dsh-paoding 0.4.6 → 0.4.7

package/README.md

@@ -25,7 +25,7 @@ dsh-paoding（中文品牌「庖丁」，典出《庄子》——庖丁顺纹理
 - **HTTP 接口直连配置**：预设的列举、新增、更新、删除走 `/api/paoding/presets` 四条接口，随 DSH Web 服务同进程挂载、本机回环直调；与面板「保存并应用」同一条生成管线、同一把写盘互斥闸——脚本和自动化工具改班底，不必开浏览器。
 - **面板中英双语**：界面文案 zh/en 全覆盖，语言自动识别（显式选择 → 中文信号优先：浏览器语言、宿主页面语言、中文时区），「更多」菜单一键切换并记住。
 - **版本更新有提醒，面板一键升级**：面板会对比 npm registry（npmmirror 镜像、GitHub release 依次兜底）上的最新版本，发现新版就地提示并附上发布页链接；点「升级」就地换上新版（profile 自动探测：普通 profile 走 `dsh plugin update dsh-paoding`；desktop profile 被 dsh CLI 的 Electron 专属守卫挡住，改在 profile 目录直跑 `pnpm add dsh-paoding@<版本>`，pnpm 找不到时自动回落 `corepack pnpm`），重启 DSH 后生效，编排预设会在重启时按新版自动重生成。开发检出的 link 形态无法就地升级，面板会提示切回 registry 版的办法；检测失败时页头留一行「版本检测失败 · 重试」（完整原因与代理排查提示在悬浮提示里），不弹窗打扰。
-- **委派效果可量化**：面板「委派效果」卡按角色统计调用数、平均耗时与失败数（近 30 天），数据读宿主会话存档本地聚合——哪个角色用得多、哪个常掉链子，一眼可见。
+- **委派效果可量化**：面板「委派效果」卡按角色统计调用数、平均耗时与失败数（近 30 天），数据读宿主会话存档本地聚合——哪个角色用得多、哪个常掉链子，一眼可见；缺省项目（宿主 cwd 换算）扫不到任何委派记录时自动回落为全项目聚合（卡片标注「全部项目」），冷读带日志 mtime 预过滤，窗口外的日志文件不再开读句柄。
 - **来去自由**：不改 DSH 一行源码；装完新会话即用，卸载即删目录。
 - **两代宿主都兼容**：DSH 0.1.5 – 0.2.1 全支持（0.1.5 / 0.1.6 / 0.1.7-rc.1 / 0.1.7-rc.2 / 0.2.0-rc.1 / 0.2.0-rc.2 / 0.2.1-rc.2+）——两代宿主发现预设的机制不同（目录扫描 vs patch 声明行），安装器自动检测宿主版本选对落点；编排组合里的 workflow worker 行也按宿主版本自动适配（0.1.5 用 workflow-worker-thread，0.1.6+ 换 workflow-ptc——旧包 0.1.6 起已删除，残留行正是 0.2.0 面板上「加载失败」的元凶）；DSH 0.2.1 起角色委派行同步换代（0.2.1 的 dsh-tool-subagent 拒绝内联 persona/toolFilter——人设与工具面改挂各角色的 AgentPreset，spawn 子代理按 agentPreset 选择子预设；0.2.0 及以下保持内联形状），宿主升级、降级后的首次保存/自愈自动迁移（工作区专属预设 orchestrator-<slug> 随同轮自愈一并换代），全程无感；0.2.1 的 prerelease 再细分——tool-subagent 守卫自 0.2.1-rc.2 落地，rc.0/rc.1 仍按内联形状生成。
 

package/docs/configuration.md

@@ -33,6 +33,7 @@ dsh-paoding 把「按角色分工的编排 preset」做成**配置驱动**：你
 | 顶层键 | 类型 | 语义 |
 |---|---|---|
 | `profile` | string | 检测时纳入哪个 profile 的 patch 层（`$DSH_HOME/profiles/<profile>/cordis.patch.yml`）；缺省 `web` |
+| `patch_layer` | `'home' \| 'profile'` | 庖丁声明行写入哪个 patch 层的托管块：`home` = `$DSH_HOME/cordis.patch.yml`，`profile` = `$DSH_HOME/profiles/<profile>/cordis.patch.yml`。缺省（键缺失 / `null`）= 按环境自动判定：Android 宿主或 compat 壳（DSH 家目录在容器路径下）自动落 `profile` 层，其余环境落 `home` 层；非法值告警并忽略（按缺省自动判定）。判定细节与迁移行为见 1.4 |
 | `roles` | map | `toolName` → `{ persona?, name?, tools[], model?, provider?, start_mode?, background_mode? }`。对内置三角色（`search_external` / `design` / `implement`）：覆盖 persona 与 allow 意图，并可配 `name` 显示名（只替换该角色默认 persona 首行身份句的主语，见 2.4）、专用模型（`model` / `provider`，见 2.5）、会话模式（`background_mode`，见 2.6）与启动方式（`start_mode`，见 2.7）；其它键名 = **自定义角色**：生成全新 `delegation-<toolName>` 块并把 toolName 注入主 agent 的 `config.allow`（详见第 2、6 节） |
 | `roles_remove` | string[] | 整条删除的内置角色 toolName 列表（只认 `search_external` / `design` / `implement`，其它名字忽略并告警；缺省 = `[]`）。删除 = 委派行 / 工具面 / 角色 persona / 主 agent 侧委派指引全部不再生成（详见 2.3） |
 | `skills` | map | `skill` → 分配给该技能的角色 toolName 列表；安装时把 `Available skills: …` 引导句写进这些角色 persona 的尾部（详见第 7 节） |
@@ -124,6 +125,24 @@ skills:                 # skill -> 分配给的角色（写进角色 persona 的
 - `roles.code-reviewer` 安装后生成 `delegation-code-reviewer` 委派块，主 agent 白名单加入 `code-reviewer`，对话里直接调该 toolName 即可委派。
 - `main_agent_persona_extra` 里的 `{{cwd}}` / `{{model}}` 是 DSH 运行时替换的占位符，必须原样保留。
 
