minimal-agent 0.11.0 → 0.13.0

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "minimal-agent",
-  "version": "0.11.0",
+  "version": "0.13.0",
   "description": "Bun-first 的本地 Agent 内核，支持工具、插件、工作流、上下文压缩、长期记忆与 OpenAI 兼容接口；Tauri 桌面宿主和 Node.js npm 发布可复用同一内核",
   "license": "SEE LICENSE IN LICENSE",
   "author": "Bill Wang <leiwang0359@gmail.com>",
@@ -131,9 +131,12 @@
     "prepublishOnly": "bun run clean && bun run build"
   },
   "dependencies": {
+    "ccxt": "^4.5.58",
+    "diff": "^8.0.2",
     "fast-glob": "^3.3.2",
     "ink": "^5.0.1",
     "marked": "^18.0.6",
+    "pdfjs-dist": "^6.2.108",
     "react": "^18.3.1",
     "turndown": "^7.2.4",
     "vscode-jsonrpc": "^8.2.1",
@@ -148,6 +151,7 @@
     "typescript": "^5.5.0"
   },
   "optionalDependencies": {
+    "@napi-rs/canvas": "^0.1.100",
     "playwright-core": "^1.40.0",
     "pngjs": "^7.0.0",
     "pptxgenjs": "^4.0.1"

package/plugins/workflow-runner/plugin.js

@@ -12,7 +12,7 @@
  *  缓存这次 import，所以 cold start 后 dynamic import 只跑一次。
  * ============================================================
  */
-import { ALL_TOOLS, derivePromptCacheContext, getWorkingDir, createAgentRuntimeContext, filterToolsForRuntime, buildTransientPromptBundle, } from '../../src/plugin-sdk.js';
+import { ALL_TOOLS, buildTransientPromptBundle, createAgentRuntimeContext, derivePromptCacheContext, filterToolsForRuntime, getWorkingDir, } from '../../src/plugin-sdk.js';
 import { runWorkflowFromCommand, runWorkflowsList } from './src/index.js';
 const api = {
     async *runCommand(commandName, args, ctx) {
@@ -43,21 +43,22 @@ const api = {
                 ? ALL_TOOLS.filter((tool) => hostToolNames.has(tool.name))
                 : ALL_TOOLS;
             const workflowTools = filterToolsForRuntime(hostTools, workflowRuntime);
-            const transientBundle = ctx.transientBundle ?? await buildTransientPromptBundle({
-                cwd,
-                tools: workflowTools,
-                profile: 'main',
-                includeProjectInstructions: true,
-                includePlugins: true,
-                runtime: {
-                    surface: 'workflow',
+            const transientBundle = ctx.transientBundle ??
+                (await buildTransientPromptBundle({
                     cwd,
-                    workspaceId: workflowRuntime.workspaceId,
-                    interactiveAsk: workflowRuntime.interactiveAsk,
-                    memoryAccess: workflowRuntime.memoryAccess,
-                    currentUserInput: args,
-                },
-            }).catch(() => undefined);
+                    tools: workflowTools,
+                    profile: 'main',
+                    includeProjectInstructions: true,
+                    includePlugins: true,
+                    runtime: {
+                        surface: 'workflow',
+                        cwd,
+                        workspaceId: workflowRuntime.workspaceId,
+                        interactiveAsk: workflowRuntime.interactiveAsk,
+                        memoryAccess: workflowRuntime.memoryAccess,
+                        currentUserInput: args,
+                    },
+                }).catch(() => undefined));
             yield* runWorkflowFromCommand(args, {
                 provider: ctx.provider,
                 history: ctx.history,
@@ -66,6 +67,17 @@ const api = {
                 cwd,
                 tools: workflowTools,
                 runtimeContext: workflowRuntime,
+                executeTool: ctx.executeTool,
+                toolContext: {
+                    history: ctx.history,
+                    sessionState: ctx.sessionState,
+                    provider: ctx.provider,
+                    toolGate: ctx.host?.toolGate,
+                    promptCache: ctx.promptCache,
+                    workspaceId: workflowRuntime.workspaceId,
+                    sessionId: workflowRuntime.sessionId,
+                    memoryAccess: workflowRuntime.memoryAccess,
+                },
                 // 宿主授权上下文原样带上；引擎按各步 `uses:` 切片后才转给工具，不整份下发。
                 host: ctx.host,
                 transientContext: ctx.transientContext,

