create-windy 0.6.12 → 0.6.14

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "create-windy",
-  "version": "0.6.12",
+  "version": "0.6.14",
   "description": "创建单组织、单租户、私有部署优先的 Windy 企业 Dashboard Starter",
   "type": "module",
   "bin": {

package/template/.agents/skills/windy-business-module/SKILL.md

@@ -1,89 +1,117 @@
 ---
 name: windy-business-module
-description: "Windy 业务模块、Manifest、Repository、Service、Agent Tool 与 MCP 接入开发。"
+description: "在 Windy 或 create-windy 生成项目中新增或修改业务 Module、Manifest、Repository、Service、Agent Tool、AI Operation 或 MCP 暴露时使用；不用于仅修改平台基础设施或普通页面样式。"
 ---
 
 # Windy 业务模块开发
 
-用于新增或修改业务能力。先读取仓库 `AGENTS.md`、`CONTEXT.md` 和直接相关的
-`docs/architecture/`、`docs/development/`、`docs/platform/` 文档。
+先读取仓库 `AGENTS.md`；存在 `CONTEXT.md` 时再读取它，并读取与本次能力直接相关的
+`docs/architecture/`、`docs/development/`、`docs/platform/` 长期文档。
 
 ## 工作流
 
-1. 先运行 `windy module list` 读取项目实际装配；安装、启用、停用、升级或移除模块时，
-   先执行对应命令的 `--dry-run`，再处理兼容范围、依赖、配置、权限与 Migration 提示。
-   不直接修改 `node_modules`、`.windy` 升级元数据，也不为新增入口改写客户 Admin
-   layout。当前 CLI 对无法安全自动改变的 source/template 模块会 fail closed；按报告
-   修改 project-owned Composition，不能伪造安装成功。
-2. 选择一个稳定的能力基础 Key 和模块命名空间。先定义业务边界、Actor、数据归属与
-   失败语义，再改代码。
-3. 在业务 package 的 Module Manifest 一次性注册 Feature、Permission、API、
-   菜单/入口、审计动作，以及需要的 Task、Provider、JSON Schema 和 Tool。
-   Feature 直接使用能力基础 Key，Permission 在同一 Key 后追加动作；Route、Task、
-   Tool、Provider 与 Durable Handler 只能绑定这里已注册且基础 Key 一致的能力。
+1. 确认当前装配和物理边界。在生成项目中运行 `bun run windy module list`；在
+   windy-platform 源仓库或 CLI 不可用时，直接核对 `windy.modules.json`、canonical
+   Manifest 与 project-owned Server Composition，并明确记录限制。执行
+   `module add|enable|disable|update|remove` 前先运行同命令的 `--dry-run`；
+   `project-composition-required` 是预期的 fail-closed，不能手改 `node_modules`、
+   `.windy` 或 registry 伪造成功。**完成标准：已列出实际启用模块、缺失的可选能力和
+   生命周期命令结论。**
+2. 选择稳定的模块命名空间和能力基础 Key，先定义业务边界、Actor、数据归属、失败
+   语义、幂等边界和跨模块公开 Port，再改代码。**完成标准：能力所有者和每个调用面的
+   授权来源清晰且没有客户端自报事实。**
+3. 在业务 package 的 Module Manifest 一次声明 Feature、Permission、API、菜单/Admin
+   Route、Audit Action，以及需要的 Migration/Schema Export、Task、Provider、JSON
+   Schema、Tool、AI Operation、Secret 和 Data Policy。Feature 使用能力基础 Key，
+   Permission 在同一 Key 后追加动作；非匿名入口和 Handler 只能引用已声明且同基础 Key
+   的治理能力。**完成标准：Manifest 声明和 Host 实现双向枚举无缺失、未知或重复 Key。**
 4. 数据层使用 Drizzle Schema、前向 Migration 和 Repository；Service 持有业务规则，
-   其它模块只能通过 Service、公开 Port 或模块注册机制协作。
-5. Server 通过 `InstallableServerModule` 和 `ModuleHost` 注册 Guarded Route、Task、
-   Provider 或 Tool Handler。Handler 调用 Service，不直接访问其它模块 Repository。
-   需要选择启用用户时使用 `ModuleRequestContext.userDirectory`；不要导入用户 Admin
-   Repository。业务 RolePreset 不能注册平台 Permission，部署管理员须显式向业务角色
-   授予 `system.user-directory.read` 并配置数据范围。
-6. Tool 输入输出只使用 Manifest 已注册的顶层 object JSON Schema。Actor、Permission、
-   Feature、License 和 Data Scope 只来自 `ModuleToolContext` 与平台 Runtime。
-   Tool 或 Route 需要读取同业务范围内其他用户上传的文件时，在 Host 注册精确
-   `purpose + resourceType` 的 `registerResourceFileAccessPolicies()`；Resolver 必须用
-   project-owned Repository 回查资源与 fileId 绑定及对象级授权，只返回布尔判定，
-   再通过 `context.storage.openResourceFile()` 取得最小元数据与流。禁止注入
-   UploadRepository、BlobStore 或申请平台 manage Repository。
-7. 业务资源包含敏感字段时，在 Manifest 一次声明 Data Policy、standard read、
-   sensitive-disclosure reveal、governed-export Permission 与 masked/reveal API 绑定，
-   再用 `registerGovernedResources()` 分别注册对象授权 Resolver 和去除治理字段的投影。
-   需要导出时再登记四个 Manifest API 绑定、受控查询校验和 cursor 分页 Source；审批、
-   Durable Job、水印、TTL、下载与取消由宿主负责。业务不自行签发明文 Grant、校验密码，
-   也不接触 Workflow、BlobStore 或平台 Repository。
-8. 若项目包含 `system.agent`，`operation=query` 的 Tool 会由同一 Registry 自动进入
-   MCP；不要编辑 MCP Adapter 或复制 Tool 定义。写操作在幂等、审批和结果追踪闭环前
