@whyshu/argent-engine 0.0.0-stage → 0.6.0

package/engine/scripts/flow-trigger.sh

@@ -0,0 +1,571 @@
+#!/usr/bin/env bash
+# 定时触发（触发②）—— **引擎泛化版（P0 · 2026-09-16）**。
+#
+# 轮询是**确定性脚本**（不花模型），仅当"真有票要跑"时才唤起角色会话。
+# 实测依据：dsh-schedule 是 agent 作用域的 ⇒ 纯 dsh 定时每轮都会花一个模型回合；
+# 故用本脚本做分钟级廉价轮询，把模型成本压到"只在有活时"。
+#
+# 泛化（P0）：本脚本**不认识任何具体流程** —— 暂停开关 / 日志 / 并发上限 / 唤醒方式全部
+#   来自注册表（`scripts/flow_config.py` ← `flow-requirements.json#flows.<id>`）。
+#   加一条流程 = 注册表加一条 + 一份提示词模板，**不改本脚本**。
+#
+# 用法：bash scripts/flow-trigger.sh [--flow <id>] [--max N] [--dry-run] [--no-wake]
+#   --flow    缺省 wenyao-invoice（保持既有 cron/launchd 行为不变）
+#   --max     缺省取流程配置 concurrency.max
+#   --dry-run 认领与投递都不落盘（**不写 planned、不建会话、不投递**）
+#   --no-wake **只认领 + 只写台账、不唤起角色会话**（0.6.0 P1-B）：宿主**原生排程**
+#             的计划任务是**无会话**执行的，它只能跑一条**静态**命令 ⇒ 那条命令必须
+#             `--no-wake`（认领照常、`planned` 照常落台账，只是不 spawn 会话/不写 wake 事件）；
+#             与暂停开关/环境预检/停滞回收/自动重试/认领看门狗的**相对顺序与默认模式逐字等价**
+#             —— 只有"唤醒那一步"不同。⚠️ 只为**原生排程**用；0.1.7 线的激活垫片仍走默认
+#             （它要唤醒角色会话），故 `flow-timers.sh` 生成的 plist **不带**本开关。
+set -euo pipefail
+REPO="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+# ── 解释器解析（2026-09-22 重启事故）─────────────────────────
+# 事故：默认值写的是开发机 `~/.dsh/argent/venv/bin/python3`，而 **/tmp 重启即被清空** ⇒ 重启后
+# 执行 PY 失败、脚本却 **exit 0 静默空转**：四个定时器每 5 分钟"正常"跑一遍、什么也不做，
+# 日志/台账都看不出异常（与上午那次冻结同类：静默停摆比崩溃更贵）。
+# 现在：多候选（ARGENT_PY → 安装目录 venv → 仓库 .venv → PATH 上的 python3），
+# 全找不到就**响亮失败**（exit 2 + 修复指引），绝不假装跑过。
+pick_py() {
+  local c
+  # 候选（2026-09-22）：ARGENT_PY → DSH_HOME/argent/venv → ~/.dsh/argent/venv → 仓库 .venv → PATH
+  for c in "${ARGENT_PY:-}" "${DSH_HOME:-$HOME/.dsh}/argent/venv/bin/python3" \
+           "$HOME/.dsh/argent/venv/bin/python3" "${REPO:-}/.venv/bin/python3" \
+           "$(command -v python3 2>/dev/null || true)"; do
+    [ -n "$c" ] || continue
+    [ -x "$c" ] || continue
+    "$c" -c 'import openpyxl, yaml' 2>/dev/null || continue   # 硬要求：配置/发票生成必需
+    "$c" -c 'import PIL, playwright' 2>/dev/null || \
+      echo "[$(date '+%F %T')] ⚠️ 解释器 $c 缺 pillow/playwright ⇒ 浏览器流程会失败（修：node install-argent.mjs --venv-only）" >&2
+    printf '%s' "$c"; return 0
+  done
+  return 1
+}
+if ! PY="$(pick_py)"; then
+  echo "[$(date '+%F %T')] ❌ 流程 ${FLOW:-?}：找不到可用解释器（需含 openpyxl + yaml）" >&2
+  echo "    候选: ARGENT_PY / ~/.dsh/argent/venv/bin/python3 / <repo>/.venv/bin/python3 / PATH 的 python3" >&2
+  echo "    修复: python3 -m venv ~/.dsh/argent/venv && ~/.dsh/argent/venv/bin/pip install openpyxl pyyaml" >&2
+  exit 2
+fi
+
+FLOW="wenyao-invoice"; MAX=""; DRY=""; NO_WAKE=""
+while [ $# -gt 0 ]; do
+  case "$1" in
+    --flow) FLOW="$2"; shift 2;;
+    --max) MAX="$2"; shift 2;;
+    --dry-run) DRY="--dry-run"; shift;;
+    --no-wake) NO_WAKE=1; shift;;
+    -h|--help) sed -n '12,21p' "${BASH_SOURCE[0]}" | sed 's/^# \{0,1\}//'; exit 0;;
+    *) shift;;
+  esac
+done
+
+cfg() { "$PY" "$REPO/scripts/flow_config.py" --flow "$FLOW" --get "$1"; }
+
+# ── 数据目录（**唯一判据，禁止在 bash 里重写三级链**）────────────────────────
+# `ARGENT_DATA_DIR → $DSH_HOME/argent → ~/.dsh/argent` 的判据只有一份：Python 单一实现
+# `scripts/lib/argent_datadir.py`（与 JS 内核 core/lib/argent-datadir.mjs 同语义），
+# 这里经 CLI 包装 `scripts/argent-datadir.py` 取值。历史形态 `${ARGENT_DATA_DIR:-$HOME/.dsh/argent}`
+# 就是"隔离实例一半写隔离目录、一半写生产"的病根（2026-10-01 桌面端事故）。
+# 取不到 ⇒ **响亮停住**（fail-closed，绝不猜目录 —— 猜错就是往生产写）。
+DATA_DIR="$("$PY" "$REPO/scripts/argent-datadir.py" 2>/dev/null || true)"
