AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
789 Commits 7 Branches 0 Tags
39ae883a4e14faf37dcc00d57daadb87e77663ba
Commit Graph
255 Commits
Author SHA1 Message Date
AskaEth 39ae883a4e test(loop): cover the speak tool and Result.Voice (M57) 
speak_tool_test.go pins the leaf behaviour: budget formula, extension
whitelist, argument validation, and the success/timeout/no-audio/store-failed
paths, plus the model-surface advertisement and append-once rule.

voice_result_test.go pins the outbound chain end to end: captureVoice's three
states and its last-success-wins rule, a full turn where speak is advertised,
executed through the injected synth/store and lands on Result.Voice, the
degraded turn that still answers in text, the unwired turn that keeps the
surface byte-identical, and the store adapter the wiring will use.
 2026-10-27 21:22:20 +08:00
AskaEth 1347a77d33 feat(loop): wire speak tool into the loop (M57) 
- speak_tool.go: the speak tool itself — rune-derived timeout budget, structured
  failure codes, persona/emotion stamped on the synthesis ctx, audio persisted
  through the store seam, structured result for the model.
- voice_deps.go: the wiring seam (VoiceSynth / VoiceStore + VoiceStoreFunc
  adapter), voiceEnabled, withSpeakSpec (appended after every schema shrink),
  and captureVoice (success beats failure, last one wins).
- options.go / loop.go: VoiceSynth, VoiceStore, SpeakBudget injection points.
- request.go: advertise speak on both toolSchemas return paths.
- tools.go / tools_invoke.go: carry the batch voice outcome; split invokeOne /
  emitToolExecution / spanStatusForToolPhase / invokeParallel into their own
  file (tools.go was at the 500-line ceiling) and let speak run without a
  dispatcher.
- run.go: keep the voice outcome across tool batches (a later batch without
  speak must not erase it).

Known, deliberate: speak bypasses the capacity allow-set and skill-round
narrowing (it belongs to no built-in toolset), so it is also advertised in
quiet/awake; execution still passes the tool security gate, where speak is not
registered and non-owner actors are denied fail-closed.
 2026-10-27 21:22:14 +08:00
AskaEth f84a358e30 feat(loop): add OutboundVoice result type for speak tool 2026-10-27 20:22:12 +08:00
AskaEth e8bc8727da Merge branch 'feat/b2c-hostredact-vision-hostof-and-tts-red' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 22:15:21 +08:00
AskaEth a1c9da6e8a test(voice/tts): pin fragment-before-query in redactURL fallback 
Review r1 P2-01: the only fragment case had '?' before '#', so degrading
stripURLQuery to cut '?' alone stayed green and the '#'-first branch was
unpinned. Add a scheme-less '#access_token=...' case (OAuth implicit
flow shape) and correct the mutation comment to state which case each
mutation actually kills.
 2026-10-26 22:11:01 +08:00
AskaEth 28a6cd7e53 fix(voice/tts): strip query from scheme-less URLs in redactURL 
redactURL's fallback returned the raw string when url.Parse found no host.
A scheme-less BaseURL (127.0.0.1:9880/v1?token=...) fails to parse, so the
signed query reached the WARN log and the error chain verbatim. Strip at
? and # in that path, keeping the '@' full-redaction rule first.

Test pins the scheme-less query/fragment cases and goes red if the fix
is reverted.
 2026-10-26 21:54:21 +08:00
AskaEth 5099c21520 fix(audit): redact judge reason before it reaches logs and the panel 
判定理理由（verdict.Reason）是模型自由文本，判定器会把它在参数摘要里看到的
凭据原样抄进理由，而这条理由要进审计日志与前端小字两个读面。cleanReason
在收敛空白/截断之后统一过 trace.RedactText（80 rune 档），与其余出图文本
走同一套清洗；maxReasonRunes 退化为「进入清洗前」的上限，避免在无界文本上
跑凭据匹配。
 2026-10-26 21:52:44 +08:00
AskaEth a5b3d40a74 fix(vision): report only URL origin when an image source is rejected 
fetchURL echoed the whole raw URL (path, query, userinfo) in the
ErrUnsupportedSource message, so a rejected source carrying a signed
query leaked it into logs and tickets. Route the URL exit through
trace.HostOf and fall back to a placeholder instead of the raw string.

Test pins origin-only output and goes red if the fix is reverted.
 2026-10-26 21:52:19 +08:00
AskaEth 656c35f1e8 Merge branch 'feat/m51-lastexits-close-remaining-upstream-f' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
# Conflicts:
#	internal/runtime/trace/errortoken.go
 2026-10-26 21:25:48 +08:00
AskaEth 921938d084 Merge branch 'feat/m52-urlcausesweep-sweep-url-error-direct' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 20:03:29 +08:00
AskaEth 76263d42ed fix(upstream): M51 复审 p2 三条 —— light.go 同形出口 / MCP SDK 日志面 / ErrorToken 口径 
① light.go 的 2 处 "light judge: " + d.Reason 与 engage.go 同形（model reason →
返回值 → coalesce_prepare 的 Debug）。把上一轮的 engageReason 提成包内共用的
judgeReason（judge_reason.go，RedactTextLimited + strings.Fields，60 rune），
engage.go 7 处 + light.go 2 处 + notice.go 的 "notice review failed: "+err.Error()
统一走它。控制流零改动：只换「进去的那份文本」，判定条件与返回值拼接结构未动。

② MCP 的 Logger 面先探针后修：go-sdk v1.8.0 的 keepalive 会把对端 JSON-RPC error
原样打进日志（实测泄漏，见 sdklog_probe_test.go 的输出），tools/call 路径不打日志。
新增 sdklog.go：redactingLogger 交给 SDK，wire 错误（链上有 *jsonrpc.Error）只留
code + message_bytes（复用 upstreamError），本地错误保留原因，消息/属性压平+打码+300 rune。

③ errortoken.go 的口径注释纠正：从「包外不得调用」改为按字段类别判定（协议枚举可守、
自由文本默认不带），并把 cdp.go 这条 M51 用法作为例子写进去。
 2026-10-26 20:00:57 +08:00
AskaEth 969857682f fix(runtime): M52 把 *url.Error 直打的 19 处换成 trace.URLCause 
model / multimodal / tts / embedding 里所有「把 net/http 的 *url.Error 直接打进
错误串」的地方（M51 清单的 B1 组 17 处 + 清单外的同根因 2 处）统一改走
trace.URLCause：错误串只少一段地址，底层原因、哨兵分类、状态码、重试/降级判据
一字不动。

清单内（17）：
- model/openai.go: Chat / ChatStream 的 NewRequest、doRequest
- model/anthropic.go: chatOnce / streamOnce 的 NewRequest、doRequest
- multimodal/vision/adapter.go: ask 的 NewRequest、client.Do
- multimodal/voice/cloud.go: postJSON 的 NewRequest、client.Do
- multimodal/voice/dashscope.go: download（预签名 OSS 地址）与 dashscopePost 各两处
- voice/tts/client.go: unreachable（返回值与同一行日志的 err 字段都只留原因，
  地址只由 redactURL(endpoint) 出现一次）
- embedding/api.go: embedChunk 的 client.Do、newEmbeddingRequest 的 NewRequest

清单外同根因（2，均为 %w 形态，B1 清单按 %v 搜时漏掉）：
- voice/tts/client.go: speak 的 NewRequest 失败
- embedding/endpoint.go: normalizeEndpointURL 的 url.Parse 失败

测试：5 个新文件 18 个用例，逐处可变异打红（实测：把任一处的 URLCause 去掉 ⇒
对应用例红）；dashscope 预签名地址单独一条用例，并另有一条钉住 403 状态码仍在。
 2026-10-26 19:55:05 +08:00
AskaEth 604f9ebaa9 Merge branch 'feat/m50-envelopesafe-drop-envelope-message-o' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:51:33 +08:00
AskaEth 1b2576ecaf fix(weixin): 扫码上游字段过令牌守卫，errortoken 契约改写 
复审 p2 两条：

① 第五个出口：get_qrcode_status 的 status 与 scaned_but_redirect 的
redirect_host 此前原样进 INFO；同一 status 经 setPhase 还从复用二维码那条
INFO（phase）二次出镜。三处一律过 trace.ErrorToken；**控制流仍用原值**
（状态机读 status.Status、路由读 status.RedirectHost、confirmingPhase 读
phase），用例同时钉住「日志变空串」与「路由/判定不变」两个方向。

② 顺带补扫出一处 URL 类：get_bot_qrcode 的 qrcode_img_content（上游给的
图片地址，可能是带签名的 URL 或 data: 内联图）原样进 INFO ⇒ 改走
trace.MaskQuery（凭据类 query 打码、保留路径、解析不出 host 回空串）。

