2 Commits

Author	SHA1	Message	Date
JianFeeeee	630b5bfdd7	fix(bridges): 续谈失败静默 + duplicate_relay 静默挂死（两个都是「人那边什么都收不到」） ... 同一类问题在两个地方：出事的当下看不出来，表现是「信发出去了，然后再无音讯」。 ## 1）pi 的续谈失败不回失败信（实测缺口） 模型侧 402（余额不足）时，**新会话**那条路会回一封「处理失败」，而**续谈**那条路 只写日志就 `throw` —— 发件人什么都收不到。邮件驱动的会话没有本地界面可以看， 没有这封信就等于静默挂死。复现条件很普通：往一条**已存在**的会话再发一封信。 修法与邻居一致：续谈失败也回失败信。但**不能复用**共用库的 `renderFailureReport` ——那段文案说「划定范围内的模型全部调用失败」并建议「调整可用模型范围」， 而续谈是**故意不降级**的（换模型＝换会话＝丢掉上下文，而上下文正是发件人指定 这条会话的原因）。照抄等于让人去调一个在这里无效的旋钮，他会去改配置， 然后发现依然失败。新增 `renderResumeFailure`：点明是续谈、附上游错误原文、 建议「确实要换模型就新建一条会话」。 **活体验证**（模型侧仍是 402，失败本身就是测试条件）：发一封进 pi 的已有会话， 5 秒内收到失败信，内容含 402 原文且不再出现「调整模型范围」。 顺带把 pi 里 2 处没 clamp 的 relay_key 收敛（上一轮审计只看了权限键）。 ## 2）duplicate_relay：只有 zcode 认，另三桥会等一个永远不会来的决策 网关对重复的 relay_key 回 **HTTP 200 `{status:"duplicate_relay"}` 并提前返回**： 不建请求、不发邮件、**永远不会有人来决策**。zcode 桥认它并当场失败，而 pi/opencode/dsh 把它当成功，接着等 `permission_decision` 事件 —— pi 那句 `await new Promise(...)` 连超时都没有。这是 zcode 上一轮那个缺陷的同类， 只是发生在另三个桥上。 - `lib/relay-key.js`（**共用**，四处逐字节同源）新增 `isDuplicateRelay` / `DUPLICATE_RELAY_STATUS`：它长得像成功（200），所以必须单独认；对「发信」 那一侧重复就该当成功（幂等），但对「等一个决定」那一侧它与故障后果相同。 - pi / opencode / dsh 三桥在权限转发处接上判据并**当场拒绝** （各自用自己的拒绝形状：`block: true` / `output.status = "deny"` / `'rejected'`）。 - zcode 里那份本地实现收敛到共用库（同一判据不该有两个定义）。 ## 3）新增接线断言（带判据自检） `test/permission-forward-wiring.test.mjs`（pi/opencode/dsh 三份同一内容）： 纯函数测试对这类缺口天生无能为力（函数是对的，只是没人调用它），所以它读源码 验形态，钉住「判据在、落在权限转发这条路上、给出本桥形状的拒绝」。 三条自检都在写的过程中抓到了我自己的错： - 第一次 `ROOT` 算错 → 过滤后 0 个桥、循环全不跑而「全绿」→ 加了 「找不到装着各桥的目录就判红」； - 顺序判据写成「在文件里最早的 await 之前」，量到了别处的等待 → 三桥全红， 改成「必须在上报之后」； - dsh 是**两段式**（`.then` 里抛、`catch` 的 `duplicateRelay` 分支里拒）， 第一版抽取套错了分支 → 永远找不到 `return 'rejected'`。 扰动验证：把 pi 的判据禁用后该条变红，还原即绿（改动前后都核对了字节数）。 而 dsh 那条也暴露了：我把返回形状写成了 opencode 的 `{status:'deny'}`， **`tsc` 没报错**（返回类型是宽联合），只有对着邻居读才发现 DSH 要的是 `'rejected'` 字符串 + `noteDenial`。 ## 4）部署脚本：zcode 分支现在会重启驱动 `redeploy-plugin.sh` 的 zcode 分支只切软链（宿主是 ZCode 应用，不能重启它）， 但**驱动是我们自己的 unit** —— 不重启它，进程里跑的还是切换前的代码。 这个由刚写的 `check-deploy-drift.mjs` 当场抓到（它比进程启动时刻与软链切换时刻）， 而当时所有其它检查都是绿的。已补上重启并验证。 ## 复查 四桥全量 413 / 321 / 370 / 380 全绿；共用库四方同源；部署漂移四项全通过； 四桥真发真收冒烟（dsh/opencode/zcode 正常回信；pi 因模型侧 402 回失败信 —— 这正是上面第 1 条要修的路径）。 另：写这段时踩到一个自伤 —— 用 `npx asar extract-file <asar> dist/index.html` 检查包内容时，它把文件**写进了 cwd**，正好覆盖掉 Vite 的源码模板 `client/electron/index.html`（下次构建会拿被污染的模板去构建）。已还原并重建， 产物哈希与之前一致。要看 asar 内容请用 `@electron/asar` 的 API（返回 Buffer）， 别用这个 CLI 子命令。	2026-09-12 23:13:48 +08:00
JianFeeeee	a00cbf36fc	feat(zcode): yolo + 自有工具面 + 我们自己的执行门禁（headless 真正能干活了） ... 按用户裁定「yolo_own_tools」实现：平台让开（--mode yolo），它自带的一切 「能动机器」的工具被 --disallowed-tools 拿掉，执行类动作改由我们自己的 run_command / write_file 承担，而门禁就在这两个工具里 —— 逐次向发件人请示。 ## 为什么必须走这条路（实测，不是推断） MCP 工具的 needsApproval 在产物里**硬编码为 true**（与 annotations 无关）， 而 build/edit 档的判定最后一条是「需要审批 → ask」；headless 没有审批客户端 可问 ⇒ **每个 MCP 工具都被拒**（连 read_inbox 都调不动）。 我们本想让平台把询问转给钩子，但 PermissionRequest 在本版本（3.10.2 / CLI 0.16.5） **不可靠**：有时压根不注册，触发时也无条件在 ~5ms 内失败、命令从未被 spawn （用「钩子写 marker 文件」的副作用验证）。 于是选择只剩两个：「平台问、但问不到人 → 全拒」与「平台不问、我们自己问」。 后者才既可用又可审计。代价（平台不再提供第二道防线）写进了 README 的残余风险。 ## 新增 - `lib/approval.mjs`：授权往返的唯一实现（钩子与工具共用，否则必然漂移）。 三条不可动摇的规矩：只有明确同意才放行（判据是共用库的前缀白名单， 不是「不等于拒绝」）；永久失败（409/4xx）当场拒绝并把服务端建议带给模型； 暂时失败看有没有本地界面 —— 判据用**调用方传的 sessionId**（单一事实来源， 不再另读环境变量）。自己开 SSE 等决定，先建连再发请求。 - `lib/action-tools.mjs`：`run_command` / `write_file`。输出上限、超时上限、 默认 cwd=工作区；拒绝时**抛错**（MCP 层转 isError）而不是返回「已处理」—— opencode 上「工具失败但报成功」导致模型连试 6 次后放弃整个任务的教训。 平台保护目录（网关数据库/插件代码/服务单元/密钥目录）**无论谁批准都不写**， 且判定在门禁之前（不消耗人的注意力）——防的是自我强化：邮件驱动的 Agent 可能被来信诱导去改自己的插件代码，改完下一轮就换了一套规则。 - `REVIEWED_DENYLIST`（32 项）：逐条按「不拿掉会怎样」分类。名单来自 CLI 产物里 模型可见工具名的**权威注册表**（aIn 那个 28 项数组）+ 另一份更宽的候选集并集， **不采信模型自述**（基线里它用某个没点名的方式真的创建了文件）。 