[REQ-161] 冷启动即用:模型目录及时可操作,无假「不可用」窗口

[jinjunnn]

结果

冷启动(含停机 >15 分钟的 token 过期场景、代理网络抖动场景)下,用户打开 app 即得到可操作的模型目录与诚实的状态呈现;启动不再被远端网络与非治理 MCP 拖住。

AC

• AC1a 稳态冷启动(安装后第二次及以后启动)至模型目录可操作 P95 ≤ 30s(本地目录 + BYOK;平台项在续期未完时显式「登录恢复中」,不阻塞其余)。证明:T7 验证矩阵 + T1 插桩时间线。样本量 n ≥ 10。 (2026-09-17 按 owner 裁决改写,原文见编辑历史)
• AC1b 首次启动(安装后第一次打开)至模型目录可操作 ≤ 30s。证明:T7 验证矩阵中每个新二进制第一轮的首装样本。 (2026-09-17 按 owner 裁决改写,原文见编辑历史)
• AC2 启动/恢复瞬态永不呈现「当前不可用」;只有 loading/recovering 与真实失败两种语义。证明:B′ 状态机单测 + L2 截图(状态呈现变更时)。
• AC3 目录就绪事件到达与首次模型请求发起的间隔 ≤ ~100ms,且无 1–8s 退避残留。证明:[REQ-161][CODE] 首屏目录改为消费既有就绪事件，去掉 1.5s 自超时与指数退避 #882 的间隔判据(冻结兜底定时器,断言事件推动的探针发生在任何 tick 之前)。
• AC4 快续期路径单次 fork;慢续期路径 ≤ 1 fork + 1 换血,且换血不整页 reload(renderer mount 保持 1)。证明:[REQ-162][BUG][P1] 快续期在 boot health 前 flush pending generation，单 fork 退化为 boot+换血 #859 确定性计数测试 + [REQ-162][BUG][P1] token-only 换血等待 6s graceful stop，3s 续期档 catalog 约 10s #858 打包实测(mounts=1、reloads=0)。 (2026-09-17 按 owner 裁决改写,原文见编辑历史)
• AC5 account summary 不再门控本地 model.list(并行解耦);账户只门控平台 entitlement 与发送准入。证明:接线测试(从首页链断言并行)。
• AC6 非 alpha 治理面的 MCP(如 opencode CLI 全局配置)不参与 alpha 启动:注入面 default-deny + mcp 连接超时防御值。证明:注入单测 + 真机实例 bootstrap 时长对比。
• AC7 不得把未验证的过期平台 token 标成可用。证明:B′ 状态机单测。

复杂度

L(启动时序 + renderer 状态机 + 引擎行为影射;方案基线已 Codex 对抗一轮)

方案基线(升 Ready 的门)

https://github.com/jinjunnn/alpha-code/blob/99df5b32d/docs/design/2026-07-23-startup-availability-baseline.md
子票切分见基线 §④(T1–T4、T6 归本 REQ;T5 归 REQ-110;T7 VERIFY 两 REQ 共享)。

Out of scope

• D(main 本地 bearer 中继)另立架构需求;上游包零改动;project-scope 配置面。

[jinjunnn]

T1(#530,PR #552 已合并)真机定案「闪」归因时发现三候选之外的第四机制,需 owner 裁定归属:

• 热启动可见闪 = composer 全量 remount(occurrence=2,t≈3.6s):resolvedSurfaces.latest 随引擎多实例 init 迟到收敛而变化 → 路由树重建 → 页面根重挂(非 reload、非 epoch;renderer/index.tsx:487-500,REQ-088 surface admission)。
• 冷启动可见闪 = 既列候选 A(default→真实项目 workspace 切换)。
• 证据:docs/verification/2026-07-24-req109-t1-startup-timelines.md。

待裁定:第四机制并入 T3(#532)治理,还是另开 CODE 票挂本 REQ?PR-3(T2–T5,进行中)已明确将 surface admission 重构排除在范围外,只做链路 restart-safe。

[jinjunnn]

第四机制补充数据(PR-3 真机 1 小时长跑,docs/verification/2026-07-24-req109-110-pr3-longrun.md):token-only 换血会触发它——首次换血后 30s 内 composer 子树 remount 6 次(旧整页 reload 行为把它掩盖,免 reload 后首次换血将其暴露);之后 5 次换血零 remount。root.mount 恒 1,页面级判据成立。裁定归属时请把「免 reload 后的首次换血抖动」计入该机制的影响面。

