AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
659 Commits 7 Branches 0 Tags
a87fbeb49470a6ec2948a337f0017e2c41486726
Commit Graph
189 Commits
Author SHA1 Message Date
AskaEth a87fbeb494 fix(memory): 面板调优引入的两处运行期写入面收口（-race 修前红 → 修后绿） 
一、审查档（preinsert.go / preinsert_gate.go）：面板调优会在**运行期**改 cfg 的
两个字段（DisableIngestGate / TempTTL），而读这两个字段的两处不持锁
（gateEnabled 在同步入库闸上、deferDeadline 在第五态 defer 上）。
- 读侧改走新的 tuningSnapshot()（r.mu 由 Mutex 换成 RWMutex，读锁下取整份快照）；
- **只**收这两个字段的读点：其余读点读的是构造期冻结的字段，不与写方交手，
  故刻意不给入库热路径加无谓的锁；注释写明「将来面板再接管别的字段，那些读点
  必须与它一起收」；
- 锁序：写方持锁期间只做字段赋值、不取任何别的锁（normalize/回落都在取锁之前
  跑完）⇒ 不引入新锁序。

二、整理档（tidy_service_tuning.go）：修掉我自己的那条真竞争 —— 原顺序是
「Stop → Start → 写 cfg」，而新起的循环**立刻**读 s.cfg 重算下一拍，与写入并排
（那一拍还可能按旧配置算出来）。改成「Stop → 写 → Start」。
顺带去掉 Stop 的超时分支：超时意味着 wg 的 Wait 仍在飞，紧接着 Start 的 Add 会
踩上 M3 在 tidy_service.go 明文写下的 WaitGroup 复用纪律（-race 下 panic）；`Stop`
期间也不持 runMu，避免与「心跳正要开跑一轮」互相等死。

证据（全部逐条跑过再还原，还原用 diff 逐字校验为 0 差异）：
- 审查档：撤回读侧修复 ⇒ 2 处 DATA RACE（写 preinsert_tuning.go 的两个字段 × 读
  gateEnabled / deferDeadline）；恢复 ⇒ 绿。
- 整理档：把顺序改回「先起后写」⇒ DATA RACE（写 applyTidyConfig × 读 nextDelay）；
  恢复 ⇒ 绿。
- 新增两条只在 -race 下有意义的回归哨兵（tidy_service_tuning_test.go）：审查档真
  并发读写；整理档用**真心跳**当读者（不伪造生产不存在的调用方，那个入口在包里
  只有心跳 goroutine 会调）。

热路径成本：新增的同步是「一次无竞争 RLock + 整份小结构体快照」，隔离实测约
4ns/次（5e6 次共 22.9ms）；入库闸那条测量用例的批均值在 2.62ms → 2.71~2.81ms
之间波动，落在那条用例自身的运行间噪声里（同一份代码连跑两次，纯写入基线就从
39µs 飘到 60µs）。
 2026-10-13 22:11:41 +08:00
AskaEth eddf921229 feat(memory): 记忆整理调优面板读写（三态 + 热生效 + 面板表单） 
主人 2026-10-07 两条口径：「.env 只做兜底用，后端自动创建独立的面板配置文件
之后就走面板配置文件，这些键优先从面板配置上取」+「频率必须调，可以调到 1 小时
或者三小时，或者动态分配（白天短、静默期长）」。

此前 $DATA_DIR/config/memory-tidy.json 只有读路径（装配期读一次 + 启动播种）：
主人要改频率只能改文件 + 重启后端。本切片补上「读回来 → 改 → 落盘 → 当场生效」。

后端（读写端点，契约待塔登记 v0.92）：
- GET  /api/v1/admin/memories/tidy/tuning  读盘上 7 键值 + 取值规则 specs +
  缺位时 .env 档的进程生效值（与 /admin/config-facts 同源）
- PUT  同路径：三态补丁（键缺位 = 不改动 / 合法值 = 采用 / 非法值 = 400 且盘上一
  个字节都不动）+ null 清除哨兵（删键 ⇒ 回到下一档）+ writeAuth + 审计
  memory.tidy.tuning；值一个都没变时不落盘，文件解不开时拒绝覆盖（409）
- 落盘走 runtimeconfig.PatchMemoryTidyTuning（原子写 temp+rename，与
  SeedMemoryTidy/SaveWebSearch 同族同手法）；补丁语义保留下受管的其它键
  （t1Judge/t1PerWindow/autoApplyPerRound 原样保留）
- 热生效：保存后按「面板 > .env > 代码默认」重算并叠到运行期对象；整理档会
  重排心跳（否则新周期要等旧周期那一觉睡完），审查档当场改 ingestGate/tempTtlSec。
  未接线/失败时如实回 hot:false + hotError，绝不把「落盘了」说成「生效了」

前端（Miuix）：
- 记忆管理页新增「记忆整理调优」卡：7 键表单（中文标签、单位、留空⇒跟随谁、
  env 档当前值、坏值就地报错并拦住保存、保存后回显从磁盘读回的真值）
- 试算卡的 recallMode 按契约 v0.91 如实渲染：embedding / lexical（已降级）/
  mixed（部分分区降级）/ ""（无候选可比）——空串不再渲染成空标签；并把
  error.code=tidy_recall_unavailable 单列一句（「尝试过但向量源不可用」，与
  「没有候选可比」显式区分）

验证：go test ./internal/{services/gateway,runtime/memory,config/runtimeconfig}
全绿；三态/清除/坏文件拒写/同值不重写/热生效接线各有用例，并逐条做过变异自证；
tsc --noEmit + vite build 通过；两个 esbuild 前端测试 39 + 34 + 41 checks 通过。
 2026-10-13 21:59:18 +08:00
AskaEth 8a274e120d docs(memory): 到期清扫的注释改用符号引用，不再写会漂的行号 
review r2（p2-1items）指出：r1 那笔注释里的行号是旧值 —— 我在文件更前面插了
12 行之后 `Stop` 整体下移，而注释里仍写着「`Stop` 在 `tidy_service.go:214` 就放锁，
到 `:219` 才 Wait」（214 是 `Stop` 的文档注释行、219 是 `s.mu.Lock()`）。

行号会漂、符号不会，因此改成符号 + 相对位置：
- 「在同一个 `func (s *TidyService) Stop` 里，`s.mu.Unlock()` 在前、`s.wg.Wait()`
  （另一个 goroutine 里）在后，两者之间没有锁」；
- 「`Start` 只在组合根启动期调一次（`cmd/cyrene/main.go` 的
  `a.memoryTidy.Start(ctx)`）、`Stop` 只在关停链里调一次（`cmd/cyrene/wire_services.go`
  的 `_ = a.memoryTidy.Stop(ctx)`）」。

同一类问题只此一处遗留（`expire.go` 里「照 `preinsert_gc.go:65-69` 的批删范式」
同样改成符号：`ingestReviewSweepBatchSize` / `maxIngestReviewSweepBatches` 那一对
常量）。已 grep 全部改动文件确认再无 `*.go:<行号>` 形式的引用。

（本提交信息刻意不复述任何行号。）
 2026-10-13 21:54:38 +08:00
AskaEth 69210a8586 docs(memory): 改正 Start 里那笔 Add 的并发注释，并补 Enabled=false 回归测试 
review r1（p2-1items）指出：`tidy_service.go` 新加的那段注释（以及 2ba0a40 的提交
信息）写着「计数在这把锁里加 …… `Stop` 也持这把锁，这样 Add 与 Stop 的 `wg.Wait`
不可能撞在一起」。**这句不成立**：`Stop` 在 `tidy_service.go:214` 就放锁，到 `:219`
（另一个 goroutine 里）才 `wg.Wait`。锁只串行化 `running` 翻转与两笔 Add，
**不覆盖 Wait**。reviewer 用交叉 Start/Stop 探针在 -race 下复现了
`panic: sync: WaitGroup is reused before previous Wait has returned`，并实测该 panic
在 M3 之前的基线（20051f0）上同样可复现 ⇒ 既有性质，本切片不改行为，只改说法：

- 照真实理由改写注释：锁内加是为了让 `Stop` 的 `running` 判定与这两笔 Add
  **原子化**（杜绝「Stop 已看到 running=false 早退」与「Wait 漏掉一笔尚未 Add 的
  goroutine」两个窗口）；
- 明确写出这把锁**不**覆盖 `Stop` 的 `wg.Wait`，WaitGroup 的复用纪律靠
  「`Start`/`Stop` 在进程生命周期各只调一次」维持；
- 并写明那个交叉探针的**当前调用点不可达**（`Start` 只在 `cmd/cyrene/main.go:97`
  调、`Stop` 只在 `cmd/cyrene/wire_services.go:212` 调），免得后人看到「有窗口但
  不可达」以为是漏改。

同时补上 reviewer 点出的真实缺口：`Enabled=false ⇒ 清扫不跑` 此前只有注释、没有
已提交的回归测试。新增 TestTidyServiceStart_整理关掉时清扫不跑，真跑 Start 后断言
「没有删除发生 + 没有审计 + running 保持 false」三件一起（不是只断言 cfg.Enabled
字段那种假牙）。两条断言各有牙：把 Enabled 闸改成恒 false ⇒ 红在 running 那一条；
在 Enabled 早退分支里偷偷起一个清扫（running 仍为 false）⇒ 红在「到期行却被删了」。
 2026-10-13 21:46:24 +08:00
AskaEth 44c25eb03b refactor(memory): 到期清扫挂点从 wait 注入缝改为 TidyService.Start 
塔裁定：清扫不许挂在注入缝上 —— 包一层 s.wait 会让「清扫是否存活」依赖于
「loop 每一轮都调 s.wait」这个**没有任何契约固定**的假设；将来谁换了等待原语、
或把循环改成 select + 自己的 timer，清扫会**静默消失**（不报错、不红测试，
只是临时期限再也删不掉）。后台件起在 Start 里，读者一眼看到它们同生共死。

- tidy_service.go：Start 里紧跟 go s.loop(cctx) 起 go s.expirySweepLoop(cctx)，
  wg 计数与既有那一笔同处（同一把锁内加，避免 Add 与 Stop 的 wg.Wait 相撞）。
  `if !s.cfg.Enabled { … return }` 仍在其前 ⇒ 语义与改动前逐字相同：整理被关掉
  ⇒ 清扫不跑（与 preinsert_gc 随审查服务启停同口径）。
- expire_loop.go：删掉 AttachExpirySweep 与对 s.wait 的包裹；文件头写明
  「挂点必须是 Start 里那处显式的 go」，防止后人改回注入缝。
- expire_loop_test.go：那条运行时对照改写成 TestTidyServiceStart_清扫随服务起停
  —— 真 Start、真 Stop（Stop 不超时即证明清扫随 ctx 退出且登记在同一个 wg）。
- wire_memory_tidy.go：去掉组合根的挂载调用，注释改成「起在 Start 里，组合根零接线」。
- wire_memory_tidy_test.go：把 go s.expirySweepLoop(cctx) 钉进 TestMemoryTidyIsWired
  的 seams（摘掉那一行 ⇒ 用例红，已实测）。
 2026-10-13 21:43:27 +08:00
AskaEth a017ab6cf8 feat(memory): 临时记忆到期物理删除（有界清扫 + 同步清向量 + 删前审计） 
design/23 §19 的第 ② / ③ 步：读侧时效闸（M1）只负责「看不见」，本切片负责
「真删掉」。三条护栏照 §19.3：删除是本包内唯一 DELETE 出口、有界（500 行/批 ×
20 批）、删前留审计。

