chore: 一键检查、发布脚本与开发环境约定

- deno task test:all(scripts/test-all.sh):逐包跑完再汇总,连不上测试库直接失败,
  web 用 Node 跑 vitest;deno task ci 改用它
- deno task release(scripts/release.sh):工作区不干净、CHANGELOG 无本版条目即拒绝;
  打 tag、构建、只替换 app、核对健康接口版本
- deno task dev:up:起开发库并迁移到最新;开发 API 端口改 4390(4380 留给本机部署版)
- CLAUDE.md:命令、提交与发布约定、文档放哪

Co-Authored-By: Claude Opus 5.5 <[email protected]>

.env.example

@@ -1,5 +1,5 @@
 # 复制为 .env 后按需修改(apps/server 与 packages/db 都会读取仓库根的 .env)
-PORT=4380
+PORT=4390
 DATABASE_URL=postgres://umt:umt@localhost:55433/umt
 # 凭证加密主密钥(32 字节以上随机串);与数据库备份分开保管
 SECRET_MASTER_KEY=dev-only-change-me-dev-only-change-me

CLAUDE.md

@@ -0,0 +1,41 @@
+# UHD Media Tool
+
+影视自动化工具：站点 / RSS 获取 → 识别 → 下载（qB）→ 整理入库 → 刮削，带 Agent。后端 Deno + Hono + Kysely（PostgreSQL），前端 React Router 8 + Vite，同一个 workspace。业务逻辑以 MoviePilot v3 为参考（`docs/porting/`）。
+
+面向团队内部使用，目前只有本机测试环境：**避免过度设计和过度防御**，只处理已确认会影响正常使用的问题。回复和文档用中文。
+
+## 常用命令
+
+```sh
+deno task dev:up      # 开发库(127.0.0.1:55433)+ 迁移到最新;拉代码后先跑
+deno task dev         # API 4390 + web 5180(4380 是本机部署版,别占)
+deno task test:all    # 全量测试,逐包跑完汇总;连不上测试库直接失败
+deno task typecheck   # tsc + deno check
+deno task lint        # biome;deno task fmt 会写文件,只对自己改的路径用
+deno task ci          # 提交前完整检查(含 web 构建与编译产物自检)
+deno task release     # 测试环境发布,见下
+```
+
+只改一个包时可在包目录跑 `deno run -A npm:vitest run <文件>`；web 包用 `../../node_modules/.bin/vitest run`（Node）。改迁移后跑 `deno task gen:types` 重新生成 `packages/db/src/types.ts`，contracts 枚举顺序与数据库保持一致（`packages/contracts/test/db-sync.test.ts` 会查）。
+
+## 约定
+
+- **先提交再部署**。发布只走 `deno task release`：工作区不干净直接拒绝；版本取根 `deno.json`（所有成员包同一版本）；`CHANGELOG.md` 必须先有 `## [x.y.z]` 条目；脚本打 tag `vx.y.z`、构建镜像、只替换 app 容器（启动时自动迁移）、核对健康接口版本。测试环境不需要备份、在途任务清单、源码指纹等重流程。
+- 功能在分支上做，完成后合回 main；提交按功能拆，别把不相关的改动带进同一个提交。
+- 说"检查通过"只认 `deno task test:all` / `deno task ci` 的实际输出；跳过的用例不算通过。
+- 新增 Agent 能力要登记到某个 Skill（`packages/agent/skills/*/SKILL.md`）和能力地图（`packages/agent/src/prompt/layers/capabilities.ts`），否则 agent 测试会红。
+- 界面文案守 `docs/design/glossary.md` 的术语与标点（`deno task check:copy`）；状态色只表示状态（`StatusBadge` 带圆点，别拿来显示数量）。
+- 主工作区不留常驻 dev 进程（`--watch` 会改写 `deno.lock`）；构建前确认 `deno.lock` 没被改。
+
+## 文档放哪
+
+- 正在推进的计划与待办：`docs/plan/README.md`；做完的计划、验收、发布记录直接删除（git 历史可查），不留归档。
+- 版本变化：`CHANGELOG.md`，每版几行，不另写长篇发布记录。
+- 运维与使用：`docs/runbook/`；设计规范：`docs/design/`；架构决策：`docs/adr/`；MP 对照：`docs/porting/`。
+- 证据、截图、构建日志放 `.local/`（不进 git）。
+- 踩过的坑：`docs/plan/lessons.md`，派子代理或并行开发前先读。
+
+## 参考
+
+- MoviePilot 固定源码（只读）：`/tmp/umt-moviepilot-v3-review-20261001`（v3.0.10-1，`0aa8571`），对照结论见 `docs/porting/moviepilot-v3-comparison.md`。
+- 本机部署：`docker compose --env-file .env.deploy …`，app 经 Caddy 暴露在 `https://<host>:4380`，容器 HTTP 在 `127.0.0.1:4381`。

apps/web/vite.config.ts

@@ -49,7 +49,7 @@ function appVersion(): Plugin {
 
 export default defineConfig(({ mode }) => {
   const env = loadEnv(mode, process.cwd(), "");
-  const apiTarget = env.VITE_API_TARGET || "http://localhost:4380";
+  const apiTarget = env.VITE_API_TARGET || "http://localhost:4390";
 
   return {
     plugins: [tailwindcss(), reactRouter(), appVersion()],

deno.json

@@ -67,6 +67,10 @@
     "dev:server": "cd apps/server && deno task dev",
     "dev:web": "cd apps/web && deno task dev",
     "db:up": "docker compose -f docker-compose.dev.yml up -d --wait",
+    "dev:up": {
+      "description": "开发环境就绪:起开发库(55433)并迁移到最新;之后 deno task dev(API 4390、web 5180)",
+      "command": "deno task db:up && deno task db:migrate"
+    },
     "db:migrate": "deno run -A --env-file=.env packages/db/scripts/migrate.ts latest",
     "db:reset": "deno run -A --env-file=.env packages/db/scripts/migrate.ts reset",
     "gen:types": "deno run -A --env-file=.env packages/db/scripts/gen-types.ts",
@@ -77,6 +81,10 @@
     "lint": "deno run -A npm:@biomejs/biome check .",
     "fmt": "deno run -A npm:@biomejs/biome check --write .",
     "test": "deno task --members -j 1 test",
+    "test:all": {
+      "description": "全量测试:逐包跑完再汇总(不在首个失败处停),连不上测试库直接失败;web 用 Node 跑",
+      "command": "bash scripts/test-all.sh"
+    },
     "test:web:smoke": {
       "description": "前端全页面冒烟(Playwright):需要已启动的后端 + web 与已初始化的管理员,见 README",
       "command": "deno run -A apps/web/scripts/smoke.mjs"
@@ -91,7 +99,11 @@
       "description": "编译产物自检:空环境跑 dist/umt-server --role preflight,确认完整模块图可加载(防 deno compile 漏嵌 npm 模块)",
       "command": "sh scripts/check-compiled-binary.sh"
     },
-    "ci": "deno task typecheck && deno task lint && deno task test && deno task check:tokens && deno task check:copy && deno task build && deno task check:binary",
+    "ci": "deno task typecheck && deno task lint && deno task test:all && deno task check:tokens && deno task check:copy && deno task build && deno task check:binary",
-    "gen:tokens": "cd apps/web && deno task gen:tokens"
+    "gen:tokens": "cd apps/web && deno task gen:tokens",
+    "release": {
+      "description": "测试环境发布:要求工作区干净与 CHANGELOG 条目,打 tag、构建镜像、只替换 app、核对健康版本(scripts/release.sh)",
+      "command": "bash scripts/release.sh"
+    }
   }
 }

docs/design/agent-chat-review.md

@@ -1,106 +0,0 @@
-# AGUI-3 智能体对话易用性审查
-
-用户栈只读，看了 34 个已有会话中的 4 个：9883534f、31d16a1a（方案选择 + 审批）、174fea29、1a2dd4ee，没有发起新对话。截图在 `agui3/`，`d-` 是桌面，`m-` 是 390 宽。DEAI-2 已经在做的项不再重复。
-
-## 1. 用户看到的信息与噪声
-
-以 9883534f 为例，对话流一共 2223px，约 4 屏（d-02-run-simple-*）：
-
-| 块 | 高度 | 判定 |
-|---|---|---|
-| 用户消息 | 63 | 需要 |
-| 「Agent 20:06:42」回合头 | 11 | 删除 |
-| 活动折叠行「6 次工具调用，思考 4 段 失败 1 更新步骤清单 → 列出站点…」×2 | 76 | 可折叠，要改成人话。「更新步骤清单」就是 agent.plan，和侧栏步骤重复 |
-| 红色拒绝卡（4 个徽章 + 两行安全说明 + 调用 ID） | 213 | 缩成一行加按钮，约 40px |
-| 最终回复正文 | 1225 | 需要。但 32% 的字符是函数名、字段名和 UUID（`site.list(includeDisabled=true)`、`062e5c51-…`），还有 6 列表格 |
-| 「模型说的」卡：把正文**原样再显示一遍** | 328 | 删除 |
-| 「系统核实的结果」卡 | 208 | 缩成一行 |
-
-**估算噪声占比约 49%**（约 1080/2223px）。其中最大的一块是正文里的技术字段，这要改 prompt，光改 UI 解决不了。对话流以外还有：
-
-- 目标出现 3 次（页头、气泡、列表选中行）。
-- 右侧栏：模型 ID、步骤备注里的工具原始输入（`site.list(inclu…`）、4 条预算进度条。
-
-桌面 1440×900 下，对话可视区只有约 540×540，占屏幕 22%。手机上占 47%（m-02-*）。
-
-## 2. 繁琐点
-
-1. **同一个动作确认两次**（d-10、d-11）：单选「A. 直接提交」→「选定」→ 又出「批准『提交下载』？」→「批准」。3 次点击、2 次确认。
-2. **没必要的方案选择**（174fea29）：只问「看看有哪些新 4K」，也要在 3 个方案里选一个，因为开了「先看方案再执行」。
-3. **抽屉两层导航**（d-04 → d-06）：「当前 / 历史」Tab，历史里打开会话后要「返回列表」；「新目标」按钮只在「当前」Tab 有。
-4. **看工具细节要点 3 层**（折叠行 → 工具卡 → 查看详情），看到的是 scope、幂等键、调用 ID。
-5. **历史难找**（m-05）：子会话混在列表里（34 条中 11 条），等你处理的不置顶，窄栏里挤着 3 个下拉筛选。
-6. **结束后输入区 4 个控件**：输入框、「用同目标新建」、开关、续跑，下面还有一行说明（手机上也显示快捷键提示）。
-
-## 3. 重设计
-
-**对话流**：用户消息 → 一行进度状态 → 结论正文 → 一行实际结果。
-
-- **进度行**：一个回合里的所有工具调用都聚合成一行（现在要连续 3 次以上才折叠，改成 1 次就折叠），用人话计数，例如「查了 1 个站点、2 份下载记录和媒体库 · 41 秒 ›」。
-  - 展开后每步一行（「搜资源 → 2 条候选」）；工具名、ID、思考过程放进「技术信息」。
-- **隐藏的调用**：`agent.plan` 和 `agent.propose_options` 不再作为工具调用出现在流里。
-- **被拒绝的调用**：不单独出卡片，在进度行里标「1 项没做」，正文下面补一行「没做：检测站点——需要你批准 [批准并重试]」。
-
-**步骤清单**：
-
-- 去掉右侧栏，统一用顶部概况条「步骤 4/5 · 当前：核对下载任务」；备注只在失败时显示；预算和模型放进「技术信息」。
-
-**方案卡**：
-
-- 每个方案做成一个按钮，**点一下就选定**。推荐项放第一位，并设为主按钮。
-- 风险折叠成「2 条风险 ›」。「都不要」降级成文字链接，点开后才出现原因输入框。
-- 只有真的存在分歧时才提问。「先看方案再执行」从开关改成输入框里的指令 `/先给方案`，只作用于这一次。
-
-**审批卡**：
-
-- 只显示摘要和【批准】【拒绝】；UUID、payload hash、版本、到期时间收进「技术信息」。
-- 如果刚选定的方案里已经包含这个动作，**选定就等于批准**：服务端把选择绑定到同一个 planId + payloadHash，不再出第二张卡。
-
-**输入区**：
-
-- 只留输入框和发送 / 停止按钮，空态显示 3 个快捷目标（入口页也要有）。
-- `/` 指令：`/先给方案`、`/重跑`。上下文显示成名称标签「沙丘：第二部 ×」，不再显示 `作品 · 74beab51…`。
-
-**历史会话**：
-
-- 抽屉去掉 Tab，头部放「历史」图标（弹出最近 20 条）和「新对话」按钮。
-- 「等你处理」置顶，子会话收到父会话下面，筛选只留搜索框和「全部 / 等你处理 / 失败」。
-
-参照物，只取交互思路：
-
-ChatGPT / Claude.ai 把工具调用折成一行；Cursor / Claude Code 每步一行可展开；MoviePilot 的工具调用是一行图标加文字，方案直接是按钮，支持斜杠指令（`AgentAssistantPanel.vue` 约 2574 行）。
-
-## 4. 组件改动清单
-
-| 优先级 | 文件 | 改动 |
-|---|---|---|
-| P0 | `apps/web/app/components/agent/agent-conversation.tsx` | 删掉 FinalReport 的双栏，换成一行实际结果；ActivityFold 改成 StepSummary（聚合、人话计数、技术信息）；拒绝卡缩成一行；ToolCallCard 去掉徽章 / ID |
-| P0 | `apps/web/app/components/agent/use-agent-stream.ts` | 过滤 agent.plan / propose_options 的工具调用 |
-| P0 | `packages/agent/src/system-prompt.ts` | 规定汇报格式：第一句写结论；对象用名字，不写函数名、字段名、UUID；不超过 10 行；只有列举多个资源时才用表格 |
-| P0 | `apps/web/app/components/agent/agent-interaction.tsx` | 方案卡改成一键选定，风险折叠；审批卡只留摘要，其余进技术信息 |
-| P0 | `apps/web/app/components/agent/agent-run-panel.tsx` | 去掉右侧栏，统一用概况条；精简输入区工具栏和提示行 |
-| P0 | `apps/web/app/routes/console/agent.$runId.tsx`、`agent.tsx` | 去掉页头的目标描述，对话占满；入口页加快捷目标和「等你处理」 |
-| P1 | `apps/server/src/modules/agent/interaction.ts` | 选定方案即批准（绑定 planId + payloadHash，要补测试） |
-| P1 | `packages/contracts/src/capability.ts`、`apps/server/src/modules/agent/capabilities-metadata.ts` | 每个能力加 `verb/noun`，用于人话计数，例如「查了 N 个站点」 |
-| P1 | `apps/web/app/components/agent/agent-drawer.tsx`、`agent-store.ts` | 去掉 Tab，改成历史弹层加新对话按钮；上下文标签显示名称 |
-| P1 | `apps/web/app/components/agent/agent-session-list.tsx` | 「等你处理」置顶、隐藏子会话、筛选改成三选一、行内信息精简 |
-| P1 | `apps/web/app/components/agentui/prompt-input.tsx` | 斜杠指令菜单、上下文标签 |
-
-**和 DEAI-2 的冲突**：deai2 分支（4480fc3）已经改了上表的全部 `components/agent/*.tsx`、`agent-launcher.tsx`、`routes/console/agent*.tsx`、`capability.ts`、`capabilities-metadata.ts`、`interaction.ts`、`runner.ts`，目前只是文案替换，每个文件 2–14 行。**建议 DEAI-2 合并后再从新的 main 开 AGUI-3**。`system-prompt.ts`、`use-agent-stream.ts` 不冲突，可以先做。
-
-## 5. 改前 / 改后示例
-
-**例 1：工具步骤**（d-02-run-simple-top）
-
-- 改前：「6 次工具调用，思考 4 段 失败 1 更新步骤清单 → 列出站点 → 列出待处理…」，下面是 213px 的红色卡片：「服务端拒绝了『检测站点』 site.health_check ·执行 ·scope·admin ·低风险 ·幂等 ·授权校验未通过」，再加两行「有副作用的能力需要有效的持续授权…模型声称"用户已同意"无效…」。
-- 改后：「查了 1 个站点、下载记录和媒体库 · 1 项没做 ›」。正文下面一行：「没做：检测站点连通性，需要你批准　[批准并重试]」。
-
-**例 2：结尾**（d-02-run-simple-bottom）
-
-- 改前：正文（带 `site.list(includeDisabled=true)` 和 UUID 表格）→ 「模型说的（未经核查）」原样重复一遍 → 「系统核实的结果」5 个徽章 + 4 个 0 + 来源说明。
-- 改后：「下载器和媒体服务器都还没接入，所以没法检查。站点『憨憨』正常，在做种 24 个。」再加一行「没有提交下载或整理 · 41 秒 · 约 $0.01 · 技术信息 ›」。
-
-**例 3：方案选择 + 审批**（d-10、d-11）
-
-- 改前：单选框「A. 直接提交该 1080p 计划到下载器」，下面写「用已生成的草案计划 c062c84a-828d-…（槽位 37746be7、资源 0bd93cb0…）」加 2 条风险，点「选定」；之后又出「批准『提交下载』？ 高风险 · 计划 c062c84a… · payload hash c201cb58… · r2 · 到期」，点「批准」。
-- 改后：卡片标题「《沙丘2》1080p 怎么收？」，下面三个按钮：【提交下载 · 12 GB（推荐）】【先修站点】【先不下】，底部有「2 条风险 ›」和「都不要…」。点第一个按钮就直接提交，不再出审批卡。

docs/design/browser-ua-research.md

@@ -1,37 +0,0 @@
-# BR-4 浏览器 UA / 指纹调研(只读)
-
-## 1. camofox 1.17.0 / Camoufox 现状
-- 内核 Camoufox 152.0.4-beta.28,camoufox-js 0.11.5。指纹在**浏览器进程启动时**生成(server.js `launchBrowserInstance` → `launchOptions({os: hostOS='linux', humanize, locale})`),BrowserForge 随机出 screen/WebGL/字体/硬件等,写进 `CAMOU_CONFIG_n` 环境变量;**同一进程内所有 context(每站点账号一个 profile)共用一套指纹**。
-- 浏览器空闲 5 分钟关闭、容器重启都会重新 launch → 除 UA 外的指纹每次重随机(日志已见 6 次 launch)。UA 由 BrowserForge 生成后把版本号替换为 152,OS 固定 Linux,推测为 `Mozilla/5.0 (X11; Linux x86_64; rv:152.0) Gecko/20100101 Firefox/152.0`(当前浏览器未运行,未能读实值)。
-- HTTP API 不能按会话指定 UA/os/screen/fingerprint;只有 env `CAMOFOX_LOCALE/TIMEZONE`(当前为空)。但有两个插件钩子可用:`browser:launching`(可改 launch options:传固定 `fingerprint`/`config`/`screen`/`window`)与 `session:creating`(可改 contextOptions,如 `userAgent`)。按 context 覆盖 UA 会与进程级的字体/WebGL/navigator 不一致(上游 issue 已记录),不建议。
-- 上游 camoufox-js 支持传入固定 `fingerprint` 或 `config` 字典 → **可在 umt 插件里持久化一套指纹 JSON,每次 launch 复用**。
-
-## 2. 我们两端的 UA / Cookie 流向
-- HTTP 端:只有**登录(loginNexusPhp)与用户数据刷新**带 `acc.user_agent ?? settings.sites.userAgent`(Chrome 140/Windows)。**站点适配器(列表/搜索/详情/下载/healthCheck)`runtime.siteAdapter` 没传 `userAgent`,RSS fetcher 也没传** → 实际发的是 Deno 默认 UA(`Deno/2.9.7`)。同一账号 HTTP 端已经是两个 UA。
-- 浏览器端:打开会话时 `prepareCookies` 把账号 Cookie(或先 HTTP 账密登录得到的会话 Cookie)经 umt-cookies 注入 profile;关闭/释放/周期时 `syncCookies` 把站点域名下**全部 Cookie 原样回写**账号(`writeBrowserCookie`),HTTP 随即使用。
-- cf_clearance / __cf_bm 无任何特殊处理,会双向流动。当前 5 个 profile 未见 cf_ 类 Cookie;库里只有 1 个账号(hhanclub,Cookie 型,无 UA 覆盖,不走代理)。
-- IP:HTTP 端仅站点开“代理”才走 proxyUrl;浏览器容器有 `HTTP_PROXY=172.17.0.1:7891` 环境变量,Firefox 是否实际走它待核实 → 两端出口 IP 可能不同。
-
-## 3. 站点绑定情况(公开资料)
-- Cloudflare 官方:clearance“securely tied to the specific visitor and device … preventing reuse across machines”,不公开输入;社区普遍实测绑定 **UA + IP(+TLS 指纹)**。Deno/rustls 的 TLS 指纹与 Firefox 必然不同 → 即使 UA 一致,浏览器拿到的 cf_clearance 在 HTTP 端也不保证可用。
-- NexusPHP:c_secure_pass 等为 HttpOnly;经典实现仅在勾选“限制 IP”(securelogin)时把会话绑 IP,核心代码未见 UA 绑定。风险主要来自站点前置的 CF/WAF 和管理员的“多 UA/多 IP”风控。
-- 馒头:抓取走 API Key(x-api-key),与网页登录态无关(我们已不注入);网页 token 的设备/UA 绑定无权威公开资料,未证实。
-- 憨憨:NexusPHP 系,未找到 UA 绑定公开资料。
-
-## 4. MoviePilot 做法
-- `site.ua or 全局 UA` 贯穿 HTTP 请求(全局 NORMAL_USER_AGENT 为 Mac Chrome 138)。
-- 仿真用 CloakBrowser(Chromium)或 FlareSolverr,新建 context 时传 `user_agent=site.ua`;FlareSolverr 返回的 userAgent 只在当次用。
-- 账密“更新 Cookie”在浏览器里登录后读 `navigator.userAgent`,**把 cookie 与 ua 一起写回站点**(cookie.py:397,site.py:1036)——即“UA 跟随取得 Cookie 的浏览器”。Chromium 内核 + Chrome UA,两端天然一致。
-
-## 5. 结论与方案
-**推荐**:每账号一套“浏览器身份”(identity:UA + Camoufox 指纹 JSON),以浏览器为准,HTTP 全链路复用其 UA;不轮换。
-1. OS:建议统一 **Windows**(用户面最大、UA 最常见);但字体/WebGL 需 Camoufox 伪装,headed Linux 下渲染差异有暴露风险——或选 Linux 最真实。需用户决定。
-2. 因指纹是进程级,每账号不同指纹做不到;方案 A(推荐)全实例一套固定指纹,所有账号共用,插件在 `browser:launching` 读/首次生成并落盘;方案 B 每账号独立浏览器进程(资源翻倍,不推荐)。
-3. UA 版本跟随 Camoufox 大版本;升级镜像时插件保留指纹其余字段、只改版本号,并同步写回设置里的默认 UA。
-4. HTTP 端:siteAdapter、RSS、下载、登录统一带账号 UA;cf_clearance/__cf_bm 回写时剔除或标记“仅浏览器”。
-
-**需改文件**:`docker/browser-desktop/root/opt/camofox/plugins/umt-cookies/index.js`(加 launching 钩子 + GET /umt/identity);`apps/server/src/modules/sources-identity/runtime.ts`(siteAdapter/RSS 传 UA,签名含 UA);`.../service/account.ts`、`credentials.ts`(回写时同步 UA、过滤 CF Cookie);`apps/server/src/modules/browser/service.ts`(会话开时读 identity);`packages/contracts/src/settings.ts`(默认 UA 改为 Firefox);迁移:`site_account` 增 `ua_source/identity_version`。
-
-**风险与平滑迁移**:改 UA 通常不会让 NexusPHP Cookie 失效,但 CF 站点会立即要求重新过挑战。做法:不改已有账号的生效 UA,记录“待切换”;在下次重新登录 / 浏览器回写 Cookie 时原子地切换 Cookie+UA。Deno UA→浏览器 UA 的切换可立即做(风险低)。
-
-**需用户决定**:OS 选 Windows 还是 Linux;全实例一套指纹是否可接受;是否允许浏览器 cf_clearance 给 HTTP 用(TLS 不同,大概率无效);是否统一浏览器与 HTTP 出口 IP。

docs/design/de-ai-review.md

@@ -1,372 +0,0 @@
-# 去 AI 味、去工程味审查(DEAI-1)
-
-> 2026-09-29 · 只审查,不改代码。依据:`human-copy` 文案规范、用户品味清单、[glossary.md](glossary.md)、[console-ia.md](console-ia.md);对照 MoviePilot 前端 `src/locales/zh-CN.ts`。
-> 截图:登录 `https://127.0.0.1` 只读抓取(非 GET 的 `/api` 请求一律拦截,未碰站点搜索),存在 `apps/web/test/screenshots/deai/`(不进 git),下文用文件名前缀引用,如 `01-home`。
-> 缺口:库里没有订阅,订阅详情页无法截图,该页条目来自源码字符串(`routes/console/subscriptions.$id.tsx`、`components/subscriptions/*`)。
-
-## 1. 总诊断
-
-问题主要有五类,根源都是「界面是从数据模型和实现往外长出来的,没有先问用户此刻要什么」。
-
-1. **数据模型直接当界面**。表名、状态码、枚举值原样上屏:`identity_unknown`、`blocked:target_exists`、`capability.invoke`、`tmdb:tv:90228`、`agent_run_event`、`r1`。整理记录、待处理、下载时间线、审计都有。
-2. **每个字段都想解释,解释的是实现而不是后果**。计划页 29 行说明里有「对照 MP 启动时的 clear_temp」「observation,按 created_at」「umt backup(宿主机 cron 调用)」;设置页讲哨兵文件 `.uhd-root`、负缓存、三个进程共用。用户看不懂,看懂了也做不了决定。
-3. **为可审计而堆证据**。Agent 会话一屏里同时有「模型说的(未经核查)」「仅供参考,不作为完成依据」「系统核实的结果」、5 个状态徽章、4 个 0 计数、数据来源说明、token 数和四位小数的美元费用。可信度是靠一句话和一个链接建立的,不是靠把账本摊开。
-4. **内部概念名直接露给用户**。版本目标、内容单元、临时单元、资产、外部身份、库根、纳管、快照、候选、修订、草案、抑制记录、持续授权、幂等。MP 用「洗版」「已入库 / 缺失」「媒体库目录」「整理」「识别」这类用户早就会说的词。
-5. **同一件事多种说法、多重信号**。「身份歧义 / 识别有歧义 / 无法确定作品」「RSS 订阅 / 来源健康 / Feed」「媒体概览 / 媒体库」「整理冲突 / 路径冲突 / target_exists」;「自动化运行中」同时用播放图标、绿点徽章「总开关开」和一句口号表达。
-
-另有一个事实性问题:首页写「0 个订阅在追踪,自动收录、下载和整理」,数字为 0 时后半句是空承诺。
-
-## 2. 术语对照表
-
-「界面」一列:**显示** = 默认视图可以出现;**详情** = 只在详情页 / 折叠区 / 高级设置出现;**隐藏** = 只在代码、日志、给模型的提示里。
-
-| 当前用词 | 用户视角的说法(参考 MP / 常识) | 界面 | 说明 |
-| --- | --- | --- | --- |
-| 版本目标 / Slot | 「想要的版本」;升级动作沿用 MP 的「洗版」 | 显示(改名后) | 首页「版本目标满足率」改「想要的版本已到齐 x / y」;列名「版本目标」→「版本」。**需拍板**,见 §5.4 |
-| 资源(SourceRelease) | 资源 | 显示 | 保留,和 MP 一致 |
-| 候选 | 不单独命名;说「可下载的资源」「选一个下载」 | 隐藏 | 「候选被选中后生成计划」这种句子直接删 |
-| 观察(observation) | 不出现 | 隐藏 | 目前出现在设置「Feed 观察」、计划页「观察记录清理」、下载时间线「观察 · 无」 |
-| 内容单元 | 季 / 集 | 隐藏 | 作品详情面板标题「内容单元」→「季与集」 |
-| 临时单元 | 「未确认的集」或不提示 | 详情 | 徽章「临时单元」→「编号待确认」 |
-| 资产 / 资产位置 | 文件 / 已入库文件 | 显示为「文件」 | 首页「资产 5 已入库视频」→「已入库文件 5」 |
-| 运行 / run / 引擎运行 | 任务(用户侧);引擎步骤只在详情折叠区 | 详情 | 「未关联业务对象 · ce28d777」这种行默认不进任务列表 |
-| 租约 / 控制权 / 接管(浏览器) | 「你在操作」/「交还给 Agent」 | 显示(按钮) | 「租约」一词不出现 |
-| 纳管 / 接管(下载器) | 「由本工具管理」;筛选叫「来源:本工具 / 其他」 | 显示(改名后) | 下载列表每行的「接管」徽章删掉,只在不是本工具管理的行标「外部任务」 |
-| 证据 / 原始证据 / 证据等级 | 「详情」「依据」 | 详情 | 待处理的「原始证据」→「详细信息」;身份的「证据 人工确认 · 校验通过 · r1」→「你确认的」/「自动匹配」 |
-| 能力 / capability | 「Agent 能做的事」;具体项用动作名(查作品、提交下载) | 详情 | 审计里的 `capability.invoke` / `capability.denied` 显示为「Agent 查询 · 订阅列表」「Agent 被拒绝 · 检测站点健康」 |
-| Agent 上游 / 上游 | 模型服务 / 模型 | 显示(改名后) | MP 叫「AI Agent / 上游 provider」也不好;「上游登录刷新」每 10 分钟刷屏,见 §3.2。**需拍板** |
-| 巡检 | 巡检 | 显示 | 可保留;说明里去掉「能力白名单」 |
-| 待识别 / 待识别池 | 未识别 | 显示 | MP 用「未识别到媒体信息」。「池」字去掉(console-ia §6.4 早已记为遗留) |
-| 身份 / 外部身份 | 「TMDB / IMDb 编号」;动作叫「识别」「改匹配」 | 详情 | 「身份歧义」统一成「识别有歧义」;`tmdb:tv:90228` 显示为「TMDB 90228」链接 |
-| TMDB 映射 | 匹配的 TMDB 条目 | 详情 | |
-| 持续授权 | 「允许 Agent 自动执行 xx」 | 详情 | 只在 Agent 设置和巡检编辑框出现,不带 ID 前缀 |
-| 审批 | 批准 / 拒绝 | 显示 | 保留;「会话内审批有效期」→「等你批准的最长时间」 |
-| 幂等 / 幂等键 | 不出现 | 隐藏 | 工具调用卡片上的「幂等」徽章删,幂等键进审计详情 |
-| 整理记录 | 整理记录 | 显示 | 与 MP「媒体整理 / 历史记录」一致,保留 |
-| 库根 | 媒体库目录 | 显示(改名后) | MP 叫「媒体库目录」;「实际路径与库根」→「文件位置」 |
-| 登记目录 | 不单独命名,就是「目录」 | 隐藏 | 文件管理左栏已经按「下载目录 / 媒体库」分组,不需要这个词 |
-| 哨兵 / 哨兵文件 | 「目录检查」;失败时说「目录不可访问或未挂载」 | 详情 | 按钮「检查哨兵」→「检查目录」 |
-| 快照 | 「站点最新资源」/「抓取」 | 详情 | 站点卡「快照 22 分钟前」→「资源更新于 22 分钟前」;「实时补查」→「去站点搜」 |
-| 账本 / 本地账本 | 不出现 | 隐藏 | 「本地账本:作品、版本目标、资产与外部身份」整句删 |
-| 建档 / 已建档 | 「加入媒体库」/「已在库中,未下载」 | 显示(改名后) | 「建档不订阅」→「只加入媒体库」 |
-| 修订 r1 / 草案 / 策略版本 | 「最后修改于…」;草案叫「未启用」 | 详情 | 列表的「修订」列删 |
-| 抑制记录 | 「已忽略的资源」 | 显示(改名后) | 规则页签名 |
-| 收录策略 | 「自动收新作品」 | 显示(改名后) | 规则页签;只在开启新作品自动收录时有意义 |
-| 缓存卷 / 硬阈值 / 恢复水位 | 下载盘 / 暂停线 / 恢复线 | 显示(改名后) | 「保留期锁定 287.92 MB」→「做种保留中 288 MB」 |
-| 进程 / 心跳 / SSE / 事件循环延迟 | 不出现在首页 | 详情 | 只在运行状态页的「高级」折叠区 |
-
-## 3. 页面级问题
-
-格式:截图 · 现象(原文) · 为什么 · 改成。
-
-### 3.1 首页
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 01-home | 横幅「自动化运行中」+ 绿点徽章「总开关开」+ 播放图标 +「0 个订阅在追踪,自动收录、下载和整理。」 | 三个信号说一件事;0 订阅配口号是空承诺 | 一行:「自动化已开启 · 0 个订阅」+ 右侧「暂停」。订阅为 0 时换成「还没有订阅。去搜索添加」 |
-| 01-home | 首页有「只读对账」开关 | 恢复备份才用的运维开关,放首页既吓人又易误点 | 移到设置 → 自动化 → 高级;首页只在它开启时显示一条警告「只读模式:不会自动下载和整理」 |
-| 01-home | 「排队 0 · 下载中 0 · 无进展 0 · 入库中 0」「满足 0 / 0 · 需关注 0 · 下载中 0」「新计划 0 · 提交下载 4 · 入库文件 5 · 升级 0」 | 0 值全部铺开,读者要自己找非零项 | 只显示非零项;全为 0 时不显示这一行 |
-| 01-home | 「版本目标满足率 —」 | 内部指标名;分母为 0 时显示横线等于没说 | 分母为 0 时整块隐藏;有数据时「想要的版本已到齐 12 / 15」 |
-| 01-home | 「最近完成 / 失败」6 行全是绿色「完成」徽章,副标题「处理待处理事项」「核验入库」 | 徽章泛滥;副标题是工作流名 | 只列失败和入库完成;成功不加徽章;副标题写结果「已入库」「识别失败」 |
-| 01-home | 「缓存与保留:阈值 90% / 恢复 85% · 在途 0 B · 可清理 0 B · 保留期锁定 287.92 MB」 | 5 个运维参数挤一行 | 「下载盘 36% 已用 · 剩 1 TB」,细节进下载面板 |
-| 01-home | 「运行状态:进程 3 在线 · 待执行 0 · 24 小时失败率 0.2% · 数据库 5.3 毫秒」 | 首页给普通用户看数据库延迟 | 正常时只显示「运行正常」一行或不显示;异常时显示问题本身 |
-| 01-home | 「近 7 天 $0.0191」 | 四位小数制造精确感 | 「近 7 天 $0.02」,不足一分写「< $0.01」 |
-
-### 3.2 任务
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 02-tasks | 页描述「每次运行都是一条任务,不论定时、事件、手动还是 Agent 触发。」 | 解释数据模型,排比式列举 | 删,或「最近处理了什么、有没有失败」 |
-| 02-tasks | 「评估候选 · 未关联业务对象 · ce28d777」「识别资源 · 未关联业务对象 · 37b8a16c」成片出现 | 内部步骤和短 ID 占满列表 | 默认隐藏无业务对象的运行,筛选里提供「显示系统任务」 |
-| 02-tasks | 「上游登录刷新」每 10 分钟一条 | 后台保活刷屏 | 维护类定时任务成功时不进任务列表,只记在计划页 |
-| 02-tasks | 耗时「20 毫秒」「206 毫秒」 | 毫秒级精度对用户无意义 | 小于 1 秒写「< 1 秒」 |
-| 02b-tasks-failed | 标题「下载 c062c84a」,「未开始 · 19 小时前」 | 用 ID 当标题 | 用作品名 + 资源名;无作品时用资源标题 |
-| 02-tasks | 行副标题「核验入库 · 下载」「处理待处理事项 · 待处理事项」 | 工作流名 + 对象类型,重复且拗口 | 只留一个:「入库检查」「识别」 |
-
-### 3.3 计划
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 03-schedules | 「图片缓存清理:删除超过保留天数的图片代理缓存文件(对照 MP 启动时的 clear_temp)」 | 实现备忘写进界面 | 「删除过期的海报缓存」 |
-| 03-schedules | 「观察记录清理 … (observation,按 created_at)」「SSE 事件清理 … (sse_event,按 at;发布方另按条数裁剪)」「审计清理 …(audit_event…)」 | 表名、字段名上屏 | 把 18 项「维护」合并成一行「数据清理(9 项)」,展开后每项一句人话 |
-| 03-schedules | 「备份:…目前用 umt backup(宿主机 cron 调用),未接入调度」,状态「未运行 · 未配置」 | 开发状态说明;一个不能用的开关占一行 | 未接入就不列;或只在运行状态页写「备份:上次 2026-09-28」 |
-| 03-schedules | 「统计信息更新:对全库执行 ANALYZE,刷新查询规划用的统计信息」 | 数据库运维 | 放进「数据清理」组,文案「数据库维护」 |
-| 03-schedules | 「到期重评:到了重评时间的收录位重新评估(忙时延后的发布、定时)」 | 「收录位」是术语表外的第三个 Slot 名 | 「重新检查等待中的资源」 |
-| 03b-schedules-checks | 巡检卡片直接显示目标模板「巡检待处理({{now}}):有 {{openDecisions}} 条…」 | 模板变量上屏 | 卡片只显示一句用途「检查待处理并给建议」,模板进编辑框 |
-| 03b-schedules-checks | 每张卡有「能力」6 个标签 + 3、预算、上游、触发条件、间隔、下次、每次费用、最近结果、最近会话 9 项 | 字段全铺 | 默认:名称、开关、间隔、上次结果与费用;其余进编辑框 |
-
-### 3.4 Agent 会话与抽屉
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 04b-agent-run | 「模型说的(未经核查)」+「仅供参考,不作为完成依据。」+「系统核实的结果」 | 同一个免责声明说了三遍,措辞防御 | 回复区不加标题;下面一行「实际结果:没有提交下载或整理」,有动作时列出链接 |
-| 04b-agent-run | 徽章「没有产生业务动作」「运行已完成」「工具成功 7」「失败 1」「被拒绝 1」+ 四个 0 计数 + 「取自下载计划、下载任务和整理记录(生成于 …)。「已提交」指已进入下载器,整理成功才算入库。」 | 为可审计堆证据;0 计数和数据来源说明是噪音 | 只在有动作时显示计数;工具统计进「步骤」折叠区;数据来源说明删 |
-| 04b-agent-run | 步骤列表显示 `site.list(inclu…`、`site.health_c…` | 工具函数名上屏 | 步骤只写人话,工具名进展开详情 |
-| 04b-agent-run | 右栏「预算与用量:工具调用 9 · token 320.7k · 时长 41s · 费用(估算)$0.014」;头部「opencode-go/deepseek-v4.1-flash」 | token、模型 ID 对普通用户无意义 | 默认只显示「费用约 $0.01 · 41 秒」,token 与模型进「详情」 |
-| 04-agent | 会话列表标题是原始提示词:「在浏览器会话 16be7338-… 上直接调用一次 browser.solve_challenge,参数:…」 | UUID、JSON 当标题 | 标题取模型生成的短摘要或截断到第一句;子会话默认折叠在父会话下 |
-| 04-agent / 04c | 「交代目标,边做边汇报」出现在侧栏按钮、悬浮按钮;抽屉又写「交代目标,Agent 在授权范围内执行并汇报。(Ctrl+J 开关,Esc 关闭)」,输入框下再写「Agent 列出步骤后直接执行…Enter 发送,Shift+Enter 换行。」 | 口号式对仗重复 3 处;快捷键提示重复 4 处 | 侧栏按钮只写「Agent」+ 快捷键;删悬浮按钮或侧栏按钮其一;抽屉只保留 placeholder「例如:把沙丘:第二部的 4K 收进来」 |
-| 04c | 收起按钮是带渐变描边的胶囊「收起 Ctrl+J / Esc 关闭」 | 渐变描边 + 发光,和侧栏、悬浮按钮三处同款 | 普通关闭按钮 × |
-| agent-conversation.tsx | 「有副作用的能力需要有效的持续授权或单次审批,由服务端在执行前核对,模型声称"用户已同意"无效。」;工具卡片「幂等」徽章 | 安全设计说明写给用户 | 拒绝时只说「未执行:需要你批准」+「批准」按钮 |
-
-### 3.5 站点与站点详情
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 05-sites | 页描述「凭证、账号数据和健康状态;点站点名看资源、快照与 Feed」 | 列内容 + 操作指引,都能从界面看出 | 删 |
-| 05-sites | 卡片:「健康检测 正常 · 1201 ms · 4 小时前」「快照 22 分钟前」「限流 默认」 | 毫秒延迟、限流、快照是运维字段 | 卡片只留账号数据 + 一行状态「正常 · 资源更新于 22 分钟前」;异常时写原因 |
-| 05-sites | 徽章「账号正常」「Cookie」「VIP」 | 登录方式不需要徽章 | 只留「VIP」这类等级;状态正常不加徽章,异常才标 |
-| 05b-site-overview | 「快照每 1 小时 1 页 · 健康检测每 6 小时 · 详情缓存 24 小时」「近 24 小时请求 22 次」「代理 不使用」 | 配置回显 | 放进「编辑站点」 |
-| 05b / 03 | 站点页「健康检测每 6 小时」,计划页「站点健康检测 每 1 小时」 | 两个数字说的是扫描间隔和单站间隔,用户看到的是矛盾 | 计划页写「每 1 小时检查一次哪些站点到期」或直接不在计划页列出 |
-| 05c-site-resources | 每行资源都有「已识别,无版本目标」 | 默认情况重复 50 次 | 只标需要注意的:「未识别」「已在库中」「可洗版」 |
-| 05c-site-resources | 按钮「快照」「实时补查」,角落「近 24 小时请求站点 22 次」 | 实现术语 | 「刷新」「去站点搜」;请求次数进站点详情 |
-| 05e-site-accounts | 账号页的「Passkey」(站点 RSS 密钥)与账户设置里的「Passkey」(登录用生物识别)同名 | 同名两物 | 站点这边写「站点 Passkey(RSS 与下载链接用)」,账户那边写「通行密钥(Passkey)」 |
-
-### 3.6 RSS 订阅
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 06-rss | 侧栏叫「RSS 订阅」,页标题叫「来源健康」,表格节标题叫「FEED」,术语表叫「Feed」 | 一物三名 | 全站统一「RSS」;页标题「RSS」,节标题「RSS 地址」 |
-| 06-rss | 页描述「单个站点的快照、Feed 和账号在站点页管理。」 | 用说明文字修补 IA | 删;站点名本身可点 |
-| 06-rss | 「站点」表格与站点页重复(健康、账号、最近快照) | 同一信息两处 | 本页只列 RSS;站点健康只在站点页 |
-| 06-rss | 列「用途:通用」 | 只有一个取值时是噪音 | 只有非通用时显示 |
-
-### 3.7 订阅与订阅详情(源码)
-
-| 位置 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 07-subscriptions | 筛选栏 11 组(类型、批量、状态 6 值、站点、规则组、来源、洗版、排序),库里 0 条订阅时全部显示 | 空库也铺满控件 | 0 条时只显示空态和「新建订阅」 |
-| 07-subscriptions | 空态「从媒体库、搜索或 Agent 添加,也可以点「新建订阅」。」 | 列举三个入口 | 「还没有订阅。」+ 按钮「新建订阅」 |
-| coverage-matrix.tsx | 「临时单元」「还没有正式的内容单元」「按版本目标逐集对比」 | 内部概念 | 「编号待确认」「按版本逐集查看」 |
-| subscriptions.$id.tsx | 「按选择顺序串联;不选 = 订阅默认规则组。版本目标自己的规则组另算」「空 = 24;0 = 关」「空 = 按 TMDB;不锁定时只升不降」 | 规则引擎语义写成等式 | 字段默认值直接填进输入框作为 placeholder;规则组说明只留「不选时用默认规则组」 |
-| subscriptions.$id.tsx | 「季建好后不能改;要换季就新建订阅」 | 好文案 | 保留 |
-
-### 3.8 规则
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 08-rules | 页描述「规则组决定哪些资源能下载、同一作品优先挑哪个。收录策略决定哪些新作品自动收录。」 | 两句对仗定义 | 删;页签名本身要自解释 |
-| 08-rules | 页签「规则组 / 自定义条件 / 默认值 / 收录策略 / 抑制记录」 | 五个里三个是内部名 | 「规则组 / 自定义条件 / 默认规则 / 自动收新作品 / 已忽略」 |
-| 08-rules | 列「修订 r1」「引用 默认链」 | 版本号与引用关系 | 删「修订」列;「引用」写「订阅默认」这种具体用途 |
-| 08b-rules-atoms | 13 个关键字各写「不支持,规则串里出现会报错」;标题「对齐 MoviePilot;判定依据按解析字段优先」 | 列出不支持的东西;实现备忘 | 不支持的关键字不列,或合并为一行「音乐相关关键字暂不支持」;副标题删 |
-| 08c-rules-defaults | 「链上的组按顺序串联,任一组拒绝即拒绝,优先级取最后一个带层的组。」 | 算法描述 | 「按顺序检查,任一组不通过就不下载。」「带层」概念不出现 |
-| 08d-rules-policies | 策略名「AGENT-REAL 最小收录策略(测试)」,按钮「新建策略草案」「基于 r1 新建草案」 | 测试数据留在用户栈;草案 / 发布模型外露 | 清理测试数据(数据问题,另开);按钮「新建」「复制并修改」 |
-
-### 3.9 下载面板
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 09-downloads | 页描述「阈值暂停不能手动绕过;无进展只记录,不自动换源。」 | 两条否定式声明当首屏第一句 | 删;在暂停的任务行上写「磁盘超过 90%,已暂停」 |
-| 09-downloads | 「qB 测试 36.2% · 604.4 GB / 1.6 TB · 硬阈值 90% / 恢复 85% · 在途 0 B · 预留 0 B · 可清理 0 B · 保留锁定 287.9 MB」 | 7 个数一排 | 进度条 + 「已用 604 GB / 1.6 TB」;其余进「详情」 |
-| 09-downloads | 每行徽章「接管」,筛选「纳管」 | 内部概念,且每行都一样 | 删徽章;筛选「来源:本工具 / 其他」 |
-| 09-downloads | Interstellar 行状态「下载完成」,但整理两次失败 | 状态没反映真实问题 | 状态列写「入库失败:目标已存在」并链到待处理 |
-| 09c-download-detail | 时间线「0/0 文件成功 · identity_unknown」「blocked:target_exists」 | 错误码原样上屏 | 「没有识别出作品」「媒体库里已有同名文件」 |
-| 09c-download-detail | 时间线筛选「观察 · 无 / 计划 · 无 / 下载 · 2 / 整理 · 2 / Agent · 无 / 任务 · 2」,标题「业务时间线」 | 空类别也列;「业务」是开发词 | 标题「经过」;只显示有记录的类别 |
-| 09c-download-detail | 「torrent hash 31090bf…」直接列在概况 | 技术信息占首屏 | 进「详情」折叠 |
-| 09b-download-plans | 「候选被选中后生成计划,同时预留版本目标、空间与预算。」 | 机制说明 | 删;空态「还没有下载计划」 |
-
-### 3.10 整理记录
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 10-organize | 失败原因列显示 `identity_unknown`、`blocked:target_exists` | 服务端把错误码当 message 返回(`organize.ts:393`、`:641`),前端原样显示 | 服务端给中文 message;前端已有映射 `organize-wizard/model.ts` 的 `target_exists: "目标已存在"`,统一复用 |
-| 10-organize | 「未关联作品 · — · 失败 · 复制 0/0」连续 4 行 | 0 文件的失败记录 | 合并为一行「4 次未识别,未整理」或只在待处理出现 |
-| 10b-organize-detail | 「变更游标 35」「记录 ID」「任务 ID」「执行进程本地」「未知或未授权」 | 同步接口字段、内部 ID | 进「技术信息」折叠;「未知或未授权」改「未整理」 |
-| 10b-organize-detail | 按钮「让 Agent 排查」 | 可以 | 保留 |
-| 10-organize | 页描述「每次整理的前后路径与逐文件结果,自动和手动整理都记在这里。」 | 能看出来 | 删 |
-
-### 3.11 文件管理
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 11-files | 左栏下载目录与媒体库各带「正常」徽章和「剩余 1 TB」,底部又一处「剩余 1 TB」 | 同一信息两次;正常态徽章 | 正常不标;剩余空间只在底栏 |
-| 11-files | 行摘要「1 视频 · 0 已登记」 | 「已登记」是内部状态 | 「1 个视频 · 未入库」 |
-| 11-files | 筛选「临时文件」「已登记」 | 同上 | 「未完成下载」「已入库」 |
-| 库根设置 | 「没有可写的库根。在设置里把库根设为纳管后再选。」(`dir-picker.tsx`) | 双重术语 | 「没有可写入的媒体库目录。去设置添加」 |
-
-### 3.12 媒体概览与作品详情
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 12-library | 侧栏「媒体概览」,详情页面包屑「媒体库」 | 一物两名 | 统一「媒体库」(MP 同) |
-| 12-library | 描述「本地账本:作品、版本目标、资产与外部身份。自动匹配不覆盖人工锁定的外部身份。」 | 比喻 + 规则声明 | 删 |
-| 12-library | 页签「作品 / 待识别 / 外部身份 / 别名」 | 后两个是维护工具 | 默认只留「作品 / 未识别」;外部身份、别名进作品详情 |
-| 12c-library-identities | 行「tmdb:tv:90228 · 已确认 · 人工确认 · 校验通过 · r1 · 23 分钟前」 | 键值串 + 三个同义状态 | 「TMDB 90228 · 你确认的」 |
-| 12a-library-unidentified | 原因「未命中订阅」,列「尝试 1 次 · 26 分钟前」「下次复查 24 小时后」 | 未命中订阅不是问题,不该叫原因 | 这类资源默认不进「未识别」,只放真正需要人处理的 |
-| 12b-library-detail | 标题下直接显示 UUID `d1fd8828-…`;「以本地 ID 为准,外部身份可修改」 | 内部 ID 与实现声明 | UUID 进「更多 → 复制 ID」;说明删 |
-| 12b-library-detail | 「字段来源与锁:锁定的字段刷新时不变」,每字段「来源 TMDB · zh-CN · 26 分钟前 · 候选:TMDB「2014」」 | 字段溯源铺满 | 默认折叠为「元数据来自 TMDB · 更新于 26 分钟前 · 编辑」 |
-| 12b-library-detail | 别名一次铺出 80 多种语言 | 无筛选的数据倾倒 | 只显示中英文与用户添加的,其余「+83」 |
-| 12b-library-detail | 「实际路径与库根:路径绑定建立后不随译名变化」,每个文件「主位置 · 可访问 · 已核验」 | 同上 | 「文件」一节,每行路径 + 大小;异常才标 |
-
-### 3.13 设置(9 区)
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 13-settings-automation | 「存储预算」「流水数据保留」「缓存有效期」三组 13 个天数 / GB 字段,含「Feed 观察」「实时事件」「进程心跳(小时)」「能力调用统计」「负缓存」 | 每张表一个旋钮 | 用户层只留:源文件保留天数、日志保留天数、图片缓存上限;其余进「高级」且默认折叠 |
-| 13-settings-automation | 「只读对账:从备份恢复后先开启:只核对库存与路径,不做自动写入。核对完再关闭。」 | 好文案,位置不对 | 文案保留,移入「高级」 |
-| 13-settings-sites | 「浏览器服务:原站视图和 Agent 打开站点网页用的 camofox-browser。部署自带的一台由环境变量登记(camofox-env)。」 | 组件名、部署细节 | 「浏览器服务:打开站点网页用。」;实例名显示「内置」 |
-| 13-settings-library | 「登记或改路径时会在目录里写哨兵文件 .uhd-root,据此判断库根是否在线」;按钮「检查哨兵」 | 实现机制 | 「保存时会在目录里放一个标记文件,用来判断目录是否挂载。」按钮「检查目录」 |
-| 13-settings-library | 命名模板变量表里的「MP 无」标签 | 给开发者的对照 | 删 |
-| 13-settings-metadata | 「旧行为。每条资源约 1–2 次搜索 + 命中时 1 次详情(识别缓存命中为 0);每小时 100 条的 RSS 约每天 2400–7200 次请求…」 | 实现细节 + 「旧行为」是开发者口吻 | 「每条新资源都查一次 TMDB。RSS 量大时每天可能上千次请求。」 |
-| 13-settings-agent | MCP 区块「Streamable HTTP(POST / GET / DELETE)」「read 16 个 · read + organize.execute 26 个 · admin 35 个」「授权、审计、幂等与控制台一致」 | 接入文档写在设置里 | 设置只留开关、端点、复制配置;其余进 docs 链接 |
-| 13-settings-agent | 「fake 脚本(JSON):只对 fake 上游生效」「会话目录:api 与 worker 都要可读写」 | 开发调试项 | 生产构建隐藏 |
-| 13-settings-api-keys | scope 名 `organize.read` / `organize.execute` 直接作为选项 | 可接受(给开发者用的页) | 保留英文 scope,前面加中文名「只读 / 读整理记录 / 执行整理 / 管理员」 |
-| 全部分区 | 页描述「全局参数、实例与凭证。凭证保存后不回显。」 | 前半句空泛 | 只留「密钥保存后不再显示。」 |
-
-### 3.14 运行状态
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 14-status | 进程表「9428df7231e2 · pid 29」「io 4 · Agent 0」「SSE 3」 | 容器 ID 与 pid | 这是管理员页,可以保留,但放在「进程」折叠区;默认视图是一行结论「全部正常」 |
-| 14-status | 「体积最大的表(前 10)· 含索引与 TOAST」列出 `metadata_field`、`agent_run_event`、`openworkflow.workflow_runs` | 数据库内部表 | 移到「高级 → 数据库」,默认折叠 |
-| 14-status | 首页「失败 0」,本页「24 小时失败运行 2」,任务页失败页签「2」 | 三处口径不同 | 首页计划块写「上次失败 0 项」,和本页「24 小时失败」分开表述 |
-| 14-status | 「已下线实例 33 个 · 不计入告警,24 小时后清理」 | 容器重建历史 | 删,或只在进程折叠区 |
-| 14-status | 图表图例「api · 29api · 29api · 29…」重复拼接 | 渲染问题 | 修图例(bug,单独处理) |
-
-### 3.15 待处理 / 收件箱
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 15-inbox | 身份类事项只有「原始证据」和「忽略」,没有主操作 | 用户来这里就是要处理,最重要的按钮缺了 | 加「指定作品」主按钮;「原始证据」→「详细信息」 |
-| 15-inbox | 每条都挂「警告」「待处理」两个徽章 | 全部一样的徽章等于没有 | 删状态徽章(页面已按状态筛选);级别只标「严重」 |
-| 15-inbox | 分组「身份歧义 · 尚未归属作品」「路径冲突 · 系统级」 | 分组名是内部分类 | 「没识别出作品」「媒体库里已有同名文件」 |
-| 15-inbox | 路径冲突事项正文 `target_exists` | 错误码 | 「媒体库里已有《星际穿越 (2014)》的同名文件」 |
-| 15-inbox | 描述「Agent 调查和重试后仍未解决的事项,按作品和问题类型合并」;事项创建于「刚刚」 | 声称经过调查,实际未必 | 「需要你决定的事」 |
-| 15b-inbox-bell | 铃铛下拉写「识别有歧义」,页面写「身份歧义」,首页写「无法确定作品」 | 一物三名 | 统一「没识别出作品」 |
-
-### 3.16 全局搜索与作品预览
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 17-search | 描述「先看作品和库内状态,需要时再到站点搜资源。」 | 教用户流程 | 删 |
-| 17-search | 状态「已建档 · 未入库」「未收录」 | 「建档」「收录」都是内部词,两者区别用户不懂 | 「在媒体库 · 未下载」「不在媒体库」(MP:「已入库 / 缺失」) |
-| 17b-command-palette | 底部三条提示「作品卡上可以选站点搜资源」「↑↓ 选择 ↵ 打开」「搜资源在作品详情页」 | 两条说同一件事 | 只留键位提示 |
-| 18-tmdb-preview | 按钮「订阅 / 搜索资源 / 建档不订阅」 | 「建档」 | 「订阅 / 搜索资源 / 加入媒体库」 |
-| 18-tmdb-preview | 「库内对比:本地账本按 TMDB 身份对应;Emby 查询失败记为未知,不等于缺失」 | 实现声明 | 标题「库中情况」;说明删,Emby 失败时就写「Emby 查询失败」 |
-
-### 3.17 审计与外壳
-
-| 截图 | 现象 | 为什么 | 改成 |
-| --- | --- | --- | --- |
-| 16-audit | 每行动作列同时显示中文和代码「登录 admin.login_success」,对象列显示 UUID | 双语重复 + ID | 代码与 ID 进行详情;对象显示名称 |
-| 16-audit | 「capability.denied」没有中文名 | 翻译漏了 | 「Agent 操作被拒绝」 |
-| 全局 | 页面标题 + 描述 + 侧栏说明三层,几乎每页描述都在解释页面 | 模板化 | 列表页默认不写描述;只在需要做决定的页(设置分区)写一句 |
-| 全局 | Agent 入口三处:侧栏顶部渐变按钮、右下渐变悬浮按钮、侧栏「Agent 会话」 | 冗余 + 发光渐变 | 保留侧栏项和快捷键;悬浮按钮删或只在窄屏出现 |
-
-## 4. 设计层面
-
-**信息层级**。每页默认视图只回答「现在有没有事要我管」。技术信息分三层:正常视图(名称、状态、结果)→ 详情(路径、时间线、来源)→ 技术信息折叠区(ID、hash、trace、token、模型 ID、错误码)。现在大多数页把第三层放在第一层。
-
-**首页该回答的三个问题**:
-1. 有没有要我处理的?(待处理数 + 前 3 条,每条带主操作)
-2. 最近拿到了什么?(今日入库的作品,海报或列表,MP 的「近期入库」)
-3. 有没有东西坏了?(只在出问题时出现:站点登录失效、下载盘快满、服务异常)
-
-计划带、运行状态、缓存参数、版本目标满足率都不属于这三个问题,移出首页或改为异常时才出现。
-
-**徽章、图标、色块**。徽章只用于「不正常」和「需要区分的类别」。正常态(完成、正常、已启用、账号正常、待处理)不加徽章。一行最多一个徽章。卡片内的小卡片(首页媒体概览的三个统计块、待处理页顶部三张计数卡)改成一行文字数字,去掉套娃圆角。
-
-**表格 vs 卡片**。同类对象多于 5 个用表格(任务、整理记录、下载、计划);站点这种少量、每个有多项数据的对象用卡片。计划页巡检卡字段太多,应改表格 + 编辑框。
-
-**动效信号**。「实时」徽章 + 「更新于 刚刚」+ 刷新按钮 + 自动刷新,四个信号说一件事,留一个「更新于 刚刚」即可。Agent 按钮的彩色渐变描边与发光在侧栏、悬浮按钮、抽屉收起按钮三处重复,品牌色集中在一处用。
-
-## 5. 优先级改造清单
-
-### 5.1 P0:误导或吓人
-
-| # | 改什么 | 文件 | 工作量 |
-| --- | --- | --- | --- |
-| 1 | 错误码不上屏:整理失败 message 改中文(`identity_unknown`、`blocked:*`),前端统一走一张原因映射表 | `apps/server/src/modules/acquisition-organize/services/organize.ts`、`apps/web/app/lib/labels.ts`、`routes/console/organize*.tsx`、`routes/console/inbox.tsx`、`components/downloads/business-timeline.tsx` | 0.5 天 |
-| 2 | 待处理身份类事项加主按钮「指定作品」 | `routes/console/inbox.tsx` | 0.5 天 |
-| 3 | 首页「0 个订阅在追踪,自动收录…」改为按数据说话;0 值行隐藏 | `routes/console/home.tsx` | 0.3 天 |
-| 4 | 下载行状态反映入库失败,而不是「下载完成」 | `routes/console/downloads.tsx`、`components/downloads/*` | 0.5 天 |
-| 5 | 「只读对账」移出首页 | `routes/console/home.tsx`、`components/settings/automation.tsx` | 0.2 天 |
-| 6 | 「身份歧义 / 识别有歧义 / 无法确定作品」统一一个说法 | `components/library/labels.ts`、`lib/labels.ts`、服务端 `routes/decisions.ts` | 0.3 天 |
-
-### 5.2 P1:高频页面的噪音
-
-| # | 改什么 | 文件 | 工作量 |
-| --- | --- | --- | --- |
-| 1 | Agent 会话:三段免责合并为一行「实际结果」;token、模型 ID、工具名进详情;会话标题不用原始提示词 | `components/agent/agent-conversation.tsx`、`routes/console/agent.tsx` | 1 天 |
-| 2 | Agent 入口去重与去口号(「交代目标,边做边汇报」删,悬浮按钮删或限窄屏) | `components/console/agent-launcher.tsx`、`components/agent/agent-drawer.tsx`、`routes/console/layout.tsx` | 0.5 天 |
-| 3 | 任务列表默认隐藏无业务对象的运行和维护类成功运行;标题不用 ID | `components/tasks/task-stream.tsx`、`routes/console/tasks.tsx` | 0.5 天 |
-| 4 | 计划页维护类 18 项合并折叠,说明去表名 | `components/schedules/auto-task-list.tsx`、服务端定时任务描述(`modules/system/retention.ts` 等) | 0.5 天 |
-| 5 | 首页重排为三个问题;运行状态、缓存参数、满足率移出或异常才显示 | `routes/console/home.tsx` | 1 天 |
-| 6 | 全站删解释型页描述(约 15 处),只保留设置分区的一句话 | `components/console/nav.ts`、各 `routes/console/*.tsx` 的 `PageHeader` | 0.5 天 |
-| 7 | 正常态徽章清理:完成、正常、账号正常、接管、待处理 | `home.tsx`、`sites/site-card.tsx`、`downloads.tsx`、`inbox.tsx`、`files.tsx` | 0.5 天 |
-| 8 | 术语落地:RSS 统一、媒体库统一、「建档 / 收录」、「资产」「账本」「纳管」「哨兵」「快照」按 §2 改,同步更新 `glossary.md` | 全站 + `docs/design/glossary.md` | 1 天 |
-| 9 | 作品详情:UUID、字段来源、别名全集、路径核验折叠 | `routes/console/library.$id.tsx` | 0.5 天 |
-
-### 5.3 P2:细节
-
-| # | 改什么 | 文件 | 工作量 |
-| --- | --- | --- | --- |
-| 1 | 费用统一两位小数,< 0.01 写「< $0.01」;耗时 < 1 秒写「< 1 秒」 | `lib/format*.ts` | 0.2 天 |
-| 2 | 规则页:不支持的关键字不列;「修订」列删;页签改名 | `components/rules/tabs.tsx`、`components/rules/labels.ts` | 0.3 天 |
-| 3 | 设置高级项折叠:存储预算、流水保留、缓存有效期、fake 脚本、会话目录、MCP 详情 | `components/settings/*.tsx`、`packages/contracts/src/settings.ts`(字段加 `advanced` 标记) | 0.5 天 |
-| 4 | 运行状态页默认只显示结论,表体积、进程、已下线实例折叠;修图例重复 | `routes/console/status.tsx`、`components/status/*` | 0.5 天 |
-| 5 | 审计行去掉代码与 UUID,补 `capability.denied` 中文 | `routes/console/audit.tsx` | 0.2 天 |
-| 6 | 站点 Passkey 与登录 Passkey 区分命名 | `components/sites/site-accounts-tab.tsx`、`components/settings/account*.tsx` | 0.1 天 |
-| 7 | 命令面板提示去重 | 命令面板组件 | 0.1 天 |
-| 8 | 清掉用户栈里的测试策略「AGENT-REAL 最小收录策略(测试)」 | 数据,不是代码 | 另开 |
-
-合计约 P0 2.3 天、P1 6 天、P2 2 天。
-
-### 5.4 需要用户拍板
-
-1. **「版本目标」是否改名**。候选:「想要的版本」(直白,略长)或沿用 MP 的思路只在升级场景说「洗版」、其余场景说「版本」。改名涉及 139 处字符串和给模型的提示词。
-2. **是否默认隐藏技术信息**。建议:ID、hash、token、模型 ID、错误码、表名一律进「技术信息」折叠区;是否提供全局开关「显示技术细节」(管理员默认关)。
-3. **「Agent 上游」改不改成「模型服务」**。glossary 刚定过「Agent 上游」;用户侧「模型」更好懂,但设置里有 provider / 认证 / 订阅登录,改名要一起理。
-4. **计划页是否只展示用户关心的 11 项**,18 项维护任务收成一行「数据清理」。
-5. **首页是否删掉「运行状态」「计划」两块**,只在异常时出现。
-6. **「收录」「建档」两个词是否全站退场**,换成「加入媒体库 / 在媒体库 / 已下载」。
-7. **Agent 会话里「模型说的(未经核查)」这层防护是否保留**。建议保留一个很轻的标记(回复旁一行「以下是模型的说法」),删掉另外两处。
-
-## 6. DEAI-2 处理情况(2026-09-29)
-
-用户拍板(见 `docs/plan/00-first-version-plan.md`):「版本目标」→「收录版本」;「Agent 上游」→「模型服务」;界面上的 Agent → 「智能体」;技术信息默认折叠(设置 → 界面可默认展开);首页只留三块;计划页维护类收成「数据清理」、智能体巡检置顶;「未经核查」只在最终汇报留一处。术语落地见 [glossary.md](glossary.md)。
-
-### P0
-
-| # | 状态 | 说明 |
-| --- | --- | --- |
-| 1 | 完成 | 原因码表 `packages/contracts/src/reasons.ts`,服务端整理记录 message、冲突事项标题/摘要与前端(整理记录、下载时间线、待处理摘要、任务详情)共用;原码进「技术信息」 |
-| 2 | 完成 | 「指定作品」主按钮:搜媒体库 + TMDB,走已有 decision resolve(local_entity / manual_tmdb);整理类事项打开重新整理,整理成功后自动关闭事项 |
-| 3 | 完成 | 首页状态行按数据说话,0 订阅写「还没有订阅。去搜索添加」 |
-| 4 | 部分 | 下载详情在「下载完成但最近一次整理失败」时单独提示入库失败并链到待处理;下载列表行状态未改——需要服务端在下载任务上带最近整理结果,QB-1 正在改整理服务,留给合并后另做 |
-| 5 | 完成 | 只读对账移出首页,放进设置 → 自动化 →「高级」 |
-| 6 | 完成 | 统一为「没识别出作品」(事项);未确认身份的资源叫「未识别」 |
-
-### P1
-
-| # | 状态 | 说明 |
-| --- | --- | --- |
-| 1 | 完成 | 见提交说明;对话组件结构不动(另有代理出易用性方案) |
-| 2 | 完成 | 删口号;悬浮按钮只在无侧栏的窄屏出现,抽屉打开时不再显示胶囊 |
-| 3 | 完成 | 默认隐藏系统任务(可一键显示),标题不用 ID |
-| 4 | 完成 | 维护类合成「数据清理」组;自动任务按分类折叠并记忆;说明去表名 |
-| 5 | 完成 | |
-| 6 | 完成 | 约 14 处页描述删除或改一句 |
-| 7 | 完成 | 首页、站点卡、下载、待处理、文件管理、整理记录 |
-| 8 | 完成 | RSS、媒体库、建档 / 收录、资产、账本、纳管、哨兵、快照;「外部身份」一词在作品详情改「匹配的 TMDB 条目」,其余处保留 |
-| 9 | 完成 | UUID、字段来源、别名全集、路径核验 |
-
-### P2
-
-| # | 状态 | 说明 |
-| --- | --- | --- |
-| 1 | 完成 | `formatUsd`、`formatDuration` |
-| 2 | 完成 | |
-| 3 | 部分 | 自动化分区的只读对账 / 存储预算 / 流水保留 / 缓存有效期收进「高级」;会话目录与 fake 脚本只在开发构建显示;没有在 contracts 加 `advanced` 标记(纯前端即可) |
-| 4 | 完成 | 进程、趋势、最大表折叠;图例同名序列加序号 |
-| 5 | 完成 | |
-| 6 | 完成 | |
-| 7 | 完成 | |
-| 8 | 不做 | 用户栈数据,不是代码 |
-
-### 页面级条目中不做的
-
-- 05b 站点概况的配置回显、05c 资源行「已识别,无收录版本」、「实时补查」按钮位置:DETAIL-1 / SEARCH-3 正在改站点详情与资源列表,只改了名词(抓取、去站点搜),结构留给它们。
-- 10 整理记录里连续的 0 文件失败行合并:需要服务端按下载任务聚合,放到 QB-1 合并之后。
-- 12 媒体库页签只留「作品 / 未识别」、「未命中订阅」不进未识别:DH-1 正在改身份服务,避免冲突。
-- 13-settings-agent MCP 区块的能力计数与接入说明移到文档:保留,只改了一句说明。
-- 14 「已下线实例 N 个」文案:已随进程区折叠,文案不改。

docs/design/file-preview-research.md

@@ -1,37 +0,0 @@
-# 文件管理基础预览调研(FM-2)
-
-2026-09-29。范围:文件管理详情抽屉里除视频播放以外的预览。前提:单容器 4C/8G;前端库只能来自 npm;所有读取走 `resolveIn` + `recheck`(realpath 在登记目录内、符号链接目标也须在内),仅管理员控制台会话。
-
-**核实**:镜像 `/usr/local/bin` 只有 `ffprobe` 9.0.2(141 MB,取自 `mwader/static-ffmpeg:9.0.2`),**没有 ffmpeg**。同一镜像里的 ffmpeg 静态二进制也是 141 MB,加进来要改 Dockerfile 和编译参数 `--allow-run`。
-
-**MP 对照**:MoviePilot 文件管理只有图片预览(`/storage/image` 取原图转 blob),另有识别和刮削,没有文本、字幕和种子预览。
-
-## 逐项结论
-
-| 类别 | 用户价值 | 实现 | 安全 | 工作量 | 建议 |
-| --- | --- | --- | --- | --- | --- |
-| 图片 jpg/png/webp/avif/gif | 高:核对海报、背景是否刮对 | 原图经 `/files/download?inline` 显示(≤20 MB,`loading=lazy`);服务端读文件头回宽高 | SVG 不内联(可带脚本);`nosniff` + `sandbox` CSP | S | **已做** |
-| 图片缩略图 | 中:列表网格、海报墙 | 需 ffmpeg(+141 MB)或 sharp/libvips(npm 原生模块,`deno compile` 嵌入风险)或 wasm 解码(内存峰值高) | 解码炸弹(超大分辨率):限像素数 | M | 后做,等有网格视图再定 |
-| 文本 nfo/txt/log/md/json/xml/yaml | 高:看 NFO、发布说明、日志 | 服务端读前 1 MB,编码探测 BOM → UTF-16 → UTF-8 → GB18030/Big5 择优 → Latin-1;json 美化 | 一律按纯文本渲染(React 转义),md 不渲染 HTML | S | **已做** |
-| Markdown 渲染 | 低 | markdown-it + DOMPurify(约 60 KB) | 必须消毒 | S | 不做,纯文本够用 |
-| 字幕 srt/vtt/ass/ssa | 高:确认语言、编码、时间轴对不对 | 服务端解析前 1 MB,按时间排序回前 200 条;ASS 取 `Title`、去覆写标签 | 纯文本输出 | S | **已做** |
-| 字幕 sup(PGS) | 中 | 解析段头,只列起止时间 | 只读段头 | S | **已做**;渲染图形不做 |
-| 音频 flac/mp3 试听 | 低:库里音频多是音轨附件 | 浏览器 `<audio>` + HTTP Range;需给下载接口加 Range 与音频类型放行 | 大文件流式,不经内存 | S | 后做 |
-| PDF | 很低:媒体库几乎没有 | `<iframe>` 内嵌(浏览器自带);pdf.js 约 1 MB 不值 | 内嵌需同源 + sandbox | S | 不做 |
-| 压缩包列表 zip/rar/7z | 中:字幕包、原盘分卷 | zip 纯 JS 读中央目录即可;rar/7z 需 `unrar`/`7z` 子进程或 wasm(libarchive.js 约 1 MB) | 只读目录不解压,不会触发压缩炸弹;条目数设上限;文件名当纯文本 | zip S / rar·7z M | zip 后做,rar/7z 视需求 |
-| .torrent | 高:核对资源内容、hash、是否私有 | 复用 `@umt/adapters` 的 `parseTorrent`;≤4 MB;回前 500 个文件与 tracker | tracker 里的 passkey 服务端打码 | S | **已做** |
-| 视频规格 | 高 | 已有「探测」(ffprobe 摘要,缓存 24 小时) | — | — | 已有 |
-| 视频关键帧截图条 | 中:确认片源、是否黑边/HDR 发灰 | 需 ffmpeg;每次 4–6 帧、限时、结果缓存到 DATA_DIR | 并发与 CPU 上限(4C);超时 SIGKILL | M | 后做,和缩略图一起决定是否加 ffmpeg |
-| ISO/BDMV 结构识别 | 中:原盘目录显示主片、时长 | BDMV 目录读 `index.bdmv`/`MPLS` 找最长播放列表;ISO 需 UDF 解析 | 只读 | M(BDMV)/ L(ISO) | 后做,先做 BDMV 目录 |
-
-## 已实现(本分支)
-
-- `GET /files/preview?root&path`:返回 `text / subtitle / torrent / image` 四种结构,只回 JSON,不回原始内容;扩展名白名单与前端同表。上限:文本和字幕读前 1 MB,图片读头 512 KB,.torrent ≤4 MB,超过回 413。
-- 下载接口同步放行文本类、.torrent、avif/gif;视频仍不经浏览器。
-- 预览不写审计(只读、量大),下载仍写。
-- 前端:详情抽屉「预览」节;格式、编码、hash、分块等收进「技术信息」。
-
-## 需要决定
-
-1. 是否在镜像里加 ffmpeg(+141 MB):决定缩略图、截图条两项。
-2. 音频试听要给下载接口加 Range,是否放开音频类型。

