dsh-rule-engine 0.5.10 → 0.5.12

package/lib/core/hotwords.js

@@ -0,0 +1,86 @@
+// hotwords.js - 会话热词学习（B1，2026-08-29 方案甲由用户拍板）。
+// 背景：词表是主裁决器（快/免费/可复现），但人工枚举永远补不完（v4.74/82 连补 4 轮仍漏——
+// "落/认可/清理/移除/清空"逐个补）；0.5.12 A2 已有 LLM 兜底：词表未命中但 LLM 判为执行分点 → 放行。
+// 本模块把"LLM 已确认过"的动作词沉淀为热词：下次同词直接词表命中，不再依赖 LLM（省成本 + 更快 + 可复现）。
+//
+// 原则：
+//   1. 热词只服务"意图判定"（hasAction → execute 分点），绝不 bypass deny/授权——其他拦截链不受影响；
+//   2. 学习只在 LLM 兜底明确判 hasExecute=true 且词表未命中时发生（非对称：词表不放行时不学）；
+//   3. 持久化 ~/.dsh/rule-engine-hotwords.json（原子写 + 上限 + 容错；写失败静默回退，不影响主流程）；
+//   4. 审计留痕 kind=hotword-learn（来源会话/词）；
+//   5. 手动补词（lexicon.js）仍保留且优先：热词是自动通道，不替代编译词表。
+import { readFileSync, writeFileSync, renameSync, mkdirSync } from "node:fs";
+import { join } from "node:path";
+import { dshHome } from "./paths.js";
+import { audit } from "./audit.js";
+
+const MAX_WORDS = 500;
+
+export function hotwordFilePath() {
+  return join(dshHome(), "rule-engine-hotwords.json");
+}
+
+function emptyStore() {
+  return { versions: 1, words: [], updatedAt: null };
+}
+
+/** 读取热词文件（容错：缺失/损坏/非数组 → 空表） */
+export function loadHotwords() {
+  try {
+    const raw = readFileSync(hotwordFilePath(), "utf8");
+    const data = JSON.parse(raw);
+    const words = Array.isArray(data?.words) ? data.words : [];
+    // 元数据迁移容错：老格式 words 可能是字符串数组
+    return {
+      versions: Number(data?.versions) || 1,
+      words: words.filter((w) => typeof w === "string" && w.length >= 2 && w.length <= 12),
+      updatedAt: data?.updatedAt || null
+    };
+  } catch {
+    return emptyStore();
+  }
+}
+
+/** 原子写（tmp + rename）；失败静默（学习不影响主流程） */
+export function saveHotwords(store) {
+  try {
+    const p = hotwordFilePath();
+    mkdirSync(dshHome(), { recursive: true });
+    const tmp = p + ".tmp";
+    writeFileSync(tmp, JSON.stringify(store, null, 2), "utf8");
+    renameSync(tmp, p);
+    return true;
+  } catch {
+    return false;
+  }
+}
+
+/** 文本是否命中热词（子串匹配；热词为空直接 false） */
+export function hasHotwordAction(text) {
+  const t = String(text || "").toLowerCase();
+  const { words } = loadHotwords();
+  for (const w of words) {
+    if (w && t.includes(w.toLowerCase())) return true;
+  }
+  return false;
+}
+
+/**
+ * 学习一个动作词（LLM 兜底确认 execute 且词表未命中时调用）。
+ * 返回 true=已写入；false=校验失败/写失败。
+ * 校验：2-12 字符、去空白、不重复、上限 500（旧→新保留）。
+ */
+export function learnHotword(word) {
+  const clean = String(word || "").replace(/[\s"'“”‘’?,。；：!！?？、]/g, "").trim();
+  if (clean.length < 2 || clean.length > 12) return false;
+  const store = loadHotwords();
+  if (store.words.includes(clean)) return true;
+  store.words.push(clean);
+  if (store.words.length > MAX_WORDS) store.words = store.words.slice(-MAX_WORDS);
+  store.updatedAt = new Date().toISOString();
+  const ok = saveHotwords(store);
+  if (ok) {
+    audit({ kind: "hotword-learn", rule: "22", name: "热词学习", reason: `LLM 确认动作词入热词表：${clean}`, session: "" });
+  }
+  return ok;
+}

package/lib/core/intent.js

@@ -18,25 +18,49 @@
 //     消灭“两套疑问词判定不一致”（如 authorization 的“影响吗”与 intent 的“怎么”）。
 //   - 新增 STATUS_SIGNAL_RE / isStatusSignal()：状态信号分类（宽松版，危险词排除，
 //     12A/13A 兜底），与“无用户消息回合”同等待遇。
+// 0.5.11（用户拍板）：词表唯一源 = lib/core/lexicon.js——下面 5 张表全部从那里 import，
+// 本文件不再自持定义（原定义删除）；对外 export 名保持不变（QUESTION_RE/STATUS_SIGNAL_RE
+// 仍对外可见，/guard 与测试引用不受影响）。
+
+import {
+  QUESTION_WORDS_RE,
+  ACTION_WORDS_RE,
+  STRONG_EXEC_RE as STRONG_EXEC_LEX,
+  STATUS_SIGNAL_WORDS_RE,
+  DANGEROUS_ACTION_WORDS_RE
+} from "./lexicon.js";
+import { hasHotwordAction } from "./hotwords.js";
 
 export const TAG_RE = /【(执行|方案|问询|信息)】/;
 