- internal/runtime/memory/expire.go：扫描集合写死为「expires_at ≠ '' ∧
  expires_at ≤ now ∧ status='active' ∧ 来源非受限」。空 expires_at（长期/日常
  记忆，含 M2 登记的「INSERT 与补写之间中断」窗口）结构性进不了集合；受限来源
  复用 nonOwnerSource（与整理/审查同一处判据）。键集游标 (expires_at, rowid)
  保证被跳过的行只读一次、扫描位置一定前移。审计串 = id + persona_id + scope +
  expires_at + 按 rune 截断（48）的摘要 —— 本仓唯一一处允许携带内容片段的审计。
- internal/runtime/memory/expire_loop.go：清扫循环挂在 TidyService 的生命周期上
  （AttachExpirySweep 由组合根调用），随心跳 ctx 跑、随 Stop 停；一轮只写一行
  汇总日志，逐条的那一行进审计。
- internal/runtime/memory/vector/delete.go：新增可选删除能力 vector.Deleter +
  两个后端实现，删行时同步清向量（M1 reviewer 的 finding：过期向量占 top-K 预算）。
- cmd/cyrene/wire_memory_tidy.go：挂上清扫；顺带把已过时的「这十键」改成「这十一
  键」（M2 加了第十一键 tempTtlSec）。
 2026-10-13 21:43:27 +08:00
AskaEth 8690d129a7 Merge branch 'feat/memwrite-defer-fifth-state-plus-temp-ttl' into dev 2026-10-13 21:09:47 +08:00
AskaEth c7ea67dcb6 Merge branch 'feat/embrecall-fix-embedding-recall-degradati' into dev 2026-10-13 21:07:21 +08:00
AskaEth a3ae98ef2e docs(memory): N2 注释三处更正（示例 / 标点容忍 / 位置锁）+ 逐条实测 
应答 review round4 的 p2#1。**只改注释**，行为代码、后缀表 golden、25 条语料、
主语表一字未动。三处都指向**更严格**的表述（无安全影响），且每一处都先实测再下笔
—— 上一轮的教训正是「注释里的例子自己没实测过」。

## ① 示例 `生气得很` 与实现不符 → 换成实测覆盖的示例

原句举例「生气**得很**」，但 `得` **不在**后缀表里：
  生气得很 → rest="得很" → rule=""（放行）
与它并列的另两个例子矛盾。换成实测 `rest=""` 的：
  心情不错 → rest="" → rule="n2_emotion"
  不开心   → rest="" → rule="n2_emotion"
  心情很好 → rest="" → rule="n2_emotion"
并把反例留在原位（显式标注「反例」）：
  生气得很 → rest="得很" → rule=""（放行）

## ② 「任何不在表中的字符 ⇒ 放行」对标点不绝对 → 补齐容忍面

标点与空白是被 `onlyRetentionPunctuation` 收尾清掉的，因此原表述漏了这半边：
  心情不错！ → rest="" → rule="n2_emotion"   ← 实测 defer（标点被容忍）
现改为「任何一个**非标点 / 非空白**的字符只要不在词表里，就会留在余部」。

## ③ 「主语/时间词只允许出现在句首」不准确 → 按实现写「位置锁」

时间词也可**紧跟主语之后**。现按实现写成：
  主语只在**位置 0** 被消费一次；时间词只在**紧随其后**被消费一次（无主语时它就是首词）。
实测：
  今天好累     → rest=""             → rule="n2_emotion"
  主人今天好累 → rest=""             → rule="n2_emotion"
  今天主人好累 → rest="今天主人好累"  → saw=false → rule=""（放行）
「指人/指时实体永远不可能落到宾语位置」这条**支柱本身不变**（review round4 已核），
变的只是对**位置**的准确描述。

## ④ 顺手同批修掉的同句不准确：`retentionEmotionTimeWords` 的文档

它与 ③ 是**同一句主张的另一个落点**（「只允许出现在句首的时间词」），留着就等于把同一
处不准确留在盘上。已改成与 ③ 一致的表述并附同一条实测。
（`consumeRetentionPrefixes` 的「反复在句首消费」指的是**当前余部**的开头，是对辅助函数
自身语义的描述，不是文法主张，未动。）

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
TestExtractionRetention 六个用例 69 个子例全 PASS。
 2026-10-13 21:06:33 +08:00
AskaEth 95f517d61d refactor(embedding): 删掉生产不可达的冷启动 WARN 及其 logger 缝 
review round2 的 p2：`api.go` 那句「一次性冷启动放宽被花掉」的 WARN 在生产里
**不可能被人看见** —— 本包默认丢弃日志器，`WithLogger` 全树零调用者，生产走
`embedding.New(cfg)` 不带任何选项。而它的注释写着「这是唯一能审计一次性放宽的
地方」，与实际不符（本项目规则：注释不得说与实现不符的话）。

- 删该 WARN（失败并非静默：四个调用方本来就把错误原文写进各自的 WARN，
  路径见 review 召回 / 整理召回 / 向量索引写入 / 检索）。
- 连带删掉 `WithLogger` 与 `log` 字段：WARN 是 `e.log` 的唯一使用者，留着它会
  变成一个**空转的公开选项 + 又一次与实现不符的注释**（与上一轮删
  `WithRequestTimeout` 同一条理由：不留没人用且未测的缝）。
- `callTimeout` 不再返回 `relaxed`（它只为那条 WARN 存在）。
- `NewAPI` 的注释改为把「本包不记日志、失败沿错误返回」写成**实话**。

行为零变化（生产本就是丢弃日志器），只删死代码与不实注释。
 2026-10-13 21:01:54 +08:00
AskaEth 4365224c9b docs(memory): N2 安全论证改成真实机制（位置锁 + 四类修饰）+ 两条 tripwire 
应答 review round3 的 p2#1（要修的只有这一条）。

## 注释里的论证被证伪，改成真实机制

原句「封闭表里**没有承载内容的词**：没有动词、名词、量词」**字面不成立** ——
reviewer 逐表审过：情绪词表（既是核心也是后缀 token）含 `心情`(名词)、
`生气`/`害怕`/`紧张`(动词)、`压力大`(动宾)；否定表里 `没有` 是动词；程度表里
`比较` 可作动词/名词；主语表里 `主人`/`我`/`他` 本身就是**指人实体**。

真正保安全的是**位置**：
1. **位置锁定** —— 主语 / 时间词只允许出现在**句首**、各至多一次 ⇒ `主人`/`我`/`你`/
   `他`/`今天` 这些指人/指时实体**在文法里永远不可能落到宾语位置**；
   （上一版黑名单正是死在这里：`会想我` 的 `我` 被当成主语剥掉）
2. **核心之后只允许「程度 / 否定 / 情绪 / 语气」四类修饰**，且它们只允许**紧跟**
   情绪核心之后 —— 核心必须先被消费，那一段在语义上只能是**情绪的修饰**
   （「心情不错」「不开心」），**装不下一个宾语短语**。

「上一版为什么错、黑名单为什么修不完」那一段**保留**（reviewer 确认该部分写得对）。

## 两条 tripwire（回应「后来人照字面加词、没有任何测试会红」）

- `TestExtractionRetention_PersistentFactsAreNeverDeferred`：**25 条**持久事实/习惯
  语料（塔给的 6 条 + reviewer 扩展的 19 条，来自 review round3 的对抗构造）逐条断言
  **绝不 defer**，钉住**语义后果**；语料是**可增长的**（新事故 → 一条回归断言）。
- `TestExtractionRetention_SuffixTableIsPinned`：把后缀表的**内容**逐 token 钉死
  （60 个 token 的 golden），任何增删立刻红。
  **为什么它比语料更接近「表的内容性质」**：语料只能覆盖**已经想到的**输入，而这张表
  是判据的全部自由度 —— 往后缀里加一个名词，表变了而语料可能一条都不碰；golden 钉的
  是「表变了」这个**事实本身**，改表必须显式改 golden ⇒ 变成一次可 review 的
  意图声明，而不是一次静默放宽。

两条一起才够：golden 钉「表变了」，语料钉「变了以后语义还对不对」。

## 变异自证（两条 tripwire 分别会红）

变异 A：往后缀语气词表加一个名词「**妈妈**」（语料里没有任何一条会因此变 defer）
```
--- FAIL: TestExtractionRetention_SuffixTableIsPinned (0.00s)
    后缀表 token 数 = 61, want 60 —— 表被改过。…
FAIL
```
⇒ golden 抓住了**语料抓不到**的改表。

变异 B：往后缀表加 `会`/`想`/`时`（看起来像无害虚词）
```
--- FAIL: TestExtractionRetention_PersistentFactsAreNeverDeferred (0.00s)
    --- FAIL: …/主人心情不好时会不好
        extract_retention_test.go:284: 持久事实 "主人心情不好时会不好" 被判成 "n2_emotion" —— 它会进临时层、7 天后被物理删除（不可逆）
    --- FAIL: …/主人不开心时会好好想
        extract_retention_test.go:284: 持久事实 "主人不开心时会好好想" 被判成 "n2_emotion" —— …
--- FAIL: TestExtractionRetention_SuffixTableIsPinned (…)  后缀表 token 数 = 63, want 60
FAIL
```
⇒ 语料把「会上线的那个后果」直接指了出来。两处变异均已还原。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
TestExtractionRetention 六个用例共 69 个子例全 PASS。
 2026-10-13 20:57:31 +08:00
AskaEth 6c30ca540a fix(memory): 冷启动放宽改为一次性 + 试算轮区分「没候选」与「向量不可用」 
review round1 的 p1/p2 收口（commit 5967272 之后）。

p1：旧实现 `warmed` 只在 2xx 之后才翻 ⇒ 注释里写的「只在第一次成功响应之前」
实际是「服务坏着的全部时间」。reviewer 实测「接受连接但永不回包」时**每次**调用
都等满 30s（fail-fast 变 fail-slow）：审查 20s 预算被一次吃光、索引写入拖成
8×30s、开机探针阻塞 30s。

