dsh-plugin-prompt-tool 2.0.1 → 3.0.0

package/templates/16-custom-fallback.yml

@@ -1,35 +1,47 @@
-# 模板：自定义锚词兜底注入（strategy=custom-fallback）
-# 首轮推理命中锚定确认词后注入一次；未命中最多两轮兜底。确认词集合 anchorWords 由
-# writePreset 从锚句自动派生（firstTurnWord 空时）；显式 firstTurnWord 覆盖派生。
-# 两者都为空 = 不做词确认，只走未命中兜底注入（引擎不内置确认词）。
-# 提示：把本文件放入 模块规则模板目录，或把对象写入 module.yml.rules 数组。
+# 先投递锚句，仅确认该次投递后的模型推理，再注入正文。
+# 默认持续等待；需要兜底时在 anchor 下显式添加 fallbackAfter: N。
+# 默认等待下一次正常请求；续跑通过既有 turn-stop 规则显式配置。
 id: example-custom-fallback
-name: 示例：自定义锚词兜底注入
+name: 示例：锚句确认后注入
 enabled: false
 layer: pre-step
-if:
-  all:
-    - phase:
-        promoted: true
-        includeSubagents: false
-    - anchor:
-        keys: []
-        fallbackAfter: 1
 then:
-  - id: inject
+  - id: seed
     kind: inject-text
     config:
-      id: example-custom-fallback
+      id: example-custom-fallback-seed
       layer: pre-step
-      strategy: anchor-notice
-      position: before-all
+      strategy: static
+      position: after-user
       dedupe: session
       configKind: ordered
-      order: 20
+      order: 0
       role: user
       mergeMode: separate
       sourceKind: plugin
       form: notice
       params:
-        text: "" # 注入文本（如 preset.md 内容）；留空 = 不注入
-        firstTurnWord: "" # 锚定确认词（显式覆盖；空 = 自动派生）
+        text: "" # 自定义锚句，要求模型输出约定确认词
+  - if:
+      anchor:
+        subject: assistantReasoning
+        keys: [自定义确认词]
+        after:
+          action: seed
+    then:
+      - id: body
+        kind: inject-text
+        config:
+          id: example-custom-fallback-body
+          layer: pre-step
+          strategy: static
+          position: before-all
+          dedupe: session
+          configKind: ordered
+          order: 20
+          role: user
+          mergeMode: separate
+          sourceKind: plugin
+          form: notice
+          params:
+            text: "" # 自定义正文

package/templates/20-system-section.yml

@@ -1,8 +1,6 @@
 # 模板：system-section 静态 system 段（缓存友好，静态内容优先放这里）
 # order 参考：-100 身份 / 0 persona-prefix / 100-199 工具引导 / 10200 persona-suffix。
-# 人设用法：params.sectionName = deployment:persona-prefix（第一方指导之前）或
-# deployment:persona-suffix（第一方指导之后）时注册为人设段
-# （同名 shadow 全局 persona，模块列表显示「人设」徽标；子代理经 scope 链继承）。
+# 自定义系统段使用自己的 sectionName；官方人设覆盖由独立 persona.main/subagent 卡管理。
 #   - complete: true 让本段成为唯一的 system prompt 段（身份注入、人设后缀、工具指南等
 #     其余 system 段全部被抑制；工具链、运行时上下文与变量仍保留）。同一模块只能有一个，
 #     且与顶层人设的「独占」互斥：写盘前由 bridge 拒绝（400），装配前另有一道兜底校验，
@@ -22,7 +20,6 @@ then:
       mergeMode: merged
       text: |
 
