c0de-agent 1.12.0 → 1.13.0

package/dist/shared/types/agent.d.ts

@@ -84,7 +84,9 @@ type LLMCall = {
         firstToken: number;
         total: number;
     };
-    cost: number;
+    /** 估算成本（USD）。null = 价格未知（provider 未注册或模型无价目），
+     *  聚合时按 $0 计入并单独计数，UI 显式提示——不再静默记 0 造成预算漏报。 */
+    cost: number | null;
     thinking?: string;
     /** 模型回复文本（替代完整 responseChunks；前端只用文本拼接）。 */
     responseText: string;
@@ -149,19 +151,23 @@ type AgentEvent = {
     tool: string;
     input: unknown;
 }
-/** P1-6：权限确认超时（5 分钟）被自动拒绝时通知前端，提供「重新询问」入口。 */
+/** P1-6：权限确认超时（5 分钟）被自动拒绝时通知前端，提供「重新询问」入口。
+ *  timeoutAction 告知兜底动作（pause=拒绝后暂停 run / deny=拒绝后继续），前端据此渲染文案。 */
  | {
     _tag: 'permission_timeout';
     toolCallId: string;
     tool: string;
     input: unknown;
+    timeoutAction: 'pause' | 'deny';
 }
-/** P0 双层超时：提示后仍无响应，pending 已兜底自动拒绝（run 继续）——前端须清理弹窗状态。 */
+/** P0 双层超时：提示后仍无响应，pending 已兜底自动拒绝——前端须清理弹窗状态。
+ *  timeoutAction='pause' 时后端同时暂停 run（status_change(paused) 事件随后到达）。 */
  | {
     _tag: 'permission_expired';
     toolCallId: string;
     tool: string;
     input: unknown;
+    timeoutAction: 'pause' | 'deny';
 } | {
     _tag: 'error';
     error: AgentError;
@@ -169,6 +175,13 @@ type AgentEvent = {
 /** 通知前端：本轮 LLM 调用详情已持久化，应刷新调用详情面板。轻量通知，不带 payload。 */
  | {
     _tag: 'llm_detail';
+}
+/** 工作流执行进度（/workflow run 的 onProgress → SSE progress 事件）：
+ *  前端以横幅展示当前阶段，不再对长工作流黑盒等待。 */
+ | {
+    _tag: 'progress';
+    message: string;
+    detail?: unknown;
 } | {
     _tag: 'subagent_start';
     childId: string;
@@ -248,6 +261,9 @@ type AgentState = {
         provider: string;
         model: string;
     };
+    /** P3 成本护栏：本 run 已因预算超支暂停过一次。恢复后不再重复暂停
+     *  （用户点「恢复」即知情同意继续，反复暂停是骚扰而非护栏）。 */
+    budgetPauseTriggered?: boolean;
     /**
      * 压缩死锁标记：自动压缩成功后仍超阈值（如 keepRecentTokens 本身已超限）时置真，
      * 暂停后续自动压缩以防每轮重复触发（无限循环）。收到新用户消息（agentLoop 重入）时重置。

