461 Commits

This Branch

This Branch

All Branches

Author	SHA1	Message	Date
AskaEth	eaada3af5d	feat(web): 前端与后端同步一批（帧壳 turnId / 并行六态与两级分桶 / documents 渲染 / System 键名 / 主人档案分组） ... - 帧壳 `turnId` 在 socket 层不再被丢（`lib/ws.ts` 的 dispatchFrame 补 turnId/seq）—— 按路分桶的前提 - 并行帧组接入：`turn_begin` / `steer_ack` / `pending_ack` / `pending_drain` / `pending_full` / `chat_duplicate` ⇒ 六态 + 灰态 + `(sessionId, turnId)` 两级分桶；`appendChunk` 不再永远写尾气泡 - 多路忙态：`session_interrupted` 不再无条件当空闲（看 mode/activeTurns）；`stream_end` 不再只按会话过滤 - `documents` 渲染（含 status/chars/truncated 与**逐字中文 reason**）；`turnId` 历史行分组小标 - `System.tsx` 键名改正（真键 HOST/PORT/ADMIN_USERNAME/ADMIN_PASSWORD，避免照抄静默失效） - 主人档案**按平台分组** + 平台下拉 + 账号候选；**写盘仍展平数组**（后端契约不变） - 验证：tsc --noEmit ✅、npm run build ✅、22 个前端测试文件全通过（本次新增 3 文件 108 条断言） - 未做（如实）：握手 history handler 与断线补拉、上行 interrupt 按钮、proactive_message/subagent_result 等帧落点、文档上传入口与图片预检、voice 管线、System 的 env 读端点	2026-10-05 11:09:24 +08:00
AskaEth	6a545badbd	feat(channels): IM 入站图片采集层（图片白名单 + 微信图片来源 + 复用 vision 内联入口） ... - mediafetch 新增**图片白名单**（扩展名 + **字节嗅探兜底**；与文档/音频**三份名单互不污染**）， 取回/裁决/上限全部走既有 Fetch（**来源白名单 deny-by-default** + 逐跳重定向校验 + 边读边限 + 超时） ⇒ 没有新造第四份取回实现 - 微信：给图片 URL 配来源白名单（沿用该渠道 CDN 根口径） - vision 的 `data:` URI 内联入口为**只读复用**（未改 vision 一行） - **行为变更**：图片现在**会**被尝试取回（**字节嗅探是唯一裁决权** —— 不是图片字节就不写 `Data`）； 其它渠道尚无图片来源白名单 ⇒ 由 deny-by-default 拒绝（**安全**，只是暂读不到，走诚实降级）—— 故同步更新了 kook 的既有测试（原断言「图片保持既有路径 = 不取回」已随口径演进） - ⚠️ **`channelbridge` 一个字没碰**（接线点在切片报告 §7），等监工接线 + 补其它渠道白名单 - 测试：3 个新文件；变异 5 条	2026-10-05 11:04:41 +08:00
AskaEth	5de708a560	fix(gateway,channelbridge,turnreply): p 标签半包写入侧规整（修「整条塌成一段」） ... 裁定（已发安卓）：**能修**，走**写入侧规整** —— 不指望模型输出、不动客户端。 - 新增 internal/runtime/turnreply/paragraph.go 的 NormalizeParagraphs： 把未被 <p> 包裹的段落补上 <p>（按空行分段；<action>/<narration> 段也包进 <p>， 与正确形态 <p><action>…</action>…</p> 一致） - **幂等**守门断言：已完全包裹的文本逐字不变（防二次加工） - 落点覆盖 Web 与 IM 两条落库路径（gateway/session_turn_reply.go、channelbridge/turnreply.go、 proactive.go）⇒ 两边共用同一份规整文本 ⇒ **历史一次性变好、两个客户端零改动**、渲染口径不分叉 （测试与变异详见切片报告）	2026-10-05 10:56:39 +08:00
AskaEth	d532eb3fcd	fix(session,qq-obv11): 修「判主好了、会话车道没跟上」（QQ 私聊没镜像进主会话） ... 真因（agent-221 用三条独立证据推翻了「SenderID 为空」的假设）：ev.UserID 有值； owner.yaml 的 qq 条目是 10:37:57 才加的（此前那几条判陌生人属**正确的 fail-closed**）； 而热重载成功后仍不对 —— 因为 internal/channel/session/manager.go 的 GetOrCreate 对**已绑定的渠道直接返回缓存会话**：判主门槛用新 actor 会过（所以她会回话）， 但**车道用的是缓存的旧会话**（Owner=false ⇒ 不镜像进 Web 主会话、MemWritable=false、 落盘 actor_role 永不更新）。 修：缓存命中但 ActorRole 与本次解析不一致 ⇒ rebindLocked 刷新车道 + 同步落盘 （updateActorRoleSQL）；persist 的 INSERT OR IGNORE 后读回落盘车道、不一致就地纠正 （覆盖上一轮进程留下的旧行）；落盘失败只 WARN（不因记账失败丢主人消息）； **身份变化不搬家、不换 session id**；车道只来自 ResolveActor 的结构化白名单判定。 QQ 适配器（防御加固，非本次真机 bug 的修复）：senderIDOf 兜底链 顶层 user_id → sender.user_id；并用完整论证钉住「**群聊绝不能用 ChannelID 兜底**」（否则群里任何人 可顶群号冒充主人）；顺手体检：自己发的消息（post_type=message_sent）与 meta_event 已被 handlePayload 过滤。为守 ≤500 行把 id/字符串小工具拆到 ids.go。 测试：session/ownerlane_test + qq/ownerlane_test 新增用例（含「群号等于主人号时 陌生人不得借群号冒充」「群聊发送者 id 缺失时 SenderID 必须为空而非群号」「白名单 热重载后车道立刻刷新且 session id 不变」「白名单移除后立即退回，不是单向提权」 「跨进程继承的旧行被就地纠正」）。 变异 5 条（去 sender.user_id 兜底 / 群聊用群号当 SenderID / 命中却判 unknown / 还原缓存直返 / 去掉旧行纠正），每条先确认可编译、贴红行、还原复绿（md5 逐字节校验）。	2026-10-05 10:53:05 +08:00
AskaEth	b16ab2c5e8	chore(config): 主人档案新增 qq-obv11 账号（主人经面板添加，保留）	2026-10-05 10:37:57 +08:00
AskaEth	42279b7124	feat(channels): 按账号连接/断开 + 可删空 id 条目（修主人真机踩的两个缺口） ... 缺口①：「连接」是按平台连、且恒打第一条账号（channelActionRequest 只有 name）⇒ 主人有两条 qq-obv11 时点到的是 mode=server 的历史条目，报 server mode requires listenAddr，而正确的 client 条目轮不到。缺口②：空 id 条目既删不掉（DELETE 要求 id 非空）也改不了（UpsertChannel 空 id = 新建），越改越多。 后端： - POST /admin/channels/open|close 请求体新增可选 accountId（缺省逐字兼容，老客户端零影响）； 按该账号驱动；未知 id ⇒ 404 且零连接（不静默回落第一条）；已配置未注册 ⇒ 409 - DELETE /admin/channels/{platform}/config 新增显式 empty=1（id 与 empty=1 互斥 ⇒ 400； 无可删 ⇒ 404）；语义严格 —— 只删空 id 条目，绝不把「id 为空」默认解释成删空 id - 响应新增：open/close 的 resolved（实际驱动的适配器名）与 accountId；delete 的 removed/empty； GET /admin/channels 的 accounts[].connected（可选 bool，缺省 = 未知） - 审计动作名不变（channel.open/close/delete），日志行新增 accountId 字段 前端：每条账号一行「连接/断开」（带 accountId）；按钮旁明确「会连哪一条」；空 id 行显著标注 + 删除入口；channelActionBody 携带 accountId；新增 action 测试 33 checks + 空 id 行渲染 31 checks。 测试：后端 14 个用例（真实 HTTP 路由 + JWT + 真注册表 + spy 适配器，断言「哪一条被驱动、 另一条一次都没被碰」）。 变异 6 条（accountId 被忽略 / id 为空当删空 id / 找不到静默回落 / 前端丢 accountId / 删空 id 退化成 ?id= / 空 id 行按普通行渲染）。	2026-10-05 10:37:56 +08:00
AskaEth	c4ea02a887	feat(web): 渠道配置面板重做（按模式动态显隐 + 下拉 + 真鉴权键 + 掩码不回填） ... 新增：channelFieldRules.ts（纯函数规则层：选择器归一化 / 按 transport×mode 显隐与必填 / 写回补丁 / 模式提示文案）、channelConnFields.tsx（「连接配置」区：只渲染当前组合生效的字段， 逐字段「谁连谁」说明 + 必填/可选标记 + 掩码清除开关）、channelAccountId.tsx（账号 id 与 「覆盖/新建」状态 Tag）、channelPersonaField.tsx（从表单抽出，逻辑逐字保留）。 qq-obv11：transport / mode 改下拉；remote_url 仅 ws+client 显示且必填；listen_addr 按 server / http+client 条件显示；api_base_url 仅 http（http+client 必填）；report_path 仅 http； access_token 掩码；self_id 仅记录。每种组合顶部一句 modeHints；保存前拦截必填缺失并红框点名。 ⚠️ 修掉一处数据毁伤：后端把 access_token 掩码成 ****abcd 下发，旧代码回填进表单 ⇒ 「打开就保存」会把掩码写成真 token。现在掩码不回填、只记 configuredKeys，并提示 「已配置，留空 = 不改动」；要清空必须显式打开「清除已配置的 access_token」开关 （顺带给掩码秘密补上了以前没有的「清除」能力）。可见字段清空发 ""、隐藏字段不进补丁（缺位 = 保留）。 Token 误导修掉：PLATFORM_GUIDE.authKey 声明平台真正读取的键 —— qq-obv11 不再渲染 bot_token 输入框、不再标必填（改指向 access_token）；渠道列表与只读配置卡的凭据行同步改用真实 authKey。 空 id：结论是后端契约（UpsertChannel 空 id = 新建），前端不碰后端修好：记住 savedId （留空 = 覆盖当前条目）+ 改新 id 时内联二次确认 + 保存后用返回的 accountId 刷新 + 状态 Tag。 测试：新增真组件 SSR 渲染测试（68 checks）+ 规则单测（58 checks）；17 个前端测试文件逐跑全绿； tsc --noEmit 与 npm run build 通过（产物 index-CK_2RXKo.js）。	2026-10-05 10:15:19 +08:00
