@y9931666/dsh-plugin-crossfire 0.1.3 → 0.2.0

package/lib/types/redteam.d.ts

@@ -0,0 +1,123 @@
+/**
+ * 红队专家的 persona、第一条任务消息与工具白名单。
+ *
+ * 这是整个插件**产品语义最敏感**的文件：针锋之所以成立，全靠这里把"只挑错、
+ * 不动手、不迎合"钉成硬约束。任何一条被软化，红队就会退化成又一个"给建议的
+ * 助手"，而"表态由人做"的整条边界也随之失效。
+ *
+ * @module dsh-plugin-crossfire/redteam
+ */
+import type { Dimension } from './types.ts';
+/**
+ * 红队专家允许使用的工具（全局工具白名单，只有列出的这些保持可见）。
+ *
+ * 只有 5 个：`read`、`read_image`、`glob`、`grep` 四个只读检索工具，
+ * 外加唯一一个写入口 `crossfire_report`（写的是评审自己的 transcript，
+ * 不是工作区）。
+ *
+ * **刻意不给** `write` / `edit` / `bash` / `pwsh` / `web_search` / `web_fetch` /
+ * `todo_write` 等。理由（这是本插件最本质的安全边界，不是配置偷懒）：
+ * - **只挑错、不动工作区**：评审一旦能改文件，"提缺陷"就会滑向"顺手修好"，
+ *   用户拿到的就不再是待裁决的缺陷清单，而是一份未经同意的改动。红队与
+ *   "智能体团队"成员最本质的区别就在这里：团队成员有写权限、以交付为目标；
+ *   红队没有写权限、以推翻为目标。
+ * - **不联网**：外部检索会把评审从"针对眼前这份成果"漂移成"泛泛的行业意见"，
+ *   也会引入不可复现的外部依据；针锋要的是针对具体位置的论证与复现。
+ * - **不写待办**：红队没有执行阶段，`todo_write` 只会让它开始规划"怎么修"，
+ *   直接违反"不产出方案"。
+ *
+ * 想放开任何一项之前，先回答：放开的那个工具能让专家**证明**一个缺陷，还是
+ * 只能让它**动手**？只有前者可以进这张表。
+ */
+export declare const EXPERT_TOOL_ALLOW: readonly string[];
+/**
+ * 红队专家禁止使用的工具（黑名单）。
+ *
+ * 这里列的是全部**主持人专属**的 `crossfire_*` 工具：启动前确认、开评审、发起
+ * 攻击、收集缺陷、定稿、复审、导出、写入立场。这些都是主持人的编排权，专家一旦
+ * 能调 `crossfire_plan_review`/`crossfire_collect`/`crossfire_finish`，就等于自己
+ * 给自己结案，"表态由人做"当场失效。
+ *
+ * 为什么白名单之外还要再来一份黑名单：两者是**与**关系（必须同时在白名单里
+ * 且不在黑名单里才可见）。将来有人为了加一个只读工具而改动
+ * {@link EXPERT_TOOL_ALLOW} 时，不会顺带把编排权放开 —— 黑名单这一层与被修改
+ * 的那一行无关，能拦住"删一项白名单等于多一份权限"的误操作。
+ *
+ * **注意**：`crossfire_report` 是**专家自己的**发言工具，绝不能列进本表。
+ */
+export declare const EXPERT_TOOL_DENY: readonly string[];
+/** 专家的工具限制（宿主 subagent/tool 配置接受的形状）。 */
+export interface ToolRestriction {
+    /** 保持可见的全局工具。 */
+    readonly allow?: readonly string[];
+    /** 强制不可见的全局工具（与 allow 是"与"关系）。 */
+    readonly deny?: readonly string[];
+}
+/**
+ * 专家的工具限制。
+ *
+ * 每次返回**新的数组实例**，且以 `readonly` 声明：宿主侧可能在拿到后排序或增删，
+ * 共用模块级数组会让一次改动污染后续所有专家。黑名单恒为全量主持人工具，
+ * 与白名单内容无关 —— 它是与被修改的那一行**无关**的第二道闸。
+ */
+export declare function expertToolRestriction(): ToolRestriction;
+/** 生成专家 persona 与 welcome 所需的全部输入。 */
+export interface ExpertPersonaInput {
+    /** 评审 id。 */
+    reviewId: string;
+    /** 这位专家负责的维度。 */
+    dimension: Dimension;
+    /** 待验证对象的标题。 */
+    title: string;
+    /** 待验证对象的正文。 */
+    subject: string;
+    /** 用户立场与理由（可能为空串）。 */
+    stance: string;
+    /** 本次采用的全部维度（让专家知道别人负责什么，避免重复）。 */
+    dimensions: readonly Dimension[];
+    /** 每轮最多提几条缺陷（0 = 不限制）。 */
+    maxOpinions: number;
+    /**
+     * 用户为这位专家写的**补充角色定位**（来自角色预设 / 阵容成员；可空）。
+     *
+     * 它进 persona 的唯一位置是「你的角色定位」那一段，而该段落带着一段**不可覆盖**
