dsh-plugin-tool-management 0.14.0 → 0.15.0

package/lib/index.js

@@ -22,6 +22,8 @@ import { isInsideRootResolved } from './paths.js';
 import { DEFAULT_PROFILE_NAME, PROFILE_CANDIDATES } from './host-names.js';
 import { createMemoriesService } from './memories/service.js';
 import { createArchiveEngine } from './memories/archive-engine.js';
+import { createSnapshotOps } from './ops/snapshot.js';
+import { AUDIT_TARGET_CONFIG, clearAudit, readAudit, recordAudit, recordOpAudit } from './audit-log.js';
 import { readIndexSync } from './memories/index-io.js';
 import { runStateDoctor } from './ops/state-doctor.js';
 import { createSubagentService, decideToolFilter, defaultPersonasDir } from './subagents/service.js';
@@ -29,7 +31,7 @@ import { createSubagentCatalog } from './subagents/catalog.js';
 import { createSkillCatalog } from './skills/catalog.js';
 import { DEFAULT_INJECT_SETTINGS, createContextInjector, normalizeInjectSettings, subagentDepthOf, } from './context-inject.js';
 import { isApprovalNever } from './approval-policy.js';
-import { addPreset, buildToolTableReport, DEFAULT_HIDDEN_TOOLS, dropPreset, migrateLegacyToolNames, normalizeToolTableSettings, PRESET_MAX_COUNT, PRESET_NAME_MAX_LENGTH, toolTableSettingsFrom, } from './tools/table.js';
+import { addPreset, buildToolTableReport, DEFAULT_HIDDEN_TOOLS, dropPreset, migrateLegacyToolNames, normalizeToolTableSettings, FACTORY_TOOL_TABLE_PRESET, PRESET_MAX_COUNT, PRESET_NAME_MAX_LENGTH, toolTableSettingsFrom, } from './tools/table.js';
 import { normalizeSceneSettings } from './scene-settings.js';
 import { checkPatchWrite, takePatchGuardWarnings } from './compat/patch-dialect.js';
 import { clearRuntimeNote, noteRuntime } from './compat/runtime-notes.js';
@@ -42,7 +44,7 @@ import { createCandidates } from './scenes/candidates.js';
 // 「已知工具」归一化与「当前可用工具数」原本定义在本文件（导出仅为测试接缝），
 // 2026-09-19 随 MCP 域搬进 ./mcp/manager.ts。这里保持原路径可导出，契约不变。
 export { normalizeKnownTools, countEnabledTools } from './mcp/manager.js';
-import { applyLoaderToken, applyLoaderTokenDisabled, readLoaderToken } from './mcp/loader-token.js';
+import { applyLoaderToken, applyLoaderTokenDisabled, buildLoaderOverrideEntry, readLoaderToken } from './mcp/loader-token.js';
 import { hubBackupDir, hubPath, migrateHubLayoutSync, relocateEntries } from './hub.js';
 // 分域的 HTTP ops（2026-09-19 从本文件 handlers 表抽出，依赖显式传参）。
 import { buildCompatOps } from './ops/compat.js';
@@ -163,6 +165,8 @@ export default {
                 kind: 'read',
                 fallback: 'inform-only',
                 detail: '技能 provider 装配失败（' + message(e) + '）：技能启用/停用与 agent 技能目录这一轮不生效。',
+                detailKey: 'skills-provider',
+                params: { reason: message(e) },
             });
         }
         // ---------- 提示词预设库（hub/prompts/）+ 切换 ----------
@@ -296,7 +300,41 @@ export default {
             // 用生效集去校验会把合法勾选判成 stale 丢掉。
             return (await skillScan()).all;
         }
+        // 整体替换关停名单的那一步抽成具名函数：引擎的 apply 依赖与「修改场景」表单的
+        // 即时生效（scene-sync 包装）共用同一条写路径，不能各抄一份。
+        const applyToolTableHiddenNow = async (hidden) => {
+            // 与 `tool-table` op 写分支同一条路径、同一顺序：落盘 → 重排可见性 → 两个目录重算。
+            // 绕开这套顺序就会留下「名单已经改了、工具下一轮还发给模型」这种最难查的状态。
+            const current = await readToolTableSettings();
+            const next = {
+                hidden: normalizeToolTableSettings({ hidden }).hidden.filter((name) => toolTableSizes.has(name)),
+                presets: current.presets,
+            };
+            const saved = await writeToolTableSettings(next);
+            if (!saved.ok)
+                throw new Error(saved.error);
+            mcp.scheduleToolRestrictions();
+            await Promise.all([
+                skillCatalog.refresh().catch(() => { }),
+                subagentCatalog.refresh().catch(() => { }),
+            ]);
+        };
         const archiveService = createArchiveEngine({
+            // 引擎每应用/还原一次整套档案记一条流水（source='engine'，见 ./audit-log.ts）。
+            // 记在边界这一层而不是往五个 apply* 里散着写：一条流水说的是「引擎动了整个环境」，
+            // 与同一次进入里面板/模型那条记录天然按秒分组显示。
