dsh-rule-engine 0.6.3 → 0.6.5

package/lib/core/authorization.js

@@ -374,13 +374,17 @@ function pathUnderAuth(p, authPath) {
 export function authMatches(auth, op) {
   if (!auth || !op) return false;
   if (auth.type !== "any" && op.type !== "any" && auth.type !== op.type) return false;
-  if (auth.pathPrefix) {
+  // A2（2026-09-10）：授权侧支持多路径——ask 多路径问题文本经 index.js 的 ask 授权登记写入 pathPrefixes。
+  // 语义：任一授权路径覆盖任一操作候选路径即匹配（此前只认单一 auth.pathPrefix，ask 侧只记一条 → 其余路径的授权形同虚设）。
+  const authPaths = Array.isArray(auth.pathPrefixes) && auth.pathPrefixes.length > 0
+    ? auth.pathPrefixes.map(normalizePath).filter(Boolean)
+    : (auth.pathPrefix ? [normalizePath(auth.pathPrefix)] : []);
+  if (authPaths.length > 0) {
     const candidates = Array.isArray(op.pathPrefixes) && op.pathPrefixes.length > 0
       ? op.pathPrefixes
       : (op.pathPrefix ? [op.pathPrefix] : []);
     if (candidates.length === 0) return false;
-    const authPath = normalizePath(auth.pathPrefix);
-    if (!candidates.some((p) => pathUnderAuth(normalizePath(p), authPath))) return false;
+    if (!candidates.some((p) => authPaths.some((a) => pathUnderAuth(normalizePath(p), a)))) return false;
   }
   // 柱子 B（2026-08-31）：对象锚定——授权声明了显式命名对象 → 操作命令文本必须命中该对象
   //（"推送 X 仓库"不覆盖"推送 Y 仓库"；未锚定对象=不收紧）
@@ -402,7 +406,11 @@ export function findMatchingAuth(auths, op, now = Date.now()) {
 export function describeAuth(auth) {
   if (!auth) return "无";
   const type = auth.type || "any";
-  const path = auth.pathPrefix ? `路径 ${auth.pathPrefix}` : "全局";
+  // A2（2026-09-10）：多路径授权逐条显示（ask 多路径问题文本）；单路径/全局维持原措辞。
+  const paths = Array.isArray(auth.pathPrefixes) && auth.pathPrefixes.length > 0
+    ? auth.pathPrefixes
+    : (auth.pathPrefix ? [auth.pathPrefix] : []);
+  const path = paths.length === 0 ? "全局" : paths.length === 1 ? `路径 ${paths[0]}` : `路径 ${paths.join(" / ")}`;
   const expires = auth.expiresAt ? `｜到期 ${new Date(auth.expiresAt).toISOString()}` : "";
   return `${type}｜${path}｜${new Date(auth.at || 0).toISOString()}${expires}｜仅本次运行有效`;
 }

package/lib/core/guard-core.js

@@ -37,6 +37,7 @@ import { computeMountSignature, profileNameFromArgs } from "./mount-signature.js
 import { findBackupForPath, getSessionState, maybeReloadIfChanged } from "./state.js";
 import { isVersionedFile, validateEditedFile } from "./version-guard.js";
 import { decideContractAction, defaultContract, isArmed } from "./contract.js";
+import { kindOf } from "./measure-kinds.js";
 import { classifyAction } from "./overengineering.js";
 import { labelFingerprint, labelsAllowFingerprint } from "./label-fingerprint.js";
 
@@ -286,23 +287,26 @@ function resolveLocalDependencyPkgPath(bundleName, profilePkgPath, parsed) {
   return existsSync(pkgPath) ? pkgPath : null;
 }
 
-/** 若本次文件变更会写入 profile package.json 的 dsh.profile.bundles，返回其中非 bundle/无法确认的项 */
-export function nonBundleInProfileBundles(name, args) {
-  const p = pathTarget(args);
-  if (!isProfilePackageJson(p)) return null;
-  const content = resultingFileContent(name, args);
-  if (!content) return null;
+/** 官方 bundle 白名单（B1 修复，2026-09-10）：规则 24 自己的豁免条款原文即「官方 bundle 由官方机制管理，
+ *  模型不主动修改」——引擎此前未在代码里兑现。这两个包**永远**位于 DSH 本体或 profiles 共享层，
+ *  独立 DSH_HOME 的新 profile 两者都可能尚未建立 → 校验必然失败并**卡死 profile 声明编辑**（试点主要阻塞点）。 */
+const OFFICIAL_BUNDLES = new Set(["@deepseek-ai/dsh-base", "@deepseek-ai/dsh-web-app"]);
+
+/** 解析给定 profile package.json **内容**中非 bundle / 无法确认的项（内容级纯函数，供 B1 与 C1 复用） */
+export function nonBundleInContent(content, profilePkgPath) {
   let parsed;
   try { parsed = JSON.parse(content); } catch { return null; }
   const bundles = parsed?.dsh?.profile?.bundles;
   if (!Array.isArray(bundles)) return null;
   const bad = [];
   for (const b of bundles) {
-    const pkgPath = resolveBundlePkgPath(b, p) || resolveLocalDependencyPkgPath(b, p, parsed);
+    if (OFFICIAL_BUNDLES.has(b)) continue; // B1：官方 bundle 直接放行（规则 24 豁免条款）
+    const pkgPath = resolveBundlePkgPath(b, profilePkgPath) || resolveLocalDependencyPkgPath(b, profilePkgPath, parsed);
     if (!pkgPath) {
       const dep = parsed?.dependencies?.[b] ?? parsed?.devDependencies?.[b] ?? parsed?.optionalDependencies?.[b];
       const depDesc = typeof dep === "string" ? `dependencies 为 ${dep}` : "dependencies 中无此包";
-      bad.push(`${b}（找不到 package.json，无法确认类型；${depDesc}。请先用 dev_install_package 或先安装依赖再写 bundles）`);
+      // B1 建议 3：给出可执行的排查方向（独立 DSH_HOME 场景最常见的成因）
+      bad.push(`${b}（找不到 package.json，无法确认类型；${depDesc}。请先用 dev_install_package 或先安装依赖再写 bundles；若为独立 DSH_HOME，请确认 profiles/node_modules 共享层存在——该层由 DSH 真实启动时的 healProfilesModuleFallback 自动建立）`);
       continue;
     }
     try {
@@ -315,6 +319,31 @@ export function nonBundleInProfileBundles(name, args) {
   return bad.length ? bad : null;
 }
 
