AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
809 Commits 7 Branches 0 Tags
c625f8342c8b2b1d37d32fbc6f9fcf0a6d899fa2
Commit Graph
77 Commits
Author SHA1 Message Date
AskaEth 6906d274fc feat(voice): M47 后端启动后探活 emotionTTS，未起则异步拉起一键启动脚本 
主人 2026-10-24：「tts启动脚本在这 ...\一键启动.bat，以后启动后端可以顺便检测
一下如果TTS没起就顺带启一下」。本片只做「启动时顺带探一下」，**默认关**（主人
早前说过「开机自启先不急 后面做」），未开开关时连探活都不发。

- 新包 internal/runtime/voice/ttslaunch：探 http://127.0.0.1:9880（毫秒级超时），
  已在跑什么都不做；没起则异步起脚本（cmd.exe /c 传参，不拼命令行字符串）
- 防重复：in-flight 单飞 + 一次尝试后的冷却（失败也算一次，重启风暴不会变成重试风暴）
- 失败只 WARN：探活超时/脚本不存在/起进程失败都只记带 source 的日志，
  组合根那条路径**没有 error 通道**
- 配置走面板文件 $DATA_DIR/config/voice-tts-launch.json（零新 .env 键）
- 接线在 cmd/cyrene 的网关 Listen 之后，整段在后台 goroutine 里，不占启动时长
  （用例以「挂载耗时 < 150ms 而探活超时 800ms」证明）
- 不新开端点、不加帧族；不碰 gateway 包
 2026-10-26 18:47:36 +08:00
AskaEth b90811fae4 docs(voice): 收口「没会话/没绑定就走 default」的镜像注释（r4） 
唯一 finding：audio.go 的 speechRequest.SessionID 注释原本写「省略它时本口没有会话
概念 ⇒ 走 emotionTTS 的 default 分支」——**反了**。真实链路是
effectivePersona(ctx,"") → sessionPersona("") 为空**不是终点** → Effective =
defaultPersonaID() → 常规安装必有全局默认人格 ⇒ personaId 非空 ⇒ 走 personas 映射。
照那句话改的人会写出 `if req.SessionID == "" { personaID = "" }`，正是 r2 修掉的病。
改为：省略时按**全局默认人格**选发音人（会话绑定 → 全局默认人格 → 两者都没有才落到
default 字符），并显式写了"不要写成 if SessionID == \"\" { personaID = \"\" }"。

顺手同根三处（不留第四轮）：
- tts/config.go 的 Config.Default 注释：成因表「会话无绑定 / 读取失败 / 该出口本身
  没有会话」已过时 ⇒ 改为「空串的唯一合法成因是连全局默认人格都没有」，并写明不是
  "会话未绑定"、也不是"出站口没有会话"。
- runtimeconfig/voicetts.go 的 Default 字段注释与文件头同族措辞同步；
- selection.go 的 WithPersonaID / Resolve 分支表、service.go 的分支小标把
  「解析不到」统一改成「连全局默认人格都没有」；
- voice_emotiontts_test.go 的 TestSpeechEndpointNoSessionUsesDefault 注释同步（该用例
  没接人格库，所以确实落到 default —— 但成因写对了）；
- wire_voice_tts_test.go nit：改成「已废弃的全局 `character` 不生效」（墓碑键仍在）。

纯注释：`git diff` 里非注释改动行为空。go build/vet 通过；四包 go test -count=1 全绿。
 2026-10-26 13:40:00 +08:00
AskaEth e684061e56 fix(voice): 主/子系统会话的发音人跟「生效人格」走（r2 P2-1）+ 错误码可区分 
P2-1（实质）：主会话（web）的 persona_id 恒为空且无重绑路径，而"空"的真实语义是
「继承全局默认人格」（loop/persona.go 回退 Options.PersonaID；前端 lib/persona.ts 的
bound ?? defaultPersona(personas) 是同一口径）。此前只有 TTS 把空读成"没有生效人格"
⇒ 落到 voice-tts.json 的 default：主会话聊天是 furina、声音却是 default 那个人，
换全局人格后也不跟声 —— 正是主人抱怨的那件事，且发生在唯一能给普通聊天出声的路径。

修法：
- turnEnvResolver 新增 resolvePersona/effectivePersona（绑定 → 全局默认人格 → ""），
  默认人格扫描抽成 defaultPersonaIDFrom 一处（*Server.defaultPersonaID 转调它）；
- ownerWithPersona 复用**同一次**会话读取同时给出 loop 用的 binding 与呈现用的
  effective —— WS 语音回合为选音色不新增任何 I/O；
- REST：现有闸内改用 effectivePersona；WS：voice.go 那次 env 解析处取一次传给 sink。
因此 `default` 只剩"连默认人格都没有"这一种用途。
- service.go 那句"换人格后用老角色声音不可能发生"收回为限定说法：本包无缓存、无兜底
  角色、未映射即拒绝，但**调用方必须传生效人格**（网关两处已修）。

回归锁：voice_persona_inherit_test.go 复现复审用例（名字不同、两条口各一条）——
未绑定会话 + 全局默认 furina + default 指向 cyrene ⇒ 必须用 furina 的声音；
变异（effectivePersona 退回「空 = 无」）实测两条都红，报文与复审一致。

建议 3（顺手做）：persona 未映射时状态码仍 500（服务端配置缺失），但错误码换成
tts_persona_unmapped / tts_no_character，不再与一般合成失败混成一个码；
用例 TestSpeechEndpointPersonaUnmappedErrorCode 钉住。

P2-2（nit）：voicetts.go 开头删掉「格式、」两字（该键已删除）。

go build ./... + go vet ./... + go test（含 -race）全绿。
 2026-10-26 13:21:44 +08:00
AskaEth 8820b0b316 fix(voice): 修 r1 复审四条（正文进日志的隐私泄漏 / format 假开关 / Stats 无消费者 / redactURL 兜底） 
上一版把 r1 的三条 finding 静默漏了（我在交付前没读 inbox），本提交逐条补齐：

1. 🔴 隐私：upstreamStatus 不再读也不记响应体
   FastAPI 的 422 会把请求体里的 input 整段回显，原来「错误体前 512 字节进 WARN」
   等于把她的原话写进日志。现在只记 status / content_type / response_bytes
   （字节数优先取 Content-Length，缺失时有界排空取上界，读到即丢）。
   新用例 TestSpeechRejectLogOmitsRequestText 用**回显正文**的假上游抓它；
   变异（把 body 塞回 WARN）实测打红。

2. format 键彻底删除（假开关）
   上游只拿 response_format 改自报 media_type，产物恒 .wav 无转码，我方只按字节
   嗅探裁决 ⇒ wav/mp3/ogg 交付字节与响应头完全相同。删 tts.Config.Format 与
   VoiceTTSTuning.Format，encodeSpeech 硬编码 requestFormat="wav"（不可配置）。
   用例钉住请求体恒为 wav；变异（改成 mp3）打红。旧文件里残留的 format 键被忽略。

3. Stats 接进 degrade 的 WARN（attempts/failures）
   否则统计在生产日志里没有消费者。TestServiceDegradeLogsCounters 钉住；
   变异（去掉两个字段）打红。

4. redactURL 兜底含 "@" 整体打码
   解析失败/无 host 时原来原样返回，user:pass@ 会漏凭据。TestRedactURLCredentials
   覆盖合法 URL 去 userinfo、非法含 @ 打码；变异（退回原样返回）打红。

另：关闭态零行为变化的**当前 tip 重跑**——
- handleSpeech 的 persona 解析改为只在语音服务实现 personaVoice 且 PrimaryActive
  时才查库；未接 emotionTTS（既有链/stub）时零额外 I/O、ctx 不改、音频字节相同。
  用例 TestSpeechEndpointDisabledVoiceDoesNotReadPersona（含对照组证明闸不是恒关）；
  变异（去掉闸）打红。
- voice.go 在 dev 基线里本就有 env.PersonaID 解析（无人格解析新增 I/O），本次未改。

Config.Normalized 去掉未使用的 logger 参数。go build/vet/test（含 -race）全绿；
真机 live 复测：cyrene 264104 B、furina 221194 B。
 2026-10-26 13:06:39 +08:00
AskaEth efc25c6a7f feat(voice): emotionTTS 发音人绑定会话人格（不再全局定死一个 character） 
主人 2026-10-26 逐字：「TTS 的人物选择是要绑定后端的角色的，不然会出现以后换了
别的角色(人格配置)，还是用老角色的 TTS 角色」——上一版把 character 写在面板文件
里当全局值，换人格后声音不变，是真缺陷。

配置形状（单一真源 = $DATA_DIR/config/voice-tts.json）：
  {"enabled":true,
   "personas":{"<personaId>":"<characterId>"},
   "default":"<characterId>",   // 只服务「解析不到 personaId」
   "format":"wav","timeoutSec":60}
- 旧的全局 `character` 键**废弃并被忽略**（启动 WARN 提示改用 personas）；
  Config.Normalized 不给任何角色兜底（代码里写死默认角色=病害本身）；
- configs/personas/*.yaml 不参与（塔裁定：避免启动期静态配置与面板两处漂移）；
- 零新 .env 键。

选角四条分支（Config.Resolve，纯函数、无缓存）：
  ① persona 有映射 ⇒ 用它；
  ② personaId 为空/解析不到 + 配了 default ⇒ 用 default；
  ③ personaId 为空 + 没配 default ⇒ 不合成（ErrNoCharacter，上游 0 请求）；
  ④ persona 无映射（含映射值为空）⇒ 拒绝（ErrPersonaUnmapped），
     **绝不**拿 default 或别的角色顶 —— 主人担心的病害本身。

两条既有出站口各自按当次请求解析 persona（不在 SetVoice 时算一次缓存成全局）：
- WS voice_output：用本回合的 env.PersonaID（runVoiceTurn/runVoiceTurnDirect），
  经 voiceReplySink 传给 synthesizeVoiceReply，再 WithPersonaID 交给语音面；
- POST /api/v1/audio/speech：请求体新增**可选** sessionId（纯增量），
  经 turnEnvResolver.sessionPersona 解析；省略 ⇒ 走 default 分支。

Client.Speech 改为**每次传入 character**（内部不缓存发音人）；Provider 适配同样按
ctx 的 personaId 现算。选不到发音人时**不回落既有链**（回落=用另一个声音说话），
上游拒绝(404/500)仍按既有口径回落既有链+WARN。

测试：四条分支各自可变异打红，断言打在「上游请求体里的 voice」与帧/响应字节上；
含「同一进程先后两个 persona，第二次绝不沿用第一次 voice」的回归锁，
以及两条出站口的端到端 persona 切换。四条变异（未映射回落 default / 客户端缓存
voice / REST 不看会话 / 选不到时回落底链）均已实测打红后还原。
go build ./... / go vet ./... / go test -race 全绿；真机 live 证据：
cyrene(char_84fb88a3)=254630 B、furina(char_5314489e)=213392 B。
 2026-10-26 12:57:35 +08:00
AskaEth 3a2711a7e0 feat(voice): emotionTTS 接成一级发音人（UTF-8 请求体 + 失败回落既有链） 
侦察结论（真机 + 上游源码）：
- POST /api/analyze_emotion ⇒ {primary,complex,intensity}；primary 闭集
  实测 平/喜/惊/哀/怒/厌/惧/急，intensity ∈ Low/Medium/High。
- POST /api/synthesize 收 emo_vector(float[])+emo_alpha，但还要 ref_audio_filename
  且只回 {"audio_url"}（服务端落盘），不适合做运行时直出。
- POST /v1/audio/speech 内部先 LLM 分析情绪 + 匹配参考音，再把情绪向量以
  [EMO:{vector}|{alpha}]base64:... 注入 voice 交给 indexTTS2 ⇒ **情绪确实影响
  语气，但由服务端从待念文本自推**，我方没有可映射的参数。
- 上游把下游载荷的 speed 硬编码 1.0（core/utils/llm_provider.py），客户端
  speed 是空转 ⇒ 本切片不暴露 speed，也不暴露 emotion/tone（不造假开关）。

