100 Commits

This Branch

This Branch

All Branches

Author	SHA1	Message	Date
AskaEth	e39cc5d096	fix(weixin_ilink): drop user file name from media failure log; fix TestLogin_LogRedaction data race	2026-10-26 22:00:09 +08:00
AskaEth	d47185feb8	docs(contract): v0.97 voice WS frames + TTS autolaunch + upstream error safety ... - voice 进 message_persisted/channel_persisted 首帧与握手回放（M44 fb55769， INSERT→写列→notify；两条实现前提进契约） - emotionTTS 自启默认关（M47，voice-tts-launch.json，probeUrl 单向兜底） - UpstreamError 构造即安全：code/type 固定令牌守卫、message 默认缺席 （M49/M50，一处行为变更如实标注） - U6 双凭据门明示（Bearer JWT 或 X-API-Key，既有能力非新增） - 改正 14 处「WS 帧不带 voice」假话 + 旧横幅加注；尾注 v0.82→v0.97	2026-10-26 21:44:44 +08:00
AskaEth	656c35f1e8	Merge branch 'feat/m51-lastexits-close-remaining-upstream-f' into dev ... # Conflicts: # internal/runtime/trace/errortoken.go	2026-10-26 21:25:48 +08:00
AskaEth	921938d084	Merge branch 'feat/m52-urlcausesweep-sweep-url-error-direct' into dev	2026-10-26 20:03:29 +08:00
AskaEth	76263d42ed	fix(upstream): M51 复审 p2 三条 —— light.go 同形出口 / MCP SDK 日志面 / ErrorToken 口径 ... ① light.go 的 2 处 "light judge: " + d.Reason 与 engage.go 同形（model reason → 返回值 → coalesce_prepare 的 Debug）。把上一轮的 engageReason 提成包内共用的 judgeReason（judge_reason.go，RedactTextLimited + strings.Fields，60 rune）， engage.go 7 处 + light.go 2 处 + notice.go 的 "notice review failed: "+err.Error() 统一走它。控制流零改动：只换「进去的那份文本」，判定条件与返回值拼接结构未动。 ② MCP 的 Logger 面先探针后修：go-sdk v1.8.0 的 keepalive 会把对端 JSON-RPC error 原样打进日志（实测泄漏，见 sdklog_probe_test.go 的输出），tools/call 路径不打日志。 新增 sdklog.go：redactingLogger 交给 SDK，wire 错误（链上有 *jsonrpc.Error）只留 code + message_bytes（复用 upstreamError），本地错误保留原因，消息/属性压平+打码+300 rune。 ③ errortoken.go 的口径注释纠正：从「包外不得调用」改为按字段类别判定（协议枚举可守、 自由文本默认不带），并把 cdp.go 这条 M51 用法作为例子写进去。	2026-10-26 20:00:57 +08:00
AskaEth	969857682f	fix(runtime): M52 把 *url.Error 直打的 19 处换成 trace.URLCause ... model / multimodal / tts / embedding 里所有「把 net/http 的 *url.Error 直接打进 错误串」的地方（M51 清单的 B1 组 17 处 + 清单外的同根因 2 处）统一改走 trace.URLCause：错误串只少一段地址，底层原因、哨兵分类、状态码、重试/降级判据 一字不动。 清单内（17）： - model/openai.go: Chat / ChatStream 的 NewRequest、doRequest - model/anthropic.go: chatOnce / streamOnce 的 NewRequest、doRequest - multimodal/vision/adapter.go: ask 的 NewRequest、client.Do - multimodal/voice/cloud.go: postJSON 的 NewRequest、client.Do - multimodal/voice/dashscope.go: download（预签名 OSS 地址）与 dashscopePost 各两处 - voice/tts/client.go: unreachable（返回值与同一行日志的 err 字段都只留原因， 地址只由 redactURL(endpoint) 出现一次） - embedding/api.go: embedChunk 的 client.Do、newEmbeddingRequest 的 NewRequest 清单外同根因（2，均为 %w 形态，B1 清单按 %v 搜时漏掉）： - voice/tts/client.go: speak 的 NewRequest 失败 - embedding/endpoint.go: normalizeEndpointURL 的 url.Parse 失败 测试：5 个新文件 18 个用例，逐处可变异打红（实测：把任一处的 URLCause 去掉 ⇒ 对应用例红）；dashscope 预签名地址单独一条用例，并另有一条钉住 403 状态码仍在。	2026-10-26 19:55:05 +08:00
AskaEth	604f9ebaa9	Merge branch 'feat/m50-envelopesafe-drop-envelope-message-o' into dev	2026-10-26 19:51:33 +08:00
AskaEth	bfbf5057bc	refactor(weixin): runLogin 的守卫说明上移到函数头，回到 80 行以内 ... 复审 r2：runLogin 70 → 82 行越过 AGENTS.md §10 的函数 ≤80 上限。代码行本来 只有 56，超的是 M50 加在循环体内的两段 🔴 说明。把 status/redirect_host 的 出镜口径整段上移到函数头注释（不参与计数），循环体内只留一行指向函数头； **控制流与守卫代码零改动**。 改后 runLogin = 76 行（全 plugins/channels 最长 79，其余均 ≤80）。	2026-10-26 19:48:54 +08:00
AskaEth	7fbb8d6232	fix(channelbridge): M51 追加 —— 参与度判定 reason 出镜前打码压平 ... Debug 日志与返回值共 7 处（engage.go 222/227/228/231/250/256/257 原行号）此前把 判定模型回的 d.Reason 原样写出：模型可以把 Authorization / sk-… 或换行塞进 reason， 前者进日志就是凭据泄漏，后者能按行聚合的日志里伪造一条新记录。 新增 engageReason（trace.RedactTextLimited + strings.Fields，上限 60 rune）： - 控制流零改动：分支条件、状态迁移、返回值拼接结构一个字未动， 只把「进去的那份文本」从 d.Reason 换成 engageReason(d.Reason)； - 上限 60 rune 的理由写在常量注释里（reason 是一句短语，超过即是在复述群聊原文）。 用例 engage_reason_test.go：PROBING / 跟进 / 回避+无兴趣三条出口， 断言日志与返回值都不含 sk-live…、都含 [redacted]、都不含换行。 变异实测：摘 RedactText ⇒ 三条红；摘压平 ⇒ 三条红。	2026-10-26 19:47:35 +08:00
AskaEth	d6493d79f4	fix(upstream): M51 收敛剩余上游自由文本出口 - CDP/MCP/flowgate/channelbridge WARN ... - channelbridge: 拨号失败的 WARN 不再带原始 dial 错误（含 ?access_token=）， URLCause 剥壳 + 内嵌地址 MaskQuery 打码 + HostOf 保留目标来源；控制流零改动 - browser/cdp.go: CDP error.message 只有像协议枚举（ErrorToken）才出镜，其余只留字节数 - mcp: 第三方 server 的错误文本默认不带，只留 server/工具/JSON-RPC 码/message 长度， 分类链（errors.Is/As、context.Canceled）经 Unwrap 保留 - channel/adapter/flowgate: 审查输出摘要由 40 字节改 40 rune（防切 UTF-8）并过 RedactText 四处均补了会随回退变红的用例（变异已实测）。	2026-10-26 19:44:22 +08:00
AskaEth	1b2576ecaf	fix(weixin): 扫码上游字段过令牌守卫，errortoken 契约改写 ... 复审 p2 两条： ① 第五个出口：get_qrcode_status 的 status 与 scaned_but_redirect 的 redirect_host 此前原样进 INFO；同一 status 经 setPhase 还从复用二维码那条 INFO（phase）二次出镜。三处一律过 trace.ErrorToken；**控制流仍用原值** （状态机读 status.Status、路由读 status.RedirectHost、confirmingPhase 读 phase），用例同时钉住「日志变空串」与「路由/判定不变」两个方向。 ② 顺带补扫出一处 URL 类：get_bot_qrcode 的 qrcode_img_content（上游给的 图片地址，可能是带签名的 URL 或 data: 内联图）原样进 INFO ⇒ 改走 trace.MaskQuery（凭据类 query 打码、保留路径、解析不出 host 回空串）。 ③ errortoken.go 的契约改写：原「本包之外不应出现 ErrorToken 调用」已被 M50 的正当调用点证伪。新口径按**字段类别**判定：协议枚举字段（status/ code/type/request_id）可在渲染点调用；自由文本字段（message/description/ msg/wording）不得靠它出镜 —— 那类默认不带，要带必须 opt-in + RedactText。 dashscope 的 request_id 例外一并写入。 每条用例都做了变异验证（去掉守卫 / 把守卫挪进控制流 / 改回原串，均打红）。	2026-10-26 19:41:28 +08:00
AskaEth	2702777950	Merge branch 'feat/m45-extracttemporal-extractor-temporal-m' into dev	2026-10-26 19:33:37 +08:00
AskaEth	82e9213804	test(memory): M45 复看 P2 —— 补「temporal 不许被判定读」的源码级断言 + 注释纠正 ... P2-1（真缺口）：r1 复看的变异 C 证明「在异步审查侧拿 item.Temporal 改判」当时 **整个 memory 包全绿** —— 已落库的行在异步侧被改判这条口径没有守卫，而异步侧 （applyVerdict / setIngestRetention）恰恰最容易被人随手接线。 新增 TestTemporalIsNotWiredIntoJudgement：扫生产代码（非 _test.go、非注释行）里 所有含 `.Temporal` 的行，逐行要求命中 temporalFieldSites 白名单（校验 3 条 / 产出 1 条， **片段级**而不是文件级 —— 按文件放行会让同一文件里新写的接线路过），违规时报 「文件:行号: 表达式片段」；同时校验白名单每一条确实命中过，防止它老化成空头许可证。 变异实测（复看给的写法，插在 preinsert.go 的 applyVerdict 入口）： --- FAIL: TestTemporalIsNotWiredIntoJudgement temporal 被接进了判定（裁决 D：它只许被记录，不许被判定读）…： preinsert.go:476: if item.Temporal == TemporalOneOff { 删掉接线后全绿。 P2-2（文案与 D 矛盾）：store_temporal.go 的归属清单原写「判定在 resolveRetention （唯一入口，第 4 步）」—— D 之后第 4 步是 N1~N7、没有 temporal 步，那句等于给后来者 指了接线入口。改为：temporal 只被记录、不参与判定；要把 temporal 接进判定必须先拿到 模型真实标签分布，并只能通过 temporalFieldSites 白名单（有意的接线决定）进来。 另按复看提醒：temporal.go 头注里那两条统计 SQL 标明「**运维分析用，不属于读侧代码 路径**」，并写明读侧（timegate 与任何读侧 SQL）明令不许对 created_at/expires_at 用 datetime() —— 那是定宽文本比较，抄进查询层会静默判错。 回归：go build ./... + go vet ./... 全绿；memory/db 包测试全绿；memory -race 38.0s 全绿。	2026-10-26 19:29:16 +08:00
AskaEth	996201c4ed	fix(httpclient): 信封 message 默认不进错误，渠道上游自由文本一并收口 ... 信封路径（非 2xx + 信封体、2xx + code!=0）此前把上游 message 经 RedactText 拼进 error，而上游会在 message 里回显被拒的请求正文 —— 她的原话因此进了错误 与调用方日志（M49 探针实测：code 1: invalid content: 她刚才说的那句话 ...）。 - envelope message 改为**默认不带**（新 opt-in WithEnvelopeMessage()，与 trace.UpstreamError 的 message 同一口径）；code 与上游 status 保留， errors.Is 的 ErrAPI / trace.ErrUpstream 链不变。 - opt-in 下统一走单一清洗 upstreamText：压平空白 + trace.RedactTextLimited， 上限 40 rune（比 trace 的 128 短：错误里那句话是提示，不是摘要）。 - plugins/channels 同族出口一并收口（扫过全部，命中 4 处）： telegram description、qq_obv11 msg（错误 + logEchoFailure 日志）、 weixin_ilink CDN x-error-message；qq 的 status 字段改走 trace.ErrorToken 令牌守卫。被剥掉的一律由 status / error_code / retcode 承担分类。 每条新增/改写用例都做过变异验证（把字段拼回去即变红）。	2026-10-26 19:28:15 +08:00
AskaEth	c7c0294a16	refactor(memory): M45 裁决 D —— temporal 位撤出判定，只保留观测 ... 按 r1 复审裁决 D：这一位先只做观测，`resolveRetention` 不许读它。理由（实测）： 无条件 one_off ⇒ temp 会当天删 21 条长期约定；只放开 N6 位置判据能翻的 13 条 逐条是约定、而复审点名的三条目标行 0/3 救得了。在「模型真实标签分布」这份证据 缺位时不该做 7 天后物理删的不可逆决定。 撤接线（结论集逐字回到 M45 之前）： - retention.go：resolveRetention 不再读 item.Temporal；与之对比 dev base （af61b8c）本文件**只有注释差异**，规则与判定入口逐字未变。 - extract_retention.go：judgeExtractionRetention 签名回退单参；删除 judgeRetentionTimepointWide 与 n6_timepoint_wide 规则码。与 dev base 对比 **同样只有注释差异** ⇒ 「结论集 = 不含 temporal 的那个集合」是结构性的， 不是靠调用点记得别传。 - 连带取消初版的 durable / recurring ⇒ long（零影响必须是双向的）。 保留观测面（一律未动）：迁移 0027 的列、自举前滚、提取器的 temporal 产出、 prompt 枚举、闭集与 normalizeTemporal、store_temporal.go 的校验/编码。 另外把 prompt 里「标成 one_off 会让它进临时层、到期消失」这句**撤接线后已是假话** 改成中性标注说明 —— 否则会诱导模型避开 one_off，观测数据直接被污染。 测试： - TestTemporalBitDoesNotAffectRetention —— 4 类语料 × 5 个取值，(档位,规则码) 与未分型逐字相同（核心正断言）； - TestTemporalOneOffDoesNotMakeAnythingTemporary / ...DoesNotRescueRuleHitRows —— 零影响的双向点名； - TestTemporalIsStillRecorded —— one_off 的约定行仍落 temporal='one_off' 而档位 long、expires 空（观测在、判定不动）； - TestTemporalDoesNotTouchExplicitTierOrRestrictedSource —— 人工入口与受限来源不变。 变异实测：把 `if item.Temporal == TemporalOneOff { return temp }` 插回 resolveRetention ⇒ 上述四条用例全红（FAIL 输出已贴给塔），恢复后全绿。 IngestRuleVersion 保持 d3.5，注释改准为「记录 temporal 信号，但不参与判定」 （留痕面变了：库里多了「模型当时标了什么」这一维，回退会让新旧留痕混在一起）。 P2 三条保留：store.go 500 行（拆 store_temporal.go）、temporal.go 头注（'' 的口径 + 两次被否的接线方案 + 接线前必须看的那两条统计 SQL）、报告语境段。 回归：go build ./... + go vet ./... 全绿；memory/db 包测试全绿；memory -race 38.2s 全绿。	2026-10-26 19:21:24 +08:00
