c0de-agent 1.12.0 → 1.13.0

package/README.md

@@ -6,18 +6,21 @@
 
 - **Browser-Server 架构**：Hono 后端通过 SSE 推送 LLM 流式响应；React 前端单页应用。
 - **本地优先**：会话与索引存储在 PGLite（浏览器/进程内 PostgreSQL），数据随用随取。
-- **多项目**：工作区隔离的多项目管理，每个项目独立会话历史与配置。项目目录被**移动/重命名**后，顶栏「目录已失效」提示提供「重新定位」——输入新路径即可把会话与看板整体迁移过去（无需删除项目）。
-- **工具系统**：内置文件读写、bash、grep、glob、编辑等工具，可按需启用/禁用。
-- **权限模式**：`default` / `auto` 等授权模式，控制工具执行前是否需用户确认。权限确认双层超时：5 分钟未确认仅提示（可在弹窗中重新确认，不重发消息）；再过 25 分钟仍未响应则自动拒绝（run 继续执行，会话不会无限挂起）。
+- **多项目**：工作区隔离的多项目管理，每个项目独立会话历史与配置。项目目录被**移动/重命名**后，顶栏「目录已失效」提示提供「重新定位」——输入新路径即可把会话与看板整体迁移过去（无需删除项目）。设置页区分「项目/全局」两个配置作用域；**首次添加 Provider 且全局尚无任何 AI 服务时会提示一次保存到全局作用域（所有项目与 CLI 可见）还是仅当前项目**——项目作用域的 Provider 只在该项目生效，其他项目与 `c0de chat` 不可见。前端默认模型选择会校正失效组合：`defaultProvider`/`defaultModel` 不在已配置 provider 的模型清单时，自动回退到首个已配置 provider 与其首个声明模型。
+- **工具系统**：内置文件读写、bash、grep、glob、编辑等工具，可按需启用/禁用（`tools.enabled` 与 `slashCommands.enabled` 语义统一 fail-closed：含 `'*'` = 全部，显式名单 = 仅名单内，**空数组 = 全部禁用**——旧版「空=全部启用」的配置升级后会收到迁移告警引导改 `['*']`）。
+- **权限模式**：`default` / `auto` 等授权模式，控制工具执行前是否需用户确认。权限确认双层超时（`permission.timeoutMs` / `permission.expireGraceMs`，默认 5 分钟 + 25 分钟，设置页可调）：首层超时仅提示（可在弹窗中重新确认，不重发消息）；宽限期满仍未响应则自动拒绝。默认在拒绝后**暂停对话**（等你点击「恢复」继续，agent 不会在无人确认时继续自主执行）；`permission.timeoutAction: 'deny'` 可改回旧行为（拒绝后对话继续，会话永不挂起）。
+- **项目信任边界**：项目级 `.c0de/config.json` 与 `.c0de/plugins` 默认**不自动生效**——克隆一个携带这些文件的仓库后，若其配置把权限降级为 `auto`、要求启用项目插件、声明了 MCP 服务器、或把 `providers[].baseURL` 指向自定义端点（你的提示词将发往该地址），Web 聊天入口会弹出「信任此项目？」确认（明示每一项风险），显式信任后才放行；CLI（`c0de chat` / `c0de acp`）无确认弹窗，遇到未信任项目的风险配置会直接拒绝并引导 `c0de trust <dir> --yes`（`c0de trust` 会先打印将接受的风险清单，有风险时必须 `--yes` 确认，不盲信任）。信任**非一次性**——信任时落盘项目风险配置指纹，若仓库后续 `git pull` 新增 `auto`/插件/MCP/自定义 baseURL 等风险键，**或修改了 MCP 参数（如同名改 args）与插件代码（如同名改文件内容）**，指纹漂移会重新触发确认（可随时收回项目级配置）；项目插件本就在项目未信任时不加载（`c0de trust` 或 Web 信任后重启 serve 生效），**已信任项目指纹漂移后同样不加载**（与聊天门禁同口径，重启也不会执行漂移后的插件代码）。**`security.*` 是服务端全局参数，不参与项目作用域合并**（加载时整体剥离：`authEnabled`/`token`/`allowedOrigins` 等只能在本机全局配置设置）——克隆仓库无法借 `.c0de/config.json` 静默关闭鉴权、植入已知弱 token 或放宽 CORS 来源；项目配置中遗留的 `security` 键会在设置页告警「已忽略」，Web 设置/`c0de config set` 对项目作用域写入 `security` 会直接拒绝并引导改全局。全局配置（`~/.c0de/config.json`）是你本机的显式编辑，其 `permission.defaultMode: auto` / `permission.timeoutAction: deny` 会直接作用于所有项目；为防「本机全局 auto 让无 `.c0de` 的克隆仓库跳过信任门禁全自动执行」，**未信任项目 + 全局权限风险同样触发一次性信任确认**（信任后全局不复检；全局插件/MCP 仍是本机显式安装、不参与门禁）。信任确认弹窗会把项目与全局风险一并列明供你知情。
 - **会话可恢复**：会话快照序列化/反序列化，支持进程重启后无缝恢复。
-- **无感知热更新**：后台定期检查新版本，安装成功后才暂停活跃会话 → 序列化会话快照 → npm 自更新 → 端口 handoff 接管。空闲会话零感知；进行中的对话会中断（界面提示后可一键重发继续），安装失败时不触碰任何会话状态。更新完成后请**刷新页面**加载新版界面（后续请求已自动落到新实例，不刷新则页面仍运行旧版前端）。
+- **无感知热更新**：后台定期检查新版本，安装成功后才暂停活跃会话 → 序列化会话快照 → npm 自更新 → 端口 handoff 接管。空闲会话零感知；进行中的对话会中断（界面提示后可一键重发继续），中断前的半截回复与工具结果会在时间线置灰标记为「未完成轮次」并**从上下文剔除**（重发后不影响新对话），安装失败时不触碰任何会话状态。**终端面板**：应用更新前会列出将被关闭的终端（含标题/目录，分级确认弹层需输入版本号确认）；快照携带终端元信息，新实例启动后按原 id 在**原位重建 shell**（刷新页面后终端布局无感重连；终端内正在运行的进程如 dev server 无法续命，会随旧实例停止）。应用更新确认层还会列出**等待确认的权限请求数**——更新会使其弹窗失效（该工具按拒绝处理），避免用户盯着弹窗却被静默终断；进行中的对话逐项标注运行态——**正在执行工具的 run 会先等待其完成，超时未暂停将被强制中止（其子进程会被终止）**，已暂停的 run 标为「安全点」。更新完成后请**刷新页面**加载新版界面（后续请求已自动落到新实例，不刷新则页面仍运行旧版前端）。
 - **追加指令**：对话进行中可注入「追加指令」（steering），立即影响下一轮模型输出，并作为会话历史的一部分持久化——刷新后不丢失。
 - **故障回退**：主 provider 失败时自动重试；启用后按配置的重试参数执行，并回退到声明了同一模型的其他 provider（设置 → 故障回退）。
-- **斜杠命令**：`/compact`、`/model`、`/clear` 等可配置的斜杠命令。
-- **会话回收站**：删除会话软删除入回收站，保留 60 天（自**首次在回收站看到该条目**起算——只标记一次，不随每次打开重置，倒计时稳定可预期）可恢复（按项目隔离，恢复时自动重新归属）。到期后先进入 **7 天宽限期**（回收站内明示「即将清除」，仍可恢复），宽限期满才物理清除，绝不静默清空。删除项目会将其会话移入回收站的「未归属项目」分组（跨项目可见，恢复时归属到某项目）；该分组默认折叠，展开时才启动保留期倒计时。恢复会话时仅还原同一次删除操作中一并删除的分支，漏掉的分支会在提示中显式告知数量。
-- **会话导出/导入**：会话可导出为 JSON 备份，并在任意项目重新导入（会话列表「导入」按钮），跨机器迁移或本地备份均可用。导出含权限态（自动授权/始终允许白名单）时，导入前会明示风险并让你选择是否随迁——默认剥离，避免导入他人导出的会话时静默继承对危险工具的免确认放行。导出仅含本会话与归档；有派生分支时会先提示分支内容不会随迁。
-- **看板**：项目级任务看板（与会话内 agent 待办相互独立，可把待办导出为看板卡片），支持导出/导入整板 JSON 备份——注意：删除项目会**永久**级联删除看板（会话有回收站，看板没有），删除前请先导出备份；目录只是被移动/重命名时请用「重新定位」整体迁移，不要用删除。
-- **会话用量**：会话列表每行显示累计 token 徽标；会话页「会话信息」面板提供 token/成本/消息数等完整统计（token 为服务端上报用量，成本按配置价目估算）。
+- **斜杠命令**：`/compact`、`/model`、`/clear` 等可配置的斜杠命令（`slashCommands.enabled` 与 `tools.enabled` 同为 fail-closed 语义）。
+- **分支（fork）**：会话可在任意消息处分支为独立会话。分支继承分支点之前的完整上下文——包括压缩/清理归档（归档面板可查）、用量统计（token 徽标/会话信息面板显示继承成本；新调用按实际发生记账，不重复计费），以及权限态（会话级 `auto` 模式与「始终允许」白名单）与 CLI 会话的工作目录。