+### 1.4 patch 层判定与 Android compat 壳（dsh-maoying#1）
+
+庖丁的预设声明行写在 `$DSH_HOME` 下某个 `cordis.patch.yml` 的托管块里（`# --- dsh-paoding presets (auto-generated; do not edit) ---` 与结束标记之间）。patch 层有两处：
+
+- **home 层**：`$DSH_HOME/cordis.patch.yml`（桌面 / Linux 直装环境的缺省）。
+- **profile 层**：`$DSH_HOME/profiles/<profile>/cordis.patch.yml`（Android compat 壳的缺省，`<profile>` 取 `--profile` 参数 > 配置 `profile` 键 > `web`）。
+
+**判定优先级**：配置 `patch_layer` 键 > 环境变量 `DSH_PAODING_PATCH_LAYER` > 自动判定（Android 平台或 DSH 家目录在 `/data/(user|data)/` 容器路径下 → `profile` 层；其余 → `home` 层）。
+
+**为什么 Android 上要落 profile 层**：compat 壳（DeepSeekHarnessCompat）每次 boot 都会**重写 home 层** `cordis.patch.yml`，把 preset 注册表元数据压平成 `- id: 显示名 (英文名)` + 深缩进键的坏行——宿主在任何插件代码运行前就死于 YAML 解析（dsh-maoying#1 同款问题，跟本插件无关也会被牵连）。声明行搬进 profile 层后，compat 壳不再碰它。
+
+配套护栏（0.4.6 起）：
+
+- **写盘校验 + 逐字节回滚**：每次托管块写入（补行 / 撤行 / 整盘重生成）后整文件重新解析一遍，解析不过就回滚为写入前的精确字节并报错（错误信息含行号与 `dsh-paoding doctor` 指引）——文件已含坏行时，宁可不动也不把坏文件写得更坏。
+- **可疑行探测**：启动自愈与 `dsh-paoding doctor` 会扫描托管块**外**的 `- id:` 坏行（id 含空白或非 ASCII，形如 compat 壳压平产物），只警告点名行号不自动删。
+- **层迁移**：目标层是 `profile` 而目标层文件存在时，写入成功后会自动撤掉 home 层的庖丁托管块（用户内容逐字节保留）；反方向同理（`reconcilePatchLayers`）。
+- **doctor 双层体检**：托管块损坏 / 整文件解析失败为 error（后者 = 宿主启动必死），可疑行为 warn，托管块落在非目标层报「层漂移」warn（下次自愈 / 保存会迁移）。
+
 ## 2. 默认角色微调
 
 ### 2.1 persona 与 tools 的覆盖语义

package/docs/configuration_en.md

@@ -33,6 +33,7 @@ The key names below match `normalizeConfig` in `tools/lib/config.mjs` — the si
 | Top-level key | Type | Semantics |
 |---|---|---|
 | `profile` | string | Which profile's patch layer (`$DSH_HOME/profiles/<profile>/cordis.patch.yml`) is scanned during detection; default `web` |
+| `patch_layer` | `'home' \| 'profile'` | Which patch layer receives Paoding's managed preset rows: `home` = `$DSH_HOME/cordis.patch.yml`, `profile` = `$DSH_HOME/profiles/<profile>/cordis.patch.yml`. Default (key missing / `null`) = automatic per environment: Android hosts and compat shells (DSH home under a container path) land on the `profile` layer, everything else on the `home` layer; an invalid value is warned about and ignored (falls back to automatic). See 1.4 for the full decision chain and migration behavior |
 | `roles` | map | `toolName` → `{ persona?, name?, tools[], model?, provider?, start_mode?, background_mode? }`. For the three built-in roles (`search_external` / `design` / `implement`): overrides the persona and the allow intent, and may carry a `name` display name (rewrites the subject of that role's default persona identity sentence and prefixes its delegation labels — see 2.4), a dedicated model (`model` / `provider`, see 2.5), a session mode (`background_mode`, see 2.6) and a start mode (`start_mode`, see 2.7). Any other key is a **custom role**: the installer emits a fresh `delegation-<toolName>` block and injects the toolName into the main agent's `config.allow` (sections 2 and 6) |
 | `roles_remove` | string[] | toolNames of built-in roles deleted wholesale (only `search_external` / `design` / `implement` are accepted; other names are ignored with a warning; default `[]`). Deleting means the delegation block / tool surface / role persona / main-agent delegation guidance are no longer generated (see 2.3) |
 | `skills` | map | `skill` → the list of role toolNames the skill is assigned to; the installer appends an `Available skills: …` guidance sentence to those roles' personas (section 7) |
@@ -124,6 +125,24 @@ Notes:
 - After installation, `roles.code-reviewer` becomes a generated `delegation-code-reviewer` block, `code-reviewer` joins the main-agent allow list, and the main agent can delegate to it directly by calling that toolName.
 - `{{cwd}}` and `{{model}}` inside `main_agent_persona_extra` are persona placeholders that DSH substitutes at runtime — keep them verbatim.
 
+### 1.4 Patch layer selection and the Android compat shell (dsh-maoying#1)
+
+Paoding writes its preset rows into the managed block (`# --- dsh-paoding presets (auto-generated; do not edit) ---` … end marker) of one `cordis.patch.yml` under `$DSH_HOME`. There are two patch layers:
+
+- **home layer**: `$DSH_HOME/cordis.patch.yml` (the default on desktop / plain-Linux installs).
+- **profile layer**: `$DSH_HOME/profiles/<profile>/cordis.patch.yml` (the default on the Android compat shell; `<profile>` resolves from the `--profile` argument > the config `profile` key > `web`).
+
+**Decision order**: the config `patch_layer` key > the `DSH_PAODING_PATCH_LAYER` environment variable > automatic detection (Android platform, or the DSH home under a `/data/(user|data)/` container path → the `profile` layer; otherwise → the `home` layer).
+
+**Why Android lands on the profile layer**: the compat shell (DeepSeekHarnessCompat) rewrites the home-layer `cordis.patch.yml` on every boot, flattening the preset-registry metadata into malformed rows like `- id: Display Name (English Name)` with deeply indented keys — the host dies at YAML parse time before any plugin code runs (the dsh-maoying#1 failure shape; it takes down the host even when Paoding is not involved). With the rows living in the profile layer, the compat shell no longer touches them.
+
+Guard rails shipped alongside (since 0.4.6):
+
+- **Write validation + exact-byte rollback**: every managed-block write (row backfill / row strip / full regen) re-parses the whole file afterwards; if it fails to parse, the file is rolled back to the exact pre-write bytes and an error is raised (with a line number and a `dsh-paoding doctor` hint). When a file already contains bad rows, doing nothing beats writing it into a worse state.
+- **Suspect-row detection**: startup self-heal and `dsh-paoding doctor` scan for `- id:` rows **outside** the managed block whose id contains whitespace or non-ASCII characters (the compat-shell flattening shape); they warn with line numbers and never auto-delete.
+- **Layer migration**: when the target layer is `profile` and that file exists, a successful write also strips Paoding's managed block from the home layer (user content preserved byte-for-byte); the reverse direction works the same way (`reconcilePatchLayers`).
+- **Doctor checks both layers**: a damaged managed block and a whole-file parse failure are errors (the latter means the host cannot boot at all); suspect rows are warnings; a managed block sitting in a non-target layer reports a "layer drift" warning (the next self-heal / save migrates it).
+
 ## 2. Tuning the built-in roles
 