-   不通过 MCP 暴露。
-   对无需 Actor、Repository、Secret、文件系统或外网的纯计算 Tool，可改用
-   `setupSandbox()` 注册；此入口必须同步且无副作用，Handler 只能使用输入、
-   `idempotencyKey` 与 `AbortSignal`。需要业务数据或外部服务的 Tool 必须保留在普通
-   `setup()`，不能为了使用 Sandbox 绕过依赖边界。
-9. 补 Manifest/Composition、Repository/Service、Guard 拒绝和 Handler 契约测试。
-   涉及 Durable Handler 时覆盖 Feature/Permission/Audit 绑定，并证明首次执行、重试和
-   恢复都会按当前 License、Feature 与 RBAC 状态重新授权。
-   涉及 Tool 时还要覆盖 Schema 拒绝、数据范围与未授权发现/调用；涉及可选模块时覆盖
-   Starter 的文件、依赖和数据库裁剪。涉及资源文件时还要覆盖跨上传者成功、资源绑定/
-   purpose/Feature/Permission/Scope 任一拒绝、最小元数据与成功/拒绝审计。
-   涉及 Sandbox Tool 时还要覆盖无网络、无平台 Secret、无宿主数据挂载、Worker
-   重启恢复，以及策略拒绝与业务失败审计分类。
-10. 更新长期文档，运行受影响测试、`bun run typecheck` 和 `bun run lint`，按一个完整
-    小切片提交。
+   其它模块只能通过 Service、公开 Port 或注册机制协作。Manifest 与 Migration Bundle
+   版本、顺序、依赖和 Schema Export 必须一致；已发布 Migration ID/checksum 不改写。
+   **完成标准：新增变化可前向迁移，业务层不依赖数据库方言或其它模块 Repository。**
+5. 通过 `InstallableServerModule` 和 `ModuleHost` 注册 Guarded Route、Task、Provider、
+   Tool、AI Operation、Durable Handler 或治理资源。Handler 调用 Service，不直接取得
+   Elysia、数据库、平台 Repository 或其它模块 Repository。选择启用用户时只使用
+   `ModuleRequestContext.userDirectory`；业务 RolePreset 只能引用本模块 Permission。
+   **完成标准：每个注册项都在模块命名空间内，并绑定 Manifest 中同一能力。**
+6. 按需使用受限 Port，不扩宽 Context：
+   - 外部凭据只在 Manifest 声明逻辑 Secret；物理 binding 留在 project-owned Server
+     Composition，Request/Durable Handler 通过短生命周期 `resolve()` 使用。Tool 和
+     Sandbox 没有 Secret Port。
+   - 跨上传者文件读取先注册精确 `purpose + resourceType` 策略；Resolver 用
+     project-owned Repository 回查资源、fileId 和对象授权，只返回布尔判定，再调用
+     `openResourceFile()`。
+   - 流式写入和大报告分别使用可选 Storage Writer / Report Staging Port、显式 policy
+     与 `require*()` helper；Tool 不继承 Writer，缺少 `system.storage` 时直接说明物理
+     裁剪边界。
+   **完成标准：业务代码未注入 UploadRepository、BlobStore、Secret locator 或平台
+   manage Repository，缺失 Port 会稳定 fail closed。**
+7. 业务资源含敏感字段时，在 Manifest 声明 Data Policy、standard read、
+   sensitive-disclosure reveal、governed-export Permission 和对应 API，再用
+   `registerGovernedResources()` 注册对象授权、脱敏投影、受控字段读取与分页 Source。
+   正式 PDF/DOCX/XLSX 等产物使用 Host Renderer 契约；审批、再认证、Grant、Durable
+   Job、水印、TTL、下载和取消仍由宿主持有。**完成标准：普通读取、明文揭示和导出三条
+   路径均复用对象授权与当前 Scope，业务没有自建旁路。**
+8. Tool 输入输出只使用 Manifest 注册的顶层 object JSON Schema。客户端或模型不能提交
+   Actor、Permission、Feature、License、Scope 或“已审批”标记；最小调用事实来自
+   `ModuleToolContext`，其它 Guard 由 Host Runtime 每次重算。`command/background` Tool
+   还必须完成强制幂等、审批、领域 expected-version 和结果追踪；MCP Adapter 当前仍只
+   暴露 `operation=query`。**完成标准：Schema、Guard、幂等与审计契约在 Manifest 和
+   Handler 间一致，MCP 未复制 Tool 定义。**
+9. 只有无需 Actor、Repository、Secret、Storage、文件系统或外网的纯计算 Tool 才使用
+   `setupSandbox()`；注册必须同步且无副作用。其余 Tool 留在普通 `setup()`，不能用
+   Sandbox 绕开依赖边界。**完成标准：Sandbox Handler 只依赖输入、`idempotencyKey` 和
+   `AbortSignal`。**
+10. 新增 AI Operation 时同步声明 Manifest 与 `registerAiOperationHandlers()`，固定
+    allowed Tool、Provider egress/data allowlist、DLP、Tool network policy、输入输出限制
+    和可选 readiness pin。`system.agent` 的面向用户回答使用平台 Supervisor typed
+    final-answer 契约；Durable Handler 只通过 Actor-aware 后台 AI Port 恢复同一幂等
+    Run。浏览器或桌面宿主本地编排模型循环时使用 governed Client Agent Session，不向
+    客户端下发 Provider Secret 或 execution grant。**完成标准：Operation 的声明、
+    Handler、发布坐标、输出投影和运行边界一致。**
+11. 补齐 Manifest/Composition、Repository/Service、Guard 拒绝和 Handler 契约覆盖；按
+    条件覆盖 Durable 重试/恢复、Tool 未授权发现/调用、资源文件、Secret、治理导出、
+    可选模块裁剪、Sandbox 隔离和 AI 恢复。**完成标准：每个新增能力至少有成功路径、
+    关键拒绝路径和声明/实现漂移检查。**
+12. 更新长期文档，并按当前仓库 `AGENTS.md` 与 `package.json` 分层验证。windy-platform
+    普通小提交只运行允许的静态检查；合并候选统一运行 `test:merge`，冻结发版候选才运行
+    一次 `release:verify`。仅当项目提供 `lint` 脚本时运行 lint；一个 cohesive slice 一个
+    Conventional Commit。**完成标准：验证层级、未执行项和提交 SHA 均可审计。**
 
