AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
809 Commits 7 Branches 0 Tags
dev
Commit Graph
80 Commits
Author SHA1 Message Date
AskaEth c34b9d195d feat(channelbridge): 群聊公域呈现块与判定器去人格（M62） 
P0-3 受限车道（群聊/陌生人）的系统框架行并列注入【公域呈现】
（publicPresencePrompt）：它是呈现层投影（AGENTS §9 行为模式=呈现），
不是人格切换也不是权限门——不称第三方「亲爱的」等主人专属称呼、
不做只对主人的亲近动作、主人的住址/姓名/作息/行程/健康/家人/关系
即使记忆里读到也不外说；主人私聊与 Web 主会话不注入。

P0-4 纵深防御：第三方边界提示词与 loop 受限前导片段各补两条硬规则
（不用主人专属亲昵称呼指代第三方 + 不外说主人私事）。

P1-2 判定器去人格：模型输入只吃「角色名 + 偏好摘要」，整份人格指令
不再进模型（审计 2026-10-30 §2.4 的 reason 亲昵口吻即由此而来）。

P1-3 测试补真：受限期呈现块存在性 + 主人车道不注入 + 判定器输入/
模型请求均不含人格正文；并纠正 memory_filter 的错误注释
（作用域 ≠ 敏感度，审计 §6 R1）。
 2026-10-30 08:37:40 +08:00
AskaEth 8ba4cde61d test(channelbridge): 握手回放也断言出站 voice（M58） 
- dialOwnerWSHistory 交回 history 帧，replayVoiceOfID 按 id 取 voice 原文
- 成功与降级两条整链用例都补「重连 WS 回放」断言，与实时帧逐字相等
 2026-10-27 22:08:38 +08:00
AskaEth 28afa11aeb feat(channelbridge): 出站语音结论落 voice 列并挂出站 Media（M58） 
- voice.Ref 增 SourceTTS 与 FallbackReason，Validate/IsZero/validSource 同步
- 出站成功：INSERT -> 补写 voice 列 -> notify（首帧即带 voice）
- 出站降级：source=tts + status=failed + fallbackReason，正文原样
- 首条气泡挂出站 Media（新开条目，不复制 target.Media）
- gateway historyVoice 投影 fallbackReason
- 新增 outbound_voice.go 与整链 e2e 测试（含变异打红验证时序）
 2026-10-27 22:08:38 +08:00
AskaEth 76263d42ed fix(upstream): M51 复审 p2 三条 —— light.go 同形出口 / MCP SDK 日志面 / ErrorToken 口径 
① light.go 的 2 处 "light judge: " + d.Reason 与 engage.go 同形（model reason →
返回值 → coalesce_prepare 的 Debug）。把上一轮的 engageReason 提成包内共用的
judgeReason（judge_reason.go，RedactTextLimited + strings.Fields，60 rune），
engage.go 7 处 + light.go 2 处 + notice.go 的 "notice review failed: "+err.Error()
统一走它。控制流零改动：只换「进去的那份文本」，判定条件与返回值拼接结构未动。

② MCP 的 Logger 面先探针后修：go-sdk v1.8.0 的 keepalive 会把对端 JSON-RPC error
原样打进日志（实测泄漏，见 sdklog_probe_test.go 的输出），tools/call 路径不打日志。
新增 sdklog.go：redactingLogger 交给 SDK，wire 错误（链上有 *jsonrpc.Error）只留
code + message_bytes（复用 upstreamError），本地错误保留原因，消息/属性压平+打码+300 rune。

③ errortoken.go 的口径注释纠正：从「包外不得调用」改为按字段类别判定（协议枚举可守、
自由文本默认不带），并把 cdp.go 这条 M51 用法作为例子写进去。
 2026-10-26 20:00:57 +08:00
AskaEth 7fbb8d6232 fix(channelbridge): M51 追加 —— 参与度判定 reason 出镜前打码压平 
Debug 日志与返回值共 7 处（engage.go 222/227/228/231/250/256/257 原行号）此前把
判定模型回的 d.Reason 原样写出：模型可以把 Authorization / sk-… 或换行塞进 reason，
前者进日志就是凭据泄漏，后者能按行聚合的日志里伪造一条新记录。

新增 engageReason（trace.RedactTextLimited + strings.Fields，上限 60 rune）：
- 控制流零改动：分支条件、状态迁移、返回值拼接结构一个字未动，
  只把「进去的那份文本」从 d.Reason 换成 engageReason(d.Reason)；
- 上限 60 rune 的理由写在常量注释里（reason 是一句短语，超过即是在复述群聊原文）。

用例 engage_reason_test.go：PROBING / 跟进 / 回避+无兴趣三条出口，
断言日志与返回值都不含 sk-live…、都含 [redacted]、都不含换行。
变异实测：摘 RedactText ⇒ 三条红；摘压平 ⇒ 三条红。
 2026-10-26 19:47:35 +08:00
AskaEth d6493d79f4 fix(upstream): M51 收敛剩余上游自由文本出口 - CDP/MCP/flowgate/channelbridge WARN 
- channelbridge: 拨号失败的 WARN 不再带原始 dial 错误（含 ?access_token=），
  URLCause 剥壳 + 内嵌地址 MaskQuery 打码 + HostOf 保留目标来源；控制流零改动
- browser/cdp.go: CDP error.message 只有像协议枚举（ErrorToken）才出镜，其余只留字节数
- mcp: 第三方 server 的错误文本默认不带，只留 server/工具/JSON-RPC 码/message 长度，
  分类链（errors.Is/As、context.Canceled）经 Unwrap 保留
- channel/adapter/flowgate: 审查输出摘要由 40 字节改 40 rune（防切 UTF-8）并过 RedactText

四处均补了会随回退变红的用例（变异已实测）。
 2026-10-26 19:44:22 +08:00
AskaEth b955a27479 fix(channelbridge): M44 入站语音先写 voice 列再广播 ⇒ 首帧就带 voice 
安卓 2026-10-26 回执关心的场景：新来一条语音消息时，**第一条**帧里有没有
`voice`。此前没有 —— `persistBatchUsers` 先 `persistToMain`/`persistIsolated`
（内部同步 notify 把帧发出去），之后才 `persistMessageVoice` 写列，帧发出那
一刻列还是空串。网关侧的帧投影（上一 commit）读的就是这一列，因此首帧必然
缺 voice，客户端要等重连或下一次 REST 拉取。

修法（A 路的唯一可行形态，理由见下）：
- `persistBatchUsers` 的通知改成 `persistVoiceFirstNotify(ref)`：
  **INSERT → 写 voice 列 → notify**。语句数不变，只把 notify 从 INSERT 内部
  挪到最后；非语音消息（ref 零值）时该包装与 `notifyPersisted` 逐字等价。
- `persist.go` 抽出 `mainRow` / `isolatedRow`（字段清单只写一次）与
  `persistIsolatedWith`（可注入通知的变体），`persistToMain`/
  `persistIsolated` 的对外行为逐字不变。

为什么不走 B（给 `history.Message` 加 voice 随 INSERT 写）：`persistMessageVoice`
是按 id 的 UPDATE，行还不存在时必然 `ErrMessageNotFound` ⇒ 写列**不可能**真正
挪到 INSERT 之前；可行的最小形态就是上面那次换序，无需动 domain 类型、列清单
与 7 条读语句。B 若要做，属于 design/24 §10.5 的独立切片（那时还应删掉这里的
两段式，避免同一事实两处写）。

整链验收（`inbound_voice_gateway_e2e_test.go`，真桥接器 + 真存储 + 真网关 WS）：
- 主人私聊语音：第一帧就是 `message_persisted`，带 `voice`，且与
  `GET /sessions/{id}/messages` 同一行**逐字相等**；随后的非语音消息帧整键缺席。
- 群聊语音（被点名 ⇒ 走完整回合）：第一帧 `channel_persisted` 带 `voice`，
  且与渠道日志读面同一行逐字相等。
- 变异实测（把顺序还原成「先广播、后写列」）：两条用例都 FAIL，输出即报障症状
  （帧里 content 是转写文本，却没有 voice 键）。

顺带把网关侧两处描述旧时序的注释改成新事实。
 2026-10-26 18:54:13 +08:00
AskaEth f56d74c363 test(channelbridge): 准入三条用例改按「这条消息续出的臂」断言（M33 r2 复审 p2） 
TestCoalesceSystemNoticeDoesNotJoinBatch 仍在用位置索引 d[1]：waitTimerCalls 只保证
「至少 2 次请求」，不保证顺序 —— 加压下会拿到 m1/m2 那次 2s 的续臂（实测 -race
-count=200 有 2/200 假红，空载测不出来）。

