minimal-agent 0.12.0 → 0.14.0

package/src/tools/presentresult/presentresult.js

@@ -91,21 +91,12 @@ async function call(input) {
         return { ok: false, error: '网页结果只支持 http 或 https 链接' };
     }
     const hasFailedFile = files.some((file) => file.verification === 'failed');
-    const allFilesVerified = files.length > 0 && files.every((file) => file.verification === 'passed');
-    // `final` means the result is safe to present as the completed delivery. A file
-    // with `not_run` verification is still useful, but it must remain an honest draft.
-    const status = hasFailedFile
-        ? 'draft'
-        : allFilesVerified
-            ? 'final'
-            : files.length === 0 && links.length > 0
-                ? 'final'
-                : 'draft';
-    const warnings = files.some((file) => file.verification === 'not_run')
-        ? ['文件已提交，但尚未通过结构化验证。']
-        : hasFailedFile
-            ? ['至少一个文件未通过结构化验证。']
-            : [];
+    // `not_run` means no *additional* format/content validator was available. It
+    // is not a failed delivery: this tool has already verified that the file exists,
+    // is inside the workspace, and captured its size and SHA-256. Only an explicit
+    // failed validator should turn an otherwise usable result into a warning.
+    const status = hasFailedFile ? 'draft' : 'final';
+    const warnings = hasFailedFile ? ['至少一个文件未通过结构化验证。'] : [];
     const manifest = {
         status,
         summary: input.summary?.trim() || (files.length ? `已提交 ${files.length} 个文件` : `已提交 ${links.length} 个网页结果`),

package/src/tools/presentresult/presentresult.ts

@@ -101,21 +101,12 @@ async function call(input: PresentResultInput): Promise<ToolResult> {
     return { ok: false, error: '网页结果只支持 http 或 https 链接' };
   }
   const hasFailedFile = files.some((file) => file.verification === 'failed');
-  const allFilesVerified = files.length > 0 && files.every((file) => file.verification === 'passed');
-  // `final` means the result is safe to present as the completed delivery. A file
-  // with `not_run` verification is still useful, but it must remain an honest draft.
-  const status = hasFailedFile
-    ? 'draft'
-    : allFilesVerified
-      ? 'final'
-      : files.length === 0 && links.length > 0
-        ? 'final'
-        : 'draft';
-  const warnings = files.some((file) => file.verification === 'not_run')
-    ? ['文件已提交，但尚未通过结构化验证。']
-    : hasFailedFile
-      ? ['至少一个文件未通过结构化验证。']
-      : [];
+  // `not_run` means no *additional* format/content validator was available. It
+  // is not a failed delivery: this tool has already verified that the file exists,
+  // is inside the workspace, and captured its size and SHA-256. Only an explicit
+  // failed validator should turn an otherwise usable result into a warning.
+  const status = hasFailedFile ? 'draft' : 'final';
+  const warnings = hasFailedFile ? ['至少一个文件未通过结构化验证。'] : [];
   const manifest: DeliverableManifest = {
     status,
     summary: input.summary?.trim() || (files.length ? `已提交 ${files.length} 个文件` : `已提交 ${links.length} 个网页结果`),

