feat(security): 代审口径 A 落地（仅子代理发起的敏感调用做实质判定 + fail-closed + 理由进审计与小字）

cmd/cyrene/wire_runtime.go

@@ -7,7 +7,6 @@ import (
 	"strings"
 
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/capability/registry"
-	"git.yeij.top/AskaEth/Cyrene_v2/internal/capability/restrict"
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/config"
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/config/runtimeconfig"
 	"git.yeij.top/AskaEth/Cyrene_v2/internal/logger"
@@ -275,7 +274,15 @@ func (a *app) wireRuntime() error {
 	// 工具准入门上经主代理代审（复用 orchestration 的 Approver），再由网关把
 	// 结果落进 audit_logs 并广播 design/11 §4 的小字。同一个 Approver 也交给
 	// 编排层（子代理代审），使两条路径共用一处审计。
-	approver := audit.NewApprover(a.log)
+	//
+	// 代审的实质判定（主人 2026-10-05 裁决的口径 A）：来源解析读编排层挂在
+	// 子代理 Run 上的任务目标（loop.SubagentTaskFrom，结构化元数据，绝不猜），
+	// 判定器用既有审查模型范式（services/approvalreview，同一个 model.Adapter）。
+	// 两者都不在时保持既有行为：代审只记录、不判定。
+	approver := audit.NewApprover(a.log,
+		audit.WithSubagentOrigin(loop.SubagentTaskFrom),
+		audit.WithCallJudge(approvalJudgeFor(a.modelAdapter, a.log)),
+	)
 	approvalGate := a.buildApprovalGate(approver)
 
 	a.loop = loop.New(loop.Options{
@@ -362,80 +369,6 @@ func (a *app) attachToolPolicyStore() {
 	}
 }
 
-// buildApprovalGate 构建敏感操作代审门（design/11 §4；裁决 13.4.3）。
-//
-// 归属解析取 Run 上下文里的会话 id 与该 turn 的角色名，使前端小字既投到
-// 正确的会话、也写明是谁想动手（design/11 §4 的「xxx(角色名)」）。会话 id 用
-// loop.FlowOwnerFromContext：子代理的敏感调用归属到**派生它的那个会话**
-// （与 design/19 §2 的 flow 归属同一口径），所以小字出现在主人正在看的对话里，
-// 而不是一个没人查看的子代理 id 下。
-func (a *app) buildApprovalGate(approver *audit.Approver) *restrict.Gate {
-	return restrict.NewGate(
-		auditReviewer{approver: approver},
-		func(ctx context.Context) (string, string) {
-			return loop.FlowOwnerFromContext(ctx), a.approvalActor(ctx)
-		},
-		restrict.WithGateLogger(a.log),
-	)
-}
-
-// toolAdmissionHooks 构建 loop 的工具准入钩子（design/11 §4；裁决 13.4.3）：
-// 敏感调用先经主代理代审，代审记录交给网关落 audit_logs 并广播前端小字；
-// 未获代审的调用以软结果回灌给模型（绝不执行）。非敏感调用直接放行。
-//
-// 只装 CallAdmit：敏感与否取决于**该次调用的参数**（file 的 read 自主、
-// write 代审），批量钩子（BatchAdmit）看不到参数，做不出这个区分。
-// 组合根按 loop 的既有契约装配，因此这条链也覆盖子代理的敏感调用
-// （编排层派生的 loop 共享同一组钩子）。
-func (a *app) toolAdmissionHooks(gate *restrict.Gate) loop.ToolLoopHooks {
-	return loop.ToolLoopHooks{
-		CallAdmit: func(ctx context.Context, call agent.ToolCall) *loop.ToolCallVeto {
-			decision := gate.Admit(ctx, call.Name, call.Args)
-			if decision.Approval != nil {
-				// a.gw 在 wireFrontend 才建好；RecordApproval 对 nil 接收者安全。
-				a.gw.RecordApproval(ctx, *decision.Approval)
-			}
-			if !decision.Allow {
-				return &loop.ToolCallVeto{Block: true, Reason: decision.Reason}
-			}
-			return nil
-		},
-	}
-}
-
-// auditReviewer 把 orchestration/audit 的 Approver 适配成代审门的 Reviewer
-// （design/11 §4；裁决 13.4.3 要求复用该 Approver，而不是另起一套代审）。
-// 它只把 Approval 收敛成 (allowed, error)，前端小字文案仍由
-// restrict 复用 audit.Approval.Explain 的固定句式产出。
-type auditReviewer struct{ approver *audit.Approver }
-
-// ReviewAndApprove 执行一次代审；approver 缺席时复用编排层的 ErrNoApprover
-// （门据此 fail-closed 拦截敏感操作，绝不静默放行）。
-func (r auditReviewer) ReviewAndApprove(ctx context.Context, actor, action, describe string) (bool, error) {
-	if r.approver == nil {
-		return false, fmt.Errorf("review-and-approve: %w", orchestration.ErrNoApprover)
-	}
-	ap, err := r.approver.ReviewAndApprove(ctx, actor, action, describe)
-	if err != nil {
-		return false, fmt.Errorf("review-and-approve: %w", err)
-	}
-	return ap.Allowed, nil
-}
-
-// approvalActor 解析代审小字里的「谁想动手」：该 turn 绑定的角色名，
-// 未绑定时回落到默认角色；角色名解析不出来就用角色 id（小字宁可用 id
-// 也要说清是谁，但绝不编造一个名字）。
-func (a *app) approvalActor(ctx context.Context) string {
-	pid := loop.SessionEnvFrom(ctx).PersonaID
-	if pid == "" {
-		pid = a.defaultPersonaID()
-	}
-	if name := a.personaName(pid); name != "" {
-		return name
-	}
-	return pid
-}
-
 // buildCapacity / onCapacity 以及 capacity 的 JSON+TTL 解析都在
 // wire_capacity.go（AGENTS §10 文件 ≤500 行）。