改成与兄弟用例同一口径，但把相位做成确定的：新增 sendSettledAndDuration ——
投递后等 worker 把这条收进本批、**为它**续好臂（按请求序号认领），再返回那次续臂的
时长。仅用 latestDuration 仍有缝：worker 可能在帧/通知之后才补上一条消息的续臂，
最新那次就成了 2s。三条准入用例（action 帧 / 系统通知 / 聊天消息对照组）统一改用它。

断言口径未变：仍然断言「系统通知/action 帧不重置静默窗口（剩余 500ms）」、
「聊天消息重置成完整 2s」；waitTimerCalls 语义、请求次数均未改。

证据：-race -count=400 连跑 3 次（1200 次）全绿、DATA RACE=0；
兄弟两条 -count=200 全绿；整包 -race -count=3 全绿。
 2026-10-24 23:36:41 +08:00
AskaEth 1ae9158250 test(channelbridge): 窗口夹具按截止时刻推钟 + 去掉无法证实的替身锁（M33 r1 复审） 
P1-1（channelbridge 的 -race 门仍红，红在用例不确定性而不是竞态）：
- coalesceTimers 改成**截止时刻**语义：每次 after(d) 记 at = 注入时钟 + d，
  推钟只把时钟推进到「当前最早的截止时刻」再触发它。旧写法按 FIFO 逐个触发并
  按请求时长累加，实测 12 条消息内攒到 5 个废弃定时器把时钟推 +10s（窗口 2s、
  绝对上限 6s）⇒ 循环头走「到点直接发车、不 takeAll」的分支，队列尾部落到下一批。
- 推钟前强制「车道排空」这条不变量（pump/advanceAndFire/waitIdle）：
  时钟只表示时间过去，它一转就可能跳过 takeAll，因此先等 worker 把货收进本批。
- sendSettled：投递后按**序号**等「这次投递之后新挂的定时器」（旧的都已被 worker
  放弃、再没人监听），供「投递与推钟交替」的用例（每 500ms 一条的绝对上限用例）。
- fireLatest/advanceAndFire 带 done 谓词重试，避免「登记与触发之间续臂」导致
  推了钟却没人醒；waitIdle 一边等一边推窗口（worker 停在窗口里时永远走不到退休）。
- 用例侧只补相位与等待，不动断言：TwelveBurst 读历史前等 assistant 行落库；
  准入用例断言「最新一次续臂」（原来按下标取 d[1]，隐含臂数假设）；
  stale 用例两条都投完再推时钟（车道不会在两条之间退休）。

P2-1（替身锁无法用变异证实）选 A：删掉 stubChatter/stubSessions 的锁与访问器，
退回原字段访问，并写清理由 —— 21 个用例全走同步便捷路径
（b.process → processFrom → runBatch → Loop.Run），DEV HEAD 上 -race 数十次跑
（含把锁删掉的变异）DATA RACE 恒为 0；若将来从车道 worker 触碰这些字段必须加锁
并补 -race 用例。

证据：go test -race -count=3 ./internal/services/channelbridge/ 连跑 6 轮
18/18 全绿、DATA RACE=0；coalesce 子集 -count=80 全绿；整包 -race -count=20 全绿；
全树 go build/vet/test -count=1 全绿。
 2026-10-24 23:18:45 +08:00
AskaEth 7d9b2132bb test(testhealth): 替身竞态加锁 + 墙钟断言硬度（M33） 
四处测试健康债务，只改 *_test.go，不动生产代码、不降并发：

- channelbridge：stubChatter / stubSessions 的跨 goroutine 字段一律经 mu 访问
  （Run/GetOrCreate 在车道 worker 上写、测试 goroutine 读，两者无 happens-before；
  负向断言「等一会儿再看循环有没有被驱动」尤其如此）。读写走访问器，Messages()
  返回副本；t.Parallel 与并发度不变。
- plugins/tools/io：claimProbeTimeout 2s（真实时间预算）→ 60s，并由 claimProbeWait
  按 t.Deadline 收缩。探针只等 goroutine 被调度（无时间语义），放大余量把
  「机器快慢」从断言里去掉，死锁仍以断言失败暴露。
- backthink：TestSelfWakeGate_WindowExpiry 窗口 120ms → 6s（给 waitFor 的 4s 上界
  留 2s 余量），到期等待改为按首次受理时刻推算 window+250ms，不再盲睡 3×窗口。
  另修 TestSelfWakeStatus_MatchesReceiptAndTracksPendingSlot：worker 先 take 再进
  Think，卡 Think 并不占待跑槽 —— 改为「上一轮把 worker 占住再断言 Pending」。
- memory：墙钟实测用例显式给闸 5s 预算（measureGateBudget），不再因默认 150ms
  超时 fail-open 打炸「每轮都真扫真判」前置断言；并把 GateFailed 纳入该断言。
 2026-10-24 22:24:14 +08:00
AskaEth 4c9cabce1b fix(channelbridge): 窗口准入落到车道头 + lane.go 按职责拆分（M23 复审 r1 P2） 
P2-1（行为缺陷）：窗口准入此前只在 prepareInbound 里算 `solo`，而 prepare 发生在
**窗口等待之后** —— 平台帧（action / 系统通知 / 我们自己的 message_sent 回执）照样
进窗、照样把滑动计时重置：一条回执就能把这一批的静默期一直续住（群友说了三句话，
她因为「撤回事件」迟迟不开口）。这与任务书「窗口只收 chat/image/voice/file」相反。

- `laneWindowAdmits(msg)` 成为**唯一准入判据**，只看结构化事实（ContentType +
  isSystemNoticeMessage，绝不解析正文）；
- `splitWindowItems` 在窗口等待阶段把到达的条目分成「进窗口」与「不进窗口」两半；
- 非准入帧**不建窗口、不重置计时**（首条即到达即发车），窗口中途到达的只收进 solos，
  这一批发车后**原样回插队首**各自单跑（保序、不合并、不丢弃）；
- prepareInbound 里的 `solo` 保留为第二道保险（适配器将来把平台事件标成 text 时，
  仍会在组批前被切出去）。

P2-2（硬约束）：lane.go 682 行 → 按职责纯搬移成 5 个文件（最大 246 行）：
lane.go（车道类型与注册表）/ lane_queue.go（入队与取队列）/
lane_worker.go（单消费者与回合槽）/ lane_drop.go（丢弃与停机诚实）/
lane_owner.go（主人私聊判据与车道键）。语义零改动：去注释后的声明集合
（34 个顶层声明，含函数体/字段/常量值）逐字节全等；既有用例一条未改。

顺带：把两处「IsOwner() && !IsGroupChat()」的注释改成代码真正用的判据
（ownerPrivateLane = !msg.IsGroup() && actor.IsOwner()），并记下这处 P3 分叉。

验证：全树 build/vet/test 全绿（73 包 ok）；三包 -race 全绿；
新增 4 条准入用例在「准入失效」变异下三条必红、对照组保持绿。
 2026-10-24 21:28:26 +08:00
AskaEth ca8577f05b feat(channelbridge): 群聊静默窗口合并与回合中续跑（M23） 
主人 2026-10-23/24：「要让群聊聊天很自然，很流畅的做法」。群里「一鼓作气打三句」
此前会让她回三次；本片在**每会话车道头部**加一段静默等待，把这几句合成**一轮**回答
（批内每条仍是独立的一条消息，design/15 §2.1 不许拼成一条）。

四条不可走样：

- 🔴 主人私聊**结构性**无窗口：车道分 `newDirectLane`（无 batcher 字段、拿不到定时器
  工厂）与 `newBatchLane`，类型由 actor 元数据（IsOwner() && !IsGroupChat()）决定，
  配置无权翻转；
- 🔴 窗口内零丢失：唯一容器是车道队列（takeAll 单消费者取出），合并阶段无新增丢弃点
  （CoalescedDroppedTotal 恒 0）；超单批上限的**尾部回插队首**保序、锁内、发车前；
- 🔴 一条批 = 一个 turnID = 一次 loop.Run = 一条助手回复；
- 🔴 不改「回什么」：闸门仍逐条跑（prepareInbound 逐字搬运 M22 的 processFrom），
  被静默的消息进不了批。