 ## 项目所有权与自动装配
 
-- `apps/web/src`、`apps/server/src/app`、业务模块源码和
-  `windy.modules.json` 都是 project-owned；客户可以修改或替换。日常模块命令只更新
-  package/锁文件与装配声明，不覆盖 Admin、Router、layout 或 Server Composition。
-- Admin Host 从启用模块的 `./admin` 与 Manifest 贡献投影页面、入口和可见性。客户可
-  隐藏、排序或替换展示；模块不得直接写侧边栏源码。
+- `apps/web/src`、`apps/server/src/app`、业务模块源码和 `windy.modules.json` 都是
+  project-owned。日常模块命令不覆盖 Admin、Router、layout 或 Server Composition。
+- Admin Host 从启用模块的 `./admin` 与 Manifest 投影页面、入口和可见性；模块不直接
+  写侧边栏源码。
 - Server Host 只接受 canonical `./manifest`、声明兼容范围的 Adapter 和显式
   attachment。动态 package 不获得数据库或平台 Repository；需要项目 Repository 的
   模块在 project-owned Composition 中装配。
-- 每次安装、构建和 Server 监听前都必须执行同一套 Manifest/实现双向校验。未知、
-  重复、缺失声明以及 setup 后替换或变异 canonical Manifest 都应 fail closed。
+- 安装、构建和 Server 监听前使用同一套 Manifest/实现双向校验；未知、重复、缺失声明
+  以及 setup 后替换或变异 canonical Manifest 都应 fail closed。
 
