berry-agent 0.1.0-alpha.1

package/dist/host/credentials-cmd.js

@@ -0,0 +1,42 @@
+/**
+ * host/credentials-cmd — `credentials` 子命令族 CLI 入口（03 §10.9 人面命令
+ * CLI 半边；c-5 落码批）。
+ *
+ * 零装配直开库（sessions 读腿同形）：不开运行时、不占单活跃机标记、不装载
+ * 插件——短命凭证管理动词不是第二宿主实例。开库走 Persistence 直开 + 宿主
+ * 迁移链尾单源（HOST_MIGRATION_TAIL——链必须与运行时全同，短链开真库会被
+ * 同库拒降级运行）。动词语义/值域执法/结算文本单源在 credentials/commands
+ * （TUI /credentials 同源——双面一底座）。
+ *
+ * 退出码：0 成功（含空清单——诚实空非失败）/ 1 执行失败（名缺席、namespace
+ * 坏形——结算文本已含原因，不另打行）。用法错归解析层（exit 2）。
+ *
+ * 审计注记：CLI 短命进程不接 credentials/changed seam（宿主运行时形态的
+ * 发射位在 assembly deps——U3 批 U3-5 已接线 audit_events）。
+ */
+import { stdout as processStdout, stderr as processStderr } from 'node:process';
+import { Persistence } from '../persist/index.js';
+import { runCredentialsCommand } from '../credentials/index.js';
+import { HOST_MIGRATION_TAIL } from './runtime.js';
+/** credentials 子命令族主入口。返回进程退出码（0/1；用法错归解析层退 2） */
+export async function runCredentialsEntry(sub, options) {
+    const out = options.writeOut ?? ((text) => processStdout.write(`${text}\n`));
+    const err = options.writeErr ?? ((text) => processStderr.write(`${text}\n`));
+    // 开库（迁移链尾单源；warn 走错误面——毒丸/撕裂尾告警直达人面）
+    const persistence = Persistence.open({
+        ...(options.dbPath !== undefined ? { dbPath: options.dbPath } : {}),
+        ...(options.dataDir !== undefined ? { dataDir: options.dataDir } : {}),
+        migrations: HOST_MIGRATION_TAIL,
+        warn: (message) => err(`warn：${message}`),
+    });
+    try {
+        // persist Store 结构可赋 CredentialsCommandStore 四法投影（词面独立律
+        // compat 面——commands.test.ts 对拍互证；直传真身零适配层）
+        const result = runCredentialsCommand(sub, { store: persistence.store });
+        out(result.text);
+        return result.ok ? 0 : 1;
+    }
+    finally {
+        await persistence.close();
+    }
+}

package/dist/host/disclosure.js

@@ -0,0 +1,30 @@
+/** 五件全缺席 → null（无披露段——注入面零强求） */
+export function renderEnvironmentDisclosure(inputs) {
+    const lines = [];
+    if (inputs.platform !== undefined)
+        lines.push(`- 平台: ${inputs.platform}`);
+    if (inputs.cwd !== undefined)
+        lines.push(`- 工作目录: ${inputs.cwd}`);
+    if (inputs.date !== undefined)
+        lines.push(`- 日期: ${inputs.date}`);
+    if (inputs.gitSummary != null && inputs.gitSummary.length > 0)
+        lines.push(`- git: ${inputs.gitSummary}`);
+    if (inputs.plugins != null) {
+        // 插件计数行——04 §environment 披露段钉形「插件 N 个（启用 M · 失败 F）」
+        lines.push(`- 插件: ${inputs.plugins.total} 个（启用 ${inputs.plugins.enabled} · 失败 ${inputs.plugins.failed}）`);
+    }
+    if (lines.length === 0)
+        return null;
+    return ['<environment>', ...lines, '</environment>'].join('\n');
+}
+/** 平台/OS 行采集（darwin 27.0.0 形——process.platform + os.release） */
+export function collectPlatform(osRelease, platform) {
+    return `${platform} ${osRelease()}`;
+}
+/** 日期行采集（本地时区 YYYY-MM-DD——每请求重算自然跨日刷新） */
+export function collectDate(now) {
+    const d = now();
+    const month = `${d.getMonth() + 1}`.padStart(2, '0');
+    const day = `${d.getDate()}`.padStart(2, '0');
+    return `${d.getFullYear()}-${month}-${day}`;
+}

