AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
651 Commits 7 Branches 0 Tags
a017ab6cf8745c283ef989ac0e348cb2f4c730b7
Commit Graph
651 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
AskaEth a017ab6cf8 feat(memory): 临时记忆到期物理删除（有界清扫 + 同步清向量 + 删前审计） 
design/23 §19 的第 ② / ③ 步：读侧时效闸（M1）只负责「看不见」，本切片负责
「真删掉」。三条护栏照 §19.3：删除是本包内唯一 DELETE 出口、有界（500 行/批 ×
20 批）、删前留审计。

- internal/runtime/memory/expire.go：扫描集合写死为「expires_at ≠ '' ∧
  expires_at ≤ now ∧ status='active' ∧ 来源非受限」。空 expires_at（长期/日常
  记忆，含 M2 登记的「INSERT 与补写之间中断」窗口）结构性进不了集合；受限来源
  复用 nonOwnerSource（与整理/审查同一处判据）。键集游标 (expires_at, rowid)
  保证被跳过的行只读一次、扫描位置一定前移。审计串 = id + persona_id + scope +
  expires_at + 按 rune 截断（48）的摘要 —— 本仓唯一一处允许携带内容片段的审计。
- internal/runtime/memory/expire_loop.go：清扫循环挂在 TidyService 的生命周期上
  （AttachExpirySweep 由组合根调用），随心跳 ctx 跑、随 Stop 停；一轮只写一行
  汇总日志，逐条的那一行进审计。
- internal/runtime/memory/vector/delete.go：新增可选删除能力 vector.Deleter +
  两个后端实现，删行时同步清向量（M1 reviewer 的 finding：过期向量占 top-K 预算）。
- cmd/cyrene/wire_memory_tidy.go：挂上清扫；顺带把已过时的「这十键」改成「这十一
  键」（M2 加了第十一键 tempTtlSec）。
 2026-10-13 21:43:27 +08:00
AskaEth 80096c8bd1 docs(api): 契约 v0.92 — 记忆整理调优键读写端点（B26/B27，切片 M4）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-13 21:38:47 +08:00
AskaEth 20051f0168 Merge branch 'feat/ownergate-owner-lane-gate-plus-conversat' into dev 2026-10-13 21:18:02 +08:00
AskaEth 8690d129a7 Merge branch 'feat/memwrite-defer-fifth-state-plus-temp-ttl' into dev 2026-10-13 21:09:47 +08:00
AskaEth 48a5bb89f2 fix(config): owner_lane.json 并发落盘不再损坏/丢更新（review p1） 
review p1：Set 的固定 tmp 名（path+".tmp"）+ 落盘发生在 mu.Unlock() 之后 ⇒
并发 Set 撞同一临时文件把 JSON 写坏（load 退回默认「甲」、主人刚说的「少说点」
白说且无提示），或 rename 完成顺序与新快照先后不一致而丢更新。

修法（两条都取，各司其职）：
- 落盘挪进锁内（Set 全程持 s.mu）：并发 Set 完全串行 ⇒ 快照与 rename 顺序一致，
  不可能丢更新。落盘是一个小 JSON，持锁 I/O 代价可忽略；读侧读内存、不读文件。
- 每次用 os.CreateTemp 新建临时文件（仓库同款先例 internal/user/save.go），
  不再撞固定 tmp 名；CreateTemp 以 0600 打开并再 chmod 一次，任一步失败都清掉 tmp。
- 旧 save(快照) 换成 saveLocked()（调用方须持锁，直接 marshal s.cfg）。

测试：新增并发用例 TestOwnerLaneStoreConcurrentSetKeepsAllUpdates（24 轮 × 24 写者），
断言 ① 文件始终是合法 JSON、② 每一次成功的 Set 都能在最终文件读到（不丢更新）。
修前红（原实现在同一用例上）：5/5 轮复现，两种失败模式都抓到 ——
"并发落盘把配置写坏了（文件不是合法 JSON）：invalid character '\"' after top-level value"
与 "丢更新 —— 键 qq-obv11|g-N-M 不在最终文件里"；修后连续 3 次绿，-race 下亦 ok。
Bridge.SetOwnerLanePolicy 无需改动：它在 ownerLaneMu 下设内存后调注入的 store，
串行化由 store 侧保证。
 2026-10-13 21:07:46 +08:00
AskaEth c7ea67dcb6 Merge branch 'feat/embrecall-fix-embedding-recall-degradati' into dev 2026-10-13 21:07:21 +08:00
AskaEth a3ae98ef2e docs(memory): N2 注释三处更正（示例 / 标点容忍 / 位置锁）+ 逐条实测 
应答 review round4 的 p2#1。**只改注释**，行为代码、后缀表 golden、25 条语料、
主语表一字未动。三处都指向**更严格**的表述（无安全影响），且每一处都先实测再下笔
—— 上一轮的教训正是「注释里的例子自己没实测过」。

## ① 示例 `生气得很` 与实现不符 → 换成实测覆盖的示例

原句举例「生气**得很**」，但 `得` **不在**后缀表里：
  生气得很 → rest="得很" → rule=""（放行）
与它并列的另两个例子矛盾。换成实测 `rest=""` 的：
  心情不错 → rest="" → rule="n2_emotion"
  不开心   → rest="" → rule="n2_emotion"
  心情很好 → rest="" → rule="n2_emotion"
并把反例留在原位（显式标注「反例」）：
  生气得很 → rest="得很" → rule=""（放行）

## ② 「任何不在表中的字符 ⇒ 放行」对标点不绝对 → 补齐容忍面

标点与空白是被 `onlyRetentionPunctuation` 收尾清掉的，因此原表述漏了这半边：
  心情不错！ → rest="" → rule="n2_emotion"   ← 实测 defer（标点被容忍）
现改为「任何一个**非标点 / 非空白**的字符只要不在词表里，就会留在余部」。

## ③ 「主语/时间词只允许出现在句首」不准确 → 按实现写「位置锁」

时间词也可**紧跟主语之后**。现按实现写成：
  主语只在**位置 0** 被消费一次；时间词只在**紧随其后**被消费一次（无主语时它就是首词）。
实测：
  今天好累     → rest=""             → rule="n2_emotion"
  主人今天好累 → rest=""             → rule="n2_emotion"
  今天主人好累 → rest="今天主人好累"  → saw=false → rule=""（放行）
「指人/指时实体永远不可能落到宾语位置」这条**支柱本身不变**（review round4 已核），
变的只是对**位置**的准确描述。

## ④ 顺手同批修掉的同句不准确：`retentionEmotionTimeWords` 的文档

它与 ③ 是**同一句主张的另一个落点**（「只允许出现在句首的时间词」），留着就等于把同一
处不准确留在盘上。已改成与 ③ 一致的表述并附同一条实测。
（`consumeRetentionPrefixes` 的「反复在句首消费」指的是**当前余部**的开头，是对辅助函数
自身语义的描述，不是文法主张，未动。）

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
TestExtractionRetention 六个用例 69 个子例全 PASS。
 2026-10-13 21:06:33 +08:00
AskaEth 95f517d61d refactor(embedding): 删掉生产不可达的冷启动 WARN 及其 logger 缝 
review round2 的 p2：`api.go` 那句「一次性冷启动放宽被花掉」的 WARN 在生产里
**不可能被人看见** —— 本包默认丢弃日志器，`WithLogger` 全树零调用者，生产走
`embedding.New(cfg)` 不带任何选项。而它的注释写着「这是唯一能审计一次性放宽的
地方」，与实际不符（本项目规则：注释不得说与实现不符的话）。

- 删该 WARN（失败并非静默：四个调用方本来就把错误原文写进各自的 WARN，
  路径见 review 召回 / 整理召回 / 向量索引写入 / 检索）。
- 连带删掉 `WithLogger` 与 `log` 字段：WARN 是 `e.log` 的唯一使用者，留着它会
  变成一个**空转的公开选项 + 又一次与实现不符的注释**（与上一轮删
  `WithRequestTimeout` 同一条理由：不留没人用且未测的缝）。
- `callTimeout` 不再返回 `relaxed`（它只为那条 WARN 存在）。
- `NewAPI` 的注释改为把「本包不记日志、失败沿错误返回」写成**实话**。

行为零变化（生产本就是丢弃日志器），只删死代码与不实注释。
 2026-10-13 21:01:54 +08:00
AskaEth 4365224c9b docs(memory): N2 安全论证改成真实机制（位置锁 + 四类修饰）+ 两条 tripwire 
应答 review round3 的 p2#1（要修的只有这一条）。