AskaEth	8c437866e7	feat(qq-obv11): client 模式首连失败不再致命（复用既有重连循环 + 指数退避） ... 痛点：mode=client 时首次拨号失败会让 Connect 直接返回 error ⇒ 渠道起不来； 而「连上后再断」本来就有重连。⇒ 把 readLoop 的入口条件放宽为「conn==nil 也算」， **不新造第二套循环**。 新增 reconnect.go：退避 2s → ×2 → 上限 60s、抖动 ±25%（具名常量），失败计数跨 Connect 与 readLoop 共享。 ws_client：新增 connectFirstClient —— 可重试失败只记 WARN 并返回 nil； 配置缺失（remote_url 空）仍致命（闸门口径不变）。 connected 语义不许撒谎：始终由真实连接决定；HealthCheck 未连上返回 ErrNotConnected； 仅 http 传输保留「已装配即可服务」旧口径（逐字未改）。 ctx 感知等待（sleepCtx）+ 等待后复查 ctx ⇒ Disconnect 能立即中止，不泄漏 goroutine。 server 模式与 http 三端行为逐字不变（既有用例零改动全绿 + TestServerModeUnaffectedByClientRetry）。 测试：client_retry_test.go(428) + reconnect_test.go(83)，用可注入 dialer + gate 通道造确定性时序。 变异 5 条（首连 fail-fast / 退避无上限 / 取消失效 / 未连上就报已连 / 抖动未接线）。 诚实边界：60s 上限对聊天渠道可能偏慢（改 30s 是一行常量）；仓库内仍存第二份指数退避 （wsutil.Backoff 无抖动能力，收敛需改 internal/**，本切片禁碰）。	2026-10-05 10:12:23 +08:00
AskaEth	d804c4e675	feat(gateway): 接线 chat_messages.turn_id 写入（A–D 四点齐） ... A 新起一路：publishLegStart 在 persistUserMessages 之前 withTurnID(ctx, leg.turnID) （该行随 ef3dcb6 已进 HEAD）。 B 队首续跑路：completeTurn 在 o.mu.Unlock() 之后 assignTurnID(sessionID, runLeg.turnID, next.persisted)。 C 被 steer 吃进：consumePending 认领成功后 assignTurnID(sessionID, s.turnID, steerRows(candidates))。 D 助手回复：persistTurnReply 增 turnID 形参，completeTurn 传 leg.turnID —— 刻意**不用** turnIDOfLeg： interrupt scope=all 会清空 st.legs，而被打断那一路已产出的正文仍要照原样落库（内容是真的）， 按 gen 回查只能拿到空串 ⇒ 配对丢失。 删掉 history_turnid_test.go 的 t.Skip：TestSubmitWiresTurnIDForBothRows 真跑并通过。 新增 session_turnid_wiring_test.go（真 SQLite 内存存储 + 真编排器 + 可逐路放行 runner）： 单路两条同值 / 并行两路各自同值且两两不同 / 续跑补写（先钉「补写前为空」）/ steer 补写（用该路自己的转向源）/ TestAssistantTurnIDSurvivesInterruptAll（钉住 D 的取值来源）。 变异 5 条（A/B/C/D 各自 + D′ 改回 turnIDOfLeg —— 只有那条守门用例红，证明它守的正是这个取舍）。 诚实边界：turnIDOfLeg 现无生产调用方（保留为兜底）；先到先得竞态未构造对抗用例； IM 渠道桥不走本编排器 ⇒ 其行 turn_id 留空属预期（契约里键缺席）。	2026-10-05 10:00:17 +08:00
AskaEth	3589f4b14f	feat(tools): 真实工具声明文件目标（让文件级互斥真正生效） ... 新增 plugins/tools/io/file_targets.go：fileTool 与 cropTool 实现 tool.FileTargeter （编译期钉住 var _ tool.FileTargeter，声明集中一处可审计）。 file：read/list/search ⇒ 读；其余（含 delete / 未知 / 缺失 action）⇒ 写（保守侧，宁可多挡一次）。 路径取沙箱解析前的声明值（绝对、clean、已确认在 roots 内，纯词法不触盘）；沙箱会拒的路径不声明。 search 的缺省 base 与执行路径共用 f.searchBase（避免声明目录 ≠ 实际走查目录）。 image-crop：仅本地路径声明为读（URL/data URI 不落盘）；分类与 load 共用一份。 体检清单：file ✅ / image-crop ✅ / document-read ❌（sidecar 走「临时文件 + rename」原子替换， 无撕读风险；且布局属未导出的第二份真相）/ basic、http、knowledge 等不碰盘； vision·ocr（internal 越界）、terminal（cmd 越界 + 目标不可知）、MCP 外部工具 未做 —— 如实登记为遗留。 测试：单元（action→Op 全表 / 路径归一 / 不声明场景）+ 机制层 6 条（真插件 + 真 Dispatcher + 真占用表， 用闸门工具把并发变确定性事件，不靠 sleep）。 变异 5 条（一切按写 / 未知按读 / 用原始相对串 / crop 不声明 / file 声明被抹掉）。 注：本切片声明正确但生效依赖 ef3dcb6（网关给每条在途路挂互斥身份）。	2026-10-05 09:55:29 +08:00
AskaEth	ef3dcb699b	fix(gateway,loop,tool): 解耦「工具互斥身份」与「checkpoint 归属」（修普通回合不受保护） ... 缺口：「1 普通回合 + 1 并行路」时普通回合既不登记也不被检查 —— 因为互斥身份取自 loop.ParallelLegFrom，而网关只给 parallel=true 那一路盖它。直接给普通回合盖 WithParallelLeg 会把它的 checkpoint 键从 sess 变成 sess#turn-x（改崩溃恢复语义），故改为两条独立通道： - 工具互斥身份：loop.WithToolLegID / ToolLegIDFrom（新增），网关在 beginLegLocked 内【无条件】盖， 取值 = 本路 turnID ⇒ 普通回合 / 队首续跑路 / 并行路 三条路都覆盖 - checkpoint 归属：WithParallelLeg 一行未改，仍只有真并行路 ⇒ 恢复语义零变化 守门断言 TestCheckpointOwnerIgnoresToolLegID：普通回合 ctx 下 AgentID 必须逐字仍是 sess。 变异 3 条：互斥身份回退只认 ParallelLegFrom（判忙失效）/ 顺手把 checkpoint 改读新通道 （守门断言红，证明确实解耦）/ 普通回合不盖身份（判忙失效）。 另修 race：-race -count=2 三包全绿；诚实边界含一个既有竞态（同一路并发登记共享，建议后续小切片）。	2026-10-05 09:53:08 +08:00
AskaEth	d64b26d499	feat(chat): chat_messages.turn_id 列 + DTO（写入接线留待下一步） ... 迁移 0018：ALTER TABLE chat_messages ADD COLUMN turn_id TEXT NOT NULL DEFAULT '' （与 persona_id / client_msg_id / document 同族：不用 NULL，空串 = 不属于任何已知回合 ⇒ 旧行零迁移、键省略）。 存储层全链路带 turn_id（列清单唯一一份 ⇒ List/ListAfter/Recent/Search/FindByClientMsgID 自动同源）； 新增 history/turn_id.go：ensureTurnIDColumn（既有库幂等前滚）+ SetMessagesTurnID （第二段补写：单事务参数化、先到先得 WHERE turn_id = ''、幂等、未知 id 忽略）。 DTO：historyMessage.TurnID（json turnId,omitempty）⇒ REST 列表 / admin 渠道日志 / WS 握手回放 / message_persisted / channel_persisted / message_edited 一次全覆盖。 写入面：persistUserMessages 读 ctx 回合标识；persistAssistantReply 增可选尾参（既有调用点零改动）； withTurnID / turnIDFrom / assignTurnID / turnIDOfLeg。 ⚠️ 编排器把 turnId 交给落库的 4 处（新起一路 / 续跑路 / 被 steer 吃进 / 助手回复）尚未接线 （那些文件当时被另一路占用）；当前生产行为 turn_id 仍为 ''。清单已在切片报告里精确到文件:行。 13 新用例 + 5 条变异（INSERT 不带列 / DTO 不回填 / 去掉 omitempty / 去掉先到先得 / 不回滚前滚）。 为守 session_persist.go ≤500 行，turnId 一节拆到新文件 session_turn_id.go。	2026-10-05 09:46:10 +08:00
