AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
743 Commits 7 Branches 0 Tags
b955a274791b95e11bb23de4e017e1d4eb7aec36
Commit Graph
258 Commits
Author SHA1 Message Date
AskaEth b955a27479 fix(channelbridge): M44 入站语音先写 voice 列再广播 ⇒ 首帧就带 voice 
安卓 2026-10-26 回执关心的场景：新来一条语音消息时，**第一条**帧里有没有
`voice`。此前没有 —— `persistBatchUsers` 先 `persistToMain`/`persistIsolated`
（内部同步 notify 把帧发出去），之后才 `persistMessageVoice` 写列，帧发出那
一刻列还是空串。网关侧的帧投影（上一 commit）读的就是这一列，因此首帧必然
缺 voice，客户端要等重连或下一次 REST 拉取。

修法（A 路的唯一可行形态，理由见下）：
- `persistBatchUsers` 的通知改成 `persistVoiceFirstNotify(ref)`：
  **INSERT → 写 voice 列 → notify**。语句数不变，只把 notify 从 INSERT 内部
  挪到最后；非语音消息（ref 零值）时该包装与 `notifyPersisted` 逐字等价。
- `persist.go` 抽出 `mainRow` / `isolatedRow`（字段清单只写一次）与
  `persistIsolatedWith`（可注入通知的变体），`persistToMain`/
  `persistIsolated` 的对外行为逐字不变。

为什么不走 B（给 `history.Message` 加 voice 随 INSERT 写）：`persistMessageVoice`
是按 id 的 UPDATE，行还不存在时必然 `ErrMessageNotFound` ⇒ 写列**不可能**真正
挪到 INSERT 之前；可行的最小形态就是上面那次换序，无需动 domain 类型、列清单
与 7 条读语句。B 若要做，属于 design/24 §10.5 的独立切片（那时还应删掉这里的
两段式，避免同一事实两处写）。

整链验收（`inbound_voice_gateway_e2e_test.go`，真桥接器 + 真存储 + 真网关 WS）：
- 主人私聊语音：第一帧就是 `message_persisted`，带 `voice`，且与
  `GET /sessions/{id}/messages` 同一行**逐字相等**；随后的非语音消息帧整键缺席。
- 群聊语音（被点名 ⇒ 走完整回合）：第一帧 `channel_persisted` 带 `voice`，
  且与渠道日志读面同一行逐字相等。
- 变异实测（把顺序还原成「先广播、后写列」）：两条用例都 FAIL，输出即报障症状
  （帧里 content 是转写文本，却没有 voice 键）。

顺带把网关侧两处描述旧时序的注释改成新事实。
 2026-10-26 18:54:13 +08:00
AskaEth 5717735da9 feat(gateway): M44 实时帧与握手回放挂上 voice（纯增量） 
修实根：`message_persisted` / `channel_persisted` 与握手 `history` 回放
此前只在 `toHistoryMessage` 之后直接扇出，于是消息 DTO 的语音面在这三条
面上恒缺席，客户端只能等下一次 REST 拉取才知道那是一条语音。

- `history_voice.go`：把语音补齐抽成存储无关的唯一收口点 `attachVoiceTo`
  （Server 与 hub 共用），并加 `voiceColumnsOf` 把任意历史视图窄化成读面，
  未实现该视图时为真 nil 接口（字段缺席，不 panic、不 500）。
- `broadcast.go`：新增 `persistedWire` —— thinking 抹除 + 可选 voice，
  `broadcastPersisted` 改用它；两类帧因此天然同口径。
- `ws_history.go`：握手回放同样补一次批量读列（最多 50 个 id 一条 SQL）。

成本实测：一帧 = 1 次 `IN (?)` 批量读列（1 个 id）；回放一页 = 1 次
（去重后的全部 id）；存储未提供该视图时 0 次。`history.Message` 没有
voice 列字段（`messageColumns` 也不含），故无法「零查询直接填」——补它
要改 internal/runtime/history 与 INSERT 写路径，超出本切片范围。

纯增量：voice 是可选键，非语音消息整键缺席（不是 null、不是 {}）；
帧壳、帧类型、REST DTO 形状一律未动。

测试（广播_voice_test.go）：帧序列化输出上断言 ①②③④，并逐字比对
「帧/回放里的 voice」与「REST 读面同一行」；摘掉任一挂载即打红。
 2026-10-26 18:46:06 +08:00
AskaEth 3157abcf3c fix(gateway): 日志页脱敏改用「可带上限」变体（4096），摘要侧仍是 80 
塔 2026-10-26 复审裁定：复用 trace.RedactText 让面板日志页每条 msg 都被切到
80 rune，是实质性 UX 回归（日志页就是排障面）。修法不是网关侧另写脱敏，而是
在 trace 包给上限加一个参数。

- trace/redact.go：新增导出 `RedactTextLimited(s, limit)`,语义 = 同一套凭据形状
  清洗 + 按调用方给的上限截断；`RedactText` 改为它的 `maxSummaryRunes`（80）
  调用形态，既有调用方零改动，清洗逻辑仍只有一份（redactSecrets）。
  limit <= 0 = 不截断，留给体积已自己界定的调用方。
- observability_logs.go：新增常量 `maxLogMsgRunes = 4096`（含注释说明为什么不是
  80、也不是无上限：单条日志可能是 %v 的 MiB 级对象，1000 条会撑爆 JSON），
  adminLogOf 改用 `RedactTextLimited(e.Msg, maxLogMsgRunes)`。
- span props / 摘要侧不动，仍是 80（一个要摘要，一个要全文，两边不该被统一）。

测试（均验过变异打红）：
- TestAdminObservabilityLogs_LongLineKeepsFullText：547 rune 的日志行（行首凭据 +
  行尾哨兵）⇒ 凭据打码、末尾哨兵仍在、rune 数只差「凭据→[redacted]」那一处；
  变异（改回 RedactText 80）⇒ 红：拿到 81 rune、末尾哨兵消失。
- TestAdminObservabilityTrace_PropsStayAtSummaryBound：200 rune 的 args_summary
  ⇒ 81 rune（80 + 省略号）；变异（把 maxSummaryRunes 提到 4096）⇒ 红。

验收：go build ./... / go vet ./... 全绿；go test -count=1 -race
./internal/services/gateway/... ./internal/runtime/trace/... 全绿。未 push。
 2026-10-26 13:58:02 +08:00
AskaEth fa5d3d23bf feat(gateway): 面板人工加记忆钉 long + skill 解析去回显 + 可观测读侧脱敏 
三处遗留（M37/M38/M39）同落 internal/services/gateway：

① adminAddMemory 显式传 RetentionTier=long（主人 2026-10-26 裁定「人工动作
  默认 long」）。此前不传档位，面板典型输入（短寒暄/一次性祈使/时效查询/句首
  时点/进行中）会被 resolveRetention 判 temp 并写 7 天有效期 —— 主人在面板上
  亲手加的记忆会静默消失。只钉这一条入口，Store.Add 默认仍由规则判定
  （自动抽取路径不放宽）。

② adminInstallSkillPlugin 解析失败不再打 err.Error()：新建
  admin_plugins_skill_error.go，把失败折叠成「类别（yaml_syntax /
  yaml_type_mismatch / skill_invalid / skill_source）+ 行列号」，日志与 400
  响应用同一份摘要。解码器会把出错值前 7 个字符嵌进错误串（M38 #17），
  原样日志等于把上传内容写进 viewer 可读的日志面。

③ 读侧脱敏走既有 helper，不另写一套：
  - adminLogOf 的 msg 过 trace.RedactText（与写侧同一函数）；
  - adminSpanOf 先过 trace.SanitizeRecord（REST 尾部与 observability_trace
    推送帧在同一处收口）。⚠️ 有意改变 admin 响应内容：props 变白名单投影 +
    omitted 摘要；字段名与帧形状不变。行数/级别/时间戳/来源、span 的
    status/耗时/时间/名字一律保住。

测试（每条都验过「删掉实现 ⇒ FAIL」）：
  - 面板加记忆 ⇒ 落库 (retention_tier='long', expires_at='')；对照组证明同一句
    内容走 Store.Add 仍判 temp；
  - 非法 YAML 含哨兵 ⇒ 响应与日志均无哨兵、都有类别与 line 2（内联/文件/语法/
    来源四类）；
  - 日志页 msg 含 sk- 形状凭据 ⇒ [redacted]，level/source/time 与非敏感正文保留；
  - trace 响应 props 正文 ⇒ omitted Digest、args_summary 打码，排障字段原样。

验收：go build ./... / go vet ./... 全绿；go test -count=1 -race
./internal/services/gateway/... 全绿。未 push（按任务口径）。
 2026-10-26 13:53:59 +08:00
AskaEth a697fa0a1e Merge branch 'feat/m35-ttsemo-emotiontts-provider-with-emot' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 13:44:00 +08:00
AskaEth b90811fae4 docs(voice): 收口「没会话/没绑定就走 default」的镜像注释（r4） 
唯一 finding：audio.go 的 speechRequest.SessionID 注释原本写「省略它时本口没有会话
概念 ⇒ 走 emotionTTS 的 default 分支」——**反了**。真实链路是
effectivePersona(ctx,"") → sessionPersona("") 为空**不是终点** → Effective =
defaultPersonaID() → 常规安装必有全局默认人格 ⇒ personaId 非空 ⇒ 走 personas 映射。
照那句话改的人会写出 `if req.SessionID == "" { personaID = "" }`，正是 r2 修掉的病。
改为：省略时按**全局默认人格**选发音人（会话绑定 → 全局默认人格 → 两者都没有才落到
default 字符），并显式写了"不要写成 if SessionID == \"\" { personaID = \"\" }"。

顺手同根三处（不留第四轮）：
- tts/config.go 的 Config.Default 注释：成因表「会话无绑定 / 读取失败 / 该出口本身
  没有会话」已过时 ⇒ 改为「空串的唯一合法成因是连全局默认人格都没有」，并写明不是
  "会话未绑定"、也不是"出站口没有会话"。
- runtimeconfig/voicetts.go 的 Default 字段注释与文件头同族措辞同步；
- selection.go 的 WithPersonaID / Resolve 分支表、service.go 的分支小标把
  「解析不到」统一改成「连全局默认人格都没有」；
- voice_emotiontts_test.go 的 TestSpeechEndpointNoSessionUsesDefault 注释同步（该用例
  没接人格库，所以确实落到 default —— 但成因写对了）；
- wire_voice_tts_test.go nit：改成「已废弃的全局 `character` 不生效」（墓碑键仍在）。