package/dist/host/dispatch.js

@@ -0,0 +1,105 @@
+/** 帮助文案（07 §5 命令族定名块单源摘编——自包含不外指） */
+export const HELP_TEXT = `berry-agent — 单一可扩展的个人 Agent
+
+用法：berry-agent [命令] [旗标]
+
+命令：
+  （无参）                TUI 主入口：直进对话
+  run "<message>"         单次执行：一轮对话 → stdout 输出结果
+  serve                   常驻宿主（stdio JSONL；serve status / serve stop 管理动词）
+  mcp                     MCP server 包装形态
+  dump-config             打印实际生效装配
+  plugins <sub>           插件生命周期（list/install/uninstall/mount/unmount/toggle/update/check）
+  sessions <sub>          会话管理（list/resume <id>/fork <id>/search <query>/reindex）
+  credentials <sub>       凭证人面管理（add <name> <value>/list/rm <name>；--namespace <ns> 指定域）
+  doors <sub>             开门制人面（list 只读——六枚高危面清单与开态双源呈现；写动词 TUI /doors 专属）
+  upgrade                 升级维护动词
+
+常用旗标：
+  --help / --version / --debug / --port <n> / --no-plugins
+  run 限定：--output-format <text|json|stream>  --output-last-message <file>  --ephemeral
+            --max-turns <n>  --session <id>  --continue  --fork [id]  --read-only  --preset <名>  --tick <名>  --background
+  serve 限定：--daemon  --no-delta  --sdk-port <n>  --sdk-host <host>（后两旗标 daemon 形专属）
+
+裸 -- 之后的 argv 全字面；未识别 -- 词一律用法错退 2。`;
+/**
+ * 分派解析产物到执行器（返回退出码——不 exit）。
+ *
+ * 分派序：用法错 → help/version 短路 → TUI 非 TTY 卫兵 → 执行器派发
+ * （缺席退 1 fail-loud；抛错退 1 + stderr 码与报文——BaseError 呈码身份，
+ * 裸 Error 呈 message）。
+ */
+export async function dispatchCli(parsed, handlers, env) {
+    // 用法错（解析面执法律①③⑤同源）——stderr 一行 + 退 2
+    if (!parsed.ok) {
+        env.writeErr(parsed.message);
+        return 2;
+    }
+    const { command } = parsed;
+    // help/version 统一短路（执法位在未识别旗标闸之后——此处到达的必是干净解析）
+    if (command.kind === 'help') {
+        if (command.overreach !== undefined) {
+            env.writeErr(`注记：${command.overreach} 之后的词不再落位置参数（分派层短路）`);
+        }
+        env.writeOut(HELP_TEXT);
+        return 0;
+    }
+    if (command.kind === 'version') {
+        env.writeOut(env.version);
+        return 0;
+    }
+    // TUI 入口非 TTY 卫兵（07 §5 单源：stdin 或 stdout 非 TTY 即触发）
+    if (command.kind === 'tui' && (!env.stdinIsTTY || !env.stdoutIsTTY)) {
+        env.writeErr('非交互环境（stdin/stdout 非 TTY）——无参 TUI 主入口不适用于管道/CI；改用 `berry-agent run "<message>"` 单发或 `berry-agent serve` 常驻。');
+        return 2;
+    }
+    // 执行器派发：缺席 = 尚未装配（fail-loud 退 1）；在席 = 交执（抛错退 1）
+    const invoke = async () => {
+        switch (command.kind) {
+            case 'tui':
+                return requireHandler(handlers.tui, 'TUI 主入口')(command.flags);
+            case 'run':
+                return requireHandler(handlers.run, 'run')(command.message, command.flags);
+            case 'serve':
+                return requireHandler(handlers.serve, 'serve')(command.flags);
+            case 'serve-status':
+                return requireHandler(handlers.serveStatus, 'serve status')();
+            case 'serve-stop':
+                return requireHandler(handlers.serveStop, 'serve stop')();
+            case 'mcp':
+                return requireHandler(handlers.mcp, 'mcp')();
+            case 'dump-config':
+                return requireHandler(handlers.dumpConfig, 'dump-config')(command.flags);
+            case 'plugins':
+                return requireHandler(handlers.plugins, 'plugins')(command.sub);
+            case 'sessions':
+                return requireHandler(handlers.sessions, 'sessions')(command.sub);
+            case 'credentials':
+                return requireHandler(handlers.credentials, 'credentials')(command.sub);
+            case 'doors':
+                return requireHandler(handlers.doors, 'doors')(command.sub);
+            case 'upgrade':
+                return requireHandler(handlers.upgrade, 'upgrade')();
+        }
+    };
+    try {
+        return await invoke();
+    }
+    catch (err) {
+        // 执行失败档（退 1）——stderr 码身份 + 报文（调用方可判别）
+        const line = err instanceof Error
+            ? 'code' in err && typeof err.code === 'string'
+                ? `${err.code}: ${err.message}`
+                : err.message
+            : String(err);
+        env.writeErr(`执行失败（退出码 1）：${line}`);
+        return 1;
+    }
+}
+/** 执行器缺席面（统一文案——「命令面已解析、执行面随后续批装配」诚实告知） */
+function requireHandler(handler, label) {
+    if (handler === undefined) {
+        throw new Error(`${label} 执行面尚未装配（随后续批次接线）——本命令解析与旗标面已就绪`);
+    }
+    return handler;
+}

