dsh-plugin-tool-management 0.19.1 → 0.20.1

package/lib/compat/preset-reach.js

@@ -468,10 +468,13 @@ export function reachNoticeFor(presetId, facts, inject) {
     const parts = [];
     const domainOff = (key) => inject?.domains?.[key] === false;
     if (isSuppressingPreset(facts) && inject?.underSuppressingPresets !== true) {
+        // 末尾那句「（想让它在这类预设下也注入：插件的「兼容」页 → 注入。）」已删（2026-10-15 用户裁定）：
+        // 它是**给人看的操作路径**（界面怎么点），而这段文字进的是**工具回执** —— 回执留在 transcript 里，
+        // 比工具 schema 还贵（每次调用都会带一份）。判据与上一轮 P1-5 从场景锁定守卫里清掉
+        // 「去界面解锁」逐字同一条：守卫/提示只**陈述事实**，"怎么改"由模型自己向用户解释。
         parts.push(`预设「${presetId}」声明只要它自己的文本（persona complete / 关闭运行时上下文）：` +
             '本插件注入的 —— 场景、记忆、MCP、技能、子智能体、提示词 —— 默认不注入，' +
-            '需要时用对应的 list / read 工具按需读取；不要假设你已经看到它们。' +
-            '（想让它在这类预设下也注入：插件的「兼容」页 → 注入。）');
+            '需要时用对应的 list / read 工具按需读取；不要假设你已经看到它们。');
     }
     else {
         if (facts.agentInstructions !== 'mounted' && domainOff('prompt')) {

package/lib/context-inject-frame.js

@@ -26,22 +26,22 @@ export const DOMAIN_FRAME = {
         // 现在这一段只回答一个问题：**当前处在哪个场景、它是什么**（`**「代码」—— 写代码**`）。
         // 它还比别的段少一层：因果句也删了 —— 它解释的是"另外四段是怎么产生的"（机制），
         // 不是当前情况本身，而且"清单里没有 ≠ 本机没有"这层反推被用户明确判为浪费。
-        title: '本机当前的场景',
+        title: '当前场景',
         supersede: SUPERSEDE_NOTE,
     },
     memory: {
-        title: '本机当前的记忆',
+        title: '当前记忆',
         supersede: SUPERSEDE_NOTE,
     },
     mcp: {
-        title: '本机 MCP 服务器的当前状态',
+        title: '当前 MCP 服务器',
         // how 只剩"怎么用备注"这半句：前半个分句「工具名是 `mcp__<服务器>__<工具>`」删掉了
         // —— 模型自己的工具表里就是这个命名（`mcp__context7__xxx`），告诉它格式是零信息量。
         how: '带「用户提示：」的行是用户写给这台服务器的决策提示，选服务器之前先看一眼。',
         supersede: SUPERSEDE_NOTE,
     },
     skills: {
-        title: '本机技能目录',
+        title: '当前技能目录',
         // 两句都只在预设没挂官方 `skill` 工具时出现，差别只在点名不点名那个取正文的工具
         // （工具被用户在兼容页关掉时不点名 —— 点名一个模型手里没有的工具只会让它去猜名字）。
         how: (toolHidden) => toolHidden('skill_manager_read')
@@ -50,20 +50,25 @@ export const DOMAIN_FRAME = {
         supersede: `${SUPERSEDE_NOTE.slice(0, -1)}；只列当前可调用的技能。`,
     },
     subagents: {
-        title: '可委派的子智能体',
+        title: '当前子智能体',
         // 分界规则（2026-09-17 方案 C，本机实测 session-ee722e23 逼出来的）：官方那两个
         // 委派工具（`subagent` / `subagent_fork`）不带人设，而此前没有任何一句话说明何时该
         // 用谁 —— 模型在"审查刚读过的 README"时选了 `subagent_fork`（fork 能继承已读内容、
         // 省一次复述）。现在人设通道也有 `inherit`（同一套 fork 机制），分界只剩"要不要后台跑"。
         // 带人设的委派工具被关掉时改说"本会话没有这条通道"：不说的话，模型看到有人设目录却
         // 找不到对应的工具，会去拿官方那两个凑（它们不接受人设，等于白跑一趟）。
+        //
+        // `inherit` 那半句 2026-10-14 删掉了（用户裁定）：它在 `subagent_manager_run` 的
+        // Modes 段与 `inherit` 参数说明里**各有一份**，三份都在每轮上下文里 = 同一件事付三次
+        // token。留这两份（它们就在"要传这个参数"的那一刻），这里只留 how 行独有的那半句 ——
+        // 与官方两个委派工具的分界规则。
         how: (toolHidden) => toolHidden('subagent_manager_run')
             ? '本会话没有带人设的委派工具；官方 `subagent` / `subagent_fork` 不带人设，只在没有人设贴合、或要后台跑时用。'
-            : '贴合人设的任务一律用 `subagent_manager_run`（要它看到本次会话就开 `inherit`）；官方 `subagent` / `subagent_fork` 不带人设，只在没有人设贴合、或要后台跑时用。',
+            : '贴合人设的任务一律用 `subagent_manager_run`；官方 `subagent` / `subagent_fork` 不带人设，只在没有人设贴合、或要后台跑时用。',
         supersede: SUPERSEDE_NOTE,
     },
     prompt: {
-        title: '本机提示词',
+        title: '当前提示词',
         supersede: SUPERSEDE_NOTE,
     },
 };
@@ -82,7 +87,7 @@ export const DOMAIN_FRAME = {
 export const HOW_NAMED_TOOLS = ['skill_manager_read', 'subagent_manager_run'];
 /** 域声明里没登记的 key（理论上到不了这里）：给一个不出错的通用框架。 */
 export const fallbackFrame = (label) => ({
-    title: `本机的${label}`,
+    title: `当前的${label}`,
     supersede: SUPERSEDE_NOTE,
 });
 export const domainFrame = (key, label) => DOMAIN_FRAME[key] ?? fallbackFrame(label);

