coderio 0.5.0__tar.gz → 0.6.1__tar.gz

coderio-0.6.1/.github/PULL_REQUEST_TEMPLATE.md

@@ -0,0 +1,8 @@
+## What changed and why
+
+<!-- One focused change per PR. -->
+
+## Checklist
+
+- [ ] Tests pass (`pytest -q`)
+- [ ] I agree to the [Contribution terms](../CONTRIBUTING.md#contribution-terms)

{coderio-0.5.0 → coderio-0.6.1}/.github/workflows/ci.yml

@@ -1,5 +1,10 @@
 name: CI
 
+# Action SHAs are pinned to full commits (external review 2026-09-05, P1-3):
+# mutable tags held write/OIDC permissions, so an upstream re-point would
+# widen the supply-chain attack surface. Bump via a PR that updates the SHA
+# (and its version comment) together.
+
 on:
   push:
     branches: [main]
@@ -10,8 +15,8 @@ jobs:
   lint:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
-      - uses: actions/setup-python@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
         with:
           python-version: "3.12"
       - name: Install ruff
@@ -40,7 +45,7 @@ jobs:
       PYTHONUTF8: "1"
 
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
 
       # uv replaces pip for dependency installation (2026-08-14 migration).
       # uv.lock is a first-class lockfile for both uv and Dependabot: CI gets
@@ -48,7 +53,7 @@ jobs:
       # constraints AND regenerates uv.lock in its PRs — the two mechanisms
       # cooperate instead of fighting (the bare requirements-dev.txt approach
       # had Dependabot produce internally-inconsistent updates; see PR #6).
-      - uses: astral-sh/setup-uv@v7
+      - uses: astral-sh/setup-uv@37802adc94f370d6bfd71619e3f0bf239e1f3b78 # v7
         with:
           python-version: ${{ matrix.python-version }}
           enable-cache: true
@@ -71,10 +76,13 @@ jobs:
         # scan decorative — known CVEs could never turn CI red). If a flagged
         # vuln is a false positive / unfixable, add an explicit --ignore-vuln
         # with a comment rather than re-adding continue-on-error.
+        # --skip-editable: coderio itself is installed editable and a version
+        # not yet on PyPI (chicken-and-egg on every release bump) — the audit
+        # targets the DEPENDENCY set, not the project under test.
         shell: bash
         run: |
           uv pip install pip-audit
-          uv run pip-audit
+          uv run pip-audit --skip-editable
 
       - name: Run tests with coverage
         # Enforces a coverage floor so coverage can't silently regress.

{coderio-0.5.0 → coderio-0.6.1}/.github/workflows/release.yml

@@ -15,6 +15,11 @@ name: Release
 #     Workflow name: release.yml / Environment: pypi
 #   Then create the "pypi" environment in the repo (Settings → Environments).
 
+# Action SHAs are pinned to full commits (external review 2026-09-05, P1-3):
+# mutable tags held write/OIDC permissions, so an upstream re-point would
+# widen the supply-chain attack surface. Bump via a PR that updates the SHA
+# (and its version comment) together.
+
 on:
   push:
     tags:
@@ -41,8 +46,8 @@ jobs:
       PYTHONIOENCODING: utf-8
       PYTHONUTF8: "1"
     steps:
-      - uses: actions/checkout@v7
-      - uses: astral-sh/setup-uv@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
+      - uses: astral-sh/setup-uv@37802adc94f370d6bfd71619e3f0bf239e1f3b78 # v7
         with:
           python-version: "3.12"
           enable-cache: true
@@ -55,17 +60,49 @@ jobs:
     needs: test
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v7
+      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7
 
-      - uses: actions/setup-python@v7
+      - uses: actions/setup-python@5fda3b95a4ea91299a34e894583c3862153e4b97 # v7
         with:
           python-version: "3.12"
 
+      - name: Verify tag matches package version
+        # External review (2026-09-05, P2-2): nothing stopped a mistyped tag
+        # (v0.5.1) from publishing artifacts still named 0.5.0. Gate 1 of 2:
+        # tag ↔ pyproject.toml.
+        run: |
+          TAG_VERSION="${GITHUB_REF_NAME#v}"
+          PYPROJECT_VERSION=$(python -c "import tomllib; print(tomllib.load(open('pyproject.toml','rb'))['project']['version'])")
+          echo "tag=${TAG_VERSION} pyproject=${PYPROJECT_VERSION}"
+          if [ "$TAG_VERSION" != "$PYPROJECT_VERSION" ]; then
+            echo "::error::tag v${TAG_VERSION} does not match pyproject.toml version ${PYPROJECT_VERSION}"
+            exit 1
+          fi
+
       - name: Build wheel + sdist
         run: |
           pip install build
           python -m build
 