package/dist/host/doors-cmd.js

@@ -0,0 +1,154 @@
+/**
+ * host/doors-cmd — 开门制人面命令件（03 §4.6 `/doors` 人面命令 =
+ * enabled.yaml doors 段的编辑腿；07 §5 定名行——开门制扩展批 g-2 落码）。
+ *
+ * 双面分立（有意偏离 /credentials 双面族形——07 §5 定名：**写动词 TUI
+ * 单面**，headless 场景经文件直编 doors 段、boot diff 记账覆盖〔origin
+ * 'boot-diff'〕）：
+ *  - **TUI 面**（assembly 直挂——与 /reload、/plugins 同位，机制宿主有、
+ *    不随插件换代卸除）：三动词全量——list 只读 + open/close 写动词（写回
+ *    段 + 落 `doors/updated` origin 'tui-cmd' + 生效时点诚实回执）；
+ *  - **CLI 面**（`berry-agent doors <sub>`——runDoorsEntry）：list 只读
+ *    受理；open/close **语义拒退 1**（合法解析形非用法错——解析层照常受理，
+ *    执行层诚实指路文件直编）。零装配零库纯文件读（不 boot 插件面、不开
+ *    Persistence——段在文件不在库）。
+ *
+ * list 呈现 = 六枚高危面全清单（USER_GRANTABLE_CAPABILITIES 单源）+ 当前
+ * 开态**双源呈现**：行 opens 按插件分组 + doors 段进程级一行；闭门 reason
+ * = adjudicateCapabilityDoor 单源 message（与 session_status 门态段、执行
+ * 时拒绝同源——先查后用）。
+ *
+ * 生效时点诚实律：g-1 门检输入 = 活体源（受理时点现读现判——open/close 写
+ * 回即门立即生效、撤位即收回）；装载面（boot 快照/审计基线）下次 /reload
+ * 或启动刷新。回执两时点都陈述。
+ */
+import { stdout as processStdout, stderr as processStderr } from 'node:process';
+import { resolveDataDir } from '../persist/index.js';
+import { adjudicateCapabilityDoor, DOORS_SEGMENT_V1_DOMAIN, USER_GRANTABLE_CAPABILITIES } from '../contracts/api.js';
+import { createPluginStoreFs, editDoorsSegment, readEnabledRowsForEdit } from './plugin-store.js';
+/** 用法说明（TUI 命令描述位 + 解析错回执共用单源） */
+export const DOORS_USAGE = `/doors list | open <capability> | close <capability>
+  list                 六枚高危面全清单 + 当前开态双源呈现（行 opens 按插件分组 + doors 段进程级一行）
+  open <capability>    开门（写回 enabled.yaml doors 段 + 落 doors/updated——门检即时生效）
+  close <capability>   关门（撤位即收回；doors 段收口为显式空段）
+（CLI 面只读 list——写动词 TUI 专属；headless 经文件直编 doors 段 + boot diff 记账）`;
+/**
+ * TUI 面 argv 解析（CLI 面由 cli.ts 解析律执法——未知旗标退 2 等；本函数
+ * 只服务 TUI 通道的裸 argv：动词识别 + 位置参数，零旗标面）。
+ */
+export function parseDoorsArgv(argv) {
+    const [verb, ...rest] = argv;
+    if (verb === undefined || verb.startsWith('--')) {
+        return { ok: false, message: `缺子命令。\n${DOORS_USAGE}` };
+    }
+    if (rest.some((tok) => tok.startsWith('--'))) {
+        return { ok: false, message: `本命令族无旗标。\n${DOORS_USAGE}` };
+    }
+    if (verb === 'list') {
+        if (rest.length > 0)
+            return { ok: false, message: `list 不收位置参数。\n${DOORS_USAGE}` };
+        return { ok: true, sub: { sub: 'list' } };
+    }
+    if (verb === 'open' || verb === 'close') {
+        if (rest.length !== 1 || rest[0] === '') {
+            return { ok: false, message: `${verb} 须带 <capability> 一参数。\n${DOORS_USAGE}` };
+        }
+        return { ok: true, sub: { sub: verb, door: rest[0] } };
+    }
+    return { ok: false, message: `未知子命令：${verb}（合法：list/open/close）。\n${DOORS_USAGE}` };
+}
+/**
+ * list 渲染（六枚全清单 + 双源呈现——纯读零副作用）：
+ *  - 清单段：每枚高危面标注开态——doors 段含（进程级）/ 启用行 opens 含
+ *    （插件道：插件 id 清单）/ 闭门附 adjudicateCapabilityDoor 单源 reason
+ *    （与 session_status 门态段、执行时拒绝 message 同源）；
+ *  - 双源段：行 opens 按插件分组（disabled 行标注——授予面在场但实效收回）
+ *    + doors 段进程级一行（缺席 = 空集诚实呈现）。
+ */
+function renderDoorsList(dataDir, fs) {
+    const read = readEnabledRowsForEdit(dataDir ?? '', fs);
+    if (!read.ok)
+        return { ok: false, text: read.message };
+    const doors = new Set(read.doors ?? []);
+    // 行 opens 分组（带 opens 的行全列——disabled 行授予面在场但装载侧实效
+    // 收回〔readTriggerOpensLive 判 disabled → 空集〕，标注呈现不隐藏）
+    const rowLines = [];
+    for (const row of read.rows) {
+        if (row.opens === undefined || row.opens.length === 0)
