AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
747 Commits 7 Branches 0 Tags
98e1ae6aa963a54fa6e6e9b3a25d0787be351cc9
Commit Graph
231 Commits
Author SHA1 Message Date
AskaEth 98e1ae6aa9 fix(model): providerUpstreamError 的 error.type 也过令牌守卫 
同一份上游报文，兄弟出口 streamEventError 守的正是 type，而 providerUpstreamError
只守了 error.code —— 网关/兼容层把回显塞进 type 时会被原样渲染进错误与日志。
两个字段现在用同一道 trace.ErrorToken：不像令牌的变空串，status/code/body_bytes
等诊断面不受影响。
 2026-10-26 19:01:16 +08:00
AskaEth 92b0f89492 fix(trace): URLCause 用层数上限终止，去掉不可比较的 error 比较 
手写终止条件只认「长度 1 的自引用」，于是：
- 两节点环（a.Err=b / b.Err=a）⇒ 死循环，打挂当前请求的 goroutine；
- uerr.Err == err 在两侧动态类型相同且不可比较时 ⇒ panic
  （comparing uncomparable type），同样打挂当前请求。

改为唯一终止条件 maxURLCauseDepth=8：超限返回只含 Op 的替身，不返回当前层
（当前层是 *url.Error，Error() 里就是整条地址，不能为防死循环把地址漏回去）。
正常单层/双层路径逐字不变。用例：两节点环 1s 内返回、不可比较类型不 panic、
自引用仍退化成替身、超限路径无 URL 片段、上限内(8 层)仍剥到内层原因。
 2026-10-26 19:01:15 +08:00
AskaEth 5c6f4e50a0 refactor(voice): dashscopeErrorToken 收敛到 trace.ErrorToken 
令牌守卫的最后一处副本：删掉 voice 本地的 dashscopeErrorToken 与
maxErrorTokenBytes，四个调用点（classifyDashscopeStatus 的 code / request_id、
dashscopeOKBodyError 的 code / type）改调 trace.ErrorToken。守卫实现与原先逐字
同形（TrimSpace、64 字节上限、字母数字与 _ . -），因此零语义变化。

同时修掉一处过期注释：原 dashscopeErrorToken 的文档指向「runtime/model 的
safeErrorToken」——那个符号在本切片里已被删除，注释指向不存在的符号会把下一个人
送去空目录。现在注释与调用点都指向 trace.ErrorToken。

顺带补一条变异可打红的用例：已有用例只断言「令牌形状的 code 被保留」（去掉守卫
照样通过，半张网），新用例断言 4xx 的 code 是散文时连 `code=` 这个键都不出现，
而 status=400 与 request_id 仍在。

验收：go build ./... + go vet ./... + go test -count=1
./internal/runtime/multimodal/voice/... 全绿；变异（code 改回不过守卫）⇒
TestDashscopeTTS_Non200DropsFreeTextCode 变红。
 2026-10-26 18:48:01 +08:00
AskaEth 3001fcc716 fix(model): providerUpstreamError 的 error.code 过令牌守卫 
error.code 与 error.type 一样是**自由文本面**：主流上游里是枚举，但网关、代理与
兼容层可以往里塞任何东西（包括回显的用户原文）。M41 已给 type 加了守卫，
providerUpstreamError 的 code 一直原样带出，是这一族里唯一还漏的字段。

守卫本色从 runtime/model（safeErrorToken）与 runtime/multimodal/voice
（dashscopeErrorToken）两份逐字同形的实现上提到 trace.ErrorToken，model 侧改为
调用它（voice 侧仍是自己那份，不在本切片文件面内，见随附 finding）。

唯一的行为变化就是「不像令牌的 code 变空串」：status / type / body 体积与 sha256、
错误文案模板、双 %w 哨兵链（ErrUpstream、trace.ErrUpstream）都不变。

验收：go build ./... + go vet ./... + trace/model 包 test 全绿；新增用例覆盖
「带空格标点的 code 变空串且 status/type 仍在」与「令牌形状的 code 保留」。
 2026-10-26 18:45:38 +08:00
AskaEth 4c187ac070 refactor(trace): 把剥 url.Error 壳的实现收敛成 trace.URLCause 
五处逐字同形的三行（mediafetch.sanitizeErr / httpclient.transportCause /
vision.fetchCause / telegram.callCause / weixin_ilink.urlFreeCause）收敛为
trace 包里的唯一实现，13 个调用点改为直接调用；5 份 body 只剩 1 份，5 个
未导出符号与其文件内注释整份删除（不留薄封装）。

行为等价：只剥 *url.Error、不新增包装，内层哨兵链（context 取消/超时、
*net.DNSError 等）原样透传，因此重试/降级/熔断的分类判据不变。两处刻意的
收紧：
- 逐层剥：内层若还是 *url.Error 也一起剥（只剥一层时内层仍带同一段地址）；
- *url.Error 的 Err 为 nil（或链自引用）时不再回落到原串，退化成只含 Op 的
  替身 —— 那种错误无法在不带地址的前提下原样返回，而地址里就是凭据。

顺带把 httpclient 的 user:pass@ 用例改成变异可打红：net/http 自己在
*url.Error 里就把密码打成 ***，「密码不出现」在剥壳与不剥壳下都成立（空跑），
用户名才是分水岭。

验收：go build ./... + go vet ./... + 指定包 go test -count=1 全绿；
变异验证（把 URLCause 改成透传）⇒ 五处「不含 URL」断言全红。
 2026-10-26 18:45:34 +08:00
AskaEth 6be76f1665 Merge branch 'feat/m42-gatewayhygiene-admin-memory-tier-log' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 14:08:57 +08:00
AskaEth abbd79a3b1 Merge branch 'feat/m43-logupstreamadopt-adopt-reviewed-comm' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 14:02:22 +08:00
AskaEth 3157abcf3c fix(gateway): 日志页脱敏改用「可带上限」变体（4096），摘要侧仍是 80 
塔 2026-10-26 复审裁定：复用 trace.RedactText 让面板日志页每条 msg 都被切到
80 rune，是实质性 UX 回归（日志页就是排障面）。修法不是网关侧另写脱敏，而是
在 trace 包给上限加一个参数。

- trace/redact.go：新增导出 `RedactTextLimited(s, limit)`,语义 = 同一套凭据形状
  清洗 + 按调用方给的上限截断；`RedactText` 改为它的 `maxSummaryRunes`（80）
  调用形态，既有调用方零改动，清洗逻辑仍只有一份（redactSecrets）。
  limit <= 0 = 不截断，留给体积已自己界定的调用方。
- observability_logs.go：新增常量 `maxLogMsgRunes = 4096`（含注释说明为什么不是
  80、也不是无上限：单条日志可能是 %v 的 MiB 级对象，1000 条会撑爆 JSON），
  adminLogOf 改用 `RedactTextLimited(e.Msg, maxLogMsgRunes)`。
- span props / 摘要侧不动，仍是 80（一个要摘要，一个要全文，两边不该被统一）。

测试（均验过变异打红）：
- TestAdminObservabilityLogs_LongLineKeepsFullText：547 rune 的日志行（行首凭据 +
  行尾哨兵）⇒ 凭据打码、末尾哨兵仍在、rune 数只差「凭据→[redacted]」那一处；
  变异（改回 RedactText 80）⇒ 红：拿到 81 rune、末尾哨兵消失。
- TestAdminObservabilityTrace_PropsStayAtSummaryBound：200 rune 的 args_summary
  ⇒ 81 rune（80 + 省略号）；变异（把 maxSummaryRunes 提到 4096）⇒ 红。

验收：go build ./... / go vet ./... 全绿；go test -count=1 -race
./internal/services/gateway/... ./internal/runtime/trace/... 全绿。未 push。
 2026-10-26 13:58:02 +08:00
AskaEth 9e88605cc8 fix(voice): CloneVoice 的 200-with-message 泄漏收口到 dashscopeOKBodyError 
M41 同族的最后一条缺口：HTTP 200 的响应里用顶层 message 报业务失败，而这句话
是上游自由文本 —— create_voice 的 input.url 是参考音频的公开地址（可能是预签名
URL，带凭据），上游报错常把它原样回显。

- ERROR 只留「打到了、但 200 是个业务失败」这个形状事实 + 体积摘要；
  message 原文不进 error，code/type 若真的带回来也只以令牌形态出镜
- errors.Is(err, ErrProviderFailed) 不变（熔断口径不动）
- 用例断言失败仍被识别、且 error 文本里搜不到哨兵正文
 2026-10-26 13:50:10 +08:00
AskaEth 66dda084cd fix(runtime): 上游错误体统一走 trace.UpstreamError，正文不进 error 
M41 的「LLM / embedding / 视觉 上游错误体」一族（M38 #5 #6 #7 #8 #9 #14）：
非 2xx 时把响应体截断后拼进 error，而 error 会被 chat run / loop step /
retrieve_fallback 打日志，等于把她的提问、记忆正文、要念的台词写进日志。

- model：openai/anthropic 两处 upstreamError 收口到 upstream.go 的
  providerUpstreamError；anthropic 流内 error 事件的 evt.Error.Message
  （原本无上限）整段丢弃，只保留令牌形状的 type
- embedding：readErrorBody 删除，改走 helper（input 就是她的记忆正文）
- vision：错误路径不再沿用取图的 50 MiB 上限，改为 4 KiB 有界读且不拼原文
- voice：classifyDashscopeStatus 只解 code/request_id，正文只留在内存里做
  分类判据；错误体读取同样改为 4 KiB 有界
- 测试：五个上游各一条「日志/error 里搜不到哨兵正文」用例，且能变异打红
 2026-10-26 13:44:32 +08:00
AskaEth a697fa0a1e Merge branch 'feat/m35-ttsemo-emotiontts-provider-with-emot' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 13:44:00 +08:00
AskaEth 48b3dae5ed Merge branch 'feat/m37-memtier-retention-tier-column-and-de' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 13:42:20 +08:00
AskaEth b90811fae4 docs(voice): 收口「没会话/没绑定就走 default」的镜像注释（r4） 
唯一 finding：audio.go 的 speechRequest.SessionID 注释原本写「省略它时本口没有会话
概念 ⇒ 走 emotionTTS 的 default 分支」——**反了**。真实链路是
effectivePersona(ctx,"") → sessionPersona("") 为空**不是终点** → Effective =
defaultPersonaID() → 常规安装必有全局默认人格 ⇒ personaId 非空 ⇒ 走 personas 映射。
照那句话改的人会写出 `if req.SessionID == "" { personaID = "" }`，正是 r2 修掉的病。
改为：省略时按**全局默认人格**选发音人（会话绑定 → 全局默认人格 → 两者都没有才落到
default 字符），并显式写了"不要写成 if SessionID == \"\" { personaID = \"\" }"。

顺手同根三处（不留第四轮）：
- tts/config.go 的 Config.Default 注释：成因表「会话无绑定 / 读取失败 / 该出口本身
  没有会话」已过时 ⇒ 改为「空串的唯一合法成因是连全局默认人格都没有」，并写明不是
  "会话未绑定"、也不是"出站口没有会话"。
- runtimeconfig/voicetts.go 的 Default 字段注释与文件头同族措辞同步；
- selection.go 的 WithPersonaID / Resolve 分支表、service.go 的分支小标把
  「解析不到」统一改成「连全局默认人格都没有」；
- voice_emotiontts_test.go 的 TestSpeechEndpointNoSessionUsesDefault 注释同步（该用例
  没接人格库，所以确实落到 default —— 但成因写对了）；
- wire_voice_tts_test.go nit：改成「已废弃的全局 `character` 不生效」（墓碑键仍在）。