AskaEth	354b08a45f	feat(tool): 写类工具文件级互斥（读共享 / 写独占） ... 新增 tool/fileclaims.go：FileTargeter 可选接口，由工具声明本次调用要碰的文件 （动态声明、不猜正文 —— 同一工具的 path 在读/写语义不同）。 语义：读共享 / 写独占；两个读允许并行（主人「优先性能」口径）；未知操作/裸路径按写处理（保守）。 占用键含操作类别（read/write，NUL 分隔），路径 Abs+Clean+Windows 大小写折叠；随最后占用者离场删键（有界）。 Dispatcher 默认装配进程内占用表（无需 cmd 侧接线）；Invoke 登记 + defer 释放（成功/报错/超时/panic 四条路径）。 loop/tools.go 唯一接线：tool.WithLegID(ParallelLegFrom(ctx)) 桥接网关路标识。 判忙不阻塞、不排队死等；显式文案回灌（含文件名与状态）让 LLM 稍后重试。 测试 3 个新文件（占用表语义 / 接线确定性并发 / loop 桥与端到端）；变异 5 条，另揪出并修一个 真隐患（空串既当「无人占用」哨兵又是合法路标识 ⇒ 改 (leg,busy) 返回）。 诚实边界：①「1 普通回合 + 1 并行路」时普通回合不受保护（网关只给 parallel 路盖 legID； 修法须与 checkpoint 归属一起裁决）；② 目前无真实工具实现 FileTargeter ⇒ 机制就绪但占用表恒空， 真实保护待下一片给 file 等工具加声明。	2026-10-05 09:38:12 +08:00
AskaEth	c0dc435770	feat(gateway): 忙时并行帧层（turn_begin + steer_ack.turnId + interrupt.turnId） ... 新下行帧 turn_begin：编排器每启动一路恰好一帧（单路 kind:"turn" / 并行路 "parallel"）， data{kind, messageIds, leg, activeTurns}；角色门 fail-closed 仅 owner+admin，未进 frameReachesAll。 steer_ack 增帧壳 turnId（与该路 turn_begin 同源）—— 并行下没有它配不上正确的 turn.end。 上行 interrupt.turnId（仅 scope:"current" 生效）：精确停某一路；目标不存在 ⇒ 定向 {type:"error",data:{code:"bad_request"}}，不广播、不动任何会话；省略 turnId = v0.65 原口径（全部在途路）。 帧序按实现：session_busy / pending_drain → message_persisted(user) → turn_begin （规范草案 §2.9 的时序图需按实现更正：messageIds 必须是已落库的权威 id，故只能在落库之后）。 测试：编排器侧 + 真 WS/JWT 端到端；变异 5 条（每路一帧 / 帧壳 turnId / 目标化打断 / 取消筛选）。 Docs 待升 v0.66（由监工登记）。	2026-10-05 09:38:11 +08:00
AskaEth	e5cc9c6054	docs(api): 重写 api-client.md（61 KB / 701 行，比归档版缩小 85%） ... 以代码为唯一真源重写：概览认证 / 用户侧 REST 表 / 管理侧表+权限矩阵 / WS 协议（握手+回放+上行+下行+角色门）/ 契约细节（错误码·游标·幂等·消息 DTO·文档图片语音·忙时并行·interrupt）/ env 与模型配置 / 变更记录（只留 v0.60 起，更早指向 Docs/archive/）。 相对归档 v0.65 的修正（以 routes.go 等代码为准）： 1. 管理侧权限矩阵计数错（归档 61 且自相矛盾）⇒ 实测 12 viewer + 11 owner/admin + 40 owner-only = 63 2. WS 握手实际也接受 ?token=<JWT>（仅不接受 X-API-Key） 3. limit>200 是钳到 200，不是 400（非数字/<1 才 400） 4. voice_output 的 sessionId 在 data 里（帧壳没有） 5. WS_MAX_CONNECTIONS 疑似解析未接线（标未确证） 6. 未确证清单 6 条已写入 §7.4	2026-10-05 09:34:08 +08:00
AskaEth	2ba1baf6d0	docs(api): 归档 v0.65 旧版 api-client / api-reference（准备以代码为真源重写干净版） ... 旧版积了 v0.28→v0.65 的历史条目、「契约版本」标题并列、双变更记录、mtime 落后等结构性问题； 归档保留完整历史（含 §5 变更记录），新文件将从零重写，只留最近若干版并指向本归档。	2026-10-05 09:29:33 +08:00
AskaEth	879669cc59	docs(api): 契约 v0.65（忙时并行基础管线 + 六条登记）+ 修三条过期陈述 ... 升 v0.65（依据 design/15 §2.5 与 commit 89e13cf），一并登记 679cee0（IM 入站附件引用落库） / 59a1ac4（llm_usage.session_id 接线）/ a918819（IM 各渠道语音可被读到）， cb564fe / 15181e7 / 7d2ff74 为纯内部修（无契约变化）。 三档：纯增量 = chat.parallel / activeTurns / cancelledTurns / pending_ack.reason / 两条 REST 应答形状 / VOICE_STT_TIMEOUT_SEC；行为变更 = IM 附件引用落库（无新字段）/ IM 语音进上下文 / session_idle 时点收紧（仅并行时）；破坏性 = 无。 修正（客户端抓到的三条，属实）：① session_id 「恒为 NULL」→ 已接线（端点仍不按会话过滤/分组） ② 「契约版本」标题并列三处 → v0.65 唯一，其余降为「上一版」 ③ 按提交逐个核对补齐（mtime 落后问题）。 未实现项写明：turn_begin / steer_ack 帧壳 turnId / interrupt.turnId / chat_messages.turn_id / graph_update 按路分桶 / 写类工具文件级互斥（tool/legfile.go 仅定死形状，无实现无接线）/ 第二路 system 摘要。 env CHAT_MAX_PARALLEL_TURNS 如实标注「未接线，生产恒为默认 2」。	2026-10-05 09:23:46 +08:00
AskaEth	89e13cf53d	feat(gateway,loop): 忙时并行回合基础管线（I1′ 有条件放宽） ... - turnId 由编排器生成、loop Run 复用（硬前提：否则 turn_begin 与流帧各铸一个，客户端两级分桶立即失配） - StateSink 增带 turnId 的变体（未接线时退化为现签名，不丢状态帧） - 上行 chat.parallel（WS chat 帧 + REST 三入口同形；省略 = 逐字不变） - 单会话额度默认 2 / 硬上限 3 / <2 关闭；额度满或未声明 ⇒ 落回既有排队语义 - I1′：checkpoint 归属、历史配对、忙态计数三处从会话级单例升为路级 - session_idle 收紧为「所有在途路收尾且 pending 空」（仅并行时生效；单路逐字不变） - 预留接口（形状定死、无实现无接线）：tool/legfile.go 的 FileClaimer / ErrFileBusy / WithLegID - 顺手修一个真 bug：并行路 ctx 派生自提交请求作用域，REST 同步入口一写响应就把它连坐杀死（改 context.WithoutCancel 派生） - 23 个新用例（含 -race -count=3）；变异 6 条（turnId 复用 / idle 时点 / 并行升级 / checkpoint 键 / 编排器交 id / pending_ack reason） - 契约变更点 10 条待监工升 v0.65（本人未改 Docs/**）	2026-10-05 09:18:50 +08:00
AskaEth	7d2ff74cfc	test(telegram): 补语音内联回归测试（上一条语音切片提交时被 grep 过滤漏掉）	2026-10-05 08:37:23 +08:00
AskaEth	a918819878	feat(channels,voice): IM 各渠道语音消息可被读到（全渠道云端 ASR + 临时熔断） ... 采集面：mediafetch 新增 inline_voice.go（音频白名单，与 documents.ExtAllowed 互不污染； 复用既有来源白名单 / 逐跳校验 / 边读边限 / 超时）；四个适配器零改动。 消费面：channelbridge 在流水线最前端把「语音字节 → 文本」归一并写回 msg.Content； inbound.go 的丢空判据放宽为「无文本且无可用媒体」。 微信优先平台自带转写（Content 非空 ⇒ 不调 ASR，不重复付费）。 降级（主人定的两层）：新增 voice/outcome.go 的 STTOutcome 识破静默档位； errors.go 分类鉴权失败/欠费/限流（CircuitWorthy）；voice_breaker.go 临时熔断 + 退避（TTL 恢复）； 无论是否熔断，消息面都落一行中文诚实提示（绝不静默、绝不留空消息）。 独立短超时：VOICE_STT_TIMEOUT_SEC（默认 20s，同步 .env.example）。 kook 不再把 CDN 地址写进 Content（地址仍在 Media[].URL）。 设计先行：design/06 §1.1/§1.2、design/08 §4.1、design/24 §1.3/§4.2、开源对照清单。 变异 5 条（静默档位不带 Cause / Transcribed 误判 / 熔断恒放行 / ChatText 退化 / 平台文字判据取反）。 诚实边界：实施时官方音频规格尚未抓到 ⇒ MaxVoiceBytes 自定 5 MiB（保守）、采样率仍 16 kHz； 官方规格随后已抓到（10 MB / 5 min；格式含 amr、无 silk），对齐留待下次改动。	2026-10-05 08:32:37 +08:00
AskaEth	679cee04f7	fix(channelbridge): IM 入站附件引用写进落库的用户消息（安卓报的 P0） ... 根因：摄取结果只挂到「内存里的模型可见消息」（inbound.go 的 attachInboundAttachments）， 落库时只传了 text、history.Message 没有 Document 字段 ⇒ 该列恒空 ⇒ 读侧 omitempty 导致 documents 键整个缺席 ⇒ 任何客户端只看到一条空消息。Web 侧不这样，是因为 gateway/session_persist.go 有 messageTextImageDocument 把 ContentTypeDocument 部件编码进该列 —— IM 路径缺的就是同一步。 修法：inboundAttachments.documentColumn() 复用 history.EncodeDocuments 同一口径写出该列； persistToMain/persistIsolated 增 document 参数并返回刚落库的消息；新增两段式第二段 persistTurnDocumentStatus 按 id 回写抽取结论（只补结论、按存储名匹配、匹配不到原样留）， 与 gateway/session_document_status.go 逐字对齐。 契约零扩张：无新端点/帧/字段；0 附件 ⇒ 列空 ⇒ 键省略；形状即 web 的同一结构体。 测试 6 条（含元素 JSON 逐字断言、unreadable 带 reason、被拒不编造芯片、群聊隔离分支、 真循环端到端）；变异两条（还原挂载 / 关闭结论回写）⇒ 各 4 条红。	2026-10-05 08:10:21 +08:00