-## 代码事实源
+## 代码与文档事实源
 
-- Manifest 与 Tool 类型：`packages/modules/src/manifest.ts`
-- Tool 组合校验：`packages/modules/src/tool-composition.ts`
-- 模块 Host 契约：`packages/server-sdk/src/module-host.ts`
-- Durable Handler 契约：`packages/server-sdk/src/durable-handler.ts`
-- 项目模块生命周期：`packages/create-windy/src/module-lifecycle-resolver.ts`
-- Tool Handler 契约：`packages/server-sdk/src/tool-registration.ts`
-- Sandbox Tool 契约：`packages/server-sdk/src/sandbox-tool.ts`
-- 可移除业务示例：`packages/example-work-order/`、`apps/server/src/work-order/`
-- 业务模块安装入口：`apps/server/src/installed-business-modules.ts`
-- MCP 与统一执行边界：`docs/architecture/mcp-business-capabilities.md`
+- Manifest、Composition 与 Migration：`packages/modules/src/manifest.ts`、
+  `packages/modules/src/composition.ts`、`packages/shared/src/migration-bundle-validation.ts`
+- Host 与 Context：`packages/server-sdk/src/module-host.ts`、
+  `packages/server-sdk/src/request-context.ts`、`packages/server-sdk/src/durable-handler.ts`
+- Tool 与 AI：`packages/server-sdk/src/tool-registration.ts`、
+  `packages/server-sdk/src/sandbox-tool.ts`、
+  `packages/server-sdk/src/ai-operation-registration.ts`
+- Secret、Storage 与治理：`packages/server-sdk/src/secret-port.ts`、
+  `packages/server-sdk/src/secret-binding.ts`、`packages/server-sdk/src/storage-port.ts`、
+  `packages/server-sdk/src/report-staging-port.ts`、
+  `packages/server-sdk/src/data-governance-registration.ts`
+- 当前装配：`windy.modules.json`、`apps/server/src/app/server-composition.ts`、
+  `apps/server/src/module-host/runtime-composition.ts`
+- 生命周期与运行边界：`docs/development/module-lifecycle.md`、
+  `docs/architecture/module-host.md`、`docs/platform/agent-tools.md`、
+  `docs/architecture/mcp-business-capabilities.md`
+- 条件能力：`docs/architecture/module-secret-resolution.md`、
+  `docs/architecture/report-staging.md`、`docs/platform/governed-export-renderers.md`、
+  `docs/platform/agent-tool-approval.md`、`docs/platform/background-ai-operations.md`、
+  `docs/platform/client-agent-session.md`
 
-缺少 `system.agent` 或某个事实源文件时，先说明当前生成组合的物理边界，不在业务层补一套
-替代实现。
+某个事实源或 `system.agent` / `system.storage` 不存在时，先说明当前生成组合的物理边界，
+不在业务层补一套替代实现。

package/template/.windy-template.json

@@ -1,7 +1,7 @@
 {
   "schemaVersion": 1,
-  "templateCommit": "cde495d20c6c60a5bf755bfb4df9634beb7b1377",
-  "generatorVersion": "0.6.12",
+  "templateCommit": "74fc88e548934dbda773291c4ad078d16a5396d1",
+  "generatorVersion": "0.6.14",
   "modules": [
     {
       "name": "system",
@@ -33,7 +33,7 @@
     },
     {
       "name": "system.agent",
-      "version": "0.1.1"
+      "version": "0.1.2"
     },
     {
       "name": "system.operations",

package/template/AGENTS.md

@@ -69,10 +69,8 @@
   `providerDataPolicy.inputFields` JSON Pointer allowlist 与
   `envelopeFields`；raw input 会在进入 `prepare` 前裁剪并执行 DLP。接入与升级
   诊断见 `docs/platform/agent-runtime.md`。
-- 开发期用 ADK Web 调试真实数据时，只在 project-owned 的
-  `apps/agent-server/project/adk-web-debug.json` 绑定满足文本契约的 Operation 与
-  当前启用的真实开发数据用户；Compose、权限收窄、Scope 复核、专用审计主体与
-  canonical Run bridge 由 Windy 基线提供。
+- Agent 运行调试统一使用主站 AI Runtime 的受治理 Run/Trajectory；历史业务会话通过
+  `registerAgentSessionProviders()` 注册只读投影，并复用当前登录身份、RBAC 与 Scope。
 
