AskaEth/Cyrene_v2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
790 Commits 7 Branches 0 Tags
c9da488749dddd186834b28bebf14f850c0d2001
Commit Graph
790 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
AskaEth c9da488749 refactor(loop): extract speak voice backfill into applyBatchVoice (M57) 2026-10-27 21:33:05 +08:00
AskaEth 39ae883a4e test(loop): cover the speak tool and Result.Voice (M57) 
speak_tool_test.go pins the leaf behaviour: budget formula, extension
whitelist, argument validation, and the success/timeout/no-audio/store-failed
paths, plus the model-surface advertisement and append-once rule.

voice_result_test.go pins the outbound chain end to end: captureVoice's three
states and its last-success-wins rule, a full turn where speak is advertised,
executed through the injected synth/store and lands on Result.Voice, the
degraded turn that still answers in text, the unwired turn that keeps the
surface byte-identical, and the store adapter the wiring will use.
 2026-10-27 21:22:20 +08:00
AskaEth 1347a77d33 feat(loop): wire speak tool into the loop (M57) 
- speak_tool.go: the speak tool itself — rune-derived timeout budget, structured
  failure codes, persona/emotion stamped on the synthesis ctx, audio persisted
  through the store seam, structured result for the model.
- voice_deps.go: the wiring seam (VoiceSynth / VoiceStore + VoiceStoreFunc
  adapter), voiceEnabled, withSpeakSpec (appended after every schema shrink),
  and captureVoice (success beats failure, last one wins).
- options.go / loop.go: VoiceSynth, VoiceStore, SpeakBudget injection points.
- request.go: advertise speak on both toolSchemas return paths.
- tools.go / tools_invoke.go: carry the batch voice outcome; split invokeOne /
  emitToolExecution / spanStatusForToolPhase / invokeParallel into their own
  file (tools.go was at the 500-line ceiling) and let speak run without a
  dispatcher.
- run.go: keep the voice outcome across tool batches (a later batch without
  speak must not erase it).

Known, deliberate: speak bypasses the capacity allow-set and skill-round
narrowing (it belongs to no built-in toolset), so it is also advertised in
quiet/awake; execution still passes the tool security gate, where speak is not
registered and non-owner actors are denied fail-closed.
 2026-10-27 21:22:14 +08:00
AskaEth f84a358e30 feat(loop): add OutboundVoice result type for speak tool 2026-10-27 20:22:12 +08:00
AskaEth 07df06b86d Merge branch 'feat/b2a-browserexit-redact-browser-exception' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 22:27:21 +08:00
AskaEth b040f588b2 fix(browser): M53 追加 Chrome 输出预览打码 
preview() 出镜前过 trace.RedactTextLimited(600 rune)，覆盖失败日志的 chrome_output 与 withChromeOutput 追加给调用方的错误串；补凭据形状/原话可见/有界三条测试，删实现可打红。
 2026-10-26 22:19:31 +08:00
AskaEth e8bc8727da Merge branch 'feat/b2c-hostredact-vision-hostof-and-tts-red' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 22:15:21 +08:00
AskaEth b626b3f5c0 Merge branch 'feat/b2d-weixinname-send-md-name-redact-and-l' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 22:11:58 +08:00
AskaEth 50cc60d019 Merge branch 'feat/b2b-judgetext-redact-judge-reason-sensit' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 22:11:05 +08:00
AskaEth a1c9da6e8a test(voice/tts): pin fragment-before-query in redactURL fallback 
Review r1 P2-01: the only fragment case had '?' before '#', so degrading
stripURLQuery to cut '?' alone stayed green and the '#'-first branch was
unpinned. Add a scheme-less '#access_token=...' case (OAuth implicit
flow shape) and correct the mutation comment to state which case each
mutation actually kills.
 2026-10-26 22:11:01 +08:00
AskaEth e39cc5d096 fix(weixin_ilink): drop user file name from media failure log; fix TestLogin_LogRedaction data race 2026-10-26 22:00:09 +08:00
AskaEth 5a69d6e0ff fix(automations): redact reminder message before logging 2026-10-26 21:58:31 +08:00
AskaEth 8058660537 fix(browser): M53 两条页面侧自由文本出口收敛脱敏 
- Page.navigate 的 errorText 是**协议枚举**面（net error 码）：先剥 `net::`
  命名空间再交给 trace.ErrorToken，像枚举就原样保留、散文一律丢弃只留字节数；
- Runtime.evaluate 的 exceptionDetails.text 是**页面自由文本**面：压平空白
  （防日志行伪造）+ trace.RedactTextLimited 按 200 rune 截断（档位理由见
  errtext.go：80 会截断真实异常消息，4096 等于允许页面塞 4KB 正文）；
- 两类守卫不互换（口径见 trace/errortoken.go 的按字段类别判定），清洗实现
  仍只有 trace 那一份，本片只做「选哪一道 + 补形状前提」。

测试：出口 A/B 各一条经 RenderText 的真实路径断言（含 URL/凭据形状的假文本），
外加 net::ERR_* 正向保留、上限截断/换行压平、netErrorCode 形状表。三条泄露断言
已验证「退回原样直吐即红」。
 2026-10-26 21:57:48 +08:00
AskaEth e0793debc3 fix(restrict): redact sensitive param summary before it reaches audit/panel 2026-10-26 21:55:25 +08:00
AskaEth 28a6cd7e53 fix(voice/tts): strip query from scheme-less URLs in redactURL 
redactURL's fallback returned the raw string when url.Parse found no host.
A scheme-less BaseURL (127.0.0.1:9880/v1?token=...) fails to parse, so the
signed query reached the WARN log and the error chain verbatim. Strip at
? and # in that path, keeping the '@' full-redaction rule first.