package/src/tools/read/read.js

@@ -8,6 +8,7 @@ import { join } from 'node:path';
 import { promisify } from 'node:util';
 import { randomUUID } from 'node:crypto';
 import { z } from 'zod';
+import { dlog } from '../../utils/debugLog.js';
 import { toToolParameters } from '../../utils/zodToJson.js';
 import { DEFAULT_MAX_RESULT_SIZE_CHARS, MAX_FILE_SIZE_BYTES, MAX_LINES_TO_READ, } from '../types.js';
 import { fileActivityMetadata } from '../shared/fileActivity.js';
@@ -15,6 +16,7 @@ import { hashFileBytes, recordRead, } from '../shared/fileState.js';
 import { hasBinaryExtension, isBlockedDevicePath, readTextFile, resolveToolPath, } from '../shared/fileUtils.js';
 import { filePathField } from '../shared/schemas.js';
 import { pruneRuntimeOutputs, sessionRuntimeDir, } from '../../session/runtimeStore.js';
+import { detectImageMime, resolveLocalImage, } from '../../images/imageResolver.js';
 const inputSchema = z.object({
     file_path: filePathField('读取'),
     offset: z
@@ -46,6 +48,12 @@ const IMAGE_EXTENSIONS = new Set([
     '.gif',
     '.webp',
     '.bmp',
+    '.tif',
+    '.tiff',
+    '.avif',
+    '.heic',
+    '.heif',
+    '.svg',
 ]);
 const MAX_IMAGE_BYTES = 25 * 1024 * 1024;
 const MAX_NOTEBOOK_BYTES = 32 * 1024 * 1024;
@@ -168,10 +176,15 @@ async function call(input, state, cwd, runtimeIdentity) {
                 };
             }
             const pdfjs = await import('pdfjs-dist/legacy/build/pdf.mjs');
-            const document = await pdfjs.getDocument({
+            // ⚠️ 释放要调**加载任务**的 destroy，不是文档代理的：pdfjs v6 的
+            // PDFDocumentProxy 上没有 destroy（只有 cleanup），写成 document.destroy()
+            // 会在 finally 里抛 TypeError，被外层 catch 成「PDF 解析失败」——
+            // 于是每一次 PDF 读取都失败，且错误文案完全指不向真因。
+            const loadingTask = pdfjs.getDocument({
                 data: new Uint8Array(bytes),
                 useSystemFonts: true,
-            }).promise;
+            });
+            const document = await loadingTask.promise;
             try {
                 const requested = parsePdfPages(input.pages, document.numPages);
                 if (requested.length > 20)
@@ -209,7 +222,7 @@ async function call(input, state, cwd, runtimeIdentity) {
                 };
             }
             finally {
-                await document.destroy().catch(() => undefined);
+                await loadingTask.destroy().catch(() => undefined);
             }
         }
         catch (error) {
@@ -220,16 +233,29 @@ async function call(input, state, cwd, runtimeIdentity) {
             };
         }
     }
-    if (IMAGE_EXTENSIONS.has(ext)) {
+    const imageBytes = info.size <= MAX_IMAGE_BYTES
+        ? await readFile(filePath).catch(() => null)
+        : null;
+    const detectedImage = imageBytes ? detectImageMime(imageBytes) : null;
+    if (IMAGE_EXTENSIONS.has(ext) || detectedImage) {
         if (info.size > MAX_IMAGE_BYTES)
             return { ok: false, error: `图片超过 ${MAX_IMAGE_BYTES} 字节上限` };
-        const bytes = await readFile(filePath);
+        let resolvedImage;
+        try {
+            resolvedImage = await resolveLocalImage(filePath, {
+                maxInputBytes: MAX_IMAGE_BYTES,
+            });
+        }
+        catch (error) {
+            return { ok: false, error: `图片读取失败：${error.message}` };
+        }
+        const bytes = imageBytes ?? await readFile(filePath);
         recordRead(filePath, { contentHash: hashFileBytes(bytes) }, state);
         return {
             ok: true,
-            content: `已读取图片：${filePath}（${info.size} 字节）。图像已附加供视觉模型检查；非视觉模型只能确认文件元数据，不能解读像素内容。`,
+            content: `已读取图片：${filePath}（${info.size} 字节，实际格式 ${resolvedImage.originalMime}）${resolvedImage.transformed ? `；已规范化为 ${resolvedImage.mime}` : ''}。图像已附加供视觉模型直接检查。`,
             metadata: await fileActivityMetadata(filePath, 'read', 'not_run', 'source', cwd),
-            visionImages: [{ source: filePath }],
+            visionImages: [{ source: resolvedImage.path }],
             visionNote: '这是 Read 工具读取的本地图片，请直接检查图像内容。',
         };
     }
@@ -347,10 +373,30 @@ async function renderPdfPages(document, filePath, pages, identity) {
     const dynamicImport = new Function('specifier', 'return import(specifier)');
     let createCanvas;
     try {
-        ({ createCanvas } = await dynamicImport('@napi-rs/canvas'));
+        const napi = await dynamicImport('@napi-rs/canvas');
+        createCanvas = napi.createCanvas;
+        // ⚠️ **必须在 pdfjs 之前把这几个全局占住**，否则 PDF 转图 100% 失败。
+        //
+        // pdfjs 的 legacy 构建在 Node 环境下自己往 globalThis 装一套 Path2D /
+        // DOMMatrix / ImageData polyfill。渲染时它 `new Path2D()` 拿到的是**它自己那份**，
+        // 转手调 `ctx.fill(path, 'evenodd')` 交给 @napi-rs/canvas —— 而 napi 的原生绑定
+        // 只认自己的 `Path`，于是每一页都抛
+        //   `Value is none of these types \`String\`, \`Path\``
+        // 两份 polyfill 撞车，谁都没错，就是不是同一个对象。
+        //
+        // 实测：五种 render 参数组合（canvas / canvasContext / canvas:null / 带不带
+        // standardFontDataUrl）全部同样失败 —— 也就是说 `canvas` 那个类型错**不是**病因，
+        // 修类型并不能让它跑起来。把全局换成 napi 的实现之后第 1 页立刻渲染出 137KB PNG。
+        for (const name of ['Path2D', 'DOMMatrix', 'ImageData']) {
+            const impl = napi[name];
+            if (impl)
+                globalThis[name] = impl;
+        }
     }
-    catch {
-        /* optional adapter */
+    catch (e) {
+        // optional adapter：没装 @napi-rs/canvas 就回落 pdftoppm。
+        // 但「没装」和「装了却加载失败」对用户是两件事，别都吞成前者。
+        dlog('read:pdf', `@napi-rs/canvas 不可用：${e instanceof Error ? e.message : e}`);
     }
     if (createCanvas) {
         try {
@@ -358,8 +404,13 @@ async function renderPdfPages(document, filePath, pages, identity) {
                 const page = await document.getPage(pageNumber);
                 const viewport = page.getViewport({ scale: 2 });
                 const canvas = createCanvas(Math.ceil(viewport.width), Math.ceil(viewport.height));
+                // ⚠️ pdfjs v6 的 RenderParameters 里 `canvas` 是**必填**、`canvasContext`
+                // 反而降级为可选且不推荐；文档明说「若必须用 context，canvas 必须为 null」。
+                // 只给 canvasContext 会类型不过（`bun run typecheck` 唯一的红）。
+                // 运行时它有默认值 `canvas = canvasContext.canvas` 所以不炸 —— 但类型要对。
                 await page.render({
                     canvasContext: canvas.getContext('2d'),
+                    canvas: null,
                     viewport,
                 }).promise;
                 const target = join(outputDir, `${outputPrefix}-page-${pageNumber}.png`);
@@ -369,7 +420,14 @@ async function renderPdfPages(document, filePath, pages, identity) {
             void pruneRuntimeOutputs();
             return images;
         }
-        catch {
+        catch (e) {
+            // ⚠️ 别把这里改回裸 catch。上面那个 Path2D 冲突就是被它藏住的：
+            // Canvas 每页都抛 → images 清空 → 回落 pdftoppm。装了 poppler 的机器照样
+            // 出图（只是分辨率更低、多一次进程），**完全看不出来**；没装 poppler 的机器
+            // （多数 Windows、绿色版 U 盘）则返回 `ok:true` + 0 张图 + 一句
+            // 「视觉渲染不可用（Canvas 与 pdftoppm 均不可用）」——而 Canvas 明明可用，
+            // 只是抛了。错误文案把人指向「装依赖」，真因一个字都查不到。
+            dlog('read:pdf', `Canvas 渲染失败：${e instanceof Error ? e.message : e}`);
             images.length = 0;
         }
     }