+if [ -z "$DATA_DIR" ]; then
+  echo "[$(date '+%F %T')] ❌ 流程 ${FLOW}：数据目录判据不可用（$REPO/scripts/argent-datadir.py 取不到）⇒ 停住，不猜目录" >&2
+  echo "    修复: 确认 scripts/lib/argent_datadir.py 存在且 python3 可用（ARGENT_PY 可指定解释器）" >&2
+  exit 2
+fi
+
+PAUSE="$(cfg paths.pauseSwitch)"    # 路径（trigger.pauseSwitch 只是文件名）
+# 迁移期（2026-09-29 P2a）：命名空间化后开关在 verticals/<id>/PAUSE.<flow>，
+# 机器上的旧开关（PAUSE_POLL 等）仍在 ⇒ **两条都查**，避免"改了注册表那一刻流程被静默解停"。
+PAUSE_LEGACY="$(cfg paths.pauseSwitchLegacy 2>/dev/null || true)"
+LOG="$(cfg paths.log)"
+WAKE="$(cfg trigger.wake)"
+# 本轮语义（注册表 trigger.mode；缺省 shadow）：**日志必须如实播报** ——
+# FULL 已转真实运行后，日志还在说"影子模式"会误导操作者（2026-09-18 修）。
+MODE="$(cfg trigger.mode)"
+case "$MODE" in
+  real)   MODE_LABEL="真实写入" ;;
+  *)      MODE_LABEL="影子（零副作用）" ;;
+esac
+[ -n "$MAX" ] || MAX="$(cfg concurrency.max)"
+# dry-run 也播报本轮语义：开跑前就能核对"这次是影子还是真写"
+[ -z "$DRY" ] || echo "[dry-run] 流程 ${FLOW}：本轮语义=${MODE_LABEL}（注册表 trigger.mode=${MODE}）"
+
+# 暂停开关（与既有 PAUSE_POLL / PAUSE_INVOICE 同风格）：存在该文件即不唤起
+if [ -f "$PAUSE" ]; then
+  echo "[$(date '+%F %T')] 流程 ${FLOW} 已暂停（存在 ${PAUSE}）⇒ 不唤起"
+  exit 0
+fi
+if [ -n "$PAUSE_LEGACY" ] && [ -f "$PAUSE_LEGACY" ]; then
+  echo "[$(date '+%F %T')] 流程 ${FLOW} 已暂停（存在旧开关 ${PAUSE_LEGACY}）⇒ 不唤起；⏳ 退休待办：迁移到 ${PAUSE}"
+  exit 0
+fi
+
+# ── 发票「放行勾」残留巡检（2026-09-18 用户发现 77447894 残留；安全网，每小时至多一次）──
+# 根因已在源头上修掉（文鳐 P14 收口补上 --clear-ready），但历史遗留/异常中断/人工改表
+# 都可能再留下"发票状态=已完成 却还勾着放行"的行：它在表上看着像"还等着跑"，
+# 且一旦台账那条 done 失效（身份漂移/台账轮转），开启闸门会重新放行 ⇒ 重复开票、重复上传。
+# 已完成的行不会再跑流程 ⇒ 不能指望"顺手清掉"，必须独立巡检。
+# 只读 + 每小时一次（避免每轮全表读）；有残留才发内部群卡（无残留时静默，不制造噪音）。
+case "$FLOW" in
+  wenyao-invoice|xzh-invoice)
+    AUD_STAMP="$DATA_DIR/.invoice-ready-audit.stamp"
+    NOW_S=$(date +%s)
+    LAST_S=$(cat "$AUD_STAMP" 2>/dev/null || echo 0)
+    case "$LAST_S" in ''|*[!0-9]*) LAST_S=0;; esac
+    if [ $((NOW_S - LAST_S)) -ge 3600 ]; then
+      echo "$NOW_S" > "$AUD_STAMP" 2>/dev/null || true
+      AUD_OUT=$("$PY" "$REPO/scripts/invoice_ready_audit.py" --flow "$FLOW" 2>&1); AUD_CODE=$?
+      if [ "$AUD_CODE" -eq 1 ]; then
+        {
+          echo "[$(date '+%F %T')] ⚠️ 流程 ${FLOW}：检出**放行勾残留**（发票状态=已完成 却仍勾着「发票就绪」）"
+          printf '%s\n' "$AUD_OUT" | sed 's/^/    /'
+          echo "    ⇒ 释放：${PY} ${REPO}/scripts/invoice_ready_audit.py --flow ${FLOW} --fix --yes"
+        } | tee -a "$LOG" >&2
+        # 内部群卡片（人看得见才算"暴露"；缺推送身份时 feishu-card 会响亮报错）
+        node "$REPO/scripts/feishu-card.mjs" --template failure-alert --to internal --flow "$FLOW" \
+          --case "invoice-ready-leftover__${FLOW}" --level needs_human \
+          --error "放行勾残留（发票状态=已完成 ∧ 发票就绪=true）" \
+          --action "运行 invoice_ready_audit.py --fix --yes 释放" --send >>"$LOG" 2>&1 || true
+      elif [ "$AUD_CODE" -ne 0 ]; then
+        echo "[$(date '+%F %T')] ⚠️ 流程 ${FLOW}：放行勾巡检**读取失败**（exit=${AUD_CODE}）——未做任何写入" | tee -a "$LOG" >&2
+        printf '%s\n' "$AUD_OUT" | sed 's/^/    /' >>"$LOG" 2>&1
+      fi
+    fi
+    ;;
+esac
+
+# 日志目录必须**在第一次写日志之前**建好（2026-09-30 修）：闸门处的 `tee -a "$LOG"` 若目录不存在，
+# `set -o pipefail` 下 tee 非零 ⇒ 整个触发器 **exit 1**（四个定时器每 5 分钟静默失败一次，
+# 且日志里什么都没有 —— 正是本仓库最忌讳的"静默停摆"形态）。原先这行在闸门之后，够不着它。
+mkdir -p "$(dirname "$LOG")"
+
+# ── 续订提醒（2026-09-22；每天至多一次）──────────────────────────────
+# 租约快到期（< lease.remindDays）时喊人：内部群卡片 + 台账。只有**真需要续订**时才发（不制造噪音）。
+if [ "${ARGENT_SKIP_LEASE:-0}" != "1" ]; then
+  # stamp 属于**运行时数据**，与台账/遥测同规矩：数据目录由唯一判据给出（$DSH_HOME / ARGENT_DATA_DIR
+  # 隔离时它跟着隔离；否则夹具跑一次就写进真实的 ~/.dsh/argent，测试之间还会互相污染/跳过提醒）。