+      - name: Verify wheel METADATA matches tag
+        # Gate 2 of 2: the built artifact itself carries the right version
+        # (tag ↔ pyproject ↔ wheel METADATA, external review 2026-09-05).
+        run: |
+          TAG_VERSION="${GITHUB_REF_NAME#v}"
+          WHEEL_VERSION=$(python -c "
+          import glob, re, zipfile
+          whl = glob.glob('dist/*.whl')[0]
+          with zipfile.ZipFile(whl) as z:
+              meta = next(n for n in z.namelist() if n.endswith('METADATA'))
+              text = z.read(meta).decode('utf-8')
+          print(re.search(r'^Version: (.+)$', text, re.MULTILINE).group(1))
+          ")
+          echo "wheel METADATA=${WHEEL_VERSION}"
+          if [ "$TAG_VERSION" != "$WHEEL_VERSION" ]; then
+            echo "::error::wheel METADATA version ${WHEEL_VERSION} does not match tag v${TAG_VERSION}"
+            exit 1
+          fi
+
       - name: Verify wheel in clean venv (full deps)
         # Install the wheel WITH all dependencies (not --no-deps) to verify
         # the full user install path. Then run --help + import the deepagents
@@ -109,7 +146,7 @@ jobs:
         # accidentally dropped Release creation while the header still
         # promised it. dist/ is still in this job's workspace; the publish
         # job downloads the same artifacts separately.
-        uses: softprops/action-gh-release@v3
+        uses: softprops/action-gh-release@efb35369e0ad2afab669f228072c1b0d510eae64 # v3
         with:
           generate_release_notes: true
           files: |
@@ -121,7 +158,7 @@ jobs:
         # the publish job — the old flow REBUILT in publish-pypi, so PyPI
         # could receive a different byte stream than the one verified above
         # (2026-08-28 audit: non-deterministic build gap).
-        uses: actions/upload-artifact@v4
+        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4
         with:
           name: dist
           path: |
@@ -142,11 +179,11 @@ jobs:
       - name: Download verified artifacts
         # No rebuild: publish EXACTLY the wheel/sdist verified in the release
         # job (2026-08-28 audit fix). No checkout needed either.
-        uses: actions/download-artifact@v4
+        uses: actions/download-artifact@d3f86a106a0bac45b974a628896c90dbdf5c8093 # v4
         with:
           name: dist
           path: dist
       - name: Publish to PyPI
-        uses: pypa/gh-action-pypi-publish@release/v1
+        uses: pypa/gh-action-pypi-publish@dc37677b2e1c63e2034f94d8a5b11f265b73ba33 # release/v1
         with:
           attestations: true

{coderio-0.5.0 → coderio-0.6.1}/CHANGELOG.md

@@ -6,6 +6,209 @@ All notable changes to coderio are documented here. The format follows
 `pyproject.toml`'s `[project].version` — `coderio.__version__` reads it via
 `importlib.metadata`.
 
