memory-eternal 0.18.1 → 0.20.0

package/.claude-plugin/plugin.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://anthropic.com/claude-code/plugin.schema.json",
   "name": "memory-eternal",
-  "version": "0.18.1",
+  "version": "0.20.0",
   "description": "记忆核心（Memory Eternal）：对话结束后自动沉淀知识卡到本地记忆库（~/.dsh/memory-vault），支持检索 / 召回 / 审核中心。",
   "author": {
     "name": "EternalNight996",

package/.codex-plugin/plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "memory-eternal",
-  "version": "0.18.1",
+  "version": "0.20.0",
   "description": "记忆核心（Memory Eternal）：对话结束后自动沉淀知识卡到本地记忆库（~/.dsh/memory-vault），支持检索 / 召回 / 审核中心。",
   "author": {
     "name": "EternalNight996",

package/.cursor-plugin/plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "memory-eternal",
-  "version": "0.18.1",
+  "version": "0.20.0",
   "description": "记忆核心（Memory Eternal）：对话结束后自动沉淀知识卡到本地记忆库（~/.dsh/memory-vault），支持检索 / 召回 / 审核中心。",
   "author": {
     "name": "EternalNight996",

package/README.md

@@ -2,7 +2,7 @@
 
 [![GitHub stars](https://img.shields.io/github/stars/EternalNight996/memory-eternal?style=flat)](https://github.com/EternalNight996/memory-eternal/stargazers)
 [![npm](https://img.shields.io/npm/v/memory-eternal)](https://www.npmjs.com/package/memory-eternal)
-[![release](https://img.shields.io/badge/release-v0.18.1-FF7A45)](https://github.com/EternalNight996/memory-eternal/releases)
+[![release](https://img.shields.io/badge/release-v0.20.0-FF7A45)](https://github.com/EternalNight996/memory-eternal/releases)
 [![license](https://img.shields.io/badge/license-MIT-blue)](LICENSE)
 
 **English (default)** · [简体中文](README.zh-CN.md)
@@ -18,7 +18,9 @@
 
 - 🔍 **Review before it counts** — new cards wait in a review queue; approve or reject from the Web UI or terminal; every change is written to an immutable audit log.
 - 🧾 **Token ledger** — see how much recall injected, how many distillation calls ran, and how often recall was actually useful.
-- 🏠 **Local-first, no cloud** — SQLite + Markdown on your own disk. No third-party memory framework, no account, no outbound calls.
+- 🏠 **Local-first, no cloud** — SQLite + Markdown on your own disk. No third-party memory framework, no account. Memory data never leaves the machine; only the News page fetches public RSS / Hacker News on demand (titles, excerpts and outbound links only).
+- ⭐ **Core memory** — promote approved cards to always-on memory; every session gets them automatically, and the review queue still decides what qualifies.
+- 🧭 **Reader & layout** — clickable table of contents in the card reader, plus a compact / normal / large layout setting for the whole memory UI.
 
 <p align="center"><strong>⭐ If it saves you from explaining the same context again, a star helps a lot.</strong><br/><sub>DSH one-liner: <code>dsh plugin --profile desktop add memory-eternal</code></sub></p>
 
@@ -84,6 +86,22 @@ A memory system that silently ingests everything will eventually recall a wrong
 - agents can read and propose, but **cannot approve their own cards**;
 - deleted cards go to a recycle bin (30 days by default).
 
+## ⭐ Core memory
+
+Not everything should be injected into every session. Core memory is the small, explicit set of rules and preferences that must always win:
+
+- any approved card can be promoted from the reader or card list;
+- auto-capture may **suggest** core only for explicit long-term preferences / hard constraints, and core candidates always stay pending for review;
+- approved core cards are injected into the system prompt of every session — no `memory_recall` call needed;
+- set a card limit and character budget in Settings → Memory → Core memory;
+- in the knowledge graph, core nodes are orange diamonds with a ★;
+- never store secrets or API keys in a core card; keep only a pointer to the credential directory.
+
+## 🎛 Reader & layout
+
+- click any heading in the reader's table of contents to smoothly scroll to that section;
+- Settings → Memory → Layout size offers **compact / normal / large** for the whole UI; it only affects display.
+
 ## 🧩 One vault, every agent
 
 | Entry | What you get |
@@ -123,7 +141,7 @@ A memory system that silently ingests everything will eventually recall a wrong
 
 | QQ group | WeChat group |
 |:---:|:---:|
-| <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-qr.jpg" width="240" alt="QQ group QR" /> | <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-wechat.png" width="240" alt="WeChat group QR" /> |
+| <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-qr.jpg" width="240" alt="QQ group QR" /> | <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-wechat.jpg" width="240" alt="WeChat group QR" /> |
 