③ errortoken.go 的契约改写：原「本包之外不应出现 ErrorToken 调用」已被
M50 的正当调用点证伪。新口径按**字段类别**判定：协议枚举字段（status/
code/type/request_id）可在渲染点调用；自由文本字段（message/description/
msg/wording）不得靠它出镜 —— 那类默认不带，要带必须 opt-in + RedactText。
dashscope 的 request_id 例外一并写入。

每条用例都做了变异验证（去掉守卫 / 把守卫挪进控制流 / 改回原串，均打红）。
 2026-10-26 19:41:28 +08:00
AskaEth 2702777950 Merge branch 'feat/m45-extracttemporal-extractor-temporal-m' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:33:37 +08:00
AskaEth 82e9213804 test(memory): M45 复看 P2 —— 补「temporal 不许被判定读」的源码级断言 + 注释纠正 
P2-1（真缺口）：r1 复看的变异 C 证明「在异步审查侧拿 item.Temporal 改判」当时
**整个 memory 包全绿** —— 已落库的行在异步侧被改判这条口径没有守卫，而异步侧
（applyVerdict / setIngestRetention）恰恰最容易被人随手接线。

新增 TestTemporalIsNotWiredIntoJudgement：扫生产代码（非 _test.go、非注释行）里
所有含 `.Temporal` 的行，逐行要求命中 temporalFieldSites 白名单（校验 3 条 / 产出 1 条，
**片段级**而不是文件级 —— 按文件放行会让同一文件里新写的接线路过），违规时报
「文件:行号: 表达式片段」；同时校验白名单每一条确实命中过，防止它老化成空头许可证。

变异实测（复看给的写法，插在 preinsert.go 的 applyVerdict 入口）：
  --- FAIL: TestTemporalIsNotWiredIntoJudgement
      temporal 被接进了判定（裁决 D：它只许被记录，不许被判定读）…：
          preinsert.go:476: if item.Temporal == TemporalOneOff {
  删掉接线后全绿。

P2-2（文案与 D 矛盾）：store_temporal.go 的归属清单原写「判定在 resolveRetention
（唯一入口，第 4 步）」—— D 之后第 4 步是 N1~N7、没有 temporal 步，那句等于给后来者
指了接线入口。改为：temporal 只被记录、不参与判定；要把 temporal 接进判定必须先拿到
模型真实标签分布，并只能通过 temporalFieldSites 白名单（有意的接线决定）进来。

另按复看提醒：temporal.go 头注里那两条统计 SQL 标明「**运维分析用，不属于读侧代码
路径**」，并写明读侧（timegate 与任何读侧 SQL）明令不许对 created_at/expires_at 用
datetime() —— 那是定宽文本比较，抄进查询层会静默判错。

回归：go build ./... + go vet ./... 全绿；memory/db 包测试全绿；memory -race 38.0s 全绿。
 2026-10-26 19:29:16 +08:00
AskaEth c7c0294a16 refactor(memory): M45 裁决 D —— temporal 位撤出判定，只保留观测 
按 r1 复审裁决 D：这一位先只做观测，`resolveRetention` 不许读它。理由（实测）：
无条件 one_off ⇒ temp 会当天删 21 条长期约定；只放开 N6 位置判据能翻的 13 条
逐条是约定、而复审点名的三条目标行 0/3 救得了。在「模型真实标签分布」这份证据
缺位时不该做 7 天后物理删的不可逆决定。

撤接线（结论集逐字回到 M45 之前）：
- retention.go：resolveRetention 不再读 item.Temporal；与之对比 dev base
  （af61b8c）本文件**只有注释差异**，规则与判定入口逐字未变。
- extract_retention.go：judgeExtractionRetention 签名回退单参；删除
  judgeRetentionTimepointWide 与 n6_timepoint_wide 规则码。与 dev base 对比
  **同样只有注释差异** ⇒ 「结论集 = 不含 temporal 的那个集合」是结构性的，
  不是靠调用点记得别传。
- 连带取消初版的 durable / recurring ⇒ long（零影响必须是双向的）。

保留观测面（一律未动）：迁移 0027 的列、自举前滚、提取器的 temporal 产出、
prompt 枚举、闭集与 normalizeTemporal、store_temporal.go 的校验/编码。
另外把 prompt 里「标成 one_off 会让它进临时层、到期消失」这句**撤接线后已是假话**
改成中性标注说明 —— 否则会诱导模型避开 one_off，观测数据直接被污染。

测试：
- TestTemporalBitDoesNotAffectRetention —— 4 类语料 × 5 个取值，(档位,规则码)
  与未分型逐字相同（核心正断言）；
- TestTemporalOneOffDoesNotMakeAnythingTemporary / ...DoesNotRescueRuleHitRows
  —— 零影响的双向点名；
- TestTemporalIsStillRecorded —— one_off 的约定行仍落 temporal='one_off' 而档位
  long、expires 空（观测在、判定不动）；
- TestTemporalDoesNotTouchExplicitTierOrRestrictedSource —— 人工入口与受限来源不变。
变异实测：把 `if item.Temporal == TemporalOneOff { return temp }` 插回
resolveRetention ⇒ 上述四条用例全红（FAIL 输出已贴给塔），恢复后全绿。

IngestRuleVersion 保持 d3.5，注释改准为「记录 temporal 信号，但不参与判定」
（留痕面变了：库里多了「模型当时标了什么」这一维，回退会让新旧留痕混在一起）。

P2 三条保留：store.go 500 行（拆 store_temporal.go）、temporal.go 头注（'' 的口径
+ 两次被否的接线方案 + 接线前必须看的那两条统计 SQL）、报告语境段。

回归：go build ./... + go vet ./... 全绿；memory/db 包测试全绿；memory -race
38.2s 全绿。
 2026-10-26 19:21:24 +08:00
AskaEth 3a0cc64160 Merge branch 'feat/m49-upstreamsafe-move-token-guard-into-t' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:18:39 +08:00
AskaEth 3b9ae3f918 refactor(memory): M45 r1 复审返工 —— temporal 位只放开 N6 位置判据 
按 r1 复审裁定（p1-3items / fix-then-merge）重做三处：

P1-1/P1-2：删掉自造的六条语义安全阀（temporalSanityVeto）与约定词表
（retentionStatesAgreement）。理由被复审用两条生产行否证：它们既把该救的行
杀了（「…睡得比平时早」被习惯词、「…以后不用再惦记」被永久化标记），又挡不住
同义异形的约定（说定 / 约了）。现在 `one_off` 的全部作用是**放开 N6 的位置判据**：
judgeExtractionRetention 新增 temporal 入参 → judgeRetentionTransient →
judgeRetentionTimepointWide（位置内命中仍返 n6_timepoint，只有靠放开位置才命中
才返新增的 n6_timepoint_wide，供观测区分）。N1~N5、N7、护栏①②、N6 的 1~7 条
语义安全阀一字不动；durable / recurring 仍直接判 long（fail-safe 方向）。

P1-3：上界口径改为「时点词存在 ∧ 语义安全阀全过 ∧ 当前 long」——不依赖任何
标注，可逐条列出。实测（生产库只读副本，快照 2026-10-26）：最近 500 条 active
能翻 13 条、**逐条都是「约定 + 今天没走成」**；全量 3694 条能翻 26 条（13 条
约定 + 13 条状态行）。旧的「句首时点词」口径是同义反复，已删。

已知代价（写进 temporal.go 头注与 TestTemporalOneOffWidenedPositionTouchesAgreements，
不藏在词表后面）：位置窗口今天正是那批约定行的唯一保护，放开后只要模型标
one_off 它们就会判 temp；而复审点名的两条目标行本片救不了（被语义阀挡，与位置
无关）。因此这一位在当前语料上**没有可测收益**，是否保留是产品裁决。

P2-1：store.go 503 → 497 行，拆出 store_temporal.go（哨兵错误 + 字段校验 +
列值编码）。
P2-2：temporal.go 头注改准 —— `''` 是「0027 之前的历史行 + 没做时间性判断的
写入路径（ManualExtractor / 网关手写 / 整理回填，它们由调用方显式给档位）」。
P2-3：报告补语境（retention_tier 非空仅 26 行、temp 1 行、temporal 列当时还不
存在 ⇒ 重放结论对新写入没有预测力）。

