dsh-rule-engine 0.6.3 → 0.6.5

package/lib/core/text-detect.js

@@ -44,6 +44,8 @@ import { detectOverengineeringText } from "./overengineering.js";
 // 用户批评形态（规则 22②；2026-09-02 建、2026-09-08 第二批 §1.3 重构为 A″）：
 //   A″ = 语义主判、无通用词表、宽松触发、行为闸：
 //   - 通用层只留**语言无关形态**：连续问号/叹号（CRITICISM_SHAPE_RE）+ 英文全大写比率（hasHighCapsRatio）；
+//     2026-09-15（踩坑 144 修法 (b)）：大写比率一支改由 **hasShoutingWordShape** 把关——只认"词形" token
+//     （连续字母 ≥4、≥2 个），编号标签（A1/B5）与缩写（ESR/DSH）不再计为"喊叫"；纯比率函数保留导出供配置层复用。
 //   - 辱骂词枚举**迁出**到本机 rule-engine.json 的 criticismPersonal（发布面不含个人话术），经 setCriticismPersonal 注入；
 //   - 机器层只产"疑似"信号（不再直接产 correct），裁决归 LLM 层（judge/deliverSuspects 兜底）；
 //   - 行为闸在 index.js：命中疑似 → 冻结本回合写类工具 + 注入四段模板（停止/归因四问/三件套/等指令）。
@@ -66,7 +68,9 @@ function personalCriticismRe() {
   return new RegExp(`(?:${alts.join("|")})`);
 }
 
-/** 情绪强度信号：英文全大写比率 ≥ 阈值（默认 0.6，经 patterns.criticism_caps_ratio 可配置）且字母数 ≥6（语言无关的"喊叫"形态） */
+/** 情绪强度信号：英文全大写比率 ≥ 阈值（默认 0.6，经 patterns.criticism_caps_ratio 可配置）且字母数 ≥6
+ *（语言无关的"喊叫"形态）。**注意**：本函数只看比率，不区分"词"与"标识符"——判"喊叫"请用
+ *  hasShoutingWordShape（2026-09-15 起 criticismSignals 用的是后者）。 */
 export function hasHighCapsRatio(text) {
   const t = String(text || "");
   const letters = t.replace(/[^A-Za-z]/g, "");
@@ -75,10 +79,24 @@ export function hasHighCapsRatio(text) {
   return caps.length / letters.length >= patNum("criticism_caps_ratio");
 }
 
+/** 词形大写"喊叫"形态（2026-09-15，踩坑 144 修法 (b) 收紧档）：**只认词形 token**——
+ *  取「连续字母 ≥ criticism_caps_min_word_len」的 token（`A1`／`B5`／`12B` 这类编号因连续字母不足被排除、
+ *  3 字母缩写 `ESR` 亦不足默认 4），需此类 token ≥ criticism_caps_min_tokens 个，
+ *  再对这些 token 的整体大写比率套 hasHighCapsRatio。
+ *  由来：纯比率版在中文/技术语境必然误报（几个大写标记即 100%），A″ 因此误冻结写类工具。 */
+export function hasShoutingWordShape(text) {
+  const t = String(text || "");
+  const minLen = Math.max(2, patNum("criticism_caps_min_word_len"));
+  const minToks = Math.max(1, patNum("criticism_caps_min_tokens"));
+  const toks = t.match(new RegExp(`[A-Za-z]{${minLen},}`, "g")) || [];
+  if (toks.length < minToks) return false;
+  return hasHighCapsRatio(toks.join(" "));
+}
+
 /** 批评疑似检测（A″）：{shape, personal, weak, suspect}——机器只产疑似，判定权归模型 */
 export function criticismSignals(text) {
   const t = String(text || "");
-  const shape = criticismShapeRe().test(t) || hasHighCapsRatio(t);
+  const shape = criticismShapeRe().test(t) || hasShoutingWordShape(t);
   const personal = (personalCriticismRe() || /$^/).test(t);
   const weak = criticismWeakRe().test(t);
   return { shape, personal, weak, suspect: shape || personal ? "strong" : weak ? "weak" : null };

package/lib/core/tool-catalog.js

@@ -26,6 +26,11 @@ const ANALYSIS_TOOLS = new Set([
   // 子代理交付工具（官方 dsh-tool-subagent-report，2026-08-24 实测发现）：仅子代理环境注册，
   // 参数仅 output 文本 → 直接交付父代理，无文件副作用 → analysis（避免子代理交付被 unknown deny 阻断）
   "report",
+  // 官方交付物声明工具（2026-09-14 补录：verify-all ⑤「工具箱覆盖」实测 COVERAGE-FAIL —— 官方
+  // tool-catalog 全集含 present 而本表未收录，会被 unknownToolDecision 当未知工具首调处置）：
+  // present 只把**已存在**的文件登记为交付物（纯会话态；不复制内容、不写盘、不改文件）→ analysis。
+  // 与相邻两类工具的分界：report/visualize 会写 artifact（visualize 落一份卡片副本），present 不写。
+  "present",
   // 官方子代理模型发现（@deepseek-ai/dsh-tool-subagent，2026-09-06 工具目录漂移补录）：只读枚举
   // 可用子代理模型（模型发现/所选路由校验），无持久副作用 → analysis
   "list_subagent_models",
@@ -36,7 +41,10 @@ const ANALYSIS_TOOLS = new Set([
   "cordis_inspect_list", "cordis_inspect_query", "cordis_inspect_self",
   "ask_user_question",
   // ESR 状态查询（读工作区记忆状态，无持久副作用）
-  "esr_status", "esr_ready", "esr_model"
+  "esr_status", "esr_ready", "esr_model",
+  // univer-office 只读族（2026-09-09 补录：规则 24④ 实测 univer_execute 被硬拦——该族未分类；
+  // 逐工具分类而非前缀一刀切：只读/查询类 → analysis）
+  "univer_status", "univer_inspect", "univer_lint", "univer_api", "univer_resources"
 ]);
 
