chainlesschain 0.162.167 → 0.162.169

package/src/data/changelog.json

@@ -3,7 +3,7 @@
   "releases": [
     {
       "productVersion": "Unreleased",
-      "cliVersion": "0.162.167",
+      "cliVersion": "0.162.169",
       "cliVersions": [
         "0.4.46",
         "0.4.51",
@@ -25,13 +25,23 @@
         "0.162.164",
         "0.162.165",
         "0.162.166",
-        "0.162.167"
+        "0.162.167",
+        "0.162.168",
+        "0.162.169"
       ],
       "date": null,
       "title": "",
       "sections": [
         {
-          "heading": "Added — cc CLI 0.162.167：增量 gap-analysis 收尾——P0 沙箱远程脚本执行检测 + 4 个生命周期事件钩子生产者（CwdChanged / Worktree\\* / InstructionsLoaded）+ doctor 孤儿子进程 + 4 项杂项 gap 接线（CLI-only npm 发版）",
+          "heading": "Added — cc CLI 0.162.169：增量 gap-analysis 收口批——后台 Agent `needs_input`/`uncertain_side_effect` 真实生产者 + IDE stream 路径副作用台账 + post-edit 诊断多根 + plugin 安装入统一 install 审计（CLI-only npm 发版）",
+          "body": "> `chainlesschain` 0.162.168 → **0.162.169** 发 npm `latest`（经 `npm-publish.yml`，`--provenance --access public`）。纯 `packages/cli/src` 增量（4 个 feat/fix commit + 测试 + gap-analysis 文档状态）；未触 `pdh/lib` → 无 Android cc bundle rollover / 无 USR_VERSION 改动。**无新增顶层命令，命令数 175 不变**。默认路径全部字节不变——唯一行为变化限**后台** agent 子进程（`ask_user_question` 从 `user_not_reachable` 变为 park 成 `needs_input`，前台/headless 不受影响）。\n\n- **P0 后台 Agent：`needs_input` + `uncertain_side_effect` 真实生产者（状态机相位收口）**：最后两个无生产者相位补齐。`uncertain_side_effect`——后台子进程 `--resume` 时 side-effect ledger reconcile 出 **UNKNOWN 结局**的不可逆操作（inspect 桶），即把 `phase:\"uncertain_side_effect\"` + 计数写进共享 state，Dashboard 归入 \"Needs input\"（unknown 必须人工确认）；worker 在下一 turn/idle 边界清注解。`needs_input`（**提问**态，区别于审批）——后台 turn 子进程的 `ask_user_question` 现在有人接：把 `phase:\"needs_input\"` + `pendingQuestion:{question,options}` 写进 state、指示模型结束回合，用户经 attach 的回复作为下一 turn 到达；新纯核 `idlePhaseFor` 保证**未答问题在 idle 边界不降级为 Idle**。session-lifecycle/phase 词表/Dashboard 分组同步扩齐；前台运行不供 interaction → 既有 `user_not_reachable` 路径逐字节不变。\n- **P0-2 IDE stream 路径副作用台账（崩溃恢复补全第三路）**：crash-safe side-effect ledger（prepare→start→commit|fail 记账 + resume 时 verify-before-replay reconcile）此前只在单-prompt runner 与 WS bridge——IDE 双面板真正驱动的 **headless-stream**（`--input-format stream-json --resume`）没有：面板 worker 在 git push/publish/opaque shell 中途被杀，resume 后无恢复通知、可能盲目重放。现 stream 孪生路径同样记账（副作用 settle 前持久化快照），resume 时 reconcile 并把 Recovery notice 以 system 消息 + `raw/side_effect_recovery` 行双路发出（已发的 VS 0.37.16 / JB 0.4.60 面板已渲染该行）。匿名/`--ephemeral` 运行字节不变。\n- **P2 LSP：post-edit 诊断多根**：`_postEditDiagnostics` 的根选择不再恒 cwd——三个编辑工具（write_file/edit_file/edit_file_hashed）按**包含被编辑文件的根**（`pickRootForFile`，镜像 code_intelligence）做 server 探测与共享池 key，编辑 `--add-dir` 根内文件时诊断走它自己项目的语言服务器而非静默降级为无诊断。单根会话字节不变。\n- **P0 沙箱：plugin 安装入统一 install 审计（「下载并运行第三方代码」三入口收口）**：`cc plugin add`/`upgrade` 拉来的插件带可执行组件（bin/hooks/LSP/MCP 以进程运行），本质是 plugin-runtime 版的 `npm install -g`——现与 run_shell 安装、run_code 自动安装共用同一 opt-in 审计 trail（`CC_INSTALL_AUDIT`/settings `installPolicy` → `install-commands.jsonl`）：新纯核 `classifyPluginInstall`（manager `cc-plugin`、`name@version`、**仅 user scope 判 global**、source URL + 已声明能力 token 随行），add 成功后与 upgrade **真落盘**新版本后记 `source:\"plugin_install\"`（up-to-date no-op 不记）。默认（策略关）零写；审计 best-effort 绝不破坏安装。"
+        },
+        {
+          "heading": "Added — cc CLI 0.162.168：增量 gap-analysis 第二批接线——后台 Agent「等待审批」真实状态 + hook 事件溯源（trace/parent）+ LSP 多根与重启退避默认开 + 严格 hook 合并真并行 + 大仓 subagent worktree/子树指令 + run_code install 审计（CLI-only npm 发版）",