测试：验收点 ①~⑤ 按新语义重写；新增「位置放开可打红」的变异靶子与「N7 位置
不放宽」「无时点词时这一位不做事」「两条目标行救不了」「约定行会翻（已知风险）」
五条边界断言。变异实测：unlocksTimepointPosition 改恒 false ⇒ 三条用例红。
回归：go build ./... + go vet ./... 全绿；memory/db 包测试与 memory -race 全绿。
 2026-10-26 19:15:08 +08:00
AskaEth fe3872ee28 fix(trace): 令牌守卫上移进 trace.UpstreamError，构造即安全 
M48 复审的中危 finding：error.type 里的散文经 trace.UpstreamError 原样出镜，
因为守卫加在调用方（M46 的 model/voice 两处），构造函数自己不套守卫 ——
任何新调用点默认不安全，httpclient / vision / embedding / weixin 四条出口一直漏。

- trace.UpstreamError 构造时对 error.code / error.type 各走一次 ErrorToken
  （[A-Za-z0-9_.-]{<=64}，不合规即空串）：默认安全，不是可选加固。
- 构造后注入这条窄路收进 UpstreamErrorInfo.SetCode / SetType（同一道守卫），
  供 DashScope 顶层 code 与 Anthropic 流内 error.type 两处使用 —— 调用方不再
  各抄一份 ErrorToken。
- 删除因此冗余的调用方守卫：model.providerUpstreamError 与
  voice.dashscopeOKBodyError。保留 voice 的 request_id 守卫（它不是 code/type，
  构造函数看不见）。
- 四条漏的出口一行没改，只加用例证明守卫上移后自动安全；摘掉构造函数守卫时
  四条用例 + model/voice 旧用例同时变红。
 2026-10-26 19:13:38 +08:00
AskaEth 4224fc2b12 Merge branch 'feat/m47-ttsspawn-detect-and-auto-launch-emot' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:08:45 +08:00
AskaEth 67d7e4bd1b fix(voice): M47 r2 复审两条 P2 —— 关闭期取消不拉起、非法探活地址不启用 
复审 p2-2items（P2-1 跨进程去重按裁决只报不修）：

(a) **关闭期 ctx 取消 ≠ 没起**：后端关闭时 ctx 被取消，探活返回
`context.Canceled`；原实现把它判成"没起" ⇒ **在关闭过程中拉起 TTS**。
现在按 `errors.Is(err, context.Canceled)` 判为跳过：不记 markAttempt（不消耗
冷却）、不拉、也不 WARN 成故障。探活**自身超时**（DeadlineExceeded）仍是"没起"，
照常拉 —— 两者用 errors.Is 区分，不按文案。新增 OutcomeCanceled。

(b) **探活地址必须合法**：写成 `127.0.0.1:9880`（漏 scheme）会让 http.NewRequest
每次都失败 ⇒「没起」永远成立 ⇒ 每次启动都拉一次进程。新增
`ttslaunch.ValidateProbeURL`（url.Parse + scheme ∈ {http,https} + host 非空）：
- `New` 里校验 ⇒ 不合法即 WARN + 不启用（兜底闸，覆盖任何调用方）；
- 组合根 `validateResolvedProbeURL` 里同一把闸再校验一次，WARN 带
  `probe_url_source` 指明该改哪个文件 —— **baseUrl 兜底那条路也被覆盖**。

顺带按复审记录项 1 修正 `Proxy: nil` 的注释：net/http 本来就不给回环 IP 走代理，
这行真正保护的是 probeUrl 被配成主机名的情况（原注释高估了它）。

用例（均变异验证打红）：
- TestCheck_ParentCanceled_SkipsLaunch：取消 ⇒ OutcomeCanceled + 0 次拉起 + 不进冷却
  （变异：跳过改回"没起" ⇒ Outcome=launched、marker 落地）
- TestCheck_ProbeOwnTimeout_StillLaunches：探活自身超时仍照常拉
- TestNew_InvalidProbeURL_Disables：7 种非法形状 ⇒ 不接单、0 次拉起、有 WARN
- TestStartVoiceTTSLaunch_{ShutdownCancelDoesNotLaunch,InvalidProbeURLStaysOff,
  InvalidBaseURLFallbackStaysOff}：组合根三条，均用真 .bat marker 观察"有没有拉起"
 2026-10-26 19:03:12 +08:00
AskaEth 98e1ae6aa9 fix(model): providerUpstreamError 的 error.type 也过令牌守卫 
同一份上游报文，兄弟出口 streamEventError 守的正是 type，而 providerUpstreamError
只守了 error.code —— 网关/兼容层把回显塞进 type 时会被原样渲染进错误与日志。
两个字段现在用同一道 trace.ErrorToken：不像令牌的变空串，status/code/body_bytes
等诊断面不受影响。
 2026-10-26 19:01:16 +08:00
AskaEth 92b0f89492 fix(trace): URLCause 用层数上限终止，去掉不可比较的 error 比较 
手写终止条件只认「长度 1 的自引用」，于是：
- 两节点环（a.Err=b / b.Err=a）⇒ 死循环，打挂当前请求的 goroutine；
- uerr.Err == err 在两侧动态类型相同且不可比较时 ⇒ panic
  （comparing uncomparable type），同样打挂当前请求。

改为唯一终止条件 maxURLCauseDepth=8：超限返回只含 Op 的替身，不返回当前层
（当前层是 *url.Error，Error() 里就是整条地址，不能为防死循环把地址漏回去）。
正常单层/双层路径逐字不变。用例：两节点环 1s 内返回、不可比较类型不 panic、
自引用仍退化成替身、超限路径无 URL 片段、上限内(8 层)仍剥到内层原因。
 2026-10-26 19:01:15 +08:00
AskaEth 91101dedfb feat(memory): M45 提取器时间性元数据位 temporal 驱动留存判定 
背景（M37 复审的原话）：「真正卡住上游的是提取器的改写：一次性事件被写成
30~80 字的第三人称长期陈述……这不是阈值问题，是判定链缺信息位。」本片补的
就是那一位，不动 N1~N7 的任何阈值。

产出侧
- temporal.go：TemporalKind 闭集（one_off / recurring / durable / unknown，
  空串 = 未分型），normalizeTemporal 只认四个字面值，其余一律归 unknown（绝不猜
  同义词）；提取提示词追加该枚举（模型只负责标注，判定在 Go 闭集 switch 里）。
- llmextractor：候选解析后归一并随 MemoryItem 带出；非法/缺失值不报错、不拖累
  同批其他候选。

落库
- 迁移 0027_memory_temporal（up: ADD COLUMN temporal TEXT NOT NULL DEFAULT ''；
  down: DROP COLUMN，只撤结构、不改写任何行数据）+ NewStore 的自举前滚
  （duplicate column 是预期路径）；Store.Add 的同一笔 INSERT 写该列，判定与
  留痕不分叉。

判定（仍是 resolveRetention 一处收口，judgeIngest 一字未改）
- one_off ⇒ temp（+ expires_at），但先过 temporalSanityVeto 六条语义安全阀：
  显式「记住」/ 在陈述约定 / 习惯词 / 硬性长期事实词 / 永久化 / 状态改变 ——
  命中即不给结论、落回 N1~N7。依据是离线重放的实测：去掉「记住+约定」两条时
  21 条长期约定会被判 temp（4.80%），全开后在最近 500 条窗口内翻转条数为 0。
- durable / recurring ⇒ long 且不再跑规则；unknown / 未分型 ⇒ 落回 N1~N7
  （不许因为「正文看着像今天的事」就判 temp）。
- IngestRuleVersion d3.4 → d3.5（判定结论会变，留痕必须可分）。

验证
- go build ./... + go vet ./... 全绿；go test -count=1 ./internal/runtime/memory/...
  ./internal/db/... 全绿；memory -race 全绿。
- 新增 temporal_test.go（验收点 ①~⑤ + 两条交叉护栏 + 闭集/归一化）与
  temporal_migration_test.go（0027 up/down/同形/真实启动顺序）。变异实测：
  摘掉 one_off 支路 ⇒ ① 全红；关掉 temporalSanityVeto ⇒ 三条护栏用例全红。
- 迁移测试的「回滚 N 步」改为从 schema_migrations 现算（migrateDownToBefore），
  新加一条迁移不再打红 0025/0026 的用例。
 2026-10-26 18:57:38 +08:00
AskaEth 5c6f4e50a0 refactor(voice): dashscopeErrorToken 收敛到 trace.ErrorToken 
令牌守卫的最后一处副本：删掉 voice 本地的 dashscopeErrorToken 与
maxErrorTokenBytes，四个调用点（classifyDashscopeStatus 的 code / request_id、
dashscopeOKBodyError 的 code / type）改调 trace.ErrorToken。守卫实现与原先逐字
同形（TrimSpace、64 字节上限、字母数字与 _ . -），因此零语义变化。