- `warmupLeft` 改为**一次性许可**（CompareAndSwap 取走即失效，成败都算花掉）
  ⇒ 挂死时只有第一个请求慢一次，此后一律 DefaultRequestTimeout。
- `warmupTimeout` 30s → 8s：与常态 5s 同一量级（≤2×），且严格小于审查总预算
  20s（一次冷启动不许吃光整轮）；两条界都由 TestDefaultRequestTimeout 守住。
- 放宽被花掉且没成功时留一条 WARN（事后可复核「第一个请求」这个判据）。
- 更正两处自述：api.go 的「不会被 30s 拖住」与 budget.go 的不变式说明（批次形状
  永远按稳态超时推导；冷启动只放宽第一个请求的截止时刻）。
- p2：删掉零调用者的 `WithRequestTimeout` —— 单次超时只允许改常量，批次上限与它
  同源并由编译期/常量断言复核。

p2：试算轮在向量源不可用时 `RecallMode` 与「没有候选可比」同为空串。
- `recallLedger` 增 `unavailable` 计数 + `noteUnavailable()`（strictRecall 失败
  那一笔记一笔）；试算汇总行新增 `recall_unavailable_partitions`，**成败都记**。
- 不扩 `recallMode` 取值集合：失败那一路不序列化 result（响应是
  500 tidy_recall_unavailable），新取值只会出现在日志里却要动一次契约，不划算。

测试：三种失败形态 × 两次调用的耗时断言（连接被拒 / 500 / 永不回包），
试算轮的「不可用」与「没候选」两态日志断言；两处变异自证（warmupTimeout 调回
30s ⇒ TestDefaultRequestTimeout 红；去掉 noteUnavailable ⇒ 试算汇总行退化成
recall_mode="" + recall_unavailable_partitions=0）。
 2026-10-13 20:51:10 +08:00
AskaEth b1d51d8de2 fix(memory): N2 判据改为白名单形态匹配（结构上不再吞实体） 
## 上一版为什么没修完（review round2 举证）

上一版把 N2 实现成**黑名单剥离**：`strings.ReplaceAll` 扫整句、把「情绪词 + 时间词 +
主语 + 程度 + 虚词 + 标点」统统删掉，**残差为空才 defer**。它的要害是剥离表里混进了
**本身就能当实体的词** —— 人称词（`我`/`我们`/`他`/`咱`/`自己`）与可作内容的单字
（`好`/`会`/`要`/`想`/`对`/`在`/`有`/`是`/`时`/`得`/`和`）。宾语恰好由这些词构成时，
实体被吞、残差为空 ⇒ **仍判 defer**：

  主人不开心时会想我    → residual=""      → defer   ✗（持久习惯进临时层，7 天后物理删除）
  主人难过时会想我们    → residual=""      → defer   ✗
  主人心情不好时会想他  → residual=""      → defer   ✗
  主人不开心时会想和好  → residual=""      → defer   ✗（`和`+`好` 两个词项各吃掉一半）
  主人难过时会想妈妈    → residual="妈妈"  → create  ← 对照：宾语没被表吃掉

⇒ 这证伪了上一版代码里声称的不变量（「还剩一个实体就必须放行」），也说明**黑名单这
条路走不到头**：「实体」是开放集合（想我/想我们/想他/想和好/想妈妈/听音乐/咬指甲/
养猫/…），永远列不全。

## 新判据：白名单**形态**匹配

「纯情绪句」的**形态是封闭的**，据此改成「整句恰好落在形态里才 defer，其余一律放行」：

	[主语]? [时间]? [程度]* 情绪核心 [程度|否定|情绪|语气]*   余部须只剩标点/空白

实现在 `retentionEmotionFormRest`（唯一判据点）：
- 主语与时间词**只允许出现在句首**、各至多一次；
- 情绪核心**必须**消费到一个情绪词，否则 sawEmotion=false ⇒ 放行；
- 核心之后**只**允许「程度 / 否定 / 情绪 / 语气」四类修饰（`retentionEmotionSuffixTokens`）；
- 最后要求**整句消费干净**（余部只剩标点/空白）；
- 各段一律**最长词优先**（否则 `不` 会抢在 `不错` 前、`好` 会拆掉 `好累`）。

## 为什么它在**结构上**不可能再把带实体的句子判成 defer

1. 判 defer 的门槛是**整句被封闭表消费干净**。表里**没有承载内容的词** —— 没有动词、
   名词、量词。任何一个形态外的字（`想`/`会`/`时`/`和`/`我`/`妈妈`/`听音乐`）都无法被
   消费，必然留在余部 ⇒ 余部非空 ⇒ **放行**。
2. 主语/时间词**限死句首**：`我`/`他`/`我们` 出现在核心之后时**没有**任何词项能吃掉它
   （后缀表里没有它们）—— 这正是上一版翻车的地方，现在从结构上排除了。
3. 失败模式从「**未知实体被吞**（危险、不可逆）」翻成「**未知情绪句没被认出**（安全：
   多留，有 T1 与整理兜底）」。方向与 design/23 §18.3 的 fail-safe「宁可多留，不可
   误弃」一致。

## 配套测试

- 正例清单补 5 条**对抗形态**（宾语由「能当实体的词」构成）：`主人不开心时会想我` /
  `主人难过时会想我们` / `主人心情不好时会想他` / `主人不开心时会想和好` /
  `主人难过时会想妈妈` —— 与上一轮的 5 条（听音乐/咬指甲/养猫/喜欢吃甜的/找朋友聊天）
  合计 10 条「带宾语的情绪句」正例；
- `TestExtractionRetention_EmotionWithObjectIsNotDeferred` 改为断言**余部**（未被形态
  消费掉的部分）＋最终结论：纯情绪 ⇒ 余部为空 ⇒ defer；带宾语 ⇒ 余部非空（
  `时会想我` / `时会听音乐` / …）⇒ 放行。**「带宾语 ⇒ 余部非空」这条不变量现在是被
  判据本身保证的**，不再是靠一张表的完备性。

## 修前必红 / 修后绿（原样输出）

修前（把 `judgeRetentionEmotion` 换成 commit 979d1cf 的黑名单实现，逐字）：

```
--- FAIL: TestExtractionRetention_EmotionWithObjectIsNotDeferred (0.00s)
    --- FAIL: …/主人难过时会想我们  extract_retention_test.go:122: judgeExtractionRetention("主人难过时会想我们") = "n2_emotion", wantEmotionDefer=false
    --- FAIL: …/主人心情不好时会想他  … = "n2_emotion", wantEmotionDefer=false
    --- FAIL: …/主人不开心时会想和好  … = "n2_emotion", wantEmotionDefer=false
    --- FAIL: …/主人不开心时会想我    … = "n2_emotion", wantEmotionDefer=false
--- FAIL: TestExtractionRetention_PositivesAreNeverDeferred (0.00s)
    --- FAIL: …/情绪+代词宾语（想我）   正例 "主人不开心时会想我" 被拦成 "n2_emotion" —— 把真记忆丢进临时层
    --- FAIL: …/情绪+代词宾语（想他）   …   --- FAIL: …/（想我们） … --- FAIL: …/（想和好） …
FAIL
```

修后：`TestExtractionRetention_{UpperCaseASCII,NegativesAreDeferred,
EmotionWithObjectIsNotDeferred,PositivesAreNeverDeferred}` 全 PASS（共 44 个子例）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
 2026-10-13 20:47:59 +08:00
AskaEth 5daba92d0f docs(memory): 十一键措辞收口（seed* + snapshot*） 
tempTtlSec 落地后，`memory-tidy.json` 的播种契约就是**十一键**，而三处文件的注释仍
写「十键」。这些是**过时的陈述**（不是风格问题）：下一位读者会从「快照契约：十键非
nil」里读出一个错误的口径，而 `memoryTidySeedComplete` 实际校验的正是十一键。

改的只是措辞，一行逻辑没动：
- internal/config/runtimeconfig/memorytidy_seed.go:25,160
- internal/config/runtimeconfig/memorytidy_seed_test.go:19,27,62,82,97,214
- internal/runtime/memory/tidy_snapshot_test.go:14,27,159

（`cmd/cyrene/wire_memory_tidy.go:65` 还有同类的一处「这十键」，该文件属 M3 的
scope，未动 —— 塔已转 M3。）

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
 2026-10-13 20:38:02 +08:00
AskaEth 979d1cfbb2 fix(memory): 留存规则 N2 改按实体判定（持久习惯不再被误弃） 
## 改了什么（行为变更）

`judgeRetentionEmotion` 原判据是「含情绪词 ∧ 无阿拉伯数字 ∧ ≤24 rune」—— 它把
design/03 §10.5 对 N2 的定义「**词项 + 无实体**」里的「无实体」这一维**顶替成了
「无数字」**，方向恰好落在 fail-safe 的反面。

反例（review 走 `judgeIngest` 真链路复现）：
  主人心情不好时会听音乐   → 旧判据 defer / t0_low_value
  主人焦虑时会咬指甲       → 旧判据 defer / t0_low_value
这两条是**稳定习惯**（正向清单），判 defer 即 7 天后从所有读路径消失（读侧时效闸，
design/03 §9.6）、随后被后台清扫**物理删除**（design/23 §19）—— **不可逆**，与
mission 文本写死的 fail-safe「宁可多留，不可误弃」相反。

新判据（设计与 mission 允许，不改设计）：**剥掉情绪词 / 时间词 / 主语 / 程度词 /
虚词 / 标点之后，余下为空才判 defer**；只要还剩一个实体（听音乐 / 咬指甲 / 养猫
/ 找朋友聊天）就放行。实现是 `retentionResidual` + 一张**长词优先**的剥离表
（长词优先是必须的：先剥「好」会把「好累」拆成光杆「累」而永远剥不掉）。

配套：
- 剥离表新增「不错」（情绪评价，整词）与光杆「累」—— 只靠虚词表里的「不」会把
  「心情不错」剥成「错」、把「主人今天真的特别累」剥成「累」而漏判；
- 去掉 N2 专属的 24-rune 上限（判据恒是「无实体」，长度由全局 40-rune 上限兜住）；
- 数字不再单独设防：它不在剥离表里 ⇒ 必然留在残差里 ⇒ 一律放行（与旧
  hasRetentionDigit 等价，但由同一条判据统一给出）。

## 为什么这是 p1 而不是精度问题

判错的方向不对称：漏判只是噪声留进长期层（有 T1 与整理兜底），误弃是**不可逆的
数据丢失**。因此 N2 宁可漏判，绝不误弃。

## 配套测试（此前这条缝**完全没被覆盖**）

- 正例清单新增 5 条「带宾语的情绪句」：`主人心情不好时会听音乐` /
  `主人焦虑时会咬指甲` / `主人心情低落时会养猫` / `主人压力大的时候喜欢吃甜的` /
  `主人难过时会去找朋友聊天`（旧正例里没有这一类样本，所以旧缺陷一路全绿）；
- 新增 `TestExtractionRetention_EmotionWithObjectIsNotDeferred`：逐条断言**残差**
  与最终结论 —— 带宾语 ⇒ 不 defer、纯情绪 ⇒ defer，两者必须给出相反结论；
- 新增反例 `主人今天真的特别累`（纯情绪、无实体）钉住「不是靠长度躲过」。