+          "body": "> `chainlesschain` 0.162.167 → **0.162.168** 发 npm `latest`（经 `npm-publish.yml`，`--provenance --access public`）。纯 `packages/cli/src` 增量（10 个 feat commit + 测试 + gap-analysis 文档状态）；未触 `pdh/lib` → 无 Android cc bundle rollover / 无 USR_VERSION 改动。**无新增顶层命令，命令数 175 不变**。绝大多数改动 opt-in / 默认路径字节不变；**两处默认行为变化**（均可 env 关）：LSP 重启退避默认开（`CC_LSP_RESTART_BACKOFF_MS=0` 恢复旧行为）与子树指令懒注入默认开（`CC_SUBTREE_INSTRUCTIONS=0` 关）。\n\n- **P0 后台 Agent：`waiting_permission` 真实生产者**：后台 agent 卡在人工审批（`--permission-prompt-tool` / `--remote-control`）时不再永远显示 \"Working\"——agent 子进程（经 worker 注入的 `CC_BACKGROUND_AGENT_ID`）在审批 pending 期间把 `phase:\"waiting_permission\"` + 实时 `pendingApprovals` 计数写进共享 state，settle 即恢复；Dashboard \"Needs input\" 分组从此有真数据。前台运行返回同一 confirmer 函数对象、零 IO 字节不变；worker 在每回合开始与 idle 重置计数，被 SIGKILL 于审批中途的子进程不会把会话永久钉在 \"Needs input\"。\n- **P0 沙箱：统一 install 审计扩到 `run_code`**：分类器新识别模块调用 `python`/`python3`/`py` `-m pip install …`（含 `sudo` 包裹；`-m http.server`/`-m venv`/`setup.py install` 不误报）；`run_code` 的 pip 自动安装 installed/failed 尝试在同一 opt-in 策略（`CC_INSTALL_AUDIT` / settings `installPolicy`）下落统一 `install-commands.jsonl`（`source:\"run_code_auto_install\"` + pip 分类 + global 判定）——一份审计覆盖所有「下载并运行第三方代码」入口。\n- **P2 Hooks：strictest-merge 决策合并（opt-in `CC_HOOK_STRICT_MERGE=1`）+ PreToolUse 真并行**：修掉真实安全缺口——原按序短路下**较早**的一个 `ask` 会掩盖**较晚**一个 hook 的 `block`（blocker 根本没跑）。开启后跑完全部匹配 hook 取最严（block>ask>allow>continue）；PreToolUse 路径经异步 spawn **真并行**（wall-clock=最慢单 hook 而非求和，硬超时 SIGKILL 挂死 hook）。默认关=逐字节原短路行为。\n- **P2 Hooks：trace_id/parent_id 事件溯源**：PreToolUse / PostToolUse / PermissionRequest / SubagentStop 四个 payload 构造点现带 `event_id` + `trace_id`（本 run）+ `parent_id`（spawn 方 run）；`spawn_sub_agent` 与隔离 `run_skill` 把父 trace 线程进子 loop，子 agent 的 hook 事件跨深度关联回父 trace。未线程时字段整个省略——legacy payload 字节不变；`CC_HOOK_EVENT_LOG` 开启时这些决策事件顺带可被 `cc hook replay` 寻址。\n- **P2 LSP：重启退避默认开 + 多根 workspace**：池化语言服务器重启退避默认 1s→2s→4s→8s 封顶（启动即崩的 server 不再毫秒级连爆 `maxRestarts` 次；`CC_LSP_RESTART_BACKOFF_MS` 覆盖、`=0` 恢复立即重生）。`code_intelligence` 现按**包含该文件的根**（containment 最深根胜）key 共享 server 池——`--add-dir` 根内的文件拿到它自己项目的语言服务器而非 cwd 的；`workspace_symbols` 跨全部根扇出合并、逐 symbol 标注 `root`。单根会话字节不变。\n- **P1 大仓：子树指令懒注入（tool-time）**：工具**首次访问**某子树（read_file / list_dir / write_file / edit_file / edit_file_hashed）时把该子树自带的 `cc.md`/`CLAUDE.md`/`AGENTS.md` 附到工具结果的 `subtreeInstructions` 字段（每子树每进程恰一次，honor `instructionExcludes`，fail-open）——monorepo 里 per-package 规则不再要求启动时全量注入。子树无指令文件（常态）零成本；`CC_SUBTREE_INSTRUCTIONS=0` 整体关闭。同批：post-edit 诊断从未排序裸 cap 20 改为 **severity 优先 + token 预算**封顶（error 先于 warning，`CC_EDIT_DIAGNOSTICS_TOKENS` 默认 2000）。\n- **P1 subagent/大仓三项收尾**：①subagent worktree spawn 透传 `sparsePaths`/`symlinkDirectories`（spawn-arg 胜 agent-file；隔离 worktree 只 checkout 任务需要的包 + junction 复用依赖目录）；②agent-file frontmatter `background: true` 现真生效（此前只认调用方显式传参）；③headless `--add-dir` 启动根 seed——`cc agent -p --add-dir` 现把完整根列表告知已连 MCP 服务器（`roots/list_changed`），此前它们的 `roots/list` 永远只见 cwd。"
+        },
+        {
+          "heading": "Added — cc CLI 0.162.167：增量 gap-analysis 收尾——P0 沙箱远程脚本执行检测 + 4 个生命周期事件钩子（CwdChanged/Worktree/InstructionsLoaded）+ doctor 孤儿子进程 + 4 项杂项接线（CLI-only npm 发版）",