Test pins the scheme-less query/fragment cases and goes red if the fix
is reverted.
 2026-10-26 21:54:21 +08:00
AskaEth 5099c21520 fix(audit): redact judge reason before it reaches logs and the panel 
判定理理由（verdict.Reason）是模型自由文本，判定器会把它在参数摘要里看到的
凭据原样抄进理由，而这条理由要进审计日志与前端小字两个读面。cleanReason
在收敛空白/截断之后统一过 trace.RedactText（80 rune 档），与其余出图文本
走同一套清洗；maxReasonRunes 退化为「进入清洗前」的上限，避免在无界文本上
跑凭据匹配。
 2026-10-26 21:52:44 +08:00
AskaEth a5b3d40a74 fix(vision): report only URL origin when an image source is rejected 
fetchURL echoed the whole raw URL (path, query, userinfo) in the
ErrUnsupportedSource message, so a rejected source carrying a signed
query leaked it into logs and tickets. Route the URL exit through
trace.HostOf and fall back to a placeholder instead of the raw string.

Test pins origin-only output and goes red if the fix is reverted.
 2026-10-26 21:52:19 +08:00
AskaEth d47185feb8 docs(contract): v0.97 voice WS frames + TTS autolaunch + upstream error safety
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
- voice 进 message_persisted/channel_persisted 首帧与握手回放（M44 fb55769，
  INSERT→写列→notify；两条实现前提进契约）
- emotionTTS 自启默认关（M47，voice-tts-launch.json，probeUrl 单向兜底）
- UpstreamError 构造即安全：code/type 固定令牌守卫、message 默认缺席
  （M49/M50，一处行为变更如实标注）
- U6 双凭据门明示（Bearer JWT 或 X-API-Key，既有能力非新增）
- 改正 14 处「WS 帧不带 voice」假话 + 旧横幅加注；尾注 v0.82→v0.97
 2026-10-26 21:44:44 +08:00
AskaEth 656c35f1e8 Merge branch 'feat/m51-lastexits-close-remaining-upstream-f' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details 
# Conflicts:
#	internal/runtime/trace/errortoken.go
 2026-10-26 21:25:48 +08:00
AskaEth 921938d084 Merge branch 'feat/m52-urlcausesweep-sweep-url-error-direct' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 20:03:29 +08:00
AskaEth 76263d42ed fix(upstream): M51 复审 p2 三条 —— light.go 同形出口 / MCP SDK 日志面 / ErrorToken 口径 
① light.go 的 2 处 "light judge: " + d.Reason 与 engage.go 同形（model reason →
返回值 → coalesce_prepare 的 Debug）。把上一轮的 engageReason 提成包内共用的
judgeReason（judge_reason.go，RedactTextLimited + strings.Fields，60 rune），
engage.go 7 处 + light.go 2 处 + notice.go 的 "notice review failed: "+err.Error()
统一走它。控制流零改动：只换「进去的那份文本」，判定条件与返回值拼接结构未动。

② MCP 的 Logger 面先探针后修：go-sdk v1.8.0 的 keepalive 会把对端 JSON-RPC error
原样打进日志（实测泄漏，见 sdklog_probe_test.go 的输出），tools/call 路径不打日志。
新增 sdklog.go：redactingLogger 交给 SDK，wire 错误（链上有 *jsonrpc.Error）只留
code + message_bytes（复用 upstreamError），本地错误保留原因，消息/属性压平+打码+300 rune。

③ errortoken.go 的口径注释纠正：从「包外不得调用」改为按字段类别判定（协议枚举可守、
自由文本默认不带），并把 cdp.go 这条 M51 用法作为例子写进去。
 2026-10-26 20:00:57 +08:00
AskaEth 969857682f fix(runtime): M52 把 *url.Error 直打的 19 处换成 trace.URLCause 
model / multimodal / tts / embedding 里所有「把 net/http 的 *url.Error 直接打进
错误串」的地方（M51 清单的 B1 组 17 处 + 清单外的同根因 2 处）统一改走
trace.URLCause：错误串只少一段地址，底层原因、哨兵分类、状态码、重试/降级判据
一字不动。

清单内（17）：
- model/openai.go: Chat / ChatStream 的 NewRequest、doRequest
- model/anthropic.go: chatOnce / streamOnce 的 NewRequest、doRequest
- multimodal/vision/adapter.go: ask 的 NewRequest、client.Do
- multimodal/voice/cloud.go: postJSON 的 NewRequest、client.Do
- multimodal/voice/dashscope.go: download（预签名 OSS 地址）与 dashscopePost 各两处
- voice/tts/client.go: unreachable（返回值与同一行日志的 err 字段都只留原因，
  地址只由 redactURL(endpoint) 出现一次）
- embedding/api.go: embedChunk 的 client.Do、newEmbeddingRequest 的 NewRequest

清单外同根因（2，均为 %w 形态，B1 清单按 %v 搜时漏掉）：
- voice/tts/client.go: speak 的 NewRequest 失败
- embedding/endpoint.go: normalizeEndpointURL 的 url.Parse 失败

