41 Commits

Include renames

Author	SHA1	Message	Date
AskaEth	902b6eecfd	feat(api): documents[].reason + messages 对不存在会话回 404（安卓回执九两条；契约 v0.63） ... - ① documents[] 元素增可选 reason（omitempty）：装配期在给出 status 的**同一处**填充，取的**就是注入模型清单里那份原因文案**（同一字符串两处用，服务端不为客户端另编一句），只在 unreadable 时下发；随 S3.5 的回合后回写落进 document 列 ⇒ 历史接口 / 握手回放都有。文案只含原因、不含落盘路径/存储名以外内容/凭据（有独特目录名反证断言）。 - ② GET /sessions/{id}/messages：不存在/已删除 ⇒ 404 session_not_found；**存在但无消息仍 200 {data:[]}**（空会话绝不能被答成 404）；参数形状校验仍先于 404；存在性判定复用既有窄视图（history.Store.SessionPersona，未知 id 报 ErrSessionNotFound），**未新增 SQL/存储方法**；判不出来（未接该视图）保持旧语义（判不出 ≠ 不存在），判定本身失败回 500 不静默。 - 契约 v0.63（三档：reason 纯增量 / messages 404 行为变更 / 无破坏性）：api-client §1 行 6 + §1.2④ 的 10 条逐字文案 + §4.4 错误码 + changelog + banner；api-reference §1.2 行 6 + §3.4 + §3.8 DTO + §8.1 错误码表。 - 主会话独立核对的副作用（隔离会话 sess-* 现在也 404）：查活库 chat_sessions 里**根本没有 sess-* 行**（只有 web 与 web:<uuid>），sess-backthink 消息数 0，前端唯一提到 sess-backthink 的是 graph_update 的内存桶测试 ⇒ **没有客户端按 id 读隔离会话的 messages**；且这与 POST /sessions/{id}/read（v0.37 起即 404）一致 ⇒ 接受不加 sess- 例外，并在回执里问安卓确认。 - 主会话独立验收：隔离 worktree（S9 的 13 文件）build/vet 绿、整树连跑 2 次 59 ok / 0 FAIL、reason/404 用例 8 PASS、双平台交叉编译绿；**变异亲自复现**（在调用点短路 404 守卫 ⇒ UnknownSessionIs404 与 DeletedSessionIs404 双红：status = 200, want 404）。 - 如实登记：验收过程中出现过**一次不可复现的子集 FAIL**（restore 之后那次 Session|Reason 子集跑；未记到用例名）—— 随后同一子集、那三条用例 ×5、以及整树 ×2 全绿，判为瞬时；已记入账本，后续留意。	2026-10-04 21:50:08 +08:00
AskaEth	137b3e9eaf	fix(guardrail): 输入上限与附件注入预算统一换算（多附件不再被拦） ... - 残留缺口：护栏量整段装配请求（字符），注入预算是单份 ⇒ 1M 窗口下 2×349525 就顶到旧上限 699050、5 份必被拦。根因是两套换算（上限按 1char=1token，注入按 loop 的 4char=1token）。 - 修法：上限 = max(262144, 推导预算 tokens × loop.CharsPerToken) ⇒ 1M 窗口 2,796,200 字符（5 份满额注入 1,747,625 有余量）；不变量升级为「N 份」（maxChatDocumentsPerTurn=5，带出处注释）；WARN 文案升级为多附件口径（max_documents/document_inject_chars/document_inject_total_chars/guardrail_max_input_chars/hint）。 - 同一换算常量复用：在 loop/compactor.go 的既有无导出常量旁加导出别名 loop.CharsPerToken = charsPerToken（2 行、零行为改动、不重命名）—— 这是本切片唯一触及「不要碰」清单的改动，已由主会话复核接受（替代方案是复制一个字面量 4，会重新造出两套换算）。 - 同步陈旧注释（config/guardrail.go、wire_runtime.go 里的旧公式）与 .env.example（新公式 + 多附件口径 + 1M 算例 2796200/1747625），并有「模板 ↔ 代码现算值」的一致性用例。 - 主会话独立验收：隔离 worktree（G2b 的 7 文件，排除 B1/ST1 在途）build/vet 绿、全树 59 包 0 FAIL、护栏用例 17 PASS、双平台交叉编译绿。 - 残留（未修，需裁决）：预算关闭或落在 (0,81920) token 的部署，派生态上限 = 262144 而 5×64K = 327680 ⇒ 满载附件回合仍可能被拦（启动会记 WARN，不静默）；真正的下限应取 max(262144, maxDocs×每份注入)。	2026-10-04 19:41:44 +08:00
AskaEth	72b95df22b	feat(config,runtime): 上下文预算按模型窗口推导 + usage/缓存可观测 + sidecar 存全文（T1） ... - 窗口声明：models.json 组级 contextWindow + env LLM_CONTEXT_WINDOW（per-group materialize 播种，0 不写盘、负数报错）。 - 预算三态：CONTEXT_MAX_TOKENS 未设置 ⇒ 按窗口推导；>0 显式覆盖；0|负 关闭压缩（不变）。推导 budget = min(窗口×比例, 窗口−输出保留)，比例默认 2/3（CONTEXT_BUDGET_RATIO，1M ⇒ 699050 tokens ≈ 683Ki）；输出保留 = max(32768, 该组 maxTokens) 且封顶窗口/2（防配置矛盾时退化成 1 token）；窗口未声明 ⇒ 回落 131072 + 恰好一条 WARN。接线在组合根 wire_context.go（唯一决策点）。 - usage/缓存可观测（此前**完全不可观测**）：Response 增 CacheHit/CacheMiss/Reasoning tokens + CacheHitRate；解析 OpenAI 兼容（prompt_cache_hit_tokens/prompt_cache_miss_tokens/cached_tokens/reasoning_tokens）与 anthropic（cache_read_input_tokens/cache_creation_input_tokens）两种形状；记录点在适配器 record（换入口不丢成本日志），日志无凭据；单次输入 ≥预算 90% 记 WARN（不阻断）。 - 根治清单「续读」假承诺：抽取期不再按注入预算截断（sidecar 存全文，只受 MaxSidecarBytes=8 MiB 安全上限，ExtractorVersion v1→v2 旧 sidecar 失效重抽）；注入预算改在装配期生效 ⇒ ref.Chars/Truncated 是注入侧事实、游标真是继续读的起点；document-read 的 limit 上限改为独立具名常量。 - 顺手修越界：config.go 505 行（超 500）拆出 llm.go。 - 主会话独立验收：隔离 worktree（HEAD + 本切片 39 文件，排除在途 gateway）build/vet 绿、全树 59 包 0 FAIL、linux+darwin 交叉编译绿；变异独立复现（比例改 0.25 ⇒ 推导用例红 262144 vs 699050）。	2026-10-04 17:57:08 +08:00
AskaEth	a8851dc0a2	feat(runtime): 文档摄取①（抽取器 + sidecar + 装配期 resolveDocuments）（design/24 S3-A） ... - 抽取器零新依赖纯函数：UTF-8 清洗、CSV/TSV 行数列名摘要、64K rune 安全截断；PDF/Office/二进制走哨兵错误诚实拒绝（不引解析库）。 - sidecar：<DataDir>/extracted/<存储名>.txt，首行紧凑 JSON 元数据 + 正文；临时文件 + rename 原子落定；只抽一次（删原文件仍出正文）；版本不匹配/坏缓存重抽。 - 装配期 resolveDocuments（resolveImages 同位，每步对模型可见视图注入）：清单恒在（解析器缺席/报错也在）、截断带续读游标、失败诚实标记 + status=unreadable、回合继续；文档部件永不抵达编码器（负例钉住）。 - 修 S2 移交的两处静默吞掉：checkpoint 比较键纳入文档引用、compactor token 估算计入文档部件（不是免费的）。 - 主会话独立验收：隔离 worktree（HEAD + 本切片）build/vet 绿、全树 59 包 0 FAIL、linux/amd64 + darwin/arm64 交叉编译绿、documents+loop 两包 167 条 PASS；变异独立复现（resolveDocuments 短路 ⇒ 3 条红，含「文档部件仍抵达下游」）。	2026-10-04 17:22:05 +08:00
AskaEth	127c32b440	fix(vision): 图像 URL 取回失败的 WARN 带来源主机（可诊断且不外泄路径/查询串/凭据） ... - loop 解析点用结构断言取 SourceFailure 的主机（errors.As 穿透 %w 包装）， 不导入 vision 包、不引入方向性依赖；拿不到来源时留空串而不编造。 - 新增 TestImageSourceHost 四例（nil/普通错误/包装后来源/空主机）， 变异验证：把返回值改成 "" 该用例必红（已复跑确认）。	2026-10-04 16:46:57 +08:00
AskaEth	9b01efd796	fix(loop): checkpoint 恢复加自洽性判据（纵深防御，堵「旧窗口吞新消息」的最后一层） ... - 背景：`loadCheckpoint` 恢复时会**整段替换**调用方带来的消息 ⇒ 任何「收尾落定前发起下一回合」的路径都会吞掉 用户刚发的消息。已有两层防护（收尾 defer 只让 tool_calls 可恢复 + 网关回合围栏），本次补 loop 侧判据 - 判据（保守版）：**只有在能证明「窗口已被取代」时才改判**——快照窗口的最后一条用户消息**确实出现在本回合 带来的消息里**（说明同一对话谱系），且本回合的最后一条用户消息 ≠ 它（说明带来了更新的输入）⇒ 不恢复、全新回合。 判不出来一律维持既有崩溃语义（fail-open 落在「保留崩溃恢复」一侧） - 比对键＝文本与图片引用按序拼接（纯图片消息也可区分，避免「刚发的一张图」被判成空键而漏判） - 复核：`internal/runtime/loop` 的 `-count=1`/`-race`/`-shuffle=on` 全绿；**未动任何既有崩溃用例**； 新增 4 条用例/9 条子用例（一致→仍恢复 / 有取代证据→不恢复且不含旧窗口 / 与网关围栏两条路径结论一致 / 边界表含重复播种·纯图片·无交集）；**变异两点**（判据恒假 → 4 处红；恒真 → 10 处红，精确打红崩溃用例） - 待主人拍板（已登记）：字面版判据（无交集也改判）会与「崩溃 + 用户随后发不相关新消息」的既有语义冲突； 更彻底的选项是「**恢复旧窗口并追加新消息**（union 而非替换）」——需改那条用例与设计口径	2026-10-04 16:21:20 +08:00
