AskaEth
46a6da13e0
Merge branch 'feat/m40-logtrace-span-write-side-redaction-p' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
CI / Frontend (tsc + vite build) (push) Has been cancelled
2026-10-26 13:36:31 +08:00
AskaEth
542bac677d
fix(trace): UpstreamError 默认不带 error.message，要带必须显式 opt-in
...
复审 P2 收口。上一条留的漏法（不是理论，是构造得出的）：
`{"error":{"code":"invalid_request_error","message":"Invalid value: <用户原文>"}}`
—— 默认保留前 128 rune，那 128 rune 就会**原样**进 error 与日志。此前的用例只钉了
input/echo 这类 sibling 字段，没钉到 message 这一面；而 M41（embedding input 是她的
记忆正文、DashScope TTS input 是她要念的话）与 M42（渠道响应体）都把这个 helper 当
模板，默认带 message 等于把洞复制到十几处。
改法（默认安全，放宽必须写出来）：
- `UpstreamError(upstream, status, contentType, body, opts ...UpstreamOption)`：
最常用的四参调用**天然是最安全的那个**；默认只留 Upstream/Status/ContentType/
BodyLen/BodySHA256/Code/Type；
- 新增 `WithUpstreamMessage()` 作为显式开关：带 message 时**必须**过 RedactText
（凭据形状打码 + 压平空白）再截到 maxUpstreamMessageRunes，并在注释里写明
「只有在你确认该上游不会回显用户内容时才可用」；
- 文件头写清取舍：**宁可少一条人话提示，也不让她的原话进日志**；排障靠
status + code + type + bodyLen + sha256 通常足够分类（400 还是 429、是
model_not_found 还是 context_length_exceeded、是不是同一份报文），细节要看时
报文在调用点上下文里还在。
测试（可变异打红）：
- 新增 TestUpstreamError_DefaultDropsMessage：message 里塞哨兵的 400 ⇒ 默认构造下
error 与 slog 输出都搜不到哨兵，Message 为空，而 status/code/type/bodyLen/sha256
仍可辨；Attrs() 也不旁路带出；
- 新增 TestUpstreamError_OptInMessageIsSanitized：opt-in 后 message 被截到 128 rune
且凭据被打码（超长 + 带 token 的 message）；
- 既有 TestUpstreamError_DropsEchoedBody 补一条「默认 Message 为空」；
- 变异验证：把默认构造改回带 message ⇒ 前两条变红；让 opt-in 跳过 RedactText ⇒
opt-in 那条变红。
回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿（backthink 的两条
2s 定时用例在满并发下偶发超时，单元重跑与整仓重跑均绿，与本改动无关：该包不引用
trace）；trace 包另跑 -race 绿。只动 upstream.go 与其测试，白名单/session/loop/
orchestration 未动。
2026-10-26 13:31:11 +08:00
AskaEth
6d0df6a825
fix(trace): 白名单放行 session —— 归属标识可读，正文边界不动
...
主人 2026-10-26 裁定：session 是**业务标识**，不是正文。它是排障时把一条 stderr
日志对回某个会话的唯一线索；而 /admin/flow/graph 本来就按会话返回、连 sessionId
都给了，图里多一个 session 不构成新的暴露。因此把 session 加进共享白名单
（safePropKeys，走 redactValue 的普通清洗），不再被写侧折成 Digest。
「不放宽白名单」仍是原则：本次只放行这一个键，正文的边界一个字没动 ——
- trace 侧新增 TestJSONRecorder_KeepsSessionReadableDropsBody，**一条用例同时钉
两件相反的事**：JSONL 里 `"session":"web#lane-2"` 原文可读；同一 span 里的
result / text 哨兵正文仍然搜不到，且只在 omitted 里留下体积与指纹。
- loop 侧真循环用例补一句断言：落盘里 `"session":"sess"` 可读，而工具结果哨兵
同时仍不可见。
- 变异验证：把 session 从白名单摘掉，上述两处都会变红（session 落到 omitted）。
回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。
2026-10-26 13:20:45 +08:00
AskaEth
003d12a712
feat(trace): M40 span 写侧脱敏 + 共享上游错误收敛 helper
...
stderr 的 JSONL 是无主人在场的落盘面，却在此前原样落工具结果（result）、
子代理回复（text/summary）与上游报文，等于一次 tail 就能拷走整段对话。
本切片交付两件地基：
1) 写侧脱敏（trace.JSONRecorder）
- 新增 trace/span_props.go：safePropKeys 白名单与 projectSpanProps 投影，
读侧（safeSpanProps）与写侧共用同一张表、同一个投影函数；
- WriteSpan 落盘前经 trace.SanitizeRecord 投影：白名单键清洗，表外键只留
Digest（bytes/runes/sha256 前缀，收进 omitted），事件先 RedactEvent 再把
正文键折成 Digest。落到磁盘的只有元数据，正文一个字节都不留；
- 新增 trace/digest.go：Digest/DigestOf/DigestOfValue，给「脱敏后仍要能诊断」
一个构造上不含正文的取值形态（体积 + 指纹），两条投影都按类型放行它。
2) 共享上游错误体收敛 helper（给 M41/M42，禁止三家各写一份）
- trace.UpstreamError(upstream, status, contentType, body)：只保留 status /
contentType / bodyLen / body sha256 前缀 / 上游 JSON 的 error.code /
error.type / 截断 128 rune 的 error.message，其余一律丢弃，响应体原文绝不
进 error 或日志；*UpstreamErrorInfo 提供 Error()/Attrs()/Unwrap()（errors.Is
可判 ErrUpstream 走降级链）；
- trace.HostOf / trace.MaskQuery：日志里的 URL 只回来源，凭据类 query 与
fragment 值打码为 ***，user:pass@ 整段打码。
3) 剥掉三处正文上 span
- loop：tool span 不再放 result，改放 result_summary（与 tool_execution.end
帧同源、已脱敏截断）与 result_digest；
- orchestration：subagent span 不再放 text，subagent.done 事件不再放 summary，
改记 status/steps/chars/sha256；
- automations：AddRuleByName 不再 %v 整个 payload，改记 subject/type/bytes/sha256。
测试：以哨兵正文在落盘字节上断言（JSONL / slog 输出），并分别对「编排层收到的
原始 span」与「写侧投影」两层各钉一遍；UpstreamError 用回显 input 的 422 报文
与 HTML 错误页各钉一条；解析出/未解析出 JSON 都不回原文。以上均做过变异验证
（去掉保护即变红）。
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。
2026-10-26 13:17:42 +08:00
AskaEth
240b59708d
docs(contract): 矩阵补 B28-B31 与计数改正（14+31+40=85，纠正 104 的重复计入）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
CI / Frontend (tsc + vite build) (push) Has been cancelled
2026-10-26 12:48:53 +08:00
AskaEth
4c79728553
docs(contract): v0.94 MCP 管理面与工具 origin + v0.95 渠道静默窗口，含写门不对称与呈现隔离口径
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
CI / Frontend (tsc + vite build) (push) Has been cancelled
2026-10-26 12:46:25 +08:00
AskaEth
a895754d55
Merge branch 'feat/m34-memdedup-dedupe-group-action-plus-re' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
CI / Frontend (tsc + vite build) (push) Has been cancelled
2026-10-25 00:52:28 +08:00
AskaEth
01aff71bc1
fix(memory): dedupe_group 数值门改三态（归一后同值可合 / 同量纲不同值冲突 / 量纲不可比保守拒），修 r3 复审两项
...
r3 复审指出我第一版中文数字门两个方向都反了（规格本身被复审自己收回重写）：
- 项 2（过严）：归一后**同值**、中文与 ASCII 混写的两条合不了
（`一小时` vs `60 分钟`、`十五分钟` vs `15 分钟`）。根因是判定仍以 `sameNumbers`
（只抽 ASCII token）为闸：`{}` vs `{60}` 不等 ⇒ 直接否决，归一化没机会生效。
- 项 3（过松）：**量纲不可比**（`一小时` vs `一杯`）被当成"不算冲突"⇒ 会合并，
与「比不了单位就不许合并」相反。
修法：数值门从「布尔冲突」改成**三态**，并取代 `sameNumbers` 作为 dedupe 的数值判据：
| 结果 | 含义 | 合并 |
|---|---|---|
| tidyNumberSame | 归一后同值（含中英混写、单位换算：一小时 ≡ 60 分钟） | ✅ |
| tidyNumberConflict | 同量纲、值不相等（含单位不可互换：两杯 vs 三瓶） | ❌ |
| tidyNumberIncomparable | 量纲不可比 / 存活行没有同量纲数量可比（一小时 vs 一杯） | ❌ 保守拒绝 |
配套：
- 数量抽取同时支持 **ASCII 与中文数字 + 单位**（`60 分钟` / `15分钟` / `十五分钟` /
`半个小时` / `一万两千行`），并新增 `字符`/`字节` 两个文字量单位；
- **裸数字 token（无单位）**仍按 `sameNumbers` 的集合相等口径判（`0023` vs `0024`
这类靠它拦住），并有 parity 用例钉住「与 extractTidyFacts 的 nums 逐项一致」；
- 三态里 `incomparable` 只**收紧**，不放宽任何既有门；`sameNumbers` 函数本身未改
（judgePair/judgeIngest 共用，另处 blast radius，已登记建议）。
回归用例（三态各一条 + 修前红/修后绿，均实测）：
- TestDedupeGroupNumberGateThreeStates 四个子用例（两条同值含混写、同量纲不同值、量纲不可比），
同时断言判定与簇结果；
· 变异 = 退回 `sameNumbers`（项 2 旧行为）⇒ 两条「同值」子用例红；
· 变异 = 不可比当放行（项 3 旧行为）⇒ 「量纲不可比」子用例红。
- TestDedupeGroupRejectsConflictingChineseNumbers / RejectsNonConvertibleUnits /
SameChineseNumberStillMerges（r2 三项保持绿）+ TestTidyQuantitiesNumberParsing +
TestScanTidyNumbersBareTokensMatchExistingFactNums（裸 token 口径不变）。
语料实测（生产库只读 mode=ro，active 3667，999 对已过否定/取值/相似度门的成员对）：
三态分布 same=942 / conflict=25 / incomparable=32；dedupe 产出
`250 簇/495 行` → **248 簇/489 行（13.3%）**。incomparable 那 32 对是「四行歌词 vs
一段歌词」「一个项目进度代号 vs 项目进度代号为「w49」」这类：按「比不了就不许合并」
一律拒绝，聚合上只少减 6 行（簇成员互有重叠）。
验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
2026-10-25 00:49:44 +08:00
AskaEth
7700a7eda0
fix(memory): dedupe_group 补中文数字门（量纲/单位归一），修 r2 复审 p2
...
r2 复审 p2：`sameNumbers` 只抽 ASCII 数字 token，而本语料的数字主要写成中文
（一小时 / 十五分钟 / 第二杯 / 三千次轮回）⇒「午睡一小时 vs 十五分钟」
「咖啡不续第二杯 vs 不超过一杯」这类**数值冲突**被当成同一事实合并。
修法（新文件 internal/runtime/memory/tidy_dedupe_numbers.go）：
- 抽出「**中文数字 + 单位**」对（一~九/两/半/十/百/千/万，含十五、二十四、一万两千、
半个小时），按**量纲归一**后比较：时间=秒（分钟 60 / 小时 3600 / 天 86400 /
周 604800 / 个月 2592000 / 年 31536000）、长度=米、文字量=个、计数=个；
- 只认**后面紧跟已知单位**的数字：`一起 / 一直 / 一些 / 一样 / 第二天（序数位置）`
这类含数字的习语一律不产生数量 —— 不做成「有中文数字就不合并」；
- 判据是**冲突**而非差异：存活行在同量纲里没有对应数量 ⇒ 不算冲突（被吸收行多出
的细节）；等值（含单位换算后等值，如「半小时」=1800 秒）⇒ 照常合并；
值不等且单位换算不到一起 ⇒ 按冲突处理（复审口径：宁可不合并）；
- 只**增加否决**，不放宽任何既有门；ASCII 路径仍由 sameNumbers 先判，一字未动；
`sameNumbers` 本身也未改（judgePair/judgeIngest 共用它，属于另一处 blast radius，
已在回报里登记为后续建议）。
语料实测（生产库只读 mode=ro，active 3667）：999 对里中文数字门挡掉 **17 对**，
其中真冲突：午睡十五分钟 vs 一小时 ×3、咖啡一杯 vs 第二杯 ×4、
「三千次轮回」vs「三千万次轮回」×1（ASCII 路径完全看不见这条）；
其余 9 对是「单位不可换算」的保守拒绝（半碗 vs 一个包/一杯、一次 vs 两圈）。
dedupe 产出 255 簇/505 行 → **250 簇/495 行（13.5%）**。
回归用例（去掉这道门即红，已实测）：
- TestDedupeGroupRejectsConflictingChineseNumbers（复审给的两对真实语料，脱敏保留原意）
- TestDedupeGroupRejectsNonConvertibleUnits（两杯 vs 三瓶 ⇒ 保守不合并）
- TestDedupeGroupSameChineseNumberStillMerges（同值/换算后同值 ⇒ 照常合并，门没退化成「有数字就不合」）
- TestTidyQuantitiesChineseNumerals（解析口径：一小时=3600s、十五分钟=900s、半小时=1800s、
一万两千行=12000、第二天/一起/一直 不产生数量）
验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
2026-10-25 00:41:16 +08:00
AskaEth
54e32304f2
fix(memory): dedupe_group 补取值门 + 临时层双击复核；闸补 3 类长期事实安全阀（M34 r1 复审）
...
r1 复审 p1-1（会毁数据）：tag_set 簇的安全门只有数值与否定，**专有名词/引号取值不比**，
生产语料实测把 `用户的昵称是「叶酱」。` 并进 `主人的昵称是「喵喵七号」…` 的存活行，
而同库另有 4 行写着「喵喵七号已作废、应称叶酱」⇒ 一次 apply 丢掉当前事实。
修法（结构性，不是补丁）：
- 新增取值门 tidy_dedupe_values.go：被吸收行的**引号取值**（「」『』“”‘’"）与
**拉丁 token**（≥2 字母，含 h3R3 这类混排）必须在存活行正文中一个不少；
方向单向（被吸收 ⊆ 存活），与软合并语义同向（存活行多出的取值不会丢）。
补齐 design/23 §5.1-3 要求的「专有名词 / 数值 / 否定词」三件套里缺的第一件。
- tag_set 簇也过相似度下限（dedupeGroupMinSimilarity 两档统一）。取值 0.10 而非更高：
语料实测 tag_set 合法改写（`用户可能需要提醒吃早饭…` 0.047、`叶酱有工作…` 0.109）
的余弦本来就在 0.05~0.4 —— 抬高它只会删掉合法去重，不会多挡住危险对。
实测（503 对）：0.10→保留 98%、0.20→86%、0.30→63%、0.40→40%、0.50→20%。
- 回归用例：TestDedupeGroupRejectsSameTagDifferentValue（脱敏真实语料 + 同值对照组）、
TestDedupeGroupLatinTokenIsAlsoAValue、TestDedupeGroupNeverLosesAValue（簇级不变式）、
TestDedupeGroupTagSetAlsoNeedsSimilarityFloor。去掉取值门 ⇒ 前三条红；把 tag 相似度
归零 ⇒ 第四条红。
r1 复审 p2-1（数据安全）：元信息查询失败时**该分区本轮不分簇**（旧实现降级成 nil map，
`temporary` 恒 false ⇒ 绕开「临时行绝不进簇」红线）；apply 侧补 `expires_at` 复核
（候选久置/生成后变临时 ⇒ 整簇 skip，tidySkipTemporaryRow）。用例：
TestDedupeInPartitionSkipsWhenMetaUnavailable、TestTidyApplyDedupeGroupSkipsTemporaryRows。
r1 复审 p2-2（闸误杀被低报）：补三类安全阀 ——「以后/从此/往后/今后」= 自此刻起永久成立、
「换成/变成/改成/搬进」= 状态已改变且新状态持续、N7 的进行中标记同样必须句首 12 字内；
「宿舍」进长期事实词表；顺手修 `<=` 的 off-by-one（改为 `<`）。
实测（生产库只读 mode=ro，active 3667）：
- dedupe：281 簇/594 行 → **255 簇/505 行（13.8%）**；tag_set 240 / prefix12 15；
取值门挡 76 对、相似度门挡 12 对；簇大小 2:155 3:48 4:26 5:8 6:7 7:4 8:2 9:2 18:1 20:2
（两个 20 行簇与 18 行簇的取值集合均为单一「喵喵七号」⇒ 大簇=同一事实的重写）。
- 闸：改前 2 (0.05%) → 改后 **75 (2.05%)**（n6 53 / n7 20 / n1 2）；含锚点词的 27 条
逐条人读均为「约定明天中午见 / 下周留个午后」类到期即失效的安排。
- 达标代价：+目前/现在 当锚点 → 2.13%；再叠一次性事件动词表（曾/发来/分享…）→ 6.74%
且新增 172 条里 56 条是长期身份/里程碑（「i love you 文件」17 条、「海报就是助手本人」
10 条…）⇒ 仍到不了 8%，不许为凑区间放宽。
验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
2026-10-25 00:29:02 +08:00
AskaEth
dfac06bbeb
docs(agents): 记下 internal/webui/dist/.gitkeep 占位不可删（干净 checkout 可构建的前提）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
CI / Frontend (tsc + vite build) (push) Has been cancelled
2026-10-25 00:09:56 +08:00
AskaEth
6a3f3a329a
feat(memory): dedupe_group 候选动作 + 留存闸组合口径与 N6/N7 时点规则（M34）
...