实现：
- internal/runtime/voice/tts：Client（唯一 HTTP 出口，json.Encoder 产出 UTF-8
  请求体、超时/非 200/非音频/超限各自可分类）+ 字节嗅探庭裁 + Service（emotionTTS
  在前、失败回落既有链，永不上抛成回复失败）+ Provider 适配（可作链的一级）。
- internal/config/runtimeconfig/voicetts.go：$DATA_DIR/config/voice-tts.json
  （enabled/baseUrl/character/format/timeoutSec），零新 .env 键。
- cmd/cyrene/wire_voice_tts.go + wireFrontend 的唯一注入点：两条既有出站口
  （POST /api/v1/audio/speech 与 WS voice_output）同时用上；不新建端点/帧族。
- 严守 voice 入站闭集（不扩 Source/Status），出站音频不挂 voice DTO（塔裁决 B）。

测试：中文 UTF-8 请求体、非 200、超时、非音频、超限、未启用、空文本、嗅探表、
降级回落、未启用透传、两条出站口的字节级实测、面板配置解析、组合根映射；
三条变异（去中文 / 嗅探恒真 / 去掉回落）各自打红。真机 live 用例（build tag
emotiontts_live）实测 278,036 字节 WAV。
 2026-10-26 12:46:57 +08:00
AskaEth ca8577f05b feat(channelbridge): 群聊静默窗口合并与回合中续跑（M23） 
主人 2026-10-23/24：「要让群聊聊天很自然，很流畅的做法」。群里「一鼓作气打三句」
此前会让她回三次；本片在**每会话车道头部**加一段静默等待，把这几句合成**一轮**回答
（批内每条仍是独立的一条消息，design/15 §2.1 不许拼成一条）。

四条不可走样：

- 🔴 主人私聊**结构性**无窗口：车道分 `newDirectLane`（无 batcher 字段、拿不到定时器
  工厂）与 `newBatchLane`，类型由 actor 元数据（IsOwner() && !IsGroupChat()）决定，
  配置无权翻转；
- 🔴 窗口内零丢失：唯一容器是车道队列（takeAll 单消费者取出），合并阶段无新增丢弃点
  （CoalescedDroppedTotal 恒 0）；超单批上限的**尾部回插队首**保序、锁内、发车前；
- 🔴 一条批 = 一个 turnID = 一次 loop.Run = 一条助手回复；
- 🔴 不改「回什么」：闸门仍逐条跑（prepareInbound 逐字搬运 M22 的 processFrom），
  被静默的消息进不了批。

实现落点：
- lane.go：direct/batch 两种车道 + front（回插队首）+ takeAll + 停机诚实登记；
- coalesce.go：生效参数解析、滑动窗口 + 绝对上限等待、发车原因与计数；
- coalesce_lane.go：攒批 → 拆分 → 陈旧度/闸门 → 发车；
- coalesce_prepare.go / coalesce_batch.go：processFrom 拆成 prepareInbound + runBatch；
- runtimeconfig/channels_coalesce.go：$DATA_DIR/config/coalesce.json（零新 .env 键）；
- gateway/admin_coalesce.go：GET/PUT /api/v1/admin/channels/coalesce（三态补丁 +
  writeAuth + 审计 channels.coalesce + 热生效），routes.go 两行注册（塔已批）；
- 前端：渠道总览页一张卡（六个旋钮；主人私聊只给只读说明，不给开关）。

M22 既有用例仍在（lane_test.go 夹具显式关窗以钉住车道本身）；stranger_test.go 的那条
按塔裁定 #4 改写：「已有回合在跑 ⇒ 只登记不回」变成排队回答（留 WARN，绝不静默）。

回归：go build/vet/test ./... 全绿；三包 -race 全绿；前端 tsc --noEmit + npm run build
+ 渲染测试 36 项通过。不 push、不重启后端、未改 .env 与 Docs/。
 2026-10-24 21:11:22 +08:00
AskaEth 9654ce8861 feat(plugin): MCP 服务器管理页 + 按 server 独立启停与状态快照 
design/09 §5.2.1 / §5.6.1：补上「看不见连没连上 / 暴露了哪些工具 / 为什么挂了」的洞。

- runtimeconfig：PluginConfig 新增 `enabled`（*bool，缺省＝启用 ⇒ 既有 plugins.json
  向后兼容）；新增 RedactPluginSecrets（整把凭据 + 任意 ≥6 字符片段一并抹除）。
- mcp：新增 status.go 的只读状态读面（ToolSummaries：工具名 + 截断描述，取自能力
  注册表本身，因此与模型可见的工具集合同源）。
- plugin 管理器：
  · Install/Restore 尊重 enabled（停用＝落盘不连接，重启后仍是停用，且一次都不连）；
  · SetEnabled 落盘 enabled（停用先落盘再下线；启用失败时 enabled 保持 false）；
  · 新增 Reconnect（对已停用者拒绝，不替用户启用）；
  · 新增 Statuses（三态：connected 缺席＝未知，工具数/明细/时间只在知道时给出，
    lastError 在记录那一刻即脱敏截断）；
  · 内置「MCP 服务器」页声明 + 7 个已声明动作（list/install/reconnect/enable/
    disable/uninstall/transports），走既有通用动作端点（owner-admin + 审计）；
  · 护栏：热装插件的生命周期不改动内置提供者（mcp）的目录条目。
- gateway：已安装列表与 install 响应加 enabled，install 支持 config.enabled。
 2026-10-24 19:31:31 +08:00
AskaEth 42a07cb454 fix(config): 单条入库审查的墙钟上限收敛到唯一真源（M16） 
生产启动行仍是 timeout=20s —— M15 把 memory 包的 defaultReviewTimeout
抬到 90s 的修复**从未生效**：config 层的 env tag 自己带着 default:"20"，
env 层永远产出非零值，于是 memory 侧「≤0 才回落默认」的归一化成了死代码。

修法（二选一中的「① 让 memory 侧成为唯一真源」）：去掉 config 侧
MEMORY_REVIEW_TIMEOUT_SEC 的字面默认值，未配置时读出 0 = 「没配」，
由 normalizeReviewConfig 单点落地 90s。

生效值：
  .env / env 没写这个键 ⇒ 90s（唯一真源）
  写了正数            ⇒ 原样生效（不做任何「保底抬到 90」的加码）
  写了 0 / 负数       ⇒ 90s（与项目其它旋钮同一口径：≤0 = 用默认）

新增测试（走真实组装路径，不绕过任何一层）：
  config.LoadMemoryReviewConfig → ReviewConfig.Timeout →
  NewPreInsertReviewer → normalizeReviewConfig → 生效值（= 启动行打印的 timeout=）
断言生效值严格大于「实测最坏召回链 57s + T1 子超时 8s」，并断言启动行打印它。
变异自证（修前红）：把 tag 的 default:"20" 加回去 ⇒ 报出
  「组装后 timeout = 20s」+「生效值 20s != 唯一真源 1m30s」

原有 TestEmbeddingTimeoutFitsReviewBudget 拦不住这条，因为它比的是**本包常量**，
看不见 env 层；注释里已写明「比常量」与「比组装后生效值」的区别（防后人重蹈）。
 2026-10-13 23:09:19 +08:00
AskaEth e9e7b7dcb2 test(memory): memory-tidy.json 写路径（补丁保留其它键 / 值没变不落盘 / 坏文件拒写 / 原子写） 
塔批准的 scope 里点名了 internal/config/runtimeconfig/memorytidy_save_test.go，
补上这四个口径的包内单测（网关侧另有端到端用例覆盖三态与审计）。
 2026-10-13 21:59:18 +08:00
AskaEth eddf921229 feat(memory): 记忆整理调优面板读写（三态 + 热生效 + 面板表单） 
主人 2026-10-07 两条口径：「.env 只做兜底用，后端自动创建独立的面板配置文件
之后就走面板配置文件，这些键优先从面板配置上取」+「频率必须调，可以调到 1 小时
或者三小时，或者动态分配（白天短、静默期长）」。

此前 $DATA_DIR/config/memory-tidy.json 只有读路径（装配期读一次 + 启动播种）：
主人要改频率只能改文件 + 重启后端。本切片补上「读回来 → 改 → 落盘 → 当场生效」。

后端（读写端点，契约待塔登记 v0.92）：
- GET  /api/v1/admin/memories/tidy/tuning  读盘上 7 键值 + 取值规则 specs +
  缺位时 .env 档的进程生效值（与 /admin/config-facts 同源）
- PUT  同路径：三态补丁（键缺位 = 不改动 / 合法值 = 采用 / 非法值 = 400 且盘上一
  个字节都不动）+ null 清除哨兵（删键 ⇒ 回到下一档）+ writeAuth + 审计
  memory.tidy.tuning；值一个都没变时不落盘，文件解不开时拒绝覆盖（409）
- 落盘走 runtimeconfig.PatchMemoryTidyTuning（原子写 temp+rename，与
  SeedMemoryTidy/SaveWebSearch 同族同手法）；补丁语义保留下受管的其它键
  （t1Judge/t1PerWindow/autoApplyPerRound 原样保留）
- 热生效：保存后按「面板 > .env > 代码默认」重算并叠到运行期对象；整理档会
  重排心跳（否则新周期要等旧周期那一觉睡完），审查档当场改 ingestGate/tempTtlSec。
  未接线/失败时如实回 hot:false + hotError，绝不把「落盘了」说成「生效了」

前端（Miuix）：
- 记忆管理页新增「记忆整理调优」卡：7 键表单（中文标签、单位、留空⇒跟随谁、
  env 档当前值、坏值就地报错并拦住保存、保存后回显从磁盘读回的真值）
- 试算卡的 recallMode 按契约 v0.91 如实渲染：embedding / lexical（已降级）/
  mixed（部分分区降级）/ ""（无候选可比）——空串不再渲染成空标签；并把
  error.code=tidy_recall_unavailable 单列一句（「尝试过但向量源不可用」，与
  「没有候选可比」显式区分）

验证：go test ./internal/{services/gateway,runtime/memory,config/runtimeconfig}
全绿；三态/清除/坏文件拒写/同值不重写/热生效接线各有用例，并逐条做过变异自证；
tsc --noEmit + vite build 通过；两个 esbuild 前端测试 39 + 34 + 41 checks 通过。
 2026-10-13 21:59:18 +08:00
AskaEth 20051f0168 Merge branch 'feat/ownergate-owner-lane-gate-plus-conversat' into dev 2026-10-13 21:18:02 +08:00
AskaEth 48a5bb89f2 fix(config): owner_lane.json 并发落盘不再损坏/丢更新（review p1） 
review p1：Set 的固定 tmp 名（path+".tmp"）+ 落盘发生在 mu.Unlock() 之后 ⇒
并发 Set 撞同一临时文件把 JSON 写坏（load 退回默认「甲」、主人刚说的「少说点」
白说且无提示），或 rename 完成顺序与新快照先后不一致而丢更新。

