向而变。
+*/
 async function loadFeishuSdk() {
 	return await import("./lib-TxscFKeo.js").then((m) => /* @__PURE__ */ __toESM(m.default, 1));
 }
@@ -19402,8 +19447,11 @@ async function runFeishuAccountLoop(input, loop) {
 							cccFallback: null
 						});
 						if (!target) continue;
-						await handleInboundEvent(ctx, target.root, input.accountId, io, event, { target });
-					} else await handleInboundEvent(ctx, input.root, input.accountId, io, event);
+						await handleInboundEvent(ctx, target.root, input.accountId, io, event, {
+							target,
+							channel: "feishu"
+						});
+					} else await handleInboundEvent(ctx, input.root, input.accountId, io, event, { channel: "feishu" });
 				} catch (err) {
 					loop.lastError = err instanceof Error ? err.message : String(err);
 				}
@@ -21302,7 +21350,7 @@ function weixinAliasMap(root) {
 	return readWeixinSettings(root).aliases ?? {};
 }
 /** 读该 CCC 的一个凭据值（空/缺失 → null） */
-function credentialValue(root, key) {
+function credentialValue$1(root, key) {
 	try {
 		const value = readStore(root, "credential")[key];
 		return typeof value === "string" && value.trim() !== "" ? value.trim() : null;
@@ -21311,7 +21359,7 @@ function credentialValue(root, key) {
 	}
 }
 /** 把通道层的失败码转成一句可读错误（工具面统一映射为 SEND_FAILED） */
-function channelError(code, error, remediation) {
+function channelError$1(code, error, remediation) {
 	return /* @__PURE__ */ new Error(`${code}: ${error}${remediation ? ` — ${remediation}` : ""}`);
 }
 const weixinChannel = {
@@ -21319,13 +21367,20 @@ const weixinChannel = {
 	isEnabled(root) {
 		return readWeixinSettings(root).enabled === true;
 	},
+	/**
+	* 微信的启用判据**只有总开关这一半**（有 token 的账号是可选的：条数不限、0 条也能开）。
+	* ⇒ 它的提示可以只提这个开关 —— 这与飞书的**两半**不同，别把两家的提示合成一句。
+	*/
+	notEnabledReason() {
+		return "This CCC has no IM bridge enabled — turn on the IM switch in .opencode/serenity.json (im.enabled, or the legacy weixin.enabled) or in the settings panel";
+	},
 	resolveUser(root, input) {
 		const raw = input.trim();
 		if (raw === "") return null;
 		const alias = raw.toLowerCase();
 		const key = weixinAliasMap(root)[alias];
 		if (key) {
-			const id = credentialValue(root, key);
+			const id = credentialValue$1(root, key);
 			return id ? {
 				alias,
 				id
@@ -21340,7 +21395,7 @@ const weixinChannel = {
 	listUsers(root) {
 		const out = [];
 		for (const [alias, key] of Object.entries(weixinAliasMap(root))) {
-			const id = credentialValue(root, key);
+			const id = credentialValue$1(root, key);
 			if (id) out.push({
 				alias,
 				id
@@ -21355,7 +21410,7 @@ const weixinChannel = {
 			text: input.text,
 			...input.accountId ? { accountId: input.accountId } : {}
 		});
-		if (!result.ok) throw channelError(result.code, result.error, result.remediation);
+		if (!result.ok) throw channelError$1(result.code, result.error, result.remediation);
 		return {
 			accountId: result.accountId,
 			userId: result.userId,
@@ -21365,9 +21420,9 @@ const weixinChannel = {
 	},
 	async sendFile(input) {
 		const settings = readWeixinSettings(input.root);
-		if (!settings.enabled) throw channelError("BRIDGE_DISABLED", `微信桥未启用（ccc=${input.root}）`);
+		if (!settings.enabled) throw channelError$1("BRIDGE_DISABLED", `微信桥未启用（ccc=${input.root}）`);
 		const account = resolveWeixinAccount(input.root, input.accountId);
-		if (!account.ok) throw channelError(account.code, account.error, account.remediation);