-// 统一疑问词表（合并原 intent 与 authorization 两套：怎么/为何 + 影响吗/可以吗/要不要/需不需要）
-export const QUESTION_RE = /[？?]|吗|为什么|是否|能不能|行不行|难道|是不是|能否|怎么|为何|是否要|影响吗|可以吗|要不要|需不需要/;
+// 统一疑问词表（唯一源：lexicon.js；此处再导出保持外部引用兼容）
+export const QUESTION_RE = QUESTION_WORDS_RE;
 
 const DEFER_RE = /待确认|确认后再|等我确认|先方案|先别|不要执行|之后再说|确认后|再确认|先确认|不要直接/;
-const ACTION_RE = /执行|落盘|开始|写入|写(?:下|好|完|成|作|文件)?|保存|另存为|删除|修改|改(?:为|成|动|一下|进|善)?|补(?:上|齐|全|充|写)?|修(?:改|复|一下)?|做(?:好|完|一下)?|创建|安装|发布|下载|提交|运行|修复|替换|重建|启动|重启|停止|卸载|开始改|开始写|改进|优化|增强|完善|升级|迁移|整理|调整|实现|实施|添加|增加|补充|重写|改造|调试|排查|处理|解决|继续|推进|更新|部署|核实|梳理|诊断|对齐|跟进|落实|设计并实现|调查|开工|动手|进行|完成|选择|采纳|选定|产出|编写|撰写|生成|审查|阅读|查看|核对|检查|审阅|复核|查阅|验证|对照|调研|研究/;
+const ACTION_RE = ACTION_WORDS_RE;
 const PLAN_RE = /方案|建议|评估|分析|设计|规划|计划|给出|提供/;
-const STRONG_EXEC_RE = /执行吧|开始执行|直接执行|立即执行|现在执行|马上执行|请落盘|开始写|开始改|执行以下|执行第|执行这个|执行它|落盘|开始蒸馏|开始迁移|开始修复|开始改进|开始优化|采纳|选定/;
+const STRONG_EXEC_RE = STRONG_EXEC_LEX;
 const NUMBERED_ITEM_RE = /^\s*(?:\(?(\d+)[\)、.．)]\s*)/;
+// A1（2026-08-28 阶段一）：具体动作词（区别于"执行/开始/进行"等宽泛词）。
+// 用途：hasAction+hasPlan 时区分"给出执行方案"（方案请求）与"将建议书转化到业务通告"（执行指令）。
+const SPECIFIC_ACTION_RE =
+  /写入|写(?:下|好|完|成|作|文件)?|保存|另存为|删除|修改|改(?:为|成|动|一下|进|善)?|补(?:上|齐|全|充|写)?|修(?:改|复|一下)?|做(?:好|完|一下)?|创建|安装|发布|下载|提交|运行|修复|替换|重建|启动|重启|停止|卸载|改进|优化|增强|完善|升级|迁移|整理|调整|实现|实施|添加|增加|补充|重写|改造|调试|排查|处理|解决|更新|部署|核实|梳理|诊断|对齐|跟进|落实|设计并实现|调查|产出|编写|撰写|生成|审查|阅读|查看|核对|检查|审阅|复核|查阅|验证|对照|调研|研究|转化|转换|读取|读(?:完|出|一下|一遍|出来)?|展示|打开|提取|还原|导入|导出|采纳|选择|选定|落盘|落地|清理|移除|清空|合入|合并|并入|融合|整合|起草|开展|搭建|重构|兼容|投产|校验|核验|过一遍|跑一遍|复验/i;
+
+// A3（2026-08-28，阶段一）：@文件引用信号——用户消息中 @ 引用路径/文件（DSH 官方
+// file-reference 语法，@path 或 @"path with spaces"/@file.docx），且含处理动词 → 视为执行分点。
+// 边界：@ 前必须是非词字符（开头/空白/标点），避免邮箱 a@b.com 误伤。
+const AT_REF_RE = /(?:^|[\s（(【《"'，。；：！？])\s*@(?:["']?(?:[A-Za-z]:[\\/]|[^"'\\\s，。；：！？（）【】《》、]+\.(?:docx?|md|txt|pdf|json|ya?ml|xlsx?|csv|pptx?|html?|zip|mjs|js|ts|py|exe|ps1)))/i;
+const AT_ACTION_RE = /看|读|改|写|转|查|处理|提取|打开|展示|审阅|检查|分析|整理|校对|核对|还原|更新|删除|移动|执行|处理/i;
 