+     * 的声明（见 {@link expertPersona}）。这条边界不是形式主义：这一段文本完全由用户
+     * 书写，如果它能覆盖硬约束，那么"专家只读"这条安全边界就变成了一个可配置项 ——
+     * 用户写一句"你可以修改文件"，白名单就不再是最后一道闸。
+     */
+    role?: string;
+    /**
+     * 用户在启动前确认卡里为这位专家写的**补充提示词**（可空）。
+     *
+     * 它和 {@link role} 进 persona 的同一类段落（「评审者补充提示词」），带着同一套
+     * 不可覆盖声明：只能收窄专长，不能放宽只读、不能让它产出方案、不能让它迎合用户。
+     * 空/纯空白时 persona 与从前**逐字**相同。
+     */
+    prompt?: string;
+}
+/**
+ * 报告信封的格式说明（persona 与 welcome 共用同一份文本）。
+ *
+ * 为什么格式必须固定到这个程度：缺陷要能被**逐条裁决**，而裁决面是按条渲染的。
+ * 本地兜底切分器（模型没按格式走时的最后一道网）认的就是 `观点 N（指向 …，
+ * 维度Y）：` 这个行首标记。标记缺失时整段发言只能作为一条缺陷收进列表，用户
+ * 就得面对一团散文去点"认定/驳回" —— 针锋存在的意义当场归零。
+ *
+ * @param maxOpinions - 最多几条（0 = 不限制），写进语气会随上限收紧。
+ */
+export declare function reportEnvelopeSpec(maxOpinions: number): string;
+/**
+ * 生成红队专家的 persona（系统级人设）。
+ *
+ * 九条硬约束逐条落在文本里（身份 / 单维度 / 不产出方案 / 不要客套 / 一条一缺陷 /
+ * 证据分级 / 立场对攻 / 工具边界 / 不许迎合）。这些约束的共同目标只有一个：
+ * 让产出的东西**可以被判定**，而不是听起来很有道理。
+ */
+export declare function expertPersona(input: ExpertPersonaInput): string;
+/**
+ * 生成发给这位专家的第一条任务消息。
+ *
+ * persona 已经写清了全部约束（不要重复粘贴，那既费 token 又稀释重点），这条
+ * 消息只做三件事：**分配维度**、**交出材料与立场**、**钉死格式与结束方式**。
+ */
+export declare function expertWelcome(input: ExpertPersonaInput): string;

package/lib/types/review.d.ts

@@ -0,0 +1,152 @@
+/**
+ * 评审记录的读写、净化与派生查询。
+ *
+ * 目录布局（见 state.ts）：`<stateRoot>/crossfire/<reviewId>/`
+ *   - `review.json`       — 主记录（本模块负责）
+ *   - `transcript.jsonl`  — 专家发言（append-only）
+ *
+ * ## 设计要点
+ *
+ * 1. **schemaVersion 缺失视为 1**（与圆桌同款判定）。crossfire 的目录是独立的，
+ *    不可能读到圆桌的记录，所以这里刻意不背它的 v1→v2 迁移包袱 —— 但保留"版本
+ *    常量 + 迁移函数"的写法，因为下一次改形状时它仍然是对的。
+ * 2. **读失败绝不抛给调用方**：坏 JSON / 缺字段 / 类型不符一律降级为默认值，
+ *    由 `normalizeRecord` 收敛出一份**永远可用**的记录。界面宁可由空缺陷列表
+ *    组成，也不能因为一条脏数据整张卡片消失。
+ * 3. **落库的 dimension 必须是本次采用维度之一**（见 dimensions.ts 的理由）。
+ * 4. 所有写操作都走**同一把进程内锁**（`reviewLockKey`），与 state.ts 的原子写
+ *    叠加，保证同一场评审不会出现两个写者交错。
+ *
+ * @module dsh-plugin-crossfire/review
+ */
+import type { CrossfireRecord, Defect, DefectStatus, ExpertUtterance, Intensity, RecheckVerdict, Subject } from './types.ts';
+/** 当前 schema 版本。 */
+export declare const CURRENT_SCHEMA_VERSION: 1;
+/** `<reviewDir>/review.json`。 */
+export declare function reviewFile(stateRoot: string, reviewId: string): string;
+/** `<reviewDir>/transcript.jsonl`。 */
+export declare function transcriptFile(stateRoot: string, reviewId: string): string;
+/** `<reviewDir>/user-actions.jsonl`。 */
+export declare function userActionsFile(stateRoot: string, reviewId: string): string;
+/** `<reviewDir>/export.md`。 */
+export declare function exportFile(stateRoot: string, reviewId: string): string;
