diff --git a/plugins/dsh-mail-bridge/lib/catchup.js b/plugins/dsh-mail-bridge/lib/catchup.js index a0a4a6d..feabae5 100644 --- a/plugins/dsh-mail-bridge/lib/catchup.js +++ b/plugins/dsh-mail-bridge/lib/catchup.js @@ -37,6 +37,57 @@ export function mailToEvent(mail) { mail_type: mail?.mail_type || 'normal', role: 'to', to_workspace: mail?.to_workspace || '', + /* + * 权限档位**必须在补投路径上带过来**（2026-09-14 修）。 + * + * 病根：SSE 的 `new_mail` 带 `permission_mode` / `permission_enforcement`， + * 而这里只搬了 8 个字段 —— 于是 worker 的 + * `mailContext.permissionMode = msg.data?.permission_mode || 'workspace'` + * 落到默认 workspace。**只有补投的邮件中招**（SSE 实时送达的不受影响）， + * 表现为：一条 full 档会话里只要有一封补投邮件，worker 就去申请审批 → + * 服务端按档位回 409 → 桥按「永久失败」当场 block → 这一轮 bash/write/edit 全被拦。 + * + * 字段名与 SSE 逐字一致（就是这个文件头声称的目标）； + * `GET /mail/inbox` 的行**已经**带这两个字段（服务端 `ListInboxScoped` 里有 + * `JOIN sessions s` + `COALESCE(NULLIF(s.permission_mode,''),'workspace')`， + * `models.Mail.PermissionMode` 的注释写明了补拉路径必须有它）， + * 是这里把它们丢掉的 —— 不需要动服务端载荷，也不需要插件另发一次请求。 + * + * 缺失时给空串而不是猜一个档（调用方 `|| 'workspace'` 自会兜底）： + * 这里猜等于替服务端做安全决策，猜宽了就是提权。 + */ + permission_mode: mail?.permission_mode || '', + permission_enforcement: mail?.permission_enforcement || '', + /* + * 同一族的另外三个字段（2026-09-14 用"配对"扫出来的，不是猜的）： + * 把四个桥**读投递事件的字段**与 `mailToEvent` 产出的字段对了一遍， + * 缺的邮件类字段就是这三个 —— 它们和权限档位是同一个根因（这个函数搬的字段太少）。 + * + * - `from_human`：消费方（dsh 的 adoptPrompt）靠它决定"回信不用你自己发"这句 + * 说不说。缺了它，**人发来的信在补投路径上被当成 Agent 来信，失去自动回信** + * —— 服务端 `models.Mail.FromHuman` 的注释早就写明"补拉路径必须有它"。 + * - `in_reply_to`：SSE 那边等于 `ParentMailID`。缺了它，"这封是对我的回复" + * 被当成"新派的活"，两边会互相客套到撞上 hop 上限（生产实测 6 轮）。 + * 行里的字段叫 `parent_mail_id`，这里**只做改名，不做推算**。 + * - `session_alias`：会话的寻址名。缺了它，插件只知道 session_id， + * 而 `send_mail` 不接受 session_id。 + * + * **没做的那个**：`reply_address`。它不在收件箱行里（服务端在 notify 的载荷里 + * 现算：`FormatAddress(replyTo, "", alias)`，且是**按收件人**算的）。 + * 服务端注释明确说"插件不必自己拼（拼错了就是静默开新会话）"， + * 所以这里不替它拼 —— 那是服务端补一个字段的事，留给上游决定（见回信说明）。 + */ + from_human: mail?.from_human === true, + in_reply_to: mail?.in_reply_to || mail?.parent_mail_id || '', + session_alias: mail?.session_alias || '', + /* + * `reply_address` 曾经是**唯一**一个收件箱行里没有的字段 —— 服务端在 notify + * 的载荷里现算（`FormatAddress(replyTo, "", alias)`）。既然补投路径也需要它 + * （dsh 桥的提示词读 `data.reply_address`），服务端就把它一并放进收件箱行 + * （`models.Mail.ReplyAddress`，由 `ListInboxScoped` 填）—— 插件只搬运，不自己拼： + * 服务端注释明确说"拼错了就是静默开新会话"。 + */ + reply_address: mail?.reply_address || '', // 标记来源，投递侧可据此决定是否在提示词里说明「这是积压的邮件」 catchup: true, }; diff --git a/plugins/opencode-mail-bridge/lib/catchup.js b/plugins/opencode-mail-bridge/lib/catchup.js index a0a4a6d..feabae5 100644 --- a/plugins/opencode-mail-bridge/lib/catchup.js +++ b/plugins/opencode-mail-bridge/lib/catchup.js @@ -37,6 +37,57 @@ export function mailToEvent(mail) { mail_type: mail?.mail_type || 'normal', role: 'to', to_workspace: mail?.to_workspace || '', + /* + * 权限档位**必须在补投路径上带过来**（2026-09-14 修）。 + * + * 病根：SSE 的 `new_mail` 带 `permission_mode` / `permission_enforcement`， + * 而这里只搬了 8 个字段 —— 于是 worker 的 + * `mailContext.permissionMode = msg.data?.permission_mode || 'workspace'` + * 落到默认 workspace。**只有补投的邮件中招**（SSE 实时送达的不受影响）， + * 表现为：一条 full 档会话里只要有一封补投邮件，worker 就去申请审批 → + * 服务端按档位回 409 → 桥按「永久失败」当场 block → 这一轮 bash/write/edit 全被拦。 + * + * 字段名与 SSE 逐字一致（就是这个文件头声称的目标）； + * `GET /mail/inbox` 的行**已经**带这两个字段（服务端 `ListInboxScoped` 里有 + * `JOIN sessions s` + `COALESCE(NULLIF(s.permission_mode,''),'workspace')`， + * `models.Mail.PermissionMode` 的注释写明了补拉路径必须有它）， + * 是这里把它们丢掉的 —— 不需要动服务端载荷，也不需要插件另发一次请求。 + * + * 缺失时给空串而不是猜一个档（调用方 `|| 'workspace'` 自会兜底）： + * 这里猜等于替服务端做安全决策，猜宽了就是提权。 + */ + permission_mode: mail?.permission_mode || '', + permission_enforcement: mail?.permission_enforcement || '', + /* + * 同一族的另外三个字段（2026-09-14 用"配对"扫出来的，不是猜的）： + * 把四个桥**读投递事件的字段**与 `mailToEvent` 产出的字段对了一遍， + * 缺的邮件类字段就是这三个 —— 它们和权限档位是同一个根因（这个函数搬的字段太少）。 + * + * - `from_human`：消费方（dsh 的 adoptPrompt）靠它决定"回信不用你自己发"这句 + * 说不说。缺了它，**人发来的信在补投路径上被当成 Agent 来信，失去自动回信** + * —— 服务端 `models.Mail.FromHuman` 的注释早就写明"补拉路径必须有它"。 + * - `in_reply_to`：SSE 那边等于 `ParentMailID`。缺了它，"这封是对我的回复" + * 被当成"新派的活"，两边会互相客套到撞上 hop 上限（生产实测 6 轮）。 + * 行里的字段叫 `parent_mail_id`，这里**只做改名，不做推算**。 + * - `session_alias`：会话的寻址名。缺了它，插件只知道 session_id， + * 而 `send_mail` 不接受 session_id。 + * + * **没做的那个**：`reply_address`。它不在收件箱行里（服务端在 notify 的载荷里 + * 现算：`FormatAddress(replyTo, "", alias)`，且是**按收件人**算的）。 + * 服务端注释明确说"插件不必自己拼（拼错了就是静默开新会话）"， + * 所以这里不替它拼 —— 那是服务端补一个字段的事，留给上游决定（见回信说明）。 + */ + from_human: mail?.from_human === true, + in_reply_to: mail?.in_reply_to || mail?.parent_mail_id || '', + session_alias: mail?.session_alias || '', + /* + * `reply_address` 曾经是**唯一**一个收件箱行里没有的字段 —— 服务端在 notify + * 的载荷里现算（`FormatAddress(replyTo, "", alias)`）。既然补投路径也需要它 + * （dsh 桥的提示词读 `data.reply_address`），服务端就把它一并放进收件箱行 + * （`models.Mail.ReplyAddress`，由 `ListInboxScoped` 填）—— 插件只搬运，不自己拼： + * 服务端注释明确说"拼错了就是静默开新会话"。 + */ + reply_address: mail?.reply_address || '', // 标记来源，投递侧可据此决定是否在提示词里说明「这是积压的邮件」 catchup: true, }; diff --git a/plugins/pi-mail-bridge/lib/catchup.js b/plugins/pi-mail-bridge/lib/catchup.js index a0a4a6d..feabae5 100644 --- a/plugins/pi-mail-bridge/lib/catchup.js +++ b/plugins/pi-mail-bridge/lib/catchup.js @@ -37,6 +37,57 @@ export function mailToEvent(mail) { mail_type: mail?.mail_type || 'normal', role: 'to', to_workspace: mail?.to_workspace || '', + /* + * 权限档位**必须在补投路径上带过来**（2026-09-14 修）。 + * + * 病根：SSE 的 `new_mail` 带 `permission_mode` / `permission_enforcement`， + * 而这里只搬了 8 个字段 —— 于是 worker 的 + * `mailContext.permissionMode = msg.data?.permission_mode || 'workspace'` + * 落到默认 workspace。