同时修掉一处过期注释：原 dashscopeErrorToken 的文档指向「runtime/model 的
safeErrorToken」——那个符号在本切片里已被删除，注释指向不存在的符号会把下一个人
送去空目录。现在注释与调用点都指向 trace.ErrorToken。

顺带补一条变异可打红的用例：已有用例只断言「令牌形状的 code 被保留」（去掉守卫
照样通过，半张网），新用例断言 4xx 的 code 是散文时连 `code=` 这个键都不出现，
而 status=400 与 request_id 仍在。

验收：go build ./... + go vet ./... + go test -count=1
./internal/runtime/multimodal/voice/... 全绿；变异（code 改回不过守卫）⇒
TestDashscopeTTS_Non200DropsFreeTextCode 变红。
 2026-10-26 18:48:01 +08:00
AskaEth 6906d274fc feat(voice): M47 后端启动后探活 emotionTTS，未起则异步拉起一键启动脚本 
主人 2026-10-24：「tts启动脚本在这 ...\一键启动.bat，以后启动后端可以顺便检测
一下如果TTS没起就顺带启一下」。本片只做「启动时顺带探一下」，**默认关**（主人
早前说过「开机自启先不急 后面做」），未开开关时连探活都不发。

- 新包 internal/runtime/voice/ttslaunch：探 http://127.0.0.1:9880（毫秒级超时），
  已在跑什么都不做；没起则异步起脚本（cmd.exe /c 传参，不拼命令行字符串）
- 防重复：in-flight 单飞 + 一次尝试后的冷却（失败也算一次，重启风暴不会变成重试风暴）
- 失败只 WARN：探活超时/脚本不存在/起进程失败都只记带 source 的日志，
  组合根那条路径**没有 error 通道**
- 配置走面板文件 $DATA_DIR/config/voice-tts-launch.json（零新 .env 键）
- 接线在 cmd/cyrene 的网关 Listen 之后，整段在后台 goroutine 里，不占启动时长
  （用例以「挂载耗时 < 150ms 而探活超时 800ms」证明）
- 不新开端点、不加帧族；不碰 gateway 包
 2026-10-26 18:47:36 +08:00
AskaEth 3001fcc716 fix(model): providerUpstreamError 的 error.code 过令牌守卫 
error.code 与 error.type 一样是**自由文本面**：主流上游里是枚举，但网关、代理与
兼容层可以往里塞任何东西（包括回显的用户原文）。M41 已给 type 加了守卫，
providerUpstreamError 的 code 一直原样带出，是这一族里唯一还漏的字段。

守卫本色从 runtime/model（safeErrorToken）与 runtime/multimodal/voice
（dashscopeErrorToken）两份逐字同形的实现上提到 trace.ErrorToken，model 侧改为
调用它（voice 侧仍是自己那份，不在本切片文件面内，见随附 finding）。

唯一的行为变化就是「不像令牌的 code 变空串」：status / type / body 体积与 sha256、
错误文案模板、双 %w 哨兵链（ErrUpstream、trace.ErrUpstream）都不变。

验收：go build ./... + go vet ./... + trace/model 包 test 全绿；新增用例覆盖
「带空格标点的 code 变空串且 status/type 仍在」与「令牌形状的 code 保留」。
 2026-10-26 18:45:38 +08:00
AskaEth 4c187ac070 refactor(trace): 把剥 url.Error 壳的实现收敛成 trace.URLCause 
五处逐字同形的三行（mediafetch.sanitizeErr / httpclient.transportCause /
vision.fetchCause / telegram.callCause / weixin_ilink.urlFreeCause）收敛为
trace 包里的唯一实现，13 个调用点改为直接调用；5 份 body 只剩 1 份，5 个
未导出符号与其文件内注释整份删除（不留薄封装）。

行为等价：只剥 *url.Error、不新增包装，内层哨兵链（context 取消/超时、
*net.DNSError 等）原样透传，因此重试/降级/熔断的分类判据不变。两处刻意的
收紧：
- 逐层剥：内层若还是 *url.Error 也一起剥（只剥一层时内层仍带同一段地址）；
- *url.Error 的 Err 为 nil（或链自引用）时不再回落到原串，退化成只含 Op 的
  替身 —— 那种错误无法在不带地址的前提下原样返回，而地址里就是凭据。

顺带把 httpclient 的 user:pass@ 用例改成变异可打红：net/http 自己在
*url.Error 里就把密码打成 ***，「密码不出现」在剥壳与不剥壳下都成立（空跑），
用户名才是分水岭。

验收：go build ./... + go vet ./... + 指定包 go test -count=1 全绿；
变异验证（把 URLCause 改成透传）⇒ 五处「不含 URL」断言全红。
 2026-10-26 18:45:34 +08:00
AskaEth 6be76f1665 Merge branch 'feat/m42-gatewayhygiene-admin-memory-tier-log' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 14:08:57 +08:00
AskaEth abbd79a3b1 Merge branch 'feat/m43-logupstreamadopt-adopt-reviewed-comm' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 14:02:22 +08:00
AskaEth 3157abcf3c fix(gateway): 日志页脱敏改用「可带上限」变体（4096），摘要侧仍是 80 
塔 2026-10-26 复审裁定：复用 trace.RedactText 让面板日志页每条 msg 都被切到
80 rune，是实质性 UX 回归（日志页就是排障面）。修法不是网关侧另写脱敏，而是
在 trace 包给上限加一个参数。

- trace/redact.go：新增导出 `RedactTextLimited(s, limit)`,语义 = 同一套凭据形状
  清洗 + 按调用方给的上限截断；`RedactText` 改为它的 `maxSummaryRunes`（80）
  调用形态，既有调用方零改动，清洗逻辑仍只有一份（redactSecrets）。
  limit <= 0 = 不截断，留给体积已自己界定的调用方。
- observability_logs.go：新增常量 `maxLogMsgRunes = 4096`（含注释说明为什么不是
  80、也不是无上限：单条日志可能是 %v 的 MiB 级对象，1000 条会撑爆 JSON），
  adminLogOf 改用 `RedactTextLimited(e.Msg, maxLogMsgRunes)`。
- span props / 摘要侧不动，仍是 80（一个要摘要，一个要全文，两边不该被统一）。

测试（均验过变异打红）：
- TestAdminObservabilityLogs_LongLineKeepsFullText：547 rune 的日志行（行首凭据 +
  行尾哨兵）⇒ 凭据打码、末尾哨兵仍在、rune 数只差「凭据→[redacted]」那一处；
  变异（改回 RedactText 80）⇒ 红：拿到 81 rune、末尾哨兵消失。
- TestAdminObservabilityTrace_PropsStayAtSummaryBound：200 rune 的 args_summary
  ⇒ 81 rune（80 + 省略号）；变异（把 maxSummaryRunes 提到 4096）⇒ 红。

验收：go build ./... / go vet ./... 全绿；go test -count=1 -race
./internal/services/gateway/... ./internal/runtime/trace/... 全绿。未 push。
 2026-10-26 13:58:02 +08:00
AskaEth 9e88605cc8 fix(voice): CloneVoice 的 200-with-message 泄漏收口到 dashscopeOKBodyError 
M41 同族的最后一条缺口：HTTP 200 的响应里用顶层 message 报业务失败，而这句话
是上游自由文本 —— create_voice 的 input.url 是参考音频的公开地址（可能是预签名
URL，带凭据），上游报错常把它原样回显。

- ERROR 只留「打到了、但 200 是个业务失败」这个形状事实 + 体积摘要；
  message 原文不进 error，code/type 若真的带回来也只以令牌形态出镜
- errors.Is(err, ErrProviderFailed) 不变（熔断口径不动）
- 用例断言失败仍被识别、且 error 文本里搜不到哨兵正文
 2026-10-26 13:50:10 +08:00
AskaEth 66dda084cd fix(runtime): 上游错误体统一走 trace.UpstreamError，正文不进 error 
M41 的「LLM / embedding / 视觉 上游错误体」一族（M38 #5 #6 #7 #8 #9 #14）：
非 2xx 时把响应体截断后拼进 error，而 error 会被 chat run / loop step /
retrieve_fallback 打日志，等于把她的提问、记忆正文、要念的台词写进日志。

