任务：知识库与工作流的收尾（决定 131 第五阶段）

依据：决定 131（14 个待定问题全部按建议定下），设计页 knowledge-workflows.md“来源与组织”“权限与安全”与“分阶段”第 5 项。前提是第二至第四阶段已完成。

做法

  • 工作树 circle-hub-finish，分支 kw-finish-local，从控制台视觉统一的分支 console-visual-local（PR #136）开出，页面直接用新设计。第四阶段同步（kw-sync-local）完成后，变基到同步之后的代码，再接上成员删除的清除。只在本机提交，Claude 审查后推送、开 PR。
  • 不依赖同步的部分先做：上传署名、原文归档、成员停用、容量调整与提示。成员删除的清除复用同步的可清除存储与清除流程，等同步合入后实现。
  • 先在本页“实施方案”一节写出做法，签退提交并报告，经 Claude 审查后再编码（以 Claude 2026-11-03 的本次任务指示为准）；规则与验证同前几个阶段。
  • 完成后在 docs/hub-r4-progress.md 记为决定 140（收尾的实施，依据决定 131、135）。
  • 页面按《Circle 设计规范》（docs/design/circle-design-system/）的组件与交互规则实现；界面用语按规范的“文字”一节，用主流软件的说法，不出现哈希、指针、版本号等内部概念，词表值的界面用语写入模型并经合约生成；按钮、标题、提示等静态文案留在控制台代码中，不增加静态文案登记表。
  • 注意：第三阶段已实现“绑定为运行输入即视为本次运行的声明”（运行内有效）。本阶段的上传署名是让上传成为团队依据，与运行内的声明区分开，并在实施方案中说明两者的关系。

要做到的（验收标准）

  1. 上传文件署名（改写决定 62 中“上传不作团队根据”）：
    • 上传的文件进个人空间，按本人授权可见。
    • 引用它的知识分享到团队时，由上传人署名，来源类型记为“声明”，团队知识上显示署名人。
    • 没有署名的仍拒收（第三阶段的拒收码改为提示“需上传人署名”）。
  2. 原文归档：
    • 控制台上标着“规划中”的原文归档改为可用：原文（网页快照、文件、业务系统读取结果、会话摘录）按内容哈希存档，按空间与授权可见。
    • 条目详情能打开所引原文，定位到引文。
  3. 成员停用与删除：
    • 停用：个人空间冻结，授权暂停；恢复后照常。
    • 删除：清除 Hub 上该成员个人空间的内容，记录只留内容哈希。复用第四阶段的可清除存储与清除流程，与切回“仅保存在本机”走同一条路径，不另写一套。
    • 分享到团队的知识与记忆属于团队，保留不动；分享人显示为“已删除的成员”。其中依赖已清除个人来源的部分变为待验证，管理员可见。
    • 删除前在控制台提示影响范围，并由管理员确认（沿用决定 122 的命令与记录）。
  4. 容量：
    • 每个成员在 Hub 上的个人空间默认 1 GiB，管理员可在团队页调整。
    • 超出时拒收新的写入与同步，提示还剩多少、该怎么做。
    • 第二阶段已做的部分只补管理员的调整入口与提示。
  5. 界面与文档：控制台各处的“规划中”标记与实际一致；docs/design/knowledge-workflows.md 末尾补“实施状态”一节，逐项写明完成情况与对应决定。
  6. 测试：
    • 署名与拒收、原文打开与定位、停用与恢复、删除后的清除与团队条目保留、容量超限与调整。
    • 改动波及的验收场景。

实施方案

1. 基线、边界与交付顺序

本方案依据决定 131、135、140 和 Claude 2026-11-03 的任务指示，待审查。本步只改本任务页，不改模型、代码、迁移或其他分支。基线为 448c7d18，其父提交是已批准的视觉统一 5482934d；继续使用 kw-finish-local 与现有依赖，不安装依赖、不推送、不部署、不改 Circle。

按以下五块分别实现、定向验证、签退提交并报告：

  1. 上传署名及团队分享的来源资格；
  2. 原文归档、打开与引文定位；
  3. 成员停用与恢复的端到端边界；
  4. 现有容量调整入口与超限提示；
  5. 等待同步合入并由 Claude 安排变基后，接入成员删除、团队副本状态和最终实施状态文档。

前四块不导入、不复制、不替代同步分支的代码；不为成员删除先造清除器、删除按钮或假成功回执。kw-sync-local 只读，观察到的端口仍可能变化，不把中间实现当成已交付接口。每块只标记实际完成的能力，前四块完成不等于第五阶段全部完成。

当前基线已有 spaces.importFile/sources/source、管理员 setCapacity 与团队成员详情表单，以及当前账号/所有者停用检查；团队分享中的上传原件仍统一报 SHARE_UPLOAD_UNSIGNED。先用合成样例复现这些现状和缺口，再补实现，不把已有功能再造一遍。设计页是采纳的需求记录，保留其原文，在末尾增写逐项实施状态。模型 B02 的运行内声明与本任务的团队署名分别处理，见第 3 节。

2. 路径与合约的处理

拟修改的包和直接关联路径：

  • hub/knowledge/**：空间来源、分享预检/确认、原文读取、成员生命周期与容量服务及其公开 api.ts、README 和定向测试。
  • hub/records/**：来源/署名和账号生命周期端口、追加记录、派生索引、必要的新迁移、README 和测试；hub/testing/** 只补合成夹具/临时数据库支持。
  • hub/server/**：既有 MCP 上传/知识入口、管理员命令及装配、控制台原文/成员/容量页面与相应测试。只改这些行为的直接调用链，不接管其他服务器能力。
  • hub/refs/**：仅在现有解析/逐字引文端口不足以返回定位时补该端口和测试，不改解析语义或原文字节。hub/runs/** 仅限精确上传采集、冻结绑定与个人工作流权限的直接衔接及回归，不改任务判定或扩大个人工作流能力。
  • contracts/model.json、contracts/codes.json、相关 contracts/src/** 和对应测试：先向 Claude/合约负责人提交本块最小记录、输入/输出、拒收码和词表差异，再按批准的合约实现。contracts/generated/** 只由生成命令产出；如生成改变现有协议镜像，则按仓库流程连同受影响的镜像/清单提交，不手改生成结果或无关包业务代码。
  • tests/acceptance/**：已有 12、46、47、48 及运行上传/来源权限的受影响场景，新增第五阶段的合成验收文件；同步合入后补其个人清除验收交叉场景。
  • 本任务页、有关包 README、docs/design/knowledge-workflows.md 末尾的“实施状态”、CHANGELOG.md；决定 140 的阶段进度交 Claude 记录，不自行覆盖集成进度。

跨包只通过 api.ts 使用，缺端口先在包 README 记录明确需求。模型改动与同步负责人协调，避免覆盖其词表、记录与迁移；不跨工作树修改。后合并分支变基后重新生成，迁移编号按合并后的顺序追加；既有已应用迁移及其固定源摘要不改。共享设计目录、foundation 和 references 本任务不改。

3. 上传署名：团队声明与运行内声明分开

  • 保留原件内容寻址与私有归属：导入进入上传者的空间，默认仅本人，读取随文件夹分享权限重查；同内容的另一份采集不会因摘要相同而取得署名、名称或权限。
  • 拟增加上传者明确确认的团队来源声明：在原文 Inspector 提供“署名为团队来源…”及确认 Dialog，确认者必须是该精确采集由 Hub 观察到的上传账号。记录绑定采集、原文字节摘要、署名人、时间及团队使用范围；不采信文件作者字段、客户端自报姓名或别人的同字节上传。署名是对指定来源供团队使用的声明，不是内容已被观察证实。
  • 分享预检缺署名时保留 SHARE_UPLOAD_UNSIGNED 的拒收语义，把下一步改为“需上传人署名”，给可读原文入口。确认分享重新检查上传者、精确采集、声明、当前权限、引文、凭据、读取档位及全部既有团队规则，预检本身不署名、不写团队内容。非本人上传不得由分享人或管理员代签。
  • 团队副本记录可核对的署名关联，来源类型通过生成词表显示“声明”，团队条目上显示署名人。只为明确获准的原件建立团队来源关联/持有，不全局放宽私人原件 ACL；署名与分享到团队是两个可审计事实。事务失败不留下半份团队条目或来源关联。
  • 不开放个人凭据来源、不可读取来源、被扫描阻止的原文或私人解析器绕行；引文仍按原字节/既有解析结果逐字验证，不把署名当作扫描或验证的豁免。旧源记录、旧回执及运行冻结绑定不改写。
  • 第三阶段的 SourceBinding.upload_declaration 仍只表示“上传者将本人普通上传的精确采集绑定为这一次运行的输入”，只借给该运行的实际读者，不改变全局 ACL，也不自动取得团队来源署名。管理员以本人普通上传作团队导入的现有声明保留。两者在记录和 UI 中区分；新增团队声明不能借运行内声明跨场景升级。

验证：本人署名、无署名拒收、他人/管理员代签拒绝、同字节不同采集不串权、旧原件不变；团队预检不写入、确认重查、失败回滚和重复提交；个人凭据/凭据命中/读取档位/引文不符仍拒收；运行内声明的权限范围保持原样。

4. 原文归档：复用采集与权限，不另建抓取器

  • 复用 records 的内容寻址原件与 knowledge 的空间来源登记，补齐按全部/我的/与我共享/团队及文件夹浏览的原文入口、分页与选择详情；不按全库摘要列举，不泄露不可读名称、计数、会话或署名。
  • 拟使用知识区的原文列表/详情路由，参数只选择已授权来源。名称、来源类型、采集/上传人、时间、大小留在列表或 Inspector；技术摘要、采集记录和引用放在明确的“查看”入口。行不放按钮，打开、署名等动作放在选中来源的详情底部。
  • 文件、网页快照、业务系统读取结果、会话摘录均以实际采集的原字节及来源元数据归档，不因归档重新获取网络内容、执行 HTML/脚本或生成摘要。复用现有上传/连接器读取/会话摘录边界，不增加任意 URL 抓取或业务写入。只对本阶段确实可走通的入口解除“规划中”，不把容器或声明存在当成已归档。
  • 条目 SourceBlock 的“打开原文”带上精确采集和引文定位信息；服务器重查读权、完整性和逐字匹配后定位，长文用有界分页/片段，二进制沿用解析能力和只读下载。原文转义显示，不把 HTML 快照直接当可执行页面。无法解析或无法定位时据实说明，不猜位置，不抬高验证状态。
  • 相同字节可复用物理对象，但空间/采集关联、读权和署名分开。普通上传纳入原文空间的兼容处理不得改旧引用或把运行内上传擅自公开；其归属和容量在写前核对，防止同时保留两条可绕过边界的入口。

验证：四类合成来源、完整性、同字节隔离、本人/获分享成员/团队/无权者、旧版本与收回权限；从条目打开并定位引文、错误定位、长文/二进制、脚本内容转义与 CSP；归档不调用模型、不进行外部写入。

5. 停用与恢复：冻结而非清除

  • 复用现有管理员 user disable/enable 命令、账号历史与最后一名启用管理员保护，控制台仍按决定 122 在成员 Inspector 展示 danger 按钮及原有命令确认 Dialog，不新增网页直接执行停用的管理动作。
  • 检查知识、原文、记忆、个人工作流/技能和各自分享：停用者不能写入，其他人也不能继续借其私人分享读取或启动新的个人工作流。每次读取/写入重新检查当前账号与所有者；已持有的旧 Principal、旧会话、分页/下载链接不得绕过。并发停用与写入在提交边界重查，返回实际接受或拒绝结果。
  • 停用只暂停私人空间和分享，不删除原件、版本或永久撤销原有分享。恢复后按仍有效的记录恢复；恢复不得重新启用已经明确收回的分享。团队已经独立取得的知识、记忆与原件保持团队归属，不因停用上传者而一并隐藏；署名显示原账户状态，不冒充“已删除”。
  • 同步 HTTP 的停用/恢复覆盖等其合入后补，不改只读分支，也不通过自建同步接口提前验证。冻结不声称已经停止远程 Circle 或清除了本机数据。