**只有补投的邮件中招**（SSE 实时送达的不受影响）， + * 表现为：一条 full 档会话里只要有一封补投邮件，worker 就去申请审批 → + * 服务端按档位回 409 → 桥按「永久失败」当场 block → 这一轮 bash/write/edit 全被拦。 + * + * 字段名与 SSE 逐字一致（就是这个文件头声称的目标）； + * `GET /mail/inbox` 的行**已经**带这两个字段（服务端 `ListInboxScoped` 里有 + * `JOIN sessions s` + `COALESCE(NULLIF(s.permission_mode,''),'workspace')`， + * `models.Mail.PermissionMode` 的注释写明了补拉路径必须有它）， + * 是这里把它们丢掉的 —— 不需要动服务端载荷，也不需要插件另发一次请求。 + * + * 缺失时给空串而不是猜一个档（调用方 `|| 'workspace'` 自会兜底）： + * 这里猜等于替服务端做安全决策，猜宽了就是提权。 + */ + permission_mode: mail?.permission_mode || '', + permission_enforcement: mail?.permission_enforcement || '', + /* + * 同一族的另外三个字段（2026-09-14 用"配对"扫出来的，不是猜的）： + * 把四个桥**读投递事件的字段**与 `mailToEvent` 产出的字段对了一遍， + * 缺的邮件类字段就是这三个 —— 它们和权限档位是同一个根因（这个函数搬的字段太少）。 + * + * - `from_human`：消费方（dsh 的 adoptPrompt）靠它决定"回信不用你自己发"这句 + * 说不说。缺了它，**人发来的信在补投路径上被当成 Agent 来信，失去自动回信** + * —— 服务端 `models.Mail.FromHuman` 的注释早就写明"补拉路径必须有它"。 + * - `in_reply_to`：SSE 那边等于 `ParentMailID`。缺了它，"这封是对我的回复" + * 被当成"新派的活"，两边会互相客套到撞上 hop 上限（生产实测 6 轮）。 + * 行里的字段叫 `parent_mail_id`，这里**只做改名，不做推算**。 + * - `session_alias`：会话的寻址名。缺了它，插件只知道 session_id， + * 而 `send_mail` 不接受 session_id。 + * + * **没做的那个**：`reply_address`。它不在收件箱行里（服务端在 notify 的载荷里 + * 现算：`FormatAddress(replyTo, "", alias)`，且是**按收件人**算的）。 + * 服务端注释明确说"插件不必自己拼（拼错了就是静默开新会话）"， + * 所以这里不替它拼 —— 那是服务端补一个字段的事，留给上游决定（见回信说明）。 + */ + from_human: mail?.from_human === true, + in_reply_to: mail?.in_reply_to || mail?.parent_mail_id || '', + session_alias: mail?.session_alias || '', + /* + * `reply_address` 曾经是**唯一**一个收件箱行里没有的字段 —— 服务端在 notify + * 的载荷里现算（`FormatAddress(replyTo, "", alias)`）。既然补投路径也需要它 + * （dsh 桥的提示词读 `data.reply_address`），服务端就把它一并放进收件箱行 + * （`models.Mail.ReplyAddress`，由 `ListInboxScoped` 填）—— 插件只搬运，不自己拼： + * 服务端注释明确说"拼错了就是静默开新会话"。 + */ + reply_address: mail?.reply_address || '', // 标记来源，投递侧可据此决定是否在提示词里说明「这是积压的邮件」 catchup: true, }; diff --git a/plugins/pi-mail-bridge/src/worker.mjs b/plugins/pi-mail-bridge/src/worker.mjs index 5490363..ad634c1 100644 --- a/plugins/pi-mail-bridge/src/worker.mjs +++ b/plugins/pi-mail-bridge/src/worker.mjs @@ -193,6 +193,23 @@ function permissionExtension() { // 「没人可问，换不需要权限的方式」才能自己改道，挂死时连重试机会都没有。 if (e?.status === 409) { const b = e.body || {}; + /* + * 409 里服务端会带上**真实档位**（`handler/permission.go` 的 + * `"permission_mode": mode`）。若它说这条会话是 full 档，那 409 的 + * 含义不是「没人可问」，而是「**本档根本不该问**」—— full 档的工具调用 + * 无需审批，正确反应是**放行**，不是拦截。 + * + * 什么时候会走到这里：补投路径漏传档位（`lib/catchup.js`，2026-09-14 已修）， + * 于是 worker 拿默认 workspace 档去申请。没有这条兜底时，一条 full 档会话 + * 只要有一封补投邮件，这一轮 bash/write/edit 全被 409 拦死。 + * + * 兜底**只认服务端明说的 full**：plan 档（该档语义是「不动手」，拦住是对的） + * 与「这条链上没有人类」的 409 照旧 fail closed —— 猜宽了就是提权。 + */ + if (b.permission_mode === MODE_FULL) { + log(`服务端判定本会话为 full 档，放行 ${event.toolName}（${relayKey}）：无需审批`); + return; + } const reason = [ b.error || '权限询问无法送达：这条任务链上没有人类用户', b.detail || '', diff --git a/plugins/pi-mail-bridge/test/catchup.test.mjs b/plugins/pi-mail-bridge/test/catchup.test.mjs index 23d38ab..04a674e 100644 --- a/plugins/pi-mail-bridge/test/catchup.test.mjs +++ b/plugins/pi-mail-bridge/test/catchup.test.mjs @@ -2,6 +2,11 @@ import assert from 'node:assert/strict'; import test from 'node:test'; import { MAX_CATCHUP, mailToEvent, selectCatchup } from '../lib/catchup.js'; +import { readFileSync } from 'node:fs'; +import { dirname, join } from 'node:path'; +import { fileURLToPath } from 'node:url'; + +const HERE = dirname(fileURLToPath(import.meta.url)); const mail = (over = {}) => ({ mail_id: 'm1', @@ -79,3 +84,91 @@ test('seen 传 undefined 时不去重也不报错', () => { const got = selectCatchup([mail({ mail_id: 'x' })], undefined); assert.deepEqual(got.map(e => e.mail_id), ['x']); }); + +/** + * ★ 权限档位必须带过来（2026-09-14 生产事故的回归判据）。 + * + * 现象：一条 full 档会话里只要有一封**补投**邮件，worker 就以为自己是 workspace 档， + * 去申请审批 → 服务端按档位回 409 → 桥按「永久失败」当场 block → 这一轮 + * bash/write/edit 全被拦（SSE 实时送达的邮件不受影响，只有补投的中招）。 + * + * 这条判据本该早就存在：上面那条「与 SSE new_mail 同形」的断言只列了 6 个键， + * **照抄了实现里搬的那几个字段** —— 于是"形状不一致"这件事恰好落在它的盲区里。 + * 盲区不是"漏了一个字段"，是"字段清单由被检查方提供"。 + */ +test('★ 补投事件必须带权限档位（漏了就会把 full 档会话误拦）', () => { + const ev = mailToEvent(mail({ permission_mode: 'full', permission_enforcement: 'strict' })); + assert.equal(ev.permission_mode, 'full', '补投路径不许把档位丢掉'); + assert.equal(ev.permission_enforcement, 'strict'); + // 缺字段时给空串：**不猜档位**（猜宽了就是提权），由调用方 `|| 'workspace'` 兜底 + const bare = mailToEvent(mail()); + assert.equal(bare.permission_mode, ''); + assert.equal(bare.permission_enforcement, ''); + assert.ok(!('permissionMode' in bare), '键名要与 SSE 逐字一致（蛇形），别自造驼峰'); +}); + +test('★ 配对判据：worker 从事件里读的每个档位字段，补投都要产出', () => { + /* + * 上面那条只钉两个已知字段，将来 worker 再读一个 `msg.data?.xxx` 时它不会响。 + * 这条把**生产者与消费者配对**：worker 读哪些 `msg.data?.X`，`mailToEvent` + * 就得产出哪些 X。字段清单不再由被检查方提供 —— 这正是上次漏掉档位的根因。 + * 与 narrow-layout 同一取舍：验形态，不验行为；重构敏感是它该做的提醒。 + */ + const worker = readFileSync(join(HERE, '..', 'src/worker.mjs'), 'utf8'); + const read = new Set([...worker.matchAll(/msg\.data\?\.([a-z_]+)/g)].map(m => m[1])); + assert.ok(read.size >= 4, `要能取到 worker 读的字段（实际 ${read.size} 个）`); + const produced = new Set(Object.keys(mailToEvent(mail()))); + const missing = [...read].filter(k => !produced.has(k)); + assert.deepEqual(missing, [], + `worker 会从事件里读这些字段，补投却没产出：${missing.join('、')} —— ` + + '补投是重启后的唯一送达路径，缺字段等于那条路径静默降级（档位漏传就是这么出的）'); +}); + +/** + * ★ 四桥配对：每个桥从投递事件里读的**邮件类**字段，补投都要产出。 + * + * # 为什么这条判据存在 + * + * 2026-09-14 的事故（full 档会话被误拦）根因是 `mailToEvent` 搬的字段太少， + * 而它**单独看任何一个桥的测试都发现不了**：pi 的测试只列了自己关心的 6 个键 + * （照抄实现），dsh/zcode 读别的字段，各测各的。缺的字段在**接口**上， + * 不在任何一侧的内部。 + * + * 所以这条把四桥的读法与补投的产出**配对**，并且： + * - 只认邮件类事件：`decision_mail_id / kind / note / suggestions / participants` + * 属于权限**决策**事件（`permission_decision`），不走 mailToEvent —— 列进 + * ALLOW 并各写一句理由，别用"看起来像"糊过去； + * - 白名单里的每一项都必须是**明确的非邮件事件字段**，加新的要写理由。 + */ +const ALLOW = new Map([ + ['decision_mail_id', '权限决策事件（permission_decision）的字段，不走补投'], + ['kind', '决策事件：同意/拒绝'], + ['note', '决策事件：备注'], + ['suggestions', '决策事件：选项'], + ['participants', '决策事件：参与方'], +]); + +test('★ 四桥配对：各桥读的邮件字段，补投都要产出（含决策字段白名单自检）', () => { + const produced = new Set(Object.keys(mailToEvent(mail()))); + const bridges = [ + ['dsh', '../../dsh-mail-bridge/src/index.ts'], + ['pi', '../src/worker.mjs'], + ['zcode', '../../zcode-mail-bridge/src/index.mjs'], + ]; + const problems = []; + for (const [name, rel] of bridges) { + const src = readFileSync(join(HERE, rel), 'utf8'); + const reads = new Set([...src.matchAll(/\b(?:data|msg\.data\?|ev)\.([a-z_]+)/g)].map(m => m[1])); + const missing = [...reads].filter(k => !produced.has(k) && !ALLOW.has(k)); + if (missing.length) problems.push(`${name} 读但补投不产出：${missing.join('、')}`); + } + assert.deepEqual(problems, [], + `${problems.join('；')}\n` + + '补投是重启后的唯一送达路径，缺字段等于那条路径静默降级（档位漏传就是这么出的）。' + + '若某个字段确实属于别的（非邮件）事件，请往本文件的 ALLOW 里加并写理由。'); + // 白名单自检：每个理由都非空，且确实是"决策事件"那一族（别拿"看起来像"糊过去） + for (const [k, why] of ALLOW) { + assert.ok(why.length >= 6, `ALLOW 里 ${k} 要写清为什么可以不产出`); + } + assert.ok(ALLOW.size <= 8, '白名单不许无限膨胀（它一膨胀这条判据就废了）'); +}); diff --git a/plugins/pi-mail-bridge/test/permission-mode-409.test.mjs b/plugins/pi-mail-bridge/test/permission-mode-409.test.mjs new file mode 100644 index 0000000..0fc2bd4 --- /dev/null +++ b/plugins/pi-mail-bridge/test/permission-mode-409.test.mjs @@ -0,0 +1,66 @@ +/** + * 接线断言：服务端 409 里说「本会话是 full 档」时，桥必须**放行**而不是拦。 + * + * # 为什么需要这条 + * + * 409 原本只有一个含义：「这条任务链上没有人类，永远不会有人来点头」→ 当场 block。 + * 但 `handler/permission.go` 在**档位不该问人**时也回 409，并在回包里带上 + * `permission_mode`。两种 409 的正确反应**相反**： + * - 无人可问 → 拦（模型改道走不需要授权的办法）； + * - full 档 → **放行**（本档工具调用无需审批；拦了就是把能干的活干死）。 + * 混为一谈时，一条 full 档会话只要有一封补投邮件（档位漏传 → 默认 workspace）， + * 这一轮 bash/write/edit 全被拦死。 + * + * # 为什么读源码而不是跑起来 + * + * 与 `permission-forward-wiring.test.mjs` 同一个理由：worker 是**子进程入口**、 + * 不是可导入的模块（没有 export，靠 `process.on('message')` 接活）。要跑起来需要 + * 造一个假的 pi 运行时 + 走完整轮次，改动面远大于这里要钉的一件事： + * 「那个放行分支还在、且认服务端给的档位」。 + * + * # 判据自检 + * + * 一个永远为真的接线断言比没有更糟，所以下面先证明「拿掉该分支的源码喂给它，它会红」。 + */ +import assert from 'node:assert/strict'; +import { readFileSync } from 'node:fs'; +import { dirname, join } from 'node:path'; +import { test } from 'node:test'; +import { fileURLToPath } from 'node:url'; + +const HERE = dirname(fileURLToPath(import.meta.url)); +const WORKER = readFileSync(join(HERE, '..', 'src', 'worker.mjs'), 'utf8'); + +/** 从 409 分支里取出「放行」那一支的正文（按花括号配对，不看窗口） */ +function releaseBranch(src) { + const at = src.indexOf("if (e?.status === 409) {"); + if (at < 0) return ''; + const open = src.indexOf('{', at); + let depth = 0; + for (let i = open; i < src.length; i++) { + if (src[i] === '{') depth++; + else if (src[i] === '}') { depth--; if (depth === 0) return src.slice(open + 1, i); } + } + return ''; +} + +test('★ 409 说 full 档时放行；plan / 无人可问仍 fail closed', () => { + const branch = releaseBranch(WORKER); + assert.ok(branch.length > 200, '要能取到 409 分支的正文（取不到说明结构变了，判据要跟着改）'); + assert.match(branch, /permission_mode\s*===\s*MODE_FULL/, + '409 分支要认服务端回的 permission_mode（回包里有真实档位）'); + assert.match(branch, /return;/, 'full 档要**放行**（返回 undefined = 不拦截）'); + // 放行必须排在构造 block 之前：否则 reason 先被建出来，逻辑上仍是拦 + assert.ok(branch.indexOf('MODE_FULL') < branch.indexOf("block: true"), + '放行分支必须在 block 之前'); + // 其余 409 照旧拦，并把服务端原文当理由（模型据此改道） + assert.match(branch, /block: true/, '非 full 的 409 仍要当场拒绝'); + assert.match(branch, /b\.error|b\.detail|b\.suggestion/, '拒绝理由要带服务端原文'); +}); + +test('★ 判据自检：把放行分支拿掉，上面那条必须红', () => { + const crippled = WORKER.replace(/if \(b\.permission_mode === MODE_FULL\)[\s\S]*?\n\s*\}\n/, ''); + const branch = releaseBranch(crippled); + const wouldFail = !/permission_mode\s*===\s*MODE_FULL/.test(branch); + assert.equal(wouldFail, true, '拿掉放行分支后判据必须能判红（否则这条接线断言形同虚设）'); +}); diff --git a/plugins/zcode-mail-bridge/lib/catchup.js b/plugins/zcode-mail-bridge/lib/catchup.js index a0a4a6d..feabae5 100644 --- a/plugins/zcode-mail-bridge/lib/catchup.js +++ b/plugins/zcode-mail-bridge/lib/catchup.js @@ -37,6 +37,57 @@ export function mailToEvent(mail) { mail_type: mail?.mail_type || 'normal', role: 'to', to_workspace: mail?.to_workspace || '', + /* + * 权限档位**必须在补投路径上带过来**（2026-09-14 修）。 + * + * 病根：SSE 的 `new_mail` 带 `permission_mode` / `permission_enforcement`， + * 而这里只搬了 8 个字段 —— 于是 worker 的 + * `mailContext.permissionMode = msg.data?.permission_mode || 'workspace'` + * 落到默认 workspace。**只有补投的邮件中招**（SSE 实时送达的不受影响）， + * 表现为：一条 full 档会话里只要有一封补投邮件，worker 就去申请审批 → + * 服务端按档位回 409 → 桥按「永久失败」当场 block → 这一轮 bash/write/edit 全被拦。 + * + * 字段名与 SSE 逐字一致（就是这个文件头声称的目标）； + * `GET /mail/inbox` 的行**已经**带这两个字段（服务端 `ListInboxScoped` 里有 + * `JOIN sessions s` + `COALESCE(NULLIF(s.permission_mode,''),'workspace')`， + * `models.Mail.PermissionMode` 的注释写明了补拉路径必须有它）， + * 是这里把它们丢掉的 —— 不需要动服务端载荷，也不需要插件另发一次请求。 + * + * 缺失时给空串而不是猜一个档（调用方 `|| 'workspace'` 自会兜底）： + * 这里猜等于替服务端做安全决策，猜宽了就是提权。 + */ + permission_mode: mail?.permission_mode || '', + permission_enforcement: mail?.permission_enforcement || '', + /* + * 同一族的另外三个字段（2026-09-14 用"配对"扫出来的，不是猜的）： + * 把四个桥**读投递事件的字段**与 `mailToEvent` 产出的字段对了一遍， + * 缺的邮件类字段就是这三个 —— 它们和权限档位是同一个根因（这个函数搬的字段太少）。 + * + * - `from_human`：消费方（dsh 的 adoptPrompt）靠它决定"回信不用你自己发"这句 + * 说不说。