修前必红 / 修后绿（把 N2 退回旧判据后原样输出）：
  正例 "主人心情不好时会听音乐" 被拦成 "n2_emotion" —— 那是把真记忆丢进临时层
  正例 "主人焦虑时会咬指甲" 被拦成 "n2_emotion" —— …
  judgeExtractionRetention("主人心情不好时会听音乐") = "n2_emotion", wantEmotionDefer=false
  --- FAIL: TestExtractionRetention_PositivesAreNeverDeferred
  --- FAIL: TestExtractionRetention_EmotionWithObjectIsNotDeferred
还原后：TestExtractionRetention_{UpperCaseASCII,EmotionWithObjectIsNotDeferred,
NegativesAreDeferred,PositivesAreNeverDeferred} 全 PASS。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
 2026-10-13 20:37:57 +08:00
AskaEth 59672720bd fix(memory): embedding 批上限与超时同源 —— 不再「客户端先放弃、服务端继续算」 
M9（EMBRECALL）。故障机制（M6 + 本次复测）：客户端 5s 单次超时先放弃，服务端仍在
算那一批 ⇒ 本机 llama.cpp 被自己顶住 ⇒ 后续每个请求（含写向量索引的单条请求）
排队到自己的超时 ⇒ 召回全线降级。

- embedding/budget.go（新）：把「一次请求的耗时上界 ≤ 单次超时的一半」写成不变式，
  批上限（条数 4 / 字符 480）与 5s 超时由**同一个不等式**解出；实测依据与复跑命令
  写进注释（空闲态摊销曲线 1→0.19s / 8→1.1s / 12→1.3s / 64→8.5s，约 50ms 固定 +
  2.7~3.9ms/字符，n≥32 起有数倍放大 ⇒ 余量取一半）。
- embedding/api.go：Embed 按同一对上限**自己切片**（不变式与调用方无关）；冷启动
  首次调用单独给 warmupTimeout，拿到第一个成功响应后立刻回常态超时。
- memory/tidy_config.go：tidyEmbedBatch = embedding.DefaultBatchLimit（同源），
  并加编译期断言 —— 调回 64 会直接编译失败（constant -60 overflows uint）。
- memory/tidy.go | tidy_recall.go | tidy_dryrun.go：recall_mode 改报**实际发生**
  的来源（""=本轮没候选可比 / embedding / lexical / mixed），新增
  recall_degraded_partitions；试算轮 RecallMode 同口径（M6 medium finding）。
- 测试：embedding 侧用「实测曲线 + 会睡够时间的假客户端」钉住两态
  （批内 < 超时 ⇒ 不降级；旧配对 64 条 ⇒ 必然超时），并断言 abandoned == 0；
  memory 侧钉住降级/健康/没候选三态与试算轮的如实上报。

不改 preinsert*、不改 .env、不动判定规则与任何阈值。
 2026-10-13 20:33:26 +08:00
AskaEth 8ab241f627 feat(channel): 群聊发言人归属落进模型上下文（user 侧也产出标注） 
裁决 06.4.1 行动项①②落地（主人 2026-10-13 定稿：结构化归属 + system 标注，
不把元数据拼进用户正文）。

- loop/attribution.go：发言人归属从「只认 assistant」扩到 user 侧，按三条
  结构事实各出一条边界说明 —— assistant 的角色（她自己 / 别的角色，措辞逐字
  不变）、受限会话里带昵称的第三方人员（明标「不是主人」）、以及不带昵称的
  主人本人；受限会话里未标注的 assistant 历史按 design/22 §7-4 归到本会话角色。
  标注仍只新增 system 消息，正文一字不改。
- channelbridge/inbound_speaker.go（自 inbound.go 拆出）：第三方发送者标注车道
  thirdPartySenderName —— 主人恒返回空（主人从不被标注），其余昵称缺失时退到
  平台 uid 再退到「未署名发送者」，绝不落进「空标注 = 主人」那条车道；
  thirdPartyBoundaryPrompt 删掉「只有未标注昵称的消息才是管理员（主人）发言」，
  改为「谁在说话以「发言归属」标注为准」。
- channelbridge/source.go：来源行删掉「（非管理员账户=第三方人员，未标注昵称=主人）」。
- 主人本人在群里的消息落库不再写昵称（sender_name 空 = 主人），使转录里同一句话
  的归属与当回合一致。

验证：go build ./... / go vet ./... / go test ./...（含全树）全绿；
变异自证：把 user 侧归属恢复成不产出 ⇒ 3 条 loop 用例 + 1 条渠道端到端用例变红。
 2026-10-13 20:24:21 +08:00
AskaEth 21b906ffb0 feat(memory): D3 第五态 defer（入库审查）+ 提取留存规则闸 + 临时 TTL 配置面 
主人原话：「收窄提取器，确实要给他一个主动式的记忆留存规则，不能想到什么都
往记忆里写」「.env 只做兜底用 …这些键优先从面板配置上取」「临时记忆到期删除」。
按 design/23 §18（D3 第五态 defer）、§19（到期处置）、design/03 §9.6
（tempTtlSec 默认 7 天 + 坏值口径）、§10（提取留存规则）落地。

- IngestDecision 闭集加第五态 defer：照常 active 落库 + 写短 expires_at 落
  临时层（不删行、不改正文，回滚 = 清空该列）；IngestRuleVersion d3.2 → d3.3。
- 落点：ingestGatePlan 增 ExpiresAt + expiresAt()（走 expiryText/formatTime 的
  定宽 30 字节 UTC，与读侧时效闸同一套文本口径），由 finishIngest 在 defer 一态
  补写 expires_at（INSERT 与补写之间的短暂窗口如实登记，方向 = 宁可多留）。
  非 defer 三态一笔都不多写。
- T0 提取留存规则闸（extract_retention.go）：design/03 §10.5 的 N1~N5 纯规则，
  接进 judgeIngest 的候选比对之前，命中即 defer + reason=t0_low_value，不进 T1；
  两道护栏（显式「记住」/ 持久信号）一票放行，fail-safe 方向 = 宁可多留。
- T1 闭集扩为 merge/modify/keep/defer（同一个 prompt、同一次调用，绝不新增
  第二次模型调用）：只有关系判为真新时才问价值；defer 要求 target=0，否则判
  非法回落 create（reason=t1_reply_invalid）。
- 提取器提示词加固（design/03 §10.3 B）：正向清单 + 反例清单 + 「允许返回 []」。
- 临时记忆 TTL：代码默认 tempTtlSec = 604800（7 天）；面板
  $DATA_DIR/config/memory-tidy.json 的 tempTtlSec 优先（ApplyReviewTuning 逐键
  解析，坏值回落默认 + WARN，绝不写进 cfg）。该键在 .env 里没有出处且不新增
  （.env 已冻结）⇒ 实际生效链是「面板 > 代码默认」。启动播种同步该键（*int +
  omitempty，nil 省略、绝不写 null），保证播种文件与生效值逐字一致。
- preinsert_store.go 的 listReviewCandidatesSQL 原位注释：这条内部召回 SQL
  刻意不过时效闸的裁定与理由（design/03 §11.2 第 3 条）。
- 测试：defer 落库带短 expires_at（闸 + T1 两条路径）、写入口径与时效闸同源、
  TTL 坏值与回落、规则版本 d3.3、整理候选幂等键不含 IngestRuleVersion、
  提取规则正例 11 条 / 反例 11 条。

验收：go build ./... + go vet ./... + go test ./... 全绿；windows/darwin 交叉
编译通过（GOOS=darwin GOARCH=arm64 / GOOS=windows GOARCH=amd64）。
 2026-10-13 20:22:48 +08:00
AskaEth 0c5fa7b2ae docs(memory): timegate.go 登记「审查留痕读侧不过闸」—— 留痕表结构上无该三列，无可加之闸 2026-10-13 19:54:36 +08:00
AskaEth 9a3b3cff8b feat(memory): 读侧时效闸（四条列表读路径）+ Add 落 expires_at 列 
主人裁定「临时记忆到期删除 / 任何调用记忆的地方都要正常调用到」的读侧
第 ① 步（隐藏）：design/03 §9.6 / §11.2 的时效闸下沉到共享底层，不写在
任何调用点。

- timegate.go（新）：timeGateClause = (expires_at = '' OR expires_at > ?)
  AND (valid_to = '' OR valid_to > ?)；timeGateNow() 与列值同源（同一个
  formatTime 的定宽 30 字节 UTC 文本），expiryText() 负责写入侧编码。
- Store.ListByPersona / List / ListScope / ListProject 四条列表读路径
  的 WHERE 在既有 status 闸之后拼上时效闸；Retriever.visibleCandidates
  组合前两条，检索入口因此自动继承同一判据（无第二处判据）。
- Store.Get 与整理/审查的内部召回 SQL 刻意不过闸，理由写在各自注释里
  （listTidyPartitionItemsSQL 原位注释在本切片；listReviewCandidatesSQL
  的原位注释按塔裁定改派 M2，timegate.go 头注登记了这条拆分）。
- Store.Add 的 INSERT 补上 expires_at 列（MemoryItem.ExpiresAt）：Add 是
  全仓唯一 INSERT 路径，时效列的真生产者只能在这里，否则闸退化成空壳。
- timegate_test.go（新）：过期/失效行在四条路径与 visibleCandidates 上
  都不可见、空值与未来值可见、Get 仍能读过期行、Add 真的落库该列；
  外加时间口径同源钉（文本序==时间序 + 跨格式 'T' vs ' ' 陷阱实证）。

验收：go build ./internal/runtime/... 通过；go vet 通过；go test
./internal/runtime/memory/... 全绿；internal 全包 62 个 ok / 0 FAIL；
GOOS=darwin GOARCH=arm64 交叉构建通过。
 2026-10-13 19:54:19 +08:00
AskaEth 23b6e3fe1e feat(memory): 启动时自动播种面板配置文件（缺失才写、绝不覆盖）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07：「后端自动创建独立的面板配置文件要做」。

- 启动路径（wireMemoryTidy → applyMemoryTidyTuning 之后）若
  $DATA_DIR/config/memory-tidy.json 不存在或全空白 => 写一份「当时生效值」
  （十键：既有六键 + 频率四键），此后面板接管
- 已存在（非空）=> 跳过，该分支没有任何写盘语句；损坏 => WARN + 按 .env 跑、
  一个字不写盘（不「修好它」）
- 幂等（第二次启动必落到跳过分支）；原子写（tmp 0600 + rename）
- 落盘前完整性闸：缺键 / 非正周期 / 钟点越界 => WARN + 不落盘
- 值来自 TidyTuningSnapshot（先跑两个归一化再翻回正向键）=> 播种那一刻运行
  行为零变化，有强断言（归一化后配置逐字相等）
- 零新增依赖、零 env 键变更；5 个变异（含「让已存在走写盘」=> 红）
 2026-10-07 20:38:37 +08:00
AskaEth d680390300 feat(memory): 整理频率走面板配置（面板 > env > 默认）+ 分时段动态间隔 
主人 2026-10-07：「.env 只做兜底…优先从面板配置上取」+「频率必须调…或者动态
分配，比如白天间隔短一点 晚上到了静默时期稍微长一点」。