AskaEth	3d8822c922	feat(loop,gateway): 13.4.5 目标态 —— 回合内 steer（不打断、新消息进同一上下文流）+ steer_ack 帧 ... 规格＝design/15 末尾「13.4.5 目标态规格」（不变量 I1/I2/I3）。调研依据：豆包无公开技术文档（不编造）； 同类成熟 Agent 产品无一做同会话并行回合，共同范式＝ queue + 回合内 steer（Claude Code / Cline PR #13958 / Codex Queue·Steer / open-webui / LangGraph）。 - 注入点＝**回合内边界**（上一模型步 + 它那批工具调用都已结束、下一次模型调用还没开始）： driveTurn 每 step 组装前调用一次 SteerSource（run.go）——完成 step 只能靠工具批次推进， 故唯一可注入处就是「工具批次结束之后」，循环里没有任何「起第二个回合」的分支（**I1 结构性成立**） - **I2 恰好一次**：注入只进**本轮 view、绝不写回 msgs**（checkpoint 与记忆提取面保持干净）； 被注入的消息从 pending 移除，不会由自己的回合再答一次 - **I3 转向不取消工具**：注入调用点在 runToolCalls **之后**（此刻无工具在飞），循环从不因注入 cancel 任何 ctx； 边界序列有测试钉死（恰为 [1 2 …]，无批次中途值） - 判定口径＝ **pending ∩ 转录**：候选是本会话 pending 条目，每个边界重读 history.Recent 验证已落库， 按**行 id** 去重、按 pending FIFO 注入。**不用时间戳**（Windows time.Now() 步长 ~0.44ms，连发常同毫秒并列， 任何 ms 基线都会漏注入或重复注入）；跨重启不成立也不需要（在飞回合与 pending 都在内存） - 新下行帧 `steer_ack`：`{type, sessionId, data:{messageId, atStep}}`，语义＝「已被本回合吃进、尚未被正面回答」 （驱动前端灰态）；**不进 frameReachesAll** ⇒ fail-closed 只发 owner+admin（测试双钉）；经 hub 广播、不经 bus - 组合根**零改动**：per-turn 状态用 ctx 承载（loop.WithSteerSource），编排器在回合启动/续跑时挂 - 守卫：session_orchestrator.go 加完接线后 505 行 ⇒ 按职责纯搬出 session_events.go（常量取值未改、行为零变化） - 复核：build/vet 绿 + **全树 0 FAIL** + linux/darwin 交叉编译绿；loop 6 例（含 3 子测）+ gateway 2 例 E2E； **4 条变异反证**（删 consumePending → 模型步数 4≠3；注入写回 msgs → 快照被污染；批次中途注入 → 边界 [1 1 2]； 把帧加进白名单 → viewer 收到）均已还原 - 未做（登记）：IM 自有 Chatter 落库的消息不参与 steer（有意，避免重复作答）；pending 条目无自落库 id ⇒ 配对用 (内容,图片) 逐行认领；同回合超 20 条用户消息时超出者留 pending 由各自回合作答（不丢）	2026-10-04 14:53:40 +08:00
AskaEth	7512d593c2	fix(gateway,history): REST 流式不再静默失败（G2）+ clientMsgId 幂等（G4）（协同 §G，均标「中高/中」） ... - G2：`stream:true` 原经**有损总线**且**先回 200** ⇒ 总线饱和时客户端拿到 200 却什么都没发生。 改为**直达编排器**（与 ws chat 帧既有先例同一原则）：新文件 chat_stream_dispatch.go；200 变成有意义的 承诺（同步穿过「编排器接收 + 用户消息落库」才回）；顺带对齐 `202 {queued,queueDepth}` / `409 chat_busy`； 兜底路径（未接编排器才走总线）现在**返回错误**、ctx 与请求脱钩（WithoutCancel + 30min 上界）→ `503 chat_dispatch_failed`； 未接 loop 由 200 改为 `500 chat_unavailable`（与同步路径同口径，已同步改既有用例并新增钉住用例） - G4：`chat`（WS 帧 + REST 体）新增**可选** `clientMsgId` ⇒ 幂等。 原子性两层，均非「先查再插」：① 同进程在 `o.mu` 同一临界区内完成「查认领表→查存储→预分配 id→认领」； ② 跨重启靠 `(session_id, client_msg_id)` **部分**唯一索引 + `INSERT … ON CONFLICT DO NOTHING`（命中则读回既有行）。 重复语义：REST `200 {duplicate:true, messageId}`；WS 新帧 `chat_duplicate`（owner/admin 档）；重复**不落库、不起回合**。 `clientMsgId` 回填进 DTO ⇒ `message_persisted` 与读接口都可见（客户端可据此对齐本地气泡，不再靠文本相等） - 迁移 `0013_chat_client_msg_id`（up：加列 + 部分唯一索引 `idx_chat_messages_client_msg_id`；down：先删索引再删列）， 已在 `data/cyrene.db` **副本**上验 up → 判重 → down → 再 up - 拆分：store.go 647→498 行（`log_reads.go` 抽走四个读路径）；七个 SELECT 清单抽成 `messageColumns` 一处 - 复核：**全树 `go test ./... -count=1` 0 FAIL** + build/vet 绿 + linux/darwin 交叉编译绿； 四条真断言（总线饱和仍落库出帧且 `ws.chat` 零发布 / 同键两次仅一回合＋并发两条也仅一回合 / 省略键逐字不变 / 迁移副本 up-down-up）；**3 条变异反证**均已还原 - 越界说明（均已报备）：`history.go` DTO 字段（否则「读接口可见」不可能）、`policy_store_test.go` （0013 使「回滚最后一步 == 0012」前提失效，改为按 schema_migrations 现算）、`extra_test.go`（补 runner） - 顺带补交 P0-A 遗漏的新测试文件 `loop/memory_writeback_test.go`	2026-10-04 14:37:37 +08:00
AskaEth	da3a386daf	feat(cyrene,config,loop): 护栏/压缩/身份知识三条落地（P0-5/P0-10/P0-11）+ 身份注入收窄到主人会话 ... - P0-5 护栏不再是空壳：挂 WithSensitiveInfo(阻断) + 长度上限(输入 262144 / 输出 65536 字符，依据＝ 组装完成的请求体量级与「不误伤正常对话」) + 关键词**仅在配置时**挂；正常对话有用例证明放行 - P0-11 上下文压缩默认启用：CONTEXT_MAX_TOKENS 默认 32768（＝loop.DefaultMaxContextTokens，两常量由测试锁死）， 0/负 = 关闭（行为退回接线前）；长对话真压缩且摘要消息进请求首位、最近一轮保留 - P0-10 身份说明书（owner.yaml identityFile）注入人格上下文，并且**收窄为仅主人会话**： · 新增最小钩子 loop.Options.PersonaKnowledgeFor(env)：**按该轮会话环境**解析（不看提示词、不看会话 id）， 块只进每轮视图、**不进 messages**（不进 checkpoint、不进记忆提取面） · 开关 OWNER_IDENTITY_INJECTION：owner_only(默认) / always(仅自测) / off；非法值与读不动 → WARN + 回退默认（不静默） · **顺手关掉第二条同型泄漏**：channelbridge 群聊参与度判定器的 PersonaPrompt 此前带身份正文 ⇒ 现改为纯人格指令 · 回归：缺文件/目录/未配置逐字节等于旧输出；静态指令与角色池 Instructions() 全不含正文； 文件里点名的陌生账号仍 IsOwner==false（身份知识绝不参与权限判定） - 复核：build/vet 绿 + cmd/config/loop 包测试绿；四类断言（主人含 / **群聊与陌生人不含** / always·off 两档 / 回归不变）+ 4 条变异反证（含把判定改成恒真 → 提示词里真的出现身份说明书）均已还原 - 未做（登记）：knowledge 块启动时读一次（改文件需重启）；`.env.example` 的 OWNER_IDENTITY_INJECTION 行随后补； `internal/user/owner.go` 注释与 design/01 §2.2、design/11 §0 待同步	2026-10-04 14:30:26 +08:00
AskaEth	fbad02899a	fix(memory,loop,capacity): 打通记忆链三条空壳（P0-3 / P0-4 / P0-17，审计 §4.3） ... - P0-3 持久向量索引**不再空壳**：Store.Add 落库后真做 Embed+Add（失败只记日志、绝不让记忆写入失败）； NewRetriever 拿到 WithVectorIndex 时**自动接上写入路径**（无需改组合根）；索引无命中 → WARN + **回退内存余弦**； 新增每进程一次的**回填**（索引确实为空时把已落库条目向量化，分批 64、上限 512） - P0-4 工作记忆**按会话接线**：回合落定时写入（owner 会话 + 带会话 id 的窗口，LRU 上限 64）， 组装上下文时按会话读取 ⇒ 前导块真的出现；原单窗口 API 语义不变 - P0-17 L4 学习回环**真回写**：新增 capacity.Judge（只跑判定、不施人格覆盖/不发事件/不改状态）； loop 在回合落定"只写 owner 会话 + 跳过子代理分支"，写 ScopeUser（L4 的读域）+ 结构化溯源 - 顺带红线加固：意图记录是主人**原话**的机器可读形态 ⇒ **绝不注入群聊/陌生人块**（design/03 §5） - 复核：三条各自的包 build/vet/test 绿；「真生效」断言含生产构造路径（vector.New + 真实 SQLite 后端 + n-gram embedder）、跑完一轮窗口非空、L4 回写后能唤醒一个自身无强信号的表达； **5 条变异反证**（其中两条专门打「受限会话零写入」与「群聊不泄露主人原话」）均已还原 - 未做（登记）：Index.Search 无 ID 过滤（客户端按候选集过滤，极端情况走回退）；每条记忆一次 Embed	2026-10-04 14:20:22 +08:00