+/** 若本次文件变更会写入 profile package.json 的 dsh.profile.bundles，返回其中非 bundle/无法确认的项 */
+export function nonBundleInProfileBundles(name, args) {
+  const p = pathTarget(args);
+  if (!isProfilePackageJson(p)) return null;
+  const content = resultingFileContent(name, args);
+  if (!content) return null;
+  return nonBundleInContent(content, p);
+}
+
+/** C1 修复（2026-09-10）：判定本次变更是否为「使装配声明趋于自洽」的修复动作。
+ *  判据：变更**前** profile package.json 的 bundles 不自洽（存在解析不到的项），变更**后**自洽。
+ *  用途：mount-audit 守卫的**收敛豁免**——解除「不一致态只能靠被拦动作修复」的死循环。
+ *  保守边界：读不到原文件、或变更后仍不自洽 → 不豁免。 */
+export function isConvergingBundleFix(name, args) {
+  const p = pathTarget(args);
+  if (!isProfilePackageJson(p)) return false;
+  const after = resultingFileContent(name, args);
+  if (!after) return false;
+  let before = null;
+  try { before = readFileSync(p, "utf8"); } catch { return false; }
+  const beforeBad = nonBundleInContent(before, p);
+  const afterBad = nonBundleInContent(after, p);
+  return Array.isArray(beforeBad) && beforeBad.length > 0 && (!afterBad || afterBad.length === 0);
+}
+
 /** 任务契约守卫：仅在总开关开启且会话 armed 时硬拦；ask 场景交给 tools/pre-execute */
 function taskContractGuardDecision(state, exec, session) {
   if (!state.taskContract?.taskContractEnabled) return null;
@@ -499,7 +528,7 @@ function matchRule(cfg, ctx) {
 
