hiwork-core 0.0.22 → 0.0.29

package/lib/types/ai-router-client.d.ts

@@ -286,6 +286,23 @@ export interface GatewayRelayContent {
     revision: number;
     bytes?: Uint8Array;
 }
+/**
+ * GET /api/me/voice-config 响应。
+ *
+ * 网关线上的字段是 snake_case `max_audio_seconds`，**在这一层就转成 camelCase**：
+ * Host 频道、浏览器半边与测试都只认 `maxDurationSeconds` 一种写法，免得同一个概念
+ * 在链路里换两次名字。
+ */
+export interface GatewayVoiceConfig {
+    /** 本部署 + 本账号是否可用语音识别（管理员开关）。 */
+    enabled: boolean;
+    /** 单次录音时长上限（秒）：录音端据此自动停录，别让用户录到被网关 413 拒掉。 */
+    maxDurationSeconds: number;
+}
+/** POST /api/me/voice-transcribe 响应：识别出的文本（可能为空串，即「没听到人话」）。 */
+export interface GatewayVoiceTranscription {
+    text: string;
+}
 /**
  * POST /api/me/mcp-assertions 响应：一张 **120 秒**的身份断言（RS256 JWT）+
  * 去哪换令牌。断言本身不是凭据（换不成令牌就是废纸），所以它可以出现在这里；
@@ -627,6 +644,50 @@ export declare class AiRouterClient implements GatewayClient {
      * 那里才决定「这一份算不算成功拉到的清单」。
      */
     getMyWorkbenchApps(sessionCookie: string): Promise<GatewayWorkbenchAppsView>;
+    /**
+     * GET /api/me/voice-config：当前账号的语音识别开关与录音时长上限。
+     *
+     * 与每日一句的 `getMyDailyQuote` 同款，**这两个方法不在 {@link GatewayClient} 接口上**：
+     * 那个接口是编排层的端口，「语音识别」与它无关，加进去只会逼着每处编排层假网关
+     * （tests/orchestration.spec.ts 里一堆）都补两个用不到的桩。频道侧改用结构子集
+     * `VoiceGatewayPort`（见 `src/voice-rpc.ts`），与 usage / daily 三处一致。
+     *
+     * 与 {@link getMyMcpAssignments} 同样的理由**不复用 `getMeJson`**：那条路径把 403 映射成
+     * `NO_KEY_ASSIGNED`（「尚未被分配虚拟 KEY」），而本端点的鉴权只有会话——一个还没被分配
+     * Key 的账号照样应该有语音识别（分能力与分 Key 是两件事）。沿用它的文案会把「没有 Key」
+     * 错报成原因。
+     *
+     * 本端点契约**恒 200**（开关开与关都是 200 + `enabled` 布尔），因此除 401 以外没有任何
+     * 需要单独解释的拒绝语义：403 / 404 / 5xx / 反代错误页一律收敛成 `GATEWAY_UNREACHABLE`。
+     *
+     * 形状收敛（**本层负责**，消费方拿到的永远是一个合法的 {@link GatewayVoiceConfig}）：
+     * 网关线上是 snake_case `max_audio_seconds`，这里转 camelCase；字段缺失 / 类型不符
+     * 按「禁用 + 60 秒」处理——配置读不出来时话筒本就该消失，用一个 undefined 让消费方
+     * 去猜是把形状问题推给下游。真正的「读不到就回落」再往上一层（`src/voice-rpc.ts`）。
+     */
+    getMyVoiceConfig(sessionCookie: string): Promise<GatewayVoiceConfig>;
+    /**
+     * POST /api/me/voice-transcribe：把一段录音（base64）交给网关转发上游做识别。
+     *
+     * 状态码映射与服务端 handler 一一对应，**不许合并**：
+     *  - 401 = 会话过期（唯一一条能让人做点什么——重新登录——的拒绝）；
+     *  - 503 = 网关自己发的「功能不可用」，再按响应体 `code` 细分：
+     *    `VOICE_NOT_CONFIGURED`（部署没配上游）/ `VOICE_DISABLED`（管理员把开关关了）。
+     *    两者给的提示不同（该找管理员配服务 vs 该找管理员开开关）。
+     *    ⚠️ 响应体没有 `code`（非 JSON / 反代错误页）也归 `VOICE_DISABLED`——这条路由的
+     *    503 语义就是「没开」，而**上游故障走 502**（见下），不会伪装成 503；
+     *  - 429 / 413 / 400 = 配额 / 超长 / 请求体不合法，三种不同的事，分开映射（合并后
+     *    客户端只会看到一句「识别失败」，413 的人不知道该录短一点）；
+     *  - 其余（含 502 = 上游出错）→ `VOICE_UPSTREAM`。
+     *
+     * message 一律取网关响应体里的 `message`（网关侧是冻结的中文文案，会直接展示给用户）；
+     * 响应体不是合法 JSON / 缺 message 时退回本地兜底文案。**绝不把上游 / 网关原文回显**：
+     * 读取响应体走 {@link readVoiceError}（解析失败即空对象），与 `parseMeJson` 不回显原文同源。
+     *
+     * 超时**单独放宽到 60s**（见 {@link VOICE_TRANSCRIBE_TIMEOUT_MS}）：这条要上传录音 +
+     * 等上游识别，构造时的 10s 默认值在这里是误报源。
+     */
+    transcribeVoice(sessionCookie: string, audioBase64: string): Promise<GatewayVoiceTranscription>;
     /**
      * /api/me 自助端点的 GET 公共路径：网络异常 → GATEWAY_UNREACHABLE，
      * 401/403/400 映射为稳定 code，响应体非 JSON 时不把原文带进异常。