docs/plan/00-first-version-plan.md

@@ -1,227 +0,0 @@
-# 首个可用版本(v0.1)工程规划
-
-> 本文保留最初任务书与用户追加要求的历史记录。后续段落里的分支状态、未做清单和粗估不作为当前排期;继续开发前请先看 [当前开发情况基线](13-development-baseline.md)(2026-10-01,v0.3.7)。
-
-编制:2026-09-27。需求基线:`../../media_automation_requirements_architecture_v0.7.md`(下称 REQ)。本文件是所有开发子任务的统一任务书;与 REQ 冲突时以 REQ 的产品要求为准,技术选型以本文件为准。
-
-## 1. 技术决策(ADR 摘要,详见 docs/adr/)
-
-| 项 | 决定 | 说明 |
-| --- | --- | --- |
-| 运行时 | **Deno 2.9.7(锁定)+ TypeScript 7.0.2**,deno.json workspace(`nodeModulesDir: auto`,npm 依赖走 `npm:` 说明符,deno.lock 锁定) | 用户 2026-09-27 确认:按 REQ §9 采用最新稳定版 Deno;之前 W0 用 Node 24 + pnpm 搭的底座在 W1 结束后统一迁移(ADR-004 取代 ADR-001)。前端仍用 Vite 7 + React Router 7 构建,由 Deno 执行。 |
-| 前端 | React 19 + React Router 7(SPA, `ssr:false`)+ Vite 7 + Tailwind v4 + shadcn(new-york, radix-ui 统一包)+ TanStack Query 5 + zod 4 + sonner + lucide | 直接拷贝 uhd_web 的 `app/app.css` 设计 token、`app/components/ui/*`、`app/lib/api.ts`、`app/lib/utils.ts`、`scripts/gen-design-tokens.mjs`、`scripts/check-design-tokens.sh`、`docs/features/{design-tokens,interface-materials,ui-controls}.md`。**不引入 uhd_web 的播放器/WASM 相关内容。** |
-| 后端 HTTP | Hono 4(`Deno.serve`),REST + SSE | OpenAPI 由 zod schema 生成(`@hono/zod-openapi`)。 |
-| 数据库 | PostgreSQL 16;Kysely + pg;SQL 迁移文件 + Kysely Migrator;`kysely-codegen` 或手写 DB 类型 | 开发用 docker-compose 起 `postgres:16-alpine`,端口 55433。 |
-| 持久任务引擎 | 优先 `[email protected]`(peer: postgres.js);**须先通过 spike 验证**(重启恢复/等待信号/取消/重试)。未通过则用 `packages/tasks` 内的 PG 租约式任务表(lease + attempts + dead-letter)。 | 结论写 ADR-002。 |
-| Agent 内核 | `@earendil-works/[email protected]` + `@earendil-works/[email protected]`,锁版本;通过自有 `AgentRuntimePort` 封装,显式工具白名单,不开放 bash/文件系统/任意网络 | 测试用脚本化 fake 模型 provider;真实上游由设置页配置。 |
-| 校验/测试 | vitest 5(`deno run -A npm:vitest run`,`deno task test` 逐成员执行);类型门禁两道:tsc 7.0.2(`npm:[email protected]`,Go 原生实现,入口 `tsc`)+ `deno check`(Deno 内置 TS 6.0.3);lint/format 用 biome 2.5.14(开启 `useImportExtensions`,相对 import 必须带扩展名);web 沿用 token 守卫脚本 | 当前 `deno task ci` = typecheck(tsc 7.0.2 + deno check)+ lint + test + check:tokens + check:copy + build(web 构建 + `deno compile` 单文件 server)+ check:binary。W1.5 实测(2026-09-27)连跑 3 次全绿,约 75 秒/次(v0.1 验收时已涨到约 135 秒/次,server 与 tasks 测试是主要耗时,见 04);测试数 server 24、adapters 214(+2 skip)、agent 27、contracts 361、db 11、domain 230、tasks 15、testkit 1、web 2 |
-| 端口 | web dev 5180,API 4380,PG 55433 | 本机 3000/5175/5176/55432 已被占用,不要用 |
-| 参考源码 | MoviePilot v3: `/opt/moviepilot-plus/upstream/MoviePilot`(提交 e6820a8,GPLv3,只做行为对照与 TS 重写,不复制文件)。**数据来源适配(站点 spider、馒头、RSS、TMDB、qB)照抄 MP v3 实现迁移**(用户 2026-09-27 明确):`app/modules/indexer/spider/__init__.py`、`spider/mtorrent.py`、`app/application/rss.py`、`app/modules/themoviedb/tmdbapi.py`、`app/modules/qbittorrent/qbittorrent.py`;站点定义按 `app/application/site/sites.pyi` 的 schema 手写(MP 的定义文件 `user.sites.v3.bin` 是加密的,无法取用)。**用户 2026-09-27 追加:MP 开源的站点框架全部移植**——所有专用 spider(haidan/hddolby/rousi/sunnypt/tnode/torrentleech/yema/mtorrent)与所有站点类型用户信息解析器(nexus_php/nexus_audiences/nexus_hhanclub/nexus_project/nexus_rabbit/gazelle/unit3d/discuz/ipt/file_list/small_horse/zhixing/bitpt/…),文件与函数一一对应,并维护 `docs/porting/mp-sync-ledger.md` + `scripts/mp-sync` 差异脚本,以后跟随 MP 提交增量移植;MovieClaw 若本机不存在则按 REQ 附录链接对照 | 迁移对照记录写 `docs/porting/` |
-
-## 2. 仓库结构(Deno workspace)
-
-```
-apps/web            React Router 7 SPA 控制台(复用 uhd_web 设计系统)
-apps/server         Node 服务:HTTP API + SSE + worker 入口(单进程可跑,也可 `--role api|worker` 分开)
-packages/contracts  zod schema + 类型:所有 API/事件/能力(capability)输入输出的唯一定义,web 与 server 共用
-packages/db         Kysely 类型、迁移、仓储辅助
-packages/domain     纯业务逻辑(无 IO):标题解析/身份匹配/Slot 满足度/路径绑定/整理计划/策略评估
-packages/adapters   外部系统适配:qBittorrent、RSS、站点(观众 NexusPHP / 馒头 API)、TMDB、Emby 兼容、文件系统
-packages/tasks      持久任务定义与执行器(OpenWorkflow 或自研租约表),outbox
-packages/agent      Pi 接入:AgentRuntimePort、能力注册中心桥接、agent_run 持久化、fake provider
-packages/testkit    mock 服务:mock qB WebUI、mock NexusPHP 站点、mock M-Team API、mock RSS、mock TMDB、临时目录夹具
-docs/adr            架构决策记录
-docs/plan           本规划与里程碑验收清单
-docs/porting        MoviePilot/MovieClaw 迁移对照账本(REQ §14.1.2 格式)
-docs/spikes         兼容性验证记录
-docs/runbook        启动/备份/恢复/配置说明
-scripts             dev/ci 辅助脚本
-```
-
-约定:
-- 所有共享类型只在 `packages/contracts` 定义;web 不得手写与 server 重复的 DTO。
-- `packages/domain` 不 import 任何 IO 库,100% 可单元测试。
-- 每个包有 `src/index.ts` 作为唯一公开入口;跨包只通过入口引用。
-- 命名:表名 snake_case 与 REQ §12 实体名一致;TS 类型 PascalCase;能力 ID 用 `域.动作`(如 `download.submit`)。
-- 提交:conventional commits(`feat(server): ...`),每个子任务结束前 `deno task ci` 必须绿再提交。
-- 凭证一律 secret reference(`secret_ref` 列 + 加密存储),日志/错误/模型上下文脱敏;含 passkey 的 URL 不得进入日志。
-
-## 3. v0.1 范围(= REQ M0 + M1 纵切,可在无真实 PT 账号下用 mock 全链路验证)
-
-### 3.1 必做
-1. **底座**:monorepo、配置(env + settings 表)、迁移、API Key 鉴权(scope:read/organize.read/organize.execute/admin)、审计日志 `audit_event`、SSE 事件流(带序号可补读)、全局"自动化总开关"。
-2. **数据模型**(REQ §12 子集,表名照抄):media_entity、content_unit、external_identity、identity_revision、title_alias、media_asset、asset_location、path_binding、library_root、site_account、feed_source、observation、source_release、subscription、policy_revision、acquisition_slot、preference_tag、preference_suppression、acquisition_plan、download_task、asset_operation、decision、approval、automation_grant、agent_run、artifact、audit_event、outbox_event、reconcile_run、server_mapping、api_key、organization_record、organization_file_result、downloader_instance、media_server_instance、settings。
-3. **来源**:多 RSS 抓取(ETag/Last-Modified、重叠窗口、GUID+摘要去重、退避/熔断、passkey 脱敏)、观众(NexusPHP 列表/详情/下载,参考 MovieClaw audiences.yaml 结构)与馒头(API Key)两类站点适配器、站点快照缓存 + 实时补查 + 站点启停 + 站点级限流。
-4. **身份与元数据**:发布标题解析(对照 MP MetaInfo 行为:标题/年份/季集/分辨率/来源/编码/发布组/版本)、TMDB 查询与缓存、本地实体优先 + external_identity 映射(provider+type+id 唯一)、title_alias 模糊召回(pg_trgm)、临时 content_unit、待识别池。
-5. **规则与选片**:subscription(单次/持续追踪)、acquisition_slot(硬条件/软偏好/升级阈值/完成条件,状态机 empty→reserved→downloading→verifying→satisfied/upgrade_pending/attention)、确定性 evaluateAcquisition(不含 Agent 主观选片,只留接口)、每日预算与并发限制、优先级(即时>追更>新作品>升级)。
-6. **下载**:qB WebUI 适配(多实例、管理标签、提交/接管/查询/暂停恢复)、缓存卷硬阈值与恢复水位(暂停范围仅限纳管任务)、download_task 状态机、无进展只记录不换源。
-7. **入库**:verifyAndImport → Copy/Move(临时文件+校验+提交;跨卷 Copy→核验→删源;EXDEV 不静默降级)、路径绑定固定(已绑定目录不因译名变化改变)、organization_record + 文件级结果、**公开整理记录 API**(API Key、游标增量)。
-8. **持久任务**:ingestFeed、resolveObservation、evaluateAcquisition、submitDownload、verifyAndImport、refreshMetadata、reconcileLibrary(资产存在性)、cleanupDownloadCache、resolveDecision;outbox;重启恢复;幂等键;取消传播。
-9. **Agent**:Pi AgentSession 封装;能力注册中心(ID/版本/schema/权限/风险/幂等/预览/处理器),首批能力:catalog.lookup、release.search、release.inspect、identity.resolve、download.plan、download.submit、organize.plan、organize.execute、task.inspect、task.retry、task.cancel、policy.preview、policy.apply、inventory.query;授权校验在服务端;agent_run 持久化 + SSE 增量;后台事件触发有界 Agent 任务(识别歧义、下载失败诊断);设置页可配上游/模型/思考档位/上下文预算/压缩/子代理开关。
-10. **控制台页面**(REQ §13):首页六区块(自动化概览/当前工作/需要我处理/缓存与保留/来源健康/最近产出)、媒体库(列表+详情:路径/身份映射/元数据来源/Slot/候选拒绝理由/下载历史)、订阅与收录规则、偏好标签(基础 CRUD+抑制记录)、PT 站点工作台(整理视图:列表/搜索/详情/库存叠加/统一下载入口;原站视图首版只留占位与说明)、来源/Feed/快照、下载与任务(含业务时间线)、整理记录、待处理中心、身份与元数据、系统设置(实例/路径映射/API Key/Pi 上游与预算/自动化开关)、Agent 会话页 + 侧栏、**工作流引擎面板**(用户 2026-09-27 明确:把 OpenWorkflow 自带 Dashboard 的功能用本项目组件复刻并集成进控制台,走管理员登录;runs 列表/筛选、run 详情(步骤/attempts/输入输出/错误/时间线)、workers 与队列统计、cancel/retry 操作;数据经服务端 API 直接查 `openworkflow` schema;参照 `docs/design/openworkflow-dashboard-reference.md`;注意:官方面板包 @openworkflow/dashboard 是 Proprietary,不能复制源码,只参考信息架构并直查同一 schema 用本项目组件重写;0.10.1 无 rerun API,重跑通过我们自己的 enqueue 实现)。
-11. **可选 Emby 兼容查询**:多实例,查有无/季集/版本,未知≠缺失。
-12. **运维**:`scripts/backup.sh`(pg_dump + 映射导出)、恢复后只读对账模式开关、docker 打包:**除 PostgreSQL 外全部塞进一个容器**(单镜像内跑 API + worker + 托管 web 静态产物,单端口对外;compose 只有 app + pg 两个服务)、runbook。(用户 2026-09-27 明确)
-14. **管理员登录门禁**(用户 2026-09-27 明确):单管理员账号密码登录(首次启动初始化/设置向导),会话 cookie(HttpOnly、SameSite)+ 登录页 + 未登录跳转;密码哈希(argon2/scrypt)、登录限速与失败锁定、会话吊销、可选 TOTP/Passkey 二次验证;控制台走会话鉴权,外部程序走 API Key。实践参考 `/opt/uhd_doc` 项目(见 `docs/design/auth-reference.md` 调研结论)。
-13. **测试**:domain 单元测试;adapters 对 mock 服务的集成测试;端到端:mock RSS → 观察 → 识别 → 计划 → mock qB 下载完成 → Copy 入库 → 整理记录 API 可读;Agent e2e:fake 模型按脚本调用能力完成"把 X 电影 1080p 收进来"闭环;崩溃恢复注入(worker 中断后续跑)。
-
-### 3.2 v0.1 明确不做(留接口/占位)
-国产综艺分段建模与正片覆盖(M2)、双版本 require_distinct_asset 组合校验(M2,但 Slot 多目标数据结构先建好)、浏览器/camofox 接入与原站视图(M2,BrowserProvider 接口定义先落)、HHClub/CHD 适配(M2)、旧库分范围接管预览(M2)、Agent 主观选片与规则学习回放(M2)、媒体级主动整理 UI(M2,organize.plan 能力可用)、多用户。
-
-## 4. 里程碑与派工波次
-
-- **W0 底座**(并行):A 脚手架与设计系统迁入;B OpenWorkflow+Pi 兼容性 spike(结论进 ADR-002);C MoviePilot 迁移对照账本(识别/刮削 + 转移入库)。
-- **W1 领域与适配**(并行):domain(解析/身份/Slot/路径/整理计划)、adapters(qB/RSS/站点/TMDB/Emby)+ testkit mocks、db schema 全量迁移 + contracts 全量 schema、tasks 引擎接入。
-- **W2 服务编排**:server API 全量路由 + 任务处理器串起纵切 + Agent 能力注册与 Pi 封装。
-- **W3 控制台**(按页面分组并行)+ e2e。
-- **W4 集成验收与修复**:跑 §3.1 第 13 条全部;补 runbook;打 tag v0.1.0。
-
-每波结束的验收由独立审查子代理执行:`deno task ci` 绿 + 对照本文件逐条勾选 + 抽查 REQ §2.1 五原则未被破坏。
-
-## 5. W2 服务编排拆分(2026-09-27 定稿)
-
-服务端模块布局:`apps/server/src/modules/<area>/{routes.ts,service.ts,handlers/*.ts}`,每个模块导出 `registerRoutes(app)` 与任务处理器注册函数;`http/app.ts` 与 `worker/index.ts` 各维护一个模块列表,每个子任务只追加自己的一行。跨模块只通过 DB 表 + `outbox_event`(事件类型在 contracts/events.ts)+ contracts 类型耦合,不互相 import service。
-
-| 子任务 | 范围 | 关键交付 |
-| --- | --- | --- |
-| W2-A 认证/设置/实例/引擎面板 | 管理员登录门禁(照 docs/design/auth-reference.md:argon2id、session 表、setup token、限速落表、改密吊销)、settings、api_key 管理、secret 加密服务、downloader/media_server 实例与 library_root/path_mapping CRUD、审计查询、SSE 总线改 PG 通知(多进程)、引擎面板只读 API(openworkflow schema)、自动化总开关 | 登录/会话中间件供其他模块用 |
-| W2-B 来源/身份/元数据 | site、site_account、feed_source CRUD 与启停;站点快照缓存与实时补查;ingestFeed/resolveObservation/refreshMetadata 处理器;observation/source_release 写入与多层去重;identity 解析(TMDB + title_alias 召回 + domain.resolveIdentity)→ media_entity/content_unit/external_identity;待识别池与 decision API;人工纠错映射 API;站点工作台数据 API(列表/搜索/详情 + 库存叠加) | 发出 `release.resolved`、`decision.created` 事件 |
-| W2-C 规则/下载/入库/整理记录 | subscription、acquisition_slot、policy_revision、preference_tag(+suppression)CRUD;evaluateAcquisition/submitDownload/verifyAndImport/cleanupDownloadCache/reconcileLibrary 处理器;download_task 与 qB 同步轮询、标签接管、缓存卷硬阈值与恢复水位;Copy/Move 执行(adapters/fs + domain/organize)、path_binding 固定;organization_record 写入与公开增量 API(API Key);Emby 库存查询接入;媒体库列表/详情 API;首页六区块聚合 API | 消费 `release.resolved`;发出 download.*/organization.* 事件 |
-| W2-D Agent 装配 + e2e | 14 个能力的 handler 接到 A/B/C 的服务;authorize(grant/approval)与 audit 注入;Agent 会话 API + SSE 增量;后台触发(识别歧义、下载失败诊断→有界 agent 任务);resolveDecision 处理器;fake 模型 e2e:"把 X 电影 1080p 收进来"闭环;RSS→入库 e2e;崩溃恢复注入 e2e | W2-A/B/C 完成后开始 |
-
-## 6. v0.1 追加范围(用户 2026-09-27 晚间确认)
-
-- **订阅业务逻辑对标 MP 并增强**:补 `docs/porting/moviepilot-subscribe.md` 迁移账本 + `docs/plan/05-subscription-gap.md` 差距清单,按清单补做(缺集计算、洗版、状态机、规则组、自动停止等),REQ §6 的增强点须落地。
-- **文件管理页** `/console/files`:对标 MP 文件管理全部功能(目录浏览、重命名/移动/删除/新建目录、识别、整理、刮削、探测)并更好用(批量整理向导、dryRun 预览、拖拽、虚拟滚动),规格 `docs/plan/06-file-manager-spec.md`;安全:路径守卫、回收站、授权、审计。
-- **Agent 会话页体验**参考 https://www.agentui.pro/(`docs/design/agent-ui-reference.md`)。
-- **转移语义补齐**(来自 `docs/porting/moviepilot-rust-transfer.md`):挂死隔离、partial 清理、EEXIST 误报修复、onExisting 接线、TIMEOUT 错误码;空目录清理/hardlink/蓝光原盘留 W5。
-- **MP Rust 加速函数的产品逻辑差分核对**(`docs/porting/mp-rust-logic-parity.md`)后按漏迁/bug 清单补迁。
-
-## 7. v0.2 方向(用户 2026-09-28)
-- Pi 上游全覆盖:pi-ai 全部 provider + 订阅式 OAuth 登录(Codex/ChatGPT、OpenCode Go、Claude、Copilot、Google 等),多上游共存与默认上游,服务端 token 刷新;方案 `docs/design/pi-providers.md`。
-- 控制台信息架构重构:参考 MoviePilot 前端("发现→订阅→下载→整理→设定"流程;设定按接入对象分区),方案 `docs/design/console-ia.md`,用户审阅后实施(nav/路由重定向、设置页重构 + settings 迁移、页面合并)。
-- **Pi 子代理**(用户 2026-09-28):SDK 无子代理,自研 `agent.spawn` 能力:父 run 派生有界子 run(同 runAgent 任务、独立会话文件),继承父授权上限、共享总预算与取消状态、并发上限(settings.pi.subagents{enabled,maxConcurrent,maxDepth}),子结果回填父会话为工具输出;UI 在会话页显示子会话树。
-- **定时任务看板**(用户 2026-09-28,参考 MP「服务」页):`scheduled_job` 表 + 注册表统一管理所有周期任务(feed 轮询、站点快照、订阅搜索、qB 同步、对账、缓存清理、回收站清理、Pi token 刷新、备份、待识别复查)与「Agent 巡检」(目标模板、能力白名单、预算、触发条件);每项:间隔/cron、开关、立即执行、上次/下次运行、最近结果与耗时、失败原因、历史;各模块的 `start()` 计时器改为向注册表登记;页面做成看板(卡片分组:采集/下载/整理/维护/Agent 巡检)。
-
-## 8. v0.2.1 方向(用户 2026-09-28 上午)
-- **站点中心一处搞定**:资源 → 站点页 = 添加站点 + 凭证管理(账密 / Cookie / API Key,馒头 API Key)+ 站点卡片/列表(上次登录时间、上传/下载、分享率、用户等级、VIP、账号状态,数据来自 `sites/user-parsers` 的 `refreshSiteUserData`)+ 手动"检测健康"与"用凭证刷新登录状态";账密登录走 NexusPHP takelogin(验证码/二次验证失败 → 待处理并提示改用 Cookie);设置里只留全局默认(限流、快照周期)。参考 MP 站点管理页与 MovieClaw 站点卡片。
-- **概览/仪表盘对照 MP**:保留 REQ 六区块,补 MP 仪表盘有价值的区块(媒体库统计、存储用量、下载器实时状态、最近入库、定时任务状态),砍重复。
-- **订阅重做**(用户 2026-09-28):参考 MP 订阅页再增强——总览按状态(追更中/待搜索/已完成/暂停/待定)与上次更新时间分组;每条订阅显示库内已有 vs 订阅要求的对比(季/集覆盖、版本目标);多版本目标逐个显示缺失并可配置"自动补全其他版本";日历/即将播出可选。规格 `docs/design/subscriptions.md`。
-- **收录策略 + 偏好标签二合一**:参考 MP 规则组(过滤规则字符串 + 优先级 + 订阅默认规则),做成一个"规则"页:硬条件/软偏好/优先级阶梯/排除,订阅与 Agent 引用;偏好标签作为规则的展示形态保留抑制记录语义。
-- **整理命名模板语法**:对标 MP 重命名格式(Jinja 风格变量:title/year/season/episode/资源信息…),实现模板引擎(安全子集)+ 设置页表单(变量清单、示例、实时预览)+ 库根/作品级覆盖;整理与文件管理按模板生成路径。规格并入 `docs/design/subscriptions.md` 或单独 `naming-template.md`。
-- **导航定稿(IA-3,用户 2026-09-28 两次意见)**:概览(首页、Agent 会话)/ 资源(站点、RSS 订阅)/ 订阅(订阅、规则)/ 整理(下载面板、整理记录[已整理/队列中/成功/失败/重名拦截,参考 MP 历史记录]、文件管理、媒体概览[原媒体库:本地账本=实体/外部映射/字段锁/资产与路径绑定/版本目标状态;筛选含待识别;详情含身份映射/历史])/ 系统(设置、定时任务、引擎面板、审计)。待处理不作分类:顶栏收件箱(角标)+ 首页区块 + 页面内联;"身份与元数据"取消;"业务任务"并入引擎面板;下载计划/缓存水位并入下载面板;整理记录公开接口不变。一级导航 19 → 13 项。
-- **文件管理再做一轮**:对照 MP 文件管理逐功能比,按我们的逻辑重整前端(规格 06 基础上补 `docs/design/file-manager-v2.md`)。
-- **全局搜索入口**(用户 2026-09-28,对标 MP 顶栏搜索 + 资源搜索页):顶栏搜索框 + `Ctrl/⌘+K` 命令面板;`GET /search?q=&scope=`聚合:本地作品(title_alias trgm)、TMDB 候选(可订阅/查看)、跨站资源(已启用站点搜索,限流 + 15s 超时 + 并发合并 + 短缓存,库存叠加,可下载/委托 Agent)、页面与操作跳转;结果页 `/console/search?q=` 支持筛选(站点/分辨率/来源/大小/免费/HR)与排序,资源行操作同站点工作台。
-- **系统组收敛(用户 2026-09-28 讨论)**:设置 / 定时任务 / 运行日志(Tab:任务运行=引擎 runs 补业务字段与触发来源、审计、进程与健康=api/io worker/agent worker 心跳、事件循环延迟、SSE 连接数、DB、磁盘与挂载根状态)。定时任务卡片历史跳运行日志对应 run。最终一级导航 12 项。
-- **IA-3 最终定稿(用户 2026-09-28 认可)**:概览(首页、任务、Agent 会话)/ 资源(站点、RSS 订阅)/ 订阅(订阅、规则)/ 整理(下载面板、整理记录、文件管理、媒体概览)/ 系统(设置、审计、运行状态)。统一"任务"概念:每次运行不分来源(定时/事件/手动/Agent)都是一条任务,带业务含义与时间线,引擎 step/attempt 只是详情折叠区;引擎面板与业务任务页取消;任务页 Tab"计划"承载定时任务配置(看板迁入),运行历史即任务流;首页增加"计划"带(下一次运行/启用数/快速开关)与正在进行/最近完成失败/待处理区块;待处理为顶栏收件箱。系统:设置、审计(任务详情链到相关审计)、运行状态(进程与健康)。共 12 项。
-
-## 9. v0.2.1 收尾(用户 2026-09-28:遗留项先做完)
-A 订阅收尾(日历、重置、keywords/库根/保存路径接入搜索与下载提交、MP 分辨率/来源/特效字段映射);B Agent/账户收尾(await 用 waitForFact 不占槽、TOTP 二维码、Passkey、主密钥轮换);C 文件管理契约 G6–G8 + DataTable groupBy + QA U6/U11(标点规范定稿并全站执行);D 性能与清理(inventory/media-servers 并行、识别远端查询入队、开发库测试残留 schema 清理脚本 dry-run);E 浏览器:camofox BrowserProvider 完整实现 + 站点工作台原站视图(截图流/点击输入/接管租约),mock 验证,真实实例待用户提供。
-- **Agent 交互改为自动化优先(用户 2026-09-28)**:取消 plan_only/execute 模式;每会话默认执行;`agent.plan` 工具产出结构化计划 → 会话页 TodoList 实时更新;需授权动作在步骤处内联审批卡;`agent.propose_options` 让模型给 2–3 个方案供用户选择;"先给方案"作为会话内选项。**工具与 MCP 可视化**:设置 → Agent → 工具与 MCP:能力清单(id/作用域/风险/幂等/重放/当前授权状态/7 天调用与失败率)、我们对外的 MCP 服务端点(补实现:同一能力集,API Key 鉴权,REQ R13)与状态;会话页工具卡片可看 schema 与本次 IO。C1-B 提交后实施。
-- **缓存与限流(用户 2026-09-28 讨论定稿)**:不引入 Redis/Deno KV。站点限流改跨进程:PG 令牌桶表(`SELECT … FOR UPDATE` 扣令牌),api/worker/worker:agent 共用;搜索结果、TMDB 响应等短期缓存进 PG `UNLOGGED` 表 + TTL + 定时清理;站点快照保持普通表;进程内只留小 LRU 热点缓存。TMDB 图片可用 Web Cache API 落盘。
-- **TMDB 缓存与图片(对照 MP 定稿)**:不用 Web Cache API。TMDB 原始响应(搜索/详情/季集)进 PG `UNLOGGED` 表 + 24h TTL(未命中 30 分钟),三进程共享;识别结果本身是账本(external_identity/identity_candidate)。海报显示 + 图片代理(`/img/*`,参考 MP application/image.py):`DATA_DIR/cache/images` 按 URL 哈希落盘、ETag、大小上限与清理任务。
-
-## 10. 需求覆盖与后续计划(2026-09-28)
-
-逐条对照见 `11-requirements-coverage.md`。当前 main 相当于 REQ 的 M0 大部分 + M1 全部(仅 mock 环境)+ M2 约三分之一:R01–R32 已做 18、部分 11、未做 0、待真实环境验证 3;AT01–AT80 完整测试 44、部分测试 26、仅手工 2、未覆盖 8。不能称为 M2 首版候选。
-
-### 10.1 v0.3(M2)建议范围
-
-按 `11` §6 的优先级,分三组:
-
-1. **核心差异化(必做)**:综艺分段与正片覆盖(节目级附加内容策略、完整版与分段的替换规则);`require_distinct_asset` 接进 Slot 落定;旧库分范围接管(首次扫描 → 登记 → 预览影响 → 按库根 / 作品开启,先修 `scanIncremental`)。
-2. **真实环境核验(拿到环境即做)**:四站账号核验并补观众 H&R 选择器;camofox 按 `docs/runbook/browser.md` §6 核验同会话接管;一个真实 Pi 上游跑 e2 纵切;真实 Emby 验证后让已确认库存参与收录决策。
-3. **自动化与可靠性**:Agent 偏好选片(独立预算、理由落计划);规则学习与样本回放;委托换源的替换计划;备份恢复演练自动化;测试补缺(AT18、AT29、AT42、AT73、流程版本升级)。
-
-NFO / 图片投影、身份巡检与挂载根因聚合、HTTP 失败自动切浏览器、调查整个 qB 实例放在 v0.3 后半或 v0.3.x;Transmission / Plex、Skill 管理、业务 CLI 仍属 M3。c2a(跨进程限流与 PG 缓存)合入后再开 v0.3 的真实站点核验,避免真实站点在多进程下超限。
-
-### 10.2 需要用户提供才能推进
-
-| 项 | 用途 |
-| --- | --- |
-| 观众、馒头、HHClub、CHD 各一个可用账号(Cookie / 账密 / 馒头 API Key) | 四站真实核验、真实样本集、H&R 字段 |
-| HHWEB 所指站点的准确域名;另外 1–2 个要接的站点 | 确认是否就是 HHClub,补站点定义 |
-| qB WebUI 地址、账号、管理标签名;下载目录在容器内外的路径 | 下载器实例与路径映射 |
-| 媒体库根路径与共享挂载方式(NFS / FUSE / mergerfs);现有目录命名样例 | 库根登记、旧库接管、命名模板默认值 |
-| Emby / Jellyfin 地址、API Key、版本 | 真实库存查询与分页 / 认证验证 |
-| camofox-browser 的仓库或 fork、版本、服务地址、访问凭据 | 原站视图与同会话接管核验 |
-| Pi 上游:至少一个 API Key 上游,可选一种订阅登录 | 真实模型纵切、思考档位与压缩验证 |
-| 综艺节目清单与 3–5 个节目的真实发布标题 | 分段覆盖规则与评估集 |
-| 电影 / 剧集 / 综艺各自的版本目标(Slot)范围、Copy / Move 默认、H&R 与保留天数、缓存阈值 | 默认策略,避免把示例值当授权 |
-| 升级后旧版本保留多久;合并版出现后是否替换分段 | REQ §17.2 未定的两项默认值 |
-- **camofox 随部署提供(用户 2026-09-28 晚:没有自有实例,要求加上)**:compose 默认第三个服务 `camofox`(锁版本、内网端口、数据卷、健康检查),app 弱依赖;`BROWSER_PROVIDER_URL` 可覆盖为自有地址,可通过环境变量关闭;真机核验 REQ §4.7.4 六项,通过项才置 `verified`。
-- **原站视图改用 Webtop 4.0(用户 2026-09-29)**:基于 linuxserver Webtop 4.0(Wayland + Selkies)提供真正的远程桌面画面,桌面内以有头模式跑同一个 camofox(Agent 仍经 camofox API 驱动,满足"同会话");完整中日文字体(Noto CJK)、中文/日文输入法(fcitx5 拼音 + mozc)、剪贴板双向;画面经我们的登录门禁反代嵌入,不暴露 Selkies 端口;方案 `docs/design/webtop-remote-browser.md`,不满足时保留截图模式回退。
-  - 追加(用户 2026-09-29):对比 Webtop 与浏览器镜像合一 vs 与本体镜像合一(协调者倾向前者:同会话、生命周期隔离、安全面、镜像大小);**视觉自动化闭环**:Agent 截图(多模态喂视觉模型)→ 坐标点击/输入 → 再截图,有界步数与预算,用于登录/验证码/交互式挑战;二次验证与本人设备确认不自动过;每步证据入待处理,失败转人工接管。能力:`browser.screenshot`(图片内容)、`browser.click_at`、`browser.type_at`、`browser.solve_challenge`(有界子流程)。
-- **上游模型列表一键获取(用户 2026-09-29)**:`POST /pi/upstreams/{id}/models/refresh` 按 provider 调远程模型列表接口(OpenAI 兼容 /models、Anthropic /v1/models 等),存库带时间,UI 可搜索选择 + 手填,失败回退静态表。用户已接入 OpenCode Go 订阅,Agent 能力测试统一用 DeepSeek V4.1 Flash(视觉部分需视觉模型)。
-- **AG-3 Agent 质量(来自 AGENT-REAL 真实上游验证,2026-09-29)**:补只读能力 subscription.list / decision.list / download.inspect(task.inspect 不再接收 download_task id);`download.plan` 的 requiresApproval 按授权范围判定;测试补全带 sessionId(OpenCode 需 x-opencode-session);等待期间 token/费用显示;超预算 run 在任务页标"超预算";同根因超预算不重复建待处理;汇报 Markdown 渲染;系统提示:禁止空/单字探查查询、参数类型(externalId 字符串)、子会话预算不超父剩余、中文思考与汇报、被中断时输出中文小结;重跑 AGENT-REAL 七场景。
-  - 进度(2026-09-29):除真机重跑外已完成——38 个能力(新增 3 个只读摘要,已进后台调查 / 巡检白名单);`coveringGrant` 与授权器共用;预算将尽提醒、被打断时丢弃中间过程文字;等待期间用量写回;任务页按 `business.outcome` 显示超出预算;超预算待处理按根因合并;汇报 Markdown 安全子集渲染;fake 模型 e2e 见 `apps/server/test/e2e/e15-agent-quality.test.ts`。开发库没有真实上游(只有 fake),AGENT-REAL a/e/g 真机重跑留给协调者重建用户栈后做。
-
-## 11. 状态(2026-09-29 凌晨)与下一步
-- 已交付:v0.2.4(v0.2.3 = Webtop 同会话桌面 + 视觉闭环 + Agent 质量 + 模型列表刷新 + Brave 搜索;v0.2.4 = 真机验收修复)。用户栈:app + 浏览器桌面(umt-browser-desktop:1.17.0)+ caddy(自签 HTTPS 443)+ postgres + 代理中继。
-- 真机已验证:TMDB(搜索/识别/订阅季集/海报/缓存)、camofox 桌面模式(同会话/中日文/剪贴板/接管口令)、视觉闭环(example.com 2 步)、Agent 四场景(OpenCode Go / deepseek-v4.1-flash)。
-- 待用户提供后真机验证:馒头 API Key、观众 Cookie、qB 地址、Emby;真实输入法(本机 IME 经 Selkies)与容器内 fcitx5 组字;四站选择器实测。
-- 遗留:子会话思考仍英文;`agent.spawn` 重复调用;camofox 空闲 5 分钟回收标签页(接管期间需心跳);地址栏越界与 `about:` 页限制;桌面单窗口跨站点可见性;§10 未做清单(综艺分段、旧库接管、双版本组合校验)。
-- **站点请求克制(用户 2026-09-29,憨憨接入)**:对真实站点的验证请求总量 ≤15 次/间隔 ≥10 秒;产品默认:快照 ≥30 分钟只抓首页、健康检测 6 小时、用户数据 6 小时、搜索并发 1、站点限流 1 次/3 秒突发 2、详情结果缓存 24 小时;站点页显示最近 24 小时请求次数。资源列表格式对照 MP 重做(主行标题+标签+促销/HR 徽标,副行副标题/分类/大小/做种/时间/库存叠加)。
-- **站点内添加 RSS 简化(用户 2026-09-29)**:站点详情里添加 RSS 只填地址与用途,站点/账号/解析器/轮询默认自动带出;来源页的任意 RSS 保留完整表单并按域名建议关联站点;提交后立即抓一次并显示条目数;passkey 脱敏显示。
-- **待处理泛滥治理(DEC-1,用户 2026-09-29)**:原因是每条 RSS 条目都查 TMDB,no_match 即建待处理事项(短剧类 66 条)。对齐 MP:资源只在匹配订阅或用户搜索时识别;改为惰性识别(本地解析+召回,TMDB 仅在命中订阅别名/新作品规则前置过滤/用户点开/搜索时查),未匹配进待识别池(可搜、有界复查、30 天归档),待处理只收相关且歧义的并按作品/来源合并;存量迁移入池;`identity.eagerTmdbLookup` 默认关。
-- **短剧等 TMDB 缺失作品的自助补全(META-1,用户 2026-09-29)**:能力 `metadata.enrich`(propose):Brave 搜索 + 受限抓取(平台页/百科类)→ 模型抽字段(标题/别名/年份/平台/集数/简介/海报 URL)带来源与证据等级 → 写本地临时实体与字段级元数据(source=web/agent,可锁可改,不冒充 TMDB);触发:池条目"补全"、订阅/规则命中但 TMDB 无结果、Agent 委托;按归一化标题缓存、每日预算;后续 TMDB 收录由身份巡检补映射;不改路径不下载。DEC-1 之后实施。
-- **Agent 快捷面板与会话排版(AGUI-2,用户 2026-09-29)**:抽屉内「当前/历史」Tab,历史列表可搜索筛选并在抽屉内打开(可续跑),"在页面打开"次要;会话页:阅读列宽、同回合分组、工具卡默认一行折叠、步骤清单改右侧栏/顶部折叠条不再 sticky 遮挡、预算在右栏底、长汇报折叠、输入区固定底部。
-- **凭据统一注入浏览器(BR-2,用户 2026-09-29)**:打开站点浏览器会话时服务端把账号 Cookie(手填或自动登录得到的)注入 camofox profile,截图/桌面模式无需再登录;交还/关闭/定时从浏览器回写 Cookie 到凭据存储,HTTP 抓取/RSS/快照共用;账号显示登录态来源与时间;Cookie 不进日志/模型。
-- **站点详情页抓取(用户 2026-09-29,憨憨 details.php)**【INT-2 已做,见 runbook/sites.md「详情页扩展内容」】:`SiteReleaseDetail` 扩展简介/MediaInfo/截图(经图片代理)/IMDb·豆瓣·TMDB ID/文件清单/标签/上传者;只按需抓(点开详情或评估缺字段),kv_cache 24 小时;详情抽屉展示;IMDb/豆瓣 ID 作为强证据进身份解析(TMDB find)。
-- **META-1 后续**:真机 4 条短剧在白名单站点均无结果——扩大抓取白名单(短剧平台/百科类/豆瓣搜索快照/Bing 摘要模式),必要时只用搜索摘要抽字段不抓页;记录命中率。【META-2 已做(分支 meta2,2026-09-30):来源分类 + 各来源抽取器 + 置信度合并、豆瓣与聚合站只用摘要、robots.txt、命中率表;Bing 不做(API 已停,抓结果页算绕过)。真机 4 条全部从搜索摘要命中,见 runbook/identity.md「真机记录(META-2)」】
-- **身份匹配对照 MP(ID-2,用户 2026-09-29)**:对照 MP recognize_media/tmdbapi 匹配链与 meta 中英名提取,用憨憨真实标题做差分集(MP Python vs 我们),修到持平或更好并固化差分测试;修复憨憨「英文 [中文]」格式、续作/年份权重、副标题中文名、同标题多版本合并;修后重评现有 identity_ambiguous。
-- **任务与计划分开展示(FE-6,用户 2026-09-29)**:概览组下"任务"(运行记录/状态,含详情与重跑)与"计划"(定时任务配置)为两个独立页;计划页改为按组的紧凑列表(名称/开关/间隔可就地改/上次结果与耗时/下次运行/立即执行/历史),计划页分两节:「自动任务」(程序确定性周期:紧凑列表)与「Agent 巡检」(Agent 自主决策:卡片,目标模板/能力白名单/预算/上游模型/触发条件/每次费用,历史链到会话);首页"计划带"分别计数并链接。
-- **缓存与存储预算(CACHE-2,用户 2026-09-29 讨论,按 4C/8G/100G)**:统一 kv_cache 各 region TTL 延长(TMDB 搜索 7 天/详情 30 天/未命中 1 天,追踪作品按访问续期;站点详情 7 天但促销/HR 下载前复核;网页搜索 1 天);图片缓存改容量 LRU 20GB;PG 内存 shared_buffers 2G/effective_cache_size 5G/work_mem 32M(容器 3G);磁盘分配 PG ≤25G(20G 告警)/图片 20G/备份 20G(14 份)/会话与证据 10G;保留策略定时清理:观察 90 天、SSE 7 天、心跳 24h、任务运行 60 天、Agent 事件 90 天、审计 180 天、能力统计 90 天、待识别池 30 天归档;高流水表 created_at 索引 + autovacuum 调优 + 每周 ANALYZE;运行状态页"存储"一节;设置「自动化 → 存储与保留」。
-- **中文名回退链与每集元数据(MD-1,用户 2026-09-29,Severance 无简中名)**:`metadata.languages` 回退链 zh-CN→zh-SG→zh-TW→zh-HK→en-US;translations/alternative_titles 入别名;每集 name/overview/air_date/runtime/still 字段级入库;媒体详情页对照 MP(背景图/海报/评分/类型/主创/季折叠/每集行含剧照与库内状态);`POST /media-entities/{id}/refresh?full=1` 补齐存量。
-- **浏览器会话重启自愈(BR-3,用户 2026-09-29 反馈"标签页不存在或已关闭")**:camofox 重启后旧 tab 404 → 服务端自动重建上下文、注入 Cookie、回到原 URL 并重试;`POST /browser/sessions/{id}/reconnect`;前端自动重连一次并提示;容器实例变化时全部会话标 needs_reconnect。
-- **VER-3 真机核对(2026-09-29)**:通过——登录态注入、搜索两阶段、待处理 6、Agent 抽屉、快照字段/时区/手机折叠;问题——严重:RSS 标题「[电视剧]」前缀被解析为中文名导致 15 条误映射到《东北有个周东北》(ID-2 修:分类前缀、别名守卫、快照更新重解析、错映射撤销脚本);中:RSS 条目未规范化(分类/大小/标题)、详情页只抓到 MediaInfo/豆瓣/标签(HH-2 修);低:请求计数不持久、「12 Memories」误判 E12、会话页乱码字符、原站视图默认显示「Agent」。
-- **数据治理后续(FIX-6 之后)**:全量回刷覆盖季 0(特别篇);TMDB 已确认的季集单元由临时转正式(沙丘:预言 仍为临时);同作品同季同集重复临时单元合并(征途 E09/E10 各 3 条);清理脚本修正后对用户库 dry-run 为 0 删除,未执行 apply。
-  - DH-1 已做(分支 dh1):`metadata.includeSpecials`(缺省开)full 刷新 / 回刷含季 0;刷新时对上 TMDB 季集结构的临时单元转正式(`content_unit.source`,迁移 0053);重复单元合并(refresh 一步 + `identity-cleanup.ts --merge-duplicates`),懒建加咨询锁防竞态。用户库只读 dry-run:征途 S01E09/E10 各 4 条 → 各保留 1 条,共删 6 条,未 apply。见 runbook metadata.md / identity.md。
-- **去 AI 味改造(DEAI-2,用户 2026-09-29 拍板)**:"版本目标"全站改名「收录版本」;ID/hash/token/耗时/trace/原始字段默认折叠进「技术信息」(设置可改默认展开);"Agent 上游"改名「模型服务」;首页只回答"在忙什么/要我处理什么/最近入库了什么",去掉运行状态与计划两块;计划页维护类任务收成一行「数据清理」可展开;"未经核查"只在最终汇报保留一处;错误码不直接显示给用户;"无法确定作品"事项主按钮为「指定作品」;其余按 `docs/design/de-ai-review.md` P0/P1/P2。
-- **搜索快速筛选(SEARCH-3,用户 2026-09-29,对照 MP)**:搜索结果与站点资源列表顶部多选筛选条:分辨率、编码、版本类型(原盘/Remux/蓝光压制/WEB-DL/HDTV)、站点、促销、HDR/DV、制作组、季集;选项从当前结果聚合并显示计数,可组合、可清除、记住上次选择。**已实现(分支 search3)**:`qf` 参数与分面口径见 `docs/runbook/search.md`「快速筛选」。
-- **计划页与智能体(用户 2026-09-29 追加)**:计划页「Agent 巡检」不应沉底,移到上方;自动任务按分类分组、每组可折叠(并入 DEAI-2)。用户可见的"Agent / Agent 会话"统一改称「智能体」(并入 DEAI-2)。智能体对话整体偏繁琐、无效信息多 → AGUI-3 先做只读易用性审查出方案,DEAI-2 合并后再落地。
-- **入库版本可见(LIBV-1,用户 2026-09-29)**:以《人生切割术》为例,作品/季/集只显示"已入库"不够,要显示入库的是哪个版本(分辨率、来源、编码、HDR、制作组、大小、文件位置),同一集多个文件并列;为之后的"多版本收录目标"打地基(数据模型一集可挂多个版本,与「收录版本」目标可比对:已满足/缺哪个版本)。
-  - 状态(libv1 分支):已实现。模型沿用 media_asset + asset_unit_coverage(一集多资产),规格规范化写 `media_asset.delivery`(`specVersion` 口径,domain `versionSpecOf` = 文件名 + ffprobe + 入库时的资源解析);`GET /library/{id}/versions` 返回每季每集版本、季 / 作品汇总、单目标比对 `matches[]`(satisfied / missing / upgradeable,多目标按数组追加);整理入库时写全规格;旧数据用 `scripts/asset-spec-backfill.ts` 回填(默认 dry-run,`--probe` 只对本地文件跑 ffprobe,`--apply` 写库)。前端:季头汇总行、每集一行规格、「N 个版本」展开、技术信息折叠(待 DEAI-2 TechInfo 合入后统一)、电影「入库版本」面板。
-- **智能体对话重做(AGUI-3,审查见 `docs/design/agent-chat-review.md`)**:按报告 P0/P1 落地,DEAI-2 合并后从新 main 开。协调者裁定:"选定方案即批准"只在方案绑定同一 planId+payloadHash 且卡片写明动作要点(对象、大小/数量)时成立;删除、覆盖类动作仍需单独确认;"先看方案再执行"改为单次指令 `/先给方案`。
-  - 状态(agui3 分支):已实现 P0 + P1。会话流改成「用户消息 → 一行进度(`CAPABILITY_ACTIVITY` 的 verb/noun 人话计数,1 次调用也折叠,展开每步一行,工具名 / ID / 思考进技术信息)→ 结论正文 → 没做:… [批准并重试] → 一行实际结果」;`agent.plan` / `agent.propose_options` 不再作为工具调用出现(旧事件回放时一并跳过);去掉右侧栏与页头目标,步骤 / 子会话 / 模型 / 预算进顶部概况条;方案卡一键选定(推荐项第一位、风险折叠、「都不要…」),审批卡只留摘要 + 批准 / 拒绝;抽屉去 Tab,头部「历史」弹层(最近 20 条,等你处理置顶,子会话收在父会话下)+「新对话」;列表筛选只剩搜索 + 全部 / 等你处理 / 失败;输入区只有输入框 + 发送 / 停止,空态 3 个快捷目标,`/先给方案`、`/重跑`,上下文显示名称标签。
-  - 选定即批准:`agent.propose_options` 的方案可带 `action`(capabilityId + planId);服务端提出方案时按计划当前 payload hash + revision 绑定并生成动作要点(对象、大小 / 文件数),管理员会话选定时建一份 `scope.via = option` 的已批准审批,执行时 `optionApproval` 核对能力、计划类型 + ID、hash、revision、有效期后放行;API Key 作答只选方案;移动 / 替换文件的整理、发布策略(覆盖)不算批准,执行前照常出审批卡。「批准并重试」:非计划类能力建一条只覆盖该能力、当天只能成功一次、1 小时过期的持续授权再追加消息重试;计划类能力只追加消息,重试时照常出审批卡。
-  - 旧设置:「先看方案再执行」开关原本只是每次新建时的本地状态,没有存进设置,无需迁移;API 的 `proposeFirst` 与旧会话 `scope.proposeFirst` 照常生效。
-  - prompt:新增「汇报格式」一节(第一句结论、用名字不写函数名 / 字段名 / UUID、≤10 行、多个资源才用表格),证据规则改成"写名称和关键数值";子会话与视觉子流程(`audience: "agent"`)不加。回归测试 `packages/agent/test/system-prompt.test.ts`。
-  - 偏离报告:verb/noun 放在 contracts `CAPABILITY_ACTIVITY`(报告写的 `capabilities-metadata.ts` 实际是 metadata.enrich 的处理器);「模型说的(未经核查)」卡删除,"未经核查"只留在实际结果行的技术信息里一处。截图 `apps/web/test/screenshots/agui3/`(before / after,mock 数据,不进 git)。
-  - 顺手修(协调者追加):e15「超预算」偶发失败是产品竞态——`finalize` 先把会话写成 budget_exceeded、再 upsert 超预算待处理事项,负载下观察者看到终态时事项还指向上一次运行。改为先写事项与任务行、最后写会话终态。
-- **SEARCH-3 后续(协调者截图复核)**:新筛选条下方仍保留旧的一行(大小/免费/H&R/排序/清除筛选),"免费"与「促销」维度重复、"清除全部"与"清除筛选"并存 → 并为一行:H&R 进分面,大小与排序放右侧,只留一个"清除";元信息行的耗时进「技术信息」。DEAI-2 合并后处理。
-- **LIBV-1 后续(协调者截图复核)**:每集都挂一个"技术信息"开关太碎 → 点整行展开;"2 个版本"展开后第二个版本出现在第一个版本的技术信息里,应并列成同级行;"可升级:分辨率 1080p 不在允许列表 [2160p]"改人话("可换成 2160p");统一改用 DEAI-2 的 TechInfo 组件。
-- **下载面板(DL-2,用户 2026-09-29)**:每个种子显示下载/上传速度(及总速度);默认只显示未完成的;已完成的单独一个视图(Tab 或分段)。
-  - 状态(分支 dl2):`GET /download-tasks/board?state=active|completed`(两组计数、每种子速度/剩余时间/连接数、transfer/info 总速度,实时数据按实例缓存 2 s 并合并并发请求);最近一次整理结果带状态、原因码与未关闭待处理事项。前端分段记在本浏览器,页面可见时 4 s 刷新。**合并 main 后待办**:已完成行的失败原因改用 DEAI-2 的 `reasonLine`(现在只显示非内部码的原因),详情抽屉的实时数据放进 TechInfo 旁。
-- **文件管理(FM-2,用户 2026-09-29)**:左侧目录树再往左靠,页面主体做大(文件管理页用宽布局);调研除视频播放外可集成的基础预览,先出调研结论。→ 已做(分支 fm2):文件管理宽布局(目录树贴侧栏、可拖宽/折叠、手机抽屉);首批预览(文本/NFO 编码探测、字幕前 200 条、.torrent、图片尺寸);调研见 `docs/design/file-preview-research.md`。
-- **Worker 分道(WK-1,用户 2026-09-29 讨论后认可,排在本轮测试之后)**:不再拆进程;IO Worker 内分三条道——文件(整理/硬链接/ffprobe/校验,并发 2)、网络(站点/RSS/TMDB/搜索,3–4,单站限流另计)、维护(清理/回填/巡检,1,空闲时跑),并发可在设置调。拆进程的触发条件:心跳事件循环延迟在整理期间持续 >200ms,或整理需要贴近存储部署到另一台机器。
-- **v0.3.0(2026-09-29 打包)VER-5 只读核对问题 → FIX-7**:中——智能体旧会话汇报直出 UUID/能力名/原因码(新提示词只管新会话,展示层要兜底);进度行"步骤 6/6 全部完成"与展开"已完成 4/6(跳过 2)"不一致;"派出了 5 个子会话"实际 2 个(汇报数字要以系统事实为准);巡检目标原样显示 `{{now}}`、`{{openDecisions}}` 占位符;汇报称"下载器不在系统内"而 qB 已配置(查能力返回)。低——种子详情"未关联本地作品(unidentifiable)"直出码、"解析结果"JSON 默认展开;srt 被标"主文件 是";版本行悬浮按钮盖住大小/时间;作品页"还没有收录版本"与"4 个版本"易混;会话标题直出 ISO 时间与 download_failed。LIBV-1 回填已对用户库执行(5 个资产)。
-  - 状态(分支 fix7):根因与改法——① 汇报兜底:`components/agent/report-humanize.ts` 展示时把 UUID(按本会话工具结果与子会话配名字,认不出缩成"…")、能力 ID(换能力标题)、原因码(`reasons.ts` 补了能力错误、下载盘判定、站点登录、待处理类型,`cache:` 这类前缀按后半段查)换成人话,原文进「正文原文」折叠区,历史不改;② 概况条把跳过算进分子,步骤清单只数完成——统一为 `stepProgress`:「步骤 4/6 · 完成 4 · 跳过 2」;③ "派出了 5 个子会话"是进度行把 3 次被预算拒绝的 `agent.spawn` 也算进去(产品计数错):失败的调用不计入动作计数,实际结果行加「派出 N 个子会话」(会话树),汇报格式加"数量以工具返回为准";④ 巡检执行时占位符已正确替换(补单测),界面显示的是模板本身:改成名称标签,会话标题里的 ISO 时间转「9月28日 18:53」,`download_failed` 等码转人话;⑤ 该会话运行时 qB 尚未添加(会话 12:06,qB 12:09 建),但根因是智能体根本没有查下载器的能力(`site.list` 不含下载器),新增只读能力 `downloader.list`(下载器与媒体服务器、连通状态、管理的任务数);⑥ 种子详情按识别状态说人话、解析结果 JSON 跟随技术信息默认收起;"主文件"只认视频(整理把字幕登记成独立资产时其位置 is_primary 为真,文件列表接口按扩展名收紧);悬浮操作只在鼠标悬浮时出现,选中行不再常驻遮挡;作品页空收录版本写「没设收录要求」,版本行写「库里有 N 个版本」。追加:文件管理目录树改成与主面板同款圆角卡片(头部「目录」+ 折叠钮与工具栏第一行对齐,拖宽与折叠记忆保留)。截图 `apps/web/test/screenshots/fix7/`。
-- **导航与站点类型(IA-2,用户 2026-09-29)**:「任务」归入系统组;站点、订阅、规则合为一组(组名「获取」,用户原话"都算做规则",组名可再改);独立的 RSS 页取消——RSS 属于站点,在站点详情里管理;"站点"增加类型,PT 站之外的下载来源(公开 BT、自定义 RSS 源,以后 Torznab/Jackett/Prowlarr 等)都作为一种站点类型,各类型声明自己支持的获取方式(搜索 / RSS / 详情 / 登录)。
-  - 状态(ia2 分支):已实现。导航 4 组(概览:首页 / 计划 / 智能体会话;获取:站点 / 订阅 / 规则;整理;系统:任务 / 设置 / 审计 / 运行状态),组名常量 `ACQUIRE_GROUP_TITLE`;`/console/sources*` 只做跳转。站点 `kind`(pt / public_bt / rss_feed / torznab)+ `capabilities`(search / list / rss / detail / login / userinfo,类型 ∩ 站点定义,contracts `SITE_KINDS` / `siteCapabilities`);torznab 只定义 `TorznabSiteConfig`,不能添加。服务端调度 / 搜索 / 登录按 capabilities 判断(`sources-identity/site-kinds.ts`)。迁移 0055:孤立 RSS 按主机归入自定义 RSS 源站点;用户库只读核对孤立 RSS 0 条。详见 `docs/runbook/sites.md`「站点类型与获取方式」。
-  - 偏离与补充:获取方式比任务单多一项 `list`(列表抓取 / 快照,调度需要区分);"计划"仍在概览组(用户只提了任务);公开 BT 站目前没有站点定义,实际只有 RSS(有定义后自动获得搜索 / 列表);`POST /feed-sources` 不带站点时自动归入同主机的自定义 RSS 源(兼容旧调用方,而不是 400)。截图 `apps/web/test/screenshots/ia2/`(不进 git)。
-- **浏览器 UA 与指纹(BR-4,用户 2026-09-30:不着急,先研究明白)**:现状 HTTP 默认 Windows Chrome 140 UA、浏览器是 camofox(Firefox 内核)自生成 UA,同一站点账号 Cookie 两边互注 → UA 不一致。方向:每个站点账号一套固定 UA(跟随 camofox 的 Firefox)+ 固定指纹,浏览器与 HTTP 共用,不轮换,浏览器升级时同步。先做只读调研(camofox 能否按会话指定/持久化指纹、各站会话与 UA 绑定情况、MP 做法),出报告再定实现。
-  - 调研见 `docs/design/browser-ua-research.md`。用户决定(2026-09-30):对外伪装 **Windows**;全实例**一套固定指纹**(插件 `browser:launching` 首次生成落盘、之后复用);浏览器与 HTTP **按站点统一出口 IP**;站点适配器 / RSS 目前发 `Deno/2.9.7` UA 的问题**和 BR-4 一起做**(不单独先修)。cf_clearance 等 CF Cookie 回写时标"仅浏览器"。平滑迁移:下次重新登录 / 浏览器回写 Cookie 时原子切换 Cookie+UA。
-  - **已实现(br4 分支,待合并)**:固定 Windows 身份(插件落盘 `/root/.camofox/umt-identity.json`、`GET /umt/identity`)、站点请求 UA 全链路跟随浏览器(优先级 手动 > 待切换 > 全局 > 浏览器)、迁移 0056 待切换、CF Cookie 仅浏览器、出口按站点(浏览器按上下文代理,不再用容器环境变量代理)。运维与限制见 `docs/runbook/browser.md` §11;上线需重建 app + camofox。
-- **下载计划并入下载面板(DL-3,用户 2026-09-30 同意)**:acquisition_plan 后台保留(批准绑定、预算/空间预占、防重复、升级/换源追踪);界面去掉「下载计划」页签——等批准/等空间/等预算的计划作为「进行中」行显示(需操作的同时进待处理);已提交的计划并入对应下载任务,详情加「为什么下这个」;失败/过期进下载历史,细节进技术信息;用户可见处不再出现"下载计划",统一说"下载"。
-- **文件预览不加 ffmpeg(用户 2026-09-30)**:视频缩略图 / 截图条不做,镜像不引入 ffmpeg(+141MB);`docs/design/file-preview-research.md` 对应项标为不做。
-- 用户 2026-09-30:BR-4 直接做完上线;《征途》重复单元不再处理(刷新时自动合并即可)。
-- **用户 2026-09-30 决定**:短剧补全(META-1 后续)继续做;文件预览的音频 / 压缩包 / 原盘目录不做;修完零碎问题后接其他站点真机测试。
-- **每集简介英文(MD-2,用户以《心动的信号》为例)**:协调者核对——TMDB 匹配正确(103147),每期标题为 zh-CN;但 TMDB 上这些集没有中文简介,只有英文"简介"(实为标题英译),MD-1 的语言回退链把 en-US 填进了简介。改法:简介的回退链只到中文变体(zh-CN→zh-SG→zh-TW→zh-HK),不回退到英文,没有就留空并显示"暂无简介";标题仍可回退英文;存量数据按新规则重算(只读 dry-run 后应用)。**状态:已实现(分支 md2,待合并)**——adapters `overviewLanguages`(简介链)+ 设置 `metadata.overviewNonChineseFallback`(缺省关)+ 详情页「暂无简介」+ 存量重算 `scripts/overview-recompute.ts`(只读 kv_cache,缺省 dry-run);见 runbook metadata.md「存量简介重算(MD-2)」。
-- **零碎问题(2026-09-30 讨论)**:跨进程限流已在迁移 0041 做完,CHANGELOG「已知限制」过期条目删除;子会话思考英文 → 子会话系统提示补中文要求 + 测试;`agent.spawn` 重复调用 → 同目标去重(返回已有子会话);camofox 空闲 5 分钟回收 → 桌面接管 / 智能体会话打开期间由 app 定期保活,关闭后照常回收;憨憨 UA"待切换"→ 站点页「刷新登录」即可切换,不另做。
-- **智能体提示词与 Skill 工程化(AG-5,用户 2026-09-30)**:用户贴出一份汇报反例(`docs/design/agent-report-sample-bad.md`),要求"结构化地编写提示词和 Skill,充分考虑我们的情况做工程适配"。方向:系统提示分层(角色 / 环境事实 / 能力地图按意图 / 行为规则 / 汇报规则);按任务类型做 Skill(巡检、收录一部作品、入库问题排查、订阅追更、数据清理…),用 Pi agent-core 的 harness Skill 机制按意图加载;汇报规则:结论先行、人话单位、不直出内部字段、不让用户提供自己能查的 ID、授权缺失一句话 + 按钮;用固定提示集做前后对比评测(fake 模型 + 少量 DeepSeek V4.1 Flash 真跑)。
-- **E6 偶发(2026-09-30)**:合并 AG-4/AG-5 后全量 ci 一次 `e6-auto-recover` 两例"等待超时:qB recheck 调用",单跑与第二次全量均过(机器负载 4.8 时出现)→ 记为时序抖动,后续若再现再排查(疑似等待预算偏紧)。
-- **计划页智能体巡检卡片统一尺寸(FIX-9,用户 2026-09-30)**:卡片等高等宽,多出来的内容省略(目标一行截断、汇总固定行数),点开看详情。
-- **健康检查误判(HC-1,用户 2026-09-30 接观众站)**:"测试"登录成功但健康检测报"未登录"——健康检查抓 index.php 找 logout 链接,与用户数据解析两套判定打架;改为以用户数据解析成功为准并细化失败原因。
-- **观众详情页适配核对(DET-2)**:用真实详情页(≤3 次请求)逐项核对并修,脱敏样本进差分测试。
-- **Cloudflare 验证处理(CF-1,用户 2026-09-30)**:搜索入口有时随机出 CF 验证。先用浏览器复现并研究:HTTP 端遇 CF 挑战时的处理策略(浏览器过挑战后同步 cf_clearance+UA 重试 / 该请求改由浏览器执行并解析 / 站点级"走浏览器"标记与时效),对照 MP(FlareSolverr / CloakBrowser)与 BR-4 的固定身份,出方案后实现。
-  - DET-2 结果:观众详情页修了促销/到期、上传时间、做种数、hash、副标题、标签、上传者、简介清洗、截图过滤;站点没有 TMDB 与单种 H&R。**后续**:资源增加豆瓣 / IMDb 评分字段(页面有,本工具没字段);观众文件清单是点开后另加载的端点,待核对(需 1–2 次请求)。
-  **CF-2 已实现(分支 cf2,待合并)**:出口统一(站点请求明确直连 / 站点代理)、挑战不算凭据错误、浏览器过挑战级联(自动 / 视觉子流程 / 转人工)、
-  cf_clearance 有条件给 HTTP 重试、浏览器代抓与 6 小时浏览器代理期、站点页展示;见 `docs/runbook/sites.md`「Cloudflare(CF-2)」。
-- **刮削(SCR-1,用户 2026-09-30 问"刮削测试过了吗")**:协调者核对——**没做**:文件管理里的 scrape 只是把元数据刷进本工具的库,不往媒体目录写 NFO / 海报 / 剧照(runbook files.md 已注明"NFO/图片投影仍未做");示例库里只有 mkv/srt。照 MP 的刮削实现(tvshow.nfo / season.nfo / 每集 nfo / movie.nfo,poster / fanart / season-poster / 剧照,Emby/Jellyfin/Kodi 兼容),入库后自动刮削 + 手动刮削 + 覆盖策略,再在示例库上验证。
-- **搜索筛选对齐 MP(SEARCH-4,用户 2026-09-30)**:筛选维度太少,对齐 MP 搜索结果页的全部筛选(站点、季集、促销、分辨率、质量/来源、特效 HDR/DV、视频编码、音频编码、制作组/字幕组、字幕/语言、分类、年份、大小/做种等,以 MP 前端为准逐项核对);筛选弹层半透明看不清 → 改不透明实底。
-  **状态(分支 scr1)**:已实现——任务 `scrapeMedia`(文件道)、设置「刮削」、作品详情刮削状态与「重新刮削」、文件管理「刮削」;NFO 与 MP `TmdbScraper` 差分(登记差异见 `apps/server/test/scrape/nfo-deviations.json`);测试库 + 临时目录验证《人生切割术》S01 两集 + 《星际穿越》自动刮削。见 `docs/runbook/scrape.md`。
-  **SEARCH-4 已实现(分支 search4,待合并)**:新增音频、字幕、配音、特性、年份、分类、大小、做种 8 个分面(解析器补配音语言),筛选条按 MP 顺序、其余进「更多筛选」;
-  全站悬浮层改不透明实底。MP 对照表与不做的项(特效字幕、官种、3D、音乐音质)见 `docs/runbook/search.md`「与 MP 的对照」。
-- **刮削照 MP 简化(SCR-2,用户 2026-09-30)**:MP 在文件管理里对目录/文件直接"刮削"——按路径与文件名识别作品(可选 TMDB 匹配),就地在该目录生成 NFO 与图片,不要求先是本工具登记的资产;我们现在"仅有 active 资产的作品才能刮削"太复杂。改为:文件管理任意目录/文件 → 刮削(识别 → 确认或自动 → 就地写),已登记资产走同一条路;入库后自动刮削沿用。
-- **整理记录照 MP 补齐(HIS-1,用户 2026-09-30:"整理记录功能做的又太简单")**:对照 MP 历史记录页逐项补:列表字段(海报/作品/季集/源路径→目标路径/方式 移动·复制·硬链接/状态/时间/来源 下载器·手动·自动)、筛选(状态/类型/时间/关键字)、单条操作(重新整理、删除记录并可选删源文件/目标文件、查看详情)、批量操作、失败原因人话、统计;做差分对照。
-- **用详情页 ID 识别(ID-3,用户 2026-09-30:"既然能抓详情页,详情有 TMDB/IMDb/豆瓣,为啥还判断不了是什么资源")**:现状——列表/详情里的显式 ID(`siteExplicitIds`)识别时会优先用,但详情页只在用户打开时才抓;标题识别不出时不会主动去抓详情拿 ID,就直接进待识别/待处理。改为识别升级链:标题 → 不确定时抓详情页取 IMDb/TMDB/豆瓣 ID(限流、缓存、只对有意义的资源:搜索结果、订阅候选、待识别池条目)→ TMDB find/详情 → 确定;豆瓣 ID 经缓存的豆瓣条目(标题+年份)再匹配 TMDB;确定后回填资源与别名,不再对这类资源建"没识别出作品"事项。

docs/plan/01-w1-review.md

@@ -1,111 +0,0 @@
-# W1 波末独立审查
-
-审查日期:2026-09-27。基线提交 569bb29,审查后提交:608e567(收尾)、31729f2、9310814、c33034a(阻塞项修复)。
-
-对照依据:任务书 `00-first-version-plan.md` 的 §2 约定、§3.1 第 2-9 条、§5 W2 拆分,以及 REQ v0.7 §2.1 的五条原则。`deno task ci` 全绿。
-
-## 0. 结论摘要
-
-- 数据模型:§3.1 第 2 条列的 36 张表都已建好(db 共 41 张),`src/types.ts` 由迁移反射生成。`schema.test` 和 `contracts/test/db-sync.test` 会拦截类型与迁移之间的漂移,这部分一致性良好。
-- domain 没有 IO,也没有深路径 import。adapters、testkit、server、web 都没有跨包深路径 import,web 没有手写 DTO。
-- 五条原则总体被遵守。例外有三处:qB 删数据缺少防护,跨卷移动曾只按大小判断目标一致(已修),目录扫描出错时仍报 complete。
-- W2 的主要风险有两类:
-  - **类型映射**:能力描述有三套定义;domain 和 contracts 的状态枚举不一致。
-  - **装配缺口**:14 个能力都没有注册;server 的 `modules/` 骨架还没有;agent_run 事件没有落库。
-
-## 1. 阻塞 W2
-
-| # | 问题 | 位置 | 修复建议 | 状态 |
-|---|---|---|---|---|
-| B1 | OutboxRelay 只看 `published_at`,没有用 db 0002 新增的 `status/next_attempt_at/attempts/idempotency_key/last_error`。结果是:投递后状态一直停在 pending;失败后每个 tick 都立即重试,没有退避;行上的幂等键也没用上。测试建的表和 db 的表结构不同 | `packages/tasks/src/outbox-relay.ts` | 按 ADR-002 §2.1 对齐:认领 pending 且到期的行;成功置 dispatched;失败按指数退避重试,达到上限置 dead | **已修** 31729f2 |
-| B2 | contracts 没有 `release.resolved` 事件。W2-B 负责发出、W2-C 负责消费,两边并行开发会各自发明一种 payload | `packages/contracts/src/events.ts` | 新增 `ReleaseResolvedPayload`,字段为 sourceReleaseId、observationId、mediaEntityId、contentUnitIds、evidenceLevel | **已修** 9310814 |
-| B3 | 能力描述有三套定义,且互相冲突:agent 的 `CapabilityDescriptor`(scope 为 read/preview/propose/execute,risk 为 low…critical);contracts 的 `CapabilityDefinition`(risk 为 read/preview/write/destructive);contracts 的 `CapabilityDescriptor`(kind 含 approve,scope 用 ApiScope)。agent 与 contracts 还有同名的 `AgentRun`/`AgentUsage` | `packages/agent/src/capability/types.ts:11-33`、`packages/contracts/src/capability.ts:28-96`、`packages/agent/src/runtime/port.ts` | 以 contracts 的 `CAPABILITY_CATALOG` + `CAPABILITY_IO` 为唯一来源,删除 `CapabilityDefinition`;agent 改为派生描述,重名类型改名(如 `AgentRunHandle`) | **已修** db5352e |
-| B4 | 14 个能力一个都没注册,连 stub 都没有。README 示例里的 `registerAllCapabilities` 并不存在;测试用的是手写 schema | `packages/agent/src/`、`packages/agent/README.md:56`、`packages/agent/test/helpers.ts:36-70` | 在 W2-D 开工前(或 W2-A 期间)补上 `registerAllCapabilities(registry, handlers)`,schema 取自 `CAPABILITY_IO`;加测试断言注册数等于 `CAPABILITY_IDS` | 部分:W2-0 提供 `capabilitySpec(id)`,各模块在 `registerCapabilities` 里注册;注册数断言留给 W2-D |
-| B5 | domain 与 contracts 的枚举和字段不一致,server 必须写映射。具体有:下载状态(domain 的 `paused_by_threshold/paused_by_user/error/missing_files` 对 contracts 的 `paused+PauseReason/stalled/failed/missing/submitting/importing/imported`);证据等级(`needs_confirm` 对 `needs_review/manual`,且两边都叫 `EvidenceLevel`);身份结果(`auto/ambiguous/no_match` 对 `resolved/proposed/ambiguous/unidentifiable`);PathBinding 字段名(entityId/scope/season/templateVersion:number/active 对 mediaEntityId/bindingKind/seasonNumber/templateVersion:string/status);媒体类型(`movie/tv` 对 `movie/series/variety/…`) | `packages/domain/src/download-state/index.ts:2`、`domain/src/release-parser/types.ts:48`、`domain/src/identity/match.ts:7,19,158`、`domain/src/path/binding.ts:10-19`、`contracts/src/execution.ts:131`、`contracts/src/identity.ts:12`、`contracts/src/assets.ts:152` | 下载状态以 contracts 为准,domain 改为输出 `status + pauseReason`;domain 的 `EvidenceLevel` 改名为 `MatchLevel`;在 contracts 测试里加一条 domain↔contracts 枚举对照测试;字段映射集中写在 `apps/server/src/mappers/` | **已修** 42ecc93(映射集中在新包 `@umt/mapping`,domain 未改名) |
-| B6 | `apps/server/src/modules/` 骨架和模块列表还没有。`http/app.ts` 的路由是硬编码;`worker/index.ts` 只有心跳,没有接入 tasks 引擎,注释"W1 接入"已过时。A/B/C 并行开发时会在 app.ts/worker 上发生冲突 | `apps/server/src/http/app.ts:98-113`、`apps/server/src/worker/index.ts:12` | W2 开工第一件事:先定好 `ServerModule { registerRoutes(app, deps); registerTasks(registry, deps) }`,在 app.ts 和 worker 里各留一个模块数组,并把 TaskEngine 和 OutboxRelay 接进 worker | **已修** 9858b84 |
-| B7 | qB `delete(…, { deleteFiles: true })` 没有任何防护。注释里说的 `assertSafeToDeleteData` 在全仓库都找不到。接管任务的 save_path 如果落在媒体库内,会连带删掉库文件,违背 REQ §2.1 第 5 条 | `packages/adapters/src/qbittorrent/client.ts:164,589-593` | 实现 `assertSafeToDeleteData`:检查 content_path 不在任何 library_root 下,已验证入库,且没有被 asset_location 引用。W2-C 的所有删除都只经过一个 `safeDeleteTorrent` 入口 | **已修** fa92210 |
-| B8 | mock qB 的 `complete()` 只改进度,不在磁盘上生成文件;带 `deleteFiles` 删除时也不删文件。这样"下载完成→Copy 入库"的 e2e 没有源文件可用 | `packages/testkit/src/qbittorrent/mock-qb.ts:91,161-171,402-405` | 增加 `materializeTo(root)` 或 `complete(hash, { writeFiles: true })`,按 save_path/files 写出临时文件;deleteFiles 为 true 时同步删除 | **已修** fa92210 |
-| B9 | agent_run 事件没有落库路径。README 提到的 `agent_run_event` 表不存在,`events()` 只在内存里回放;agent 的事件类型(tool_call_start/end/rejected)与 contracts 的 `AgentToolCallPayload.phase`(started/succeeded/failed/denied)对不上 | `packages/agent/src/pi/runtime.ts:38`、`packages/agent/src/runtime/port.ts:16-45`、`packages/contracts/src/events.ts` | W2-D 新增迁移 `agent_run_event(run_id, seq, type, payload)`,唯一键为 (run_id, seq),并统一 phase 映射 | **已修** db5352e、da8e53b |
-
-## 2. 应修
-
-| # | 问题 | 位置 | 修复建议 |
-|---|---|---|---|
-| S1 | 跨卷移动时,已存在的目标只按大小比较就判为一致,随后删源(同尺寸、不同内容会丢数据) | `packages/adapters/src/fs/move.ts` | **已修** c33034a:预先存在的目标强制用 sha256 比较,并补了测试 |
-| S2 | tasks 自带的三张表(`tasks_run_meta/tasks_fact/tasks_op_ledger`)仍走独立迁移器,没有并入 db,`types.ts` 里也没有这些表 | `packages/tasks/migrations/0001_tasks_tables.ts` | **已修** da8e53b:并入 db `0013_tasks_tables`,`migrateTasksTables` 已删除,tasks 测试用 db 迁移器建表 |
-| S3 | `tasks_op_ledger` 与 `asset_operation` 职责重叠,两者都有 attempt_token 和 attempts | `packages/db/migrations/0009_execution.ts`、`packages/tasks/src/op-ledger.ts` | 建议不合并表,按层分工:`tasks_op_ledger` 只做通用 fencing,op_key 等于 `asset_operation.operation_id`(或 `download_task:<id>:submit`);`asset_operation` 是业务时间线和结果的事实来源,在 `withAttemptToken` 的 `commit` 回调里同事务更新。W2-C 开工前写进 ADR-002 |
-| S4 | domain 下载状态机的 `ALLOWED` 允许除 removed 外任意两个状态互转,等于没有约束 | `packages/domain/src/download-state/index.ts:97` | 随 B5 一起收紧迁移表 |
-| S5 | `organize/plan` 在调用方没传 `existingTargets` 时,按"目标不存在"处理(违背"失败≠不存在") | `packages/domain/src/organize/plan.ts:39,162` | 改为必填,或者不传时输出 hold |
-| S6 | `scanIncremental` 在 readdir/lstat 出错时只记录 errors,status 仍为 complete,上层可能把读不到的目录当成缺失 | `packages/adapters/src/fs/scan.ts:81,104,144` | errors 非空时 status 置为 `partial` |
-| S7 | TMDB 的 v3 api_key 放在 query 里,网络错误时 `e.message` 会带着完整 URL 拼进错误信息 | `packages/adapters/src/tmdb/client.ts:165,176` | 错误信息先经过 redact,或者只用 Bearer |
-| S8 | 凭证接入方式不统一:站点走 `SecretResolver`,qB、TMDB、Emby、RSS 都是明文参数;脱敏实现有三份(adapters/rss、agent、server/logger) | `packages/adapters/src/rss/redact.ts`、`packages/agent/src/redact.ts`、`apps/server/src/logger.ts:11-40` | 在 contracts 或新的共享模块里只保留一份 redact(补上 `pass` 和裸 `c_secure_pass=` 两类);W2-A 的 secret 服务统一对外提供 resolver |
-| S9 | adapters 的类型与 contracts 同名但含义不同:`SiteAdapter/SiteHealth`、`SiteKind`(mteam/api 对 mteam_api/generic_rss)、凭证 `apiKey` 对 `api_key`、熔断状态缺 half_open、MediaKind 为 movie/tv/music | `packages/adapters/src/sites/types.ts:109,122,174`、`adapters/src/rss/types.ts:474`、`adapters/src/sites/spider/spider.ts:29` | adapters 里的端口类型加 `Port` 前缀,并在 adapters 提供 `toContract*` 映射函数 |
-| S10 | 自动化总开关、audit_event 写入、审计查询在 server 里都还没有;agent 的 authorize 也没读总开关 | `apps/server/src`、`packages/agent/src/capability/registry.ts` | 由 W2-A 实现,并把总开关放进 authorize 的第一道检查 |
-| S11 | SSE 总线是进程内的环形缓冲。`--role api\|worker` 分开跑时会丢事件,重启后序号也会断 | `apps/server/src/http/sse.ts:111-141` | 已列入 W2-A:改为 PG NOTIFY + 持久化 seq |
-| S12 | 模型可以直接传 `approvalId` | `packages/contracts/src/capabilities-io.ts:95,121` | authorize 要校验 approval 与 plan、payloadHash、expectedRevision 一致,并补一条拒绝用例 |
-| S13 | agent 默认幂等键不含任务或计划的上下文,跨会话的相同输入会被去重 | `packages/agent/src/capability/registry.ts:51` | 有副作用的能力改用 planId/taskId 生成幂等键 |
-| S14 | RSS 遇到 401/403 统一归为 `http_error`,passkey 失效无法单独识别 | `packages/adapters/src/rss/fetch.ts:192` | 新增 `auth` 错误类别,来源健康状态里单独展示 |
-| S15 | agent README 描述的装配方式和实际不一致(见 B4、B9) | `packages/agent/README.md:46-61` | 随 B4/B9 一起更新 |
-
-## 3. 建议
-
-- `hasScope` 中 organize.execute 不包含 read,持这类 key 调 whoami 会得到 403(`apps/server/src/http/auth.ts:82`)。建议对照 REQ 确认 scope 的包含关系。
-- web 端把 API Key 存在 localStorage,fetch 没有带 credentials(`apps/web/app/lib/api.ts:6-15`)。W2-A 改用会话 cookie 时要一并调整。
-- adapters 和 testkit 的 README 只有三行,testkit 的 README 没提已经导出的 Emby mock。
-- mock NexusPHP 没有 RSS 端点,e2e 需要把 mock RSS 的 enclosure 手动串到 download.php。testkit 里有两套 bencode 实现(`sites/torrent.ts`、`qbittorrent/bencode.ts`),可以合并。
-- `packages/adapters/src/sites/spiders/testing.ts` 放在 src 下,却 import 了 `@umt/testkit`,建议移到 test 目录。
-- domain 的身份匹配要求本地候选也必须带 externalId,"本地优先"只是平局时的规则。建议以 `localEntityId` 作为第一键(原则 1)。
-- contracts 的能力目录测试只比对了 input,没有比对 output。"所有 schema 正反例"这条测试偏冒烟。
-- qB 没有"接管"的高层接口,W2-C 需要用 list+addTags 自己组合。
-
-## 4. 五原则核对
-
-| 原则 | 现状 |
-|---|---|
-| 身份≠名字 | 表都用 uuid 主键。`external_identity` 的 (provider, type, id) 在 accepted 状态下部分唯一。media_entity 合并时通过 merged_into_id 跳转。domain 的"本地优先"做得不彻底(见建议) |
-| 路径绑定固定 | `path_binding` 表和 `domain/path/binding.ts:94` 都优先使用已有绑定,出现多个历史目录时返回 conflict,测试覆盖了"改译名后仍用原目录" |
-| 模型不是事实唯一来源 | registry 在没有 authorize 时拒绝 propose/execute,模型自称"已同意"会被拒绝(有测试)。风险是 approvalId 校验还没实现(S12) |
-| 失败≠不存在 | TMDB、Emby、站点、`statSafe` 都能区分错误和不存在(Emby 返回 unknown,站点抛 auth_expired,挂载离线返回 root_offline)。例外:S5、S6 |
-| 清理按明确授权 | 缓存清理的授权逻辑还没实现(W2-C)。qB 删数据没有防护(B7);跨卷删源已改为 sha256 核验(S1) |
-
-## 5. 抽查测试(10 个)
-
-| 用例 | 结论 |
-|---|---|
-| domain slot 状态机 | 有效:覆盖主路径、升级、attention、部分覆盖和 11 条非法迁移 |
-| domain 路径绑定固定 | 有效:改译名后返回 existing,多个目录时返回 conflict,停用的绑定被忽略 |
-| domain 身份歧义 | 有效:同等级不同身份判为 ambiguous,弱证据和无候选分支都有断言 |
-| contracts 能力目录覆盖 14 个 | 部分有效:只比对了 input schema |
-| contracts 全 schema 正反例 | 偏冒烟 |
-| agent registry 授权拒绝 | 有效:模型自称已同意时被拒,handler 没有执行,审计里记为 denied |
-| agent fake provider 闭环 | 有效:断言了事件顺序、seq、JSONL 和审计,但 schema 不是取自 contracts |
-| server auth | 有效:覆盖 401、撤销、403 和生产环境禁用 dev key;SSE 鉴权没有覆盖 |
-| adapters RSS 退避/熔断/去重 | 有效,并断言了错误信息里不含 passkey |
-| adapters fs 跨卷 | 有效:EXDEV 不降级,目标不一致时不删源。同尺寸的情况已在 c33034a 补上;以 root 运行时,"删源失败"这条用例会被跳过 |
-| tasks outbox | 修复后覆盖了并发下不重复投递、dispatched 状态、退避和 dead |
-
-## 6. 收尾项说明
-
-任务里说的"sites/mp-sync 有 9 处相对 import 缺扩展名",在基线里已经不存在了:`no-sloppy-imports` 零命中,`deno lint` 报的 9 条都是 `require-await`。所以这次收尾只做了以下几件事:删除 biome override;删除 `--unstable-sloppy-imports`;mp-sync 改为 deno shebang 并加可执行位;把 YAML 改成静态 import;更新 README 里的调用命令。`check.mjs --to e6820a8` 结果为 49 个未变,`movieclaw-import --check` 结果为 0 差异。
-
-## 7. W2-0 处理结果(2026-09-27)
-
-W2 打底,目标是让 W2-A/B/C 在互不冲突的前提下并行开工。`deno task ci` 全绿。
-
-| # | 处理 | 提交 |
-|---|---|---|
-| B3 | contracts 为唯一定义:`CapabilityDescriptor` 增加 `replay`;`CapabilitySpec<I,O>`(描述符 + 真实 zod schema)与 `capabilitySpec(id)`(CAPABILITY_CATALOG + CAPABILITY_IO 组装);删除 `CapabilityDefinition`/`CapabilityRisk`。agent 删除自己的描述类型,注册中心直接收 `CapabilitySpec`,作用域改称 `kind`/`allowedKinds`,approve 类同样必须授权;agent 的 `AgentRun` 端口改名 `AgentRunHandle`,用量改用 contracts `AgentUsageTotals` | db5352e |
-| B4 | 未做 `registerAllCapabilities`;改由各模块 `registerCapabilities` 用 `capabilitySpec(id)` 注册,注册数断言留给 W2-D | — |
-| B5 | 新包 `@umt/mapping`(只依赖 domain + contracts):下载状态 + 暂停原因、证据等级、媒体类型、身份解析状态、Slot 状态/规则列/评估结果、ParsedRelease ↔ `source_release.parsed`、SiteRelease ↔ source_release、PathBinding、OrganizePlan → 整理记录/文件结果/organize.plan 输出。映射表为 `Record<联合类型, …>`,任一侧增值都会让 typecheck 或测试失败。domain 的 `EvidenceLevel` 没有改名,mapping 里以 `DomainMatchLevel` 称呼 | 42ecc93 |
-| B6 | `apps/server/src/modules/` 骨架:`ServerModule`、`ServerContext`、`SERVER_MODULES`(四个占位模块);`bootstrap()` 装配上下文并连接引擎;worker 启动引擎 worker + OutboxRelay + 模块 `start()`;分工规则写在 apps/server/README.md | 9858b84 |
-| B7 | `assertSafeToDeleteData({ contentPath, libraryRoots, importVerified })`;`delete({ deleteFiles: true, safety })` 必须逐 hash 附检查输入,不通过抛 `DownloaderError('unsafe_delete')`,请求不发出 | fa92210 |
-| B8 | mock qB `complete(hash, { files, writeFiles })` 在 save_path 下写随机内容文件(默认关闭、有总量上限、防路径越界);`deleteFiles=true` 同步删除 | fa92210 |
-| B9 | 迁移 `0014_agent_run_event`(主键 (run_id, seq),删 run 级联);contracts `AgentRunEvent`/`AgentRunEventRow` + 行转换 + SSE 映射(`agentRunEventToBusEvent`,tool phase 统一为 started/succeeded/failed/denied);agent `onEvent` 收 contracts 事件、按 seq 串行投递,`firstSeq` 续接序号 | db5352e、da8e53b |
-| S2 | tasks 三张表并入 db `0013_tasks_tables` | da8e53b |
-
-注意事项:
-
-- `apps/server` 启动时连接任务引擎,数据库不可达会直接退出;`--role migrate` 顺带迁移 openworkflow schema,`api`/`worker` 分进程时不再各自迁移。
-- `ctx.secrets` 仍是占位(调用即抛错),W2-A 在 `modules/auth-settings/provided.ts` 实现;`ctx.capabilities` 暂无 authorize,propose/approve/execute 一律拒绝,W2-D 在 `modules/agent/capability-registry.ts` 接入。
-- 引入 @umt/db 后 pg 的 int8 全局解析为 number,依赖 `count(*)` 字符串结果的测试需改用 `Number()`。
-

docs/plan/02-w4-backlog.md

@@ -1,18 +0,0 @@
-# W4 待办汇总(来自 W2/W3 各组汇报,2026-09-27)
-
-## 必须在 v0.1 修
-- 生产容器:编译后二进制/非 root 用户无写权限 → Agent 会话 JSONL、库根哨兵、Copy/Move 入库都会失败。需要 `DATA_DIR` 卷(agent-sessions、备份导出)与媒体/下载挂载点可写,entrypoint 自检写权限。
-- 前端调后端缺口:`POST /acquisition-plans`(手动提交下载,工作台下载入口)、`GET /artifacts/{id}`(dryRun 逐文件预览)、`/tasks` 关联(W2-D 已加 `/tasks`,前端接上)、整理记录合同补 `downloadTaskId`、inventory 补"已收藏/候选理由"、Feed 补疑似缺口字段。
-- Agent 页:W3-3 按 mock 写的合同要对 W2-D 真实端点实测(`/agent/runs*`、SSE agent.* 事件),去掉本地镜像 schema 改用 contracts。
-- SSE 对 API Key 调用者:EventSource 带不了 Bearer。决定:SSE 仅控制台会话使用;外部程序用 `GET /events?after=` JSON 轮询(若无则加)。文档写明。
-- `/media-assets` 等在 api.ts 登记但未实现的端点:实现或从登记移除并加测试。
-- 后端重复写同一 Slot 的候选评估记录(W3-2 观察)→ 去重或按 (slot, source_release) upsert。
-
-## 应修
-- 偏好标签修订历史端点;订阅/外部身份/别名列表带作品标题;订阅按类型/标题搜索;Slot 按 subscriptionId 过滤;Slot 当前资产带摘要;策略预览带资源摘要。
-- decisions/summary、身份修订历史、待识别池 assign/retry 响应进 contracts。
-- 账户弹层 TOTP 开关入口;引擎面板 rerun(用我们的 enqueue)。
-- 季/集单元字段级元数据刷新;无站点 Feed 的 source_release 建立策略。
-
-## 后置(M2+)
-Passkey、主密钥轮换、子代理、原站视图/浏览器、Transmission、TTG 自定义适配、馒头 adult 模式、HHClub/CHD 真实站点核验。

docs/plan/03-decoupling-audit.md

@@ -1,31 +0,0 @@
-# 主线程解耦审计(2026-09-27,只读审计结论 → W4-D 修复清单)
-
-> 历史审计:本文记录当时的问题和修复过程。当前 `GET /inventory/media-servers` 已在 `routes/library.ts` 实现多实例并行、单实例并发限制和总超时,末尾「串行 Emby」不再是当前遗留。v0.3.7 的状态与新的工程检查见 [开发情况基线](13-development-baseline.md) 和 [工程检查与调整建议](14-engineering-review.md)。
-
-## 结论
-生产容器 API 与 worker 分进程;RSS/快照/刮削/入库主链路走任务引擎 + outbox。漏网三类:
-1. HTTP 请求内同步重活:`POST /library/reconcile`(全量 stat)、`POST /download-cache/cleanup`(删种删数据)、`POST /organization`(planImport 递归 walk)、`POST /capabilities/{id}/invoke` 中 release.search/release.inspect/identity.resolve/catalog.lookup(远程站点/TMDB)、`GET /inventory/media-servers`(串行 Emby)。
-2. acquisition-organize 后台循环(index.ts)绕过引擎直接调 `submitDownload`、`executeRecord`(Copy/Move)、`cleanupDownloadCache`、`reconcileLibrary`,串行 await;无租约/attemptToken 保护;一次大复制卡住 qB 同步与阈值暂停。
-3. worker 并发度固定 4(openworkflow-engine.ts),runAgent 整段会话占 1 槽数分钟,与 verifyAndImport 大文件复制抢同一池。
-事件循环丢租约风险低(复制/哈希流式让出;租约 30s/续租 15s);强制 sha256 路径(目标已存在、跨设备恢复)会全量读两遍。
-
-## 修复清单(W4-D)
-- P0 后台循环只编排:sweepPendingImports → enqueue verifyAndImport;sweepReservedPlans → enqueue submitDownload;超阈值清理与 6h 对账 → enqueue(幂等键按时间槽);tick 只剩 syncDownloads + 阈值判断,qB 同步独立定时器。
-- P0 `/download-cache/cleanup`、`/library/reconcile` 改入队返回 {taskId, runId}(enqueueTracked);前端经任务页/SSE 追踪。
-- P1 `WORKER_CONCURRENCY` 配置;worker 分组:`--role worker`(io 组:除 runAgent/resolveDecision 外,并发 4)与 `worker:agent`(并发 1–2),`startWorker` 两次各带 versions;模块 start() 循环只在 io 组;entrypoint 起三进程。
-- P1 capabilities invoke 分级:外部 IO 型能力在 HTTP 路径强制 `AbortSignal.timeout(15s)` + 按站点/TMDB 限并发,或改入队返回 taskId;`POST /organization` dryRun 的 walk 加文件数上限。
-- P2 fs/copy.ts:highWaterMark 1MiB;强制 sha256 全量比对改子进程 `sha256sum`(仿 ffprobe.ts 的 Deno.Command);executeRecord 打点。
-- P2 worker 事件循环延迟探针(setInterval 偏差 >5s warn)。
-
-## W4-D 修复状态(2026-09-27)
-| 项 | 状态 | 说明 |
-|---|---|---|
-| P0 后台循环只编排 | 已完成(fe9693d) | `acquisition-organize/index.ts` 拆成两个自调度定时器:`sync`(syncDownloads + 阈值暂停/恢复)与 `plan`(编排)。超阈值 → 入队 `cleanupDownloadCache`(业务键 `threshold:<5min 槽>`,上一轮 pending/running 时跳过);`sweepReservedPlans` → 入队 `submitDownload`(业务行 `plan:<id>`,引擎键 `…:<5min 槽>`,上次 run 仍活跃则跳过);`sweepPendingImports` → 入队 `verifyAndImport`(业务行 `import:<dtId>`,同上);6h 对账 → 入队 `reconcileLibrary`(`auto:<6h 槽>`)。顺带修正:补入库巡检改按 `completed_at` 选(同步每轮刷新 `updated_at`,原条件永远选不中)。测试 `__tests__/background-loop.test.ts`:巡检只入队、50MB 入库(复制 + sha256 + 2.5s 慢 ffprobe)进行中 mock qB `torrents/info` 请求间隔 < 1s |
-| P0 cleanup / reconcile 端点入队 | 已完成(fe9693d) | `POST /download-cache/cleanup`、`POST /library/reconcile` 改 `enqueueTracked` 返回 `{taskId, runId}`(202,幂等键按分钟槽);前端"立即清理"提示任务 id 并跳 `/console/engine/<runId>` |
-| P1 worker 分组 + 并发配置 | 已完成(a9cee69、473c5e9、3792868) | `WORKER_CONCURRENCY`(4)/`WORKER_AGENT_CONCURRENCY`(2);`--role worker`(io 组 + relay + 模块循环)、`--role worker:agent`(runAgent/resolveDecision)、`--role all`(两池同进程);`@umt/tasks` 带 versions 的 worker 在认领 SQL 上按任务名过滤(OpenWorkflow 原生认领不看任务名,误认领会按 5s→5m 退避)。entrypoint 三进程互相看护。测试 `packages/tasks/test/worker-groups.test.ts`(去掉过滤即失败) |
-| P1 capabilities invoke 分级 | 已完成(473c5e9) | `modules/agent/invoke-limits.ts`:release.search(实时搜索)/release.inspect(refreshDetail)/identity.resolve/catalog.lookup(includeRemote)在 HTTP 路径 15s 超时(502)+ 站点并发 2 / TMDB 并发 4(排队超时 429);许可在底层调用真正结束后才归还 |
-| P1 `POST /organization-records` walk 上限 | 已完成(f9c20c6) | `ORGANIZE_WALK_MAX_FILES`(5000);dryRun 超出返回 `truncated: true`(计划只含前 N 个),正式执行 `too_many_files` 失败 |
-| P2 copy highWaterMark / sha256 子进程 / 打点 | 已完成(f9c20c6) | 读写流 1 MiB;强制全量 sha256(复制后回读、目标已存在比对、跨卷恢复、计划期同尺寸目标)走 `Deno.Command("sha256sum")`,不可用(未安装 / 无 --allow-run)回退进程内流式,结果记 `hashVia`,`sha256Stats()` 计数;executeRecord 每文件打 `organize.transfer` 日志(耗时/字节/MB/s/hashVia) |
-| P2 worker 事件循环延迟探针 | 已完成(473c5e9) | 1s 采样,偏差 > 5s warn + 计数,随心跳事件发 `loopLagWarnings/maxLoopLagMs` |
-| 打包遗留 | 已完成(f6457a2、3792868) | 镜像带静态 ffprobe(mwader/static-ffmpeg:9.0.2),编译 `--allow-run=ffprobe,sha256sum`;`settings.agent.sessionDir`(null = DATA_DIR/agent-sessions)进设置页;镜像压缩 107→160.5 MB(ffprobe 层 135 MB 未压缩);umtw4d 临时部署验证 health、三进程、ffprobe/sha256sum 可调用 |
-| 未做 | 遗留 | `GET /inventory/media-servers` 串行 Emby 仍在请求内(审计列出但不在 W4-D 清单);invoke 超时后底层调用继续跑完(handler 不全认 signal) |

