dsh-rule-engine 0.6.4 → 0.6.5

package/lib/core/authorization.js

@@ -374,7 +374,7 @@ function pathUnderAuth(p, authPath) {
 export function authMatches(auth, op) {
   if (!auth || !op) return false;
   if (auth.type !== "any" && op.type !== "any" && auth.type !== op.type) return false;
-  // A2（2026-09-10）：授权侧支持多路径——ask 多路径问题文本经 index.js L1029 记入 pathPrefixes。
+  // A2（2026-09-10）：授权侧支持多路径——ask 多路径问题文本经 index.js 的 ask 授权登记写入 pathPrefixes。
   // 语义：任一授权路径覆盖任一操作候选路径即匹配（此前只认单一 auth.pathPrefix，ask 侧只记一条 → 其余路径的授权形同虚设）。
   const authPaths = Array.isArray(auth.pathPrefixes) && auth.pathPrefixes.length > 0
     ? auth.pathPrefixes.map(normalizePath).filter(Boolean)

package/lib/core/intent.js

@@ -87,7 +87,7 @@ export function isEngineInjectedMessage(text) {
 // source.kind 主判之外，对"标记为 user 但实为注入"的消息做模板兜底——
 // 命中即整体跳过：不覆盖回合状态、不产生 scopes/授权。
 // 本机实证来源：runtime context 快照（无 system-reminder 标签）、子代理完成通知（B3）、
-// vision-router 自动挂载提醒（index.js:3494-3518）、引擎自身注入（[规则引擎]）。
+// vision-router 自动挂载提醒（该包 client 侧注入）、引擎自身注入（[规则引擎]）。
 // example-injector 的近距离引导模板待实测后收窄补充。
 const SYSTEM_INJECTION_PREFIXES = [
   /^Current runtime context\./,

package/lib/core/llm-intent.js

@@ -50,7 +50,9 @@ export function verdictForDeny(turn, cfg = {}, lexiconDenied = true) {
     if (conf >= high) return { mutationDenied: false, source: "llm-high", reason: `LLM 高置信(${conf})` };
     if (conf >= low) return { mutationDenied: false, source: "llm-low", reason: `LLM 低置信(${conf})` };
   }
-  return { mutationDenied: true, source: "lexicon", reason: "" };
+  // 2026-09-13：把「兜底失败原因」透出——此前失败降级与「词表缺词」在返回值上完全同形，无法区分。
+  const llmError = (llm && llm.raw === turn?.userText && llm.error) ? String(llm.error) : "";
+  return { mutationDenied: true, source: "lexicon", reason: "", llmError };
 }
 
 /**
@@ -120,18 +122,24 @@ export async function enrichIntentWithLlm(ctx, state, sid, text, cfg) {
       state.llmIntentCache.delete(firstKey);
     }
     auditIntent(state, sid, text, verdict, ms, false);
-  } catch {
+  } catch (e) {
     session.turn.intentState = "lexicon";
-    auditIntent(state, sid, text, null, Date.now() - started, false);
+    // 2026-09-13：失败也要留痕——此前 catch 路径不写 turn.llmIntent，
+    // 导致 96.7% 的失败率长期不可归因（审计只有「失败降级」，无原因）。
+    const errMsg = String((e && e.message) || e);
+    session.turn.llmIntent = { raw: text, verdict: null, error: errMsg, at: Date.now() };
+    auditIntent(state, sid, text, null, Date.now() - started, false, errMsg);
   }
 }
 
-function auditIntent(state, sid, text, verdict, ms, limitHit) {
+function auditIntent(state, sid, text, verdict, ms, limitHit, llmError) {
   try {
     state.llmIntentLast = {
       text: String(text).slice(0, 60),
       verdict: verdict ? { ...verdict, confidence: Number(verdict.confidence) } : null,
       source: verdict ? "llm" : "fail",
+      // 2026-09-13：失败原因（供 /guard status 与排障读取；此前只记「fail」）
+      error: llmError || null,
       at: Date.now()
     };
     audit({
@@ -141,7 +149,7 @@ function auditIntent(state, sid, text, verdict, ms, limitHit) {
       event: "user/message",
       reason: verdict
         ? `词表低置信 → LLM:${JSON.stringify(verdict)}（延迟 ${ms}ms${limitHit ? " 限额" : ""}）`
-        : `词表低置信 → LLM 失败降级（延迟 ${ms}ms）`,
+        : `词表低置信 → LLM 失败降级（延迟 ${ms}ms${llmError ? `：${llmError}` : "（原因未捕获）"}）`,
       session: sid,
       verdictSource: verdict ? "llm-intent" : "lexicon",
       text: String(text).slice(0, 120)