-      variables: {}
       params:
         complete: false
         suppressRuntimeContext: false

package/templates/50-llm-stream.yml

@@ -5,13 +5,7 @@ if:
   scope:
     modelScope: flash
 then:
-  - id: inject
-    kind: inject-text
-    config:
-      id: example-llm-stream
-      layer: llm-stream
-      strategy: static
-      order: 0
-      text: "" # mode=replace 时替代整个模型流的文本
-      params:
-        mode: pass
+  - id: output
+    kind: stream-output
+    mode: pass
+    text: "" # mode=replace 时替代整个模型流的文本

package/templates/60-tool-pipeline.yml

@@ -1,19 +1,21 @@
-# postAction=replace/block 时使用的文本
-
-# 模板：tool-pipeline 工具行为策略（对已注册工具的 pre/post 改写；
-# 自定义工具定义见工具管理区块——tool-pipeline 层筛选可见）。
+# 模板：tool-pipeline 工具行为策略
+#
+# 工具链拆成两个动作、两个执行点：
+#   - `tool-gate`（tools/pre-execute）：allow / deny / ask，只读 decision / reason；
+#   - `tool-result`（tools/post-execute）：accept / replace / block，只读 action / text。
+# 工具名只在共享 names 条件声明。
+# 写错相位的字段在编译期就是未知字段，不会静默失效。
 id: example-tool-pipeline
 layer: tool-pipeline
+if:
+  names:
+    allow: [bash, run_code]
 then:
   - id: before
-    kind: decision
-    phase: pre
+    kind: tool-gate
     decision: allow
-    toolNames: bash,run_code
     reason: 该工具被提示词配置禁用
   - id: after
-    kind: decision
-    phase: post
+    kind: tool-result
     action: accept
-    toolNames: bash,run_code
     text: ""

package/templates/63-append-context.yml

@@ -0,0 +1,20 @@
+# 模板：工具结果之后追加一条 durable user 通知。
+#
+# 与 `tool-result` 的分工：`tool-result` 改写的是**工具结果本身**（replace / block），
+# `append-context` 不动结果，只在结果之后追加一条 user 角色通知。
+# 需要模型**再做一步**时使用 `inject-text` 的 `turn-stop` 层（模板65），
+# 每个来源（模块）每轮 1 次 / 每会话 3 次的上限由引擎内置，不能配置关闭（失控的续跑会把会话卡住）。
+#
+# 工具名条件统一用规则级或分支级 `if.names`（取自 exec.name）。
+id: example-append-context
+name: 工具结果后追加上下文
+enabled: false
+layer: tool-pipeline
+if:
+  names:
+    allow:
+      - web_fetch
+then:
+  - id: note-after-tool
+    kind: append-context
+    text: 网络结果可能已过期；引用它时说明来源与抓取时间。

package/templates/64-pre-step-filter.yml

@@ -0,0 +1,23 @@
+# 模板：前置步骤（agent/pre-step）注入过滤。
+#
+# 两种白名单模式**互斥**：
+#   - `sources`：严格白名单，只放行列表里的 `source.kind`，**同时作用于本批已领取的消息**。
+#     漏一个 kind 就是静默删掉一段上下文（无告警、无计数），所以它只适合你**枚举过真实 kind**
+#     的场合——`modules/skill-surface/module.yml` 就是这种用法（14 种 kind 的实测枚举）。
+#   - `keepKinds`：保留已领取基线的对象身份 + 这些 kind。实测它什么都不删（claimed 基线
+#     的身份保留规则把所有消息都保住了），所以本模板不推荐它。
+# 未声明任一模式 = 不注册、零开销。
+#
+# `blockPlugins` 是与两者**正交**的另一维度，可共存：仅当 `source.kind` 是插件来源时，
+# 按 `source.plugin` 做大小写不敏感的**精确等值**匹配（不做子串 / 正则 / glob——要覆盖某个
+# 插件就得写全名）。空名单 = 关闭，这与白名单「空 = 全拦」正好相反。
+id: example-pre-step-filter
+name: 前置步骤过滤（按插件屏蔽）
+enabled: false
+layer: pre-step
+then:
+  - id: block-one-plugin
+    kind: pre-step-filter
+    blockPlugins:
+      - example-plugin
+    # sources: ['user', 'agent-instructions']