+            audit: (op, target) => recordAudit({ ts: Date.now(), op, target: target || AUDIT_TARGET_CONFIG, source: 'engine' }),
+            // ── 模型工具表（0.15.0 C1）：场景可以绑一份方案，进场景整体换成那一份 ──
+            currentToolTableHidden: async () => [...(await readToolTableSettings()).hidden],
+            toolTablePresetHidden: async (name) => {
+                const s = await readToolTableSettings();
+                // 用户存的方案**优先**：万一有人把方案起名叫 'factory-default'，他要的是自己那份。
+                const hit = s.presets.filter((p) => p.name === name)[0];
+                if (hit)
+                    return [...hit.hidden];
+                return name === FACTORY_TOOL_TABLE_PRESET ? [...DEFAULT_HIDDEN_TOOLS] : null;
+            },
+            applyToolTableHidden: applyToolTableHiddenNow,
             loadSlice: async () => ({ ...(await memoriesService.readArchiveSlice()) }),
             saveSlice: (slice) => memoriesService.patchIndex(slice),
             configuredServers: async () => {
@@ -803,7 +841,7 @@ export default {
                 return { ok: true, settings: next };
             });
         }
-        // 注入实况（只读诊断）：注入器的 live() 读回"最近活跃会话"可见表面上的五域文本。
+        // 注入实况（只读诊断）：注入器的 live() 读回"最近活跃会话"可见表面上的各域文本。
         // 挂在 apply 作用域：`injection-live` op 与注入器不在同一层（effect 内部）。
         let contextInjectorLive = null;
         // 采纳遥测的入口（同样是 apply 作用域的中转）：工具注册在 effect 之外，
@@ -876,7 +914,9 @@ export default {
                 label: '上下文注入通道',
                 kind: 'read',
                 fallback: 'inform-only',
-                detail: '注入通道装配失败（' + message(e) + '）：五个注入域的内容这一轮不会被送进模型。',
+                detail: '注入通道装配失败（' + message(e) + '）：全部注入域的内容这一轮不会被送进模型。',
+                detailKey: 'context-injection',
+                params: { reason: message(e) },
             });
         }
         void readInjectSettings().catch(() => { });
@@ -903,6 +943,7 @@ export default {
                     kind: 'read',
                     fallback: 'inform-only',
                     detail: 'cordis 导出的 symbols.original 与 Symbol.for("cordis.original") 不是同一个符号：能力探测可能把代理当原始对象，身份判定会失真。',
+                    detailKey: 'cordis-original-symbol',
                 });
             }
         }
@@ -1190,23 +1231,87 @@ export default {
             if (cached)
                 return cached;
             let home = null;
+            let derivedProfileDir = null;
+            let derivedProfileName = null;
+            let docObserved;
+            let docError;
             try {
                 // 注意：这里的 home 来自宿主文档路径的切片，与 `skills/core.js` 的
                 // `resolveDshHome()`（`$DSH_HOME` ‖ `~/.dsh`）是**两条独立来源**，本插件同时用着两者。
                 // 不合并是有意的：合并会改变所有 profile 补丁的落点，属于行为变更，留给结构性重构那一档。
                 const doc = await settings.prepareDocument();
                 if (typeof doc === 'string' && doc) {
+                    docObserved = doc;
                     const i = Math.max(doc.lastIndexOf('\\'), doc.lastIndexOf('/'));
-                    home = i > 0 ? doc.slice(0, i) : doc;
+                    const docDir = i > 0 ? doc.slice(0, i) : doc;
+                    // 0.1.7 起 `prepareDocument()` 返回的是 **profile 补丁**（`configEditor.documentPath`，
+                    // 形如 `<home>\profiles\web\cordis.patch.yml`）；0.1.5 返回的才是主目录下的设置文档。
+                    // 直接切片会把 profile 目录当成主目录 —— globalPatch 随之指到 profile 补丁，
+                    // 全局补丁里那些 MCP 行就全部读不到了（0.15.0 实测）。所以先认这个形状：
+                    // 目录以 `profiles\<name>` 结尾 ⇒ 它自己就是 profileDir，主目录上溯两级。
+                    const profileShaped = /^(.+)[\\/]profiles[\\/]([^\\/]+)$/.exec(docDir);
+                    if (profileShaped) {
+                        home = profileShaped[1];
+                        derivedProfileDir = docDir;
+                        derivedProfileName = profileShaped[2];
+                    }
+                    else {
+                        home = docDir;
+                    }
                 }
             }
-            catch (e) { /* ignore */ }
-            if (!home)
+            catch (e) {
+                docError = String(e?.message ?? e);