package/lib/core/patterns.js

@@ -328,7 +328,7 @@ export function isMutationCommand(command) {
 /** 只读命令链按分隔符折段（机制 B，2026-08-24）：`; 换行 && || |`（管道前后是命令链；`2>&1`/`2>$null` 的 stderr 重定向不拆分）
  *  F5（2026-09-10 修复，第三方实测）：**引号感知**——此前裸拆 `|` 会把**引号内的 `|`** 当分隔符
  *  （正则 alternation `-Pattern 'a|b'`、格式串 `"{0} | x"`、`-notmatch 'x|y'`）→ 切出无法识别的残段
- *  → L354 保守判非只读 → 整条只读命令被规则 22 按 write 拦（ERR-4WOAKG / 9T886X / Z8M7YC / IKXLU8）。
+ *  → 保守判非只读（本文件的引号感知分支）→ 整条只读命令被规则 22 按 write 拦（ERR-4WOAKG / 9T886X / Z8M7YC / IKXLU8）。
  *  现：`'…'` / `"…"` / `` `…` `` 内的分隔符不拆。转义语义按 PS：`'` 内不转义（`''` 表一个单引号）；
  *  `"` 与 `` ` `` 内 `\` / `` ` `` 转义下一字符（兼容跨语言写法）。 */
 function splitCommandSegments(command) {
@@ -469,9 +469,11 @@ export function isAnalysisOp(toolName, args) {
 // ═══════════ 0.5.10 已知环境坑特征表（建议5——错误码自动召回，K-01/K-05 依据）═══════════
 // 工具/命令错误文本命中特征 → 审计 error-hint + 注入指向知识库的提示（低频：仅命中才提示；语义=指路不打扰）。
 // hint 文案经 messages 层取（第 1 批 1b：去本机标识——原 hint 引用本机手册踩坑编号/代理端口/发布变量）
+// 2026-09-11 去本机残留（分层 P4）：第二条原写死本机代理端口号（key 亦含该端口号）——
+//   通用层不应含任何本机标识；判据放宽为「连接被拒」本身（提示仅是"先查代理/服务是否启动"，泛指无害）。
 const KNOWN_PITFALLS = [
   { key: "SEC_E_NO_CREDENTIALS", re: /SEC_E_NO_CREDENTIALS/i, hintKey: "pitfall.tls" },
-  { key: "proxy-7890-refused", re: /ECONNREFUSED[^\n]*7890/i, hintKey: "pitfall.proxy" },
+  { key: "conn-refused", re: /ECONNREFUSED/i, hintKey: "pitfall.proxy" },
   { key: "sandbox-pipe-EPERM", re: /EPERM/i, hintKey: "pitfall.sandbox-pipe" },
   { key: "ERR_MODULE_NOT_FOUND", re: /ERR_MODULE_NOT_FOUND/i, hintKey: "pitfall.module-missing" }
 ];
@@ -650,12 +652,15 @@ export function isAuditCommand(command) {
  * 2026-08-31（验证通道放行面，用户定稿）：清单扩展 + 由 isAnalysisOp 独立调用——
  * ① 单测通配（任意 *.test.mjs）、② 验证/门禁脚本（check-tool-coverage / publish-aptitude-check）、
  * ③ --dry-run（发布脚本 dry-run=只读推导，发布链无 dry-run 不匹配）、④ gh api 只读 GET、npm whoami。
+ * 2026-09-11（手册条款 16「重复劳动升级律」落地）：新增 ⑤ 收尾脚本 session-wrapup.mjs——清理 .staging-* 入回收站
+ *   + 列待提交清单 + 沉淀自检。放行依据＝规则 13A 豁免原文「移动文件到 .backups/ 或 .backups/trash-<时间戳>/
+ *   的保护性备份操作，免询问」；**不含** commit / publish / push 等执行类动作（仍走严格授权，脚本只"列出"待提交文件）。
  * 安全边界：执行类脚本（release-plugin 无 --dry-run / inject / uninject / install / publish / commit /
  * push / Remove-Item 等）一律不匹配——执行类仍走授权语义严格版（0.5.11 防借道回归不放松）。
  */
 export function isVerificationCommand(command) {
   if (typeof command !== "string") return false;
-  if (/\b(?:node|npm|npx)\s+[^\n]*(?:run-all\.mjs|audit-mount-consistency\.mjs|loader-smoke\.e2e\.mjs|verify-all\.mjs|health-audit\.mjs|check-tool-coverage\.mjs|publish-aptitude-check\.mjs|\.test\.mjs\b|--check|--test|--dry-run)\b/i.test(command)) return true;
+  if (/\b(?:node|npm|npx)\s+[^\n]*(?:run-all\.mjs|audit-mount-consistency\.mjs|loader-smoke\.e2e\.mjs|verify-all\.mjs|health-audit\.mjs|check-tool-coverage\.mjs|publish-aptitude-check\.mjs|session-wrapup\.mjs|\.test\.mjs\b|--check|--test|--dry-run)\b/i.test(command)) return true;
   if (/\b(?:npm|pnpm)\s+(?:test|run\s+test)\b/i.test(command)) return true;
   if (/\bgh\s+api\b/i.test(command)) {
     // 只读 GET 形态；写形态（--method/-X 显式方法、-F/--field 表单）不豁免（gg api 写=执行类）
@@ -886,7 +891,12 @@ export const PATTERN_MAP_KEYS = {
 
 /** 数值型配置键（键 → 内置默认；与正则键共用同一配置层与校验/回退语义） */
 export const PATTERN_NUM_KEYS = {
-  criticism_caps_ratio: 0.6 // 英文全大写比率阈值（≥ 该值且字母数 ≥6 视为"喊叫"强形态）
+  criticism_caps_ratio: 0.6, // 英文全大写比率阈值（≥ 该值且字母数 ≥6 视为"喊叫"强形态）
+  // 2026-09-15（踩坑 144 修法 (b) 收紧档落地）：纯比率版把中文消息里的**编号标签**（A1→A3→B5→D）
+  // 与**缩写**（ESR／DSH）判成"喊叫"→ A″ 误冻结写类工具（本会话连续两回合实测）。
+  // 现要求"词形"证据：≥ min_tokens 个「连续字母 ≥ min_word_len」的 token，再看这些 token 的大写比率。
+  criticism_caps_min_tokens: 2,
+  criticism_caps_min_word_len: 4
 };
 
