140 Commits

Include renames

Author	SHA1	Message	Date
AskaEth	9d28477e3a	fix(wire): inject speak VoiceSynth/VoiceStore into loop options ... M57/M58 三片 scope 均不含 cmd/cyrene——组合根接线漏了， voiceEnabled() 恒 false 导致 speak 从不被广告（她说不能发语音）。 synth 与网关同配置独立装配（emotionTTS 未启用时 nil=不广告）； store 与 channelbridge 同目录同表（引用计数单一事实来源）。	2026-10-28 17:38:06 +08:00
AskaEth	67d7e4bd1b	fix(voice): M47 r2 复审两条 P2 —— 关闭期取消不拉起、非法探活地址不启用 ... 复审 p2-2items（P2-1 跨进程去重按裁决只报不修）： (a) **关闭期 ctx 取消 ≠ 没起**：后端关闭时 ctx 被取消，探活返回 `context.Canceled`；原实现把它判成"没起" ⇒ **在关闭过程中拉起 TTS**。 现在按 `errors.Is(err, context.Canceled)` 判为跳过：不记 markAttempt（不消耗 冷却）、不拉、也不 WARN 成故障。探活**自身超时**（DeadlineExceeded）仍是"没起"， 照常拉 —— 两者用 errors.Is 区分，不按文案。新增 OutcomeCanceled。 (b) **探活地址必须合法**：写成 `127.0.0.1:9880`（漏 scheme）会让 http.NewRequest 每次都失败 ⇒「没起」永远成立 ⇒ 每次启动都拉一次进程。新增 `ttslaunch.ValidateProbeURL`（url.Parse + scheme ∈ {http,https} + host 非空）： - `New` 里校验 ⇒ 不合法即 WARN + 不启用（兜底闸，覆盖任何调用方）； - 组合根 `validateResolvedProbeURL` 里同一把闸再校验一次，WARN 带 `probe_url_source` 指明该改哪个文件 —— **baseUrl 兜底那条路也被覆盖**。 顺带按复审记录项 1 修正 `Proxy: nil` 的注释：net/http 本来就不给回环 IP 走代理， 这行真正保护的是 probeUrl 被配成主机名的情况（原注释高估了它）。 用例（均变异验证打红）： - TestCheck_ParentCanceled_SkipsLaunch：取消 ⇒ OutcomeCanceled + 0 次拉起 + 不进冷却 （变异：跳过改回"没起" ⇒ Outcome=launched、marker 落地） - TestCheck_ProbeOwnTimeout_StillLaunches：探活自身超时仍照常拉 - TestNew_InvalidProbeURL_Disables：7 种非法形状 ⇒ 不接单、0 次拉起、有 WARN - TestStartVoiceTTSLaunch_{ShutdownCancelDoesNotLaunch,InvalidProbeURLStaysOff, InvalidBaseURLFallbackStaysOff}：组合根三条，均用真 .bat marker 观察"有没有拉起"	2026-10-26 19:03:12 +08:00
AskaEth	faf18afb91	feat(voice): M47 r1 探活地址单向回退到 voice-tts.json 的 baseUrl（组合根） ... 塔 2026-10-26 裁决：主人若把合成端口从 9880 改掉，不该还要记得两处一起改。 回退只做一向，且只发生在组合根（包内不互相读配置）： 1. voice-tts-launch.json 显式写了 probeUrl ⇒ 以它为准，**永不**被别的键压过； 2. 没写 ⇒ 用 voice-tts.json 的 baseUrl（同一个服务）； 3. 两者都空（或 voice-tts.json 坏掉）⇒ 默认 http://127.0.0.1:9880。 启动 Info 行同时打印 probe_url 与 probe_url_source（voice-tts-launch.json / voice-tts.json / default），一眼看出用的是哪个源。反向（拿这里地址去改合成面） 一律不做。VoiceTTSTuning 坏掉时只回落默认地址并 WARN，**不**因此关掉自启。 新增三条用例（均已变异验证打红）： - ProbeURLInheritedFromVoiceTTS：真让探活打到自定义端口（hits>0），摘掉回退即红 - ProbeURLFallsBackToDefault：两者都空 ⇒ 9880 + source=default - ExplicitProbeURLWins：显式压过 baseUrl，且 baseUrl 一次都不被探	2026-10-26 18:50:52 +08:00
AskaEth	6906d274fc	feat(voice): M47 后端启动后探活 emotionTTS，未起则异步拉起一键启动脚本 ... 主人 2026-10-24：「tts启动脚本在这 ...\一键启动.bat，以后启动后端可以顺便检测 一下如果TTS没起就顺带启一下」。本片只做「启动时顺带探一下」，**默认关**（主人 早前说过「开机自启先不急 后面做」），未开开关时连探活都不发。 - 新包 internal/runtime/voice/ttslaunch：探 http://127.0.0.1:9880（毫秒级超时）， 已在跑什么都不做；没起则异步起脚本（cmd.exe /c 传参，不拼命令行字符串） - 防重复：in-flight 单飞 + 一次尝试后的冷却（失败也算一次，重启风暴不会变成重试风暴） - 失败只 WARN：探活超时/脚本不存在/起进程失败都只记带 source 的日志， 组合根那条路径**没有 error 通道** - 配置走面板文件 $DATA_DIR/config/voice-tts-launch.json（零新 .env 键） - 接线在 cmd/cyrene 的网关 Listen 之后，整段在后台 goroutine 里，不占启动时长 （用例以「挂载耗时 < 150ms 而探活超时 800ms」证明） - 不新开端点、不加帧族；不碰 gateway 包	2026-10-26 18:47:36 +08:00
AskaEth	b90811fae4	docs(voice): 收口「没会话/没绑定就走 default」的镜像注释（r4） ... 唯一 finding：audio.go 的 speechRequest.SessionID 注释原本写「省略它时本口没有会话 概念 ⇒ 走 emotionTTS 的 default 分支」——**反了**。真实链路是 effectivePersona(ctx,"") → sessionPersona("") 为空**不是终点** → Effective = defaultPersonaID() → 常规安装必有全局默认人格 ⇒ personaId 非空 ⇒ 走 personas 映射。 照那句话改的人会写出 `if req.SessionID == "" { personaID = "" }`，正是 r2 修掉的病。 改为：省略时按**全局默认人格**选发音人（会话绑定 → 全局默认人格 → 两者都没有才落到 default 字符），并显式写了"不要写成 if SessionID == \"\" { personaID = \"\" }"。 顺手同根三处（不留第四轮）： - tts/config.go 的 Config.Default 注释：成因表「会话无绑定 / 读取失败 / 该出口本身 没有会话」已过时 ⇒ 改为「空串的唯一合法成因是连全局默认人格都没有」，并写明不是 "会话未绑定"、也不是"出站口没有会话"。 - runtimeconfig/voicetts.go 的 Default 字段注释与文件头同族措辞同步； - selection.go 的 WithPersonaID / Resolve 分支表、service.go 的分支小标把 「解析不到」统一改成「连全局默认人格都没有」； - voice_emotiontts_test.go 的 TestSpeechEndpointNoSessionUsesDefault 注释同步（该用例 没接人格库，所以确实落到 default —— 但成因写对了）； - wire_voice_tts_test.go nit：改成「已废弃的全局 `character` 不生效」（墓碑键仍在）。 纯注释：`git diff` 里非注释改动行为空。go build/vet 通过；四包 go test -count=1 全绿。	2026-10-26 13:40:00 +08:00
AskaEth	1c2944fcf4	docs(voice): 收回 r2 修掉的旧语义注释 + 让关闭态变异真能打红（r3 P2-1/P2-2） ... P2-1（两处注释在描述已被推翻的旧语义，会把 r2 的修复写回去）： - voice.go 的 voiceReplySink 文档：原写「personaID = env.PersonaID，会话无绑定时为空」 ⇒ 实际传的是 turnPersona.Effective，**未绑定 ≠ 空**（有全局默认人格时非空）。 改为写明「生效人格（会话绑定 → 全局默认人格；两者都没有才是空）」，并显式指出 它不是 env.PersonaID、把空当"没有角色"会让主会话落到 default（正是 r2 修掉的）。 - voice.go 的 synthesizeVoiceReply：原写「空 personaID = 会话无绑定 ⇒ 走 default」 ⇒ 反了。改为「空 = 连全局默认人格都没有 ⇒ 才走 voice-tts.json 的 default」。 - 同族 format 残留措辞：client_test.go 的「非法格式的回落」（该行为已不存在）、 cmd/cyrene/wire_voice_tts_test.go 的「角色/格式/超时按文件来」都改写。 - nit：voice.go 的 `env, turnPersona := ...` 遮蔽同包类型名，改成 `tp`。 P2-2（我上轮那条「摘掉 PrimaryActive 闸 ⇒ 用例红」不成立，复审实测仍绿）： 根因是 audioStubVoice 不实现 PrimaryActive，拦住 persona 读取的只有类型断言。 按塔选的第二种收口（把测试做强）： - audioStubVoice 补 `PrimaryActive() bool { return true }`（它是"生效中的 persona voice"替身），并在注释里说明它存在的理由； - 关闭态用例改用新替身 inactivePersonaVoice（实现 personaVoice 但报 false）， 于是 PrimaryActive 成为关闭态唯一的闸； - 重跑变异（摘掉 `&& pv.PrimaryActive()`）**实测打红**： 「未生效的 personaVoice 却查了 1 次会话人格（关闭态行为变了）」。 未动：功能面、错误码、500 状态码、白名单、session 可读、隐私/format/Stats/redactURL。 go build ./... + go vet ./... + go test -count=1 -race 覆盖 tts/runtimeconfig/gateway/ cmd/cyrene 全绿。	2026-10-26 13:32:04 +08:00