+## [0.6.1] — 2026-10-13
+
+### Fixed — Terminal-Bench 2026-10-10 bench-driven optimization batch
+
+Root-caused from the first Terminal-Bench run (terminal-bench-core 0.1.1,
+40-task deterministic subset, coderio × step-5-preview). Full autopsy,
+protocol, and before/after data: `docs/benchmarks/`.
+
+- **`coderio run --timeout` 超时改为优雅中断**：原实现超时后直接退出
+  进程、daemon 线程在解释器拆解中继续调度 langgraph futures——每个长
+  任务都死于 `RuntimeError: cannot schedule new futures after shutdown`
+  撕毁竞态（bench 尸检：11 个失败中 6 个此模式）。现在 deadline 走
+  HeadlessStream 的 `is_interrupted()`（与 TUI Esc 同一通道），引擎在
+  下一个 chunk 边界干净中断、确定性关闭 stream 生成器；两级 join
+  （预算 + 可配宽限 CODERIO_TIMEOUT_GRACE），不配合的引擎超宽限才硬
+  退 124。实证：password-recovery 从崩溃死亡转通过。
+- **RequirementsRecapGate（harness 第 5 道门）**：多需求 CODE 任务
+  首次宣布 done 时强制一次性需求自审——逐条列出原始需求的验证证据，
+  缺证据的先补。治 bench 尸检中 "80% 完成就宣布 done" 模式（nginx
+  7/8、decommissioning 5/6、vim 4/5）。触发启发式保证单问句任务零开
+  销，一次性不重复。
+- **Terminal-Bench 适配器**：容器内绝对路径调用 coderio（修复 uv 安
+  装后 ~/.local/bin 不在 PATH 的问题）；安装脚本加 PEP 668 override、
+  apt python3-pip 兜底、PyPI 镜像。
+- **基准成绩（terminal-bench-core 0.1.1，40 题确定性子集）**：
+  优化前单轮 5/40（coderio 实跑口径 5/14=36%），修复后单轮 **12/40**
+  （+140%）。细节见 `docs/benchmarks/terminal-bench-core-0.1.1-coderio-2026-10-10.md`
+  + `terminal-bench-scoreboard-2026-10-10.json`。
+
+## [0.6.0] — 2026-09-23
+
+### Added — 2026-09-20/21 change-plan batch (D1-1…D1-4, Phase 2, Phase 3)
+
+- **`/resume` 后重建 harness ground-truth（D1-1）**：`HarnessState` 是
+  middleware 实例属性、不随 checkpointer 持久化，恢复会话后模型引用上一轮
+  读过的文件会被 GroundingGate 强制重读——门看起来在抽风，实际是失明。
+  新增 `harness.seed_read_state()`：resume 时从会话历史扫描 `read_file`
+  工具调用，经 `_norm_path()` 归一化后 seed 进 `content_read_files` 与
+  `not_found_files`（语义与 `observe()` 完全一致：grep/ls 只进 read_files，
+  失败读取进 not_found_files；per-turn 状态刻意不 seed）。`run_deep_agent`
+  每轮接线一次（幂等，新会话 seed 为空）。端到端正反两向测试：恢复会话
+  引用旧文件不再强制续跑；从未读过的文件仍被拦。
+- **多模态 provider 能力门控（D1-2）**：`build_user_content` 此前对所有
+  provider 一律发 Anthropic image block——OpenAI 协议 profile 发图是 guaranteed
+  400 且错误信息不提示真实原因。现在按 `provider_kind` 分流：anthropic 走
+  image block，其余转 OpenAI `image_url` data-URL 形状。kind 解析新增
+  `llm.factory.resolved_provider_kind()`，与 `build_chat_model` 同层解析
+  （named profile → registry → config），修的是 #24 同类"用原始字段代替实际
+  客户端"的 bug 类。
+- **live eval 证据体系（Phase 2）**：`scripts/live_eval/`——10 个真实
+  provider 任务（fix-and-test ×3 / known-bug / read-and-answer ×2 /
+  **对抗性 ×4**：写完不跑就说完成、`echo pytest` 假验证、无据引用等），
+  每个任务自带可自动判定判据（测试通过 / 输出匹配 / Gate 信号），行为断言
+  不断言 prose，结果记录模型版本。运行器复用 `TurnSpec` + 用户自己的
+  ~/.coderio 配置与 key。首轮真实运行（stepfun_api / water18-0910）：
+  **9/10 通过**；唯一 FAIL 经查是任务设计缺陷（对抗前提"模型不会读"不成立
+  ——模型自读了，引用有据，Gate 的沉默是正确的），D3 v2 重跑通过，
+  **修正后任务集 10/10**。报告：`docs/live-eval/results-2026-09-21-water18-0910.md`。
+  同一轮还抓到一次真实 429 限流——正是 mock 测试结构上不可能覆盖的
+  provider 行为。
+- **deepagents 兼容摸底（D1-3）**：PyPI 上 0.8 尚不存在（最新 0.7.15），
+  真正未验证的敞口是 `>=0.7.6` 区间只测过 0.7.6。一次性 venv 装 0.7.15
+  跑全量：**1352 passed / 0 failed**——钉死区间干净，维持
+  `deepagents>=0.7.6,<0.8`，"0.8 发布时重跑摸底"转为显式跟踪项。
+- **上游怪癖命名化（Phase 3）**：`_deepagents_compat.ensure_todos_middleware()`