package/lib/hub.js

@@ -24,13 +24,14 @@
 //   ├─ mcp-disabled-tools.json | mcp-known-tools.json | mcp-notes.json | mcp-settings.json | mcp-export.json
 //   ├─ tool-management.log                               插件日志（滚动 .1）
 //   ├─ backups/cordis.patch.yml.bak-<时间戳>             改宿主 patch 前的备份
-//   ├─ trash/{skills,subagents,prompts,scenes}-trash/<id>/  回收站（除记忆外的四类）
-//   └─ memories-trash/<id>/                              记忆回收站（**hub 根下独立目录**）
+//   ├─ trash/{skills,subagents,prompts,scenes,memories}-trash/<id>/  回收站（六类）
 //
-// 记忆回收站**不在 `trash/` 下**（本机实测 `trash/` 只有 4 个 `-trash` 目录）：它走
-// `memories/service.ts` 自己的路径（`join(stateDir, 'memories-trash', id)`，stateDir = hub 根），
-// 不经本模块的 `moveToTrash`。此前这行把它画进 `trash/{…}` 里，按它写备份/迁移脚本会既漏搬
-// 又误判（那是一类真实存在、条目数最多的用户数据）。
+// 六类回收站的落点已统一在 `trash/` 下（2026-10-10 起；记忆此前在 hub 根的 `memories-trash/`，
+// 由启动迁移并入 —— 见 `HUB_RENAMES`）。
+// 但**记忆那一类仍不经本模块的 `moveToTrash`**：它走 `memories/service.ts` 自己的路径
+// （`join(stateDir, 'trash/memories-trash', id)`，stateDir = hub 根），manifest 形状也由记忆域
+// 自己定。本模块只保证**目录位置**与其余几类一致；把它的读写抄到这里来只会得到第二份会漂移的
+// 真相（本条注释的前身就是这么写错的：它把记忆画进 `trash/{…}` 里，而当时那里根本没有它）。
 //
 // 留在 `$DSH_HOME` 根下的两个文件**不是**插件的：`AGENTS.md`（宿主每轮读取的全局基线，
 // 插件只是按场景/预设写它）与 `cordis.patch.yml`（宿主加载插件的配置入口）。
@@ -42,8 +43,8 @@
 //   3. **每进程一次**——迁移是启动期的一次性动作，失败也不阻断服务（旧目录仍可读）。
 import { cp, lstat, mkdir, readdir, readFile, rename, rm, writeFile } from 'node:fs/promises';
 import { cpSync, existsSync, mkdirSync, readdirSync, renameSync, rmSync } from 'node:fs';
-import { randomUUID } from 'node:crypto';
 import { basename, dirname, join } from 'node:path';
+import { newTrashId } from './trash-id.js';
 import { resolveDshHome } from './skills/core.js';
 import { isSameOrDescendant } from './paths.js';
 /** hub 根目录名（`$DSH_HOME` 下）。 */
@@ -68,6 +69,11 @@ const HUB_RENAMES = [
     ['agents-md', 'prompts'],
     ['rules-index.json', 'memories-index.json'],
     ['rules-trash', 'memories-trash'],
+    // 记忆回收站并入 `trash/`，与其余五类同处一处（2026-10-10）。
+    // **必须排在上一行之后**：极老的 `rules-trash/` 要先改名成 `memories-trash/`，这一行才能
+    // 把它一并搬进 `trash/`。顺序颠倒的话，老用户那份会留在 hub 根下不动 —— 而它恰恰是条目数
+    // 最多的一类数据。
+    ['memories-trash', 'trash/memories-trash'],
     ['agents', 'subagents'],
     ['agents-index.json', 'subagents-index.json'],
     ['state.json', 'skills-state.json'],
@@ -252,10 +258,13 @@ const LEGACY_TRASH_KINDS = {
 export function trashKindDir(kind) {
     return hubPath('trash', `${kind}-trash`);
 }
-/** 新条目 id（时间戳 base36 + uuid 前 8 位，与记忆回收站同形）。 */
-export function newTrashId() {
-    return Date.now().toString(36) + '-' + randomUUID().slice(0, 8);
-}
+/**
+ * 新条目 id（时间戳 base36 + uuid 前 8 位，与记忆回收站同形）。
+ *
+ * 实现挪到 `./trash-id.ts`（2026-10-15）：本模块引了 `skills/core.js`，技能域要共用这个生成器
+ * 就不能再反过来引这里。这里保留同一条导出路径 —— `memories/service.ts` 等既有引方不动。
+ */
+export { newTrashId };
 /** id 只由本模块生成：严格白名单，杜绝路径穿越。 */
 export function isValidTrashId(id) {
     return /^[a-z0-9]+-[a-z0-9]{1,32}$/i.test(id);
@@ -266,6 +275,90 @@ export function trashEntryPath(kind, id) {
         return null;
     return join(trashKindDir(kind), id);
 }
