dsh-rule-engine 0.6.2 → 0.6.4

package/lib/core/guard-core.js

@@ -3,10 +3,11 @@
 import { existsSync, mkdtempSync, readFileSync, writeFileSync } from "node:fs";
 import { tmpdir } from "node:os";
 import { dirname, isAbsolute, join, resolve } from "node:path";
+import { getMessage, hasMessage } from "../messages.js";
 import {
   BOM_WRITE,
   DESTRUCTIVE_CMD,
-  DSH_KEYWORDS_RE,
+  dshKeywordsRe,
   INLINE_CMD,
   PROTECTED_FILENAME_RE,
   commandText,
@@ -36,6 +37,7 @@ import { computeMountSignature, profileNameFromArgs } from "./mount-signature.js
 import { findBackupForPath, getSessionState, maybeReloadIfChanged } from "./state.js";
 import { isVersionedFile, validateEditedFile } from "./version-guard.js";
 import { decideContractAction, defaultContract, isArmed } from "./contract.js";
+import { kindOf } from "./measure-kinds.js";
 import { classifyAction } from "./overengineering.js";
 import { labelFingerprint, labelsAllowFingerprint } from "./label-fingerprint.js";
 
@@ -69,17 +71,8 @@ function isDelegatedSession(exec) {
   return false;
 }
 
-const RULE_HINTS = {
-  "1": "先分析根因，确认问题后再继续",
-  "9": "改用脚本文件或显式 UTF-8 BOM 流程",
-  "12A": "先 ask_user_question 获取匹配授权",
-  "13A": "先对目标路径执行备份（复制到 .bak/.backups/trash-）",
-  "18": "先读取本机配置的手册（路径经 localIntegrations 配置；未配置则该规则无对象）",
-  "21": "按规则 21 分级确认后再落盘",
-  "22": "先回答/展示方案，或补充明确执行分点（工具类别+路径范围）；已授权变更必须落在本回合执行分点/ask 授权范围内",
-  "24": "确认插件 dsh.bundle 类型或改用正确挂载",
-  "27": "先运行 node scripts/audit-mount-consistency.mjs --profile <p>"
-};
+// 判据 A（2026-09-09）：规则号清单**不再硬编码**——放行提示 key 由约定推导
+//（rule-hint.<ruleId>），是否存在由 messages 层决定；规则号变化时改本机配置即可。
 
 // 0.5.12（F3）：拒绝来源前缀——机器可解析 token 化（/guard log 可按来源 grep 过滤）
 // 约定：[guardian:rule22]（规则层）/ [guardian:contract]（任务契约/机制类）/ [guardian:guard]（守卫层）
@@ -90,9 +83,97 @@ export function prefixSource(ruleId) {
   return `[guardian:rule${ruleId}]`;
 }
 