+/**
+ * `<reviewDir>/export.txt` —— 同一份内容的**人读副本**（UTF-8 带 BOM）。
+ *
+ * 为什么导出两份：`.md` 交给 Markdown 渲染器，但 Windows 上双击 `.md` 常被别的程序
+ * 抢走，加上无 BOM 的 UTF-8 会被记事本误判成 ANSI —— 于是"导出物打不开"。`.txt` 带
+ * BOM 后双击直接进记事本，中文也不乱码（用户反馈的正是这一点）。
+ */
+export declare function exportTextFile(stateRoot: string, reviewId: string): string;
+/** `<stateRoot>/crossfire`（诊断用）。 */
+export declare function namespaceRoot(stateRoot: string): string;
+/**
+ * 把任意一份读出来的记录收敛成当前 schema 的**完整可用**记录。
+ *
+ * @param raw - 磁盘上读到的原始值（可能来自旧版本、可能被人手改坏）。
+ * @param reviewId - 目录名（权威 id：即使文件里写的 id 不一致也以目录为准）。
+ */
+export declare function normalizeRecord(raw: unknown, reviewId: string): CrossfireRecord;
+/** `crossfire_open` 的输入。 */
+export interface OpenReviewInput {
+    reviewId: string;
+    title: string;
+    content: string;
+    source: Subject['source'];
+    sourceRef?: string;
+    /** 本次采用的维度（已由 dimensions.resolveDimensions 归一化）。 */
+    dimensions: string[];
+    intensity: Intensity;
+    /** 用户手写的立场与理由（可空）。 */
+    stanceText?: string;
+    maxRounds: number;
+    maxTokens: number;
+    /** 从圆桌会议移交时记录来源会议 id（v0.1.0 只写不读）。 */
+    sourceMeeting?: string;
+    /** 开启这场评审的会话 id（用于校验调用者，见 types.ts）。 */
+    ownerSessionId?: string;
+    now?: number;
+}
+/** 按输入构造一份全新的记录（status 恒为 `draft`）。 */
+export declare function newRecord(input: OpenReviewInput): CrossfireRecord;
+/** 读一场评审；缺失或损坏都返回 undefined。 */
+export declare function readRecord(stateRoot: string, reviewId: string): Promise<CrossfireRecord | undefined>;
+/** 写一场评审（自动刷新 updatedAt）。 */
+export declare function writeRecord(stateRoot: string, record: CrossfireRecord): Promise<void>;
+/** 读发言记录（坏行计数一并返回，不许静默吞掉）。 */
+export declare function readTranscriptReport(stateRoot: string, reviewId: string): Promise<{
+    items: ExpertUtterance[];
+    malformed: number;
+}>;
+/** 读发言记录。 */
+export declare function readTranscript(stateRoot: string, reviewId: string): Promise<ExpertUtterance[]>;
+/** 追加一条专家发言。 */
+export declare function appendTranscript(stateRoot: string, reviewId: string, utterance: ExpertUtterance): Promise<void>;
+/**
+ * 在锁内读-改-写一场评审。
+ *
+ * @returns 变更函数的返回值；记录不存在时返回 undefined。
+ */
+export declare function mutateRecord<T>(stateRoot: string, reviewId: string, mutate: (record: CrossfireRecord) => T | undefined): Promise<T | undefined>;
+/**
+ * 设置一条缺陷的三态（可互切）。
+ *
+ * 驳回必须给理由 —— 这条约束同时是"用户在想什么"这一信息的唯一来源，
+ * 因此它在数据层就被强制，而不是只靠界面拦。
+ *
+ * @returns true = 确有变更；false = 记录/缺陷不存在，或状态本来就相同。
+ */
+export declare function setDefectStatus(stateRoot: string, reviewId: string, defectId: string, status: DefectStatus, rejectReason?: string): Promise<boolean>;