纯注释：`git diff` 里非注释改动行为空。go build/vet 通过；四包 go test -count=1 全绿。
 2026-10-26 13:40:00 +08:00
AskaEth 1c2944fcf4 docs(voice): 收回 r2 修掉的旧语义注释 + 让关闭态变异真能打红（r3 P2-1/P2-2） 
P2-1（两处注释在描述已被推翻的旧语义，会把 r2 的修复写回去）：
- voice.go 的 voiceReplySink 文档：原写「personaID = env.PersonaID，会话无绑定时为空」
  ⇒ 实际传的是 turnPersona.Effective，**未绑定 ≠ 空**（有全局默认人格时非空）。
  改为写明「生效人格（会话绑定 → 全局默认人格；两者都没有才是空）」，并显式指出
  它不是 env.PersonaID、把空当"没有角色"会让主会话落到 default（正是 r2 修掉的）。
- voice.go 的 synthesizeVoiceReply：原写「空 personaID = 会话无绑定 ⇒ 走 default」
  ⇒ 反了。改为「空 = 连全局默认人格都没有 ⇒ 才走 voice-tts.json 的 default」。
- 同族 format 残留措辞：client_test.go 的「非法格式的回落」（该行为已不存在）、
  cmd/cyrene/wire_voice_tts_test.go 的「角色/格式/超时按文件来」都改写。
- nit：voice.go 的 `env, turnPersona := ...` 遮蔽同包类型名，改成 `tp`。

P2-2（我上轮那条「摘掉 PrimaryActive 闸 ⇒ 用例红」不成立，复审实测仍绿）：
根因是 audioStubVoice 不实现 PrimaryActive，拦住 persona 读取的只有类型断言。
按塔选的第二种收口（把测试做强）：
- audioStubVoice 补 `PrimaryActive() bool { return true }`（它是"生效中的 persona
  voice"替身），并在注释里说明它存在的理由；
- 关闭态用例改用新替身 inactivePersonaVoice（实现 personaVoice 但报 false），
  于是 PrimaryActive 成为关闭态唯一的闸；
- 重跑变异（摘掉 `&& pv.PrimaryActive()`）**实测打红**：
  「未生效的 personaVoice 却查了 1 次会话人格（关闭态行为变了）」。

未动：功能面、错误码、500 状态码、白名单、session 可读、隐私/format/Stats/redactURL。
go build ./... + go vet ./... + go test -count=1 -race 覆盖 tts/runtimeconfig/gateway/
cmd/cyrene 全绿。
 2026-10-26 13:32:04 +08:00
AskaEth e684061e56 fix(voice): 主/子系统会话的发音人跟「生效人格」走（r2 P2-1）+ 错误码可区分 
P2-1（实质）：主会话（web）的 persona_id 恒为空且无重绑路径，而"空"的真实语义是
「继承全局默认人格」（loop/persona.go 回退 Options.PersonaID；前端 lib/persona.ts 的
bound ?? defaultPersona(personas) 是同一口径）。此前只有 TTS 把空读成"没有生效人格"
⇒ 落到 voice-tts.json 的 default：主会话聊天是 furina、声音却是 default 那个人，
换全局人格后也不跟声 —— 正是主人抱怨的那件事，且发生在唯一能给普通聊天出声的路径。

修法：
- turnEnvResolver 新增 resolvePersona/effectivePersona（绑定 → 全局默认人格 → ""），
  默认人格扫描抽成 defaultPersonaIDFrom 一处（*Server.defaultPersonaID 转调它）；
- ownerWithPersona 复用**同一次**会话读取同时给出 loop 用的 binding 与呈现用的
  effective —— WS 语音回合为选音色不新增任何 I/O；
- REST：现有闸内改用 effectivePersona；WS：voice.go 那次 env 解析处取一次传给 sink。
因此 `default` 只剩"连默认人格都没有"这一种用途。
- service.go 那句"换人格后用老角色声音不可能发生"收回为限定说法：本包无缓存、无兜底
  角色、未映射即拒绝，但**调用方必须传生效人格**（网关两处已修）。

回归锁：voice_persona_inherit_test.go 复现复审用例（名字不同、两条口各一条）——
未绑定会话 + 全局默认 furina + default 指向 cyrene ⇒ 必须用 furina 的声音；
变异（effectivePersona 退回「空 = 无」）实测两条都红，报文与复审一致。

建议 3（顺手做）：persona 未映射时状态码仍 500（服务端配置缺失），但错误码换成
tts_persona_unmapped / tts_no_character，不再与一般合成失败混成一个码；
用例 TestSpeechEndpointPersonaUnmappedErrorCode 钉住。

P2-2（nit）：voicetts.go 开头删掉「格式、」两字（该键已删除）。

go build ./... + go vet ./... + go test（含 -race）全绿。
 2026-10-26 13:21:44 +08:00
AskaEth 003d12a712 feat(trace): M40 span 写侧脱敏 + 共享上游错误收敛 helper 
stderr 的 JSONL 是无主人在场的落盘面，却在此前原样落工具结果（result）、
子代理回复（text/summary）与上游报文，等于一次 tail 就能拷走整段对话。
本切片交付两件地基：

1) 写侧脱敏（trace.JSONRecorder）
   - 新增 trace/span_props.go：safePropKeys 白名单与 projectSpanProps 投影，
     读侧（safeSpanProps）与写侧共用同一张表、同一个投影函数；
   - WriteSpan 落盘前经 trace.SanitizeRecord 投影：白名单键清洗，表外键只留
     Digest（bytes/runes/sha256 前缀，收进 omitted），事件先 RedactEvent 再把
     正文键折成 Digest。落到磁盘的只有元数据，正文一个字节都不留；
   - 新增 trace/digest.go：Digest/DigestOf/DigestOfValue，给「脱敏后仍要能诊断」
     一个构造上不含正文的取值形态（体积 + 指纹），两条投影都按类型放行它。

2) 共享上游错误体收敛 helper（给 M41/M42，禁止三家各写一份）
   - trace.UpstreamError(upstream, status, contentType, body)：只保留 status /
     contentType / bodyLen / body sha256 前缀 / 上游 JSON 的 error.code /
     error.type / 截断 128 rune 的 error.message，其余一律丢弃，响应体原文绝不
     进 error 或日志；*UpstreamErrorInfo 提供 Error()/Attrs()/Unwrap()（errors.Is
     可判 ErrUpstream 走降级链）；
   - trace.HostOf / trace.MaskQuery：日志里的 URL 只回来源，凭据类 query 与
     fragment 值打码为 ***，user:pass@ 整段打码。

3) 剥掉三处正文上 span
   - loop：tool span 不再放 result，改放 result_summary（与 tool_execution.end
     帧同源、已脱敏截断）与 result_digest；
   - orchestration：subagent span 不再放 text，subagent.done 事件不再放 summary，
     改记 status/steps/chars/sha256；
   - automations：AddRuleByName 不再 %v 整个 payload，改记 subject/type/bytes/sha256。

测试：以哨兵正文在落盘字节上断言（JSONL / slog 输出），并分别对「编排层收到的
原始 span」与「写侧投影」两层各钉一遍；UpstreamError 用回显 input 的 422 报文
与 HTML 错误页各钉一条；解析出/未解析出 JSON 都不回原文。以上均做过变异验证
（去掉保护即变红）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
trace/loop/orchestration 另跑 -race 全绿。
 2026-10-26 13:17:42 +08:00
AskaEth 8820b0b316 fix(voice): 修 r1 复审四条（正文进日志的隐私泄漏 / format 假开关 / Stats 无消费者 / redactURL 兜底） 
上一版把 r1 的三条 finding 静默漏了（我在交付前没读 inbox），本提交逐条补齐：

1. 🔴 隐私：upstreamStatus 不再读也不记响应体
   FastAPI 的 422 会把请求体里的 input 整段回显，原来「错误体前 512 字节进 WARN」
   等于把她的原话写进日志。现在只记 status / content_type / response_bytes
   （字节数优先取 Content-Length，缺失时有界排空取上界，读到即丢）。
   新用例 TestSpeechRejectLogOmitsRequestText 用**回显正文**的假上游抓它；
   变异（把 body 塞回 WARN）实测打红。

2. format 键彻底删除（假开关）
   上游只拿 response_format 改自报 media_type，产物恒 .wav 无转码，我方只按字节
   嗅探裁决 ⇒ wav/mp3/ogg 交付字节与响应头完全相同。删 tts.Config.Format 与
   VoiceTTSTuning.Format，encodeSpeech 硬编码 requestFormat="wav"（不可配置）。
   用例钉住请求体恒为 wav；变异（改成 mp3）打红。旧文件里残留的 format 键被忽略。

3. Stats 接进 degrade 的 WARN（attempts/failures）
   否则统计在生产日志里没有消费者。TestServiceDegradeLogsCounters 钉住；
   变异（去掉两个字段）打红。

4. redactURL 兜底含 "@" 整体打码
   解析失败/无 host 时原来原样返回，user:pass@ 会漏凭据。TestRedactURLCredentials
   覆盖合法 URL 去 userinfo、非法含 @ 打码；变异（退回原样返回）打红。

另：关闭态零行为变化的**当前 tip 重跑**——
- handleSpeech 的 persona 解析改为只在语音服务实现 personaVoice 且 PrimaryActive
  时才查库；未接 emotionTTS（既有链/stub）时零额外 I/O、ctx 不改、音频字节相同。
  用例 TestSpeechEndpointDisabledVoiceDoesNotReadPersona（含对照组证明闸不是恒关）；
  变异（去掉闸）打红。
- voice.go 在 dev 基线里本就有 env.PersonaID 解析（无人格解析新增 I/O），本次未改。

Config.Normalized 去掉未使用的 logger 参数。go build/vet/test（含 -race）全绿；
真机 live 复测：cyrene 264104 B、furina 221194 B。
 2026-10-26 13:06:39 +08:00
AskaEth efc25c6a7f feat(voice): emotionTTS 发音人绑定会话人格（不再全局定死一个 character） 
主人 2026-10-26 逐字：「TTS 的人物选择是要绑定后端的角色的，不然会出现以后换了
别的角色(人格配置)，还是用老角色的 TTS 角色」——上一版把 character 写在面板文件
里当全局值，换人格后声音不变，是真缺陷。

配置形状（单一真源 = $DATA_DIR/config/voice-tts.json）：
  {"enabled":true,
   "personas":{"<personaId>":"<characterId>"},
   "default":"<characterId>",   // 只服务「解析不到 personaId」
   "format":"wav","timeoutSec":60}
- 旧的全局 `character` 键**废弃并被忽略**（启动 WARN 提示改用 personas）；
  Config.Normalized 不给任何角色兜底（代码里写死默认角色=病害本身）；
- configs/personas/*.yaml 不参与（塔裁定：避免启动期静态配置与面板两处漂移）；
- 零新 .env 键。