修法（两条都取，各司其职）：
- 落盘挪进锁内（Set 全程持 s.mu）：并发 Set 完全串行 ⇒ 快照与 rename 顺序一致，
  不可能丢更新。落盘是一个小 JSON，持锁 I/O 代价可忽略；读侧读内存、不读文件。
- 每次用 os.CreateTemp 新建临时文件（仓库同款先例 internal/user/save.go），
  不再撞固定 tmp 名；CreateTemp 以 0600 打开并再 chmod 一次，任一步失败都清掉 tmp。
- 旧 save(快照) 换成 saveLocked()（调用方须持锁，直接 marshal s.cfg）。

测试：新增并发用例 TestOwnerLaneStoreConcurrentSetKeepsAllUpdates（24 轮 × 24 写者），
断言 ① 文件始终是合法 JSON、② 每一次成功的 Set 都能在最终文件读到（不丢更新）。
修前红（原实现在同一用例上）：5/5 轮复现，两种失败模式都抓到 ——
"并发落盘把配置写坏了（文件不是合法 JSON）：invalid character '\"' after top-level value"
与 "丢更新 —— 键 qq-obv11|g-N-M 不在最终文件里"；修后连续 3 次绿，-race 下亦 ok。
Bridge.SetOwnerLanePolicy 无需改动：它在 ownerLaneMu 下设内存后调注入的 store，
串行化由 store 侧保证。
 2026-10-13 21:07:46 +08:00
AskaEth 537a8b7988 feat(channel): owner 车道结构化参与闸与可调旋钮（乙 = C） 
主人 2026-10-13 裁决「乙 C」= 默认按甲（群里不对她说就不开口）+ 可调旋钮。

- inbound.go: owner 不再无条件短路参与闸（去掉 `!actor.IsOwner()` 门），
  主人群消息改走 shouldRespond 的 owner 车道分支；主人私聊恒回。
- ownerlane.go（新）: owner 车道结构化闸 + 判据
  `msg.AddressedToMe || (msg.SelfID == "" && len(msg.Mentions) > 0)`
  （未接线渠道退回旧判据，保护 kook/webhook 的群 @）；指向她本人必回（硬保留）；
  非指向消息按每群旋钮——默认只进上下文不回（registerSilenced 落隔离会话）。
  「少说点」类关键词落成结构化降频配置，带 source 日志。
- channelbridge.go: Options.OwnerLaneFor/OwnerLaneSet 读写接缝 + Bridge 状态。
- engage.go: 冷避词表并入「少说点」（与既有「少说两句」同义）。
- runtimeconfig/channels_ownerlane.go（新）: owner_lane.json 落盘面
  （默认档 + 每群覆盖，可读可改，面板可写）。
- wire_channels.go: 注入 owner_lane.json 存储（$DATA_DIR/config/）。
- 测试：不对她说就不回（进上下文零回复）/ @她必回（即使降频）/ 未接线退回
  旧判据 / 降频生效且可恢复 + 频率闸 / 旋钮读写接缝 / 归属不变量闭合 /
  陌生人私聊与主人私聊回归。变异自证：恢复 owner 短路 ⇒ 5 条用例红。
 2026-10-13 20:48:05 +08:00
AskaEth 5daba92d0f docs(memory): 十一键措辞收口（seed* + snapshot*） 
tempTtlSec 落地后，`memory-tidy.json` 的播种契约就是**十一键**，而三处文件的注释仍
写「十键」。这些是**过时的陈述**（不是风格问题）：下一位读者会从「快照契约：十键非
nil」里读出一个错误的口径，而 `memoryTidySeedComplete` 实际校验的正是十一键。

改的只是措辞，一行逻辑没动：
- internal/config/runtimeconfig/memorytidy_seed.go:25,160
- internal/config/runtimeconfig/memorytidy_seed_test.go:19,27,62,82,97,214
- internal/runtime/memory/tidy_snapshot_test.go:14,27,159

（`cmd/cyrene/wire_memory_tidy.go:65` 还有同类的一处「这十键」，该文件属 M3 的
scope，未动 —— 塔已转 M3。）

验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿。
 2026-10-13 20:38:02 +08:00
AskaEth d4ed043d5c test(memory): 修播种日志用例的偶发假红 + 补 TempTTL 接线缝断言 
两件都是**测试面**的补件，不碰被测逻辑。

① 既有 flake（internal/config/runtimeconfig/memorytidy_seed_test.go）：
TestSeedMemoryTidy_LogsPathAndReasonWithoutValues 原先用**裸数字**扫**整行**日志找
4242/10800/1800，而同一行合法地打了 `path=<临时目录>`，`t.TempDir()` 的目录名带
随机数十进制 ⇒ 偶发命中（约个位数/10000），表现为假红。
修法取「断言带字段名的形态」：哨兵改成 `=4242` / `=10800` / `=1800` / `=259200`
（slog 的 `key=value` 字段形态），路径里的随机数前面是路径分隔片段而不是 `=`，
因此不受影响。
**为什么不用另一个备选「只扫 keys= 之后的内容」**：那会把断言缩成「keys 列表里没
有值」，任何以别的字段名打出来的值（`interval_sec=4242`、将来新加的字段）都会溜
过去 —— 等于把这条防护改成空壳，而不是修掉它的假红。
顺手把 tempTtlSec 的哨兵值 259200 一并纳入（上一切片给 completeSeedTuning 加了这
个键，漏掉它会让「不打配置值」在这一个键上失去覆盖）。

② 缝断言（cmd/cyrene/wire_memory_review_test.go）：
TestMemoryReviewIsWired 的 seams 表补上 `a.memoryTempTTL()` 与 `TempTTL: tempTTL`
—— 上一切片把面板 `tempTtlSec` 接进 ReviewConfig 时，这条缝没有被覆盖，「接线被
摘掉」不会红。

自证：
- ① 前后对比（确定性，把临时目录名强制含 1800）：旧形态 FAIL（「日志里出现了配置
  值 1800」）、新形态 PASS；另跑 `-count=20` 全绿。
- ② 变异：把 helper 与调用点一起改名 ⇒ `wire_memory_review_test.go💯 找不到
  "a.memoryTempTTL()"` FAIL。
 2026-10-13 20:26:46 +08:00
AskaEth 21b906ffb0 feat(memory): D3 第五态 defer（入库审查）+ 提取留存规则闸 + 临时 TTL 配置面 
主人原话：「收窄提取器，确实要给他一个主动式的记忆留存规则，不能想到什么都
往记忆里写」「.env 只做兜底用 …这些键优先从面板配置上取」「临时记忆到期删除」。
按 design/23 §18（D3 第五态 defer）、§19（到期处置）、design/03 §9.6
（tempTtlSec 默认 7 天 + 坏值口径）、§10（提取留存规则）落地。

- IngestDecision 闭集加第五态 defer：照常 active 落库 + 写短 expires_at 落
  临时层（不删行、不改正文，回滚 = 清空该列）；IngestRuleVersion d3.2 → d3.3。
- 落点：ingestGatePlan 增 ExpiresAt + expiresAt()（走 expiryText/formatTime 的
  定宽 30 字节 UTC，与读侧时效闸同一套文本口径），由 finishIngest 在 defer 一态
  补写 expires_at（INSERT 与补写之间的短暂窗口如实登记，方向 = 宁可多留）。
  非 defer 三态一笔都不多写。
- T0 提取留存规则闸（extract_retention.go）：design/03 §10.5 的 N1~N5 纯规则，
  接进 judgeIngest 的候选比对之前，命中即 defer + reason=t0_low_value，不进 T1；
  两道护栏（显式「记住」/ 持久信号）一票放行，fail-safe 方向 = 宁可多留。
- T1 闭集扩为 merge/modify/keep/defer（同一个 prompt、同一次调用，绝不新增
  第二次模型调用）：只有关系判为真新时才问价值；defer 要求 target=0，否则判
  非法回落 create（reason=t1_reply_invalid）。
- 提取器提示词加固（design/03 §10.3 B）：正向清单 + 反例清单 + 「允许返回 []」。
- 临时记忆 TTL：代码默认 tempTtlSec = 604800（7 天）；面板
  $DATA_DIR/config/memory-tidy.json 的 tempTtlSec 优先（ApplyReviewTuning 逐键
  解析，坏值回落默认 + WARN，绝不写进 cfg）。该键在 .env 里没有出处且不新增
  （.env 已冻结）⇒ 实际生效链是「面板 > 代码默认」。启动播种同步该键（*int +
  omitempty，nil 省略、绝不写 null），保证播种文件与生效值逐字一致。
- preinsert_store.go 的 listReviewCandidatesSQL 原位注释：这条内部召回 SQL
  刻意不过时效闸的裁定与理由（design/03 §11.2 第 3 条）。
- 测试：defer 落库带短 expires_at（闸 + T1 两条路径）、写入口径与时效闸同源、
  TTL 坏值与回落、规则版本 d3.3、整理候选幂等键不含 IngestRuleVersion、
  提取规则正例 11 条 / 反例 11 条。

验收：go build ./... + go vet ./... + go test ./... 全绿；windows/darwin 交叉
编译通过（GOOS=darwin GOARCH=arm64 / GOOS=windows GOARCH=amd64）。
 2026-10-13 20:22:48 +08:00
AskaEth 23b6e3fe1e feat(memory): 启动时自动播种面板配置文件（缺失才写、绝不覆盖）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07：「后端自动创建独立的面板配置文件要做」。

- 启动路径（wireMemoryTidy → applyMemoryTidyTuning 之后）若
  $DATA_DIR/config/memory-tidy.json 不存在或全空白 => 写一份「当时生效值」
  （十键：既有六键 + 频率四键），此后面板接管
- 已存在（非空）=> 跳过，该分支没有任何写盘语句；损坏 => WARN + 按 .env 跑、
  一个字不写盘（不「修好它」）
- 幂等（第二次启动必落到跳过分支）；原子写（tmp 0600 + rename）
- 落盘前完整性闸：缺键 / 非正周期 / 钟点越界 => WARN + 不落盘
- 值来自 TidyTuningSnapshot（先跑两个归一化再翻回正向键）=> 播种那一刻运行
  行为零变化，有强断言（归一化后配置逐字相等）
- 零新增依赖、零 env 键变更；5 个变异（含「让已存在走写盘」=> 红）
 2026-10-07 20:38:37 +08:00
AskaEth d680390300 feat(memory): 整理频率走面板配置（面板 > env > 默认）+ 分时段动态间隔 
主人 2026-10-07：「.env 只做兜底…优先从面板配置上取」+「频率必须调…或者动态
分配，比如白天间隔短一点 晚上到了静默时期稍微长一点」。