   // 规则 22 机器化：无执行分点/存在歧义 → 本回合禁止变更类工具调用
   //（"你的执行方案难道没问题吗？"虽含"执行"仍是疑问句——同形词不构成指令，不豁免）
-  if (cfg.handler === "rule22-7-direct") {
+  if (kindOf(cfg.handler) === "intent-direct") {
     // B2（2026-08-28 阶段二）：委派/子代理回合不做"无执行分点"判定（规则 22④ 的识别层落地）——
     // 子代理任务书以 source.kind="user" 注入，会被当用户消息判"无执行分点"而误拦（ERR-L8QAXS 实弹）。
     if (isDelegatedSession(exec)) {
@@ -588,7 +617,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 1：同工具同参数连续失败 ≥2 次后拦第 3 次（失败计数由 tool/result 更新）
-  if (cfg.handler === "rule1-retry") {
+  if (kindOf(cfg.handler) === "retry") {
     const key = `${name}:${JSON.stringify(args || {})}`;
     const count = state.retryCounts.get(key) || 0;
     const userText = session.turn.userText || session.lastUserText || "";
@@ -602,7 +631,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 9：内联命令 / BOM 写配置（PS7 语义：仅拦显式 utf8BOM）
-  if (cfg.handler === "rule9-inline-bom") {
+  if (kindOf(cfg.handler) === "inline-command") {
     if ((name === "pwsh" || name === "bash") && cmd) {
       if (INLINE_CMD.test(cmd)) {
         return makeHit(cfg, "【硬拦截】禁止内联命令（node -e / pwsh -c / node -p 等），请先写脚本文件再执行");
@@ -615,7 +644,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 18：DSH 任务首次工具调用前必须已读手册
-  if (cfg.handler === "rule18-manual-first") {
+  if (kindOf(cfg.handler) === "manual-first") {
     const userText = session.turn.userText || session.lastUserText || "";
     const firstTool = session.turn.toolCount === 0;
     if (firstTool && !session.manualReadSeen && dshKeywordsRe().test(userText) && !isManualReadTool(name, args, state.localIntegrations?.manualExempt?.paths || [])) {
@@ -625,7 +654,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 13A：删除/覆盖/高风险写前需有“目标路径对应备份”证据
-  if (cfg.handler === "rule13a-backup") {
+  if (kindOf(cfg.handler) === "backup") {
     // 统一入口命令豁免：入口脚本每次写入前自身执行备份（backup() 保留 5 份），
     // 引擎静态扫描看不到脚本内部动作（已知盲区）；入口命令也已被 __self-protect 限定为唯一写通道。
     if ((name === "pwsh" || name === "bash") && isEntryChannelCommand(cmd, state.localIntegrations?.entryScript)) return null;
@@ -668,7 +697,7 @@ function matchRule(cfg, ctx) {
   // hints 含 "skill" 的其它规则 cfg（如 12A：hints=["ask","skill","sensitive",...]）截胡——
   // 非 skill 工具时 return null，导致 12A 敏感授权检查静默失效（C-2 实测 Move-Item 放行）。
   // 现在：hints 兜底仅在「name === 'skill'」时进入；handler 明确为 rule12b-skill 时维持原语义。
-  if (cfg.handler === "rule12b-skill") {
+  if (kindOf(cfg.handler) === "skill-auth") {
     if (name === "skill") {
       const skillName = typeof args?.name === "string" ? args.name : "";
       if ((state.localIntegrations?.manualExempt?.skills || []).includes(skillName)) return null;
@@ -703,7 +732,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 12A：敏感操作需要匹配授权证据
-  if (cfg.handler === "rule12a-approval") {
+  if (kindOf(cfg.handler) === "approval") {
     if (isSensitiveToolCall(name, args, sessionIdOf(exec))) {
       // 0.5.11（用户定稿）：12A 与 22-7 判据同源——分析通道/低风险新建豁免在两条分支
       // 使用同一组判据（isAnalysisOp/isLowRiskWorkspaceNew），不再各写一套（此前 22-7 放行、
@@ -742,7 +771,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 21：规则/配置文件变更需 unlock（元规则）
-  if (cfg.handler === "rule21-meta") {
+  if (kindOf(cfg.handler) === "meta") {
     if ((name === "edit" || name === "write" || (name === "str_replace_editor" && args?.command !== "view")) && isProtectedConfigPath(p) && !unlock) {
       return makeHit(cfg, "【硬拦截】规则/配置文件受保护：修改需用户先执行 /guard unlock");
     }
@@ -750,7 +779,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 24：插件装配类型确认（A 硬拦）+ 变更类工具统一覆盖（原规则 25 语义，检查④）
-  if (cfg.handler === "rule24-assembly-type") {
+  if (kindOf(cfg.handler) === "assembly") {
     if (name === "dev_install_package") {
       const dir = args?.dir;
       if (dir) {
@@ -782,7 +811,7 @@ function matchRule(cfg, ctx) {
   }
 
   // 规则 27：装配变更后必须先通过全量审计，才能继续装配（C 时序；全局变更 + 本会话审计证据）
-  if (cfg.handler === "rule27-mount-audit") {
+  if (kindOf(cfg.handler) === "mount-audit") {
     if (isAssemblyMutationTool(name, args)) {
       const currentSig = computeMountSignature(profileNameFromArgs(args));
       state.mountSignature = currentSig;
@@ -791,6 +820,14 @@ function matchRule(cfg, ctx) {
         ? currentSig !== auditedSig
         : (state.mountRevision > (session.mountAuditRevision || 0));
       if (needsAudit) {
+        // C1 修复（2026-09-10）：**收敛豁免**——允许"使装配趋于自洽"的变更，解除不一致态的死循环。
+        //   背景（独立 DSH_HOME 试点）：改 dependencies → 通过；改 bundles 补齐 → 被拦；
+        //   试图回滚 dependencies → **同样被拦** → 审计失败项（bundles-missing）恰恰只能靠被拦的动作修复
+        //   → 无法收敛（试点靠用户手工写文件才解开）。
+        //   ① 回滚豁免：变更后签名回到"审计通过时的签名"
+        //   ② 修复豁免：变更前声明不自洽（bundles 有解析不到的项）而变更后自洽
+        if (auditedSig && currentSig === auditedSig) return null; // ① 回到已审计状态
+        if (isConvergingBundleFix(name, args)) return null;        // ② 修复审计点名的缺失/非法项
         const why = auditedSig
           ? `装配内容已变化（装配状态哈希 ${currentSig.slice(0, 8)} ≠ 审计通过时 ${auditedSig.slice(0, 8)}）`
           : `插件装配已变更（mountRevision=${state.mountRevision}）且本会话未通过全量审计`;

package/lib/core/intent.js

@@ -87,7 +87,7 @@ export function isEngineInjectedMessage(text) {
 // source.kind 主判之外，对"标记为 user 但实为注入"的消息做模板兜底——
 // 命中即整体跳过：不覆盖回合状态、不产生 scopes/授权。
 // 本机实证来源：runtime context 快照（无 system-reminder 标签）、子代理完成通知（B3）、
-// vision-router 自动挂载提醒（index.js:3494-3518）、引擎自身注入（[规则引擎]）。
+// vision-router 自动挂载提醒（该包 client 侧注入）、引擎自身注入（[规则引擎]）。
 // example-injector 的近距离引导模板待实测后收窄补充。
 const SYSTEM_INJECTION_PREFIXES = [
   /^Current runtime context\./,