+  RN_STAMP="$DATA_DIR/.lease-remind.stamp"
+  RN_NOW=$(date +%s); RN_LAST=$(cat "$RN_STAMP" 2>/dev/null || echo 0)
+  case "$RN_LAST" in ''|*[!0-9]*) RN_LAST=0;; esac
+  if [ $((RN_NOW - RN_LAST)) -ge 86400 ] && [ -z "${DRY}" ]; then   # dry-run 不产生任何外部动作
+    RN_OUT="$("$PY" "$REPO/scripts/lease.py" --remind 2>&1)"
+    if printf '%s' "$RN_OUT" | grep -q "⚠️\|⛔"; then
+      echo "$RN_NOW" > "$RN_STAMP" 2>/dev/null || true
+      echo "[$(date '+%F %T')] 流程 ${FLOW}：${RN_OUT}" | tee -a "$LOG" >&2
+      "$PY" "$REPO/scripts/flow_ledger.py" --case-id "lease-remind__${FLOW}" --event blocked \
+        --by flow-lease --detail "能力租约即将到期/已过期：${RN_OUT}" >/dev/null 2>&1 || true
+      node "$REPO/scripts/feishu-card.mjs" --template need-human --to internal --flow "$FLOW" \
+        --case "lease-remind__${FLOW}" --reason "能力租约续订提醒" --ask "$RN_OUT" --send >>"$LOG" 2>&1 || true
+    fi
+  fi
+fi
+
+# ── 「未接入货代」提示巡检（2026-09-21 用户要求；每小时至多一次）──
+# 运营勾了「发票就绪」、但该行货代我们没接入（如允墨/商达/鑫隆…）⇒ 不会被任何流程拾取。
+# 这是**正确行为**（不该去动没接入的货代），但运营在表上看不出来 ⇒ 把原因写进「发票错误信息」。
+# 只写这一个字段、只写"我方确实无法承接"的行、幂等、不覆盖人工文字（见脚本头部三条纪律）。
+case "$FLOW" in
+  wenyao-invoice|xzh-invoice)
+    CN_STAMP="$DATA_DIR/.invoice-carrier-notice.stamp"
+    CN_NOW=$(date +%s); CN_LAST=$(cat "$CN_STAMP" 2>/dev/null || echo 0)
+    case "$CN_LAST" in ''|*[!0-9]*) CN_LAST=0;; esac
+    if [ $((CN_NOW - CN_LAST)) -ge 3600 ]; then
+      echo "$CN_NOW" > "$CN_STAMP" 2>/dev/null || true
+      CN_OUT="$("$PY" "$REPO/scripts/invoice_carrier_notice.py" --yes 2>&1)"; CN_CODE=$?
+      if [ "$CN_CODE" -ne 0 ]; then
+        echo "[$(date '+%F %T')] ⚠️ 流程 ${FLOW}：「未接入货代」提示写入未全部成功（exit=${CN_CODE}）——已重试，下轮会继续："
+        printf '%s\n' "$CN_OUT" | sed 's/^/    /' | tee -a "$LOG" >&2
+      elif printf '%s' "$CN_OUT" | grep -q "✅\|⚠️"; then
+        printf '%s\n' "$CN_OUT" | sed 's/^/    /' | tee -a "$LOG" >&2
+      fi
+    fi
+    ;;
+esac
+
+# ── 前置检查（用户要求 2026-09-17）：缺 lark-cli 身份/表权限/推送身份 ⇒ **响亮停住并给人工指南** ──
+if [ "${ARGENT_SKIP_PREFLIGHT:-0}" != "1" ]; then
+  PF_OUT="$("$PY" "$REPO/scripts/flow_preflight.py" --flow "$FLOW" 2>&1)"; PF_CODE=$?
+  if [ "$PF_CODE" -ne 0 ]; then
+    {
+      echo "[$(date '+%F %T')] 流程 ${FLOW} 前置检查未通过（exit=${PF_CODE}）——本轮不派发，需人工处理："
+      printf '%s\n' "$PF_OUT" | sed 's/^/    /'
+    } | tee -a "$LOG" >&2
+    "$PY" "$REPO/scripts/flow_ledger.py" --case-id "preflight__${FLOW}" --event blocked \
+      --by flow-preflight --detail "前置检查未通过（缺配置/权限）⇒ 已停派并输出人工指南" >/dev/null 2>&1 || true
+    # 遥测：前置检查失败也是**引擎级**事件（缺 lark-cli 身份/表权限/推送身份这类事，
+    # 客户机上没人看日志，只有上报了维护者才知道）
+    "$PY" "$REPO/scripts/telemetry.py" --emit --kind engine --flow "$FLOW" \
+      --error-class needs_human --detail "前置检查未通过 exit=${PF_CODE}" >/dev/null 2>&1 || true
+    "$PY" "$REPO/scripts/telemetry.py" --flush >/dev/null 2>&1 || true
+    exit 0
+  fi
+fi
+
+# 授权闸门的模式与判定入口（定义必须在租约闸门**之前**：租约 deny 分支要用它回落）。
+# 模式（`ARGENT_LICENSE_ENFORCE`）：
+#   0|off  逃生阀：**完全跳过**许可与租约闸门（不读许可、不改派发；与 ARGENT_SKIP_LEASE=1 等效）
+#   observe  **默认**：照常算"能不能用"，但无论结论如何**都不停派**；必须留证据（JSONL + 日志）
+#   enforce 不可用 ⇒ 沿用租约停派分支的写法（台账 + 日志 + 不派发）
+# 判定顺序（**租约优先**，既有逻辑一字不改）：① 有可用租约 ⇒ 通过（上面已经放行）；
+# ② 租约不可用 ⇒ 问离线许可（函数在租约 deny 分支里就会被调一次，见上）；
+# ③ 租约闸门整体未启用（`ARGENT_SKIP_LEASE=1` / 注册表 lease.enforce=false 时它恒 ok）⇒ 同 ①。
+# 证据：<data>/license-gate.jsonl（每次判定一行 JSONL，0600；>5MB 自动轮转成 .1）+ .out.log 一行人读结论。
+# 说明：走 ① 时**不读许可**（现有租约逻辑一字不改，也不落许可证据）；想让闸门**每轮都读一次许可并留证**
+# （例如要独立核对"离线许可本身还有效吗"），设 `ARGENT_LICENSE_GATE_FORCE=1`。