AskaEth	8820b0b316	fix(voice): 修 r1 复审四条（正文进日志的隐私泄漏 / format 假开关 / Stats 无消费者 / redactURL 兜底） ... 上一版把 r1 的三条 finding 静默漏了（我在交付前没读 inbox），本提交逐条补齐： 1. 🔴 隐私：upstreamStatus 不再读也不记响应体 FastAPI 的 422 会把请求体里的 input 整段回显，原来「错误体前 512 字节进 WARN」 等于把她的原话写进日志。现在只记 status / content_type / response_bytes （字节数优先取 Content-Length，缺失时有界排空取上界，读到即丢）。 新用例 TestSpeechRejectLogOmitsRequestText 用**回显正文**的假上游抓它； 变异（把 body 塞回 WARN）实测打红。 2. format 键彻底删除（假开关） 上游只拿 response_format 改自报 media_type，产物恒 .wav 无转码，我方只按字节 嗅探裁决 ⇒ wav/mp3/ogg 交付字节与响应头完全相同。删 tts.Config.Format 与 VoiceTTSTuning.Format，encodeSpeech 硬编码 requestFormat="wav"（不可配置）。 用例钉住请求体恒为 wav；变异（改成 mp3）打红。旧文件里残留的 format 键被忽略。 3. Stats 接进 degrade 的 WARN（attempts/failures） 否则统计在生产日志里没有消费者。TestServiceDegradeLogsCounters 钉住； 变异（去掉两个字段）打红。 4. redactURL 兜底含 "@" 整体打码 解析失败/无 host 时原来原样返回，user:pass@ 会漏凭据。TestRedactURLCredentials 覆盖合法 URL 去 userinfo、非法含 @ 打码；变异（退回原样返回）打红。 另：关闭态零行为变化的**当前 tip 重跑**—— - handleSpeech 的 persona 解析改为只在语音服务实现 personaVoice 且 PrimaryActive 时才查库；未接 emotionTTS（既有链/stub）时零额外 I/O、ctx 不改、音频字节相同。 用例 TestSpeechEndpointDisabledVoiceDoesNotReadPersona（含对照组证明闸不是恒关）； 变异（去掉闸）打红。 - voice.go 在 dev 基线里本就有 env.PersonaID 解析（无人格解析新增 I/O），本次未改。 Config.Normalized 去掉未使用的 logger 参数。go build/vet/test（含 -race）全绿； 真机 live 复测：cyrene 264104 B、furina 221194 B。	2026-10-26 13:06:39 +08:00
AskaEth	efc25c6a7f	feat(voice): emotionTTS 发音人绑定会话人格（不再全局定死一个 character） ... 主人 2026-10-26 逐字：「TTS 的人物选择是要绑定后端的角色的，不然会出现以后换了 别的角色(人格配置)，还是用老角色的 TTS 角色」——上一版把 character 写在面板文件 里当全局值，换人格后声音不变，是真缺陷。 配置形状（单一真源 = $DATA_DIR/config/voice-tts.json）： {"enabled":true, "personas":{"<personaId>":"<characterId>"}, "default":"<characterId>", // 只服务「解析不到 personaId」 "format":"wav","timeoutSec":60} - 旧的全局 `character` 键**废弃并被忽略**（启动 WARN 提示改用 personas）； Config.Normalized 不给任何角色兜底（代码里写死默认角色=病害本身）； - configs/personas/*.yaml 不参与（塔裁定：避免启动期静态配置与面板两处漂移）； - 零新 .env 键。 选角四条分支（Config.Resolve，纯函数、无缓存）： ① persona 有映射 ⇒ 用它； ② personaId 为空/解析不到 + 配了 default ⇒ 用 default； ③ personaId 为空 + 没配 default ⇒ 不合成（ErrNoCharacter，上游 0 请求）； ④ persona 无映射（含映射值为空）⇒ 拒绝（ErrPersonaUnmapped）， **绝不**拿 default 或别的角色顶 —— 主人担心的病害本身。 两条既有出站口各自按当次请求解析 persona（不在 SetVoice 时算一次缓存成全局）： - WS voice_output：用本回合的 env.PersonaID（runVoiceTurn/runVoiceTurnDirect）， 经 voiceReplySink 传给 synthesizeVoiceReply，再 WithPersonaID 交给语音面； - POST /api/v1/audio/speech：请求体新增**可选** sessionId（纯增量）， 经 turnEnvResolver.sessionPersona 解析；省略 ⇒ 走 default 分支。 Client.Speech 改为**每次传入 character**（内部不缓存发音人）；Provider 适配同样按 ctx 的 personaId 现算。选不到发音人时**不回落既有链**（回落=用另一个声音说话）， 上游拒绝(404/500)仍按既有口径回落既有链+WARN。 测试：四条分支各自可变异打红，断言打在「上游请求体里的 voice」与帧/响应字节上； 含「同一进程先后两个 persona，第二次绝不沿用第一次 voice」的回归锁， 以及两条出站口的端到端 persona 切换。四条变异（未映射回落 default / 客户端缓存 voice / REST 不看会话 / 选不到时回落底链）均已实测打红后还原。 go build ./... / go vet ./... / go test -race 全绿；真机 live 证据： cyrene(char_84fb88a3)=254630 B、furina(char_5314489e)=213392 B。	2026-10-26 12:57:35 +08:00
AskaEth	3a2711a7e0	feat(voice): emotionTTS 接成一级发音人（UTF-8 请求体 + 失败回落既有链） ... 侦察结论（真机 + 上游源码）： - POST /api/analyze_emotion ⇒ {primary,complex,intensity}；primary 闭集 实测 平/喜/惊/哀/怒/厌/惧/急，intensity ∈ Low/Medium/High。 - POST /api/synthesize 收 emo_vector(float[])+emo_alpha，但还要 ref_audio_filename 且只回 {"audio_url"}（服务端落盘），不适合做运行时直出。 - POST /v1/audio/speech 内部先 LLM 分析情绪 + 匹配参考音，再把情绪向量以 [EMO:{vector}|{alpha}]base64:... 注入 voice 交给 indexTTS2 ⇒ **情绪确实影响 语气，但由服务端从待念文本自推**，我方没有可映射的参数。 - 上游把下游载荷的 speed 硬编码 1.0（core/utils/llm_provider.py），客户端 speed 是空转 ⇒ 本切片不暴露 speed，也不暴露 emotion/tone（不造假开关）。 实现： - internal/runtime/voice/tts：Client（唯一 HTTP 出口，json.Encoder 产出 UTF-8 请求体、超时/非 200/非音频/超限各自可分类）+ 字节嗅探庭裁 + Service（emotionTTS 在前、失败回落既有链，永不上抛成回复失败）+ Provider 适配（可作链的一级）。 - internal/config/runtimeconfig/voicetts.go：$DATA_DIR/config/voice-tts.json （enabled/baseUrl/character/format/timeoutSec），零新 .env 键。 - cmd/cyrene/wire_voice_tts.go + wireFrontend 的唯一注入点：两条既有出站口 （POST /api/v1/audio/speech 与 WS voice_output）同时用上；不新建端点/帧族。 - 严守 voice 入站闭集（不扩 Source/Status），出站音频不挂 voice DTO（塔裁决 B）。 测试：中文 UTF-8 请求体、非 200、超时、非音频、超限、未启用、空文本、嗅探表、 降级回落、未启用透传、两条出站口的字节级实测、面板配置解析、组合根映射； 三条变异（去中文 / 嗅探恒真 / 去掉回落）各自打红。真机 live 用例（build tag emotiontts_live）实测 278,036 字节 WAV。	2026-10-26 12:46:57 +08:00
AskaEth	3acc81cec8	feat(gateway): 子代理结果回填父会话（系统注记）+ 记忆抽取排除（M32） ... 断点（M29 勘测定论）：后台批次结算后 `subagent.result` 发了、hub 也把它中继成 WS 帧，但**没有任何代码把结果回填父会话** —— `chat_messages` 无行、模型下一轮 看不到，于是「她拍了个子代理出去，但没有下文」。 回填拆成互不冒充的两条面（人格=身份红线：子代理结论绝不写成她的人格发言）： - 可观测/历史面（新文件 subagent_backfill.go）：独立订阅者（不塞进 hub）订阅 `subagent.result`，写父会话一条 `role=system` 注记（内容以 `[子代理结果]` 开头 并点名 `sub-<id>`），随后走既有 `message_persisted` 扇出 ⇒ 刷新/重连后仍在； - 模型面：同一行经转录播种成为下一回合的**系统注记**（`model.RoleSystem`）， 不是「她说过的话」。 落库口径：角色恒为 system（不冒充 user/assistant）、PersonaID 与 TurnID 留空 （注记不属于任何角色、也不属于任何一路回合）。 记忆抽取排除（新文件 subagent_backfill_extract.go）：`WithoutSubagentNotes` 装饰 `memory.Extractor`，判据是元数据（role=system + 注记标记，与 loop 的 summaryMarker 同一手法），组合根经 `loopMemoryExtractor` 套上 ⇒ 子代理结论绝不进记忆库；LLM 提取器的异步能力原样保留，压缩摘要（同样是 system）不被误剔。 可观测补齐（M29 §7）：`SpawnTool.await` 发布成功补带 source 的 INFO，`b==nil` 与 「无结果」的静默 return 改为 WARN，发布失败 WARN 带上 count/session；回填订阅者 顺手读 `bus.Dropped()`，涨了就记一条 WARN（总线丢事件不再是黑洞）。 测试（均可变异打红）：父会话恰一条 system 行且零伪造助手发言；注记/摘要/批次正文 有界且逐代理点名；不可用载荷与落库失败各留 WARN 且不广播；Start 真订阅总线； 结果不进记忆抽取（同步/异步/端到端接缝）；组合根真装配（真 bus 发布 → 父会话多 一行）。回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿。 不做：不改 `subagent_result` 帧形状、不加进 frameReachesAll、不新开路由/帧族、 不注入人设、不改 Docs（契约归一建议报塔）。	2026-10-24 22:02:11 +08:00