+            continue;
+        rowLines.push(`    ${row.id}: ${[...row.opens].join('、')}${row.disabled === true ? '（已禁用——授予实效收回）' : ''}`);
+    }
+    const lines = [];
+    lines.push(`高危面清单（${USER_GRANTABLE_CAPABILITIES.length} 枚——闭门附 adjudicateCapabilityDoor 同源 reason）：`);
+    for (const capability of USER_GRANTABLE_CAPABILITIES) {
+        const openers = read.rows
+            .filter((row) => row.disabled !== true && (row.opens ?? []).includes(capability))
+            .map((r) => r.id);
+        // 闭门 reason = 单源 verdict.message（六枚皆高危面，空集判恒 door-closed
+        // 非 not-a-door——窄化兜底只为类型面，语义上不可达）
+        const closed = adjudicateCapabilityDoor(new Set(), capability);
+        const state = doors.has(capability)
+            ? `open（doors 段——进程级）`
+            : openers.length > 0
+                ? `open（行 opens：${openers.join('、')}）`
+                : `closed——${closed.ok ? '未开门' : closed.message}`;
+        lines.push(`  ${capability}=${state}`);
+    }
+    lines.push('授予双源（03 §4.6——两源任一含即门开；受理时点现读现判，撤位即收回）：');
+    lines.push('  行 opens（插件道——授予跟插件 id 走，换装零继承）：');
+    lines.push(...(rowLines.length > 0 ? rowLines : ['    （无——未有任何插件行开位）']));
+    lines.push('  doors 段（进程级——模型道两门值域，/doors open|close 编辑对象）：');
+    lines.push(doors.size > 0
+        ? `    ${[...doors].sort().join('、')}`
+        : read.doors === undefined
+            ? '    （段缺席 = 空集）'
+            : '    （显式空段 = 空集）');
+    return { ok: true, text: lines.join('\n') };
+}
+/**
+ * `/doors` 命令面主入口（sub → 结算形）。写动词失败零副作用（值域拒/文件
+ * 面 refusal 不落账）；成功尾序 = 段写回 → doors/updated 落账 → 生效时点
+ * 诚实回执（门检即时生效——g-1 活体源；装载面 /reload 或下次启动刷新）。
+ */
+export function runDoorsCommand(sub, deps) {
+    if (sub.sub === 'list') {
+        return renderDoorsList(deps.dataDir, deps.fs);
+    }
+    if (deps.dataDir === null) {
+        return { ok: false, text: '纯 memory 诊断形无数据目录——写动词不可用（doors 段编辑无落点）' };
+    }
+    const result = editDoorsSegment(deps.dataDir, { verb: sub.sub, door: sub.door }, deps.fs, deps.onDoorsUpdated);
+    if (!result.ok)
+        return { ok: false, text: result.message };
+    const tail = '门检即时生效（受理时点现读现判）；装载面（boot 快照/审计基线）下次 /reload 或启动刷新';
+    return {
+        ok: true,
+        text: sub.sub === 'open'
+            ? `已开门：${sub.door}——写回 enabled.yaml doors 段。${tail}`
+            : `已关门：${sub.door}——doors 段撤位（收口为空时写回显式空段）。${tail}`,
+    };
+}
+/**
+ * `berry-agent doors <sub>` CLI 入口（07 §5 定名——list 只读 v1 进、写动词
+ * 语义拒）。零装配零库纯文件读：不开运行时、不占单活跃机标记、不 boot
+ * 插件面、不开 Persistence（与 credentials-cmd 直开库分立点——doors 真源
+ * 恒文件）。退出码：0 成功（含空集诚实呈现）/ 1 执行失败或写动词语义拒 /
+ * 用法错归解析层退 2。
+ */
+export async function runDoorsEntry(sub, options) {
+    const out = options.writeOut ?? ((text) => processStdout.write(`${text}\n`));
+    const err = options.writeErr ?? ((text) => processStderr.write(`${text}\n`));
+    if (sub.sub !== 'list') {
+        // 写动词 TUI 专属（07 §5 定名——有意偏离双面族形）：合法解析形非用法
+        // 错，执行层诚实指路（headless 正路 = 文件直编 + boot diff 记账覆盖）
+        out(`doors ${sub.sub} 为 TUI /doors 专属动词——CLI 面只读 list。\n` +
+            `headless 场景经文件直编 enabled.yaml 顶层 doors 段（值域 v1：${DOORS_SEGMENT_V1_DOMAIN.join('、')}），boot diff 记账覆盖（origin 'boot-diff'）。`);
+        return 1;
+    }
+    const result = runDoorsCommand(sub, { dataDir: options.dataDir ?? resolveDataDir(), fs: createPluginStoreFs() });
+    if (result.ok)
+        out(result.text);
+    else
+        err(result.text);
+    return result.ok ? 0 : 1;
+}