+/** 清单类文件名：它们是插件自己的元数据，不是"删掉的那份东西"，不进详情。 */
+const TRASH_META_NAMES = new Set(['manifest.json', 'metadata.json']);
+/** 详情上限：单个文件、总字节、文件数、递归深度。超了就如实标 `truncated`，绝不悄悄截。 */
+const PREVIEW_MAX_FILE = 64 * 1024;
+const PREVIEW_MAX_TOTAL = 256 * 1024;
+const PREVIEW_MAX_FILES = 40;
+const PREVIEW_MAX_DEPTH = 4;
+/** 前 8 KiB 里出现 NUL 就按二进制处理 —— 二进制内容转成字符串只会是一屏乱码。 */
+function looksBinary(buf) {
+    const n = Math.min(buf.length, 8192);
+    for (let i = 0; i < n; i += 1)
+        if (buf[i] === 0)
+            return true;
+    return false;
+}
+/**
+ * 把一条回收站条目目录里的负载**只读**地读出来，供界面「详情」显示。
+ *
+ * 为什么放在这里而不是各域各写一遍：三个域的回收站落在三套不同的目录布局里
+ * （hub 的四类 `<kind>-trash`、记忆的 `memories-trash`、技能的 `skills-trash`），
+ * 但"把一个目录里的文件读成能看的文本"这件事完全一样。上限、二进制判据、哪些名字算清单
+ * 只写一遍 —— 否则迟早出现"某一域的详情能读到别的东西"。
+ *
+ * 只读、不落盘、不跟随符号链接（条目里出现链接一律跳过，别把根外的文件读出来给界面看）。
+ * 目录不存在 / 读不动 → 返回空数组，调用方据此报"内容已不可读"，不抛。
+ */
+export async function readTrashPayloadFiles(dir, options = {}) {
+    const out = [];
+    let total = 0;
+    const maxDepth = Number.isFinite(Number(options.maxDepth)) ? Number(options.maxDepth) : PREVIEW_MAX_DEPTH;
+    const walk = async (current, rel, depth) => {
+        if (out.length >= PREVIEW_MAX_FILES || depth > maxDepth)
+            return;
+        let entries;
+        try {
+            entries = await readdir(current, { withFileTypes: true });
+        }
+        catch {
+            return;
+        }
+        // 目录在前、文件在后；同层按名字排序 —— 让详情里的顺序稳定（不随文件系统枚举顺序变）。
+        const sorted = [...entries].sort((a, b) => {
+            if (a.isDirectory() !== b.isDirectory())
+                return a.isDirectory() ? -1 : 1;
+            return a.name.localeCompare(b.name);
+        });
+        for (const entry of sorted) {
+            if (out.length >= PREVIEW_MAX_FILES)
+                return;
+            const abs = join(current, entry.name);
+            const nextRel = rel ? `${rel}/${entry.name}` : entry.name;
+            if (entry.isSymbolicLink())
+                continue;
+            if (entry.isDirectory()) {
+                await walk(abs, nextRel, depth + 1);
+                continue;
+            }
+            if (!entry.isFile() || TRASH_META_NAMES.has(entry.name))
+                continue;
+            let buf;
+            try {
+                buf = await readFile(abs);
+            }
+            catch {
+                continue;
+            }
+            const file = { path: nextRel, size: buf.length };
+            if (looksBinary(buf)) {
+                file.binary = true;
+            }
+            else {
+                const room = Math.max(0, Math.min(PREVIEW_MAX_FILE, PREVIEW_MAX_TOTAL - total));
+                const slice = buf.subarray(0, room);
+                file.text = slice.toString('utf8');
+                if (slice.length < buf.length)
+                    file.truncated = true;
+                total += slice.length;
+            }
+            out.push(file);
+        }
+    };
+    await walk(dir, '', 0);
+    return out;
+}
 async function readManifest(kind, id) {
     const dir = trashEntryPath(kind, id);
     if (dir === null)

