mingdao-harness 0.3.0 → 0.3.1

package/docs/PLAN-v0.3.0.md

@@ -70,7 +70,7 @@ v0.3.0 落地的三条主线共享同一个地基——**「记忆/上下文」*
 
 ## 三、v0.3.0 之外（顺延序列，防漂移备忘）
 
-- **v0.3.1「检索与武器」**：零依赖语义检索（项目记忆 + 历史会话从"最近 N"→"相关 N"）；`git` 只读分析（diff/log/status）与 HTTP 只读抓取（SSRF 白名单兜底）工具；完整基线+增量上下文（若 P0-4 顺延）。
+- **v0.3.1「检索与武器」**：零依赖语义检索（项目记忆从"全量→相关条目"注入，`retrieveRelevant` 分词 Jaccard）；`git` 只读分析（diff/log/status 等，无 shell 防注入）与 HTTP 只读抓取（SSRF 白名单兜底）工具；省钱仪表盘从设置移出、顶部费用徽标点击展开（KPI + 命中率环状仪表 + 14 天趋势面积图 + 模型/工具 Top 条形 + 最近缓存）。**完整基线+增量上下文（P0-4）顺延 v0.3.2**（风险高，语义检索 + 续跑进度摘要已覆盖主场景）。
 - **v0.3.2「看得见的省钱 + 省心」**：省钱归因面板（单任务省多少/花在哪一步/缓存命中贡献，WebUI 内 SVG 折线已有基础）；`diagnose` 的自动反馈模板；覆盖率阈值随版本上调。
 - **v0.3.3「纵深能力」**：跨平台沙箱补位（Windows Job Object / macOS seatbelt，平台无关敏感命令兜底）；WebUI「完成任务的舒服工作台」深化（过程可回放/结论可复现）。
 - **明确不进任何近期版本**：全模型省钱平台、React/框架化重构、SQLite（Node ≥22.5 破坏 18/20）、SaaS 托管化。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "mingdao-harness",
-  "version": "0.3.0",
+  "version": "0.3.1",
   "description": "MingDao Harness —— 开源智能体框架（Agent Harness）。零依赖、开箱即用，针对 DeepSeek-V4 系列优化，开放主流模型接入。",
   "type": "module",
   "bin": {

package/src/agent.js

@@ -10,13 +10,17 @@ import { makeTokenCounter } from './tokenizer.js';
 import { createHooks } from './hooks.js';
 import { createIO, style, C } from './ui.js';
 import { subagentModel } from './routing.js';
-import { writeAudit, redactSecrets } from './audit.js';
+import { writeAudit } from './audit.js';
+import { redactSecrets } from './redact.js';
 import { checkCostGuard, costGuardConfig, todayCost } from './cost-guard.js';
 import { estimateCost } from './pricing.js';
 import { resolveProviderConfig } from './providers/index.js';
 
 const MAX_STEPS = 24;
-const SUBAGENT_MAX_STEPS = 12;
+// 子代理步数上限：审计/精读类只读子任务需要读多个文件 + 交叉引用，12 步易在「读不全」时被截断
+// （v0.3.0 桌面版审计实测：多个只读子代理报「因达到步数上限停止读取」或「子任务无输出」）。
+// 提到与主循环一致（24），只读子任务每步是 read/grep（输入便宜、无输出 token），成本增量可忽略。
+const SUBAGENT_MAX_STEPS = 24;
 
 /**
  * 创建 Agent 循环（调用方只需传 provider/permission/io/modelName/workingDir，其余可选）
@@ -34,8 +38,8 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
   // 会话级共享：调用方传入则复用（/model 切换、子代理均共享，undo 不丢失）
   const undo = undoStore || { backups: new Map() };
   const stepLimit = maxSteps || MAX_STEPS;
-  // 只读工具集合（子代理只读模式 + 并行批次共用）
-  const READONLY_TOOLS_SET = new Set(['read', 'ls', 'glob', 'grep', 'skill']);
+  // 只读工具集合（子代理只读模式 + 并行批次共用）。v0.3.1 起含 git/fetch（只读、审计常用）
+  const READONLY_TOOLS_SET = new Set(['read', 'ls', 'glob', 'grep', 'skill', 'git', 'fetch']);
   // 精确 token 计数：DeepSeek 词表，其他模型回退启发式
   const count = makeTokenCounter(modelName);
   // MCP 工具集（每次取，服务器晚就绪也能在后续轮次出现）
@@ -45,7 +49,7 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
   const usedToolNames = new Set();
   // 省钱 B1（按需挂载）：回合起始为「只读阶段」时只发只读工具（read/ls/glob/grep/skill/todo）
   // + 已用过的工具；检测到写意图（用户消息或模型明说需要写/改/建）后注入全量工具。
-  const READONLY_TIER_SET = new Set(['read', 'ls', 'glob', 'grep', 'skill', 'todo']);
+  const READONLY_TIER_SET = new Set(['read', 'ls', 'glob', 'grep', 'skill', 'todo', 'git', 'fetch']);
   // 中英双语写意图（CodeArts 报告：纯中文正则让英文会话整回合只读死锁）
   const WRITE_INTENT_RE = /写|建|创|改|修|删|装|加|添|增|补|换|移|部署|执行|运行|实现|重构|生成|迁移|安装|更新|升级|发布|调整|优化|修复|提交|推送|打包|编译|测试|implement|fix|create|modify|update|delete|deploy|build|make|generate|install|write|refactor|migrate|test|run|commit|push|remove|add|change|patch/i;
   const hasWriteIntent = (/** @type {any} */ text) => WRITE_INTENT_RE.test(String(text || ''));
@@ -121,6 +125,10 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
   async function runTurn(/** @type {any} */ messages) {
     let steps = 0;
     let finish = null;
+    // v0.3.1 自动续跑（长程执行）：跑满 stepLimit 步后不再直接中断，而是注入进度摘要再续跑，
+    // 最多 maxRounds 轮（默认 3，可用 cfg.maxRounds 调）；审计/重构等大任务不再「一步中断」。
+    const maxRounds = Math.max(1, Number(cfg.maxRounds) || 3);
+    let round = 0;
     const usage = /** @type {{ prompt_tokens: number, completion_tokens: number, prompt_cache_hit_tokens?: number, prompt_cache_miss_tokens?: number }} */ ({ prompt_tokens: 0, completion_tokens: 0 });
     const startedAt = Date.now();
     // 回合性能指标（状态栏：LLM 时长 / 工具时长 / 首 token 延迟 / 步数）
@@ -130,6 +138,7 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
     // 省钱 B3（费用二级分账）：推理 token 估算（按增量累计）与逐工具调用/耗时累加
     let reasoningTokens = 0;
     const toolStats = /** @type {Map<string, {calls: number, ms: number}>} */ (new Map());
+    const deliverables = /** @type {string[]} */ ([]); // 本回合 write/edit 成功落盘的文件路径（去重）
     const perf = () => ({
       llmMs: llmMsTotal,
       toolMs: toolMsTotal,
@@ -138,6 +147,7 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
       reasoningTokens,
       toolStats: [...toolStats.entries()].map(([tool, s]) => ({ tool, calls: s.calls, ms: s.ms })),
       usedModel: activeModel, // 省钱 B4：本回合实际使用模型（降级后归属它）
+      deliverables: [...deliverables], // v0.3.1：CLI/REPL 续跑检查点复用（此前 artifacts 恒空）
     });
     let aborted = false;
     let emptyRounds = 0; // 连续空/截断输出计数（防止无限续写）
@@ -174,7 +184,9 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
       }
     };
     try {
-    while (steps < stepLimit) {
+    for (round = 0; round < maxRounds; round++) {
+      steps = 0;
+      while (steps < stepLimit) {
       steps += 1;
       // 同回合只读工具去重（Hermes C4）：相同 name+args 的只读调用只执行一次，结果复用回填
       const turnToolCache = new Map();
@@ -484,6 +496,11 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
           ts.ms += ms;
           toolStats.set(prep.name, ts);
           io.renderTool(prep.name, prep.args, result, ms);
+          // v0.3.1 P1-2 修复：write/edit 成功落盘的路径记入交付物（CLI/REPL 续跑检查点用）
+          if ((prep.name === 'write' || prep.name === 'edit') && prep.args?.path && result && result.ok !== false) {
+            const p = String(prep.args.path);
+            if (p && !deliverables.includes(p)) deliverables.push(p);
+          }
           if (prep.name === 'todo' && result?.todos) io.renderTodo(result.todos);
           hooks.post(prep.name, prep.args, typeof result === 'string' ? { output: result } : result).catch(() => {});
           // 审计（P3-5）：执行结果摘要（含退出码/超时/输出大小）
@@ -563,9 +580,9 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
             }
           }
         }
-        // v0.2.8 步数预留收尾（对齐 DSH）：仅剩最后一轮时，工具结果回填后追加收尾指令，
-        // 让模型在末轮输出「总结文字 + 交付物清单」，而非跑满步数后静默结束。
-        if (steps === stepLimit - 1) {
+        // v0.2.8 步数预留收尾（对齐 DSH）：仅「最后一轮」的末步追加收尾指令，
+        // 让模型在末轮输出总结；中间轮不注入（交给自动续跑继续干活，而非提前收尾中断）。
+        if (steps === stepLimit - 1 && round === maxRounds - 1) {
           messages.push({
             role: 'user',
             content:
@@ -642,6 +659,16 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
         };
       }
     }
+    // v0.3.1 自动续跑（长程执行）：还有剩余轮次且未中断 → 注入进度摘要直接续跑，不落收尾总结
+    if (round < maxRounds - 1 && !aborted) {
+      const art = deliverables.length ? '已交付文件：' + deliverables.join('、') + '。' : '';
+      messages.push({
+        role: 'user',
+        content: `（系统提示）已连续执行 ${stepLimit} 步工具操作，任务尚未完成，请继续完成剩余工作。${art}先核对已完成部分（勿重复），再做未完成的部分。`,
+      });
+      io.print(style(`♻ 步数上限，自动续跑第 ${round + 2} 轮…`, C.dim));
+      continue;
+    }
     io.endTurn();
     // 步数上限：清掉未执行的 tool_calls，避免下一轮/恢复后 API 400
     stripOrphanCalls();
@@ -679,6 +706,9 @@ export function createAgent({ provider, permission, io, modelName, workingDir, c
       } catch {}
     }
     return { text: null, reasoning: '', usage, steps, finish, truncated: true, aborted: false, capHit: true, durationMs: Date.now() - startedAt, perf: perf() };
+    }
+    // 理论不可达（for 循环末轮必 return）；给 tsc 一个兜底，保证 runTurn 恒有返回值
+    return { text: null, reasoning: '', usage, steps, finish, truncated: true, aborted: false, capHit: true, durationMs: Date.now() - startedAt, perf: perf() };
     } finally {
       currentAc = null;
       offSigint();