AskaEth	ca8577f05b	feat(channelbridge): 群聊静默窗口合并与回合中续跑（M23） ... 主人 2026-10-23/24：「要让群聊聊天很自然，很流畅的做法」。群里「一鼓作气打三句」 此前会让她回三次；本片在**每会话车道头部**加一段静默等待，把这几句合成**一轮**回答 （批内每条仍是独立的一条消息，design/15 §2.1 不许拼成一条）。 四条不可走样： - 🔴 主人私聊**结构性**无窗口：车道分 `newDirectLane`（无 batcher 字段、拿不到定时器 工厂）与 `newBatchLane`，类型由 actor 元数据（IsOwner() && !IsGroupChat()）决定， 配置无权翻转； - 🔴 窗口内零丢失：唯一容器是车道队列（takeAll 单消费者取出），合并阶段无新增丢弃点 （CoalescedDroppedTotal 恒 0）；超单批上限的**尾部回插队首**保序、锁内、发车前； - 🔴 一条批 = 一个 turnID = 一次 loop.Run = 一条助手回复； - 🔴 不改「回什么」：闸门仍逐条跑（prepareInbound 逐字搬运 M22 的 processFrom）， 被静默的消息进不了批。 实现落点： - lane.go：direct/batch 两种车道 + front（回插队首）+ takeAll + 停机诚实登记； - coalesce.go：生效参数解析、滑动窗口 + 绝对上限等待、发车原因与计数； - coalesce_lane.go：攒批 → 拆分 → 陈旧度/闸门 → 发车； - coalesce_prepare.go / coalesce_batch.go：processFrom 拆成 prepareInbound + runBatch； - runtimeconfig/channels_coalesce.go：$DATA_DIR/config/coalesce.json（零新 .env 键）； - gateway/admin_coalesce.go：GET/PUT /api/v1/admin/channels/coalesce（三态补丁 + writeAuth + 审计 channels.coalesce + 热生效），routes.go 两行注册（塔已批）； - 前端：渠道总览页一张卡（六个旋钮；主人私聊只给只读说明，不给开关）。 M22 既有用例仍在（lane_test.go 夹具显式关窗以钉住车道本身）；stranger_test.go 的那条 按塔裁定 #4 改写：「已有回合在跑 ⇒ 只登记不回」变成排队回答（留 WARN，绝不静默）。 回归：go build/vet/test ./... 全绿；三包 -race 全绿；前端 tsc --noEmit + npm run build + 渲染测试 36 项通过。不 push、不重启后端、未改 .env 与 Docs/。	2026-10-24 21:11:22 +08:00
AskaEth	7ea2850f18	Merge branch 'feat/m24-flowgate-move-review-off-admission-p' into dev	2026-10-24 20:00:57 +08:00
AskaEth	76d972f0f2	fix(channel/flowgate): 审查移出准入路径、节流覆盖失败路径、BOM 解析韧性 ... - Admit 不再同步调用审查模型：触发时只把审查**派发**到后台 goroutine，准入只读 当前已有结论。三重上界：同一适配器至多一次在飞（reviewInFlight）、同一会话每窗口 至多一次（lastReview）、整个适配器每窗口至多 defaultReviewPerWindow=6 次（reviewHits， 写成可测断言）。 - st.lastReview 改为在**派发时**置位 ⇒ 成功与失败两条路径同样被节流。修复前它只在 err == nil 分支置位，而实测 68% 的审查因对端回带 BOM 解析失败 ⇒ 缓冲满后每条入站帧 都付一次 ~6s 的模型调用（qq-ws/kook-ws/weixin-poll 三路单读 goroutine 全被钉住）。 - 新增 adapter.ParseReviewIndices：容忍 UTF-8 BOM、首尾空白/换行、Markdown 代码围栏、 数组外解说文字；越界/重复编号照旧丢弃。channelbridge.parseKeepIndices 改为委派它 （仅函数体 + 注释，未动限流/丢弃/审查触发语义）。 - 语义差异（已写进 flowgate_review.go 文件头）：rate_limited 的门口丢与 FIFO 上限 一字不改；审查修剪降级为后台积压去噪，只修剪它当时看到的那批历史条目 —— review_pruned 不再从门口丢消息（实测 41–74 条/日），完整性↑、噪声↑，是否开口仍由 engage_judge/冷避/owner 闸判（三处判据未动）。 - cmd/cyrene：逐账号启动日志如实报出生效的入口流控（塔裁决 A：零行为改动、不翻默认）， 让「没配流控键的账号闸门仍开着」一眼可见。 - 测试：4s 慢审查替身证明入站帧不被阻塞（变异回同步 ⇒ 红）、节流在失败路径生效 （摘掉派发时置位 ⇒ 红）、每适配器窗口预算上界（摘掉预算 ⇒ 红）、同适配器单飞 （摘掉 in-flight ⇒ 红）、在飞期间到达的消息不被连带修剪、带 BOM 字节的夹具 （夹具去掉 BOM ⇒ 红）。闸门用例 -race 通过。	2026-10-24 19:43:57 +08:00
AskaEth	2421a8dac9	feat(plugin): 组合根装配「MCP 服务器」页（声明 + 动作处理器成对） ... - wirePanelHub 在 AttachPanels / declareBuiltinPanels 之后调 AttachMCPPanel： 一处完成「声明页面」+「登记 7 个动作处理器」，缺任一步就是面板在、动作全 501。 - wire_panels_test 的两条「内置面板恰好 1 条」断言改成按 pluginID 定位 （web-search/providers），并加钉区块形状（form+table；viewer 只剩 table）。 接线落地后目录里确实是两条（mcp/10 + web-search/20），旧断言是事实过期而非回归。	2026-10-24 19:38:38 +08:00
AskaEth	44c25eb03b	refactor(memory): 到期清扫挂点从 wait 注入缝改为 TidyService.Start ... 塔裁定：清扫不许挂在注入缝上 —— 包一层 s.wait 会让「清扫是否存活」依赖于 「loop 每一轮都调 s.wait」这个**没有任何契约固定**的假设；将来谁换了等待原语、 或把循环改成 select + 自己的 timer，清扫会**静默消失**（不报错、不红测试， 只是临时期限再也删不掉）。后台件起在 Start 里，读者一眼看到它们同生共死。 - tidy_service.go：Start 里紧跟 go s.loop(cctx) 起 go s.expirySweepLoop(cctx)， wg 计数与既有那一笔同处（同一把锁内加，避免 Add 与 Stop 的 wg.Wait 相撞）。 `if !s.cfg.Enabled { … return }` 仍在其前 ⇒ 语义与改动前逐字相同：整理被关掉 ⇒ 清扫不跑（与 preinsert_gc 随审查服务启停同口径）。 - expire_loop.go：删掉 AttachExpirySweep 与对 s.wait 的包裹；文件头写明 「挂点必须是 Start 里那处显式的 go」，防止后人改回注入缝。 - expire_loop_test.go：那条运行时对照改写成 TestTidyServiceStart_清扫随服务起停 —— 真 Start、真 Stop（Stop 不超时即证明清扫随 ctx 退出且登记在同一个 wg）。 - wire_memory_tidy.go：去掉组合根的挂载调用，注释改成「起在 Start 里，组合根零接线」。 - wire_memory_tidy_test.go：把 go s.expirySweepLoop(cctx) 钉进 TestMemoryTidyIsWired 的 seams（摘掉那一行 ⇒ 用例红，已实测）。	2026-10-13 21:43:27 +08:00
AskaEth	a017ab6cf8	feat(memory): 临时记忆到期物理删除（有界清扫 + 同步清向量 + 删前审计） ... design/23 §19 的第 ② / ③ 步：读侧时效闸（M1）只负责「看不见」，本切片负责 「真删掉」。三条护栏照 §19.3：删除是本包内唯一 DELETE 出口、有界（500 行/批 × 20 批）、删前留审计。 - internal/runtime/memory/expire.go：扫描集合写死为「expires_at ≠ '' ∧ expires_at ≤ now ∧ status='active' ∧ 来源非受限」。空 expires_at（长期/日常 记忆，含 M2 登记的「INSERT 与补写之间中断」窗口）结构性进不了集合；受限来源 复用 nonOwnerSource（与整理/审查同一处判据）。键集游标 (expires_at, rowid) 保证被跳过的行只读一次、扫描位置一定前移。审计串 = id + persona_id + scope + expires_at + 按 rune 截断（48）的摘要 —— 本仓唯一一处允许携带内容片段的审计。 - internal/runtime/memory/expire_loop.go：清扫循环挂在 TidyService 的生命周期上 （AttachExpirySweep 由组合根调用），随心跳 ctx 跑、随 Stop 停；一轮只写一行 汇总日志，逐条的那一行进审计。 - internal/runtime/memory/vector/delete.go：新增可选删除能力 vector.Deleter + 两个后端实现，删行时同步清向量（M1 reviewer 的 finding：过期向量占 top-K 预算）。 - cmd/cyrene/wire_memory_tidy.go：挂上清扫；顺带把已过时的「这十键」改成「这十一 键」（M2 加了第十一键 tempTtlSec）。	2026-10-13 21:43:27 +08:00
AskaEth	20051f0168	Merge branch 'feat/ownergate-owner-lane-gate-plus-conversat' into dev	2026-10-13 21:18:02 +08:00