package/lib/types/client/contracts.d.ts

@@ -104,23 +104,25 @@ export interface HiWorkCoreClientFace {
     readonly managedWorkbench?: ManagedWorkbenchFace;
     /**
      * PMS 个人待办（工作台插件 hiwork-workbench 的右栏 tab 消费，见 `src/client/pms-todo.ts`；
-     * 契约见 hiwork-workbench 的 spec `docs/superpowers/specs/2026-09-17-pms-todo-integration-design.md`
-     * §4.1 / §4.3 与 §3 D7）。
+     * 契约见 hiwork-workbench 的 spec `docs/superpowers/specs/2026-09-21-pms-zero-input-login-design.md`
+     * §4.3 / §4.4 与 §3 D7）。
      *
      * **可选成员**（与 `managedMcp` / `managedSkills` / `managedWorkbench` 同款的两级可选语义）：
      * 新 core 遇到老 workbench 只是**没人来取**；老 core 遇到新 workbench 只是**没有这个面**
      * （`face.pmsTodo` 为 `undefined` → 右栏 tab 显示「请升级 HiWork 客户端」、工作台入口卡片不显示，
      * spec §6 的降级矩阵第一行，不报错、不空白）。两侧因此不必严格同发一个版本。
      *
+     * ⚠️ **这一面没有登录动作**（spec §3 D3）：零输入登录（网关身份断言 → PMS 换令牌）整段在 Host
+     * 半边发生，客户端连断言都看不到；`login` / `logout` 已随账号密码通道一起删除，本面**没有任何**
+     * 取 token / 取密码 / 收密码的成员（§3 D6 / §7：JWT 只在 Host 内存，前端 bundle 里搜不到 PMS 凭据）。
+     * 未就绪的两种态看 `status.reason`（`no-assignment` → 找管理员；`gateway-signed-out` → 重新登录
+     * HiWork 客户端）——面板据此选文案，**不许**给出任何可填表单。
+     *
      * ⚠️ **这一面里还有第二级可选**：§3 D7 追加的 `myTasks` / `completeTask` **在面里也是可选的**
-     * （旧 core 有这一面但只有前七项）。消费方按 `face.pmsTodo.myTasks !== undefined` 判断，
+     * （旧 core 有这一面但只有前六项）。消费方按 `face.pmsTodo.myTasks !== undefined` 判断，
      * 拿不到就只渲染待办那一半——**不许**把「没有这个能力」渲染成「我的任务为空」，那会让人
      * 以为任务都完成了。同理，新的那一侧也不许把它们改成必填（详见 `PmsTodoFace` 的注释）。
-     *
-     * ⚠️ **账号密码不经过这一面**：`login()` 的入参里出现的密码只走这一次 RPC 调用，随即由 Host
-     * 侧交给 credentials 服务；本面**没有任何**取 token / 取密码的成员，返回的状态里也没有凭据
-     * （spec §3 D6 / §7：JWT 只在 Host 内存 + credentials，前端 bundle 里搜不到 PMS 凭据）。
-     * `myTasks` 也不收 `userId`——「谁的任务」由 Host 从凭据记录里取（同 §3 D6 的形状）。
+     * `myTasks` 也不收 `userId`——「谁的任务」由 Host 从 mint 响应里取（同 §3 D6 的形状）。
      */
     readonly pmsTodo?: PmsTodoFace;
 }

package/lib/types/client/hero-greeting.d.ts

@@ -1,14 +1,3 @@
-/**
- * hero 问候语轮换（每日卡片的同页组件，自 hiwork-dsh-ui 静态版演化）：
- * 官方口号「探索未至之境 / Into the Unknown」替换为「HiWork，+ 候选池随机一条」，
- * 前缀固定保留，候选每次进入 hero 页时随机切换（排除上一条，不重复）；
- * 同时隐藏鱼形品牌标记与「预览版」徽标。
- *
- * 实现：宿主标题节点用 CSS 归零隐藏，问候语是插件自有（data-hiwork-hero-greeting
- * 标记）的相邻 span，由观察器幂等插入——不搬移/不改写宿主节点，宿主重建 hero 时自动
- * 重挂并换下一条，非 hero 阶段自动清残留。样式 id 改用 hiwork 前缀：本模块已是
- * dsh-ui 静态 ::after 版的超集，两版并存会双份文案。
- */
 /** 问候候选池（前缀 HiWork，之后的部分），措辞逐字保留产品定稿。 */
 export declare const HERO_GREETINGS: readonly string[];
 /** 固定前缀：所有候选共用，轮换的只是后半句。 */