+LICENSE_MODE="${ARGENT_LICENSE_ENFORCE:-observe}"
+case "$LICENSE_MODE" in
+  0|off|false|no) LICENSE_MODE="off" ;;
+  enforce|1|true|yes) LICENSE_MODE="enforce" ;;
+  *) LICENSE_MODE="observe" ;;   # 取值不认识 ⇒ 一律按默认（**宁可只告警，不可误停**）
+esac
+# 判定 + 取证一次（结果在 LICENSE_OUT / LICENSE_CODE；`|| true` 防 set -e 提前退出）。
+license_gate_decide() {
+  if [ "$LICENSE_MODE" = "off" ]; then
+    LICENSE_OUT="off"; LICENSE_CODE=0
+    echo "[$(date '+%F %T')] 流程 ${FLOW}：许可闸门已关闭（逃生阀已开：ARGENT_LICENSE_ENFORCE=off）⇒ 跳过许可与租约判定，照常派发" | tee -a "$LOG"
+    return 0
+  fi
+  if [ ! -f "$REPO/scripts/license-gate.mjs" ]; then
+    # 旧机器（还没 git pull 到许可闸门）：**响亮告警但不停派** —— 与默认 observe 等价
+    LICENSE_OUT="nofile"; LICENSE_CODE=0
+    echo "[$(date '+%F %T')] 流程 ${FLOW} ⚠️ 缺少 scripts/license-gate.mjs（旧版本）⇒ 许可闸门不生效，本轮照常派发" | tee -a "$LOG" >&2
+    return 0
+  fi
+  # 带能力参数（可加业务线）：`--cap` 命中才放行；业务线口径 = 许可里 verticals 为空即不限。
+  # 业务线从**注册表解析出的规范 id** 里取（P2a 起规范 id = `<业务线>.<流程>`）；取不到就不传
+  # ⇒ 只看能力，不看业务线（绝不因为"解析不出业务线"把客户机停掉）。
+  LICENSE_CAP="$CAP"; [ -n "$LICENSE_CAP" ] || LICENSE_CAP="$FLOW"
+  LICENSE_CANON="$(cfg flowId 2>/dev/null || true)"   # 规范 id：P2a 起 = `<业务线>.<流程>`
+  LICENSE_VERTICAL="${LICENSE_CANON%%.*}"
+  [ "$LICENSE_VERTICAL" != "$LICENSE_CANON" ] || LICENSE_VERTICAL=""
+  set +e
+  LICENSE_OUT="$(node "$REPO/scripts/license-gate.mjs" --flow "$FLOW" --cap "$LICENSE_CAP" \
+    ${LICENSE_VERTICAL:+--vertical "$LICENSE_VERTICAL"} --mode "$LICENSE_MODE" 2>&1)"
+  LICENSE_CODE=$?
+  set -e
+  return 0
+}
+
+# ── 能力租约闸门（批 C4，2026-09-21）：执行前查一次授权（签名本地可验，离线也拦得住）──
+# 语义：ok=放行；grace=已过期但 ≤ 宽限期 ⇒ **放行但告警**（不突然掐死生产）；deny ⇒ 停派 + 人工指南。
+# **默认不拦人**（注册表 lease.enforce=false）：服务端端点部署 + 客户端拿到租约之后才开闸，
+# 上线顺序见注册表 lease._why。
+if [ "${ARGENT_SKIP_LEASE:-0}" != "1" ]; then
+  # 自动续订（2026-09-22）：距到期 < lease.refreshAheadHours（默认 12h）才去换，避免每 5 分钟打扰服务端；
+  # 换不到**不算错误**（离线容忍：宽限期内继续跑，由下面的检查与每日提醒负责喊人）。
+  "$PY" "$REPO/scripts/lease.py" --refresh-if-needed >/dev/null 2>&1 || true
+  CAP="$("$PY" "$REPO/scripts/flow_config.py" --flow "$FLOW" --get capability 2>/dev/null || echo "")"
+  LEASE_OUT="$("$PY" "$REPO/scripts/lease.py" --check "${CAP:-$FLOW}" --flow "$FLOW" 2>&1)" && LEASE_CODE=0 || LEASE_CODE=$?
+  # 租约**可用**（含"未启用强制"这一现状）⇒ 许可闸门整段不介入（判定顺序：租约优先）。
+  [ "$LEASE_CODE" -ne 0 ] || LEASE_OK=1
+  if [ "$LEASE_CODE" -eq 3 ]; then
+    {
+      echo "[$(date '+%F %T')] 流程 ${FLOW} ⚠️ 能力租约已过期但在宽限期内 —— 本轮仍执行，请尽快续订："
+      printf '%s\n' "$LEASE_OUT" | sed 's/^/    /'
+    } | tee -a "$LOG" >&2
+    "$PY" "$REPO/scripts/flow_ledger.py" --case-id "lease__${FLOW}" --event blocked \
+      --by flow-lease --detail "能力租约过期（宽限期内，本轮放行）" >/dev/null 2>&1 || true
+  elif [ "$LEASE_CODE" -ne 0 ]; then
+    {
+      echo "[$(date '+%F %T')] 流程 ${FLOW} ⛔ 能力租约不可用（exit=${LEASE_CODE}）——本轮不派发，需人工处理："
+      printf '%s\n' "$LEASE_OUT" | sed 's/^/    /'
+    } | tee -a "$LOG" >&2
+    # 回落离线许可（2026-09-30）──────────────────────────────────
+    # 判据：**租约或离线许可任一通过即视为可用**。客户机是 BYO + 不登录问述账号 ⇒ 换不到租约，
+    # 授权凭据只有装机时落盘的离线许可；这里若不接手，那台机器会被**误停**（授权明明有效）。
+    # 租约这一侧的所有动作（日志/台账/遥测）一字不动，只在"本来要 exit 0"那一刻多问一句许可。
+    license_gate_decide   # 函数内部已处理"跑不起来"，**不要**写成 `|| true`（那会把退出码吞成 0）
+    if [ "$LICENSE_OUT" = "off" ]; then
+      # 逃生阀：不判定、**也不许**说"离线许可有效"（2026-09-30 实测踩到：off 下 LICENSE_CODE=0
+      # 会被下面当成"许可有效"，日志里出现"但离线许可有效 ⇒ 照常派发"这种**假陈述**）
+      LICENSE_OK=1
+      echo "    ⇒ 许可闸门已关闭（ARGENT_LICENSE_ENFORCE=off）⇒ 本轮照常派发" | tee -a "$LOG" >&2