AskaEth	3a0cc64160	Merge branch 'feat/m49-upstreamsafe-move-token-guard-into-t' into dev	2026-10-26 19:18:39 +08:00
AskaEth	3b9ae3f918	refactor(memory): M45 r1 复审返工 —— temporal 位只放开 N6 位置判据 ... 按 r1 复审裁定（p1-3items / fix-then-merge）重做三处： P1-1/P1-2：删掉自造的六条语义安全阀（temporalSanityVeto）与约定词表 （retentionStatesAgreement）。理由被复审用两条生产行否证：它们既把该救的行 杀了（「…睡得比平时早」被习惯词、「…以后不用再惦记」被永久化标记），又挡不住 同义异形的约定（说定 / 约了）。现在 `one_off` 的全部作用是**放开 N6 的位置判据**： judgeExtractionRetention 新增 temporal 入参 → judgeRetentionTransient → judgeRetentionTimepointWide（位置内命中仍返 n6_timepoint，只有靠放开位置才命中 才返新增的 n6_timepoint_wide，供观测区分）。N1~N5、N7、护栏①②、N6 的 1~7 条 语义安全阀一字不动；durable / recurring 仍直接判 long（fail-safe 方向）。 P1-3：上界口径改为「时点词存在 ∧ 语义安全阀全过 ∧ 当前 long」——不依赖任何 标注，可逐条列出。实测（生产库只读副本，快照 2026-10-26）：最近 500 条 active 能翻 13 条、**逐条都是「约定 + 今天没走成」**；全量 3694 条能翻 26 条（13 条 约定 + 13 条状态行）。旧的「句首时点词」口径是同义反复，已删。 已知代价（写进 temporal.go 头注与 TestTemporalOneOffWidenedPositionTouchesAgreements， 不藏在词表后面）：位置窗口今天正是那批约定行的唯一保护，放开后只要模型标 one_off 它们就会判 temp；而复审点名的两条目标行本片救不了（被语义阀挡，与位置 无关）。因此这一位在当前语料上**没有可测收益**，是否保留是产品裁决。 P2-1：store.go 503 → 497 行，拆出 store_temporal.go（哨兵错误 + 字段校验 + 列值编码）。 P2-2：temporal.go 头注改准 —— `''` 是「0027 之前的历史行 + 没做时间性判断的 写入路径（ManualExtractor / 网关手写 / 整理回填，它们由调用方显式给档位）」。 P2-3：报告补语境（retention_tier 非空仅 26 行、temp 1 行、temporal 列当时还不 存在 ⇒ 重放结论对新写入没有预测力）。 测试：验收点 ①~⑤ 按新语义重写；新增「位置放开可打红」的变异靶子与「N7 位置 不放宽」「无时点词时这一位不做事」「两条目标行救不了」「约定行会翻（已知风险）」 五条边界断言。变异实测：unlocksTimepointPosition 改恒 false ⇒ 三条用例红。 回归：go build ./... + go vet ./... 全绿；memory/db 包测试与 memory -race 全绿。	2026-10-26 19:15:08 +08:00
AskaEth	fe3872ee28	fix(trace): 令牌守卫上移进 trace.UpstreamError，构造即安全 ... M48 复审的中危 finding：error.type 里的散文经 trace.UpstreamError 原样出镜， 因为守卫加在调用方（M46 的 model/voice 两处），构造函数自己不套守卫 —— 任何新调用点默认不安全，httpclient / vision / embedding / weixin 四条出口一直漏。 - trace.UpstreamError 构造时对 error.code / error.type 各走一次 ErrorToken （[A-Za-z0-9_.-]{<=64}，不合规即空串）：默认安全，不是可选加固。 - 构造后注入这条窄路收进 UpstreamErrorInfo.SetCode / SetType（同一道守卫）， 供 DashScope 顶层 code 与 Anthropic 流内 error.type 两处使用 —— 调用方不再 各抄一份 ErrorToken。 - 删除因此冗余的调用方守卫：model.providerUpstreamError 与 voice.dashscopeOKBodyError。保留 voice 的 request_id 守卫（它不是 code/type， 构造函数看不见）。 - 四条漏的出口一行没改，只加用例证明守卫上移后自动安全；摘掉构造函数守卫时 四条用例 + model/voice 旧用例同时变红。	2026-10-26 19:13:38 +08:00
AskaEth	4224fc2b12	Merge branch 'feat/m47-ttsspawn-detect-and-auto-launch-emot' into dev	2026-10-26 19:08:45 +08:00
AskaEth	4e9cd17fbd	Merge branch 'feat/m48-urlcauseharden-urlcause-depth-cap-an' into dev	2026-10-26 19:06:50 +08:00
AskaEth	fb55769cd7	Merge branch 'feat/m44-voicerealtime-voice-key-on-realtime' into dev	2026-10-26 19:03:16 +08:00
AskaEth	67d7e4bd1b	fix(voice): M47 r2 复审两条 P2 —— 关闭期取消不拉起、非法探活地址不启用 ... 复审 p2-2items（P2-1 跨进程去重按裁决只报不修）： (a) **关闭期 ctx 取消 ≠ 没起**：后端关闭时 ctx 被取消，探活返回 `context.Canceled`；原实现把它判成"没起" ⇒ **在关闭过程中拉起 TTS**。 现在按 `errors.Is(err, context.Canceled)` 判为跳过：不记 markAttempt（不消耗 冷却）、不拉、也不 WARN 成故障。探活**自身超时**（DeadlineExceeded）仍是"没起"， 照常拉 —— 两者用 errors.Is 区分，不按文案。新增 OutcomeCanceled。 (b) **探活地址必须合法**：写成 `127.0.0.1:9880`（漏 scheme）会让 http.NewRequest 每次都失败 ⇒「没起」永远成立 ⇒ 每次启动都拉一次进程。新增 `ttslaunch.ValidateProbeURL`（url.Parse + scheme ∈ {http,https} + host 非空）： - `New` 里校验 ⇒ 不合法即 WARN + 不启用（兜底闸，覆盖任何调用方）； - 组合根 `validateResolvedProbeURL` 里同一把闸再校验一次，WARN 带 `probe_url_source` 指明该改哪个文件 —— **baseUrl 兜底那条路也被覆盖**。 顺带按复审记录项 1 修正 `Proxy: nil` 的注释：net/http 本来就不给回环 IP 走代理， 这行真正保护的是 probeUrl 被配成主机名的情况（原注释高估了它）。 用例（均变异验证打红）： - TestCheck_ParentCanceled_SkipsLaunch：取消 ⇒ OutcomeCanceled + 0 次拉起 + 不进冷却 （变异：跳过改回"没起" ⇒ Outcome=launched、marker 落地） - TestCheck_ProbeOwnTimeout_StillLaunches：探活自身超时仍照常拉 - TestNew_InvalidProbeURL_Disables：7 种非法形状 ⇒ 不接单、0 次拉起、有 WARN - TestStartVoiceTTSLaunch_{ShutdownCancelDoesNotLaunch,InvalidProbeURLStaysOff, InvalidBaseURLFallbackStaysOff}：组合根三条，均用真 .bat marker 观察"有没有拉起"	2026-10-26 19:03:12 +08:00
AskaEth	98e1ae6aa9	fix(model): providerUpstreamError 的 error.type 也过令牌守卫 ... 同一份上游报文，兄弟出口 streamEventError 守的正是 type，而 providerUpstreamError 只守了 error.code —— 网关/兼容层把回显塞进 type 时会被原样渲染进错误与日志。 两个字段现在用同一道 trace.ErrorToken：不像令牌的变空串，status/code/body_bytes 等诊断面不受影响。	2026-10-26 19:01:16 +08:00
AskaEth	92b0f89492	fix(trace): URLCause 用层数上限终止，去掉不可比较的 error 比较 ... 手写终止条件只认「长度 1 的自引用」，于是： - 两节点环（a.Err=b / b.Err=a）⇒ 死循环，打挂当前请求的 goroutine； - uerr.Err == err 在两侧动态类型相同且不可比较时 ⇒ panic （comparing uncomparable type），同样打挂当前请求。 改为唯一终止条件 maxURLCauseDepth=8：超限返回只含 Op 的替身，不返回当前层 （当前层是 *url.Error，Error() 里就是整条地址，不能为防死循环把地址漏回去）。 正常单层/双层路径逐字不变。用例：两节点环 1s 内返回、不可比较类型不 panic、 自引用仍退化成替身、超限路径无 URL 片段、上限内(8 层)仍剥到内层原因。	2026-10-26 19:01:15 +08:00
AskaEth	91101dedfb	feat(memory): M45 提取器时间性元数据位 temporal 驱动留存判定 ... 背景（M37 复审的原话）：「真正卡住上游的是提取器的改写：一次性事件被写成 30~80 字的第三人称长期陈述……这不是阈值问题，是判定链缺信息位。」本片补的 就是那一位，不动 N1~N7 的任何阈值。 产出侧 - temporal.go：TemporalKind 闭集（one_off / recurring / durable / unknown， 空串 = 未分型），normalizeTemporal 只认四个字面值，其余一律归 unknown（绝不猜 同义词）；提取提示词追加该枚举（模型只负责标注，判定在 Go 闭集 switch 里）。 - llmextractor：候选解析后归一并随 MemoryItem 带出；非法/缺失值不报错、不拖累 同批其他候选。 落库 - 迁移 0027_memory_temporal（up: ADD COLUMN temporal TEXT NOT NULL DEFAULT ''； down: DROP COLUMN，只撤结构、不改写任何行数据）+ NewStore 的自举前滚 （duplicate column 是预期路径）；Store.Add 的同一笔 INSERT 写该列，判定与 留痕不分叉。 判定（仍是 resolveRetention 一处收口，judgeIngest 一字未改） - one_off ⇒ temp（+ expires_at），但先过 temporalSanityVeto 六条语义安全阀： 显式「记住」/ 在陈述约定 / 习惯词 / 硬性长期事实词 / 永久化 / 状态改变 —— 命中即不给结论、落回 N1~N7。依据是离线重放的实测：去掉「记住+约定」两条时 21 条长期约定会被判 temp（4.80%），全开后在最近 500 条窗口内翻转条数为 0。 - durable / recurring ⇒ long 且不再跑规则；unknown / 未分型 ⇒ 落回 N1~N7 （不许因为「正文看着像今天的事」就判 temp）。 - IngestRuleVersion d3.4 → d3.5（判定结论会变，留痕必须可分）。 验证 - go build ./... + go vet ./... 全绿；go test -count=1 ./internal/runtime/memory/... ./internal/db/... 全绿；memory -race 全绿。 - 新增 temporal_test.go（验收点 ①~⑤ + 两条交叉护栏 + 闭集/归一化）与 temporal_migration_test.go（0027 up/down/同形/真实启动顺序）。变异实测： 摘掉 one_off 支路 ⇒ ① 全红；关掉 temporalSanityVeto ⇒ 三条护栏用例全红。 - 迁移测试的「回滚 N 步」改为从 schema_migrations 现算（migrateDownToBefore）， 新加一条迁移不再打红 0025/0026 的用例。	2026-10-26 18:57:38 +08:00
AskaEth	0ec9cbe32b	Merge branch 'feat/m46-urlcause-hoist-url-error-unwrapping' into dev	2026-10-26 18:56:55 +08:00
AskaEth	b955a27479	fix(channelbridge): M44 入站语音先写 voice 列再广播 ⇒ 首帧就带 voice ... 安卓 2026-10-26 回执关心的场景：新来一条语音消息时，**第一条**帧里有没有 `voice`。此前没有 —— `persistBatchUsers` 先 `persistToMain`/`persistIsolated` （内部同步 notify 把帧发出去），之后才 `persistMessageVoice` 写列，帧发出那 一刻列还是空串。网关侧的帧投影（上一 commit）读的就是这一列，因此首帧必然 缺 voice，客户端要等重连或下一次 REST 拉取。 修法（A 路的唯一可行形态，理由见下）： - `persistBatchUsers` 的通知改成 `persistVoiceFirstNotify(ref)`： **INSERT → 写 voice 列 → notify**。语句数不变，只把 notify 从 INSERT 内部 挪到最后；非语音消息（ref 零值）时该包装与 `notifyPersisted` 逐字等价。 - `persist.go` 抽出 `mainRow` / `isolatedRow`（字段清单只写一次）与 `persistIsolatedWith`（可注入通知的变体），`persistToMain`/ `persistIsolated` 的对外行为逐字不变。 为什么不走 B（给 `history.Message` 加 voice 随 INSERT 写）：`persistMessageVoice` 是按 id 的 UPDATE，行还不存在时必然 `ErrMessageNotFound` ⇒ 写列**不可能**真正 挪到 INSERT 之前；可行的最小形态就是上面那次换序，无需动 domain 类型、列清单 与 7 条读语句。B 若要做，属于 design/24 §10.5 的独立切片（那时还应删掉这里的 两段式，避免同一事实两处写）。 整链验收（`inbound_voice_gateway_e2e_test.go`，真桥接器 + 真存储 + 真网关 WS）： - 主人私聊语音：第一帧就是 `message_persisted`，带 `voice`，且与 `GET /sessions/{id}/messages` 同一行**逐字相等**；随后的非语音消息帧整键缺席。 - 群聊语音（被点名 ⇒ 走完整回合）：第一帧 `channel_persisted` 带 `voice`， 且与渠道日志读面同一行逐字相等。 - 变异实测（把顺序还原成「先广播、后写列」）：两条用例都 FAIL，输出即报障症状 （帧里 content 是转写文本，却没有 voice 键）。 顺带把网关侧两处描述旧时序的注释改成新事实。	2026-10-26 18:54:13 +08:00
AskaEth	faf18afb91	feat(voice): M47 r1 探活地址单向回退到 voice-tts.json 的 baseUrl（组合根） ... 塔 2026-10-26 裁决：主人若把合成端口从 9880 改掉，不该还要记得两处一起改。 回退只做一向，且只发生在组合根（包内不互相读配置）： 1. voice-tts-launch.json 显式写了 probeUrl ⇒ 以它为准，**永不**被别的键压过； 2. 没写 ⇒ 用 voice-tts.json 的 baseUrl（同一个服务）； 3. 两者都空（或 voice-tts.json 坏掉）⇒ 默认 http://127.0.0.1:9880。 启动 Info 行同时打印 probe_url 与 probe_url_source（voice-tts-launch.json / voice-tts.json / default），一眼看出用的是哪个源。反向（拿这里地址去改合成面） 一律不做。VoiceTTSTuning 坏掉时只回落默认地址并 WARN，**不**因此关掉自启。 新增三条用例（均已变异验证打红）： - ProbeURLInheritedFromVoiceTTS：真让探活打到自定义端口（hits>0），摘掉回退即红 - ProbeURLFallsBackToDefault：两者都空 ⇒ 9880 + source=default - ExplicitProbeURLWins：显式压过 baseUrl，且 baseUrl 一次都不被探	2026-10-26 18:50:52 +08:00
AskaEth	5c6f4e50a0	refactor(voice): dashscopeErrorToken 收敛到 trace.ErrorToken ... 令牌守卫的最后一处副本：删掉 voice 本地的 dashscopeErrorToken 与 maxErrorTokenBytes，四个调用点（classifyDashscopeStatus 的 code / request_id、 dashscopeOKBodyError 的 code / type）改调 trace.ErrorToken。守卫实现与原先逐字 同形（TrimSpace、64 字节上限、字母数字与 _ . -），因此零语义变化。 同时修掉一处过期注释：原 dashscopeErrorToken 的文档指向「runtime/model 的 safeErrorToken」——那个符号在本切片里已被删除，注释指向不存在的符号会把下一个人 送去空目录。现在注释与调用点都指向 trace.ErrorToken。 顺带补一条变异可打红的用例：已有用例只断言「令牌形状的 code 被保留」（去掉守卫 照样通过，半张网），新用例断言 4xx 的 code 是散文时连 `code=` 这个键都不出现， 而 status=400 与 request_id 仍在。 验收：go build ./... + go vet ./... + go test -count=1 ./internal/runtime/multimodal/voice/... 全绿；变异（code 改回不过守卫）⇒ TestDashscopeTTS_Non200DropsFreeTextCode 变红。	2026-10-26 18:48:01 +08:00