+/** 设置一条核对项的复审核对结论。 */
+export declare function setRecheckVerdict(stateRoot: string, reviewId: string, defectId: string, verdict: RecheckVerdict, note?: string): Promise<boolean>;
+/** 三态计数（卡片顶部影响条的数据源）。 */
+export interface DefectCounts {
+    total: number;
+    pending: number;
+    endorsed: number;
+    rejected: number;
+    /** 打穿用户立场的条数。 */
+    strikes: number;
+}
+/** 统计三态。 */
+export declare function countDefects(record: CrossfireRecord): DefectCounts;
+/** 已认定缺陷清单（定稿时固化的 known-flaws）。 */
+export declare function knownFlaws(record: CrossfireRecord): Defect[];
+/**
+ * 两条缺陷是否应视为"同一条"。
+ *
+ * 两档判据（刻意不同，因为代价不对称）：
+ * - **完全相同**（规范化后）→ 同一条，**哪怕它很短**。"缺日志"就是"缺日志"，
+ *   用户驳回过它，就不该第二次弹出来。
+ * - **部分包含** → 只有较短一方 ≥ 8 个字符时才敢判。否则"缺日志"会把
+ *   "缺日志且没有轮转机制" 这类同族但不同的缺陷一起吞掉 —— 漏报一条真缺陷，
+ *   比多弹一条重复项严重得多。
+ */
+export declare function isSameDefect(a: string, b: string): boolean;
+/** 历史上被用户**驳回**过的全部缺陷内容（用于"不再重复弹同一观点"）。 */
+export declare function rejectedContents(record: CrossfireRecord): string[];
+/** 上一轮（history 的最后一轮）中已被用户**认定**的缺陷。 */
+export declare function lastEndorsedDefects(record: CrossfireRecord): Defect[];
+/**
+ * 复审开轮：把上一轮已认定的缺陷变成本轮的"修复核对项"。
+ *
+ * 语义（R7）：复审**只核对旧账**，不许开新战线。所以本轮的缺陷集合不是清的，
+ * 而是被这些核对项替换。
+ *
+ * **刻意不预置 `verdict`**：开轮时机器不替人下结论。此前这里写死
+ * `verdict: 'unfixed'`（"未被证明修复之前都算没修"），结果是复审轮一打开，
+ * 三态按钮里"未修复"就已经是高亮选中态，而备注框旁的保存按钮会把这个机器默认值
+ * 当作人的表态落库（红队评审抓出的真实缺陷）。现在缺席即"尚未判断"，由人来选。
+ */
+export declare function buildRecheckItems(record: CrossfireRecord): Defect[];
+/**
+ * 过滤掉"上一轮已被驳回"的候选缺陷。
+ *
+ * 这是 D8 允许的唯一历史用法：提升信噪比。**绝不**把用户偏好告诉红队 ——
+ * 模型一旦知道用户历史上总驳回某类观点，就会干脆不提那类问题，系统性削弱
+ * 对抗强度，与这个插件存在的理由正好相反。
+ */
+export declare function dropRejectedDuplicates(candidates: Defect[], pastRejected: readonly string[]): {
+    kept: Defect[];
+    dropped: number;
+};

package/lib/types/rpc.d.ts

@@ -0,0 +1,176 @@
+/**
+ * Crossfire 的浏览器面：一个 `dispatch`（RPC）+ 一个快照收集器（GET）。
+ *
+ * ## 两条传输，同一份 dispatch
+ *
+ * 1. 插件自有的 web POST 路由 `/plugins/dsh-plugin-crossfire/rpc`（首选：任何带 web
+ *    服务的 profile 都可达）；
+ * 2. 宿主通用 connection 通道（兜底，经 `ctx.get` 懒取）。
+ *
+ * ## O1：卡片按钮**直推** host 状态机
+ *
+ * 这是 crossfire 与圆桌会议最重要的编排差异。圆桌的 UI 只能写"用户行为队列"，
+ * 等主持人下一轮执行；针锋的按钮直接调用这里的 `crossfire/review.advance`，
+ * 因此用户点"开审"不必等一整个模型回合。
+ *
+ * 代价是：**RPC 路径没有 `exec.agent`**。凡是需要父 Agent 的动作（拉起子代理）
+ * 就得先按会话 id 把 Agent 找回来（`ctx.agents.get`）；找不到（会话已冷）时如实
+ * 失败并让用户改用对话触发，而不是假装成功。
+ *
+ * ## 一条不可越界的规则
+ *
+ * `crossfire/defect.setStatus` **只允许人从界面调用**。它没有对应的 agent 工具，
+ * 也永远不该有：表态权是这个插件存在的理由本身。
+ *
+ * @module dsh-plugin-crossfire/rpc
