sealbridge 0.5.0 → 0.6.0

package/docs/sdk.ja.md

@@ -36,10 +36,12 @@ import だけでは、鍵の作成・招待の読み取り・待受開始・rela
 | 接続の metadata | `WorkerTrustStore`（`listConnections` を含む）, `workerIntakePath` |
 | 接続交換 | `ConnectionService`, `ConnectionRouter`, `StoredConnectionExchange`, `syncConnections` |
 | 所有者の確認コマンド | `connectionsCommand`, `connectionHumanReview` |
-| 保留の審査 | `ConnectionAdmissionReview`, `HeldRequestReview`, `unavailableHeldContentReviewProvider` |
+| 保留の審査 | `ConnectionAdmissionReview`, `HeldRequestReview`, `unavailableHeldContentReviewProvider`, `createRuleBasedContentReviewProvider` |
+| 検証済みタスク内容 | `taskContent` |
 | 検索・招待 | `createSignedAgentCard`, `verifySignedAgentCard`, `createInviteToken`, `inviteTokenFromUri`, `isInviteTarget`, `parseAndVerifyInviteToken`, `discoverAgentCards`, `findDiscoveredAgentCard` |
 | 鍵の生成 | `generateKeyPair` |
 | MCP のホスト | `AcpMcpServer`, `mcpServerCommand`, `parseMcpServerArgs`, `mcpServerOptionsFromArgs` |
+| 内容のルール検査 | `inspectRuleContent`, `CONTENT_INSPECTION_RULES`, `CONTENT_INSPECTION_RULESET_VERSION`, `CONTENT_INSPECTION_RULESET_DIGEST`, `CONTENT_INSPECTION_LIMITS` |
 
 名前付きの型 exports:
 
@@ -57,7 +59,7 @@ import だけでは、鍵の作成・招待の読み取り・待受開始・rela
   `ConnectionRouterOptions`, `ConnectedEvent`, `ConnectionsCommandOptions`。
 - 審査: `HeldRequestReviewOptions`, `HeldContentReviewProvider`,
   `HeldInspectionContext`, `InspectionCompletion`, `ConnectionAdmissionReviewOptions`,
-  `InboundConnectionSummary`。
+  `InboundConnectionSummary`, `HeldTaskContent`。
 - MCP: `AcpMcpServerOptions`, `ApprovalProvider`, `ParsedMcpServerArgs`。
 - core・転送: `KeyPair`, `Json`, `Signed`, `SignedEnvelope`, `Invite`,
   `AgentSkill`, `DiscoveryAgentCard`, `CreateAgentCardOptions`, `SignedAgentCard`,
@@ -126,6 +128,31 @@ JSON の metadata・イベントを受け取ります。`now`・`transportFactor
 任意の `peerDisplayName` を含み、表示名は情報として扱います。組み込み検査の対象は接続情報だけです。
 [受信接続の審査](connections/admission.ja.md#受信接続の審査)を参照してください。
 
+## 保留タスク内容の検証と取り出し
+
+`taskContent(envelope, owner, contentDigest, envelopeDigest?)` は
+`HeldTaskContent` として `{manifest, input, capabilityChains}` だけを返します。
+能力の既定値は `[]` です。復号前に封筒の署名と宛先を検証し、暗号化と自身の `input`
+欄を必須とします。manifest と提案の署名、PROPOSE・連番0・タスク・依頼者・
+ワーカー所有者・内容ダイジェストの対応も検証します。保留レコードの `envelopeDigest`
+を渡すと封筒全体との一致も検証します。招待・接続・転送用の欄は返しません。
+既存 CLI の内部パスからの import を含め、3引数の呼び出しも維持します。
+
+結果は機微な平文をメモリ内に含みます。ログや永続保存に入れず、文字列データとして
+表示してください。所有者向けに表示する呼び出し側は、`HeldRequestReview` による
+検査完了（所有者・内容・封筒に結び付いた受領書を含む）を別途必須にしてください。
+取り出し自体は検査状態を確認せず、開封・接続同意・実行を承認しません。
+検査 provider は検査中にこの関数を使えます。能力チェーンの権限・信頼・現在の grant や
+依頼期限の有効性は検証しません。期限を過ぎた終端タスクも内容を検証でき、
+ライブ受付は従来の別の検証を維持します。構造と署名などの検証であり、
+内容に対するヒューリスティックな検出・評価は行いません。
+
+検証失敗は `INVALID_PROPOSAL`、暗号化入力の失敗は従来の
+`UNENCRYPTED_ENVELOPE_REJECTED` または `ENVELOPE_DECRYPTION_FAILED` です。
+スキーマやネイティブパーサーの詳細は返しません。検査受領書の作成・ファイル書き込み・
+通信は行わず、プロトコル・スキーマ・必須欄・保存形式は変更しません。
+[保留内容の審査](connections/held-content.ja.md)を参照してください。
+
 ## MCP のライフサイクル
 
