dsh-kingdom 2.0.0 → 3.2.0

package/lib/types/core/owner-window.d.ts

@@ -3,7 +3,8 @@ import { type ExecutionProfileV1 } from './binding.js';
 import { type OwnerControlCapability } from './owner-control.js';
 import { type BudgetPolicyParameters } from './budget.js';
 import { type PlanAdoptionParameters, type CollaborationPlanView } from './collaboration.js';
-export declare const OWNER_MUTATION_ACTIONS: readonly ["init", "territory.create", "territory.update", "territory.supervisor", "role.bind", "role.session", "ceiling", "execution-profile", "budget.policy", "plan.adopt"];
+import { type DeliveryAcceptanceEvidenceKind, type DeliveryItemVersionState, type DeliveryReplyState } from './delivery-ack.js';
+export declare const OWNER_MUTATION_ACTIONS: readonly ["init", "territory.create", "territory.update", "territory.supervisor", "role.bind", "role.session", "ceiling", "execution-profile", "budget.policy", "plan.adopt", "delivery.item.ack", "delivery.item.question"];
 export type OwnerMutationAction = typeof OWNER_MUTATION_ACTIONS[number];
 export type OwnerManagedRole = 'CHANCELLOR' | 'SUPERVISOR' | 'WORKER';
 export interface OwnerDecisionScope {
@@ -60,6 +61,148 @@ export interface OwnerRuntimeSessionChoice {
     id: string;
     label: string;
 }
+/** 交付清单条目：只有已被主管 ACCEPT 确认的交付才会出现。 */
+export interface OwnerDeliveryItemChoice {
+    taskId: string;
+    taskTitle: string;
+    deliveryId: string;
+    attemptNo: number;
+    resultId: string;
+    itemId: string;
+    contentHash: string;
+    layer: string;
+    label: string;
+    detail: string;
+    changeKind: string;
+    changeNote: string;
+    acknowledgementState: 'ACKNOWLEDGED' | 'PENDING' | 'PENDING_REVISION';
+    acknowledgedAt: string | null;
+    /**
+     * 本次确认交付实际依据的接受证据强度。`LEGACY_ATTEMPT_ONLY` 时
+     * `acceptanceEvidenceNote` 必须原样展示给 Owner（历史接受证据较弱），
+     * 且不得把它当作 exact result-bound。
+     */
+    acceptanceEvidenceKind: DeliveryAcceptanceEvidenceKind;
+    acceptanceEvidenceExact: boolean;
+    acceptanceEvidenceNote: string | null;
+    /**
+     * 该条目已有的 Owner 提问元数据（不含正文）。正文只经
+     * {@link OwnerDecisionController.readDeliveryQuestions} 在有效窗口内按精确条目返回。
+     */
+    questions: OwnerDeliveryItemQuestions | null;
+}
+/** 条目提问的**元数据**：不含问题或回复正文。 */
+export interface OwnerDeliveryItemQuestions {
+    threadId: string;
+    totalCount: number;
+    /** 主管尚未回复的问题数；未被实际读取前只算「待领取」。 */
+    pendingCount: number;
+    answeredCount: number;
+    /** 属于旧内容版本、仅留历史的问题数。 */
+    historyCount: number;
+    lastAskedAt: string | null;
+    lastRepliedAt: string | null;
+    /** 最近一条问题的接收主管是否仍可回复；不可达时界面必须照实说明。 */
+    latestReplyState: DeliveryReplyState | null;
+}
+/**
+ * Owner 只读问答历史入口的一条精确条目（不含问题或回复正文）。
+ *
+ * 与 `deliveryItems` 分开：它只来自既有提问事实，因此包含已经离开当前交付目录、
+ * 目前无法重验的旧问答。它只供只读回看，**绝不**作为新提问目标；新提问仍须落在
+ * 当前已确认交付目录内并逐条精确重验。
+ */
+export interface OwnerDeliveryQuestionHistoryChoice {
+    taskId: string;
+    taskTitle: string;
+    itemId: string;
+    itemLabel: string;
+    lastAskedAt: string;
+    questionCount: number;
+    /** 已验证当前版本且尚无回复的条数；历史版与无法重验的都不计入。 */
+    pendingCount: number;