+  收编 deepagents 0.7.6 移除 `write_todos` 的 re-add，带上游版本、原因、
+  移除条件与测试——"一个上游怪癖 = 一个命名条目"，替代散落的 inline 补丁
+  （2026-07-28 事故的根因模式）。
+- **microcompact middleware（Phase 3）**：本地零模型调用的上下文修剪——
+  估算超上下文窗口 90% 时把最旧 tool result 换成占位串（保留最近 5 个），
+  只操作副本（图状态与 session jsonl 保留全量），节省 <256 token 则不动。
+  推迟 deepagents 的昂贵摘要。仅在 context_limit 已知时启用。
+- **command_policy 黄金判定表（Phase 3）**：`tests/tools/test_command_policy_golden.py`
+  ——50 个 curated 案例（每个规则族的 must-block + 必须放行的正常命令）
+  机械绑定真实 `CommandPolicy`，防"改一个正则静默削弱/过度拦截"的漂移。
+- **可执行架构门（Phase 3）**：`architecture-policy.yaml` +
+  `scripts/architecture/check.py`——把架构文档的分层规则（cli→agent→能力层）
+  与文件行数预算变成 AST 检查；**baseline 语义：只卡新增违规**，存量 4 个
+  超大文件入库不阻塞；`llm→cli` 等 4 处现存向上导入升级为带理由和移除
+  条件的显式例外。含变异测试（注入新违规必须变红）。
+
+### Fixed — 2026-09-23 WhaleDock incident batch
+
+A real-world session (auditing the WhaleDock project, model water18-0910)
+ended with the agent force-pushing the public repo over a private docs
+repo and `rm -rf`-ing the local working tree — then REPLAYING the entire
+destructive sequence after the user's explicit error report. Four fixes,
+root-caused from the session jsonl:
+
+- **Esc 中断后的上下文失忆（P0）**：`_handle_interrupt` 按设计删除整条
+  checkpoint（防悬空 tool_calls），但 `_build_inputs` 只检查"checkpointer
+  对象存在"就只发新消息——中断后的下一轮，模型在空图里只看到重发的
+  那条消息（内容复述了任务意图），把它当全新任务执行，原样重放了整个
+  破坏序列（证据：模型对怒斥的回应是"你好！有什么我可以帮你的？"）。
+  现在 `_build_inputs` 用 `get_tuple` 探测线程是否真有状态，无状态则
+  回退完整会话历史——这才是注释里一直宣称的"falls back to full session
+  history"。
+- **`permission_mode="auto"` 静默映射 FULL（P0）**：旧值 "auto" 被
+  normalize 成 FULL（零确认档），而它字面直觉像 auto_edit——事故
+  session 里 `git push --force`/`rm -rf`/`git clean -fd`/`git reset
+  --hard` 全部零提示执行。现在 loader 与 normalize 双双拒绝该值并给出
+  迁移指引（plan/confirm/auto_edit/full）。宁可启动报错，不要静默
+  FULL。
+- **失控守卫（harness 第 5/6 道防线）**：同一工具同参 ≥3 次 → 结果附
+  带"STOP repeating，用文字说明你要什么"指令 + harness_warn；单 turn
+  execute 超 40 次 → "停下来向用户汇报"指令 + harness_warn。针对事故
+  中 30 条自比较命令的螺旋与 60+ 命令的重放轮。
+- **投诉/重发保护**：用户重发此前消息（空白归一化精确匹配）→ 用户消息
+  附带 harness 注记"这是投诉/重试，不是新任务，先复述理解再动手"；
+  用户消息含 agent 指向的投诉标记（你犯了/我让你/what did you do 等）
+  → 首个工具结果携带"先用文字说明 (1) 错在哪 (2) 修复计划"的一次性
+  强制要求。均为软注入，不阻断。
+- **live eval 新增 R 类鲁棒性任务（R1，失忆回归探针）**：对话专属事实
+  （暗号）必须跨 Esc 中断存活——turn 1 读文件+记暗号后被中断（复现
+  事故的中断位置），turn 2 禁用工具考暗号。暗号只存在于 turn 1 的
+  用户消息里，失忆时任何工具都无法找回，判定无歧义。真实 provider
+  运行（step-3.7-flash，2026-09-24）通过：证据
+  `docs/live-eval/results-2026-09-24-step-3.7-flash.md`。
+- **context_limit 全 profile 覆盖**：探测原本只在 onboarding 时发生——
+  /model 切换、手工加 profile 的模型永远没有窗口数据（microcompact
+  对其静默关闭）。新增 `llm.factory.ensure_context_limit()`：在
+  build_turn_spec 单一 choke point，未知则探测一次（≤4s）、进程内
+  记忆（含失败，防止无该端点的 provider 每轮付探测延迟）、成功则
+  read-modify-write 持久化进 config.toml 的对应 profile/[model]。
+
+### Fixed
+
+- **README 订阅额度表述（D1-4）**：中英 README 的"订阅额度跑本地 agent"改为
+  不依赖智谱白名单的"用你自己的订阅 key 直连官方端点"——白名单口径未经智谱
+  确认前，不替用户主张未验证的计费行为（问询邮件草稿在改动计划文档里）。
+
+### Removed
+
+- **`context_summary` 死代码（Phase 3）**：`session/store.py` 的压缩截断管道
+  自 deepagents 迁移后没有任何生产者（grep 只见读取方/skip 逻辑）——删除
+  函数与调用点，各引用处注释标注为 legacy kind。旧会话文件仍完整加载
+  （不再静默丢弃被摘要取代的消息）。
+
+### Security
+