package/src/tools/read/read.ts

@@ -10,6 +10,7 @@ import { randomUUID } from 'node:crypto';
 import { z } from 'zod';
 
 import type { Tool, ToolCallContext, ToolResult } from '../../types.js';
+import { dlog } from '../../utils/debugLog.js';
 import { toToolParameters } from '../../utils/zodToJson.js';
 import {
   DEFAULT_MAX_RESULT_SIZE_CHARS,
@@ -34,6 +35,10 @@ import {
   sessionRuntimeDir,
   type RuntimeIdentity,
 } from '../../session/runtimeStore.js';
+import {
+  detectImageMime,
+  resolveLocalImage,
+} from '../../images/imageResolver.js';
 
 const inputSchema = z.object({
   file_path: filePathField('读取'),
@@ -70,6 +75,12 @@ const IMAGE_EXTENSIONS = new Set([
   '.gif',
   '.webp',
   '.bmp',
+  '.tif',
+  '.tiff',
+  '.avif',
+  '.heic',
+  '.heif',
+  '.svg',
 ]);
 const MAX_IMAGE_BYTES = 25 * 1024 * 1024;
 const MAX_NOTEBOOK_BYTES = 32 * 1024 * 1024;
@@ -219,10 +230,15 @@ async function call(
         };
       }
       const pdfjs = await import('pdfjs-dist/legacy/build/pdf.mjs');
-      const document = await pdfjs.getDocument({
+      // ⚠️ 释放要调**加载任务**的 destroy，不是文档代理的：pdfjs v6 的
+      // PDFDocumentProxy 上没有 destroy（只有 cleanup），写成 document.destroy()
+      // 会在 finally 里抛 TypeError，被外层 catch 成「PDF 解析失败」——
+      // 于是每一次 PDF 读取都失败，且错误文案完全指不向真因。
+      const loadingTask = pdfjs.getDocument({
         data: new Uint8Array(bytes),
         useSystemFonts: true,
-      }).promise;
+      });
+      const document = await loadingTask.promise;
       try {
         const requested = parsePdfPages(input.pages, document.numPages);
         if (requested.length > 20)
@@ -279,7 +295,7 @@ async function call(
             : {}),
         };
       } finally {
-        await document.destroy().catch(() => undefined);
+        await loadingTask.destroy().catch(() => undefined);
       }
     } catch (error) {
       const message = (error as Error).message;
@@ -290,14 +306,26 @@ async function call(
     }
   }
 