+ */
+import type { Context } from '@deepseek-ai/cordis';
+import { type PreferenceStore } from './preferences.ts';
+import { exportFile } from './review.ts';
+import type { ToolsConfig } from './tools.ts';
+import { type CrossfireRecord, type Intensity } from './types.ts';
+/** 插件自有 RPC 路由（浏览器半体优先走这条）。 */
+export declare const RPC_ROUTE = "/plugins/dsh-plugin-crossfire/rpc";
+/** 插件自有快照路由（卡片每秒轮询它）。 */
+export declare const STATE_ROUTE = "/plugins/dsh-plugin-crossfire/state";
+/** 运行时依赖：偏好存储 + 工具/引擎共用的配置（单一来源）。 */
+export interface CrossfireRuntime {
+    prefs: PreferenceStore;
+    tools: ToolsConfig;
+}
+/** RPC 失败包封。 */
+export interface RpcFailure {
+    ok: false;
+    error: {
+        code: string;
+        message: string;
+    };
+}
+/** RPC 结果包封（成功 / 失败二选一）。 */
+export type RpcResult = {
+    ok: true;
+    value: unknown;
+} | RpcFailure;
+/** dispatch 的类型：端点名 + 载荷 → 结果包封。 */
+export type RpcDispatch = (endpoint: string, payload: unknown) => Promise<RpcResult>;
+/** 卡片所需的评审快照（刻意不含 workspace 绝对路径之外的任何隐私内容）。 */
+export interface ReviewSnapshot {
+    reviewId: string;
+    status: CrossfireRecord['status'];
+    subjectTitle: string;
+    subjectContent: string;
+    subjectSource: string;
+    stanceText: string;
+    stanceOrigin: string;
+    dimensions: string[];
+    intensity: Intensity;
+    intensityLabel: string;
+    reviewPass: number;
+    maxReviewPass: number;
+    experts: {
+        key: string;
+        dimension: string;
+        status: string;
+        defectCount: number;
+        reportCount?: number;
+        /** 实际模型路由；未指定（继承主持人）时两个字段都不出现。 */
+        provider?: string;
+        model?: string;
+        /** 用户补充的角色定位（专家列表里可编辑）。 */
+        role?: string;
+        note?: string;
+    }[];
+    defects: {
+        id: string;
+        expertKey: string;
+        dimension: string;
+        dimensionFallback?: boolean;
+        content: string;
+        quote?: string;
+        evidence?: {
+            kind: 'repro' | 'argument';
+            text: string;
+        };
+        strikesStance?: boolean;
+        status: 'pending' | 'endorsed' | 'rejected';
+        rejectReason?: string;
+        /** 复审核对结论；`verdict` 缺席 = 尚未判断（**不是**"未修复"）。 */
+        recheck?: {
+            pass: number;
+            verdict?: string;
+            note?: string;
+        };
+    }[];
+    counts: {
+        total: number;
+        pending: number;
+        endorsed: number;
+        rejected: number;
+        strikes: number;
+    };
+    budget: {
+        maxRounds: number;
+        maxTokens: number;
+        usedRounds: number;