 // 产物类：工具自然行为会写文件（artifact/工作区/会话存储），低风险——放行 + 审计。
@@ -59,7 +67,9 @@ const ARTIFACT_TOOLS = new Set([
   // （12A isSensitiveToolCall / 13A / 24 装配判定）链上覆盖，不再各自归类。
   "dev_stage_add", "dev_stage_call", "dev_stage_promote", "dev_stage_demote",
   // ESR 工程状态写操作（写工作区记忆存储，engram_store 同族）
-  "esr_task", "esr_node", "esr_link", "esr_claim", "esr_close", "esr_unclaim", "esr_dep", "esr_gc"
+  "esr_task", "esr_node", "esr_link", "esr_claim", "esr_close", "esr_unclaim", "esr_dep", "esr_gc",
+  // univer-office 产物族（2026-09-09 补录）：截图写 artifact；univer_new 只新建不覆盖
+  "univer_screenshot", "univer_new"
 ]);
 
 // 变更类：维持现有严格授权（规则 22 粒度比对 / 12A 敏感授权 / 13A 备份）
@@ -77,7 +87,10 @@ const MUTATING_TOOLS = new Set([
   "followup_task", "spawn_teammate", "team_task_create", "team_task_get",
   "team_task_list", "team_task_update", "wait_agent",
   // 本机命名空间兜底（dev_ 前缀 = 开发侧工具，行为可写可管理；具体已枚举，前缀兜底未来新增）
-  "dev_router_status"
+  "dev_router_status",
+  // univer-office 变更族（2026-09-09 补录，规则 24④：未分类 + 疑似写 → 硬拦；逐工具分类纳入守卫链）
+  "univer_execute", "univer_import", "univer_unit", "univer_worktree",
+  "univer_compile_svg", "univer_export", "univer_print_pdf"
 ]);
 
 // 前缀规则：生态命名空间的工具自动归类（0.5.9 新）——将来的新插件遵循惯例即被覆盖。

package/lib/core/understander.js

@@ -13,6 +13,7 @@ import {
   URL_RE,
   sourceMarkRe
 } from "./patterns.js";
+import { normalizeHandlerName, parseHandlerDecl, validateMeasure } from "./measure-kinds.js";
 
 // 2026-08-31（残余1 剥离，用户定稿）：本机默认偏好表从代码下沉到本机配置——
 // rule-engine.json 的 handlerDefaultMap（可选键，可整体替换/清空）。代码层默认表为空
@@ -87,40 +88,21 @@ function hintPatterns(checkText) {
   return [...new Set(hints)];
 }
 
-/** 规则正文内联 handler 声明（T3）：`<!-- handler: rule22-7-direct -->` */
-const HANDLER_DECL_RE = /<!--\s*handler\s*:\s*([a-z0-9][a-z0-9-]*)\s*-->/i;
-
 /**
- * 执行器语义别名（残余3 通用化，2026-08-31）：
- * 内部执行器名（rule12a-approval 等）带规则编号影子——陌生用户声明时不应见到。
- * 语义名 → 内部名映射：声明/配置写语义名即归一；直接写内部名不受影响（别名表无该键）。
- * 归一发生在 resolveHandler 末端；guard-core 分支（按内部名）零改动。
+ * 措施类型归一 + 声明解析（架构 v3 P1/P2，2026-09-10）：
+ *   注册表（MEASURE_KINDS）+ 兼容别名表（LEGACY_HANDLER_ALIASES）+ 归一入口（kindOf）
+ *   + 声明解析（parseHandlerDecl）+ 校验（validateMeasure）均在 ./measure-kinds.js
+ *   —— 本文件不含任何规则号字面量。
+ *   归一语义：历史内部名 → kind；kind 名 → 原样（幂等）；未知名 → 原样（覆盖自省提示未覆盖）。
  */
-const HANDLER_ALIASES = {
-  retry: "rule1-retry",
-  time: "rule2-time",
-  source: "rule5-source",
-  promise: "rule7-promise",
-  "inline-command": "rule9-inline-bom",
-  language: "rule11-language",
-  approval: "rule12a-approval",
-  "skill-auth": "rule12b-skill",
-  network: "rule12c-network",
-  backup: "rule13a-backup",
-  "manual-first": "rule18-manual-first",
-  meta: "rule21-meta",
-  "intent-direct": "rule22-7-direct",
-  "runtime-verify": "rule23-runtime-verify",
-  assembly: "rule24-assembly-type",
-  "release-asset": "rule26-release-asset",
-  "mount-audit": "rule27-mount-audit"
-};
-
-/** 语义名归一（内部名原样返回；未知名保持原样——由覆盖自省提示未覆盖） */
-export function normalizeHandlerName(name) {
-  const s = String(name || "");
-  return HANDLER_ALIASES[s] || s;
-}
+export {
+  normalizeHandlerName,
+  kindOf,
+  MEASURE_KINDS,
+  LEGACY_HANDLER_ALIASES,
+  parseHandlerDecl,
+  validateMeasure
+} from "./measure-kinds.js";
 