- memory-tidy.json 新增四键：intervalSec / quietIntervalSec / quietStartHour /
  quietEndHour（*int + 指针判定 => 显式 0 是合法值、缺位才回落）
- 优先级逐键三档：面板 > env（既有键，未增删）> 代码默认；坏值不覆盖 + WARN，
  且不启动失败
- 动态间隔由纯函数 intervalAt(at) 决定，调度侧每一拍现算 => 跑完按当时时段重算
- 🔴 语义变更（有意，代码注释已登记，待补设计修订）：安静时段从「唯一可跑时段」
  变成「降频时段」—— 旧的「安静窗外一律 continue」被删，否则 intervalSec 永远
  是空壳（白天唤醒必被跳过）；窗口仍决定档位与补跑判据
- 6 个变异（含「加回旧的那道门」=> 端到端用例红）
 2026-10-07 19:21:32 +08:00
AskaEth 789e3af74e fix(multimodal): 视觉工具的空/畸形 data: URI 明确拒绝 + 入参嗅探与可行动报错 
根因（从 checkpoints 取到的那一轮 tool_call 实际 ARGS 逐字节核实）：
模型交给工具的 image 参数是 "data:image/png;base64," —— 只有前缀、
载荷为空（全长 22 字符）。两个加载器早就会剥 data: 前缀，但把空载荷
解码成零字节后照样挂上合法 MIME 放行：
  image-crop → 零字节进 image.Decode ⇒ image: unknown format
  vision     → DataURI("image/png", nil) 发给上游 ⇒ 400 unsupported image
（模型复述不出入参里那条 58583 字符的 data: URI，只抄下了前缀。）

- 新增 checkInlinePayload：data: URI 解码后做内容嗅探（复用既有裁决）
- 空载荷 / 缺 ;base64 段 / 缺逗号 / 非法 base64 ⇒ 明确拒绝
- 报错含「不是图片」+ 嗅到的类型 + 支持格式 + 十六进制物证 + 可行动提示，
  且不回显正文或 base64
- 裸 base64、http(s) URL、工具 schema、安全策略一律未动
- 测试：新增 16 个用例；全树 61 包 ok；4 个变异（含停用嗅探 ⇒ 5 用例红）
 2026-10-07 18:50:45 +08:00
AskaEth a684328b76 feat(memory): T1 加保守全局速率限流（防每天数百到上千次调用失控）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定：按最优解加全局限流。

- 新增 t1RateGate（滑动窗口、可注入时钟，~70 行）；默认
  120 次 / 60 分钟（现网 700-1000 条新记忆/天 ≈ 25-42/小时，
  取 120 留约 3-5 倍余量）
- 过闸摆在「t1Enabled + 有灰区候选」两个守卫之后、发请求之前
  ⇒ 不调模型就不占额度；放行才记账
- 超限语义与既有失败路径同源：跳过 T1、决定仍是 create、零改写，
  只多一个 reason=t1_throttled 进留痕 + ReviewStats.T1Throttled 计数
- 配置键 t1PerWindow / t1WindowSec 放 $DATA_DIR/config/memory-tidy.json
  （零新 env 键，启动期读一次）；坏配置回落默认 + WARN，不启动失败
- 每窗口只记一条 WARN（超限是预期行为，一天几百条会淹掉真故障）
- IngestRuleVersion 仍为 d3.2：判定规则集与解析契约没变，变的只是
  额度状态，reason 列已可分辨（升版会有 §17.6 记过的幂等键重复行副作用）

自研而非复用 session.NewRateLimiter 的理由（design/12 §N C.5 自己登记过
这条取舍）：既有件 Allow() 内部写死 time.Now()，没有时钟注入缝，
而本切片必须能注入可控时钟；且复用会把 channel 层概念拖进 memory 包。
 2026-10-07 16:25:54 +08:00
AskaEth 987cefdf28 fix(embedding): 端点地址规范化 + 独立短超时（治入库审查整条超时）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
背景：入库前审查链路一直整条超时（日志每 ~20s 一条 WARN），异步那层
（含刚装好的 T1）从未成功跑过。

- 新增 endpoint.go：把「连接语义上不可靠」的回环别名规范化成 127.0.0.1
  （localhost 大小写不敏感 / 0.0.0.0 / 空主机），只替换 Host，不碰
  path / query / fragment / userinfo；显式 [::1] 与真实主机名逐字不动
- Embed 加独立短超时 DefaultRequestTimeout = 5s（远小于审查 20s 预算）：
  卡住的调用快速失败并走既有「降级到词项余弦」的路径，把预算留给 T1
- .env.example 示例地址 localhost -> 127.0.0.1（未注释行键数 69 -> 69，无增删）
- 跨包测试钉住 5s 严格小于审查总预算

诚实边界（子代理实测，推翻了主代理原先的 IPv6 根因推断）：
- Go 客户端走 localhost 实测约 57ms、curl 约 0.2s ⇒「localhost -> ::1
  等满 20s 预算」这条链不成立；更可能是单槽 llama.cpp 的吞吐/争用
  （一批 64 条约 2.1~2.9s，审查 201 条约 8~10s，再叠 T1 8s 顶满预算）
- 规范化在任何环境下都无害，5s 快速失败对这个真因对症；但真因
  （容量/争用）需要另排切片，已记入工作小结
 2026-10-07 16:22:28 +08:00
AskaEth 1b4d0a552f feat(memory): T1 灰区模型判定 —— D3 入库前审查补上 LLM 那一半
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定「可以做 T1」。此前 D3 只有纯规则 T0，凡灰区（相似但
互不包含）一律保守 create，真机上「同一事实换措辞」类重复结构性治不住
（清完 92 条字面级重复后，active 里含「喵喵七号」的仍有 101 条）。

- 插入点：T0 判定内核只多吐一份结构化 Gray（惰性收集，恒零模型调用）；
  T1 挂在异步审查层 Review，同步入库闸不碰它 ⇒ 写入路径零模型调用是
  **数据流结构**而不是承诺
- 只许回 merge / modify / keep + 一句理由；坏 JSON、非法枚举、编号越界
  一律回落 create（绝不猜、绝不挑最近的一条）
- 禁产新内容：模型只给「动作 + 候选编号 + 一句理由」，正文一律取自库里
  既有的两行 ⇒ T1 结构性地不可能把幻觉写进记忆库
- 不越硬门与红线：灰区已滤掉跨角色/作用域/项目/只读来源与时效/数值/冲突/
  低置信；「规则否决一票否决」不可走样，T1 不提供翻案入口
- 有界：每次审查至多一次调用（灰区打包，上限 8 条），子超时 8s 且不超过
  审查总预算；失败只改 reason、决定恒 create、零 UPDATE
- 开关 t1Judge（放 $DATA_DIR/config/memory-tidy.json，零新 env 键），默认开；
  模型出口用闭包晚绑定既有模型栈（零新客户端、零新依赖）
- 留痕 reason 结构化（t1_merge / t1_modify / t1_keep / t1_reply_invalid /
  t1_unavailable），rule_version d3.1 → d3.2；模型的自由文本理由一律丢弃
- preinsert_config.go 为纯搬移（为守 500 行上限，无新逻辑）
 2026-10-07 14:10:33 +08:00
AskaEth 90f430216a feat(memory): D3 从「异步后置」改成「同步入库闸」—— 由整理层决定入库形态
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定：「把记忆整理功能接到昔涟和记忆库中间做审查，由整理功能
进行入库」。现状是**异步 + 入库后软合并** ⇒ 行已经落库才审，面板/召回先脏后清，
而写入速率实测 ~25 条/小时（≈600/天）⇒ 清理永远追不上。

落法（三条硬规格，全部落地）：
① **同步闸但有界**：闸在 `store.go:247` 的 `planIngest`（INSERT **之前**），
   本体 `preinsert_gate.go`。墙钟预算 **150ms**（实测最坏 p95 仅 4~7ms ⇒ 20~50 倍
   余量）、候选扫描上限 **100**（比异步侧 200 更紧，因为它在写路径上）。
   🔴 **零远端 embedding**：闸恒用词项余弦（`deps.Embedder` 根本不参与）——
   远端 embedding 一次 2.3~3.0s 且对同文本返回不同向量（不可复现），不许摆在同步
   路径上拍板。
② **fail-open，绝不丢记忆**：候选源报错 ⇒ `gate:candidates_unavailable`；超预算 ⇒
   `gate:budget_exceeded` ⇒ **照常 insert(active) + 投既有队列 + 留痕 + WARN**。
③ **三态落库（落 merged，而不是"不插入"）**：确定性命中（字面重复 / 归一化等价 /
   真包含）⇒ INSERT **直接带 `status='merged'` + `merged_into=<存活行>`**，存活行
   `merged_from` 追加、`merge_count`+1 ⇒ **新行从不进 active、从不建向量索引**，
   而**行与原文都在表里 ⇒ revert 无损**。若"干脆不插"，那条文本从未存在过行，
   revert 无从下手，违反 design/23 §8 的红线。
- **不与异步 D3 重复审**：闸做决定的那条 `Async=false`（留痕由闸自己落，
  审计动作名 `memory.ingest.gate`）；真新/拿不准的走原有队列（留痕仍归异步层）。
- **开关**：`$DATA_DIR/config/memory-tidy.json` 的 `{"ingestGate": false}` ⇒ 一键回到
  「只插不审」（= 改动前的异步行为）。**零新 env 键**（`.env` 未碰）。
- 顺手把 `store.go` 的行映射拆到 `store_rows.go`（守 §10 的 ≤500 行）。

验收（主会话复跑 + 亲自变异）：`go build ./...` + `go vet` 绿；memory 包测试绿；
我用 -overlay 摘掉闸的预算 ⇒ `TestIngestGate_Add墙钟有界` 与
`…failOpen_超预算绝不丢记忆` 变红（"Add 等了 2.0s，越过闸预算 150ms"）。
子代理另做 2 个变异（去掉预算 / 把 fail-open 改成 fail-closed）全红，并实测
**闸开 vs 关的 `Add` 额外墙钟：p50 ≈2.5~3.1ms、p95 ≈4~7ms**（基线批均值 35.8µs）。

⚠️ 未部署（要一次 build + restart）；⚠️ 已知边界（如实）：闸只用词项余弦 ⇒
「同义但字面差得远」拦不住（有意为之，由异步层/夜间整理兜）；闸的候选是**最新
100 条**（更老的重复闸看不到）；**并发同内容双写**仍可能两条都落 active（既有竞态，
SELECT 与 INSERT 不在同一事务，非本次引入，第二层会清）。
 2026-10-07 11:41:44 +08:00
AskaEth f310173b4c feat(memory): reclassify 纳入自动档（主人 2026-10-07「全自动挡吧」）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
自动落地现在三类：merge（字面重复 ∨ 事实等价 ∧ ≥0.95）· archive（one_off_event
且不像习惯）· **reclassify（新增）**。reclassify 只改 `kind` 一列
（`reclassifyTidyItemSQL` 只写 kind+updated_at），**不动正文、不动作用域、不碰第二条行**。