纯注释：`git diff` 里非注释改动行为空。go build/vet 通过；四包 go test -count=1 全绿。
 2026-10-26 13:40:00 +08:00
AskaEth 066319f9c6 fix(memory): 复审 r2 返工 —— 真实「记住 X」路径钉 long，断言改为能打红 
复审 r2 = p2-2items 全在「RememberManual 钉 long」那半，两条指向同一件事：
**我以为修好的人工路径实际没修**。逐条：

P2-1 上一版断言是**空断言**：夹具正文「记住她喜欢喝咖啡」含「记住」⇒
extract_retention.go 的护栏① 直接放行 ⇒ 默认落点本来就是 long，因此删掉
store.go 的 pin 仍然绿。
  → extract_test.go 的 TestStore_RememberManual_正常 改为一对语料：
    「我正在测通道」（N7，规则真会判 temp）+「记住她喜欢喝咖啡」（正文保留契约），
    并同时断言档位、`ExpiresAt` 零值、以及**落库列** `(retention_tier, expires_at)`。

P2-2 pin 钉在零生产调用方的方法上：真实路径是 ManualExtractor.Extract（无可用
LLM 出口时的生产回退）→ persistMemories → AddScoped → Add，而 rememberDirective
**先剥掉「记住」前缀** ⇒ 护栏① 永远看不到它。改前实测：记住今天下雨了→temp/n6、
记住我正在测通道→temp/n7、记住现在几点了→temp/n4（均 +7 天）。
  → extract.go 的 ManualExtractor.Extract 在**产出侧**显式置
    `RetentionTier: RetentionLong`（并在注释里写清「不能靠护栏①」的原因）。
    store.go 的 RememberManual pin 保留（两条独立的契约点）。
  → 新增 TestManualExtractorItemsStayLongTerm：四条正文过 Extract →
    复刻 persistMemories 的溯源覆盖 → AddScoped 落库 → 断言**落库列**
    `(long, 空串)`。

**变异证据（删掉两处 pin 后实测）**：
  --- FAIL: TestManualExtractorItemsStayLongTerm
      extract_test.go:167: 「记住今天下雨了」全链落库 =
        (tier="temp", expires_at="2026-11-02T05:34:20.844624200Z"), want (long, 空串)
  --- FAIL: TestStore_RememberManual_正常
      extract_test.go:99: RememberManual("我正在测通道") 的档位 = "temp", want "long"
恢复 pin 后两条均 PASS。

回归：go build ./... + go vet ./... + go test -count=1 ./internal/runtime/memory/...
./internal/db/... ./cmd/cyrene/ 全绿；go test -race ./internal/runtime/memory/ 绿。
 2026-10-26 13:36:15 +08:00
AskaEth 1c2944fcf4 docs(voice): 收回 r2 修掉的旧语义注释 + 让关闭态变异真能打红（r3 P2-1/P2-2） 
P2-1（两处注释在描述已被推翻的旧语义，会把 r2 的修复写回去）：
- voice.go 的 voiceReplySink 文档：原写「personaID = env.PersonaID，会话无绑定时为空」
  ⇒ 实际传的是 turnPersona.Effective，**未绑定 ≠ 空**（有全局默认人格时非空）。
  改为写明「生效人格（会话绑定 → 全局默认人格；两者都没有才是空）」，并显式指出
  它不是 env.PersonaID、把空当"没有角色"会让主会话落到 default（正是 r2 修掉的）。
- voice.go 的 synthesizeVoiceReply：原写「空 personaID = 会话无绑定 ⇒ 走 default」
  ⇒ 反了。改为「空 = 连全局默认人格都没有 ⇒ 才走 voice-tts.json 的 default」。
- 同族 format 残留措辞：client_test.go 的「非法格式的回落」（该行为已不存在）、
  cmd/cyrene/wire_voice_tts_test.go 的「角色/格式/超时按文件来」都改写。
- nit：voice.go 的 `env, turnPersona := ...` 遮蔽同包类型名，改成 `tp`。

P2-2（我上轮那条「摘掉 PrimaryActive 闸 ⇒ 用例红」不成立，复审实测仍绿）：
根因是 audioStubVoice 不实现 PrimaryActive，拦住 persona 读取的只有类型断言。
按塔选的第二种收口（把测试做强）：
- audioStubVoice 补 `PrimaryActive() bool { return true }`（它是"生效中的 persona
  voice"替身），并在注释里说明它存在的理由；
- 关闭态用例改用新替身 inactivePersonaVoice（实现 personaVoice 但报 false），
  于是 PrimaryActive 成为关闭态唯一的闸；
- 重跑变异（摘掉 `&& pv.PrimaryActive()`）**实测打红**：
  「未生效的 personaVoice 却查了 1 次会话人格（关闭态行为变了）」。

未动：功能面、错误码、500 状态码、白名单、session 可读、隐私/format/Stats/redactURL。
go build ./... + go vet ./... + go test -count=1 -race 覆盖 tts/runtimeconfig/gateway/
cmd/cyrene 全绿。
 2026-10-26 13:32:04 +08:00
AskaEth 542bac677d fix(trace): UpstreamError 默认不带 error.message，要带必须显式 opt-in 
复审 P2 收口。上一条留的漏法（不是理论，是构造得出的）：
`{"error":{"code":"invalid_request_error","message":"Invalid value: <用户原文>"}}`
—— 默认保留前 128 rune，那 128 rune 就会**原样**进 error 与日志。此前的用例只钉了
input/echo 这类 sibling 字段，没钉到 message 这一面；而 M41（embedding input 是她的
记忆正文、DashScope TTS input 是她要念的话）与 M42（渠道响应体）都把这个 helper 当
模板，默认带 message 等于把洞复制到十几处。

改法（默认安全，放宽必须写出来）：

- `UpstreamError(upstream, status, contentType, body, opts ...UpstreamOption)`：
  最常用的四参调用**天然是最安全的那个**；默认只留 Upstream/Status/ContentType/
  BodyLen/BodySHA256/Code/Type；
- 新增 `WithUpstreamMessage()` 作为显式开关：带 message 时**必须**过 RedactText
  （凭据形状打码 + 压平空白）再截到 maxUpstreamMessageRunes，并在注释里写明
  「只有在你确认该上游不会回显用户内容时才可用」；
- 文件头写清取舍：**宁可少一条人话提示，也不让她的原话进日志**；排障靠
  status + code + type + bodyLen + sha256 通常足够分类（400 还是 429、是
  model_not_found 还是 context_length_exceeded、是不是同一份报文），细节要看时
  报文在调用点上下文里还在。

测试（可变异打红）：
- 新增 TestUpstreamError_DefaultDropsMessage：message 里塞哨兵的 400 ⇒ 默认构造下
  error 与 slog 输出都搜不到哨兵，Message 为空，而 status/code/type/bodyLen/sha256
  仍可辨；Attrs() 也不旁路带出；
- 新增 TestUpstreamError_OptInMessageIsSanitized：opt-in 后 message 被截到 128 rune
  且凭据被打码（超长 + 带 token 的 message）；
- 既有 TestUpstreamError_DropsEchoedBody 补一条「默认 Message 为空」；
- 变异验证：把默认构造改回带 message ⇒ 前两条变红；让 opt-in 跳过 RedactText ⇒
  opt-in 那条变红。

回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿（backthink 的两条
2s 定时用例在满并发下偶发超时，单元重跑与整仓重跑均绿，与本改动无关：该包不引用
trace）；trace 包另跑 -race 绿。只动 upstream.go 与其测试，白名单/session/loop/
orchestration 未动。
 2026-10-26 13:31:11 +08:00
AskaEth 765ef167bd fix(memory): 复审 p2 返工 —— SQL 空串字面量、两处过期注释、人工路径档位 
复审 p2-1items（tip cc6904b）要求的三处，逐条：

1) SQL 双引号改单引号（唯一返工项）：
   - preinsert_store.go 的 revertMergedSQL：`merged_into = ""` → `''`。今天功能等价，
     但靠的是 SQLite「双引号标识符解析不到 ⇒ 回退成字符串字面量」的 legacy 行为；
     这是一条**改数据**的语句，还被 RevertMerged 与整理侧回滚共用，不该依赖回退。
   - retention_migration_test.go 的 `WHERE retention_tier = ""` 一并统一成 `''`，
     并在原位留下「为什么」。
2) 两处过期注释：
   - retention_schema.go：「反过来（先自举、后迁移）也成立」是**假结论**，改为
     「生产顺序成立；反向顺序在 0019 处即失败（duplicate column name: status，既有问题）」。
   - store.go 的 ExpiresAt：「本字段目前只写不读」已半过期（Add 现在会把最终落库
     时刻回填到返回值），改成「读回语义是半开的」：Add 返回的条目有值，从库里读回的
     恒为零值。
3) 人工路径（塔裁定「人工动作默认应为 long」）：包内的 `RememberManual`（「记住 X」）
   显式钉 `RetentionTier = long`，留存规则因此不许把人工明确要求记住的东西降成临时层
   （extract_test.go 加断言）。面板网关那条（adminAddMemory 直调 Add、不传档位）
   按塔的口径不在本片、留给后续切片 —— 本片对它的唯一影响见回报。

不动（按塔的裁定）：preinsert.go 514 行（dev 既有 tech debt）、
design/03 §10.5 与 design/23 §18 的章节（塔的账）、gateway 人工路径。

回归：go build ./... + go vet ./... + go test -count=1 ./internal/runtime/memory/... ./internal/db/...
全绿，内存包 -race 亦绿。
 2026-10-26 13:24:35 +08:00
AskaEth e684061e56 fix(voice): 主/子系统会话的发音人跟「生效人格」走（r2 P2-1）+ 错误码可区分 
P2-1（实质）：主会话（web）的 persona_id 恒为空且无重绑路径，而"空"的真实语义是
「继承全局默认人格」（loop/persona.go 回退 Options.PersonaID；前端 lib/persona.ts 的
bound ?? defaultPersona(personas) 是同一口径）。此前只有 TTS 把空读成"没有生效人格"
⇒ 落到 voice-tts.json 的 default：主会话聊天是 furina、声音却是 default 那个人，
换全局人格后也不跟声 —— 正是主人抱怨的那件事，且发生在唯一能给普通聊天出声的路径。

修法：
- turnEnvResolver 新增 resolvePersona/effectivePersona（绑定 → 全局默认人格 → ""），
  默认人格扫描抽成 defaultPersonaIDFrom 一处（*Server.defaultPersonaID 转调它）；
- ownerWithPersona 复用**同一次**会话读取同时给出 loop 用的 binding 与呈现用的
  effective —— WS 语音回合为选音色不新增任何 I/O；
- REST：现有闸内改用 effectivePersona；WS：voice.go 那次 env 解析处取一次传给 sink。
因此 `default` 只剩"连默认人格都没有"这一种用途。
- service.go 那句"换人格后用老角色声音不可能发生"收回为限定说法：本包无缓存、无兜底
  角色、未映射即拒绝，但**调用方必须传生效人格**（网关两处已修）。