实现落点：
- lane.go：direct/batch 两种车道 + front（回插队首）+ takeAll + 停机诚实登记；
- coalesce.go：生效参数解析、滑动窗口 + 绝对上限等待、发车原因与计数；
- coalesce_lane.go：攒批 → 拆分 → 陈旧度/闸门 → 发车；
- coalesce_prepare.go / coalesce_batch.go：processFrom 拆成 prepareInbound + runBatch；
- runtimeconfig/channels_coalesce.go：$DATA_DIR/config/coalesce.json（零新 .env 键）；
- gateway/admin_coalesce.go：GET/PUT /api/v1/admin/channels/coalesce（三态补丁 +
  writeAuth + 审计 channels.coalesce + 热生效），routes.go 两行注册（塔已批）；
- 前端：渠道总览页一张卡（六个旋钮；主人私聊只给只读说明，不给开关）。

M22 既有用例仍在（lane_test.go 夹具显式关窗以钉住车道本身）；stranger_test.go 的那条
按塔裁定 #4 改写：「已有回合在跑 ⇒ 只登记不回」变成排队回答（留 WARN，绝不静默）。

回归：go build/vet/test ./... 全绿；三包 -race 全绿；前端 tsc --noEmit + npm run build
+ 渲染测试 36 项通过。不 push、不重启后端、未改 .env 与 Docs/。
 2026-10-24 21:11:22 +08:00
AskaEth fd8a62edf5 Merge branch 'feat/lanequeue-decouple-inbound-turns-and-add' into dev 2026-10-24 20:17:17 +08:00
AskaEth e3e8878ead fix(channelbridge): 车道键与会话键同源 + 主人私聊溢出区保序（M22 复审） 
复审 r1 的 P1-1 被证实：车道键（a.Name()+ConversationKey，含频道与账号维度）与会话键
（platform \x00 channelID）是两套没有共同来源的判据，于是 kook 同一 guild 的两个 text
channel、以及同平台两个账号对同一对端，都会得到「一个 session、两条车道、两个回合并发」
—— 两条 run 共享 sessionID，checkpoint 行 id 互相覆盖 / flow 桶被先收尾者删掉。

- P1-1 车道键与会话键同源：`internal/channel/session` 导出 ChannelKey / Key（channelID
  与原缓存键派生**原样**导出，manager 内部改为走同一个 sessionKey，语义一字未改）；
  `laneKey` 现在逐字是 `session.Key(msg)`（主人私聊仍是 `main|web` 这个目的地键），
  **去掉 a.Name() 维度**。同平台多账号对同一对端因此共用一条车道（它们是同一个 session），
  出站路由不受影响：回复取每条消息自己的 platform/ChannelID 与它自己的适配器。
- P2-1 溢出区保序：`spill` 非空后新条目一律追加 spill、不再回写 `ch`，修掉复审实测的
  `[m1 m2 m3 m5 m4]` 超车（现为到达顺序）。
- P2-2 口径修正：lane_test 文件头改指 `TestLaneRejectsNewestWhenFull`（语义是「门前拒收
  最新、队列不动」）；laneKey 注释改写「多账号必须共用一条车道」并写明取舍。
- P2-3 生产可见性：丢弃 WARN 带上 `dropped_stale_total` / `dropped_overflow_total` 累计
  计数（不新开端点）；主人私聊积压改成按倍率 16/32/64… 告警，不再只响一次。

断言：TestLaneKeyNeverCollidesAcrossSessions（表驱动，含 kook c1/c2@同 guild、
telegram conf0/conf1@同对端两行 + 不同群仍并行的控制行）、
TestLaneOwnerPrivateSpillKeepsArrivalOrder（逐条放行，钉住到达顺序）、
internal/channel/session/keys_test.go（键派生与会话缓存键形状）。
 2026-10-24 20:08:28 +08:00
AskaEth 7ea2850f18 Merge branch 'feat/m24-flowgate-move-review-off-admission-p' into dev 2026-10-24 20:00:57 +08:00
AskaEth a25e0c8870 test(channelbridge): 锁住审查解析的接线（BOM 韧性必须在生产侧生效） 
- 新增 TestParseKeepIndices_ToleratesBOMWiring：喂对端**原样字节**（\xef\xbb\xbf + JSON 数组）
  给生产路径的 parseKeepIndices，必须解析成功且升序；同时断言夹具真的以 BOM 开头、且裸
  json.Unmarshal 在它上面仍然失败 —— 把委派改回裸 json.Unmarshal 即红。
- 新增 TestParseKeepIndices_StillFiltersAfterDelegation：委派之后过滤口径不变（越界/负数/
  重复编号丢弃、结果升序）。
- 新增 TestNewLLMReviewer_ToleratesBOMOutput：走整条生产路径（NewLLMReviewer 产出的
  Reviewer），回带 BOM 时给出保留编号而不是退回 FIFO。
- 注释里写明 M24 已确认的语义代价：审查移出准入路径后 review_pruned 不再从门口丢消息
  （41–74 条/日 会进流水线），而 rate_limited 门口丢与 FIFO 上限修剪一字不改（由既有用例钉住）。

只加用例与必要注释（含一个为断言所需的 encoding/json import），未改动既有用例的任何断言。
 2026-10-24 19:49:58 +08:00
AskaEth e91b868a5c feat(channelbridge): 入站投递与回水解耦 + 每会话回合车道（M22） 
报障：「群聊消息速率限制似乎会让消息一直排队，导致后面才回复前面的话」。
病灶：`onMessage` 在适配器的读循环里**同步**抢全局 16 槽回合信号量，槽满即停止
读 socket（心跳不回、后续帧不解析），跑完一轮再按条重放。

- 解耦：`onMessage` 过完流控闸后只调用 `enqueueInbound` 就返回；全局回合槽
  （maxConcurrent=16）搬到车道 worker 里取，读循环不再等任何一个回合。
- 每会话一条车道（lane.go）：键 = `<账号>|<platform>|<channel>|<会话桶>`
  （主人私聊恒为 `main|web`，因为它们都路由进同一个主会话）；同会话串行 FIFO、
  不同会话并行；空闲车道退休，表大小只跟活跃会话数相关。
- 陈旧度闸：轮到时已等超 `LaneStaleAfter`（默认 30s，Options 可覆盖）⇒ 丢弃不补答，
  留 WARN + LaneStats 计数 + onRejected 审计。主人私聊与非聊天事件豁免
  （主人 2026-10-24 裁定：宁可晚回，不许不回）。
- 背压有界且诚实：群聊/陌生人满时在门前拒收这一条（队列内容不动，M23 的 takeAll
  依赖它）；主人私聊永不拒收，溢到 spill 只排队，越过 ownerLaneBacklogWarn 记 WARN。
- 四条不变量（顺序/一致性/完整性/最新性）在 lane.go 头部写清，lane_test.go 逐条断言；
  TestLaneDeliveryNeverBlocksTheReadLoop 用「槽全满 + 心跳帧」复现旧病灶。

