[REQ-131][CODE] #1129 reopen:策略文档轴抵达目录与执行咽喉 + dynamic tool policy inventory

[jinjunnn]

Fixes #1129
Refs #723(REQ-131 父需求,不用关闭关键词)

方案基线:#724 CLOSE_DECIDE §3/§4/§5(末条)/§6 + §9 第 2 条。本 PR 补 reopen 点名的两件:dynamic inventory/API 与 策略文档轴抵达咽喉。上一轮(PR #1135)落地的 E1–E6 identity(ruleset)轴执行未重做、未回退——23 条 #725 探针断言一字未改,本轮全绿。

一、dynamic inventory/API(#724 §5 末条)

落点:引擎内 AlphaToolInventory.Service.list()(packages/opencode/src/permission/alpha-tool-inventory.ts),wire 形状(renderer 可原样 import)packages/schema/src/alpha-tool-inventory.ts,返回值经 schema decode 自证(形状漂移 loud fail)。从 live ToolRegistry / MCP.tools() / host 谓词派生,不读历史 ToolPart.display、不读 UI 名单(§5 禁令);effective 判定与咽喉是同一个 resolver(同一 resolveToolPolicy 纯核 + 同一合成),差别只有 §6 允许的 snapshot vs 每次重读。

字段清单 ↔ 设计稿 §3 表逐行覆盖

设计稿 §3 行	inventory 字段	闸
四个分组 / 每类每服务条数 / 工具清单	services[].class + services[].tools[](条数 = length)	I1
服务行(名称/展开)	services[].source + services[].origin	I1
工具行名称	tools[].identity.name	I1
三态控件写入(带当前 digest)	services[].bindingDigest / tools[].bindingDigest(alpha-cloud = verified authority 证据,其余 = 宿主派生当前 binding,与 resolver subjectBindingDigest 同取向)	I3 + D5
「恢复继承」	removeRecord(#1128 已有;record 字段回显现有 override)	I2
「生效」徽标 + 9 型 reason	tools[].effective.state/action/reason(9 型 wire 镜像;引擎侧 exhaustive-switch = 编译期漂移闸)	I1–I5
「继承:默认 / 你的设置(层级)」	reason.kind = "default"(class) / "user"(level)	I1/I2
锁定行(cap-*)	reason.kind = cap-managed / cap-managed-unreadable / cap-entitlement / cap-hard-deny	I4
「服务已变更」+ 重新启用	reason.kind = "binding-changed" + 当前 digest	I3
损坏恢复横幅 + 重置	顶层 user.status = quarantined + reason(重置走既有 reset())	I5
逐条保存失败	ToolPolicyWriteError(#1128 已有,非 inventory 职责)	—
「仅当前账户与当前项目」	partition(与引擎 inspect() 一致)	I1
「计费:按用量 / 未知」	tools[].billing?(schema 在场;今天引擎里没有任何 billing fact 生产方⇒恒缺席⇒UI 如实显示「未知」——如实声明,不假装有供给)	—
「新发现」徽标	tools[].newlyDiscovered(动态类 && 零匹配记录)	I1/I2
「N 项注册身份无法核验」	invalid.count + entries[].detail(owner Q1 裁决:计数入正文,原因归开发者详情)	I1

少给的行:无。classRecords 额外提供(四组总开关的用户 override 呈现)。

二、策略文档轴抵达咽喉(#724 §3/§4/§6)

合成次序(照 §4,不自创),全部在共享 gate packages/opencode/src/permission/alpha-tool-policy-gate.ts:

1. ruleset 轴(config/agent/session 的 identity 规则,[BUG][P1] identity 三态在 builtin/plugin/host 的执行咽喉上完全不生效 —— 设成「询问」的工具照跑不弹窗 #1121/[REQ-131][CODE] #1129 在目录与工具执行咽喉执行同一 identity 三态策略(E1–E7 + sentinel) #1135 既有)对 exact canonical 的 deny 用引擎自己的 Permission.evaluate 判定后折进 cap(hardDeny:["permission-ruleset"])——deny 是上限,文档轴 enabled 与 session grant 都撬不开;它的 ask/allow 留在原地生效(既有闸保留)。
2. 文档轴 AlphaToolPolicy.resolve([REQ-131][CODE] 解析并持久化分层工具策略 #1128):managed/entitlement cap → 用户 selector(tool>service>class,binding guard:enabled+digest,当前 digest 由调用方在调用时重新派生——mcp = 生效配置 entry 去秘密 digest(rebind 检测),plugin = 本装载代 digest,builtin/host = 应用常量)→ 四类默认(本地 enabled,其余 ask)。
3. 合成进同一次 Permission.ask(不另造第二个审批引擎):deny ⇒ 具名 PermissionV1.DeniedError(载明 canonical + reason 来源)零 hook 零副作用;ask ⇒ ruleset 末尾追加一条 exact-canonical ask ⇒ 挂起等批准,once/always 即 [REQ-131][CODE] 解析并持久化分层工具策略 #1128 grants,一次调用恰好一问(E3 去重不回潮);allow ⇒ 不加 identity prompt,ability 闸原样。