回归锁：voice_persona_inherit_test.go 复现复审用例（名字不同、两条口各一条）——
未绑定会话 + 全局默认 furina + default 指向 cyrene ⇒ 必须用 furina 的声音；
变异（effectivePersona 退回「空 = 无」）实测两条都红，报文与复审一致。

建议 3（顺手做）：persona 未映射时状态码仍 500（服务端配置缺失），但错误码换成
tts_persona_unmapped / tts_no_character，不再与一般合成失败混成一个码；
用例 TestSpeechEndpointPersonaUnmappedErrorCode 钉住。

P2-2（nit）：voicetts.go 开头删掉「格式、」两字（该键已删除）。

go build ./... + go vet ./... + go test（含 -race）全绿。
 2026-10-26 13:21:44 +08:00
AskaEth 6d0df6a825 fix(trace): 白名单放行 session —— 归属标识可读，正文边界不动 
主人 2026-10-26 裁定：session 是**业务标识**，不是正文。它是排障时把一条 stderr
日志对回某个会话的唯一线索；而 /admin/flow/graph 本来就按会话返回、连 sessionId
都给了，图里多一个 session 不构成新的暴露。因此把 session 加进共享白名单
（safePropKeys，走 redactValue 的普通清洗），不再被写侧折成 Digest。

「不放宽白名单」仍是原则：本次只放行这一个键，正文的边界一个字没动 ——

- trace 侧新增 TestJSONRecorder_KeepsSessionReadableDropsBody，**一条用例同时钉
  两件相反的事**：JSONL 里 `"session":"web#lane-2"` 原文可读；同一 span 里的
  result / text 哨兵正文仍然搜不到，且只在 omitted 里留下体积与指纹。
- loop 侧真循环用例补一句断言：落盘里 `"session":"sess"` 可读，而工具结果哨兵
  同时仍不可见。
- 变异验证：把 session 从白名单摘掉，上述两处都会变红（session 落到 omitted）。

回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。
 2026-10-26 13:20:45 +08:00
AskaEth 003d12a712 feat(trace): M40 span 写侧脱敏 + 共享上游错误收敛 helper 
stderr 的 JSONL 是无主人在场的落盘面，却在此前原样落工具结果（result）、
子代理回复（text/summary）与上游报文，等于一次 tail 就能拷走整段对话。
本切片交付两件地基：

1) 写侧脱敏（trace.JSONRecorder）
   - 新增 trace/span_props.go：safePropKeys 白名单与 projectSpanProps 投影，
     读侧（safeSpanProps）与写侧共用同一张表、同一个投影函数；
   - WriteSpan 落盘前经 trace.SanitizeRecord 投影：白名单键清洗，表外键只留
     Digest（bytes/runes/sha256 前缀，收进 omitted），事件先 RedactEvent 再把
     正文键折成 Digest。落到磁盘的只有元数据，正文一个字节都不留；
   - 新增 trace/digest.go：Digest/DigestOf/DigestOfValue，给「脱敏后仍要能诊断」
     一个构造上不含正文的取值形态（体积 + 指纹），两条投影都按类型放行它。

2) 共享上游错误体收敛 helper（给 M41/M42，禁止三家各写一份）
   - trace.UpstreamError(upstream, status, contentType, body)：只保留 status /
     contentType / bodyLen / body sha256 前缀 / 上游 JSON 的 error.code /
     error.type / 截断 128 rune 的 error.message，其余一律丢弃，响应体原文绝不
     进 error 或日志；*UpstreamErrorInfo 提供 Error()/Attrs()/Unwrap()（errors.Is
     可判 ErrUpstream 走降级链）；
   - trace.HostOf / trace.MaskQuery：日志里的 URL 只回来源，凭据类 query 与
     fragment 值打码为 ***，user:pass@ 整段打码。

3) 剥掉三处正文上 span
   - loop：tool span 不再放 result，改放 result_summary（与 tool_execution.end
     帧同源、已脱敏截断）与 result_digest；
   - orchestration：subagent span 不再放 text，subagent.done 事件不再放 summary，
     改记 status/steps/chars/sha256；
   - automations：AddRuleByName 不再 %v 整个 payload，改记 subject/type/bytes/sha256。

测试：以哨兵正文在落盘字节上断言（JSONL / slog 输出），并分别对「编排层收到的
原始 span」与「写侧投影」两层各钉一遍；UpstreamError 用回显 input 的 422 报文
与 HTML 错误页各钉一条；解析出/未解析出 JSON 都不回原文。以上均做过变异验证
（去掉保护即变红）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。
 2026-10-26 13:17:42 +08:00
AskaEth cc6904b1b4 feat(memory): retention_tier 档位列 + defer 与档位合并为同一判定（M37） 
主人 2026-10-26 对「记忆分型」裁定「两列」：kind（关于什么）保留，新增
retention_tier（留多久 / 干什么用）。本片把这条轴从列、判定、写入、读侧过滤
一路打通，并把「判第五态 defer」与「判 retention_tier=temp」合并成一个判定。

结构（迁移 0026 + 自举前滚）：
- memory_items 新增 retention_tier TEXT NOT NULL DEFAULT ''（空串 = 尚未分型，
  历史行与受限来源行），索引 idx_memory_items_retention_tier；up/down 均实跑过
  （在隔离的生产库副本上 migrate → 建 Store → down → 再 up，5073 行零丢失）。
- NewStore 幂等前滚该列 + 建索引（ensureRetentionSchema），与迁移同形由测试钉住。

判定（retention.go，全仓唯一入口）：
- RetentionTier 闭集 temp/daily/work/long/knowledge + 空串未分型；与 kind 正交。
- resolveRetention 的优先级：调用方显式档位 > 显式有效期（⇒ temp）> 受限来源
  不分型 > 留存规则 N1~N7 ⇒ temp > 默认 long。判据靠元数据，规则不许推翻显式档位。
- tempDeadline 是「档位 → expires_at」的唯一换算：temp ⇔ 有效期非空，两列同一笔
  INSERT 落下（M2 登记过的「INSERT 与补写之间的短窗口」就此关闭）。

合并（defer ⇔ temp）：
- judgeIngest 不再跑留存规则，只读 Add 落定的 item.RetentionTier；规则调用点因此
  全仓唯一（源码级断言钉住）。
- 判定不再依赖同步闸是否开启：闸未接/关着时档位与有效期照样落库。
- 异步层对已是 temp 的行不重复改写（避免 TTL 随审查延迟漂移）。
- IngestRuleVersion d3.3 → d3.4（判据作用范围变了，按既有硬规矩升版）。

读侧：
- 四条列表读路径的 SELECT 与 scanItem 读出 retention_tier（14 列）；Get 同样读回。
- 新增 ListByPersonaTiers / ListScopeTiers / ListTiers / ListProjectTiers（可选档位
  过滤，缺省不过滤 ⇒ 历史行照常返回；显式传空串只取未分型；非法档位报错）。
  原方法签名逐字不变 —— 网关 MemoryStore 接口钉着它们，可变参数会编译不过。
- store.go 的读路径拆到 store_list.go，守 500 行上限。

回归：go build ./... + go vet ./... + go test ./... 全绿（内存包另有 -race）。
 2026-10-26 13:09:30 +08:00
AskaEth 8820b0b316 fix(voice): 修 r1 复审四条（正文进日志的隐私泄漏 / format 假开关 / Stats 无消费者 / redactURL 兜底） 
上一版把 r1 的三条 finding 静默漏了（我在交付前没读 inbox），本提交逐条补齐：

1. 🔴 隐私：upstreamStatus 不再读也不记响应体
   FastAPI 的 422 会把请求体里的 input 整段回显，原来「错误体前 512 字节进 WARN」
   等于把她的原话写进日志。现在只记 status / content_type / response_bytes
   （字节数优先取 Content-Length，缺失时有界排空取上界，读到即丢）。
   新用例 TestSpeechRejectLogOmitsRequestText 用**回显正文**的假上游抓它；
   变异（把 body 塞回 WARN）实测打红。

2. format 键彻底删除（假开关）
   上游只拿 response_format 改自报 media_type，产物恒 .wav 无转码，我方只按字节
   嗅探裁决 ⇒ wav/mp3/ogg 交付字节与响应头完全相同。删 tts.Config.Format 与
   VoiceTTSTuning.Format，encodeSpeech 硬编码 requestFormat="wav"（不可配置）。
   用例钉住请求体恒为 wav；变异（改成 mp3）打红。旧文件里残留的 format 键被忽略。

3. Stats 接进 degrade 的 WARN（attempts/failures）
   否则统计在生产日志里没有消费者。TestServiceDegradeLogsCounters 钉住；
   变异（去掉两个字段）打红。

4. redactURL 兜底含 "@" 整体打码
   解析失败/无 host 时原来原样返回，user:pass@ 会漏凭据。TestRedactURLCredentials
   覆盖合法 URL 去 userinfo、非法含 @ 打码；变异（退回原样返回）打红。

另：关闭态零行为变化的**当前 tip 重跑**——
- handleSpeech 的 persona 解析改为只在语音服务实现 personaVoice 且 PrimaryActive
  时才查库；未接 emotionTTS（既有链/stub）时零额外 I/O、ctx 不改、音频字节相同。
  用例 TestSpeechEndpointDisabledVoiceDoesNotReadPersona（含对照组证明闸不是恒关）；
  变异（去掉闸）打红。
- voice.go 在 dev 基线里本就有 env.PersonaID 解析（无人格解析新增 I/O），本次未改。

Config.Normalized 去掉未使用的 logger 参数。go build/vet/test（含 -race）全绿；
真机 live 复测：cyrene 264104 B、furina 221194 B。
 2026-10-26 13:06:39 +08:00
AskaEth efc25c6a7f feat(voice): emotionTTS 发音人绑定会话人格（不再全局定死一个 character） 
主人 2026-10-26 逐字：「TTS 的人物选择是要绑定后端的角色的，不然会出现以后换了
别的角色(人格配置)，还是用老角色的 TTS 角色」——上一版把 character 写在面板文件
里当全局值，换人格后声音不变，是真缺陷。

配置形状（单一真源 = $DATA_DIR/config/voice-tts.json）：
  {"enabled":true,
   "personas":{"<personaId>":"<characterId>"},
   "default":"<characterId>",   // 只服务「解析不到 personaId」
   "format":"wav","timeoutSec":60}
- 旧的全局 `character` 键**废弃并被忽略**（启动 WARN 提示改用 personas）；
  Config.Normalized 不给任何角色兜底（代码里写死默认角色=病害本身）；
- configs/personas/*.yaml 不参与（塔裁定：避免启动期静态配置与面板两处漂移）；
- 零新 .env 键。

选角四条分支（Config.Resolve，纯函数、无缓存）：
  ① persona 有映射 ⇒ 用它；
  ② personaId 为空/解析不到 + 配了 default ⇒ 用 default；
  ③ personaId 为空 + 没配 default ⇒ 不合成（ErrNoCharacter，上游 0 请求）；
  ④ persona 无映射（含映射值为空）⇒ 拒绝（ErrPersonaUnmapped），
     **绝不**拿 default 或别的角色顶 —— 主人担心的病害本身。

两条既有出站口各自按当次请求解析 persona（不在 SetVoice 时算一次缓存成全局）：
- WS voice_output：用本回合的 env.PersonaID（runVoiceTurn/runVoiceTurnDirect），
  经 voiceReplySink 传给 synthesizeVoiceReply，再 WithPersonaID 交给语音面；
- POST /api/v1/audio/speech：请求体新增**可选** sessionId（纯增量），
  经 turnEnvResolver.sessionPersona 解析；省略 ⇒ 走 default 分支。