package/dist/shared/types/config.d.ts

@@ -46,15 +46,30 @@ type WebSearchConfig = {
 };
 /** 多 agent 配置（spec: multi-agent-design §4.12）。 */
 type AgentsConfig = {
-    /** agent markdown 目录（相对项目根），默认 '.c0de/agents'。 */
-    dir: string;
     /** 并行子 agent 数上限，默认 3。 */
     subagentConcurrency: number;
 };
 /** 权限配置：控制工具执行授权的默认行为。 */
 type PermissionConfig = {
-    /** 启动时的默认授权模式：'default' 逐个确认（默认）；'auto' 自动放行 ask 工具（YOLO 自动授权）。 */
+    /**
+     * 启动时的默认授权模式：
+     * - 'default'（默认）：只读工具自动放行；写/执行工具需确认。Web 为交互弹窗；
+     *   CLI 非交互（`c0de chat` 未加 -y）下写/执行工具直接拒绝并提示加 -y 或改 auto。
+     *   （`c0de acp` 恒为 full-auto，由编辑器侧自行控制执行授权，不受本项影响。）
+     * - 'auto'：全部工具自动放行（YOLO）。克隆仓库前务必先审查其 .c0de/config.json。
+     */
     defaultMode: 'default' | 'auto';
+    /**
+     * 权限确认超时（提示后 25 分钟宽限期满）兜底拒绝后的动作：
+     * - 'pause'（默认）：拒绝该工具并暂停 run，用户回来点「恢复」继续——
+     *   避免 default 模式下 agent 在用户缺席时继续自主执行后续工具；
+     * - 'deny'：拒绝该工具，run 继续执行（旧行为，会话绝不挂起）。
+     */
+    timeoutAction?: 'pause' | 'deny';
+    /** 首层确认超时（毫秒）——超过仅提示、pending 保持；默认 5 分钟。 */
+    timeoutMs?: number;
+    /** 首层超时后到兜底自动拒绝的宽限期（毫秒）；默认 25 分钟。 */
+    expireGraceMs?: number;
 };
 /** 自动升级配置（spec §18）。控制后台 npm registry 检查与无感知热更新行为。 */
 type UpdateConfig = {
@@ -87,6 +102,45 @@ type SecurityConfig = {
      *  用于共享主机等 URL 可能泄漏的场景，缩短「先到先得」竞态窗口。 */
     firstDeviceTtlMs?: number;
 };
+/** 用量与成本统计配置。 */
+type UsageConfig = {
+    /** 月度成本预算（USD，按配置价目估算）。0 = 不限制。
+     *  项目口径：当前项目聚合成本超过预算时告警/暂停。
+     *  当前月成本超过预算时，设置页「用量」面板给出醒目告警。 */
+    monthlyBudgetUsd: number;
+    /**
+     * 全局月度成本预算（USD，所有项目 + 未归属调用聚合）。0 = 不限制。
+     *  P1-3：与项目预算并存，任一超支即触发 budgetAction——
+     *  未归属项目/未配置项目预算的花费至少受全局预算兜底。
+     *  仅 global 作用域生效：项目作用域写入会被剥离并忽略（作用域收敛）。 */
+    globalMonthlyBudgetUsd?: number;
+    /**
+     * 月度 token 预算（input + output + cacheRead tokens 之和），0 = 不限制。
+     *  P0：价格独立护栏——自建网关/未登记模型的 cost 恒 $0，金额护栏拦不住，
+     *  token 护栏按 token 量兜底（缓存读取亦按用量计费，故纳入口径）。
+     *  动作由 tokenBudgetAction 决定（缺省回退 budgetAction，向后兼容）。 */
+    monthlyTokenBudget?: number;
+    /**
+     * 全局月度 token 预算（所有项目 + 未归属调用聚合），0 = 不限制。
+     *  与 monthlyTokenBudget 并存，任一超支即按 tokenBudgetAction 触发。
+     *  仅 global 作用域生效（与 globalMonthlyBudgetUsd 同口径）。 */
+    globalMonthlyTokenBudget?: number;
+    /**
+     * 超支动作（P3 成本护栏），作用于**金额**预算：
+     * - 'warn'（默认）：仅告警（顶栏徽标/用量面板），agent 继续执行；
+     * - 'pause'：新一轮 LLM 请求前发现当月成本超预算 → 暂停 run（等同权限超时
+     *   暂停机制），用户点「恢复」后本 run 不再因预算重复暂停（用户已知情）；
+     * - 'abort'：新一轮 LLM 请求前发现超预算 → 中止 run（硬封顶，无「恢复」按钮，
+     *   需重新发送消息/调高预算后重试），适合需要「撞线即硬停、不可在界面原地放行」的场景。
+     */
+    budgetAction?: 'warn' | 'pause' | 'abort';
+    /**
+     * token 预算的超支动作，独立于金额预算（P：token 是兜底口径，用户可能希望
+     * 「金额超支暂停、token 超支只告警」或反之）。缺省回退 budgetAction。
+     * 语义同 budgetAction：'pause'/'abort' 硬性暂停/中止，'warn' 仅徽标/面板告警。
+     */
+    tokenBudgetAction?: 'warn' | 'pause' | 'abort';
+};
 /** Global application configuration. */
 type Config = {
     providers: ProviderConfig[];
@@ -125,6 +179,7 @@ type Config = {
     agents: AgentsConfig;
     permission: PermissionConfig;
     update: UpdateConfig;
+    usage: UsageConfig;
     theme: 'light' | 'dark' | 'system';
 };
-export type { AgentsConfig, CompactionConfig, Config, MCPServerConfig, PermissionConfig, SecurityConfig, ToolMetricsConfig, UpdateConfig, WebSearchConfig, };
+export type { AgentsConfig, CompactionConfig, Config, MCPServerConfig, PermissionConfig, SecurityConfig, ToolMetricsConfig, UpdateConfig, UsageConfig, WebSearchConfig, };