选角四条分支（Config.Resolve，纯函数、无缓存）：
  ① persona 有映射 ⇒ 用它；
  ② personaId 为空/解析不到 + 配了 default ⇒ 用 default；
  ③ personaId 为空 + 没配 default ⇒ 不合成（ErrNoCharacter，上游 0 请求）；
  ④ persona 无映射（含映射值为空）⇒ 拒绝（ErrPersonaUnmapped），
     **绝不**拿 default 或别的角色顶 —— 主人担心的病害本身。

两条既有出站口各自按当次请求解析 persona（不在 SetVoice 时算一次缓存成全局）：
- WS voice_output：用本回合的 env.PersonaID（runVoiceTurn/runVoiceTurnDirect），
  经 voiceReplySink 传给 synthesizeVoiceReply，再 WithPersonaID 交给语音面；
- POST /api/v1/audio/speech：请求体新增**可选** sessionId（纯增量），
  经 turnEnvResolver.sessionPersona 解析；省略 ⇒ 走 default 分支。

Client.Speech 改为**每次传入 character**（内部不缓存发音人）；Provider 适配同样按
ctx 的 personaId 现算。选不到发音人时**不回落既有链**（回落=用另一个声音说话），
上游拒绝(404/500)仍按既有口径回落既有链+WARN。

测试：四条分支各自可变异打红，断言打在「上游请求体里的 voice」与帧/响应字节上；
含「同一进程先后两个 persona，第二次绝不沿用第一次 voice」的回归锁，
以及两条出站口的端到端 persona 切换。四条变异（未映射回落 default / 客户端缓存
voice / REST 不看会话 / 选不到时回落底链）均已实测打红后还原。
go build ./... / go vet ./... / go test -race 全绿；真机 live 证据：
cyrene(char_84fb88a3)=254630 B、furina(char_5314489e)=213392 B。
 2026-10-26 12:57:35 +08:00
AskaEth 3a2711a7e0 feat(voice): emotionTTS 接成一级发音人（UTF-8 请求体 + 失败回落既有链） 
侦察结论（真机 + 上游源码）：
- POST /api/analyze_emotion ⇒ {primary,complex,intensity}；primary 闭集
  实测 平/喜/惊/哀/怒/厌/惧/急，intensity ∈ Low/Medium/High。
- POST /api/synthesize 收 emo_vector(float[])+emo_alpha，但还要 ref_audio_filename
  且只回 {"audio_url"}（服务端落盘），不适合做运行时直出。
- POST /v1/audio/speech 内部先 LLM 分析情绪 + 匹配参考音，再把情绪向量以
  [EMO:{vector}|{alpha}]base64:... 注入 voice 交给 indexTTS2 ⇒ **情绪确实影响
  语气，但由服务端从待念文本自推**，我方没有可映射的参数。
- 上游把下游载荷的 speed 硬编码 1.0（core/utils/llm_provider.py），客户端
  speed 是空转 ⇒ 本切片不暴露 speed，也不暴露 emotion/tone（不造假开关）。

实现：
- internal/runtime/voice/tts：Client（唯一 HTTP 出口，json.Encoder 产出 UTF-8
  请求体、超时/非 200/非音频/超限各自可分类）+ 字节嗅探庭裁 + Service（emotionTTS
  在前、失败回落既有链，永不上抛成回复失败）+ Provider 适配（可作链的一级）。
- internal/config/runtimeconfig/voicetts.go：$DATA_DIR/config/voice-tts.json
  （enabled/baseUrl/character/format/timeoutSec），零新 .env 键。
- cmd/cyrene/wire_voice_tts.go + wireFrontend 的唯一注入点：两条既有出站口
  （POST /api/v1/audio/speech 与 WS voice_output）同时用上；不新建端点/帧族。
- 严守 voice 入站闭集（不扩 Source/Status），出站音频不挂 voice DTO（塔裁决 B）。

测试：中文 UTF-8 请求体、非 200、超时、非音频、超限、未启用、空文本、嗅探表、
降级回落、未启用透传、两条出站口的字节级实测、面板配置解析、组合根映射；
三条变异（去中文 / 嗅探恒真 / 去掉回落）各自打红。真机 live 用例（build tag
emotiontts_live）实测 278,036 字节 WAV。
 2026-10-26 12:46:57 +08:00
AskaEth 6a3f3a329a feat(memory): dedupe_group 候选动作 + 留存闸组合口径与 N6/N7 时点规则（M34） 
M27 体检（DevDocs/audit/记忆库价值体检-2026-10-24.md）两条根治项：

1) 新增 `dedupe_group` 候选动作（不放大 containNone）：
   - 簇只认「同 scope+kind+完全相同 tag 集」或「同 scope+kind+前 12 字相同」
     （后者附加词项余弦 ≥0.70 与同 kind 收窄）；
   - 每簇保留超集：内容最长 > merge_count 大 > created_at 早 > id；
   - 安全门与既有合并路径同源：受限来源/绝对时刻/时效状态/低置信一律不进簇，
     数值与否定与存活行不一致的成员被逐条剔出；临时层行（expires_at 非空）
     两个方向都不进簇（存活行被清扫会给被吸收行留悬空 merged_into）；
   - 已被 archive/merge 候选覆盖的条目不重复出第二条待办（抑制）；
   - 落库形态与 merge 同构：source_ids 多条 + target_id，应用为整簇原子的软合并，
     回滚复用 revertTidyMerge（逐条复原）；
   - 批量应用按**行**计上限 200 行/批（maxTidyApplyRowsPerBatch），超限如实 truncated；
   - 不进自动档（人工/批量点）；试算（DryRun）零写库给出簇数与可减少行数。

2) 留存闸改组合口径（治根）+ N6/N7：
   - 护栏②从「含习惯/约定词就一票放行」改为「锚点词 **且** 含具体约束
     （数字/禁忌/频次规律）」；无约束的锚点交给更窄的规则判；
   - N1/N3/N4/N5 这几条词项规则改为「无锚点时才开火」（`主人喜欢说晚安`
     这类偏好不再因寒暄词被判临时）；
   - 新增 N6（指示性时点，句首前 12 字内）与 N7（进行中状态），安全阀：习惯词、
     硬性长期事实词、数值/约束、寒暄/情绪词一律按回去；
   - 命中即第五态 defer，`expires_at = 判定时刻 + tempTtlSec`（默认 7 天，
     已落在 $DATA_DIR/config/memory-tidy.json，零新 .env 键）；**只开新增侧**，
     存量一条不补写（用例钉住）。

契约（加性，不改既有字段语义）：tidy dry-run/run 回执加 dedupeGroups /
dedupeRowsReducible / dedupeTruncated；批量应用回执加 deduped / rowsAffected。

实测（生产库只读 mode=ro，active 3667）：
- 闸：改前 2 条(0.05%) → 改后 89 条(2.43%)：n6 58 / n7 29 / n1 2；
  89 条里 30 条含锚点词，逐条人读均为「约定明天中午见」「约定下周留个午后」
  这类到期即失效的安排（唯一可议：1 条把「中午互动的日常」一起带进临时层）。
- dedupe_group：281 簇 / 可减 594 行（16.2% of active）；tag_set 265 / prefix12 16；
  簇大小 2:170 3:48 4:27 5:10 6:10 7:7 8:2 9:2 10:1。

验收：go build ./... + go vet ./... + go test ./... 全绿。
 2026-10-25 00:08:46 +08:00
AskaEth 210c8b999f Merge branch 'feat/m33-testhealth-fix-test-double-races-and' into dev 2026-10-24 23:41:40 +08:00
AskaEth f56d74c363 test(channelbridge): 准入三条用例改按「这条消息续出的臂」断言（M33 r2 复审 p2） 
TestCoalesceSystemNoticeDoesNotJoinBatch 仍在用位置索引 d[1]：waitTimerCalls 只保证
「至少 2 次请求」，不保证顺序 —— 加压下会拿到 m1/m2 那次 2s 的续臂（实测 -race
-count=200 有 2/200 假红，空载测不出来）。

改成与兄弟用例同一口径，但把相位做成确定的：新增 sendSettledAndDuration ——
投递后等 worker 把这条收进本批、**为它**续好臂（按请求序号认领），再返回那次续臂的
时长。仅用 latestDuration 仍有缝：worker 可能在帧/通知之后才补上一条消息的续臂，
最新那次就成了 2s。三条准入用例（action 帧 / 系统通知 / 聊天消息对照组）统一改用它。

断言口径未变：仍然断言「系统通知/action 帧不重置静默窗口（剩余 500ms）」、
「聊天消息重置成完整 2s」；waitTimerCalls 语义、请求次数均未改。

证据：-race -count=400 连跑 3 次（1200 次）全绿、DATA RACE=0；
兄弟两条 -count=200 全绿；整包 -race -count=3 全绿。
 2026-10-24 23:36:41 +08:00
AskaEth 1ae9158250 test(channelbridge): 窗口夹具按截止时刻推钟 + 去掉无法证实的替身锁（M33 r1 复审） 
P1-1（channelbridge 的 -race 门仍红，红在用例不确定性而不是竞态）：
- coalesceTimers 改成**截止时刻**语义：每次 after(d) 记 at = 注入时钟 + d，
  推钟只把时钟推进到「当前最早的截止时刻」再触发它。旧写法按 FIFO 逐个触发并
  按请求时长累加，实测 12 条消息内攒到 5 个废弃定时器把时钟推 +10s（窗口 2s、
  绝对上限 6s）⇒ 循环头走「到点直接发车、不 takeAll」的分支，队列尾部落到下一批。
- 推钟前强制「车道排空」这条不变量（pump/advanceAndFire/waitIdle）：
  时钟只表示时间过去，它一转就可能跳过 takeAll，因此先等 worker 把货收进本批。
- sendSettled：投递后按**序号**等「这次投递之后新挂的定时器」（旧的都已被 worker
  放弃、再没人监听），供「投递与推钟交替」的用例（每 500ms 一条的绝对上限用例）。
- fireLatest/advanceAndFire 带 done 谓词重试，避免「登记与触发之间续臂」导致
  推了钟却没人醒；waitIdle 一边等一边推窗口（worker 停在窗口里时永远走不到退休）。
- 用例侧只补相位与等待，不动断言：TwelveBurst 读历史前等 assistant 行落库；
  准入用例断言「最新一次续臂」（原来按下标取 d[1]，隐含臂数假设）；
  stale 用例两条都投完再推时钟（车道不会在两条之间退休）。