 ### 2.1 Override semantics of persona and tools

package/docs/installation.md

@@ -48,7 +48,7 @@ dsh plugin --profile web add dsh-paoding
 
 ### profile 语义
 
-`--profile web` 决定插件装进哪个 profile：「庖丁配置」面板只在以该 profile 启动的 DSH Web 里出现。`web` 是 `dsh web` 的默认 profile，多数机器无需改动；多 profile 用户对每个需要的 profile 各执行一次 `dsh plugin add`。编排预设本体落在 `$DSH_HOME/.agent-presets/`，全机共享、不随 profile 走——DSH ≥ 0.1.7 的声明行写在 home 层 `$DSH_HOME/cordis.patch.yml`，同样与 profile 无关——在任何 profile 的面板里「保存并应用」，写的都是同一份预设。
+`--profile web` 决定插件装进哪个 profile：「庖丁配置」面板只在以该 profile 启动的 DSH Web 里出现。`web` 是 `dsh web` 的默认 profile，多数机器无需改动；多 profile 用户对每个需要的 profile 各执行一次 `dsh plugin add`。编排预设本体落在 `$DSH_HOME/.agent-presets/`，全机共享、不随 profile 走——DSH ≥ 0.1.7 的声明行缺省写在 home 层 `$DSH_HOME/cordis.patch.yml`（Android compat 壳或配置 `patch_layer: profile` 时改写 profile 层 `$DSH_HOME/profiles/<profile>/cordis.patch.yml`，见下节「patch 层与写盘护栏」）——在任何 profile 的面板里「保存并应用」，写的都是同一份预设。
 
 ### 版本支持与预设落点双轨（DSH 0.1.5 – 0.2.1）
 
@@ -57,7 +57,7 @@ dsh plugin --profile web add dsh-paoding
 两代宿主发现「本地 authored preset」的机制不同，安装器据此分双轨落点，宿主检测全自动、用户无感：
 
 - **目录轨（DSH ≤ 0.1.6）**：宿主扫描 `$DSH_HOME/.agent-presets/` 下的目录来发现 preset，目录即注册。安装器照旧把产物写成 `$DSH_HOME/.agent-presets/orchestrator/`（`agent.cordis.yml` + `preset.yml` + `restrict.mjs` + `delegation-labels.mjs`）；按工作区配置生成的预设落同目录下的 `orchestrator-<slug>`。
-- **声明行轨（DSH ≥ 0.1.7）**：宿主不再扫目录，改为读取 patch 里的 `@deepseek-ai/dsh-agent-preset` 声明行。安装器在 `$DSH_HOME/cordis.patch.yml` 里维护一个托管块——以 `# --- dsh-paoding presets (auto-generated; do not edit) ---` 起始、以配套的 end 标记收尾——块内用 `- insert:` 写声明行：全局预设 `config.id: orchestrator`，工作区预设 `config.id: orchestrator-<slug>`，各自的 `plugins` 内联全部插件行；`restrict.mjs` / `delegation-labels.mjs` 以绝对 `file:` URL 引用。产物四件套仍落在 `.agent-presets/<id>/`，只是从「目录即注册」变成「文件存放处」。托管块之外的用户内容一字节不动；块内带 do not edit 标记，手改块内内容会在下次保存时被覆盖。
+- **声明行轨（DSH ≥ 0.1.7）**：宿主不再扫目录，改为读取 patch 里的 `@deepseek-ai/dsh-agent-preset` 声明行。安装器在目标 patch 层（缺省 home 层 `$DSH_HOME/cordis.patch.yml`；Android compat 壳 / `patch_layer: profile` 时为 profile 层 `$DSH_HOME/profiles/<profile>/cordis.patch.yml`，见下节「patch 层与写盘护栏」）里维护一个托管块——以 `# --- dsh-paoding presets (auto-generated; do not edit) ---` 起始、以配套的 end 标记收尾——块内用 `- insert:` 写声明行：全局预设 `config.id: orchestrator`，工作区预设 `config.id: orchestrator-<slug>`，各自的 `plugins` 内联全部插件行；`restrict.mjs` / `delegation-labels.mjs` 以绝对 `file:` URL 引用。产物四件套仍落在 `.agent-presets/<id>/`，只是从「目录即注册」变成「文件存放处」。托管块之外的用户内容一字节不动；块内带 do not edit 标记，手改块内内容会在下次保存时被覆盖。
 
 安装器按下面的顺序判定走哪条轨：
 
@@ -94,6 +94,10 @@ dsh plugin --profile web add dsh-paoding
 
 面板不监视配置文件改动；想立刻按当前配置重新生成，点面板「保存并应用」。
 
+### patch 层与写盘护栏（Android compat 壳，dsh-maoying#1）
+
+声明行写在哪一层由判定链决定：配置 `patch_layer` 键 > 环境变量 `DSH_PAODING_PATCH_LAYER` > 自动判定（Android 平台或 DSH 家目录在 `/data/(user|data)/` 容器路径下 → profile 层；其余 → home 层）。为什么 Android 要落 profile 层：compat 壳（DeepSeekHarnessCompat）每次 boot 重写 home 层 `cordis.patch.yml`，把 preset 注册表元数据压平成 `- id: 显示名 (英文名)` + 深缩进键的坏行，宿主在任何插件代码运行前就死于 YAML 解析（dsh-maoying#1 同款问题）——声明行搬进 profile 层后 compat 壳不再碰它；层切换后的首次写入会自动撤掉另一层的庖丁托管块（用户内容逐字节保留）。写盘护栏：每次托管块写入后整文件重新解析一遍，解析不过立即回滚为写入前字节并报错（含行号与 `dsh-paoding doctor` 指引）；启动自愈与 `dsh-paoding doctor` 会扫描托管块外的可疑坏行（id 含空白或非 ASCII，形如 compat 壳压平产物），只警告点名行号不自动删——`dsh-paoding doctor` 的双层体检把「整文件解析失败」报为 error（宿主启动必死），可疑行为 warn，托管块落在非目标层报「层漂移」warn。
+
 ### 基础模板与工具勾选
 