Client.Speech 改为**每次传入 character**（内部不缓存发音人）；Provider 适配同样按
ctx 的 personaId 现算。选不到发音人时**不回落既有链**（回落=用另一个声音说话），
上游拒绝(404/500)仍按既有口径回落既有链+WARN。

测试：四条分支各自可变异打红，断言打在「上游请求体里的 voice」与帧/响应字节上；
含「同一进程先后两个 persona，第二次绝不沿用第一次 voice」的回归锁，
以及两条出站口的端到端 persona 切换。四条变异（未映射回落 default / 客户端缓存
voice / REST 不看会话 / 选不到时回落底链）均已实测打红后还原。
go build ./... / go vet ./... / go test -race 全绿；真机 live 证据：
cyrene(char_84fb88a3)=254630 B、furina(char_5314489e)=213392 B。
 2026-10-26 12:57:35 +08:00
AskaEth 3a2711a7e0 feat(voice): emotionTTS 接成一级发音人（UTF-8 请求体 + 失败回落既有链） 
侦察结论（真机 + 上游源码）：
- POST /api/analyze_emotion ⇒ {primary,complex,intensity}；primary 闭集
  实测 平/喜/惊/哀/怒/厌/惧/急，intensity ∈ Low/Medium/High。
- POST /api/synthesize 收 emo_vector(float[])+emo_alpha，但还要 ref_audio_filename
  且只回 {"audio_url"}（服务端落盘），不适合做运行时直出。
- POST /v1/audio/speech 内部先 LLM 分析情绪 + 匹配参考音，再把情绪向量以
  [EMO:{vector}|{alpha}]base64:... 注入 voice 交给 indexTTS2 ⇒ **情绪确实影响
  语气，但由服务端从待念文本自推**，我方没有可映射的参数。
- 上游把下游载荷的 speed 硬编码 1.0（core/utils/llm_provider.py），客户端
  speed 是空转 ⇒ 本切片不暴露 speed，也不暴露 emotion/tone（不造假开关）。

实现：
- internal/runtime/voice/tts：Client（唯一 HTTP 出口，json.Encoder 产出 UTF-8
  请求体、超时/非 200/非音频/超限各自可分类）+ 字节嗅探庭裁 + Service（emotionTTS
  在前、失败回落既有链，永不上抛成回复失败）+ Provider 适配（可作链的一级）。
- internal/config/runtimeconfig/voicetts.go：$DATA_DIR/config/voice-tts.json
  （enabled/baseUrl/character/format/timeoutSec），零新 .env 键。
- cmd/cyrene/wire_voice_tts.go + wireFrontend 的唯一注入点：两条既有出站口
  （POST /api/v1/audio/speech 与 WS voice_output）同时用上；不新建端点/帧族。
- 严守 voice 入站闭集（不扩 Source/Status），出站音频不挂 voice DTO（塔裁决 B）。

测试：中文 UTF-8 请求体、非 200、超时、非音频、超限、未启用、空文本、嗅探表、
降级回落、未启用透传、两条出站口的字节级实测、面板配置解析、组合根映射；
三条变异（去中文 / 嗅探恒真 / 去掉回落）各自打红。真机 live 用例（build tag
emotiontts_live）实测 278,036 字节 WAV。
 2026-10-26 12:46:57 +08:00
AskaEth 01aff71bc1 fix(memory): dedupe_group 数值门改三态（归一后同值可合 / 同量纲不同值冲突 / 量纲不可比保守拒），修 r3 复审两项 
r3 复审指出我第一版中文数字门两个方向都反了（规格本身被复审自己收回重写）：

- 项 2（过严）：归一后**同值**、中文与 ASCII 混写的两条合不了
  （`一小时` vs `60 分钟`、`十五分钟` vs `15 分钟`）。根因是判定仍以 `sameNumbers`
  （只抽 ASCII token）为闸：`{}` vs `{60}` 不等 ⇒ 直接否决，归一化没机会生效。
- 项 3（过松）：**量纲不可比**（`一小时` vs `一杯`）被当成"不算冲突"⇒ 会合并，
  与「比不了单位就不许合并」相反。

修法：数值门从「布尔冲突」改成**三态**，并取代 `sameNumbers` 作为 dedupe 的数值判据：

| 结果 | 含义 | 合并 |
|---|---|---|
| tidyNumberSame | 归一后同值（含中英混写、单位换算：一小时 ≡ 60 分钟） | ✅ |
| tidyNumberConflict | 同量纲、值不相等（含单位不可互换：两杯 vs 三瓶） | ❌ |
| tidyNumberIncomparable | 量纲不可比 / 存活行没有同量纲数量可比（一小时 vs 一杯） | ❌ 保守拒绝 |

配套：
- 数量抽取同时支持 **ASCII 与中文数字 + 单位**（`60 分钟` / `15分钟` / `十五分钟` /
  `半个小时` / `一万两千行`），并新增 `字符`/`字节` 两个文字量单位；
- **裸数字 token（无单位）**仍按 `sameNumbers` 的集合相等口径判（`0023` vs `0024`
  这类靠它拦住），并有 parity 用例钉住「与 extractTidyFacts 的 nums 逐项一致」；
- 三态里 `incomparable` 只**收紧**，不放宽任何既有门；`sameNumbers` 函数本身未改
  （judgePair/judgeIngest 共用，另处 blast radius，已登记建议）。

回归用例（三态各一条 + 修前红/修后绿，均实测）：
- TestDedupeGroupNumberGateThreeStates 四个子用例（两条同值含混写、同量纲不同值、量纲不可比），
  同时断言判定与簇结果；
  · 变异 = 退回 `sameNumbers`（项 2 旧行为）⇒ 两条「同值」子用例红；
  · 变异 = 不可比当放行（项 3 旧行为）⇒ 「量纲不可比」子用例红。
- TestDedupeGroupRejectsConflictingChineseNumbers / RejectsNonConvertibleUnits /
  SameChineseNumberStillMerges（r2 三项保持绿）+ TestTidyQuantitiesNumberParsing +
  TestScanTidyNumbersBareTokensMatchExistingFactNums（裸 token 口径不变）。

语料实测（生产库只读 mode=ro，active 3667，999 对已过否定/取值/相似度门的成员对）：
三态分布 same=942 / conflict=25 / incomparable=32；dedupe 产出
`250 簇/495 行` → **248 簇/489 行（13.3%）**。incomparable 那 32 对是「四行歌词 vs
一段歌词」「一个项目进度代号 vs 项目进度代号为「w49」」这类：按「比不了就不许合并」
一律拒绝，聚合上只少减 6 行（簇成员互有重叠）。

验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
 2026-10-25 00:49:44 +08:00
AskaEth 7700a7eda0 fix(memory): dedupe_group 补中文数字门（量纲/单位归一），修 r2 复审 p2 
r2 复审 p2：`sameNumbers` 只抽 ASCII 数字 token，而本语料的数字主要写成中文
（一小时 / 十五分钟 / 第二杯 / 三千次轮回）⇒「午睡一小时 vs 十五分钟」
「咖啡不续第二杯 vs 不超过一杯」这类**数值冲突**被当成同一事实合并。

修法（新文件 internal/runtime/memory/tidy_dedupe_numbers.go）：
- 抽出「**中文数字 + 单位**」对（一~九/两/半/十/百/千/万，含十五、二十四、一万两千、
  半个小时），按**量纲归一**后比较：时间=秒（分钟 60 / 小时 3600 / 天 86400 /
  周 604800 / 个月 2592000 / 年 31536000）、长度=米、文字量=个、计数=个；
- 只认**后面紧跟已知单位**的数字：`一起 / 一直 / 一些 / 一样 / 第二天（序数位置）`
  这类含数字的习语一律不产生数量 —— 不做成「有中文数字就不合并」；
- 判据是**冲突**而非差异：存活行在同量纲里没有对应数量 ⇒ 不算冲突（被吸收行多出
  的细节）；等值（含单位换算后等值，如「半小时」=1800 秒）⇒ 照常合并；
  值不等且单位换算不到一起 ⇒ 按冲突处理（复审口径：宁可不合并）；
- 只**增加否决**，不放宽任何既有门；ASCII 路径仍由 sameNumbers 先判，一字未动；
  `sameNumbers` 本身也未改（judgePair/judgeIngest 共用它，属于另一处 blast radius，
  已在回报里登记为后续建议）。

语料实测（生产库只读 mode=ro，active 3667）：999 对里中文数字门挡掉 **17 对**，
其中真冲突：午睡十五分钟 vs 一小时 ×3、咖啡一杯 vs 第二杯 ×4、
「三千次轮回」vs「三千万次轮回」×1（ASCII 路径完全看不见这条）；
其余 9 对是「单位不可换算」的保守拒绝（半碗 vs 一个包/一杯、一次 vs 两圈）。
dedupe 产出 255 簇/505 行 → **250 簇/495 行（13.5%）**。

回归用例（去掉这道门即红，已实测）：
- TestDedupeGroupRejectsConflictingChineseNumbers（复审给的两对真实语料，脱敏保留原意）
- TestDedupeGroupRejectsNonConvertibleUnits（两杯 vs 三瓶 ⇒ 保守不合并）
- TestDedupeGroupSameChineseNumberStillMerges（同值/换算后同值 ⇒ 照常合并，门没退化成「有数字就不合」）
- TestTidyQuantitiesChineseNumerals（解析口径：一小时=3600s、十五分钟=900s、半小时=1800s、
  一万两千行=12000、第二天/一起/一直 不产生数量）

验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
 2026-10-25 00:41:16 +08:00
AskaEth 54e32304f2 fix(memory): dedupe_group 补取值门 + 临时层双击复核；闸补 3 类长期事实安全阀（M34 r1 复审） 
r1 复审 p1-1（会毁数据）：tag_set 簇的安全门只有数值与否定，**专有名词/引号取值不比**，
生产语料实测把 `用户的昵称是「叶酱」。` 并进 `主人的昵称是「喵喵七号」…` 的存活行，
而同库另有 4 行写着「喵喵七号已作废、应称叶酱」⇒ 一次 apply 丢掉当前事实。
修法（结构性，不是补丁）：
- 新增取值门 tidy_dedupe_values.go：被吸收行的**引号取值**（「」『』“”‘’"）与
  **拉丁 token**（≥2 字母，含 h3R3 这类混排）必须在存活行正文中一个不少；
  方向单向（被吸收 ⊆ 存活），与软合并语义同向（存活行多出的取值不会丢）。
  补齐 design/23 §5.1-3 要求的「专有名词 / 数值 / 否定词」三件套里缺的第一件。
- tag_set 簇也过相似度下限（dedupeGroupMinSimilarity 两档统一）。取值 0.10 而非更高：
  语料实测 tag_set 合法改写（`用户可能需要提醒吃早饭…` 0.047、`叶酱有工作…` 0.109）
  的余弦本来就在 0.05~0.4 —— 抬高它只会删掉合法去重，不会多挡住危险对。
  实测（503 对）：0.10→保留 98%、0.20→86%、0.30→63%、0.40→40%、0.50→20%。
- 回归用例：TestDedupeGroupRejectsSameTagDifferentValue（脱敏真实语料 + 同值对照组）、
  TestDedupeGroupLatinTokenIsAlsoAValue、TestDedupeGroupNeverLosesAValue（簇级不变式）、
  TestDedupeGroupTagSetAlsoNeedsSimilarityFloor。去掉取值门 ⇒ 前三条红；把 tag 相似度
  归零 ⇒ 第四条红。

r1 复审 p2-1（数据安全）：元信息查询失败时**该分区本轮不分簇**（旧实现降级成 nil map，
`temporary` 恒 false ⇒ 绕开「临时行绝不进簇」红线）；apply 侧补 `expires_at` 复核
（候选久置/生成后变临时 ⇒ 整簇 skip，tidySkipTemporaryRow）。用例：
TestDedupeInPartitionSkipsWhenMetaUnavailable、TestTidyApplyDedupeGroupSkipsTemporaryRows。

r1 复审 p2-2（闸误杀被低报）：补三类安全阀 ——「以后/从此/往后/今后」= 自此刻起永久成立、
「换成/变成/改成/搬进」= 状态已改变且新状态持续、N7 的进行中标记同样必须句首 12 字内；
「宿舍」进长期事实词表；顺手修 `<=` 的 off-by-one（改为 `<`）。