-  if (IMAGE_EXTENSIONS.has(ext)) {
+  const imageBytes = info.size <= MAX_IMAGE_BYTES
+    ? await readFile(filePath).catch(() => null)
+    : null;
+  const detectedImage = imageBytes ? detectImageMime(imageBytes) : null;
+  if (IMAGE_EXTENSIONS.has(ext) || detectedImage) {
     if (info.size > MAX_IMAGE_BYTES)
       return { ok: false, error: `图片超过 ${MAX_IMAGE_BYTES} 字节上限` };
-    const bytes = await readFile(filePath);
+    let resolvedImage;
+    try {
+      resolvedImage = await resolveLocalImage(filePath, {
+        maxInputBytes: MAX_IMAGE_BYTES,
+      });
+    } catch (error) {
+      return { ok: false, error: `图片读取失败：${(error as Error).message}` };
+    }
+    const bytes = imageBytes ?? await readFile(filePath);
     recordRead(filePath, { contentHash: hashFileBytes(bytes) }, state);
     return {
       ok: true,
-      content: `已读取图片：${filePath}（${info.size} 字节）。图像已附加供视觉模型检查；非视觉模型只能确认文件元数据，不能解读像素内容。`,
+      content: `已读取图片：${filePath}（${info.size} 字节，实际格式 ${resolvedImage.originalMime}）${resolvedImage.transformed ? `；已规范化为 ${resolvedImage.mime}` : ''}。图像已附加供视觉模型直接检查。`,
       metadata: await fileActivityMetadata(
         filePath,
         'read',
@@ -305,7 +333,7 @@ async function call(
         'source',
         cwd,
       ),
-      visionImages: [{ source: filePath }],
+      visionImages: [{ source: resolvedImage.path }],
       visionNote: '这是 Read 工具读取的本地图片，请直接检查图像内容。',
     };
   }
@@ -470,9 +498,28 @@ async function renderPdfPages(
   }>;
   let createCanvas: Awaited<ReturnType<typeof dynamicImport>>['createCanvas'];
   try {
-    ({ createCanvas } = await dynamicImport('@napi-rs/canvas'));
-  } catch {
-    /* optional adapter */
+    const napi = await dynamicImport('@napi-rs/canvas');
+    createCanvas = napi.createCanvas;
+    // ⚠️ **必须在 pdfjs 之前把这几个全局占住**，否则 PDF 转图 100% 失败。
+    //
+    // pdfjs 的 legacy 构建在 Node 环境下自己往 globalThis 装一套 Path2D /
+    // DOMMatrix / ImageData polyfill。渲染时它 `new Path2D()` 拿到的是**它自己那份**，
+    // 转手调 `ctx.fill(path, 'evenodd')` 交给 @napi-rs/canvas —— 而 napi 的原生绑定
+    // 只认自己的 `Path`，于是每一页都抛
+    //   `Value is none of these types \`String\`, \`Path\``
+    // 两份 polyfill 撞车，谁都没错，就是不是同一个对象。
+    //
+    // 实测：五种 render 参数组合（canvas / canvasContext / canvas:null / 带不带
+    // standardFontDataUrl）全部同样失败 —— 也就是说 `canvas` 那个类型错**不是**病因，
+    // 修类型并不能让它跑起来。把全局换成 napi 的实现之后第 1 页立刻渲染出 137KB PNG。
+    for (const name of ['Path2D', 'DOMMatrix', 'ImageData'] as const) {
+      const impl = (napi as Record<string, unknown>)[name];
+      if (impl) (globalThis as Record<string, unknown>)[name] = impl;
+    }
+  } catch (e) {
+    // optional adapter：没装 @napi-rs/canvas 就回落 pdftoppm。
+    // 但「没装」和「装了却加载失败」对用户是两件事，别都吞成前者。
+    dlog('read:pdf', `@napi-rs/canvas 不可用：${e instanceof Error ? e.message : e}`);
   }
   if (createCanvas) {
     try {
@@ -483,8 +530,13 @@ async function renderPdfPages(
           Math.ceil(viewport.width),
           Math.ceil(viewport.height),
         );
+        // ⚠️ pdfjs v6 的 RenderParameters 里 `canvas` 是**必填**、`canvasContext`
+        // 反而降级为可选且不推荐；文档明说「若必须用 context，canvas 必须为 null」。
+        // 只给 canvasContext 会类型不过（`bun run typecheck` 唯一的红）。
+        // 运行时它有默认值 `canvas = canvasContext.canvas` 所以不炸 —— 但类型要对。
         await page.render({
           canvasContext: canvas.getContext('2d') as never,
+          canvas: null,
           viewport,
         }).promise;
         const target = join(
@@ -496,7 +548,14 @@ async function renderPdfPages(
       }
       void pruneRuntimeOutputs();
       return images;
-    } catch {
+    } catch (e) {
+      // ⚠️ 别把这里改回裸 catch。上面那个 Path2D 冲突就是被它藏住的：
+      // Canvas 每页都抛 → images 清空 → 回落 pdftoppm。装了 poppler 的机器照样
+      // 出图（只是分辨率更低、多一次进程），**完全看不出来**；没装 poppler 的机器
+      // （多数 Windows、绿色版 U 盘）则返回 `ok:true` + 0 张图 + 一句
+      // 「视觉渲染不可用（Canvas 与 pdftoppm 均不可用）」——而 Canvas 明明可用，
+      // 只是抛了。错误文案把人指向「装依赖」，真因一个字都查不到。
+      dlog('read:pdf', `Canvas 渲染失败：${e instanceof Error ? e.message : e}`);
       images.length = 0;
     }
   }