+// ═══════════ 自由面 / 盲区（AGI 清单 P1-2，2026-09-09 第三批）═══════════
+// 显式声明本守卫「不拦什么」（自由面）与「看不见/判不准什么」（盲区）——
+// 目的：被拦的人能一眼看到哪些动作本来就不需要授权（少走弯路），
+// 以及哪些风险本引擎兜不住（别把守卫当安全边界）。
+// 查询：/guard freedom
+/** 自由面：无需授权即可执行的操作类别（守卫不拦）。
+ *  第 1 批 1b：内置默认 = **通用骨架**（语言/环境/规则集无关）；本机完整版经
+ *  rule-engine.json 的 guardFreedom 键覆盖（原为硬编码的本机规则体系自描述）。 */
+export const FREEDOM_SURFACE_DEFAULT = [
+  "Read-only tools: file reads, searches, status queries, web fetch/search",
+  "Scratch-area writes: the analysis scratch and backup directories (scripts, downloads, temp artifacts)",
+  "Verification commands: tests, audit scripts, cold-load probes, --dry-run, read-only GETs",
+  "Low-risk new files inside the workspace: a plain file that does not exist yet (not a protected name, not an assembly file, not a high-risk entry point)",
+  "Asking and presenting: ask_user_question / todo_write / visualize / report",
+  "Changes within an authorized scope: this turn has an execution clause and the path/type falls inside it",
+  "Escape hatches: /guard unlock (config write protection) and /guard bypass (all guards suspended, audited)"
+];
+/** 盲区：守卫看不见或判不准的（本引擎不是安全边界）。默认 = 通用骨架，本机可覆盖。 */
+export const BLIND_SPOTS_DEFAULT = [
+  "Out-of-band writes: editing files in a terminal or another editor bypasses the tool chain entirely — the guard cannot see them",
+  "Semantic misjudgment: authorization/intent decisions rely on word lists and the LLM; uncovered phrasing may be misread (use /guard label to flag)",
+  "Unclassified tools: tools absent from the classification table are treated as unknown (first call is blocked until allowed)",
+  "External programs writing files: a program invoked by the shell can write files whose paths never appear in the command text",
+  "Self-certification rules: the engine only reminds; whether they are followed depends on the model",
+  "Weak criticism signals: deliberately broad shapes are logged but not blocked, so real criticism can be missed",
+  "Cross-session state: authorization/unlock live in process memory and do not survive a restart or carry across sessions"
+];
+
+// 本机覆盖（rule-engine.json 的 guardFreedom 键；null = 用通用骨架）
+let freedomOverride = null;
+
+/**
+ * 注入本机自由面/盲区（Override 语义：undefined/null = 不干预；对象 = 配置即真相；{} = 回退骨架）。
+ * @param {{freedom?: string[], blindSpots?: string[]}} cfg
+ */
+export function setGuardFreedom(cfg) {
+  const applied = [];
+  const rejected = [];
+  if (cfg === undefined || cfg === null) return { applied, rejected, noop: true };
+  if (typeof cfg !== "object" || Array.isArray(cfg)) {
+    freedomOverride = null;
+    return { applied, rejected };
+  }
+  const next = {};
+  for (const field of ["freedom", "blindSpots"]) {
+    const list = cfg[field];
+    if (list === undefined) continue;
+    if (!Array.isArray(list)) {
+      rejected.push({ key: field, reason: "not-array" });
+      continue;
+    }
+    const clean = list.filter((x) => typeof x === "string" && x.trim().length > 0);
+    if (clean.length !== list.length) rejected.push({ key: field, reason: "non-string-items-dropped" });
+    if (clean.length > 0) {
+      next[field] = clean;
+      applied.push(field);
+    }
+  }
+  freedomOverride = Object.keys(next).length > 0 ? next : null;
+  return { applied, rejected };
+}
+
+/** 当前生效的自由面（本机覆盖优先 → 通用骨架） */
+export function getFreedomSurface() {
+  return freedomOverride?.freedom ?? FREEDOM_SURFACE_DEFAULT;
+}
+
+/** 当前生效的盲区（本机覆盖优先 → 通用骨架） */
+export function getBlindSpots() {
+  return freedomOverride?.blindSpots ?? BLIND_SPOTS_DEFAULT;
+}
+
+/** 是否处于本机覆盖状态 */
+export function hasFreedomOverride() {
+  return freedomOverride !== null;
+}
+
+/** 回退通用骨架（测试用） */
+export function resetGuardFreedom() {
+  freedomOverride = null;
+}
+
+/** 兼容别名（旧引用；等价于 getFreedomSurface） */
+export const FREEDOM_SURFACE = FREEDOM_SURFACE_DEFAULT;
+/** 兼容别名（旧引用；等价于 getBlindSpots） */
+export const BLIND_SPOTS = BLIND_SPOTS_DEFAULT;
+
 function makeHit(cfg, reason) {
   const errId = Math.random().toString(36).slice(2, 8).toUpperCase();
-  const hint = RULE_HINTS[String(cfg.ruleId)] || "见 /guard rules";
+  const hintKey = `rule-hint.${cfg.ruleId}`;
+  const hint = hasMessage(hintKey) ? getMessage(hintKey) : getMessage("guard.rule-hint-fallback");
   return {
     ruleId: cfg.ruleId,
     title: cfg.title,
@@ -206,23 +287,26 @@ function resolveLocalDependencyPkgPath(bundleName, profilePkgPath, parsed) {
   return existsSync(pkgPath) ? pkgPath : null;
 }
 