## 注释里的论证被证伪，改成真实机制

原句「封闭表里**没有承载内容的词**：没有动词、名词、量词」**字面不成立** ——
reviewer 逐表审过：情绪词表（既是核心也是后缀 token）含 `心情`(名词)、
`生气`/`害怕`/`紧张`(动词)、`压力大`(动宾)；否定表里 `没有` 是动词；程度表里
`比较` 可作动词/名词；主语表里 `主人`/`我`/`他` 本身就是**指人实体**。

真正保安全的是**位置**：
1. **位置锁定** —— 主语 / 时间词只允许出现在**句首**、各至多一次 ⇒ `主人`/`我`/`你`/
   `他`/`今天` 这些指人/指时实体**在文法里永远不可能落到宾语位置**；
   （上一版黑名单正是死在这里：`会想我` 的 `我` 被当成主语剥掉）
2. **核心之后只允许「程度 / 否定 / 情绪 / 语气」四类修饰**，且它们只允许**紧跟**
   情绪核心之后 —— 核心必须先被消费，那一段在语义上只能是**情绪的修饰**
   （「心情不错」「不开心」），**装不下一个宾语短语**。

「上一版为什么错、黑名单为什么修不完」那一段**保留**（reviewer 确认该部分写得对）。

## 两条 tripwire（回应「后来人照字面加词、没有任何测试会红」）

- `TestExtractionRetention_PersistentFactsAreNeverDeferred`：**25 条**持久事实/习惯
  语料（塔给的 6 条 + reviewer 扩展的 19 条，来自 review round3 的对抗构造）逐条断言
  **绝不 defer**，钉住**语义后果**；语料是**可增长的**（新事故 → 一条回归断言）。
- `TestExtractionRetention_SuffixTableIsPinned`：把后缀表的**内容**逐 token 钉死
  （60 个 token 的 golden），任何增删立刻红。
  **为什么它比语料更接近「表的内容性质」**：语料只能覆盖**已经想到的**输入，而这张表
  是判据的全部自由度 —— 往后缀里加一个名词，表变了而语料可能一条都不碰；golden 钉的
  是「表变了」这个**事实本身**，改表必须显式改 golden ⇒ 变成一次可 review 的
  意图声明，而不是一次静默放宽。

两条一起才够：golden 钉「表变了」，语料钉「变了以后语义还对不对」。

## 变异自证（两条 tripwire 分别会红）

变异 A：往后缀语气词表加一个名词「**妈妈**」（语料里没有任何一条会因此变 defer）
```
--- FAIL: TestExtractionRetention_SuffixTableIsPinned (0.00s)
    后缀表 token 数 = 61, want 60 —— 表被改过。…
FAIL
```
⇒ golden 抓住了**语料抓不到**的改表。

变异 B：往后缀表加 `会`/`想`/`时`（看起来像无害虚词）
```
--- FAIL: TestExtractionRetention_PersistentFactsAreNeverDeferred (0.00s)
    --- FAIL: …/主人心情不好时会不好
        extract_retention_test.go:284: 持久事实 "主人心情不好时会不好" 被判成 "n2_emotion" —— 它会进临时层、7 天后被物理删除（不可逆）
    --- FAIL: …/主人不开心时会好好想
        extract_retention_test.go:284: 持久事实 "主人不开心时会好好想" 被判成 "n2_emotion" —— …
--- FAIL: TestExtractionRetention_SuffixTableIsPinned (…)  后缀表 token 数 = 63, want 60
FAIL
```
⇒ 语料把「会上线的那个后果」直接指了出来。两处变异均已还原。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
TestExtractionRetention 六个用例共 69 个子例全 PASS。
 2026-10-13 20:57:31 +08:00
AskaEth 6c30ca540a fix(memory): 冷启动放宽改为一次性 + 试算轮区分「没候选」与「向量不可用」 
review round1 的 p1/p2 收口（commit 5967272 之后）。

p1：旧实现 `warmed` 只在 2xx 之后才翻 ⇒ 注释里写的「只在第一次成功响应之前」
实际是「服务坏着的全部时间」。reviewer 实测「接受连接但永不回包」时**每次**调用
都等满 30s（fail-fast 变 fail-slow）：审查 20s 预算被一次吃光、索引写入拖成
8×30s、开机探针阻塞 30s。

- `warmupLeft` 改为**一次性许可**（CompareAndSwap 取走即失效，成败都算花掉）
  ⇒ 挂死时只有第一个请求慢一次，此后一律 DefaultRequestTimeout。
- `warmupTimeout` 30s → 8s：与常态 5s 同一量级（≤2×），且严格小于审查总预算
  20s（一次冷启动不许吃光整轮）；两条界都由 TestDefaultRequestTimeout 守住。
- 放宽被花掉且没成功时留一条 WARN（事后可复核「第一个请求」这个判据）。
- 更正两处自述：api.go 的「不会被 30s 拖住」与 budget.go 的不变式说明（批次形状
  永远按稳态超时推导；冷启动只放宽第一个请求的截止时刻）。
- p2：删掉零调用者的 `WithRequestTimeout` —— 单次超时只允许改常量，批次上限与它
  同源并由编译期/常量断言复核。

p2：试算轮在向量源不可用时 `RecallMode` 与「没有候选可比」同为空串。
- `recallLedger` 增 `unavailable` 计数 + `noteUnavailable()`（strictRecall 失败
  那一笔记一笔）；试算汇总行新增 `recall_unavailable_partitions`，**成败都记**。
- 不扩 `recallMode` 取值集合：失败那一路不序列化 result（响应是
  500 tidy_recall_unavailable），新取值只会出现在日志里却要动一次契约，不划算。

测试：三种失败形态 × 两次调用的耗时断言（连接被拒 / 500 / 永不回包），
试算轮的「不可用」与「没候选」两态日志断言；两处变异自证（warmupTimeout 调回
30s ⇒ TestDefaultRequestTimeout 红；去掉 noteUnavailable ⇒ 试算汇总行退化成
recall_mode="" + recall_unavailable_partitions=0）。
 2026-10-13 20:51:10 +08:00
AskaEth 1d49d266f0 fix(channel): message_sent 回声升 T2 落行，出站消息 id 不再被丢 
塔转 M12 登记的缺口（塔裁定「归你」，文件都在本片 scope 内）：她自己发出消息
的回声（message_sent）被当成「帧级链路遥测」一并豁免 self 升档 ⇒ 停在 T1，
只进计数、不落行，`message_id` 被丢，「她最近发了哪些消息」在库里查不到。

- events.go: 把 MessageSent 从 isFrameTelemetry 的豁免里摘出（它不是帧级遥测：
  一帧 = 她真发出的一条消息，回声带的是那条出站消息的 id）。
  心跳 / 生命周期的豁免**保持不变**（其登记的迁移债注释原样保留）。
- events_mapping_test.go: 两条 MessageSent 断言同步更新
  （:52 自身回声命中自己 ⇒ 由 T1 改 T2；:33 无 self 信号仍走基础档 T1，标签改精确）。
- events_test.go: 新增端到端用例（真 SQLite）：self 命中 ⇒ 落 1 行、tier=t2、
  MessageID=out-msg-42 留在库里、不进上下文、不驱动 loop。
 2026-10-13 20:50:31 +08:00
AskaEth 537a8b7988 feat(channel): owner 车道结构化参与闸与可调旋钮（乙 = C） 
主人 2026-10-13 裁决「乙 C」= 默认按甲（群里不对她说就不开口）+ 可调旋钮。

- inbound.go: owner 不再无条件短路参与闸（去掉 `!actor.IsOwner()` 门），
  主人群消息改走 shouldRespond 的 owner 车道分支；主人私聊恒回。
- ownerlane.go（新）: owner 车道结构化闸 + 判据
  `msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)`
  （未接线渠道退回旧判据，保护 kook/webhook 的群 @）；指向她本人必回（硬保留）；
  非指向消息按每群旋钮——默认只进上下文不回（registerSilenced 落隔离会话）。
  「少说点」类关键词落成结构化降频配置，带 source 日志。
- channelbridge.go: Options.OwnerLaneFor/OwnerLaneSet 读写接缝 + Bridge 状态。
- engage.go: 冷避词表并入「少说点」（与既有「少说两句」同义）。
- runtimeconfig/channels_ownerlane.go（新）: owner_lane.json 落盘面
  （默认档 + 每群覆盖，可读可改，面板可写）。
- wire_channels.go: 注入 owner_lane.json 存储（$DATA_DIR/config/）。
- 测试：不对她说就不回（进上下文零回复）/ @她必回（即使降频）/ 未接线退回
  旧判据 / 降频生效且可恢复 + 频率闸 / 旋钮读写接缝 / 归属不变量闭合 /
  陌生人私聊与主人私聊回归。变异自证：恢复 owner 短路 ⇒ 5 条用例红。
 2026-10-13 20:48:05 +08:00
AskaEth b1d51d8de2 fix(memory): N2 判据改为白名单形态匹配（结构上不再吞实体） 
## 上一版为什么没修完（review round2 举证）