+- **会话回收站**：删除会话软删除入回收站，保留 60 天（自**首次打开回收站看到该分组**起算——分组粒度、只标记一次，不随每次打开重置，倒计时稳定可预期；从未被查看的条目自删除起最长保留 365 天后进入宽限期，不会无限滞留）可恢复（按项目隔离，恢复时自动重新归属）。到期后先进入 **7 天宽限期**（回收站内明示「即将清除」，仍可恢复），宽限期满才物理清除，绝不静默清空。回收站列表按到期紧迫度排序（宽限期内条目置顶，其次按到期先后）。删除项目会将其会话移入回收站的「未归属项目」分组（跨项目可见），该分组默认折叠，展开时才启动保留期倒计时；恢复此类会话时可**二选一**：「恢复到当前项目」或「恢复并重建原项目」（原目录仍存在时重建项目记录，响应与界面明示重建的项目，不再静默复活已删除的项目）。恢复会话时仅还原同一次删除操作中一并删除的分支，漏掉的分支会在提示中显式告知数量；恢复前确认框会列出将连带还原的父会话。
+- **会话导出/导入**：会话可导出为 JSON 备份，并在任意项目重新导入（会话列表「导入」按钮），跨机器迁移或本地备份均可用。导出含权限态（自动授权/始终允许白名单）时，导入前会明示风险并让你选择是否随迁——默认剥离，避免导入他人导出的会话时静默继承对危险工具的免确认放行；归档中的**文件快照（被压缩进上下文的文件内容）默认剥离**，导出对话框显式确认后才携带，分享导出 JSON 不泄露文件内容。用量统计（segments）随导入携带、会话信息面板/徽标保留历史成本与 token 口径，但**导入的调用不进入本机成本账本**（`usage_events`）——跨机器导入的历史消费不污染本地月度成本与预算护栏；且 segments 按导入消息时间窗裁剪。导出仅含本会话与归档；有派生分支时会先提示分支内容不会随迁。
+- **看板**：项目级任务看板（与会话内 agent 待办相互独立，可把待办导出为看板卡片），支持导出/导入整板 JSON 备份。**删除项目不再永久销毁看板**——看板随项目软删除进入回收站「未归属看板」分组（删除后保留 60 天，到期先进入 7 天宽限期——明示「即将清除」仍可恢复——宽限期满才物理清除，绝不静默清空），可「恢复到当前项目」、「恢复并重建原项目」（原目录仍存在时重建项目记录）或彻底删除。目录只是被移动/重命名时请用「重新定位」整体迁移，不要用删除。
+- **工作流**：内置/用户级（`~/.c0de/workflows`）/项目级（`.c0de/workflows`）三级工作流脚本，聊天中 `/workflow run <name>` 或 REST `POST /api/workflows/:name/run` 执行（信任门禁、预算护栏、权限确认与主对话同口径；`meta.timeout` 超时中止执行）。设置页「工作流」面板可查看源码、新建、编辑、删除（删除需输入名称确认）。
+- **会话用量**：会话列表每行显示累计 token 徽标；会话页「会话信息」面板提供 token/成本/消息数等完整统计（token 为服务端上报用量，成本按配置价目估算）。设置页「用量与成本」面板提供**项目口径**聚合：总量、按月、按模型统计，并可设置月度成本预算（`usage.monthlyBudgetUsd`）与超支动作（`usage.budgetAction: 'warn' | 'pause'`）——`warn` 仅告警（当月成本达预算 80% 徽标变警示色、超预算变红），`pause` 在新一轮回复前暂停对话（等同权限超时暂停机制，点「恢复」继续，本 run 不再重复暂停）；CLI（`c0de chat`）无「恢复」交互，`pause` 时在入口单次拒绝、并每轮 LLM 请求前复查、超支即中止 run 明示超支（`warn` 不变，仅告警）；默认 `warn`。另可设置**全局月度预算**（`usage.globalMonthlyBudgetUsd`，所有项目+未归属调用聚合，仅全局作用域生效）作兜底护栏——与项目预算并存，任一超支即触发动作；另支持**月度 token 预算**（`usage.monthlyTokenBudget` / `usage.globalMonthlyTokenBudget`，input+output+cacheRead tokens 之和）——价格独立护栏，兜底「自建网关/未登记模型 cost 恒 $0、金额护栏拦不住」的场景（token 预算动作由 `usage.tokenBudgetAction` 独立控制，缺省回退 `budgetAction`；`pause` 时超支暂停/拒绝，`warn` 下仅顶栏徽标与「用量与成本」面板告警、不暂停对话）；「未归属项目」的调用（CLI 未绑定会话/孤儿会话）单独统计展示，且**只受全局口径预算约束**——只设项目预算、未设全局预算时，这些调用没有任何护栏（设置页会告警提示补充全局预算）。**本月口径由服务端本地时区计算下发**，前端徽标/面板与预算暂停判定同源一致（远程访问/容器时区不同也不会错报）。成本是账本：写入独立的 `usage_events` 表，**会话彻底删除（含回收站到期物理清除）后已发生花费仍计入**；价格未知的调用（自建网关/未登记模型）按 $0 计入并单独计数提示，内置价目标注最近核价日期（估算可能随价格变动过期，实际费用以账单为准）。顶栏显示**本月成本徽标**（按当前项目口径），点击直达用量面板。
 - **主题**：亮/暗/跟随系统主题。
 
 ## 安装
@@ -32,18 +35,23 @@ pnpm add -g c0de-agent
 
 要求 Node.js >= 22.0.0。
 
+> **首次使用前先配置 AI 服务**：项目默认不携带 `providers`（`providers: []`）。启动
+> `c0de serve` 后，先在 Web 界面「设置 → Provider」添加 API 服务并「测试连接」，或在
+> `~/.c0de/config.json` 中手动写入 `providers`（`c0de config set providers …`）。未配置
+> provider 时发送消息会得到「未配置可用的 AI 服务」引导，而非模型响应。
+
 ## 安全
 
 - **密钥存储**：`config.json` 写入时强制 `chmod 600`；`providers[].apiKey` 与 `websearch.tavilyApiKey/braveApiKey` 落盘前自动加密（AES-256-GCM，机器绑定，`enc:` 前缀），无论经 Web 设置、`c0de config set` 还是 `/config` 斜杠命令写入均不落明文。例外：`security.token`（静态模式专用）以明文存储，仅建议 CI/脚本场景使用，交互使用请走设备配对。`/config` 与 `c0de config get` 展示配置时对 apiKey/token 等字段自动脱敏。
   - 项目级配置（`<项目>/.c0de/config.json`）含密钥且目录在 git 仓库内时，设置页会提示将 `.c0de/` 加入 `.gitignore`，防止误提交。
-- **认证**：`security.authEnabled` 默认开启。首次启动自动生成 bootstrap token（持久化于数据目录 `auth-token` 文件），浏览器首访凭启动打印的 URL `?token=` 注册为**首台设备**，服务端随即**轮换 bootstrap token**（旧 token 立即失效，杜绝 URL/shell 历史泄漏）并下发设备 token；后续 API 请求与终端 WebSocket 均携带设备 token。新增设备无 token 时进入**配对流程**：新设备生成 6 位配对码，由已授权设备在「设备配对」弹窗中核对并批准后下发新设备 token。显式配置 `security.token` 时为静态模式（不轮换、不配对，适合 CI/脚本）。
+- **认证**：`security.authEnabled` 默认开启。首次启动自动生成 bootstrap token（持久化于数据目录 `auth-token` 文件），浏览器首访凭启动打印的 URL `?token=` 注册为**首台设备**，服务端随即**轮换 bootstrap token**（旧 token 立即失效，杜绝 URL/shell 历史泄漏）并下发设备 token；后续 API 请求与终端 WebSocket 均携带设备 token。新增设备无 token 时进入**配对流程**：新设备生成 6 位配对码，由已授权设备在「设备配对」弹窗中**输入对方屏幕显示的 6 位配对码**（服务端核对匹配，防多个请求并存时看错行误批）批准后下发新设备 token（设备**在 token 实际交付时**才登记——审批后、新设备取 token 前若服务重启，审批态随内存清空、重新配对即可，不会留下「已授权却永远拿不到 token」的僵尸设备条目）。显式配置 `security.token` 时为静态模式（不轮换、不配对，适合 CI/脚本）。**已有已注册设备后**，`c0de serve` 打印的启动 URL 不再携带 `?token=`（那已是轮换失效的旧值）——新浏览器直接走配对流程，已注册浏览器凭 localStorage 中的设备 token 无缝使用。
   - **首设备先到先得**：任何能看见启动打印 URL 的人（同机其他用户、终端输出被截图/共享）都能抢先注册为首台设备，随后真实用户只能经其配对审批。请勿在共享主机或会被录屏的场景让 URL 暴露。默认防护：bootstrap token 生成后 **5 分钟**内有效（`security.firstDeviceTtlMs` 默认值），超时需重启 `c0de serve`（无已注册设备时重启会重新生成 bootstrap，窗口随之刷新）；共享主机/CI 等场景可显式配置更短的值。