           "body": "> `chainlesschain` 0.162.166 → **0.162.167** 发 npm `latest`（经 `npm-publish.yml`，`--provenance --access public`）。纯 `packages/cli/src` 增量（+ 测试 + gap-analysis 文档状态更新）；未触 `pdh/lib` → 无 Android cc bundle rollover / 无 USR_VERSION 改动。**无新增顶层命令，命令数 175 不变**；所有改动 opt-in / 默认路径字节不变。本版把 `docs/CLAUDE_CODE_CLI_INCREMENTAL_GAP_ANALYSIS_2026-07-12.md` 的多个可 Windows 落地「仍欠」项整批接线。\n\n- **P0 沙箱：run_shell 远程脚本执行检测**：新增统一「代码获取」分类器——把 20+ 包管理器安装命令（npm/pip/cargo/gem/go/apt/…）与 `curl … | sh` / `wget -O- | bash` 一类**下载即执行**的远程脚本归为一类，在 shell 审批时抬高风险地板并落审计（记录带 `remoteExec` 标记）；`cat script.sh | sh`（本地文件）与 `curl -O file`（仅下载不执行）不误报。默认路径字节不变。\n- **P2 生命周期事件钩子——4 个命令层生产者**：为新的 settings.json 生命周期事件类型接上真实触发点（此前它们只在事件总线注册、无生产者、loader 不认、`cc doctor` 还会当 unknown-event 告警用户配的钩子）：`CwdChanged`（REPL `/cd` 改工作目录后）、`WorktreeCreate`/`WorktreeRemove`（`cc agent --worktree` 会话 create/finish 一对，payload 含 branch/base_sha，remove 带 `removed`/`reason` 区分自动删与保留）、`InstructionsLoaded`（会话启动组装完项目指令块后，携本会话权威指令文件清单 `{path,scope,truncated}`，**绝不含文件内容**）。全部 observe-only、无注册 hook 时字节不变；`InstructionsLoaded` 经 `composeSystemPrompt` 可选回调拿**真正注入**的那份文件集（零漂移，非另行 re-discover）。三处会话入口（headless / stream / REPL）与 SessionStart 同点触发。\n- **P2 Doctor：孤儿 agent 子进程检测**：`cc doctor` 现从持久化的后台 agent 记录探活，标出「worker 已死但子进程仍在」或「会话已消失」的泄漏进程为 error 并给对应 `taskkill`/`kill` 修复命令（进程起始时间锚定，防 PID 复用误判；仅喂持久记录不做启发式全机扫描 → 零误报）。\n- **4 项杂项 gap 接线**：①async-hook 持久重唤队列 + 崩溃恢复（失败的 async-hook 重唤按会话落盘，`--resume` 时作「Recovery notice」系统消息恢复）；②monorepo 附加根变更时向连接的 MCP 服务器广播 roots/list_changed（`/add-dir` + 启动 `--add-dir`）；③`cc doctor` LSP 就绪安装缺口检查（源文件在但对应语言服务器未装 → 代码智能静默降级为文本搜索时告警）；④Session Mirror at-rest 加密/删除/保留/密钥轮换（scrypt+AES-256-GCM，`cc session index --mirror-delete` / `--mirror-prune` / `--mirror-rotate`）。"
         },
         {
@@ -44,7 +54,11 @@
         },
         {
           "heading": "Added — cc CLI 0.162.164：IDE 增量 gap-analysis (2026-07-13) 全批接线落地——凭据脱敏三导出面 / /rewind 从这里分支 / cc doctor 执行位置 / cc session pr-status / 复杂 Diff 行评论锚定 / 终端上下文策略 / worktree 清理安全闸 / 崩溃恢复台账 / 无人值守动作门 / 跨设备操作指纹（CLI-only npm 发版）",
-          "body": "> `chainlesschain` 0.162.163 → **0.162.164** 发 npm `latest`（经 `npm-publish.yml`，`--provenance --access public`）。纯 `packages/cli/src` 增量；未触 `pdh/lib` → 无 Android cc bundle rollover / 无 USR_VERSION 改动。命令面只加 **session 子命令 `cc session pr-status`** 与 REPL `/rewind <n> --branch`、`cc doctor` 新增「Execution context」诊断段 + 工具 flag，**顶层命令数 175 不变**。本版把 `docs/CLAUDE_CODE_IDE_INCREMENTAL_GAP_ANALYSIS_2026-07-13.md` 的可 Windows 落地项整批接线（纯核已建、本版补真实运行时/命令面接线，默认路径保持字节不变）。\n\n- **8.1 凭据脱敏三导出面全闸**：一份导出物离机必须朝「不泄漏」失败——`cc session export` 导出前对渲染 transcript 跑召回优先 secret-scan（命中替 `[REDACTED]`，脱敏计数写 stderr，`--no-redact` 保原值）；OTLP `toOtlp()` 对 span/event 字符串属性（含 exception message）默认脱敏（`cc agent/team --otlp`、`cc eval`）；诊断包 `cc doctor --export-bundle` 强制脱敏（P1-9）。三面共用同一 recall-first 扫描器。\n- **P0-2 崩溃恢复副作用台账**：两阶段记账 `prepare→start→commit|fail|unknown` 接进 headless 与 IDE/Bridge/Extension-Host resume——`--resume` reconcile 台账，started-未落定-非幂等 op 注入去标识「Recovery notice」而非盲目重跑；Diff-Apply 内容哈希幂等（old 已改+new 已在→幂等 no-op 不重写）；外部操作 Idempotency Key + 0-重复副作用度量。\n- **P0-3「从这里分支」进 `/rewind`**：`/rewind <n> --branch [--write]`（`--fork` 别名）从选中 turn 派生独立会话，保留分支点之前历史并从此分叉，**父会话绝不被截断**；确定性分支 id + `session_branch` 血统事件 + 幂等重放 + traversal fail-closed。\n- **P1-1 复杂 Diff 行评论锚定**：review finding 锚到它所指的**代码**（file+baseHash+锚定行原文+上下文）而非裸坐标；agent 改文件后可 `reanchorComment` 重定位/标 outdated，绝不复用旧行号（接进 `review-pipeline` finding 输出 + `cc review` 尽力填 fileContents）。\n- **P1-2 终端上下文策略 + 后台任务脱敏**：`selectTerminalContextForModel` fail-closed（非显式 opt-in 绝不把终端 scrollback 塞进模型上下文）+ ANSI-strip→secret-redact→scrollback-cap；`check_shell {list}` / `/tasks` 后台任务快照对命令串脱敏并暴露 PID（stoppable 仅在握真 PID 时）。\n- **P1-4 PR/CI 监控 + 受控合并**：新子命令 `cc session pr-status [id] [--pr N] [--checks-file <json>] [--enable] [--json]`——从 PR-link ledger 取会话关联 PR，`gh pr view` 或 `--checks-file` 采信号，渲染状态条 + **默认关**的 auto-merge 合格性判定（穷举列未满足项：分支保护/Review/待审批/失败或 pending check/缺席必需 check）。