+- **Corrupt credentials backup permissions**: restrict a newly created
+  `.corrupt` backup before copying potentially recoverable API keys into it.
+  POSIX backups now retain 0600 under a normal 022 umask; exclusive creation
+  preserves the first backup. A real-filesystem regression covers this path.
+
+- **httpx2 2.10.0 → 2.12.0**（连带 httpcore2 → 2.12.0）：PyPI 漏洞库 2026-09-09
+  收录 httpx2 2.10.0 的三条 CVE（CVE-2026-84379 / CVE-2026-84380，修复于 2.11.0；
+  CVE-2026-84382，修复于 2.12.0）。httpx2 经 langchain-openai → openai SDK 进入
+  依赖树（2026-08-14 进锁）；同一份锁 09-08 审计通过、09-09 被全矩阵 6 腿拦下——
+  依赖集合没变，是公告新发布。`uv lock --upgrade-package httpx2` 定向升级后
+  pip-audit 复审 0 漏洞。
+
+### Fixed
+
+- **web_fetch 大小上限在完整下载后才生效（#18）**：`client.get()` 把响应体
+  全量读入内存后，1MB 上限才在结果上执行——它只约束模型看到的文本，不约束
+  传输；发 1.1MB 后暂停的服务会把整个 turn 拖到读超时。改为 `client.stream`
+  有界读取：达到上限立即中止连接，重定向响应体也不再全量读取。真实 socket
+  回归测试覆盖 stall 与完整大响应两种形态。
+- **TUI 权限门装配异常时默认放行（#19）**：`TuiPermissionGate._ask` 在挂载的
+  tui 对象缺少确认接口时返回 True，与 bare gate 的 "can't ask = deny" 契约
+  相反——装配缺陷会静默放行所有破坏性工具。改为 fail-closed 拒绝。
+- **流式 usage 被逐块重复累加（#21）**：流式 provider 把累计 usage 挂在每个
+  chunk 上，langchain 合并 AIMessageChunk 时将其求和——updates 模式的完整
+  消息携带虚高总量（实测 stepfun_api：服务端 16/28，聚合 208/180）。现在
+  `_run_stream` 跟踪每个模型调用最后一次 chunk 级累计值（即厂商总量），
+  `_emit_message` 优先消费它；非流式 provider 回退到完整消息的
+  usage_metadata。`/cost` 与性能门数值恢复可信。
+- **文档残留同步（#20）**：架构文档移除已删除的 `on_truncated`、修正 skills
+  计数（13 = 12 Lion-Skills + 1 bundled）、exit_code 描述改为"结构化已接入、
+  文本回退仍存在"；ROADMAP 移除已完成的 ToolResult 结构化条目。
+- **/setup 完成向导后 0.8 秒崩溃（#25）**：`set_timer` 的回调是返回
+  `dismiss()` AwaitComplete 的 lambda——Textual 的回调调用器会 await 可等待
+  的返回值，而在 screen 自身消息泵里 await dismiss 会抛
+  `ScreenError` 直接崩溃。回调改为不返回值的函数，附回归测试。
+- **命名 profile 激活时模型名显示/落盘错误（#24）**：启动 banner、
+  `coderio config`、会话元数据、/model 提示读的都是 `[model].default` 原始
+  字段而非 profile 解析结果（实测：banner 显示 step-3.7-flash，实际运行
+  water18-0910）。新增 `resolved_model_name()`，5 处展示/落盘统一改用
+  实际模型名（或模型对象的 `model_name`）。实际请求不受影响，纯显示与
+  元数据修复。
+- **⏹ 中断按钮周边暗色色块（#23）**：`$error 20%` / `$accent 20%` 的 alpha
+  色在按钮自身近黑底上合成（toolbar 与 panel 均透明），形成与面板不融合的
+  暗块。改用不透明的 `$accent-muted` / `$error-muted` 主题混合色，附样式
+  断言测试。
+
+- **Live verification scripts**: migrate both harness/deepagent scripts to
+  `TurnSpec`. They still passed removed keyword arguments after the engine
+  refactor and raised TypeError before reaching the provider. Regression
+  tests replace only the model and exercise the real graph and tools.
+
+- **POSIX sandbox fallback timeout**: `job` and degraded `write` now kill the
+  process group before reaping the shell. Previously the timeout killed only
+  the shell, leaving child processes running; degraded timeout results now
+  retain the visible sandbox warning. Real-process regression tests cover the
+  production backend in `off`, `job`, and degraded `write` modes.
+
+- **PyPI 项目页外链为空**：仓库里一直写着项目 URLs，但用的是内联键
+  `project-urls = {...}`——它不是 PEP 621 字段，hatchling 静默忽略，构建出的
+  wheel 没有 Project-URL 头（线上 0.5.0 的 `info.project_urls` 为 null）。
+  改为标准的 `[project.urls]` 子表（Homepage/Repository/Issues/Changelog/
+  Documentation），随下次发版生效。
+
 ## [0.5.0] — 2026-09-04
 