package/plugins/workflow-runner/plugin.ts

@@ -16,11 +16,11 @@
 import type { PluginApi } from '../../src/plugin-sdk.js';
 import {
   ALL_TOOLS,
-  derivePromptCacheContext,
-  getWorkingDir,
+  buildTransientPromptBundle,
   createAgentRuntimeContext,
+  derivePromptCacheContext,
   filterToolsForRuntime,
-  buildTransientPromptBundle,
+  getWorkingDir,
 } from '../../src/plugin-sdk.js';
 import { runWorkflowFromCommand, runWorkflowsList } from './src/index.js';
 
@@ -43,9 +43,10 @@ const api: PluginApi = {
         cwd,
         surface: 'workflow',
         owner: ctx.runtimeContext?.owner ?? 'untrusted',
-        memoryAccess: ctx.runtimeContext?.memoryAccess === 'denied'
-          ? 'denied'
-          : 'read-only',
+        memoryAccess:
+          ctx.runtimeContext?.memoryAccess === 'denied'
+            ? 'denied'
+            : 'read-only',
       });
       const hostToolNames = ctx.allowedTools
         ? new Set(ctx.allowedTools)
@@ -54,21 +55,23 @@ const api: PluginApi = {
         ? ALL_TOOLS.filter((tool) => hostToolNames.has(tool.name))
         : ALL_TOOLS;
       const workflowTools = filterToolsForRuntime(hostTools, workflowRuntime);
-      const transientBundle = ctx.transientBundle ?? await buildTransientPromptBundle({
-        cwd,
-        tools: workflowTools,
-        profile: 'main',
-        includeProjectInstructions: true,
-        includePlugins: true,
-        runtime: {
-          surface: 'workflow',
+      const transientBundle =
+        ctx.transientBundle ??
+        (await buildTransientPromptBundle({
           cwd,
-          workspaceId: workflowRuntime.workspaceId,
-          interactiveAsk: workflowRuntime.interactiveAsk,
-          memoryAccess: workflowRuntime.memoryAccess,
-          currentUserInput: args,
-        },
-      }).catch(() => undefined);
+          tools: workflowTools,
+          profile: 'main',
+          includeProjectInstructions: true,
+          includePlugins: true,
+          runtime: {
+            surface: 'workflow',
+            cwd,
+            workspaceId: workflowRuntime.workspaceId,
+            interactiveAsk: workflowRuntime.interactiveAsk,
+            memoryAccess: workflowRuntime.memoryAccess,
+            currentUserInput: args,
+          },
+        }).catch(() => undefined));
       yield* runWorkflowFromCommand(args, {
         provider: ctx.provider,
         history: ctx.history,
@@ -77,6 +80,17 @@ const api: PluginApi = {
         cwd,
         tools: workflowTools,
         runtimeContext: workflowRuntime,
+        executeTool: ctx.executeTool,
+        toolContext: {
+          history: ctx.history,
+          sessionState: ctx.sessionState,
+          provider: ctx.provider,
+          toolGate: ctx.host?.toolGate,
+          promptCache: ctx.promptCache,
+          workspaceId: workflowRuntime.workspaceId,
+          sessionId: workflowRuntime.sessionId,
+          memoryAccess: workflowRuntime.memoryAccess,
+        },
         // 宿主授权上下文原样带上；引擎按各步 `uses:` 切片后才转给工具，不整份下发。
         host: ctx.host,
         transientContext: ctx.transientContext,