判据（纯函数 `tidyAutoReclassifyKind`，四个条件全中才自动）：
① 恰 1 个 source 且无 target；② 理由 = `kind_mismatch`；③ 建议 kind 合法；
④ **改前 kind 合法且 ≠ 建议值** —— ③④ 是 **revert 抓手**：没有它自动落地就不可回滚。
**边界**：只读 ProposedKind / KindA，**一概不读** ProposedContent / MergedContent /
ContentA/B / 分区 / 时间字段。

六条护栏逐条覆盖它：软动作（同一条 apply 路径）/ 每轮上限（三类同占一个池子，
默认 50 硬顶 500，混合时截断如实）/ 审计 `memory.tidy.apply`（`auto=true`，
`reclassified=%d` + stats + 日志 + run 审计，**只带计数与理由、不带正文**）/
**可 revert**（`revertTidyReclassify` 按 KindA 写回，且只在当前 kind 仍等于建议值时生效）/
幂等（候选条件更新 + 行 `AND status='active'` 双闸）/ 开关关闭 ⇒ 连查询都不发。
另补一道本片新增的门：**受限来源**（群聊/陌生人）与跨分区的 reclassify **skipped**
（原先只有 merge/archive 有这道门）。

验收（主会话复跑 + 亲自变异）：整树 `go build ./...` + vet 绿；memory/gateway 两包
测试绿；我用 -overlay 禁掉「必须真的变了」那一格 ⇒ `…EligibilityBoundary` **3 条子例变红**
（改前 kind 缺失/非法/与建议值相同 ⇒ 都"没法回滚"）。子代理另做 4 个变异（连正文一起写 /
摘受限来源门 / 去掉 reclassified 计数 / 不要求可回滚抓手）全红。

🔴 **未动的红线（一行未改）**：`archive` 的「习惯类不归档」守卫（design/23 §5.2-1）
—— `looksLikeHabit` / `tidyHabitMarkers` / `tidyReasonOneOffEvent` 零改动，
`TestTidyAutoNeverArchivesHabitMisjudgedAsOneOff` 仍绿。要连它也自动请主人明说。

⚠️ 未部署（要一次 build + restart）；⚠️ design/23 的 §7「reclassify 交人工」与
§13 开放点 5「全部人工应用」**现已过期**，主会话同步。
⚠️ 已知遗留（需新授权）：历史积压里指向**已被吸收行**的 reclassify 候选会每轮被选中
又永远 `source_not_active` 跳过，白占一次每轮名额；彻底解法是「永久不可用的候选自动
标 rejected」（新行为）。
 2026-10-07 11:26:34 +08:00
AskaEth 6d92536276 feat(memory): 整理不再只产建议 —— 轮末自动落地高置信 + 停产 link 候选
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人原话：「那么多 link 是干什么的？该删就删，怎么这个记忆整理机制这么保守呢」。

① **link 停产**（依据 design/23 §14 把它列为「未细化」⇒ 既无落点也无数据模型；
   `applyable()` 也只认 merge/archive/reclassify ⇒ 应用 link 恒 `skipped`，是纯噪音）：
   - 规则层 `containNone` 判定改为 `keep`（不再产出 501 条不可应用的待办）；
   - `TidyLink` 常量保留，只为**读历史行**与「不可应用」判定；
   - 存量出路：新端点 `POST /api/v1/admin/memories/candidates/reject?action=&limit=`
     （**幂等、只改候选 status、不碰记忆**），主会话用它清掉存量 501 条。
② **轮末自动落地**（默认开，仅两类，判据是纯函数）：
   - `merge`：**字面重复** ∨「事实集合等价 ∧ 相似度 ≥ 0.95」；
   - `archive`：理由 = `one_off_event` **且不像习惯**（`design/23 §5.2-1` 红线：
     习惯类会因正文带钟点被误判成一次性事件，归档它是错的）。
   - **不自动**：`reclassify`、低置信 merge、跨分区/跨角色、任何改正文、受限来源
     （群聊/陌生人）—— 新增执行面守卫 `tidySkipSourceRestricted`。
③ **六条护栏**（缺一不可）：软动作（复用既有 apply 路径）/ 每轮上限 50（硬顶 500，
   超限如实 `Truncated` + 真总数）/ 审计 `memory.tidy.apply`（`auto=true`，不带正文）/
   **可 revert**（复用既有回滚）/ 幂等（复用候选状态条件更新）/ **一键关回只产建议**
   （`$DATA_DIR/config/memory-tidy.json` 的 `autoApply:false`，**零新 env 键**）。

验收（主会话复跑 + 亲自变异）：memory 与 gateway 两包 build/vet/test 全绿；我用
-overlay 短路「习惯不归档」守卫 ⇒ TestTidyAutoNeverArchivesHabitMisjudgedAsOneOff
变红（逐字报「作息习惯被自动归档了 …design §5.2-1 红线」）。

⚠️ 未部署（要 build+restart 才生效）；⚠️ 契约欠登记（新端点 B25 + §7.2），主会话补；
⚠️ 真机端到端未跑（不能重启后端）。
 2026-10-07 11:07:00 +08:00
AskaEth 8051906afa fix(turnreply): 产出侧不再产出未配对的段落标签（安卓报障的回执）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
安卓客户端登记（他们文档 02 末节）：一条助手消息的 content 是
`<p><p>正文</p>`，按他们的解析契约（非贪婪）必然把 `<p>正文` 当内容 ⇒ 用户
直接看到字面 `<p>`。任何按该契约定实现的消费方都会踩。

根因（两半都证实，都在同一处）：
- (a) 规整器**原样放过**模型吐出的 `<p><p>X</p>`：段块正则非贪婪，把它当成
  一个"已完整包裹"的块逐字保留（旧的覆盖检查用同一个正则 ⇒ 护栏本身是盲的）；
- (b) 规整器**亲手制造**该形状：末段漏 `</p>` 时无条件套一层 ⇒ `<p><p>X</p>`。
  实证：模型吐 `<p>那现在…？`（无闭标签）经旧代码规整后与上报串**逐字节相同**；
- (c) 顺带修一个幂等漏洞：落单 `</p>` 旧行为会越跑越多（`<p></p></p>`）。

修法（新增 paragraph_repair.go：配对修复 + 接线）：
`<p><p>X</p>`⇒`<p>X</p>`；`<p>X`⇒补 `</p>`；`<p>正文<p>`⇒合并；`<p>A</p><p>`⇒
丢空开标签；`<p></p>`⇒整对丢；落单 `</p>`⇒丢标签正文不动。不吞正文护栏：
`<p`（无 `>`）/`<p2>`/`1 < 2`/`a<b>`/代码围栏/`<action>` 内 `<p>`/自闭合
`<p/>` 一律原样（每条都有用例）。`normalizePiece` 改为"补闭不补开"——在造出
畸形的那一点上根治。

验收（主会话复跑 + 亲自变异）：go build ./... + vet 绿；turnreply /
gateway 全量 / channelbridge 三包绿；我用 -overlay 摘掉配对修复接线 ⇒
TestNormalizeParagraphs_* 变红。生产库只读核查：177 行 assistant 里**仅 1 行**
畸形（各消费方已容错）⇒ 不做一次性修复脚本。

⚠️ 未部署：跑着的 :10942 仍是旧产物 ⇒ 畸形仍会产出，安卓端的容错请继续保留。
 2026-10-07 10:07:13 +08:00
AskaEth 9126d653e5 fix(memory): 读侧过 status 闸 —— 软删行不再被检索、不再进面板
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
整理（tidy）与入库前审查（D3）都只做软动作：status 改 merged/archived，
正文一个字不改、行一行不删。因此只要有一条「能看到什么记忆」的读路径
漏了 status 闸，清理就等于白清 —— 生产库上那 10 条 merged 行就是反例。

- store.go：ListByPersona / List 加 status='active'
- rules.go：ListScope / ListProject 加 status='active'
- Get 刻意不过闸（撤销软合并要先读得到被吸收的行），并在注释里写明
- gateway/admin.go collectMemories 只加注释：口径只有一处，不重复过滤

验证：go build ./... + go vet 绿；memory 包全量测试绿；
新增 status_gate_test.go（4 条读路径逐条断言 + Retriever 端到端
「内容逐字相同的两条，软合并后只召回一条」+ Get 反向护栏）；
用 -overlay 把闸门变异成恒真 ⇒ 5 个读路径用例与检索端到端用例全红。
 2026-10-07 09:48:37 +08:00
AskaEth 9fa7e65278 feat(loop): tool_execution.end 失败也带 resultSummary（Z3，主会话裁定） 
与回看面对齐：失败调用给该次错误文本的脱敏渲染（仍 ≤500 rune、仍走 trace.RedactText），
缺席只剩「真的没有结果」（空结果 / 空错误文本）。2 变异（失败仍缺席 / 绕过脱敏）
 2026-10-07 09:34:45 +08:00
AskaEth 454ddb0b70 feat(memory): 记忆整理**应用路径 + 调度修复 + 手动真跑**（TIDY-1，主人投诉的根因）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人实测：memory_items 1191 行、候选 77 条全 pending、memory_tidy_runs 仅 1 行、两晚定时没跑。
根因两条（都在这片里修掉）：
① **以前根本没有执行面** —— 只有只读试算，候选永远 pending
② **调度被重启饿死** —— interval=24h 的 ticker 从进程启动算起，两天重启十几次 ⇒ 24h 永远走不完