验证：持有旧会话/令牌/主体的读写、本人和被分享方的知识/原文/记忆/个人包入口、停用中写入、恢复和已撤销分享、团队副本保留、管理员边界及最后一名管理员保护。

6. 容量：补现有入口与真实剩余量

  • 复用默认每人 1 GiB、spaces.capacity/setCapacity 及团队成员 Inspector 的管理员表单；不另建配额存储。展示上限、已用、剩余量及实际计费说明；普通成员不能调整他人配额，管理员只能看批准的元数据，不借计量读取私人标题/正文。
  • 写前预查与事务提交使用同一口径：保留现有条目、原文、空间版本和记忆历史的计费约束，单次上传上限、索引上限和记忆启用额度各自保留。超限整次拒收，不截断、不留下可读半份原件；提高上限后可按原规则重试。
  • 降到已用以下或设为 0 不删除既有数据，显示已超额度/剩余 0，拒收新增占用；旧数据仍按权限可读。提示给出实际已用、上限、剩余和本次所需，不能错误建议“撤回就释放历史容量”。可操作的下一步是联系管理员调整上限；需清除 Hub 副本的入口等同步落地后才接入。
  • 与同步合入后的统一空间计量对接，复核暂存、冲突头、知识/记忆/包清单和重复批次的计量与回滚，不另外维护一个同步计数器。本块不擅自重定义个人工作流可执行文件与同步清单的容量口径；若现有合约未覆盖，先列出差异交 Claude 确认，再改模型/计费，不静默排除或重复计量。
  • 第二块的回归已发现并修复首次在根目录保存原文被误当作空空间初始化的问题；本块另查旧版本 used_bytes 可能因此少计的历史状态与重建办法，不改写旧记录。

验证：默认额度、管理员调整、非管理员拒绝、负数/溢出、0 和低于已用、刚好达到/超过、并发写入与调整、失败回滚、重复提交及提示不泄露他人数据；同步到位后补同步写入同口径和失败不残留。

7. 同步合入后才做成员删除

  • 等 Claude 确认同步合入并安排本分支变基，先复查其最终公开端口、合约、迁移和安全回归，重新生成合约；不手工拼接生成物或复制未完成的清除实现。
  • 通过同一可清除存储及 purge 流程清理该成员在 Hub 的私人知识、文件夹、引文、原件、记忆与相关派生索引/暂存；范围与同步的“仅保存在本机”清除一致。个人包的正文/安装产物若不在同步 purge 范围内，先交 Claude 明确归属和接口，不能漏清或另写清除器。
  • Claude 批准第一块合约时明确：knowledge_source_attribution 属于上传者个人空间；变基到同步后，把它纳入同一个个人空间 purge 范围。第一块只追加声明，不提前实现清除；团队持有副本的保留及缺失私人来源的状态在本块统一核对。
  • 删除保留身份墓碑及必要的摘要审计，旧主体、令牌、会话和客户端不能复活旧代次；已删除账户不能恢复为普通停用账户。新成员即使同名也不能继承旧空间。禁止删除最后一名有效管理员，防止自删在途操作绕过权限检查。
  • 团队知识、团队记忆和团队独立持有的原件保留；显示“已删除的成员”。仍依赖被清除私人来源的部分，复用同步的来源失效投影显示待验证及管理员可读的缺口，不改原始团队回执、默默通过或冒充验证失败。同字节的其他合法持有者不受损坏。
  • 先只读预检影响范围，再由管理员在成员详情的确认 Dialog 核对，以决定 122 的管理员命令及追加记录执行；确认时重查权限、范围和代次。清除失败/中断须返回真实进度，可安全重试/恢复，不能先报删除完成。并发上传、同步、分享及署名须受同一账户/代次边界约束。
  • 不承诺擦除离线备份、其他成员已经合法取得的独立副本或远程 Circle 本机数据；恢复旧备份可能带回被清除内容的提示沿用同步任务的已批准规则。

验证：清除前后通过数据库/对象存储及所有现有读取入口核对，不只检查页面不可见；团队副本/独立持有者保留、依赖私人来源的待验证、墓碑署名、旧令牌/版本/同步批次重放、并发清除与写入、崩溃后恢复、备份恢复提示和最后管理员保护。新增迁移只追加，运行角色无权绕开防篡改保护。

8. 页面、文案与实施状态

沿用已批准的视觉统一及 #135 三条规则：中西文/数字间一个空格；外部等待写“等待…中”，自身工作写“正在…”；悬停/选中行辅助文字用 text-secondary，按下/选中控件边界用 focus-ring。复用 AppShell、ListRow/Table、SourceBlock、Inspector、Buttons、Dialog、Tooltip；主操作最右，390px 表格在自身容器内滚动。主页面不展示内部摘要/指针/版本号，必要证据放明确查看入口；说明进 Tooltip，事实、错误处理和破坏性后果保持可读。

枚举、状态与轴标签来自 contracts/generated 的 uiLabelOf/axisUiLabel，新词先进入模型再生成；静态标题、按钮、说明留在控制台，继续运行渲染页面用词回归，不增加静态文案登记表。设计页末尾按上述五块逐项列“已完成/尚待同步/未执行的验证”及对应决定，不删除原始设计；全部完成后才移除本阶段剩余的规划标记。

9. 验证和交接

每块先保存可复现的合成失败样例，再跑该块的包测试及受影响验收；本步只有方案和文档检查，不宣称功能已验证。

  • 类型检查：npx tsc --noEmit（若本环境 PATH 仍无 npm/npx，用现有 Node 直接运行 node node_modules/typescript/bin/tsc --noEmit，不安装依赖）。
  • 合约变更：生成、node tools/gen-contracts.ts --check、相应合约/生成器测试及词表扫描；模型或协议镜像变化按合约流程核对。
  • records/迁移：该包测试、新迁移快照、运行角色、防篡改、旧库升级，以及 PostgreSQL 18 的 hub/platform/ownership.test.ts、hub/records/lock-namespaces.test.ts。新增载荷位置时覆盖备份/恢复。
  • knowledge/server：空间、分享、原文、记忆、个人包权限及管理员命令/页面测试；验收 12、46、47、48 和新的收尾场景。上传或引用规则波及时补运行来源/绑定声明场景；更改引擎读取路径时扩大到受影响的 engine/工作流测试，不因仅验证 UI 就宣称运行边界已通过。
  • 同步合入后：其实际同步/清除验收、成员删除与切回仅本机的同路径证明、旧入口拒读和实际对象清除证明、并发与恢复。
  • UI：渲染用词回归；仅用临时 loopback Hub/PostgreSQL、合成账号/原文/客户端与隔离浏览器，对本块页面、选中详情、预检/确认/错误，在深浅主题及 1440/1024/390px 截图，并检查键盘焦点、内部表格滚动及改动状态的对比度。
  • 收尾：npm run test:docs 或等价的 node --test ".github/checks/*.test.ts"、git diff --check；逐项记录命令、通过/失败/跳过与未执行项。没有改来源归档工具/foundation 批准导入时不扩大为来源归档复核；全量集成、跨平台 CI、最终视觉审查与决定 140 的汇总由 Claude 负责。

提交只含本任务明确路径，英文大写开头的祈使句，git commit -s；不 push、不建 PR、不运行真实业务或真实模型。同步依赖未解除时完成并报告前四块，然后等待后续合入/变基指示，不提前实现删除。

Claude 审查结论（2026-11-03）

方案通过，按五块依次实施；前四块完成后先报告，第五块（成员删除）等同步合入、本分支变基后再做。补充三点：

  1. 合约改动：每块需要的记录种类、拒收码与词表差异，先在本页列出，交 Claude 批准后再改模型。不复用同步分支未合入的种类或代码。迁移编号以合并后的顺序为准：后合并的一方变基，再重新编号与生成。
  2. 署名的用语：原文详情里的动作写“署名为团队来源…”，确认对话框写明后果。例如“署名后，团队成员可以把这份原文作为知识的来源；原文仍保存在我的空间”。
  3. 个人工作流在删除时的归属：留到第五块，与同步的清除范围一起确定；前四块不预设。

第一块合约变更清单（Claude 已批准，2026-11-03）

本节为 9ba31246 的审查提案原文，Claude 于 2026-11-03 在任务消息中原样批准后才实施。批准范围包括严格声明记录、团队可选字段、既有拒收码文案、显示轴及静态文案留控制台；其余四块不在本次合约请求中。

A. 记录与最小形状

  1. 在模型的 formatProposals.recordKinds 注册 knowledge_source_attribution，注册 knowledge-source-attribution@1 的严格 Schema。正文拟为：

    {
  space: UserId,       // The uploader's personal space
  source: Sha256,      // Exact knowledge_space_source record
  artifact: Sha256,    // Exact source_artifact capture, not just equal bytes
  sha256: Sha256,      // Original immutable bytes
  by: UserId,          // Observed authenticated uploader
  at: IsoTime,
  audience: 'team'
}

    记录 provenance 为现有的 declared。结构要求 space === by；服务端另外核对来源登记、采集、摘要、观察到的上传人、当前身份、当前读权和扫描/读取档位。浏览器不能指定署名人、时间或以文件作者替代上传人。已有同范围精确署名重复确认时返回原记录，不追加不同时间的重复声明；预检不写记录。索引只用于定位候选，不替代上述正文验证。

  2. SpaceSourceBody 增加可选 attribution: Sha256：只由服务器在团队来源关联中填写，指向本次所依据的署名。原有团队读取来源及旧记录可不带该字段。新团队上传来源必须有可验证的关联；不能把上传记录本身当作署名。
  3. SpaceEntryBody 增加可选 source_attributions: Sha256[]（去重、有界，至多 100 项）：团队分享成功时记录实际使用的署名集合，用于来源与署名人显示及回溯，不由个人条目输入传入。每项必须能对应本次核对过的精确上传采集与团队来源关联；超限整体拒绝，不截断成功。旧记录缺字段视为“未记录团队署名”，不能反推已署名。
  4. 声明记录不保存原文、文件夹路径、引文或客户端自报作者。私人原件与旧记录不改写。仅成功分享到团队的原文才建立可供团队读取的明确来源关联，作为团队声明来源提供；原件仍在本人空间，未使用该来源的其他私人记录保持原读权。同字节原件、另一上传者或后来的新采集不继承此声明。实现将复用既有原件/来源关联端口；本块不新增可清除存储或预设删除时的个人工作流归属。

share_entry、个人条目写入的公开入参和六个 MCP 工具的数量不变，不增加 MCP 署名模式。署名确认先通过控制台的本人动作进入 knowledge 服务；现有 upload_file.share_entry 在确认分享时同样重查声明，不能绕过。新的 record Schema 及其分类/读取限制进入合约注册；私人署名记录只经本人端口读取，团队页面只展示已随成功分享公开的署名事实，不开放原私人来源登记或任意 rec: 旁路。

B. 模型规则与既有声明的关系

  • 在 B02/K02 及相应空间/分享说明中登记决定 140 的团队上传来源例外：本人明确署名的精确上传可用于团队知识，来源仍为“声明”，不升级为“观察”或内容事实。
  • 保留 B02 R[7] 和 SourceBinding.upload_declaration 的一次运行范围，既有冻结绑定及管理员以本人普通上传作团队导入的声明不变。运行绑定不会生成上述团队署名记录；署名也不会回写或扩大旧运行的读取范围。
  • 私人凭据来源、凭据扫描、实际凭据回显、读取档位、团队解析器资格、逐字引文和团队去重规则全部继续适用。不得以“已署名”代替来源可解析、可读或凭据检查。
  • 私人来源在确认分享时按实际选定采集核对对应署名，确认成功后把实际使用的署名集合固定进新团队条目。若读取策略选中了另一个同字节采集，不能借旧采集的署名放行；无匹配署名仍拒收，不改旧条目或旧引用来掩盖区别。

C. 拒收码与词表差异

  • 不新增拒收码。保留 SHARE_UPLOAD_UNSIGNED 的代码，把其 when 改为“上传原文需上传人署名”，fix 改为“请上传人在原文详情中选择‘署名为团队来源…’，确认后重新预检”。未经署名的分享仍是拒收，不自动代签。
  • 身份/原件不存在或无权仍用 SOURCE_UNAVAILABLE；非法结构用既有输入校验/SPACE_ENTRY_INVALID；私人凭据、无法完整检查、凭据命中、引文不符继续使用各自既有代码。不把全部失败笼统归为“缺署名”。
  • 新增显示轴 source_attribution_status（归 B02）：unsigned 的标签/ui 为“未署名”，attributed 的标签/ui 为“已署名为团队来源”。状态从精确来源是否有有效声明推导，不由客户端提交。来源类型沿用 provenance_type.declared，不再添加同义来源类型。
  • “署名为团队来源…”按钮、Dialog 标题、确认按钮、字段标题与后果说明属于静态文案，留在控制台，不注册成模型词表。拟定后果正文：“署名后，引用这份原文的知识分享到团队时，团队成员可读取所需原文。原文仍保存在我的空间。署名本身不创建团队知识，也不表示内容已经验证。团队已经取得的副本不会因收回文件夹分享而收回。”保留确认动作与成功/失败反馈；打开详情和 Dialog 不署名。