- memory-tidy.json 新增四键：intervalSec / quietIntervalSec / quietStartHour /
  quietEndHour（*int + 指针判定 => 显式 0 是合法值、缺位才回落）
- 优先级逐键三档：面板 > env（既有键，未增删）> 代码默认；坏值不覆盖 + WARN，
  且不启动失败
- 动态间隔由纯函数 intervalAt(at) 决定，调度侧每一拍现算 => 跑完按当时时段重算
- 🔴 语义变更（有意，代码注释已登记，待补设计修订）：安静时段从「唯一可跑时段」
  变成「降频时段」—— 旧的「安静窗外一律 continue」被删，否则 intervalSec 永远
  是空壳（白天唤醒必被跳过）；窗口仍决定档位与补跑判据
- 6 个变异（含「加回旧的那道门」=> 端到端用例红）
 2026-10-07 19:21:32 +08:00
AskaEth a684328b76 feat(memory): T1 加保守全局速率限流（防每天数百到上千次调用失控）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定：按最优解加全局限流。

- 新增 t1RateGate（滑动窗口、可注入时钟，~70 行）；默认
  120 次 / 60 分钟（现网 700-1000 条新记忆/天 ≈ 25-42/小时，
  取 120 留约 3-5 倍余量）
- 过闸摆在「t1Enabled + 有灰区候选」两个守卫之后、发请求之前
  ⇒ 不调模型就不占额度；放行才记账
- 超限语义与既有失败路径同源：跳过 T1、决定仍是 create、零改写，
  只多一个 reason=t1_throttled 进留痕 + ReviewStats.T1Throttled 计数
- 配置键 t1PerWindow / t1WindowSec 放 $DATA_DIR/config/memory-tidy.json
  （零新 env 键，启动期读一次）；坏配置回落默认 + WARN，不启动失败
- 每窗口只记一条 WARN（超限是预期行为，一天几百条会淹掉真故障）
- IngestRuleVersion 仍为 d3.2：判定规则集与解析契约没变，变的只是
  额度状态，reason 列已可分辨（升版会有 §17.6 记过的幂等键重复行副作用）

自研而非复用 session.NewRateLimiter 的理由（design/12 §N C.5 自己登记过
这条取舍）：既有件 Allow() 内部写死 time.Now()，没有时钟注入缝，
而本切片必须能注入可控时钟；且复用会把 channel 层概念拖进 memory 包。
 2026-10-07 16:25:54 +08:00
AskaEth 1b4d0a552f feat(memory): T1 灰区模型判定 —— D3 入库前审查补上 LLM 那一半
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定「可以做 T1」。此前 D3 只有纯规则 T0，凡灰区（相似但
互不包含）一律保守 create，真机上「同一事实换措辞」类重复结构性治不住
（清完 92 条字面级重复后，active 里含「喵喵七号」的仍有 101 条）。

- 插入点：T0 判定内核只多吐一份结构化 Gray（惰性收集，恒零模型调用）；
  T1 挂在异步审查层 Review，同步入库闸不碰它 ⇒ 写入路径零模型调用是
  **数据流结构**而不是承诺
- 只许回 merge / modify / keep + 一句理由；坏 JSON、非法枚举、编号越界
  一律回落 create（绝不猜、绝不挑最近的一条）
- 禁产新内容：模型只给「动作 + 候选编号 + 一句理由」，正文一律取自库里
  既有的两行 ⇒ T1 结构性地不可能把幻觉写进记忆库
- 不越硬门与红线：灰区已滤掉跨角色/作用域/项目/只读来源与时效/数值/冲突/
  低置信；「规则否决一票否决」不可走样，T1 不提供翻案入口
- 有界：每次审查至多一次调用（灰区打包，上限 8 条），子超时 8s 且不超过
  审查总预算；失败只改 reason、决定恒 create、零 UPDATE
- 开关 t1Judge（放 $DATA_DIR/config/memory-tidy.json，零新 env 键），默认开；
  模型出口用闭包晚绑定既有模型栈（零新客户端、零新依赖）
- 留痕 reason 结构化（t1_merge / t1_modify / t1_keep / t1_reply_invalid /
  t1_unavailable），rule_version d3.1 → d3.2；模型的自由文本理由一律丢弃
- preinsert_config.go 为纯搬移（为守 500 行上限，无新逻辑）
 2026-10-07 14:10:33 +08:00
AskaEth ce9af42945 feat(search): 新增腾讯云·元宝搜索与秘塔搜索两家 provider
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
接入位表六家扩到八家，端点形状与错误码一字未改（契约 v0.87，仅两处名单）。

- tencent_wsa：POST {base}/SearchPro + Authorization Bearer，零签名。
  两条官方口径决定实现：HTTP 状态码恒 200（判失败只能读 Response.Error.Code）；
  Pages 是「JSON 字符串数组」需二次解析。错误码按官方表分类
  （UnauthorizedOperation/AuthFailure.* = 凭据、ResourceUnavailable = 欠费、
  RequestLimitExceeded* = 限流），文案只带 code 不带上游 Message。
- metaso：POST {base}/api/v1/search，响应 schema 仅第三方来源且互相打架，
  实现走宽松解析（数组候选与字段名回退），逐处标「未实测」。
- 零新 env 键：两家只走 $DATA_DIR/config/plugins/web-search.json，
  .env / .env.example 未动；组合根 websearch_providers.go 零功能改动。
- 契约 v0.87：values.provider 合法闭集与 plugin.providers 候选各加两条，
  计数不变（14 + 25 + 40 = 79）。
 2026-10-07 13:42:41 +08:00
AskaEth 90f430216a feat(memory): D3 从「异步后置」改成「同步入库闸」—— 由整理层决定入库形态
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人 2026-10-07 裁定：「把记忆整理功能接到昔涟和记忆库中间做审查，由整理功能
进行入库」。现状是**异步 + 入库后软合并** ⇒ 行已经落库才审，面板/召回先脏后清，
而写入速率实测 ~25 条/小时（≈600/天）⇒ 清理永远追不上。

落法（三条硬规格，全部落地）：
① **同步闸但有界**：闸在 `store.go:247` 的 `planIngest`（INSERT **之前**），
   本体 `preinsert_gate.go`。墙钟预算 **150ms**（实测最坏 p95 仅 4~7ms ⇒ 20~50 倍
   余量）、候选扫描上限 **100**（比异步侧 200 更紧，因为它在写路径上）。
   🔴 **零远端 embedding**：闸恒用词项余弦（`deps.Embedder` 根本不参与）——
   远端 embedding 一次 2.3~3.0s 且对同文本返回不同向量（不可复现），不许摆在同步
   路径上拍板。
② **fail-open，绝不丢记忆**：候选源报错 ⇒ `gate:candidates_unavailable`；超预算 ⇒
   `gate:budget_exceeded` ⇒ **照常 insert(active) + 投既有队列 + 留痕 + WARN**。
③ **三态落库（落 merged，而不是"不插入"）**：确定性命中（字面重复 / 归一化等价 /
   真包含）⇒ INSERT **直接带 `status='merged'` + `merged_into=<存活行>`**，存活行
   `merged_from` 追加、`merge_count`+1 ⇒ **新行从不进 active、从不建向量索引**，
   而**行与原文都在表里 ⇒ revert 无损**。若"干脆不插"，那条文本从未存在过行，
   revert 无从下手，违反 design/23 §8 的红线。
- **不与异步 D3 重复审**：闸做决定的那条 `Async=false`（留痕由闸自己落，
  审计动作名 `memory.ingest.gate`）；真新/拿不准的走原有队列（留痕仍归异步层）。
- **开关**：`$DATA_DIR/config/memory-tidy.json` 的 `{"ingestGate": false}` ⇒ 一键回到
  「只插不审」（= 改动前的异步行为）。**零新 env 键**（`.env` 未碰）。
- 顺手把 `store.go` 的行映射拆到 `store_rows.go`（守 §10 的 ≤500 行）。

验收（主会话复跑 + 亲自变异）：`go build ./...` + `go vet` 绿；memory 包测试绿；
我用 -overlay 摘掉闸的预算 ⇒ `TestIngestGate_Add墙钟有界` 与
`…failOpen_超预算绝不丢记忆` 变红（"Add 等了 2.0s，越过闸预算 150ms"）。
子代理另做 2 个变异（去掉预算 / 把 fail-open 改成 fail-closed）全红，并实测
**闸开 vs 关的 `Add` 额外墙钟：p50 ≈2.5~3.1ms、p95 ≈4~7ms**（基线批均值 35.8µs）。

⚠️ 未部署（要一次 build + restart）；⚠️ 已知边界（如实）：闸只用词项余弦 ⇒
「同义但字面差得远」拦不住（有意为之，由异步层/夜间整理兜）；闸的候选是**最新
100 条**（更老的重复闸看不到）；**并发同内容双写**仍可能两条都落 active（既有竞态，
SELECT 与 INSERT 不在同一事务，非本次引入，第二层会清）。
 2026-10-07 11:41:44 +08:00
AskaEth c68387a69a feat(search): 面板上终于能改「结果条数上限」（原来改了会被静默丢弃）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
真缺陷（上一片登记）：`maxResults` 在面板上**根本改不了** —— ① 字段表里没有这个
字段（UI 不显示输入框）；② `saveProvider` 只并 provider/apiKey/baseUrl/enabled；
③ `mergeSelectionPatch` 只处理 primary/fallback ⇒ **手工塞进 values 也会被静默丢弃**
（文件不变、也不报错）。「我改了它却没变」正是要消灭的那种假话。

- `panel.go`：表单加 `{Key: FieldMaxResults, Type: sdk.FieldNumber, Min: 1}`（**SDK 本就有
  数字类型**，未自造；前端本就渲染 number ⇒ **不需要改前端**）。刻意不设 `Default`
  （设了会让一次「只改 key」的保存把默认值固化进文件、还可能盖掉 `.env`）。
- `websearch_selection.go`：`mergeSelectionPatch` 里按**三态**落 `maxResults` ——
  缺位/null ⇒ **不改动**；正整数（含整数字符串）⇒ 采用；0/负数/小数/空串/非数/
  布尔/数组 ⇒ **400 `invalid_payload`** 且**盘上一字节不动**（绝不静默忽略）。
- `reauth` 回填该值（否则一保存就把上限清掉）。
- `.env.example`：该键的示例值与「默认 5」注释同步为 **10**（代码默认已改；⚠️ `.env` 未动）。

验收（主会话复跑 + 亲自变异）：**整树 `go build ./...` 通过**；三包 vet/测试绿；
端到端「面板存 20 ⇒ 模型要 50 也只给 20、要 3 给 3」（走真 action hub → 落盘 →
热重载 → WithSearchMaxResults → 真 dispatcher，未重启后端）；
我用 -overlay 把 `f.MaxResults = maxResults` 摘掉 ⇒ 两条用例变红
（「面板给的值必须真的落盘」/「回填的 maxResults = 5, want 20」）。

⚠️ 已知取舍（如实登记）：**清空输入框 = 400**（后端按「非数 ⇒ 报错」拒），因此面板上
没有「去掉上限」的手势 —— 要回到 `.env` 兜底得改文件；要支持「清空 = 去掉覆盖」
需另定哨兵语义，未自行发挥。
⚠️ 契约面已变更（面板声明多一个 number 字段 + saveProvider 的 values 多一个可写键 +
响应多一个回显键）⇒ 主会话登记。
 2026-10-07 11:10:56 +08:00
AskaEth 6d92536276 feat(memory): 整理不再只产建议 —— 轮末自动落地高置信 + 停产 link 候选
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人原话：「那么多 link 是干什么的？该删就删，怎么这个记忆整理机制这么保守呢」。

