|
|
b7f624bc45
|
fix(已读/手势): 读侧也拒绝空读者；mails.status 读者/写者登记成"新增即红"；阈值契约显式选 (b)
pi 2026-09-14 的三条裁定，逐条落地。
1. **§2 读侧守卫**（他只钉了写侧，读侧是另一半，而且更隐蔽）：`reader` 在查询里是**过滤条件**，
空串不写坏数据也不报错，只会**算出一个错误的数** —— `unreadFor('')` 的
`NOT EXISTS(... reader_name = '')` 恒真 ⇒ `CountUnread(ctx,"")` 把**所有**邮件算成未读
（用户看到"全都没读"），`ListInbox(...,"read")` 恒空。
二选一里选 **①报错**（当前没有任何调用方需要"汇总"语义；选②就要立刻定义"汇总"是什么，
而那是个还不存在的需求 —— 将来要就新增一个名字里带汇总的函数，别让空串偷偷兼职）。
`requireReader` 装到 `ListInboxScoped`/`CountUnread`/`CountUnreadInSession`，
判据两条：空 reader 三个入口都**必须报错**且**不返回数**；正例防止写成"一律拒绝"。
变异验证：撤掉 `CountUnread` 的守卫 → `CountUnread("") 必须报错，实际返回 0`。
2. **§1 `mails.status` 收口**：先做他要求的第 1 步（枚举读者，他没有 shell）。
枚举结果：**没有**"零功能读者"那条路 —— 行级值仍会进邮件 JSON（`GetMailByID`、
`GetThread` 都 select 它），`migrate.go` 的两处是**一次性回填**（正当），
`unreadFor`/`readStateFor` 只用它判 `archived`（正当，且已注明"不再作为未读判据"）。
所以走第三步：**登记欠账 + 增量判据**。
- 「只为兼容保留」**没有**当结语：`mail_status_readers_test.go` 是一张**机器检查的清册**，
按**文件 + 次数**登记（repo.go 13 / thread.go 1 / migrate.go 4），
**新增一处读取就红**并强制当场回答"这处合不合规"；写入点同样登记
（多一处 `UPDATE mails SET status` 就红）。
- **第一次跑就抓到第二处写入**：`MarkAllInboxReadForSession`（整会话批量已读）里还有一句
`UPDATE mails SET status='read'`，我原先只看到 `MarkMailRead` 那一处 ——
这正是"新增即红"的价值：靠人 grep 会漏，靠判据不会。
- 收口路径（写进判据注释）：行级 `'read'` 迁到 `markReadFor`；
但在"详情/线程仍返回行级 status"两处读者迁移**之前**不能只删写入
—— 那会让 JSON 里的 status 永远是 unread，是另一种错误事实。
变异验证：在已允许的文件里新增一处读取 → 清册对不上，红。
3. **§3 阈值契约显式选 (b)**：不要求数值一致（`40px`/`600ms` 在触摸屏与鼠标、手机与大屏上
的人体工学合理值天然不同，强行同值会两边都不舒服），契约改钉**语义层**（左滑/右滑=什么、
边界是否回弹、"快滑"是感知档）。并写清推论：选了 (b) ⇒ **鸿蒙不得引用 WebUI 的三个数**
（引了就等于偷偷选了 (a)，还是"我抄的那一份"那种）。
|
2026-09-14 17:08:31 +08:00 |
|
|
|
863b583838
|
fix(已读/文档): 空 reader 报错（把约定变成做错会红）；P6 方案补分支声明与可验收性；"与 X 一致"入册
pi 2026-09-14 对 P6 方案的五条，逐条处理（都不改方向）。
1. **§4 已读按读者的强制点** —— 他说得对，但实际情况比他担心的更靠前也更靠后：
HTTP 层取的是 `user.Username`（**不是请求参数**，所以根本不可能"省略 reader"），
但 **repo 函数本身接受空串**：`MarkMailRead(ctx, id, reader)` 会照写一行
`reader_name=''` —— 不属于任何人，却会让"未读"统计出偏差，而且没有任何东西会红。
已加守卫（空/纯空白 → 报错，不兜底）＋判据（不仅"不许插垃圾行"，且**必须返回错误**；
另含正例，防止把守卫写成"一律拒绝"）。变异验证：撤掉守卫 → `空 reader（""）必须报错`。
顺带一条给他的更正：同一个函数结尾还有 `UPDATE mails SET status='read'`（**行级**全局写），