package/plugins/workflow-runner/src/agentCommon.js

@@ -19,7 +19,8 @@
  *       ③ 检测逻辑增加内容长度启发式（reason > 80 字符视为误报）
  * ============================================================
  */
-import { runQuery, createAgentRuntimeContext, stripThinkBlocks, } from '../../../src/plugin-sdk.js';
+import { createAgentRuntimeContext, runQuery, stripThinkBlocks, } from '../../../src/plugin-sdk.js';
+import { effectiveWorkflowCwd } from './toolRuntime.js';
 import { normalizeCapture, } from './types.js';
 /**
  * agent 显式放弃的唯一标记；recover 与 agent 节点共用。
@@ -59,7 +60,9 @@ export function effectiveGoalAnchor(ctx) {
     if (supps.length === 0)
         return base;
     const lines = supps.map((s) => `> 📌 用户补充要求：${s}`).join('\n');
-    return base ? `${base}\n${lines}` : `${lines}\n> ⚠️ 以上补充要求与原始目标同等约束所有操作。`;
+    return base
+        ? `${base}\n${lines}`
+        : `${lines}\n> ⚠️ 以上补充要求与原始目标同等约束所有操作。`;
 }
 /** 把 llm_error 细节拼进可重试失败的抛错文案（无细节时退化为原样文案）。 */
 export function describeLlmFailure(stepId, detail) {
@@ -96,14 +99,10 @@ function createStepHistory(step, ctx) {
 export async function* runStepQuery(prompt, step, ctx, opts) {
     const activeHistory = createStepHistory(step, ctx);
     const availableTools = ctx.tools ?? [];
-    const hostToolNames = availableTools.length > 0
-        ? new Set(availableTools.map((tool) => tool.name))
-        : null;
-    const effectiveStepTools = hostToolNames === null
-        ? step.allowed_tools
-        : step.allowed_tools === undefined
-            ? [...hostToolNames]
-            : step.allowed_tools.filter((name) => hostToolNames.has(name));
+    const hostToolNames = new Set(availableTools.map((tool) => tool.name));
+    const effectiveStepTools = step.allowed_tools === undefined
+        ? [...hostToolNames]
+        : step.allowed_tools.filter((name) => hostToolNames.has(name));
     // 记录 runQuery 开始前的 history 长度，用于之后提取本步的 assistant 输出
     const historyLenBefore = activeHistory.length;
     const runtimeContext = createAgentRuntimeContext({
@@ -112,7 +111,7 @@ export async function* runStepQuery(prompt, step, ctx, opts) {
             profile: 'main',
             interactiveAsk: false,
         }),
-        cwd: ctx.cwd,
+        cwd: effectiveWorkflowCwd(ctx),
         owner: ctx.runtimeContext?.owner ?? 'untrusted',
         memoryAccess: ctx.runtimeContext?.memoryAccess ?? 'denied',
     });
@@ -283,7 +282,9 @@ function isLikelyFalsePositive(reason) {
     if (reason.length > 80)
         return true;
     // 如果 reason 看起来像 markdown 正文（标题/章节），也是误报
-    if (/^#{1,6}\s/m.test(reason) || /^[-*+]\s/m.test(reason) || /^\d+\.\s/m.test(reason)) {
+    if (/^#{1,6}\s/m.test(reason) ||
+        /^[-*+]\s/m.test(reason) ||
+        /^\d+\.\s/m.test(reason)) {
         return true;
     }
     return false;

package/plugins/workflow-runner/src/agentCommon.ts

@@ -25,10 +25,11 @@ import {
   type ImageInputSpec,
   type LoopEvent,
   type Message,
-  runQuery,
   createAgentRuntimeContext,
+  runQuery,
   stripThinkBlocks,
 } from '../../../src/plugin-sdk.js';
+import { effectiveWorkflowCwd } from './toolRuntime.js';
 import {
   type RunContext,
   type StepDef,
@@ -81,7 +82,9 @@ export function effectiveGoalAnchor(ctx: RunContext): string {
   const supps = (ctx.goalSupplements ?? []).filter((s) => s.trim());
   if (supps.length === 0) return base;
   const lines = supps.map((s) => `> 📌 用户补充要求：${s}`).join('\n');
-  return base ? `${base}\n${lines}` : `${lines}\n> ⚠️ 以上补充要求与原始目标同等约束所有操作。`;
+  return base
+    ? `${base}\n${lines}`
+    : `${lines}\n> ⚠️ 以上补充要求与原始目标同等约束所有操作。`;
 }
 