+		if (!account.ok) throw channelError$1(account.code, account.error, account.remediation);
 		const sent = await sendFileMessage({
 			baseUrl: account.cred.baseUrl,
 			token: account.cred.token,
@@ -21430,6 +21485,231 @@ const weixinChannel = {
 	}
 };
 //#endregion
+//#region src/im/feishu-channel.ts
+/**
+* im/feishu-channel.ts — 飞书**出站**通道实现（`im-bridge` 的通道之二，2026-10-20 Q4）
+*
+* ## 为什么这个文件现在才出现（先摆事实，免得下次重走）
+*
+* 入站那半（P1~P4，2026-10-19）早已完成：`feishu-account.ts` 能建长连接、能收消息、
+* 能**回**消息（`feishuIo()`）。但那是"收到一条消息后回它"，**不是**"agent 主动发一条"。
+* 而 agent 主动发的唯一入口是 `im-bridge` 工具 → 它查的是 `im/channels.ts` 的通道注册表
+* ⇒ 那张表里**只有 `weixin` 一个条目** ⇒ `im-bridge({channel:"feishu"})` 此前恒返回
+* `CHANNEL_UNKNOWN`（尽管发消息的协议形态早就写好并测过）。
+*
+* ⇒ 本文件的全部职责：**把已经存在的飞书发送能力，挂到那张注册表上**。
+* 不是"新做一个能力"，是"把两个各自能用的半件接起来"。
+*
+* ## 与 `weixin-channel.ts` 的刻意差异（三条，各有理由）
+*
+* 1. **`sendFile` 不实现** —— 诚实地说"不支持"，工具会返回 `ACTION_UNSUPPORTED`。
+*    假装支持会得到一条"发出去的文件收不到"的静默故障。
+* 2. **`resolveUser` 做形状校验（`ou_` 前缀）** —— 见下 🔴。
+* 3. **不 fire 记录 hook** —— 见下 🔴。
+*
+* ## 🔴 别名表的跨渠道危险（这是本文件最要紧的一条判据）
+*
+* `im.aliases` 是**一张表服务所有渠道**（`{ "<别名>": "<localstore 凭据键>" }`）。
+* 若只做"按键查值"，把映射到**微信 id** 的那条喂给飞书通道，就会拿别人的 id 跨渠道发消息
+* —— 而飞书 API 会返回一个**读不懂的错误码**，症状是"飞书发不出去"而不是"我配错了渠道"。
+* ⇒ 校验**值的形状**（飞书 open_id 以 `ou_` 开头）：错配在**解析处**就失败，
+*    错误码是 `ALIAS_UNKNOWN` + 可行动提示。
+*
+* ## 🔴 为什么不 fire 记录 hook
+*
+* `settings.hook` 的契约与消费方都是**微信的**：CCC 的 `scripts/weixin-message-hook.ts`
+* 把事件追加进 `AGENT_SESSIONS/_weixin-logs/<日期>.jsonl`。飞书事件若流进去，
+* 那个目录就**同时装两种渠道的数据而名字只说一种**（D151／D179 同族：名字开始撒谎）。
+* ⇒ 本期**不落记录**，并把它登记为待裁（A83）。工具描述里按渠道写清这件事。
+*/
+/**
+* 飞书 open_id 的形状前缀（官方形态：`ou_` ＋ 一串）。
+*
+* ⚠️ 这是**形状**判据，不是**合法性**判据 —— 它拦的是"把别的渠道的 id 当飞书 id 用"
+* 这一类错配，不负责证明该 id 真在飞书侧存在（那只有调用 API 才知道）。
+*/
+const FEISHU_USER_ID_PREFIX = "ou_";
+/** 该账号行是否是飞书账号（`channel` 缺省归一为 weixin —— 与 `normalizeAccountChannel` 同口径） */
+function isFeishuAccount(row) {
+	return (row.channel ?? "").trim() === "feishu";
+}
+/** 读该 CCC 的一个凭据值（空/缺失 → null；与微信通道同款读法） */
+function credentialValue(root, key) {
+	try {
+		const value = readStore(root, "credential")[key];
+		return typeof value === "string" && value.trim() !== "" ? value.trim() : null;
+	} catch {
+		return null;
+	}
+}
+/**
+* 该 CCC 里**形状对得上飞书**的别名 → id。
+*
+* 形状不符的别名**不出现**：出现在 `users` 里就等于告诉模型"这个能用"，然后它一定失败。
+*/
+function feishuUsers(root) {
+	const aliases = readWeixinSettings(root).aliases ?? {};
+	const out = [];
+	for (const [alias, key] of Object.entries(aliases)) {
+		const id = credentialValue(root, key);
+		if (id && id.startsWith(FEISHU_USER_ID_PREFIX)) out.push({
+			alias,
+			id
+		});
+	}
+	return out;
+}
+/**
+* 解析该 CCC 的飞书发送账号 ＋ 凭据。
+*
+* 顺序与微信侧 `resolveWeixinAccount` **同构**（桥启用 → 有启用账号 → 指定账号存在且是飞书
+* → 凭据已绑），因为"为什么发不出去"的排查路径必须逐字对应——两个渠道给出不同的失败顺序，
+* 用户就得记两套。
+*/
+function resolveFeishuAccount(root, accountId) {
+	const settings = readWeixinSettings(root);
+	if (settings.enabled !== true) return {
+		ok: false,
+		code: "BRIDGE_DISABLED",
+		error: `IM 桥未启用（ccc=${root}）`,
+		remediation: "在 .opencode/serenity.json 的 im（或 weixin）.enabled 打开"
+	};
+	const accounts = (settings.accounts ?? []).filter((a) => a.enabled !== false && isFeishuAccount(a));
+	if (accounts.length === 0) return {
+		ok: false,
+		code: "NO_ACCOUNT",
+		error: "未配置任何启用中的飞书账号",
+		remediation: "在设置面板「IM 桥」用 App ID + App Secret 添加一个飞书账号"
+	};
+	const id = accountId ?? accounts[0].accountId;
+	if (!accounts.some((a) => a.accountId === id)) return {
+		ok: false,
+		code: "ACCOUNT_NOT_FOUND",