package/lib/core/llm-intent.js

@@ -50,7 +50,9 @@ export function verdictForDeny(turn, cfg = {}, lexiconDenied = true) {
     if (conf >= high) return { mutationDenied: false, source: "llm-high", reason: `LLM 高置信(${conf})` };
     if (conf >= low) return { mutationDenied: false, source: "llm-low", reason: `LLM 低置信(${conf})` };
   }
-  return { mutationDenied: true, source: "lexicon", reason: "" };
+  // 2026-09-13：把「兜底失败原因」透出——此前失败降级与「词表缺词」在返回值上完全同形，无法区分。
+  const llmError = (llm && llm.raw === turn?.userText && llm.error) ? String(llm.error) : "";
+  return { mutationDenied: true, source: "lexicon", reason: "", llmError };
 }
 
 /**
@@ -120,18 +122,24 @@ export async function enrichIntentWithLlm(ctx, state, sid, text, cfg) {
       state.llmIntentCache.delete(firstKey);
     }
     auditIntent(state, sid, text, verdict, ms, false);
-  } catch {
+  } catch (e) {
     session.turn.intentState = "lexicon";
-    auditIntent(state, sid, text, null, Date.now() - started, false);
+    // 2026-09-13：失败也要留痕——此前 catch 路径不写 turn.llmIntent，
+    // 导致 96.7% 的失败率长期不可归因（审计只有「失败降级」，无原因）。
+    const errMsg = String((e && e.message) || e);
+    session.turn.llmIntent = { raw: text, verdict: null, error: errMsg, at: Date.now() };
+    auditIntent(state, sid, text, null, Date.now() - started, false, errMsg);
   }
 }
 
-function auditIntent(state, sid, text, verdict, ms, limitHit) {
+function auditIntent(state, sid, text, verdict, ms, limitHit, llmError) {
   try {
     state.llmIntentLast = {
       text: String(text).slice(0, 60),
       verdict: verdict ? { ...verdict, confidence: Number(verdict.confidence) } : null,
       source: verdict ? "llm" : "fail",
+      // 2026-09-13：失败原因（供 /guard status 与排障读取；此前只记「fail」）
+      error: llmError || null,
       at: Date.now()
     };
     audit({
@@ -141,7 +149,7 @@ function auditIntent(state, sid, text, verdict, ms, limitHit) {
       event: "user/message",
       reason: verdict
         ? `词表低置信 → LLM:${JSON.stringify(verdict)}（延迟 ${ms}ms${limitHit ? " 限额" : ""}）`
-        : `词表低置信 → LLM 失败降级（延迟 ${ms}ms）`,
+        : `词表低置信 → LLM 失败降级（延迟 ${ms}ms${llmError ? `：${llmError}` : "（原因未捕获）"}）`,
       session: sid,
       verdictSource: verdict ? "llm-intent" : "lexicon",
       text: String(text).slice(0, 120)

package/lib/core/matcher.js

@@ -10,19 +10,21 @@ import {
   activateTimeRe,
   dshKeywordsRe
 } from "./patterns.js";
+import { kindOf } from "./measure-kinds.js";
 
 export function activateForUserMessage(configs, userText) {
   const text = userText || "";
   return configs.filter((cfg) => {
-    if (cfg.handler === "rule18-manual-first" && dshKeywordsRe().test(text)) return true;
-    if (cfg.handler === "rule12b-skill" && activateSkillRe().test(text)) return true;
-    if (cfg.handler === "rule12a-approval" && activateApprovalRe().test(text)) return true;
-    if (cfg.handler === "rule12c-network" && activateNetworkRe().test(text)) return true;
-    if (cfg.handler === "rule13a-backup" && activateBackupRe().test(text)) return true;
-    if (cfg.handler === "rule2-time" && activateTimeRe().test(text)) return true;
-    if (cfg.handler === "rule7-promise" && activatePromiseRe().test(text)) return true;
-    if (cfg.handler === "rule5-source" && activateSourceRe().test(text)) return true;
-    if (cfg.handler === "rule11-language" && CJK_PRESENT.test(text)) return true;
+    const kind = kindOf(cfg.handler);
+    if (kind === "manual-first" && dshKeywordsRe().test(text)) return true;
+    if (kind === "skill-auth" && activateSkillRe().test(text)) return true;
+    if (kind === "approval" && activateApprovalRe().test(text)) return true;
+    if (kind === "network" && activateNetworkRe().test(text)) return true;
+    if (kind === "backup" && activateBackupRe().test(text)) return true;
+    if (kind === "time" && activateTimeRe().test(text)) return true;
+    if (kind === "promise" && activatePromiseRe().test(text)) return true;
+    if (kind === "source" && activateSourceRe().test(text)) return true;
+    if (kind === "language" && CJK_PRESENT.test(text)) return true;
     return false;
   });
 }
@@ -33,15 +35,16 @@ export function activateForToolCall(configs, toolName, args) {
   const name = String(toolName || "");
   const argText = JSON.stringify(args || {});
   return configs.filter((cfg) => {
-    if (cfg.handler === "rule9-inline-bom" && (name === "pwsh" || name === "bash")) return true;
-    if (cfg.handler === "rule1-retry") return true;
-    if (cfg.handler === "rule18-manual-first") return true;
-    if (cfg.handler === "rule13a-backup" && (name === "pwsh" || name === "bash" || name === "edit" || name === "write")) return true;
-    if (cfg.handler === "rule12b-skill" && name === "skill") return true;
-    if (cfg.handler === "rule12a-approval" || cfg.handler === "rule12d-sensitive") {
+    const kind = kindOf(cfg.handler);
+    if (kind === "inline-command" && (name === "pwsh" || name === "bash")) return true;
+    if (kind === "retry") return true;
+    if (kind === "manual-first") return true;
+    if (kind === "backup" && (name === "pwsh" || name === "bash" || name === "edit" || name === "write")) return true;
+    if (kind === "skill-auth" && name === "skill") return true;
+    if (kind === "approval" || kind === "sensitive") {
       if (name === "pwsh" || name === "bash" || name === "edit" || name === "write" || name === "ask_user_question") return true;
     }
-    if (cfg.handler === "rule21-meta" && (name === "edit" || name === "write")) return true;
+    if (kind === "meta" && (name === "edit" || name === "write")) return true;
     if (argText) {
       const low = argText.toLowerCase();
       if (cfg.triggerKeywords.some((k) => low.includes(k.toLowerCase()))) return true;