 /** runStepQuery 的归纳结果：本步产出文本 + 终结性错误旗标（语义判断留给各执行器）。 */
@@ -164,12 +167,9 @@ export async function* runStepQuery(
 ): AsyncGenerator<LoopEvent, StepQueryOutcome, void> {
   const activeHistory = createStepHistory(step, ctx);
   const availableTools = ctx.tools ?? [];
-  const hostToolNames = availableTools.length > 0
-    ? new Set(availableTools.map((tool) => tool.name))
-    : null;
-  const effectiveStepTools = hostToolNames === null
-    ? step.allowed_tools
-    : step.allowed_tools === undefined
+  const hostToolNames = new Set(availableTools.map((tool) => tool.name));
+  const effectiveStepTools =
+    step.allowed_tools === undefined
       ? [...hostToolNames]
       : step.allowed_tools.filter((name) => hostToolNames.has(name));
   // 记录 runQuery 开始前的 history 长度，用于之后提取本步的 assistant 输出
@@ -180,7 +180,7 @@ export async function* runStepQuery(
       profile: 'main' as const,
       interactiveAsk: false,
     }),
-    cwd: ctx.cwd,
+    cwd: effectiveWorkflowCwd(ctx),
     owner: ctx.runtimeContext?.owner ?? 'untrusted',
     memoryAccess: ctx.runtimeContext?.memoryAccess ?? 'denied',
   });
@@ -200,7 +200,8 @@ export async function* runStepQuery(
     signal: ctx.signal,
     maxTurns: opts.maxTurns,
     allowedTools: effectiveStepTools,
-    requiredTools: step.allowed_tools === undefined ? undefined : effectiveStepTools,
+    requiredTools:
+      step.allowed_tools === undefined ? undefined : effectiveStepTools,
     chat: ctx.chat,
     executeTool: ctx.executeTool,
     sessionState: ctx.sessionState,
@@ -296,7 +297,10 @@ export async function* runStepQuery(
 export const MAX_TURNS_CUTOFF_MARKER = '达到最大轮数';
 
 /** maxTurns 截断的可重试失败文案（重试 = 在共享 history 上续作，再给一份轮数预算）。 */
-export function describeMaxTurnsCutoff(stepId: string, maxTurns: number): string {
+export function describeMaxTurnsCutoff(
+  stepId: string,
+  maxTurns: number,
+): string {
   return `step ${stepId}: ${MAX_TURNS_CUTOFF_MARKER} ${maxTurns} 被截断（可续跑）`;
 }
 
@@ -351,7 +355,11 @@ export function parseGiveup(text: string): string | null {
 function isLikelyFalsePositive(reason: string): boolean {
   if (reason.length > 80) return true;
   // 如果 reason 看起来像 markdown 正文（标题/章节），也是误报
-  if (/^#{1,6}\s/m.test(reason) || /^[-*+]\s/m.test(reason) || /^\d+\.\s/m.test(reason)) {
+  if (
+    /^#{1,6}\s/m.test(reason) ||
+    /^[-*+]\s/m.test(reason) ||
+    /^\d+\.\s/m.test(reason)
+  ) {
     return true;
   }
   return false;
@@ -405,7 +413,8 @@ export function interpretMiniReActResult(
         ok: true,
         value: {
           raw,
-          preview: cleanText.length > 200 ? `${cleanText.slice(0, 200)}…` : cleanText,
+          preview:
+            cleanText.length > 200 ? `${cleanText.slice(0, 200)}…` : cleanText,
         },
       };
     }