 **Buy the author a coffee (optional):**
 

package/README.zh-CN.md

@@ -2,7 +2,7 @@
 
 [![GitHub stars](https://img.shields.io/github/stars/EternalNight996/memory-eternal?style=flat)](https://github.com/EternalNight996/memory-eternal/stargazers)
 [![npm](https://img.shields.io/npm/v/memory-eternal)](https://www.npmjs.com/package/memory-eternal)
-[![release](https://img.shields.io/badge/release-v0.18.1-FF7A45)](https://github.com/EternalNight996/memory-eternal/releases)
+[![release](https://img.shields.io/badge/release-v0.20.0-FF7A45)](https://github.com/EternalNight996/memory-eternal/releases)
 [![license](https://img.shields.io/badge/license-MIT-blue)](LICENSE)
 
 [English (default)](README.md) · **简体中文（镜像）**
@@ -18,7 +18,9 @@
 
 - 🔍 **先审核，再入库** —— 新卡先进待审队列，Web 或终端里批准/驳回；每次状态变更写入不可篡改的审计日志。
 - 🧾 **记忆账本** —— 召回注入了多少、蒸馏调了几次、召回到底有没有用，全部可查。
-- 🏠 **本地优先，零云端** —— SQLite + Markdown 存在你自己的磁盘上。没有第三方记忆框架、不需要账号、不外发请求。
+- 🏠 **本地优先，零云端** —— SQLite + Markdown 存在你自己的磁盘上。没有第三方记忆框架、不需要账号；记忆数据不外发，只有「动态」资讯会按需请求公开 RSS / Hacker News（只取标题、摘要与外链）。
+- ⭐ **核心记忆** —— 已批准的卡可提升为「每次会话强制注入」的核心记忆；自动沉淀可以建议，但最终仍由审核中心决定。
+- 🧭 **阅读与布局** —— 卡片目录可点击跳转；记忆界面支持紧凑 / 标准 / 大三种布局大小。
 
 <p align="center"><strong>⭐ 如果它帮你少解释了一遍上下文，点个 Star 就是最大的支持</strong><br/><sub>DSH 一条命令：<code>dsh plugin --profile desktop add memory-eternal</code></sub></p>
 
@@ -84,6 +86,22 @@ npx -y -p memory-eternal dsh-memory tui   # 终端里的实时待审队列
 - Agent 可以读取和提议，但**不能批准自己写的卡**；
 - 删除的卡进回收站（默认保留 30 天）。
 
+## ⭐ 核心记忆
+
+不是所有内容都该每次注入上下文。核心记忆是一组**必须每次遵守**的偏好与硬约束：
+
+- 任意已批准卡片都可以在阅读器或卡片列表里提升为核心记忆；
+- 自动沉淀只会在用户明确要求长期偏好 / 硬约束时**建议**核心，且 core 候选**一律待审**；
+- 已批准的核心卡每次会话直接注入 systemPrompt，不依赖 `memory_recall` 调用；
+- 在「设置 → 记忆 → 核心记忆」里可配置条数上限和字符预算；
+- 知识星图里核心节点显示为橙色菱形 + ★；
+- **不要把密钥/Token 的值写进核心卡**，只保存凭证目录的引用。
+
+## 🎛 阅读与布局
+
+- 卡片阅读器右侧目录可点击，平滑跳转到对应章节；
+- 「设置 → 记忆 → 布局大小」支持 **紧凑 / 标准 / 大**，只影响界面显示。
+
 ## 🧩 一个库，所有 Agent
 
 | 入口 | 你能得到什么 |
@@ -123,7 +141,7 @@ npx -y -p memory-eternal dsh-memory tui   # 终端里的实时待审队列
 
 | QQ 交流群 | 微信交流群 |
 |:---:|:---:|
-| <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-qr.jpg" width="240" alt="QQ 群二维码" /> | <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-wechat.png" width="240" alt="微信群二维码" /> |
+| <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-qr.jpg" width="240" alt="QQ 群二维码" /> | <img src="https://raw.githubusercontent.com/EternalNight996/memory-eternal/main/assets/support/group-wechat.jpg" width="240" alt="微信群二维码" /> |
 