package/src/audit.js

@@ -7,6 +7,7 @@
 import fs from 'node:fs';
 import path from 'node:path';
 import { mingdaoHome, ensureHome } from './config.js';
+import { redactSecrets } from './redact.js';
 
 const MAX_LINES = 20000;
 const KEEP_LINES = 10000;
@@ -16,10 +17,8 @@ export function auditFile() {
   return path.join(mingdaoHome(), 'audit.jsonl');
 }
 
-// 轻量脱敏：sk- 系 API Key 掩码（审计日志可安全共享排查）
-export function redactSecrets(/** @type {any} */ text) {
-  return String(text ?? '').replace(/(sk-[A-Za-z0-9_-]{6,})/g, 'sk-***');
-}
+// 轻量脱敏（统一单一来源 v0.3.1 P1-1）：sk-/ghp_ 等常见前缀掩码，见 src/redact.js
+export { redactSecrets };
 
 export function writeAudit(/** @type {any} */ entry) {
   try {

package/src/cli.js

@@ -34,7 +34,7 @@ import {
   formatScheduleRow,
 } from './schedule.js';
 import { createAgent } from './agent.js';
-import { saveTaskState, clearTaskState } from './task-state.js';
+import { saveTaskStateMerge, clearTaskState } from './task-state.js';
 import { createPermission } from './permissions.js';
 import { buildSystemPrompt } from './prompts.js';
 import { listSkills, tamperedSkillNames } from './skills.js';
@@ -474,10 +474,10 @@ async function main() {
       }
       // v0.3.0 P0-2：单次提问跑满步数/中断落检查点（--continue 可续跑），正常完成清除
       if (res.capHit || res.aborted) {
-        saveTaskState(path.basename(session.file), {
+        saveTaskStateMerge(path.basename(session.file), {
           goal: question,
           progress: res.text || '',
-          artifacts: [],
+          artifacts: res.perf?.deliverables || [],
           status: res.capHit ? 'cap' : 'interrupted',
           updatedAt: new Date().toISOString(),
         });

package/src/commands/diagnose.js

@@ -7,22 +7,12 @@ import { fileURLToPath } from 'node:url';
 import { createIO, style, C } from '../ui.js';
 import { mingdaoHome, ensureHome, loadConfig } from '../config.js';
 import { credentialsPath } from '../credentials.js';
-import { listAudit, redactSecrets } from '../audit.js';
+import { listAudit } from '../audit.js';
+import { redactSensitive } from '../redact.js';
 import { projectMemoryFile, loadProjectMemory } from '../memory.js';
 import { listWorkspaces } from '../workspace.js';
 import { detectSandbox } from '../tools/bash.js';
 
-// 更严格的脱敏：sk-/ghp_ token、key/token/secret/password=值、私网 IP、家目录路径
-function redactSensitive(/** @type {any} */ text) {
-  let s = redactSecrets(text);
-  s = s.replace(/(ghp_[A-Za-z0-9]{20,}|gho_[A-Za-z0-9]{20,}|github_pat_[A-Za-z0-9_]{20,})/g, 'ghp_***');
-  s = s.replace(/((?:api[_-]?key|token|secret|password|passwd|access_token)\s*[=:]\s*["']?)[^\s"',}]+/gi, '$1***');
-  s = s.replace(/\b(?:10|127)(?:\.\d{1,3}){3}\b|\b192\.168(?:\.\d{1,3}){2}\b|\b172\.(?:1[6-9]|2\d|3[01])(?:\.\d{1,3}){2}\b/g, '[私网IP]');
-  const home = os.homedir();
-  if (home && home.length > 1) s = s.split(home).join('~');
-  return s;
-}
-
 function tailFile(/** @type {any} */ file, /** @type {number} */ lines = 60) {
   try {
     const raw = fs.readFileSync(file, 'utf8');

package/src/commands/repl.js

@@ -54,7 +54,7 @@ import {
   relativeTime,
   searchSessions,
 } from '../session.js';
-import { loadTaskState, saveTaskState, clearTaskState, resumePrompt } from '../task-state.js';
+import { loadTaskState, saveTaskStateMerge, clearTaskState, resumePrompt } from '../task-state.js';
 
 const pkg = JSON.parse(fs.readFileSync(new URL('../../package.json', import.meta.url), 'utf8'));
 