不改「回什么」的语义：flowgate 限流判据、engage/冷避/owner 闸、陌生人 AcquireTurn
全部原样保留；不做静默窗口合并与回合中续跑（M23）。
 2026-10-24 19:46:20 +08:00
AskaEth 76d972f0f2 fix(channel/flowgate): 审查移出准入路径、节流覆盖失败路径、BOM 解析韧性 
- Admit 不再同步调用审查模型：触发时只把审查**派发**到后台 goroutine，准入只读
  当前已有结论。三重上界：同一适配器至多一次在飞（reviewInFlight）、同一会话每窗口
  至多一次（lastReview）、整个适配器每窗口至多 defaultReviewPerWindow=6 次（reviewHits，
  写成可测断言）。
- st.lastReview 改为在**派发时**置位 ⇒ 成功与失败两条路径同样被节流。修复前它只在
  err == nil 分支置位，而实测 68% 的审查因对端回带 BOM 解析失败 ⇒ 缓冲满后每条入站帧
  都付一次 ~6s 的模型调用（qq-ws/kook-ws/weixin-poll 三路单读 goroutine 全被钉住）。
- 新增 adapter.ParseReviewIndices：容忍 UTF-8 BOM、首尾空白/换行、Markdown 代码围栏、
  数组外解说文字；越界/重复编号照旧丢弃。channelbridge.parseKeepIndices 改为委派它
  （仅函数体 + 注释，未动限流/丢弃/审查触发语义）。
- 语义差异（已写进 flowgate_review.go 文件头）：rate_limited 的门口丢与 FIFO 上限
  一字不改；审查修剪降级为后台积压去噪，只修剪它当时看到的那批历史条目 ——
  review_pruned 不再从门口丢消息（实测 41–74 条/日），完整性↑、噪声↑，是否开口仍由
  engage_judge/冷避/owner 闸判（三处判据未动）。
- cmd/cyrene：逐账号启动日志如实报出生效的入口流控（塔裁决 A：零行为改动、不翻默认），
  让「没配流控键的账号闸门仍开着」一眼可见。
- 测试：4s 慢审查替身证明入站帧不被阻塞（变异回同步 ⇒ 红）、节流在失败路径生效
  （摘掉派发时置位 ⇒ 红）、每适配器窗口预算上界（摘掉预算 ⇒ 红）、同适配器单飞
  （摘掉 in-flight ⇒ 红）、在飞期间到达的消息不被连带修剪、带 BOM 字节的夹具
  （夹具去掉 BOM ⇒ 红）。闸门用例 -race 通过。
 2026-10-24 19:43:57 +08:00
AskaEth 6b0af81136 fix(turnreply): 围栏闭合串不得短于开启串（复审 p2 收口） 
复审 review-m19-r1 的 p2：`codeProtectedEnd` 的围栏分支只判「下一个 ≥3 反引号
的串」，没判「闭合不短于开启」。CommonMark 要求闭合串**至少与开启串等长**，
因此 ```` 开启的围栏不能被内层 ``` 关闭。复现形态（````markdown 里嵌 ```go，
示例里写 `print("a\nb")`）：旧实现把内层 ``` 当闭合 ⇒ 之后的示例正文被当普通
正文渲染，代码里的 `\n` 变成真换行；而这一步跑在**落库之前**，改坏的代码会永久进
历史 —— 反向踩了本文件「宁可少渲染也不改坏代码」的自己的红线。

- literal_breaks.go：围栏分支改为 findBacktickRun(text, body, n, unboundedRun)
  （closing ≥ opening）；注释写明 CommonMark 口径与「改了会落库」的后果。
- 新增 TestRenderLiteralLineBreaks_NestedFenceRespectsOpeningRun：嵌套围栏逐字保留、
  围栏外仍照常渲染（保护不得溢出）。摘掉这一行 ⇒ 该用例红，还原即绿。
- 新增 TestTurnReply_DoubleLiteralBreakBecomesParagraphBreak：钉住 `\n\n` ⇒ 空行 ⇒
  两段 <p> ⇒ 两端各 2 条气泡（复审观察②，语义对但此前无用例覆盖）。
- 措辞收口：样本 455 字符 / 907 字节；IM 侧主动推送的注释补明「Web 活跃客户端那条
  主动推送不经 NormalizeParagraphs，另计」。

行内代码那条等长分支未动。全树 go build ./... + go vet ./... + go test -count=1 ./...
全绿（73 包，RC 0）。
 2026-10-24 19:33:33 +08:00
AskaEth fa573663c1 fix(turnreply): 字面 \n 渲染成真换行（Web 镜像与 IM 出站同一份） 
主人 2026-10-24 报障：QQ 群最新一条 assistant 消息里 6 处字面 `\n`
（反斜杠 + n，不是真换行）原样发出去，用户看到「F\n多利亚」。

落点选在**写入侧共享层** `turnreply.NormalizeParagraphs`（gateway 的
persistTurnReply 与 channelbridge 的 turnVisibleReply 都调它）：
IM 的 deliverReply 拿同一个字符串既落库（= Web 主会话镜像）又发气泡，
Web chat 气泡是 whitespace-pre-wrap ⇒ 在共享层渲染，落库/WS/REST/IM
出站与历史一次性对齐；只在 channelbridge 清洗层改会留下「面板上仍是字面 \n」。

- 新增 internal/runtime/turnreply/literal_breaks.go 的 RenderLiteralLineBreaks：
  逐字节扫描，围栏（```）与行内代码（`…` / ``…``）内原样保留，`\n` 与
  `\t`/`\r`/`\uXXXX`、行尾孤立 `\` 一律不动；未闭合围栏保守保护到末尾；幂等。
- paragraph.go 在**围栏 skip 之前**调用它 ⇒ 含围栏的消息里围栏外的 `\n` 也渲染。
- 🔴 未改既有语义：只产出换行字符，绝不产出 <br>/<p> —— <br> 仍是气泡分隔符，
  字面 \n 只做气泡内换行（一条列表不会被拆成 7 条消息）。
- channelbridge 源码零改动。

验证：真机原文（6 处 \n / 5 个 <p>）修前红（摘掉钩子 3 个测试变红）→ 修后绿；
三处变异（去掉围栏保护 / 去掉 \ 配对 / 把渲染挪到围栏 skip 之后）各自变红后还原复绿。
全树 go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）。
 2026-10-24 19:21:50 +08:00
AskaEth 28967d3435 refactor(channelbridge): 冷避例外②收窄为「真故障/求救」严格子集 
塔 2026-10-15 改裁定：例外给了命中词「穿透 30 分钟冷避」的权力，噪声不再只是多回
一句话，而是直接削弱冷避本身 —— 而实测全表 14 条在 598 条真实 user 消息里只命中
1 次，且那次是假阳性（QQ 机器人卡片文案里的 `bug`，而该群本来就在放这种卡片）。

- 新增 coldShoulderPierceKeywords（具名常量，注释写明为什么比全表严、依据即那条
  卡片假阳性）与 hasColdShoulderPierceKeyword：保留 报错/出错/故障/紧急/救命/求助/
  帮帮我/urgent，剔出 ASCII `bug`/`error`/`help`（会命中结构化载荷/URL/卡片）与
  情绪歧义的 `崩溃`/`坏了`/`坏掉`。
- 例外② 改用该子集；hasHighValueKeyword（基线，ruleLightJudge 用）**一字未改**，
  两张表的分工写进注释，并有断言钉住「基线不许被这次收窄波及」。
- 例外矩阵新增三行：机器人卡片含 `bug` ⇒ 不穿透；英文 error/help ⇒ 不穿透；
  情绪「我崩溃了」⇒ 不穿透（三行对上一提交均为红）。第 1/2 行继续用保留词 报错，
  第 3/4/5/6 行原样保留；另加子集单元护栏（正例六条 / 反例六条）。
- 按项目「文件 ≤500 行」把冷避规则簇拆到 engage_coldshoulder.go（engage.go 528→376）。

红前绿证据：把例外判据临时还原成上一提交的 hasHighValueKeyword 全表（与该提交逐字
等价）⇒ 恰好上述三行变红、其余行与护栏保持绿；已还原（无残留）。
已知代价如实登记在案：用英文写的真求救不再穿透 —— 塔裁定以「宁可少穿透」为准；
全表（highValueKeywords）本身的收窄由塔另排切片，不在本片。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）；
channelbridge / channel / cmd/cyrene 单独跑绿；darwin/arm64 交叉编译通过。
 2026-10-15 19:04:48 +08:00
AskaEth 13a0519115 feat(channelbridge): 冷避期唯一的放行口——高价值关键词穿透（不解除冷却） 
塔 2026-10-15 例外口径定稿落地。M18 主体（冷避优先于「@她必回」）保持不动，
本提交只补冷却期内的例外与它的守卫。

- engage.go：`coldShoulderLocked` 在冷却期内放行**高价值关键词**这一条
  （真故障不该被「让她少闲聊」一并压掉），且**不解除冷却**（不动 state / cooldownUntil）；
  同句既有负面态度又有高价值关键词时**负面态度优先**（仍进冷却、仍静默）；
  例外与顺序写进函数注释，并写明 owner 车道为什么不需要单独写例外（它在
  shouldRespond 第一步就分岔，写在这里是死代码）。文档面 design/18 §5/§9 由塔同步。
- light.go：shouldRespond 的判定顺序与冷避闸注释同步该口径。
- 测试：新增 engage_coldshoulder_exception_test.go（冷却期例外矩阵：真故障放行、
  @她/闲聊不穿透、穿透不解除冷却、同句负面态度优先；以及「冷却之外行为与基线一致」
  的护栏），并按文件 ≤500 行拆出该文件；engage_coldshoulder_test.go 增共享夹具。