package/lib/types/client/pms-todo.d.ts

@@ -1,22 +1,21 @@
 /**
- * 「PMS 个人待办」客户端取数层：经 `/hiwork-pms-todo` loopback RPC 拿到自己的待办、计数，
- * 并托管登录 / 登出（凭据本身**不经过本层**，见下），交给工作台插件（hiwork-workbench）的
- * 右栏 tab 渲染。
+ * 「PMS 个人待办」客户端取数层：经 `/hiwork-pms-todo` loopback RPC 拿到自己的待办、计数与项目任务，
+ * 交给工作台插件（hiwork-workbench）的右栏 tab 渲染。
  *
- * 契约见 spec `docs/superpowers/specs/2026-09-17-pms-todo-integration-design.md` §4.1（Host 频道）、
- * §4.2（`TodoItem`）、§4.3（本面）、§3 D7（**我的任务**：待办之外还要直接查未完成的项目任务）。
- * 本文件与 `src/client/managed-workbench.ts` 同款，是同一副骨架的**第四条链**，差别只有一处：
- * 那条链是纯只读，这一条还带「登录 / 登出」两个动作。
+ * 契约见 spec `docs/superpowers/specs/2026-09-21-pms-zero-input-login-design.md` §4.3（Host 频道）、
+ * §4.4（本面）与 §3 D7（**我的任务**：待办之外还要直接查未完成的项目任务）。
+ * 本文件与 `src/client/managed-workbench.ts` 同款，是同一副骨架的**第四条链**。
  *
  * 铁律：
- *  - **本层不持有任何凭据**：账号密码只在 `login()` 的入参里出现一次，随即交给 Host；access /
- *    refresh token、PMS 的域名与路径**全都不在本文件里**（client bundle 里搜不到 PMS 凭据，§7）；
+ *  - **本层不持有任何凭据，也没有登录动作**：零输入登录（网关身份断言 → PMS 换令牌）整段发生在
+ *    Host 半边，客户端连断言长什么样都看不到；`login` / `logout` 两个端点已经随账号密码通道一起
+ *    删除（spec §3 D3）——本文件里**不许**再长出任何输入框式的成员；
  *  - **不 fetch、不直连 PMS**：一切经 Host 频道——这正是 §3 D6「凭据与数据流都在 Host」在
  *    客户端一侧的落地形状；
  *  - **错误码原样透传**：Host 的六个稳定码（`NOT_CONFIGURED` / `UNAUTHORIZED` / `FORBIDDEN` /
- *    `UPSTREAM_UNAVAILABLE` / `BAD_REQUEST` / `INTERNAL`）由消费方决定文案（未配置 → 引导填
- *    凭据；`UNAUTHORIZED` → 要求重新输入；`FORBIDDEN` → 「到 PMS 操作」，**不是**重新登录）。
- *    本层**不改写、不吞掉**它们。
+ *    `UPSTREAM_UNAVAILABLE` / `BAD_REQUEST` / `INTERNAL`）由消费方决定文案（`NOT_CONFIGURED` →
+ *    「找管理员」；`UNAUTHORIZED` → 「重新登录 HiWork 客户端」；`FORBIDDEN` → 「到 PMS 操作」，
+ *    **不是**重新登录）。本层**不改写、不吞掉**它们。
  *
  * client bundle 纯度：本文件不 import 任何 `@deepseek-ai/*` 运行时值，也不 import Host 代码
  * （类型按结构重声明，字段名与契约一致）。
@@ -25,10 +24,14 @@
 export declare const PMS_TODO_CHANNEL = "/hiwork-pms-todo";
 /**
  * 端点白名单；必须与 Host `PMS_TODO_RPC_ENDPOINTS` 一致（由测试锁定）。
- * 顺序即冻结契约里的顺序（`status` / `login` / `logout` 是凭据生命周期，
- * `today` / `statistics` / `setStatus` 是待办数据，`myTasks` / `completeTask` 是项目任务 —— §3 D7）。
+ * 顺序即冻结契约里的顺序（`status` 是能力状态，`today` / `statistics` / `setStatus` 是待办数据，
+ * `myTasks` / `completeTask` 是项目任务 —— §3 D7）。
+ *
+ * ⚠️ 六项与 v1 的八项**刻意不同**（v1 还有 `login` / `logout`）：那是版本闸口——老 client 拿八项
+ * 去比对新 Host 会对不上，于是走「请升级 HiWork 客户端」的降级，而不是带着一个已经删掉的
+ * 账号密码表单硬跑（spec §4.3）。
  */
-export declare const PMS_TODO_ENDPOINTS: readonly ["status", "login", "logout", "today", "statistics", "setStatus", "myTasks", "completeTask"];
+export declare const PMS_TODO_ENDPOINTS: readonly ["status", "today", "statistics", "setStatus", "myTasks", "completeTask"];
 export type PmsTodoEndpoint = (typeof PMS_TODO_ENDPOINTS)[number];
 /** 勾选用的两个字面量（PMS 只认这两个）。 */
 export type PmsTodoStatusValue = 'PENDING' | 'COMPLETED';
@@ -58,14 +61,38 @@ export interface PmsTodoItem {
     isOverdue?: boolean;
     isDueSoon?: boolean;
 }
-/** `status` / `login` / `logout` 的返回值（spec §4.1）。 */
+/**
+ * `status` 的返回值（spec §4.4；字段名沿用 v1，语义重定义）。
+ *
+ * `configured` = **网关里存在 `slug='pms'` 的分配**（false → 「找管理员」，面板不显示任何可填表单）；
+ * `loggedIn` = **手上有一张未过期的 PMS JWT**。`username`（mint 响应里的 PMS 工号）与 `expiresAt`
+ * （ISO 8601，**不是** token 本身）只给界面展示用；`userId` 是「我的任务」的查询键（§3 D7），
+ * 客户端**没有**任何按它查询的入口。
+ */