@@ -682,10 +682,10 @@ export async function runRepl(ctx) {
       }
       // v0.3.0 P0-2：跑满步数(capHit)或中断(aborted)落检查点，正常完成清除
       if (res.capHit || res.aborted) {
-        saveTaskState(path.basename(session.file), {
+        saveTaskStateMerge(path.basename(session.file), {
           goal: input,
           progress: res.text || '',
-          artifacts: [],
+          artifacts: res.perf?.deliverables || [],
           status: res.capHit ? 'cap' : 'interrupted',
           updatedAt: new Date().toISOString(),
         });

package/src/memory.js

@@ -8,6 +8,7 @@ import fs from 'node:fs';
 import path from 'node:path';
 import { mingdaoHome, ensureHome } from './config.js';
 import { beijingParts } from './pricing.js';
+import { tokenize } from './session-index.js';
 
 export function memoryFile() {
   return path.join(mingdaoHome(), 'AGENTS.md');
@@ -231,6 +232,32 @@ export function loadProjectMemory(/** @type {any} */ workingDir) {
   }
 }
 
+// 项目记忆按条目读取（供语义检索）
+export function loadProjectMemoryEntries(/** @type {any} */ workingDir) {
+  return loadProjectMemory(workingDir)
+    .split('\n')
+    .map((/** @type {any} */ l) => l.trim())
+    .filter(Boolean);
+}
+
+// 零依赖语义检索：与 query 分词（ASCII 词 + 中文 bigram）的 Jaccard 相似度取 TopN 相关条目。
+// 用于「记忆/日志从最近 N 条 → 相关 N 条」（v0.3.1），换会话/换任务只注入相关记忆、省 token。
+export function retrieveRelevant(/** @type {any[]} */ entries, /** @type {any} */ query, /** @type {number} */ topN = 5) {
+  const qTerms = new Set([...tokenize(String(query || '')).keys()]);
+  if (!qTerms.size) return entries.slice(0, topN);
+  const scored = entries.map((/** @type {any} */ e) => {
+    const text = typeof e === 'string' ? e : String(e.text || e.outcome || e.firstUser || e.content || '');
+    const terms = tokenize(text);
+    if (!terms.size) return { e, score: 0 };
+    let overlap = 0;
+    for (const t of terms.keys()) if (qTerms.has(t)) overlap += 1;
+    const union = new Set([...qTerms, ...terms.keys()]).size || 1;
+    return { e, score: overlap / union };
+  });
+  scored.sort((/** @type {any} */ a, /** @type {any} */ b) => b.score - a.score);
+  return scored.filter((/** @type {any} */ s) => s.score > 0).slice(0, topN).map((/** @type {any} */ s) => s.e);
+}
+
 export function appendProjectMemory(/** @type {any} */ workingDir, /** @type {any} */ lines) {
   const add = lines.map((/** @type {any} */ l) => l.trim()).filter(Boolean);
   if (!add.length || !workingDir) return 0;
@@ -340,7 +367,14 @@ export async function extractAndAppendProjectMemory(/** @type {any} */ { cfg, pr
 export async function finalizeSession(/** @type {any} */ { cfg, provider, model, home, workingDir, messages, turns, lastText }) {
   const firstUser = messages.find((/** @type {any} */ m) => m.role === 'user')?.content || '';
   try {
-    const wsName = null; // 由调用方通过 currentWorkspace 提供会更好，这里保持轻量
+    // v0.3.1 P1-3 修复：journal 归属信息——优先工作空间名，回退目录 basename（不再恒 null）
+    let wsName = null;
+    try {
+      const { workspaceForDir } = await import('./workspace.js');
+      wsName = workspaceForDir(workingDir)?.name || (workingDir ? path.basename(workingDir) : null);
+    } catch {
+      wsName = workingDir ? path.basename(workingDir) : null;
+    }
     appendJournal(home, {
       at: Date.now(),
       workspace: wsName,

package/src/redact.js

@@ -0,0 +1,26 @@
+// 统一脱敏（v0.3.1 P1-1 修复）：审计/日志/会话/诊断/错误消息共用同一套规则，消除「各层自扫门前雪」。
+//  - redactSecrets：密钥脱敏（常见前缀 + Bearer + URL 内嵌凭据），保留路径便于排查 → 审计/日志用
+//  - redactSensitive：在 redactSecrets 之上再加私网 IP + 家目录路径掩码 → 诊断包/对外输出用
+import os from 'node:os';
+
+// 常见密钥前缀（GitHub/OpenAI/AWS/Slack/Google 等）；sk- 保留前缀、其余整体掩码
+const KEY_PREFIX = /(ghp_[A-Za-z0-9]{20,}|gho_[A-Za-z0-9]{20,}|github_pat_[A-Za-z0-9_]{20,}|AKIA[A-Z0-9]{16}|xox[baprs]-[A-Za-z0-9-]{10,}|AIza[A-Za-z0-9_-]{30,})/g;
+
+export function redactSecrets(/** @type {any} */ text) {
+  let s = String(text ?? '');
+  s = s.replace(/(sk-[A-Za-z0-9_-]{6,})/g, 'sk-***'); // 保留 sk- 前缀（兼容审计标记）
+  s = s.replace(KEY_PREFIX, '***');
+  s = s.replace(/(Authorization\s*:\s*Bearer\s+)[^\s"',}]+/gi, '$1***');
+  s = s.replace(/((?:api[_-]?key|token|secret|password|passwd|access_token)\s*[=:]\s*["']?)[^\s"',}]+/gi, '$1***');
+  s = s.replace(/([?&](?:key|token|secret|api_key|access_token)=)[^&\s"']+/gi, '$1***');
+  return s;
+}
+
+export function redactSensitive(/** @type {any} */ text) {
+  let s = redactSecrets(text);
+  s = s.replace(/\b(?:10|127)(?:\.\d{1,3}){3}\b|\b192\.168(?:\.\d{1,3}){2}\b|\b169\.254(?:\.\d{1,3}){2}\b|\b172\.(?:1[6-9]|2\d|3[01])(?:\.\d{1,3}){2}\b|\b100\.(?:6[4-9]|[7-9]\d|1[01]\d|12[0-7])(?:\.\d{1,3}){2}\b/g, '[私网IP]');
+  s = s.replace(/(?:fe80:[\da-f:]+|::1|::)/gi, '[链路本地/回环IPv6]');
+  const home = os.homedir();
+  if (home && home.length > 1) s = s.split(home).join('~');
+  return s;
+}

package/src/task-state.js

@@ -44,6 +44,24 @@ export function clearTaskState(sessionName) {
   } catch {}
 }
 