① **link 停产**（依据 design/23 §14 把它列为「未细化」⇒ 既无落点也无数据模型；
   `applyable()` 也只认 merge/archive/reclassify ⇒ 应用 link 恒 `skipped`，是纯噪音）：
   - 规则层 `containNone` 判定改为 `keep`（不再产出 501 条不可应用的待办）；
   - `TidyLink` 常量保留，只为**读历史行**与「不可应用」判定；
   - 存量出路：新端点 `POST /api/v1/admin/memories/candidates/reject?action=&limit=`
     （**幂等、只改候选 status、不碰记忆**），主会话用它清掉存量 501 条。
② **轮末自动落地**（默认开，仅两类，判据是纯函数）：
   - `merge`：**字面重复** ∨「事实集合等价 ∧ 相似度 ≥ 0.95」；
   - `archive`：理由 = `one_off_event` **且不像习惯**（`design/23 §5.2-1` 红线：
     习惯类会因正文带钟点被误判成一次性事件，归档它是错的）。
   - **不自动**：`reclassify`、低置信 merge、跨分区/跨角色、任何改正文、受限来源
     （群聊/陌生人）—— 新增执行面守卫 `tidySkipSourceRestricted`。
③ **六条护栏**（缺一不可）：软动作（复用既有 apply 路径）/ 每轮上限 50（硬顶 500，
   超限如实 `Truncated` + 真总数）/ 审计 `memory.tidy.apply`（`auto=true`，不带正文）/
   **可 revert**（复用既有回滚）/ 幂等（复用候选状态条件更新）/ **一键关回只产建议**
   （`$DATA_DIR/config/memory-tidy.json` 的 `autoApply:false`，**零新 env 键**）。

验收（主会话复跑 + 亲自变异）：memory 与 gateway 两包 build/vet/test 全绿；我用
-overlay 短路「习惯不归档」守卫 ⇒ TestTidyAutoNeverArchivesHabitMisjudgedAsOneOff
变红（逐字报「作息习惯被自动归档了 …design §5.2-1 红线」）。

⚠️ 未部署（要 build+restart 才生效）；⚠️ 契约欠登记（新端点 B25 + §7.2），主会话补；
⚠️ 真机端到端未跑（不能重启后端）。
 2026-10-07 11:07:00 +08:00
AskaEth bff57bd1ae feat(search): 结果条数上限 5 → 10，并让「上限」真的是上限
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人原话：「返回五条结果会不会太少了？」。裁定：**上限抬高到 10，且它是真上限**
（模型要 50 也只给 10）；模型要更少（3）时**尊重模型**；缺省/非法（≤0/非数）⇒ 上限。

- plugins/tools/io/web_search.go：`n := resultLimit(s.maxResults, m)` 一处收口
  （原来是 `if count>0 { n = count }` ⇒ 模型的 count 能顶掉配置上限，与
  .env.example 写的「条数上限」不符 —— 那是一条真口径缺陷，本次一并修正）。
- internal/config/websearch.go：`WEB_SEARCH_MAX_RESULTS` 代码默认值 5 → 10
  （三处口径现已一致：env 默认 10 / io 包 defaultMaxResults 10 / 各家发给上游的
  请求区间是另一回事，未动）。
- 生产：`data/config/plugins/web-search.json` 的 `maxResults` 5 → 10 + 一次
  saveProvider 触发**热重载**（applied+registered），盘上已生效。

验收（主会话复跑 + 亲自打两个变异）：
- io 包 / internal/config / cmd/cyrene 相关用例全绿；
- 变异 A（拆掉上限、恒取 50）⇒ **4 条用例变红**（含「默认上限 10」「count 非数值
  ⇒ 上限」「count=0 ⇒ 上限」「既有 MaxResultsOption」）；
- 变异 B（默认值退回 5）⇒ internal/config 的默认值断言变红。

🔴 顺带挖出一条真缺陷（**本片只报不修，等派**）：`maxResults` **在面板 UI 上
根本改不了** —— ① `search/panel.go` 的字段表里没有这个字段（输入框不显示）；
② `saveProvider` 只并 provider/apiKey/baseUrl/enabled；③ `mergeSelectionPatch`
只处理 primary/fallback ⇒ **手工塞进 values 也会被静默丢弃**（「我改了它却没变」
成立）。修它要给面板加一个数字字段 + 三态落 `f.MaxResults`，属**管理面板对外契约
变更**（须同步 Docs/api-client.md），留给主会话。
 2026-10-07 10:58:40 +08:00
AskaEth 4213b268fe feat(backthink): 自排的成本可见面（C2 读侧，Y3） 
- GET /api/v1/admin/backthink 加可选 ?trigger=（闭集=内建触发标签 + 本服务订阅的事件主题；
  未知/空 ⇒ 400 invalid_trigger，不静默忽略；合法值下推到 SQL ⇒ limit 是匹配条数）
- 新端点 GET /api/v1/admin/backthink/self-wake（writeAuth）：闸的只读镜像
  {available,running,reason?,configFile?,gate{pending,used,limit,windowSec,default*,*IsDefault}}
  三态分开（未接线 / 有配置未运行 / 运行中），读它**不消耗额度**
- 零新 env 键；旋钮源 = $DATA_DIR/config/backthink.json（**写面未做**，前置=组合根接线，已登记）
- 键名沿用设计与现有代码的 selfWakePerWindow（派工书写错成 selfWakeLimit，未改键名以免废掉主人已写的配置）
- 5 个变异（未知值静默忽略/关掉下推/恒报运行中/白名单摘键/前端把看不到画成 0/0）
⚠️ 本片改了 4 个文件面外文件（admin_query.go/routes.go/api.ts/adminSystem.ts）——已逐条说明理由
 2026-10-06 21:48:49 +08:00
AskaEth 2d211c2d16 feat(backthink,browser): 自排工具面 C1-3 + 浏览器两处偏离收口（X2+X3 同文件一并落） 
X2 C1-3（自排工具面与提示词）：
- request_think（thinktool.go，照 transcode/tool.go 范式）+ reason 必填/urgency 闭集 + 双守门
  （安全闸 + owner 判定：群聊/陌生人一律拒）
- **成对**进两张唤醒态允许集（quiet + awake；CAPACITY_TOOL_SETS 是整体替换）
- 提示词抽共用段落 + 自排前缀优先（不枚举工具清单）；面板加 self_wake 标签与筛选轴
- 4 个变异自检（拿掉 owner 判定/只加一张表/放宽 urgency/前端标签恒等）

X3 收口（与 X2 共用 wire_services.go ⇒ 一并落）：
- 删掉第三份 SSRF 实现（guard.go），改由 io.ValidateRequestURL 唯一判定 + 薄门面（保两个错误身份）
- 浏览器会话挂进 a.close（真机：真 Chrome 被关、无残留、生产未扰动）
- a.wireBrowser() 归位到 wire_runtime.go，删掉 ioToolOptions 的临时挂点
- 5 个变异自检

顺带补提交 C1-2 漏掉的 internal/config/runtimeconfig/backthink_test.go（ed50053 漏 add）。
 2026-10-06 21:16:23 +08:00
AskaEth ed5005307a feat(backthink): 自排 C1-2 本体 + TriggerUnknown 修 fail-open（V1） 
- selfwake.go：WakeNow + 待跑槽容量 1（先探槽合并不过闸、槽空才过闸、同锁）+ 闸 4 轮/小时
  （$DATA_DIR/config/backthink.json，零新 env 键）+ 审计四条 what + 启动日志两键 + 组合根接线
- G-A（主人已批）：TriggerUnknown 作零值、既有两值编号后移（语义不动），未知触发走**最紧分支**
- 5 个变异自检（拆闸/≤0 未回落/过闸挪到探槽前=G1 失效形态/槽无界/零值挪走）
⚠️ 服务侧已就绪但**她仍调不到**（自排工具面属 C1-3）⇒ 不得写「C 已完成」
 2026-10-06 20:25:04 +08:00
AskaEth 120d926cf8 feat(search): 搜索 provider 可变源 + 插件声明面板（PLG-4） 
- 新增 $DATA_DIR/config/plugins/web-search.json（0600 + temp+rename，文件名 = 插件 id）
- 组合根改「先读可变源、缺失回落 .env 播种」；**不新增任何 env 键**（.env 已冻结）
- 多实例：每家 provider 独立 key/baseURL/启用态 + 「测试连通」探针
- 用 PLG-1 的声明库给出该面板的 adminPanels 声明；动作名交给 PLG-2 的通用动作端点分发
  （本片自己不开路由）

⚠️ 本片自认越界：改了 cmd/cyrene/wire_web_search_test.go（既有测试，为适配 DataDir）；
  另有 design/28 的相关注册留给主会话。
 2026-10-06 09:04:04 +08:00
AskaEth 6e28b38b08 feat(memory): 护栏抬高+时间预算闸+试算加性异步 与 D3 入库前审查（耦合两片一起落）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
【MT-A：护栏 + 诚实截断 + 试算异步】
- maxTidyCompareItems 400(写死)→2000 并开放为 MEMORY_TIDY_COMPARE_LIMIT；
  MEMORY_TIDY_CANDIDATE_LIMIT 默认 20→200（语义不变，仍每分区）
- 依据是首跑实测：459 条的分区被 400 截断 ⇒ compared(705) < scanned(784)，
  候选数(77)由上限而不是规则决定；三处上限的 WARN 都补齐了总数/上限/分区名
- 新增「上限 + 时间预算」双闸（实测 2000 条/分区 ≈234s > 3 分钟墙钟）：
  整分区跳过 / 两两比对中途收手，一律如实记 (budget) + WARN
- ?async=1 ⇒ 202 {runId,status}；GET …/{runId} 轮询（writeAuth 同档）；
  done 的 result 与同步 data 逐字节同形；并发=复用既有 runId、TTL 30min 自完成起算、
  重启即如实 404 tidy_run_not_found；不带 async 时同步路径逐字不变

【MT-B：D3 入库前审查（design/23 §15.1）】
- 新记忆经 Store.Add（仓库里唯一 INSERT INTO memory_items）落库后，由独立记忆管理
  会话（sess-memorytidy）在有界后台队列异步判定 skip/merge/modify/create
- 软合并回写（status + merged_into/merged_from/merge_count，可 revert、绝不改 content）
- 隔离来源（群聊/陌生人）**概不审查**、召回/超时失败**零改写**（fail-safe 结构性成立）
- 写入侧仅 +62.7µs/条（非阻塞入队）；默认 ENABLED=true（主人裁定：入库前先审查）

【耦合说明（重要）】两片同包且互相依赖：MT-B 的 preinsert_recall.go 用 MT-A 的
collectTidyPairs 新签名 + tidyBudget ⇒ **各自单独都 build 不过**，故一并落地。
MT-A 为让整包编译，最小幅度适配了 MT-B 的 preinsert_recall.go / preinsert_test.go
（零值预算=行为不变；符号重名改名）。