\n- **P1-5 worktree 清理安全闸**：后台 agent worktree reaper 清理前过 fail-closed 安全闸——未提交/未追踪/未 push/关联 PR 任一命中即**保留**（旧「全清」逃生门 `force:true` 保留）；`git` 读不出→保留（绝不销毁无法核实的工作）。\n- **P1-6 会话级 agent 工具准入 + 归因**：extension 层工具（run_skill/spawn_sub_agent/browser/schedule/publish_artifact/MCP）需 Capability+Policy+权限+预算+UI 五闸全过；每次调用记只带来源的安全归因（可落 transcript）。\n- **P1-7 执行位置一等属性**：`cc doctor` 新增「Execution context」诊断段——检测 ambient location（Codespaces/SSH/Container/WSL/Local），remote/unknown fail-closed 到只读地板并列 policy 违规；凭据只显示来源/作用域不显示值。\n- **P1-8 无人值守动作门**：`cc agenda` 定时/事件任务默认拦截 notify/publish_artifact 等高危外呼（`unattendedAllowlist` 显式放回）；action-class 分级 fail-closed。\n- **P1-9 脱敏诊断包**：`cc doctor --export-bundle` 一键导出去标识诊断包（版本/平台/Capability/连接/脱敏事件/进程·端口·锁文件·worktree 摘要；默认不含源码/Key/Cookie/完整环境变量；导出前强制 secret-scan）。\n- **8.2 跨设备操作指纹**：远程审批 `remote-approval-bridge` 升级到全元组 `OperationApprovalRegistry`（工具名/规范化参数/目标环境/workspace/session/策略版本/有效期）；`permission.request` 发完整指纹 + 短标识 + 无秘密摘要，`approval.resolve` 失败关闭（mismatch/superseded/duplicate/过窗）。\n- **Monorepo / P2 硬化**：worktree `sparsePaths` 稀疏检出 + `symlinkDirectories` 逃逸守卫接进 team runner；`cc doctor` 新增沙箱真能力/静默降级、重复 skill 影子、settings.json hook 配置静态校验、async-hook 可靠性健康检查；LSP 服务器可选指数退避重启；每 span 归一 OTel session/agent id + `permission.decision_id`。\n\n> `chainlesschain` 0.162.162 → **0.162.163** 发 npm `latest`（经 `npm-publish.yml`，`--provenance --access public`）。纯 `packages/cli/src` 增量；未触 `pdh/lib` → 无 Android cc bundle rollover / 无 USR_VERSION 改动。命令面只加子命令（`cc agenda prune`、`cc plugin consent`、`cc hook replay`/`events-log`、`cc context --sources`）与 REPL slash（`/goal`）+ 工具参数/flag，**顶层命令数 175 不变**。本版把 0.162.162 announce 的多数纯核落成真实**运行时接线**，并补齐 `docs/CLAUDE_CODE_CLI_INCREMENTAL_GAP_ANALYSIS_2026-07-12.md` 各节的 last-mile「仍欠」。全套本地三层全绿（unit+integration 25,008 + e2e 628，0 真失败）。\n\n- **Subagent 契约全轴强制（P1）**：`_executeSpawnSubAgent` 真正消费 `resolveSubagentContract`（spawnArgs > agent-file > 父级天花板），tighten-only 强制 skills/mcp/hooks/memory capability INTERSECT、permissionMode（plan→只读工具集）、budget/effort/context、worktree fail-closed、递归深度/宽度上限；非 plan confirmer 线程化 + headless 与交互 REPL 均以运行模式播种子级天花板；子级专属无 confirmer ApprovalGate 强制 run_shell/run_code/browser_act 会话策略。\n- **跨 Agent 授权边界接线（P0）**：本地 headless 审批链路携带并校验 `tool_call_id + normalized_arguments + policy_digest` 绑定（重放/参数替换/错投的批准判 `binding-mismatch` 拒绝）；入站 channel 事件显式打 steer authority（其载荷里的 \"approved\" 只是文本，不能代表用户批准）。\n- **会话完成条件引擎接线（P1）**：`--goal-condition <spec>`（exit-zero/file-exists/contains/regex/model）驱动 headless 外层回合，跨进程 `--resume` 续跑（持久 `goal_snapshot`），REPL `/goal <condition>` 交互入口；`goal_started/evaluated/completed/exhausted` 事件。\n- **Turn↔Checkpoint 绑定持久化 + coverage-aware /rewind（P1）**：绑定作为链式会话事件持久化；`/rewind` 打印诚实的 coverage/警告（副作用 / 缺 checkpoint / 对话-文件漂移），永不过度承诺可恢复范围。\n- **副作用台账崩溃恢复（P0 纯核）**：`side-effect-ledger.js` 两阶段记账 `prepare→start→commit|fail|unknown` + `reconcileSideEffects` 分桶 redo/inspect/skip（file-write/git-push/package-install 中途强杀不重复副作用）。\n- **持久 Scheduler/Monitor 扩展（P1）**：`cc agenda prune`（回收终态条目）+ 过期退休（`expiresAt`/`retireExpired`）+ Monitor 文件/HTTP/mtime-change 源（替每 tick spawn shell）+ agent `schedule` 工具透传 `expires`/`jitter` + 每任务 permission-mode/worktree/turn 预算。\n- **Plugin 能力 consent 生命周期（P1）**：consent 存储 + load-path chokepoint enforcement（opt-in）+ `cc plugin consent` + `add`/`upgrade` 渲染能力清单+diff+re-consent 提示 + doctor 未同意/坏 manifest 告警。\n- **Monorepo 上下文（P1）**：`instructionExcludes` 从分层 settings 接进 `composeSystemPrompt`（排除 legacy/vendor/generated 子树，含 @import）+ `cc context --sources`（逐来源 token 归因）+ 懒加载子树指令纯核。\n- **Hooks 持久事件日志 + Replay（P2）**：哈希链 JSONL 事件日志（opt-in `CC_HOOK_EVENT_LOG`）+ `cc hook replay`（决策类事件必显式 `--sandbox`，绝不 re-gate 真流程）/`cc hook events-log`（列出/校验链）。\n- **JSON Schema（P2）**：`--json-schema` 接受 inline JSON + 与 `stream-json` 兼容（终局 `structured_result` NDJSON 行）+ format/if-then-else 断言 + 约束式重试改用富校验器（带 RFC 6901 JSON Pointer 提示）。\n- **多 Agent Review（P2）**：`cc review --multi`（correctness/security/performance/tests 分维 finder 扇出）+ `--verify`（skeptic 复现剔除 refuted）+ high effort 自动双开。\n- **OTel（P2）**：`--otlp-content` opt-in 输出 prompt/response/tool_arguments（默认脱敏 `[redacted]`）+ 每 span 归一化 session/agent id。"