package/dist/shared/types/kanban.d.ts

@@ -30,10 +30,10 @@ type KanbanCard = {
     createdAt: string;
     updatedAt: string;
 };
-/** A kanban board (one per project). */
+/** A kanban board (one per project). P2-5：回收站（软删除）看板 projectId 为 null。 */
 type KanbanBoard = {
     id: string;
-    projectId: string;
+    projectId: string | null;
     columns: KanbanColumnDef[];
     labels: KanbanLabelDef[];
     createdAt: string;
@@ -51,6 +51,8 @@ declare const KANBAN_LABEL_COLORS: readonly string[];
  *  implementation, mirroring the todoState pattern). */
 interface KanbanStore {
     getBoard(): Promise<KanbanBoardWithCards>;
+    /** 只读获取板（不懒创建）：纯读路径（导出等）用，无板返回 null。 */
+    peekBoard(): Promise<KanbanBoardWithCards | null>;
     addCard(input: {
         title: string;
         description?: string | null;

package/dist/shared/types/message.d.ts

@@ -48,10 +48,18 @@ type SessionMetadata = {
     mainThreadId?: string;
     squashCount?: number;
     fileSnapshots?: string[];
+    /** 工作流运行会话对应的 /workflow 名称（创建时写入；中断恢复指引展示用）。 */
+    workflowName?: string;
     /** 本会话分段增量 LLM 调用记录，用于调用详情面板展示。 */
     segments?: LLMSegment[];
     /** 上次 agent run 状态；status='running' 且进程无活跃 run → 被中断。 */
     lastRun?: LastRun;
+    /** M3：中断 run 的半截轮次区间起点——最后一条含文本 user 消息的条目 id。
+     *  区间 (since, until] 内的条目属「未完成轮次」：构建上下文时剔除、时间线置灰。
+     *  与 unfinishedUntilEntryId 成对使用；条目被 /clear、压缩归档后区间自然失效（no-op）。 */
+    unfinishedSinceEntryId?: string;
+    /** M3：中断轮次区间终点——标记时数据库中最后一条条目的 id（含）。 */
+    unfinishedUntilEntryId?: string;
     /** 上次打开时间戳（ms），用于会话列表按最近打开排序。 */
     lastOpenedAt?: number;
     /** P2：会话级授权模式覆盖（'auto'/'default'），跨重启持久化。 */
@@ -63,6 +71,12 @@ type SessionMetadata = {
     /** 回收站条目已到期、进入物理清除宽限期的时间戳（ms）。
      *  到期先标记，宽限期（默认 7 天）内可在 UI 恢复；期满后由 purgeDeletedSessions 物理清除。 */
     purgePendingAt?: number;
+    /**
+     * P2-3：最近一次预算超支暂停的原因（loop 暂停时写入）。热更新/重启后 run 重建，
+     * 内存 budgetPauseTriggered 标记丢失——新 run 启动时消费此字段还原标记，
+     * 避免用户已确认继续后又被同一超支原因二次暂停。消费即删除（单次语义）。
+     */
+    budgetPauseReason?: string;
 };
 /** A conversation session (may have a parent for branching). */
 type Session = {

package/dist/tools/builtin/kanban.js

@@ -31,6 +31,17 @@ function formatBoardSummary(board, errors = []) {
         if (cards.length === 0)
             lines.push('  (empty)');
     }
+    // P1 修复：历史幽灵卡片（列 id 不在当前列配置，旧版本脏数据）单独列出并附
+    // 完整 id——否则对 agent 完全不可见（且 Total 与列之和恒对不上），无法清理。
+    const colIds = new Set(board.columns.map((c) => c.id));
+    const orphans = board.cards.filter((c) => !colIds.has(c.columnId));
+    if (orphans.length > 0) {
+        lines.push(`## 未归属列 (${orphans.length})`);
+        for (const card of orphans) {
+            lines.push(`  [${card.id}] "${card.title}"（引用已不存在的列 "${card.columnId}"，` +
+                `可 delete 清理或 move 到现有列）`);
+        }
+    }
     const total = board.cards.length;
     lines.push(`\nTotal: ${total} card(s).`);
     if (total === 0)
@@ -84,12 +95,12 @@ export const kanbanTool = {
     name: 'kanban',
     description: `Manage the project's shared kanban task board. 5 operations:
 - view: list all columns and cards (read-only)
-- add: create a new task card (title required; optional description, columnId defaults to todo, priority defaults to medium, labels)
+- add: create a new task card (title required; optional description, columnId defaults to the board's first column, priority defaults to medium, labels)
 - update: edit a card's title/description/priority/labels (id required)
 - move: move a card to a different column or reorder (id + columnId required; optional position)
 - delete: remove a card (id required)
 