D. 生成、兼容与边界

批准后在本分支按模型版本规则递增版本，修改 contracts/src/spaces.ts 及 Schema 注册所必需的文件并运行生成器。登记种类、Schema 和 UI 状态来自生成合约，不手写枚举。检查所有生成差异；如协议镜像字节变化，按合约规则更新受影响镜像/补丁清单，业务代码不改。新字段均可选，旧记录、摘要、引用和当前六工具调用兼容。

不为署名单独新增 SQL 表或修改旧迁移；优先使用现有追加记录、索引、事务及每空间锁。若实现发现必须新增迁移或扩大上述合约，先追加差异交 Claude 批准，不悄悄扩展。与同步分支的模型/迁移差异留到 Claude 安排合并时变基、重新编号及生成；不修改只读分支。

E. 第一块检查与当前复现

合成基线复用 hub/knowledge/sharing.test.ts 的无署名上传场景：上传可进入私人空间并被知识引用，但分享到团队仍返回 SHARE_UPLOAD_UNSIGNED，团队无新增条目。批准后的回归将覆盖本人明确署名后可分享、精确采集隔离、不可代签、重复确认、提交重查、事务回滚、旧原件/旧运行声明不变，以及控制台 CSRF/权限/后果 Dialog、用词与深浅主题窄屏截图。当前只执行现有场景，不用未批准的记录种类写夹具。该基线定向测试 1 项通过，0 失败、0 跳过；合约清单的 docs 检查 313 项通过，0 失败、0 跳过。

发现

同字节不等于同采集。既有来源选择策略可能优先选择较早的已授权采集；保持该策略不变，并按实际选中的采集重查署名。团队来源通过明确的独立采集持有，不能让私人原件的全局 ACL 因署名而扩大。

做了的

方案已由 18f41349 审查通过，第一块合约清单 9ba31246 已获 Claude 明确批准。第一块实现 6bfccf9a 已由 Claude 在 2026-11-03 的任务消息中审查通过：精确登记/采集的归属、空间锁、扫描、幂等、分享重查及私人 ACL 边界均获确认。实现如下：

  • 模型递增至 25，生成严格 knowledge-source-attribution@1、团队来源/条目可选字段及显示轴；不增加拒收码、不改六工具或公开分享/条目入参。生成器禁止冗余同文 ui，因此两个新状态通过标准标签回退得到批准用语。四份协议镜像按流程生成，HTML/思维导图补丁版本为 1.0.12，XML/工作簿为 1.0.13；无技能业务改动或迁移。
  • 本人确认在个人空间锁与事务中追加声明，核对精确登记/采集、观察到的上传人、当前读权、完整字节及扫描；重复确认幂等。他人、管理员、同字节的新采集和运行内上传声明不能代替确认。
  • 署名与公开分开：预检不写团队内容；确认分享重新核对声明和全部来源规则，在同一事务中创建团队独立持有的声明采集、明确关联、条目的实际署名集合及回执。团队复制失败全部回滚；私人原件及 ACL 不改。团队读者可复用已公开的明确来源，管理员修订保留署名。
  • 原文 Inspector 的“署名为团队来源…”使用既有 Dialog、CSRF、Origin、POST/303；后果正文可见，原文转义且不改写。词表状态来自生成合约；团队 Inspector 显示声明类型及署名人。原文链接固定精确采集；私人声明不开放 rec: 旁路，原件无权与不存在返回一致。
  • 署名归属与第五块的个人 purge 待办已补入本页和包 README；未改同步分支、未实现成员删除。原文归档其余能力仍待第二块。

验证

方案阶段只改本任务页，docs 检查 313 通过。第一块使用现有 Node 24 直接执行下列命令，未安装依赖；最终结果见下。

  • node node_modules/typescript/bin/tsc --noEmit：退出 0，无诊断；node tools/gen-contracts.ts --check：退出 0，156 个生成文件与模型一致。
  • node --test "contracts/**/*.test.ts" "tools/gen-contracts*.test.ts"：380 通过，0 失败、0 跳过。
  • node --test --test-concurrency=1 --test-name-pattern='uses generated axes' packs/workflow/case-review/packs.test.ts：1 通过，0 失败、0 跳过。
  • node --test "hub/server/console/**/*.test.ts" "hub/server/console*.test.ts" hub/server/readers-sharing.test.ts hub/server/contribution-readers.test.ts hub/knowledge/sharing.test.ts hub/knowledge/source-attribution.test.ts hub/knowledge/spaces.test.ts tests/acceptance/12-console-security.test.ts tests/acceptance/46-knowledge-spaces.test.ts tests/acceptance/47-knowledge-sharing.test.ts tests/acceptance/48-knowledge-console-memory.test.ts tests/acceptance/50-upload-attribution.test.ts：共 234 项，226 通过，验收 46 的 Hub 连接 ECONNRESET 导致该文件 8 项失败，0 跳过；随后原样执行 node --test tests/acceptance/46-knowledge-spaces.test.ts，8 通过，0 失败、0 跳过，退出 0。未修改或弱化夹具；连接重置的原因未证实，不能把合跑记为全通过。覆盖不可代签、精确采集隔离、并发幂等、失读后确认拒收、事务失败回滚、团队复用/管理员修订、真实 Hub 的 CSRF/Origin/MCP/私人记录隔离及渲染用词。
  • CIRCLE_HUB_LIBPQ_BIN=<PostgreSQL 18 客户端目录> node --test hub/records/artifacts.test.ts hub/server/readers-sharing.test.ts hub/server/contribution-readers.test.ts hub/platform/ownership.test.ts hub/records/lock-namespaces.test.ts tests/acceptance/27-check-reads-bound-sources.test.ts tests/acceptance/45-r5-capture-boundary.test.ts：29 通过，0 失败、0 跳过，含运行内声明、精确冻结采集和现有角色/锁检查。
  • node --test ".github/checks/*.test.ts"：暂存新增文件后再查，313 通过，0 失败、0 跳过，退出 0；git diff --check 与 git diff --cached --check 通过。

本轮新增测试为 2 项合约测试、4 项知识服务测试及 1 项真实临时 Hub 的验收。开发中首次定向运行暴露：完整字节扫描绕过空间委托导致团队来源复用失败，以及夹具未选中目标采集、伪二进制可被当作文本。已改为经授权的精确空间读取、明确选中第二采集及真实 ZIP 头，未弱化扫描/断言；修复后定向检查通过。最终补测又发现只取第一条索引候选会让无效旧声明遮住后续有效声明，已改为逐条验证候选，并保留伪造声明拒收及署名后失读拒收的断言。预检浏览器夹具原先误以为只读预检会初始化团队，改为核对无团队或空团队均无写入。

隔离 Chromium、临时 loopback Hub/PostgreSQL 与合成账号/原文完成 7 状态 × 深浅主题 × 1440/1024/390px，共 42 张截图：未署名原文、署名 Dialog、已署名原文、分享预检、团队署名详情、团队原文、私人原件拒读。浏览器实际确认署名及分享，核对只写一次声明、只读打开、Dialog 焦点/Escape/背景隔离、证据原文保留、表格行无按钮、页面无横向溢出；控制台无脚本异常。人工抽查桌面 Dialog/团队详情及手机原文。未新增颜色；既有共享组件对比度检查包含 534 个样本。本轮新动作的原生 POST/303 在验收中通过；未另做关闭脚本的完整浏览器流程。

上述均为本机合成验证。未执行全量集成、Linux CI、真实模型/真实业务验证；不据此宣称第五阶段全部完成。未改来源归档工具或 foundation 批准导入，无需扩大为来源归档复核。Claude 负责最终视觉审查、合并和决定 140 的汇总。

第一块后的基线变基与复查（2026-11-03）

按 Claude 本次指示，执行 git rebase console-visual-local，新基线为 69c68216，包含 c62611db 的知识首页修复和 69c68216 的主题脚本 CSP 测试修复。5 个任务提交均无冲突重放，git range-diff 5482934d..08a80c73 69c68216..6bfccf9a 全部显示 =；第一块实现提交由 08a80c73 变为 6bfccf9a，没有修改其实现或已批准合约。合约提案原批准对象仍为 9ba31246，其重放提交为 24c36de7。

本轮沿用前述命令和合成资源重跑定向检查，结果如下；先前连接重置的失败记录保留，不覆盖历史结果。

  • 类型检查退出 0、无诊断；生成检查退出 0，156 个文件一致。
  • 合约及生成器：380 通过，0 失败、0 跳过；全仓生成词表扫描：1 通过，0 失败、0 跳过。
  • 控制台、knowledge、读取边界及验收 12/46/47/48/50：前述相关命令增加 --test-concurrency=2 与 hub/server/units.test.ts，256 通过，0 失败、0 跳过，退出 0。明确覆盖知识首页保留产品来源/入库待处理，以及每页主题脚本的 CSP 修正；验收 46 本轮在同次合跑中全部通过，没有再次出现连接重置。
  • 来源、运行内声明、PostgreSQL 18 角色及锁边界：前述 29 项命令增加 --test-concurrency=2 重跑，29 通过，0 失败、0 跳过，退出 0。
  • node --test ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；git diff --check 通过。

本次未新增功能、迁移或截图；42 张截图仍为第一块变基前的合成证据。本分支只作本地变基和提交，未推送，也未开始第二块或修改同步分支。

第二块合约变更清单（Claude 已批准，2026-11-03）

本节为 9f4eb42b 的审查提案原文，Claude 在 2026-11-03 的任务消息中原样批准后才实施。现有 source_artifact、knowledge_space_source、空间版本与 src: 引用足以保存原件及精确采集；缺少的是原文浏览入口及定位状态的界面词表，不另建归档存储或来源分类登记表。

A. 显示词表

  1. 在 K01 的现有 knowledge_view 轴末尾增加 sources，标签为“原文”，界面通过生成标签回退取得同文。与“知识 / 记忆”组成互斥分段选择；全部、我的、与我共享、团队继续复用 knowledge_search_scope，不再添加一套范围。
  2. 为 B03 增加只用于界面的 source_location_status 轴：resolved → “已定位”、ambiguous → “多处匹配”、unresolved → “未定位”。从本次精确原件的逐字检查推导，不持久化、不表示条目已验证。单独建显示轴是为了不把通用 resolution 的“已解析 / 有歧义 / 未解析”在其他工具/页面上改成特定的引文定位含义。
  3. 文件名、媒体类型、采集时间、上传/读取账号及文件夹都是原有证据或元数据；不从名称、后缀、会话文字猜测“网页/业务系统/会话”等类别，不增加新的分类轴。按钮、分页、空状态、错误处理和位置说明仍为控制台静态文案，不注册成词表。

B. 原文归档与既有采集的边界规则

在 B02/K01 补充本块实现约束，沿用原记录形状：

  • 原文归档从当前已授权空间版本的 sources 登记读取，按范围及文件夹浏览；可核对旧版本，但仍重查当前授权。分页/选择只返回已授权名称、数量和采集，游标绑定读者、范围、文件夹与版本。只读浏览不初始化空间、不写归档登记，不扫描全库摘要后向前端筛选。
  • 复用已保存的精确 source_artifact 及 knowledge_space_source 关联。网页快照、文件、业务读取结果、会话摘录保存实际收到的字节与已有出处；上传的 HTML/会话摘录仍是声明，不冒充 Hub 自己观察了网页或会话。没有任意 URL 抓取、登录重试、外部写入或生成摘要。
  • 已有原件尚未归入空间时，从其已授权详情明确执行保存；不在 GET 或打开引文时偷偷归档。本人的普通声明上传保存到“我的原文”时，复用个人导入流程建立独立私人采集及空间登记，按完整字节和空间历史计量，精确重复提交不重复计费。旧普通采集、ACL、引用与已冻结的运行声明保持不变；不直接把旧普通采集登记成私人采集，避免 mayDeclareUpload 的私人空间限制改变旧运行资格。新私人采集不借旧采集的团队署名；客户端捕获或生成内容不通过这个动作升级成普通声明来源，不满足条件的既有原件仍按原权限只读展示。
  • 已由 Hub 读取的原件可登记到原读取者的私人空间；个人凭据来源不因归档获得文件夹分享或团队资格，已有分享覆盖的文件夹不得接收它。管理员可明确把符合现有团队读取资格的精确业务原件登记到团队原文，先用 Dialog 说明团队可读的后果；不能把他人的上传或个人凭据读取冒充团队来源。登记与版本、容量核对在既有空间锁/事务内完成；不改来源的出处、观察/声明类型或原 ACL。
  • 重复登记按空间、文件夹和精确采集幂等，同字节的另一份采集不是重复授权。新增私人原文沿用现有可清除载荷，清除范围在第五块与同步统一接入；不改只读同步分支，不新增独立清除器。