package/lib/index.js

@@ -16,7 +16,7 @@ import { createRequire } from 'node:module';
 import { randomUUID } from 'node:crypto';
 import { createHistoryDomain } from './sessions/history.js';
 import { createSkillsService, pluginLog } from './skills/service.js';
-import { renameWithRetry } from './skills/core.js';
+import { renameWithRetry, trashRootPath } from './skills/core.js';
 import { createPromptsService } from './prompts/service.js';
 import { createQuickPromptsService } from './prompts/quick-service.js';
 import { isInsideRootResolved } from './paths.js';
@@ -70,6 +70,7 @@ import { buildMcpTools } from './tools/mcp.js';
 import { buildSkillTools } from './tools/skills.js';
 import { buildPromptTools } from './tools/prompt.js';
 import { buildMemoryTools } from './tools/memory.js';
+import { buildRemoveTools } from './tools/remove.js';
 import { buildSceneTools } from './tools/scene.js';
 import { buildSubagentTools } from './tools/subagent.js';
 import { createScenePromptSync } from './scene-prompt-sync.js';
@@ -206,6 +207,10 @@ export default {
             memoriesRoot: String(config?.memoriesRoot || ''),
             stateDir: String(config?.memoriesStateDir || ''),
             scenesDir: String(config?.memoriesScenesDir || ''),
+            // 技能回收站根目录：只给回收站「详情」（`trash-preview`）读技能条目用。路径的唯一定义
+            // 在 skills/skill-roots.ts（`trashRootPath()`），这里原样转手，不在记忆域重算一遍 ——
+            // 重算就是第二个真相源，改一处忘一处时详情会指向一个空目录。
+            skillsTrashDir: trashRootPath(),
             // 场景记忆段预算（字节），默认 131072（= DEFAULT_MAX_BYTES，128 KiB）；仅用于测试与特殊部署调优。
             ...(Number.isFinite(Number(config?.rulesMaxBytes))
                 ? { maxBytes: Number(config.rulesMaxBytes) }
@@ -628,7 +633,7 @@ export default {
             return out;
         };
         /**
-         * `how` 行点名过的工具里，**这个 agent 手里没有**的那些（注入器每步同步问一次）。
+         * 这条工具**在这个 agent 手里吗** —— 注入侧（`how` 行、两个目录的尾句）与工具回执共用的一份。
          *
          * 两条路并起来，缺一条框架文本就会说谎：
          *   ① `toolTableHidden()` —— 兼容页「模型工具表」的全局开关。**必须留着**：它读的是设置
@@ -639,21 +644,33 @@ export default {
          *      scope 上（`dsh-subagent/lib/index.js:522`），全局开关表里看不到它 —— 于是人设砍掉
          *      `skill_manager_read` 之后，技能目录照注、`how` 行照样点名一个模型手里没有的工具。
          *      拿不到 agent 时跳过：`get(name, undefined)` 问的是**全局视图**，会得出相反结论。
+         *
+         * 为什么要有这一份（2026-10-14 对抗性审查 P0-1/P1-8）：此前只有全局开关一条路，于是
+         * `mcp_manager_switch` 的 `listHint`、技能目录与子智能体目录的尾句都会点名一条**这个模型
+         * 手里没有的**工具。它是这两处的唯一判据 —— 工具侧经 `toolVisibleFor` 依赖拿，注入侧经
+         * `injectHiddenToolsFor` 拿，同一个函数，不定义第二份。
          */
-        const howHiddenToolsFor = (agent) => {
-            const hidden = new Set(toolTableHidden());
+        const toolVisibleFor = (name, agent) => {
+            if (toolTableHidden().has(name))
+                return false;
             if (agent === null || (typeof agent !== 'object' && typeof agent !== 'function'))
-                return hidden;
-            const scope = agent;
-            for (const name of HOW_NAMED_TOOLS) {
-                if (hidden.has(name))
-                    continue;
-                try {
-                    if (tools.get(name, scope) === undefined)
-                        hidden.add(name);
-                }
-                catch { /* 读不到 = 按还在手里算 */ }
+                return true;
+            try {
+                return tools.get(name, agent) !== undefined;
             }
+            catch {
+                return true; /* 读不到 = 按还在手里算 */
+            }
+        };
+        /**
+         * `how` 行点名过的工具里，**这个 agent 手里没有**的那些（注入器每步同步问一次）。
+         * 判据就是上面那份 `toolVisibleFor`，这里只把它收成一份集合交给注入框架。
+         */
+        const injectHiddenToolsFor = (agent) => {
+            const hidden = new Set(toolTableHidden());
+            for (const name of HOW_NAMED_TOOLS)
+                if (!toolVisibleFor(name, agent))
+                    hidden.add(name);
             return hidden;
         };
         // ---------- 注入通道（场景 / 记忆 / MCP / 技能 / 子智能体 / 提示词，各一条消息）----------
@@ -670,8 +687,10 @@ export default {
         const subagentCatalog = createSubagentCatalog({
             list: () => subagentService.list(),
             sceneLists: subagentSceneLists,
-            // 人在「兼容」页把 `subagent_manager_list` 关掉后，截断提示里那句「用 X 查」就是假的。
-            listToolVisible: () => !toolTableHidden().has('subagent_manager_list'),
+            // 人在「兼容」页把 `subagent_manager_list` 关掉、或某个人设用 `toolsDeny` 砍掉它之后，
+            // 截断提示里那句「用 X 查」就是假的。判据按 **agent**（2026-10-14 对抗性审查 P1-8）：
+            // 与 `how` 行、MCP 回执同一份 `toolVisibleFor`，不再只看全局开关。
+            listToolVisible: (agent) => toolVisibleFor('subagent_manager_list', agent),
         });
         // ⚠️ 取数必须用 mcpmRowsWithNotes(false)：true 会带上**未打码**的 url/headers/env（含明文密钥）。
         // 技能目录与提示词两个域是**官方载体的兜底**：预设挂得到官方
@@ -679,7 +698,9 @@ export default {
         // CARRIER_FACT_OF），挂不到（极简）时才由这里送 —— 所以极简下也能按开关决定要不要。
         const skillCatalog = createSkillCatalog({
             state: () => skillsService.ops['skill-state']({}),
-            listToolVisible: () => !toolTableHidden().has('skill_manager_list'),
+            // 与子智能体目录同一份判据（2026-10-14 对抗性审查 P1-8）：只看全局开关时，人设用
+            // `toolsDeny` 砍掉 `skill_manager_list` 之后，技能目录尾句照样点名一条它手里没有的工具。
+            listToolVisible: (agent) => toolVisibleFor('skill_manager_list', agent),
         });
         // 三份界面设置侧车（inject / scene / slash）拆到 ./settings-sidecars.ts：读走 3 秒 TTL 缓存，
         // 写共用上面那条串行写锁。工厂只在这里调用一次，三份缓存仍是「每次 apply 一份」。
@@ -729,7 +750,7 @@ export default {
                         // 记忆（**内容**）：各场景下的条目。与场景段同源、同一条 `applicableTo`。
                         { key: 'memory', name: 'tool-management:memory', label: '记忆', form: 'snapshot', text: () => memoriesService.memoryText(), applicableTo: (agent) => subagentDepthOf(agent) === 0 },