AskaEth	537a8b7988	feat(channel): owner 车道结构化参与闸与可调旋钮（乙 = C） ... 主人 2026-10-13 裁决「乙 C」= 默认按甲（群里不对她说就不开口）+ 可调旋钮。 - inbound.go: owner 不再无条件短路参与闸（去掉 `!actor.IsOwner()` 门）， 主人群消息改走 shouldRespond 的 owner 车道分支；主人私聊恒回。 - ownerlane.go（新）: owner 车道结构化闸 + 判据 `msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)` （未接线渠道退回旧判据，保护 kook/webhook 的群 @）；指向她本人必回（硬保留）； 非指向消息按每群旋钮——默认只进上下文不回（registerSilenced 落隔离会话）。 「少说点」类关键词落成结构化降频配置，带 source 日志。 - channelbridge.go: Options.OwnerLaneFor/OwnerLaneSet 读写接缝 + Bridge 状态。 - engage.go: 冷避词表并入「少说点」（与既有「少说两句」同义）。 - runtimeconfig/channels_ownerlane.go（新）: owner_lane.json 落盘面 （默认档 + 每群覆盖，可读可改，面板可写）。 - wire_channels.go: 注入 owner_lane.json 存储（$DATA_DIR/config/）。 - 测试：不对她说就不回（进上下文零回复）/ @她必回（即使降频）/ 未接线退回 旧判据 / 降频生效且可恢复 + 频率闸 / 旋钮读写接缝 / 归属不变量闭合 / 陌生人私聊与主人私聊回归。变异自证：恢复 owner 短路 ⇒ 5 条用例红。	2026-10-13 20:48:05 +08:00
AskaEth	d4ed043d5c	test(memory): 修播种日志用例的偶发假红 + 补 TempTTL 接线缝断言 ... 两件都是**测试面**的补件，不碰被测逻辑。 ① 既有 flake（internal/config/runtimeconfig/memorytidy_seed_test.go）： TestSeedMemoryTidy_LogsPathAndReasonWithoutValues 原先用**裸数字**扫**整行**日志找 4242/10800/1800，而同一行合法地打了 `path=<临时目录>`，`t.TempDir()` 的目录名带 随机数十进制 ⇒ 偶发命中（约个位数/10000），表现为假红。 修法取「断言带字段名的形态」：哨兵改成 `=4242` / `=10800` / `=1800` / `=259200` （slog 的 `key=value` 字段形态），路径里的随机数前面是路径分隔片段而不是 `=`， 因此不受影响。 **为什么不用另一个备选「只扫 keys= 之后的内容」**：那会把断言缩成「keys 列表里没 有值」，任何以别的字段名打出来的值（`interval_sec=4242`、将来新加的字段）都会溜 过去 —— 等于把这条防护改成空壳，而不是修掉它的假红。 顺手把 tempTtlSec 的哨兵值 259200 一并纳入（上一切片给 completeSeedTuning 加了这 个键，漏掉它会让「不打配置值」在这一个键上失去覆盖）。 ② 缝断言（cmd/cyrene/wire_memory_review_test.go）： TestMemoryReviewIsWired 的 seams 表补上 `a.memoryTempTTL()` 与 `TempTTL: tempTTL` —— 上一切片把面板 `tempTtlSec` 接进 ReviewConfig 时，这条缝没有被覆盖，「接线被 摘掉」不会红。 自证： - ① 前后对比（确定性，把临时目录名强制含 1800）：旧形态 FAIL（「日志里出现了配置 值 1800」）、新形态 PASS；另跑 `-count=20` 全绿。 - ② 变异：把 helper 与调用点一起改名 ⇒ `wire_memory_review_test.go💯 找不到 "a.memoryTempTTL()"` FAIL。	2026-10-13 20:26:46 +08:00
AskaEth	21b906ffb0	feat(memory): D3 第五态 defer（入库审查）+ 提取留存规则闸 + 临时 TTL 配置面 ... 主人原话：「收窄提取器，确实要给他一个主动式的记忆留存规则，不能想到什么都 往记忆里写」「.env 只做兜底用 …这些键优先从面板配置上取」「临时记忆到期删除」。 按 design/23 §18（D3 第五态 defer）、§19（到期处置）、design/03 §9.6 （tempTtlSec 默认 7 天 + 坏值口径）、§10（提取留存规则）落地。 - IngestDecision 闭集加第五态 defer：照常 active 落库 + 写短 expires_at 落 临时层（不删行、不改正文，回滚 = 清空该列）；IngestRuleVersion d3.2 → d3.3。 - 落点：ingestGatePlan 增 ExpiresAt + expiresAt()（走 expiryText/formatTime 的 定宽 30 字节 UTC，与读侧时效闸同一套文本口径），由 finishIngest 在 defer 一态 补写 expires_at（INSERT 与补写之间的短暂窗口如实登记，方向 = 宁可多留）。 非 defer 三态一笔都不多写。 - T0 提取留存规则闸（extract_retention.go）：design/03 §10.5 的 N1~N5 纯规则， 接进 judgeIngest 的候选比对之前，命中即 defer + reason=t0_low_value，不进 T1； 两道护栏（显式「记住」/ 持久信号）一票放行，fail-safe 方向 = 宁可多留。 - T1 闭集扩为 merge/modify/keep/defer（同一个 prompt、同一次调用，绝不新增 第二次模型调用）：只有关系判为真新时才问价值；defer 要求 target=0，否则判 非法回落 create（reason=t1_reply_invalid）。 - 提取器提示词加固（design/03 §10.3 B）：正向清单 + 反例清单 + 「允许返回 []」。 - 临时记忆 TTL：代码默认 tempTtlSec = 604800（7 天）；面板 $DATA_DIR/config/memory-tidy.json 的 tempTtlSec 优先（ApplyReviewTuning 逐键 解析，坏值回落默认 + WARN，绝不写进 cfg）。该键在 .env 里没有出处且不新增 （.env 已冻结）⇒ 实际生效链是「面板 > 代码默认」。启动播种同步该键（*int + omitempty，nil 省略、绝不写 null），保证播种文件与生效值逐字一致。 - preinsert_store.go 的 listReviewCandidatesSQL 原位注释：这条内部召回 SQL 刻意不过时效闸的裁定与理由（design/03 §11.2 第 3 条）。 - 测试：defer 落库带短 expires_at（闸 + T1 两条路径）、写入口径与时效闸同源、 TTL 坏值与回落、规则版本 d3.3、整理候选幂等键不含 IngestRuleVersion、 提取规则正例 11 条 / 反例 11 条。 验收：go build ./... + go vet ./... + go test ./... 全绿；windows/darwin 交叉 编译通过（GOOS=darwin GOARCH=arm64 / GOOS=windows GOARCH=amd64）。	2026-10-13 20:22:48 +08:00
AskaEth	d81635672e	fix(channel): 热重载把新适配器写回能力注册表 ... 面板保存渠道配置后 Bridge.Reload 只重建了桥接器自己的适配器表，能力注册表里的条目仍指向保存前的旧实例；而管理面的渠道列表、每账号连接状态、open/close 的目标解析全部读注册表 —— 于是卡片永远「未连接」，点「连接」驱动的是旧实例（按旧 URL 拨号）。 生产日志实证：保存后 bridge 侧新实例连上 ws://localhost:3001 且心跳正常，而点连接时被驱动的适配器拨的是旧地址 ws://localhost:10301。 改法：注册表新增 upsert 语义的 ReplaceChannel（覆盖 Value、保留运行期 Policy；Register 遇重名会 ErrDuplicate，热重载必然同名）；桥接器经窄端口在适配器上线后同步，账号被移除时删除条目；组合根注入 a.caps 包装。同步失败只记日志、不中断 Reload；未接线时保持旧行为并只 WARN 一次。 验收：go build ./... + go vet 全绿；registry/channelbridge/gateway 三包 test 全绿；主会话亲自变异（摘掉 Policy 沿用 ⇒ TestReplaceChannelSwapsValueAndKeepsPolicy 红）。linux/darwin 交叉编译通过。	2026-10-13 19:21:49 +08:00
AskaEth	23b6e3fe1e	feat(memory): 启动时自动播种面板配置文件（缺失才写、绝不覆盖） ... 主人 2026-10-07：「后端自动创建独立的面板配置文件要做」。 - 启动路径（wireMemoryTidy → applyMemoryTidyTuning 之后）若 $DATA_DIR/config/memory-tidy.json 不存在或全空白 => 写一份「当时生效值」 （十键：既有六键 + 频率四键），此后面板接管 - 已存在（非空）=> 跳过，该分支没有任何写盘语句；损坏 => WARN + 按 .env 跑、 一个字不写盘（不「修好它」） - 幂等（第二次启动必落到跳过分支）；原子写（tmp 0600 + rename） - 落盘前完整性闸：缺键 / 非正周期 / 钟点越界 => WARN + 不落盘 - 值来自 TidyTuningSnapshot（先跑两个归一化再翻回正向键）=> 播种那一刻运行 行为零变化，有强断言（归一化后配置逐字相等） - 零新增依赖、零 env 键变更；5 个变异（含「让已存在走写盘」=> 红）	2026-10-07 20:38:37 +08:00
AskaEth	d680390300	feat(memory): 整理频率走面板配置（面板 > env > 默认）+ 分时段动态间隔 ... 主人 2026-10-07：「.env 只做兜底…优先从面板配置上取」+「频率必须调…或者动态 分配，比如白天间隔短一点 晚上到了静默时期稍微长一点」。 - memory-tidy.json 新增四键：intervalSec / quietIntervalSec / quietStartHour / quietEndHour（*int + 指针判定 => 显式 0 是合法值、缺位才回落） - 优先级逐键三档：面板 > env（既有键，未增删）> 代码默认；坏值不覆盖 + WARN， 且不启动失败 - 动态间隔由纯函数 intervalAt(at) 决定，调度侧每一拍现算 => 跑完按当时时段重算 - 🔴 语义变更（有意，代码注释已登记，待补设计修订）：安静时段从「唯一可跑时段」 变成「降频时段」—— 旧的「安静窗外一律 continue」被删，否则 intervalSec 永远 是空壳（白天唤醒必被跳过）；窗口仍决定档位与补跑判据 - 6 个变异（含「加回旧的那道门」=> 端到端用例红）	2026-10-07 19:21:32 +08:00