实测（生产库只读 mode=ro，active 3667）：
- dedupe：281 簇/594 行 → **255 簇/505 行（13.8%）**；tag_set 240 / prefix12 15；
  取值门挡 76 对、相似度门挡 12 对；簇大小 2:155 3:48 4:26 5:8 6:7 7:4 8:2 9:2 18:1 20:2
  （两个 20 行簇与 18 行簇的取值集合均为单一「喵喵七号」⇒ 大簇=同一事实的重写）。
- 闸：改前 2 (0.05%) → 改后 **75 (2.05%)**（n6 53 / n7 20 / n1 2）；含锚点词的 27 条
  逐条人读均为「约定明天中午见 / 下周留个午后」类到期即失效的安排。
- 达标代价：+目前/现在 当锚点 → 2.13%；再叠一次性事件动词表（曾/发来/分享…）→ 6.74%
  且新增 172 条里 56 条是长期身份/里程碑（「i love you 文件」17 条、「海报就是助手本人」
  10 条…）⇒ 仍到不了 8%，不许为凑区间放宽。

验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。
 2026-10-25 00:29:02 +08:00
AskaEth 6a3f3a329a feat(memory): dedupe_group 候选动作 + 留存闸组合口径与 N6/N7 时点规则（M34） 
M27 体检（DevDocs/audit/记忆库价值体检-2026-10-24.md）两条根治项：

1) 新增 `dedupe_group` 候选动作（不放大 containNone）：
   - 簇只认「同 scope+kind+完全相同 tag 集」或「同 scope+kind+前 12 字相同」
     （后者附加词项余弦 ≥0.70 与同 kind 收窄）；
   - 每簇保留超集：内容最长 > merge_count 大 > created_at 早 > id；
   - 安全门与既有合并路径同源：受限来源/绝对时刻/时效状态/低置信一律不进簇，
     数值与否定与存活行不一致的成员被逐条剔出；临时层行（expires_at 非空）
     两个方向都不进簇（存活行被清扫会给被吸收行留悬空 merged_into）；
   - 已被 archive/merge 候选覆盖的条目不重复出第二条待办（抑制）；
   - 落库形态与 merge 同构：source_ids 多条 + target_id，应用为整簇原子的软合并，
     回滚复用 revertTidyMerge（逐条复原）；
   - 批量应用按**行**计上限 200 行/批（maxTidyApplyRowsPerBatch），超限如实 truncated；
   - 不进自动档（人工/批量点）；试算（DryRun）零写库给出簇数与可减少行数。

2) 留存闸改组合口径（治根）+ N6/N7：
   - 护栏②从「含习惯/约定词就一票放行」改为「锚点词 **且** 含具体约束
     （数字/禁忌/频次规律）」；无约束的锚点交给更窄的规则判；
   - N1/N3/N4/N5 这几条词项规则改为「无锚点时才开火」（`主人喜欢说晚安`
     这类偏好不再因寒暄词被判临时）；
   - 新增 N6（指示性时点，句首前 12 字内）与 N7（进行中状态），安全阀：习惯词、
     硬性长期事实词、数值/约束、寒暄/情绪词一律按回去；
   - 命中即第五态 defer，`expires_at = 判定时刻 + tempTtlSec`（默认 7 天，
     已落在 $DATA_DIR/config/memory-tidy.json，零新 .env 键）；**只开新增侧**，
     存量一条不补写（用例钉住）。

契约（加性，不改既有字段语义）：tidy dry-run/run 回执加 dedupeGroups /
dedupeRowsReducible / dedupeTruncated；批量应用回执加 deduped / rowsAffected。

实测（生产库只读 mode=ro，active 3667）：
- 闸：改前 2 条(0.05%) → 改后 89 条(2.43%)：n6 58 / n7 29 / n1 2；
  89 条里 30 条含锚点词，逐条人读均为「约定明天中午见」「约定下周留个午后」
  这类到期即失效的安排（唯一可议：1 条把「中午互动的日常」一起带进临时层）。
- dedupe_group：281 簇 / 可减 594 行（16.2% of active）；tag_set 265 / prefix12 16；
  簇大小 2:170 3:48 4:27 5:10 6:10 7:7 8:2 9:2 10:1。

验收：go build ./... + go vet ./... + go test ./... 全绿。
 2026-10-25 00:08:46 +08:00
AskaEth 210c8b999f Merge branch 'feat/m33-testhealth-fix-test-double-races-and' into dev 2026-10-24 23:41:40 +08:00
AskaEth 7d9b2132bb test(testhealth): 替身竞态加锁 + 墙钟断言硬度（M33） 
四处测试健康债务，只改 *_test.go，不动生产代码、不降并发：

- channelbridge：stubChatter / stubSessions 的跨 goroutine 字段一律经 mu 访问
  （Run/GetOrCreate 在车道 worker 上写、测试 goroutine 读，两者无 happens-before；
  负向断言「等一会儿再看循环有没有被驱动」尤其如此）。读写走访问器，Messages()
  返回副本；t.Parallel 与并发度不变。
- plugins/tools/io：claimProbeTimeout 2s（真实时间预算）→ 60s，并由 claimProbeWait
  按 t.Deadline 收缩。探针只等 goroutine 被调度（无时间语义），放大余量把
  「机器快慢」从断言里去掉，死锁仍以断言失败暴露。
- backthink：TestSelfWakeGate_WindowExpiry 窗口 120ms → 6s（给 waitFor 的 4s 上界
  留 2s 余量），到期等待改为按首次受理时刻推算 window+250ms，不再盲睡 3×窗口。
  另修 TestSelfWakeStatus_MatchesReceiptAndTracksPendingSlot：worker 先 take 再进
  Think，卡 Think 并不占待跑槽 —— 改为「上一轮把 worker 占住再断言 Pending」。
- memory：墙钟实测用例显式给闸 5s 预算（measureGateBudget），不再因默认 150ms
  超时 fail-open 打炸「每轮都真扫真判」前置断言；并把 GateFailed 纳入该断言。
 2026-10-24 22:24:14 +08:00
AskaEth 3acc81cec8 feat(gateway): 子代理结果回填父会话（系统注记）+ 记忆抽取排除（M32） 
断点（M29 勘测定论）：后台批次结算后 `subagent.result` 发了、hub 也把它中继成
WS 帧，但**没有任何代码把结果回填父会话** —— `chat_messages` 无行、模型下一轮
看不到，于是「她拍了个子代理出去，但没有下文」。

回填拆成互不冒充的两条面（人格=身份红线：子代理结论绝不写成她的人格发言）：
- 可观测/历史面（新文件 subagent_backfill.go）：独立订阅者（不塞进 hub）订阅
  `subagent.result`，写父会话一条 `role=system` 注记（内容以 `[子代理结果]` 开头
  并点名 `sub-<id>`），随后走既有 `message_persisted` 扇出 ⇒ 刷新/重连后仍在；
- 模型面：同一行经转录播种成为下一回合的**系统注记**（`model.RoleSystem`），
  不是「她说过的话」。

落库口径：角色恒为 system（不冒充 user/assistant）、PersonaID 与 TurnID 留空
（注记不属于任何角色、也不属于任何一路回合）。

记忆抽取排除（新文件 subagent_backfill_extract.go）：`WithoutSubagentNotes` 装饰
`memory.Extractor`，判据是元数据（role=system + 注记标记，与 loop 的 summaryMarker
同一手法），组合根经 `loopMemoryExtractor` 套上 ⇒ 子代理结论绝不进记忆库；LLM
提取器的异步能力原样保留，压缩摘要（同样是 system）不被误剔。

可观测补齐（M29 §7）：`SpawnTool.await` 发布成功补带 source 的 INFO，`b==nil` 与
「无结果」的静默 return 改为 WARN，发布失败 WARN 带上 count/session；回填订阅者
顺手读 `bus.Dropped()`，涨了就记一条 WARN（总线丢事件不再是黑洞）。

测试（均可变异打红）：父会话恰一条 system 行且零伪造助手发言；注记/摘要/批次正文
有界且逐代理点名；不可用载荷与落库失败各留 WARN 且不广播；Start 真订阅总线；
结果不进记忆抽取（同步/异步/端到端接缝）；组合根真装配（真 bus 发布 → 父会话多
一行）。回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿。

不做：不改 `subagent_result` 帧形状、不加进 frameReachesAll、不新开路由/帧族、
不注入人设、不改 Docs（契约归一建议报塔）。
 2026-10-24 22:02:11 +08:00
AskaEth 86aef7b454 feat(capability): 工具按上游 MCP server 分节（来源章 + 呈现隔离） 
主人 2026-10-24：「能否将每个 MCP 服务器所承载的插件和工具按上游(来源)服务器分类
并与其他插件相对隔离？」

归属信息此前后端根本没有（GET /admin/plugins 每条只有 name/kind/description/两个
布尔），而 `mcp:` 是每台 server 一条的 KindMCP 条目的注册键，**不是**工具的命名空间
（工具名由 server 原样给出，连前缀都没有）⇒ 只能靠注册时的元数据，不能解析名字。

后端（唯一汇点盖章）：
- 新增 pkg/plugins/sdk/origin.go：Origin{Kind,Server,Transport} + 可选接口
  OriginAware（没实现 = 宿主内置，老工具零改动）+ OriginOf（零值视为无来源）。
- registry.Capability 加 Origin 字段；RegisterTool 盖章（覆盖热装与 .env
  MCP_SERVERS_JSON 两条接入路径的合流处），ReplaceTool **同样重新盖章**（它逐字段
  重建条目，漏了就是「热替换把来源抹掉」）。
- mcp.mcpTool 实现 Origin()（server 名与传输都在 cfg 上），transport 用新的
  transportNameOf 报**实际会用的**形态（stdio/sse/http），与 newTransport 同一推断。
- 网关 PluginSummary 加可选 origin（omitempty）：零值 ⇒ 键缺席，不是空对象。
- 卸载守卫：对单把 MCP 工具或 `mcp:<server>` 登记条目直接 400
  （plugin_uninstall_scope）并指向「MCP 服务器」页 —— 原来会绕过插件管理器裸删，
  server 的 names 账本不同步、重连后工具复活。判据是来源章，不是名字前缀。