package/src/tools/shared/fileUtils.js

@@ -115,7 +115,7 @@ export function applyLineEnding(content, ending) {
 // -------------------- 3.5 二进制扩展名拦截 --------------------
 // 上游 D:\code\kakadeai\constants\files.ts:5-112 BINARY_EXTENSIONS Set 的裁剪版：
 // 故意剔除 .log / .csv / .tsv / .dat / .data / .lock —— 这些经常被人当文本读。
-// 保留纯二进制：图片 / 文档 / 可执行 / 编译产物 / 压缩包 / 多媒体 / 字体 / 数据库 / wasm。
+// 保留纯二进制：图片 / 文档 / 可执行 / 编译产物 / 压缩包 / 多媒体 / 字体 / wasm。
 export const BINARY_EXTENSIONS = new Set([
     '.png', '.jpg', '.jpeg', '.gif', '.webp', '.bmp', '.ico', '.tiff', '.tif',
     '.pdf', '.doc', '.docx', '.xls', '.xlsx', '.ppt', '.pptx',
@@ -124,7 +124,6 @@ export const BINARY_EXTENSIONS = new Set([
     '.zip', '.tar', '.gz', '.bz2', '.7z', '.rar', '.iso',
     '.mp3', '.mp4', '.mov', '.avi', '.mkv', '.wav', '.flac', '.ogg',
     '.ttf', '.otf', '.woff', '.woff2',
-    '.sqlite', '.sqlite3', '.db',
     '.psd', '.ai', '.bin', '.wasm',
 ]);
 export function hasBinaryExtension(filePath) {

package/src/tools/shared/fileUtils.ts

@@ -152,7 +152,7 @@ export function applyLineEnding(content: string, ending: LineEndingType): string
 
 // 上游 D:\code\kakadeai\constants\files.ts:5-112 BINARY_EXTENSIONS Set 的裁剪版：
 // 故意剔除 .log / .csv / .tsv / .dat / .data / .lock —— 这些经常被人当文本读。
-// 保留纯二进制：图片 / 文档 / 可执行 / 编译产物 / 压缩包 / 多媒体 / 字体 / 数据库 / wasm。
+// 保留纯二进制：图片 / 文档 / 可执行 / 编译产物 / 压缩包 / 多媒体 / 字体 / wasm。
 export const BINARY_EXTENSIONS = new Set<string>([
   '.png', '.jpg', '.jpeg', '.gif', '.webp', '.bmp', '.ico', '.tiff', '.tif',
   '.pdf', '.doc', '.docx', '.xls', '.xlsx', '.ppt', '.pptx',
@@ -161,7 +161,6 @@ export const BINARY_EXTENSIONS = new Set<string>([
   '.zip', '.tar', '.gz', '.bz2', '.7z', '.rar', '.iso',
   '.mp3', '.mp4', '.mov', '.avi', '.mkv', '.wav', '.flac', '.ogg',
   '.ttf', '.otf', '.woff', '.woff2',
-  '.sqlite', '.sqlite3', '.db',
   '.psd', '.ai', '.bin', '.wasm',
 ]);
 