红前绿证据（参照 = 本提交的父 M18 提交）：例外矩阵两条「真故障放行」行在我的改动
之前为红（冷避闸会把它们静默），其余三行与基线护栏在父提交上已绿，已如实标注为护栏；
「同句负面态度优先」一条另做变异自证（把例外插到负面态度判定之前 ⇒ 该行立刻变红）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
channelbridge / channel / cmd/cyrene 单独跑绿；darwin/arm64 交叉编译通过。
 2026-10-15 19:01:02 +08:00
AskaEth fe53e029ea fix(channelbridge): 冷避优先于「@她必回」——群成员也能让她少说话 
M18（主人 2026-10-14 裁决「给」）。病灶是**顺序**：`shouldRespond` 把
`ruleLightJudge`（指向她本人 / 高价值关键词）排在参与度引擎之前，@她的消息
在规则层就 return true，永远走不到 `engageDecision` 的冷避判定——群成员说
「少说点」只换来一句口头答应，行为零变化（2026-10-14 00:27 群 531082168 报障）。

- light.go：新增冷避闸位次 —— 非主人**群**消息在廉价规则之前先过
  `coldShoulderGate`，命中负面态度即进 COOLDOWN、冷却期内一律静默（仍登记）。
  边界：私聊不受影响（冷避是群机制）、owner 车道更早分岔不受影响、
  与是否装配参与度引擎无关。shouldRespond 的判定顺序写进函数注释。
- engage.go：把冷避判据抽成唯一实现 `coldShoulderLocked`（engageDecision 仍调用
  它，作纵深防御），命中时补一条带 source 的 INFO（群 / 发送者 / 冷却到何时）。
- engage.go 词表：依真机原话补「减少文本输出」（覆盖「减少文本输出量」）与
  「文本输出调到最少」；刻意不取「减少 / 输出 / 最少」等短泛词（子串匹配会误伤）。
- 测试：新增 engage_coldshoulder_test.go（主断言修前红/修后绿、登记进上下文的
  端到端守卫、私聊与 owner 边界护栏、词表误伤护栏、INFO 可见性）；
  engage_test.go 更新旧口径「@ 打断冷却」为「@ 不得作废冷避」。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿（windows 本机
与 darwin/arm64 交叉编译均通过）；channelbridge / channel / cmd/cyrene 单独跑亦绿。
 2026-10-15 18:55:35 +08:00
AskaEth 5969e700e1 fix(channelbridge): 成员车道「指向她」判据改为 AddressedToMe（@ 别人不再必回） 
ruleLightJudge 原判据是 len(msg.Mentions) > 0 —— 只要有任意 @ 就必回，
@ 的是谁不论。2026-10-14 真机病灶：群里 @3889001246、@867587435 两条
都不是 @ 她，她仍逐条回。

改为复用 owner 车道已验证的同一份判据 ownerAddressedToMe
（msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)）：
- 已接线渠道（qq-obv11 填了 SelfID/MentionAll/AddressedToMe）：只有 @ 她本人 /
  @全体 才必回，@ 别人降级为无结论 → 参与度触发/概率那一档（未触发只登记）；
- 未接线渠道（kook/webhook/telegram/weixin_ilink 未填 SelfID）：逐字不变，
  仍按旧判据必回（「没有信号」≠「没在对我说话」）；
- 判据全部来自结构化字段，绝不匹配正文里的 @<数字>。

口径依据 design/18 §2 触发① 的 2026-10-13 修订（消费点在 M13 只接了 owner 车道）。
 2026-10-14 07:21:07 +08:00
AskaEth 1d49d266f0 fix(channel): message_sent 回声升 T2 落行，出站消息 id 不再被丢 
塔转 M12 登记的缺口（塔裁定「归你」，文件都在本片 scope 内）：她自己发出消息
的回声（message_sent）被当成「帧级链路遥测」一并豁免 self 升档 ⇒ 停在 T1，
只进计数、不落行，`message_id` 被丢，「她最近发了哪些消息」在库里查不到。

- events.go: 把 MessageSent 从 isFrameTelemetry 的豁免里摘出（它不是帧级遥测：
  一帧 = 她真发出的一条消息，回声带的是那条出站消息的 id）。
  心跳 / 生命周期的豁免**保持不变**（其登记的迁移债注释原样保留）。
- events_mapping_test.go: 两条 MessageSent 断言同步更新
  （:52 自身回声命中自己 ⇒ 由 T1 改 T2；:33 无 self 信号仍走基础档 T1，标签改精确）。
- events_test.go: 新增端到端用例（真 SQLite）：self 命中 ⇒ 落 1 行、tier=t2、
  MessageID=out-msg-42 留在库里、不进上下文、不驱动 loop。
 2026-10-13 20:50:31 +08:00
AskaEth 537a8b7988 feat(channel): owner 车道结构化参与闸与可调旋钮（乙 = C） 
主人 2026-10-13 裁决「乙 C」= 默认按甲（群里不对她说就不开口）+ 可调旋钮。

- inbound.go: owner 不再无条件短路参与闸（去掉 `!actor.IsOwner()` 门），
  主人群消息改走 shouldRespond 的 owner 车道分支；主人私聊恒回。
- ownerlane.go（新）: owner 车道结构化闸 + 判据
  `msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)`
  （未接线渠道退回旧判据，保护 kook/webhook 的群 @）；指向她本人必回（硬保留）；
  非指向消息按每群旋钮——默认只进上下文不回（registerSilenced 落隔离会话）。
  「少说点」类关键词落成结构化降频配置，带 source 日志。
- channelbridge.go: Options.OwnerLaneFor/OwnerLaneSet 读写接缝 + Bridge 状态。
- engage.go: 冷避词表并入「少说点」（与既有「少说两句」同义）。
- runtimeconfig/channels_ownerlane.go（新）: owner_lane.json 落盘面
  （默认档 + 每群覆盖，可读可改，面板可写）。
- wire_channels.go: 注入 owner_lane.json 存储（$DATA_DIR/config/）。
- 测试：不对她说就不回（进上下文零回复）/ @她必回（即使降频）/ 未接线退回
  旧判据 / 降频生效且可恢复 + 频率闸 / 旋钮读写接缝 / 归属不变量闭合 /
  陌生人私聊与主人私聊回归。变异自证：恢复 owner 短路 ⇒ 5 条用例红。
 2026-10-13 20:48:05 +08:00
AskaEth 91e4dd2fe1 fix(channel): 静默登记同源第三方标注 —— 无昵称非主人不再被读成主人 
review p1：回帖路径已改用 thirdPartySenderName（非主人恒有标注：昵称 → actor
uid → 「未署名发送者」），但 registerSilenced 仍用 senderDisplayName，非主人
无昵称时写出空串；静默行会被 transcript 读回她的上下文，而受限会话里空标注就是
「主人本人」⇒ 在 senderName 可选且无兜底的渠道（webhook）上，一条没昵称的陌生人
消息被渲染成「[发言归属] 以下发言来自主人（管理员账户）本人」。

- light.go:270：senderDisplayName → thirdPartySenderName，与回帖路径同源。
  senderDisplayName 未成死代码：仍被 light.go:223（LightJudge 输入）、
  engage.go:284、flowgate.go:183 使用。
- 新增 TestSilencedNamelessMemberIsNotReadAsTheOwner：走真链路（静默登记 → 落库
  → 下一回合播种转录 → loop 归属渲染 → provider 请求），钉住「无昵称的非主人经
  静默登记后，读回上下文时不得出现主人标注」。修前必红（写入口径与模型侧两条
  断言同时报，含被读成主人的原样请求），修后绿。

验证：go build ./... / go vet ./... / go test -count=1 ./...（全树）全绿。
 2026-10-13 20:34:04 +08:00
AskaEth 8ab241f627 feat(channel): 群聊发言人归属落进模型上下文（user 侧也产出标注） 
裁决 06.4.1 行动项①②落地（主人 2026-10-13 定稿：结构化归属 + system 标注，
不把元数据拼进用户正文）。