 /**
  * handler 绑定解析（T3 通用化，2026-08-31）——优先级：
@@ -135,8 +117,10 @@ export function resolveHandler(rule, opts = {}) {
   const overrides = opts?.handlerOverrides;
   if (overrides && typeof overrides === "object" && overrides[id] !== undefined) return normalizeHandlerName(overrides[id]);
   const body = String(rule?.body || "");
-  const decl = body.match(HANDLER_DECL_RE);
-  if (decl) return normalizeHandlerName(decl[1]);
+  const decl = parseHandlerDecl(body);
+  // P2（架构正本 §三 L3）：声明非法（JSON 坏 / 空声明）**或 kind 未注册** → fail-closed（不执行）；
+  // 错误详情由 understandRule 写入 config.measureError（此处只保证不产出可执行的 handler）。
+  if (decl) return validateMeasure(decl) ? "" : normalizeHandlerName(decl.kind);
   // 剥离后（2026-08-31）：代码层无默认表；defaultMap 由调用方注入（本机=配置 handlerDefaultMap）
   const map = opts?.defaultMap || {};
   return normalizeHandlerName(map[rule?.index] || "");
@@ -156,6 +140,9 @@ export function understandRule(rule, opts = {}) {
   const triggerKeywords = splitKeywords(elems.trigger);
   const confidence = level && elems.trigger && elems.check && (elems.action || level.toUpperCase().includes("D")) ? "high" : level ? "medium" : "low";
   const handler = resolveHandler(rule, opts);
+  // P2（2026-09-10）：个人层措施声明 → 措施实例 {kind, params}；kind 未注册 / 声明非法 → fail-closed
+  const decl = parseHandlerDecl(rule.body || "");
+  const measureError = validateMeasure(decl);
   const config = {
     ruleId: rule.index,
     title: rule.title,
@@ -164,6 +151,8 @@ export function understandRule(rule, opts = {}) {
     actions,
     confidence,
     handler,
+    measure: decl && !measureError ? decl : null,
+    measureError: measureError || "",
     triggerKeywords,
     hints,
     elements: elems,

package/lib/index.js

@@ -39,6 +39,7 @@ import {
   askResultSelectedText,
   classifyAskScopeType,
   inferPathPrefixFromText,
+  inferPathPrefixesFromText,
   inferTypeFromText,
   isAuthMessage,
   isDirectiveMessage,
@@ -63,7 +64,10 @@ import { toolClass } from "./core/tool-catalog.js";
 import { parseWhitelist, mergeWhitelist, serializeWhitelist } from "./core/whitelist.js";
 import { state } from "./core/runtime.js";
 import { APPROVE_TYPES, normalizePath, setTypeHints } from "./core/authorization.js";
-import { setLexicons } from "./core/lexicon.js";
+import { setLexicons, approvalExecRe } from "./core/lexicon.js";
+// C4（批 3，2026-09-15）：质量账本查询入口（/guard quality）。机制自 0.6.3 已在 core/quality-ledger.js，
+// 但 lib/ 内此前零引用（grep "quality" = 0 命中）——机制写了却没人能用，本批补入口。
+import { loadLedger, qualityTrend } from "./core/quality-ledger.js";
 import { getMessage } from "./messages.js";
 import { getBlindSpots, getFreedomSurface, setGuardFreedom } from "./core/guard-core.js";
 import { detectLang, getLang, getLangSource, pickLang } from "./core/lang.js";
@@ -108,11 +112,30 @@ export const inject = ["tools", "commands", "agents", "workspaceRegistry", "skil
 