 // 内置默认：语言无关最小集（无中文）

package/lib/core/state.js

@@ -275,7 +275,10 @@ export function freshTurn() {
     scopes: [],
     // M8 双通道机制（2026-08-24）：统一入口落盘后同轮 engram_store 校验（entryMarker 经配置）
     manualWriteSeen: false,
-    engramStoreSeen: false
+    engramStoreSeen: false,
+    // D（2026-09-13）：本回合是否已在「落盘那一刻」提示过——防 turn/end 兜底路径重复投递
+    // （maybeInject 的闸是同规则最多 3 次，非一次即止，故需回合级标记）
+    m8Hinted: false
   };
 }
 

package/lib/core/text-detect.js

@@ -44,6 +44,8 @@ import { detectOverengineeringText } from "./overengineering.js";
 // 用户批评形态（规则 22②；2026-09-02 建、2026-09-08 第二批 §1.3 重构为 A″）：
 //   A″ = 语义主判、无通用词表、宽松触发、行为闸：
 //   - 通用层只留**语言无关形态**：连续问号/叹号（CRITICISM_SHAPE_RE）+ 英文全大写比率（hasHighCapsRatio）；
+//     2026-09-15（踩坑 144 修法 (b)）：大写比率一支改由 **hasShoutingWordShape** 把关——只认"词形" token
+//     （连续字母 ≥4、≥2 个），编号标签（A1/B5）与缩写（ESR/DSH）不再计为"喊叫"；纯比率函数保留导出供配置层复用。
 //   - 辱骂词枚举**迁出**到本机 rule-engine.json 的 criticismPersonal（发布面不含个人话术），经 setCriticismPersonal 注入；
 //   - 机器层只产"疑似"信号（不再直接产 correct），裁决归 LLM 层（judge/deliverSuspects 兜底）；
 //   - 行为闸在 index.js：命中疑似 → 冻结本回合写类工具 + 注入四段模板（停止/归因四问/三件套/等指令）。
@@ -66,7 +68,9 @@ function personalCriticismRe() {
   return new RegExp(`(?:${alts.join("|")})`);
 }
 
-/** 情绪强度信号：英文全大写比率 ≥ 阈值（默认 0.6，经 patterns.criticism_caps_ratio 可配置）且字母数 ≥6（语言无关的"喊叫"形态） */
+/** 情绪强度信号：英文全大写比率 ≥ 阈值（默认 0.6，经 patterns.criticism_caps_ratio 可配置）且字母数 ≥6
+ *（语言无关的"喊叫"形态）。**注意**：本函数只看比率，不区分"词"与"标识符"——判"喊叫"请用
+ *  hasShoutingWordShape（2026-09-15 起 criticismSignals 用的是后者）。 */
 export function hasHighCapsRatio(text) {
   const t = String(text || "");
   const letters = t.replace(/[^A-Za-z]/g, "");
@@ -75,10 +79,24 @@ export function hasHighCapsRatio(text) {
   return caps.length / letters.length >= patNum("criticism_caps_ratio");
 }
 
+/** 词形大写"喊叫"形态（2026-09-15，踩坑 144 修法 (b) 收紧档）：**只认词形 token**——
+ *  取「连续字母 ≥ criticism_caps_min_word_len」的 token（`A1`／`B5`／`12B` 这类编号因连续字母不足被排除、
+ *  3 字母缩写 `ESR` 亦不足默认 4），需此类 token ≥ criticism_caps_min_tokens 个，
+ *  再对这些 token 的整体大写比率套 hasHighCapsRatio。
+ *  由来：纯比率版在中文/技术语境必然误报（几个大写标记即 100%），A″ 因此误冻结写类工具。 */
+export function hasShoutingWordShape(text) {
+  const t = String(text || "");
+  const minLen = Math.max(2, patNum("criticism_caps_min_word_len"));
+  const minToks = Math.max(1, patNum("criticism_caps_min_tokens"));
+  const toks = t.match(new RegExp(`[A-Za-z]{${minLen},}`, "g")) || [];
+  if (toks.length < minToks) return false;
+  return hasHighCapsRatio(toks.join(" "));
+}
+
 /** 批评疑似检测（A″）：{shape, personal, weak, suspect}——机器只产疑似，判定权归模型 */
 export function criticismSignals(text) {
   const t = String(text || "");
-  const shape = criticismShapeRe().test(t) || hasHighCapsRatio(t);
+  const shape = criticismShapeRe().test(t) || hasShoutingWordShape(t);
   const personal = (personalCriticismRe() || /$^/).test(t);
   const weak = criticismWeakRe().test(t);
   return { shape, personal, weak, suspect: shape || personal ? "strong" : weak ? "weak" : null };