docs/plan/04-v0.1-acceptance.md

@@ -1,249 +0,0 @@
-# v0.1 独立验收审查
-
-审查日期:2026-09-27。基线提交 `9e6ff33`。审查期间另一子代理在同一工作区修 `03-decoupling-audit.md`(W4-D),工作区里出现了它的未提交改动。本报告的结论只针对 HEAD `9e6ff33`,那些改动不在审查范围内。
-
-对照依据:`00-first-version-plan.md` §3.1 / §3.2,REQ v0.7 §2.1、§15.1-15.2、§16.1(只看与 M1 相关的 AT),以及 `01`、`02`、`03` 三份计划文档、README、runbook 和 ADR。
-
-## 0. 总体结论
-
-**现在还不能打 v0.1.0。** 下面 4 个阻塞项处理完后可以打,都不需要改架构。
-
-代码主体已经达到 M0+M1 纵切的要求。实测结果:
-
-- `deno task ci` 连跑 2 次都通过(退出码 0),耗时 136 秒和 133 秒。两次测试数完全一致:server 136、adapters 236(另有 2 个 skip)、agent 30、contracts 508、db 12、domain 230、mapping 22、tasks 15、testkit 4、web 3,合计 1196 个通过。
-- 前端冒烟 `deno task test:web:smoke` 22/22 通过,耗时 49 秒。
-- 五条原则都有 schema 或代码层面的保障。
-
-阻塞发布的原因有四个:
-
-1. `03` 清单里的 P0 还没修完(后台循环绕过任务引擎;HTTP 请求里同步执行重活)。
-2. 版本号还是 0.0.0。
-3. REQ §15.2 要求 M1 必须验证的一项"授权内异常调查**与恢复**"没有实现,也没有在任务书里写明延期。 **已修(86af723):按方案 (a) 实现,见 R3。**
-4. `POST /organization-records` 的 `sourcePaths` 可以指向服务器上任意路径,Move 时还会删源,违背原则 5。
-
-补充说明:
-
-- ci 耗时比任务书记录的约 75 秒涨到约 135 秒。其中 server 测试 55 秒、tasks 测试 34 秒。
-- 冒烟跑在 `PORT=4392 WEB_ROOT=apps/web/build/client` 上,用单容器同端口托管方式,管理员账号 `w31-admin`。
-
-## 1. 问题清单(按严重度)
-
-### 1.1 阻塞发布
-
-| # | 问题 | 位置 | 修法 |
-|---|---|---|---|
-| R1 | `03` 的 P0 未落地。`start()` 的 `tick` 仍在直接调 `planImport`/`executeRecord`(`sweepPendingImports`),没有租约保护;`/download-cache/cleanup` 和 `/library/reconcile` 在 HTTP 请求里同步执行 | `apps/server/src/modules/acquisition-organize/index.ts:118-151`,`routes/downloads.ts`、`routes/library.ts` | 按 03 清单 P0 改为 enqueue,并返回 `{taskId, runId}`。W4-D 合入且 ci 通过后,再重跑本报告第 3 节的 e2e |
-| R2 | 所有包和 app 的版本都是 `0.0.0`,`/health` 返回的也是 `version:"0.0.0"`;仓库里没有任何 tag | `apps/server/deno.json:3` 等 10 处 | 统一改成 `0.1.0`(server 的 `denoJson.version` 会写进备份清单和 health),再打 `v0.1.0` tag **已修(ceff9cf):所有成员与根 `deno.json` 版本改为 `0.1.0`,新增 `CHANGELOG.md`;tag 由协调者打** |
-| R3 | REQ §15.2 要求 M1 验证"授权内异常调查与恢复",AT68 也要求"查证后自动执行获准修正并继续"。现在后台调查固定是 `plan_only`:E5 只把结论写回待处理事项并交还人工,没有自动恢复这条路径 | `apps/server/src/modules/agent/service.ts:323-340`,`test/e2e/e5-auto-investigate.test.ts` | 二选一。(a) 在有 `automation_grant` 时允许调查 run 以 `execute` 模式调用 `task.retry` 或 `identity.resolve`,并加一条 e2e:下载失败 → 调查 → 授权内重试 → 入库。(b) 在 `00` §3.2 写明"授权内恢复延到 M2",并在 README 的范围说明里注明。不能不写就发布 **已修(86af723):按 (a) 实现。`agent.autoInvestigateMode=recover` 且有覆盖恢复动作的持续授权(绑定策略须为 published)时,调查 run 以 execute 模式运行,白名单为只读能力加 `task.retry` / `download.recheck`(新增能力)/ `identity.resolve`,换源、删除、清理不在白名单内。恢复结果按 download_task / task / source_release 的业务状态核实,核实通过后事项 resolved,run 汇报"已恢复(系统核实)"。没有授权时降级为只读调查,并在事项上留下建议。同一根因的尝试次数有上限。新增 e2e `e6-auto-recover`,覆盖 missingFiles → recheck → 核实、无授权降级、换源被拒、去重、尝试上限和预算超限** |
-| R4 | `POST /organization-records` 的 `sourcePaths` 没有任何根目录约束。持 `organize.execute` 的 API Key 可以 walk 任意目录(dryRun 时会泄漏文件清单),也可以把任意文件 Move 进媒体库并删掉源文件。这条路径不检查 automation_grant,也不检查 H&R | `apps/server/src/modules/acquisition-organize/services/organize.ts:229-241`,`routes/organization.ts:84-130` | `sourcePaths` 必须落在已登记的下载器路径映射(本机视图)或显式的导入根下,并且不能在任何 library_root 内;`action=move` 且调用方是 api_key 时要求有持续授权。补 403/422 反例测试 **已修(ceff9cf):`sourcePaths` realpath 后必须在已登记的 library_root 或下载器路径映射本机前缀下,拒绝 `..` 与符号链接逃逸(遍历用 lstat 不跟随),dryRun 同样受限 → 400;Move 需管理员会话或 API Key + 覆盖作品的 automation_grant / 与请求一致的一次性 approval(用后 consumed)→ 否则 403;纳管来源 H&R 未满足 → 409 + 待处理,不改 Copy。测试 `__tests__/organize-guard.test.ts`** |
-
-### 1.2 应修(v0.1.x 内,11 项)
-
-| # | 问题 | 位置 | 修法 |
-|---|---|---|---|
-| S1 | 持 `organize.execute` 的 API Key 可以 `POST /approvals` 再 `PATCH /approvals/{id}` 自己批准,再去调 `download.submit` 或 `organize.execute`,单次审批就形同虚设 | `packages/contracts/src/api.ts`(approvals 的 scope),`modules/agent/routes.ts:~280-311` | 把审批的决定动作(PATCH 改为 approved)的 scope 改成 `admin`,或者用 `requireAdminSession`;并禁止 `decided_by` 与计划发起人是同一个 api_key **已修(f48e1aa):`POST /approvals`、`PATCH /approvals/{id}` 标 `auth:"session"`,只接受管理员会话,API Key 一律 403** |
-| S2 | 服务端 logger 的脱敏覆盖面比 agent 和 adapters 的实现窄。实测 `redactString("/rss?rsskey=abc&torrent_pass=dead&authkey=zz&downhash=q1&c_secure_pass=cc")` 只遮住了 passkey。现在一共有 4 份脱敏实现(W1 的 S8 还没解决,反而多了一份) | `apps/server/src/logger.ts:6-8`,`packages/agent/src/redact.ts`,`packages/adapters/src/{rss,browser}/redact.ts` | 在 contracts(或新建的共享包)里保留唯一一份实现,取 agent 版的参数全集;logger 改为复用它;在 `logger.test.ts` 加上述 5 类参数的用例 **已修(f48e1aa):键表与规则收到 `@umt/contracts` 的 `redact.ts`,logger 与 `redactForModel` 共用;adapters 的 rss/browser 两份仍独立,留到 M2 收口** |
-| S3 | TMDB 网络错误时,`TmdbError` 的 message 直接拼上 Deno fetch 的错误信息。Deno 的这条信息里带完整 URL,也就带着 `api_key`;`cause` 里同样有(W1 的 S7 没有解决) | `packages/adapters/src/tmdb/client.ts:171-175` | message 先经过 redact,`cause` 不透传;或者强制使用 Bearer(accessToken) **已修(f48e1aa):message 经 `redactUrl`,`cause` 只留脱敏后的 name/message** |
-| S4 | 服务端授权器的单次审批分支(payloadHash/revision 变化后失效、过期、用后标为 consumed、approvalId 与计划不符)**没有任何测试**。AT15/AT16 在产品层也没有被验证 | `apps/server/src/modules/agent/authorize.ts:115-137` | 新增 `test/agent/authorize.test.ts`,对真实 PG 覆盖 6 条正反例;再加一条 e2e:审批后改计划 → 被拒 → 重新审批 → 成功且只消费一次 **已修(f48e1aa):`test/agent/approvals.test.ts` 覆盖 8 条拒绝分支与改计划→重批→只消费一次→不可重放;e2e 版留给 E2 系列** |
-| S5 | M1 要求的"一部常规剧集"没有端到端链路。E1 和 E2 只覆盖电影;剧集只在识别单测(resolve)和整理单测(organize-move)里分别出现过 | `apps/server/test/e2e/` | 新增 E7:RSS 剧集 S01E01 → 识别出 series 和单元 → Slot → qB → Copy 入库;第二集改译名后仍进旧目录 **已修(ceff9cf):新增 E7 `e7-tv-series`:S01E01/E02 进同一绑定季目录、逐集覆盖、整季包按实际文件覆盖、总集数未知时 Slot 不满足且持续订阅继续;顺带修正剧集 Slot 在临时单元下被误判满足** |
-| S6 | AT24(管理标签被移除、qB 任务消失)在服务端没有测试。代码在 `downloads.ts:359-383` 里,只有 domain 层的 `download-state` 单测覆盖 | `__tests__/vertical.test.ts` | 补两个断言:去掉标签后 `managed=false`、历史保留、之后不再暂停也不再清理;任务消失后 `removed`,并且库文件还在 **已修(ceff9cf):新增 E8 `e8-tag-removal`:去标签后 managed=false、完成不入库、清理不触碰,任务消失 → removed 且资产/位置不变、不重下;以 mock qB 调用日志断言** |
-| S7 | 前端 Agent 页在生产构建里也能用 `?mock=1` 打开 mock 模式(sessionStorage 会记住),可能把演示数据当成真实运行展示,与 AT78 冲突 | `apps/web/app/api/agent.ts:37-48` | 只在 `import.meta.env.DEV` 或设置了 `VITE_AGENT_MOCK` 时启用 **已修(f48e1aa):只在 DEV 构建或后端 `pi.provider = "fake"` 时生效,生产构建忽略并清掉记住的开关(`app/api/agent-mock.test.ts`)** |
-| S8 | 引擎面板只有 cancel,没有 retry/rerun;§3.1-10 要求 "cancel/retry 操作"(02 backlog 也列了这一项) | `apps/web/app/routes/console/engine*.tsx`,`modules/auth-settings/engine-routes.ts` | 加 `POST /engine/runs/{id}/rerun`,用我们自己的 enqueue、带新幂等键实现,并写审计 **已修(ceff9cf):`POST /engine/runs/{id}/retry`(admin,幂等键 `retry:<id>:<序号>`,审计),run 详情页"重跑"按钮;测试 `test/auth-settings/engine-retry.test.ts`** |
-| S9 | 账户 TOTP 在控制台没有入口(只有登录页的第二步),02 backlog 里是应修项 | `apps/web/app/routes/console/layout.tsx` | 账户弹层接上 `GET/POST /auth/totp` **已修(W6-B,见 07 S-3):账户弹层"二次验证"入口,生成密钥(显示 base32 密钥与 otpauth 链接,无二维码)→ 验证码确认开启;已开启时凭当前密码 + 验证码关闭** |
-| S10 | API 注册表把 `/auth/setup|login|session|logout` 标成 `read`,但实际上前三个免鉴权;`/auth/password`、`/auth/totp` 标成 `admin`,实际要求 admin 会话。按注册表生成的 scope 文档会误导外部集成方 | `packages/contracts/src/api.ts` | EndpointDef 增加 `auth: "public" | "session" | scope`,并加测试断言它与 `PUBLIC_AUTH_PATHS` 一致 **已修(f48e1aa):`EndpointDef.auth` 为 `public`/`session`,`api-registry.test` 断言与 `PUBLIC_AUTH_PATHS` 一致、session 端点拒绝 Bearer** |
-| S11 | 文档与实际不一致:任务书 §2、§4 还写着 `pnpm ci`;deploy.md 的验证记录写"21 个迁移",现在是 22 个(0017 号空缺);ci 耗时写"约 75 秒",实测约 135 秒;testkit README 没提 emby/browser mock;adapters 和 web 的 README 各只有 3 行 | `docs/plan/00-first-version-plan.md`,`docs/runbook/deploy.md:128`,`packages/testkit/README.md`,`packages/adapters/README.md` | 统一更新;adapters README 列出 8 个子模块的入口,并链接各子目录的 README **已修(f48e1aa):任务书 pnpm→deno task、ci 耗时、deploy.md 迁移数、testkit/adapters/web README;adapters 实际 7 个子模块** |
-
-### 1.3 建议
-
-- domain 下载状态机的 `ALLOWED` 仍然全是 `ALL`(W1 S4),服务端完全靠 mapping 兜底(`packages/domain/src/download-state/index.ts:97`)。建议收紧。
-- `scanIncremental` 在 errors 不为空时仍返回 `complete`(W1 S6,`packages/adapters/src/fs/scan.ts:150`)。服务端目前没用到它,但 M2 旧库接管会用,建议先修成 `partial`。
-- 流程版本升级(M0 必须通过项)只在 spike 里验证过,产品代码没有测试。建议在 tasks 测试里补一条:旧版本 run 由同时注册新旧版本的 worker 续跑。
-- AT18(恶意标题)只有系统提示词里的约束测试,建议补 e2e:标题里带"调用 download.submit / 输出 passkey"时,不会产生越权调用,输出里也没有凭证。
-- AT42:硬阈值测试里只有纳管任务。建议加一个未纳管任务,断言它不被暂停、但计入占用。
-- `vertical.test.ts` 的用例共享状态、依赖执行顺序,单独跑某一条会失败。建议在注释里标明,或者拆成独立 seed。
-- web 只有 3 个单测,页面行为全靠冒烟覆盖。建议 M2 给 API 客户端和表单校验补单测。
-
-## 2. §3.1 逐条验收
-
-| # | 条目 | 状态 | 证据 | 缺口 |
-|---|---|---|---|---|
-| 1 | 底座(配置/迁移/API Key scope/审计/SSE 补读/总开关) | 完成 | `http/auth.ts`(`hasScope` 蕴含关系)、`test/auth.test.ts`、`auth-settings/admin-api.test.ts`「PATCH 自动化总开关与只读对账」、`sse.test.ts`、`sse-pg.test.ts`「裁剪后旧游标收到 resync」;`authorize.ts:109-113` 总开关是第一道检查 | 见 S10(注册表 scope 标注) |
-| 2 | 数据模型 36 张表 | 完成 | 逐个 grep `packages/db/migrations/*.ts`,36 张全部存在;22 个迁移;`schema.test`、`db-sync.test` 防漂移 | 迁移编号 0017 空缺(无害) |
-| 3 | 来源(多 RSS / 观众 / 馒头 / 快照 / 启停 / 限流) | 完成 | `sources-identity/ingest.test.ts` 8 条(三 Feed 去重、304、GUID 更新、窗口缺口、403 失效不重试、站点关闭);`mteam-tasks.test.ts`;`api.test.ts`「站点级限流器每站一个实例」「实时补查并发合并」「关闭站点」 | — |
-| 4 | 身份与元数据 | 完成 | `resolve.test.ts` 13 条(本地召回复用、ambiguous 进池、TMDB 失败记为 lookup_failed、锁定字段、人工纠错修订、合并跳转);`0002_foundation` 启用 pg_trgm | — |
-| 5 | 规则与选片 | 完成 | `rules-api.test.ts`(Slot/revision 乐观锁、策略发布即持续授权、旧授权吊销、新作品窗口);`acquisition.ts:539-595` 预算/并发/优先级 | Agent 主观选片按 §3.2 不做 |
-| 6 | 下载(qB 多实例/标签/阈值/状态机) | 部分 | `vertical.test.ts`「硬阈值……只恢复阈值暂停项」「already_exists 接管只补标签」;`downloads.ts:861` 删数据必经 `assertSafeToDeleteData` | S6(标签移除/任务消失无服务端测试);R1(qB 同步与大文件复制在同一个 tick 里) |
-| 7 | 入库(Copy/Move/EXDEV/路径固定/整理记录 API) | 部分 | `organize-move.test.ts`「跨卷 Move kill 后 resumed……不重复复制」「路径绑定固定」;`vertical.test.ts`「changes 游标增量」 | R4(sourcePaths 无约束) |
-| 8 | 持久任务 9 个 + outbox + 恢复 + 幂等 + 取消 | 部分 | 引擎注册了 11 个任务(9 个 + snapshotSite + runAgent);`tasks/test/crash-recovery`、`engine.test`「取消经 abortSignal」、`op-ledger`「租约丢失旧 attempt 提交被拒」、`outbox`「两个 relay 并发 60 条只投一次」;E4 | R1:后台循环绕过引擎 |
-| 9 | Agent(Pi 封装/14 能力/服务端授权/SSE/后台触发/设置) | 部分 | E2「启动断言 14 个能力全部注册」「没有授权被拒」「已提交≠已入库」;`agent/test/runtime.test.ts` 白名单、脱敏、预算、JSONL 恢复;E5 | R3(调查后不能恢复);S4(审批分支无测试);子代理按 02 后置 |
-| 10 | 控制台页面 + 引擎面板 | 部分 | `apps/web/app/routes.ts` 共 20 个路由;冒烟 22/22 通过 | S8(引擎面板没有 retry);S9(TOTP 入口);原站视图只是占位(符合 §3.2) |
-| 11 | 可选 Emby | 完成 | `adapters/src/emby/emby.test.ts`「凭据错误 → unknown(auth),而不是不存在」等 10 条;`vertical.test.ts` 调用了 `/inventory/media-servers` | 服务端只测了无实例的情况(建议补 unknown 透传) |
-| 12 | 运维(备份/只读对账/单容器/runbook) | 完成 | `scripts/backup.sh`、`restore.sh`(校验和、有活动连接时拒绝、单事务、打开 readOnlyReconcile、映射行数比对);`deploy.md` 验证记录里有完整的 compose 演练;`preflight.test.ts` 7 条 | 恢复没有自动化测试,只有人工演练记录(可以接受) |
-| 13 | 测试(domain 单测 / adapters / RSS→入库 e2e / Agent e2e / 崩溃恢复) | 完成 | E1、E2、E4(worker 子进程 `kill -9`)、`agent` 的 JSONL SIGKILL 用例;ci 两次数量一致 | S5(剧集链路) |
-| 14 | 管理员登录门禁 | 完成 | `login.test.ts` 8 条(并发初始化只有一个成功、CSRF、同 IP 5 次 / 跨 IP 15 次限速、吊销、改密、TOTP 防重放);实测:已初始化后 setup 返回 409,缺少或伪造 csrf 返回 403,cookie 为 HttpOnly + SameSite=Lax | Passkey 按 02 后置 |
-
-§3.2 不做项核对:综艺分段、双版本组合校验、浏览器原站视图、HHClub/CHD、旧库接管、Agent 主观选片、多用户,都没有越界实现。BrowserProvider 只有接口和 camofox 骨架(`effaa32`),符合"接口先落"。
-
-## 3. REQ 验证项对照
-
-### 3.1 M0 / M1 必须验证项 → 测试
-
-| 验证项 | 测试 | 结论 |
-|---|---|---|
-| Pi 显式白名单、无隐式扩展 | `agent/test/runtime.test.ts`「白名单:未注册工具(bash)……被拒绝」;E5 `download__submit` 被拒 | 有效 |
-| 执行器崩溃恢复 | `tasks/test/crash-recovery.test.ts`;E4;`runtime.test.ts`「JSONL 恢复 SIGKILL」 | 有效 |
-| 流程版本升级 | 只有 `docs/spikes/w0b-openworkflow.md` | **缺**(建议项) |
-| 提前审批不丢失 | 设计上审批存库、invoke 时再读;`tasks/engine.test`「waitForFact 事实先于等待到达不丢失」 | 引擎层有效,产品层**缺**(S4) |
-| 多 Feed 并发不重复提交 | `ingest.test`「三个 Feed……release.observed 只发一次」(顺序执行);`outbox.test` 并发;E6「重复评估只留一条候选」 | 部分(没有并发 ingest 的测试) |
-| 改名与映射修订后路径不变 | `organize-move.test`「路径绑定固定」;`resolve.test`「人工纠错映射」 | 有效(两者分开测) |
-| 观众 + 馒头站点 | `api.test`(观众 mock)、`mteam-tasks.test`、adapters spiders 与 mteam 测试 | 有效 |
-| qB 标签接管 | `vertical`「already_exists」「硬阈值」中 `adopted=2` | 有效 |
-| Copy / Move | E1(Copy);`organize-move`(跨卷 Move) | 有效 |
-| 一个电影 + 一部常规剧集 | E1/E2 电影 | **剧集缺**(S5) |
-| 整理记录 API | `vertical`「changes 游标增量」;E1 | 有效 |
-| 备份 / 审计 / 恢复 / 停用开关 | `deploy.md` 演练;`admin-api.test` 总开关;`preflight.test`「映射清单行数比对」 | 有效(恢复靠人工) |
-| Agent 自然语言 → 查库存/搜索/选片/提交 → 持续流程入库 → 真实汇报 | E2「有持续授权:……汇报来自整理记录」 | 有效 |
-| 授权内异常调查与恢复 | E5 只调查 | **缺**(R3) |
-| 关闭聊天不影响后台 | E3「创建后不再请求,任务系统独立推进到 completed」 | 有效 |
-
-### 3.2 指定 AT 场景
-
-| AT | 场景 | 测试 | 结论 |
-|---|---|---|---|
-| AT01 | 多来源合并 | `ingest.test` 三 Feed | 有效 |
-| AT02/AT09 | Slot 隔离 | `rules-api`、E6「按作品选 Slot」;授权按 Slot 独立预留 | 部分:没有"两个 Slot 同时缺失分别执行"的专项测试 |
-| AT12/AT55 | 崩溃恢复 | E4、`op-ledger`「租约丢失」 | 有效;E4 的 kill 时机是"账本行出现",没有精确钉在"qB 已收单、DB 还没写" |
-| AT13/AT27 | 复制后崩溃 | `organize-move` 跨卷 resumed | 有效(模拟上一次 attempt) |
-| AT20/AT56 | 备份恢复 | 人工演练(deploy.md);`auth.test` 撤销后 401 | 部分(没有自动化) |
-| AT16 | 授权失效重校验 | `rules-api`「新版本发布(旧授权吊销)」;审批分支**无测试** | 部分(S4) |
-| AT23 | 标签纳管 | `vertical` 硬阈值用例 `adopted` + `origin:"adopted"` | 有效 |
-| AT24 | 标签移除 / 任务消失 | 无服务端测试 | **缺**(S6) |
-| AT25/AT26/AT41 | 缓存硬阈值 | `vertical`「硬阈值」「缓存清理」(库内陷阱任务被拒删) | 有效 |
-| AT67 | Agent 一次委托闭环 | E2 | 有效 |
-| AT70 | 已提交≠已入库 | E2 `waiting.summary` 含"已提交≠已入库",入库后才 `succeeded` | 有效 |
-| AT79 | SSE 断线补读 | `sse.test`、`sse-pg.test`(resync)、E6「/events?after= JSON 补读」、E2 `afterSeq` | 有效 |
-
-## 4. 路由 scope 表
-
-共 185 个端点:read 89、organize.read 3、organize.execute 21、admin 72。所有业务路由都经过三个 helper 之一(`modules/*/http.ts`、`routes/helpers.ts`、`auth-settings/endpoint.ts`),统一加 `requireScope(def.scope)`。`api-registry.test` 保证 OpenAPI 与注册表双向一致。`POST /capabilities/{id}/invoke` 标的是 read,但处理器内部会再按能力描述符的 scope 校验(`agent/routes.ts:325`),例如 download.submit 需要 organize.execute,policy.apply 需要 admin。
-
-**免鉴权清单**:`GET /api/v1/health`、`GET /api/openapi.json`、`GET /api/docs`、`POST /auth/setup`(已初始化后返回 409,token 至少 16 位)、`POST /auth/login`、`GET /auth/session`,以及 `WEB_ROOT` 静态文件。实测 `/events`、`/settings`、`/library`、`/auth/whoami` 无凭证时都返回 401。
-
-| 资源 | read | organize.read | organize.execute | admin |
-|---|---|---|---|---|
-| `/acquisition-plans` | GET · / {id} | | POST · | |
-| `/acquisition-slots` | GET · / {id} | | | POST ·; PATCH {id} |
-| `/agent/runs` | GET · / {id} | | POST ·; POST {id}/messages; POST {id}/abort | |
-| `/api-keys`、`/secrets` | | | | GET/POST/PATCH/DELETE |
-| `/approvals` | GET · / {id} | | POST ·; **PATCH {id}**(S1) | |
-| `/artifacts`、`/asset-locations`、`/asset-unit-coverage`、`/media-assets`、`/path-bindings`、`/observations`、`/reconcile-runs`、`/server-mappings` | GET · / {id} | | | |
-| `/audit-events` | | | | GET |
-| `/auth` | setup/login/session(免鉴权)、logout | | | password、totp(要求 admin 会话) |
-| `/automation-grants` | GET · / {id} | | | POST ·; PATCH {id} |
-| `/capabilities` | GET ·; POST {id}/invoke(内部再校验) | | | |
-| `/content-units` | GET · / {id} | | | PATCH {id} |
-| `/dashboard`、`/inventory`、`/inventory/media-servers`、`/site-definitions`、`/events`、`/health` | GET | | | |
-| `/decisions` | GET · / {id} / summary | | POST {id}/resolve | |
-| `/download-cache` | | | | POST cleanup |
-| `/download-tasks` | GET · / {id} | | POST {id}/pause、resume | |
-| `/downloader-instances`、`/media-server-instances`、`/library-roots`、`/path-mappings` | GET · / {id} | | | POST/PATCH/DELETE、test|verify |
-| `/engine/runs`、`/engine/stats` | | | | GET;POST runs/{id}/cancel |
-| `/external-identities` | GET · / {id} / revisions | | | POST ·; PATCH {id} |
-| `/feed-sources` | GET · / {id} | | | POST/PATCH、fetch/enable/disable/reset |
-| `/identity-pool` | GET | | POST {id}/assign、dismiss、retry | |
-| `/library` | GET · / {id} | | | POST reconcile |
-| `/media-entities` | GET · / {id} / detail | | POST {id}/identities、refresh;PUT/DELETE {id}/fields/{field} | POST ·; PATCH {id}; POST {id}/merge |
-| `/organization-records` | | GET · / {id} / changes | POST ·(R4) | |
-| `/policy-revisions` | GET · / {id}; POST {id}/preview | | | POST/PATCH、publish、rollback |
-| `/preference-tags`、`/preference-suppressions` | GET · / {id} / revisions | | | POST/PATCH/DELETE |
-| `/settings` | GET | | | PATCH |
-| `/site-accounts`、`/sites` | GET · / {id} / snapshots / releases | | | POST/PATCH、enable/disable/snapshot、PUT credentials |
-| `/source-releases` | GET · / {id} | | POST {id}/identity、unlock | |
-| `/subscriptions` | GET · / {id} | | | POST ·; PATCH {id} |
-| `/tasks` | GET · / {id} / operations | | POST {id}/cancel、retry | |
-| `/title-aliases` | GET · / {id} | | | POST ·; DELETE {id} |
-
-## 5. 安全快查
-
-| 项 | 结果 |
-|---|---|
-| 凭证进日志 | 访问日志的 URL 经过 `redactString`,但它只认 passkey/token/access_token/api_key/apikey/auth/sign 这几个参数,**漏掉了 rsskey、torrent_pass、authkey、downhash、c_secure_pass**(S2,已实测)。对象字段按键名脱敏。`secrets.test`「SecretError 进日志只有 ref」和 `logger.test` 6 条通过。本次起的服务日志里 grep 不到未脱敏的 passkey/api_key |
-| 凭证进模型上下文 | `pi/runtime.ts:157` 的工具输出一律经过 `redactForModel`,错误信息经过 `redactString`;`runtime.test`「工具输出进入模型与事件前已脱敏」。凭证存储为 `secret_ref` + AES(`auth-settings/crypto.ts`),响应里只返回 secretRef(`api.test`「凭证只写」、`admin-api.test`「Pi apiKey 只写」)。风险点:TMDB 错误信息里带 api_key(S3),不过 agent 侧的脱敏能认出 `api_key=` |
-| 鉴权绕过 | 免鉴权清单见第 4 节;DEV_ADMIN_KEY 只在 `NODE_ENV=development` 下生效(`auth.test`);控制台管理员从 Web 手动调用算作人工授权(`authorize.ts:114`),API Key 必须有 grant 或 approval。漏洞:S1(自己批准)、R4(sourcePaths) |
-| CSRF | cookie 会话的写方法用 HMAC 双提交校验(`auth.ts:170-176`),实测缺少或伪造都返回 403;Bearer 不校验。cookie 为 HttpOnly、SameSite=Lax,`secure` 看直连 https,或者来自私网代理的 `x-forwarded-proto`。login/setup 免 CSRF(可以接受) |
-| SSE 鉴权 | `/events` 需要 read(`app.ts:102`),`sse.test`「需要鉴权」;实测用 cookie 连上返回 200 `text/event-stream`。给 API Key 调用方的 `?after=&limit=` JSON 补读已实现(E6)。注意:持 read 的 Key 能看到所有 agent 文本增量 |
-| qB 删数据防护 | 仅有两个 `deleteFiles:true` 调用点(`downloads.ts:879`、`:902`),都经过 `removeWithData`,在本机视图和下载器视图上各跑一次 `assertSafeToDeleteData`;候选必须满足:已入库 succeeded、没有失败的文件级结果、不再被 download_cache/hardlink 位置引用、保留期和 H&R 已满足。Move 后删种用的是 `deleteFiles:false`(`organize.ts:1101`)。`vertical`「缓存清理」里的库内陷阱任务被拒删,有效 |
-| API Key scope 覆盖率 | 185/185 个端点都有 scope,见第 4 节 |
-
-## 6. 工程规范
-
-- **提交规范**:48 个提交全部符合 `type(scope): 描述`,0 个违规。
-- **命令一致性**:README、runbook、各包 README 里出现的 `deno task *` 都能在 deno.json 里找到;全文没有残留 pnpm/npm 用法(任务书除外,见 S11)。
-- **包 README 与导出**:agent、db、domain、mapping、tasks 的 README 与导出一致。contracts 有 18 行,尚可。testkit 缺 emby/browser mock 的说明;adapters 和 web 的 README 只有 3 行(S11)。
-- **ci 时长与稳定性**:2 次分别 136 秒和 133 秒,测试数与结果一致,没有抖动。server 测试 55 秒、tasks 测试 34 秒是主要耗时。
-
-### 抽查 10 个关键测试(是否断言了真实行为)
-
-| 用例 | 结论 |
-|---|---|
-| E2「没有授权:download.submit 被拒」 | 有效:断言了 tool_call_end 为 isError、SSE 的 phase=denied、审计 `capability.denied`、download_task 为 0、计划停在 draft、Slot 仍为 empty,汇报标注"未经核查" |
-| E2「有持续授权……」 | 有效:断言了调用序列、账本 grant_id、run 先 waiting 再 succeeded、汇报引用整理记录 ID、`afterSeq` 补读、qB 只 add 一次 |
-| E4 kill -9 | 有效:qB 只 add 一次、账本只有 1 行、`resumed` 事件、seq 无重复;kill 时机不够精确(见 3.2) |
-| `organize-move` 跨卷 resumed | 有效:copy 为 skipped、delete_source 为 done、qB 删种时 deleteFiles=false、download_task 为 imported |
-| `vertical` 硬阈值 | 有效:只暂停纳管的下载中任务、手动 resume 返回 412、恢复水位区间保持暂停、只恢复阈值暂停项、读不到磁盘时保守阻止 |
-| `vertical` 缓存清理 | 有效:库内陷阱被拒删并给出原因,库副本仍在,asset_operation 已落库 |
-| `ingest` 三 Feed 去重 | 有效:1 条 source_release、3 条观察、事件只发 1 次、时间分开保存、游标持久化 |
-| `login` CSRF / 限速 | 有效:403/429 正反例齐全,被拦的请求不落表 |
-| `sse-pg` 跨进程 | 有效:子进程发布、API 推送,裁剪后收到 resync |
-| `agent/registry`「approve 类必须经授权」 | 部分有效:只测了注册中心回调,服务端 `createAuthorizer` 的审批分支没有测试(S4) |
-
-## 7. 五原则核对(每条两处)
-
-| 原则 | 保障 | 违背或风险 |
-|---|---|---|
-| 身份≠名字 | ① `external_identity_accepted_key`:(provider, entity_type, external_id) 在 accepted 状态下部分唯一(`0005_identity.ts:34`);② 合并时用 `merged_into_id` 跳转,旧 ID 保留(`resolve.test`「合并重复作品」) | domain 的匹配仍要求本地候选带 externalId(W1 建议项,没有修) |
-| 路径绑定固定 | ① `path_binding_active_key`:(entity, season) 同时只允许一个 active 绑定(`0007_assets.ts:88`);② `organize-move`「译名变化后新集仍进旧目录」 | R4:任意 sourcePaths 的 Move 可以从别的库根把文件搬走 |
-| 模型不是唯一事实来源 | ① `authorize.ts` 在服务端核对 grant/approval,忽略模型参数里的"已同意";② `agent/report.ts` 的汇报取自整理记录,模型文本标为"未经核查"(E2) | S1:外部 Key 可以自己批准 |
-| 失败≠不存在 | ① 对账时库根离线只标 unavailable,缺失按 suspected → confirmed 推进(`vertical`「资产对账」);② TMDB 失败记为 `lookup_failed`,不进 no_match(`resolve.test`),Emby 失败返回 unknown | `scanIncremental` 出错仍报 complete(建议项) |
-| 清理按明确授权 | ① `assertSafeToDeleteData` + `lockReason`(入库已验证、没有部分入库、没有引用、H&R);② 只读对账或总开关关闭时拒绝一切自动 execute(`authorize.ts:109-113`、`downloads.ts:557`) | R4:手动 Move 删源时不检查 H&R 和授权 |
-
-## 8. 给 M2 的前 5 条建议
-
-1. **合并凭证处理通道**:只保留一份共享的 redact 和 SecretResolver,qB/TMDB/Emby/RSS 统一走 secret_ref(W1 S8)。浏览器接入之后会有 4 类以上凭证流经日志和模型,在 M2 引入 camofox 之前就要收口,并加一条"全仓凭证泄漏"的故障注入测试(REQ §16.2 要求零容忍)。
-2. **授权模型产品化**:审批的决定限定为管理员会话;调查型 Agent 在授权内可以执行恢复(R3 的完整版);对 grant/approval/budget 做基于属性的测试(AT15/16/32/52)。
-3. **按 03 清单把 IO 与 Agent 分成两个 worker 组**,给 verifyAndImport、runAgent 分配独立并发度,并加事件循环延迟探针。在性能基线(REQ §16.2)里记录文件数、挂载类型和 ci 耗时,防止 ci 从约 135 秒继续膨胀(可以考虑按包并行跑 `-j`)。
-4. **e2e 矩阵扩到剧集和部分失败**:剧集追更(S5)、整季包部分已有(AT54)、部分文件入库后不清理(AT29)、多下载器同一 hash(AT73)。这些是 M2 综艺分段建模的前置样本。
-5. **把恢复和版本升级纳入 CI**:用 docker compose 跑"备份 → 清库 → 恢复 → 只读对账 → 映射比对"的夜间任务,再加一条 openworkflow 版本升级的回归测试,避免只靠人工演练记录。
-
-## W6 治稳记录(2026-09-28)
-
-起点:W4/W5 全部合入后两次全量 `deno task ci` 各挂不同用例(run1 E8 两例:`download_task` 停在 `importing`、C 没被清理;run2 E1 等 qB 收种超时、E6 预算超限用例汇总文案不符)。
-
-**区分方法**:10 个 e2e 文件逐个串行各跑 3 次,30/30 全绿;失败只在 44 个 server 测试文件并发全量时出现。结论是没有"稳定必现"的回归,但其中两处是并发下真实存在的产品竞态,另一处是负载导致的超时。
-
-### 真实缺陷(并发暴露)与修法
-
-| 现象 | 根因 | 修法 |
-|---|---|---|
-| E8:入库记录已 succeeded,`download_task` 仍是 `importing`;随后缓存清理不认它(期望 removed 实得 importing) | qB 同步 `observe` 先在事务外读 `download_task` 快照,再整行覆写 `status`;入库事务在两者之间把 `importing→imported` 提交后,同步按旧快照合并出 `importing` 写回(丢失更新)。负载高时窗口变大 | `services/downloads.ts observe`:事务内 `select … for update` 重读该行,按锁住的最新状态合并后写回(`mergeObservedDownloadState` 对 imported 保持不变) |
-| E6 预算超限:run 已是 `budget_exceeded`,summary 还是 finalize 的原文,之后才被改写成"未恢复:调查超出预算…" | 授权内恢复的核实结论由 finalize 之后单独一步 `annotateRunSummary` 追加,终态与最终汇总分两次写,观察者(UI/SSE/测试)能读到中间态 | `finalize` 新增 `summaryPrefix`,runAgent 把恢复结论随终态同一次写入并推送;`recover-summary` 步骤保留(已带前缀时幂等跳过),兼容旧 run 的步骤历史 |
-| (W5-C 遗留双写) | `organize.ts verifyAndImport` 仍用本地 `slotComplete` 判定并直接把 once 订阅置 completed,与 `applySlotEvent(verify_passed)` 按总集数账本的判定并存;总集数未知/订阅 pending 时两者会给出相反结论 | 删除 organize 本地 `slotComplete` 与订阅完成更新,完成与历史只由 `applySlotEvent` 钩子负责;手动整理指定 Slot 的分支改调 `services/subscriptions.ts slotComplete` |
-
-测试期望未改。
-
-### 不稳定项与治法
-
-- E1 等 qB 收种 60s 超时:全量并发时 44 个文件各起真实 worker/outbox/后台循环抢 CPU 与连接,编排链被拉长。治法:`apps/server/vitest.config.ts` 分两个 project,`unit`(明确列出的纯内存文件)并行,`pg`(其余全部,含 e2e 与 PG 集成,新文件缺省归此)`fileParallelism:false` 且 `groupOrder:1` 排在 unit 之后;`packages/tasks` 的 PG 引擎测试同样文件级串行。
-- worker 并发在 e2e 夹具与崩溃恢复子进程里显式配置(io 4 / agent 2),不受环境变量影响;钩子超时 120s、teardown 60s。
-- 已有保障复核:每文件独立业务 schema + 引擎 schema(pid+随机后缀),建/删在咨询锁上串行;mock qB/TMDB/RSS/站点端口均为 0(随机);等待均走 `waitFor` 轮询 + 超时。E8/E9 里剩下的 1.5s 固定等待是"一段时间内不应发生"的反向断言,保留。
-- 未引入任何重试。
-
-### 3 次全量 ci
-
-| 次 | 结果 | 耗时 | 其中 server vitest |
-|---|---|---|---|
-| 1 | 全绿(server 44 文件 / 259 用例) | 369s | 227s |
-| 2 | 全绿 | 341s | 232s |
-| 3 | 全绿 | 337s | 228s |
-
-代价:server 测试从并发约 90s 变为串行约 230s,tasks 约 52s;换来的是时序预算可预期。后续如需提速,可按 e2e 与集成拆成两个串行组分进程跑。

docs/plan/05-subscription-gap.md

@@ -1,158 +0,0 @@
-# 05 订阅业务差距与增强清单(对标 MoviePilot v3 @ e6820a8)
-
-> 上游行为见 `docs/porting/moviepilot-subscribe.md`(下称"账本",§ 号指账本章节)。本文只比对行为,不含代码。
-> 我们的实现范围:`packages/domain/src/{slot,acquisition}`、`apps/server/src/modules/acquisition-organize/{services,handlers.ts,routes}`、`packages/contracts/src/policy.ts`、迁移 `0004_content`/`0008_policy`;对照需求 REQ §5.4–5.5、§6,任务书 00 §3.1 第 5 条。
-> 核验日期 2026-09-27,基于当前工作区(含未提交改动)。
-
-## 0. 结论摘要
-
-- **架构差异是有意的**:MP 是"订阅行 = 身份+季+过滤参数+下载事实(note)"的单表模型,完成即删除;我们是"订阅(追踪意图)+ Slot(收录目标/条件)+ 内容单元账本 + 资产覆盖"的分层模型,事件驱动(`release.resolved → evaluateAcquisition`)。REQ 要求的分层(多 Slot、升级不覆盖、确定性评估、预算)已具备骨架。
-- **可比语义 34 项**(另 2 项不迁移):已覆盖/等价 11 项(32%),部分 7 项(21%),缺失 16 项(47%)。
-- **最大风险不在"缺功能",而在两处会导致错误结果的缺陷**:①剧集完成判定固定 `totalKnown: true` 且只按"已见过的单元"算,`once` 订阅会在 TMDB/发布只露出前几集时提前完成(违反 REQ §5.4);②Slot 同时只允许一个在途计划,忙时到达的发布被记 `slot_busy` 后**永不重评**(`next_evaluate_at` 未使用),连续更新的剧集会漏集。
-
-## 1. MP 语义 → 我们现状 → 处置
-
-状态:✅ 相同/等价 · ◐ 部分 · ✗ 缺失 · ↔ 有意不同(REQ 已覆盖)。优先级 P0(错误结果/主链路)> P1(常用能力)> P2(增强)。工作量 S ≤0.5 天,M 1–2 天,L 3 天+。
-
-### 1.1 创建与目标范围
-
-| # | MP 语义(账本 §) | 现状(文件) | 状态 | 处置 |
-| --- | --- | --- | --- | --- |
-| 1 | 订阅 = (source,id,季) 一行;多季拆多行(§1、§2) | 订阅指向本地实体 + `season_unit_id` + `season_scope`;条件在 Slot(`routes/rules.ts` subscriptions.create,`0008_policy`) | ↔ | REQ 增强已覆盖,不照抄 |
-| 2 | 创建时补 TMDB 季集表,算 `total_episode`,插件可只升(§2.3) | 创建不取季集;`content_unit` 只在解析发布时懒建(`sources-identity/service/entities.ts` findOrCreateUnit);TMDB 适配器已有 `seasons[].episodeCount`(`adapters/src/tmdb/client.ts`)但无人消费 | ✗ | **需补 P0 M**:`refreshMetadata` 写季单元 `metadata.episodeTotal`+来源,并按集数预建 provisional 集单元;未知则记 `totalKnown=false` |
-| 3 | 同身份同季查重;历史存在则 Follow 不再建(§2.5、§10) | 无查重,同一作品可建多条 active 订阅 | ✗ | 需补 P2 S:创建时同实体+同季 active 订阅返回 409 或幂等返回旧行 |
-| 4 | 标题识别失败则创建失败(§2.2) | `titleQuery` 订阅可建,但全链路只按 `media_entity_id` 取订阅,**titleQuery 订阅永远不被处理**(`services/acquisition.ts` evaluateRelease) | ✗ | 需补 P1 M:创建时同步 `catalog.lookup`/`identity.resolve`,需确认的进待处理中心;确认后回填 `media_entity_id` |
-| 5 | `start_episode`/`total_episode` 裁剪范围(§3.3) | 只有季粒度(`season_unit_id`);无起始集、无手动总集数锁 | ✗ | 需补 P1 S:`subscription.params.episodeRange {start,end?, locked}`,评估与完成都按范围裁剪 |
-| 6 | 默认订阅配置按类型回落(§2.4) | 已发布 acquisition 策略的 `defaultSlots` 自动建 Slot(`routes/rules.ts`、`AcquisitionPolicyRules`) | ✅ | 照现状 |
-| 7 | 订阅级下载器/保存路径(§1) | `params.downloaderInstanceId`;保存路径取实例(`services/acquisition.ts` gates) | ✅ | 照现状 |
-
-### 1.2 缺集与匹配
-
-| # | MP 语义 | 现状 | 状态 | 处置 |
-| --- | --- | --- | --- | --- |
-| 8 | 缺集 = 媒体库缺集 ∩ 订阅范围 − note(含在途)(§3) | `satisfiedUnits`=该 Slot 计划产出资产+当前资产的 `asset_unit_coverage`(`services/acquisition.ts`);在途计划不算单元而是锁整个 Slot | ◐ | 需补 P0(并入 #22):domain 新增 `computeUnitGaps(required, covered, inflight, range)`;在途单元计为"已预留"而非锁 Slot |
-| 9 | 标题/年份/别名匹配 + ID 冲突复核(§5 第 3–4 步) | 身份在 `sources-identity` 解析,给证据等级,`needs_confirm` 进待识别池;评估只接 `resolved` 发布 | ↔ | REQ 增强已覆盖(更严格),不照抄 |
-| 10 | 季匹配:多季包拒、无季号视为 S1(§5 第 5 步) | `current_season` + `season_unit_id` 时按季号过滤;实体级 Slot 接受任何季;多季包不拒 | ◐ | 需补 P1 S:`current_season` 未设 `season_unit_id` 时取创建时最新季;多季包按 Slot 范围判定覆盖而非直接拒 |
-| 11 | 规则组 `>` 分层 → pri_order(§6.1) | Slot `hard`/`soft` + `qualityTier` + `softRank` 确定性排序(`domain/src/slot/evaluate.ts`) | ↔ | REQ §6.1 已覆盖 |
-| 12 | include/exclude 正则(标题+副标题+标签)(§5 第 8 步) | 只有 `excludeGroups`;无关键词包含/排除 | ✗ | 需补 P1 S:`SlotHardConditions.include/exclude`(正则白名单校验,匹配 title+subtitle+labels) |
-| 13 | 订阅站点范围 ∩ 系统 RSS 站点(§5 第 1 步,`get_sub_sites`) | 无;任何站点的发布都参与 | ✗ | 需补 P1 S:`subscription.params.siteIds`,评估时 `rel.site_id` 不在范围 → skipped `site_out_of_scope` |
-| 14 | 体积区间,剧集按每集体积(§6.1 `__match_size`) | `min/maxSizeBytes` 按整包体积(`evaluate.ts` checkHardConditions) | ◐ | 需补 P1 S:增加 `perUnitSize`(体积/覆盖单元数),季包与单集同口径 |
-| 15 | 做种数/促销/发布时间规则(§6.1) | 无 | ✗ | 需补 P2 S:hard 增加 `minSeeders`、`freeOnly`;站点字段已在 source_release |
-| 16 | 订阅识别词 custom_words(§5 第 2 步) | 无订阅级识别词 | ✗ | 需补 P2 M:放 identity 层(实体级别名/偏移),不放订阅 |
-
-### 1.3 搜索与周期
-
-| # | MP 语义 | 现状 | 状态 | 处置 |
-| --- | --- | --- | --- | --- |
-| 17 | RSS/首页刷新后逐订阅匹配(§5) | Feed 轮询 + 站点快照 → 识别 → `release.resolved` 事件逐发布评估(`acquisition-organize/index.ts` outboxRoutes) | ✅ | 照现状(事件驱动比批量匹配更及时) |
-| 18 | 订阅主动搜索:新订阅 5 分钟、定时 24h(默认关)、手动(§4、§11) | 只在创建/改 Slot 时对**本地已索引**的最近 50 条重评(`kickEvaluate`);`release.search` 能力支持实时补查但无订阅调度 | ✗ | **需补 P0 M**:`searchSubscription` 任务 = 按实体标题/别名调 `snapshotSite(query)` → 走同一识别评估链;新订阅立即一次,缺口 Slot 按间隔(默认 24h,站点限流器兜底),手动按钮 |
-| 19 | 忙时/无结果后下次还能再匹配(批量匹配天然重试)(§5) | Slot `reserved/downloading/verifying` 时发布记 `slot_busy` 后不再评估;`next_evaluate_at` 有列无消费 | ✗ | **需补 P0 S**:Slot 离开忙态(verify_passed/failed、release)时入队按 Slot 重评;巡检消费 `next_evaluate_at` |
-| 20 | 元数据定时刷新 6h,完成前再刷总集数(§8) | 无订阅相关元数据刷新调度 | ✗ | 需补 P0 M(并入 #2):追踪中的剧集每 6h `refreshMetadata`,完成判定前强制刷新一次 |
-
-### 1.4 洗版/升级
-
-| # | MP 语义 | 现状 | 状态 | 处置 |
-| --- | --- | --- | --- | --- |
-| 21 | 电影洗版:pri 严格提升,100 即完成(§6.2) | `evaluateCandidate` upgrade:`minTierSteps`、`ceilingTier`、压制组白名单、同档不换 | ✅ | REQ §6.1 已覆盖(更细) |
-| 22 | 分集洗版:`episode_priority` 按集记录质量,只下能提升的集(§6.2) | 剧集 Slot 只有一个 `current_asset_id`;升级比较用"最近导入的那个资产";导入后 `current_asset_id = mainAssets[0]`(`services/organize.ts` verifyAndImport) | ✗ | **需补 P1 L**:按 (Slot, content_unit) 记录当前资产与质量档(新表或 coverage 加 slot_id+tier);升级按单元比较,候选只下"能提升的单元" |
-| 23 | 全集洗版 / 分集洗版整包优先(整包须严格高于每集)(§6.2) | 无 | ✗ | 需补 P2 M:Slot `packPolicy: per_unit / full_pack / prefer_pack`,门槛照抄 MP |
-| 24 | 洗版后旧文件由整理层覆盖/删除 | 新版核验入库后旧资产保留,生成"旧版本待处置" decision(`organize.ts`) | ↔ | REQ §6.2 增强已覆盖 |
-
-### 1.5 状态、完成、回写
-
-| # | MP 语义 | 现状 | 状态 | 处置 |
-| --- | --- | --- | --- | --- |
-| 25 | N/R/P/S;S 不参与任何动作(§7) | `active/paused/completed/cancelled`;非 active 订阅的 Slot 被跳过;无订阅 Slot 仍追踪 | ✅ | 照现状 |
-| 26 | P 待定:可搜索不可完成(§7) | 无对应状态;domain `unitCompletion` 有 `keepTracking/totalKnown` 但服务端未用 | ◐ | 用 #27 的 `totalKnown` 替代 P,不新增状态 |
-| 27 | 完成判定按目标范围与 total(§8) | `slotComplete` 固定 `{ totalKnown: true }`,required = 已存在的 main 集单元(懒建,只含见过的集)(`organize.ts` slotComplete) | ◐ | **需补 P0 S**:required 取季单元 `episodeTotal`(或预建单元);total 未知 → `complete=false, keepTracking`;once 订阅只在 `totalKnown && complete` 时完成 |
-| 28 | 总集数只升;回退不低于已存在最高集;手动锁(§8) | 无 | ✗ | 需补 P0 S(并入 #2):domain 纯函数 `resolveEpisodeTotal(old, fresh, injected, coveredMax, locked)` |
-| 29 | 下载后按集回写 note/episode_priority;整包需开种子核对(§9) | 入库后按实际文件写 `asset_unit_coverage`(domain `unitCompletion` 只认文件清单) | ↔ | REQ §6.2 已覆盖(更严格) |
-| 30 | 从整季包按需选集下载(仅 qB/TR)(§9 第 4 步) | qB 适配器有 `setFilePriority`(`adapters/src/qbittorrent/client.ts`)但提交链路未用;季包整包下载 | ✗ | 需补 P1 M:提交后取文件列表,按 `computeUnitGaps` 只勾缺失单元文件;计划记 `selectedUnits` |
-| 31 | 同一订阅一轮可下多个资源(batch_download 逐步扣减 lefts)(§9) | 每 Slot 同时一个计划;一个发布只给一个 Slot(`planned` 变量) | ✗ | **需补 P0 M**:允许同 Slot 多个"单元不相交"的在途计划(预留粒度从 Slot 改为 Slot×单元);部分唯一索引相应调整 |
-| 32 | 完成 = 写历史 + 删订阅 + outbox 事件(§7) | `status=completed` 保留行,`status_reason` 记原因 | ↔ | 已覆盖(保留行即历史) |
-| 33 | 重新订阅 / 重置(清事实,state=R)(§7、§10) | `subscriptions.update` 可把 status 改回 active;无"重置" | ◐ | 需补 P2 S:`POST /subscriptions/{id}/reset` 把 Slot 置回 empty/保留资产并重评 |
-| 34 | 优先级:无显式排队(MP 串行 + 随机休眠) | plan.priority 按 即时>追更>新作品>升级 写入,但提交/巡检不按它排序(`services/downloads.ts` sweepReservedPlans) | ◐ | 需补 P2 S:巡检与 deferred 恢复按 `sortByPriority` 出队 |
-| — | 分享/Fork/Follow/热门/Seerr、完成否决插件事件(§10) | 无 | — | 不迁移(REQ 未要求;否决由 decision/approval 承担) |
-
-## 2. REQ 对 MP 的增强点:实现情况
-
-| 增强点(REQ) | 期望 | 现状(文件) | 判定 | 缺口 |
-| --- | --- | --- | --- | --- |
-| Slot 多目标(§6.1) | 每作品多 Slot,独立状态/条件/升级;双版本须不同物理资产 | 多 Slot + 独立状态机 ✅(`domain/slot/state.ts`、`acquisition_slot`);`require_distinct_asset` 只存字段,`checkDistinctAssets` 未接入评估/入库 | ◐ | 评估时排除已被同组其他 Slot 占用的资产;一个发布可同时满足多个 Slot 时按组规则决定是否复用 |
-| 升级不覆盖旧版(§6.2) | 新版核验后切换,旧版按保留策略另行处理 | 升级计划 purpose=upgrade;核验通过才切 `current_asset_id`;旧资产只生成 decision(`organize.ts`) | ✅ | 剧集按单元切换依赖 #22 |
-| 追更总集数未知不结束(§5.4) | 总集数未知保持追更 | domain `unitCompletion({totalKnown})` 已支持;服务端硬编码 `true`,且无总集数来源 | ✗ | #2、#27、#28(P0) |
-| 仅本季/接续后续季(§6.5) | 用户添加默认接续;Agent 推荐默认追完当前季;特别篇/重启不算下一季 | `season_scope` 字段 + 用户创建默认 `following_seasons` ✅;`current_season` 仅在有 `season_unit_id` 时生效;agent 来源未强制默认 `current_season`;特别篇/同名重启无判定 | ◐ | origin=agent 默认 current_season;新季出现时对 following 订阅建季级 Slot 或记录;特别篇(S00/同名重启)进 decision |
-| Agent 主观选片接口(§6.5) | 明确条件代码执行;Agent 挑选记证据理由、独立预算、不得放宽硬限制 | `release.search` + `download.plan(slotId, releaseId)` 走同一确定性闸门 ✅(`acquisition-organize/capabilities.ts`);无"Agent 选择理由/证据"字段,无 Agent 独立预算 | ◐ | plan 增加 `selectedBy: agent` + `rationale/evidence`;预算加 `agentBytesPerDay/agentNewTitlesPerDay` |
-| 偏好标签与抑制(§6.7) | 标签结构化、可编辑、取消留抑制,Agent 不得据旧证据加回 | CRUD、修订历史、抑制记录、`agent_inferred` 遇抑制拒绝 ✅(`routes/rules.ts`);**标签未参与任何评估**(hard 排除/soft 排序/version 偏好均未映射到 SlotSpec 或新作品收录) | ◐ | 评估前把 active 标签编译进 SlotSpec(soft→`softRank` 加一维,hard→新作品/Slot 硬排除),拒绝理由写标签 id |
-| 预算与优先级(§6.4、§6.8) | 每日新增作品/字节/站点比例风险/存储保留/并发;即时>追更>新作品>升级 | 新增作品、字节、并发 ✅(`domain/acquisition/budget.ts`,gates 中执行,预留计入);优先级写入 plan ✅;站点比例风险、存储保留、Agent 独立预算 ✗;队列不按优先级 | ◐ | #34;站点比例 P2(需站点用户数据) |
-| 临时集单元(§5.4) | TMDB 未更新可建 provisional 单元继续下载入库 | 解析发布即建 `content_unit(status=provisional)` ✅(`entities.ts`);但完成判定把"已见单元"当全集 | ◐ | 与 #27 联动:provisional 单元参与覆盖,但不代表 total |
-| 三模式判定(§6.3) | 新作品看首播日期,追更看账本,升级独立于日期 | `determineMode` ✅(`domain/acquisition/mode.ts`),新作品需已发布策略 + 授权 | ✅ | — |
-| 回退条件(§6.1) | 指定等待期后接受次选 | `fallback` 只映射 `unknownPolicy`(`packages/mapping/src/slot.ts`) | ✗ | P2 M:`fallback.after{days, relax}`,依赖 #19 的定时重评 |
-
-## 3. 订阅增强实施清单(按优先级)
-
-### P0(错误结果/主链路,建议 W5 首批)
-
-1. ✅(W5-C)**总集数来源与账本**:`refreshMetadata` 把 TMDB `seasons[].episodeCount` 写入季单元并预建 provisional 集单元,插件/人工值只升、可锁 — `apps/server/src/modules/sources-identity/service/{metadata,entities}.ts`、`packages/adapters/src/tmdb/client.ts`(已有字段)。
-2. ✅(W5-C)**总集数纯函数**:`resolveEpisodeTotal(old, fresh, injected, coveredMax, locked)`(只升;回退不低于已覆盖最高集)— `packages/domain/src/slot/`(新 `episode-total.ts`)+ 单测(账本 §13 样本 1、9)。
-3. ✅(W5-C)**完成判定修正**:`slotComplete` 用季单元 total 与 `totalKnown`,未知或未齐 → 继续追踪;`once` 订阅仅 `totalKnown && complete` 完成 — `apps/server/src/modules/acquisition-organize/services/organize.ts`、`packages/domain/src/slot/completion.ts`。
-4. ✅(W5-C)**缺集纯函数**:`computeUnitGaps(required, covered, inflight, range)`,评估与完成共用 — `packages/domain/src/slot/`(新 `gaps.ts`)、`services/acquisition.ts` satisfiedUnits。
-5. ✅(W5-C)**Slot×单元预留**:同 Slot 允许多个单元不相交的在途计划,`BUSY` 从整 Slot 改为按单元冲突;调整部分唯一索引 — `services/acquisition.ts` reserve、`packages/db/migrations`(新迁移)、`domain/slot/state.ts`(剧集态语义)。
-6. ✅(W5-C)**忙后重评与定时重评**:Slot 离开忙态入队 `evaluateAcquisition{acquisitionSlotId}`;巡检消费 `next_evaluate_at` — `services/organize.ts`、`services/downloads.ts`、`acquisition-organize/index.ts` 循环。
-7. ✅(W5-C)**订阅主动搜索任务**:`searchSubscription`(新订阅立即 + 缺口 Slot 每 24h + 手动),按实体标题/别名调 `snapshotSite({query})` 后走原识别评估链 — `apps/server/src/modules/sources-identity/{tasks,scheduler}.ts`、`acquisition-organize/routes/rules.ts`(手动端点)、`packages/contracts/src/api.ts`。
-8. ◐(W5-C)**追踪剧集元数据刷新周期**:active 剧集订阅每 6h `refreshMetadata`,完成判定前强制一次 — `sources-identity/scheduler.ts`。
-
-### P1(常用过滤与季包)
-
-9. ✅(W5-C)**关键词包含/排除**:`SlotHardConditions.include/exclude`(正则白名单校验)— `packages/domain/src/slot/{types,evaluate}.ts`、`packages/contracts/src/policy.ts`、`packages/mapping/src/slot.ts`。
-10. ✅(W5-C)**订阅站点范围**:`params.siteIds`,评估跳过范围外站点并记理由 — `services/acquisition.ts`、`packages/contracts/src/policy.ts`。
-11. ✅(W5-C)**每集体积口径**:`perUnitSize` 按覆盖单元数折算 — `domain/slot/evaluate.ts`。
-12. ✅(W5-C)**集范围**:`params.episodeRange{start,end?,locked}` 裁剪评估与完成 — `services/acquisition.ts`、`services/organize.ts`、contracts。
-13. ✅(W5-C)**季包按需选集**:提交后读文件列表,`setFilePriority` 只下缺失单元文件,计划记 `selectedUnits` — `services/downloads.ts`、`packages/adapters/src/qbittorrent/client.ts`。
-14. ✅(W5-C)**按单元质量账本(分集升级)**:(Slot, unit) → 当前资产 + 质量档;升级按单元比较,候选只取能提升的单元 — 新迁移、`services/{acquisition,organize}.ts`、`domain/slot/evaluate.ts`。
-15. ◐(W5-C 仅状态)**titleQuery 订阅落地**:创建时解析身份,需确认进待处理中心,确认后回填实体并重评 — `routes/rules.ts`、`sources-identity/service/resolve.ts`。
-16. ✗ **季范围语义**:`current_season` 无 `season_unit_id` 时固定到创建时最新季;origin=agent 默认 current_season — `routes/rules.ts`、`services/acquisition.ts`。
-17. ✗ **偏好标签接入评估**:active 标签编译进 SlotSpec/新作品过滤,理由记标签 id — `services/acquisition.ts`、`packages/mapping/src/slot.ts`。
-
-### P2(增强)
-
-18. ✗ 订阅查重(同实体同季 active 幂等)— `routes/rules.ts`。
-19. ◐(W5-C:`upgrade.mode=full_pack` 只收整季包;prefer_pack 未做)全集/整包优先升级模式 `packPolicy` — `domain/slot/{types,evaluate}.ts`、`services/acquisition.ts`。
-20. ✅(W5-C)做种数/促销硬条件 — `domain/slot/evaluate.ts`。
-21. ✗ `require_distinct_asset` 接入评估与入库 — `services/{acquisition,organize}.ts`、`domain/slot/completion.ts`。
-22. ✗ Agent 选片理由/证据字段与独立预算 — `acquisition-organize/capabilities.ts`、`domain/acquisition/budget.ts`、contracts。
-23. ✗ 回退等待期 `fallback.after` — `packages/mapping/src/slot.ts`、`domain/slot/evaluate.ts`。
-24. ◐(W5-C:完成保留行 + PATCH status=active 重新订阅;无清账重置)订阅重置端点 — `routes/rules.ts`。
-25. ✗ 队列按 `sortByPriority` 出队 — `services/downloads.ts`。
-26. 实体级识别词/集偏移(替代 MP custom_words)— `sources-identity`。
-
-不迁移:订阅分享/Fork/Follow/热门、Seerr 入口、完成否决插件事件、搜索随机休眠(由站点限流器替代)。
-
-## 4. W5-C 实施记录(2026-09-27)
-
-对应 §3 的状态已在条目前标注(✅ 完成 / ◐ 部分 / ✗ 未做)。实现要点与落点:
-
-| 能力 | 实现 | 落点 |
-| --- | --- | --- |
-| 总集数账本 | 季单元 `content_unit.episode_total/_source/_locked/_at`(迁移 0025);`resolveEpisodeTotal`:变大采用、注入只升、TMDB 回退取 max(新值, 已覆盖最高集)、锁定不改、未公布保持未知;`refreshMetadata` 写入(只建季单元,不预建集单元);手动 `POST /subscriptions/{id}/episode-total`(不锁只升,锁定可调低) | `domain/slot/episode-total.ts`、`sources-identity/service/metadata-totals.ts`、`acquisition-organize/services/subscriptions.ts` |
-| 完成判定 | `slotComplete`:按季 `seasonProgress`(总集数已知且范围内全覆盖才完成;未知 → 继续追踪 + "疑似缺集"待处理 info);pending 订阅不完成;once 订阅完成、continuous+仅本季剧集季齐也完成;完成写 `subscription_history`(行保留,改回 active 即重新订阅) | `services/subscriptions.ts`(经 `applySlotEvent(verify_passed)` 钩入,覆盖 organize 传入的 complete) |
-| 缺集/在途 | `computeUnitGaps(units, covered, inflight, range)`;在途 = 该 Slot reserved/submitted 计划的 `unit_keys`(提交即计入,失败/移除释放);季包总集数已知按缺集展开,未知用整季通配 `s{季}*` | `domain/slot/gaps.ts`、`services/acquisition.ts` |
-| Slot×单元多在途 | 去掉 `acquisition_plan_slot_active_key` 唯一索引;剧集 Slot 在行锁内校验单元不相交后可再预留;Slot 状态 = 在途计划最靠后阶段(`transitionWithInflight`),最后一个结束才落静止态;电影 Slot 仍单在途 | `domain/slot/inflight.ts`、`services/downloads.ts applySlotEvent`、迁移 0025 |
-| 延后与重评 | Slot 忙/单元在途冲突 → `slot_deferral` + 候选评估 `decision=deferred`;计划结束(释放/失败/核验/下载被移除)→ `next_evaluate_at=now`;编排循环 `sweepDueSlots` 入队 `evaluateAcquisition{acquisitionSlotId}`(先按集号评 deferred 再评最近发布);未满足 Slot 按 `slotReevaluateIntervalMs`(缺省 6h)定时重评 | `services/subscriptions.ts`、`index.ts planTick` |
-| 主动搜索 | `searchSubscription`(sources-identity 注册):标题/原名/别名 ≤3 个检索词 × 订阅站点范围内已开启且非 failing 的站点,经 `liveSearch`(适配器 search + 共享限流 + 合并/退避 + `site_snapshot kind=live_search`);新结果走 release.observed → resolved → evaluate,旧结果由任务末尾的订阅重评覆盖;用户新建订阅立即一次,之后 `next_search_at`(`params.searchIntervalHours`,缺省 24h,0 关)由编排循环 `sweepSubscriptionSearch` 到期入队;手动 `POST /subscriptions/{id}/search` | `sources-identity/tasks.ts`、`services/subscriptions.ts`、`routes/rules.ts` |
-| 元数据周期刷新 | 追踪中剧集(active/pending 且有 TMDB 身份)`last_metadata_refresh_at` 超过 `metadataRefreshIntervalMs`(缺省 6h)→ 入队 `refreshMetadata`;**完成前强制刷新未做**(完成用当前账本) | `services/subscriptions.ts sweepMetadataRefresh` |
-| 季包选文件 | 提交后 `files()`(重试 3 次),视频文件按文件名解析集号:需要 = 计划单元(通配 = 未覆盖且不在其它在途计划)→ 其余视频与有集号的附属文件 `setFilePriority(0)`;拿不到清单/有视频认不出集号/包里没有需要的集 → 整包并在 `acquisition_plan.file_selection` 记理由;`unit_keys` 收敛为实际选中集;接管的已有任务不改选择 | `services/downloads.ts selectPackFiles` |
-| 分集质量账本 | `slot_unit`(Slot × 内容单元 → 当前资产 + 质量摘要 + 阶梯 pri);核验通过时登记;升级计划只替换计划内单元;全部已覆盖时按 `improvableUnits` 只取能提升的单元建 `purpose=upgrade` 计划 | `services/subscriptions.ts afterSlotVerified`、`services/acquisition.ts` |
-| 硬条件扩展 | `excludeSources`、`hdr{anyOf,noneOf,requireSdr}`、`codecs/excludeCodecs`、`min/maxUnitSizeBytes`(每集体积,季包按账本总集数折算)、`include/exclude` 正则(白名单校验:长度、反向引用、后行断言、嵌套量词)、`sites/excludeSites`、`minSeeders`、`freeOnly`;站点事实经 `EvaluationContext` 传入,缺失按 unknownPolicy | `domain/slot/{types,evaluate}.ts` |
-| 优先级阶梯 | `soft.tiers[]`(`>` 分层,层内条件同时满足),pri = 100 − 层号,未命中 0(`tiersRequired` 时拒绝);排序先比 pri;`upgrade.basis=priority`(配置阶梯时缺省)要求 pri 严格提升,`targetPri` 顶档;`upgrade.mode` movie / per_unit / full_pack | `domain/slot/evaluate.ts priorityLadder/currentPri/improvableUnits` |
-| trace | 所有评估结果带 `trace`(逐条违规中文说明 + 逐层阶梯),`describeViolation` 统一文案;候选评估记录新增 `pri/trace/unitKeys` | `domain/slot/evaluate.ts`、`mapping/slot.ts`、`contracts/policy.ts CandidateEvaluation` |
-| 状态 | `subscription.status` 新增 `pending`(未建档,或剧集无已接受 TMDB 身份;可搜索/评估,不可完成;`refreshMetadata` 成功后转 active);暂停不评估不搜索 | 迁移 0025、`routes/rules.ts`、`metadata-totals.ts` |
-| API/UI | `GET /subscriptions/{id}/progress`(季总集数 + 每集状态 + Slot 在途/延后)、`POST /subscriptions/{id}/search`、`POST /subscriptions/{id}/episode-total`、`GET /subscription-history`;订阅详情加"立即搜索"、主动搜索时间、追更进度(每集色块 + 设置/锁定总集数) | `contracts/api.ts`、`apps/web/app/routes/console/subscriptions.tsx` |
-
-测试:`packages/domain/test/subscription.test.ts`(账本/缺集/多在途迁移/硬条件/阶梯/洗版,覆盖账本 §13 样本 1、3、6、9、11、12);
-`acquisition-organize/__tests__/subscription.test.ts`(多在途 + 延后重评 + 移除释放、季包选文件与整包兜底、总集数未知不结束 + 疑似缺集 + once 完成写历史、pending 不完成/暂停不评估、分集洗版);
-`test/sources-identity/subscription-search.test.ts`(mock NexusPHP 主动搜索、站点范围、手动/暂停、季总集数写入与 pending→active);
-`test/e2e/e9-continuous-series.test.ts`(连续更新 3 集在 Slot 忙时到达全部入库,另一版本延后不重复下载,once 完成写历史);E7 保持通过。
-
-遗留:#8 完成前强制刷新;#15 titleQuery 订阅建档回填;#16 季范围语义;#17 偏好标签接入评估;P2 #18/#21–#23/#25/#26;
-`organize.ts verifyAndImport` 仍保留其本地 `slotComplete` 与"once 订阅完成"更新(W4-E4 改执行侧期间不动),实际完成与历史由 `applySlotEvent` 钩子按总集数账本判定;执行侧稳定后应删掉本地判定,改调 `services/subscriptions.ts`。

docs/plan/06-file-manager-spec.md

@@ -1,236 +0,0 @@
-# 06 文件管理页规格(`/console/files`)
-
-> 来源:`00-first-version-plan.md` §6 追加范围;对照 `docs/porting/moviepilot-filemanager.md`(下称"MP 账本",痛点编号 P1–P12)。
-> 需求约束:REQ §2.1 五原则、§7.1/§7.1.1(路径绑定固定、媒体级主动整理)、§8.2(扫描与"失败≠不存在")、§8.3(Copy/Move、删除保护)。
-> 本文只定规格,不含实现。实现时 contracts 先行(`packages/contracts/src/files.ts`)。
-
-## 1. 目标与边界
-
-**目标**:覆盖 MP 文件管理的全部操作(浏览、存储/根切换、面包屑、目录树、排序过滤、新建目录、重命名、删除、识别、刮削、整理、批量、预览/下载),并在四个方面做得更好:
-1. **有业务上下文**:每一行都显示"已登记资产 / 纳管下载中 / 临时文件 / 待识别",不用挨个点识别(P5)。
-2. **安全**:只能浏览登记过的根;删除进回收站并做引用检查;改名同步资产与路径绑定(P1/P2/P3)。
-3. **一条向导走完整理**:识别 → 逐项确认作品/季/集/Slot → dryRun 预览前后路径 → 执行 → 跳转整理记录(P7/P8)。
-4. **大目录与离线可用**:游标分页、截断提示、挂载离线显式报错而不是显示空目录(P6/P12)。
-
-**边界(不做)**:
-- 整库迁移、底层分支盘/存储池调度(REQ §7.1.1);网盘存储(115/阿里/Alist/SMB/rclone)——只有本机可达路径(含 NFS/FUSE 挂载)。
-- 不提供文件上传、在线编辑、解压;下载只允许非媒体小文件(≤ 20 MB,如 NFO/字幕/图片),视频不经浏览器下载。
-- **浏览器无媒体库写权限原则不变**:所有写操作由服务端执行,浏览器只提交意图;服务端做守卫、授权、审计。
-- 硬链接/软链接创建、空目录上溯清理、蓝光原盘整目录操作:列为 W5(与 `moviepilot-rust-transfer.md` 的 W5 项一起)。
-- 不改元数据自动刷新语义:刷新不改路径;只有本页的"重命名/移动/整理"是显式路径变更。
-
-## 2. 后端 API
-
-### 2.1 模块归属
-
-- 新建子模块 `apps/server/src/modules/acquisition-organize/files/`(路由 `routes/files.ts` + 服务 `services/files*.ts`),复用 `organize-guard.ts`、`planImport`、`volumes.ts`。
-- `POST /files/identify` 需要身份候选排序,归 `sources-identity` 模块注册(遵守"模块间不互相 import service",它只读 DB + 调 TMDB 适配器,不落库)。
-- **路径守卫下沉**:把 `organize-guard.ts` 里的 `sourceGuard` 的纯 IO 部分抽到 `packages/adapters/src/fs/guard.ts`(输入:根列表;输出:`check(p) → realpath`),两个模块共用;根列表由各自从 DB 读取。
-- 前缀统一 `/files`,scope:读 `organize.read`;写 `organize.execute`,另加 §2.4 的授权规则。
-
-### 2.2 读接口
-
-**`GET /files/roots`** → `FileRoot[]`
-| 字段 | 说明 |
-| --- | --- |
-| `id` | `lib:<library_root.id>` 或 `dl:<downloader_instance.id>:<mapping idx>` |
-| `kind` | `library` \| `download` |
-| `name` / `hostPath` | 显示名 / 本机路径(下载根 = 路径映射的 hostPath;无映射时取 localSavePath) |
-| `mediaKind` | 库根的 movie/tv/mixed;下载根为 null |
-| `writable` | 库根 `management_mode='managed'` 且进程对目录有 W_OK;`register_only` 恒 false(只读登记) |
-| `health` | `healthy/degraded/offline/unknown` + `checkedAt`,来自 `checkRoot`(哨兵)实时探测,≤2 s 超时 |
-| `usage` | `diskUsage` 的 total/free,失败为 null |
-
-与 `allowedSourceRoots` 同源,根 `/` 永不出现。
-
-**`GET /files?root=&path=&cursor=&limit=&sort=&order=&q=&filter=&hidden=`** → `{ root, path, entries, nextCursor, total, truncated, scannedAt }`
-- `path` 是根内相对路径(`""` = 根);服务端 `join(root.hostPath, path)` 后过守卫。响应里不回显绝对路径以外的东西。
-- 目录读取用 `opendir` 流式;单次最多读 `FILES_LIST_MAX_ENTRIES`(默认 20 000)项,超出 `truncated=true`,前端提示"请用搜索或进入子目录"。
-- 排序 `name`(自然排序,目录优先)/ `mtime` / `size` / `status`;`order=asc|desc`;`q` 为子串或 glob(大小写不敏感);`filter` 可多选:`video|subtitle|registered|unregistered|downloading|temp|unidentified`;`hidden=false` 默认隐藏点文件和 `.uhd-partial`/`.umt-trash`/哨兵。
-- 分页:排序在服务端全量(≤上限)完成后按 `limit`(默认 200,最大 1000)切片,`cursor` 为不透明偏移 + 目录快照 mtime;目录 mtime 变了返回 `stale: true` 让前端重载。
-- 每个 entry:
-
-| 字段 | 说明 |
-| --- | --- |
-| `name` / `type`(`file\|dir\|symlink\|other`)/ `size` / `mtime` | lstat;符号链接不跟随,仅标记,目标在根外时 `escape: true` 并禁用所有操作 |
-| `ext` / `fileKind` | video/subtitle/audio/nfo/image/other(同 domain/organize 的分类) |
-| `status` | 见下表,只取一个主状态,按优先级 |
-| `asset` | 已登记时:`{ assetId, locationId, mediaEntityId, title, year, contentUnit(S01E02), slotId?, slotStatus?, isPrimary }` |
-| `download` | 路径落在纳管 `download_task.content_path`(经 hostPathOf 映射)内:`{ taskId, status, progress, hnr: satisfied\|unsatisfied\|unknown }` |
-| `media` | 已登记资产取 `media_asset.media_info` 摘要(分辨率/HDR/编码/音轨数);未登记不探测,仅在 `/files/probe` 后缓存 |
-| `dirSummary` | 目录项:懒计算,仅列表当前页的目录给 `{ videoCount, registeredCount }`,上限 500 项/目录,超出给 `partial: true` |
-
-`status` 优先级:`temp`(`.uhd-partial`、`.!qB`、`.part`)> `downloading`(纳管任务未完成)> `registered`(有 available 的 asset_location)> `seeding`(纳管任务已完成未入库/或 Copy 后仍做种)> `unidentified`(视频且无资产)> `plain`。
-- 资产关联查询:本页 entries 批量 `WHERE library_root_id=? AND relative_path = ANY(?)`,下载关联按任务 content_path 前缀,不逐行查库。
-
-**`GET /files/stat?root=&path=`** → 单项 entry + `{ realPath, inode, device, nlink, sidecars[], bindings[] }`。`bindings` 为命中该目录的 path_binding(作品/季);`nlink>1` 标记"共享 inode,禁止原地改写"(REQ §8.3)。
-
-**`GET /files/download?root=&path=`**:仅 `fileKind ∈ {nfo, subtitle, image}` 且 ≤ 20 MB;`image` 同时作为预览。
-
-**挂载离线**:根哨兵检查失败或 `readdir` 报 EIO/ENOTCONN/ESTALE/ETIMEDOUT → `503 root_unavailable`,不返回空列表(原则 4,P12)。
-
-### 2.3 写接口
-
-所有写请求体都带 `idempotencyKey`(前端生成 UUID);同键重放返回首次结果(存 `task.idempotency_key`)。所有写操作:守卫 → 授权 → 前置检查 → 执行 → `audit_event`(action `files.<op>`,payload 含 root/相对路径/结果)→ SSE `files.changed { rootId, dirs[] }`。
-
-| 端点 | 请求 | 行为 |
-| --- | --- | --- |
-| `POST /files/mkdir` | `{root, path, name}` | `sanitizeSegment(name)` 后与原值不同则 400;`mkdir` 非递归,已存在 409;只允许 writable 根 |
-| `POST /files/rename` | `{root, path, newName, withSidecars=true, dryRun}` | 同目录改名,见 §2.3.1 |
-| `POST /files/move` | `{items:[{root,path}], target:{root,path}, mode:"move"\|"copy", dryRun, planId?}` | 见 §2.3.2 |
-| `POST /files/delete` | `{items:[{root,path}], mode:"trash"\|"permanent", dryRun}` | 见 §2.3.3 |
-| `POST /files/trash/restore` / `GET /files/trash` / `POST /files/trash/purge` | — | 回收站列表/还原/清空 |
-| `POST /files/identify` | `{items:[{root,path}], hints?:{mediaKind,year,tmdbId}}` | 见 §2.3.4,只读 |
-| `POST /files/organize` | 见 §2.3.5 | 复用 `/organization-records` |
-| `POST /files/scrape` | `{mediaEntityId, writeNfo:boolean, images:boolean}` | 见 §2.3.6 |
-| `POST /files/probe` | `{items:[{root,path}]}`(≤ 20 个视频) | `ffprobe` 摘要;已登记资产写回 `media_asset.media_info`,未登记只缓存 24 h(DATA_DIR/cache/probe) |
-
-#### 2.3.1 rename
-
-- `newName` 过 `sanitizeSegment`;不得含 `/`;目标已存在 → 409(**不覆盖**,修 P3)。实现用 `link+unlink` 或 `renameat2(RENAME_NOREPLACE)` 语义,不能用会覆盖的裸 rename;Deno 下用"先 lstat 再 rename + 事后 inode 比对"并在 `asset_operation` 记账。
-- `withSidecars`:视频改名时同 stem 的字幕/NFO/图片一起改(复用 `domain/organize/sidecars.ts` 的匹配规则),dryRun 返回全部前后名。
-- **已登记资产**:同一事务里更新 `asset_location.relative_path`(含 sidecar 的 location),写 `asset_operation` 账本(commit 阶段);发 `organization_record(trigger=manual, action=rename)`(枚举已有 `rename`)让外部程序增量感知。
-- **目录改名命中 path_binding**:这是显式路径变更(REQ §7.1.1),插入新绑定并把旧绑定置 `superseded`、`superseded_by_id` 指向新行,`bound_by` = actor;该目录下所有 asset_location 的 relative_path 前缀批量替换。**仅译名刷新不触发**,只有本端点和整理会改。
-- 目录内有纳管下载任务(做种中):拒绝 409 —— 改名会让 qB 找不到文件;提示先完成/移交。
-- 递归自动改名(MP 的 recursive)不照搬:改为 §3.4 向导里"按模板重命名"的一种模式,先预览全部,再一次执行,单项失败不影响其他项并列出失败清单(修 P9)。
-
-#### 2.3.2 move / copy
-
-- 目标必须是 writable 根下的已存在目录;源 ≠ 目标、目标不在源内。
-- **已登记资产或含已登记资产的目录**:不走裸 FS,转成 organize plan(记录 action 用已有的 `relocate`/`copy`):`planImport({sourcePaths, action, targetLibraryRootId, ...})` 的"原样搬运"变体(保持文件名,目标目录由用户指定)——需要在 `ImportRequest` 加 `targetDir`(绝对路径,须在库根下)与 `keepNames: true`。计划照常检查冲突、下载器引用、可用空间、H&R;执行走现有 `verifyAndImport` → 逐文件可恢复、跨卷 Copy→核验→删源、EXDEV 不降级。完成后 asset_location/path_binding 更新由整理流程负责。
-- **未登记文件**(如下载根里的散文件、临时整理):同样走 organize plan,但 `registerAssets=false`,只产生 organization_record,不建资产。这样搬运都是可恢复的,不存在第二套搬运代码。
-- `dryRun=true` 返回 planId + 前后路径表 + 冲突/空间/H&R 结论;执行必须带 dryRun 返回的 `planId`,服务端校验计划内容哈希与当前请求一致,且源文件 size/mtime 与计划冻结时一致,否则 409 `plan_stale`(dryRun 一致性)。
-- `mode=move` 授权同 `/organization-records`:admin 会话,或 API Key + grant/approval;H&R 未满足 → 409 + 待处理,不静默改 Copy。
-
-#### 2.3.3 delete(原则 5)
-
-- 默认 `mode=trash`:同卷移入 `<根>/.umt-trash/<yyyymmdd>/<uuid>/<原相对路径>`(rename,O(1));根不可写或跨卷时移入 `DATA_DIR/trash/` 需 Copy,超过 `FILES_TRASH_CROSS_MAX_BYTES`(默认 2 GiB)拒绝并提示用永久删除。`trash_item` 表记录原根、原相对路径、actor、时间、关联资产快照。
-- 保留 `FILES_TRASH_RETENTION_DAYS`(默认 7);清理由持久任务 `purgeTrash` 每日执行,删前复核 `trash_item` 仍存在。还原:原路径被占用 → 409,可选"还原到…"。
-- `mode=permanent`:设置项 `files.allowPermanentDelete`(默认 false)开启后才可用,且仅 admin 会话;前端二次确认输入文件名。
-- **引用检查(两种模式都做,dryRun 可预览)**:
-  | 情况 | 处理 |
-  | --- | --- |
-  | 命中纳管 download_task 的 content_path(未完成或仍在做种/H&R 未满足) | 拒绝 409,列出任务 |
-  | 已登记资产(asset_location available) | 允许,但必须勾选"同时退役资产":asset_location→`removed`,media_asset→`retired`,若为 Slot 满足资产则 Slot 退回 `attention` 并建待处理;写 organization_record(action=delete) |
-  | 目录是 library_root 本身、`path_binding` 绑定目录 | 根本身拒绝;绑定目录需勾选"解除绑定"(绑定置 superseded),否则 409 |
-  | 共享 inode(nlink>1) | 允许,提示"只删除这一处链接" |
-  | 根离线/stat 失败 | 拒绝(原则 4),不当作已删除 |
-- 删除永不连带 qB 任务;qB 侧清理仍只走 retention 流程。
-
-#### 2.3.4 identify(只读)
-
-- 对每个选中项:`parseReleasePath`(文件路径含父目录上下文)→ 本地实体优先召回(title_alias pg_trgm + external_identity)→ 不足时查 TMDB(走缓存)→ `rankCandidates`。目录项先展开为其中视频(上限 200)。
-- 返回每项:`{ parsed(标题/年份/季集/分辨率/来源/发布组), candidates:[{mediaEntityId?, provider, externalId, title, year, kind, level, reasons[]}] (≤5), suggestion:{mediaEntityId?, contentUnit?, slotId?}, existing:{assetId?} }`。
-- **不写库**:不建 media_entity、不写 identity_revision、不进待识别池;用户在向导里确认后才由 organize 落库。`resolveRelease` 需要拆出纯排序函数(`rankForPath`)供这里调用。
-
-#### 2.3.5 organize
-
-- 请求:`{ items:[{root, path, mediaEntityId, contentUnitId?, season?, episodes?, slotId?}], action:"copy"|"move", targetLibraryRootId?, dryRun, planId? }`。
-- 服务端按 `mediaEntityId` 分组,每组调用一次 `POST /organization-records` 同一实现(`planImport`),因此自动与手动整理产出同格式记录(REQ §7.1.1)。
-- **缺口**:现有 `OrganizeRequest` 只接受整批一个 `mediaEntityId/contentUnitId`,没有逐文件季集覆写。需扩 contracts:`fileOverrides: [{path, contentUnitId?, season?, episodes?}]`,planImport 在 facts 生成时优先用覆写值;`slotId` 用于指定满足哪个 Slot(缺省由 Slot 评估选)。
-- dryRun 返回每组 `planId`;执行请求携带全部 planId,逐组执行,任一组 plan_stale 只让该组失败。执行返回 `recordIds`,前端跳 `/console/organize?ids=`。
-
-#### 2.3.6 scrape
-
-- 只对**已登记作品**:等价于 `POST /media-entities/{id}/refresh`(字段级、用户锁优先、不动路径),可选 `writeNfo`/`images` 把最终字段投影成 NFO/海报写到绑定目录。
-- 写 NFO 规则(REQ §7.3):临时文件 + 原子提交;目标 NFO 若非本系统生成(无 `<!-- umt -->` 标记)且字段已被用户锁定来源为"NFO 导入",不覆盖,返回 `skipped`;不写媒体容器字节。NFO 投影本体目前未实现,列入后端工作量。
-- 未登记文件点"刮削" → 前端引导先走识别/整理,不提供"直接按路径刮削写 NFO"(避免对未登记内容写文件,修 P10)。
-
-### 2.4 授权矩阵
-
-| 操作 | admin 会话 | API Key |
-| --- | --- | --- |
-| roots/list/stat/download/identify/probe(只读缓存) | ✓ | `organize.read` |
-| mkdir / rename / copy / organize(copy) | ✓ | `organize.execute` |
-| move / organize(move) | ✓ | `organize.execute` + automation_grant 覆盖目标作品,或一次性 approval(绑定 planId 哈希) |
-| delete(trash) | ✓ | `organize.execute` + approval(每次) |
-| delete(permanent)、trash purge | 仅 admin 会话 | ✗ |
-
-Agent 侧暂不暴露 files.* 能力;若加,只开放 `files.list/identify`(只读)。
-
-## 3. 前端规格 `/console/files`
-
-### 3.1 布局
-
-- 桌面(≥ lg):左栏 `pg-chrome` 贴边 260 px(可拖宽,存 localStorage):根列表(按 库/下载 分组,每根带健康 StatusBadge 和剩余空间)+ 当前根的懒加载目录树;右侧 `pg-slab`:工具栏(面包屑、搜索、筛选、排序、视图、显示隐藏文件开关、新建目录、刷新)+ 列表 + 底部状态栏(项数、选中数/总大小、截断提示)。
-- 选中单项时右侧抽屉 `DetailSheet`:文件信息、资产/作品/Slot 链接、下载任务链接、sidecars、ffprobe 摘要、路径绑定;图片/NFO/字幕文本预览。
-- 移动端(< md):根和树收进 `Sheet`,列表单列卡片(名称 + 状态徽标 + 大小/时间一行),长按进入多选,操作放底部操作栏;面包屑折叠为"…/父/当前"。
-- URL 状态:`?root=&path=&q=&sort=&sel=` 可分享、可回退;刷新保持位置。
-
-### 3.2 列表
-
-- 列:选择框 | 图标 + 名称(已登记显示作品标题副行)| 状态徽标 | 季集 | 大小(目录显示视频数/已登记数)| 修改时间 | 行操作(⋯)。
-- 状态徽标(`StatusBadge` + 文字,不只靠颜色):已登记(success)/ 下载中 n%(neutral)/ 做种中·H&R 未满足(warning)/ 临时文件(neutral)/ 待识别(warning)/ 链接逃逸(destructive)。
-- 虚拟滚动(新增依赖 `@tanstack/react-virtual`,需登记许可 MIT);服务端分页 200 条,滚到底自动取下一页。
-- 快捷筛选 chips:全部 / 视频 / 待识别 / 已登记 / 下载中 / 临时文件;搜索框支持子串与 glob,300 ms 防抖,服务端过滤。
-- 空态:空目录(`EmptyState plain`,提供"新建目录")、过滤无结果(提供"清除筛选")、根离线(destructive 提示 + 上次健康时间 + "重试")、截断("只显示前 20 000 项,请搜索")、无权限。
-
-### 3.3 操作
-
-- 入口三处一致:行 ⋯ 菜单、右键菜单(桌面)、多选后的浮动操作栏。菜单按条件禁用并在 tooltip 说明原因(例如"做种中,不能改名")。
-- 单项:打开 / 重命名(F2)/ 移动到… / 复制到… / 整理到… / 识别 / 刮削(已登记)/ 探测 / 删除(Del)/ 复制路径(本机路径 + 下载器路径 + 媒体服务器路径三种,取路径映射)/ 在整理记录中查看。
-- 多选:整理向导 / 识别 / 移动到 / 复制到 / 删除 / 探测。
-- 重命名:行内编辑;右侧"建议名"按钮(按模板渲染,来自 identify 结果);显示将一起改名的 sidecars;已登记/绑定目录时提示"将同步资产与路径绑定"。
-- 移动/复制到:目标选择器复用目录树,只列 writable 根;先显示 dryRun 预览(前后路径、冲突、空间、H&R),再确认。
-- 删除:对话框列出引用检查结果,默认"移入回收站(7 天后清除)";需要额外勾选的项逐条列出。
-- 拖拽:把列表项拖到树节点或面包屑段 = "移动到…",松手后一律打开 dryRun 预览对话框,不直接执行;按住 Alt 为复制。
-- 键盘:↑↓ 移动焦点,Enter 进入/打开,Backspace 上一级,Space 勾选,Shift+点击/Shift+↑↓ 区间选,Ctrl/Cmd+A 全选,F2 改名,Del 删除,`/` 聚焦搜索,Esc 清除选择;列表为 `role="grid"`,焦点可见。
-- 长任务(整理/移动)提交后 toast 带任务链接,列表通过 SSE `files.changed` 与 `organization.*` 事件自动刷新受影响目录。
-
-### 3.4 批量整理向导(Sheet 全高,4 步)
-
-1. **识别**:对选中项调 `/files/identify`,表格:源文件 | 解析(标题/年/季集/质量)| 候选作品(下拉,显示等级与理由,可搜索改选)| 季/集(可编辑,支持批量"集号 +N 偏移")| Slot(下拉,默认自动)。同一目录的项默认共享作品选择;"应用到同组"按钮。未决项(无候选/低置信)高亮,必须处理或排除才能下一步。
-2. **选项**:动作 Copy/Move(Move 在有 H&R 未满足项时禁用并说明)、目标库根(按作品类型过滤)、是否按模板重命名(默认是)、已存在目标处理(跳过/冲突待处理)。
-3. **预览**:调用 dryRun,按作品分组显示前后路径对照(差异高亮)、新建目录、将创建/沿用的路径绑定(已绑定显示"沿用 旧目录名",体现原则 2)、冲突、空间、截断警告。任何组失败可返回第 1 步修改。
-4. **执行**:提交 planId,显示每组状态;完成后按钮"查看整理记录"跳 `/console/organize?ids=…`。
-
-### 3.5 与 MP 的对比(更好用的具体点)
-
-| MP | 我们 |
-| --- | --- |
-| 从 `/` 浏览整个文件系统(P1) | 只列登记的库根与下载根,带健康与空间 |
-| 列表无业务状态(P5) | 每行显示已登记/下载中/做种/待识别,并链接作品、Slot、任务 |
-| 删除直接 rmtree(P2) | 回收站 + 引用检查 + 资产退役联动 |
-| 改名不同步历史、可能覆盖(P3) | 不覆盖;同步 asset_location、path_binding 修订、sidecars;发整理记录 |
-| 无通用移动/复制(P4) | 移动/复制到 + 拖拽,统一走可恢复的 organize plan |
-| 识别单结果只读,与整理分离(P7) | 候选 Top5 可改选,结果直接进入向导 |
-| 批量整理只能一组参数(P8) | 逐项作品/季/集/Slot,按作品分组预览 |
-| 递归改名失败即中止(P9) | 全量预览,逐项结果,失败不影响其他 |
-| 刮削恒覆盖 NFO(P10) | 字段锁 + 仅对已登记作品 + 非本系统 NFO 不覆盖 |
-| 无键盘/拖拽/右键/隐藏文件开关(P11) | 全部提供 |
-| 离线显示空目录、大目录全量返回(P6/P12) | 503 显式离线;游标分页 + 截断提示 |
-
-### 3.6 设计纪律
-
-遵守 `docs/design/README.md`:只用语义 token;材质:左栏 `pg-chrome`,列表 `pg-slab`,菜单/对话框 `pg-float`,卡片内空态用 `EmptyState plain`;复用 `PageHeader`、`FilterBar`、`DataTable`(虚拟化版本新增 `virtual` 选项而非另造表格)、`DetailSheet`、`ConfirmDialog`、`StatusBadge`、`EmptyState`;新增共享件 `DirTree`、`PathBreadcrumb`、`ContextMenu`(基于 ui/popover)放 `components/console/`。导航:`nav.ts` 加"文件"工作区。`deno task check:tokens` 必须绿。
-
-## 4. 不变量、测试与实施拆分
-
-### 4.1 数据与安全不变量
-
-1. 任何请求解析出的 realpath 必须在某个登记根之下;`..`、绝对 name、符号链接逃逸、根本身写操作一律拒绝;遍历中每个文件复核(TOCTOU:执行阶段再次 realpath)。
-2. 浏览器永远不直接写文件;所有写操作有 audit_event 与幂等键。
-3. 路径变更只来自显式操作(rename/move/organize),且同事务更新 asset_location 与 path_binding 修订;元数据刷新不改路径。
-4. 删除不影响 qB 任务;纳管做种文件不可改名/删除/Move(除非 H&R 满足且有授权)。
-5. 失败≠不存在:离线/超时不改变任何资产状态、不显示为空。
-6. 执行只接受 dryRun 产出的 planId,且源文件事实未变。
-7. 不覆盖已存在文件;replace 只在整理流程的 `replace_with_verify` 策略下发生。
-
-### 4.2 测试要求
-
-- **路径逃逸**:`..` 段、URL 编码、符号链接指向根外(文件与目录)、`name` 含 `/`、根为 `/` 的配置被过滤;执行期把文件换成符号链接(TOCTOU)。
-- **删除保护**:纳管做种文件 409;已登记资产未勾选退役 409、勾选后 location=removed/Slot→attention;根本身拒绝;回收站还原到原位、原位被占 409;purge 只删过期项;离线根拒绝。
-- **rename 同步**:文件改名 → asset_location 与 sidecar 同步;目录改名命中绑定 → 新绑定 active、旧绑定 superseded 且链接;之后新集入库进入新目录;同名存在 409 且原文件未动;做种目录 409。
-- **dryRun 一致性**:dryRun 与执行对同一输入产出相同文件对;dryRun 后改动源(size/mtime)执行返回 plan_stale;planId 与请求体不匹配 403/409;幂等键重放不重复执行。
-- **列表**:分页稳定性、超大目录截断(生成 25 000 个空文件)、离线 503、状态徽标优先级、批量资产关联只发常数次查询。
-- **前端**:键盘导航、多选区间、向导步骤门禁(未决项不能下一步)、移动端布局快照;e2e:下载根散文件 → 识别 → 向导 Copy 入库 → 整理记录出现 → 列表状态变"已登记"。
-
-### 4.3 实施拆分(两路并行,contracts 先合并)
-
-| 路 | 范围 | 估计 |
-| --- | --- | --- |
-| 0. contracts(后端路先做,半天) | `files.ts` schema、`OrganizeRequest` 扩 `fileOverrides/targetDir/keepNames/registerAssets`、organization action 加 `delete`(已有 rename/relocate)、`trash_item` 迁移 | 0.5 d |
-| A. 后端 | guard 下沉到 adapters;roots/list/stat/download(含资产/下载关联与分页);mkdir/rename(同步资产+绑定);move/copy/organize 适配 planImport;回收站 + purgeTrash 任务 + 引用检查;identify(sources-identity 拆 rankForPath);probe;scrape(refresh 包装 + NFO 投影);授权矩阵、审计、幂等;§4.2 后端测试 | 5–6 d |
-| B. 前端 | 路由与布局、根/树/面包屑、虚拟列表与筛选、详情抽屉、行/右键/批量操作、重命名/移动/删除对话框(含 dryRun 预览)、4 步整理向导、拖拽与键盘、移动端、空态/错误态;前端测试 + e2e | 5 d |
-
-B 可在 contracts 合并后用 MSW/mock 先行;联调 1 d。NFO 投影若排期紧可拆到 W5,scrape 先只做字段刷新。