package/templates/65-turn-stop.yml

@@ -1,6 +1,6 @@
 # 模板：turn-stop 轮次停止层（命中条件时阻止本轮停止，强制模型续跑一步）
-# 接入：subject 缺省 assistantText（匹配最后一条 assistant 消息文本）；不写 match
-#       即无条件续跑。续跑上限固定在引擎内——每轮 1 次、每会话 3 次，配置关不掉。
+# 接入：条件写在规则 if（本模板用 text）；turn-stop 不再有 config.subject/match。
+#       续跑上限固定在引擎内——每个来源（模块）每轮 1 次 / 每会话 3 次，配置关不掉。
 id: example-turn-stop
 name: 未完成时强制续跑
 layer: turn-stop

package/templates/67-inbox-prepend.yml

@@ -0,0 +1,22 @@
+# 模板：首轮向收件箱前置一条消息。
+#
+# `inbox-prepend` 走 `agent/inbox/inserted`（emit 通道，没有 next）：命中即前置，
+# 不命中什么都不做。缺省 `target: next-turn`，也可写 `next-step`。
+# 插件来源的消息（含本动作自己插入的那条）永不再次前置，防自触发插队。
+#
+# 判「首轮」用 `session: { type: user/message, present: false }`——模型**当前可见**
+# 的上下文里还没有 user/message 事件（判据按可见上下文，压缩遮蔽的历史不算数）。注意 `agent/inbox/inserted` 拿不到任务文本本身，所以别在这里
+# 用 `text` 谓词筛任务内容（那是 `pre-step` 层的事，见 70-subagent-maintenance.yml）。
+id: example-inbox-prepend
+name: 首轮前置一条消息
+enabled: false
+layer: pre-step
+if:
+  session:
+    type: user/message
+    present: false
+then:
+  - id: prepend-first-turn
+    kind: inbox-prepend
+    target: next-turn
+    text: 动手之前先读工作区的 AGENTS.md，再决定改哪里。

package/templates/70-subagent-maintenance.yml

@@ -1,8 +1,9 @@
 # 模板：子代理状态 / 记忆维护（audience=subagent 专用注入）
 # 用途：把 ST 的「角色状态跟踪 + 关系记忆」委派给子代理完成——引擎保持确定性
 #       （插值/匹配/注入），智能判断（何时更新、更新成什么）交给委派子代理，
-#       写入经确定性工具边界（session_var 会话状态 / world_book note 持久记忆）。
-# 接入：模板选择器「消息批层」插入；默认关闭，插入后启用并按需改 stateKeys。
+#       写入经 module_variables 持久变量与 module_file_append 文件工具。
+# 接入：声明 module-variable-tools、module-file-tools；默认关闭。
+# 先在工作台的模块变量卡手动建立 stateKeys，例如「心情, 接受值, 关系进度」。
 id: subagent-maintenance
 name: 子代理状态/记忆维护
 enabled: false
@@ -31,14 +32,12 @@ then:
         value: subagent-maintenance
       text: |-
         你是本会话的「状态与记忆维护者」，与创作类子代理职责互补：
-        - 状态（本会话临时，模板变量注入用）：观察互动中明确的角色状态变化
-          （心情、态度、接受度等），用 session_var 工具 set 更新——变量名见下方
-          「状态变量」清单；状态未变化时不要重复写入。
-        - 记忆（跨会话持久）：有人际关系进展或重要事实时，用 world_book_upsert
-          的 note 参数写入来源角色卡记忆（条目 id 带 chara- 前缀 → 角色卡
-          memory.md，跨会话跟随角色卡）；无归属条目写入模块记忆。
+        - 状态（当前模块跨会话持久）：观察互动中明确的角色状态变化。
+          先用 module_variables 的 scope=module、action=list 读取身份与版本，
+          再用 action=set 和显式字符串 value 更新下方清单中的变量；带回读取时
+          的 expectedModuleId 与 expectedRevisions，冲突时重读，不覆盖未知修改。
+        - 记忆（当前模块 memory.md）：重要事实先用 module_file_read 核对（path 为 memory.md），
+          确有新增时用 module_file_append 追加（path 为 memory.md）；记忆不会自动变成注入规则。
         - 克制：仅在状态确实变化时更新；不确定时保留原值；不编造未发生的内容。
         状态变量清单：{{stateKeys}}
-      variables:
-        stateKeys: 心情, 接受值, 关系进度
       params: {}

