dsh-rule-engine 0.6.2 → 0.6.4

package/README.md

@@ -1,11 +1,13 @@
 # dsh-rule-engine
 
 ![npm](https://img.shields.io/npm/v/dsh-rule-engine)
-![version](https://img.shields.io/badge/version-0.6.2-blue)
+![version](https://img.shields.io/badge/version-0.6.4-blue)
 
-DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯一真相源，自动解析规则四要素与执行等级，再通过「工具守卫 + 文本检测 + 时序检查 + 审计台账」执行用户规则，而不是内置一套与用户无关的安全清单。
+DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯一真相源，自动解析规则四要素与执行等级，再通过「工具守卫 + 文本检测 + 时序检查 + 审计台账」执行用户规则，而不是内置一套与用户无关的安全清单。**当前版本 0.6.4**（**适用环境：DSH `0.1.5-rc.2`**——本机实测：装配成功 + 冷加载探针 PASS + `npm test` ALL TESTS PASSED + `npm run verify` 13 层全绿；兼容声明面见 `package.json` 的 `dshCompat`：`>=0.1.0-rc.3 <0.2.0`，覆盖 0.1.5 线）。本版三项修复：**D2**（待决 ask 提升为会话级——修复"用户消息与 ask 答复并发"致授权全部未登记）+ **B1/C1**（规则 24 官方 bundle 豁免兑现；装配不一致的收敛豁免）+ **A2**（ask 授权登记改复数路径、`authMatches` 支持多路径匹配）。
 
-> 当前版本 **0.6.2**（0.1.2-rc.1 适配：Remote 新合同（typert-protocol `Remote(undefined, …)` 形态，typeof-null 陷阱修复）+ peer 锚扩 `>=0.1.2-rc.0`；白名单 3 轮扩充（gh 只读态 / `gh api` 只读 / `git ls-remote` / `cmdkey /list` + Do- 结构词回归修复）；E7 豁免预插（release-plugin bump 后自动追加 pnpm minimumReleaseAgeExclude——⑬ 口径防发布后红灯窗口，单源 `scripts/lib/pnpm-exempt.mjs`））。本插件面向"规则机器化执行"：规则写在 AGENTS.md 里，引擎负责让它们真的被遵守；所有规则动态解析，规则增删改后无需重写插件。
+> 当前版本 **0.6.3**（0.1.2-rc.1 适配：Remote 新合同（typert-protocol `Remote(undefined, …)` 形态，typeof-null 陷阱修复）+ peer 锚扩 `>=0.1.2-rc.0`；白名单 3 轮扩充（gh 只读态 / `gh api` 只读 / `git ls-remote` / `cmdkey /list` + Do- 结构词回归修复）；E7 豁免预插（release-plugin bump 后自动追加 pnpm minimumReleaseAgeExclude——⑬ 口径防发布后红灯窗口，单源 `scripts/lib/pnpm-exempt.mjs`））。本插件面向"规则机器化执行"：规则写在 AGENTS.md 里，引擎负责让它们真的被遵守；所有规则动态解析，规则增删改后无需重写插件。
+>
+> **0.6.4（最新；取代上行版本号）**——**适用环境验证：DSH `0.1.5-rc.2`**（本机实测：装配成功 + 冷加载探针 PASS + `npm test` ALL TESTS PASSED + `npm run verify` 13 层全绿；兼容声明面见 `package.json` 的 `dshCompat`：`>=0.1.0-rc.3 <0.2.0`，覆盖 0.1.5 线）。本版三项修复：**D2**（待决 ask 提升为会话级——修复"用户消息与 ask 答复并发"致授权全部未登记）+ **B1/C1**（规则 24 官方 bundle 豁免兑现；装配不一致的收敛豁免——守卫不再拦下唯一能收敛的动作）+ **A2**（ask 授权登记改复数路径、`authMatches` 支持多路径匹配——修复"多路径只取一个、取最长取到次要路径"）。
 
 ## 项目背景
 
@@ -23,7 +25,7 @@ DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯
 本插件定位：**通用规则执行引擎**——任何用户的 AGENTS.md 规则集均可使用；本机工作流偏好仅作默认兜底（配置层），不含任何强制绑定。
 