package/src/tools/shared/permanentDeleteGuard.js

@@ -1,17 +1,48 @@
-/** Minimal recoverability boundary for model-issued shell commands. */
+/**
+ * 永久删除守卫：把「绕过回收站的删除」从 shell 里挡回去，逼模型改用可恢复的 Trash。
+ *
+ * ⚠️ 可靠性边界（与 src/irreversible/rules.ts 同一标准，别高估它）：
+ * 这是**防模型误删**的护栏，不是对抗性沙盒。判据是对命令文本做正则匹配，
+ * 因此下列写法一律漏过，且**有意不追**（越追越像军备竞赛，误伤率先爆）：
+ *   · 绝对路径调用    /bin/rm -rf x
+ *   · 间接执行        xargs rm / find -exec rm / echo $(rm x)
+ *   · 换语言          python -c "import shutil; shutil.rmtree('x')"
+ *   · 跨 shell 转发   cmd 里 powershell -c "Remove-Item x"
+ * 真正兜底的是「模型没有恶意」+ Trash 提供了更顺手的替代路径，不是这张正则表。
+ *
+ * ⚠️ `shell` 必须是**实际执行命令的那个 shell**，不是调用它的工具名。
+ * Bash 工具在 win32 找不到 Git Bash 时会回落 cmd.exe（见 tools/bash/bash.ts 的
+ * WIN_BASH 探测，且它的 description 会主动告诉模型「这里是 cmd」），那时模型写的是
+ * cmd 语法（del / rd），若仍按 'bash' 匹配 —— 三层防护全部落空、文件直接永久丢失。
+ */
+/** POSIX shell：删除动词在命令位置（串首或 ; & | 换行之后）。 */
 const BASH_DELETE = [
     /(?:^|[;&|\n])\s*(?:sudo\s+)?(?:rm|unlink|rmdir)\b/i,
     /(?:^|[;&|\n])\s*find\b[^\n;&|]*\s-delete\b/i,
 ];
+/**
+ * cmd.exe：del / erase 删文件，rd / rmdir 删目录，一律不进回收站。
+ * 分隔符**必须含 `&`** —— cmd 用 `&` / `&&` 串命令，这正是 POWERSHELL_DELETE
+ * 的分隔符类 `[;|\n]` 不能直接复用的原因。
+ * `rm` 一并收进来：Git 的 usr\bin 可能在 PATH 上（此时 rm.exe 可用），而 cmd 本身没有 rm。
+ */
+const CMD_DELETE = [/(?:^|[;&|\n])\s*(?:del|erase|rd|rmdir|rm)\b/i];
 const GIT_CLEAN = /(?:^|[;&|\n])\s*git\b[^\n;&|]*\bclean\b([^\n;&|]*)/i;
 const POWERSHELL_DELETE = [
     /(?:^|[;|\n])\s*(?:Remove-Item|Clear-RecycleBin)\b/i,
     /(?:^|[;|\n])\s*(?:del|erase|rd|rmdir|rm|ri)\b/i,
     /\.Delete\s*\(/i,
 ];
+const RULES = {
+    bash: BASH_DELETE,
+    cmd: CMD_DELETE,
+    powershell: POWERSHELL_DELETE,
+};
 export function permanentDeleteReason(command, shell) {
-    let hit = (shell === 'bash' ? BASH_DELETE : POWERSHELL_DELETE).some((pattern) => pattern.test(command));
-    if (!hit && shell === 'bash') {
+    let hit = RULES[shell].some((pattern) => pattern.test(command));
+    // `git clean -f` 三种 shell 里都能跑、都永久删除，所以不按 shell 分支。
+    // `-n` / `--dry-run` 是只读预演，必须放行（否则模型连"先看看会删什么"都做不到）。
+    if (!hit) {
         const gitClean = GIT_CLEAN.exec(command);
         const options = gitClean?.[1] ?? '';
         const dryRun = /--dry-run\b/.test(options) ||