§6 E1–E6 逐行落点

接缝	落点
E1/E2/E3(builtin/plugin/host/MCP)	session/tools.ts identityGate → gateToolExecution(每次调用:重derive subject + resolve() 重读 managed+文档)
目录(V1 catalog)	session/llm/request.ts prepare:snapshotCatalogDenied(§6 允许当轮 snapshot;doc-deny 与既有 Permission.disabled 取并集;host::StructuredOutput sentinel 免疫 exact canonical)
E4 code-mode child	tool/code-mode.ts:child catalog 过同一 snapshot 过滤;invokeChildTool 顶部同一 gate(deny/ask 早于 hook 早于传输;每子调用重读)
E5 DWS 预批	session/llm.ts:workflowPreapprovedToolNames 第三参 docActions(必传,缺席=不预批 fail-closed);snapshot 派生
E6 direct subtask	session/prompt.ts handleSubtask:同一 gate(既有 ruleset-disabled 检查保留为双保险)
E7 / sentinel	零生产改动;既有排除锁与 sentinel 锁全数保持绿

「executor 调用时重读」的变异实测(先 commit 后实验,窗口逐个还原并复核;UTC 时刻)

变异	结果
A 13:15–13:26Z:gate 的 effective 改成按 canonical 缓存(= executor 用快照)	doc-axis D3–D7 + E4 重读用例 6 红(D3–D6 呈「deny 退化为挂起等批」的超时红;D7/E4 当场红)。这正是判据要抓的形态:目录发出、对象在手、才收紧 ⇒ 已持有对象必须当场 deny——D4 断言驱动的就是先前 resolve 出的同一 tools 对象、prepare 已广告之后 setRecord 收紧、.execute() 具名拒绝且真 MCP server tools/call 计数不增长;还原(removeRecord)后同一对象恢复、计数 +1
B 13:26:50Z:prepare 摘 doc 目录过滤	D3 红(disabled 仍被广告)
C 13:27:29Z:预批忽略 docActions	tool-identity 预批用例红(fail-closed 断言)
E 13:28:07Z:E6 回退成 ruleset-only ask	E6 文档轴用例红(60s poll 超时,与 #1135 同型)
D 13:29:36Z:inventory 硬编码 enabled(脱离 resolver)	I1–I5 全红(徽标与执行面不再同源)
还原后复核	26/26 绿(4 文件),树净(git status 0 行)

三、上一轮「层图加硬依赖 = 23 条全崩」怎么解的

那不是结构障碍,是该节点没进图。LayerNode.compile 走 deps 传递闭包 ⇒ 生产侧只需把 AlphaToolPolicy.node 加进 SessionPrompt.node / LLM.node / ToolRegistry.node 的 deps(全在 exclude 文件内);直接调用裸 SessionTools.resolve/prepare 的测试图必须把节点显式加进自己的 LayerNode.group(compile 依赖走 Layer.provide,不暴露到成功类型)——harness/闸门/alias-lock 等 5 个图各加一行。R 的传递有两处以句柄切断:prepare 走 input 句柄(toolPolicy 字段,与其 plugin 同款),code-mode 走参数句柄(否则 registry materialize 自己的工具 = 类型自环)。23 条探针在补图 + 中性底夹具后断言一字未改全绿。

中性底夹具:文档轴接入后 mcp/plugin 类默认 ask(§2 表)。探针矩阵与 execution-gate 量的是 ruleset 轴语义,其中性底加两条 class 层 enabled 记录(走生产 setRecord;用户可达:Settings 两类总开关设启用)。文档轴自己的判据独立成 doc-axis 闸,不与之混。分区隔离:tmpdir instance 的 project.id 跨用例相同 ⇒ 策略文件会跨用例泄漏,4 个写记录的测试文件用生产层的 account 注入口(#1128 测试口)per-test 隔离——实测泄漏形态是 D3 的 disabled 咬红 D4/D5。

四、门(本地实测,全串行;base fail-set 差 = 空)

north-star-guard                              exit 0(零上游违规;新文件全走 alpha-* 谓词)
assert-frontend-patch-roundtrip               exit 0
assert-no-nul-bytes                           exit 0
alpha-contracts-consumer typecheck            exit 0    check:vendor exit 0
ext typecheck                                 exit 0
ui-mac typecheck                              exit 0
opencode typecheck                            exit 0(#1134 门,base exit 0 → 仍 exit 0)
bun-test-floor 15  alpha-contracts-consumer   60 条  exit 0
bun-test-floor 100 ext                        157 条 exit 0(与 base 同数)
bun-test-floor 3000 ui-mac src                4506 条 / 313 files / 0 fail(= base 逐字)
bun-test-app                                  624 条 + 5 文件逐个点名 exit 0
assert-gate-files                             exit 0(162 个闸门文件条数精确一致)
check-doc-links(Markdown 改动)               2 文件 8 链接 exit 0(工具自报文件数=枚举数)
packages/opencode 全量 bun test(不在门集,fail-set 证据):
  base  alpha@c3c58308f: 3325 pass / 10 fail / 22 skip(fail 名单见下)
  本 PR:                 3341 pass /  9 fail / 22 skip —— 9 条全部 ⊂ base 名单
  (base 第 10 条 v2 pty HttpApi 为 base 既有红,本轮未复现;新增 15 条测试全绿)
  中途一轮曾出现 file HttpApi 31.9s 超时红:与我并发跑门的窗口重叠,串行单跑 2/2 绿 3.9s,判为测量污染而非缺陷,终轮全程串行无此红