package/lib/core/measure-kinds.js

@@ -0,0 +1,127 @@
+// measure-kinds.js - 措施类型注册表（架构 v3 §三 L1：通用层，零规则号）
+//
+// 依据：reports/2026-09-10-引擎分层架构-通用层零规则内容-v1.md
+//   §三 L1「措施类型注册表（measure kinds）：每型一个通用解释器，命名去规则号」；
+//   §八 P1「措施类型注册表 + 解释器骨架；guard-core/matcher 改 kind → interpreter；内部名去规则号」。
+//
+// 三层分工（P1）：
+//   ① MEASURE_KINDS —— 通用层的 kind 清单（**零规则号**，随包发布）；
+//   ② LEGACY_HANDLER_ALIASES —— 历史内部名（带规则号）→ kind 的**兼容映射**
+//      （P4 清淤时迁个人层配置；保留在此是为了不破坏既有配置与规则正文声明）；
+//   ③ kindOf() —— 唯一归一入口，接受 旧名 / kind 名 / 未知名 三种输入。
+//
+// 兼容面（P1 行为等价的前提）：本机 rule-engine.json 的 handlerDefaultMap/handlerOverrides、
+//   规则正文 `<!-- handler: … -->`、以及测试夹具，**仍可写旧内部名**——经 kindOf 归一后
+//   与 kind 名完全等价。新用户/新规则写 kind 名即可，无需知道任何规则号。
+export const MEASURE_KINDS = {
+  retry: "连续失败重试闸（第 3 次拒绝）",
+  time: "时间表述取证",
+  source: "引用出处标注",
+  promise: "承诺保守",
+  "inline-command": "禁止内联命令",
+  language: "语言与表达",
+  approval: "敏感操作授权确认",
+  "skill-auth": "技能调用授权",
+  network: "下载与网络",
+  backup: "写入前备份",
+  "manual-first": "先查手册再动手",
+  meta: "元规则管理",
+  "intent-direct": "无执行分点直拦",
+  "runtime-verify": "交付验证证据",
+  assembly: "插件装配类型守卫",
+  "release-asset": "发布资产规范",
+  "mount-audit": "挂载唯一性审计",
+  sensitive: "敏感操作（注入面）"
+};
+
+/** 历史内部名 → kind（兼容层；键含规则号，P4 迁个人层配置） */
+export const LEGACY_HANDLER_ALIASES = {
+  "rule1-retry": "retry",
+  "rule2-time": "time",
+  "rule5-source": "source",
+  "rule7-promise": "promise",
+  "rule9-inline-bom": "inline-command",
+  "rule11-language": "language",
+  "rule12a-approval": "approval",
+  "rule12b-skill": "skill-auth",
+  "rule12c-network": "network",
+  "rule12d-sensitive": "sensitive",
+  "rule13a-backup": "backup",
+  "rule18-manual-first": "manual-first",
+  "rule21-meta": "meta",
+  "rule22-7-direct": "intent-direct",
+  "rule23-runtime-verify": "runtime-verify",
+  "rule24-assembly-type": "assembly",
+  "rule26-release-asset": "release-asset",
+  "rule27-mount-audit": "mount-audit"
+};
+
+/**
+ * 归一为 kind 名。
+ *   旧内部名 → kind；kind 名 → 原样（幂等）；未知名 → 原样（由覆盖自省提示未覆盖）。
+ * @param {string} name
+ * @returns {string}
+ */
+export function kindOf(name) {
+  const s = String(name || "").trim();
+  if (!s) return "";
+  return LEGACY_HANDLER_ALIASES[s] || s;
+}
+
+/** 兼容旧调用名（understander 对外导出同义函数） */
+export function normalizeHandlerName(name) {
+  return kindOf(name);
+}
+
+// ── P2（2026-09-10）：个人层「措施声明」解析 + 校验（架构正本 §三 L2/L3）──
+
+/** 规则正文内联声明：`<!-- handler: <kind> -->` 或 `<!-- handler: <kind> {json} -->`
+ *  设计（方案 A，用户 2026-09-10 拍板）：**扩展既有 handler 声明**而非新增独立块——
+ *  向后兼容（旧声明零影响）、单点解析入口。正则捕获 `-->` 之前的**全部内容**，之后再拆分，
+ *  避免用嵌套正则直接匹配 JSON（`}` 截断风险）。 */
+const HANDLER_DECL_RE = /<!--\s*handler\s*:\s*([\s\S]*?)-->/i;
+
+/**
+ * 解析个人层措施声明。
+ * @param {string} body 规则正文
+ * @returns {null | {kind: string, params: object} | {error: string}}
+ *   null = 无声明；{kind, params} = 解析成功；{error} = 声明非法（调用方须 fail-closed）
+ */
+export function parseHandlerDecl(body) {
+  const m = String(body || "").match(HANDLER_DECL_RE);
+  if (!m) return null;
+  const raw = String(m[1] || "").trim();
+  if (!raw) return { error: "声明为空（`<!-- handler: -->`）" };
+  const km = /^([A-Za-z0-9][A-Za-z0-9-]*)\s*([\s\S]*)$/.exec(raw);
+  if (!km) return { error: `声明格式非法：${raw.slice(0, 60)}` };
+  const kind = kindOf(km[1]);
+  const rest = String(km[2] || "").trim();
+  let params = {};
+  if (rest) {
+    let parsed;
+    try {
+      parsed = JSON.parse(rest);
+    } catch {
+      return { error: `参数不是合法 JSON：${rest.slice(0, 60)}` };
+    }
+    if (parsed === null || typeof parsed !== "object" || Array.isArray(parsed)) {
+      return { error: `参数必须是 JSON 对象：${rest.slice(0, 60)}` };
+    }
+    params = parsed;
+  }
+  return { kind, params };
+}
+
+/**
+ * 校验措施声明（架构正本 §三 L3：**kind 未注册即拒绝并明确报错，fail-closed**）。
+ * @param {null | {kind: string} | {error: string}} decl parseHandlerDecl 的输出
+ * @returns {null | string} null = 通过（或无声明）；字符串 = 明确错误原因
+ */
+export function validateMeasure(decl) {
+  if (!decl) return null;
+  if (decl.error) return decl.error;
+  if (!Object.prototype.hasOwnProperty.call(MEASURE_KINDS, decl.kind)) {
+    return `kind 未注册：${decl.kind}（已注册：${Object.keys(MEASURE_KINDS).join(" / ")}）`;
+  }
+  return null;
+}