package/lib/core/tool-catalog.js

@@ -26,6 +26,11 @@ const ANALYSIS_TOOLS = new Set([
   // 子代理交付工具（官方 dsh-tool-subagent-report，2026-08-24 实测发现）：仅子代理环境注册，
   // 参数仅 output 文本 → 直接交付父代理，无文件副作用 → analysis（避免子代理交付被 unknown deny 阻断）
   "report",
+  // 官方交付物声明工具（2026-09-14 补录：verify-all ⑤「工具箱覆盖」实测 COVERAGE-FAIL —— 官方
+  // tool-catalog 全集含 present 而本表未收录，会被 unknownToolDecision 当未知工具首调处置）：
+  // present 只把**已存在**的文件登记为交付物（纯会话态；不复制内容、不写盘、不改文件）→ analysis。
+  // 与相邻两类工具的分界：report/visualize 会写 artifact（visualize 落一份卡片副本），present 不写。
+  "present",
   // 官方子代理模型发现（@deepseek-ai/dsh-tool-subagent，2026-09-06 工具目录漂移补录）：只读枚举
   // 可用子代理模型（模型发现/所选路由校验），无持久副作用 → analysis
   "list_subagent_models",

package/lib/index.js

@@ -64,7 +64,10 @@ import { toolClass } from "./core/tool-catalog.js";
 import { parseWhitelist, mergeWhitelist, serializeWhitelist } from "./core/whitelist.js";
 import { state } from "./core/runtime.js";
 import { APPROVE_TYPES, normalizePath, setTypeHints } from "./core/authorization.js";
-import { setLexicons } from "./core/lexicon.js";
+import { setLexicons, approvalExecRe } from "./core/lexicon.js";
+// C4（批 3，2026-09-15）：质量账本查询入口（/guard quality）。机制自 0.6.3 已在 core/quality-ledger.js，
+// 但 lib/ 内此前零引用（grep "quality" = 0 命中）——机制写了却没人能用，本批补入口。
+import { loadLedger, qualityTrend } from "./core/quality-ledger.js";
 import { getMessage } from "./messages.js";
 import { getBlindSpots, getFreedomSurface, setGuardFreedom } from "./core/guard-core.js";
 import { detectLang, getLang, getLangSource, pickLang } from "./core/lang.js";
@@ -109,11 +112,30 @@ export const inject = ["tools", "commands", "agents", "workspaceRegistry", "skil
 