   - token 解析优先级：`security.token` 配置 > 环境变量 `C0DE_AUTH_TOKEN` > 数据目录 token 文件 > 自动生成并持久化。
   - 显式关闭：`security.authEnabled: false`（本机单用户且端口仅本机可达时）。
   - **设备管理**：`c0de auth list` 列出已授权设备；`c0de auth revoke <id>` 撤销设备（运行中的服务立即生效）；`c0de auth reset` 清除全部设备与 token。运行中的服务会热加载 `devices.json` 的变更。
-  - **丢失唯一设备的恢复**：若唯一设备的浏览器数据被清空（设备 token 丢失），配对流程因无已授权设备可批准而无法完成。恢复步骤：`c0de auth reset` → 重启 `c0de serve` → 打开启动日志打印的带 `?token=` 的 URL 重新注册首台设备。
-- **CORS/Origin 校验**：仅放行本机回环 origin 与 `security.allowedOrigins` 中显式配置的 origin；WebSocket 升级在服务端独立校验 Origin（浏览器 WS 不受 CORS 约束）。
-- **监听地址**：默认绑定 `0.0.0.0`（便于容器/远程访问），安全性由 token + allowedOrigins 保证；需要时可用 `security.allowedOrigins` 收紧或自行反向代理限制。
+  - **丢失唯一设备的恢复**：若唯一设备的浏览器数据被清空（设备 token 丢失），配对流程因无已授权设备可批准而无法完成。恢复步骤：`c0de auth reset` → 重启 `c0de serve` → 打开启动日志打印的带 `?token=` 的 URL 重新注册首台设备。新设备的配对界面检测到服务端**零已授权设备**时会直接展示上述恢复指引（并停止无意义的审批轮询），不再干等一个不可能到来的批准。
+- **CORS/Origin 校验**：仅放行本机回环 origin 与 `security.allowedOrigins` 中显式配置的 origin；WebSocket 升级在服务端独立校验 Origin（浏览器 WS 不受 CORS 约束）。**认证关闭（`authEnabled: false`）时另有跨域写防线**：携带非本地/未配置 Origin 的 POST/PUT/PATCH/DELETE 请求会被 403 拒绝（CORS 回显只拦「读」，恶意网页仍可对本地服务盲发副作用请求；带合法 token 时由 token 防线覆盖）。无 Origin 的请求（curl/CLI/脚本）不受影响。
+- **监听地址**：默认绑定 `127.0.0.1`（仅本机可达，安全默认）。容器/远程访问需显式 `c0de serve --host 0.0.0.0`（或局域网 IP）——启动时会打印**醒目警告**，此时安全性由 token + allowedOrigins 保证；需要时可用 `security.allowedOrigins` 收紧或自行反向代理限制。
 - **热更新交接**：新实例经环境变量继承 token，请求旧实例 `/handoff` 时须携带匹配的 Bearer token，防止任意本地进程借 handoff 杀掉服务。
 
 ## 使用
@@ -52,8 +60,8 @@ pnpm add -g c0de-agent
 # 在项目目录启动
 c0de serve
 
-# 指定端口并自动打开浏览器
-c0de serve --port 3000 --open
+# 指定端口并自动打开浏览器（默认 7310）
+c0de serve --port 8080 --open
 
 # 从快照恢复会话
 c0de serve --restore snapshot.json
@@ -64,20 +72,33 @@ c0de chat "解释这段代码"
 # serve 运行时打印模式默认拒绝（对话无法持久化），显式接受临时模式：
 c0de chat --temp "解释这段代码"
 
+# 打印模式默认拒绝写工具；--allow 定向放行指定写工具（或用 -y 全量放行）
+c0de chat --allow write,bash "修复这个函数"
+
 # 更新检查
 c0de update --check
+
+# 信任项目目录：启用其项目级配置与 .c0de/plugins（克隆仓库审查后显式执行；
+# 含风险配置时需 --yes——不带 --yes 会先打印风险清单供审查）
+c0de trust /path/to/cloned-repo --yes
 ```
 
-启动后访问 `http://localhost:3000`。
+启动后访问 `http://localhost:7310`。
 
-> **CLI 与 Web 的会话隔离**：`c0de chat` 产生的会话标记为 `cli` 来源，不会出现在
-> Web 界面的会话树中（Web 会话树仅展示 web 会话）。CLI 侧 `c0de sessions list` 会列出
-> 全部会话（`[cli]`/`[web]` 标注），并可删除/恢复任意会话——这是 Web 会话的 CLI 恢复途径。
+> **CLI 与 Web 的会话互通**：`c0de chat --continue` 续接过的 CLI 会话与 Web 会话在
+> Web 会话树中**同树展示**（带 `CLI` 徽标；所在目录已注册为项目时归入该项目，否则在
+> 列表底部的「CLI 会话（未绑定项目）」分组）；一次性问答（未续接）仍是临时会话，
+> 不进入 Web 树，30 天后自动移入回收站（走回收站保留期，可恢复）。`c0de sessions list` 会列出全部会话
+> （`[cli]`/`[web]` 标注），并可删除/恢复/彻底删除任意会话（`c0de sessions purge <id> --yes`
+> 永久删除、`--all --yes` 清空回收站；`deleted` 子命令列出回收站并启动 60 天保留期倒计时，
+> 与 Web 打开回收站同口径；`--project <路径>` 可把「看到」标记与列表限定到单个项目）。
 > 注意：数据库为单写者，`c0de sessions` / `c0de chat`（非 `--temp`）在 serve 运行期间会报错拒绝
-> （CLI 管理需先停止 serve；运行中的服务请用 Web 界面管理）。
+> （CLI 管理需先停止 serve）——报错会直接给出**运行中 serve 的 Web 地址**，打开浏览器即可继续。
+> 已删除（在回收站中）的会话不可被 `--continue` 续接——报错会给出恢复途径
+> （Web 回收站恢复，或停止 serve 后 `c0de sessions restore <id>`）。
 > 恢复的会话若原项目目录已不存在（孤儿会话），可用 `c0de sessions restore <id> --project <路径>`
 > 显式归属到项目。两者存于同一数据库。`c0de chat --continue` 续接过的 CLI 会话不会被自动清理；
-> 未续接的一次性问答会话 30 天后自动清除。
+> 未续接的一次性问答会话 30 天后自动移入回收站。
 
 ## 开发
 
@@ -85,7 +106,7 @@ c0de update --check
 # 安装依赖
 pnpm install
 
-# 启动开发服务器（前端热更新）
+# 启动开发服务器（前端热更新，端口 3020）
 pnpm dev
 
 # 类型检查
@@ -104,11 +125,18 @@ pnpm lint
 pnpm format
 ```
 
+> **开发环境隔离**：`.env.example` 是开发隔离模板（复制为 `.env` 后生效，`.env` 不入 git）。
+> 它把 dev server 的全局配置/工作流/插件（`C0DE_CONFIG_DIR`）与运行时数据 DB/设备认证
+> （`C0DE_DB_DIR`）从安装版默认位置（`~/.c0de`、`~/.local/share/c0de/pglite`）重定向到
+> 仓库内 `.c0de-dev/`（已 gitignore），与 `npm i -g c0de-agent` 安装版互不干扰、
+> 可同时运行。两个变量经 `vite.config.ts` 在 dev server 启动时注入进程环境
+> （vite 8 不再自动把 `.env` 合并进 `process.env`）。
+
 ## 架构
 
 ```
 src/
-├── cli/           # CLI 入口与命令（serve / chat / acp / update / config / init / plugin）
+├── cli/           # CLI 入口与命令（serve / chat / acp / update / config / init / plugin / sessions / trust）
 ├── core/          # 配置、agent 注册与主循环（loop/ 子模块）、权限、prompt、工作流、斜杠命令
 ├── llm/           # LLM provider 抽象、registry 与重试策略