-// 状态信号：对先前指令的就绪/完成确认（“我已重启 / 已输入 / 重启完成 / 好了 / done”）。
-// 语义 = 与“无用户消息回合”同等待遇：不触发规则 22 的“无执行分点”判定（规则 22⑩）。
-export const STATUS_SIGNAL_RE =
-  /(?:我已|我已经|我(?:们)?(?:刚)?(?:重启|输入|执行|完成|搞定|做完|弄好|输完|输好))(?:了|完毕|完成|好)?|(?:^|\s)(?:已|已经)?(?:重启|输入|执行|完成|搞定|做完|弄好|输完|输好|unlock)(?:了|完毕|完成|好)?(?:\s|$)|(?:^|\s)已经(?:刚)?(?:重启|输入|执行|完成|搞定|做完|弄好|输完|输好|unlock)[^\s]*(?:\s|$)|(?:^|\s)(?:重启|输入|命令|操作)(?:完成|完毕|好了|已输入)(?:\s|$)|(?:^|\s)好了(?:\s|$)|^(?:done|restarted|finished|entered)$/i;
+/**
+ * 状态信号：对先前指令的就绪/完成确认（“我已重启 / 已输入 / 重启完成 / 好了 / done”）。
+ * 语义 = 与“无用户消息回合”同等待遇：不触发规则 22 的“无执行分点”判定（规则 22⑩）。
+ * 唯一源：lexicon.js STATUS_SIGNAL_WORDS_RE；此处再导出保持外部引用兼容。
+ */
+export const STATUS_SIGNAL_RE = STATUS_SIGNAL_WORDS_RE;
 
 // 危险动作词：命中则不当状态信号（防“我已删除了某文件”被当成就绪确认）
-const DANGEROUS_ACTION_RE = /删除|覆盖|移除|清空|卸载|remove-item|rm\s+-r|del\s+/i;
+const DANGEROUS_ACTION_RE = DANGEROUS_ACTION_WORDS_RE;
 
 /** DSH 在会话上下文里注入的系统文本（工作区指令/技能目录等），不是用户的真实消息 */
 export function isInjectedContextMessage(text) {
@@ -114,10 +138,12 @@ function splitClauses(text) {
   const raw = String(text || "").trim();
   if (!raw) return [];
 
-  // 同行内多个编号（"1、A 2、B"）：在编号前（前导空白处）插入换行，统一按行切分。
+  // 同行内多个编号（"1、A 2、B"）：在编号前插入换行，统一按行切分。
   // 修复 2026-08-24 实测缺陷：同行编号列表被并入单子句，"方案"等词导致整条误判 plan。
-  // 保守：仅切分“编号前为空白”的项（"执行第2、3条"中"2、"前是汉字 → 不切）。
-  const normalized = raw.replace(/(?:\s)(\d+[\)、.．)])/g, "\n$1");
+  // 修复 2026-08-28（用户"1、问 2、问 3、跑"被整条吞）：编号前为**空白或标点**（？。；、等）也切——
+  // 用户在中文标点后直接发编号（无空格），"？2、"应切为列表项"2、"；保守保留"执行第2、3条"不切
+  //（"第"是汉字非标点，编号前非空白非标点 → 整体词不切）。
+  const normalized = raw.replace(/(?:[\s。；，、？?！!])(\d+[\)、.．)])/g, "\n$1");
   const lines = normalized.split(/\r?\n/);
   const hasNumbered = lines.some((line) => NUMBERED_ITEM_RE.test(line));
   const hasTagLines = lines.filter((line) => TAG_RE.test(line)).length >= 2;
@@ -178,9 +204,12 @@ function classifyClause(clause) {
   const tagType = normalizeTag(tag);
   const hasQuestion = QUESTION_RE.test(text);
   const hasDefer = DEFER_RE.test(text);
-  const hasAction = ACTION_RE.test(text);
+  // B1（2026-08-29）：词表命中 ∪ 热词命中（热词=LLM 兜底已确认过的动作词，见 hotwords.js）
+  const hasAction = ACTION_RE.test(text) || hasHotwordAction(text);
   const hasPlan = PLAN_RE.test(text);
   const hasStrongExec = STRONG_EXEC_RE.test(text);
+  // A3（阶段一）：@文件引用信号 + 处理动词 → 执行分点（用户用 @ 引用文件即"处理它"）
+  const hasAtRef = AT_REF_RE.test(text) && AT_ACTION_RE.test(text);
 