 全新安装（无配置文件）生成的基础模板只含 DSH 自带的基础工具——主 agent 21 项核心工具，加各委派角色的基础工具集；检测到的 host/MCP 工具**默认不写入**。检测管线照常运行：点开左侧栏「庖丁配置」，候选清单列出全部已识别工具，按需勾选后点「保存并应用」即可。
@@ -203,7 +207,7 @@ patch 与配置文件用 **`yaml` 包**解析——通过 `createRequire` 从 `$
 - **场景模板**：页头三档切换（轻量：只留实现角色；调研：只留检索角色；全开：全员到齐、主 agent 额外工具带满检测库存），一键换「班底」；只动 `roles_remove` 与 `main_agent_extra`，各角色精调过的工具面、persona、模型、启动方式分毫不动，切回即原样复原。
 - **检查提示卡**：每次「预览生成 / 保存并应用」自动过一遍体检（配置了未挂载的工具、零工具角色、查无此名的模型、预设落后于配置），分级提示以卡片形式贴在页头下方，处理完再保存不迟。
 - **备份与回滚**：保存、导入、恢复配置前都会自动把当前配置轮换备份三份（`config.yml.bak-1..3`，新压旧）；「更多」→「恢复备份…」列时间与大小、二次确认后回退，恢复前当前配置还会再自动备份一份——误操作有后悔药。
-- **委派效果统计**：页头「委派效果」卡按角色统计被委派的调用数、平均耗时与失败数（近 30 天，`days` 参数可调）。数据来自宿主会话存档的冷读——经宿主 `sessionPersistence` 服务逐会话抽摘要、本地聚合，不出机、不带负载；失败记的是子会话零轮次或轮次中断（spawn 后即死、中途终止两种形态）。宿主缺会话服务时整卡不渲染。
+- **委派效果统计**：页头「委派效果」卡按角色统计被委派的调用数、平均耗时与失败数（近 30 天，`days` 参数可调）。数据来自宿主会话存档的冷读——经宿主 `sessionPersistence` 服务逐会话抽摘要、本地聚合，不出机、不带负载；失败记的是子会话零轮次或轮次中断（spawn 后即死、中途终止两种形态）。缺省项目（宿主 cwd 换算）扫不到任何委派记录时自动回落为全项目聚合（响应 `project='all'`，卡片标注「全部项目」）；冷读带日志 mtime 预过滤，窗口外的日志文件不再开读句柄。宿主缺会话服务时整卡不渲染。
 - **「更多」菜单**：配置导出（下载 `dsh-paoding.config.yml` 原文）/ 导入（先验格式，整份覆盖含工作区段，需二次确认）/ 恢复备份（见上条）与面板语言切换（中英自动识别、手动选择优先并记住）。
 
 ## 7. 卸载

package/docs/installation_en.md

@@ -48,7 +48,7 @@ The orchestrator preset needs no separate install — the plugin fills it in aut
 
 ### Profile semantics
 
-`--profile web` decides which profile the plugin is installed into: the Paoding Config page appears only in a DSH Web launched with that profile. `web` is the default profile of `dsh web`, so most machines need no change; multi-profile users run `dsh plugin add` once per profile they want it in. The orchestrator preset itself lives under `$DSH_HOME/.agent-presets/` and is shared machine-wide, independent of profiles — under DSH ≥ 0.1.7 the declaration rows go into the home-layer `$DSH_HOME/cordis.patch.yml`, equally profile-independent — Save & Apply from any profile's panel writes the same preset.
+`--profile web` decides which profile the plugin is installed into: the Paoding Config page appears only in a DSH Web launched with that profile. `web` is the default profile of `dsh web`, so most machines need no change; multi-profile users run `dsh plugin add` once per profile they want it in. The orchestrator preset itself lives under `$DSH_HOME/.agent-presets/` and is shared machine-wide, independent of profiles — under DSH ≥ 0.1.7 the declaration rows go into the home-layer `$DSH_HOME/cordis.patch.yml` by default (on the Android compat shell, or with `patch_layer: profile` in the config, they go into the profile layer at `$DSH_HOME/profiles/<profile>/cordis.patch.yml` instead — see "Patch layers and write guard rails" below) — Save & Apply from any profile's panel writes the same preset.
 
 ### Version support and the dual preset landing (DSH 0.1.5 – 0.2.1)
 
@@ -57,7 +57,7 @@ The plugin supports two host generations: **DSH 0.1.5 / 0.1.6 / 0.1.7-rc.1 / 0.1
 The two generations discover "local authored presets" differently, so the installer maintains a dual landing, detecting the host automatically — nothing for the user to do:
 
 - **Directory track (DSH ≤ 0.1.6)**: the host discovers presets by scanning directories under `$DSH_HOME/.agent-presets/` — the directory is the registration. The installer writes the artifacts to `$DSH_HOME/.agent-presets/orchestrator/` (`agent.cordis.yml` + `preset.yml` + `restrict.mjs` + `delegation-labels.mjs`) as before; workspace-specific presets land in sibling `orchestrator-<slug>` directories.
-- **Declaration track (DSH ≥ 0.1.7)**: the host no longer scans directories; it reads `@deepseek-ai/dsh-agent-preset` declaration rows from the patch instead. The installer maintains a managed block in `$DSH_HOME/cordis.patch.yml` — opening with `# --- dsh-paoding presets (auto-generated; do not edit) ---` and closing with the matching end marker — whose `- insert:` rows write the declarations: the global preset gets `config.id: orchestrator`, a workspace preset gets `config.id: orchestrator-<slug>`, each with all plugin rows inlined under `plugins`; `restrict.mjs` / `delegation-labels.mjs` are referenced by absolute `file:` URLs. The artifact quartet still lands in `.agent-presets/<id>/` — demoted from "the directory is the registration" to "a place where the files live". User content outside the block is left untouched, byte for byte; the block carries a do-not-edit marker, and anything hand-edited inside it is overwritten by the next save.
+- **Declaration track (DSH ≥ 0.1.7)**: the host no longer scans directories; it reads `@deepseek-ai/dsh-agent-preset` declaration rows from the patch instead. The installer maintains a managed block in the target patch layer (home layer `$DSH_HOME/cordis.patch.yml` by default; on the Android compat shell or with `patch_layer: profile`, the profile layer at `$DSH_HOME/profiles/<profile>/cordis.patch.yml` — see "Patch layers and write guard rails" below) — opening with `# --- dsh-paoding presets (auto-generated; do not edit) ---` and closing with the matching end marker — whose `- insert:` rows write the declarations: the global preset gets `config.id: orchestrator`, a workspace preset gets `config.id: orchestrator-<slug>`, each with all plugin rows inlined under `plugins`; `restrict.mjs` / `delegation-labels.mjs` are referenced by absolute `file:` URLs. The artifact quartet still lands in `.agent-presets/<id>/` — demoted from "the directory is the registration" to "a place where the files live". User content outside the block is left untouched, byte for byte; the block carries a do-not-edit marker, and anything hand-edited inside it is overwritten by the next save.
 
 The installer decides which track to take in this order:
 
@@ -94,6 +94,10 @@ The `.generator-version` marker is written by the plugin's startup self-heal aft
 
 The panel does not watch the config file; to regenerate from the current config right away, hit Save & Apply.
 