AskaEth	f8f2e9c54c	feat(weixin_ilink): 出站媒体走通（主人已批的三项） ... 按官方包 @tencent-weixin/openclaw-weixin 2.4.9 源码对齐： ① 上传由 PUT 改 POST；② 上传凭据读响应头 x-encrypted-param； ③ nativeMediaItem 改为官方 *_item.media.encrypt_query_param 嵌套形状（含 aes_key， 图片优先 image_item.aeskey）。 配合前一版已修的两点（入站按条密钥、媒体失败不阻断文本），机器人现在可主动发出文件/图片。 （逐项测试、变异红行与诚实边界见该切片报告）	2026-10-05 08:04:50 +08:00
AskaEth	59a1ac4056	feat(model): llm_usage.session_id 真正落库（补完 U1 缺口） ... 通道：新增 model/session_ctx.go 的 WithSessionID / SessionIDFrom（与 tool.WithTurnPersona 同族的 ctx 范式，避开 model 反向 import loop 的环），loop 在 Run 顶部播种；适配器 record(ctx,...) 接会话；usageSessionArg 空串映射为 NULL。 兼容：sink 未注入或会话未播种时行为逐字不变；既有 model 测试零断言改动即全绿。 文件：model/{session_ctx.go(新), usage.go, usage_store.go, openai.go, anthropic.go, usage_session_test.go(新)} + loop/{run.go, usage_session_test.go(新)}。 变异三处：去 loop 打标 / 写侧不绑会话 / 适配器不读 ctx ⇒ 各自红行，还原复绿。 契约与日志字段集未动；读侧不按 session 过滤，面板汇总口径不变。	2026-10-05 08:04:49 +08:00
AskaEth	cb564fe981	fix(memory): 空 query 不再触发语义回退 + 回退有界（修真机 39 秒召回） ... 真因（agent-197，文件:行）：只有附件的消息正文为空 ⇒ queryFromMessages 返回空串 ⇒ retrieve.go 的 vectorIndexScores 在问索引之前就 return ⇒ 上层分不清「没问过索引」与 「索引无命中」⇒ 打出误导的 no-candidate-hit ⇒ 转内存回退，把全库 302 条候选正文塞进 一个 embedding 请求（302 × 约 130ms = 39.3 秒，与实测 duration_ns 吻合）。 索引/维度/表/写入其实全是好的（PG vec_items 302 行全 dim=1024，与 SQLite 302 个 id 集合相同）。 修法：空/纯空白 query 整条语义路径跳过（不问索引、不 embed）；回退改为有界 （分批 32 + 1 秒时间预算 + 正文到向量 FIFO 缓存 1024，不再每回合重算）。 文件：retrieve.go / retrieve_semantic.go + 新增 retrieve_fallback.go / retrieve_keyword.go / retrieve_fallback_test.go（retrieve.go 曾达 501 行，按 ≤500 拆分）。 变异：去掉空 query 门 ⇒ 向量化 43 条文本（want 0）；整库单请求 ⇒ 69 条超上限 32；停用缓存 ⇒ 重复嵌入。	2026-10-05 08:04:47 +08:00
AskaEth	6cb41a8794	fix(weixin_ilink): 入站按条密钥 + 出站上传地址（真机双 bug） ... Bug A（入站取不到字节）真因两层：① 引用位置错——真实在 `file_item.media.encrypt_query_param`，旧 mediaOf 只扫平铺 url/cdn_url； ② 密钥来源错——官方口径是**随每条附件下发**的 `*_item.media.aes_key` （图片优先 `image_item.aeskey`），旧代码却把整个 bot_token 当 base64 取尾 16 字节， 而真机 token 形如 `<id>@im.bot:<38hex>`，第 12 字符 `@` 处即非法。 （对照证据：官方包 @tencent-weixin/openclaw-weixin 2.4.9 源码，只读未入库； design/08 §3.3 的「token base64 尾 16 字节」据此判定为错误口径，待文档更正。） Bug B（出站）：① sendToOne 遇媒体构建失败直接 return ⇒ 连文本一起丢（改为逐条跳过 + 带来源 WARN；全部媒体失败仍发文本，无文本且全挂才诚实报错）；② getUploadURL 发空 body 且只认 4 个猜测键 ⇒ 补齐官方请求体字段 + 依次认 upload_full_url / upload_param。 测试：media_key_test（6 条，真机形态夹具 + 转义钉住）+ send_media_failure_test（6 条）。 变异 6 条（M-A1/A2/A3/B1/B3a/B3b）均先确认变异体可编译、贴红行、还原复绿。 诚实边界：出站媒体**仍发不出去**（PUT vs 官方 POST、响应头 x-encrypted-param、 nativeMediaItem 嵌套形状三项未做）—— 故意只修到「拿到上传地址」，不扩大切片。	2026-10-04 22:33:41 +08:00
AskaEth	15181e7063	fix(model): Anthropic 并行工具结果合并为同一条 user 消息（修真机 400） ... 根因（agent-193，文件:行）：loop 的 tool_history 按调用逐条产出 RoleTool 消息， 而 anthropic_encode 把每条各自编码成一条独立 user 消息 ⇒ 上游只认紧邻 assistant 的那一条，第 2..N 个 tool_use id 被判「没有 tool_result」⇒ `messages.1: tool_use ids were found without tool_result blocks immediately after`。 单调用回合只有 1 条结果消息，所以长期潜伏；KB1 让 knowledge 真正成功后它才被暴露。 修法：编码器在**线格式**层把相邻的 RoleTool 合并进同一条 user 消息（块序 = 调用序）， 遇到任何非工具结果回合即复位（不同 assistant 回合的结果绝不混入同一条）。 未碰 openai_encode（OpenAI 要求每个 tool_call_id 一条独立 tool 消息）。 测试 3 个新文件：编码器线格式（非流式 + 流式）/ loop 端到端（真适配器打假上游）/ 回填侧契约；含配对断言（每个 tool_use 在下一条消息里有同 id 的 tool_result）。 变异：还原旧编码 ⇒ 4 条红，端到端逐字复现真机 400。 是否本轮引入：否（编码与回填两文件在本轮零改动，属基线潜伏缺陷）。	2026-10-04 22:30:04 +08:00
AskaEth	fd13b49b24	fix(channelbridge): 出站气泡不再携带入站载荷（真机：发文件后回复全丢） ... 根因（bubbles.go:43）：`out := target` 把【整条入站消息】复制成出站气泡， 入站 Media 被一起带出 ⇒ 适配器去上传那个附件 ⇒ weixin_ilink 的 getUploadURL 拿不到 url ⇒ sendToOne 连已组装好的文本 item 一起丢掉 ⇒ 用户收不到任何回复。 修法：新增 outboundBubble（白名单只带路由字段 + 本气泡文本），一次清掉 Media / RawData / Mentions / ReplyToID / ReplyToText / MessageID / SenderName 六类入站专属字段；将来新加进 UnifiedMessage 的字段默认不外发（失败方向安全）。 测试 2 条：入站带附件 ⇒ 出站 Media 为空；带附件 vs 不带 ⇒ 出站除时间戳逐字节相同。 变异：破坏白名单把 Media 带出 ⇒ 2 条红。 影响面：仅「入站带附件」的消息；纯文本聊天不受影响（已真机确认）。	2026-10-04 22:30:03 +08:00
AskaEth	fbbbb4ea64	fix(channelbridge): IM 渠道也走「回合必落可见回复」（与网关同口径） ... 根因（agent-194，文件:行）： - inbound.go 的 deliverReply 对空回复直接 return（静默）⇒ 只剩 user 消息； - runInboundTurn 报错直接 return ⇒ 失败回合连说明都没有。 修法：抽共享**纯函数**包 internal/runtime/turnreply（从网关逐字搬运、零语义改动）+ channelbridge/turnreply.go 的 turnVisibleReply（与网关 persistTurnReply 同构）； 取消边界在 IM 用 context.Canceled / ctx 取消表达（渠道桥无代次概念，如实登记差异）。 测试 6 条：空回复/纯空白/轮次用尽/安全网/回合报错/取消不落库/正常逐字不变。 变异：还原旧静默行为 ⇒ 4 条红（含「出站 0 条，want 1」与英文内部诊断外泄）。	2026-10-04 22:29:54 +08:00
AskaEth	be38651ba4	feat(llm): 用量落库 + 只读汇总端点 + 面板用量小卡（契约 v0.64） ... - model 层新增可选 UsageSink（nil ⇒ 逐字不变，既有用例零改动） - 组合根注入 UsageWriter：有界队列 1024 + 单写者 + 批量事务（128/批、2s 兜底）， 队列满丢弃 + 限流 WARN，绝不阻塞模型调用；sink 挂 RuntimeLLM（热重载不断） - 迁移 0017：表 llm_usage（13 列，session_id 可空）+ idx_created_at + idx_session_id - 新端点 GET /api/v1/admin/llm/usage（owner|admin 读；缺省近 24h、上限 90 天、 超限 400 不静默裁剪；hitRate = cacheHit/(cacheHit+cacheMiss)，分母 0 ⇒ 0； 绝不含凭据与正文；未接线/查库失败 ⇒ 500 usage_unavailable） - LLM_USAGE_RETENTION（默认 720h，≤0 = 关闭清理）：启动清一次 + 每小时 - 面板 LLM 页「用量（近 24h）」小卡 + Docs 两份同步 v0.64 - 已知缺口（如实登记）：session_id 恒 NULL，需 loop 侧在请求上打标，留列后接	2026-10-04 22:16:26 +08:00