 - **声明式绑定**：规则正文可写 `<!-- handler: xxx -->`（或经插件配置 `handlerOverrides: {规则编号: 执行器名}`）显式绑定引擎执行器；未声明的规则按"纯自证"处理（参与匹配/自证提示，不参与机器硬拦）；
-- **执行器语义名**：声明/配置可写语义名（`approval`/`backup`/`inline-command`…），自动映射到内部执行器；直接写内部名（`rule12a-approval` 等）同样兼容；
+- **措施类型（kind）**：声明/配置写 kind 名（`approval`/`backup`/`inline-command`…）即绑定对应执行器；历史内部名（`rule12a-approval` 等）经兼容别名表归一为同一 kind，**旧配置与旧规则正文无需改动**；
 - **禁用语义**：管理器禁用的规则以"禁用占位"存在——`/guard rules` 显示"（已禁用）"，不参与硬拦/纠察；恢复启用后自动重新生效（禁用 ≠ 删除，不再"消失"）；
 - **无 AGENTS.md 也可用**：无规则文件时引擎零错加载、零规则、零误拦（发布门禁验证）；
 - **本机偏好表下沉配置**：内置默认偏好表已从代码移除——通用部署=空表（代码零本机编号）；本机偏好经 `rule-engine.json` 的 `handlerDefaultMap` 提供（可整体替换/清空，引擎升级不丢）；
@@ -70,6 +72,151 @@ DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯
 
 **迁移（0.5.x → 0.6.0）**：0.6.0 前默认生效的守卫在升级后**不再默认激活**——需要本机行为（统一入口保护 / 手册豁免 / M8 记忆链 / 追加受保护文件）时，按上表把配置段并入本机 `rule-engine.json`。**通用用户无需任何配置**；未配置时相关守卫路径不存在，直写任意文件不受引擎限制（这是 0.6.0 的设计决定：发布物无权限制其他用户的写入方式；本机约定属于本机配置，不属于通用引擎）。
 