-/** 若本次文件变更会写入 profile package.json 的 dsh.profile.bundles，返回其中非 bundle/无法确认的项 */
-export function nonBundleInProfileBundles(name, args) {
-  const p = pathTarget(args);
-  if (!isProfilePackageJson(p)) return null;
-  const content = resultingFileContent(name, args);
-  if (!content) return null;
+/** 官方 bundle 白名单（B1 修复，2026-09-10）：规则 24 自己的豁免条款原文即「官方 bundle 由官方机制管理，
+ *  模型不主动修改」——引擎此前未在代码里兑现。这两个包**永远**位于 DSH 本体或 profiles 共享层，
+ *  独立 DSH_HOME 的新 profile 两者都可能尚未建立 → 校验必然失败并**卡死 profile 声明编辑**（试点主要阻塞点）。 */
+const OFFICIAL_BUNDLES = new Set(["@deepseek-ai/dsh-base", "@deepseek-ai/dsh-web-app"]);
+
+/** 解析给定 profile package.json **内容**中非 bundle / 无法确认的项（内容级纯函数，供 B1 与 C1 复用） */
+export function nonBundleInContent(content, profilePkgPath) {
   let parsed;
   try { parsed = JSON.parse(content); } catch { return null; }
   const bundles = parsed?.dsh?.profile?.bundles;
   if (!Array.isArray(bundles)) return null;
   const bad = [];
   for (const b of bundles) {
-    const pkgPath = resolveBundlePkgPath(b, p) || resolveLocalDependencyPkgPath(b, p, parsed);
+    if (OFFICIAL_BUNDLES.has(b)) continue; // B1：官方 bundle 直接放行（规则 24 豁免条款）
+    const pkgPath = resolveBundlePkgPath(b, profilePkgPath) || resolveLocalDependencyPkgPath(b, profilePkgPath, parsed);
     if (!pkgPath) {
       const dep = parsed?.dependencies?.[b] ?? parsed?.devDependencies?.[b] ?? parsed?.optionalDependencies?.[b];
       const depDesc = typeof dep === "string" ? `dependencies 为 ${dep}` : "dependencies 中无此包";
-      bad.push(`${b}（找不到 package.json，无法确认类型；${depDesc}。请先用 dev_install_package 或先安装依赖再写 bundles）`);
+      // B1 建议 3：给出可执行的排查方向（独立 DSH_HOME 场景最常见的成因）
+      bad.push(`${b}（找不到 package.json，无法确认类型；${depDesc}。请先用 dev_install_package 或先安装依赖再写 bundles；若为独立 DSH_HOME，请确认 profiles/node_modules 共享层存在——该层由 DSH 真实启动时的 healProfilesModuleFallback 自动建立）`);
       continue;
     }
     try {
@@ -235,6 +319,31 @@ export function nonBundleInProfileBundles(name, args) {
   return bad.length ? bad : null;
 }
 
+/** 若本次文件变更会写入 profile package.json 的 dsh.profile.bundles，返回其中非 bundle/无法确认的项 */
+export function nonBundleInProfileBundles(name, args) {
+  const p = pathTarget(args);
+  if (!isProfilePackageJson(p)) return null;
+  const content = resultingFileContent(name, args);
+  if (!content) return null;
+  return nonBundleInContent(content, p);
+}
+
+/** C1 修复（2026-09-10）：判定本次变更是否为「使装配声明趋于自洽」的修复动作。
+ *  判据：变更**前** profile package.json 的 bundles 不自洽（存在解析不到的项），变更**后**自洽。
+ *  用途：mount-audit 守卫的**收敛豁免**——解除「不一致态只能靠被拦动作修复」的死循环。
+ *  保守边界：读不到原文件、或变更后仍不自洽 → 不豁免。 */
+export function isConvergingBundleFix(name, args) {
+  const p = pathTarget(args);
+  if (!isProfilePackageJson(p)) return false;
+  const after = resultingFileContent(name, args);
+  if (!after) return false;
+  let before = null;
+  try { before = readFileSync(p, "utf8"); } catch { return false; }
+  const beforeBad = nonBundleInContent(before, p);
+  const afterBad = nonBundleInContent(after, p);
+  return Array.isArray(beforeBad) && beforeBad.length > 0 && (!afterBad || afterBad.length === 0);
+}
+
 /** 任务契约守卫：仅在总开关开启且会话 armed 时硬拦；ask 场景交给 tools/pre-execute */
 function taskContractGuardDecision(state, exec, session) {
   if (!state.taskContract?.taskContractEnabled) return null;
@@ -419,7 +528,7 @@ function matchRule(cfg, ctx) {
 