+    answeredCount: number;
+    historyCount: number;
+    unverifiableCount: number;
+    latestItemVersion: DeliveryItemVersionState;
+    currentContentHash: string | null;
+}
+/**
+ * Owner 只读的条目问答线程。
+ *
+ * 与「查看改动」同款边界：只经有效 Owner 窗口、精确条目引用与本次动作授权返回，
+ * **读取不写任何事实**、不自动知悉、也不替主管回复。
+ */
+export interface OwnerDeliveryQuestionEntry {
+    questionId: string;
+    questionText: string;
+    askedAt: string;
+    ownerId: string;
+    /** 接受该交付的主管 binding；首版唯一合法接收者。 */
+    reviewerBindingId: string;
+    replyState: DeliveryReplyState;
+    replyStateNote: string;
+    /**
+     * 该问题相对当前交付目录的版本关系：已验证当前、可确认的旧版本，或无法重验。
+     * 后两者仍可读、仍保留原文与回复，但**不计当前待办**，界面也不得据此声称
+     * 「当前可回复」。
+     */
+    itemVersion: DeliveryItemVersionState;
+    /** 当前读取时该条目重新派生出的内容版本；无法派生时为 null。 */
+    currentItemContentHash: string | null;
+    reply: {
+        replyText: string;
+        repliedAt: string;
+        responderBindingId: string;
+    } | null;
+}
+export interface OwnerDeliveryQuestionView {
+    deliveryId: string;
+    taskId: string;
+    taskTitle: string;
+    itemId: string;
+    itemLabel: string;
+    /** 本次读取时该条目的当前内容版本；无法在当前交付目录中重验时为 null。 */
+    contentHash: string | null;
+    questions: OwnerDeliveryQuestionEntry[];
+    answeredCount: number;
+    /** 已验证当前版本且尚无回复的条数；历史版与无法重验的未答问题都不计入。 */
+    pendingCount: number;
+    historyCount: number;
+    /** 当前交付目录无法重验该条目版本、因此不声称任何版本关系的条数。 */
+    unverifiableCount: number;
+    note: string;
+}
+/**
+ * Owner 只读的已确认改动详情。
+ *
+ * 这是「主管确认的改动证据」的可读视图：只经有效 Owner 窗口、精确
+ * task/evidence/entry id 与 scope 返回，**查看不写入任何事实**，也不自动知悉。
+ */
+export interface OwnerDeliveryChangeView {
+    kind: 'SUPERVISOR_CONFIRMED_BOUNDED_WINDOW';
+    label: string;
+    evidenceId: string;
+    entryId: string;
+    taskId: string;
+    taskTitle: string;
+    attemptNo: number;
+    status: string;
+    repoPath: string;
+    revision: string;
+    repoVcs: string;
+    repoHead: string | null;
+    coverageComplete: boolean;
+    coverageReasons: string[];
+    labels: string[];
+    note: string;
+    hunks: {
+        kind: string;
+        beforeLine: number | null;
+        afterLine: number | null;
+        text: string;
+    }[];
+}
 export interface OwnerDecisionControllerOptions {
     now?: () => number;
     validationTimeoutMs?: number;
@@ -83,6 +226,16 @@ export interface OwnerOperationCatalog {
     }[];
     runtimeSessions: OwnerRuntimeSessionChoice[];
     workspaceRoots: string[];
+    /**
+     * 本次授权范围内的已确认交付条目；逐条知悉与逐条提问共用同一份目录。
+     * 只要窗口授权了其中任一动作就返回；读取权限仍由各自动作单独把关。
+     */
+    deliveryItems?: OwnerDeliveryItemChoice[];
+    /**
+     * 本次授权范围内**已有提问记录**的精确条目只读入口（含已离开当前目录的旧问答）。
+     * 只在窗口授权 `delivery.item.question` 时返回，供只读回看；不是新提问目标来源。
+     */
+    deliveryQuestionHistory?: OwnerDeliveryQuestionHistoryChoice[];
 }
 export type OwnerOperationInput = {
     action: 'init';
@@ -108,7 +261,7 @@ export type OwnerOperationInput = {
     action: 'territory.supervisor';
     parameters: {
         territory_id: string;
-        supervisor_binding_id: string;
+        supervisor_binding_id: string | null;
     };