M27 体检（DevDocs/audit/记忆库价值体检-2026-10-24.md）两条根治项：
1) 新增 `dedupe_group` 候选动作（不放大 containNone）：
- 簇只认「同 scope+kind+完全相同 tag 集」或「同 scope+kind+前 12 字相同」
（后者附加词项余弦 ≥0.70 与同 kind 收窄）；
- 每簇保留超集：内容最长 > merge_count 大 > created_at 早 > id；
- 安全门与既有合并路径同源：受限来源/绝对时刻/时效状态/低置信一律不进簇，
数值与否定与存活行不一致的成员被逐条剔出；临时层行（expires_at 非空）
两个方向都不进簇（存活行被清扫会给被吸收行留悬空 merged_into）；
- 已被 archive/merge 候选覆盖的条目不重复出第二条待办（抑制）；
- 落库形态与 merge 同构：source_ids 多条 + target_id，应用为整簇原子的软合并，
回滚复用 revertTidyMerge（逐条复原）；
- 批量应用按**行**计上限 200 行/批（maxTidyApplyRowsPerBatch），超限如实 truncated；
- 不进自动档（人工/批量点）；试算（DryRun）零写库给出簇数与可减少行数。
2) 留存闸改组合口径（治根）+ N6/N7：
- 护栏②从「含习惯/约定词就一票放行」改为「锚点词 **且** 含具体约束
（数字/禁忌/频次规律）」；无约束的锚点交给更窄的规则判；
- N1/N3/N4/N5 这几条词项规则改为「无锚点时才开火」（`主人喜欢说晚安`
这类偏好不再因寒暄词被判临时）；
- 新增 N6（指示性时点，句首前 12 字内）与 N7（进行中状态），安全阀：习惯词、
硬性长期事实词、数值/约束、寒暄/情绪词一律按回去；
- 命中即第五态 defer，`expires_at = 判定时刻 + tempTtlSec`（默认 7 天，
已落在 $DATA_DIR/config/memory-tidy.json，零新 .env 键）；**只开新增侧**，
存量一条不补写（用例钉住）。
契约（加性，不改既有字段语义）：tidy dry-run/run 回执加 dedupeGroups /
dedupeRowsReducible / dedupeTruncated；批量应用回执加 deduped / rowsAffected。
实测（生产库只读 mode=ro，active 3667）：
- 闸：改前 2 条(0.05%) → 改后 89 条(2.43%)：n6 58 / n7 29 / n1 2；
89 条里 30 条含锚点词，逐条人读均为「约定明天中午见」「约定下周留个午后」
这类到期即失效的安排（唯一可议：1 条把「中午互动的日常」一起带进临时层）。
- dedupe_group：281 簇 / 可减 594 行（16.2% of active）；tag_set 265 / prefix12 16；
簇大小 2:170 3:48 4:27 5:10 6:10 7:7 8:2 9:2 10:1。
验收：go build ./... + go vet ./... + go test ./... 全绿。
2026-10-25 00:08:46 +08:00
AskaEth
210c8b999f
Merge branch 'feat/m33-testhealth-fix-test-double-races-and' into dev
2026-10-24 23:41:40 +08:00
AskaEth
f56d74c363
test(channelbridge): 准入三条用例改按「这条消息续出的臂」断言（M33 r2 复审 p2）
...
TestCoalesceSystemNoticeDoesNotJoinBatch 仍在用位置索引 d[1]：waitTimerCalls 只保证
「至少 2 次请求」，不保证顺序 —— 加压下会拿到 m1/m2 那次 2s 的续臂（实测 -race
-count=200 有 2/200 假红，空载测不出来）。
改成与兄弟用例同一口径，但把相位做成确定的：新增 sendSettledAndDuration ——
投递后等 worker 把这条收进本批、**为它**续好臂（按请求序号认领），再返回那次续臂的
时长。仅用 latestDuration 仍有缝：worker 可能在帧/通知之后才补上一条消息的续臂，
最新那次就成了 2s。三条准入用例（action 帧 / 系统通知 / 聊天消息对照组）统一改用它。
断言口径未变：仍然断言「系统通知/action 帧不重置静默窗口（剩余 500ms）」、
「聊天消息重置成完整 2s」；waitTimerCalls 语义、请求次数均未改。
证据：-race -count=400 连跑 3 次（1200 次）全绿、DATA RACE=0；
兄弟两条 -count=200 全绿；整包 -race -count=3 全绿。
2026-10-24 23:36:41 +08:00
AskaEth
1ae9158250
test(channelbridge): 窗口夹具按截止时刻推钟 + 去掉无法证实的替身锁（M33 r1 复审）
...
P1-1（channelbridge 的 -race 门仍红，红在用例不确定性而不是竞态）：
- coalesceTimers 改成**截止时刻**语义：每次 after(d) 记 at = 注入时钟 + d，
推钟只把时钟推进到「当前最早的截止时刻」再触发它。旧写法按 FIFO 逐个触发并
按请求时长累加，实测 12 条消息内攒到 5 个废弃定时器把时钟推 +10s（窗口 2s、
绝对上限 6s）⇒ 循环头走「到点直接发车、不 takeAll」的分支，队列尾部落到下一批。
- 推钟前强制「车道排空」这条不变量（pump/advanceAndFire/waitIdle）：
时钟只表示时间过去，它一转就可能跳过 takeAll，因此先等 worker 把货收进本批。
- sendSettled：投递后按**序号**等「这次投递之后新挂的定时器」（旧的都已被 worker
放弃、再没人监听），供「投递与推钟交替」的用例（每 500ms 一条的绝对上限用例）。
- fireLatest/advanceAndFire 带 done 谓词重试，避免「登记与触发之间续臂」导致
推了钟却没人醒；waitIdle 一边等一边推窗口（worker 停在窗口里时永远走不到退休）。
- 用例侧只补相位与等待，不动断言：TwelveBurst 读历史前等 assistant 行落库；
准入用例断言「最新一次续臂」（原来按下标取 d[1]，隐含臂数假设）；
stale 用例两条都投完再推时钟（车道不会在两条之间退休）。
P2-1（替身锁无法用变异证实）选 A：删掉 stubChatter/stubSessions 的锁与访问器，
退回原字段访问，并写清理由 —— 21 个用例全走同步便捷路径
（b.process → processFrom → runBatch → Loop.Run），DEV HEAD 上 -race 数十次跑
（含把锁删掉的变异）DATA RACE 恒为 0；若将来从车道 worker 触碰这些字段必须加锁
并补 -race 用例。
证据：go test -race -count=3 ./internal/services/channelbridge/ 连跑 6 轮
18/18 全绿、DATA RACE=0；coalesce 子集 -count=80 全绿；整包 -race -count=20 全绿；
全树 go build/vet/test -count=1 全绿。
2026-10-24 23:18:45 +08:00
AskaEth
7d9b2132bb
test(testhealth): 替身竞态加锁 + 墙钟断言硬度（M33）
...
四处测试健康债务，只改 *_test.go，不动生产代码、不降并发：
- channelbridge：stubChatter / stubSessions 的跨 goroutine 字段一律经 mu 访问
（Run/GetOrCreate 在车道 worker 上写、测试 goroutine 读，两者无 happens-before；
负向断言「等一会儿再看循环有没有被驱动」尤其如此）。读写走访问器，Messages()
返回副本；t.Parallel 与并发度不变。
- plugins/tools/io：claimProbeTimeout 2s（真实时间预算）→ 60s，并由 claimProbeWait
按 t.Deadline 收缩。探针只等 goroutine 被调度（无时间语义），放大余量把
「机器快慢」从断言里去掉，死锁仍以断言失败暴露。
- backthink：TestSelfWakeGate_WindowExpiry 窗口 120ms → 6s（给 waitFor 的 4s 上界
留 2s 余量），到期等待改为按首次受理时刻推算 window+250ms，不再盲睡 3×窗口。
另修 TestSelfWakeStatus_MatchesReceiptAndTracksPendingSlot：worker 先 take 再进
Think，卡 Think 并不占待跑槽 —— 改为「上一轮把 worker 占住再断言 Pending」。
- memory：墙钟实测用例显式给闸 5s 预算（measureGateBudget），不再因默认 150ms
超时 fail-open 打炸「每轮都真扫真判」前置断言；并把 GateFailed 纳入该断言。
2026-10-24 22:24:14 +08:00
AskaEth
20cf3e0a93
Merge branch 'feat/m32-subagentbackfill-deliver-subagent-re' into dev
2026-10-24 22:11:16 +08:00
AskaEth
da6a365222
tower: snapshot of uncommitted base checkout changes (worktree wt-33)
2026-10-24 22:03:13 +08:00
AskaEth
3acc81cec8
feat(gateway): 子代理结果回填父会话（系统注记）+ 记忆抽取排除（M32）
...
断点（M29 勘测定论）：后台批次结算后 `subagent.result` 发了、hub 也把它中继成
WS 帧，但**没有任何代码把结果回填父会话** —— `chat_messages` 无行、模型下一轮
看不到，于是「她拍了个子代理出去，但没有下文」。
回填拆成互不冒充的两条面（人格=身份红线：子代理结论绝不写成她的人格发言）：
- 可观测/历史面（新文件 subagent_backfill.go）：独立订阅者（不塞进 hub）订阅
`subagent.result`，写父会话一条 `role=system` 注记（内容以 `[子代理结果]` 开头
并点名 `sub-<id>`），随后走既有 `message_persisted` 扇出 ⇒ 刷新/重连后仍在；
- 模型面：同一行经转录播种成为下一回合的**系统注记**（`model.RoleSystem`），
不是「她说过的话」。
落库口径：角色恒为 system（不冒充 user/assistant）、PersonaID 与 TurnID 留空
（注记不属于任何角色、也不属于任何一路回合）。
记忆抽取排除（新文件 subagent_backfill_extract.go）：`WithoutSubagentNotes` 装饰
`memory.Extractor`，判据是元数据（role=system + 注记标记，与 loop 的 summaryMarker
同一手法），组合根经 `loopMemoryExtractor` 套上 ⇒ 子代理结论绝不进记忆库；LLM
提取器的异步能力原样保留，压缩摘要（同样是 system）不被误剔。
可观测补齐（M29 §7）：`SpawnTool.await` 发布成功补带 source 的 INFO，`b==nil` 与
「无结果」的静默 return 改为 WARN，发布失败 WARN 带上 count/session；回填订阅者
顺手读 `bus.Dropped()`，涨了就记一条 WARN（总线丢事件不再是黑洞）。
测试（均可变异打红）：父会话恰一条 system 行且零伪造助手发言；注记/摘要/批次正文
有界且逐代理点名；不可用载荷与落库失败各留 WARN 且不广播；Start 真订阅总线；
结果不进记忆抽取（同步/异步/端到端接缝）；组合根真装配（真 bus 发布 → 父会话多
一行）。回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
不做：不改 `subagent_result` 帧形状、不加进 frameReachesAll、不新开路由/帧族、
不注入人设、不改 Docs（契约归一建议报塔）。
2026-10-24 22:02:11 +08:00
AskaEth
bd49080bd1
tower: snapshot of uncommitted base checkout changes (worktree wt-32)
2026-10-24 21:51:07 +08:00
AskaEth
0fe88a44c0
Merge branch 'feat/m23-coalesce-silent-window-batching-and' into dev
2026-10-24 21:32:29 +08:00
AskaEth
4c9cabce1b
fix(channelbridge): 窗口准入落到车道头 + lane.go 按职责拆分（M23 复审 r1 P2）
...
P2-1（行为缺陷）：窗口准入此前只在 prepareInbound 里算 `solo`，而 prepare 发生在
**窗口等待之后** —— 平台帧（action / 系统通知 / 我们自己的 message_sent 回执）照样
进窗、照样把滑动计时重置：一条回执就能把这一批的静默期一直续住（群友说了三句话，
她因为「撤回事件」迟迟不开口）。这与任务书「窗口只收 chat/image/voice/file」相反。
- `laneWindowAdmits(msg)` 成为**唯一准入判据**，只看结构化事实（ContentType +
isSystemNoticeMessage，绝不解析正文）；
- `splitWindowItems` 在窗口等待阶段把到达的条目分成「进窗口」与「不进窗口」两半；
- 非准入帧**不建窗口、不重置计时**（首条即到达即发车），窗口中途到达的只收进 solos，
这一批发车后**原样回插队首**各自单跑（保序、不合并、不丢弃）；
- prepareInbound 里的 `solo` 保留为第二道保险（适配器将来把平台事件标成 text 时，
仍会在组批前被切出去）。
P2-2（硬约束）：lane.go 682 行 → 按职责纯搬移成 5 个文件（最大 246 行）：
lane.go（车道类型与注册表）/ lane_queue.go（入队与取队列）/
lane_worker.go（单消费者与回合槽）/ lane_drop.go（丢弃与停机诚实）/
lane_owner.go（主人私聊判据与车道键）。语义零改动：去注释后的声明集合
（34 个顶层声明，含函数体/字段/常量值）逐字节全等；既有用例一条未改。
顺带：把两处「IsOwner() && !IsGroupChat()」的注释改成代码真正用的判据
（ownerPrivateLane = !msg.IsGroup() && actor.IsOwner()），并记下这处 P3 分叉。
验证：全树 build/vet/test 全绿（73 包 ok）；三包 -race 全绿；
新增 4 条准入用例在「准入失效」变异下三条必红、对照组保持绿。
2026-10-24 21:28:26 +08:00
AskaEth
ca8577f05b
feat(channelbridge): 群聊静默窗口合并与回合中续跑（M23）
...
主人 2026-10-23/24：「要让群聊聊天很自然，很流畅的做法」。群里「一鼓作气打三句」
此前会让她回三次；本片在**每会话车道头部**加一段静默等待，把这几句合成**一轮**回答
（批内每条仍是独立的一条消息，design/15 §2.1 不许拼成一条）。
四条不可走样：
- 🔴 主人私聊**结构性**无窗口：车道分 `newDirectLane`（无 batcher 字段、拿不到定时器
工厂）与 `newBatchLane`，类型由 actor 元数据（IsOwner() && !IsGroupChat()）决定，
配置无权翻转；
- 🔴 窗口内零丢失：唯一容器是车道队列（takeAll 单消费者取出），合并阶段无新增丢弃点
（CoalescedDroppedTotal 恒 0）；超单批上限的**尾部回插队首**保序、锁内、发车前；
- 🔴 一条批 = 一个 turnID = 一次 loop.Run = 一条助手回复；
- 🔴 不改「回什么」：闸门仍逐条跑（prepareInbound 逐字搬运 M22 的 processFrom），
被静默的消息进不了批。
实现落点：
- lane.go：direct/batch 两种车道 + front（回插队首）+ takeAll + 停机诚实登记；
- coalesce.go：生效参数解析、滑动窗口 + 绝对上限等待、发车原因与计数；
- coalesce_lane.go：攒批 → 拆分 → 陈旧度/闸门 → 发车；
- coalesce_prepare.go / coalesce_batch.go：processFrom 拆成 prepareInbound + runBatch；
- runtimeconfig/channels_coalesce.go：$DATA_DIR/config/coalesce.json（零新 .env 键）；
- gateway/admin_coalesce.go：GET/PUT /api/v1/admin/channels/coalesce（三态补丁 +
writeAuth + 审计 channels.coalesce + 热生效），routes.go 两行注册（塔已批）；
- 前端：渠道总览页一张卡（六个旋钮；主人私聊只给只读说明，不给开关）。
M22 既有用例仍在（lane_test.go 夹具显式关窗以钉住车道本身）；stranger_test.go 的那条
按塔裁定 #4 改写：「已有回合在跑 ⇒ 只登记不回」变成排队回答（留 WARN，绝不静默）。
回归：go build/vet/test ./... 全绿；三包 -race 全绿；前端 tsc --noEmit + npm run build
+ 渲染测试 36 项通过。不 push、不重启后端、未改 .env 与 Docs/。
2026-10-24 21:11:22 +08:00
AskaEth
679c8abf1d
Merge branch 'feat/m30-mcporigin-stamp-tool-origin-and-grou' into dev
2026-10-24 20:36:47 +08:00
AskaEth
c608dd4afb
fix(gateway): 卸载拒绝话术按接入路径分流（.env 接入的 server 不再指向 MCP 页）
...