AskaEth	6906d274fc	feat(voice): M47 后端启动后探活 emotionTTS，未起则异步拉起一键启动脚本 ... 主人 2026-10-24：「tts启动脚本在这 ...\一键启动.bat，以后启动后端可以顺便检测 一下如果TTS没起就顺带启一下」。本片只做「启动时顺带探一下」，**默认关**（主人 早前说过「开机自启先不急 后面做」），未开开关时连探活都不发。 - 新包 internal/runtime/voice/ttslaunch：探 http://127.0.0.1:9880（毫秒级超时）， 已在跑什么都不做；没起则异步起脚本（cmd.exe /c 传参，不拼命令行字符串） - 防重复：in-flight 单飞 + 一次尝试后的冷却（失败也算一次，重启风暴不会变成重试风暴） - 失败只 WARN：探活超时/脚本不存在/起进程失败都只记带 source 的日志， 组合根那条路径**没有 error 通道** - 配置走面板文件 $DATA_DIR/config/voice-tts-launch.json（零新 .env 键） - 接线在 cmd/cyrene 的网关 Listen 之后，整段在后台 goroutine 里，不占启动时长 （用例以「挂载耗时 < 150ms 而探活超时 800ms」证明） - 不新开端点、不加帧族；不碰 gateway 包	2026-10-26 18:47:36 +08:00
AskaEth	5717735da9	feat(gateway): M44 实时帧与握手回放挂上 voice（纯增量） ... 修实根：`message_persisted` / `channel_persisted` 与握手 `history` 回放 此前只在 `toHistoryMessage` 之后直接扇出，于是消息 DTO 的语音面在这三条 面上恒缺席，客户端只能等下一次 REST 拉取才知道那是一条语音。 - `history_voice.go`：把语音补齐抽成存储无关的唯一收口点 `attachVoiceTo` （Server 与 hub 共用），并加 `voiceColumnsOf` 把任意历史视图窄化成读面， 未实现该视图时为真 nil 接口（字段缺席，不 panic、不 500）。 - `broadcast.go`：新增 `persistedWire` —— thinking 抹除 + 可选 voice， `broadcastPersisted` 改用它；两类帧因此天然同口径。 - `ws_history.go`：握手回放同样补一次批量读列（最多 50 个 id 一条 SQL）。 成本实测：一帧 = 1 次 `IN (?)` 批量读列（1 个 id）；回放一页 = 1 次 （去重后的全部 id）；存储未提供该视图时 0 次。`history.Message` 没有 voice 列字段（`messageColumns` 也不含），故无法「零查询直接填」——补它 要改 internal/runtime/history 与 INSERT 写路径，超出本切片范围。 纯增量：voice 是可选键，非语音消息整键缺席（不是 null、不是 {}）； 帧壳、帧类型、REST DTO 形状一律未动。 测试（广播_voice_test.go）：帧序列化输出上断言 ①②③④，并逐字比对 「帧/回放里的 voice」与「REST 读面同一行」；摘掉任一挂载即打红。	2026-10-26 18:46:06 +08:00
AskaEth	3001fcc716	fix(model): providerUpstreamError 的 error.code 过令牌守卫 ... error.code 与 error.type 一样是**自由文本面**：主流上游里是枚举，但网关、代理与 兼容层可以往里塞任何东西（包括回显的用户原文）。M41 已给 type 加了守卫， providerUpstreamError 的 code 一直原样带出，是这一族里唯一还漏的字段。 守卫本色从 runtime/model（safeErrorToken）与 runtime/multimodal/voice （dashscopeErrorToken）两份逐字同形的实现上提到 trace.ErrorToken，model 侧改为 调用它（voice 侧仍是自己那份，不在本切片文件面内，见随附 finding）。 唯一的行为变化就是「不像令牌的 code 变空串」：status / type / body 体积与 sha256、 错误文案模板、双 %w 哨兵链（ErrUpstream、trace.ErrUpstream）都不变。 验收：go build ./... + go vet ./... + trace/model 包 test 全绿；新增用例覆盖 「带空格标点的 code 变空串且 status/type 仍在」与「令牌形状的 code 保留」。	2026-10-26 18:45:38 +08:00
AskaEth	4c187ac070	refactor(trace): 把剥 url.Error 壳的实现收敛成 trace.URLCause ... 五处逐字同形的三行（mediafetch.sanitizeErr / httpclient.transportCause / vision.fetchCause / telegram.callCause / weixin_ilink.urlFreeCause）收敛为 trace 包里的唯一实现，13 个调用点改为直接调用；5 份 body 只剩 1 份，5 个 未导出符号与其文件内注释整份删除（不留薄封装）。 行为等价：只剥 *url.Error、不新增包装，内层哨兵链（context 取消/超时、 *net.DNSError 等）原样透传，因此重试/降级/熔断的分类判据不变。两处刻意的 收紧： - 逐层剥：内层若还是 *url.Error 也一起剥（只剥一层时内层仍带同一段地址）； - *url.Error 的 Err 为 nil（或链自引用）时不再回落到原串，退化成只含 Op 的 替身 —— 那种错误无法在不带地址的前提下原样返回，而地址里就是凭据。 顺带把 httpclient 的 user:pass@ 用例改成变异可打红：net/http 自己在 *url.Error 里就把密码打成 ***，「密码不出现」在剥壳与不剥壳下都成立（空跑）， 用户名才是分水岭。 验收：go build ./... + go vet ./... + 指定包 go test -count=1 全绿； 变异验证（把 URLCause 改成透传）⇒ 五处「不含 URL」断言全红。	2026-10-26 18:45:34 +08:00
AskaEth	af61b8ccfe	docs(contract): v0.96 语音发音人绑生效人格（sessionId/两个错误码）+ 管理面脱敏投影与 props.omitted	2026-10-26 14:10:40 +08:00
AskaEth	6be76f1665	Merge branch 'feat/m42-gatewayhygiene-admin-memory-tier-log' into dev	2026-10-26 14:08:57 +08:00
AskaEth	f37fe05aee	Merge branch 'feat/m42-logchannel-channel-and-tool-url-plus' into dev	2026-10-26 14:03:12 +08:00
AskaEth	abbd79a3b1	Merge branch 'feat/m43-logupstreamadopt-adopt-reviewed-comm' into dev	2026-10-26 14:02:22 +08:00
AskaEth	4b4173dd42	fix(channel): M41 r1 复审三条 —— telegram 构造分支、QQ 改 MaskQuery、删两处死上限 ... P2-1 telegram doJSON 的**请求构造**失败分支：http.NewRequestWithContext 解析失败的 err 同样是 *url.Error（里面是整条 /bot<token>/… 地址），而 poll.go 的 long poll failed 会原样落日志。改成与传输层分支同形：trace.HostOf(endpoint) + callCause。 P2-2 qq_obv11 connectClient 的成功 INFO 从 maskAccessTokenQuery 换成 trace.MaskQuery：后者认得 access%5Ftoken / token / api_key / 签名参数 / userinfo， 且保留 EscapedPath（路径可读）与不截断。maskAccessTokenQuery 仍被 sanitizeConnectReason 使用，未成死代码。 P2-3 删掉 maxEnvelopeMessageRunes / maxDescriptionRunes（各 200）：trace.RedactText 内部已 truncate 到 maxSummaryRunes=80，这两层永不命中，注释口径与实际不符。改为 直接 return trace.RedactText(压平空白)，注释写明 80 rune 由 RedactText 负责。 用例（全部变异打红，逐条验证）：telegram 构造分支 token、QQ 八形态凭据矩阵 （含四种 maskAccessTokenQuery 漏掉的形态 + 路径可读反向断言）、两处 80 rune 上限。	2026-10-26 13:58:19 +08:00
AskaEth	3157abcf3c	fix(gateway): 日志页脱敏改用「可带上限」变体（4096），摘要侧仍是 80 ... 塔 2026-10-26 复审裁定：复用 trace.RedactText 让面板日志页每条 msg 都被切到 80 rune，是实质性 UX 回归（日志页就是排障面）。修法不是网关侧另写脱敏，而是 在 trace 包给上限加一个参数。 - trace/redact.go：新增导出 `RedactTextLimited(s, limit)`,语义 = 同一套凭据形状 清洗 + 按调用方给的上限截断；`RedactText` 改为它的 `maxSummaryRunes`（80） 调用形态，既有调用方零改动，清洗逻辑仍只有一份（redactSecrets）。 limit <= 0 = 不截断，留给体积已自己界定的调用方。 - observability_logs.go：新增常量 `maxLogMsgRunes = 4096`（含注释说明为什么不是 80、也不是无上限：单条日志可能是 %v 的 MiB 级对象，1000 条会撑爆 JSON）， adminLogOf 改用 `RedactTextLimited(e.Msg, maxLogMsgRunes)`。 - span props / 摘要侧不动，仍是 80（一个要摘要，一个要全文，两边不该被统一）。 测试（均验过变异打红）： - TestAdminObservabilityLogs_LongLineKeepsFullText：547 rune 的日志行（行首凭据 + 行尾哨兵）⇒ 凭据打码、末尾哨兵仍在、rune 数只差「凭据→[redacted]」那一处； 变异（改回 RedactText 80）⇒ 红：拿到 81 rune、末尾哨兵消失。 - TestAdminObservabilityTrace_PropsStayAtSummaryBound：200 rune 的 args_summary ⇒ 81 rune（80 + 省略号）；变异（把 maxSummaryRunes 提到 4096）⇒ 红。 验收：go build ./... / go vet ./... 全绿；go test -count=1 -race ./internal/services/gateway/... ./internal/runtime/trace/... 全绿。未 push。	2026-10-26 13:58:02 +08:00
AskaEth	fa5d3d23bf	feat(gateway): 面板人工加记忆钉 long + skill 解析去回显 + 可观测读侧脱敏 ... 三处遗留（M37/M38/M39）同落 internal/services/gateway： ① adminAddMemory 显式传 RetentionTier=long（主人 2026-10-26 裁定「人工动作 默认 long」）。此前不传档位，面板典型输入（短寒暄/一次性祈使/时效查询/句首 时点/进行中）会被 resolveRetention 判 temp 并写 7 天有效期 —— 主人在面板上 亲手加的记忆会静默消失。只钉这一条入口，Store.Add 默认仍由规则判定 （自动抽取路径不放宽）。 ② adminInstallSkillPlugin 解析失败不再打 err.Error()：新建 admin_plugins_skill_error.go，把失败折叠成「类别（yaml_syntax / yaml_type_mismatch / skill_invalid / skill_source）+ 行列号」，日志与 400 响应用同一份摘要。解码器会把出错值前 7 个字符嵌进错误串（M38 #17）， 原样日志等于把上传内容写进 viewer 可读的日志面。 ③ 读侧脱敏走既有 helper，不另写一套： - adminLogOf 的 msg 过 trace.RedactText（与写侧同一函数）； - adminSpanOf 先过 trace.SanitizeRecord（REST 尾部与 observability_trace 推送帧在同一处收口）。⚠️ 有意改变 admin 响应内容：props 变白名单投影 + omitted 摘要；字段名与帧形状不变。行数/级别/时间戳/来源、span 的 status/耗时/时间/名字一律保住。 测试（每条都验过「删掉实现 ⇒ FAIL」）： - 面板加记忆 ⇒ 落库 (retention_tier='long', expires_at='')；对照组证明同一句 内容走 Store.Add 仍判 temp； - 非法 YAML 含哨兵 ⇒ 响应与日志均无哨兵、都有类别与 line 2（内联/文件/语法/ 来源四类）； - 日志页 msg 含 sk- 形状凭据 ⇒ [redacted]，level/source/time 与非敏感正文保留； - trace 响应 props 正文 ⇒ omitted Digest、args_summary 打码，排障字段原样。 验收：go build ./... / go vet ./... 全绿；go test -count=1 -race ./internal/services/gateway/... 全绿。未 push（按任务口径）。	2026-10-26 13:53:59 +08:00
AskaEth	9e88605cc8	fix(voice): CloneVoice 的 200-with-message 泄漏收口到 dashscopeOKBodyError ... M41 同族的最后一条缺口：HTTP 200 的响应里用顶层 message 报业务失败，而这句话 是上游自由文本 —— create_voice 的 input.url 是参考音频的公开地址（可能是预签名 URL，带凭据），上游报错常把它原样回显。 - ERROR 只留「打到了、但 200 是个业务失败」这个形状事实 + 体积摘要； message 原文不进 error，code/type 若真的带回来也只以令牌形态出镜 - errors.Is(err, ErrProviderFailed) 不变（熔断口径不动） - 用例断言失败仍被识别、且 error 文本里搜不到哨兵正文	2026-10-26 13:50:10 +08:00
AskaEth	0f9251b983	fix(channel): 渠道适配器与出站工具的上游响应体/带凭据 URL 不再进日志与错误（M41） ... 接 M38 的 18 条真泄漏里「渠道适配器 + 出站工具」这一族（#10 #11 #12 #13 #15 #16）。 只动日志与 error 文字：发送/接收、解析口径、重试次数一个都没改。 - httpclient.do：非 2xx 不再把 512B 响应体原文拼进 error，改 trace.UpstreamError （状态/体积/sha256 前缀）+ 信封 code/message（RedactText + 200 rune）；error 里的 target 改 trace.HostOf，并剥掉 *url.Error 外壳（它带整条地址） - telegram doJSON：4xx 只解 error_code/description（清洗 + 截断），体其余字段不拼； 传输错误只留来源 —— Bot API 把 token 写在地址路径里 - weixin_ilink doJSON：4096B 体 ⇒ trace.UpstreamError，rawURL ⇒ mediafetch.HostOf； uploadOnce 剥掉预签名上传地址（encrypted_query_param），重试日志补来源主机 - qq_obv11 connectClient 成功 INFO：改走同包已有的 maskAccessTokenQuery （OneBot 惯例把 ?access_token= 写进 remote_url） - plugins/tools/io http 拦截日志：改记 trace.HostOf + 原因码，不记原 URL、也不记错误 原文（解析失败时它包着 *url.Error） 每条都有能变异打红的用例：QQ/iLink 预签名地址的哨兵、三处 4xx 体哨兵、 user:pass@ 与 query 凭据；八处变异逐条验证变红。	2026-10-26 13:47:56 +08:00
AskaEth	66dda084cd	fix(runtime): 上游错误体统一走 trace.UpstreamError，正文不进 error ... M41 的「LLM / embedding / 视觉 上游错误体」一族（M38 #5 #6 #7 #8 #9 #14）： 非 2xx 时把响应体截断后拼进 error，而 error 会被 chat run / loop step / retrieve_fallback 打日志，等于把她的提问、记忆正文、要念的台词写进日志。 - model：openai/anthropic 两处 upstreamError 收口到 upstream.go 的 providerUpstreamError；anthropic 流内 error 事件的 evt.Error.Message （原本无上限）整段丢弃，只保留令牌形状的 type - embedding：readErrorBody 删除，改走 helper（input 就是她的记忆正文） - vision：错误路径不再沿用取图的 50 MiB 上限，改为 4 KiB 有界读且不拼原文 - voice：classifyDashscopeStatus 只解 code/request_id，正文只留在内存里做 分类判据；错误体读取同样改为 4 KiB 有界 - 测试：五个上游各一条「日志/error 里搜不到哨兵正文」用例，且能变异打红	2026-10-26 13:44:32 +08:00