 専用の stdio MCP プロセスでは `mcpServerCommand(args, identityOptions)` が既存 CLI
@@ -140,3 +167,78 @@ JSON の metadata・イベントを受け取ります。`now`・`transportFactor
 ## 監査の中断証拠
 
 `parseJsonl` / `verifyAudit` は双方署名の形式専用を維持します。`parseAuditJsonl` / `verifyAuditEvidence` は `AuditEvidence`（`AuditBundle | InterruptedAuditBundle`）を扱い、ワーカー単独の形式 1 の終端は、外部ピンが一致しても `UNILATERALLY_CLOSED`・`valid:false` です。`createAuditInterruption`・対応ストア・関連公開型も `sealbridge/sdk` から利用できます。[保存形式・ピン・永続化・依頼者との照合規則（英語）](audit-interruption.md)を参照してください。
+
+## 明示的に選ぶオフラインの内容検査
+
+`inspectRuleContent({manifest,input,capabilityChains?}, limits?, signal?)` は
+core のメモリ上の検査器です。公開する型は `RuleInspectionInput`、
+`RuleInspectionOptions`、`RuleInspectionRule`、`RuleInspectionKind`、
+`RuleInspectionFinding`、`RuleInspectionDiagnosticCode`、`RuleInspectionReport`、
+`RuleBasedContentReviewOptions` です。ルールと走査は core、子プロセス管理は runtime
+が担当します。edge の入口は変えません。
+
+保留中のタスクには、プロバイダを明示的に渡します。
+
+```ts
+import { HeldRequestReview, WorkerNode, createRuleBasedContentReviewProvider } from 'sealbridge/sdk';
+
+const inspectionTimeoutMs = 5000;
+const heldReview = new HeldRequestReview(owner, {
+  ...identityOptions,
+  inspectionTimeoutMs,
+  provider: createRuleBasedContentReviewProvider({
+    timeoutMs: inspectionTimeoutMs,
+    onReport(recordId, report) {
+      // 所有者向けの資料として、メモリ上で文字どおり表示する。
+      renderInspection(recordId, report);
+    },
+  }),
+});
+const worker = new WorkerNode({ ...workerOptions, owner, heldReview });
+```
+
+`owner`・`identityOptions`・`workerOptions`・`renderInspection` は組み込み側が用意します。
+プロバイダの制限時間は review 以下にします。両方の既定は5秒、指定範囲は1〜45,000 ms
+です。中止、どちらかの時間切れ、失敗で子を終了します。コールバックの例外・拒否・中断・
+時間超過でも完了になりません。コールバックへ渡すレポートは複製なので、変更しても受領の
+内容は変わりません。これはホストの処理であり、任意のコードを隔離する口ではありません。
+
+外側の封筒署名、暗号化された宛先、署名付き proposal、manifest、タスク・送信者・
+ワーカーと保留ダイジェストの一致を確認してから、manifest・input・capabilities だけを
+固定のビルド済み検査器へ IPC で渡します。所有者の鍵と通信用の資格情報は渡しません。
+環境変数は許可リストから作り、結果は64 KiBまでとし、中止・時間切れ・失敗で子を終了します。
+平文ファイルやログを書かず、ネットワーク要求・DNS照会・実行・アーカイブの展開をしません。
+カーネルのネットワーク隔離ではなく、固定の信頼したコードです。外部プラグイン、ダウンロード
+したルール、呼び出し側の正規表現・ソースコードは受け付けません。
+
+変更不可の記述子・検出器の版・既定の上限から `CONTENT_INSPECTION_RULESET_DIGEST` を
+作ります。既定は直列化した内容256 KiB、深さ32、ノードとキー合計100,000、文字列ごと
+UTF-8で64 KiB、所見100件、base64復号合計64 KiBです。`limits` では下げることだけができます。
+作業量・出力の上限超過は `error` とし、切り詰めて成功にはしません。manifest の全欄・
+input・capabilities・文字列のキーを JSON Pointer 順で検査します。位置は元の文字列の
+UTF-16単位です。パスは `~0`・`~1` でエスケープし、機微な内容の可能性があるキーは
+`[redacted]` に置き換えます。所見の説明と診断は固定コードで、証拠の抜粋やURLの値は
+含めません。通常のキーは位置に含まれるため、レポートも確認用の資料として扱います。
+
+見えない文字・制御文字、英語と日本語の指示表現、URLの形、秘密を求める語と動詞の
+組み合わせ、資格情報の典型的な形、コードの目印、長いbase64を検出します。復号は上限を
+設けて1回だけ行い、実行形式・アーカイブの先頭バイトなら `block` にします。検出は
+ヒューリスティックです。通常の引用文にも反応し、未対応の表現は通ることがあります。
+資格情報をオンラインで確認しません。`pass` はこのルールで所見が出なかったことを示します。
+`pass`・`warn`・`block` の完了はいずれも既存受領の `complete` になり、`block` は
+所有者への最も強い注意です。実行許可や開封にはならず、その会期の人間による契約承認は
+引き続き必要です。失敗は途中の所見より優先し `error` になり、検査完了前の表示を許可しません。
+
+`contentDigest` は `digest({manifest,input})` です。capabilities と実効上限はレポートと
+正確な封筒を通じて結び付けます。core 単体で上限内の JSON 複製を作る前に失敗した場合は、
+不完全な値として `digest(null)` を返します。エラーレポートを内容の検証に使わないでください。
+runtime は認証できた保留のダイジェストにエラーレポートを結び付けます。既存受領の
+`reportDigest` は `{recordId,ownerDid,kind,contentDigest,envelopeDigest,report}` の
+ハッシュです。保存するのはこのダイジェストだけで、レポート全体は `onReport` のメモリ内に
+とどめます。既存受領に所見はなく、`HeldRequestReview.inspect` はキャッシュ済み完了を返す
+場合があります。再起動後にレポートが必要なら、保存済み封筒と対応する inspection context
+でプロバイダを明示的に再実行します。受領から所見なしと推定せず、ディスクにレポートの
+キャッシュを作らないでください。
+
+task 以外は `unavailable` です。既定の検査、CLI の表示、trusted の受付、MCP、自動承認の
+動作は変わりません。protocol・schema・manifest 必須欄・通信形式・保存形式を変えません。