+## 词表配置（lexicons / patterns / criticismPersonal / dualtrack）
+
+引擎的行为词表与检测正则**全部可配置**：代码里只留机制与语言无关的内置默认，中文/本机词表放在 `rule-engine.json`。
+
+### 分界：通用层 vs 个人层
+
+| 层 | 在哪 | 内容 | 谁维护 |
+|---|---|---|---|
+| **通用层** | `lib/` 代码（随包发布） | 机制 + 语言无关最小集（英文核心词） | 插件作者 |
+| **个人层** | `rule-engine.json` | 你的语言/习惯词表（如中文） | 你 |
+
+**Override 语义**（三个键一致）：
+
+- 键**缺省**（不写）→ 用内置默认（通用最小集）；
+- 键**存在** → 按键**完全替换**（不做合并，配置即真相）；
+- 写 `{}` → 回退内置默认；**删键** → 同样回退。
+
+> 配置在插件启动时读取。改完保存后**重载插件**（或重启 DSH）生效。
+
+### 三个配置键
+
+#### 1. `lexicons` —— 行为词表（11 键）
+
+判定“用户这句话是什么意思”用的词表：
+
+| 键 | 作用 |
+|---|---|
+| `approval` | 执行许可词（确认/同意/可以…） |
+| `exec_follow` | 执行语（即可/现在/马上…） |
+| `approval_exec` | 派生：许可词 + 16 字内 + 执行语（可显式覆盖） |
+| `plan_only` | 纯方案/理解确认（不算授权） |
+| `action_words` | 执行动作词（意图判定与授权判定共用） |
+| `strong_exec` | 强执行语（直接执行指令） |
+| `directive` | 指令式动作词 |
+| `rejection` | 拒绝词 |
+| `question` | 疑问词 |
+| `status_signal` | 状态信号词（“我已重启”） |
+| `dangerous_action` | 危险动作词（命中则不算状态信号） |
+
+```json
+{
+  "lexicons": {
+    "action_words": "执行|跑|落盘|重构|部署",
+    "question": "[？?]|吗|为什么|怎么"
+  }
+}
+```
+
+#### 2. `patterns` —— 检测正则（正则键 + 映射键 + 数值键）
+
+文本健康检测（规则 2 时间 / 5 来源 / 7 承诺 / 11 术语 / 16 建议 / 19 / 21 / 22 / 23 / 27 / 31）与规则激活词。
+
+- **正则键**：值是正则 source 字符串，如 `"time_words": "今天|昨天|刚才"`；
+- **映射键** `self_cert_hints`：值是对象 `{ "14": "总结|汇报", "31": "撞墙|盲试" }`（键=规则编号）；
+- **数值键** `criticism_caps_ratio`：0–1 的阈值（英文全大写比率，默认 0.6）。
+
+```json
+{
+  "patterns": {
+    "time_words": "今天|昨天|刚才",
+    "promise_words": "包在我身上|肯定能|万无一失",
+    "self_cert_hints": { "14": "总结|汇报|完成" },
+    "criticism_caps_ratio": 0.6
+  }
+}
+```
+
+#### 3. `criticismPersonal` —— 本机辱骂词枚举（数组）
+
+批评检测的**个人词表**（通用层只留语言无关形态：连续问号/叹号、全大写比率）。
+
+```json
+{ "criticismPersonal": ["示例词一", "示例词二"] }
+```
+
+#### 4. `dualtrack` —— 分层残留词表（**发布者私有**）
+
+它不是行为词表，而是**发布门禁**用的「我这台机器长什么样」清单：`dualtrack-check`（B3 层）与 `local-residue-scan`（B2 层）用它扫 `lib/`，看有没有夹带本机信息（用户名、本机路径、私人概念等）。
+
+| 键 | 作用 |
+|---|---|
+| `markers` | 本机标识词表（字符串数组，每项一个待扫串） |
+| `whitelist` | 本机豁免（`files` 整文件 / `strings` 精确串）——与包内 `scripts/dualtrack-whitelist.json` 合并生效 |
+
+```json
+{
+  "dualtrack": {
+    "markers": ["<你的用户名>", "<你的本机路径片段>"],
+    "whitelist": { "files": [], "strings": [] }
+  }
+}
+```
+
+**加载优先级**（取先命中者）：`rule-engine.json` 的 `dualtrack.markers` → 环境变量 `DUALTRACK_MARKERS` 指向的文件（每行一个，`#` 开头为注释）→ 包内 `scripts/local-residue-markers.txt`（仅示例）。
+
+> **三者皆空 = REFUSED**（fail-closed）：空词表不会被当成「没有残留」，而是直接拒绝执行——**空 txt 文件同样不作为词表源**。闸本身怎么跑，见「开发与测试」章节的「分层残留闸（dualtrack）」。
+
+### 「加一个词」操作路径
+
+1. 打开 `~/.dsh/rule-engine.json`（或你 DSH_HOME 下的同名文件）；
+2. 在 `lexicons` / `patterns` 里找到对应键，用 `|` 追加词（正则元字符需转义，如 `\\.`）；
+3. 保存 → 重载插件（或重启 DSH）；
+4. 想回滚：删掉该键（或整个键值）→ 恢复内置默认。
+
+> **验证**：`/guard status` 查看配置加载是否正常；非法正则/未知键会在启动时记审计（`/guard log` 可查），**不会静默半套生效**。
+
+## 质量账本（可选，默认关）
+
+给**每个安装者**的私有质量统计：同类任务做得多了，能看出返工率是升是降。
+
+### 是什么
+
+| 层 | 内容 | 归属 |
+|---|---|---|
+| 机制 | `lib/core/quality-ledger.js`（`taskSignature` / `recordQuality` / `qualityTrend`） | 随包发布 |
+| 数据 | `~/.dsh/quality-ledger.jsonl`（每单一行） | **本机数据，永不发布** |
+| 配置 | `rule-engine.json` 的 `qualityLedger` 键 | 你的配置 |
+
+### 怎么开
+
+```json
+{ "qualityLedger": { "enabled": true, "window": 5 } }
+```
+
+- `enabled` **默认 false**——不开**不会产生任何文件**；
+- `window`：趋势比较窗口（最近 N 单 vs 之前 N 单，默认 5）。
+
+### 怎么看
+
+按签名查询趋势（同签名 = 同类任务）：
+
+```js
+import { taskSignature, qualityTrend } from "dsh-rule-engine/lib/core/quality-ledger.js";
+const sig = taskSignature("给插件加一个设置项", ["npm test 全绿"]);
+console.log(qualityTrend(sig).summary);   // 方向：rework 改善 / 持平 / 恶化
+```
+
+每单记录的指标：`rework`（返工数）、`interventions`（介入数）、`frictions`（摩擦数=引擎拦截次数）、`tokens`。
+
+### 隐私说明
+
+**落盘的是单向指纹，不是原文。** 签名 = sha256(归一化内容) 取前 12 位；归一化规则（去引号 → 绝对路径替换为 `<path>` → 数字替换为 `<n>` → 折叠空白 → 小写）在机制层公开可审计。即使 `quality-ledger.jsonl` 被人看到，也只能知道「有个 12 位指纹的同类任务做过 N 次、返工趋势如何」，**看不出任务内容**。
+
+> 本机制**不拦截、不评分、不上传**——纯旁路统计。
+
 ## 注入噪音治理（0.5.6 / 0.5.7）
 
 只提醒真正值得提醒的事——这条原则贯穿 0.5.6 与 0.5.7：
@@ -96,7 +243,10 @@ DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯
 > 更早版本（0.1.0-0.5.5）与本机历史要点见 git 历史；各版本内部"用户定稿"等决策细节不再随发布物携带。
 