AskaEth	88d7dd0026	fix(loop): 所有非崩溃退出一律废弃可恢复快照（主人 2026-10-04 裁决「修」） ... - 原状：只有「被取消」的回合把 checkpoint 落定为不可恢复；**模型/工具报错、预算耗尽**等未落定退出 同样留下可恢复快照 ⇒ 下一条消息被旧窗口整段顶掉（用户看到自己刚发的消息像丢了） - 修法：收尾 defer 改为「**回合未落定就废弃快照**」（不再只看 ctx 是否取消），新增 StopReasonAborted； checkpoint.resumableStopReason 收紧为「**只有 `tool_calls` 可恢复**」（空 stop reason 不再算）； 终态快照改用 context.WithoutCancel 写（修「取消擦肩最终答案」时终态写失败、中途快照留任最新） - 语义边界（写进用例注释）：**只有崩溃**（进程猝死、函数不返回）才允许恢复；控制流一旦回到调用方 就不得留可恢复态。原 resume_test 的用例改名为**崩溃恢复**用例并保留断言（含「新消息不被顶掉」的反面断言在新用例里） - 复核：build/vet 绿 + loop 包测试与 `-race` 全绿；新增 6 条（模型报错/工具失败+模型报错/预算耗尽/ 空 stop reason/取消擦肩最终答案）+ 端到端 TestInterruptThenChatKeepsLatestContextEndToEnd 绿； **4 条变异反证**（含把废弃快照写回 tool_calls → 精确复现真实劫持现场）均已还原 - 附：修 session_turn_fence.go 里引用旧函数名的陈旧注释	2026-10-04 14:17:58 +08:00
AskaEth	5c28ace70d	fix(agent,loop): 静音路径工具广告面与流式路径统一（P0-12，审计 §4.3） ... - 原缺陷：流式路径经 loop.toolSchemas（capacity 允许集 + restrict）过滤，而 agent 静音/内部路径 （RunStep，被 services/automations 等使用）广告 dispatcher **全量** ⇒ 两条路径不一致 - 修法（方案 1）：**过滤实现只留一份**（loop.toolSchemas）；l.agentStep 调用同一个函数，结果经 agent.WithToolSurface(ctx, …) 下传，agent 的 buildRequest 原样广告（取不到才回退全量，保持既有回退语义） · 按构造相同：同一次函数调用、同一份输入 ⇒ 不存在第二份可漂移的实现 · 未选「抽共享函数两侧各调一次」：loop 的过滤输入含 loop 私有会话环境 ctx key 与 capacity 判定器， agent 侧凑齐等于再造一套 ctx 管线，漂移面更大 - 复核：agent/loop 包测试绿；新增 parity 用例（owner 与 group 两组，静音 == 流式）； 变异（撤掉下传行）→ parity 必红且精确复现「静音=全量 4 个」，已还原 - 附注：全仓仅剩 `services/automations` 的「无 Loop 回退」仍广告全量（没有循环就没有闸可言）； 子代理 ToolWhitelist 是执行期否决、本不参与 schema 过滤（未改）	2026-10-04 14:14:05 +08:00
AskaEth	74b12d87ca	fix(history,loop,gateway): 上下文续接的最新性/一致性三条（裁决 13.4.5 的面内部分） ... 本组只落地「在允许文件面内、且能用 design/15 既有规格推出」的部分；13.4.5 的「真并行 + 动态旧上下文」 与 design/15 §2.1/§2.2 的既有串行续接规格存在读法冲突，按规程**停下上报**（未自创语义）。 - history.Recent（续接窗口）并列打破：created_at DESC, rowid DESC —— Windows time.Now() 步长 ~0.44ms， 用户连发必然同毫秒并列；修复前并列时取**更早**的 ⇒ 丢掉刚发出的最新 n 条且同毫秒内反插入序 - 上行 chat 不再经**可丢弃**的 bus：直达会话编排器的非阻塞 Submit（design/15 §2.1「会话消息不能被 drop」 + §4「不阻塞是硬约束」）；orchestrator 为 nil 时回退 bus，旧断言仍绿 - 被**取消**（中断）的回合把该会话 checkpoint 落定为不可恢复（用 context.WithoutCancel 写，快照保留可查询， 仅在回合未落定时触发）⇒ 不再顶掉下一条消息的上下文 - 复核：build/vet 绿 + loop/gateway/history 三包测试与 -race 全绿；新增 5 条用例（含一条真 WS+真编排器+ 真 loop+真 persist 的集成用例）；**3 条变异反证**精确复现「新消息被丢弃只见旧窗口」「窗口取早不取新」 「bus 饱和时会话消息静默消失」，均已还原 - 待裁决（已上报主人）：① 「同一会话多回合真并行」需改 checkpoint 键（sessionID:step 并发互相覆盖）、 flow 图按轮键控、前端单槽 busy —— 均在本组文件面外；② 「动态吸收新到消息」在 design/15 **无规格**， 属新语义，须先写设计；③ 非取消的错误退出同样留可恢复快照（同机制，未扩范围，因 resume_test 正钉住旧行为）	2026-10-04 13:56:35 +08:00
AskaEth	7afef8d037	fix(loop,gateway,persona): awakening 逐 turn 按角色生效 + 修「面板保存角色抹掉 5 个块」的数据丢失（裁决 14.4.3） ... - per-role 注入补齐：Options.PersonaAwakening(personaID) → Loop.personaAwakening → l.awakeningFor(ctx) → capacity.Input.Awakening（toolSchemas 是全仓唯一构造该 Input 处） · 按 turn 解析（不绑 Loop 构造期，避免并发会话数据竞争），与既有 personaFor/knobsFor 同构 · 未知角色/空角色/档案无该块 ⇒ 零值 ⇒ 回落 Config.Awakening（不声明者行为与今天构造性一致） - **数据丢失修复**：persona PUT 是整块替换，此前只保留 thinking ⇒ 保存一次会同时抹掉 awakening / visual(头像·背景) / triggerWords(群聊提醒词) / emotion(情绪机参数) / affection(好感度曲线)。 新增 applyAwakeningEdit + applyPersonaReadOnlyBlocks 逐一保留（cyrene.yaml 五块全写，属必现故障） - 文件守 500 行：主人档案段原样搬移到 admin_owner_profile.go（零逻辑变更） - 复核：build/vet 绿 + 全树 `go test ./... -count=1` 0 FAIL；端到端＝真 YAML→loader→buildCapacity→真 loop 流式请求→断言工具面（tasky 声明 force_state 唤醒 → 含 web-search；cyrene 不声明 → 与无解析器对照逐字相同）； **8 条变异反证**先红后还原（含逐块删除各自的保留逻辑） - 残留缺口（登记）：wire_runtime.go:254 那一行本身无用例覆盖；loader 非 strict（未知 YAML 键静默忽略， 需主人裁决是否开 KnownFields）；POST /admin/personas 仍写不出这五个块	2026-10-04 13:07:52 +08:00
AskaEth	38b4527949	feat(tool,loop): 工具调用软判并回（裁决 14.4.2） ... - 落点=Dispatcher.Invoke 入口（唯一执行口，覆盖主循环/子代理/编排全部调用方） - 语义=**不硬阻断**：越界调用照常执行，把 not_allowed 提示与软判理由挂到真实结果上回灌模型 （符合 design/14 §1「状态改变不构成能力边界、紧急时也能调」与 §4「入口前置软判」） - 允许集单一真源：loop 发布 capacity 过滤后的 schema 名单（= 模型本轮实际看到的工具面）， 分发器不在本地另算一套判定 - 审计：复用既有 AuditEvent/OnAudit 通道（what=tool.reject.not_allowed，design/14 §4 原文）， 前端小字与审计日志同源；日志带 source=runtime/tool - ctx 载体：Run 入口每 Run 播种允许集持有者（run.go +6 行，越界但必需——ctx 只能由 Run 或 request.go 播种，后者归 G5-A） - 与既有硬闸门零重叠：restrict（群聊/陌生人）与 ToolWhitelist（子代理）仍在更早处硬拦 + 各自审计 - 复核：`go build`/`go vet`/tool+loop 包测试绿，`-race` 下 SoftJudge/AllowSet 无竞态； 变异 M1（软判恒空）4 例红、M2（不发布允许集）仅端到端 1 例红 ⇒ 两侧各被独立覆盖	2026-10-04 12:45:48 +08:00
AskaEth	fa33c79e11	feat(model,capacity,vision,io): per-persona 路由 + 本地三级(默认关) + L3 分类 + OCR 独立模型 + image-crop 工具（裁决 03.4.1/03.4.3/14.4.1/14.4.4/14.4.5） ... - 03.4.1：per-persona 路由载体选 models.json（组内新增 personaModels/personaProviders + 校验 + PersonaRoute()）， Router/RuntimeLLM 快照绑定、loop 流式路径按该 turn 的 persona 路由；主步用路由结果、降级步钉自己的模型 - 03.4.3：本地第三级降级链（LLM_LOCAL_*，Configured() 含 Enabled ⇒ **默认关**），warn 标注来源 - 14.4.4：capacity 接入 L3（分类器接口 + TTL 缓存 + 严格 JSON 解析），CAPACITY_L3_ENABLED **默认 false** - 14.4.1：语义修正 —— group.multimodal 才是「主模型能否收图」（env 路径不再臆断），LLM_VISION_MODEL 只配视觉工具； vision/OCR 可各用不同模型；runtime 不再因有图抢路由（vision.Router 是唯一分层权威） - 14.4.5：新增 image-crop 工具（工具数 5→6，策略默认 owner-only），schema 支持按区域裁切 - 组合根：wire_runtime 读 group.Multimodal；capacity 装配拆出 wire_capacity.go（守 500 行） - 复核：`go build`/`go vet`/各包 `go test -count=1` 全绿；**6 条变异反证**先红后还原（含作者自查出的 2 条假阳性变异） - 未落：按 provider 的 thinking 开关（需 openai_encode.go/openai.go 文件面）、persona awakening（需 loader 文件面）	2026-10-04 12:44:52 +08:00