 ## 常用入口
 
@@ -86,8 +84,7 @@
 - `bun run dev:build`：依赖、Dockerfile 或 lockfile 变化后重建并启动开发环境；Web 与 Server 并发复用 BuildKit Bun 下载缓存，冷安装会周期输出不含凭据的心跳。
 - `bun run dev:web`：启动 Web 开发服务。
 - `bun run dev:server`：启动 Server 开发服务。
-- `bun run dev:adk-web`：选择 Agent 模块后，一条命令启动真实 canonical Run
-  调试链；生产环境不提供该入口。
+- `/admin/system/ai-runtime`：查看受治理的 Run、Provider Attempt 与脱敏 Trajectory。
 - `bun run lint`、`bun run typecheck`、`bun run test`、`bun run build`：执行基础验证；未选择 Oxc 时没有 lint 脚本。
 - `docs/README.md`：平台架构、模块接入和运维文档入口。
 - `.windy/generation.json`：本次生成器版本、所选模块和选项记录。

package/template/apps/agent-server/Dockerfile

@@ -14,14 +14,13 @@ COPY apps/agent-server/pyproject.toml apps/agent-server/uv.lock ./
 RUN windy-agent-python-install lock
 RUN windy-agent-python-install sync --frozen --no-dev --no-install-project
 COPY apps/agent-server/src ./src
-COPY apps/agent-server/adk_web_agents ./adk_web_agents
 RUN windy-agent-python-install sync --frozen --no-dev
 
 ENV PATH="/app/apps/agent-server/.venv/bin:${PATH}"
 ENV PYTHONUNBUFFERED=1
 EXPOSE 8080
-RUN mkdir -p /app/data/agent /app/apps/agent-server/project \
-  && chown -R windy:windy /app/data /app/apps/agent-server/project
+RUN mkdir -p /app/data/agent \
+  && chown -R windy:windy /app/data
 USER windy
 HEALTHCHECK --interval=15s --timeout=5s --start-period=10s --retries=4 \
   CMD ["python", "-c", "import urllib.request; urllib.request.urlopen('http://127.0.0.1:8080/health/ready', timeout=3)"]

package/template/apps/agent-server/README.md

@@ -1,9 +1,9 @@
 # Windy Agent Server
 
-Python 3.12 Agent 运行时。HTTP 层只公开 Windy 的 canonical Agent 契约；真实业务
-Run 在内部通过 Google ADK 2.5 的 Runner、Session、LlmAgent 和 Event 执行，ADK 类型不会
-越过 `AgentEngineAdapter`。模型调用继续复用受治理的 OpenAI-compatible
-`/chat/completions` Provider。
+Python 3.12 Agent 运行时。HTTP 层只公开 Windy canonical Agent 契约；真实业务 Run 由
+`OpenAiCompatibleEngineAdapter` 直接执行，模型调用复用受治理的 OpenAI-compatible
+`/chat/completions` Provider。Engine、Provider 和 Tool 私有类型不会越过
+`AgentEngineAdapter`。
 
 ```bash
 uv sync --frozen
@@ -21,10 +21,10 @@ HTTP 接口：
 - `POST /api/agent/runs/:runId/cancel`
 
 Run 创建使用 `Idempotency-Key`。事件以 SSE 传输，支持 `Last-Event-ID` 和 `after`
-断线重放，并周期发送 comment heartbeat。Provider 或框架异常只会映射为 canonical
-安全错误，不会把原始异常正文暴露给调用方。
+断线重放，并周期发送 comment heartbeat。Provider 或 Engine 异常只映射为 canonical
+安全错误，不把原始异常正文暴露给调用方。
 
-配置以下仅服务端可见的环境变量后，默认运行 ADK Adapter：
+配置以下仅服务端可见的环境变量后启用 Direct Engine：
 