- loop/attribution.go：发言人归属从「只认 assistant」扩到 user 侧，按三条
  结构事实各出一条边界说明 —— assistant 的角色（她自己 / 别的角色，措辞逐字
  不变）、受限会话里带昵称的第三方人员（明标「不是主人」）、以及不带昵称的
  主人本人；受限会话里未标注的 assistant 历史按 design/22 §7-4 归到本会话角色。
  标注仍只新增 system 消息，正文一字不改。
- channelbridge/inbound_speaker.go（自 inbound.go 拆出）：第三方发送者标注车道
  thirdPartySenderName —— 主人恒返回空（主人从不被标注），其余昵称缺失时退到
  平台 uid 再退到「未署名发送者」，绝不落进「空标注 = 主人」那条车道；
  thirdPartyBoundaryPrompt 删掉「只有未标注昵称的消息才是管理员（主人）发言」，
  改为「谁在说话以「发言归属」标注为准」。
- channelbridge/source.go：来源行删掉「（非管理员账户=第三方人员，未标注昵称=主人）」。
- 主人本人在群里的消息落库不再写昵称（sender_name 空 = 主人），使转录里同一句话
  的归属与当回合一致。

验证：go build ./... / go vet ./... / go test ./...（含全树）全绿；
变异自证：把 user 侧归属恢复成不产出 ⇒ 3 条 loop 用例 + 1 条渠道端到端用例变红。
 2026-10-13 20:24:21 +08:00
AskaEth d81635672e fix(channel): 热重载把新适配器写回能力注册表
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
面板保存渠道配置后 Bridge.Reload 只重建了桥接器自己的适配器表，能力注册表里的条目仍指向保存前的旧实例；而管理面的渠道列表、每账号连接状态、open/close 的目标解析全部读注册表 —— 于是卡片永远「未连接」，点「连接」驱动的是旧实例（按旧 URL 拨号）。

生产日志实证：保存后 bridge 侧新实例连上 ws://localhost:3001 且心跳正常，而点连接时被驱动的适配器拨的是旧地址 ws://localhost:10301。

改法：注册表新增 upsert 语义的 ReplaceChannel（覆盖 Value、保留运行期 Policy；Register 遇重名会 ErrDuplicate，热重载必然同名）；桥接器经窄端口在适配器上线后同步，账号被移除时删除条目；组合根注入 a.caps 包装。同步失败只记日志、不中断 Reload；未接线时保持旧行为并只 WARN 一次。

验收：go build ./... + go vet 全绿；registry/channelbridge/gateway 三包 test 全绿；主会话亲自变异（摘掉 Policy 沿用 ⇒ TestReplaceChannelSwapsValueAndKeepsPolicy 红）。linux/darwin 交叉编译通过。
 2026-10-13 19:21:49 +08:00
AskaEth 74c9f2d8df feat(channelbridge): u 加回 IM 出站的行内白名单（改为六项）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定「下划线确实可以保留」。

- 行内白名单：b / strong / i / em / code / u（六项）
- s 仍在外（逐字原样保留，含大写 <S>）—— 有一个守门变异专门锁这条
- 行为改动只有一行（case 列表加 "u"），其余是注释与测试同步
 2026-10-07 18:37:35 +08:00
AskaEth a19d12b228 feat(markup): br 改为气泡/消息分隔符 + 行内白名单收窄到五项（Web + IM 两侧） 
主人 2026-10-07：「对消息内的 <br> 始终处理为多条消息隔断」。

Web 侧（frontend/web）：
- chat.tsx 的 splitParagraphs（SplitChatBubble 的切分层）新增 BR_SEPARATOR_RE
  与 splitBubbleBreaks：<br>/<br/>/</br> 等价、属性不解析、<brow>/<br2> 挡掉、
  流式半截 <br 不切；不含 <br> 的段逐字返回原样（既有 p 口径一字节不动）
- inlineMarkup.ts 删掉 break 节点（br 不再是行内元素），白名单收窄为
  b/strong/i/em/code 五项；renderContent.tsx 同步；测试 76 -> 99 checks
- 40 条基线逐字节对照：28 IDENTICAL，12 个 DIFF 恰是含 br/u/s/<BR> 的样例

IM 侧（internal/services/channelbridge）：
- 新增 inline_tags.go：成对平衡的白名单行内标签剥标签留文本、白名单外与
  结构不平衡整段原样保留；br 作为第二级分隔符交给 splitBubbles
- 两级切分：p 块为第一级，块内按 br 再切为第二级；空气泡丢弃
- br 切分放在角色注记摘除之后：否则 action 里的 br 会把注记正文漏成聊天气泡
  （变异专门钉住这条顺序）

两路各 4 个自带变异均「改坏 -> 编译过 -> 变红 -> 还原 -> 复绿」。
 2026-10-07 17:32:05 +08:00
AskaEth 353293e807 feat(im): 主动消息「没送达微信」现在说得清（原因码 + 三处可见）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人原话：「可以，这有必要，不然我老是收不到」。真机日志：
`backthink IM push failed … weixin_ilink: proactive push outside 24h window`
—— 她的话**送进了 Web 活跃客户端，但没送进微信**，原因是**平台规则**（微信 iLink
只允许用户最后一条消息后 24h 窗口内主动推送），不是崩溃。

本片只做「如实说清」，不绕规则：
- **原因码**：新增契约层分类件 `internal/channel/adapter/delivery.go`
  （`DeliveryCategory` + 4 个码 + 可选自描述接口 `DeliveryFailure` / 读取函数），
  **沿用**既有 voice `Category(err)` 与 `SystemNoticeNormalizer` 的范式，**不造第二套枚举**；
  平台码由产生错误的层声明：`weixin_ilink` 的 `ErrProactiveWindow` 自报
  `proactive_window_closed`（哨兵文本与 `errors.Is` 判定**逐字未变**）。
- **三处可见**：① 结构化 WARN（补齐 category/channel/platform/route）；
  ② 审计 `backthink.push.im_undelivered`（与 `backthink.self_wake.*` 同族）；
  ③ 推送结果 `Detail` 追加稳定标签 `im_undelivered=<渠道>:<原因码>` —— 面板**已在
  渲染 Detail**（`Backthink.tsx:185`）⇒ 主人现在就能看到，**无需改前端**。
- **不丢消息**：IM 路失败照旧走活跃客户端路，且**只在 Web 真送达时** `pushed=true`；
  有测试钉住「IM 失败不影响另一条路」（同一条消息没被丢）。
- **不做的**：不重试刷屏、不换渠道冒充微信、不伪造送达、不新增 `.env` 键。

验收（主会话复跑 + 亲自变异）：**整树 `go build ./...` 通过**；4 个包 vet/测试全绿；
我用 -overlay 把 `ErrProactiveWindow` 退成裸 `errors.New` ⇒ weixin 包两条用例变红
（`category = "failed", want proactive_window_closed`），channelbridge/backthink 亦红。

⚠️ 未落地的建议（已登记，未硬改）：给她的"推送回执"（`backthink_records` 加
`push_category`/`push_channel` 两列 + 下一轮注入只读一行）与面板结构化徽标 ——
红线：回执只能用来换渠道/换措辞/等窗口，**不得演变成绕平台规则**。
 2026-10-07 10:59:22 +08:00
AskaEth e5e5207c94 test(channelbridge): 补跨「渠道桥 → 网关」的 IM 附件整链回归
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
安卓端的 P0（「IM 入站的文件要挂到消息的 documents 上」）其实早已修复
（679cee0）：附件引用在落库那一刻写进 chat_messages.document 列，DTO 的
documents 由该列解出。但既有两个用例各据一半（渠道桥侧只验落库、网关侧只验
投影），**没有一条真正跨过这条边界** —— 于是「哪一段断了」只能靠人读代码。

本片补一条真跨边界的端到端：同一个真实 history.Store（:memory: SQLite）
同时喂真渠道桥与真网关，走完整 IM 入站回合（真抽取器 + 真循环 + 假模型），
最后从 HTTP 原始 JSON 逐字断言该消息带 documents。

验收（主会话复跑 + 亲自变异）：channelbridge 包测试绿；我把
inboundDocumentColumn 变异成恒回空串（模拟 P0 根因）⇒ 该用例变红，报错文案
正是「带附件的用户消息缺少 documents 键（这正是安卓报的 P0）」；还原后绿。

⚠️ 真渠道/真设备未跑：要主人发一条新的真文件消息才能做设备级复验。
 2026-10-07 10:11:19 +08:00
AskaEth ede00d9928 feat(voice): 语音消息落库 + 转码接入（切片 0020） 
- 迁移 0020_chat_message_voice：按 design/24 §10 与契约 §7.2 已登记的 voice 形状建列/索引
- 语音回合进编排并落库；voice 引用与统计如实回填（转码/转写没成功就如实标未成功，不假装）
- 复用既有 internal/capability/transcode：非 wav（微信 AMR 等）先转码再送 ASR；失败可分类且不丢消息