                         { key: 'mcp', name: 'tool-management:mcp-state', label: 'MCP 服务器', form: 'catalog', text: () => mcp.stateCatalog.text() },
-                        { key: 'skills', name: 'tool-management:skill-catalog', label: '技能目录', form: 'catalog', text: () => skillCatalog.text() },
+                        { key: 'skills', name: 'tool-management:skill-catalog', label: '技能目录', form: 'catalog', text: (agent) => skillCatalog.text(agent) },
                         {
                             key: 'subagents',
                             name: 'tool-management:subagents',
@@ -742,7 +763,7 @@ export default {
                     ],
                     settings: () => injectSettingsSync(),
                     // 工具表开关：`how` 行里点名工具的那几句要跟着它换话术（关掉的不点名）。
-                    hiddenTools: howHiddenToolsFor,
+                    hiddenTools: injectHiddenToolsFor,
                     factsFor: (agent) => candidates.presetFactsForAgent(agent),
                     // 令牌门禁（2026-09-19，用户裁定「宿主侧硬拦截」）：令牌**在生效**（`TOKEN !== ''`，
                     // 关掉或没配都是空串）而本次启动还没有人验过 ⇒ 这一步不放行，宿主把 turn 收成
@@ -882,8 +903,8 @@ export default {
         // 启动那次清扫读完侧车就返回了，一次磁盘遍历都不做。
         //
         // 记忆回收站那两条**走 memories 域的 op**，不在这里重抄路径与 manifest 形状：它在
-        // `hub/memories-trash/`（hub 根下的独立目录，不在 `trash/` 里），形状由 memories 域
-        // 自己定 —— 重抄一遍只会得到第二份会漂移的真相（hub.ts 顶部那张目录图专门写过这件事）。
+        // `hub/trash/memories-trash/`（2026-10-10 起与其余五类同处一处，之前是 hub 根下的独立
+        // 目录），形状由 memories 域自己定 —— 重抄一遍只会得到第二份会漂移的真相。
         const trashRetention = createTrashRetentionDomain({
             ctx,
             config,
@@ -1502,7 +1523,7 @@ export default {
             // 清空流水。清完这一条 op 自己会被下面的包装层记进新流水（"谁清过"也留痕）。
             'audit-clear': async () => await clearAudit(),
             'skill-open': skillOpen,
-            // MCP 域 16 个 op（实现在 ./mcp/manager.ts）
+            // MCP 域 17 个 op（实现在 ./mcp/manager.ts）
             ...mcp.ops,
             // 技能管理 ops（由 ./skills/service.js 提供）：skill-state / skill-detail /
             // skill-browse / skill-enable / skill-disable / skill-source-enable /
@@ -1554,7 +1575,7 @@ export default {
             // -toggle / -remove 与回收站三条。它**不**碰 AGENTS.md、不进场景、不进注入。
             ...quickPromptOps,
             // 归档会话域（ops/history.ts 提供）：history-list / history-sessions /
-            // history-export-defaults / dir-list / history-archive / history-archive-batch /
+            // history-export-defaults / dir-list /
             // history-unarchive / history-delete / history-unarchive-batch / history-delete-batch /
             // history-workspace-register / history-import / bundle-export / history-export /
             // history-retention-get / history-retention-set。
@@ -2175,6 +2196,10 @@ export default {
             syncSwitchToScene,
             // 错误句里点名工具前要先问一句（判据与两个目录的 `listToolVisible` 同一份缓存）。
             toolVisible: (name) => !toolTableHidden().has(name),
+            // 同上一句，但把**该 agent 的工具限制**也算进去（2026-10-14 对抗性审查 P0-1/P1-8）：
+            // 人设用 `toolsDeny` 砍掉 `mcp_manager_list` 之后，只看全局开关就会让回执点名一条
+            // 这个模型手里没有的工具。与注入侧 `injectHiddenToolsFor` 同一个函数。
+            toolVisibleFor: (name, agent) => toolVisibleFor(name, agent),
             reachNoticeForAgent,
             presetRoster: candidates.presetRoster,
             injectNoticeOptions,
@@ -2208,7 +2233,15 @@ export default {
             const denied = await frozenGate('agentsmd-apply', { id });
             return denied ? { ok: false, error: denied } : applyPresetGuarded(id);
         };
-        buildPromptTools({ ...toolDeps, promptOps: auditOps(promptOps), applyPresetGuarded: applyPresetForModel, promptsDir });
+        // 取消应用同理：`agentsmd-unapply` 在冻结清单里，模型侧不经 op 表直调就要在这里显式过
+        // 冻结闸（与 apply 同一形状）—— 少了这一层，锁着场景时模型仍能撤掉当前基线。
+        const unapplyPresetForModel = async () => {
+            const denied = await frozenGate('agentsmd-unapply', {});
+            return denied
+                ? { ok: false, error: denied }
+                : promptOps['agentsmd-unapply']();
+        };
+        buildPromptTools({ ...toolDeps, promptOps: auditOps(promptOps), applyPresetGuarded: applyPresetForModel, unapplyPreset: unapplyPresetForModel, promptsDir });
         buildMemoryTools({ ...toolDeps, rulesOps: auditOps(memoriesService.ops) });
         // 场景族（tools/scene.ts）：列场景与档案（`_list`）+ 建场景 / 写档案 / 绑提示词（`_save`）
         // + 进入与退出（`_switch`）。
@@ -2233,6 +2266,21 @@ export default {
             toolFilterFor: subagentToolFilterFor,
             failures: subagentFailures,
         });
+        // 删除 / 回收站族（tools/remove.ts，2026-10-15）：五个域各一条 `*_manager_remove`。
+        // 此前模型只能停用、不能删除。删除一律进回收站（可恢复）；**不做永久删除**（低频且
+        // 不可恢复，留给面板）。`sceneRemove` 传 handlers 里那份（`withAgentsMdSync` 包过），
+        // 与 `sceneActivate` 同一条纪律：直调 `memoriesService.ops` 会静默漏掉 AGENTS.md 那一步。
+        buildRemoveTools({
+            ...toolDeps,
+            memoryOps: auditOps(memoriesService.ops),
+            skillOps: auditOps(skillsService.ops),
+            subagentOps: auditOps(subagentService.ops),
+            promptOps: auditOps(promptOps),
+            // 场景回收站（`scene-trash-list` / `scene-trash-restore`）在 **memoriesService** 的 op 表里
+            // （`archiveService` 只有 scene-mode-get / -set / scene-archive-save 三条）。
+            sceneOps: auditOps(memoriesService.ops),
+            sceneRemove: auditFn('rules-remove-scene', (args) => handlers['rules-remove-scene'](args)),
+        });
         if (typeof ctx.on === 'function') {
             // 三个确认门的统一前裁决。口径（用户裁定，方案 B）：会话审批策略为 never（「完全权限」预设）
             // = 用户已在预设层面预先批准一切确认门，**直接放行**并写审计日志留痕。