docs/plan/07-v0.1-final-review.md

@@ -1,323 +0,0 @@
-# v0.1 第二轮独立验收审查(发布前终审)
-
-审查日期:2026-09-28。基线 HEAD `36aa99b`(工作区只有 `deno.lock` 未提交改动)。只读审查,本文件是唯一写入。
-对照:`04-v0.1-acceptance.md`(第一轮)、`00` §3.1 与 §6、`02`、`03`、`05`、`06`、`docs/design/agent-ui-reference.md`、`docs/porting/{mp-rust-logic-parity,moviepilot-rust-transfer}.md`、README、runbook、CHANGELOG。
-
-**约束说明**:W6-A 正在独占修 e2e 稳定性,本轮**没有跑全量 `deno task ci`,也没有跑依赖 PG 的测试**。依赖 PG 的测试(server e2e、file-manager、acquisition-organize `__tests__`)只读代码核对断言,没有实际运行。
-
-本轮实测(均通过):
-
-| 项 | 结果 |
-|---|---|
-| 单包 vitest(不依赖 PG) | domain 510、contracts 589、adapters 264(另有 3 个 skip)、mapping 22、agent 31、web 27;server 里不依赖 PG 的 4 个文件(api-registry / logger / invoke-limits / health)共 56 个 |
-| 类型检查 | `apps/server`、`apps/web` 的 `deno task typecheck` 退出码 0 |
-| biome | 763 个文件,0 个 error;1 个 warning(`subscription.test.ts:132` 的 `dt2` 未使用),1 个 info(`subscriptions-policy.tsx:420` 有多余的 fragment) |
-| 实机 `PORT=4396 --role api`(测完已关) | `/health` 返回 `version:"0.1.0"`;`/files/roots`、`/files`、`/files/trash`、`/engine/runs` 无凭证时 401;`path=../etc` 返回 422;用 DEV_ADMIN_KEY 的 Bearer 调 `POST /approvals` 返回 403 |
-| 提交规范 | 82 个提交全部符合 `type(scope): 描述`;还没有任何 tag |
-
-## 0. 结论
-
-**前提是 W6-A 把 e2e 治稳、`deno task ci` 连续两次全绿。在这个前提下,修完 1 个阻塞项(只改文档)就可以打 `v0.1.0`。**
-
-- 第一轮的 4 个阻塞项全部复核落地。11 个应修项里 10 个已验证,S9(控制台 TOTP 入口)仍缺。
-- §6 追加范围:
-  - 文件管理:后端 18 个端点齐全,规格 §4.1 的 7 条不变量都有代码和测试对应。
-  - 订阅增强:05 清单 P0 的 1–7 条全部完成,第 8 条部分完成。
-  - Agent 页:agentui 映射表 11 行全部落地。
-  - 转移语义:5 项全部落地,挂死隔离在生产二进制里生效有容器演练记录。
-  - 差分补迁:missing 和 our_bug 已清零。
-- 阻塞的是**发布说明**:CHANGELOG `[0.1.0]` 完全没写 W4-E4、W4-F、W5-A~E,"已知限制"里还有一条已经过时的表述。
-- 安全面没有发现需要阻塞发布的漏洞。有 1 个多源 Move 的授权范围缺口(应修 S-1),危害比第一轮 R4 小:只能在已登记的根之间搬运,而且资产位置会跟着更新。
-
-## 1. 问题清单
-
-### 1.1 阻塞发布(1)
-
-| # | 问题 | 位置 | 修法 |
-|---|---|---|---|
-| B1 | CHANGELOG `[0.1.0]` 只写到 W4-E3。缺少 W4-E4(转移语义)、W4-F(Agent 会话页)、W5-A/A2/B(文件管理)、W5-C(订阅增强)、W5-D(识别差分补迁)、W5-E(生产 fsworker、`autoInvestigateMode` 设置)。"已知限制"第 3 条("没有来源会把集单元确认……Slot 不会进入 satisfied")在 W5-C 引入总集数账本后已经不成立 | `CHANGELOG.md` | 按波次补 W4-E4 到 W5-E 的条目;把"已知限制"换成本文 §8 的清单(或直接链接本文),删掉过时的第 3 条 |
-
-### 1.2 应修(v0.1.x,10 项)
-
-| # | 问题 | 位置 | 修法 |
-|---|---|---|---|
-| S-1 | `/files/move` 用 API Key 执行时,只取 `sources[0]` 对应的作品去核对持续授权。只要持有覆盖作品 A 的 grant,就能在同一请求里把作品 B 的已登记文件一起 Move 走 | `file-manager/transfer.ts:236-244` | 对每个源(目录按其中已登记资产)求出作品集合,要求每个作品都被 grant 覆盖;有无法归属作品的源时只接受一次性审批。补一条"两个作品只授权一个 → 403"的测试 |
-| S-2 | 注册表的鉴权标注又和实际行为不一致了(第一轮 S10 的回归)。`GET /files/download` 和 `POST /files/trash/purge` 在处理器里只放行管理员会话,但注册表只标了 `scope:"admin"`,没有标 `auth:"session"`,所以 api-registry 的双向测试没有覆盖到它们。另外 `isAdmin` 放行 `dev_admin`,而 `auth:"session"` 的端点会拒绝 DEV key,两处口径不同 | `packages/contracts/src/api.ts:1150,1182`;`file-manager/common.ts isAdmin` | 两个端点标 `auth:"session"`,在 `api-registry.test` 的会话端点列表里加上;确定 DEV key 的口径,两处统一 |
-| S-3 | 第一轮 S9 仍未做:`useTotpStatus` / `useTotpAction` 写好了,但界面里没有任何地方调用,账户弹层只有改密和登出 | `apps/web/app/components/console/account-menu.tsx` | 账户弹层加"二次验证"开关,接 `GET/POST /auth/totp`;04 表里 S9 的状态同步更新 |
-| S-4 | 脱敏键表还是三份(见 §5.4)。rss 和 browser 两处都漏了 `c_secure_pass`、`pass_key`/`auth_key` 这类带分隔符的写法、`refresh_token`、`password`、`uid_key`;browser 另外漏了 `auth`。adapters README 写的是"键表与规则取 contracts 的 redact.ts",与实际不符 | `packages/adapters/src/rss/redact.ts:9`、`browser/redact.ts:13` | rss/browser 的参数判定改为调用 `@umt/contracts` 的 `isSensitiveKey` 和 `SENSITIVE_QUERY_PARAMS`,各自只保留特有规则(路径式 passkey、cookie 名、a11y 密码框);加一个三处一致性测试 |
-| S-5 | 回收站"还原到…"不检查目标根是否可写,可以还原进 `register_only` 库根。父目录不存在时,会先按 `resolve()` 递归 mkdir,再做 realpath 复核;如果中间一段目录是指向根外的符号链接,根外可能已经被建出目录 | `file-manager/trash.ts:478-506` | target 走 `isWritableTarget`;原位还原时先逐级 realpath 已存在的祖先目录,再 mkdir |
-| S-6 | `/files/identify` 走 `capabilities.invoke("catalog.lookup")`,绕开了 `invoke-limits` 的 TMDB 并发限制。每项超时 15 秒;目录最多展开 200 个视频,在 HTTP 请求里串行 | `file-manager/identify.ts:150-160` | 复用 `createInvokeLimiter` 的 TMDB 信号量;单次请求内去重后的远端查询设上限(如 20),超出的项给 warning |
-| S-7 | 文件管理的重活仍在 API 进程的 HTTP 请求内做:跨卷进回收站最多复制 2 GiB;还原时跨卷 `copyTree` **没有大小上限**;永久删除时递归 `rm`;所有 fs 调用都不经 fsproxy,挂死的挂载会占满 API 进程的 libuv 线程池,而 `probeRoot` 的 2 秒超时只挡住等待,挡不住卡住的系统调用 | `file-manager/trash.ts:390-399,513-516` | 还原沿用 `trashCrossMaxBytes`,或者跨卷的回收站/还原改为入队任务、返回 taskId;根探测与 readdir 走 FsProxy 的快操作。暂时做不到就写进已知限制(已列入 §8) |
-| S-8 | 完成判定有两条路径。`organize.ts` 仍保留本地的 `slotComplete`,并直接把 once 订阅置为 `completed/slot_satisfied`;`services/subscriptions.ts` 按总集数账本判定并写 `subscription_history`。两者结论不同时,once 订阅可能不写历史就完成 | `acquisition-organize/services/organize.ts:1458-1492,1548` | 删掉本地判定,统一调用 `services/subscriptions.ts`(05 §4 遗留里已经点名) |
-| S-9 | 文档与代码不同步 | 见右列 | `moviepilot-rust-transfer.md` §7 遗留第 1 条("编译二进制回退 in-process")已被 3641ab9 解决,改为已做;contracts README 缺 `files.ts`、`redact.ts`、`browser.ts`、`auth.ts`;adapters README 的 fs 行缺 `FsProxy` 和 `./fsworker` 导出;`apps/server/README.md` 的模块清单缺 `file-manager/`,角色缺 `worker:agent` 和 `fsworker`;04 表 S9 行没有标状态 |
-| S-10 | 验收开关 `UMT_FS_TEST_HANG_AFTER_BYTES` 在生产二进制里同样生效。误设以后,所有数据类文件操作都会卡死,直到被 SIGKILL | `packages/adapters/src/fs/fsproxy.ts` | 只在 `NODE_ENV!=="production"`,或者同时设置 `UMT_FS_TEST_HOOKS=1` 时生效;preflight 发现已设置就 warn |
-
-### 1.3 建议
-
-- `POST /files/probe` 标的是 `organize.read`,但会写 `media_asset.media_info`,而且在请求里串行跑最多 20 次 ffprobe,每次 30 秒超时。建议改成 `organize.execute` 或入队。
-- 永久删除只在单项时要求 `confirmName`,多项时没有服务端确认(`trash.ts:217`)。
-- 测试可以补几处:trash 用例在审批消费后补一条"重放 → 403";download 用例补"admin scope 的 API Key → 403";E6 自动恢复现在只核实到 recheck 后回到 `downloading`,可以再延伸到入库;engine-retry 用的是 mock 的 enqueue,可以加一条真实引擎的用例。
-- e2e 文件编号重复(`e6-auto-recover` 和 `e6-w4a-endpoints`),建议改成 E10。迁移 0017 空缺维持现状即可(已知、无害)。
-- 04 §1.3 的 7 条建议都还没动(下载状态机 `ALLOWED=ALL`、`scanIncremental` 出错仍返回 complete、流程版本升级没有测试、AT18 e2e、AT42 未纳管、vertical 用例依赖执行顺序、web 单测少),已并入 §8。
-- 清掉 biome 的 1 个 warning 和 1 个 info。
-
-## 2. 第一轮问题复核
-
-| # | 第一轮问题 | 结论 | 证据 |
-|---|---|---|---|
-| R1 | 后台循环绕过引擎;HTTP 内同步重活 | 已验证 | fe9693d:`index.ts planTick` 只调 `enqueueTracked`/`enqueueSweep`,W5-C 新增的 `sweepDueSlots`/`sweepSubscriptionSearch`/`sweepMetadataRefresh` 也只 enqueue;`routes/downloads.ts:100-125` 返回 202 `{taskId,runId}`;`__tests__/background-loop.test.ts` |
-| R2 | 版本 0.0.0 | 已验证(tag 待打) | 根与 9 个成员 `deno.json`、`apps/web/package.json` 都是 0.1.0;实机 `/health` 返回 `0.1.0`;`git tag` 为空,由协调者打 |
-| R3 | 授权内恢复 | 已验证 | 86af723;`e6-auto-recover` 3 条:无授权降级、已发布策略授权下 `task.inspect→download.recheck`→系统核实→事项 resolved、换源被拒、重复触发只有一个 run、预算超限。3641ab9 把 `autoInvestigateMode` 放进了设置页 |
-| R4 | `sourcePaths` 无约束 | 已验证 | ceff9cf;`organize-guard.test.ts` 6 条:根外、`..`、符号链接 → 400,dryRun 同样受限;API Key 做 Move 没有授权 → 403;grant 绑定的策略非 published 不算;审批用后 consumed;H&R → 409 |
-| S1 | 自己批准审批 | 已验证 | `api.ts` 中 approvals 两个端点为 `auth:"session"`;`approvals.test`「admin scope 的 Key 同样 403」;实机 DEV key → 403 |
-| S2 | logger 脱敏窄 | 部分:logger 与模型上下文已验证,rss/browser 仍缺 | `contracts/redact.ts` 由 logger 与 agent 共用,`logger.test` 通过;rss/browser 见 S-4 |
-| S3 | TMDB 错误带 api_key | 已验证 | f48e1aa;`tmdb/client.ts` 的 message 经过 `redactUrl` |
-| S4 | 审批分支无测试 | 已验证 | `test/agent/approvals.test.ts` 5 条,断言了"改计划→被拒→重批→只消费一次→不可重放" |
-| S5 | 剧集纵切 | 已验证 | `e7-tv-series`;W5-C 又加了 `e9-continuous-series` |
-| S6 | AT24 | 已验证 | `e8-tag-removal` 4 条,用 qB 调用日志断言:`torrents/delete` 计数不变、资产与位置不变 |
-| S7 | 生产构建能开 Agent mock | 已验证 | `agent-mock.test.ts`;文件页 mock 也按同一套规则只在 DEV 生效(`resolveFilesMock`,`model.test.ts:237`) |
-| S8 | 引擎面板重跑 | 已验证 | `engine-retry.test.ts` 2 条(幂等键序号、审计、409/404/403) |
-| S9 | 控制台 TOTP 入口 | **仍缺** | 见 S-3 |
-| S10 | 注册表鉴权标注 | 已验证,但新端点回归 | `api-registry.test` 4 条通过;新增的 download/purge 没有标注,见 S-2 |
-| S11 | 文档不一致 | 已验证,但有新的不同步 | 见 S-9 |
-
-## 3. §6 追加范围
-
-### 3.1 订阅增强(对照 05)
-
-| 05 §3 条目 | 状态 | 证据 | 缺口 |
-|---|---|---|---|
-| 1 总集数来源与账本 | 完成 | 迁移 0025(`content_unit.episode_total*`);`sources-identity/service/metadata-totals.ts`;`subscription-search.test` 断言季总集数写入、pending→active | 只建季单元,不预建集单元(设计如此) |
-| 2 `resolveEpisodeTotal` | 完成 | `domain/slot/episode-total.ts`;`domain/test/subscription.test.ts` 覆盖账本 §13 的样本 1、9 | — |
-| 3 完成判定 | 完成(有双轨) | `services/subscriptions.ts slotComplete`;`__tests__/subscription.test.ts:233`「总集数未知不结束、记疑似缺集;就绪后补齐 → once 完成并写历史」 | S-8 |
-| 4 `computeUnitGaps` | 完成 | `domain/slot/gaps.ts` + 单测;`services/acquisition.ts` | — |
-| 5 Slot×单元预留 | 完成 | 0025 去掉 `acquisition_plan_slot_active_key`;`domain/slot/inflight.ts`;`subscription.test.ts:112`(20 个断言);E9「Slot 忙时 E02/E03 同时在途」 | 电影 Slot 仍然只允许一个在途计划(设计如此) |
-| 6/7 忙后重评、主动搜索 | 完成 | `slot_deferral`、`sweepDueSlots`;`searchSubscription` 与 `POST /subscriptions/{id}/search`(admin,入队) | — |
-| 8 元数据 6h 刷新 | 部分 | `sweepMetadataRefresh` | 完成前没有强制刷新 |
-| P1 9–14 | 完成 | include/exclude 正则白名单、站点范围、每集体积、集范围、季包选文件、`slot_unit` 分集洗版 | — |
-| P1 15–17、P2 18/21–23/25/26 | 未做或部分 | 05 §4 遗留 | 见 §8 |
-
-REQ 增强点:"总集数未知不结束"和"临时集单元"从 ✗/◐ 变成 ✅;"Slot 多目标"(`require_distinct_asset` 没有接入)、"偏好标签参与评估"、"Agent 选片理由与独立预算"、"回退等待期"、"队列按优先级出队"仍是 ✗/◐。
-
-### 3.2 文件管理(对照 06)
-
-**端点**:规格里的 16 个全部实现,另外新增 `POST /files/copy` 和 `GET /files/records`。与规格的偏离:
-
-| 端点 | 与规格的偏离 | 性质 |
-|---|---|---|
-| download | 规格写的是 `organize.read`,实现为仅管理员会话 | 更严,可以接受 |
-| 永久删除开关 | 规格写的是设置项 `files.allowPermanentDelete`,实现为环境变量 `FILES_ALLOW_PERMANENT_DELETE` | 需要重启才能生效,可以接受 |
-| scrape | `writeNfo/images` 返回 `not_implemented` | 规格允许拆到 W5 之后,已列入 §8 |
-| 路径守卫 | 没有下沉到 `adapters/fs/guard.ts`,模块自带 `resolveIn/recheck` | runbook 已写明 |
-
-**§4.1 不变量**:
-
-| 不变量 | 状态 | 代码 | 测试 |
-|---|---|---|---|
-| 1 realpath 在根内;`..`、符号链接逃逸、根本身写操作拒绝;执行前再 realpath(TOCTOU) | 满足 | `common.ts resolveIn/recheck`;所有写端点都先过 `resolveIn`(mkdir/rename/move/copy/organize/delete/restore/probe/identify/download) | `browse.test:90`(`..`、URL 编码、根外、符号链接指向文件和目录、未登记根);`write.test:280` 的 TOCTOU 用例:预览后源被换成链接 → `path_escape`,根外文件不动 |
-| 2 浏览器不直接写;审计与幂等键 | 满足 | `routes.ts idem()` + `ledger.ts`;每个写操作都调 `audit()` | `write.test:196`「幂等重放不重复执行」 |
-| 3 路径变更只来自显式操作,同一事务更新位置与绑定 | 满足 | `mutate.ts`、`records.ts relocate` | `write.test:74/144` |
-| 4 删除不碰 qB;做种中不能改名、删除、Move | 满足 | `trash.ts checkItem`、`transfer.ts download_active` | `trash.test:38`、`write.test:174` |
-| 5 失败≠不存在 | 满足 | `onlineRoot` 返回 503;`fsErrorToFiles` | `browse.test:120`、`trash.test:202`、`w5a2.test:392` |
-| 6 只执行 dryRun 产出的 planId,源事实不变 | 满足(move/copy/organize/delete) | `loadPlan` + 指纹 | `write.test:196`、`identify-organize.test:72` |
-| 7 不覆盖 | 满足 | `moveSafe`;copy 遇到目标已存在记失败 | `write.test:74`、`w5a2.test:182` |
-
-**前端**:路由 `/console/files` 和 `/console/files/trash`,组件 `DirTree`、`PathBreadcrumb`、`ContextMenu`、`DetailSheet`,4 步向导(未决项挡住下一步)。虚拟滚动是自己写的(没有引入 `@tanstack/react-virtual`,所以不需要登记许可)。键盘支持 `role="grid"`、F2、Del、Backspace、Shift 区间选、Ctrl+A;拖拽后先打开 dryRun 对话框;SSE `files.changed` 触发刷新。测试:`components/files/model.test.ts` 16 条(选择模型、徽标、禁用原因、集号偏移、未决判定、mock 开关),冒烟覆盖两个路由。
-**缺口**:规格 §4.2 要求的前端 e2e("下载根散文件 → 识别 → 向导 Copy → 整理记录 → 状态变为已登记")和移动端快照没有做。
-
-### 3.3 Agent 会话页(对照 agent-ui-reference §3 映射表)
-
-| 事件/对象 | 落地 | 位置 |
-|---|---|---|
-| `run_started` / `text_delta` | `Message` + `StreamingResponse`(增量拼接,加流式光标) | `agent-conversation.tsx` |
-| `thinking_delta` | 自写可展开的思考块,保留完整文本 | `:239` |
-| `tool_call_start/end` | `ToolResult`,带类别/scope/风险/幂等徽章 | `agentui/tool-result.tsx` |
-| `tool_call_rejected` 与授权失败(`unauthorized/forbidden`) | `ToolApproval` 的 `rejected` 醒目态(`role=alert`) | `:130-139` |
-| `compaction` | `MessageMarker` | `:451` |
-| `run_completed/failed`、超预算 | `MessageBubble` 的 warning/danger 变体 + 超限原因 | — |
-| Approval | `ApprovalCard`,状态集对齐 pending/approved/rejected/revoked/expired/consumed;非管理员会话时按钮禁用 | `:626-670` |
-| `AgentGoalReport` 声明与核实分开 | `FinalReport`,双栏 + `FileDiff` + `CitationList` | `:684-790` |
-| Budget | `BudgetBar`(自写,有超限态) | `:563` |
-| RunMode | 头部显示"只要方案 / 授权内执行";plan_only 用 `TodoList` | `:338,491-514` |
-| 滚动跟随 | `MessageScroller`(阈值状态机 + "回到底部"按钮) | `agentui/message-scroller.tsx` |
-
-结论:映射表每一行都落地了,许可文件 `LICENSE-agentui.md` 也在。缺口:组件层没有单测,只有 `agent-helpers.test.ts`;幂等键取自审计,最多翻 3 页(文档已写明)。
-
-### 3.4 转移语义(对照 moviepilot-rust-transfer §7)
-
-| 项 | 状态 | 证据 |
-|---|---|---|
-| 挂死隔离在**生产二进制**里生效 | 已验证 | 3641ab9:`main.ts` 在加载其余模块前分派 `--role fsworker`;`deno.json compile --allow-run=…,/app/umt-server`;`deploy.md` W5-E 容器演练:日志里 `workerKind:"self"`,`/proc` 里能看到 `umt-server --role fsworker`(uid 10001),停滞 3 秒 → SIGTERM → SIGKILL,共 3 次,之后账本记 `TIMEOUT` 并建待处理,只残留 `.uhd-partial`、没有最终名的半成品;`fsproxy.test` 的 10 条中有 3 条挂死用例(屏蔽 SIGTERM、FIFO、快操作) |
-| partial 清理 | 已验证 | `copy.ts sweepPartialsOlderThanMs`,`executeRecord` 对每个目标目录也清一次;`organize-fs.test:48`「写前清走超过 24h 的 partial」 |
-| replace | 已验证 | `copy.ts replaceCommit`(硬链接留底 → rename 原子替换);3641ab9 起旧文件进 `.umt-trash/<day>/<uuid>/` 并登记 `trash_item`;`organize-fs.test:48` |
-| EEXIST 误报 | 已验证 | 对账阶段比对失败按 IO/TIMEOUT 处理,不再报 EEXIST;`organize-fs.test:118`:FIFO 让对账挂死 → 2 次 TIMEOUT 重试 → 第 3 次 failed + `fs_retry_exhausted` |
-| TIMEOUT 错误码 | 已验证 | `FsErrorCode.TIMEOUT`,`ETIMEDOUT` 也映射为它;`fsErrorClass` 归为 retry;`fsproxy.test:184` |
-| 缺口 | — | `planImport` 的 stat/哈希、`reconcile.ts`、文件管理都不经 fsproxy;没有根级熔断(把根标为 suspect);基准 B1–B3 没跑;失效软链、hardlink、蓝光原盘、organize 的空目录上溯清理 |
-
-### 3.5 差分补迁(对照 mp-rust-logic-parity §10)
-
-| 链路 | 补迁前 | 补迁后 | missing / our_bug |
-|---|---|---|---|
-| 标题识别(216 条 × 18 字段) | 92.9%;剔除登记项后 97.4% | 94.4%;剔除登记项后 100% | 0 / 0 |
-| 显式 ID | 8/11 | 10/11 | 0 / 0 |
-| 过滤规则(644 个 case) | 95.7% | 97.8% | 7(每集体积,属 Slot 能力)/ 0 |
-| 站点索引解析 | 98.1% | 99.5% | 0 / 0 |
-| 繁简转换 | 84.1% | 92.8%;剔除登记项后 100% | 0 / 0 |
-| RSS | 95.5% | 未变 | 0 / 0 |
-
-差分测试在 `adapters/test/differential/{indexer,rss}.test.ts` 和 `domain/test/differential/{meta,zhconv}.test.ts`,本轮单包测试全部通过。遗留:字幕搜索还没接到站点适配器;RSS 不带时区的时间按站点时区解释;HTML 命名实体。
-
-## 4. 解耦审计(03)复核
-
-| 项 | 状态 | 复核 |
-|---|---|---|
-| 后台循环只编排 | 满足 | `planTick` 只有 enqueue;qB 同步有独立定时器;文件管理的 `purgeTrash` 也是入队(`file-manager/index.ts enqueuePurge`) |
-| HTTP 内无重活 | 部分 | cleanup/reconcile 返回 202;`/subscriptions/{id}/search` 入队;files 的 move/copy/organize 执行入队 `verifyAndImport`,请求内只等待,最多 20 秒。**遗留**:`GET /inventory/media-servers` 串行查 Emby;files 的回收站/还原跨卷复制、永久删除、identify、probe 仍在请求内(S-6、S-7) |
-| worker 分组 | 满足 | `--role worker`(io 组)、`--role worker:agent`、`--role all`;认领时按任务名过滤(`worker-groups.test`);`purgeTrash` 注册在 io 组 |
-| 超时与限并发 | 部分 | 4 个外部 IO 能力在 HTTP 路径上有 15 秒超时,站点并发 2、TMDB 并发 4。**`/files/identify` 绕开了限流器**(S-6);超时后底层调用仍会跑完 |
-| 探针 | 满足 | 事件循环延迟探针,1 秒采样,偏差超过 5 秒告警,随心跳上报;fsproxy 的 `stats()` 写进 `organize.transfer` 日志 |
-
-## 5. 安全复查
-
-### 5.1 新端点的 scope 与会话要求
-
-| 端点 | 注册表 scope | 处理器内的附加要求 |
-|---|---|---|
-| `GET /files/roots`、`/files`、`/files/stat`、`/files/trash`、`/files/records`;`POST /files/identify`、`/files/probe` | organize.read | 无(probe 会写 `media_info`,见 §1.3) |
-| `POST /files/mkdir`、`/files/rename`、`/files/copy`、`/files/scrape`、`/files/trash/restore` | organize.execute | 目标或源根必须可写,或者是 managed 库根 |
-| `POST /files/move`、`/files/organize`(action=move) | organize.execute | API Key 需要 grant 或一次性审批(`authorizeMove`);move 只核对第一个源的作品(S-1) |
-| `POST /files/delete` | organize.execute | 进回收站:API Key 每次都要审批(绑定 planId 与内容哈希,用后 consumed);永久删除:必须设置 `FILES_ALLOW_PERMANENT_DELETE`,且只接受管理员会话 |
-| `POST /files/trash/purge` | admin | 只接受管理员会话;注册表没有标 `auth:"session"`(S-2) |
-| `GET /files/download` | admin | 只接受管理员会话,文件类型白名单,上限 20 MiB;注册表没有标 `auth:"session"`(S-2) |
-| `POST /subscriptions/{id}/search`、`/subscriptions/{id}/episode-total` | admin | 无 |
-| `GET /subscriptions/{id}/progress`、`/subscription-history` | read | 无 |
-| `POST /engine/runs/{id}/retry` | admin | 只允许已结束的 run;幂等键带序号;写审计 |
-| `POST /agent/runs`、`/agent/runs/{id}/messages`、`/agent/runs/{id}/abort` | organize.execute | 能力调用在服务端逐次授权 |
-| `POST /approvals`、`PATCH /approvals/{id}` | admin + `auth:"session"` | API Key 和 DEV key 一律 403(已实测) |
-
-注册表共 208 个端点:read 89(其中 3 个 public)、organize.read 10、organize.execute 27、admin 79(其中 5 个 session)。
-
-### 5.2 其他项
-
-- **路径守卫覆盖**:13 个 files 写端点和读端点都先过 `resolveIn`,执行前再调 `recheck`。只有 restore 的目标可写性,以及原位还原时的递归 mkdir 这两处有缺口(S-5)。
-- **回收站与永久删除**:`purgeTrash` 删除前先复核路径在 `.umt-trash` 或 `DATA_DIR/trash` 下,并且先删行、再删文件。永久删除有双闸(环境变量开关 + 管理员会话)。restore 不需要审批(只把文件放回,风险低,可以接受)。
-- **下载上限**:打开文件后按文件句柄 stat,超过 `FILES_DOWNLOAD_MAX_BYTES` 返回 413;SVG 一律作为附件下载;响应带 `nosniff` 和 `CSP sandbox`。`w5a2.test:350` 覆盖了上述行为。
-- **审批只认管理员会话**:创建和决定两个端点都是 `auth:"session"`。`consumeApproval` 与 `authorizeMove` 都用"`status=approved` 才更新"来保证只消费一次。
-
-### 5.3 脱敏键表四处对照
-
-| 参数 | contracts(logger + redactForModel) | rss/redact.ts | browser/redact.ts |
-|---|---|---|---|
-| passkey / authkey / torrent_pass / rsskey / downhash / apikey / api_key / access_token / token / secret / sign / credential / key | ✓ | ✓ | ✓ |
-| `pass_key` / `auth_key` 等带分隔符的写法 | ✓ | ✗ | ✗ |
-| c_secure_pass(作为 query 参数) | ✓ | ✗ | ✗(只遮 cookie 里的 `c_secure_*`) |
-| refresh_token / password / uid_key | ✓ | ✗ | ✗ |
-| auth | ✓ | ✓ | ✗ |
-| signature | ✓ | ✗ | ✓ |
-| 请求头、Bearer、URL userinfo | ✓ | 只有 userinfo | cookie 头、userinfo |
-
-结论:logger 与模型上下文共用同一份实现;rss 和 browser 仍各自维护(S-4)。
-
-## 6. 工程规范
-
-| 项 | 结论 |
-|---|---|
-| 提交信息 | 82 个提交全部合规,0 个违规 |
-| README、runbook 与 deno 任务 | 文档里出现的 19 个 `deno task` 全部存在(根目录或成员包);没有残留 pnpm/npm 用法 |
-| 包 README 与导出 | adapters 新增的 `./fsworker` 导出、contracts 新增的 4 个文件、server 的 file-manager 模块没有写进 README(S-9) |
-| CHANGELOG | 没有覆盖 W4-E4 到 W5(B1) |
-| 迁移与生成类型 | 0024 `trash_item`、0025 订阅单元、0026 整理动作,编号连续(0017 空缺是历史遗留);`db/src/types.ts` 已含 `trash_item`、`slot_unit`、`slot_deferral`、`subscription_history`、`episode_total*`,以及 action/mode 的 `trash/delete/restore` |
-| api.ts 双向登记测试 | `api-registry.test` 4 条通过("OpenAPI 路由都已登记"、"登记的都已实现"、public 端点集合、session 端点集合);漏标见 S-2 |
-
-## 7. 抽查 12 个新增测试
-
-| 用例 | 结论 |
-|---|---|
-| `write.test`「TOCTOU:预览后源被换成指向根外的链接」 | 有效:断言 400 `path_escape`、根外文件内容不变、目标不存在 |
-| `trash.test`「永久删除默认关闭;API Key 删除需一次性审批」 | 有效:断言 403 `permanent_disabled`、无审批时 `approval_required`、审批后执行成功且文件已删除。缺一条"重放 → 403" |
-| `w5a2.test`「下载:仅管理员会话……」 | 有效:断言 MIME、`disposition`、`nosniff`、READ/EXEC key 403、视频 403、超限 413、`path_escape`、目录 400、审计 2 条。缺"admin scope 的 key" |
-| `browse.test`「根离线 → 503,不返回空列表」 | 有效(按用例名与 `root_unavailable` 断言判断) |
-| `organize-fs.test`「对账挂死 → TIMEOUT(不是 EEXIST)→ 有限重试 → 待处理」 | 有效:逐次断言错误信息、文件状态保持 running、最终 failed 且 `code=TIMEOUT`、decision 里 `attempts=3` |
-| `fsproxy.test`「复制中途挂死 → SIGKILL → TIMEOUT」 | 有效:断言错误类别为 retry、耗时下限、进度大于 0、`timeouts/killed=1`、最终名不存在、partial 可被清理 |
-| `subscription.test`「Slot×单元多在途……移除释放」 | 有效:20 个断言(在途单元、延后、释放、重评) |
-| `e9`「Slot 忙时 E02/E03 同时在途,另一版本延后」 | 有效(E9 三步串联,最后断言入库和历史) |
-| `e6-auto-recover`「授权内 recheck → 系统核实」 | 有效:断言 run 字段、调用序列 `[task.inspect, download.recheck]`、`download__submit` 被拒、`grant_id`、qB recheck 只 1 次、decision resolved、去重。只核实到 downloading |
-| `e8`「qB 任务消失 → removed;资产不变,不重下」 | 有效:断言位置前后相同、Slot 仍 satisfied、计划只有 1 个、`torrents/add` 计数 |
-| `approvals.test`「改计划 → 被拒 → 重批 → 只消费一次 → 不可重放」 | 有效 |
-| `engine-retry.test`「按原任务名与输入重新入队,序号递增,写审计」 | 部分有效:enqueue 是 mock,没有验证真实引擎里的新 run |
-
-## 8. v0.1 已知限制(供 CHANGELOG 引用)
-
-**范围外(00 §3.2 / 02 后置)**
-1. 国产综艺分段、`require_distinct_asset` 组合校验、浏览器/camofox 与原站视图、HHClub/CHD、旧库分范围接管、Agent 主观选片与规则学习、多用户。
-2. Passkey、主密钥轮换、子代理、Transmission、TTG 自定义适配、馒头 adult 模式。
-
-**订阅(05 遗留)**
-3. 完成判定前不会强制刷新元数据;titleQuery 订阅不会自动建档回填;季范围语义(`current_season` 在没有季单元时固定)未做;偏好标签不参与评估。
-4. 同作品同季重复订阅没有查重;`prefer_pack`、回退等待期、Agent 选片理由与独立预算、队列按优先级出队、实体级识别词都未做;没有"清账重置"(只能把状态改回 active 重新订阅)。
-5. 完成判定暂时有两条路径(S-8)。
-
-**文件管理**
-6. NFO/图片投影(scrape 的 `writeNfo/images`)、硬链接、蓝光原盘整目录操作未做;路径守卫没有下沉到 adapters。
-7. 从回收站还原不会恢复资产状态,需要重新整理登记;永久删除开关是环境变量,不是设置项。
-8. 跨卷进回收站(≤2 GiB)、跨卷还原、永久删除、identify(每项超时 15 秒,不经 TMDB 限流器)、probe 都在 HTTP 请求内执行,也都不经 fsproxy(S-6、S-7)。
-9. 前端没有向导 e2e 和移动端快照,页面行为靠 model 单测和冒烟覆盖。
-
-**转移与文件系统**
-10. `planImport` 规划期的 stat/哈希、资产对账和文件管理不经 fsproxy;没有根级熔断;失效软链一律按冲突处理;hardlink、organize 源侧空目录上溯清理、蓝光原盘未做。
-11. 二进制必须位于 `/app/umt-server`,否则 fsproxy 回退为进程内看门狗(能按时报 TIMEOUT,但卡住的线程无法回收)。基准 B1(50 GB)、B2(并发)、B3(真实 FUSE 冻结)没有跑。
-
-**Agent 与安全**
-12. 控制台没有 TOTP 开关入口(S-3)。
-13. rss 和 browser 的脱敏键表没有与 contracts 统一(S-4)。
-14. `GET /inventory/media-servers` 在请求内串行查 Emby;能力调用超时后,底层调用仍会跑完。
-15. Agent 页的幂等键来自审计(最多 3 页),审批卡片的 planId 靠解析工具摘要得到,较早的运行可能取不到。
-16. 自动恢复只核实到下载恢复,入库由后续流程负责;恢复白名单只有 `task.retry`、`download.recheck`、`identity.resolve`。
-
-**识别与站点**
-17. 字幕搜索只到解析层;RSS 不带时区的时间与 HTML 命名实体未处理;过滤器的 tmdb 放行、SPECSUB 等属于 Slot 能力扩展。
-
-**质量与运维**
-18. 恢复流程只有人工演练;流程版本升级没有产品侧测试;下载状态机 `ALLOWED` 未收紧;`scanIncremental` 出错时仍返回 complete;AT18 恶意标题 e2e、AT42 未纳管占用没有测试;`vertical.test` 的用例依赖执行顺序;web 单测少。
-19. `deno task ci` 约 135 秒以上,server/tasks 测试是主要耗时。
-
-## 9. 给 M2 的前 5 条建议
-
-1. **把 IO 统一收到 fsproxy 并加根级熔断**:`planImport`、reconcile、文件管理的 stat/readdir/复制全部经 FsProxy;根超时标为 suspect,暂停向它派发,建待处理;回收站和还原的跨卷复制改为入队。跑 B1–B3 基准,并把结果写进性能基线。
-2. **凭证与授权收口**:只保留一份脱敏实现(rss/browser 改用 contracts)并加全仓凭证泄漏的故障注入测试;注册表的 `auth` 标注由处理器的真实行为自动核对(对每个端点用 admin scope 的 key 发一次请求,断言 403 与标注一致);多作品 Move 按作品集合授权;补 TOTP 入口。
-3. **订阅闭环第二阶段**:消除双轨完成判定;完成前强制刷新;偏好标签编译进 SlotSpec;`require_distinct_asset` 接入评估与入库(这是综艺和双版本的前置);队列按优先级出队。
-4. **文件管理补全**:NFO 投影(带 umt 标记与字段锁)、hardlink(`link` 自带 no-clobber)、蓝光原盘目录、空目录上溯清理;前端补向导 e2e、移动端快照和键盘可访问性测试。
-5. **把 CI 当作发布门禁**:e2e 按包并行、给 server 测试分片,把 ci 控制在 90 秒内;夜间跑"备份 → 清库 → 恢复 → 只读对账 → 映射比对"和流程版本升级回归;CHANGELOG 与已知限制由每个波次的汇报强制更新,避免再出现 B1。
-
-## 10. W6-B 处理状态(2026-09-28,打 tag 前)
-
-| # | 状态 | 提交 | 说明 |
-|---|---|---|---|
-| B1 | 已修 | b48d859、本文档提交 | CHANGELOG `[0.1.0]` 按功能补齐文件管理、订阅增强、转移语义、Agent 会话页、识别补迁、稳定性(W4-D~W6-A)与 W6-B 安全修复;"已知限制"换成本文 §8 的 19 条,过时的集单元条目已删 |
-| S-1 | 已修 | 17cf3cb | `authorizeMoveEntities`:每个源的作品集合(声明作品 ∪ 源下已登记资产的作品)逐一核对 grant,一次性审批覆盖整请求;无法归属作品的源只认审批;拒绝时列出未授权项并写审计。`/files/move` 与 `/files/organize`(move,先整体预检、不消费审批)都接入;copy 不删源、delete 每次审批,无此问题。测试:`write.test`「两个作品只授权一个 → 403」、`identify-organize.test`「源是别的作品的已登记资产 → 403」 |
-| S-2 | 已修 | 17cf3cb | download / trash purge 标 `auth:"session"`,files 路由按注册表挂 `requireAdminSession`;口径:DEV key 等同 admin scope Key,仅会话端点与永久删除一律拒绝,Move/删除审批的免授权仍放行 DEV key(与 `authorizeMove` 一致)。`api-registry.test` 会话列表加这两个,新增反向断言(未标 session 的端点对 admin scope Bearer 不得 403,会话中间件在入参校验之前,暗挂必暴露);download/purge 用例补 admin scope Key 与 DEV key 403 |
-| S-3 | 已修 | ba1361a | 账户弹层"二次验证":生成密钥(base32 分组 + otpauth 链接)→ 6 位码确认开启;已开启时凭当前密码 + 验证码关闭。没有二维码(不引新依赖);没有组件测试,只有类型检查 |
-| S-4 | 已修 | 47bd04a | contracts 新增 `isSensitiveQueryParam`;rss 删掉本地 `SENSITIVE_QUERY_KEYS`,browser 的 `CREDENTIAL_PARAM` 由 `SENSITIVE_QUERY_PARAMS` 生成,各自只保留特有规则;`adapters/src/redact-consistency.test.ts` 24 种写法三处一致 |
-| S-5 | 已修 | 17cf3cb | 还原目标走 `isWritableTarget`;原位还原 `mkdirWithin` 逐级 lstat + realpath,不跟随符号链接;跨卷还原受 `trashCrossMaxBytes`,进出回收站的跨卷复制经 fsproxy。测试:下载根 / register_only 目标 403、父目录换成根外链接 → path_escape 且根外无新目录、逐级重建、跨卷超限 too_large |
-| S-6 | 已修 | b4560be | `sharedInvokeLimiter()` 进程共享;identify 的远端查询经 TMDB 信号量 + 15 s 超时,单次请求去重后最多 20 个,超出项给 warning |
-| S-7 | 部分,余下延期至 v0.1.1 | 17cf3cb | 做了:跨卷还原加上限、回收站进出的跨卷复制经 fsproxy。未做:回收站 / 还原 / 永久删除 / identify / probe 改入队,根探测与 readdir 经 FsProxy 快操作。已写入 CHANGELOG 已知限制第 8 条 |
-| S-8 | 已修(W6-A) | 887843f | 已核对:`organize.ts` 不再有本地 `slotComplete` 与订阅完成写入,手动整理指定 Slot 改调 `services/subscriptions.ts slotComplete`;完成与历史只由 `applySlotEvent(verify_passed)` 负责 |
-| S-9 | 已修 | 2e3c209、cb3fb9b | rust-transfer §7 遗留(编译二进制 fsworker、trash_item)标已做;contracts / adapters / server README 补齐;04 表 S9 标已修;files runbook 授权矩阵同步 |
-| S-10 | 已修 | 2ddaf7b | 开关需同时 `UMT_FS_TEST_HOOKS=1`(`fsTestHookFromEnv` 单测);`preflight` 发现已设置就 warn;deploy.md 演练命令同步 |
-
-§1.3 建议:
-
-| 建议 | 状态 |
-|---|---|
-| probe 标 `organize.read` 却写 `media_info` | 已修(d3de2c8):改为 `organize.execute`;仍在请求内串行,见 S-7 |
-| 多项永久删除没有服务端确认 | 延期至 v0.1.1(写入 CHANGELOG 已知限制第 8 条) |
-| trash 用例补"重放 → 拒绝" | 已补(d3de2c8) |
-| download 用例补"admin scope 的 Key → 403" | 已补(17cf3cb) |
-| E6 自动恢复延伸到入库、engine-retry 真实引擎用例 | 延期至 v0.1.1(已知限制第 18 条) |
-| e2e 编号重复 | 已修(d3de2c8):`e6-w4a-endpoints` → `e10-w4a-endpoints` |
-| 04 §1.3 的 7 条 | 延期(已知限制第 18 条) |
-| biome 1 warning + 1 info | 已清(9887d8b) |
-
-另:第一次全量 ci 暴露 `fsproxy.test`「正常复制」偶发失败(fsworker 的进度节流吞掉了复制阶段最后一跳,收到 6291456 而非 6291461),7daf544 改为阶段完成立即上报,单测连跑 3 次通过。
-
-**ci**:修复后连续两次 `deno task ci` 全绿:357 s、341 s(server 44 文件 / 267 用例)。未打 tag。

docs/plan/08-v0.2-closeout.md

@@ -1,177 +0,0 @@
-# v0.2 收尾修复(W8-A)
-
-2026-09-28。基线 `c67f6a9`(Pi 上游、子会话、定时任务看板、IA-1、IA-2 已合入)。与 W8-B(全站文案第二轮)并行,本轮只改逻辑。
-
-## 本轮修了什么
-
-| # | 事项 | 落地 |
-| --- | --- | --- |
-| 1 | 模块自建计时器并入定时任务注册表 | `pi.token_refresh`(上游登录刷新,维护组,10 分钟,入队 `refreshPiTokens`,幂等键按时间槽)与 `auth.cleanup`(登录会话清理,维护组,1 小时)改为 `registerScheduledJob`;模块里不再有 `setInterval`。测试 `test/schedules/module-jobs.test.ts`。`docs/runbook/schedules.md` 已登记表补两行 |
-| 2 | 没有候选的待识别资源进待处理 | 迁移 `0030` 给 `decision.kind` 加 `identity_unresolved`(界面"待识别")。`resolveObservation` 在 no_match(含无法解析、候选为 0)和查询失败且自动复查已停时开事项,去重键与歧义类同为 `identity:<资源ID>`(类别随证据切换)。选项:手动指定 TMDB ID(`requires=tmdb`)、选本地作品(`requires=mediaEntityId`)、忽略;歧义类事项也追加前两项。`POST /decisions/{id}/resolve` 新增 `identity {tmdb:{type,id} \| mediaEntityId}`,走 `assignReleaseIdentity` 人工指定加锁。待处理页选项弹窗按 `requires` 出 TMDB 类型 + ID 输入或本地作品检索(复用 `EntityPicker`),未填完整时确认按钮禁用。身份页只读列表"已进待处理"按类别跳 `?kind=identity_ambiguous / identity_unresolved` |
-| 3 | 旧 `settings.pi.provider / baseUrl / model / thinkingLevel / apiKeySecretRef` | `DEPRECATED_SETTINGS_FIELDS`:schema 保留(兼容已存 JSON),`PATCH /settings` 丢弃,设置分区不再归属;`runAgent` 只走上游,没有默认上游直接失败「未配置 Agent 上游」;`pi.apiKey` 写 secret 的分支删除;Agent 页演示开关改看默认上游 provider 是否 fake;上游列表空态不再提旧设置。e2e 夹具改为直接建一条 fake 上游设默认 |
-| 4 | `agent.await` 不占 worker 槽 | runAgent 驱动的会话里,子会话未落定时 `agent.await` 记下等待条件并关闭会话(该工具调用留在 JSONL 里未完成);`drive` 返回 `suspended`,runAgent 用 `waitForFact("subagent-await-N")` 每 2 秒查一次子会话落定 / 超时 / 父会话取消,再以 `resumedAwaits` 重开会话 resume。`agent.await` 是只读能力(replay=safe),恢复时重放一次直接拿到结果,模型不多一轮。单会话最多挂起 100 次。e11 断言 `agent.await` 的结束事件带 `recovery:true`、`run_started` 为 `[false, true]`。`agent.spawn {await:true}` 仍在进程内等(见遗留) |
-| 5 | Agent 汇报里的下载链接 | `agent-conversation.tsx` 改链 `/console/downloads/:id`,不再经 `/tasks/:id` 404 探测 |
-| 6 | 设置旧链接 | IA-2 已由 `settings.tsx` 的 `clientLoader` 把 `?tab=` 转成 `#分区[/节]`;本轮把 `settingsPath()` 改为直接生成 `#分区[/节]`,冒烟的重定向表补 4 条 `?tab=`,静态路由补 8 个分区 hash |
-| 7 | 前端冒烟 | 独立库 + `PORT=4392 WEB_ROOT=apps/web/build/client` 单端口跑 `deno task test:web:smoke`:47/47 通过(跳过 4 条详情页,库里无数据)。冒烟脚本对只差 hash 的地址先跳 `about:blank` 再整页加载 |
-
-另:`executeResolution` 对 `identity_unresolved` 同样跳过(由 sources-identity 在处理端点里直接执行)。
-
-## 仍遗留
-
-- **pi 41 个 provider 未联网实测**:只有 fake 与 OpenAI 兼容本地端点有自动化覆盖;8 种订阅登录只测了 fake OAuth 状态机。Codex `_randomBytes` 在 Deno 下的行为仍待 spike(`docs/design/pi-providers.md`)。
-- `agent.spawn {await:true}` 仍在进程内轮询等待,占 worker 槽到超时;要挂起需要同样的关闭会话 + 重放,但 spawn 是 replay=never,重放会得到"结果未知",需另行设计。
-- 挂起期间父会话状态保持 `running`(避免被祖先会话的 `agent.await` 当成已落定);运行时长预算按每段 drive 计,不含挂起等待。
-- 待识别事项:查询失败但仍在自动复查期内的资源不开事项(避免 TMDB 抖动刷屏),复查耗尽后才开。
-- 身份页"待识别"详情抽屉的提示句仍写"选择候选或忽略",未识别类(无候选)读起来不准确,留给文案轮。
-- 旧设置字段只是弃用未删除;真正删除需要一次迁移清理 `settings.pi` 里的旧键。
-- 原站视图仍是占位(IA-1 遗留)。
-
-## W10 集成记录
-
-2026-09-28。目标:所有并行成果合进 main,`deno task ci` 连跑 3 次全绿。
-
-### 合并了什么
-
-- `fe3-web`(FE-3:规则页、命名模板表单、顶栏搜索 / `Ctrl/⌘+K` / 搜索结果页,基于 `81bf010`)以 `0440130` 合入。冲突只在 `routes.ts`(FE-1 的 `status` 与 FE-3 的 `search` 两条都留)与冒烟清单(合并两边路由,加规则页 4 个页签、搜索结果页、`/console/preferences` → 规则页重定向);顶栏挂 `SearchTrigger` + `CommandPalette`,侧栏仍是 FE-1 定稿的 14 项。合并后 web typecheck 通过,分支已删。
-
-### 修了什么
-
-| 提交 | 内容 |
-| --- | --- |
-| `615917b` | U3 outbox → SSE 桥:`OutboxRelay` 的 `mirror`,`feed.*`(除 `feed.due`)、`decision.*`、`download.*`、`organization.*`、`subscription.*` 投递成功并提交后按序发到总线;以前没有路由的 `feed.fetched` / `organization.changed` / `download.threshold` 一直停在 pending,现在会被认领。测试:tasks `outbox.test.ts`、server `bootstrap.test.ts` |
-| `363f85b` | `/dashboard` 补 `automation.library` 与 `slotSatisfiedRate`;`/engine/runs` 的 `status` 多值、`triggeredBy` 筛选(服务端逐批推断,单次最多扫 2000 行,游标停在最后检查的行);任务页来源筛选和"进行中"页签改为一次服务端分页查询 |
-| `2ae780d` | 整理向导把目录展开成逐个视频提交时,planImport 把同目录同主干的字幕 / 外挂音轨补进源文件;`/console/organize?ids=` 只列本次记录 |
-| `082c556` | 视觉走查前端项 U4 U5 U6(部分)U13 U14 U15 U16 与文案清单;逐条状态见 `09-visual-qa.md`"W10 前端复核" |
-| `f6063af` | server PG 测试偶发"schema 不存在"的根因:Kysely 迁移器用 `introspection.getTables()` 反射全库所有 schema 并逐个调 `has_schema_privilege` / `pg_get_serial_sequence`,别的测试文件同时 drop 自己的 schema 就报错(原有 `withSchemaLock` 只覆盖部分 harness)。`createMigrator` 改为只内省目标 schema;回归用例在迁移时并发建删 schema,旧实现可稳定复现失败 |
-| `080563d` | CHANGELOG `[0.2.0]` 补 W9 / 前端波内容与已知限制 |
-
-开发库(55433 `umt`)清理:删除 `fe4-*`、`w32-*`、`w33-*` 前缀的作品(11)、站点(4)、订阅(5)及其版本目标、计划、资产、单元、外部身份、路径绑定等从属行;管理员 `w31-admin` 与 fake 上游保留。测试都用独立 schema,不受影响。
-
-### 三次 CI
-
-HEAD `080563d`,本机串行:
-
-| 次 | 结果 | 耗时 |
-| --- | --- | --- |
-| 1 | 全绿(server 59 文件 / 366 用例) | 403 秒 |
-| 2 | 全绿 | 383 秒 |
-| 3 | 全绿 | 381 秒 |
-
-前端冒烟:独立库 + `PORT=4392 WEB_ROOT=<build/client>` 单端口,新初始化管理员,64/64 通过,跳过 12 条详情页(库里无数据)。
-
-### 遗留
-
-- U6 悬浮按钮滚动途中仍可能暂时盖住右侧控件;U8(观众站无 H&R 选择器)、U10 不改;U11 全站标点规范未定,未改。
-- 还没有 `subscription.*` outbox 事件,订阅页不随后台变化实时刷新。
-- `/engine/runs?triggeredBy=` 命中稀少时一页可能少于 `limit`;定时任务运行记录仍没有引擎 run id。
-- 开发库里还有 6 个无前缀的测试站点(观众 ×3、HDSky ×2、馒头,指向已停的随机端口 mock),以及历次测试残留的约 150 个 `*_test_*` / `e2e_*` schema(测试进程中断时 afterAll 没跑到),本轮只清了指定前缀的数据,未动它们。
-- 开发库上还挂着两个早先起的 `deno task dev` 服务进程(4394 / 4397,`--watch`),本轮未动。
-
-## INT-2 集成记录(2026-09-29)
-
-### 发生了什么
-
-v0.2 收尾阶段四个子代理(憨憨修复、AGUI-2、BR-2、SEARCH-2 / META-1)在同一个工作区、同一个 git 暂存区里并行提交:
-
-1. 憨憨修复的提交 `901b01d` 用 plumbing 方式从自己的暂存副本提交,把 AGUI-2(`20b63db`)刚改的 14 个 agent 前端文件(`components/agent/*`、`agentui/tool-result.tsx`、`routes/console/agent*.tsx`、`api/agent.ts`、`scripts/smoke.mjs`)带回了 AGUI-2 之前的版本。
-2. 随后 BR-2(`28974d1`)从共享暂存区提交,暂存区里是 `901b01d` 之前的文件,于是把 `901b01d` 的改动整体撤掉(附带把 AGUI-2 恢复了)。憨憨的改动只剩工作区未暂存改动和 `901b01d` 的 diff。
-3. SEARCH-2 的代码被文档提交 `ac47867`(`docs(plan): on-demand site detail page parsing`)从暂存区顺带带入,内容完整;`18a5cf1` 是补记用的空提交。憨憨改动里的 contracts(api / settings / sources)、`routes/sources.ts`、db 类型、runbook 部分也经这些提交进了 main。
-
-### 如何修复
-
-- AGUI-2 核对:`git diff 20b63db HEAD -- components/agent components/agentui routes/console/agent* api/agent.ts scripts/smoke.mjs` 为空,HEAD 上就是 AGUI-2 版本,无需恢复。
-- 憨憨改动:在临时 worktree 上把 `git diff 20b63db 901b01d`(排除 agent 相关 14 个文件)三方合并到 HEAD,结果与工作区未暂存改动逐文件一致(22 个文件;`account.ts` 与 `schema.test.ts` 是和 BR-2 / META-1 合并后的版本;contracts、routes、types、runbook 已在 main,合并后无差异,`settings.ts` 的冲突 hunk 因此不再需要手动处理)。按路径 `git add` 后提交 `6e9e8ef fix(sites): HHClub parsing, resource list layout and request restraint (re-landed)`。工作区没有其他无关改动。
-- 迁移:编号连续无重号,开发库(55433)的 `kysely_migration` 与仓库一致(0046 → 0049 依次应用,无残留行需要处理);`db:migrate` 无待执行迁移,`gen:types` 无 diff。
-
-| 迁移 | 来源 | 内容 |
-| --- | --- | --- |
-| `0046_site_request_count` | 憨憨修复(`6e9e8ef`,原 `901b01d`) | 站点请求按小时计数 |
-| `0047_identity_pool` | DEC-1(`94fd48b`) | 待识别池 |
-| `0048_site_search_default` | SEARCH-2(代码在 `ac47867`,记录 `18a5cf1`) | `site.search_default` |
-| `0049_enrichment` | META-1(`f4666a4`) | 元数据补全 |
-
-### 站点详情页(追加需求)
-
-`7b5c2f6`:详情抽屉「站点详情页」一节(简介、MediaInfo、截图经图片代理、IMDb / 豆瓣 / TMDB、文件清单、标签、上传者);只按需抓,`kv_cache` 缓存 24 小时;外部 ID 写 `raw._detail` 并作为显式 ID 进身份解析(TMDB ID 直取详情、IMDb 走 `/find`)。细节见 `runbook/sites.md`「详情页扩展内容」。
-
-真实憨憨未核对:要让新解析生效需重建用户栈的 app 镜像(同时执行 0046–0049 迁移),本轮自动模式不允许部署,所以没有对真实憨憨发请求(0 次)。重建后按一次 `GET /sites/{id}/releases/{rid}?refresh=true` 核对,缓存里的 `probe.labels` 可以看出憨憨详情页实际有哪些字段标签,据此补 `umt.detail.page`。HHClub 选择器目前按 MovieClaw 与 fixture 编写。
-
-### CI
-
-本机串行全量 `deno task ci`:
-
-| 次 | HEAD | 结果 | 耗时 |
-| --- | --- | --- | --- |
-| 1 | `6e9e8ef`(憨憨重新落地后) | 全绿(server 82 文件 / 498 用例) | 509 秒 |
-| 2 | `6e9e8ef` | 全绿 | 505 秒 |
-| 3 | `04cffcd`(加详情页) | 全绿(server 503、adapters 381 用例) | 533 秒 |
-
-前端冒烟:独立库 `umt_smoke_int2` + `PORT=4392 WEB_ROOT=<build/client>` 单端口,新初始化管理员,66/66 通过,跳过 12 条详情页(库里无数据)。「Agent 抽屉 → 历史」一步用演示数据,生产构建只有默认上游是 `fake` 时才允许演示数据,所以冒烟库里要先建一个 `fake` 默认上游(没有时这一步超时失败)。跑完已删库。
-
-### 遗留
-
-- 真实憨憨详情页核对(见上)与用户栈重建(0046–0049 迁移)待用户执行。
-- 开发库残留的 `hhclub-wt` 临时 worktree(`ac47867`,在会话 scratchpad 下)未删,不影响仓库。
-
-## INT-3 记录(2026-09-29)
-
-BR-3 已先行合并(`80f0fa0`)。本轮把六个 worktree 分支依次 `git merge --no-edit` 到 main,再补集成清单。
-
-### 合并顺序与冲突
-
-| 顺序 | 分支 | 合并提交 | 冲突与解决 |
-| --- | --- | --- | --- |
-| 1 | `cache2`(CACHE-2) | `eb9cfaa` | 无 |
-| 2 | `md1`(MD-1) | `b633eb5` | `contracts/settings.ts` 元数据分区字段表:保留 md1 新增的 `metadata.languages`,去掉 md1 带回的已弃用 `cache.tmdbTtlHours` |
-| 3 | `id2`(ID-2) | `f30600e` | `adapters/tmdb/index.ts`:md1 的 `details` / `translations` 与 id2 的 `recall` 导出并存 |
-| 4 | `hh2`(HH-2) | `f41cd96` | 基于 BR-3 之前的 main,和 BR-3 在 `browser/service.ts`、`contracts/browser.ts`、`desktop-view.tsx`、`site-origin-view.tsx` 冲突:`RecoveryState` / 会话视图同时保留 BR-3 的 `needsReconnect` / `reconnect` 与 HH-2 的 `lastAutomationAt`;前端 import 用 HH-2 的 `controllerLabel` / `agentActive`,保留 BR-3 的 `reconnect.tsx` |
-| 5 | `fe-settings`(FE-7) | `161e6e7` | 无 |
-| 6 | `fe6`(FE-6) | `4d850c1` | 无 |
-
-合并后 typecheck 直接通过,没有语义冲突。`deno.lock` 在根 `deno check` 与 web typecheck 之间会来回变(web 依赖是否写入),`0a8bfbb` 按 web 版本提交。
-
-### 迁移
-
-只有 cache2 带迁移(0050),其余分支没有迁移,不需要重排编号。集成补丁新增 0051、0052。开发库(55433)依次执行,`gen:types` 已更新。
-
-| 迁移 | 来源 | 内容 |
-| --- | --- | --- |
-| `0050_storage_retention` | CACHE-2 | 流水表按时间清理的索引 + 按表 autovacuum 参数 |
-| `0051_tmdb_cache_size` | INT-3 `fe05138` | 已存设置里 `cache.tmdbMaxSize` 仍是旧缺省 256 的改成 5000(用户库当前是 256) |
-| `0052_agent_run_created_by` | INT-3 `e681fce` | `agent_run (created_by, created_at desc)` 索引,供巡检汇总 |
-
-### 清单完成状态
-
-- [x] `cache.tmdbMaxSize` 缺省 5000(含已存值迁移,runbook / porting 文档同步)。
-- [x] 设置页「自动化 → 存储与保留」接 `settings.storage`:存储预算、流水数据保留、缓存有效期三张卡;元数据分区去掉 `cache.tmdbTtlHours`、`cache.emptyResultTtlSec`、`identity.poolArchiveDays`。
-- [x] 新建档立即应用语言回退链并入队 full 刷新:`/files/entity-from-candidate`(订阅建档、搜索 / TMDB 预览建档、整理向导)与手动指定未登记的 TMDB 身份;幂等键 `refreshMetadata:created:{id}`。RSS 自动识别新建的作品不入队 full(量大),仍按追踪刷新。
-- [x] 桌面模式打开时先调幂等 `POST /browser/sessions/{id}/reconnect`;画面 5 秒未加载或视频流未出帧,每个会话自动重连一次并重建桌面连接。
-- [x] `GET /schedules` 的 agent_check 项带 `agentRuns`(最近 100 次会话的上次 / 平均费用、近 7 天次数与费用、模型分布、最近 3 次),计划页卡片与首页计划带改用它,删掉前端的会话列表拉取。
-- [x] HH-2 用例 `rss-normalize` 的旧 RSS 行首见时间取"现在",会排在下一个用例的快照前面,第 1 次 ci 失败;固定首见时间后通过(`53790cb`)。
-
-### ID-2 回滚脚本 dry-run(用户库,只读)
-
-连接加 `default_transaction_read_only=on`,不带 `--apply`:
-
-- 待识别合并事项 1 条(Archives S01 2009),预估 0/1 可自动确认。
-- 3 个分类词站点别名涉及 3 部作品:「东北有个周东北(2026)」绑定 35 条,误并入 29 条(Irreplaceable / 无可替代、Spring of the Blade、A Prophet、Spark of the Long March / 星火征途 的各版本),要删别名「电视剧」「Spark of the Long March」「Irreplaceable」「A Prophet」「Spring of the Blade」;「炼气十万年」删「动漫」、「心动的信号」删「综艺」,这两部绑定都核对通过。
-- 合计解除 29 条资源绑定、删除 7 个站点别名;这些作品下 15 个内容单元无资源引用(脚本不删)。
-
-`--apply` 待用户确认,且要在用户栈重建(新识别规则 + 0050–0052 迁移)之后执行,解除的资源才会按新规则复查。
-
-### CI 与冒烟
-
-| 次 | HEAD | 结果 | 耗时 |
-| --- | --- | --- | --- |
-| 1 | `53790cb` 之前 | `rss-normalize` 用例依赖当前时间失败(见上) | — |
-| 2 | `26ce782` | `contracts/db-sync`:`ScheduledJob.agentRuns` 未登记为只在 API 的字段,`481a97f` 补上 | 447 秒 |
-| 3 | `481a97f` | 全绿(server 89 文件 / 541 用例) | 555 秒 |
-| 4 | `481a97f` | 全绿 | 537 秒 |
-
-前端冒烟:独立库 `umt_smoke_int3` + `PORT=4393 WEB_ROOT=<build/client>`,新初始化管理员 + `fake` 默认上游,69/69 通过,跳过 13 条(库里无数据)。跑完已删库。
-
-### 遗留
-
-- 用户栈重建(app 镜像 + 0050–0052 迁移)由协调者执行;之后再决定是否对用户库跑 `identity-reevaluate.ts --rollback-wrong --apply`。
-- RSS 自动识别新建的作品不自动做 full 刷新;要补每集信息时手动刷新或按 runbook 批量跑。
-- 桌面黑屏判断只在同源拿得到 Selkies 文档时看视频帧,拿不到时只按 iframe 是否加载判断。

docs/plan/09-visual-qa.md

@@ -1,206 +0,0 @@
-# v0.2 浏览器视觉与交互检查
-
-2026-09-28。Playwright(chromium headless)逐页截图 + 走业务链。截图在 `apps/web/test/screenshots/qa-v02/`(不进 git),共 310 张。
-
-## 环境
-
-- 独立 QA 栈:`docker compose -p umtqa`,127.0.0.1:4381,独立 `.env`(随机密钥)与 override;`/media`、`/downloads` 挂 `/opt/umt-qa/*`(属主 10001),
-  放 18 个假样片(电影 / 剧集 / 整季包目录 / 综艺 / 字幕随行 / 无关文件),视频用 `truncate` 做成 400 MB 稀疏文件(主视频下限 50 MB)。
-  用户的 `umt` 栈(4380)全程未动。
-- mock:testkit 的 qB / NexusPHP(观众,自定 5 条 + 默认 fixture)/ RSS / TMDB / Emby,跑在同一 compose 网络里的 `denoland/deno` 容器(`umtqa-mocks`)。
-  宿主 ufw 的 INPUT 策略是 drop,容器经 `host.docker.internal` / docker0 访问宿主端口不通,所以没按原计划把 mock 放宿主。
-- 镜像:先用 `uhd-media-tool:v0.2.0-rc` 检查;修复后以 `83498f9 + 本轮改动` 构建 `uhd-media-tool:qa` 替换 app 复测(见"CI 与并行开发")。
-- 视口:桌面 1440×900 明(d)/ 暗(dd),手机 390×844(m)。每页记录 console.error/warn、pageerror、失败请求、横向溢出(`scrollWidth` + 越界元素扫描)。
-
-## 走过的流程
-
-| 流程 | 结果 |
-| --- | --- |
-| 首次初始化(空提交 / 口令过短 / 两次密码不一致 / 口令错误)→ 登录 → 改密 → 登出 → 再登录 | 通过;**改密时旧密码错误被踢回登录页**(#1,已修) |
-| 错误密码限速(另一 `X-Real-IP` 连续 6 次) | 第 5 次起 429「失败次数过多,15 分钟后再试」 |
-| 设置 9 分区:自动化改检查间隔、库根 `/media`(哨兵)、路径映射 `/downloads`(校验)、qB 测试、Emby 测试、观众登记 + 改地址 + Cookie、TMDB key + Base URL、API Key 创建 / 撤销 | 全部成功 |
-| Agent 上游:fake 设默认 + 测试 + 最小补全;自定义兼容端点指向不存在地址;fake 订阅登录 browser(粘回 URL)与 device(自动批准)、退出登录 | 成功;错误提示问题见 #13、U2 |
-| 定时任务:立即执行、停用 / 启用、运行记录 | 成功 |
-| Feed 新建 → 立即抓取 → 识别(5 条:4 条识别、1 条待识别)→ 站点工作台库存叠加 → 快照 | 成功;抓取后列表不自动刷新(U3) |
-| 收录策略草案(1080p 模板 + 新作品收录)→ 发布 → 订阅沙丘2 → 下载计划 / qB 任务 → mock 完成 → 自动整理 | 首次因样片 1 MB 被 `too_small` 拦下(测试数据问题);改 400 MB 后手动整理成功入库 |
-| 待处理:待识别事项「手动指定 TMDB ID」(842675) | 资源变为已识别 |
-| 文件管理:浏览、重命名、新建目录、移动(预览 → 执行)、移入回收站、还原、批量整理向导(3 组 5 文件) | 成功 |
-| Agent 会话:execute、plan_only、spawn 子会话 + await;抽屉 Ctrl+J 开关、Esc 关闭、焦点落输入框、FAB 状态 | 成功(自定义 fake 脚本后未匹配目标失败,见 U11) |
-| 引擎面板 runs / 详情;业务任务失败项重试 | 成功;引擎里没有失败 run,重跑按钮只看了详情页 |
-| 审计列表 | 成功;动作名缺中文(#11,已修) |
-| SSE 断线:页面打开时 `docker restart umtqa-app-1` | EventSource 3 次内重连,页面无报错;期间 `/dashboard` 一次 CONNECTION_RESET 属预期 |
-
-## 检查矩阵
-
-38 个路由 × 3 视口 = 114 张(文件名 `M-<路由>-<d|dd|m>.png`),修复后复测截图 `V*`。无横向溢出、无 pageerror、无非预期 4xx/5xx。
-"问题"列指下方清单编号,✓ 为该视口未发现问题。
-
-| 页面 | d | dd | m | 问题 |
-| --- | --- | --- | --- | --- |
-| 登录 / 初始化 | ✓ | ✓ | ✓ | — |
-| 首页 | 问题 | 问题 | ✓ | #6 #17 |
-| 待处理 | 问题 | 问题 | 问题 | #5 #12 U15 U16 |
-| 站点工作台 / 详情(整理视图、快照与 Feed、账号) | 问题 | ✓ | 问题 | #3 #15 U8 |
-| 来源健康 | 问题 | 问题 | 问题 | #3 U3 |
-| 订阅 / 新建订阅 | 问题 | ✓ | ✓ | #5 |
-| 收录策略(草案 / 发布) | 问题 | 问题 | 问题 | #4 #5 U4 |
-| 偏好标签 | ✓ | ✓ | ✓ | — |
-| 下载队列 / 详情 | 问题 | 问题 | 问题 | #2 #6 #9 #14 U7 |
-| 下载计划 | 问题 | 问题 | 问题 | #10 |
-| 业务任务 / 详情 | 问题 | 问题 | 问题 | #5 |
-| 媒体库 / 详情 | 问题 | 问题 | 问题 | #8 U1 U9 |
-| 整理记录 / 详情 | 问题 | 问题 | 问题 | #5 #7 |
-| 文件管理 / 回收站 / 向导 | 问题 | ✓ | 问题 | #5 U6 U12 U13 |
-| 身份与元数据 | ✓ | ✓ | ✓ | — |
-| Agent 会话 / 详情 / 抽屉 | ✓ | ✓ | ✓ | U10 |
-| 定时任务 | ✓ | ✓ | ✓ | 文案清单 |
-| 设置·自动化 / 站点与账号 / 下载器 / 媒体库与目录 / 媒体服务器 / 元数据 | ✓ | ✓ | 问题 | U5 U6 |
-| 设置·Agent | 问题 | 问题 | 问题 | #13 U2 U6 |
-| 设置·API Key | ✓ | ✓ | ✓ | 文案清单 |
-| 设置·账户与安全 | 问题 | ✓ | ✓ | #1 U14 |
-| 引擎面板 / 详情 | ✓ | ✓ | ✓ | — |
-| 审计日志 | 问题 | 问题 | 问题 | #11 |
-| 404 | ✓ | ✓ | ✓ | — |
-
-## 问题清单
-
-共 34 项:已修 17、未修 17(另有文案清单 13 条,其中 3 条已随 #9/#5/#13 修掉)。
-
-### 已修
-
-| # | 严重度 | 页面 | 截图 | 现象 | 提交 |
-| --- | --- | --- | --- | --- | --- |
-| 1 | 高 | 设置·账户与安全 | `02-pwd-wrong-current-d.png` → `V01-pwd-wrong-current-d.png` | 改密时旧密码填错,服务端回 401,全局 401 处理当成会话失效直接跳登录页;开启二次验证填错验证码同样 | `0c0907a` |
-| 2 | 中 | 下载详情·手动整理 | `45-dl-organize-preview-d.png`、`45-dl-organize-exec-d.png` | 预览显示「无法生成计划:source_size_mismatch」时「执行」仍可点,执行后生成一条「未关联作品 0/0」的失败整理记录 | `d7eb6a4` |
-| 3 | 中 | 来源健康 / 站点详情(手机) | `M-sources-m.png` → `V12-sources-m.png` | Feed 表名称列 320px,健康、启停、立即抓取被挤出屏幕,只能横滑发现 | `d7eb6a4` |
-| 4 | 中 | 收录策略·新建草案 | `40-policy-new-d.png`、`40-rules-err.png` | 策略键只有占位符 `default`,看起来像已填;保存只弹「表单有错误」 | `46d37d8`(预填 default) |
-| 5 | 中 | 策略版本、订阅、待处理、业务任务、整理记录、回收站 | `40-policy-published-d.png`、`87-task-retried-d.png`、`64-trash-d.png` | 操作者显示 `admin_session:<uuid>`、`user:<uuid>`、`system` | `46d37d8` |
-| 6 | 中 | 下载队列、首页缓存水位 | `42-downloads-d.png` → `V04-downloads-volume-d.png` | 没填缓存卷标识时显示 `instance:<uuid>` | `46d37d8`(显示下载器名) |
-| 7 | 中 | 整理记录详情 | `43-organize_4bedfb53-…-d.png` → `V03-organize-reason-d.png` | 失败原因 `blocked:no_main_video(blocked)` | `46d37d8`(取冲突说明「没有可入库的主视频」) |
-| 8 | 中 | 媒体库详情·版本目标 | `47-library_…-d.png` | 原因显示 `blocked:no_main_video`、`deferred:slot_busy;inflight:<uuid>` | `46d37d8` |
-| 9 | 低 | 下载详情 | `44-downloads_…-d.png` | 时间线「提交下载:succeeded」「复制:failed」,用途 `upgrade`,说明 `added` | `46d37d8` |
-| 10 | 低 | 下载计划 | `M-downloads_plans-m.png` → `V07-plans-d.png` | 「优先级 new_work / upgrade」,说明 `organize:succeeded` | `46d37d8` |
-| 11 | 低 | 审计日志 | `M-audit-m.png` → `V08-audit-d.png` | `capability.invoke`、`files.*`、`site.*`、`feed_source.created` 等无中文 | `46d37d8` |
-| 12 | 低 | 待处理·待识别 | `42-inbox-d.png` | 摘要「没有匹配的作品(no_viable_candidate)」 | `46d37d8`(新开事项生效) |
-| 13 | 低 | 设置·Agent 上游测试 | `72-custom-completion-fail-d.png` | 端点不存在时显示「失败 · Connection error.」,没归到「网络错误」也没说怎么办;凭证来源 `stored credential` | `46d37d8` |
-| 14 | 低 | 手动整理预览 | `46-dl-organize-preview-ok-d.png` | 徽章 `copy` / `transfer`、文件类型 `video` | `d7eb6a4` |
-| 15 | 低 | 站点详情·库存叠加 | `M-sites_…-m.png` | 候选标签 `1080p:deferred` | `46d37d8` |
-| 16 | 低 | 全站弹窗 / 抽屉 | — | 关闭按钮读屏文本 `Close`、面包屑 `More` | `46d37d8` |
-| 17 | 低 | 首页·最近产出 | `92-home-after-restart-3s-d.png` | 无作品的记录显示「未命名」,与整理记录页「未关联作品」不一致 | `46d37d8` |
-
-### 未修
-
-| # | 严重度 | 页面 | 截图 | 现象 | 原因 |
-| --- | --- | --- | --- | --- | --- |
-| U1 | 中 | 媒体库详情 | `47-library_f020597a-…-d.png`、`V09-library-slot-d.png` | 自动整理被拦(版本目标进 attention)后,从下载详情手动整理成功入库、资产已核验,版本目标仍「需处理」、当前资产「无」 | 设计取舍:`transitionWithInflight` 对静止态 attention 拒绝 `verify_passed`("可能已被人工处理")。要么放行 attention→verify_passed,要么手动整理成功时自动解决对应「整理冲突」事项,需要定 |
-| U2 | 中 | 设置·Agent 上游 | `V11-pi-test-network-hint-d.png` | Base URL 不存在,「测试」仍「通过」并把状态改成「可用」;只有「最小补全」会连端点 | 测试语义设计(只查凭证和模型,不产生费用);建议测试结果不改写可用状态,或给自定义端点做一次 `/models` 探测 |
-| U3 | 中 | 来源健康 / 站点详情 | `90-sse-after-event-d.png` | 点「立即抓取」后,抓取任务完成不发 SSE 事件,列表只在请求返回那一刻刷新一次;worker 慢时一直显示旧的「最后成功」 | 需要新事件(如 `source.feed_fetched`)+ 前端失效,超出本轮 |
-| U4 | 低 | 收录策略草案 | `40-policy-saved-d.png` | 保存失败只弹「表单有错误」,不指明字段、不滚动到错误处(长表单里看不到) | 需要表单级错误定位,改动面大 |
-| U5 | 低 | 设置各分区表单 | `10-empty-settings_agent-d.png` | 带说明文字的字段,说明与下一个字段标签只隔 4px,节奏不齐 | `FormField` 间距属设计取舍 |
-| U6 | 低 | 全站(手机更明显) | `M-settings_agent-m.png`、`60-files-d.png` | 右下 Agent FAB 盖住右对齐开关、文件管理页脚「剩余空间」 | FAB 定位设计取舍 |
-| U7 | 低 | 下载计划 / 详情 | `44-downloads_…-d.png` | 新作品首次下载的计划用途是「升级」、时间线写「创建下载计划(升级)」 | 业务逻辑待查 |
-| U8 | 低 | 站点详情 | `32-site-detail-d.png` | 所有资源都是「H&R 未知」,fixture 里标了 H&R 的也一样 | 适配器 / mock 选择器待查 |
-| U9 | 低 | 媒体库详情·元数据 | `47-library_…-d.png` | TMDB 已识别,元数据各字段仍「未提供」;别名重复(沙丘2 ×2、Dune: Part Two ×3) | 数据层待查 |
-| U10 | 低 | Agent | `83-agent-run-execute-d.png` | 配了自定义 fake 脚本后,不匹配的目标直接失败「assistant_error: no fake script matched」,内置演示脚本不再兜底 | fake 仅用于演示,行为与 runbook 一致 |
-| U11 | 低 | 全站说明文字 | 多处 | 中文句子里混用半角 `,;:` 与全角 `。`(如「停用后不再访问该站点,也不产生新候选;…」「账号:未验证」) | 全站文案规范问题,留给文案轮 |
-| U12 | 低 | 文件管理 | `61-files-incoming-d.png` | 单击目录只选中,双击才进入;手机上不便 | 交互设计取舍 |
-| U13 | 低 | 文件管理·移动到… | `63-move-preview-d.png` | 目标树点到源所在目录即自动预览,返回 400 并在控制台报错 | 预期校验,但应在前端先拦 |
-| U14 | 低 | 账户弹层 | `02-account-menu-d.png` | 浮层透明度高,底下的「实时」「暂停自动化」透出 | 材质设计取舍 |
-| U15 | 低 | 待处理(手机) | `M-inbox-m.png` | 指标卡说明「待处理 + 调查中 + 等你决定」被截断 | 文案可缩短 |
-| U16 | 低 | 身份指定弹窗 | `50-inbox-assign-dialog-d.png` | 类型用原生 `<select>`,输入框只有占位符没有标签 | 组件统一待做 |
-| U17 | 低 | 健康检查 | — | `v0.2.0-rc` 镜像 `/health` 报 `version: 0.1.0` | 当前 main 已有 `chore(release): v0.2.0`,下次构建复核 |
-
-## 文案问题清单
-
-| 位置 | 现状 | 建议 |
-| --- | --- | --- |
-| 下载详情·计划 | 用途 `upgrade`、说明 `added` | 已修:升级 / 已添加到下载器 |
-| 业务任务·触发 | `user:<uuid>` | 已修:管理员 |
-| 上游测试 | `Connection error.` | 已修:「连不上上游,检查 Base URL、端口和网络。原始错误:…」 |
-| 元数据保存 toast | 「TMDB已保存」 | 「TMDB 已保存」(中英文之间空格) |
-| 设置·API Key | 分区标题「API Key / 签发给外部程序的 Key」下小节又是「API Key / 签发给外部程序(…)的 Key」 | 删掉一处 |
-| 定时任务 | 「每 168 小时」 | 「每 7 天」 |
-| 定时任务·备份 | 「目前由 scripts/backup.sh 在宿主机执行」 | 与 runbook 的 `umt backup` 对齐 |
-| 初始化页 | 字段叫「初始化口令」,服务端报错「setup token 无效」 | 统一一个词 |
-| 待处理指标 | 「最高 提示」 | 「最高级别:提示」 |
-| 版本目标 | 「延后(单元在途)」 | 「延后:已有计划在途」 |
-| 整理记录详情 | 「整理后 · 库根相对 / 未知或未授权」 | 失败记录直接写「未生成目标路径」 |
-| Agent 上游列表 | 模型列「provider 默认」 | 「默认模型」 |
-| 全站 | 半角 `,;:` 混在中文句子里 | 见 U11 |
-
-## CI 与并行开发
-
-- 检查期间 main 上有另一路开发在提交(W9 站点中心、命名模板等),工作区还有大量未提交改动。当前 main 的 `deno task ci` 在本轮之前就是红的:
-  `instances-routes.ts` 的 `SiteCredentialsPut` 类型错误、`release-fields.ts` 缺 `challenge`、`api-registry` 端点未实现等,都不在本轮改动里。
-- 本轮只提交自己的改动,用临时 index 按块提交(`organize.ts` 里只含本轮 7 行,对方未提交的命名改动未带入),提交后把真实 index 对应路径同步到新 HEAD。
-- 验证:在 `83498f9`(本轮开始时的 HEAD)+ 本轮改动的独立 worktree 跑 `deno task ci`:typecheck、lint、check:tokens、build 全过;
-  测试 server 275 通过,2 个文件因与并行开发共用开发库(55433)的 schema 被对方删掉而失败,单独重跑通过;tasks 的崩溃恢复用例同理重跑通过。
-  用这份代码构建的 `uhd-media-tool:qa` 在 QA 栈复测了 #1–#17。
-
-## 值得一看的 5 张截图
-
-1. `apps/web/test/screenshots/qa-v02/47-library_f020597a-d1f5-4ca0-8d16-81b974ad1960-d.png`:手动整理成功后版本目标仍「需处理」(U1)
-2. `apps/web/test/screenshots/qa-v02/83-agent-run-spawn-d.png`:fake 模型派生子会话 + await,会话树合计与系统核实
-3. `apps/web/test/screenshots/qa-v02/66-organize-wizard-1-d.png`:批量整理向导识别步骤(整季包 + 电影 + 待选作品)
-4. `apps/web/test/screenshots/qa-v02/45-dl-organize-exec-d.png`:预览失败仍能执行产生的失败记录(#2,已修)
-5. `apps/web/test/screenshots/qa-v02/V11-pi-test-network-hint-d.png`:不存在的端点「测试」通过、状态变「可用」(U2)
-
-## W10-pre 后端复核(未修项状态)
-
-2026-09-28。只改后端;前端项留给前端波。验证:HEAD + 本轮改动的独立 worktree 跑 `deno task ci`。
-
-| # | 归属 | 状态 | 说明 |
-| --- | --- | --- | --- |
-| U1 | 后端 | 已修 | 协调者拍板:状态机新增 `manual_verify`(attention → verifying,带原因)。下载任务的整理成功入库时,Slot 若是 attention 先回核验,再由 `verify_passed` 按实际入库资产落 satisfied / empty(部分覆盖);同一下载任务的「整理冲突 / 做种义务阻止移动」事项(`organize_blocked:<下载任务>`)自动 resolved,`resolution = { key: "manual_organize", organizationRecordId, by }`,自动重试成功记 `organize_retry`。纵切测试覆盖 |
-| U2 | 后端 | 已修 | 自定义 Base URL(非 OAuth)的「测试」只核对凭证和模型,不再把状态改成「可用」、不记核验时间,返回提示「没有连接 Base URL;用「最小补全」确认端点可达」。前端直接显示 `message` 即可 |
-| U3 | 后端 + 前端 | 未修,需定 | 根因比报告写的大:`ctx.outbox.emit` 写的事件(`feed.fetched`、`decision.*`、`download.status_changed`、`organization.changed` 等)只进 outbox 路由成任务,**没有任何一条镜像到 SSE 总线**;浏览器只收得到直接 `ctx.events.publish` 的事件(agent、settings、files、schedule、heartbeat)。首页订阅的这些类型实际从未到达。要补一个 outbox → SSE 的桥(提交后可见、顺序与裁剪策略),属于设计改动,超出本轮。桥接好后前端来源健康 / 站点详情订阅 `feed.fetched` 失效列表 |
-| U4 | 前端 | 未修 | 表单级错误定位 |
-| U5 | 前端 | 未修 | `FormField` 间距 |
-| U6 | 前端 | 未修 | FAB 定位 |
-| U7 | 后端 | 已修 | 电影 Slot 缺口的 mode 仍记 `upgrade`(`determineMode` 的 slot_gap),但计划用途只在 Slot 已有当前资产时才是「升级」,否则「补缺」;时间线随之显示「创建下载计划(补缺)」 |
-| U8 | 后端 | 不改 | 观众站定义(照搬 MP 的 `audiences.json`)没有 `hr` 选择器,H&R 三态按设计为 unknown;mock 页面上的 `hitandrun` 标记不会被读取。要补选择器需先在真实站点核对 |
-| U9 | 后端 | 已修 | 按 TMDB 建档(自动识别 / 手动指定 / 按候选建)时同事务写入 TMDB 字段并投影,不再等下一次刷新(不记 `last_metadata_refresh_at`,剧集季总集数仍由首次刷新补);别名按规范化文本去重(TMDB 译名/别名列表与主标题、原名重复的不再登记,站点标题与已有别名同文本时也不登记)。已有数据里的重复别名不回溯清理 |
-| U10 | 后端 | 不改 | fake 仅用于演示,行为与 runbook 一致 |
-| U11 | 前端 / 文案 | 未修 | 全站标点规范 |
-| U12 | 前端 | 未修 | 文件管理单击进入 |
-| U13 | 前端 | 未修 | 移动目标树先拦「目标 = 源所在目录」 |
-| U14 | 前端 | 未修 | 浮层材质 |
-| U15 | 前端 | 未修 | 指标卡文案缩短 |
-| U16 | 前端 | 未修 | 身份指定弹窗 select / 标签 |
-| U17 | 后端 | 已核 | `/health` 与 `/system/health` 都读 `apps/server/deno.json`,当前为 0.2.0;rc 镜像构建早于版本号提交,下次构建复核 |
-
-文案清单里的后端项已改:服务端初始化报错改为「初始化口令无效…」(与页面字段同词);定时任务「备份」说明改为「目前用 umt backup(宿主机 cron 调用)」。其余文案(TMDB 空格、API Key 重复小节、「每 7 天」、「最高级别:提示」、「延后:已有计划在途」、失败记录「未生成目标路径」、「默认模型」)在前端。
-
-其他:`packages/db/test/schema.test.ts` 补 `site_user_data`(0031),迁移往返用例超时放宽到 60s(35 个迁移 down/up 在共用开发库上超过默认 5s);`db-sync` 在 HEAD 上已齐。迁移 0031–0035 连续无冲突(0017 历史上空缺,迁移器按文件名排序,不影响);0035 仍是 W9-E 未提交改动,`types.ts` 已含其列。
-
-前端联调追加的两条站点中心后端 bug(同一提交修):
-
-- `PUT /sites/{id}/credentials` 更新已有账号凭证 500:secret 名 `site_account:<label>` 撞 `secret.name` 唯一约束(各站点都有 `default`,换凭证时新 secret 与旧 secret 同名)。改为同账号同类凭证(主凭证 / passkey / TOTP)原地 `replace`,需要新建时名字带站点 id 与随机后缀;会话 Cookie、`POST /site-accounts` 同样处理。测试夹具的 fake secret 现在按 label 落 `name`,能复现唯一约束。
-- 馒头刷新登录 "Invalid URL":用户数据解析器在没有 `config.apiBaseUrl` 时按站点地址推 `https://api.<根域>`,站点地址是 IP / 本地 mock 时拼成非法 URL。改为与适配器一致:站点配置 > 定义里的 `apiBaseUrl`(`https://api.m-team.cc`)。
-
-## W10 前端复核(未修项终态)
-
-2026-09-28。前端项与 U3 在 W10 集成里处理,提交见 `docs/plan/08-v0.2-closeout.md`"W10 集成记录"。
-
-| # | 状态 | 说明 |
-| --- | --- | --- |
-| U3 | 已修 | OutboxRelay 新增 `mirror`:`feed.*`(除 `feed.due`)、`decision.*`、`download.*`、`organization.*`、`subscription.*` 投递成功、认领事务提交后按顺序发到 SSE 总线,payload 原样(带业务 id);只镜像不路由的类型也会被认领并标记已投递(以前 `feed.fetched`、`organization.changed` 等一直停在 pending)。Feed 表收到 `feed.fetched` / `feed.health_changed` 刷新,任务流多听 Feed 与待处理事件。目前没有 `subscription.*` 事件 |
-| U4 | 已修 | `lib/form-errors.ts`:保存失败 toast 写出第一处问题,滚到第一个 `aria-invalid` / `role=alert` 并聚焦;用在收录策略草案、设置分节、实例抽屉、订阅表单 |
-| U5 | 已修 | `FormField` 加 4px 底距,说明文字与下一个标签至少隔 8px |
-| U6 | 部分 | 页面底部原已留 `pb-24`;文件管理状态栏的"剩余空间"改为靠左。滚动途中悬浮按钮仍会暂时盖住右侧控件,属悬浮按钮的定位取舍 |
-| U11 | 不改 | 代码与文档自 W1 起统一用半角 `,;:` + 句末全角 `。`,改成全角要先定全站规范并整体替换(数千条),单改几处只会更乱。留给文案规范决定 |
-| U12 | 已修(FE-4) | 窄屏单击目录直接进入、长按多选;桌面保持单击选中、双击进入 |
-| U13 | 已修 | `transferTargetProblem`:目标是源所在目录或在源目录之内时,移动 / 复制对话框直接提示,不发预览 |
-| U14 | 已修 | 账户弹层用近实底材质 `pg-float-solid` |
-| U15 | 已修 | 指标卡说明改为「含调查中、等你决定」 |
-| U16 | 已修 | 手动指定 TMDB 的弹窗改用共享 Select,类型 / TMDB ID / 备注都有标签 |
-
-文案清单前端项已改:「TMDB 已保存」等 toast 的中英文空格、API Key 小节标题改「已签发的 Key」、整天间隔显示「每 7 天」、「最高级别:提示」、「延后:已有计划在途」、失败记录的整理后路径显示「未生成目标路径」、上游模型列「默认模型」。
-
-
-## v0.2.1 C1-C(U6 / U11 收尾)
-
-| # | 状态 | 说明 |
-| --- | --- | --- |
-| U6 | 已修 | 悬浮按钮向下滚动时滑出右侧,向上滚动、滚到页底或回到顶部附近时回来(只看高度 ≥ 半屏的页面级滚动区域);键盘聚焦时照常显示。静止在页中时仍在右下角,底部 `pb-24` 与状态栏靠左保持不变 |
-| U11 | 已修 | `docs/design/glossary.md`「标点」定 10 条规范;`scripts/check-copy-punctuation.mjs` 检查字符串字面量 / 模板 / JSX 文本(不看注释、类型、对象键、匹配与比较用的字符串),接入 `deno task ci`(`check:copy`,warn 模式);`--fix` 已对 web、server、contracts 执行。订阅、站点、浏览器、Agent、认证/账户、库存相关文件当时有并行改动,未改,留给各自收尾时 `--fix` |