【我的验收】隔离 worktree（37 文件）build/vet/linux/darwin 全过，切片包全绿；
我亲手打红两个变异：① 去掉 (compare) 截断标记 ⇒ TestTidyCompareLimit_HitIsLoud 红；
② 中和隔离来源守卫 ⇒ TestReviewRestrictedSourceIsNeverTouched 红。
唯一红是 internal/runtime/tool 的两条超时用例（该包无人改）⇒ 主仓库 -count=8 全绿，
判定为负载敏感 flake（当时两个整树验收 + 子代理并发），已记入开发习惯与约定 §7。

.env.example 补 MEMORY_REVIEW_* 四键（MT-B 无该文件权限，由我按其代码语义补写）。
 2026-10-06 08:04:12 +08:00
AskaEth 69a3b73777 feat(search): 原生 provider 层（searxng/智谱/阿里IQS/博查/火山/百度）+ 降级链（契约无改动） 
主人定调「先把原生的做进插件，MCP 路线等后端 MCP 完善后再接」。
- 新包 plugins/tools/io/search/：一 provider 一文件 + 共享 http/提取器 + 归一化 Result；域名过滤/去重/排序**归一化后统一做一次**
- 配置 15 键：WEB_SEARCH_PROVIDER(默认 searxng)/_FALLBACK/_MAX_RESULTS + 五家 ×(API_KEY/BASE_URL)；WEB_SEARCH_TIMEOUT 语义改为「**每次上游尝试**」（降级链才有意义）
- 硬语义：未注册/未配置的主 provider ⇒ **启动期报错**（不许静默回落）；off ⇒ 不注册工具；缺 key 的家不进可用清单；降级链**如实标实际应答的 provider**（变异：拿主力冒充 ⇒ 测试红「provider = zhipu, want bocha」）
- 密钥绝不进日志/响应（有断言）；错误分类（鉴权/限流/额度/网络）+ **空结果 ≠ 成功**（变异暴露过一个死分支⇒下移到 searchWith 修掉）
- searxng 真机 e2e 通过（provider=searxng 5 条）；**其余五家无 key ⇒ 如实标未实测**；契约无改动（无新端点、工具 schema 不变）
- 注册表留好 B 档接入位（tavily/exa/firecrawl/serper/serpapi），并有「未登记⇒启动报错」的防回归断言
 2026-10-05 22:38:20 +08:00
AskaEth 236b202fda feat(backthink): 静默时段心跳降频（A）—— THINK_QUIET_INTERVAL_SEC 默认 3600 
主人裁定「先做 A（静默降频）再转向 C」；背景实测：静默期**思考频率不变**（恒定 900s 心跳），只拦打扰 ⇒ 成本照付。
- 新键 THINK_QUIET_INTERVAL_SEC（默认 3600）：窗口内用该间隔、窗外仍用 THINK_INTERVAL_SEC；**≤0 = 关闭降频**（不许出现「半夜完全不思考」暗坑）；窗口关闭/钟点非法 ⇒ 不降频
- 心跳**每拍按时刻选间隔**（放到循环外就永远不生效——变异实测能打红）
- 🔴 不变量：**事件驱动不被降频影响**（TestBackthink_EventTrigger_NotSlowedByQuietInterval 钉住）
- 事实卡 9→12 条（+思考总开关/普通间隔/静默间隔，标「改需重启」）；契约形状未变、未升版
- ⚠️ 如实登记：ENABLE_BACKGROUND_THINKING 是**死配置**（全仓无消费者），已在 env/面板标签/契约三处标注，**是否接线待主人拍**
- 变异 5 条全红；C 的缺口清单（唤醒面 7 处）已回给主会话排期
 2026-10-05 22:38:17 +08:00
AskaEth 8e6c77ad10 feat(search): web-search 接线本机 SearXNG 兜底 + 显式开关（她不再拿一把用不了的锤子）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
主人报的故障：她调 web-search 必失败（no search endpoint configured）。根因两条：组合根从未注入 WithSearchEndpoint + 配置层根本没有搜索配置项。
- internal/config/websearch.go：WEB_SEARCH_ENDPOINT（默认本机兜底 http://127.0.0.1:38471）+ WEB_SEARCH_TIMEOUT；ResolveEndpoint() 三态裁决（可用/显式关闭/非法），非法值启动即报错
- cmd/cyrene/wire_io_tools.go：组合根唯一的 io 选项装配点；端点不可用 ⇒ WithoutSearch() + 带 source 的 WARN（只记键名与原因，不打印 URL 值）
- plugins/tools/io：新增 WithoutSearch()（**根本不进注册面** ⇒ 模型看不见）+ WithSearchTimeout()；协议解析逻辑一字未动
- 隐蔽坑（额外查出并修）：SearXNG 对 /?q= 回 308 → /search，重定向那一跳走**共享 SSRF 白名单** ⇒ 只注入端点照样被拦。改为**只给 web-search 一件**加宽自己的客户端与白名单，共享白名单与 http/web-fetch 客户端一字未动（有测试钉住它仍拒绝本机网关地址）
- .env.example 新增 2 键 + 注释说明「空串/off/none = 不注册」
- 真机 e2e 两次绿（SearXNG 返回 9 条）；变异：不注入端点 / 关闭态仍注册 / 默认值改错 / 不并入端点主机 / 重定向用共享白名单 ⇒ 5 条全红
 2026-10-05 20:29:21 +08:00
AskaEth afe9afb1b5 feat(events): 渠道事件桥接接线 + 组合根（design/26 E3+E4） 
- E3：channelbridge/events.go 唯一插入点 recordEvent（两轴映射 Category→Tier、摘要恒过 SanitizeNoticeText、角色/账号只认白名单）+ Options.EventStore 注入
  - 未接线 store=nil ⇒ 内存计数 + 首次 DEBUG，绝不中断入站（变异实测：改成直接调 Record ⇒ panic，测试红）
  - 普通聊天消息零副作用（变异：去掉 Applicable 早退 ⇒ rows=1 红）
  - T1 遥测只计数不落行（变异：心跳误判 T2 ⇒ 「逐条落行 1 行，want 0」红）
- E4：wire_channel_events.go（启动期清扫 + 双 ticker + 退出 flush，逐字对齐 wire_document_gc 的三条取舍）、wire_channels 注入、main.go 加一行 startChannelEvents
- internal/config/duration_env.go：新 env 键的读取口径（进程环境 > .env > 默认；「没写」与「写了空」都当没配；非法值回落 + 报错）——避免「只写在 .env 里被静默忽略」
- 三个新 env 键：CHANNEL_EVENT_RETENTION / GC_INTERVAL / COUNTER_FLUSH（模板同批更新，测试钉住键名一致）
- 插入点比设计示意图晚一步（放 preEntryReview 之后，只归一化一次且 NoticeClass 已有结论），「留存无条件、在任何早退之前」这条性质不变
 2026-10-05 14:10:24 +08:00
AskaEth a057a0f61f feat(channels): 流控可配 —— 陌生人私聊额度走账号配置 directMsgPerMin（裁决 13）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 后端：账号顶层 directMsgPerMin（缺失/0 = 保护性默认 6 条/分；正值 = 该值；负值 = 关闭并留带 source 的 WARN）
- 日志如实报出**实际生效**额度（adapter.(*FlowGate).DirectPerMin()），告警文案不再写死 6
- 面板：渠道配置表单加字段（含帮助文案）+ 回显/写回链路（LIMIT_KEYS 四键）+ 账号卡片摘要
- 文案纠错：AdapterConfigSummary 的 msgPerMin 由「私聊每分钟上限」改为「非主人消息每分钟总上限」（原描述是误导），并列补 directMsgPerMin 行
- 变异实测：缺键丢默认 / 负值当 1 条每分 / 前端吞负值 —— 三个都精确打红并还原
- ⚠️ 已知缺口（下一片补，gateway 面）：GET/PUT /admin/channels 尚未下发/解码该键 ⇒ 面板暂时回显空、保存会把 -1 重置为 0
 2026-10-05 13:50:29 +08:00
AskaEth 91a3209c9b feat(memory): 记忆整理 v1（design/23）——低峰定期扫描 + 事实包含判定 + 规则否决 + 只产建议队列（不自动应用）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-05 11:29:36 +08:00
AskaEth a918819878 feat(channels,voice): IM 各渠道语音消息可被读到（全渠道云端 ASR + 临时熔断）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
采集面：mediafetch 新增 inline_voice.go（音频白名单，与 documents.ExtAllowed 互不污染；
复用既有来源白名单 / 逐跳校验 / 边读边限 / 超时）；四个适配器零改动。
消费面：channelbridge 在流水线最前端把「语音字节 → 文本」归一并写回 msg.Content；
inbound.go 的丢空判据放宽为「无文本且无可用媒体」。
微信优先平台自带转写（Content 非空 ⇒ 不调 ASR，不重复付费）。
降级（主人定的两层）：新增 voice/outcome.go 的 STTOutcome 识破静默档位；
errors.go 分类鉴权失败/欠费/限流（CircuitWorthy）；voice_breaker.go 临时熔断 + 退避（TTL 恢复）；
无论是否熔断，消息面都落一行中文诚实提示（绝不静默、绝不留空消息）。
独立短超时：VOICE_STT_TIMEOUT_SEC（默认 20s，同步 .env.example）。
kook 不再把 CDN 地址写进 Content（地址仍在 Media[].URL）。
设计先行：design/06 §1.1/§1.2、design/08 §4.1、design/24 §1.3/§4.2、开源对照清单。
变异 5 条（静默档位不带 Cause / Transcribed 误判 / 熔断恒放行 / ChatText 退化 / 平台文字判据取反）。
诚实边界：实施时官方音频规格尚未抓到 ⇒ MaxVoiceBytes 自定 5 MiB（保守）、采样率仍 16 kHz；
官方规格随后已抓到（10 MB / 5 min；格式含 amr、无 silk），对齐留待下次改动。
 2026-10-05 08:32:37 +08:00
AskaEth be38651ba4 feat(llm): 用量落库 + 只读汇总端点 + 面板用量小卡（契约 v0.64）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- model 层新增可选 UsageSink（nil ⇒ 逐字不变，既有用例零改动）
- 组合根注入 UsageWriter：有界队列 1024 + 单写者 + 批量事务（128/批、2s 兜底），
  队列满丢弃 + 限流 WARN，绝不阻塞模型调用；sink 挂 RuntimeLLM（热重载不断）
- 迁移 0017：表 llm_usage（13 列，session_id 可空）+ idx_created_at + idx_session_id
- 新端点 GET /api/v1/admin/llm/usage（owner|admin 读；缺省近 24h、上限 90 天、
  超限 400 不静默裁剪；hitRate = cacheHit/(cacheHit+cacheMiss)，分母 0 ⇒ 0；
  绝不含凭据与正文；未接线/查库失败 ⇒ 500 usage_unavailable）
- LLM_USAGE_RETENTION（默认 720h，≤0 = 关闭清理）：启动清一次 + 每小时
- 面板 LLM 页「用量（近 24h）」小卡 + Docs 两份同步 v0.64
- 已知缺口（如实登记）：session_id 恒 NULL，需 loop 侧在请求上打标，留列后接
 2026-10-04 22:16:26 +08:00
AskaEth c1fa1e9b9a feat(admin): 面板「重置为 env 默认」动作（materialize 的反方向）+ 契约 v0.62
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 语义：只把 .env **确实声明过**的键覆盖回 env 值；env 未声明的键（fallback/multimodal/maxTokens/reasoning/personaModels）原样保留；**组集合不增减**（不复活被面板删的组、不删面板新增的组）；无键可改时不写盘。成功即热重载 LLM 栈。返回 {reset:[{group,keys}], skipped:[{group,reason}], path}，**只回键名、不回显凭据值**。