 ├── server/        # Hono HTTP 服务、SSE 流、路由、鉴权/CORS、交互式权限、终端（node-pty）

package/dist/cli/commands/acp.js

@@ -1,13 +1,20 @@
 import readline from 'node:readline/promises';
+import { getByDirectory } from '../../project/index.js';
 import { createSession, listAllSessions } from '../../session/session.js';
 import { formatACPEvent, runAcpLoop } from '../modes/acp.js';
 import { runPrintMode } from '../modes/print.js';
 /** 构造 ACP method → handler 映射。chat 复用 Print 模式。 */
 function createAcpHandlers(config, deps, opts) {
+    // P2-4：当前在途 chat run 的中止控制器。abort 请求触发其 abort，
+    // runPrintMode 桥接信号后真中止 agent（此前 abort 是空操作）。
+    let currentAbort = null;
     return {
         'session/create': async (params) => {
             const title = params.title ?? 'acp-session';
-            const session = await createSession(deps.db, title, undefined, undefined, 'cli');
+            // P1-2 CLI/Web 同树：cwd 已注册为项目时直接绑定；worktreePath 落盘保证
+            // Web 打开时工具在原目录执行。ACP 会话无 print 标记，永不自动清理。
+            const existing = await getByDirectory(deps.db, deps.cwd);
+            const session = await createSession(deps.db, title, existing?.id, undefined, 'cli', undefined, deps.cwd);
             return { sessionId: session.id };
         },
         'session/list': async () => {
@@ -19,14 +26,25 @@ function createAcpHandlers(config, deps, opts) {
             if (!message)
                 throw new Error('chat: message is required');
             const sessionId = params.sessionId;
-            const text = await runPrintMode(config, message, deps, {
-                ...(sessionId ? { sessionId } : {}),
-                onEvent: (e) => opts.onEvent('event', e),
-            });
-            return { text };
+            const controller = new AbortController();
+            currentAbort = controller;
+            try {
+                const text = await runPrintMode(config, message, deps, {
+                    ...(sessionId ? { sessionId } : {}),
+                    onEvent: (e) => opts.onEvent('event', e),
+                    abortSignal: controller.signal,
+                });
+                return { text };
+            }
+            finally {
+                if (currentAbort === controller)
+                    currentAbort = null;
+            }
+        },
+        abort: async () => {
+            currentAbort?.abort();
+            return { ok: true };
         },
-        abort: async () => ({ ok: true }),
-        'tool/confirm': async () => ({ ok: true }),
     };
 }
 /** 写一行 ACP event 到给定 writer（命令层用于接 stdout）。 */

package/dist/cli/commands/chat.js

@@ -6,7 +6,7 @@ import { runPrintMode } from '../modes/print.js';
  * /compact 需要会话上下文，由消费方在此执行压缩并输出摘要。
  */
 async function runSlashCommand(message, continueId, ctx) {
-    const { createSlashRegistry, parseSlashInput } = await import('../../core/slash.js');
+    const { createSlashRegistry, isSlashCommandEnabled, parseSlashInput } = await import('../../core/slash.js');
     const parsed = parseSlashInput(message);
     if (!parsed)
         return false;
@@ -16,15 +16,23 @@ async function runSlashCommand(message, continueId, ctx) {
         return false; // 未知斜杠命令：回退为正常消息发给 agent（与 Web 端一致）
     const out = ctx.stdout ?? process.stdout.write.bind(process.stdout);
     const err = ctx.stderr ?? process.stderr.write.bind(process.stderr);
-    const enabledList = ctx.config.slashCommands?.enabled ?? [];
-    const enabledSet = new Set(enabledList.map((n) => (n.startsWith('/') ? n.slice(1) : n)));
-    if (enabledSet.size > 0 && !enabledSet.has(parsed.name)) {
+    if (!isSlashCommandEnabled(ctx.config.slashCommands?.enabled, parsed.name)) {
         err(`斜杠命令 /${parsed.name} 未启用（config.slashCommands.enabled）\n`);
         return true;
     }
     const { compactContext } = await import('../../core/loop.js');
     const { createAgent } = await import('../../core/agent.js');
     const { getSession } = await import('../../session/session.js');
+    // /workflow 命令注入三级注册表（内置 + 用户级 + 受信任的项目级）：
+    // 此前 CLI 缺省回退仅内置注册表，~/.c0de/workflows 用户级工作流在 CLI
+    // 完全不可见/不可运行。项目级仅在 cwd 当前可信时 import（fail-closed）。
+    let workflowRegistry;
+    if (parsed.name === 'workflow') {