+            }
+            if (!home) {
+                // 推导失败从「静默抛错」升级为「具名上报 + 抛错」：这条路径正是 0.1.7 升级事故的
+                // 源头（prepareDocument 返回语义一变这里就指错目录，MCP 页与补丁读写全部失明），
+                // 下次契约再变，兼容页必须第一眼看到推导挂了，而不是等某个页面空白再倒查。
+                noteRuntime({
+                    id: 'paths.home-derivation',
+                    label: '主目录推导',
+                    kind: 'read',
+                    fallback: 'refuse-operation',
+                    detail: docError !== undefined
+                        ? `settings.prepareDocument() 抛错：${docError}。主目录推导失败，MCP 页与补丁读写不可用。`
+                        : 'settings.prepareDocument() 未返回可用路径（宿主路径契约可能又变了）。主目录推导失败，MCP 页与补丁读写不可用。',
+                });
                 throw new Error('无法确定 DSH 主目录（settings.prepareDocument 未返回路径）');
+            }
             const sep = home.indexOf('\\') >= 0 ? '\\' : '/';
-            let profileDir = null;
-            let profileName = DEFAULT_PROFILE_NAME;
-            for (const name of PROFILE_CANDIDATES) {
+            // prepareDocument 给出的就是**现存**的 profile 补丁路径（官方注释如此），所以
+            // 推导出的 profileDir 直接可信；只有它没给出 profile 形状时才走下面的候选探测。
+            const profileShapedPatchExists = derivedProfileDir !== null
+                && (await exists(derivedProfileDir + sep + 'cordis.patch.yml'));
+            // —— 推导自检（0.15.0）：健康时不留 note（运行时上报一律渲染成兼容页的问题行，
+            // 常驻健康行会违反「琥珀只留给故障」的口径），只在推导结果反常时记，恢复时收掉。
+            // 两条不变量照着 0.1.7 事故的形状挑：那次推出的「主目录」其实存在（是 profile 目录），
+            // 存在性检查抓不住，**profiles 子目录**检查才抓得住 —— 主目录下永远有 profiles\
+            //（本插件自己的 profile 就住在里面）。官方再改一次语义，两道检查至少一道当场报警。
+            const derivationNote = (detail) => {
+                noteRuntime({
+                    id: 'paths.home-derivation',
+                    label: '主目录推导',
+                    kind: 'read',
+                    fallback: 'refuse-operation',
+                    detail,
+                });
+            };
+            if (!(await exists(home))) {
+                derivationNote(`推导出的主目录不存在：${home}（设置文档路径：${docObserved ?? '未知'}）。推导结果不可信，MCP 页与补丁读写会落空。`);
+            }
+            else if (!(await exists(home + sep + 'profiles'))) {
+                derivationNote(`推导出的主目录下没有 profiles 目录：${home}（设置文档路径：${docObserved ?? '未知'}）。主目录很可能指错了 —— 直接切片一个 profile 补丁路径就是这个形状；MCP 页与补丁读写会读错文件。`);
+            }
+            else if (derivedProfileDir !== null && !profileShapedPatchExists) {
+                derivationNote(`设置文档路径呈 profile 目录形状，但其中没有 cordis.patch.yml：${docObserved}。官方承诺返回「现存」的 profile 补丁路径，形状对不上说明契约又变了；已回退候选探测。`);
+            }
+            else {
+                clearRuntimeNote('paths.home-derivation');
+            }
+            let profileDir = profileShapedPatchExists ? derivedProfileDir : null;
+            let profileName = derivedProfileName ?? DEFAULT_PROFILE_NAME;
+            for (const name of profileDir === null ? PROFILE_CANDIDATES : []) {
                 if (await exists(home + sep + 'profiles' + sep + name + sep + 'cordis.patch.yml')) {
                     profileDir = home + sep + 'profiles' + sep + name;
                     profileName = name;
@@ -1237,6 +1342,10 @@ export default {
                 profileName,
                 projectPatch: profileDir + sep + 'cordis.patch.yml',
                 globalPatch: home + sep + 'cordis.patch.yml',
+                // 0.1.7 bundle 层：插件包内自己的 cordis.patch.yml（`dsh.bundle.patch`）定义 loader
+                // 条目。它只是「覆盖目标存在吗」的凭证与读取参照，**绝不是令牌的写点** —— 那份文件
+                // 是仓库镜像（sync 每次构建覆盖），把令牌写进去等于把明文密钥提交进仓库。
+                bundlePatch: profileDir + sep + 'node_modules' + sep + 'dsh-plugin-tool-management' + sep + 'cordis.patch.yml',
             };
             return cached;
         }
@@ -1475,7 +1584,17 @@ export default {
                     infoOf.set(abs, { token: read.token, disabled: read.disabled });
                 }
             }
-            return { files, infoOf };
+            // 0.1.7 bundle 挂载：loader 条目由插件包内的 cordis.patch.yml（bundle 层）提供，两份
+            // 补丁里都没有可就地改写的行。bundleBase 只回答「覆盖目标存在吗」—— 写点是 profile