-The board is shared across all sessions and agents in the same project — use it to coordinate work, track tasks visible to the user, and break down complex projects. Column ids are: todo, in_progress, in_review, done, cancelled (customizable by the user via the board config UI).`,
+The board is shared across all sessions and agents in the same project — use it to coordinate work, track tasks visible to the user, and break down complex projects. Column ids are user-configurable: do NOT guess them — run \`view\` first to discover the current columns, then reuse those exact ids. Adding/moving to an unknown column id fails with the list of valid ids.`,
     parameters: kanbanParameters,
     permission: 'auto',
     execute: async (input, ctx) => {

package/dist/tools/index.d.ts

@@ -34,10 +34,21 @@ import type { ToolRegistry } from './types.js';
  */
 export declare function createDefaultRegistry(config?: Config): ToolRegistry;
 /**
- * 解析本轮启用的工具名列表（P1-1 修复：config.tools.enabled/disabled 双入口统一生效）。
+ * 解析本轮启用的工具名列表（config.tools.enabled/disabled 双入口统一生效）。
  *
- * - explicit（前端显式选择）非 undefined → 以其为准，但过滤掉 disabled 与未注册名。
- * - 否则 enabled 非空 → enabled ∩ registered；enabled 空 → 全部 registered（空=全部）。
+ * 语义（P1-1 修复「空=全部」安全陷阱 + P2 交集收紧）：
+ * - explicit（前端显式选择）非 undefined → 与 config.tools.enabled 取交集——
+ *   enabled 含 '*' 或未配置时视为无上限（explicit 原样生效）。此前 explicit 完全
+ *   覆盖 enabled：config.tools.enabled=[] 的 fail-closed 语义可被请求级 tools
+ *   静默绕过，设置页「禁用全部」与实际行为矛盾。
+ * - 否则 config.tools.enabled：含 '*'（通配）→ 全部注册工具；
+ *   空数组 → 无工具（fail-closed）；否则 → 显式名单。
  * - disabled 恒过滤（registry 已排除，此处兜底）。
  */
 export declare function resolveEnabledToolNames(registry: ToolRegistry, config: Pick<Config, 'tools'>, explicit?: string[]): string[];
+/**
+ * 依赖「会话绑定项目」的工具：其运行时依赖（如 kanban 的 kanbanStore）由宿主按
+ * session.projectId 注入——无项目会话（CLI print 未注册 cwd 等）调用必失败，
+ * 只会浪费一轮工具调用。会话无 projectId 时从工具集中剔除。
+ */
+export declare const PROJECT_BOUND_TOOLS: ReadonlySet<string>;

package/dist/tools/index.js

@@ -66,16 +66,34 @@ export function createDefaultRegistry(config = DEFAULT_CONFIG) {
     return reg;
 }
 /**
- * 解析本轮启用的工具名列表（P1-1 修复：config.tools.enabled/disabled 双入口统一生效）。
+ * 解析本轮启用的工具名列表（config.tools.enabled/disabled 双入口统一生效）。
  *
- * - explicit（前端显式选择）非 undefined → 以其为准，但过滤掉 disabled 与未注册名。
- * - 否则 enabled 非空 → enabled ∩ registered；enabled 空 → 全部 registered（空=全部）。
+ * 语义（P1-1 修复「空=全部」安全陷阱 + P2 交集收紧）：
+ * - explicit（前端显式选择）非 undefined → 与 config.tools.enabled 取交集——
+ *   enabled 含 '*' 或未配置时视为无上限（explicit 原样生效）。此前 explicit 完全
+ *   覆盖 enabled：config.tools.enabled=[] 的 fail-closed 语义可被请求级 tools
+ *   静默绕过，设置页「禁用全部」与实际行为矛盾。
+ * - 否则 config.tools.enabled：含 '*'（通配）→ 全部注册工具；
+ *   空数组 → 无工具（fail-closed）；否则 → 显式名单。
  * - disabled 恒过滤（registry 已排除，此处兜底）。
  */
 export function resolveEnabledToolNames(registry, config, explicit) {
     const all = listTools(registry).map((t) => t.name);
     const disabled = new Set(config.tools?.disabled ?? []);
-    const base = explicit ??
-        (config.tools?.enabled && config.tools.enabled.length > 0 ? config.tools.enabled : all);
+    const enabled = config.tools?.enabled;
+    const enabledIsWildcard = enabled === undefined || (enabled.length > 0 && enabled.includes('*'));
+    const base = explicit !== undefined
+        ? enabledIsWildcard
+            ? explicit
+            : explicit.filter((n) => enabled.includes(n))
+        : enabledIsWildcard
+            ? all
+            : (enabled ?? []);
     return base.filter((n) => all.includes(n) && !disabled.has(n));
 }
+/**
+ * 依赖「会话绑定项目」的工具：其运行时依赖（如 kanban 的 kanbanStore）由宿主按
+ * session.projectId 注入——无项目会话（CLI print 未注册 cwd 等）调用必失败，
+ * 只会浪费一轮工具调用。会话无 projectId 时从工具集中剔除。
+ */
+export const PROJECT_BOUND_TOOLS = new Set(['kanban']);