 } | {
     action: 'role.bind';
@@ -116,6 +269,7 @@ export type OwnerOperationInput = {
         role_type: OwnerManagedRole;
         role_name: string;
         session_id?: string | null;
+        territory_id?: string | null;
     };
 } | {
     action: 'role.session';
@@ -140,6 +294,27 @@ export type OwnerOperationInput = {
 } | {
     action: 'plan.adopt';
     parameters: PlanAdoptionParameters;
+} | {
+    action: 'delivery.item.ack';
+    parameters: {
+        task_id: string;
+        delivery_id: string;
+        item_id: string;
+        content_hash: string;
+        attempt_no: number;
+        result_id: string;
+    };
+} | {
+    action: 'delivery.item.question';
+    parameters: {
+        task_id: string;
+        delivery_id: string;
+        item_id: string;
+        content_hash: string;
+        attempt_no: number;
+        result_id: string;
+        question_text: string;
+    };
 };
 export interface OwnerOperationPreview {
     prepareId: string;
@@ -170,7 +345,7 @@ export interface OwnerOperationReceipt {
     inputHash: string;
     status: 'APPLIED';
     target: {
-        type: 'kingdom' | 'territory' | 'binding' | 'collaboration-plan';
+        type: 'kingdom' | 'territory' | 'binding' | 'collaboration-plan' | 'delivery';
         id: string;
     };
     receiptSeq: number;
@@ -196,6 +371,65 @@ export declare class OwnerDecisionController {
     };
     inspect(handle: OwnerDecisionHandle): OwnerDecisionView | null;
     catalog(handle: OwnerDecisionHandle): Promise<OwnerOperationCatalog>;
+    /**
+     * 本次授权范围内的**已有提问记录**条目（只读历史入口）。
+     *
+     * 只读且不依赖有界交付目录：它按权威提问事实列出精确 task/item，再逐条用
+     * `deliveryScopeAllows` 过滤，因此不含跨领地条目；不在当前目录、当前无法重验的
+     * 旧问答也能在这里被发现。它不返回任何正文，也**不**进入新提问 prepare 的来源目录。
+     */
+    private deliveryQuestionHistory;
+    /**
+     * 交付知悉的授权范围判据。
+     *
+     * catalog 与 prepare/commit 必须共用同一判据：否则会出现「清单可见、
+     * 提交被拒」或「清单不可见、提交却可行」。`kingdomWide` 是 Owner 的最高
+     * 授权级别；其余情况要求任务所在领地在 `territoryIds` 内，或该领地由
+     * 授权 `bindingIds` 中的主管主理且本次授权声明了 SUPERVISOR 角色。
+     */
+    private deliveryScopeAllows;
+    /**
+     * 本次授权范围内的已确认交付条目。只有同一 Task/attempt 主管 ACCEPT 的交付才出现，
+     * Worker Claim 永远不会进入该清单。
+     */
+    private deliveryItems;
+    /**
+     * 只读返回一条已确认交付条目的完整问答线程。
+     *
+     * 有效性要求与 `readDeliveryChange` 同款：窗口 ACTIVE、本次授权包含
+     * `delivery.item.question`、任务在授权范围内、该 task 确实存在写给它的问题记录。
+     * 版本关系按该精确 task/item **独立重验**（不受有界展示目录截断影响）：命中当前
+     * 派生版本即已验证当前版，命中的是旧版本即历史版；条目已无法从当前 ACCEPT/证据
+     * 重验（例如 CHANGE 证据丢失）时仍可按精确 itemId 读回，但整条标为无法重验，
+     * 不冒充当前版、也不可回复。任一不成立都失败，且不写任何事实、不自动知悉。
+     */
+    readDeliveryQuestions(handle: OwnerDecisionHandle, input: {
+        taskId: string;
+        itemId: string;
+    }): OwnerDeliveryQuestionView;
+    /**
+     * 已由主管在 ACCEPT 中显式选择、且本地 hash 重验通过的改动证据。
+     * 缺失、漂移或未确认时返回 null：调用方显示「不可定位」，不退回执行者自述。
+     */
+    private changeEvidenceFor;
+    private acceptedChangeRef;
+    /**
+     * 只读返回一条已确认改动条目的有界详情。
+     *
+     * 有效性要求：窗口 ACTIVE、**本次授权动作包含 `delivery.item.ack`**、任务在本次
+     * 授权范围内、该 task 确实存在一条主管 ACCEPT 绑定的改动证据、evidence id 与