P2-1（替身锁无法用变异证实）选 A：删掉 stubChatter/stubSessions 的锁与访问器，
退回原字段访问，并写清理由 —— 21 个用例全走同步便捷路径
（b.process → processFrom → runBatch → Loop.Run），DEV HEAD 上 -race 数十次跑
（含把锁删掉的变异）DATA RACE 恒为 0；若将来从车道 worker 触碰这些字段必须加锁
并补 -race 用例。

证据：go test -race -count=3 ./internal/services/channelbridge/ 连跑 6 轮
18/18 全绿、DATA RACE=0；coalesce 子集 -count=80 全绿；整包 -race -count=20 全绿；
全树 go build/vet/test -count=1 全绿。
 2026-10-24 23:18:45 +08:00
AskaEth 7d9b2132bb test(testhealth): 替身竞态加锁 + 墙钟断言硬度（M33） 
四处测试健康债务，只改 *_test.go，不动生产代码、不降并发：

- channelbridge：stubChatter / stubSessions 的跨 goroutine 字段一律经 mu 访问
  （Run/GetOrCreate 在车道 worker 上写、测试 goroutine 读，两者无 happens-before；
  负向断言「等一会儿再看循环有没有被驱动」尤其如此）。读写走访问器，Messages()
  返回副本；t.Parallel 与并发度不变。
- plugins/tools/io：claimProbeTimeout 2s（真实时间预算）→ 60s，并由 claimProbeWait
  按 t.Deadline 收缩。探针只等 goroutine 被调度（无时间语义），放大余量把
  「机器快慢」从断言里去掉，死锁仍以断言失败暴露。
- backthink：TestSelfWakeGate_WindowExpiry 窗口 120ms → 6s（给 waitFor 的 4s 上界
  留 2s 余量），到期等待改为按首次受理时刻推算 window+250ms，不再盲睡 3×窗口。
  另修 TestSelfWakeStatus_MatchesReceiptAndTracksPendingSlot：worker 先 take 再进
  Think，卡 Think 并不占待跑槽 —— 改为「上一轮把 worker 占住再断言 Pending」。
- memory：墙钟实测用例显式给闸 5s 预算（measureGateBudget），不再因默认 150ms
  超时 fail-open 打炸「每轮都真扫真判」前置断言；并把 GateFailed 纳入该断言。
 2026-10-24 22:24:14 +08:00
AskaEth 3acc81cec8 feat(gateway): 子代理结果回填父会话（系统注记）+ 记忆抽取排除（M32） 
断点（M29 勘测定论）：后台批次结算后 `subagent.result` 发了、hub 也把它中继成
WS 帧，但**没有任何代码把结果回填父会话** —— `chat_messages` 无行、模型下一轮
看不到，于是「她拍了个子代理出去，但没有下文」。

回填拆成互不冒充的两条面（人格=身份红线：子代理结论绝不写成她的人格发言）：
- 可观测/历史面（新文件 subagent_backfill.go）：独立订阅者（不塞进 hub）订阅
  `subagent.result`，写父会话一条 `role=system` 注记（内容以 `[子代理结果]` 开头
  并点名 `sub-<id>`），随后走既有 `message_persisted` 扇出 ⇒ 刷新/重连后仍在；
- 模型面：同一行经转录播种成为下一回合的**系统注记**（`model.RoleSystem`），
  不是「她说过的话」。

落库口径：角色恒为 system（不冒充 user/assistant）、PersonaID 与 TurnID 留空
（注记不属于任何角色、也不属于任何一路回合）。

记忆抽取排除（新文件 subagent_backfill_extract.go）：`WithoutSubagentNotes` 装饰
`memory.Extractor`，判据是元数据（role=system + 注记标记，与 loop 的 summaryMarker
同一手法），组合根经 `loopMemoryExtractor` 套上 ⇒ 子代理结论绝不进记忆库；LLM
提取器的异步能力原样保留，压缩摘要（同样是 system）不被误剔。

可观测补齐（M29 §7）：`SpawnTool.await` 发布成功补带 source 的 INFO，`b==nil` 与
「无结果」的静默 return 改为 WARN，发布失败 WARN 带上 count/session；回填订阅者
顺手读 `bus.Dropped()`，涨了就记一条 WARN（总线丢事件不再是黑洞）。

测试（均可变异打红）：父会话恰一条 system 行且零伪造助手发言；注记/摘要/批次正文
有界且逐代理点名；不可用载荷与落库失败各留 WARN 且不广播；Start 真订阅总线；
结果不进记忆抽取（同步/异步/端到端接缝）；组合根真装配（真 bus 发布 → 父会话多
一行）。回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿。

不做：不改 `subagent_result` 帧形状、不加进 frameReachesAll、不新开路由/帧族、
不注入人设、不改 Docs（契约归一建议报塔）。
 2026-10-24 22:02:11 +08:00
AskaEth 4c9cabce1b fix(channelbridge): 窗口准入落到车道头 + lane.go 按职责拆分（M23 复审 r1 P2） 
P2-1（行为缺陷）：窗口准入此前只在 prepareInbound 里算 `solo`，而 prepare 发生在
**窗口等待之后** —— 平台帧（action / 系统通知 / 我们自己的 message_sent 回执）照样
进窗、照样把滑动计时重置：一条回执就能把这一批的静默期一直续住（群友说了三句话，
她因为「撤回事件」迟迟不开口）。这与任务书「窗口只收 chat/image/voice/file」相反。

- `laneWindowAdmits(msg)` 成为**唯一准入判据**，只看结构化事实（ContentType +
  isSystemNoticeMessage，绝不解析正文）；
- `splitWindowItems` 在窗口等待阶段把到达的条目分成「进窗口」与「不进窗口」两半；
- 非准入帧**不建窗口、不重置计时**（首条即到达即发车），窗口中途到达的只收进 solos，
  这一批发车后**原样回插队首**各自单跑（保序、不合并、不丢弃）；
- prepareInbound 里的 `solo` 保留为第二道保险（适配器将来把平台事件标成 text 时，
  仍会在组批前被切出去）。

P2-2（硬约束）：lane.go 682 行 → 按职责纯搬移成 5 个文件（最大 246 行）：
lane.go（车道类型与注册表）/ lane_queue.go（入队与取队列）/
lane_worker.go（单消费者与回合槽）/ lane_drop.go（丢弃与停机诚实）/
lane_owner.go（主人私聊判据与车道键）。语义零改动：去注释后的声明集合
（34 个顶层声明，含函数体/字段/常量值）逐字节全等；既有用例一条未改。

顺带：把两处「IsOwner() && !IsGroupChat()」的注释改成代码真正用的判据
（ownerPrivateLane = !msg.IsGroup() && actor.IsOwner()），并记下这处 P3 分叉。

验证：全树 build/vet/test 全绿（73 包 ok）；三包 -race 全绿；
新增 4 条准入用例在「准入失效」变异下三条必红、对照组保持绿。
 2026-10-24 21:28:26 +08:00
AskaEth ca8577f05b feat(channelbridge): 群聊静默窗口合并与回合中续跑（M23） 
主人 2026-10-23/24：「要让群聊聊天很自然，很流畅的做法」。群里「一鼓作气打三句」
此前会让她回三次；本片在**每会话车道头部**加一段静默等待，把这几句合成**一轮**回答
（批内每条仍是独立的一条消息，design/15 §2.1 不许拼成一条）。

四条不可走样：

- 🔴 主人私聊**结构性**无窗口：车道分 `newDirectLane`（无 batcher 字段、拿不到定时器
  工厂）与 `newBatchLane`，类型由 actor 元数据（IsOwner() && !IsGroupChat()）决定，
  配置无权翻转；
- 🔴 窗口内零丢失：唯一容器是车道队列（takeAll 单消费者取出），合并阶段无新增丢弃点
  （CoalescedDroppedTotal 恒 0）；超单批上限的**尾部回插队首**保序、锁内、发车前；
- 🔴 一条批 = 一个 turnID = 一次 loop.Run = 一条助手回复；
- 🔴 不改「回什么」：闸门仍逐条跑（prepareInbound 逐字搬运 M22 的 processFrom），
  被静默的消息进不了批。

实现落点：
- lane.go：direct/batch 两种车道 + front（回插队首）+ takeAll + 停机诚实登记；
- coalesce.go：生效参数解析、滑动窗口 + 绝对上限等待、发车原因与计数；
- coalesce_lane.go：攒批 → 拆分 → 陈旧度/闸门 → 发车；
- coalesce_prepare.go / coalesce_batch.go：processFrom 拆成 prepareInbound + runBatch；
- runtimeconfig/channels_coalesce.go：$DATA_DIR/config/coalesce.json（零新 .env 键）；
- gateway/admin_coalesce.go：GET/PUT /api/v1/admin/channels/coalesce（三态补丁 +
  writeAuth + 审计 channels.coalesce + 热生效），routes.go 两行注册（塔已批）；
- 前端：渠道总览页一张卡（六个旋钮；主人私聊只给只读说明，不给开关）。

M22 既有用例仍在（lane_test.go 夹具显式关窗以钉住车道本身）；stranger_test.go 的那条
按塔裁定 #4 改写：「已有回合在跑 ⇒ 只登记不回」变成排队回答（留 WARN，绝不静默）。

回归：go build/vet/test ./... 全绿；三包 -race 全绿；前端 tsc --noEmit + npm run build
+ 渲染测试 36 项通过。不 push、不重启后端、未改 .env 与 Docs/。
 2026-10-24 21:11:22 +08:00
AskaEth 679c8abf1d Merge branch 'feat/m30-mcporigin-stamp-tool-origin-and-grou' into dev 2026-10-24 20:36:47 +08:00
AskaEth c608dd4afb fix(gateway): 卸载拒绝话术按接入路径分流（.env 接入的 server 不再指向 MCP 页） 
复审 M30-p2-1（r1）：`plugin_uninstall_scope` 的 400 一律让主人「去『MCP 服务器』页
卸载」，但 `.env` 的 MCP_SERVERS_JSON 启动期接入的 server **不经**插件管理器、
不在 plugins.json 里，MCP 页（= Manager.Statuses()/List()）根本看不到它 ⇒ 那条指引
对该路径是假指引。

- 新增 `plugin.(Manager) MCPServerName`：`mcp:<server>` 注册键 → server 名的**唯一**
  解析口（前缀只在 manager.go 出现一次），网关不再自己拼前缀。
- `serverScopedUninstall` 改为 `*Server` 方法，文案经 `uninstallPointer` 分流：
  · 管理器托管（落在 plugins.json，判据 `Manager.List()`）⇒ 保留「请在『MCP 服务器』
    页启停或卸载该 server」；
  · 否则 ⇒ 明说该 server 由 .env 的 MCP_SERVERS_JSON 在启动时接入、面板不管理它，
    并给出可操作步骤（改 .env 里那一项：删掉或设 enabled=false，改完需重启生效）。
  接入路径判据来自**管理器持久清单**，不是名字前缀/transport 推断。
- `mcp:<server>` 登记条目同样分流（此前也一律指向 MCP 页）。