复审 M30-p2-1（r1）：`plugin_uninstall_scope` 的 400 一律让主人「去『MCP 服务器』页
卸载」，但 `.env` 的 MCP_SERVERS_JSON 启动期接入的 server **不经**插件管理器、
不在 plugins.json 里，MCP 页（= Manager.Statuses()/List()）根本看不到它 ⇒ 那条指引
对该路径是假指引。
- 新增 `plugin.(Manager) MCPServerName`：`mcp:<server>` 注册键 → server 名的**唯一**
解析口（前缀只在 manager.go 出现一次），网关不再自己拼前缀。
- `serverScopedUninstall` 改为 `*Server` 方法，文案经 `uninstallPointer` 分流：
· 管理器托管（落在 plugins.json，判据 `Manager.List()`）⇒ 保留「请在『MCP 服务器』
页启停或卸载该 server」；
· 否则 ⇒ 明说该 server 由 .env 的 MCP_SERVERS_JSON 在启动时接入、面板不管理它，
并给出可操作步骤（改 .env 里那一项：删掉或设 enabled=false，改完需重启生效）。
接入路径判据来自**管理器持久清单**，不是名字前缀/transport 推断。
- `mcp:<server>` 登记条目同样分流（此前也一律指向 MCP 页）。
测试（gateway）：plugins.json 路径断言含「MCP 服务器」页字样且不提 MCP_SERVERS_JSON；
.env 路径（工具与登记条目各一条）断言含 MCP_SERVERS_JSON 且**不含**「MCP 服务器」
字样；三条均断言 400 + `plugin_uninstall_scope` 不变、被拒后条目仍在。
修前红：两条 .env 用例（见回报）；修后绿。回归 go build/vet/test 全绿。
2026-10-24 20:32:36 +08:00
AskaEth
86aef7b454
feat(capability): 工具按上游 MCP server 分节（来源章 + 呈现隔离）
...
主人 2026-10-24：「能否将每个 MCP 服务器所承载的插件和工具按上游(来源)服务器分类
并与其他插件相对隔离？」
归属信息此前后端根本没有（GET /admin/plugins 每条只有 name/kind/description/两个
布尔），而 `mcp:` 是每台 server 一条的 KindMCP 条目的注册键，**不是**工具的命名空间
（工具名由 server 原样给出，连前缀都没有）⇒ 只能靠注册时的元数据，不能解析名字。
后端（唯一汇点盖章）：
- 新增 pkg/plugins/sdk/origin.go：Origin{Kind,Server,Transport} + 可选接口
OriginAware（没实现 = 宿主内置，老工具零改动）+ OriginOf（零值视为无来源）。
- registry.Capability 加 Origin 字段；RegisterTool 盖章（覆盖热装与 .env
MCP_SERVERS_JSON 两条接入路径的合流处），ReplaceTool **同样重新盖章**（它逐字段
重建条目，漏了就是「热替换把来源抹掉」）。
- mcp.mcpTool 实现 Origin()（server 名与传输都在 cfg 上），transport 用新的
transportNameOf 报**实际会用的**形态（stdio/sse/http），与 newTransport 同一推断。
- 网关 PluginSummary 加可选 origin（omitempty）：零值 ⇒ 键缺席，不是空对象。
- 卸载守卫：对单把 MCP 工具或 `mcp:<server>` 登记条目直接 400
（plugin_uninstall_scope）并指向「MCP 服务器」页 —— 原来会绕过插件管理器裸删，
server 的 names 账本不同步、重连后工具复活。判据是来源章，不是名字前缀。
前端（呈现分组）：
- admin/modules/pluginOrigin.ts：纯函数按 origin.server 分节（按 server 名排序），
transport 未报告时标题省略括号，缺 server 名不冒充内置。
- Plugins.tsx：工具段两级（`来自 fs（stdio）· N 把工具` + 宿主内置），MCP 工具行去掉
「卸载」改为指向 MCP 页；`kind:"mcp"` 登记条目与未知 kind（iot）各有段如实显示，
不再静默丢弃（design/09 §5.2.1 红线③）。
零影响（有断言）：tool_policies 表/策略写路径未改；ToolSchemas 不发来源（测试断言
模型面既无 origin 键也无 server 名）；停用 server ⇒ 条目连来源一起消失，无孤儿。
测试：registry 盖章/保章（两条均已实测变异变红）/内置零值/改策略不清章；mcp 注册
路径盖章 + transport 推断表；网关读面缺席与存在、热装整链、卸载守卫；前端 esbuild+cjs
逻辑测试 12 项。验收：go build/vet/test 全绿，frontend `npm run build` 通过。
2026-10-24 20:21:22 +08:00
AskaEth
fd8a62edf5
Merge branch 'feat/lanequeue-decouple-inbound-turns-and-add' into dev
2026-10-24 20:17:17 +08:00
AskaEth
e3e8878ead
fix(channelbridge): 车道键与会话键同源 + 主人私聊溢出区保序（M22 复审）
...
复审 r1 的 P1-1 被证实：车道键（a.Name()+ConversationKey，含频道与账号维度）与会话键
（platform \x00 channelID）是两套没有共同来源的判据，于是 kook 同一 guild 的两个 text
channel、以及同平台两个账号对同一对端，都会得到「一个 session、两条车道、两个回合并发」
—— 两条 run 共享 sessionID，checkpoint 行 id 互相覆盖 / flow 桶被先收尾者删掉。
- P1-1 车道键与会话键同源：`internal/channel/session` 导出 ChannelKey / Key（channelID
与原缓存键派生**原样**导出，manager 内部改为走同一个 sessionKey，语义一字未改）；
`laneKey` 现在逐字是 `session.Key(msg)`（主人私聊仍是 `main|web` 这个目的地键），
**去掉 a.Name() 维度**。同平台多账号对同一对端因此共用一条车道（它们是同一个 session），
出站路由不受影响：回复取每条消息自己的 platform/ChannelID 与它自己的适配器。
- P2-1 溢出区保序：`spill` 非空后新条目一律追加 spill、不再回写 `ch`，修掉复审实测的
`[m1 m2 m3 m5 m4]` 超车（现为到达顺序）。
- P2-2 口径修正：lane_test 文件头改指 `TestLaneRejectsNewestWhenFull`（语义是「门前拒收
最新、队列不动」）；laneKey 注释改写「多账号必须共用一条车道」并写明取舍。
- P2-3 生产可见性：丢弃 WARN 带上 `dropped_stale_total` / `dropped_overflow_total` 累计
计数（不新开端点）；主人私聊积压改成按倍率 16/32/64… 告警，不再只响一次。
断言：TestLaneKeyNeverCollidesAcrossSessions（表驱动，含 kook c1/c2@同 guild、
telegram conf0/conf1@同对端两行 + 不同群仍并行的控制行）、
TestLaneOwnerPrivateSpillKeepsArrivalOrder（逐条放行，钉住到达顺序）、
internal/channel/session/keys_test.go（键派生与会话缓存键形状）。
2026-10-24 20:08:28 +08:00
AskaEth
7ea2850f18
Merge branch 'feat/m24-flowgate-move-review-off-admission-p' into dev
2026-10-24 20:00:57 +08:00
AskaEth
187eb327d6
Merge branch 'feat/mcppanel-mcp-server-management-page-and' into dev
2026-10-24 19:58:37 +08:00
AskaEth
cfb8700b61
Merge branch 'feat/m26-webuidist-make-go-build-work-in-clea' into dev
2026-10-24 19:54:10 +08:00
AskaEth
2142de92f2
fix(plugin): 拒收 env/args 的非字符串值 + 保留键收成内置 id 集合 + 启用落盘失败文案
...
r1 复审 P2-1 + 两条顺手件。
P2-1（必修）：`actionStringMap` / `actionStringList` 之前对非字符串值 `continue`，于是
前端 kv 控件里最自然的写法 `{"PORT":8080}` 会被**静默丢掉**、安装仍报 `installed:true`。
现在非字符串值、空键、非数组一律 400 invalid_config，文案只点名**键与类型**（不回显值）；
盘上零变更、注册表零工具、快照零行（测试同时断言）。
顺手件 1：`isReservedPanelKey` 从「只挡 mcp」改成内置提供者闭集（mcp / web-search /
browser，写成 switch，新增内置页时漏补一眼可见）。之前一台名为 web-search 的 server 被
卸载时，`forgetPanels → MarkUninstalled` 会把内置「搜索提供商」页在重启前整页摘掉。
顺手件 2：启用「已连上但启用态未落盘」的文案改成事实（原来那句「它仍处于停用状态」与
事实相反）。为此新增 `ErrPluginStatePersist` 哨兵，把「磁盘没记住」与「连不上」分开；
`state=connected` 的派生口径不动。停用失败文案同时补上「server 仍在运行」。
测试：三条新用例，均已验「修前红 → 修后绿」（见 review-request 的取证）。
2026-10-24 19:53:38 +08:00
AskaEth
a25e0c8870
test(channelbridge): 锁住审查解析的接线（BOM 韧性必须在生产侧生效）
...
- 新增 TestParseKeepIndices_ToleratesBOMWiring：喂对端**原样字节**（\xef\xbb\xbf + JSON 数组）
给生产路径的 parseKeepIndices，必须解析成功且升序；同时断言夹具真的以 BOM 开头、且裸
json.Unmarshal 在它上面仍然失败 —— 把委派改回裸 json.Unmarshal 即红。
- 新增 TestParseKeepIndices_StillFiltersAfterDelegation：委派之后过滤口径不变（越界/负数/
重复编号丢弃、结果升序）。
- 新增 TestNewLLMReviewer_ToleratesBOMOutput：走整条生产路径（NewLLMReviewer 产出的
Reviewer），回带 BOM 时给出保留编号而不是退回 FIFO。
- 注释里写明 M24 已确认的语义代价：审查移出准入路径后 review_pruned 不再从门口丢消息
（41–74 条/日 会进流水线），而 rate_limited 门口丢与 FIFO 上限修剪一字不改（由既有用例钉住）。
只加用例与必要注释（含一个为断言所需的 encoding/json import），未改动既有用例的任何断言。
2026-10-24 19:49:58 +08:00
AskaEth
960d7b46fd
Merge branch 'feat/m25-proactiveweb-route-web-proactive-pus' into dev
2026-10-24 19:47:48 +08:00
AskaEth
e91b868a5c
feat(channelbridge): 入站投递与回水解耦 + 每会话回合车道（M22）
...
报障：「群聊消息速率限制似乎会让消息一直排队，导致后面才回复前面的话」。
病灶：`onMessage` 在适配器的读循环里**同步**抢全局 16 槽回合信号量，槽满即停止
读 socket（心跳不回、后续帧不解析），跑完一轮再按条重放。
- 解耦：`onMessage` 过完流控闸后只调用 `enqueueInbound` 就返回；全局回合槽
（maxConcurrent=16）搬到车道 worker 里取，读循环不再等任何一个回合。
- 每会话一条车道（lane.go）：键 = `<账号>|<platform>|<channel>|<会话桶>`
（主人私聊恒为 `main|web`，因为它们都路由进同一个主会话）；同会话串行 FIFO、
不同会话并行；空闲车道退休，表大小只跟活跃会话数相关。
- 陈旧度闸：轮到时已等超 `LaneStaleAfter`（默认 30s，Options 可覆盖）⇒ 丢弃不补答，
留 WARN + LaneStats 计数 + onRejected 审计。主人私聊与非聊天事件豁免
（主人 2026-10-24 裁定：宁可晚回，不许不回）。
- 背压有界且诚实：群聊/陌生人满时在门前拒收这一条（队列内容不动，M23 的 takeAll
依赖它）；主人私聊永不拒收，溢到 spill 只排队，越过 ownerLaneBacklogWarn 记 WARN。
- 四条不变量（顺序/一致性/完整性/最新性）在 lane.go 头部写清，lane_test.go 逐条断言；
TestLaneDeliveryNeverBlocksTheReadLoop 用「槽全满 + 心跳帧」复现旧病灶。
不改「回什么」的语义：flowgate 限流判据、engage/冷避/owner 闸、陌生人 AcquireTurn
全部原样保留；不做静默窗口合并与回合中续跑（M23）。
2026-10-24 19:46:20 +08:00
AskaEth
ec6c98d26a
fix(web): keep the webui dist placeholder across frontend builds
...
copy-dist.mjs rm -rf'd internal/webui/dist before copying the SPA in, so
every npm run build deleted the committed .gitkeep and a fresh checkout
went back to failing go:embed. Restore the placeholder after the copy, and
also on a failed copy (an empty dist/ still compiles; a missing dir does
not), so the wipe only ever clears build output.
2026-10-24 19:44:34 +08:00
AskaEth
76d972f0f2
fix(channel/flowgate): 审查移出准入路径、节流覆盖失败路径、BOM 解析韧性
...
- Admit 不再同步调用审查模型：触发时只把审查**派发**到后台 goroutine，准入只读
当前已有结论。三重上界：同一适配器至多一次在飞（reviewInFlight）、同一会话每窗口
至多一次（lastReview）、整个适配器每窗口至多 defaultReviewPerWindow=6 次（reviewHits，
写成可测断言）。
- st.lastReview 改为在**派发时**置位 ⇒ 成功与失败两条路径同样被节流。修复前它只在
err == nil 分支置位，而实测 68% 的审查因对端回带 BOM 解析失败 ⇒ 缓冲满后每条入站帧
都付一次 ~6s 的模型调用（qq-ws/kook-ws/weixin-poll 三路单读 goroutine 全被钉住）。
- 新增 adapter.ParseReviewIndices：容忍 UTF-8 BOM、首尾空白/换行、Markdown 代码围栏、
数组外解说文字；越界/重复编号照旧丢弃。channelbridge.parseKeepIndices 改为委派它
（仅函数体 + 注释，未动限流/丢弃/审查触发语义）。
- 语义差异（已写进 flowgate_review.go 文件头）：rate_limited 的门口丢与 FIFO 上限
一字不改；审查修剪降级为后台积压去噪，只修剪它当时看到的那批历史条目 ——
review_pruned 不再从门口丢消息（实测 41–74 条/日），完整性↑、噪声↑，是否开口仍由
engage_judge/冷避/owner 闸判（三处判据未动）。
- cmd/cyrene：逐账号启动日志如实报出生效的入口流控（塔裁决 A：零行为改动、不翻默认），
让「没配流控键的账号闸门仍开着」一眼可见。
- 测试：4s 慢审查替身证明入站帧不被阻塞（变异回同步 ⇒ 红）、节流在失败路径生效
（摘掉派发时置位 ⇒ 红）、每适配器窗口预算上界（摘掉预算 ⇒ 红）、同适配器单飞
（摘掉 in-flight ⇒ 红）、在飞期间到达的消息不被连带修剪、带 BOM 字节的夹具
（夹具去掉 BOM ⇒ 红）。闸门用例 -race 通过。
2026-10-24 19:43:57 +08:00
AskaEth
a1d162febf
fix(webui): commit dist placeholder so go:embed compiles in clean checkouts
...
internal/webui/webui.go uses //go:embed all:dist, which fails to compile
when the directory holds zero files. dist/ is gitignored (it is npm build
output), so every fresh clone or worktree could not run go build ./...
until the frontend had been built once.
Track an empty internal/webui/dist/.gitkeep so the embed always has one
matching file. The all: prefix is what makes a dotfile count. Real build
output (index.html, assets/**) stays ignored and is never committed.
The placeholder is forced into the index because .gitignore's dist/ rule
excludes the parent directory with no way to re-include a child.
2026-10-24 19:42:58 +08:00
AskaEth
1d3965aa80
fix(gateway): Web 活跃客户端主动推送走 turnreply 规整（先规整再落库，推帧与落库逐字相同）
...