- model：openai/anthropic 两处 upstreamError 收口到 upstream.go 的
  providerUpstreamError；anthropic 流内 error 事件的 evt.Error.Message
  （原本无上限）整段丢弃，只保留令牌形状的 type
- embedding：readErrorBody 删除，改走 helper（input 就是她的记忆正文）
- vision：错误路径不再沿用取图的 50 MiB 上限，改为 4 KiB 有界读且不拼原文
- voice：classifyDashscopeStatus 只解 code/request_id，正文只留在内存里做
  分类判据；错误体读取同样改为 4 KiB 有界
- 测试：五个上游各一条「日志/error 里搜不到哨兵正文」用例，且能变异打红
 2026-10-26 13:44:32 +08:00
AskaEth a697fa0a1e Merge branch 'feat/m35-ttsemo-emotiontts-provider-with-emot' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 13:44:00 +08:00
AskaEth 48b3dae5ed Merge branch 'feat/m37-memtier-retention-tier-column-and-de' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 13:42:20 +08:00
AskaEth b90811fae4 docs(voice): 收口「没会话/没绑定就走 default」的镜像注释（r4） 
唯一 finding：audio.go 的 speechRequest.SessionID 注释原本写「省略它时本口没有会话
概念 ⇒ 走 emotionTTS 的 default 分支」——**反了**。真实链路是
effectivePersona(ctx,"") → sessionPersona("") 为空**不是终点** → Effective =
defaultPersonaID() → 常规安装必有全局默认人格 ⇒ personaId 非空 ⇒ 走 personas 映射。
照那句话改的人会写出 `if req.SessionID == "" { personaID = "" }`，正是 r2 修掉的病。
改为：省略时按**全局默认人格**选发音人（会话绑定 → 全局默认人格 → 两者都没有才落到
default 字符），并显式写了"不要写成 if SessionID == \"\" { personaID = \"\" }"。

顺手同根三处（不留第四轮）：
- tts/config.go 的 Config.Default 注释：成因表「会话无绑定 / 读取失败 / 该出口本身
  没有会话」已过时 ⇒ 改为「空串的唯一合法成因是连全局默认人格都没有」，并写明不是
  "会话未绑定"、也不是"出站口没有会话"。
- runtimeconfig/voicetts.go 的 Default 字段注释与文件头同族措辞同步；
- selection.go 的 WithPersonaID / Resolve 分支表、service.go 的分支小标把
  「解析不到」统一改成「连全局默认人格都没有」；
- voice_emotiontts_test.go 的 TestSpeechEndpointNoSessionUsesDefault 注释同步（该用例
  没接人格库，所以确实落到 default —— 但成因写对了）；
- wire_voice_tts_test.go nit：改成「已废弃的全局 `character` 不生效」（墓碑键仍在）。

纯注释：`git diff` 里非注释改动行为空。go build/vet 通过；四包 go test -count=1 全绿。
 2026-10-26 13:40:00 +08:00
AskaEth 066319f9c6 fix(memory): 复审 r2 返工 —— 真实「记住 X」路径钉 long，断言改为能打红 
复审 r2 = p2-2items 全在「RememberManual 钉 long」那半，两条指向同一件事：
**我以为修好的人工路径实际没修**。逐条：

P2-1 上一版断言是**空断言**：夹具正文「记住她喜欢喝咖啡」含「记住」⇒
extract_retention.go 的护栏① 直接放行 ⇒ 默认落点本来就是 long，因此删掉
store.go 的 pin 仍然绿。
  → extract_test.go 的 TestStore_RememberManual_正常 改为一对语料：
    「我正在测通道」（N7，规则真会判 temp）+「记住她喜欢喝咖啡」（正文保留契约），
    并同时断言档位、`ExpiresAt` 零值、以及**落库列** `(retention_tier, expires_at)`。

P2-2 pin 钉在零生产调用方的方法上：真实路径是 ManualExtractor.Extract（无可用
LLM 出口时的生产回退）→ persistMemories → AddScoped → Add，而 rememberDirective
**先剥掉「记住」前缀** ⇒ 护栏① 永远看不到它。改前实测：记住今天下雨了→temp/n6、
记住我正在测通道→temp/n7、记住现在几点了→temp/n4（均 +7 天）。
  → extract.go 的 ManualExtractor.Extract 在**产出侧**显式置
    `RetentionTier: RetentionLong`（并在注释里写清「不能靠护栏①」的原因）。
    store.go 的 RememberManual pin 保留（两条独立的契约点）。
  → 新增 TestManualExtractorItemsStayLongTerm：四条正文过 Extract →
    复刻 persistMemories 的溯源覆盖 → AddScoped 落库 → 断言**落库列**
    `(long, 空串)`。

**变异证据（删掉两处 pin 后实测）**：
  --- FAIL: TestManualExtractorItemsStayLongTerm
      extract_test.go:167: 「记住今天下雨了」全链落库 =
        (tier="temp", expires_at="2026-11-02T05:34:20.844624200Z"), want (long, 空串)
  --- FAIL: TestStore_RememberManual_正常
      extract_test.go:99: RememberManual("我正在测通道") 的档位 = "temp", want "long"
恢复 pin 后两条均 PASS。

回归：go build ./... + go vet ./... + go test -count=1 ./internal/runtime/memory/...
./internal/db/... ./cmd/cyrene/ 全绿；go test -race ./internal/runtime/memory/ 绿。
 2026-10-26 13:36:15 +08:00
AskaEth 1c2944fcf4 docs(voice): 收回 r2 修掉的旧语义注释 + 让关闭态变异真能打红（r3 P2-1/P2-2） 
P2-1（两处注释在描述已被推翻的旧语义，会把 r2 的修复写回去）：
- voice.go 的 voiceReplySink 文档：原写「personaID = env.PersonaID，会话无绑定时为空」
  ⇒ 实际传的是 turnPersona.Effective，**未绑定 ≠ 空**（有全局默认人格时非空）。
  改为写明「生效人格（会话绑定 → 全局默认人格；两者都没有才是空）」，并显式指出
  它不是 env.PersonaID、把空当"没有角色"会让主会话落到 default（正是 r2 修掉的）。
- voice.go 的 synthesizeVoiceReply：原写「空 personaID = 会话无绑定 ⇒ 走 default」
  ⇒ 反了。改为「空 = 连全局默认人格都没有 ⇒ 才走 voice-tts.json 的 default」。
- 同族 format 残留措辞：client_test.go 的「非法格式的回落」（该行为已不存在）、
  cmd/cyrene/wire_voice_tts_test.go 的「角色/格式/超时按文件来」都改写。
- nit：voice.go 的 `env, turnPersona := ...` 遮蔽同包类型名，改成 `tp`。

P2-2（我上轮那条「摘掉 PrimaryActive 闸 ⇒ 用例红」不成立，复审实测仍绿）：
根因是 audioStubVoice 不实现 PrimaryActive，拦住 persona 读取的只有类型断言。
按塔选的第二种收口（把测试做强）：
- audioStubVoice 补 `PrimaryActive() bool { return true }`（它是"生效中的 persona
  voice"替身），并在注释里说明它存在的理由；
- 关闭态用例改用新替身 inactivePersonaVoice（实现 personaVoice 但报 false），
  于是 PrimaryActive 成为关闭态唯一的闸；
- 重跑变异（摘掉 `&& pv.PrimaryActive()`）**实测打红**：
  「未生效的 personaVoice 却查了 1 次会话人格（关闭态行为变了）」。

未动：功能面、错误码、500 状态码、白名单、session 可读、隐私/format/Stats/redactURL。
go build ./... + go vet ./... + go test -count=1 -race 覆盖 tts/runtimeconfig/gateway/
cmd/cyrene 全绿。
 2026-10-26 13:32:04 +08:00
AskaEth 542bac677d fix(trace): UpstreamError 默认不带 error.message，要带必须显式 opt-in 
复审 P2 收口。上一条留的漏法（不是理论，是构造得出的）：
`{"error":{"code":"invalid_request_error","message":"Invalid value: <用户原文>"}}`
—— 默认保留前 128 rune，那 128 rune 就会**原样**进 error 与日志。此前的用例只钉了
input/echo 这类 sibling 字段，没钉到 message 这一面；而 M41（embedding input 是她的
记忆正文、DashScope TTS input 是她要念的话）与 M42（渠道响应体）都把这个 helper 当
模板，默认带 message 等于把洞复制到十几处。

改法（默认安全，放宽必须写出来）：

- `UpstreamError(upstream, status, contentType, body, opts ...UpstreamOption)`：
  最常用的四参调用**天然是最安全的那个**；默认只留 Upstream/Status/ContentType/
  BodyLen/BodySHA256/Code/Type；
- 新增 `WithUpstreamMessage()` 作为显式开关：带 message 时**必须**过 RedactText
  （凭据形状打码 + 压平空白）再截到 maxUpstreamMessageRunes，并在注释里写明
  「只有在你确认该上游不会回显用户内容时才可用」；
- 文件头写清取舍：**宁可少一条人话提示，也不让她的原话进日志**；排障靠
  status + code + type + bodyLen + sha256 通常足够分类（400 还是 429、是
  model_not_found 还是 context_length_exceeded、是不是同一份报文），细节要看时
  报文在调用点上下文里还在。