AskaEth	a684328b76	feat(memory): T1 加保守全局速率限流（防每天数百到上千次调用失控） ... 主人 2026-10-07 裁定：按最优解加全局限流。 - 新增 t1RateGate（滑动窗口、可注入时钟，~70 行）；默认 120 次 / 60 分钟（现网 700-1000 条新记忆/天 ≈ 25-42/小时， 取 120 留约 3-5 倍余量） - 过闸摆在「t1Enabled + 有灰区候选」两个守卫之后、发请求之前 ⇒ 不调模型就不占额度；放行才记账 - 超限语义与既有失败路径同源：跳过 T1、决定仍是 create、零改写， 只多一个 reason=t1_throttled 进留痕 + ReviewStats.T1Throttled 计数 - 配置键 t1PerWindow / t1WindowSec 放 $DATA_DIR/config/memory-tidy.json （零新 env 键，启动期读一次）；坏配置回落默认 + WARN，不启动失败 - 每窗口只记一条 WARN（超限是预期行为，一天几百条会淹掉真故障） - IngestRuleVersion 仍为 d3.2：判定规则集与解析契约没变，变的只是 额度状态，reason 列已可分辨（升版会有 §17.6 记过的幂等键重复行副作用） 自研而非复用 session.NewRateLimiter 的理由（design/12 §N C.5 自己登记过 这条取舍）：既有件 Allow() 内部写死 time.Now()，没有时钟注入缝， 而本切片必须能注入可控时钟；且复用会把 channel 层概念拖进 memory 包。	2026-10-07 16:25:54 +08:00
AskaEth	1b4d0a552f	feat(memory): T1 灰区模型判定 —— D3 入库前审查补上 LLM 那一半 ... 主人 2026-10-07 裁定「可以做 T1」。此前 D3 只有纯规则 T0，凡灰区（相似但 互不包含）一律保守 create，真机上「同一事实换措辞」类重复结构性治不住 （清完 92 条字面级重复后，active 里含「喵喵七号」的仍有 101 条）。 - 插入点：T0 判定内核只多吐一份结构化 Gray（惰性收集，恒零模型调用）； T1 挂在异步审查层 Review，同步入库闸不碰它 ⇒ 写入路径零模型调用是 **数据流结构**而不是承诺 - 只许回 merge / modify / keep + 一句理由；坏 JSON、非法枚举、编号越界 一律回落 create（绝不猜、绝不挑最近的一条） - 禁产新内容：模型只给「动作 + 候选编号 + 一句理由」，正文一律取自库里 既有的两行 ⇒ T1 结构性地不可能把幻觉写进记忆库 - 不越硬门与红线：灰区已滤掉跨角色/作用域/项目/只读来源与时效/数值/冲突/ 低置信；「规则否决一票否决」不可走样，T1 不提供翻案入口 - 有界：每次审查至多一次调用（灰区打包，上限 8 条），子超时 8s 且不超过 审查总预算；失败只改 reason、决定恒 create、零 UPDATE - 开关 t1Judge（放 $DATA_DIR/config/memory-tidy.json，零新 env 键），默认开； 模型出口用闭包晚绑定既有模型栈（零新客户端、零新依赖） - 留痕 reason 结构化（t1_merge / t1_modify / t1_keep / t1_reply_invalid / t1_unavailable），rule_version d3.1 → d3.2；模型的自由文本理由一律丢弃 - preinsert_config.go 为纯搬移（为守 500 行上限，无新逻辑）	2026-10-07 14:10:33 +08:00
AskaEth	ce9af42945	feat(search): 新增腾讯云·元宝搜索与秘塔搜索两家 provider ... 接入位表六家扩到八家，端点形状与错误码一字未改（契约 v0.87，仅两处名单）。 - tencent_wsa：POST {base}/SearchPro + Authorization Bearer，零签名。 两条官方口径决定实现：HTTP 状态码恒 200（判失败只能读 Response.Error.Code）； Pages 是「JSON 字符串数组」需二次解析。错误码按官方表分类 （UnauthorizedOperation/AuthFailure.* = 凭据、ResourceUnavailable = 欠费、 RequestLimitExceeded* = 限流），文案只带 code 不带上游 Message。 - metaso：POST {base}/api/v1/search，响应 schema 仅第三方来源且互相打架， 实现走宽松解析（数组候选与字段名回退），逐处标「未实测」。 - 零新 env 键：两家只走 $DATA_DIR/config/plugins/web-search.json， .env / .env.example 未动；组合根 websearch_providers.go 零功能改动。 - 契约 v0.87：values.provider 合法闭集与 plugin.providers 候选各加两条， 计数不变（14 + 25 + 40 = 79）。	2026-10-07 13:42:41 +08:00
AskaEth	8e3311cea2	test(cyrene): 补同步入库闸的接线断言（切片连带的漏提交） ... - 断言组合根真的接了闸的开关：a.memoryIngestGateOff() 与 DisableIngestGate: gateOff - 断言 store 侧唯一写路径先过闸（不是只投异步队列） （前一片 90f4302 提交时漏了这个测试文件，工作树因此挂着一处未提交改动；现补齐。）	2026-10-07 13:25:35 +08:00
AskaEth	90f430216a	feat(memory): D3 从「异步后置」改成「同步入库闸」—— 由整理层决定入库形态 ... 主人 2026-10-07 裁定：「把记忆整理功能接到昔涟和记忆库中间做审查，由整理功能 进行入库」。现状是**异步 + 入库后软合并** ⇒ 行已经落库才审，面板/召回先脏后清， 而写入速率实测 ~25 条/小时（≈600/天）⇒ 清理永远追不上。 落法（三条硬规格，全部落地）： ① **同步闸但有界**：闸在 `store.go:247` 的 `planIngest`（INSERT **之前**）， 本体 `preinsert_gate.go`。墙钟预算 **150ms**（实测最坏 p95 仅 4~7ms ⇒ 20~50 倍 余量）、候选扫描上限 **100**（比异步侧 200 更紧，因为它在写路径上）。 🔴 **零远端 embedding**：闸恒用词项余弦（`deps.Embedder` 根本不参与）—— 远端 embedding 一次 2.3~3.0s 且对同文本返回不同向量（不可复现），不许摆在同步 路径上拍板。 ② **fail-open，绝不丢记忆**：候选源报错 ⇒ `gate:candidates_unavailable`；超预算 ⇒ `gate:budget_exceeded` ⇒ **照常 insert(active) + 投既有队列 + 留痕 + WARN**。 ③ **三态落库（落 merged，而不是"不插入"）**：确定性命中（字面重复 / 归一化等价 / 真包含）⇒ INSERT **直接带 `status='merged'` + `merged_into=<存活行>`**，存活行 `merged_from` 追加、`merge_count`+1 ⇒ **新行从不进 active、从不建向量索引**， 而**行与原文都在表里 ⇒ revert 无损**。若"干脆不插"，那条文本从未存在过行， revert 无从下手，违反 design/23 §8 的红线。 - **不与异步 D3 重复审**：闸做决定的那条 `Async=false`（留痕由闸自己落， 审计动作名 `memory.ingest.gate`）；真新/拿不准的走原有队列（留痕仍归异步层）。 - **开关**：`$DATA_DIR/config/memory-tidy.json` 的 `{"ingestGate": false}` ⇒ 一键回到 「只插不审」（= 改动前的异步行为）。**零新 env 键**（`.env` 未碰）。 - 顺手把 `store.go` 的行映射拆到 `store_rows.go`（守 §10 的 ≤500 行）。 验收（主会话复跑 + 亲自变异）：`go build ./...` + `go vet` 绿；memory 包测试绿； 我用 -overlay 摘掉闸的预算 ⇒ `TestIngestGate_Add墙钟有界` 与 `…failOpen_超预算绝不丢记忆` 变红（"Add 等了 2.0s，越过闸预算 150ms"）。 子代理另做 2 个变异（去掉预算 / 把 fail-open 改成 fail-closed）全红，并实测 **闸开 vs 关的 `Add` 额外墙钟：p50 ≈2.5~3.1ms、p95 ≈4~7ms**（基线批均值 35.8µs）。 ⚠️ 未部署（要一次 build + restart）；⚠️ 已知边界（如实）：闸只用词项余弦 ⇒ 「同义但字面差得远」拦不住（有意为之，由异步层/夜间整理兜）；闸的候选是**最新 100 条**（更老的重复闸看不到）；**并发同内容双写**仍可能两条都落 active（既有竞态， SELECT 与 INSERT 不在同一事务，非本次引入，第二层会清）。	2026-10-07 11:41:44 +08:00
AskaEth	6fe68ecfac	feat(browser): 方案 A 落地 —— 显式端口 + 去掉 stealth flag（主人 2026-10-07 拍板） ... 依据 `DevDocs/reference/chromium-cdp/`（9 份实测+官方源码）：旧姿势传 `--remote-debugging-port=0` 会被 Chromium 当成 ChromeDriver 式自动化启动 ⇒ 主动打开 `AutomationControlled` ⇒ `navigator.webdriver=true`；那个 bad-flag 是承重覆盖，但代价是**每次有头弹横幅**。 改用显式端口后 `webdriver` **本来就是 false** ⇒ flag 变纯冗余 ⇒ 去掉它，**两者兼得**。 - `launch.go`：`--remote-debugging-port=<我们选的端口>` 替掉 `=0`；**删掉** `--disable-blink-features=AutomationControlled`（注释写明理由）。 - 新增 `portrecord.go`：端口来源与落点的**唯一出处** —— 取空闲端口（`net.Listen` 取号后立刻关闭，**本进程不常驻监听**）、写/读/清**我们自己的记录** `<profile>/cyrene-debug-port`（选它与 Chrome 的 `DevToolsActivePort` 同目录： 天然按 profile 隔离、profile 换掉记录自动消失、内容只有端口号不含凭据）； **兼容老记录**（换二进制时上一版起的浏览器可能还在跑 ⇒ 认不出会把"自己的浏览器" 误报成"profile 被别人占了"）；就绪判据换成「我们选的那个端口答得上 `/json/version`」； TOCTOU 处理 = 端口被占**换号重试一次**，重试仍失败则如实报错且不留记录。 - 三条认领路径（复用/清陈记录/如实报错保留现场）与三条失败分类（进程立刻退出 / 等端口超时 / 预算耗尽）**全部保留**；`ErrLaunch` + `errors.Is` 口径未变； **绝不杀进程**红线未变。 真机自证（子代理跑，默认 Skip 的 `realchrome_test.go`，`CYRENE_BROWSER_CDP_E2E=1` 开闸）： `webdriver=false` · 命令行**无** flag/`--enable-automation`/`--headless` · UA 无 `HeadlessChrome`、`plugins=5`、`languages=zh-CN,zh`、`window.chrome` 在 · **UI Automation 控件树 17 个命名节点里没有「信息栏容器/信息栏」⇒ 无横幅** · 第二次 Dial **复用同端口、浏览器主进程仍是同一个 PID** · 收尾按 profile 路径筛残留 = 0。 验收（主会话复跑 + 亲自变异）：整树 `go build ./...` + 两包 vet 绿；browser 包测试绿； 我用 -overlay 把该 flag 加回参数表 ⇒ `TestLaunchArgs_HeadfulCarriesNoAutomationTraces` 变红（逐字报"不许传的 flag"）。 ⚠️ 未验（如实）：无头档的横幅（无窗口判不了）、`chrome-headless-shell`、风控侧是否把 "端口写法"本身当信号、生产 profile 整链路（未碰）。	2026-10-07 11:18:25 +08:00