+    elif [ "$LICENSE_OUT" = "nofile" ]; then
+      LICENSE_OK=1   # 旧机器（还没 git pull 到本闸门）：与默认 observe 等价（函数据已打过响亮告警）
+    else
+      echo "[$(date '+%F %T')] 流程 ${FLOW}：${LICENSE_OUT}" | tee -a "$LOG" >&2
+      # LICENSE_CODE = 许可判定（0 可用 ｜ 3 宽限 ｜ 1 不可用；**observe 下也是真实判定**）。
+      # 停不停派只看 mode：enforce + 1 ⇒ 落到下面原有分支照旧停派；其余一律放行。
+      if [ "$LICENSE_CODE" -eq 0 ]; then
+        LICENSE_OK=1
+        echo "[$(date '+%F %T')] 流程 ${FLOW}：能力租约不可用，但**离线许可有效** ⇒ 本轮照常派发" | tee -a "$LOG" >&2
+      elif [ "$LICENSE_CODE" -eq 3 ]; then
+        LICENSE_OK=1
+        echo "[$(date '+%F %T')] 流程 ${FLOW}：能力租约不可用，但**离线许可在宽限期内（已过期，请尽快续期）** ⇒ 本轮照常派发" | tee -a "$LOG" >&2
+        # 宽限放行也要留痕（与租约 grace 分支同一口径）：这是"快要停"的前兆，必须能被检索到
+        "$PY" "$REPO/scripts/flow_ledger.py" --case-id "lease__${FLOW}" --event blocked \
+          --by flow-license --detail "离线许可过期（宽限期内，本轮放行）" >/dev/null 2>&1 || true
+      elif [ "$LICENSE_MODE" = "observe" ]; then
+        # observe：许可不可用**也不停派**（这就是"观察模式优先"的全部含义）—— 只告警。
+        # ⚠️ 必须显式置 LICENSE_OK=1：不置的话会掉进下面的"停派"分支 —— 日志写着"仍派发"、
+        # 实际却写了停派台账并在租约分支 exit 0（**说一套做一套**，比不停派更难查）。
+        LICENSE_OK=1
+        echo "[$(date '+%F %T')] 流程 ${FLOW}：能力租约不可用，且离线许可不可用 —— observe 模式**本轮仍派发**（enforce 下会停派）" | tee -a "$LOG" >&2
+      fi
+    fi
+    if [ "${LICENSE_OK:-0}" != "1" ]; then
+      # 停派：谁说的算就记谁的名字 —— 许可被拒时写 flow-license（并给出 reason 与三条人工指引）；
+      # 其余（旧机器缺脚本/判定跑不起来）沿用原有 flow-lease 那条写法，一字不改。
+      if [ "$LICENSE_CODE" -eq 1 ]; then
+        LICENSE_WHY="$(printf '%s' "$LICENSE_OUT" | sed -n 's/.*（reason=\([^）]*\)）.*/\1/p')"
+        "$PY" "$REPO/scripts/flow_ledger.py" --case-id "lease__${FLOW}" --event blocked \
+          --by flow-license --detail "离线许可不可用（无租约且许可被拒${LICENSE_WHY:+：${LICENSE_WHY}}）⇒ 已停派" >/dev/null 2>&1 || true
+        {
+          echo "[$(date '+%F %T')] 流程 ${FLOW} ⛔ 授权不可用（无租约且离线许可被拒）——本轮不派发，需人工处理："
+          echo "    ⇒ 看许可：node ${REPO}/scripts/check-license.mjs --cap ${LICENSE_CAP:-$FLOW}"
+          echo "    ⇒ 换租约：${PY} ${REPO}/scripts/lease.py --refresh（需 WHYSHU_API_KEY）"
+          echo "    ⇒ 续期/换许可：联系问述科技；临时放行可设 ARGENT_LICENSE_ENFORCE=observe（只告警不停派）"
+        } >>"$LOG" 2>&1
+        echo "    详见台账 case=lease__${FLOW} 与 ${LOG}" >&2
+      else
+        "$PY" "$REPO/scripts/flow_ledger.py" --case-id "lease__${FLOW}" --event blocked \
+          --by flow-lease --detail "能力租约不可用（无租约/超出宽限/该能力未订阅）⇒ 已停派" >/dev/null 2>&1 || true
+      fi
+      "$PY" "$REPO/scripts/telemetry.py" --emit --kind engine --flow "$FLOW" \
+        --error-class needs_human --detail "能力租约不可用 exit=${LEASE_CODE}" >/dev/null 2>&1 || true
+      "$PY" "$REPO/scripts/telemetry.py" --flush >/dev/null 2>&1 || true
+      exit 0
+    fi
+  fi
+fi
+
+# ── 离线许可闸门（2026-09-30）：租约 / 离线许可**二选一** ────────────────
+# 背景：客户机是 **BYO（自带 DeepSeek Key）+ 不登录问述账号** ⇒ 没有账号 JWT，换不到租约。
+# 授权凭据是装机时落盘的**离线签名许可**（`~/.dsh/argent/license.json`）。若让租约单独说话，
+# 这台机器的四个定时器会**全部误停**（授权明明有效，只是走的是许可这条路）。
+#
+if [ "${LICENSE_OK:-0}" = "1" ]; then
+  :   # 租约不可用但**离线许可可用**（判定已在上面完成）⇒ 放行，且不重复判定/不重复留证
+elif [ "${LEASE_OK:-0}" = "1" ]; then
+  :   # 有可用租约 ⇒ 现有逻辑一字不改（许可闸门**根本不介入**，连证据都不写）
+else
+  # 租约闸门整体未启用（`ARGENT_SKIP_LEASE=1`，或注册表 lease.enforce=false 时它恒 ok）
+  # ⇒ 与"有租约"同等对待：今天的行为一字不改。
+  license_gate_decide   # 同上：`|| true` 会让 $? 恒为 0 ⇒ 许可无效被当成放行（实测踩到）
+  if [ "$LICENSE_OUT" = "off" ] || [ "$LICENSE_OUT" = "nofile" ]; then
+    :   # 文案已在函数里打过
+  else