前端（呈现分组）：
- admin/modules/pluginOrigin.ts：纯函数按 origin.server 分节（按 server 名排序），
  transport 未报告时标题省略括号，缺 server 名不冒充内置。
- Plugins.tsx：工具段两级（`来自 fs（stdio）· N 把工具` + 宿主内置），MCP 工具行去掉
  「卸载」改为指向 MCP 页；`kind:"mcp"` 登记条目与未知 kind（iot）各有段如实显示，
  不再静默丢弃（design/09 §5.2.1 红线③）。

零影响（有断言）：tool_policies 表/策略写路径未改；ToolSchemas 不发来源（测试断言
模型面既无 origin 键也无 server 名）；停用 server ⇒ 条目连来源一起消失，无孤儿。

测试：registry 盖章/保章（两条均已实测变异变红）/内置零值/改策略不清章；mcp 注册
路径盖章 + transport 推断表；网关读面缺席与存在、热装整链、卸载守卫；前端 esbuild+cjs
逻辑测试 12 项。验收：go build/vet/test 全绿，frontend `npm run build` 通过。
 2026-10-24 20:21:22 +08:00
AskaEth 6b0af81136 fix(turnreply): 围栏闭合串不得短于开启串（复审 p2 收口） 
复审 review-m19-r1 的 p2：`codeProtectedEnd` 的围栏分支只判「下一个 ≥3 反引号
的串」，没判「闭合不短于开启」。CommonMark 要求闭合串**至少与开启串等长**，
因此 ```` 开启的围栏不能被内层 ``` 关闭。复现形态（````markdown 里嵌 ```go，
示例里写 `print("a\nb")`）：旧实现把内层 ``` 当闭合 ⇒ 之后的示例正文被当普通
正文渲染，代码里的 `\n` 变成真换行；而这一步跑在**落库之前**，改坏的代码会永久进
历史 —— 反向踩了本文件「宁可少渲染也不改坏代码」的自己的红线。

- literal_breaks.go：围栏分支改为 findBacktickRun(text, body, n, unboundedRun)
  （closing ≥ opening）；注释写明 CommonMark 口径与「改了会落库」的后果。
- 新增 TestRenderLiteralLineBreaks_NestedFenceRespectsOpeningRun：嵌套围栏逐字保留、
  围栏外仍照常渲染（保护不得溢出）。摘掉这一行 ⇒ 该用例红，还原即绿。
- 新增 TestTurnReply_DoubleLiteralBreakBecomesParagraphBreak：钉住 `\n\n` ⇒ 空行 ⇒
  两段 <p> ⇒ 两端各 2 条气泡（复审观察②，语义对但此前无用例覆盖）。
- 措辞收口：样本 455 字符 / 907 字节；IM 侧主动推送的注释补明「Web 活跃客户端那条
  主动推送不经 NormalizeParagraphs，另计」。

行内代码那条等长分支未动。全树 go build ./... + go vet ./... + go test -count=1 ./...
全绿（73 包，RC 0）。
 2026-10-24 19:33:33 +08:00
AskaEth fa573663c1 fix(turnreply): 字面 \n 渲染成真换行（Web 镜像与 IM 出站同一份） 
主人 2026-10-24 报障：QQ 群最新一条 assistant 消息里 6 处字面 `\n`
（反斜杠 + n，不是真换行）原样发出去，用户看到「F\n多利亚」。

落点选在**写入侧共享层** `turnreply.NormalizeParagraphs`（gateway 的
persistTurnReply 与 channelbridge 的 turnVisibleReply 都调它）：
IM 的 deliverReply 拿同一个字符串既落库（= Web 主会话镜像）又发气泡，
Web chat 气泡是 whitespace-pre-wrap ⇒ 在共享层渲染，落库/WS/REST/IM
出站与历史一次性对齐；只在 channelbridge 清洗层改会留下「面板上仍是字面 \n」。

- 新增 internal/runtime/turnreply/literal_breaks.go 的 RenderLiteralLineBreaks：
  逐字节扫描，围栏（```）与行内代码（`…` / ``…``）内原样保留，`\n` 与
  `\t`/`\r`/`\uXXXX`、行尾孤立 `\` 一律不动；未闭合围栏保守保护到末尾；幂等。
- paragraph.go 在**围栏 skip 之前**调用它 ⇒ 含围栏的消息里围栏外的 `\n` 也渲染。
- 🔴 未改既有语义：只产出换行字符，绝不产出 <br>/<p> —— <br> 仍是气泡分隔符，
  字面 \n 只做气泡内换行（一条列表不会被拆成 7 条消息）。
- channelbridge 源码零改动。

验证：真机原文（6 处 \n / 5 个 <p>）修前红（摘掉钩子 3 个测试变红）→ 修后绿；
三处变异（去掉围栏保护 / 去掉 \ 配对 / 把渲染挪到围栏 skip 之后）各自变红后还原复绿。
全树 go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）。
 2026-10-24 19:21:50 +08:00
AskaEth 18ad2b89ab test(memory): 两条审查超时用例搬到正确位置（复审 p2-1，纯搬运） 
复审指出 TestEmbeddingTimeoutFitsReviewBudget 的整段文档被夹在「它描述的
函数」与「两条新用例」之间成了孤儿文档，而该函数自己的文档只剩一句、且在
文件里出现两次（一次属于那段孤儿注释，一次紧贴真正的函数）。

只搬不改语义：把 TestReviewTimeoutExplicitEnvValueWins 与
TestReviewTimeoutEffectiveValueIsTheOnlyDefault 整体挪到
TestEmbeddingTimeoutFitsReviewBudget 之后，删掉重复的那句文案与多余的空行，
让那 21 行文档重新紧贴它描述的函数（与 dev 版的相对位置逐字相同）。

纯搬运的证据：拿「排序后的行集合」比对搬运前后（前者取自 HEAD）——
`diff <(git show HEAD:internal/runtime/memory/preinsert_recall_test.go | sort) <(sort internal/runtime/memory/preinsert_recall_test.go)`
只差两行：一句重复文案 + 一个空行，其余逐行一致。

顺带按「主张与落点」把本文件自查了一遍：每段注释都紧贴它描述的符号
（实测文档与函数之间没有空行：`awk '/^\/\// {doc=NR} /^func / {if (NR-doc!=1) print NR}'`），
且文中的位置指代（「那条防线在下面的 …」「下方 cfg.TimeoutSec != 0 那条」）
在搬运后依然成立。
 2026-10-13 23:21:25 +08:00
AskaEth 42a07cb454 fix(config): 单条入库审查的墙钟上限收敛到唯一真源（M16） 
生产启动行仍是 timeout=20s —— M15 把 memory 包的 defaultReviewTimeout
抬到 90s 的修复**从未生效**：config 层的 env tag 自己带着 default:"20"，
env 层永远产出非零值，于是 memory 侧「≤0 才回落默认」的归一化成了死代码。

修法（二选一中的「① 让 memory 侧成为唯一真源」）：去掉 config 侧
MEMORY_REVIEW_TIMEOUT_SEC 的字面默认值，未配置时读出 0 = 「没配」，
由 normalizeReviewConfig 单点落地 90s。

生效值：
  .env / env 没写这个键 ⇒ 90s（唯一真源）
  写了正数            ⇒ 原样生效（不做任何「保底抬到 90」的加码）
  写了 0 / 负数       ⇒ 90s（与项目其它旋钮同一口径：≤0 = 用默认）

新增测试（走真实组装路径，不绕过任何一层）：
  config.LoadMemoryReviewConfig → ReviewConfig.Timeout →
  NewPreInsertReviewer → normalizeReviewConfig → 生效值（= 启动行打印的 timeout=）
断言生效值严格大于「实测最坏召回链 57s + T1 子超时 8s」，并断言启动行打印它。
变异自证（修前红）：把 tag 的 default:"20" 加回去 ⇒ 报出
  「组装后 timeout = 20s」+「生效值 20s != 唯一真源 1m30s」

原有 TestEmbeddingTimeoutFitsReviewBudget 拦不住这条，因为它比的是**本包常量**，
看不见 env 层；注释里已写明「比常量」与「比组装后生效值」的区别（防后人重蹈）。
 2026-10-13 23:09:19 +08:00
AskaEth 202cd8535e Merge branch 'feat/embudget-fix-embedding-request-amplifica' into dev 2026-10-13 22:59:42 +08:00
AskaEth f6c47b0ae1 fix(memory): 清掉两处与实现相反的旧说法 + 并发哨兵改成窗口重叠（变异 8/8 红） 
review P2 两条。

① 旧说法没删净（同类第 N 次：改了 A，同一主张还留在 B / C）。这次按「**这句主张的所有
落点**」重扫了一遍我这一片里含 Stop / Start / 重启 / 心跳已停 的注释，改掉两处与实现
正面打架的：
- applyTidyConfig 的注释还写着「调用方（ApplyPanelTuning）在 Stop 期间不能持 runMu」
  「前提仍是心跳已停」—— 而同文件的文件头刚写过「调优路径上一个 Start/Stop 都没有」，
  同一文件里两段话自相矛盾；
- 整理档那条并发哨兵的循环注释还写着「Stop 把 running 置为 false，忘了重启就会静默
  停摆」，而该循环里根本没有 Stop/Start（改成「唤醒不是停表」，并把 Stop/Start 那版
  明确标成旧版）。
顺带把文件头「所有读点都收进访问器」的说法改准：此外还有一处**同一把锁下**的相等比较
（ApplyPanelTuning 里的 s.cfg == next），它本身不需要访问器。

② 新哨兵是概率性守卫：固定 40 轮时撤回 DryRun 同步只红 4/8（写方那几十次覆写在微秒级
就跑完，读方还在慢端点里打转）⇒ 文档规定的 -count=1 会漏掉约一半回归。改成**两侧各自
跑满同一个 300ms 墙钟窗口**（写窗口与读窗口必然重叠，不靠快慢概率），读方两个活端点各
起两路；写方每轮换一个值（否则 ApplyPanelTuning 会被「配置没变」的早退挡掉，根本不写）。
实测：撤回 DryRun 同步红 **8/8**、撤回 ManualRun 同步红 **8/8**（各 8 次 -race -count=1）；
干净 tip `-race -count=5` 全绿、三条哨兵一起 `-count=3` 全绿；该哨兵耗时 0.35s（原 0.18s）。

顺带把 clipJSON 用例注释里那句改准：40 字节处被切掉的是第 13 个汉字的**第三个字节**
（前两个字节被留下），而不是先前写的「第三个字节上」。
 2026-10-13 22:50:38 +08:00
AskaEth 4df8d6f53a fix(memory): 按字段扫清 s.cfg 的其余无锁读（P1）+ 回显文案按 rune 截断 
review P1：applyTidyConfig 在运行期**整体覆写** s.cfg，而我只把调度读收进了持锁
访问器 —— 同一字段还有几处无锁读，其中两处是**活端点**：

- TidyService.DryRun 的开关判定（在取 runMu **之前**）⇒ POST …/tidy/dry-run 与
  ?async=1 那条会起后台 goroutine 的版本（真机 90s 级）；
- TidyService.ManualRun 的开关判定（同样在 runMu 之前）⇒ POST …/tidy/run；
- （原本也漏的）Enabled() 与 Start 的启动日志块。