测试：5 个新文件 18 个用例，逐处可变异打红（实测：把任一处的 URLCause 去掉 ⇒
对应用例红）；dashscope 预签名地址单独一条用例，并另有一条钉住 403 状态码仍在。
 2026-10-26 19:55:05 +08:00
AskaEth 604f9ebaa9 Merge branch 'feat/m50-envelopesafe-drop-envelope-message-o' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:51:33 +08:00
AskaEth bfbf5057bc refactor(weixin): runLogin 的守卫说明上移到函数头，回到 80 行以内 
复审 r2：runLogin 70 → 82 行越过 AGENTS.md §10 的函数 ≤80 上限。代码行本来
只有 56，超的是 M50 加在循环体内的两段 🔴 说明。把 status/redirect_host 的
出镜口径整段上移到函数头注释（不参与计数），循环体内只留一行指向函数头；
**控制流与守卫代码零改动**。

改后 runLogin = 76 行（全 plugins/channels 最长 79，其余均 ≤80）。
 2026-10-26 19:48:54 +08:00
AskaEth 7fbb8d6232 fix(channelbridge): M51 追加 —— 参与度判定 reason 出镜前打码压平 
Debug 日志与返回值共 7 处（engage.go 222/227/228/231/250/256/257 原行号）此前把
判定模型回的 d.Reason 原样写出：模型可以把 Authorization / sk-… 或换行塞进 reason，
前者进日志就是凭据泄漏，后者能按行聚合的日志里伪造一条新记录。

新增 engageReason（trace.RedactTextLimited + strings.Fields，上限 60 rune）：
- 控制流零改动：分支条件、状态迁移、返回值拼接结构一个字未动，
  只把「进去的那份文本」从 d.Reason 换成 engageReason(d.Reason)；
- 上限 60 rune 的理由写在常量注释里（reason 是一句短语，超过即是在复述群聊原文）。

用例 engage_reason_test.go：PROBING / 跟进 / 回避+无兴趣三条出口，
断言日志与返回值都不含 sk-live…、都含 [redacted]、都不含换行。
变异实测：摘 RedactText ⇒ 三条红；摘压平 ⇒ 三条红。
 2026-10-26 19:47:35 +08:00
AskaEth d6493d79f4 fix(upstream): M51 收敛剩余上游自由文本出口 - CDP/MCP/flowgate/channelbridge WARN 
- channelbridge: 拨号失败的 WARN 不再带原始 dial 错误（含 ?access_token=），
  URLCause 剥壳 + 内嵌地址 MaskQuery 打码 + HostOf 保留目标来源；控制流零改动
- browser/cdp.go: CDP error.message 只有像协议枚举（ErrorToken）才出镜，其余只留字节数
- mcp: 第三方 server 的错误文本默认不带，只留 server/工具/JSON-RPC 码/message 长度，
  分类链（errors.Is/As、context.Canceled）经 Unwrap 保留
- channel/adapter/flowgate: 审查输出摘要由 40 字节改 40 rune（防切 UTF-8）并过 RedactText

四处均补了会随回退变红的用例（变异已实测）。
 2026-10-26 19:44:22 +08:00
AskaEth 1b2576ecaf fix(weixin): 扫码上游字段过令牌守卫，errortoken 契约改写 
复审 p2 两条：

① 第五个出口：get_qrcode_status 的 status 与 scaned_but_redirect 的
redirect_host 此前原样进 INFO；同一 status 经 setPhase 还从复用二维码那条
INFO（phase）二次出镜。三处一律过 trace.ErrorToken；**控制流仍用原值**
（状态机读 status.Status、路由读 status.RedirectHost、confirmingPhase 读
phase），用例同时钉住「日志变空串」与「路由/判定不变」两个方向。

② 顺带补扫出一处 URL 类：get_bot_qrcode 的 qrcode_img_content（上游给的
图片地址，可能是带签名的 URL 或 data: 内联图）原样进 INFO ⇒ 改走
trace.MaskQuery（凭据类 query 打码、保留路径、解析不出 host 回空串）。

③ errortoken.go 的契约改写：原「本包之外不应出现 ErrorToken 调用」已被
M50 的正当调用点证伪。新口径按**字段类别**判定：协议枚举字段（status/
code/type/request_id）可在渲染点调用；自由文本字段（message/description/
msg/wording）不得靠它出镜 —— 那类默认不带，要带必须 opt-in + RedactText。
dashscope 的 request_id 例外一并写入。

每条用例都做了变异验证（去掉守卫 / 把守卫挪进控制流 / 改回原串，均打红）。
 2026-10-26 19:41:28 +08:00
AskaEth 2702777950 Merge branch 'feat/m45-extracttemporal-extractor-temporal-m' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:33:37 +08:00
AskaEth 82e9213804 test(memory): M45 复看 P2 —— 补「temporal 不许被判定读」的源码级断言 + 注释纠正 
P2-1（真缺口）：r1 复看的变异 C 证明「在异步审查侧拿 item.Temporal 改判」当时
**整个 memory 包全绿** —— 已落库的行在异步侧被改判这条口径没有守卫，而异步侧
（applyVerdict / setIngestRetention）恰恰最容易被人随手接线。

新增 TestTemporalIsNotWiredIntoJudgement：扫生产代码（非 _test.go、非注释行）里
所有含 `.Temporal` 的行，逐行要求命中 temporalFieldSites 白名单（校验 3 条 / 产出 1 条，
**片段级**而不是文件级 —— 按文件放行会让同一文件里新写的接线路过），违规时报
「文件:行号: 表达式片段」；同时校验白名单每一条确实命中过，防止它老化成空头许可证。

变异实测（复看给的写法，插在 preinsert.go 的 applyVerdict 入口）：
  --- FAIL: TestTemporalIsNotWiredIntoJudgement
      temporal 被接进了判定（裁决 D：它只许被记录，不许被判定读）…：
          preinsert.go:476: if item.Temporal == TemporalOneOff {
  删掉接线后全绿。