M19 复审抓到的真缺口：internal/services/gateway/proactive.go 的
SendProactive -> persistProactiveToMain 这条 Web 活跃客户端主动推送路由
完全绕过 turnreply.NormalizeParagraphs —— 同一条主动消息走 IM 是规整过的、
走 Web 实时推还是原样（半包 <p> 在客户端按「存在完整 <p> 就不再按空行回退」
的契约下整条塌成一坨）。
- 接线：SendProactive 在落库之前先 msg.Content = turnreply.NormalizeParagraphs(msg.Content)，
落库与 proactive_message 帧取同一个字符串 ⇒ 两端逐字相同；不在 gateway 另写实现。
- 新增 proactive_normalize_test.go：修前红（web 原样 / im 已规整），修后断言
① 落库是规整后文本 ② 推帧 == 落库行 ③ 两条路由同源同文本 ④ <br>/<action> 语义不动。
- 既有两条断言按新口径更新（纯散文现在也被包成一个 <p>，与其它三处一致）。
2026-10-24 19:40:30 +08:00
AskaEth
2421a8dac9
feat(plugin): 组合根装配「MCP 服务器」页（声明 + 动作处理器成对）
...
- wirePanelHub 在 AttachPanels / declareBuiltinPanels 之后调 AttachMCPPanel：
一处完成「声明页面」+「登记 7 个动作处理器」，缺任一步就是面板在、动作全 501。
- wire_panels_test 的两条「内置面板恰好 1 条」断言改成按 pluginID 定位
（web-search/providers），并加钉区块形状（form+table；viewer 只剩 table）。
接线落地后目录里确实是两条（mcp/10 + web-search/20），旧断言是事实过期而非回归。
2026-10-24 19:38:38 +08:00
AskaEth
4518385f44
Merge branch 'feat/literalnewline-render-literal-backslash' into dev
2026-10-24 19:38:27 +08:00
AskaEth
6b0af81136
fix(turnreply): 围栏闭合串不得短于开启串（复审 p2 收口）
...
复审 review-m19-r1 的 p2：`codeProtectedEnd` 的围栏分支只判「下一个 ≥3 反引号
的串」，没判「闭合不短于开启」。CommonMark 要求闭合串**至少与开启串等长**，
因此 ```` 开启的围栏不能被内层 ``` 关闭。复现形态（````markdown 里嵌 ```go，
示例里写 `print("a\nb")`）：旧实现把内层 ``` 当闭合 ⇒ 之后的示例正文被当普通
正文渲染，代码里的 `\n` 变成真换行；而这一步跑在**落库之前**，改坏的代码会永久进
历史 —— 反向踩了本文件「宁可少渲染也不改坏代码」的自己的红线。
- literal_breaks.go：围栏分支改为 findBacktickRun(text, body, n, unboundedRun)
（closing ≥ opening）；注释写明 CommonMark 口径与「改了会落库」的后果。
- 新增 TestRenderLiteralLineBreaks_NestedFenceRespectsOpeningRun：嵌套围栏逐字保留、
围栏外仍照常渲染（保护不得溢出）。摘掉这一行 ⇒ 该用例红，还原即绿。
- 新增 TestTurnReply_DoubleLiteralBreakBecomesParagraphBreak：钉住 `\n\n` ⇒ 空行 ⇒
两段 <p> ⇒ 两端各 2 条气泡（复审观察②，语义对但此前无用例覆盖）。
- 措辞收口：样本 455 字符 / 907 字节；IM 侧主动推送的注释补明「Web 活跃客户端那条
主动推送不经 NormalizeParagraphs，另计」。
行内代码那条等长分支未动。全树 go build ./... + go vet ./... + go test -count=1 ./...
全绿（73 包，RC 0）。
2026-10-24 19:33:33 +08:00
AskaEth
9654ce8861
feat(plugin): MCP 服务器管理页 + 按 server 独立启停与状态快照
...
design/09 §5.2.1 / §5.6.1：补上「看不见连没连上 / 暴露了哪些工具 / 为什么挂了」的洞。
- runtimeconfig：PluginConfig 新增 `enabled`（*bool，缺省＝启用 ⇒ 既有 plugins.json
向后兼容）；新增 RedactPluginSecrets（整把凭据 + 任意 ≥6 字符片段一并抹除）。
- mcp：新增 status.go 的只读状态读面（ToolSummaries：工具名 + 截断描述，取自能力
注册表本身，因此与模型可见的工具集合同源）。
- plugin 管理器：
· Install/Restore 尊重 enabled（停用＝落盘不连接，重启后仍是停用，且一次都不连）；
· SetEnabled 落盘 enabled（停用先落盘再下线；启用失败时 enabled 保持 false）；
· 新增 Reconnect（对已停用者拒绝，不替用户启用）；
· 新增 Statuses（三态：connected 缺席＝未知，工具数/明细/时间只在知道时给出，
lastError 在记录那一刻即脱敏截断）；
· 内置「MCP 服务器」页声明 + 7 个已声明动作（list/install/reconnect/enable/
disable/uninstall/transports），走既有通用动作端点（owner-admin + 审计）；
· 护栏：热装插件的生命周期不改动内置提供者（mcp）的目录条目。
- gateway：已安装列表与 install 响应加 enabled，install 支持 config.enabled。
2026-10-24 19:31:31 +08:00
AskaEth
fa573663c1
fix(turnreply): 字面 \n 渲染成真换行（Web 镜像与 IM 出站同一份）
...
主人 2026-10-24 报障：QQ 群最新一条 assistant 消息里 6 处字面 `\n`
（反斜杠 + n，不是真换行）原样发出去，用户看到「F\n多利亚」。
落点选在**写入侧共享层** `turnreply.NormalizeParagraphs`（gateway 的
persistTurnReply 与 channelbridge 的 turnVisibleReply 都调它）：
IM 的 deliverReply 拿同一个字符串既落库（= Web 主会话镜像）又发气泡，
Web chat 气泡是 whitespace-pre-wrap ⇒ 在共享层渲染，落库/WS/REST/IM
出站与历史一次性对齐；只在 channelbridge 清洗层改会留下「面板上仍是字面 \n」。
- 新增 internal/runtime/turnreply/literal_breaks.go 的 RenderLiteralLineBreaks：
逐字节扫描，围栏（```）与行内代码（`…` / ``…``）内原样保留，`\n` 与
`\t`/`\r`/`\uXXXX`、行尾孤立 `\` 一律不动；未闭合围栏保守保护到末尾；幂等。
- paragraph.go 在**围栏 skip 之前**调用它 ⇒ 含围栏的消息里围栏外的 `\n` 也渲染。
- 🔴 未改既有语义：只产出换行字符，绝不产出 <br>/<p> —— <br> 仍是气泡分隔符，
字面 \n 只做气泡内换行（一条列表不会被拆成 7 条消息）。
- channelbridge 源码零改动。
验证：真机原文（6 处 \n / 5 个 <p>）修前红（摘掉钩子 3 个测试变红）→ 修后绿；
三处变异（去掉围栏保护 / 去掉 \ 配对 / 把渲染挪到围栏 skip 之后）各自变红后还原复绿。
全树 go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）。
2026-10-24 19:21:50 +08:00
AskaEth
4ed5925296
Merge branch 'feat/memberquiet-cold-shoulder-applies-before' into dev
2026-10-15 19:14:00 +08:00
AskaEth
28967d3435
refactor(channelbridge): 冷避例外②收窄为「真故障/求救」严格子集
...
塔 2026-10-15 改裁定：例外给了命中词「穿透 30 分钟冷避」的权力，噪声不再只是多回
一句话，而是直接削弱冷避本身 —— 而实测全表 14 条在 598 条真实 user 消息里只命中
1 次，且那次是假阳性（QQ 机器人卡片文案里的 `bug`，而该群本来就在放这种卡片）。
- 新增 coldShoulderPierceKeywords（具名常量，注释写明为什么比全表严、依据即那条
卡片假阳性）与 hasColdShoulderPierceKeyword：保留 报错/出错/故障/紧急/救命/求助/
帮帮我/urgent，剔出 ASCII `bug`/`error`/`help`（会命中结构化载荷/URL/卡片）与
情绪歧义的 `崩溃`/`坏了`/`坏掉`。
- 例外② 改用该子集；hasHighValueKeyword（基线，ruleLightJudge 用）**一字未改**，
两张表的分工写进注释，并有断言钉住「基线不许被这次收窄波及」。
- 例外矩阵新增三行：机器人卡片含 `bug` ⇒ 不穿透；英文 error/help ⇒ 不穿透；
情绪「我崩溃了」⇒ 不穿透（三行对上一提交均为红）。第 1/2 行继续用保留词 报错，
第 3/4/5/6 行原样保留；另加子集单元护栏（正例六条 / 反例六条）。
- 按项目「文件 ≤500 行」把冷避规则簇拆到 engage_coldshoulder.go（engage.go 528→376）。
红前绿证据：把例外判据临时还原成上一提交的 hasHighValueKeyword 全表（与该提交逐字
等价）⇒ 恰好上述三行变红、其余行与护栏保持绿；已还原（无残留）。
已知代价如实登记在案：用英文写的真求救不再穿透 —— 塔裁定以「宁可少穿透」为准；
全表（highValueKeywords）本身的收窄由塔另排切片，不在本片。
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）；
channelbridge / channel / cmd/cyrene 单独跑绿；darwin/arm64 交叉编译通过。
2026-10-15 19:04:48 +08:00
AskaEth
13a0519115
feat(channelbridge): 冷避期唯一的放行口——高价值关键词穿透（不解除冷却）
...
塔 2026-10-15 例外口径定稿落地。M18 主体（冷避优先于「@她必回」）保持不动，
本提交只补冷却期内的例外与它的守卫。
- engage.go：`coldShoulderLocked` 在冷却期内放行**高价值关键词**这一条
（真故障不该被「让她少闲聊」一并压掉），且**不解除冷却**（不动 state / cooldownUntil）；
同句既有负面态度又有高价值关键词时**负面态度优先**（仍进冷却、仍静默）；
例外与顺序写进函数注释，并写明 owner 车道为什么不需要单独写例外（它在
shouldRespond 第一步就分岔，写在这里是死代码）。文档面 design/18 §5/§9 由塔同步。
- light.go：shouldRespond 的判定顺序与冷避闸注释同步该口径。
- 测试：新增 engage_coldshoulder_exception_test.go（冷却期例外矩阵：真故障放行、
@她/闲聊不穿透、穿透不解除冷却、同句负面态度优先；以及「冷却之外行为与基线一致」
的护栏），并按文件 ≤500 行拆出该文件；engage_coldshoulder_test.go 增共享夹具。
红前绿证据（参照 = 本提交的父 M18 提交）：例外矩阵两条「真故障放行」行在我的改动
之前为红（冷避闸会把它们静默），其余三行与基线护栏在父提交上已绿，已如实标注为护栏；
「同句负面态度优先」一条另做变异自证（把例外插到负面态度判定之前 ⇒ 该行立刻变红）。
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
channelbridge / channel / cmd/cyrene 单独跑绿；darwin/arm64 交叉编译通过。
2026-10-15 19:01:02 +08:00
AskaEth
fe53e029ea
fix(channelbridge): 冷避优先于「@她必回」——群成员也能让她少说话
...
M18（主人 2026-10-14 裁决「给」）。病灶是**顺序**：`shouldRespond` 把
`ruleLightJudge`（指向她本人 / 高价值关键词）排在参与度引擎之前，@她的消息
在规则层就 return true，永远走不到 `engageDecision` 的冷避判定——群成员说
「少说点」只换来一句口头答应，行为零变化（2026-10-14 00:27 群 531082168 报障）。
- light.go：新增冷避闸位次 —— 非主人**群**消息在廉价规则之前先过
`coldShoulderGate`，命中负面态度即进 COOLDOWN、冷却期内一律静默（仍登记）。
边界：私聊不受影响（冷避是群机制）、owner 车道更早分岔不受影响、
与是否装配参与度引擎无关。shouldRespond 的判定顺序写进函数注释。
- engage.go：把冷避判据抽成唯一实现 `coldShoulderLocked`（engageDecision 仍调用
它，作纵深防御），命中时补一条带 source 的 INFO（群 / 发送者 / 冷却到何时）。
- engage.go 词表：依真机原话补「减少文本输出」（覆盖「减少文本输出量」）与
「文本输出调到最少」；刻意不取「减少 / 输出 / 最少」等短泛词（子串匹配会误伤）。
- 测试：新增 engage_coldshoulder_test.go（主断言修前红/修后绿、登记进上下文的
端到端守卫、私聊与 owner 边界护栏、词表误伤护栏、INFO 可见性）；
engage_test.go 更新旧口径「@ 打断冷却」为「@ 不得作废冷避」。
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿（windows 本机
与 darwin/arm64 交叉编译均通过）；channelbridge / channel / cmd/cyrene 单独跑亦绿。
2026-10-15 18:55:35 +08:00
AskaEth
6432088586
Merge branch 'feat/addrmember-member-lane-mention-judgment' into dev
2026-10-14 07:26:34 +08:00
AskaEth
5969e700e1
fix(channelbridge): 成员车道「指向她」判据改为 AddressedToMe（@ 别人不再必回）
...
ruleLightJudge 原判据是 len(msg.Mentions) > 0 —— 只要有任意 @ 就必回，
@ 的是谁不论。2026-10-14 真机病灶：群里 @3889001246、@867587435 两条
都不是 @ 她，她仍逐条回。
改为复用 owner 车道已验证的同一份判据 ownerAddressedToMe
（msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)）：
- 已接线渠道（qq-obv11 填了 SelfID/MentionAll/AddressedToMe）：只有 @ 她本人 /
@全体 才必回，@ 别人降级为无结论 → 参与度触发/概率那一档（未触发只登记）；
- 未接线渠道（kook/webhook/telegram/weixin_ilink 未填 SelfID）：逐字不变，
仍按旧判据必回（「没有信号」≠「没在对我说话」）；
- 判据全部来自结构化字段，绝不匹配正文里的 @<数字>。
口径依据 design/18 §2 触发① 的 2026-10-13 修订（消费点在 M13 只接了 owner 车道）。
2026-10-14 07:21:07 +08:00
AskaEth
0c2322bb92
docs(api): 契约 v0.93 — 审查预算的唯一真源（MEMORY_REVIEW_TIMEOUT_SEC 默认 20→90）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
CI / Frontend (tsc + vite build) (push) Has been cancelled
2026-10-13 23:28:39 +08:00
AskaEth
9f1f895059
Merge branch 'feat/memtimeout-single-source-of-truth-for-re' into dev
2026-10-13 23:28:34 +08:00
AskaEth
18ad2b89ab
test(memory): 两条审查超时用例搬到正确位置（复审 p2-1，纯搬运）
...
复审指出 TestEmbeddingTimeoutFitsReviewBudget 的整段文档被夹在「它描述的
函数」与「两条新用例」之间成了孤儿文档，而该函数自己的文档只剩一句、且在
文件里出现两次（一次属于那段孤儿注释，一次紧贴真正的函数）。
只搬不改语义：把 TestReviewTimeoutExplicitEnvValueWins 与
TestReviewTimeoutEffectiveValueIsTheOnlyDefault 整体挪到
TestEmbeddingTimeoutFitsReviewBudget 之后，删掉重复的那句文案与多余的空行，
让那 21 行文档重新紧贴它描述的函数（与 dev 版的相对位置逐字相同）。
纯搬运的证据：拿「排序后的行集合」比对搬运前后（前者取自 HEAD）——
`diff <(git show HEAD:internal/runtime/memory/preinsert_recall_test.go | sort) <(sort internal/runtime/memory/preinsert_recall_test.go)`
只差两行：一句重复文案 + 一个空行，其余逐行一致。
顺带按「主张与落点」把本文件自查了一遍：每段注释都紧贴它描述的符号
（实测文档与函数之间没有空行：`awk '/^\/\// {doc=NR} /^func / {if (NR-doc!=1) print NR}'`），
且文中的位置指代（「那条防线在下面的 …」「下方 cfg.TimeoutSec != 0 那条」）
在搬运后依然成立。
2026-10-13 23:21:25 +08:00
AskaEth
42a07cb454
fix(config): 单条入库审查的墙钟上限收敛到唯一真源（M16）
...