package/src/tools/shared/permanentDeleteGuard.ts

@@ -1,22 +1,59 @@
-/** Minimal recoverability boundary for model-issued shell commands. */
+/**
+ * 永久删除守卫：把「绕过回收站的删除」从 shell 里挡回去，逼模型改用可恢复的 Trash。
+ *
+ * ⚠️ 可靠性边界（与 src/irreversible/rules.ts 同一标准，别高估它）：
+ * 这是**防模型误删**的护栏，不是对抗性沙盒。判据是对命令文本做正则匹配，
+ * 因此下列写法一律漏过，且**有意不追**（越追越像军备竞赛，误伤率先爆）：
+ *   · 绝对路径调用    /bin/rm -rf x
+ *   · 间接执行        xargs rm / find -exec rm / echo $(rm x)
+ *   · 换语言          python -c "import shutil; shutil.rmtree('x')"
+ *   · 跨 shell 转发   cmd 里 powershell -c "Remove-Item x"
+ * 真正兜底的是「模型没有恶意」+ Trash 提供了更顺手的替代路径，不是这张正则表。
+ *
+ * ⚠️ `shell` 必须是**实际执行命令的那个 shell**，不是调用它的工具名。
+ * Bash 工具在 win32 找不到 Git Bash 时会回落 cmd.exe（见 tools/bash/bash.ts 的
+ * WIN_BASH 探测，且它的 description 会主动告诉模型「这里是 cmd」），那时模型写的是
+ * cmd 语法（del / rd），若仍按 'bash' 匹配 —— 三层防护全部落空、文件直接永久丢失。
+ */
+
+/** POSIX shell：删除动词在命令位置（串首或 ; & | 换行之后）。 */
 const BASH_DELETE = [
   /(?:^|[;&|\n])\s*(?:sudo\s+)?(?:rm|unlink|rmdir)\b/i,
   /(?:^|[;&|\n])\s*find\b[^\n;&|]*\s-delete\b/i,
 ];
+
+/**
+ * cmd.exe：del / erase 删文件，rd / rmdir 删目录，一律不进回收站。
+ * 分隔符**必须含 `&`** —— cmd 用 `&` / `&&` 串命令，这正是 POWERSHELL_DELETE
+ * 的分隔符类 `[;|\n]` 不能直接复用的原因。
+ * `rm` 一并收进来：Git 的 usr\bin 可能在 PATH 上（此时 rm.exe 可用），而 cmd 本身没有 rm。
+ */
+const CMD_DELETE = [/(?:^|[;&|\n])\s*(?:del|erase|rd|rmdir|rm)\b/i];
+
 const GIT_CLEAN = /(?:^|[;&|\n])\s*git\b[^\n;&|]*\bclean\b([^\n;&|]*)/i;
+
 const POWERSHELL_DELETE = [
   /(?:^|[;|\n])\s*(?:Remove-Item|Clear-RecycleBin)\b/i,
   /(?:^|[;|\n])\s*(?:del|erase|rd|rmdir|rm|ri)\b/i,
   /\.Delete\s*\(/i,
 ];
+
+export type ShellKind = 'bash' | 'cmd' | 'powershell';
+
+const RULES: Readonly<Record<ShellKind, RegExp[]>> = {
+  bash: BASH_DELETE,
+  cmd: CMD_DELETE,
+  powershell: POWERSHELL_DELETE,
+};
+
 export function permanentDeleteReason(
   command: string,
-  shell: 'bash' | 'powershell',
+  shell: ShellKind,
 ): string | undefined {
-  let hit = (shell === 'bash' ? BASH_DELETE : POWERSHELL_DELETE).some(
-    (pattern) => pattern.test(command),
-  );
-  if (!hit && shell === 'bash') {
+  let hit = RULES[shell].some((pattern) => pattern.test(command));
+  // `git clean -f` 三种 shell 里都能跑、都永久删除，所以不按 shell 分支。
+  // `-n` / `--dry-run` 是只读预演，必须放行（否则模型连"先看看会删什么"都做不到）。
+  if (!hit) {
     const gitClean = GIT_CLEAN.exec(command);
     const options = gitClean?.[1] ?? '';
     const dryRun =