这里的保存动作是控制台调用 knowledge 的端口，不增加 MCP 归档模式，也不改变普通 upload_file 的默认运行上传或显式 space: personal 语义。已有个人上传照常立即进入私人原文；团队已成功取得的署名副本照常进入团队原文。

C. 打开原文与定位规则

在 B03 补充显示约束，不新增引用语法或引用证据字段：

  • SourceBlock 的“打开原文”固定实际采集，并携带条目/依据的定位上下文；服务端重新取得有权读取的条目及其原引文，不把客户端传入的“已定位”或偏移当成事实，不把私人引文直接放入网址。
  • 每次核对完整性、当前读权、读取档位和明确解析器版本，复用现有 resolveReference、逐字匹配与解析后片段。大小写、宽窄字、Unicode 形式及全部空白保持原样；片段内偏移不冒充原文件字节坐标。原文字节与原有知识/运行记录均不改写。
  • 单处匹配打开相应片段并突出引文；多处匹配明确列出可核对的位置供选择，不任取第一处；找不到、解析器不可用或不能完整核对时据实给出下一步，不猜位置或提高验证状态。长文使用有界分页/片段，超出展示范围明确标明；二进制保留现有解析能力并提供按当前读权的只读下载。
  • HTML/脚本作为转义文本或解析片段显示，绝不作为页面执行。下载同样检查精确采集、读权、完整性及读取档位，使用附件响应，不因下载绕过凭据保留或函数专用字节限制。解析异步等待后再核授权，旧链接/缓存不成为授权凭证；不存在与无权保持相同结果。

D. 形状、代码、生成与验证

  • 不增加记录种类、Schema 字段、拒收码或 MCP 模式；source_artifact@1、knowledge-space-source@1、条目与六工具入参/返回形状不变。无法读取、非法输入、凭据、完整扫描和解析问题沿用已有代码及边界，不把所有失败笼统显示成“未定位”。没有拒收码 when/fix 的变更请求。
  • 批准后按语义变化递增当前模型 25，生成上述词表及模型版本；协议镜像如变化，按现行规则更新四份生成镜像和补丁清单，业务代码不改。与同步合并时由后合并分支重新生成，不复制其未完成种类。当前不需要 SQL 迁移；如果实现发现还需形状、规则或存储范围变更，另列差异再交审查。
  • 定向验证：四类合成来源原字节/出处、本人/被分享者/团队/无权者、同字节不同采集、收回权限及旧版本；登记幂等/容量/事务回滚与旧运行声明保持；逐字位置、重复/无匹配、错误解析器、UTF-8/空白/长文、二进制下载、脚本转义/CSP及异步撤权；现有署名、分享、运行来源回归。界面按新规范检查用词、深浅主题与 1440/1024/390px 截图、键盘选择/返回、容器内滚动及对比度。

E. 审查前的合成复现

在临时 loopback Hub/PostgreSQL 上，用现有私人导入和带逐字引文的条目复现：/console/knowledge/sources 返回 404；条目 SourceBlock 的打开链接只带字节摘要与精确采集，未携带条目/引文定位上下文。2 项断言通过，退出 0。未使用新枚举或未批准记录，未读取真实数据。执行 node --test ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；git diff --check 通过。本步只改任务页，未运行类型或新的功能回归，尚未实现或验证第二块功能。

第二块实现与验证（2026-11-03）

依照 9f4eb42b 的批准范围实现，待 Claude 审查。本块未开始成员停用/删除或同步工作。

复审更正：本节首次画廊的 6 张 archive-selected 实为中性错误页，不能作为详情已验证的证据。原报告对此的完成判断不成立；原因、补测与重新截图见下方“第二块复审修正”。

  • 模型 26 增加“原文”分段选项和原文定位显示轴，补充归档/读取规则。生成仅改变根 protocol.ts 的版本与 vocabulary.ts；四份技能协议镜像字节未变，因此补丁清单也不变。没有新增记录种类、字段、Schema、拒收码、引用格式、MCP 模式或 SQL 迁移。
  • spaces.archive 只投影已授权版本的精确原文登记，按范围/文件夹分页，选择能定位到所在页。列表、计数、元数据与游标核对当前授权；读取期间撤权则整页拒绝，不返回先前计算的私人计数。GET 不初始化空间、不保存原文，也不枚举全库摘要。
  • archiveSource 在空间锁/事务内显式保存：本人普通声明上传形成独立私人采集，当前原件和已冻结运行记录/声明保持不变；业务读取按现有私人/团队资格登记。请求在既有 origin.upload.message 中声明 archive:<所选采集> 的消息身份，用于区分同字节采集与幂等重试；服务端核对所选采集、本人、完整字节、元数据及目标登记，不把消息身份当权限或观察到的聊天会话。复制失败回滚，重复提交不增计量。新采集没有继承旧团队署名。
  • 私人凭据来源不能进入已分享文件夹或取得文件夹分享；来源登记的分享预检/确认改为固定各自采集，防止同字节团队副本借出资格。新回归还发现原 #draft 把“首次在根目录保存原文”误当空空间初始化，0 额度仍能写入；免费初始化现只适用于无条目、原文、产品挂载与新增字节的空根。旧记录不改写，历史少计/重建已列入第四块。
  • SourceBlock 从有权条目的原引文构造打开链接，只传精确采集、条目/依据索引，不把引文正文放进网址。服务器重核完整性、当前读权、读取档位及解析方式；异步等待后再查。全部逐字匹配按 32 项一组列出，多处不自动选择；单处及所选位置显示附近上下文，并可查看按 UTF-8 边界切分的完整页面。位置属于所展示的解码片段，不冒充原文件字节坐标；原字节、空白和引文本身不改。
  • 新“原文”页、选中 Inspector、原文导入、私人/团队保存 Dialog 使用共享组件；字段在 Dialog 正文，文件夹使用已有位置的选择框，显示可读名称而非根路径斜线；团队保存拒绝产品保留文件夹。按钮在底部，主操作最右。固定哈希脚本只聚焦/滚动服务器标出的引文；关闭脚本时原生锚点及 POST/303 仍可定位和保存。HTML 只显示转义文本。
  • 附件 GET 经现有会话与 Host/Origin 边界，重查精确采集、完整性、当前读取权与档位；使用 attachment、octet-stream、no-store、nosniff 和 sandbox CSP。无权与不存在返回同一中性页面；限制档位、损坏原件和撤权均不返回下载字节。

实际检查均用现有 Node 24、临时 PostgreSQL/loopback Hub、合成账号/原文及隔离 Chrome，无安装依赖、真实业务读取或模型调用：

  • node node_modules/typescript/bin/tsc --noEmit：退出 0，无诊断；node tools/gen-contracts.ts --check：退出 0，156 个文件与模型一致。
  • node --test "contracts/**/*.test.ts" "tools/gen-contracts*.test.ts"：381 通过，0 失败、0 跳过。
  • node --test --test-concurrency=1 --test-name-pattern='uses generated axes' packs/workflow/case-review/packs.test.ts：1 通过，0 失败、0 跳过。
  • node --test --test-concurrency=2 "hub/server/console/**/*.test.ts" "hub/server/console*.test.ts" hub/server/units.test.ts hub/server/readers-sharing.test.ts hub/server/contribution-readers.test.ts hub/knowledge/source-archive.test.ts hub/knowledge/source-attribution.test.ts hub/knowledge/sharing.test.ts hub/knowledge/spaces.test.ts "hub/refs/**/*.test.ts" tests/acceptance/12-console-security.test.ts tests/acceptance/46-knowledge-spaces.test.ts tests/acceptance/47-knowledge-sharing.test.ts tests/acceptance/48-knowledge-console-memory.test.ts tests/acceptance/50-upload-attribution.test.ts tests/acceptance/51-source-archive.test.ts：776 通过，0 失败、0 跳过，退出 0。随后新增渲染器最后一次元数据等待后的撤权检查、附件边界独立 SHA 检查及团队保留文件夹限制，定向执行 node --test hub/server/console/source-archive.test.ts hub/knowledge/source-archive.test.ts tests/acceptance/51-source-archive.test.ts：12 通过，0 失败、0 跳过，退出 0；其中条目/引文撤权即使不影响独立原文读权也仍拒读。
  • CIRCLE_HUB_LIBPQ_BIN=<PostgreSQL 18 客户端目录> node --test --test-concurrency=2 hub/records/artifacts.test.ts hub/platform/ownership.test.ts hub/records/lock-namespaces.test.ts tests/acceptance/27-check-reads-bound-sources.test.ts tests/acceptance/45-r5-capture-boundary.test.ts：24 通过，0 失败、0 跳过；两个服务器读取测试已包含在上项，不重复计入此组。
  • node --test ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；git diff --check 与暂存区检查均通过。

新增回归为 8 项 knowledge 测试、1 项逐字匹配分页测试、1 项渲染器撤权测试及 3 项真实 Hub 验收，覆盖明确保存、旧冻结声明保持、同字节隔离、私人读取不能借团队资格、授权/版本/游标、异步撤权不漏计数、UTF-8 分页、全部匹配、长文、附件档位及真实对象损坏。开发中首次容量测试揭示上述空根计量缺口，已修复并保留 0 额度首次导入/保存断言；另一轮失败是夹具把 put() 的 created 返回标记当作存储字段比较，已改为比较写入前后实际读取的完整记录，未弱化不变性检查。

最终浏览器矩阵为 13 状态 × 深浅主题 × 1440/1024/390px，共 78 张，另有 390px 表格滚动及关闭脚本的原生定位各 1 张诊断截图。状态为：空归档、导入 Dialog、归档列表、选中详情、保存 Dialog、多处匹配、所选位置、唯一位置、未定位、转义 HTML、二进制原文、与我共享、撤权拒读。“未定位”使用明确的合成解析器不可用故障注入，不把它记成真实插件下架验证。脚本实际导入文件、保存、键盘选择、验证引文可见、下载逐字节核对、分享后浏览与撤权；页面无横向溢出，表格在自身容器内滚动，无行内按钮、用词问题或脚本异常。人工抽查桌面/手机 Dialog、原文详情、位置与窄屏滚动；发现并修正字段挤在 Dialog 底部及手机目标引文未进入视口的问题后重跑矩阵。关闭页面脚本另验原生锚点可见与 POST/303 保存。

对比度审计沿用共享设定并为引文突出显示增加 12 个实际底色样本，共 546 项，0 失败。未新增颜色或改共享设计目录。上述为本机合成证据；未执行全量集成、Linux CI、真实模型或真实业务核验。未改 foundation、references 或其批准导入/来源归档工具，未进行来源归档复核；最终视觉审查与决定 140 进度仍交 Claude。

第二块复审修正（2026-11-03）

Claude 指出 ffb9a6cc 首次画廊所有选中原文截图都显示中性错误页，第二块尚未批准。先保留原脚本复现并加 HTTP 断言：导入原文的实际登记目录为 /，手拼选择地址却限制 /方法/认证，选中页返回 404，断言失败退出 1。另在同一读者会话直接核对实际登记及详情得到 200。原因是原截图脚本重复导航相同 URL/片段时仍使用旧文档，创建目录后没有真正刷新导入 Dialog；设置不存在的 option 后值变为空，导入按原有默认规则保存到根目录。脚本既没有核对实际目录，也没有检查截图的 HTTP 状态及原文正文，导致错误页被误计为完成。列表生成的选择链接和详情读权边界无需放宽。