package/templates/75-subagent-end.yml

@@ -1,8 +1,8 @@
 # 模板：subagent-end 子代理结束层
 # 默认仅记录。将 params.action 改为 inject-main 并填写 text，
 # 通过官方 Agent.inject 向所属主会话投递上下文；不改写子代理结果、不唤醒空闲主会话。
-# 接入：subject 缺省 subagentInfo（事件载荷序列化文本，含子代理 id/runId）；不写 match
-#       即每个子代理结束都记录。载荷里没有稳定角色名，需要筛的时候按实际 runId 补 match。
+# 接入：条件写在规则 if；subagent-end 不再有 config.subject/match。
+#       载荷里没有稳定角色名，需要筛的时候按实际 runId 在 if 里写条件。
 # 默认关闭：它只写日志，需要审计子代理收尾时再打开。
 id: example-subagent-end
 name: 子代理结束记录（只观察）

package/templates/80-tool-surface.yml

@@ -1,66 +1,50 @@
 # 模板：工具面收窄（核心文件与任务集）+ 按需解锁
 #
-# 为什么：工具面实测 **156 个工具、描述合计 46894 字符（≈12K token）**，每个请求都付。
-# 收窄到核心集后只剩约 10 个工具，其余按需解锁。
+# `tool-visibility` 声明常驻集、目录与 SDK 正文的呈现、执行闸和发现来源。
+# 首轮提示由同规则的普通注入动作组合；常驻名单只写一次。
 #
-# 与 test/engine/declarations/tool-bootstrap.yml 的关键差别：那份原型**只在受控相位收窄**
-# （`promoted: false`），晋升后原样放开；本模板**覆盖全部相位**——晋升后放开等于白省，
-# 而工具描述是每请求的固定开销。若要旧语义，给 `phase` 加 `promoted: false` 并把
-# `compacted` 拆成两条即可。
+# 本模板只带规则、不带 `modules` 声明：装配里没有提供方时 `bash` 就是缺失名，
+# `requireMatch` 反过来把整条收窄废掉——用模板建模块时要自己把提供方行带进装配。
+# 写错名字的后果很隐蔽：allow 里的名字不存在会触发 requireMatch 的 fail-open，
+# 表现为「收窄没生效」而不是报错。
 #
-# 配套两件（缺一不可）：
-#   1. `dev_tool_search` 工具（组合源 engine/compositions/source/local/dev-tool-search.yml）
-#      ——唯一发现入口，模型靠它搜索并解锁。
-#   2. `allowFrom`（engine/actions/assembly.mjs）——从历史 `tool/call` 参数回收解锁名单。
-#      只挂插件不配 allowFrom 的话，解锁是**一次性的**（当次请求用完即被裁）。
-#
-# 工具名必须与**实际装配名**一致。本项目 harness 是 `pwsh`（不是 `bash`）、
-# `edit` + `write`（不是 `str_replace_editor`）。写错名字有两个后果，都很隐蔽：
-#   - 写进 allow 的名字不存在 → `requireMatch` 触发 fail-open，**静默暴露完整目录**；
-#   - 该在的没写进去 → 该工具被裁掉，模型只能用别的方式硬凑。
-#
-# `requireMatch: true` 是刻意的：任一 allow 工具缺失（或模型解锁了一个不存在的名字）
-# 就放弃裁剪、暴露完整目录。宁可多给上下文，也不静默裁成空目录——收窄错了会让当前
-# 工作流调不到工具，那是比多花 token 严重得多的故障。
-#
-# **本模板走规则路径，不能声明 `waterfallPosition`**（那是声明 `triggers` 路径的字段，
-# `compileRules` 会以 unknown fields 拒绝）。`assembly` 的改写发生在通道下游结算之后，
-# 与相邻动作的先后由规则顺序与模块顺序决定。若确实需要 `outermost`（`prepend: true`，
-# 保证本动作在普通注册之外先看到装配），改用声明路径（同 test/engine/declarations/
-# tool-bootstrap.yml 的格式）而不是本模板。
+# 发现适配器由 `tool-search` 行提供（模块必须列该行）；解锁名从持久 `tool/call` 参数回收，