所以"按读者"这个性质只对**用 `mail_reads` 派生的数据**成立（`CountUnread`/`ListInbox` 是），
读 `mails.status` 的客户端仍然是邮件级语义 —— 两件事在同一个函数里，容易被看漏。
2. **§2 手势阈值**：核实结果 —— **WebUI 侧没有被任何判据钉住**（`CalendarView.tsx:204`
裸字面量 `Math.abs(dx) < 40 || Math.abs(dx) < Math.abs(dy) * 1.5 || !fast(600ms)`）。
所以撤掉"与 WebUI 一致"的写法，改标 **「待两边对齐」**（文档两处），并把他给的推广写成
规范 `CRITERIA.md` §12：**凡"与 X 一致"的判据，前置条件是 X 侧那个值自己有判据钉住**，
否则测的是"我抄的那一份" —— 与"两张表各缺一半时必须按 id 联接"同一族。
3. **§1 分支声明（最要紧的一条）**：写进 P6 分期段 —— 本步实现的是**窄屏那条**
（**容器自身带圆角 + 那一层能裁剪**）；宽屏那条（起始侧/结束侧分开给）**不适用**，
因为它的理由是"中间是分隔线、四角全给会露底色"，而手机是单栏、中间没有分隔线。
并写死这句：**"给对边"是跟着"中间有没有分隔线"来的，不是无条件的三件套。**
同时核实并写清现状：鸿蒙侧**还没有日历页**（全 ets 树无任何 calendar 提及）⇒ P6 是整页新建。
4. **§3 可验收性**：P6 三步各加一列 —— 第 1、2 步**本工作区可验收**（读 `.ets` 层结构），
并明确"**第 2 步不需要设备，不许登记成 `static` 欠账**"（那会虚增余额）；第 3 步
**必然进欠账**（要设备：能装、能点），到期前提见探针表。
5. **§5 路由**：不再把 WebUI 改动挂成"等 pi"（他这条链上没有 shell）。按他给的三级路由执行：
优先在鸿蒙侧引用**已有令牌**解决；必须动 WebUI 时找 gui-lab 或按先例自己改。
|
2026-09-14 17:03:16 +08:00 |
|
|
|
453f451fbb
|
fix(permission): 人类的备注必须到达模型 + 决策回执不再被当成新任务
用户报的「很严重的问题」：被拒绝的 agent 看不到授权备注，且看不到他发的回复邮件。
按数据查到了两个**真缺陷**，都在桥的权限回路上（不是猜测，三层证据）。
## 缺陷一：备注在桥内被连丢三处
网关其实一路都带着备注（`CreateDecisionMail(..., req.Note)` 把备注写进决策邮件正文，
SSE payload 里也有 `"note"`），但桥的三个环节只传 decision：
index.mjs `pool.routePermission(relayKey, String(data.decision))`
pool.mjs `child.send({type:'permission_decision', relayKey, decision})`
worker.mjs `resolve(String(msg.decision))`
模型最终看到的只有 `用户拒绝了这次 bash 调用`（pi 会话转录逐字可查）。
现场：人类写「我说了让你拉取仓库到program下你听不懂吗」，模型不知道要改什么，
把同一条命令换个写法又问了 —— 会话里连问 **9 次**（22:16–22:26）。
## 缺陷二：决策回执照样被当"新任务"投递 + 等人的邮件被堵在后面
决策是**双通道**送达：SSE `permission_decision`（唤醒停放的 worker）+ 一封普通形状的
邮件（"Re: 权限请求 - 拒绝"）。以前两条都会起动作 ⇒ 同一件事被处理两次；而这条会话
的新邮件在 worker 停放期间只能排队。实测：人类 22:18:08 发出的更正
「不对，不是让你拉取到agentmail仓库，是让你拉取到program仓库！！」
直到 22:26:30（worker 回合结束）才被模型看到 —— **8 分钟**里它一直在错误的目录上打转。
转录里那封更正确实是模型自己 `read_mail` 读到的（不是没人给它）。
## 改动
- 网关：`CreateDecisionMail` 写 `mail_type='permission_decision'` —— 桥据此区分
「控制面回执」与「新任务」。
- pi 桥（新增 `lib/denial-reason.js`、`lib/waiting-mails.js`）：
· 备注随决策一路透传到**模型看到的拒绝理由**（工具拦截与通知投递两条路都带）；
· 恢复停放的 worker 时，顺带把「等人期间新到、尚未标记已读」的邮件附进理由，
模型当场就能改道（这正是那 8 分钟的洞）；
· 决策回执不再起新任务轮次（记进 deliveredMails）；若决策事件尚未到达，