生产启动行仍是 timeout=20s —— M15 把 memory 包的 defaultReviewTimeout
抬到 90s 的修复**从未生效**：config 层的 env tag 自己带着 default:"20"，
env 层永远产出非零值，于是 memory 侧「≤0 才回落默认」的归一化成了死代码。
修法（二选一中的「① 让 memory 侧成为唯一真源」）：去掉 config 侧
MEMORY_REVIEW_TIMEOUT_SEC 的字面默认值，未配置时读出 0 = 「没配」，
由 normalizeReviewConfig 单点落地 90s。
生效值：
.env / env 没写这个键 ⇒ 90s（唯一真源）
写了正数 ⇒ 原样生效（不做任何「保底抬到 90」的加码）
写了 0 / 负数 ⇒ 90s（与项目其它旋钮同一口径：≤0 = 用默认）
新增测试（走真实组装路径，不绕过任何一层）：
config.LoadMemoryReviewConfig → ReviewConfig.Timeout →
NewPreInsertReviewer → normalizeReviewConfig → 生效值（= 启动行打印的 timeout=）
断言生效值严格大于「实测最坏召回链 57s + T1 子超时 8s」，并断言启动行打印它。
变异自证（修前红）：把 tag 的 default:"20" 加回去 ⇒ 报出
「组装后 timeout = 20s」+「生效值 20s != 唯一真源 1m30s」
原有 TestEmbeddingTimeoutFitsReviewBudget 拦不住这条，因为它比的是**本包常量**，
看不见 env 层；注释里已写明「比常量」与「比组装后生效值」的区别（防后人重蹈）。
2026-10-13 23:09:19 +08:00
AskaEth
202cd8535e
Merge branch 'feat/embudget-fix-embedding-request-amplifica' into dev
2026-10-13 22:59:42 +08:00
AskaEth
9ff0421888
Merge branch 'feat/mempanel-memory-tidy-tuning-panel-write' into dev
2026-10-13 22:59:38 +08:00
AskaEth
f6c47b0ae1
fix(memory): 清掉两处与实现相反的旧说法 + 并发哨兵改成窗口重叠（变异 8/8 红）
...
review P2 两条。
① 旧说法没删净（同类第 N 次：改了 A，同一主张还留在 B / C）。这次按「**这句主张的所有
落点**」重扫了一遍我这一片里含 Stop / Start / 重启 / 心跳已停 的注释，改掉两处与实现
正面打架的：
- applyTidyConfig 的注释还写着「调用方（ApplyPanelTuning）在 Stop 期间不能持 runMu」
「前提仍是心跳已停」—— 而同文件的文件头刚写过「调优路径上一个 Start/Stop 都没有」，
同一文件里两段话自相矛盾；
- 整理档那条并发哨兵的循环注释还写着「Stop 把 running 置为 false，忘了重启就会静默
停摆」，而该循环里根本没有 Stop/Start（改成「唤醒不是停表」，并把 Stop/Start 那版
明确标成旧版）。
顺带把文件头「所有读点都收进访问器」的说法改准：此外还有一处**同一把锁下**的相等比较
（ApplyPanelTuning 里的 s.cfg == next），它本身不需要访问器。
② 新哨兵是概率性守卫：固定 40 轮时撤回 DryRun 同步只红 4/8（写方那几十次覆写在微秒级
就跑完，读方还在慢端点里打转）⇒ 文档规定的 -count=1 会漏掉约一半回归。改成**两侧各自
跑满同一个 300ms 墙钟窗口**（写窗口与读窗口必然重叠，不靠快慢概率），读方两个活端点各
起两路；写方每轮换一个值（否则 ApplyPanelTuning 会被「配置没变」的早退挡掉，根本不写）。
实测：撤回 DryRun 同步红 **8/8**、撤回 ManualRun 同步红 **8/8**（各 8 次 -race -count=1）；
干净 tip `-race -count=5` 全绿、三条哨兵一起 `-count=3` 全绿；该哨兵耗时 0.35s（原 0.18s）。
顺带把 clipJSON 用例注释里那句改准：40 字节处被切掉的是第 13 个汉字的**第三个字节**
（前两个字节被留下），而不是先前写的「第三个字节上」。
2026-10-13 22:50:38 +08:00
AskaEth
4df8d6f53a
fix(memory): 按字段扫清 s.cfg 的其余无锁读（P1）+ 回显文案按 rune 截断
...
review P1：applyTidyConfig 在运行期**整体覆写** s.cfg，而我只把调度读收进了持锁
访问器 —— 同一字段还有几处无锁读，其中两处是**活端点**：
- TidyService.DryRun 的开关判定（在取 runMu **之前**）⇒ POST …/tidy/dry-run 与
?async=1 那条会起后台 goroutine 的版本（真机 90s 级）；
- TidyService.ManualRun 的开关判定（同样在 runMu 之前）⇒ POST …/tidy/run；
- （原本也漏的）Enabled() 与 Start 的启动日志块。
按**字段**重扫了一遍（不按文件）：现在生产代码里对 s.cfg 的读**只剩**三个持锁访问器
内部（enabled / cfgSnapshot / scheduleSnapshot），写点只有 applyTidyConfig 一处；
s.tidier.cfg 的读点全在持 runMu 的轮次 / 试算路径上（含异步版经 DryRun）。
新增第三条并发回归哨兵：真并发跑「试算 + 手动真跑」两个活端点 × 面板保存。
修前红/修后绿：撤回 DryRun 的同步 ⇒ 报「写 applyTidyConfig × 读 DryRun」；撤回
ManualRun 的同步 ⇒ 报「写 applyTidyConfig × 读 ManualRun」；两次变异都逐字还原
（diff 0 差异）。
顺手两条（塔指定）：
- 那条并发哨兵的 doc 与实现相反（还写着「正确顺序是 Stop → 写 → Start」），已改成
唤醒机制下的说法 —— 与「注释与实现不符」同类，不留旧说法。
- 非法值的回显文案原按**字节**截断（s[:40]），中文会被切成半截（非法 UTF-8，经
JSON 编码变成 U+FFFD 替换符）。改成按 **rune** 截断，直接复用同包既有的
clipRunes；用例取值刻意让截断点落在多字节字符中间（JSON 引号 + 一个 ASCII 前缀
错开对齐），并做过变异复验：改回按字节 ⇒ 用例红（切出半个汉字）。
2026-10-13 22:33:07 +08:00
AskaEth
97c0c1b94a
feat(memory): 调优重排改为唤醒通道，不再 Stop/Start（消灭与到期清扫的耦合）
...
按塔的裁定把「重排心跳」从生命周期操作改成唤醒通道，调优路径上一个 Start/Stop
都没有了。
- tidy_service.go：TidyService 新增 wake（cap 1 + 非阻塞发）与 wakeMu/wakeCancel；
loop 的等待段抽成 waitForTick，三态判定（睡满 / 被调优唤醒 / 停）；被唤醒只
重算下一拍、**绝不**跑轮。调度读（nextDelay / dueNow）改走 scheduleSnapshot，
在同一把锁下同取「cfg + lastRun」，于是运行期写 cfg 不必再把后台件停下来。
Start / Stop / wg / running 与 Enabled 早退语义**一个字节没动**。
- tidy_service_tuning.go：ApplyPanelTuning 变成「持 runMu 写 cfg → 发一次唤醒」。
唤醒 = 一次性标记（保证不丢：心跳不在等时标记留在缓冲里）**加上**取消当前那次
等待（保证立刻生效，否则 24h→3h 要等原来那一觉睡完）。
两条冲突就此消失，各配一条可复现断言：
- **面板保存不再触发到期清扫、也不重置清扫 ticker**：新用例在保存前后各造一行已
到期的记忆，保存之后那行必须**还在**、清扫审计计数必须不变；该用例自带活对照
（启动清扫会删掉第一行），因此「行还在」不是量具失灵。若保存走 Stop/Start，清扫
的「启动即扫一轮」会立刻把它删掉。
- **调优路径上不再存在任何 Start 调用**（结构上消灭交叉 Start/Stop）：包内生产代码
已 grep 不到任何 `.Start(` / `.Stop(` 调用，Start 与 Stop 各只剩组合根那一处调用点
（`cmd/cyrene/main.go` / `cmd/cyrene/wire_services.go`），M3 注释里那条「Start/Stop
各只调用一次」的不变式因此重新成立；交叉场景由带真心跳的调优用例在 `-race` 下跑过
（不再 panic）。
热生效没退化：原来那条「23h30m → 30m」的断言按新机制重写 —— 用一个「听得懂 ctx
取消」的假等待看两觉的时长（保存前 23h30m、保存当场的第二觉 30m），并补上「唤醒不
跑轮（lastRun 不前移）」「唤醒后 running 仍为 true」。
变异自证（都跑过再还原，`diff` 逐字一致）：
- 去掉 `notifyReschedule` 调用 ⇒「被唤醒后的第二觉」等不到 ⇒ 用例红；
- 只留标记、去掉「取消当前等待」那一半 ⇒ 同一条红（两半都必需）。
M3 的守卫 `expire_loop_test.go` **一行未动**：它的假 wait 只认 ctx，父 ctx 取消时
返回 false，在新机制下语义不变（无人唤醒时照样把心跳停住）。
2026-10-13 22:17:22 +08:00
AskaEth
bdf3f3edaf
docs(embedding,memory): 复核 p2 的三处措辞改正（纯注释，零行为改动）
...
review-m15 round1 判 p2-1items（fix-then-merge），三条都属「把证据能支撑什么写准」：
1. api.go 原写「最坏也只是这一片失败」与实现语义**相反** —— Embed 的实际语义是
「任一片失败 ⇒ 整条调用失败、其余分片已算完的工作量一并丢弃」。改为与该包
budget.go 里已经写对的那一句对齐，并点明调用方据此降级（记忆一条不丢、判定规则
一字不改，变的是这一条审查的召回质量）。
2. 「尖峰与批次无关」是**过度断言**：原证据只支持「至少存在一个与批次无关的外部/
争用分量」（4 条/片也实测到 7.139s）；越界的**频率**是否随批次上升，1/40 vs 2/40
的样本不足以判定 ⇒ 改标为「归因未定」，并明说批上限取 8 的依据始终是硬证据
（16 条/片实测越界 + 真实代码路径 3 次里 2 次越界），**不依赖**任何成因推断
（原文与同文件「16 条越界故不取更大」的理由自相矛盾）。同时补上独立复核窗口的
对照（review-m15：24 次单请求 0 尖峰）说明尖峰强依赖窗口负载。
3. budget.go 的不变式不再被读成延迟保证：明确定性为「**稳态、空闲机器的建模拟合**，
用途是构造批形状」，并点名真正的兜底（90s 审查预算按整条链算 + 任一片失败即降级
的路径 + 已登记的链路韧性遗留）；结论句由「8 条/片不越界」改为「**空闲实测下**不
越界、负载下仍偶发越界」；perItemBudget 与 callBudgetShare 注释里「另一半／余量」
的同口径措辞一并改正（加一句：这是建模余量，不是单请求一定不越界的保证）。
另：preinsert_config.go 里「设计稿那一行待同步」已过期 —— 塔同日已把 design/23 §15
同步为 Timeout=90s，改为「已按实测同步」。
验证：go build ./... / go vet ./... 干净；go test -count=1 ./... 全绿；
go test -race -count=1 ./internal/runtime/embedding/... ./internal/runtime/memory/...
全绿；diff 中无非注释行（纯文档改动）。
2026-10-13 22:12:11 +08:00
AskaEth
a87fbeb494
fix(memory): 面板调优引入的两处运行期写入面收口（-race 修前红 → 修后绿）
...
一、审查档（preinsert.go / preinsert_gate.go）：面板调优会在**运行期**改 cfg 的
两个字段（DisableIngestGate / TempTTL），而读这两个字段的两处不持锁
（gateEnabled 在同步入库闸上、deferDeadline 在第五态 defer 上）。
- 读侧改走新的 tuningSnapshot()（r.mu 由 Mutex 换成 RWMutex，读锁下取整份快照）；
- **只**收这两个字段的读点：其余读点读的是构造期冻结的字段，不与写方交手，
故刻意不给入库热路径加无谓的锁；注释写明「将来面板再接管别的字段，那些读点
必须与它一起收」；
- 锁序：写方持锁期间只做字段赋值、不取任何别的锁（normalize/回落都在取锁之前
跑完）⇒ 不引入新锁序。
二、整理档（tidy_service_tuning.go）：修掉我自己的那条真竞争 —— 原顺序是
「Stop → Start → 写 cfg」，而新起的循环**立刻**读 s.cfg 重算下一拍，与写入并排
（那一拍还可能按旧配置算出来）。改成「Stop → 写 → Start」。
顺带去掉 Stop 的超时分支：超时意味着 wg 的 Wait 仍在飞，紧接着 Start 的 Add 会
踩上 M3 在 tidy_service.go 明文写下的 WaitGroup 复用纪律（-race 下 panic）；`Stop`
期间也不持 runMu，避免与「心跳正要开跑一轮」互相等死。
证据（全部逐条跑过再还原，还原用 diff 逐字校验为 0 差异）：
- 审查档：撤回读侧修复 ⇒ 2 处 DATA RACE（写 preinsert_tuning.go 的两个字段 × 读
gateEnabled / deferDeadline）；恢复 ⇒ 绿。
- 整理档：把顺序改回「先起后写」⇒ DATA RACE（写 applyTidyConfig × 读 nextDelay）；
恢复 ⇒ 绿。
- 新增两条只在 -race 下有意义的回归哨兵（tidy_service_tuning_test.go）：审查档真
并发读写；整理档用**真心跳**当读者（不伪造生产不存在的调用方，那个入口在包里
只有心跳 goroutine 会调）。
热路径成本：新增的同步是「一次无竞争 RLock + 整份小结构体快照」，隔离实测约
4ns/次（5e6 次共 22.9ms）；入库闸那条测量用例的批均值在 2.62ms → 2.71~2.81ms
之间波动，落在那条用例自身的运行间噪声里（同一份代码连跑两次，纯写入基线就从
39µs 飘到 60µs）。
2026-10-13 22:11:41 +08:00
AskaEth
f3fb097630
perf(embedding,memory): 批上限 4→8 削掉请求放大，审查预算 20s→90s 覆盖实测链长
...
实测（2026-10-13，本机空闲，活库 cyrene/user 分区 201 条、均长 34.7 汉字）：
- 一条入库审查召回链 = 51 个「4 条」请求 = 23.070 / 21.860 s；旧审查预算 20s
比链长还短 ⇒ 每一条候选满额的审查都超时，且超时后 **一行留痕都不写**
（7 天里 92.1% 的审查 recall_mode 为空、2274 条超时降级的根因）
- 同一条链改成「8 条」= 26 个请求 = 21.435 / 21.597 s：请求数减半，墙钟几乎不变
—— 链路耗时由「条数 × 每条成本」主导，批次只改请求数
- 「16 条」在**真实代码路径**上 3 次里 2 次让单请求越过 5s 单次超时（1.818 /
5.016 超时 / 5.001 超时）⇒ 批上限不越过 8；隔离测量里 12 条 0.996~1.017 s 仍在界内
改动：
- embedding: perItemBudget 500ms→300ms（实测摊销 70~107ms/条的约 3 倍）
⇒ DefaultBatchLimit 由 (5s/2−100ms)/300ms = **8**，同一套推演、两维都成立
（条数 100ms+8×300ms=2.5s；字符 100ms+480×5ms=2.5s，均在超时的一半内）
- embedding: 新增 maxSafeBatchLimit=12（实测外沿）+ 编译期断言（越界即 uint 溢出、
编译失败），与 tidy_config.go 那条同手法
- memory: defaultReviewTimeout 20s→**90s**（> 实测最坏链：空闲 21.6s⇒4.2 倍余量、
与整理链并发 56.7s + T1 8s ⇒ 1.4 倍；不再大的理由=单 worker 有界队列 256 的
最坏积压 256×90s≈6.4h、服务真挂死时第一片 5s 就降级用不到这条预算）
测试（不留过时断言）：budget_test.go 加「钉值 8/480 + 两维不等式 + ≤12 外沿 +
16 条必须仍判越界」四层；api_url_test.go 的 reviewBudgetRef 20s→90s；
preinsert_recall_test.go 新增跨包断言「预算 > 实测最坏链 + defaultT1Timeout」。
变异自证：perItemBudget 回 500ms ⇒ 钉值断言红；reviewTimeout 回 20s ⇒ 跨包断言红；
perItemBudget 150ms（⇒16）⇒ 编译失败（constant -4 overflows uint）。三者均已逐字还原。
遗留（如实登记，未修）：① 整理轮每轮重嵌整个分区（user 一轮仍 250 个请求），
解法方向是复用已入库的 vec_items 或给整理轮一个 embedding 请求预算；② 链路对单点
慢分片没有韧性 —— 一个分片失败即整条 Embed 失败、丢掉其余分片的工作量，且实测
任何批次形状都会偶发 >5s 尖峰（4 条 7.139s / 8 条 9.711s，与批次无关），方向是
重试/分片级容错，调常量解决不了。
2026-10-13 21:59:31 +08:00
AskaEth
e9e7b7dcb2
test(memory): memory-tidy.json 写路径（补丁保留其它键 / 值没变不落盘 / 坏文件拒写 / 原子写）
...