测试（gateway）：plugins.json 路径断言含「MCP 服务器」页字样且不提 MCP_SERVERS_JSON；
.env 路径（工具与登记条目各一条）断言含 MCP_SERVERS_JSON 且**不含**「MCP 服务器」
字样；三条均断言 400 + `plugin_uninstall_scope` 不变、被拒后条目仍在。
修前红：两条 .env 用例（见回报）；修后绿。回归 go build/vet/test 全绿。
 2026-10-24 20:32:36 +08:00
AskaEth 86aef7b454 feat(capability): 工具按上游 MCP server 分节（来源章 + 呈现隔离） 
主人 2026-10-24：「能否将每个 MCP 服务器所承载的插件和工具按上游(来源)服务器分类
并与其他插件相对隔离？」

归属信息此前后端根本没有（GET /admin/plugins 每条只有 name/kind/description/两个
布尔），而 `mcp:` 是每台 server 一条的 KindMCP 条目的注册键，**不是**工具的命名空间
（工具名由 server 原样给出，连前缀都没有）⇒ 只能靠注册时的元数据，不能解析名字。

后端（唯一汇点盖章）：
- 新增 pkg/plugins/sdk/origin.go：Origin{Kind,Server,Transport} + 可选接口
  OriginAware（没实现 = 宿主内置，老工具零改动）+ OriginOf（零值视为无来源）。
- registry.Capability 加 Origin 字段；RegisterTool 盖章（覆盖热装与 .env
  MCP_SERVERS_JSON 两条接入路径的合流处），ReplaceTool **同样重新盖章**（它逐字段
  重建条目，漏了就是「热替换把来源抹掉」）。
- mcp.mcpTool 实现 Origin()（server 名与传输都在 cfg 上），transport 用新的
  transportNameOf 报**实际会用的**形态（stdio/sse/http），与 newTransport 同一推断。
- 网关 PluginSummary 加可选 origin（omitempty）：零值 ⇒ 键缺席，不是空对象。
- 卸载守卫：对单把 MCP 工具或 `mcp:<server>` 登记条目直接 400
  （plugin_uninstall_scope）并指向「MCP 服务器」页 —— 原来会绕过插件管理器裸删，
  server 的 names 账本不同步、重连后工具复活。判据是来源章，不是名字前缀。

前端（呈现分组）：
- admin/modules/pluginOrigin.ts：纯函数按 origin.server 分节（按 server 名排序），
  transport 未报告时标题省略括号，缺 server 名不冒充内置。
- Plugins.tsx：工具段两级（`来自 fs（stdio）· N 把工具` + 宿主内置），MCP 工具行去掉
  「卸载」改为指向 MCP 页；`kind:"mcp"` 登记条目与未知 kind（iot）各有段如实显示，
  不再静默丢弃（design/09 §5.2.1 红线③）。

零影响（有断言）：tool_policies 表/策略写路径未改；ToolSchemas 不发来源（测试断言
模型面既无 origin 键也无 server 名）；停用 server ⇒ 条目连来源一起消失，无孤儿。

测试：registry 盖章/保章（两条均已实测变异变红）/内置零值/改策略不清章；mcp 注册
路径盖章 + transport 推断表；网关读面缺席与存在、热装整链、卸载守卫；前端 esbuild+cjs
逻辑测试 12 项。验收：go build/vet/test 全绿，frontend `npm run build` 通过。
 2026-10-24 20:21:22 +08:00
AskaEth fd8a62edf5 Merge branch 'feat/lanequeue-decouple-inbound-turns-and-add' into dev 2026-10-24 20:17:17 +08:00
AskaEth e3e8878ead fix(channelbridge): 车道键与会话键同源 + 主人私聊溢出区保序（M22 复审） 
复审 r1 的 P1-1 被证实：车道键（a.Name()+ConversationKey，含频道与账号维度）与会话键
（platform \x00 channelID）是两套没有共同来源的判据，于是 kook 同一 guild 的两个 text
channel、以及同平台两个账号对同一对端，都会得到「一个 session、两条车道、两个回合并发」
—— 两条 run 共享 sessionID，checkpoint 行 id 互相覆盖 / flow 桶被先收尾者删掉。

- P1-1 车道键与会话键同源：`internal/channel/session` 导出 ChannelKey / Key（channelID
  与原缓存键派生**原样**导出，manager 内部改为走同一个 sessionKey，语义一字未改）；
  `laneKey` 现在逐字是 `session.Key(msg)`（主人私聊仍是 `main|web` 这个目的地键），
  **去掉 a.Name() 维度**。同平台多账号对同一对端因此共用一条车道（它们是同一个 session），
  出站路由不受影响：回复取每条消息自己的 platform/ChannelID 与它自己的适配器。
- P2-1 溢出区保序：`spill` 非空后新条目一律追加 spill、不再回写 `ch`，修掉复审实测的
  `[m1 m2 m3 m5 m4]` 超车（现为到达顺序）。
- P2-2 口径修正：lane_test 文件头改指 `TestLaneRejectsNewestWhenFull`（语义是「门前拒收
  最新、队列不动」）；laneKey 注释改写「多账号必须共用一条车道」并写明取舍。
- P2-3 生产可见性：丢弃 WARN 带上 `dropped_stale_total` / `dropped_overflow_total` 累计
  计数（不新开端点）；主人私聊积压改成按倍率 16/32/64… 告警，不再只响一次。

断言：TestLaneKeyNeverCollidesAcrossSessions（表驱动，含 kook c1/c2@同 guild、
telegram conf0/conf1@同对端两行 + 不同群仍并行的控制行）、
TestLaneOwnerPrivateSpillKeepsArrivalOrder（逐条放行，钉住到达顺序）、
internal/channel/session/keys_test.go（键派生与会话缓存键形状）。
 2026-10-24 20:08:28 +08:00
AskaEth 7ea2850f18 Merge branch 'feat/m24-flowgate-move-review-off-admission-p' into dev 2026-10-24 20:00:57 +08:00
AskaEth 187eb327d6 Merge branch 'feat/mcppanel-mcp-server-management-page-and' into dev 2026-10-24 19:58:37 +08:00
AskaEth a25e0c8870 test(channelbridge): 锁住审查解析的接线（BOM 韧性必须在生产侧生效） 
- 新增 TestParseKeepIndices_ToleratesBOMWiring：喂对端**原样字节**（\xef\xbb\xbf + JSON 数组）
  给生产路径的 parseKeepIndices，必须解析成功且升序；同时断言夹具真的以 BOM 开头、且裸
  json.Unmarshal 在它上面仍然失败 —— 把委派改回裸 json.Unmarshal 即红。
- 新增 TestParseKeepIndices_StillFiltersAfterDelegation：委派之后过滤口径不变（越界/负数/
  重复编号丢弃、结果升序）。
- 新增 TestNewLLMReviewer_ToleratesBOMOutput：走整条生产路径（NewLLMReviewer 产出的
  Reviewer），回带 BOM 时给出保留编号而不是退回 FIFO。
- 注释里写明 M24 已确认的语义代价：审查移出准入路径后 review_pruned 不再从门口丢消息
  （41–74 条/日 会进流水线），而 rate_limited 门口丢与 FIFO 上限修剪一字不改（由既有用例钉住）。

只加用例与必要注释（含一个为断言所需的 encoding/json import），未改动既有用例的任何断言。
 2026-10-24 19:49:58 +08:00
AskaEth 960d7b46fd Merge branch 'feat/m25-proactiveweb-route-web-proactive-pus' into dev 2026-10-24 19:47:48 +08:00
AskaEth e91b868a5c feat(channelbridge): 入站投递与回水解耦 + 每会话回合车道（M22） 
报障：「群聊消息速率限制似乎会让消息一直排队，导致后面才回复前面的话」。
病灶：`onMessage` 在适配器的读循环里**同步**抢全局 16 槽回合信号量，槽满即停止
读 socket（心跳不回、后续帧不解析），跑完一轮再按条重放。

- 解耦：`onMessage` 过完流控闸后只调用 `enqueueInbound` 就返回；全局回合槽
  （maxConcurrent=16）搬到车道 worker 里取，读循环不再等任何一个回合。
- 每会话一条车道（lane.go）：键 = `<账号>|<platform>|<channel>|<会话桶>`
  （主人私聊恒为 `main|web`，因为它们都路由进同一个主会话）；同会话串行 FIFO、
  不同会话并行；空闲车道退休，表大小只跟活跃会话数相关。
- 陈旧度闸：轮到时已等超 `LaneStaleAfter`（默认 30s，Options 可覆盖）⇒ 丢弃不补答，
  留 WARN + LaneStats 计数 + onRejected 审计。主人私聊与非聊天事件豁免
  （主人 2026-10-24 裁定：宁可晚回，不许不回）。
- 背压有界且诚实：群聊/陌生人满时在门前拒收这一条（队列内容不动，M23 的 takeAll
  依赖它）；主人私聊永不拒收，溢到 spill 只排队，越过 ownerLaneBacklogWarn 记 WARN。
- 四条不变量（顺序/一致性/完整性/最新性）在 lane.go 头部写清，lane_test.go 逐条断言；
  TestLaneDeliveryNeverBlocksTheReadLoop 用「槽全满 + 心跳帧」复现旧病灶。