 **如果这个插件帮你省了时间，可以请作者喝杯咖啡（两个码任选其一）：**
 

package/cursor-extension/package.json

@@ -2,7 +2,7 @@
   "name": "memory-eternal",
   "displayName": "Memory Atlas",
   "description": "Memory-eternal: open the local Memory Atlas library, review queue and knowledge graph in a Cursor/VS Code webview.",
-  "version": "0.18.1",
+  "version": "0.20.0",
   "publisher": "EternalNight996",
   "license": "MIT",
   "repository": {

package/dsh-tui-plugin/dsh-plugin.json

@@ -2,7 +2,7 @@
   "$schema": "urn:dsh-std:community-draft:dsh-plugin:0.15",
   "id": "memory-eternal-tui",
   "name": "memory-eternal-tui",
-  "version": "0.18.1",
+  "version": "0.20.0",
   "manifestVersion": "0.15",
   "description": "Open Memory Atlas from dsh-TUI: native /audit scene plus browser launcher.",
   "facets": {

package/dsh-tui-plugin/package.json

@@ -1,6 +1,6 @@
 {
   "name": "memory-eternal-tui",
-  "version": "0.18.1",
+  "version": "0.20.0",
   "description": "Memory Atlas for dsh-TUI: /audit scene with reason/severity, batch confirmation and reject reasons.",
   "type": "module",
   "main": "main.js",