+// 合并落盘（v0.3.1 P2-3 修复）：续跑再中断时保留原始 goal、合并 artifacts，只更新 progress/status。
+// 避免「第二次续跑」时把 goal 覆盖成「继续」、把已交付文件清单清零。
+/** @param {any} sessionName @param {any} ts */
+export function saveTaskStateMerge(sessionName, ts) {
+  const prev = loadTaskState(sessionName);
+  const prevUnfinished = prev && (prev.status === 'cap' || prev.status === 'interrupted');
+  const merged = prevUnfinished
+    ? {
+        goal: prev.goal || ts.goal,
+        artifacts: [...new Set([...(Array.isArray(prev.artifacts) ? prev.artifacts : []), ...(Array.isArray(ts.artifacts) ? ts.artifacts : [])])],
+        progress: ts.progress || prev.progress,
+        status: ts.status,
+        updatedAt: ts.updatedAt,
+      }
+    : ts;
+  saveTaskState(sessionName, merged);
+}
+
 // 续跑提示：注入到消息历史，让模型先核对现状（已完成文件不重做）、再做未完成部分。
 /** @param {any} ts */
 export function resumePrompt(ts) {

package/src/tools/fetch.js

@@ -0,0 +1,56 @@
+// HTTP 只读抓取工具（v0.3.1）：GET 任意 http(s) URL，返回文本（512KB 上限，正文截 20K）。
+// SSRF 防护：字面量私网/回环拒绝 + DNS 解析复检（防域名重绑定），口径与 server.js validateRemoteUrl 一致。
+import { lookup } from 'node:dns/promises';
+
+function isPrivateHost(/** @type {string} */ hostname) {
+  let h = String(hostname || '').toLowerCase();
+  if (!h) return true;
+  h = h.replace(/^\[|\]$/g, '');
+  if (h === 'localhost' || h.endsWith('.localhost') || h === '::1') return true;
+  if (h.includes(':')) {
+    if (/^::ffff:/.test(h)) return isPrivateHost(h.slice(7));
+    return /^fe[89ab]/.test(h) || /^f[c d]/.test(h) || h === '::' || h === '::1';
+  }
+  const m = h.match(/^(\d{1,3})\.(\d{1,3})\.(\d{1,3})\.(\d{1,3})$/);
+  if (!m) return false;
+  const a = Number(m[1]);
+  const b = Number(m[2]);
+  return a === 10 || a === 127 || a === 0 || a >= 224 || (a === 169 && b === 254) || (a === 172 && b >= 16 && b <= 31) || (a === 192 && b === 168) || (a === 100 && b >= 64 && b <= 127);
+}
+
+export async function runFetch(/** @type {any} */ args, /** @type {any} */ _ctx) {
+  const raw = String(args.url ?? '').trim();
+  if (!raw) return { ok: false, error: '缺少 url 参数。' };
+  let u;
+  try {
+    u = new URL(raw);
+  } catch {
+    return { ok: false, error: 'url 必须是合法的 http(s) URL。' };
+  }
+  if (u.protocol !== 'http:' && u.protocol !== 'https:') return { ok: false, error: '仅支持 http/https 地址。' };
+  const host = String(u.hostname || '').toLowerCase();
+  let blocked = isPrivateHost(host);
+  if (!blocked && host && host !== 'localhost' && !/^\d{1,3}(\.\d{1,3}){3}$/.test(host)) {
+    try {
+      const addrs = await lookup(host, { all: true, verbatim: true });
+      blocked = addrs.some((/** @type {any} */ a) => isPrivateHost(a.address));
+    } catch {
+      // DNS 解析失败：放行，连接阶段会报错
+    }
+  }
+  if (blocked) return { ok: false, error: `拒绝访问内网/本机地址（${host}）——SSRF 防护。` };
+  const ac = new AbortController();
+  const timer = setTimeout(() => ac.abort(), 15000);
+  try {
+    const res = await fetch(u, { signal: ac.signal, redirect: 'follow' });
+    const buf = await res.arrayBuffer();
+    clearTimeout(timer);
+    if (buf.byteLength > 512 * 1024) return { ok: false, error: `响应超过 512KB 上限（实际 ${buf.byteLength} 字节）。` };
+    const text = new TextDecoder('utf-8').decode(buf);
+    const truncated = text.length > 20000;
+    return { ok: true, status: res.status, contentType: res.headers.get('content-type') || '', output: (truncated ? text.slice(0, 20000) + '\n…[正文过长已截断，共 ' + text.length + ' 字符]' : text) || '（空响应）' };
+  } catch (/** @type {any} */ err) {
+    clearTimeout(timer);
+    return { ok: false, error: '抓取失败：' + (err?.name === 'AbortError' ? '超时（15s）' : String(err?.message || err)) };
+  }
+}

package/src/tools/git.js

@@ -0,0 +1,31 @@
+// git 只读工具（v0.3.1）：只允许只读子命令（status/log/diff/show/blame/rev-parse/branch/tag/ls-files/shortlog），
+// 经 execFile 无 shell 执行（防注入），运行于 ctx.workingDir，输出与退出码结构化返回。
+import { execFile } from 'node:child_process';
+
+const GIT_READONLY = new Set(['status', 'log', 'diff', 'show', 'blame', 'rev-parse', 'branch', 'tag', 'ls-files', 'shortlog']);
+
+export async function runGit(/** @type {any} */ args, /** @type {any} */ ctx) {
+  const command = String(args.command ?? '').trim();
+  if (!command) {
+    return { ok: false, error: `缺少 command 参数。只读子命令：${[...GIT_READONLY].join(' / ')}` };
+  }
+  const argv = command.split(/\s+/).filter(Boolean);
+  const sub = argv[0];
+  if (!GIT_READONLY.has(sub)) {
+    return { ok: false, error: `git ${sub} 不是只读子命令（仅支持 ${[...GIT_READONLY].join(' / ')}）。写操作请用 bash 并注意授权。` };
+  }
+  // 追加默认防超大输出：log/diff 限量（除非模型显式给了 -n/--max-count）
+  const cwd = ctx.workingDir || process.cwd();
+  try {
+    const { stdout, stderr } = await execFile('git', argv, {
+      cwd,
+      timeout: 15000,
+      maxBuffer: 4 * 1024 * 1024,
+    });
+    const out = String(stdout || '') + String(stderr || '');
+    return { ok: true, exitCode: 0, output: out.trim() || '（无输出）' };
+  } catch (/** @type {any} */ err) {
+    const e = /** @type {any} */ (err);
+    return { ok: false, error: String(e.stderr || e.message || err).trim(), exitCode: e.code };
+  }
+}

package/src/tools/index.js

@@ -3,10 +3,12 @@
 
 import { read, write, edit, ls, glob, grep, undo } from './fs-tools.js';
 import { runBash } from './bash.js';
+import { runGit } from './git.js';
+import { runFetch } from './fetch.js';
 import { listSkills, loadSkill } from '../skills.js';
 
 // 只读工具集合的单一来源：permissions.js 引用此导出，新增只读工具时只需改这里
-export const READONLY_TOOLS = new Set(['read', 'glob', 'grep', 'ls', 'skill']);
+export const READONLY_TOOLS = new Set(['read', 'glob', 'grep', 'ls', 'skill', 'git', 'fetch']);
 
 const READ_SCHEMA = {
   type: 'object',
@@ -116,6 +118,22 @@ const UNDO_SCHEMA = {
   },
 };
 
+const GIT_SCHEMA = {
+  type: 'object',
+  properties: {
+    command: { type: 'string', description: '只读 git 子命令与参数，如 log --oneline -10、diff HEAD、status、show。' },
+  },
+  required: ['command'],
+};
+
+const FETCH_SCHEMA = {
+  type: 'object',
+  properties: {
+    url: { type: 'string', description: '公网 http(s) 地址。' },
+  },
+  required: ['url'],
+};
+
 const TOOLS = [
   {
     type: 'function',
@@ -205,6 +223,22 @@ const TOOLS = [
       parameters: UNDO_SCHEMA,
     },
   },
+  {
+    type: 'function',
+    function: {
+      name: 'git',
+      description: '只读 git 查询（status/log/diff/show/blame 等）。写操作请用 bash。',
+      parameters: GIT_SCHEMA,
+    },
+  },
+  {
+    type: 'function',
+    function: {
+      name: 'fetch',
+      description: '抓取公网 URL 文本（≤512KB，SSRF 防护拒绝内网）。',
+      parameters: FETCH_SCHEMA,
+    },
+  },
 ];
 