  • 把原临时截图流程纳入 hub/server/console/testing-source-archive-browser.ts：每次截图先经空白页发起新文档导航，等待同一个 loader 的 load 及 Document 响应；导入前断言选择框实际值，导入后断言登记目录。选中地址直接取已渲染列表的链接。每个正常截图必须为 HTTP 200 且不是中性错误、内部错误或参数错误；选中原文还必须显示指定标题与完整合成正文。只有明确命名的撤权拒读场景接受 404。
  • 在脚本内故意把实际列表链接改成不存在的目录，核对其 404 必须触发截图断言，且不会写入或累计任何选中详情图片；随后才捕获正确链接。类型、HTTP 错误或内容缺失均不会被当成完成。
  • 新增真实 Hub 回归，从实际渲染行和下一页链接查找原文，再用同一个会话跟随链接读详情：本人 36 项分页列表、本人指定文件夹、被授权成员的共享列表、普通成员的团队列表，均断言 200、目标标题和正文，且无错误页。没有用构造的原文详情 URL 代替列表交互。
  • 容量新增独立命名回归，明确固定目录 / 与空空间：0 额度下首次导入和首次显式保存均报 SPACE_CAPACITY_EXCEEDED，空间仍不存在，原有普通采集保持且没有私人副本；额度仅够原文字节、未覆盖版本元数据时也拒绝。提高额度后首次根目录保存成功，used_bytes 大于原文字节且仅一份原文登记。此前的根目录容量修复保留，未改变计费规则或旧记录。

本轮检查：

  • node --test hub/knowledge/source-archive.test.ts tests/acceptance/51-source-archive.test.ts：13 通过，0 失败、0 跳过，退出 0。
  • node node_modules/typescript/bin/tsc --noEmit：退出 0，无诊断。
  • node hub/server/console/testing-source-archive-browser.ts：退出 0，重新生成完整 78 张矩阵及 2 张诊断截图。故意错误链接的拒绝检查通过；页面无横向溢出、用词问题或脚本异常，表格仍在自身容器滚动。逐张打开并查看了 archive-selected 的深浅主题 × 1440/1024/390px 全部 6 张：均显示目标原文名称、来源信息和“合成浏览器导入原文：保留两份。”正文，桌面选中行与手机详情一致，均非错误页。本轮新画廊取代首次画廊作为复审证据。
  • node --test ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；新截图脚本纳入暂存后重跑此检查，结果相同。git diff --check 与暂存区检查通过。

本轮只补检查流程、回归和文档，没有修改模型、权限逻辑、迁移或界面设定，因此沿用此前对比度样本。未执行全量集成、Linux CI 或真实业务/模型核验。等待 Claude 复审，不进入第三块。

第三块合约清单与实施边界（Claude 已批准 715b2e50）

Claude 已批准第二块及修正 94babcda，并要求第三块一并修正已在本人空间的原文仍显示“保存到我的原文…”的问题。本节先列最小合约补充；仅提交本任务页，批准前不改模型、生成物或实现。 不更改同步分支，不开始成员删除或第四块容量工作。

A. R01 的停用与恢复规则

当前 R01 只定义角色和管理权限，没有记载决定 140 的成员生命周期；拟在 R01 补充以下规则，复用既有用户状态及追加的 user_history：

  • 管理员停用成员后，该成员个人空间冻结，知识、原文、记忆、个人工作流及通用技能的个人写入暂停，依赖该空间的成员/全体管理员分享暂停。每次读取、续页、附件下载及新的个人工作流/技能使用检查实际当前账号和所有者；旧 Principal、会话、令牌、版本、采集及游标不能借用停用前的权限。
  • 停用不清除或改写私人正文、原件、版本、分享记录、署名、已有运行或容量记录，不永久收回分享。重新启用后按仍有效的记录恢复；已明确收回的分享、已吊销或过期的令牌不复活。现有未吊销、未过期 Circle 令牌按原规则恢复可用；已被关闭的控制台会话仍需重新登录。
  • 团队已经独立取得的知识、记忆和来源仍属团队，不因原提交人停用而隐藏或降为不可读；署名保留真实账号，停用状态用既有 account_status 显示，不冒充“已删除的成员”。不把独立读权与依赖私人空间的分享混为一条权限。
  • 写入在提交边界核对实际操作者及相关个人空间所有者，并与停用决定形成确定顺序：停用先完成则不能再凭排队前的账号状态提交；写入先取得提交边界且仍有效则先完成，停用随后生效。不靠进程内队列或前端禁用按钮保证，不因重试留下半份可读记录/副本；管理员边界与最后一名启用管理员保护不变。
  • 保留 B03 R[0] 的区别：新运行与人的查看检查当前权限；Hub 对已经冻结输入的运行所作内部评估仍按该条既有规则执行。不扩大停用为远程 Circle 已停止、作业已取消或数据已清除的声明。

B. 形状、代码与词表

  • 不新增记录种类、字段、Schema、拒收码、MCP 模式、权限角色、账号状态或 SQL 迁移。复用 setDisabled、既有用户历史、各空间/个人包当前授权和撤回记录。
  • 不修改 contracts/codes.json 的 when/fix。既有当前账号失效、私人对象不可读与无权的中性拒绝保持；并发拒收也沿用各端口已有错误边界。
  • account_status.enabled/disabled 及“已启用 / 已停用”界面标签保持，启用/停用按钮与后果说明为控制台静态文案，不新增模型静态文案表或显示轴。
  • 批准后将当前模型 26 递增为 27，生成根协议版本；如四份技能协议镜像字节未变，则不改镜像清单。B03 既有冻结运行语义及全部输入/输出形状不变；不借同步分支未完成的记录或迁移实现本块。

C. 实施及回归

  • 复用 circle-hub user disable/enable 与现有命令 Dialog，补齐“私人空间冻结、分享暂停、团队副本保留”的后果说明；网页不新增直接停用/清除接口。
  • 在 records 的公开 api.ts 提供最小事务内当前账号检查/锁定能力，供知识、记忆、原文和个人包提交边界使用；不把数据库实现暴露给其他包。核查等待空间锁、解析器/样例检查、授予及撤回分享期间发生停用的情况，保持与现有空间锁的确定顺序，不改变已冻结运行的内部评估路径。
  • 合成回归覆盖：旧令牌/会话及旧 Principal 的读写；本人和成员/全体管理员分享的知识、原文、附件、记忆、个人工作流/技能；继续读取旧页；停用期间暂停、恢复后继续、明确收回的分享不恢复；团队副本及署名保留；停用与排队写入/发布的两种顺序；普通成员拒绝及最后管理员保护。核对停用/启用期间正文、对象及版本未被清除，不以页面消失替代存储证据。
  • 原文 Inspector 采用“当前原文的精确采集已在读者本人空间就隐藏保存动作”的规则，不引入跨文件夹复制功能，不拿同字节的其他采集替代归属。对本人已登记原文隐藏“保存到我的原文…”及其 Dialog；未保存的本人普通上传仍可明确保存。补渲染/HTTP 回归，避免隐藏下载、署名或他人分享的合法读取动作。该项不改模型词表。
  • 按本页第 9 节跑类型、生成、受影响 records/knowledge/server/个人包/新运行验收与文档检查；深浅主题及 1440/1024/390px 检查停用/启用 Dialog、成员状态和原文按钮。截图复用第二块错误页必须失败的检查规则。同步 HTTP 待后续合入，成员删除与清除仍留第五块。

D. 审查前复现

在临时 loopback Hub/PostgreSQL、合成账号上，向 knowledge-space 锁等待处注入管理员停用：知识写入的入口检查已经完成，停用先成功返回，后续写入仍保存了新的私人版本。断言当前账号确实已停用及新版本已提交，复现脚本退出 0，证明当前提交边界存在缺口；恢复账号后同一版本仍在。此结果是缺陷复现，不是第三块验收通过。仅使用临时合成资源，未读真实系统或修改业务源码。

本步执行 node --test ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；git diff --check 通过。仅修改本任务页，未运行新实现的类型、功能或截图验收；模型及实现尚未修改，待上述合约审查后继续。

第三块实现与验证（2026-11-03，待 Claude 审查）

依照批准的 715b2e50 实现，没有扩大合约或接入同步/清除。本块未开始第四块容量调整与提示。

  • 模型 27 只在 R01 增加已批准规则。脚本逐字段比较基线和当前模型，确认只有版本及 R01 改变；B03、全部形状和词表不变。生成只有根 protocol.ts 的模型版本变更，四份技能镜像与清单字节未变，无迁移。
  • records 新内部端口 principals.lockActive(by, tx, owners) 在同一提交事务中按稳定账号顺序取得用户行 FOR SHARE，重读实际操作者及相关个人所有者状态，返回实际当前角色。停用的既有 FOR UPDATE 与它互斥：停用先完成则排队请求拒绝；写入先取得有效边界则停用等待该事务提交。知识侧把账号不可用映射到既有中性 SOURCE_UNAVAILABLE，不设置可跳过的生产回退。
  • 知识的初始化、条目/文件夹/撤回、原文导入/显式保存/署名、分享及配额管理在空间业务锁后取得账号边界；管理员权限使用重读后的角色。记忆写入、分享、撤回分享及重建使用同一边界。普通读取及异步加载后的条目、原文、记忆再次核对当前私人权限。
  • 个人工作流/技能发布在个人包锁后核对当前操作者和实际解析出的个人依赖所有者；文件采集、文件索引、清单登记及个人版本改在同一个事务里提交，停用拒收之前不存半份私人采集。授予/收回使用分享、退役及转到团队的个人凭据边界同样补齐。团队发布仍用既有事务和验证，不宣称任意团队发布故障均能跨事务回滚。
  • 新运行在存储快照的同一事务锁定运行者、个人工作流和技能所有者，再核对当前工作流使用权；停用后不能凭投影前状态创建运行。基于个人工作流分享的人类读取也核对当前所有者，发起者自己的已有运行权限与团队独立副本保持区分。未改 B03 冻结输入的内部评估、冻结来源读取器或维护策略。
  • 停用不追加撤回分享、不删除原件或内容；恢复沿用原版本和仍有效分享，明确收回的分享及已吊销令牌不恢复。旧 Principal、令牌和被关闭的控制台会话均有回归；被关闭的会话启用后仍需登录。团队知识、记忆和原文继续可读，署名显示真实账号及生成的“已停用”状态。成员停用/启用继续是管理员命令 Dialog，后果说明与恢复边界已补齐；停用成员不显示无法签发的邀请码或 Circle 访问令牌入口。
  • 原文 Inspector 以读者当前个人版本中精确采集的登记判断是否已保存：已保存时隐藏“保存到我的原文…”及 Dialog，下载和署名仍在；另一份同字节但独立的未归档任务上传仍可保存。没有引入“复制到另一文件夹”的动作，服务端重复保存的幂等边界保留。

新增回归分布为 knowledge 8 项、个人包 5 项、运行引擎 3 项及真实 Hub 验收 2 项。知识、原文导入、原文保存、记忆、个人工作流及技能发布均用显式屏障检查两个顺序；写入先到的测试通过 pg_stat_activity 和 pg_blocking_pids 观察停用确在等待用户行锁，不用延时推断。拒收断言没有新版本、文件采集或原文对象；恢复断言同一内容/版本未被清除。屏障也会在操作提前结束时失败，不会把未到达的提交边界当成完成。新增新运行回归分别在投影后停用运行者和个人所有者，断言无运行存入；另一回归在运行冻结后停用所有者，原运行仍可按冻结内容受理并评估提交且记录不变。