 const pluginConfig = loadPluginConfig();
 // §1.3 行为闸判定（纯函数，2026-09-08 第二批 A″）：批评疑似回合冻结写类工具——返回拒绝原因或 null
-export function criticismFreezeDecision(session, toolName, args) {
+// C2-C 档（批 3，2026-09-15）：新增 opts.bypassActive —— `/guard bypass` 的语义是「全部守卫暂停」
+//（guard status 文案原文），而本闸此前只查 turn.criticismFrozen、不检查 state.bypassUntil →
+// 用户显式放行后仍被 A″ 冻结，语义不一致。bypassActive 由调用方从 state.bypassUntil 计算后传入，
+// 本函数保持**纯函数**（可单测）；窗口内的留痕由 guard 路径既有的 bypass-action 审计统一负责（M2）。
+export function criticismFreezeDecision(session, toolName, args, opts = {}) {
+  if (opts.bypassActive) return null;
   if (!session?.turn?.criticismFrozen) return null;
   if (toolClass(toolName, args || {}) !== "mutating") return null;
   return "本回合命中批评/指错疑似信号——写类工具已冻结（A″ 行为闸）。请按四段模板回应：① 停止；② 归因四问；③ 三件套（事实/原因/方案）；④ 等指令。只读操作不受限。";
 }
+
+/** C3（批 3，2026-09-15，用户裁定方案 A）：**是否冻结**本回合写类工具（纯函数，可单测）。
+ *  由来：置位逻辑原对强弱信号**不对称**——弱信号已做反向检查（hasExplicitExecWord，只认动作词），
+ *  强信号却无条件冻结 → 「批评 + 明确指令」的混合消息会把用户同时下达的指令一起冻掉，
+ *  而那条指令本身是**完整授权**（许可词 + 执行语，规则 22 的授权定义）。
+ *  判据：强信号下只有 `approvalExecRe()`（许可词 + [0,16] 字符 + 执行语，缺一不可）才豁免——
+ *  比弱信号的反向检查更严，避免「批评里提个动作词就算授权」的过宽。
+ *  与 criticismFreezeDecision 分工：本函数管「要不要冻」，那个管「冻了之后拦不拦」。
+ *  @returns {boolean} true = 冻结本回合写类工具
+ */
+export function criticismFreezeBySignal(suspect, userText) {
+  if (suspect !== "strong") return false;
+  return !approvalExecRe().test(String(userText || ""));
+}
 // C4：启动时合并配置层 typeHints（本机扩展授权类型；默认空=仅内置 8+archive 类）
 setTypeHints(pluginConfig.typeHints);
 // P8 小批 A（2026-09-08）：行为词表配置层注入（rule-engine.json 的 lexicons 键）——
@@ -536,10 +559,14 @@ export function handleSessionEvent(ctx, session, event) {
         reason: getMessage("memory.sediment-missing"),
         session: sid
       });
-      maybeInject(ctx, sid, {
-        ruleId: "__engram-gap",
-        reason: getMessage("memory.sediment-missing")
-      });
+      // D（2026-09-13）：事中已提示过（落盘那一刻）→ 此处只留审计，不重复投递；
+      // 未开启 hintOnWrite 或事中未提示时，此处仍是兜底投递（默认关时行为与改动前一致）。
+      if (!s.turn.m8Hinted) {
+        maybeInject(ctx, sid, {
+          ruleId: "__engram-gap",
+          reason: getMessage("memory.sediment-missing")
+        });
+      }
     }
     // F1（2026-08-28 阶段三）：规则 2 时序竞态修复——assistant/message 检测到时间词违规时
     // 不立即投递（Get-Date 工具常在本回合后续步骤才执行，事故实弹：correct 早于 Get-Date 放行），
@@ -710,7 +737,8 @@ export function handleSessionEvent(ctx, session, event) {
     if (s.turn.toolCount === 1) s.turn.firstToolName = toolName;
     if (toolName === "ask_user_question") {
       s.turn.askSeen = true;
-      s.turn.pendingAsk = { callId: d.callId, questions: args?.questions || [] };
+      // D2 修复（2026-09-10）：写**会话级**（不随 turn/start 清空）；at 供陈旧值保护
+      s.pendingAsk = { callId: d.callId, questions: args?.questions || [], at: Date.now() };
     }
     const pendingCall = { name: toolName, args };
     const targetPath = args?.file_path ?? args?.path;
@@ -869,8 +897,34 @@ export function handleSessionEvent(ctx, session, event) {
       const cmd = pendingCall.args?.command || pendingCall.args?.code || "";
       const m8Cfg2 = state.localIntegrations?.m8 || {};
       const marker = m8Cfg2.entryMarker;
-      if (m8Cfg2.enabled === true && marker && (pendingCall.name === "pwsh" || pendingCall.name === "bash") && cmd.includes(marker)) {
+      // C1（批 3，2026-09-15）：判据由「命令文本含 entryMarker」收紧为
+      // 「命令含 entryMarker **且 结果文本含落盘成功标志**」。
+      // 原判据不区分「跑了」与「跑成」：--dry-run（不写入）、写隔离夹具目录、脚本中途失败
+      // （工具层不标 isError）都会置位 manualWriteSeen → turn/end 误判 __engram-gap 并要求
+      // 同回合 engram_store（2026-09-15 会话实证：dry-run 亦被提示）。
+      // 成功标志走配置 successMarker（与 entryMarker 同风格；未配置时用统一入口的既有标志）。
+      const successMarker = m8Cfg2.successMarker || "MANUAL_WRITE_OK";
+      const m8ResultText = String(
+        resultBlock?.content?.map?.((c) => c?.text || "").join(" ") ||
+        d?.message?.content?.map?.((c) => c?.text || "").join(" ") ||
+        ""
+      );
+      if (m8Cfg2.enabled === true && marker && (pendingCall.name === "pwsh" || pendingCall.name === "bash")
+        && cmd.includes(marker) && m8ResultText.includes(successMarker)) {
         s.turn.manualWriteSeen = true;
+        // D（2026-09-13）：提示前移——落盘被识别的这一刻就提示（陈述式），不再等到 turn/end
+        //（turn/end 之后模型已停止行动，提示只能影响下一回合＝事后才说，正是 M8 反复断链的结构原因）。
+        // 分工：此处＝事中提示（预防）；turn/end 的 engram-gap 审计保留，兜底投递仅在此处未提示时进行。
+        // 防重复：maybeInject 的闸是「同规则最多 3 次」（phase1f-inject.test.mjs 用例 5 为证），
+        // 并非一次即止 —— 故必须由回合标记 m8Hinted 保证「每个回合最多提示一次」。
+        // 默认关（hintOnWrite），与 M8 系列一贯的「显式启用」风格一致。
+        if (m8Cfg2.hintOnWrite === true && !s.turn.engramStoreSeen && !s.turn.m8Hinted) {
+          s.turn.m8Hinted = true;
+          maybeInject(ctx, sid, {
+            ruleId: "__engram-gap",
+            reason: getMessage("memory.sediment-hint")
+          });
+        }
       }
       if (pendingCall.name === "engram_store") {
         s.turn.engramStoreSeen = true;
@@ -1013,8 +1067,9 @@ export function handleSessionEvent(ctx, session, event) {
       if (output) s.lastCommandOutput = output;
     }
 