+		error: `飞书账号不存在或未启用: ${id}`,
+		remediation: `可用的飞书账号: ${accounts.map((a) => a.accountId).join(", ")}`
+	};
+	const cred = readFeishuCredential(root, id);
+	if (!cred) return {
+		ok: false,
+		code: "ACCOUNT_NOT_BOUND",
+		error: `飞书账号未绑定（缺 appId 或 appSecret）: ${id}`,
+		remediation: "在设置面板「IM 桥」重新添加该飞书账号"
+	};
+	return {
+		ok: true,
+		accountId: id,
+		appId: cred.appId,
+		appSecret: cred.appSecret
+	};
+}
+/** 把通道层的失败码转成一句可读错误（工具面统一映射为 SEND_FAILED） */
+function channelError(code, error, remediation) {
+	return /* @__PURE__ */ new Error(`${code}: ${error}${remediation ? ` — ${remediation}` : ""}`);
+}
+const feishuChannel = {
+	id: "feishu",
+	/**
+	* 可见性判据：**本 CCC 有一条能用的飞书账号**。
+	*
+	* 🔴 刻意**不**只看 `settings.enabled`：那个开关是**渠道无关**的，只看它会让
+	* 一个只配了微信的 CCC 也把 `feishu` 报成"已启用" ⇒ `im-bridge` 的
+	* `Channels:` 枚举里出现一个用不了的名字（说明面撒谎，D179）。
+	*/
+	isEnabled(root) {
+		const settings = readWeixinSettings(root);
+		if (settings.enabled !== true) return false;
+		return (settings.accounts ?? []).some((a) => a.enabled !== false && isFeishuAccount(a));
+	},
+	/**
+	* 启用判据不成立时**说清是哪一半不成立**。
+	*
+	* 🔴 两半的改法完全不同（总开关 vs 加一条账号），合并成一句会让人改错那一半
+	* —— 这正是本轮真机验收暴露出来的形态（旧文案只提 `weixin.enabled`）。
+	*/
+	notEnabledReason(root) {
+		if (readWeixinSettings(root).enabled !== true) return "This CCC has no IM bridge enabled — turn on the IM switch in .opencode/serenity.json (im.enabled, or the legacy weixin.enabled) or in the settings panel";
+		return "The IM bridge is on, but this CCC has no enabled feishu account — add one (App ID + App Secret) in the settings panel, or add a row with channel:\"feishu\" to im.accounts";
+	},
+	resolveUser(root, input) {
+		const raw = input.trim();
+		if (raw === "") return null;
+		const alias = raw.toLowerCase();
+		const key = (readWeixinSettings(root).aliases ?? {})[alias];
+		if (key) {
+			const id = credentialValue(root, key);
+			if (!id || !id.startsWith(FEISHU_USER_ID_PREFIX)) return null;
+			return {
+				alias,
+				id
+			};
+		}
+		if (raw.startsWith(FEISHU_USER_ID_PREFIX)) return {
+			alias: raw,
+			id: raw
+		};
+		return null;
+	},
+	listUsers(root) {
+		return feishuUsers(root);
+	},
+	async send(input) {
+		const account = resolveFeishuAccount(input.root, input.accountId);
+		if (!account.ok) throw channelError(account.code, account.error, account.remediation);
+		const create = new (await (loadFeishuSdk())).Client({
+			appId: account.appId,
+			appSecret: account.appSecret
+		}).im?.v1?.message?.create;
+		if (typeof create !== "function") throw channelError("SEND_FAILED", "飞书 SDK 缺少 im.v1.message.create");
+		try {
+			await create({
+				params: { receive_id_type: "open_id" },
+				data: {
+					receive_id: input.userId,
+					msg_type: "text",
+					content: JSON.stringify({ text: markdownToPlainText(input.text) })
+				}
+			});
+		} catch (err) {
+			throw channelError("SEND_FAILED", err instanceof Error ? err.message : String(err));
+		}
+		const settings = readWeixinSettings(input.root);
+		const trajectory = matchWeixinRoute(settings.routes ?? [], input.userId) ?? "";
+		const sessionId = weixinSessionIdForTrajectory(trajectory !== "" ? trajectory : sanitizeFileName$1(input.userId) || "unknown");
+		return {
+			accountId: account.accountId,
+			userId: input.userId,
+			sessionId,
+			role: trajectory
+		};
+	},
+	/**
+	* 通道健康快照（`status` 动作）。
+	*
+	* 与微信通道**同一个数据源**（`weixinBridgeStatus()`）—— 因为长连接的生命周期归