 ```bash
 export AGENT_SERVER_INTERNAL_TOKEN='<random-token>'
@@ -40,9 +40,17 @@ export AI_PROVIDER_AUDIT_RETENTION_DAYS='90'
 uv run uvicorn southwind_agent_server.app:app
 ```
 
-VLM Operation readiness 比 Endpoint 可达性更严格。必须固定 Deployment 事实并声明
-图片 offer；否则 `/health/vlm-ready` 返回 V1 `unavailable` snapshot，视觉 Operation 保持
-关闭：
+公网 URL 必须使用 HTTPS 且 Host 精确命中 allowlist；本机、容器服务名和内网地址允许
+HTTP。Provider 请求有连接与总超时、响应大小限制、错误脱敏和出网审计。缺少 URL、
+Key 或 Model 时使用 `UnavailableEngineAdapter` 稳定返回 unavailable，不调用模型。
+
+Direct Engine 保留文本、结构化输出、Citation、Vision Artifact、受治理 Tool、多轮 Tool、
+审批等待/恢复、取消、Usage 和 Provider Attempt。Tool 只接受 Operation 允许的 Key，执行时
+回调 Windy Tool Host 并携带当前 Run 的 opaque Execution Grant。Service 在每次模型轮次
+和 Tool 前后重新检查取消，避免取消后继续产生副作用或发布成功终态。
+
+VLM Operation readiness 比 Endpoint 可达性更严格。必须固定 Deployment 事实并声明图片
+offer；否则 `/health/vlm-ready` 返回 V1 `unavailable` snapshot，视觉 Operation 保持关闭：
 