实际执行（Node 24、临时 loopback PostgreSQL/Hub、合成数据、隔离 Chrome，无安装依赖）：

  • node node_modules/typescript/bin/tsc --noEmit：退出 0，无诊断。node tools/gen-contracts.ts --check：156 个生成文件一致，退出 0。
  • node --test "contracts/**/*.test.ts" "tools/gen-contracts*.test.ts"：381 通过，0 失败、0 跳过；node --test --test-concurrency=1 --test-name-pattern='uses generated axes' packs/workflow/case-review/packs.test.ts：1 通过，0 失败、0 跳过。
  • node --test --test-concurrency=2 hub/records/principals.test.ts hub/records/artifacts.test.ts hub/knowledge/member-freeze.test.ts hub/knowledge/spaces.test.ts hub/knowledge/sharing.test.ts hub/knowledge/memory.test.ts hub/knowledge/source-attribution.test.ts hub/knowledge/source-archive.test.ts hub/runs/packs/personal.test.ts hub/runs/packs/member-freeze.test.ts hub/runs/engine/member-freeze.test.ts hub/runs/engine/personal-capabilities.test.ts hub/server/console/source-archive.test.ts tests/acceptance/46-knowledge-spaces.test.ts tests/acceptance/47-knowledge-sharing.test.ts tests/acceptance/48-knowledge-console-memory.test.ts tests/acceptance/50-upload-attribution.test.ts tests/acceptance/51-source-archive.test.ts tests/acceptance/52-member-freeze.test.ts：137 通过，0 失败、0 跳过，退出 0。随后补齐物理原文对象缺失断言、屏障提前结束保护及冻结运行回归，最终执行 node --test hub/knowledge/member-freeze.test.ts hub/runs/packs/member-freeze.test.ts hub/runs/engine/member-freeze.test.ts tests/acceptance/52-member-freeze.test.ts：18 通过，0 失败、0 跳过，退出 0。
  • node --test --test-concurrency=2 "hub/runs/engine/**/*.test.ts"：558 通过，0 失败、0 跳过，退出 0；后加的冻结运行回归所在文件另跑 3 项均通过、0 跳过。
  • node --test --test-concurrency=2 "hub/server/console/**/*.test.ts" "hub/server/console*.test.ts" hub/server/units.test.ts hub/server/readers-sharing.test.ts hub/server/contribution-readers.test.ts tests/acceptance/12-console-security.test.ts：203 通过，0 失败、0 跳过，退出 0。对比度按实际 tokens 审计 546 项，0 失败，没有新增颜色或改共享设计目录。
  • CIRCLE_HUB_LIBPQ_BIN=<PostgreSQL 18 客户端目录> node --test --test-concurrency=2 hub/platform/ownership.test.ts hub/records/lock-namespaces.test.ts tests/acceptance/27-check-reads-bound-sources.test.ts tests/acceptance/45-r5-capture-boundary.test.ts：8 通过，0 失败、0 跳过，退出 0；原件测试已在 137 项组内，不重复计入此组。
  • node hub/server/console/testing-source-archive-browser.ts：退出 0，20 状态 × 深浅主题 × 1440/1024/390px，共 120 张矩阵及 2 张诊断图。新增成员已启用、停用 Dialog、已停用、启用 Dialog、分享暂停、分享恢复及成员恢复 7 状态。错误页 guard 及故意错误链接拒绝检查均通过，无横向页面溢出、行内按钮、用词问题或脚本异常。逐张查看 6 张已保存原文（按钮确实隐藏）和 12 张停用/启用 Dialog，另抽查成员状态与暂停/恢复的桌面和手机页面。
  • node --test ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；最终 git diff --check 及暂存区检查通过。

开发中夹具曾漏填记忆的 expected_version、分享的 version 及脚本工作流要求的跨条目声明，另有新测试把既有 MCP 拒收 call_result=error 写成不存在的返回值；均按既有合约修正夹具/断言后重跑，未删除并发、拒收或内容不变性检查。对比度命令首次误写导出名，改用实际 auditContrast(tokens) 后得到上述 546 项结果。

以上是本机合成证据。未执行全套集成、Linux CI、真实模型或真实业务核验；未修改 foundation/references 或来源归档工具，未做无关的批准导入复核。同步 HTTP 与成员删除仍等待同步合入及 Claude 安排变基，第五块的个人工作流归属未提前决定。等待 Claude 审查本块。

第四块合约清单与实施边界（Claude 已批准 591c4f47）

Claude 已批准第三块 d2b57f63，并要求统一容量显示及改为数值加单位的管理员输入。本节记录审查前合约差异；Claude 已批准 591c4f47，并要求记录重算关闭旧少计及写入拒收回归、CHANGELOG 说明升级显示差异。批准前仅提交本任务页；以下按批准内容实施。本块不接入同步分支或成员清除。

A. R01 容量规则及既有超限码

  • 补充既有每人默认 1 GiB（1,073,741,824 字节）、管理员调整、精确整数字节存储及提交边界规则。容量是已定义知识、原文、空间版本和记忆历史的逻辑计费量，不称文件系统磁盘占用；保留既有计费组成、去重/幂等与版本记录规则。当前知识空间计量与记忆历史相加后，用同一结果展示及拒收，不能各页取不同口径。
  • 额度可以设为 0 或低于已用，不删除既有内容；剩余为 max(0, 上限−已用)，另如实显示超出量。新增占用在空间锁及同一事务内按实际完整所需量重新核对；超限整次拒收，不截断或留下半份可读副本。调额与并发写入使用同一个业务锁；调高后可重试。撤回/停用只释放相应当前启用额度，不释放仍保留的历史容量，不能建议靠撤回知识释放历史量。
  • 旧“首次根目录原文当成空空间初始化”的少计必须处理：从已受理记录及其实际计费输入重算派生用量，当前显示与后续写入都使用同一校正结果，不继续继承少计。旧正文、原文、版本、used_bytes 和已应用迁移不改写；GET 只读取/投影，不隐式追加记录或重建持久状态。内存派生缓存可按不可变版本重新计算；如确需持久校正，只能显式重建并追加既有投影，若还需新形状/迁移则另列差异再审。
  • 当前个人工作流/技能可执行文件的独立发布计费与后续同步暂存/冲突头，不在本块擅自重新定义。用量 Tooltip 写清当前已计范围，避免把当前数字称为全部私人文件或磁盘用量。同步合入后再对接其最终统一计量；若本块发现必须扩大计费集合，先追加合约清单。
  • 保留 SPACE_CAPACITY_EXCEEDED，不申请新拒收码。拟将 when 从“个人空间容量不足”改为“本次写入计入版本记录后超过个人空间容量上限”；fix 改为“请管理员调整容量后重试；撤回或停用内容不会释放版本记录占用”。实际已用、上限、剩余及本次新增由同一事务的可信数字构造，不能只返回泛化的不足提示，也不能在失败后用另一次读数冒充拒收时的事实。内部分量放既有 KnowledgeError.detail；控制台用 Tooltip 显示精确字节，纯文本/MCP 消息保留可核对的精确字节，不给 ProtocolError 新加字段或模式。只有本人和有权管理容量的管理员得到该人的数字；无权仍为中性拒绝。

B. UI 单位轴与精确输入

  • 拟增加 R01 所有、仅用于显示/表单的 capacity_unit 轴：kb → KB、mb → MB、gb → GB。不持久化为额度字段，不增加 UI 文案登记表。显示从 KB 起选单位，保留一位小数及千位分隔；管理员输入只取该轴的 MB/GB 子集。按钮、标题、后果和提示留在控制台代码。
  • 沿用现有 1024 换算：1 KB = 1,024 字节，1 MB = 1,048,576 字节，1 GB = 1,073,741,824 字节，与 Claude 的 99,793 字节 → 97.5 KB 示例一致。三处共享一个容量格式化器：成员 Inspector、“我的空间”及超限消息；其他容量/记忆限额显示也复用，数量与字节不混用。精确字节放 Tooltip，纯文本没有 Tooltip 时用可核对的文本表达。
  • 管理员通过“调整容量…” Dialog 输入数值与 MB/GB，服务端按十进制字符串和整数运算转换为字节，再校验现有 SpaceQuotaBody 的非负安全整数边界。不经过浮点四舍五入或截断；负数、溢出、未知单位和换算后不是整数字节的小数均拒绝，既有额度不变。例如 0.5 MB 可精确表示，0.1 MB 对应非整数字节应拒绝。原有非整 MB/GB 的额度以精确有限小数回填，不能把一位小数的显示结果用于覆盖真实额度。
  • 新表单的“数值/单位”只是控制台 HTTP 输入，服务端据此计算；额度记录仍只存原有 bytes，不信任客户端提交的另一个预计算字节数。没有新增记录种类、存储字段、Schema、MCP 输入/输出或 SQL 迁移。
  • 批准后模型 27 递增为 28，生成 UI 轴与既有超限码的 when/fix；因 PROTOCOL_CODES 文字可能改变四份技能协议镜像，按实际生成差异连同补丁清单更新，不改技能业务代码。实际需要新存储形状或迁移时再交审，旧迁移绝不修改。

C. 实施、回归与截图

  • 把目前分散的知识 used_bytes、记忆 history 和额度读取收敛为有权限边界的内部用量端口。显示不初始化空间，不读私人标题/正文给管理员；写前估算和最终提交使用相同计费公式与同一空间事务。对旧计量构造明确的合成历史夹具核对重算结果、重复重算不多计与校正后拒收，而非只测新的首次根目录写入。
  • 成员页显示“已用 97.5 KB / 上限 1.0 GB”形式及剩余/超出事实，精确整数在 Tooltip；调整 Dialog 解释降低额度的后果。我的空间、记忆额度及错误页调用同一格式化器。超限消息给出本次新增和当前剩余，联系管理员调整；索引额度、单次上传上限和记忆启用/单篇限额分别解释，不把它们混作个人历史容量。
  • 回归包括：格式与 Tooltip 的一致性；MB/GB 的精确解析、0、负数、无法精确表示的小数、边界及溢出、旧额度回填不变；非管理员与失效主体拒绝；降低到已用以下保留原件、版本及分享；调额与写入的两个确定性顺序；知识/原文/记忆历史合计、首次根目录、重复保存、失败回滚、旧少计重算及提高额度后的重试。同步写入仍留后续合入后验证。
  • 定向检查按本页第 9 节，截图涵盖成员容量、调整 Dialog、我的空间、额度为 0/已超出、拒收及调高后成功，深浅主题与 1440/1024/390px；保留错误页必须失败的截图 guard。仅用合成数据，不把 Linux CI、真实系统或同步入口记成已验证。

D. 审查前复现

在临时 loopback Hub/PostgreSQL、合成账号上确认三个现状：成员 Inspector 输出原始“0 字节”，输入为原始 1073741824；现有 size(99793) 已能输出 97.5 KB、size(1073741824) 输出 1.0 GB，但各入口没有统一使用；0 额度拒收只返回泛化超限信息，既有 KnowledgeError.detail 为空，没有已用/上限/剩余/所需事实。

另构造与旧错误结构一致的合成记录：90,000 字节原文、其私人来源登记及首次根空间版本，used_bytes=0；额度设为 16,384 字节后，当前代码仍成功追加新的知识，并继续保留小于额度的少计值。脚本断言通过，退出 0，证明第二块的新写入修复并不能自动修正旧用量。该夹具完全合成，不代表已读取或测得真实部署历史。

本步执行 node --test ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；git diff --check 通过。只提交本任务页，模型和实现均未修改，未运行新功能的类型、生成或截图验收，等待上述合约审查。

第四块完成情况（实现提交待 Claude 审查）

Claude 已批准合约清单 591c4f47。本块按该清单完成模型 28、R01 三条容量规则、UI 单位轴和既有超限码的 when/fix；没有增加记录种类、存储字段、错误码、MCP 模式或迁移。生成检查覆盖 156 个文件；四份技能协议镜像随生成变化，清单补丁版为 html/mindmap 1.0.13、xml/workbook 1.0.14，只更新生成文件摘要/大小和版本，不改技能业务代码或来源基线。

计量与拒收

  • 新增内部容量账本，从已受理的空间版本与其父版本差量、来源登记/精确采集元数据、知识条目及记忆文档/版本重算逻辑占用。旧 used_bytes 和记忆索引的累计历史都不作为总量；累计字段只作为实际序列化元数据的一部分。每个版本只对新增的条目/原文载荷计费，后续快照沿用同一引用不重复计载荷；空间快照和记忆版本元数据按实际 canonical 字节计入，只有真正空的首次根版本免费。
  • 修正旧首次根原文少计，同时不把人为偏大的旧累计值当作实用量。完整记录缺失时停止核对；不改旧记录、原文、摘要或迁移，GET 不追加任何记录。未来成功版本投影正确的知识累计；新快照计费以最终累计数字的实际序列化长度稳定求值。CHANGELOG 明确升级后显示用量可能增加，旧内容保留，后续写入以真实占用拒收。
  • 知识、原文保存/导入和记忆写入均在既有空间事务锁内核对记录用量与最新上限，包含记忆的版本记录占用。提前估算与最终提交使用同一公式；额度调整与写入使用同一锁，跨实例两种顺序有确定性回归。0 或低于已用的上限合法，原件、版本、仍有效分享不删除；剩余归零，新增整次拒收。
  • 拒收错误的内部 detail 保存提交事务中的已用、上限、剩余、超出和本次新增数字，控制台/MCP/CLI 复用，不另读一轮数字冒充拒收时事实。容量元数据只给本人/当前管理员；管理员不因此取得正文或标题。
  • 修复记忆同一 client key 的容量拒收永久缓存：调高后重新核对并可接受，成功后仍返回原版本，不重复写入；其他拒收的幂等语义不变。拒收审计记录保持原形状。