P2-2（文案与 D 矛盾）：store_temporal.go 的归属清单原写「判定在 resolveRetention
（唯一入口，第 4 步）」—— D 之后第 4 步是 N1~N7、没有 temporal 步，那句等于给后来者
指了接线入口。改为：temporal 只被记录、不参与判定；要把 temporal 接进判定必须先拿到
模型真实标签分布，并只能通过 temporalFieldSites 白名单（有意的接线决定）进来。

另按复看提醒：temporal.go 头注里那两条统计 SQL 标明「**运维分析用，不属于读侧代码
路径**」，并写明读侧（timegate 与任何读侧 SQL）明令不许对 created_at/expires_at 用
datetime() —— 那是定宽文本比较，抄进查询层会静默判错。

回归：go build ./... + go vet ./... 全绿；memory/db 包测试全绿；memory -race 38.0s 全绿。
 2026-10-26 19:29:16 +08:00
AskaEth 996201c4ed fix(httpclient): 信封 message 默认不进错误，渠道上游自由文本一并收口 
信封路径（非 2xx + 信封体、2xx + code!=0）此前把上游 message 经 RedactText
拼进 error，而上游会在 message 里回显被拒的请求正文 —— 她的原话因此进了错误
与调用方日志（M49 探针实测：code 1: invalid content: 她刚才说的那句话 ...）。

- envelope message 改为**默认不带**（新 opt-in WithEnvelopeMessage()，与
  trace.UpstreamError 的 message 同一口径）；code 与上游 status 保留，
  errors.Is 的 ErrAPI / trace.ErrUpstream 链不变。
- opt-in 下统一走单一清洗 upstreamText：压平空白 + trace.RedactTextLimited，
  上限 40 rune（比 trace 的 128 短：错误里那句话是提示，不是摘要）。
- plugins/channels 同族出口一并收口（扫过全部，命中 4 处）：
  telegram description、qq_obv11 msg（错误 + logEchoFailure 日志）、
  weixin_ilink CDN x-error-message；qq 的 status 字段改走 trace.ErrorToken
  令牌守卫。被剥掉的一律由 status / error_code / retcode 承担分类。

每条新增/改写用例都做过变异验证（把字段拼回去即变红）。
 2026-10-26 19:28:15 +08:00
AskaEth c7c0294a16 refactor(memory): M45 裁决 D —— temporal 位撤出判定，只保留观测 
按 r1 复审裁决 D：这一位先只做观测，`resolveRetention` 不许读它。理由（实测）：
无条件 one_off ⇒ temp 会当天删 21 条长期约定；只放开 N6 位置判据能翻的 13 条
逐条是约定、而复审点名的三条目标行 0/3 救得了。在「模型真实标签分布」这份证据
缺位时不该做 7 天后物理删的不可逆决定。

撤接线（结论集逐字回到 M45 之前）：
- retention.go：resolveRetention 不再读 item.Temporal；与之对比 dev base
  （af61b8c）本文件**只有注释差异**，规则与判定入口逐字未变。
- extract_retention.go：judgeExtractionRetention 签名回退单参；删除
  judgeRetentionTimepointWide 与 n6_timepoint_wide 规则码。与 dev base 对比
  **同样只有注释差异** ⇒ 「结论集 = 不含 temporal 的那个集合」是结构性的，
  不是靠调用点记得别传。
- 连带取消初版的 durable / recurring ⇒ long（零影响必须是双向的）。

保留观测面（一律未动）：迁移 0027 的列、自举前滚、提取器的 temporal 产出、
prompt 枚举、闭集与 normalizeTemporal、store_temporal.go 的校验/编码。
另外把 prompt 里「标成 one_off 会让它进临时层、到期消失」这句**撤接线后已是假话**
改成中性标注说明 —— 否则会诱导模型避开 one_off，观测数据直接被污染。

测试：
- TestTemporalBitDoesNotAffectRetention —— 4 类语料 × 5 个取值，(档位,规则码)
  与未分型逐字相同（核心正断言）；
- TestTemporalOneOffDoesNotMakeAnythingTemporary / ...DoesNotRescueRuleHitRows
  —— 零影响的双向点名；
- TestTemporalIsStillRecorded —— one_off 的约定行仍落 temporal='one_off' 而档位
  long、expires 空（观测在、判定不动）；
- TestTemporalDoesNotTouchExplicitTierOrRestrictedSource —— 人工入口与受限来源不变。
变异实测：把 `if item.Temporal == TemporalOneOff { return temp }` 插回
resolveRetention ⇒ 上述四条用例全红（FAIL 输出已贴给塔），恢复后全绿。

IngestRuleVersion 保持 d3.5，注释改准为「记录 temporal 信号，但不参与判定」
（留痕面变了：库里多了「模型当时标了什么」这一维，回退会让新旧留痕混在一起）。

P2 三条保留：store.go 500 行（拆 store_temporal.go）、temporal.go 头注（'' 的口径
+ 两次被否的接线方案 + 接线前必须看的那两条统计 SQL）、报告语境段。

回归：go build ./... + go vet ./... 全绿；memory/db 包测试全绿；memory -race
38.2s 全绿。
 2026-10-26 19:21:24 +08:00
AskaEth 3a0cc64160 Merge branch 'feat/m49-upstreamsafe-move-token-guard-into-t' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:18:39 +08:00
AskaEth 3b9ae3f918 refactor(memory): M45 r1 复审返工 —— temporal 位只放开 N6 位置判据 
按 r1 复审裁定（p1-3items / fix-then-merge）重做三处：