最容易被漏掉的是 `js` / `mcp__node_repl__js`：它挂在 MCP 上、 产物里自述「can run arbitrary JavaScript with full Node privileges, like Bash」。 - 提示词的能力说明（分档）：告诉模型自带工具被禁、动手要用哪两个工具、 会被请示；并明确「被拒是业务结果，不要重试、不要绕道」。 ## 修掉三个真缺陷（都是实测撞出来的） 1. **幂等键按「会话+工具」取 → 同会话第二次调用被静默吞掉**。 网关对重复 relay_key 返回 **HTTP 200** `{status:"duplicate_relay"}` 并提前返回： 不建请求、不发邮件、**永远不会有人来决策**。于是工具干等 → 被 MCP 调用超时 砍掉 → 模型回报「30 秒内未获批准」。从状态码到措辞全看不出问题，归因还完全 错了（像是人没理它）。改为**按调用唯一**（保留会话/工具前缀便于反查）， 并把 duplicate_relay 当成可读的拒绝（fail fast，不再干等）。 2. **授权窗口被 MCP 调用超时截断**。ZCode 对 MCP 工具调用有超时（默认量级 30 秒）， 而门禁要等人。已在插件清单声明 `mcpServers.agentmail.timeoutMs=600000` （实测生效：40 秒的命令没被砍，墙钟 50 秒通过），并让门禁**自己**把等待夹到 timeoutMs - 余量之下（`resolveWaitMs`）——被客户端杀掉时连理由都发不出去， 所以必须由我们自己先 settle。 3. **`--allowed-tools` 在 help 里写着但解析器不认**（`Unknown option`）。 留着会拼出一条永远跑不起来的命令行，现在 `buildRunArgs` 直接抛错并指出 替代方案。我在这里误判过一次：先看到「文件没创建」就以为白名单生效， 其实进程只是没退到 usage。判据缺了「进程真的执行了」这一环。 ## 自报改成如实 detectModeEnforcement 以前拿「钩子已注册」当 native 的凭据 —— yolo 下钩子 根本不会触发，那等于替一个不存在的能力背书。现在先看**我们那条链**是否就绪 （yolo + 禁用清单里真的有 Bash/js），就绪才报 native，并在理由里点明谁在把关 （实测输出：「执行类动作只能经我们自己的门禁…平台自带危险工具已禁用 32 项」）。 ## 验证 - 单测 376/376（新增 47 条）。重点在反向对照：一句「拒绝/deny/空串/平台自己的 shutdown 哨兵都不放行」之外，还验了「别人的决策不能拿来用（relay_key 配对）」、 「超时必须真的拒绝」、「同一会话两次调用必须用不同的幂等键」、 「重复请求要当场拒绝而不是干等」；执行工具的每条拒绝场景都配一个**文件系统断言** （「抛错了」不等于「副作用没发生」），保护目录还验了 `..`/`./` 绕不过去。 - 真模型端到端（`/root/e2e-zcode-gate/run.py`，13/13）： 批 → 命令真执行（文件内容=标记）；拒 → 命令真没执行（文件不存在） 且回信把成因说成「人拒绝」而**不是**「超时」；同会话第三次调用仍能产生新请求 并在获批后执行。判据本身也修了两处（授权请求邮件里带标记会被误当成回信； 备注在通过项旁边显示会误导）。 - 部署：`deploy/redeploy-plugin.sh zcode` 快照切换 + 握手自检； 驱动单元改为跑快照（生产不跑仓库工作区），env 与清单超时的关系写进注释。 - 顺手清掉一个遗留驱动进程（跑的是仓库路径的旧代码、连着网关 SSE、会抢邮件）。 ## 判据纪律（本轮又踩到、已写进代码注释） 「文件没被创建」不能区分「被拦住了」与「进程根本没跑」； 「未获批准」不能区分「人拒绝」与「窗口被截断」； 「工具报错」不能区分「命令失败」与「工具坏了」。 每一处都改成了验到**具体成因**。	2026-09-12 19:05:54 +08:00