⚠️ 部分完成（如实登记）：生产端到端未成立（本片只到落库与转码接入），且**未经验真机**。
 2026-10-06 09:04:06 +08:00
AskaEth f4adf0b526 feat(notify): IM 路由的主动消息也在非前台补浏览器通知（契约 v0.74）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人裁定 C 的必然推论：她该不该提醒我，与后端走了哪条路由无关。P0 如实报回的缺口 = 通知只挂在 proactive_message 帧上，而 auto 提示在有已连接 IM 渠道时优先走 IM ⇒ 最常发生的路径恰恰不弹。

判据（先查现状、不猜）：行字段**区分不出**主动推送与普通回复（已用真库证据排除 platform/adapterId/turnId 反推）⇒ 新增**结构化的正向声明**：帧顶 data.proactive === true，只由主动推送那条通道打（gateway.BroadcastProactivePersisted）；普通路径永远传 false。
- 后端：channelbridge 抽出唯一写入口径 persistMain + 新增 proactive_notify 接缝；gateway 抽出 broadcastPersisted(msg, proactive) 两入口共用
- 前端：handlers/proactive-notice.ts 两条帧路共用同一套提醒运行时（有界去重 + 降级说明 + DOM/Notification 取值）；message.ts 读到判据才走提醒
- 对照断言（必须有）：普通 IM 回复/主人提问/显式 proactive:false ⇒ **0 通知、3 气泡**（不误伤）
- 变异实测：去掉非主动保护 / 跨两路去重失效 / 前台也弹 / IM 不发判据帧 / 普通广播带判据 ⇒ 5 条全部打红
- 契约 v0.74（纯增量：message_persisted 新增可选 proactive:true）
- 边界（如实）：判据**不落库**（翻历史不弹提醒，也不得从行字段反推）；落库失败时不发判据帧（无权威 id 的帧前端整帧丢弃）
 2026-10-05 19:47:54 +08:00
AskaEth afe9afb1b5 feat(events): 渠道事件桥接接线 + 组合根（design/26 E3+E4） 
- E3：channelbridge/events.go 唯一插入点 recordEvent（两轴映射 Category→Tier、摘要恒过 SanitizeNoticeText、角色/账号只认白名单）+ Options.EventStore 注入
  - 未接线 store=nil ⇒ 内存计数 + 首次 DEBUG，绝不中断入站（变异实测：改成直接调 Record ⇒ panic，测试红）
  - 普通聊天消息零副作用（变异：去掉 Applicable 早退 ⇒ rows=1 红）
  - T1 遥测只计数不落行（变异：心跳误判 T2 ⇒ 「逐条落行 1 行，want 0」红）
- E4：wire_channel_events.go（启动期清扫 + 双 ticker + 退出 flush，逐字对齐 wire_document_gc 的三条取舍）、wire_channels 注入、main.go 加一行 startChannelEvents
- internal/config/duration_env.go：新 env 键的读取口径（进程环境 > .env > 默认；「没写」与「写了空」都当没配；非法值回落 + 报错）——避免「只写在 .env 里被静默忽略」
- 三个新 env 键：CHANNEL_EVENT_RETENTION / GC_INTERVAL / COUNTER_FLUSH（模板同批更新，测试钉住键名一致）
- 插入点比设计示意图晚一步（放 preEntryReview 之后，只归一化一次且 NoticeClass 已有结论），「留存无条件、在任何早退之前」这条性质不变
 2026-10-05 14:10:24 +08:00
AskaEth a057a0f61f feat(channels): 流控可配 —— 陌生人私聊额度走账号配置 directMsgPerMin（裁决 13）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 后端：账号顶层 directMsgPerMin（缺失/0 = 保护性默认 6 条/分；正值 = 该值；负值 = 关闭并留带 source 的 WARN）
- 日志如实报出**实际生效**额度（adapter.(*FlowGate).DirectPerMin()），告警文案不再写死 6
- 面板：渠道配置表单加字段（含帮助文案）+ 回显/写回链路（LIMIT_KEYS 四键）+ 账号卡片摘要
- 文案纠错：AdapterConfigSummary 的 msgPerMin 由「私聊每分钟上限」改为「非主人消息每分钟总上限」（原描述是误导），并列补 directMsgPerMin 行
- 变异实测：缺键丢默认 / 负值当 1 条每分 / 前端吞负值 —— 三个都精确打红并还原
- ⚠️ 已知缺口（下一片补，gateway 面）：GET/PUT /admin/channels 尚未下发/解码该键 ⇒ 面板暂时回显空、保存会把 -1 重置为 0
 2026-10-05 13:50:29 +08:00
AskaEth 7ae4298871 feat(channels): 陌生人私聊正常聊天（跳概率门）+ 强制流控 6条/分与回合槽位 + 安静时段不再硬静默 + 受限车道边界行前置
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 陌生人私聊：不再走「值不值得回」的概率门，唯一闸门 = 每发送者 6 条/分滑窗 + 同会话 1 个在跑回合
- 被限流只登记不回，且留带 source 的可见告警（不静默）
- 安静时段在回复侧只作信号（规则层不再静默），群聊取消夜间静默
- 锁定流控常量：FlowDirectDefault 加字面量钉桩测试（放大它 = 静默关流控，且会让额度循环跑百万轮）
 2026-10-05 13:26:15 +08:00
AskaEth 89715d1813 feat(channels): 受限车道回合补自身会话历史（群聊/陌生人能连贯理解一段对话；复用共享 transcript，拒绝主会话 id）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-05 12:58:01 +08:00
AskaEth 8f6a75b7d7 feat(channels): IM 车道生成并写入真实 turn_id（user/assistant 成对 + 同源 WithTurnID；群聊隔离与静默语义不变）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-05 12:22:44 +08:00
AskaEth 5139945bfe feat(channels): 非消息事件接入（notice 归一化 + 传入前审查，fail-safe 静默）与入站脱敏帧日志/日志轮转
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- notice：adapter 归一化 seam + 结构化分类 + 净化（ANSI/控制/零宽/双向字符、200 runes 截断）
  + fail-safe 写死为「静默」（未装配审查/超时/失败 ⇒ 仅登记、不驱动 loop）
- 身份面零改动：notice 发送者恒 RoleSystem + SenderID=system
- 复用策略四的同一个审查模型（Options.Review），未另造第二套
- 入站帧脱敏 DEBUG（post_type/message_type/sub_type/self_id/user_id/sender_id/group_id/段类型/at 目标）
- ctrl.bat 启动前归档轮转（保留 20 份）+ bash 侧改追加（不再重启即截断）
 2026-10-05 11:55:05 +08:00
AskaEth 9b903a89bc feat(runtime): IM 主人私聊补历史转录（与 Web 主会话同源：抽共享 transcript 包 + OwnerEnvFor 单入口）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-05 11:36:18 +08:00
AskaEth b73a1276c6 feat(channels): IM 入站图片接线（纯图片不再被丢 / data URI 进模型视图 / 诚实提示 / 来源白名单） 2026-10-05 11:22:26 +08:00
AskaEth 5de708a560 fix(gateway,channelbridge,turnreply): p 标签半包写入侧规整（修「整条塌成一段」）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
裁定（已发安卓）：**能修**，走**写入侧规整** —— 不指望模型输出、不动客户端。
- 新增 internal/runtime/turnreply/paragraph.go 的 NormalizeParagraphs：
  把未被 <p> 包裹的段落补上 <p>（按空行分段；<action>/<narration> 段也包进 <p>，
  与正确形态 <p><action>…</action>…</p> 一致）
- **幂等**守门断言：已完全包裹的文本逐字不变（防二次加工）
- 落点覆盖 Web 与 IM 两条落库路径（gateway/session_turn_reply.go、channelbridge/turnreply.go、
  proactive.go）⇒ 两边共用同一份规整文本 ⇒ **历史一次性变好、两个客户端零改动**、渲染口径不分叉
（测试与变异详见切片报告）
 2026-10-05 10:56:39 +08:00
AskaEth a918819878 feat(channels,voice): IM 各渠道语音消息可被读到（全渠道云端 ASR + 临时熔断）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
采集面：mediafetch 新增 inline_voice.go（音频白名单，与 documents.ExtAllowed 互不污染；
复用既有来源白名单 / 逐跳校验 / 边读边限 / 超时）；四个适配器零改动。
消费面：channelbridge 在流水线最前端把「语音字节 → 文本」归一并写回 msg.Content；
inbound.go 的丢空判据放宽为「无文本且无可用媒体」。
微信优先平台自带转写（Content 非空 ⇒ 不调 ASR，不重复付费）。
降级（主人定的两层）：新增 voice/outcome.go 的 STTOutcome 识破静默档位；
errors.go 分类鉴权失败/欠费/限流（CircuitWorthy）；voice_breaker.go 临时熔断 + 退避（TTL 恢复）；
无论是否熔断，消息面都落一行中文诚实提示（绝不静默、绝不留空消息）。
独立短超时：VOICE_STT_TIMEOUT_SEC（默认 20s，同步 .env.example）。
kook 不再把 CDN 地址写进 Content（地址仍在 Media[].URL）。
设计先行：design/06 §1.1/§1.2、design/08 §4.1、design/24 §1.3/§4.2、开源对照清单。
变异 5 条（静默档位不带 Cause / Transcribed 误判 / 熔断恒放行 / ChatText 退化 / 平台文字判据取反）。
诚实边界：实施时官方音频规格尚未抓到 ⇒ MaxVoiceBytes 自定 5 MiB（保守）、采样率仍 16 kHz；
官方规格随后已抓到（10 MB / 5 min；格式含 amr、无 silk），对齐留待下次改动。
 2026-10-05 08:32:37 +08:00
AskaEth 679cee04f7 fix(channelbridge): IM 入站附件引用写进落库的用户消息（安卓报的 P0）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
根因：摄取结果只挂到「内存里的模型可见消息」（inbound.go 的 attachInboundAttachments），
落库时只传了 text、history.Message 没有 Document 字段 ⇒ 该列恒空 ⇒ 读侧 omitempty
导致 documents 键整个缺席 ⇒ 任何客户端只看到一条空消息。Web 侧不这样，是因为
gateway/session_persist.go 有 messageTextImageDocument 把 ContentTypeDocument 部件编码进该列
—— IM 路径缺的就是同一步。
修法：inboundAttachments.documentColumn() 复用 history.EncodeDocuments 同一口径写出该列；
persistToMain/persistIsolated 增 document 参数并返回刚落库的消息；新增两段式第二段
persistTurnDocumentStatus 按 id 回写抽取结论（只补结论、按存储名匹配、匹配不到原样留），
与 gateway/session_document_status.go 逐字对齐。
契约零扩张：无新端点/帧/字段；0 附件 ⇒ 列空 ⇒ 键省略；形状即 web 的同一结构体。
测试 6 条（含元素 JSON 逐字断言、unreadable 带 reason、被拒不编造芯片、群聊隔离分支、
真循环端到端）；变异两条（还原挂载 / 关闭结论回写）⇒ 各 4 条红。
 2026-10-05 08:10:21 +08:00
AskaEth fd13b49b24 fix(channelbridge): 出站气泡不再携带入站载荷（真机：发文件后回复全丢） 
根因（bubbles.go:43）：`out := target` 把【整条入站消息】复制成出站气泡，
入站 Media 被一起带出 ⇒ 适配器去上传那个附件 ⇒ weixin_ilink 的 getUploadURL
拿不到 url ⇒ sendToOne 连已组装好的文本 item 一起丢掉 ⇒ 用户收不到任何回复。
修法：新增 outboundBubble（白名单只带路由字段 + 本气泡文本），一次清掉
Media / RawData / Mentions / ReplyToID / ReplyToText / MessageID / SenderName
六类入站专属字段；将来新加进 UnifiedMessage 的字段默认不外发（失败方向安全）。
测试 2 条：入站带附件 ⇒ 出站 Media 为空；带附件 vs 不带 ⇒ 出站除时间戳逐字节相同。
变异：破坏白名单把 Media 带出 ⇒ 2 条红。
影响面：仅「入站带附件」的消息；纯文本聊天不受影响（已真机确认）。
 2026-10-04 22:30:03 +08:00
AskaEth fbbbb4ea64 fix(channelbridge): IM 渠道也走「回合必落可见回复」（与网关同口径）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
根因（agent-194，文件:行）：
- inbound.go 的 deliverReply 对空回复直接 return（静默）⇒ 只剩 user 消息；
- runInboundTurn 报错直接 return ⇒ 失败回合连说明都没有。
修法：抽共享**纯函数**包 internal/runtime/turnreply（从网关逐字搬运、零语义改动）+
channelbridge/turnreply.go 的 turnVisibleReply（与网关 persistTurnReply 同构）；
取消边界在 IM 用 context.Canceled / ctx 取消表达（渠道桥无代次概念，如实登记差异）。
测试 6 条：空回复/纯空白/轮次用尽/安全网/回合报错/取消不落库/正常逐字不变。
变异：还原旧静默行为 ⇒ 4 条红（含「出站 0 条，want 1」与英文内部诊断外泄）。
 2026-10-04 22:29:54 +08:00
AskaEth 3be70f8232 feat(channels): 适配器入站内联附件字节（telegram/kook/qq_obv11/weixin_ilink）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 新增 internal/channel/mediafetch：来源白名单（deny-by-default，支持 *.suffix）
  + 逐跳重定向校验 + 边读边限 + 超时；只回来源主机，绝不回完整 URL
- 四渠道各自 media.go 接通入站内联：只从平台载荷给出的引用取回字节
  （telegram file_id→getFile→file_path 形态校验；kook CDN；qq 文件段 url；
   weixin cdnURL + AES-ECB 解密）
- 常量全部复用既有来源：documents.ExtAllowed / DefaultMaxBytes / MaxPerMessage
- channelbridge 诚实提示文案改为对「渠道只给远程引用」与「代取失败」两种成因都成立
- 18 个测试函数（含四渠道「正文里的 URL ⇒ 0 次命中」红线反证、端到端进模型可见视图）
- 变异验证：去掉尺寸上限 ⇒ 四渠道红（含修正后不再是假绿的 weixin 超量用例）
 2026-10-04 22:13:17 +08:00
AskaEth 2a43035f5d refactor+feat(documents,channelbridge): 共享存储核心 + IM 入站附件摄取（主人 2.3）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 抽共享存储核心：internal/runtime/documents/store.go（22 项白名单 + 字节嗅探唯一裁决 + 内容寻址 sha256[:32]+ext + 去重 + 限额 + 路径双检）+ store_meta.go（documents 表唯一写入实现）。