package/lib/core/patterns.js

@@ -303,6 +303,12 @@ const ALLOW_SEG_RE =
 // 0.5.12（F4）：纯字符串/纯输出段（整段是引号包裹字符串或 $() 子表达式）——不是命令，放行。
 // 保守边界：只匹配"整段即字符串"（^...$ 锚定），不让 node -e "..." / curl -o "..." 借道。
 const PURE_STRING_SEG_RE = /^(?:"[^"\r\n]*"|'[^'\r\n]*'|`[^`\r\n]*`|\$\(\s*[^()\r\n]*\s*\))+$/;
+// F5（2026-09-10 修复，第三方实测）：`Remove-Item Env:NAME` 的**操作对象是进程环境变量，不是文件**，
+// 此前被 MUTATING_CMD_RE 的 Remove-Item 命中判写（ERR-JCSE3O 的类判定来源）。
+// 边界（保守）：仅当整段目标都是 Env:/$env: 形式时豁免；`Remove-Item <路径>`、混合目标、
+// 选项在目标之前（如 `Remove-Item -Force Env:X`）一律不豁免——宁可误拦不可放行真删除。
+const ENV_SCOPE_REMOVE_SEG_RE =
+  /^\s*Remove-Item\s+(?:\$env:|Env:)[\w()]+\s*(?:-[\w]+\s+(?:"[^"]*"|'[^']*'|[^\s;|]+)\s*)*$/i;
 // 剥离 try/catch/finally 控制块：块内语句与主语句同样接受只读判定（Try-* 不是 cmdlet）。
 // 注意：不做全量 [{}] 替换——if/else 子表达式（$(if(...){...}else{...})）会被切碎误判。
 function stripControlBlocks(command) {
@@ -319,12 +325,38 @@ export function isMutationCommand(command) {
   return typeof command === "string" && MUTATING_CMD_RE.test(command);
 }
 