 export function toolSchemas() {
@@ -322,6 +356,10 @@ export async function dispatch(/** @type {any} */ name, /** @type {any} */ args,
       return runTodo(args, ctx);
     case 'undo':
       return undo(args, ctx);
+    case 'git':
+      return runGit(args, ctx);
+    case 'fetch':
+      return runFetch(args, ctx);
     default:
       return { ok: false, error: `未知工具：${name}` };
   }

package/src/web/app.js

@@ -483,6 +483,7 @@ function syncPanelLayout(){
   document.body.classList.toggle('traj-open', open('trajPanel'));
   document.body.classList.toggle('sub-open', open('subPanel'));
   document.body.classList.toggle('tasks-open', open('tasksPanel'));
+  document.body.classList.toggle('dash-open', open('dashPanel'));
 }
 $('#tjClose').onclick=()=>{ $('#trajPanel').style.display='none'; $('#trajRailBtn').classList.remove('on'); syncPanelLayout(); };
 $('#trajRailBtn').onclick=()=>{
@@ -568,17 +569,20 @@ async function updateTasksPanel(){
   }
 }
 setInterval(updateTasksPanel, 2000);
-// 费用徽标：今日费用 / 缓存命中率 / 护栏（15s 刷新）
+// 费用徽标：今日费用 / 缓存命中率 / 护栏（15s 刷新）；点击展开省钱仪表盘
 async function refreshCostBadge(){
   const r=await fetch('/api/cache-stats',{cache:'no-store'}).catch(()=>null); if(!r) return;
   const j=await r.json().catch(()=>null); if(!j) return;
   const bd=j.breakdown||{}; const gd=j.guard||null;
-  let t='今日 ≈¥'+(bd.today||0).toFixed(4);
+  let t='📊 今日 ≈¥'+(bd.today||0).toFixed(4);
   if(bd.rate!=null) t+=' · 命中 '+(bd.rate*100).toFixed(0)+'%';
   if(gd&&gd.limit>0&&gd.cost!=null) t+=' · 护栏 '+(gd.cost/gd.limit*100).toFixed(0)+'%';
   $('#costBadge').textContent=t;
+  if($('#dashPanel').style.display==='flex') renderDashboard(j);
 }
 refreshCostBadge(); setInterval(refreshCostBadge, 15000);
+$('#costBadge').onclick=()=>{ const p=$('#dashPanel'); const show=p.style.display==='none'; p.style.display=show?'flex':'none'; if(show){ $('#subPanel').style.display='none'; $('#trajPanel').style.display='none'; $('#tasksPanel').style.display='none'; $('#subRailBtn').classList.remove('on'); $('#trajRailBtn').classList.remove('on'); refreshCostBadge(); } syncPanelLayout(); };
+$('#dashClose').onclick=()=>{ $('#dashPanel').style.display='none'; syncPanelLayout(); };
 // 底部状态栏：轮次/步数/LLM 与工具时长/首 token 平均/吞吐/缓存命中/输入输出 tokens
 async function refreshStatusBar(){
   const r=await fetch('/api/cache-stats',{cache:'no-store'}).catch(()=>null); if(!r) return;
@@ -699,7 +703,7 @@ $('#wsSel').addEventListener('change', async e=>{
     refreshWsSel(); reloadModels();
   }
 });
-$('#cfgBtn').addEventListener('click', ()=>{ refreshModelsCfg(); refreshSyncUI(); refreshSyncShares(); refreshSyncConflicts(); refreshSchList(); refreshWorkspaces(); loadMemoryUI(); refreshCache(); refreshMcpPresets(); refreshSkillLib(''); });
+$('#cfgBtn').addEventListener('click', ()=>{ refreshModelsCfg(); refreshSyncUI(); refreshSyncShares(); refreshSyncConflicts(); refreshSchList(); refreshWorkspaces(); loadMemoryUI(); refreshMcpPresets(); refreshSkillLib(''); });
 $('#schWhen').onchange=e=>{ const v=e.target.value; $('#schAtRow').style.display=v==='at'?'':'none'; $('#schEveryRow').style.display=v==='every'?'':'none'; $('#schAfterRow').style.display=v==='after'?'':'none'; $('#schChainRow').style.display=v==='chain'?'':'none'; };
 async function refreshSchList(){
   const r=await fetch('/api/schedule',{cache:'no-store'}).catch(()=>null); if(!r) return;
@@ -767,70 +771,61 @@ $('#memDedupe').onclick=async ()=>{
   const j=await r.json().catch(()=>({error:'请求失败'}));
   if(j.ok){ memFlash('✓ 去重完成，移除 '+j.removed+' 行', true); loadMemoryUI(); } else memFlash('✖ '+(j.error||'去重失败'), false);
 };
-// —— 缓存命中率仪表盘 ——
-// 省钱 B3：费用二级分账面板（模型/工具 Top5 + 近 14 天折线，零依赖 SVG）
-function renderCostBreakdown(bd){
-  const models=$('#costTopModels'); models.innerHTML='';
-  for(const m of ((bd.byModel||[]).slice(0,5))){
-    const bar=document.createElement('div'); bar.style.cssText='height:3px;border-radius:2px;background:var(--bg3);margin:1px 0;overflow:hidden';
-    const max=bd.byModel&&bd.byModel[0]?bd.byModel[0].cost:1;
-    bar.innerHTML='<div style="height:100%;width:'+Math.max(2,Math.round((m.cost||0)/Math.max(max,1e-9)*100))+'%;background:var(--accent2)"></div>';
-    const row=document.createElement('div'); row.style.cssText='display:flex;justify-content:space-between;font-size:11.5px;padding:1px 0';
-    row.innerHTML='<span>'+esc(m.model||'—')+'</span><span>¥'+(m.cost||0).toFixed(4)+' · '+m.turns+' 轮</span>';
-    const w=document.createElement('div'); w.appendChild(row); w.appendChild(bar); models.appendChild(w);
-  }
-  if(!(bd.byModel||[]).length) models.innerHTML='<div style="color:var(--faint);font-size:11.5px">暂无记录</div>';
-  const tools=$('#costTopTools'); tools.innerHTML='';
-  for(const t of ((bd.byTool||[]).slice(0,5))){
-    const bar=document.createElement('div'); bar.style.cssText='height:3px;border-radius:2px;background:var(--bg3);margin:1px 0;overflow:hidden';
-    const max=bd.byTool&&bd.byTool[0]?bd.byTool[0].ms:1;
-    bar.innerHTML='<div style="height:100%;width:'+Math.max(2,Math.round((t.ms||0)/Math.max(max,1e-9)*100))+'%;background:var(--cyan)"></div>';
-    const row=document.createElement('div'); row.style.cssText='display:flex;justify-content:space-between;font-size:11.5px;padding:1px 0';
-    row.innerHTML='<span>'+esc(t.tool||'—')+'</span><span>'+t.calls+' 次 · '+fmtDur(t.ms)+'</span>';
-    const w=document.createElement('div'); w.appendChild(row); w.appendChild(bar); tools.appendChild(w);
-  }
-  if(!(bd.byTool||[]).length) tools.innerHTML='<div style="color:var(--faint);font-size:11.5px">暂无记录</div>';
-  const line=$('#costLine');
-  const days=(bd.byDay||[]).slice(-14);
-  if(!days.length){ line.innerHTML=''; return; }
-  const W=320, H=56, P=4;
-  const maxC=Math.max(...days.map(d=>d.cost), 1e-9);
-  const pts=days.map((d,i)=>{
+// —— 省钱仪表盘（v0.3.1：从设置移出，顶部费用徽标点击展开，真·仪表盘） ——
+function renderRateGauge(rate){
+  const r=48, cx=60, cy=60, circ=2*Math.PI*r;
+  const p=Math.max(0,Math.min(1,Number(rate)||0));
+  const color = p>=0.8 ? 'var(--accent)' : p>=0.5 ? 'var(--accent2)' : 'var(--warn)';
+  $('#rateGauge').innerHTML =
+    '<circle cx="'+cx+'" cy="'+cy+'" r="'+r+'" fill="none" stroke="var(--bg3)" stroke-width="13"/>'+