 const pluginConfig = loadPluginConfig();
 // §1.3 行为闸判定（纯函数，2026-09-08 第二批 A″）：批评疑似回合冻结写类工具——返回拒绝原因或 null
-export function criticismFreezeDecision(session, toolName, args) {
+// C2-C 档（批 3，2026-09-15）：新增 opts.bypassActive —— `/guard bypass` 的语义是「全部守卫暂停」
+//（guard status 文案原文），而本闸此前只查 turn.criticismFrozen、不检查 state.bypassUntil →
+// 用户显式放行后仍被 A″ 冻结，语义不一致。bypassActive 由调用方从 state.bypassUntil 计算后传入，
+// 本函数保持**纯函数**（可单测）；窗口内的留痕由 guard 路径既有的 bypass-action 审计统一负责（M2）。
+export function criticismFreezeDecision(session, toolName, args, opts = {}) {
+  if (opts.bypassActive) return null;
   if (!session?.turn?.criticismFrozen) return null;
   if (toolClass(toolName, args || {}) !== "mutating") return null;
   return "本回合命中批评/指错疑似信号——写类工具已冻结（A″ 行为闸）。请按四段模板回应：① 停止；② 归因四问；③ 三件套（事实/原因/方案）；④ 等指令。只读操作不受限。";
 }
+
+/** C3（批 3，2026-09-15，用户裁定方案 A）：**是否冻结**本回合写类工具（纯函数，可单测）。
+ *  由来：置位逻辑原对强弱信号**不对称**——弱信号已做反向检查（hasExplicitExecWord，只认动作词），
+ *  强信号却无条件冻结 → 「批评 + 明确指令」的混合消息会把用户同时下达的指令一起冻掉，
+ *  而那条指令本身是**完整授权**（许可词 + 执行语，规则 22 的授权定义）。
+ *  判据：强信号下只有 `approvalExecRe()`（许可词 + [0,16] 字符 + 执行语，缺一不可）才豁免——
+ *  比弱信号的反向检查更严，避免「批评里提个动作词就算授权」的过宽。
+ *  与 criticismFreezeDecision 分工：本函数管「要不要冻」，那个管「冻了之后拦不拦」。
+ *  @returns {boolean} true = 冻结本回合写类工具
+ */
+export function criticismFreezeBySignal(suspect, userText) {
+  if (suspect !== "strong") return false;
+  return !approvalExecRe().test(String(userText || ""));
+}
 // C4：启动时合并配置层 typeHints（本机扩展授权类型；默认空=仅内置 8+archive 类）
 setTypeHints(pluginConfig.typeHints);
 // P8 小批 A（2026-09-08）：行为词表配置层注入（rule-engine.json 的 lexicons 键）——
@@ -537,10 +559,14 @@ export function handleSessionEvent(ctx, session, event) {
         reason: getMessage("memory.sediment-missing"),
         session: sid
       });
-      maybeInject(ctx, sid, {
-        ruleId: "__engram-gap",
-        reason: getMessage("memory.sediment-missing")
-      });
+      // D（2026-09-13）：事中已提示过（落盘那一刻）→ 此处只留审计，不重复投递；
+      // 未开启 hintOnWrite 或事中未提示时，此处仍是兜底投递（默认关时行为与改动前一致）。
+      if (!s.turn.m8Hinted) {
+        maybeInject(ctx, sid, {
+          ruleId: "__engram-gap",
+          reason: getMessage("memory.sediment-missing")
+        });
+      }
     }
     // F1（2026-08-28 阶段三）：规则 2 时序竞态修复——assistant/message 检测到时间词违规时
     // 不立即投递（Get-Date 工具常在本回合后续步骤才执行，事故实弹：correct 早于 Get-Date 放行），
@@ -871,8 +897,34 @@ export function handleSessionEvent(ctx, session, event) {
       const cmd = pendingCall.args?.command || pendingCall.args?.code || "";
       const m8Cfg2 = state.localIntegrations?.m8 || {};
       const marker = m8Cfg2.entryMarker;
-      if (m8Cfg2.enabled === true && marker && (pendingCall.name === "pwsh" || pendingCall.name === "bash") && cmd.includes(marker)) {
+      // C1（批 3，2026-09-15）：判据由「命令文本含 entryMarker」收紧为
+      // 「命令含 entryMarker **且 结果文本含落盘成功标志**」。
+      // 原判据不区分「跑了」与「跑成」：--dry-run（不写入）、写隔离夹具目录、脚本中途失败
+      // （工具层不标 isError）都会置位 manualWriteSeen → turn/end 误判 __engram-gap 并要求
+      // 同回合 engram_store（2026-09-15 会话实证：dry-run 亦被提示）。
+      // 成功标志走配置 successMarker（与 entryMarker 同风格；未配置时用统一入口的既有标志）。
+      const successMarker = m8Cfg2.successMarker || "MANUAL_WRITE_OK";
+      const m8ResultText = String(
+        resultBlock?.content?.map?.((c) => c?.text || "").join(" ") ||
+        d?.message?.content?.map?.((c) => c?.text || "").join(" ") ||
+        ""
+      );
+      if (m8Cfg2.enabled === true && marker && (pendingCall.name === "pwsh" || pendingCall.name === "bash")
+        && cmd.includes(marker) && m8ResultText.includes(successMarker)) {
         s.turn.manualWriteSeen = true;
+        // D（2026-09-13）：提示前移——落盘被识别的这一刻就提示（陈述式），不再等到 turn/end
+        //（turn/end 之后模型已停止行动，提示只能影响下一回合＝事后才说，正是 M8 反复断链的结构原因）。
+        // 分工：此处＝事中提示（预防）；turn/end 的 engram-gap 审计保留，兜底投递仅在此处未提示时进行。
+        // 防重复：maybeInject 的闸是「同规则最多 3 次」（phase1f-inject.test.mjs 用例 5 为证），
+        // 并非一次即止 —— 故必须由回合标记 m8Hinted 保证「每个回合最多提示一次」。
+        // 默认关（hintOnWrite），与 M8 系列一贯的「显式启用」风格一致。
+        if (m8Cfg2.hintOnWrite === true && !s.turn.engramStoreSeen && !s.turn.m8Hinted) {
+          s.turn.m8Hinted = true;
+          maybeInject(ctx, sid, {
+            ruleId: "__engram-gap",
+            reason: getMessage("memory.sediment-hint")
+          });
+        }
       }
       if (pendingCall.name === "engram_store") {
         s.turn.engramStoreSeen = true;
@@ -1190,9 +1242,12 @@ export function handleSessionEvent(ctx, session, event) {
     const critHit = violations.find((v) => v.mode === "criticism" && v.suspect);
     if (critHit) {
       s.turn.criticismSuspect = critHit.suspect;
-      if (critHit.suspect === "strong") {
+      // C3（批 3，2026-09-15，用户裁定方案 A）：冻结判定抽为纯函数——强信号下只有**完整执行许可**
+      // （许可词 + 执行语）才豁免，避免把用户同一条消息里同时下达的指令一起冻掉。
+      const freezeCrit = criticismFreezeBySignal(critHit.suspect, s.turn.userText || "");
+      if (freezeCrit) {
         s.turn.criticismFrozen = true;
-      } else {
+      } else if (critHit.suspect === "weak") {
         // 弱信号（2026-09-09 第三批后果分级）：不冻结；含执行指令词则仅留痕不提示
         const execDirective = hasExplicitExecWord(s.turn.userText || "");
         if (!execDirective) {
@@ -1201,13 +1256,18 @@ export function handleSessionEvent(ctx, session, event) {
             reason: "用户消息疑似批评/质问形态（规则 22②，待确认）：若确属批评——批评不构成任何授权，请先按归因四问产出三件套（事实/原因/方案）再等指令；若只是普通提问可忽略本条"
           });
         }
+      } else {
+        // C3：强信号 + 完整执行许可 → 不冻结，但**不静默放行**（留痕 + 陈述式提示；用户裁定「给一句提示」）
+        maybeInject(ctx, sid, { ruleId: "22", reason: getMessage("criticism.strong-permitted") });
       }
       audit({
         kind: "criticism-suspect",
         rule: "22",
         name: "批评疑似信号（A″）",
         event: "assistant/message",
-        reason: critHit.suspect === "strong" ? "信号=strong——本回合写类工具冻结（A″ 强信号闸）" : "信号=weak——不冻结（后果分级：留痕+提示）",
+        reason: critHit.suspect === "strong"
+          ? (freezeCrit ? "信号=strong——本回合写类工具冻结（A″ 强信号闸）" : "信号=strong ＋ 检出完整执行许可——不冻结（C3 方案 A 豁免，已提示）")
+          : "信号=weak——不冻结（后果分级：留痕+提示）",
         session: sid
       });
     }
@@ -1261,7 +1321,7 @@ export function handleSessionEvent(ctx, session, event) {
 