+        const { createAndPopulateRegistry } = await import('../../core/workflows/index.js');
+        const { resolveCwdProjectTrusted } = await import('../deps.js');
+        const projectTrusted = await resolveCwdProjectTrusted(ctx.deps.db, ctx.deps.cwd).catch(() => false);
+        workflowRegistry = await createAndPopulateRegistry(ctx.deps.cwd, { projectTrusted });
+    }
     const result = await cmd.execute(parsed.args, {
         cwd: ctx.deps.cwd,
         config: ctx.config,
@@ -32,6 +40,7 @@ async function runSlashCommand(message, continueId, ctx) {
         sessionId: continueId,
         // 消费渠道：/model 等命令按渠道给指引（CLI 无底部模型选择器）。
         channel: 'cli',
+        ...(workflowRegistry ? { workflowRegistry } : {}),
     });
     if (result._tag === 'compact') {
         // /compact：消费方执行压缩（Web 端由 chat 路由消费）。需要会话上下文。
@@ -89,6 +98,60 @@ async function runChatCommand(ctx) {
     // 斜杠命令拦截：命中则执行本地语义，不把命令文本发给 LLM。
     if (await runSlashCommand(message, continueId, ctx))
         return;
+    // P1-4：CLI 无可恢复的「暂停」交互，budgetAction='pause'/'abort' 时在单次询问前拦截——
+    // 当月金额/token 预算超支则明确拒绝并给出操作路径，而非静默放行继续烧钱。
+    // 与 Web 端暂停语义对齐（Web 暂停可恢复、CLI 直接拒绝本次执行）。
+    if (ctx.config.usage?.budgetAction === 'pause' ||
+        ctx.config.usage?.budgetAction === 'abort' ||
+        ctx.config.usage?.tokenBudgetAction === 'pause' ||
+        ctx.config.usage?.tokenBudgetAction === 'abort') {
+        const { budgetOverageParts } = await import('../../session/usage.js');
+        // 项目预算仅在 cwd 能解析到项目时检查；未归属目录的调用只受全局预算兜底。
+        const { getByDirectory } = await import('../../project/index.js');
+        let projectId = null;
+        try {
+            projectId = (await getByDirectory(ctx.deps.db, ctx.deps.cwd))?.id ?? null;
+        }
+        catch {
+            projectId = null;
+        }
+        const over = await budgetOverageParts(ctx.deps.db, ctx.config.usage, projectId);
+        if (over.parts.length > 0) {
+            throw new Error(`chat: 月度预算已超支（${over.parts.join('；')}）。` +
+                'CLI 无法暂停对话，已拒绝本次执行。请提升预算、改用更便宜的模型，或经 Web 界面调整后再试。');
+        }
+        if (over.warnings.length > 0) {
+            // P2-2：未超支但金额口径不可靠（价格未知调用无 token 兜底）——不拒绝，
+            // 但显式告知用户预算护栏可能低估，保持「静默失效」零容忍。
+            console.warn(`chat: 预算金额口径可能低估——${over.warnings.join('；')}`);
+        }
+    }
+    // P1-1：显式打印「权限水位」，消除 Web↔CLI 的静默授权差异——未经确认的写工具在
+    // 非交互下会被拒绝（default）或全自动放行（auto/-y），用户须在入口即知情。
+    const yes = ctx.args.options.yes === true;
+    const allowRaw = ctx.args.options.allow ? String(ctx.args.options.allow) : undefined;
+    const allowList = allowRaw
+        ? allowRaw
+            .split(',')
+            .map((s) => s.trim())
+            .filter(Boolean)
+        : [];
+    const defaultMode = ctx.config.permission?.defaultMode ?? 'default';
+    let waterLevel;
+    if (yes) {
+        waterLevel = '全部工具自动放行（-y）';
+    }
+    else if (defaultMode === 'auto') {
+        waterLevel = '全部工具自动放行（permission.defaultMode=auto）';
+    }
+    else if (allowList.length > 0) {
+        waterLevel = `只读自动放行，写/执行工具定向放行：${allowList.join(', ')}（其余写工具将被拒绝）`;
+    }
+    else {
+        waterLevel =
+            '只读工具自动放行，写/执行工具将被拒绝（非交互）。加 -y 全量放行或 --allow <工具> 定向放行';
+    }
+    err(`[c0de] 权限水位：${waterLevel}\n`);
     const text = await runPrintMode(ctx.config, message, ctx.deps, {
         ...(model ? { model } : {}),
         ...(continueId ? { sessionId: continueId } : {}),
@@ -113,10 +176,11 @@ async function runChatCommand(ctx) {
     else {
         out(`${text}\n`);
     }
-    // P2-5：一次性 CLI 问答不进 Web 会话树，明确告知查看/续接途径，
+    // P2-5：一次性 CLI 问答（未续接）不进 Web 会话树，明确告知查看/续接途径，
     // 避免「我的会话去哪了」（--continue 续接时用户已知会话存在，不提示）。
     if (!continueId) {
-        err('此问答会话不会出现在 Web 界面；可用 `c0de sessions list` 查看，或 `c0de chat --continue` 续接。\n');
+        err('此问答会话为一次性会话，暂不在 Web 会话树中；`c0de chat --continue <id>` 续接后即可在 Web 界面查看。\n' +
+            '可用 `c0de sessions list` 列出全部会话。\n');
     }
 }
 export { runChatCommand };

package/dist/cli/commands/config.d.ts

@@ -4,6 +4,8 @@ type ConfigCommandContext = {
     args: CommandArgs;
     cwd: string;
     write?: (s: string) => void;
+    /** 测试注入：覆盖指纹刷新实现（缺省走真实持久库路径）。 */
+    refreshTrust?: (cwd: string) => Promise<void>;