[jinjunnn]

第四闪机制已升格为正式子票 #565(P 待定,Ready)。慢恢复(存活但 0 模型时 respawn 过晚 ~225s)另立 #564。两者均挂本父票 REQ-109。

[jinjunnn]

编号更正(2026-09-16):本需求由 REQ-109 改为 REQ-161。

原因:REQ-109 在 2026-07-18 已由 jinjunnn/alpha-work#13(云任务幂等、可取消)先行登记;本需求 2026-07-24 在 alpha-code 本地复用了同一个号,导致按编号搜索时两件无关的事混在一起。

已同步:本需求及其名下 alpha-code 子票标题前缀一律改为 [REQ-161]。未改:仓内历史文档(如 docs/design/2026-07-23-startup-availability-baseline.md、docs/verification/2026-07-24-req109-110-pr3-longrun.md)与已合并 PR 中的 "REQ-109" —— 在「启动 / 模型目录」语境下出现的 REQ-109 即指本需求。alpha-code#400 属于 alpha-work#13,保留 REQ-109。

[jinjunnn]

owner 2026-09-17 裁决:按证据验收,关闭。

这个需求交付的是:桌面端冷启动后很快能选模型,启动过程中不再闪出假的「不可用」,过期凭证不会被当成可用,与 Alpha 无关的外部工具服务不再拖慢启动。验收前按裁决改写了三条:AC1a 的启动速度线从 5 秒改为 30 秒(与 alpha-code#857 上 owner 2026-08-24 的裁决一致;慢在引擎内部哪一步仍未查明,不再追);AC1b 首次启动的线定为 30 秒;AC4 接受确定性计数测试加 #858 打包实测作为证据(快续期 50ms 档没有单独的打包重跑)。

AC	结论	证据
AC1a	PASS(改写后)	合并稳态 n=36,P95 8,313.4 ms、最大 8,646 ms,均 ≤ 30 s:docs/verification/2026-08-24-req109-p95-post1098-1099/README.md:35-41 与同目录 results.1102-clean-round{1,2,3}.json(2026-09-17 复算最近秩 P95 8,315 ms);#857 关闭评论
AC1b	PASS(改写后)	新二进制首装样本 20,110 ms(同 README:37)、7,600.7 ms(#1095 R1)、18,179.5 ms(#1080),均 ≤ 30 s;签名包 5f8d6096d 五样本 4,014.9–4,395.1 ms(#881 关闭证据)
AC2	PASS	docs/verification/2026-08-06-req109-110-t7-runtime/README.md:71-72 27 个打包样本无一显示「model list unavailable」;post1098-1099 三轮 39 个样本 unavailableVisible 全为 false
AC3	PASS	packages/ui-mac/src/renderer/alpha-ui/model-contract.test.ts:179「#882 首次读取由 catalog.updated 驱动:冻结时钟下仍能就绪,且事件到达与重探之间零计时器」;T7 README:76 generation-ready 唤醒 1–52 ms;#858 打包 readyRetryMs 1.3–1.5 ms(README:384)
AC4	PASS(改写后)	#859 / PR #910:T7 README:101 起「#859 post-fix candidate」,确定性闸串起生产单元,50ms 排序 5 次重复并断言精确计数;#858 打包实测 README:374-384 全部样本 mounts=1、reloads=0
AC5	PASS	packages/ui-mac/src/renderer/alpha-ui/model-picker-core.test.ts:270「平台/账户/引擎的任何状态组合都不改变 BYOK 行(只有本地 KEY 与本地目录说话)」;#532 / PR #556(151614f93);#857 关闭评论验收表「目录/账户并行,不被 account summary 串行门控 —— 已成立」
AC6	PASS	packages/ui-mac/src/main/mcp-default-deny.ts + mcp-default-deny.test.ts(#535 / PR #551);docs/verification/2026-07-24-req109-t6-mcp-default-deny.md
AC7	PASS	packages/ui-mac/src/main/alpha-auth-clock.ts hasUsableLifetime(可用寿命下界 30 s)与 alpha-auth-clock.test.ts:73;auth-renewal.ts 消费(#531 / #532 / PR #556)

坐标于 2026-09-17 在 alpha-code origin/alpha @ 8eb092b73 上核对仍然成立。子票 alpha-code#857 已关。