 | 版本 | 日期 | 要点 |
-| **0.6.2** | 2026-09-08 | fix(0.6.2): whitelist 3-round + 0.1.2 adaptation + peer-anchor 0.1.2 + E7 pre-plug wiring  |
+|---|---|---|
+| **0.6.4** | 2026-09-10 | **本版**：**D2**（待决 ask 提升为会话级——修复"用户消息与 ask 答复并发"致授权全部未登记）+ **B1/C1**（规则 24 官方 bundle 豁免兑现；装配不一致的收敛豁免——守卫不再拦下唯一能收敛的动作）+ **A2**（ask 授权登记改复数路径、`authMatches` 支持多路径匹配）。**适用环境验证 = DSH `0.1.5-rc.2`**（装配 + 冷加载探针 + `npm test` + `verify` 13 层全绿） |
+| **0.6.3** | 2026-09-09 | docs(readme): 词表配置章节补齐 dualtrack（markers/whitelist/加载优先级/空表 REFUSED） |
+| **0.6.2** | 2026-09-08 | fix(0.6.2): whitelist 3-round + 0.1.2 adaptation + peer-anchor 0.1.2 + E7 pre-plug wiring  |
 |---|---|---|
 | **0.6.1+（本地增强，未发版）** | 2026-09-07 | 只读豁免清单扩充（用户定调"纯只读顺畅"）：`gh api` 只读态（无 -X/--method/graphql/-F/-f 的段）、`gh release/issue/pr/run view`、`cmdkey /list`、`git ls-remote` 显式；写形态（gh api -F/graphql、git fetch、curl 下载、重定向落盘）保持拦截；26 用例全绿 + 语法体检 + 热重载生效（发版需 bump 0.6.2） |
 | **0.6.1** | 2026-09-07 | **B 档发布**：豁免预插（release-plugin bump 后自动追加 minimumReleaseAgeExclude——⑬ 口径防发布后红灯窗口）；豁免判定单源化（scripts/lib/pnpm-exempt.mjs 与 verify-all ⑬ 共享 + 4 单测）；viewFails 发布语境 STRICT 计 ❌；⑬ 头注释绝对口径 |
@@ -116,8 +266,11 @@ DSH 规则执行引擎 v3 的插件实现。它把 `~/.dsh/AGENTS.md` 当作唯
 
 ## 发行固定源
 
-- **0.6.2（当前）** 固定于 main Commit `89b165c`（`git checkout 89b165c` + 发布 bump 可复现 npm `dsh-rule-engine@0.6.2` 与 GitHub Release v0.6.2 同源代码——0.6.2 = 0.1.2-rc.1 适配（Remote 新合同 `Remote(undefined, …)` / peer 锚扩 `>=0.1.2-rc.0`）+ 白名单 3 轮扩充 + Do- 结构词回归修复 + E7 豁免预插机制上线）。
-- **0.6.1（当前）** 固定于 main Commit `051e2da`（`git checkout 051e2da` 可复现 npm `dsh-rule-engine@0.6.1` 与 GitHub Release v0.6.1 同源代码——0.6.1 = 豁免预插（release-plugin bump 后自动追加 pnpm minimumReleaseAgeExclude，⑬ 绝对口径防发布后红灯窗口——踩坑 18 镜像）+ 豁免判定单源化（scripts/lib/pnpm-exempt.mjs 与 verify-all ⑬ 共享，4 单测锁定）+ viewFails 发布语境 STRICT 计 ❌ + ⑬ 块头注释绝对口径（E1/E2/E3 收尾批）。
+> **0.6.4（当前）** —— 本版三项修复：**D2**（待决 ask 提升为会话级）/ **B1/C1**（规则 24 官方 bundle 豁免兑现 + 装配不一致的收敛豁免）/ **A2**（ask 授权登记改复数路径 + `authMatches` 多路径匹配）。**适用环境验证 = DSH `0.1.5-rc.2`**（装配 + 冷加载探针 + `npm test` + `verify` 13 层全绿）。**发布 commit 待三通道完成后回填**（届时 `git checkout <hash>` 可复现 npm `dsh-rule-engine@0.6.4` 与 GitHub Release v0.6.4 同源代码）。
+
+- **0.6.3（当前）** 固定于 main Commit `3e87f9d`（`git checkout 3e87f9d` 可复现 npm `dsh-rule-engine@0.6.3` 与 GitHub Release v0.6.3 同源代码——0.6.3 = 分层残留闸 `dualtrack-check`（判据 A：中文≠个人化）+ 词表全量配置化（lexicons / patterns / criticismPersonal / dualtrack 走 `rule-engine.json`）+ 第三批第 1 批文案层 + 三项门禁修复（`--init` 覆盖保护 / loader-smoke 中文夹具 / 中文目录顿号兼容）。
+- **0.6.2** 固定于 main Commit `92da194538fce2f56fa7c6712c70711865772686`（`git checkout 92da194538fce2f56fa7c6712c70711865772686` 可复现 npm `dsh-rule-engine@0.6.2` 与 GitHub Release v0.6.2 同源代码——0.6.2 = 0.1.2-rc.1 适配（Remote 新合同 `Remote(undefined, …)` / peer 锚扩 `>=0.1.2-rc.0`）+ 白名单 3 轮扩充 + Do- 结构词回归修复 + E7 豁免预插机制上线）。
+- **0.6.1** 固定于 main Commit `051e2da`（`git checkout 051e2da` 可复现 npm `dsh-rule-engine@0.6.1` 与 GitHub Release v0.6.1 同源代码——0.6.1 = 豁免预插（release-plugin bump 后自动追加 pnpm minimumReleaseAgeExclude，⑬ 绝对口径防发布后红灯窗口——踩坑 18 镜像）+ 豁免判定单源化（scripts/lib/pnpm-exempt.mjs 与 verify-all ⑬ 共享，4 单测锁定）+ viewFails 发布语境 STRICT 计 ❌ + ⑬ 块头注释绝对口径（E1/E2/E3 收尾批）。
 - **0.6.0** 固定于 main Commit `be5b8c93`（可复现 `dsh-rule-engine@0.6.0` 与 Release v0.6.0——0.6.0 = 本机集成层（localIntegrations 四键）+ 本机痕迹消号 + li-skipped/entry-script-missing 启动审计 + 发布门禁 B1/B2（readme-version-check / local-residue-scan，挂 verify-all/release-plugin/check:meta）+ check-tool-coverage 素材 fail-closed；词表文件 `scripts/local-residue-markers.txt` 为本机门禁工具，不入库、不进发布物（见 .gitignore / package.json files 排除）。固定源之后的提交仅限 README 指针文本）。
 