   // 规则 22 机器化：无执行分点/存在歧义 → 本回合禁止变更类工具调用
   //（"你的执行方案难道没问题吗？"虽含"执行"仍是疑问句——同形词不构成指令，不豁免）
-  if (cfg.handler === "rule22-7-direct") {
+  if (kindOf(cfg.handler) === "intent-direct") {
     // B2（2026-08-28 阶段二）：委派/子代理回合不做"无执行分点"判定（规则 22④ 的识别层落地）——
     // 子代理任务书以 source.kind="user" 注入，会被当用户消息判"无执行分点"而误拦（ERR-L8QAXS 实弹）。
     if (isDelegatedSession(exec)) {
@@ -508,7 +617,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 1：同工具同参数连续失败 ≥2 次后拦第 3 次（失败计数由 tool/result 更新）
-  if (cfg.handler === "rule1-retry") {
+  if (kindOf(cfg.handler) === "retry") {
     const key = `${name}:${JSON.stringify(args || {})}`;
     const count = state.retryCounts.get(key) || 0;
     const userText = session.turn.userText || session.lastUserText || "";
@@ -522,30 +631,30 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 9：内联命令 / BOM 写配置（PS7 语义：仅拦显式 utf8BOM）
-  if (cfg.handler === "rule9-inline-bom") {
+  if (kindOf(cfg.handler) === "inline-command") {
     if ((name === "pwsh" || name === "bash") && cmd) {
       if (INLINE_CMD.test(cmd)) {
         return makeHit(cfg, "【硬拦截】禁止内联命令（node -e / pwsh -c / node -p 等），请先写脚本文件再执行");
       }
       if (BOM_WRITE.test(cmd)) {
-        return makeHit(cfg, "【硬拦截】禁止用 Set-Content/Out-File -Encoding utf8BOM 写 .json/.yaml（PS7 显式带 BOM）");
+        return makeHit(cfg, "【硬拦截】禁止用 Set-Content/Out-File -Encoding utf8BOM 写 .json/.yaml（PS7 显式带 BOM）（放行：去掉 -Encoding utf8BOM——PS7 默认就是 UTF-8 无 BOM；或改用本机配置的统一入口脚本）");
       }
     }
     return null;
   }
 
   // 规则 18：DSH 任务首次工具调用前必须已读手册
-  if (cfg.handler === "rule18-manual-first") {
+  if (kindOf(cfg.handler) === "manual-first") {
     const userText = session.turn.userText || session.lastUserText || "";
     const firstTool = session.turn.toolCount === 0;
-    if (firstTool && !session.manualReadSeen && DSH_KEYWORDS_RE.test(userText) && !isManualReadTool(name, args, state.localIntegrations?.manualExempt?.paths || [])) {
+    if (firstTool && !session.manualReadSeen && dshKeywordsRe().test(userText) && !isManualReadTool(name, args, state.localIntegrations?.manualExempt?.paths || [])) {
       return makeHit(cfg, "【硬拦截】任务涉及 DSH，首次工具调用前需先 grep/read 本机手册（路径经 localIntegrations 配置）");
     }
     return null;
   }
 