塔批准的 scope 里点名了 internal/config/runtimeconfig/memorytidy_save_test.go，
补上这四个口径的包内单测（网关侧另有端到端用例覆盖三态与审计）。
2026-10-13 21:59:18 +08:00
AskaEth
27ee0a8149
test(memory): 拆分调优写端点测试（原文件 524 行 > AGENTS §10 的 500 行上限）
...
守卫用例（非法值不落盘 / 坏文件不覆盖 / 同值不重写 / 热生效两种结果）移到
admin_memory_tuning_guard_test.go，helper 与读侧用例留在 admin_memory_tuning_test.go；
口径不变，两个文件都 ≤300 行。
2026-10-13 21:59:18 +08:00
AskaEth
eddf921229
feat(memory): 记忆整理调优面板读写（三态 + 热生效 + 面板表单）
...
主人 2026-10-07 两条口径：「.env 只做兜底用，后端自动创建独立的面板配置文件
之后就走面板配置文件，这些键优先从面板配置上取」+「频率必须调，可以调到 1 小时
或者三小时，或者动态分配（白天短、静默期长）」。
此前 $DATA_DIR/config/memory-tidy.json 只有读路径（装配期读一次 + 启动播种）：
主人要改频率只能改文件 + 重启后端。本切片补上「读回来 → 改 → 落盘 → 当场生效」。
后端（读写端点，契约待塔登记 v0.92）：
- GET /api/v1/admin/memories/tidy/tuning 读盘上 7 键值 + 取值规则 specs +
缺位时 .env 档的进程生效值（与 /admin/config-facts 同源）
- PUT 同路径：三态补丁（键缺位 = 不改动 / 合法值 = 采用 / 非法值 = 400 且盘上一
个字节都不动）+ null 清除哨兵（删键 ⇒ 回到下一档）+ writeAuth + 审计
memory.tidy.tuning；值一个都没变时不落盘，文件解不开时拒绝覆盖（409）
- 落盘走 runtimeconfig.PatchMemoryTidyTuning（原子写 temp+rename，与
SeedMemoryTidy/SaveWebSearch 同族同手法）；补丁语义保留下受管的其它键
（t1Judge/t1PerWindow/autoApplyPerRound 原样保留）
- 热生效：保存后按「面板 > .env > 代码默认」重算并叠到运行期对象；整理档会
重排心跳（否则新周期要等旧周期那一觉睡完），审查档当场改 ingestGate/tempTtlSec。
未接线/失败时如实回 hot:false + hotError，绝不把「落盘了」说成「生效了」
前端（Miuix）：
- 记忆管理页新增「记忆整理调优」卡：7 键表单（中文标签、单位、留空⇒跟随谁、
env 档当前值、坏值就地报错并拦住保存、保存后回显从磁盘读回的真值）
- 试算卡的 recallMode 按契约 v0.91 如实渲染：embedding / lexical（已降级）/
mixed（部分分区降级）/ ""（无候选可比）——空串不再渲染成空标签；并把
error.code=tidy_recall_unavailable 单列一句（「尝试过但向量源不可用」，与
「没有候选可比」显式区分）
验证：go test ./internal/{services/gateway,runtime/memory,config/runtimeconfig}
全绿；三态/清除/坏文件拒写/同值不重写/热生效接线各有用例，并逐条做过变异自证；
tsc --noEmit + vite build 通过；两个 esbuild 前端测试 39 + 34 + 41 checks 通过。
2026-10-13 21:59:18 +08:00
AskaEth
17c41265e8
Merge branch 'feat/memexpire-bounded-expiry-sweep-with-audi' into dev
2026-10-13 21:59:01 +08:00
AskaEth
8a274e120d
docs(memory): 到期清扫的注释改用符号引用，不再写会漂的行号
...
review r2（p2-1items）指出：r1 那笔注释里的行号是旧值 —— 我在文件更前面插了
12 行之后 `Stop` 整体下移，而注释里仍写着「`Stop` 在 `tidy_service.go:214` 就放锁，
到 `:219` 才 Wait」（214 是 `Stop` 的文档注释行、219 是 `s.mu.Lock()`）。
行号会漂、符号不会，因此改成符号 + 相对位置：
- 「在同一个 `func (s *TidyService) Stop` 里，`s.mu.Unlock()` 在前、`s.wg.Wait()`
（另一个 goroutine 里）在后，两者之间没有锁」；
- 「`Start` 只在组合根启动期调一次（`cmd/cyrene/main.go` 的
`a.memoryTidy.Start(ctx)`）、`Stop` 只在关停链里调一次（`cmd/cyrene/wire_services.go`
的 `_ = a.memoryTidy.Stop(ctx)`）」。
同一类问题只此一处遗留（`expire.go` 里「照 `preinsert_gc.go:65-69` 的批删范式」
同样改成符号：`ingestReviewSweepBatchSize` / `maxIngestReviewSweepBatches` 那一对
常量）。已 grep 全部改动文件确认再无 `*.go:<行号>` 形式的引用。
（本提交信息刻意不复述任何行号。）
2026-10-13 21:54:38 +08:00
AskaEth
69210a8586
docs(memory): 改正 Start 里那笔 Add 的并发注释，并补 Enabled=false 回归测试
...
review r1（p2-1items）指出：`tidy_service.go` 新加的那段注释（以及 2ba0a40 的提交
信息）写着「计数在这把锁里加 …… `Stop` 也持这把锁，这样 Add 与 Stop 的 `wg.Wait`
不可能撞在一起」。**这句不成立**：`Stop` 在 `tidy_service.go:214` 就放锁，到 `:219`
（另一个 goroutine 里）才 `wg.Wait`。锁只串行化 `running` 翻转与两笔 Add，
**不覆盖 Wait**。reviewer 用交叉 Start/Stop 探针在 -race 下复现了
`panic: sync: WaitGroup is reused before previous Wait has returned`，并实测该 panic
在 M3 之前的基线（20051f0）上同样可复现 ⇒ 既有性质，本切片不改行为，只改说法：
- 照真实理由改写注释：锁内加是为了让 `Stop` 的 `running` 判定与这两笔 Add
**原子化**（杜绝「Stop 已看到 running=false 早退」与「Wait 漏掉一笔尚未 Add 的
goroutine」两个窗口）；
- 明确写出这把锁**不**覆盖 `Stop` 的 `wg.Wait`，WaitGroup 的复用纪律靠
「`Start`/`Stop` 在进程生命周期各只调一次」维持；
- 并写明那个交叉探针的**当前调用点不可达**（`Start` 只在 `cmd/cyrene/main.go:97`
调、`Stop` 只在 `cmd/cyrene/wire_services.go:212` 调），免得后人看到「有窗口但
不可达」以为是漏改。
同时补上 reviewer 点出的真实缺口：`Enabled=false ⇒ 清扫不跑` 此前只有注释、没有
已提交的回归测试。新增 TestTidyServiceStart_整理关掉时清扫不跑，真跑 Start 后断言
「没有删除发生 + 没有审计 + running 保持 false」三件一起（不是只断言 cfg.Enabled
字段那种假牙）。两条断言各有牙：把 Enabled 闸改成恒 false ⇒ 红在 running 那一条；
在 Enabled 早退分支里偷偷起一个清扫（running 仍为 false）⇒ 红在「到期行却被删了」。
2026-10-13 21:46:24 +08:00
AskaEth
44c25eb03b
refactor(memory): 到期清扫挂点从 wait 注入缝改为 TidyService.Start
...
塔裁定：清扫不许挂在注入缝上 —— 包一层 s.wait 会让「清扫是否存活」依赖于
「loop 每一轮都调 s.wait」这个**没有任何契约固定**的假设；将来谁换了等待原语、
或把循环改成 select + 自己的 timer，清扫会**静默消失**（不报错、不红测试，
只是临时期限再也删不掉）。后台件起在 Start 里，读者一眼看到它们同生共死。
- tidy_service.go：Start 里紧跟 go s.loop(cctx) 起 go s.expirySweepLoop(cctx)，
wg 计数与既有那一笔同处（同一把锁内加，避免 Add 与 Stop 的 wg.Wait 相撞）。
`if !s.cfg.Enabled { … return }` 仍在其前 ⇒ 语义与改动前逐字相同：整理被关掉
⇒ 清扫不跑（与 preinsert_gc 随审查服务启停同口径）。
- expire_loop.go：删掉 AttachExpirySweep 与对 s.wait 的包裹；文件头写明
「挂点必须是 Start 里那处显式的 go」，防止后人改回注入缝。
- expire_loop_test.go：那条运行时对照改写成 TestTidyServiceStart_清扫随服务起停
—— 真 Start、真 Stop（Stop 不超时即证明清扫随 ctx 退出且登记在同一个 wg）。
- wire_memory_tidy.go：去掉组合根的挂载调用，注释改成「起在 Start 里，组合根零接线」。
- wire_memory_tidy_test.go：把 go s.expirySweepLoop(cctx) 钉进 TestMemoryTidyIsWired
的 seams（摘掉那一行 ⇒ 用例红，已实测）。
2026-10-13 21:43:27 +08:00
AskaEth
a017ab6cf8
feat(memory): 临时记忆到期物理删除（有界清扫 + 同步清向量 + 删前审计）
...
design/23 §19 的第 ② / ③ 步：读侧时效闸（M1）只负责「看不见」，本切片负责
「真删掉」。三条护栏照 §19.3：删除是本包内唯一 DELETE 出口、有界（500 行/批 ×
20 批）、删前留审计。
- internal/runtime/memory/expire.go：扫描集合写死为「expires_at ≠ '' ∧
expires_at ≤ now ∧ status='active' ∧ 来源非受限」。空 expires_at（长期/日常
记忆，含 M2 登记的「INSERT 与补写之间中断」窗口）结构性进不了集合；受限来源
复用 nonOwnerSource（与整理/审查同一处判据）。键集游标 (expires_at, rowid)
保证被跳过的行只读一次、扫描位置一定前移。审计串 = id + persona_id + scope +
expires_at + 按 rune 截断（48）的摘要 —— 本仓唯一一处允许携带内容片段的审计。
- internal/runtime/memory/expire_loop.go：清扫循环挂在 TidyService 的生命周期上
（AttachExpirySweep 由组合根调用），随心跳 ctx 跑、随 Stop 停；一轮只写一行
汇总日志，逐条的那一行进审计。
- internal/runtime/memory/vector/delete.go：新增可选删除能力 vector.Deleter +
两个后端实现，删行时同步清向量（M1 reviewer 的 finding：过期向量占 top-K 预算）。
- cmd/cyrene/wire_memory_tidy.go：挂上清扫；顺带把已过时的「这十键」改成「这十一
键」（M2 加了第十一键 tempTtlSec）。
2026-10-13 21:43:27 +08:00
AskaEth
80096c8bd1
docs(api): 契约 v0.92 — 记忆整理调优键读写端点（B26/B27，切片 M4）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
CI / Frontend (tsc + vite build) (push) Has been cancelled
2026-10-13 21:38:47 +08:00
AskaEth
20051f0168
Merge branch 'feat/ownergate-owner-lane-gate-plus-conversat' into dev
2026-10-13 21:18:02 +08:00
AskaEth
8690d129a7
Merge branch 'feat/memwrite-defer-fifth-state-plus-temp-ttl' into dev
2026-10-13 21:09:47 +08:00
AskaEth
48a5bb89f2
fix(config): owner_lane.json 并发落盘不再损坏/丢更新（review p1）
...
review p1：Set 的固定 tmp 名（path+".tmp"）+ 落盘发生在 mu.Unlock() 之后 ⇒
并发 Set 撞同一临时文件把 JSON 写坏（load 退回默认「甲」、主人刚说的「少说点」
白说且无提示），或 rename 完成顺序与新快照先后不一致而丢更新。
修法（两条都取，各司其职）：
- 落盘挪进锁内（Set 全程持 s.mu）：并发 Set 完全串行 ⇒ 快照与 rename 顺序一致，
不可能丢更新。落盘是一个小 JSON，持锁 I/O 代价可忽略；读侧读内存、不读文件。
- 每次用 os.CreateTemp 新建临时文件（仓库同款先例 internal/user/save.go），
不再撞固定 tmp 名；CreateTemp 以 0600 打开并再 chmod 一次，任一步失败都清掉 tmp。
- 旧 save(快照) 换成 saveLocked()（调用方须持锁，直接 marshal s.cfg）。
测试：新增并发用例 TestOwnerLaneStoreConcurrentSetKeepsAllUpdates（24 轮 × 24 写者），
断言 ① 文件始终是合法 JSON、② 每一次成功的 Set 都能在最终文件读到（不丢更新）。
修前红（原实现在同一用例上）：5/5 轮复现，两种失败模式都抓到 ——
"并发落盘把配置写坏了（文件不是合法 JSON）：invalid character '\"' after top-level value"
与 "丢更新 —— 键 qq-obv11|g-N-M 不在最终文件里"；修后连续 3 次绿，-race 下亦 ok。
Bridge.SetOwnerLanePolicy 无需改动：它在 ownerLaneMu 下设内存后调注入的 store，
串行化由 store 侧保证。
2026-10-13 21:07:46 +08:00
AskaEth
c7ea67dcb6
Merge branch 'feat/embrecall-fix-embedding-recall-degradati' into dev
2026-10-13 21:07:21 +08:00
AskaEth
a3ae98ef2e
docs(memory): N2 注释三处更正（示例 / 标点容忍 / 位置锁）+ 逐条实测
...
应答 review round4 的 p2#1。**只改注释**，行为代码、后缀表 golden、25 条语料、
主语表一字未动。三处都指向**更严格**的表述（无安全影响），且每一处都先实测再下笔
—— 上一轮的教训正是「注释里的例子自己没实测过」。
## ① 示例 `生气得很` 与实现不符 → 换成实测覆盖的示例
原句举例「生气**得很**」，但 `得` **不在**后缀表里：
生气得很 → rest="得很" → rule=""（放行）
与它并列的另两个例子矛盾。换成实测 `rest=""` 的：
心情不错 → rest="" → rule="n2_emotion"
不开心 → rest="" → rule="n2_emotion"
心情很好 → rest="" → rule="n2_emotion"
并把反例留在原位（显式标注「反例」）：
生气得很 → rest="得很" → rule=""（放行）
## ② 「任何不在表中的字符 ⇒ 放行」对标点不绝对 → 补齐容忍面
标点与空白是被 `onlyRetentionPunctuation` 收尾清掉的，因此原表述漏了这半边：
心情不错！ → rest="" → rule="n2_emotion" ← 实测 defer（标点被容忍）
现改为「任何一个**非标点 / 非空白**的字符只要不在词表里，就会留在余部」。
## ③ 「主语/时间词只允许出现在句首」不准确 → 按实现写「位置锁」
时间词也可**紧跟主语之后**。现按实现写成：
主语只在**位置 0** 被消费一次；时间词只在**紧随其后**被消费一次（无主语时它就是首词）。
实测：
今天好累 → rest="" → rule="n2_emotion"
主人今天好累 → rest="" → rule="n2_emotion"
今天主人好累 → rest="今天主人好累" → saw=false → rule=""（放行）
「指人/指时实体永远不可能落到宾语位置」这条**支柱本身不变**（review round4 已核），
变的只是对**位置**的准确描述。
## ④ 顺手同批修掉的同句不准确：`retentionEmotionTimeWords` 的文档
它与 ③ 是**同一句主张的另一个落点**（「只允许出现在句首的时间词」），留着就等于把同一
处不准确留在盘上。已改成与 ③ 一致的表述并附同一条实测。
（`consumeRetentionPrefixes` 的「反复在句首消费」指的是**当前余部**的开头，是对辅助函数
自身语义的描述，不是文法主张，未动。）
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
TestExtractionRetention 六个用例 69 个子例全 PASS。
2026-10-13 21:06:33 +08:00
AskaEth
95f517d61d
refactor(embedding): 删掉生产不可达的冷启动 WARN 及其 logger 缝
...
review round2 的 p2：`api.go` 那句「一次性冷启动放宽被花掉」的 WARN 在生产里
**不可能被人看见** —— 本包默认丢弃日志器，`WithLogger` 全树零调用者，生产走
`embedding.New(cfg)` 不带任何选项。而它的注释写着「这是唯一能审计一次性放宽的
地方」，与实际不符（本项目规则：注释不得说与实现不符的话）。
- 删该 WARN（失败并非静默：四个调用方本来就把错误原文写进各自的 WARN，
路径见 review 召回 / 整理召回 / 向量索引写入 / 检索）。
- 连带删掉 `WithLogger` 与 `log` 字段：WARN 是 `e.log` 的唯一使用者，留着它会
变成一个**空转的公开选项 + 又一次与实现不符的注释**（与上一轮删
`WithRequestTimeout` 同一条理由：不留没人用且未测的缝）。
- `callTimeout` 不再返回 `relaxed`（它只为那条 WARN 存在）。
- `NewAPI` 的注释改为把「本包不记日志、失败沿错误返回」写成**实话**。
行为零变化（生产本就是丢弃日志器），只删死代码与不实注释。
2026-10-13 21:01:54 +08:00
AskaEth
4365224c9b
docs(memory): N2 安全论证改成真实机制（位置锁 + 四类修饰）+ 两条 tripwire
...