 export interface PmsTodoStatus {
     configured: boolean;
     loggedIn: boolean;
     username?: string;
-    /** access token 的绝对过期时刻（ISO 8601）。**不是** token 本身。 */
     expiresAt?: string;
+    userId?: number;
+    /**
+     * 为什么还没就绪（spec §4.4 新增的可选字段；三种取值对应三个不同的人 / 动作）。
+     *
+     * 不认识的取值**原样保留**语义上的开放：这里是联合类型，但 `toStatus` 遇到未知串会**丢掉**它
+     * （不是把整份状态判为无效）——老客户端遇到新 reason 只会少一条提示，不会崩页。
+     */
+    reason?: PmsTodoStatusReason;
 }
+/**
+ * `reason` 的三个取值（spec §4.4）。
+ *
+ * `no-assignment` → 找管理员（客户端没被接进 PMS）；`gateway-signed-out` → 用户自己在 HiWork
+ * 客户端重新登录；`unavailable` → 稍后重试（保留上次数据 + 陈旧标记）。合并成一个码会让用户
+ * 对着一个自己修不了的问题反复重试（§3 D8）。
+ */
+export type PmsTodoStatusReason = 'no-assignment' | 'gateway-signed-out' | 'unavailable';
+/** `reason` 的白名单（`toStatus` 用它挡掉未知串；顺序即契约里的顺序）。 */
+export declare const PMS_TODO_STATUS_REASONS: readonly ["no-assignment", "gateway-signed-out", "unavailable"];
 /** `today` 的返回值。 */
 export interface PmsTodoToday {
     items: PmsTodoItem[];
@@ -139,20 +166,16 @@ export interface PmsTaskCompleteResult {
     /** 任务状态数字（完成是 2）。 */
     status: number;
 }
-/** 登录入参。 */
-export interface PmsTodoLoginInput {
-    username: string;
-    password: string;
-    /** 是否把凭据交给 credentials 服务加密保存（Host 侧语义，见 spec §4.4）。 */
-    remember?: boolean;
-}
 /**
- * 「PMS 待办」面（spec §4.3 冻结的七项 + §3 D7 追加的两项）。
+ * 「PMS 待办」面（spec §4.4 冻结的六项 + §3 D7 追加的两项）。
  *
  * 它挂在 `HiWorkCoreClientFace` 上作为**可选成员** `pmsTodo?`：老 core 没有这个面，老
  * workbench 也不会来取；两侧因此不必同发一个版本——老 core 遇新 workbench 就是
  * 「请升级 HiWork 客户端」（spec §6 的降级矩阵第一行）。
  *
+ * ⚠️ **没有 `login` / `logout`**（v1 有，spec §3 D3 随账号密码通道一起删除）：零输入登录整段在
+ * Host 半边发生，客户端没有任何凭据入口——**不许**为了「兼容」把它们加回来。
+ *
  * ⚠️ **`myTasks` / `completeTask` 是这一面里的两级可选**（版本闸口）：§3 D7 是 2026-09-18 追加的，
  * 装着的旧 core 有 `pmsTodo` 面但**没有**这两项。所以它们是**可选成员**，消费方必须按
  * `face.pmsTodo.myTasks !== undefined` 判断（拿不到就只显示待办那一半，而不是崩页、也不是把
@@ -163,15 +186,15 @@ export interface PmsTodoFace {
     /**
      * 本地镜像（**同步读**，可能是 `undefined`）。
      *
-     * ⚠️ 它是镜像是**有意的**：界面渲染是同步的，而「有没有配置凭据」是异步来的。镜像由
-     * `login` / `logout` 的返回值、以及**首次调用本方法时的一次惰性探测**写入（结果到达后通知
-     * 订阅者），所以调用方必须 `subscribe()` ——首次渲染很可能拿到 `undefined`，等通知到了再重渲。
+     * ⚠️ 它是镜像是**有意的**：界面渲染是同步的，而「网关里有没有 pms 分配 / 手上有没有令牌」是
+     * 异步来的。镜像由 `refreshStatus()` 的成功返回值、以及**首次调用本方法时的一次惰性探测**写入
+     * （结果到达后通知订阅者），所以调用方必须 `subscribe()` ——首次渲染很可能拿到 `undefined`，
+     * 等通知到了再重渲。
+     *
+     * ⚠️ `undefined` **不是**「未配置」：那是「还不知道」（探测还没回来）。未就绪的两种态要看
+     * `status.reason`（`no-assignment` → 找管理员；`gateway-signed-out` → 重新登录 HiWork 客户端）。
      */
     readonly status: () => PmsTodoStatus | undefined;
-    /** 登录（凭据经 Host 换成 JWT；密码只在这一次调用里出现，本层不留存）。失败抛错。 */
-    readonly login: (input: PmsTodoLoginInput) => Promise<PmsTodoStatus>;
-    /** 登出（Host 清内存凭据 + 抹掉 credentials 记录）。 */
-    readonly logout: () => Promise<PmsTodoStatus>;
     /** 今日待办（⚠️ 口径比名字宽：今天 + 明天 + 无截止日期，spec §D4）。失败抛错。 */
     readonly today: (signal?: AbortSignal) => Promise<PmsTodoToday>;
     /** total / pending / completed / overdue 计数。失败抛错。 */
@@ -189,7 +212,7 @@ export interface PmsTodoFace {
     /**
      * **我的未完成项目任务**（spec §3 D7）。**可选成员**——旧 core 上没有它（见本接口的抬头）。
      *
-     * 「谁的任务」由 Host 从凭据记录里取（客户端传不进来），所以这里没有 `userId` 入参。