页面与输入

  • 一个服务端格式化器统一成员 Inspector、我的空间、记忆额度及超限消息：1024 换算、KB 起、一位小数、千位分隔；精确字节使用可聚焦的设计 Tooltip，纯文本/MCP/CLI 同时给格式化值和精确字节。
  • 团队成员 Inspector 的“调整容量…”打开 Dialog，数值与 MB/GB 单位分开，用生成轴标签。服务端按 BigInt 有理数精确换算，拒绝负数、指数、未知单位、无法表示的非整数字节和安全整数溢出；旧非整 MB/GB 额度按有限小数精确回填，额外 bytes 字段没有权威性。现有管理员、当前账号、Origin、CSRF 边界保持有效。
  • Dialog 说明调低的后果；计费范围说明明确逻辑容量、保留版本及排除项。私人包文件、同步暂存、索引和磁盘空闲量没有混入本块计费；同步准入和成员清除仍等合入后接入。

回归与实际命令

以下使用 Node 24、已有依赖、临时 loopback PostgreSQL/Hub、合成账号和脚本模型；没有安装依赖或使用真实资料。

  • node node_modules/typescript/bin/tsc --noEmit：退出 0；node tools/gen-contracts.ts --check：156 文件匹配，退出 0。
  • node --test "contracts/src/*.test.ts"：372 通过，0 失败、0 跳过，退出 0。
  • node --test --test-concurrency=2 hub/knowledge/capacity.test.ts hub/knowledge/spaces.test.ts hub/knowledge/memory.test.ts hub/knowledge/source-archive.test.ts tests/acceptance/48-knowledge-console-memory.test.ts tests/acceptance/51-source-archive.test.ts tests/acceptance/52-member-freeze.test.ts tests/acceptance/53-capacity.test.ts hub/server/console/member-space-metadata.test.ts：57 通过，0 失败、0 跳过，退出 0。
  • 上组包含：90,000 字节根原文但旧累计为 0，GET 校正后追加写入在真实上限拒收；旧累计过大、记忆索引 history 被重建为 0 时记录用量不变；知识/原文/记忆在精确所需额度少 1 字节拒收、提高到精确额度后同请求成功；调额与写入的两种跨实例提交顺序；实际 HTTP 表单、越权/失效账号/CSRF、旧额度精确回填、不可表示小数、溢出、调低保留原文及分享；MCP 拒收中的提交时事实与同 key 调高重试。原有首次根保存容量回归也通过。
  • node --test "hub/server/console*.test.ts" "hub/server/console/*.test.ts" hub/server/capacity.test.ts hub/server/units.test.ts：195 通过，0 失败、0 跳过，退出 0。node --test tests/acceptance/12-console-security.test.ts tests/acceptance/47-knowledge-sharing.test.ts tests/acceptance/50-upload-attribution.test.ts：19 通过，0 失败、0 跳过，退出 0。
  • node --test "packs/skill/*/functions/*.test.ts"：119 通过，0 失败、0 跳过，退出 0。
  • 扩展运行 node --test "hub/knowledge/*.test.ts"：527 项，526 通过、1 失败、0 跳过，退出 1；唯一失败为既有 feeding 的 5 秒性能时限。首次并行运行验收 46/48/51/52/53 共 24 项，23 通过、1 失败、0 跳过，退出 1；唯一失败为 46 中无关空间读路径的既有 5 秒时限。没有把这两组记为全绿。结束并行负载后，node --test --test-concurrency=1 hub/knowledge/feeding-bounds.test.ts tests/acceptance/46-knowledge-spaces.test.ts：13 通过，0 失败、0 跳过，退出 0；feeding 实际 start 为 1,389 ms，原断言/时限不改，没有删除或跳过测试。
  • 最后首页调整后，node --test --test-concurrency=2 hub/server/console-knowledge.test.ts hub/server/console-wording.test.ts tests/acceptance/53-capacity.test.ts：11 通过，0 失败、0 跳过，退出 0；类型检查再次退出 0。
  • CIRCLE_HUB_LIBPQ_BIN=<PostgreSQL 18 客户端目录> node --test --test-concurrency=2 hub/server/assemble/cli-admin.test.ts hub/platform/ownership.test.ts hub/records/lock-namespaces.test.ts tools/gen-contracts.pack-vocabulary.test.ts：71 通过，0 失败、0 跳过，退出 0；仅运行平台边界检查，未改该包测试。
  • 对比度：以实际 tokens 调用 auditContrast，546 项、0 失败，退出 0；没有新增颜色或修改共享设计目录。
  • node --test --test-concurrency=2 ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；最终暂存区与差异检查通过。

首次验收命令中 12/47/50 的文件名误写，未计入 24 项组，已以上面单独 19 项的正确文件名实跑补齐。

最后全路径扫描又发现“我的”知识库首页仍拼接旧知识计数与记忆计数；已接入同一 usage/格式化器，旧少计 HTTP 回归覆盖首页和文件夹页、追加记忆后的两处一致性，并增加 6 张首页截图。单测的旧容量 mock 同步改为用量端口。

开发中曾发现：新并发测试若共用服务实例，会在进程队列而非数据库锁处等待；已改为同数据库的两个独立实例，并用 PostgreSQL 实际阻塞状态确认先后。账本查询改为同事务客户端顺序执行，消除并发 query 警告。HTTP 夹具和断言按实际 entry 路由及新容量标签修正，未降低权限或容量断言。

截图与边界

node hub/server/console/testing-source-archive-browser.ts：退出 0，27 状态 × 深浅主题 × 1440/1024/390px，共 162 张矩阵与 2 张诊断图。容量新增 7 状态共 42 张：成员容量、调整 Dialog、我的空间文件夹、我的知识库首页、0 上限/已超出、真实原生 POST 拒收、调高后新条目。全部容量图按深浅主题、三种尺寸逐图检查，另生成 7 张联系图便于审查；block4.html 为临时目录内的容量专用图库，index.html 为完整矩阵，result.json 保存断言结果。

普通页面必须 200 且没有中性拒绝/内部错误/参数错误；仅具名的容量拒收状态要求真实 HTTP 400 且含已用、剩余、本次新增和容量不足提示，故意错的原文链接仍使截图失败且不计完成。手机成功态会切入条目详情，因此 guard 校验确实选中新写入的条目，不误要求已隐藏的主页面容量摘要；没有放宽正常页面的 HTTP 或错误 guard。全部矩阵无页面横向溢出、行内操作按钮、用词问题或脚本异常。原生管理员表单实际把 0.5 MB 存为 524,288 字节。

本机合成检查不代表 Linux CI、真实业务结果或同步入口验收；未跑整套集成/引用归档检查，未改 foundation/references、来源工具或批准导入。第四块待 Claude 审查；第五块的清除与个人工作流归属仍等待同步合入及 Claude 安排变基，不提前实现。

控制台性能体检

2026-11-03，仅测量。基线为 PR #136 分支 console-visual-local 的 69c682162dd67dab09221f35c47562708293b64b，以 git archive 导出到临时副本，复用既有依赖，没有改产品代码。结束后逐个校验基线的 3586 个受版本控制的文件/链接，Git 对象摘要全部一致；收尾分支只追加本节。已批准的第四块 e40926af 不在本次被测代码中，第五块仍等待同步合入及 Claude 安排变基。

环境、数据与口径

  • 本机 Apple M4，10 核、16 GB RAM，Darwin 27.0.0；Node v24.22.1、临时 PostgreSQL 18.4、pg 8.23.1。Hub 和数据库均为 loopback，使用 createTestHub 的真实装配与临时 vault；无真实凭据、业务资料或模型调用。
  • 单进程、单个管理员密码会话，HTTP GET 串行。不是独占跑分机：每 10 秒抽样的 1 分钟 load average 为 6.3–19.1。缓存、GC、自动统计和同机竞争未隔离；不能把两规模的耗时比当成纯粹的数据因果系数，也不代表生产 SLO。
  • 工厂保留其 resourceCacheMs: 0 配置；生产的资源缓存窗口可能改变连接类页面表现。脚本关闭测试包函数的 OS isolation，功能仍由确定性合成函数执行；这不测沙箱启动或远端系统响应。时间固定为 2026-11-03T04:00:00Z，避免日期和会话过期改变页面。
  • 两个规模用正常空间、上传和 MCP 端口逐步建立。5 名成员包括管理员；私人根文件夹分享给管理员。知识一半在团队、一半分属 5 个私人空间，每空间 20 个叶文件夹；原文是约 66 KiB 的合成 UTF-8 文本。每个任务有 10 个检查项；四分之一不提交，其他以合成“跳过”或空发现提交，保留 Hub 算出的实际受理/未受理与未知状态，不伪造成功结果。
数据 小规模 完整规模
成员 5 5
知识条目（团队 / 私人） 500（250 / 250） 2,000（1,000 / 1,000）
已归档原文 125 500
任务 / 检查项 50 / 500 200 / 2,000
空间版本 630 2,505
调用记录 152 565
提交（另有同数量校验结果） 37 150
声明记录 105 405
请求记录 130 500

配套数据均为 12 个团队工作流、3 个系统接入与资源、5 份合成凭据、25 篇启用记忆、5 个连接令牌；另有 1 个团队读取采集和 5 份 MCP 输入采集。因此完整规模有 506 个 source_artifact，520 条来源登记（团队同一采集按文件夹登记），没有把这些算成 506 份已归档原文。完整规模共 9,055 条不可变记录，用户、令牌和索引等可变表另计。

测量规则：

  1. 每个规模、每个页面先预热 2 次，再完整记录 20 次；p50 为排序后第 10 个，p95 为第 19 个，不剔除慢样本。两规模共 880 个正式请求、88 个预热请求。另只增加空成员到 20 人，对八个主页各取 3 次，作查询增长探针，不把这 3 次当成 p95。
  2. 在 http.Server 发出 request 时开始计时，到 ServerResponse.end 被调用前结束，包含鉴权、数据库等待、业务读取、模板和 HTML 组装；不含网络传输、浏览器解析/绘制、SSE 和脚本后续请求。SQL 钩子的开销也在计时内，没有扣除。
  3. 只包装临时进程的 pg.Client.query，每条实际客户端 SQL 计一次，包括 BEGIN/COMMIT、鉴权和会话维护；不把 pool 与 client 重复计数。用单条 SELECT 1 校准为 1，串行窗口前检查 1.1 秒无后台应用 SQL。
  4. 全部请求必须返回 HTTP 200 且不是中性拒绝/内部错误页；正式统计的每组 GET（含预热）前后记录水位不变。HTML 是原始 UTF-8 响应体字节，CSS/脚本分别是 <style> / <script> 内文本的 UTF-8 字节，已经包含在 HTML 中，不能再相加。基线没有外链 CSS/脚本，字体只走 local；不把字体、HTTP 头、图标单独请求或压缩传输计入。表中 HTML 取 20 次最大值。
  5. 22 个实际页面覆盖八个主页和任务、知识文件夹/条目/原文/记忆、工作流、系统 / Circle、调用、成员与凭据详情。总览无独立实体详情；未配置生产器、产品包与派发，不用其空页或 404 冒充详情测量。任务的普通校验结果随任务详情测量。

页面结果

时间列依次为“小规模 / 完整规模”，单位 ms；查询列为 SQL 条数/请求。所有 20 次的查询数在各自组内一致。尺寸为完整规模的 KiB（1 KiB = 1,024 字节）。慢 = p95 > 300 ms，大 = HTML > 500 KiB，Q↑ = 两规模之间查询条数增加；后文区分 N+1、分批读取和分页上限。