package/src/tools/shared/toolOutputStore.js

@@ -15,6 +15,10 @@ export class ToolOutputStore {
     diskBytes = 0;
     bytes = 0;
     complete = true;
+    /** finish() 已调用：hash 已 digest，此后不能再 update（见 append 头注）。 */
+    sealed = false;
+    /** finish() 的结果缓存 —— digest 只能算一次，二次调用必须拿到同一份。 */
+    settled;
     path;
     constructor(identity) {
         const dir = join(sessionRuntimeDir(identity), 'outputs');
@@ -22,6 +26,18 @@ export class ToolOutputStore {
         this.path = join(dir, `procout_${randomUUID()}.log`);
     }
     append(source, value) {
+        // ⚠️ finish() 之后到达的迟到数据：**绝不能抛**。
+        //
+        // `bash.ts` 的 spawnRunner 按 `'exit'` 结算（不能等 `'close'`，否则被 daemon
+        // 继承的 pipe 会把它拖成无限挂），代价就是 exit 之后仍可能有 chunk 到达。
+        // 那时 hash 已经 digest 过，`hash.update()` 会抛 ERR_CRYPTO_HASH_FINALIZED，
+        // 而这个抛错发生在 stdout 的 'data' 回调里 —— 没有任何人接得住。
+        //
+        // 正确做法是如实记成不完整（数据确实没被算进已报出的结果），然后安静返回。
+        if (this.sealed) {
+            this.complete = false;
+            return true;
+        }
         const raw = Buffer.from(value);
         if (this.bytes >= MAX_BYTES) {
             this.complete = false;
@@ -70,6 +86,11 @@ export class ToolOutputStore {
         this.stream?.once('drain', callback);
     }
     async finish() {
+        // 幂等：digest 只能算一次。二次调用返回同一份快照，但 `complete` 取最新值 ——
+        // 如果之间来过迟到数据，调用方有权知道这份输出其实不完整了。
+        if (this.settled)
+            return { ...this.settled, complete: this.complete };
+        this.sealed = true;
         if (this.stream) {
             try {
                 await new Promise((resolve, reject) => {
@@ -85,7 +106,7 @@ export class ToolOutputStore {
         const preview = (head, tail) => this.stream && tail && !head.endsWith(tail)
             ? `${head}\n... [middle stored on disk] ...\n${tail}`
             : head;
-        return {
+        this.settled = {
             stdout: preview(this.stdout, this.stdoutTail),
             stderr: preview(this.stderr, this.stderrTail),
             ...(this.stream ? { path: this.path } : {}),
@@ -93,5 +114,6 @@ export class ToolOutputStore {
             sha256: this.stream ? this.diskHash.digest('hex') : this.hash.digest('hex'),
             complete: this.complete,
         };
+        return this.settled;
     }
 }

package/src/tools/shared/toolOutputStore.ts

@@ -32,6 +32,10 @@ export class ToolOutputStore {
   private diskBytes = 0;
   private bytes = 0;
   private complete = true;
+  /** finish() 已调用：hash 已 digest，此后不能再 update（见 append 头注）。 */
+  private sealed = false;
+  /** finish() 的结果缓存 —— digest 只能算一次，二次调用必须拿到同一份。 */
+  private settled?: StoredOutput;
   readonly path: string;
   constructor(identity: RuntimeIdentity) {
     const dir = join(sessionRuntimeDir(identity), 'outputs');
@@ -39,6 +43,18 @@ export class ToolOutputStore {
     this.path = join(dir, `procout_${randomUUID()}.log`);
   }
   append(source: 'stdout' | 'stderr', value: Buffer | string): boolean {
+    // ⚠️ finish() 之后到达的迟到数据：**绝不能抛**。
+    //
+    // `bash.ts` 的 spawnRunner 按 `'exit'` 结算（不能等 `'close'`，否则被 daemon
+    // 继承的 pipe 会把它拖成无限挂），代价就是 exit 之后仍可能有 chunk 到达。
+    // 那时 hash 已经 digest 过，`hash.update()` 会抛 ERR_CRYPTO_HASH_FINALIZED，
+    // 而这个抛错发生在 stdout 的 'data' 回调里 —— 没有任何人接得住。
+    //
+    // 正确做法是如实记成不完整（数据确实没被算进已报出的结果），然后安静返回。
+    if (this.sealed) {
+      this.complete = false;
+      return true;
+    }
     const raw = Buffer.from(value);
     if (this.bytes >= MAX_BYTES) {
       this.complete = false;
@@ -83,6 +99,10 @@ export class ToolOutputStore {
     this.stream?.once('drain', callback);
   }
   async finish(): Promise<StoredOutput> {
+    // 幂等：digest 只能算一次。二次调用返回同一份快照，但 `complete` 取最新值 ——
+    // 如果之间来过迟到数据，调用方有权知道这份输出其实不完整了。
+    if (this.settled) return { ...this.settled, complete: this.complete };
+    this.sealed = true;
     if (this.stream) {
       try {
         await new Promise<void>((resolve, reject) => {
@@ -98,7 +118,7 @@ export class ToolOutputStore {
       this.stream && tail && !head.endsWith(tail)
         ? `${head}\n... [middle stored on disk] ...\n${tail}`
         : head;
-    return {
+    this.settled = {
       stdout: preview(this.stdout, this.stdoutTail),
       stderr: preview(this.stderr, this.stderrTail),
       ...(this.stream ? { path: this.path } : {}),
@@ -106,5 +126,6 @@ export class ToolOutputStore {
       sha256: this.stream ? this.diskHash!.digest('hex') : this.hash.digest('hex'),
       complete: this.complete,
     };
+    return this.settled;
   }
 }