- gateway 改为调用 store，**对外行为零变化**（机器证明：既有 documents_test/chat_documents_test/chat_documents_bounds_test 三个文件 0 行改动且全绿；状态码/响应字段/错误码/审计动作名/限额文档口径全部逐字保留；maxChatDocuments 改为引用 documents.MaxPerMessage）。

- IM 入站附件摄取（channelbridge）：文件类媒体 → store.Save → 挂 model.DocumentMessage(RoleUser) 部件 ⇒ 后续 resolveDocuments 自动抽取/注入/清单；挂载点在「会话解析 + 黑白名单 + 最小打扰」三重闸门之后（被拦消息绝不在盘上留文件）；**不支持的格式不静默**（诚实提示行 + 带来源日志，只记 name/mime/size，名字做展示净化防伪造行）；图片/语音保持既有链路。

- 主会话独立验收：隔离 worktree（M1 的 12 文件）build/vet 绿、全树 59 包 0 FAIL、双平台交叉编译绿、12 条 Inbound 用例 PASS；变异独立复现（关闭 IM 摄取 ⇒ 5 条红，含「落盘文件数 = [] want 1」）。

- ⚠️ 真机边界（需裁决）：现网四个适配器上报的文件媒体**只带 URL**（telegram FileID / qq-obv11 file|url / weixin·kook CDN URL），Media.Data 恒空 ⇒ 本切片只摄**内联字节**，URL 一律「诚实提示，不代取远程」（避免第三份 SSRF 实现）。真机要让「她读到 IM 文件」，需各适配器入站时下载并内联（凭据在各自渠道里，推荐）或新增共享受守卫抓取器。

- 另登记：IM 附件暂未写 chat_messages.document 列（二手回合看不到引用，建议并入 S7）；channelbridge 既有测试夹具在 -race 下有数据竞争（stubSessions.GetOrCreate，与本次无关）。
 2026-10-04 19:25:00 +08:00