+# 因此下一步请求即可见，压缩遮蔽后仍然保留。
 id: tool-surface-resident
 name: 工具面收窄（核心文件与任务集）
 enabled: true
-if:
-  # 覆盖全部相位。为什么不能只写 `phase: { promoteOn, includeSubagents }`：
-  # `promoted` 的缺省是 **true**（= 只匹配已晋升），不是「任意」；而 `compacted` 未声明才是
-  # 「不判该维度」（engine/conditions/phase.mjs:27-48）。更麻烦的是 `promoted: 'ignore'`
-  # 要求同时声明 `compacted`，而 `compacted` 只接受布尔值——**没有任何单节点组合能表达
-  # 「两个相位都命中」**，必须用 `any` 拼两支（phase.mjs:30-35 的注释正是在讲这个表达力边界）。
-  #   支 1 `promoted: true`          → 已晋升（不论压缩与否）
-  #   支 2 `{compacted: true, promoted: false}` → 压缩后未晋升（受控相位的压缩回退）
-  # 未晋升且未压缩的**首轮不收窄**：与「首轮保全文」同一取舍——先让模型看到完整目录，
-  # 再随相位推进收窄。收窄的价值在于工具描述是**每请求固定开销**（实测 46894 字符），
-  # 而长会话必然进入上面两支，所以省下的正是大头。
-  any:
-    - phase: { promoteOn: either, includeSubagents: true, promoted: true }
-    - phase: { promoteOn: either, includeSubagents: true, compacted: true, promoted: false }
 then:
   - id: narrow-tools
-    kind: assembly
-    target:
-      tools:
-        allow:
-          - pwsh
-          - read
-          - write
-          - edit
-          - glob
-          - grep
-          - todo_write
-          - skill_search
-          - skill_load
-          - dev_tool_search
-        # 解锁项从 dev_tool_search 的持久调用参数回收（{ tool, key } 精确匹配）。
-        allowFrom: { tool: dev_tool_search, key: toolNames }
-        requireMatch: true
+    kind: tool-visibility
+    allow:
+      - pwsh
+      - read
+      - write
+      - edit
+      - glob
+      - grep
+      - todo_write
+      - skill_search
+      - skill_load
+      - tool_search
+      # 平台各自的 bash 名：装配里没有提供方时这里就是缺失名，收窄整体失效。
+      - bash
+    discovery: { kind: tools }
+    # 任一常驻工具缺失就放弃裁剪、暴露完整目录（fail-open），避免静默裁成空目录。
+    requireMatch: true
+  - if:
+      count:
+        of: user-message
+        max: 1
+    then:
+      - id: discovery-notice
+        kind: inject-text
+        config:
+          layer: pre-step
+          strategy: placeholder
+          fill: tool-catalog
+          position: after-all
+          dedupe: session
+          text: 常驻工具：{{RESIDENT_TOOLS}}。缺少所需工具时，先用 {{DISCOVERY_TOOL}} 搜索并解锁。
+          params:
+            action: narrow-tools