AskaEth	18381f65fd	fix(gateway,loop,tools): 失败回合必落可见回复 + knowledge 角色可信 ... 根因（agent-191，均给出文件:行）： 1) knowledge 的 persona 在 schema 里是 optional，模型省略时工具把空串透给 memory.Retriever → 硬校验 ErrMissingPersona → 模型只能重复调用同一堵墙。 修：新增 tool/turncontext.go（loop 播种本回合角色），knowledge 依次取 「参数 → 本回合角色 → 可消化拒绝」，拒绝文案明确「重试不会成功」。 2) persistAssistantReply 对空文本直接 return，而三条正常收尾出口（空回复 / 轮次用尽 / 回合内部报错）都会给空文本 ⇒ 历史只剩 user 消息、客户端静默。 修：新增 session_turn_reply.go 的 persistTurnReply（唯一落库入口 + 按原因 的中文诚实说明）；中断 / 陈旧代次 / 静默内部流程（backthink、子代理调度） 仍不落库，真实文本行为逐字未改。 测试：knowledge_test 改断言 + turn_persona_test（新）+ session_turn_reply_test（新，7 条） 变异：去掉 loop 角色发布 ⇒ loop×2 + gateway「工具执行次数 = 0, want 2」红	2026-10-04 22:14:42 +08:00
AskaEth	3be70f8232	feat(channels): 适配器入站内联附件字节（telegram/kook/qq_obv11/weixin_ilink） ... - 新增 internal/channel/mediafetch：来源白名单（deny-by-default，支持 *.suffix） + 逐跳重定向校验 + 边读边限 + 超时；只回来源主机，绝不回完整 URL - 四渠道各自 media.go 接通入站内联：只从平台载荷给出的引用取回字节 （telegram file_id→getFile→file_path 形态校验；kook CDN；qq 文件段 url； weixin cdnURL + AES-ECB 解密） - 常量全部复用既有来源：documents.ExtAllowed / DefaultMaxBytes / MaxPerMessage - channelbridge 诚实提示文案改为对「渠道只给远程引用」与「代取失败」两种成因都成立 - 18 个测试函数（含四渠道「正文里的 URL ⇒ 0 次命中」红线反证、端到端进模型可见视图） - 变异验证：去掉尺寸上限 ⇒ 四渠道红（含修正后不再是假绿的 weixin 超量用例）	2026-10-04 22:13:17 +08:00
AskaEth	46caa724f2	docs(agents): 修一处被上一次编辑破坏的条目 + 增「等待子代理不许长 WaitFor」规矩 ... - 修复：上一条「压测纪律」的编辑把「仓库根产物卫生」的标题吃掉，导致该条只剩半句孤儿文本（已恢复标题与分隔）。 - 新增：等待子代理**不许用长 WaitFor 阻塞回合**（主人反馈：等待期间无法给补充输入）——派完就结束回合（完成通知会自动唤醒）；确需同回合等，单次 ≤60s；有并行工作就先做工作。	2026-10-04 21:53:24 +08:00
AskaEth	902b6eecfd	feat(api): documents[].reason + messages 对不存在会话回 404（安卓回执九两条；契约 v0.63） ... - ① documents[] 元素增可选 reason（omitempty）：装配期在给出 status 的**同一处**填充，取的**就是注入模型清单里那份原因文案**（同一字符串两处用，服务端不为客户端另编一句），只在 unreadable 时下发；随 S3.5 的回合后回写落进 document 列 ⇒ 历史接口 / 握手回放都有。文案只含原因、不含落盘路径/存储名以外内容/凭据（有独特目录名反证断言）。 - ② GET /sessions/{id}/messages：不存在/已删除 ⇒ 404 session_not_found；**存在但无消息仍 200 {data:[]}**（空会话绝不能被答成 404）；参数形状校验仍先于 404；存在性判定复用既有窄视图（history.Store.SessionPersona，未知 id 报 ErrSessionNotFound），**未新增 SQL/存储方法**；判不出来（未接该视图）保持旧语义（判不出 ≠ 不存在），判定本身失败回 500 不静默。 - 契约 v0.63（三档：reason 纯增量 / messages 404 行为变更 / 无破坏性）：api-client §1 行 6 + §1.2④ 的 10 条逐字文案 + §4.4 错误码 + changelog + banner；api-reference §1.2 行 6 + §3.4 + §3.8 DTO + §8.1 错误码表。 - 主会话独立核对的副作用（隔离会话 sess-* 现在也 404）：查活库 chat_sessions 里**根本没有 sess-* 行**（只有 web 与 web:<uuid>），sess-backthink 消息数 0，前端唯一提到 sess-backthink 的是 graph_update 的内存桶测试 ⇒ **没有客户端按 id 读隔离会话的 messages**；且这与 POST /sessions/{id}/read（v0.37 起即 404）一致 ⇒ 接受不加 sess- 例外，并在回执里问安卓确认。 - 主会话独立验收：隔离 worktree（S9 的 13 文件）build/vet 绿、整树连跑 2 次 59 ok / 0 FAIL、reason/404 用例 8 PASS、双平台交叉编译绿；**变异亲自复现**（在调用点短路 404 守卫 ⇒ UnknownSessionIs404 与 DeletedSessionIs404 双红：status = 200, want 404）。 - 如实登记：验收过程中出现过**一次不可复现的子集 FAIL**（restore 之后那次 Session|Reason 子集跑；未记到用例名）—— 随后同一子集、那三条用例 ×5、以及整树 ×2 全绿，判为瞬时；已记入账本，后续留意。	2026-10-04 21:50:08 +08:00
AskaEth	c1fa1e9b9a	feat(admin): 面板「重置为 env 默认」动作（materialize 的反方向）+ 契约 v0.62 ... - 语义：只把 .env **确实声明过**的键覆盖回 env 值；env 未声明的键（fallback/multimodal/maxTokens/reasoning/personaModels）原样保留；**组集合不增减**（不复活被面板删的组、不删面板新增的组）；无键可改时不写盘。成功即热重载 LLM 栈。返回 {reset:[{group,keys}], skipped:[{group,reason}], path}，**只回键名、不回显凭据值**。 - 护栏：必须 confirm:true（缺失/false/非法 body ⇒ 400，且**先于任何读写**）；**owner-only**（与同页 POST /admin/llm、/admin/llm/test 同门 —— 这是破坏性写，门不比同族更宽）；审计动作 llm.resetFromEnv（camelCase，全仓多词动作的既有约定）。失败路径明确报错（env_defaults_unreadable / models_unreadable / llm_unavailable），不假成功。 - 组合根注入 Deps.EnvPath（网关不 fopen .env）：请求时按既有解析入口重读，语义 =「退回 .env 现在声明的默认值」；.env 层里的 provider 是同义反复，不计入「env 为该组声明了什么」的判定（有专门用例）。 - 前端：LLM 页「重置为 env 默认」卡片（中文二次确认 → 提交 → 按 reset/skipped 渲染 → 成功后重拉配置），标签 owner 专属（与 System.tsx 同款）。 - 契约 v0.62：api-client（权限矩阵改回 12+10+38=60、端点表 9b、重置契约小节、写操作契约、changelog、banner）与 api-reference（端点表 #70、§5.13a 详情含 curl、§8.2/§8.3/§8.4）同步；字段名三方逐字对齐。 - 主会话独立验收：隔离 worktree（R1 的 19 文件）build/vet 绿、gateway+config 三包绿、R1 用例 10 PASS、reset_from_env 残留 0；**变异亲自复现**（去掉 confirm 校验 ⇒ RequiresConfirm 红：status = 200, want 400，且响应体显示面板配置真的被改）。 - 子代理自报并已处理：测试文件触 500 行上限 ⇒ 拆成语义侧 + 护栏侧两份；门改回 owner-only 后前端标签会误导 admin ⇒ 改「owner 专属」并重建 bundle。任务书本身仍是旧口径（owner|admin / snake_case）—— 已由主会话登记修正说明，避免压缩后有人按任务书回退。 - 未做（诚实边界）：不支持按组重置；不纳入 channels.json/plugins.json；不自动重启（contextWindow 的预算推导仍只在启动时算一次）。新端点需下一次 build+restart 才在 :10942 生效。	2026-10-04 21:33:11 +08:00
AskaEth	367abf2c8e	docs(agents): 铁律 §10 增「压测纪律」（yes 风暴占满整机 15 分钟的事故） ... - 事故：子代理做负载验证时用 30 个 yes，第一次 kill 没杀干净 ⇒ 12 核被占满约 15 分钟，所有 go build/test 近乎停滞，并把工具链误判成死锁。 - 规矩：负载限核（GOMAXPROCS/单包并行/-p）或限时，优先用「可控对抗条件 + 注入时钟 + 门控」而不是堆进程；压测结束必须确认无残留进程再出证据；出现「整机变慢/命令不动」先查自己刚起的压测进程。	2026-10-04 21:11:39 +08:00