+     * 「谁的任务」由 Host 从 mint 响应里取（客户端传不进来），所以这里没有 `userId` 入参。
      * 失败抛错，错误码可判 `FORBIDDEN`（没有完成任务权限的角色会在**完成**时报它）。
      */
     readonly myTasks?: (signal?: AbortSignal) => Promise<PmsTaskList>;
@@ -198,12 +221,12 @@ export interface PmsTodoFace {
      *
      * ⚠️ 与 `setStatus`（待办）是**两条不同的上游路径**：待办那条没有权限注解，这一条需要
      * `task:list:edit`；缺权限时抛 `FORBIDDEN`，界面要按 §3 D7 说「在 HiWork 里没有完成任务的权限，
-     * 请到 PMS 操作」，**不要**当成「登录过期」让用户重新输密码。
+     * 请到 PMS 操作」，**不要**当成「登录过期」让用户重新登录。
      */
     readonly completeTask?: (input: {
         id: number;
     }) => Promise<void>;
-    /** 订阅镜像变化（登出 / 换账号时会被清空）。返回退订函数。 */
+    /** 订阅镜像变化（换账号时会被清空）。返回退订函数。 */
     readonly subscribe: (listener: () => void) => () => void;
 }
 /** 宿主 loopback RPC 调用面（结构兼容 `ctx.connection.rpc`）。 */
@@ -234,7 +257,8 @@ export declare function pmsTodoErrorOf(error: unknown): {
  * PMS 待办的取数仓库。
  *
  * 本地镜像（`status()` 同步读）是有必要的：DSH 的 client 半边在不同插件之间只通过这个面同步取
- * 状态，而「配没配凭据」是异步来的。镜像**只由成功响应覆写**，失败时不改动它。
+ * 状态，而「网关里有没有 pms 分配、手上有没有未过期的令牌」是异步来的。镜像**只由成功响应覆写**，
+ * 失败时不改动它。
  */
 export declare class PmsTodoStore {
     private readonly rpc;
@@ -243,7 +267,7 @@ export declare class PmsTodoStore {
     /**
      * 在飞请求**连同它所属的世代与端点**一起记账。
      *
-     * 世代：`clear()`（登出 / 换账号）之后，账上那条是**上一个人**发起的，它的待办属于上一个人
+     * 世代：`clear()`（换账号）之后，账上那条是**上一个人**发起的，它的待办属于上一个人
      * ——复用它等于让新账号看到上一个人的待办。端点：`today` 与 `statistics` 的返回值形状不同，
      * 只有同一个端点的并发调用才允许合并。
      */
@@ -257,8 +281,9 @@ export declare class PmsTodoStore {
      * 本地镜像（同步）。从没同步过返回 `undefined`。
      *
      * ⚠️ 本方法有一次**惰性探测**：镜像还空着且从没探过时，它顺手发起一次 `status` 端点调用
-     * （结果到达后写镜像 + 通知订阅者）。理由——渲染是同步的，而「配没配凭据」只有主机知道；
-     * 没有这一步，`status` 端点就永远没有调用方，界面也只能靠一次失败的 `today()` 去反推。
+     * （结果到达后写镜像 + 通知订阅者）。理由——渲染是同步的，而「网关里有没有 pms 分配、手上
+     * 有没有令牌」只有主机知道；没有这一步，`status` 端点就永远没有调用方，界面也只能靠一次
+     * 失败的 `today()` 去反推（而且那反推出来的原因往往正好是错的）。
      * 因此调用方看到 `undefined` **不是**「未配置」，而是「还不知道」：必须订阅。
      */
     status(): PmsTodoStatus | undefined;
@@ -269,14 +294,6 @@ export declare class PmsTodoStore {
      * 调用方（或下一次 `today()`）自己决定怎么展示。
      */
     refreshStatus(signal?: AbortSignal): Promise<PmsTodoStatus>;
-    /**
-     * 登录（凭据交给 Host；**本层不留存密码、不写任何缓存**）。
-     *
-     * 成功时把返回的状态写进镜像——登录是「身份刚变过」，镜像必须跟着变。
-     */
-    login(input: PmsTodoLoginInput): Promise<PmsTodoStatus>;
-    /** 登出（Host 侧清凭据）；返回登出后的状态并写镜像。 */
-    logout(): Promise<PmsTodoStatus>;
     /**
      * 今日待办。
      *
@@ -299,7 +316,7 @@ export declare class PmsTodoStore {
     /**
      * **我的未完成项目任务**（spec §3 D7）：`myTasks` 端点的取数。
      *
-     * 入参是**空对象**，没有 `userId`——「谁的任务」由 Host 从凭据记录里取（客户端连自己的
+     * 入参是**空对象**，没有 `userId`——「谁的任务」由 Host 从 mint 响应里取（客户端连自己的
      * PMS userId 都拿不到，这是 §3 D6 形状的一部分）。
      *
      * 与 `today` 同款：**不做本地缓存**（返回刚拉到的那一份），但**并发调用合并**（同一时刻问两遍
@@ -323,7 +340,8 @@ export declare class PmsTodoStore {
     /** 订阅镜像变化（右栏 tab 据此重渲染）。返回退订函数。 */
     subscribe(listener: () => void): () => void;
     /**
-     * 清空镜像（登出 / 换账号：状态是**按人**的，留着会串号），并**作废在飞的请求**。
+     * 清空镜像（换账号：状态是**按人**的——分配是按人下发的、令牌是按人换的，留着会串号），
+     * 并**作废在飞的请求**。
      *
      * 只清镜像是不够的：清空那一刻正有一次拉取在飞时，那次拉取是**上一个人**发起的。所以世代
      * +1：那之后的调用者一律不复用旧世代的那条，自己重新发一次 RPC。用世代号而**不是**把