+        usedTokens: number;
+    };
+    startedAt: number;
+    updatedAt: number;
+    /** 这份评审所在的状态根（客户端回传后可免去再次遍历工作区）。 */
+    stateRoot: string;
+}
+/** 把记录收敛成卡片快照。 */
+export declare function snapshotOf(record: CrossfireRecord, stateRoot: string): ReviewSnapshot;
+/** 身份判定的结果。 */
+export type ActorVerdict = {
+    ok: true;
+    bound: boolean;
+} | {
+    ok: false;
+    code: 'no-actor' | 'foreign-owner';
+    message: string;
+};
+/**
+ * 判定"谁在操作这一场评审"。
+ *
+ * ## 为什么必须是严格的（这里出过一个真实的安全缺陷）
+ *
+ * 会话 id 在这个插件里**同时是凭据和权限**：`load()` 用它做归属校验，
+ * `review.advance` 的 attack 分支又用它换回 live Agent 去拉起专家。原先的写法把
+ * 空会话当成"跳过校验"，于是当客户端没把 session 送进来时：
+ *
+ * - 归属校验整条短路（任何会话都能操作任何记录）；
+ * - 而 attack 又会退回用**记录里的 owner** 换 Agent，照样把专家拉起来。
+ *
+ * 结果是一条能真正干活的越权通道，而且它的成功响应与合法调用完全同形 —— 验收时
+ * 根本分不出来。红队在验收流程里抓到了这一点。
+ *
+ * 所以现在的规则是：**必须声称一个会话**。规则本身是纯函数，因此可以被测试直接
+ * 钉住（`test/rpc-identity.test.mjs`），而不是只靠人工点一次按钮。
+ *
+ * @param ownerSessionId - 记录里的 owner（早期数据可能没有）。
+ * @param actorSession - 调用方声称的会话 id（缺失时为 `''`）。
+ */
+export declare function judgeActor(ownerSessionId: string | undefined, actorSession: string): ActorVerdict;
+/** 收集全部评审快照（卡片轮询的数据源）。 */
+export declare function collectSnapshots(ctx: Context, stateDir: string, session: string): Promise<{
+    reviews: ReviewSnapshot[];
+    note?: string;
+}>;
+/** 注册 RPC 端点，返回可复用的 `dispatch`。 */
+export declare function registerRpc(ctx: Context, runtime: CrossfireRuntime): RpcDispatch;
+/**
+ * 从界面直接开一场评审。
+ *
+ * 与 `crossfire_open` 工具同源，区别只是工作区来自会话 id 而不是 `exec.agent`。
+ */
+export declare function openReviewFromRpc(ctx: Context, runtime: CrossfireRuntime, input: {
+    session: string;
+    title: string;
+    content: string;
+    dimensions?: unknown;
+    intensity?: unknown;
+    stance?: string;
+}): Promise<RpcResult>;
+/** 导出路径（批 4 的下载按钮用）。 */
+export { exportFile };

package/lib/types/split.d.ts

@@ -0,0 +1,156 @@
+/**
+ * 观点拆分：把红队专家的一条发言拆成 1~3 条独立缺陷，用户即可对单条缺陷
+ * 「认定/驳回」。
+ *
+ * 三道防线（沿用圆桌里被真实数据验证过的设计，**不要改**）：
+ *  ① JSON schema 严格约束输出（tools 参数 + temperature 0）
+ *  ② 任何解析失败 → 返回 null，由调用方整条兜底（seq=0）
+ *  ③ quote 必须是发言原文的子串（规范化后 indexOf），否则丢弃该 quote
+ *
+ * crossfire 相对圆桌的三处改动：
+ *  - **维度归一化**：拆分结果里的 dimension 不再直接采信，一律过
+ *    `resolveDimension`，保证落库的 dimension 一定 ∈ `allowed`；
+ *  - **打穿标记**：每条缺陷可带 `strikesStance`（是否打穿了用户立场里的某条理由）；
+ *  - 工具名与 system 提示词按 crossfire 改写。
+ *
+ * @module dsh-plugin-crossfire/split
+ */
+/** 一条拆分结果（= 一条待裁决的缺陷）。 */
+export interface SplitLine {
+    content: string;
+    quote?: string;
+    /** 归一化后的维度，只要 `allowed` 非空就一定 ∈ allowed。 */
+    dimension: string;
+    /** true = 模型给的原始维度越界/缺失，落库时被归一化过。 */