+	* 账号实现（`feishu-account.ts`），不归本文件。本文件只做**出站**，
+	* 它没有自己的连接状态可报。⇒ 如实转述，不编造一个"出站健康度"。
+	*/
+	status(root) {
+		const settings = readWeixinSettings(root);
+		const accounts = weixinBridgeStatus().filter((entry) => entry.ccc === root).flatMap((entry) => entry.accounts.map((account) => ({
+			accountId: account.accountId,
+			lastPollAt: account.lastPollAt,
+			...account.lastError ? { lastError: account.lastError } : {}
+		})));
+		const routes = (settings.routes ?? []).map((route) => ({
+			user: route.user,
+			role: route.trajectory
+		}));
+		return {
+			enabled: settings.enabled === true,
+			autoReplyWithLastMessage: settings.autoReplyWithLastMessage !== false,
+			fallbackOnNoSend: settings.fallbackOnNoSend === true,
+			routes,
+			accounts
+		};
+	}
+};
+//#endregion
 //#region src/tools/im-bridge.ts
 /**
 * im/channels.ts（工具面）— IM 消息发送工具（v1.31.0）
@@ -21463,7 +21743,7 @@ function renderText(value) {
 function createImBridgeTool() {
 	return defineTool({
 		name: "im-bridge",
-		description: `Send messages to family members through an IM channel configured for THIS container (currently: weixin / 微信). Every successful send is recorded in the container log automatically; this tool only acts on the current container (no target container parameter). It is hidden entirely when this container has no IM channel configured. Channels: ${imChannelIds().join(", ") || "(none registered)"}. Actions: send (text) / send-file (a file inside this container) / users (list configured recipients) / status (channel health). user accepts a configured alias (e.g. user-a, user-b) or a raw channel user id. Failures return a stable code plus a remediation hint.`,
+		description: `Send messages to family members through an IM channel configured for THIS container. This tool only acts on the current container (no target container parameter). It is hidden entirely when this container has no IM channel configured. Channels: ${imChannelIds().join(", ") || "(none registered)"}. Actions: send (text) / send-file (a file inside this container) / users (list configured recipients) / status (channel health). Not every channel supports every action (e.g. send-file may return ACTION_UNSUPPORTED). user accepts a configured alias (e.g. user-a, user-b) or a raw channel user id. Failures return a stable code plus a remediation hint.`,
 		parameters: {
 			channel: {
 				type: "string",
@@ -22963,6 +23243,7 @@ function apply(ctx, config) {
 		if (report !== null && report.issues.length > 0) console.warn(`[serenity-hooks] ${summarizeHostContract(report)}`);
 	} catch {}
 	registerImChannel(weixinChannel);
+	registerImChannel(feishuChannel);
 	(async () => {
 		try {
 			const domain = await openBindingDomain(ctx);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@shgroup/dsh-serenity-hooks",
-  "version": "1.78.0",
+  "version": "1.79.1",
   "description": "宁静号 ACC harness（Native Cordis 插件）——给 DeepSeek Harness 装一个「AI 工作区」：14 个工具（container_fs/cognitive_trajectory/dashboard/container_git/msm/praxis/ontology/serenity-skill-creator/cheap-worker/localstore/container_admin；另三个 im-bridge/acc-diag/diagram 按配置条件出现）+ 机械约束（安全模式/工作区围墙/密钥守卫/对外输出守卫）+ 认知轨迹日志与原地重建 + 网页登录入口/IM 桥/认知轨迹唤醒注册表。轨迹声明 = 轨迹目录下的 trajectory.json（约束面 + 旧标识 uid + CRO 机器绑定 cro.host；旧名 trajectory-constraint.json / skiff.json 仍在读取族里）；轨迹提示词 = 轨迹目录下的 PROMPT.md（一条轨迹「是谁、按什么章程工作」，所有轨迹通用，追加在容器层与质量层之后，不替换它们）。适配 DSH 0.1.7-rc.1 / 0.2.0-rc.1 / 0.2.1-rc.1（三档）。",
   "license": "MIT",
   "repository": {