+### Patch layers and write guard rails (Android compat shell, dsh-maoying#1)
+
+Which layer receives the declaration rows follows a decision chain: the config `patch_layer` key > the `DSH_PAODING_PATCH_LAYER` environment variable > automatic detection (Android platform, or the DSH home under a `/data/(user|data)/` container path → the profile layer; otherwise → the home layer). Why Android lands on the profile layer: the compat shell (DeepSeekHarnessCompat) rewrites the home-layer `cordis.patch.yml` on every boot, flattening the preset-registry metadata into malformed rows like `- id: Display Name (English Name)` with deeply indented keys, and the host dies at YAML parse time before any plugin code runs (the dsh-maoying#1 failure shape) — with the rows living in the profile layer, the compat shell no longer touches them; the first write after a layer switch also strips Paoding's managed block from the other layer (user content preserved byte for byte). Write guard rails: every managed-block write re-parses the whole file afterwards, and on failure rolls back to the exact pre-write bytes and raises an error (with a line number and a `dsh-paoding doctor` hint); startup self-heal and `dsh-paoding doctor` scan for suspect rows outside the managed block (ids containing whitespace or non-ASCII characters — the compat-shell flattening shape) and warn with line numbers without auto-deleting — the doctor's dual-layer check reports a whole-file parse failure as an error (the host cannot boot at all), suspect rows as warnings, and a managed block sitting in a non-target layer as a "layer drift" warning.
+
 ### Base template and tool opt-in
 
 A fresh install (no config file) generates the base template: only DSH's built-in base tools — the main agent's 21 core tools plus each delegated role's base set. Detected host/MCP tools are **not written in** by default. The detection pipeline still runs: open 庖丁配置 in the sidebar, the candidate list shows every recognized tool, opt in as needed, and hit Save & Apply.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-paoding",
-  "version": "0.4.6",
+  "version": "0.4.7",
   "description": "庖丁 — DSH (DeepSeek Harness) 编排模式安装器：host 感知的角色工具过滤 + Web 设置页可视化配置器",
   "type": "module",
   "license": "MIT",

package/plugins/paoding-config-ui/api-core.mjs

@@ -14,7 +14,7 @@ import { assignSlugs, collectState, generateAndInstall, presetIdOf } from '../..
 import { autoAssignments, baseAssignments } from '../../tools/lib/alloc.mjs'
 import { computeRestrictAllow } from '../../tools/lib/compose.mjs'
 import { loadConfig, normalizeConfig, normalizeTargetFields, saveConfig, serializeConfig, stripNonTargetKeys } from '../../tools/lib/config.mjs'
-import { parseYamlSubset, preprocessPatchText } from '../../tools/lib/yaml.mjs'
+import { loadYaml, parseYamlSubset, preprocessPatchText } from '../../tools/lib/yaml.mjs'
 import { captureWarnings, healthCheck } from '../../tools/lib/health.mjs'
 import { ROLES, warn } from '../../tools/lib/util.mjs'
 import {
@@ -22,6 +22,7 @@ import {
   detectAgentRolesFlavor,
   detectHostVersionInfo,
   detectPresetSystem,
+  findSuspectPresetRows,
   formatGeneratorMarker,
   isPtcWorkerHost,
   listOrchestratorPresetIds,
@@ -29,6 +30,7 @@ import {
   presetRolesFlavorOf,
   presetRowId,
   readHomePatchRows,
+  resolvePatchTargetLayer,
   stripHomePatchRows,
   ROLES_AGENT_PRESET,
   WORKER_PTC,
@@ -75,6 +77,37 @@ export function resolveConfigFile() {
   return process.env.DSH_PAODING_CONFIG || path.join(resolveDshHome(), 'dsh-paoding.config.yml')
 }
 
+/**
+ * patch 层解析（自愈 / 删除工作区预设等动 patch 的路径入口各解析一次）：
+ * 读一次配置（loadConfig 失败按 null 对待——层判定不被配置错误牵连，配置问题
+ * 由各写盘路径自己的护栏处理），经 resolvePatchTargetLayer 走完整判定链
+ * （patch_layer 键 > DSH_PAODING_PATCH_LAYER > compat 壳探测 > home）。
+ */
+function resolveLayerTarget(dshHome, config = null) {
+  return resolvePatchTargetLayer(dshHome, { config })
+}
+
+/**
+ * 两层 patch 文件的可疑行扫描（maoying 坏行形状探测，WARN 级，只记不删——
+ * 自动删行会踩用户手写内容）。目标层与 legacy 层都扫：compat 壳把坏行留在
+ * home 层的场景里，启动自愈只重写 profile 层，home 层的坏行只有这里能被看见。
+ * 读失败静默跳过（该层没这文件很正常）。
+ */
+function warnSuspectPatchRows(dshHome, layerTarget) {
+  for (const patchPath of [layerTarget.patchPath, layerTarget.legacyPatchPath]) {
+    let text = null
+    try {
+      text = readFileSync(patchPath, 'utf8')
+    } catch {
+      continue
+    }
+    for (const suspect of findSuspectPresetRows(text)) {
+      warn(`${patchPath} 第 ${suspect.lineNo} 行检出可疑声明行 "- id: ${suspect.id}"（id 含空白或非 ASCII，` +
+        '形如 compat 壳压平的坏行，会让宿主 YAML 解析失败）——运行 `dsh-paoding doctor` 查看与清理')
+    }
+  }
+}
+
 // ── state cache ─────────────────────────────────────────────────────────────
 
 let stateCache = null
@@ -583,7 +616,11 @@ export function deleteWorkspacePreset(state, workspacePath) {
     rmSync(presetDir, { recursive: true, force: true })
     removedPresetDir = true
   }
-  stripHomePatchRows(dshHome, [presetRowId(presetId)])
+  // 声明行撤在目标层（prev 配置在场：patch_layer / profile 键生效；compat 壳
+  // 环境自动落 profile 层）。撤哪层必须与当初写哪层对齐，否则删工作区会在
+  // home 层空撤一轮、profile 层残留孤儿声明行。
+  const layerTarget = resolveLayerTarget(dshHome, prev)
+  stripHomePatchRows(dshHome, [presetRowId(presetId)], { layer: layerTarget.layer, profileName: layerTarget.profileName })
 
   return { presetId, removedConfigEntry, removedPresetDir }
 }
@@ -695,6 +732,17 @@ export async function ensurePresetInstalled({ dshHome = resolveDshHome(), genera
       marker = parseGeneratorMarker(await readFile(markerFile, 'utf8'))
     } catch { /* 目录或标记缺失：按未生成处理 */ }
 