AskaEth	a697fa0a1e	Merge branch 'feat/m35-ttsemo-emotiontts-provider-with-emot' into dev	2026-10-26 13:44:00 +08:00
AskaEth	48b3dae5ed	Merge branch 'feat/m37-memtier-retention-tier-column-and-de' into dev	2026-10-26 13:42:20 +08:00
AskaEth	b90811fae4	docs(voice): 收口「没会话/没绑定就走 default」的镜像注释（r4） ... 唯一 finding：audio.go 的 speechRequest.SessionID 注释原本写「省略它时本口没有会话 概念 ⇒ 走 emotionTTS 的 default 分支」——**反了**。真实链路是 effectivePersona(ctx,"") → sessionPersona("") 为空**不是终点** → Effective = defaultPersonaID() → 常规安装必有全局默认人格 ⇒ personaId 非空 ⇒ 走 personas 映射。 照那句话改的人会写出 `if req.SessionID == "" { personaID = "" }`，正是 r2 修掉的病。 改为：省略时按**全局默认人格**选发音人（会话绑定 → 全局默认人格 → 两者都没有才落到 default 字符），并显式写了"不要写成 if SessionID == \"\" { personaID = \"\" }"。 顺手同根三处（不留第四轮）： - tts/config.go 的 Config.Default 注释：成因表「会话无绑定 / 读取失败 / 该出口本身 没有会话」已过时 ⇒ 改为「空串的唯一合法成因是连全局默认人格都没有」，并写明不是 "会话未绑定"、也不是"出站口没有会话"。 - runtimeconfig/voicetts.go 的 Default 字段注释与文件头同族措辞同步； - selection.go 的 WithPersonaID / Resolve 分支表、service.go 的分支小标把 「解析不到」统一改成「连全局默认人格都没有」； - voice_emotiontts_test.go 的 TestSpeechEndpointNoSessionUsesDefault 注释同步（该用例 没接人格库，所以确实落到 default —— 但成因写对了）； - wire_voice_tts_test.go nit：改成「已废弃的全局 `character` 不生效」（墓碑键仍在）。 纯注释：`git diff` 里非注释改动行为空。go build/vet 通过；四包 go test -count=1 全绿。	2026-10-26 13:40:00 +08:00
AskaEth	46a6da13e0	Merge branch 'feat/m40-logtrace-span-write-side-redaction-p' into dev	2026-10-26 13:36:31 +08:00
AskaEth	066319f9c6	fix(memory): 复审 r2 返工 —— 真实「记住 X」路径钉 long，断言改为能打红 ... 复审 r2 = p2-2items 全在「RememberManual 钉 long」那半，两条指向同一件事： **我以为修好的人工路径实际没修**。逐条： P2-1 上一版断言是**空断言**：夹具正文「记住她喜欢喝咖啡」含「记住」⇒ extract_retention.go 的护栏① 直接放行 ⇒ 默认落点本来就是 long，因此删掉 store.go 的 pin 仍然绿。 → extract_test.go 的 TestStore_RememberManual_正常 改为一对语料： 「我正在测通道」（N7，规则真会判 temp）+「记住她喜欢喝咖啡」（正文保留契约）， 并同时断言档位、`ExpiresAt` 零值、以及**落库列** `(retention_tier, expires_at)`。 P2-2 pin 钉在零生产调用方的方法上：真实路径是 ManualExtractor.Extract（无可用 LLM 出口时的生产回退）→ persistMemories → AddScoped → Add，而 rememberDirective **先剥掉「记住」前缀** ⇒ 护栏① 永远看不到它。改前实测：记住今天下雨了→temp/n6、 记住我正在测通道→temp/n7、记住现在几点了→temp/n4（均 +7 天）。 → extract.go 的 ManualExtractor.Extract 在**产出侧**显式置 `RetentionTier: RetentionLong`（并在注释里写清「不能靠护栏①」的原因）。 store.go 的 RememberManual pin 保留（两条独立的契约点）。 → 新增 TestManualExtractorItemsStayLongTerm：四条正文过 Extract → 复刻 persistMemories 的溯源覆盖 → AddScoped 落库 → 断言**落库列** `(long, 空串)`。 **变异证据（删掉两处 pin 后实测）**： --- FAIL: TestManualExtractorItemsStayLongTerm extract_test.go:167: 「记住今天下雨了」全链落库 = (tier="temp", expires_at="2026-11-02T05:34:20.844624200Z"), want (long, 空串) --- FAIL: TestStore_RememberManual_正常 extract_test.go:99: RememberManual("我正在测通道") 的档位 = "temp", want "long" 恢复 pin 后两条均 PASS。 回归：go build ./... + go vet ./... + go test -count=1 ./internal/runtime/memory/... ./internal/db/... ./cmd/cyrene/ 全绿；go test -race ./internal/runtime/memory/ 绿。	2026-10-26 13:36:15 +08:00
AskaEth	1c2944fcf4	docs(voice): 收回 r2 修掉的旧语义注释 + 让关闭态变异真能打红（r3 P2-1/P2-2） ... P2-1（两处注释在描述已被推翻的旧语义，会把 r2 的修复写回去）： - voice.go 的 voiceReplySink 文档：原写「personaID = env.PersonaID，会话无绑定时为空」 ⇒ 实际传的是 turnPersona.Effective，**未绑定 ≠ 空**（有全局默认人格时非空）。 改为写明「生效人格（会话绑定 → 全局默认人格；两者都没有才是空）」，并显式指出 它不是 env.PersonaID、把空当"没有角色"会让主会话落到 default（正是 r2 修掉的）。 - voice.go 的 synthesizeVoiceReply：原写「空 personaID = 会话无绑定 ⇒ 走 default」 ⇒ 反了。改为「空 = 连全局默认人格都没有 ⇒ 才走 voice-tts.json 的 default」。 - 同族 format 残留措辞：client_test.go 的「非法格式的回落」（该行为已不存在）、 cmd/cyrene/wire_voice_tts_test.go 的「角色/格式/超时按文件来」都改写。 - nit：voice.go 的 `env, turnPersona := ...` 遮蔽同包类型名，改成 `tp`。 P2-2（我上轮那条「摘掉 PrimaryActive 闸 ⇒ 用例红」不成立，复审实测仍绿）： 根因是 audioStubVoice 不实现 PrimaryActive，拦住 persona 读取的只有类型断言。 按塔选的第二种收口（把测试做强）： - audioStubVoice 补 `PrimaryActive() bool { return true }`（它是"生效中的 persona voice"替身），并在注释里说明它存在的理由； - 关闭态用例改用新替身 inactivePersonaVoice（实现 personaVoice 但报 false）， 于是 PrimaryActive 成为关闭态唯一的闸； - 重跑变异（摘掉 `&& pv.PrimaryActive()`）**实测打红**： 「未生效的 personaVoice 却查了 1 次会话人格（关闭态行为变了）」。 未动：功能面、错误码、500 状态码、白名单、session 可读、隐私/format/Stats/redactURL。 go build ./... + go vet ./... + go test -count=1 -race 覆盖 tts/runtimeconfig/gateway/ cmd/cyrene 全绿。	2026-10-26 13:32:04 +08:00
AskaEth	542bac677d	fix(trace): UpstreamError 默认不带 error.message，要带必须显式 opt-in ... 复审 P2 收口。上一条留的漏法（不是理论，是构造得出的）： `{"error":{"code":"invalid_request_error","message":"Invalid value: <用户原文>"}}` —— 默认保留前 128 rune，那 128 rune 就会**原样**进 error 与日志。此前的用例只钉了 input/echo 这类 sibling 字段，没钉到 message 这一面；而 M41（embedding input 是她的 记忆正文、DashScope TTS input 是她要念的话）与 M42（渠道响应体）都把这个 helper 当 模板，默认带 message 等于把洞复制到十几处。 改法（默认安全，放宽必须写出来）： - `UpstreamError(upstream, status, contentType, body, opts ...UpstreamOption)`： 最常用的四参调用**天然是最安全的那个**；默认只留 Upstream/Status/ContentType/ BodyLen/BodySHA256/Code/Type； - 新增 `WithUpstreamMessage()` 作为显式开关：带 message 时**必须**过 RedactText （凭据形状打码 + 压平空白）再截到 maxUpstreamMessageRunes，并在注释里写明 「只有在你确认该上游不会回显用户内容时才可用」； - 文件头写清取舍：**宁可少一条人话提示，也不让她的原话进日志**；排障靠 status + code + type + bodyLen + sha256 通常足够分类（400 还是 429、是 model_not_found 还是 context_length_exceeded、是不是同一份报文），细节要看时 报文在调用点上下文里还在。 测试（可变异打红）： - 新增 TestUpstreamError_DefaultDropsMessage：message 里塞哨兵的 400 ⇒ 默认构造下 error 与 slog 输出都搜不到哨兵，Message 为空，而 status/code/type/bodyLen/sha256 仍可辨；Attrs() 也不旁路带出； - 新增 TestUpstreamError_OptInMessageIsSanitized：opt-in 后 message 被截到 128 rune 且凭据被打码（超长 + 带 token 的 message）； - 既有 TestUpstreamError_DropsEchoedBody 补一条「默认 Message 为空」； - 变异验证：把默认构造改回带 message ⇒ 前两条变红；让 opt-in 跳过 RedactText ⇒ opt-in 那条变红。 回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿（backthink 的两条 2s 定时用例在满并发下偶发超时，单元重跑与整仓重跑均绿，与本改动无关：该包不引用 trace）；trace 包另跑 -race 绿。只动 upstream.go 与其测试，白名单/session/loop/ orchestration 未动。	2026-10-26 13:31:11 +08:00
AskaEth	765ef167bd	fix(memory): 复审 p2 返工 —— SQL 空串字面量、两处过期注释、人工路径档位 ... 复审 p2-1items（tip cc6904b）要求的三处，逐条： 1) SQL 双引号改单引号（唯一返工项）： - preinsert_store.go 的 revertMergedSQL：`merged_into = ""` → `''`。今天功能等价， 但靠的是 SQLite「双引号标识符解析不到 ⇒ 回退成字符串字面量」的 legacy 行为； 这是一条**改数据**的语句，还被 RevertMerged 与整理侧回滚共用，不该依赖回退。 - retention_migration_test.go 的 `WHERE retention_tier = ""` 一并统一成 `''`， 并在原位留下「为什么」。 2) 两处过期注释： - retention_schema.go：「反过来（先自举、后迁移）也成立」是**假结论**，改为 「生产顺序成立；反向顺序在 0019 处即失败（duplicate column name: status，既有问题）」。 - store.go 的 ExpiresAt：「本字段目前只写不读」已半过期（Add 现在会把最终落库 时刻回填到返回值），改成「读回语义是半开的」：Add 返回的条目有值，从库里读回的 恒为零值。 3) 人工路径（塔裁定「人工动作默认应为 long」）：包内的 `RememberManual`（「记住 X」） 显式钉 `RetentionTier = long`，留存规则因此不许把人工明确要求记住的东西降成临时层 （extract_test.go 加断言）。面板网关那条（adminAddMemory 直调 Add、不传档位） 按塔的口径不在本片、留给后续切片 —— 本片对它的唯一影响见回报。 不动（按塔的裁定）：preinsert.go 514 行（dev 既有 tech debt）、 design/03 §10.5 与 design/23 §18 的章节（塔的账）、gateway 人工路径。 回归：go build ./... + go vet ./... + go test -count=1 ./internal/runtime/memory/... ./internal/db/... 全绿，内存包 -race 亦绿。	2026-10-26 13:24:35 +08:00
AskaEth	e684061e56	fix(voice): 主/子系统会话的发音人跟「生效人格」走（r2 P2-1）+ 错误码可区分 ... P2-1（实质）：主会话（web）的 persona_id 恒为空且无重绑路径，而"空"的真实语义是 「继承全局默认人格」（loop/persona.go 回退 Options.PersonaID；前端 lib/persona.ts 的 bound ?? defaultPersona(personas) 是同一口径）。此前只有 TTS 把空读成"没有生效人格" ⇒ 落到 voice-tts.json 的 default：主会话聊天是 furina、声音却是 default 那个人， 换全局人格后也不跟声 —— 正是主人抱怨的那件事，且发生在唯一能给普通聊天出声的路径。 修法： - turnEnvResolver 新增 resolvePersona/effectivePersona（绑定 → 全局默认人格 → ""）， 默认人格扫描抽成 defaultPersonaIDFrom 一处（*Server.defaultPersonaID 转调它）； - ownerWithPersona 复用**同一次**会话读取同时给出 loop 用的 binding 与呈现用的 effective —— WS 语音回合为选音色不新增任何 I/O； - REST：现有闸内改用 effectivePersona；WS：voice.go 那次 env 解析处取一次传给 sink。 因此 `default` 只剩"连默认人格都没有"这一种用途。 - service.go 那句"换人格后用老角色声音不可能发生"收回为限定说法：本包无缓存、无兜底 角色、未映射即拒绝，但**调用方必须传生效人格**（网关两处已修）。 回归锁：voice_persona_inherit_test.go 复现复审用例（名字不同、两条口各一条）—— 未绑定会话 + 全局默认 furina + default 指向 cyrene ⇒ 必须用 furina 的声音； 变异（effectivePersona 退回「空 = 无」）实测两条都红，报文与复审一致。 建议 3（顺手做）：persona 未映射时状态码仍 500（服务端配置缺失），但错误码换成 tts_persona_unmapped / tts_no_character，不再与一般合成失败混成一个码； 用例 TestSpeechEndpointPersonaUnmappedErrorCode 钉住。 P2-2（nit）：voicetts.go 开头删掉「格式、」两字（该键已删除）。 go build ./... + go vet ./... + go test（含 -race）全绿。	2026-10-26 13:21:44 +08:00
AskaEth	6d0df6a825	fix(trace): 白名单放行 session —— 归属标识可读，正文边界不动 ... 主人 2026-10-26 裁定：session 是**业务标识**，不是正文。它是排障时把一条 stderr 日志对回某个会话的唯一线索；而 /admin/flow/graph 本来就按会话返回、连 sessionId 都给了，图里多一个 session 不构成新的暴露。因此把 session 加进共享白名单 （safePropKeys，走 redactValue 的普通清洗），不再被写侧折成 Digest。 「不放宽白名单」仍是原则：本次只放行这一个键，正文的边界一个字没动 —— - trace 侧新增 TestJSONRecorder_KeepsSessionReadableDropsBody，**一条用例同时钉 两件相反的事**：JSONL 里 `"session":"web#lane-2"` 原文可读；同一 span 里的 result / text 哨兵正文仍然搜不到，且只在 omitted 里留下体积与指纹。 - loop 侧真循环用例补一句断言：落盘里 `"session":"sess"` 可读，而工具结果哨兵 同时仍不可见。 - 变异验证：把 session 从白名单摘掉，上述两处都会变红（session 落到 omitted）。 回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿； trace/loop/orchestration 另跑 -race 全绿。	2026-10-26 13:20:45 +08:00