P1-1/P1-2：删掉自造的六条语义安全阀（temporalSanityVeto）与约定词表
（retentionStatesAgreement）。理由被复审用两条生产行否证：它们既把该救的行
杀了（「…睡得比平时早」被习惯词、「…以后不用再惦记」被永久化标记），又挡不住
同义异形的约定（说定 / 约了）。现在 `one_off` 的全部作用是**放开 N6 的位置判据**：
judgeExtractionRetention 新增 temporal 入参 → judgeRetentionTransient →
judgeRetentionTimepointWide（位置内命中仍返 n6_timepoint，只有靠放开位置才命中
才返新增的 n6_timepoint_wide，供观测区分）。N1~N5、N7、护栏①②、N6 的 1~7 条
语义安全阀一字不动；durable / recurring 仍直接判 long（fail-safe 方向）。

P1-3：上界口径改为「时点词存在 ∧ 语义安全阀全过 ∧ 当前 long」——不依赖任何
标注，可逐条列出。实测（生产库只读副本，快照 2026-10-26）：最近 500 条 active
能翻 13 条、**逐条都是「约定 + 今天没走成」**；全量 3694 条能翻 26 条（13 条
约定 + 13 条状态行）。旧的「句首时点词」口径是同义反复，已删。

已知代价（写进 temporal.go 头注与 TestTemporalOneOffWidenedPositionTouchesAgreements，
不藏在词表后面）：位置窗口今天正是那批约定行的唯一保护，放开后只要模型标
one_off 它们就会判 temp；而复审点名的两条目标行本片救不了（被语义阀挡，与位置
无关）。因此这一位在当前语料上**没有可测收益**，是否保留是产品裁决。

P2-1：store.go 503 → 497 行，拆出 store_temporal.go（哨兵错误 + 字段校验 +
列值编码）。
P2-2：temporal.go 头注改准 —— `''` 是「0027 之前的历史行 + 没做时间性判断的
写入路径（ManualExtractor / 网关手写 / 整理回填，它们由调用方显式给档位）」。
P2-3：报告补语境（retention_tier 非空仅 26 行、temp 1 行、temporal 列当时还不
存在 ⇒ 重放结论对新写入没有预测力）。

测试：验收点 ①~⑤ 按新语义重写；新增「位置放开可打红」的变异靶子与「N7 位置
不放宽」「无时点词时这一位不做事」「两条目标行救不了」「约定行会翻（已知风险）」
五条边界断言。变异实测：unlocksTimepointPosition 改恒 false ⇒ 三条用例红。
回归：go build ./... + go vet ./... 全绿；memory/db 包测试与 memory -race 全绿。
 2026-10-26 19:15:08 +08:00
AskaEth fe3872ee28 fix(trace): 令牌守卫上移进 trace.UpstreamError，构造即安全 
M48 复审的中危 finding：error.type 里的散文经 trace.UpstreamError 原样出镜，
因为守卫加在调用方（M46 的 model/voice 两处），构造函数自己不套守卫 ——
任何新调用点默认不安全，httpclient / vision / embedding / weixin 四条出口一直漏。

- trace.UpstreamError 构造时对 error.code / error.type 各走一次 ErrorToken
  （[A-Za-z0-9_.-]{<=64}，不合规即空串）：默认安全，不是可选加固。
- 构造后注入这条窄路收进 UpstreamErrorInfo.SetCode / SetType（同一道守卫），
  供 DashScope 顶层 code 与 Anthropic 流内 error.type 两处使用 —— 调用方不再
  各抄一份 ErrorToken。
- 删除因此冗余的调用方守卫：model.providerUpstreamError 与
  voice.dashscopeOKBodyError。保留 voice 的 request_id 守卫（它不是 code/type，
  构造函数看不见）。
- 四条漏的出口一行没改，只加用例证明守卫上移后自动安全；摘掉构造函数守卫时
  四条用例 + model/voice 旧用例同时变红。
 2026-10-26 19:13:38 +08:00
AskaEth 4224fc2b12 Merge branch 'feat/m47-ttsspawn-detect-and-auto-launch-emot' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:08:45 +08:00
AskaEth 4e9cd17fbd Merge branch 'feat/m48-urlcauseharden-urlcause-depth-cap-an' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:06:50 +08:00
AskaEth fb55769cd7 Merge branch 'feat/m44-voicerealtime-voice-key-on-realtime' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 19:03:16 +08:00
AskaEth 67d7e4bd1b fix(voice): M47 r2 复审两条 P2 —— 关闭期取消不拉起、非法探活地址不启用 
复审 p2-2items（P2-1 跨进程去重按裁决只报不修）：

(a) **关闭期 ctx 取消 ≠ 没起**：后端关闭时 ctx 被取消，探活返回
`context.Canceled`；原实现把它判成"没起" ⇒ **在关闭过程中拉起 TTS**。
现在按 `errors.Is(err, context.Canceled)` 判为跳过：不记 markAttempt（不消耗
冷却）、不拉、也不 WARN 成故障。探活**自身超时**（DeadlineExceeded）仍是"没起"，
照常拉 —— 两者用 errors.Is 区分，不按文案。新增 OutcomeCanceled。

(b) **探活地址必须合法**：写成 `127.0.0.1:9880`（漏 scheme）会让 http.NewRequest
每次都失败 ⇒「没起」永远成立 ⇒ 每次启动都拉一次进程。新增
`ttslaunch.ValidateProbeURL`（url.Parse + scheme ∈ {http,https} + host 非空）：
- `New` 里校验 ⇒ 不合法即 WARN + 不启用（兜底闸，覆盖任何调用方）；
- 组合根 `validateResolvedProbeURL` 里同一把闸再校验一次，WARN 带
  `probe_url_source` 指明该改哪个文件 —— **baseUrl 兜底那条路也被覆盖**。