+    dimensionFallback?: boolean;
+    /** 是否打穿了用户在「立场」里给出的某条理由。 */
+    strikesStance?: boolean;
+    /** 证据分级（C1）：代码/bug 类 = repro（可复现步骤）；设计类 = argument（论证链）。 */
+    evidence?: {
+        kind: 'repro' | 'argument';
+        text: string;
+    };
+}
+/** 拆分调用的模型路由配置（默认 deepseek-official/deepseek-v4-flash，实测可用）。 */
+export interface ReviewSplitConfig {
+    provider: string;
+    model: string;
+    /** 每条发言最多拆几条缺陷（默认 3）。 */
+    maxOpinions: number;
+    /**
+     * 拆分阶段的 LLM 并发上限（默认 4；`1` = 串行）。
+     *
+     * 它是"收集"这一步的墙钟时间决定项：一条发言一次往返，此前是串行 `await`，一场
+     * 21 条发言的评审就是 21 次串行往返（红队评审抓出的性能缺陷）。上限刻意不高 ——
+     * 这些请求打同一个 provider，拉满只会撞速率限制反而更慢。
+     *
+     * 放在这里而不是插件 Config：两个调用点（工具与 RPC 直推）读的都是同一个
+     * `reviewSplit`，因此两边的并发行为天然一致，不会分叉。
+     */
+    llmConcurrency?: number;
+}
+/** 最小化 LLM 服务形状（与 ctx.llm.stream 结构兼容）。 */
+export interface SplitLlmLike {
+    stream(options: {
+        provider: string;
+        model: string;
+        messages: {
+            id: string;
+            role: 'user';
+            content: {
+                type: 'text';
+                text: string;
+            }[];
+            source: {
+                kind: 'user';
+            };
+        }[];
+        system?: string;
+        tools?: {
+            name: string;
+            description: string;
+            parameters: Record<string, unknown>;
+        }[];
+        temperature?: number;
+        maxTokens?: number;
+        signal?: AbortSignal;
+    }): AsyncIterable<unknown>;
+}
+/** 拆分工具的 JSON schema（防线①）。导出以便测试断言 schema 形状。 */
+export declare const SPLIT_TOOL: {
+    readonly name: "split_crossfire_defect";
+    readonly description: "把一条红队专家发言拆成 1~3 条独立缺陷（每条缺陷只含一个问题）。";
+    readonly parameters: {
+        readonly type: "object";
+        readonly additionalProperties: false;
+        readonly properties: {
+            readonly defects: {
+                readonly type: "array";
+                readonly minItems: 1;
+                readonly maxItems: 3;
+                readonly items: {
+                    readonly type: "object";
+                    readonly additionalProperties: false;
+                    readonly properties: {
+                        readonly content: {
+                            readonly type: "string";
+                            readonly description: "单条缺陷的完整表述。";
+                        };
+                        readonly quote: {
+                            readonly type: "string";
+                            readonly description: "发言原文中与该缺陷对应的子串（可选，必须逐字来自发言原文）。";
+                        };