AskaEth	003d12a712	feat(trace): M40 span 写侧脱敏 + 共享上游错误收敛 helper ... stderr 的 JSONL 是无主人在场的落盘面，却在此前原样落工具结果（result）、 子代理回复（text/summary）与上游报文，等于一次 tail 就能拷走整段对话。 本切片交付两件地基： 1) 写侧脱敏（trace.JSONRecorder） - 新增 trace/span_props.go：safePropKeys 白名单与 projectSpanProps 投影， 读侧（safeSpanProps）与写侧共用同一张表、同一个投影函数； - WriteSpan 落盘前经 trace.SanitizeRecord 投影：白名单键清洗，表外键只留 Digest（bytes/runes/sha256 前缀，收进 omitted），事件先 RedactEvent 再把 正文键折成 Digest。落到磁盘的只有元数据，正文一个字节都不留； - 新增 trace/digest.go：Digest/DigestOf/DigestOfValue，给「脱敏后仍要能诊断」 一个构造上不含正文的取值形态（体积 + 指纹），两条投影都按类型放行它。 2) 共享上游错误体收敛 helper（给 M41/M42，禁止三家各写一份） - trace.UpstreamError(upstream, status, contentType, body)：只保留 status / contentType / bodyLen / body sha256 前缀 / 上游 JSON 的 error.code / error.type / 截断 128 rune 的 error.message，其余一律丢弃，响应体原文绝不 进 error 或日志；*UpstreamErrorInfo 提供 Error()/Attrs()/Unwrap()（errors.Is 可判 ErrUpstream 走降级链）； - trace.HostOf / trace.MaskQuery：日志里的 URL 只回来源，凭据类 query 与 fragment 值打码为 ***，user:pass@ 整段打码。 3) 剥掉三处正文上 span - loop：tool span 不再放 result，改放 result_summary（与 tool_execution.end 帧同源、已脱敏截断）与 result_digest； - orchestration：subagent span 不再放 text，subagent.done 事件不再放 summary， 改记 status/steps/chars/sha256； - automations：AddRuleByName 不再 %v 整个 payload，改记 subject/type/bytes/sha256。 测试：以哨兵正文在落盘字节上断言（JSONL / slog 输出），并分别对「编排层收到的 原始 span」与「写侧投影」两层各钉一遍；UpstreamError 用回显 input 的 422 报文 与 HTML 错误页各钉一条；解析出/未解析出 JSON 都不回原文。以上均做过变异验证 （去掉保护即变红）。 验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿； trace/loop/orchestration 另跑 -race 全绿。	2026-10-26 13:17:42 +08:00
AskaEth	cc6904b1b4	feat(memory): retention_tier 档位列 + defer 与档位合并为同一判定（M37） ... 主人 2026-10-26 对「记忆分型」裁定「两列」：kind（关于什么）保留，新增 retention_tier（留多久 / 干什么用）。本片把这条轴从列、判定、写入、读侧过滤 一路打通，并把「判第五态 defer」与「判 retention_tier=temp」合并成一个判定。 结构（迁移 0026 + 自举前滚）： - memory_items 新增 retention_tier TEXT NOT NULL DEFAULT ''（空串 = 尚未分型， 历史行与受限来源行），索引 idx_memory_items_retention_tier；up/down 均实跑过 （在隔离的生产库副本上 migrate → 建 Store → down → 再 up，5073 行零丢失）。 - NewStore 幂等前滚该列 + 建索引（ensureRetentionSchema），与迁移同形由测试钉住。 判定（retention.go，全仓唯一入口）： - RetentionTier 闭集 temp/daily/work/long/knowledge + 空串未分型；与 kind 正交。 - resolveRetention 的优先级：调用方显式档位 > 显式有效期（⇒ temp）> 受限来源 不分型 > 留存规则 N1~N7 ⇒ temp > 默认 long。判据靠元数据，规则不许推翻显式档位。 - tempDeadline 是「档位 → expires_at」的唯一换算：temp ⇔ 有效期非空，两列同一笔 INSERT 落下（M2 登记过的「INSERT 与补写之间的短窗口」就此关闭）。 合并（defer ⇔ temp）： - judgeIngest 不再跑留存规则，只读 Add 落定的 item.RetentionTier；规则调用点因此 全仓唯一（源码级断言钉住）。 - 判定不再依赖同步闸是否开启：闸未接/关着时档位与有效期照样落库。 - 异步层对已是 temp 的行不重复改写（避免 TTL 随审查延迟漂移）。 - IngestRuleVersion d3.3 → d3.4（判据作用范围变了，按既有硬规矩升版）。 读侧： - 四条列表读路径的 SELECT 与 scanItem 读出 retention_tier（14 列）；Get 同样读回。 - 新增 ListByPersonaTiers / ListScopeTiers / ListTiers / ListProjectTiers（可选档位 过滤，缺省不过滤 ⇒ 历史行照常返回；显式传空串只取未分型；非法档位报错）。 原方法签名逐字不变 —— 网关 MemoryStore 接口钉着它们，可变参数会编译不过。 - store.go 的读路径拆到 store_list.go，守 500 行上限。 回归：go build ./... + go vet ./... + go test ./... 全绿（内存包另有 -race）。	2026-10-26 13:09:30 +08:00
AskaEth	8820b0b316	fix(voice): 修 r1 复审四条（正文进日志的隐私泄漏 / format 假开关 / Stats 无消费者 / redactURL 兜底） ... 上一版把 r1 的三条 finding 静默漏了（我在交付前没读 inbox），本提交逐条补齐： 1. 🔴 隐私：upstreamStatus 不再读也不记响应体 FastAPI 的 422 会把请求体里的 input 整段回显，原来「错误体前 512 字节进 WARN」 等于把她的原话写进日志。现在只记 status / content_type / response_bytes （字节数优先取 Content-Length，缺失时有界排空取上界，读到即丢）。 新用例 TestSpeechRejectLogOmitsRequestText 用**回显正文**的假上游抓它； 变异（把 body 塞回 WARN）实测打红。 2. format 键彻底删除（假开关） 上游只拿 response_format 改自报 media_type，产物恒 .wav 无转码，我方只按字节 嗅探裁决 ⇒ wav/mp3/ogg 交付字节与响应头完全相同。删 tts.Config.Format 与 VoiceTTSTuning.Format，encodeSpeech 硬编码 requestFormat="wav"（不可配置）。 用例钉住请求体恒为 wav；变异（改成 mp3）打红。旧文件里残留的 format 键被忽略。 3. Stats 接进 degrade 的 WARN（attempts/failures） 否则统计在生产日志里没有消费者。TestServiceDegradeLogsCounters 钉住； 变异（去掉两个字段）打红。 4. redactURL 兜底含 "@" 整体打码 解析失败/无 host 时原来原样返回，user:pass@ 会漏凭据。TestRedactURLCredentials 覆盖合法 URL 去 userinfo、非法含 @ 打码；变异（退回原样返回）打红。 另：关闭态零行为变化的**当前 tip 重跑**—— - handleSpeech 的 persona 解析改为只在语音服务实现 personaVoice 且 PrimaryActive 时才查库；未接 emotionTTS（既有链/stub）时零额外 I/O、ctx 不改、音频字节相同。 用例 TestSpeechEndpointDisabledVoiceDoesNotReadPersona（含对照组证明闸不是恒关）； 变异（去掉闸）打红。 - voice.go 在 dev 基线里本就有 env.PersonaID 解析（无人格解析新增 I/O），本次未改。 Config.Normalized 去掉未使用的 logger 参数。go build/vet/test（含 -race）全绿； 真机 live 复测：cyrene 264104 B、furina 221194 B。	2026-10-26 13:06:39 +08:00
AskaEth	efc25c6a7f	feat(voice): emotionTTS 发音人绑定会话人格（不再全局定死一个 character） ... 主人 2026-10-26 逐字：「TTS 的人物选择是要绑定后端的角色的，不然会出现以后换了 别的角色(人格配置)，还是用老角色的 TTS 角色」——上一版把 character 写在面板文件 里当全局值，换人格后声音不变，是真缺陷。 配置形状（单一真源 = $DATA_DIR/config/voice-tts.json）： {"enabled":true, "personas":{"<personaId>":"<characterId>"}, "default":"<characterId>", // 只服务「解析不到 personaId」 "format":"wav","timeoutSec":60} - 旧的全局 `character` 键**废弃并被忽略**（启动 WARN 提示改用 personas）； Config.Normalized 不给任何角色兜底（代码里写死默认角色=病害本身）； - configs/personas/*.yaml 不参与（塔裁定：避免启动期静态配置与面板两处漂移）； - 零新 .env 键。 选角四条分支（Config.Resolve，纯函数、无缓存）： ① persona 有映射 ⇒ 用它； ② personaId 为空/解析不到 + 配了 default ⇒ 用 default； ③ personaId 为空 + 没配 default ⇒ 不合成（ErrNoCharacter，上游 0 请求）； ④ persona 无映射（含映射值为空）⇒ 拒绝（ErrPersonaUnmapped）， **绝不**拿 default 或别的角色顶 —— 主人担心的病害本身。 两条既有出站口各自按当次请求解析 persona（不在 SetVoice 时算一次缓存成全局）： - WS voice_output：用本回合的 env.PersonaID（runVoiceTurn/runVoiceTurnDirect）， 经 voiceReplySink 传给 synthesizeVoiceReply，再 WithPersonaID 交给语音面； - POST /api/v1/audio/speech：请求体新增**可选** sessionId（纯增量）， 经 turnEnvResolver.sessionPersona 解析；省略 ⇒ 走 default 分支。 Client.Speech 改为**每次传入 character**（内部不缓存发音人）；Provider 适配同样按 ctx 的 personaId 现算。选不到发音人时**不回落既有链**（回落=用另一个声音说话）， 上游拒绝(404/500)仍按既有口径回落既有链+WARN。 测试：四条分支各自可变异打红，断言打在「上游请求体里的 voice」与帧/响应字节上； 含「同一进程先后两个 persona，第二次绝不沿用第一次 voice」的回归锁， 以及两条出站口的端到端 persona 切换。四条变异（未映射回落 default / 客户端缓存 voice / REST 不看会话 / 选不到时回落底链）均已实测打红后还原。 go build ./... / go vet ./... / go test -race 全绿；真机 live 证据： cyrene(char_84fb88a3)=254630 B、furina(char_5314489e)=213392 B。	2026-10-26 12:57:35 +08:00
AskaEth	240b59708d	docs(contract): 矩阵补 B28-B31 与计数改正（14+31+40=85，纠正 104 的重复计入）	2026-10-26 12:48:53 +08:00
AskaEth	3a2711a7e0	feat(voice): emotionTTS 接成一级发音人（UTF-8 请求体 + 失败回落既有链） ... 侦察结论（真机 + 上游源码）： - POST /api/analyze_emotion ⇒ {primary,complex,intensity}；primary 闭集 实测 平/喜/惊/哀/怒/厌/惧/急，intensity ∈ Low/Medium/High。 - POST /api/synthesize 收 emo_vector(float[])+emo_alpha，但还要 ref_audio_filename 且只回 {"audio_url"}（服务端落盘），不适合做运行时直出。 - POST /v1/audio/speech 内部先 LLM 分析情绪 + 匹配参考音，再把情绪向量以 [EMO:{vector}|{alpha}]base64:... 注入 voice 交给 indexTTS2 ⇒ **情绪确实影响 语气，但由服务端从待念文本自推**，我方没有可映射的参数。 - 上游把下游载荷的 speed 硬编码 1.0（core/utils/llm_provider.py），客户端 speed 是空转 ⇒ 本切片不暴露 speed，也不暴露 emotion/tone（不造假开关）。 实现： - internal/runtime/voice/tts：Client（唯一 HTTP 出口，json.Encoder 产出 UTF-8 请求体、超时/非 200/非音频/超限各自可分类）+ 字节嗅探庭裁 + Service（emotionTTS 在前、失败回落既有链，永不上抛成回复失败）+ Provider 适配（可作链的一级）。 - internal/config/runtimeconfig/voicetts.go：$DATA_DIR/config/voice-tts.json （enabled/baseUrl/character/format/timeoutSec），零新 .env 键。 - cmd/cyrene/wire_voice_tts.go + wireFrontend 的唯一注入点：两条既有出站口 （POST /api/v1/audio/speech 与 WS voice_output）同时用上；不新建端点/帧族。 - 严守 voice 入站闭集（不扩 Source/Status），出站音频不挂 voice DTO（塔裁决 B）。 测试：中文 UTF-8 请求体、非 200、超时、非音频、超限、未启用、空文本、嗅探表、 降级回落、未启用透传、两条出站口的字节级实测、面板配置解析、组合根映射； 三条变异（去中文 / 嗅探恒真 / 去掉回落）各自打红。真机 live 用例（build tag emotiontts_live）实测 278,036 字节 WAV。	2026-10-26 12:46:57 +08:00
AskaEth	4c79728553	docs(contract): v0.94 MCP 管理面与工具 origin + v0.95 渠道静默窗口，含写门不对称与呈现隔离口径	2026-10-26 12:46:25 +08:00
AskaEth	a895754d55	Merge branch 'feat/m34-memdedup-dedupe-group-action-plus-re' into dev	2026-10-25 00:52:28 +08:00
AskaEth	01aff71bc1	fix(memory): dedupe_group 数值门改三态（归一后同值可合 / 同量纲不同值冲突 / 量纲不可比保守拒），修 r3 复审两项 ... r3 复审指出我第一版中文数字门两个方向都反了（规格本身被复审自己收回重写）： - 项 2（过严）：归一后**同值**、中文与 ASCII 混写的两条合不了 （`一小时` vs `60 分钟`、`十五分钟` vs `15 分钟`）。根因是判定仍以 `sameNumbers` （只抽 ASCII token）为闸：`{}` vs `{60}` 不等 ⇒ 直接否决，归一化没机会生效。 - 项 3（过松）：**量纲不可比**（`一小时` vs `一杯`）被当成"不算冲突"⇒ 会合并， 与「比不了单位就不许合并」相反。 修法：数值门从「布尔冲突」改成**三态**，并取代 `sameNumbers` 作为 dedupe 的数值判据： | 结果 | 含义 | 合并 | |---|---|---| | tidyNumberSame | 归一后同值（含中英混写、单位换算：一小时 ≡ 60 分钟） | ✅ | | tidyNumberConflict | 同量纲、值不相等（含单位不可互换：两杯 vs 三瓶） | ❌ | | tidyNumberIncomparable | 量纲不可比 / 存活行没有同量纲数量可比（一小时 vs 一杯） | ❌ 保守拒绝 | 配套： - 数量抽取同时支持 **ASCII 与中文数字 + 单位**（`60 分钟` / `15分钟` / `十五分钟` / `半个小时` / `一万两千行`），并新增 `字符`/`字节` 两个文字量单位； - **裸数字 token（无单位）**仍按 `sameNumbers` 的集合相等口径判（`0023` vs `0024` 这类靠它拦住），并有 parity 用例钉住「与 extractTidyFacts 的 nums 逐项一致」； - 三态里 `incomparable` 只**收紧**，不放宽任何既有门；`sameNumbers` 函数本身未改 （judgePair/judgeIngest 共用，另处 blast radius，已登记建议）。 回归用例（三态各一条 + 修前红/修后绿，均实测）： - TestDedupeGroupNumberGateThreeStates 四个子用例（两条同值含混写、同量纲不同值、量纲不可比）， 同时断言判定与簇结果； · 变异 = 退回 `sameNumbers`（项 2 旧行为）⇒ 两条「同值」子用例红； · 变异 = 不可比当放行（项 3 旧行为）⇒ 「量纲不可比」子用例红。 - TestDedupeGroupRejectsConflictingChineseNumbers / RejectsNonConvertibleUnits / SameChineseNumberStillMerges（r2 三项保持绿）+ TestTidyQuantitiesNumberParsing + TestScanTidyNumbersBareTokensMatchExistingFactNums（裸 token 口径不变）。 语料实测（生产库只读 mode=ro，active 3667，999 对已过否定/取值/相似度门的成员对）： 三态分布 same=942 / conflict=25 / incomparable=32；dedupe 产出 `250 簇/495 行` → **248 簇/489 行（13.3%）**。incomparable 那 32 对是「四行歌词 vs 一段歌词」「一个项目进度代号 vs 项目进度代号为「w49」」这类：按「比不了就不许合并」 一律拒绝，聚合上只少减 6 行（簇成员互有重叠）。 验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。	2026-10-25 00:49:44 +08:00