package/plugins/workflow-runner/src/expressions.js

@@ -40,6 +40,7 @@
 import { existsSync, readFileSync } from 'node:fs';
 import { join, isAbsolute } from 'node:path';
 import { getWorkingDir } from '../../../src/plugin-sdk.js';
+import { DANGEROUS_KEYS, isAbsWithinCwd } from './types.js';
 const PUNCT2 = new Set(['==', '!=', '>=', '<=', '&&', '||']);
 const PUNCT1 = new Set(['(', ')', '[', ']', ',', '.', '!', '>', '<', '+', '?', ':']);
 function tokenize(src) {
@@ -143,12 +144,25 @@ function isPunct(c, v) {
     const t = peek(c);
     return !!t && t.kind === 'punct' && t.value === v;
 }
+/**
+ * 读磁盘的内置函数（fileExists / readJson）的锚点。
+ * 必须和写入侧同源：进了 session worktree 后产物落在 worktree 里，
+ * 这里若仍锚原 workspace，done_when 会在空目录里找文件而恒判 false。
+ */
+function cwdOf(vars) {
+    return vars.resolveCwd?.() ?? getWorkingDir();
+}
 const BUILTINS = {
-    fileExists(args) {
+    fileExists(args, cwd) {
         const p = String(args[0] ?? '');
         if (!p)
             return false;
-        const abs = isAbsolute(p) ? p : join(getWorkingDir(), p);
+        const abs = isAbsolute(p) ? p : join(cwd, p);
+        // 安全守卫：越出 cwd 的路径视为"不存在"（fail-closed，与 readJson 同策略）。
+        // 不可信 YAML（模板库/他人分享）可能带 fileExists('/etc/passwd') 做信息刺探，
+        // 这里与 cleanupDeclaredArtifacts 保持一致：只允许操作 cwd 下的文件。
+        if (!isAbsWithinCwd(cwd, abs))
+            return false;
         return existsSync(abs);
     },
     length(args) {
@@ -247,16 +261,19 @@ const BUILTINS = {
             return 'null';
         }
     },
-    // 读磁盘 JSON 文件并取值：path 相对 getWorkingDir()（绝对路径原样）；给了 key
-    // 则返回顶层 obj[key]，否则返回整值。缺文件 / 坏 JSON / 键不存在 → null
+    // 读磁盘 JSON 文件并取值：path 相对当前有效 cwd（绝对路径先经 cwd 安全校验，
+    // 越界直接 null，与 fileExists 同 fail-closed 策略）；给了 key 则返回顶层
+    // obj[key]，否则返回整值。缺文件 / 坏 JSON / 键不存在 / 越界 → null
     //（与 match/extract 同「不抛」哲学）。动机：让确定性脚本产出的 manifest
     //（如 source_assets.json）直接驱动工作流 for-each / branch —— 填补「磁盘
     // 结构化数据 → 控制流」的空白（与 fileExists 平级的基础能力）。
-    readJson(args) {
+    readJson(args, cwd) {
         const p = String(args[0] ?? '');
         if (!p)
             return null;
-        const abs = isAbsolute(p) ? p : join(getWorkingDir(), p);
+        const abs = isAbsolute(p) ? p : join(cwd, p);
+        if (!isAbsWithinCwd(cwd, abs))
+            return null; // 越界 → null（不抛，fail-closed）
         try {
             // 剥前导 BOM：某些工具/重定向写出的 JSON 带 BOM，JSON.parse 会因此抛错。
             let raw = readFileSync(abs, 'utf8');
@@ -439,7 +456,7 @@ function parsePrimary(c, vars) {
             const fn = BUILTINS[t.value];
             if (!fn)
                 throw new Error(`未知函数 "${t.value}"。白名单：${Object.keys(BUILTINS).join(', ')}`);
-            return fn(argv);
+            return fn(argv, cwdOf(vars));
         }
         // 字面常量
         if (t.value === 'true')
@@ -608,8 +625,12 @@ export function interpolateDeep(value, vars, opts) {
     if (value && typeof value === 'object') {
         const out = {};
         for (const [k, v] of Object.entries(value)) {
-            // 注意：key 也插值（loop 里 `hook_${idx}` 这种），但只对字符串 key 有意义
+            // 注意：key 也插值（loop 里 `hook_${idx}` 这种），但只对字符串 key 有意义；
+            // 插值后的 key 若命中危险键（__proto__/constructor/prototype）→ 直接跳过不写，
+            // 防止经动态 key 注入原型链属性（与 VarStack 防线保持一致）。
             const newKey = interpolate(k, vars, opts);
+            if (DANGEROUS_KEYS.has(newKey))
+                continue;
             out[newKey] = interpolateDeep(v, vars, opts);
         }
         return out;