AskaEth	6066165394	test(flake): 清掉最后三条墙钟/条件竞态（mcp 订阅门控 + vision 注入时钟 + voice 兜底期限） ... - #6 capability/mcp TestRegistry_ToolListChangedRefreshes：真因**不是慢，而是条件竞态** —— 本机协商到协议 2026-07-28（SEP-2575）时服务器**只**把 notifications/tools/list_changed 投给已登记 subscriptions/listen 的会话，而客户端订阅是 fire-and-forget（Connect 返回 ≠ 服务器已登记），服务器又在变更后 10ms 发一次、丢了不补 ⇒ 订阅登记晚于那个定时器，该次变更**永远**不生效（旧 waitFor(5s) 只能超时）。修法：显式门控 —— 先等服务器 notifications/subscriptions/acknowledged（服务器先登记再回确认）→ 再触发变更 → 再断言刷新由 tools/list_changed 驱动（既有断言一条未少、另加一条更强的驱动断言）。协议回落旧版时门控自动跳过。 - #7 multimodal/vision TestImageCache_RefetchesAfterTTLWhenContentChanges：真因是把**墙钟当判据**（ttl=20ms 下「TTL 内」成立与否只由调度抖动决定，实测空载≈0、并行负载下 >20ms 会同时打红两条断言）。修法：注入可手动推进的 testClock（生产本就有 cache.now 字段、默认 time.Now，零生产改动），断言一条未少。 - 附带：修掉 G5 批次遗留的第三条墙钟兜底 —— gateway/voice_turn_test.go 的 waitFrame 3s → 15s。**放宽的是兜底期限、不是断言**：它断言的是「帧确实到达」，帧没到照样 Fatal；实测单跑 -count=20 全绿、只在整树并行下偶红（语音回合要过编排器 → 门控假 runner → 假 TTS → 定向回连接）。 - 主会话独立验收：隔离 worktree（F2 三个测试文件）build/vet 绿、两条目标用例各 -count=20 绿；加本条兜底修复后整树连跑 2 次均 59 ok / 0 FAIL（修前那次整树抓到 voice 那条红 → 归因见上）。 - 子代理自报（已核实并清理）：它在加压时用 30 个 yes 做负载、第一次 kill 没杀干净 ⇒ 整机 12 核被占满约 15 分钟（期间所有 go 命令近乎停滞，也解释了本轮测试为何异常慢）；已全部终止（Get-Process yes = 0），此后证据均在干净环境重跑。它同时**如实说明**：在纯加压下没能直接撞出这两条原始 flake（窗口极窄），确定性论证建立在「可控对抗条件复现 + 根因」上。	2026-10-04 21:11:17 +08:00
AskaEth	3ba31b58ff	feat(documents): 引用计数 + 文档/侧车 GC（主人 2.2 裁决；S7） ... - 引用计数真实维护（documents 表唯一写入面）：增减点只有四处 —— history 的 insert / UpdateMessageDocument / DeleteMessage / DeleteSession，且**全在同一事务**内（计数写失败 ⇒ 消息写入整体回滚，有钉住用例）；UpdateMessageDocument 按新旧名字**集合差**增减（三阶段回写是常态，重算会重复计数 ⇒ 文件永远回收不掉）。 - GC：候选 = ref_count = 0；判据 = last_referenced_at（NULL 回落 created_at）早于 now − 保留期；动作 = 删 sidecar + 原件 + 元数据行（删行带 AND ref_count = 0 原子再确认）；路径双检；汇总日志（含实占字节）；单件失败 WARN 并继续；删除顺序 = 先文件后行（失败则行留着下轮重试，不留孤儿）。 - 组合根：启动期清扫一次（不阻塞启动）+ ticker 常驻（可停，close 顺序在关库之前）；env DOCUMENT_GC_INTERVAL 默认 1h / DOCUMENT_RETENTION 默认 168h，**任一 ≤0 = 关闭 GC**（RETENTION=0 不解释成立即回收，关闭时记 WARN）；.env.example 已同步（AGENTS §10）。 - 主会话独立验收：隔离 worktree（S7 的 18 文件，排除 F2 在途的 mcp/vision）build/vet 绿、全树 59 包 0 FAIL、GC/引用用例 20 PASS、双平台交叉编译绿；**变异亲自复现**（候选查询去掉 ref_count = 0 ⇒ TestGCDoesNotDeleteReferencedDocument 红：candidates = 1, want 0）。 - 未做（任务书允许的「只做后端」）：面板手动「清理未引用附件」入口 —— 后端能力已就绪（documents.NewGC + GC.Sweep），接成端点属小切片（含 admin 路由 + 审计 document.gc + 契约登记）。 - 已知窄窗口（已在 gc.go 文件头登记）：一轮 GC 与一次落库几乎同时发生时可能删掉刚被引用的文件（行不删、记 WARN）；坏 document 列只记 WARN 不阻塞消息写入 ⇒ 计数可能偏低（只会让文件**晚**回收，绝不早删）。	2026-10-04 21:01:30 +08:00
AskaEth	79b1ec36aa	fix(auth): API Key 落盘（修「每次重启 key 全失效」） ... - 缺陷：internal/auth/apikey.go 的 key 表是纯内存 map（注释自认 production should persist）⇒ 一次 restart 后所有 key 一律 401；实测挡住了大附件真机 e2e，也与「key 用于生产救火」的长凭据语义矛盾。 - 迁移 0016_api_keys：表 api_keys（id/name/key_hash/created_at/last_used_at/revoked_at）+ 唯一索引 idx_api_keys_key_hash；**只存 SHA-256 hash，无明文入口**。 - 纪律：Generate 先落库后改内存（失败 ⇒ 内存不变 + 返回错误）；AttachKeyStore 启动时把库中未吊销 hash 载入内存（Load 失败仍接上 store ⇒ Generate 会响亮报错，而不是静默退回「不落盘」）；Revoke/RevokeAll/RevokeByMask 先落库再移出内存（落库失败 ⇒ WARN + 内存不变，fail-closed：绝不让被吊销的 key 重启后复活）。 - 内存表也改为存 hash（不再存明文）⇒ 面板 id/掩码由 hash 派生：不再泄露明文首尾、且跨重启稳定（重启前记下的 id 重启后仍可吊销）。 - 契约零变化：HTTP 请求/响应形状、网关代码、既有内存用例断言全部未动（网关构造注入点只在组合根 wireAPIKeys）。 - 主会话独立验收：隔离 worktree（K1 的 7 文件）build/vet 绿、全树 59 包 0 FAIL、key 用例 24 PASS、双平台交叉编译绿；变异独立复现（跳过落库 ⇒ 重启存活用例红）。 - 取舍与遗留：吊销落库失败在 HTTP 层仍表现为 404/revoked:0（签名零改动的代价，日志可辨）；last_used_at 列已建但恒 NULL（避免把读路径变写路径）；旧内存 key 已被此前重启消灭，需重签一次后即长期有效。	2026-10-04 19:55:18 +08:00
AskaEth	c3339a5d07	docs(api): 契约 v0.61 —— 登记 .pdf 文本层与成对嗅探裁决（修 B1 落地后的契约漂移） ... - 漂移：B1（f82c76d）把白名单 22→23 项、嗅探改为 (扩展名, 嗅探) 成对裁决，而 Docs 仍写「22 项 / 仅放行 text/plain」。本切片只改 Docs 两个文件把口径改准。 - 登记要点：白名单 23 项（22 文本+ .pdf）；成对裁决双向拒（HTML/文本改名 .pdf ⇒ 415；PDF 改名 .txt ⇒ 415）；读侧真 PDF 下发 application/pdf 但仍 attachment+nosniff（不可内联）；文本层抽正文、扫描件诚实拒绝（unreadable，文案含「需要 OCR，当前未做」）、加密/损坏可区分；安全阀 5000 页 / sidecar 8 MiB；ExtractorVersion documents/v3 ⇒ 旧 sidecar 一次性重抽（客户端可观察 chars/truncated 重算）。三档标注：行为变更（.pdf 从 415 变为可上传可读 + 裁决收紧）+ 纯增量（第 23 项）。 - 未发明任何未实现行为：OCR / PDF 写 / Office 明确写「未做」；v0.59 历史条目里的「22」加注「⚠️ 历史值；v0.61 起为 23 项」。 - 主会话复核：grep 22 项 仅剩历史 changelog 一处且已标注；v0.61 在 api-client 12 处、api-reference 13 处；给出「项 → 文档位置 → 代码证据（文件:行）」对照表逐条核对。 - 子代理如实报告的结构隐患（已登记）：api-client 有**两套平行变更记录**（§1.2 末的大块 + §5 列表）易再漂移；api-reference 无自己的版本条目节。	2026-10-04 19:51:12 +08:00
AskaEth	f82c76df27	feat(documents): PDF 文本层抽取（S6 第一段；扫描件仍诚实拒绝） ... - 依赖：github.com/ledongthuc/pdf（**BSD-3-Clause**，非 MIT —— 子代理核了 LICENSE 并纠正了任务书的写法；零传递依赖；无 cgo/无外部进程；体积 strip 后 +285.5 KiB / +0.74%，在 detached worktree 里量取，产出写到仓库外）。被否候选：pdfcpu 无文本抽取、rsc.io/pdf 停更、pdfium/poppler/mupdf 需 cgo 撞红线。 - 实现：魔数 %PDF- 是唯一入口判定（名字/声明指向 PDF 而字节无魔数 ⇒ ErrUnsupported，绝不退回纯文本抽）；逐页 GetPlainText（页间仅去首尾空白）；ExtractorVersion v2→v3（所有 sidecar 一次性重抽）；页数上限 5000 + 字节安全上限复用；新增哨兵 ErrPDFEncrypted / ErrPDFDamaged。 - 诚实边界：无文本层（扫描件）⇒ ErrNoTextLayer 且文案含「图片型/无文本层 PDF，需要 OCR（当前未做）」；加密/损坏各自可判、绝不 panic、不回空正文假装成功。 - 白名单与成对裁决：.pdf 纳入（22→23），且 ContentAllowed 做双向裁决（.pdf 只收嗅探为 application/pdf；PDF 字节只收在 .pdf 名下）；读侧真 PDF 如实下发 application/pdf，仍 attachment + nosniff（不可内联）。 - 1 处 panic 兜底已如实登记：该库对「xref 指向文件外」畸形件会在 NumPage() 直接 panic（已用仓库外程序复现），单二进制常驻后端不能因 587 字节上传件崩掉 ⇒ defer recover 折成 ErrPDFDamaged；损坏类主用例仍走库的真出错路径。 - 主会话独立验收：隔离 worktree（B1 的 14 文件）build/vet 绿、全树 59 包 0 FAIL、PDF 用例 13 PASS、双平台交叉编译绿；变异独立复现（魔数裁决短路 ⇒ 魔数/成对裁决用例红）。 - ⚠️ 契约漂移（已排 C2）：Docs 仍写「22 项白名单 / 嗅探仅放行 text/plain」，与本切片的 23 项 + 成对裁决不一致 ⇒ 需升 v0.61 登记 .pdf 与新的边界。	2026-10-04 19:46:36 +08:00