-    const pending = s.turn.pendingAsk;
-    if (pending) {
+    const pending = s.pendingAsk;
+    // D2 修复（2026-09-10）：会话级待决 ask + 陈旧值保护（30 分钟未答视为作废，防跨回合误登记）
+    if (pending && (!pending.at || Date.now() - pending.at <= 30 * 60 * 1000)) {
       const result = d.result ?? d.value ?? d;
       if (askResultApproved(result)) {
         s.turn.realUserSeen = true; // v0.5.7：ask 弹窗答复也算"真实用户在场"
@@ -1024,7 +1079,12 @@ export function handleSessionEvent(ctx, session, event) {
         // 授权范围只取“问题核心 + 用户实际选择”，不再把全部选项描述纳入；
         // 避免“仅会话内说明/不跨会话保留”等选项说明把一次小授权放大成全局 12h（2026-08-24 修复）
         const scopeText = `${askQuestionCoreText(pending.questions)} ${selectedText}`.trim();
-        const pathPrefix = inferPathPrefixFromText(scopeText || qText);
+        // A2 修复（2026-09-10）：原用单数版 inferPathPrefixFromText——只记一个路径且取"最长"。
+        // 探针实测：多路径问题文本下"最长"往往是次要路径（如"去向 .backups/trash-x"）而非主路径，
+        // 主操作路径丢失 → 授权匹配必然失败。改为复数版：pathPrefix 取首个（按文本出现顺序=主路径，
+        // 与用户消息侧 scopesFromIntents 的复数口径对齐），全部路径记入 pathPrefixes 供 authMatches 任一匹配。
+        const pathPrefixes = inferPathPrefixesFromText(scopeText || qText);
+        const pathPrefix = pathPrefixes[0] || "";
         // 0.5.10 建议1①：ask 答复结构化——操作类型从答复文本推断（write/command/any），不再一律 any
         // （修复"弹窗答复接不住真想操作"的粒度问题——V476AL 同族）
         const authRecord = {
@@ -1032,6 +1092,7 @@ export function handleSessionEvent(ctx, session, event) {
           pathPrefix,
           source: "ask"
         };
+        if (pathPrefixes.length > 1) authRecord.pathPrefixes = pathPrefixes;
         const sessionWide = isSessionWideAskText(scopeText) || isSessionWideAskText(selectedText);
         if (sessionWide) authRecord.expiresAt = Date.now() + 12 * 60 * 60 * 1000;
         else if (!pathPrefix) authRecord.expiresAt = Date.now() + 2 * 60 * 1000;
@@ -1098,7 +1159,7 @@ export function handleSessionEvent(ctx, session, event) {
           session: sid
         });
       }
-      s.turn.pendingAsk = null;
+      s.pendingAsk = null; // D2 修复（2026-09-10）：清理**会话级**待决 ask
     }
     return;
   }
@@ -1181,9 +1242,12 @@ export function handleSessionEvent(ctx, session, event) {
     const critHit = violations.find((v) => v.mode === "criticism" && v.suspect);
     if (critHit) {
       s.turn.criticismSuspect = critHit.suspect;
-      if (critHit.suspect === "strong") {
+      // C3（批 3，2026-09-15，用户裁定方案 A）：冻结判定抽为纯函数——强信号下只有**完整执行许可**
+      // （许可词 + 执行语）才豁免，避免把用户同一条消息里同时下达的指令一起冻掉。
+      const freezeCrit = criticismFreezeBySignal(critHit.suspect, s.turn.userText || "");
+      if (freezeCrit) {
         s.turn.criticismFrozen = true;
-      } else {
+      } else if (critHit.suspect === "weak") {
         // 弱信号（2026-09-09 第三批后果分级）：不冻结；含执行指令词则仅留痕不提示
         const execDirective = hasExplicitExecWord(s.turn.userText || "");
         if (!execDirective) {
@@ -1192,13 +1256,18 @@ export function handleSessionEvent(ctx, session, event) {
             reason: "用户消息疑似批评/质问形态（规则 22②，待确认）：若确属批评——批评不构成任何授权，请先按归因四问产出三件套（事实/原因/方案）再等指令；若只是普通提问可忽略本条"
           });
         }
+      } else {
+        // C3：强信号 + 完整执行许可 → 不冻结，但**不静默放行**（留痕 + 陈述式提示；用户裁定「给一句提示」）
+        maybeInject(ctx, sid, { ruleId: "22", reason: getMessage("criticism.strong-permitted") });
       }
       audit({
         kind: "criticism-suspect",
         rule: "22",
         name: "批评疑似信号（A″）",
         event: "assistant/message",
-        reason: critHit.suspect === "strong" ? "信号=strong——本回合写类工具冻结（A″ 强信号闸）" : "信号=weak——不冻结（后果分级：留痕+提示）",
+        reason: critHit.suspect === "strong"
+          ? (freezeCrit ? "信号=strong——本回合写类工具冻结（A″ 强信号闸）" : "信号=strong ＋ 检出完整执行许可——不冻结（C3 方案 A 豁免，已提示）")
+          : "信号=weak——不冻结（后果分级：留痕+提示）",
         session: sid
       });
     }
@@ -1252,7 +1321,7 @@ export function handleSessionEvent(ctx, session, event) {
 