package/lib/types/client/styles.d.ts

@@ -130,3 +130,31 @@ export declare const brandCss: string;
  * 由 client 入口 apply() 注入一次（带 id 防重）。
  */
 export declare const interactionCss: string;
+/**
+ * 手写注入的 <style> 必须带 DSH 的归属标记（`data-plugin`）。
+ *
+ * DSH 的 client module system 用这个属性记账：每装载（materialize）一个插件 bundle，
+ * 就把文档里**所有没有** `data-plugin` 的 <style> 记到当时正在装载的那个插件名下
+ * （`claimStyles`，`dsh-client-modules/src/client/system.ts`）；插件被替换、重建或停用
+ * 时按 `removeOwnedStyles(id)`（同包 `entry-lifecycle.ts`）删掉「记在它名下」的全部
+ * <style>。裸注入的样式会被随后第一个装载的插件顺手认领，再随它被替换/停用而**连带
+ * 删除**，而本插件此刻并没有重新 apply —— 表现就是这部分样式静默消失、只有刷新页面
+ * 才恢复（2026-09-23 实测：hiwork-knowledge 重建后，本插件两个样式表被一起删掉，实测
+ * 归属曾被记到 `@deepseek-ai/dsh-client-ui-deliverables` 名下）。
+ * 标记形态与官方 client bundle 预设一致（`tsdown.client.ts` 的 styleInjectionModule）。
+ */
+export declare const CORE_STYLE_OWNER = "hiwork-core";
+/** 给本插件注入的 <style> 打归属标记；`cssTagId` 沿用官方预设的 `包名/文件名` 形态。 */
+export declare function ownStyleTag(style: HTMLStyleElement, cssTagId: string): void;
+/**
+ * 语音输入（话筒按钮 + 录音浮层）的样式，随本插件一起分发。
+ *
+ * 类名统一 `hiwv-` 前缀，**不引用宿主内部 CSS 变量**：这些浮层元素是 `document.body`
+ * 直挂的，宿主 DOM 结构/变量名跨版本不稳，故自带中性配色 + `prefers-color-scheme` 自适应。
+ * 设置分区（`.hiwv-settings*` / `.hiwv-field` / `.hiwv-help`）**不存在**：配置面在网关
+ * （管理端「语音识别设置」），桌面端没有任何语音相关的设置项。
+ *
+ * 注入走 `voice/voice-styles.ts` 的 `ensureVoiceStyle`，**必须**经 {@link ownStyleTag}
+ * 打归属标记（见上方事故记录）：裸注入会被随后装载的插件认领并连带删除。
+ */
+export declare const voiceCss: string;

package/lib/types/client/types.d.ts

@@ -31,7 +31,19 @@ export type LoginErrorCode = 'AUTH_FAILED' | 'RATE_LIMITED' | 'GATEWAY_UNREACHAB
  * 收敛成 `GATEWAY_UNREACHABLE`；工作台的 404 是一个明确的功能状态（spec §10 的降级矩阵），
  * 消费方据此显示「本部署尚未启用工作台」而不是报错。别顺手把两边对齐。
  */
- | 'WORKBENCH_DISABLED';
+ | 'WORKBENCH_DISABLED'
+/** 本部署未启用语音识别（管理员把开关关了）：识别时 503（或 503 无 body code）。 */
+ | 'VOICE_DISABLED'
+/** 本部署未配置语音识别上游服务（网关侧没有可用 ASR 配置）：识别时 503。 */
+ | 'VOICE_NOT_CONFIGURED'
+/** 单用户识别频率超限：429。 */
+ | 'VOICE_LIMIT_REACHED'
+/** 录音超过网关允许的大小 / 时长上限：413。 */
+ | 'VOICE_AUDIO_TOO_LARGE'
+/** 录音数据不合法（base64 损坏 / 请求体越界）：400。 */
+ | 'VOICE_BAD_REQUEST'
+/** 上游识别服务出错或网关 502 之类的转发失败：其余非 2xx（含 502）。 */
+ | 'VOICE_UPSTREAM';
 /** 一个稳定的、可安全展示的登录/刷新错误。 */
 export interface LoginError {
     code: LoginErrorCode;

package/lib/types/client/voice/MicButton.d.ts

@@ -0,0 +1,24 @@
+/**
+ * 输入框工具栏的话筒按钮（`conversation.input.right` 槽）。
+ *
+ * 该槽渲染在发送区右组、**模型选择器之前**（宿主 InputBar 的顺序：right → model →
+ * stop/send），正是需求指定的落点。按钮只负责「打开浮层」，识别与插入都在浮层里。
+ *
+ * 一条约定：**不按「本机有没有配豆包密钥」改 tooltip**——D1 之后配置面整体废除，
+ * 能不能用由 `status` 端点说了算，而 `enabled !== true` 时本按钮根本不会被注册
+ * （见 `voice/entry.ts` 的门禁）。
+ */
+import { type ReactElement } from 'react';
+import type { InjectFace, PropsRuntime } from '@deepseek-ai/dsh-client-ui-slots';
+/** 组件注入面：打开录音浮层（会话 id 由槽位在渲染时注入，见 entry）。 */
+export interface MicButtonFace {
+    /** 打开浮层；`sessionId` 是槽位注入的会话 id（拿不到为 undefined，插入时退到当前会话）。 */
+    open: (sessionId?: string) => void;
+}
+/** 槽位组件 props：框架标准件 + 注入面（`conversation.input.right` 是 session 作用域 list 槽）。 */
+export type MicButtonProps = PropsRuntime<'conversation.input.right'> & InjectFace<MicButtonFace>;
+/**
+ * 话筒按钮；宿主通过 inject 合成 `open`。
+ * @param props - 槽位 props（只消费注入面的 `open`）。
+ */
+export declare function MicButton({ open }: MicButtonProps): ReactElement;