应答 review round3 的 p2#1（要修的只有这一条）。
## 注释里的论证被证伪，改成真实机制
原句「封闭表里**没有承载内容的词**：没有动词、名词、量词」**字面不成立** ——
reviewer 逐表审过：情绪词表（既是核心也是后缀 token）含 `心情`(名词)、
`生气`/`害怕`/`紧张`(动词)、`压力大`(动宾)；否定表里 `没有` 是动词；程度表里
`比较` 可作动词/名词；主语表里 `主人`/`我`/`他` 本身就是**指人实体**。
真正保安全的是**位置**：
1. **位置锁定** —— 主语 / 时间词只允许出现在**句首**、各至多一次 ⇒ `主人`/`我`/`你`/
`他`/`今天` 这些指人/指时实体**在文法里永远不可能落到宾语位置**；
（上一版黑名单正是死在这里：`会想我` 的 `我` 被当成主语剥掉）
2. **核心之后只允许「程度 / 否定 / 情绪 / 语气」四类修饰**，且它们只允许**紧跟**
情绪核心之后 —— 核心必须先被消费，那一段在语义上只能是**情绪的修饰**
（「心情不错」「不开心」），**装不下一个宾语短语**。
「上一版为什么错、黑名单为什么修不完」那一段**保留**（reviewer 确认该部分写得对）。
## 两条 tripwire（回应「后来人照字面加词、没有任何测试会红」）
- `TestExtractionRetention_PersistentFactsAreNeverDeferred`：**25 条**持久事实/习惯
语料（塔给的 6 条 + reviewer 扩展的 19 条，来自 review round3 的对抗构造）逐条断言
**绝不 defer**，钉住**语义后果**；语料是**可增长的**（新事故 → 一条回归断言）。
- `TestExtractionRetention_SuffixTableIsPinned`：把后缀表的**内容**逐 token 钉死
（60 个 token 的 golden），任何增删立刻红。
**为什么它比语料更接近「表的内容性质」**：语料只能覆盖**已经想到的**输入，而这张表
是判据的全部自由度 —— 往后缀里加一个名词，表变了而语料可能一条都不碰；golden 钉的
是「表变了」这个**事实本身**，改表必须显式改 golden ⇒ 变成一次可 review 的
意图声明，而不是一次静默放宽。
两条一起才够：golden 钉「表变了」，语料钉「变了以后语义还对不对」。
## 变异自证（两条 tripwire 分别会红）
变异 A：往后缀语气词表加一个名词「**妈妈**」（语料里没有任何一条会因此变 defer）
```
--- FAIL: TestExtractionRetention_SuffixTableIsPinned (0.00s)
后缀表 token 数 = 61, want 60 —— 表被改过。…
FAIL
```
⇒ golden 抓住了**语料抓不到**的改表。
变异 B：往后缀表加 `会`/`想`/`时`（看起来像无害虚词）
```
--- FAIL: TestExtractionRetention_PersistentFactsAreNeverDeferred (0.00s)
--- FAIL: …/主人心情不好时会不好
extract_retention_test.go:284: 持久事实 "主人心情不好时会不好" 被判成 "n2_emotion" —— 它会进临时层、7 天后被物理删除（不可逆）
--- FAIL: …/主人不开心时会好好想
extract_retention_test.go:284: 持久事实 "主人不开心时会好好想" 被判成 "n2_emotion" —— …
--- FAIL: TestExtractionRetention_SuffixTableIsPinned (…) 后缀表 token 数 = 63, want 60
FAIL
```
⇒ 语料把「会上线的那个后果」直接指了出来。两处变异均已还原。
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
TestExtractionRetention 六个用例共 69 个子例全 PASS。
2026-10-13 20:57:31 +08:00
AskaEth
6c30ca540a
fix(memory): 冷启动放宽改为一次性 + 试算轮区分「没候选」与「向量不可用」
...
review round1 的 p1/p2 收口（commit 5967272
2026-10-13 20:51:10 +08:00
AskaEth
1d49d266f0
fix(channel): message_sent 回声升 T2 落行，出站消息 id 不再被丢
...
塔转 M12 登记的缺口（塔裁定「归你」，文件都在本片 scope 内）：她自己发出消息
的回声（message_sent）被当成「帧级链路遥测」一并豁免 self 升档 ⇒ 停在 T1，
只进计数、不落行，`message_id` 被丢，「她最近发了哪些消息」在库里查不到。
- events.go: 把 MessageSent 从 isFrameTelemetry 的豁免里摘出（它不是帧级遥测：
一帧 = 她真发出的一条消息，回声带的是那条出站消息的 id）。
心跳 / 生命周期的豁免**保持不变**（其登记的迁移债注释原样保留）。
- events_mapping_test.go: 两条 MessageSent 断言同步更新
（:52 自身回声命中自己 ⇒ 由 T1 改 T2；:33 无 self 信号仍走基础档 T1，标签改精确）。
- events_test.go: 新增端到端用例（真 SQLite）：self 命中 ⇒ 落 1 行、tier=t2、
MessageID=out-msg-42 留在库里、不进上下文、不驱动 loop。
2026-10-13 20:50:31 +08:00
AskaEth
537a8b7988
feat(channel): owner 车道结构化参与闸与可调旋钮（乙 = C）
...
主人 2026-10-13 裁决「乙 C」= 默认按甲（群里不对她说就不开口）+ 可调旋钮。
- inbound.go: owner 不再无条件短路参与闸（去掉 `!actor.IsOwner()` 门），
主人群消息改走 shouldRespond 的 owner 车道分支；主人私聊恒回。
- ownerlane.go（新）: owner 车道结构化闸 + 判据
`msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)`
（未接线渠道退回旧判据，保护 kook/webhook 的群 @）；指向她本人必回（硬保留）；
非指向消息按每群旋钮——默认只进上下文不回（registerSilenced 落隔离会话）。
「少说点」类关键词落成结构化降频配置，带 source 日志。
- channelbridge.go: Options.OwnerLaneFor/OwnerLaneSet 读写接缝 + Bridge 状态。
- engage.go: 冷避词表并入「少说点」（与既有「少说两句」同义）。
- runtimeconfig/channels_ownerlane.go（新）: owner_lane.json 落盘面
（默认档 + 每群覆盖，可读可改，面板可写）。
- wire_channels.go: 注入 owner_lane.json 存储（$DATA_DIR/config/）。
- 测试：不对她说就不回（进上下文零回复）/ @她必回（即使降频）/ 未接线退回
旧判据 / 降频生效且可恢复 + 频率闸 / 旋钮读写接缝 / 归属不变量闭合 /
陌生人私聊与主人私聊回归。变异自证：恢复 owner 短路 ⇒ 5 条用例红。
2026-10-13 20:48:05 +08:00
AskaEth
b1d51d8de2
fix(memory): N2 判据改为白名单形态匹配（结构上不再吞实体）
...
## 上一版为什么没修完（review round2 举证）
上一版把 N2 实现成**黑名单剥离**：`strings.ReplaceAll` 扫整句、把「情绪词 + 时间词 +
主语 + 程度 + 虚词 + 标点」统统删掉，**残差为空才 defer**。它的要害是剥离表里混进了
**本身就能当实体的词** —— 人称词（`我`/`我们`/`他`/`咱`/`自己`）与可作内容的单字
（`好`/`会`/`要`/`想`/`对`/`在`/`有`/`是`/`时`/`得`/`和`）。宾语恰好由这些词构成时，
实体被吞、残差为空 ⇒ **仍判 defer**：
主人不开心时会想我 → residual="" → defer ✗（持久习惯进临时层，7 天后物理删除）
主人难过时会想我们 → residual="" → defer ✗
主人心情不好时会想他 → residual="" → defer ✗
主人不开心时会想和好 → residual="" → defer ✗（`和`+`好` 两个词项各吃掉一半）
主人难过时会想妈妈 → residual="妈妈" → create ← 对照：宾语没被表吃掉
⇒ 这证伪了上一版代码里声称的不变量（「还剩一个实体就必须放行」），也说明**黑名单这
条路走不到头**：「实体」是开放集合（想我/想我们/想他/想和好/想妈妈/听音乐/咬指甲/
养猫/…），永远列不全。
## 新判据：白名单**形态**匹配
「纯情绪句」的**形态是封闭的**，据此改成「整句恰好落在形态里才 defer，其余一律放行」：
[主语]? [时间]? [程度]* 情绪核心 [程度|否定|情绪|语气]* 余部须只剩标点/空白
实现在 `retentionEmotionFormRest`（唯一判据点）：
- 主语与时间词**只允许出现在句首**、各至多一次；
- 情绪核心**必须**消费到一个情绪词，否则 sawEmotion=false ⇒ 放行；
- 核心之后**只**允许「程度 / 否定 / 情绪 / 语气」四类修饰（`retentionEmotionSuffixTokens`）；
- 最后要求**整句消费干净**（余部只剩标点/空白）；
- 各段一律**最长词优先**（否则 `不` 会抢在 `不错` 前、`好` 会拆掉 `好累`）。
## 为什么它在**结构上**不可能再把带实体的句子判成 defer
1. 判 defer 的门槛是**整句被封闭表消费干净**。表里**没有承载内容的词** —— 没有动词、
名词、量词。任何一个形态外的字（`想`/`会`/`时`/`和`/`我`/`妈妈`/`听音乐`）都无法被
消费，必然留在余部 ⇒ 余部非空 ⇒ **放行**。
2. 主语/时间词**限死句首**：`我`/`他`/`我们` 出现在核心之后时**没有**任何词项能吃掉它
（后缀表里没有它们）—— 这正是上一版翻车的地方，现在从结构上排除了。
3. 失败模式从「**未知实体被吞**（危险、不可逆）」翻成「**未知情绪句没被认出**（安全：
多留，有 T1 与整理兜底）」。方向与 design/23 §18.3 的 fail-safe「宁可多留，不可
误弃」一致。
## 配套测试
- 正例清单补 5 条**对抗形态**（宾语由「能当实体的词」构成）：`主人不开心时会想我` /
`主人难过时会想我们` / `主人心情不好时会想他` / `主人不开心时会想和好` /
`主人难过时会想妈妈` —— 与上一轮的 5 条（听音乐/咬指甲/养猫/喜欢吃甜的/找朋友聊天）
合计 10 条「带宾语的情绪句」正例；
- `TestExtractionRetention_EmotionWithObjectIsNotDeferred` 改为断言**余部**（未被形态
消费掉的部分）＋最终结论：纯情绪 ⇒ 余部为空 ⇒ defer；带宾语 ⇒ 余部非空（
`时会想我` / `时会听音乐` / …）⇒ 放行。**「带宾语 ⇒ 余部非空」这条不变量现在是被
判据本身保证的**，不再是靠一张表的完备性。
## 修前必红 / 修后绿（原样输出）
修前（把 `judgeRetentionEmotion` 换成 commit 979d1cf
2026-10-13 20:47:59 +08:00
AskaEth
041a6ff504
Merge branch 'feat/outboundid-capture-platform-message-id-o' into dev
2026-10-13 20:47:55 +08:00
AskaEth
b504df01e0
feat(channel): 出站消息 id 采集（可选 seam + qq_obv11 两分支取回）
...
「接她的话」缺的 A 层：平台给她自己那条出站消息分配的 id，此前在解析的那一刻
就被丢掉（HTTP 只校 retcode、WS 写完不等回声、契约层没有 id 出口）。
- internal/channel/adapter/outbound.go（新）：SendReceipt/SendOutcome/SendIDStatus
+ 可选接口 OutboundReceiptAdapter + 调用方入口 SendWithReceipt。**不加进
PlatformAdapter** —— 四个未接线适配器与全部桩实现一行不改（向后兼容硬指标）；
也不用回调：id 是某一次投递的属性，必须随那次投递返回。
- qq_obv11：HTTP 从响应信封 data.message_id 取；WS 登记 send_msg 的 echo 等待者
（复用 probe.go 的 action 等待表与 routeActionResponse，不另开通道）。取不到
一律空 id + 三态可分辨（reported/absent/unreported），绝不编造。
- send_msg echo 键改用单调计数器（旧 UnixNano 在 Windows 时钟粒度下会撞键，
撞键即拿不到自己的回执）。
- 既有 SendMessage/SendProactive 路径行为不变（wantReceipt=false 不等待）。
验收：go build ./... + go vet ./... + go test ./... 全绿（cmd/cyrene、internal/webui
的 setup 失败是 worktree 缺 dist 的既有环境限制，base 同样失败）。
2026-10-13 20:38:12 +08:00
AskaEth
5daba92d0f
docs(memory): 十一键措辞收口（seed* + snapshot*）
...
tempTtlSec 落地后，`memory-tidy.json` 的播种契约就是**十一键**，而三处文件的注释仍
写「十键」。这些是**过时的陈述**（不是风格问题）：下一位读者会从「快照契约：十键非
nil」里读出一个错误的口径，而 `memoryTidySeedComplete` 实际校验的正是十一键。
改的只是措辞，一行逻辑没动：
- internal/config/runtimeconfig/memorytidy_seed.go:25,160
- internal/config/runtimeconfig/memorytidy_seed_test.go:19,27,62,82,97,214
- internal/runtime/memory/tidy_snapshot_test.go:14,27,159
（`cmd/cyrene/wire_memory_tidy.go:65` 还有同类的一处「这十键」，该文件属 M3 的
scope，未动 —— 塔已转 M3。）
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
2026-10-13 20:38:02 +08:00
AskaEth
979d1cfbb2
fix(memory): 留存规则 N2 改按实体判定（持久习惯不再被误弃）
...
## 改了什么（行为变更）
`judgeRetentionEmotion` 原判据是「含情绪词 ∧ 无阿拉伯数字 ∧ ≤24 rune」—— 它把
design/03 §10.5 对 N2 的定义「**词项 + 无实体**」里的「无实体」这一维**顶替成了
「无数字」**，方向恰好落在 fail-safe 的反面。
反例（review 走 `judgeIngest` 真链路复现）：
主人心情不好时会听音乐 → 旧判据 defer / t0_low_value
主人焦虑时会咬指甲 → 旧判据 defer / t0_low_value
这两条是**稳定习惯**（正向清单），判 defer 即 7 天后从所有读路径消失（读侧时效闸，
design/03 §9.6）、随后被后台清扫**物理删除**（design/23 §19）—— **不可逆**，与
mission 文本写死的 fail-safe「宁可多留，不可误弃」相反。
新判据（设计与 mission 允许，不改设计）：**剥掉情绪词 / 时间词 / 主语 / 程度词 /
虚词 / 标点之后，余下为空才判 defer**；只要还剩一个实体（听音乐 / 咬指甲 / 养猫
/ 找朋友聊天）就放行。实现是 `retentionResidual` + 一张**长词优先**的剥离表
（长词优先是必须的：先剥「好」会把「好累」拆成光杆「累」而永远剥不掉）。
配套：
- 剥离表新增「不错」（情绪评价，整词）与光杆「累」—— 只靠虚词表里的「不」会把
「心情不错」剥成「错」、把「主人今天真的特别累」剥成「累」而漏判；
- 去掉 N2 专属的 24-rune 上限（判据恒是「无实体」，长度由全局 40-rune 上限兜住）；
- 数字不再单独设防：它不在剥离表里 ⇒ 必然留在残差里 ⇒ 一律放行（与旧
hasRetentionDigit 等价，但由同一条判据统一给出）。
## 为什么这是 p1 而不是精度问题
判错的方向不对称：漏判只是噪声留进长期层（有 T1 与整理兜底），误弃是**不可逆的
数据丢失**。因此 N2 宁可漏判，绝不误弃。
## 配套测试（此前这条缝**完全没被覆盖**）
- 正例清单新增 5 条「带宾语的情绪句」：`主人心情不好时会听音乐` /
`主人焦虑时会咬指甲` / `主人心情低落时会养猫` / `主人压力大的时候喜欢吃甜的` /
`主人难过时会去找朋友聊天`（旧正例里没有这一类样本，所以旧缺陷一路全绿）；
- 新增 `TestExtractionRetention_EmotionWithObjectIsNotDeferred`：逐条断言**残差**
与最终结论 —— 带宾语 ⇒ 不 defer、纯情绪 ⇒ defer，两者必须给出相反结论；
- 新增反例 `主人今天真的特别累`（纯情绪、无实体）钉住「不是靠长度躲过」。
修前必红 / 修后绿（把 N2 退回旧判据后原样输出）：
正例 "主人心情不好时会听音乐" 被拦成 "n2_emotion" —— 那是把真记忆丢进临时层
正例 "主人焦虑时会咬指甲" 被拦成 "n2_emotion" —— …
judgeExtractionRetention("主人心情不好时会听音乐") = "n2_emotion", wantEmotionDefer=false
--- FAIL: TestExtractionRetention_PositivesAreNeverDeferred
--- FAIL: TestExtractionRetention_EmotionWithObjectIsNotDeferred
还原后：TestExtractionRetention_{UpperCaseASCII,EmotionWithObjectIsNotDeferred,
NegativesAreDeferred,PositivesAreNeverDeferred} 全 PASS。
验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
2026-10-13 20:37:57 +08:00
AskaEth
3f266c26b2
Merge branch 'feat/speakerattr-attribute-group-speakers-and' into dev
2026-10-13 20:37:19 +08:00
AskaEth
e32d85afc3
docs(api): 契约 v0.91 —— recallMode 如实上报（新增 mixed/空态语义）
...