package/dist/host/dump-config.js

@@ -0,0 +1,44 @@
+import { assembleHostStack } from './assembly.js';
+/** dump-config 主入口：同构装配 → 打印 JSON → 收口。返回进程退出码。 */
+export async function runDumpConfigEntry(options) {
+    const writeOut = options.writeOut ?? ((text) => process.stdout.write(`${text}\n`));
+    const writeErr = options.writeErr ?? ((text) => process.stderr.write(`${text}\n`));
+    // dataDir 缺省 resolveDataDir()——同构诊断形（memory + 真数据目录读侧）
+    const assembly = await assembleHostStack({
+        runtime: {
+            ...(options.dataDir !== undefined ? { dataDir: options.dataDir } : {}),
+            memory: true,
+        },
+        noPlugins: options.flags.noPlugins === true,
+        debug: options.flags.debug === true,
+        version: options.version,
+        ...(options.env !== undefined ? { env: options.env } : {}),
+        ...(options.onRuntime !== undefined ? { onRuntime: options.onRuntime } : {}),
+        ...(options.corePlugins !== undefined ? { corePlugins: options.corePlugins } : {}),
+    });
+    if (!assembly.ok) {
+        writeErr(assembly.message); // 干净退出档语义（message 已含前缀与修复指引）
+        return assembly.exitCode;
+    }
+    try {
+        writeOut(JSON.stringify({
+            version: options.version,
+            dataDir: assembly.runtime.dataDir,
+            database: ':memory:', // 同构诊断形注记——主库零落盘（07 §5）
+            model: assembly.stack.model,
+            // --port 收下不起监听（07 §5 旗标块「dump-config 忽略不起监听」）；
+            // 布尔归一（缺省 false）——诊断 JSON 键形稳定（undefined 会被 stringify 丢键）
+            flags: { noPlugins: options.flags.noPlugins === true, port: options.flags.port ?? null },
+            plugins: {
+                activated: assembly.boot.report.activated,
+                failed: assembly.boot.report.failed,
+                skipped: assembly.boot.report.skipped,
+            },
+            counts: assembly.boot.counts,
+        }, null, 2));
+        return 0;
+    }
+    finally {
+        await assembly.runtime.shutdown(); // 幂等六步（closer 含插件卸载回卷）
+    }
+}

package/dist/host/hook-dispatch-guard.js

@@ -0,0 +1,27 @@
+/**
+ * host/hook-dispatch-guard — 钩子派发段深度计数 guard（03 §3.4 执法形定形注；
+ * cache 经济批 ca-3）。
+ *
+ * 语义：包裹**插件钩子派发**前后自增自减——await 跨度天然覆盖 handler 全执行
+ * 段，派发收口即闭窗（「起异步任务不等结果合法、await 耦合违法」的条款语义
+ * 精确对齐：fire-and-forget 尾链在派发收口后窗外合法跑）；**只包钩子派发不包
+ * 工具执行体**（03 §3.4 只禁钩子段——工具执行期模型调用不受限）。
+ *
+ * 旗标住 host 装配根（全局单实例——全部插件 ctx 共享同一深度计数，跨插件
+ * 嵌套钩子叠加正确）；只读面经装配注入 llm 双入口（complete 单发 + StreamFn）
+ * 前置查——命中拒发 `LLM_CALL_IN_HOOK`（02 §4.1 llm 无 host 逆边——窗态必经
+ * 装配注入，llm 侧收结构窄面 { inHookDispatch() }，llm 域自持本类型副本）。
+ */
+/** 深度计数 guard 工厂（单实例随装配根创建——多实例各计各深度即漏跨插件嵌套） */
+export function createHookDispatchGuard() {
+    let depth = 0;
+    return {
+        enter: () => {
+            depth += 1;
+        },
+        exit: () => {
+            depth -= 1;
+        },
+        inHookDispatch: () => depth > 0,
+    };
+}