+    '<circle cx="'+cx+'" cy="'+cy+'" r="'+r+'" fill="none" stroke="'+color+'" stroke-width="13" stroke-linecap="round" stroke-dasharray="'+(circ*p).toFixed(1)+' '+(circ*(1-p)).toFixed(1)+'" transform="rotate(-90 '+cx+' '+cy+')"/>';
+  $('#rateGaugeNum').textContent=(p*100).toFixed(1)+'%';
+}
+function trendChart(days){
+  if(!days||!days.length) return '<div style="color:var(--faint);font-size:11.5px;padding:6px">暂无费用记录</div>';
+  const W=360, H=88, P=8;
+  const max=Math.max(...days.map((/** @type {any} */ d)=>Number(d.cost)||0), 1e-9);
+  const pts=days.map((/** @type {any} */ d, /** @type {number} */ i)=>{
     const x=P+i*(W-2*P)/Math.max(days.length-1,1);
-    const y=H-4-(d.cost/maxC)*(H-10);
-    return [x.toFixed(1), y.toFixed(1)];
+    const y=H-P-(Number(d.cost)||0)/max*(H-2*P);
+    return [x,y];
   });
-  const poly=pts.map(p=>p.join(',')).join(' ');
+  const line=pts.map((/** @type {any} */ p)=>p[0].toFixed(1)+','+p[1].toFixed(1)).join(' ');
+  const area='M'+pts[0][0].toFixed(1)+','+(H-P)+' L'+pts.map((/** @type {any} */ p)=>p[0].toFixed(1)+','+p[1].toFixed(1)).join(' L')+' L'+pts[pts.length-1][0].toFixed(1)+','+(H-P)+' Z';
   const last=pts[pts.length-1];
-  line.innerHTML='<div style="font-size:11.5px;color:var(--faint);margin-bottom:2px">近 14 天费用折线（¥，最高 ¥'+maxC.toFixed(4)+'）</div>'
-    +'<svg viewBox="0 0 '+W+' '+H+'" style="width:100%;height:auto;background:var(--bg3);border-radius:8px">'
-    +'<polyline points="'+poly+'" fill="none" style="stroke:var(--accent2);stroke-width:1.6;stroke-linejoin:round;stroke-linecap:round"/>'
-    +'<circle cx="'+last[0]+'" cy="'+last[1]+'" r="2.6" style="fill:var(--accent)"/>'
-    +'<text x="4" y="10" font-size="8" style="fill:var(--faint)">'+days[0].day+'</text>'
-    +'<text x="'+(W-52)+'" y="10" font-size="8" style="fill:var(--faint)">'+days[days.length-1].day+'</text>'
+  return '<div style="font-size:10.5px;color:var(--faint);margin-bottom:4px">最高 ¥'+max.toFixed(4)+' · '+days[0].day+' → '+days[days.length-1].day+'</div>'
+    +'<svg viewBox="0 0 '+W+' '+H+'" style="width:100%;height:auto">'
+    +'<defs><linearGradient id="dg" x1="0" y1="0" x2="0" y2="1"><stop offset="0" style="stop-color:var(--accent2);stop-opacity:.35"/><stop offset="1" style="stop-color:var(--accent2);stop-opacity:0"/></linearGradient></defs>'
+    +'<path d="'+area+'" fill="url(#dg)"/>'
+    +'<polyline points="'+line+'" fill="none" stroke="var(--accent2)" stroke-width="1.8" stroke-linejoin="round" stroke-linecap="round"/>'
+    +'<circle cx="'+last[0].toFixed(1)+'" cy="'+last[1].toFixed(1)+'" r="3" fill="var(--accent)"/>'
     +'</svg>';
 }
-async function refreshCache(){
-  const r=await fetch('/api/cache-stats',{cache:'no-store'}).catch(()=>null); if(!r) return;
-  const j=await r.json(); if(!j.ok) return;
-  const s=j.summary||{};
-  const rate=s.rate!=null?(s.rate*100).toFixed(0)+'%':'暂无缓存数据';
-  $('#cacheSummary').innerHTML='轮次 '+s.turns+' · ↑'+fmtT(s.prompt)+' ↓'+fmtT(s.completion)+' tokens · 命中率 <b style="color:var(--accent)">'+rate+'</b> · 累计 ≈¥'+Number(s.cost||0).toFixed(5)+'（比全未命中省 ≈¥'+Number(s.saved||0).toFixed(5)+'）';
-  renderCostBreakdown(j.breakdown||{});
-  const list=$('#cacheRecent'); list.innerHTML='';
-  if(!(j.recent||[]).length){ list.innerHTML='<div style="color:var(--faint);font-size:12px;padding:6px 2px">暂无记录（每次对话后自动统计）</div>'; return; }
-  for(const e of j.recent){
+function barList(items, isCost){
+  if(!items||!items.length) return '<div style="color:var(--faint);font-size:11.5px;padding:4px">暂无记录</div>';
+  const max=Math.max(...items.map((/** @type {any} */ i)=>Number(i.val)||0), 1e-9);
+  return items.map((/** @type {any} */ i)=>{
+    const pct=Math.max(3,Math.round((Number(i.val)||0)/max*100));
+    const v=isCost ? '¥'+(Number(i.val)||0).toFixed(4) : fmtDur(i.val);
+    return '<div class="dbar"><div class="t"><span class="n" title="'+esc(i.name)+'">'+esc(String(i.name||'—').slice(0,26))+'</span><span class="v">'+v+(i.sub?' · '+i.sub:'')+'</span></div><div class="track"><div class="fill" style="width:'+pct+'%"></div></div></div>';
+  }).join('');
+}
+function renderDashboard(j){
+  const s=j.summary||{}; const bd=j.breakdown||{};
+  const rate=bd.rate!=null?bd.rate:(s.rate!=null?s.rate:0);
+  const saved=Number(s.saved||0);
+  $('#kpiToday').textContent='¥'+Number(bd.today||0).toFixed(4);
+  $('#kpiRate').textContent=(rate*100).toFixed(1)+'%';
+  $('#kpiSaved').textContent='¥'+saved.toFixed(4);
+  $('#kpiTurns').textContent=(s.turns||0)+' / '+(s.steps||0);
+  renderRateGauge(rate);
+  $('#trendChart').innerHTML=trendChart((bd.byDay||[]).slice(-14));
+  $('#dashModels').innerHTML=barList((bd.byModel||[]).slice(0,5).map((/** @type {any} */ m)=>({name:m.model, val:m.cost, sub:m.turns+' 轮'})), true);
+  $('#dashTools').innerHTML=barList((bd.byTool||[]).slice(0,5).map((/** @type {any} */ t)=>({name:t.tool, val:t.ms, sub:t.calls+' 次'})), false);
+  $('#dashRecent').innerHTML=(j.recent||[]).slice(0,6).map((/** @type {any} */ e)=>{
     const hit=e.hit!=null&&e.miss!=null&&(e.hit+e.miss)>0?e.hit/(e.hit+e.miss):null;
-    const pct=hit==null?'—':(hit*100).toFixed(0)+'%';
-    const bar=document.createElement('div'); bar.style.cssText='height:4px;border-radius:2px;background:var(--bg3);margin:2px 0;overflow:hidden';
-    bar.innerHTML='<div style="height:100%;width:'+(hit==null?0:Math.round(hit*100))+'%;background:var(--accent)"></div>';
-    const div=document.createElement('div'); div.style.cssText='display:flex;align-items:center;gap:8px;padding:4px 0;border-bottom:1px solid var(--border);font-size:11.5px;color:var(--dim)';
-    const left=document.createElement('div'); left.style.cssText='flex:1';
-    left.innerHTML='<div style="display:flex;justify-content:space-between"><span>'+esc(e.model||'')+'</span><span>'+pct+' · ¥'+Number(e.cost||0).toFixed(5)+'</span></div>';
-    left.appendChild(bar);
-    const when=document.createElement('span'); when.style.cssText='white-space:nowrap;color:var(--faint)'; when.textContent=new Date(e.at).toLocaleTimeString();
-    div.appendChild(left); div.appendChild(when); list.appendChild(div);
-  }
+    return '<div class="dr"><span class="m">'+esc(e.model||'')+'</span><span class="p">'+(hit==null?'—':(hit*100).toFixed(0)+'%')+'</span><span class="c">¥'+Number(e.cost||0).toFixed(4)+'</span></div>';
+  }).join('') || '<div style="color:var(--faint);font-size:11.5px">暂无记录</div>';
 }
 // —— MCP 生态预设 ——
 let mcpPresetData=[];