package/index.js

@@ -58,6 +58,10 @@ export const Config = z.object({
   coreMemoryEnabled: z.boolean().default(true),
   coreMemoryLimit: z.number().min(1).max(20).default(6),
   coreMemoryMaxChars: z.number().min(200).max(10000).default(2000),
+  // 技能卡（kind=skill）：从「本机实际安装/可用的技能」生成卡，强制待审。
+  // 不由 agent 对话沉淀（见 lib/capture.js AGENT_CARD_KINDS 不含 skill）；
+  // 默认开：宿主启动 / 技能安装变化时后台同步，新技能自动进审核中心。
+  skillCardsAutoSync: z.boolean().default(true),
   // 记忆界面整体布局大小：compact / normal / large（只影响 UI，不影响召回）
   uiScale: z.union([z.const('compact'), z.const('normal'), z.const('large')]).default('normal'),
   vaultDir: z.string().default(''),
@@ -373,6 +377,63 @@ export function apply(ctx, config) {
   // 注意：watch 的回调会被传入「合并后的配置对象」，而 syncAudit 现在接受的是**库路径** ——
   // 必须包一层，否则热更新时会把配置对象当成路径传进 setAuditConfig（静默失败）。
   settings.watch(() => syncAudit())
+
+  // 技能卡同步：唯一入口。宿主有 ctx.skills 时以技能注册表为准（真正的「实际技能」，
+  // 含 bundled / project / user / plugin 全来源），没有该服务时由 lib/skill-cards.js
+  // 回落到文件系统扫描（独立 web / TUI 宿主）。生成结果一律 pending，由审核中心把关。
+  let skillSyncPromise = null
+  const syncSkillsNow = async (opts = {}) => {
+    const cfg = settings.get() ?? {}
+    if (cfg.enabled === false) return { ok: false, error: '记忆核心已禁用' }
+    if (opts.auto === true && cfg.skillCardsAutoSync === false) {
+      return { ok: true, skipped: true, reason: '自动同步已关闭', source: 'none', total: 0, created: 0, updated: 0, pendingUpdates: 0, unchanged: 0, skippedCount: 0, removed: 0, errors: [] }
+    }
+    // 同一时刻只跑一次：启动自动同步与用户点「同步技能」撞在一起时，不能各自写一遍。
+    if (skillSyncPromise) return skillSyncPromise
+    skillSyncPromise = (async () => {
+      try {
+        const { syncSkillCards } = await import('./lib/skill-cards.js')
+        return await syncSkillCards(vaultDir(), {
+          skills: ctx.get('skills') || undefined,
+          cwd: currentWorkspace() || process.cwd(),
+          env: process.env,
+          packageRoot: PACKAGE_ROOT,
+          force: opts.force === true,
+        })
+      } catch (error) {
+        return { ok: false, error: String((error && error.message) || error) }
+      } finally {
+        skillSyncPromise = null
+      }
+    })()
+    return skillSyncPromise
+  }
+  // 自动同步：技能服务就绪后跑一次；之后技能安装/卸载（skills/change）防抖 2.5s 再同步。
+  // ctx.inject 保证服务晚到也能挂上；没有 skills 服务的宿主安静跳过，不影响插件主流程。
+  ctx.inject(['skills'], (child) => {
+    // 测试/极简宿主里的 inject 可能不校验服务是否存在（直接回调）—— 没有 skills 就安静跳过。
+    const skillService = typeof child.get === 'function' ? child.get('skills') : (child.skills || null)
+    if (!skillService) return
+    let timer = null
+    let alive = true
+    const schedule = () => {
+      if (!alive) return
+      if ((settings.get() ?? {}).skillCardsAutoSync === false) return
+      if (timer) clearTimeout(timer)
+      timer = setTimeout(() => { timer = null; syncSkillsNow({ auto: true }).catch(() => {}) }, 2500)
+      if (timer && typeof timer.unref === 'function') timer.unref()
+    }
+    const off = typeof ctx.on === 'function' ? ctx.on('skills/change', schedule) : null
+    const cleanup = () => {
+      alive = false
+      if (timer) clearTimeout(timer)
+      if (typeof off === 'function') off()
+    }
+    // 真 cordis 的子上下文有 effect；假 ctx 只有顶层 effect（测试里用它兜底）。
+    if (typeof child.effect === 'function') child.effect(() => cleanup, 'memory-eternal: skill cards')
+    else ctx.effect(() => cleanup, 'memory-eternal: skill cards')
+    schedule()
+  })
   // 独立 Web 页保存的配置：它写「待应用」文件，这边应用后删除（DSH 没运行时下次启动生效）
   // 待应用配置的最近一次失败（#16）：以前这里 catch {} 吞掉一切 —— 独立 Web 端显示
   // 「已保存」，而 settings.update 的报错、乃至重试耗尽后「改动被放弃」都无人可见。
@@ -942,9 +1003,10 @@ export function apply(ctx, config) {
         '3. 若检索结果为空，就诚实说明当前记忆库没有相关内容，不要编造。',
         '4. 知识卡存储在 SQLite 数据库中（memory-eternal.db），**禁止**用文件工具直接读写 vault 目录下的任何文件。沉淀记忆必须通过 memory_recall 工具或 /memory-eternal/api/write API。',
         '5. 若下方出现「自动沉淀异常」，必须在本次回复的第一句用中文转述该异常并提醒用户处理，不要自行猜测或尝试修复。',
+        '6. 已批准的技能卡（kind=skill）记录本机实际可用的技能；需要某技能时先 memory_recall 查询「技能名/技能用途」，再用 skill 工具加载同名技能。技能卡只是索引与说明，不替代 skill 工具，也不代表技能已启用。',
         // 审核红线（主上 2026-09-12 强制要求）：只在审核真正生效时注入。
         ...((cfg.auditMode ?? 'all') === 'none' ? [] : [
-          '6. **审核红线（强制）**：写卡一律停在 pending，由用户在「审核中心」审批。**禁止**调用 /memory-eternal/api/audit/approve 或 /audit/reject 代替用户审批，也不得用任何等价方式绕过审核；用户说「记录一下 / 增加记忆」不等于允许免审入库。需要立刻可用时，写卡后明确告知用户「已进审核中心，待批准」。',
+          '7. **审核红线（强制）**：写卡一律停在 pending，由用户在「审核中心」审批。**禁止**调用 /memory-eternal/api/audit/approve 或 /audit/reject 代替用户审批，也不得用任何等价方式绕过审核；用户说「记录一下 / 增加记忆」不等于允许免审入库。需要立刻可用时，写卡后明确告知用户「已进审核中心，待批准」。',
         ]),
         // 凭证取用提示（用户自己填的整句，见 Config.secretHint）：只在填了非空值时注入。
         // 为什么走 systemPrompt 而不是「往卡里写值」：密钥的**值**入库会被每次召回带进模型
@@ -1026,7 +1088,8 @@ export function apply(ctx, config) {
       name: 'memory_recall',
       description:
         '从本地记忆核心（Markdown 知识库）检索相关知识卡。需要项目背景、历史决策、之前讨论过的方案、' +
-        '或领域知识时调用；返回最相关的卡片摘要。用 query 描述要找的内容，支持中文整词与字符片段检索。' +
+        '或领域知识时调用；返回最相关的卡片摘要。也会命中已批准的技能卡：需要某技能时先查这里，再用 skill 工具加载同名技能。' +
+        '用 query 描述要找的内容，支持中文整词与字符片段检索。' +
         '需要 API key / token / 令牌等**凭证**时也先查这里（查「密钥 目录」）：记忆里存的是目录' +
         '（名字、存放位置、取用命令），**值不在记忆库里**，请按卡片给的本机命令取用，不要直接读凭据文件。',
       parameters: {
@@ -1091,7 +1154,9 @@ export function apply(ctx, config) {
           const snippet = String(h.summary || '').replace(/\s+/g, ' ').trim().slice(0, defLen)
           const body = includeBody ? `\n${String(h.excerpt || '').slice(0, 800)}` : ''
           const from = h.vault ? `（库：${h.vault}）` : ''
-          return `### ${i + 1}. ${h.title}${tags}${from}\n路径：${h.path}\n${snippet}${body}`
+          const skillBadge = h.kind === 'skill' ? ' · 🧩 技能卡' : ''
+          const skillHint = h.kind === 'skill' ? `\n技能：${h.title}（需要时用 skill 工具加载同名技能）` : ''
+          return `### ${i + 1}. ${h.title}${tags}${skillBadge}${from}\n路径：${h.path}\n${snippet}${body}${skillHint}`
         })
         const where = multi ? `（作用域 ${scope || 'all'}，共 ${targets.length} 个库）` : ''
         const out = `从记忆核心检索到 ${hits.length} 条相关卡片${where}：\n\n${lines.join('\n\n')}`
@@ -1186,6 +1251,8 @@ export function apply(ctx, config) {
       vaultDir, vaultRoots, getSettings: settings.get,
       // 矛盾扫描（#36）在宿主侧跑模型：这里给它 llm 句柄，独立 web 进程拿不到就会如实报错
       getLlm: () => ctx.get('llm'),
+      // 技能卡同步：宿主进程能直接访问 ctx.skills（真正安装/可用的技能），独立 web 会走文件兜底
+      syncSkills: (opts) => syncSkillsNow(opts),
       // 版本对齐检查用：当前 schema 的键（用来发现共享配置里的旧键残留）
       getConfigKeys: () => Object.keys(Config.dict || {}),
       // 自动沉淀运行轨迹 + 健康状态：供「用量/今日」页排查「为什么没写卡」，异常时页面顶部亮红。
@@ -1292,6 +1359,7 @@ export function apply(ctx, config) {
                 captureModel: cfg.captureModel || '',
                 recallEmbedding: cfg.recallEmbedding || '',
                 sessionBudgetChars: cfg.sessionBudgetChars ?? 80000,
+                skillCardsAutoSync: cfg.skillCardsAutoSync !== false,
               }
               const descriptor = (ctx.get('settings') ?? {}).describe?.({ redactSecrets: true }) ?? []
               const me = descriptor.find((d) => d.ns === 'memory-eternal')