+          "body": "> `chainlesschain` 0.162.163 → **0.162.164** 发 npm `latest`（经 `npm-publish.yml`，`--provenance --access public`）。纯 `packages/cli/src` 增量；未触 `pdh/lib` → 无 Android cc bundle rollover / 无 USR_VERSION 改动。命令面只加 **session 子命令 `cc session pr-status`** 与 REPL `/rewind <n> --branch`、`cc doctor` 新增「Execution context」诊断段 + 工具 flag，**顶层命令数 175 不变**。本版把 `docs/CLAUDE_CODE_IDE_INCREMENTAL_GAP_ANALYSIS_2026-07-13.md` 的可 Windows 落地项整批接线（纯核已建、本版补真实运行时/命令面接线，默认路径保持字节不变）。\n\n- **8.1 凭据脱敏三导出面全闸**：一份导出物离机必须朝「不泄漏」失败——`cc session export` 导出前对渲染 transcript 跑召回优先 secret-scan（命中替 `[REDACTED]`，脱敏计数写 stderr，`--no-redact` 保原值）；OTLP `toOtlp()` 对 span/event 字符串属性（含 exception message）默认脱敏（`cc agent/team --otlp`、`cc eval`）；诊断包 `cc doctor --export-bundle` 强制脱敏（P1-9）。三面共用同一 recall-first 扫描器。\n- **P0-2 崩溃恢复副作用台账**：两阶段记账 `prepare→start→commit|fail|unknown` 接进 headless 与 IDE/Bridge/Extension-Host resume——`--resume` reconcile 台账，started-未落定-非幂等 op 注入去标识「Recovery notice」而非盲目重跑；Diff-Apply 内容哈希幂等（old 已改+new 已在→幂等 no-op 不重写）；外部操作 Idempotency Key + 0-重复副作用度量。\n- **P0-3「从这里分支」进 `/rewind`**：`/rewind <n> --branch [--write]`（`--fork` 别名）从选中 turn 派生独立会话，保留分支点之前历史并从此分叉，**父会话绝不被截断**；确定性分支 id + `session_branch` 血统事件 + 幂等重放 + traversal fail-closed。\n- **P1-1 复杂 Diff 行评论锚定**：review finding 锚到它所指的**代码**（file+baseHash+锚定行原文+上下文）而非裸坐标；agent 改文件后可 `reanchorComment` 重定位/标 outdated，绝不复用旧行号（接进 `review-pipeline` finding 输出 + `cc review` 尽力填 fileContents）。\n- **P1-2 终端上下文策略 + 后台任务脱敏**：`selectTerminalContextForModel` fail-closed（非显式 opt-in 绝不把终端 scrollback 塞进模型上下文）+ ANSI-strip→secret-redact→scrollback-cap；`check_shell {list}` / `/tasks` 后台任务快照对命令串脱敏并暴露 PID（stoppable 仅在握真 PID 时）。\n- **P1-4 PR/CI 监控 + 受控合并**：新子命令 `cc session pr-status [id] [--pr N] [--checks-file <json>] [--enable] [--json]`——从 PR-link ledger 取会话关联 PR，`gh pr view` 或 `--checks-file` 采信号，渲染状态条 + **默认关**的 auto-merge 合格性判定（穷举列未满足项：分支保护/Review/待审批/失败或 pending check/缺席必需 check）。\n- **P1-5 worktree 清理安全闸**：后台 agent worktree reaper 清理前过 fail-closed 安全闸——未提交/未追踪/未 push/关联 PR 任一命中即**保留**（旧「全清」逃生门 `force:true` 保留）；`git` 读不出→保留（绝不销毁无法核实的工作）。\n- **P1-6 会话级 agent 工具准入 + 归因**：extension 层工具（run_skill/spawn_sub_agent/browser/schedule/publish_artifact/MCP）需 Capability+Policy+权限+预算+UI 五闸全过；每次调用记只带来源的安全归因（可落 transcript）。\n- **P1-7 执行位置一等属性**：`cc doctor` 新增「Execution context」诊断段——检测 ambient location（Codespaces/SSH/Container/WSL/Local），remote/unknown fail-closed 到只读地板并列 policy 违规；凭据只显示来源/作用域不显示值。\n- **P1-8 无人值守动作门**：`cc agenda` 定时/事件任务默认拦截 notify/publish_artifact 等高危外呼（`unattendedAllowlist` 显式放回）；action-class 分级 fail-closed。\n- **P1-9 脱敏诊断包**：`cc doctor --export-bundle` 一键导出去标识诊断包（版本/平台/Capability/连接/脱敏事件/进程·端口·锁文件·worktree 摘要；默认不含源码/Key/Cookie/完整环境变量；导出前强制 secret-scan）。\n- **8.2 跨设备操作指纹**：远程审批 `remote-approval-bridge` 升级到全元组 `OperationApprovalRegistry`（工具名/规范化参数/目标环境/workspace/session/策略版本/有效期）；`permission.request` 发完整指纹 + 短标识 + 无秘密摘要，`approval.resolve` 失败关闭（mismatch/superseded/duplicate/过窗）。\n- **Monorepo / P2 硬化**：worktree `sparsePaths` 稀疏检出 + `symlinkDirectories` 逃逸守卫接进 team runner；`cc doctor` 新增沙箱真能力/静默降级、重复 skill 影子、settings.json hook 配置静态校验、async-hook 可靠性健康检查；LSP 服务器可选指数退避重启；每 span 归一 OTel session/agent id + `permission.decision_id`。"