顺带按复审记录项 1 修正 `Proxy: nil` 的注释：net/http 本来就不给回环 IP 走代理，
这行真正保护的是 probeUrl 被配成主机名的情况（原注释高估了它）。

用例（均变异验证打红）：
- TestCheck_ParentCanceled_SkipsLaunch：取消 ⇒ OutcomeCanceled + 0 次拉起 + 不进冷却
  （变异：跳过改回"没起" ⇒ Outcome=launched、marker 落地）
- TestCheck_ProbeOwnTimeout_StillLaunches：探活自身超时仍照常拉
- TestNew_InvalidProbeURL_Disables：7 种非法形状 ⇒ 不接单、0 次拉起、有 WARN
- TestStartVoiceTTSLaunch_{ShutdownCancelDoesNotLaunch,InvalidProbeURLStaysOff,
  InvalidBaseURLFallbackStaysOff}：组合根三条，均用真 .bat marker 观察"有没有拉起"
 2026-10-26 19:03:12 +08:00
AskaEth 98e1ae6aa9 fix(model): providerUpstreamError 的 error.type 也过令牌守卫 
同一份上游报文，兄弟出口 streamEventError 守的正是 type，而 providerUpstreamError
只守了 error.code —— 网关/兼容层把回显塞进 type 时会被原样渲染进错误与日志。
两个字段现在用同一道 trace.ErrorToken：不像令牌的变空串，status/code/body_bytes
等诊断面不受影响。
 2026-10-26 19:01:16 +08:00
AskaEth 92b0f89492 fix(trace): URLCause 用层数上限终止，去掉不可比较的 error 比较 
手写终止条件只认「长度 1 的自引用」，于是：
- 两节点环（a.Err=b / b.Err=a）⇒ 死循环，打挂当前请求的 goroutine；
- uerr.Err == err 在两侧动态类型相同且不可比较时 ⇒ panic
  （comparing uncomparable type），同样打挂当前请求。

改为唯一终止条件 maxURLCauseDepth=8：超限返回只含 Op 的替身，不返回当前层
（当前层是 *url.Error，Error() 里就是整条地址，不能为防死循环把地址漏回去）。
正常单层/双层路径逐字不变。用例：两节点环 1s 内返回、不可比较类型不 panic、
自引用仍退化成替身、超限路径无 URL 片段、上限内(8 层)仍剥到内层原因。
 2026-10-26 19:01:15 +08:00
AskaEth 91101dedfb feat(memory): M45 提取器时间性元数据位 temporal 驱动留存判定 
背景（M37 复审的原话）：「真正卡住上游的是提取器的改写：一次性事件被写成
30~80 字的第三人称长期陈述……这不是阈值问题，是判定链缺信息位。」本片补的
就是那一位，不动 N1~N7 的任何阈值。

产出侧
- temporal.go：TemporalKind 闭集（one_off / recurring / durable / unknown，
  空串 = 未分型），normalizeTemporal 只认四个字面值，其余一律归 unknown（绝不猜
  同义词）；提取提示词追加该枚举（模型只负责标注，判定在 Go 闭集 switch 里）。
- llmextractor：候选解析后归一并随 MemoryItem 带出；非法/缺失值不报错、不拖累
  同批其他候选。

落库
- 迁移 0027_memory_temporal（up: ADD COLUMN temporal TEXT NOT NULL DEFAULT ''；
  down: DROP COLUMN，只撤结构、不改写任何行数据）+ NewStore 的自举前滚
  （duplicate column 是预期路径）；Store.Add 的同一笔 INSERT 写该列，判定与
  留痕不分叉。

判定（仍是 resolveRetention 一处收口，judgeIngest 一字未改）
- one_off ⇒ temp（+ expires_at），但先过 temporalSanityVeto 六条语义安全阀：
  显式「记住」/ 在陈述约定 / 习惯词 / 硬性长期事实词 / 永久化 / 状态改变 ——
  命中即不给结论、落回 N1~N7。依据是离线重放的实测：去掉「记住+约定」两条时
  21 条长期约定会被判 temp（4.80%），全开后在最近 500 条窗口内翻转条数为 0。
- durable / recurring ⇒ long 且不再跑规则；unknown / 未分型 ⇒ 落回 N1~N7
  （不许因为「正文看着像今天的事」就判 temp）。
- IngestRuleVersion d3.4 → d3.5（判定结论会变，留痕必须可分）。

验证
- go build ./... + go vet ./... 全绿；go test -count=1 ./internal/runtime/memory/...
  ./internal/db/... 全绿；memory -race 全绿。
- 新增 temporal_test.go（验收点 ①~⑤ + 两条交叉护栏 + 闭集/归一化）与
  temporal_migration_test.go（0027 up/down/同形/真实启动顺序）。变异实测：
  摘掉 one_off 支路 ⇒ ① 全红；关掉 temporalSanityVeto ⇒ 三条护栏用例全红。
- 迁移测试的「回滚 N 步」改为从 schema_migrations 现算（migrateDownToBefore），
  新加一条迁移不再打红 0025/0026 的用例。
 2026-10-26 18:57:38 +08:00
AskaEth 0ec9cbe32b Merge branch 'feat/m46-urlcause-hoist-url-error-unwrapping' into dev
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 18:56:55 +08:00
AskaEth b955a27479 fix(channelbridge): M44 入站语音先写 voice 列再广播 ⇒ 首帧就带 voice 
安卓 2026-10-26 回执关心的场景：新来一条语音消息时，**第一条**帧里有没有
`voice`。此前没有 —— `persistBatchUsers` 先 `persistToMain`/`persistIsolated`
（内部同步 notify 把帧发出去），之后才 `persistMessageVoice` 写列，帧发出那
一刻列还是空串。网关侧的帧投影（上一 commit）读的就是这一列，因此首帧必然
缺 voice，客户端要等重连或下一次 REST 拉取。