+            // 补丁里的覆盖条目（见 tokenConfigure），bundle 文件本身永不落密钥。
+            let bundleBase = false;
+            try {
+                bundleBase = readLoaderToken(await readPatch(p.bundlePatch)).found;
+            }
+            catch {
+                bundleBase = false;
+            }
+            return { files, infoOf, bundleBase };
         }
         /**
          * 配置**文件里**写了令牌，但当前进程还没生效（或反过来）—— 也就是"改了配置还没重启"。
@@ -1565,13 +1684,39 @@ export default {
                 if (value === CONFIG_TOKEN)
                     return { ok: true, changed: false, note: '和当前令牌相同，未改动。', restartRequired: false };
             }
-            const { files } = await loaderTokenFiles();
-            if (!files.length) {
-                return { ok: false, error: '没找到本插件的 loader 行，无法自动改写配置：请在 profile 的 cordis.patch.yml 里手动设置 config.token（或改用环境变量 DSH_PLUGIN_TOOL_MANAGEMENT_TOKEN）。' };
+            const p = await ensurePaths();
+            const { files, bundleBase } = await loaderTokenFiles();
+            if (!files.length && !(mode === 'set' && bundleBase)) {
+                return { ok: false, error: '没找到本插件的 loader 行，也无法确认 bundle 层的挂载条目，无法自动改写配置：请在 profile 的 cordis.patch.yml 里手动加一条覆盖条目（- id: dsh-plugin-tool-management → config: → token: "…"），或改用环境变量 DSH_PLUGIN_TOOL_MANAGEMENT_TOKEN。' };
             }
             if (files.length > 1) {
                 return { ok: false, error: '本插件的 loader 行同时出现在两份补丁文件里（会导致 DSH 无法启动）：请先清掉重复那条，再回来设置令牌。' };
             }
+            if (!files.length) {
+                // 0.1.7 bundle 挂载：两份补丁里都没有本插件的 loader 行（条目由 bundle 层提供，那份
+                // 文件是仓库镜像、不能落密钥）—— 令牌写进 **profile 补丁的覆盖条目**：宿主在所有
+                // bundle 层之后应用它，整体替换那条 loader 的 config（bundle 条目没有 config，替换
+                // 零丢失）；同 id 的 insert 条目才会重复挂载导致启动失败，覆盖条目是官方支持的改法。
+                // `off` / `clear` / `on` 走不到这里：有 site 时就地改写，没 site 且有令牌 = 令牌来自
+                // 环境变量，那两条路在前面已按各自口径返回。
+                return withWriteLock(async () => {
+                    let content = '';
+                    try {
+                        content = await readPatch(p.projectPatch);
+                    }
+                    catch (e) {
+                        return { ok: false, error: '读取补丁失败: ' + message(e) };
+                    }
+                    const next = content === '' ? buildLoaderOverrideEntry(value) + '\n' : (content.endsWith('\n') ? content : content + '\n') + '\n' + buildLoaderOverrideEntry(value);
+                    try {
+                        await writePatch(p.projectPatch, next);
+                    }
+                    catch (e) {
+                        return { ok: false, error: '写入补丁失败: ' + message(e) };
+                    }
+                    return { ok: true, changed: true, mode, restartRequired: true, path: p.projectPatch };
+                });
+            }
             const abs = files[0];
             return withWriteLock(async () => {
                 let content = '';
@@ -1774,6 +1919,10 @@ export default {
         });
         const handlers = {
             'plugin-version': pluginVersion,
+            // 「最近改动」流水的读侧（0.15.0 B2）：只读 hub 里的 `audit.jsonl`，倒序、可按域过滤。
+            'audit-list': async (args) => ({ ok: true, entries: await readAudit(args || {}) }),
+            // 清空流水。清完这一条 op 自己会被下面的包装层记进新流水（"谁清过"也留痕）。
+            'audit-clear': async () => await clearAudit(),
             'skill-open': skillOpen,
             // MCP 域 16 个 op（实现在 ./mcp/manager.ts）
             ...mcp.ops,
@@ -1812,10 +1961,11 @@ export default {
                 cleanPatchBackups,
                 getContextInjectorLive: () => contextInjectorLive,
                 // 功能总览（B6）的三层合成：令牌实况与兼容页「访问令牌」同源；场景锁定与写门禁同源；
-                // 停用工具数读 mcp 的 TTL 缓存（无 I/O）。
+                // 停用工具的两个口径读 mcp 的 TTL 缓存（无 I/O）。
                 readTokenState: async () => ({ active: TOKEN !== '', accepted: TOKEN !== '' && acceptedThisBoot() }),
                 lockedSceneNames: () => lockedSceneNames(),
-                disabledToolCount: () => mcp.disabledToolCount(),