+        },
+        {
+          "heading": "Added — cc CLI 0.162.163：增量 gap-analysis last-mile 运行时接线——Subagent 契约全轴强制 / 跨 Agent 授权边界 / 完成条件引擎 / Turn↔Checkpoint 持久化 / hook 事件日志+replay / plugin consent 生命周期 / /goal 循环 / --json-schema / OTel（CLI-only npm 发版）",
+          "body": "> `chainlesschain` 0.162.162 → **0.162.163** 发 npm `latest`（经 `npm-publish.yml`，`--provenance --access public`）。纯 `packages/cli/src` 增量；未触 `pdh/lib` → 无 Android cc bundle rollover / 无 USR_VERSION 改动。命令面只加子命令（`cc agenda prune`、`cc plugin consent`、`cc hook replay`/`events-log`、`cc context --sources`）与 REPL slash（`/goal`）+ 工具参数/flag，**顶层命令数 175 不变**。本版把 0.162.162 announce 的多数纯核落成真实**运行时接线**，并补齐 `docs/CLAUDE_CODE_CLI_INCREMENTAL_GAP_ANALYSIS_2026-07-12.md` 各节的 last-mile「仍欠」。全套本地三层全绿（unit+integration 25,008 + e2e 628，0 真失败）。\n\n- **Subagent 契约全轴强制（P1）**：`_executeSpawnSubAgent` 真正消费 `resolveSubagentContract`（spawnArgs > agent-file > 父级天花板），tighten-only 强制 skills/mcp/hooks/memory capability INTERSECT、permissionMode（plan→只读工具集）、budget/effort/context、worktree fail-closed、递归深度/宽度上限；非 plan confirmer 线程化 + headless 与交互 REPL 均以运行模式播种子级天花板；子级专属无 confirmer ApprovalGate 强制 run_shell/run_code/browser_act 会话策略。\n- **跨 Agent 授权边界接线（P0）**：本地 headless 审批链路携带并校验 `tool_call_id + normalized_arguments + policy_digest` 绑定（重放/参数替换/错投的批准判 `binding-mismatch` 拒绝）；入站 channel 事件显式打 steer authority（其载荷里的 \"approved\" 只是文本，不能代表用户批准）。\n- **会话完成条件引擎接线（P1）**：`--goal-condition <spec>`（exit-zero/file-exists/contains/regex/model）驱动 headless 外层回合，跨进程 `--resume` 续跑（持久 `goal_snapshot`），REPL `/goal <condition>` 交互入口；`goal_started/evaluated/completed/exhausted` 事件。\n- **Turn↔Checkpoint 绑定持久化 + coverage-aware /rewind（P1）**：绑定作为链式会话事件持久化；`/rewind` 打印诚实的 coverage/警告（副作用 / 缺 checkpoint / 对话-文件漂移），永不过度承诺可恢复范围。\n- **副作用台账崩溃恢复（P0 纯核）**：`side-effect-ledger.js` 两阶段记账 `prepare→start→commit|fail|unknown` + `reconcileSideEffects` 分桶 redo/inspect/skip（file-write/git-push/package-install 中途强杀不重复副作用）。\n- **持久 Scheduler/Monitor 扩展（P1）**：`cc agenda prune`（回收终态条目）+ 过期退休（`expiresAt`/`retireExpired`）+ Monitor 文件/HTTP/mtime-change 源（替每 tick spawn shell）+ agent `schedule` 工具透传 `expires`/`jitter` + 每任务 permission-mode/worktree/turn 预算。\n- **Plugin 能力 consent 生命周期（P1）**：consent 存储 + load-path chokepoint enforcement（opt-in）+ `cc plugin consent` + `add`/`upgrade` 渲染能力清单+diff+re-consent 提示 + doctor 未同意/坏 manifest 告警。\n- **Monorepo 上下文（P1）**：`instructionExcludes` 从分层 settings 接进 `composeSystemPrompt`（排除 legacy/vendor/generated 子树，含 @import）+ `cc context --sources`（逐来源 token 归因）+ 懒加载子树指令纯核。\n- **Hooks 持久事件日志 + Replay（P2）**：哈希链 JSONL 事件日志（opt-in `CC_HOOK_EVENT_LOG`）+ `cc hook replay`（决策类事件必显式 `--sandbox`，绝不 re-gate 真流程）/`cc hook events-log`（列出/校验链）。\n- **JSON Schema（P2）**：`--json-schema` 接受 inline JSON + 与 `stream-json` 兼容（终局 `structured_result` NDJSON 行）+ format/if-then-else 断言 + 约束式重试改用富校验器（带 RFC 6901 JSON Pointer 提示）。\n- **多 Agent Review（P2）**：`cc review --multi`（correctness/security/performance/tests 分维 finder 扇出）+ `--verify`（skeptic 复现剔除 refuted）+ high effort 自动双开。\n- **OTel（P2）**：`--otlp-content` opt-in 输出 prompt/response/tool_arguments（默认脱敏 `[redacted]`）+ 每 span 归一化 session/agent id。"
         },
         {
           "heading": "Added — cc CLI 0.162.162：增量 gap-analysis 收尾（P1 Subagent 契约/Turn-Checkpoint 绑定/Plugin 能力 Schema + P2 Hooks 事件总线/JSON Schema/多 Agent Review + LSP 诊断/Doctor+文档+OTel）+ IDE gap P0（远程审批指纹/会话生命周期）（CLI-only npm 发版）",