AskaEth	7700a7eda0	fix(memory): dedupe_group 补中文数字门（量纲/单位归一），修 r2 复审 p2 ... r2 复审 p2：`sameNumbers` 只抽 ASCII 数字 token，而本语料的数字主要写成中文 （一小时 / 十五分钟 / 第二杯 / 三千次轮回）⇒「午睡一小时 vs 十五分钟」 「咖啡不续第二杯 vs 不超过一杯」这类**数值冲突**被当成同一事实合并。 修法（新文件 internal/runtime/memory/tidy_dedupe_numbers.go）： - 抽出「**中文数字 + 单位**」对（一~九/两/半/十/百/千/万，含十五、二十四、一万两千、 半个小时），按**量纲归一**后比较：时间=秒（分钟 60 / 小时 3600 / 天 86400 / 周 604800 / 个月 2592000 / 年 31536000）、长度=米、文字量=个、计数=个； - 只认**后面紧跟已知单位**的数字：`一起 / 一直 / 一些 / 一样 / 第二天（序数位置）` 这类含数字的习语一律不产生数量 —— 不做成「有中文数字就不合并」； - 判据是**冲突**而非差异：存活行在同量纲里没有对应数量 ⇒ 不算冲突（被吸收行多出 的细节）；等值（含单位换算后等值，如「半小时」=1800 秒）⇒ 照常合并； 值不等且单位换算不到一起 ⇒ 按冲突处理（复审口径：宁可不合并）； - 只**增加否决**，不放宽任何既有门；ASCII 路径仍由 sameNumbers 先判，一字未动； `sameNumbers` 本身也未改（judgePair/judgeIngest 共用它，属于另一处 blast radius， 已在回报里登记为后续建议）。 语料实测（生产库只读 mode=ro，active 3667）：999 对里中文数字门挡掉 **17 对**， 其中真冲突：午睡十五分钟 vs 一小时 ×3、咖啡一杯 vs 第二杯 ×4、 「三千次轮回」vs「三千万次轮回」×1（ASCII 路径完全看不见这条）； 其余 9 对是「单位不可换算」的保守拒绝（半碗 vs 一个包/一杯、一次 vs 两圈）。 dedupe 产出 255 簇/505 行 → **250 簇/495 行（13.5%）**。 回归用例（去掉这道门即红，已实测）： - TestDedupeGroupRejectsConflictingChineseNumbers（复审给的两对真实语料，脱敏保留原意） - TestDedupeGroupRejectsNonConvertibleUnits（两杯 vs 三瓶 ⇒ 保守不合并） - TestDedupeGroupSameChineseNumberStillMerges（同值/换算后同值 ⇒ 照常合并，门没退化成「有数字就不合」） - TestTidyQuantitiesChineseNumerals（解析口径：一小时=3600s、十五分钟=900s、半小时=1800s、 一万两千行=12000、第二天/一起/一直 不产生数量） 验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。	2026-10-25 00:41:16 +08:00
AskaEth	54e32304f2	fix(memory): dedupe_group 补取值门 + 临时层双击复核；闸补 3 类长期事实安全阀（M34 r1 复审） ... r1 复审 p1-1（会毁数据）：tag_set 簇的安全门只有数值与否定，**专有名词/引号取值不比**， 生产语料实测把 `用户的昵称是「叶酱」。` 并进 `主人的昵称是「喵喵七号」…` 的存活行， 而同库另有 4 行写着「喵喵七号已作废、应称叶酱」⇒ 一次 apply 丢掉当前事实。 修法（结构性，不是补丁）： - 新增取值门 tidy_dedupe_values.go：被吸收行的**引号取值**（「」『』“”‘’"）与 **拉丁 token**（≥2 字母，含 h3R3 这类混排）必须在存活行正文中一个不少； 方向单向（被吸收 ⊆ 存活），与软合并语义同向（存活行多出的取值不会丢）。 补齐 design/23 §5.1-3 要求的「专有名词 / 数值 / 否定词」三件套里缺的第一件。 - tag_set 簇也过相似度下限（dedupeGroupMinSimilarity 两档统一）。取值 0.10 而非更高： 语料实测 tag_set 合法改写（`用户可能需要提醒吃早饭…` 0.047、`叶酱有工作…` 0.109） 的余弦本来就在 0.05~0.4 —— 抬高它只会删掉合法去重，不会多挡住危险对。 实测（503 对）：0.10→保留 98%、0.20→86%、0.30→63%、0.40→40%、0.50→20%。 - 回归用例：TestDedupeGroupRejectsSameTagDifferentValue（脱敏真实语料 + 同值对照组）、 TestDedupeGroupLatinTokenIsAlsoAValue、TestDedupeGroupNeverLosesAValue（簇级不变式）、 TestDedupeGroupTagSetAlsoNeedsSimilarityFloor。去掉取值门 ⇒ 前三条红；把 tag 相似度 归零 ⇒ 第四条红。 r1 复审 p2-1（数据安全）：元信息查询失败时**该分区本轮不分簇**（旧实现降级成 nil map， `temporary` 恒 false ⇒ 绕开「临时行绝不进簇」红线）；apply 侧补 `expires_at` 复核 （候选久置/生成后变临时 ⇒ 整簇 skip，tidySkipTemporaryRow）。用例： TestDedupeInPartitionSkipsWhenMetaUnavailable、TestTidyApplyDedupeGroupSkipsTemporaryRows。 r1 复审 p2-2（闸误杀被低报）：补三类安全阀 ——「以后/从此/往后/今后」= 自此刻起永久成立、 「换成/变成/改成/搬进」= 状态已改变且新状态持续、N7 的进行中标记同样必须句首 12 字内； 「宿舍」进长期事实词表；顺手修 `<=` 的 off-by-one（改为 `<`）。 实测（生产库只读 mode=ro，active 3667）： - dedupe：281 簇/594 行 → **255 簇/505 行（13.8%）**；tag_set 240 / prefix12 15； 取值门挡 76 对、相似度门挡 12 对；簇大小 2:155 3:48 4:26 5:8 6:7 7:4 8:2 9:2 18:1 20:2 （两个 20 行簇与 18 行簇的取值集合均为单一「喵喵七号」⇒ 大簇=同一事实的重写）。 - 闸：改前 2 (0.05%) → 改后 **75 (2.05%)**（n6 53 / n7 20 / n1 2）；含锚点词的 27 条 逐条人读均为「约定明天中午见 / 下周留个午后」类到期即失效的安排。 - 达标代价：+目前/现在 当锚点 → 2.13%；再叠一次性事件动词表（曾/发来/分享…）→ 6.74% 且新增 172 条里 56 条是长期身份/里程碑（「i love you 文件」17 条、「海报就是助手本人」 10 条…）⇒ 仍到不了 8%，不许为凑区间放宽。 验收：go build ./... + go vet ./... + go test ./... 全绿；-race ./internal/runtime/memory ok。	2026-10-25 00:29:02 +08:00
AskaEth	dfac06bbeb	docs(agents): 记下 internal/webui/dist/.gitkeep 占位不可删（干净 checkout 可构建的前提）	2026-10-25 00:09:56 +08:00
AskaEth	6a3f3a329a	feat(memory): dedupe_group 候选动作 + 留存闸组合口径与 N6/N7 时点规则（M34） ... M27 体检（DevDocs/audit/记忆库价值体检-2026-10-24.md）两条根治项： 1) 新增 `dedupe_group` 候选动作（不放大 containNone）： - 簇只认「同 scope+kind+完全相同 tag 集」或「同 scope+kind+前 12 字相同」 （后者附加词项余弦 ≥0.70 与同 kind 收窄）； - 每簇保留超集：内容最长 > merge_count 大 > created_at 早 > id； - 安全门与既有合并路径同源：受限来源/绝对时刻/时效状态/低置信一律不进簇， 数值与否定与存活行不一致的成员被逐条剔出；临时层行（expires_at 非空） 两个方向都不进簇（存活行被清扫会给被吸收行留悬空 merged_into）； - 已被 archive/merge 候选覆盖的条目不重复出第二条待办（抑制）； - 落库形态与 merge 同构：source_ids 多条 + target_id，应用为整簇原子的软合并， 回滚复用 revertTidyMerge（逐条复原）； - 批量应用按**行**计上限 200 行/批（maxTidyApplyRowsPerBatch），超限如实 truncated； - 不进自动档（人工/批量点）；试算（DryRun）零写库给出簇数与可减少行数。 2) 留存闸改组合口径（治根）+ N6/N7： - 护栏②从「含习惯/约定词就一票放行」改为「锚点词 **且** 含具体约束 （数字/禁忌/频次规律）」；无约束的锚点交给更窄的规则判； - N1/N3/N4/N5 这几条词项规则改为「无锚点时才开火」（`主人喜欢说晚安` 这类偏好不再因寒暄词被判临时）； - 新增 N6（指示性时点，句首前 12 字内）与 N7（进行中状态），安全阀：习惯词、 硬性长期事实词、数值/约束、寒暄/情绪词一律按回去； - 命中即第五态 defer，`expires_at = 判定时刻 + tempTtlSec`（默认 7 天， 已落在 $DATA_DIR/config/memory-tidy.json，零新 .env 键）；**只开新增侧**， 存量一条不补写（用例钉住）。 契约（加性，不改既有字段语义）：tidy dry-run/run 回执加 dedupeGroups / dedupeRowsReducible / dedupeTruncated；批量应用回执加 deduped / rowsAffected。 实测（生产库只读 mode=ro，active 3667）： - 闸：改前 2 条(0.05%) → 改后 89 条(2.43%)：n6 58 / n7 29 / n1 2； 89 条里 30 条含锚点词，逐条人读均为「约定明天中午见」「约定下周留个午后」 这类到期即失效的安排（唯一可议：1 条把「中午互动的日常」一起带进临时层）。 - dedupe_group：281 簇 / 可减 594 行（16.2% of active）；tag_set 265 / prefix12 16； 簇大小 2:170 3:48 4:27 5:10 6:10 7:7 8:2 9:2 10:1。 验收：go build ./... + go vet ./... + go test ./... 全绿。	2026-10-25 00:08:46 +08:00
AskaEth	210c8b999f	Merge branch 'feat/m33-testhealth-fix-test-double-races-and' into dev	2026-10-24 23:41:40 +08:00
AskaEth	f56d74c363	test(channelbridge): 准入三条用例改按「这条消息续出的臂」断言（M33 r2 复审 p2） ... TestCoalesceSystemNoticeDoesNotJoinBatch 仍在用位置索引 d[1]：waitTimerCalls 只保证 「至少 2 次请求」，不保证顺序 —— 加压下会拿到 m1/m2 那次 2s 的续臂（实测 -race -count=200 有 2/200 假红，空载测不出来）。 改成与兄弟用例同一口径，但把相位做成确定的：新增 sendSettledAndDuration —— 投递后等 worker 把这条收进本批、**为它**续好臂（按请求序号认领），再返回那次续臂的 时长。仅用 latestDuration 仍有缝：worker 可能在帧/通知之后才补上一条消息的续臂， 最新那次就成了 2s。三条准入用例（action 帧 / 系统通知 / 聊天消息对照组）统一改用它。 断言口径未变：仍然断言「系统通知/action 帧不重置静默窗口（剩余 500ms）」、 「聊天消息重置成完整 2s」；waitTimerCalls 语义、请求次数均未改。 证据：-race -count=400 连跑 3 次（1200 次）全绿、DATA RACE=0； 兄弟两条 -count=200 全绿；整包 -race -count=3 全绿。	2026-10-24 23:36:41 +08:00
AskaEth	1ae9158250	test(channelbridge): 窗口夹具按截止时刻推钟 + 去掉无法证实的替身锁（M33 r1 复审） ... P1-1（channelbridge 的 -race 门仍红，红在用例不确定性而不是竞态）： - coalesceTimers 改成**截止时刻**语义：每次 after(d) 记 at = 注入时钟 + d， 推钟只把时钟推进到「当前最早的截止时刻」再触发它。旧写法按 FIFO 逐个触发并 按请求时长累加，实测 12 条消息内攒到 5 个废弃定时器把时钟推 +10s（窗口 2s、 绝对上限 6s）⇒ 循环头走「到点直接发车、不 takeAll」的分支，队列尾部落到下一批。 - 推钟前强制「车道排空」这条不变量（pump/advanceAndFire/waitIdle）： 时钟只表示时间过去，它一转就可能跳过 takeAll，因此先等 worker 把货收进本批。 - sendSettled：投递后按**序号**等「这次投递之后新挂的定时器」（旧的都已被 worker 放弃、再没人监听），供「投递与推钟交替」的用例（每 500ms 一条的绝对上限用例）。 - fireLatest/advanceAndFire 带 done 谓词重试，避免「登记与触发之间续臂」导致 推了钟却没人醒；waitIdle 一边等一边推窗口（worker 停在窗口里时永远走不到退休）。 - 用例侧只补相位与等待，不动断言：TwelveBurst 读历史前等 assistant 行落库； 准入用例断言「最新一次续臂」（原来按下标取 d[1]，隐含臂数假设）； stale 用例两条都投完再推时钟（车道不会在两条之间退休）。 P2-1（替身锁无法用变异证实）选 A：删掉 stubChatter/stubSessions 的锁与访问器， 退回原字段访问，并写清理由 —— 21 个用例全走同步便捷路径 （b.process → processFrom → runBatch → Loop.Run），DEV HEAD 上 -race 数十次跑 （含把锁删掉的变异）DATA RACE 恒为 0；若将来从车道 worker 触碰这些字段必须加锁 并补 -race 用例。 证据：go test -race -count=3 ./internal/services/channelbridge/ 连跑 6 轮 18/18 全绿、DATA RACE=0；coalesce 子集 -count=80 全绿；整包 -race -count=20 全绿； 全树 go build/vet/test -count=1 全绿。	2026-10-24 23:18:45 +08:00
AskaEth	7d9b2132bb	test(testhealth): 替身竞态加锁 + 墙钟断言硬度（M33） ... 四处测试健康债务，只改 *_test.go，不动生产代码、不降并发： - channelbridge：stubChatter / stubSessions 的跨 goroutine 字段一律经 mu 访问 （Run/GetOrCreate 在车道 worker 上写、测试 goroutine 读，两者无 happens-before； 负向断言「等一会儿再看循环有没有被驱动」尤其如此）。读写走访问器，Messages() 返回副本；t.Parallel 与并发度不变。 - plugins/tools/io：claimProbeTimeout 2s（真实时间预算）→ 60s，并由 claimProbeWait 按 t.Deadline 收缩。探针只等 goroutine 被调度（无时间语义），放大余量把 「机器快慢」从断言里去掉，死锁仍以断言失败暴露。 - backthink：TestSelfWakeGate_WindowExpiry 窗口 120ms → 6s（给 waitFor 的 4s 上界 留 2s 余量），到期等待改为按首次受理时刻推算 window+250ms，不再盲睡 3×窗口。 另修 TestSelfWakeStatus_MatchesReceiptAndTracksPendingSlot：worker 先 take 再进 Think，卡 Think 并不占待跑槽 —— 改为「上一轮把 worker 占住再断言 Pending」。 - memory：墙钟实测用例显式给闸 5s 预算（measureGateBudget），不再因默认 150ms 超时 fail-open 打炸「每轮都真扫真判」前置断言；并把 GateFailed 纳入该断言。	2026-10-24 22:24:14 +08:00
AskaEth	20cf3e0a93	Merge branch 'feat/m32-subagentbackfill-deliver-subagent-re' into dev	2026-10-24 22:11:16 +08:00
AskaEth	da6a365222	tower: snapshot of uncommitted base checkout changes (worktree wt-33)	2026-10-24 22:03:13 +08:00