package/dist/host/import-gate.js

@@ -0,0 +1,153 @@
+/**
+ * host/import-gate — 插件 import 门禁三道白名单执法件（03 §3.3；批 12d）。
+ *
+ * 三道白名单：① 虚拟面六键（§3.2 表——闭集，越出键表的 `berry-agent/*` 子径
+ * 同拒）；② `node:` 内建（裸内建名〔无前缀〕不在道内——白名单字面只收
+ * `node:` 形）；③ 插件目录树内（相对导入 + 自带 node_modules——裸第三方
+ * 说明符由「能否在插件树内解析」判，解析不可达即拒）。
+ *
+ * 执法 = **字面量腿**（单腿——03 §3.3 批 12d 勘正）：装载期 jiti transform
+ * 钩子拦截说明符（静态 import/export-from/require + 动态字面量
+ * `import('…')`/`require('…')` 全扫），越界即**抛** `PLUGIN_IMPORT_FORBIDDEN`
+ * ——jiti 主求值径只消费 transform 产码、error 通道仅 debug 日志（2026-09-07
+ * 探针实证），故 throw 直抛是唯一拒载通道；配套 jiti `fsCache:false`（缓存
+ * 键不含门禁身份——命中即跳过 transform 穿门，装载器件负责关）。原设计
+ * 运行期兜底腿（前置守卫注入/裸内建 alias 毒丸）经 jiti v2 公开面核实无
+ * 注入位（裸内建名 builtin 短路判在 alias/resolve 之前）——结构性不可实现，
+ * 残差（动态拼接裸内建名/绝对径逃逸）随沙箱立题裁，详 03 §3.3 勘正段。
+ *
+ * 辖域 = 插件自有码：入口与相对导入的自有模块全扫；插件树 `node_modules/`
+ * 子树内第三方码豁免（npm 生态惯例裸内建与 `node:` 形语义等价——豁免只
+ * 跳过裁决、babel 链转照常）。辖域判定 = 两侧 realpath 归一后路径前缀比对
+ * （macOS `/var` ↔ `/private/var` 符号链径差异防假阴性）；符号链接形态的
+ * 深层对齐（install 期记 realpath）归装机腿落码批收口。
+ */
+import { realpathSync } from 'node:fs';
+import { fileURLToPath } from 'node:url';
+import { createJiti } from 'jiti';
+import { BaseError } from '../contracts/index.js';
+import { BARE_BUILTINS } from './builtins.js';
+/** 虚拟面六键闭集（03 §3.2 定名表——同实例注入的真源清单） */
+export const VIRTUAL_KEYS = [
+    'berry-agent',
+    'berry-agent/llm',
+    'berry-agent/sqlite',
+    'typebox',
+    'typebox/value',
+    'typebox/compile',
+];
+/**
+ * 单说明符白名单裁决（纯谓词——字面量腿的裁决核）。
+ *
+ * 判序：node: 前缀 → 虚拟键闭集（`berry-agent`/`typebox` 前缀但越出键表 =
+ * 越界拒）→ 相对导入（./ ../——树内 containment 由解析保证）→ 绝对路径
+ * （file: / 盘符——直拒：插件面无绝对径合法位）→ 裸说明符（resolveBare
+ * 判，缺席即拒 fail-closed）。
+ */
+export function checkImportSpecifier(specifier, ctx = {}) {
+    if (specifier.startsWith('node:'))
+        return true; // 道②：node: 内建
+    if (VIRTUAL_KEYS.includes(specifier))
+        return true; // 道①：虚拟键闭集
+    if ((specifier.startsWith('berry-agent') || specifier.startsWith('typebox')) && !specifier.startsWith('./')) {
+        // 虚拟键域内越出键表（berry-agent/unknown、typebox/extra）——闭集外即拒
+        return forbidden(specifier, '虚拟键域内未知子径（键表闭集外）');
+    }
+    if (specifier.startsWith('./') || specifier.startsWith('../'))
+        return true; // 道③：相对导入
+    if (/^(\/|[a-zA-Z]:[\\/]|file:)/.test(specifier)) {
+        return forbidden(specifier, '绝对路径不在白名单（插件面合法径只有三道）');
+    }
+    if (specifier.length === 0)
+        return forbidden(specifier, '空说明符');
+    // 裸说明符（内建裸名 / 第三方包名）——树内解析可达才放行
+    if (ctx.resolveBare?.(specifier) === true)
+        return true;
+    if (BARE_BUILTINS.has(specifier)) {
+        return forbidden(specifier, '裸内建名被拒——用 node: 前缀（白名单道②字面只收 node: 形）');
+    }
+    return forbidden(specifier, '裸说明符在插件目录树内不可解析（依赖自捆——03 §9.3）');
+}
+/** 越界裁决产物（携带码与因由——统一抛形） */
+function forbidden(specifier, reason) {
+    return new BaseError('PLUGIN_IMPORT_FORBIDDEN', `import 越界拒载：${specifier}（${reason}——三道白名单见 03 §3.3）`);
+}
+/** 说明符字面量抽取正则族（静态 + 动态字面量——注释/字符串内误伤由「越界即拒」的保守面消化） */
+const SPECIFIER_PATTERNS = [
