|
|
1d7b018734
|
fix(权限): 决策人��空时不再静默跳过已读记账 —— 那让权限邮件永远显示未读
## 形状
`DecidePermission` 的函数头承诺「权限邮件对他（决策人）也应当变成已读」，
但那两段记账都被 `if decider != ""` 包着。而**未读判据是 mail_reads**
（`unreadFor` / `readStateFor`），不是行级那列。⇒ decider 为空时：
mails.status = 'read' （全局冗余列改了）
mail_reads —— 没有这一行 （事实表没记）
⇒ 收件人在收件箱里**永远看到这封未读**，尽管它早已决策完。
## 线上实证
13 封这样的历史邮件，收件人均为 jianf，2026-09-08 / 09-13，主题全是
「权限请求: 请求执行 bash」—— 每一次都已被人类决策过（同意/拒绝）。
## 为什么今天 HTTP 路径触发不了
`permission.go` 会沿会话树上溯找人类（`NearestHumanInThread`），
HTTP 层传的也是 `user.Username`。但 repo 层是**所有调用方的门**，
`MarkMailRead` 早就为同一件事挡了（reader 是必填语义），只挡它一个等于漏网。
静默跳过正是 `if decider != ""` 的写法问题：它把「不知道谁读的」记成「不用记」。
## 同族核对（不是只看这一处）
全 internal/ 树扫 `UPDATE mails SET status ... 'read'`，共 4 处，
逐处核对其前置 45 行是否有 mail_reads 记账：
MarkMailRead ✓ / MarkMailsReadFor ✓ / MarkAllInboxReadForSession ✓ / DecidePermission ✗
⇒ 唯一缺口就是这一处。事实表本身干净：无空读者、无孤儿行。
## 判据
新增 2 格：空 decider 报错 / 决策后 mail_reads 必有记录且派生读数为 read。
两个变异都经得起（去掉报错守卫、去掉 mail_reads 写入，各红一格）。
## 顺带记一个判据的坑
`mail_status_readers_test.go` 的 readRe 是**纯文本**匹配 `mails.status`，
会把我注释里提到该列名也算成「新增一处读取」，导致那条清册判据变红。
已在注释里避开那个写法并写明原因 —— 改这块代码时若它突然变红，先看是不是注释。
|
2026-10-02 00:15:02 +08:00 |
|
|
|
7634be8966
|
fix(inbox): 收件箱按**工作区**收窄（三维地址的 path 位此前从未被使用）
用户 12 天前就提过（`552fbc7` 只修了 session_id 那一维），这轮才真修。
用户原话：「难道让一个不在项目工作区的 agentsession 去修工程吗？」
# 缺陷（生产实测，2026-09-26）
在 `mc` 工作区干活的 pi 读收件箱拿到 **200 封，其中 191 封属于
`/home/program/agentmail`** —— 它照着那些信里的断言去改 agentmail 的代码，
把手上的 mc 活丢在一边。用户当场问它「你怎么干着干着修 agentmail 去了？」
（这条对话就在 mc 会话的 jsonl 里）
根因：`ListInboxScoped` 的 WHERE 只有 `m.to_name = $1`（+ 可选 session_id），
**没有任何 workspace 条件**。三维地址 `name@path.session` 的 path 位
在收件箱侧从未生效 —— 那不是"另一种语义"，是没兑现契约。
# 三条守卫全部只覆盖自动转发，防不住这个
| 守卫 | 只覆盖 | 为何无效 |
| --- | --- | --- |
| 会话预算 | `relay != ""` 才扣 | 这批信 relay=0（模型主动发）⇒ 不扣 |
| maxRelayHops=5 | 同上，只数 relay | 同上 ⇒ 不进那个分支 |
| 插件自动转发守卫 | 插件代劳时 | 日志明说"本轮不自动转发" ⇒ 模型自己发的不受管 |
# 服务端
· `ListInboxScoped` / `CountUnreadScoped` / `MarkAllInboxReadForSession`
三处统一加 `s.workspace = $N`（用会话的 workspace，不用 mails.to_workspace：
后者是信封字段、可能是抄送或历史遗留；"线索属于哪个工作区"是会话属性）。
★ 三处必须是**同一个谓词** —— 列表看不到的信却被"全部标掉"标掉就是静默丢信
（session_scope_test.go 记过这个形状）。
· **workspace 在 Agent 侧必需，缺了 400**（用户裁定：「不带 workspace 是错误
发件格式，直接退回！」）。旧语义（不带=全部）正是缺陷本身，不留兼容回退。
· 人类侧**不过滤**（一个人跨工作区，WebUI 按 session_workspace 分组显示）——
所以"必需"这条约束放在 Handler 而不是 repo 层：它是接口契约，不是数据层不变量。
· 新增 `UnreadWorkspaces`：心跳是**进程级**（一个桥服务所有工作区），没有
"我的工作区"可言；但只有总数桥不知道去哪个工作区补投 ⇒ 心跳回
`pending_workspaces` 清单，桥逐个消费。
· 决策载荷补 `workspace`（服务端知道 session→workspace，插件重启后推不出来）。
· `TouchAgentLastSeen` 从 HeartbeatAgent 拆出：middleware 在每个认证请求上都调它，
而那时工作区还没解析（请求体没读），原来在白算一次 CountUnread。
# 三个插件（pi / opencode / dsh）
· 读类工具带 `workspace`；补投从"读一次全局收件箱"改为**逐工作区**读。
· pi：worker 信封的 `to_workspace` 经闭包递进工具（不是会话文件 header 的 cwd ——
后者是"会话上次落在哪"，前者是"这封信寄到哪个工作区"）。
· opencode/dsh：插件常驻、信封在 deliverMail 那刻就消费掉了 ⇒ 新增
`sessionWorkspace` 映射（键与既有 reverseMap 同一把）。
· 修一处真 bug：`UnreadWorkspaces` 原先会返回相对路径工作区（历史库里有
`workspace='root'`），桥侧实测撞 400（`补投工作区 root 失败`）⇒ 只报可寻址的。
# 实测凭据
· 改前：`pi` 的收件箱 200 封混 3 个工作区（agentmail 191 / TrueAgent 7 / huawei 2）
· 改后：agentmail=100（total 228）、mc=16、TrueAgent=7 —— 各工作区独立
· 不带 workspace ⇒ **HTTP 400**，话术给出可执行步骤
· 桥日志：`rw=/home/newqqagent/plugindev/editdoc-upgrade` —— 终于是别的工作区了
（改前 78 次 worker 启动**全部**是 `/home/program/agentmail`）
# 判据
· `server/internal/repo/workspace_scope_test.go`（3 条）：
两向收窄 + **反向对照**（不带时两条都看得到 ⇒ 证明是收窄不是清空）+
未读数同口径 + 相对路径必须报错
· `plugins/pi-mail-bridge/test/inbox-workspace-scope.test.mjs`（4 条）：接线 +
取信封而非 cwd + 补投逐工作区 + 判据自检
· dsh 那条 `取不到会话时退回整体收件箱` **改了**：它钉的"退回整体"正是缺陷，
现在钉"两维各自缺席时各自不带、服务端 400 让错误可见"
· 变异验证：服务端 2 处 + 插件 3 处，全部判红后恢复回绿
全量：server `go test ./...` 绿；三插件 513+340+403 全绿。
|
2026-09-26 07:44:33 +08:00 |
|
|
|
f9d757b5e5
|
chore: directory migration - gateway→server, web→client/electron
|
2026-09-08 19:16:35 +08:00 |
|