AskaEth	b99268d019	feat(trace,loop,orchestration): memory/guardrail/orchestration 真 span + 参数摘要脱敏 + Guardrail 输出侧异步（裁决 11.4.2/11.4.3/13.4.1） ... - 11.4.2：三类节点首次真进图 —— memory.recall/memory.write（loop/memory.go 召回与写入点）、 guardrail.input/output（流式主路径两侧 + agent.RunStep 静音路径）、orchestration.spawn （scheduler 每次派发/收束）；新增 trace.ChildSpan 让不持有 Tracer 的叶子包也能开子 span - 11.4.3（设计先行，规格先写进 design/19 §1.1）：tool 节点参数摘要 —— 放行表 argValueKeys + trace.IsSecretKey 统一判据（密钥类键不给值）+ 单值 80 rune / ≤24 条 + 出图前再清洗； 前端 NodeDetail 新增「参数摘要」区，未放行键显示「值未展示」 - 13.4.1：流式主路径输出侧护栏改后台 goroutine（脱离 context、30s 兜底、不阻塞回合）， 输入侧仍在模型调用前同步拦下；拦截闭环到 guardrail 节点 + 审计事件 - 拆文件：scheduler.go 加 span 后 546 行 → 编排 span 助手拆出 scheduler_spans.go（回到 492） - 契约：无帧名/事件形状变化；graph_update 节点 props 新增**可选**键（tool args_keys/args_summary、 guardrail action/allow/elapsed_ms、memory action/scope/hits/…、orchestration subagent/persona）， 文档同步由主会话统一落	2026-10-04 12:31:20 +08:00
AskaEth	0ce498754a	fix(memory,loop): 记忆作用域读写成对 + source_conversation 结构化（裁决 1.9/04.4.2/04.4.3） ... - 04.4.2/1.9 读侧：Retrieve 候选集并集 = 本人 persona 域 ∪ user 共享域 ∪ project 共享域（他角色 persona 域仍排除），群聊/陌生人取受限收窄 - 写侧：群聊/陌生人整段跳过记忆提取（可查不可写），persona 域仅属主可写 - 04.4.3：source_conversation 不再由 LLM 自由生成（prompt 不索要、候选结构不含该键），落库时无条件盖真实 {session_id,message_id}，编解码集中在 memory/source.go - 新增跨角色种子用例（原用例即使关掉并集也会通过）+ 成对用例「同群聊上下文：读得到共享域、写不进 store」 - 同步 store.go/retrieve.go 文档注释，与 design/03 §3/§4 口径一致	2026-10-04 12:07:44 +08:00
AskaEth	7e7f53bb41	fix(orchestration,loop): 子代理现在真的收到任务（P0）+ 工具白名单 + 超时可配（裁决 02.4.2/02.4.1/02.4.4） ... 执行方案阶段 2 · P2-1。**02.4.2 是最伤的一条 P0**：`spawntool` 从不填 `AgentSpec.Context`、 `scheduler` 把 nil 交给 loop ⇒ 子代理模型上下文 = 角色 system + 记忆召回 + **0 条消息**， goal/attach_info/data 一个字都到不了模型（此前测试用 mock adapter 恒答固定文本，测不出）。 - **02.4.2**：新增 `taskContext/taskUserMessage`（`spec.go`）把 **goal 正文 + attach_info + data 渲染成同一条 user 消息**（`[任务目标]/[附加信息]/[任务数据]` 独立段落）；`Spawn()` 设 `Context: taskContext(spec)`；**system 只保留角色指令**，任务绝不进 system。 真断言（捕获请求体的 adapter + 真 loop/agent）：首请求恰好 **1 条 user 消息**、同时含 goal 与 attach_info，且**所有 system 消息不含 goal 文本**。 - **02.4.1**：`AgentSpec.ToolWhitelist`（nil/空 = 继承全量）；schema 增 `tool_whitelist` （顶层 + 每 task 条目，task 未带时继承批次级）；`scheduler.run()` 经 ctx 传递 + `scopedRunner` 派生；`loop/options.go` **纯增量（+75 / −0）**：`WithToolWhitelist`/ `ToolWhitelistFrom` + `(*Loop).WithToolWhitelist` 派生副本（浅拷贝仅替换 `hooks.CallAdmit`， 链式保留原钩子），名单外调用否决为**软结果**回灌模型。 - **02.4.4**：`SUBAGENT_TIMEOUT_SEC`（默认 600）入 `internal/config` + `.env.example`； 优先级 = 按调用 `timeout_seconds`（1s–24h 校验）> `WithSpawnTimeout`（生产由 cfg 填充）> 调度器 `PerAgentTimeout`（`wire*.go` 仍是 10min 常量，未动）；迟到 span 续根由测试锁定。 验证：**全树 `go build`/`go vet`/`go test ./... -count=1` = 58 包 ok / 0 FAIL**； `GOOS=linux/amd64` + `GOOS=darwin/arm64` 交叉编译绿；前端 `tsc --noEmit` + `npm run build` 绿； 本批文件全部 ≤500 行、函数 ≤80 行。 变异验证（四条，均带还原证明）：① `Context` 改回 `cloneMessages(spec.Context)` → 「1 条 user 消息」断言 FAIL（`user messages = 0`，即 P0 症状）；② `WithToolWhitelist` 原样返回 → 显式白名单测试 FAIL（`alpha executed 1 times despite not being whitelisted`）； ③ `subCtx` 改回全局默认 → 3 个超时测试 FAIL；④ `foldSpanFinish` 丢掉 `SpanFinished` → 迟到 span 状态断言 FAIL。 ⚠️ 已知缺口（**登记，未假装已解决**）：① 无真实模型端到端（全部捕获请求体 mock）； ② 白名单**只挡执行、不过滤工具广告面**（模型仍能看见未列工具，调用即被拒并拿到可读原因； 过滤需改 `loop/request.go`）；③ **迟到 span 的"新一轮已开始"窗口未修**（`loop/flow.go` 的 `StartRound` 会整体替换 `graphs[session]` ⇒ 新轮开始后迟到的 span 仍落进新轮图；需按轮键控图， 属后续）；④ per-role 超时覆盖未实现（需 persona 旋钮管道）。	2026-10-04 11:30:39 +08:00
AskaEth	6e7ec56f9a	feat(loop,gateway): 事件批 — tool_execution 三事件 + streamId + turn.start/end（裁决 01.4.1/01.4.2/01.4.3/01.4.5/03.4.4/1.12） ... 执行方案阶段 2 · P2-3（`DevDocs/audit/_plan.md`）。契约 `Docs/api-client.md` → **v0.50**。 - **01.4.1 `tool_execution` 拆三事件**：`model/stream.go` 删旧 `StreamKindToolExecution`，新增 `tool_execution.start/update/end` + `ToolPhaseRunning/Done/Error`（与 design/19 status 同值）； `StreamEvent` 增 `Tool`/`Phase`；`loop/tools.go` 的 `emitToolExecution` 重写为结构化字段、 **Delta 恒空**（断言锁死），`ID` 复用 provider tool call id（可与 `tool_call.*` 关联）。 ⚠️ **诚实边界**：start/end 有真实生产者；`update` 的 wire 映射已实现并单测锁定，但**工具分发器 无中途进度上报源 ⇒ loop 暂不产出 update 帧**（已在 api-client §3.1 如实登记）。 - **03.4.4 phase 驱动图节点状态**：`invokeOne` 用**单一 phase 决策**同时决定 end 帧 phase、 span 的 `phase` prop 与终态；`trace/graph.go` 新增 `FlowStatusForPhase`，`graph_build.go` 的 `AddSpan` 对 tool 节点**优先消费 phase prop**（缺省回落 span 终态 ⇒ 两路不可能矛盾）。 - **01.4.2 `streamId`**：`StreamEvent` 增 `StreamID`；`loop/stream.go` 每次 ChatStream 生成 `stream-<hex>`（crypto/rand，降级时间戳），该流所有帧共享、多步工具轮取新 id；`ws_bridge` 把它并进**模型流帧** `data`（`tool_execution.*`/`turn.*` 不带）。语义区分：`turnId` = 哪轮回答， `streamId` = 这条流式消息。 - **01.4.3 `turn.start`/`turn.end`**：`loop/run.go` 入口发 start、defer 发 end，**覆盖全部出口** （最终答案/安全网终止/预算耗尽/步骤错误）；帧**无 data 载荷**；静音的内部 run（backthink/子代理） 不发。顺带把 91 行的 `Run` 拆成 `driveTurn` + `settleAndReturn`（清掉一处既有 >80 行违规）。 - **01.4.5**：仅 `Docs/api-client.md` §3.5 补 `graph_update` 三范围（`web`/`web:<uuid>`/`sess-backthink`）， 与 `wire_runtime.go` 的 allow 谓词一致，**零代码变更**。 验证：`go build ./...` 绿；本批四包（loop/model/trace/gateway）vet + 测试绿（含 `-count=1`）； linux/amd64 + darwin/arm64 交叉编译绿；本批 16 文件 ≤500 行、函数 ≤80 行。 **真 WS 帧断言 8 条**：帧序 `turn.start → message.delta → tool_execution.start → tool_execution.end → message.delta → turn.end`（+`stream_end`）、turn 边界无载荷且整轮 turnId 一致、 两条模型流 `streamId` 互异、tool 帧 `{tool,phase,id}` 且无 `delta`/`streamId` 键、 `turn.end` 在步骤出错时也发出、内部静音 run 不发边界帧。 **变异验证**：把 `ev.StreamID = streamID` 改为赋空 → 两条断言 FAIL（`streamId` 为空/两流同空）， 还原后复绿（直接删行会先被编译期 `declared and not used` 拦截）。 未验证：前端未消费这些帧（本轮未动 `frontend/**`，「前端能渲染」待前端批）；无真实模型端到端。	2026-10-04 11:26:35 +08:00