上一版把 N2 实现成**黑名单剥离**：`strings.ReplaceAll` 扫整句、把「情绪词 + 时间词 +
主语 + 程度 + 虚词 + 标点」统统删掉，**残差为空才 defer**。它的要害是剥离表里混进了
**本身就能当实体的词** —— 人称词（`我`/`我们`/`他`/`咱`/`自己`）与可作内容的单字
（`好`/`会`/`要`/`想`/`对`/`在`/`有`/`是`/`时`/`得`/`和`）。宾语恰好由这些词构成时，
实体被吞、残差为空 ⇒ **仍判 defer**：

  主人不开心时会想我    → residual=""      → defer   ✗（持久习惯进临时层，7 天后物理删除）
  主人难过时会想我们    → residual=""      → defer   ✗
  主人心情不好时会想他  → residual=""      → defer   ✗
  主人不开心时会想和好  → residual=""      → defer   ✗（`和`+`好` 两个词项各吃掉一半）
  主人难过时会想妈妈    → residual="妈妈"  → create  ← 对照：宾语没被表吃掉

⇒ 这证伪了上一版代码里声称的不变量（「还剩一个实体就必须放行」），也说明**黑名单这
条路走不到头**：「实体」是开放集合（想我/想我们/想他/想和好/想妈妈/听音乐/咬指甲/
养猫/…），永远列不全。

## 新判据：白名单**形态**匹配

「纯情绪句」的**形态是封闭的**，据此改成「整句恰好落在形态里才 defer，其余一律放行」：

	[主语]? [时间]? [程度]* 情绪核心 [程度|否定|情绪|语气]*   余部须只剩标点/空白

实现在 `retentionEmotionFormRest`（唯一判据点）：
- 主语与时间词**只允许出现在句首**、各至多一次；
- 情绪核心**必须**消费到一个情绪词，否则 sawEmotion=false ⇒ 放行；
- 核心之后**只**允许「程度 / 否定 / 情绪 / 语气」四类修饰（`retentionEmotionSuffixTokens`）；
- 最后要求**整句消费干净**（余部只剩标点/空白）；
- 各段一律**最长词优先**（否则 `不` 会抢在 `不错` 前、`好` 会拆掉 `好累`）。

## 为什么它在**结构上**不可能再把带实体的句子判成 defer

1. 判 defer 的门槛是**整句被封闭表消费干净**。表里**没有承载内容的词** —— 没有动词、
   名词、量词。任何一个形态外的字（`想`/`会`/`时`/`和`/`我`/`妈妈`/`听音乐`）都无法被
   消费，必然留在余部 ⇒ 余部非空 ⇒ **放行**。
2. 主语/时间词**限死句首**：`我`/`他`/`我们` 出现在核心之后时**没有**任何词项能吃掉它
   （后缀表里没有它们）—— 这正是上一版翻车的地方，现在从结构上排除了。
3. 失败模式从「**未知实体被吞**（危险、不可逆）」翻成「**未知情绪句没被认出**（安全：
   多留，有 T1 与整理兜底）」。方向与 design/23 §18.3 的 fail-safe「宁可多留，不可
   误弃」一致。

## 配套测试

- 正例清单补 5 条**对抗形态**（宾语由「能当实体的词」构成）：`主人不开心时会想我` /
  `主人难过时会想我们` / `主人心情不好时会想他` / `主人不开心时会想和好` /
  `主人难过时会想妈妈` —— 与上一轮的 5 条（听音乐/咬指甲/养猫/喜欢吃甜的/找朋友聊天）
  合计 10 条「带宾语的情绪句」正例；
- `TestExtractionRetention_EmotionWithObjectIsNotDeferred` 改为断言**余部**（未被形态
  消费掉的部分）＋最终结论：纯情绪 ⇒ 余部为空 ⇒ defer；带宾语 ⇒ 余部非空（
  `时会想我` / `时会听音乐` / …）⇒ 放行。**「带宾语 ⇒ 余部非空」这条不变量现在是被
  判据本身保证的**，不再是靠一张表的完备性。

## 修前必红 / 修后绿（原样输出）

修前（把 `judgeRetentionEmotion` 换成 commit 979d1cf 的黑名单实现，逐字）：

```
--- FAIL: TestExtractionRetention_EmotionWithObjectIsNotDeferred (0.00s)
    --- FAIL: …/主人难过时会想我们  extract_retention_test.go:122: judgeExtractionRetention("主人难过时会想我们") = "n2_emotion", wantEmotionDefer=false
    --- FAIL: …/主人心情不好时会想他  … = "n2_emotion", wantEmotionDefer=false
    --- FAIL: …/主人不开心时会想和好  … = "n2_emotion", wantEmotionDefer=false
    --- FAIL: …/主人不开心时会想我    … = "n2_emotion", wantEmotionDefer=false
--- FAIL: TestExtractionRetention_PositivesAreNeverDeferred (0.00s)
    --- FAIL: …/情绪+代词宾语（想我）   正例 "主人不开心时会想我" 被拦成 "n2_emotion" —— 把真记忆丢进临时层
    --- FAIL: …/情绪+代词宾语（想他）   …   --- FAIL: …/（想我们） … --- FAIL: …/（想和好） …
FAIL
```

修后：`TestExtractionRetention_{UpperCaseASCII,NegativesAreDeferred,
EmotionWithObjectIsNotDeferred,PositivesAreNeverDeferred}` 全 PASS（共 44 个子例）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
 2026-10-13 20:47:59 +08:00
AskaEth 041a6ff504 Merge branch 'feat/outboundid-capture-platform-message-id-o' into dev 2026-10-13 20:47:55 +08:00
AskaEth b504df01e0 feat(channel): 出站消息 id 采集（可选 seam + qq_obv11 两分支取回） 
「接她的话」缺的 A 层：平台给她自己那条出站消息分配的 id，此前在解析的那一刻
就被丢掉（HTTP 只校 retcode、WS 写完不等回声、契约层没有 id 出口）。

- internal/channel/adapter/outbound.go（新）：SendReceipt/SendOutcome/SendIDStatus
  + 可选接口 OutboundReceiptAdapter + 调用方入口 SendWithReceipt。**不加进
  PlatformAdapter** —— 四个未接线适配器与全部桩实现一行不改（向后兼容硬指标）；
  也不用回调：id 是某一次投递的属性，必须随那次投递返回。
- qq_obv11：HTTP 从响应信封 data.message_id 取；WS 登记 send_msg 的 echo 等待者
  （复用 probe.go 的 action 等待表与 routeActionResponse，不另开通道）。取不到
  一律空 id + 三态可分辨（reported/absent/unreported），绝不编造。
- send_msg echo 键改用单调计数器（旧 UnixNano 在 Windows 时钟粒度下会撞键，
  撞键即拿不到自己的回执）。
- 既有 SendMessage/SendProactive 路径行为不变（wantReceipt=false 不等待）。

验收：go build ./... + go vet ./... + go test ./... 全绿（cmd/cyrene、internal/webui
的 setup 失败是 worktree 缺 dist 的既有环境限制，base 同样失败）。
 2026-10-13 20:38:12 +08:00
AskaEth 5daba92d0f docs(memory): 十一键措辞收口（seed* + snapshot*） 
tempTtlSec 落地后，`memory-tidy.json` 的播种契约就是**十一键**，而三处文件的注释仍
写「十键」。这些是**过时的陈述**（不是风格问题）：下一位读者会从「快照契约：十键非
nil」里读出一个错误的口径，而 `memoryTidySeedComplete` 实际校验的正是十一键。

改的只是措辞，一行逻辑没动：
- internal/config/runtimeconfig/memorytidy_seed.go:25,160
- internal/config/runtimeconfig/memorytidy_seed_test.go:19,27,62,82,97,214
- internal/runtime/memory/tidy_snapshot_test.go:14,27,159