+                disabledToolSummary: () => mcp.disabledToolSummary(),
+                injectServiceCount: INJECT_SERVICES.length,
                 message,
                 compatLog,
             }),
@@ -1849,6 +1999,20 @@ export default {
             // 必须排在 ...memoriesService.ops 之后 —— 这里是显式覆盖同名 op，不是新增。
             ...buildSceneSyncOps({
                 withAgentsMdSync,
+                onToolTablePresetChanged: async (scene, value) => {
+                    // 「修改场景」里改绑工具表方案且改的是**当前启用场景** → 立即把关停名单整体换成
+                    // 那一份（与「改档案 = 立刻生效」同口径）。解绑（''）按下拉里的承诺 =「保持现状」，
+                    // 运行时不动；悬空绑定（方案已删）也不在这里硬失败，交给引擎进出场景时的 stale 处理。
+                    const slice = await memoriesService.readArchiveSlice();
+                    if (!slice.mode || slice.mode.scene !== scene || !value)
+                        return;
+                    const s = await readToolTableSettings();
+                    const hit = s.presets.filter((p) => p.name === value)[0];
+                    const hidden = hit ? [...hit.hidden] : (value === FACTORY_TOOL_TABLE_PRESET ? [...DEFAULT_HIDDEN_TOOLS] : null);
+                    if (!hidden)
+                        return;
+                    await applyToolTableHiddenNow(hidden);
+                },
                 rulesOps: {
                     'rules-set-active': (args) => memoriesService.ops['rules-set-active'](args),
                     'rules-update-scene': (args) => memoriesService.ops['rules-update-scene'](args),
@@ -2252,6 +2416,22 @@ export default {
         // handlers 后处理（2026-09-19 抽到 ./request-gate.ts）：场景锁定守卫、开关同步档案、
         // 读 op 的 anyLocked/activeScene 注解、子智能体失败清单 attach。
         // 顺序即语义（先装的在内层），整段搬运未改。
+        //
+        // 整机迁移快照（0.15.0 C2）在门禁装好**之前**并入 handlers：它自己不写任何域的数据，
+        // 而是逐域调 handlers 表里那些 op —— 装好后取到的就是带门禁的那一份，场景锁定期间各域
+        // 自己拒绝，迁移这边不必再判一套锁。
+        const snapshotOps = createSnapshotOps({
+            invokeOp: (name, args) => {
+                const fn = handlers[name];
+                return fn ? fn(args || {}) : Promise.resolve({ ok: false, error: '未知操作: ' + name });
+            },
+            hubPath,
+            ensurePaths,
+            pluginVersion: () => PKG_VERSION,
+            promptsDir: () => promptsDir,
+            message,
+        });
+        Object.assign(handlers, snapshotOps);
         installHandlerGuards({
             handlers,
             lockedSceneNames,
@@ -2329,8 +2509,28 @@ export default {
          */
         const hostDefineToolAny = hostDefineTool;
         const defineTool = ((options) => trackAdoption(hostDefineToolAny(options)));
-        // 五个域共用的那一份依赖（形状见 tools/deps.ts）。defineTool 带着遥测一起传下去 ——
+        // 各域共用的那一份依赖（形状见 tools/deps.ts）。defineTool 带着遥测一起传下去 ——
         // 各域必须用它，直接 import 宿主的那个会丢掉采纳统计。
+        /**
+         * 「最近改动」流水的模型侧挂点（0.15.0 B2）。
+         *
+         * 为什么包在**交给工具的 op 表**上而不是散进每个 op：op 执行有多条入口路径（HTTP 路由、
+         * 模型工具的 execute、场景引擎），而判断「谁干的」这件事只有调用点知道 —— 在 op 里自己猜
+         * 调用方就是猜。这里给工具看到的表包一层，界面上 handlers 表那份原样不动，两条路各记各的。
+         * 只多记一条流水：不改行为、不改返回值、也不吞异常（写类与成败的判据在 ./audit-log.ts）。
+         */
+        const auditFn = (opName, fn) => async (args) => {
+            const result = await fn(args || {});
+            recordOpAudit(opName, args || {}, 'model', result);
+            return result;
+        };
+        const auditOps = (ops) => {
+            const out = {};
+            for (const [name, fn] of Object.entries(ops)) {
+                out[name] = typeof fn === 'function' ? auditFn(name, fn) : fn;
+            }
+            return out;
+        };
         const toolDeps = {
             defineTool,
             // 量体积只认**注册成功**的那些（注册失败的域工具本来就不在模型工具表里）——
@@ -2345,26 +2545,27 @@ export default {
             injectNoticeOptions,
             message,
         };
+        const mcpToolOps = auditOps(mcp.ops);
         buildMcpTools({
             ...toolDeps,
             mcpmListView: mcp.mcpmListView,
             mcpmTools: mcp.ops['mcpm-tools'],
-            mcpmSetEnabled: mcp.ops['mcpm-set-enabled'],