package/src/web/index.html

@@ -31,20 +31,23 @@ body{margin:0;background:var(--bg);color:var(--text);font:15px/1.65 -apple-syste
 body.traj-open{padding-left:294px}
 body.sub-open{padding-right:320px}
 body.tasks-open{padding-right:280px}
+body.dash-open{padding-right:400px}
 @media (max-width:1200px){
   #trajPanel{width:210px}body.traj-open{padding-left:252px}
   #subPanel{width:270px}body.sub-open{padding-right:270px}
   #tasksPanel{width:230px}body.tasks-open{padding-right:230px}
+  #dashPanel{width:360px}body.dash-open{padding-right:360px}
 }
 @media (max-width:860px){
   #trajPanel{width:160px}body.traj-open{padding-left:202px}
   #subPanel{width:190px}body.sub-open{padding-right:190px}
   #tasksPanel{width:190px}body.tasks-open{padding-right:190px}
+  #dashPanel{width:min(340px,94vw)}body.dash-open{padding-right:min(340px,94vw)}
 }
 @media (max-width:560px){
-  body.traj-open,body.sub-open,body.tasks-open{padding:0}
+  body.traj-open,body.sub-open,body.tasks-open,body.dash-open{padding:0}
   #trajPanel{width:calc(100vw - 42px);left:42px}
-  #subPanel,#tasksPanel{width:100vw}
+  #subPanel,#tasksPanel,#dashPanel{width:100vw}
 }
 header{min-height:52px;display:flex;align-items:center;gap:10px;padding:8px 12px;border-bottom:1px solid var(--border);background:var(--bg2);flex:none;flex-wrap:nowrap;white-space:nowrap;overflow-x:auto}
 header .logo{font-weight:700;font-size:16px;color:var(--accent);letter-spacing:.5px;flex:none}
@@ -229,6 +232,36 @@ footer{flex:none;border-top:1px solid var(--border);background:var(--bg2);paddin
 @keyframes spin{to{transform:rotate(360deg)}}
 /* 自绘悬浮气泡 tooltip（替换原生 title）：暗色悬浮层 + 阴影，跟随锚点居中，越界自动回弹 */
 .mdtip{position:fixed;z-index:1000;max-width:320px;background:var(--bg3);color:var(--text);border:1px solid var(--border);border-radius:8px;padding:7px 11px;font-size:12px;line-height:1.6;box-shadow:0 8px 24px rgba(0,0,0,.55);pointer-events:none;white-space:pre-line;word-break:break-word;display:none}
+/* —— 省钱仪表盘（v0.3.1 顶部入口，真·仪表盘） —— */
+#dashPanel{position:fixed;right:0;top:52px;bottom:0;width:400px;max-width:94vw;background:var(--bg2);border-left:1px solid var(--border);z-index:45;display:flex;flex-direction:column;box-shadow:-8px 0 32px rgba(0,0,0,.4)}
+.dash-head{padding:12px 14px;font-size:14px;font-weight:700;color:var(--accent);border-bottom:1px solid var(--border);display:flex;align-items:center;gap:8px}
+.dash-head .dash-sub{font-size:11.5px;color:var(--faint);font-weight:400}
+.dash-head button{margin-left:auto;padding:2px 8px;font-size:12px}
+.dash-body{flex:1;overflow-y:auto;padding:14px}
+.dash-kpi{display:grid;grid-template-columns:1fr 1fr;gap:8px;margin-bottom:14px}
+.kpi{background:var(--bg3);border:1px solid var(--border);border-radius:10px;padding:10px 12px;display:flex;flex-direction:column;gap:2px}
+.kpi-l{font-size:11px;color:var(--faint)}
+.kpi-v{font-size:17px;font-weight:700;font-variant-numeric:tabular-nums}
+.dash-gauge-wrap{position:relative;width:120px;margin:4px auto 14px;text-align:center}
+.gauge-label{position:absolute;inset:0;display:flex;flex-direction:column;align-items:center;justify-content:center;gap:0}
+.gauge-label b{font-size:20px;color:var(--accent2)}
+.gauge-label span{font-size:10.5px;color:var(--faint)}
+.dash-sec{font-size:11.5px;color:var(--faint);margin:12px 0 6px;border-top:1px dashed var(--border);padding-top:10px}
+.dash-sec:first-of-type{border-top:none;padding-top:0}
+.dash-chart{background:var(--bg3);border:1px solid var(--border);border-radius:10px;padding:8px}
+.dash-bars{display:flex;flex-direction:column;gap:6px}
+.dbar{background:var(--bg3);border:1px solid var(--border);border-radius:8px;padding:6px 10px}
+.dbar .t{display:flex;justify-content:space-between;font-size:11.5px;margin-bottom:4px}
+.dbar .t .n{color:var(--text);overflow:hidden;text-overflow:ellipsis;white-space:nowrap;max-width:60%}
+.dbar .t .v{color:var(--dim);font-variant-numeric:tabular-nums}
+.dbar .track{height:5px;border-radius:3px;background:var(--bg2);overflow:hidden}
+.dbar .fill{height:100%;border-radius:3px;background:linear-gradient(90deg,var(--accent2),var(--accent))}
+.dash-recent{display:flex;flex-direction:column;gap:5px;font-size:11.5px}
+.dr{display:flex;justify-content:space-between;background:var(--bg3);border:1px solid var(--border);border-radius:8px;padding:5px 10px}
+.dr .m{color:var(--text);overflow:hidden;text-overflow:ellipsis;white-space:nowrap;max-width:50%}
+.dr .p{color:var(--accent2);font-variant-numeric:tabular-nums}
+.dr .c{color:var(--faint);font-variant-numeric:tabular-nums}
+.badge-btn:hover{border-color:var(--accent2);color:var(--accent2)}
 </style>
 </head>
 <body>
@@ -237,7 +270,7 @@ footer{flex:none;border-top:1px solid var(--border);background:var(--bg2);paddin
   <span id="cfgMsg" class="badge" style="display:none"></span>
   <button id="cfgBtn" title="设置">⚙</button>
   <select id="wsSel" title="工作空间（切换 / 新建，目录自动创建）"></select>
-  <span class="badge" id="envBadge"></span><span class="badge" id="costBadge" title="今日费用 / 缓存命中率（每 15s 刷新）"></span>
+  <span class="badge" id="envBadge"></span><span class="badge badge-btn" id="costBadge" title="省钱仪表盘（点击展开）" style="cursor:pointer">📊 —</span>
   <div class="spacer"></div>
   <input id="sessionSearch" placeholder="搜索会话…" title="关键词检索历史会话">
   <select id="sessions" title="历史会话"><option value="">历史会话</option></select>
@@ -260,6 +293,29 @@ footer{flex:none;border-top:1px solid var(--border);background:var(--bg2);paddin
   <div class="tp-head">任务面板 <span id="tpCount"></span><button id="tpClose" style="float:right">✕</button></div>
   <div id="tpList"></div>
 </aside>
+<aside id="dashPanel" style="display:none">
+  <div class="dash-head">📊 省钱仪表盘 <span class="dash-sub">费用 · 命中 · 节省</span><button id="dashClose">✕</button></div>
+  <div class="dash-body">
+    <div class="dash-kpi">
+      <div class="kpi"><span class="kpi-l">今日费用</span><span class="kpi-v" id="kpiToday">—</span></div>
+      <div class="kpi"><span class="kpi-l">缓存命中</span><span class="kpi-v" id="kpiRate">—</span></div>
+      <div class="kpi"><span class="kpi-l">已节省</span><span class="kpi-v" style="color:var(--accent)" id="kpiSaved">—</span></div>
+      <div class="kpi"><span class="kpi-l">轮次/步数</span><span class="kpi-v" id="kpiTurns">—</span></div>
+    </div>
+    <div class="dash-gauge-wrap">
+      <svg id="rateGauge" viewBox="0 0 120 120" width="120" height="120"></svg>
+      <div class="gauge-label"><b id="rateGaugeNum">—</b><span>命中率</span></div>
+    </div>
+    <div class="dash-sec">近 14 天费用趋势（¥）</div>
+    <div id="trendChart" class="dash-chart"></div>
+    <div class="dash-sec">模型费用 Top</div>
+    <div id="dashModels" class="dash-bars"></div>
+    <div class="dash-sec">工具耗时 Top</div>
+    <div id="dashTools" class="dash-bars"></div>
+    <div class="dash-sec">最近缓存命中</div>
+    <div id="dashRecent" class="dash-recent"></div>
+  </div>
+</aside>
 <main><div id="chat"></div></main>
 <footer>
   <div id="workStatus" style="display:none"></div>
@@ -304,7 +360,7 @@ footer{flex:none;border-top:1px solid var(--border);background:var(--bg2);paddin
       <button class="cfg-nav-btn" data-panel="schedule">⏰ 调度队列</button>
       <button class="cfg-nav-btn" data-panel="workspace">📁 工作空间</button>
       <button class="cfg-nav-btn" data-panel="memory">🧠 长期记忆</button>
-      <button class="cfg-nav-btn" data-panel="cache">📊 缓存仪表盘</button>
+
       <button class="cfg-nav-btn" data-panel="mcp">🔌 MCP 生态</button>
       <button class="cfg-nav-btn" data-panel="skills">🧩 技能库</button>
     </nav>
@@ -402,24 +458,7 @@ footer{flex:none;border-top:1px solid var(--border);background:var(--bg2);paddin
     <textarea id="memArea" rows="5" placeholder="例如：所有文档用中文；提交信息用约定式提交…" style="width:100%;background:var(--bg3);color:var(--text);border:1px solid var(--border);border-radius:8px;padding:6px 10px;font-size:12.5px;resize:vertical"></textarea>
     <div class="row" style="justify-content:flex-start"><button id="memSave">保存记忆</button><button id="memDedupe">去重合并</button><span id="memMsg" style="font-size:12px;color:var(--faint)"></span></div>
       </section>
-    <section class="cfg-panel" data-panel="cache">
-    <hr style="border:none;border-top:1px solid var(--border);margin:14px 0 8px">
-    <h4 style="margin:4px 0;color:var(--accent2)">缓存命中率仪表盘（最近 10 次）</h4>
-    <div id="cacheSummary" style="font-size:12.5px;color:var(--dim);padding:2px"></div>
-    <div id="cacheRecent" style="max-height:130px;overflow-y:auto"></div>
-    <h4 style="margin:10px 0 4px;color:var(--accent2)">费用二级分账（模型 / 工具 Top5 · 近 14 天）</h4>
-    <div style="display:flex;gap:10px;flex-wrap:wrap">
-      <div style="flex:1;min-width:170px">
-        <div style="font-size:11.5px;color:var(--faint)">模型 Top5（费用）</div>
-        <div id="costTopModels" style="font-size:12px;color:var(--dim)"></div>
-      </div>
-      <div style="flex:1;min-width:170px">
-        <div style="font-size:11.5px;color:var(--faint)">工具 Top5（耗时）</div>
-        <div id="costTopTools" style="font-size:12px;color:var(--dim)"></div>
-      </div>
-    </div>
-    <div id="costLine" style="margin-top:8px"></div>
-      </section>
+
     <section class="cfg-panel" data-panel="mcp">
     <hr style="border:none;border-top:1px solid var(--border);margin:14px 0 8px">
     <h4 style="margin:4px 0;color:var(--accent2)">MCP 生态预设（一键接入，重启生效）</h4>