 ## 任务契约与反过度工程（可选）
@@ -248,10 +401,22 @@ dsh plugin --profile web add dsh-rule-engine
   - dsh-visualize（Nagi-ovo）
   - dsh-rules-manager（jilian-dsh）
   - dsh-vision-router、dsh-example-injector 等未列出的作者
+- **设计思想与机制来源（本项目直接内化/借鉴）**：
+  - stop-that-shit（lennney）：任务边界、反过度工程、预算与四类越界——任务契约模块的设计源头。
+  - dsh-agi-harness（yjh051108）：闸=最小决策单元、Wilson 下界、拒因即指路、自由面/盲区显式声明、任务签名+质量趋势（quality-ledger）、变异测试+棘轮。
+  - Claude Code 权限范式（Anthropic 官方文档）：默认询问、deny 永远赢、通配符规则只加不放。
+  - mattpocock/skills「writing-for-agents」：写给 agent 的文档方法论。
+  - dsh-zvec-grep（sugarforever）：后台任务型插件写法。
+- **升级与审查工具链**：
+  - oh-my-dsh / dsh-plugin-upgrade-skill（社区）：0.1.2 升级卡库与对策集。
+  - build-dsh-plugin（AI-Scarlett）：插件完备性审计。
+  - cordis-plugin-thinking-loop-guard（argszero）：纯思考空转的源码级判读。
 - **学习参考的社区文档/库作者**：
   - dsh-handbook（Electricitysheep）
   - SandBase deepseek-harness-handbook（sandbaseai）
+  - awesome-dsh-plugin / Oh! dsh（生态目录）
   - 以及 DSH 官方文档镜像与源码维护者
+- **贡献建议与实证的个人**：TheBuilderJR、Reximmortal1021、AI-Scarlett、ckcfcc、goatliamia 等。
 
 ## 免责声明
 
@@ -266,6 +431,12 @@ bash scripts/build.sh
 
 交付前体检（0.5.7 起）：`node scripts/verify-all.mjs`（七层：语法/单元/组合冒烟/工具箱覆盖/守卫链覆盖/关联一致性/真实判例）与 `node scripts/health-audit.mjs`（找茬）——详见「质量与验证」。
 
+**分层残留闸（dualtrack）**：`node scripts/dualtrack-check.mjs` 扫描 `lib/` 是否混入发布者私有内容（本机标识 / 个人规则描述），棘轮式**只许降不许升**；已挂 `npm run check:meta` 与 `verify-all.mjs` 第 ⑩′ 层自动调用。基线 `scripts/dualtrack-baseline.json` **随 git 仓库提供、不进 npm 包**：
+
+- **从 git clone 的贡献者无需任何操作**（基线已在仓库里）——**勿在有基线时跑 `--init`**，它会把当前计数覆盖为基线、棘轮当场失效；
+- **仅当基线缺失时**（如从 npm 包解压后跑门禁、或基线被删）首次运行 `node scripts/dualtrack-check.mjs --init` 生成；
+- 词表（哪些字符串算「本机残留」）来自 `rule-engine.json` 的 `dualtrack.markers` → `DUALTRACK_MARKERS` 环境变量 → 包内示例；三者皆空时 **REFUSED**（fail-closed，不会「以为配好了其实没配」）。
+
 发布：`node scripts/release-plugin.mjs <插件名> <版本号>`（一键 npm + git + GitHub Release；发布脚本随插件仓库管理——`scripts/release-plugin.mjs`；改发布脚本后须 `--dry-run` + 代码审查，注意 dry-run 不覆盖 git 段）。
 