AskaEth	3acc81cec8	feat(gateway): 子代理结果回填父会话（系统注记）+ 记忆抽取排除（M32） ... 断点（M29 勘测定论）：后台批次结算后 `subagent.result` 发了、hub 也把它中继成 WS 帧，但**没有任何代码把结果回填父会话** —— `chat_messages` 无行、模型下一轮 看不到，于是「她拍了个子代理出去，但没有下文」。 回填拆成互不冒充的两条面（人格=身份红线：子代理结论绝不写成她的人格发言）： - 可观测/历史面（新文件 subagent_backfill.go）：独立订阅者（不塞进 hub）订阅 `subagent.result`，写父会话一条 `role=system` 注记（内容以 `[子代理结果]` 开头 并点名 `sub-<id>`），随后走既有 `message_persisted` 扇出 ⇒ 刷新/重连后仍在； - 模型面：同一行经转录播种成为下一回合的**系统注记**（`model.RoleSystem`）， 不是「她说过的话」。 落库口径：角色恒为 system（不冒充 user/assistant）、PersonaID 与 TurnID 留空 （注记不属于任何角色、也不属于任何一路回合）。 记忆抽取排除（新文件 subagent_backfill_extract.go）：`WithoutSubagentNotes` 装饰 `memory.Extractor`，判据是元数据（role=system + 注记标记，与 loop 的 summaryMarker 同一手法），组合根经 `loopMemoryExtractor` 套上 ⇒ 子代理结论绝不进记忆库；LLM 提取器的异步能力原样保留，压缩摘要（同样是 system）不被误剔。 可观测补齐（M29 §7）：`SpawnTool.await` 发布成功补带 source 的 INFO，`b==nil` 与 「无结果」的静默 return 改为 WARN，发布失败 WARN 带上 count/session；回填订阅者 顺手读 `bus.Dropped()`，涨了就记一条 WARN（总线丢事件不再是黑洞）。 测试（均可变异打红）：父会话恰一条 system 行且零伪造助手发言；注记/摘要/批次正文 有界且逐代理点名；不可用载荷与落库失败各留 WARN 且不广播；Start 真订阅总线； 结果不进记忆抽取（同步/异步/端到端接缝）；组合根真装配（真 bus 发布 → 父会话多 一行）。回归：go build ./... + go vet ./... + go test -count=1 ./... 全绿。 不做：不改 `subagent_result` 帧形状、不加进 frameReachesAll、不新开路由/帧族、 不注入人设、不改 Docs（契约归一建议报塔）。	2026-10-24 22:02:11 +08:00
AskaEth	bd49080bd1	tower: snapshot of uncommitted base checkout changes (worktree wt-32)	2026-10-24 21:51:07 +08:00
AskaEth	0fe88a44c0	Merge branch 'feat/m23-coalesce-silent-window-batching-and' into dev	2026-10-24 21:32:29 +08:00
AskaEth	4c9cabce1b	fix(channelbridge): 窗口准入落到车道头 + lane.go 按职责拆分（M23 复审 r1 P2） ... P2-1（行为缺陷）：窗口准入此前只在 prepareInbound 里算 `solo`，而 prepare 发生在 **窗口等待之后** —— 平台帧（action / 系统通知 / 我们自己的 message_sent 回执）照样 进窗、照样把滑动计时重置：一条回执就能把这一批的静默期一直续住（群友说了三句话， 她因为「撤回事件」迟迟不开口）。这与任务书「窗口只收 chat/image/voice/file」相反。 - `laneWindowAdmits(msg)` 成为**唯一准入判据**，只看结构化事实（ContentType + isSystemNoticeMessage，绝不解析正文）； - `splitWindowItems` 在窗口等待阶段把到达的条目分成「进窗口」与「不进窗口」两半； - 非准入帧**不建窗口、不重置计时**（首条即到达即发车），窗口中途到达的只收进 solos， 这一批发车后**原样回插队首**各自单跑（保序、不合并、不丢弃）； - prepareInbound 里的 `solo` 保留为第二道保险（适配器将来把平台事件标成 text 时， 仍会在组批前被切出去）。 P2-2（硬约束）：lane.go 682 行 → 按职责纯搬移成 5 个文件（最大 246 行）： lane.go（车道类型与注册表）/ lane_queue.go（入队与取队列）/ lane_worker.go（单消费者与回合槽）/ lane_drop.go（丢弃与停机诚实）/ lane_owner.go（主人私聊判据与车道键）。语义零改动：去注释后的声明集合 （34 个顶层声明，含函数体/字段/常量值）逐字节全等；既有用例一条未改。 顺带：把两处「IsOwner() && !IsGroupChat()」的注释改成代码真正用的判据 （ownerPrivateLane = !msg.IsGroup() && actor.IsOwner()），并记下这处 P3 分叉。 验证：全树 build/vet/test 全绿（73 包 ok）；三包 -race 全绿； 新增 4 条准入用例在「准入失效」变异下三条必红、对照组保持绿。	2026-10-24 21:28:26 +08:00
AskaEth	ca8577f05b	feat(channelbridge): 群聊静默窗口合并与回合中续跑（M23） ... 主人 2026-10-23/24：「要让群聊聊天很自然，很流畅的做法」。群里「一鼓作气打三句」 此前会让她回三次；本片在**每会话车道头部**加一段静默等待，把这几句合成**一轮**回答 （批内每条仍是独立的一条消息，design/15 §2.1 不许拼成一条）。 四条不可走样： - 🔴 主人私聊**结构性**无窗口：车道分 `newDirectLane`（无 batcher 字段、拿不到定时器 工厂）与 `newBatchLane`，类型由 actor 元数据（IsOwner() && !IsGroupChat()）决定， 配置无权翻转； - 🔴 窗口内零丢失：唯一容器是车道队列（takeAll 单消费者取出），合并阶段无新增丢弃点 （CoalescedDroppedTotal 恒 0）；超单批上限的**尾部回插队首**保序、锁内、发车前； - 🔴 一条批 = 一个 turnID = 一次 loop.Run = 一条助手回复； - 🔴 不改「回什么」：闸门仍逐条跑（prepareInbound 逐字搬运 M22 的 processFrom）， 被静默的消息进不了批。 实现落点： - lane.go：direct/batch 两种车道 + front（回插队首）+ takeAll + 停机诚实登记； - coalesce.go：生效参数解析、滑动窗口 + 绝对上限等待、发车原因与计数； - coalesce_lane.go：攒批 → 拆分 → 陈旧度/闸门 → 发车； - coalesce_prepare.go / coalesce_batch.go：processFrom 拆成 prepareInbound + runBatch； - runtimeconfig/channels_coalesce.go：$DATA_DIR/config/coalesce.json（零新 .env 键）； - gateway/admin_coalesce.go：GET/PUT /api/v1/admin/channels/coalesce（三态补丁 + writeAuth + 审计 channels.coalesce + 热生效），routes.go 两行注册（塔已批）； - 前端：渠道总览页一张卡（六个旋钮；主人私聊只给只读说明，不给开关）。 M22 既有用例仍在（lane_test.go 夹具显式关窗以钉住车道本身）；stranger_test.go 的那条 按塔裁定 #4 改写：「已有回合在跑 ⇒ 只登记不回」变成排队回答（留 WARN，绝不静默）。 回归：go build/vet/test ./... 全绿；三包 -race 全绿；前端 tsc --noEmit + npm run build + 渲染测试 36 项通过。不 push、不重启后端、未改 .env 与 Docs/。	2026-10-24 21:11:22 +08:00
AskaEth	679c8abf1d	Merge branch 'feat/m30-mcporigin-stamp-tool-origin-and-grou' into dev	2026-10-24 20:36:47 +08:00
AskaEth	c608dd4afb	fix(gateway): 卸载拒绝话术按接入路径分流（.env 接入的 server 不再指向 MCP 页） ... 复审 M30-p2-1（r1）：`plugin_uninstall_scope` 的 400 一律让主人「去『MCP 服务器』页 卸载」，但 `.env` 的 MCP_SERVERS_JSON 启动期接入的 server **不经**插件管理器、 不在 plugins.json 里，MCP 页（= Manager.Statuses()/List()）根本看不到它 ⇒ 那条指引 对该路径是假指引。 - 新增 `plugin.(Manager) MCPServerName`：`mcp:<server>` 注册键 → server 名的**唯一** 解析口（前缀只在 manager.go 出现一次），网关不再自己拼前缀。 - `serverScopedUninstall` 改为 `*Server` 方法，文案经 `uninstallPointer` 分流： · 管理器托管（落在 plugins.json，判据 `Manager.List()`）⇒ 保留「请在『MCP 服务器』 页启停或卸载该 server」； · 否则 ⇒ 明说该 server 由 .env 的 MCP_SERVERS_JSON 在启动时接入、面板不管理它， 并给出可操作步骤（改 .env 里那一项：删掉或设 enabled=false，改完需重启生效）。 接入路径判据来自**管理器持久清单**，不是名字前缀/transport 推断。 - `mcp:<server>` 登记条目同样分流（此前也一律指向 MCP 页）。 测试（gateway）：plugins.json 路径断言含「MCP 服务器」页字样且不提 MCP_SERVERS_JSON； .env 路径（工具与登记条目各一条）断言含 MCP_SERVERS_JSON 且**不含**「MCP 服务器」 字样；三条均断言 400 + `plugin_uninstall_scope` 不变、被拒后条目仍在。 修前红：两条 .env 用例（见回报）；修后绿。回归 go build/vet/test 全绿。	2026-10-24 20:32:36 +08:00
AskaEth	86aef7b454	feat(capability): 工具按上游 MCP server 分节（来源章 + 呈现隔离） ... 主人 2026-10-24：「能否将每个 MCP 服务器所承载的插件和工具按上游(来源)服务器分类 并与其他插件相对隔离？」 归属信息此前后端根本没有（GET /admin/plugins 每条只有 name/kind/description/两个 布尔），而 `mcp:` 是每台 server 一条的 KindMCP 条目的注册键，**不是**工具的命名空间 （工具名由 server 原样给出，连前缀都没有）⇒ 只能靠注册时的元数据，不能解析名字。 后端（唯一汇点盖章）： - 新增 pkg/plugins/sdk/origin.go：Origin{Kind,Server,Transport} + 可选接口 OriginAware（没实现 = 宿主内置，老工具零改动）+ OriginOf（零值视为无来源）。 - registry.Capability 加 Origin 字段；RegisterTool 盖章（覆盖热装与 .env MCP_SERVERS_JSON 两条接入路径的合流处），ReplaceTool **同样重新盖章**（它逐字段 重建条目，漏了就是「热替换把来源抹掉」）。 - mcp.mcpTool 实现 Origin()（server 名与传输都在 cfg 上），transport 用新的 transportNameOf 报**实际会用的**形态（stdio/sse/http），与 newTransport 同一推断。 - 网关 PluginSummary 加可选 origin（omitempty）：零值 ⇒ 键缺席，不是空对象。 - 卸载守卫：对单把 MCP 工具或 `mcp:<server>` 登记条目直接 400 （plugin_uninstall_scope）并指向「MCP 服务器」页 —— 原来会绕过插件管理器裸删， server 的 names 账本不同步、重连后工具复活。判据是来源章，不是名字前缀。 前端（呈现分组）： - admin/modules/pluginOrigin.ts：纯函数按 origin.server 分节（按 server 名排序）， transport 未报告时标题省略括号，缺 server 名不冒充内置。 - Plugins.tsx：工具段两级（`来自 fs（stdio）· N 把工具` + 宿主内置），MCP 工具行去掉 「卸载」改为指向 MCP 页；`kind:"mcp"` 登记条目与未知 kind（iot）各有段如实显示， 不再静默丢弃（design/09 §5.2.1 红线③）。 零影响（有断言）：tool_policies 表/策略写路径未改；ToolSchemas 不发来源（测试断言 模型面既无 origin 键也无 server 名）；停用 server ⇒ 条目连来源一起消失，无孤儿。 测试：registry 盖章/保章（两条均已实测变异变红）/内置零值/改策略不清章；mcp 注册 路径盖章 + transport 推断表；网关读面缺席与存在、热装整链、卸载守卫；前端 esbuild+cjs 逻辑测试 12 项。验收：go build/vet/test 全绿，frontend `npm run build` 通过。	2026-10-24 20:21:22 +08:00
AskaEth	fd8a62edf5	Merge branch 'feat/lanequeue-decouple-inbound-turns-and-add' into dev	2026-10-24 20:17:17 +08:00
AskaEth	e3e8878ead	fix(channelbridge): 车道键与会话键同源 + 主人私聊溢出区保序（M22 复审） ... 复审 r1 的 P1-1 被证实：车道键（a.Name()+ConversationKey，含频道与账号维度）与会话键 （platform \x00 channelID）是两套没有共同来源的判据，于是 kook 同一 guild 的两个 text channel、以及同平台两个账号对同一对端，都会得到「一个 session、两条车道、两个回合并发」 —— 两条 run 共享 sessionID，checkpoint 行 id 互相覆盖 / flow 桶被先收尾者删掉。 - P1-1 车道键与会话键同源：`internal/channel/session` 导出 ChannelKey / Key（channelID 与原缓存键派生**原样**导出，manager 内部改为走同一个 sessionKey，语义一字未改）； `laneKey` 现在逐字是 `session.Key(msg)`（主人私聊仍是 `main|web` 这个目的地键）， **去掉 a.Name() 维度**。同平台多账号对同一对端因此共用一条车道（它们是同一个 session）， 出站路由不受影响：回复取每条消息自己的 platform/ChannelID 与它自己的适配器。 - P2-1 溢出区保序：`spill` 非空后新条目一律追加 spill、不再回写 `ch`，修掉复审实测的 `[m1 m2 m3 m5 m4]` 超车（现为到达顺序）。 - P2-2 口径修正：lane_test 文件头改指 `TestLaneRejectsNewestWhenFull`（语义是「门前拒收 最新、队列不动」）；laneKey 注释改写「多账号必须共用一条车道」并写明取舍。 - P2-3 生产可见性：丢弃 WARN 带上 `dropped_stale_total` / `dropped_overflow_total` 累计 计数（不新开端点）；主人私聊积压改成按倍率 16/32/64… 告警，不再只响一次。 断言：TestLaneKeyNeverCollidesAcrossSessions（表驱动，含 kook c1/c2@同 guild、 telegram conf0/conf1@同对端两行 + 不同群仍并行的控制行）、 TestLaneOwnerPrivateSpillKeepsArrivalOrder（逐条放行，钉住到达顺序）、 internal/channel/session/keys_test.go（键派生与会话缓存键形状）。	2026-10-24 20:08:28 +08:00
AskaEth	7ea2850f18	Merge branch 'feat/m24-flowgate-move-review-off-admission-p' into dev	2026-10-24 20:00:57 +08:00
AskaEth	187eb327d6	Merge branch 'feat/mcppanel-mcp-server-management-page-and' into dev	2026-10-24 19:58:37 +08:00
AskaEth	cfb8700b61	Merge branch 'feat/m26-webuidist-make-go-build-work-in-clea' into dev	2026-10-24 19:54:10 +08:00
AskaEth	2142de92f2	fix(plugin): 拒收 env/args 的非字符串值 + 保留键收成内置 id 集合 + 启用落盘失败文案 ... r1 复审 P2-1 + 两条顺手件。 P2-1（必修）：`actionStringMap` / `actionStringList` 之前对非字符串值 `continue`，于是 前端 kv 控件里最自然的写法 `{"PORT":8080}` 会被**静默丢掉**、安装仍报 `installed:true`。 现在非字符串值、空键、非数组一律 400 invalid_config，文案只点名**键与类型**（不回显值）； 盘上零变更、注册表零工具、快照零行（测试同时断言）。 顺手件 1：`isReservedPanelKey` 从「只挡 mcp」改成内置提供者闭集（mcp / web-search / browser，写成 switch，新增内置页时漏补一眼可见）。之前一台名为 web-search 的 server 被 卸载时，`forgetPanels → MarkUninstalled` 会把内置「搜索提供商」页在重启前整页摘掉。 顺手件 2：启用「已连上但启用态未落盘」的文案改成事实（原来那句「它仍处于停用状态」与 事实相反）。为此新增 `ErrPluginStatePersist` 哨兵，把「磁盘没记住」与「连不上」分开； `state=connected` 的派生口径不动。停用失败文案同时补上「server 仍在运行」。 测试：三条新用例，均已验「修前红 → 修后绿」（见 review-request 的取证）。	2026-10-24 19:53:38 +08:00