AskaEth	c68387a69a	feat(search): 面板上终于能改「结果条数上限」（原来改了会被静默丢弃） ... 真缺陷（上一片登记）：`maxResults` 在面板上**根本改不了** —— ① 字段表里没有这个 字段（UI 不显示输入框）；② `saveProvider` 只并 provider/apiKey/baseUrl/enabled； ③ `mergeSelectionPatch` 只处理 primary/fallback ⇒ **手工塞进 values 也会被静默丢弃** （文件不变、也不报错）。「我改了它却没变」正是要消灭的那种假话。 - `panel.go`：表单加 `{Key: FieldMaxResults, Type: sdk.FieldNumber, Min: 1}`（**SDK 本就有 数字类型**，未自造；前端本就渲染 number ⇒ **不需要改前端**）。刻意不设 `Default` （设了会让一次「只改 key」的保存把默认值固化进文件、还可能盖掉 `.env`）。 - `websearch_selection.go`：`mergeSelectionPatch` 里按**三态**落 `maxResults` —— 缺位/null ⇒ **不改动**；正整数（含整数字符串）⇒ 采用；0/负数/小数/空串/非数/ 布尔/数组 ⇒ **400 `invalid_payload`** 且**盘上一字节不动**（绝不静默忽略）。 - `reauth` 回填该值（否则一保存就把上限清掉）。 - `.env.example`：该键的示例值与「默认 5」注释同步为 **10**（代码默认已改；⚠️ `.env` 未动）。 验收（主会话复跑 + 亲自变异）：**整树 `go build ./...` 通过**；三包 vet/测试绿； 端到端「面板存 20 ⇒ 模型要 50 也只给 20、要 3 给 3」（走真 action hub → 落盘 → 热重载 → WithSearchMaxResults → 真 dispatcher，未重启后端）； 我用 -overlay 把 `f.MaxResults = maxResults` 摘掉 ⇒ 两条用例变红 （「面板给的值必须真的落盘」/「回填的 maxResults = 5, want 20」）。 ⚠️ 已知取舍（如实登记）：**清空输入框 = 400**（后端按「非数 ⇒ 报错」拒），因此面板上 没有「去掉上限」的手势 —— 要回到 `.env` 兜底得改文件；要支持「清空 = 去掉覆盖」 需另定哨兵语义，未自行发挥。 ⚠️ 契约面已变更（面板声明多一个 number 字段 + saveProvider 的 values 多一个可写键 + 响应多一个回显键）⇒ 主会话登记。	2026-10-07 11:10:56 +08:00
AskaEth	6d92536276	feat(memory): 整理不再只产建议 —— 轮末自动落地高置信 + 停产 link 候选 ... 主人原话：「那么多 link 是干什么的？该删就删，怎么这个记忆整理机制这么保守呢」。 ① **link 停产**（依据 design/23 §14 把它列为「未细化」⇒ 既无落点也无数据模型； `applyable()` 也只认 merge/archive/reclassify ⇒ 应用 link 恒 `skipped`，是纯噪音）： - 规则层 `containNone` 判定改为 `keep`（不再产出 501 条不可应用的待办）； - `TidyLink` 常量保留，只为**读历史行**与「不可应用」判定； - 存量出路：新端点 `POST /api/v1/admin/memories/candidates/reject?action=&limit=` （**幂等、只改候选 status、不碰记忆**），主会话用它清掉存量 501 条。 ② **轮末自动落地**（默认开，仅两类，判据是纯函数）： - `merge`：**字面重复** ∨「事实集合等价 ∧ 相似度 ≥ 0.95」； - `archive`：理由 = `one_off_event` **且不像习惯**（`design/23 §5.2-1` 红线： 习惯类会因正文带钟点被误判成一次性事件，归档它是错的）。 - **不自动**：`reclassify`、低置信 merge、跨分区/跨角色、任何改正文、受限来源 （群聊/陌生人）—— 新增执行面守卫 `tidySkipSourceRestricted`。 ③ **六条护栏**（缺一不可）：软动作（复用既有 apply 路径）/ 每轮上限 50（硬顶 500， 超限如实 `Truncated` + 真总数）/ 审计 `memory.tidy.apply`（`auto=true`，不带正文）/ **可 revert**（复用既有回滚）/ 幂等（复用候选状态条件更新）/ **一键关回只产建议** （`$DATA_DIR/config/memory-tidy.json` 的 `autoApply:false`，**零新 env 键**）。 验收（主会话复跑 + 亲自变异）：memory 与 gateway 两包 build/vet/test 全绿；我用 -overlay 短路「习惯不归档」守卫 ⇒ TestTidyAutoNeverArchivesHabitMisjudgedAsOneOff 变红（逐字报「作息习惯被自动归档了 …design §5.2-1 红线」）。 ⚠️ 未部署（要 build+restart 才生效）；⚠️ 契约欠登记（新端点 B25 + §7.2），主会话补； ⚠️ 真机端到端未跑（不能重启后端）。	2026-10-07 11:07:00 +08:00
AskaEth	bff57bd1ae	feat(search): 结果条数上限 5 → 10，并让「上限」真的是上限 ... 主人原话：「返回五条结果会不会太少了？」。裁定：**上限抬高到 10，且它是真上限** （模型要 50 也只给 10）；模型要更少（3）时**尊重模型**；缺省/非法（≤0/非数）⇒ 上限。 - plugins/tools/io/web_search.go：`n := resultLimit(s.maxResults, m)` 一处收口 （原来是 `if count>0 { n = count }` ⇒ 模型的 count 能顶掉配置上限，与 .env.example 写的「条数上限」不符 —— 那是一条真口径缺陷，本次一并修正）。 - internal/config/websearch.go：`WEB_SEARCH_MAX_RESULTS` 代码默认值 5 → 10 （三处口径现已一致：env 默认 10 / io 包 defaultMaxResults 10 / 各家发给上游的 请求区间是另一回事，未动）。 - 生产：`data/config/plugins/web-search.json` 的 `maxResults` 5 → 10 + 一次 saveProvider 触发**热重载**（applied+registered），盘上已生效。 验收（主会话复跑 + 亲自打两个变异）： - io 包 / internal/config / cmd/cyrene 相关用例全绿； - 变异 A（拆掉上限、恒取 50）⇒ **4 条用例变红**（含「默认上限 10」「count 非数值 ⇒ 上限」「count=0 ⇒ 上限」「既有 MaxResultsOption」）； - 变异 B（默认值退回 5）⇒ internal/config 的默认值断言变红。 🔴 顺带挖出一条真缺陷（**本片只报不修，等派**）：`maxResults` **在面板 UI 上 根本改不了** —— ① `search/panel.go` 的字段表里没有这个字段（输入框不显示）； ② `saveProvider` 只并 provider/apiKey/baseUrl/enabled；③ `mergeSelectionPatch` 只处理 primary/fallback ⇒ **手工塞进 values 也会被静默丢弃**（「我改了它却没变」 成立）。修它要给面板加一个数字字段 + 三态落 `f.MaxResults`，属**管理面板对外契约 变更**（须同步 Docs/api-client.md），留给主会话。	2026-10-07 10:58:40 +08:00
AskaEth	93c5a4c46f	fix(browser): 启动失败要说出原因；预算耗尽 ≠ 浏览器坏了 ... 真机现象：主人看到 Chrome 窗口内有横幅（他读作「不支持接受的参数」），日志只有 一句「等待调试端口时被取消: context deadline exceeded」，看不出是谁的错。 三件（本片）： - 接住子进程 stdout/stderr（有界：前 4 KiB / 上报 12 行，只缓存不输出）⇒ 失败时 打一条带 exe / argv / chrome_output / chrome_output_bytes 的 WARN；成功只记字节数 （不刷屏）。 - 三种启动失败在错误里分开：① 进程立刻退出（profile 被占用）② 等端口超时 ③ 调用方预算耗尽（ctx 已结束 ⇒ **根本不 spawn**）。③ 与 ② 用两个截止时间比大小 区分 —— 顺带修掉一个老缺陷：原来 ctx 一结束就报「等待调试端口时被取消」，而那 几乎总是我们自己的 30s 用满，现被正确归到 ②。 - 降级档不再被**已耗尽**的轮预算连坐：如实报「预算耗尽 ⇒ 未尝试浏览器渲染， 这不是浏览器故障」，**不许把"没试"说成"试了失败"**。plugins/tools/io/bodyfetch.go 一字未动（fetchedBy / browserError 语义原样），只在**发起方**决定要不要发起。 对主人那条横幅的结论（有据，非推测）：那是 Chrome 的 **bad-flags 警告栏**，触发者 是 `--disable-blink-features=AutomationControlled` —— 它明确在 Chromium 的 kBadFlags 名单里（bad_flags_prompt.cc 列了 kDisableBlinkFeatures/kEnableBlinkFeatures），本机 Chrome 154 zh-CN 的文案是「您使用的是不受支持的命令行标记：$1。稳定性和安全性会 有所下降。」；而「不支持接受的参数」在 Chrome 的 zh-CN/en-US 资源与二进制里**零命中** ⇒ 是意译。⚠️ 该参数是 design/28 §2 要求的（掩盖 navigator.webdriver）⇒ 横幅是 **设计取舍的视觉副作用**，去掉它才消失（但会暴露自动化特征）。登记待主人裁决。 验收（主会话复跑 + 亲自变异）：go build ./... + 两包 vet 绿；browser 与 cmd/cyrene 两包测试绿；我用 -overlay 去掉 cmd.Stderr 接线 ⇒ TestDial_ReportsChromeOutputAndArgvOnLaunchFailure 变红（chrome_output="" chrome_output_bytes=0）。 ⚠️ 未部署：跑着的产物不含本片，要等下次 build + restart。	2026-10-07 10:37:33 +08:00