退化为 B-4.3 的通知投递，且没有会话时不凭空新开。
## 判据
- `test/permission-note.test.mjs`：11 条（备注进理由、无备注不得凭空造说明、
等人期间的邮件要点名 read_inbox、只挑本会话非权限类未交付的、上限、旧回包缺
session_id 不能丢邮件、接线 8 处形状、判据自检）。
- **扰动验证**：把备注从 `pool.mjs` 的 send 里去掉 → 接线判据 2 条红；恢复 → 11 绿。
- 既有 pi 套件 420/420；server 10 包全绿（新增 1 条 Go 判据验决策邮件的类型与备注正文）。
## 现场证据（可复核）
- 桥日志：9 次 `权限 <key> 决策 同意/拒绝（决策人 jianf）已转交 worker`，全程不含备注；
「worker 2135211 等待权限决策，让出并发额度（停放 1/5）」
- 会话转录：`{"toolName":"bash","content":[{"text":"用户拒绝了这次 bash 调用"}]}` ×6
|
2026-09-13 22:47:25 +08:00 |
|
|
|
1619399470
|
fix(gateway): 已读改为**按读者**记录 —— 修掉"别人读掉，我就看不到"
用户报的那句 dsh 自述（"收件箱列表未展示它，直接按 mail_id 读取成功"）不是插件问题，
是网关的已读模型：`mails.status` 是**邮件级**的一个列，任何收件人读掉，对所有收件人
（含抄送）都变成已读 —— 全库没有任何按人记录已读的表，我查过 schema 与迁移文件。
实测复现（两个人类用户、一封共享邮件，排除 Agent 干扰）：
gui-lab 读掉 → gui-lab 未读清空（应当）→ **jianf 的未读也没了**（错误）
而 jianf 的 `status=all` 里仍在 ⇒ 是已读语义问题，不是送达问题。
线上那封信正是这个形状：`jianf → dsh` 抄送 pi/opencode/zcode/homeagent，**pi 最先
回复（= 它读过了）** ⇒ 这封对 dsh 也变成 read ⇒ dsh 的 `read_inbox`（默认 unread）
返回空 ⇒ 它只能按提示词里的 mail_id 兜。
三个受害面：① Agent 的 `read_inbox` 拿不到信（换一个不兜的模型就变成"正文是空的"）；
② 人类的未读被抄送的 Agent 读掉；③ ★ 桥的补投判据 `pending_mails = CountUnread` 归零
⇒ SSE 漏过或进程重启时那封信**不再补投**（静默丢信）。
改动：
- 新表 `mail_reads(mail_id, reader_name, read_at)`，未读 = 这张表里没有该读者的行。
- 判据收敛到一处（repo 的 `unreadFor` / `readStateFor`），六处读写点全部改用它：
单封已读、批量标已读、权限决策（只记**决策人**）、`ListInbox`（过滤 + 返回的
status 都按读者算）、`CountUnread`、`CountUnreadInSession`、会话列表未读计数。
- 一次性回填补历史：`mails.status='read'` 记到**主收件人**名下（唯一可用的推断），
用 `app_meta` 里的标记守住 —— 不能每次启动都跑，那会把"某抄送方读过"按主收件人
写成已读，正是这次要修的错。实测：`done rows=207`。
- `mails.status` 保留为"有人读过 / 已归档"的冗余列，**不再是判据**。
★ 顺带挖出并修掉一个真 bug：`CountUnreadInSession` 用的是 PG 专有语法
（`cc_list @> $3::jsonb`），而线上是 SQLite ⇒ 那条 SQL **语法错误**
（`unrecognized token: "@"`），调用点又是 `unread, _ :=`（吞错）⇒
**会话列表的未读数一直是 0**。现已改用仓库既有的方言助手 `db.CCHas`。
实测：happy-pixel 会话现在 `unread_count=5`（修复前恒 0）。
判据：新增 `internal/repo/readstate_test.go`（5 条：按读者未读、会话内计数、
批量标已读、归档对所有人可见性、权限决策只记决策人）。
**扰动验证**：把 `unreadFor` 退回旧语义 → 4 条判据全红；恢复 → 绿。
全量 server 10 包全绿。文档同步：API.md 的「标记已读」段 + PLUGIN-CONTRACT 的 T-1.4。
线上复验：同一受控实验 —— gui-lab 读掉后，**jianf 的未读仍在且 status=unread** ✅
|
2026-09-13 14:25:44 +08:00 |
|