修法（A 路的唯一可行形态，理由见下）：
- `persistBatchUsers` 的通知改成 `persistVoiceFirstNotify(ref)`：
  **INSERT → 写 voice 列 → notify**。语句数不变，只把 notify 从 INSERT 内部
  挪到最后；非语音消息（ref 零值）时该包装与 `notifyPersisted` 逐字等价。
- `persist.go` 抽出 `mainRow` / `isolatedRow`（字段清单只写一次）与
  `persistIsolatedWith`（可注入通知的变体），`persistToMain`/
  `persistIsolated` 的对外行为逐字不变。

为什么不走 B（给 `history.Message` 加 voice 随 INSERT 写）：`persistMessageVoice`
是按 id 的 UPDATE，行还不存在时必然 `ErrMessageNotFound` ⇒ 写列**不可能**真正
挪到 INSERT 之前；可行的最小形态就是上面那次换序，无需动 domain 类型、列清单
与 7 条读语句。B 若要做，属于 design/24 §10.5 的独立切片（那时还应删掉这里的
两段式，避免同一事实两处写）。

整链验收（`inbound_voice_gateway_e2e_test.go`，真桥接器 + 真存储 + 真网关 WS）：
- 主人私聊语音：第一帧就是 `message_persisted`，带 `voice`，且与
  `GET /sessions/{id}/messages` 同一行**逐字相等**；随后的非语音消息帧整键缺席。
- 群聊语音（被点名 ⇒ 走完整回合）：第一帧 `channel_persisted` 带 `voice`，
  且与渠道日志读面同一行逐字相等。
- 变异实测（把顺序还原成「先广播、后写列」）：两条用例都 FAIL，输出即报障症状
  （帧里 content 是转写文本，却没有 voice 键）。

顺带把网关侧两处描述旧时序的注释改成新事实。
 2026-10-26 18:54:13 +08:00
AskaEth faf18afb91 feat(voice): M47 r1 探活地址单向回退到 voice-tts.json 的 baseUrl（组合根） 
塔 2026-10-26 裁决：主人若把合成端口从 9880 改掉，不该还要记得两处一起改。
回退只做一向，且只发生在组合根（包内不互相读配置）：

1. voice-tts-launch.json 显式写了 probeUrl ⇒ 以它为准，**永不**被别的键压过；
2. 没写 ⇒ 用 voice-tts.json 的 baseUrl（同一个服务）；
3. 两者都空（或 voice-tts.json 坏掉）⇒ 默认 http://127.0.0.1:9880。

启动 Info 行同时打印 probe_url 与 probe_url_source（voice-tts-launch.json /
voice-tts.json / default），一眼看出用的是哪个源。反向（拿这里地址去改合成面）
一律不做。VoiceTTSTuning 坏掉时只回落默认地址并 WARN，**不**因此关掉自启。

新增三条用例（均已变异验证打红）：
- ProbeURLInheritedFromVoiceTTS：真让探活打到自定义端口（hits>0），摘掉回退即红
- ProbeURLFallsBackToDefault：两者都空 ⇒ 9880 + source=default
- ExplicitProbeURLWins：显式压过 baseUrl，且 baseUrl 一次都不被探
 2026-10-26 18:50:52 +08:00
AskaEth 5c6f4e50a0 refactor(voice): dashscopeErrorToken 收敛到 trace.ErrorToken 
令牌守卫的最后一处副本：删掉 voice 本地的 dashscopeErrorToken 与
maxErrorTokenBytes，四个调用点（classifyDashscopeStatus 的 code / request_id、
dashscopeOKBodyError 的 code / type）改调 trace.ErrorToken。守卫实现与原先逐字
同形（TrimSpace、64 字节上限、字母数字与 _ . -），因此零语义变化。

同时修掉一处过期注释：原 dashscopeErrorToken 的文档指向「runtime/model 的
safeErrorToken」——那个符号在本切片里已被删除，注释指向不存在的符号会把下一个人
送去空目录。现在注释与调用点都指向 trace.ErrorToken。

顺带补一条变异可打红的用例：已有用例只断言「令牌形状的 code 被保留」（去掉守卫
照样通过，半张网），新用例断言 4xx 的 code 是散文时连 `code=` 这个键都不出现，
而 status=400 与 request_id 仍在。

验收：go build ./... + go vet ./... + go test -count=1
./internal/runtime/multimodal/voice/... 全绿；变异（code 改回不过守卫）⇒
TestDashscopeTTS_Non200DropsFreeTextCode 变红。
 2026-10-26 18:48:01 +08:00
AskaEth 6906d274fc feat(voice): M47 后端启动后探活 emotionTTS，未起则异步拉起一键启动脚本 
主人 2026-10-24：「tts启动脚本在这 ...\一键启动.bat，以后启动后端可以顺便检测
一下如果TTS没起就顺带启一下」。本片只做「启动时顺带探一下」，**默认关**（主人
早前说过「开机自启先不急 后面做」），未开开关时连探活都不发。