（`cmd/cyrene/wire_memory_tidy.go:65` 还有同类的一处「这十键」，该文件属 M3 的
scope，未动 —— 塔已转 M3。）

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
 2026-10-13 20:38:02 +08:00
AskaEth 979d1cfbb2 fix(memory): 留存规则 N2 改按实体判定（持久习惯不再被误弃） 
## 改了什么（行为变更）

`judgeRetentionEmotion` 原判据是「含情绪词 ∧ 无阿拉伯数字 ∧ ≤24 rune」—— 它把
design/03 §10.5 对 N2 的定义「**词项 + 无实体**」里的「无实体」这一维**顶替成了
「无数字」**，方向恰好落在 fail-safe 的反面。

反例（review 走 `judgeIngest` 真链路复现）：
  主人心情不好时会听音乐   → 旧判据 defer / t0_low_value
  主人焦虑时会咬指甲       → 旧判据 defer / t0_low_value
这两条是**稳定习惯**（正向清单），判 defer 即 7 天后从所有读路径消失（读侧时效闸，
design/03 §9.6）、随后被后台清扫**物理删除**（design/23 §19）—— **不可逆**，与
mission 文本写死的 fail-safe「宁可多留，不可误弃」相反。

新判据（设计与 mission 允许，不改设计）：**剥掉情绪词 / 时间词 / 主语 / 程度词 /
虚词 / 标点之后，余下为空才判 defer**；只要还剩一个实体（听音乐 / 咬指甲 / 养猫
/ 找朋友聊天）就放行。实现是 `retentionResidual` + 一张**长词优先**的剥离表
（长词优先是必须的：先剥「好」会把「好累」拆成光杆「累」而永远剥不掉）。

配套：
- 剥离表新增「不错」（情绪评价，整词）与光杆「累」—— 只靠虚词表里的「不」会把
  「心情不错」剥成「错」、把「主人今天真的特别累」剥成「累」而漏判；
- 去掉 N2 专属的 24-rune 上限（判据恒是「无实体」，长度由全局 40-rune 上限兜住）；
- 数字不再单独设防：它不在剥离表里 ⇒ 必然留在残差里 ⇒ 一律放行（与旧
  hasRetentionDigit 等价，但由同一条判据统一给出）。

## 为什么这是 p1 而不是精度问题

判错的方向不对称：漏判只是噪声留进长期层（有 T1 与整理兜底），误弃是**不可逆的
数据丢失**。因此 N2 宁可漏判，绝不误弃。

## 配套测试（此前这条缝**完全没被覆盖**）

- 正例清单新增 5 条「带宾语的情绪句」：`主人心情不好时会听音乐` /
  `主人焦虑时会咬指甲` / `主人心情低落时会养猫` / `主人压力大的时候喜欢吃甜的` /
  `主人难过时会去找朋友聊天`（旧正例里没有这一类样本，所以旧缺陷一路全绿）；
- 新增 `TestExtractionRetention_EmotionWithObjectIsNotDeferred`：逐条断言**残差**
  与最终结论 —— 带宾语 ⇒ 不 defer、纯情绪 ⇒ defer，两者必须给出相反结论；
- 新增反例 `主人今天真的特别累`（纯情绪、无实体）钉住「不是靠长度躲过」。

修前必红 / 修后绿（把 N2 退回旧判据后原样输出）：
  正例 "主人心情不好时会听音乐" 被拦成 "n2_emotion" —— 那是把真记忆丢进临时层
  正例 "主人焦虑时会咬指甲" 被拦成 "n2_emotion" —— …
  judgeExtractionRetention("主人心情不好时会听音乐") = "n2_emotion", wantEmotionDefer=false
  --- FAIL: TestExtractionRetention_PositivesAreNeverDeferred
  --- FAIL: TestExtractionRetention_EmotionWithObjectIsNotDeferred
还原后：TestExtractionRetention_{UpperCaseASCII,EmotionWithObjectIsNotDeferred,
NegativesAreDeferred,PositivesAreNeverDeferred} 全 PASS。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
 2026-10-13 20:37:57 +08:00
AskaEth 3f266c26b2 Merge branch 'feat/speakerattr-attribute-group-speakers-and' into dev 2026-10-13 20:37:19 +08:00
AskaEth e32d85afc3 docs(api): 契约 v0.91 —— recallMode 如实上报（新增 mixed/空态语义） 
起因：M6 诊断发现旧实现把「向量路径实际失败、回退词项」静默报成 embedding，面板看不出降级。M9 改为上报实际选用的召回路径，取值域扩 mixed（部分分区降级）与 ""（无候选可比）。同步：版本行 + §6 v0.91 条目 + §4.12 的 recallMode 值表；并记录「客户端 5s 超时未改、改的是批上限推演」这条对客户端透明但重要的取舍。
 2026-10-13 20:37:17 +08:00
AskaEth 91e4dd2fe1 fix(channel): 静默登记同源第三方标注 —— 无昵称非主人不再被读成主人 
review p1：回帖路径已改用 thirdPartySenderName（非主人恒有标注：昵称 → actor
uid → 「未署名发送者」），但 registerSilenced 仍用 senderDisplayName，非主人
无昵称时写出空串；静默行会被 transcript 读回她的上下文，而受限会话里空标注就是
「主人本人」⇒ 在 senderName 可选且无兜底的渠道（webhook）上，一条没昵称的陌生人
消息被渲染成「[发言归属] 以下发言来自主人（管理员账户）本人」。

- light.go:270：senderDisplayName → thirdPartySenderName，与回帖路径同源。
  senderDisplayName 未成死代码：仍被 light.go:223（LightJudge 输入）、
  engage.go:284、flowgate.go:183 使用。
- 新增 TestSilencedNamelessMemberIsNotReadAsTheOwner：走真链路（静默登记 → 落库
  → 下一回合播种转录 → loop 归属渲染 → provider 请求），钉住「无昵称的非主人经
  静默登记后，读回上下文时不得出现主人标注」。修前必红（写入口径与模型侧两条
  断言同时报，含被读成主人的原样请求），修后绿。

验证：go build ./... / go vet ./... / go test -count=1 ./...（全树）全绿。
 2026-10-13 20:34:04 +08:00
AskaEth 59672720bd fix(memory): embedding 批上限与超时同源 —— 不再「客户端先放弃、服务端继续算」 
M9（EMBRECALL）。故障机制（M6 + 本次复测）：客户端 5s 单次超时先放弃，服务端仍在
算那一批 ⇒ 本机 llama.cpp 被自己顶住 ⇒ 后续每个请求（含写向量索引的单条请求）
排队到自己的超时 ⇒ 召回全线降级。

- embedding/budget.go（新）：把「一次请求的耗时上界 ≤ 单次超时的一半」写成不变式，
  批上限（条数 4 / 字符 480）与 5s 超时由**同一个不等式**解出；实测依据与复跑命令
  写进注释（空闲态摊销曲线 1→0.19s / 8→1.1s / 12→1.3s / 64→8.5s，约 50ms 固定 +
  2.7~3.9ms/字符，n≥32 起有数倍放大 ⇒ 余量取一半）。
- embedding/api.go：Embed 按同一对上限**自己切片**（不变式与调用方无关）；冷启动
  首次调用单独给 warmupTimeout，拿到第一个成功响应后立刻回常态超时。
- memory/tidy_config.go：tidyEmbedBatch = embedding.DefaultBatchLimit（同源），
  并加编译期断言 —— 调回 64 会直接编译失败（constant -60 overflows uint）。
- memory/tidy.go | tidy_recall.go | tidy_dryrun.go：recall_mode 改报**实际发生**
  的来源（""=本轮没候选可比 / embedding / lexical / mixed），新增
  recall_degraded_partitions；试算轮 RecallMode 同口径（M6 medium finding）。
- 测试：embedding 侧用「实测曲线 + 会睡够时间的假客户端」钉住两态
  （批内 < 超时 ⇒ 不降级；旧配对 64 条 ⇒ 必然超时），并断言 abandoned == 0；
  memory 侧钉住降级/健康/没候选三态与试算轮的如实上报。

不改 preinsert*、不改 .env、不动判定规则与任何阈值。
 2026-10-13 20:33:26 +08:00
AskaEth d4ed043d5c test(memory): 修播种日志用例的偶发假红 + 补 TempTTL 接线缝断言 
两件都是**测试面**的补件，不碰被测逻辑。