package/lib/api.js

@@ -15,6 +15,7 @@ import { gzipSync, brotliCompressSync, constants as zlibConstants } from 'node:z
 import os from 'node:os'
 import fs, { readFileSync } from 'node:fs'
 import path from 'node:path'
+import { fileURLToPath } from 'node:url'
 import { spawn } from 'node:child_process'
 import { listCards, countCards, readCard, search, searchAll, graph, graphAll, overview, exportCards, deleteCard, writeCard, parseCard, stats, optimizeCandidates, optimizeApply, addFeedback, dailyCounts, mergeCards, ensureVault, auditQueue, recycleList, purgeExpired, setCardStatus, setCardKind, restoreCard, mainStoreBodies } from './vault.js'
 import { compressExcerpt, guessRawKind, DEFAULT_CAPTURE_MAX_TOKENS } from './capture.js'
@@ -22,6 +23,8 @@ import { buildDiagnostics } from './feedback.js'
 import { getSetupStatus, runSetup, mcpAgentAction } from './setup.js'
 import { ledgerSummary } from './ledger.js'
 import { backupDb, dbStatus, rebuildGuidance, withDbRetry } from './db.js'
+import { listNews, getNews, saveNews, deleteNews, setNewsRead } from './news.js'
+import { getNewsFeed, refreshNewsFeed } from './news-feed.js'
 import { createHub } from './sse.js'
 import { probeServedVersion, restartResident, currentPkgVersion, readWatchdogLock, isPidAlive, probeLockWritable } from './watchdog.js'
 
@@ -196,7 +199,7 @@ export function emptyNumericFields(patch, dict = {}) {
  * **真的会写库**的路由（/card、/cards、/search 这些是读，绝不能拦）。
  * 用途：库不可写时短路径失败；撞锁（SQLITE_BUSY）时做应用层异步重试。
  */
-const DB_WRITE_ROUTES = /^\/(delete|merge|write|import|refine-apply|refine-goals-keep|refine-junk-purge|optimize-execute|feedback|audit\/(approve|reject)|recycle\/(restore|purge|purge-expired)|backup)$/
+const DB_WRITE_ROUTES = /^\/(delete|merge|write|import|refine-apply|refine-goals-keep|refine-junk-purge|optimize-execute|feedback|skills\/sync|audit\/(approve|reject)|recycle\/(restore|purge|purge-expired)|backup)$/
 