起因：M6 诊断发现旧实现把「向量路径实际失败、回退词项」静默报成 embedding，面板看不出降级。M9 改为上报实际选用的召回路径，取值域扩 mixed（部分分区降级）与 ""（无候选可比）。同步：版本行 + §6 v0.91 条目 + §4.12 的 recallMode 值表；并记录「客户端 5s 超时未改、改的是批上限推演」这条对客户端透明但重要的取舍。
2026-10-13 20:37:17 +08:00
AskaEth
91e4dd2fe1
fix(channel): 静默登记同源第三方标注 —— 无昵称非主人不再被读成主人
...
review p1：回帖路径已改用 thirdPartySenderName（非主人恒有标注：昵称 → actor
uid → 「未署名发送者」），但 registerSilenced 仍用 senderDisplayName，非主人
无昵称时写出空串；静默行会被 transcript 读回她的上下文，而受限会话里空标注就是
「主人本人」⇒ 在 senderName 可选且无兜底的渠道（webhook）上，一条没昵称的陌生人
消息被渲染成「[发言归属] 以下发言来自主人（管理员账户）本人」。
- light.go:270：senderDisplayName → thirdPartySenderName，与回帖路径同源。
senderDisplayName 未成死代码：仍被 light.go:223（LightJudge 输入）、
engage.go:284、flowgate.go:183 使用。
- 新增 TestSilencedNamelessMemberIsNotReadAsTheOwner：走真链路（静默登记 → 落库
→ 下一回合播种转录 → loop 归属渲染 → provider 请求），钉住「无昵称的非主人经
静默登记后，读回上下文时不得出现主人标注」。修前必红（写入口径与模型侧两条
断言同时报，含被读成主人的原样请求），修后绿。
验证：go build ./... / go vet ./... / go test -count=1 ./...（全树）全绿。
2026-10-13 20:34:04 +08:00
AskaEth
59672720bd
fix(memory): embedding 批上限与超时同源 —— 不再「客户端先放弃、服务端继续算」
...
M9（EMBRECALL）。故障机制（M6 + 本次复测）：客户端 5s 单次超时先放弃，服务端仍在
算那一批 ⇒ 本机 llama.cpp 被自己顶住 ⇒ 后续每个请求（含写向量索引的单条请求）
排队到自己的超时 ⇒ 召回全线降级。
- embedding/budget.go（新）：把「一次请求的耗时上界 ≤ 单次超时的一半」写成不变式，
批上限（条数 4 / 字符 480）与 5s 超时由**同一个不等式**解出；实测依据与复跑命令
写进注释（空闲态摊销曲线 1→0.19s / 8→1.1s / 12→1.3s / 64→8.5s，约 50ms 固定 +
2.7~3.9ms/字符，n≥32 起有数倍放大 ⇒ 余量取一半）。
- embedding/api.go：Embed 按同一对上限**自己切片**（不变式与调用方无关）；冷启动
首次调用单独给 warmupTimeout，拿到第一个成功响应后立刻回常态超时。
- memory/tidy_config.go：tidyEmbedBatch = embedding.DefaultBatchLimit（同源），
并加编译期断言 —— 调回 64 会直接编译失败（constant -60 overflows uint）。
- memory/tidy.go | tidy_recall.go | tidy_dryrun.go：recall_mode 改报**实际发生**
的来源（""=本轮没候选可比 / embedding / lexical / mixed），新增
recall_degraded_partitions；试算轮 RecallMode 同口径（M6 medium finding）。
- 测试：embedding 侧用「实测曲线 + 会睡够时间的假客户端」钉住两态
（批内 < 超时 ⇒ 不降级；旧配对 64 条 ⇒ 必然超时），并断言 abandoned == 0；
memory 侧钉住降级/健康/没候选三态与试算轮的如实上报。
不改 preinsert*、不改 .env、不动判定规则与任何阈值。
2026-10-13 20:33:26 +08:00
AskaEth
d4ed043d5c
test(memory): 修播种日志用例的偶发假红 + 补 TempTTL 接线缝断言
...
两件都是**测试面**的补件，不碰被测逻辑。
① 既有 flake（internal/config/runtimeconfig/memorytidy_seed_test.go）：
TestSeedMemoryTidy_LogsPathAndReasonWithoutValues 原先用**裸数字**扫**整行**日志找
4242/10800/1800，而同一行合法地打了 `path=<临时目录>`，`t.TempDir()` 的目录名带
随机数十进制 ⇒ 偶发命中（约个位数/10000），表现为假红。
修法取「断言带字段名的形态」：哨兵改成 `=4242` / `=10800` / `=1800` / `=259200`
（slog 的 `key=value` 字段形态），路径里的随机数前面是路径分隔片段而不是 `=`，
因此不受影响。
**为什么不用另一个备选「只扫 keys= 之后的内容」**：那会把断言缩成「keys 列表里没
有值」，任何以别的字段名打出来的值（`interval_sec=4242`、将来新加的字段）都会溜
过去 —— 等于把这条防护改成空壳，而不是修掉它的假红。
顺手把 tempTtlSec 的哨兵值 259200 一并纳入（上一切片给 completeSeedTuning 加了这
个键，漏掉它会让「不打配置值」在这一个键上失去覆盖）。
② 缝断言（cmd/cyrene/wire_memory_review_test.go）：
TestMemoryReviewIsWired 的 seams 表补上 `a.memoryTempTTL()` 与 `TempTTL: tempTTL`
—— 上一切片把面板 `tempTtlSec` 接进 ReviewConfig 时，这条缝没有被覆盖，「接线被
摘掉」不会红。
自证：
- ① 前后对比（确定性，把临时目录名强制含 1800）：旧形态 FAIL（「日志里出现了配置
值 1800」）、新形态 PASS；另跑 `-count=20` 全绿。
- ② 变异：把 helper 与调用点一起改名 ⇒ `wire_memory_review_test.go💯 找不到
"a.memoryTempTTL()"` FAIL。
2026-10-13 20:26:46 +08:00
AskaEth
8ab241f627
feat(channel): 群聊发言人归属落进模型上下文（user 侧也产出标注）
...
裁决 06.4.1 行动项①②落地（主人 2026-10-13 定稿：结构化归属 + system 标注，
不把元数据拼进用户正文）。
- loop/attribution.go：发言人归属从「只认 assistant」扩到 user 侧，按三条
结构事实各出一条边界说明 —— assistant 的角色（她自己 / 别的角色，措辞逐字
不变）、受限会话里带昵称的第三方人员（明标「不是主人」）、以及不带昵称的
主人本人；受限会话里未标注的 assistant 历史按 design/22 §7-4 归到本会话角色。
标注仍只新增 system 消息，正文一字不改。
- channelbridge/inbound_speaker.go（自 inbound.go 拆出）：第三方发送者标注车道
thirdPartySenderName —— 主人恒返回空（主人从不被标注），其余昵称缺失时退到
平台 uid 再退到「未署名发送者」，绝不落进「空标注 = 主人」那条车道；
thirdPartyBoundaryPrompt 删掉「只有未标注昵称的消息才是管理员（主人）发言」，
改为「谁在说话以「发言归属」标注为准」。
- channelbridge/source.go：来源行删掉「（非管理员账户=第三方人员，未标注昵称=主人）」。
- 主人本人在群里的消息落库不再写昵称（sender_name 空 = 主人），使转录里同一句话
的归属与当回合一致。
验证：go build ./... / go vet ./... / go test ./...（含全树）全绿；
变异自证：把 user 侧归属恢复成不产出 ⇒ 3 条 loop 用例 + 1 条渠道端到端用例变红。
2026-10-13 20:24:21 +08:00
AskaEth
a6f3817061
Merge branch 'feat/addressto-add-addressed-to-me-signal-and' into dev
2026-10-13 20:23:43 +08:00
AskaEth
21b906ffb0
feat(memory): D3 第五态 defer（入库审查）+ 提取留存规则闸 + 临时 TTL 配置面
...
主人原话：「收窄提取器，确实要给他一个主动式的记忆留存规则，不能想到什么都
往记忆里写」「.env 只做兜底用 …这些键优先从面板配置上取」「临时记忆到期删除」。
按 design/23 §18（D3 第五态 defer）、§19（到期处置）、design/03 §9.6
（tempTtlSec 默认 7 天 + 坏值口径）、§10（提取留存规则）落地。
- IngestDecision 闭集加第五态 defer：照常 active 落库 + 写短 expires_at 落
临时层（不删行、不改正文，回滚 = 清空该列）；IngestRuleVersion d3.2 → d3.3。
- 落点：ingestGatePlan 增 ExpiresAt + expiresAt()（走 expiryText/formatTime 的
定宽 30 字节 UTC，与读侧时效闸同一套文本口径），由 finishIngest 在 defer 一态
补写 expires_at（INSERT 与补写之间的短暂窗口如实登记，方向 = 宁可多留）。
非 defer 三态一笔都不多写。
- T0 提取留存规则闸（extract_retention.go）：design/03 §10.5 的 N1~N5 纯规则，
接进 judgeIngest 的候选比对之前，命中即 defer + reason=t0_low_value，不进 T1；
两道护栏（显式「记住」/ 持久信号）一票放行，fail-safe 方向 = 宁可多留。
- T1 闭集扩为 merge/modify/keep/defer（同一个 prompt、同一次调用，绝不新增
第二次模型调用）：只有关系判为真新时才问价值；defer 要求 target=0，否则判
非法回落 create（reason=t1_reply_invalid）。
- 提取器提示词加固（design/03 §10.3 B）：正向清单 + 反例清单 + 「允许返回 []」。
- 临时记忆 TTL：代码默认 tempTtlSec = 604800（7 天）；面板
$DATA_DIR/config/memory-tidy.json 的 tempTtlSec 优先（ApplyReviewTuning 逐键
解析，坏值回落默认 + WARN，绝不写进 cfg）。该键在 .env 里没有出处且不新增
（.env 已冻结）⇒ 实际生效链是「面板 > 代码默认」。启动播种同步该键（*int +
omitempty，nil 省略、绝不写 null），保证播种文件与生效值逐字一致。
- preinsert_store.go 的 listReviewCandidatesSQL 原位注释：这条内部召回 SQL
刻意不过时效闸的裁定与理由（design/03 §11.2 第 3 条）。
- 测试：defer 落库带短 expires_at（闸 + T1 两条路径）、写入口径与时效闸同源、
TTL 坏值与回落、规则版本 d3.3、整理候选幂等键不含 IngestRuleVersion、
提取规则正例 11 条 / 反例 11 条。
验收：go build ./... + go vet ./... + go test ./... 全绿；windows/darwin 交叉
编译通过（GOOS=darwin GOARCH=arm64 / GOOS=windows GOARCH=amd64）。
2026-10-13 20:22:48 +08:00
AskaEth
b26bc55a15
feat(channel): 消息契约加「她自己账号 id / 是否在叫她」结构化判据并接线 qq_obv11
...
契约（internal/channel/adapter）：UnifiedMessage 新增三个字段 —— SelfID（她自己在该
平台的账号 id）、MentionAll（是否 @全体，design/26 §2.4 的 mention_all）、AddressedToMe
（本条是否指向她本人）；判据的唯一出处是新增的 MentionedSelf（结构化 id 精确比对，
空 selfID 一律 false）与 AddressedToSelf（私聊恒 true；群聊 = 点名她或 @全体；
平台未给 SelfID ⇒ fail-closed）。全程不匹配正文文本。
接线（plugins/channels/qq_obv11）：新增 addressed.go，把事件里早已解出、此前只用于
debug 日志与 notice 判定的 self_id 接进 toUnified，并从 at 段解出 @全体（qq=all），
在 ChannelType 判定之后统一回写三个字段。
design/18 §2 触发① 的旧口径「Mentions 非空」= @谁不论（实测群 672432767 里 @别人两次
被回）；本片让消费侧（light.go:142，归 M12）能改用 AddressedToMe || MentionAll。
既有字段 Mentions/ReplyToID/ReplyToText 语义与形状不变。
测试：qq_obv11 十种帧形态（私聊/@她/@别人/@全体/无@/CQ 形态/fail-closed/纯回复）
逐条断言；adapter 侧覆盖 MentionedSelf 与 AddressedToSelf。变异自证：判据改回
「Mentions 非空」⇒ group_mention_other 红；摘掉 selfId 接线 ⇒ group_mention_me 红。
2026-10-13 20:17:56 +08:00
AskaEth
1cd38514f3
Merge branch 'feat/owneracct-fix-add-account-id-button-roun' into dev
2026-10-13 20:07:02 +08:00
AskaEth
625ae33c1e
fix(admin): 主人账号编辑器草稿改存无损形态 ——「+ 添加账号 ID」不再点了没点
...
根因：`emit` 把每次改动都写成 `flattenAccounts(groups)`（写盘形态，空行被丢掉），而
草稿本身就是界面手势的往返载体 ⇒ 刚点出来的占位空行当场蒸发，界面照旧（主人报的
「配置指定适配器主人账号的卡片内的添加账号ID按钮似乎没用」）。`+ 添加平台` 走同一条
通路（空平台组同样被丢），实测同样失效。
改法：分清两种扁平形态 ——
· 草稿 `draftAccounts`（编辑期，无损：空行/未选平台的组都留着；不 trim 正在输入的字）
· 写盘形态 `accountsForSave`（保存期，只留平台与账号 ID 都非空的条目）
后端契约与 `configs/users/owner.yaml` 格式一个字不改。保存路径写盘前必须收形：半成品
条目（有 id 没平台）会被后端 `Validate()` 直接 400（internal/user/load.go）。
测试：`OwnerAccountsView` 从编辑器里拆出来（无 hook），测试可直接调用它、点它自己的
按钮、把 onChange 收到的真草稿再喂回去重渲染 —— 走的是「手势 → 草稿 → 界面」真往返
（本项目没有 jsdom）。修前该测试红在「点『+ 添加账号 ID』⇒ 界面上真的多出一行 —
got 1, want 2」。
2026-10-13 20:00:43 +08:00
AskaEth
68ba85389b
Merge branch 'feat/memgate-read-side-expiry-gate-for-memory' into dev
2026-10-13 19:59:40 +08:00
AskaEth
b01e2ddb1a
refactor(admin): 主人账号编辑器拆出无 hook 的 OwnerAccountsView
...
界面本体与「分组/选项 memo」分层：OwnerAccountsEditor 只做 memo 组装，OwnerAccountsView 无 hook。本项目没有 jsdom，拆开后测试可以**直接调用**视图、点它自己的按钮，从而钉住「手势 → 草稿 → 重渲染」这条往返（见下一个提交）。行为不变：emit 仍用 flattenAccounts；账号行加 data-account-row 定位标记。
2026-10-13 19:56:32 +08:00
AskaEth
0c5fa7b2ae
docs(memory): timegate.go 登记「审查留痕读侧不过闸」—— 留痕表结构上无该三列，无可加之闸
2026-10-13 19:54:36 +08:00
AskaEth