 // ── /guard 子命令单一真源（0.5.13：hint 手写漏 tools 修复）──
 // hint（输入框提示）与 USAGE（完整帮助）均由此派生：未来新增子命令只改这一个数组。
-const COMMAND_SPECS = [
+export const COMMAND_SPECS = [
   { name: "status", args: "", desc: "引擎状态" },
   { name: "rules", args: "", desc: "规则清单 + 理解产物" },
   { name: "active", args: "", desc: "最近激活的规则" },
@@ -1269,6 +1338,8 @@ const COMMAND_SPECS = [
   { name: "contract", args: "", desc: "查看当前任务契约" },
   { name: "contract categories", args: "...", desc: "设定契约类别白名单（0.5.12）" },
   { name: "label", args: "<id> <label>", desc: "给审计记录打标（correct/incorrect/inconclusive）" },
+  // C4（批 3，2026-09-15）：质量账本查询——机制在 core/quality-ledger.js，本项补的是**缺失的入口**
+  { name: "quality", args: "", desc: "质量账本趋势（同类任务签名 × 返工/介入/摩擦/token）" },
   { name: "approve", args: "<type> <路径> [min]", desc: "物理确认：授予指定类型+路径的临时授权（仅用户输入；默认 10 分钟）" },
   { name: "freedom", args: "", desc: "查看守卫自由面（不拦什么）与盲区（看不见/判不准什么）（第三批 P1-2）" }
 ];
@@ -1287,7 +1358,7 @@ const USAGE = [
 // eslint-disable-next-line no-unused-vars
 const GUARD_HINT = "[" + [...new Set(COMMAND_SPECS.map((s) => s.name.split(" ")[0]))].join("|") + "]";
 
-function parseCommand(rawInput) {
+export function parseCommand(rawInput) {
   const text = (rawInput || "").trim();
   if (!text || /^(status|state)$/i.test(text)) return { kind: "status" };
   if (/^(rules|list|ls)$/i.test(text)) return { kind: "rules" };
@@ -1316,6 +1387,8 @@ function parseCommand(rawInput) {
     if (parsed) return { kind: "budget", patch: parsed };
   }
   if (/^contract$/i.test(text)) return { kind: "contract" };
+  // C4（批 3，2026-09-15）：质量账本查询（白名单登记——未登记即落 invalid，见本函数上方注释）
+  if (/^quality$/i.test(text)) return { kind: "quality" };
   // 0.5.12（F5 批次 3）：/guard contract categories <build,test,install,...> 设定类别白名单
   m = text.match(/^contract\s+categories\s+(.+)$/i);
   if (m) {
@@ -1425,6 +1498,26 @@ async function executeGuard(ctx, invocation) {
         text: `已临时放行全部守卫 ${minutes} 分钟。到期自动恢复，也可 /guard reload 后立即恢复。`
       };
     }
+    case "quality": {
+      // C4（批 3，2026-09-15）：质量账本查询入口。
+      // 语义：账本默认关（rule-engine.json 的 qualityLedger.enabled=false）→ 无数据时**如实说明**、不伪造趋势；
+      // 有数据时按签名分组各出趋势摘要。纯旁路统计：不拦截、不评分、不上传（数据留本机 ~/.dsh/quality-ledger.jsonl）。
+      const qCfg = loadPluginConfig().qualityLedger || {};
+      const qRows = loadLedger({ config: qCfg });
+      if (qRows.length === 0) {
+        return {
+          kind: "success",
+          text: qCfg.enabled
+            ? "质量账本已开启，但暂无记录（账本只在任务收尾时记录；纯旁路统计，不拦截）"
+            : "质量账本未开启（rule-engine.json 的 qualityLedger.enabled=false）——开启后按同类任务签名统计返工/介入/摩擦/token 趋势"
+        };
+      }
+      const bySig = new Map();
+      for (const r of qRows) bySig.set(r.sig, (bySig.get(r.sig) || 0) + 1);
+      const top = [...bySig.entries()].sort((a, b) => b[1] - a[1]).slice(0, 8);
+      const body = top.map(([sig, n]) => `  ${sig}  ${n} 单  ${qualityTrend(sig, { config: qCfg }).summary}`).join("\n");
+      return { kind: "success", text: `质量账本：${qRows.length} 单 / ${bySig.size} 类签名\n${body}` };
+    }
     case "approve": {
       // C4（2026-09-03）物理确认：用户亲手输入=词表无法误读；最小范围（类型+路径+时长）；无全局通配
       if (!loadPluginConfig().approveEnabled) {
@@ -1890,7 +1983,7 @@ export function apply(ctx) {
 