+     * entry id 精确匹配、该条目仍需出现在当前有效交付目录中，且本地 hash 重验通过。
+     * 任一不成立都失败，且不写任何事实、不产生知悉。
+     *
+     * 只检查 ACTIVE + Territory scope 是不够的：同一领地的另一个管理窗口若没有该
+     * 动作授权，就不能凭 id 读取差异正文。这里与 `catalog` 使用同一动作判据，
+     * 不默认放行（也不新增只读动作）。
+     */
+    readDeliveryChange(handle: OwnerDecisionHandle, input: {
+        taskId: string;
+        evidenceId: string;
+        entryId: string;
+    }): OwnerDeliveryChangeView;
     prepare(handle: OwnerDecisionHandle, raw: OwnerOperationInput, options?: {
         signal?: AbortSignal;
     }): Promise<OwnerOperationPreview>;

package/lib/types/core/task-service.d.ts

@@ -106,12 +106,34 @@ export interface StartTaskInput {
  * - executor 客观失败 → **RUNNING → FAILED** + `WORKER_EXECUTION_FAILED`，且不落 Claim。
  */
 export declare function startTask(store: KingdomStore, executor: WorkerExecutor, ctx: CommandContext, input: StartTaskInput): Promise<CommandResultView>;
+/**
+ * 主管只读候选清单：列出本 Task 当前 attempt 的有界改动条目。
+ *
+ * 这是主管「查看候选并显式选择」的入口；它只读、不写任何事实，也要求
+ * 真实 session-bound 主管。没有快照时如实说明，不伪造候选。
+ */
+export declare function describeTaskChangeCandidates(store: KingdomStore, ctx: CommandContext, taskId: string): {
+    ok: true;
+    text: string;
+} | {
+    ok: false;
+    code: KingdomErrorCode;
+    message: string;
+};
 export interface ReviewTaskInput {
     taskId: string;
     decision: string;
     reason?: string;
     /** HANDOFF 专用：目标 Worker binding id。 */
     to_binding_id?: string;
+    /**
+     * ACCEPT 专用：主管显式选择属于本次交付的改动引用。
+     *
+     * 两者必须同时给出；只给 evidence id 或只给空选择都视为非法，普通 ACCEPT
+     * 不会自动确认全部 diff。确认入口额外要求真实 session-bound 主管会话。
+     */
+    change_evidence_id?: string;
+    change_entry_ids?: string[];
 }
 /**
  * Supervisor 审查 Worker Claim，把 Claim 转成组织事实（v0.7.0：scope + HANDOFF + Ledger 关闭）。

package/lib/types/core/territory.d.ts

@@ -25,11 +25,26 @@ export declare function updateTerritory(store: KingdomStore, input: {
     summary?: string | null;
 }, auth?: AdminAuth): string;
 /**
- * v0.7.0（M2）：设置 Territory 主理 Supervisor（Topology Administration Plane）。
- * - 仅 direct Owner Control capability 可执行（requireAdmin → requireOwnerControl）；
+ * v0.7.0（M2）语义 + 3.2.0 边界：**授权无关**的主理写入。校验不变量后更新领地并写事件。
+ *
  * - supervisorBindingId=null → 未指派 → fail-closed（TERRITORY_SUPERVISOR_MISSING，无 Supervisor 可治理）；
- * - 指派必须是当前王国的 ACTIVE SUPERVISOR 绑定。
+ * - 指派必须是当前王国的 ACTIVE SUPERVISOR 绑定；
+ * - 不变量（Owner 2026-09-28 口径 + 2026-09-29 裁定：领地和主管完全绑定）：
+ *   ① 一个领地至多一个主理——目标领地已有**在任 ACTIVE** 主理时拒绝（**先解除再指派**，不静默覆盖）；
+ *      引用指向已退任席位的悬挂引用属于修复，可直接改派；
+ *   ② 一个主管席位至多主理一个领地——席位已隶属其它未删除领地时拒绝，须先解除原领地的主理。
+ *   DELETED 领地不参与治理，其历史指针不锁住席位。
+ *
+ * 授权由调用方负责：`setTerritorySupervisor` = requireAdmin + 委托本函数。
  */
+export declare function applyTerritorySupervisor(store: KingdomStore, input: {
+    kingdomId: string;
+    territoryId: string;
+    supervisorBindingId: string | null;
+}, actor: {
+    actorId: string | null;
+    eventSource: object;
+}): string;
 export declare function setTerritorySupervisor(store: KingdomStore, input: {
     kingdomId: string;
     territoryId: string;

package/lib/types/gui/contract.d.ts