package/dist/tools/websearch/index.d.ts

@@ -10,7 +10,11 @@ export declare function resolveProvider(preference: 'auto' | WebSearchProviderId
 export declare function formatForLLM(response: WebSearchResponse): string;
 /** 测试钩子：覆盖默认 fetch（undici ProxyAgent 包装版）。 */
 export declare function setFetchOverride(f: typeof fetch | undefined): void;
-/** 工具入口：解析 provider → search → 返回 WebSearchResponse。 */
+/** 工具入口：解析 provider → search → 返回 WebSearchResponse。
+ *  'auto' 模式带运行时降级链：候选后端按 key 可用性排列（tavily > brave >
+ *  duckduckgo），当前后端因鉴权/限流/服务端/网络错误失败时依次降级——
+ *  此前 auto 只按 key **存在性**选一次，key 失效/过期即整体失败。
+ *  显式指定后端时尊重用户选择，单后端不降级。abort 立即上抛，不沿链继续。 */
 export declare function runWebSearch(input: {
     query: string;
     numResults?: number;

package/dist/tools/websearch/index.js

@@ -65,17 +65,53 @@ export function setFetchOverride(f) {
 function currentFetch() {
     return fetchOverride ?? createFetch();
 }
-/** 工具入口：解析 provider → search → 返回 WebSearchResponse。 */
+/** 运行时降级判定：鉴权失效（key 过期/被撤）、限流、服务端错误可换后端重试；
+ *  4xx 参数错误（400 等）换后端无意义；网络层错误（无 status）也降级（该后端连通性
+ *  问题，duckduckgo 兜底）。 */
+function isFallbackable(err) {
+    const status = err?.status;
+    return (typeof status !== 'number' ||
+        status >= 500 ||
+        status === 401 ||
+        status === 403 ||
+        status === 429);
+}
+/** 工具入口：解析 provider → search → 返回 WebSearchResponse。
+ *  'auto' 模式带运行时降级链：候选后端按 key 可用性排列（tavily > brave >
+ *  duckduckgo），当前后端因鉴权/限流/服务端/网络错误失败时依次降级——
+ *  此前 auto 只按 key **存在性**选一次，key 失效/过期即整体失败。
+ *  显式指定后端时尊重用户选择，单后端不降级。abort 立即上抛，不沿链继续。 */
 export async function runWebSearch(input, config, abort) {
     const keys = resolveKeys(config);
-    const provider = resolveProvider(config.provider, keys);
-    return provider.search({
+    const apiKeyFor = (provider) => provider.id === 'tavily' ? keys.tavily : provider.id === 'brave' ? keys.brave : undefined;
+    const search = (provider) => provider.search({
         query: input.query,
         limit: clampNumResults(input.numResults),
         recency: input.recency,
         signal: abort,
-        apiKey: provider.id === 'tavily' ? keys.tavily : provider.id === 'brave' ? keys.brave : undefined,
+        apiKey: apiKeyFor(provider),
         fetchImpl: currentFetch(),
     });
+    if (config.provider === 'auto') {
+        const chain = [tavilyProvider, braveProvider, duckduckgoProvider].filter((p) => p.isAvailable(apiKeyFor(p)));
+        let lastError = null;
+        for (const provider of chain) {
+            try {
+                return await search(provider);
+            }
+            catch (err) {
+                if (abort.aborted)
+                    throw err;
+                if (!isFallbackable(err))
+                    throw err;
+                lastError = err;
+            }
+        }
+        if (lastError instanceof Error)
+            throw lastError;
+        throw new Error(`websearch 无可用后端：${String(lastError)}`);
+    }
+    const provider = resolveProvider(config.provider, keys);
+    return search(provider);
 }
 export { clampNumResults, DEFAULT_NUM_RESULTS };

package/dist/tools/websearch/providers/brave.js

@@ -1,4 +1,4 @@
-import { DEFAULT_NUM_RESULTS } from '../types.js';
+import { DEFAULT_NUM_RESULTS, httpStatusError } from '../types.js';
 const BRAVE_SEARCH_URL = 'https://api.search.brave.com/res/v1/web/search';
 /** 导出供测试：recency → Brave freshness 代码映射。 */
 export function recencyToFreshness(recency) {
@@ -39,7 +39,7 @@ export const braveProvider = {
         });
         if (!response.ok) {
             const text = await response.text().catch(() => response.statusText);
-            throw new Error(`Brave API error (${response.status}): ${text}`);
+            throw httpStatusError(`Brave API error (${response.status}): ${text}`, response.status);
         }
         const data = (await response.json());
         const sources = [];