   // 规则 13A：删除/覆盖/高风险写前需有“目标路径对应备份”证据
-  if (cfg.handler === "rule13a-backup") {
+  if (kindOf(cfg.handler) === "backup") {
     // 统一入口命令豁免：入口脚本每次写入前自身执行备份（backup() 保留 5 份），
     // 引擎静态扫描看不到脚本内部动作（已知盲区）；入口命令也已被 __self-protect 限定为唯一写通道。
     if ((name === "pwsh" || name === "bash") && isEntryChannelCommand(cmd, state.localIntegrations?.entryScript)) return null;
@@ -588,7 +697,7 @@ function matchRule(cfg, ctx) {
   // hints 含 "skill" 的其它规则 cfg（如 12A：hints=["ask","skill","sensitive",...]）截胡——
   // 非 skill 工具时 return null，导致 12A 敏感授权检查静默失效（C-2 实测 Move-Item 放行）。
   // 现在：hints 兜底仅在「name === 'skill'」时进入；handler 明确为 rule12b-skill 时维持原语义。
-  if (cfg.handler === "rule12b-skill") {
+  if (kindOf(cfg.handler) === "skill-auth") {
     if (name === "skill") {
       const skillName = typeof args?.name === "string" ? args.name : "";
       if ((state.localIntegrations?.manualExempt?.skills || []).includes(skillName)) return null;
@@ -623,7 +732,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 12A：敏感操作需要匹配授权证据
-  if (cfg.handler === "rule12a-approval") {
+  if (kindOf(cfg.handler) === "approval") {
     if (isSensitiveToolCall(name, args, sessionIdOf(exec))) {
       // 0.5.11（用户定稿）：12A 与 22-7 判据同源——分析通道/低风险新建豁免在两条分支
       // 使用同一组判据（isAnalysisOp/isLowRiskWorkspaceNew），不再各写一套（此前 22-7 放行、
@@ -662,7 +771,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 21：规则/配置文件变更需 unlock（元规则）
-  if (cfg.handler === "rule21-meta") {
+  if (kindOf(cfg.handler) === "meta") {
     if ((name === "edit" || name === "write" || (name === "str_replace_editor" && args?.command !== "view")) && isProtectedConfigPath(p) && !unlock) {
       return makeHit(cfg, "【硬拦截】规则/配置文件受保护：修改需用户先执行 /guard unlock");
     }
@@ -670,7 +779,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 24：插件装配类型确认（A 硬拦）+ 变更类工具统一覆盖（原规则 25 语义，检查④）
-  if (cfg.handler === "rule24-assembly-type") {
+  if (kindOf(cfg.handler) === "assembly") {
     if (name === "dev_install_package") {
       const dir = args?.dir;
       if (dir) {
@@ -702,7 +811,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 27：装配变更后必须先通过全量审计，才能继续装配（C 时序；全局变更 + 本会话审计证据）
-  if (cfg.handler === "rule27-mount-audit") {
+  if (kindOf(cfg.handler) === "mount-audit") {
     if (isAssemblyMutationTool(name, args)) {
       const currentSig = computeMountSignature(profileNameFromArgs(args));
       state.mountSignature = currentSig;
@@ -711,10 +820,18 @@ function matchRule(cfg, ctx) {
         ? currentSig !== auditedSig
         : (state.mountRevision > (session.mountAuditRevision || 0));
       if (needsAudit) {
+        // C1 修复（2026-09-10）：**收敛豁免**——允许"使装配趋于自洽"的变更，解除不一致态的死循环。
+        //   背景（独立 DSH_HOME 试点）：改 dependencies → 通过；改 bundles 补齐 → 被拦；
+        //   试图回滚 dependencies → **同样被拦** → 审计失败项（bundles-missing）恰恰只能靠被拦的动作修复
+        //   → 无法收敛（试点靠用户手工写文件才解开）。
+        //   ① 回滚豁免：变更后签名回到"审计通过时的签名"
+        //   ② 修复豁免：变更前声明不自洽（bundles 有解析不到的项）而变更后自洽
+        if (auditedSig && currentSig === auditedSig) return null; // ① 回到已审计状态
+        if (isConvergingBundleFix(name, args)) return null;        // ② 修复审计点名的缺失/非法项
         const why = auditedSig
           ? `装配内容已变化（装配状态哈希 ${currentSig.slice(0, 8)} ≠ 审计通过时 ${auditedSig.slice(0, 8)}）`
           : `插件装配已变更（mountRevision=${state.mountRevision}）且本会话未通过全量审计`;
-        return makeHit(cfg, `【硬拦截】${why}，请先运行 node scripts/audit-mount-consistency.mjs --profile <p> 并通过后再继续装配`);
+        return makeHit(cfg, `[BLOCKED] ${why} — ${getMessage("pitfall.mount-audit")}`);
       }
     }
     return null;