AskaEth	91e8d7a029	docs(runtime): internal/runtime/loop 44 个文件注释改中文（逐行 1:1，代码零字节改动） ... 主人 2026-10-03 拍板「注释一律中文」；本模块按长期分批协议（一个模块一次派工）执行。 注释行数 1329 → 1329 逐行 1:1（含中文 33 → 1304）；行尾注释 5 条一并译。 校验：机械校验（非注释改动行）= 空；独立 Go AST 程序（剥注释复渲）证明 44/44 文件代码全等； 全树 go test ./... 58 包 ok / 0 FAIL；交叉编译绿。 gofmt：capacity_loop_test.go / flow.go 改动前即未格式化，按铁律保留原样未动。	2026-10-03 22:28:21 +08:00
AskaEth	5969bba3bd	feat(channel,runtime): 批次2 后端 — 消息级角色归属进上下文 + IM 私聊随主会话角色 + 渠道级绑定 ... 按 design/22 §2/§3/§4.4/§7（3/4/5）。 - ①「消息级角色归属」进入模型上下文（批次 1 只做存储+DTO）：历史消息的发送角色现在对模型可见，且**不把系统元数据塞进用户正文**（design/11 §10 红线） - ② IM owner 私聊镜像解析出的角色 = **主会话绑定的角色**（§7-3） - ③ 渠道级绑定：ChannelAccount 加 personaId（channels.json 读写/校验/脱敏沿用既有约定）+ 角色解析优先级 **会话 > 渠道 > 默认** + **群聊/陌生人强制默认角色**（§7-4）；admin 渠道配置端点支持 personaId - Docs/api-client 版本 +1 - 验收：go build/vet/test 全绿 + linux/darwin 交叉编译	2026-10-03 21:01:33 +08:00
AskaEth	0624d9ee36	feat(session,runtime): 多角色并存—按会话选角（迁移0011 + 按回合解析 + agent池 + 提取器修正） ... 按 DevDocs/design/22 批次 1 后端（§2/§3/§4.1-4.5/§4.7/§5 验收 1-6）。 - 迁移 0011：chat_sessions.persona_id + chat_messages.persona_id（均 DEFAULT ''，无回填 → 升级零风险）；同步包内幂等 DDL；**真实库升级验证**（拷贝 data/cyrene.db 到临时目录跑 MigrateUp：既有 1 会话/109 消息 persona 仍为 ''，原库未被触碰） - history：SessionMeta/Message 加 PersonaID + SetSessionPersona；ListSessions/List/scan/Append 带上 - runtime：SessionEnv.PersonaID + loop.personaFor(ctx) 替换固定 l.personaID（memory/request/turn）+ **agent 池**（Options.Agents，按角色取 instructions，未命中回落）+ **提取器不再把 persona 烤死在构造期**（多角色下记忆不再永远记在 cyrene 名下）+ **thinking 旋钮改为按会话角色解析**（否则角色 Y 会用角色 X 的预算/展示） - gateway：会话 DTO/POST/PATCH 支持 personaId；ws/rest/voice 的 OwnerEnv 硬编改为**按会话解析角色**（actor 元数据语义不变）；admin memories 搜索去掉硬编 cyrene - Docs/api-client v0.42；**两处有意的行为收紧**已写明：POST /sessions body 非法 JSON → 400（原先完全忽略 body；空/null/{} 仍 201）；POST /admin/memories/search 省略 personaId 且无默认角色 → 400（原先默认查 cyrene） - 测试：design/22 §5 验收 1-6（记忆隔离/提示词首条 system/情绪按角色/提取 persona 归属/迁移兼容）+ 进程内 e2e（断言 adapter 收到的 model.Request.Messages[0] 即该角色的 systemPrompt） - **已知未做（留批次 2 / 待确认）**：① IM 与渠道级未做 → **§7-3「owner 私聊镜像随主会话角色」尚未生效**；② 请求级覆盖未实现（本批只做会话级）；③ **§7-5 的「上下文发送角色标记」只完成存储+DTO 半边**——消息 persona 已落库且 DTO 已带，但模型上下文不从 chat_messages 重建，「第 N 条是谁说的」尚未进上下文（需确认是否属批次 2）；④「切角色重建摘要」当前是空操作（压缩未接线）；⑤ thinking 旋钮仅在流式路径生效（非流式 agent.RunStep 不带，A 批次既有性质） - 验收：go build/vet/test 全绿 + linux/amd64 与 darwin/arm64 交叉编译（既有 flake 本轮未触发；同批 session_orchestrator.go 一度 501 行 → 抽出 session_tail.go）	2026-10-03 20:12:29 +08:00
AskaEth	38a403afca	feat(persona,model,loop): 人格 thinking 配置 + 5 个死字段接线 + 推理旋钮（按 provider 映射） ... 按 DevDocs/design/01 §2.1/§2.2 与 design/04 §3.2 实现（规格含联网核过的官方依据：思考内容刻意不角色化、不写分步思考指令、思考控制只走参数级）。 - 人格 schema 新增 thinking：budgetTokens / effort / showToUser(*bool，省略=nil=保持现行为，显式 false=只落库) / mode(default|on|off→Enable 三态)；非法 mode/负预算 → ErrInvalidThinking（不静默） - 5 个死字段接上注入：personality→values→speechStyle→catchphrase→background 拼为独立段落（带【】小标题，空值不拼）；**全空时输出与旧实现逐字节一致**（有专门测试） - model.Request 新增 Thinking{ BudgetTokens, Enable } 与 ReasoningEffort；新增 model/reasoning.go：厂商识别（模型名→baseURL 兜底）、取值白名单（OpenAI 系 none…max / DeepSeek low|high|max）、非法值降级+WARN、**不支持一律 WARN 而非静默**；Anthropic 映射 thinking{budget_tokens} 并**保证 budget<max_tokens**（不足时抬高 max_tokens+WARN，正是历史上思考吃光预算→空回复那个坑） - loop：新增 Options.ThinkingShowToUser(*bool) 仅门控 thinking_* 帧（正文/工具帧不受影响）；场景级 mute 语义不变 - 补一处任务清单外但必需的接线：persona→model.Request 的 thinking 映射（否则 budget/effort/mode 会变成新的死字段）；showToUser 刻意不产生 Thinking（纯呈现开关） - 管理端：personaUpsertRequest 补 thinking DTO + 校验（400）；PUT 省略时**保留已存块**（防旧客户端抹配置）；写侧 yaml round-trip 已验证 - Docs/api-client v0.40→v0.41（可选请求字段） - 测试：26 个新用例（loader 解析/拼接逐字节/映射、anthropic 非流式+流式预算约束、openai 透传/降级/丢弃、Qwen 诚实 WARN、loop 门控、DTO round-trip）；3 次变异验证（省略与 false 混同 / 去掉预算约束 / 短路门控 各自 FAIL） - 验收：go build/vet/test 全绿（含 57 包）+ linux/darwin 交叉编译 + 前端 build；唯一 FAIL 是既有 flake TestInterruptCancelsTurnAndClearsPending（3/20 新代码 vs 3/20 纯 HEAD，已归因非本次引入）	2026-10-03 19:54:22 +08:00
AskaEth	de1fa83b79	feat(orchestration,loop,flow): 接线子代理编排 — 派发入口 + 分支归父会话 + 节点日志（含脱敏） ... 修的是「文档说 ✅、生产不可达」：此前 Scheduler.Spawn 只有测试调用方、无 bus 入口、无派发工具；Span.Record 无生产调用方 → 泳道画不出、节点日志恒空。 - 入口：subagent_spawn 工具（internal/runtime/orchestration/spawntool.go，同包便于用真 Scheduler/loop/Tracer/Flow 做集成测试；注册在 cmd/cyrene/subagent_tool.go 照 terminal_tool 范式）。默认 owner-only，不设 AllowInGroup/AllowInStranger；安全仍由 restrictSchemas + applyToolSecurityGate 双层保证，未绕代审 - 父会话归属：AgentSpec.ParentSession（请求语义）→ Scheduler 转运行期 ctx 标记 loop.WithFlowBranch → 分支 span 以父 session 发布；**allow 谓词一行未改**；单图语义靠「分支 Run 不调 StartRound/EndRound」+ FlowPublisher 不新建图；未归属 spawn 一张图都不发（有测试锁） - 前台最多等 2s（对齐 task.autoBackgroundThreshold）→ 合并结果作工具结果；转后台则广播 bus subagent.result（design/05 §9 回填 hook）；新增 Scheduler.Wait(ids) 按批等待（Join 会串并发批次，故不重用） - 子代理跑在 WithoutCancel(ctx)：保留 span 归属、不被工具超时/回合结束顺手杀掉；生命周期由 PerAgentTimeout + CancelAll 约束；内部 WithMutedBroadcast 静音（不进前台 stream） - 节点日志：loop/spanlog.go 新增 llm.done / tool.done / subagent.done；工具参数**只记键名不记值**；仅步骤真正结束才追加（跳过/被拒路径不发，不伪造） - 脱敏（红线）：新增 trace/redact.go（形状规则 sk-/Bearer/JWT/key:value + 键名规则 api_key/token/authorization/password…，递归嵌套、不改调用方事件），graph.go 发布前必经；**顺带修掉一个既有泄漏**：result_summary prop 原先未脱敏（工具结果里的密钥会进图），由图级变异测试抓出 - 测试：新增 22 个（工具级 / 图级 / 日志级），含 4 次变异验证（去掉 WithFlowBranch、去掉 record*、还原未脱敏、去掉静音 各自 FAIL）；-race 过 orchestration+trace+loop - 已知限制：真实模型端到端未验（无凭据/不起服务）；工具白名单是 design gap 未做；subagent.result 暂无消费者（design/15 未实现）；后台子代理跨轮次边界迟到 span 会丢泳道根；PerAgentTimeout=10min 待确认	2026-10-03 19:39:38 +08:00