 ## License

package/lib/core/audit.js

@@ -5,11 +5,14 @@
 // B2（2026-09-03）：判定来源可溯源字段约定（判例回灌前置）——
 //   verdictSource: "guard"（工具守卫 intercept，机器判定）| "lexicon"（词表直判/降级）
 //   | "judge"（LLM 裁决分流）| "llm-intent"（意图 LLM 兜底）；缺失 = 历史记录（无此字段）。
-import { appendFileSync, readFileSync, statSync, writeFileSync } from "node:fs";
+import { appendFileSync, mkdirSync, readFileSync, statSync, writeFileSync } from "node:fs";
+import { dirname, join } from "node:path";
 import { randomUUID } from "node:crypto";
 import { auditFilePath } from "./paths.js";
 
-const LOG_MAX_BYTES = 512 * 1024;
+// 审计归档（2026-09-08 第二批 §1.1-②）：上限 512KB→2MB；超限时被裁头部先写入
+// <dshHome>/logs/rule-engine-archive/log-YYYYMM.jsonl（按月文件）再保留尾部——历史可回溯。
+const LOG_MAX_BYTES = 2 * 1024 * 1024;
 const LOG_KEEP_LINES = 400;
 const APPEND_TRIM_INTERVAL = 32;
 
@@ -29,13 +32,27 @@ export function audit(entry) {
   }
 }
 
+/** 被裁头部写入月归档（失败静默——审计裁剪本身容错） */
+function archiveTrimmed(headLines) {
+  try {
+    const dir = join(dirname(auditFilePath()), "logs", "rule-engine-archive");
+    mkdirSync(dir, { recursive: true });
+    const ym = new Date().toISOString().slice(0, 7).replace("-", "");
+    appendFileSync(join(dir, `log-${ym}.jsonl`), headLines.join("\n") + "\n", "utf8");
+  } catch {
+    // 归档失败忽略
+  }
+}
+
 function trimLog() {
   try {
     const p = auditFilePath();
     if (statSync(p).size <= LOG_MAX_BYTES) return;
     const lines = readFileSync(p, "utf8").split("\n");
-    const kept = lines.slice(-LOG_KEEP_LINES).join("\n");
-    writeFileSync(p, kept, "utf8");
+    const keptLines = lines.slice(-LOG_KEEP_LINES);
+    const head = lines.slice(0, Math.max(0, lines.length - LOG_KEEP_LINES)).filter(Boolean);
+    if (head.length) archiveTrimmed(head);
+    writeFileSync(p, keptLines.join("\n"), "utf8");
   } catch {
     // 裁剪失败忽略
   }

package/lib/core/authorization.js

@@ -1,36 +1,25 @@
 // authorization.js - 授权证据结构化匹配（P0：授权关联具体操作，区分询问与授权）
 // 纯函数，可独立测试。
 import { GENERIC_EXEC_TOOLS, pathTarget, commandText, writeTargetPathsFromCommand, extractCopyPaths } from "./patterns.js";
-import { QUESTION_RE } from "./intent.js";
+import { questionWordsRe } from "./lexicon.js";
 import {
-  APPROVAL_EXEC_RE,
-  APPROVAL_WORDS_RE,
-  DIRECTIVE_WORDS_RE,
-  REJECTION_WORDS_RE,
-  PLAN_ONLY_RE,
-  ACTION_WORDS_RE
+  approvalExecRe,
+  directiveWordsRe,
+  rejectionWordsRe,
+  planOnlyRe,
+  actionWordsRe
 } from "./lexicon.js";
 
 export const AUTH_TTL_MS = 10 * 60 * 1000;
 
 // 0.5.11（用户拍板）：词表唯一源 = lexicon.js——授权判定所用的许可词/指令词/拒绝词/动作词
-// 一律从那里 import；本文件不再自持定义（原 AUTH_WORDS_RE/DIRECTIVE_RE/APPROVAL_RE/
-// REJECTION_RE/PLAN_ONLY_RE/EXEC_ACTION_RE 删除，同语义四处定义的历史漂移根因清除）。
-
-// 授权/批准判定用：许可词（允许/同意/可以/是/好/确认/授权/执行/批准/去吧/开始/ok/yes）
-const AUTH_WORDS_RE = APPROVAL_WORDS_RE;
-// 指令式动作词（用户命令式指令 = 视为授权执行）
-const DIRECTIVE_RE = DIRECTIVE_WORDS_RE;
-// 纯批准词（选项/自由文本判定用）
+// 一律从那里取；本文件不再自持定义。
+// P8 小批 A（2026-09-08）：词表改经函数取（approvalExecRe() 等）——配置层注入后立即生效；
+// 顶层 `const X = SOME_RE` 缓存会锁死内置值，故本文件不再保留任何正则别名。
+// 遗留（本批范围外，如实记账）：下面这份 APPROVAL_RE 是本文件自持的第二份许可词定义，
+// 与 lexicon.approval 存在漂移（多"是/执行/去吧/开始"、少"行"）——本批保持行为等价不动，
+// 是否合并/迁入配置待第三方裁定（迁入会改变判定结果，不属"等价迁移"）。
 const APPROVAL_RE = /(?:允许|同意|可以|是|好|确认|授权|执行|批准|去吧|开始|ok|yes)/i;
-const REJECTION_RE = REJECTION_WORDS_RE;
-
-// 0.5.11：执行许可确认词唯一源（lexicon.js APPROVAL_EXEC_RE，组合=许可词[0,16]执行语）；
-// 纯"确认方案/理解/方向"不构成（PLAN_ONLY_RE 亦唯一源）。
-
-// 选项/自由文本里的明确动作词（用于 ask 结果判定：选择"执行/调整/修复…"即视为批准）
-// 0.5.11：唯一源 = lexicon.js ACTION_WORDS_RE（与 intent 意图判定同表，不再二份）
-const EXEC_ACTION_RE = ACTION_WORDS_RE;
 