package/lib/core/intent.js

@@ -18,33 +18,30 @@
 //     消灭“两套疑问词判定不一致”（如 authorization 的“影响吗”与 intent 的“怎么”）。
 //   - 新增 STATUS_SIGNAL_RE / isStatusSignal()：状态信号分类（宽松版，危险词排除，
 //     12A/13A 兜底），与“无用户消息回合”同等待遇。
-// 0.5.11（用户拍板）：词表唯一源 = lib/core/lexicon.js——下面 5 张表全部从那里 import，
-// 本文件不再自持定义（原定义删除）；对外 export 名保持不变（QUESTION_RE/STATUS_SIGNAL_RE
-// 仍对外可见，/guard 与测试引用不受影响）。
+// 0.5.11（用户拍板）：词表唯一源 = lib/core/lexicon.js——下面 5 张表全部从那里取，
+// 本文件不再自持定义。
+// P8 小批 A（2026-09-08）：改为函数取词（questionWordsRe() 等）——配置层注入后立即生效；
+// 旧导出名 QUESTION_RE / STATUS_SIGNAL_RE 已删除（正则常量会锁死内置值，是本次改造的根因）。
+// 对外仍以函数形态提供：questionWordsRe / statusSignalRe（lexicon.js）。
 
 import {
-  QUESTION_WORDS_RE,
-  ACTION_WORDS_RE,
-  STRONG_EXEC_RE as STRONG_EXEC_LEX,
-  STATUS_SIGNAL_WORDS_RE,
-  DANGEROUS_ACTION_WORDS_RE
+  questionWordsRe,
+  actionWordsRe,
+  strongExecRe,
+  statusSignalRe,
+  dangerousActionRe
 } from "./lexicon.js";
 import { hasHotwordAction } from "./hotwords.js";
 
 export const TAG_RE = /【(执行|方案|问询|信息)】/;
 
-// 统一疑问词表（唯一源：lexicon.js；此处再导出保持外部引用兼容）
-export const QUESTION_RE = QUESTION_WORDS_RE;
-
 const DEFER_RE = /待确认|确认后再|等我确认|先方案|先别|不要执行|之后再说|确认后|再确认|先确认|不要直接/;
 // 2026-08-31（柱子 C：条件句识别——"推送完成后…/等 X 了…/待…后…"型分点）：
 // 条件句分点 = 依赖前序分点完成后的后续动作，**本条不产生任何授权/scope**（安全方向：宁拦不放）。
 // 词面拒绝"推送/上传"等动作词被当作本条独立动作（3 号分点"推送完成后发地址"实证：引擎曾把
 // "推送"当本条动作致 git 全局授权弥漫——分点失效根因之一）。
 const CONDITIONAL_RE = /(?:完成|结束|做完|弄完|搞定|好了|恢复|重启?)\s*(?:了|之后|后|以后|再)|(?:等|待|等\s*[\u4e00-\u9fff]{0,6}?)\s*[\u4e00-\u9fff]{0,8}?(?:后|之后|了)\s*|(?:推送|上传|提交|发布|执行)\s*(?:完成|结束|完|好)\s*(?:了|之?后)?/;
-const ACTION_RE = ACTION_WORDS_RE;
 const PLAN_RE = /方案|建议|评估|分析|设计|规划|计划|给出|提供/;
-const STRONG_EXEC_RE = STRONG_EXEC_LEX;
 const NUMBERED_ITEM_RE = /^\s*(?:\(?(\d+)[\)、.．)]\s*)/;
 // A1（2026-08-28 阶段一）：具体动作词（区别于"执行/开始/进行"等宽泛词）。
 // 用途：hasAction+hasPlan 时区分"给出执行方案"（方案请求）与"将建议书转化到业务通告"（执行指令）。
@@ -67,12 +64,8 @@ const AT_ACTION_RE = /看|读|改|写|转|查|处理|提取|打开|展示|审阅
 /**
  * 状态信号：对先前指令的就绪/完成确认（“我已重启 / 已输入 / 重启完成 / 好了 / done”）。
  * 语义 = 与“无用户消息回合”同等待遇：不触发规则 22 的“无执行分点”判定（规则 22⑩）。
- * 唯一源：lexicon.js STATUS_SIGNAL_WORDS_RE；此处再导出保持外部引用兼容。
+ * 唯一源：lexicon.js（P8 小批 A 起经 statusSignalRe() 取词，配置注入后生效）。
  */
-export const STATUS_SIGNAL_RE = STATUS_SIGNAL_WORDS_RE;
-
-// 危险动作词：命中则不当状态信号（防“我已删除了某文件”被当成就绪确认）
-const DANGEROUS_ACTION_RE = DANGEROUS_ACTION_WORDS_RE;
 