 };
 declare function runConfigCommand(ctx: ConfigCommandContext): Promise<void>;
 export type { ConfigCommandContext };

package/dist/cli/commands/config.js

@@ -1,5 +1,40 @@
 import { applyScopedPatch, loadConfigScopes, mergeConfig, saveConfigScoped, } from '../../core/config.js';
 import { coerce, getByPath, setPathPatch } from '../../core/config-path.js';
+/**
+ * P1：config set 写入项目作用域后刷新信任指纹（serve 未运行时生效）。
+ * config 命令无 agent deps 生命周期，此处独立打开持久库；serve 运行期间
+ * 持久库被占用（单写者）——跳过刷新，配置已落盘，信任复检的 fail-closed
+ * 路径兜底（下次聊天一次性确认，风险项即本次修改）。
+ */
+async function refreshTrustFingerprint(cwd) {
+    try {
+        const { mkdirSync } = await import('node:fs');
+        const { createDB, migrateDB } = await import('../../db/index.js');
+        const { acquireDevDbLock, releaseDevDbLock, resolveDbDir } = await import('../../server/server.js');
+        const { getByDirectory, trustProject } = await import('../../project/index.js');
+        const dataDir = resolveDbDir();
+        mkdirSync(dataDir, { recursive: true });
+        acquireDevDbLock(dataDir);
+        try {
+            const db = await createDB({ driver: 'pglite', dataDir });
+            try {
+                await migrateDB(db);
+                const p = await getByDirectory(db, cwd);
+                if (p?.trustedAt != null)
+                    await trustProject(db, p.id);
+            }
+            finally {
+                await db.close();
+            }
+        }
+        finally {
+            releaseDevDbLock(dataDir);
+        }
+    }
+    catch {
+        // serve 锁冲突/库错误等：跳过刷新，不阻塞配置写入结果
+    }
+}
 async function runConfigCommand(ctx) {
     const write = ctx.write ?? process.stdout.write.bind(process.stdout);
     const sub = ctx.args.positionals[0];
@@ -38,12 +73,23 @@ async function runConfigCommand(ctx) {
             throw new Error(`config set: 未知的顶层配置键 "${topKey}"。有效键：${[...KNOWN_CONFIG_KEYS].join(', ')}`);
         }
         const scope = ctx.args.options.global ? 'global' : 'project';
+        // 作用域收敛：security 是服务端全局参数，项目作用域写入会被加载时剥离（不生效）。
+        // 与其写入一个永不生效的键，不如直接拒绝并给出正解路径（与 Web PATCH /api/config 同语义）。
+        if (scope === 'project' && topKey === 'security') {
+            throw new Error('config set: security 是服务端全局参数，仅在全局作用域生效。请加 --global 写入全局配置。');
+        }
         // 只把 patch 合并进目标作用域的原始文件，不写入默认值与其他作用域的配置（P2-3）。
         // 值为 null → 删除该键（作用域内取消覆盖，回落另一作用域/默认值）。
         const scopeCfg = scope === 'global' ? scopes.global : scopes.project;
         const value = coerce(rawArg);
         const next = applyScopedPatch(scopeCfg ?? {}, setPathPatch(key, value));
         await saveConfigScoped(scope, ctx.cwd, next);
+        // P1：项目作用域写入是用户显式操作——已信任项目刷新风险指纹（与 Web
+        // PATCH /api/config、/config 斜杠命令同口径），防「信任 → 改配置 → 再信任」
+        // 自锁复检循环。
+        if (scope === 'project') {
+            await (ctx.refreshTrust ?? refreshTrustFingerprint)(ctx.cwd);
+        }
         write(`${value === null ? '已取消设置' : '已设置'} ${key} (scope: ${scope})\n`);
         return;
     }

package/dist/cli/commands/serve.js

@@ -1,13 +1,15 @@
-import { startServer } from '../../server/index.js';
+import { DEFAULT_SERVE_PORT, startServer } from '../../server/index.js';
 import { openBrowser, printStartupBanner } from '../utils/output.js';
 async function runServeCommand(ctx) {
-    const port = ctx.args.options.port ?? 3000;
+    const port = ctx.args.options.port ?? DEFAULT_SERVE_PORT;
+    const host = ctx.args.options.host ?? '127.0.0.1';
     const shouldOpen = ctx.args.options.open ?? true;
     const starter = ctx.serverStarter ?? startServer;
     const restore = ctx.args.options.restore;
     const handoffPort = ctx.args.options['handoff-port'];
     const handle = await starter({
         port,
+        host,
         cwd: ctx.cwd,
         ...(restore ? { restoreFrom: restore } : {}),
         ...(handoffPort ? { handoffPort } : {}),
@@ -17,6 +19,13 @@ async function runServeCommand(ctx) {
     const tokenQuery = handle.authToken ? `?token=${encodeURIComponent(handle.authToken)}` : '';
     const url = `http://localhost:${handle.port}${tokenQuery}`;
     (ctx.banner ?? printStartupBanner)(url);