+    // 目标 patch 层解析一次（配置读取失败按 null 对待——层判定不被配置错误
+    // 牵连），后续补行 / 读行都落目标层（compat 壳环境即 profile 层）；顺手扫
+    // 两层可疑坏行（WARN 级只留轨迹，绝不阻塞自愈——诊断归 doctor）。
+    let ensureConfig = null
+    try {
+      ensureConfig = loadConfig(resolveConfigFile(), loadYaml(dshHome))
+    } catch { /* 配置解析失败：层按自动判定走 */ }
+    const layerTarget = resolveLayerTarget(dshHome, ensureConfig)
+    const patchOpts = { layer: layerTarget.layer, profileName: layerTarget.profileName }
+    warnSuspectPatchRows(dshHome, layerTarget)
+
     if (marker !== null && marker.version === generatorVersion) {
       // 版本一致：内容原则上无需重生成，但宿主可能已随 dsh 升降级翻转轨道或
       // 跨过 workflow worker 形态 / 角色委派行形态边界（只升 dsh 不动插件是升级
@@ -709,7 +757,7 @@ export async function ensurePresetInstalled({ dshHome = resolveDshHome(), genera
         if (shouldAbort?.()) return { installed: false, reason: PRESET_ENSURE_ABORTED }
         const presetIds = listOrchestratorPresetIds(dshHome)
         if (system === 'declarative') {
-          const backfilled = backfillHomePatchRows(dshHome, presetIds)
+          const backfilled = backfillHomePatchRows(dshHome, presetIds, patchOpts)
           if (marker.track === 'declarative' && backfilled.length === 0) {
             return { installed: false, reason: 'preset 已由当前版本生成器产出，无需重生成' }
           }
@@ -720,7 +768,8 @@ export async function ensurePresetInstalled({ dshHome = resolveDshHome(), genera
         }
         // directory 轨：声明行残留会让 0.1.6 profile 启动失败——有残留走整盘
         // 重生成（directory 分支撤块自愈）；行清白时只升级标记格式，不动内容。
-        if (readHomePatchRows(dshHome).length === 0) {
+        // 读的是目标层（compat 壳环境下 home 层残留由 reconcile 另行处理）。
+        if (readHomePatchRows(dshHome, patchOpts).length === 0) {
           if (marker.track === 'directory') {
             return { installed: false, reason: 'preset 已由当前版本生成器产出，无需重生成' }
           }
@@ -759,8 +808,11 @@ export async function ensurePresetInstalled({ dshHome = resolveDshHome(), genera
     const track = result.presetSystem === 'declarative' ? 'declarative' : 'directory'
     writeFileSync(markerFile, formatGeneratorMarker(generatorVersion, track, workerFlavorOf(state.hostVersionTriple), rolesFlavorOf(state.hostVersionTriple, state.hostPrerelease)), 'utf8')
     // 声明轨上整盘重生成只重建本 preset 的行：其余工作区 preset 目录若在而
-    // 声明行缺（轨道翻转后首次触发本路径），一并补齐。
-    const backfilled = track === 'declarative' ? backfillHomePatchRows(dshHome, listOrchestratorPresetIds(dshHome)) : []
+    // 声明行缺（轨道翻转后首次触发本路径），一并补齐（落目标层；
+    // generateAndInstall 内部同口径解析层并在 profile 层写成功后 reconcile 撤
+    // home 遗留块）。校验失败（如文件已含坏行）在此被外层 catch 收成 error，
+    // 自愈绝不带崩插件启动。
+    const backfilled = track === 'declarative' ? backfillHomePatchRows(dshHome, listOrchestratorPresetIds(dshHome), patchOpts) : []
     // 工作区预设角色行形态换代（宿主跨 0.2.1 边界后的存量 orchestrator-<slug>
     // 产物）：基础重生成只换了全局预设，工作区产物不跟手就会继续被守卫拒绝。
     const migratedPresets = migrateWorkspacePresetRoles({ dshHome, state })

package/plugins/paoding-config-ui/index.mjs

@@ -453,12 +453,15 @@ export async function apply(ctx) {
         if (route === 'stats' && req.method === 'GET') {
           // 委派效果统计（GET stats?days=30&project=<slug>）：宿主
           // sessionPersistence 服务逐会话冷读抽摘要聚合（A 路，见
-          // stats-core.mjs 文件头——服务面、slug 口径与失败判据的实测证据都在
-          // 那里）。服务经 ctx.reflect 软探测（绝不进 inject 数组：硬注入会让
-          // 缺服务的老宿主在挂载时就炸），拿不到回 { ok:false,
+          // stats-core.mjs 文件头——服务面、slug 口径、mtime 预过滤与失败判据
+          // 的实测证据都在那里）。服务经 ctx.reflect 软探测（绝不进 inject 数
+          // 组：硬注入会让缺服务的老宿主在挂载时就炸），拿不到回 { ok:false,
           // reason:'persistence-unavailable' }，客户端整卡不渲染。project
-          // 缺省 = 当前面板项目（cwd → projectKey 换算），days 缺省 30 上限
-          // 365；project 非法在核心层抛 422（外层 catch 统一回 { error }）。
+          // 缺省 = 当前面板项目（cwd → projectKey 换算），该 slug 零委派记录
+          // 时核心层自动回落全项目聚合（响应 project='all'，面板标题标注
+          // 「全部项目」；desktop 宿主进程 cwd 停在 profile 目录、换算 slug
+          // 恒无会话，靠这一步救回卡片），显式传 project 不回落；days 缺省 30
+          // 上限 365；project 非法在核心层抛 422（外层 catch 统一回 { error }）。
           // 路由注册在既有 /api/paoding 前缀下，上方信任围栏自动覆盖本路由。
           json(res, 200, await collectDelegationStats(ctx, {
             project: url.searchParams.get('project') ?? undefined,

package/plugins/paoding-config-ui/lib/base.css

@@ -1402,6 +1402,15 @@ html[data-dsh-paoding-active]:not([data-dsh-mnemon-active]):not([data-dsh-taskbo
   color: var(--dsw-alias-label-primary);
 }
 
+/* 标题尾角标：缺省项目零记录回落全项目聚合（project='all'）时点明口径——
+   弱化字号与三级文字色，紧跟标题不抢视觉。 */
+.pd-delegScope {
+  margin-left: 6px;
+  font-size: 0.85em;
+  font-weight: 400;
+  color: var(--dsw-alias-label-tertiary);
+}
+
 .pd-delegTable {
   margin-top: 6px;
   font-size: 11px;

package/plugins/paoding-config-ui/lib/client.js

@@ -475,6 +475,8 @@ window.__ModuleLoader__.load({
       "del.colLastUsed": { zh: "最近使用", en: "Last used" },
       "del.totalRoles": { zh: "共 {n} 个角色", en: "{n} roles in total" },
       "del.empty": { zh: "暂无委派记录", en: "No delegation records yet" },
+      // 标题角标：响应 project='all'（缺省项目零记录，服务端回落全项目聚合）时点明统计口径
+      "del.scopeAll": { zh: "全部项目", en: "all projects" },
 