@@ -45,7 +45,13 @@ export type ActorState = (typeof ACTOR_STATES)[number];
  */
 export type ActorActivity = 'plan' | 'read' | 'assign' | 'review' | 'rework' | 'accept' | 'execute' | null;
 /** 命令返回的稳定错误码。GUI 据此决定提示与可用按钮，不解析中文文案。 */
-export type KingdomErrorCode = 'KINGDOM_NOT_INITIALIZED' | 'ROLE_BINDING_MISSING' | 'UNAUTHORIZED_PRINCIPAL' | 'SESSION_AUTH_REQUIRED' | 'TERRITORY_MISSING' | 'TERRITORY_AMBIGUOUS' | 'TERRITORY_NOT_IN_KINGDOM' | 'TASK_NOT_FOUND' | 'TASK_NOT_IN_KINGDOM' | 'ILLEGAL_TASK_STATE' | 'INVALID_INPUT' | 'INVALID_DECISION' | 'REASON_REQUIRED' | 'WORKER_BINDING_INVALID' | 'WORKER_AMBIGUOUS' | 'TERRITORY_SUPERVISOR_MISSING' | 'TASK_OUT_OF_SCOPE' | 'EXECUTOR_UNAVAILABLE' | 'WORKER_EXECUTION_FAILED' | 'CLAIM_INTEGRITY_BLOCKED' | 'EXECUTION_NOT_FOUND' | 'ILLEGAL_EXECUTION_STATE' | 'RECOVERY_REQUIRED';
+export type KingdomErrorCode = 'KINGDOM_NOT_INITIALIZED' | 'ROLE_BINDING_MISSING' | 'UNAUTHORIZED_PRINCIPAL' | 'SESSION_AUTH_REQUIRED' | 'TERRITORY_MISSING' | 'TERRITORY_AMBIGUOUS' | 'TERRITORY_NOT_IN_KINGDOM' | 'TASK_NOT_FOUND' | 'TASK_NOT_IN_KINGDOM' | 'ILLEGAL_TASK_STATE' | 'INVALID_INPUT' | 'INVALID_DECISION' | 'REASON_REQUIRED' | 'WORKER_BINDING_INVALID' | 'WORKER_AMBIGUOUS' | 'TERRITORY_SUPERVISOR_MISSING' | 'TASK_OUT_OF_SCOPE' | 'EXECUTOR_UNAVAILABLE' | 'WORKER_EXECUTION_FAILED' | 'CLAIM_INTEGRITY_BLOCKED' | 'EXECUTION_NOT_FOUND' | 'ILLEGAL_EXECUTION_STATE' | 'RECOVERY_REQUIRED'
+/** 改动证据必须由真实 session-bound 主管确认；declarative 低信任模式不得签发。 */
+ | 'CHANGE_EVIDENCE_SESSION_REQUIRED'
+/** 证据不存在、hash 漂移、不属于本次 Task/attempt/result 或领地工作区。 */
+ | 'CHANGE_EVIDENCE_UNVERIFIED'
+/** 未显式选择、选择为空或选择了快照中不存在的改动引用。 */
+ | 'CHANGE_SELECTION_INVALID';
 /**
  * v0.5.2（M1-B/P0-B）：GUI 写命令守卫。
  *
@@ -233,6 +239,96 @@ export interface WorkbenchActionItem {
     actionAvailability: ActionAvailability[];
     sourceRefs: SourceRef[];
 }
+/** 交付知悉状态。仅 Owner 通过 canonical 人类管理窗口知悉当前版本。 */
+export type DeliveryAcknowledgementState = 'ACKNOWLEDGED' | 'PENDING' | 'PENDING_REVISION';
+/** 条目「查看改动」的可信度；不可信时明确不可定位，不给链接。 */
+export type DeliveryChangeKind = 'REPO_RELATIVE_VERIFIED' | 'NOT_LOCATABLE';
+export interface DeliveryChangeView {
+    kind: DeliveryChangeKind;
+    /** 仅可信时存在；仓库相对路径，绝不是本机绝对路径。 */
+    repoPath: string | null;
+    /** 固定源码版本或差异标识。 */
+    revision: string | null;
+    reasonCode: string | null;
+    note: string;
+    /**
+     * 主管确认的改动证据引用；只在 `REPO_RELATIVE_VERIFIED` 时存在。
+     * Owner 面板据此经有效管理窗口读取只读详情，工作台不携带差异正文。
+     */
+    evidenceId?: string | null;
+    entryId?: string | null;
+    /** 固定标注「主管确认的改动证据」；不可定位时为 null。 */
+    evidenceLabel?: string | null;
+    /** 部分覆盖的诚实提示；完整覆盖为 null。 */
+    coverageNote?: string | null;
+}
+export interface DeliveryItemView {
+    /** 稳定 ID；同一交付内同一逻辑条目跨重建不变。 */
+    itemId: string;
+    /** 内容版本；变化后旧知悉只留历史，当前版本重新待知悉。 */
+    contentHash: string;
+    /** 层级：SUMMARY（成果摘要）/ EVIDENCE（证据与改动）。 */
+    layer: 'SUMMARY' | 'EVIDENCE';
+    label: string;
+    detail: string;
+    change: DeliveryChangeView;
+    acknowledgement: {
+        state: DeliveryAcknowledgementState;
+        acknowledged: boolean;
+        /** 旧版本知悉次数；只作历史，不代表当前版本已知悉。 */