- 新包 internal/runtime/voice/ttslaunch：探 http://127.0.0.1:9880（毫秒级超时），
  已在跑什么都不做；没起则异步起脚本（cmd.exe /c 传参，不拼命令行字符串）
- 防重复：in-flight 单飞 + 一次尝试后的冷却（失败也算一次，重启风暴不会变成重试风暴）
- 失败只 WARN：探活超时/脚本不存在/起进程失败都只记带 source 的日志，
  组合根那条路径**没有 error 通道**
- 配置走面板文件 $DATA_DIR/config/voice-tts-launch.json（零新 .env 键）
- 接线在 cmd/cyrene 的网关 Listen 之后，整段在后台 goroutine 里，不占启动时长
  （用例以「挂载耗时 < 150ms 而探活超时 800ms」证明）
- 不新开端点、不加帧族；不碰 gateway 包
 2026-10-26 18:47:36 +08:00
AskaEth 5717735da9 feat(gateway): M44 实时帧与握手回放挂上 voice（纯增量） 
修实根：`message_persisted` / `channel_persisted` 与握手 `history` 回放
此前只在 `toHistoryMessage` 之后直接扇出，于是消息 DTO 的语音面在这三条
面上恒缺席，客户端只能等下一次 REST 拉取才知道那是一条语音。

- `history_voice.go`：把语音补齐抽成存储无关的唯一收口点 `attachVoiceTo`
  （Server 与 hub 共用），并加 `voiceColumnsOf` 把任意历史视图窄化成读面，
  未实现该视图时为真 nil 接口（字段缺席，不 panic、不 500）。
- `broadcast.go`：新增 `persistedWire` —— thinking 抹除 + 可选 voice，
  `broadcastPersisted` 改用它；两类帧因此天然同口径。
- `ws_history.go`：握手回放同样补一次批量读列（最多 50 个 id 一条 SQL）。

成本实测：一帧 = 1 次 `IN (?)` 批量读列（1 个 id）；回放一页 = 1 次
（去重后的全部 id）；存储未提供该视图时 0 次。`history.Message` 没有
voice 列字段（`messageColumns` 也不含），故无法「零查询直接填」——补它
要改 internal/runtime/history 与 INSERT 写路径，超出本切片范围。

纯增量：voice 是可选键，非语音消息整键缺席（不是 null、不是 {}）；
帧壳、帧类型、REST DTO 形状一律未动。

测试（广播_voice_test.go）：帧序列化输出上断言 ①②③④，并逐字比对
「帧/回放里的 voice」与「REST 读面同一行」；摘掉任一挂载即打红。
 2026-10-26 18:46:06 +08:00
AskaEth 3001fcc716 fix(model): providerUpstreamError 的 error.code 过令牌守卫 
error.code 与 error.type 一样是**自由文本面**：主流上游里是枚举，但网关、代理与
兼容层可以往里塞任何东西（包括回显的用户原文）。M41 已给 type 加了守卫，
providerUpstreamError 的 code 一直原样带出，是这一族里唯一还漏的字段。

守卫本色从 runtime/model（safeErrorToken）与 runtime/multimodal/voice
（dashscopeErrorToken）两份逐字同形的实现上提到 trace.ErrorToken，model 侧改为
调用它（voice 侧仍是自己那份，不在本切片文件面内，见随附 finding）。

唯一的行为变化就是「不像令牌的 code 变空串」：status / type / body 体积与 sha256、
错误文案模板、双 %w 哨兵链（ErrUpstream、trace.ErrUpstream）都不变。

验收：go build ./... + go vet ./... + trace/model 包 test 全绿；新增用例覆盖
「带空格标点的 code 变空串且 status/type 仍在」与「令牌形状的 code 保留」。
 2026-10-26 18:45:38 +08:00
AskaEth 4c187ac070 refactor(trace): 把剥 url.Error 壳的实现收敛成 trace.URLCause 
五处逐字同形的三行（mediafetch.sanitizeErr / httpclient.transportCause /
vision.fetchCause / telegram.callCause / weixin_ilink.urlFreeCause）收敛为
trace 包里的唯一实现，13 个调用点改为直接调用；5 份 body 只剩 1 份，5 个
未导出符号与其文件内注释整份删除（不留薄封装）。

行为等价：只剥 *url.Error、不新增包装，内层哨兵链（context 取消/超时、
*net.DNSError 等）原样透传，因此重试/降级/熔断的分类判据不变。两处刻意的
收紧：
- 逐层剥：内层若还是 *url.Error 也一起剥（只剥一层时内层仍带同一段地址）；
- *url.Error 的 Err 为 nil（或链自引用）时不再回落到原串，退化成只含 Op 的
  替身 —— 那种错误无法在不带地址的前提下原样返回，而地址里就是凭据。

顺带把 httpclient 的 user:pass@ 用例改成变异可打红：net/http 自己在
*url.Error 里就把密码打成 ***，「密码不出现」在剥壳与不剥壳下都成立（空跑），
用户名才是分水岭。

验收：go build ./... + go vet ./... + 指定包 go test -count=1 全绿；
变异验证（把 URLCause 改成透传）⇒ 五处「不含 URL」断言全红。
 2026-10-26 18:45:34 +08:00
AskaEth af61b8ccfe docs(contract): v0.96 语音发音人绑生效人格（sessionId/两个错误码）+ 管理面脱敏投影与 props.omitted
CI / Backend (build / vet / test / cross-compile) (push) Has been cancelled
Details
CI / Frontend (tsc + vite build) (push) Has been cancelled
Details
2026-10-26 14:10:40 +08:00