AskaEth	c4e09afd38	feat(admin): 面板「存储」卡片接真数据（含 PG 增强状态）+ 契约 v0.60 ... - 现状：overviewMetrics.ts:188 的「存储」卡是写死的 value:"SQLite"，后端也没有对应读端点（/admin/system/* 只有 revoke-keys/rotate-jwt/backup/restore 四个动作端点）。 - 新增只读端点 GET /api/v1/admin/system/storage（ownerAuth）：main{kind,path,fileBytes,walBytes,shmBytes,pageSize,pageCount,freelistPages,freeBytes} + documents{count,bytes} + vector{kind,enabled,ready}；只读（SELECT/PRAGMA + os.Stat）、复用活连接不开新池、**绝不含凭据**（只回 kind，不回 host/DSN）、失败一律 500 storage_unavailable（不回全 0 假快照；表缺失也 500 而不是静默 0）。 - vector 真源 = 组合根 app.vectorState()（Configured = DB_PG_URL 非空；Live = 向量索引类型断言成功），零新探测 ⇒ 面板现在能区分「未启用（未配置 DB_PG_URL）/ 启用（pgvector·ready）/ 已配置但未就绪（连接失败，检索降级）」，正好解答主人对「面板只写 SQLite」的困惑。 - 前端：卡片显示真实体积 + WAL/页数/空闲页 + documents 件数与占用 + PG 那一行；取数走与已接线卡片同一条加载/错误态（失败显示 '—' + 端点报错，不静默显示 0）。 - 契约 v0.60（项目红线）：api-client（版本段 + 端点表 + 存储状态契约小节 + changelog）与 api-reference（版本号 + 端点表 + 详情小节）同步；字段名三方（代码/Docs/前端）逐字对齐。 - 主会话独立验收：隔离 worktree（ST1 的 14 文件，排除 B1 在途的 chat_documents.go/documents_pdf_test.go）build/vet 绿、全树 59 包 0 FAIL、存储端点 7 用例 PASS、双平台交叉编译绿。 - ⚠️ 该切片自首一起事故：为通过 cmd/cyrene 类型检查跑了 go build ./cmd/cyrene/（单 main 包）⇒ 覆盖了仓库根 cyrene.exe（49,675,264 B / 19:32:19，脏树未 strip）；上一个权威产物仍在 cyrene.exe~（39,507,968 B / 19:25:13）。运行中的 PID 477964 未受影响；主会话将在整树干净后重跑 ctrl.bat build 恢复权威产物。	2026-10-04 19:44:53 +08:00
AskaEth	137b3e9eaf	fix(guardrail): 输入上限与附件注入预算统一换算（多附件不再被拦） ... - 残留缺口：护栏量整段装配请求（字符），注入预算是单份 ⇒ 1M 窗口下 2×349525 就顶到旧上限 699050、5 份必被拦。根因是两套换算（上限按 1char=1token，注入按 loop 的 4char=1token）。 - 修法：上限 = max(262144, 推导预算 tokens × loop.CharsPerToken) ⇒ 1M 窗口 2,796,200 字符（5 份满额注入 1,747,625 有余量）；不变量升级为「N 份」（maxChatDocumentsPerTurn=5，带出处注释）；WARN 文案升级为多附件口径（max_documents/document_inject_chars/document_inject_total_chars/guardrail_max_input_chars/hint）。 - 同一换算常量复用：在 loop/compactor.go 的既有无导出常量旁加导出别名 loop.CharsPerToken = charsPerToken（2 行、零行为改动、不重命名）—— 这是本切片唯一触及「不要碰」清单的改动，已由主会话复核接受（替代方案是复制一个字面量 4，会重新造出两套换算）。 - 同步陈旧注释（config/guardrail.go、wire_runtime.go 里的旧公式）与 .env.example（新公式 + 多附件口径 + 1M 算例 2796200/1747625），并有「模板 ↔ 代码现算值」的一致性用例。 - 主会话独立验收：隔离 worktree（G2b 的 7 文件，排除 B1/ST1 在途）build/vet 绿、全树 59 包 0 FAIL、护栏用例 17 PASS、双平台交叉编译绿。 - 残留（未修，需裁决）：预算关闭或落在 (0,81920) token 的部署，派生态上限 = 262144 而 5×64K = 327680 ⇒ 满载附件回合仍可能被拦（启动会记 WARN，不静默）；真正的下限应取 max(262144, maxDocs×每份注入)。	2026-10-04 19:41:44 +08:00
AskaEth	2a43035f5d	refactor+feat(documents,channelbridge): 共享存储核心 + IM 入站附件摄取（主人 2.3） ... - 抽共享存储核心：internal/runtime/documents/store.go（22 项白名单 + 字节嗅探唯一裁决 + 内容寻址 sha256[:32]+ext + 去重 + 限额 + 路径双检）+ store_meta.go（documents 表唯一写入实现）。 - gateway 改为调用 store，**对外行为零变化**（机器证明：既有 documents_test/chat_documents_test/chat_documents_bounds_test 三个文件 0 行改动且全绿；状态码/响应字段/错误码/审计动作名/限额文档口径全部逐字保留；maxChatDocuments 改为引用 documents.MaxPerMessage）。 - IM 入站附件摄取（channelbridge）：文件类媒体 → store.Save → 挂 model.DocumentMessage(RoleUser) 部件 ⇒ 后续 resolveDocuments 自动抽取/注入/清单；挂载点在「会话解析 + 黑白名单 + 最小打扰」三重闸门之后（被拦消息绝不在盘上留文件）；**不支持的格式不静默**（诚实提示行 + 带来源日志，只记 name/mime/size，名字做展示净化防伪造行）；图片/语音保持既有链路。 - 主会话独立验收：隔离 worktree（M1 的 12 文件）build/vet 绿、全树 59 包 0 FAIL、双平台交叉编译绿、12 条 Inbound 用例 PASS；变异独立复现（关闭 IM 摄取 ⇒ 5 条红，含「落盘文件数 = [] want 1」）。 - ⚠️ 真机边界（需裁决）：现网四个适配器上报的文件媒体**只带 URL**（telegram FileID / qq-obv11 file|url / weixin·kook CDN URL），Media.Data 恒空 ⇒ 本切片只摄**内联字节**，URL 一律「诚实提示，不代取远程」（避免第三份 SSRF 实现）。真机要让「她读到 IM 文件」，需各适配器入站时下载并内联（凭据在各自渠道里，推荐）或新增共享受守卫抓取器。 - 另登记：IM 附件暂未写 chat_messages.document 列（二手回合看不到引用，建议并入 S7）；channelbridge 既有测试夹具在 -race 下有数据竞争（stubSessions.GetOrCreate，与本次无关）。	2026-10-04 19:25:00 +08:00
AskaEth	51c1672355	fix(guardrail): 输入护栏上限按推导预算派生（修「大附件被拦死」）+ 第 5 条 flake ... - 真 bug：文档注入预算（1M 窗口 ⇒ 349525 字符）> 输入护栏硬编码上限（262144）⇒ 带 744KB 附件的 POST /chat 直接 input_length_exceeded/guardrail_input，整个回合作废（主会话活服务实测）。 - 修法：guardrailMaxInputChars → guardrailMinInputChars(256Ki 下限) + 纯函数 deriveGuardrailInputLimit(log, override, budgetTokens, docInjectChars)：派生值 = max(下限, 推导预算 tokens)（1M ⇒ 699050）；新增 env GUARDRAIL_MAX_INPUT_CHARS（未设/0=派生、>0=覆盖、<0=WARN 回落）；预算只在 wire_context 推导一次并经 buildGuardrailPipeline(ctxBudget) 传入（避免「窗口未声明」WARN 记两遍）；输出上限 65536 刻意不参与派生（有显式回归钉住）。 - 关系不变量：文档注入预算 ≤ 输入上限，人为破坏 ⇒ 一条 WARN（不静默）。 - 第 5 条 flake（exec/TestTerminal_Timeout_Killed）：仅改测试、terminal.go 保持 pristine；根因不是「杀进程失效」而是旧断言的 ~200ms 精度把宿主负载下的进程创建耗时算了进去（重压下 cmd.Start 会直接返回 deadline exceeded，红行却报 process not killed）⇒ 改为「控制组证明同命令不设短超时正常退出」的确定性证明 + 把墙钟断言降级为 10s 语义判别界（子进程自然存活期拉到 30s）。 - 主会话独立验收：隔离 worktree（G2 的 10 个文件，排除 M1 在途的 wire_channels.go）build/vet 绿、全树 59 包 0 FAIL、双平台交叉编译绿、Guardrail* 全 PASS、exec -count=20 绿；变异独立复现（把派生值退回硬编码 ⇒ 4 条红，含 budget=699050 → 262144）。 - 残留缺口（已排 G2b）：护栏量的是整段装配请求、注入预算是单份 ⇒ ≥2 份各撞注入预算的大附件仍可能被拦。	2026-10-04 19:15:12 +08:00
AskaEth	d37d4a899b	docs(gateway): 余下 3 处行尾注释中文化（存量注释债结项） ... - 事实订正：任务书说「gateway 全包中文注释 ≈ 0」是 2026-10-03 的旧状态；该债早已分批还清（074ffc4 / 355f81d / fe1ff33）。本次清点：70 个非测试文件 / 3493 行 // 注释，仅 6 行无中文。 - 翻 3 行（都是行尾枚举提示，代码前缀逐字节不变）：admin_write_iot_automations.go:107 (cron|event)、history.go:20 (main|sub)、history.go:47 (user|assistant)；另 3 行是中文多行句子的纯标识符/帧名续行，按规则不翻。 - 机械校验：除这 3 组行尾注释外零输出（即整包 diff 无任何非注释行、非空行改动）；gofmt -l 干净（改动前也干净）；go build/vet 全树绿；gateway 包测试绿。 - 主会话独立复核：机械校验输出恰为 3 对（代码部分逐字相同）、gofmt 干净、go test ./internal/services/gateway/... 绿。 - 文档订正：开发习惯与约定.md 的「gateway ≈ 0 中文注释」已改写成结项事实（测试文件里的存量注释仍未清点，另记）。	2026-10-04 18:57:58 +08:00