按**字段**重扫了一遍（不按文件）：现在生产代码里对 s.cfg 的读**只剩**三个持锁访问器
内部（enabled / cfgSnapshot / scheduleSnapshot），写点只有 applyTidyConfig 一处；
s.tidier.cfg 的读点全在持 runMu 的轮次 / 试算路径上（含异步版经 DryRun）。

新增第三条并发回归哨兵：真并发跑「试算 + 手动真跑」两个活端点 × 面板保存。
修前红/修后绿：撤回 DryRun 的同步 ⇒ 报「写 applyTidyConfig × 读 DryRun」；撤回
ManualRun 的同步 ⇒ 报「写 applyTidyConfig × 读 ManualRun」；两次变异都逐字还原
（diff 0 差异）。

顺手两条（塔指定）：
- 那条并发哨兵的 doc 与实现相反（还写着「正确顺序是 Stop → 写 → Start」），已改成
  唤醒机制下的说法 —— 与「注释与实现不符」同类，不留旧说法。
- 非法值的回显文案原按**字节**截断（s[:40]），中文会被切成半截（非法 UTF-8，经
  JSON 编码变成 U+FFFD 替换符）。改成按 **rune** 截断，直接复用同包既有的
  clipRunes；用例取值刻意让截断点落在多字节字符中间（JSON 引号 + 一个 ASCII 前缀
  错开对齐），并做过变异复验：改回按字节 ⇒ 用例红（切出半个汉字）。
 2026-10-13 22:33:07 +08:00
AskaEth 97c0c1b94a feat(memory): 调优重排改为唤醒通道，不再 Stop/Start（消灭与到期清扫的耦合） 
按塔的裁定把「重排心跳」从生命周期操作改成唤醒通道，调优路径上一个 Start/Stop
都没有了。

- tidy_service.go：TidyService 新增 wake（cap 1 + 非阻塞发）与 wakeMu/wakeCancel；
  loop 的等待段抽成 waitForTick，三态判定（睡满 / 被调优唤醒 / 停）；被唤醒只
  重算下一拍、**绝不**跑轮。调度读（nextDelay / dueNow）改走 scheduleSnapshot，
  在同一把锁下同取「cfg + lastRun」，于是运行期写 cfg 不必再把后台件停下来。
  Start / Stop / wg / running 与 Enabled 早退语义**一个字节没动**。
- tidy_service_tuning.go：ApplyPanelTuning 变成「持 runMu 写 cfg → 发一次唤醒」。
  唤醒 = 一次性标记（保证不丢：心跳不在等时标记留在缓冲里）**加上**取消当前那次
  等待（保证立刻生效，否则 24h→3h 要等原来那一觉睡完）。

两条冲突就此消失，各配一条可复现断言：
- **面板保存不再触发到期清扫、也不重置清扫 ticker**：新用例在保存前后各造一行已
  到期的记忆，保存之后那行必须**还在**、清扫审计计数必须不变；该用例自带活对照
  （启动清扫会删掉第一行），因此「行还在」不是量具失灵。若保存走 Stop/Start，清扫
  的「启动即扫一轮」会立刻把它删掉。
- **调优路径上不再存在任何 Start 调用**（结构上消灭交叉 Start/Stop）：包内生产代码
  已 grep 不到任何 `.Start(` / `.Stop(` 调用，Start 与 Stop 各只剩组合根那一处调用点
  （`cmd/cyrene/main.go` / `cmd/cyrene/wire_services.go`），M3 注释里那条「Start/Stop
  各只调用一次」的不变式因此重新成立；交叉场景由带真心跳的调优用例在 `-race` 下跑过
  （不再 panic）。

热生效没退化：原来那条「23h30m → 30m」的断言按新机制重写 —— 用一个「听得懂 ctx
取消」的假等待看两觉的时长（保存前 23h30m、保存当场的第二觉 30m），并补上「唤醒不
跑轮（lastRun 不前移）」「唤醒后 running 仍为 true」。

变异自证（都跑过再还原，`diff` 逐字一致）：
- 去掉 `notifyReschedule` 调用 ⇒「被唤醒后的第二觉」等不到 ⇒ 用例红；
- 只留标记、去掉「取消当前等待」那一半 ⇒ 同一条红（两半都必需）。

M3 的守卫 `expire_loop_test.go` **一行未动**：它的假 wait 只认 ctx，父 ctx 取消时
返回 false，在新机制下语义不变（无人唤醒时照样把心跳停住）。
 2026-10-13 22:17:22 +08:00
AskaEth bdf3f3edaf docs(embedding,memory): 复核 p2 的三处措辞改正（纯注释，零行为改动） 
review-m15 round1 判 p2-1items（fix-then-merge），三条都属「把证据能支撑什么写准」：

1. api.go 原写「最坏也只是这一片失败」与实现语义**相反** —— Embed 的实际语义是
   「任一片失败 ⇒ 整条调用失败、其余分片已算完的工作量一并丢弃」。改为与该包
   budget.go 里已经写对的那一句对齐，并点明调用方据此降级（记忆一条不丢、判定规则
   一字不改，变的是这一条审查的召回质量）。
2. 「尖峰与批次无关」是**过度断言**：原证据只支持「至少存在一个与批次无关的外部/
   争用分量」（4 条/片也实测到 7.139s）；越界的**频率**是否随批次上升，1/40 vs 2/40
   的样本不足以判定 ⇒ 改标为「归因未定」，并明说批上限取 8 的依据始终是硬证据
   （16 条/片实测越界 + 真实代码路径 3 次里 2 次越界），**不依赖**任何成因推断
   （原文与同文件「16 条越界故不取更大」的理由自相矛盾）。同时补上独立复核窗口的
   对照（review-m15：24 次单请求 0 尖峰）说明尖峰强依赖窗口负载。
3. budget.go 的不变式不再被读成延迟保证：明确定性为「**稳态、空闲机器的建模拟合**，
   用途是构造批形状」，并点名真正的兜底（90s 审查预算按整条链算 + 任一片失败即降级
   的路径 + 已登记的链路韧性遗留）；结论句由「8 条/片不越界」改为「**空闲实测下**不
   越界、负载下仍偶发越界」；perItemBudget 与 callBudgetShare 注释里「另一半／余量」
   的同口径措辞一并改正（加一句：这是建模余量，不是单请求一定不越界的保证）。

另：preinsert_config.go 里「设计稿那一行待同步」已过期 —— 塔同日已把 design/23 §15
同步为 Timeout=90s，改为「已按实测同步」。

验证：go build ./... / go vet ./... 干净；go test -count=1 ./... 全绿；
go test -race -count=1 ./internal/runtime/embedding/... ./internal/runtime/memory/...
全绿；diff 中无非注释行（纯文档改动）。
 2026-10-13 22:12:11 +08:00
AskaEth a87fbeb494 fix(memory): 面板调优引入的两处运行期写入面收口（-race 修前红 → 修后绿） 
一、审查档（preinsert.go / preinsert_gate.go）：面板调优会在**运行期**改 cfg 的
两个字段（DisableIngestGate / TempTTL），而读这两个字段的两处不持锁
（gateEnabled 在同步入库闸上、deferDeadline 在第五态 defer 上）。
- 读侧改走新的 tuningSnapshot()（r.mu 由 Mutex 换成 RWMutex，读锁下取整份快照）；
- **只**收这两个字段的读点：其余读点读的是构造期冻结的字段，不与写方交手，
  故刻意不给入库热路径加无谓的锁；注释写明「将来面板再接管别的字段，那些读点
  必须与它一起收」；
- 锁序：写方持锁期间只做字段赋值、不取任何别的锁（normalize/回落都在取锁之前
  跑完）⇒ 不引入新锁序。

二、整理档（tidy_service_tuning.go）：修掉我自己的那条真竞争 —— 原顺序是
「Stop → Start → 写 cfg」，而新起的循环**立刻**读 s.cfg 重算下一拍，与写入并排
（那一拍还可能按旧配置算出来）。改成「Stop → 写 → Start」。
顺带去掉 Stop 的超时分支：超时意味着 wg 的 Wait 仍在飞，紧接着 Start 的 Add 会
踩上 M3 在 tidy_service.go 明文写下的 WaitGroup 复用纪律（-race 下 panic）；`Stop`
期间也不持 runMu，避免与「心跳正要开跑一轮」互相等死。

证据（全部逐条跑过再还原，还原用 diff 逐字校验为 0 差异）：
- 审查档：撤回读侧修复 ⇒ 2 处 DATA RACE（写 preinsert_tuning.go 的两个字段 × 读
  gateEnabled / deferDeadline）；恢复 ⇒ 绿。
- 整理档：把顺序改回「先起后写」⇒ DATA RACE（写 applyTidyConfig × 读 nextDelay）；
  恢复 ⇒ 绿。
- 新增两条只在 -race 下有意义的回归哨兵（tidy_service_tuning_test.go）：审查档真
  并发读写；整理档用**真心跳**当读者（不伪造生产不存在的调用方，那个入口在包里
  只有心跳 goroutine 会调）。

热路径成本：新增的同步是「一次无竞争 RLock + 整份小结构体快照」，隔离实测约
4ns/次（5e6 次共 22.9ms）；入库闸那条测量用例的批均值在 2.62ms → 2.71~2.81ms
之间波动，落在那条用例自身的运行间噪声里（同一份代码连跑两次，纯写入基线就从
39µs 飘到 60µs）。
 2026-10-13 22:11:41 +08:00
AskaEth f3fb097630 perf(embedding,memory): 批上限 4→8 削掉请求放大，审查预算 20s→90s 覆盖实测链长 
实测（2026-10-13，本机空闲，活库 cyrene/user 分区 201 条、均长 34.7 汉字）：
- 一条入库审查召回链 = 51 个「4 条」请求 = 23.070 / 21.860 s；旧审查预算 20s
  比链长还短 ⇒ 每一条候选满额的审查都超时，且超时后 **一行留痕都不写**
  （7 天里 92.1% 的审查 recall_mode 为空、2274 条超时降级的根因）
- 同一条链改成「8 条」= 26 个请求 = 21.435 / 21.597 s：请求数减半，墙钟几乎不变
  —— 链路耗时由「条数 × 每条成本」主导，批次只改请求数
- 「16 条」在**真实代码路径**上 3 次里 2 次让单请求越过 5s 单次超时（1.818 /
  5.016 超时 / 5.001 超时）⇒ 批上限不越过 8；隔离测量里 12 条 0.996~1.017 s 仍在界内

改动：
- embedding: perItemBudget 500ms→300ms（实测摊销 70~107ms/条的约 3 倍）
  ⇒ DefaultBatchLimit 由 (5s/2−100ms)/300ms = **8**，同一套推演、两维都成立
  （条数 100ms+8×300ms=2.5s；字符 100ms+480×5ms=2.5s，均在超时的一半内）
- embedding: 新增 maxSafeBatchLimit=12（实测外沿）+ 编译期断言（越界即 uint 溢出、
  编译失败），与 tidy_config.go 那条同手法
- memory: defaultReviewTimeout 20s→**90s**（> 实测最坏链：空闲 21.6s⇒4.2 倍余量、
  与整理链并发 56.7s + T1 8s ⇒ 1.4 倍；不再大的理由=单 worker 有界队列 256 的
  最坏积压 256×90s≈6.4h、服务真挂死时第一片 5s 就降级用不到这条预算）

