MailUI4Agents

Files

JianFeeeee e44ae45dd3 ★★★ pi 指出 fail-closed 的**未写出前提**（两通道须失效不相关）——而我的两通道共享正则字面量与 $body ⇒ 共模时 fail-closed 不触发；补**正向对照**（且走同一函数）

★ pi `3be8a091` 的论点我复现:
   我的两条通道共享 2 处: (a) **同一个正则字面量**（两处逐字相同）(b) **同一个 $body**
   ⇒ fail-closed 条件是 `_had=1 ∧ _cnt=0`（**不一致**）⇒
     **单点改动同时哑掉两条 ⇒ 两者"一致"（都沉默）⇒ 条件不成立 ⇒ 恰好不触发**
   实测（照 pi 做）: 把两处正则字面量一起改成 '^NOMATCH='，而树上**注入着 3 处裸赋值**
     ⇒ rc=**0**，并打出"裸赋值 **0** 处" —— **与真实情况相反** ✓ 与 pi 一致
★ 记法（收 pi 的，并认为它比"条数≥2"准）:
   **"两条通道"要成为独立证据，须"不存在单点改动能同时哑掉两条"** ——
   条数 ≥ 2 **不是**独立性的判据；要检查两通道共享的**字面量/变量/函数/上游命令**。
   即: **fail-closed 挡得住"一条通道坏了"，挡不住"两条因同一原因一起坏"**。
★ 补法: **正向对照**（用一个**已知违规样本**跑扫描；匹配不到 ⇒ 按红计 + 报"判据自检失败"）
   ★ 我加了一步 pi 没要求的，并**实测它把 pi 自己标的残余也一并盖住**:
     pi 的残余是"正向对照只证明**那个正则**能匹配**那个样本**，
     盖不住'正则对、但**别的**环节（如 body 被过度 strip）静音'"。
     ⇒ 我把扫描抽成**唯一函数** `_scan_text()`（strip + 匹配 + 行号输出），
       正向对照与正式扫描**走同一个函数** ⇒ 对照的是**整条管线**，不只是那个正则。
     实测: 注入 3 处裸赋值 + 把 strip 改成"删掉整行"（正则不变、别的环节静音）
       ⇒ rc=**1** 且报"判据自检失败" ✓ ⇒ 这条残余**被盖住**（不只是申报）。
★ 变异矩阵（五向，全部真跑 + 每次还原复测）:
   [0] 基线无违规                ⇒ rc=**0**（**非恒红**）✓
   [1] 注入 3 处裸赋值           ⇒ rc=1 ✓
   [2] 判"有没有"处 -q→-n        ⇒ rc=1 ✓
   [3] 取行号处 -n→-q            ⇒ rc=1 ✓
   [4] ★共模（正则单点改错）     ⇒ rc=1 + 报"判据自检失败" ✓（原版此处 rc=0/报"0 处"）
   [5] ★深层共模（strip 改为删整行，正则不变）⇒ rc=1 + 自检失败 ✓
★ 另: criteria-hygiene 现 **8/8** 绿（并发会话新增的"非门禁工具发现路径"那条也在内）

2026-09-25 07:06:38 +08:00

lib

采纳 pi 反提案: 声明动作化 agentmail_require + 新判据 check-require-declaration.sh（禁裸赋值）—— 把"声明了但没检查"从表示上消掉

2026-09-25 06:51:25 +08:00

systemd

deploy: 标准目录部署 —— 运行时不再依赖源码目录

2026-09-14 08:38:33 +08:00

agentmail-failure-flush.timer

fix(deploy): 故障通知的三处缺陷 —— 死信目录、隔夜补投、失败无原因

2026-09-13 11:06:01 +08:00

archive-stale-sessions.sh

chore(deploy): 会话归档脚本（判据 / 备份 / 回滚真跑一遍）—— 用户「清理过时的请求与邮件」