+    /(?:^|[\s;}])(?:import|export)\s+(?:type\s+)?[\s\S]*?from\s*['"]([^'"]+)['"]/g, // import/export … from '…'
+    /(?:^|[\s;}])import\s*['"]([^'"]+)['"]/g, // 副作用 import '…'
+    /(?:^|[\s;[(!,:=])require\s*\(\s*['"]([^'"]+)['"]\s*\)/g, // require('…')（含动态字面量）
+    /(?:^|[\s;[(!,:=])import\s*\(\s*['"]([^'"]+)['"]\s*\)/g, // import('…')（动态字面量）
+];
+/**
+ * 抽取源文本中的全部说明符字面量（字面量腿的扫描核——纯函数可单测）。
+ */
+export function extractImportSpecifiers(source) {
+    const found = [];
+    for (const pattern of SPECIFIER_PATTERNS) {
+        const re = new RegExp(pattern.source, pattern.flags);
+        let match;
+        while ((match = re.exec(source)) !== null) {
+            const spec = match[1];
+            if (spec !== undefined)
+                found.push(spec);
+        }
+    }
+    return found;
+}
+/**
+ * 字面量腿 transform：辖域内文件扫描说明符字面量 → 白名单裁决 → 越界即
+ * **抛** `PLUGIN_IMPORT_FORBIDDEN`（jiti 把 transform 抛错直接传导给装载方
+ * ——error 通道不抛已实证）；在道内则链委托 babel transform 产码（第二
+ * jiti 实例的公开 `.transform()` 法，fsCache 关闭——委托自身缓存不受门禁
+ * 影响但求确定性关闭）。
+ */
+export function createGateTransform(options) {
+    let delegate = options.delegate;
+    if (delegate === undefined) {
+        const util = createJiti(import.meta.url, { fsCache: false });
+        delegate = (opts) => util.transform(opts);
+    }
+    const pluginRoot = normalizePath(options.pluginDir); // 辖域基归一（realpath——与 filename 同尺比对）
+    return (opts) => {
+        if (!isPluginOwnCode(opts.filename, pluginRoot)) {
+            return { code: delegate(opts) }; // node_modules 子树豁免——第三方码按生态惯例
+        }
+        for (const spec of extractImportSpecifiers(opts.source)) {
+            const verdict = checkImportSpecifier(spec, { resolveBare: options.resolveBare });
+            if (verdict !== true) {
+                // 越界即拒——throw 直抛（唯一拒载通道；error 通道仅 debug 日志不抛）
+                throw new BaseError(verdict.code, `[${options.pluginId}] ${verdict.message}`);
+            }
+        }
+        return { code: delegate(opts) };
+    };
+}
+/**
+ * 辖域判定：文件在 pluginDir 之下且不含 node_modules 段 = 插件自有码。
+ *
+ * 两侧 realpath 归一后前缀比对（macOS 临时目录 `/var` ↔ `/private/var` 符号
+ * 链径差异会使裸前缀比对假阴性 → 好依赖被当树外保守全扫）；file: URL 形
+ * 防御性归一（jiti 版本间 filename 形态差异）。符号链接形态的深层正规化
+ * 归装机腿落码批对齐（install 期记录 realpath 后此处自然收口）。
+ */
+function isPluginOwnCode(filename, pluginRoot) {
+    if (filename === undefined)
+        return true; // 无文件名（eval 串）——保守全扫
+    const normalized = normalizePath(filename);
+    const prefix = pluginRoot.endsWith('/') ? pluginRoot : `${pluginRoot}/`;
+    if (!normalized.startsWith(prefix) && !filename.startsWith(prefix))
+        return true; // 树外文件（理论不达）——保守全扫
+    const effective = normalized.startsWith(prefix) ? normalized : filename;
+    return !effective.slice(prefix.length).includes('node_modules/');
+}
+/** 路径归一：file: URL → 路径 + realpath（不可达原样返回——保守） */
+function normalizePath(filename) {
+    const plain = filename.startsWith('file:') ? fileURLToPath(filename) : filename;
+    try {
+        return realpathSync(plain);
+    }
+    catch {
+        return plain;
+    }
+}