 /** DSH 在会话上下文里注入的系统文本（工作区指令/技能目录等），不是用户的真实消息 */
 export function isInjectedContextMessage(text) {
@@ -128,7 +121,7 @@ export function isStatusSignal(text) {
   //（“完成 A 和 C 两项”/“重启服务”），不是对先前指令的就绪确认；状态信号须带“已/我已完成”前缀
   // 或“了/完成/完毕/好”后缀（根因：STATUS_SIGNAL_RE 的“裸词 + 可选后缀”分支把命令式误判为状态）。
   if (/^(?:请|帮我)?\s*(?:先|接着|然后)?\s*(?:完成|重启|执行|搞定|做完|弄好)\s+\S/.test(t.trim())) return false;
-  return STATUS_SIGNAL_RE.test(t) && !DANGEROUS_ACTION_RE.test(t);
+  return statusSignalRe().test(t) && !dangerousActionRe().test(t);
 }
 
 function normalizeTag(tag) {
@@ -214,12 +207,12 @@ function classifyClause(clause) {
   const text = String(clause.raw || "").trim();
   const tag = extractTag(text);
   const tagType = normalizeTag(tag);
-  const hasQuestion = QUESTION_RE.test(text);
+  const hasQuestion = questionWordsRe().test(text);
   const hasDefer = DEFER_RE.test(text);
   // B1（2026-08-29）：词表命中 ∪ 热词命中（热词=LLM 兜底已确认过的动作词，见 hotwords.js）
-  const hasAction = ACTION_RE.test(text) || hasHotwordAction(text);
+  const hasAction = actionWordsRe().test(text) || hasHotwordAction(text);
   const hasPlan = PLAN_RE.test(text);
-  const hasStrongExec = STRONG_EXEC_RE.test(text);
+  const hasStrongExec = strongExecRe().test(text);
   // A3（阶段一）：@文件引用信号 + 处理动词 → 执行分点（用户用 @ 引用文件即"处理它"）
   const hasAtRef = AT_REF_RE.test(text) && AT_ACTION_RE.test(text);
 

package/lib/core/lang.js

@@ -0,0 +1,61 @@
+// lang.js - 首启语言探测（第三批第 1 波 §4）
+//
+// 设计（DSH 方案 §五③ 选项 (b)）：引擎启动时探测规则集语言——
+//   读 AGENTS.md（经调用方传入其解析结果或原文），含 CJK → zh-CN；否则 en。
+// 结果只缓存在**内存**，每次启动重探，**不落盘**（无配置文件、无副作用）。
+// 用途：报错/提示/自由面/盲区等面向用户的展示语言。
+//
+// 注意：本模块是**通用层**——它只判断"用什么语言展示"，不携带任何语言内容。
+// 文案本身由 messages 层/个人层提供（第 1 批清淤时落地）。
+export const LANGS = ["zh-CN", "en"];
+const DEFAULT_LANG = "en";
+const CJK = /[\u4e00-\u9fff]/;
+
+let current = DEFAULT_LANG;
+let detectedFrom = "default";
+
+/**
+ * 探测语言：传规则集文本（AGENTS.md 原文或解析结果拼接），含 CJK → zh-CN。
+ * @param {string} text 规则集文本
+ * @returns {string} 生效语言
+ */
+export function detectLang(text) {
+  const t = String(text || "");
+  if (!t.trim()) {
+    current = DEFAULT_LANG;
+    detectedFrom = "empty";
+    return current;
+  }
+  current = CJK.test(t) ? "zh-CN" : "en";
+  detectedFrom = "agents-md";
+  return current;
+}
+
+/** 当前生效语言 */
+export function getLang() {
+  return current;
+}
+
+/** 探测来源（诊断用：default | empty | agents-md | manual） */
+export function getLangSource() {
+  return detectedFrom;
+}
+
+/** 显式设置（测试/用户覆盖用；不落盘） */
+export function setLang(lang) {
+  if (!LANGS.includes(lang)) throw new Error(`Unknown language: ${lang} (supported: ${LANGS.join(" / ")})`);
+  current = lang;
+  detectedFrom = "manual";
+  return current;
+}
+
+/** 双语选择：pickLang(zh, en) → 按当前语言取 */
+export function pickLang(zh, en) {
+  return current === "zh-CN" ? zh : en;
+}
+
+/** 重置为默认（测试用） */
+export function resetLang() {
+  current = DEFAULT_LANG;
+  detectedFrom = "default";
+}