   let type = "info";
   let ambiguous = false;
@@ -198,9 +227,17 @@ function classifyClause(clause) {
     type = "status";
   } else if (hasDefer && hasAction) {
     type = "plan";
-  } else if (hasPlan && !hasStrongExec) {
+  } else if (hasAction && hasPlan && !SPECIFIC_ACTION_RE.test(text)) {
+    // 只有宽泛动作词（执行/开始/进行…）+ 方案词 → 方案请求（"给出执行方案"≠执行指令）
     type = "plan";
   } else if (hasAction) {
+    // A1（2026-08-28 阶段一）：动作词优先于方案词——"将建议书内容转化到业务通告中"
+    // 含"建议"（PLAN_RE）却被判 plan 导致无执行分点（真实事故根因）；有明确动作词即执行分点。
+    type = "execute";
+  } else if (hasPlan && !hasStrongExec) {
+    type = "plan";
+  } else if (hasAtRef) {
+    // 词表未命中但含 @文件引用 + 处理动词：判执行分点（词表盲区治本方向之一）
     type = "execute";
   } else if (hasPlan) {
     type = "plan";

package/lib/core/judge.js

@@ -83,3 +83,75 @@ export async function judgeViolation(ctx, state, sessionId, violation, text) {
     return { action: "unavailable", note: `裁决调用失败：${error instanceof Error ? error.message : String(error)}` };
   }
 }
+
+/**
+ * 批量裁决（0.5.11，用户定稿"频率不高"假设打穿修复）：一次回复的全部嫌疑 → **一次** LLM 调用、
+ * **一次**预算消耗、对每条嫌疑给独立判定。
+ * 背景：此前 deliverSuspects 对每条嫌疑单独 judgeViolation（每条一次 LLM + 一条预算）——长会话
+ * 大量嫌疑一天 200+ 次调用，50/日预算早上就满（judge-unavailable 89 条实证）；单次调用聚合后，
+ * "一次回复一次裁决"才是设计时"裁决频率不高"的真实粒度。
+ * @returns {Promise<Array<{violation, verdict}>>} 每条嫌疑对应一个 verdict（deliver/suppress/unavailable）
+ */
+export async function judgeViolationsBatch(ctx, state, sessionId, violations, text) {
+  if (!Array.isArray(violations) || violations.length === 0) return [];
+  const bKey = judgeBudgetKey(sessionId);
+  const budget = state.judgeBudget?.get(bKey) || { count: 0 };
+  if (budget.count >= JUDGE_DAILY_LIMIT) {
+    return violations.map((v) => ({ violation: v, verdict: { action: "unavailable", note: `裁决日预算已满（${JUDGE_DAILY_LIMIT}/日/会话）` } }));
+  }
+  try {
+    const route = await resolveRoute(ctx);
+    if (!route) return violations.map((v) => ({ violation: v, verdict: { action: "unavailable", note: "无法解析模型路由（追随会话模型解析失败）" } }));
+    // 一次性列出全部嫌疑（编号+规则+提示），一次判定
+    const list = violations.map((v, i) => {
+      const rawCfg = Array.isArray(state.configs) ? state.configs.find((c) => String(c.ruleId) === String(v.ruleId)) : undefined;
+      return [
+        `[${i + 1}] 规则 ${v.ruleId}（${v.title}）`,
+        `检测提示：${String(v.reason || "")}`,
+        `规则正文：${rawCfg?.body || "(未提供)"}`
+      ].join("\n");
+    }).join("\n\n");
+    const prompt = [
+      "你是 DSH 规则裁决器。判断下面这段【执行者回复】是否符合下列【每条规则】。只输出 JSON，不要其他内容。",
+      'JSON 格式：{"results": [{"index": 1, "violated": true|false, "note": "一句话理由"}, ...]}',
+      "判定要点：",
+      "1. 回复若是在表达合规声明（如“我不再/将避免/规则 X 已自证/无重复推销”）或引述规则文本——violated=false；",
+      "2. 只有确实发生规则禁止的行为才 violated=true；",
+      "3. 拿不准时给出倾向性判断（false 偏不打扰）；",
+      "4. 每条嫌疑都给独立判定，index 对应下面列号。",
+      "嫌疑列表：",
+      list,
+      "执行者回复：",
+      text,
+      "只输出 JSON。"
+    ].join("\n");
+    const messages = [{ role: "user", content: [{ type: "text", text: prompt }] }];
+    let out = "";
+    for await (const chunk of ctx.llm.stream({
+      provider: route.provider,
+      model: route.model,
+      messages,
+      maxTokens: 800,
+      temperature: 0
+    })) {
+      if (chunk && chunk.type === "text-delta" && typeof chunk.text === "string") out += chunk.text;
+    }
+    budget.count += 1;
+    state.judgeBudget.set(bKey, budget); // 一次调用 = 一条预算（聚合粒度，而非逐条）
+    const parsed = parseJsonOutput(out);
+    const results = Array.isArray(parsed?.results) ? parsed.results : [];
+    return violations.map((v, i) => {
+      const r = results.find((x) => Number(x?.index) === i + 1);
+      return {
+        violation: v,
+        verdict: {
+          action: r?.violated === true ? "deliver" : "suppress",
+          note: typeof r?.note === "string" ? r.note.slice(0, 120) : "",
+          model: route.model
+        }
+      };
+    });
+  } catch (error) {
+    return violations.map((v) => ({ violation: v, verdict: { action: "unavailable", note: `批量裁决调用失败：${error instanceof Error ? error.message : String(error)}` } }));
+  }
+}