docs/plan/10-v0.2.1-check.md

@@ -1,106 +0,0 @@
-# v0.2.1 收尾波独立检查
-
-2026-09-28。对象:C1-A~E、AG-1、AG-2 合入 main 后的状态(基线 `cd70a69`)。检查者独占工作区。
-
-## 结论
-
-七路成果在 main 上可用,自动化测试与实机走查都能对上交付项。检查中发现并修复 5 项(其中 1 项是 HEAD 上 `deno task lint` 本身就不过),
-另记录 6 项未修(都不阻塞发布)。修复后 `deno task ci` 连跑 2 次全绿(协调者要求加速,第 3 次中止),前端冒烟 69/69 通过。文案标点违规数为 0,`check:copy` 改为 `--strict`。
-
-## 提交
-
-| 提交 | 内容 |
-| --- | --- |
-| `410d4ee` | 工作区遗留的排序改动:`api.ts` 的 `export * from "./mcp.ts"` 排序(**HEAD 上 biome organizeImports 报错,ci 的 lint 一步不过**);`types.ts` 与 `deno task gen:types` 输出一致(开发库迁到 0040 后重新生成,逐字相同);`deno.json` imports 按字母排序。`deno.lock` 的改动(`@peculiar/asn1-*` 2.9.5→2.10.0、多出 `npm:vite@*`)是重新解析产生的,HEAD 的 lock 用 `deno install --frozen` 验证一致,已丢弃 |
-| `0fccfe2` | 设置页左侧锚点补齐:Agent 分区加「MCP 服务端」「能力清单」,账户分区加「Passkey」(`SETTINGS_SECTIONS.anchors`) |
-| `fb84a71` | 标点:剩余 828 处违规里 602 个字面量由 `--fix` 自动修正(74 个文件,只动字符串字面量 / JSX 文本),biome 重排 9 个文件;e2 / e6 断言跟随全角汇报文本;`check:copy` 改 `--strict`,ci 里有违规即失败 |
-| `57346d4` | Agent 会话:挂起的调用(方案选择 / 审批)恢复重放时 `tool_call_start` 用同一 `toolCallId`,`foldEvents` 重复出卡 → React 重复 key 报错,工具调用计数也多 1(界面 6、列表 5)。改为沿用原卡片,补单测;汇报脚注的 `"已提交"` 改 `「已提交」` |
-
-## CI 与冒烟
-
-本机串行,HEAD `c1c8dc8`(代码同 `57346d4`,其后只有文档提交):
-
-| 次 | 结果 | 耗时 |
-| --- | --- | --- |
-| 1 | 全绿 | 448 秒 |
-| 2 | 全绿 | 453 秒 |
-| 3 | 未跑完(按协调者要求中止) | — |
-
-用例数(两次相同):server 69 文件 / 419、adapters 310(跳过 3)、agent 38、contracts 858、db 13、domain 582、mapping 22、tasks 17、testkit 4、web 99。
-检查过程中的试跑:改标点后第一次 ci 因 biome 行宽与 3 个 e2e 断言(半角汇报文本)失败,已在 `fb84a71` 修掉。
-
-前端冒烟:后端 `PORT=4412`(开发库 55433)+ web dev `--port 5202`,`deno task test:web:smoke` **69/69 通过**,跳过 7 条详情页(库里无站点 / 作品)。
-
-## 逐路核验
-
-| 路 | 交付项 | 证据 | 结论 |
-| --- | --- | --- | --- |
-| C1-A | 私有规则组、画质字段(MP 分辨率 / 来源 / 特效)、保存路径 / 下载器、关键词搜索、重置、日历 | `test/subscriptions/subscriptions-c1a.test.ts`(12)、`subscriptions-c1a-sources.test.ts`(2);走查:订阅总览 / 列表 / 日历视图、新建表单、详情页「订阅操作 → 重置」确认框与执行 | 通过 |
-| C1-B | `agent.await` / `agent.spawn{await}` 挂起不占槽 | `e11-subagents`(`await_wake`、`run_started` resumed) | 通过 |
-| C1-B | TOTP 二维码 + 恢复码 | `auth-settings/account-security.test.ts`、`login.test.ts`;走查:begin → enable(返回 8 个恢复码)→ 新会话密码登录出现 TOTP 步骤 → 输码登录 → disable | 通过 |
-| C1-B | Passkey | 同上(`soft-authenticator.ts`);走查:CDP 虚拟认证器在设置页登记 → 登出 → 登录页出现「用 Passkey 登录」→ 登录成功 → 删除 | 通过。登录页只在已登记 Passkey 时显示入口(设计如此) |
-| C1-B | 主密钥轮换 | `auth-settings/rotate-master-key.test.ts`;runbook `auth.md`「主密钥轮换」 | 通过 |
-| C1-C | 契约 G6–G8、identify S-7 字段 | `file-manager/g678.test.ts`、`identify-organize.test.ts`、contracts `schemas.test.ts` | 通过 |
-| C1-C | DataTable groupBy | `web/components/console/data-table.test.ts` | 通过 |
-| C1-C | U6 悬浮按钮滚动让位 | 走查截图未见遮挡(未专门录滚动过程) | 通过 |
-| C1-C | 标点全站执行 | 本轮修完剩余 828 处,0 违规,已切 strict | 已修 |
-| C1-D | media-servers 并行 | `inventory/media-servers.test.ts`(并行、慢实例超时、partial) | 通过 |
-| C1-D | identify 远端查询入队 + SSE | `identify-organize.test.ts`「缺省入队远端查询…发 identify.completed」 | 通过 |
-| C1-D | 清理脚本 dry-run | 实跑 `scripts/dev-db-clean.ts`:dry-run 列出走查留下的 `qa-chk` 订阅 3 / 站点 1 且不改动;`--yes` 删除 174 个残留 schema 与这 4 行 | 通过 |
-| C1-E | camofox BrowserProvider、会话 / 租约 | adapters `browser/browser.test.ts`、`interact.test.ts`;server `browser/__tests__/browser-api.test.ts`(9)、`browser-e2e.test.ts` | 通过 |
-| C1-E | 原站视图 | 走查(mock camofox 19377):打开会话 → 画面 → 接管 → 地址栏跳转(被重定向到登录页,符合 mock 站点)→ 交还;「画面与输入未对真实实例核验」标记显示 | 通过,见问题 #3 |
-| C1-E | 下载走 acquisition-plans | `routes.ts` 下载转调 `POST /acquisition-plans`(同一鉴权 / 去重 / 授权);`browser-e2e.test.ts` | 通过 |
-| C1-E | 能力 25 | C1-E 时为 25;AG-2 加 `agent.plan` / `agent.propose_options` 后 `GET /capabilities/tools` 为 27,MCP 可见 read 9 / organize.execute 18 / admin 23,与 `mcp.md` 一致 | 通过 |
-| AG-1 | MCP 端点鉴权与 scope、会话绑定、停用 / 允许列表、无授权拒绝 | `test/mcp/mcp.test.ts`(官方 SDK client 实连) | 通过 |
-| AG-1 | stats / tools 端点 | 同上;走查 `GET /capabilities/stats` 200、`/capabilities/tools` 27 项、`/mcp/status` 200 | 通过 |
-| AG-1 | 设置 → Agent → 工具与 MCP、IO 抽屉 | 走查设置 Agent 分区:MCP 服务端(开关、端点、接入配置)、能力清单表格 28 行(API 27 项) | 通过;左侧锚点已补(`0fccfe2`) |
-| AG-2 | mode 移除与兼容 | `e12-interaction`「旧 mode=plan_only 按先看方案处理」 | 通过 |
-| AG-2 | plan / propose_options 事件与 UI | `e12-interaction`、contracts `agent-events.test.ts`;走查:fake 脚本 → 步骤 1/3 实时勾选 → 方案卡(REMUX / WEB-DL / 都不要)→ 选定后续跑到 3/3、已完成 | 通过;修了重复 key(`57346d4`) |
-| AG-2 | 内联审批 | `e12-interaction`(管理员会话批准后重放、审批 consumed;拒绝写待处理);UI 用 `/console/agent?mock=1` 看审批卡 | 通过。开发库没有版本目标 / 资源,未在实库上走真实审批 |
-| AG-2 | E12 | `apps/server/test/e2e/e12-interaction.test.ts` 每次 ci 通过 | 通过 |
-
-## 实机走查
-
-脚本 `apps/web/test/screenshots/chk-v021/_walk.mjs`(Playwright,chromium headless,1440×900),截图与 `report.json` 在
-`apps/web/test/screenshots/chk-v021/`(不进 git,共 58 张 + 冒烟 `smoke/`)。
-
-走过:登录页 / 密码登录 / TOTP 步骤 / Passkey 登录;设置 9 区 + Agent 的 MCP 与能力清单锚点;站点列表、添加向导、站点详情(概览 / 账号 / 资源 / 快照)、原站视图;
-来源健康;订阅(空态、新建表单、总览、列表、日历、详情、重置);规则页 5 个页签;文件管理(真实目录、演示数据、整理向导与推荐名、回收站);
-任务页(全部、计划 Tab、详情);Agent 会话(fake 步骤 + 方案选择、`?mock=1`、列表);运行状态;⌘K 命令面板;搜索结果页。
-
-- 控制台错误:修复前 Agent 会话选定方案后 4–6 条 React 重复 key;修复后 0。
-- 失败请求:原站视图交还后 1 次 `409 GET /browser/sessions/{id}/screenshot`(问题 #3)。其余 0。
-- 横向溢出:0。
-- 走查临时数据(站点、订阅、浏览器服务行、Passkey、TOTP、`agent.fakeScript`)已清理或还原。
-
-## 安全快查
-
-| 端点 | scope / auth | 结论 |
-| --- | --- | --- |
-| `/browser/providers`、`/browser/sessions/**`(建 / 关 / 导航 / 点击 / 输入 / 滚动 / 选择 / 快照 / 截图 / 接管 / 交还) | admin | 输入类另需调用者持有自己的人工租约 |
-| `POST /browser/sessions/{id}/download` | organize.execute | 带 target 需人工租约;提交转调 `/acquisition-plans`,授权与去重同 REST。比其它浏览器端点低一级,见问题 #5 |
-| `/api/v1/mcp` | API Key(cookie 会话 403) | 调用走 `capabilities.invoke(source="mcp")`,execute 类要持续授权或有效审批;`GET /mcp/status`、`PATCH /mcp/config` admin |
-| `POST /subscriptions/{id}/reset`、`/feed-sources/{id}/reset` | admin | — |
-| `/auth/totp*`、`/auth/passkeys*`(管理) | admin + session | API Key 一律 403 |
-| `/auth/passkeys/login/*` | public | 与 `PUBLIC_AUTH_PATHS` 一致(api-registry 测试断言) |
-| `GET /files/download` | admin + session | — |
-| `POST/PATCH /approvals` | admin + session | 会话内审批卡走 `PATCH /approvals/{id}`;能力注册表里没有任何审批类能力,Agent 与 MCP 都不能给自己开审批 |
-| `GET /capabilities/stats`、`/capabilities/tools` | read | 只有描述符与计数 |
-
-- 浏览器模块只写 `DATA_DIR/tmp/browser-downloads`(0700 目录 / 0600 文件,24 小时清理),没有媒体库或库根写入;凭证由服务端按 `credential` 注入,请求体不带明文。
-- 本波新增 logger 调用 16 处逐条看过:只有 id、计数、错误 message、路径,没有凭证 / token / 明文;`mcp tool call failed` 记 `err` 对象,依赖 logger 的全局遮盖。
-
-## 问题清单
-
-| # | 问题 | 状态 |
-| --- | --- | --- |
-| 1 | HEAD 上 `api.ts` 导出未排序,`deno task lint` 失败 | 已修 `410d4ee` |
-| 2 | 设置页左侧缺 MCP 服务端 / 能力清单 / Passkey 锚点 | 已修 `0fccfe2` |
-| 3 | 原站视图交还后第一轮截图轮询 409,状态徽标瞬时显示红色「连接中断」;一次失败就标红偏敏感 | 未修:需要决定是否对单次失败做容忍 / 交还期间暂停轮询 |
-| 4 | 能力清单里 `agent.propose_options` 失败率 50%:挂起那次调用在审计里记为失败,重放成功又记一次,统计把正常的挂起算成失败(`agent.spawn{await}` 同理) | 未修:需要定统计口径(挂起单独计或不计) |
-| 5 | `POST /browser/sessions/{id}/download` 是 organize.execute,其余浏览器端点 admin。组合下需要先有 admin 建的会话,且带 target 要人工租约,风险有限 | 未修:记录,scope 取舍留给 C1-E 负责人 |
-| 6 | 仓库根 `.env` 在 01:35 被换成了 docker compose 用的内容(没有 `DATABASE_URL`、`SECRET_MASTER_KEY`),`deno task gen:types` / `db:migrate` / `dev:server` 直接失败;本轮用环境变量覆盖运行,未改该文件(`umt` 栈可能在用) | 未修:建议把部署 env 放部署目录,根 `.env` 恢复为 `.env.example` 的开发内容 |
-| 7 | 开发库缺 3 个迁移,本轮补迁到 0040(`0037_agent_await_passkey`、`0039_capability_stats`、`0040_agent_interaction`) | 已处理 |
-| 8 | Agent 会话详情里步骤卡片 sticky,滚动时盖住方案卡上半部分(截图 49) | 未修:视觉取舍 |
-| 9 | 自动修正不处理嵌套括号,如 `调查超出预算(工具调用次数超出预算(1))` 仍是半角外括号;检查脚本也不报 | 未修:脚本规则限制 |
-| 10 | 会话详情工具调用计数与列表不一致(6 vs 5) | 已修 `57346d4`(同重复 key 根因) |

docs/plan/11-requirements-coverage.md

@@ -1,313 +0,0 @@
-# 需求覆盖矩阵与后续计划
-
-> 历史报告:本文核对的是 2026-09-28 的 `57346d4`,其中未做 / 待合并 / 真机验证状态与数字不代表当前版本。2026-10-01 的 v0.3.7 现状、R01–R32 复核及验证边界见 [当前开发情况基线](13-development-baseline.md)。
-
-2026-09-28。对照 REQ v0.7(`../../media_automation_requirements_architecture_v0.7.md`)逐条核对 main HEAD `57346d4` 的实现。证据来自代码 grep、测试文件与已有验收文档(`04`、`07`、`08`、`10-v0.2.1-check.md`),没有跑新的测试。
-
-标记:
-- **已做**:代码与自动化测试都在,mock 环境下行为符合 REQ。
-- **部分**:只做了其中一段,缺口写在最后一列。
-- **未做**:没有对应实现。
-- **待真实环境验证**:代码完成,只在 mock(RSS / 站点 / TMDB / qB / Emby / camofox / fake 模型)下验证过,没有连过用户的真实服务。
-
-所有"已做"都隐含一个前提:**没有连过真实 PT 账号、qB、Emby、camofox 和真实模型上游**。下文"待真实环境验证"只标那些核心价值就在真实交互上的条目。
-
-进行中(不在 main,不计入本文统计):`c2a` 分支(工作区 `/opt/uhd_media_tool-c2a`)在做跨进程限流与缓存(PG 令牌桶、`UNLOGGED` 缓存表、TMDB 响应缓存、图片代理,见 `00` §9 最后两条);检查子代理的 `10-v0.2.1-check.md` 尚未提交。
-
-## 1. R01–R32 覆盖矩阵
-
-统计:已做 18,部分 11,未做 0,待真实环境验证 3(R26、R30、R32)。"部分"里 R06、R24、R31 同时也需要真实环境验证。
-
-| 编号 | 需求 | 状态 | 证据 | 缺口 |
-| --- | --- | --- | --- | --- |
-| R01 | 多个 RSS 并存 | 已做 | `feed_source` / `observation`;`ingest.test`「三个 Feed 看到同一资源只建一条 source_release」「窗口零重叠 → feed.gap_suspected」;`docs/runbook/sites.md` | 没有并发 ingest 的测试(现有用例是顺序抓取) |
-| R02 | 综艺正片齐全,附加内容可选 | 部分 | `release-parser` 输出 `contentType`(main / extra / performance_only…)与 `segment`(upper / lower / full);`content_unit.content_type` 列;订阅覆盖矩阵显示分段 | 没有"上 + 下 = 一期正片"的覆盖计算,没有节目级"附加内容全部收录"配置,完整性不按正片覆盖判定 |
-| R03 | TMDB 滞后不阻断 | 已做 | 临时季 / 集单元(`resolve.test`「剧集:建 series 作品与临时季/集单元」);总集数账本 0025;`e7-tv-series`「总集数未知,Slot 不判满足」 | 一对多 / 多对一编号关系(`unit_relation`)没有建表 |
-| R04 | 按规则收录双版本 | 部分 | 每作品多 Slot、Slot × 单元预留(`e9-continuous-series`);订阅"自动补全其他版本";`require_distinct_asset` 列与表单开关 | `checkDistinctAssets`(`domain/slot/completion.ts`)没有接进服务端,同一文件仍可同时满足两个 Slot |
-| R05 | 根据 PT 每日新增自动收录 | 已做 | 策略 `newTitle` 规则与 `new_title` 模式(`rules-api.test`「new_title:not_new_release」);新作品 / 追更 / 升级三种模式(`domain/acquisition/mode.ts`) | 没有"每日汇总"视图 |
-| R06 | 部分 PT 需要浏览器 | 部分 | camofox BrowserProvider(`packages/adapters/src/browser`)、会话 / 租约、凭证服务端注入、验证码转待处理(`browser-api.test`、`browser-e2e.test`);`docs/runbook/browser.md` | 站点适配器 HTTP 失败后不会自动切到浏览器(REQ §4.4);只对 mock camofox 验证过 |
-| R07 | 保持最终路径结构 | 已做 | `path_binding_active_key`;`organize-move.test`「路径绑定固定:译名变化后新集仍进旧目录」;命名模板对已有绑定只用于新目录(`docs/design/naming-template.md` 样例 24) | — |
-| R08 | 不绑定 TMDB 身份 | 已做 | 本地 UUID;`external_identity` (provider, entity_type, external_id) 部分唯一;合并保留 `merged_into_id` 跳转(`resolve.test`「合并重复作品」) | — |
-| R09 | 数据库存映射并定期校验 | 部分 | 资产对账 `reconcileLibrary`(哨兵 + 增量 stat,suspected → confirmed);元数据 6 小时刷新;`vertical.test`「资产对账」 | 没有 Identity Reconciler(外部对象存在性 / 类型核对)和 Server Reconciler(本地资产 ↔ Emby);备份恢复只有人工演练 |
-| R10 | 必要时 Agent 辅助刮削 | 部分 | `identity.resolve`、`catalog.lookup` 能力;待识别事项自动调查(`e5-auto-investigate`);字段锁 | 没有字段级 `metadata.apply` 能力;NFO / 图片写入返回 `not_implemented`(`file-manager/probe.ts`) |
-| R11 | 以 MP / MovieClaw 实现为基线迁移 | 已做 | `docs/porting/`(识别、刮削、转移、订阅、站点框架、Rust 逻辑差分、许可账本 `license-and-provenance.md`);`scripts/mp-sync` 差分脚本 | MP 多文件 / 整季包 / 目标冲突的运行对照(REQ §14.1.1)只到源码层 |
-| R12 | Pi Agent 作为推理内核 | 已做 | `@earendil-works/[email protected]`,`AgentRuntimePort`,显式白名单(`agent/test/runtime.test`);ADR-003 | — |
-| R13 | 公开 API / MCP | 已做 | 195 个端点定义(`packages/contracts/src/api.ts`)+ OpenAPI;Streamable HTTP MCP(`modules/mcp`,`test/mcp/mcp.test`);27 个能力 | — |
-| R14 | qB 标签管理 | 已做 | 提交打管理标签、已有种子接管只补标签(`vertical.test`「already_exists」);`e8-tag-removal` 去标签 / 任务消失 | — |
-| R15 | Copy / Move 与缓存清理 | 已做 | `verifyAndImport`、跨卷 Copy→核验→删源、EXDEV 不降级、fsproxy 看门狗;`vertical.test`「缓存清理」「H&R 未满足时 Move 变冲突」 | 硬链接工作流、蓝光原盘整目录未做(REQ 本身不把硬链接作主流程) |
-| R16 | 条件选片与 Agent 偏好选片 | 部分 | 确定性 `evaluateAcquisition`、规则组分级优先级与逐级 trace | Agent 主观选片(偏好判断、独立预算、选片理由)没有实现;Agent 只能在会话里按用户委托提交 |
-| R17 | 自动执行为主、按操作授权 | 已做 | 策略发布即生成持续授权;服务端授权器(`authorize.ts`);`approvals.test`;e1 / e7 无逐次确认 | — |
-| R18 | 旧库分范围接管 | 部分 | 库根 `management_mode`(register_only / managed);资产对账;文件管理可逐项识别整理 | 没有首次全库扫描登记、没有"启用前预览影响"、没有作品级覆盖;`scanIncremental` 出错仍返回 complete |
-| R19 | 控制台与 Agent 双入口 | 已做 | 同一能力注册表服务 Web / Agent / MCP;Agent 抽屉带页面上下文;凭证与原站接管走专用 UI | — |
-| R20 | 偏好标签编辑与学习 | 部分 | 偏好标签作为规则展示形态,抑制记录(`rules-api.test`、`rule-groups.test`「Agent 不能加回(409)」);修订历史 | "重复反馈调整软排序"的学习没有;标签不参与订阅评估(`CHANGELOG` 0.1.0 已知限制 3) |
-| R21 | 下载缓存硬阈值 | 已做 | 按 `cache_volume_key` 汇总多 qB 同卷(`services/volumes.ts`);`vertical.test`「硬阈值……低于恢复水位只恢复阈值暂停项」 | 未纳管任务的占用与不暂停没有测试(AT42) |
-| R22 | 跨季综合召回 | 部分 | TMDB + `title_alias` pg_trgm 召回;待识别池可按原始标题检索;`identity_unresolved` 有界复查 | 同名重启、简称变化、特别篇与下一季的区分没有专项逻辑和样本;没有召回率 / 误关联报告 |
-| R23 | 整理记录公开接口 | 已做 | `/organization-records`、`/organization-records/changes`(游标,含状态更新);scope `organize.read` / `organize.execute`;`vertical.test`「整理记录 API」 | — |
-| R24 | Emby 兼容辅助查询 | 部分 | 多实例并行查询,失败为 unknown(`emby.test`、`inventory/media-servers.test`) | 库存结果不参与收录决策("已有则满足目标");没有 server_mapping 对账;没连过真实 Emby / Jellyfin |
-| R25 | 站点缓存优先 | 已做 | 站点独立启停、快照、实时补查并发合并(`sources-identity/api.test`);全局搜索短缓存 | 限流器是进程内的,跨进程令牌桶在 c2a 进行中 |
-| R26 | Pi 原生能力配置 | 待真实环境验证 | 上游 / 模型 / 思考档位 / 上下文预算 / 压缩 / 子会话开关;41 个 provider + 8 种订阅登录 | 只有 fake 与 OpenAI 兼容本地端点有自动化覆盖 |
-| R27 | 禁止默认自动换源 | 已做 | 无进展只记证据 + 待处理(`downloads.ts`);恢复白名单不含换源(`e6-auto-recover`「换源被拒」) | 用户委托换源没有"替换计划"把新提交与原任务处置绑在一起 |
-| R28 | 单管理员、多服务实例 | 已做 | 管理员登录 + TOTP / Passkey;API Key 四档 scope,可撤销;多 qB / 多 Emby / 路径映射 | — |
-| R29 | 交互执行模式 | 已做 | 会话默认执行,`agent.plan` 步骤清单、`agent.propose_options`、内联审批、"先给方案"(`e12-interaction`) | — |
-| R30 | PT 站点工作台 | 待真实环境验证 | 站点页整理视图:列表 / 搜索 / 详情 / 库存叠加 / 统一下载入口;全局搜索 | 四个主力站没有连过真实账号;观众站定义无 H&R 选择器 |
-| R31 | 同会话原站接管 | 部分 | 原站视图:截图轮询 + 坐标点击 / 输入 + 接管租约,交还后强制重读页面(`browser-api.test`) | 画面是 1.5 秒截图轮询,不是实时流;同一标签页人 / Agent 连续操作没在真实 camofox 上核验(`browser.md` §6 清单全空) |
-| R32 | 可配置浏览器后端 | 待真实环境验证 | `BrowserProvider` 合同 + camofox 实现;按站点 / 账号隔离 profile | 用户 camofox 的 fork / 版本 / 地址未提供;只实现 camofox 一种 |
-
-## 2. §2.1 五原则
-
-| 原则 | 保障点 | 已知违背或风险 |
-| --- | --- | --- |
-| 身份≠名字,路径≠外部 ID | `external_identity_accepted_key`(`0005_identity.ts`);本地 UUID 主键;合并留 `merged_into_id`;`resolve.test`「人工纠错映射:旧映射退役留修订」 | domain 匹配仍要求本地候选带 externalId(W1 建议项,未修) |
-| 已建立的路径绑定不随元数据重算 | `path_binding_active_key`;命名模板只在首次建绑定时生成目录;`organize-move.test`「路径绑定固定」;文件管理显式 move 才修订绑定(`file-manager/write.test`) | 无 |
-| 模型不是业务事实唯一来源 | 服务端授权器忽略模型声称的"已同意"(`e2`「没有授权:download.submit 被拒」);汇报取自整理记录,模型文本标"未经核查";审批只接受管理员会话 | 能力统计把挂起重放算成失败(`10-v0.2.1-check` #4),只影响统计 |
-| 失败≠不存在 | 对账库根离线只标 unavailable;TMDB 失败记 `lookup_failed`;Emby 失败为 unknown;文件管理根离线返回 503 不返回空列表(`browse.test`) | `scanIncremental` 出错仍返回 complete(旧库接管会用到,目前服务端未调用) |
-| 清理按明确授权 | `assertSafeToDeleteData`(已入库、无失败文件、无引用、保留期与 H&R);只读对账 / 总开关关闭时拒绝自动 execute;回收站代替直接删除,永久删除默认关闭 | 部分文件入库后不整种清理(AT29)只有代码保障,没有测试 |
-
-## 3. §15 分期对照
-
-**结论:当前版本相当于"M0 大部分 + M1 全部(仅 mock 环境)+ M2 约三分之一"。** 不是 M2 首版候选:REQ §15.3 明确 M2 才构成覆盖全部核心痛点的首版,而综艺分段覆盖、双版本组合校验、旧库接管、Agent 选片与规则学习都还没做,四站与浏览器也没连过真实环境。
-
-### M0
-
-| 项 | 状态 | 证据 / 缺口 |
-| --- | --- | --- |
-| 固定 Deno / Pi / PG / OpenWorkflow 版本与骨架 | 已做 | Deno 2.9.7、pi 0.87.1、openworkflow 0.10.1、PG 16;ADR-002 / 003 / 004 |
-| Deno 下 Pi / PG / MCP / OpenWorkflow 实际兼容 | 已做 | `docs/spikes/`,MCP 用官方 SDK 实连(`mcp.test`) |
-| Pi 白名单、无隐式扩展 | 已做 | `runtime.test`「未注册工具(bash)被拒」 |
-| 执行器崩溃恢复 | 已做 | `tasks/test/crash-recovery`、e4 |
-| 流程版本升级 | 部分 | 只在 spike 验证,产品代码没有测试 |
-| 提前审批不丢失 | 已做 | `engine.test`「waitForFact 事实先于等待到达不丢失」、`approvals.test` |
-| 多 Feed 并发不重复提交 | 部分 | 顺序 ingest 去重 + outbox 并发投递有测试;并发 ingest 没有 |
-| 改名与映射修订后路径不变 | 已做 | `organize-move.test`、`resolve.test` |
-| MP 多文件 / 整季包 / 目标冲突源码对照 | 部分 | `docs/porting/moviepilot-transfer.md`,只到源码层 |
-| 浏览器连用户现有 camofox,验证同会话交接 | 未做(待用户提供) | 只对 mock 验证;linuxserver/chrome / Selkies 适用性未记录 |
-| 脱敏真实样本 | 部分 | MP 差分样本(识别 / 规则 / 命名);没有四站真实 RSS 与综艺样本 |
-| 自动执行关闭、影子决策 | 已做 | 自动化总开关;`resolve.test`「自动化关闭:证据足够也只提议」 |
-
-### M1
-
-| 项 | 状态 | 证据 / 缺口 |
-| --- | --- | --- |
-| 观众 + 馒头、多 RSS | 已做(mock) | `api.test`、`mteam-tasks.test`、`ingest.test` |
-| qB 标签接管、Copy / Move | 已做 | `vertical.test`、`organize-move.test`、e8 |
-| 一个电影目标 + 一部常规剧集 | 已做 | e1 / e2(电影)、e7 / e9(剧集) |
-| 整理记录 API、可选 Emby 查询 | 已做 | 见 R23 / R24 |
-| 备份、审计、恢复、停用自动化开关 | 部分 | 备份脚本与 `umt backup`;恢复只有人工演练;定时任务里的"备份"是占位 |
-| 工作台列表 / 详情 / 库存标注 / 统一下载入口 | 已做(mock) | 站点页、全局搜索、`/search/releases/{siteId}/{rid}/plan` |
-| Agent 自然语言目标 → 查库存 / 搜索 / 选片 / 提交 → 持续流程入库 → 真实汇报 | 已做(fake 模型) | e2「有持续授权:……汇报来自整理记录」 |
-| 授权内异常调查与恢复 | 已做 | e6「task.inspect → download.recheck → 系统核实已恢复」 |
-| 关闭聊天后台继续 | 已做 | e3 |
-
-### M2
-
-| 项 | 状态 |
-| --- | --- |
-| 综艺内容分类与分段覆盖 | 部分(只到标题解析) |
-| 本地临时集账本 | 已做 |
-| 独立双版本 | 部分(`require_distinct_asset` 未生效) |
-| 新作品 / 追更 / 升级三种规则 | 已做 |
-| 浏览器 Adapter、工作台双视图、同会话接管 | 部分(mock;截图轮询) |
-| 映射巡检与辅助刮削 | 部分(资产对账、元数据刷新;无身份巡检、无 NFO) |
-| 旧库分范围接管 | 未做(只有库根两种模式) |
-| 授权规则优化、条件 / Agent 选片 | 部分(只有条件选片;策略预览 = 对最近 200 条已识别资源试算) |
-| 缓存硬阈值与清理 | 已做 |
-| 偏好标签 | 已做(学习未做) |
-| 站点快照缓存 | 已做 |
-| 跨季召回与待识别治理 | 部分 |
-| 双入口待处理 | 已做(顶栏收件箱 + 首页 + 页面内联) |
-| HHClub / CHD 适配 | 待真实环境验证(定义来自 MovieClaw v0.27.0 MIT,有解析单测) |
-| 媒体级主动整理 | 已做(文件管理 v2、整理向导、命名模板) |
-| 影子模式比较人工选择 | 未做 |
-
-### M3
-
-| 项 | 状态 |
-| --- | --- |
-| 更多 PT | 部分:23 个站点定义 + MP 专用 spider / 用户信息解析器已移植,均未真实核验 |
-| Transmission / Plex | 未做 |
-| 历史样本回放、规则迁移 | 未做 |
-| Skill 管理 | 未做 |
-| CLI | 部分:`umt backup` / `--role export-mappings` 等运维入口,没有业务 CLI |
-| MCP 扩展 | 已做(提前到 v0.2.1) |
-| 页面提取修复提案 | 未做 |
-
-## 4. §16 AT01–AT80
-
-分类:**测试** = 有自动化测试覆盖通过标准;**部分** = 有测试但只覆盖一段;**手工** = 只能手工验证;**未覆盖** = 没有测试也没有对应实现或手工流程。标 (mock) 的只在 mock 服务上跑过。
-
-统计:测试 44(55%),部分 26(32.5%),手工 2(2.5%),未覆盖 8(10%)。有自动化测试的(测试 + 部分)合计 70 / 80 = 87.5%;完整覆盖率按 55% 计。
-
-| AT | 状态 | 测试 / 说明 |
-| --- | --- | --- |
-| 01 | 测试 | `ingest.test`「三个 Feed 看到同一资源只建一条 source_release」 |
-| 02 | 部分 | e10「按作品选 Slot」;没有两站不同版本分进各自 Slot 的用例 |
-| 03 | 测试 | `ingest.test`「窗口零重叠 → feed.gap_suspected,并路由到有预算的补漏快照」 |
-| 04 | 部分 | `release-parser.test` 把加更识别为 extra;分段覆盖未实现 |
-| 05 | 部分 | `release-parser.test` 会员版样本;节目级规则未实现 |
-| 06 | 测试 | `resolve.test`「剧集:建 series 作品与临时季/集单元」、e7 |
-| 07 | 测试 | `organize-move.test`「路径绑定固定:译名变化后新集仍进旧目录」 |
-| 08 | 测试 | `resolve.test`「人工纠错映射」 |
-| 09 | 部分 | e9 多版本延后;没有"两个 Slot 同时缺失分别执行"的专项 |
-| 10 | 测试 | `rules-api.test`「new_title:not_new_release」 |
-| 11 | 测试 (mock) | `browser-api.test`「租约到期 → 等待处理 + 待处理事项」、`browser-e2e.test` 验证码转接管 |
-| 12 | 测试 | e4「download.submit 途中 kill worker → 不重复提交」 |
-| 13 | 测试 | `organize-move.test` 跨卷 kill 后 resumed |
-| 14 | 测试 | `vertical.test`「资产对账:库根离线只标 unavailable」 |
-| 15 | 测试 | `tasks/engine.test` waitForFact 先到;`approvals.test` |
-| 16 | 测试 | `approvals.test` 改计划 → 被拒 → 重批 → 只消费一次;`rules-api` 旧授权吊销 |
-| 17 | 部分 | `runtime.test` 预算超限;e6 预算超限;没有"模型断网时确定性链继续"的用例 |
-| 18 | 未覆盖 | 只有系统提示词约束,没有恶意标题 e2e |
-| 19 | 部分 | `vertical.test` 删数据安全检查;硬链接工作流未做 |
-| 20 | 手工 | `docs/runbook/backup-restore.md` 演练记录 |
-| 21 | 测试 | `resolve.test`「用户锁定字段不被覆盖」(海报锁随 NFO 未做) |
-| 22 | 测试 | `emby.test`、`inventory/media-servers.test`「异常实例 unknown」 |
-| 23 | 测试 | `vertical.test`「already_exists:……只补管理标签」 |
-| 24 | 测试 | e8 去标签 / 任务消失 |
-| 25 | 测试 | `vertical.test`「缓存清理」、e8「缓存清理」 |
-| 26 | 部分 | `space_insufficient` 事项有代码;没有"全部仍需保留"的专项用例 |
-| 27 | 测试 | `organize-move.test` 跨卷 Move resumed |
-| 28 | 测试 | `vertical.test`「H&R 未满足时 Move 变冲突」、`organize-guard.test` |
-| 29 | 未覆盖 | 代码有文件级结果检查,无测试 |
-| 30 | 部分 | 条件选片有测试;Agent 偏好选片未实现 |
-| 31 | 部分 | 人工纠错有测试;Agent 规则优化未实现 |
-| 32 | 测试 | e1 / e7 发布策略 → 持续授权 → 自动执行 |
-| 33 | 未覆盖 | 旧库接管未实现 |
-| 34 | 部分 | e7 / e9 持续追更;追新季开关没有测试 |
-| 35 | 部分 | `browser-e2e.test` 凭证注入登录 (mock);HTTP → 浏览器自动切换未实现 |
-| 36 | 测试 | `rules-api.test` revision 乐观锁 |
-| 37 | 测试 | `file-manager/write.test`、`organize-move.test` |
-| 38 | 部分 | `domain/slot.test`、`rules-slot.test` 升级档位;没有服务端 4K WEB-DL → 蓝光压制用例 |
-| 39 | 部分 | e10「重复评估只留一条候选」;Agent 选片未实现 |
-| 40 | 测试 | `rules-api.test`、`rule-groups.test` 抑制记录 |
-| 41 | 测试 | `vertical.test`「硬阈值……只恢复阈值暂停项」 |
-| 42 | 未覆盖 | 同卷汇总已实现(`volumes.ts`),未纳管任务没有测试 |
-| 43 | 未覆盖 | 没有调查整个 qB 实例(含未纳管任务)的能力 |
-| 44 | 部分 | `seasonScope` 已实现;来源默认值没有测试 |
-| 45 | 部分 | `resolve.test` 本地召回、合并;同名重启 / 简称变化没有样本 |
-| 46 | 测试 | `resolve.test`「no_match 进池并开未识别事项」 |
-| 47 | 测试 | `ingest.test`「站点关闭后 Feed 不再抓取」、`browser-api.test`「站点停用」 |
-| 48 | 测试 | `vertical.test`「changes 游标增量(含既有记录状态更新)」、`w5a2.test` partial |
-| 49 | 部分 | Emby unknown 有测试;来源版本未知的专项没有 |
-| 50 | 部分 | `download-state.test`「无进展判定」;服务端 e2e 没有 |
-| 51 | 部分 | e11 开关关闭时拒绝派生;思考档位能力表达只有 `upstreams.test` |
-| 52 | 测试 | e11 预算共享、父中止级联取消 |
-| 53 | 测试 | e12「先看方案时执行被拒」 |
-| 54 | 部分 | e7 整季包只覆盖实际文件;MP 对照样本没有 |
-| 55 | 部分 | `op-ledger`「租约丢失旧 attempt 提交被拒」;流程升级没有 |
-| 56 | 部分 | `auth.test` 撤销后 401;恢复与路径改变没有自动化 |
-| 57 | 部分 | 站点 mock 列表 / 详情;四站真实页面没有 |
-| 58 | 部分 | `vertical.test`「首页、媒体库、库存叠加 API」;Emby 叠加没有 |
-| 59 | 测试 | `sources-identity/api.test` 实时补查并发合并、关闭站点 |
-| 60 | 部分 | e10 去重、浏览器下载转 `/acquisition-plans`;并发触发没有 |
-| 61 | 测试 (mock) | `browser-api.test`「输入类动作要先接管;他人接管中 409」 |
-| 62 | 测试 (mock) | `browser-api.test`「交还后需重新读取页面」 |
-| 63 | 测试 (mock) | `browser-api.test`「服务重启……标签页标 lost」「站点停用」 |
-| 64 | 测试 | `browser-api.test` 快照遮蔽密码与 passkey;`redact-consistency.test` |
-| 65 | 测试 (mock) | `browser-api.test` 下载暂存、sha256 / infohash 核验 |
-| 66 | 未覆盖 | 不适用:没有接独立 Chrome |
-| 67 | 测试 | e2 |
-| 68 | 测试 | e5 自动调查、e6 授权内恢复 |
-| 69 | 测试 | e3、e4 |
-| 70 | 测试 | e2「已提交≠已入库」 |
-| 71 | 测试 | e5「重复事件只一个 run」、e6 尝试上限 |
-| 72 | 测试 | `mcp.test`「execute Key……有授权后执行并记账本」 |
-| 73 | 未覆盖 | 多下载器相同 hash 没有测试 |
-| 74 | 未覆盖 | 待处理按 `dedupe_key` 去重,但没有挂载根因聚合 |
-| 75 | 手工 | 待处理事项有 dismissed 状态,无测试 |
-| 76 | 测试 | `search.test`「两站成功 + 一站超时 → partial」 |
-| 77 | 测试 | `w5a2.test` 目录复制 partial;`vertical.test` 文件明细 |
-| 78 | 部分 | `agent-mock.test` 生产禁 mock;卡片引用失效没有测试 |
-| 79 | 测试 | `sse.test`、`sse-pg.test` resync |
-| 80 | 部分 | `logger.test`、`redact-consistency.test`、`runtime.test` 脱敏;"未知用量不填零"没有测试 |
-
-## 5. §17 待落实事项
-
-### 5.1 §17.2 部署配置(界面都已可配,缺的是用户的真实值)
-
-| 项 | 状态 |
-| --- | --- |
-| HHWEB 所指站点的域名 / 身份 | 待用户提供(目前按 HHClub `hhanclub` 定义处理) |
-| 另外 1–2 个站点 | 待用户提供(23 个定义可选) |
-| 实例地址与凭据(qB、Emby、站点) | 待用户提供 |
-| qB 管理标签 | 可配(每个下载器实例 `managedTag`) |
-| 容器路径与共享挂载 | 待用户提供(路径映射有 verify 端点) |
-| 现有目录模板 | 可配(命名模板三级覆盖);需用户确认默认模板 |
-| 电影 / 剧集 / 综艺的 Slot 作用范围 | 待用户提供 |
-| Copy / Move 默认范围 | 可配 |
-| H&R / 保留要求及单位 | 可配;观众站缺 H&R 选择器 |
-| 缓存阈值 / 恢复水位 | 可配,默认 90% / 85% / 清理目标 80% |
-| 新旧媒体保留策略 | 部分:替换时旧文件进回收站,没有独立的旧版本保留策略 |
-| NFO / 海报权限 | 未做(写 NFO / 图片未实现) |
-| 快照周期 | 可配 |
-| Pi 上游、思考档位、上下文 / 压缩预算、子会话开关 | 可配;待用户提供真实上游 |
-| camofox 仓库 / 版本 / 地址 / 认证 | 待用户提供 |
-| Move 遇未满足 H&R | 已定:409 + 待处理,不自动改 Copy |
-| 升级后旧文件何时清理 | 未定,目前进回收站按回收站过期清理 |
-| 合并版是否替换既有分段 | 未定(综艺分段未做) |
-
-### 5.2 §17.3 技术准入
-
-| 项 | 状态 |
-| --- | --- |
-| 业务核心 Deno | 已定 2.9.7 锁版本(ADR-004) |
-| PostgreSQL | 已定 PG 16 + Kysely,迁移到 0040;大库规模性能未测 |
-| 执行引擎 | 已定 openworkflow 0.10.1(ADR-002);旧流程跨版本升级未做产品测试 |
-| Agent | 已定 pi 0.87.1;子会话自研(`agent.spawn` / `agent.await`) |
-| 前端 / API | 已定 Hono + React Router 7 SPA,REST / OpenAPI / MCP |
-| 浏览器 | camofox 适配完成;fork / 版本 / 画面交接待真实实例 |
-| 文件工具 | 静态 ffprobe 9.0.2;真实挂载基准 B1–B3 未跑 |
-
-### 5.3 §17.4 下一阶段产物
-
-| # | 产物 | 状态 |
-| --- | --- | --- |
-| 1 | 两项目实现迁移对照 | 已做(`docs/porting/`),运行对照未做 |
-| 2 | 固定版本兼容原型 | 已做(`docs/spikes/`、ADR) |
-| 3 | Agent 发起并跟踪的恢复纵切 | 已做(mock,e2 / e6) |
-| 4 | 四站真实脱敏样本集 | 未做,待用户提供账号 |
-| 5 | 正式接口与数据迁移草案 | 已做(`packages/contracts`,旧库接入部分未做) |
-| 6 | 可观测性合同 | 部分(任务流、时间线、运行状态页;根因聚合与版本覆盖矩阵只做了订阅侧) |
-| 7 | PT 工作台原型 | 已做(mock);真实实例核验清单见 `docs/runbook/browser.md` §6 |
-
-## 6. 未做功能清单(按优先级)
-
-估算按一个开发子代理的工作日粗估,不含等待用户提供环境的时间。
-
-| # | 功能 | 实施建议 | 估算 |
-| --- | --- | --- | --- |
-| 1 | 综艺分段与正片覆盖(REQ §5、R02) | 覆盖计算从"集号"改为"内容单元 × 分段":上 + 下或完整版任一满足一期;节目级策略(附加内容收录、是否等完整版、完整版出现后是否替换分段);待识别池加分段歧义事项;先收集 3–5 个节目的真实标题样本 | 5–8 天 |
-| 2 | 四站真实核验(观众 / 馒头 / HHClub / CHD) | 用户给账号后逐站跑列表、详情、下载、促销、H&R、登录过期;补观众 H&R 选择器;结果写 `docs/runbook/sites.md` | 2–3 天(拿到账号后) |
-| 3 | camofox 真实实例核验 | 按 `browser.md` §6 六项逐条核验,写 `verified`;决定截图轮询是否够用,不够再评估 VNC / 流式 | 2 天(拿到实例后) |
-| 4 | 双版本组合校验(R04) | `checkDistinctAssets` 接进 Slot 落定与计划预留;同一资产满足第二个 Slot 时转 attention | 1–2 天 |
-| 5 | 旧库分范围接管(R18、AT33) | 首次扫描任务(续扫游标,复用 `reconcileLibrary` 批处理)→ 识别登记 → 预览影响(作品数、缺口、预计下载量)→ 按库根 / 作品开启;先修 `scanIncremental` 的 partial | 5–7 天 |
-| 6 | Emby 库存参与收录决策(R24) | 已确认的外部库存可满足 Slot(需证据与策略开关);Server Reconciler 写 `server_mapping`;真实 Emby / Jellyfin 验证分页与认证 | 3–4 天 |
-| 7 | Agent 偏好选片(R16、AT30 / 39) | 策略增加"Agent 判断"层:确定性过滤后把候选交给有界 Agent 任务,独立预算,理由存 `acquisition_plan.evaluation`;硬排除仍由代码执行 | 4–5 天 |
-| 8 | 规则学习与样本回放(R20、AT31) | 人工纠错写标注样本;策略新旧版本对历史样本回放,展示新增命中 / 误排除;Agent 发布需额外授权并可回滚 | 5–7 天 |
-| 9 | 委托换源的替换计划(R27 例外流程) | 新能力生成"替换计划":新候选 + 原任务处置(保留 / 暂停 / 移除 / 删数据分别授权),一次审批或持续授权覆盖 | 2–3 天 |
-| 10 | 备份恢复演练自动化(AT20 / 56) | compose 夜间任务:备份 → 清库 → 恢复 → 只读对账 → 映射行数比对;定时任务"备份"从占位改为真实执行 | 2 天 |
-| 11 | Pi 上游真实验证(R26) | 用户提供 1–2 个真实上游(API Key 与一种订阅登录)跑 e2 纵切;Codex `_randomBytes` spike | 1–2 天 |
-| 12 | 测试补缺 | AT18 恶意标题 e2e、AT29 部分入库不清理、AT42 未纳管占用、AT73 多下载器同 hash、流程版本升级回归 | 3 天 |
-| 13 | NFO / 图片投影(R10) | 遵守字段锁,临时文件 + 原子提交,写入受库根策略控制 | 2–3 天 |
-| 14 | 身份巡检与挂载根因聚合(R09、AT74) | Identity Reconciler 周期核对外部对象;同一库根离线的事项按根因合并 | 3 天 |
-| 15 | HTTP 失败自动切浏览器(R06、AT35) | 站点适配器在登录失效 / 挑战时按策略转浏览器会话,仍失败再进待处理 | 2–3 天 |
-| 16 | 调查整个 qB 实例(AT43) | 只读能力列出实例全部任务(含未纳管),一次性操作不写管理标签 | 1–2 天 |
-| 17 | 通知渠道 | REQ 未列为必需;若要做,先做 webhook 出站(待处理新增 / 解决),Telegram 之后 | 2 天 |
-| 18 | Transmission / Plex、Skill 管理、业务 CLI | M3 范围,真实需求出现后再排 | — |
-
-说明:任务书里曾列为缺口的"多 qB 缓存卷汇总"已实现(`services/volumes.ts` 按 `cache_volume_key` 汇总),缺的只是未纳管任务的测试(第 12 项)。
-
-## 7. 与 REQ 的有意偏离
-
-| 偏离 | 说明 | 记录位置 |
-| --- | --- | --- |
-| 运行时先 Node 后改 Deno | REQ 首选 Deno;W0 曾用 Node 24,W1 后迁到 Deno 2.9.7,现已符合 REQ | ADR-001(已取代)、ADR-004 |
-| 不引入 Redis / Deno KV | 与 REQ §9.1 一致;限流与短期缓存放 PG(令牌桶、`UNLOGGED` 表),c2a 进行中 | `00` §9 |
-| MP 站点定义文件加密不可用,改用 MovieClaw v0.27.0(MIT)定义 | MP `user.sites.v3.bin` 加密;MovieClaw 只取 MIT 版本,之后的附条件许可内容未使用 | `packages/adapters/src/sites/definitions/NOTICE-MovieClaw.md`、`docs/porting/license-and-provenance.md` |
-| Agent 取消 plan_only / execute 模式 | REQ §10.6 的"只规划"改为会话内"先给方案"选项与 `agent.plan` 步骤清单;旧 `mode=plan_only` 兼容为 `proposeFirst` | `00` §9、`docs/runbook/agent.md` |
-| 子代理自研 | REQ 说不假定 SDK 提供子代理;实现为 `agent.spawn` / `agent.await`,继承授权上限、共享预算 | `docs/runbook/agent.md`、CHANGELOG 0.2.0 |
-| 命名模板与 MP 输出的差异 | 10 处:非法字符全变量转全角、空白规整、合集集号范围、扩展名小写、长度截断、安全子集不支持 for / 属性访问、已有绑定目录优先、末段必须有扩展名 | `docs/design/naming-template.md` §5、§10 |
-| 识别与 MP 的故意差异 | 125 处 intentional(未知发布组兜底、期号记为 issue 等) | `docs/porting/mp-rust-logic-parity.md` §2.3 |
-| 转移行为必须偏离 MP 的点 | 不覆盖、路径绑定优先、跨卷可恢复等 | `docs/porting/moviepilot-transfer.md` §3 |
-| OpenWorkflow 面板自研 | 官方面板 Proprietary,只参考信息架构,直查同一 schema;后并入统一任务页 | `docs/design/openworkflow-dashboard-reference.md`、`docs/design/console-ia.md` |
-| 原站视图用截图轮询 | REQ 要求同会话可视接管,传输方案待验证;先用截图 + 坐标输入,未冒充实时画面 | `docs/runbook/browser.md` |
-| 永久删除开关是环境变量 | 规格原为设置项,改为 `FILES_ALLOW_PERMANENT_DELETE`,需重启生效 | `07` §3.2 |

docs/plan/13-development-baseline.md

@@ -1,188 +0,0 @@
-# 当前开发情况基线
-
-> 此文保留升级前 v0.3.7 的业务基线，下面版本和数量均属该历史核对。后续依赖升级见 [v0.3.8 升级记录](17-full-upgrade.md)，当前 v0.3.9 分类／来源功能部署见 [发布记录](18-organize-release.md)。新一批手动下载、详情页下载、Local 元数据与一次性洗版已接入源码、尚未部署，状态见 [MP 对照 §5.6](15-moviepilot-v3-comparison.md#56-本轮实现与验收未部署)。
-本报告用于在继续开发前核对 UHD Media Tool 的实际状态。当前已有收录、下载、整理、刮削和智能体的主流程，也有运行中的部署；需求 v0.7 所要求的完整首版仍有缺口。继续开发前应先确定下一阶段要交付的使用场景和验收边界，不能用版本号、页面数或测试数代替需求验收。
-
-核对日期：2026-10-01，时区 Asia/Shanghai。代码基线：`main`，提交 `8013196e3f5e6a8c4ea0cd26cf77294a82a13ddd`，标签 `v0.3.7`。本轮只梳理现状、运行检查和修正文档，没有修改业务实现、部署服务或用户配置。
-
-## 1 证据和判定口径
-
-需求基线是 [需求与架构 v0.7](../../media_automation_requirements_architecture_v0.7.md)，后续范围调整以 [工程规划](00-first-version-plan.md) 中用户确认的追加要求为准。历史验收记录只证明当时的版本和场景；本报告结合当前代码重新判断。
-
-| 证据 | 能证明什么 | 不能据此推断什么 |
-| --- | --- | --- |
-| 当前代码与装配 | 有实现、已接进正式调用路径 | 用户环境里的全部边界均可用 |
-| 当前自动化检查 | 指定测试、类型与构建检查通过 | 所有真实站点、模型、挂载都已验证 |
-| 脱敏真实样本回放 | 对这些真实页面或标题的解析符合预期 | 登录、下载和风控在真实账号上都能通过 |
-| 历史真机记录 | 指定版本和场景曾通过 | 当前版本已重新做过同样验收 |
-| 本轮部署只读检查 | 服务健康、报告版本和迁移状态 | 镜像中的每个文件与源码逐字相同、业务全链路无故障 |
-
-下文「已实现」指当前代码与对应回归覆盖已存在；「部分实现」说明缺哪一段；「未实现」指缺少所要求的完整业务能力；「待核验」是证据缺口，不能直接当作代码缺失。
-
-## 2 工程与部署状态
-
-| 项目 | 本轮核对结果 | 证据 |
-| --- | --- | --- |
-| 工程形态 | Deno workspace，2 个应用、8 个共享包，模块化单体 | [deno.json](../../deno.json)、[仓库结构](../../README.md) |
-| 运行时与前后端 | Deno 2.9.7、TypeScript；React 控制台、Hono API、PostgreSQL 16、OpenWorkflow、Pi | [ADR](../adr/ADR-004-deno-runtime.md)、根依赖清单 |
-| 服务装配 | 14 个服务模块，18 个注册任务；最初 9 个任务均由正式模块处理器覆盖，没有落到空壳 | [模块清单](../../apps/server/src/modules/index.ts)、[任务装配](../../apps/server/src/context.ts)；本轮调用 `buildTaskRegistry` 核对 |
-| 公开合同 | 346 个 REST 端点定义，41 个智能体能力；这是合同数量，不是完整需求的完成比例 | 本轮调用 `listEndpoints()` 和读取 `CAPABILITY_IDS`，来源 [api.ts](../../packages/contracts/src/api.ts)、[capability.ts](../../packages/contracts/src/capability.ts) |
-| 站点定义 | 23 个内置定义；定义存在不代表该站真实账号已验收 | [定义加载](../../packages/adapters/src/sites/definitions/index.ts)、[移植账本](../porting/mp-sync-ledger.md) |
-| 数据迁移 | 56 个迁移文件，最新编号 `0058_scrape_record`；部署数据库也已应用到该迁移 | [迁移目录](../../packages/db/migrations)、本轮只读查询 `kysely_migration` |
-| 当前部署 | 应用、PostgreSQL、浏览器容器健康；应用健康接口报告 v0.3.7、数据库 `ok` | 本轮 `docker ps` 和 `GET /api/v1/health`，2026-10-01 13:02 左右 |
-| 部署组成 | 核心应用容器含 API、IO worker、Agent worker 和 web 静态文件；PG、浏览器分别部署，可选 Caddy 提供 HTTPS | [compose](../../docker-compose.yml)、[运行手册](../runbook/deploy.md) |
-| 本机附加组件 | 另有代理中继、本地模拟 qB 和开发 PG；不能把模拟 qB 当作真实 PT 下载验收 | [本地模拟说明](../runbook/deploy.md)、本轮容器状态 |
-
-应用版本和迁移编号与代码基线一致。镜像标签没有源码提交号，本轮没有核对构建来源的精确提交；后续发布可补记录构建提交和镜像摘要。
-
-本轮记录的运行应用 image ID 为 `sha256:9d65bf0170f35e685a1ddd9ebfab74088f378138e7c02879488e97b089691629`，对应本机 `uhd-media-tool:latest` 的同一摘要。该摘要只标识运行产物，不补足缺失的源码 revision 标签。
-
-## 3 主流程实际覆盖
-
-| 流程 | 已有行为 | 当前边界 |
-| --- | --- | --- |
-| 获取资源 | RSS 抓取去重、站点快照、实时搜索、详情缓存、23 个站点定义、账号与健康管理 | 站点实测覆盖不完整；Torznab 索引器仅定义结构 |
-| 确认作品 | 标题与副标题解析、本地召回、TMDB、字段锁、人工纠错、待识别池；认不准时升级到详情页 ID | 真实标题样本不能代表全库识别准确率；综艺分类与覆盖仍不完整 |
-| 决定收录 | 新作品、追更、升级模式；规则组、多版本目标、分集账本、日历和覆盖矩阵 | 独立双版本组合校验未接入；智能体主观选片与规则学习未实现 |
-| 提交和跟踪下载 | 多 qB、管理标签、授权、去重、磁盘水位、下载面板、接管与下载历史 | 未完成四站真实下载全链路验收；默认不会自动换源 |
-| 整理入库 | Copy / Move、跨卷恢复、固定路径绑定、命名模板、字幕随行、逐文件结果和回收站 | 不支持整理硬链接、软链接和 Rclone；旧库全量接管不完整 |
-| 刮削与展示 | 就地写 NFO、海报、季海报和剧照；任意目录识别与候选选择；整理记录筛选、统计和批量操作 | 与 MP 有明确登记的文件布局差异；不能把刮削成功视作 Emby 已完成索引 |
-| 持续自动化 | 持久任务、后台调查与授权内恢复、巡检、审批、预算、子会话、SSE、审计 | 最新提示的真实模型前后对比未跑；自动化成功率与人工介入率缺持续运行基线 |
-
-主流程回归见 [E1 收录入库](../../apps/server/test/e2e/e1-rss-to-library.test.ts)、[E2 智能体委托](../../apps/server/test/e2e/e2-agent-delegate.test.ts)、[E4 崩溃恢复](../../apps/server/test/e2e/e4-crash-recovery.test.ts)、[E6 授权内恢复](../../apps/server/test/e2e/e6-auto-recover.test.ts)、[E7 剧集](../../apps/server/test/e2e/e7-tv-series.test.ts)、[E9 持续追更](../../apps/server/test/e2e/e9-continuous-series.test.ts)。外部系统主要由 mock 或样本回放提供，持久任务与数据库集成使用真实开发 PG。
-
-## 4 需求逐项核对
-
-本表重新核对 R01 至 R32 的主要实现与缺口，不计算整体完成百分比。测试明细以本报告第 7 节为准，真实交互边界以第 6 节为准。
-
-| 需求 | 当前实现状态 | 当前证据与剩余边界 |
-| --- | --- | --- |
-| R01 多个 RSS | 已实现 | [来源测试](../../apps/server/test/sources-identity)覆盖抓取、窗口和去重；跨 Feed 并发摄取的专项证据仍需单独核对 |
-| R02 综艺正片覆盖 | 部分实现 | 能解析内容类型、上下分段；尚无「上＋下满足一期」及节目级附加内容策略 |
-| R03 TMDB 滞后不阻断 | 已实现主要行为 | 本地临时季集、总集数账本和追更已接入；一对多编号关系未完整建模 |
-| R04 独立双版本 | 部分实现 | 多个收录版本目标存在；[checkDistinctAssets](../../packages/domain/src/slot/completion.ts)未被服务端调用，同一资产不能算两个目标的校验未落地 |
-| R05 每日新增自动收录 | 已实现 | 新作品、追更、升级模式与规则评估存在；每日汇总视图不是现有交付 |
-| R06 浏览器辅助站点 | 部分实现 | camofox、视觉操作、人工接管及 Cloudflare 级联已接入；通用 HTTP 失败转浏览器不完整，真实挑战仍待验证 |
-| R07 固定最终路径 | 已实现 | 路径绑定与整理回归保证译名变化不自动改目录；显式文件移动另记修订 |
-| R08 本地身份独立 | 已实现 | 本地实体、外部映射、别名、人工锁与合并修订存在 |
-| R09 映射与巡检 | 部分实现 | 库根与资产存在性对账存在；外部身份巡检、媒体服务器对账缺完整流程 |
-| R10 辅助刮削 | 部分实现 | 智能体辅助识别与元数据补全、NFO／图片写入已做；没有独立字段级 `metadata.apply` 能力，不能因此把刮削写成「未做」 |
-| R11 参考项目迁移 | 已实现主要工程 | 有来源账本、MP 差分与偏离登记；文件布局也有运行差分，但不代表所有转移场景均有运行对照 |
-| R12 Pi 推理内核 | 已实现 | Pi 封装、能力白名单与有界执行已接入；模型供应商的联网覆盖另算 |
-| R13 API 和 MCP | 已实现 | REST、OpenAPI、MCP、鉴权和 SDK 集成测试存在；合同数为 346、能力数为 41，旧文档数字过期 |
-| R14 qB 标签纳管 | 已实现 | 提交、接管、去标签后停止管理及保留历史有回归 |
-| R15 整理与缓存清理 | 已实现主要行为 | Copy／Move、跨卷、校验、保留期和 H&R 保护；硬链接与 Rclone 不在现有实现范围 |
-| R16 条件和智能体选片 | 部分实现 | 确定性规则已做；独立预算下的主观偏好选片未实现，不能用会话内手动委托代替 |
-| R17 自动执行与授权 | 已实现 | 发布规则的持续授权、单次审批、服务端权限与自动化总开关有实现和回归 |
-| R18 旧库分范围接管 | 部分实现 | 已有库根只登记／纳管模式及逐项整理；缺首次扫描、影响预览与按作品启用 |
-| R19 控制台和智能体双入口 | 已实现 | 同一业务能力注册、页面上下文、审批与待处理入口已连接 |
-| R20 偏好标签与学习 | 部分实现 | 标签迁入规则组，编辑、抑制与修订存在；旧「标签不参与评估」需按规则串和兼容字段区分，自动学习与样本回放未完成 |
-| R21 缓存硬阈值 | 已实现主要行为 | 同卷多 qB 汇总、阈值暂停与恢复水位存在；未纳管占用的专项验收仍待确认 |
-| R22 跨季召回与治理 | 部分实现 | 本地别名、季年份、续作判别、待识别池、详情 ID 识别和真实标题差分均有进展；缺全面召回率、误关联和新节目评估 |
-| R23 公开整理记录 | 已实现 | 列表、文件结果、游标增量；本版另加统计、删除和批量操作。删除记录不发增量墓碑，见 [整理手册](../runbook/organize.md) |
-| R24 Emby 辅助查询 | 部分实现 | 多实例查询、超时与 unknown 状态存在；库存未用于满足收录目标，缺本地资产对账与真实 Emby 验收 |
-| R25 站点快照与限流 | 已实现 | 快照和实时补查已做；PG 令牌桶、共享缓存已在 0041／0042 落地，不再是「c2a 待合并」 |
-| R26 模型与能力配置 | 已实现，联网覆盖不完整 | 上游、模型、思考、预算、压缩与登录配置存在；有部分真实模型历史记录，41 个 provider 和各订阅登录未逐一实测 |
-| R27 不默认自动换源 | 已实现默认边界 | 无进展记录证据，不默认换源；委托换源的「新任务＋原任务处置」尚未合成一个替换计划 |
-| R28 单管理员与多实例 | 已实现 | 登录、TOTP／Passkey、API Key、多下载器／媒体服务器及路径映射存在 |
-| R29 自然语言交互执行 | 已实现 | 步骤清单、方案、内联审批、先给方案和后台续跑有回归 |
-| R30 PT 工作台 | 已实现，站点验收不完整 | 搜索、资源、详情、账号、下载入口存在；观众和憨憨有真实样本／局部核对，四站完整验收仍缺 |
-| R31 同会话人工接管 | 已实现主要行为 | 截图模式、Webtop／Selkies 同会话桌面、租约、交还与视觉操作已做；真实输入法和客户端兼容性尚未全测 |
-| R32 浏览器后端配置 | 已实现一种后端 | camofox 配置与版本核验存在，固定 v1.17.0 有真机记录；其它 fork／版本不能直接沿用核验结果 |
-
-对应运行说明：[身份](../runbook/identity.md)、[订阅](../runbook/subscriptions.md)、[规则](../runbook/rules.md)、[整理](../runbook/organize.md)、[文件](../runbook/files.md)、[智能体](../runbook/agent.md)、[浏览器](../runbook/browser.md)、[缓存](../runbook/cache.md)、[MCP](../runbook/mcp.md)。
-
-## 5 历史状态需要纠正的地方
-
-历史文档按当时的基线保留，不把其中每条「未做」直接搬到当前待办。
-
-| 历史说法 | 当前核对结果 | 证据 |
-| --- | --- | --- |
-| 所有能力只在 mock 上验证 | 已有浏览器、TMDB、部分模型及短剧补全的真机记录；覆盖仍有限 | [浏览器手册](../runbook/browser.md)、[工程规划后续记录](00-first-version-plan.md)、[身份手册](../runbook/identity.md) |
-| 刮削不写 NFO 和图片 | SCR-1／SCR-2 已实现，任意目录可就地刮削 | [刮削服务](../../apps/server/src/modules/acquisition-organize/services/scrape.ts)、[刮削测试](../../apps/server/test/file-manager/scrape.test.ts) |
-| 跨进程限流和缓存正在 c2a 分支 | 已合入，PG 令牌桶、UNLOGGED 缓存与图片代理存在 | [缓存手册](../runbook/cache.md)、0041／0042 迁移 |
-| 原站视图还是占位或只有截图 | 已有同会话桌面，截图作为回退；camofox v1.17.0 有真机核验 | [浏览器手册](../runbook/browser.md)、[桌面模块](../../apps/server/src/modules/desktop/index.ts) |
-| `agent.spawn {await:true}` 一直占 worker 槽 | 当前正常会话驱动支持挂起与恢复，E11 直接验证等待期间槽位空闲 | [子会话实现](../../apps/server/src/modules/agent/subagents.ts)、[E11](../../apps/server/test/e2e/e11-subagents.test.ts) |
-| 版本规格只能在订阅侧看 | 作品详情已有分集资产版本与目标比对 | [版本服务](../../apps/server/src/modules/acquisition-organize/services/library-versions.ts) |
-| 任何站点 HTTP 失败都不会转浏览器 | Cloudflare 页面挑战已有自动／视觉／人工级联与浏览器代抓；通用失败转浏览器仍不完整 | [Cloudflare 服务](../../apps/server/src/modules/sources-identity/service/cloudflare.ts) |
-| 库根离线没有按根因去重 | 整理入口已有 `library_root_offline:<rootId>` 去重；跨业务的统一根因聚合未完整确认 | [整理服务](../../apps/server/src/modules/acquisition-organize/services/organize.ts) |
-| 备份恢复完全没做过演练 | 早期临时环境中实际备份、清库、恢复和映射比对通过；当前版本自动定期演练未做 | [部署验证记录](../runbook/deploy.md)、[备份手册](../runbook/backup-restore.md) |
-| 看到 tasks 中的 stub 就说明主流程未实现 | 正式装配已覆盖最初 9 个任务，stub 仍作为注册兜底保留 | 本轮比较正式和默认处理器，见第 2 节 |
-
-另有历史问题未确认终态：能力统计可能把正常挂起记成失败、个别浏览器状态提示及跨版本流程恢复。现有统计按审计中的 error／invalid 计失败，不能仅凭旧截图判为已修或仍有故障，需要针对当前版本复现。
-
-## 6 真实环境验证边界
-
-| 对象 | 已找到的证据 | 仍需补的证据 |
-| --- | --- | --- |
-| TMDB | 工程规划记载真实搜索、识别、订阅季集、海报和缓存验证 | 对下一阶段的固定样本重新验收；不能将历史记录等同于本轮重跑 |
-| 浏览器 | v1.17.0 实容器的登录保持、捕获下载、同标签接管与重启；Webtop 原型、视觉点击和插件可信鼠标事件 | 四站真实挑战、输入法组字、客户端浏览器差异；保活、自愈等新变化的实机边界 |
-| 憨憨与观众 | 憨憨真实标题差分和局部核对；观众真实脱敏列表／详情样本 | 逐站账号登录、搜索、下载、促销、H&R、过期恢复、文件清单的完整验收 |
-| 馒头与 CHD | 定义、适配器和 mock／离线样本测试 | 真实账号全流程证据 |
-| qB | 多版本兼容代码、mock 回归、本机运行的 qB 5.1.2 模拟容器 | 用户真实下载目录、挂载与 PT 下载全链路；模拟器可运行不证明真实服务已验收 |
-| Emby／Jellyfin | 兼容查询实现和 mock 测试 | 真实认证、分页、库存及资产映射验收 |
-| 模型上游 | 规划记载 OpenCode Go／DeepSeek 的部分历史场景；视觉与网页补全有局部真机记录 | AG-5 分层提示的真实前后对比明确未跑；不应声称所有 provider 已实测 |
-| 媒体挂载 | 临时文件系统、跨卷和故障恢复回归 | 真实 NFS／FUSE／mergerfs 等规模与故障基准；不能承诺大库性能 |
-
-真实模型前后对比的缺口来自 [评测记录](../design/agent-prompt-eval.md)；浏览器核验细节见 [浏览器手册](../runbook/browser.md)。本轮没有连接真实 PT 账号或模型上游，也没有产生下载、刮削或清理用户文件的动作。
-
-## 7 本轮检查结果
-
-同一会话上一轮已完成：全仓 TypeScript 检查通过；domain 21 个文件、642 个测试通过；E1、详情 ID 识别、NFO 与布局差分共 4 个文件、25 个测试通过。
-
-本轮对同一业务代码基线运行完整 `deno task ci`，明确指定开发 PG `127.0.0.1:55433/umt`，集成测试使用临时 schema。检查退出码为 0，完整通过；server 测试于 13:08:06 开始，耗时 538.15 秒，随后其它包检查、构建和编译自检均通过。
-
-| 包 | 通过文件 | 跳过文件 | 通过测试 | 跳过测试 |
-| --- | --- | --- | --- | --- |
-| server | 122 | 1 | 756 | 1 |
-| adapters | 58 | 1 | 459 | 3 |
-| agent | 9 | 0 | 82 | 0 |
-| contracts | 7 | 0 | 1036 | 0 |
-| db | 4 | 0 | 21 | 0 |
-| domain | 21 | 0 | 642 | 0 |
-| mapping | 2 | 0 | 22 | 0 |
-| tasks | 6 | 0 | 17 | 0 |
-| testkit | 2 | 0 | 5 | 0 |
-| web | 24 | 0 | 224 | 0 |
-| 合计 | 255 | 2 | 3264 | 4 |
-
-跳过条件按源码核对：server 的真实模型评测未启用；adapters 的真实 qB 兼容测试没有配置 `QB_REAL`，整个文件未运行；以 root 执行时，三个目录／文件权限拒绝测试主动跳过。真实 qB 文件在没有目标时不生成测试，因此不能仅凭「4 个测试跳过」理解全部外部验证缺口。数据库包与任务包测试均实际执行；server 只有一个文件跳过，没有把 PG 集成文件整体跳过。
-
-非阻断输出：Biome 有一条测试代码 literal-key 提示；web 构建有依赖注释和 sourcemap 提示，构建成功。本轮没有为消除这些提示修改实现。
-
-完整 CI 包含 tsc 与 Deno 类型检查、Biome、各包 Vitest、设计 token 守卫、文案标点、web 构建、server 编译与二进制启动自检。前端全页面 Playwright 冒烟和真实模型评测不包含在普通 CI 内；即使 CI 全绿，也不将这两类算作本轮通过。
-
-本轮原始日志：`/tmp/umt-development-baseline-ci.log`。日志是本机临时证据，最终结果汇总写在本节，不能依赖临时日志长期存在。
-
-完整 CI 后的文档勘误不改变业务代码；文档本身另外核对了本地链接、事实引用和差异格式。本轮没有运行镜像重新构建或前端页面冒烟。
-
-## 8 当前缺口和工程风险
-
-| 项目 | 分类 | 当前判断 | 可验收的交付边界 |
-| --- | --- | --- | --- |
-| 综艺完整性 | 核心功能缺口 | R02 未完整交付 | 用真实节目样本验证分段组合、正片完整性、附加内容策略和完整版替换 |
-| 独立双版本 | 核心功能缺口 | R04 的开关和域层校验未接入服务端 | 同一物理资产不能同时满足要求独立的两个目标，覆盖预留和最终入库 |
-| 旧库接管 | 核心功能缺口 | R18 缺完整扫描、预览和分范围启用 | 首扫可续跑、错误不当完成，先预览再按范围开启，既有路径保持稳定 |
-| 智能体选片与规则优化 | 核心功能缺口 | R16／R20 缺完整实现 | 在硬规则和授权内做偏好判断，理由可查；反馈、回放、发布和回滚可验收 |
-| 外部映射和媒体服务器对账 | 功能缺口 | R09／R24 不完整 | 区分 unknown 与缺失，核对资产映射；是否允许外部库存满足目标需显式策略 |
-| 换源替换计划 | 功能缺口 | 新提交与原任务处置尚未绑定 | 一份可审核方案说明两边动作，分别匹配授权并处理部分失败 |
-| 备份自动化 | 运维缺口 | 看板 `maintain.backup` 仍 unavailable；脚本和早期手工演练存在 | 当前版定期备份与隔离恢复演练，行数、映射和只读恢复状态可核对 |
-| 增量扫描错误语义 | 已确认的代码边界 | [scanIncremental](../../packages/adapters/src/fs/scan.ts)收集目录／stat 错误后仍可能返回 complete；当前服务端未调用 | 接旧库流程前明确 partial／失败及续扫规则；不能把跳过文件算完整扫描 |
-| 空壳任务兜底 | 维护风险 | 当前正式任务已覆盖，但遗漏注册会静默回显 todo | 后续新增或重构时核对正式注册与任务版本，不只看默认注册表 |
-| 关键故障场景 | 验收证据缺口 | 历史清单中的 AT18、AT29、AT42、AT73 和流程版本升级，尚未逐项重新形成当前验收记录 | 恶意标题、部分入库不清理、未纳管占用、多实例同 hash、旧任务跨版本恢复分别给出证据 |
-| 性能与自动化效果 | 验收证据缺口 | 未建立按真实负载统计的持续基线 | 记录规模、挂载、延迟、无人干预完成率、人工介入、误关联、费用与待处理年龄 |
-| 文档与发布来源 | 工程管理缺口 | 旧计划、README、覆盖表、部分手册状态互相矛盾；镜像未记源码提交 | 当前基线作为讨论入口，历史报告标清日期；发布记录附构建提交、镜像摘要和验证结果 |
-
-上表不是已批准的开发排期，也不对缺口给出未经验证的固定工期。主观选片、规则学习和现有故障修复应按用户场景确定边界，不能在一次任务中笼统打包为「做完智能体」。
-
-用户确认开展独立检查后，两项中等思考强度的只读代码／验证检查和一项低思考强度的文档检查发现了更具体的恢复与验收边界。见 [工程检查与调整建议](14-engineering-review.md)，其中区分代码已确认、实际影响待查和纯证据缺口。
-
-## 9 里程碑判断与下一阶段讨论
-
-按需求 §15 的口径，工程底座和 M1 主流程已有较完整实现，M2 的一部分能力也已交付，但 M0 的部分验收证据和 M2 的核心差异化需求仍不完整。因此不能直接宣称 M0／M1 全部验收完成，也不能继续沿用历史「M2 约三分之一」作为当前精确进度。
-
-下一阶段讨论应基于以下四项材料：本报告中的当前能力、真实环境证据、缺口清单、现有检查结果。先确认目标使用场景，再选择范围：是先稳定现有电影／剧集收录，还是优先完成综艺与独立双版本，或先解决旧库接管。这里列的是待讨论的选择，不自动开工。
-
-建议在恢复功能开发前，为选定范围写清：用户从哪里触发、最终看到什么结果、哪些失败需要调查或人工处理、用哪些固定样本验收、需要哪些真实环境。每项工作完成后更新本报告或后续阶段验收记录，避免再次积累「待合并」和「未做」的过期状态。
-
-本轮仍未确认的事项应继续标为待核验，不据此删减原需求；已做但缺真机证据的能力应优先按场景验收，不重新从零实现。

docs/plan/14-engineering-review.md

@@ -1,107 +0,0 @@
-# 工程检查与调整建议
-
-本报告回答「继续开发之前是否需要先处理工程问题」。当前版本完整 CI 通过，主流程实现和部署均存在；检查仍发现任务升级、入队与业务记录一致性、故障状态判定以及验收口径需要先厘清。建议先做一轮范围明确的恢复与验收补强，再确定后续功能范围。
-
-日期：2026-10-01。升级前业务代码基线：`main`，`8013196`，`v0.3.7`。开发情况与 R01 至 R32 覆盖见 [当前开发情况基线](13-development-baseline.md)。本轮采用两个中等思考强度的独立代码／验证检查、一个低思考强度的文档检查，由主代理复核和汇总。该检查阶段没有修改业务实现、提交、部署或执行数据修复。后续用户授权的依赖与容器升级执行状态见 [完整升级记录](17-full-upgrade.md)。
-
-后续核查按用户确认先逐项参考 MoviePilot v3 的业务逻辑，再讨论调整。进度见 [MoviePilot v3 逐项业务对照](15-moviepilot-v3-comparison.md)：已固定 v3.0.10-1 源码，第一项任务恢复与升级兼容完成源码对照；后续已实施局部恢复修正并做故障注入，见下方当前落实情况。
-
-并行完成的版本检查见 [依赖与程序版本报告](16-dependency-version-review.md)：记录 58 个直接依赖、主锁文件和浏览器独立审计、运行程序版本，以及 PG 18／Pi 原生 MCP 的迁移边界；该版本检查阶段没有执行依赖更新或部署。
-
-## 当前落实情况（2026-10-01）
-
-用户讨论后授权的恢复修正已落到源码：引擎接受任务后回填关联失败保留 queued 并记日志；worker 执行时补关联；巡检优先查最新 run 并修复关联，查询失败跳过当前轮次，不误判成不存在补投。刮削去重复用原业务记录，不让回填失败把已接受的任务标成失败。
-
-`enqueue-recovery.test.ts` 在隔离 PostgreSQL schema 中完成 9 个故障测试，包括关联写失败、原 run 修复、已有活跃 run 的查询异常。连同接管、刮削和手动季集覆盖回归，5 个测试文件共 34 个测试通过。发布前旧任务检查补到 [部署手册](../runbook/deploy.md#6-升级)。没有引入新恢复器、任务状态机或永久旧 handler。
-
-后续媒体整理范围经过用户逐项讨论后实现：可编辑 TMDB 分类 YAML、单来源配置、复制／移动、qB 标签接管、首次基线＋增量快照、一次性存量向导。运行说明见 [整理手册](../runbook/organize.md)。这轮功能已发布为 v0.3.9，见 [发布记录](18-organize-release.md)；下文检查表保留检查阶段的事实和其他仍需讨论的项目。
-
-## 1 结论如何使用
-
-「代码已确认」说明能从当前控制流或配置看到该边界；「影响待复现」说明尚未做故障注入，也未证明用户已经受影响；「验收证据不足」说明已有实现不能用当前证据验收完整要求。下文建议是供讨论的工作范围，不是已执行的修复或已批准的排期。
-
-完整 CI 的 3264 个通过测试能证明现有固定回归通过；不能证明未结束的旧版本任务、线上故障下的双写恢复、真实模型行为或真实媒体挂载已经验收。应为这些具体边界补证据，而不是只扩大通过测试的总数。
-
-### 1.1 用户确认的工程取舍
-
-用户认可任务恢复的调整方向，同时明确本产品面向团队内部，避免过度设计和过度防御。后续优先修复已确认、会影响正常使用的局部问题，复用现有任务引擎、幂等键、巡检和记录页面。MoviePilot 用于参考同一场景的业务处理，不照搬其全部基础设施。
-
-临时查询异常保留日志并等待下一轮，不新增人工审核流程；普通可重试失败使用已有重试，最终失败说明原因并支持现有入口重试。只有删除、覆盖、替换文件等操作出现实际状态不明或冲突时，才停止自动执行并提示处理。没有复现需要之前，不增加通用恢复框架、第二套任务状态机或新的补偿服务。
-
-旧任务兼容先用发布前检查和处置清单解决；没有在途旧任务时，不为假设场景长期维护旧处理器。验证围绕本次改动的失败分支和文件保护展开，T01 至 T06 是场景清单，不作为继续所有开发的统一前置门槛。当前版备份恢复和部署验收已在升级阶段完成，见 [升级记录](17-full-upgrade.md)，后续针对实际变更补充验证。
-
-## 2 建议优先核对的恢复边界
-
-### 2.1 刮削任务升级后的旧任务承接
-
-**代码已确认，当前部署未发现未结束的旧刮削任务。** [handlers.ts](../../apps/server/src/modules/acquisition-organize/handlers.ts) 第 193 行起只注册 `scrapeMedia` v2，输入是 `recordId`。旧版本 v1 使用作品 ID 和触发方式等输入。worker 在 [openworkflow-engine.ts](../../packages/tasks/src/openworkflow-engine.ts) 第 221 行起按已注册的任务名和版本过滤认领，当前清单没有 v1。
-
-因此升级前未结束的 v1 run 如果存在，当前 worker 没有对应处理器。0058 迁移还将原 `media_scrape` 表替换为 `scrape_record`，不能简单恢复旧处理器而不核对数据结构。需要明确旧任务应完成、迁移、取消还是以说明终止。
-
-本轮对部署数据库只读聚合：`scrapeMedia|v1|completed|1`，没有其它刮削任务状态；`scrape_record` 没有记录。**这次没有发现受影响的活动旧任务，也没有据此做任何取消或补投。** 这个结论只对应本次检查时点。
-
-最小下一步：把「升级前未结束的任务版本清单及处置」加入发布记录。在隔离环境用上一版本入队、当前版本恢复验证兼容方案，避免只验证同版本崩溃恢复。
-
-### 2.2 入队成功和业务记录关联回填不是一个原子操作
-
-**控制流已确认，故障影响待复现。** [scrape.ts](../../apps/server/src/modules/acquisition-organize/services/scrape.ts) 第 152 行起先插入 `queued` 记录，第 192 行入队，第 207 行回填 `engine_run_id`。入队成功而回填失败，也进入同一个 catch，将记录标为 `failed/task_enqueue_failed`。第 476 行的执行器对 failed 记录直接返回。
-
-可能出现两种不一致：插入后、入队前进程退出，留下没有 run 的 queued 记录；入队已成功、回填失败后记录先被标为 failed，worker 再读取时跳过。实际结果取决于失败时点，本轮没有通过故障注入证明发生概率，也没有把它写成已发生的线上故障。
-
-[common.ts](../../apps/server/src/modules/acquisition-organize/services/common.ts) 第 134 行的 `enqueueTracked` 也依次执行业务行、引擎入队和回填，应一起定义恢复口径。稳定幂等键可以帮助找到已有 run，但本身不等于已完成关联恢复。
-
-最小下一步：在隔离测试中分别注入这三个时点的失败，确认最终状态。再选择恢复回填与补投方案，或复用现有事务 outbox；保持改动集中在这些入口。
-
-### 2.3 引擎查询失败被当成查无任务
-
-**异常处理行为已确认，重复补投的实际影响待复现。** [common.ts](../../apps/server/src/modules/acquisition-organize/services/common.ts) 第 171 行在巡检中使用 `engine.get(...).catch(() => null)`，查询异常和明确不存在共用 null。下一时间槽可能补投新 run，而旧 run 仍在运行，共享同一业务任务行。
-
-下载与文件操作已有底层幂等账本，不能直接推断会重复下载或覆盖文件。但两条 run 竞争业务行、回填关联和状态的风险，需要单独验证。
-
-最小下一步：故障注入中模拟一次引擎查询异常；讨论让查询异常记录并跳过本轮，仅在明确查无 run 或终态时补投。这个边界适合与 2.2 一起检查。
-
-### 2.4 默认空壳可以掩盖正式任务注册遗漏
-
-**维护风险已确认，当前核心任务都有正式处理器。** [context.ts](../../apps/server/src/context.ts) 第 96 行为缺失的核心任务注册 stub；[modules.test.ts](../../apps/server/test/modules.test.ts) 第 86 行主要检查任务名存在。未来如果漏注册真实 handler，名字检查仍可能通过，stub 回显 todo 后可以成功结束。
-
-本轮装配核对确认最初 9 个核心任务均已由业务模块覆盖，不应把当前主流程描述成「还是空壳」。
-
-最小下一步：下一次触及模块或任务注册时，增加完整生产模块装配的处理器来源断言；讨论是否只允许局部测试装配使用 stub。无需因此重写任务系统。
-
-## 3 应先明确的验收口径
-
-| 检查项 | 当前事实 | 需要补的最小证据 |
-| --- | --- | --- |
-| PG 测试必执行 | 部分 server／tasks harness 在 PG 探测失败时跳过；默认 db 包连接失败会报错，所以不能称默认整条 CI 会在无 PG 时全绿 | 在 CI 汇总中保留跳过清单，讨论严格 PG 模式；区分允许跳过的真实模型和真实 qB |
-| 前端冒烟 | 独立于普通 CI；[smoke.mjs](../../apps/web/scripts/smoke.mjs) 第 188 行详情页数据获取失败或为空会 skip，最终主要按失败数退出 | 固定演示数据、必须执行的详情页，以及接口错误和合法空数据的不同判定；本轮没有跑页面冒烟 |
-| 模型行为 | E13 有恶意网页清洗、URL 与不可信标注回归，但用固定 FakeScript；AG-5 真实前后评测默认关闭且历史记录明确未跑 | AT18 的真实模型行为单独评测，不用 fake 模型脚本替代；模型调用须在明确范围内进行 |
-| 部分入库后的清理 | [downloads.ts](../../apps/server/src/modules/acquisition-organize/services/downloads.ts) 第 1043 行检查最近整理成功并拒绝失败／排队／运行／取消文件，已有保护 | AT29 构造部分成功仍有源文件的反例，核对不会整种清理；不能写成「没有删除保护」 |
-| 未纳管占用 | 域层有 `managed:false` 和增长风险断言；服务层现有阈值测试主要使用假磁盘 | AT42 用固定同卷场景核对汇总占用和暂停范围 |
-| 多实例同 hash | 多下载器选择有测试，未找到两个实例同 hash 后分别同步、暂停、删除的完整专项断言 | AT73 在 mock qB 的两个实例中核对任务与清理隔离 |
-| 备份一致性和恢复 | [backup.sh](../../scripts/backup.sh) 依次 pg_dump、导出映射、归档在线会话，产物不是同一时点；早期临时恢复演练曾通过 | 当前版隔离恢复演练，明确在线变更如何影响映射和会话比对，再决定是否需要一致性改造 |
-| 镜像运行与来源 | 编译自检在空环境验证模块图可加载，不能替代最终镜像的进程、工具、静态文件、权限和挂载检查 | 下一次发布记录源码提交和镜像摘要，并做隔离镜像启动验收 |
-
-本轮完整 CI 中 PG 集成实际运行；上述 PG 问题属于后续执行环境变化时的验收可靠性，不是本轮大量跳过集成测试。没有新增或改写测试来掩盖缺口。
-
-## 4 已解决的工程问题与文档调整
-
-已有 cleanup／reconcile 入队、后台任务编排、IO 与 Agent worker 隔离、文件／网络／维护分道、请求限制器、整理 walk 上限、sha256 子进程和操作账本。`GET /inventory/media-servers` 已多实例并行、限制实例内并发并设总超时，旧串行遗留不能继续作为待开发项。
-
-本轮文档调整集中在影响当前判断和操作的内容：建立需求基线与工程检查报告；将早期覆盖表和解耦审计标为历史；校正 README 的能力数、刮削、验证和部署形态；统一当前部署示例的 `.env.deploy`；修正默认桌面镜像构建前提、浏览器内存配置、MCP 工具数、站点详情补请求和识别异步说明。
-
-基线中的所有本地文件链接均另行检查。历史演练表和对应日期、测试数继续保留，避免把新结论改写进旧验收记录。源码中的旧注释与较早手册可能仍有残留，遇到冲突以当前代码和这两份基线报告为准。
-
-## 5 供讨论的下一阶段范围
-
-建议下一阶段先以「任务升级和异常恢复可核验」为范围，交付 2.1 至 2.3 的故障与升级证据、当前恢复演练、明确的测试跳过清单和发布来源记录。2.4 可在同一轮触及装配时补强。这里是建议，尚未修改对应实现或开始功能开发。
-
-然后再确定功能阶段：综艺完整性、独立双版本、旧库接管、智能体选片与规则优化都仍有需求缺口，但应按具体场景分别验收。每阶段要明确触发入口、最终结果、失败和等待处理、固定样本与真实环境需求。
-
-讨论时需要决定的是下一阶段的目标和边界，以及哪些验收证据必须先补。已有授权、稳定路径和清理保护不需要重新设计；尚未复现的问题应先做有针对性的核查，再确定最小实现调整。
-
-
-## 6 升级核验新增的待讨论证据
-
-2026-10-01 的 1.18 浏览器升级核验已覆盖正常重启、空闲回收、旧元素引用拒绝、登录保持与 SIGKILL 后未落盘登录丢失识别。现有核验脚本原先会捕获错误后返回成功,且仍期待自动重连之前的行为,本次已修正并收紧下载关联和脱敏断言。
-
-精确恢复页面地址仍有证据缺口：核验 a 阶段末尾曾导航回列表,b/idle 恢复观测地址为详情页,缺少 a 末尾的数据库 URL 与最终快照对照,目前不能判定为已复现业务故障。后续应在重启前记录 `BrowserService.view(sid).currentUrl`、`snapshot.url`、`browser_session.current_url` 与当前 `browser_tab.url`,重启后逐一比较;恢复入口见 `apps/server/src/modules/browser/service.ts` 的 `restoreUrl(row.current_url)` 及适配器 `reopenSession`。十项能力核验不等同于精确 URL 恢复已经验收,下一轮业务对照应补这个场景。