 export function createApi(deps = {}) {
   const vaultDir = deps.vaultDir ?? (() => '')
@@ -209,6 +212,17 @@ export function createApi(deps = {}) {
   const getCaptureHealth = deps.getCaptureHealth ?? (() => null)
   // 矛盾扫描（issue #36）要用模型：宿主把 ctx.get('llm') 传进来；独立 web 进程拿不到就如实报错
   const getLlm = deps.getLlm ?? (() => null)
+  // 技能卡同步：宿主传入能访问 ctx.skills 的实现；独立 web 没有技能注册表，
+  // 走 lib/skill-cards.js 的文件系统兜底（DSH_HOME/skills、profile 插件 skills 等）。
+  const syncSkills = deps.syncSkills ?? (async (opts = {}) => {
+    const { syncSkillCards } = await import('./skill-cards.js')
+    return syncSkillCards(vaultDir(), {
+      env: process.env,
+      cwd: String(process.env.MEMORY_WORKSPACE || '').trim() || process.cwd(),
+      packageRoot: path.join(path.dirname(fileURLToPath(import.meta.url)), '..'),
+      ...opts,
+    })
+  })
   // ── 宿主代理（issue #47）：桌面版的「记忆」弹窗其实是 iframe 里的**独立页**，
   //    它没有 DSH 的 llm 服务 → /llm-routes 恒为「拿不到 llm」→ 用户只能手填 provider/model，
   //    「无法选择蒸馏模型」就是这么来的。宿主每 15s 会把 web 端口写进 <config>.host.json，
@@ -609,6 +623,85 @@ export function createApi(deps = {}) {
         json(res, 200, { ok: true, available: true, health: await getCaptureHealth(), entries: log.slice(0, 100) })
         return
       }
+      case '/skills/sync': {
+        // POST：把「实际技能」同步成待审技能卡（kind=skill）。
+        // 不是 agent 沉淀：宿主走 ctx.skills 注册表，独立 web 走文件系统兜底；
+        // 生成的卡一律 pending（enforceAudit 对 skill 强制待审），由人在审核中心确认。
+        if (req.method !== 'POST') return json(res, 405, { ok: false, error: '需 POST' })
+        const out = await syncSkills({ force: query.get('force') === '1' })
+        json(res, out && out.ok ? 200 : 500, out || { ok: false, error: '同步失败' })
+        return
+      }
+      case '/news': {
+        // 动态 / 新闻：用户自定义内容，独立于记忆卡（不参与召回/审核/星图）。
+        const data = await listNews(vaultRoot, {
+          q: query.get('q') || '',
+          category: query.get('category') || '',
+          unreadOnly: query.get('unread') === '1',
+          limit: Math.min(Math.max(Number(query.get('limit')) || 500, 1), 500),
+        })
+        json(res, 200, { ok: true, ...data })
+        return
+      }
+      case '/news/feed': {
+        // 真实 AI 资讯：服务端按固定白名单抓 RSS / HN，缓存 20 分钟；只存摘要与外链。
+        try {
+          const data = await getNewsFeed(vaultRoot, {
+            period: query.get('period') === 'month' ? 'month' : 'today',
+            type: query.get('type') || '',
+            q: query.get('q') || '',
+            // lang 口径：'' / 'all' = 不过滤（一次请求拿中英全部条目）；zh / en 为显式过滤。
+            lang: (() => {
+              const raw = String(query.get('lang') == null ? '' : query.get('lang')).trim().toLowerCase()
+              if (raw === 'en') return 'en'
+              if (raw === 'zh') return 'zh'
+              return ''
+            })(),
+            force: query.get('force') === '1',
+          })
+          json(res, 200, data)
+        } catch (e) {
+          json(res, 502, { ok: false, error: '资讯源暂不可用：' + String((e && e.message) || e) })
+        }
+        return
+      }
+      case '/news/feed/refresh': {
+        if (req.method !== 'POST') return json(res, 405, { ok: false, error: '需 POST' })
+        try {
+          const data = await refreshNewsFeed(vaultRoot, { force: true })
+          json(res, 200, { ok: true, fetchedAt: data.fetchedAt, total: (data.items || []).length, errors: data.errors || [] })
+        } catch (e) {
+          json(res, 502, { ok: false, error: '资讯源暂不可用：' + String((e && e.message) || e) })
+        }
+        return
+      }
+      case '/news/item': {
+        const item = await getNews(vaultRoot, query.get('id') || '')
+        if (!item) return json(res, 404, { ok: false, error: '新闻不存在' })
+        json(res, 200, { ok: true, item })
+        return
+      }
+      case '/news/save': {
+        if (req.method !== 'POST') return json(res, 405, { ok: false, error: '需 POST' })
+        const body = await readBody(req)
+        const out = await saveNews(vaultRoot, body || {})
+        json(res, out.ok ? 200 : 400, out)
+        return
+      }
+      case '/news/read': {
+        if (req.method !== 'POST') return json(res, 405, { ok: false, error: '需 POST' })
+        const body = await readBody(req)
+        const out = await setNewsRead(vaultRoot, body?.id || '', body?.read !== false)
+        json(res, out.ok ? 200 : 400, out)
+        return
+      }
+      case '/news/delete': {
+        if (req.method !== 'POST') return json(res, 405, { ok: false, error: '需 POST' })
+        const body = await readBody(req)
+        const out = await deleteNews(vaultRoot, body?.id || '')
+        json(res, out.ok ? 200 : 400, out)
+        return
+      }
       case '/export': {
         await ensureVault(vaultRoot)
         const cards = await exportCards(vaultRoot)
@@ -1046,6 +1139,7 @@ export function createApi(deps = {}) {
           vaultProfiles: Array.isArray(cfg.vaultProfiles) ? cfg.vaultProfiles : [], activeVault: cfg.activeVault || '',
           enabled: cfg.enabled !== false, vaultDir: cfg.vaultDir || '', captureProvider: cfg.captureProvider || '', captureFollowSession: cfg.captureFollowSession === true, captureFirstOnly: cfg.captureFirstOnly === true, captureTimeoutMs: cfg.captureTimeoutMs ?? 45000,
           captureModel: cfg.captureModel || '', recallEmbedding: cfg.recallEmbedding || '', sessionBudgetChars: cfg.sessionBudgetChars ?? 80000,
+          skillCardsAutoSync: cfg.skillCardsAutoSync ?? true,
           webPort: cfg.webPort ?? 7999, webCheckIntervalMs: cfg.webCheckIntervalMs ?? 5000, webMaxRestart: cfg.webMaxRestart ?? 10,
         }
         const NUM_RANGE = {