 ```bash
 export AI_PROVIDER_CAPABILITIES='text-generation,vision'
@@ -54,47 +62,23 @@ export AI_PROVIDER_MAX_CONCURRENT_RUNS='1'
 export AI_PROVIDER_MAX_QUEUE_DEPTH='0'
 ```
 
-Readiness 请求用固定的一像素合成图片调用已配置的 `/chat/completions`，并要求有界
-结构化结果。它不会调用 `/models`，不会读取客户截图，也不会把用户 Artifact、URL、Run
-ID、Prompt 或 Provider 输出放进 health payload。`offersDigest` 始终按公开 V1 算法由
-实际 offer 计算，不能由环境变量伪造。
-
-公网 URL 必须使用 HTTPS 且 Host 精确命中 allowlist；本机、容器服务名和内网地址允许
-HTTP。Provider 请求包含连接和总超时、响应大小限制、错误脱敏与 VLM 合成图片
-readiness。缺少 URL/Model 时回退
-未配置的 `AdkEngineAdapter` 并返回 unavailable，不调用模型。测试另使用
-`DeterministicEngineAdapter`。每个 ADK Tool 只声明 Operation 已允许的 Key；其执行
-函数只回调 Windy Tool Host，并携带当前 Run 的 opaque Execution Grant。
-
-未设置 `AGENT_RUN_STORE_PATH` 时使用的 `InMemoryRunStore` **仅用于 deterministic
-测试**。配置路径后使用有界 SQLite Store，可在单副本重启后保留 Run/Event/Result 和
-cursor；多副本部署仍必须替换为共享 Store。Execution Grant 与 Tool 授权由
-Windy Server 签发和复核，Agent Server 不能自行扩大 Operation 的
-`allowedToolKeys`。
-
-每次实际 `/chat/completions` HTTP 调用前，Runtime 会对 Manifest 允许的输入 JSON
-Pointer 与 Provider outbound envelope 字段执行 DLP，并将 deployment、operation、
-run、attempt、分类集合、实际序列化请求字节数和 allow/redact/reject 决策写入独立
-SQLite append-only 表。审计不保存 prompt、请求正文或 Secret；审计写入失败时禁止
-出网。记录到期后只由配置的 TTL 清理，清理计数可通过需内部 Token 的
-`GET /health/provider-governance` 查看。SQLite 实现仅支持单副本；多副本部署必须替换
-为共享、并发安全的审计 Adapter。
-
-项目在 `project/adk-web-debug.json` 绑定一个满足
-`{ question: string } -> { text: string }` 的真实 Agent Operation 和当前启用的开发
-数据用户后，可启动 ADK Web：
-
-```bash
-bun run dev:adk-web
-```
-
-访问 `http://127.0.0.1:8000` 并选择 `canonical_debug`。该命令会拉起完整开发
-Runtime；Windy 启动脚本读取项目选择的 Operation，ADK Web 使用 create-windy 自动生成
-的随机调试 Token，经 canonical HTTP/SSE 执行真实 Operation。Server 把它解析成仅限
-Run 路径的专用服务身份，向业务 Module 投影真实用户的成员 ID 和当前 Scope，并把权限
-收窄到该用户已有权限与 Operation/allowed Tools 闭包。Provider、业务 Tool、
-Execution Grant 和审计仍由正式 Server/Agent Server 负责，ADK 容器不持有 Provider
-Key 或内部服务 Token。
-
-`safe_debug` 只用于纯 ADK UI smoke。生产 Compose 不包含 ADK Web；当前桥显示的是
-canonical Run 及有界事件摘要，不是内部完整 Workflow 图。
+Readiness 使用固定一像素合成图片调用已配置的 `/chat/completions` 并要求有界结构化结果。
+它不读取客户截图，也不把用户 Artifact、URL、Run ID、Prompt 或 Provider 输出放进 health
+payload。
+
+未设置 `AGENT_RUN_STORE_PATH` 时的 `InMemoryRunStore` 仅用于 deterministic 测试。
+配置路径后使用有界 SQLite Store，可在单副本重启后保留 Run/Event/Result 和 cursor；
+多副本部署必须使用共享 Store。Run 固定保存稳定 Engine ID
+`windy.direct.openai-compatible.v1`；历史 `google.adk.v2` Run 只读兼容，不回填，也不能由
+Direct Engine 从中断点继续。
+
+每次实际 Provider HTTP 调用前，Runtime 对 Manifest 允许的输入 JSON Pointer 与 outbound
+envelope 执行 DLP，并将 deployment、operation、run、attempt、分类集合、序列化字节数和
+allow/redact/reject 决策写入 append-only 审计。审计不保存 Prompt、请求正文或 Secret；
+审计写入失败时禁止出网。
+
+开发与运维统一使用 Windy 主站 `/admin/system/ai-runtime`。详情中的脱敏 Trajectory 展示
+Run、输入模态、Tool Key、审批、Usage、Artifact 数量、取消/失败和终态，不展示输入输出正文、
+Tool 参数、chain-of-thought 或 Provider 原始响应。业务历史会话通过
+`registerAgentSessionProviders()` 投影到受当前登录身份、Feature、RBAC 和对象范围保护的
+主站接口；不再存在独立调试站点、专用调试身份或第二种 Token。

package/template/apps/agent-server/pyproject.toml

@@ -6,7 +6,6 @@ requires-python = ">=3.12,<3.13"
 dependencies = [
   "cryptography==49.0.0",
   "fastapi==0.139.2",
-  "google-adk==2.5.0",
   "httpx==0.28.1",
   "jsonschema==4.26.0",
   "opentelemetry-api==1.42.1",

package/template/apps/agent-server/src/southwind_agent_server/app.py

@@ -11,6 +11,7 @@ from fastapi.responses import JSONResponse, StreamingResponse
 from pydantic import ValidationError
 
 from .artifact_input import ArtifactLoader
+from .client_completion_routes import install_client_completion_routes
 from .contracts import (
     CancelRunRequest,
     CancelRunResponse,
@@ -92,10 +93,11 @@ def create_app(
         lifespan=lifespan,
     )
     application.include_router(
-        create_report_router(runtime_report_store, internal_token)
+        create_report_router(runtime_report_store, runtime.store, internal_token)
     )
 
-    install_health_routes(application, runtime, runtime_engine)
+    install_health_routes(application, runtime, runtime_engine, internal_token)
+    install_client_completion_routes(application, runtime_engine, internal_token)
 
     @application.get("/health/provider-governance", response_model=None)
     async def provider_governance_health(

package/template/apps/agent-server/src/southwind_agent_server/attempt_context.py

@@ -0,0 +1,191 @@
+from __future__ import annotations
+
+from dataclasses import dataclass
+
+from .attempt_context_projection import (
+    AttemptContextPreparation,
+    governed_envelope,
+)
+from .context_version_port import (
+    ContextVersionPort,
+    PreparedSource,
+    context_unavailable,
+)
+from .contracts import JsonValue, LongSessionContext
+from .engine import EngineRunRequest, PreparedArtifact
+from .openai_provider import OpenAiCompatibleProvider
+from .provider_governance import GovernedAttempt, ProviderRequestGovernance
+
+
+@dataclass(frozen=True)
+class GovernedProviderAttempt:
+    governed: GovernedAttempt
+    provider_request: bytes
+
+
+async def govern_provider_attempt(
+    port: ContextVersionPort,
+    governance: ProviderRequestGovernance,
+    provider: OpenAiCompatibleProvider,