package/dist/host/index.js

@@ -0,0 +1,54 @@
+/**
+ * host 域公开面——装配根契约件收口（批 12a 契约先行笔）。
+ *
+ * host 是唯一可 import 全部宿主模块的横切装配层（02 §4.1 host 席；07 §1.1
+ * 表 #10：装配序 + CLI 入口 + 插件装载器 + 生命周期工具族落位本域）。
+ * 本笔序：12a 契约面三件（PLUGIN_ 码族补落〔codes〕+ 插件清单/启用行拒绝式
+ * 校验〔manifest〕+ CLI 解析面〔cli——手写 argv 解析器，执法律五条〕）→
+ * 12b 装配序实装（运行时生命周期 + dataDir 接线 + 单活跃机 +
+ * environmentDisclosure）→ 12c CLI 分派面（dispatch/signals/main bin）→
+ * 12d 装载器 jiti 实装（import 门禁字面量腿〔03 §3.3 批 12d 勘正〕+ 虚拟
+ * 面直注防双实例 + Kahn 轮次 + 失败三档 + boot-failures 记账；库句柄门禁
+ * 码名已补落 codes——执法位随 SqliteFace 件消费）→ 12e TUI 入口装配。
+ *
+ * 单向 DAG：host → 全宿主模块（边表已预登记 24 deps；本笔实际触达
+ * contracts 单边——契约笔不解包重件）。
+ */
+import './codes.js';
+export { HOST_PLUGIN_ERROR_CODES } from './codes.js';
+export { checkPluginId, parseManifest, parseEnabledRows, MANIFEST_KEY_CATALOG } from './manifest.js';
+export { parseCli } from './cli.js';
+// 批 12b 装配序生命周期（单活跃机 + 开库 + 退出序六步编舞 + 披露段组装）
+export { acquireActiveMarker, ACTIVE_MARKER_BASENAME } from './single-instance.js';
+export { renderEnvironmentDisclosure, collectPlatform, collectDate } from './disclosure.js';
+export { createHostRuntime, appendCrashLog } from './runtime.js';
+// 批 12c CLI 分派面（退出码三态 + 非 TTY 卫兵 + help/version 短路）与进程编舞
+export { dispatchCli, HELP_TEXT } from './dispatch.js';
+export { installSignalChoreography, installCrashChoreography } from './signals.js';
+// 批 12d 装载器 jiti 实装（import 门禁字面量腿 + 虚拟面直注 + Kahn 轮次 + 失败三档）
+export { VIRTUAL_KEYS, checkImportSpecifier, extractImportSpecifiers, createGateTransform } from './import-gate.js';
+export { loadPlugins, CorePluginBootError } from './loader.js';
+// core: 官方件注册表单源（批 19a 起——assembly 缺省注入源/测试注入面；批
+// 19b-1 工厂形升级：宿主真身〔dataDir 等〕经 CorePluginHostDeps 入件）
+export { createCorePlugins } from './core-plugins.js';
+export { readBootFailures, recordBootFailure, clearBootFailure } from './boot-failures.js';
+// 批 12e TUI 入口装配（对话栈组合根——五层一次成型 + 启动会话策略）
+export { createConversationStack } from './conversation-stack.js';
+export { runTuiEntry } from './tui-entry.js';
+// 批 12f-2a ctx 面件（提示词段注册表 + 插件上下文装配件——窗口律/频率护栏/钩子路由）
+export { PromptSectionRegistry } from './prompt-sections.js';
+export { createPluginContext, PLUGIN_HOOK_VOCABULARY } from './plugin-context.js';
+// 批 12f-2b 插件装载装配序（enabled.yaml 读侧两律 + core overlay + 装机账本
+// installPath 解析 + --no-plugins 短路 + 生命周期事件批量补发 + closer 回卷）
+export { bootPlugins } from './plugin-boot.js';
+// 批 12f-2c webui 开面装配桥 + 批 18a-3' 三入口咬合共用挂载段（--port 旗标
+// 消费 + 三窄面映射 + token 披露 + daemon face 挂载位）
+export { openWebuiFace, mountWebuiOnFace } from './webui-bridge.js';
+// 批 12f-3 装配序公共段（:memory: 同构纪律防侧门件——TUI 与诊断命令唯一装配序真源）
+export { assembleHostStack } from './assembly.js';
+// 批 12f-4 跨会话工具策略表文件读写件（04 §9 粘性第 3 款定形块装配侧执法；
+// 2026-09-11 审批分档批更名 tool-policy.json + 旧文件升格读入）
+export { readToolPolicy, appendToolPolicyEntry, TOOL_POLICY_BASENAME, LEGACY_ALLOWLIST_BASENAME, } from './tool-policy-store.js';
+// 批 12f-3 dump-config / plugins 子命令族（同构诊断命令 + 装载态清单 + 纯只读体检骨架）
+export { runDumpConfigEntry } from './dump-config.js';
+export { runPluginsEntry } from './plugins-cmd.js';