package/lib/core/label-fingerprint.js

@@ -0,0 +1,145 @@
+// label-fingerprint.js - 打标命令指纹记忆（F2，0.5.12）
+// 目标：`/guard label ERR-xxx incorrect` 后，同指纹命令直接放行并记 label-hits
+// 审计；持久化到 ~/.dsh/rule-engine-labels.json。
+// 安全规格（重证报告 §3.2 补充）：
+//  - 开关/写参数（-Recurse/-Force 等）**必须保留**在指纹中——只归一化无害部分；
+//  - 破坏类命令（rm/move/Remove-Item/irm/iwr 等）**永不进指纹放行**；
+//  - 持久化带 TTL（默认 7 天）+ 可撤销（/guard label clear <fingerprint>）。
+// 纯函数，可独立测试；不依赖 Cordis。
+import { readFileSync, writeFileSync } from "node:fs";
+import { normalizePath } from "./authorization.js";
+
+/**
+ * 命令指纹归一化规则。
+ * 保留：命令名（首个 token 的小写规范形式）、开关类参数（-x/--xx）、位置参数中的"参数名前缀"（= 左侧）。
+ * 归一化（无害化）：路径前缀（盘符/工作区路径）、时间戳、随机串、引号、大小写、空格压缩。
+ */
+export function fingerprintCommand(command) {
+  const s = String(command || "").trim();
+  if (!s) return "";
+  // 只取主命令链的第一段（; | & 换行之后的副作用不在本命令指纹范围内——由守卫整体判定）
+  const head = s.split(/[;|&\r\n]/)[0].trim();
+  // 去除路径前缀（盘符路径/引号包裹路径 → 只保留最后一段 basename 与扩展名；目录变化不影响指纹）
+  const depathed = head
+    .replace(/(?:\\?['"]?[A-Za-z]:[\\/][^'"\s]*|['"][^'"]+|\\\/?) /g, " ")
+    .replace(/\b(path|pathprefix|workdir)\s*[=:]\s*(?:['"]?[^'"\s]+['"]?)/gi, "")
+    .replace(/[\\/](?:node_modules|projects|workspace)[\\/][^'"\s]*/gi, " ")
+    .replace(/[\\/]+/g, "/");
+  // 去除时间戳/随机串（8-16 位十六进制/数字串）
+  const denormalized = depathed.replace(/\b[0-9a-f]{8,16}\b/gi, "<TS>").replace(/\b\d{6,}\b/g, "<N>");
+  // 规范形式：小写 + 空白压缩
+  const canonical = denormalized
+    .toLowerCase()
+    .replace(/\s+/g, " ")
+    .replace(/\s*([=&])\s*/g, "$1")
+    .trim();
+  return canonical || "";
+}
+
+/** 是否破坏类命令（永不进指纹放行）——写/删除/移动/网络下载类 */
+export function isDangerousCommand(command) {
+  const s = String(command || "").toLowerCase();
+  return /(?:remove-item|rm(?:dir)?\b|del(?:ete)?\b|move-item|move\b|copy-item|cp\b|mv\b|irm|iwr|\bcurl\b|\bwget\b|invoke-exp(?:ression)?|iex\b|new-item|set-content|add-content|out-file|rename-item|clear-content|git\s+(?:push|commit|reset|checkout|clean))/i.test(s);
+}
+
+/** 从命令文本提取可保留的"写/开关参数"（保留在指纹里，防止 -Recurse 被归一化放行） */
+export function extractSignificantParams(command) {
+  const s = String(command || "");
+  // 开关：-x / --xx / -Force / -Recurse 等（含 = 值）
+  const flags = [];
+  const flagRe = /(?:^|\s)(--?[A-Za-z][\w-]*)(?:(?:=([^\s]+))|(\s+[^\s-][^\s]*\s*))?/g;
+  let m;
+  while ((m = flagRe.exec(s))) {
+    if (m[1]) flags.push(m[1].toLowerCase());
+  }
+  return flags;
+}
+
+/**
+ * 计算放行指纹 = 命令骨架 + 保留参数（开关原样 + 位置参数的"名称=值"对）。
+ * @returns {string} 指纹字符串（稳定、可比较）；空串表示不可指纹化
+ */
+export function labelFingerprint(command) {
+  const cmd = String(command || "").trim();
+  if (!cmd) return "";
+  if (isDangerousCommand(cmd)) return ""; // 危险命令永不进指纹（返回空 = 不可放行）
+  const canonical = fingerprintCommand(cmd);
+  if (!canonical) return "";
+  const params = extractSignificantParams(cmd).sort();
+  return `${canonical}|flags=${params.join(",")}`;
+}
+
+/** 打标台账记录结构 */
+export function labelEntry(fingerprint, label, sid, now = Date.now(), ttlMs = 7 * 24 * 60 * 60 * 1000) {
+  return { fingerprint, label, session: sid || "global", at: now, expiresAt: now + ttlMs };
+}
+
+/** 从原始 JSON 解析台账（容错：损坏返回空数组 + 旧格式兼容） */
+export function parseLabels(raw) {
+  try {
+    const arr = JSON.parse(raw || "[]");
+    if (!Array.isArray(arr)) return [];
+    return arr
+      .map((it) => {
+        if (typeof it === "string") return { fingerprint: it, label: "incorrect", session: null, at: null, expiresAt: null };
+        if (it && typeof it.fingerprint === "string") {
+          return {
+            fingerprint: it.fingerprint,
+            label: typeof it.label === "string" ? it.label : "incorrect",
+            session: typeof it.session === "string" ? it.session : null,
+            at: typeof it.at === "number" ? it.at : null,
+            expiresAt: typeof it.expiresAt === "number" ? it.expiresAt : null
+          };
+        }
+        return null;
+      })
+      .filter(Boolean);
+  } catch {
+    return [];
+  }
+}
+
+/** 持枪裁判：一份台账中某指纹是否命中"incorrect 放行"（且未过期） */
+export function labelsAllowFingerprint(rows, fingerprint, now = Date.now()) {
+  if (!fingerprint) return false;
+  return rows.some((r) => r && r.fingerprint === fingerprint && r.label === "incorrect" && (!r.expiresAt || r.expiresAt > now));
+}
+
+/** 写台账（保留未过期 + 去重：同指纹同标签更新 at/expiresAt） */
+export function serializeLabels(rows, now = Date.now()) {
+  const keep = rows.filter((r) => r && r.fingerprint && (!r.expiresAt || r.expiresAt > now));
+  // 同指纹同 label 只保留最新（去重）
+  const map = new Map();
+  for (const r of keep) map.set(`${r.fingerprint}|${r.label}`, r);
+  return JSON.stringify([...map.values()], null, 2);
+}
+
+/** 持久化路径（与 toolsWhitelistFilePath 同模式） */
+export function labelsFilePath(dshHome) {
+  return `${dshHome}/rule-engine-labels.json`;
+}
+
+/** 从磁盘加载台账（纯函数输入输出：读取失败 → 空数组） */
+export function loadLabelsFromDisk(filePath) {
+  try {
+    return parseLabels(readFileSync(filePath, "utf8"));
+  } catch {
+    return [];
+  }
+}
+
+/** 写磁盘（失败静默——审计链路不因台账读写失败而阻断） */
+export function saveLabelsToDisk(filePath, rows) {
+  try {
+    writeFileSync(filePath, serializeLabels(rows), "utf8");
+    return true;
+  } catch {
+    return false;
+  }
+}
+
+/** 去重复存：同指纹同 label 记录只留最新一条（新增/更新均用） */
+export function upsertLabel(rows, entry) {
+  const others = rows.filter((r) => !(r.fingerprint === entry.fingerprint && r.label === entry.label));
+  return [...others, entry];
+}