package/docs/sdk.md

@@ -39,10 +39,12 @@ All values are direct re-exports of existing implementations, without wrappers.
 | Connection metadata | `WorkerTrustStore` (including `listConnections`), `workerIntakePath` |
 | Connection exchange | `ConnectionService`, `ConnectionRouter`, `StoredConnectionExchange`, `syncConnections` |
 | Owner confirmation command | `connectionsCommand`, `connectionHumanReview` |
-| Held review | `ConnectionAdmissionReview`, `HeldRequestReview`, `unavailableHeldContentReviewProvider` |
+| Held review | `ConnectionAdmissionReview`, `HeldRequestReview`, `unavailableHeldContentReviewProvider`, `createRuleBasedContentReviewProvider` |
+| Verified task content | `taskContent` |
 | Discovery and invitations | `createSignedAgentCard`, `verifySignedAgentCard`, `createInviteToken`, `inviteTokenFromUri`, `isInviteTarget`, `parseAndVerifyInviteToken`, `discoverAgentCards`, `findDiscoveredAgentCard` |
 | Key creation | `generateKeyPair` |
 | MCP hosting | `AcpMcpServer`, `mcpServerCommand`, `parseMcpServerArgs`, `mcpServerOptionsFromArgs` |
+| Content rules | `inspectRuleContent`, `CONTENT_INSPECTION_RULES`, `CONTENT_INSPECTION_RULESET_VERSION`, `CONTENT_INSPECTION_RULESET_DIGEST`, `CONTENT_INSPECTION_LIMITS` |
 