-/** 只读命令链按分隔符折段（机制 B，2026-08-24）：`; 换行 && || |`（管道前后是命令链；`2>&1`/`2>$null` 的 stderr 重定向不拆分） */
+/** 只读命令链按分隔符折段（机制 B，2026-08-24）：`; 换行 && || |`（管道前后是命令链；`2>&1`/`2>$null` 的 stderr 重定向不拆分）
+ *  F5（2026-09-10 修复，第三方实测）：**引号感知**——此前裸拆 `|` 会把**引号内的 `|`** 当分隔符
+ *  （正则 alternation `-Pattern 'a|b'`、格式串 `"{0} | x"`、`-notmatch 'x|y'`）→ 切出无法识别的残段
+ *  → 保守判非只读（本文件的引号感知分支）→ 整条只读命令被规则 22 按 write 拦（ERR-4WOAKG / 9T886X / Z8M7YC / IKXLU8）。
+ *  现：`'…'` / `"…"` / `` `…` `` 内的分隔符不拆。转义语义按 PS：`'` 内不转义（`''` 表一个单引号）；
+ *  `"` 与 `` ` `` 内 `\` / `` ` `` 转义下一字符（兼容跨语言写法）。 */
 function splitCommandSegments(command) {
-  return String(command)
-    .split(/\r?\n|;|&&|\|\||(?<!\d)\|/)
-    .map((s) => s.trim())
-    .filter(Boolean);
+  const s = String(command);
+  const out = [];
+  let buf = "";
+  let quote = null;
+  for (let i = 0; i < s.length; i++) {
+    const c = s[i];
+    if (quote) {
+      buf += c;
+      if (quote !== "'" && (c === "\\" || c === "`")) { buf += s[i + 1] ?? ""; i++; continue; }
+      if (c === quote) quote = null;
+      continue;
+    }
+    if (c === "'" || c === '"' || c === "`") { quote = c; buf += c; continue; }
+    if (c === "\r") continue;
+    if (c === "\n" || c === ";") { out.push(buf); buf = ""; continue; }
+    if (c === "&" && s[i + 1] === "&") { out.push(buf); buf = ""; i++; continue; }
+    if (c === "|") {
+      if (s[i + 1] === "|") { out.push(buf); buf = ""; i++; continue; }
+      if (i > 0 && /\d/.test(s[i - 1])) { buf += c; continue; } // 保留原 (?<!\d) 语义
+      out.push(buf); buf = ""; continue;
+    }
+    buf += c;
+  }
+  out.push(buf);
+  return out.map((x) => x.trim()).filter(Boolean);
 }
 
 /** 判断命令文本是否只读（读文件/查询类，无写入/删除/提交副作用）。
@@ -345,6 +377,7 @@ export function isReadOnlyCommand(command) {
     const s = String(seg).trim();
     if (!s) return true; // 剥离残留的空段放行
     if (s.startsWith("#")) return true;
+    if (ENV_SCOPE_REMOVE_SEG_RE.test(s)) return true; // F5：环境变量操作非文件删除（须在 MUTATING 之前）
     if (MUTATING_CMD_RE.test(s)) return false;
     if (MUTATING_METHOD_RE.test(s)) return false;
     if (COM_CONTENT_ASSIGN_RE.test(s)) return false; // $doc.Text=... 是写文档
@@ -436,9 +469,11 @@ export function isAnalysisOp(toolName, args) {
 // ═══════════ 0.5.10 已知环境坑特征表（建议5——错误码自动召回，K-01/K-05 依据）═══════════
 // 工具/命令错误文本命中特征 → 审计 error-hint + 注入指向知识库的提示（低频：仅命中才提示；语义=指路不打扰）。
 // hint 文案经 messages 层取（第 1 批 1b：去本机标识——原 hint 引用本机手册踩坑编号/代理端口/发布变量）
+// 2026-09-11 去本机残留（分层 P4）：第二条原写死本机代理端口号（key 亦含该端口号）——
+//   通用层不应含任何本机标识；判据放宽为「连接被拒」本身（提示仅是"先查代理/服务是否启动"，泛指无害）。
 const KNOWN_PITFALLS = [
   { key: "SEC_E_NO_CREDENTIALS", re: /SEC_E_NO_CREDENTIALS/i, hintKey: "pitfall.tls" },
-  { key: "proxy-7890-refused", re: /ECONNREFUSED[^\n]*7890/i, hintKey: "pitfall.proxy" },
+  { key: "conn-refused", re: /ECONNREFUSED/i, hintKey: "pitfall.proxy" },
   { key: "sandbox-pipe-EPERM", re: /EPERM/i, hintKey: "pitfall.sandbox-pipe" },
   { key: "ERR_MODULE_NOT_FOUND", re: /ERR_MODULE_NOT_FOUND/i, hintKey: "pitfall.module-missing" }
 ];
@@ -617,12 +652,15 @@ export function isAuditCommand(command) {
  * 2026-08-31（验证通道放行面，用户定稿）：清单扩展 + 由 isAnalysisOp 独立调用——
  * ① 单测通配（任意 *.test.mjs）、② 验证/门禁脚本（check-tool-coverage / publish-aptitude-check）、
  * ③ --dry-run（发布脚本 dry-run=只读推导，发布链无 dry-run 不匹配）、④ gh api 只读 GET、npm whoami。
+ * 2026-09-11（手册条款 16「重复劳动升级律」落地）：新增 ⑤ 收尾脚本 session-wrapup.mjs——清理 .staging-* 入回收站
+ *   + 列待提交清单 + 沉淀自检。放行依据＝规则 13A 豁免原文「移动文件到 .backups/ 或 .backups/trash-<时间戳>/
+ *   的保护性备份操作，免询问」；**不含** commit / publish / push 等执行类动作（仍走严格授权，脚本只"列出"待提交文件）。
  * 安全边界：执行类脚本（release-plugin 无 --dry-run / inject / uninject / install / publish / commit /
  * push / Remove-Item 等）一律不匹配——执行类仍走授权语义严格版（0.5.11 防借道回归不放松）。
  */
 export function isVerificationCommand(command) {
   if (typeof command !== "string") return false;
-  if (/\b(?:node|npm|npx)\s+[^\n]*(?:run-all\.mjs|audit-mount-consistency\.mjs|loader-smoke\.e2e\.mjs|verify-all\.mjs|health-audit\.mjs|check-tool-coverage\.mjs|publish-aptitude-check\.mjs|\.test\.mjs\b|--check|--test|--dry-run)\b/i.test(command)) return true;
+  if (/\b(?:node|npm|npx)\s+[^\n]*(?:run-all\.mjs|audit-mount-consistency\.mjs|loader-smoke\.e2e\.mjs|verify-all\.mjs|health-audit\.mjs|check-tool-coverage\.mjs|publish-aptitude-check\.mjs|session-wrapup\.mjs|\.test\.mjs\b|--check|--test|--dry-run)\b/i.test(command)) return true;
   if (/\b(?:npm|pnpm)\s+(?:test|run\s+test)\b/i.test(command)) return true;
   if (/\bgh\s+api\b/i.test(command)) {
     // 只读 GET 形态；写形态（--method/-X 显式方法、-F/--field 表单）不豁免（gg api 写=执行类）
@@ -853,7 +891,12 @@ export const PATTERN_MAP_KEYS = {
 