package/lib/core/lexicon.js

@@ -0,0 +1,72 @@
+// lexicon.js - 规则 22 语义判定的唯一词表源（0.5.11，用户拍板"唯一词表源由引擎维护"）。
+// 背景（2026-08-28 全量审查）：正文曾手抄词表（L144/148），引擎内部 intent.js 与 authorization.js
+// 又各写一份（许可词在 authorization 出现 3 次：AUTH_WORDS_RE/APPROVAL_RE/APPROVAL_EXEC_RE）——
+// 同语义多处定义 = 漂移根源。本文件 = 五表唯一源：
+//   ① 执行许可词表（许可词 + 执行语，两者缺一才不构成许可）
+//   ② 执行动作词表（意图/授权判定共用）
+//   ③ 疑问词表（问询分点判定）
+//   ④ 状态信号词表（"我已重启/好了/done"等，状态信号不触发无执行分点）
+//   ⑤ 豁免工具清单（规则 22 ③ "只读/展示/ask/todo_write 等豁免"的明细）
+// 调用方（intent.js/authorization.js）一律从这里 import，禁止再定义第二份。
+// 设计原则：词表可以在，但只能有一份；语义变更改这里，正文措辞改 AGENTS.md，二者成对。
+
+// ── ① 执行许可词表 ──
+// 许可词：用户确认/同意/批准/授权/可以/允许/好/行/ok/yes 等 + 执行语（即可/现在/马上/…）
+// 组合规则：许可词 [0,16 字符内] 执行语 → 构成执行许可；纯"确认方案/理解/方向"不构成。
+export const APPROVAL_WORDS_RE = /(?:确认|同意|批准|授权|可以|允许|好|行|ok|yes)/i;
+export const EXEC_FOLLOW_RE = /(?:即可|现在|马上|继续|开始|执行|落盘|去做|实施|进行|删除|修改|改|补|修|做|写入|创建|安装|发布|下载|提交|运行)/i;
+export const APPROVAL_EXEC_RE = new RegExp(
+  APPROVAL_WORDS_RE.source.replace(/\\\//g, "/") +
+  "[^\\n]{0,16}" +
+  EXEC_FOLLOW_RE.source.replace(/\\\//g, "/"),
+  "i"
+);
+// 纯方案/理解/方向确认（不构成执行授权）
+export const PLAN_ONLY_RE = /确认方案|确认理解|确认方向|确认无误|理解了|明白方向|了解|没问题|收到/i;
+
+// ── ② 执行动作词表（intent.ACTION_RE / authorization.EXEC_ACTION_RE 的合并唯一源）──
+// 注意：单一表同时服务"意图判定"（这句话是不是执行分点）与"ask 结果批准判定"（选择=批准），
+// 语义一致，不另分裂；新增动作词只改这里。
+export const ACTION_WORDS_RE =
+  /执行|跑|落|落盘|认可|开始|写入|写(?:下|好|完|成|作|文件)?|保存|另存为|删除|修改|改(?:为|成|动|一下|进|善)?|补(?:上|齐|全|充|写)?|修(?:改|复|一下)?|做(?:好|完|一下)?|创建|安装|发布|下载|提交|运行|修复|替换|重建|启动|重启|停止|卸载|开始改|开始写|改进|优化|增强|完善|升级|迁移|整理|调整|实现|实施|添加|增加|补充|重写|改造|调试|排查|处理|解决|继续|推进|更新|部署|核实|梳理|诊断|对齐|跟进|落实|设计并实现|调查|开工|动手|进行|完成|选择|采纳|选定|产出|编写|撰写|生成|审查|阅读|查看|核对|检查|审阅|复核|查阅|验证|对照|调研|研究|转化|转换|读取|读(?:出|一下|一遍|完|出来)?|展示|打开|提取|还原|导入|导出|清理|移除|清空|残留|合入|合并|并入|融合|整合|起草|开展|搭建|重构|兼容|投产|校验|核验|过一遍|跑一遍|复验/i;
+
+// 强执行语（直接执行指令，不等授权确认——用于意图置信提升）
+export const STRONG_EXEC_RE =
+  /执行吧|开始执行|直接执行|立即执行|现在执行|马上执行|请落盘|开始写|开始改|执行以下|执行第|执行这个|执行它|落盘|开始蒸馏|开始迁移|开始修复|开始改进|开始优化|采纳|选定/i;