+    echo "[$(date '+%F %T')] 流程 ${FLOW}：${LICENSE_OUT}" | tee -a "$LOG"
+  fi
+  if [ "$LICENSE_CODE" -eq 1 ]; then
+    # enforce + 许可不可用。⚠️ 这条路径在**租约 deny 分支**里已经处理过（那里才同时握着
+    # 租约与许可两个结论，台账/遥测/人工指南都写在那一处）；能走到这里只说明上面那个分支
+    # 被 `ARGENT_SKIP_LEASE=1` 整个跳过了。此时租约那一侧**本来就没在拦人**，故这里只响亮告警。
+    LICENSE_WHY="$(printf '%s' "$LICENSE_OUT" | sed -n 's/.*（reason=\([^）]*\)）.*/\1/p')"
+    echo "[$(date '+%F %T')] 流程 ${FLOW} ⛔ 离线许可不可用（${LICENSE_WHY:-reason=?}）——enforce 下本应停派；" >&2
+    echo "    本轮租约闸门被 ARGENT_SKIP_LEASE=1 跳过（那一侧本来也不拦人），故不在此停派。" >&2
+    echo "    ⇒ 看许可：node ${REPO}/scripts/check-license.mjs --cap ${LICENSE_CAP:-$FLOW}" >&2
+  elif [ "$LICENSE_CODE" -eq 3 ]; then
+    # enforce 下的宽限：放行但记台账（与租约 grace 分支同一口径）
+    "$PY" "$REPO/scripts/flow_ledger.py" --case-id "lease__${FLOW}" --event blocked \
+      --by flow-license --detail "离线许可过期（宽限期内，本轮放行）" >/dev/null 2>&1 || true
+  fi
+fi
+
+# 测试钩子（许可闸门回归用）：只跑到闸门就停，**绝不认领/派发**。
+# 为什么需要：验证"observe 不停派 / enforce 停派"要么真去认领（= 抢生产行），要么只能读源码。
+# 有了它，回归测试可以用隔离数据目录把整段闸门真跑一遍（判定顺序 + 证据落盘 + 退出码全覆盖），
+# 而认领之后的逻辑（认领/唤醒，与许可无关）不参与 —— 两边的覆盖面反而都更清楚。
+if [ "${ARGENT_LICENSE_GATE_ONLY:-0}" = "1" ]; then
+  echo "[$(date '+%F %T')] 流程 ${FLOW}：（测试钩子 ARGENT_LICENSE_GATE_ONLY=1）闸门后停止，不认领/不派发"
+  exit 0
+fi
+
+# ⚠️ 必须**同时**拿到 stdout 与退出码：`|| echo '{}'` 会把 exit=3（无票）时
+# 已经打印出来的 JSON（含"为什么没票"）覆盖成空对象 —— 2026-09-18 实测踩到。
+# 遥测（2026-09-21）：每轮**心跳一条（当天去重）+ 把队列发出去**。
+# 刻意放在"认领之前"：心跳回答的是"这台客户机今天还活着吗"，
+#   · 不能挂在票上（无票时角色根本不会起）；
+#   · 也不能挂在认领成功上（认领失败恰恰是最该被看见的情况——今天实测过：full 因飞书读表
+#     瞬时错误 1204 认领失败，下一轮自愈，但此前只有一行日志，没有任何观测面）。
+# 事件采集一律只落本地队列（见 flow_ledger 的钩子），联网只在这一处；失败不影响本轮。
+"$PY" "$REPO/scripts/telemetry.py" --heartbeat --flush >/dev/null 2>&1 || true
+
+# ── W2 配套（2026-09-24）：紫鸟**授权心跳**（每天一次，去重靠脚本内的 stamp）──────────
+# 常驻 WebDriver 模式的鉴权是"随请求带 company/username/password + applyAuth"，不依赖 GUI 登录态；
+# 但"到底多久要人工介入一次"供应商文档没写、我们也没实测过。故把这件事变成**可观测**：
+# 探针每天自愈一次（失败先试 `ziniao-cli zclaw login`，再不行才叫人），结果进日志/台账/遥测。
+# **刻意不阻塞认领**：WebDriver 授权失败时 orchestrator 会回退 bridge，未必真的跑不了票。
+# 只在 full（唯一用紫鸟的流程）跑；ARGENT_SKIP_AUTH_PROBE=1 可跳过（测试/非紫鸟环境）
+if [ -z "${DRY:-}" ] && [ "$FLOW" = "full" ] && [ "${ARGENT_SKIP_AUTH_PROBE:-0}" != "1" ] \
+   && [ -f "$REPO/scripts/ziniao-auth-probe.sh" ]; then
+  if ! bash "$REPO/scripts/ziniao-auth-probe.sh" --quiet >>"$LOG" 2>&1; then
+    _ac=$?
+    if [ "$_ac" = "2" ]; then
+      echo "[$(date '+%F %T')] ⚠️ 紫鸟授权心跳**需要人工**（详见 ${REPO}/scripts/ziniao-auth-probe.sh --force）" | tee -a "$LOG"
+    fi
+  fi
+fi
+
+CLAIM_ERR="$(mktemp -t flow-claim-err)"
+CLAIM_OUT="$(mktemp -t argent-claim-out)"
+# ── B2（2026-09-24）：定时器抖动 ────────────────────────────────────
+# launchd 的 StartInterval 是**固定节拍**（每 300s 整点起），这是最容易被平台侧识别的机器特征之一；
+# 人工操作不会每次都在同一秒发起。做法：认领前随机等 0..FLOW_TRIGGER_JITTER_SEC 秒（默认 45）。
+# 只影响"何时开始认领"，不影响并发与上限；设 0 可关闭（现场排查时用）。
+JITTER_SEC="$(cfg trigger.jitterSec 2>/dev/null || echo 45)"
+case "$JITTER_SEC" in ''|*[!0-9]*) JITTER_SEC=45 ;; esac
+if [ "${FLOW_TRIGGER_NO_JITTER:-0}" != "1" ] && [ "$JITTER_SEC" -gt 0 ]; then
+  _j=$(( RANDOM % JITTER_SEC + 1 ))
+  echo "[$(date '+%F %T')] 流程 ${FLOW}：定时器抖动 ${_j}s（B2；设 FLOW_TRIGGER_NO_JITTER=1 可关闭）" | tee -a "$LOG"
+  sleep "$_j"
+fi
+
+# ── 认领前环境预检（2026-09-23）：客户端不可用就别认领 ─────────────
+# 事故：紫鸟"进程在 / Bridge 通 / 未登录"时，认领照常把票派出去，角色跑进去才发现 ⇒
+# ① 白烧一轮；② 票的租约到期变「停滞」（当时还没有回收路径），还占着同店铺批次。
+if [ -z "$DRY" ]; then
+  PROBE_OUT=$("$PY" "$REPO/scripts/env_probe.py" --flow "$FLOW" 2>&1) && PROBE_CODE=0 || PROBE_CODE=$?