① 既有 flake（internal/config/runtimeconfig/memorytidy_seed_test.go）：
TestSeedMemoryTidy_LogsPathAndReasonWithoutValues 原先用**裸数字**扫**整行**日志找
4242/10800/1800，而同一行合法地打了 `path=<临时目录>`，`t.TempDir()` 的目录名带
随机数十进制 ⇒ 偶发命中（约个位数/10000），表现为假红。
修法取「断言带字段名的形态」：哨兵改成 `=4242` / `=10800` / `=1800` / `=259200`
（slog 的 `key=value` 字段形态），路径里的随机数前面是路径分隔片段而不是 `=`，
因此不受影响。
**为什么不用另一个备选「只扫 keys= 之后的内容」**：那会把断言缩成「keys 列表里没
有值」，任何以别的字段名打出来的值（`interval_sec=4242`、将来新加的字段）都会溜
过去 —— 等于把这条防护改成空壳，而不是修掉它的假红。
顺手把 tempTtlSec 的哨兵值 259200 一并纳入（上一切片给 completeSeedTuning 加了这
个键，漏掉它会让「不打配置值」在这一个键上失去覆盖）。

② 缝断言（cmd/cyrene/wire_memory_review_test.go）：
TestMemoryReviewIsWired 的 seams 表补上 `a.memoryTempTTL()` 与 `TempTTL: tempTTL`
—— 上一切片把面板 `tempTtlSec` 接进 ReviewConfig 时，这条缝没有被覆盖，「接线被
摘掉」不会红。

自证：
- ① 前后对比（确定性，把临时目录名强制含 1800）：旧形态 FAIL（「日志里出现了配置
  值 1800」）、新形态 PASS；另跑 `-count=20` 全绿。
- ② 变异：把 helper 与调用点一起改名 ⇒ `wire_memory_review_test.go💯 找不到
  "a.memoryTempTTL()"` FAIL。
 2026-10-13 20:26:46 +08:00
AskaEth 8ab241f627 feat(channel): 群聊发言人归属落进模型上下文（user 侧也产出标注） 
裁决 06.4.1 行动项①②落地（主人 2026-10-13 定稿：结构化归属 + system 标注，
不把元数据拼进用户正文）。

- loop/attribution.go：发言人归属从「只认 assistant」扩到 user 侧，按三条
  结构事实各出一条边界说明 —— assistant 的角色（她自己 / 别的角色，措辞逐字
  不变）、受限会话里带昵称的第三方人员（明标「不是主人」）、以及不带昵称的
  主人本人；受限会话里未标注的 assistant 历史按 design/22 §7-4 归到本会话角色。
  标注仍只新增 system 消息，正文一字不改。
- channelbridge/inbound_speaker.go（自 inbound.go 拆出）：第三方发送者标注车道
  thirdPartySenderName —— 主人恒返回空（主人从不被标注），其余昵称缺失时退到
  平台 uid 再退到「未署名发送者」，绝不落进「空标注 = 主人」那条车道；
  thirdPartyBoundaryPrompt 删掉「只有未标注昵称的消息才是管理员（主人）发言」，
  改为「谁在说话以「发言归属」标注为准」。
- channelbridge/source.go：来源行删掉「（非管理员账户=第三方人员，未标注昵称=主人）」。
- 主人本人在群里的消息落库不再写昵称（sender_name 空 = 主人），使转录里同一句话
  的归属与当回合一致。

验证：go build ./... / go vet ./... / go test ./...（含全树）全绿；
变异自证：把 user 侧归属恢复成不产出 ⇒ 3 条 loop 用例 + 1 条渠道端到端用例变红。
 2026-10-13 20:24:21 +08:00
AskaEth a6f3817061 Merge branch 'feat/addressto-add-addressed-to-me-signal-and' into dev 2026-10-13 20:23:43 +08:00
AskaEth 21b906ffb0 feat(memory): D3 第五态 defer（入库审查）+ 提取留存规则闸 + 临时 TTL 配置面 
主人原话：「收窄提取器，确实要给他一个主动式的记忆留存规则，不能想到什么都
往记忆里写」「.env 只做兜底用 …这些键优先从面板配置上取」「临时记忆到期删除」。
按 design/23 §18（D3 第五态 defer）、§19（到期处置）、design/03 §9.6
（tempTtlSec 默认 7 天 + 坏值口径）、§10（提取留存规则）落地。

- IngestDecision 闭集加第五态 defer：照常 active 落库 + 写短 expires_at 落
  临时层（不删行、不改正文，回滚 = 清空该列）；IngestRuleVersion d3.2 → d3.3。
- 落点：ingestGatePlan 增 ExpiresAt + expiresAt()（走 expiryText/formatTime 的
  定宽 30 字节 UTC，与读侧时效闸同一套文本口径），由 finishIngest 在 defer 一态
  补写 expires_at（INSERT 与补写之间的短暂窗口如实登记，方向 = 宁可多留）。
  非 defer 三态一笔都不多写。
- T0 提取留存规则闸（extract_retention.go）：design/03 §10.5 的 N1~N5 纯规则，
  接进 judgeIngest 的候选比对之前，命中即 defer + reason=t0_low_value，不进 T1；
  两道护栏（显式「记住」/ 持久信号）一票放行，fail-safe 方向 = 宁可多留。
- T1 闭集扩为 merge/modify/keep/defer（同一个 prompt、同一次调用，绝不新增
  第二次模型调用）：只有关系判为真新时才问价值；defer 要求 target=0，否则判
  非法回落 create（reason=t1_reply_invalid）。
- 提取器提示词加固（design/03 §10.3 B）：正向清单 + 反例清单 + 「允许返回 []」。
- 临时记忆 TTL：代码默认 tempTtlSec = 604800（7 天）；面板
  $DATA_DIR/config/memory-tidy.json 的 tempTtlSec 优先（ApplyReviewTuning 逐键
  解析，坏值回落默认 + WARN，绝不写进 cfg）。该键在 .env 里没有出处且不新增
  （.env 已冻结）⇒ 实际生效链是「面板 > 代码默认」。启动播种同步该键（*int +
  omitempty，nil 省略、绝不写 null），保证播种文件与生效值逐字一致。
- preinsert_store.go 的 listReviewCandidatesSQL 原位注释：这条内部召回 SQL
  刻意不过时效闸的裁定与理由（design/03 §11.2 第 3 条）。
- 测试：defer 落库带短 expires_at（闸 + T1 两条路径）、写入口径与时效闸同源、
  TTL 坏值与回落、规则版本 d3.3、整理候选幂等键不含 IngestRuleVersion、
  提取规则正例 11 条 / 反例 11 条。

验收：go build ./... + go vet ./... + go test ./... 全绿；windows/darwin 交叉
编译通过（GOOS=darwin GOARCH=arm64 / GOOS=windows GOARCH=amd64）。
 2026-10-13 20:22:48 +08:00
AskaEth b26bc55a15 feat(channel): 消息契约加「她自己账号 id / 是否在叫她」结构化判据并接线 qq_obv11 
契约（internal/channel/adapter）：UnifiedMessage 新增三个字段 —— SelfID（她自己在该
平台的账号 id）、MentionAll（是否 @全体，design/26 §2.4 的 mention_all）、AddressedToMe
（本条是否指向她本人）；判据的唯一出处是新增的 MentionedSelf（结构化 id 精确比对，
空 selfID 一律 false）与 AddressedToSelf（私聊恒 true；群聊 = 点名她或 @全体；
平台未给 SelfID ⇒ fail-closed）。全程不匹配正文文本。

接线（plugins/channels/qq_obv11）：新增 addressed.go，把事件里早已解出、此前只用于
debug 日志与 notice 判定的 self_id 接进 toUnified，并从 at 段解出 @全体（qq=all），
在 ChannelType 判定之后统一回写三个字段。

design/18 §2 触发① 的旧口径「Mentions 非空」= @谁不论（实测群 672432767 里 @别人两次
被回）；本片让消费侧（light.go:142，归 M12）能改用 AddressedToMe || MentionAll。
既有字段 Mentions/ReplyToID/ReplyToText 语义与形状不变。