+                        readonly dimension: {
+                            readonly type: "string";
+                            readonly description: "缺陷所属维度。必须逐字取自给定清单 allowed 中的一项，不得自创。";
+                        };
+                        readonly strikes_stance: {
+                            readonly type: "boolean";
+                            readonly description: "该缺陷是否打穿了用户在「立场」里给出的某条理由。";
+                        };
+                        readonly evidence: {
+                            readonly type: "object";
+                            readonly description: "证据分级（C1）：代码/bug 类缺陷填 repro（附可复现步骤 1. 2. 3.）；设计类缺陷填 argument（附论证链，不编造伪复现步骤）。无法给出证据时省略该字段。";
+                            readonly additionalProperties: false;
+                            readonly properties: {
+                                readonly kind: {
+                                    readonly type: "string";
+                                    readonly enum: readonly ["repro", "argument"];
+                                    readonly description: "repro=可复现步骤（代码/bug 类）；argument=论证链（设计类）。";
+                                };
+                                readonly text: {
+                                    readonly type: "string";
+                                    readonly description: "证据正文：复现步骤（编号 1. 2. 3.）或论证链，≤600 字符。";
+                                };
+                            };
+                            readonly required: readonly ["kind", "text"];
+                        };
+                    };
+                    readonly required: readonly ["content", "dimension"];
+                };
+            };
+        };
+        readonly required: readonly ["defects"];
+    };
+};
+/**
+ * 判定这段文字里专家自己写的「针对立场」结论是不是**打穿**。
+ *
+ * ## 为什么不能只写 `includes('打穿')`（这是真实存在的坑）
+ *
+ * `未打穿` 的后两个字就是 `打穿`，纯子串匹配会把"没打穿"读成"打穿了"，方向整个反过来。
+ * 所以这里匹配有界的标记（`针对立场…：打穿|未打穿`）并**显式取反**：只有 `未` 缺席时
+ * 才算打穿；标记压根不存在（含 `undefined`）也一律算没打穿。
+ *
+ * 之所以要有这个本地判定：专家的信封格式是**固定**的，报告正文里本来就写着结论。
+ * 模型拆分失败退到本地启发式（{@link splitByMarkers}）时不该把这个信号丢掉 ——
+ * 那正是"打穿立场"标签永远显示不出来的原因之一。
+ */
+export declare function stanceMarkerStrikes(text: string | undefined): boolean;
+export declare function splitByMarkers(content: string, allowed: readonly string[]): SplitLine[] | null;
+/**
+ * 拆分一条发言为若干独立缺陷；任何失败返回 null（调用方整条兜底）。
+ * quote 与发言原文做规范化子串校验（防线③），不匹配即丢弃。
+ * dimension 一律过 `resolveDimension`（落库值必须 ∈ allowed）。
+ */
+export declare function splitUtterance(llm: SplitLlmLike, config: ReviewSplitConfig, expertKey: string, content: string, allowed: readonly string[], stance: string): Promise<SplitLine[] | null>;