不改「回什么」的语义：flowgate 限流判据、engage/冷避/owner 闸、陌生人 AcquireTurn
全部原样保留；不做静默窗口合并与回合中续跑（M23）。
 2026-10-24 19:46:20 +08:00
AskaEth 76d972f0f2 fix(channel/flowgate): 审查移出准入路径、节流覆盖失败路径、BOM 解析韧性 
- Admit 不再同步调用审查模型：触发时只把审查**派发**到后台 goroutine，准入只读
  当前已有结论。三重上界：同一适配器至多一次在飞（reviewInFlight）、同一会话每窗口
  至多一次（lastReview）、整个适配器每窗口至多 defaultReviewPerWindow=6 次（reviewHits，
  写成可测断言）。
- st.lastReview 改为在**派发时**置位 ⇒ 成功与失败两条路径同样被节流。修复前它只在
  err == nil 分支置位，而实测 68% 的审查因对端回带 BOM 解析失败 ⇒ 缓冲满后每条入站帧
  都付一次 ~6s 的模型调用（qq-ws/kook-ws/weixin-poll 三路单读 goroutine 全被钉住）。
- 新增 adapter.ParseReviewIndices：容忍 UTF-8 BOM、首尾空白/换行、Markdown 代码围栏、
  数组外解说文字；越界/重复编号照旧丢弃。channelbridge.parseKeepIndices 改为委派它
  （仅函数体 + 注释，未动限流/丢弃/审查触发语义）。
- 语义差异（已写进 flowgate_review.go 文件头）：rate_limited 的门口丢与 FIFO 上限
  一字不改；审查修剪降级为后台积压去噪，只修剪它当时看到的那批历史条目 ——
  review_pruned 不再从门口丢消息（实测 41–74 条/日），完整性↑、噪声↑，是否开口仍由
  engage_judge/冷避/owner 闸判（三处判据未动）。
- cmd/cyrene：逐账号启动日志如实报出生效的入口流控（塔裁决 A：零行为改动、不翻默认），
  让「没配流控键的账号闸门仍开着」一眼可见。
- 测试：4s 慢审查替身证明入站帧不被阻塞（变异回同步 ⇒ 红）、节流在失败路径生效
  （摘掉派发时置位 ⇒ 红）、每适配器窗口预算上界（摘掉预算 ⇒ 红）、同适配器单飞
  （摘掉 in-flight ⇒ 红）、在飞期间到达的消息不被连带修剪、带 BOM 字节的夹具
  （夹具去掉 BOM ⇒ 红）。闸门用例 -race 通过。
 2026-10-24 19:43:57 +08:00
AskaEth 1d3965aa80 fix(gateway): Web 活跃客户端主动推送走 turnreply 规整（先规整再落库，推帧与落库逐字相同） 
M19 复审抓到的真缺口：internal/services/gateway/proactive.go 的
SendProactive -> persistProactiveToMain 这条 Web 活跃客户端主动推送路由
完全绕过 turnreply.NormalizeParagraphs —— 同一条主动消息走 IM 是规整过的、
走 Web 实时推还是原样（半包 <p> 在客户端按「存在完整 <p> 就不再按空行回退」
的契约下整条塌成一坨）。

- 接线：SendProactive 在落库之前先 msg.Content = turnreply.NormalizeParagraphs(msg.Content)，
  落库与 proactive_message 帧取同一个字符串 ⇒ 两端逐字相同；不在 gateway 另写实现。
- 新增 proactive_normalize_test.go：修前红（web 原样 / im 已规整），修后断言
  ① 落库是规整后文本 ② 推帧 == 落库行 ③ 两条路由同源同文本 ④ <br>/<action> 语义不动。
- 既有两条断言按新口径更新（纯散文现在也被包成一个 <p>，与其它三处一致）。
 2026-10-24 19:40:30 +08:00
AskaEth 6b0af81136 fix(turnreply): 围栏闭合串不得短于开启串（复审 p2 收口） 
复审 review-m19-r1 的 p2：`codeProtectedEnd` 的围栏分支只判「下一个 ≥3 反引号
的串」，没判「闭合不短于开启」。CommonMark 要求闭合串**至少与开启串等长**，
因此 ```` 开启的围栏不能被内层 ``` 关闭。复现形态（````markdown 里嵌 ```go，
示例里写 `print("a\nb")`）：旧实现把内层 ``` 当闭合 ⇒ 之后的示例正文被当普通
正文渲染，代码里的 `\n` 变成真换行；而这一步跑在**落库之前**，改坏的代码会永久进
历史 —— 反向踩了本文件「宁可少渲染也不改坏代码」的自己的红线。

- literal_breaks.go：围栏分支改为 findBacktickRun(text, body, n, unboundedRun)
  （closing ≥ opening）；注释写明 CommonMark 口径与「改了会落库」的后果。
- 新增 TestRenderLiteralLineBreaks_NestedFenceRespectsOpeningRun：嵌套围栏逐字保留、
  围栏外仍照常渲染（保护不得溢出）。摘掉这一行 ⇒ 该用例红，还原即绿。
- 新增 TestTurnReply_DoubleLiteralBreakBecomesParagraphBreak：钉住 `\n\n` ⇒ 空行 ⇒
  两段 <p> ⇒ 两端各 2 条气泡（复审观察②，语义对但此前无用例覆盖）。
- 措辞收口：样本 455 字符 / 907 字节；IM 侧主动推送的注释补明「Web 活跃客户端那条
  主动推送不经 NormalizeParagraphs，另计」。

行内代码那条等长分支未动。全树 go build ./... + go vet ./... + go test -count=1 ./...
全绿（73 包，RC 0）。
 2026-10-24 19:33:33 +08:00
AskaEth 9654ce8861 feat(plugin): MCP 服务器管理页 + 按 server 独立启停与状态快照 
design/09 §5.2.1 / §5.6.1：补上「看不见连没连上 / 暴露了哪些工具 / 为什么挂了」的洞。

- runtimeconfig：PluginConfig 新增 `enabled`（*bool，缺省＝启用 ⇒ 既有 plugins.json
  向后兼容）；新增 RedactPluginSecrets（整把凭据 + 任意 ≥6 字符片段一并抹除）。
- mcp：新增 status.go 的只读状态读面（ToolSummaries：工具名 + 截断描述，取自能力
  注册表本身，因此与模型可见的工具集合同源）。
- plugin 管理器：
  · Install/Restore 尊重 enabled（停用＝落盘不连接，重启后仍是停用，且一次都不连）；
  · SetEnabled 落盘 enabled（停用先落盘再下线；启用失败时 enabled 保持 false）；
  · 新增 Reconnect（对已停用者拒绝，不替用户启用）；
  · 新增 Statuses（三态：connected 缺席＝未知，工具数/明细/时间只在知道时给出，
    lastError 在记录那一刻即脱敏截断）；
  · 内置「MCP 服务器」页声明 + 7 个已声明动作（list/install/reconnect/enable/
    disable/uninstall/transports），走既有通用动作端点（owner-admin + 审计）；
  · 护栏：热装插件的生命周期不改动内置提供者（mcp）的目录条目。
- gateway：已安装列表与 install 响应加 enabled，install 支持 config.enabled。
 2026-10-24 19:31:31 +08:00
AskaEth fa573663c1 fix(turnreply): 字面 \n 渲染成真换行（Web 镜像与 IM 出站同一份） 
主人 2026-10-24 报障：QQ 群最新一条 assistant 消息里 6 处字面 `\n`
（反斜杠 + n，不是真换行）原样发出去，用户看到「F\n多利亚」。

落点选在**写入侧共享层** `turnreply.NormalizeParagraphs`（gateway 的
persistTurnReply 与 channelbridge 的 turnVisibleReply 都调它）：
IM 的 deliverReply 拿同一个字符串既落库（= Web 主会话镜像）又发气泡，
Web chat 气泡是 whitespace-pre-wrap ⇒ 在共享层渲染，落库/WS/REST/IM
出站与历史一次性对齐；只在 channelbridge 清洗层改会留下「面板上仍是字面 \n」。

- 新增 internal/runtime/turnreply/literal_breaks.go 的 RenderLiteralLineBreaks：
  逐字节扫描，围栏（```）与行内代码（`…` / ``…``）内原样保留，`\n` 与
  `\t`/`\r`/`\uXXXX`、行尾孤立 `\` 一律不动；未闭合围栏保守保护到末尾；幂等。
- paragraph.go 在**围栏 skip 之前**调用它 ⇒ 含围栏的消息里围栏外的 `\n` 也渲染。
- 🔴 未改既有语义：只产出换行字符，绝不产出 <br>/<p> —— <br> 仍是气泡分隔符，
  字面 \n 只做气泡内换行（一条列表不会被拆成 7 条消息）。
- channelbridge 源码零改动。

验证：真机原文（6 处 \n / 5 个 <p>）修前红（摘掉钩子 3 个测试变红）→ 修后绿；
三处变异（去掉围栏保护 / 去掉 \ 配对 / 把渲染挪到围栏 skip 之后）各自变红后还原复绿。
全树 go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）。
 2026-10-24 19:21:50 +08:00
AskaEth 28967d3435 refactor(channelbridge): 冷避例外②收窄为「真故障/求救」严格子集 
塔 2026-10-15 改裁定：例外给了命中词「穿透 30 分钟冷避」的权力，噪声不再只是多回
一句话，而是直接削弱冷避本身 —— 而实测全表 14 条在 598 条真实 user 消息里只命中
1 次，且那次是假阳性（QQ 机器人卡片文案里的 `bug`，而该群本来就在放这种卡片）。

- 新增 coldShoulderPierceKeywords（具名常量，注释写明为什么比全表严、依据即那条
  卡片假阳性）与 hasColdShoulderPierceKeyword：保留 报错/出错/故障/紧急/救命/求助/
  帮帮我/urgent，剔出 ASCII `bug`/`error`/`help`（会命中结构化载荷/URL/卡片）与
  情绪歧义的 `崩溃`/`坏了`/`坏掉`。
- 例外② 改用该子集；hasHighValueKeyword（基线，ruleLightJudge 用）**一字未改**，
  两张表的分工写进注释，并有断言钉住「基线不许被这次收窄波及」。
- 例外矩阵新增三行：机器人卡片含 `bug` ⇒ 不穿透；英文 error/help ⇒ 不穿透；
  情绪「我崩溃了」⇒ 不穿透（三行对上一提交均为红）。第 1/2 行继续用保留词 报错，
  第 3/4/5/6 行原样保留；另加子集单元护栏（正例六条 / 反例六条）。
- 按项目「文件 ≤500 行」把冷避规则簇拆到 engage_coldshoulder.go（engage.go 528→376）。

红前绿证据：把例外判据临时还原成上一提交的 hasHighValueKeyword 全表（与该提交逐字
等价）⇒ 恰好上述三行变红、其余行与护栏保持绿；已还原（无残留）。
已知代价如实登记在案：用英文写的真求救不再穿透 —— 塔裁定以「宁可少穿透」为准；
全表（highValueKeywords）本身的收窄由塔另排切片，不在本片。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）；
channelbridge / channel / cmd/cyrene 单独跑绿；darwin/arm64 交叉编译通过。
 2026-10-15 19:04:48 +08:00
AskaEth 13a0519115 feat(channelbridge): 冷避期唯一的放行口——高价值关键词穿透（不解除冷却） 
塔 2026-10-15 例外口径定稿落地。M18 主体（冷避优先于「@她必回」）保持不动，
本提交只补冷却期内的例外与它的守卫。