package/lib/capture-run.js

@@ -8,7 +8,7 @@
 import path from 'node:path'
 import os from 'node:os'
 import fs from 'node:fs'
-import { captureCard, captureUpdate, pickNeighbors, summarizeTurnDetailed, routeCandidates, stripRuntimeNoise, hasUsableContent, deriveTitle, isUsableTitle } from './capture.js'
+import { captureCard, captureUpdate, pickNeighbors, summarizeTurnDetailed, routeCandidates, stripRuntimeNoise, hasUsableContent, deriveTitle, isUsableTitle, agentCardKind } from './capture.js'
 import { resolveVaultDir, defaultVaultRoot } from './vault-resolve.js'
 import { createLlmFromEnv } from './llm-openai.js'
 import { recordLedger } from './ledger.js'
@@ -123,7 +123,9 @@ export async function runStandaloneCapture(vaultRoot, text, { source = '', llm,
           await captureUpdate(vaultRoot, result.append_to, result.update, { threshold: 0.62 })
           return finish({ ok: true, action: 'appended', path: result.append_to })
         }
-        const card = { kind: result.kind, title: result.title, tags: result.tags, body: result.body, source, status: resolveAuditStatus(result.kind, source || 'agent'), submittedBy: source || 'agent', severity: 'info', reason: 'AI 自动沉淀（蒸馏卡）' }
+        // 独立进程同样不许把模型输出写成 skill：kind 收敛到 agent 可沉淀范围（skill → knowledge）。
+        const kind = agentCardKind(result.kind)
+        const card = { kind, title: result.title, tags: result.tags, body: result.body, source, status: resolveAuditStatus(kind, source || 'agent'), submittedBy: source || 'agent', severity: 'info', reason: 'AI 自动沉淀（蒸馏卡）' }
         const out = await captureCard(vaultRoot, card, { threshold: 0.62 })
         if (out.ok) return finish({ ok: true, action: 'created', path: out.path ?? out.rel })
         if (out.duplicate) {

package/lib/capture.js

@@ -703,9 +703,23 @@ export function isUsableTitle(title) {
   return t.replace(/[^\p{L}\p{N}]/gu, '').length >= 4
 }
 