 // ── /guard 子命令单一真源（0.5.13：hint 手写漏 tools 修复）──
 // hint（输入框提示）与 USAGE（完整帮助）均由此派生：未来新增子命令只改这一个数组。
-const COMMAND_SPECS = [
+export const COMMAND_SPECS = [
   { name: "status", args: "", desc: "引擎状态" },
   { name: "rules", args: "", desc: "规则清单 + 理解产物" },
   { name: "active", args: "", desc: "最近激活的规则" },
@@ -1278,6 +1338,8 @@ const COMMAND_SPECS = [
   { name: "contract", args: "", desc: "查看当前任务契约" },
   { name: "contract categories", args: "...", desc: "设定契约类别白名单（0.5.12）" },
   { name: "label", args: "<id> <label>", desc: "给审计记录打标（correct/incorrect/inconclusive）" },
+  // C4（批 3，2026-09-15）：质量账本查询——机制在 core/quality-ledger.js，本项补的是**缺失的入口**
+  { name: "quality", args: "", desc: "质量账本趋势（同类任务签名 × 返工/介入/摩擦/token）" },
   { name: "approve", args: "<type> <路径> [min]", desc: "物理确认：授予指定类型+路径的临时授权（仅用户输入；默认 10 分钟）" },
   { name: "freedom", args: "", desc: "查看守卫自由面（不拦什么）与盲区（看不见/判不准什么）（第三批 P1-2）" }
 ];
@@ -1296,7 +1358,7 @@ const USAGE = [
 // eslint-disable-next-line no-unused-vars
 const GUARD_HINT = "[" + [...new Set(COMMAND_SPECS.map((s) => s.name.split(" ")[0]))].join("|") + "]";
 
-function parseCommand(rawInput) {
+export function parseCommand(rawInput) {
   const text = (rawInput || "").trim();
   if (!text || /^(status|state)$/i.test(text)) return { kind: "status" };
   if (/^(rules|list|ls)$/i.test(text)) return { kind: "rules" };
@@ -1325,6 +1387,8 @@ function parseCommand(rawInput) {
     if (parsed) return { kind: "budget", patch: parsed };
   }
   if (/^contract$/i.test(text)) return { kind: "contract" };
+  // C4（批 3，2026-09-15）：质量账本查询（白名单登记——未登记即落 invalid，见本函数上方注释）
+  if (/^quality$/i.test(text)) return { kind: "quality" };
   // 0.5.12（F5 批次 3）：/guard contract categories <build,test,install,...> 设定类别白名单
   m = text.match(/^contract\s+categories\s+(.+)$/i);
   if (m) {
@@ -1434,6 +1498,26 @@ async function executeGuard(ctx, invocation) {
         text: `已临时放行全部守卫 ${minutes} 分钟。到期自动恢复，也可 /guard reload 后立即恢复。`
       };
     }
+    case "quality": {
+      // C4（批 3，2026-09-15）：质量账本查询入口。
+      // 语义：账本默认关（rule-engine.json 的 qualityLedger.enabled=false）→ 无数据时**如实说明**、不伪造趋势；
+      // 有数据时按签名分组各出趋势摘要。纯旁路统计：不拦截、不评分、不上传（数据留本机 ~/.dsh/quality-ledger.jsonl）。
+      const qCfg = loadPluginConfig().qualityLedger || {};
+      const qRows = loadLedger({ config: qCfg });
+      if (qRows.length === 0) {
+        return {
+          kind: "success",
+          text: qCfg.enabled
+            ? "质量账本已开启，但暂无记录（账本只在任务收尾时记录；纯旁路统计，不拦截）"
+            : "质量账本未开启（rule-engine.json 的 qualityLedger.enabled=false）——开启后按同类任务签名统计返工/介入/摩擦/token 趋势"
+        };
+      }
+      const bySig = new Map();
+      for (const r of qRows) bySig.set(r.sig, (bySig.get(r.sig) || 0) + 1);
+      const top = [...bySig.entries()].sort((a, b) => b[1] - a[1]).slice(0, 8);
+      const body = top.map(([sig, n]) => `  ${sig}  ${n} 单  ${qualityTrend(sig, { config: qCfg }).summary}`).join("\n");
+      return { kind: "success", text: `质量账本：${qRows.length} 单 / ${bySig.size} 类签名\n${body}` };
+    }
     case "approve": {
       // C4（2026-09-03）物理确认：用户亲手输入=词表无法误读；最小范围（类型+路径+时长）；无全局通配
       if (!loadPluginConfig().approveEnabled) {
@@ -1899,7 +1983,7 @@ export function apply(ctx) {
 
