dsh-config-manager 0.1.78 → 0.1.79

package/lib/core/rollback-point.d.ts

@@ -1,6 +1,16 @@
 import { type DiffHunk } from '../utils/line-diff.ts';
 import type { RollbackWriteAttributionPort, RollbackWriteRecorder } from './rollback-attribution.ts';
+import { type InterruptedUndo } from './rollback-undo-journal.ts';
 import { ROLLBACK_DEFAULT_LEDGER_BYTES } from './rollback-ledger.ts';
+/** 活跃时间窗的**读**端口（core/rollback-activity.ts 的实现注入；缺省 = 没有时间证据） */
+export interface RollbackActivityPort {
+    hasDataFor(sessionId: string): boolean;
+    sessionsActiveAt(at: number, toleranceMs?: number): string[];
+}
+/** 活跃时间窗的**写**端口（tracker 用；缺省 = 不采集） */
+export interface RollbackActivityRecorder {
+    noteActivity(sessionId: string, at?: number): void;
+}
 export declare const ROLLBACK_SCHEMA_VERSION = 2;
 /** 回滚点库目录名（dataDir/rollback-points）——路由族 /recovery/rollback-points/* 同源 */
 export declare const ROLLBACK_POINTS_DIR_NAME = "rollback-points";
@@ -708,6 +718,25 @@ export interface RollbackPreviewWorkspace {
     skippedCount: number;
     /** 捕获是否被上限截断（超单文件上限 / 字节预算 / 文件数预算任一命中即为 true） */
     truncated: boolean;
+    /**
+     * **冲突**：两侧改到同一处（含同一插入点）⇒ 回退会**跳过**该文件（零写入）。
+     * 与执行阶段的 `conflictCount` 同一判据（调用同一份 `mergeForeignRecord`）⇒「预览说有冲突的」=「执行时真的跳过」。
+     */
+    conflictCount: number;
+    /** 冲突路径逐条清单（上限 {@link ROLLBACK_LEFTOVER_LIST_LIMIT}） */
+    conflictPaths: string[];
+    /**
+     * **无法安全撤销**而会被跳过的文件总数（冲突之外的成因：没有共同祖先 / 二进制 / 差异被降级 /
+     * 对方把它改成了不存在 / 读不出）。预览把它们**列出来**而不是静默略过 —— 逐条原因在
+     * {@link files} 的 `mergeReason` 上。
+     */
+    unavailableCount: number;
+    /**
+     * **落点无人认领**而会被跳过的文件总数（时间窗归属判定：文件在目标会话静默之后被改过，
+     * 且当时没有任何会话处于活跃窗口 —— 手改 / 外部工具 / 另一个进程）。
+     * 成因逐条在 {@link files} 的 `mergeReason`（`external-edits`）上。
+     */
+    externalCount: number;
 }
 export interface RollbackPreviewSession {
     /** fork 的 inclusive 边界 seq（目标回合开始前最后一个事件）；null = 无边界 */
@@ -821,6 +850,14 @@ export interface RollbackSegmentResult {
      * 只在**没有显式点名**（`onlyPaths` 缺省）时生效；显式点名 = 用户明确要它，归属不再拦。
      */
     foreignSkipped?: number;
+    /**
+     * **落点无人认领**而未写回的文件总数（时间窗归属判定：文件在目标会话静默之后被改过，
+     * 而那一刻没有任何会话处于活跃窗口 ⇒ 手改 / 外部工具 / 另一个 DSH 进程）。
+     * 与 conflictCount / unavailableCount 一样是「故意没退」，绝不能并进「0 变更」。
+     */
+    externalCount?: number;
+    /** 无人认领而未写回的路径逐条清单（上限 {@link ROLLBACK_LEFTOVER_LIST_LIMIT}） */
+    externalPaths?: string[];
     /** 三方合并成功、写回「撤销本会话 + 保留对方改动」的条目数（有界清单同给） */
     mergedCount?: number;
     mergedPaths?: string[];
@@ -893,6 +930,11 @@ export interface RollbackEngineOptions {
      * 回退行为与旧版**逐字一致**（未判定绝不当作「别的会话写的」）。
      */
     attribution?: RollbackWriteAttributionPort;
+    /**
+     * 会话活跃时间窗（2026-10-18 新增）。缺省 = 没有时间证据 ⇒ 归属判定退回归属台账那一条，
+     * 回退行为与加它之前**逐字一致**（未判定绝不当作「别的会话写的」，也绝不凭空拦截）。
+     */
+    activity?: RollbackActivityPort;
     /** DSH home（会话根 = homeDir/sessions） */
     homeDir: string;
     now?: () => number;
@@ -1086,6 +1128,7 @@ export declare class RollbackPointEngine {
     private readonly ledger;