缺了它，**人发来的信在补投路径上被当成 Agent 来信，失去自动回信** + * —— 服务端 `models.Mail.FromHuman` 的注释早就写明"补拉路径必须有它"。 + * - `in_reply_to`：SSE 那边等于 `ParentMailID`。缺了它，"这封是对我的回复" + * 被当成"新派的活"，两边会互相客套到撞上 hop 上限（生产实测 6 轮）。 + * 行里的字段叫 `parent_mail_id`，这里**只做改名，不做推算**。 + * - `session_alias`：会话的寻址名。缺了它，插件只知道 session_id， + * 而 `send_mail` 不接受 session_id。 + * + * **没做的那个**：`reply_address`。它不在收件箱行里（服务端在 notify 的载荷里 + * 现算：`FormatAddress(replyTo, "", alias)`，且是**按收件人**算的）。 + * 服务端注释明确说"插件不必自己拼（拼错了就是静默开新会话）"， + * 所以这里不替它拼 —— 那是服务端补一个字段的事，留给上游决定（见回信说明）。 + */ + from_human: mail?.from_human === true, + in_reply_to: mail?.in_reply_to || mail?.parent_mail_id || '', + session_alias: mail?.session_alias || '', + /* + * `reply_address` 曾经是**唯一**一个收件箱行里没有的字段 —— 服务端在 notify + * 的载荷里现算（`FormatAddress(replyTo, "", alias)`）。既然补投路径也需要它 + * （dsh 桥的提示词读 `data.reply_address`），服务端就把它一并放进收件箱行 + * （`models.Mail.ReplyAddress`，由 `ListInboxScoped` 填）—— 插件只搬运，不自己拼： + * 服务端注释明确说"拼错了就是静默开新会话"。 + */ + reply_address: mail?.reply_address || '', // 标记来源，投递侧可据此决定是否在提示词里说明「这是积压的邮件」 catchup: true, }; diff --git a/server/internal/models/models.go b/server/internal/models/models.go index 43c5b65..07536e7 100644 --- a/server/internal/models/models.go +++ b/server/internal/models/models.go @@ -219,6 +219,20 @@ type Mail struct { // 惄惄变成了 workspace 档。 PermissionMode string `json:"permission_mode"` PermissionEnforcement string `json:"permission_enforcement"` + + // ReplyAddress 是「把回信发回这条会话」的现成地址，与 SSE 载荷里的 + // `reply_address` 同义同形。 + // + // **补拉路径同样必须有它**（第三次同一个理由）：插件重启后走 + // `GET /mail/inbox` 补投，而 dsh 桥的补投提示词会读 `data.reply_address` + // —— 缺了它，补投进来的那封邮件拿不到回信地址，插件要么拼错（静默开新会话）， + // 要么在提示词里留下一句没有地址的"请回信"。 + // + // SSE 那边是 `FormatAddress(replyTo, "", alias)`（replyTo 取 ReplyToName， + // 空则取发件人）；行级信息足够算出来：发件人名 + 会话别名都在行上， + // 所以由 ListInboxScoped 直接填（而非让插件自己拼 —— 服务端注释明确说 + // 插件不该拼这个地址）。 + ReplyAddress string `json:"reply_address,omitempty"` } // PermissionRequest 是 Agent 向人类发起的权限请求 diff --git a/server/internal/repo/repo.go b/server/internal/repo/repo.go index 0d2ca86..08e7909 100644 --- a/server/internal/repo/repo.go +++ b/server/internal/repo/repo.go @@ -590,6 +590,9 @@ func ListInboxScoped(ctx context.Context, agentName, status string, limit int, s if alias != nil { m.SessionAlias = *alias } + // 回信地址与 SSE 载荷同形（见 models.Mail.ReplyAddress 的说明）： + // 收件方回信 = 寄回本条会话里的**发件人**，path 位留空（与 notify 一致）。 + m.ReplyAddress = models.FormatAddress(m.FromName, "", m.SessionAlias) // Body preview if len(m.Body) > 200 { m.BodyPreview = m.Body[:200] + "..." diff --git a/server/internal/repo/session_scope_test.go b/server/internal/repo/session_scope_test.go index 7b02850..0b9f485 100644 --- a/server/internal/repo/session_scope_test.go +++ b/server/internal/repo/session_scope_test.go @@ -2,6 +2,7 @@ package repo import ( "context" + "strings" "testing" "github.com/agentmail/gateway/internal/db" @@ -150,3 +151,88 @@ func hasMail(list []models.Mail, id uuid.UUID) bool { } return false } + +// ─── 补拉路径的档位契约（2026-09-14） ─── +// +// 桥的离线补投走 `GET /mail/inbox`（repo 层就是 `ListInboxScoped`）。 +// 事故：插件以为这条路径**拿不到**会话档位，于是 `mailToEvent` 只搬了 8 个字段， +// 补投的邮件让 worker 回落默认 workspace 档 —— 一条 full 档会话被误拦一整轮。 +// 实际上服务端的行**一直带着**档位（SQL 里有 `JOIN sessions s` + +// `COALESCE(NULLIF(s.permission_mode,”),'workspace')`，`models.Mail.PermissionMode` +// 的注释也写明补拉路径必须有它）。这条判据把"服务端确实给了"钉死： +// 谁哪天把这个 JOIN 去掉，插件侧就会静默降级，而单看插件测试是发现不了的。 +func TestInboxRowsCarrySessionPermissionMode(t *testing.T) { + setupTestDB(t) + ctx := context.Background() + seedAgent(t, "bot", 50) + + sid := createTestSession(t, ctx, "bot", "/tmp/ws") + if _, err := SetSessionPermissionMode(ctx, sid, "full"); err != nil { + t.Fatal(err) + } + seedMailInSession(t, sid, "bot") + + rows, err := ListInboxScoped(ctx, "bot", "unread", 50, sid) + if err != nil { + t.Fatal(err) + } + if len(rows) != 1 { + t.Fatalf("应当恰好一条未读，实际 %d 条", len(rows)) + } + if rows[0].PermissionMode != "full" { + t.Fatalf("补拉路径必须带上会话档位：want full, got %q", rows[0].PermissionMode) + } + if rows[0].PermissionEnforcement == "" { + t.Fatal("permission_enforcement 也要带上（空值会让插件无从判断强制力）") + } + + // 反向对照：档位没设过的会话落到 workspace（**不是** full）—— + // 缺字段时"猜宽"就是提权，所以默认值这一侧也要验。 + other := createTestSession(t, ctx, "bot", "/tmp/ws2") + seedMailInSession(t, other, "bot") + rows2, err := ListInboxScoped(ctx, "bot", "unread", 50, other) + if err != nil { + t.Fatal(err) + } + for _, m := range rows2 { + if m.PermissionMode != "workspace" { + t.Fatalf("没有档位记录的会话应当回落 workspace，got %q", m.PermissionMode) + } + } +} + +// 回信地址：补拉路径也要有（与 PermissionMode 同一个理由 —— 少了它， +// 补投进来的邮件拿不到回信地址，插件只能自己拼，拼错就是静默开新会话）。 +func TestInboxRowsCarryReplyAddress(t *testing.T) { + setupTestDB(t) + ctx := context.Background() + seedAgent(t, "bot", 50) + + // 会话带别名（回信地址里应当出现别名；没有别名的会话只写发件人） + alias := "harmony-ui-alignment" + sid, err := CreateSession(ctx, nil, "sender-agent", "test subject", "/tmp/ws") + if err != nil { + t.Fatal(err) + } + if _, err := db.DB.ExecContext(ctx, `UPDATE sessions SET session_alias = $1 WHERE session_id = $2`, alias, sid); err != nil { + t.Fatal(err) + } + seedMailInSession(t, sid, "bot") + + rows, err := ListInboxScoped(ctx, "bot", "unread", 50, sid) + if err != nil { + t.Fatal(err) + } + if len(rows) != 1 { + t.Fatalf("应当恰好一条未读，实际 %d 条", len(rows)) + } + got := rows[0].ReplyAddress + want := models.FormatAddress(rows[0].FromName, "", alias) + if got != want { + t.Fatalf("回信地址要与 SSE 载荷同形：want %q, got %q", want, got) + } + // 反面：地址里**不该**出现 path 位（与 notify 的注释同一取舍：人没有工作目录） + if strings.Count(got, "@") != 1 { + t.Fatalf("回信地址形状不对：%q", got) + } +}