- engage.go：`coldShoulderLocked` 在冷却期内放行**高价值关键词**这一条
  （真故障不该被「让她少闲聊」一并压掉），且**不解除冷却**（不动 state / cooldownUntil）；
  同句既有负面态度又有高价值关键词时**负面态度优先**（仍进冷却、仍静默）；
  例外与顺序写进函数注释，并写明 owner 车道为什么不需要单独写例外（它在
  shouldRespond 第一步就分岔，写在这里是死代码）。文档面 design/18 §5/§9 由塔同步。
- light.go：shouldRespond 的判定顺序与冷避闸注释同步该口径。
- 测试：新增 engage_coldshoulder_exception_test.go（冷却期例外矩阵：真故障放行、
  @她/闲聊不穿透、穿透不解除冷却、同句负面态度优先；以及「冷却之外行为与基线一致」
  的护栏），并按文件 ≤500 行拆出该文件；engage_coldshoulder_test.go 增共享夹具。

红前绿证据（参照 = 本提交的父 M18 提交）：例外矩阵两条「真故障放行」行在我的改动
之前为红（冷避闸会把它们静默），其余三行与基线护栏在父提交上已绿，已如实标注为护栏；
「同句负面态度优先」一条另做变异自证（把例外插到负面态度判定之前 ⇒ 该行立刻变红）。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿；
channelbridge / channel / cmd/cyrene 单独跑绿；darwin/arm64 交叉编译通过。
 2026-10-15 19:01:02 +08:00
AskaEth fe53e029ea fix(channelbridge): 冷避优先于「@她必回」——群成员也能让她少说话 
M18（主人 2026-10-14 裁决「给」）。病灶是**顺序**：`shouldRespond` 把
`ruleLightJudge`（指向她本人 / 高价值关键词）排在参与度引擎之前，@她的消息
在规则层就 return true，永远走不到 `engageDecision` 的冷避判定——群成员说
「少说点」只换来一句口头答应，行为零变化（2026-10-14 00:27 群 531082168 报障）。

- light.go：新增冷避闸位次 —— 非主人**群**消息在廉价规则之前先过
  `coldShoulderGate`，命中负面态度即进 COOLDOWN、冷却期内一律静默（仍登记）。
  边界：私聊不受影响（冷避是群机制）、owner 车道更早分岔不受影响、
  与是否装配参与度引擎无关。shouldRespond 的判定顺序写进函数注释。
- engage.go：把冷避判据抽成唯一实现 `coldShoulderLocked`（engageDecision 仍调用
  它，作纵深防御），命中时补一条带 source 的 INFO（群 / 发送者 / 冷却到何时）。
- engage.go 词表：依真机原话补「减少文本输出」（覆盖「减少文本输出量」）与
  「文本输出调到最少」；刻意不取「减少 / 输出 / 最少」等短泛词（子串匹配会误伤）。
- 测试：新增 engage_coldshoulder_test.go（主断言修前红/修后绿、登记进上下文的
  端到端守卫、私聊与 owner 边界护栏、词表误伤护栏、INFO 可见性）；
  engage_test.go 更新旧口径「@ 打断冷却」为「@ 不得作废冷避」。

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿（windows 本机
与 darwin/arm64 交叉编译均通过）；channelbridge / channel / cmd/cyrene 单独跑亦绿。
 2026-10-15 18:55:35 +08:00
AskaEth 5969e700e1 fix(channelbridge): 成员车道「指向她」判据改为 AddressedToMe（@ 别人不再必回） 
ruleLightJudge 原判据是 len(msg.Mentions) > 0 —— 只要有任意 @ 就必回，
@ 的是谁不论。2026-10-14 真机病灶：群里 @3889001246、@867587435 两条
都不是 @ 她，她仍逐条回。

改为复用 owner 车道已验证的同一份判据 ownerAddressedToMe
（msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)）：
- 已接线渠道（qq-obv11 填了 SelfID/MentionAll/AddressedToMe）：只有 @ 她本人 /
  @全体 才必回，@ 别人降级为无结论 → 参与度触发/概率那一档（未触发只登记）；
- 未接线渠道（kook/webhook/telegram/weixin_ilink 未填 SelfID）：逐字不变，
  仍按旧判据必回（「没有信号」≠「没在对我说话」）；
- 判据全部来自结构化字段，绝不匹配正文里的 @<数字>。

口径依据 design/18 §2 触发① 的 2026-10-13 修订（消费点在 M13 只接了 owner 车道）。
 2026-10-14 07:21:07 +08:00
AskaEth f6c47b0ae1 fix(memory): 清掉两处与实现相反的旧说法 + 并发哨兵改成窗口重叠（变异 8/8 红） 
review P2 两条。

① 旧说法没删净（同类第 N 次：改了 A，同一主张还留在 B / C）。这次按「**这句主张的所有
落点**」重扫了一遍我这一片里含 Stop / Start / 重启 / 心跳已停 的注释，改掉两处与实现
正面打架的：
- applyTidyConfig 的注释还写着「调用方（ApplyPanelTuning）在 Stop 期间不能持 runMu」
  「前提仍是心跳已停」—— 而同文件的文件头刚写过「调优路径上一个 Start/Stop 都没有」，
  同一文件里两段话自相矛盾；
- 整理档那条并发哨兵的循环注释还写着「Stop 把 running 置为 false，忘了重启就会静默
  停摆」，而该循环里根本没有 Stop/Start（改成「唤醒不是停表」，并把 Stop/Start 那版
  明确标成旧版）。
顺带把文件头「所有读点都收进访问器」的说法改准：此外还有一处**同一把锁下**的相等比较
（ApplyPanelTuning 里的 s.cfg == next），它本身不需要访问器。

② 新哨兵是概率性守卫：固定 40 轮时撤回 DryRun 同步只红 4/8（写方那几十次覆写在微秒级
就跑完，读方还在慢端点里打转）⇒ 文档规定的 -count=1 会漏掉约一半回归。改成**两侧各自
跑满同一个 300ms 墙钟窗口**（写窗口与读窗口必然重叠，不靠快慢概率），读方两个活端点各
起两路；写方每轮换一个值（否则 ApplyPanelTuning 会被「配置没变」的早退挡掉，根本不写）。
实测：撤回 DryRun 同步红 **8/8**、撤回 ManualRun 同步红 **8/8**（各 8 次 -race -count=1）；
干净 tip `-race -count=5` 全绿、三条哨兵一起 `-count=3` 全绿；该哨兵耗时 0.35s（原 0.18s）。

顺带把 clipJSON 用例注释里那句改准：40 字节处被切掉的是第 13 个汉字的**第三个字节**
（前两个字节被留下），而不是先前写的「第三个字节上」。
 2026-10-13 22:50:38 +08:00
AskaEth 4df8d6f53a fix(memory): 按字段扫清 s.cfg 的其余无锁读（P1）+ 回显文案按 rune 截断 
review P1：applyTidyConfig 在运行期**整体覆写** s.cfg，而我只把调度读收进了持锁
访问器 —— 同一字段还有几处无锁读，其中两处是**活端点**：

- TidyService.DryRun 的开关判定（在取 runMu **之前**）⇒ POST …/tidy/dry-run 与
  ?async=1 那条会起后台 goroutine 的版本（真机 90s 级）；
- TidyService.ManualRun 的开关判定（同样在 runMu 之前）⇒ POST …/tidy/run；
- （原本也漏的）Enabled() 与 Start 的启动日志块。

按**字段**重扫了一遍（不按文件）：现在生产代码里对 s.cfg 的读**只剩**三个持锁访问器
内部（enabled / cfgSnapshot / scheduleSnapshot），写点只有 applyTidyConfig 一处；
s.tidier.cfg 的读点全在持 runMu 的轮次 / 试算路径上（含异步版经 DryRun）。

新增第三条并发回归哨兵：真并发跑「试算 + 手动真跑」两个活端点 × 面板保存。
修前红/修后绿：撤回 DryRun 的同步 ⇒ 报「写 applyTidyConfig × 读 DryRun」；撤回
ManualRun 的同步 ⇒ 报「写 applyTidyConfig × 读 ManualRun」；两次变异都逐字还原
（diff 0 差异）。

顺手两条（塔指定）：
- 那条并发哨兵的 doc 与实现相反（还写着「正确顺序是 Stop → 写 → Start」），已改成
  唤醒机制下的说法 —— 与「注释与实现不符」同类，不留旧说法。
- 非法值的回显文案原按**字节**截断（s[:40]），中文会被切成半截（非法 UTF-8，经
  JSON 编码变成 U+FFFD 替换符）。改成按 **rune** 截断，直接复用同包既有的
  clipRunes；用例取值刻意让截断点落在多字节字符中间（JSON 引号 + 一个 ASCII 前缀
  错开对齐），并做过变异复验：改回按字节 ⇒ 用例红（切出半个汉字）。
 2026-10-13 22:33:07 +08:00
AskaEth 27ee0a8149 test(memory): 拆分调优写端点测试（原文件 524 行 > AGENTS §10 的 500 行上限） 
守卫用例（非法值不落盘 / 坏文件不覆盖 / 同值不重写 / 热生效两种结果）移到
admin_memory_tuning_guard_test.go，helper 与读侧用例留在 admin_memory_tuning_test.go；
口径不变，两个文件都 ≤300 行。
 2026-10-13 21:59:18 +08:00
AskaEth eddf921229 feat(memory): 记忆整理调优面板读写（三态 + 热生效 + 面板表单） 
主人 2026-10-07 两条口径：「.env 只做兜底用，后端自动创建独立的面板配置文件
之后就走面板配置文件，这些键优先从面板配置上取」+「频率必须调，可以调到 1 小时
或者三小时，或者动态分配（白天短、静默期长）」。

此前 $DATA_DIR/config/memory-tidy.json 只有读路径（装配期读一次 + 启动播种）：
主人要改频率只能改文件 + 重启后端。本切片补上「读回来 → 改 → 落盘 → 当场生效」。

后端（读写端点，契约待塔登记 v0.92）：
- GET  /api/v1/admin/memories/tidy/tuning  读盘上 7 键值 + 取值规则 specs +
  缺位时 .env 档的进程生效值（与 /admin/config-facts 同源）
- PUT  同路径：三态补丁（键缺位 = 不改动 / 合法值 = 采用 / 非法值 = 400 且盘上一
  个字节都不动）+ null 清除哨兵（删键 ⇒ 回到下一档）+ writeAuth + 审计
  memory.tidy.tuning；值一个都没变时不落盘，文件解不开时拒绝覆盖（409）
- 落盘走 runtimeconfig.PatchMemoryTidyTuning（原子写 temp+rename，与
  SeedMemoryTidy/SaveWebSearch 同族同手法）；补丁语义保留下受管的其它键
  （t1Judge/t1PerWindow/autoApplyPerRound 原样保留）
- 热生效：保存后按「面板 > .env > 代码默认」重算并叠到运行期对象；整理档会
  重排心跳（否则新周期要等旧周期那一觉睡完），审查档当场改 ingestGate/tempTtlSec。
  未接线/失败时如实回 hot:false + hotError，绝不把「落盘了」说成「生效了」