package/templates/tools/40-delegate-module-import.yml

@@ -0,0 +1,22 @@
+# 模块导入预览；保存模板时按实际工具目录补装 module-import-tools。
+id: delegate-module-import
+name: my_module_import_preview
+description: 预览模块导入来源、降级报告与版本凭据
+parameters:
+  files:
+    type: json
+    required: true
+    description: 文件数组，每项包含相对 path、content 和可选 encoding
+output:
+  schema:
+    type: object
+    additionalProperties: true
+    properties:
+      ok: { type: boolean }
+      value: { type: json }
+execute:
+  kind: delegate
+  tool: module_import
+  args:
+    files: '{{args.files}}'
+    preview: true

package/templates/tools/50-delegate-module-rules.yml

@@ -0,0 +1,14 @@
+# 完整规则读取；保存模板时补装 module-rule-tools。
+id: delegate-module-rules-read
+name: my_module_rules_read
+description: 读取当前模块的完整规则树和版本
+output:
+  schema:
+    type: object
+    additionalProperties: true
+    properties:
+      ok: { type: boolean }
+      value: { type: json }
+execute:
+  kind: delegate
+  tool: module_rules_read

package/templates/tools/60-delegate-module-variables.yml

@@ -0,0 +1,17 @@
+# 持久变量读取；保存模板时补装 module-variable-tools。
+id: delegate-module-variables
+name: my_module_variables
+description: 列出当前模块的有效持久变量、覆盖来源和版本
+output:
+  schema:
+    type: object
+    additionalProperties: true
+    properties:
+      ok: { type: boolean }
+      value: { type: json }
+execute:
+  kind: delegate
+  tool: module_variables
+  args:
+    scope: module
+    action: list

package/templates/tools/70-delegate-module-rules-edit.yml

@@ -0,0 +1,31 @@
+# 完整规则事务；先读取规则和版本，只改需要的字段。
+id: delegate-module-rules-edit
+name: my_module_rules_edit
+description: 按读取版本编辑当前模块的完整规则
+parameters:
+  moduleId:
+    type: string
+    required: true
+    description: 读取时返回的模块身份
+  revisions:
+    type: json
+    required: true
+    description: 读取时返回的按域版本
+  edits:
+    type: json
+    required: true
+    description: 完整规则修改数组，整规则删除须显式 rule 为 null
+output:
+  schema:
+    type: object
+    additionalProperties: true
+    properties:
+      ok: { type: boolean }
+      value: { type: json }
+execute:
+  kind: delegate
+  tool: module_rules_edit
+  args:
+    expectedModuleId: '{{args.moduleId}}'
+    expectedRevisions: '{{args.revisions}}'
+    edits: '{{args.edits}}'