-            mcpmRestart: mcp.ops['mcpm-restart'],
-            mcpmToolEnabled: mcp.ops['mcpm-tool-enabled'],
-            mcpmAdd: mcp.ops['mcpm-add'],
-            mcpmEdit: mcp.ops['mcpm-edit'],
-            mcpmNote: mcp.ops['mcpm-note'],
+            mcpmSetEnabled: mcpToolOps['mcpm-set-enabled'],
+            mcpmRestart: mcpToolOps['mcpm-restart'],
+            mcpmToolEnabled: mcpToolOps['mcpm-tool-enabled'],
+            mcpmAdd: mcpToolOps['mcpm-add'],
+            mcpmEdit: mcpToolOps['mcpm-edit'],
+            mcpmNote: mcpToolOps['mcpm-note'],
             // **故意不接 `mcpm-reveal`**：`mcp_manager_save` 的改分支用 `mcpmListView()` 的
             // 打码视图填回省略字段，由 `mcpm-edit` 的 `resolveMaskedKv` / `resolveMaskedUrl`
             // 还原真值 —— 那条路本来就是给"表单里出现打码值"设计的（界面编辑框预填的就是它）。
             // 让模型驱动的工具在进程内读明文凭据，是另一条没人设计过、也没有测试覆盖的路径。
         });
-        buildSkillTools({ ...toolDeps, skillsOps: skillsService.ops });
+        buildSkillTools({ ...toolDeps, skillsOps: auditOps(skillsService.ops) });
         // 传 op 表而不是 promptsService：「生效中」的判定只有 `agentsmd-list` 里有（场景绑定
         // 的那份才算），直调服务会得到文件比对口径 —— 场景驱动时工具会报一个与界面不同的答案。
-        buildPromptTools({ ...toolDeps, promptOps, applyPresetGuarded, promptsDir });
-        buildMemoryTools({ ...toolDeps, rulesOps: memoriesService.ops });
+        buildPromptTools({ ...toolDeps, promptOps: auditOps(promptOps), applyPresetGuarded, promptsDir });
+        buildMemoryTools({ ...toolDeps, rulesOps: auditOps(memoriesService.ops) });
         // 场景族（tools/scene.ts）：列场景与档案（`_list`）+ 建场景 / 写档案 / 绑提示词（`_save`）
         // + 进入与退出（`_switch`）。
         // 传**包装后**的 `archiveService.ops`：`scene-archive-save` 与 `scene-mode-set` 都在本文件
@@ -2376,13 +2577,14 @@ export default {
         // 再包一次，是为了让工具与 HTTP API 共用同一个实现（不会各自漂移）。
         buildSceneTools({
             ...toolDeps,
-            rulesOps: memoriesService.ops,
-            archiveOps: archiveService.ops,
-            sceneActivate: (args) => handlers['rules-set-active'](args),
+            rulesOps: auditOps(memoriesService.ops),
+            archiveOps: auditOps(archiveService.ops),
+            sceneActivate: auditFn('rules-set-active', (args) => handlers['rules-set-active'](args)),
         });
         buildSubagentTools({
             ...toolDeps,
-            subagentService,
+            // 只换掉工具看到的 `ops` 那一层（原型链回真实服务，其余读法一字不动）。
+            subagentService: Object.assign(Object.create(subagentService), { ops: auditOps(subagentService.ops) }),
             sceneLists: subagentSceneLists,
             toolFilterFor: subagentToolFilterFor,
             failures: subagentFailures,
@@ -2829,6 +3031,10 @@ export default {
                                 return;
                             }
                             const result = await fn(payload.args || {});
+                            // 「最近改动」流水：来源 = 面板（这条 HTTP 路由是界面唯一的入口）。
+                            // `readOnlyCall` 是上面那四个「读改写两态 op」的纯读分支 —— 它们没改任何状态，不记。
+                            if (!readOnlyCall)
+                                recordOpAudit(op, payload.args || {}, 'panel', result);
                             res.end(JSON.stringify(withPatchWarnings(result === undefined ? { ok: true } : result)));
                         }
                         catch (e) {

package/lib/mcp/loader-token.js

@@ -9,8 +9,10 @@
 // 全部抹掉、把 `!!js` 引号风格改掉、把不认识的键重排 —— 一次"设置令牌"不该顺带重写整个
 // 文件。（这与 `override-blocks.ts` 选择"只算删除区间"是同一条理由。）
 //
-// 边界：只动**本插件 id 那条 insert 子条目**内的 `config:` / `token:` 两行，别的一概不碰。
-// 找不到那条行时如实回 `found: false`，由调用方决定怎么报错，绝不"找不到就新建一条"。
+// 边界：只动**本插件 id 那条条目**内的 `config:` / `token:` 两行，别的一概不碰。条目有两种
+// 形状（见 ROW_ID_RE 的注释）：0.1.5 补丁里嵌套的 insert 子条目、0.1.7 profile 补丁里顶层
+// 的覆盖条目 —— 同一套相对缩进逻辑都认。找不到那条行时如实回 `found: false`，由调用方
+// 决定怎么报错；唯一的"新建"路径是 0.1.7 的覆盖条目（buildLoaderOverrideEntry，见下）。
 //
 // 两个**不改写、只拒绝**的形状（2026-09-19 审计 T-28）：
 //   - `config:` 写成 flow style（`config: {token: x}`）或缩进不是 6 空格 ⇒ 本模块的
@@ -22,17 +24,15 @@
 const yq = (value) => JSON.stringify(value);
 /** 本插件 loader 行的 id（与 cordis.patch.yml 里那条 insert 子条目一致）。 */
 export const PLUGIN_LOADER_ID = 'dsh-plugin-tool-management';