- 护栏：必须 confirm:true（缺失/false/非法 body ⇒ 400，且**先于任何读写**）；**owner-only**（与同页 POST /admin/llm、/admin/llm/test 同门 —— 这是破坏性写，门不比同族更宽）；审计动作 llm.resetFromEnv（camelCase，全仓多词动作的既有约定）。失败路径明确报错（env_defaults_unreadable / models_unreadable / llm_unavailable），不假成功。

- 组合根注入 Deps.EnvPath（网关不 fopen .env）：请求时按既有解析入口重读，语义 =「退回 .env 现在声明的默认值」；.env 层里的 provider 是同义反复，不计入「env 为该组声明了什么」的判定（有专门用例）。

- 前端：LLM 页「重置为 env 默认」卡片（中文二次确认 → 提交 → 按 reset/skipped 渲染 → 成功后重拉配置），标签 owner 专属（与 System.tsx 同款）。

- 契约 v0.62：api-client（权限矩阵改回 12+10+38=60、端点表 9b、重置契约小节、写操作契约、changelog、banner）与 api-reference（端点表 #70、§5.13a 详情含 curl、§8.2/§8.3/§8.4）同步；字段名三方逐字对齐。

- 主会话独立验收：隔离 worktree（R1 的 19 文件）build/vet 绿、gateway+config 三包绿、R1 用例 10 PASS、reset_from_env 残留 0；**变异亲自复现**（去掉 confirm 校验 ⇒ RequiresConfirm 红：status = 200, want 400，且响应体显示面板配置真的被改）。

- 子代理自报并已处理：测试文件触 500 行上限 ⇒ 拆成语义侧 + 护栏侧两份；门改回 owner-only 后前端标签会误导 admin ⇒ 改「owner 专属」并重建 bundle。任务书本身仍是旧口径（owner|admin / snake_case）—— 已由主会话登记修正说明，避免压缩后有人按任务书回退。

- 未做（诚实边界）：不支持按组重置；不纳入 channels.json/plugins.json；不自动重启（contextWindow 的预算推导仍只在启动时算一次）。新端点需下一次 build+restart 才在 :10942 生效。
 2026-10-04 21:33:11 +08:00
AskaEth 3ba31b58ff feat(documents): 引用计数 + 文档/侧车 GC（主人 2.2 裁决；S7）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 引用计数真实维护（documents 表唯一写入面）：增减点只有四处 —— history 的 insert / UpdateMessageDocument / DeleteMessage / DeleteSession，且**全在同一事务**内（计数写失败 ⇒ 消息写入整体回滚，有钉住用例）；UpdateMessageDocument 按新旧名字**集合差**增减（三阶段回写是常态，重算会重复计数 ⇒ 文件永远回收不掉）。

- GC：候选 = ref_count = 0；判据 = last_referenced_at（NULL 回落 created_at）早于 now − 保留期；动作 = 删 sidecar + 原件 + 元数据行（删行带 AND ref_count = 0 原子再确认）；路径双检；汇总日志（含实占字节）；单件失败 WARN 并继续；删除顺序 = 先文件后行（失败则行留着下轮重试，不留孤儿）。

- 组合根：启动期清扫一次（不阻塞启动）+ ticker 常驻（可停，close 顺序在关库之前）；env DOCUMENT_GC_INTERVAL 默认 1h / DOCUMENT_RETENTION 默认 168h，**任一 ≤0 = 关闭 GC**（RETENTION=0 不解释成立即回收，关闭时记 WARN）；.env.example 已同步（AGENTS §10）。

- 主会话独立验收：隔离 worktree（S7 的 18 文件，排除 F2 在途的 mcp/vision）build/vet 绿、全树 59 包 0 FAIL、GC/引用用例 20 PASS、双平台交叉编译绿；**变异亲自复现**（候选查询去掉 ref_count = 0 ⇒ TestGCDoesNotDeleteReferencedDocument 红：candidates = 1, want 0）。

- 未做（任务书允许的「只做后端」）：面板手动「清理未引用附件」入口 —— 后端能力已就绪（documents.NewGC + GC.Sweep），接成端点属小切片（含 admin 路由 + 审计 document.gc + 契约登记）。

- 已知窄窗口（已在 gc.go 文件头登记）：一轮 GC 与一次落库几乎同时发生时可能删掉刚被引用的文件（行不删、记 WARN）；坏 document 列只记 WARN 不阻塞消息写入 ⇒ 计数可能偏低（只会让文件**晚**回收，绝不早删）。
 2026-10-04 21:01:30 +08:00
AskaEth 137b3e9eaf fix(guardrail): 输入上限与附件注入预算统一换算（多附件不再被拦）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 残留缺口：护栏量整段装配请求（字符），注入预算是单份 ⇒ 1M 窗口下 2×349525 就顶到旧上限 699050、5 份必被拦。根因是两套换算（上限按 1char=1token，注入按 loop 的 4char=1token）。

- 修法：上限 = max(262144, 推导预算 tokens × loop.CharsPerToken) ⇒ 1M 窗口 2,796,200 字符（5 份满额注入 1,747,625 有余量）；不变量升级为「N 份」（maxChatDocumentsPerTurn=5，带出处注释）；WARN 文案升级为多附件口径（max_documents/document_inject_chars/document_inject_total_chars/guardrail_max_input_chars/hint）。

- 同一换算常量复用：在 loop/compactor.go 的既有无导出常量旁加导出别名 loop.CharsPerToken = charsPerToken（2 行、零行为改动、不重命名）—— 这是本切片唯一触及「不要碰」清单的改动，已由主会话复核接受（替代方案是复制一个字面量 4，会重新造出两套换算）。

- 同步陈旧注释（config/guardrail.go、wire_runtime.go 里的旧公式）与 .env.example（新公式 + 多附件口径 + 1M 算例 2796200/1747625），并有「模板 ↔ 代码现算值」的一致性用例。

- 主会话独立验收：隔离 worktree（G2b 的 7 文件，排除 B1/ST1 在途）build/vet 绿、全树 59 包 0 FAIL、护栏用例 17 PASS、双平台交叉编译绿。

- 残留（未修，需裁决）：预算关闭或落在 (0,81920) token 的部署，派生态上限 = 262144 而 5×64K = 327680 ⇒ 满载附件回合仍可能被拦（启动会记 WARN，不静默）；真正的下限应取 max(262144, maxDocs×每份注入)。
 2026-10-04 19:41:44 +08:00
AskaEth 51c1672355 fix(guardrail): 输入护栏上限按推导预算派生（修「大附件被拦死」）+ 第 5 条 flake
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 真 bug：文档注入预算（1M 窗口 ⇒ 349525 字符）> 输入护栏硬编码上限（262144）⇒ 带 744KB 附件的 POST /chat 直接 input_length_exceeded/guardrail_input，整个回合作废（主会话活服务实测）。

- 修法：guardrailMaxInputChars → guardrailMinInputChars(256Ki 下限) + 纯函数 deriveGuardrailInputLimit(log, override, budgetTokens, docInjectChars)：派生值 = max(下限, 推导预算 tokens)（1M ⇒ 699050）；新增 env GUARDRAIL_MAX_INPUT_CHARS（未设/0=派生、>0=覆盖、<0=WARN 回落）；预算只在 wire_context 推导一次并经 buildGuardrailPipeline(ctxBudget) 传入（避免「窗口未声明」WARN 记两遍）；输出上限 65536 刻意不参与派生（有显式回归钉住）。

- 关系不变量：文档注入预算 ≤ 输入上限，人为破坏 ⇒ 一条 WARN（不静默）。

- 第 5 条 flake（exec/TestTerminal_Timeout_Killed）：仅改测试、terminal.go 保持 pristine；根因不是「杀进程失效」而是旧断言的 ~200ms 精度把宿主负载下的进程创建耗时算了进去（重压下 cmd.Start 会直接返回 deadline exceeded，红行却报 process not killed）⇒ 改为「控制组证明同命令不设短超时正常退出」的确定性证明 + 把墙钟断言降级为 10s 语义判别界（子进程自然存活期拉到 30s）。

- 主会话独立验收：隔离 worktree（G2 的 10 个文件，排除 M1 在途的 wire_channels.go）build/vet 绿、全树 59 包 0 FAIL、双平台交叉编译绿、Guardrail* 全 PASS、exec -count=20 绿；变异独立复现（把派生值退回硬编码 ⇒ 4 条红，含 budget=699050 → 262144）。

- 残留缺口（已排 G2b）：护栏量的是整段装配请求、注入预算是单份 ⇒ ≥2 份各撞注入预算的大附件仍可能被拦。
 2026-10-04 19:15:12 +08:00
AskaEth 72b95df22b feat(config,runtime): 上下文预算按模型窗口推导 + usage/缓存可观测 + sidecar 存全文（T1）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 窗口声明：models.json 组级 contextWindow + env LLM_CONTEXT_WINDOW（per-group materialize 播种，0 不写盘、负数报错）。

- 预算三态：CONTEXT_MAX_TOKENS 未设置 ⇒ 按窗口推导；>0 显式覆盖；0|负 关闭压缩（不变）。推导 budget = min(窗口×比例, 窗口−输出保留)，比例默认 2/3（CONTEXT_BUDGET_RATIO，1M ⇒ 699050 tokens ≈ 683Ki）；输出保留 = max(32768, 该组 maxTokens) 且封顶窗口/2（防配置矛盾时退化成 1 token）；窗口未声明 ⇒ 回落 131072 + 恰好一条 WARN。接线在组合根 wire_context.go（唯一决策点）。

- usage/缓存可观测（此前**完全不可观测**）：Response 增 CacheHit/CacheMiss/Reasoning tokens + CacheHitRate；解析 OpenAI 兼容（prompt_cache_hit_tokens/prompt_cache_miss_tokens/cached_tokens/reasoning_tokens）与 anthropic（cache_read_input_tokens/cache_creation_input_tokens）两种形状；记录点在适配器 record（换入口不丢成本日志），日志无凭据；单次输入 ≥预算 90% 记 WARN（不阻断）。

- 根治清单「续读」假承诺：抽取期不再按注入预算截断（sidecar 存全文，只受 MaxSidecarBytes=8 MiB 安全上限，ExtractorVersion v1→v2 旧 sidecar 失效重抽）；注入预算改在装配期生效 ⇒ ref.Chars/Truncated 是注入侧事实、游标真是继续读的起点；document-read 的 limit 上限改为独立具名常量。