package/lib/mcp/manager.js

@@ -18,11 +18,11 @@
 // 其余 14 项（ensurePaths / withWriteLock / readPatch / pluginInventory / memoriesService 等）
 // 由 deps 显式传入。
 import { clearRuntimeNote, noteRuntime } from '../compat/runtime-notes.js';
+import { mkdir } from 'node:fs/promises';
+import { join } from 'node:path';
 import { MCP_CLIENT_MODULE, MCP_TOOL_PREFIX, ambiguousServerNames, looksLikeMcpPrefixDrift, serverNameCandidates, splitMcpToolName } from '../host-names.js';
 import { hubPath } from '../hub.js';
 import { planOverrideCompaction } from './override-blocks.js';
-// 配置体检的探测（PATH 查询 / 端点连通性 / 检查清单 + mcpm-inspect op），2026-10-01 剥出。
-import { createInspectProbe } from './inspect-probe.js';
 import { createMcpStateCatalog } from './state-section.js';
 import { createToolVisibility } from './tool-visibility.js';
 import { appendBlock, buildDisableBlock, buildInsertBlock, insertEntryIds, parseRows, removeEntryAll, removeMarked, spliceRanges, splitLines, } from './patch-yaml.js';
@@ -106,6 +106,8 @@ export function isToolDisabledIn(map, fullName) {
         return true;
     return list.indexOf(parts.tool) >= 0;
 }
+/** `mcpm-parse-patch` 的输入上限：粘贴框不是文件上传口，几十 KB 之外基本都是误贴。 */
+const PATCH_PARSE_MAX_CHARS = 200_000;
 export function createMcpManager(deps) {
     // 外部能力一次解构成局部名：块内代码是逐字搬来的，保持原样最不容易出错。
     const { readJsonFile, writeJsonFile, ensurePaths, withWriteLock, message, tools, pluginInventory, settings, readPatch, writePatch, memoriesService, wait, } = deps;
@@ -1519,15 +1521,19 @@ export function createMcpManager(deps) {
             return { ok: true, removed: total, ids: removed, files };
         });
     }
-    // ---------- 配置体检的探测（0.15.0 B1；0.16.5 起含端点探测）----------------------
-    // 正文 2026-10-01 整段搬到 ./inspect-probe.js（一字未改，只把闭包作用域的几个名字改走
-    // deps）。那段「对补丁只读、`where`/`which` 只查命令名绝不执行配置里的命令、复用列表结果
-    // 但不回写任何缓存」的口径连同理由一起搬过去了，见那边的文件头。
-    const { mcpmInspect } = createInspectProbe({
-        ensurePaths, readPatch, message, normalizeRow, mcpmList,
-    });
     // ---------- 配置的导出 / 导入 ----------
-    async function mcpmExport() {
+    /**
+     * `args.outDir`（可选）：给了就写到该目录下的 `mcp-export.json`，不给则照旧写 hub 侧车。
+     *
+     * 判据与 `bundle-export` / `snapshot-export` 完全一致（必须绝对路径）：相对路径会落到
+     * 进程 CWD，那是猜。用户 2026-10-12：「mcp 的导出缺少选择导出目录」—— 此前这一档只能
+     * 落到 `~/.dsh/tool-management/mcp-export.json`，界面上没有任何可改的出口。
+     *
+     * `args.dryRun`（可选）：只算 JSON、**不落盘**。界面打开弹窗时先用它取预览，真正落盘
+     * 由用户点「导出到目录」触发 —— 与其余四个导出弹窗同一套交互（不开弹窗就写文件是副作用）。
+     * `snapshot-export` 走的是不带 dryRun 的老路径，行为不变。
+     */
+    async function mcpmExport(args) {
         const p = await ensurePaths();
         const list = await mcpmList();
         const rows = (list.rows || []).filter((r) => r.level !== 'loader').map((r) => ({
@@ -1544,16 +1550,24 @@ export function createMcpManager(deps) {
         }));
         const payload = { exportedAt: new Date().toISOString(), rows };
         const json = JSON.stringify(payload, null, 2);
+        if (args && args.dryRun)
+            return { ok: true, json, savedTo: null };
+        const outDir = String((args && args.outDir) || '').trim();
+        if (outDir && !/^([A-Za-z]:[\\/]|\\\\|\/)/.test(outDir))
+            return { ok: false, error: '导出目录需为绝对路径' };
         let savedTo = null;
         try {
-            const abs = mcpSidecar(MCP_EXPORT_FILE);
-            // 用 `writeJsonFile`（直写 hub 侧车）而**不是** `writePatch`（2026-09-30 审查 P1-3）：