前端（Miuix）：
- 记忆管理页新增「记忆整理调优」卡：7 键表单（中文标签、单位、留空⇒跟随谁、
  env 档当前值、坏值就地报错并拦住保存、保存后回显从磁盘读回的真值）
- 试算卡的 recallMode 按契约 v0.91 如实渲染：embedding / lexical（已降级）/
  mixed（部分分区降级）/ ""（无候选可比）——空串不再渲染成空标签；并把
  error.code=tidy_recall_unavailable 单列一句（「尝试过但向量源不可用」，与
  「没有候选可比」显式区分）

验证：go test ./internal/{services/gateway,runtime/memory,config/runtimeconfig}
全绿；三态/清除/坏文件拒写/同值不重写/热生效接线各有用例，并逐条做过变异自证；
tsc --noEmit + vite build 通过；两个 esbuild 前端测试 39 + 34 + 41 checks 通过。
 2026-10-13 21:59:18 +08:00
AskaEth 1d49d266f0 fix(channel): message_sent 回声升 T2 落行，出站消息 id 不再被丢 
塔转 M12 登记的缺口（塔裁定「归你」，文件都在本片 scope 内）：她自己发出消息
的回声（message_sent）被当成「帧级链路遥测」一并豁免 self 升档 ⇒ 停在 T1，
只进计数、不落行，`message_id` 被丢，「她最近发了哪些消息」在库里查不到。

- events.go: 把 MessageSent 从 isFrameTelemetry 的豁免里摘出（它不是帧级遥测：
  一帧 = 她真发出的一条消息，回声带的是那条出站消息的 id）。
  心跳 / 生命周期的豁免**保持不变**（其登记的迁移债注释原样保留）。
- events_mapping_test.go: 两条 MessageSent 断言同步更新
  （:52 自身回声命中自己 ⇒ 由 T1 改 T2；:33 无 self 信号仍走基础档 T1，标签改精确）。
- events_test.go: 新增端到端用例（真 SQLite）：self 命中 ⇒ 落 1 行、tier=t2、
  MessageID=out-msg-42 留在库里、不进上下文、不驱动 loop。
 2026-10-13 20:50:31 +08:00
AskaEth 537a8b7988 feat(channel): owner 车道结构化参与闸与可调旋钮（乙 = C） 
主人 2026-10-13 裁决「乙 C」= 默认按甲（群里不对她说就不开口）+ 可调旋钮。

- inbound.go: owner 不再无条件短路参与闸（去掉 `!actor.IsOwner()` 门），
  主人群消息改走 shouldRespond 的 owner 车道分支；主人私聊恒回。
- ownerlane.go（新）: owner 车道结构化闸 + 判据
  `msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)`
  （未接线渠道退回旧判据，保护 kook/webhook 的群 @）；指向她本人必回（硬保留）；
  非指向消息按每群旋钮——默认只进上下文不回（registerSilenced 落隔离会话）。
  「少说点」类关键词落成结构化降频配置，带 source 日志。
- channelbridge.go: Options.OwnerLaneFor/OwnerLaneSet 读写接缝 + Bridge 状态。
- engage.go: 冷避词表并入「少说点」（与既有「少说两句」同义）。
- runtimeconfig/channels_ownerlane.go（新）: owner_lane.json 落盘面
  （默认档 + 每群覆盖，可读可改，面板可写）。
- wire_channels.go: 注入 owner_lane.json 存储（$DATA_DIR/config/）。
- 测试：不对她说就不回（进上下文零回复）/ @她必回（即使降频）/ 未接线退回
  旧判据 / 降频生效且可恢复 + 频率闸 / 旋钮读写接缝 / 归属不变量闭合 /
  陌生人私聊与主人私聊回归。变异自证：恢复 owner 短路 ⇒ 5 条用例红。
 2026-10-13 20:48:05 +08:00
AskaEth 91e4dd2fe1 fix(channel): 静默登记同源第三方标注 —— 无昵称非主人不再被读成主人 
review p1：回帖路径已改用 thirdPartySenderName（非主人恒有标注：昵称 → actor
uid → 「未署名发送者」），但 registerSilenced 仍用 senderDisplayName，非主人
无昵称时写出空串；静默行会被 transcript 读回她的上下文，而受限会话里空标注就是
「主人本人」⇒ 在 senderName 可选且无兜底的渠道（webhook）上，一条没昵称的陌生人
消息被渲染成「[发言归属] 以下发言来自主人（管理员账户）本人」。

- light.go:270：senderDisplayName → thirdPartySenderName，与回帖路径同源。
  senderDisplayName 未成死代码：仍被 light.go:223（LightJudge 输入）、
  engage.go:284、flowgate.go:183 使用。
- 新增 TestSilencedNamelessMemberIsNotReadAsTheOwner：走真链路（静默登记 → 落库
  → 下一回合播种转录 → loop 归属渲染 → provider 请求），钉住「无昵称的非主人经
  静默登记后，读回上下文时不得出现主人标注」。修前必红（写入口径与模型侧两条
  断言同时报，含被读成主人的原样请求），修后绿。

验证：go build ./... / go vet ./... / go test -count=1 ./...（全树）全绿。
 2026-10-13 20:34:04 +08:00
AskaEth 8ab241f627 feat(channel): 群聊发言人归属落进模型上下文（user 侧也产出标注） 
裁决 06.4.1 行动项①②落地（主人 2026-10-13 定稿：结构化归属 + system 标注，
不把元数据拼进用户正文）。

- loop/attribution.go：发言人归属从「只认 assistant」扩到 user 侧，按三条
  结构事实各出一条边界说明 —— assistant 的角色（她自己 / 别的角色，措辞逐字
  不变）、受限会话里带昵称的第三方人员（明标「不是主人」）、以及不带昵称的
  主人本人；受限会话里未标注的 assistant 历史按 design/22 §7-4 归到本会话角色。
  标注仍只新增 system 消息，正文一字不改。
- channelbridge/inbound_speaker.go（自 inbound.go 拆出）：第三方发送者标注车道
  thirdPartySenderName —— 主人恒返回空（主人从不被标注），其余昵称缺失时退到
  平台 uid 再退到「未署名发送者」，绝不落进「空标注 = 主人」那条车道；
  thirdPartyBoundaryPrompt 删掉「只有未标注昵称的消息才是管理员（主人）发言」，
  改为「谁在说话以「发言归属」标注为准」。
- channelbridge/source.go：来源行删掉「（非管理员账户=第三方人员，未标注昵称=主人）」。
- 主人本人在群里的消息落库不再写昵称（sender_name 空 = 主人），使转录里同一句话
  的归属与当回合一致。

验证：go build ./... / go vet ./... / go test ./...（含全树）全绿；
变异自证：把 user 侧归属恢复成不产出 ⇒ 3 条 loop 用例 + 1 条渠道端到端用例变红。
 2026-10-13 20:24:21 +08:00
AskaEth b4d55f412e fix(channel): 连接动作不再乐观 —— 适配器自报连接态三态 + 面板如实呈现
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
根因：adminChannelOpen 在 ch.Connect 返回 nil 后硬编码 connected=true。而 Connect 返回 nil 只说明「这次调用没有致命失败」—— ws+client 首连失败刻意非致命（OneBot 实现可能比 Cyrene 后启动），ws+server 则只需监听就绪，两种情况 IsConnected() 都是 false。前端又只按「请求成功」写死「已连接」，于是管理面把「后端受理了」说成「渠道连上了」。

改法：三态口径落在适配器自己身上（connected/pending/ready，internal/channel/adapter 的纯函数 ConnectStateOf 判定 + ConnectSignals 结构化入参，避免两个 bool 接反），qq_obv11 实现 ConnectOutcome 并记住脱敏后的失败原因；网关经类型断言探测（与 accountStatusAware/rescanAware 同套路，核心 sdk.Channel 契约刻意不扩展），只做映射不猜 transport/mode。

线上投影：open/close 响应与 GET /admin/channels 的平台行/账号行各新增 pending/ready/reason 三个可选键（零值即整键缺席，同 NeedsRescan/LastError 口径）；既有四键逐字不变，未实现该状态面的平台输出逐字节不变。close 报真实 IsConnected()，断开也不乐观。

凭据边界：reason 三层脱敏（形状级 → 已知明文替换 → 剥 access_token= 查询参数），日志同样只用脱敏串。

验收：主会话亲自复跑 go build/vet 全绿、全树 go test 无 FAIL、目标三包 test 全绿、前端 tsc --noEmit 干净、esbuild 逻辑测试 34+46 checks 全过；主会话亲自变异摘掉第 3 层脱敏实现，发现原两条脱敏用例其实钉不住它（值恰好等于已知明文/被形状级顺带吃掉）⇒ 补一条钉住它独有窗口的用例（短值+紧邻空白），变异下必红、还原后绿。
 2026-10-13 19:38:56 +08:00
AskaEth d81635672e fix(channel): 热重载把新适配器写回能力注册表
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
面板保存渠道配置后 Bridge.Reload 只重建了桥接器自己的适配器表，能力注册表里的条目仍指向保存前的旧实例；而管理面的渠道列表、每账号连接状态、open/close 的目标解析全部读注册表 —— 于是卡片永远「未连接」，点「连接」驱动的是旧实例（按旧 URL 拨号）。

生产日志实证：保存后 bridge 侧新实例连上 ws://localhost:3001 且心跳正常，而点连接时被驱动的适配器拨的是旧地址 ws://localhost:10301。

改法：注册表新增 upsert 语义的 ReplaceChannel（覆盖 Value、保留运行期 Policy；Register 遇重名会 ErrDuplicate，热重载必然同名）；桥接器经窄端口在适配器上线后同步，账号被移除时删除条目；组合根注入 a.caps 包装。同步失败只记日志、不中断 Reload；未接线时保持旧行为并只 WARN 一次。

验收：go build ./... + go vet 全绿；registry/channelbridge/gateway 三包 test 全绿；主会话亲自变异（摘掉 Policy 沿用 ⇒ TestReplaceChannelSwapsValueAndKeepsPolicy 红）。linux/darwin 交叉编译通过。
 2026-10-13 19:21:49 +08:00
AskaEth 74c9f2d8df feat(channelbridge): u 加回 IM 出站的行内白名单（改为六项）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定「下划线确实可以保留」。

- 行内白名单：b / strong / i / em / code / u（六项）
- s 仍在外（逐字原样保留，含大写 <S>）—— 有一个守门变异专门锁这条
- 行为改动只有一行（case 列表加 "u"），其余是注释与测试同步
 2026-10-07 18:37:35 +08:00