AskaEth	61cc32c44b	feat(gateway,loop): A1 流式帧附加 sessionId/turnId — 多会话并发流式可路由 ... - model.StreamEvent 增 SessionID/TurnID（适配器在 loop 之下，恒留零值） - loop 在回合边界注入；覆盖 stream.go 与 tools.go 的 tool_execution 发射点 - 网关 runTurn 每回合生成 turnID 并经 loop.WithTurnID 挂进运行上下文（编排层与 legacy 直连的唯一收口点）；broadcastStream 填充 wsEvent - Docs/api-client v0.36 契约与变更日志；v0.10 条目标注为已被补齐 - 新增 loop/gateway 测试，含变异验证	2026-10-03 16:08:52 +08:00
AskaEth	153a9d6211	feat(runtime+admin): A2 LLM异步提取接线 + A4 Tracing接线 + A6通知后端聚合 ... A2 异步记忆提取: - loop/memory.go: asyncExtractor接口(ExtractAsync)+extractMemoryAsync(60s超时,WithOutCancel,dispatch即返回,后台落库,失败仅Warn)+persistMemories共用 - run.go 三个回合落定点改异步提取; 删除run.go逐步提取(design/03'每轮后', 避免多轮工具N次LLM调用/重复写) - cmd/cyrene/extractor.go buildMemoryExtractor: llmGroupUsable为真→LLMExtractor, 否则回落ManualExtractor(日志说明); keylessEndpoint放行loopback/私网 A4 可观测性 Tracing: - cmd/cyrene/observability.go: newAppTraceWriter+traceFanout(多sink)+gatewaySpanSink(走gw.ObserveSpan,喂环形缓冲+LLM/subagent指标) - wire.go 注入; 未改trace/gateway数据结构 A6 通知后端: - internal/services/gateway/notifications.go(311行): GET /admin/notifications?type=&before=&limit= (adminAuth) - 聚合已有源(obs.audit SQLite + s.backthink), createdAt倒序, id=source:id; 类型派生(channel/system/audit/backthink); 无新建表/无新Deps/wire零改动 - 诚实: backthink仅shouldPush计, 未注入源为空, 报错500, 未读游标后置 - 契约与前端Y一致: {id,type,title,body,source,createdAt}, before含游标(<=), type未知400 - Docs/api-client v0.33 全仓 build/vet/test绿(56包)+win/darwin/linux-arm64交叉编译绿; 新增测试(memory_async/extractor/observability/notifications)	2026-09-30 09:03:16 +08:00
AskaEth	1a85de555d	feat(emotion): A1 情绪系统接线 + refactor: 拆分 channelbridge.go ... A1 情绪接线: - loop 回合边界钩子(TurnEnd/OnTurnEnd/settleTurn, Result.Mood); 每轮一次非每步 - persona/emotion: React(valence五档) + Machine.Move(BFS最短合法路径一步) + Observer(observe/decay/好感度,仅变化才emit); 好感度步长读角色配置(cyrene delta=10, 0..700) - 落库 Mood(web session_persist.res.Mood + IM channelbridge/persist; user消息不带mood); WS mood事件(BroadcastMood,仅变化); per-persona隔离; 群聊/陌生人只读不写不发 - cmd/cyrene/emotion.go 生产接线 + wire.go 注入 loop.Options.OnTurnEnd - 22 测试(状态机被loop调用/Mood非空落库/mood帧shape/只变化才发/群聊只读) + 真二进制冒烟 - Docs: api-client v0.32 §3.7 情绪事件 + 开源对照清单(companion 应用对照) - 诚实: 本机无LLM凭据→未活体验证'模型返回后完整轮次'一环 拆分 channelbridge.go 816→257(纯搬移零逻辑): connect/inbound/outbound/blacklist/helpers.go; A1 的 IM mood 调用点落在新 inbound.go, 故与本提交同批 回滚 6 个 gofmt 顺手格式化文件(capacity_loop_test/flow/source_test/findchannel_test/admin_channels_platform_test/history) 缩 diff, 含 history.go 注释被转弯引号	2026-09-30 08:51:38 +08:00
AskaEth	c7b2cd8ae0	fix(model): 解析 stop_reason + max_tokens 截断重试/非空兜底 — 不再静默空回复 ... - model.go: Response.StopReason; anthropic wire加stop_reason; openai finish_reason映射(两协议统一,原值透传) - truncation.go(新,159行): effectiveMaxTokens/retryMaxTokens(×2封顶32768)/isTruncatedEmpty(空正文+无tool_use+stop_reason∈{max_tokens,length})/withEmptyBodyHint/callWithTruncationRetry/callStreamWithTruncationRetry/dropThinking/emitTextSegment - anthropic.go Chat/ChatStream 走重试+兜底; anthropic_encode.go(新)拆编码(anthropic.go 529→357合规); anthropic_stream message_delta落StopReason - agent/loop: 把模型层StopReason带到llm.call span的model_stop_reason属性(修掉trace硬编码stop的误导); loop.Result.StopReason语义未动 - 触发仅当截断空正文; tool_use空正文永不触发(native_toolcall_test仍过); 至多1次重试; 兜底回'（思考过长，未能生成回复）'绝不用thinking - 新增7测试(非流式/流式重试+兜底+tool_use不触发+封顶+openai映射), build/vet/test绿+3平台交叉编译	2026-09-08 23:52:47 +08:00
AskaEth	f347681034	fix(loop): 原生工具调用从 Response.ToolCalls 解码 + 逐次回填工具结果 — 修复工具消息无回复 ... - 根因: loop/agent.decodeToolCalls 只读 resp.Message.ToolCallName/resp.Content JSON信封, 从不看 api 原生解析出的 resp.ToolCalls(Anthropic tool_use / OpenAI tool_calls) → 模型返回 thinking+tool_use(无text) 被判定'无工具调用' → 空 Content 当最终 text → res.Text="" → no reply produced; 纯聊天消息不调工具直接出 text, 故表现为'部分消息无回复' - agent/step.go: ToolCall 增 ID; ExtractToolCalls 导出并优先 resp.ToolCalls(保留原生id+归一化nil Args), 回落两旧约定 - loop/request.go: decodeToolCalls 委托 agent.ExtractToolCalls(流式/非流式共用) - loop/tool_history.go(新): 原生批次回填 assistant tool_use + 带tool_use_id的tool_result; 旧JSON信封批次保持 RoleTool 纯文本(向后兼容) - openai.go: tool_call parts 编成 tool_calls + tool_call_id - 新增 native_toolcall_test + native_toolcall_http_test(httptest假Anthropic SSE: round1 tool_use(无text)→round2含tool_use_id/tool_result→res.Text非空) - build/vet/test绿+交叉编译	2026-09-08 22:37:05 +08:00
Aska	44e7a5c2c5	feat(flow): 实时全链路流程可视化 P1——trace→graph_update→前端全链路流程页(design/19) ... 后端: trace/graph.go(RunGraph 图构建器,kind/status 映射,父子优先连线,脱敏白名单+截断); loop/flow.go(FlowPublisher 按会话增量发布 ws.graph_update,仅主人web会话); loop span start/finish 折入图; run.go StartRound/EndRound; wire.go 组装+注入. 前端: Flow.tsx(全链路流程页:FlowGraphView+会话/节点/开始/耗时卡片+状态计数+节点点开日志); FlowGraph 组件加 onNodeClick; types/wsParse 扩展; router/sections/AdminApp 注册 flow; api-client.md §3.5 graph_update 契约. 验证: 后端 build/vet/test 全绿+flow_test.go 集成(span→graph→ws.graph_update主干); 前端 build 绿. 红线: 单二进制零新依赖; 工具参数/结果脱敏; 仅主人web会话; 身份靠actor元数据; 只读不虚构. P2(并行子代理分支/泳道/节点实时日志)后置.	2026-09-07 19:10:57 +08:00