新增闸门(登记 scripts/gate-files.tsv,assert-gate-files.sh 实测 162 文件精确一致):

• test/tool/alpha-tool-policy-doc-axis-gate.test.ts(7 条 D1–D7):四类默认抵达 executor / 本地类零打扰 / 用户 disabled 双闸具名 / held 对象重读 / binding guard(rebind 回 ask,新旧 server 都零调用)/ quarantine+reset / grant 撬不开 deny
• test/permission/alpha-tool-inventory.test.ts(5 条 I1–I5)
• 既有 E4 文件 +2(doc 轴 child 目录排除;同一次 execute 内 held callTool 闭包重读)、E6 文件 +1(真 setRecord ⇒ loop 具名拒绝)

改动的既有判据文件(逐个说明)

• packages/ext/src/cloud-websearch-kill.test.ts:两条源码次序锁的锚点从内联 .ask(/ctx.ask( 换到 AlphaToolPolicyGate.gateToolExecution((载体换了,次序不变),并加强:gate 模块内恰有一次 input.permission.ask(单一问询点)+ MCP 循环 trigger 与传输之间不许出现 gate 调用。157 条与 base 同数
• code-mode.test.ts / code-mode-integration.test.ts(上游收编文件):identity ask 的载体从 ctx.ask 移到 Permission 引擎 ⇒ 3 个探头用例的探针点随之移到 Permission mock(断言的序列/内容不变);harness 补 Permission/policy 层
• alpha-725-policy-chokepoints.cases.ts:仅 setup 夹具 + E5 调用第三参 + 图加节点,断言零改动,23/23 绿
• transform.test.ts / prompt.test.ts / alpha-subtask… / alias-lock / tool-identity:补句柄/桩/图;tool-identity 的预批用例按新签名补 docActions 并新增 fail-closed 断言(登记条数 10 不变)

主动没做的(与原因)

• 引擎 API → main/preload/renderer 的传输一跳:sidecar HTTP 面的注册点 httpapi/api.ts 是上游文件且不在任何收编名单,新增 route 需要一次 ADR 级收编——这超出本票边界(§9.2 边界文件清单),也超出我的授权。已写进设计稿缺口节;[REQ-131][CODE] 设置页新增「工具」节:按来源、服务、单个工具设置停用/询问/允许 #1130 开工前需要一个裁决(收编 api.ts 加 route,或 main 侧直读策略文件 + 另辟 live 枚举通道)。这是本 PR 之外唯一挡在 [REQ-131][CODE] 设置页新增「工具」节:按来源、服务、单个工具设置停用/询问/允许 #1130 面前的缺口
• billing fact 生产方:全仓零生产者(两轴检索:ToolBillingFact 仅 schema 与 v1/session 类型引用)。inventory 契约携带该字段、恒缺席 ⇒ UI 显示「未知」是真话。补生产方属新能力,不顺手做
• E5 预批的 binding 精度:docActions 的 subject 刻意不带 digest ⇒ service/tool 层 enabled(带 digest)的工具会被保守地不预批(DWS 多问一次,executor 侧仍带真 digest 重读、不多拦)。方向 fail-closed;要精确需给 LLM 层加 MCP/registry 依赖,不值
• plugin hook 工具的 rebind 检测:装载器里没有安装回执/manifest,evidence = origin spec 本身(origin 变则 identity 整个变)。目录插件已按源文件内容哈希做 loader generation(重装/更新 ⇒ 回 ask);hook 插件的同 origin 原地更新检测不到,如实记录
• mcp.bindingFacts 做成可选接口方法:上游测试里存量的 MCP.Service.of 全量桩(north-star 禁改 snapshot-tool-race.test.ts,已实测撞门后还原)不必逐个补桩;方法缺席=facts 未知 ⇒ 依赖 digest 的放宽回 ask,只会更严
• [REQ-131][VERIFY] 验证工具策略同时约束模型目录与执行咽喉 #725 取证矩阵重写:归 VERIFY 复跑(票面既定)
• 不切 V1↔V2、不动 ability/sovereignty 闸(基线 out-of-scope);不改 [REQ-131][DECIDE] 消费稳定 identity，固化全工具三态策略与作用域 #724 基线、不动票面 AC
• 设计稿 §1 记的活稿漂移照旧不修(台账既定)

🤖 Generated with Claude Code

https://claude.ai/code/session_01QHDS2BFKuzm9uNH1svU2oj