+    request: EngineRunRequest,
+    attempt_sequence: int,
+    model_attempt_id: str | None,
+    messages: list[dict[str, JsonValue]],
+    max_output_tokens: int | None = None,
+) -> GovernedProviderAttempt:
+    preparation = await prepare_attempt_context(
+        port,
+        request.long_session,
+        request.run_id,
+        model_attempt_id,
+        request.execution_grant,
+        messages,
+    )
+    try:
+        attempt_messages = preparation.messages if preparation else messages
+        governed = governance.authorize(
+            deployment_key=provider.config.deployment_key,
+            operation_key=request.operation_key,
+            run_id=request.run_id,
+            attempt=attempt_sequence,
+            messages=attempt_messages,
+            tools=request.allowed_tools,
+            policy=request.provider_data_policy,
+            input_value=request.input,
+            artifact_bytes=sum(artifact.byte_size for artifact in request.artifacts),
+            output_schema=request.output_schema,
+            measure=lambda current_messages, tools, schema: len(
+                provider.request_body(
+                    current_messages,
+                    tools,
+                    request.output_schema_key,
+                    schema,
+                    max_output_tokens,
+                )
+            ),
+        )
+        provider_request = provider.request_body(
+            governed.messages,
+            governed.tools,
+            request.output_schema_key,
+            governed.output_schema,
+            max_output_tokens,
+        )
+        await commit_attempt_context(
+            port,
+            preparation,
+            request.long_session,
+            request.run_id,
+            model_attempt_id,
+            request.execution_grant,
+            governed.messages,
+            provider_request,
+            provider.config.deployment_key,
+            provider.config.model,
+            request.prompt_version,
+            request.artifacts,
+        )
+        return GovernedProviderAttempt(governed, provider_request)
+    except BaseException:
+        await abort_attempt_context(
+            port,
+            preparation,
+            request.long_session,
+            request.run_id,
+            model_attempt_id,
+            request.execution_grant,
+        )
+        raise
+
+
+async def prepare_attempt_context(
+    port: ContextVersionPort,
+    binding: LongSessionContext | None,
+    run_id: str,
+    model_attempt_id: str | None,
+    authorization_grant: str,
+    messages: list[dict[str, JsonValue]],
+) -> AttemptContextPreparation | None:
+    if binding is None:
+        return None
+    if model_attempt_id is None or not authorization_grant.strip():
+        raise context_unavailable()
+    context = await port.prepare(
+        binding,
+        run_id,
+        model_attempt_id,
+        authorization_grant,
+    )
+    insertion_start = 1 if messages and messages[0].get("role") == "system" else 0
+    injected = [_source_message(source) for source in context.sources]
+    return AttemptContextPreparation(
+        context,
+        [*messages[:insertion_start], *injected, *messages[insertion_start:]],
+        insertion_start,
+    )
+
+
+async def commit_attempt_context(
+    port: ContextVersionPort,
+    preparation: AttemptContextPreparation | None,
+    binding: LongSessionContext | None,
+    run_id: str,
+    model_attempt_id: str | None,
+    authorization_grant: str,
+    governed_messages: list[dict[str, JsonValue]],
+    provider_request: bytes,
+    deployment_key: str,
+    model: str,
+    prompt_version: str,
+    artifacts: tuple[PreparedArtifact, ...],
+) -> None:
+    if binding is None:
+        return
+    if preparation is None or model_attempt_id is None:
+        raise context_unavailable()
+    envelope = governed_envelope(
+        preparation,
+        run_id,
+        model_attempt_id,
+        governed_messages,
+        provider_request,
+        deployment_key,
+        model,
+        prompt_version,
+        artifacts,
+    )
+    await port.commit(
+        preparation.context,
+        binding,
+        run_id,
+        model_attempt_id,
+        authorization_grant,
+        envelope,
+    )
+
+
+async def abort_attempt_context(
+    port: ContextVersionPort,
+    preparation: AttemptContextPreparation | None,
+    binding: LongSessionContext | None,
+    run_id: str,
+    model_attempt_id: str | None,
+    authorization_grant: str,
+) -> None:
+    if binding is None or preparation is None or model_attempt_id is None:
+        return
+    try:
+        await port.abort(
+            preparation.context,
+            binding,
+            run_id,
+            model_attempt_id,
+            authorization_grant,
+        )
+    except Exception:
+        # Preparations are never active and have a bounded Server-side TTL.
+        return
+
+
+def _source_message(source: PreparedSource) -> dict[str, JsonValue]:
+    return {"role": source.role, "content": source.content}