package/engine/actions/decision.mjs

@@ -1,54 +0,0 @@
-import { labelOf, toolNameSet } from './shared.mjs'
-
-export function prepareDecision(action, plugin) {
-  const label = labelOf(action)
-  const names = toolNameSet(action.toolNames, plugin, `${label}.toolNames`)
-  const matchesTool = (exec) => names === undefined || names.has(exec?.name)
-  const hit = (exec, result) => typeof action.match !== 'function' || action.match(exec, result) === true
-  const phase = action.phase === undefined ? 'pre' : action.phase
-  if (!['pre', 'post'].includes(phase)) {
-    throw new TypeError(`${plugin}: ${label}.phase must be one of pre, post`)
-  }
-  if (phase === 'pre') {
-    const decision = action.decision ?? 'allow'
-    if (!['allow', 'deny', 'ask'].includes(decision)) {
-      throw new TypeError(`${plugin}: ${label}.decision must be one of allow, deny, ask`)
-    }
-    return (_ctx, { warnOnce, on, collect, take }) => collect(on('tools/pre-execute', async (exec, next) => {
-      try {
-        if (!matchesTool(exec) || !hit(exec)) return next()
-        if (decision === 'allow') return next()
-        const outcome = decision === 'deny'
-          ? { kind: 'deny', reason: String(action.reason ?? `${label}: denied by action`) }
-          : { kind: 'ask' }
-        return take(exec) ? outcome : next()
-      } catch (error) {
-        warnOnce(`${plugin}: decision(pre) action ${label} failed: ${String(error?.message ?? error)}`)
-        return next()
-      }
-    }))
-  }
-  const postAction = action.action ?? 'accept'
-  if (!['accept', 'replace', 'block'].includes(postAction)) {
-    throw new TypeError(`${plugin}: ${label}.action must be one of accept, replace, block`)
-  }
-  const text = typeof action.text === 'string' ? action.text : ''
-  return (_ctx, { warnOnce, on, collect, take }) => collect(on('tools/post-execute', async (exec, result, next) => {
-    try {
-      if (!matchesTool(exec) || !hit(exec, result)) return next()
-      if (postAction === 'accept') return next()
-      if (postAction === 'replace' && text.length > 0) {
-        if (!take(exec)) return next()
-        return { kind: 'accept', content: [{ type: 'text', text }] }
-      }
-      if (postAction === 'block') {
-        if (!take(exec)) return next()
-        return { kind: 'block', feedback: [{ type: 'text', text: text.length > 0 ? text : `${label}: blocked by action` }] }
-      }
-      return next()
-    } catch (error) {
-      warnOnce(`${plugin}: decision(post) action ${label} failed: ${String(error?.message ?? error)}`)
-      return next()
-    }
-  }))
-}

package/engine/actions/guard.mjs

@@ -1,80 +0,0 @@
-import { labelOf, createMask, RUN_CODE } from './shared.mjs'
-
-export function prepareGuard(action, plugin) {
-  const label = labelOf(action)
-  const mask = createMask(action.mask ?? action, `${label}.mask`, plugin)
-  const includeSubagents = action.includeSubagents === true
-  const reasonFor = (toolName) => String(action.reason ?? `${label}: tool ${JSON.stringify(toolName)} is denied by action`)
-
-  return (_ctx, { warnOnce, on, collect }) => {
-    /** session -> { ctx, disposers }：同一 agent.ctx 只注册一次，重绑后按新 ctx 重注册。 */
-    const appliedBySession = new WeakMap()
-    const states = new Set()
-    const releaseState = (state) => {
-      states.delete(state)
-      for (const dispose of state.disposers.splice(0)) {
-        try { dispose() } catch { /* 释放失败不得反过来打断卸载 */ }
-      }
-    }
-    const releaseAll = () => { for (const state of [...states]) releaseState(state) }
-
-    const applyTo = (agent) => {
-      const session = agent?.session
-      const scoped = agent?.ctx
-      if (session === undefined || scoped === undefined) return
-      // 受众不在本动作的裁决面内就不注册（子代理的 guard 由它自己的 assembly 决定；
-      // 万一父 guard 经 scope 链被走到，guard 体内的同一道受众判定仍然放行）。
-      const depth = session.header?.delegationDepth ?? 0
-      if (depth > 0 ? !includeSubagents : action.audience === 'subagent') return
-      const existing = appliedBySession.get(session)
-      if (existing !== undefined) {
-        // 预设切换/重绑会换掉 agent.ctx：旧 scope 的 guard 随旧 scope 失效，必须重注册。
-        if (existing.ctx === scoped) return
-        releaseState(existing)
-        appliedBySession.delete(session)
-      }
-      const tools = scoped.tools
-      if (tools === undefined || typeof tools.guard !== 'function') {
-        warnOnce(`${plugin}: guard action ${label} found no agent-scoped tools service — execution guard not registered`)
-        return
-      }
-      const state = { ctx: scoped, disposers: [] }
-      states.add(state)
-      appliedBySession.set(session, state)
-      const denials = {
-        ...(mask.allow !== undefined ? { allow: [...mask.allow] } : {}),
-        ...(mask.deny !== undefined ? { deny: [...mask.deny] } : {}),
-      }
-      // restrict 沿父 scope 链传播且不识别受众；只在子代理也受限时复用。
-      if (includeSubagents && typeof tools.restrict === 'function') {
-        try {
-          const dispose = tools.restrict(denials)
-          if (typeof dispose === 'function') state.disposers.push(dispose)
-        } catch (error) {
-          // restrict 只收继承面：本层/晚到工具不在它的可限制集合里，交给 guard 裁决。
-          warnOnce(`${plugin}: guard action ${label} restrict skipped (own-layer/late tools stay covered by the guard): ${String(error?.message ?? error)}`)
-        }
-      }
-      state.disposers.push(tools.guard((exec) => {
-        const toolName = exec?.name
-        if (toolName === RUN_CODE || typeof toolName !== 'string' || toolName.length === 0) return undefined
-        const depth = exec?.agent?.session?.header?.delegationDepth ?? 0
-        // 主子代理隔离：scope 注册之外再按受众判定一次（子代理 scope 可能挂在父链上）。
-        if (depth > 0 ? !includeSubagents : action.audience === 'subagent') return undefined
-        return mask.blocks(toolName) ? reasonFor(toolName) : undefined
-      }))
-    }
-
-    collect(releaseAll)
-    collect(on('system-prompt/assemble', async (assembly, context, next) => {
-      // Downstream errors propagate untouched; only this action's own logic is guarded.
-      const assembled = await next()
-      try {
-        applyTo(context?.agent)
-      } catch (error) {
-        warnOnce(`${plugin}: guard action ${label} failed to register: ${String(error?.message ?? error)}`)
-      }
-      return assembled
-    }))
-  }
-}