+        historicalCount: number;
+        acknowledgedAt: string | null;
+        acknowledgementEventSeq: number | null;
+    };
+    /**
+     * 条目提问的**最小元数据**：只有计数、时间与接收主管是否可达，绝不含问题或回复
+     * 正文。正文只经有效 Owner 窗口或当前责任主管的 session-bound Agent Tool 返回。
+     */
+    questions?: DeliveryItemQuestionState | null;
+}
+/** 条目提问状态；仅 Owner 窗口与当前责任主管 Tool 能看到正文。 */
+export interface DeliveryItemQuestionState {
+    threadId: string;
+    totalCount: number;
+    /** 当前内容版本且尚无回复的条数；旧版未答问题不计入。 */
+    pendingCount: number;
+    answeredCount: number;
+    /** 属于可确认的旧内容版本、仅留历史的条数。 */
+    historyCount: number;
+    lastAskedAt: string | null;
+    lastRepliedAt: string | null;
+    /** 最近一条问题的接收主管当前是否可回复；不可达时界面必须照实说明。 */
+    latestReplyState: 'REPLY_ACCESSIBLE' | 'REVIEWER_BINDING_MISSING' | 'REVIEWER_BINDING_RETIRED' | 'REVIEWER_SESSION_CHANGED' | 'SUPERVISOR_REBOUND' | null;
+    /**
+     * 最近一条问题相对当前交付目录的版本关系。`CURRENT` 之外的值都不得被读成
+     * 「当前仍可回复」；`UNVERIFIABLE` 表示当前无法重验该条目版本。
+     */
+    latestItemVersion: 'CURRENT' | 'HISTORICAL' | 'UNVERIFIABLE';
+    /** 最近一条当前版本问题的内容版本；没有当前版本问题时为 null。 */
+    currentContentHash: string | null;
+}
+/** 模块/事项层：把证据层的条目按来源分组，形成「摘要 → 模块/事项 → 证据/改动」层级。 */
+export interface DeliveryModuleView {
+    moduleId: string;
+    label: string;
+    detail: string;
+    items: DeliveryItemView[];
+}
+/** 主管 ACCEPT 确认交付时实际可核对到的接受证据强度（与 Core 分类同义）。 */
+export type DeliveryAcceptanceEvidenceKind = 'EXACT_RESULT_BOUND' | 'LEGACY_ATTEMPT_ONLY';
+/**
+ * 历史接受证据较弱的固定标注。单一来源是 `src/core/delivery-ack.ts`；这里只做
+ * 类型兼容的再导出，避免两处文案漂移。运行期值为 `undefined` 时由 GUI 回退到
+ * 「按真实事件字段与唯一 WorkerResult 判定」的等价短文案。
+ */
+export { LEGACY_ACCEPTANCE_EVIDENCE_NOTE } from '../core/delivery-ack.js';
+export interface WorkbenchAcceptanceEvidence {
+    kind: DeliveryAcceptanceEvidenceKind;
+    /** true 仅当 TASK_ACCEPTED 锁定了本次结果 ID 与内容摘要且两者都与当前呈报一致。 */
+    exactResultBound: boolean;
+    /** 弱证据时必须在界面可见地标注的固定文案；强证据为 null。 */
+    note: string | null;
+}
 export interface WorkbenchDeliveryItem {
     taskId: string;
     title: string;
@@ -243,6 +339,47 @@ export interface WorkbenchDeliveryItem {
     /** 当前没有人类验收事实；DONE 也不能填为人类已验收。 */
     humanAcceptance: 'NOT_RECORDED';
     updatedAt: string;
+    /** 已由同一 Task/attempt 主管 ACCEPT 确认后才为 true；Worker Claim 不会使其为真。 */
+    deliveryConfirmed: boolean;
+    /** 确认该交付实际依据的接受证据；未确认交付时为 null。 */
+    acceptanceEvidence: WorkbenchAcceptanceEvidence | null;
+    /** 交付身份；未确认交付时为 null。 */
+    deliveryId: string | null;
+    attemptNo: number | null;
+    /**
+     * 生成「复制本条 Owner 激活命令」图标所需的准确范围事实。
+     * 只用于让人类复制一条 direct `/kingdom owner.gui` 命令；命令本身仍由
+     * Owner 直接执行并授权，这些字段不构成任何权限，也不授予知悉。
+     */
+    kingdomId: string | null;
+    territoryId: string;
+    territoryName: string | null;
+    /** 该领地当前 ACTIVE 主管绑定；未知时复制命令只用领地范围，不用 kingdomWide 兜底。 */
+    supervisorBindingId: string | null;
+    /** 成果摘要层条目文本（执行者自述摘要）。 */
+    summary: string | null;
+    /** 成果摘要层条目自身的稳定 ID 与内容版本；未确认交付时为 null。 */
+    summaryItemId: string | null;
+    summaryContentHash: string | null;
+    /** 成果摘要层知悉状态；子条知悉不覆盖它，它也不覆盖子条。 */