Aska	7e39153a69	feat: 修复审计落差 #1/#2/#3/#6 + 管理面板移动端适配 ... #1 工具布尔标记生效(agent-106, 安全红线): loop toolSchemas/runToolCalls 加 allow-set 安全门 restrictSchemas/applyToolSecurityGate——群聊/陌生人只暴露允许工具(默认关), 被拒not_allowed软提示+AuditEvent, owner全工具不变; 身份靠 ActorEnv(非提示词) #2 checkpoint 恢复(agent-109): run.go LoadLatest + resumableStopReason门控(只恢复in-flight工具循环,不出答案不续跑), 幂等不重放副作用, 新会话不误恢复; resume_test 4用例 #3 tool_result(agent-108, 协议层): Anthropic 原生tool_result块(tool_use_id/is_error)非user纯文本 + OpenAI tool消息补tool_call_id; Content加ToolCallID/IsError等; (loop接线层2处留待,见备注) #6 capacity_awaken推送(agent-107): onCapacity从只Debug改推WS hub(BroadcastCapacityAwaken, sessionId定向+payload对齐前端AwakenPayload) 管理面板移动端(agent-110): AdminApp 汉堡菜单+抽屉侧栏+标题truncate防换行, RBAC守卫不受影响 全仓 build/vet/test绿 + 前端build绿; 前端无涉差异已对齐 备注: #3 loop接线层2处(assistant工具轮append历史 + Message.ToolCallID/IsError)留给后续; #4代审/#5子代理触发/#7拆文件后置(主人说后三不急)	2026-09-07 13:43:18 +08:00
Aska	7455d09d05	feat: 角色视觉体系（头像按角色取）+ 时间注入（loop 每轮当前时间） ... 【角色视觉体系（红线：每个角色自己的头像/背景，绝不串用昔涟）】 - persona.go：Persona 加 Visual{avatar, chatBackground{landscape,portrait}} + DefaultAvatar；每个角色各自配。 - cyrene.yaml：昔涟配 avatar(3F-Q-Happy-1) + chatBackground(横/竖屏)。 - PersonaStore 加 Persona(id)；PersonaSummary 加 avatar/chatBackground；collectPersonas 按角色取 Persona(id) 视觉（无视觉→空，前端回退默认占位，绝不串角色）。 - 前端：types PersonaRecord 加 avatar/chatBackground；persona.ts personaAvatar(p)=p?.avatar||默认占位 (殊无昔涟 fallback)；store 加 currentPersona；App 挂载 fetchPersonas 取默认角色； TopBar/chat 头像改 personaAvatar(currentPersona)（写死昔涟头像已清除）。 【时间注入（她自然知道现在几点，深夜催睡交给人格/capacity）】 - options.go Options 加 Timezone；loop.go Loop 加 timeLocation/timeZoneName + New 解析 + loadTimezone； time.go currentTimeBlock()(当前时间+周几+时区，每轮刷新)；memory.go assembleContext 在「工作记忆」 前注入时间 system(keyed 在 timeLocation!=nil，无时区不注入不破坏测试)；wire.go Timezone=a.cfg.Timezone。 go build/vet/test 全绿(gateway/loop/persona)；前端 tsc/vite build 75模块绿。红线无写死昔涟头像。	2026-09-07 02:46:40 +08:00
Aska	33eeadfc38	fix(backthink): 后台思考静默广播——不再把内部推理泄到聊天思维链 + XML 动作/旁白解析 ... 【静默广播修复（bug：思维链露出 backthink 推理）】 - 根因：LoopThinker.Think 复用同一 loop.Loop 且 loop 全局带 OnStream，backthink 后台思考时 把 [background autonomous reflection] 的 thinking/流式事件广播到前端，被当聊天思维链显示。 - loop/mute_ctx.go：WithMutedBroadcast(ctx) + isMutedBroadcast(ctx)——context 上静默标志。 - loop 四处广播抑制（stream.go 流式 / step.go 静默走非流式 agentStep / request.go capacity 事件 / tools.go tool_execution），静默时跳过 UI 广播，推理照常返回结论。 - thinker.go LoopThinker.Think 用 loop.WithMutedBroadcast(ctx)，backthink 不再泄 thinking。 【XML 动作/旁白结构化解析】 - cyrene.yaml systemPrompt 加「表达方式：动作与旁白」——动作 <action>…</action>、 旁白 <narration>…</narration>；克制≤1-2个/段、贴合唤醒态、重要信息不加、朗读正文忽略标签。 - 前端 parseContent.ts：ContentPart[]（text/action/narration），非贪婪+反向引用、跨行、非法/ 未闭合兜底纯文本不崩；summarizeContent 供思维导图/状态。 - 前端 renderContent.tsx：action/narration → 灰斜体(mu-text-lo italic)句中原位渲染。 - 应用到 chat.tsx UserBubble/AssistantBubble + messages 各 mode body。 go build/vet/test(loop/backthink)绿 + 前端 tsc/vite 绿。	2026-09-06 22:09:51 +08:00
Aska	6dbb4a2e18	feat: 唤醒式架构批次——capacity/L4/会话编排/管理面板写CRUD/前端集成（77-81） ... 【capacity 唤醒式核心(77)】internal/runtime/capacity：(Decider L1启发式+L2上下文+人格覆盖→三态静息/唤醒/全能→允许工具集+capacity_awaken事件)。loop 外围允许集过滤(不硬阻断=能力≠边界红线)。config 加 Capacity(Enabled/MinConfidence/ToolSets)。wire buildCapacity 接入 loop。 【L4 记忆驱动意图(80)】recall.go：从记忆召回用户习惯(搞一下xx=办事)→唤醒L1/L2漏掉/升置信；群聊陌生人不读owner习惯(隔离红线)；RecordIntent闭环(判定写回记忆越用越准)；默认保守静息。 【会话消息编排(78)】gateway/session_orchestrator.go：每会话(模式/pending有界5/tail上下文尾巴20)；Submit非阻塞(idle立即/busy入队ack/满拒绝)；完成回调按序续接(tail+新消息合并增量注入非全量重放)；Interrupt中断；REST 202/409+WS session_busy/pending_ack事件；不重造任务引擎复用loop。 【前端集成(79)】ws.ts 加 capacity_awaken/session_busy/pending_ack 解析；store 加 awakenState/sessionBusy；TopBar/ChatShell 加唤醒态徽标+忙态提示(不阻塞输入框)；状态组件 status.tsx；Miuix风格。 【管理面板写CRUD(81)】20个写端点(POST/PUT/DELETE /admin/*，owner+审计落库)：personas(真持久化YAML)/users apikey(签发掩码+撤销)/iot控制(真下发)/automations(建/触发/删)/llm(test真调用+临时)/channels(connect/close/身份测试actor白名单)/plugins(卸载)/memories(search真检索)/sessions(export)。无存储如实501不伪造。拆4文件满足≤500红线。前端9模块接真写。 【wire收口】buildCapacity接入loop+OnCapacity事件；server.go newOrchestrator接hub。 实机验证：iot ac.living control 200 真实改变 on:true；observability/metrics 200、health ok；全仓 build/vet/test 47包绿+前端tsc/vite。	2026-09-06 21:54:40 +08:00
Aska	adad4e1f62	fix(session): 群聊/陌生人记忆隔离——MemWritable 贯穿 loop（AGENTS.md 红线） ... 群聊/陌生人查记忆只读不写、不泄露主人敏感；owner 默认行为完全不变。 - loop/sessionenv.go：SessionEnv 类型 + WithSessionEnv/sessionEnvFrom/OwnerEnv——每次 Run 携带会话 隔离上下文，经 context.Context 传递（不改 Run 签名、不存 Loop/Options 字段，避免 16 并发渠道 消息共享 Loop 的数据竞争；Chatter 接口与测试桩签名不变）。 - loop/memory.go 门控：injectMemory 读——MemWritable=true(owner)走原 Retriever.Inject 全量不变； false(群聊/陌生人)改 Retrieve 后只留 ScopeProject(人人可读)、剔除 ScopeUser(owner习惯私有)与 ScopePersona(角色日常=owner敏感)，块首加「群聊隔离」标记，无项目记忆不注入；extractMemory 写 false 直接 return 跳过(不调用 extractor 不落库)。 - 渠道入站(Channelbridge)传真实会话 MemWritable/Env；Web/REST/WS/voice chat 绑 OwnerEnv(JWT=owner 行为不变)；backthink/automations/orchestration 默认 owner 全量。 - 测试：memory_gating_test 6 用例(owner/群聊只读不写/陌生人受限/无项目记忆不注入/默认owner全量)全绿； loop/session/gateway 既有测试无回归。go build/vet/test 47 包全绿。 遗留：ScopeProject 过滤在 loop 内后处理实现(未改 memory 包)，若后续允许可在 Retriever 加 scope 过滤选项消除与 Inject 模板的重复(2处)。	2026-09-06 20:34:06 +08:00