       // ── 预览「本次变更」区块（preview.diff 结构化差分的渲染文案）───────────
       // 服务端 diff 是纯结构零文案（tools/lib/config.mjs diffAssignments），
@@ -666,7 +668,10 @@ window.__ModuleLoader__.load({
     // 最多 8 行，超出给「共 N 个角色」尾行），失败数 >0 标红提醒。
     function delegationCardOf(stats) {
       if (!stats || stats.ok !== true || !Array.isArray(stats.roles)) return null;
-      var head = h("div", { className: "pd-delegTitle" }, t("del.cardTitle"));
+      // project==='all' = 缺省项目零记录后回落的全项目聚合，标题尾加弱化角标
+      // 点明口径，免得误读成当前项目自己的数据（服务端见 stats-core.mjs 回落）。
+      var head = h("div", { className: "pd-delegTitle" }, t("del.cardTitle"),
+        stats.project === "all" ? h("span", { className: "pd-delegScope" }, t("del.scopeAll")) : null);
       if (!stats.delegatedSessions) {
         return h("div", { className: "pd-delegCard" }, head,
           h("div", { className: "pd-delegEmpty" }, t("del.empty")));

package/plugins/paoding-config-ui/stats-core.mjs

@@ -29,6 +29,16 @@
  * 志带上一轮化身的历史，那段 turn 天然平衡；继承切点打在轮次边界（实测 73 处
  * mid 位 end-seed 前一事件以 turn/end 为主），owned 段计数不受污染。时长与
  * 窗口过滤同样只用 owned 段，防跨化身膨胀。
+ *
+ * ── mtime 预过滤与缺省回落 ────────────────────────────────────────────────
+ * 开读句柄前先看日志文件 mtime：事件产生即落盘，文件末次写入（mtime）加松弛
+ * 量仍早于窗口起点 ⇒ 文件里不可能有窗口内事件，聚合窗口过滤本就会剔除，直接
+ * 跳过不开句柄——大库冷读从「全库逐个解压」降到「只读窗口内还活跃过的文件」。
+ * 预过滤条目不进摘要缓存（mtime 日后前移时本检查自然放行重开；缓存留 null 反
+ * 要额外对账）。project 缺省 = cwd 换算 slug，而 desktop 等宿主 profile 的
+ * 进程 cwd 停在 profile 目录、换算出的 slug 恒无会话，面板于是恒见「暂无委
+ * 派记录」——故缺省扫描零委派记录时自动回落一轮全项目聚合，响应 project 标
+ * 'all'（客户端标题加「全部项目」角标）；显式传 project（含 'all'）不回落。
  */
 
 import { readdirSync, statSync } from 'node:fs'
@@ -41,6 +51,9 @@ import { ROLE_PRESET_ID_PREFIX } from '../../tools/lib/compose.mjs'
 export const STATS_DEFAULT_DAYS = 30
 export const STATS_MAX_DAYS = 365
 
+/** mtime 预过滤松弛量（1h）：挡时钟偏斜与落盘延迟——宁可多开几个句柄，不误跳。 */
+const MTIME_SLACK_MS = 60 * 60 * 1000
+
 // ── 参数清洗 ─────────────────────────────────────────────────────────────────
 
 /** days 清洗：parseInt 夹取 [1, 365]；NaN / 负数 / 0 回落缺省或夹到下限。 */
@@ -140,6 +153,15 @@ function listSessionIds(sessionsRoot, slug) {
   }
 }
 
+/** 列会话根下全部项目目录名（'all' 的枚举口径）。根缺失 / 不可读 → 空数组。 */
+function allProjectSlugs(sessionsRoot) {
+  try {
+    return readdirSync(sessionsRoot, { withFileTypes: true }).filter((e) => e.isDirectory()).map((e) => e.name)
+  } catch {
+    return []
+  }
+}
+
 // ── 冷读摘要 ─────────────────────────────────────────────────────────────────
 
 /** 一个会话的抽摘要结果（JSON-safe 纯数据，可进缓存）。 */
@@ -279,35 +301,19 @@ async function mapLimited(items, limit, worker) {
 
 const summaryCache = new Map()
 
+// ── 扫描 + 聚合（一轮冷读，缺省 / 回落两路共用）─────────────────────────────
+
 /**
- * 委派效果统计主入口。ctx 缺 sessionPersistence（reflect 软探测，绝不进
- * inject——硬注入会让缺服务的老宿主挂载即炸）→ { ok:false,
- * reason:'persistence-unavailable' }，面板据此整卡不渲染。project 非法抛
- * 422（外层 catch 统一回 { error } 信封）。
+ * 一轮「枚举 → 冷读 → 聚合」。slugs 是待扫的项目目录名列表（单 slug 或 'all'
+ * 枚举皆可）；collectDelegationStats 的「缺省 slug 一轮」与「回落全项目一轮」
+ * 都走这里，两轮的 sessionsScanned / skipped 口径由此保持一致。worker 里：
+ * 先 mtime 预过滤（见文件头）——事件产生即落盘，文件末次写入时刻即 mtime，
+ * mtime+slack 仍早于窗口起点 ⇒ 文件内一切事件都在窗口外，聚合窗口过滤本就会
+ * 剔除，直接返回 null 摘要不开读句柄；预过滤条目不进缓存（mtime 日后前移时
+ * 本检查自然放行重开）。null 摘要不进聚合、不计 skipped（那是读错误的计数），
+ * 但照常计入 sessionsScanned（目录确实扫过）。
  */
-export async function collectDelegationStats(ctx, { project, days } = {}) {
-  const persistence = reflectService(ctx, 'sessionPersistence')
-  if (!persistence) return { ok: false, reason: 'persistence-unavailable' }
-
-  const windowDays = sanitizeStatsDays(days)
-  const sessionsRoot = path.join(resolveDshHome(), 'sessions')
-  const slug = sanitizeProjectSlug(project !== undefined && project !== null && project !== '' ? project : currentProjectSlug(), sessionsRoot)
-  if (slug === null) {
-    const err = new Error(`project 参数不合法（仅允许 [A-Za-z0-9._-]，或 all）: ${String(project).slice(0, 64)}`)
-    err.statusCode = 422
-    throw err
-  }
-
-  // 枚举：all = 列会话根下全部项目目录；单 slug 只列该目录。
-  const slugs = slug === 'all'
-    ? (() => {
-        try {
-          return readdirSync(sessionsRoot, { withFileTypes: true }).filter((e) => e.isDirectory()).map((e) => e.name)
-        } catch {
-          return []
-        }
-      })()
-    : [slug]
+async function scanAndAggregate(sessionsRoot, slugs, windowDays, nowMs, persistence) {
   const targets = []
   for (const dir of slugs) {
     for (const id of listSessionIds(sessionsRoot, dir)) {
@@ -315,12 +321,14 @@ export async function collectDelegationStats(ctx, { project, days } = {}) {
     }
   }
 