 ### Security — 2026-09-04 third-party audit batch (P0; each fix re-verified by an independent adversarial round, mutation-tested, and runtime-audited)
@@ -816,7 +1019,9 @@ weaker than the documentation's promise. All fixed and double-checked:
 - Rich stream UI + Textual TUI with foldable thinking.
 - jsonl session persistence with compression truncation.
 
-[Unreleased]: https://github.com/Lion-1209/coderio/compare/v0.5.0...HEAD
+[Unreleased]: https://github.com/Lion-1209/coderio/compare/v0.6.1...HEAD
+[0.6.1]: https://github.com/Lion-1209/coderio/compare/v0.6.0...v0.6.1
+[0.6.0]: https://github.com/Lion-1209/coderio/compare/v0.5.0...v0.6.0
 [0.5.0]: https://github.com/Lion-1209/coderio/compare/v0.4.4...v0.5.0
 [0.4.4]: https://github.com/Lion-1209/coderio/releases/tag/v0.4.4
 [0.4.3]: https://github.com/Lion-1209/coderio/releases/tag/v0.4.3

{coderio-0.5.0 → coderio-0.6.1}/CONTRIBUTING.md

@@ -87,3 +87,32 @@ Include:
 - The model and provider you're using.
 - Steps to reproduce.
 - The session file if relevant (`~/.coderio/sessions/*.jsonl`).
+
+## Contribution terms
+
+> 条款要点（中文摘要，以英文为准）：提交 PR 或以任何形式贡献代码/文档，即表示你同意贡献以
+> MIT 授权本项目，并授予项目所有者不可撤销的再许可权利（用于未来可能的商业组件双许可）；
+> 你保留自己贡献的版权。不接受的个别情况请在提交前提出，一般都可以协商。
+
+By submitting a pull request, or posting code, docs, or any other
+contribution to this repository, you agree that:
+
+1. Your contribution is licensed to the project under the repository's
+   current license (MIT), **and**
+2. You grant the project owner (Lion / Lion-1209) a perpetual,
+   irrevocable, worldwide, royalty-free, non-exclusive right to use,
+   reproduce, modify, sublicense (including under other licenses), and
+   distribute your contribution as part of this project or products
+   based on it, **and**
+3. You confirm you have the legal right to submit it (your own work, or
+   work you are authorized to contribute). If you contribute in the
+   course of employment, you confirm your employer approves this
+   submission.
+
+Bug-report material (logs, traces, photos) attached to issues is used
+only to reproduce and fix problems. You keep the copyright to your
+contribution. These terms keep the project permissively licensed while
+preserving the owner's ability to evolve licensing later (e.g.
+dual-licensing around future commercial components). If you need your
+contribution handled under different terms, say so in the issue/PR
+**before** submitting and we'll work it out — most cases are fine.