AskaEth	bc1dee3f56	refactor(search): provider 配置面去 env 化 —— 加新家不再需要动 .env ... 动因：`.env` 已冻结（基础键不加/不改/不删），而「加一家 provider」原本会逼出 新的 env 键（一家一个 struct 字段 + searchProviderVector 逐家读 + 逐家写死的 switch）⇒ 想接腾讯云元宝/秘塔就只能破红线。面板本来就该是插件配置的一等来源 （$DATA_DIR/config/plugins/web-search.json），故让**文件成为权威**。 - plugins/tools/io/search/registry.go：接入位表加 defaultBaseURL（「没配 baseUrl 回落代码默认值」从此只有一个出处）；新增 Descriptor(s)/DefaultBaseURL。 - cmd/cyrene/websearch_providers.go（新）：按接入位表逐家算出生效投影 —— 加一家时这里**零改动**，这正是本片的核心；顺手把 wire_io_tools.go 从 430 行 降到 342（它逼近 §10 的 500 行上限）。 - cmd/cyrene/wire_plugin_actions.go / websearch_action_data.go / websearch_selection.go：基地址判定统一走「文件值 → 接入位默认值」的进位链； checkPrimaryUsable 判据不放松（真没配齐仍 400 primary_not_configured）。 🔴 **一处对我任务书的纠正（子代理提出、我采纳）**：我要求「既有 6 家在文件里 没有该条目时仍回落 .env」。仓库现状**没有**这层回落，且有回归用例把它钉死 （TestWireIOTools_PanelConfigClearedProviderDoesNotReviveFromEnv：「文件里没有 的家不得从 .env 复活」）。本片按「不改变既有行为」实现 —— 我的要求才是错的： 文件一旦存在就是权威，env 只在文件缺失/为空时播种。 验收（主会话复跑 + 亲自变异）：go build ./... + 两包 vet 绿；search 包与 cmd/cyrene 全绿；我用 -overlay 让文件里的 apiKey 被忽略 ⇒ 4 条用例变红 （含「无 env 字段的家只认文件也能进注册表」这条核心判据）。 ⚠️ 新家仍未接：腾讯云元宝（tencent_wsa）/ 秘塔（metaso）两片随后串行落地。	2026-10-07 10:18:58 +08:00
AskaEth	c46053e276	feat(admin): 搜索提供商下拉/多选/表格显示中文名（值仍是 ASCII id） ... 主人报障：「为什么中文搜索接口……下拉菜单里全给的英文名？你甚至不愿意带个括号 把中文名写上去」。根因不是漏写文案，而是整条链路没有「显示名」的位置：字段 声明只有 optionsFrom，候选动作回的就是 KnownNames() 的纯 id 数组。 - 后端：候选改为对象数组 {value,label}；label 表与接入位表同源（键用 NameSearXNG 等常量），未知 id 原样回。value 逐字等于 KnownNames()。 - 前端：下拉/多选「显示 label、写 value」；表格单元格按 value→label 索引显示， 查不到回落显示原值。多选从裸输入框改成「候选开关 + 落盘值输入框」。 解码器本就兼容裸字符串/{value,label}/{id} 三形状 ⇒ 其他插件零影响。 中文名逐字：SearXNG 本地兜底（searxng）/ 智谱 BigModel（zhipu）/ 阿里云 IQS 信息查询（aliyun_iqs）/ 博查 Bocha（bocha）/ 火山引擎·豆包搜索（volcengine）/ 百度千帆 AI 搜索（baidu_qianfan）。 验收（主会话复跑 + 亲自变异）：go build ./... + vet 绿；search 包测试绿； tsc --noEmit 0 错；新渲染测试 26 checks + 既有 plugin panel 55 / data 90 / schema values 40 / channel config 70 全绿。我用 sed 把 values.ts 的 option.value 全换成 option.label ⇒ 渲染测试红（「点选把候选项的 id 追加到 降级链末尾」got="bocha, 智谱 BigModel（zhipu）"）—— 这正是会把配置文件写坏的 错法；还原后 md5 一致且绿。 ⚠️ 契约面变更（我在 Docs/api-client.md 登记）：plugin.providers 候选响应形状 字符串数组 → 对象数组；label 仅供显示、value 才是落盘值。 ⚠️ 已知边界：viewer 角色看不到 form 区块 ⇒ 表格对 viewer 仍显示裸 id（未做）。 ⚠️ 真机浏览器点击未跑（项目无 jsdom）⇒ 建议刷新管理页点一次确认观感。	2026-10-07 10:08:19 +08:00
AskaEth	378faf212e	feat(browser): 取正文能力 + web-fetch 浏览器降级档接线（解封 Z5/B5） ... Z5（c2e413e）把 web-fetch 的降级链与注入点做完了，但「取正文」入口缺失 ⇒ 组合根拿不到 BodyRenderer、这一档实际关着（当时如实登记）。本片补上： - internal/capability/browser/render.go：新增 Manager.RenderText(ctx,url) （导出的进程内能力）—— 先过 GuardURL（与全仓同一份 SSRF 判定源）、复用 withSession/session、等 readyState=complete 之后才取 body.innerText； 渲染失败 = 分类错误，渲染成功但正文为空 = 空串+无错（不冒充成功/失败）。 - cmd/cyrene/wire_body_fallback.go：适配器 + 挂载点，把 Manager 适配成 io.BodyRenderer 并用 WithBrowserFallback 挂上；web_runtime 里把浏览器 接线**上移到 io 工具集之前**（顺序颠倒会静默关死这一档）。 - plugins/tools/browser/tool.go：新增 Tool.Manager()，供组合根取驱动句柄。 开关口径（裁决，依据 design/28 §1 M5 / §7 判据 4 / §8 B5）：**有可用浏览器 就挂，没有就不挂**，不新增开关 —— ① 设计把 M5/B5 写成要落地生效的降级档，不是永远关着的空壳； ② 设计 §8 的可调项清单里没有这条降级档的开关，`.env` 已冻结 ⇒ 自造开关属 「自行发挥」； ③ io 库层「不传 = 默认关」的语义一字未改，本片只把组合根从「永远关」改成 「没来源就关」，并留带来源的 WARN（reason=no-usable-browser）。 ⚠️ 若日后要「有浏览器也需显式开启」，得先给设计定开关落点，代码侧一行改回。 验收（主会话复跑 + 亲自变异）：go build ./... + 三包 vet 绿；browser/io 两包 测试绿（cmd/cyrene 由子代理跑过全绿）；我用 -overlay 把 GuardURL 的判定对象 换成常量 URL（绕过被拒目标）⇒ TestManager_RenderTextBlockedURLRejectedBeforeAnyProcess 变红，证明判定确实**在起任何进程之前**跑。 ⚠️ 生产端到端未验：按红线没重启后端、没起真 Chrome ⇒「真页面 → browser 取到 正文」这条链只有假 CDP + 组合根接线级证据。 ⚠️ design/28 有 6 处表述与代码现状冲突（归属 web-fetch vs web-search、extract 动作归属、B5 排期、状态过期等），已登记待我同步文档。	2026-10-07 09:59:56 +08:00
AskaEth	aa0bf8b5a0	fix(websearch): 面板「填 key + 同一次选它当主 provider」不再被自己的校验回滚 ... 真机报障（2026-10-07 09:50）：面板上给 zhipu 填了 API Key，保存却一直回 400 primary_not_configured；盘上配置文件 mtime 一动不动 —— 连刚填的 key 一起被回滚，界面表现为「怎么填都存不进去」。 根因（顺序错误）：saveProvider 先 applySelectionPatch（内含「主 provider 必须 已配齐」的校验），后 UpsertProviderEntry。校验看的是**盘上的旧文件**，而这次 提交里的 key 还没落盘 ⇒ 校验判它没配齐，整笔拒绝。 修法：把校验从 applySelectionPatch 里摘出来，改名 mergeSelectionPatch（只合并 文件级字段 + 回报有没有给 primary），由 saveProvider 在 UpsertProviderEntry **之后**对最终文件校验，再写盘。判据本身一字未改 —— 「真的没配齐的主家照样拒」。 验证：cmd/cyrene 整包测试绿；新增回归 TestWebSearchSaveProviderAndPrimaryInOneSubmit （同一次提交填 key + 选主家 ⇒ 200 且盘上 key 与 primary 都在；反向：真没配齐仍 400 且文件字节不变）；用 -overlay 把校验改回「拿旧文件校验」⇒ 该用例变红且报错文案 与主人看到的逐字相同。	2026-10-07 09:56:37 +08:00
AskaEth	c2e413ec38	feat(io): web-fetch 直连→浏览器渲染降级档 + fetchedBy 如实标注（Z5 机制） ... - 降级链：直连失败 / 判定为动态页 ⇒ 浏览器渲染取正文；返回体带 fetchedBy=direct|browser， 两条档的失败各自留痕（directError/browserError/browserSource/dynamicSuspect），**绝不静默替换** - 被 SSRF 拒绝的目标**不换路**（红线）；渲染器缺位时如实报双失败 - 3 个变异自检（去掉动态页判据 / 去掉 SSRF 短路 / 掩盖双失败） ⚠️ **生产接不通**：internal/capability/browser 没有「取正文」入口（不在本片文件面）⇒ 开关默认关、不假装可用；解封形状已在报告里给出（加 RenderText ≈40 行）	2026-10-07 09:34:47 +08:00
AskaEth	8e2441c183	feat(browser): 补上 B3/B4 的两行接线（Z2）—— 面板页与截图进上下文真生效 ... - wire_runtime.go 加 TransformContext: a.browserShotTransform(visionResolver)（只改本轮所见） - wire_frontend.go 在 declareBuiltinPanels 之后接 wireBrowserPanel（带 a.cfg != nil 守卫， 否则 6 处既有夹具 panic；生产路径 cfg 恒非 nil ⇒ 行为与字面写法一致） - 3 条盯梢用例（1 条 Skip→转正 + 2 条新增），2 变异打红 - 真机（隔离实例）：panels 出现 browser/settings、三个只读动作真回执、**真回合内联 image 部件 61,410 字符** ⇒ design/28 判据 2 在真产物里成立	2026-10-07 09:34:44 +08:00