package/plugins/workflow-runner/src/expressions.ts

@@ -42,7 +42,7 @@ import { existsSync, readFileSync } from 'node:fs';
 import { join, isAbsolute } from 'node:path';
 
 import { getWorkingDir } from '../../../src/plugin-sdk.js';
-import type { VarStack } from './types.js';
+import { DANGEROUS_KEYS, isAbsWithinCwd, type VarStack } from './types.js';
 
 // ---------------- Tokenizer ----------------
 
@@ -160,11 +160,24 @@ function isPunct(c: Cursor, v: string): boolean {
   return !!t && t.kind === 'punct' && t.value === v;
 }
 
-const BUILTINS: Record<string, (args: unknown[]) => unknown> = {
-  fileExists(args) {
+/**
+ * 读磁盘的内置函数（fileExists / readJson）的锚点。
+ * 必须和写入侧同源：进了 session worktree 后产物落在 worktree 里，
+ * 这里若仍锚原 workspace，done_when 会在空目录里找文件而恒判 false。
+ */
+function cwdOf(vars: VarStack): string {
+  return vars.resolveCwd?.() ?? getWorkingDir();
+}
+
+const BUILTINS: Record<string, (args: unknown[], cwd: string) => unknown> = {
+  fileExists(args, cwd) {
     const p = String(args[0] ?? '');
     if (!p) return false;
-    const abs = isAbsolute(p) ? p : join(getWorkingDir(), p);
+    const abs = isAbsolute(p) ? p : join(cwd, p);
+    // 安全守卫：越出 cwd 的路径视为"不存在"（fail-closed，与 readJson 同策略）。
+    // 不可信 YAML（模板库/他人分享）可能带 fileExists('/etc/passwd') 做信息刺探，
+    // 这里与 cleanupDeclaredArtifacts 保持一致：只允许操作 cwd 下的文件。
+    if (!isAbsWithinCwd(cwd, abs)) return false;
     return existsSync(abs);
   },
   length(args) {
@@ -254,15 +267,17 @@ const BUILTINS: Record<string, (args: unknown[]) => unknown> = {
       return 'null';
     }
   },
-  // 读磁盘 JSON 文件并取值：path 相对 getWorkingDir()（绝对路径原样）；给了 key
-  // 则返回顶层 obj[key]，否则返回整值。缺文件 / 坏 JSON / 键不存在 → null
+  // 读磁盘 JSON 文件并取值：path 相对当前有效 cwd（绝对路径先经 cwd 安全校验，
+  // 越界直接 null，与 fileExists 同 fail-closed 策略）；给了 key 则返回顶层
+  // obj[key]，否则返回整值。缺文件 / 坏 JSON / 键不存在 / 越界 → null
   //（与 match/extract 同「不抛」哲学）。动机：让确定性脚本产出的 manifest
   //（如 source_assets.json）直接驱动工作流 for-each / branch —— 填补「磁盘
   // 结构化数据 → 控制流」的空白（与 fileExists 平级的基础能力）。
-  readJson(args) {
+  readJson(args, cwd) {
     const p = String(args[0] ?? '');
     if (!p) return null;
-    const abs = isAbsolute(p) ? p : join(getWorkingDir(), p);
+    const abs = isAbsolute(p) ? p : join(cwd, p);
+    if (!isAbsWithinCwd(cwd, abs)) return null; // 越界 → null（不抛，fail-closed）
     try {
       // 剥前导 BOM：某些工具/重定向写出的 JSON 带 BOM，JSON.parse 会因此抛错。
       let raw = readFileSync(abs, 'utf8');
@@ -436,7 +451,7 @@ function parsePrimary(c: Cursor, vars: VarStack): unknown {
       eat(c);
       const fn = BUILTINS[t.value];
       if (!fn) throw new Error(`未知函数 "${t.value}"。白名单：${Object.keys(BUILTINS).join(', ')}`);
-      return fn(argv);
+      return fn(argv, cwdOf(vars));
     }
     // 字面常量
     if (t.value === 'true') return true;
@@ -612,8 +627,11 @@ export function interpolateDeep<T>(
   if (value && typeof value === 'object') {
     const out: Record<string, unknown> = {};
     for (const [k, v] of Object.entries(value as Record<string, unknown>)) {
-      // 注意：key 也插值（loop 里 `hook_${idx}` 这种），但只对字符串 key 有意义
+      // 注意：key 也插值（loop 里 `hook_${idx}` 这种），但只对字符串 key 有意义；
+      // 插值后的 key 若命中危险键（__proto__/constructor/prototype）→ 直接跳过不写，
+      // 防止经动态 key 注入原型链属性（与 VarStack 防线保持一致）。
       const newKey = interpolate(k, vars, opts);
+      if (DANGEROUS_KEYS.has(newKey)) continue;
       out[newKey] = interpolateDeep(v, vars, opts);
     }
     return out as unknown as T;