+    // 非回环监听警告：绑定 0.0.0.0/局域网 IP 时本机以外的主机均可访问，
+    // 安全性完全依赖 token + allowedOrigins——默认行为已收紧为 127.0.0.1。
+    const isLoopback = host === '127.0.0.1' || host === 'localhost' || host === '::1' || host.startsWith('127.');
+    if (!isLoopback) {
+        console.warn(`[c0de] ⚠ 监听地址为 ${host}（非回环）：本机以外的主机均可访问此服务。\n` +
+            `  请确认 security.authEnabled 已开启、token 未泄漏；仅在可信网络使用，或在防火墙限制访问。`);
+    }
     if (shouldOpen) {
         const opener = ctx.opener ?? ((u) => openBrowser(u));
         await opener(url);

package/dist/cli/commands/sessions.js

@@ -7,7 +7,7 @@
 // P1 闭环修复：delete 移入回收站后必须有 CLI 恢复途径（此前文案承诺
 // 「60 天内可恢复」但 CLI 无 restore 子命令，恢复只能绕道 Web 界面）。
 import { fromDirectory } from '../../project/project.js';
-import { getSession, listAllSessions, listDeletedSessions, rebindSession, restoreSession, softDeleteSession, } from '../../session/session.js';
+import { emptyTrash, getSession, listAllSessions, listDeletedSessions, permanentlyDeleteSession, rebindSession, restoreSession, softDeleteSession, touchTrashSeen, } from '../../session/session.js';
 async function runSessionsCommand(ctx) {
     const write = ctx.write ?? ((s) => process.stdout.write(s));
     const sub = ctx.args.positionals[0] ?? 'list';
@@ -76,19 +76,66 @@ async function runSessionsCommand(ctx) {
         write(`已恢复会话 ${id}。\n`);
         return;
     }
-    // 回收站列表：软删除会话 + 剩余保留信息（辅助 restore）
+    // 回收站列表：软删除会话 + 剩余保留信息（辅助 restore）。
+    // P2：列出即「看到」——CLI-only 用户此前无 Web 回收站可打开，trashSeenAt 永不写入，
+    // 60 天保留期永不启动（条目只能等 365 天绝对上限）。此处与 Web 打开分组同口径
+    // 标记（仅首次、全量、含孤儿）。
+    // --project <path>：把「看到」标记与列表限定到单个项目（与 Web 按项目分组一致）——
+    // 缺省全库标记会启动所有项目回收站条目的倒计时，多项目用户应显式限定作用域。
     if (sub === 'deleted') {
-        const sessions = await listDeletedSessions(ctx.db);
+        const projectPath = ctx.args.options.project;
+        let projectId;
+        if (projectPath) {
+            const { existsSync } = await import('node:fs');
+            if (!existsSync(projectPath)) {
+                throw new Error(`sessions deleted: 项目目录不存在：${projectPath}`);
+            }
+            projectId = (await fromDirectory(ctx.db, projectPath)).id;
+        }
+        await touchTrashSeen(ctx.db, projectId ? { projectId } : {});
+        const sessions = await listDeletedSessions(ctx.db, projectId);
         if (sessions.length === 0) {
             write('回收站为空。\n');
             return;
         }
+        if (!projectId) {
+            write('（全库回收站。多项目用户建议加 --project <路径> 限定作用域：全库「看到」标记会启动所有项目条目的保留期倒计时。）\n');
+        }
         for (const s of sessions) {
             const when = s.deletedAt ? new Date(s.deletedAt).toISOString() : '-';
             write(`- ${s.title}  (id: ${s.id}, deleted ${when})\n`);
         }
         return;
     }
-    throw new Error(`sessions: unknown subcommand "${sub}" (expected list|delete|restore|deleted)`);
+    // 彻底删除（不可恢复）：purge <id> 单条；purge --all 清空回收站。
+    // P2：CLI 回收站闭环——此前 CLI 无永久删除途径，条目只能被动等 purge 任务。
+    // 永久操作需 --yes（与 Web 键入确认的「彻底删除/清空回收站」同强度）。
+    if (sub === 'purge') {
+        const all = ctx.args.options.all === true;
+        const yes = ctx.args.options.yes === true;
+        const id = ctx.args.positionals[1];
+        if (!all && !id) {
+            throw new Error('sessions purge: 需要会话 id（purge <id>）或 --all（清空回收站），两者均不可恢复，需 --yes 确认');
+        }
+        if (!yes) {
+            throw new Error(all
+                ? 'sessions purge --all 将永久删除回收站全部会话，不可恢复。确认执行请加 --yes。'
+                : `sessions purge ${id} 将永久删除该会话及其派生分支，不可恢复。确认执行请加 --yes。`);
+        }
+        const deleted = all
+            ? await emptyTrash(ctx.db)
+            : await permanentlyDeleteSession(ctx.db, id ?? '');
+        if (all) {
+            write(`已清空回收站（永久删除 ${deleted} 个会话）。\n`);
+        }
+        else if (deleted > 0) {
+            write(`已永久删除会话 ${id}（含 ${deleted - 1} 个派生会话）。\n`);
+        }
+        else {
+            throw new Error(`sessions purge: 会话不在回收站或不存在：${id}`);
+        }
+        return;
+    }
+    throw new Error(`sessions: unknown subcommand "${sub}" (expected list|delete|restore|deleted|purge)`);
 }
 export { runSessionsCommand };

package/dist/cli/commands/trust.d.ts

@@ -0,0 +1,11 @@