   // 1.1 任务契约裁决钩子：deny 物理拒绝 + ask 通道 + 委托预算启动即计。
   // 2026-08-25 修复（预算语义偏差，实弹：第 2 个子代理被误拒——允许 N 实际 N-1）：
-  // 根因 = 扣减（本钩子）先于 guard 层的 decideContractAction（L1138 用已扣 contract 重判 → 2+1>2 → 误拒）。
+  // 根因 = 扣减（本钩子）先于 guard 层的 decideContractAction（该处用已扣 contract 重判 → 2+1>2 → 误拒）。
   // 修复 = 本钩子成为契约唯一裁决点（deny 在扣减**前**判定并物理拒绝），guard 层跳过预算类 deny（防双判）。
   ctx.on("tools/pre-execute", async (exec, next) => {
     try {
@@ -1974,7 +2067,9 @@ export function apply(ctx) {
       const sid = sessionIdOfExec(exec);
       const s = getSessionState(state, sid);
       if (!s?.turn?.criticismFrozen) return next();
-      const freeze = criticismFreezeDecision(s, exec?.name, exec?.arguments);
+      // C2-C 档（批 3，2026-09-15）：bypass 窗口内让步（语义＝全部守卫暂停，与 guard status 文案一致）；
+      // 窗口内的变更类调用由 guard 路径既有的 bypass-action 审计统一留痕（M2），此处不重复记。
+      const freeze = criticismFreezeDecision(s, exec?.name, exec?.arguments, { bypassActive: state.bypassUntil > Date.now() });
       if (!freeze) return next();
       audit({
         kind: "criticism-freeze",
@@ -1986,6 +2081,19 @@ export function apply(ctx) {
         reason: `疑似信号=${s.turn.criticismSuspect}（A″ 行为闸：批评不构成授权）`,
         session: sid
       });
+      // 卡片数据源补齐（2026-09-11 P7）：guard 路径（本文件的 guard 命中分支）在命中时写 cardHits，
+      // 本闸此前只 audit → 卡片被记成「本回合无裁决事件」（verdict=clear），用户看不到这次拦截
+      // —— 与 turn-card.js 注释声明的「全量记，含 __ 内部拦截」不符，属遗漏。
+      try {
+        (s.turn.cardHits ||= []).push({
+          tool: exec?.name || "",
+          args: summarizeArgs(exec?.arguments || {}),
+          ruleId: "22",
+          title: "批评回合冻结写类工具",
+          reason: `疑似信号=${s.turn.criticismSuspect}（A″ 行为闸：批评不构成授权）`,
+          errId: ""
+        });
+      } catch { /* 卡片是展示层增强，失败不影响拦截本身 */ }
       return {
         kind: "deny",
         reason: "[guardian:rule22] 【硬拦截】本回合命中批评/指错疑似信号——写类工具已冻结（A″ 行为闸）。请按四段模板回应：① 停止；② 归因四问；③ 三件套（事实/原因/方案）；④ 等指令。只读操作不受限。"

package/lib/messages.js

@@ -42,8 +42,13 @@ export const DEFAULT_MESSAGES = {
   // ── 批评检测引用（原 text-detect 引用本机手册章节号，1b 去本机化）──
   "criticism.strong": "User message matched a strong criticism/rebuke signal (rule 22②, pending adjudication): criticism is NOT authorization — write-class tools are frozen this turn. Respond with the four-part template: 1) stop; 2) attribution questions; 3) facts/cause/plan; 4) wait for instructions.",
   "criticism.weak": "User message looks like a criticism/challenge (rule 22②, pending adjudication): if it really is criticism — it is not authorization. Produce facts/cause/plan via the attribution questions, then wait. Ignore this note if it was just an ordinary question.",
+  // C3（批 3，2026-09-15，用户裁定方案 A）：强信号 + 完整执行许可 → 不冻结，但**不静默放行**（留痕 + 本条提示）。
+  // 措辞须为陈述式：注入受 INJECT_COMMAND_RE 静态闸约束（不得含「请直接执行／请立即／立刻执行」等命令词）。
+  "criticism.strong-permitted": "User message matched a strong criticism signal BUT also carries a complete execution permission (approval word + action speech) — write-class tools are NOT frozen this turn and that permission stands. The criticism itself still grants nothing extra.",
   // ── M8 记忆沉淀提示（原 index.js 引用本机规则号，1b 去本机化）──
   "memory.sediment-missing": "This turn persisted manual/AGENTS changes through the configured entry script but did not call engram_store in the same turn; the memory-sediment chain should complete within one turn.",
+  // ── D（2026-09-13）：提示前移到落盘那一刻（陈述式，不含命令词；区别于上面的 turn/end 违规判定文案）──
+  "memory.sediment-hint": "This turn persisted manual/AGENTS changes through the configured entry script; the memory-sediment chain expects an engram_store call in this same turn.",
   // ── 规则放行提示（原 guard-core RULE_HINTS，1c 迁出）──
   "rule-hint.1": "Analyze the root cause first, then continue once the problem is confirmed",
   "rule-hint.9": "Use a script file, or an explicit UTF-8 (no BOM) flow",