测试（可变异打红）：
- 新增 TestUpstreamError_DefaultDropsMessage：message 里塞哨兵的 400 ⇒ 默认构造下
  error 与 slog 输出都搜不到哨兵，Message 为空，而 status/code/type/bodyLen/sha256
  仍可辨；Attrs() 也不旁路带出；
- 新增 TestUpstreamError_OptInMessageIsSanitized：opt-in 后 message 被截到 128 rune
  且凭据被打码（超长 + 带 token 的 message）；
- 既有 TestUpstreamError_DropsEchoedBody 补一条「默认 Message 为空」；
- 变异验证：把默认构造改回带 message ⇒ 前两条变红；让 opt-in 跳过 RedactText ⇒
  opt-in 那条变红。

回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿（backthink 的两条
2s 定时用例在满并发下偶发超时，单元重跑与整仓重跑均绿，与本改动无关：该包不引用
trace）；trace 包另跑 -race 绿。只动 upstream.go 与其测试，白名单/session/loop/
orchestration 未动。
 2026-10-26 13:31:11 +08:00
AskaEth 765ef167bd fix(memory): 复审 p2 返工 —— SQL 空串字面量、两处过期注释、人工路径档位 
复审 p2-1items（tip cc6904b）要求的三处，逐条：

1) SQL 双引号改单引号（唯一返工项）：
   - preinsert_store.go 的 revertMergedSQL：`merged_into = ""` → `''`。今天功能等价，
     但靠的是 SQLite「双引号标识符解析不到 ⇒ 回退成字符串字面量」的 legacy 行为；
     这是一条**改数据**的语句，还被 RevertMerged 与整理侧回滚共用，不该依赖回退。
   - retention_migration_test.go 的 `WHERE retention_tier = ""` 一并统一成 `''`，
     并在原位留下「为什么」。
2) 两处过期注释：
   - retention_schema.go：「反过来（先自举、后迁移）也成立」是**假结论**，改为
     「生产顺序成立；反向顺序在 0019 处即失败（duplicate column name: status，既有问题）」。
   - store.go 的 ExpiresAt：「本字段目前只写不读」已半过期（Add 现在会把最终落库
     时刻回填到返回值），改成「读回语义是半开的」：Add 返回的条目有值，从库里读回的
     恒为零值。
3) 人工路径（塔裁定「人工动作默认应为 long」）：包内的 `RememberManual`（「记住 X」）
   显式钉 `RetentionTier = long`，留存规则因此不许把人工明确要求记住的东西降成临时层
   （extract_test.go 加断言）。面板网关那条（adminAddMemory 直调 Add、不传档位）
   按塔的口径不在本片、留给后续切片 —— 本片对它的唯一影响见回报。

不动（按塔的裁定）：preinsert.go 514 行（dev 既有 tech debt）、
design/03 §10.5 与 design/23 §18 的章节（塔的账）、gateway 人工路径。

回归：go build ./... + go vet ./... + go test -count=1 ./internal/runtime/memory/... ./internal/db/...
全绿，内存包 -race 亦绿。
 2026-10-26 13:24:35 +08:00
AskaEth e684061e56 fix(voice): 主/子系统会话的发音人跟「生效人格」走（r2 P2-1）+ 错误码可区分 
P2-1（实质）：主会话（web）的 persona_id 恒为空且无重绑路径，而"空"的真实语义是
「继承全局默认人格」（loop/persona.go 回退 Options.PersonaID；前端 lib/persona.ts 的
bound ?? defaultPersona(personas) 是同一口径）。此前只有 TTS 把空读成"没有生效人格"
⇒ 落到 voice-tts.json 的 default：主会话聊天是 furina、声音却是 default 那个人，
换全局人格后也不跟声 —— 正是主人抱怨的那件事，且发生在唯一能给普通聊天出声的路径。

修法：
- turnEnvResolver 新增 resolvePersona/effectivePersona（绑定 → 全局默认人格 → ""），
  默认人格扫描抽成 defaultPersonaIDFrom 一处（*Server.defaultPersonaID 转调它）；
- ownerWithPersona 复用**同一次**会话读取同时给出 loop 用的 binding 与呈现用的
  effective —— WS 语音回合为选音色不新增任何 I/O；
- REST：现有闸内改用 effectivePersona；WS：voice.go 那次 env 解析处取一次传给 sink。
因此 `default` 只剩"连默认人格都没有"这一种用途。
- service.go 那句"换人格后用老角色声音不可能发生"收回为限定说法：本包无缓存、无兜底
  角色、未映射即拒绝，但**调用方必须传生效人格**（网关两处已修）。

回归锁：voice_persona_inherit_test.go 复现复审用例（名字不同、两条口各一条）——
未绑定会话 + 全局默认 furina + default 指向 cyrene ⇒ 必须用 furina 的声音；
变异（effectivePersona 退回「空 = 无」）实测两条都红，报文与复审一致。

建议 3（顺手做）：persona 未映射时状态码仍 500（服务端配置缺失），但错误码换成
tts_persona_unmapped / tts_no_character，不再与一般合成失败混成一个码；
用例 TestSpeechEndpointPersonaUnmappedErrorCode 钉住。

P2-2（nit）：voicetts.go 开头删掉「格式、」两字（该键已删除）。

go build ./... + go vet ./... + go test（含 -race）全绿。
 2026-10-26 13:21:44 +08:00
AskaEth 6d0df6a825 fix(trace): 白名单放行 session —— 归属标识可读，正文边界不动 
主人 2026-10-26 裁定：session 是**业务标识**，不是正文。它是排障时把一条 stderr
日志对回某个会话的唯一线索；而 /admin/flow/graph 本来就按会话返回、连 sessionId
都给了，图里多一个 session 不构成新的暴露。因此把 session 加进共享白名单
（safePropKeys，走 redactValue 的普通清洗），不再被写侧折成 Digest。

「不放宽白名单」仍是原则：本次只放行这一个键，正文的边界一个字没动 ——

- trace 侧新增 TestJSONRecorder_KeepsSessionReadableDropsBody，**一条用例同时钉
  两件相反的事**：JSONL 里 `"session":"web#lane-2"` 原文可读；同一 span 里的
  result / text 哨兵正文仍然搜不到，且只在 omitted 里留下体积与指纹。
- loop 侧真循环用例补一句断言：落盘里 `"session":"sess"` 可读，而工具结果哨兵
  同时仍不可见。
- 变异验证：把 session 从白名单摘掉，上述两处都会变红（session 落到 omitted）。

回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。
 2026-10-26 13:20:45 +08:00
AskaEth 003d12a712 feat(trace): M40 span 写侧脱敏 + 共享上游错误收敛 helper 
stderr 的 JSONL 是无主人在场的落盘面，却在此前原样落工具结果（result）、
子代理回复（text/summary）与上游报文，等于一次 tail 就能拷走整段对话。
本切片交付两件地基：

1) 写侧脱敏（trace.JSONRecorder）
   - 新增 trace/span_props.go：safePropKeys 白名单与 projectSpanProps 投影，
     读侧（safeSpanProps）与写侧共用同一张表、同一个投影函数；
   - WriteSpan 落盘前经 trace.SanitizeRecord 投影：白名单键清洗，表外键只留
     Digest（bytes/runes/sha256 前缀，收进 omitted），事件先 RedactEvent 再把
     正文键折成 Digest。落到磁盘的只有元数据，正文一个字节都不留；
   - 新增 trace/digest.go：Digest/DigestOf/DigestOfValue，给「脱敏后仍要能诊断」
     一个构造上不含正文的取值形态（体积 + 指纹），两条投影都按类型放行它。

2) 共享上游错误体收敛 helper（给 M41/M42，禁止三家各写一份）
   - trace.UpstreamError(upstream, status, contentType, body)：只保留 status /
     contentType / bodyLen / body sha256 前缀 / 上游 JSON 的 error.code /
     error.type / 截断 128 rune 的 error.message，其余一律丢弃，响应体原文绝不
     进 error 或日志；*UpstreamErrorInfo 提供 Error()/Attrs()/Unwrap()（errors.Is
     可判 ErrUpstream 走降级链）；
   - trace.HostOf / trace.MaskQuery：日志里的 URL 只回来源，凭据类 query 与
     fragment 值打码为 ***，user:pass@ 整段打码。

3) 剥掉三处正文上 span
   - loop：tool span 不再放 result，改放 result_summary（与 tool_execution.end
     帧同源、已脱敏截断）与 result_digest；
   - orchestration：subagent span 不再放 text，subagent.done 事件不再放 summary，
     改记 status/steps/chars/sha256；
   - automations：AddRuleByName 不再 %v 整个 payload，改记 subject/type/bytes/sha256。