package/src/harness/worktree-isolator.js

@@ -163,9 +163,17 @@ export function pruneWorktrees(repoDir) {
   return before - after;
 }
 
-export async function isolateTask(repoDir, taskId, fn) {
+export async function isolateTask(repoDir, taskId, fn, options = {}) {
   const branchName = `agent/${taskId}`;
-  const { path: worktreePath } = createWorktree(repoDir, branchName);
+  // options (large-monorepo): { sparsePaths, symlinkDirectories } forwarded to
+  // createWorktree so an isolated task only materializes the packages it needs
+  // and reuses approved dep dirs. Empty/absent → full checkout (byte-identical).
+  const { path: worktreePath } = createWorktree(
+    repoDir,
+    branchName,
+    undefined,
+    options || {},
+  );
 
   try {
     const result = await fn(worktreePath);

package/src/lib/agent-core.js

@@ -46,4 +46,5 @@ export {
   _resetFileFreshness,
   _getSharedCodeIntel,
   disposeSharedCodeIntel,
+  _resetSubtreeInstructionLoaders,
 } from "../runtime/agent-core.js";

package/src/lib/background-agent-phase.js

@@ -34,6 +34,11 @@ export const BACKGROUND_AGENT_PHASES = Object.freeze({
   IDLE: "idle",
   NEEDS_INPUT: "needs_input",
   WAITING_PERMISSION: "waiting_permission",
+  // A resumed turn found irreversible side-effect operations whose outcome is
+  // UNKNOWN (the side-effect ledger's "inspect" bucket): the previous run died
+  // mid-flight, so a human/model must confirm before any replay. Grouped with
+  // the blocking phases — this is genuinely "look at me before continuing".
+  UNCERTAIN_SIDE_EFFECT: "uncertain_side_effect",
 });
 
 /**
@@ -56,6 +61,8 @@ const PHASE_ALIASES = new Map([
   ["waiting-permission", BACKGROUND_AGENT_PHASES.WAITING_PERMISSION],
   ["waiting_approval", BACKGROUND_AGENT_PHASES.WAITING_PERMISSION],
   ["awaiting_approval", BACKGROUND_AGENT_PHASES.WAITING_PERMISSION],
+  ["uncertain_side_effect", BACKGROUND_AGENT_PHASES.UNCERTAIN_SIDE_EFFECT],
+  ["uncertain-side-effect", BACKGROUND_AGENT_PHASES.UNCERTAIN_SIDE_EFFECT],
 ]);
 
 /**
@@ -71,6 +78,7 @@ export function normalizeBackgroundAgentPhase(value) {
 const BLOCKING_PHASES = new Set([
   BACKGROUND_AGENT_PHASES.NEEDS_INPUT,
   BACKGROUND_AGENT_PHASES.WAITING_PERMISSION,
+  BACKGROUND_AGENT_PHASES.UNCERTAIN_SIDE_EFFECT,
 ]);
 
 /**
@@ -85,6 +93,20 @@ const BLOCKING_PHASES = new Set([
  * `pendingApprovals` wins over `phase` because an approval that is genuinely
  * pending blocks progress regardless of the phase label the worker last wrote.
  */
+/**
+ * Phase the worker should persist when a turn ends and the session parks
+ * between turns. Normally that is `idle` — but when the turn's child parked an
+ * unanswered `ask_user_question` in the state file (`pendingQuestion`), the
+ * session is genuinely blocked on the user's reply and must keep advertising
+ * `needs_input` instead of demoting itself to Idle. Pure so the worker and
+ * tests share one rule.
+ */
+export function idlePhaseFor(state) {
+  return state && state.pendingQuestion
+    ? BACKGROUND_AGENT_PHASES.NEEDS_INPUT
+    : BACKGROUND_AGENT_PHASES.IDLE;
+}
+
 export function phaseGroupKey(session) {
   const status = session?.status;
   if (status === "running") {