- 应用路径：逐条 / 按 run 批量（默认 100、硬顶 500、超限 truncated）/ revert；**软合并**
  （status + merged_into/merged_from/merge_count，**绝不改 content、行不删**）+ 审计
  （memory.tidy.apply / memory.tidy.revert）+ **幂等**（候选状态条件更新 + 行 status 闸两道）
- 调度：改成**到点即跑**（catchUp：无历史+窗口内 / 距上次 run ≥ interval / 窗口起点晚于上次 run），
  「上次 run」以 memory_tidy_runs 为**持久事实**；注入时钟用例证明**重启不饿死**
- 手动真跑端点 POST /admin/memories/tidy/run（同档鉴权 + 审计 + 回执：新增/合并/软删/耗时）
- 候选表加 run_id 列 + 索引（前滚；顺序=建表→补列→建索引，否则既有库会 no such column）
- 3 个变异自检（删 catchUp / 去掉两道 status 闸 / truncated 恒 false）
⚠️ 生产库零动作：1191 行真跑与 77 条候选应用**未执行**（按红线由主人确认后主会话执行）
⚠️ 契约段在报告里（candidates 列表/apply/revert/tidy.run），Docs/ 待登记
 2026-10-06 22:39:35 +08:00
AskaEth e0a6bca501 feat(browser): B3 截图→上下文闭环 + B4 面板声明页（Y4） 
- B3：截图落盘后**自动**并入本轮视图（能收图 ⇒ 真 image 部件挂 user 消息；收不了 ⇒ vision/OCR 文字；
  大图先经 image-crop 裁切；取走即消费、每会话 ≤4 张、TTL 10min、跨会话隔离）
- B4：browser 面板**声明**（配置表单 + 运行状态/指纹自检/最近截图三张只读表 + 拍一张/重新自检）
  + 六个动作走 PLG-2 的通用动作端点（**不开新路由**）+ 保存事务（不可用则回滚 409）+ 热重载
- 读面**不启动浏览器**（计数型假 dialer 证明 0 次拨号）；行数据不含路径/URL/内容
- 3 个变异（短路主路/行与列 key 脱钩/保存不回滚）
⚠️ **两行接线未落**（不在我文件面）：wire_runtime.go 的 TransformContext + wire_frontend.go 的
   wireBrowserPanel —— 落地前 B3/B4 只是「组件就绪」，跑着的后端里不存在（Y4 已写盯梢用例）
 2026-10-06 21:48:50 +08:00
AskaEth 215eedf8e9 feat(ws): tool_execution.end 带可选 resultSummary（Y1，答应安卓端的那条） 
- 形状：data.resultSummary（可选）。与回看面 toolCalls[].resultSummary 代码级同源：同一个常量
  （500 rune）与同一个截断函数，摘要由 **loop 侧**生成（trace.RedactText + renderToolResultSummary）
  再随 StreamEvent 下发，gateway 只搬运不加工（与回看面同口径）
- 缺席语义：结果真拿到才带；失败/取消/超时/未落图 ⇒ 整键缺席（绝不用空串顶位）
- 线上帧证据：真 WS + 真 JWT + 真 loop ⇒ 客户端收到 resultSummary；同源钉用真图快照反读逐字比对
- 3 个变异（空摘要也写键/去掉脱敏/失败当结果）
⚠️ 待裁：失败路径现按派工书「整键缺席」，但回看面对失败给的是 error 摘要 ⇒ 实时无结果区、事后有；
   若要实时也显示失败原因，一行可改（toolEndFrameSummary 的 return ""）
 2026-10-06 21:48:48 +08:00
AskaEth 2d211c2d16 feat(backthink,browser): 自排工具面 C1-3 + 浏览器两处偏离收口（X2+X3 同文件一并落） 
X2 C1-3（自排工具面与提示词）：
- request_think（thinktool.go，照 transcode/tool.go 范式）+ reason 必填/urgency 闭集 + 双守门
  （安全闸 + owner 判定：群聊/陌生人一律拒）
- **成对**进两张唤醒态允许集（quiet + awake；CAPACITY_TOOL_SETS 是整体替换）
- 提示词抽共用段落 + 自排前缀优先（不枚举工具清单）；面板加 self_wake 标签与筛选轴
- 4 个变异自检（拿掉 owner 判定/只加一张表/放宽 urgency/前端标签恒等）

X3 收口（与 X2 共用 wire_services.go ⇒ 一并落）：
- 删掉第三份 SSRF 实现（guard.go），改由 io.ValidateRequestURL 唯一判定 + 薄门面（保两个错误身份）
- 浏览器会话挂进 a.close（真机：真 Chrome 被关、无残留、生产未扰动）
- a.wireBrowser() 归位到 wire_runtime.go，删掉 ioToolOptions 的临时挂点
- 5 个变异自检

顺带补提交 C1-2 漏掉的 internal/config/runtimeconfig/backthink_test.go（ed50053 漏 add）。
 2026-10-06 21:16:23 +08:00
AskaEth 2bf3b536dd fix(flow): 时间轴两处诚实性缺陷（X1） 
① round 号跨重启被复用 ⇒ 时间轴把多个真实轮次并成一块（真机实测 web 的 r:1 挤了 4 路、
   startedAt 跨 13:52→21:05）。修法：发号前从落盘播种（MaxRound，json_extract + json_valid 挡坏行），
   每会话每进程只播一次、失败只 WARN 且不重试、并发首轮共享一次读；接口形状零变化
② truncated 一个字段兼两个意思 ⇒ 一页没拉完时前端会说「更早的轮次已过保留期」（假话）。
   新增 retentionBoundaryReached（= 保留期启用 且 已翻到底 且 现存最早一轮 round>1 ⇒ 确有轮次被清扫），
   truncated 语义一字未改；盲区如实登记（整段被清扫会说少、最早一轮落盘失败可能多说）
3 个变异自检（不落账/floor>0/去掉 hasMore 守卫）
 2026-10-06 21:16:21 +08:00
AskaEth ffe2518bf4 feat(memory): 留痕表正式迁移 0025 + 保留期清扫（W5）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 迁移 0025_memory_ingest_reviews（幂等，既有部署重跑不炸/不丢行）
- GC：保留期 720h + 条数上限 10 万行，挂进审查服务生命周期（Start 起 / Stop 停 / 启动先扫）
- 过期即硬删（RevertMerged 只读 memory_items，删留痕不损失回滚能力）
- 偏离一处并给理由：表只留 created_at（先例 0017；append-only；加 updated_at 需三份 DDL 真源）
- 3 个变异自检（边界 <=/元组比较方向/Retention=0）
 2026-10-06 15:59:16 +08:00
AskaEth 1efe3a6a79 feat(flow): 链路图时间轴出口（W1）—— 所有轮次按时间正序 
- 新增 GET /api/v1/admin/flow/timeline?sessionId=&limit=&before=：时间正序多轮，
  每轮 {turnId,round,startedAt,endedAt,lanes[]}；limit 缺省 50/上限 200 + before 游标
- 数据源=落盘 flow_graphs + 内存最近一轮（同图 id 去重）；保留期 168h 外的轮次不返回，
  但响应给 retentionHours/retentionEnabled/truncated ⇒ 前端如实标注，不悄悄少一块
- 老出口 GET /admin/flow/graph 零 diff；角色门 writeAuth（owner|admin）
- 4 个变异自检（游标 <= 重复、分组降级、去重缺失、truncated 静默）
 2026-10-06 15:59:09 +08:00
AskaEth 1420e8aaa6 feat(gateway): D3 审查读侧/revert 端点 + 语音用户可见面（L45）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
(a) 记忆入库前审查的两条 admin 端点（主人判「有必要就做」）：
  GET /api/v1/admin/memories/reviews?limit= （留痕读侧，不含记忆正文）
  POST /api/v1/admin/memories/{id}/revert （回滚软合并，落审计 memory.review.revert）
  两条 writeAuth（裁定 DECISIONS #10：留痕属私有面，不给 viewer）
(b) 语音用户可见面：DTO voice（含服务端派生 url）+ GET /api/v1/media/{name}
  （200/206/304/416/HEAD、Accept-Ranges、非法名/穿越统一 404 media_not_found）
  + documents.Store.SaveAudio（内容寻址、$DATA_DIR 0600）+ history voice 列读写与引用计数差动

缺口（如实）：message_persisted/握手回放仍不带 voice（文件面外，需给 history.Message 加字段）；
AMR 需一行 VoiceTranscoder 注入（DECISIONS #11 已排）。4 个变异自检（含一条自认的等价变异）。
 2026-10-06 14:12:27 +08:00
AskaEth 4a937bd269 feat(flow): toolCalls 覆盖率追到全部编排回合（L3）—— 图带权威回合标识 
- 新增 StartRoundWithTurnID(ctx, owner, text)：从 ctx 取权威回合标识（与 chat_messages.turn_id
  同值）；Run 的唯一生产建图入口切到它；原 StartRound 语义逐字不变（1 行包装）
- 归属桶（并行按路分图）保持不变；落盘查询键 lane_turn_id 对单路也有值 ⇒ 消息面按等值查得到图
- 无权威标识时**保持缺席**（不拿桶里的路标识顶上：不许臆造）
- 不需要迁移 0024（0023 的列+索引已在位；老单路行标识根本没存过，回填=编造）

形状变化（已登记契约）：graph.id 对单路也追加 #{回合标识}（web-7 → web-7#turn-…），
顺带修掉「重启后单路轮次 upsert 掉旧行」的隐患。3 个变异自检（退回老入口/无视 ctx/臆造回退）。
 2026-10-06 14:12:25 +08:00
AskaEth 6475eb875d feat(skills): 渐进披露接线（L2）—— 清单投影 + 命中才展开 + 工具面只收不放 
- 清单只给 name+description(+when-to-use)，单条 ≤1536 字符 + 全局条数上限，超限如实标 truncated
- 命中才把正文作为一条消息注入：跨回合保留、按内容指纹缓存不重复读盘、注入 ≤16 KiB 标 .truncated
- invocation 三态与清单逐格对齐（model-only 清单不含 description；user-only 清单有但模型不可调）
- 激活轮的工具面 = allowed-tools ∩ 安全闸 ∩ 注册表 再减 disallowed-tools（owner 也看不见未允许的工具）
- 激活状态进程内按会话（不落库）；注入量已界化（压缩器估值未含，超我文件面）

裁定（DECISIONS #3/#4/#5）：删掉 paths 启发式（只认显式挂载）；多技能并集；收缩作用域=激活的那个回合。
 2026-10-06 14:12:24 +08:00
AskaEth ede00d9928 feat(voice): 语音消息落库 + 转码接入（切片 0020） 
- 迁移 0020_chat_message_voice：按 design/24 §10 与契约 §7.2 已登记的 voice 形状建列/索引
- 语音回合进编排并落库；voice 引用与统计如实回填（转码/转写没成功就如实标未成功，不假装）
- 复用既有 internal/capability/transcode：非 wav（微信 AMR 等）先转码再送 ASR；失败可分类且不丢消息

⚠️ 部分完成（如实登记）：生产端到端未成立（本片只到落库与转码接入），且**未经验真机**。
 2026-10-06 09:04:06 +08:00
AskaEth c907a34510 feat(gateway): 面 1 补齐 —— 消息读取面 toolCalls[]（工具回看） 
前提由 FV2 提供（图自 v0.77 起带每路 turnId、每路各落一行）。本片：
- 迁移 0023：flow_graphs 加「按路查询键」（写入时回填图的 TurnID），老行按缺席处理
- GET /api/v1/sessions/{id}/messages 加**可选** toolCalls[]，形状严格照 Docs/api-client.md
  v0.76 ① 已登记的：{name, status(ok|error|unknown), durationMs, argsSummary, resultSummary}
- 🔴 图取不到 ⇒ **字段整体缺席**（绝不回空数组冒充「没调过工具」）
- 一条批量 SQL（按页内 turnId 集合），禁 N+1；单条 ≤20 个工具、resultSummary ≤500 字符（常量+依据）
- 只放图里已有的、已脱敏内容，不放宽脱敏通道
 2026-10-06 09:03:55 +08:00
AskaEth 99a644d545 feat(channel): 微信 iLink 账号状态三态（诚实口径） 
state ∈ 有效 / 被拒（需重扫）/ 未知；🔴 -14 是**被拒不是过期**，且**未知原因绝不写成「过期」**
（面板文案与错误码都如实）。三态判定为纯函数 + 三态各有用例。