+            const abs = outDir ? join(outDir, MCP_EXPORT_FILE) : mcpSidecar(MCP_EXPORT_FILE);
+            // 用 `writeJsonFile`（直写 JSON）而**不是** `writePatch`（2026-09-30 审查 P1-3）：
             // `writePatch` 是宿主**补丁文件**的写口，写前会跑 `checkPatchWrite` 的官方方言校验
             // （顶层必须是 YAML 数组），而这里写的是 hub 里一份 JSON **对象** —— 校验必然失败、
             // 异常被下面的 catch 吞掉，于是 `savedTo` 恒为 null，界面显示"没能落盘（hub 目录写入
             // 失败）"，**诊断是错的**（真实原因是方言校验器拒收 JSON 对象）。而且 `writePatch`
             // 自己的调用面纪律（`index.ts`：「不写宿主配置的动作也不该调用它」）本就排除了它 ——
             // 本处是唯一一个传 hub 路径的调用点。顺带省掉一次 `danger-full-access` 策略升级。
+            // `writeJsonFile` 不建父目录（hub 路径总是已存在），所以自定义目录要自己 mkdir。
+            if (outDir)
+                await mkdir(outDir, { recursive: true });
             await writeJsonFile(abs, payload);
             savedTo = abs;
         }
@@ -1722,6 +1736,24 @@ export function createMcpManager(deps) {
         const notes = importNotes.length ? { warning: importNotes.join('；') } : {};
         return overwrite ? { ok: true, added, overwritten, skipped, ...notes } : { ok: true, added, skipped, ...notes };
     }
+    /**
+     * 补丁片段解析（0.20.1 导入弹窗）：把用户粘贴的 dsh 补丁文本读成条目 —— 不读盘、不写盘。
+     *
+     * 为什么这件事在宿主侧：客户端那一半跑在浏览器里（`window.__ModuleLoader__`），那里的
+     * `require` 只解析宿主注册过的浏览器模块，`js-yaml` 永远取不到 —— 界面自己解析 YAML 补丁
+     * 是死路。这里走 `parseRows`：纯字符串运算，且正是本插件读真身补丁用的同一份口径（只收
+     * `name === MCP_CLIENT_MODULE` 的 insert 子条目、覆盖块按文件顺序生效）。
+     */
+    async function mcpmParsePatch(args) {
+        const text = String((args && args.text) || '');
+        if (!text.trim())
+            return { ok: false, error: '没有内容' };
+        if (text.length > PATCH_PARSE_MAX_CHARS) {
+            return { ok: false, error: `内容过长（${text.length} 字符，上限 ${PATCH_PARSE_MAX_CHARS}）：请只粘贴要导入的那几块` };
+        }
+        const rows = parseRows(text).rows.map((r) => ({ id: r.id, disabled: r.disabled, config: r.config }));
+        return { ok: true, rows };
+    }
     function parseKv(text) {
         const out = {};
         String(text || '').split(/\r?\n/).forEach((line) => {
@@ -1792,7 +1824,7 @@ export function createMcpManager(deps) {
             'mcpm-compact': mcpmCompact,
             'mcpm-export': mcpmExport,
             'mcpm-import': mcpmImport,
-            'mcpm-inspect': mcpmInspect,
+            'mcpm-parse-patch': mcpmParsePatch,
         },
         readDisabledTools,
         readKnownMcpTools,

package/lib/mcp/secret-guard.js

@@ -15,7 +15,7 @@
 // 「那几段」= **userinfo / 查询串 / 片段**三处（2026-09-30 审查 F5）：`new URL()` 把 userinfo
 // 与 fragment 存在 `username/password` 与 `hash` 里，`toString()` 原样带出。只换 `search`
 // 的话，`https://user:pass@host/mcp`（Basic-Auth 形态）与 `https://host/mcp#access_token=…`
-// 会整条原样返回 —— 而这两条路正是免令牌出口（`mcpm-list` / `mcpm-inspect` / 模型工具 /
+// 会整条原样返回 —— 而这两条路正是免令牌出口（`mcpm-list` / 模型工具 /
 // 快照导出）。路径与主机**不动**：它们是该服务的身份，算进来会把真 URL 误判成打码值。
 //
 // 判据为什么可以这么硬：打码值只可能表示"用户没改这一项"，绝不可能表示"用户想把它设成这个"。
@@ -170,7 +170,7 @@ function maskUrlPartsByString(url) {
  * fragment 存在 `username/password` 与 `hash` 里，`toString()` 会原样带出 ——
  * 只替换 `search` 的话，`https://user:pass@host/mcp` 与 `https://host/mcp#access_token=…`
  * 会**整条原样返回**（后者连 `?` 都没有），而这两条路正是免令牌出口
- * （`mcpm-list` / `mcpm-inspect` / 模型工具 / 快照导出）。Basic-Auth 形态的凭据就此明文可见。
+ * （`mcpm-list` / 模型工具 / 快照导出）。Basic-Auth 形态的凭据就此明文可见。
  */
 export function maskUrlQuery(url) {
     if (!url)