package/src/lib/background-phase-reporter.js

@@ -0,0 +1,153 @@
+/**
+ * background-phase-reporter — the missing PRODUCER for the background-agent
+ * `waiting_permission` phase (P0 state-machine slice,
+ * CLAUDE_CODE_CLI_INCREMENTAL_GAP_ANALYSIS_2026-07-12 §"后台 Agent 状态机").
+ *
+ * The consuming contract has existed for a while: `background-agent-phase.js`
+ * normalizes `waiting_permission` and `pendingApprovals > 0` into the
+ * dashboard's "Needs input" group, and `session-lifecycle.js` folds them into
+ * `waitingApproval`. But nothing ever WROTE those fields — the worker only
+ * emits `turn`/`idle`, so a background agent blocked on a human approval
+ * (`--permission-prompt-tool`, `--remote-control`) showed as "Working"
+ * indefinitely while a decision was actually pending.
+ *
+ * The production seam is the agent CHILD process, not the worker: the worker
+ * spawns each turn with `CC_BACKGROUND_AGENT_ID` in the environment, and the
+ * only places a plain headless run genuinely blocks on a human are the
+ * confirmer overrides installed on the ApprovalGate. This module wraps those
+ * confirmers: while one is awaiting a decision it patches the shared state
+ * file with `phase: "waiting_permission"` + a live `pendingApprovals` count,
+ * and restores `phase: "turn"` when every pending approval has settled.
+ *
+ * Safety properties:
+ *  - Disabled (no `CC_BACKGROUND_AGENT_ID`) → `wrapConfirmer` returns the
+ *    SAME function object; zero reads, zero writes, byte-identical behavior
+ *    for every non-background run.
+ *  - Never resurrects a terminal session: writes are skipped when the current
+ *    on-disk status is anything other than absent/"running" (mirrors the
+ *    worker's own writeHeartbeat guard).
+ *  - Best-effort throughout: a state-file hiccup must never break an approval.
+ *  - IO is injectable so tests never touch the real user data dir.
+ */
+
+import {
+  readBackgroundAgentState,
+  writeBackgroundAgentState,
+} from "./background-agent-supervisor.js";
+
+/**
+ * Create a phase reporter for the current process.
+ *
+ * @param {object} [opts]
+ * @param {string|null} [opts.agentId] background session id; defaults to
+ *   `process.env.CC_BACKGROUND_AGENT_ID`. Falsy → disabled no-op reporter.
+ * @param {(id:string)=>object|null} [opts.readState] injectable state reader
+ * @param {(state:object)=>void} [opts.writeState] injectable state writer
+ */
+export function createBackgroundPhaseReporter(opts = {}) {
+  const agentId =
+    opts.agentId !== undefined
+      ? opts.agentId
+      : process.env.CC_BACKGROUND_AGENT_ID;
+  const readState = opts.readState || readBackgroundAgentState;
+  const writeState = opts.writeState || writeBackgroundAgentState;
+  const enabled = typeof agentId === "string" && agentId.trim() !== "";
+  let pending = 0;
+
+  function patch(fields) {
+    if (!enabled) return false;
+    try {
+      const current = readState(agentId) || { id: agentId };
+      // Terminal states are owned by the worker/stopper — never write a
+      // "waiting" phase over a completed/failed/stopped record.
+      if (current.status && current.status !== "running") return false;
+      writeState({ ...current, id: agentId, ...fields });
+      return true;
+    } catch {
+      return false; // state persistence must never break the approval itself
+    }
+  }
+
+  return {
+    enabled,
+    /** Current in-process pending-approval count (for tests/introspection). */
+    pendingCount() {
+      return pending;
+    },
+    /** A human approval just started blocking progress. */
+    beginApproval() {
+      if (!enabled) return;
+      pending++;
+      patch({
+        phase: "waiting_permission",
+        pendingApprovals: pending,
+      });
+    },
+    /** A previously reported approval settled (approved, denied, or failed). */
+    endApproval() {
+      if (!enabled) return;
+      pending = Math.max(0, pending - 1);
+      if (pending === 0) {
+        // Back to a live turn — the worker owns the turn/idle transition, we
+        // only hand the phase back to its steady in-turn value.
+        patch({ phase: "turn", pendingApprovals: 0 });
+      } else {
+        patch({ pendingApprovals: pending });
+      }
+    },
+    /**
+     * A resumed run found side-effect ops whose outcome is UNKNOWN (the
+     * ledger reconcile "inspect" bucket): surface `uncertain_side_effect` so
+     * the dashboard demands a look before anything is replayed. The worker
+     * clears the count at the next turn/idle boundary (the verify turn has
+     * then run its course), so this is a within-window annotation, not a
+     * sticky flag. Best-effort; returns whether the state was patched.
+     */
+    reportUncertainSideEffects(count) {
+      if (!enabled) return false;
+      const n = Number(count);
+      if (!Number.isFinite(n) || n <= 0) return false;
+      return patch({
+        phase: "uncertain_side_effect",
+        uncertainSideEffects: Math.floor(n),
+      });
+    },
+    /**
+     * The model asked the user a question in a background turn
+     * (`ask_user_question`): there is no live channel to a human mid-turn, so
+     * the question is PARKED — recorded in the shared state as
+     * `pendingQuestion` with `phase: "needs_input"` (distinct from
+     * waiting_permission: this is a question, not an approval). The worker
+     * keeps `needs_input` through the idle boundary while the question is
+     * unanswered and clears it when the user's reply starts the next turn.
+     */
+    reportQuestion(question) {
+      if (!enabled) return false;
+      const q = question && typeof question === "object" ? question : null;
+      return patch({
+        phase: "needs_input",
+        pendingQuestion: {
+          question: typeof q?.question === "string" ? q.question : "",
+          options: Array.isArray(q?.options) ? q.options : null,
+        },
+      });
+    },
+    /**
+     * Wrap a (potentially human-blocking) confirmer so the pending window is
+     * visible in the background state. Disabled → returns `confirmer`
+     * unchanged (same object identity, zero overhead).
+     */
+    wrapConfirmer(confirmer) {
+      if (!enabled || typeof confirmer !== "function") return confirmer;
+      const self = this;
+      return async function phaseReportingConfirmer(...args) {
+        self.beginApproval();
+        try {
+          return await confirmer(...args);
+        } finally {
+          self.endApproval();
+        }
+      };
+    },
+  };
+}