测试：qq_obv11 十种帧形态（私聊/@她/@别人/@全体/无@/CQ 形态/fail-closed/纯回复）
逐条断言；adapter 侧覆盖 MentionedSelf 与 AddressedToSelf。变异自证：判据改回
「Mentions 非空」⇒ group_mention_other 红；摘掉 selfId 接线 ⇒ group_mention_me 红。
 2026-10-13 20:17:56 +08:00
AskaEth 1cd38514f3 Merge branch 'feat/owneracct-fix-add-account-id-button-roun' into dev 2026-10-13 20:07:02 +08:00
AskaEth 625ae33c1e fix(admin): 主人账号编辑器草稿改存无损形态 ——「+ 添加账号 ID」不再点了没点 
根因：`emit` 把每次改动都写成 `flattenAccounts(groups)`（写盘形态，空行被丢掉），而
草稿本身就是界面手势的往返载体 ⇒ 刚点出来的占位空行当场蒸发，界面照旧（主人报的
「配置指定适配器主人账号的卡片内的添加账号ID按钮似乎没用」）。`+ 添加平台` 走同一条
通路（空平台组同样被丢），实测同样失效。

改法：分清两种扁平形态 ——
  · 草稿 `draftAccounts`（编辑期，无损：空行/未选平台的组都留着；不 trim 正在输入的字）
  · 写盘形态 `accountsForSave`（保存期，只留平台与账号 ID 都非空的条目）
后端契约与 `configs/users/owner.yaml` 格式一个字不改。保存路径写盘前必须收形：半成品
条目（有 id 没平台）会被后端 `Validate()` 直接 400（internal/user/load.go）。

测试：`OwnerAccountsView` 从编辑器里拆出来（无 hook），测试可直接调用它、点它自己的
按钮、把 onChange 收到的真草稿再喂回去重渲染 —— 走的是「手势 → 草稿 → 界面」真往返
（本项目没有 jsdom）。修前该测试红在「点『+ 添加账号 ID』⇒ 界面上真的多出一行 —
got 1, want 2」。
 2026-10-13 20:00:43 +08:00
AskaEth 68ba85389b Merge branch 'feat/memgate-read-side-expiry-gate-for-memory' into dev 2026-10-13 19:59:40 +08:00
AskaEth b01e2ddb1a refactor(admin): 主人账号编辑器拆出无 hook 的 OwnerAccountsView 
界面本体与「分组/选项 memo」分层：OwnerAccountsEditor 只做 memo 组装，OwnerAccountsView 无 hook。本项目没有 jsdom，拆开后测试可以**直接调用**视图、点它自己的按钮，从而钉住「手势 → 草稿 → 重渲染」这条往返（见下一个提交）。行为不变：emit 仍用 flattenAccounts；账号行加 data-account-row 定位标记。
 2026-10-13 19:56:32 +08:00
AskaEth 0c5fa7b2ae docs(memory): timegate.go 登记「审查留痕读侧不过闸」—— 留痕表结构上无该三列，无可加之闸 2026-10-13 19:54:36 +08:00
AskaEth 9a3b3cff8b feat(memory): 读侧时效闸（四条列表读路径）+ Add 落 expires_at 列 
主人裁定「临时记忆到期删除 / 任何调用记忆的地方都要正常调用到」的读侧
第 ① 步（隐藏）：design/03 §9.6 / §11.2 的时效闸下沉到共享底层，不写在
任何调用点。

- timegate.go（新）：timeGateClause = (expires_at = '' OR expires_at > ?)
  AND (valid_to = '' OR valid_to > ?)；timeGateNow() 与列值同源（同一个
  formatTime 的定宽 30 字节 UTC 文本），expiryText() 负责写入侧编码。
- Store.ListByPersona / List / ListScope / ListProject 四条列表读路径
  的 WHERE 在既有 status 闸之后拼上时效闸；Retriever.visibleCandidates
  组合前两条，检索入口因此自动继承同一判据（无第二处判据）。
- Store.Get 与整理/审查的内部召回 SQL 刻意不过闸，理由写在各自注释里
  （listTidyPartitionItemsSQL 原位注释在本切片；listReviewCandidatesSQL
  的原位注释按塔裁定改派 M2，timegate.go 头注登记了这条拆分）。
- Store.Add 的 INSERT 补上 expires_at 列（MemoryItem.ExpiresAt）：Add 是
  全仓唯一 INSERT 路径，时效列的真生产者只能在这里，否则闸退化成空壳。
- timegate_test.go（新）：过期/失效行在四条路径与 visibleCandidates 上
  都不可见、空值与未来值可见、Get 仍能读过期行、Add 真的落库该列；
  外加时间口径同源钉（文本序==时间序 + 跨格式 'T' vs ' ' 陷阱实证）。

验收：go build ./internal/runtime/... 通过；go vet 通过；go test
./internal/runtime/memory/... 全绿；internal 全包 62 个 ok / 0 FAIL；
GOOS=darwin GOARCH=arm64 交叉构建通过。
 2026-10-13 19:54:19 +08:00
AskaEth ae68bb0241 docs(api): 契约 v0.90 —— 渠道连接态三态（可选 pending/ready/reason + connected 语义收紧）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
登记 POST /admin/channels/open|close 响应与 GET /admin/channels 平台行/账号行新增的三个可选键，并写明 connected 由「动作被受理」纠正为「真实连接状态」这一行为变更（老客户端若只看 2xx 会继续骗人）。新增 §2.4(d) 字段级说明；C19/C20 两行标注；计数不变（14 + 25 + 40 = 79）。
 2026-10-13 19:41:14 +08:00
AskaEth b4d55f412e fix(channel): 连接动作不再乐观 —— 适配器自报连接态三态 + 面板如实呈现
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
根因：adminChannelOpen 在 ch.Connect 返回 nil 后硬编码 connected=true。而 Connect 返回 nil 只说明「这次调用没有致命失败」—— ws+client 首连失败刻意非致命（OneBot 实现可能比 Cyrene 后启动），ws+server 则只需监听就绪，两种情况 IsConnected() 都是 false。前端又只按「请求成功」写死「已连接」，于是管理面把「后端受理了」说成「渠道连上了」。

改法：三态口径落在适配器自己身上（connected/pending/ready，internal/channel/adapter 的纯函数 ConnectStateOf 判定 + ConnectSignals 结构化入参，避免两个 bool 接反），qq_obv11 实现 ConnectOutcome 并记住脱敏后的失败原因；网关经类型断言探测（与 accountStatusAware/rescanAware 同套路，核心 sdk.Channel 契约刻意不扩展），只做映射不猜 transport/mode。

线上投影：open/close 响应与 GET /admin/channels 的平台行/账号行各新增 pending/ready/reason 三个可选键（零值即整键缺席，同 NeedsRescan/LastError 口径）；既有四键逐字不变，未实现该状态面的平台输出逐字节不变。close 报真实 IsConnected()，断开也不乐观。

凭据边界：reason 三层脱敏（形状级 → 已知明文替换 → 剥 access_token= 查询参数），日志同样只用脱敏串。

验收：主会话亲自复跑 go build/vet 全绿、全树 go test 无 FAIL、目标三包 test 全绿、前端 tsc --noEmit 干净、esbuild 逻辑测试 34+46 checks 全过；主会话亲自变异摘掉第 3 层脱敏实现，发现原两条脱敏用例其实钉不住它（值恰好等于已知明文/被形状级顺带吃掉）⇒ 补一条钉住它独有窗口的用例（短值+紧邻空白），变异下必红、还原后绿。
 2026-10-13 19:38:56 +08:00
AskaEth d81635672e fix(channel): 热重载把新适配器写回能力注册表
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
面板保存渠道配置后 Bridge.Reload 只重建了桥接器自己的适配器表，能力注册表里的条目仍指向保存前的旧实例；而管理面的渠道列表、每账号连接状态、open/close 的目标解析全部读注册表 —— 于是卡片永远「未连接」，点「连接」驱动的是旧实例（按旧 URL 拨号）。

生产日志实证：保存后 bridge 侧新实例连上 ws://localhost:3001 且心跳正常，而点连接时被驱动的适配器拨的是旧地址 ws://localhost:10301。

改法：注册表新增 upsert 语义的 ReplaceChannel（覆盖 Value、保留运行期 Policy；Register 遇重名会 ErrDuplicate，热重载必然同名）；桥接器经窄端口在适配器上线后同步，账号被移除时删除条目；组合根注入 a.caps 包装。同步失败只记日志、不中断 Reload；未接线时保持旧行为并只 WARN 一次。