package/dist/tools/websearch/providers/duckduckgo.js

@@ -1,3 +1,4 @@
+import { httpStatusError } from '../types.js';
 const DUCKDUCKGO_SEARCH_URL = 'https://api.duckduckgo.com/';
 const AGENT_TOKEN = 'c0de-agent';
 function cleanText(value) {
@@ -49,7 +50,7 @@ async function callDuckDuckGoSearch(params) {
     });
     if (!response.ok) {
         const text = await response.text().catch(() => response.statusText);
-        throw new Error(`DuckDuckGo API error (${response.status}): ${text}`);
+        throw httpStatusError(`DuckDuckGo API error (${response.status}): ${text}`, response.status);
     }
     return (await response.json());
 }

package/dist/tools/websearch/providers/tavily.js

@@ -1,4 +1,4 @@
-import { DEFAULT_NUM_RESULTS, MAX_NUM_RESULTS, MIN_NUM_RESULTS } from '../types.js';
+import { DEFAULT_NUM_RESULTS, httpStatusError, MAX_NUM_RESULTS, MIN_NUM_RESULTS } from '../types.js';
 const TAVILY_SEARCH_URL = 'https://api.tavily.com/search';
 function clamp(n) {
     if (n === undefined || Number.isNaN(n))
@@ -62,7 +62,7 @@ async function callTavilySearch(apiKey, params) {
     if (!response.ok) {
         const raw = await response.text().catch(() => response.statusText);
         const msg = getErrorMessage(safeParse(raw)) ?? (raw.trim() || response.statusText);
-        throw new Error(`Tavily API error (${response.status}): ${msg}`);
+        throw httpStatusError(`Tavily API error (${response.status}): ${msg}`, response.status);
     }
     return (await response.json());
 }

package/dist/tools/websearch/types.d.ts

@@ -47,5 +47,9 @@ declare const MAX_NUM_RESULTS = 20;
 declare const MIN_NUM_RESULTS = 1;
 /** clamp 结果数到 [MIN, MAX]；undefined/NaN 回退到 fallback。 */
 declare function clampNumResults(n: number | undefined, fallback?: number): number;
+/** 携带 HTTP 状态码的错误（降级链按 401/403/429/5xx 判定是否换后端重试）。 */
+declare function httpStatusError(message: string, status: number): Error & {
+    status: number;
+};
 export type { Recency, WebSearchParams, WebSearchProvider, WebSearchProviderId, WebSearchResponse, WebSearchSource, };
-export { clampNumResults, DEFAULT_NUM_RESULTS, MAX_NUM_RESULTS, MIN_NUM_RESULTS };
+export { clampNumResults, DEFAULT_NUM_RESULTS, httpStatusError, MAX_NUM_RESULTS, MIN_NUM_RESULTS };

package/dist/tools/websearch/types.js

@@ -15,4 +15,10 @@ function clampNumResults(n, fallback = DEFAULT_NUM_RESULTS) {
         return fallback;
     return Math.min(MAX_NUM_RESULTS, Math.max(MIN_NUM_RESULTS, Math.trunc(n)));
 }
-export { clampNumResults, DEFAULT_NUM_RESULTS, MAX_NUM_RESULTS, MIN_NUM_RESULTS };
+/** 携带 HTTP 状态码的错误（降级链按 401/403/429/5xx 判定是否换后端重试）。 */
+function httpStatusError(message, status) {
+    const err = new Error(message);
+    err.status = status;
+    return err;
+}
+export { clampNumResults, DEFAULT_NUM_RESULTS, httpStatusError, MAX_NUM_RESULTS, MIN_NUM_RESULTS };

package/dist/update/scheduler.js

@@ -1,3 +1,4 @@
+import { getCurrentVersion } from './version.js';
 const DEFAULT_INTERVAL_MS = 60 * 60 * 1000;
 const DEFAULT_INITIAL_DELAY_MS = 10_000;
 function createUpdateScheduler(opts) {
@@ -14,8 +15,10 @@ function createUpdateScheduler(opts) {
             r = await opts.checkFn();
         }
         catch {
-            // 异常降级：缓存 hasUpdate:false，但不触发 onUpdate（避免误报）。
-            lastResult = { hasUpdate: false, currentVersion: '0.0.0', latestVersion: '0.0.0' };
+            // 异常降级：缓存 hasUpdate:false + checkError，且保留真实当前版本
+            //（此前写死 '0.0.0'，前端/API 会展示错误版本号）。不触发 onUpdate（避免误报）。
+            const v = getCurrentVersion();
+            lastResult = { hasUpdate: false, currentVersion: v, latestVersion: v, checkError: true };
             return lastResult;
         }
         lastResult = r;