AskaEth	b1f9b11d6e	test(flake): 4 条负载敏感用例确定性化（只改测试，生产代码零改动） ... - #1 TestSpawnTimeoutFromToolDefault：墙钟竞态（Spawn→Wait 的调度抖动 vs 120ms 工具时限）⇒ 用「托底子代理占住唯一槽位 + gate 放行」把 running 变成由门控保证；并新增 DeadlineExceeded 断言。 - #2 TestParallelLimit：真实成因**不是**「同进程迭代状态泄漏」（任务书推测错了）—— 是 transitionRunning 与 runner 内 active++ 之间的**抢占窗口**（复现：-count=200 六次红、三进程并行 1/9）⇒ 改等 runner 内部 activeCount()>=2 这一**稳定态**，并新增「整轮排空峰值==2」。 - #3 TestBackthink_List_NewestFirst：真实成因**不是**时间戳并列（SQL 是 ORDER BY id DESC）—— 是**后台心跳 writer 在两次 List 之间插入新行**（决定性证据：心跳周期缩到 1ms ⇒ 21/200 红，且第二次读到的 id 更大）⇒ 不再 Start() 心跳，改同步 think 写 3 条。 - #4 TestClient_OnConnectErrorTriggersRedial：固定 60ms 睡眠 vs 每周期耗时不定的墙钟竞态（改动前基线 5/9 红）⇒ 改为等第 2 次拨号事件；顺带改正与内容不符的旧注释。 - 证据：逐条 -count=20 绿；整树连跑 3 次 59 ok/0 FAIL；**三进程并行整树 9/9 绿（改动前基线 5/9 红）**；GOMAXPROCS=1 ×4 进程加压；-count=200/500/500/300；-race 三包绿。 - 主会话独立复验：隔离 worktree build/vet 绿、四条 -count=20 全绿、两进程并行整树双 59 ok/0 FAIL；**变异独立复现**（TestParallelLimit 的 MaxParallel 2→3 ⇒ max concurrent runs = 3, want 2 红）。 - 顺带发现第 5 条既有 flake：internal/runtime/exec/TestTerminal_Timeout_Killed（改动前基线 2/9 红）；以及 audit/00-总览.md:321/372 对 #2/#3 成因的记载有误（DevDocs 由主会话更正）。	2026-10-04 18:51:25 +08:00
AskaEth	b19d798a2d	docs(api): 契约 v0.59 —— 文档进对话 + 上下文预算按窗口推导 + 语音进编排 + thinking 口径 ... - api-client 顶部 changelog 新增 v0.59（上一版指向 v0.58），三档标注齐全；新增 §1.2 文档存储与摄取契约、§3.15 语音回合、§2 上下文窗口与预算契约（v0.59）；api-reference 端点表/帧表/错误码同步（+235/-33）。 - 登记要点：两条 documents 端点（含重复上传 200 + deduped:true、读侧必须 Bearer）、4 个 REST 错误码、chat.documents（≤5、只收存储名、三入口同形）、DTO document→documents 数组（单数形状从未发布 ⇒ 无兼容期）、chars/truncated 改为「本回合注入侧」、document-read 工具面、contextWindow + 3 个新 env 键 + CONTEXT_MAX_TOKENS 三态（1M ⇒ 699050）+ materialize 语义（欠账）、语音进编排/voice_input.clientMsgId/voice_output 归属键与降级信号、pending_full 两键 + 新增定向 error{code:chat_busy}、thinking 实时/回放剥离与历史可查的口径。 - 子代理如实报出并已就地更正的三处：白名单实为 22 项（design/24 §9.2 写 23，已改设计）、document_unreadable 本期无 REST 落点（只登记为工具错误形态，已改设计 §6.2）、§6.1 单数 DTO 作废。 - 主会话复核：Docs 里 v0.59 出现 22/32 处、四个新小节标题齐、引用的 6 个 commit 全为真实提交；另补一句「预算推导只在启动时算一次 ⇒ 改窗口后需重启重算」与面板文案对齐。	2026-10-04 18:11:44 +08:00
AskaEth	47e56ca13c	feat(admin): 面板暴露 contextWindow（可见可改）+ DocumentRef 语义注释同步 ... - 面板读写面与 maxTokens 逐处对齐：读 DTO 增 contextWindow(omitempty)、写请求 ContextWindow *int（缺失=保留、显式 0=未声明同义、负数 400）、回写 models.json；负数红线仍由 runtimeconfig.Group.Validate 唯一裁决，网关守卫只做「更早失败 + 面板可读字段名」。前端：类型 + 表单字段（提交前 /^\d+$/ 校验）+ 分组行角标 + Notice + 目录候选用早已解析却没人用的 contextLimit 预填。文案写明「重启后生效」（推导只在进程启动时算一次）。 - 顺手修既有红线违反：ProviderFields 87→76（抽 ApiKeyAndBudgetField）、LlmProviderForm 113→74（buildRequest 提为模块级纯函数）——本次碰过的文件里已无 >80 的函数，行为/文案逐字未变。 - DocumentRef 的 chars/truncated 注释从「抽取侧」改为「本回合注入侧」（全文长度只在 document-read 的 totalChars、extractTruncated 专指撞 8 MiB 安全上限）；机械校验为空 ⇒ 代码零改动。 - 主会话独立验收：隔离 worktree Go 侧 build/vet + gateway/history 两包绿；主树 npx tsc --noEmit exit 0、npm run build 成功并 copy 到 internal/webui/dist；注释机械校验为空；变异由子代理复现（写路径不认该键 ⇒ 3 红；去掉网关负数守卫 ⇒ 400 变 500）。	2026-10-04 18:11:43 +08:00
AskaEth	3a01b4e236	feat(gateway): 语音回合进编排+落库、G5 队列满带回身份、voice_output 归属（安卓 G5/C1/C3） ... - G5：pending_full 增 clientMsgId/messageId（仅在可给出时出现、绝不新铸 id —— 队列满的拒绝发生在幂等键认领之前，代铸会让客户端重试被判重复而永远进不来）；另定向回发送者 {type:error,data:{code:chat_busy,...}}（与 REST 409 chat_busy 同码），广播帧照旧带同样的键供其它端对齐。 - C1：语音回合改走与文本同一条路径（编排器 Submit → 落库 → 流式 → 跨端同步），deviceId 走既有 withDeviceID、platform 走存储默认 web；未接编排器时保留旧直连路径。音频在回合结算处（persistAssistantReply → persistDocumentStatus → dispatchVoiceReply）合成并定向回原连接，回调各自 goroutine（TTS 延迟不拖住 pending_drain/session_idle）；续跑 FIFO 与转向注入两条路径都带走回调 ⇒ 忙时排队/被注入的语音也不丢音频。 - C3：voice_output 增 sessionId/deviceId；三处主动加码（按最优方向）：① voice_input 增可选 clientMsgId（语音也有幂等）② 不再拿 stopReason 顶替空正文当语音内容（空正文走 provider 降级信号）③ TTS 失败照旧回帧 + provider:silent（不静默）。 - 拆 chat_documents_test.go（510 行越界）→ 373 + 160，只搬不改（拆前后同 -run 过滤 PASS 集合逐条一致）。 - 主会话独立验收：隔离 worktree（HEAD + 本批次 11 文件）build/vet 绿、gateway -race 绿、全树 59 包（唯一红是既有负载 flake orchestration/TestSpawnTimeoutFromToolDefault）、linux+darwin 交叉编译绿；变异独立复现（pending_full 摘掉 clientMsgId ⇒ 3 条红）。 - 待办（已登记）：Docs/api-client.md 与 api-reference.md 的帧/字段登记随 v0.59 一并落笔（本批次刻意未动 Docs，避免与契约批次打架）。	2026-10-04 17:59:28 +08:00
AskaEth	72b95df22b	feat(config,runtime): 上下文预算按模型窗口推导 + usage/缓存可观测 + sidecar 存全文（T1） ... - 窗口声明：models.json 组级 contextWindow + env LLM_CONTEXT_WINDOW（per-group materialize 播种，0 不写盘、负数报错）。 - 预算三态：CONTEXT_MAX_TOKENS 未设置 ⇒ 按窗口推导；>0 显式覆盖；0|负 关闭压缩（不变）。推导 budget = min(窗口×比例, 窗口−输出保留)，比例默认 2/3（CONTEXT_BUDGET_RATIO，1M ⇒ 699050 tokens ≈ 683Ki）；输出保留 = max(32768, 该组 maxTokens) 且封顶窗口/2（防配置矛盾时退化成 1 token）；窗口未声明 ⇒ 回落 131072 + 恰好一条 WARN。接线在组合根 wire_context.go（唯一决策点）。 - usage/缓存可观测（此前**完全不可观测**）：Response 增 CacheHit/CacheMiss/Reasoning tokens + CacheHitRate；解析 OpenAI 兼容（prompt_cache_hit_tokens/prompt_cache_miss_tokens/cached_tokens/reasoning_tokens）与 anthropic（cache_read_input_tokens/cache_creation_input_tokens）两种形状；记录点在适配器 record（换入口不丢成本日志），日志无凭据；单次输入 ≥预算 90% 记 WARN（不阻断）。 - 根治清单「续读」假承诺：抽取期不再按注入预算截断（sidecar 存全文，只受 MaxSidecarBytes=8 MiB 安全上限，ExtractorVersion v1→v2 旧 sidecar 失效重抽）；注入预算改在装配期生效 ⇒ ref.Chars/Truncated 是注入侧事实、游标真是继续读的起点；document-read 的 limit 上限改为独立具名常量。 - 顺手修越界：config.go 505 行（超 500）拆出 llm.go。 - 主会话独立验收：隔离 worktree（HEAD + 本切片 39 文件，排除在途 gateway）build/vet 绿、全树 59 包 0 FAIL、linux+darwin 交叉编译绿；变异独立复现（比例改 0.25 ⇒ 推导用例红 262144 vs 699050）。	2026-10-04 17:57:08 +08:00