docs/plan/16-dependency-version-review.md

@@ -1,145 +0,0 @@
-# 依赖与程序版本检查
-
-> 本文保存升级前的检查与候选建议。用户随后要求全面升级，实际修改、验证与部署状态统一见 [全面升级执行记录](17-full-upgrade.md)；下文“没有执行升级”对应检查阶段。
-
-检查日期：2026-10-01；业务代码基线：`8013196e3f5e6a8c4ea0cd26cf77294a82a13ddd`／`v0.3.7`。本轮只读检查声明、锁文件、实际程序版本和官方发布信息，并保存文档与证据。没有安装新依赖、更新锁文件、重建镜像、迁移数据库或变更部署。
-
-结论：应先处理安全补丁和运行环境维护，再分别评估 PostgreSQL 18、Pi 原生 MCP 和构建工具的大版本变更。建议将 **PostgreSQL 18.6 列为数据库迁移目标**；16.15 是迁移前的同分支补丁选项。**Pi 0.99.2 已有可复用的 MCP 客户端 SDK**，应评估接入；它与当前对外 MCP 服务端承担不同职责。Caddy 已是当前最新版本，是否保留取决于部署是否已有 HTTPS 网关。
-
-## 1 检查范围与证据
-
-| 范围 | 本轮覆盖 | 证据／限制 |
-| --- | --- | --- |
-| 主 workspace 直接 npm 依赖 | 58 个不同包，逐包查询官方 npm registry；19 个锁定版本不同于 latest，39 个相同 | [完整直接依赖表](evidence/2026-10-01-dependencies/direct-dependencies.csv)，包含声明、实际锁定、latest 与建议 |
-| 主 workspace 间接 npm 依赖 | `deno.lock` 648 个 npm 实例、633 个不同包名，逐包查询；191 个包名存在不同于 latest 的锁定版本 | [完整锁定依赖表](evidence/2026-10-01-dependencies/locked-npm.csv)；不同版本不等于漏洞，不强制覆盖所有传递依赖 |
-| JSR | `@std/path` 1.1.6、`@std/internal` 1.0.14，均与查询时最新相同 | [补充元数据](evidence/2026-10-01-dependencies/additional-metadata.json) |
-| 安全公告 | 主锁文件 `deno audit`；已部署浏览器独立 package-lock 的生产依赖 `npm audit --omit=dev` | [主项目审计](evidence/2026-10-01-dependencies/workspace-audit.txt)、[浏览器审计](evidence/2026-10-01-dependencies/browser-audit.json)；公告命中仍需判断使用路径 |
-| 实际运行环境 | 应用、数据库、浏览器和可选入口容器；宿主 Docker／Compose／Node／FFprobe；默认下载器演示实例 | 实际版本见第 3 节。外部用户自建的下载器、Emby 和其它主机未做全面资产扫描 |
-| 浏览器独立依赖 | 6 个直接 npm 包逐个查询，独立 lock 做生产依赖安全审计；上游 1.18.0 manifest 对照 | 不属于主 workspace 的 58／633 统计；浏览器全部传递包没有逐个做新旧版本查询 |
-| 系统组件 | Debian 发行版、Python、Selkies／pixelflux／labwc 与浏览器基础镜像摘要 | 未做全量 dpkg 包清单与系统 CVE 扫描，不能据此声称所有系统包均为最新或无漏洞 |
-| 历史 spike 和参考源码 | 额外查询部分 spike 工具版本，识别其独立作用域 | `spikes/` 不属于生产 workspace；`spikes/movieclaw-src/repo` 是参考源码，不把其依赖计作正在发布的程序 |
-
-完整 registry 查询快照、查询时间与源码提交保存在本地 `.local/evidence/2026-10-01-dependencies/registry-snapshot.json`（约 240 KB，未进 git；SHA-256 `4ca6c78ecc62f881e2219d6068fdb9e9e48c1b47d79c57ab40e32cc107edd948`）。版本结论是这个检查时点的快照，后续执行升级应重新查询。锁文件 SHA-256：`f4c517c88acac3656ce94bfe6f6e19daf5410c4187624f46110c41cf29e200a0`。
-
-`deno outdated --recursive --no-lock --node-modules-dir=manual` 在允许联网后及加入 `--reload=npm:` 后都列出 12 个包；逐包官方 registry 查询发现 19 个。本轮没有查明这 7 个差异的工具原因，不能简单认定刷新缓存即可解决。报告采用逐包 registry 版本，并用 Pi 等官方发布记录交叉核对；工具结果差异继续保留为检查限制。
-
-## 2 直接依赖的更新建议
-
-下表列出 19 个不同于 latest 的直接依赖。建议版本是后续隔离验证的候选，尚未执行安装或兼容验收。完整 58 个包见证据 CSV。
-
-| 包 | 当前锁定 | 查询时 latest | 建议 |
-| --- | --- | --- | --- |
-| `@biomejs/biome` | 2.5.14 | 2.5.15 | 补丁候选；检查格式／lint 变化 |
-| `@earendil-works/pi-agent-core` | 0.87.1 | 0.99.2 | 与 pi-ai 同步评估；会话、工具与嵌入接口回归 |
-| `@earendil-works/pi-ai` | 0.87.1 | 0.99.2 | provider、模型、OAuth、流与取消回归 |
-| `@modelcontextprotocol/sdk` | 1.30.1 | 1.31.0 | 同主版本候选；对外鉴权、工具、错误和流式连接回归 |
-| `@simplewebauthn/server` | 13.3.3 | 14.0.3 | 与 browser 配套评估；存量凭据、注册、登录和恢复入口 |
-| `@simplewebauthn/browser` | 13.3.0 | 14.0.0 | 配套大版本变更，不混入普通补丁批次 |
-| `@types/node` | 24.19.0 | 26.6.3 | 保持 Node 24 兼容目标，另核对 24.x 补丁；不直接追 26 |
-| `fast-xml-parser` | 5.11.1 | 5.11.2 | 补丁候选；RSS、XML 与 NFO 固定样本 |
-| `hono` | 4.13.9 | 4.13.12 | 补丁候选；API、静态回退、鉴权与流式接口 |
-| `pg` | 8.23.0 | 8.23.1 | 补丁候选；连接、迁移、事务与任务恢复 |
-| `typebox` | 1.3.27 | 1.3.34 | 同主版本候选；Agent 工具 schema |
-| `vitest` | 5.0.2 | 5.0.3 | 补丁候选；PG 集成实际执行与跳过清单 |
-| `react-router` | 7.12.0 | 8.4.0 | **先验证 7.18.4 安全修复**；8.4.0 单独迁移 |
-| `@react-router/dev` | 7.12.0 | 8.4.0 | 与另外两个包统一 7.18.4；检查 peer 和构建 |
-| `@react-router/node` | 7.12.0 | 8.4.0 | 统一 7.18.4；保留编译所需作用域检查 |
-| `lucide-react` | 0.576.0 | 1.49.0 | 图标导出和视觉变更独立评估 |
-| `react-day-picker` | 10.0.1 | 10.0.2 | 补丁候选；日期、时区和日历样本 |
-| `vite-tsconfig-paths` | 5.1.4 | 6.1.1 | 配合构建工具链评估 |
-| `vite` | 7.3.6 | 8.3.1 | 大版本构建迁移；单独核对 Rolldown／Oxc、插件和 Deno 执行 |
-
-已经与 registry latest 相同的依赖包括：TypeScript 7.0.2、OpenWorkflow 0.10.1、React／React DOM 19.3.0、Zod 4.6.5、Kysely 0.29.6、postgres 3.4.9、主项目 playwright-core 1.63.0、Pino 10.3.1、Tailwind 4.3.3 等。声明里的旧范围下限不等于正在运行旧版本，应以 lock 实际解析结果判断。官方 npm 元数据快照见上文本地 registry-snapshot.json
-
-### 2.1 安全审计的实际意义
-
-主项目审计命中 **13 条 React Router 公告：6 high、6 moderate、1 low，0 critical**。完整公告 ID、受影响范围和链接保存在审计证据中。当前 [React Router 配置](../../apps/web/react-router.config.ts) 为 Framework SPA（`ssr: false`），生产由 [Hono 静态托管](../../apps/server/src/http/static.ts) 返回构建文件和 `index.html`，没有部署 React Router SSR／single-fetch／RSC 服务端处理器。
-
-其中 9 条依赖服务端 SSR、single-fetch、manifest 或 RSC 路径，本轮没有发现对应生产调用路径；不能将审计里的 6 条 high 直接表述成 6 个可利用的线上漏洞。3 条客户端导航公告仍需检查不可信 URL，`ssr:false` 不能排除它们。登录 `safeNext` 有过滤，但不能据此宣称任意编码路径都已验收。另 1 条涉及构建时 prerender 的 Location HTML 注入；SPA 构建仍有根预渲染，但当前没有发现外部输入驱动根 loader 重定向的触发路径。本轮没有复现利用。
-
-建议三个 Router 包先统一到 7.18.4，再做 URL／跳转、构建和页面冒烟。该版本包含本轮公告所需的修复；但 `@react-router/dev` 和 `@react-router/node` 的 TypeScript peer 声明为 `^5.1.0 || ^6.0.0`，本项目是 7.0.2，**候选仍需验证，不能称无兼容风险**。来源：[7.18.4 发布](https://github.com/remix-run/react-router/releases/tag/[email protected])、[7.x changelog](https://reactrouter.com/7.18.4/start/changelog)、[SPA 官方说明](https://reactrouter.com/how-to/spa)。
-
-浏览器独立生产 lock 审计命中 **5 个受影响包、16 个不同公告 URL**，npm 聚合严重性是 2 个 high 包、3 个 moderate 包。包为 `adm-zip` 0.6.0、`brace-expansion` 5.0.9、`fast-uri` 3.1.7、`hono` 4.13.5、`ip-address` 10.4.0。包数、公告数与主项目审计的统计单位不同，不相加成「18 条漏洞」。浏览器里的 Hono 与主应用 Hono 是两个独立版本。
-
-应沿浏览器下载／解压、请求解析和可访问入口核对公告条件，再在候选镜像重跑 audit。上游 1.18.0 的 manifest 仍含 `hono:4.13.5` override 等旧约束，不能承诺只更新 camofox tag 就清除全部命中；npm 的聚合 `fixAvailable:true` 也不能替代每条公告修复范围核对。[浏览器审计与原始公告链接](evidence/2026-10-01-dependencies/browser-audit.json)
-
-## 3 程序和镜像版本
-
-| 程序／环境 | 本次实际版本 | 官方查询结果 | 建议 |
-| --- | --- | --- | --- |
-| 项目应用 | v0.3.7 | 本项目发布基线 | 是否发布新版本取决于验收，不是依赖 latest |
-| Deno（宿主／构建） | 2.9.7 | 2.9.7 | 保持 |
-| PostgreSQL（部署／开发） | 16.14 | 稳定主版本 18.6；16 分支 16.15 | 18.6 作为迁移目标；耗时较长时先安排 16.15 补丁 |
-| 应用 pg_dump 客户端 | 17.11 | 17 分支 17.11；18 分支 18.6 | 升 PG 18 时必须一并升客户端 |
-| Caddy（可选 TLS） | 2.11.4 | 2.11.4 | 保持，按入口部署决定是否启用 |
-| camofox-browser | 1.17.0 | 1.18.0 | 候选镜像验证后更新，重新审计独立 lock |
-| Camoufox 浏览器二进制 | 152.0.4-beta.28 | 152.0.4-beta.30 | 仍是 beta；配套验证，不当作稳定版自动切换 |
-| 浏览器 Node | 22.22.3 | 22 LTS：22.23.3 | 同 LTS 补丁候选，随镜像重建验收 |
-| 宿主 Node（非应用主运行时） | 24.15.0 | 24 LTS：24.21.0；Current：26.10.0 | 选 24 LTS 补丁，不因 latest 跳 26 |
-| 生产 FFprobe／FFmpeg | 9.0.2 | 稳定 9.0.2 | 保持 |
-| 宿主 FFprobe | 7.1.3 | 7.1 分支 7.1.5 | 同分支补丁候选，区别于生产容器工具 |
-| 默认 qB 演示实例 | 5.1.2 | 5.2.4 | 先核对 API、标签、暂停／删除和多实例隔离；不替用户外部 qB 升级 |
-| Docker Engine（宿主） | 29.2.1 | 29.8.2 | 单列宿主维护窗口，涉及其它项目；核对安全发布说明 |
-| Docker Compose（宿主） | 5.0.2 | 5.5.1 | 随宿主维护验证 compose 行为 |
-| containerd／runc（宿主） | 2.2.1／1.3.4 | 2.4.1／1.5.2 | 跟随选定 Docker 发行包兼容组合，不单独替换二进制 |
-| Debian（应用镜像） | 13.5 | 13.7 | 重建候选层并更新发行版补丁，验证工具和权限 |
-| Debian（浏览器桌面镜像） | 13.7 | 13.7 | 发行版一致；仍需判断实际包补丁与镜像构建日期 |
-| Python（宿主／浏览器） | 3.13.5 | 上游 3.13.16；稳定主版本 3.14.8 | Debian 管理的软件随发行包更新，不能仅凭上游版本判定系统补丁缺失 |
-| Selkies／pixelflux | 2.0.0／2.1.0 | 2.0.0／2.1.0 | 保持，随桌面基础镜像验证 |
-| labwc（桌面基础镜像） | 0.9.7-dirty | 上游 0.20.2 | vendor 定制构建，跟随基础镜像，不直接替换 |
-| socat（开发转发容器） | 1.8.0.0 | 官方最新未完成核验 | 官方查询超时／证书错误，记录未知；开发辅助，不冒充生产主依赖 |
-
-版本来源：[PostgreSQL 支持表](https://www.postgresql.org/support/versioning/)、[Node 官方发行索引](https://nodejs.org/dist/index.json)、[FFmpeg 下载与版本](https://ffmpeg.org/download.html)、[Debian 新闻](https://www.debian.org/News/)、[Python 发行列表](https://www.python.org/downloads/)、[PyPI Selkies](https://pypi.org/project/selkies/)、[PyPI pixelflux](https://pypi.org/project/pixelflux/)。其余上游 GitHub 发布标签、URL 和日期见本地查询快照 registry-snapshot.json 及[补充快照](evidence/2026-10-01-dependencies/additional-metadata.json)。
-
-桌面基础镜像 `ghcr.io/linuxserver/baseimage-selkies:debiantrixie` 当前配置固定摘要 `sha256:f3ca0b10e923a603941a996ea1c3356b9527cc53163259f4e836f61fd4523e12`；本轮远端 manifest 查询仍为同一摘要。该镜像没有可用的 GitHub release/latest 记录，不能把 release API 的 404 当作已过期。供应方说明基础镜像更新可能破坏兼容，应按镜像组合验收。[供应方说明](https://github.com/linuxserver/docker-baseimage-selkies)
-
-应用与部分服务的 `debian:trixie-slim`、`postgres:16-alpine`、`caddy:2-alpine` 等是可移动标签。实际运行版本由已经构建／拉取的镜像决定；修改 tag 或再次构建都应记录摘要与源码来源，不以配置文字直接证明部署已经更新。
-
-### 3.1 PostgreSQL 18 的迁移边界
-
-PG 18 已是正式稳定分支，当前 18.6。16 仍受支持到 2028-11-09，因此 16.15 是有效的过渡补丁，不能将「最新 16」表述为「最新 PostgreSQL」。本轮没有找到必须永久停留在 16 的业务约束，也没有执行 PG 18 兼容验证。[官方版本策略](https://www.postgresql.org/support/versioning/)
-
-当前 [生产 compose](../../docker-compose.yml) 使用 `postgres:16-alpine`，卷挂载 `/var/lib/postgresql/data`。官方 PG 18 镜像默认 `PGDATA` 改为 `/var/lib/postgresql/18/docker`，声明卷改为 `/var/lib/postgresql`；升级需一起核对卷、目录和权限。PG 大版本不能直接复用原数据目录，需要导出／恢复或经过验证的 `pg_upgrade` 方案。[官方镜像 PGDATA 说明](https://github.com/docker-library/docs/blob/master/postgres/README.md#pgdata)
-
-应用现有 `pg_dump` 是 17.11，不能导出 PG 18 服务端；更新数据库时须同步升备份／恢复客户端至 18.x，并确认脚本调用实际新版本。[pg_dump 官方说明](https://www.postgresql.org/docs/current/app-pgdump.html)
-
-候选验收至少包括：独立 PG 18 实例从当前备份恢复；56 个迁移后的业务和 OpenWorkflow schema 核对；真实 PG 集成测试；旧任务、outbox 和操作账本的一致性；备份再次导出和恢复；回滚时使用原 PG 16 数据／快照。不能将「容器健康」作为数据库迁移完成证据。16.15 的补丁升级也应阅读[发布说明](https://www.postgresql.org/docs/release/16.15/)，按实际扩展和配置判断是否有额外步骤。
-
-### 3.2 Pi 原生 MCP 的作用
-
-本项目当前嵌入 `pi-agent-core`／`pi-ai` 0.87.1。官方 0.99.2 已提供 MCP 客户端能力，包括 stdio、Streamable HTTP、OAuth、工具发现和调用。新版还发布独立 `@earendil-works/pi-mcp` 和 `@earendil-works/pi-codemode` 0.99.2；官方 Agent 示例说明可以将其包装成 `AgentTool`，进入工具调用钩子。它不只限于命令行产品，可以评估在本项目嵌入层复用。[官方 MCP 文档](https://github.com/earendil-works/pi/blob/v0.99.2/packages/coding-agent/docs/mcp.md)、[Agent SDK 说明](https://github.com/earendil-works/pi/blob/v0.99.2/packages/agent/README.md#mcp-and-codemode)
-
-本轮读取官方 0.99.2 发布 tarball 的声明文件，确认顶层仍导出 `AgentHarness`，没有依据认定必须重写整个 Agent 接入。其它方法签名、会话兼容、provider 导出和 Deno 行为仍未实际编译／运行验证。两个新 SDK 声明 Node `>=22.19.0`，项目主运行时是 Deno，不能用 Node engines 达标代替 Deno 验收。
-
-当前 [MCP 模块](../../apps/server/src/modules/mcp) 是**服务端**：对外提供本项目能力，并复用 API Key 鉴权、审批、幂等与审计。Pi 原生模块是**客户端**：让内部 Agent 调用外部 MCP 服务。应保留对外服务端；若接入客户端，需定义外部工具如何经过已有权限／审批和审计，避免仅升级包版本就默认开放所有外部工具。新版能力的存在也不证明当前项目已经接入它。
-
-### 3.3 Caddy 当前负责什么
-
-当前 [Caddyfile](../../docker/browser-desktop/Caddyfile) 和 compose 中的 `tls` profile 表明，它是可选 HTTPS 入口：证书、TLS、zstd／gzip 压缩，以及向 `app:4380` 的反向代理。`flush_interval -1` 配合代理保持 Agent SSE 和桌面 WebSocket 的流式传输。默认使用内部 CA；设置域名和 issuer 后可以配置 ACME，实际公网条件仍需符合部署配置。
-
-请求链路为「用户浏览器 → Caddy HTTPS → 应用 4380」；桌面路径再由应用鉴权、会话与租约检查后代理到 Selkies 3000。桌面视频 WebCodecs 与剪贴板要求 HTTPS 或 localhost 的安全上下文，因此入口 TLS 有具体用途。Caddy 不承担 Agent 执行、数据库访问或浏览器会话授权。
-
-已有 Nginx／Traefik／统一 Caddy HTTPS 网关时，可由现有入口提供证书和转发，本项目无需另启 Caddy profile；应验证 SSE、WebSocket 和安全上下文仍正常。当前 Caddy 2.11.4 已是查询时最新，无需为了版本检查更新。
-
-### 3.4 浏览器依赖的独立组合
-
-| 包 | 部署 lock | latest | 边界 |
-| --- | --- | --- | --- |
-| better-sqlite3 | 13.0.1 | 13.0.3 | 原生模块，随 Node 与镜像重建 |
-| camoufox-js | 0.11.5 | 0.12.0 | 新版 peer `playwright-core <1.61.0`，与现有 1.62.1 冲突，不能单独更新 |
-| express | 5.2.1 | 5.2.1 | 保持 |
-| playwright-core | 1.62.1 | 1.63.0 | 配套浏览器与 camoufox-js 验证 |
-| prom-client | 15.1.3 | 15.1.3 | 保持 |
-| swagger-jsdoc | 6.3.0 | 6.3.0 | 保持 |
-
-camofox 1.18.0 manifest 的直接依赖仍固定 camoufox-js 0.11.5；更新服务版本并不意味着自动更新这个包到 0.12.0。该发布含 Docker postinstall 等调整，应重新检查本地 Docker 补丁是否仍适用，再验证 Cookie 登录、挑战页、页面操作、人工接管、交还、重启、下载捕获和权限。[1.18.0 官方发布](https://github.com/jo-inc/camofox-browser/releases/tag/v1.18.0)
-
-## 4 建议的处理顺序与验收
-
-1. **安全补丁与候选镜像**：三个 Router 包统一 7.18.4；复核浏览器 audit 并验证 1.18.0 候选；若 PG 18 迁移需较长时间，先安排 16.15。主项目其它补丁包可在同一明确范围内更新，重新生成 lock 并跑现有 CI，确认 PG 测试实际执行，再跑有固定数据的页面冒烟。
-2. **PG 18.6 专项**：数据库、18.x 客户端、卷结构、隔离恢复与回滚一起处理，形成可审阅迁移方案，再进入部署。
-3. **Pi 0.99.2 与原生 MCP 专项**：先验证原有 Agent 接口和会话，再决定外部 MCP 客户端所需场景；复用已有授权、审批与审计；真实模型验证仍按独立范围进行。
-4. **宿主运行环境维护**：Docker／Compose／发行版与 Node 补丁单列维护窗口，核对受影响的其它项目与镜像启动，不混在业务依赖安装中。
-5. **其它大版本**：Vite 8／Router 8、Passkey 14 和图标等分别评估价值与兼容；当前没有证据要求全部同时迁移。
-
-本轮完成版本与公告核对，**没有完成候选升级验收**。此前 CI 通过仍只对应现有版本。版本工作与 [MoviePilot v3 逐项业务对照](15-moviepilot-v3-comparison.md) 并行准备，不改变对照表中 02 至 14 尚待核对的状态；恢复问题也不能因依赖更新自动视为解决。

docs/plan/17-full-upgrade.md

@@ -1,86 +0,0 @@
-# 全面升级执行记录
-
-执行日期：2026-10-01，Asia/Shanghai。**本次项目全面升级已完成，部署验收通过。** 全面升级发布应用为 v0.3.8（后续整理功能已发布 [v0.3.9](18-organize-release.md)），生产与开发 PostgreSQL 为 18.6，浏览器为 1.18.0，演示 qB 为 5.2.4；宿主与其它项目不在升级范围。下文保留隔离验证和阶段记录，并明确已退休的旧回退资源。升级前版本与官方查询证据见 [版本检查](16-dependency-version-review.md)，运行时决策见 [ADR-004](../adr/ADR-004-deno-runtime.md)。
-
-## 范围与状态
-
-本次范围仅为 UHD Media Tool 项目依赖、项目容器及生产／开发数据库。宿主操作系统、Docker Engine、Compose、宿主 Node 和其它项目均不在此次升级范围，也不是本次剩余待办。
-
-发布应用版本为 **0.3.8**。以下展示升级前基线、验证结果与最终部署状态。
-
-| 范围 | 升级前 → 当前 | 隔离验证 | 实际部署 |
-| --- | --- | --- | --- |
-| 根 workspace 与 Pi | Pi 0.87.1 → 0.99.2；主 workspace 直接依赖更新至查询时 latest | 已安装；主 deno audit 0 公告；全 workspace tsc 与 Deno check 通过，完整 CI exit 0：3264 通过、4 跳过 | 已部署，验收通过 |
-| Web 与构建工具 | Router 7.12.0 → 8.4.0、Vite 7.3.6 → 8.3.1 等 latest | 已安装并通过类型检查；完整 CI 与 web 构建通过；最终页面冒烟 83 通过、1 跳过（无订阅详情数据） | 已部署，验收通过 |
-| 浏览器独立依赖与镜像 | camofox 1.17.0 → 1.18.0；Node 22.22.3 → 24.21.0；Camoufox beta.28 → beta.30 | 两套最终镜像构建 exit 0；174 个实际安装依赖 audit 0；隔离桌面与真实 BrowserService 25 项验证通过 | 已部署，验收通过 |
-| PostgreSQL 生产实例 | 16.14 → 18.6，新卷逻辑恢复 | 隔离演练及正式停写恢复通过；56 迁移齐全，89 表行数与内容指纹全匹配 | 已部署，验收通过 |
-| PostgreSQL 开发实例 | 16.14 → 18.6，新卷逻辑恢复 | 88 表行数与内容 fingerprints 全匹配 | 正式迁移与恢复验证完成；旧开发卷已授权清理 |
-| 应用备份客户端 | pg_dump/pg_restore/psql 17.11 → 18.6 | 最终镜像构建 exit 0；client18 / server18 隔离备份恢复 E2E 通过，含校验和、映射计数与 Agent 会话恢复 | 已部署，验收通过 |
-| Deno、Caddy、生产 ffprobe | 2.9.7、2.11.4、9.0.2 → 保持当前已核验版本 | 与新镜像一起验证 | 已验证并部署；Caddy 固定最新 2.11.4 |
-| 项目代理中继 | socat 1.8.0.0 → 1.8.1.3 | 更新项目容器 | 已部署 |
-| 应用 Debian 基础层 | 已部署 13.5 → 当前 13.7 补丁层 | 最终应用镜像已更新容器内 apt 最新补丁，实际 Debian 13.7 | 已部署，验收通过 |
-| 演示 qB | 5.1.2 → 5.2.4 | 5.2.4 候选真实 API 测试：3 通过、1 跳过 | 已部署 5.2.4；不升级外部用户下载器 |
-
-## 升级前只读部署检查（历史）
-
-本节记录迁移开始前的位置。表中保留旧卷的要求在迁移验收期间已执行；验收后用户授权清理旧版本，旧 PG16 卷现已退休删除，不能再据此回滚。
-
-生产 Compose 项目 `umt` 位于 `/opt/uhd_media_tool`，装配 `docker-compose.yml` 与本机 `docker-compose.override.yml`。检查没有输出环境文件或容器凭证。应用、PG 与浏览器健康。
-
-| 对象 | 当前持久化位置 | 升级要求 |
-| --- | --- | --- |
-| 生产 PG16 | `umt_umt-pg-data` → `/var/lib/postgresql/data` | 保留旧卷；PG18 使用另一个明确命名的新卷 |
-| 开发 PG16 | `umt-dev_umt-pg-data` → `/var/lib/postgresql/data` | 独立迁移，不与生产库共卷 |
-| 应用数据 | `umt_umt-data` → `/data` | 保留备份、Agent 会话与导出；候选实例使用隔离副本 |
-| 媒体目录 | `/opt/umt-demo/media` → `/media`；`/opt/umt-demo/downloads` → `/downloads` | 保持路径映射；隔离验证不写真实挂载 |
-| 浏览器登录状态 | `umt_umt-camofox` → `/root/.camofox` | 保留旧卷与旧镜像回退证据；候选实例先使用隔离副本 |
-| 桌面配置 | 浏览器另挂匿名 `/config` 卷 | 重建时记录并保持其绑定，不能只检查登录状态卷 |
-
-生产数据库已应用 56 条迁移，最新 `0058_scrape_record`。检查时现有备份目录为 `/data/backups/20260929T103808Z`，manifest 声明服务端 16.14、pg_dump 17.11；初始只读检查只确认该历史备份存在和版本；随后主代理已将生产 dump 恢复到隔离 PG18，但尚未确认所用 dump 与该历史目录是同一份。切换前需生成新的停写备份。宿主数据所在文件系统约有 1023 GiB 可用，不代替目标数据大小与峰值空间核算。
-
-## PostgreSQL 16 → 18 执行与回滚边界（迁移阶段历史）
-
-以下步骤描述验收前的迁移与回退安排，已完成迁移。旧镜像、旧 PG16 卷及旧回退脚本已在最终验收后按用户授权删除；当前仅支持用保留的新版 PG18 备份恢复 PG18，不再承诺第 6 步的旧卷回退。
-
-1. 保存旧应用镜像 ID、Compose 配置及 PG16 镜像 ID；保留原主密钥并避免写入文档。确认数据库、Agent 会话、映射清单备份和校验和完整。
-2. 在隔离 PG18 新卷演练逻辑恢复；核对表、扩展、迁移、映射行数以及任务引擎 schema，运行 PG18 集成与编译产物检查。候选应用关闭自动化并避免连接真实下载器、模型与站点。
-3. 正式切换前停止应用写入，再生成最终一致的数据库及会话备份。恢复到新的 PG18 卷，保留原 PG16 卷不变；新应用先以只读对账状态启动，确认迁移、健康、映射、凭证和挂载后再决定恢复自动化。
-4. PG18 官方镜像默认 `PGDATA=/var/lib/postgresql/18/docker`，卷应挂在 `/var/lib/postgresql`，不能将 PG16 数据目录直接交给 PG18 启动。[官方镜像说明](https://hub.docker.com/_/postgres)
-5. 升级应用镜像内备份工具到 18 客户端，避免 17 版 pg_dump 无法备份 18 服务端。恢复脚本当前过滤 `SET transaction_timeout` 以兼容旧服务端，更新说明并分别验证旧备份恢复与新库备份。
-6. 如切换验收失败，停止新应用和 PG18，恢复旧配置、旧镜像与 PG16 原卷。此回滚返回最终切换备份时点；PG18 上线后产生的新写入不能自动落回旧卷，需另行处理，不能承诺零数据损失的降级。
-
-不得用 `compose down -v`、卷 prune 或覆盖旧数据目录完成迁移。最终部署镜像和清理对象见文末 JSON 证据。
-
-## 范围外检查说明
-
-前期只读检查曾记录宿主版本、软件路径及共享 Docker daemon 上的其它项目；这些检查用于确认项目容器变更的边界，不构成本次宿主升级计划。此次未升级或重启宿主服务，也不更新其它项目。
-
-## 安装与验证进展
-
-依赖安装首次因 Deno 2.9 默认 24 小时 `minimumDependencyAge` 拒绝刚发布的 Biome 等包。按用户全面升级至最新的明确要求，本次安装使用一次性 `--minimum-dependency-age=0`；不写入永久禁用配置，依赖仍精确锁定。这是安装策略例外，不代表依赖已通过安全审计或兼容检查。主代理已拉取 `postgres:18.6-alpine`，并完成隔离库恢复；生产迁移现已完成。qB 适配器已有 5.2 的 HTTP 204 登录与 `QBT_SID` 测试，旧 override 的“只能 5.1.2”注释待同步纠正。
-
-主 workspace 共 58 个外部直接依赖已安装；除 `@types/node` 保持官方 24.x 最新 24.19.0，其余更新至查询时 latest。主 `deno audit` 为 0 公告，不涵盖浏览器独立 lock、系统包或实际业务兼容。全 workspace tsc 与 Deno check 通过。首次完整 CI 停在根 deno.json 格式错误，修复后完整 CI **exit 0，3264 通过、4 跳过**；主 npm 安全审计为 0 公告。最终应用镜像 `uhd-media-tool:v0.3.8` 构建 **exit 0**，镜像 ID 为 `sha256:6f4f73d8ea53057cdf5bf4aa2904a360ea953adb1270a7b9f783a757b7e70559`，已正式部署并验收通过。最终页面冒烟 **83 通过、1 跳过**，跳过原因为没有订阅详情数据。
-
-Pi 初次测试因 TypeSafe provider 与 OpenAI 原生 ChatGPT OAuth 新增导致旧计数断言过期，合同已随升级更新为 42 providers / 9 OAuth，并纳入上述通过的完整 CI。另对 **35 份旧 Pi JSONL 会话完成兼容检查并通过**。Pi 提供独立的 `@earendil-works/pi-mcp` 客户端 SDK,本次升级 `pi-agent-core` 不会自动接入外部 MCP 工具；该功能拓展不属于本次依赖升级交付。
-
-qB 5.2.4 候选的真实 API 兼容测试 **3 通过、1 跳过**；该结果不代表用户 PT 下载全链路已经验收，演示实例随后已正式切换并完成旧密文凭据连接验证。
-
-浏览器采用 `camoufox-js` 0.12 与 Playwright 1.60.0 的兼容组合：上游协议对 `viewport.isMobile` 有限制，不能简单提升该独立 Playwright 至主 workspace 的 1.63.0。这是浏览器独立依赖的协议兼容例外，主 workspace 的 Playwright 不降级；已结合实际镜像与安装依赖审计验证。浏览器目标 Node 改为 24.21.0。
-
-浏览器最终纯截图镜像 1.18.0（ID 前缀 `92ea962`）和桌面镜像（ID 前缀 `eb6c8e`）均构建 exit 0。实际安装的 174 个依赖安全审计 0 公告；MCP SDK 1.31 initialize 与原生 SQLite 3.53.4 检查通过。此处 MCP initialize 验证浏览器依赖兼容，不表示应用智能体新增外部 MCP 工具入口。
-
-生产浏览器 profiles/config 的独立副本完成重启前、重启及重启后隔离检查，授权、固定身份保持、cookies、PNG、可信鼠标与 profile 隔离均通过。实际 BrowserService 的 setup / a / b / idle / c / d 六阶段 **25 项通过**，1.18 的原 10 项能力已登记；相关回归 14 个文件、100 个测试以及登记相关 19 个测试通过。SIGKILL 后最近一次落盘以来的新登录会丢失，验证确认能明确识别，不能据此宣称无损恢复。URL 恢复证据缺口见 [工程化检查第 6 节](14-engineering-review.md)，本次没有业务修复。
-
-开发 PG16 → 18.6 正式迁移已完成，88 表行数与内容 fingerprints 全匹配，旧开发卷在验收期间保留，随后按用户授权清理。client18 / server18 隔离备份恢复 E2E 的校验和、映射计数与 Agent 会话恢复通过。生产停写备份及 PG18 迁移完成，89 表的源库与恢复库行数、内容 fingerprints 全一致，56 条迁移齐全。原主密钥与全部非数据库持久挂载（包括浏览器匿名 `/config`）完全一致；旧密文凭据通过新版应用成功连接 qB 5.2.4。API、IO worker 和 Agent worker 均以 UID 10001 存活，HTTP / HTTPS 健康，映射计数吻合，验收期间 error 级日志为 0。源库只读对账设置原为 false，迁移验证后已恢复 false，应用正常重启且健康。最终发布镜像的页面冒烟再次通过：83 通过、1 跳过。
-
-新版生产备份 `/data/backups/20261001T072536Z` 已在隔离 PG18 完成恢复，校验和、映射计数、89 表一致；35 个 Agent 会话文件逐字节 hash 一致。新版开发备份 `.local/backups/dev-pg18-20261001.dump` 也完成隔离恢复，88 表 fingerprints 一致。
-
-执行证据：[版本与锁文件](evidence/2026-10-01-dependencies/upgrade-locks-and-direct-versions.json)、[验证汇总](evidence/2026-10-01-dependencies/upgrade-verification.json)、[最终部署容器](evidence/2026-10-01-dependencies/deployed-containers.json)、[授权清理记录](evidence/2026-10-01-dependencies/upgrade-cleanup.json)。
-
-## 验收后的授权清理与当前恢复路径
-
-用户在验收通过后明确授权：“确认没问题的话，老的备份和老的版本都可以干掉的”。已清理 5 个隔离容器、8 个卷（2 个旧 PG16 卷及 6 个隔离卷）、14 个旧镜像标签，以及旧数据归档、PG16 dump、旧环境配置与回退脚本。旧备份 `20260929T103808Z` 和最终停写阶段备份 `20261001T072253Z` 也已删除。`uhd-media-tool:latest` 已指向新的 v0.3.8 镜像。
-
-当前仅保留上述新版生产和开发 PG18 备份作为恢复依据。其它项目仍使用的共享 `postgres:16-alpine` 镜像保留；宿主服务和其它项目未升级。旧镜像／旧 PG16 卷回退路径已退休，发生故障时应使用新版备份恢复 PG18。
-
-本次依赖、容器与数据库升级及部署验收完成；已有业务和工程问题仍以 [工程化检查](14-engineering-review.md) 与 MP02–MP14 的待办为准，本次没有继续功能开发，也不据此宣称全部业务无缺陷。

docs/plan/18-organize-release.md

@@ -1,126 +0,0 @@
-# 媒体整理与下载发布记录
-
-当前生产应用为 **v0.3.13**，健康检查通过，见下方新增发布记录。
-
-## v0.3.9 媒体整理发布
-
-2026-10-01，Asia/Shanghai。用户授权部署，应用发布为 **v0.3.9**，健康检查通过。分类规则、整理来源、目录快照、手动存量和文件管理入口一起发布。详细行为见 [整理手册](../runbook/organize.md)。
-
-## 发布范围与来源
-
-- 版本：workspace / server / web 0.3.9；前端 `version.json` 为 v0.3.9，健康接口为 0.3.9。
-- 源码：HEAD `8013196` 加用户已授权的工作区修改，未创建提交。镜像标记 `8013196-dirty-121ab989fb4a427b`；对应源码文件指纹 `121ab989fb4a427b`，完整值保存在本地发布证据。
-- 镜像：`uhd-media-tool:v0.3.9`，ID `sha256:4db9dda97358a5adc5e6f3472d88b4cd05d5522eb6183663f2659d86b5401163`。
-- 迁移：`0059_organize_source_snapshot`；新增持久快照表，已有 settings 读取时补分类 YAML 和空来源列表。发布不会扫描或导入存量。
-- 本次只替换 app 容器。PostgreSQL、qB、浏览器、Caddy 和宿主程序没有更换。
-
-## 发布前检查
-
-引擎 pending / running / sleeping、业务 task queued / running / waiting、整理记录、刮削记录及 Agent 在途数量均为 0。备份完成于 `/data/backups/20261001T095557Z`，数据库、映射和 Agent 会话的 SHA256 校验全部通过。
-
-最终 web 回归 26 文件 / 232 项通过；来源匹配新增根范围、目录边界、全部所选项、最长路径和多候选测试。typecheck、Biome 与 production build 通过。服务端验证范围和完整回归的阶段性失败及复验口径见 [业务对照 §4.3](15-moviepilot-v3-comparison.md#43-本次验证记录)。Docker 构建完成冻结依赖安装、设计 token 检查、web build、server compile 和编译二进制模块图自检。
-
-## 部署后验证
-
-- `umt-app-1` healthy，运行镜像 ID 与发布镜像一致。
-- HTTP 4380 与 Caddy HTTPS 健康均为 ok；API / IO worker / Agent worker 存活，UID 10001。
-- `0059` 已登记，快照表存在；`scanOrganizeSource@1` 进入 maintenance worker，`organize.sources` 可用并启用。
-- 通过现有管理员登录验证分类配置、整理来源、settings 和文件根读取；华语电影、澳大利亚兜底欧美电影、TV 综艺三个预览结果正确。
-- 文件管理、整理记录、设置三个 SPA 地址返回正常；部署静态资产包含文件管理策略选择入口。
-- 验证时来源配置仍为空，留待用户手动选目录；没有新增来源配置或对用户媒体执行整理。
-- 部署后验证窗口内 error 级应用日志为 0。
-
-本次没有运行浏览器截图或完整交互冒烟，用户可以刷新现有页面，进入「设置 → 媒体库与目录」检查分类规则与来源配置，再从文件管理器进入同一整理向导。
-
-本地证据：`.local/deploy-organize-20261001/release.json`、`http-check.json`；构建日志 `/tmp/umt-organize-docker-build.log`。部署配置的版本和源码标记已更新，当次部署配置使用 v0.3.9；下方 v0.3.10 发布已更新配置。
-
-## v0.3.10 手动下载与入库发布
-
-2026-10-01 23:18，Asia/Shanghai。用户授权部署，本批独立手动下载、串流外详情页下载、TMDB／Local 元数据兜底、正常多版本／一次性洗版与订阅完成口径调整已上线。实现、业务边界与回归结果见 [MP 对照 §5.6](15-moviepilot-v3-comparison.md#56-本轮实现与验收已部署-v0310)。
-
-- 应用与前端版本：0.3.10／v0.3.10。镜像 `uhd-media-tool:v0.3.10`，ID `sha256:cbf3081281c75f4e60dba9a9ce18de63b0c5665c66b2b133baebaa7f05aabdd2`。
-- 源码标记：`8013196-dirty-5ecf10d5b4f89432`，HEAD 加用户授权的工作区修改；1552 个源码文件指纹记录保存在本地，部署后逐项复核未变化。没有创建提交。
-- 迁移：`0060_manual_acquisition` 已执行；计划允许无 Slot，下载任务新增 `import_plan_id` 外键并使用 `ON DELETE SET NULL`。
-- 升级前引擎、业务任务、整理、刮削、Agent 在途均为 0；备份 `/data/backups/20261001T151510Z` 的数据库、映射和 Agent 会话 SHA256 校验通过。
-- Docker 构建的冻结依赖、设计 token、web production build、server compile 与空环境二进制自检通过。
-- 只替换 app；PostgreSQL、qB、浏览器、Caddy 等其他容器 ID 保持不变。
-
-部署后 app healthy，运行镜像与构建镜像一致；HTTP／HTTPS 返回 ok，前后端版本一致，API、IO 与 Agent 三个进程运行于 UID 10001。管理员登录及分类／来源／settings／文件根／下载任务／浏览器会话读取通过，3 个分类预览符合原配置。能力目录为 42 项，包含 `metadata.resolve_organize`；线上 OpenAPI 包含详情页资源解析与手动入库选项。
-
-使用 Chromium 在真实生产入口登录，下载面板、计划列表、整理记录、文件管理、设置及媒体库共 6 个页面冒烟通过，无未捕获页面异常或失败 API，并保存截图。部署验证窗口内 error 级应用日志为 0；计划、下载、媒体资产、整理记录和订阅数量均保持一致。没有以验收为由提交下载、洗版或移动用户媒体；实际 PT 下载、外部模型与入库执行仍以真实任务验收为准。
-
-本地证据：`.local/deploy-manual-20261001/release.json`、`source-manifest.json`、`http-check.json`、`ui-check.json` 及页面截图。构建日志 `/tmp/umt-manual-docker-build.log`。`.env.deploy` 已固定 v0.3.10 及本次源码标记，后续普通 Compose 启动使用本版本。
-
-### 4380 自签 HTTPS 入口调整
-
-随后按用户测试要求，将 4380 的宿主端口交给 Caddy：`https://服务器地址:4380` 使用现有 Caddy 内部 CA 证书，443 HTTPS 入口继续保留；app HTTP 仅映射 `127.0.0.1:4381`，容器内仍监听 4380。仅重建 app／Caddy 容器，无镜像升级或新增迁移。配置写入本机 override 与 `.env.deploy`。
-
-4380／443 HTTPS 健康、管理员接口、版本一致及新接口描述验证通过；真实 HTTPS 下 6 个生产页面冒烟通过，无页面异常或失败 API，Chromium 报告 `isSecureContext=true`。证据为同目录 `https-http-check.json`、`https-ui-check.json`、`https-switch.log`，汇入 `release.json`。
-
-## v0.3.11 搜索详情与桌面黑边修复
-
-2026-10-01 23:58，Asia/Shanghai。搜索资源标题现在可以点击，打开与站点工作台相同的详情抽屉；加载完整资源后复用已有详情缓存、按需抓取、简介／规格／截图／文件展示、下载选项与 Agent 入口。抽屉关闭后搜索词、筛选和分页保留。读取失败显示原有错误与重试，打开详情不会提交下载。
-
-- 镜像 `uhd-media-tool:v0.3.11`，ID `sha256:fa54237f250c92bee1436912275cb0b8da97d1b7c9bf9489dc1152144908b944`；源码标记 `8013196-dirty-a2f3f773724cbde4`，1553 个文件的指纹部署后复核一致。
-- 前端 typecheck、Biome、232 项测试通过；Docker 内设计 token、web build、server compile 与空环境二进制自检通过。真实 React 组件验证点击标题、未缓存自动抓取一次、缓存不额外抓取、失败显示与详情下载选项，无实际提交。
-- 切换前业务、引擎和 Agent 在途为 0；备份 `/data/backups/20261001T155308Z` 的数据库、映射与会话校验通过。仅替换 app，数据库迁移仍为 `0060`。4380／443 自签 HTTPS 入口保留。
-- app healthy，前后端版本一致，42 项能力及管理员接口检查通过；6 个 HTTPS 生产页面无异常或失败 API。另使用生产构建、真实缓存资源详情 API 和受控搜索结果验证点击后的简介展示及下载选项；未触发下载。验证窗口内 error 级应用日志为 0。
-
-桌面黑边修复先于应用发布部署。实际视频与 iframe 都为 1280×900，黑边是浏览器窗口未最大化造成：底座初始化脚本把快捷键 XML 按行注释，产生无效 XML，连带最大化规则无法读取。内置完整 `/defaults/umt-labwc.xml` 在底座初始化后覆盖配置，保留既有快捷键／桌面菜单行为，并为窗口设置 `Maximize` 与 `serverDecoration="no"`。配置语法对应 [labwc 窗口规则](https://labwc.github.io/labwc-config.5.html)。
-
-浏览器修复镜像 `umt-browser-desktop:1.18.0-umt.1`，ID `sha256:cf31c83524b260b22c65f39a759771e6861e65a951c89c0382043794aebfadb6`，基于当时运行的 1.18.0 镜像只替换初始化脚本与 XML，基础依赖保持一致；完整构建入口也已包含这两份源码。`.env.deploy` 固定修复标签。浏览器容器 healthy，登录状态卷保留；真实串流前后截图中心线上下黑边从 65／66 像素变为 0／0，画面铺满，视频尺寸保持 1280×900。
-
-发布证据：`.local/deploy-search-detail-20261001/` 中的 `release.json`、`source-manifest.json`、API／页面／搜索检查与截图。桌面证据：`.local/desktop-sizing/` 中的修复前后截图、测量值、有效 XML、补丁构建与发布记录。
-
-
-## v0.3.12 列表分页、搜索历史与首页概况
-
-2026-10-02，本次将表格和卡片列表统一为 `Pagination` + `useListPagination`，自定义详情列表复用 `PaginatedList`。每页 10／20／50／100 条，默认 50 条，浏览器记住选择；筛选和目录变化回到第一页。支持页码、上一页／下一页、已知集合的首页／末页。游标接口仍按需拉取，返回上一页使用缓存；没有总数时准确写「已加载」，不将已加载数量当完整总数。
-
-覆盖整理记录、审计、下载／业务任务、任务流、媒体库／身份／别名、订阅、站点卡片与资源、搜索作品候选与资源、待处理、智能体历史、媒体详情季集／版本／历史、整理预览、来源配置、计划与运行历史、设置里的规则／偏好／路径映射／Passkey，以及文件管理器和目录选择小窗。表格默认共用分页，订阅和整理批量勾选明确按本页操作，跨页已选项目保持可见计数。少量嵌套季集或版本（不超过 10 条）保留展开列表，避免同一项内重复出现翻页工具；首页近期摘要和导航通知预览不做完整列表分页，仍链接到完整页面。
-
-小规模配置 API 跟随游标取齐，保留原返回形状；主要历史列表继续按需游标请求。作品详情的下载、整理和未提交成功的失败计划取消原先 100／100／50 条读取上限，前端分页呈现；这是现有单作品详情接口的完整查询，不新增多套 API。定时运行记录后端只保留最近 50 次，本次分页覆盖其实际保存的记录。聚合作品搜索仍是本地与 TMDB 的候选结果集合（每来源至多 50），资源列表走完整的 `/search/releases` 游标；未扩展 TMDB 跨页搜索业务。目录树接口原有数量截断提示保留，右侧文件列表仍可完整按游标浏览。
-
-搜索历史在当前浏览器按账号隔离保存最近 30 个已搜索关键词，重复搜索前移，搜索页和 Ctrl／⌘ K 共用，支持点击重搜、删除单条与清空；输入过程不写入历史。通知铃铛、角标、浮层、条目、严重度、加载／空／错误状态共用控制台按钮和样式，修正手机边距与暗色角标对比。
-
-首页新增存储和下载器两张概况卡：媒体库／下载目录所在磁盘的剩余、已用、总容量、占用比例与健康状态；各下载器连接状态和上下行速度、全系统进行中任务数。容量按所在文件系统展示，不把共用磁盘的多个目录相加；进行中数量包含等待计划、暂停和异常任务。不可读容量和离线速度显示未知。存储每 60 秒更新、下载器每 15 秒更新，首页只请求一条面板记录，速度和计数由完整汇总提供。详情分别链接运行状态和下载面板。
-
-验证证据：`.local/pagination-release-20261002/` 的类型／测试／格式／浏览器结果、页面截图和构建发布记录；`.local/notification-style/` 的通知前图、首页手机／桌面与离线／容量未知检查。前端 29 文件 242 测试通过；服务端媒体版本 4 项通过，新增跨旧上限的 105 条下载、105 条整理和 51 条失败计划验证。浏览器用受控审计响应验证 10／100 条切换、跨游标下一页、缓存上一页、末页和筛选复位，搜索历史验证刷新、删除、重搜、快捷面板和清空；未执行实际下载或整理。
-
-整理使用方式另完成 MP 固定源码与本项目实际页面对照，结论见 [对照第 6 节](15-moviepilot-v3-comparison.md#6-整理使用方式与文件管理器专项研究2026-10-02)。来源默认一致性、成功移动后重整、向导勾选语义和空配置入口仍待讨论；本次只调整分页，不实施这些业务改动。
-
-## v0.3.13 统一整理弹窗与队列
-
-2026-10-02，用户确认 MP 方案并授权完成本轮与部署。手动、文件管理、下载详情和历史重整共用单表单弹窗，支持电影／剧集、TMDB 搜索或 ID 定位、来源配置、复制／移动、目标路径、本次刮削及可展开预览。只提供「加入整理队列」，后台受理后关闭；部分受理时移除已入队文件，剩余文件再预览。整理页分队列与记录，直接复用原任务引擎；默认队列也展示尚未生成整理记录的下载核验任务。
-
-成功历史跳过遵循 MP：手动入口有成功历史才显示开关，默认关闭，预览与执行同参数；失败／部分成功记录不计入成功数。成功移动历史从媒体库目标重整，失败／复制仍使用源。刮削开关冻结到既有计划，TMDB／Local 与恢复执行均遵守本次值。通知数字角标改为主题 primary 配色，每页条数使用现有 Select。
-
-无新增迁移，沿用 `0060_manual_acquisition`；只发布应用镜像，浏览器、Caddy、PostgreSQL、qB 和宿主版本保持当前状态。部署配置固定 `v0.3.13` 及本次源码指纹。备份、镜像、健康和前后端版本证据记录于 `.local/organize-final-20261002/release.json`。
-
-前端全套与相关服务端回归通过；服务端用隔离数据库／临时文件验证移动后重整、成功跳过、配对字幕、TMDB／Local 刮削开关和任务恢复。类型与格式检查通过。浏览器验证统一 Select、成功历史开关、预览失效、过时 TMDB 回包、受理期关闭行为、部分受理后只提交剩余文件以及手机布局，所有整理写请求均使用拦截响应，未对用户媒体执行整理、移动、替换或刮削。生产构建与应用发布检查同目录保存。
-
-部署后核验：前端 250 项、相关服务端 64 项测试通过；4380 HTTPS 的前后端版本一致，应用 healthy，启动 error 级日志为 0，其它服务容器未替换。生产入口 13 个主页面、媒体详情及整理记录详情冒烟通过，无页面异常或失败 API；刮削队列与关联记录、桌面／手机弹窗和分页交互验证通过。备份 `/data/backups/20261001T184721Z` 三个文件的 SHA256 校验通过。发布文档在验收后补充，此文件不进入 Docker 构建上下文。
-
-业务对照与决策见 [第 6.4／6.5 节](15-moviepilot-v3-comparison.md#64-用户反馈与后续讨论2026-10-02)，使用方式见 [整理手册](../runbook/organize.md)。
-
-## v0.3.14 原地入库（代码完成，未部署）
-
-2026-10-02。用户要求文件管理整理补齐原地处理，参考 MP，并记录改动。新增共用整理弹窗「原地入库 · 保留位置与名称」：已登记媒体库内的选择默认原地登记，可切回复制／移动；下载缓存维持原有方式。源目标相同，隐藏搬运目标／命名／替换选项，识别和预览后仍只加入既有队列。
-
-执行只读核验源文件，不复制、移动、改名、创建目标目录或清理临时文件；复用逐文件账本和最终事务登记视频、字幕、位置、版本与季集覆盖，同作品既有资产不重复创建。结果和重新整理入口识别 `in_place`。不新建目录绑定，不原地洗版；已登记为其它作品或计划后改变的文件会提示失败。可选刮削只针对本次成功主视频，不扫描整个同目录／作品其它版本；只登记库根不写元数据。
-
-MP 固定源码没有独立原地入库模式，其文件管理提供就地刮削；本项目原有刮削仅创建作品条目和元数据文件，未登记视频资产。此改动补齐本工具的资产管理，参考依据见 [业务对照 §6.6](15-moviepilot-v3-comparison.md#66-原地入库补充2026-10-02v0314-待部署)。
-
-迁移 `0061_organize_in_place` 为整理记录 action 和文件结果 mode 增加 `in_place`，未执行生产迁移。workspace／server／web 源码版本准备为 0.3.14；`.env.deploy` 与当前生产保留 v0.3.13。
-
-验证：前端 30 文件／252 项测试，整理计划 22 项、枚举映射 22 项、执行只读核验 3 项通过；前后端类型检查（含新增服务端测试）、格式和差异检查通过。服务端编译及编译二进制模块图自检通过。新增 6 项隔离 PostgreSQL 集成用例覆盖实际文件、重复登记、字幕、季集、刮削范围、变更／归属冲突和只读库根，但当前会话不能连接测试数据库，全部跳过，不计为通过。
-
-前端 production build 的客户端与服务端打包已完成，最后 React Router 预渲染需要监听 localhost，被当前沙箱以 `listen EACCES` 拒绝，完整构建未通过。Docker socket 访问同样被拒绝，因此未构建发布镜像、未部署、未进行生产浏览器验收。早期 Deno Vitest forks／threads 受运行时兼容问题影响；前端与执行核验改用 Node 复验通过，其它结果按实际日志记录。没有修改用户实际媒体文件。
-
-证据位于 `.local/in-place-20261002/`。待有正常部署权限时，先补跑这 6 项数据库用例和完整前端构建，再按现有发布流程备份、检查在途任务、构建新镜像并仅更新 app。不得直接把旧 v0.3.13 镜像改标签当作新版。
-
-### 2026-10-02 补充验证与修复（仍未部署）
-
-开发库补齐迁移至 `0061` 后补跑：原地入库 6 项数据库用例全部通过（其中 1 项原先断言调用了文件管理装配未挂载的整理记录接口，改为直接查记录表）。全 workspace 类型检查、Biome 与各包测试通过：server 840（1 跳过）、adapters 464（3 跳过）、contracts 1053、domain 658、agent 82、db 21、mapping 22、tasks 17、testkit 5、web 252。
-
-同批修复：识别升级链不再用更差的结果（`no_match`）顶替原有歧义候选，与 MP 识别兜底"只在前一步没有结果时采用"一致；作品目录刮削对 `bluray_dir` 资产直接以原盘目录为刮削根（MP 同做法）；`metadata.resolve_organize` 补登记到入库排障 Skill 与能力地图；`db/src/types.ts` 按迁移重新生成，contracts 整理动作枚举顺序与数据库对齐。前端统一通知铃铛弹层与站点卡片样式。前端完整 production build 与镜像构建仍按上文发布流程执行。

docs/plan/evidence/2026-10-01-dependencies/additional-metadata.json

@@ -1,466 +0,0 @@
-{
-  "jsr_path": {
-    "scope": "std",
-    "name": "path",
-    "latest": "1.1.6",
-    "versions": {
-      "0.204.0": {
-        "createdAt": "2024-04-24T06:22:04.054652Z"
-      },
-      "0.219.0": {
-        "createdAt": "2024-03-08T07:11:36.056284Z"
-      },
-      "1.1.6": {
-        "createdAt": "2026-06-30T10:24:29.944663Z"
-      },
-      "0.213.0": {
-        "createdAt": "2024-01-26T08:16:46.618940Z"
-      },
-      "1.0.0-rc.3": {
-        "createdAt": "2024-07-02T11:46:57.873141Z"
-      },
-      "0.218.1": {
-        "createdAt": "2024-03-01T03:44:36.998490Z"
-      },
-      "0.212.0": {
-        "createdAt": "2024-01-16T10:22:10.013057Z"
-      },
-      "1.1.5": {
-        "createdAt": "2026-05-26T09:57:13.079190Z"
-      },
-      "0.205.0": {
-        "createdAt": "2024-04-24T06:20:40.855663Z"
-      },
-      "0.198.0": {
-        "createdAt": "2024-04-24T06:54:01.469929Z"
-      },
-      "1.0.3": {
-        "createdAt": "2024-08-26T08:37:13.530991Z"
-      },
-      "1.0.0-rc.4": {
-        "createdAt": "2024-07-09T06:17:02.990512Z"
-      },
-      "0.211.0": {
-        "createdAt": "2024-04-23T14:29:25.560075Z"
-      },
-      "1.1.3": {
-        "createdAt": "2025-11-17T08:24:43.343051Z"
-      },
-      "0.223.0": {
-        "createdAt": "2024-04-16T11:36:08.884192Z"
-      },
-      "1.1.4": {
-        "createdAt": "2025-12-24T07:18:31.658575Z"
-      },
-      "0.216.0": {
-        "createdAt": "2024-02-16T06:12:39.561859Z"
-      },
-      "0.214.0": {
-        "createdAt": "2024-02-06T09:55:45.141761Z"
-      },
-      "0.225.2": {
-        "createdAt": "2024-06-03T06:47:44.310028Z"
-      },
-      "0.218.0": {
-        "createdAt": "2024-02-29T23:28:16.999233Z"
-      },
-      "0.196.0": {
-        "createdAt": "2024-04-25T05:40:21.193428Z"
-      },
-      "0.203.0": {
-        "createdAt": "2024-04-24T06:33:50.897004Z"
-      },
-      "0.197.0": {
-        "createdAt": "2024-04-25T05:37:18.401737Z"
-      },
-      "0.215.0": {
-        "createdAt": "2024-02-08T21:57:13.585426Z"
-      },
-      "0.213.1": {
-        "createdAt": "2024-01-26T19:07:59.609934Z"
-      },
-      "1.0.7": {
-        "createdAt": "2024-10-24T10:27:26.548716Z"
-      },
-      "1.0.8": {
-        "createdAt": "2024-11-01T10:38:03.318975Z"
-      },
-      "1.0.6": {
-        "createdAt": "2024-09-12T17:00:19.414985Z"
-      },
-      "1.0.0": {
-        "createdAt": "2024-07-12T10:50:37.927014Z"
-      },
-      "0.225.1": {
-        "createdAt": "2024-05-16T11:15:16.445309Z"
-      },
-      "0.217.0": {
-        "createdAt": "2024-02-22T05:47:42.790539Z"
-      },
-      "0.207.0": {
-        "createdAt": "2024-04-24T06:15:28.582574Z"
-      },
-      "1.0.5": {
-        "createdAt": "2024-09-12T10:26:27.814650Z"
-      },
-      "1.0.2": {
-        "createdAt": "2024-07-26T10:49:53.428735Z"
-      },
-      "1.0.1": {
-        "createdAt": "2024-07-19T11:25:58.680433Z"
-      },
-      "0.200.0": {
-        "createdAt": "2024-04-24T06:44:40.616320Z"
-      },
-      "1.0.9": {
-        "createdAt": "2025-04-24T06:23:27.551197Z"
-      },
-      "0.224.0": {
-        "createdAt": "2024-04-25T07:39:27.314783Z"
-      },
-      "0.221.0": {
-        "createdAt": "2024-03-28T00:04:19.321412Z"
-      },
-      "1.1.2": {
-        "createdAt": "2025-08-13T12:38:19.728538Z"
-      },
-      "0.210.0": {
-        "createdAt": "2023-12-22T11:26:40.901028Z"
-      },
-      "0.220.1": {
-        "createdAt": "2024-03-15T02:40:27.584710Z"
-      },
-      "0.206.0": {
-        "createdAt": "2024-04-24T06:19:17.889544Z"
-      },
-      "1.1.1": {
-        "createdAt": "2025-07-01T07:43:30.791791Z"
-      },
-      "0.222.1": {
-        "createdAt": "2024-04-11T11:12:26.247290Z"
-      },
-      "1.0.0-rc.2": {
-        "createdAt": "2024-06-17T09:56:55.865334Z"
-      },
-      "0.219.1": {
-        "createdAt": "2024-03-08T09:39:27.810189Z"
-      },
-      "0.218.2": {
-        "createdAt": "2024-03-01T04:33:16.720737Z"
-      },
-      "1.0.0-rc.1": {
-        "createdAt": "2024-06-06T11:30:54.416826Z"
-      },
-      "1.0.4": {
-        "createdAt": "2024-09-04T10:41:45.785792Z"
-      },
-      "1.1.0": {
-        "createdAt": "2025-05-27T07:30:38.330934Z"
-      },
-      "0.225.0": {
-        "yanked": true,
-        "createdAt": "2024-04-29T16:05:05.405226Z"
-      },
-      "0.208.0": {
-        "createdAt": "2024-04-24T06:08:36.973193Z"
-      },
-      "0.199.0": {
-        "createdAt": "2024-04-24T06:50:53.628212Z"
-      },
-      "0.201.0": {
-        "createdAt": "2024-04-24T06:39:27.098273Z"
-      },
-      "0.222.0": {
-        "createdAt": "2024-04-11T05:45:10.832896Z"
-      },
-      "0.209.0": {
-        "createdAt": "2024-04-23T15:22:26.240920Z"
-      },
-      "0.202.0": {
-        "createdAt": "2024-04-24T06:37:25.846681Z"
-      }
-    }
-  },
-  "jsr_internal": {
-    "scope": "std",
-    "name": "internal",
-    "latest": "1.0.14",
-    "versions": {
-      "0.197.0": {
-        "createdAt": "2024-04-25T05:37:04.008388Z"
-      },
-      "0.202.0": {
-        "createdAt": "2024-04-24T06:37:17.278025Z"
-      },
-      "1.0.9": {
-        "createdAt": "2025-07-01T07:43:25.269328Z"
-      },
-      "1.0.10": {
-        "createdAt": "2025-07-22T13:14:56.088744Z"
-      },
-      "0.216.0": {
-        "createdAt": "2024-02-16T06:12:14.762854Z"
-      },
-      "1.0.0": {
-        "createdAt": "2024-05-22T11:08:19.499017Z"
-      },
-      "0.215.0": {
-        "createdAt": "2024-02-08T21:56:50.207994Z"
-      },
-      "0.205.0": {
-        "createdAt": "2024-04-24T06:20:31.113119Z"
-      },
-      "0.225.1": {
-        "createdAt": "2024-05-16T11:15:06.195844Z"
-      },
-      "0.225.0": {
-        "yanked": true,
-        "createdAt": "2024-04-29T16:04:59.888254Z"
-      },
-      "0.214.0": {
-        "createdAt": "2024-02-06T05:50:11.102748Z"
-      },
-      "0.213.1": {
-        "createdAt": "2024-01-26T19:07:53.131686Z"
-      },
-      "0.201.0": {
-        "createdAt": "2024-04-24T06:39:20.704773Z"
-      },
-      "0.196.0": {
-        "createdAt": "2024-04-25T05:40:15.000809Z"
-      },
-      "1.0.5": {
-        "createdAt": "2024-11-01T10:38:01.932266Z"
-      },
-      "0.207.0": {
-        "createdAt": "2024-04-24T06:15:05.941336Z"
-      },
-      "1.0.6": {
-        "createdAt": "2025-03-25T07:17:06.921973Z"
-      },
-      "0.199.0": {
-        "createdAt": "2024-04-24T06:50:41.464255Z"
-      },
-      "1.0.13": {
-        "createdAt": "2026-04-20T13:57:46.913983Z"
-      },
-      "0.206.0": {
-        "createdAt": "2024-04-24T06:19:08.538414Z"
-      },
-      "0.208.0": {
-        "createdAt": "2024-04-24T06:08:11.707171Z"
-      },
-      "1.0.8": {
-        "createdAt": "2025-05-27T07:30:44.423577Z"
-      },
-      "0.204.0": {
-        "createdAt": "2024-04-24T06:21:55.527004Z"
-      },
-      "0.213.0": {
-        "createdAt": "2024-01-26T08:09:52.150304Z"
-      },
-      "0.198.0": {
-        "createdAt": "2024-04-24T06:53:55.032868Z"
-      },
-      "1.0.3": {
-        "createdAt": "2024-09-04T10:41:43.017156Z"
-      },
-      "1.0.14": {
-        "createdAt": "2026-05-26T09:57:07.159939Z"
-      },
-      "0.203.0": {
-        "createdAt": "2024-04-24T06:33:28.861052Z"
-      },
-      "1.0.7": {
-        "createdAt": "2025-05-13T07:25:42.233848Z"
-      },
-      "1.0.2": {
-        "createdAt": "2024-08-26T08:37:19.813343Z"
-      },
-      "0.200.0": {
-        "createdAt": "2024-04-24T06:44:21.451197Z"
-      },
-      "1.0.12": {
-        "createdAt": "2025-10-07T08:24:12.939816Z"
-      },
-      "1.0.4": {
-        "createdAt": "2024-09-24T10:31:08.642379Z"
-      },
-      "0.224.0": {
-        "createdAt": "2024-04-25T07:39:12.537935Z"
-      },
-      "1.0.1": {
-        "createdAt": "2024-07-02T11:47:12.495023Z"
-      }
-    }
-  },
-  "pi_release": {
-    "tag_name": "v0.99.2",
-    "published_at": "2026-09-30T19:30:47Z",
-    "html_url": "https://github.com/earendil-works/pi/releases/tag/v0.99.2"
-  },
-  "camofox_118_manifest": {
-    "name": "@askjo/camofox-browser",
-    "version": "1.18.0",
-    "engines": {
-      "node": ">=22"
-    },
-    "dependencies": {
-      "better-sqlite3": "13.0.1",
-      "camoufox-js": "0.11.5",
-      "express": "^5.2.1",
-      "playwright-core": "^1.58.0",
-      "prom-client": "^15.1.3",
-      "swagger-jsdoc": "^6.2.8"
-    },
-    "optionalDependencies": {
-      "@modelcontextprotocol/sdk": "^1.30.0"
-    },
-    "overrides": {
-      "@jest/reporters": {
-        "glob": "13.0.6"
-      },
-      "babel-plugin-istanbul": {
-        "test-exclude": "8.0.0"
-      },
-      "jest-config": {
-        "glob": "13.0.6"
-      },
-      "jest-runtime": {
-        "glob": "13.0.6"
-      },
-      "swagger-jsdoc": {
-        "glob": "13.0.6"
-      },
-      "qs": "6.16.0",
-      "fast-uri": "3.1.8",
-      "hono": "4.13.5"
-    }
-  },
-  "static_ffmpeg_release": {
-    "error": "HTTP Error 404: Not Found"
-  },
-  "pixelflux": {
-    "version": "2.1.0",
-    "requires_python": ">=3.9",
-    "project_urls": {
-      "Homepage": "https://github.com/selkies-project/pixelflux"
-    }
-  },
-  "selkies": {
-    "version": "2.0.0",
-    "requires_python": ">=3.9",
-    "project_urls": {
-      "Bug Tracker": "https://github.com/selkies-project/selkies/issues",
-      "Homepage": "https://github.com/selkies-project/selkies"
-    }
-  },
-  "labwc_release": {
-    "tag_name": "0.20.2",
-    "published_at": "2026-08-21T17:28:56Z",
-    "html_url": "https://github.com/labwc/labwc/releases/tag/0.20.2"
-  },
-  "rr7": {
-    "name": "react-router",
-    "version": "7.18.4",
-    "engines": {
-      "node": ">=20.0.0"
-    },
-    "peerDependencies": {
-      "react": ">=18",
-      "react-dom": ">=18"
-    }
-  },
-  "rrdev7": {
-    "name": "@react-router/dev",
-    "version": "7.18.4",
-    "engines": {
-      "node": ">=20.0.0"
-    },
-    "peerDependencies": {
-      "vite": "^5.1.0 || ^6.0.0 || ^7.0.0 || ^8.0.0",
-      "wrangler": "^3.28.2 || ^4.0.0",
-      "typescript": "^5.1.0 || ^6.0.0",
-      "react-router": "^7.18.4",
-      "@vitejs/plugin-rsc": "~0.5.21",
-      "@react-router/serve": "^7.18.4",
-      "react-server-dom-webpack": "^19.2.3"
-    }
-  },
-  "rrnode7": {
-    "name": "@react-router/node",
-    "version": "7.18.4",
-    "engines": {
-      "node": ">=20.0.0"
-    },
-    "peerDependencies": {
-      "typescript": "^5.1.0 || ^6.0.0",
-      "react-router": "7.18.4"
-    }
-  },
-  "browser:better-sqlite3": {
-    "name": "better-sqlite3",
-    "version": "13.0.3",
-    "engines": {
-      "node": ">=22"
-    }
-  },
-  "browser:camoufox-js": {
-    "name": "camoufox-js",
-    "version": "0.12.0",
-    "engines": {
-      "node": ">= 22"
-    },
-    "peerDependencies": {
-      "playwright-core": "<1.61.0"
-    }
-  },
-  "browser:express": {
-    "name": "express",
-    "version": "5.2.1",
-    "engines": {
-      "node": ">= 18"
-    }
-  },
-  "browser:playwright-core": {
-    "name": "playwright-core",
-    "version": "1.63.0",
-    "engines": {
-      "node": ">=20"
-    }
-  },
-  "browser:prom-client": {
-    "name": "prom-client",
-    "version": "15.1.3",
-    "engines": {
-      "node": "^16 || ^18 || >=20"
-    }
-  },
-  "browser:swagger-jsdoc": {
-    "name": "swagger-jsdoc",
-    "version": "6.3.0",
-    "engines": {
-      "node": ">=20.0.0"
-    }
-  },
-  "pi_mcp": {
-    "name": "@earendil-works/pi-mcp",
-    "version": "0.99.2",
-    "engines": {
-      "node": ">=22.19.0"
-    },
-    "dependencies": {
-      "cross-spawn": "7.0.6"
-    }
-  },
-  "pi_codemode": {
-    "name": "@earendil-works/pi-codemode",
-    "version": "0.99.2",
-    "engines": {
-      "node": ">=22.19.0"
-    },
-    "dependencies": {
-      "quickjs-wasi": "3.6.2"
-    }
-  }
-}

docs/plan/evidence/2026-10-01-dependencies/browser-audit.json

@@ -1,353 +0,0 @@
-{
-  "auditReportVersion": 2,
-  "vulnerabilities": {
-    "adm-zip": {
-      "name": "adm-zip",
-      "severity": "high",
-      "isDirect": false,
-      "via": [
-        {
-          "source": 1193734,
-          "name": "adm-zip",
-          "dependency": "adm-zip",
-          "title": "adm-zip extraction follows destination symlinks, allowing arbitrary file overwrite",
-          "url": "https://github.com/advisories/GHSA-vwc7-r8mq-g2x9",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-59"
-          ],
-          "cvss": {
-            "score": 6.5,
-            "vectorString": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N"
-          },
-          "range": ">=0.5.9 <=0.6.0"
-        },
-        {
-          "source": 1239030,
-          "name": "adm-zip",
-          "dependency": "adm-zip",
-          "title": "adm-zip: Uncontrolled memory allocation via the declared uncompressed size (DoS)",
-          "url": "https://github.com/advisories/GHSA-7q85-xj36-vmfc",
-          "severity": "high",
-          "cwe": [
-            "CWE-789"
-          ],
-          "cvss": {
-            "score": 7.5,
-            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
-          },
-          "range": "<0.6.1"
-        },
-        {
-          "source": 1240032,
-          "name": "adm-zip",
-          "dependency": "adm-zip",
-          "title": "adm-zip: Decompression-bomb protection (fix for CVE-2026-39244) can be bypassed by declaring uncompressed size as 0",
-          "url": "https://github.com/advisories/GHSA-rcw4-f5rp-g42v",
-          "severity": "high",
-          "cwe": [
-            "CWE-409"
-          ],
-          "cvss": {
-            "score": 7.5,
-            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
-          },
-          "range": "<=0.6.0"
-        },
-        {
-          "source": 1240034,
-          "name": "adm-zip",
-          "dependency": "adm-zip",
-          "title": "adm-zip extraction preserves SUID/SGID bits from untrusted ZIPs -> local privilege escalation",
-          "url": "https://github.com/advisories/GHSA-j5f4-cc29-5x44",
-          "severity": "high",
-          "cwe": [
-            "CWE-732"
-          ],
-          "cvss": {
-            "score": 7.1,
-            "vectorString": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N"
-          },
-          "range": "<=0.6.0"
-        },
-        {
-          "source": 1240064,
-          "name": "adm-zip",
-          "dependency": "adm-zip",
-          "title": "adm-zip: Duplicate ZIP entry names: getEntry() and extractAllTo() resolve to different content",
-          "url": "https://github.com/advisories/GHSA-p634-w6r4-rjp2",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-436",
-            "CWE-696"
-          ],
-          "cvss": {
-            "score": 5.9,
-            "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N"
-          },
-          "range": "<=0.6.0"
-        },
-        {
-          "source": 1240065,
-          "name": "adm-zip",
-          "dependency": "adm-zip",
-          "title": "adm-zip: getDataAsync() bypasses the maxOutputLength size guard enforced by the synchronous getData() path",
-          "url": "https://github.com/advisories/GHSA-c6fg-446q-cg94",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-400",
-            "CWE-770"
-          ],
-          "cvss": {
-            "score": 5.3,
-            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L"
-          },
-          "range": "<=0.6.0"
-        },
-        {
-          "source": 1240066,
-          "name": "adm-zip",
-          "dependency": "adm-zip",
-          "title": "adm-zip: Unhandled error event in async DEFLATE decompression crashes Node.js process (DoS)",
-          "url": "https://github.com/advisories/GHSA-8238-w5pm-2374",
-          "severity": "high",
-          "cwe": [
-            "CWE-248",
-            "CWE-400"
-          ],
-          "cvss": {
-            "score": 7.5,
-            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
-          },
-          "range": "<=0.6.0"
-        }
-      ],
-      "effects": [],
-      "range": "<=0.6.0",
-      "nodes": [
-        "node_modules/adm-zip"
-      ],
-      "fixAvailable": true
-    },
-    "brace-expansion": {
-      "name": "brace-expansion",
-      "severity": "high",
-      "isDirect": false,
-      "via": [
-        {
-          "source": 1240103,
-          "name": "brace-expansion",
-          "dependency": "brace-expansion",
-          "title": "brace-expansion: Quadratic-time expansion of the `{a},b}` rewrite causes CPU denial of service",
-          "url": "https://github.com/advisories/GHSA-q2hr-2g5m-vwhr",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-400",
-            "CWE-407"
-          ],
-          "cvss": {
-            "score": 5.3,
-            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L"
-          },
-          "range": ">=4.0.0 <5.0.12"
-        },
-        {
-          "source": 1240107,
-          "name": "brace-expansion",
-          "dependency": "brace-expansion",
-          "title": "brace-expansion: DoS via uncontrolled recursion on nested brace groups causing stack exhaustion",
-          "url": "https://github.com/advisories/GHSA-qhr7-859c-m2p7",
-          "severity": "high",
-          "cwe": [
-            "CWE-400",
-            "CWE-674"
-          ],
-          "cvss": {
-            "score": 7.5,
-            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
-          },
-          "range": ">=4.0.0 <5.0.11"
-        },
-        {
-          "source": 1240111,
-          "name": "brace-expansion",
-          "dependency": "brace-expansion",
-          "title": "brace-expansion: DoS via uncontrolled recursion in parseCommaParts causing stack exhaustion",
-          "url": "https://github.com/advisories/GHSA-6j4f-fj2g-mc7p",
-          "severity": "high",
-          "cwe": [
-            "CWE-400",
-            "CWE-674"
-          ],
-          "cvss": {
-            "score": 7.5,
-            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H"
-          },
-          "range": ">=4.0.0 <5.0.10"
-        }
-      ],
-      "effects": [],
-      "range": "4.0.0 - 5.0.11",
-      "nodes": [
-        "node_modules/brace-expansion"
-      ],
-      "fixAvailable": true
-    },
-    "fast-uri": {
-      "name": "fast-uri",
-      "severity": "moderate",
-      "isDirect": false,
-      "via": [
-        {
-          "source": 1240091,
-          "name": "fast-uri",
-          "dependency": "fast-uri",
-          "title": "fast-uri vulnerable to inconsistent host case normalization via percent-encoded octets",
-          "url": "https://github.com/advisories/GHSA-hrr3-gc8f-f4qj",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-178"
-          ],
-          "cvss": {
-            "score": 4.8,
-            "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N"
-          },
-          "range": ">=3.0.0 <3.1.8"
-        }
-      ],
-      "effects": [],
-      "range": "3.0.0 - 3.1.7",
-      "nodes": [
-        "node_modules/fast-uri"
-      ],
-      "fixAvailable": true
-    },
-    "hono": {
-      "name": "hono",
-      "severity": "moderate",
-      "isDirect": false,
-      "via": [
-        {
-          "source": 1240640,
-          "name": "hono",
-          "dependency": "hono",
-          "title": "hono/jsx renders plain strings unescaped in boundary components, leading to XSS",
-          "url": "https://github.com/advisories/GHSA-hxh3-vqpv-xpqv",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-79"
-          ],
-          "cvss": {
-            "score": 4.7,
-            "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N"
-          },
-          "range": "<4.13.7"
-        }
-      ],
-      "effects": [],
-      "range": "<4.13.7",
-      "nodes": [
-        "node_modules/hono"
-      ],
-      "fixAvailable": true
-    },
-    "ip-address": {
-      "name": "ip-address",
-      "severity": "moderate",
-      "isDirect": false,
-      "via": [
-        {
-          "source": 1239948,
-          "name": "ip-address",
-          "dependency": "ip-address",
-          "title": "ip-address: Address6.isLinkLocal() recognizes fe80::/64 rather than fe80::/10, allowing SSRF and trust-boundary bypass to on-link hosts",
-          "url": "https://github.com/advisories/GHSA-rpw4-54j3-4h4q",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-697",
-            "CWE-918"
-          ],
-          "cvss": {
-            "score": 0,
-            "vectorString": null
-          },
-          "range": "<=10.5.0"
-        },
-        {
-          "source": 1239949,
-          "name": "ip-address",
-          "dependency": "ip-address",
-          "title": "ip-address: no classifier recognizes the NAT64 local-use range 64:ff9b:1::/48, allowing SSRF and trust-boundary bypass",
-          "url": "https://github.com/advisories/GHSA-2vr4-cq9g-pvrc",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-918"
-          ],
-          "cvss": {
-            "score": 0,
-            "vectorString": null
-          },
-          "range": ">=10.2.0 <=10.5.0"
-        },
-        {
-          "source": 1240097,
-          "name": "ip-address",
-          "dependency": "ip-address",
-          "title": "ip-address: isInSubnet() and isHostInSubnet() compare addresses of different families as if they shared an address space, allowing an allowlist check to admit an address outside its range",
-          "url": "https://github.com/advisories/GHSA-j6r3-76f7-8jcv",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-697",
-            "CWE-843"
-          ],
-          "cvss": {
-            "score": 0,
-            "vectorString": null
-          },
-          "range": "<=10.7.0"
-        },
-        {
-          "source": 1240098,
-          "name": "ip-address",
-          "dependency": "ip-address",
-          "title": "ip-address: Address6 builds a parse diagnostic proportional to the input with no length bound, allowing a single long string to stall or crash the process",
-          "url": "https://github.com/advisories/GHSA-h3mg-xc3c-68pw",
-          "severity": "moderate",
-          "cwe": [
-            "CWE-400",
-            "CWE-770"
-          ],
-          "cvss": {
-            "score": 0,
-            "vectorString": null
-          },
-          "range": "<=10.7.0"
-        }
-      ],
-      "effects": [],
-      "range": "<=10.7.0",
-      "nodes": [
-        "node_modules/ip-address"
-      ],
-      "fixAvailable": true
-    }
-  },
-  "metadata": {
-    "vulnerabilities": {
-      "info": 0,
-      "low": 0,
-      "moderate": 3,
-      "high": 2,
-      "critical": 0,
-      "total": 5
-    },
-    "dependencies": {
-      "prod": 171,
-      "dev": 501,
-      "optional": 84,
-      "peer": 1,
-      "peerOptional": 0,
-      "total": 680
-    }
-  }
-}

docs/plan/evidence/2026-10-01-dependencies/deployed-containers.json

@@ -1,51 +0,0 @@
-[
-  {
-    "name": "umt-app-1",
-    "image": "uhd-media-tool:v0.3.8",
-    "imageId": "sha256:6f4f73d8ea53057cdf5bf4aa2904a360ea953adb1270a7b9f783a757b7e70559",
-    "health": "healthy",
-    "status": "running"
-  },
-  {
-    "name": "umt-postgres-1",
-    "image": "postgres:18.6-alpine@sha256:77f585114c32fbca283dc835b0596f4e52b51b4c6662d7810b2f4084f60a1873",
-    "imageId": "sha256:77f585114c32fbca283dc835b0596f4e52b51b4c6662d7810b2f4084f60a1873",
-    "health": "healthy",
-    "status": "running"
-  },
-  {
-    "name": "umt-dev-postgres-1",
-    "image": "postgres:18.6-alpine@sha256:77f585114c32fbca283dc835b0596f4e52b51b4c6662d7810b2f4084f60a1873",
-    "imageId": "sha256:77f585114c32fbca283dc835b0596f4e52b51b4c6662d7810b2f4084f60a1873",
-    "health": "healthy",
-    "status": "running"
-  },
-  {
-    "name": "umt-camofox-1",
-    "image": "umt-browser-desktop:1.18.0",
-    "imageId": "sha256:eb6c8e8e43e573ad5e3223619b77328e12fb54fe40c283b9de02c7f6d03f5cda",
-    "health": "healthy",
-    "status": "running"
-  },
-  {
-    "name": "umt-qbittorrent-1",
-    "image": "lscr.io/linuxserver/qbittorrent:5.2.4@sha256:b522f9f4b769f8f36d49d22d5eb6a92e9aa18904c6a1830b1439df511ec21983",
-    "imageId": "sha256:b522f9f4b769f8f36d49d22d5eb6a92e9aa18904c6a1830b1439df511ec21983",
-    "health": null,
-    "status": "running"
-  },
-  {
-    "name": "umt-caddy-1",
-    "image": "caddy:2.11.4-alpine@sha256:6aeddd44c3078b0f9a35206472a11420648a79c184603ef95957d0a20044cb2b",
-    "imageId": "sha256:6aeddd44c3078b0f9a35206472a11420648a79c184603ef95957d0a20044cb2b",
-    "health": null,
-    "status": "running"
-  },
-  {
-    "name": "umt-proxy-relay-1",
-    "image": "alpine/socat:1.8.1.3@sha256:5ffbd6ae916cbad86a58fabe0d6d5a6fd5c2b47ddf031e82996baac9300e732f",
-    "imageId": "sha256:5ffbd6ae916cbad86a58fabe0d6d5a6fd5c2b47ddf031e82996baac9300e732f",
-    "health": null,
-    "status": "running"
-  }
-]

docs/plan/evidence/2026-10-01-dependencies/direct-dependencies.csv

@@ -1,59 +0,0 @@
-package,declared,locked,registry_latest,candidate,decision
-@biomejs/biome,2.5.14,2.5.14,2.5.15,2.5.15,候选升级，未验证
-@earendil-works/pi-agent-core,0.87.1,0.87.1,0.99.2,0.99.2,同步升级并验证嵌入接口；另评估 pi-mcp SDK
-@earendil-works/pi-ai,0.87.1,0.87.1,0.99.2,0.99.2,同步升级并验证嵌入接口；另评估 pi-mcp SDK
-@fontsource-variable/inter-tight,^5.2.7,5.3.0,5.3.0,5.3.0,保持
-@fontsource-variable/space-grotesk,^5.2.10,5.3.0,5.3.0,5.3.0,保持
-@hono/swagger-ui,0.6.1,0.6.1,0.6.1,0.6.1,保持
-@hono/zod-openapi,1.6.3,1.6.3,1.6.3,1.6.3,保持
-@modelcontextprotocol/sdk,1.30.1,1.30.1,1.31.0,1.31.0,候选升级，未验证
-@react-router/dev,7.12.0,7.12.0,8.4.0,7.18.4,先同主版本安全修复；8.4.0 另评估
-@react-router/node,7.12.0,7.12.0,8.4.0,7.18.4,先同主版本安全修复；8.4.0 另评估
-@simplewebauthn/browser,^13.3.0,13.3.0,14.0.0,14.0.0,独立兼容评估后决定，不直接更新
-@simplewebauthn/server,13.3.3,13.3.3,14.0.3,14.0.3,独立兼容评估后决定，不直接更新
-@tailwindcss/vite,^4.1.13,4.3.3,4.3.3,4.3.3,保持
-@tanstack/react-query,^5.90.21,5.104.0,5.104.0,5.104.0,保持
-@types/node,24.19.0,24.19.0,26.6.3,24.x,维持与 Node 24 兼容目标；不跟随 26
-@types/nunjucks,3.2.6,3.2.6,3.2.6,3.2.6,保持
-@types/pg,8.23.1,8.23.1,8.23.1,8.23.1,保持
-@types/react,^19.2.7,19.3.0,19.3.0,19.3.0,保持
-@types/react-dom,^19.2.3,19.3.0,19.3.0,19.3.0,保持
-@xmldom/xmldom,0.9.12,0.9.12,0.9.12,0.9.12,保持
-cheerio,1.2.0,1.2.0,1.2.0,1.2.0,保持
-class-variance-authority,~0.7.1,0.7.1,0.7.1,0.7.1,保持
-clsx,^2.1.1,2.1.1,2.1.1,2.1.1,保持
-date-fns,^4.1.0,4.4.0,4.4.0,4.4.0,保持
-fast-xml-parser,5.11.1,5.11.1,5.11.2,5.11.2,候选升级，未验证
-hash-wasm,4.12.0,4.12.0,4.12.0,4.12.0,保持
-hono,4.13.9,4.13.9,4.13.12,4.13.12,候选升级，未验证
-isbot,^5.1.31,5.2.2,5.2.2,5.2.2,保持
-jpeg-js,0.4.4,0.4.4,0.4.4,0.4.4,保持
-kysely,0.29.6,0.29.6,0.29.6,0.29.6,保持
-lucide-react,0.576,0.576.0,1.49.0,1.49.0,独立兼容评估后决定，不直接更新
-next-themes,~0.4.6,0.4.6,0.4.6,0.4.6,保持
-nunjucks,3.2.4,3.2.4,3.2.4,3.2.4,保持
-openworkflow,0.10.1,0.10.1,0.10.1,0.10.1,保持
-pg,8.23.0,8.23.0,8.23.1,8.23.1,候选升级，未验证
-pino,10.3.1,10.3.1,10.3.1,10.3.1,保持
-pino-pretty,13.1.3,13.1.3,13.1.3,13.1.3,保持
-playwright-core,1.63.0,1.63.0,1.63.0,1.63.0,保持
-postgres,3.4.9,3.4.9,3.4.9,3.4.9,保持
-qr-code-styling,^1.9.2,1.9.2,1.9.2,1.9.2,保持
-radix-ui,^1.4.3,1.6.7,1.6.7,1.6.7,保持
-react,^19.2.4,19.3.0,19.3.0,19.3.0,保持
-react-day-picker,^10.0.1,10.0.1,10.0.2,10.0.2,候选升级，未验证
-react-dom,^19.2.4,19.3.0,19.3.0,19.3.0,保持
-react-router,7.12.0,7.12.0,8.4.0,7.18.4,先同主版本安全修复；8.4.0 另评估
-recharts,^3.10.1,3.10.1,3.10.1,3.10.1,保持
-sonner,^2.0.7,2.0.8,2.0.8,2.0.8,保持
-tailwind-merge,^3.5.0,3.7.0,3.7.0,3.7.0,保持
-tailwindcss,^4.1.13,4.3.3,4.3.3,4.3.3,保持
-tw-animate-css,^1.4.0,1.4.0,1.4.0,1.4.0,保持
-typebox,1.3.27,1.3.27,1.3.34,1.3.34,候选升级，未验证
-typescript,7.0.2,7.0.2,7.0.2,7.0.2,保持
-vite,^7.1.7,7.3.6,8.3.1,8.3.1,独立兼容评估后决定，不直接更新
-vite-tsconfig-paths,^5.1.4,5.1.4,6.1.1,6.1.1,独立兼容评估后决定，不直接更新
-vitest,5.0.2,5.0.2,5.0.3,5.0.3,候选升级，未验证
-xpath,0.0.34,0.0.34,0.0.34,0.0.34,保持
-yaml,2.9.1,2.9.1,2.9.1,2.9.1,保持
-zod,4.6.5;^4.3.6,4.6.5,4.6.5,4.6.5,保持