+
+// 指令式动作词（用户命令式指令 = 视为授权执行；与批准词不同源、用途不同）
+export const DIRECTIVE_WORDS_RE =
+  /(?:请\s*)?(?:删除|移除|修改|编辑|替换|写入|写(?:下|好|完|成|作|文件)?|保存|另存为|创建|复制|移动|执行|运行|下载|提交|推送|备份|安装|卸载|清理|启动|停止|重建|修复|改(?:为|成|动|一下)?|补(?:上|齐|全|充|写)?|修(?:改|复|一下)?|做(?:好|完|一下)?|实施|推进|继续|处理|解决)/i;
+
+// 拒绝词（授权/批准判定用）
+export const REJECTION_WORDS_RE = /(?:不允许|拒绝|不要|不同意|取消(?:这次|并停)?|(?:^|[^是])否(?:[^则]|$)|no(?!tes?|thing|pe)\b|\bno\b|No)/i;
+
+// ── ③ 疑问词表（问询分点判定；authorization.isQuestionMessage 同源）──
+export const QUESTION_WORDS_RE =
+  /[？?]|吗|为什么|是否|能不能|行不行|难道|是不是|能否|怎么|为何|是否要|影响吗|可以吗|要不要|需不需要/;
+
+// ── ④ 状态信号词表（"我已重启/已输入/好了/done"；触发时不判"无执行分点"）──
+export const STATUS_SIGNAL_WORDS_RE =
+  /(?:我已|我已经|我(?:们)?(?:刚)?(?:重启|输入|执行|完成|搞定|做完|弄好|输完|输好))(?:了|完毕|完成|好)?|(?:^|\s)(?:已|已经)?(?:重启|输入|执行|完成|搞定|做完|弄好|输完|输好|unlock)(?:了|完毕|完成|好)?(?:\s|$)|(?:^|\s)已经(?:刚)?(?:重启|输入|执行|完成|搞定|做完|弄好|输完|输好|unlock)[^\s]*(?:\s|$)|(?:^|\s)(?:重启|输入|命令|操作)(?:完成|完毕|好了|已输入)(?:\s|$)|(?:^|\s)好了(?:\s|$)|^(?:done|restarted|finished|entered)$/i;
+// 危险动作词：命中则不当作状态信号（防"我已删除了某文件"被当成就绪确认）
+export const DANGEROUS_ACTION_WORDS_RE = /删除|覆盖|移除|清空|卸载|remove-item|rm\s+-r|del\s+/i;
+
+// ── ⑤ 豁免工具清单（规则 22 ③ "只读/展示/ask/todo_write 等豁免"明细）──
+// 只读/展示/询问/产物类工具在"无执行分点"回合也可调用（引擎 tool-catalog 的 analysis/artifact 分类
+// 为总开关；本清单 = 规则正文"等豁免"所指的可枚举集，与 tool-catalog 一致，此处集中注释成对）。
+export const EXEMPT_TOOL_NAMES = new Set([
+  // 只读/查询
+  "read", "grep", "glob", "read_image",
+  // 视觉分析
+  "vision_describe", "vision_detect", "vision_ground", "vision_colors", "vision_ocr", "vision_bootstrap",
+  // 状态查询
+  "job_list", "job_output", "list_agents", "get_goal", "schedule_list",
+  "engram_recall", "engram_detail", "engram_model",
+  "esr_status", "esr_ready", "esr_model",
+  // 网络只读
+  "web_fetch", "web_search",
+  // 询问/展示/产物
+  "ask_user_question", "todo_write", "visualize", "report",
+  // inspect 只读
+  "cordis_inspect_list", "cordis_inspect_query", "cordis_inspect_self"
+]);