     /** 写入归属（2026-10-17 定案 B）。undefined = 没有归属信息 ⇒ 预览不标 foreign */
     private readonly attribution;
+    private readonly activity;
     private readonly ledgerBytesBudget;
     /**
      * 工作区捕获的挂钟时间预算（毫秒；见 ROLLBACK_DEFAULT_CAPTURE_BUDGET_MS）。**可变**：
@@ -1450,6 +1493,31 @@ export declare class RollbackPointEngine {
      * 预览若照旧拿 ours 算差异，就会把「其实会被保留的对方改动」显示成「会被删掉」。
      */
     private previewMergeCounts;
+    /**
+     * **中断的回退**（2026-10-18）：进程在「回退写到一半」时没了 ⇒ 工作区停在半回退状态。
+     *
+     * 判据 = 目录名形态（`<pid>-<ts36>-<8hex>`）+ 有 journal 索引 + **没有 done** + 持锁进程已死
+     *（全部在 rollback-undo-journal.ts 里，可注入 isAlive 以便测试）。
+     *
+     * 只读：不改工作区、不删现场；是否重放由用户决定（见 recoverInterruptedRollback）。
+     * 这也是 cleanupOrphanTempFiles 不再整目录删它的原因 —— 删了就等于把半回退现场变成
+     * 「无人知晓的部分修改」，正是任务要求里禁止留下的东西。
+     */
+    interruptedRollbacks(): Promise<InterruptedUndo[]>;
+    /**
+     * 把一条中断的回退**退回回退前**（重放前像），返回逐条结果。
+     *
+     * 安全边界全在 replayUndoJournal 里：只有「当前内容仍等于 after 镜像」的条目才写回 ——
+     * 之后发生的任何人工 / 外部 / 别的会话的改动一律**跳过**并如实回报（绝不覆盖）。
+     * 只有全部条目都成功（没有 skipped / failed）才清理现场；否则现场留着，可以再看、再试。
+     */
+    recoverInterruptedRollback(dir: string): Promise<{
+        ok: boolean;
+        restored: number;
+        skipped: string[];
+        failed: string[];
+        detail: string;
+    }>;
     /** 只读预览：零写入（不过确认门、不拍 guard、不写任何字节）。 */
     preview(id: string): Promise<RollbackPreviewResult>;
     /**
@@ -1502,6 +1570,25 @@ export declare class RollbackPointEngine {
      * **本会话的点**（见上）、以及内容读不出来的点（继续往后找 —— 找不到 ⇒ 调用方按「无法安全撤销」
      * 处理，绝不用近似值代替）。
      */
+    /**
+     * 这条路径**是谁写的** —— 只读旁证（归属台账 + 活跃时间窗），**绝不从内容猜**。
+     *
+     * 优先归属台账（tool/call 参数，精确到调用）；没有归属时看文件 mtime 落在谁的活跃窗口内 ——
+     * 这一条与工具无关，因此 bash / 脚本 / 外部编辑器写的路径同样能被判出来。
+     * `hasDataFor` 是「有没有覆盖」的自证：**没有覆盖就返回 unknown**（不拦），有覆盖却没有任何会话
+     * 活跃在那一刻才返回 unclaimed（手改 / 外部工具 / 另一个 DSH 进程）。
+     */
+    private provenanceOf;
+    /**
+     * 目标点之后**别的会话的回合点**里，有没有哪个**不含**这条路径（= 那一刻它不存在）。
+     *
+     * 它证明的是：「当前磁盘上这份内容是该点之后才出现的」⇒ 拿目标点的内容整文件覆盖它，等于
+     * 抹掉对方新建/重建的工作（2026-10-18：A 删文件、B 重建，回退 A 把 B 的内容覆盖回旧版本）。
+     * 截断的点（`payload.truncated`）不能用来证明「不存在」，一律跳过；只扫最早的若干个点（有界）。
+     */
+    private absentAtForeignPointOf;
+    /** 两档 base：**别的会话的回合点**优先，其次**救援点**（见 baseVersionFor 的判据注释） */
+    private baseFor;
     private baseVersionFor;
     /**
      * **别的会话的回合点里记录过的路径集合** —— 删除集保护的第二种证据（不依赖归属台账）。
@@ -1606,6 +1693,11 @@ export interface RollbackTrackerOptions {
      * 回退行为与旧版**逐字一致**。
      */
     attribution?: RollbackWriteRecorder;
+    /**
+     * 会话活跃时间窗采集器（2026-10-18）。缺省 = 不采集 ⇒ 归属判定只剩 tool/call 参数那一条。
+     * **每个事件都记一次**（与工具参数无关），因此 bash / 脚本 / 外部编辑器写的路径同样有归属证据。
+     */
+    activity?: RollbackActivityRecorder;
 }
 export interface RollbackTrackerResult {
     captured: boolean;
@@ -1668,6 +1760,7 @@ export declare class RollbackAutoTracker {
     private readonly log;
     private readonly statSessionLog;
     private readonly attribution;
+    private readonly activity;
     private readonly bindings;
     private readonly open;
     /**