package/engine/actions/sdk-strip.mjs

@@ -1,30 +0,0 @@
-import { labelOf, createMask } from './shared.mjs'
-import { SDK_SECTION_NAME, sdkToolNames, stripSdkDeclarations } from '../sdk-strip.mjs'
-
-export function prepareSdkStrip(action, plugin) {
-  const label = labelOf(action)
-  const mask = createMask(action.mask ?? action, `${label}.mask`, plugin)
-  return (_ctx, { warnOnce, on, collect, take }) => collect(on('system-prompt/assemble', async (assembly, context, next) => {
-    // Downstream errors propagate untouched; only this action's own logic is guarded.
-    const assembled = await next()
-    try {
-      if (!Array.isArray(assembled.sections)) return assembled
-      let changed = false
-      const sections = assembled.sections.map((section) => {
-        if (section?.name !== SDK_SECTION_NAME || typeof section.text !== 'string') return section
-        const names = mask.allow === undefined
-          ? mask.deny
-          : new Set([...sdkToolNames(section.text)].filter((toolName) => mask.blocks(toolName)))
-        if (names === undefined || names.size === 0) return section
-        const stripped = stripSdkDeclarations(section.text, names)
-        if (stripped === section.text) return section
-        changed = true
-        return { ...section, text: stripped }
-      })
-      return changed && take(context) ? { ...assembled, sections } : assembled
-    } catch (error) {
-      warnOnce(`${plugin}: sdk-strip action ${label} failed, keeping the original SDK text: ${String(error?.message ?? error)}`)
-      return assembled
-    }
-  }))
-}

package/engine/character-tools.mjs

@@ -1,8 +0,0 @@
-/** 角色卡库工具预设模块。 */
-export const name = "character-tools"
-
-export function apply(ctx) {
-  ctx.inject(["pt-character-tools"], (scopeCtx) => {
-    scopeCtx.effect(() => scopeCtx.get("pt-character-tools").mount(scopeCtx), name + ": mount")
-  })
-}