AskaEth	e0a6bca501	feat(browser): B3 截图→上下文闭环 + B4 面板声明页（Y4） ... - B3：截图落盘后**自动**并入本轮视图（能收图 ⇒ 真 image 部件挂 user 消息；收不了 ⇒ vision/OCR 文字； 大图先经 image-crop 裁切；取走即消费、每会话 ≤4 张、TTL 10min、跨会话隔离） - B4：browser 面板**声明**（配置表单 + 运行状态/指纹自检/最近截图三张只读表 + 拍一张/重新自检） + 六个动作走 PLG-2 的通用动作端点（**不开新路由**）+ 保存事务（不可用则回滚 409）+ 热重载 - 读面**不启动浏览器**（计数型假 dialer 证明 0 次拨号）；行数据不含路径/URL/内容 - 3 个变异（短路主路/行与列 key 脱钩/保存不回滚） ⚠️ **两行接线未落**（不在我文件面）：wire_runtime.go 的 TransformContext + wire_frontend.go 的 wireBrowserPanel —— 落地前 B3/B4 只是「组件就绪」，跑着的后端里不存在（Y4 已写盯梢用例）	2026-10-06 21:48:50 +08:00
AskaEth	2d211c2d16	feat(backthink,browser): 自排工具面 C1-3 + 浏览器两处偏离收口（X2+X3 同文件一并落） ... X2 C1-3（自排工具面与提示词）： - request_think（thinktool.go，照 transcode/tool.go 范式）+ reason 必填/urgency 闭集 + 双守门 （安全闸 + owner 判定：群聊/陌生人一律拒） - **成对**进两张唤醒态允许集（quiet + awake；CAPACITY_TOOL_SETS 是整体替换） - 提示词抽共用段落 + 自排前缀优先（不枚举工具清单）；面板加 self_wake 标签与筛选轴 - 4 个变异自检（拿掉 owner 判定/只加一张表/放宽 urgency/前端标签恒等） X3 收口（与 X2 共用 wire_services.go ⇒ 一并落）： - 删掉第三份 SSRF 实现（guard.go），改由 io.ValidateRequestURL 唯一判定 + 薄门面（保两个错误身份） - 浏览器会话挂进 a.close（真机：真 Chrome 被关、无残留、生产未扰动） - a.wireBrowser() 归位到 wire_runtime.go，删掉 ioToolOptions 的临时挂点 - 5 个变异自检 顺带补提交 C1-2 漏掉的 internal/config/runtimeconfig/backthink_test.go（ed50053 漏 add）。	2026-10-06 21:16:23 +08:00
AskaEth	f1fbc249fd	feat(browser): B1 接线 + B2 薄层工具面（V5） ... - browsercfg 接进组合根：配置读 $DATA_DIR/config/plugins/browser.json（零 env）→ 探测（本机 Chromium → 已在跑的 CDP）→ 不可用就不注册（原因码入日志） - 自研最小出站 CDP 客户端（不 Enabled Runtime、隔离世界求值、不发 --enable-automation）+ 导航 + 截图 0600 落盘 + 指纹自检；工具 browser（open/screenshot/info，owner-only） - 3 个变异自检（启动恢复 --enable-automation/无视可用性/空闲回收失效） - 真机对照（两站各 1 次，**如实结论**）：两侧都 pass ⇒ 「headless 被拦 / headful 通过」**未被证明**； 但测到两处硬差异：无头 UA 带 HeadlessChrome、screen 800 vs 2632；两模式 webdriver 均 false （把 L6 的推断变成实测）。跑完 0 残留 Chrome、无对外监听端口 ⚠️ 未做：MCP 自动接入（口径委派未落地）/自动注入上下文/面板页/搜索降级/docker 配方/Windows 用 pipe（Go ExtraFiles 不支持）；SSRF 落了第三份同策实现待收口；浏览器会话未挂进程关闭链	2026-10-06 20:25:16 +08:00
AskaEth	ed5005307a	feat(backthink): 自排 C1-2 本体 + TriggerUnknown 修 fail-open（V1） ... - selfwake.go：WakeNow + 待跑槽容量 1（先探槽合并不过闸、槽空才过闸、同锁）+ 闸 4 轮/小时 （$DATA_DIR/config/backthink.json，零新 env 键）+ 审计四条 what + 启动日志两键 + 组合根接线 - G-A（主人已批）：TriggerUnknown 作零值、既有两值编号后移（语义不动），未知触发走**最紧分支** - 5 个变异自检（拆闸/≤0 未回落/过闸挪到探槽前=G1 失效形态/槽无界/零值挪走） ⚠️ 服务侧已就绪但**她仍调不到**（自排工具面属 C1-3）⇒ 不得写「C 已完成」	2026-10-06 20:25:04 +08:00
AskaEth	301f8b4276	docs(comments): 清掉两处已过期的状态注释（ErrRunPending 早已不存在） ... S1/S3 大扫除点名的代码侧残留： - cmd/cyrene/skills.go 注释仍称 Runner.Run 返回 ErrRunPending（哨兵已删，f75e7a9 起真执行） - internal/services/gateway/admin_plugins_skill.go 注释仍称执行后置到 M12 零行为改动（仅注释）。	2026-10-06 18:46:58 +08:00
AskaEth	ddd3d00d09	fix: 修「假话但绿」的用例 + 补 VoiceTranscoder 注入（W4） ... - history_toolcalls_gap_test.go 改成正向断言：单路回合经 StartRoundWithTurnID 带权威 turnId ⇒ 落库行按该标识查得到 ⇒ HTTP 出口 toolCalls 在场；并保留「无权威标识 ⇒ 整体缺席」边界用例 - 组合根补 VoiceTranscoder: a.transcoder ⇒ 微信/QQ 的 AMR 语音在落盘前先转 wav 再落副本 - 4 个变异自检（删注入/摘 ctx 标识/清 turn_id/调换 wiring 顺序，均红）	2026-10-06 15:59:14 +08:00
AskaEth	a30f4a49ff	feat(search): provider 热重载 + primary/fallback（W3） ... - 保存被包成事务：快照 → 落盘 → 按新配置重建工具 → 原子替换注册表条目（registry.ReplaceTool 窄方法，保留运行期 Policy）；下一轮即生效，不要求重启 - 若新配置会让后端下次起不来（主家未配齐 fail-fast）⇒ 文件按字节回滚 + 409 config_unstartable - 声明面补 primary + fallback[]（可配可生效）；否决「另开 form」方案（会破坏既有 reauth 回填） - 主 provider 解析口径核查结论：没被 PLG-4 改坏（顺手修了一处日志缺陷） - 4 个变异自检（丢 Policy/不换条目/回滚 no-op/忽略 fallback）	2026-10-06 15:59:12 +08:00
AskaEth	6475eb875d	feat(skills): 渐进披露接线（L2）—— 清单投影 + 命中才展开 + 工具面只收不放 ... - 清单只给 name+description(+when-to-use)，单条 ≤1536 字符 + 全局条数上限，超限如实标 truncated - 命中才把正文作为一条消息注入：跨回合保留、按内容指纹缓存不重复读盘、注入 ≤16 KiB 标 .truncated - invocation 三态与清单逐格对齐（model-only 清单不含 description；user-only 清单有但模型不可调） - 激活轮的工具面 = allowed-tools ∩ 安全闸 ∩ 注册表 再减 disallowed-tools（owner 也看不见未允许的工具） - 激活状态进程内按会话（不落库）；注入量已界化（压缩器估值未含，超我文件面） 裁定（DECISIONS #3/#4/#5）：删掉 paths 启发式（只认显式挂载）；多技能并集；收缩作用域=激活的那个回合。	2026-10-06 14:12:24 +08:00
AskaEth	2e1c3ed3fd	feat(plugins): 面板动作执行器接线 —— 动作真可用，不再 501 兜底（L1） ... - 插件管理器加生产动作处理器登记面（RegisterActions）；未登记处理器/未声明动作仍 404 - web-search 四个动作真读写真源 + 真发 HTTP 探针：plugin.listProviders/saveProvider/ testProvider/reauthProvider（配置落 $DATA_DIR/config/plugins/web-search.json，0600） - 失败回结构化错误码（不含上游原文）+ 审计带 code 字段；501 文案改为「未登记处理器」 - 拆出 panelactions.go（动作索引推导/OptionsActionName/三闸门分发），panels.go 519→347 行 缺口（如实）：面板保存后运行中的工具**不热重载**（下一片做）；声明面缺 primary/fallback （按 DECISIONS-2026-10-06 #1/#2 补）。	2026-10-06 14:12:23 +08:00
AskaEth	120d926cf8	feat(search): 搜索 provider 可变源 + 插件声明面板（PLG-4） ... - 新增 $DATA_DIR/config/plugins/web-search.json（0600 + temp+rename，文件名 = 插件 id） - 组合根改「先读可变源、缺失回落 .env 播种」；**不新增任何 env 键**（.env 已冻结） - 多实例：每家 provider 独立 key/baseURL/启用态 + 「测试连通」探针 - 用 PLG-1 的声明库给出该面板的 adminPanels 声明；动作名交给 PLG-2 的通用动作端点分发 （本片自己不开路由） ⚠️ 本片自认越界：改了 cmd/cyrene/wire_web_search_test.go（既有测试，为适配 DataDir）； 另有 design/28 的相关注册留给主会话。	2026-10-06 09:04:04 +08:00
AskaEth	2d21aa553e	feat(plugins): 插件管理器接线 —— 面板接入点快照 + 动作分发（PLG-2） ... - GET /api/v1/admin/panels：按调用者角色过滤后的接入点快照（PLG-1 的 catalog 挂进插件管理器） - POST /api/v1/admin/plugins/{id}/actions/{action}：**只接受该插件声明过的动作名** （未声明 ⇒ 404）；写动作 writeAuth + 落审计；插件只给动作名不给 URL ⇒ 不给插件开任意请求面 - 生命周期：install/uninstall/enable/disable 变化后**重算面板集合**并经进程内 bus 推 panels_changed （前端可热更新；不新开端口） 契约 v0.78 登记由主会话随后统一落（本片报告给了可直接粘贴的契约段）。	2026-10-06 09:03:57 +08:00