 const TYPE_HINTS = [
   { re: /删除|移除|remove|delete/i, type: "delete" },
@@ -385,13 +374,17 @@ function pathUnderAuth(p, authPath) {
 export function authMatches(auth, op) {
   if (!auth || !op) return false;
   if (auth.type !== "any" && op.type !== "any" && auth.type !== op.type) return false;
-  if (auth.pathPrefix) {
+  // A2（2026-09-10）：授权侧支持多路径——ask 多路径问题文本经 index.js L1029 记入 pathPrefixes。
+  // 语义：任一授权路径覆盖任一操作候选路径即匹配（此前只认单一 auth.pathPrefix，ask 侧只记一条 → 其余路径的授权形同虚设）。
+  const authPaths = Array.isArray(auth.pathPrefixes) && auth.pathPrefixes.length > 0
+    ? auth.pathPrefixes.map(normalizePath).filter(Boolean)
+    : (auth.pathPrefix ? [normalizePath(auth.pathPrefix)] : []);
+  if (authPaths.length > 0) {
     const candidates = Array.isArray(op.pathPrefixes) && op.pathPrefixes.length > 0
       ? op.pathPrefixes
       : (op.pathPrefix ? [op.pathPrefix] : []);
     if (candidates.length === 0) return false;
-    const authPath = normalizePath(auth.pathPrefix);
-    if (!candidates.some((p) => pathUnderAuth(normalizePath(p), authPath))) return false;
+    if (!candidates.some((p) => authPaths.some((a) => pathUnderAuth(normalizePath(p), a)))) return false;
   }
   // 柱子 B（2026-08-31）：对象锚定——授权声明了显式命名对象 → 操作命令文本必须命中该对象
   //（"推送 X 仓库"不覆盖"推送 Y 仓库"；未锚定对象=不收紧）
@@ -413,7 +406,11 @@ export function findMatchingAuth(auths, op, now = Date.now()) {
 export function describeAuth(auth) {
   if (!auth) return "无";
   const type = auth.type || "any";
-  const path = auth.pathPrefix ? `路径 ${auth.pathPrefix}` : "全局";
+  // A2（2026-09-10）：多路径授权逐条显示（ask 多路径问题文本）；单路径/全局维持原措辞。
+  const paths = Array.isArray(auth.pathPrefixes) && auth.pathPrefixes.length > 0
+    ? auth.pathPrefixes
+    : (auth.pathPrefix ? [auth.pathPrefix] : []);
+  const path = paths.length === 0 ? "全局" : paths.length === 1 ? `路径 ${paths[0]}` : `路径 ${paths.join(" / ")}`;
   const expires = auth.expiresAt ? `｜到期 ${new Date(auth.expiresAt).toISOString()}` : "";
   return `${type}｜${path}｜${new Date(auth.at || 0).toISOString()}${expires}｜仅本次运行有效`;
 }
@@ -425,31 +422,31 @@ export function describeOp(op) {
 
 /** 用户消息是否为“询问影响”而非授权（词表与 intent.js 统一，2026-08-24） */
 export function isQuestionMessage(text) {
-  return QUESTION_RE.test(String(text || ""));
+  return questionWordsRe().test(String(text || ""));
 }
 
 /** 用户消息是否包含明确执行许可（确认/同意/授权 + 执行语；且不是询问句） */
 export function isAuthMessage(text) {
   const s = String(text || "");
-  return APPROVAL_EXEC_RE.test(s) && !isQuestionMessage(s);
+  return approvalExecRe().test(s) && !isQuestionMessage(s);
 }
 
 /** 用户消息是否为直接命令式指令（非询问，视为授权执行） */
 export function isDirectiveMessage(text) {
   const s = String(text || "");
-  return DIRECTIVE_RE.test(s) && !isQuestionMessage(s);
+  return directiveWordsRe().test(s) && !isQuestionMessage(s);
 }
 