package/dist/update/snapshot.d.ts

@@ -26,6 +26,17 @@ type SerializedEntry = {
     tokenCount: number;
     createdAt: number;
 };
+/** 序列化后的终端元信息（热更新后新实例按原 id 重建 shell）。 */
+type SerializedTerminal = {
+    id: string;
+    shell: string;
+    cwd: string;
+    title: string;
+    projectId?: string;
+    /** P3-7：用户勾选「更新后自动重启」的前台命令（如 `npm run dev`）；
+     *  新实例重建 shell 后把该命令写入 stdin 重跑。仅显式勾选才携带。 */
+    command?: string;
+};
 /** 热更新迁移快照（spec §18.2）。 */
 type SessionSnapshot = {
     version: string;
@@ -33,12 +44,15 @@ type SessionSnapshot = {
     entries: SerializedEntry[];
     config: unknown;
     timestamp: number;
+    /** P1：活跃终端元信息——进程无法续命，新实例据此在原位重建 shell（同 id，
+     *  前端持久化布局可无感重连）。旧快照缺省视为无终端。 */
+    terminals?: SerializedTerminal[];
 };
 /** 按 parentId 拓扑序排列 sessions，使父会话先于子会话插入（满足自引用 FK）。 */
 declare function orderSessionsByParent(list: SerializedSession[]): SerializedSession[];
-/** 从 DB 导出所有会话与条目为可序列化快照。 */
-declare function serializeSessions(handle: DB, config?: unknown): Promise<SessionSnapshot>;
+/** 从 DB 导出所有会话与条目为可序列化快照。terminals 为活跃终端元信息（可选）。 */
+declare function serializeSessions(handle: DB, config?: unknown, terminals?: SerializedTerminal[]): Promise<SessionSnapshot>;
 /** 把快照导入 DB（保留原始 id 与时间戳；父会话先插入以满足 FK）。 */
 declare function restoreSessions(handle: DB, snapshot: SessionSnapshot): Promise<void>;
-export type { SerializedEntry, SerializedSession, SessionSnapshot };
+export type { SerializedEntry, SerializedSession, SerializedTerminal, SessionSnapshot };
 export { orderSessionsByParent, restoreSessions, serializeSessions };

package/dist/update/snapshot.js

@@ -54,8 +54,8 @@ function orderSessionsByParent(list) {
         visit(s);
     return ordered;
 }
-/** 从 DB 导出所有会话与条目为可序列化快照。 */
-async function serializeSessions(handle, config) {
+/** 从 DB 导出所有会话与条目为可序列化快照。terminals 为活跃终端元信息（可选）。 */
+async function serializeSessions(handle, config, terminals) {
     const [sRows, eRows] = await Promise.all([
         handle.db.select().from(sessions),
         handle.db.select().from(sessionEntries),
@@ -66,6 +66,7 @@ async function serializeSessions(handle, config) {
         entries: eRows.map(toSerializedEntry),
         config: config ?? null,
         timestamp: Date.now(),
+        ...(terminals && terminals.length > 0 ? { terminals } : {}),
     };
 }
 /** 把快照导入 DB（保留原始 id 与时间戳；父会话先插入以满足 FK）。 */

package/dist/update/updater.d.ts

@@ -51,6 +51,8 @@ type HotUpdateOptions = {
     handoffPort?: number;
     /** 旧实例主服务端口；新实例 --port 复用（保证接管同一地址）。 */
     port?: number;
+    /** 旧实例绑定地址；新实例 --host 复用（保证接管同一地址）。 */
+    host?: string;
     /** 传给新实例的认证 token（经环境变量 C0DE_AUTH_TOKEN），保证新旧实例握手同 token。 */
     authToken?: string;
     /** 手动安装等待程序文件变更的超时（ms）；默认 10 分钟，超时放弃等待。 */

package/dist/update/updater.js

@@ -170,7 +170,7 @@ function defaultSpawn(_snapshotPath, argv, opts) {
         }
     });
 }
-/** 组装新实例 argv（serve --restore <snapshot> [--port] [--handoff-port]）。 */
+/** 组装新实例 argv（serve --restore <snapshot> [--port] [--host] [--handoff-port]）。 */
 function buildSpawnArgv(snapshotPath, opts) {
     const restoreFlag = opts.restoreFlag ?? '--restore';
     const argv = [
@@ -178,6 +178,7 @@ function buildSpawnArgv(snapshotPath, opts) {
         restoreFlag,
         snapshotPath,
         ...(opts.port !== undefined ? ['--port', String(opts.port)] : []),
+        ...(opts.host ? ['--host', opts.host] : []),
     ];
     if (opts.handoffPort !== undefined) {
         argv.push('--handoff-port', String(opts.handoffPort));