package/plugins/workflow-runner/src/index.js

@@ -10,9 +10,9 @@
  *  不污染默认 T-A-O-R 路径。
  * ============================================================
  */
+import { buildBaseSystemPrompt, } from '../../../src/plugin-sdk.js';
 import { findWorkflowByName, listWorkflows } from './loader.js';
 import { runWorkflow } from './runner.js';
-import { buildBaseSystemPrompt, } from '../../../src/plugin-sdk.js';
 /**
  * 把 "/workflow <name> [pos1 pos2 ...] [--input k=v ...]" 拆成 name + 显式 inputs + 位置参数。
  * 简单解析器（不依赖第三方）：
@@ -53,7 +53,20 @@ export function parseWorkflowArgs(rawArgs) {
     }
     return { name, inputs, positional };
 }
-/** 简单 token 化：双引号包裹的整体当一个 token；其它按空白切。 */
+/**
+ * shell 风格 token 化：空白切分 token；引号（' 或 "）在 token **任意位置**（不只开头）
+ * 出现即进入引号模式——引号内的空白不切分、引号字符本身被剥离。
+ *
+ * 修复：`--input topic="带空格的值"`（引号在 `=` 后，token 开头是 `t`）曾被按空白
+ * 硬切 → 值截断 + 引号残留（实测 inputs.topic 带 `"` 尾，positional 里散落被拆的字）。
+ * 现在 token 内任意位置的引号都正确分组。
+ *
+ * 边界语义（被 parseWorkflowArgs.test.ts 冻结）：
+ *   - 未闭合引号：剩余部分并入当前 token（不报错）
+ *   - 双引号内的单引号是字面量（不触发嵌套）
+ *   - 反斜杠不转义（`a\"b` 中 `"` 仍开启引号模式，行为变化但测试用 toBeDefined 容错）
+ *   - 连续空白合并、`""` 产生空 token
+ */
 function tokenizeArgs(s) {
     const out = [];
     let i = 0;
@@ -62,24 +75,27 @@ function tokenizeArgs(s) {
             i++;
         if (i >= s.length)
             break;
-        if (s[i] === '"' || s[i] === "'") {
-            const q = s[i];
-            i++;
-            let acc = '';
-            while (i < s.length && s[i] !== q) {
-                acc += s[i++];
+        let acc = '';
+        while (i < s.length) {
+            const c = s[i];
+            if (c === '"' || c === "'") {
+                // 引号模式：收集到闭合引号，引号内空白保留
+                const q = c;
+                i++;
+                while (i < s.length && s[i] !== q)
+                    acc += s[i++];
+                if (i < s.length)
+                    i++; // 跳过闭合引号
             }
-            if (i < s.length)
+            else if (/\s/.test(c)) {
+                break;
+            }
+            else {
+                acc += c;
                 i++;
-            out.push(acc);
-        }
-        else {
-            let acc = '';
-            while (i < s.length && !/\s/.test(s[i])) {
-                acc += s[i++];
             }
-            out.push(acc);
         }
+        out.push(acc);
     }
     return out;
 }
@@ -103,7 +119,7 @@ function coerceInputs(raw, defs) {
             continue;
         }
         if (def.type === 'number') {
-            const n = parseFloat(rawVal);
+            const n = Number.parseFloat(rawVal);
             if (Number.isNaN(n))
                 throw new Error(`input ${def.name} 必须是数字，收到 "${rawVal}"`);