验收：go build ./... + go vet 全绿；registry/channelbridge/gateway 三包 test 全绿；主会话亲自变异（摘掉 Policy 沿用 ⇒ TestReplaceChannelSwapsValueAndKeepsPolicy 红）。linux/darwin 交叉编译通过。
 2026-10-13 19:21:49 +08:00
AskaEth 23b6e3fe1e feat(memory): 启动时自动播种面板配置文件（缺失才写、绝不覆盖）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07：「后端自动创建独立的面板配置文件要做」。

- 启动路径（wireMemoryTidy → applyMemoryTidyTuning 之后）若
  $DATA_DIR/config/memory-tidy.json 不存在或全空白 => 写一份「当时生效值」
  （十键：既有六键 + 频率四键），此后面板接管
- 已存在（非空）=> 跳过，该分支没有任何写盘语句；损坏 => WARN + 按 .env 跑、
  一个字不写盘（不「修好它」）
- 幂等（第二次启动必落到跳过分支）；原子写（tmp 0600 + rename）
- 落盘前完整性闸：缺键 / 非正周期 / 钟点越界 => WARN + 不落盘
- 值来自 TidyTuningSnapshot（先跑两个归一化再翻回正向键）=> 播种那一刻运行
  行为零变化，有强断言（归一化后配置逐字相等）
- 零新增依赖、零 env 键变更；5 个变异（含「让已存在走写盘」=> 红）
 2026-10-07 20:38:37 +08:00
AskaEth d680390300 feat(memory): 整理频率走面板配置（面板 > env > 默认）+ 分时段动态间隔 
主人 2026-10-07：「.env 只做兜底…优先从面板配置上取」+「频率必须调…或者动态
分配，比如白天间隔短一点 晚上到了静默时期稍微长一点」。

- memory-tidy.json 新增四键：intervalSec / quietIntervalSec / quietStartHour /
  quietEndHour（*int + 指针判定 => 显式 0 是合法值、缺位才回落）
- 优先级逐键三档：面板 > env（既有键，未增删）> 代码默认；坏值不覆盖 + WARN，
  且不启动失败
- 动态间隔由纯函数 intervalAt(at) 决定，调度侧每一拍现算 => 跑完按当时时段重算
- 🔴 语义变更（有意，代码注释已登记，待补设计修订）：安静时段从「唯一可跑时段」
  变成「降频时段」—— 旧的「安静窗外一律 continue」被删，否则 intervalSec 永远
  是空壳（白天唤醒必被跳过）；窗口仍决定档位与补跑判据
- 6 个变异（含「加回旧的那道门」=> 端到端用例红）
 2026-10-07 19:21:32 +08:00
AskaEth 6deab2e836 fix(io): knowledge 工具不再接受「以他角色身份检索」（红线越权读）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
design/03 §7.1 写死：跨角色读只有一条通路（把 B 当子代理派出去查）；
「自己的检索能拿到 B 的角色日常记忆 = 已经越权（不是灰区）」。

缺陷：resolvePersona 让显式 persona 参数优先且零校验 ⇒ 模型（或提示词注入）
传 persona=B 即走 ListByPersona(B)，读到 B 的角色日常记忆。

- 角色改为只能来自当前回合（tool.TurnPersonaFrom(ctx)）；显式 persona 非空
  且不等于本回合角色 ⇒ 明确拒绝（可消化：原因 + 改道 + 不许重复调用）
- 选「严格校验」而非「删参数」：删参数会让模型静默改用本回合角色，把 A 的
  记忆当成 B 的（归属错认）且毫无信号；删键亦属对外可见的 schema 变化
- 工具 schema 键集合与必填项不变（只改 description 文案）⇒ 契约零变化
- 子代理通路未破（子代理回合的 TurnPersonaFrom 本来就是 B，已加用例钉住）
- 顺带核对：FilterSharedVisible 仍在，受限环境过滤未因地塌陷

点名改掉两条「依赖缺陷行为」的既有用例：
- TestKnowledge_ExplicitPersonaWins（原断言把「模型点名即换角色」写成规格）
- TestKnowledge_ReturnsResults（机械依赖，只改调用形状，断言一字未动）
 2026-10-07 19:17:07 +08:00
AskaEth 811e463cea refactor(web): chat.tsx 551 行按职责拆成 5 片（守 500 行铁律，零行为变化）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- chat/index.tsx 272 行（编排层：SplitChatBubble + MessageBubble + 各气泡）
- chat/toolviz.tsx 112（工具卡 / 思维链可视件）
- chat/labels.tsx 70（元数据小字）
- chat/chrome.tsx 60（外壳判定与注记）
- chat/split.ts 51（纯函数：br 分隔与段落切分，最易测）
- 旧 chat.tsx 删除；调用方一行未动（沿用既有目录索引解析，与 messages/ 同一模式）

纯搬家证据：把旧文件与新 5 文件做行多重集 diff，差异只有 export 前缀、
一行 re-export（ThinkingBlock / ToolCard）与 import 重写 —— 没有一行
JSX / 样式类名 / 逻辑变化；测试文件一字未改。
对外导出名与形状逐字不变（仍是 ThinkingBlock / ToolCard / MessageBubble / SplitChatBubble）。

验收：tsc 0、render 189 checks、bubble 27 checks、四个邻接套件全绿、
vite build 294 模块；变异（拆后去掉 br 空段过滤 => ⑦ 红）证明测试仍在真测那些逻辑。
 2026-10-07 18:56:30 +08:00
AskaEth 789e3af74e fix(multimodal): 视觉工具的空/畸形 data: URI 明确拒绝 + 入参嗅探与可行动报错 
根因（从 checkpoints 取到的那一轮 tool_call 实际 ARGS 逐字节核实）：
模型交给工具的 image 参数是 "data:image/png;base64," —— 只有前缀、
载荷为空（全长 22 字符）。两个加载器早就会剥 data: 前缀，但把空载荷
解码成零字节后照样挂上合法 MIME 放行：
  image-crop → 零字节进 image.Decode ⇒ image: unknown format
  vision     → DataURI("image/png", nil) 发给上游 ⇒ 400 unsupported image
（模型复述不出入参里那条 58583 字符的 data: URI，只抄下了前缀。）

- 新增 checkInlinePayload：data: URI 解码后做内容嗅探（复用既有裁决）
- 空载荷 / 缺 ;base64 段 / 缺逗号 / 非法 base64 ⇒ 明确拒绝
- 报错含「不是图片」+ 嗅到的类型 + 支持格式 + 十六进制物证 + 可行动提示，
  且不回显正文或 base64
- 裸 base64、http(s) URL、工具 schema、安全策略一律未动
- 测试：新增 16 个用例；全树 61 包 ok；4 个变异（含停用嗅探 ⇒ 5 用例红）
 2026-10-07 18:50:45 +08:00
AskaEth da1d23dd23 docs(契约): 补两条口径 —— 非 chat 模式（单卡正文）与 br 不分隔的位置
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 非 chat 模式（工作/代码/文档/首页/视觉/语音/智能体/设置）：br 是真换行、
  不切分；行内白名单照常出样式；白名单外逐字原样；不许出现字面标签。
  各模式既有较强排版约定优先（工作模式按行切清单、代码模式 pre 块）
- br 只在普通文本层分隔：角色注记内部与白名单行内元素（尤其 code）内部
  都不分隔 —— 前者会把注记正文漏成聊天气泡，后者会破坏成对元素平衡、
  触发整段降级反而露出裸标签
 2026-10-07 18:45:08 +08:00
AskaEth f01fd7db20 feat(web): u 加回白名单 + 空气泡丢弃 + 非 chat 模式不再显示字面标签 
主人 2026-10-07 三点裁定：「下划线确实可以保留」「多余的空气泡确实可以丢掉」
「非聊天模式 按照应当有的专业卡片和格式来显示」。

- 白名单回到六项（u 加回，s 仍在外）
- 空 p 块也丢（与 br 碎片同一口径）；纯注记回复 ⇒ 零气泡
- 非 chat 模式（8 个单卡正文）给它自己的渲染口径 CARD_RENDER：
  br ⇒ 真换行元素（那些容器没有 whitespace-pre-wrap，文本换行会被 CSS 折叠）、
  行内白名单正常出样式；WorkMessageBody 的按行切清单、CodeMessageBody 的 pre
  等既有较强约定一律保留
- 🔴 发现并修了一个会炸的下游损失：空气泡原本是承载头像/思维链/工具卡/心情/
  「生成中…」的那一行，丢气泡会把这些用户可见内容一起丢 ⇒ 加 hasBubbleChrome,
  补一行无正文外壳
- 测试 99 -> 189 checks；6 个变异（含「外壳行摘掉 ⇒ 工具卡丢失」）
- 改掉一条既有断言：三个 p 中首段被注记剥空 ⇒ 气泡数由 3 改为 2（并补按行数断言）
 2026-10-07 18:44:45 +08:00
AskaEth 1107b2a717 docs(契约): 行内白名单定为六项（加回 u，s 仍不在内）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-07 18:37:42 +08:00
AskaEth 74c9f2d8df feat(channelbridge): u 加回 IM 出站的行内白名单（改为六项）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定「下划线确实可以保留」。