package/lib/mcp/state-section.js

@@ -122,7 +122,7 @@ export function renderMcpStateSection(rows, opts = {}) {
         ...shownUsable.map((r) => lineOf(r, liveEnabledOf(r), false)),
         ...shownOffline.map((r) => lineOf(r, knownOf(r), true)),
     ];
-    // 只有清单：标题（`# 本机 MCP 服务器的当前状态`）由注入通道的框架承担
+    // 只有清单：标题（`# 当前 MCP 服务器`）由注入通道的框架承担
     // （2026-09-18 起，见 context-inject.ts 的 DOMAIN_FRAME）—— 同一件事只有一个出处，
     // 框架已经写了标题，正文再写一遍就是每步多付一行 token。
     const out = [...lines];

package/lib/memories/archive-engine.js

@@ -449,10 +449,10 @@ export function createArchiveEngine(deps) {
             catch (e) {
                 return { ok: false, error: `读取技能启停现状失败：${msg(e)}` };
             }
-            const sourcesOn = [];
-            const sourcesOff = [];
-            for (const s of skillsPlan.sourceSwitches)
-                (s.enabled ? sourcesOn : sourcesOff).push(s.root);
+            // 来源级切换（skillsPlan.sourceSwitches）只做不说：它是技能启停的实现细节 ——
+            // 勾了技能的来源才启用、一条都没勾就停用。项目来源的 key 是路径哈希
+            // （`project-dsh:47d48f408c5edc5e`），目录对用户可能根本不存在、也不是新建技能的
+            // 落点，报上预览卡只会被当成故障（用户 2026-10-15 裁定：提醒不显示技能目录）。
             const stale = [...mcpPlan.stale, ...skillsPlan.stale];
             // 工具表方案（C1）：绑了就说清「会切成哪一份、关几条」。方案在别处被删掉 / 换机器之后
             // 查不到时 hiddenCount 给 null，界面那句会改成"方案已不存在，这次不会切换"——
@@ -498,7 +498,6 @@ export function createArchiveEngine(deps) {
                 enter: { servers: clip(enterServers) },
                 skills: {
                     on: clip(skillsOn), off: clip(skillsOff),
-                    sourcesOn: clip(sourcesOn), sourcesOff: clip(sourcesOff),
                 },
                 subagents: { on: clip(personas.on), off: clip(personas.off) },
                 quickPrompts,

package/lib/memories/constants.js

@@ -63,7 +63,7 @@ export const ATTACHMENT_LIST_MAX = 10;
  *
  * 用词：不用「常驻」「注入」这类内部行话（模型没有先验）。
  * ⚠️ 「用『信息』而不是『记忆』」那条**已被 2026-09-23 第四次裁定推翻**（见下）：用户
- * 给定的定稿文案里就是「记忆」，而板块标题本来就是「本机当前的记忆」—— 两者同名反而更好，
+ * 给定的定稿文案里就是「记忆」，而板块标题本来就是「当前记忆」—— 两者同名反而更好，
  * 当时那条理由（「记忆」在系统提示词里指代不明）在板块标题定名之后也不成立了。
  *
  * 2026-09-17 重写（用户：「当前模式会不重视这些提示词」）。上一版的三个毛病都在**授权**
@@ -110,7 +110,7 @@ export const ATTACHMENT_LIST_MAX = 10;
  * 时以实际情况为准、④ 与用户当场说的冲突时以用户为准、⑤ 无关不必提 + 完整性声明（防探测，
  * 见上，那半句是整句里唯一不能删的）。77 → 48 字符（219 → 144 字节），而它**每个场景块各来
  * 一次**，所以省的是 N 倍。删掉的只有修饰与重复：「以下是用户为本机写的记录」→「本机记录」
- * （板块标题 `# 本机当前的记忆` 已经把"这是本机的记忆"说过了），两句"冲突时以…为准"
+ * （板块标题 `# 当前记忆` 已经把"这是本机的记忆"说过了），两句"冲突时以…为准"
  * 合成一句。
  *
  * 2026-09-23 第四次裁定（用户直接给定稿文案，逐字）：
@@ -188,5 +188,12 @@ export const fail = (code, error, params) => (params ? { ok: false, error, code,
  * 旧名 `rules-index.json` / `rules-trash/` 由 hub 的启动迁移搬过来（见 hub.ts）。
  */
 export const MEMORIES_INDEX_FILE = 'memories-index.json';
-/** 记忆回收站目录名（hub 根下）。ops 分域后 trash 域要用，故与索引文件名一起放在这一层。 */
-export const MEMORIES_TRASH_DIR = 'memories-trash';
+/**
+ * 记忆回收站目录（**hub 内相对路径**，故带 `trash/` 段）。
+ *
+ * 2026-10-10 起与其余五类同处一处：`hub/trash/memories-trash/`。此前它是 hub 根下的
+ * `memories-trash/`，独立于 `trash/` —— 界面上六类早就统一成一个「回收站」了，落点却分两处，
+ * 按 `trash/` 写备份 / 迁移脚本会漏掉这一类（条目数最多的那类）。
+ * 老位置由 hub 的启动迁移搬过来（见 `hub.ts` 的 `HUB_RENAMES`），只搬不删。
+ */
+export const MEMORIES_TRASH_DIR = 'trash/memories-trash';