-  const nowMs = Date.now()
   const reads = await mapLimited(targets, 4, async ({ slug: dir, id }) => {
     const sessionDir = path.join(sessionsRoot, dir, id)
     const file = currentSessionFile(sessionDir)
     if (file === null) throw new Error('no session log file')
     const st = statSync(path.join(sessionDir, file)) // stat 失败 → 跳过计数
+    if (st.mtimeMs + MTIME_SLACK_MS < nowMs - windowDays * 86400000) {
+      return { id, summary: null }
+    }
     const cacheKey = dir + '\u0000' + id
     const hit = summaryCache.get(cacheKey)
     if (hit && hit.file === file && hit.mtimeMs === st.mtimeMs && hit.size === st.size) {
@@ -334,20 +342,71 @@ export async function collectDelegationStats(ctx, { project, days } = {}) {
   let skipped = 0
   const summaries = []
   for (const r of reads) {
-    if (r.ok) summaries.push(r.value.summary)
-    else skipped++
+    if (!r.ok) {
+      skipped++ // 只有 open/read 真失败才计；预过滤出局不是错
+      continue
+    }
+    if (r.value.summary !== null) summaries.push(r.value.summary)
   }
   const { roles, delegatedSessions } = aggregateRoles(summaries, windowDays, nowMs)
+  return { roles, delegatedSessions, sessionsScanned: targets.length, skipped }
+}
+
+/** 单一响应形状（ok:true 信封）：两路扫描的结果都从这里出，字段恒齐。 */
+function statsEnvelope(project, result, windowDays, nowMs) {
   return {
     ok: true,
-    project: slug,
+    project,
     windowDays,
     generatedAt: new Date(nowMs).toISOString(),
-    roles,
-    sessionsScanned: targets.length,
-    delegatedSessions,
-    skipped,
+    roles: result.roles,
+    sessionsScanned: result.sessionsScanned,
+    delegatedSessions: result.delegatedSessions,
+    skipped: result.skipped,
+  }
+}
+
+/**
+ * 委派效果统计主入口。ctx 缺 sessionPersistence（reflect 软探测，绝不进
+ * inject——硬注入会让缺服务的老宿主挂载即炸）→ { ok:false,
+ * reason:'persistence-unavailable' }，面板据此整卡不渲染。project 非法抛
+ * 422（外层 catch 统一回 { error } 信封）。
+ *
+ * project 口径：显式传参（非空字符串，含 'all'）按传参扫，绝不回落；缺省 =
+ * cwd 换算的当前面板项目，该 slug 一轮扫完 delegatedSessions=0 时自动回落
+ * 一轮全项目聚合（响应 project 标 'all'；会话根缺失时枚举为空 → 空 roles
+ * 仍 ok:true，不 422 不 5xx）。
+ */
+export async function collectDelegationStats(ctx, { project, days } = {}) {
+  const persistence = reflectService(ctx, 'sessionPersistence')
+  if (!persistence) return { ok: false, reason: 'persistence-unavailable' }
+
+  const windowDays = sanitizeStatsDays(days)
+  const sessionsRoot = path.join(resolveDshHome(), 'sessions')
+  const explicit = project !== undefined && project !== null && project !== ''
+  const slug = sanitizeProjectSlug(explicit ? project : currentProjectSlug(), sessionsRoot)
+  if (slug === null) {
+    const err = new Error(`project 参数不合法（仅允许 [A-Za-z0-9._-]，或 all）: ${String(project).slice(0, 64)}`)
+    err.statusCode = 422
+    throw err
+  }
+
+  const nowMs = Date.now()
+  const result = await scanAndAggregate(
+    sessionsRoot,
+    slug === 'all' ? allProjectSlugs(sessionsRoot) : [slug],
+    windowDays,
+    nowMs,
+    persistence,
+  )
+
+  // 缺省回落：cwd slug 恒空的宿主 profile（desktop 进程 cwd 停在 profile 目录）
+  // 靠这一步救回面板——零委派记录才回落，显式 project 永不回落。
+  if (!explicit && slug !== 'all' && result.delegatedSessions === 0) {
+    const all = await scanAndAggregate(sessionsRoot, allProjectSlugs(sessionsRoot), windowDays, nowMs, persistence)
+    return statsEnvelope('all', all, windowDays, nowMs)
   }
+  return statsEnvelope(slug, result, windowDays, nowMs)
 }
 
 /** reflect 软探测（与 persistenceAvailableOf 同款口径，任何异常按缺失处理）。 */

package/tools/lib/config.mjs

@@ -1,6 +1,7 @@
 /**
  * dsh-paoding.config.yml 键规范化与读写：main_agent_display_name /
- * roles.<toolName>.name /
+ * patch_layer（声明行落盘层 'home' | 'profile'，缺省自动判定，非法值 warn 回
+ * 未设置）/ roles.<toolName>.name /
  * roles.<toolName>.model / roles.<toolName>.provider（角色专用模型，生成层映射到
  * dsh-tool-subagent 的 agentOptions）/ roles.<toolName>.start_mode（角色启动方式，
  * 生成层把内置委派块的块级 provider 行改写为 fork，'fresh' | 'fork'）/
@@ -212,11 +213,26 @@ export function normalizeConfig(data) {
   }
   return {
     profile: typeof data.profile === 'string' && data.profile !== '' ? data.profile : null,
+    patch_layer: normalizePatchLayer(data.patch_layer),
     ...normalizeTargetFields(data),
     workspaces: normalizeWorkspaces(data.workspaces),
   }
 }
 
+/**
+ * 声明行落盘层（顶层键 patch_layer，仅 'home' | 'profile' 两个合法值）：缺省 /
+ * null = 按环境自动判定（Android compat 壳 / 容器路径走 profile 层，其余 home，
+ * 判定在 preset-system.resolvePatchTargetLayer）；非法值（类型或取值不对）warn
+ * 后当未设置——配置错了降级提醒而非中断加载，与 background_mode / start_mode
+ * 的非法值口径一致。normalize 后恒为 'home' | 'profile' | null。
+ */
+function normalizePatchLayer(value) {
+  if (value === null || value === undefined || value === '') return null
+  if (value === 'home' || value === 'profile') return value
+  warn(`patch_layer: 非法值已忽略（${JSON.stringify(value)}），按自动判定（可选: 'home' / 'profile'）`)
+  return null
+}
+
 /**
  * 工作区条目段（顶层键 workspaces）规范化：只收 trim 后非空的字符串键（键 =
  * 工作区目录绝对路径），值过 normalizeTargetFields；值不是映射、键为空串则
@@ -606,6 +622,12 @@ function writeWorkspaces(lines, workspaces) {
 export function serializeConfig(config) {
   const lines = ['# dsh-paoding（庖丁）安装配置 —— 可手编；改后在侧栏底部「庖丁配置」入口应用，或重跑 node tools/install.mjs --auto']
   lines.push(`profile: ${config.profile ?? 'web'}`)
+  // patch_layer 显式钉层才落盘（null/缺省 = 自动判定，输出与旧版逐字节一致）；
+  // 落盘它才能在 loadConfig → saveConfig 往返中保住用户手编的层钉（否则面板
+  // 一保存该键就被抹掉，层判定退回自动）。
+  if (config.patch_layer === 'home' || config.patch_layer === 'profile') {
+    lines.push(`patch_layer: ${config.patch_layer}`)
+  }
   writeTargetFields(lines, '', config)
   // workspaces 段可选：键缺失 / 空对象整段省略（不含 workspaces 的配置输出与
   // 旧版逐字节一致）。