+  case "$PROBE_CODE" in
+    0) echo "[$(date '+%F %T')] 流程 ${FLOW}：${PROBE_OUT#  }" | tee -a "$LOG" ;;
+    3) : ;;   # 未声明探针 ⇒ 不需要探，静默
+    *) { echo "[$(date '+%F %T')] 流程 ${FLOW}：环境不可用，**本轮不认领**（避免票被派出去再 blocked、租约白耗）"
+         printf '%s\n' "$PROBE_OUT" | sed 's/^/    /'; } | tee -a "$LOG" >&2
+       "$PY" "$REPO/scripts/flow_ledger.py" --case-id "env-blocked__${FLOW}" --event blocked \
+         --by flow-env-probe --detail "环境预检未通过：$(printf '%s' "$PROBE_OUT" | tail -1 | cut -c1-160)" >/dev/null 2>&1 || true
+       "$PY" "$REPO/scripts/telemetry.py" --emit --kind engine --flow "$FLOW" \
+         --error-class needs_human --detail "环境预检未通过" >/dev/null 2>&1 || true
+       "$PY" "$REPO/scripts/telemetry.py" --flush >/dev/null 2>&1 || true
+       exit 0 ;;
+  esac
+fi
+
+# ── 停滞票自动回收（2026-09-23）：环境 OK 才回收，每轮有上限 ─────────
+# 停滞 = 认领了但从未派发、租约已到期（triage 原本就说"可回收重派"，但没人回收 ⇒ 票躺着）。
+STALE_OUT=$("$PY" "$REPO/scripts/flow_stale.py" --flow "$FLOW" $([ -n "$DRY" ] && echo "" || echo "--requeue") 2>&1) || true
+case "$STALE_OUT" in
+  *"无需动作"*|"") : ;;
+  *) echo "[$(date '+%F %T')] 流程 ${FLOW}：${STALE_OUT#  }" | tee -a "$LOG" ;;
+esac
+
+# ── 失败自动重试（用户口径方案 a，2026-10-13）：**先重试，再认领** ──────────────
+# 背景（真实现场）：可用性类失败（唯一分类器判 retryable）落到台账 failed→blocked 之后，
+# 触发器只报"需人工"，从此不再自动跑（两条票是人工手跑回来的）。方案 a = 这类失败自动重试。
+#
+# 三条纪律（都在这里、只在这里）：
+#   ① 顺序：**先 auto-retry，再走既有认领**；auto-retry 失败 ⛔ **不得阻断认领**
+#      （非零退出只播报 + 留日志；见下方"不阻断"注释）；
+#   ② ⛔ 本脚本**不写任何阈值/开关常量**：enabled/max/cooldownMin/perCycle 全部来自唯一读取点
+#      `scripts/flow_config.py#autoRetry`（候选筛选/分类闸门/预约闸门/次数上限/冷却/每轮上限
+#      全在 `scripts/flow-auto-retry.py` 里，走 flow_retry 的全部守卫）；
+#   ③ dry-run（本触发器 `--dry-run`）⇒ 不给 `--yes`，auto-retry 只打印"将重试谁与原因"。
+case "$FLOW" in
+  full)
+    AR_SCRIPT="$REPO/scripts/flow-auto-retry.py"
+    if [ -f "$AR_SCRIPT" ]; then
+      # `2>/dev/null || true`：未声明该段的流程/旧配置读取点会 exit 2（探针式读法，不当作错误）
+      AR_ENABLED="$(cfg autoRetry.enabled 2>/dev/null || true)"
+      if [ "$AR_ENABLED" = "true" ]; then
+        AR_ARGS=(--flow "$FLOW")
+        [ -n "$DRY" ] || AR_ARGS+=(--yes)          # 真跑才写；dry-run 轮只打印计划
+        set +e
+        AR_OUT="$("$PY" "$AR_SCRIPT" "${AR_ARGS[@]}" 2>&1)"
+        AR_CODE=$?
+        set -e
+        printf '%s\n' "$AR_OUT" | sed 's/^/    /' | tee -a "$LOG"
+        if [ "$AR_CODE" -ne 0 ]; then
+          # ⛔ **不阻断认领**：自动重试只是"把可用性类失败重置成待执行"，它没跑成不影响本轮
+          # 正常的认领/派发（下一轮还会再试；票本身保持原状，绝不会被半写）。
+          {
+            echo "[$(date '+%F %T')] 流程 ${FLOW} ⚠️ 自动重试未完成（exit=${AR_CODE}）——**不影响本轮认领**："
+            echo "    ⇒ 追因：${PY} ${AR_SCRIPT} --flow ${FLOW}（默认 dry-run，加 --yes 才写）｜台账/审计见上方输出"
+          } | tee -a "$LOG" >&2
+        fi
+      else
+        echo "[$(date '+%F %T')] 流程 ${FLOW}：自动重试未开启（flow_config autoRetry.enabled=${AR_ENABLED:-未知}）⇒ 跳过" | tee -a "$LOG"
+      fi
+    else
+      echo "[$(date '+%F %T')] 流程 ${FLOW}：缺少 scripts/flow-auto-retry.py（旧版本）⇒ 跳过自动重试（不影响认领/派发）" | tee -a "$LOG"
+    fi
+    ;;
+esac
+
+# ⚠️ 看门狗（2026-09-22 事故）：飞书 API 半开连接会让 lark-cli **永不返回**，认领锁一直被占
+# ⇒ 定时器每轮都卡在这里，整条流程静默冻结（实测文鳐/鑫中航各冻结 4h51m：日志停在那刻、无报错）。
+# 认领本身另有 --flow_claim 内部的 triage 超时；这里是**最后一道**兜底，任何原因挂住都能自愈。
+CLAIM_TIMEOUT="${ARGENT_CLAIM_TIMEOUT:-240}"   # 必须 < 定时器间隔(300s)，否则上一轮还没退下一轮就来了
+"$PY" "$REPO/scripts/flow_claim.py" --flow "$FLOW" --max "$MAX" --json $DRY >"$CLAIM_OUT" 2>"$CLAIM_ERR" &
+claim_pid=$!
+(
+  # ⚠️ 必须切断继承来的 stdin/stdout/stderr：认领**很快返回**时父进程会 kill 这个看门狗，
+  # 但它内部的 `sleep` 会变成孤儿并**继续持有调用方的管道** ⇒ 任何捕获输出的调用方
+  # （工作台工具、测试、脚本嵌套调用）都要等 sleep 结束才拿到 EOF（实测把 telemetry 测试卡死 240s）。
+  exec </dev/null >/dev/null 2>&1
+  sleep "$CLAIM_TIMEOUT"
+  if kill -0 "$claim_pid" 2>/dev/null; then
+    echo "[$(date '+%F %T')] ⚠️ 认领超时 ${CLAIM_TIMEOUT}s 未返回 ⇒ 看门狗终止（下一轮自愈）" >>"$CLAIM_ERR"
+    kill -TERM "$claim_pid" 2>/dev/null
+    sleep 5
+    kill -KILL "$claim_pid" 2>/dev/null
+  fi
+) &
+watchdog_pid=$!