 Named type exports:
 
@@ -60,7 +62,7 @@ Named type exports:
   `ConnectionRouterOptions`, `ConnectedEvent`, `ConnectionsCommandOptions`.
 - Review: `HeldRequestReviewOptions`, `HeldContentReviewProvider`,
   `HeldInspectionContext`, `InspectionCompletion`, `ConnectionAdmissionReviewOptions`,
-  `InboundConnectionSummary`.
+  `InboundConnectionSummary`, `HeldTaskContent`.
 - MCP: `AcpMcpServerOptions`, `ApprovalProvider`, `ParsedMcpServerArgs`.
 - Core/transport: `KeyPair`, `Json`, `Signed`, `SignedEnvelope`, `Invite`,
   `AgentSkill`, `DiscoveryAgentCard`, `CreateAgentCardOptions`, `SignedAgentCard`,
@@ -134,6 +136,34 @@ inbound connections. Bind decisions to explicit owner actions. Its
 names are informational data. Built-in inspection covers connection metadata only.
 See [owner admission review](connections/admission.md#owner-admission-review).
 
+## Verified held task content
+
+`taskContent(envelope, owner, contentDigest, envelopeDigest?)` returns a
+`HeldTaskContent` containing only `{manifest, input, capabilityChains}`;
+capabilities default to `[]`. It verifies the outer signature and recipient before
+decrypting, requires encrypted content and an own `input` field, validates the
+manifest and signed proposal, and checks PROPOSE/sequence-zero, task, requester,
+worker-owner and content-digest bindings. Supply the held record's `envelopeDigest`
+to also bind the exact envelope. Invitation, connection and transport fields are
+excluded. The three-argument form remains supported, including the existing CLI
+deep import of `taskContent`.
+
+The result is sensitive plaintext in memory. Keep it out of logs and persistent
+storage; render it as literal data. Owner-facing display callers must separately
+require completed review through `HeldRequestReview` (including its owner/content/
+envelope-bound receipt); extraction itself does not check inspection or authorize
+opening, connection consent or execution. Inspection providers may use the helper
+while inspecting content. It does not validate capability-chain authority, trust,
+or current grant/deadline usability. Expired terminal task content can still be
+verified; live admission retains its separate checks. This is structural and
+cryptographic verification, not a content heuristic or assessment.
+
+Verification failures use `INVALID_PROPOSAL`; encrypted-input failures retain
+`UNENCRYPTED_ENVELOPE_REJECTED` or `ENVELOPE_DECRYPTION_FAILED`. Schema and native
+parser details are excluded. The helper creates no inspection receipt, writes no
+files and makes no network requests. Protocol, schemas, required fields and stored
+record formats are unchanged. See [held-content review](connections/held-content.md).
+
 ## MCP lifecycle
 
 In a dedicated stdio MCP process, `mcpServerCommand(args, identityOptions)` runs the
@@ -147,3 +177,87 @@ is a separate `connectionReview` option. See [MCP integration](../README.md#mcp-
 ## Audit evidence
 