package/lib/types/client/voice/VoiceOverlay.d.ts

@@ -0,0 +1,37 @@
+/**
+ * 录音浮层：点击话筒后弹出的「正在录音」交互。
+ *
+ * 需求约束：
+ *  - 组件**不能太小**（面板最小 420px、居中、带遮罩）；
+ *  - 必须支持**取消**（ESC / 取消按钮 / 点遮罩），取消即丢弃录音、不写输入框；
+ *  - 「完成」后上传识别，识别文本**填进输入框草稿，不自动发送**；
+ *  - 没听清 / 失败时给出原因与出口（再录一次 / 重试识别 / 复制文本），绝不静默。
+ *
+ * 两条与网关中继相配的约定（设计稿 §5.4 冻结）：
+ *  1. **时长上限来自 `status` RPC**（`{enabled, maxDurationSeconds}`，见 `voice-data.ts`），
+ *     不来自任何本机配置——D1 之后没有「本机密钥配置」这回事了；
+ *  2. **失败文案按网关 code 映射**（{@link voiceErrorMessageOf}），不把 Host 的
+ *     `message` 直出；「重试识别」只在可能自愈的 code 上出现（`status.enabled !== true`
+ *     与网关不可达走同一句「连接语音服务失败，请稍后重试」，本组件只是兜底，
+ *     正常情况下这种状态压根不会注册话筒按钮）。
+ */
+import { type ReactElement } from 'react';
+import type { ComposerInsertResult } from './composer.ts';
+import { type VoiceRuntime } from './voice-data.ts';
+/** 浮层属性（由 `voice/entry.ts` 的浮层控制器组装）。 */
+export interface VoiceOverlayProps {
+    /** 取数面：`status`（时长上限 + 能不能用）与 `transcribe`（WAV base64 → 文本）。 */
+    runtime: VoiceRuntime;
+    /** 关闭浮层（取消或完成后由组件内部调用；React root 的卸载由控制器负责）。 */
+    onClose: () => void;
+    /** 把识别文本写进会话输入框草稿（entry 用 `composer.ts` 的 `insertDraftText` 组装）。 */
+    insertDraft: (text: string) => ComposerInsertResult;
+}
+/**
+ * RMS → 显示电平。语音的裸 RMS 通常只有 0.02~0.2，直接进 `8 + level*46` 的像素映射
+ * 几乎看不出跳动（0.1 的响度只比安静高 4px）；放大 6 倍再钳到 1，正常说话就能打到
+ * 半高以上。导出供测试锁定映射。
+ */
+export declare function rmsToLevel(rms: number): number;
+/** 录音浮层组件（由 `voice/entry.ts` 的 overlay 控制器挂载/卸载）。 */
+export declare function VoiceOverlay(props: VoiceOverlayProps): ReactElement;

package/lib/types/client/voice/composer.d.ts

@@ -0,0 +1,98 @@
+/**
+ * 把一段文本放进**某个会话的输入框**（卡片上的「追问」、页面上的「带进聊天」）。
+ *
+ * 为什么不是 `conversation.send(text)`：那会立刻排一轮对话发出去，用户没有反悔余地；
+ * 而且 `send()` 是**按调用方作用域寻址**的，本插件的 ctx 是 root 作用域，直接调会抛
+ * `conversation.send requires a session scope`。放进草稿既符合「带进聊天」的语义，
+ * 也把「发不发、要不要改」留给用户。
+ *
+ * 三个必须照抄的宿主细节（都来自 `hiwork-capabilities/src/client/composer.ts` 的实测结论）：
+ *  1. **`actx.get('conversation')` 而不是 `actx.conversation`**：后者是属性访问，会撞上
+ *     cordis 的注入门禁（`cannot get property "conversation" without inject`），而本插件
+ *     的顶层 `inject` 里没有 `conversation`（也不该有——那是可选能力）；
+ *  2. **`sessions.scope(id)` 失败时退到 `sessions.binding(id).ctx`**：两条路在不同宿主
+ *     版本上互为兜底，且都要 try/catch——读属性本身就可能抛；
+ *  3. **读快照与插入之间不得有 await**：`draftRev` 是 CAS 票据，中间让出一次事件循环，
+ *     草稿被别人改过就会必然被拒。所以本模块整体是**同步**的。
+ *
+ * 本文件零依赖：bundle 必须自包含。
+ */
+/** 草稿里的引用 chip 占位（结构契约）。 */
+export interface ComposerOccurrence {
+    readonly offset: number;
+    readonly length: number;
+}
+/** 输入机状态里本模块用到的部分（结构契约）。 */
+export interface ComposerInputState {
+    /** 剪贴板投影：chip 展开成各自的 `clipboardText`。 */
+    readonly draft: string;
+    /** 单调递增的编辑器版本号，插入时用作 CAS 票据。 */
+    readonly draftRev: number;
+    /**
+     * 提交相位；旧宿主可能没有这个字段，缺省视为可写。
+     *
+     * 写成 `| undefined`（而不是裸 `?`）是本仓库 tsconfig 的 `exactOptionalPropertyTypes`
+     * 要求：裸可选成员不能显式传 `undefined`，而调用方/测试需要能这么写。
+     */
+    readonly phase?: 'plain' | 'adjudicating' | 'claimed' | 'submitting' | undefined;
+    /** 草稿里的引用 chip，按 offset 升序。 */
+    readonly occurrences?: readonly ComposerOccurrence[] | undefined;
+}
+/** 会话作用域的输入机面（`conversation.input.for(actx)` 的返回值）。 */
+export interface ComposerInsertionTarget {
+    readonly state: {
+        getSnapshot(): ComposerInputState;
+    };
+    /** 把普通文本替换进 pick-time span；旧宿主可能没有这个方法。 */
+    insertText?(text: string, span: {
+        start: number;
+        end: number;
+        draftRev: number;
+    }, keepCompleting?: boolean): boolean;
+}
+/** `actx.get('conversation')` 的最小结构面。 */
+export interface ConversationAccess {
+    readonly input: {
+        for(actx: unknown): ComposerInsertionTarget | undefined;
+    };
+}
+/** `ctx.sessions` 的最小面（`scope` 与 `binding` 互为兜底）。 */
+export interface SessionScopeAccess {
+    scope?(id: string): unknown;
+    binding?(id: string): {
+        ctx?: unknown;
+    } | undefined;
+    list?: {
+        getSnapshot(): {
+            readonly current?: string | undefined;
+        };
+    };
+}
+/** 插入结果。失败一律**返回原因**，不抛、不静默——静默会让按钮看起来是坏的。 */
+export type ComposerInsertResult = {
+    readonly ok: true;
+} | {
+    readonly ok: false;
+    readonly reason: 'no-target' | 'busy' | 'rejected';
+};
+/**
+ * 探测草稿在**坐标投影**里的末尾偏移。
+ *
+ * 用 `occurrences` 而不是 `draft.length`：chip 在坐标里只占 1 个位置，而 `draft` 里是
+ * 展开后的全文。拿错投影会被宿主直接拒掉。
+ * @param state - 输入机快照。
+ * @returns 探测坐标里的草稿末尾偏移。
+ */
+export declare function detectTextLength(state: ComposerInputState): number;
+/**
+ * 把文本追加进某个会话输入框的草稿末尾。
+ *
+ * 落点选**末尾**：`/名字 ` 这类文本由宿主自己的触发器敲在光标处，我们追加在末尾不会
+ * 抢走用户已经写了一半的话；中间同样不得有 await（见文件头第 3 点）。
+ *
+ * @param sessions - `ctx.sessions`；缺失时直接判定没有目标。
+ * @param text - 要追加的文本。
+ * @param sessionId - 槽位注入的会话 id；缺省退到 `sessions.list.current`。
+ * @returns 成功或失败原因。
+ */
+export declare function insertDraftText(sessions: SessionScopeAccess | undefined, text: string, sessionId?: string): ComposerInsertResult;