docs/plan/evidence/2026-10-01-dependencies/locked-npm.csv

@@ -1,634 +0,0 @@
-package,locked_versions,registry_latest,workspace_direct,has_older_or_different_version
-@anthropic-ai/sdk,0.124.0,0.131.0,False,True
-@asteasolutions/zod-to-openapi,9.1.0,9.1.0,False,False
-@aws-sdk/client-bedrock-runtime,3.1127.0,3.1144.0,False,True
-@aws-sdk/core,3.978.1,3.978.1,False,False
-@aws-sdk/credential-provider-env,3.972.72,3.972.72,False,False
-@aws-sdk/credential-provider-http,3.972.74,3.972.74,False,False
-@aws-sdk/credential-provider-ini,3.973.17,3.973.17,False,False
-@aws-sdk/credential-provider-login,3.972.79,3.972.79,False,False
-@aws-sdk/credential-provider-node,3.972.84,3.972.84,False,False
-@aws-sdk/credential-provider-process,3.972.72,3.972.72,False,False
-@aws-sdk/credential-provider-sso,3.973.16,3.973.16,False,False
-@aws-sdk/credential-provider-web-identity,3.972.78,3.972.78,False,False
-@aws-sdk/eventstream-handler-node,3.972.35,3.972.35,False,False
-@aws-sdk/middleware-eventstream,3.972.30,3.972.30,False,False
-@aws-sdk/middleware-websocket,3.972.54,3.972.54,False,False
-@aws-sdk/nested-clients,3.997.46,3.997.46,False,False
-@aws-sdk/signature-v4-multi-region,3.996.47,3.996.47,False,False
-@aws-sdk/token-providers,3.1127.0;3.1138.0,3.1144.0,False,True
-@aws-sdk/types,3.974.6,3.974.6,False,False
-@aws-sdk/xml-builder,3.972.41,3.972.41,False,False
-@aws/lambda-invoke-store,0.3.0,0.3.0,False,False
-@babel/code-frame,7.29.7,8.0.6,False,True
-@babel/compat-data,7.29.7,8.0.5,False,True
-@babel/core,7.29.7,8.0.6,False,True
-@babel/generator,7.29.8,8.0.6,False,True
-@babel/helper-annotate-as-pure,7.29.7,8.0.0,False,True
-@babel/helper-compilation-targets,7.29.7,8.0.6,False,True
-@babel/helper-create-class-features-plugin,7.29.7,8.0.6,False,True
-@babel/helper-globals,7.29.7,8.0.6,False,True
-@babel/helper-member-expression-to-functions,7.29.7,8.0.5,False,True
-@babel/helper-module-imports,7.29.7,8.0.0,False,True
-@babel/helper-module-transforms,7.29.7,8.0.6,False,True
-@babel/helper-optimise-call-expression,7.29.7,8.0.0,False,True
-@babel/helper-plugin-utils,7.29.7,8.0.1,False,True
-@babel/helper-replace-supers,7.29.7,8.0.1,False,True
-@babel/helper-skip-transparent-expression-wrappers,7.29.7,8.0.0,False,True
-@babel/helper-string-parser,7.29.7,8.0.6,False,True
-@babel/helper-validator-identifier,7.29.7,8.0.6,False,True
-@babel/helper-validator-option,7.29.7,8.0.0,False,True
-@babel/helpers,7.29.7,8.0.5,False,True
-@babel/parser,7.29.9,7.29.9,False,False
-@babel/plugin-syntax-jsx,7.29.7,8.0.1,False,True
-@babel/plugin-syntax-typescript,7.29.7,8.0.3,False,True
-@babel/plugin-transform-modules-commonjs,7.29.7,8.0.1,False,True
-@babel/plugin-transform-typescript,7.29.9,7.29.9,False,False
-@babel/preset-typescript,7.29.7,8.0.1,False,True
-@babel/runtime,7.29.7,8.0.5,False,True
-@babel/template,7.29.7,8.0.0,False,True
-@babel/traverse,7.29.8,8.0.6,False,True
-@babel/types,7.29.8,8.0.6,False,True
-@biomejs/biome,2.5.14,2.5.15,True,True
-@biomejs/cli-darwin-arm64,2.5.14,2.5.15,False,True
-@biomejs/cli-darwin-x64,2.5.14,2.5.15,False,True
-@biomejs/cli-linux-arm64,2.5.14,2.5.15,False,True
-@biomejs/cli-linux-arm64-musl,2.5.14,2.5.15,False,True
-@biomejs/cli-linux-x64,2.5.14,2.5.15,False,True
-@biomejs/cli-linux-x64-musl,2.5.14,2.5.15,False,True
-@biomejs/cli-win32-arm64,2.5.14,2.5.15,False,True
-@biomejs/cli-win32-x64,2.5.14,2.5.15,False,True
-@date-fns/tz,1.5.0,1.5.0,False,False
-@earendil-works/chord,0.87.1,0.99.2,False,True
-@earendil-works/pi-agent-core,0.87.1,0.99.2,True,True
-@earendil-works/pi-ai,0.87.1,0.99.2,True,True
-@earendil-works/pi-telemetry,0.87.1,0.99.2,False,True
-@esbuild/aix-ppc64,0.28.2,0.28.2,False,False
-@esbuild/android-arm,0.28.2,0.28.2,False,False
-@esbuild/android-arm64,0.28.2,0.28.2,False,False
-@esbuild/android-x64,0.28.2,0.28.2,False,False
-@esbuild/darwin-arm64,0.28.2,0.28.2,False,False
-@esbuild/darwin-x64,0.28.2,0.28.2,False,False
-@esbuild/freebsd-arm64,0.28.2,0.28.2,False,False
-@esbuild/freebsd-x64,0.28.2,0.28.2,False,False
-@esbuild/linux-arm,0.28.2,0.28.2,False,False
-@esbuild/linux-arm64,0.28.2,0.28.2,False,False
-@esbuild/linux-ia32,0.28.2,0.28.2,False,False
-@esbuild/linux-loong64,0.28.2,0.28.2,False,False
-@esbuild/linux-mips64el,0.28.2,0.28.2,False,False
-@esbuild/linux-ppc64,0.28.2,0.28.2,False,False
-@esbuild/linux-riscv64,0.28.2,0.28.2,False,False
-@esbuild/linux-s390x,0.28.2,0.28.2,False,False
-@esbuild/linux-x64,0.28.2,0.28.2,False,False
-@esbuild/netbsd-arm64,0.28.2,0.28.2,False,False
-@esbuild/netbsd-x64,0.28.2,0.28.2,False,False
-@esbuild/openbsd-arm64,0.28.2,0.28.2,False,False
-@esbuild/openbsd-x64,0.28.2,0.28.2,False,False
-@esbuild/openharmony-arm64,0.28.2,0.28.2,False,False
-@esbuild/sunos-x64,0.28.2,0.28.2,False,False
-@esbuild/win32-arm64,0.28.2,0.28.2,False,False
-@esbuild/win32-ia32,0.28.2,0.28.2,False,False
-@esbuild/win32-x64,0.28.2,0.28.2,False,False
-@floating-ui/core,1.8.0,1.8.0,False,False
-@floating-ui/dom,1.8.0,1.8.0,False,False
-@floating-ui/react-dom,2.1.9,2.1.9,False,False
-@floating-ui/utils,0.2.12,0.2.12,False,False
-@fontsource-variable/inter-tight,5.3.0,5.3.0,True,False
-@fontsource-variable/space-grotesk,5.3.0,5.3.0,True,False
-@google/genai,2.21.0,2.25.0,False,True
-@hexagon/base64,1.1.28,2.0.4,False,True
-@hono/node-server,2.1.1,2.1.3,False,True
-@hono/swagger-ui,0.6.1,0.6.1,True,False
-@hono/zod-openapi,1.6.3,1.6.3,True,False
-@hono/zod-validator,0.9.1,0.9.1,False,False
-@jridgewell/gen-mapping,0.3.13,0.3.13,False,False
-@jridgewell/remapping,2.3.5,2.3.5,False,False
-@jridgewell/resolve-uri,3.1.2,3.1.2,False,False
-@jridgewell/sourcemap-codec,1.6.0,1.6.0,False,False
-@jridgewell/trace-mapping,0.3.31,0.3.31,False,False
-@levischuck/tiny-cbor,0.2.11,0.3.6,False,True
-@mjackson/node-fetch-server,0.2.0,0.7.0,False,True
-@modelcontextprotocol/sdk,1.30.1,1.31.0,True,True
-@napi-rs/lzma-linux-x64-gnu,1.5.1,1.5.1,False,False
-@nodable/entities,3.0.0,3.1.0,False,True
-@peculiar/asn1-android,2.9.5,2.10.0,False,True
-@peculiar/asn1-cms,2.9.5,2.10.0,False,True
-@peculiar/asn1-csr,2.9.5,2.10.0,False,True
-@peculiar/asn1-ecc,2.9.5,2.10.0,False,True
-@peculiar/asn1-pfx,2.9.5,2.10.0,False,True
-@peculiar/asn1-pkcs8,2.9.5,2.10.0,False,True
-@peculiar/asn1-pkcs9,2.9.5,2.10.0,False,True
-@peculiar/asn1-rsa,2.9.5,2.10.0,False,True
-@peculiar/asn1-schema,2.9.5,2.10.0,False,True
-@peculiar/asn1-x509,2.9.5,2.10.0,False,True
-@peculiar/asn1-x509-attr,2.9.5,2.10.0,False,True
-@peculiar/utils,2.0.3,2.0.3,False,False
-@peculiar/x509,1.14.3,2.1.0,False,True
-@pinojs/redact,0.4.0,0.4.0,False,False
-@protobufjs/aspromise,1.1.2,1.1.2,False,False
-@protobufjs/base64,1.1.2,1.1.2,False,False
-@protobufjs/codegen,2.0.5,2.0.5,False,False
-@protobufjs/eventemitter,1.1.1,1.1.1,False,False
-@protobufjs/fetch,1.1.1,1.1.1,False,False
-@protobufjs/float,1.0.2,1.0.2,False,False
-@protobufjs/path,1.1.2,1.1.2,False,False
-@protobufjs/pool,1.1.0,1.1.0,False,False
-@protobufjs/utf8,1.1.2,1.1.2,False,False
-@radix-ui/number,1.1.3,1.1.3,False,False
-@radix-ui/primitive,1.1.7,1.1.7,False,False
-@radix-ui/react-accessible-icon,1.1.15,1.1.15,False,False
-@radix-ui/react-accordion,1.2.20,1.2.20,False,False
-@radix-ui/react-alert-dialog,1.1.23,1.1.23,False,False
-@radix-ui/react-arrow,1.1.15,1.1.15,False,False
-@radix-ui/react-aspect-ratio,1.1.15,1.1.15,False,False
-@radix-ui/react-avatar,1.2.6,1.2.6,False,False
-@radix-ui/react-checkbox,1.3.11,1.3.11,False,False
-@radix-ui/react-collapsible,1.1.20,1.1.20,False,False
-@radix-ui/react-collection,1.1.15,1.1.15,False,False
-@radix-ui/react-compose-refs,1.1.5,1.1.5,False,False
-@radix-ui/react-context,1.2.2,1.2.2,False,False
-@radix-ui/react-context-menu,2.3.7,2.3.7,False,False
-@radix-ui/react-dialog,1.1.23,1.1.23,False,False
-@radix-ui/react-direction,1.1.4,1.1.4,False,False
-@radix-ui/react-dismissable-layer,1.1.19,1.1.19,False,False
-@radix-ui/react-dropdown-menu,2.1.24,2.1.24,False,False
-@radix-ui/react-focus-guards,1.1.6,1.1.6,False,False
-@radix-ui/react-focus-scope,1.1.16,1.1.16,False,False
-@radix-ui/react-form,0.1.16,0.1.16,False,False
-@radix-ui/react-hover-card,1.1.23,1.1.23,False,False
-@radix-ui/react-id,1.1.4,1.1.4,False,False
-@radix-ui/react-label,2.1.15,2.1.15,False,False
-@radix-ui/react-menu,2.1.24,2.1.24,False,False
-@radix-ui/react-menubar,1.1.24,1.1.24,False,False
-@radix-ui/react-navigation-menu,1.2.22,1.2.22,False,False
-@radix-ui/react-one-time-password-field,0.1.16,0.1.16,False,False
-@radix-ui/react-password-toggle-field,0.1.11,0.1.11,False,False
-@radix-ui/react-popover,1.1.23,1.1.23,False,False
-@radix-ui/react-popper,1.3.7,1.3.7,False,False
-@radix-ui/react-portal,1.1.17,1.1.17,False,False
-@radix-ui/react-presence,1.1.10,1.1.10,False,False
-@radix-ui/react-primitive,2.1.10,2.1.10,False,False
-@radix-ui/react-progress,1.1.16,1.1.16,False,False
-@radix-ui/react-radio-group,1.4.7,1.4.7,False,False
-@radix-ui/react-roving-focus,1.1.19,1.1.19,False,False
-@radix-ui/react-scroll-area,1.2.18,1.2.18,False,False
-@radix-ui/react-select,2.3.7,2.3.7,False,False
-@radix-ui/react-separator,1.1.15,1.1.15,False,False
-@radix-ui/react-slider,1.4.7,1.4.7,False,False
-@radix-ui/react-slot,1.3.3,1.3.3,False,False
-@radix-ui/react-switch,1.3.7,1.3.7,False,False
-@radix-ui/react-tabs,1.1.21,1.1.21,False,False
-@radix-ui/react-toast,1.2.23,1.2.23,False,False
-@radix-ui/react-toggle,1.1.18,1.1.18,False,False
-@radix-ui/react-toggle-group,1.1.19,1.1.19,False,False
-@radix-ui/react-toolbar,1.1.19,1.1.19,False,False
-@radix-ui/react-tooltip,1.2.16,1.2.16,False,False
-@radix-ui/react-use-callback-ref,1.1.4,1.1.4,False,False
-@radix-ui/react-use-controllable-state,1.2.6,1.2.6,False,False
-@radix-ui/react-use-effect-event,0.0.5,0.0.5,False,False
-@radix-ui/react-use-escape-keydown,1.1.5,1.1.5,False,False
-@radix-ui/react-use-is-hydrated,0.1.3,0.1.3,False,False
-@radix-ui/react-use-layout-effect,1.1.4,1.1.4,False,False
-@radix-ui/react-use-previous,1.1.4,1.1.4,False,False
-@radix-ui/react-use-rect,1.1.4,1.1.4,False,False
-@radix-ui/react-use-size,1.1.4,1.1.4,False,False
-@radix-ui/react-visually-hidden,1.2.11,1.2.11,False,False
-@radix-ui/rect,1.1.3,1.1.3,False,False
-@react-router/dev,7.12.0,8.4.0,True,True
-@react-router/node,7.12.0,8.4.0,True,True
-@reduxjs/toolkit,2.12.0,2.13.0,False,True
-@remix-run/node-fetch-server,0.9.0,0.14.2,False,True
-@rollup/rollup-android-arm-eabi,4.63.5,4.63.5,False,False
-@rollup/rollup-android-arm64,4.63.5,4.63.5,False,False
-@rollup/rollup-darwin-arm64,4.63.5,4.63.5,False,False
-@rollup/rollup-darwin-x64,4.63.5,4.63.5,False,False
-@rollup/rollup-freebsd-arm64,4.63.5,4.63.5,False,False
-@rollup/rollup-freebsd-x64,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-arm-gnueabihf,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-arm-musleabihf,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-arm64-gnu,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-arm64-musl,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-loong64-gnu,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-loong64-musl,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-ppc64-gnu,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-ppc64-musl,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-riscv64-gnu,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-riscv64-musl,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-s390x-gnu,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-x64-gnu,4.63.5,4.63.5,False,False
-@rollup/rollup-linux-x64-musl,4.63.5,4.63.5,False,False
-@rollup/rollup-openbsd-x64,4.63.5,4.63.5,False,False
-@rollup/rollup-openharmony-arm64,4.63.5,4.63.5,False,False
-@rollup/rollup-win32-arm64-msvc,4.63.5,4.63.5,False,False
-@rollup/rollup-win32-ia32-msvc,4.63.5,4.63.5,False,False
-@rollup/rollup-win32-x64-gnu,4.63.5,4.63.5,False,False
-@rollup/rollup-win32-x64-msvc,4.63.5,4.63.5,False,False
-@simplewebauthn/browser,13.3.0,14.0.0,True,True
-@simplewebauthn/server,13.3.3,14.0.3,True,True
-@smithy/core,3.35.0,3.35.1,False,True
-@smithy/credential-provider-imds,4.5.2,4.5.2,False,False
-@smithy/fetch-http-handler,5.8.0,5.8.0,False,False
-@smithy/node-http-handler,4.12.1,4.12.1,False,False
-@smithy/signature-v4,5.7.4,5.7.4,False,False
-@smithy/types,4.19.0,4.19.0,False,False
-@stablelib/base64,1.0.1,2.0.1,False,True
-@standard-schema/spec,1.1.0,1.1.0,False,False
-@standard-schema/utils,0.3.0,0.3.0,False,False
-@tailwindcss/node,4.3.3,4.3.3,False,False
-@tailwindcss/oxide,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-android-arm64,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-darwin-arm64,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-darwin-x64,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-freebsd-x64,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-linux-arm-gnueabihf,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-linux-arm64-gnu,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-linux-arm64-musl,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-linux-x64-gnu,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-linux-x64-musl,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-wasm32-wasi,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-win32-arm64-msvc,4.3.3,4.3.3,False,False
-@tailwindcss/oxide-win32-x64-msvc,4.3.3,4.3.3,False,False
-@tailwindcss/vite,4.3.3,4.3.3,True,False
-@tanstack/query-core,5.104.0,5.104.0,False,False
-@tanstack/react-query,5.104.0,5.104.0,True,False
-@types/chai,5.2.3,5.2.3,False,False
-@types/d3-array,3.2.2,3.2.2,False,False
-@types/d3-color,3.1.3,3.1.3,False,False
-@types/d3-ease,3.0.2,3.0.2,False,False
-@types/d3-interpolate,3.0.4,3.0.4,False,False
-@types/d3-path,3.1.1,3.1.1,False,False
-@types/d3-scale,4.0.9,4.0.9,False,False
-@types/d3-shape,3.2.0,3.2.0,False,False
-@types/d3-time,3.0.4,3.0.4,False,False
-@types/d3-timer,3.0.2,3.0.2,False,False
-@types/deep-eql,4.0.2,4.0.2,False,False
-@types/estree,1.0.9,1.0.9,False,False
-@types/node,24.19.0,26.6.3,True,True
-@types/nunjucks,3.2.6,3.2.6,True,False
-@types/pg,8.23.1,8.23.1,True,False
-@types/react,19.3.0,19.3.0,True,False
-@types/react-dom,19.3.0,19.3.0,True,False
-@types/retry,0.12.0,0.12.5,False,True
-@types/use-sync-external-store,0.0.6,1.7.0,False,True
-@typescript/typescript-aix-ppc64,7.0.2,7.0.2,False,False
-@typescript/typescript-darwin-arm64,7.0.2,7.0.2,False,False
-@typescript/typescript-darwin-x64,7.0.2,7.0.2,False,False
-@typescript/typescript-freebsd-arm64,7.0.2,7.0.2,False,False
-@typescript/typescript-freebsd-x64,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-arm,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-arm64,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-loong64,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-mips64el,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-ppc64,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-riscv64,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-s390x,7.0.2,7.0.2,False,False
-@typescript/typescript-linux-x64,7.0.2,7.0.2,False,False
-@typescript/typescript-netbsd-arm64,7.0.2,7.0.2,False,False
-@typescript/typescript-netbsd-x64,7.0.2,7.0.2,False,False
-@typescript/typescript-openbsd-arm64,7.0.2,7.0.2,False,False
-@typescript/typescript-openbsd-x64,7.0.2,7.0.2,False,False
-@typescript/typescript-sunos-x64,7.0.2,7.0.2,False,False
-@typescript/typescript-win32-arm64,7.0.2,7.0.2,False,False
-@typescript/typescript-win32-x64,7.0.2,7.0.2,False,False
-@vitest/mocker,5.0.2,5.0.3,False,True
-@vitest/spy,5.0.2,5.0.3,False,True
-@xmldom/xmldom,0.9.12,0.9.12,True,False
-a-sync-waterfall,1.0.1,1.0.1,False,False
-accepts,2.0.0,1.3.8,False,True
-agent-base,7.1.4;9.0.0,9.0.0,False,True
-ajv,8.20.0,8.20.0,False,False
-ajv-formats,3.0.1,3.0.1,False,False
-anynum,1.0.1,1.0.1,False,False
-arg,5.0.2,5.0.2,False,False
-aria-hidden,1.2.6,1.2.6,False,False
-asap,2.0.6,2.0.6,False,False
-asn1js,3.0.10,3.0.10,False,False
-assertion-error,2.0.1,2.0.1,False,False
-atomic-sleep,1.0.0,1.0.0,False,False
-babel-dead-code-elimination,1.0.12,2.0.0,False,True
-base64-js,1.5.1,1.5.1,False,False
-baseline-browser-mapping,2.11.26,2.11.26,False,False
-bignumber.js,9.3.1,11.1.5,False,True
-body-parser,2.3.0,2.3.0,False,False
-boolbase,1.0.0,2.0.0,False,True
-bowser,2.14.1,2.14.1,False,False
-browserslist,4.29.1,4.29.3,False,True
-buffer-equal-constant-time,1.0.1,1.0.1,False,False
-bytes,3.1.2,3.1.2,False,False
-cac,6.7.14,7.0.0,False,True
-call-bind-apply-helpers,1.0.2,1.0.2,False,False
-call-bound,1.0.4,1.0.4,False,False
-caniuse-lite,1.0.30001812,1.0.30001814,False,True
-chai,6.2.2,6.3.0,False,True
-cheerio,1.2.0,1.2.0,True,False
-cheerio-select,2.1.0,2.1.0,False,False
-chokidar,4.0.3,5.0.0,False,True
-class-variance-authority,0.7.1,0.7.1,True,False
-clsx,2.1.1,2.1.1,True,False
-colorette,2.0.20,2.0.20,False,False
-commander,5.1.0,15.0.0,False,True
-confbox,0.3.1,0.3.1,False,False
-content-disposition,1.1.0,3.0.0,False,True
-content-type,1.0.5;2.1.0,3.1.1,False,True
-convert-source-map,2.0.0,2.0.0,False,False
-cookie,0.7.2;1.1.1,2.0.1,False,True
-cookie-signature,1.2.2,1.2.2,False,False
-cors,2.8.6,2.8.6,False,False
-cross-spawn,7.0.6,7.0.6,False,False
-css-select,5.2.2,7.0.0,False,True
-css-what,6.2.2,8.0.0,False,True
-csstype,3.2.3,3.2.3,False,False
-d3-array,3.2.4,3.2.4,False,False
-d3-color,3.1.0,3.1.0,False,False
-d3-ease,3.0.1,3.0.1,False,False
-d3-format,3.1.2,3.1.2,False,False
-d3-interpolate,3.0.1,3.0.1,False,False
-d3-path,3.1.0,3.1.0,False,False
-d3-scale,4.0.2,4.0.2,False,False
-d3-shape,3.2.0,3.2.0,False,False
-d3-time,3.1.0,3.1.0,False,False
-d3-time-format,4.1.0,4.1.0,False,False
-d3-timer,3.0.1,3.0.1,False,False
-data-uri-to-buffer,4.0.1,8.0.0,False,True
-date-fns,4.4.0,4.4.0,True,False
-dateformat,4.6.3,5.0.3,False,True
-debug,4.4.3,4.4.3,False,False
-decimal.js-light,2.5.1,2.5.1,False,False
-dedent,1.7.2,1.7.2,False,False
-depd,2.0.0,2.0.0,False,False
-detect-libc,2.1.2,2.1.2,False,False
-detect-node-es,1.1.0,1.1.0,False,False
-diff,8.0.4,9.0.0,False,True
-dom-serializer,2.0.0,3.1.1,False,True
-domelementtype,2.3.0,3.0.0,False,True
-domhandler,5.0.3,6.0.1,False,True
-domutils,3.2.2,4.0.2,False,True
-dunder-proto,1.0.1,1.0.1,False,False
-ecdsa-sig-formatter,1.0.11,1.0.11,False,False
-ee-first,1.1.1,1.1.1,False,False
-electron-to-chromium,1.5.439,1.5.443,False,True
-encodeurl,2.0.0,2.0.0,False,False
-encoding-sniffer,0.2.1,1.0.2,False,True
-end-of-stream,1.4.5,1.4.5,False,False
-enhanced-resolve,5.25.1,5.26.0,False,True
-entities,4.5.0;6.0.1;7.0.1,8.1.0,False,True
-es-define-property,1.0.1,1.0.1,False,False
-es-errors,1.3.0,1.3.0,False,False
-es-module-lexer,1.7.0;2.3.2,3.0.2,False,True
-es-object-atoms,1.1.2,1.1.2,False,False
-es-toolkit,1.52.0,1.52.0,False,False
-esbuild,0.28.2,0.28.2,False,False
-escalade,3.2.0,3.2.0,False,False
-escape-html,1.0.3,1.0.3,False,False
-estree-walker,3.0.3,3.0.3,False,False
-etag,1.8.1,1.8.1,False,False
-eventemitter3,5.0.4,5.0.4,False,False
-eventsource,3.0.7,5.1.2,False,True
-eventsource-parser,3.1.1,4.1.1,False,True
-exit-hook,2.2.1,5.1.0,False,True
-expect-type,1.4.0,1.4.0,False,False
-express,5.2.1,5.2.1,False,False
-express-rate-limit,8.7.0,8.7.0,False,False
-exsolve,1.1.1,1.1.1,False,False
-extend,3.0.2,3.0.2,False,False
-fast-copy,4.1.1,4.1.1,False,False
-fast-deep-equal,3.1.3,3.1.3,False,False
-fast-safe-stringify,2.1.1,2.1.1,False,False
-fast-sha256,1.3.0,1.3.0,False,False
-fast-uri,3.1.8,4.2.1,False,True
-fast-xml-builder,1.3.1,1.3.1,False,False
-fast-xml-parser,5.11.1,5.11.2,True,True
-fdir,6.5.0,6.5.0,False,False
-fetch-blob,3.2.0,4.0.0,False,True
-finalhandler,2.1.1,2.1.1,False,False
-formdata-polyfill,4.0.10,4.0.10,False,False
-forwarded,0.2.0,0.2.0,False,False
-fresh,2.0.0,0.5.2,False,True
-fsevents,2.3.3,2.3.3,False,False
-function-bind,1.1.2,1.1.2,False,False
-gaxios,7.3.1,8.1.0,False,True
-gcp-metadata,8.1.2,9.0.4,False,True
-gensync,1.0.0-beta.2,1.0.0-beta.2,False,False
-get-intrinsic,1.3.0,1.3.0,False,False
-get-nonce,1.0.1,1.0.1,False,False
-get-proto,1.0.1,1.0.1,False,False
-globrex,0.1.2,0.1.2,False,False
-google-auth-library,10.9.1,11.1.0,False,True
-google-logging-utils,1.1.3,2.0.1,False,True
-gopd,1.2.0,1.2.0,False,False
-graceful-fs,4.2.11,4.2.11,False,False
-has-symbols,1.1.0,1.1.0,False,False
-hash-wasm,4.12.0,4.12.0,True,False
-hasown,2.0.4,2.0.4,False,False
-help-me,5.0.0,5.0.0,False,False
-hono,4.13.9,4.13.12,True,True
-htmlparser2,10.1.0,12.0.0,False,True
-http-errors,2.0.1,2.0.1,False,False
-http-proxy-agent,9.1.0,9.1.0,False,False
-https-proxy-agent,7.0.6;9.1.0,9.1.0,False,True
-iconv-lite,0.6.3;0.7.3,0.7.3,False,True
-ignore,7.0.8,7.0.11,False,True
-immer,11.1.18,11.1.18,False,False
-inherits,2.0.4,2.0.4,False,False
-internmap,2.0.3,2.0.3,False,False
-ip-address,10.7.2,10.7.2,False,False
-ipaddr.js,1.9.1,2.5.0,False,True
-is-promise,4.0.0,4.0.0,False,False
-is-unsafe,2.0.2,2.0.2,False,False
-isbot,5.2.2,5.2.2,True,False
-isexe,2.0.0,4.0.0,False,True
-jiti,2.7.0,2.7.0,False,False
-jose,6.2.12,6.2.12,False,False
-joycon,3.1.1,3.1.1,False,False
-jpeg-js,0.4.4,0.4.4,True,False
-js-tokens,4.0.0,10.0.0,False,True
-jsesc,3.0.2,3.1.0,False,True
-json-bigint,1.0.0,1.0.0,False,False
-json-schema-to-ts,3.1.1,3.1.1,False,False
-json-schema-traverse,1.0.0,1.0.0,False,False
-json-schema-typed,8.0.2,8.0.2,False,False
-json5,2.2.3,2.2.3,False,False
-jwa,2.0.1,2.0.1,False,False
-jws,4.0.1,4.0.1,False,False
-kysely,0.29.6,0.29.6,True,False
-lightningcss,1.32.0,1.33.0,False,True
-lightningcss-android-arm64,1.32.0,1.33.0,False,True
-lightningcss-darwin-arm64,1.32.0,1.33.0,False,True
-lightningcss-darwin-x64,1.32.0,1.33.0,False,True
-lightningcss-freebsd-x64,1.32.0,1.33.0,False,True
-lightningcss-linux-arm-gnueabihf,1.32.0,1.33.0,False,True
-lightningcss-linux-arm64-gnu,1.32.0,1.33.0,False,True
-lightningcss-linux-arm64-musl,1.32.0,1.33.0,False,True
-lightningcss-linux-x64-gnu,1.32.0,1.33.0,False,True
-lightningcss-linux-x64-musl,1.32.0,1.33.0,False,True
-lightningcss-win32-arm64-msvc,1.32.0,1.33.0,False,True
-lightningcss-win32-x64-msvc,1.32.0,1.33.0,False,True
-lodash,4.18.1,4.18.1,False,False
-long,5.3.2,5.3.2,False,False
-lru-cache,5.1.1,11.5.3,False,True
-lucide-react,0.576.0,1.49.0,True,True
-magic-string,0.30.21;1.4.2,1.4.2,False,True
-math-intrinsics,1.1.0,1.1.0,False,False
-media-typer,1.1.1,2.0.0,False,True
-merge-descriptors,2.0.0,2.0.0,False,False
-mime-db,1.54.0,1.54.0,False,False
-mime-types,3.0.2,3.0.2,False,False
-minimist,1.2.8,1.2.8,False,False
-ms,2.1.3,2.1.3,False,False
-nanoid,3.3.19,6.0.1,False,True
-negotiator,1.1.0,1.1.0,False,False
-next-themes,0.4.6,0.4.6,True,False
-node-domexception,1.0.0,2.0.2,False,True
-node-fetch,3.3.2,3.3.2,False,False
-node-releases,2.0.57,2.0.57,False,False
-nth-check,2.1.1,3.0.1,False,True
-nunjucks,3.2.4,3.2.4,True,False
-object-assign,4.1.1,4.1.1,False,False
-object-inspect,1.13.4,1.13.4,False,False
-obug,2.2.1,3.0.0,False,True
-on-exit-leak-free,2.1.2,2.1.2,False,False
-on-finished,2.4.1,2.4.1,False,False
-once,1.4.0,1.4.0,False,False
-openai,6.40.0,7.25.0,False,True
-openapi3-ts,4.6.1,4.6.1,False,False
-openworkflow,0.10.1,0.10.1,True,False
-p-map,7.0.8,7.0.8,False,False
-p-retry,4.6.2,8.0.1,False,True
-parse5,7.3.0,8.0.1,False,True
-parse5-htmlparser2-tree-adapter,7.1.0,8.0.1,False,True
-parse5-parser-stream,7.1.2,8.0.0,False,True
-parseurl,1.3.3,1.3.3,False,False
-partial-json,0.1.7,0.1.7,False,False
-path-expression-matcher,1.6.2,1.6.2,False,False
-path-key,3.1.1,4.0.0,False,True
-path-to-regexp,8.4.2,8.4.2,False,False
-pathe,1.1.2;2.0.3,2.0.3,False,True
-pg,8.23.0,8.23.1,True,True
-pg-cloudflare,1.4.0,1.4.1,False,True
-pg-connection-string,2.14.0,2.14.1,False,True
-pg-int8,1.0.1,1.0.1,False,False
-pg-pool,3.14.0,3.14.0,False,False
-pg-protocol,1.16.0,1.16.1,False,True
-pg-types,2.2.0,4.1.0,False,True
-pgpass,1.0.5,1.0.6,False,True
-picocolors,1.1.1,1.1.1,False,False
-picomatch,4.0.7,4.0.7,False,False
-pino,10.3.1,10.3.1,True,False
-pino-abstract-transport,3.0.0,3.0.0,False,False
-pino-pretty,13.1.3,13.1.3,True,False
-pino-std-serializers,7.1.0,7.1.0,False,False
-pkce-challenge,5.0.1,6.0.0,False,True
-pkg-types,2.3.3,2.3.3,False,False
-playwright-core,1.63.0,1.63.0,True,False
-postcss,8.5.28,8.5.28,False,False
-postgres,3.4.9,3.4.9,True,False
-postgres-array,2.0.0,3.0.4,False,True
-postgres-bytea,1.0.1,3.0.0,False,True
-postgres-date,1.0.7,2.1.0,False,True
-postgres-interval,1.2.0,4.1.0,False,True
-prettier,3.9.9,3.9.9,False,False
-process-warning,5.1.0,5.1.0,False,False
-protobufjs,7.6.6,8.8.0,False,True
-proxy-addr,2.0.8,2.0.8,False,False
-proxy-agent-negotiate,1.1.0,1.1.0,False,False
-pump,3.0.4,3.0.4,False,False
-pvtsutils,1.3.6,1.3.6,False,False
-pvutils,1.2.0,1.2.0,False,False
-qr-code-styling,1.9.2,1.9.2,True,False
-qrcode-generator,1.5.2,2.0.4,False,True
-qs,6.16.0,6.16.0,False,False
-quick-format-unescaped,4.0.4,4.0.4,False,False
-radix-ui,1.6.7,1.6.7,True,False
-range-parser,1.3.0,1.3.0,False,False
-raw-body,3.0.2,4.0.0,False,True
-react,19.3.0,19.3.0,True,False
-react-day-picker,10.0.1,10.0.2,True,True
-react-dom,19.3.0,19.3.0,True,False
-react-is,19.3.0,19.3.0,False,False
-react-redux,9.3.0,9.3.0,False,False
-react-refresh,0.14.2,0.19.0,False,True
-react-remove-scroll,2.7.2,2.7.2,False,False
-react-remove-scroll-bar,2.3.8,2.3.8,False,False
-react-router,7.12.0,8.4.0,True,True
-react-style-singleton,2.2.3,2.2.3,False,False
-readdirp,4.1.2,5.1.1,False,True
-real-require,0.2.0;1.0.0,1.0.0,False,True
-recharts,3.10.1,3.10.1,True,False
-redux,5.0.1,5.0.1,False,False
-redux-thunk,3.1.0,3.1.0,False,False
-reflect-metadata,0.2.2,0.2.2,False,False
-require-from-string,2.0.2,2.0.2,False,False
-reselect,5.2.0,5.3.0,False,True
-retry,0.13.1,0.13.1,False,False
-rollup,4.63.5,4.63.5,False,False
-router,2.2.0,2.2.0,False,False
-safe-buffer,5.2.1,5.2.1,False,False
-safe-stable-stringify,2.5.0,2.5.0,False,False
-safer-buffer,2.1.2,2.1.2,False,False
-scheduler,0.28.0,0.28.0,False,False
-secure-json-parse,4.1.0,4.1.0,False,False
-semver,6.3.1;7.8.5,7.8.5,False,True
-send,1.2.1,1.2.1,False,False
-serve-static,2.2.1,2.2.1,False,False
-set-cookie-parser,2.7.2,3.1.2,False,True
-setprototypeof,1.2.0,1.2.0,False,False
-shebang-command,2.0.0,2.0.0,False,False
-shebang-regex,3.0.0,4.0.0,False,True
-side-channel,1.1.1,1.1.1,False,False
-side-channel-list,1.0.1,1.0.1,False,False
-side-channel-map,1.0.1,1.0.1,False,False
-side-channel-weakmap,1.0.2,1.0.2,False,False
-sonic-boom,4.2.1,5.0.1,False,True
-sonner,2.0.8,2.0.8,True,False
-source-map-js,1.2.1,1.2.2,False,True
-split2,4.2.0,4.2.0,False,False
-standardwebhooks,1.1.1,1.1.1,False,False
-statuses,2.0.2,2.0.2,False,False
-std-env,4.2.0,4.3.0,False,True
-strip-json-comments,5.0.3,5.0.3,False,False
-strnum,2.4.2,2.4.2,False,False
-tailwind-merge,3.7.0,3.7.0,True,False
-tailwindcss,4.3.3,4.3.3,True,False
-tapable,2.3.3,2.3.3,False,False
-thread-stream,4.2.0,4.2.0,False,False
-tiny-invariant,1.3.3,1.3.3,False,False
-tinybench,6.2.0,6.2.0,False,False
-tinyexec,1.3.1,1.3.1,False,False
-tinyglobby,0.2.17,0.2.17,False,False
-toidentifier,1.0.1,1.0.1,False,False
-ts-algebra,2.0.0,2.0.0,False,False
-tsconfck,3.1.6,3.1.6,False,False
-tslib,1.14.1;2.8.1,2.8.1,False,True
-tsyringe,4.10.0,4.10.0,False,False
-tw-animate-css,1.4.0,1.4.0,True,False
-type-is,2.1.0,3.0.0,False,True
-typebox,1.3.27,1.3.34,True,True
-typescript,7.0.2,7.0.2,True,False
-undici,7.30.0,8.11.2,False,True
-undici-types,7.24.6,8.11.2,False,True
-unpipe,1.0.0,1.0.0,False,False
-update-browserslist-db,1.3.3,1.3.3,False,False
-use-callback-ref,1.3.3,1.3.3,False,False
-use-sidecar,1.1.3,1.1.3,False,False
-use-sync-external-store,1.7.0,1.7.0,False,False
-valibot,1.5.0,1.5.0,False,False
-vary,1.1.2,1.1.2,False,False
-victory-vendor,37.3.6,37.3.6,False,False
-vite,7.3.6,8.3.1,True,True
-vite-node,3.2.4,6.0.0,False,True
-vite-tsconfig-paths,5.1.4,6.1.1,True,True
-vitest,5.0.2,5.0.3,True,True
-web-streams-polyfill,3.3.3,4.3.0,False,True
-whatwg-encoding,3.1.1,3.1.1,False,False
-whatwg-mimetype,4.0.0,5.0.0,False,True
-which,2.0.2,7.0.0,False,True
-why-is-node-running,3.2.2,3.2.2,False,False
-wrappy,1.0.2,1.0.2,False,False
-ws,8.21.3,8.22.0,False,True
-xml-naming,0.3.0,0.3.0,False,False
-xpath,0.0.34,0.0.34,True,False
-xtend,4.0.2,4.0.2,False,False
-yallist,3.1.1,5.0.0,False,True
-yaml,2.9.0;2.9.1,2.9.1,True,True
-zod,4.6.5,4.6.5,True,False
-zod-to-json-schema,3.25.2,3.25.2,False,False

docs/plan/evidence/2026-10-01-dependencies/upgrade-cleanup.json

@@ -1,63 +0,0 @@
-{
-  "removedContainers": [
-    "umt-upgrade-app",
-    "umt-upgrade-browser",
-    "umt-upgrade-mock",
-    "umt-upgrade-qb",
-    "umt-upgrade-pg18"
-  ],
-  "removedVolumes": [
-    "umt_umt-pg-data",
-    "umt-dev_umt-pg-data",
-    "umt-upgrade-pg18-data",
-    "umt-upgrade-app-data",
-    "umt-upgrade-restore-data",
-    "umt-upgrade-production-restore-data",
-    "umt-upgrade-browser-profiles",
-    "umt-upgrade-browser-config"
-  ],
-  "removedImageTags": [
-    "uhd-media-tool:upgrade-20261001",
-    "uhd-media-tool:pre-upgrade-20261001",
-    "umt-browser-desktop:1.17.0",
-    "uhd-media-tool:v0.2.4",
-    "uhd-media-tool:v0.2.3",
-    "camofox-browser:1.17.0",
-    "uhd-media-tool:v0.2.2",
-    "uhd-media-tool:v0.2.1",
-    "uhd-media-tool:v0.2.0",
-    "uhd-media-tool:v0.2.0-rc",
-    "uhd-media-tool:v0.1.0",
-    "lscr.io/linuxserver/qbittorrent:5.1.2",
-    "caddy:2-alpine",
-    "alpine/socat:1.8.0.0"
-  ],
-  "removedBuildImages": [],
-  "preservedSharedImages": [
-    "postgres:16-alpine"
-  ],
-  "removedBackups": [
-    "/data/backups/20260929T103808Z",
-    "/data/backups/20261001T072253Z",
-    ".local/upgrade-20261001/rollback-docker-compose.yml",
-    ".local/upgrade-20261001/dev-pg16.dump",
-    ".local/upgrade-20261001/rollback-images.json",
-    ".local/upgrade-20261001/umt_umt-camofox.tar.gz",
-    ".local/upgrade-20261001/umt_umt-qb-config.tar.gz",
-    ".local/upgrade-20261001/production-app.env",
-    ".local/upgrade-20261001/rollback-development.sh",
-    ".local/upgrade-20261001/umt_umt-data.tar.gz",
-    ".local/upgrade-20261001/container-inventory-private.json",
-    ".local/upgrade-20261001/rollback-docker-compose.dev.yml",
-    ".local/upgrade-20261001/rollback-production.sh",
-    ".local/upgrade-20261001/current-container-inventory-private.json",
-    ".local/upgrade-20261001/umt_umt-caddy.tar.gz",
-    ".local/upgrade-20261001/4af29d25d939f585d86fb8382ec6f00e8d3b0fe14725e611ce9ae3c0875c0ecf.tar.gz",
-    ".local/upgrade-20261001/original-env.deploy",
-    ".local/upgrade-20261001/original-docker-compose.override.yml"
-  ],
-  "retainedBackups": [
-    "/data/backups/20261001T072536Z",
-    ".local/backups/dev-pg18-20261001.dump"
-  ]
-}

docs/plan/evidence/2026-10-01-dependencies/upgrade-locks-and-direct-versions.json

@@ -1,91 +0,0 @@
-{
-  "workspace": {
-    "@biomejs/biome": "npm:@biomejs/[email protected]",
-    "@earendil-works/pi-agent-core": "npm:@earendil-works/[email protected]",
-    "@earendil-works/pi-ai": "npm:@earendil-works/[email protected]",
-    "@hono/swagger-ui": "npm:@hono/[email protected]",
-    "@hono/zod-openapi": "npm:@hono/[email protected]",
-    "@modelcontextprotocol/sdk": "npm:@modelcontextprotocol/[email protected]",
-    "@simplewebauthn/server": "npm:@simplewebauthn/[email protected]",
-    "@types/node": "npm:@types/[email protected]",
-    "@types/nunjucks": "npm:@types/[email protected]",
-    "@types/pg": "npm:@types/[email protected]",
-    "@xmldom/xmldom": "npm:@xmldom/[email protected]",
-    "cheerio": "npm:[email protected]",
-    "fast-xml-parser": "npm:[email protected]",
-    "hash-wasm": "npm:[email protected]",
-    "hono": "npm:[email protected]",
-    "jpeg-js": "npm:[email protected]",
-    "kysely": "npm:[email protected]",
-    "nunjucks": "npm:[email protected]",
-    "openworkflow": "npm:[email protected]",
-    "pg": "npm:[email protected]",
-    "pino": "npm:[email protected]",
-    "pino-pretty": "npm:[email protected]",
-    "playwright-core": "npm:[email protected]",
-    "postgres": "npm:[email protected]",
-    "typebox": "npm:[email protected]",
-    "typescript": "npm:[email protected]",
-    "vitest": "npm:[email protected]",
-    "xpath": "npm:[email protected]",
-    "yaml": "npm:[email protected]",
-    "zod": "npm:[email protected]"
-  },
-  "web": {
-    "dependencies": {
-      "@fontsource-variable/inter-tight": "^5.3.0",
-      "@fontsource-variable/space-grotesk": "^5.3.0",
-      "@react-router/node": "8.4.0",
-      "@simplewebauthn/browser": "^14.0.0",
-      "@tanstack/react-query": "^5.104.0",
-      "@umt/contracts": "workspace:*",
-      "class-variance-authority": "^0.7.1",
-      "clsx": "^2.1.1",
-      "date-fns": "^4.4.0",
-      "isbot": "^5.2.2",
-      "lucide-react": "^1.49.0",
-      "next-themes": "^0.4.6",
-      "qr-code-styling": "^1.9.2",
-      "radix-ui": "^1.6.7",
-      "react": "^19.3.0",
-      "react-day-picker": "^10.0.2",
-      "react-dom": "^19.3.0",
-      "react-router": "8.4.0",
-      "recharts": "^3.10.1",
-      "sonner": "^2.0.8",
-      "tailwind-merge": "^3.7.0",
-      "zod": "^4.6.5"
-    },
-    "devDependencies": {
-      "@react-router/dev": "8.4.0",
-      "@tailwindcss/vite": "^4.3.3",
-      "@types/react": "^19.3.0",
-      "@types/react-dom": "^19.3.0",
-      "tailwindcss": "^4.3.3",
-      "tw-animate-css": "^1.4.0",
-      "vite": "^8.3.1",
-      "vite-tsconfig-paths": "^6.1.1"
-    }
-  },
-  "browser": {
-    "dependencies": {
-      "better-sqlite3": "13.0.3",
-      "camoufox-js": "0.12.0",
-      "express": "5.2.1",
-      "playwright-core": "1.60.0",
-      "prom-client": "15.1.3",
-      "swagger-jsdoc": "6.3.0"
-    },
-    "optionalDependencies": {
-      "@modelcontextprotocol/sdk": "1.31.0"
-    }
-  },
-  "sha256": {
-    "deno.json": "1a136fefa2afecb8084dd41bbbfd415994ca4c073402c00e604452aca2bcd4a0",
-    "deno.lock": "c18843d7db6039a22c97634b7e112b7dee2ae5acfac08a61cebd11c3f6d23e4c",
-    "apps/web/package.json": "fe3ab24d9f77beee36e7872a261bd96261161cba84aa08dcf65e4a0136cf8e58",
-    "docker/camofox/package.json": "911a051f515b68abc3301fa11caaa3b446b4af8895c76e4f0a1f8373541464b5",
-    "docker/camofox/package-lock.json": "040b7a1c91b4536149b67a7291be70c089171752c639e8231b01b4ef4c695b46"
-  },
-  "policy": "Latest verified direct stable dependencies, preserving upstream transitive version constraints; Node type definitions target runtime24, browser Playwright1.60 is required by official Camoufox protocol."
-}

docs/plan/evidence/2026-10-01-dependencies/upgrade-verification.json

@@ -1,173 +0,0 @@
-{
-  "applicationVersion": "0.3.8",
-  "hostUpgrade": false,
-  "ci": {
-    "exitCode": 0,
-    "passed": 3264,
-    "skipped": 4
-  },
-  "workspaceAudit": {
-    "vulnerabilities": 0
-  },
-  "webSmoke": {
-    "passed": 83,
-    "skipped": 1,
-    "reason": "no subscription detail data"
-  },
-  "piSessionCompatibility": {
-    "oldJsonlOpened": 35,
-    "passed": 35
-  },
-  "qbittorrentRealApi": {
-    "target": "5.2.4",
-    "passed": 3,
-    "skipped": 1,
-    "reason": "no API key configured"
-  },
-  "browserInstalledAudit": {
-    "dependencyCount": 174,
-    "vulnerabilities": 0
-  },
-  "backupRestoreE2E": {
-    "server": "18.6",
-    "client": "18.6",
-    "mappingCountsMatch": true,
-    "checksumsVerified": true
-  },
-  "developmentDatabaseMigration": {
-    "source": "16.14",
-    "target": "18.6",
-    "tables": 88,
-    "allCountsAndContentFingerprintsMatch": true,
-    "newBackupRestore": "PG18 dump restored on isolated PG18; all 88 table fingerprints match"
-  },
-  "productionDatabaseMigration": {
-    "source": "16.14",
-    "target": "18.6",
-    "tables": 89,
-    "allCountsAndContentFingerprintsMatch": true,
-    "finalStoppedWriteBackup": "20261001T072253Z",
-    "deployedVersion": "0.3.8",
-    "mode": "original readonly=false restored; deployment accepted",
-    "oldPG16Volumes": "removed after acceptance with user authorization"
-  },
-  "oldCredentialsCompatibility": {
-    "clonedDatabaseSecrets": "original key preserved",
-    "downloaderConnection": "v5.1.2 existing deployment authenticated successfully"
-  },
-  "browserDesktopIsolated": {
-    "sourceProfiles": "independent copy of existing production volume",
-    "version": "1.18.0",
-    "node": "24.21.0",
-    "camoufox": "152.0.4-beta.30",
-    "playwright": "1.60.0",
-    "beforeAfterRestart": "passed",
-    "checks": [
-      "authorization",
-      "fixed identity preserved",
-      "new context and page",
-      "evaluate",
-      "snapshot",
-      "PNG screenshot",
-      "selector click",
-      "trusted mouse click",
-      "profile isolation",
-      "persisted cookies after graceful restart"
-    ],
-    "mcpInitialize": "passed SDK1.31.0"
-  },
-  "browserServiceRealVerification": {
-    "version": "1.18.0",
-    "phases": {
-      "setup": {
-        "passed": 2,
-        "failed": 0,
-        "items": [
-          "provider:env 登记 + 探测",
-          "auth:无 Bearer 被拒"
-        ]
-      },
-      "a": {
-        "passed": 16,
-        "failed": 0,
-        "items": [
-          "public:导航/快照/截图",
-          "sessions:关闭公开页会话",
-          "login:未登录识别为登录页",
-          "screenshot:登录页",
-          "takeover:接管期间自动化被拒",
-          "takeover:坐标点击/焦点输入/回车",
-          "redact:密码框值不出现在快照",
-          "same-tab:交还后 Agent 读到人工操作结果(同一 tabId)",
-          "login:登录后 Cookie 生效(Agent 直接打开受保护列表页)",
-          "screenshot:列表页",
-          "snapshot:列表页",
-          "extract:列表",
-          "extract:详情",
-          "download:捕获 + sha256 一致 + 匹配本地资源",
-          "download:已消费的下载不重复返回",
-          "interact:后退/前进/刷新/滚动"
-        ]
-      },
-      "b": {
-        "passed": 2,
-        "failed": 0,
-        "items": [
-          "restart(SIGTERM):自动重连 + 旧标签页 lost + 旧引用不重放",
-          "restart(SIGTERM):登录状态保持"
-        ]
-      },
-      "idle": {
-        "passed": 2,
-        "failed": 0,
-        "items": [
-          "idle(SESSION_TIMEOUT_MS):自动重连 + 旧标签页 lost + 旧引用不重放",
-          "idle(SESSION_TIMEOUT_MS):登录状态保持"
-        ]
-      },
-      "c": {
-        "passed": 1,
-        "failed": 0,
-        "items": [
-          "agent-login:凭证注入登录(账号 2)"
-        ]
-      },
-      "d": {
-        "passed": 2,
-        "failed": 0,
-        "items": [
-          "restart(SIGKILL) 账号 2:自动重连 + 旧标签页 lost + 旧引用不重放",
-          "restart(SIGKILL) 账号 2:未落盘登录丢失被明确识别"
-        ]
-      }
-    },
-    "totalPassed": 25,
-    "verifiedCapabilities": 10,
-    "regressionTests": {
-      "passed": 100,
-      "files": 14
-    },
-    "sigkill": "new login since last save is lost and correctly detected; not claimed lossless"
-  },
-  "productionAcceptance": {
-    "httpAndHttpsHealth": "0.3.8 DB ok",
-    "mappingCountsMatch": true,
-    "originalMasterKeyAndAllNonDatabaseMountsPreserved": true,
-    "oldEncryptedDownloaderCredentials": "successful authentication to v5.2.4",
-    "apiWorkerAndAgentRoles": "all alive as uid10001",
-    "appErrorLevelMessages": 0,
-    "latestPG18Backup": "20261001T072536Z",
-    "latestBackupRestore": "passed on isolated PG18, checksums and mappings verified",
-    "restoredTables": 89,
-    "restoredAgentSessionFiles": 35,
-    "allSessionFilesByteIdentical": true,
-    "releaseWebSmoke": {
-      "passed": 83,
-      "skipped": 1
-    },
-    "cleanup": "completed; see upgrade-cleanup.json",
-    "originalReadonlyStateRestored": true,
-    "readonlyValue": false
-  },
-  "status": "completed"
-}

docs/plan/evidence/2026-10-01-dependencies/workspace-audit.txt

@@ -1,80 +0,0 @@
-╭ React Router: Open redirect via backslash in <Link> and useNavigate (CVE-2025-68470 bypass)
-│ Severity:   moderate
-│ Package:    react-router
-│ Vulnerable: >=6.0.0 <7.18.0
-╰ Info:       https://github.com/advisories/GHSA-wrjc-x8rr-h8h6
-
-╭ React Router: Arbitrary Constructor Injection via deserializeErrors() in React Router SSR Hydration
-│ Severity:   moderate
-│ Package:    react-router
-│ Vulnerable: >=6.4.0 <7.18.0
-╰ Info:       https://github.com/advisories/GHSA-337j-9hxr-rhxg
-
-╭ React Router vulnerable to Denial of Service via reflected user input in single-fetch
-│ Severity:   high
-│ Package:    react-router
-│ Vulnerable: >=7.0.0 <7.14.0
-╰ Info:       https://github.com/advisories/GHSA-rxv8-25v2-qmq8
-
-╭ React Router's same-origin redirect with path starting // causes open redirect via protocol-relative URL reinterpretation
-│ Severity:   moderate
-│ Package:    react-router
-│ Vulnerable: >=7.0.0 <7.14.1
-╰ Info:       https://github.com/advisories/GHSA-2j2x-hqr9-3h42
-
-╭ React Router vulnerable to DoS via unbounded path expansion in __manifest endpoint
-│ Severity:   high
-│ Package:    react-router
-│ Vulnerable: >=7.0.0 <7.15.0
-╰ Info:       https://github.com/advisories/GHSA-8x6r-g9mw-2r78
-
-╭ React Router: Unauthenticated Denial of Service via Inefficient Route Matching
-│ Severity:   high
-│ Package:    react-router
-│ Vulnerable: >=7.0.0 <7.18.0
-╰ Info:       https://github.com/advisories/GHSA-chx6-hx7r-mcp5
-
-╭ React Router's vendored turbo-stream v2 allows arbitrary constructor invocation via TYPE_ERROR deserialization leading to Unauth RCE
-│ Severity:   high
-│ Package:    react-router
-│ Vulnerable: >=7.0.0 <=7.14.1
-╰ Info:       https://github.com/advisories/GHSA-49rj-9fvp-4h2h
-
-╭ React Router: RSCErrorHandler Missing Protocol Validation (XSS)
-│ Severity:   moderate
-│ Package:    react-router
-│ Vulnerable: >=7.11.0 <7.18.0
-╰ Info:       https://github.com/advisories/GHSA-h8fp-f39c-q6mh
-
-╭ React Router: Potential CSRF via PUT/PATCH/DELETE document requests
-│ Severity:   low
-│ Package:    react-router
-│ Vulnerable: >=7.12.0 <7.15.1
-╰ Info:       https://github.com/advisories/GHSA-84g9-w2xq-vcv6
-
-╭ React Router: RSC Mode CSRF Bypass Allows Action Execution Before 400 Response
-│ Severity:   high
-│ Package:    react-router
-│ Vulnerable: >=7.12.0 <7.18.2
-╰ Info:       https://github.com/advisories/GHSA-qwww-vcr4-c8h2
-
-╭ React Router has stored XSS via unescaped Location header in prerendered redirect HTML
-│ Severity:   moderate
-│ Package:    react-router
-│ Vulnerable: >=7.5.1 <7.13.2
-╰ Info:       https://github.com/advisories/GHSA-f22v-gfqf-p8f3
-
-╭ React Router vulnerable to XSS in unstable RSC redirect handling via javascript: redirect targets
-│ Severity:   high
-│ Package:    react-router
-│ Vulnerable: >=7.7.0 <7.13.2
-╰ Info:       https://github.com/advisories/GHSA-8646-j5j9-6r62
-
-╭ React Router: Open redirect leading to XSS
-│ Severity:   moderate
-│ Package:    react-router
-│ Vulnerable: >=7.9.6 <=7.12.0
-╰ Info:       https://github.com/advisories/GHSA-jjmj-jmhj-qwj2
-
-Found 13 vulnerabilities
-Severity: 1 low, 6 moderate, 6 high, 0 critical

docs/runbook/deploy.md

@@ -147,9 +147,16 @@ docker compose --env-file .env.deploy logs app | grep 'setup token'
 本次整理来源功能增加 `scanOrganizeSource@1` 和迁移 `0059_organize_source_snapshot`，沿用 `verifyAndImport`。迁移不会扫描或整理已有目录；用户新增来源后先建立基线，存量必须单独触发。
 
 
+本机测试环境的标准做法:
+
 ```sh
 cd <仓库> && git pull
-docker compose --env-file .env.deploy exec app umt backup                              # 升级前先备份
+deno task release            # 工作区须干净、CHANGELOG 已有本版条目;打 tag → 构建 → 只替换 app → 核对健康版本
+```
+
+`scripts/release.sh --no-build` 用已有镜像只重建容器。真有要保留的数据时,先 `docker compose --env-file .env.deploy exec app umt backup` 再发布。手动等价命令:
+
+```sh
 docker compose --env-file .env.deploy up -d --build app                                # 重建镜像并替换容器;启动时自动迁移
 docker compose --env-file .env.deploy ps && docker compose --env-file .env.deploy logs --tail=50 app
 ```
@@ -312,7 +319,7 @@ API Key 在 qB 5.2+ WebUI 选项 → WebUI → API Key 处生成 / 轮换(等价
 
 ## v0.3.10 发布补充
 
-2026-10-01 已发布 v0.3.10，执行 `0060_manual_acquisition`：`acquisition_plan.slot_id` 允许为空，支持独立手动下载；`download_task.import_plan_id` 保存本次入库规划，并以外键引用计划。部署前备份与校验通过，只替换 app 容器；线上接口、版本一致及页面冒烟通过。后续普通 Compose 启动使用已更新的 `.env.deploy` 版本与源码标记。具体证据见 [发布记录](../plan/18-organize-release.md#v0310-手动下载与入库发布)。
+2026-10-01 已发布 v0.3.10，执行 `0060_manual_acquisition`：`acquisition_plan.slot_id` 允许为空，支持独立手动下载；`download_task.import_plan_id` 保存本次入库规划，并以外键引用计划。部署前备份与校验通过，只替换 app 容器；线上接口、版本一致及页面冒烟通过。后续普通 Compose 启动使用已更新的 `.env.deploy` 版本与源码标记。具体证据见 发布记录（已删除，见 git `ceb66f8`）。
 
 ### 当前测试入口
 
@@ -320,4 +327,4 @@ API Key 在 qB 5.2+ WebUI 选项 → WebUI → API Key 处生成 / 轮换(等价
 
 ## v0.3.11 修复发布
 
-搜索结果标题接入已有资源详情抽屉，已发布 v0.3.11；数据库保持 `0060`。浏览器桌面修复镜像为 `umt-browser-desktop:1.18.0-umt.1`，内置有效的最大化配置，已验证上下黑边消失。`.env.deploy` 已记录当前应用版本、源码标记和浏览器镜像，4380 HTTPS／443 HTTPS／本机 4381 HTTP 映射保留。具体验证见 [发布记录](../plan/18-organize-release.md#v0311-搜索详情与桌面黑边修复)。
+搜索结果标题接入已有资源详情抽屉，已发布 v0.3.11；数据库保持 `0060`。浏览器桌面修复镜像为 `umt-browser-desktop:1.18.0-umt.1`，内置有效的最大化配置，已验证上下黑边消失。`.env.deploy` 已记录当前应用版本、源码标记和浏览器镜像，4380 HTTPS／443 HTTPS／本机 4381 HTTP 映射保留。具体验证见 发布记录（已删除，见 git `ceb66f8`）。

docs/runbook/dev.md

@@ -3,16 +3,15 @@
 ## 前置
 
 - Deno 2.9.7(锁定;`curl -fsSL https://deno.land/install.sh | sh -s v2.9.7`)、Docker。不需要 Node.js / pnpm。
-- 端口:web 5180、API 4380、PG 55433。本机 3000/5175/5176/55432 已被其他项目占用,不要改用。
+- 端口:web 5180、API 4390、PG 55433。4380 留给本机部署版(Caddy),本机 3000/5175/5176/55432 已被其他项目占用,不要改用。
 
 ## 首次启动
 
 ```sh
 cp .env.example .env          # 按需修改;server 与 db 脚本都读仓库根 .env
-deno task db:up               # 起 postgres:16-alpine(docker-compose.dev.yml,数据卷 umt-pg-data)
 deno install                  # 按 deno.lock 装依赖到 node_modules(成员包软链到 node_modules/@umt/*)
-deno task db:migrate          # 执行 packages/db/migrations 下全部迁移
+deno task dev:up              # 起开发库 postgres:18.6(docker-compose.dev.yml)并迁移到最新;拉代码后也跑一次
-deno task dev                 # 同时起 server(4380)与 web(5180)
+deno task dev                 # 同时起 server(4390)与 web(5180)
 ```
 
 单独起:`deno task dev:server`(`deno run --watch`,默认 `--role all`,API + worker 同进程)、`deno task dev:web`。
@@ -20,13 +19,13 @@ deno task dev                 # 同时起 server(4380)与 web(5180)
 ## 验证
 
 ```sh
-curl localhost:4380/api/v1/health
+curl localhost:4390/api/v1/health
 # 开发模式可用 .env 的 DEV_ADMIN_KEY 作 admin
-curl -N -H "Authorization: Bearer umt-dev-admin-key" "localhost:4380/api/v1/events?after=0"          # SSE 流(控制台用)
+curl -N -H "Authorization: Bearer umt-dev-admin-key" "localhost:4390/api/v1/events?after=0"          # SSE 流(控制台用)
-curl -H "Authorization: Bearer umt-dev-admin-key" "localhost:4380/api/v1/events?after=0&limit=50"   # JSON 补读页(API Key 调用者用)
+curl -H "Authorization: Bearer umt-dev-admin-key" "localhost:4390/api/v1/events?after=0&limit=50"   # JSON 补读页(API Key 调用者用)
 ```
 
-- OpenAPI:http://localhost:4380/api/openapi.json,文档页 http://localhost:4380/api/docs
+- OpenAPI:http://localhost:4390/api/openapi.json,文档页 http://localhost:4390/api/docs
 - 控制台:http://localhost:5180,右上角钥匙按钮设置 API Key(存 localStorage `umt-api-key`)
 
 ## 常用命令

docs/spikes/deno-2.9.7.md

@@ -1,196 +0,0 @@
-# Deno 2.9.7 + TypeScript 7.0.2 切换准入验证记录
-
-- 日期:2026-09-27;宿主:Linux x86_64,Docker 可用;Node v24.15.0 仍在机器上,用来做对照。
-- 代码:`spikes/deno/`,是独立的 Deno workspace,不属于 pnpm workspace。原始输出在 `spikes/deno/logs/*.txt`。
-- PG:`docker run -d --name umt-deno-pg -p 55435:5432 -e POSTGRES_PASSWORD=spike postgres:16-alpine`,验证结束后已删除。
-- 结论见 `docs/adr/ADR-004-deno-runtime.md`。
-
-## 0. 安装与版本
-
-```text
-$ curl -fsSL https://deno.land/install.sh | DENO_INSTALL=/usr/local sh -s v2.9.7
-Deno was installed successfully to /usr/local/bin/deno
-$ deno --version
-deno 2.9.7 (stable, release, x86_64-unknown-linux-gnu)
-v8 15.0.245.2-rusty
-typescript 6.0.3
-```
-
-**注意:Deno 2.9.7 内置的 TypeScript 是 6.0.3,不是 7。** `deno check`、`deno test`、`deno compile` 做类型检查时都用 6.0.3。TS 7.0.2 只能从 npm 装(`npm:[email protected]`),见 §g。
-
-## 1. 结论表
-
-| 项 | 结论 | 要点 |
-|---|---|---|
-| workspace + `nodeModulesDir: "auto"` + `npm:` imports + `deno install` | 通过 | 12 秒装完;生成的 `deno.lock` 是 v5 格式。有安装脚本的包(protobufjs、@google/genai、msw)默认被跳过,和 pnpm `allowBuilds` 的效果一样 |
-| a. openworkflow 0.10.1 + postgres.js | 通过 | 迁移建表、step.run/sleep/waitForSignal、幂等键、kill -9 后被另一个 worker 接管、双 worker 40 个 run 无重复,语义和 Node 下一致 |
-| b. pi-agent-core / pi-ai 0.87.1 | 通过 | fake provider 事件流、白名单(`bash` 被拒)、abort、SIGKILL 后 JSONL 恢复("结果未知",不重复提交)都跑通。`NodeExecutionEnv` 在 Deno 下可以用 |
-| c1. Hono 4 + `Deno.serve` + SSE | 通过 | SSE 头和分帧正确;SIGTERM 触发 `AbortController` 后,即使有 SSE 长连接挂着,服务也在约 0.2 秒内退出 |
-| c2. Kysely 0.29 + pg 8 / postgres.js | 两种都通过,**推荐 pg** | 项目真实的 12 个迁移在 Deno 下全部成功。postgres.js 方言对 `JSON.stringify` 过的 jsonb 会双重编码,所以业务库继续用 pg;OpenWorkflow 自己带 postgres.js |
-| d. pino 10 | 通过 | 自定义 destination、formatters/hooks 脱敏、`pino.transport`(worker_threads)、pino-pretty 都能用,**不用换**。LogTape 作为备选也验证通过 |
-| e. vitest 5 | 通过(需两处调整) | `deno run -A npm:vitest run` 能跑 node:http、child_process kill、fs 临时目录、statfs。真实仓库各包:server 15/15,contracts、db、domain、testkit 和 Node 一样;tasks 用干净 PG 跑 15/15;agent 有 1 例失败,原因是 import 没写扩展名 |
-| e'. `deno test` + `@std/expect` | 通过 | 只改 2 行 import 就能跑同一套用例 |
-| f. 前端 Vite 7 + React Router 7 | 通过 | `deno task build`(执行 package.json 里的 script)能构建,`vite dev` / `react-router dev` 在 5181 端口 curl 200;token 脚本 `deno run -A` 能生成也能检查。全程没有调用 node(用假 node 放在 PATH 最前面验证过) |
-| g. TypeScript 7.0.2 | 通过(需变通) | 可执行入口是 `npm:[email protected]/tsc`,**包里没有 `tsgo`**。真实仓库 8 个 tsconfig 在 TS7 下都是 0 错误;web 要删掉 `baseUrl`(TS7 已移除这个选项)。tsc 解析不了 `jsr:`,Deno 全局类型要靠 `deno types` 提供 |
-| h. `deno compile` / 镜像 | 通过(需变通) | 默认打包会把整个 node_modules 塞进去,二进制 440 MB;加 `--node-modules-dir=none --exclude-unused-npm` 后是 107 MB。`denoland/deno:2.9.7` 有 amd64 和 arm64 两个平台。单容器镜像 260 MB,API、SSE、SPA 回退和 SIGTERM 退出都验证过 |
-
-## 2. 分项记录
-
-### workspace 结构
-
-```text
-spikes/deno/
-  deno.json            workspace: packages/x, packages/contracts, apps/server, web;nodeModulesDir: auto;imports 用 npm:/jsr:
-  packages/x/          deno.json 成员(name/exports),模拟 packages/*
-  packages/contracts/  仓库 contracts 的快照;同时有 deno.json 和精简的 package.json
-  apps/server/         deno.json 成员:ow/、pi/、http.ts、db.ts、log-*.ts、node-compat.ts、test/
-  web/                 apps/web 的只读复制;package.json 成员
-  tsconfig.tsc.json    只给 TS 7 用(不能叫 tsconfig.json,见 §g)
-  Dockerfile           单容器验证
-```
-
-**成员被 Vite/vitest/tsc 解析的前提:** `package.json` 成员会被 `deno install` 软链到 `node_modules/@umt/*`,所以 Vite、vitest、tsc 这些走 node 解析的工具都能找到它。只有 `deno.json` 的成员(比如 `@spike/x`)**不会**被链接,这些工具找不到。已验证同一个目录可以同时放 `deno.json` 和 `package.json`:Deno 的 name/exports 以 deno.json 为准,链接照样生成。
-
-### a. OpenWorkflow
-
-```text
-$ deno run -A src/ow/cli.ts tables
-biz.side_effect_ledger / openworkflow.openworkflow_migrations / step_attempts / workflow_runs / workflow_signals
-# 正常路径:signal 发出后 run 完成,步骤依次是 submit→signal-wait→copy→register→sleep→cleanup;用同一个 idempotencyKey 再投递,返回的是同一个 run
-# kill -9:copy-file(6s)执行中 kill -9 worker A,启动 worker B,约 36 秒后完成(租约过期接管)
-1fdbe2ec copy-file  A  start
-1fdbe2ec copy-file  B  start / end → register B → cleanup B      (attempts=4)
-# 双 worker:40 个 burst run
-{"total":"40","runs":"40","a":"24","b":"16"}
-# SIGTERM:Deno.addSignalListener → worker.stop() → "[A] worker stopped gracefully"
-```
-
-改动只有三处:`process.on("SIGTERM")` 换成 `Deno.addSignalListener`,`node:fs` 写 pidfile 换成 `Deno.writeTextFileSync`,其余文件在顶部补 `import process from "node:process"`。其实不改也能跑,因为 Deno 2 对 npm/Node 代码提供了全局 `process`,`process.on` 也验证可用,见 §h。
-
-### b. Pi
-
-```text
-$ deno run -A src/pi/fake-run.ts
-[tool_end] inventory__query isError=false → {"inLibrary":false}
-[tool_end] download__submit isError=false → {"accepted":true,"idempotencyKey":"dl:Dune:1080p"}
-[tool_end] bash isError=true -> "Tool \"bash\" is unavailable"
-[run_end] status=completed   fake calls: 3
-$ SUBMIT_DELAY_MS=2000 deno run -A src/pi/abort-resume.ts crash   # 进程自己 SIGKILL
-$ deno run -A src/pi/abort-resume.ts resume
-open operations at attach: [{"lane":"main","kind":"run",...}]
-[tool_end] (recovery) download__submit "[Tool execution was interrupted ... external outcome is unknown.]"
-SUBMITTED in this process []   ← 没有重复提交
-```
-
-### c. Hono + Deno.serve + SSE,Kysely
-
-- `Deno.serve({ port, signal })` 直接接 `app.fetch`;`streamSSE` 输出 `event/data/id`。SIGTERM 时 abort signal,`server.finished` 会 resolve。
-- 挂着 SSE 长连接时关服:不管应用层有没有主动关 SSE,进程都在约 0.21 秒内退出(`logs/hono-shutdown.txt`)。Node 那边原来需要 `closeAllConnections()`,这里不需要。
-- 静态托管:用 `hono/deno` 的 `serveStatic({ root })`,SPA 回退要写成 `serveStatic({ root, path: "index.html" })`。**写绝对路径 `path: "/app/public/index.html"` 会 404**。
-- Kysely 0.29 的迁移 API 要从 `kysely/migration` 导入,import map 里需要加 `"kysely/": "npm:/kysely@^0.29.6/"`。
-
-```text
-pg         migrate: ["0001_init:Success","0002_index:Success"]  rows: string:1/Dune/{"q":"1080p"}/true   50 并发/池 4: 158ms
-postgresjs migrate: 同上                                        rows: string:1/Dune/"{\"q\":\"1080p\"}"/true  ← jsonb 被双重编码   170ms
-# 真实迁移(只读引用 packages/db/migrations):
-pg migrate: ["0001_init:Success", … ,"0012_organization:Success"] error: null
-```
-
-### d. 日志
-
-```text
-{"level":30,...,"token":"[REDACTED]","url":"https://x/rss?passkey=[REDACTED]&a=1","msg":"fetch https://x?api_key=[REDACTED]"}
-{"level":40,...,"component":"worker","password":"p","err":{},"msg":"child"}      ← 见下方"顺带发现"
-{"level":30,...,"secret":"[REDACTED]","msg":"via pino.transport (worker_threads)"}
-[18:04:42] INFO (987284): via pino-pretty transport
-```
-
-**顺带发现(和运行时无关,Node 下复现结果相同):** 现有 `apps/server/src/logger.ts` 的脱敏有两个漏洞:① `logger.child({ password })` 的 bindings 不经过 `formatters.log`,需要再加一个 `formatters.bindings`;② `redact()` 把 `Error` 当普通对象处理,结果 `err` 变成 `{}`,应该先按 `err.message/stack` 序列化,再做脱敏。
-
-LogTape(npm 版 `@logtape/logtape`)写一个 redacting sink 包装约 5 行,输出 JSON Lines,也可用。**结论:保留 pino。**
-
-### e. 测试
-
-```text
-$ deno run -A npm:vitest@5.0.2 run            # spike 自带用例
-FAIL: Cannot find package '@spike/x'          ← deno.json 成员不在 node_modules 里,Vite 解析不到
-# vitest.config.ts 加上 resolve.alias 之后,连跑 3 次都是 5/5 通过(约 0.7s)
-
-$ cd apps/server && deno run -A --no-lock npm:vitest run      # 真实仓库,只读
-Test Files 4 passed (4)  Tests 15 passed (15)
-```
-
-真实各包在 Deno 和 Node 下的对照(`logs/vitest-real-packages.txt`):
-
-| 包 | Deno | Node | 说明 |
-|---|---|---|---|
-| contracts / db / domain / testkit | 361 / 11 / 122 / 1 全过 | 同 | |
-| adapters | 108 过 1 败 | 108 过 1 败 | 两边一样,是在改代码导致的,和运行时无关 |
-| tasks | 在共享的开发 PG 上不稳 | 在共享的开发 PG 上也不稳 | 换成干净的 PG(55435)后 Deno 下 **15/15**,包括子进程 kill -9 的恢复用例 |
-| agent | 26 过 1 败 | 27 全过 | 子进程用 `process.execPath` 启动,在 Deno 下这个路径就是 deno,原生加载 `contracts/src/index.ts` 时碰到 `export * from "./agent"` 这种不带扩展名的 import |
-
-`deno test` 的写法(`logs/deno-test.txt`):只需把
-
-```ts
-import { afterAll, beforeAll, describe, expect, it } from "vitest";
-```
-
-换成
-
-```ts
-import { afterAll, beforeAll, describe, it } from "@std/testing/bdd";
-import { expect } from "@std/expect";
-```
-
-`ok | 1 passed (6 steps)`。资源泄漏检查(sanitizer)也没有报错。要注意的差异:没有 `vi.fn/vi.mock`(改用 `@std/testing/mock` 的 `spy/stub`);没有 `describe.skipIf`(改成 `it({ ignore: cond })`);`toMatchObject`、`toEqual` 等常用 matcher 在 `@std/expect` 里都有。
-
-### f. 前端
-
-```text
-$ deno run -A npm:react-router build
-error: ... react-router/package.json did not have a bin property    ← CLI 在 @react-router/dev 包里
-$ deno run -A npm:@react-router/dev@7.12.0/react-router build   → ✓ built in 690ms,SPA Mode: Generated build/client/index.html
-$ deno task build           (执行 package.json 的 "react-router build";PATH 最前面放了会 exit 99 的假 node,构建仍然成功)
-$ deno run -A npm:vite@7 dev --port 5181 --strictPort
-GET / -> 200 228202B  <title>UHD 媒体自动化控制台</title>;GET /app/root.tsx -> 200 text/javascript
-$ deno run -A scripts/gen-design-tokens.mjs [--check]  → 生成 / "登记表是最新的",exit 0;check-design-tokens.sh 通过
-```
-
-`deno task` 运行 `node_modules/.bin/*` 时用的是 Deno,不会去调系统的 node。
-
-### g. TypeScript 7.0.2
-
-- 包结构:`[email protected]` 的 `bin` 只有 `{ tsc }`,`lib/tsc.js` 只是个壳,真正执行的是平台包 `@typescript/typescript-linux-x64/lib/tsc`(Go 原生二进制)。Deno 下没有 `process.execve`,会走 `execFileSync` 分支,exit code 能正确透传。
-- 命令:`deno run -A npm:[email protected]/tsc --noEmit -p tsconfig.tsc.json`。
-- 结果对照(`logs/typecheck-compare.txt`、`logs/tsc7-real-repo.txt`、`logs/tsc7-web.txt`):
-
-| | tsc 7.0.2 | deno check(TS 6.0.3) |
-|---|---|---|
-| spike 代码 | 0 错误,1.5s(约 12s CPU,多核并行) | 0 错误,2.6s |
-| 同一批严格错误(noUncheckedIndexedAccess 等) | 报出,结果一致 | 报出,结果一致 |
-| `jsr:` 包(如 `@std/expect`) | **解析不了**(TS2307) | 能解析 |
-| `Deno.*` 全局 | 需要 `deno types > types/deno.d.ts` 加进 include | 内置 |
-| 真实仓库 7 个包 + server(现有 tsconfig) | **全部 0 错误** | 不带扩展名的 import 未解决前:contracts 16、domain 7、db 3、tasks 9、agent 11、adapters 6、server 8 个解析错误;加 `--sloppy-imports` 后全部 0 错误 |
-| web(React Router typegen 之后) | 删掉 `baseUrl` 后 0 错误(TS5102: Option 'baseUrl' has been removed) | 不适用 |
-
-- **坑:** 只要 workspace 根目录有 `tsconfig.json`,`deno check` 就会读它的 `compilerOptions.lib`。如果里面写的是 `["ES2023","DOM"]`,Deno 会报找不到 `Deno` 名字,也不认识 `import.meta.main`。所以给 TS7 用的配置要换个文件名(`tsconfig.tsc.json`),或者写到各包目录里,不要放在根目录叫 `tsconfig.json`。
-- 不带扩展名的 import 可以自动修:`deno lint --sloppy-imports --fix --rules-include=no-sloppy-imports <dir>`,验证过能改成 `./a.ts` 和 `./dir/index.ts`(`logs/sloppy-fix.txt`)。仓库 src+test 里大约有 400 行这样的 import。
-
-### h. 容器与 Node 专有 API
-
-```text
-deno compile -A worker.ts                                           → 440 MB(把整个 node_modules 443M 都嵌进去了,包括前端依赖和 TS 原生二进制)
-deno compile --bundle                                              → 141 MB
-deno compile --node-modules-dir=none --exclude-unused-npm          → 107 MB   三种都能正常消费 OW 任务并优雅停止
-$ docker manifest inspect denoland/deno:2.9.7  → OCI index,linux/amd64 + linux/arm64(Debian 13 trixie,默认 root 用户)
-$ docker build(spikes/deno/Dockerfile:deno install → web build → deno compile → debian:trixie-slim)
-image size 260MB;health 200;/ 200 text/html;/settings(SPA 回退)200;assets js 200;SSE 3 个事件;docker stop(SIGTERM)0.31s
-```
-
-第一版 Dockerfile 用的是 `deno run --cached-only` 加 `USER deno`,结果失败:`File exists (os error 17), symlink '../../packages/contracts' -> '/app/node_modules/@umt/contracts'`。原因是 `nodeModulesDir: auto` 在运行时还会尝试重建 node_modules 链接,而且镜像有 813 MB。**生产镜像应改用 compile 出的二进制;如果坚持用 `deno run`,就加 `--node-modules-dir=manual`,并在构建阶段用 root 装好依赖。**
-
-Node API 探测(`src/node-compat.ts` → `logs/node-compat.txt`):`node:util parseArgs`、`fs.statfs`、`os.*`、`process.memoryUsage`、`AsyncLocalStorage`、`node:crypto`、`worker_threads`(`new Worker(url, {type:"module"})`)、`child_process.spawn` 加 SIGTERM、`process.on("SIGTERM")` 全部正常;`process.execPath` 是 `/usr/local/bin/deno`。
-
-## 3. 清理
-
-`umt-deno-pg`、`umt-deno-app` 两个容器和 `umt-deno-spike` 镜像已删除;compile 产物、`web/build`、会话目录已删除;5181、5199、58080、55435 端口都没有监听进程。`spikes/deno/node_modules`(443 MB)被 .gitignore 忽略,需要时执行 `deno install` 重建。

docs/spikes/w0b-openworkflow.md

@@ -1,178 +0,0 @@
-# W0-B spike:OpenWorkflow 0.10.1 兼容性验证记录
-
-- 日期:2026-09-27;环境:Node v24.15.0、PostgreSQL 16(`postgres:16-alpine`,容器 `umt-spike-pg`,端口 55434)、`[email protected]`、`[email protected]`、`[email protected]` + `pg@8`
-- 代码:`spikes/openworkflow/`(`common.ts` 定义工作流,`worker.ts` 起 worker,`cli.ts` 投递/信号/取消/查询)
-- 业务副作用账本:每个步骤体执行时往 `biz.side_effect_ledger`(Kysely + pg)插一行,用来判断步骤有没有重跑、有没有在失去租约后继续写。
-- 结论见 `docs/adr/ADR-002-task-engine.md`。
-
-## 0. API 形状(以 node_modules 内 .d.ts 为准)
-
-```ts
-import { OpenWorkflow } from "openworkflow";
-import { BackendPostgres } from "openworkflow/postgres";
-
-const backend = await BackendPostgres.connect(url, { schema: "openworkflow", namespaceId?, runMigrations?: true });
-// 或 BackendPostgres.fromPool(postgresJsSql, { schema })  —— 共享 postgres.js 连接池,不跑迁移
-const ow = new OpenWorkflow({ backend });
-const wf = ow.defineWorkflow({ name, version?, schema?: StandardSchema, retryPolicy?: { maximumAttempts, initialInterval, backoffCoefficient, maximumInterval } },
-  async ({ input, step, run, version }) => {
-    await step.run({ name, retryPolicy? }, async () => ...);          // 结果持久化,重放时直接返回
-    await step.sleep(name, "3s" | "7 days");                            // 持久定时
-    const s = await step.waitForSignal<T>({ name?, signal, timeout?, schema? }); // 超时返回 null,默认超时 1 年
-    await step.sendSignal({ signal, data }); await step.runWorkflow(spec, input, { timeout });
-  });
-const h = await wf.run(input, { idempotencyKey?, availableAt?, deadlineAt? });   // h.workflowRun.id / h.result() / h.cancel()
-await ow.sendSignal({ signal, data, idempotencyKey? });  // → { workflowRunIds }
-await ow.cancelWorkflowRun(id);
-const worker = ow.newWorker({ concurrency }); await worker.start(); await worker.stop();
-backend.getWorkflowRun({ workflowRunId }); backend.listStepAttempts({ workflowRunId }); backend.listWorkflowRuns({ status, workflowName });
-```
-
-- 运行状态:`pending | running | sleeping(legacy) | completed | succeeded | failed | canceled`。等待信号 / sleep 期间,run 的 status 仍是 `running`,只是 `worker_id` 为空且 `available_at` 指向唤醒时间。
-- 默认值(源码):工作流 `maximumAttempts: 1`;步骤 `maximumAttempts: 10`、`1s` 起指数退避、上限 `100s`;租约 `30s`,由心跳每 15s 续期(不可配置);单个 run 最多 1000 个 step attempt。
-- 版本:注册表的键是 `(name, version)`;run 创建时记下 version,只有注册了同一 version 的 worker 才会执行它。
-
-## 验证结果
-
-### (a) 表初始化 / 迁移 —— 通过
-
-`BackendPostgres.connect()` 默认执行幂等迁移(`CREATE SCHEMA IF NOT EXISTS` + `openworkflow_migrations` 版本表)。另有 `dist/postgres/scripts/db-migrate.js`(只认默认 URL,生产不宜直接用)。`fromPool()` 不跑迁移。
-
-```
-$ npx tsx openworkflow/cli.ts tables
-biz.side_effect_ledger
-openworkflow.openworkflow_migrations
-openworkflow.step_attempts
-openworkflow.workflow_runs
-openworkflow.workflow_signals
-```
-
-建议:在 `packages/db` 的迁移流程里调用 `migrate(sql, "openworkflow")`(`openworkflow/internal` 导出),应用启动时用 `runMigrations:false`。**未验证** `openworkflow/internal` 的 `migrate` 直接调用。
-
-### 主路径 —— 通过
-
-```
-{"runId":"bdc8f92d-…","status":"pending","version":"v1"}
-{"status":"running",…}                       ← 停在 wait-download
-{"workflowRunIds":["bdc8f92d-…"]}            ← signal download-done:d1
-{"status":"completed","attempts":3,"output":{"sub":{"torrentHash":"hash-d1"},"copied":{"dest":"/lib/d1.mkv"},"signal":{"ok":true}}}
-submit-download function completed / wait-download signal-wait completed / copy-file function completed
-register function completed / retention sleep completed / cleanup function completed
-```
-
-### (b) kill -9 后重启恢复 —— 通过(语义:已完成步骤不重跑,正在执行的步骤至少执行一次)
-
-copy-file 步骤内等待 10s;在复制途中对 worker `kill -9`,再启动新 worker A2:
-
-```
-kill 之后:  {"status":"running","attempts":2}  copy-file function running;available_at 比 now 晚约 16s(租约尚未到期)
-A2 启动约 30s 后:{"status":"completed","attempts":4}
-submit-download completed / wait-download completed / copy-file running(孤儿行) / copy-file completed / register / retention / cleanup
-账本:
-9e50537b submit-download  A      version=v1
-9e50537b copy-file        A      start          ← 被 kill 的那次
-9e50537b copy-file        A2     start          ← 同一步骤重跑
-9e50537b copy-file        A2     end
-9e50537b register         A2 / cleanup A2
-```
-
-- submit-download 与信号等待没有重跑;copy-file 在新 worker 上从头执行。所以步骤体必须幂等(例如复制前先查目标文件和操作日志)。
-- 要等租约到期(最长约 30s)才会被重新认领。
-- 被中断的 attempt 行一直停在 `running`,不会被清掉。展示时不要按这张表统计"执行中"。
-
-### 租约丢失后的写入隔离(补充:SIGSTOP 模拟 worker 卡死) —— 引擎层通过,业务层没有隔离
-
-对 A 执行 `kill -STOP`,由 B 接管并完成,再 `kill -CONT` A:
-
-```
-d23c7db1 copy-file  A  start
-d23c7db1 copy-file  B  start / B end / register B / cleanup B    ← run completed
-d23c7db1 copy-file  A  end                                        ← A 恢复后步骤体照常跑完并写了业务账本
-Heartbeat failed: Error: Failed to extend lease for workflow run   ← A 的步骤结果被引擎拒绝(worker_id 不再匹配)
-```
-
-引擎保证过期 worker 的**步骤结果**不会写入;但步骤体内的**业务副作用**照常发生,而且步骤体拿不到 AbortSignal 或租约状态。REQ §11.1 要求"失去租约的 worker 不得再提交业务状态",这一条要靠业务侧的操作账本做 fencing(见 ADR-002)。
-
-### (c) 信号先于等待到达 —— **会丢**
-
-```
-$ cli signal d2 early-key          → {"workflowRunIds":[]}         ← 还没有等待者,直接丢弃
-$ cli start-acquire d2             → run 停在 wait-download(running)
-$ cli signal d2 early-key          → {"workflowRunIds":["f837c0cb-…"]}   ← 同一个 idempotencyKey 仍能投递(前一次没落库)
-$ cli signal d2 key2               → {"workflowRunIds":[]}         ← 等待已结束,再发就丢
-```
-
-源码 `sendSignal` 只会 `SELECT … step_attempts WHERE kind='signal-wait' AND status='running' FOR UPDATE`,没有等待者就返回空数组,不落库(类型注释也写了:"If no workflow is waiting, the signal is silently dropped")。同一信号名同一时间只允许一个等待步骤。**不能把 signal 当持久授权或完成通知。**
-
-### (d) 取消传播 —— 部分通过
-
-```
-cancel slow(处于 long 步骤中) → {"status":"canceled"}
-  账本:long start … long end (still ran after cancel?)   ← 进行中的步骤体跑完了(没有 AbortSignal)
-  after-long 未执行;long 的 attempt 行停在 running
-cancel acquire(处于 wait-download) → {"status":"canceled"},之后的步骤不再执行
-  但随后 signal d4 → {"workflowRunIds":["282dde2b-…"]}   ← 对已取消的 run 仍然"投递成功"
-cancel 已完成 run → Error: Cannot cancel workflow run … with status completed
-```
-
-取消只能保证"后续步骤不再执行"。进行中的步骤不会被中断,子工作流是否级联取消**未验证**。
-
-### (e) 步骤失败重试与最大次数 —— 通过
-
-```
-flaky(前 2 次失败, maximumAttempts=3):completed, attempts=3
-  flaky-step failed "boom attempt 1" / failed "boom attempt 2" / completed
-flaky(前 5 次失败, maximumAttempts=3):failed, attempts=3, error.message="boom attempt 3"
-  flaky-step failed ×3,不再重试
-```
-
-步骤重试的实现方式是整个 run 按退避重新排期、重放前面的步骤;run 的 `attempts` 会随之增长。重试期间 run 显示为 `pending`,错误写在 run.error 上。
-
-### (f) idempotencyKey 去重 —— 通过(有限制)
-
-```
-start-acquire d5 same-key       → runId fd705d54…  pending
-start-acquire d5 same-key       → runId fd705d54…  running   ← 返回已有 run
-start-acquire d5-other same-key → runId fd705d54…            ← 输入不同也返回旧 run,不报冲突
-select count(*) … where idempotency_key='same-key' → 1
-```
-
-去重范围是 `(namespace, workflowName, key)`,用 advisory lock 串行化,**窗口只有 24 小时**(`DEFAULT_RUN_IDEMPOTENCY_PERIOD_MS`)。引擎不比较输入。
-
-### (g) 版本升级 —— 通过(要自己管好版本纪律)
-
-1. run 以 `version=v1` 停在等待中;停掉 v1 worker,只起 `WF_VERSION=v2` 的 worker,然后发信号:
-   ```
-   {"status":"pending","attempts":2,"error":{"message":"Workflow \"acquire\" (version: v1) is not registered"}}
-   ```
-   run 没有失败,而是按退避无限重排(`MISSING_DEFINITION_RETRY_POLICY maximumAttempts:0`),等能处理 v1 的 worker 出现。
-2. 再起一个 v1 worker,但代码改过(同一 version 在 copy 与 register 之间插入 `v2-extra-verify` 步骤):
-   ```
-   completed;steps: submit-download / wait-download / copy-file / v2-extra-verify / register / retention / cleanup
-   ```
-   重放按**步骤名**匹配历史,没有确定性检查。新插入的步骤会执行;已完成的步骤只要改了名,就会被当作新步骤重跑。
-
-### (h) 与 Kysely + pg 共库不同 schema —— 通过
-
-OpenWorkflow(postgres.js 连接池,schema `openworkflow`)和 Kysely(pg 连接池,schema `biz`)在同一个库里跑完了以上全部用例,没有冲突。限制:OpenWorkflow 自己管连接(postgres.js),`createWorkflowRun` 不能接收 Kysely 事务,所以**不能和业务写入在同一个事务里入队**,要用 outbox。
-
-### (i) 两个 worker 进程并发 —— 通过
-
-```
-worker A、B 同时运行,投递 60 个 burst run
-{"total":"60","runs":"60","a":"32","b":"28"}   ← 60 次执行、60 个 run,没有重复
-completed|60
-```
-
-认领 SQL 用的是 `FOR UPDATE SKIP LOCKED`。
-
-### 补充:PostgreSQL 重启 —— 通过
-
-run 处于 15s 的 retention sleep 时执行 `docker restart umt-spike-pg`,约 30s 后 run 已 `completed`,6 个步骤都 completed;worker 日志里有 2 条 tick 失败,之后自动恢复。
-
-## 未验证
-
-- Deno 下运行(ADR-001 已选 Node)。
-- `step.runWorkflow` 子工作流取消级联、`deadlineAt`、OpenTelemetry。
-- 大量 sleeping run(>10k)下的轮询开销。
-- "qB 接收后断连""复制完成但结果未提交"这类业务故障注入。它们属于业务幂等层,在 `packages/tasks` 集成测试中覆盖(见 ADR-002)。