+wait "$claim_pid" 2>/dev/null && CLAIM_CODE=0 || CLAIM_CODE=$?
+kill "$watchdog_pid" 2>/dev/null || true
+wait "$watchdog_pid" 2>/dev/null || true
+claimed=$(cat "$CLAIM_OUT" 2>/dev/null)
+[ -n "$claimed" ] || claimed='{}'
+if [ "$CLAIM_CODE" -ne 0 ] && [ "$CLAIM_CODE" -ne 3 ]; then
+  # 认领/分诊本身失败（缺配置、源读取失败、生成器挂了…）⇒ 响亮停住，别退化成"无票"
+  {
+    echo "[$(date '+%F %T')] 流程 ${FLOW}：认领失败（exit=${CLAIM_CODE}）——本轮不派发，需人工处理："
+    sed 's/^/    /' "$CLAIM_ERR" | head -20
+  } | tee -a "$LOG" >&2
+  "$PY" "$REPO/scripts/flow_ledger.py" --case-id "claim__${FLOW}" --event blocked \
+    --by flow-claim --detail "认领/分诊失败 exit=${CLAIM_CODE}（缺配置或源读取失败）" >/dev/null 2>&1 || true
+  # 遥测（2026-09-21）：**引擎级失败**此前只有日志（2026-09-21 实测：full 因飞书读表瞬时
+  # 错误 1204 认领失败，下一轮自愈，但工作台"需关注"里看不见）。这里补一条元数据事件：
+  # 只带流程/能力/退出码性质，不带原始错误文本（脱敏由 telemetry.py 负责）。
+  "$PY" "$REPO/scripts/telemetry.py" --emit --kind engine --flow "$FLOW" \
+    --error-class needs_agent --detail "认领/分诊失败 exit=${CLAIM_CODE}" >/dev/null 2>&1 || true
+  "$PY" "$REPO/scripts/telemetry.py" --flush >/dev/null 2>&1 || true
+  rm -f "$CLAIM_ERR" "$CLAIM_OUT"
+  exit 0
+fi
+rm -f "$CLAIM_ERR" "$CLAIM_OUT"
+tickets=$(printf '%s' "$claimed" | "$PY" -c 'import sys,json;print(",".join(json.load(sys.stdin).get("claimed",[])))' 2>/dev/null || echo "")
+ts=$(date '+%Y-%m-%d %H:%M:%S')
+if [ -z "$tickets" ]; then
+  # 2026-09-18：无票也必须说清"为什么"（源清单说明/分诊计数）——
+  # 只有"无票可认领"时，日报静默停摆一整天都没人发现。
+  REASON=$(printf '%s' "$claimed" | "$PY" -c 'import sys,json;print((json.load(sys.stdin) or {}).get("reason") or "")' 2>/dev/null || echo "")
+  echo "[$ts] 流程 ${FLOW}：无票可认领${REASON:+（${REASON}）} ⇒ 不唤起" | tee -a "$LOG"
+  exit 0
+fi
+
+if [ "$WAKE" = "off" ]; then
+  echo "[$ts] 流程 ${FLOW}：已认领 ${tickets}，但唤醒方式=off（只认领，不唤起角色）" | tee -a "$LOG"
+  exit 0
+fi
+
+# ── `--no-wake`（0.6.0 P1-B）：**只认领 + 只写台账，不唤起角色会话** ─────────────────
+# 为什么需要它：宿主**原生排程**的计划任务是**无会话**执行的（它只能跑一条固定命令），
+# 而默认行为是"认领后唤醒角色会话" ⇒ 那条静态命令必须能表达"只认领"。
+# 判据：这一步**只**替代下面的唤醒；认领/台账/暂停/预检/停滞回收/自动重试全部一字未动
+#       （`planned` 事件由上面的 `flow_claim.py` 照常写、额度/lease 语义不变）。
+# ⛔ 不在这里 spawn 会话、⛔ 不写 wake 事件；唤醒端（`flow-trigger-wake.mjs`）**根本不启动**。
+if [ -n "$NO_WAKE" ]; then
+  echo "[$ts] 流程 ${FLOW}：已认领 ${tickets} ⇒ --no-wake：只认领、不唤起角色会话（台账已记 planned；静态轮次指令由宿主排程承担）" | tee -a "$LOG"
+  exit 0
+fi
+
+echo "[$ts] 流程 ${FLOW}：已认领 ${tickets} ⇒ 唤起角色会话（本轮最多 ${MAX} 张，${MODE_LABEL}）" | tee -a "$LOG"
+# ⚠️ 唤醒失败**不许沉默**（2026-10-08 静默故障）：此前这一行直接 `node … | tee`，唤醒端 exit 2
+# 只体现在 launchd 的 last exit 上 —— 客户机上没人看，日志里也只是一行 ❌，**台账/遥测里什么都没有**。
+# 现在：显式取唤醒端的退出码（PIPESTATUS[0]，不是 tee 的），非零就响亮播报并**原样透出退出码**。
+# 台账/遥测由唤醒端自己写（它才知道失败分类与尝试过的来源）——这里不重复写，避免同一故障两条信号。
+set +e
+node "$REPO/scripts/flow-trigger-wake.mjs" --flow "$FLOW" --max "$MAX" --tickets "$tickets" $DRY 2>&1 | tee -a "$LOG"
+WAKE_CODE=${PIPESTATUS[0]}
+set -e
+if [ "$WAKE_CODE" -ne 0 ]; then
+  {
+    echo "[$(date '+%F %T')] 流程 ${FLOW} ❌ 唤醒失败（exit=${WAKE_CODE}）——**本轮角色会话没起来，已认领的票没人跑**"
+    echo "    ⇒ 追因：台账 case=wake__${FLOW}（event=blocked，by=flow-wake）｜日志 $LOG"
+    echo "    ⇒ 鉴权来源链的修法见唤醒端上方的 ❌ 文案（来源优先级 / 如何把 dsh-web 日志挪出 /tmp）"
+  } | tee -a "$LOG" >&2
+  exit "$WAKE_CODE"
+fi