 `parseJsonl` / `verifyAudit` retain their bilateral-only contracts. Use `parseAuditJsonl` / `verifyAuditEvidence` for the `AuditEvidence` union (`AuditBundle | InterruptedAuditBundle`). Worker-only format-1 terminals return `UNILATERALLY_CLOSED` with `valid:false`, even with matching external pins; ordinary result APIs still require bilateral bundles. `createAuditInterruption`, the interruption-aware stores, and public evidence types are exported from `sealbridge/sdk`. See [storage, pins, durability, and requester comparison rules](audit-interruption.md).
+
+## Opt-in offline content rules
+
+`inspectRuleContent({manifest,input,capabilityChains?}, limits?, signal?)` is the
+in-memory core scanner. `RuleInspectionInput`, `RuleInspectionOptions`,
+`RuleInspectionRule`, `RuleInspectionKind`, `RuleInspectionFinding`,
+`RuleInspectionDiagnosticCode`, `RuleInspectionReport`, and
+`RuleBasedContentReviewOptions` are supported SDK type exports. Core owns the
+rules and traversal; runtime owns the child process. The edge entry is unchanged.
+
+For held tasks, inject the provider explicitly:
+
+```ts
+import { HeldRequestReview, WorkerNode, createRuleBasedContentReviewProvider } from 'sealbridge/sdk';
+
+const inspectionTimeoutMs = 5000;
+const heldReview = new HeldRequestReview(owner, {
+  ...identityOptions,
+  inspectionTimeoutMs,
+  provider: createRuleBasedContentReviewProvider({
+    timeoutMs: inspectionTimeoutMs,
+    onReport(recordId, report) {
+      // Supply literal owner-facing review material in memory.
+      renderInspection(recordId, report);
+    },
+  }),
+});
+const worker = new WorkerNode({ ...workerOptions, owner, heldReview });
+```
+
+Here `owner`, `identityOptions`, `workerOptions`, and `renderInspection` belong to
+the embedding host. Keep provider timeout at or below the review timeout; both
+default to 5 seconds and accept 1–45,000 ms. Cancellation or either deadline ends
+inspection and terminates the child. Callback failure, rejection, interruption or
+exceeding that deadline cannot produce completion. The callback receives a copy;
+its mutation cannot change the receipt. It is a host callback, not an isolation
+boundary for arbitrary code.
+
+The provider verifies the outer envelope, encrypted recipient, signed proposal,
+manifest, task/sender/worker and held digests before projecting manifest, input and
+capabilities into the fixed compiled scanner over IPC. Owner keys and transport
+credentials are excluded. It uses an environment allowlist, a 64 KiB result cap,
+and termination on abort, timeout or failure. It writes no plaintext files or
+logs and makes no network requests, DNS lookups, execution or archive extraction.
+This fixed trusted scanner does not provide kernel network isolation or accept
+plugins, downloaded rules, caller regexes or source code.
+
+The immutable descriptors, detector version and default limits determine
+`CONTENT_INSPECTION_RULESET_DIGEST`. Defaults are 256 KiB serialized content,
+depth 32, 100,000 nodes/keys, 64 KiB of UTF-8 per string, 100 findings and 64 KiB total
+decoded base64 bytes. `limits` may lower these local bounds. Exceeding a work or
+result bound is `error`; findings are never silently truncated into success.
+All manifest fields, input, capabilities and string keys are scanned in JSON
+Pointer order. Location offsets count original UTF-16 units; pointer segments use
+`~0`/`~1` escaping, with potentially sensitive keys replaced by `[redacted]`.
+Reports contain fixed note/diagnostic codes and no evidence snippets or URL values.
+Ordinary keys can occur as location segments; treat reports as review material.
+
+The rules check invisible/control characters, English/Japanese instruction phrases,
+URL forms, combined secret requests, recognizable credential forms, code markers
+and long base64. Decoding is bounded and performed once; executable/archive
+prefixes produce `block`. These are heuristics: matching text may be ordinary
+quoted material, unrecognized forms may pass, and credentials are not verified
+online. A `pass` is the absence of findings from these rules. A completed
+`pass`, `warn` or `block` maps to the existing receipt's `complete`, with `block`
+as the strongest owner warning. None authorizes execution, opens a task or
+bypasses the existing live human contract decision. Failures outrank partial
+findings, remain `error`, and preserve the completed-inspection display gate.
+
+`contentDigest` is `digest({manifest,input})`; supplied capabilities and effective
+limits are bound through the report and exact envelope. A standalone core error
+before a bounded JSON snapshot exists uses `digest(null)` as an incomplete digest;
+never use an error report as content verification. The runtime binds error reports
+to the authenticated held digest. The receipt's existing `reportDigest` hashes
+`{recordId,ownerDid,kind,contentDigest,envelopeDigest,report}`. Only this digest is
+persisted; full reports remain in `onReport` memory. Existing cached receipts
+contain no findings: `HeldRequestReview.inspect` can return a cached completion
+without calling the provider. After restart, explicitly call the provider with the
+stored envelope and bound inspection context when a report is needed. Do not
+infer an empty report from a receipt or create a report cache on disk.
+
+Other held kinds return `unavailable`. Default review, CLI display, trusted
+admission, MCP and automatic approval behavior are unchanged. No protocol,
+schema, required manifest field, wire or stored-record format changes are made.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sealbridge",
-  "version": "0.5.0",
+  "version": "0.6.0",
   "private": false,
   "type": "module",
   "license": "Apache-2.0",