+    summaryAcknowledgement: DeliveryItemView['acknowledgement'] | null;
+    /** 成果摘要层的提问元数据（不含正文）；无记录时为 null。 */
+    summaryQuestions: DeliveryItemQuestionState | null;
+    /** 模块/事项层。未确认交付时为空数组。 */
+    modules: DeliveryModuleView[];
+    /**
+     * 条目提问的最小元数据（不含正文）。正文只经有效 Owner 窗口或当前责任主管的
+     * session-bound Agent Tool 返回；工作台不携带、也不投影问答正文。
+     */
+    deliveryQuestions: DeliveryItemQuestionState[];
+    acknowledgement: {
+        acknowledgedCount: number;
+        pendingCount: number;
+        pendingRevisionCount: number;
+        lastAcknowledgedAt: string | null;
+        /** 条目版本已知悉，但整体仍不等于人类验收、Task DONE 或发布授权。 */
+        note: string;
+    };
     sourceRefs: SourceRef[];
 }
 export interface WorkbenchRoleItem {
@@ -250,6 +387,15 @@ export interface WorkbenchRoleItem {
     roleType: string;
     roleName: string;
     sessionBound: boolean;
+    /**
+     * v3.2.0：主管席位的隶属领地（来自领地投影的同一份事实）。
+     * 空数组 = 该席位未隶属任何活跃领地（遗留席位，需 Owner 处理）；非主管角色恒为空数组（不适用）。
+     * 一个席位可以主理多个领地，因此这里是列表而不是单个值。
+     */
+    territories: {
+        territoryId: string;
+        name: string;
+    }[];
     taskCount: number;
     taskIds: string[];
     taskIdsTruncated: boolean;
@@ -379,6 +525,21 @@ export interface PersonalWorkbenchData {
     usage: WorkbenchUsageSummary;
     cost: WorkbenchCostSummary;
     collaboration: WorkbenchCollaborationView;
+    /**
+     * 交付条目提问的**最小元数据**汇总（无正文）。用于说明「有多少问题等待主管
+     * 回复」，不作通知、不作待办状态库，也不代表主管已读取。
+     */
+    deliveryQuestions: {
+        totalQuestions: number;
+        /** 当前内容版本且主管尚未回复的问题数；未被实际读取前只算「待领取」。 */
+        pendingQuestions: number;
+        answeredQuestions: number;
+        /** 接收主管已退任、换 session 或领地改绑的**当前版**问题数；它们保持可见但明确不可达。 */
+        unreachableQuestions: number;
+        /** 属于旧内容版本、仅留历史的问题数；它们不计当前待办，也不声称可回复。 */
+        historicalQuestions: number;
+        note: string;
+    };
 }
 export interface ReadonlySnapshotProjection {
     overview: ProjectionEnvelope<OverviewProjectionData>;

package/lib/types/gui/owner-control.d.ts

@@ -13,6 +13,44 @@ export interface OwnerLocalControlOptions {
     expectedOrigin: string | (() => string);
     now?: () => number;
 }
+/**
+ * 非授权启动定位提示（launch hint）。
+ *
+ * 只描述人类刚点的那一条交付，用于在新标签页里预选；它不进入
+ * `OwnerDecisionInput`、不改变授权含义，也不产生任何写入。
+ */
+export interface OwnerLaunchHintInput {
+    task?: unknown;
+    item?: unknown;
+    contentHash?: unknown;
+    /** 提示指向的动作：知悉（`ack`）还是提问（`ask`）。只决定兑换后预选哪个动作，不参与授权。 */
+    action?: unknown;
+}
+export interface OwnerLaunchAckHint {
+    task: string;
+    item: string;
+    contentHash: string;
+    /** `ack` = 预选逐条知悉；`ask` = 预选交付条目提问。 */
+    action: 'ack' | 'ask';
+}
+/**
+ * 按格式校验定位提示。三个字段要么全部合法，要么整体不成立：不部分采用。
+ *
+ * `input` 是拆分后的 direct 命令参数，因此能区分「未携带」（三个字段都
+ * `undefined`）与「携带了但不完整/非法」。调用方必须把后者当作输入错误在激活前
+ * 拒绝，而不是丢掉提示后照常激活——否则人类会以为新标签页仍会预选该条。
+ */
+export declare function validateLaunchAckHint(input: OwnerLaunchHintInput | undefined): {
+    ok: true;
+    hint: OwnerLaunchAckHint | null;
+} | {
+    ok: false;
+    message: string;
+};
+/** 三者同时存在且各自合法时返回提示，否则返回 null（不部分采用）。 */