-const ROW_ID_RE = /^ {4}- id:\s*(\S+)\s*$/;
-const CONFIG_RE = /^ {6}config:\s*$/;
+/**
+ * 行首 `- id:` 的缩进就是条目的几何原点：0.1.5 的补丁把条目嵌在映射里（4 空格，config
+ * 在 6、键在 8）；0.1.7 的 profile 覆盖条目在顶层（0 空格，config 在 2、键在 4）。两类形状
+ * 用同一套「相对缩进」逻辑定位，readLoaderToken / rewriteConfigKey 都按条目自己的缩进算。
+ */
+const ROW_ID_RE = /^( *)- id:\s*(\S+)\s*$/;
 /** `config:` 的任何别的写法（flow style `config: {…}`、非空值、别的缩进）—— 一律不改写。 */
 const CONFIG_OTHER_RE = /^\s*config:\s*\S/;
-const keyRe = (key) => new RegExp('^ {8}' + key + ':\\s*(.*)$');
-const TOKEN_RE = keyRe('token');
-const DISABLED_RE = keyRe('tokenDisabled');
-/** 该子条目块内的行：缩进 ≥ 6（键），或空行/注释（块间空隙，归前一块）。 */
-const inRowBlock = (line) => line.trim() === '' || /^\s*#/.test(line) || /^ {6,}\S/.test(line);
-/** config 块内的行：缩进 ≥ 8，或空行/注释。 */
-const inConfigBlock = (line) => line.trim() === '' || /^\s*#/.test(line) || /^ {8,}\S/.test(line);
+const keyRe = (indent, key) => new RegExp('^ {' + indent + '}' + key + ':\\s*(.*)$');
 const unquote = (raw) => {
     const text = raw.trim();
     if (text.length >= 2 && ((text.startsWith('"') && text.endsWith('"')) || (text.startsWith("'") && text.endsWith("'")))) {
@@ -76,12 +76,23 @@ function parseFlag(raw) {
 /** 定位插件 loader 行及其 `config:` 块（找不到行时 `start < 0`）。 */
 function locate(content, pluginId) {
     const lines = content.split(/\r?\n/);
-    const start = lines.findIndex((line) => {
-        const m = ROW_ID_RE.exec(line);
-        return !!m && m[1] === pluginId;
-    });
+    let start = -1;
+    let indent = 0;
+    for (let i = 0; i < lines.length; i++) {
+        const m = ROW_ID_RE.exec(lines[i]);
+        if (m && m[2] === pluginId) {
+            start = i;
+            indent = m[1].length;
+            break;
+        }
+    }
     if (start < 0)
-        return { lines, start: -1, end: -1, configAt: -1, configEnd: -1, configUnrecognised: false, configDuplicated: false };
+        return { lines, start: -1, end: -1, indent: 0, configAt: -1, configEnd: -1, configUnrecognised: false, configDuplicated: false };
+    // 该子条目块内的行：缩进 ≥ 条目+2（键），或空行/注释（块间空隙，归前一块）。
+    const inRowBlock = (line) => line.trim() === '' || /^\s*#/.test(line) || new RegExp('^\\s{' + (indent + 2) + ',}\\S').test(line);
+    // config 块内的行：缩进 ≥ 条目+4，或空行/注释。
+    const inConfigBlock = (line) => line.trim() === '' || /^\s*#/.test(line) || new RegExp('^\\s{' + (indent + 4) + ',}\\S').test(line);
+    const configRe = new RegExp('^ {' + (indent + 2) + '}config:\\s*$');
     let end = start + 1;
     while (end < lines.length && inRowBlock(lines[end]))
         end++;
@@ -89,7 +100,7 @@ function locate(content, pluginId) {
     let configCount = 0;
     let configUnrecognised = false;
     for (let i = start + 1; i < end; i++) {
-        if (CONFIG_RE.test(lines[i])) {
+        if (configRe.test(lines[i])) {
             configCount += 1;
             if (configAt < 0)
                 configAt = i;
@@ -106,24 +117,26 @@ function locate(content, pluginId) {
         while (configEnd < end && inConfigBlock(lines[configEnd]))
             configEnd++;
     }
-    return { lines, start, end, configAt, configEnd, configUnrecognised, configDuplicated: configCount > 1 };
+    return { lines, start, end, indent, configAt, configEnd, configUnrecognised, configDuplicated: configCount > 1 };
 }
 /** 读插件 loader 行里的 `config.token` / `config.tokenDisabled`（没写 / 没这条行都返回空值）。 */
 export function readLoaderToken(content, pluginId = PLUGIN_LOADER_ID) {
-    const { lines, start, end, configAt, configEnd } = locate(content, pluginId);
+    const { lines, start, configAt, configEnd, indent } = locate(content, pluginId);
     if (start < 0)
         return { found: false, token: '', disabled: false };
     if (configAt < 0)
         return { found: true, token: '', disabled: false };
+    const tokenRe = keyRe(indent + 4, 'token');
+    const disabledRe = keyRe(indent + 4, 'tokenDisabled');
     let token = '';
     let disabled = false;
     for (let i = configAt + 1; i < configEnd; i++) {
-        const t = TOKEN_RE.exec(lines[i]);
+        const t = tokenRe.exec(lines[i]);