{coderio-0.5.0 → coderio-0.6.1}/PKG-INFO

@@ -1,7 +1,12 @@
 Metadata-Version: 2.5
 Name: coderio
-Version: 0.5.0
+Version: 0.6.1
 Summary: A skill-driven coding agent — structural harness, foldable thinking TUI, deepagents engine.
+Project-URL: Homepage, https://github.com/Lion-1209/coderio
+Project-URL: Repository, https://github.com/Lion-1209/coderio
+Project-URL: Issues, https://github.com/Lion-1209/coderio/issues
+Project-URL: Changelog, https://github.com/Lion-1209/coderio/blob/main/CHANGELOG.md
+Project-URL: Documentation, https://github.com/Lion-1209/coderio/blob/main/docs/coderio-architecture.md
 Author: coderio contributors
 License-Expression: MIT
 License-File: LICENSE
@@ -81,7 +86,7 @@ Not prompt-level soft rules — a system-level control based on tool-call ground
 
 ### Where coderio fits
 
-- **Your endpoint, no middleman.** Bring the API you already pay for: Zhipu **GLM Coding Plan** and StepFun **Step Plan** connect directly over the Anthropic protocol (subscription quota runs a local agent — no proxy layer), and OpenAI / Anthropic / Ollama / any OpenAI-compatible endpoint work the same way, with multi-profile switching.
+- **Your endpoint, no middleman.** Bring the API you already pay for: Zhipu **GLM Coding Plan** and StepFun **Step Plan** connect directly over the Anthropic protocol with your own subscription key (no proxy layer), and OpenAI / Anthropic / Ollama / any OpenAI-compatible endpoint work the same way, with multi-profile switching.
 - **Enforcement, not vibes.** Verified completion, trust-gated repo config, four-tier permissions, a command blacklist for accident prevention, SSRF-protected web_fetch — each layer isolated in its own module.
 - **A reference you can actually read.** A layered monolith (~16k lines of Python) where harness, permissions, sandbox and trust are separate, individually tested modules — built as a working reference for people building their own agents.
 

{coderio-0.5.0 → coderio-0.6.1}/README.md

@@ -37,7 +37,7 @@ coderio    # 首次启动进入 onboarding 向导（选 provider、填 API key
 
 ### 原生支持中文 Coding Plan
 
-智谱 **GLM Coding Plan** 和阶跃 **StepFun Step Plan** 开箱即用（Anthropic 协议直连）——你的订阅额度跑本地 agent，不需要转发、不需要中间层。同时支持 OpenAI / Anthropic / Ollama / 任意 OpenAI 兼容端点，多 profile 一键切换。
+智谱 **GLM Coding Plan** 和阶跃 **StepFun Step Plan** 开箱即用（Anthropic 协议直连）——用你自己的订阅 key 直连官方端点，不需要转发、不需要中间层。同时支持 OpenAI / Anthropic / Ollama / 任意 OpenAI 兼容端点，多 profile 一键切换。
 
 ### 多模态输入
 
@@ -139,7 +139,7 @@ TUI 内输入 `/` 查看全部命令（/resume 恢复会话、/mode 切权限、
 ## 已知限制
 
 - Windows 写沙箱当前等价于 job 档（真隔离待 ACL，文档如实标注）；沙箱命令经 `cmd /c` 包装，引号/`$VAR` 语义与 Git Bash 直跑不同；**macOS 无 OS 级沙箱**（bubblewrap 是 Linux 专属，macOS 上沙箱档仅作用于 Linux）——对抗性场景请用 VM
-- Linux 未安装 bubblewrap 时 write 沙箱降级为直接执行：模型输出会带 `[sandbox unavailable]` 标注，且 `auto_allow_if_sandboxed` 自动失效（execute 恢复逐条确认）
+- Linux 未安装 bubblewrap 时 write 沙箱降级为直接执行：模型输出会带 `[sandbox unavailable]` 标注，且 `auto_allow_if_sandboxed` 自动失效（execute 恢复逐条确认）；Windows 上该标志也不生效（Job 档不隔离文件写）
 - 黑白名单为防手滑设计（正则可被混淆绕过），对抗性场景用沙箱 / VM
 
 ## 起源

{coderio-0.5.0 → coderio-0.6.1}/README_en.md

@@ -37,7 +37,7 @@ Not prompt-level soft rules — a system-level control based on tool-call ground
 
 ### Where coderio fits
 
-- **Your endpoint, no middleman.** Bring the API you already pay for: Zhipu **GLM Coding Plan** and StepFun **Step Plan** connect directly over the Anthropic protocol (subscription quota runs a local agent — no proxy layer), and OpenAI / Anthropic / Ollama / any OpenAI-compatible endpoint work the same way, with multi-profile switching.
+- **Your endpoint, no middleman.** Bring the API you already pay for: Zhipu **GLM Coding Plan** and StepFun **Step Plan** connect directly over the Anthropic protocol with your own subscription key (no proxy layer), and OpenAI / Anthropic / Ollama / any OpenAI-compatible endpoint work the same way, with multi-profile switching.
 - **Enforcement, not vibes.** Verified completion, trust-gated repo config, four-tier permissions, a command blacklist for accident prevention, SSRF-protected web_fetch — each layer isolated in its own module.
 - **A reference you can actually read.** A layered monolith (~16k lines of Python) where harness, permissions, sandbox and trust are separate, individually tested modules — built as a working reference for people building their own agents.
 