             out[def.name] = n;
@@ -167,12 +183,17 @@ export async function* runWorkflowFromCommand(rawArgs, opts) {
     //   - 默认：严格按"第 i 个位置参数 ↔ def.inputs[i]"对应。
     // --input k=v 显式优先：已显式的 input 不被位置参数覆盖（对应位置参数被丢弃，会 warn）。
     const overriddenByKV = [];
+    const greedyNotes = [];
     const greedyFirst = def.inputs?.[0]?.greedy === true;
     if (greedyFirst && def.inputs && positional.length > 0) {
         const greedyName = def.inputs[0].name;
         if (greedyName in rawInputs) {
-            // 首参已被 --input 占位 → 整串位置参数被忽略
-            overriddenByKV.push(`${greedyName}=${JSON.stringify(rawInputs[greedyName])} (位置参数 ${JSON.stringify(positional.join(' '))} 被忽略)`);
+            // 首参已由 --input 提供时，位置参数仍按贪婪语义【拼回】首参末尾--
+            // 含空格的值未加引号时会被 shell 拆开（--input topic=A B C 只有 A 进 KV，
+            // B C 散落成位置参数），静默丢弃曾把整段中文调研主题截成半句、
+            // 连锁触发任务仲裁误判 new-task 清空全部产物。
+            rawInputs[greedyName] = [rawInputs[greedyName], ...positional].join(' ');
+            greedyNotes.push(`${greedyName}：--input 值未加引号被拆成 ${positional.length} 段位置参数，已自动拼回（下次请写 --input "${greedyName}=完整值"）`);
         }
         else {
             // 贪婪吸收：整句进首参（空格 join 还原用户原话，不逐位拆映射）
@@ -202,6 +223,13 @@ export async function* runWorkflowFromCommand(rawArgs, opts) {
             message: `⚠ 忽略了 ${dropped.length} 个多余位置参数: ${dropped.map((d) => JSON.stringify(d)).join(' ')}（workflow "${name}" 只声明了 ${def.inputs.length} 个 input）`,
         };
     }
+    // warn：贪婪首参的 --input 值被 shell 拆开后自动拼回
+    if (greedyNotes.length > 0) {
+        yield {
+            type: 'warning',
+            message: `⚠ ${greedyNotes.join('；')}`,
+        };
+    }
     // warn：位置参数被 --input 覆盖
     if (overriddenByKV.length > 0) {
         yield {
@@ -229,6 +257,8 @@ export async function* runWorkflowFromCommand(rawArgs, opts) {
         transientContext: opts.transientContext,
         transientBundle: opts.transientBundle,
         promptCache: opts.promptCache,
+        executeTool: opts.executeTool,
+        toolContext: opts.toolContext,
     };
     // 透传 runWorkflow 的事件，并观察是否出现终结事件（error / interrupted = 失败或中断，
     // 与 gateway broker 的 TERMINAL 判定同一套逻辑）。成功（没见到终结事件）则在末尾补一条
@@ -265,6 +295,6 @@ export async function* runWorkflowsList() {
     lines.push('  /workflow <name> <val>            位置参数（按 inputs 声明顺序，第一个 input 直接写值）');
     lines.push('  /workflow <name>.yaml <val>       .yaml 后缀可省');
     lines.push('  /workflow <name> --input k=v      显式 KV（多 input 或想跳过中间 input 时用）');
-    yield { type: 'text', delta: lines.join('\n') + '\n' };
+    yield { type: 'text', delta: `${lines.join('\n')}\n` };
     yield { type: 'turn_done' };
 }