 /** 选项/自由文本是否表示批准（纯"确认方案/理解/方向"不算批准） */
 export function isApprovalText(text) {
   const s = String(text || "");
-  if (PLAN_ONLY_RE.test(s) && !EXEC_ACTION_RE.test(s) && !APPROVAL_EXEC_RE.test(s)) return false;
-  return APPROVAL_RE.test(s) || EXEC_ACTION_RE.test(s);
+  if (planOnlyRe().test(s) && !actionWordsRe().test(s) && !approvalExecRe().test(s)) return false;
+  return APPROVAL_RE.test(s) || actionWordsRe().test(s);
 }
 
 /** 选项/自由文本是否表示拒绝 */
 export function isRejectionText(text) {
-  return REJECTION_RE.test(String(text || ""));
+  return rejectionWordsRe().test(String(text || ""));
 }
 
 /** 从 ask_user_question 的 arguments 中提取问题文本（用于推断授权范围） */

package/lib/core/config.js

@@ -32,7 +32,10 @@ export const DEFAULT_CONFIG = {
   handlerOverrides: {},
   // 残余1 剥离（2026-08-31）：本机默认偏好表下沉配置——{ ruleId: handlerName }
   // 通用发布=空（代码零本机编号）；本机在此写入 17 条偏好，引擎升级不丢。
-  handlerDefaultMap: {}
+  handlerDefaultMap: {},
+  // §1.3（2026-09-08 第二批）：本机辱骂词表（个人话术，发布面不含）——空=不启用；
+  // 通用层只保留语言无关形态检测（连续问叹号/全大写比率），语义判定归 LLM。
+  criticismPersonal: []
 };
 
 export function loadPluginConfig() {

package/lib/core/dualtrack-markers.js

@@ -0,0 +1,61 @@
+// dualtrack-markers.js - 本机标识词表的**唯一加载器**（B2 扫描器与 dualtrack-check 共用）
+//
+// 设计（第三批第 1 批 · 词表配置化，用户拍板 2026-09-09）：
+//   词表是**发布者私有数据**——「我这台机器长什么样」对别人毫无意义，因此：
+//     ① 优先读本机 rule-engine.json 的 `dualtrack.markers`（字符串数组）；
+//     ② 其次读环境变量 DUALTRACK_MARKERS 指向的文件（每行一个，`#` 注释）；
+//     ③ 最后回退包内 scripts/local-residue-markers.txt（**示例**，发布者应换成本机配置）。
+//   包内那份在公开仓库里只保留示例行，避免把发布者的用户名/路径公开出去。
+import fs from "node:fs";
+import os from "node:os";
+import path from "node:path";
+
+/** 解析 DSH_HOME（与 dsh-home-paths 口径一致） */
+export function resolveDshHome() {
+  return process.env.DSH_HOME || path.join(os.homedir(), ".dsh");
+}
+
+function readMarkerFile(file) {
+  if (!file || !fs.existsSync(file)) return null;
+  const lines = fs.readFileSync(file, "utf8").split(/\r?\n/)
+    .map((s) => s.trim())
+    .filter((s) => s && !s.startsWith("#"));
+  return lines.length > 0 ? lines : null;
+}
+
+/**
+ * 加载本机标识词表。
+ * @param {object} opts
+ * @param {string} opts.root 仓库根（回退示例文件所在）
+ * @param {object} [opts.config] 已加载的 rule-engine.json 内容（可选；缺省自行读取）
+ * @returns {{markers: string[], source: string}}
+ */
+export function loadMarkers(opts = {}) {
+  const root = opts.root || process.cwd();
+
+  // ① 本机配置：rule-engine.json 的 dualtrack.markers
+  let cfg = opts.config;
+  if (cfg === undefined) {
+    try {
+      const p = path.join(resolveDshHome(), "rule-engine.json");
+      cfg = fs.existsSync(p) ? JSON.parse(fs.readFileSync(p, "utf8")) : null;
+    } catch {
+      cfg = null;
+    }
+  }
+  const fromCfg = cfg?.dualtrack?.markers;
+  if (Array.isArray(fromCfg)) {
+    const markers = fromCfg.filter((x) => typeof x === "string" && x.trim().length > 0).map((x) => x.trim());
+    if (markers.length > 0) return { markers, source: "rule-engine.json:dualtrack.markers" };
+  }
+
+  // ② 环境变量指向的本机文件
+  const fromEnv = readMarkerFile(process.env.DUALTRACK_MARKERS);
+  if (fromEnv) return { markers: fromEnv, source: `env DUALTRACK_MARKERS=${process.env.DUALTRACK_MARKERS}` };
+
+  // ③ 包内示例文件（发布者应换成本机配置；此处可能只有注释示例）
+  const fallback = readMarkerFile(path.join(root, "scripts", "local-residue-markers.txt"));
+  if (fallback) return { markers: fallback, source: "scripts/local-residue-markers.txt (in-package example)" };
+
+  return { markers: [], source: "empty" };
+}