package/lib/types/client/voice/entry.d.ts

@@ -0,0 +1,46 @@
+import { type SessionScopeAccess } from './composer.ts';
+import { type VoiceRpcPort } from './voice-data.ts';
+/** 话筒按钮落在输入框工具栏右组（渲染在模型选择器之前）；必须与 package.json 的
+ * `dsh.client.inject` 里声明的 `@deepseek-ai/dsh-client-ui-conversation` 对齐。 */
+export declare const VOICE_INPUT_SLOT = "conversation.input.right";
+/** 槽位注册 id（稳定值，供宿主与测试定位）。 */
+export declare const VOICE_INPUT_SLOT_ID = "hiwork-core-voice";
+/** 槽位排序权重（list 槽按 order 升序渲染在右组里）。 */
+export declare const VOICE_INPUT_SLOT_ORDER = 10;
+/** 浮层控制器的容器类名（`document.body` 直挂的那层 div；无样式依赖，仅便于排查）。 */
+export declare const VOICE_ROOT_CLASS = "hiwv-root";
+/** 话筒按钮的注入面：`open` 已经绑好会话 id，组件只需调用它。 */
+export interface VoiceMicInject {
+    open: (sessionId?: string) => void;
+}
+/** 安装依赖（由 `src/client/index.ts` 组装；测试用假实现注入）。 */
+export interface VoiceEntryDeps {
+    /** 宿主 loopback RPC（`ctx.connection.rpc`）。 */
+    rpc: VoiceRpcPort;
+    /**
+     * **现取**会话服务（`() => ctx.get('sessions')`）；缺失时草稿插入一律判定为「没有打开的会话」。
+     *
+     * 必须是取用函数而不是服务本身：`sessions` 不在插件的 `inject` 列表里（那是可选能力），
+     * 实测**装配期它还没上线**——`ctx.get('sessions')` 返回 `undefined`，而服务稍后才注册。
+     * 装配期快照会把 `undefined` 冻进浮层控制器，于是每次录音都在填草稿那步失败并报
+     * 「没有找到打开的会话输入框」（真机复现：装配期 `undefined`、点击时已就绪）。现取即可。
+     */
+    resolveSessions: () => SessionScopeAccess | undefined;
+    /** 注册话筒按钮：index.ts 用 `ctx.slots.inject` + `ctx.slots.register` 实现，测试用 spy。 */
+    registerMic: (inject: VoiceMicInject) => void;
+    /** 归属文档；缺省取全局 `document`（Node 环境为 undefined 时不挂浮层）。 */
+    document?: Document | undefined;
+    /** 安装作废信号（插件卸载 / HMR 重建时 abort）：作废后绝不注册话筒按钮。 */
+    signal?: AbortSignal | undefined;
+}
+/** 安装结果句柄：`enabled` 是 status 门禁的结论，`dispose` 关闭可能开着的浮层。 */
+export interface VoiceEntryHandle {
+    readonly enabled: boolean;
+    dispose(): void;
+}
+/**
+ * 安装语音输入：注入样式 → 问 status → 可用才注册话筒按钮。
+ * @param deps - 安装依赖。
+ * @returns 安装句柄（`enabled` 即 status 门禁结论）。
+ */
+export declare function installVoiceInput(deps: VoiceEntryDeps): Promise<VoiceEntryHandle>;