package/dist/update/version.d.ts

@@ -3,6 +3,9 @@ type UpdateCheckResult = {
     currentVersion: string;
     latestVersion: string;
     releaseNotes?: string;
+    /** P3-8：检查本身失败（网络/registry 异常），与「已是最新」区分——
+     *  消费方据此给出「稍后重试」而非误导性的「无更新」。 */
+    checkError?: boolean;
 };
 type CheckOptions = {
     fetchImpl?: typeof fetch;

package/dist/update/version.js

@@ -48,16 +48,22 @@ async function checkForUpdate(opts = {}) {
     };
     try {
         const res = await fetchImpl(`${registry}/${pkg}/latest`);
-        if (!res.ok)
+        if (!res.ok) {
+            // 非 200（404/5xx/限流）→ 检查失败而非无更新
+            result.checkError = true;
             return result;
+        }
         const data = (await res.json());
-        if (!data.version)
+        if (!data.version) {
+            result.checkError = true;
             return result;
+        }
         result.latestVersion = data.version;
         result.hasUpdate = compareSemver(current, data.version) < 0;
     }
     catch {
-        // 离线/网络错误：保守地报告无更新
+        // 离线/网络错误：保守地报告无更新，但标记检查失败供上层区分提示
+        result.checkError = true;
     }
     return result;
 }

package/drizzle/0010_usage_events_ledger.sql

@@ -0,0 +1,17 @@
+CREATE TABLE "usage_events" (
+	"id" uuid PRIMARY KEY DEFAULT gen_random_uuid() NOT NULL,
+	"call_id" uuid NOT NULL,
+	"session_id" uuid,
+	"project_id" text,
+	"provider" text NOT NULL,
+	"model" text NOT NULL,
+	"input_tokens" bigint DEFAULT 0 NOT NULL,
+	"output_tokens" bigint DEFAULT 0 NOT NULL,
+	"cache_read" bigint DEFAULT 0,
+	"cost" real,
+	"timestamp" bigint NOT NULL
+);
+--> statement-breakpoint
+CREATE UNIQUE INDEX "uq_usage_events_call" ON "usage_events" USING btree ("call_id");--> statement-breakpoint
+CREATE INDEX "idx_usage_events_project_ts" ON "usage_events" USING btree ("project_id","timestamp");--> statement-breakpoint
+CREATE INDEX "idx_usage_events_ts" ON "usage_events" USING btree ("timestamp");

package/drizzle/0011_slow_slapstick.sql

@@ -0,0 +1,12 @@
+CREATE TABLE "app_meta" (
+	"key" text PRIMARY KEY NOT NULL,
+	"value" text NOT NULL
+);
+--> statement-breakpoint
+ALTER TABLE "kanban_boards" DROP CONSTRAINT "kanban_boards_project_id_projects_id_fk";
+--> statement-breakpoint
+ALTER TABLE "kanban_boards" ALTER COLUMN "project_id" DROP NOT NULL;--> statement-breakpoint
+ALTER TABLE "kanban_boards" ADD COLUMN "deleted_at" timestamp with time zone DEFAULT null;--> statement-breakpoint
+ALTER TABLE "kanban_boards" ADD COLUMN "deleted_project_name" text;--> statement-breakpoint
+ALTER TABLE "projects" ADD COLUMN "trusted_at" timestamp with time zone DEFAULT null;--> statement-breakpoint
+ALTER TABLE "kanban_boards" ADD CONSTRAINT "kanban_boards_project_id_projects_id_fk" FOREIGN KEY ("project_id") REFERENCES "public"."projects"("id") ON DELETE set null ON UPDATE no action;

package/drizzle/0012_chief_timeslip.sql

@@ -0,0 +1 @@
+ALTER TABLE "kanban_boards" ADD COLUMN "purge_pending_at" timestamp with time zone DEFAULT null;

package/drizzle/0013_swift_zeigeist.sql

@@ -0,0 +1 @@
+ALTER TABLE "kanban_boards" ADD COLUMN "deleted_project_worktree" text;

package/drizzle/0014_flimsy_legion.sql

@@ -0,0 +1 @@
+ALTER TABLE "projects" ADD COLUMN "risk_fingerprint" text DEFAULT null;