测试（不留过时断言）：budget_test.go 加「钉值 8/480 + 两维不等式 + ≤12 外沿 +
16 条必须仍判越界」四层；api_url_test.go 的 reviewBudgetRef 20s→90s；
preinsert_recall_test.go 新增跨包断言「预算 > 实测最坏链 + defaultT1Timeout」。
变异自证：perItemBudget 回 500ms ⇒ 钉值断言红；reviewTimeout 回 20s ⇒ 跨包断言红；
perItemBudget 150ms（⇒16）⇒ 编译失败（constant -4 overflows uint）。三者均已逐字还原。

遗留（如实登记，未修）：① 整理轮每轮重嵌整个分区（user 一轮仍 250 个请求），
解法方向是复用已入库的 vec_items 或给整理轮一个 embedding 请求预算；② 链路对单点
慢分片没有韧性 —— 一个分片失败即整条 Embed 失败、丢掉其余分片的工作量，且实测
任何批次形状都会偶发 >5s 尖峰（4 条 7.139s / 8 条 9.711s，与批次无关），方向是
重试/分片级容错，调常量解决不了。
 2026-10-13 21:59:31 +08:00
AskaEth eddf921229 feat(memory): 记忆整理调优面板读写（三态 + 热生效 + 面板表单） 
主人 2026-10-07 两条口径：「.env 只做兜底用，后端自动创建独立的面板配置文件
之后就走面板配置文件，这些键优先从面板配置上取」+「频率必须调，可以调到 1 小时
或者三小时，或者动态分配（白天短、静默期长）」。

此前 $DATA_DIR/config/memory-tidy.json 只有读路径（装配期读一次 + 启动播种）：
主人要改频率只能改文件 + 重启后端。本切片补上「读回来 → 改 → 落盘 → 当场生效」。

后端（读写端点，契约待塔登记 v0.92）：
- GET  /api/v1/admin/memories/tidy/tuning  读盘上 7 键值 + 取值规则 specs +
  缺位时 .env 档的进程生效值（与 /admin/config-facts 同源）
- PUT  同路径：三态补丁（键缺位 = 不改动 / 合法值 = 采用 / 非法值 = 400 且盘上一
  个字节都不动）+ null 清除哨兵（删键 ⇒ 回到下一档）+ writeAuth + 审计
  memory.tidy.tuning；值一个都没变时不落盘，文件解不开时拒绝覆盖（409）
- 落盘走 runtimeconfig.PatchMemoryTidyTuning（原子写 temp+rename，与
  SeedMemoryTidy/SaveWebSearch 同族同手法）；补丁语义保留下受管的其它键
  （t1Judge/t1PerWindow/autoApplyPerRound 原样保留）
- 热生效：保存后按「面板 > .env > 代码默认」重算并叠到运行期对象；整理档会
  重排心跳（否则新周期要等旧周期那一觉睡完），审查档当场改 ingestGate/tempTtlSec。
  未接线/失败时如实回 hot:false + hotError，绝不把「落盘了」说成「生效了」

前端（Miuix）：
- 记忆管理页新增「记忆整理调优」卡：7 键表单（中文标签、单位、留空⇒跟随谁、
  env 档当前值、坏值就地报错并拦住保存、保存后回显从磁盘读回的真值）
- 试算卡的 recallMode 按契约 v0.91 如实渲染：embedding / lexical（已降级）/
  mixed（部分分区降级）/ ""（无候选可比）——空串不再渲染成空标签；并把
  error.code=tidy_recall_unavailable 单列一句（「尝试过但向量源不可用」，与
  「没有候选可比」显式区分）

验证：go test ./internal/{services/gateway,runtime/memory,config/runtimeconfig}
全绿；三态/清除/坏文件拒写/同值不重写/热生效接线各有用例，并逐条做过变异自证；
tsc --noEmit + vite build 通过；两个 esbuild 前端测试 39 + 34 + 41 checks 通过。
 2026-10-13 21:59:18 +08:00
AskaEth 8a274e120d docs(memory): 到期清扫的注释改用符号引用，不再写会漂的行号 
review r2（p2-1items）指出：r1 那笔注释里的行号是旧值 —— 我在文件更前面插了
12 行之后 `Stop` 整体下移，而注释里仍写着「`Stop` 在 `tidy_service.go:214` 就放锁，
到 `:219` 才 Wait」（214 是 `Stop` 的文档注释行、219 是 `s.mu.Lock()`）。

行号会漂、符号不会，因此改成符号 + 相对位置：
- 「在同一个 `func (s *TidyService) Stop` 里，`s.mu.Unlock()` 在前、`s.wg.Wait()`
  （另一个 goroutine 里）在后，两者之间没有锁」；
- 「`Start` 只在组合根启动期调一次（`cmd/cyrene/main.go` 的
  `a.memoryTidy.Start(ctx)`）、`Stop` 只在关停链里调一次（`cmd/cyrene/wire_services.go`
  的 `_ = a.memoryTidy.Stop(ctx)`）」。

同一类问题只此一处遗留（`expire.go` 里「照 `preinsert_gc.go:65-69` 的批删范式」
同样改成符号：`ingestReviewSweepBatchSize` / `maxIngestReviewSweepBatches` 那一对
常量）。已 grep 全部改动文件确认再无 `*.go:<行号>` 形式的引用。

（本提交信息刻意不复述任何行号。）
 2026-10-13 21:54:38 +08:00
AskaEth 69210a8586 docs(memory): 改正 Start 里那笔 Add 的并发注释，并补 Enabled=false 回归测试 
review r1（p2-1items）指出：`tidy_service.go` 新加的那段注释（以及 2ba0a40 的提交
信息）写着「计数在这把锁里加 …… `Stop` 也持这把锁，这样 Add 与 Stop 的 `wg.Wait`
不可能撞在一起」。**这句不成立**：`Stop` 在 `tidy_service.go:214` 就放锁，到 `:219`
（另一个 goroutine 里）才 `wg.Wait`。锁只串行化 `running` 翻转与两笔 Add，
**不覆盖 Wait**。reviewer 用交叉 Start/Stop 探针在 -race 下复现了
`panic: sync: WaitGroup is reused before previous Wait has returned`，并实测该 panic
在 M3 之前的基线（20051f0）上同样可复现 ⇒ 既有性质，本切片不改行为，只改说法：

- 照真实理由改写注释：锁内加是为了让 `Stop` 的 `running` 判定与这两笔 Add
  **原子化**（杜绝「Stop 已看到 running=false 早退」与「Wait 漏掉一笔尚未 Add 的
  goroutine」两个窗口）；
- 明确写出这把锁**不**覆盖 `Stop` 的 `wg.Wait`，WaitGroup 的复用纪律靠
  「`Start`/`Stop` 在进程生命周期各只调一次」维持；
- 并写明那个交叉探针的**当前调用点不可达**（`Start` 只在 `cmd/cyrene/main.go:97`
  调、`Stop` 只在 `cmd/cyrene/wire_services.go:212` 调），免得后人看到「有窗口但
  不可达」以为是漏改。

同时补上 reviewer 点出的真实缺口：`Enabled=false ⇒ 清扫不跑` 此前只有注释、没有
已提交的回归测试。新增 TestTidyServiceStart_整理关掉时清扫不跑，真跑 Start 后断言
「没有删除发生 + 没有审计 + running 保持 false」三件一起（不是只断言 cfg.Enabled
字段那种假牙）。两条断言各有牙：把 Enabled 闸改成恒 false ⇒ 红在 running 那一条；
在 Enabled 早退分支里偷偷起一个清扫（running 仍为 false）⇒ 红在「到期行却被删了」。
 2026-10-13 21:46:24 +08:00
AskaEth 44c25eb03b refactor(memory): 到期清扫挂点从 wait 注入缝改为 TidyService.Start 
塔裁定：清扫不许挂在注入缝上 —— 包一层 s.wait 会让「清扫是否存活」依赖于
「loop 每一轮都调 s.wait」这个**没有任何契约固定**的假设；将来谁换了等待原语、
或把循环改成 select + 自己的 timer，清扫会**静默消失**（不报错、不红测试，
只是临时期限再也删不掉）。后台件起在 Start 里，读者一眼看到它们同生共死。

- tidy_service.go：Start 里紧跟 go s.loop(cctx) 起 go s.expirySweepLoop(cctx)，
  wg 计数与既有那一笔同处（同一把锁内加，避免 Add 与 Stop 的 wg.Wait 相撞）。
  `if !s.cfg.Enabled { … return }` 仍在其前 ⇒ 语义与改动前逐字相同：整理被关掉
  ⇒ 清扫不跑（与 preinsert_gc 随审查服务启停同口径）。
- expire_loop.go：删掉 AttachExpirySweep 与对 s.wait 的包裹；文件头写明
  「挂点必须是 Start 里那处显式的 go」，防止后人改回注入缝。
- expire_loop_test.go：那条运行时对照改写成 TestTidyServiceStart_清扫随服务起停
  —— 真 Start、真 Stop（Stop 不超时即证明清扫随 ctx 退出且登记在同一个 wg）。
- wire_memory_tidy.go：去掉组合根的挂载调用，注释改成「起在 Start 里，组合根零接线」。
- wire_memory_tidy_test.go：把 go s.expirySweepLoop(cctx) 钉进 TestMemoryTidyIsWired
  的 seams（摘掉那一行 ⇒ 用例红，已实测）。
 2026-10-13 21:43:27 +08:00
AskaEth a017ab6cf8 feat(memory): 临时记忆到期物理删除（有界清扫 + 同步清向量 + 删前审计） 
design/23 §19 的第 ② / ③ 步：读侧时效闸（M1）只负责「看不见」，本切片负责
「真删掉」。三条护栏照 §19.3：删除是本包内唯一 DELETE 出口、有界（500 行/批 ×
20 批）、删前留审计。

- internal/runtime/memory/expire.go：扫描集合写死为「expires_at ≠ '' ∧
  expires_at ≤ now ∧ status='active' ∧ 来源非受限」。空 expires_at（长期/日常
  记忆，含 M2 登记的「INSERT 与补写之间中断」窗口）结构性进不了集合；受限来源
  复用 nonOwnerSource（与整理/审查同一处判据）。键集游标 (expires_at, rowid)
  保证被跳过的行只读一次、扫描位置一定前移。审计串 = id + persona_id + scope +
  expires_at + 按 rune 截断（48）的摘要 —— 本仓唯一一处允许携带内容片段的审计。
- internal/runtime/memory/expire_loop.go：清扫循环挂在 TidyService 的生命周期上
  （AttachExpirySweep 由组合根调用），随心跳 ctx 跑、随 Stop 停；一轮只写一行
  汇总日志，逐条的那一行进审计。
- internal/runtime/memory/vector/delete.go：新增可选删除能力 vector.Deleter +
  两个后端实现，删行时同步清向量（M1 reviewer 的 finding：过期向量占 top-K 预算）。
- cmd/cyrene/wire_memory_tidy.go：挂上清扫；顺带把已过时的「这十键」改成「这十一
  键」（M2 加了第十一键 tempTtlSec）。
 2026-10-13 21:43:27 +08:00
AskaEth 8690d129a7 Merge branch 'feat/memwrite-defer-fifth-state-plus-temp-ttl' into dev 2026-10-13 21:09:47 +08:00
AskaEth c7ea67dcb6 Merge branch 'feat/embrecall-fix-embedding-recall-degradati' into dev 2026-10-13 21:07:21 +08:00