   // 1.1 任务契约裁决钩子：deny 物理拒绝 + ask 通道 + 委托预算启动即计。
   // 2026-08-25 修复（预算语义偏差，实弹：第 2 个子代理被误拒——允许 N 实际 N-1）：
-  // 根因 = 扣减（本钩子）先于 guard 层的 decideContractAction（L1138 用已扣 contract 重判 → 2+1>2 → 误拒）。
+  // 根因 = 扣减（本钩子）先于 guard 层的 decideContractAction（该处用已扣 contract 重判 → 2+1>2 → 误拒）。
   // 修复 = 本钩子成为契约唯一裁决点（deny 在扣减**前**判定并物理拒绝），guard 层跳过预算类 deny（防双判）。
   ctx.on("tools/pre-execute", async (exec, next) => {
     try {
@@ -1983,7 +2067,9 @@ export function apply(ctx) {
       const sid = sessionIdOfExec(exec);
       const s = getSessionState(state, sid);
       if (!s?.turn?.criticismFrozen) return next();
-      const freeze = criticismFreezeDecision(s, exec?.name, exec?.arguments);
+      // C2-C 档（批 3，2026-09-15）：bypass 窗口内让步（语义＝全部守卫暂停，与 guard status 文案一致）；
+      // 窗口内的变更类调用由 guard 路径既有的 bypass-action 审计统一留痕（M2），此处不重复记。
+      const freeze = criticismFreezeDecision(s, exec?.name, exec?.arguments, { bypassActive: state.bypassUntil > Date.now() });
       if (!freeze) return next();
       audit({
         kind: "criticism-freeze",
@@ -1995,6 +2081,19 @@ export function apply(ctx) {
         reason: `疑似信号=${s.turn.criticismSuspect}（A″ 行为闸：批评不构成授权）`,
         session: sid
       });
+      // 卡片数据源补齐（2026-09-11 P7）：guard 路径（本文件的 guard 命中分支）在命中时写 cardHits，
+      // 本闸此前只 audit → 卡片被记成「本回合无裁决事件」（verdict=clear），用户看不到这次拦截
+      // —— 与 turn-card.js 注释声明的「全量记，含 __ 内部拦截」不符，属遗漏。
+      try {
+        (s.turn.cardHits ||= []).push({
+          tool: exec?.name || "",
+          args: summarizeArgs(exec?.arguments || {}),
+          ruleId: "22",
+          title: "批评回合冻结写类工具",
+          reason: `疑似信号=${s.turn.criticismSuspect}（A″ 行为闸：批评不构成授权）`,
+          errId: ""
+        });
+      } catch { /* 卡片是展示层增强，失败不影响拦截本身 */ }
       return {
         kind: "deny",
         reason: "[guardian:rule22] 【硬拦截】本回合命中批评/指错疑似信号——写类工具已冻结（A″ 行为闸）。请按四段模板回应：① 停止；② 归因四问；③ 三件套（事实/原因/方案）；④ 等指令。只读操作不受限。"

package/lib/messages.js

@@ -42,8 +42,13 @@ export const DEFAULT_MESSAGES = {
   // ── 批评检测引用（原 text-detect 引用本机手册章节号，1b 去本机化）──
   "criticism.strong": "User message matched a strong criticism/rebuke signal (rule 22②, pending adjudication): criticism is NOT authorization — write-class tools are frozen this turn. Respond with the four-part template: 1) stop; 2) attribution questions; 3) facts/cause/plan; 4) wait for instructions.",
   "criticism.weak": "User message looks like a criticism/challenge (rule 22②, pending adjudication): if it really is criticism — it is not authorization. Produce facts/cause/plan via the attribution questions, then wait. Ignore this note if it was just an ordinary question.",
+  // C3（批 3，2026-09-15，用户裁定方案 A）：强信号 + 完整执行许可 → 不冻结，但**不静默放行**（留痕 + 本条提示）。
+  // 措辞须为陈述式：注入受 INJECT_COMMAND_RE 静态闸约束（不得含「请直接执行／请立即／立刻执行」等命令词）。
+  "criticism.strong-permitted": "User message matched a strong criticism signal BUT also carries a complete execution permission (approval word + action speech) — write-class tools are NOT frozen this turn and that permission stands. The criticism itself still grants nothing extra.",
   // ── M8 记忆沉淀提示（原 index.js 引用本机规则号，1b 去本机化）──
   "memory.sediment-missing": "This turn persisted manual/AGENTS changes through the configured entry script but did not call engram_store in the same turn; the memory-sediment chain should complete within one turn.",
+  // ── D（2026-09-13）：提示前移到落盘那一刻（陈述式，不含命令词；区别于上面的 turn/end 违规判定文案）──
+  "memory.sediment-hint": "This turn persisted manual/AGENTS changes through the configured entry script; the memory-sediment chain expects an engram_store call in this same turn.",
   // ── 规则放行提示（原 guard-core RULE_HINTS，1c 迁出）──
   "rule-hint.1": "Analyze the root cause first, then continue once the problem is confirmed",
   "rule-hint.9": "Use a script file, or an explicit UTF-8 (no BOM) flow",