{coderio-0.5.0 → coderio-0.6.1}/ROADMAP.md

@@ -33,8 +33,6 @@ coderio 是单人业余项目，维护者用自有工作时间开发和维护。
 
 - **macOS 沙箱方案**：评估 `sandbox-exec` 落地；若成本过高，则明确宣布
   macOS 暂无 OS 级沙箱并保持文档口径（当前已是如此，但需要一个正式决策）。
-- **ToolResult 结构化**：bash 的 exit_code 目前靠正则从结果字符串里提取
-  （`[exit_code: N]` 标记），上游格式一变解析就断。计划改为结构化结果对象。
 - **Textual 上游跟踪**：Screen layers 滚动渲染 bug 曾在本仓记录；2026-09-02
   于 textual 8.2.8 复测（两种复现）均不可复现——大概率上游已修复，维持跟踪。
 - **确认体验扩展**：文件写入已有 diff 预览；shell 命令确认计划增加风险

{coderio-0.5.0 → coderio-0.6.1}/docs/CONFIG.md

@@ -64,7 +64,7 @@ API key 不写在 config 里，按 `provider_id` 存凭据文件（见下文）
 | `whitelist_mode` | bool，`false` | `true` = 白名单模式：首个 token 不在允许集合里的命令进入确认流程（full 模式仍放行），不是硬阻断 |
 | `allowed_commands` | list[str]，`[]` | 白名单追加（仅 `whitelist_mode = true` 时生效）。如 `["docker", "kubectl"]` |
 | `sandbox_mode` | str，`"off"` | `off` / `job`（进程树资源限制 + 可靠杀死）/ `write`（Linux bubblewrap 真写隔离）。**Windows 上 `write` 目前等价于 `job`**，无文件写隔离——启动时会有显式警告；**macOS 上沙箱档不生效**（无 OS 级沙箱）。沙箱无法提供而降级的场景（如 Linux 未装 bwrap）会在工具输出带 `[sandbox unavailable]` 标注 |
-| `auto_allow_if_sandboxed` | bool，`false` | 沙箱**在本平台确实提供边界**时 execute 免确认。平台感知：macOS / Linux 未装 bwrap / Linux `job` 档这三类"沙箱不生效"的组合下自动失效（execute 恢复逐条确认，并打印原因），不再出现"零隔离 + 零确认"。**Windows 上 `write` 档不隔离写盘**，此组合仍等于移除唯一的门——启动会警告。黑名单始终生效 |
+| `auto_allow_if_sandboxed` | bool，`false` | 仅在沙箱提供**文件写边界**（Linux bwrap write）时 execute 免确认。平台感知：Windows（Job 只限资源不隔离写盘）、macOS、Linux 无 bwrap、Linux `job` 档——这些"无文件写边界"的组合下自动失效（execute 恢复逐条确认，并打印原因）。黑名单始终生效 |
 | `sandbox_fs` | 表（见下） | Linux bubblewrap 文件系统隔离四元组；Windows 忽略 |
 
 ### [tools.sandbox_fs]（四元组，Linux bwrap only）
@@ -90,6 +90,7 @@ allow_read  = ["secrets/public.pem"]           # 从 deny_read 里凿开只读
 | `[skills]` | `harness` | `true` | 四道验证门开关（`false` = agent 想说完成就说完成） |
 | `[skills]` | `repo_url` | Lion-Skills | `coderio skills install` 的默认仓库 |
 | `[session]` | `save_dir` | `"~/.coderio/sessions"` | 会话 jsonl 与 sqlite 检查点的存放目录 |
+| `[session]` | `retention_days` | `0` | 会话 jsonl 超过该天数（按文件 mtime）在启动时清除；`0` = 永不过期（默认，删除用户数据必须显式开启）。会话文件以属主只读权限落盘 |
 | `[cli]` | `theme` | `"dark"` | TUI 主题 |
 | `[cli]` | `show_tool_output` | `true` | TUI 里显示工具输出摘要行 |