package/lib/core/llm-intent.js

@@ -9,10 +9,12 @@ import { createHash } from "node:crypto";
 import { parseUserIntents, shouldDenyMutation } from "./intent.js";
 import { resolveRoute, callLlm } from "./llm-understander.js";
 import { audit } from "./audit.js";
+import { learnHotword } from "./hotwords.js";
+import { ACTION_WORDS_RE } from "./lexicon.js";
 
 const LLM_PROMPT = [
   "你是 DSH 规则引擎的意图判定器。输出严格 JSON，不要输出其他内容：",
-  '{"hasExecute":bool,"hasPlan":bool,"hasQuestion":bool,"ambiguous":bool,"reason":"一句话","confidence":0-1}',
+  '{"hasExecute":bool,"hasPlan":bool,"hasQuestion":bool,"ambiguous":bool,"reason":"一句话","confidence":0-1,"actionWord":"句中明确动作词(2-6字，如：通读、校对、梳理；无明确动作词则空串)"}',
   "规则：hasExecute=消息含明确执行指令（动作词+非疑问句）；hasQuestion=含疑问/征询；hasPlan=要方案/评估/设计；ambiguous=同一消息内标签或语气冲突（如【执行】标签+疑问正文）；confidence=你的把握。",
   "待判定用户消息：{{TEXT}}"
 ].join("\n");
@@ -99,8 +101,14 @@ export async function enrichIntentWithLlm(ctx, state, sid, text, cfg) {
       hasQuestion: Boolean(out.hasQuestion),
       ambiguous: Boolean(out.ambiguous),
       reason: String(out.reason || "").slice(0, 120),
-      confidence: Number(out.confidence) || 0
+      confidence: Number(out.confidence) || 0,
+      actionWord: String(out.actionWord || "")
     };
+    // B1（2026-08-29 方案甲）：LLM 明确判 execute 且词表未命中 → 学动作词入热词表
+    //（下次同词词表直接命中，不再依赖 LLM；学习失败静默，不影响主流程）
+    if (verdict.hasExecute && verdict.actionWord && !ACTION_WORDS_RE.test(text)) {
+      learnHotword(verdict.actionWord);
+    }
     const ms = Date.now() - started;
     session.turn.llmIntent = { raw: text, verdict, at: Date.now(), ms };
     session.turn.intentState = "llm-ready";

package/lib/core/llm-understander.js

@@ -5,6 +5,21 @@
 export async function resolveRoute(ctx) {
   if (!ctx?.llm) return null;
   try {
+    // 0.5.11（用户定稿，2026-08-28）：后台判定（judge/llm-intent/规则理解）必须用
+    // **当前会话模型**，而不是"模型列表第一个"（此前列表第一=dsf 基础模型，与主会话
+    // dsfve 能力不一致——裁决结果与主会话判断脱节）。
+    // 优先级：① 官方当前模型选择（agentDefaultModel.currentSelection：provider+model）
+    //          ② 进程环境变量（DSH_LLM_MODEL/DSH_LLM_PROVIDER，显式覆盖）
+    //          ③ 模型列表第一个（原兜底）
+    try {
+      const sel = ctx.get?.("agentDefaultModel")?.currentSelection?.();
+      if (sel && typeof sel.model === "string" && sel.model.length > 0) {
+        const provider = sel.provider || process.env.DSH_LLM_PROVIDER || "";
+        if (provider) return { provider, model: sel.model };
+      }
+    } catch {
+      // currentSelection 失败 → 继续走兜底
+    }
     const providers = ctx.llm.listProviders?.() || [];
     if (providers.length === 0) return null;
     // v0.5.7 修复（实弹抓到，2026-08-26）：必须用 provider 的 **id**（如 "deepseek-official"）调