package/lib/service.js

@@ -1,7 +1,14 @@
 // service.js —— 规则引擎 host 端 Remote 服务
 // 供设置面板（dsh-rules-manager-client 的“规则引擎”页签）通过 ctx.remote.ruleEngine.* 调用。
 // 与 rules-manager/service.js 同构：TypertRemoteService + 手动 @Remote 标记。
+// 2026-09-14 修（B0-2 实测踩坑）：readFile 必须来自 node:fs/promises——
+// 从 node:fs 引的是回调版（第三参须为函数），按 Promise 写法 await readFile(p, "utf8")
+// 会抛 `The "cb" argument must be of type function. Received type string ('utf8')`；
+// 该异常被本文件 whitelistStatus 的 try/catch 吞进 debug.readError，外层仍回 ok:true
+// → 面板把"读取失败"显示成"白名单为空"（静默弱化）。readFileSync 仍走 node:fs。
 import { readFileSync } from "node:fs";
+import { readFile } from "node:fs/promises";
+import { join } from "node:path";
 import { Remote, TypertRemoteService } from "@deepseek-ai/dsh-typert-protocol";
 import { state } from "./core/runtime.js";
 import { readAuditLog, audit } from "./core/audit.js";
@@ -15,6 +22,7 @@ const REMOTE_METHODS = [
   "getVersion",
   "checkUpdate",
   "getAuditLog",
+  "whitelistStatus",
   "getUnderstanding",
   "getTaskContractConfig",
   "setTaskContractConfig",
@@ -178,6 +186,41 @@ class RuleEngineService extends TypertRemoteService {
     }
   }
 
+  /** 工具放行白名单状态（B0-2，2026-09-14 自 dsh-rules-manager 移植）：
+   *  永久清单（`rule-engine-tools.json`）+ 近 24h 会话放行记录（从 `rule-engine.log.jsonl` 派生）；
+   *  `debug` 字段供面板白名单区异常时一眼定位。移植理由＝引擎自带设置页（B0）不该依赖规则管理包。 */
+  async whitelistStatus() {
+    const home = dshHome();
+    const debug = { home };
+    const permanent = [];
+    try {
+      const raw = await readFile(join(home, "rule-engine-tools.json"), "utf8");
+      debug.fileLen = raw.length;
+      const arr = JSON.parse(raw);
+      if (Array.isArray(arr)) {
+        for (const it of arr) {
+          if (typeof it === "string") permanent.push({ name: it, time: null, session: null });
+          else if (it && typeof it.name === "string") permanent.push({ name: it.name, time: it.time ?? null, session: it.session ?? null });
+        }
+      }
+    } catch (e) { debug.readError = String((e && e.message) || e); }
+    const sessionAdded = [];
+    try {
+      const log = await readFile(join(home, "rule-engine.log.jsonl"), "utf8");
+      const cutoff = Date.now() - 24 * 3600 * 1000;
+      for (const line of log.split("\n")) {
+        if (!line.includes("unknown-tool-whitelist")) continue;
+        const name = line.match(/"reason":"[^"]*允许使用 ([A-Za-z_][A-Za-z0-9_:.-]*)/);
+        const ts = line.match(/"ts":"([^"]+)"/);
+        const sid = line.match(/"session":"([^"]+)"/);
+        if (name && sid && ts && new Date(ts[1]).getTime() >= cutoff) {
+          sessionAdded.push({ name: name[1], session: sid[1], time: ts[1] });
+        }
+      }
+    } catch { /* 无日志 = 无派生记录 */ }
+    return { ok: true, debug, permanent, sessionAdded: sessionAdded.slice(-50).reverse() };
+  }
+
   /** 规则理解摘要（ruleId/title/level/handler/confidence/actions） */
   async getUnderstanding() {
     try {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-rule-engine",
-  "version": "0.6.4",
+  "version": "0.6.5",
   "description": "DSH 规则执行引擎 v3：容器解析 AGENTS.md + 理解器 + 匹配机 + 执行框架",
   "type": "module",
   "main": "lib/index.js",
@@ -11,10 +11,6 @@
   },
   "files": [
     "lib",
-    "scripts",
-    "!scripts/local-residue-markers.txt",
-    "!scripts/dualtrack-baseline.json",
-    "upgrade-impact.json",
     "cordis.patch.yml",
     "README.md",
     "LICENSE"
@@ -44,14 +40,12 @@
   },
   "scripts": {
     "test": "node test/run-all.mjs",
-    "check": "node --check lib/index.js",
-    "verify": "node scripts/verify-all.mjs",
-    "audit:mount": "node scripts/audit-mount-consistency.mjs --profile web",
-    "check:meta": "node scripts/readme-version-check.mjs && node scripts/local-residue-scan.mjs && node scripts/dualtrack-check.mjs"
+    "check": "node --check lib/index.js"
   },
   "peerDependencies": {
     "@deepseek-ai/dsh-home-paths": ">=0.1.0-rc.3 <0.2.0 || >=0.1.1-rc.0 <0.2.0 || >=0.1.2-rc.0 <0.2.0",
-    "@deepseek-ai/dsh-typert-protocol": ">=0.1.0-rc.3 <0.2.0 || >=0.1.1-rc.0 <0.2.0 || >=0.1.2-rc.0 <0.2.0"
+    "@deepseek-ai/dsh-typert-protocol": ">=0.1.0-rc.3 <0.2.0 || >=0.1.1-rc.0 <0.2.0 || >=0.1.2-rc.0 <0.2.0",
+    "dsh-rule-engine-client": ">=0.1.0 <0.2.0"
   },
   "dsh": {
     "bundle": {