 /** 数值型配置键（键 → 内置默认；与正则键共用同一配置层与校验/回退语义） */
 export const PATTERN_NUM_KEYS = {
-  criticism_caps_ratio: 0.6 // 英文全大写比率阈值（≥ 该值且字母数 ≥6 视为"喊叫"强形态）
+  criticism_caps_ratio: 0.6, // 英文全大写比率阈值（≥ 该值且字母数 ≥6 视为"喊叫"强形态）
+  // 2026-09-15（踩坑 144 修法 (b) 收紧档落地）：纯比率版把中文消息里的**编号标签**（A1→A3→B5→D）
+  // 与**缩写**（ESR／DSH）判成"喊叫"→ A″ 误冻结写类工具（本会话连续两回合实测）。
+  // 现要求"词形"证据：≥ min_tokens 个「连续字母 ≥ min_word_len」的 token，再看这些 token 的大写比率。
+  criticism_caps_min_tokens: 2,
+  criticism_caps_min_word_len: 4
 };
 
 // 内置默认：语言无关最小集（无中文）

package/lib/core/state.js

@@ -156,6 +156,12 @@ export function getSessionState(state, sessionId) {
       selfCertCount: new Map(),
       authorizations: [],
       backups: [],
+      // D2 修复（2026-09-10，独立 DSH_HOME 试点反馈）：待决 ask 提升为**会话级**。
+      // 此前放在 turn 级：用户先发新消息 → turn/start → resetTurn 整体替换 s.turn
+      // → pendingAsk 被刷成 null → 随后到达的 ask 答复走不进登记分支，
+      // 实测「用户消息与 ask 答复并发」时一次 ask 的授权**全部未登记**（ERR-M9Z47H）。
+      // 语义依据：pendingAsk 描述的是「一次工具调用的待决状态」，跨回合有效，不属回合文本状态。
+      pendingAsk: null,
       mountAuditRevision: 0,
       mountAuditSignature: "",
       lastCommandOutput: "",
@@ -252,7 +258,8 @@ export function freshTurn() {
     intents: null,
     intentState: "lexicon", // lexicon | llm-pending | llm-ready（LLM 意图兜底状态）
     llmIntent: null, // { raw, verdict, reason, confidence, at }（LLM 裁决，非高置信时词表兜底）
-    pendingAsk: null,
+    // pendingAsk 已迁至**会话级**（见 getSessionState）——D2 修复，2026-09-10。
+    // 此处不再定义回合级 pendingAsk：避免两处同名状态互相遮蔽。
     pendingToolCalls: new Map(),
     getDateSeen: false,
     backupSeen: false,
@@ -268,7 +275,10 @@ export function freshTurn() {
     scopes: [],
     // M8 双通道机制（2026-08-24）：统一入口落盘后同轮 engram_store 校验（entryMarker 经配置）
     manualWriteSeen: false,
-    engramStoreSeen: false
+    engramStoreSeen: false,
+    // D（2026-09-13）：本回合是否已在「落盘那一刻」提示过——防 turn/end 兜底路径重复投递
+    // （maybeInject 的闸是同规则最多 3 次，非一次即止，故需回合级标记）
+    m8Hinted: false
   };
 }