Aska	518bd0a230	feat: admin 端点补齐 + 视觉真推理 + 语音链路 + wire.go 收口（A+B+第3步） ... 批次A admin 端点（原本 404 变 200 真实数据）： - GET /admin/llm：读 s.cfg.LLM 组 openai+anthropic 两 provider（enabled=当前 Provider、multimodal=配 VisionModel），APIKey 不进 wire 零泄露。 - GET /admin/automations：*automations.Service.List()（reminders+event rules+cron schedules，cron 加只读登记）。 - GET /admin/users：cfg.AdminUser + *auth.APIKey.List()（密钥掩码）；无用户存储，恒先返回当前 admin 账号。 - GET /admin/backthink：*backthink.Backthink.List(ctx,50)。均只读、owner/admin RBAC、{data} 信封。 批次B 视觉真推理 + 语音： - rest.go chatRequest 加 Image?；流式 publishChatStream 带 image；userChatMessages 构造 ImageMessage(model.go:71)。 - loop/vision.go：ImageResolver 可注入（MVP 先看图再对话）；run.go Run 开头 resolveImages，无 resolver 透传直交主模型。 - vision/resolver.go：MessageResolver 调 vision.Router.Route——KindMain 保留图片交主模型多模态、KindVisionTool/OCRTool 经 dispatcher.Invoke 折叠成 [图片内容] 文本、KindUnsupported 记日志保留原图不崩。 - gateway/voice.go：VoiceService 接口 + SetVoice 注入点 + handleVoiceInput（未注入回 error 不崩）+ runVoiceTurn 异步 STT→loop chat→TTS→定向 voice_output 帧。 - ws_hub/ws_route：voice_input 接 handleVoiceInput；前端 ws.ts decodeBase64/playVoiceAudio/case voice_output。 第3步 wire.go 收口（唯一碰 wire.go 的一步）： - Deps 补传 Automations:a.automation / Backthink:a.backthink / Users:auth.NewAPIKey(a.cfg.Auth)（*auth.APIKey 原生满足 UserStore，避免 admin 重复的复合类型）。 - gw.SetVoice(a.voice)；loop.Options.Vision = vision.NewMessageResolver(router, info, dispatcher.Invoke)（router=NewRouter(WithVisionTool/WithOCRTool)、info=cfg.LLM.VisionModel）。 实机验证：四 admin 端点 200 真实数据（llm 双 provider 脱敏、users=admin,yeij0942,owner）；WS 握手正常。go build/vet/test 全绿 + 前端 tsc。wire.go 557 行。	2026-09-06 18:54:05 +08:00
Aska	648292d035	feat(loop): Top5#5 上下文溢出压缩 + 每轮 assemble（对齐 OpenClaw context-engine）——Top5 全完成 ... - 每轮 assemble(transformContext 等价)：run.go 每 step 前 assembleContext——依次 Inject(每轮 重新 Retriever.Inject 不缓存首轮)、WorkingMemory 前置 Summarize、可插拔 TransformContext 投影/ 过滤；生成的 view 交 step，msgs 保持纯对话供工具结果追加，记忆不重复注入、不写回 checkpoint。 - Compactor：结构分支感知压缩——estimateContextTokens 启发式超 MaxContextTokens 且消息≥3 才动； findKeepStart 按 user 消息切整轮从后往前累加(至少保留最后一整轮→尾随工具结果绝不切片/不跨轮)； 旧轮 user/assistant 对压成一条 RoleSystem 摘要置顶，既有摘要前缀识别合并防叠；capSummary 上限 4000 rune；ctx 即 abortSignal(取消返回 ctx.Err，压缩失败仅记日志不中断 run)。 - 选项：Options 增 MaxContextTokens/Compactor/TransformContext，均 nil-tolerant(默认=现有行为， 零值不压缩)；DefaultMaxContextTokens=32768。Compactor 接口预留注入 LLM 摘要。 go build/vet/test -count=1 全绿 + windows/darwin 交叉编译。12 断言覆盖尾随工具结果保留/不跨轮切割/ 摘要上限/摘要合并/ctx 取消/每轮重检索/TransformContext 逐轮/超限压缩/默认关闭。-race 受宿主 TSan VMA 限制无法运行(与代码无关)。 **至此 Top5(1~5) 全部完成并推库。**	2026-09-06 18:08:55 +08:00
Aska	35cb2d3942	feat(loop): Top5#4 工具循环增强（对齐 OpenClaw agent-loop）——重复检测/并行串行/钩子/errorKind/repair ... - 重复调用安全网（critical-tool-loop）：指纹=name+canonical JSON(args)；批内重复第二次跳过回喂 「duplicate call」；跨轮关键重复(同指纹重现)→首次 block+criticalSeen，再次连续重复→终止整轮 StopReasonToolLoopTerminated（替代裸 8 轮针对同调用的硬截止）。 - 并行/串行混合：invokeParallel 默认并行，信号量(ToolParallelism 默认4)限并发，结果按调用索引 写回按原序渲染；串行触发=Options.ToolExecution:sequential 或 SetToolExecutionMode(name,sequential) （对齐 OpenClaw「一个 sequential 标记→整组串行」）；goroutine 不泄漏、ctx 取消快速返回。 - 工具钩子：ToolLoopHooks(BatchAdmit/CallAdmit/AfterCall/AfterOutcome) 经 Options.Hooks 注入， 均 nil-tolerant；供后续敏感操作代审复用（design/11）。terminate 用 every 语义。 - status 分类：ToolError.Kind() 区分 argument-validation(JSON-Schema 失败)/execution； 失败消息渲染 {kind,message} 让模型区分重发参数 vs 执行失败。 - tool-call-repair：LenientJSONUnmarshal 修 fence 包裹/尾逗号畸形；agent.extractToolCalls 与 loop.decodeToolCalls 走它；不可修复退化为文本不崩整轮。意图调用未区分回喂提示(后置)。 - tool_execution_update：流式路径 emitToolExecution 发 StreamKindToolExecution(start/end/end:error)。 go build/vet/test 全绿(46包)。TestRun_MaxRounds 改每轮不同参(原同 echo 被安全网拦，预期新行为)。 -race 受宿主 TSan VMA 限制无法运行(与代码无关)。	2026-09-06 17:57:18 +08:00
Aska	24d5924cee	feat(model): Top5#1 结构化流事件 + WS 事件体系（对齐 OpenClaw AssistantMessageEvent） ... - 新增 model/stream.go：StreamKind(text/thinking/tool_call 各 start/delta/end + tool_execution) + StreamEvent{Kind,Delta,Index,ID}。 - ChatStream 签名 onChunk func(delta string)→onEvent func(StreamEvent)；loop OnStream 同改； streamStep 转发结构化事件。 - openai：text_delta + text_start/text_end（正文三段式）；anthropic：文本块 text_*/tool_call_* 按块 Index（content_block_stop 分支）真分段；fallback：有事件即交付。 - ws_hub：wsEvent 壳补 turnId/seq；新增 broadcastStream；streamChat 每帧打 turnId+seq； stream.go 把事件 publish 到 bus ws.stream。 - ws_bridge：streamEventData 映射 text_*→message.start/delta/end、thinking_*→thinking.*、 tool_call_*→tool_call.*、tool_execution_update→tool_execution.update，未知回退 stream_chunk。 - 前端 ws.ts：解析 message.start/delta/end、thinking.start/delta/end(pendingThinking)、 tool_call.start/end→addTool、tool_execution.update；保留旧 stream_chunk/thinking/tool_used 兼容； types.ts 补 turnId/seq。Docs/api-client.md 增 §3.1 v0.4。 已知限制（注释/文档标注）：turnId 在 OnStream→bus→relay 路径暂为空（StreamEvent 无 turnId 字段， bus ws.stream 载荷不带 turn）；OpenAI adapter 未解析 tool_call 段；thinking 段两 adapter 暂不发； tool_execution.update 是保留项（随工具循环钩子后置）。go build/vet/test + 前端 tsc 全绿。	2026-09-06 16:31:28 +08:00
Aska	71697ca4f8	feat(loop): agent loop（8 轮 + checkpoint + 流式 + 记忆注入/提取 + trace + 工具超时回喂）	2026-09-06 05:33:38 +08:00