测试：以哨兵正文在落盘字节上断言（JSONL / slog 输出），并分别对「编排层收到的
原始 span」与「写侧投影」两层各钉一遍；UpstreamError 用回显 input 的 422 报文
与 HTML 错误页各钉一条；解析出/未解析出 JSON 都不回原文。以上均做过变异验证
（去掉保护即变红）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。
 2026-10-26 13:17:42 +08:00
AskaEth cc6904b1b4 feat(memory): retention_tier 档位列 + defer 与档位合并为同一判定（M37） 
主人 2026-10-26 对「记忆分型」裁定「两列」：kind（关于什么）保留，新增
retention_tier（留多久 / 干什么用）。本片把这条轴从列、判定、写入、读侧过滤
一路打通，并把「判第五态 defer」与「判 retention_tier=temp」合并成一个判定。

结构（迁移 0026 + 自举前滚）：
- memory_items 新增 retention_tier TEXT NOT NULL DEFAULT ''（空串 = 尚未分型，
  历史行与受限来源行），索引 idx_memory_items_retention_tier；up/down 均实跑过
  （在隔离的生产库副本上 migrate → 建 Store → down → 再 up，5073 行零丢失）。
- NewStore 幂等前滚该列 + 建索引（ensureRetentionSchema），与迁移同形由测试钉住。

判定（retention.go，全仓唯一入口）：
- RetentionTier 闭集 temp/daily/work/long/knowledge + 空串未分型；与 kind 正交。
- resolveRetention 的优先级：调用方显式档位 > 显式有效期（⇒ temp）> 受限来源
  不分型 > 留存规则 N1~N7 ⇒ temp > 默认 long。判据靠元数据，规则不许推翻显式档位。
- tempDeadline 是「档位 → expires_at」的唯一换算：temp ⇔ 有效期非空，两列同一笔
  INSERT 落下（M2 登记过的「INSERT 与补写之间的短窗口」就此关闭）。

合并（defer ⇔ temp）：
- judgeIngest 不再跑留存规则，只读 Add 落定的 item.RetentionTier；规则调用点因此
  全仓唯一（源码级断言钉住）。
- 判定不再依赖同步闸是否开启：闸未接/关着时档位与有效期照样落库。
- 异步层对已是 temp 的行不重复改写（避免 TTL 随审查延迟漂移）。
- IngestRuleVersion d3.3 → d3.4（判据作用范围变了，按既有硬规矩升版）。

读侧：
- 四条列表读路径的 SELECT 与 scanItem 读出 retention_tier（14 列）；Get 同样读回。
- 新增 ListByPersonaTiers / ListScopeTiers / ListTiers / ListProjectTiers（可选档位
  过滤，缺省不过滤 ⇒ 历史行照常返回；显式传空串只取未分型；非法档位报错）。
  原方法签名逐字不变 —— 网关 MemoryStore 接口钉着它们，可变参数会编译不过。
- store.go 的读路径拆到 store_list.go，守 500 行上限。

回归：go build ./... + go vet ./... + go test ./... 全绿（内存包另有 -race）。
 2026-10-26 13:09:30 +08:00
AskaEth 8820b0b316 fix(voice): 修 r1 复审四条（正文进日志的隐私泄漏 / format 假开关 / Stats 无消费者 / redactURL 兜底） 
上一版把 r1 的三条 finding 静默漏了（我在交付前没读 inbox），本提交逐条补齐：

1. 🔴 隐私：upstreamStatus 不再读也不记响应体
   FastAPI 的 422 会把请求体里的 input 整段回显，原来「错误体前 512 字节进 WARN」
   等于把她的原话写进日志。现在只记 status / content_type / response_bytes
   （字节数优先取 Content-Length，缺失时有界排空取上界，读到即丢）。
   新用例 TestSpeechRejectLogOmitsRequestText 用**回显正文**的假上游抓它；
   变异（把 body 塞回 WARN）实测打红。

2. format 键彻底删除（假开关）
   上游只拿 response_format 改自报 media_type，产物恒 .wav 无转码，我方只按字节
   嗅探裁决 ⇒ wav/mp3/ogg 交付字节与响应头完全相同。删 tts.Config.Format 与
   VoiceTTSTuning.Format，encodeSpeech 硬编码 requestFormat="wav"（不可配置）。
   用例钉住请求体恒为 wav；变异（改成 mp3）打红。旧文件里残留的 format 键被忽略。

3. Stats 接进 degrade 的 WARN（attempts/failures）
   否则统计在生产日志里没有消费者。TestServiceDegradeLogsCounters 钉住；
   变异（去掉两个字段）打红。

4. redactURL 兜底含 "@" 整体打码
   解析失败/无 host 时原来原样返回，user:pass@ 会漏凭据。TestRedactURLCredentials
   覆盖合法 URL 去 userinfo、非法含 @ 打码；变异（退回原样返回）打红。

另：关闭态零行为变化的**当前 tip 重跑**——
- handleSpeech 的 persona 解析改为只在语音服务实现 personaVoice 且 PrimaryActive
  时才查库；未接 emotionTTS（既有链/stub）时零额外 I/O、ctx 不改、音频字节相同。
  用例 TestSpeechEndpointDisabledVoiceDoesNotReadPersona（含对照组证明闸不是恒关）；
  变异（去掉闸）打红。
- voice.go 在 dev 基线里本就有 env.PersonaID 解析（无人格解析新增 I/O），本次未改。

Config.Normalized 去掉未使用的 logger 参数。go build/vet/test（含 -race）全绿；
真机 live 复测：cyrene 264104 B、furina 221194 B。
 2026-10-26 13:06:39 +08:00
AskaEth efc25c6a7f feat(voice): emotionTTS 发音人绑定会话人格（不再全局定死一个 character） 
主人 2026-10-26 逐字：「TTS 的人物选择是要绑定后端的角色的，不然会出现以后换了
别的角色(人格配置)，还是用老角色的 TTS 角色」——上一版把 character 写在面板文件
里当全局值，换人格后声音不变，是真缺陷。

配置形状（单一真源 = $DATA_DIR/config/voice-tts.json）：
  {"enabled":true,
   "personas":{"<personaId>":"<characterId>"},
   "default":"<characterId>",   // 只服务「解析不到 personaId」
   "format":"wav","timeoutSec":60}
- 旧的全局 `character` 键**废弃并被忽略**（启动 WARN 提示改用 personas）；
  Config.Normalized 不给任何角色兜底（代码里写死默认角色=病害本身）；
- configs/personas/*.yaml 不参与（塔裁定：避免启动期静态配置与面板两处漂移）；
- 零新 .env 键。

选角四条分支（Config.Resolve，纯函数、无缓存）：
  ① persona 有映射 ⇒ 用它；
  ② personaId 为空/解析不到 + 配了 default ⇒ 用 default；
  ③ personaId 为空 + 没配 default ⇒ 不合成（ErrNoCharacter，上游 0 请求）；
  ④ persona 无映射（含映射值为空）⇒ 拒绝（ErrPersonaUnmapped），
     **绝不**拿 default 或别的角色顶 —— 主人担心的病害本身。

两条既有出站口各自按当次请求解析 persona（不在 SetVoice 时算一次缓存成全局）：
- WS voice_output：用本回合的 env.PersonaID（runVoiceTurn/runVoiceTurnDirect），
  经 voiceReplySink 传给 synthesizeVoiceReply，再 WithPersonaID 交给语音面；
- POST /api/v1/audio/speech：请求体新增**可选** sessionId（纯增量），
  经 turnEnvResolver.sessionPersona 解析；省略 ⇒ 走 default 分支。

Client.Speech 改为**每次传入 character**（内部不缓存发音人）；Provider 适配同样按
ctx 的 personaId 现算。选不到发音人时**不回落既有链**（回落=用另一个声音说话），
上游拒绝(404/500)仍按既有口径回落既有链+WARN。