+import type { DB } from '../../db/client.js';
+import type { CommandArgs } from '../parser.js';
+type TrustCommandContext = {
+    args: CommandArgs;
+    db: DB;
+    cwd: string;
+    write?: (s: string) => void;
+};
+declare function runTrustCommand(ctx: TrustCommandContext): Promise<void>;
+export type { TrustCommandContext };
+export { runTrustCommand };

package/dist/cli/commands/trust.js

@@ -0,0 +1,31 @@
+// src/cli/commands/trust.ts — 显式信任项目（P0-2 信任边界）。
+//
+// c0de trust [目录] [--yes]：把目录解析/注册为项目并落盘 trustedAt。
+// 未信任项目携带风险配置时 Web 聊天入口被 409 门禁拦截；项目 .c0de/plugins
+// 在未信任时不加载。本命令是无 Web 场景（headless/CI 前手工审查过仓库）的信任途径。
+// P1：信任前展示即将接受的风险清单（项目风险 + 全局权限风险上下文），有风险时
+// 必须 --yes 显式确认——Web 信任弹窗逐项明示，CLI 不得盲信任。
+// 与 sessions 命令同约束：需要持久库，serve 运行期间报错引导走 Web 界面。
+import { loadConfigScopes } from '../../core/config.js';
+import { fromDirectory, trustProject } from '../../project/project.js';
+import { enrichProjectRiskWithGlobal, summarizeProjectRisk } from '../../project/trust.js';
+async function runTrustCommand(ctx) {
+    const write = ctx.write ?? ((s) => process.stdout.write(s));
+    const dir = ctx.args.positionals[0] ?? ctx.cwd;
+    const yes = ctx.args.options.yes === true;
+    // 信任前明示即将接受的风险（与 Web 信任弹窗同口径：项目风险 + 全局权限风险上下文）。
+    // dir 传入使 summarizeProjectRisk 检测 .c0de/workflows（纯文件系统风险面）。
+    const scopes = loadConfigScopes(dir);
+    const risks = enrichProjectRiskWithGlobal(summarizeProjectRisk(scopes.project, dir), scopes.global);
+    if (risks.length > 0 && !yes) {
+        const lines = risks.map((r) => `  - ${r.kind}: ${r.detail}`).join('\n');
+        throw new Error(`信任「${dir}」将接受以下风险项：\n${lines}\n` +
+            `确认已审查无误后执行 c0de trust ${dir !== ctx.cwd ? `${dir} ` : ''}--yes 显式信任。`);
+    }
+    const project = await fromDirectory(ctx.db, dir);
+    await trustProject(ctx.db, project.id);
+    const accepted = risks.length > 0 ? `（已确认 ${risks.length} 项风险）` : '（无风险项）';
+    write(`已信任项目「${project.name ?? project.worktree}」（${project.worktree}）${accepted}。\n` +
+        `该项目作用域配置（.c0de/config.json）生效，项目插件与工作流在下次启动/刷新后加载。\n`);
+}
+export { runTrustCommand };

package/dist/cli/commands/update.js

@@ -9,6 +9,10 @@ async function runUpdateCommand(ctx) {
     const out = ctx.out ?? ((s) => process.stdout.write(`${s}\n`));
     const check = ctx.checkFn ?? checkForUpdate;
     const result = await check();
+    if (result.checkError) {
+        out('检查更新失败：无法连接 npm registry，请检查网络后重试');
+        return;
+    }
     out(`当前版本 ${result.currentVersion}，最新版本 ${result.latestVersion}`);
     if (!result.hasUpdate) {
         out('已是最新版本');

package/dist/cli/deps.d.ts

@@ -9,11 +9,7 @@ import type { PermissionChecker } from '../tools/types.js';
 type PermissionStrategy = 'full-auto' | 'safe';
 /** 真正非交互模式（print/acp）：所有工具无条件放行（命令由用户显式触发）。 */
 declare const fullyAutoApproveChecker: PermissionChecker;
-/**
- * 非交互模式（print）安全策略（P1-6）：ask 工具**直接拒绝**并给出可操作提示
- * （-y 或 serve），而非返回 permission_required 让 LLM 在无确认通道下无限重试。
- * 拒绝原因作为 tool result 交给模型，模型会向用户转述。
- */
+/** 无白名单的非交互安全策略（保留导出兼容既有调用方）。 */
 declare const nonInteractiveSafeChecker: PermissionChecker;
 /** 把 config.providers 注册到新建的 LLM registry。 */
 declare function buildLLMRegistry(config: Config): Registry;
@@ -23,10 +19,17 @@ type BuildDepsOptions = {
     /** 权限策略：'full-auto' 全部放行；'safe' 只读放行、写操作 ask。不传时按
      * config.permission.defaultMode 决定（'auto'→full-auto，'default'→safe）。 */
     permissionStrategy?: PermissionStrategy;
+    /** --allow 白名单（safe 模式下 ask 工具定向放行）。 */
+    allowTools?: string[];
     /** 测试注入 mock chatStream。 */
     chatStream?: LoopDeps['chatStream'];
 };
+/**
+ * cwd 是否当前可信项目（trustedAt 非空且指纹未漂移）。与聊天门禁/插件加载同口径；
+ * CLI 工作流注册表（内置+用户级+项目级）的构建也用它决定是否 import 项目级文件。
+ */
+declare function resolveCwdProjectTrusted(db: DB, cwd: string): Promise<boolean>;
 /** 组装完整 LoopDeps（默认 safe 放行 + 默认工具注册表）。 */
 declare function buildAgentDeps(config: Config, opts: BuildDepsOptions): Promise<LoopDeps>;
 export type { BuildDepsOptions, PermissionStrategy };
-export { buildAgentDeps, buildLLMRegistry, fullyAutoApproveChecker, nonInteractiveSafeChecker };
+export { buildAgentDeps, buildLLMRegistry, fullyAutoApproveChecker, nonInteractiveSafeChecker, resolveCwdProjectTrusted, };