⚠️ 未做（如实登记）：每账号逐条三态（accounts[] 数组上的三态）本片未做。
 2026-10-06 09:03:53 +08:00
AskaEth 89434eadef fix(flow): graph_update 按路分桶——修真并行两路的图互相覆盖（FV2）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
【取证（症状成立，且比登记描述更糟）】两路真并行时两路最终落盘**同一个 turn_id**，
其中一路的图彻底消失，且 A 路的工具被画在 B 路的图上。逐层定位：发布器 graphs 只按
sessionID 建键（后起的路整张顶掉前者）· 帧载荷基线的键集被既有测试精确断言为
{id,nodes,edges,sessionId,startedAt,endedAt}（无任何区分路的键）· 前端每会话单桶 ·
落盘 (session_id,turn_id) 唯一键两路相撞 · 冷启动 LastGraph 只有一张。
该 bug 早已公开登记（design/15 §2.5.10-1「本轮未解决」、契约 §6-19「仍**未修**」）。

【修法】
- 归属桶 {会话}[#{路}]（loop.FlowOwnerKey，与 checkpoint 键同字符口径）；路只来自
  ParallelLegFrom(ctx) ⇒ 单路逐字不变（桶 = 会话 id），既有调用点语义零改动
- 图 id 的第二分量改用**建图序号**（每次 +1、永不复用）：同一轮里可以有并行路 +
  队首续跑的串行路，用轮次号会让两条串行路撞同一个 web-1
- 轮次号只在上一轮的路全部收尾后推进，并丢掉更早轮次的桶（否则内存随路数无界增长）
- 新增只读出口 LatestLanes ⇒ GET /admin/flow/graph 的 lanes[]（最近一轮每一路），
  graph 仍是「最新一路」= 向后兼容
- 同源洞一并修：子代理归属原取 AgentSpec.ParentSession（会话、不含路）⇒ 并行路里派的
  子代理 span 被静默丢弃；新增 AgentSpec.FlowOwner 承载「会话#路」，ParentSession 继续
  只承载会话（总线载荷 subagent_result.sessionId 不受影响）
- 前端：store 增 flowLanes（按 turnId 分格、按轮淘汰、硬上限 4）+ LaneTracks 泳道卡；
  单路/未给 lanes 时渲染路径与改前逐字相同

【无迁移】turn_id 是自由文本、每路 id 唯一 ⇒ 0022 的唯一索引天然分两行（0023 仍空着）

【我的验收】① 隔离 worktree（30 文件）build/vet/linux/darwin 全过、69 包全绿 0 FAIL；
② 我亲手打红变异：让 FlowOwnerKey 忽略路 ⇒ TestFlowPublisher_ParallelLegsDoNotOverwriteEachOther
FAIL；③ 前端独立复跑 npx tsc --noEmit + npm run build 通过（4.12s）

⚠️ 契约 v0.77 的登记在紧随其后的 docs(contract) 提交里（同一个工作时段内）。
 2026-10-06 08:16:03 +08:00
AskaEth 6e28b38b08 feat(memory): 护栏抬高+时间预算闸+试算加性异步 与 D3 入库前审查（耦合两片一起落）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
【MT-A：护栏 + 诚实截断 + 试算异步】
- maxTidyCompareItems 400(写死)→2000 并开放为 MEMORY_TIDY_COMPARE_LIMIT；
  MEMORY_TIDY_CANDIDATE_LIMIT 默认 20→200（语义不变，仍每分区）
- 依据是首跑实测：459 条的分区被 400 截断 ⇒ compared(705) < scanned(784)，
  候选数(77)由上限而不是规则决定；三处上限的 WARN 都补齐了总数/上限/分区名
- 新增「上限 + 时间预算」双闸（实测 2000 条/分区 ≈234s > 3 分钟墙钟）：
  整分区跳过 / 两两比对中途收手，一律如实记 (budget) + WARN
- ?async=1 ⇒ 202 {runId,status}；GET …/{runId} 轮询（writeAuth 同档）；
  done 的 result 与同步 data 逐字节同形；并发=复用既有 runId、TTL 30min 自完成起算、
  重启即如实 404 tidy_run_not_found；不带 async 时同步路径逐字不变

【MT-B：D3 入库前审查（design/23 §15.1）】
- 新记忆经 Store.Add（仓库里唯一 INSERT INTO memory_items）落库后，由独立记忆管理
  会话（sess-memorytidy）在有界后台队列异步判定 skip/merge/modify/create
- 软合并回写（status + merged_into/merged_from/merge_count，可 revert、绝不改 content）
- 隔离来源（群聊/陌生人）**概不审查**、召回/超时失败**零改写**（fail-safe 结构性成立）
- 写入侧仅 +62.7µs/条（非阻塞入队）；默认 ENABLED=true（主人裁定：入库前先审查）

【耦合说明（重要）】两片同包且互相依赖：MT-B 的 preinsert_recall.go 用 MT-A 的
collectTidyPairs 新签名 + tidyBudget ⇒ **各自单独都 build 不过**，故一并落地。
MT-A 为让整包编译，最小幅度适配了 MT-B 的 preinsert_recall.go / preinsert_test.go
（零值预算=行为不变；符号重名改名）。

【我的验收】隔离 worktree（37 文件）build/vet/linux/darwin 全过，切片包全绿；
我亲手打红两个变异：① 去掉 (compare) 截断标记 ⇒ TestTidyCompareLimit_HitIsLoud 红；
② 中和隔离来源守卫 ⇒ TestReviewRestrictedSourceIsNeverTouched 红。
唯一红是 internal/runtime/tool 的两条超时用例（该包无人改）⇒ 主仓库 -count=8 全绿，
判定为负载敏感 flake（当时两个整树验收 + 子代理并发），已记入开发习惯与约定 §7。

.env.example 补 MEMORY_REVIEW_* 四键（MT-B 无该文件权限，由我按其代码语义补写）。
 2026-10-06 08:04:12 +08:00
AskaEth fe4c702f87 feat(gateway): 未读面 unreadCount 进 message_persisted 帧（契约 v0.76 ②）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- broadcastPersisted 是 Web 与 IM 两条路的**共用**函数 ⇒ 两处口径天然一致，不存在分叉
- 口径 = 绝对未读 + 主人单一已读游标（chat_sessions.read_at）⇒ 多端共享
- 可选键 omitempty：只在 >0 且确实算得出来时出现；0 与「算不出来」都不顶位
  （0 只能从「会话有游标」推出，否则那个 0 就是编的）⇒ 缺席 = 老行为
- Docs/api-client.md：v0.76 ① 按实测改标「未实现且无实现路径」（见下），② 已实现，
  并更正「GET /sessions 的 unreadCount 自 D4 起已在」、新增 §4.13 与 §7.4 第 23 条

⚠️ ① toolCalls[] 本版未落地（取证结论，非推断）：chat_messages.turn_id（编排器随机路标识
turn-<16hex>）与 flow_graphs.turn_id（trace.FlowGraph.ID = <session>-<轮次序号>，进程内递增）
不同源，真实库中 66 条消息行 vs 21 条图行字面交集为空 ⇒ 无法 join；按时间窗硬凑属于猜，不做。
补齐路径：链路图带回合标识（新键 + 迁移 0023 起）+ 落盘列，之后 toolCalls[] 是一条批量 SQL。

我亲自复跑的变异：去掉帧里的 n > 0 守卫 ⇒ TestBroadcastPersistedUnreadCountAbsentWhenUnknown
与 TestBroadcastPersistedCarriesUnreadCount 双双 FAIL（断言「0 不该顶位」）⇒ 测试是真护栏。
 2026-10-06 07:58:42 +08:00
AskaEth d6ed9cfa2b feat(memory): 记忆整理「试算（dry-run）」入口 + 面板卡（契约 v0.75）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人要「现在就想看到在 736 条上它会建议合并哪些」，而不是等 23:00 的低峰首跑。
- 后端：Tidier.DryRun + TidyService.DryRun，**复用同一条扫描→召回→判定→构造候选路径**（抽出 tidyRoundPolicy，生产轮与试算轮只差「候选出口」与「召回降级策略」两处；禁止第二套实现）
- 🔴 零副作用：不写 memory_tidy_candidates / memory_tidy_runs，绝不改 memory_items 任何列；机械证明 = 跑前跑后 cyrene.db 与 -wal 的 SHA256 一致（测试断言「表行数不变」）
- 失败码诚实：500 tidy_unavailable / 409 tidy_disabled / 500 tidy_recall_unavailable（**embedding 不可用不降级成 0 条**）/ 503 tidy_timeout / 500 tidy_dry_run_failed；**空数组唯一含义 = 算过了没建议**
- 端点 POST /api/v1/admin/memories/tidy/dry-run（writeAuth）；面板「记忆」页加试算卡（点了才跑、无轮询、三态分开、明写「仅试算，不会改动任何记忆」）
- 真机 e2e（741 条活库副本）：76 ms / 15 分区 / 53 候选 / 41 skipped / 1 vetoed(low_confidence)；样例 merge reason=fact_subset score=1.0000、link reason=similar_but_not_contained score=0.9248
- 变异：dry-run 顺手写库 ⇒ 两条测试红（行数 0→2）；自造阈值 ⇒ 红；失败回 200 空数组 ⇒ 红
- 如实登记：Compared=688 被 400/分区护栏截断、候选上限 20/分区被打满 ⇒ 护栏值需在 741 条量级重定（非 bug）
 2026-10-05 22:06:54 +08:00
AskaEth a6cb44b8a8 feat(flow): 链路图本地落盘 + 多轮历史回放（design/19 §P3，契约 v0.73）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人要求「链路流程应该有本地数据，不然每次重载之后页面就没数据了」：
- 落盘：迁移 0022_flow_graphs（session_id/turn_id/graph_json/时间戳 + 唯一键 upsert）+ internal/runtime/flowgraph（RecordRound/Graph/Latest/Turns/Turn + 保留期 GC）
- 写入：loop.EndRound **每轮一条**（锁外深拷贝后写；失败 WARN 且不打印图内容）；只落发布会话白名单（复用 flowSessionAllowed）
- 读回：端点加 turnId + source(live/persisted/none) + turns[]（最新在前，空为 []）；**内存优先、miss 才落盘**（最新一轮永远最新）
- 前端：flowGraphs 纳入 persistOptions.partialize（**刷新即刻有图**，version 3→4 + migrate）+ 历史轮选择器 + 诚实文案；顺带收 L1 转交的 flow/NodeDetail.tsx 节点日志倒序
- 新 env 键：FLOW_GRAPH_RETENTION=168h / FLOW_GRAPH_GC_INTERVAL=1h
- 变异实测：每 span 一行 / 保留期守卫失效 / partialize 去掉 flowGraphs / 去掉内存优先 / 白名单失效 ⇒ 全部打红
- 3 个禁动面文件的纯追加改动（Flow.tsx 挂选择器、FlowSnapshotHint 纠已成假话的文案、其渲染断言随之更新）由主会话裁定认可
- 登记存疑：图桶持久化无体积上限；useFlowTurns 的 effect 无自动化证据（项目无 jsdom）
 2026-10-05 16:19:32 +08:00