测试：四条分支各自可变异打红，断言打在「上游请求体里的 voice」与帧/响应字节上；
含「同一进程先后两个 persona，第二次绝不沿用第一次 voice」的回归锁，
以及两条出站口的端到端 persona 切换。四条变异（未映射回落 default / 客户端缓存
voice / REST 不看会话 / 选不到时回落底链）均已实测打红后还原。
go build ./... / go vet ./... / go test -race 全绿；真机 live 证据：
cyrene(char_84fb88a3)=254630 B、furina(char_5314489e)=213392 B。
 2026-10-26 12:57:35 +08:00
AskaEth 3a2711a7e0 feat(voice): emotionTTS 接成一级发音人（UTF-8 请求体 + 失败回落既有链） 
侦察结论（真机 + 上游源码）：
- POST /api/analyze_emotion ⇒ {primary,complex,intensity}；primary 闭集
  实测 平/喜/惊/哀/怒/厌/惧/急，intensity ∈ Low/Medium/High。
- POST /api/synthesize 收 emo_vector(float[])+emo_alpha，但还要 ref_audio_filename
  且只回 {"audio_url"}（服务端落盘），不适合做运行时直出。
- POST /v1/audio/speech 内部先 LLM 分析情绪 + 匹配参考音，再把情绪向量以
  [EMO:{vector}|{alpha}]base64:... 注入 voice 交给 indexTTS2 ⇒ **情绪确实影响
  语气，但由服务端从待念文本自推**，我方没有可映射的参数。
- 上游把下游载荷的 speed 硬编码 1.0（core/utils/llm_provider.py），客户端
  speed 是空转 ⇒ 本切片不暴露 speed，也不暴露 emotion/tone（不造假开关）。

实现：
- internal/runtime/voice/tts：Client（唯一 HTTP 出口，json.Encoder 产出 UTF-8
  请求体、超时/非 200/非音频/超限各自可分类）+ 字节嗅探庭裁 + Service（emotionTTS
  在前、失败回落既有链，永不上抛成回复失败）+ Provider 适配（可作链的一级）。
- internal/config/runtimeconfig/voicetts.go：$DATA_DIR/config/voice-tts.json
  （enabled/baseUrl/character/format/timeoutSec），零新 .env 键。
- cmd/cyrene/wire_voice_tts.go + wireFrontend 的唯一注入点：两条既有出站口
  （POST /api/v1/audio/speech 与 WS voice_output）同时用上；不新建端点/帧族。
- 严守 voice 入站闭集（不扩 Source/Status），出站音频不挂 voice DTO（塔裁决 B）。

测试：中文 UTF-8 请求体、非 200、超时、非音频、超限、未启用、空文本、嗅探表、
降级回落、未启用透传、两条出站口的字节级实测、面板配置解析、组合根映射；
三条变异（去中文 / 嗅探恒真 / 去掉回落）各自打红。真机 live 用例（build tag
emotiontts_live）实测 278,036 字节 WAV。
 2026-10-26 12:46:57 +08:00
AskaEth 01aff71bc1 fix(memory): dedupe_group 数值门改三态（归一后同值可合 / 同量纲不同值冲突 / 量纲不可比保守拒），修 r3 复审两项 
r3 复审指出我第一版中文数字门两个方向都反了（规格本身被复审自己收回重写）：

- 项 2（过严）：归一后**同值**、中文与 ASCII 混写的两条合不了
  （`一小时` vs `60 分钟`、`十五分钟` vs `15 分钟`）。根因是判定仍以 `sameNumbers`
  （只抽 ASCII token）为闸：`{}` vs `{60}` 不等 ⇒ 直接否决，归一化没机会生效。
- 项 3（过松）：**量纲不可比**（`一小时` vs `一杯`）被当成"不算冲突"⇒ 会合并，
  与「比不了单位就不许合并」相反。

修法：数值门从「布尔冲突」改成**三态**，并取代 `sameNumbers` 作为 dedupe 的数值判据：

| 结果 | 含义 | 合并 |
|---|---|---|
| tidyNumberSame | 归一后同值（含中英混写、单位换算：一小时 ≡ 60 分钟） | ✅ |
| tidyNumberConflict | 同量纲、值不相等（含单位不可互换：两杯 vs 三瓶） | ❌ |
| tidyNumberIncomparable | 量纲不可比 / 存活行没有同量纲数量可比（一小时 vs 一杯） | ❌ 保守拒绝 |

配套：
- 数量抽取同时支持 **ASCII 与中文数字 + 单位**（`60 分钟` / `15分钟` / `十五分钟` /
  `半个小时` / `一万两千行`），并新增 `字符`/`字节` 两个文字量单位；
- **裸数字 token（无单位）**仍按 `sameNumbers` 的集合相等口径判（`0023` vs `0024`
  这类靠它拦住），并有 parity 用例钉住「与 extractTidyFacts 的 nums 逐项一致」；
- 三态里 `incomparable` 只**收紧**，不放宽任何既有门；`sameNumbers` 函数本身未改
  （judgePair/judgeIngest 共用，另处 blast radius，已登记建议）。

回归用例（三态各一条 + 修前红/修后绿，均实测）：
- TestDedupeGroupNumberGateThreeStates 四个子用例（两条同值含混写、同量纲不同值、量纲不可比），
  同时断言判定与簇结果；
  · 变异 = 退回 `sameNumbers`（项 2 旧行为）⇒ 两条「同值」子用例红；
  · 变异 = 不可比当放行（项 3 旧行为）⇒ 「量纲不可比」子用例红。
- TestDedupeGroupRejectsConflictingChineseNumbers / RejectsNonConvertibleUnits /
  SameChineseNumberStillMerges（r2 三项保持绿）+ TestTidyQuantitiesNumberParsing +
  TestScanTidyNumbersBareTokensMatchExistingFactNums（裸 token 口径不变）。

语料实测（生产库只读 mode=ro，active 3667，999 对已过否定/取值/相似度门的成员对）：
三态分布 same=942 / conflict=25 / incomparable=32；dedupe 产出
`250 簇/495 行` → **248 簇/489 行（13.3%）**。incomparable 那 32 对是「四行歌词 vs
一段歌词」「一个项目进度代号 vs 项目进度代号为「w49」」这类：按「比不了就不许合并」
一律拒绝，聚合上只少减 6 行（簇成员互有重叠）。

验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
 2026-10-25 00:49:44 +08:00
AskaEth 7700a7eda0 fix(memory): dedupe_group 补中文数字门（量纲/单位归一），修 r2 复审 p2 
r2 复审 p2：`sameNumbers` 只抽 ASCII 数字 token，而本语料的数字主要写成中文
（一小时 / 十五分钟 / 第二杯 / 三千次轮回）⇒「午睡一小时 vs 十五分钟」
「咖啡不续第二杯 vs 不超过一杯」这类**数值冲突**被当成同一事实合并。

修法（新文件 internal/runtime/memory/tidy_dedupe_numbers.go）：
- 抽出「**中文数字 + 单位**」对（一~九/两/半/十/百/千/万，含十五、二十四、一万两千、
  半个小时），按**量纲归一**后比较：时间=秒（分钟 60 / 小时 3600 / 天 86400 /
  周 604800 / 个月 2592000 / 年 31536000）、长度=米、文字量=个、计数=个；
- 只认**后面紧跟已知单位**的数字：`一起 / 一直 / 一些 / 一样 / 第二天（序数位置）`
  这类含数字的习语一律不产生数量 —— 不做成「有中文数字就不合并」；
- 判据是**冲突**而非差异：存活行在同量纲里没有对应数量 ⇒ 不算冲突（被吸收行多出
  的细节）；等值（含单位换算后等值，如「半小时」=1800 秒）⇒ 照常合并；
  值不等且单位换算不到一起 ⇒ 按冲突处理（复审口径：宁可不合并）；
- 只**增加否决**，不放宽任何既有门；ASCII 路径仍由 sameNumbers 先判，一字未动；
  `sameNumbers` 本身也未改（judgePair/judgeIngest 共用它，属于另一处 blast radius，
  已在回报里登记为后续建议）。

语料实测（生产库只读 mode=ro，active 3667）：999 对里中文数字门挡掉 **17 对**，
其中真冲突：午睡十五分钟 vs 一小时 ×3、咖啡一杯 vs 第二杯 ×4、
「三千次轮回」vs「三千万次轮回」×1（ASCII 路径完全看不见这条）；
其余 9 对是「单位不可换算」的保守拒绝（半碗 vs 一个包/一杯、一次 vs 两圈）。
dedupe 产出 255 簇/505 行 → **250 簇/495 行（13.5%）**。

回归用例（去掉这道门即红，已实测）：
- TestDedupeGroupRejectsConflictingChineseNumbers（复审给的两对真实语料，脱敏保留原意）
- TestDedupeGroupRejectsNonConvertibleUnits（两杯 vs 三瓶 ⇒ 保守不合并）
- TestDedupeGroupSameChineseNumberStillMerges（同值/换算后同值 ⇒ 照常合并，门没退化成「有数字就不合」）
- TestTidyQuantitiesChineseNumerals（解析口径：一小时=3600s、十五分钟=900s、半小时=1800s、
  一万两千行=12000、第二天/一起/一直 不产生数量）

验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
 2026-10-25 00:41:16 +08:00