- 顺手修越界：config.go 505 行（超 500）拆出 llm.go。

- 主会话独立验收：隔离 worktree（HEAD + 本切片 39 文件，排除在途 gateway）build/vet 绿、全树 59 包 0 FAIL、linux+darwin 交叉编译绿；变异独立复现（比例改 0.25 ⇒ 推导用例红 262144 vs 699050）。
 2026-10-04 17:57:08 +08:00
AskaEth 407c934a05 feat(gateway): 文档存储端点 POST/GET /api/v1/documents（design/24 S1） 
- 字节嗅探唯一裁决 + 扩展名白名单 deny-by-default（23 个文本/代码扩展名）；
  客户端 Content-Type 与文件名只作参考、可被否决。
- 内容寻址落盘名 sha256[:32]+ext ⇒ 同字节同扩展名天然去重；首次 201/deduped:false，
  命中 200/同一 name/deduped:true。
- 独立限额 CHAT_DOCUMENT_MAX_BYTES（默认 20 MiB，与图片 5 MiB 刻意解耦）+ MaxBytesReader。
- 读侧 Bearer owner|admin + Content-Disposition: attachment + nosniff（与图片读侧刻意不同）；
  写侧审计 document.upload；错误码 unsupported_media_type/document_too_large/document_not_found。
- 元数据表 documents（0014，含 idx_documents_name 唯一、idx_documents_sha256）；
  guardDocumentPaths 防路径穿越（否则 ServeMux 会 307 泄漏路径）。
- 既有 /api/v1/upload 与 /api/v1/files/{name} 零改动（upload.go 零 diff）。

验收（主会话独立复跑，非自报）：隔离 worktree（HEAD + 本切片）go build/vet 绿、
全树 58 包 0 FAIL、linux/amd64 + darwin/arm64 交叉编译绿、9 条新单测 PASS。
变异独立复现 3 条：白名单加 ".js" ⇒ 415 用例红；嗅探裁决一律放行 ⇒ 谎报类型用例红；
摘掉 guardDocumentPaths ⇒ 穿越用例红（307 重定向，正是那道防护存在的理由）。
 2026-10-04 17:07:20 +08:00
AskaEth 910d154d35 feat(config,cyrene): .env → 面板配置的启动期 materialize（主人裁决：面板是一等来源，.env 退回入口/播种）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 主人原话：「.env 只是基础入口，生产环境下应该在每次启动进程时从 .env 把变量（包括后续更新过的）
  写入面板专用配置文件，而不是仅依赖 .env 这个脆弱的文件。」⇒ 根治「每加一种能力就再加一个 env 键」
- 规则（主会话裁定，已写入 02 回执）：
  · **组集合**：面板配置非空 ⇒ 完全由面板决定（env 不新增/不复活被删组/不重排）；缺失/空/[]/null ⇒ 由 .env 播种（＝今天 env-only 行为）
  · **键级**：面板缺 provider/baseUrl/apiKey/model 某键 ⇒ 用 .env 补；**面板已有该键（含显式 ""/null/false）⇒ 面板优先，绝不覆盖**
  · 判定用原始 JSON 的**键存在性**（故显式空值也算声明）；`len(Filled)==0` ⇒ 一个字节都不动（幂等）
  · 面板不可读/解析失败/补齐后不合法 ⇒ **不覆盖原文件**（保人工可救），只 WARN；写盘失败不阻断启动
  · 带 omitempty/omitzero 的 fallback/multimodal/reasoning.kind **不在补齐表内**（面板清空与未声明字节相同，
    补回会撤销面板操作）；它们仍以面板为准、文件缺失/无效时由 .env 兜底
- 落点：`internal/config/runtimeconfig/materialize.go`（导出 Materialize + 诊断 Result/Fill）+ 组合根
  `cmd/cyrene/models_materialize.go`，在 `NewRuntimeLLM` **之前**跑一次（**不在热重载路径上**，否则面板刚清空的键会被立刻补回）
- 复核：build/vet 绿 + 全树 `go test ./... -count=1` 全绿 + linux/darwin 交叉编译绿；6 条真断言
  （面板值胜出且字节不变 / 缺键补齐并落盘 / 被删组不复活 / 五态播种 / 幂等逐字节相同 /
  multimodal 回归两路径）；**4 条变异反证**（一律 env 覆盖、只首启播种、组集合由 env 决定、无可补也重写）均已逐字节还原；
  另加端到端：`.env`→启动补齐→真 NewRuntimeLLM→真面板写路径改成 panel-model→再启动 ⇒ 仍是面板值
- 契约面：REST/WS/admin 零变更（只改本地面板配置文件 models.json 的语义）；待落 Docs v0.59 一条
 2026-10-04 16:39:33 +08:00
AskaEth 4adfc9a2df feat(config): 新增 LLM_MULTIMODAL —— 让 env-only 部署能声明「主模型自身能收图」（默认 false，行为不变）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 起因（Android 会话质询）：其测到生效配置 multimodal:false 却与 DeepSeek 视觉文档矛盾。核实结论：
  **既非设计选择也非漏配，而是 env 路径的表达力限制** —— `data/models.json` 不存在 ⇒ 走 `GroupFromEnv`，
  而它此前硬编 false（理由：不得声称端点可能不具备的能力）；该标志的正式载体只有 models.json 组（面板写入）。
  后果：env-only 部署里图像**恒走 KindVisionTool**（每回合多一次完整模型调用 + 模型只见文字描述＝有损）。
- 修法：`LLMConfig.Multimodal`（`env:"LLM_MULTIMODAL" default:"false"`）+ `GroupFromEnv` 两个 provider 分叉都接入；
  **只对 env 合成组生效**（有有效 models.json 时组文件优先，与 LLM_REASONING_KIND 同口径）；非 bool **启动报错**不静默
- 复核：config 包测试绿（5 条：默认不变 / 显式 true 生效且组仍 Validate / 进程 env 端到端 / 非法值 fail-fast /
  组文件优先两方向）；**变异 3 条**（分叉写死 false、default 改 true、env 覆盖组文件）均已还原
- 交付给主人的动作：**在 `.env` 写 `LLM_MULTIMODAL=true`** 即可让图直进主模型上下文（改完需重启后端生效）
 2026-10-04 16:30:25 +08:00
AskaEth c96a7db7f1 feat(gateway,config,web,docs): backthink 实时帧显示打扰原因 + 图片上限可配 + api-reference 端点表补齐
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 前端：`lib/wsParse.ts` 的 `parseBackthinkItem` 现在也读原始 `PushResult` 的 route/detail/bypassed（兼容
  camelCase），与历史 DTO 路径**同名同义**（空串 → undefined、未报告的 bool 不编成 false）；
  Backthink 页 Notice 改为如实描述。证据＝用后端两条路径的**真实序列化**喂同一个 PushResult 做逐字段比对
- 图片上限可配：`CHAT_IMAGE_MAX_BYTES`（默认 5242880 = 与 /upload 同口径；**未配置/0/负 一律用默认**，
  不存在「禁用上限」）；删掉重复的字符常量，换算只留一份 `chatImageCharsFor`；补 3 条用例
  （默认值==upload 预算、配 1 MiB 真生效且只有合法那条驱动回合、非正值回落默认）
- `Docs/api-reference.md`：§1 端点表按 `routes.go` **补齐**（auth refresh/logout、upload、files、三支 audio、
  /admin/plugins/installed、/admin/llm/catalog、observability/logs、notifications、owner-profile、reminders），
  既有编号一律未动（保交叉引用）；两张 `historyMessage` 字段表补 `personaId`（+ `clientMsgId`）；
  修正 §8.1「主人档案保存仍 501」与实现不符（已真实实现）
- 复核：build/vet 绿 + gateway/config 包测试绿 + 前端 tsc 0 错 + vite build 成功
- 登记：§1 各表的编号跨表重复（不重编号以保交叉引用）；`admin_plugins.go:217` 注释写错鉴权档（未改）；
  §6.4 的 WS 事件帧表仍未补全
 2026-10-04 16:24:36 +08:00
AskaEth da3a386daf feat(cyrene,config,loop): 护栏/压缩/身份知识三条落地（P0-5/P0-10/P0-11）+ 身份注入收窄到主人会话
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- P0-5 护栏不再是空壳：挂 WithSensitiveInfo(阻断) + 长度上限(输入 262144 / 输出 65536 字符，依据＝
  组装完成的请求体量级与「不误伤正常对话」) + 关键词**仅在配置时**挂；正常对话有用例证明放行
- P0-11 上下文压缩默认启用：CONTEXT_MAX_TOKENS 默认 32768（＝loop.DefaultMaxContextTokens，两常量由测试锁死），
  0/负 = 关闭（行为退回接线前）；长对话真压缩且摘要消息进请求首位、最近一轮保留
- P0-10 身份说明书（owner.yaml identityFile）注入人格上下文，并且**收窄为仅主人会话**：
  · 新增最小钩子 loop.Options.PersonaKnowledgeFor(env)：**按该轮会话环境**解析（不看提示词、不看会话 id），
    块只进每轮视图、**不进 messages**（不进 checkpoint、不进记忆提取面）
  · 开关 OWNER_IDENTITY_INJECTION：owner_only(默认) / always(仅自测) / off；非法值与读不动 → WARN + 回退默认（不静默）
  · **顺手关掉第二条同型泄漏**：channelbridge 群聊参与度判定器的 PersonaPrompt 此前带身份正文 ⇒ 现改为纯人格指令
  · 回归：缺文件/目录/未配置逐字节等于旧输出；静态指令与角色池 Instructions() 全不含正文；
    文件里点名的陌生账号仍 IsOwner==false（身份知识绝不参与权限判定）
- 复核：build/vet 绿 + cmd/config/loop 包测试绿；四类断言（主人含 / **群聊与陌生人不含** / always·off 两档 /
  回归不变）+ 4 条变异反证（含把判定改成恒真 → 提示词里真的出现身份说明书）均已还原
- 未做（登记）：knowledge 块启动时读一次（改文件需重启）；`.env.example` 的 OWNER_IDENTITY_INJECTION 行随后补；
  `internal/user/owner.go` 注释与 design/01 §2.2、design/11 §0 待同步
 2026-10-04 14:30:26 +08:00
AskaEth a398dc9b92 feat(config,gateway,web): 路径式安全入口 ADMIN_PATH + 数据目录 platform 哨兵（裁决 1.6/16.4.7/12.4.2 + 1.5/12.4.3 核对）
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- 1.6 + 16.4.7：安全入口＝路径式 `/<ADMIN_PATH>`（env `ADMIN_PATH`，默认 `admin`；`xxx/admin` 亦可，
  非法值回退 `/admin`）。命中前缀 → 送注入了 `<base href="/">` + `window.__CYRENE_ADMIN_ENTRY__` 的面板入口页
  （深链直达）；**形如面板入口但前缀不符 → 404**（不回落用户端聊天壳）；`/api/*`、`/ws`、webhook 先放行
  ⇒ **API 不藏**。前端路由改**路径式**（`router.ts` 只读注入，无硬编兜底；移除 hash 入口）
- 1.5 / 12.4.3 核对：暴露面默认 `0.0.0.0` 与裁决一致，无需改代码（仅补注释）
- 12.4.2：`DATA_DIR` 支持 `platform` 哨兵（大小写不敏感）→ 平台标准目录；默认 `./data` 与显式空值行为不变
  （显式空值保持原兜底，避免正在运行实例突然换库）
- 复核：build/vet 绿 + config/gateway 包测试绿 + linux/darwin 交叉编译绿；新增 7 条用例，
  并用真实构建产物（`webui.Assets()`）跑通「浏览器直开 /admin 能启动面板」（`<base>` 必须在资源引用之前）
- 变异 2 条（关掉错前缀 404 / 前端默认前缀兜底）已还原
- ⚠️ 运行时序：前端已生效而后端 hatch 未生效期间**面板打不开** ⇒ 需紧接一次「build 到位 + restart」
 2026-10-04 14:00:25 +08:00