+export declare function normalizeLaunchAckHint(input: OwnerLaunchHintInput | undefined): OwnerLaunchAckHint | null;
+/** 兑换成功后跳转的无票据地址；只带非授权提示字段，绝不带 ticket。 */
+export declare function launchRedirectPath(hint: OwnerLaunchAckHint | null): string;
 /** Transport references existing direct-human decisions; it never accepts an HTTP identity. */
 export declare class OwnerLocalControlManager {
     private readonly options;
@@ -23,7 +61,7 @@ export declare class OwnerLocalControlManager {
     constructor(options: OwnerLocalControlOptions);
     private origin;
     checkTransport(meta: GuiControlRequestMeta, mutation?: boolean, navigation?: boolean): void;
-    activate(capability: OwnerControlCapability, input: OwnerDecisionInput): {
+    activate(capability: OwnerControlCapability, input: OwnerDecisionInput, hintInput?: OwnerLaunchHintInput): {
         launchTicket: string;
         launchPath: '/owner';
         decisionId: string;
@@ -33,8 +71,30 @@ export declare class OwnerLocalControlManager {
     redeem(ticket: string, meta: GuiControlRequestMeta): {
         cookie: string;
         maxAgeSeconds: number;
+        redirectPath: string;
     };
     private window;
+    /**
+     * 只读返回一条已由主管确认的改动条目详情。
+     *
+     * 不消耗 CSRF、不写任何事实、不产生知悉；有效性完全由 Core 的
+     * `readDeliveryChange` 依据当前 ACTIVE 窗口、scope 与证据 hash 判定。
+     */
+    readChange(cookie: string | null, meta: GuiControlRequestMeta, params: {
+        taskId: string;
+        evidenceId: string;
+        entryId: string;
+    }): unknown;
+    /**
+     * 只读返回一条已确认交付条目的问答线程。
+     *
+     * 不消耗 CSRF、不写任何事实、不产生知悉、也不替主管回复；有效性完全由 Core 的
+     * `readDeliveryQuestions` 依据当前 ACTIVE 窗口、动作授权、scope 与精确条目判定。
+     */
+    readQuestions(cookie: string | null, meta: GuiControlRequestMeta, params: {
+        taskId: string;
+        itemId: string;
+    }): unknown;
     inspect(cookie: string | null, meta: GuiControlRequestMeta): Promise<unknown>;
     receipt(cookie: string | null, meta: GuiControlRequestMeta, operationId: string, decisionId: string | null): unknown;
     mutate(cookie: string | null, csrf: string | null, requestId: string | null, meta: GuiControlRequestMeta, action: 'prepare' | 'commit' | 'revoke', payload: Record<string, unknown>): Promise<unknown>;

package/lib/types/gui/snapshot.d.ts

@@ -4,6 +4,14 @@ import { type EventRow, type ExecutionRow, type KingdomStore, type RoleBindingRo
 export declare function boundedSourceRefs(refs: SourceRef[]): SourceRef[];
 /** 只返回生命周期候选的可执行性，不执行 action，也不改变任何状态。 */
 export declare function buildActionAvailability(store: KingdomStore, task: TaskRow, execution: ExecutionRow | null, security?: ProjectionSecurityContext): ActionAvailability[];
+/**
+ * 事件 → 公开投影。
+ *
+ * 交付问答事件的正文**只**经受权入口返回：Owner 窗口走
+ * `OwnerDecisionController.readDeliveryQuestions`，主管走 session-bound Agent Tool
+ * 的账本读取。因此快照、TaskDetail.relatedEvents、recentEvents 与任何事件轮询/SSE
+ * 都只保留不含正文的最小元数据，绝不透传 `questionText`/`replyText`。
+ */
 export declare function toEventView(row: EventRow): EventView;
 export declare function toBindingView(row: RoleBindingRow): BindingView;
 export declare function toTerritoryView(row: TerritoryRow): TerritoryView;