AskaEth	a25e0c8870	test(channelbridge): 锁住审查解析的接线（BOM 韧性必须在生产侧生效） ... - 新增 TestParseKeepIndices_ToleratesBOMWiring：喂对端**原样字节**（\xef\xbb\xbf + JSON 数组） 给生产路径的 parseKeepIndices，必须解析成功且升序；同时断言夹具真的以 BOM 开头、且裸 json.Unmarshal 在它上面仍然失败 —— 把委派改回裸 json.Unmarshal 即红。 - 新增 TestParseKeepIndices_StillFiltersAfterDelegation：委派之后过滤口径不变（越界/负数/ 重复编号丢弃、结果升序）。 - 新增 TestNewLLMReviewer_ToleratesBOMOutput：走整条生产路径（NewLLMReviewer 产出的 Reviewer），回带 BOM 时给出保留编号而不是退回 FIFO。 - 注释里写明 M24 已确认的语义代价：审查移出准入路径后 review_pruned 不再从门口丢消息 （41–74 条/日 会进流水线），而 rate_limited 门口丢与 FIFO 上限修剪一字不改（由既有用例钉住）。 只加用例与必要注释（含一个为断言所需的 encoding/json import），未改动既有用例的任何断言。	2026-10-24 19:49:58 +08:00
AskaEth	960d7b46fd	Merge branch 'feat/m25-proactiveweb-route-web-proactive-pus' into dev	2026-10-24 19:47:48 +08:00
AskaEth	e91b868a5c	feat(channelbridge): 入站投递与回水解耦 + 每会话回合车道（M22） ... 报障：「群聊消息速率限制似乎会让消息一直排队，导致后面才回复前面的话」。 病灶：`onMessage` 在适配器的读循环里**同步**抢全局 16 槽回合信号量，槽满即停止 读 socket（心跳不回、后续帧不解析），跑完一轮再按条重放。 - 解耦：`onMessage` 过完流控闸后只调用 `enqueueInbound` 就返回；全局回合槽 （maxConcurrent=16）搬到车道 worker 里取，读循环不再等任何一个回合。 - 每会话一条车道（lane.go）：键 = `<账号>|<platform>|<channel>|<会话桶>` （主人私聊恒为 `main|web`，因为它们都路由进同一个主会话）；同会话串行 FIFO、 不同会话并行；空闲车道退休，表大小只跟活跃会话数相关。 - 陈旧度闸：轮到时已等超 `LaneStaleAfter`（默认 30s，Options 可覆盖）⇒ 丢弃不补答， 留 WARN + LaneStats 计数 + onRejected 审计。主人私聊与非聊天事件豁免 （主人 2026-10-24 裁定：宁可晚回，不许不回）。 - 背压有界且诚实：群聊/陌生人满时在门前拒收这一条（队列内容不动，M23 的 takeAll 依赖它）；主人私聊永不拒收，溢到 spill 只排队，越过 ownerLaneBacklogWarn 记 WARN。 - 四条不变量（顺序/一致性/完整性/最新性）在 lane.go 头部写清，lane_test.go 逐条断言； TestLaneDeliveryNeverBlocksTheReadLoop 用「槽全满 + 心跳帧」复现旧病灶。 不改「回什么」的语义：flowgate 限流判据、engage/冷避/owner 闸、陌生人 AcquireTurn 全部原样保留；不做静默窗口合并与回合中续跑（M23）。	2026-10-24 19:46:20 +08:00
AskaEth	ec6c98d26a	fix(web): keep the webui dist placeholder across frontend builds ... copy-dist.mjs rm -rf'd internal/webui/dist before copying the SPA in, so every npm run build deleted the committed .gitkeep and a fresh checkout went back to failing go:embed. Restore the placeholder after the copy, and also on a failed copy (an empty dist/ still compiles; a missing dir does not), so the wipe only ever clears build output.	2026-10-24 19:44:34 +08:00
AskaEth	76d972f0f2	fix(channel/flowgate): 审查移出准入路径、节流覆盖失败路径、BOM 解析韧性 ... - Admit 不再同步调用审查模型：触发时只把审查**派发**到后台 goroutine，准入只读 当前已有结论。三重上界：同一适配器至多一次在飞（reviewInFlight）、同一会话每窗口 至多一次（lastReview）、整个适配器每窗口至多 defaultReviewPerWindow=6 次（reviewHits， 写成可测断言）。 - st.lastReview 改为在**派发时**置位 ⇒ 成功与失败两条路径同样被节流。修复前它只在 err == nil 分支置位，而实测 68% 的审查因对端回带 BOM 解析失败 ⇒ 缓冲满后每条入站帧 都付一次 ~6s 的模型调用（qq-ws/kook-ws/weixin-poll 三路单读 goroutine 全被钉住）。 - 新增 adapter.ParseReviewIndices：容忍 UTF-8 BOM、首尾空白/换行、Markdown 代码围栏、 数组外解说文字；越界/重复编号照旧丢弃。channelbridge.parseKeepIndices 改为委派它 （仅函数体 + 注释，未动限流/丢弃/审查触发语义）。 - 语义差异（已写进 flowgate_review.go 文件头）：rate_limited 的门口丢与 FIFO 上限 一字不改；审查修剪降级为后台积压去噪，只修剪它当时看到的那批历史条目 —— review_pruned 不再从门口丢消息（实测 41–74 条/日），完整性↑、噪声↑，是否开口仍由 engage_judge/冷避/owner 闸判（三处判据未动）。 - cmd/cyrene：逐账号启动日志如实报出生效的入口流控（塔裁决 A：零行为改动、不翻默认）， 让「没配流控键的账号闸门仍开着」一眼可见。 - 测试：4s 慢审查替身证明入站帧不被阻塞（变异回同步 ⇒ 红）、节流在失败路径生效 （摘掉派发时置位 ⇒ 红）、每适配器窗口预算上界（摘掉预算 ⇒ 红）、同适配器单飞 （摘掉 in-flight ⇒ 红）、在飞期间到达的消息不被连带修剪、带 BOM 字节的夹具 （夹具去掉 BOM ⇒ 红）。闸门用例 -race 通过。	2026-10-24 19:43:57 +08:00
AskaEth	a1d162febf	fix(webui): commit dist placeholder so go:embed compiles in clean checkouts ... internal/webui/webui.go uses //go:embed all:dist, which fails to compile when the directory holds zero files. dist/ is gitignored (it is npm build output), so every fresh clone or worktree could not run go build ./... until the frontend had been built once. Track an empty internal/webui/dist/.gitkeep so the embed always has one matching file. The all: prefix is what makes a dotfile count. Real build output (index.html, assets/**) stays ignored and is never committed. The placeholder is forced into the index because .gitignore's dist/ rule excludes the parent directory with no way to re-include a child.	2026-10-24 19:42:58 +08:00
AskaEth	1d3965aa80	fix(gateway): Web 活跃客户端主动推送走 turnreply 规整（先规整再落库，推帧与落库逐字相同） ... M19 复审抓到的真缺口：internal/services/gateway/proactive.go 的 SendProactive -> persistProactiveToMain 这条 Web 活跃客户端主动推送路由 完全绕过 turnreply.NormalizeParagraphs —— 同一条主动消息走 IM 是规整过的、 走 Web 实时推还是原样（半包 <p> 在客户端按「存在完整 <p> 就不再按空行回退」 的契约下整条塌成一坨）。 - 接线：SendProactive 在落库之前先 msg.Content = turnreply.NormalizeParagraphs(msg.Content)， 落库与 proactive_message 帧取同一个字符串 ⇒ 两端逐字相同；不在 gateway 另写实现。 - 新增 proactive_normalize_test.go：修前红（web 原样 / im 已规整），修后断言 ① 落库是规整后文本 ② 推帧 == 落库行 ③ 两条路由同源同文本 ④ <br>/<action> 语义不动。 - 既有两条断言按新口径更新（纯散文现在也被包成一个 <p>，与其它三处一致）。	2026-10-24 19:40:30 +08:00
AskaEth	2421a8dac9	feat(plugin): 组合根装配「MCP 服务器」页（声明 + 动作处理器成对） ... - wirePanelHub 在 AttachPanels / declareBuiltinPanels 之后调 AttachMCPPanel： 一处完成「声明页面」+「登记 7 个动作处理器」，缺任一步就是面板在、动作全 501。 - wire_panels_test 的两条「内置面板恰好 1 条」断言改成按 pluginID 定位 （web-search/providers），并加钉区块形状（form+table；viewer 只剩 table）。 接线落地后目录里确实是两条（mcp/10 + web-search/20），旧断言是事实过期而非回归。	2026-10-24 19:38:38 +08:00
AskaEth	4518385f44	Merge branch 'feat/literalnewline-render-literal-backslash' into dev	2026-10-24 19:38:27 +08:00
AskaEth	6b0af81136	fix(turnreply): 围栏闭合串不得短于开启串（复审 p2 收口） ... 复审 review-m19-r1 的 p2：`codeProtectedEnd` 的围栏分支只判「下一个 ≥3 反引号 的串」，没判「闭合不短于开启」。CommonMark 要求闭合串**至少与开启串等长**， 因此 ```` 开启的围栏不能被内层 ``` 关闭。复现形态（````markdown 里嵌 ```go， 示例里写 `print("a\nb")`）：旧实现把内层 ``` 当闭合 ⇒ 之后的示例正文被当普通 正文渲染，代码里的 `\n` 变成真换行；而这一步跑在**落库之前**，改坏的代码会永久进 历史 —— 反向踩了本文件「宁可少渲染也不改坏代码」的自己的红线。 - literal_breaks.go：围栏分支改为 findBacktickRun(text, body, n, unboundedRun) （closing ≥ opening）；注释写明 CommonMark 口径与「改了会落库」的后果。 - 新增 TestRenderLiteralLineBreaks_NestedFenceRespectsOpeningRun：嵌套围栏逐字保留、 围栏外仍照常渲染（保护不得溢出）。摘掉这一行 ⇒ 该用例红，还原即绿。 - 新增 TestTurnReply_DoubleLiteralBreakBecomesParagraphBreak：钉住 `\n\n` ⇒ 空行 ⇒ 两段 <p> ⇒ 两端各 2 条气泡（复审观察②，语义对但此前无用例覆盖）。 - 措辞收口：样本 455 字符 / 907 字节；IM 侧主动推送的注释补明「Web 活跃客户端那条 主动推送不经 NormalizeParagraphs，另计」。 行内代码那条等长分支未动。全树 go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包，RC 0）。	2026-10-24 19:33:33 +08:00
AskaEth	9654ce8861	feat(plugin): MCP 服务器管理页 + 按 server 独立启停与状态快照 ... design/09 §5.2.1 / §5.6.1：补上「看不见连没连上 / 暴露了哪些工具 / 为什么挂了」的洞。 - runtimeconfig：PluginConfig 新增 `enabled`（*bool，缺省＝启用 ⇒ 既有 plugins.json 向后兼容）；新增 RedactPluginSecrets（整把凭据 + 任意 ≥6 字符片段一并抹除）。 - mcp：新增 status.go 的只读状态读面（ToolSummaries：工具名 + 截断描述，取自能力 注册表本身，因此与模型可见的工具集合同源）。 - plugin 管理器： · Install/Restore 尊重 enabled（停用＝落盘不连接，重启后仍是停用，且一次都不连）； · SetEnabled 落盘 enabled（停用先落盘再下线；启用失败时 enabled 保持 false）； · 新增 Reconnect（对已停用者拒绝，不替用户启用）； · 新增 Statuses（三态：connected 缺席＝未知，工具数/明细/时间只在知道时给出， lastError 在记录那一刻即脱敏截断）； · 内置「MCP 服务器」页声明 + 7 个已声明动作（list/install/reconnect/enable/ disable/uninstall/transports），走既有通用动作端点（owner-admin + 审计）； · 护栏：热装插件的生命周期不改动内置提供者（mcp）的目录条目。 - gateway：已安装列表与 install 响应加 enabled，install 支持 config.enabled。	2026-10-24 19:31:31 +08:00
AskaEth	fa573663c1	fix(turnreply): 字面 \n 渲染成真换行（Web 镜像与 IM 出站同一份） ... 主人 2026-10-24 报障：QQ 群最新一条 assistant 消息里 6 处字面 `\n` （反斜杠 + n，不是真换行）原样发出去，用户看到「F\n多利亚」。 落点选在**写入侧共享层** `turnreply.NormalizeParagraphs`（gateway 的 persistTurnReply 与 channelbridge 的 turnVisibleReply 都调它）： IM 的 deliverReply 拿同一个字符串既落库（= Web 主会话镜像）又发气泡， Web chat 气泡是 whitespace-pre-wrap ⇒ 在共享层渲染，落库/WS/REST/IM 出站与历史一次性对齐；只在 channelbridge 清洗层改会留下「面板上仍是字面 \n」。 - 新增 internal/runtime/turnreply/literal_breaks.go 的 RenderLiteralLineBreaks： 逐字节扫描，围栏（```）与行内代码（`…` / ``…``）内原样保留，`\n` 与 `\t`/`\r`/`\uXXXX`、行尾孤立 `\` 一律不动；未闭合围栏保守保护到末尾；幂等。 - paragraph.go 在**围栏 skip 之前**调用它 ⇒ 含围栏的消息里围栏外的 `\n` 也渲染。 - 🔴 未改既有语义：只产出换行字符，绝不产出 <br>/<p> —— <br> 仍是气泡分隔符， 字面 \n 只做气泡内换行（一条列表不会被拆成 7 条消息）。 - channelbridge 源码零改动。 验证：真机原文（6 处 \n / 5 个 <p>）修前红（摘掉钩子 3 个测试变红）→ 修后绿； 三处变异（去掉围栏保护 / 去掉 \ 配对 / 把渲染挪到围栏 skip 之后）各自变红后还原复绿。 全树 go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）。	2026-10-24 19:21:50 +08:00
AskaEth	4ed5925296	Merge branch 'feat/memberquiet-cold-shoulder-applies-before' into dev	2026-10-15 19:14:00 +08:00
AskaEth	28967d3435	refactor(channelbridge): 冷避例外②收窄为「真故障/求救」严格子集 ... 塔 2026-10-15 改裁定：例外给了命中词「穿透 30 分钟冷避」的权力，噪声不再只是多回 一句话，而是直接削弱冷避本身 —— 而实测全表 14 条在 598 条真实 user 消息里只命中 1 次，且那次是假阳性（QQ 机器人卡片文案里的 `bug`，而该群本来就在放这种卡片）。 - 新增 coldShoulderPierceKeywords（具名常量，注释写明为什么比全表严、依据即那条 卡片假阳性）与 hasColdShoulderPierceKeyword：保留 报错/出错/故障/紧急/救命/求助/ 帮帮我/urgent，剔出 ASCII `bug`/`error`/`help`（会命中结构化载荷/URL/卡片）与 情绪歧义的 `崩溃`/`坏了`/`坏掉`。 - 例外② 改用该子集；hasHighValueKeyword（基线，ruleLightJudge 用）**一字未改**， 两张表的分工写进注释，并有断言钉住「基线不许被这次收窄波及」。 - 例外矩阵新增三行：机器人卡片含 `bug` ⇒ 不穿透；英文 error/help ⇒ 不穿透； 情绪「我崩溃了」⇒ 不穿透（三行对上一提交均为红）。第 1/2 行继续用保留词 报错， 第 3/4/5/6 行原样保留；另加子集单元护栏（正例六条 / 反例六条）。 - 按项目「文件 ≤500 行」把冷避规则簇拆到 engage_coldshoulder.go（engage.go 528→376）。 红前绿证据：把例外判据临时还原成上一提交的 hasHighValueKeyword 全表（与该提交逐字 等价）⇒ 恰好上述三行变红、其余行与护栏保持绿；已还原（无残留）。 已知代价如实登记在案：用英文写的真求救不再穿透 —— 塔裁定以「宁可少穿透」为准； 全表（highValueKeywords）本身的收窄由塔另排切片，不在本片。 验收：go build ./... + go vet ./... + go test -count=1 ./... 全绿（73 包）； channelbridge / channel / cmd/cyrene 单独跑绿；darwin/arm64 交叉编译通过。	2026-10-15 19:04:48 +08:00