package/src/web/server.js

@@ -29,8 +29,8 @@ import { MAX_CONCURRENT } from './constants.js';
 import { createAgent } from '../agent.js';
 import { createPermission } from '../permissions.js';
 import { buildSystemPrompt } from '../prompts.js';
-import { loadProjectMemory, extractAndAppendProjectMemory } from '../memory.js';
-import { saveTaskState, clearTaskState, loadTaskState, resumePrompt } from '../task-state.js';
+import { loadProjectMemory, loadProjectMemoryEntries, retrieveRelevant, extractAndAppendProjectMemory } from '../memory.js';
+import { saveTaskStateMerge, clearTaskState, loadTaskState, resumePrompt } from '../task-state.js';
 import { createWebIO } from './web-io.js';
 import { startMcpServers } from '../mcp.js';
 import {
@@ -397,7 +397,11 @@ export async function runWebServer({ host = '127.0.0.1', port = 3820, authToken
     // 每轮结束提取的新条目只写文件、不回灌当前会话。
     let projectMemorySnapshot = sessionMemoryCache.get(sessionName);
     if (projectMemorySnapshot === undefined) {
-      projectMemorySnapshot = loadProjectMemory(taskDir);
+      // v0.3.1 语义检索：用本轮任务（新会话即首条消息）取「相关记忆条目」，而非全量截 4K——
+      // 换任务只注入相关记忆、省 token；快照保证同一会话前缀稳定。
+      const allEntries = loadProjectMemoryEntries(taskDir);
+      const query = String(built.persistText || '');
+      projectMemorySnapshot = query ? retrieveRelevant(allEntries, query, 6).join('\n') : loadProjectMemory(taskDir);
       sessionMemoryCache.set(sessionName, projectMemorySnapshot);
       if (sessionMemoryCache.size > 200) {
         const oldest = sessionMemoryCache.keys().next().value;
@@ -527,7 +531,7 @@ export async function runWebServer({ host = '127.0.0.1', port = 3820, authToken
       // v0.3.0 P0-2：任务检查点——跑满步数(capHit)或中断(aborted)时落盘供续跑，正常完成清除
       const finalSessionName = path.basename(session.file);
       if (r.capHit || r.aborted) {
-        saveTaskState(finalSessionName, {
+        saveTaskStateMerge(finalSessionName, {
           goal: built.persistText,
           progress: r.text || '',
           artifacts: io.stats().deliverables,