- 行内白名单：b / strong / i / em / code / u（六项）
- s 仍在外（逐字原样保留，含大写 <S>）—— 有一个守门变异专门锁这条
- 行为改动只有一行（case 列表加 "u"），其余是注释与测试同步
 2026-10-07 18:37:35 +08:00
AskaEth a19d12b228 feat(markup): br 改为气泡/消息分隔符 + 行内白名单收窄到五项（Web + IM 两侧） 
主人 2026-10-07：「对消息内的 <br> 始终处理为多条消息隔断」。

Web 侧（frontend/web）：
- chat.tsx 的 splitParagraphs（SplitChatBubble 的切分层）新增 BR_SEPARATOR_RE
  与 splitBubbleBreaks：<br>/<br/>/</br> 等价、属性不解析、<brow>/<br2> 挡掉、
  流式半截 <br 不切；不含 <br> 的段逐字返回原样（既有 p 口径一字节不动）
- inlineMarkup.ts 删掉 break 节点（br 不再是行内元素），白名单收窄为
  b/strong/i/em/code 五项；renderContent.tsx 同步；测试 76 -> 99 checks
- 40 条基线逐字节对照：28 IDENTICAL，12 个 DIFF 恰是含 br/u/s/<BR> 的样例

IM 侧（internal/services/channelbridge）：
- 新增 inline_tags.go：成对平衡的白名单行内标签剥标签留文本、白名单外与
  结构不平衡整段原样保留；br 作为第二级分隔符交给 splitBubbles
- 两级切分：p 块为第一级，块内按 br 再切为第二级；空气泡丢弃
- br 切分放在角色注记摘除之后：否则 action 里的 br 会把注记正文漏成聊天气泡
  （变异专门钉住这条顺序）

两路各 4 个自带变异均「改坏 -> 编译过 -> 变红 -> 还原 -> 复绿」。
 2026-10-07 17:32:05 +08:00
AskaEth 6ac214366e docs(契约): br 改为「气泡/消息分隔符」（主人口径），行内白名单收窄到五项
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07：「对消息内的 <br> 始终处理为多条消息隔断」。

- br 语义与 p 同级：两边文本成为两条独立消息（IM）/ 两个独立气泡（Web），
  而不是同一气泡内的换行；<br> / <br/> / </br> 三种写法等价
- 行内白名单据此收窄为五项（b/strong/i/em/code），br 移出白名单
- 明确影响面：含 br 的回复在 IM 上会变成多条消息（受既有气泡间隔节流）
- 标注「实现跟进中」：Web 端 2dae469 当时把 br 当行内换行、IM 出站当时
  连行内标签都还没剥，两侧都在改；以契约为准，不以当日实现为准
- IM 出口那节补一句：br 不按行内标签处理，按切分走
 2026-10-07 17:20:47 +08:00
AskaEth d27c1d4e33 docs(契约): v0.89 修订 —— 白名单收窄六项 + 边界行为降为实现细节 + 补 IM 出口口径
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
与安卓（客户端）会话对齐后的三处修订：

- 白名单八项 -> 六项（去掉 u / s）：它们在她 100 条输出里 0 命中，
  不值得让各端为它们返工；各端可额外容错，但契约只承诺六项
- 结构不平衡的粒度（整段降级 vs 只坏那一对保持字面）降为实现细节：
  契约只承诺「不产生行内渲染 + 字符一个不丢」；这类输入极罕见，
  为它让任一端返工不划算
- 新增 IM 出口口径：成对且平衡的白名单标签 -> 剥标签留文本；
  br -> 换行；白名单外与不平衡 -> 原样保留（逐字不丢）。
  与 action / narration 的「整体剥除」语义不同（那是角色扮演标记）

大小写口径（Web 不敏感 / 安卓只认小写）留待各端自定，已与安卓协商。
 2026-10-07 17:19:48 +08:00
AskaEth b989f0bb0c docs(契约): v0.89 登记助手消息的行内标签白名单
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
依据：主人 2026-10-07 要求前端支持这类标签的基本渲染（Web 端实现已推库
2dae469，真机产物已一致）。

- 白名单：b/strong、i/em、code、u、s（成对）+ br（void），大小写不敏感
- 三条硬口径：白名单外按纯文本原样显示（字符一个不丢）/ 属性一律不解析 /
  结构不平衡（未闭合、交错）整段降级为原文
- 安全红线：助手文本是不可信内容，任何端都不许整体当 HTML 注入；
  正确姿势是解析成结构化节点、交给各自的安全渲染原语
- 范围克制：不做块级（段落仍走 §4.16 的 p 机制）、不做 a、不做 Markdown
- 服务端零变更：无新端点 / 帧 / 字段，计数仍 14 + 25 + 40 = 79
 2026-10-07 17:15:32 +08:00
AskaEth 2dae4693be feat(web): 消息渲染支持行内标签白名单（修 <b> 等标签裸露显示）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07：「她在聊天消息中插入了 html/md 标签，能否增加网页前端
对此类标签的基本渲染支持？」

实测现场（最近 12 条 assistant 消息）：<p> 96 次、<action> 34 次
（这两个前端已支持），<b> 6 次（未支持 => 裸标签直接显示给用户）；
Markdown 记号 0 个 => 她不用 Markdown，所以不引 Markdown 引擎。

- 新增 inlineMarkup.ts（纯逻辑，111 行）：把文本切成「文本 / br / 行内元素」
  的节点树；渲染与解析分离，不拼 HTML
- renderContent.tsx 沿用既有出入口，把节点树映射成 React 元素；
  既有 <p> / <action> 机制原样不动
- 白名单：b / strong / i / em / code / u / s（成对）+ br（void），
  标签名大小写不敏感；不做块级、不做 a（独立安全面）、不做 Markdown
- 安全：全程无 dangerouslySetInnerHTML（文本走 React 子节点，默认转义）；
  属性一律丢弃（节点类型里没有属性位）；白名单外 => 纯文本字面量；
  结构不平衡（未闭合/交错）=> 整段降级为原文，字符一个不丢
- 测试 76 条断言（esbuild + node，零新依赖）；含 3 条安全性质
- 无回归：改动前后 11 个消息样例过真实 SplitChatBubble 链路逐字节对照，
  7 个 SAME，4 个 DIFF 恰是含白名单标签的样例
 2026-10-07 17:11:37 +08:00
AskaEth a684328b76 feat(memory): T1 加保守全局速率限流（防每天数百到上千次调用失控）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定：按最优解加全局限流。

- 新增 t1RateGate（滑动窗口、可注入时钟，~70 行）；默认
  120 次 / 60 分钟（现网 700-1000 条新记忆/天 ≈ 25-42/小时，
  取 120 留约 3-5 倍余量）
- 过闸摆在「t1Enabled + 有灰区候选」两个守卫之后、发请求之前
  ⇒ 不调模型就不占额度；放行才记账
- 超限语义与既有失败路径同源：跳过 T1、决定仍是 create、零改写，
  只多一个 reason=t1_throttled 进留痕 + ReviewStats.T1Throttled 计数
- 配置键 t1PerWindow / t1WindowSec 放 $DATA_DIR/config/memory-tidy.json
  （零新 env 键，启动期读一次）；坏配置回落默认 + WARN，不启动失败
- 每窗口只记一条 WARN（超限是预期行为，一天几百条会淹掉真故障）
- IngestRuleVersion 仍为 d3.2：判定规则集与解析契约没变，变的只是
  额度状态，reason 列已可分辨（升版会有 §17.6 记过的幂等键重复行副作用）

自研而非复用 session.NewRateLimiter 的理由（design/12 §N C.5 自己登记过
这条取舍）：既有件 Allow() 内部写死 time.Now()，没有时钟注入缝，
而本切片必须能注入可控时钟；且复用会把 channel 层概念拖进 memory 包。
 2026-10-07 16:25:54 +08:00