package/lib/service.js

@@ -1,7 +1,14 @@
 // service.js —— 规则引擎 host 端 Remote 服务
 // 供设置面板（dsh-rules-manager-client 的“规则引擎”页签）通过 ctx.remote.ruleEngine.* 调用。
 // 与 rules-manager/service.js 同构：TypertRemoteService + 手动 @Remote 标记。
+// 2026-09-14 修（B0-2 实测踩坑）：readFile 必须来自 node:fs/promises——
+// 从 node:fs 引的是回调版（第三参须为函数），按 Promise 写法 await readFile(p, "utf8")
+// 会抛 `The "cb" argument must be of type function. Received type string ('utf8')`；
+// 该异常被本文件 whitelistStatus 的 try/catch 吞进 debug.readError，外层仍回 ok:true
+// → 面板把"读取失败"显示成"白名单为空"（静默弱化）。readFileSync 仍走 node:fs。
 import { readFileSync } from "node:fs";
+import { readFile } from "node:fs/promises";
+import { join } from "node:path";
 import { Remote, TypertRemoteService } from "@deepseek-ai/dsh-typert-protocol";
 import { state } from "./core/runtime.js";
 import { readAuditLog, audit } from "./core/audit.js";
@@ -15,6 +22,7 @@ const REMOTE_METHODS = [
   "getVersion",
   "checkUpdate",
   "getAuditLog",
+  "whitelistStatus",
   "getUnderstanding",
   "getTaskContractConfig",
   "setTaskContractConfig",
@@ -178,6 +186,41 @@ class RuleEngineService extends TypertRemoteService {
     }
   }
 
+  /** 工具放行白名单状态（B0-2，2026-09-14 自 dsh-rules-manager 移植）：
+   *  永久清单（`rule-engine-tools.json`）+ 近 24h 会话放行记录（从 `rule-engine.log.jsonl` 派生）；
+   *  `debug` 字段供面板白名单区异常时一眼定位。移植理由＝引擎自带设置页（B0）不该依赖规则管理包。 */
+  async whitelistStatus() {
+    const home = dshHome();
+    const debug = { home };
+    const permanent = [];
+    try {
+      const raw = await readFile(join(home, "rule-engine-tools.json"), "utf8");
+      debug.fileLen = raw.length;
+      const arr = JSON.parse(raw);
+      if (Array.isArray(arr)) {
+        for (const it of arr) {
+          if (typeof it === "string") permanent.push({ name: it, time: null, session: null });
+          else if (it && typeof it.name === "string") permanent.push({ name: it.name, time: it.time ?? null, session: it.session ?? null });
+        }
+      }
+    } catch (e) { debug.readError = String((e && e.message) || e); }
+    const sessionAdded = [];
+    try {
+      const log = await readFile(join(home, "rule-engine.log.jsonl"), "utf8");
+      const cutoff = Date.now() - 24 * 3600 * 1000;
+      for (const line of log.split("\n")) {
+        if (!line.includes("unknown-tool-whitelist")) continue;
+        const name = line.match(/"reason":"[^"]*允许使用 ([A-Za-z_][A-Za-z0-9_:.-]*)/);
+        const ts = line.match(/"ts":"([^"]+)"/);
+        const sid = line.match(/"session":"([^"]+)"/);
+        if (name && sid && ts && new Date(ts[1]).getTime() >= cutoff) {
+          sessionAdded.push({ name: name[1], session: sid[1], time: ts[1] });
+        }
+      }
+    } catch { /* 无日志 = 无派生记录 */ }
+    return { ok: true, debug, permanent, sessionAdded: sessionAdded.slice(-50).reverse() };
+  }
+
   /** 规则理解摘要（ruleId/title/level/handler/confidence/actions） */
   async getUnderstanding() {
     try {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-rule-engine",
-  "version": "0.6.3",
+  "version": "0.6.5",
   "description": "DSH 规则执行引擎 v3：容器解析 AGENTS.md + 理解器 + 匹配机 + 执行框架",
   "type": "module",
   "main": "lib/index.js",
@@ -11,10 +11,6 @@
   },
   "files": [
     "lib",
-    "scripts",
-    "!scripts/local-residue-markers.txt",
-    "!scripts/dualtrack-baseline.json",
-    "upgrade-impact.json",
     "cordis.patch.yml",
     "README.md",
     "LICENSE"
@@ -44,14 +40,12 @@
   },
   "scripts": {
     "test": "node test/run-all.mjs",
-    "check": "node --check lib/index.js",
-    "verify": "node scripts/verify-all.mjs",
-    "audit:mount": "node scripts/audit-mount-consistency.mjs --profile web",
-    "check:meta": "node scripts/readme-version-check.mjs && node scripts/local-residue-scan.mjs && node scripts/dualtrack-check.mjs"
+    "check": "node --check lib/index.js"
   },
   "peerDependencies": {
     "@deepseek-ai/dsh-home-paths": ">=0.1.0-rc.3 <0.2.0 || >=0.1.1-rc.0 <0.2.0 || >=0.1.2-rc.0 <0.2.0",
-    "@deepseek-ai/dsh-typert-protocol": ">=0.1.0-rc.3 <0.2.0 || >=0.1.1-rc.0 <0.2.0 || >=0.1.2-rc.0 <0.2.0"
+    "@deepseek-ai/dsh-typert-protocol": ">=0.1.0-rc.3 <0.2.0 || >=0.1.1-rc.0 <0.2.0 || >=0.1.2-rc.0 <0.2.0",
+    "dsh-rule-engine-client": ">=0.1.0 <0.2.0"
   },
   "dsh": {
     "bundle": {