         if (t) {
             token = unquote(t[1]);
             continue;
         }
-        const d = DISABLED_RE.exec(lines[i]);
+        const d = disabledRe.exec(lines[i]);
         // `null` = 值既不是 true 也不是 false（宿主同样不当成"已关闭"），按未关闭处理。
         if (d)
             disabled = parseFlag(d[1]) === true;
@@ -143,8 +156,8 @@ export function readLoaderToken(content, pluginId = PLUGIN_LOADER_ID) {
  *
  * @param line - 要写入的整行（含缩进）；`null` = 删除该键。
  */
-function rewriteConfigKey(content, key, line, pluginId) {
-    const { lines, start, end, configAt, configEnd, configUnrecognised, configDuplicated } = locate(content, pluginId);
+function rewriteConfigKey(content, key, value, pluginId) {
+    const { lines, start, end, indent, configAt, configEnd, configUnrecognised, configDuplicated } = locate(content, pluginId);
     if (start < 0)
         return { found: false };
     // 写之前先自检：这两种形状一旦落盘就是"DSH 下次起不来"（官方 js-yaml 对重复映射键 throw），
@@ -165,7 +178,7 @@ function rewriteConfigKey(content, key, line, pluginId) {
             refused: '本插件那条 loader 行里的 `config:` 不是插件认识的写法（flow style 或缩进不是 6 空格），自动改写会插入重复键并导致 DSH 启动失败：请手工把它改回 `      config:` + 缩进 8 空格的键值行，或在配置里手工写 token。',
         };
     }
-    const re = keyRe(key);
+    const re = keyRe(indent + 4, key);
     const keyAt = (() => {
         if (configAt < 0)
             return -1;
@@ -174,6 +187,8 @@ function rewriteConfigKey(content, key, line, pluginId) {
                 return i;
         return -1;
     })();
+    // 要写的整行（含缩进）；`value === null` = 删除该键。缩进按条目自己的原点算。
+    const line = value === null ? null : ' '.repeat(indent + 4) + key + ': ' + value;
     // 写之后的第二道自检：不管走哪条分支，产物里 `config:` 只能有一个。宁可原样退回，
     // 也不让一次界面点击产出一个"DSH 下次起不来"的补丁文件。
     const commit = (nextContent) => {
@@ -194,7 +209,7 @@ function rewriteConfigKey(content, key, line, pluginId) {
         // 这个键之外还有别的键吗？（在原行上判断，避免 splice 之后的下标漂移算错）
         const otherKeys = lines
             .slice(configAt + 1, configEnd)
-            .some((row, index) => configAt + 1 + index !== keyAt && /^ {8,}\S/.test(row));
+            .some((row, index) => configAt + 1 + index !== keyAt && new RegExp('^\\s{' + (indent + 4) + ',}\\S').test(row));
         next.splice(keyAt, 1);
         if (!otherKeys)
             next.splice(configAt, 1);
@@ -211,7 +226,7 @@ function rewriteConfigKey(content, key, line, pluginId) {
         return commit(next.join('\n'));
     }
     // 没有 config：紧跟 `- id:` 之后插入（映射键的顺序不影响 YAML 语义，位置固定才好断言）。
-    next.splice(start + 1, 0, '      config:', line);
+    next.splice(start + 1, 0, ' '.repeat(indent + 2) + 'config:', line);
     return commit(next.join('\n'));
 }
 /**
@@ -223,7 +238,7 @@ function rewriteConfigKey(content, key, line, pluginId) {
  *   否则给出新全文与"是否真的改了"。
  */
 export function applyLoaderToken(content, token, pluginId = PLUGIN_LOADER_ID) {
-    return rewriteConfigKey(content, 'token', token === null ? null : '        token: ' + yq(token), pluginId);
+    return rewriteConfigKey(content, 'token', token === null ? null : yq(token), pluginId);
 }
 /**
  * 打开（`true`）或关掉（`false`）令牌功能 —— **不动 `config.token` 本身**。
@@ -234,5 +249,15 @@ export function applyLoaderToken(content, token, pluginId = PLUGIN_LOADER_ID) {
  * @param disabled - `true` 写开关；`false` / `null` 删掉该键。
  */
 export function applyLoaderTokenDisabled(content, disabled, pluginId = PLUGIN_LOADER_ID) {
-    return rewriteConfigKey(content, 'tokenDisabled', disabled === true ? '        tokenDisabled: true' : null, pluginId);
+    return rewriteConfigKey(content, 'tokenDisabled', disabled === true ? 'true' : null, pluginId);
+}
+/**
+ * 0.1.7 bundle 挂载下的令牌落点：profile 补丁里的**覆盖条目**（官方 `applyEntryPatches`
+ * 的 id-targeted override —— 不带 name / insert、只带 id + config，宿主在 bundle 层之后
+ * 应用它，整体替换那条 loader 的 `config`；bundle 条目没有 config，替换零丢失）。
+ * 注意：同 id 的 **insert** 条目才会重复挂载、启动失败；覆盖条目是官方支持的改法，
+ * 目标不存在的树只是逐条警告跳过（一份 overlay 打多个表面，不必每棵树都命中）。
+ */
+export function buildLoaderOverrideEntry(token, pluginId = PLUGIN_LOADER_ID) {
+    return '- id: ' + pluginId + '\n  config:\n    token: ' + yq(token);
 }