docs/spikes/w0b-pi.md

@@ -1,159 +0,0 @@
-# W0-B spike:Pi SDK(pi-agent-core / pi-ai 0.87.1)验证记录
-
-- 日期:2026-09-27;Node v24.15.0;`@earendil-works/[email protected]`、`@earendil-works/[email protected]`(依赖 `@earendil-works/chord`、`pi-telemetry`、`[email protected]`)
-- 代码:`spikes/pi/`(`common.ts` 工具与脚本化模型、`fake-run.ts`、`abort-resume.ts`、`compaction.ts`、`provider-config.ts`)
-- 参考:包内 README / .d.ts;GitHub `earendil-works/pi` tag `v0.87.1` 的 `packages/agent/docs/harness.md`(AgentHarness 规范)、`packages/agent/test/harness/runtime/drive-public.test.ts`、`packages/coding-agent/examples/sdk/12-full-control.ts`
-- 结论见 `docs/adr/ADR-003-pi-integration.md`
-
-## 0. 该用哪一层
-
-| 层 | 包 | 说明 | 结论 |
-| --- | --- | --- | --- |
-| `Agent` / `agentLoop` | pi-agent-core | 进程内状态,无持久化 | 不用 |
-| **`AgentHarness` + `AgentLane`** | pi-agent-core | 持久会话(entry 树 + 操作状态机),有 prompt/resume/abort/compact、事件、hooks、工具重放策略;**不做任何隐式发现** | **采用** |
-| `createAgentSession` / `AgentSession` | pi-coding-agent | 编码助手层:ResourceLoader 会发现扩展、skills、AGENTS.md,内置 read/bash 等工具,依赖 pi-tui、jiti(运行时加载 TS 扩展)、photon | 不用。REQ §10.1 说的"AgentSession 层"在 0.87.1 里的对应物,就是 core 的 AgentHarness |
-
-`grep` 过 pi-agent-core dist:只有 `harness/skills.js`(显式调用的 loader)、`env/nodejs.js`(显式构造的执行环境)、`pico3/jsonl.js` 会接触文件系统。`AgentHarness.create()` 只使用传入的 `tools` / `resources` / `systemPrompt`,**不读取 cwd、home、`.pi/`、AGENTS.md**。
-
-## 1. 关键 API 形状
-
-```ts
-import { createModels, createProvider, fauxProvider, fauxAssistantMessage, fauxToolCall, fauxText } from "@earendil-works/pi-ai";
-import { AgentHarness, BACKGROUND_CONTEXT, MemorySessionRepo, JsonlSessionRepo, type AgentHarnessTool } from "@earendil-works/pi-agent-core";
-
-const models = createModels(); models.setProvider(provider);
-const session = await new MemorySessionRepo().create({ id }, ctx);          // 或 JsonlSessionRepo({ fileSystem, sessionsRoot })
-const { harness, open } = await AgentHarness.create({
-  session, models, model,
-  systemPrompt, tools: [/* AgentHarnessTool */], toolContext: { actorId, grants },  // toolContext 可为 (ctx)=>T
-  activeToolNames?, thinkingLevel: "off"|"minimal"|"low"|"medium"|"high"|"xhigh"|"max",
-  compaction: { enabled, reserveTokens, keepRecentTokens },
-  retry: { enabled, maxRetries, baseDelayMs, maxAgentDelayMs? },
-  streamOptions: { timeoutMs, maxRetries, headers, metadata, cacheRetention, deferred },
-  toolExecution: "sequential" | "parallel", resources?: { skills, promptTemplates },
-}, ctx);                                                  // open = 附着时发现的未完成操作
-const lane = await harness.lane("main", ctx);
-await lane.prompt(text, undefined, ctx) / lane.resume(ctx) / lane.abort(ctx) / lane.compact({ customInstructions }, ctx)
-lane.accept({kind:"prompt",operationId,prompt}) + lane.drive({operationId}) + lane.requestAbort(operationId)   // 低层原语,可由外部调度器驱动
-harness.events.on("tool_start" | "tool_end" | "message_update" | "run_end" | "usage" | "compaction_end" | …, listener)
-harness.hooks.on("before_tool" | "after_tool" | "before_request" | "before_payload" | "transform_context" | "before_compaction" | …, handler)
-lane.setModel({provider, modelId}) / setThinkingLevel / setActiveTools;harness.setTools / setCompactionSettings / setRetryPolicy
-```
-
-工具:
-
-```ts
-const t: AgentHarnessTool<Ctx> = {
-  name, label, description, parameters: Type.Object({...}),   // typebox 1.x
-  replay: "safe" | "never",      // 崩溃后:safe = 用持久化的参数重跑;never = 合成"执行被中断、结果未知"的错误结果
-  executionMode?: "sequential",
-  async execute(toolCallId, params, onUpdate, toolContext, invocation /* invocationId, getMemo/setMemo */, context /* context.abortSignal */) {
-    return { content: [{ type: "text", text }], details };     // 失败直接 throw → isError:true
-  },
-};
-```
-
-## 2. 验证结果
-
-### 2.1 fake 模型驱动两个工具 + 流式事件 —— 通过(`npx tsx pi/fake-run.ts`)
-
-fake 模型用 `fauxProvider` + `FauxResponseFactory`(函数收到 transcript,按上一个工具结果决定下一步)实现,不需要 API Key。
-
-```
-[run_start] lane=main
-[turn_start] lane=main
-  [text_delta] "我先查一下库里有没有《D"
-  [text_delta] "une》。"
-  [toolcall_end] inventory__query
-[usage] in=145 totals.input=145 output=18
-  [hook before_tool] inventory__query args={"title":"Dune","year":2021}
-[tool_start] inventory__query {"title":"Dune","year":2021}
-[tool_update] lane=main
-[tool_end] inventory__query isError=false -> "{\"title\":\"Dune\",\"inLibrary\":false,\"versions\":[]}"
-[turn_end] lane=main
-[turn_start] lane=main
-  [text_delta] "库里没有,提交 1080" …
-  [toolcall_end] download__submit
-  [toolcall_end] bash
-  [hook before_tool] download__submit args={"title":"Dune","quality":"1080p"}
-[tool_start] download__submit {"title":"Dune","quality":"1080p"}
-[tool_end] download__submit isError=false -> "{\"accepted\":true,\"idempotencyKey\":\"dl:Dune:1080p\",\"status\":\"submitted\"}"
-[tool_start] bash {"command":"rm -rf /"}
-[tool_end] bash isError=true -> "Tool \"bash\" is unavailable"       ← 不在白名单的工具被合成错误结果,不执行
-[turn_start] … [text_delta] "下载已提交(仅代表已提交,不代表已入库)…"
-[run_end] status=completed
-RESULT {"ok":true,"value":{"operationId":"01a0e235-…","kind":"run","status":"completed",…}}
-SUBMITTED [{"key":"dl:Dune:1080p","title":"Dune"}] fake calls: 3
-```
-
-### 2.2 AbortSignal 取消 —— 通过(`SUBMIT_DELAY_MS=5000 npx tsx pi/abort-resume.ts abort`)
-
-```
-[tool_start] download__submit
->> lane.abort()
-[operation_abort]
-[tool_end] download__submit  "aborted by signal"                      ← execute 里的 context.abortSignal 触发了
-[tool_end] bash  "Tool execution was cancelled before completion."   ← 同批次尚未执行的调用被合成为取消结果
-[run_end]  aborted
-PROMPT RESULT {…"status":"aborted"…}
-```
-
-### 2.3 会话持久化与崩溃恢复 —— 通过(JSONL)
-
-进程 1(`crash`)在 `download.submit` 执行中 `SIGKILL` 自己;进程 2(`resume`)打开同一个 JSONL 会话:
-
-```
-found session crash-demo …/.sessions/--opt-uhd_media_tool-spikes-pi-.sessions--/2026-09-27T09-33-19-828Z_crash-demo.jsonl
-open operations at attach: [{"lane":"main","operationId":"01a0e236-3a62-…","kind":"run","startedAt":1790501599842}]
-[tool_end] (recovery) download__submit "[Tool execution was interrupted. … the external outcome is unknown.]"   ← replay:"never" 不重跑
-[tool_start] (recovery) bash / [tool_end] (recovery) bash "Tool \"bash\" is unavailable"
-[run_end]  completed
-fake calls: 1                                                     ← 只多请求一次模型;inventory.query 没有重跑
-```
-
-恢复时 `download.submit` 得到的是"结果未知"。业务侧要按 `invocationId` 或服务端幂等键去操作账本对账,不能让模型重新提交一次。
-
-### 2.4 压缩 —— 手动通过,阈值触发可见(`compaction.ts`)
-
-```
-[compaction_start] reason=manual / [compaction_end] reason=manual status=completed
-REPEAT=400:[compaction_start] reason=threshold → [compaction_end] status=completed
-            单条输入本身超过 contextWindow 时 run 失败:{"code":"assistant_error","message":"Assistant request exceeded the context window"}
-entry types: compaction,message,…
-```
-
-摘要本身也是一次模型调用(fake 模型按脚本返回)。压缩提示词可以通过 `customInstructions` 或 `before_compaction` hook 定制。
-
-### 2.5 真实 provider 类型的配置(不出外网)—— 通过(`provider-config.ts`)
-
-用 `createProvider` 分别套 `anthropic-messages` 和 `openai-completions` 两种 API 实现,baseUrl 指向脚本自带的本地抓包服务器(返回 400):
-
-```
-builtin anthropic models (first 5): claude-fable-5, claude-fable-5-1, claude-haiku-4-5, …
-builtin anthropic auth configured without env? undefined
-supported thinking levels, custom anthropic model: off,minimal,low,medium,high
-[before_request] upstream-anthropic/claude-sonnet-4-5 step=assistant attempt=1
-[upstream-anthropic] run: {"status":"failed","error":{"code":"assistant_error","message":"400 {…capture server: refusing on purpose…}"}}
-CAPTURED POST /v1/messages?beta=true auth=sk-test-anthropic
-   model=claude-sonnet-4-5 max_tokens=8192 thinking={"type":"enabled","budget_tokens":7168,"display":"summarized"} tools=["inventory__query"] stream=true
-CAPTURED POST /v1/chat/completions auth=Bearer sk-test-openai
-   model=qwen3-235b max_tokens=8192 thinking=true tools=["inventory__query"] stream=true
-```
-
-配置字段:
-
-- `Model`:`id`(上游模型名)、`api`(`anthropic-messages` | `openai-completions` | `openai-responses` | …)、`provider`、`baseUrl`、`reasoning`、`thinkingLevelMap`、`contextWindow`、`maxTokens`、`cost`、`headers`、`compat`(OpenAI 兼容上游的差异开关,如 `supportsDeveloperRole`、`thinkingFormat`、`maxTokensField`)。
-- baseUrl 的拼接方式:Anthropic 写 **不带 `/v1`** 的根地址(SDK 自己拼 `/v1/messages`);OpenAI 兼容写 **带 `/v1`** 的地址(SDK 拼 `/chat/completions`)。
-- apiKey:`createProvider({ auth: { apiKey: { name, resolve: async () => ({ auth: { apiKey, baseUrl?, headers? } }) } } })`,每次请求时解析,可以接我们自己的 secret store。内置 provider 用 `envApiKeyAuth` 读环境变量(如 `ANTHROPIC_API_KEY`),也可以用 `createModels({ credentials })` 注入。
-- 思考档位:thinkingLevel 映射到上游参数(Anthropic high → `budget_tokens 7168`),可用 `getSupportedThinkingLevels(model)` / `clampThinkingLevel` 查询。
-- 上下文预算:`model.contextWindow`(可以自定义成比上游小的值)配合 `compaction.reserveTokens/keepRecentTokens`。
-
-## 3. 不支持 / 未验证
-
-- **子代理**:pi-agent-core 和 pi-ai 里都没有子代理概念(dist 里 grep 不到)。设置页的"子代理开关"要由我们自己实现,例如在工具里开一个新 lane 或新会话,并继承预算和授权。
-- **工具名不能带点**:`inventory.query` 这种名字上游(Anthropic/OpenAI 要求 `^[a-zA-Z0-9_-]{1,64}$`)不接受,本 spike 统一映射成 `inventory__query`。pi 自身是否校验名字**未验证**。
-- **PostgreSQL 会话存储**:0.87.1 只提供 Memory / JSONL / SQLite(独立包 `pi-session-backend-sqlite-node`,**未验证**)。Postgres 分区存储在规范 Part 6 里标注为 future。存储格式 4 仍是 WIP,不保证迁移。
-- `watchSession` 未实现(规范 R12);遥测只有部分实现。
-- 模型流式输出中途崩溃的恢复(合成 error 后按 retry 重试)只读了规范,**没有实测**。
-- pi-coding-agent 的 `createAgentSession` / ResourceLoader **没有安装,也没有运行**(按上文结论不采用)。
-- 与真实上游联网调用:没有(不需要 key)。

scripts/release.sh

@@ -0,0 +1,63 @@
+#!/usr/bin/env bash
+# 测试环境发布:从干净的提交构建并替换 app 容器。
+# 用法:bash scripts/release.sh            版本取根 deno.json
+#       bash scripts/release.sh --no-build  只用已有镜像重建容器
+# 前提:工作区干净、CHANGELOG.md 已写好本版本条目、所有成员包版本号一致。
+# 做的事:打 tag v<版本>(已存在则须指向 HEAD)→ 写 .env.deploy 的 APP_VERSION / SOURCE_REVISION
+#        → 构建镜像 → 只替换 app(启动时自动迁移)→ 等 healthy 并核对健康接口版本。
+set -euo pipefail
+cd "$(dirname "$0")/.."
+
+ENV_FILE=.env.deploy
+BUILD=1
+[ "${1:-}" = "--no-build" ] && BUILD=0
+
+die() { echo "✗ $*" >&2; exit 1; }
+
+[ -f "$ENV_FILE" ] || die "缺少 $ENV_FILE"
+[ -z "$(git status --porcelain)" ] || die "工作区有未提交的改动,先提交再发布(git status)"
+
+version=$(deno eval --quiet 'console.log(JSON.parse(Deno.readTextFileSync("deno.json")).version)')
+tag="v$version"
+for f in apps/*/deno.json apps/web/package.json packages/*/deno.json; do
+  v=$(deno eval --quiet "console.log(JSON.parse(Deno.readTextFileSync('$f')).version ?? '')")
+  [ -z "$v" ] || [ "$v" = "$version" ] || die "$f 版本 $v 与根 deno.json $version 不一致"
+done
+grep -q "^## \[$version\]" CHANGELOG.md || die "CHANGELOG.md 还没有 ## [$version] 条目"
+
+head=$(git rev-parse --short HEAD)
+if git rev-parse -q --verify "refs/tags/$tag" >/dev/null; then
+  [ "$(git rev-parse --short "$tag^{commit}")" = "$head" ] || die "$tag 已存在但不指向 HEAD($head)"
+else
+  git tag -a "$tag" -m "$tag"
+  echo "已打 tag $tag → $head"
+fi
+
+set_env() {
+  if grep -q "^$1=" "$ENV_FILE"; then sed -i "s|^$1=.*|$1=$2|" "$ENV_FILE"; else echo "$1=$2" >>"$ENV_FILE"; fi
+}
+set_env APP_VERSION "$tag"
+set_env SOURCE_REVISION "$head"
+
+compose() { docker compose --env-file "$ENV_FILE" "$@"; }
+if [ $BUILD -eq 1 ]; then
+  echo "▶ 构建 uhd-media-tool:$tag"
+  compose build app
+fi
+echo "▶ 替换 app"
+compose up -d --no-deps app
+
+echo "▶ 等待 healthy"
+cid=$(compose ps -q app)
+for _ in $(seq 1 90); do
+  st=$(docker inspect -f '{{.State.Health.Status}}' "$cid" 2>/dev/null || echo starting)
+  [ "$st" = healthy ] && break
+  [ "$st" = unhealthy ] && die "app unhealthy;看日志:docker compose --env-file $ENV_FILE logs --tail 100 app"
+  sleep 2
+done
+[ "$st" = healthy ] || die "等待 healthy 超时"
+
+port=$(grep -E '^UMT_PORT=' "$ENV_FILE" | cut -d= -f2)
+health=$(curl -fsS "http://127.0.0.1:${port:-4380}/api/v1/health")
+echo "$health" | grep -q "\"version\":\"$version\"" || die "健康接口版本不对:$health"
+echo "✓ 已发布 $tag($head):$health"

scripts/test-all.sh

@@ -0,0 +1,54 @@
+#!/usr/bin/env bash
+# 全量测试:逐个包跑完(不在第一个失败处停),最后汇总;连不上测试库直接失败,不让数据库用例静默跳过。
+# 用法:sh scripts/test-all.sh [包目录...]   缺省跑全部 workspace 成员
+# web 用 Node 跑 vitest(Deno 跑 web 的 vitest 有兼容问题)。
+set -u
+cd "$(dirname "$0")/.."
+ROOT=$PWD
+
+if [ -f .env ]; then set -a; . ./.env; set +a; fi
+DB_URL=${DATABASE_URL:-postgres://umt:umt@localhost:55433/umt}
+
+if [ "${UMT_SKIP_DB_TESTS:-}" != "1" ]; then
+  if ! deno eval --quiet "
+    import pg from 'npm:[email protected]';
+    const c = new pg.Client({ connectionString: '$DB_URL', connectionTimeoutMillis: 3000 });
+    await c.connect(); await c.end();" >/dev/null 2>&1; then
+    echo "✗ 连不上测试库($DB_URL)。先 deno task dev:up;确实不跑数据库用例时设 UMT_SKIP_DB_TESTS=1" >&2
+    exit 2
+  fi
+fi
+
+members=("$@")
+[ ${#members[@]} -eq 0 ] && members=(packages/adapters packages/agent packages/contracts packages/db packages/domain
+  packages/mapping packages/tasks packages/testkit apps/server apps/web)
+
+LOG_DIR=${TEST_LOG_DIR:-$ROOT/.local/test-logs}
+mkdir -p "$LOG_DIR"
+failed=()
+summary=()
+for m in "${members[@]}"; do
+  log="$LOG_DIR/$(echo "$m" | tr / -).log"
+  printf '▶ %-20s ' "$m"
+  if [ "$m" = apps/web ]; then
+    (cd "$m" && "$ROOT/node_modules/.bin/vitest" run) >"$log" 2>&1
+  else
+    (cd "$m" && deno run -A npm:vitest run) >"$log" 2>&1
+  fi
+  code=$?
+  line=$(sed 's/\x1b\[[0-9;]*m//g' "$log" | grep -E '^\s+Tests ' | tail -1 | tr -s ' ')
+  if [ $code -eq 0 ]; then echo "✓ ${line:-}"; else echo "✗ ${line:-退出码 $code}"; failed+=("$m"); fi
+  summary+=("$m:${line:-exit $code}")
+done
+
+echo
+if [ ${#failed[@]} -eq 0 ]; then
+  echo "全部通过(日志 $LOG_DIR)"
+else
+  echo "失败:${failed[*]}"
+  for m in "${failed[@]}"; do
+    echo "── $m"
+    sed 's/\x1b\[[0-9;]*m//g' "$LOG_DIR/$(echo "$m" | tr / -).log" | grep -E '(FAIL|×) ' | head -10
+  done
+  exit 1
+fi

spikes/.gitignore

@@ -1,2 +0,0 @@
-node_modules/
-pi/.sessions/

spikes/README.md

@@ -1,15 +0,0 @@
-# W0-B spikes(独立 npm 包,不是 pnpm workspace 成员)
-
-```bash
-cd spikes && npm install
-docker run -d --name umt-spike-pg -e POSTGRES_PASSWORD=spike -p 55434:5432 postgres:16-alpine
-```
-
-- `openworkflow/`:OpenWorkflow 0.10.1 纵切(提交下载→等信号→复制→登记→保留期 sleep→清理)。
-  `worker.ts`(env: TAG / WF_VERSION / EXTRA_STEP / PIDFILE)、`cli.ts`(start-acquire / signal / cancel / get / steps / ledger / start-flaky / start-slow / start-burst / burst-dups / tables)。
-  记录:`../docs/spikes/w0b-openworkflow.md`,结论 `../docs/adr/ADR-002-task-engine.md`。
-- `pi/`:pi-agent-core/pi-ai 0.87.1。`fake-run.ts`(脚本化 fake 模型 + 2 个工具 + 事件流)、
-  `abort-resume.ts abort|crash|resume`(取消 / kill -9 后新进程恢复)、`compaction.ts`、`provider-config.ts`(真实 provider 类型打到本地抓包服务器,不出网)。
-  记录:`../docs/spikes/w0b-pi.md`,结论 `../docs/adr/ADR-003-pi-integration.md`。
-
-运行:`npx tsx openworkflow/cli.ts tables`、`npx tsx pi/fake-run.ts` 等。

spikes/deno/.dockerignore

@@ -1,6 +0,0 @@
-**/node_modules
-dist
-logs
-web/build
-web/.react-router
-apps/server/src/pi/.sessions

spikes/deno/.gitignore

@@ -1,2 +0,0 @@
-types/deno.d.ts
-apps/server/src/pi/.sessions/

spikes/deno/Dockerfile

@@ -1,20 +0,0 @@
-# Single container: one `deno compile` binary runs API (+ worker role) and serves the prebuilt SPA.
-FROM denoland/deno:2.9.7 AS build
-WORKDIR /app
-COPY . .
-RUN deno install --frozen
-RUN cd web && deno task build
-# --node-modules-dir=none + --exclude-unused-npm: embed only npm packages reachable from the server graph
-RUN deno compile --frozen --node-modules-dir=none --exclude-unused-npm \
-      --allow-net --allow-env --allow-sys --allow-read=/app \
-      --output /out/umt-server apps/server/src/http.ts
-
-FROM debian:trixie-slim
-RUN useradd -r -u 1000 umt
-WORKDIR /app
-COPY --from=build /out/umt-server /app/umt-server
-COPY --from=build /app/web/build/client /app/public
-ENV WEB_ROOT=/app/public HOST=0.0.0.0 PORT=8080
-USER umt
-EXPOSE 8080
-ENTRYPOINT ["/app/umt-server"]

spikes/deno/apps/server/deno.json

@@ -1,9 +0,0 @@
-{
-  "name": "@spike/server",
-  "version": "0.0.0",
-  "exports": { ".": "./src/main.ts" },
-  "tasks": {
-    "dev": "deno run -A --watch src/main.ts",
-    "test": "deno test -A test/node_apis_test.ts"
-  }
-}

spikes/deno/apps/server/src/db.ts

@@ -1,50 +0,0 @@
-// Kysely 0.29 on Deno: DIALECT=pg (node-postgres Pool) or DIALECT=postgresjs (kysely-postgres-js).
-import { Kysely, PostgresDialect, sql } from "kysely";
-import { FileMigrationProvider, Migrator } from "kysely/migration";
-import { PostgresJSDialect } from "kysely-postgres-js";
-import pg from "pg";
-import postgres from "postgres";
-import { promises as fs } from "node:fs";
-import * as path from "node:path";
-
-const url = Deno.env.get("PG_URL") ?? "postgresql://postgres:[email protected]:55435/postgres";
-const dialectName = Deno.env.get("DIALECT") ?? "pg";
-const schema = Deno.env.get("SCHEMA") ?? `kysely_${dialectName}`;
-
-export function createDb(): Kysely<any> {
-  const dialect = dialectName === "postgresjs"
-    ? new PostgresJSDialect({ postgres: postgres(url, { max: 4, onnotice: () => {} }) })
-    : new PostgresDialect({ pool: new pg.Pool({ connectionString: url, max: 4 }) });
-  return new Kysely<any>({ dialect });
-}
-
-if (import.meta.main) {
-  const root = createDb();
-  await sql`DROP SCHEMA IF EXISTS ${sql.id(schema)} CASCADE`.execute(root);
-  await sql`CREATE SCHEMA ${sql.id(schema)}`.execute(root);
-  const db = root.withSchema(schema);
-  const migrator = new Migrator({
-    db: root,
-    migrationTableSchema: schema,
-    provider: new FileMigrationProvider({ fs, path, migrationFolder: Deno.env.get("MIGRATIONS_DIR") ?? new URL("./migrations", import.meta.url).pathname }),
-  });
-  // Migrations use unqualified names: run them with search_path pointing at the dialect's schema.
-  await sql`SET search_path TO ${sql.id(schema)}`.execute(root);
-  const r = await migrator.migrateToLatest();
-  console.log(dialectName, "migrate:", JSON.stringify(r.results?.map((x) => `${x.migrationName}:${x.status}`)), "error:", r.error ?? null);
-  if (Deno.env.get("MIGRATIONS_DIR")) { await root.destroy(); Deno.exit(r.error ? 1 : 0); }
-  await db.insertInto("items").values([{ title: "Dune", meta: JSON.stringify({ q: "1080p" }) }, { title: "Arrival", meta: null }]).execute();
-  const rows = await db.selectFrom("items").select(["id", "title", "meta", "created_at"]).orderBy("id").execute();
-  console.log(dialectName, "rows:", rows.map((r) => `${typeof r.id}:${r.id}/${r.title}/${JSON.stringify(r.meta)}/${r.created_at instanceof Date}`).join(" "));
-  // transaction + rollback
-  await db.transaction().execute(async (tx) => { await tx.insertInto("items").values({ title: "tx-ok" }).execute(); }).catch(() => {});
-  await db.transaction().execute(async (tx) => { await tx.insertInto("items").values({ title: "tx-rollback" }).execute(); throw new Error("rollback"); }).catch((e) => console.log(dialectName, "tx error ->", e.message));
-  const titles = (await db.selectFrom("items").select("title").execute()).map((r) => r.title);
-  console.log(dialectName, "titles after tx:", titles.join(","));
-  // concurrency: 50 parallel queries on pool max=4
-  const t0 = performance.now();
-  await Promise.all(Array.from({ length: 50 }, (_, i) => sql`SELECT pg_sleep(0.01), ${i}::int AS i`.execute(root)));
-  console.log(dialectName, `50 parallel queries on pool=4: ${(performance.now() - t0).toFixed(0)}ms`);
-  await root.destroy();
-  console.log(dialectName, "destroyed cleanly");
-}

spikes/deno/apps/server/src/http.ts

@@ -1,52 +0,0 @@
-// Hono 4 on Deno.serve with an SSE stream + graceful shutdown.
-import { Hono } from "hono";
-import { streamSSE } from "hono/streaming";
-import { serveStatic } from "hono/deno";
-import { redact } from "@spike/x";
-
-export function createApp() {
-  const app = new Hono();
-  app.get("/api/v1/health", (c) => c.json({ ok: true, runtime: `deno ${Deno.version.deno}`, ts: Deno.version.typescript }));
-  app.get("/api/v1/redact", (c) => c.json(redact({ url: c.req.url, apiKey: "x" }) as Record<string, unknown>));
-  app.get("/api/v1/events", (c) =>
-    streamSSE(c, async (stream) => {
-      const after = Number(c.req.query("after") ?? 0);
-      let aborted = false;
-      stream.onAbort(() => { aborted = true; });
-      for (let i = after + 1; i <= after + 3 && !aborted; i++) {
-        await stream.writeSSE({ id: String(i), event: "tick", data: JSON.stringify({ i }) });
-        await stream.sleep(100);
-      }
-    }));
-  // Endless stream: used to check how Deno.serve shutdown treats open SSE connections.
-  app.get("/api/v1/forever", (c) =>
-    streamSSE(c, async (stream) => {
-      let i = 0;
-      while (!stream.aborted && !shutdownSignal.aborted) {
-        await stream.writeSSE({ id: String(++i), data: "ping" });
-        await stream.sleep(200);
-      }
-    }));
-  // Single-container mode: serve the built SPA (react-router ssr:false) from WEB_ROOT with index.html fallback.
-  const webRoot = Deno.env.get("WEB_ROOT");
-  if (webRoot) {
-    app.use("/*", serveStatic({ root: webRoot }));
-    app.get("*", serveStatic({ root: webRoot, path: "index.html" }));
-  }
-  return app;
-}
-
-/** App-level shutdown signal: SSE loops must observe it, otherwise graceful shutdown waits forever. */
-export const shutdownCtl = new AbortController();
-const shutdownSignal = shutdownCtl.signal;
-
-if (import.meta.main) {
-  const port = Number(Deno.env.get("PORT") ?? 5199);
-  const ac = new AbortController();
-  const server = Deno.serve({ port, hostname: Deno.env.get("HOST") ?? "127.0.0.1", signal: ac.signal, onListen: ({ port }) => console.log(`listening ${port}`) }, createApp().fetch);
-  const stop = () => { console.log("shutdown"); if (Deno.env.get("CLOSE_SSE") !== "0") shutdownCtl.abort(); ac.abort(); };
-  Deno.addSignalListener("SIGTERM", stop);
-  Deno.addSignalListener("SIGINT", stop);
-  await server.finished;
-  console.log("server finished");
-}

spikes/deno/apps/server/src/log-logtape.ts

@@ -1,12 +0,0 @@
-// LogTape alternative: JSON lines + redaction sink wrapper.
-import { configure, getJsonLinesFormatter, getLogger, getStreamSink, type LogRecord, type Sink } from "@logtape/logtape";
-import { redact, redactString } from "@spike/x";
-
-const base = getStreamSink(Deno.stdout.writable, { formatter: getJsonLinesFormatter() });
-const redacting = (inner: Sink): Sink => (r: LogRecord) =>
-  inner({ ...r, message: r.message.map((m: unknown) => (typeof m === "string" ? redactString(m) : redact(m))), rawMessage: typeof r.rawMessage === "string" ? redactString(r.rawMessage) : r.rawMessage, properties: redact(r.properties) as Record<string, unknown> });
-await configure({ sinks: { out: redacting(base) }, loggers: [{ category: ["umt"], lowestLevel: "info", sinks: ["out"] }, { category: ["logtape", "meta"], lowestLevel: "warning", sinks: ["out"] }] });
-const log = getLogger(["umt", "worker"]);
-log.info("fetch {url}", { url: "https://x/rss?passkey=SECRET", token: "abc", n: 3 });
-log.with({ runId: "r1", apiKey: "k" }).warn("child context");
-await new Promise((r) => setTimeout(r, 100));

spikes/deno/apps/server/src/log-pino.ts

@@ -1,32 +0,0 @@
-// pino 10 on Deno: sync stdout, custom destination, formatters/hooks redaction, child loggers, pino.transport (worker_threads).
-import pino from "pino";
-import { redact, redactString } from "@spike/x";
-import { Writable } from "node:stream";
-
-const opts: pino.LoggerOptions = {
-  level: "info",
-  formatters: { log: (obj) => redact(obj) as Record<string, unknown> },
-  hooks: {
-    logMethod(args, method) {
-      return method.apply(this, args.map((a) => (typeof a === "string" ? redactString(a) : a)) as typeof args);
-    },
-  },
-};
-const lines: string[] = [];
-const dest = new Writable({ write(chunk, _enc, cb) { lines.push(String(chunk)); cb(); } });
-const log = pino(opts, dest);
-log.info({ token: "abc", url: "https://x/rss?passkey=SECRET&a=1", n: 1 }, "fetch https://x?api_key=K");
-log.child({ component: "worker", password: "p" }).warn({ err: new Error("boom token=zzz") }, "child");
-console.log("custom-dest:", lines.join("").trim());
-
-pino(opts).info({ cookie: "c=1" }, "stdout default destination");
-const t = pino.transport({ target: "pino/file", options: { destination: 1 } });
-const lt = pino(opts, t);
-lt.info({ secret: "s" }, "via pino.transport (worker_threads)");
-await new Promise((r) => setTimeout(r, 300));
-t.end();
-if (Deno.env.get("PRETTY")) {
-  const pp = pino({ ...opts, transport: { target: "pino-pretty", options: { translateTime: "SYS:HH:MM:ss" } } });
-  pp.info({ token: "x" }, "via pino-pretty transport");
-  await new Promise((r) => setTimeout(r, 500));
-}

spikes/deno/apps/server/src/migrations/0001_init.ts

@@ -1,10 +0,0 @@
-import { type Kysely, sql } from "kysely";
-export async function up(db: Kysely<any>) {
-  await db.schema.createTable("items").ifNotExists()
-    .addColumn("id", "bigserial", (c) => c.primaryKey())
-    .addColumn("title", "text", (c) => c.notNull())
-    .addColumn("meta", "jsonb")
-    .addColumn("created_at", "timestamptz", (c) => c.notNull().defaultTo(sql`now()`))
-    .execute();
-}
-export async function down(db: Kysely<any>) { await db.schema.dropTable("items").execute(); }

spikes/deno/apps/server/src/migrations/0002_index.ts

@@ -1,5 +0,0 @@
-import type { Kysely } from "kysely";
-export async function up(db: Kysely<any>) {
-  await db.schema.createIndex("items_title_idx").ifNotExists().on("items").column("title").execute();
-}
-export async function down(db: Kysely<any>) { await db.schema.dropIndex("items_title_idx").execute(); }

spikes/deno/apps/server/src/node-compat.ts

@@ -1,32 +0,0 @@
-// Node-only API probe under Deno (things the current server/tasks code uses or is likely to use).
-import process from "node:process";
-import { Worker, isMainThread, parentPort } from "node:worker_threads";
-import { statfs } from "node:fs/promises";
-import { spawn } from "node:child_process";
-import { parseArgs } from "node:util";
-import os from "node:os";
-import { AsyncLocalStorage } from "node:async_hooks";
-import { createHash, randomUUID } from "node:crypto";
-
-if (!isMainThread) { parentPort!.postMessage({ echo: "from worker", pid: process.pid }); } else {
-  const r: Record<string, unknown> = {};
-  r.parseArgs = parseArgs({ args: ["--role", "api"], options: { role: { type: "string" } } }).values;
-  const s = await statfs("/");
-  r.statfs = { bsize: s.bsize, bavailGB: Math.round((s.bavail * s.bsize) / 1e9) };
-  r.os = { cpus: os.cpus().length, freememMB: Math.round(os.freemem() / 1e6), loadavg: os.loadavg().length };
-  r.memoryUsage = Object.keys(process.memoryUsage()).join(",");
-  const als = new AsyncLocalStorage<string>();
-  r.als = await als.run("req-1", async () => { await new Promise((x) => setTimeout(x, 5)); return als.getStore(); });
-  r.crypto = createHash("sha256").update("x").digest("hex").slice(0, 8) + " " + randomUUID().length;
-  r.worker = await new Promise((res) => { const w = new Worker(new URL(import.meta.url), { type: "module" } as any); w.once("message", (m) => { res(m); w.terminate(); }); });
-  const child = spawn("sh", ["-c", "trap 'echo got-TERM; exit 0' TERM; echo ready; sleep 5 & wait"]);
-  let out = ""; child.stdout.on("data", (d) => { out += d; });
-  await new Promise((x) => setTimeout(x, 200));
-  child.kill("SIGTERM");
-  r.childKill = await new Promise((res) => child.on("exit", (code, sig) => res({ code, sig, out: out.trim().replace(/\n/g, "|") })));
-  r.execPath = process.execPath;
-  console.log(JSON.stringify(r, null, 1));
-  process.on("SIGTERM", () => { console.log("process.on(SIGTERM) handler fired"); process.exit(0); });
-  setTimeout(() => process.kill(process.pid, "SIGTERM"), 100);
-  setTimeout(() => { console.log("handler did NOT fire"); process.exit(1); }, 2000);
-}

spikes/deno/apps/server/src/ow/cli.ts

@@ -1,65 +0,0 @@
-import process from "node:process";
-import { makeClient, initBiz, db } from "./common.ts";
-import { sql } from "kysely";
-await initBiz();
-const { ow, backend, acquire, flaky, slow, burst } = await makeClient();
-const [cmd, ...args] = process.argv.slice(2) as [string, ...string[]];
-const out = (x: unknown) => console.log(JSON.stringify(x, null, 0));
-switch (cmd) {
-  case "start-acquire": {
-    const [downloadId, key, copyMs, retention] = args;
-    const h = await acquire.run({ downloadId, copyMs: Number(copyMs ?? 0), retention: retention ?? "3s" },
-      key ? { idempotencyKey: key } : undefined);
-    out({ runId: h.workflowRun.id, status: h.workflowRun.status, version: h.workflowRun.version });
-    break;
-  }
-  case "start-flaky": {
-    const h = await flaky.run({ failTimes: Number(args[0]), maxAttempts: Number(args[1]) });
-    out({ runId: h.workflowRun.id });
-    break;
-  }
-  case "start-slow": { const h = await slow.run({}); out({ runId: h.workflowRun.id }); break; }
-  case "start-burst": {
-    const ids = [];
-    for (let i = 0; i < Number(args[0]); i++) ids.push((await burst.run({ i })).workflowRun.id);
-    out({ count: ids.length });
-    break;
-  }
-  case "signal": {
-    const r = await ow.sendSignal({ signal: `download-done:${args[0]}`, data: { ok: true }, idempotencyKey: args[1] });
-    out(r);
-    break;
-  }
-  case "cancel": { await ow.cancelWorkflowRun(args[0]!); out({ canceled: args[0] }); break; }
-  case "get": {
-    const r = await backend.getWorkflowRun({ workflowRunId: args[0]! });
-    out({ status: r?.status, version: r?.version, attempts: r?.attempts, error: r?.error, output: r?.output });
-    break;
-  }
-  case "steps": {
-    const r = await backend.listStepAttempts({ workflowRunId: args[0], limit: 100 } as any);
-    for (const s of [...r.data].sort((a,b)=>+a.createdAt-+b.createdAt)) console.log(s.stepName.padEnd(18), s.kind.padEnd(12), s.status, s.error ? JSON.stringify((s.error as any).message) : "");
-    break;
-  }
-  case "ledger": {
-    const rows = await db.selectFrom("biz.side_effect_ledger").selectAll()
-      .$if(!!args[0], (q) => q.where("run_id", "=", args[0])).orderBy("id").execute();
-    for (const r of rows) console.log(r.run_id.slice(0, 8), r.step.padEnd(16), r.worker.padEnd(6), r.note);
-    break;
-  }
-  case "burst-dups": {
-    const rows = await sql<any>`SELECT count(*) total, count(DISTINCT run_id) runs,
-      count(*) FILTER (WHERE worker='A') a, count(*) FILTER (WHERE worker='B') b
-      FROM biz.side_effect_ledger WHERE step='work'`.execute(db);
-    out(rows.rows[0]);
-    break;
-  }
-  case "tables": {
-    const r = await sql<any>`SELECT table_schema, table_name FROM information_schema.tables
-      WHERE table_schema IN ('openworkflow','biz') ORDER BY 1,2`.execute(db);
-    for (const t of r.rows) console.log(`${t.table_schema}.${t.table_name}`);
-    break;
-  }
-}
-await backend.stop();
-await db.destroy();

spikes/deno/apps/server/src/ow/common.ts

@@ -1,111 +0,0 @@
-// Shared: DB URLs, OpenWorkflow client, Kysely business DB (schema "biz"), workflow definitions.
-import { OpenWorkflow } from "openworkflow";
-import { BackendPostgres } from "openworkflow/postgres";
-import { Kysely, PostgresDialect, sql } from "kysely";
-import pg from "pg";
-import process from "node:process";
-
-export const PG_URL = process.env.PG_URL ?? "postgresql://postgres:[email protected]:55435/postgres";
-export const WF_VERSION = process.env.WF_VERSION ?? "v1";
-export const TAG = process.env.TAG ?? `pid${process.pid}`;
-
-export const db = new Kysely<any>({
-  dialect: new PostgresDialect({ pool: new pg.Pool({ connectionString: PG_URL, max: 4 }) }),
-});
-
-export async function initBiz() {
-  await sql`CREATE SCHEMA IF NOT EXISTS biz`.execute(db);
-  await sql`CREATE TABLE IF NOT EXISTS biz.side_effect_ledger (
-    id bigserial PRIMARY KEY, run_id text, step text, worker text, pid int, note text,
-    at timestamptz DEFAULT now())`.execute(db);
-}
-
-export async function ledger(runId: string, step: string, note = "") {
-  await db.insertInto("biz.side_effect_ledger")
-    .values({ run_id: runId, step, worker: TAG, pid: process.pid, note }).execute();
-  console.log(`[${TAG}] run=${runId.slice(0, 8)} step=${step} ${note}`);
-}
-
-const wait = (ms: number) => new Promise((r) => setTimeout(r, ms));
-
-export async function makeClient() {
-  // connect() runs migrations by default (runMigrations: true), schema default "openworkflow".
-  const backend = await BackendPostgres.connect(PG_URL, { schema: "openworkflow" });
-  const ow = new OpenWorkflow({ backend });
-
-  // Main vertical slice: submit download -> wait signal -> copy -> register -> retention sleep -> cleanup
-  const acquire = ow.defineWorkflow(
-    { name: "acquire", version: WF_VERSION },
-    async ({ input, step, run, version }) => {
-      const { downloadId, copyMs = 0, retention = "3s" } = input as any;
-      const sub = await step.run({ name: "submit-download" }, async () => {
-        await ledger(run.id, "submit-download", `version=${version}`);
-        return { torrentHash: `hash-${downloadId}` };
-      });
-      const done = await step.waitForSignal<{ ok: boolean }>({
-        name: "wait-download", signal: `download-done:${downloadId}`, timeout: "10m",
-      });
-      if (!done) throw new Error("download wait timed out");
-      const copied = await step.run({ name: "copy-file" }, async () => {
-        await ledger(run.id, "copy-file", "start");
-        await wait(copyMs);
-        await ledger(run.id, "copy-file", "end");
-        return { dest: `/lib/${downloadId}.mkv` };
-      });
-      if (process.env.EXTRA_STEP === "1") {
-        // EXTRA_STEP=1 simulates a code change between copy and register (tests code upgrade semantics)
-        await step.run({ name: "v2-extra-verify" }, async () => { await ledger(run.id, "v2-extra-verify"); return 1; });
-      }
-      await step.run({ name: "register" }, async () => { await ledger(run.id, "register", `version=${version}`); return 1; });
-      await step.sleep("retention", retention);
-      await step.run({ name: "cleanup" }, async () => { await ledger(run.id, "cleanup"); return 1; });
-      return { sub, copied, signal: done.data };
-    },
-  );
-
-  // Retry test: step fails `failTimes` times then succeeds; step maximumAttempts = maxAttempts
-  const flaky = ow.defineWorkflow(
-    { name: "flaky", version: WF_VERSION },
-    async ({ input, step, run }) => {
-      const { failTimes, maxAttempts } = input as any;
-      await step.run({ name: "before" }, async () => { await ledger(run.id, "before"); return 1; });
-      return await step.run(
-        { name: "flaky-step", retryPolicy: { maximumAttempts: maxAttempts, initialInterval: "200ms", maximumInterval: "1s" } },
-        async () => {
-          const n = await db.selectFrom("biz.side_effect_ledger").select(db.fn.countAll().as("c"))
-            .where("run_id", "=", run.id).where("step", "=", "flaky-step").executeTakeFirst();
-          const attempt = Number(n?.c ?? 0) + 1;
-          await ledger(run.id, "flaky-step", `attempt=${attempt}`);
-          if (attempt <= failTimes) throw new Error(`boom attempt ${attempt}`);
-          return { attempt };
-        },
-      );
-    },
-  );
-
-  // Cancel test: long step, then a follow-up step
-  const slow = ow.defineWorkflow(
-    { name: "slow", version: WF_VERSION },
-    async ({ step, run }) => {
-      await step.run({ name: "long" }, async () => {
-        await ledger(run.id, "long", "start");
-        await wait(8000);
-        await ledger(run.id, "long", "end (still ran after cancel?)");
-        return 1;
-      });
-      await step.run({ name: "after-long" }, async () => { await ledger(run.id, "after-long"); return 1; });
-      return "done";
-    },
-  );
-
-  // Concurrency test: many short runs
-  const burst = ow.defineWorkflow(
-    { name: "burst", version: WF_VERSION },
-    async ({ step, run }) => {
-      await step.run({ name: "work" }, async () => { await wait(300); await ledger(run.id, "work"); return 1; });
-      return 1;
-    },
-  );
-
-  return { ow, backend, acquire, flaky, slow, burst };
-}

spikes/deno/apps/server/src/ow/worker.ts

@@ -1,14 +0,0 @@
-// Deno port of spikes/openworkflow/worker.ts: node:fs/process.on -> Deno APIs
-import { initBiz, makeClient, TAG, WF_VERSION } from "./common.ts";
-await initBiz();
-const { ow } = await makeClient();
-const worker = ow.newWorker({ concurrency: Number(Deno.env.get("CONCURRENCY") ?? 4) });
-await worker.start();
-const pidfile = Deno.env.get("PIDFILE");
-if (pidfile) Deno.writeTextFileSync(pidfile, String(Deno.pid));
-console.log(`[${TAG}] worker started pid=${Deno.pid} version=${WF_VERSION} runtime=deno ${Deno.version.deno}`);
-Deno.addSignalListener("SIGTERM", async () => {
-  await worker.stop();
-  console.log(`[${TAG}] worker stopped gracefully`);
-  Deno.exit(0);
-});

spikes/deno/apps/server/src/pi/abort-resume.ts

@@ -1,61 +0,0 @@
-import process from "node:process";
-// Modes: abort | crash | resume. Uses a file-backed JSONL session so a second process can recover.
-import { createModels, fauxProvider } from "@earendil-works/pi-ai";
-import { AgentHarness, BACKGROUND_CONTEXT, JsonlSessionRepo } from "@earendil-works/pi-agent-core";
-import { NodeExecutionEnv } from "@earendil-works/pi-agent-core/harness/env/nodejs";
-import { downloadSubmit, inventoryQuery, script, submitted } from "./common.ts";
-
-const mode = process.argv[2];
-const ctx = BACKGROUND_CONTEXT;
-const faux = fauxProvider({ provider: "umt-fake" });
-const models = createModels();
-models.setProvider(faux.provider);
-faux.setResponses(mode === "resume" ? [script[2]!] : script);
-
-const root = new URL("./.sessions", import.meta.url).pathname;
-const fs = new NodeExecutionEnv({ cwd: root }); // used only as FileSystem for session storage; no shell tool is exposed
-const repo = new JsonlSessionRepo({ fileSystem: fs, sessionsRoot: root });
-let session;
-if (mode === "resume") {
-  const list = await repo.list({ cwd: root }, ctx);
-  const meta = list.find((m) => m.id === "crash-demo");
-  console.log("found session", meta?.id, meta?.path);
-  session = await repo.open(meta!, ctx);
-} else {
-  session = await repo.create({ id: mode === "crash" ? "crash-demo" : `abort-${Date.now()}`, cwd: root }, ctx);
-}
-
-const { harness, open } = await AgentHarness.create({
-  session, models, model: faux.getModel(), systemPrompt: "媒体库助手",
-  tools: [inventoryQuery, downloadSubmit], toolContext: { actorId: "user:1", grants: ["download.submit"] },
-  toolExecution: "sequential",
-}, ctx);
-console.log("open operations at attach:", JSON.stringify(open));
-
-let lane = await harness.lane("main", ctx);
-for (const t of ["tool_start", "tool_end", "run_end", "operation_abort", "run_resume"] as const)
-  harness.events.on(t as any, async (e: any) => {
-    console.log(`[${e.type}]${e.recovery ? " (recovery)" : ""} ${e.toolName ?? ""} ${e.status ?? ""} ${e.result ? JSON.stringify(e.result.content[0]?.text).slice(0, 220) : ""}`);
-    if (e.type === "tool_start" && e.toolName === "download__submit") {
-      if (mode === "abort") setTimeout(async () => { console.log(">> lane.abort()"); console.log("abort result:", JSON.stringify(await lane.abort(ctx))); }, 300);
-      if (mode === "crash") setTimeout(() => { console.log(">> SIGKILL self during download.submit"); process.kill(process.pid, "SIGKILL"); }, 300);
-    }
-  });
-
-if (mode === "resume") {
-  const r = await lane.resume(ctx);
-  console.log("RESUME RESULT", JSON.stringify(r));
-} else {
-  const r = await lane.prompt("把《Dune》1080p 收进来", undefined, ctx);
-  console.log("PROMPT RESULT", JSON.stringify(r));
-}
-console.log("SUBMITTED in this process", JSON.stringify(submitted), "fake calls:", faux.state.callCount);
-const entries = (await lane.findEntries(undefined, ctx)).reverse();
-for (const e of entries as any[]) {
-  if (e.type !== "message") { console.log(" entry", e.type); continue; }
-  const m = e.message;
-  const text = m.role === "assistant" ? m.content.map((c: any) => c.type === "toolCall" ? `toolCall(${c.name})` : c.type === "text" ? c.text : `<${c.type}>`).join(" | ")
-    : Array.isArray(m.content) ? m.content.map((c: any) => c.text).join("") : m.content;
-  console.log(` ${m.role.padEnd(10)} ${m.toolName ?? ""} ${m.isError ? "[isError]" : ""} ${String(text).slice(0, 200)}`);
-}
-await harness.close(ctx);

spikes/deno/apps/server/src/pi/common.ts

@@ -1,84 +0,0 @@
-import process from "node:process";
-// Shared pieces for the Pi spike: whitelisted business tools + scripted fake model.
-import { Type } from "typebox";
-import {
-  fauxAssistantMessage, fauxText, fauxThinking, fauxToolCall,
-  type FauxResponseFactory,
-} from "@earendil-works/pi-ai";
-import type { AgentHarnessTool } from "@earendil-works/pi-agent-core";
-
-// Capability id -> provider-safe tool name. Anthropic/OpenAI tool names must match ^[a-zA-Z0-9_-]{1,64}$,
-// so "inventory.query" cannot be sent verbatim; the port maps ids <-> names.
-export const toolName = (capabilityId: string) => capabilityId.replace(/\./g, "__");
-
-export const submitted: Array<{ key: string; title: string }> = [];
-
-type Ctx = { actorId: string; grants: string[] };
-
-export const inventoryQuery: AgentHarnessTool<Ctx> = {
-  name: toolName("inventory.query"),
-  label: "inventory.query",
-  description: "Query local library inventory for a title. Returns whether it exists and which versions.",
-  parameters: Type.Object({ title: Type.String(), year: Type.Optional(Type.Number()) }),
-  replay: "safe", // read-only: harness may re-execute after a crash
-  async execute(_id, params: any, onUpdate, toolCtx, invocation, context) {
-    onUpdate({ content: [{ type: "text", text: "searching…" }], details: {} });
-    const found = params.title === "Arrival";
-    return {
-      content: [{ type: "text", text: JSON.stringify({ title: params.title, inLibrary: found, versions: found ? ["2160p"] : [] }) }],
-      details: { actor: toolCtx.actorId, invocationId: invocation.invocationId, aborted: context.abortSignal?.aborted ?? false },
-    };
-  },
-};
-
-export const downloadSubmit: AgentHarnessTool<Ctx> = {
-  name: toolName("download.submit"),
-  label: "download.submit",
-  description: "Submit a download plan. Server validates authorization and generates the idempotency key.",
-  parameters: Type.Object({ title: Type.String(), quality: Type.String() }),
-  replay: "never", // external side effect: after crash the harness synthesizes an 'interrupted' result instead of re-running
-  executionMode: "sequential",
-  async execute(_id, params: any, _onUpdate, toolCtx, invocation, context) {
-    if (!toolCtx.grants.includes("download.submit")) throw new Error("not authorized: download.submit");
-    // Server-side idempotency key derived from operation semantics, not from the model.
-    const key = `dl:${params.title}:${params.quality}`;
-    const delayMs = Number(process.env.SUBMIT_DELAY_MS ?? 0);
-    if (delayMs) {
-      await new Promise<void>((resolve, reject) => {
-        const t = setTimeout(resolve, delayMs);
-        context.abortSignal?.addEventListener("abort", () => { clearTimeout(t); reject(new Error("aborted by signal")); });
-      });
-    }
-    if (!submitted.find((s) => s.key === key)) submitted.push({ key, title: params.title });
-    await invocation.setMemo("submitted", key);
-    return { content: [{ type: "text", text: JSON.stringify({ accepted: true, idempotencyKey: key, status: "submitted" }) }], details: { key } };
-  },
-};
-
-const lastToolResult = (ctx: any, name: string) =>
-  [...ctx.messages].reverse().find((m: any) => m.role === "toolResult" && m.toolName === name);
-
-// Scripted fake model: each step is a factory that looks at the transcript (tool results) and decides.
-export const script: FauxResponseFactory[] = [
-  () => fauxAssistantMessage([
-    fauxThinking("先查本地库存"),
-    fauxText("我先查一下库里有没有《Dune》。"),
-    fauxToolCall(toolName("inventory.query"), { title: "Dune", year: 2021 }),
-  ], { stopReason: "toolUse" }),
-  (ctx) => {
-    const inv = JSON.parse(lastToolResult(ctx, toolName("inventory.query")).content[0].text);
-    if (inv.inLibrary) return fauxAssistantMessage("库里已有,无需下载。");
-    return fauxAssistantMessage([
-      fauxText("库里没有,提交 1080p 下载;顺便试一下未授权的 bash。"),
-      fauxToolCall(toolName("download.submit"), { title: "Dune", quality: "1080p" }),
-      fauxToolCall("bash", { command: "rm -rf /" }),
-    ], { stopReason: "toolUse" });
-  },
-  (ctx) => {
-    const dl = lastToolResult(ctx, toolName("download.submit"));
-    const bash = lastToolResult(ctx, "bash");
-    return fauxAssistantMessage(
-      `下载已提交(仅代表已提交,不代表已入库):${dl.content[0].text};bash 结果 isError=${bash?.isError}。`,
-    );
-  },
-];

spikes/deno/apps/server/src/pi/fake-run.ts

@@ -1,51 +0,0 @@
-import process from "node:process";
-// Fake model drives AgentHarness through 2 whitelisted tools; streams events.
-import { createModels, fauxProvider } from "@earendil-works/pi-ai";
-import { AgentHarness, BACKGROUND_CONTEXT, MemorySessionRepo } from "@earendil-works/pi-agent-core";
-import { downloadSubmit, inventoryQuery, script, submitted } from "./common.ts";
-
-const faux = fauxProvider({ provider: "umt-fake" });
-const models = createModels();
-models.setProvider(faux.provider);
-faux.setResponses(script);
-
-const repo = new MemorySessionRepo();
-const session = await repo.create({ id: "spike-1" }, BACKGROUND_CONTEXT);
-const { harness } = await AgentHarness.create({
-  session, models, model: faux.getModel(),
-  systemPrompt: "你是媒体库自动化助手,只能使用提供的工具。",
-  tools: [inventoryQuery, downloadSubmit],           // explicit whitelist; no discovery
-  toolContext: { actorId: "user:1", grants: ["download.submit"] },
-  thinkingLevel: "off",
-  compaction: { enabled: true, reserveTokens: 4096, keepRecentTokens: 8000 },
-  retry: { enabled: true, maxRetries: 2, baseDelayMs: 100 },
-  toolExecution: "sequential",
-}, BACKGROUND_CONTEXT);
-
-// Server-side authorization gate in addition to the whitelist.
-harness.hooks.on("before_tool", (ev) => {
-  console.log(`  [hook before_tool] ${ev.toolName} args=${JSON.stringify(ev.args)}`);
-  return undefined;
-});
-
-const types = ["run_start", "turn_start", "message_update", "tool_start", "tool_update", "tool_end", "turn_end", "run_end", "usage", "fault", "handler_error"] as const;
-for (const t of types) harness.events.on(t as any, (e: any) => {
-  if (e.type === "message_update") {
-    if (e.event.type === "text_delta") process.stdout.write(`  [text_delta] ${JSON.stringify(e.event.delta)}\n`);
-    else if (e.event.type === "toolcall_end") console.log(`  [toolcall_end] ${e.event.toolCall.name}`);
-    return;
-  }
-  if (e.type === "tool_end") return console.log(`[tool_end] ${e.toolName} isError=${e.isError} -> ${JSON.stringify(e.result.content[0]?.text)}`);
-  if (e.type === "tool_start") return console.log(`[tool_start] ${e.toolName} ${JSON.stringify(e.args)}`);
-  if (e.type === "usage") return console.log(`[usage] in=${e.row?.usage?.input ?? "?"} totals.input=${e.totals.input} output=${e.totals.output}`);
-  if (e.type === "run_end") return console.log(`[run_end] status=${e.status}${e.error ? " error=" + JSON.stringify(e.error) : ""}`);
-  console.log(`[${e.type}]${e.lane ? " lane=" + e.lane : ""}`);
-});
-
-const lane = await harness.lane("main", BACKGROUND_CONTEXT);
-const result = await lane.prompt("把《Dune》1080p 收进来", undefined, BACKGROUND_CONTEXT);
-console.log("RESULT", JSON.stringify(result));
-console.log("SUBMITTED", JSON.stringify(submitted), "fake calls:", faux.state.callCount);
-const entries = await lane.findEntries(undefined, BACKGROUND_CONTEXT);
-console.log("TRANSCRIPT roles:", entries.map((e: any) => e.type === "message" ? e.message.role : e.type).join(","));
-await harness.close(BACKGROUND_CONTEXT);

spikes/deno/apps/server/test/node-apis.test.ts

@@ -1,54 +0,0 @@
-import { afterAll, beforeAll, describe, expect, it } from "vitest";
-import { createServer, type Server } from "node:http";
-import { spawn } from "node:child_process";
-import { mkdtemp, readFile, rm, writeFile, statfs } from "node:fs/promises";
-import { tmpdir } from "node:os";
-import { join } from "node:path";
-import { createApp } from "../src/http.ts";
-import { redact } from "@spike/x";
-
-let server: Server;
-let base = "";
-beforeAll(async () => {
-  server = createServer((req, res) => {
-    res.setHeader("content-type", "application/json");
-    res.end(JSON.stringify({ path: req.url, method: req.method }));
-  });
-  await new Promise<void>((r) => server.listen(0, "127.0.0.1", () => r()));
-  const addr = server.address();
-  base = `http://127.0.0.1:${typeof addr === "object" && addr ? addr.port : 0}`;
-});
-afterAll(async () => { await new Promise((r) => server.close(r)); });
-
-describe("node compat under test runner", () => {
-  it("node:http mock server + fetch", async () => {
-    const r = await fetch(`${base}/api/v2/torrents/info?x=1`);
-    expect(await r.json()).toEqual({ path: "/api/v2/torrents/info?x=1", method: "GET" });
-  });
-  it("node:child_process spawn + kill", async () => {
-    const child = spawn("sleep", ["30"]);
-    await new Promise((r) => setTimeout(r, 100));
-    const exited = new Promise<{ code: number | null; signal: string | null }>((r) => child.on("exit", (code, signal) => r({ code, signal })));
-    expect(child.kill("SIGKILL")).toBe(true);
-    expect(await exited).toEqual({ code: null, signal: "SIGKILL" });
-  });
-  it("fs temp dir + statfs", async () => {
-    const dir = await mkdtemp(join(tmpdir(), "umt-"));
-    await writeFile(join(dir, "a.txt"), "hi");
-    expect(await readFile(join(dir, "a.txt"), "utf8")).toBe("hi");
-    const s = await statfs(dir);
-    expect(s.bsize).toBeGreaterThan(0);
-    expect(typeof s.bavail).toBe("number");
-    await rm(dir, { recursive: true });
-  });
-  it("hono app.request SSE", async () => {
-    const res = await createApp().request("/api/v1/events?after=1");
-    expect(res.headers.get("content-type")).toContain("text/event-stream");
-    const text = await res.text();
-    expect(text).toContain("id: 2");
-    expect(text).toContain("event: tick");
-  });
-  it("workspace package import", () => {
-    expect(redact({ token: "x" })).toEqual({ token: "[REDACTED]" });
-  });
-});

spikes/deno/apps/server/test/node_apis_test.ts

@@ -1,55 +0,0 @@
-import { afterAll, beforeAll, describe, it } from "@std/testing/bdd";
-import { expect } from "@std/expect";
-import { createServer, type Server } from "node:http";
-import { spawn } from "node:child_process";
-import { mkdtemp, readFile, rm, writeFile, statfs } from "node:fs/promises";
-import { tmpdir } from "node:os";
-import { join } from "node:path";
-import { createApp } from "../src/http.ts";
-import { redact } from "@spike/x";
-
-let server: Server;
-let base = "";
-beforeAll(async () => {
-  server = createServer((req, res) => {
-    res.setHeader("content-type", "application/json");
-    res.end(JSON.stringify({ path: req.url, method: req.method }));
-  });
-  await new Promise<void>((r) => server.listen(0, "127.0.0.1", () => r()));
-  const addr = server.address();
-  base = `http://127.0.0.1:${typeof addr === "object" && addr ? addr.port : 0}`;
-});
-afterAll(async () => { await new Promise((r) => server.close(r)); });
-
-describe("node compat under test runner", () => {
-  it("node:http mock server + fetch", async () => {
-    const r = await fetch(`${base}/api/v2/torrents/info?x=1`);
-    expect(await r.json()).toEqual({ path: "/api/v2/torrents/info?x=1", method: "GET" });
-  });
-  it("node:child_process spawn + kill", async () => {
-    const child = spawn("sleep", ["30"]);
-    await new Promise((r) => setTimeout(r, 100));
-    const exited = new Promise<{ code: number | null; signal: string | null }>((r) => child.on("exit", (code, signal) => r({ code, signal })));
-    expect(child.kill("SIGKILL")).toBe(true);
-    expect(await exited).toEqual({ code: null, signal: "SIGKILL" });
-  });
-  it("fs temp dir + statfs", async () => {
-    const dir = await mkdtemp(join(tmpdir(), "umt-"));
-    await writeFile(join(dir, "a.txt"), "hi");
-    expect(await readFile(join(dir, "a.txt"), "utf8")).toBe("hi");
-    const s = await statfs(dir);
-    expect(s.bsize).toBeGreaterThan(0);
-    expect(typeof s.bavail).toBe("number");
-    await rm(dir, { recursive: true });
-  });
-  it("hono app.request SSE", async () => {
-    const res = await createApp().request("/api/v1/events?after=1");
-    expect(res.headers.get("content-type")).toContain("text/event-stream");
-    const text = await res.text();
-    expect(text).toContain("id: 2");
-    expect(text).toContain("event: tick");
-  });
-  it("workspace package import", () => {
-    expect(redact({ token: "x" })).toEqual({ token: "[REDACTED]" });
-  });
-});

spikes/deno/apps/server/vitest.config.ts

@@ -1,6 +0,0 @@
-import { defineConfig } from "vitest/config";
-// Vite's resolver does not read deno.json workspace/imports: map workspace members manually.
-export default defineConfig({
-  resolve: { alias: { "@spike/x": new URL("../../packages/x/src/mod.ts", import.meta.url).pathname } },
-  test: { include: ["test/**/*.test.ts"] },
-});

spikes/deno/deno.json

@@ -1,55 +0,0 @@
-{
-  "workspace": [
-    "./packages/x",
-    "./packages/contracts",
-    "./apps/server",
-    "./web"
-  ],
-  "nodeModulesDir": "auto",
-  "imports": {
-    "openworkflow": "npm:[email protected]",
-    "openworkflow/postgres": "npm:[email protected]/postgres",
-    "postgres": "npm:postgres@^3.4.9",
-    "kysely": "npm:kysely@^0.29.6",
-    "kysely/": "npm:/kysely@^0.29.6/",
-    "kysely-postgres-js": "npm:kysely-postgres-js@^5.0.1",
-    "pg": "npm:pg@^8.23.0",
-    "@types/pg": "npm:@types/pg@^8",
-    "@earendil-works/pi-agent-core": "npm:@earendil-works/[email protected]",
-    "@earendil-works/pi-agent-core/": "npm:/@earendil-works/[email protected]/",
-    "@earendil-works/pi-ai": "npm:@earendil-works/[email protected]",
-    "typebox": "npm:typebox@^1",
-    "hono": "npm:hono@^4.13.9",
-    "hono/": "npm:/hono@^4.13.9/",
-    "pino": "npm:pino@^10.3.1",
-    "pino-pretty": "npm:pino-pretty@^13.1.3",
-    "@logtape/logtape": "npm:@logtape/logtape@^2",
-    "@std/expect": "jsr:@std/expect@^1",
-    "@std/testing": "jsr:@std/testing@^1",
-    "vitest": "npm:[email protected]",
-    "typescript": "npm:[email protected]",
-    "@types/node": "npm:@types/node@^24"
-  },
-  "tasks": {
-    "typecheck": "deno check",
-    "tsgo": "deno task types && deno run -A npm:[email protected]/tsc --noEmit -p tsconfig.tsc.json",
-    "types": "deno types > types/deno.d.ts"
-  },
-  "lint": {
-    "rules": {
-      "exclude": [
-        "no-explicit-any"
-      ]
-    }
-  },
-  "compilerOptions": {
-    "strict": true,
-    "noUncheckedIndexedAccess": true,
-    "verbatimModuleSyntax": true,
-    "lib": [
-      "deno.window",
-      "deno.unstable",
-      "dom"
-    ]
-  }
-}

spikes/deno/logs/compile.txt

@@ -1,17 +0,0 @@
-[C] worker started pid=1036397 version=v1 runtime=deno 2.9.7
-[C] run=a8a8a202 step=work 
-[C] run=d1692ed7 step=work 
-[C] run=617df139 step=work 
-[C] run=e22ffd1b step=work 
-[C] run=6692a31b step=work 
-[C] worker stopped gracefully
-{"ok":true,"runtime":"deno 2.9.7","ts":"6.0.3"}== ow-worker-bundle
-[ow-worker-bundle] worker started pid=1038194 version=v1 runtime=deno 2.9.7
-[ow-worker-bundle] run=8c780ba3 step=work 
-[ow-worker-bundle] run=fc82d7c3 step=work 
-[ow-worker-bundle] worker stopped gracefully
-== ow-worker-slim
-[ow-worker-slim] worker started pid=1038731 version=v1 runtime=deno 2.9.7
-[ow-worker-slim] run=4bfca25f step=work 
-[ow-worker-slim] run=781c6f72 step=work 
-[ow-worker-slim] worker stopped gracefully

spikes/deno/logs/compiled-ow-worker-bundle.out.txt

@@ -1,4 +0,0 @@
-[ow-worker-bundle] worker started pid=1038194 version=v1 runtime=deno 2.9.7
-[ow-worker-bundle] run=8c780ba3 step=work 
-[ow-worker-bundle] run=fc82d7c3 step=work 
-[ow-worker-bundle] worker stopped gracefully

spikes/deno/logs/compiled-ow-worker-slim.out.txt

@@ -1,4 +0,0 @@
-[ow-worker-slim] worker started pid=1038731 version=v1 runtime=deno 2.9.7
-[ow-worker-slim] run=4bfca25f step=work 
-[ow-worker-slim] run=781c6f72 step=work 
-[ow-worker-slim] worker stopped gracefully

spikes/deno/logs/compiled-worker.out.txt

@@ -1,7 +0,0 @@
-[C] worker started pid=1036397 version=v1 runtime=deno 2.9.7
-[C] run=a8a8a202 step=work 
-[C] run=d1692ed7 step=work 
-[C] run=617df139 step=work 
-[C] run=e22ffd1b step=work 
-[C] run=6692a31b step=work 
-[C] worker stopped gracefully

spikes/deno/logs/deno-check-real-repo-sloppy.txt

@@ -1,7 +0,0 @@
-packages/contracts/src/index.ts: 0 errors; 
-packages/domain/src/index.ts: 0 errors; 
-packages/db/src/index.ts: 0 errors; 
-packages/tasks/src/index.ts: 0 errors; 
-packages/agent/src/index.ts: 0 errors; 
-packages/adapters/src/index.ts: 0 errors; 
-apps/server/src/main.ts: 0 errors; 

spikes/deno/logs/deno-check-real-repo.txt

@@ -1,7 +0,0 @@
-packages/contracts/src/index.ts: 16 unresolved-imports, 16 errors; first: TS2307 [ERROR]: Cannot find module 'file:///opt/uhd_media_tool/packages/contracts/src/agent'. Maybe add a '.ts' extension or run with --sloppy-imports
-packages/domain/src/index.ts: 7 unresolved-imports, 7 errors; first: TS2307 [ERROR]: Cannot find module 'file:///opt/uhd_media_tool/packages/domain/src/acquisition'. Maybe specify path to 'index.ts' file in directory in
-packages/db/src/index.ts: 3 unresolved-imports, 3 errors; first: TS2307 [ERROR]: Cannot find module 'file:///opt/uhd_media_tool/packages/db/src/client'. Maybe add a '.ts' extension or run with --sloppy-imports
-packages/tasks/src/index.ts: 9 unresolved-imports, 9 errors; first: TS2307 [ERROR]: Cannot find module 'file:///opt/uhd_media_tool/packages/tasks/src/definitions'. Maybe add a '.ts' extension or run with --sloppy-impor
-packages/agent/src/index.ts: 11 unresolved-imports, 11 errors; first: TS2307 [ERROR]: Cannot find module 'file:///opt/uhd_media_tool/packages/agent/src/capability/errors'. Maybe add a '.ts' extension or run with --sloppy
-packages/adapters/src/index.ts: 6 unresolved-imports, 6 errors; first: TS2307 [ERROR]: Cannot find module 'file:///opt/uhd_media_tool/packages/adapters/src/emby'. Maybe specify path to 'index.ts' file in directory instead
-apps/server/src/main.ts: 8 unresolved-imports, 8 errors; first: TS2307 [ERROR]: Cannot find module 'file:///opt/uhd_media_tool/apps/server/src/config'. Maybe add a '.ts' extension or run with --sloppy-imports

spikes/deno/logs/deno-test.txt

@@ -1,14 +0,0 @@
-Check test/node_apis_test.ts
-running 1 test from ./test/node_apis_test.ts
-global ...
-  node compat under test runner ...
-    node:http mock server + fetch ... ok (15ms)
-    node:child_process spawn + kill ... ok (107ms)
-    fs temp dir + statfs ... ok (6ms)
-    hono app.request SSE ... ok (314ms)
-    workspace package import ... ok (0ms)
-  node compat under test runner ... ok (445ms)
-global ... ok (453ms)
-
-ok | 1 passed (6 steps) | 0 failed (460ms)
-

spikes/deno/logs/docker.txt

@@ -1,12 +0,0 @@
-image size 260MB
-health: {"ok":true,"runtime":"deno 2.9.7","ts":"6.0.3"}
-/ -> 200 text/html; charset=utf-8
-/settings (SPA fallback) -> 404 text/plain; charset=UTF-8
-assets/manifest-f425e467.js -> 200 text/javascript; charset=utf-8
-sse: 3 events
-docker stop (SIGTERM) took .309456482s
-logs:
-listening 8080
-shutdown
-server finished
-/settings (SPA fallback, container) -> 200 text/html; charset=utf-8

spikes/deno/logs/hono-server.out.txt

@@ -1,3 +0,0 @@
-listening 5199
-shutdown
-server finished

spikes/deno/logs/hono-shutdown-0.out.txt

@@ -1,3 +0,0 @@
-listening 5199
-shutdown
-server finished

spikes/deno/logs/hono-shutdown-1.out.txt

@@ -1,3 +0,0 @@
-listening 5199
-shutdown
-server finished

spikes/deno/logs/hono-shutdown.txt

@@ -1,2 +0,0 @@
-CLOSE_SSE=0 server exit after .210191521s alive=no
-CLOSE_SSE=1 server exit after .208894206s alive=no

spikes/deno/logs/hono.txt

@@ -1,21 +0,0 @@
-{"ok":true,"runtime":"deno 2.9.7","ts":"6.0.3"}
-{"url":"http://localhost:5199/api/v1/redact?token=[REDACTED]","apiKey":"[REDACTED]"}
-HTTP/1.1 200 OK
-cache-control: no-cache
-connection: keep-alive
-content-type: text/event-stream
-transfer-encoding: chunked
-date: Sun, 27 Sep 2026 10:03:06 GMT
-
-event: tick
-data: {"i":6}
-id: 6
-
-event: tick
-data: {"i":7}
-id: 7
-
-event: tick
-data: {"i":8}
-id: 8
-

spikes/deno/logs/kysely-real-migrations.txt

@@ -1 +0,0 @@
-pg migrate: ["0001_init:Success","0002_foundation:Success","0003_instances:Success","0004_content:Success","0005_identity:Success","0006_sources:Success","0007_assets:Success","0008_policy:Success","0009_execution:Success","0010_agent:Success","0011_ops:Success","0012_organization:Success"] error: null

spikes/deno/logs/kysely.txt

@@ -1,14 +0,0 @@
-pg migrate: ["0001_init:Success","0002_index:Success"] error: null
-pg rows: string:1/Dune/{"q":"1080p"}/true string:2/Arrival/null/true
-pg tx error -> rollback
-pg titles after tx: Dune,Arrival,tx-ok
-pg 50 parallel queries on pool=4: 158ms
-pg destroyed cleanly
-exit=0
-postgresjs migrate: ["0001_init:Success","0002_index:Success"] error: null
-postgresjs rows: string:1/Dune/"{\"q\":\"1080p\"}"/true string:2/Arrival/null/true
-postgresjs tx error -> rollback
-postgresjs titles after tx: Dune,Arrival,tx-ok
-postgresjs 50 parallel queries on pool=4: 170ms
-postgresjs destroyed cleanly
-exit=0

spikes/deno/logs/logtape.txt

@@ -1,2 +0,0 @@
-{"@timestamp":"2026-09-27T10:04:24.739Z","level":"INFO","message":"fetch \"https://x/rss?passkey=[REDACTED]\"","logger":"umt.worker","properties":{"url":"https://x/rss?passkey=[REDACTED]","token":"[REDACTED]","n":3}}
-{"@timestamp":"2026-09-27T10:04:24.741Z","level":"WARN","message":"child context","logger":"umt.worker","properties":{"runId":"r1","apiKey":"[REDACTED]"}}

spikes/deno/logs/node-compat.txt

@@ -1,28 +0,0 @@
-{
- "parseArgs": {
-  "role": "api"
- },
- "statfs": {
-  "bsize": 4096,
-  "bavailGB": 1198
- },
- "os": {
-  "cpus": 96,
-  "freememMB": 114164,
-  "loadavg": 3
- },
- "memoryUsage": "rss,heapTotal,heapUsed,external,arrayBuffers",
- "als": "req-1",
- "crypto": "2d711642 36",
- "worker": {
-  "echo": "from worker",
-  "pid": 1041177
- },
- "childKill": {
-  "code": 0,
-  "sig": null,
-  "out": "ready|got-TERM"
- },
- "execPath": "/usr/local/bin/deno"
-}
-process.on(SIGTERM) handler fired

spikes/deno/logs/ow-burst.txt

@@ -1,2 +0,0 @@
-{"count":40}
-{"total":"40","runs":"40","a":"24","b":"16"}

spikes/deno/logs/ow-happy.txt

@@ -1,16 +0,0 @@
-{"runId":"76f4d2cd-7419-41b0-807d-756157fba672","status":"pending","version":"v1"}
-{"status":"running","version":"v1","attempts":1,"error":null,"output":null}
-{"workflowRunIds":["76f4d2cd-7419-41b0-807d-756157fba672"]}
-{"status":"completed","version":"v1","attempts":3,"error":null,"output":{"sub":{"torrentHash":"hash-d1"},"copied":{"dest":"/lib/d1.mkv"},"signal":{"ok":true}}}
-submit-download    function     completed 
-wait-download      signal-wait  completed 
-copy-file          function     completed 
-register           function     completed 
-retention          sleep        completed 
-cleanup            function     completed 
-76f4d2cd submit-download  A      version=v1
-76f4d2cd copy-file        A      start
-76f4d2cd copy-file        A      end
-76f4d2cd register         A      version=v1
-76f4d2cd cleanup          A      
-{"runId":"76f4d2cd-7419-41b0-807d-756157fba672","status":"completed","version":"v1"}

spikes/deno/logs/ow-kill9.txt

@@ -1,19 +0,0 @@
-run=1fdbe2ec-6952-4958-bcbb-50903dbdfbe1
-{"workflowRunIds":["1fdbe2ec-6952-4958-bcbb-50903dbdfbe1"]}
-kill -9 worker A pid=968976
-1fdbe2ec submit-download  A      version=v1
-1fdbe2ec copy-file        A      start
-after 12x3s: {"status":"completed","version":"v1","attempts":4,"error":null,"output":{"sub":{"torrentHash":"hash-d2"},"copied":{"dest":"/lib/d2.mkv"},"signal":{"ok":true}}}
-submit-download    function     completed 
-wait-download      signal-wait  completed 
-copy-file          function     running 
-copy-file          function     completed 
-register           function     completed 
-retention          sleep        completed 
-cleanup            function     completed 
-1fdbe2ec submit-download  A      version=v1
-1fdbe2ec copy-file        A      start
-1fdbe2ec copy-file        B      start
-1fdbe2ec copy-file        B      end
-1fdbe2ec register         B      version=v1
-1fdbe2ec cleanup          B      

spikes/deno/logs/ow-tables.txt

@@ -1,5 +0,0 @@
-biz.side_effect_ledger
-openworkflow.openworkflow_migrations
-openworkflow.step_attempts
-openworkflow.workflow_runs
-openworkflow.workflow_signals

spikes/deno/logs/pi-abort.txt

@@ -1,19 +0,0 @@
-open operations at attach: []
-[tool_start] inventory__query  
-[tool_end] inventory__query  "{\"title\":\"Dune\",\"inLibrary\":false,\"versions\":[]}"
-[tool_start] download__submit  
->> lane.abort()
-[operation_abort]   
-[tool_end] download__submit  "aborted by signal"
-[tool_start] bash  
-[tool_end] bash  "Tool execution was cancelled before completion."
-[run_end]  aborted 
-abort result: {"ok":true,"value":{"operationId":"01a0e251-49a9-7098-9037-ced15867c0d4","steer":[],"followUp":[]}}
-PROMPT RESULT {"ok":true,"value":{"operationId":"01a0e251-49a9-7098-9037-ced15867c0d4","kind":"run","status":"aborted","fromTipId":null,"tipId":"01a0e251-49c2-7098-9037-cee4bf55ca98","startedAt":1790503373225,"endedAt":1790503373567}}
-SUBMITTED in this process [] fake calls: 2
- user         把《Dune》1080p 收进来
- assistant    <thinking> | 我先查一下库里有没有《Dune》。 | toolCall(inventory__query)
- toolResult inventory__query  {"title":"Dune","inLibrary":false,"versions":[]}
- assistant    库里没有,提交 1080p 下载;顺便试一下未授权的 bash。 | toolCall(download__submit) | toolCall(bash)
- toolResult download__submit [isError] aborted by signal
- toolResult bash [isError] Tool execution was cancelled before completion.

spikes/deno/logs/pi-crash.txt

@@ -1,5 +0,0 @@
-open operations at attach: []
-[tool_start] inventory__query  
-[tool_end] inventory__query  "{\"title\":\"Dune\",\"inLibrary\":false,\"versions\":[]}"
-[tool_start] download__submit  
->> SIGKILL self during download.submit

spikes/deno/logs/pi-fake-run.txt

@@ -1,39 +0,0 @@
-[run_start] lane=main
-[turn_start] lane=main
-  [text_delta] "我先查一下库里有没有《D"
-  [text_delta] "une》。"
-  [toolcall_end] inventory__query
-[usage] in=145 totals.input=145 output=18
-  [hook before_tool] inventory__query args={"title":"Dune","year":2021}
-[tool_start] inventory__query {"title":"Dune","year":2021}
-[tool_update] lane=main
-[tool_end] inventory__query isError=false -> "{\"title\":\"Dune\",\"inLibrary\":false,\"versions\":[]}"
-[turn_end] lane=main
-[turn_start] lane=main
-  [text_delta] "库里没有,提交 1080p 下载"
-  [text_delta] ";顺便试一下未授权的 b"
-  [text_delta] "ash。"
-  [toolcall_end] download__submit
-  [toolcall_end] bash
-[usage] in=40 totals.input=185 output=46
-  [hook before_tool] download__submit args={"title":"Dune","quality":"1080p"}
-[tool_start] download__submit {"title":"Dune","quality":"1080p"}
-[tool_end] download__submit isError=false -> "{\"accepted\":true,\"idempotencyKey\":\"dl:Dune:1080p\",\"status\":\"submitted\"}"
-[tool_start] bash {"command":"rm -rf /"}
-[tool_end] bash isError=true -> "Tool \"bash\" is unavailable"
-[turn_end] lane=main
-[turn_start] lane=main
-  [text_delta] "下载已提交(仅代表已提交"
-  [text_delta] ",不代表已入库):{\"a"
-  [text_delta] "ccepted\":tru"
-  [text_delta] "e,\"idempotencyKey\":\""
-  [text_delta] "dl:Dune:1080"
-  [text_delta] "p\",\"status\":\"sub"
-  [text_delta] "mitted\"};bash 结果 isE"
-  [text_delta] "rror=true。"
-[usage] in=67 totals.input=252 output=75
-[turn_end] lane=main
-[run_end] status=completed
-RESULT {"ok":true,"value":{"operationId":"01a0e251-372b-714d-8e79-7300ed37b0d8","kind":"run","status":"completed","fromTipId":null,"tipId":"01a0e251-3749-714d-8e79-731888a9468b","startedAt":1790503368491,"endedAt":1790503368525}}
-SUBMITTED [{"key":"dl:Dune:1080p","title":"Dune"}] fake calls: 3
-TRANSCRIPT roles: assistant,toolResult,toolResult,assistant,toolResult,assistant,user

spikes/deno/logs/pi-resume.txt

@@ -1,15 +0,0 @@
-found session crash-demo /opt/uhd_media_tool/spikes/deno/apps/server/src/pi/.sessions/--opt-uhd_media_tool-spikes-deno-apps-server-src-pi-.sessions--/2026-09-27T10-02-53-768Z_crash-demo.jsonl
-open operations at attach: [{"lane":"main","operationId":"01a0e251-4bd4-7649-b068-537faf822316","kind":"run","startedAt":1790503373780}]
-[tool_end] (recovery) download__submit  "[Tool execution was interrupted. The preceding output is the latest durable progress snapshot; newer live output may be missing, and the external outcome is unknown.]"
-[tool_start] (recovery) bash  
-[tool_end] (recovery) bash  "Tool \"bash\" is unavailable"
-[run_end]  completed 
-RESUME RESULT {"ok":true,"value":{"operationId":"01a0e251-4bd4-7649-b068-537faf822316","kind":"run","status":"completed","fromTipId":null,"tipId":"01a0e251-4dfd-74a9-9dee-40c910a4e623","startedAt":1790503373780,"endedAt":1790503374346}}
-SUBMITTED in this process [] fake calls: 1
- user         把《Dune》1080p 收进来
- assistant    <thinking> | 我先查一下库里有没有《Dune》。 | toolCall(inventory__query)
- toolResult inventory__query  {"title":"Dune","inLibrary":false,"versions":[]}
- assistant    库里没有,提交 1080p 下载;顺便试一下未授权的 bash。 | toolCall(download__submit) | toolCall(bash)
- toolResult download__submit [isError] [Tool execution was interrupted. The preceding output is the latest durable progress snapshot; newer live output may be missing, and the external outcome is unknown.]
- toolResult bash [isError] Tool "bash" is unavailable
- assistant    下载已提交(仅代表已提交,不代表已入库):[Tool execution was interrupted. The preceding output is the latest durable progress snapshot; newer live output may be missing, and the external outcome is unknown.];bash 结果 isEr

spikes/deno/logs/pino.txt

@@ -1,7 +0,0 @@
-custom-dest: {"level":30,"time":1790503464308,"pid":985225,"hostname":"DS4199","token":"[REDACTED]","url":"https://x/rss?passkey=[REDACTED]&a=1","n":1,"msg":"fetch https://x?api_key=[REDACTED]"}
-{"level":40,"time":1790503464309,"pid":985225,"hostname":"DS4199","component":"worker","password":"p","err":{},"msg":"child"}
-{"level":30,"time":1790503464311,"pid":985225,"hostname":"DS4199","cookie":"[REDACTED]","msg":"stdout default destination"}
-{"level":30,"time":1790503464364,"pid":985225,"hostname":"DS4199","secret":"[REDACTED]","msg":"via pino.transport (worker_threads)"}
-{"level":30,"time":1790503482109,"pid":987284,"hostname":"DS4199","secret":"[REDACTED]","msg":"via pino.transport (worker_threads)"}
-[18:04:42] INFO (987284): via pino-pretty transport
-    token: "[REDACTED]"

spikes/deno/logs/sloppy-fix.txt

@@ -1,3 +0,0 @@
-import { a } from "./sloppy";
-export const b = a;
-export * from "./a";

spikes/deno/logs/tokens.txt

@@ -1,4 +0,0 @@
-已生成 app/lib/design-tokens.generated.ts(字号 36 / 缓动 5 / 圆角 10 / 时长 6)
-design token 登记表是最新的(字号 36 / 缓动 5 / 圆角 10 / 时长 6)
-check exit=0
-设计 token 检查通过

spikes/deno/logs/tsc7-real-repo.txt

@@ -1,8 +0,0 @@
-packages/adapters: ts7 errors=0 
-packages/agent: ts7 errors=0 
-packages/contracts: ts7 errors=0 
-packages/db: ts7 errors=0 
-packages/domain: ts7 errors=0 
-packages/tasks: ts7 errors=0 
-packages/testkit: ts7 errors=0 
-apps/server: ts7 errors=0 

spikes/deno/logs/tsc7-web.txt

@@ -1,3 +0,0 @@
-tsconfig.json(13,5): error TS5102: Option 'baseUrl' has been removed. Please remove it from your configuration.
-  Use '"paths": {"*": ["./*"]}' instead.
-exit=0

spikes/deno/logs/typecheck-compare.txt

@@ -1,11 +0,0 @@
-== deno check
-real	0m2.574s
-== tsc 7.0.2
-Task tsgo deno run -A npm:[email protected]/tsc --noEmit -p tsconfig.tsc.json
-real	0m1.525s
-user	0m12.882s
-sys	0m1.994s
-exit=0
-== logtape (npm) rerun
-{"@timestamp":"2026-09-27T10:10:40.172Z","level":"INFO","message":"fetch \"https://x/rss?passkey=[REDACTED]\"","logger":"umt.worker","properties":{"url":"https://x/rss?passkey=[REDACTED]","token":"[REDACTED]","n":3}}
-{"@timestamp":"2026-09-27T10:10:40.174Z","level":"WARN","message":"child context","logger":"umt.worker","properties":{"runId":"r1","apiKey":"[REDACTED]"}}

spikes/deno/logs/vitest-real-packages.txt

@@ -1,12 +0,0 @@
-packages/adapters | deno: ⎯⎯⎯⎯⎯⎯⎯ Failed Tests 1 ⎯⎯⎯⎯⎯⎯⎯  Test Files 1 failed | 8 passed (9)  Tests 1 failed | 108 passed | 2 skipped (111)  | node: ⎯⎯⎯⎯⎯⎯⎯ Failed Tests 1 ⎯⎯⎯⎯⎯⎯⎯  Test Files 1 failed | 8 passed (9)  Tests 1 failed | 108 passed | 2 skipped (111) 
-packages/agent | deno: ⎯⎯⎯⎯⎯⎯⎯ Failed Tests 1 ⎯⎯⎯⎯⎯⎯⎯  Test Files 1 failed | 3 passed (4)  Tests 1 failed | 26 passed (27)  | node:  Test Files 4 passed (4)  Tests 27 passed (27) 
-packages/contracts | deno:  Test Files 3 passed (3)  Tests 361 passed (361)  | node:  Test Files 3 passed (3)  Tests 361 passed (361) 
-packages/db | deno:  Test Files 2 passed (2)  Tests 11 passed (11)  | node:  Test Files 2 passed (2)  Tests 11 passed (11) 
-packages/domain | deno:  Test Files 2 passed (2)  Tests 122 passed (122)  | node:  Test Files 2 passed (2)  Tests 122 passed (122) 
-packages/tasks | deno: ⎯⎯⎯⎯⎯⎯⎯ Failed Tests 1 ⎯⎯⎯⎯⎯⎯⎯  Test Files 3 failed | 2 passed (5)  Tests 1 failed | 7 passed | 7 skipped (15)  | node: ⎯⎯⎯⎯⎯⎯⎯ Failed Tests 1 ⎯⎯⎯⎯⎯⎯⎯  Test Files 1 failed | 4 passed (5)  Tests 1 failed | 14 passed (15) 
-packages/testkit | deno:  Test Files 1 passed (1)  Tests 1 passed (1)  | node:  Test Files 1 passed (1)  Tests 1 passed (1) 
-
-# notes
-# adapters: same 1 failure under node and deno (pre-existing, WIP by other agent)
-# agent: deno-only failure = crash-recovery child spawned via process.execPath (=deno) hits extensionless import in packages/contracts/src/index.ts
-# tasks: dev PG 55433 shared/unstable in both runtimes; rerun under deno with TASKS_TEST_DATABASE_URL=postgres://postgres:[email protected]:55435/umt_tasks -> Test Files 5 passed (5), Tests 15 passed (15) (incl. kill -9 crash-recovery)

spikes/deno/logs/vitest-real-server.txt

@@ -1,9 +0,0 @@
-
- RUN  v5.0.2 /opt/uhd_media_tool/apps/server
-
-
- Test Files  4 passed (4)
-      Tests  15 passed (15)
-   Start at  18:05:17
-   Duration  733ms (import 48%, transform 46%, tests 6%, worker 1%)
-