+/**
+ * agent 允许自动沉淀的卡片类型（**不含 skill**）。
+ *
+ * 技能卡是「实际技能」的镜像，只能由 lib/skill-cards.js 从技能注册表/技能文件生成，
+ * 不允许模型在对话末尾把任意内容标成 skill 混进审核队列。
+ */
+export const AGENT_CARD_KINDS = ['project', 'knowledge', 'content', 'prompt', 'business', 'tool', 'mistake', 'core']
+
+/** 把模型/调用方给的 kind 收敛到 agent 可沉淀范围；skill 等未授权类型一律回落 knowledge。 */
+export function agentCardKind(kind) {
+  const k = String(kind || '')
+  return AGENT_CARD_KINDS.includes(k) ? k : 'knowledge'
+}
+
 /** 组装最终卡片对象（标题已体检通过）。 */
 function finishCard(parsed, title, body) {
-  const kind = ['project', 'knowledge', 'content', 'prompt', 'business', 'tool', 'mistake', 'core'].includes(parsed.kind) ? parsed.kind : 'knowledge'
+  const kind = agentCardKind(parsed.kind)
   const tags = Array.isArray(parsed.tags)
     ? parsed.tags.map((t) => String(t).trim().slice(0, 30)).filter(Boolean).slice(0, 8)
     : []
@@ -1007,37 +1021,37 @@ export async function resolveRoute(llm, opts = {}) {
   const list = await routeCandidates(llm, opts)
   return list[0] ?? null
 }
-
-
-const RAW_KIND_SIGNALS = [
-  ['mistake', /(报错|错误|异常|失败|根因|原因|修复|解决|踩坑|教训|bug|error|exception|crash|stack trace|排查|回滚)/i],
-  ['tool', /(命令|CLI|终端|安装|配置|环境变量|端口|依赖|版本|npm|pnpm|yarn|\bgit\b|docker|powershell|bash|PATH|shell|SDK|API key|token)/i],
-  ['prompt', /(提示词|prompt|模板|工作流|角色设定|系统指令|AI 指令)/i],
-  ['project', /(项目|进度|里程碑|需求|交付|上线|排期|任务|计划|迭代|版本发布|roadmap)/i],
-  ['business', /(客户|合同|报价|价格|商业|营收|成本|预算|市场|销售|付费|订阅)/i],
-  ['content', /(文案|素材|文章|博客|视频脚本|标题|封面|宣传|内容创作|草稿)/i],
-]
-
-/**
- * 不调 LLM（关闭蒸馏 / 蒸馏失败兜底）时的轻量类型判断。
- * 只做启发式：宁可回退 knowledge，也不要把所有原文卡都塞成 content。
- * 明确出现长期偏好/硬约束时返回 core（仍会强制进待审）。
- */
-export function guessRawKind({ title = '', body = '' } = {}) {
-  const head = String(title || '')
-  const text = String(body || '').slice(0, 6000)
-  if (/(核心记忆|永远记住|以后都|永久(记住|遵守)|必须(遵守|记住)|不要再)/.test(head + '\n' + text)) return 'core'
-  const scores = {}
-  for (const [kind, re] of RAW_KIND_SIGNALS) {
-    const h = (head.match(re) || []).length
-    const b = (text.match(re) || []).length
-    const score = Math.min(5, h * 2 + b)
-    if (score) scores[kind] = score
-  }
-  let best = 'knowledge'
-  let bestScore = 0
-  for (const kind of ['mistake', 'tool', 'prompt', 'project', 'business', 'content']) {
-    if ((scores[kind] || 0) > bestScore) { best = kind; bestScore = scores[kind] }
-  }
-  return best
-}
+
+
+const RAW_KIND_SIGNALS = [
+  ['mistake', /(报错|错误|异常|失败|根因|原因|修复|解决|踩坑|教训|bug|error|exception|crash|stack trace|排查|回滚)/i],
+  ['tool', /(命令|CLI|终端|安装|配置|环境变量|端口|依赖|版本|npm|pnpm|yarn|\bgit\b|docker|powershell|bash|PATH|shell|SDK|API key|token)/i],
+  ['prompt', /(提示词|prompt|模板|工作流|角色设定|系统指令|AI 指令)/i],
+  ['project', /(项目|进度|里程碑|需求|交付|上线|排期|任务|计划|迭代|版本发布|roadmap)/i],
+  ['business', /(客户|合同|报价|价格|商业|营收|成本|预算|市场|销售|付费|订阅)/i],
+  ['content', /(文案|素材|文章|博客|视频脚本|标题|封面|宣传|内容创作|草稿)/i],
+]
+
+/**
+ * 不调 LLM（关闭蒸馏 / 蒸馏失败兜底）时的轻量类型判断。
+ * 只做启发式：宁可回退 knowledge，也不要把所有原文卡都塞成 content。
+ * 明确出现长期偏好/硬约束时返回 core（仍会强制进待审）。
+ */
+export function guessRawKind({ title = '', body = '' } = {}) {
+  const head = String(title || '')
+  const text = String(body || '').slice(0, 6000)
+  if (/(核心记忆|永远记住|以后都|永久(记住|遵守)|必须(遵守|记住)|不要再)/.test(head + '\n' + text)) return 'core'
+  const scores = {}
+  for (const [kind, re] of RAW_KIND_SIGNALS) {
+    const h = (head.match(re) || []).length
+    const b = (text.match(re) || []).length
+    const score = Math.min(5, h * 2 + b)
+    if (score) scores[kind] = score
+  }
+  let best = 'knowledge'
+  let bestScore = 0
+  for (const kind of ['mistake', 'tool', 'prompt', 'project', 'business', 'content']) {
+    if ((scores[kind] || 0) > bestScore) { best = kind; bestScore = scores[kind] }
+  }
+  return best
+}