区域 / 页面 p50 ms p95 ms SQL/请求 HTML KiB CSS KiB 脚本 KiB 标记
总览 / 主页 852.4 / 5,276.8 1,622.2 / 9,930.9 11,211 / 59,502 123.7 52.5 28.2 慢、Q↑
任务 / 主页 739.3 / 2,146.6 930.5 / 3,480.6 9,068 / 26,359 362.0 52.5 28.2 慢、Q↑
知识库 / 主页 858.8 / 7,140.6 1,363.0 / 9,365.1 3,458 / 13,508 191.9 52.5 28.2 慢、Q↑
工作流 / 主页 5.9 / 12.3 7.1 / 40.9 68 / 68 97.4 52.5 28.2 —
连接 / 主页 8.3 / 7.8 16.9 / 11.2 70 / 70 99.0 52.5 28.2 —
记录 / 主页 6.5 / 9.6 8.3 / 12.0 29 / 29 188.7 52.5 23.5 —
团队 / 主页 5.4 / 6.2 6.5 / 6.6 63 / 63 90.9 52.5 28.2 —
设置 / 主页 2.4 / 2.5 3.6 / 3.4 14 / 14 95.0 52.5 28.2 —
任务 / 任务详情 41.1 / 13.1 49.5 / 15.4 427 / 127 136.5 52.5 28.2 —
知识库 / 我的首页 62.4 / 325.4 80.1 / 435.1 561 / 1,911 191.1 52.5 23.5 慢、Q↑
知识库 / 文件夹 34.2 / 108.7 44.6 / 118.3 177 / 584 139.3 52.5 23.5 Q↑
知识库 / 条目详情 11.0 / 25.0 15.5 / 31.5 79 / 142 103.8 52.5 23.5 Q↑
知识库 / 打开原文 2.1 / 1.6 3.5 / 2.0 14 / 14 146.3 52.5 23.5 —
知识库 / 记忆列表 4.3 / 3.9 5.0 / 7.8 55 / 55 88.9 52.5 23.5 —
知识库 / 记忆详情 4.4 / 4.4 6.9 / 6.2 55 / 55 89.5 52.5 23.5 —
工作流 / 流程详情 8.5 / 9.1 10.1 / 11.4 77 / 77 100.2 52.5 23.5 —
连接 / 系统详情 7.9 / 8.1 10.1 / 9.3 70 / 70 100.9 52.5 28.2 —
连接 / Circle 详情 7.9 / 7.2 9.1 / 9.0 70 / 70 99.5 52.5 28.2 —
记录 / 调用详情 7.5 / 9.4 9.1 / 12.1 29 / 29 189.6 52.5 23.5 —
团队 / 成员详情 7.5 / 6.9 10.2 / 7.9 71 / 71 100.5 52.5 28.2 —
团队 / Circle 详情 6.4 / 5.4 10.4 / 8.3 63 / 63 92.2 52.5 28.2 —
设置 / 凭据详情 2.7 / 2.7 3.2 / 4.0 14 / 14 97.5 52.5 28.2 —

成员数量的查询增长探针

保留完整知识、原文、任务和记录不变，仅将成员从 5 人增到 20 人，新成员各有 1 个令牌。下表查询数来自三次独立 GET；只用于判断查询增长，不给三样本 p95。

主页 5 人 SQL/请求 20 人 SQL/请求 判断
总览 59,502 59,502 本探针未增加
任务 26,359 26,359 本探针未增加
知识库 13,508 13,508 本探针未增加
工作流 68 68 本探针未增加
连接 70 85 随成员增长
记录 29 29 本探针未增加
团队 63 93 随成员增长
设置 14 14 本探针未增加

影响排序与待选修正

完整规模有 4 / 22 个页面 p95 超过 300 ms：总览 9,930.9 ms、知识库主页 9,365.1 ms、任务主页 3,480.6 ms、我的知识库首页 435.1 ms。没有页面超过 500 KiB；最大为任务主页 370,714 字节（362.0 KiB），按十进制 500 KB 判断也没有超限。

实测的增长和代码证据：

  • 总览、任务：queries.ts:listRuns 在截取 limit 前循环读取全部运行并逐个 runReadableBy，随后读全部未回应请求；总览 runsSince 每取一批又调用它。tasks.ts:loadTasks 再为每个展示运行加载完整 getRun。30 行任务分页和总览 120 项上限没有约束这些前置扫描；查询数分别从 9,068 → 26,359、11,211 → 59,502。完整规模总览一次请求中，有 24,241 次用户状态查询和 24,240 次按摘要取单条记录；任务主页各有 10,900 次。这是已观察到的 N+1/重复依赖读取，不只是 HTML 拼接慢。
  • 知识库：knowledge-home.ts 先对全部可见条目调用 spaces.entry、取分享范围并构建行，排序后才 slice(0,100)；spaces.ts:entry 每次重读根版本和当前版本。查询 3,458 → 13,508，HTML 却只有 188.1 → 191.9 KiB；读取/校验整份根版本的总字节量也会随条目数放大（由代码推断，未另计 DB wire bytes）。我的首页 561 → 1,911，文件夹 177 → 584，条目详情 79 → 142；后两者仍构建文件夹列表，详情页并非只取选中条目。这四页都有随条目/文件夹数据增长的 N+1。
  • 连接、团队：主规模中成员固定为 5，所以 70 / 63 条查询看似不变；20 人探针后分别变为 85 / 93。SQL 形状计数确认令牌查询由 5 次变为 20 次，团队还逐成员读取分配。两者详情与主页复用同一列表构建代码，所以详情也有这一结构性风险；本探针只对主页实测，不冒称已测 20 人详情。
  • 任务详情的 427 → 127 不能解释为规模增大反而更快：脚本选各规模最后生成的任务，小规模第 49 个是“跳过”，完整规模第 199 个是“已处理”；其结果/请求图不同。表中是各自实际详情样本，不据此作任务详情的因果增长结论。两规模同时放大知识、原文和运行，也没有声称把每一种体量的单独效应隔离出来。

按本轮 p95、查询量与影响页面排序，建议由 Claude 选择：

  1. P0：运行列表和概览读取。 先处理 hub/runs/engine/queries.ts:listRuns 的全量可见性扫描及全量请求读取，在保持权限与游标语义的前提下做索引筛选、分页与批量读取；让列表/统计得到经校验的轻量摘要，不为每行反复拉完整 RunDetail。对 getRun 依赖的记录、用户状态、请求等作本请求内批量核对与复用。总览的多次分页应复用同一轮读取，而不是每页重扫全库。主要目标是 59,502 / 26,359 条查询的放大链路；不能用去掉完整性、权限、撤回或未知状态校验换速度，也不跨请求缓存授权。
  2. P0：知识列表先分页，再批量取本页。 将当前根/权限范围内的排序分页下推，再批量载入本页条目、引用计数和分享范围；同一次请求复用已校验的根/当前版本，避免每条知识重读整份树。文件夹列表和选中详情也复用这套读取。优先覆盖默认主页和我的首页，再处理文件夹/详情。目标是让查询和取回正文的量由本页大小约束；收益须修正后重测，不预先承诺达到 300 ms。
  3. P1：成员、连接与工作流的公共元数据批量读取。 一次取得成员及其令牌、工作流分配，并在当前请求的多个图块中复用。工作流主页还有固定 12 次同形的 SELECT * FROM users ORDER BY created_at, id（12 个工作流各取一次），可收敛为一次。当前页面虽快，成员探针已证明增长；先消除这一按成员/工作流重复读取，再谈跨请求缓存。
  4. P2：静态资源缓存。 每页重复内联 53,786 字节 CSS，脚本为 24,113 或 28,896 字节，即 76.1–80.7 KiB 固定原始 HTML 载荷。可用内容摘要版本的同源 CSS/脚本资源和浏览器缓存，保留首屏主题脚本与严格 CSP；压缩传输是另一个选项。本轮没有测网络/FCP，因此这里只给可移出的字节上限，不把网络收益冒充已测 SSR 改善。所有页面均未触及 500 KiB，优先级低于前三项。

以上为观测与修正建议，未实施优化，未把建议的收益记为已经验证。只提交任务页；完整规模的时延、增长趋势和修正后的性能仍须分别复测。

精确复跑方法

在有相同既有依赖且 Node 24 在 PATH 的仓库目录执行；不安装依赖。将下方脚本保存为 $perf_root/repo/measure.ts 后运行。

perf_root=$(mktemp -d "${TMPDIR:-/tmp}/circle-hub-console-perf.XXXXXX")
mkdir "$perf_root/repo"
git archive 69c682162dd67dab09221f35c47562708293b64b | tar -x -C "$perf_root/repo"
ln -s "$(pwd)/node_modules" "$perf_root/repo/node_modules"
git rev-parse 69c682162dd67dab09221f35c47562708293b64b > "$perf_root/baseline.txt"
# Save the TypeScript below as "$perf_root/repo/measure.ts"
(cd "$perf_root/repo" && node measure.ts > ../measurement.log 2>&1)

文档检查 node --test --test-concurrency=2 ".github/checks/*.test.ts"：313 通过，0 失败、0 跳过，退出 0；git diff --check 通过。

正式执行 node measure.ts 退出 0；992 个测量/预热/成员探针 GET 全部满足各自断言，880 个正式样本没有少采或替换。Hub、MCP 客户端和临时数据库均由 finally 关闭。

脚本 SHA-256：eb35268a47be6c269cdefb6f6b8305ca1554d4f22a13a08912667392ef695dd4。输出 results/measurements.json 保存所有 20 次原始时间/查询/字节、SQL 形状计数、环境和成员增长探针；measurement.log 保存两规模逐种记录计数。先以 PERF_SMOKE=1 运行可检验 22 条 URL，此模式每页仅 1 次且只用 20 条知识，绝不混入正式统计。

完整测量脚本（临时副本专用） ```ts // Disposable measurement harness; never imported by product code. import assert from 'node:assert/strict'; import {Server} from 'node:http'; import {performance} from 'node:perf_hooks'; import {writeFile,readFile,mkdir} from 'node:fs/promises'; import {join} from 'node:path'; import {fileURLToPath} from 'node:url'; import {cpus,totalmem,platform,release,loadavg} from 'node:os'; import pg from 'pg'; import {parse} from 'parse5'; import {createTestHub} from './hub/server/testing-real.ts'; import {openConsole} from './tests/acceptance/support/console.ts'; import {connect} from './tests/acceptance/support/mcp.ts'; import {workflowPack,systemPack,writePack} from './hub/runs/packs/testing/builder.ts'; import {newId} from './hub/records/api.ts'; const output=new URL(process.env.PERF_SMOKE?'../smoke-results/':'../results/',import.meta.url);await mkdir(output,{recursive:true}); const stamp='2026-11-03T04:00:00.000Z'; let active:any=null,unscopedQueries=0;const measurements=new Map<string,any>(); const query=pg.Client.prototype.query,emit=Server.prototype.emit; (pg.Client.prototype as any).query=function(...args:any[]){const sql=typeof args[0]==='string'?args[0]:args[0]?.text??'';if(active){active.queries++;active.sql[sql]=(active.sql[sql]??0)+1;}else unscopedQueries++;return (query as any).apply(this,args);}; (Server.prototype as any).emit=function(event:string,...args:any[]){if(event==='request'&&args[0]?.headers['x-console-perf-id']){assert.equal(active,null);const req=args[0],res=args[1],id=req.headers['x-console-perf-id'],state={queries:0,sql:{},start:performance.now()};active=state;const end=res.end;res.end=function(...values:any[]){const result={ms:performance.now()-state.start,queries:state.queries,sql:state.sql,status:res.statusCode};measurements.set(id,result);active=null;return end.apply(this,values);};}return emit.call(this,event,...args);}; const hub=await createTestHub({repositoryPacks:false,stubs:false,mindmapSkill:false,workbookSkill:false,xmlSkill:false,htmlSkill:false,requireOsIsolation:false,now:()=>new Date(stamp)}); const clients:any[]=[];const all:any[]=[];let runId='',callDigest='',entry:any,source:any,circle=''; try{ const members=[hub.admin];for(let i=1;i<5;i++)members.push(await hub.createUser('合成容量测量成员 '+i)); for(const member of members)clients.push(await connect(hub,member.token)); for(let i=0;i<12;i++){ const pack=workflowPack({id:'synthetic-perf-'+i,title:'合成核对流程 '+i,product:{catalogs:[]}}); (pack.files['requirements.json'] as any).requirements=(pack.files['requirements.json'] as any).requirements.filter((r:any)=>r.key!=='level');(pack.files['slots.schema.json'] as any).run={}; pack.files['knowledge.json']={schema:'knowledge@1',requires:[]}; pack.files['functions/util.ts']='export function itemsOf(input){return input.inputs[0].model.items.map((item,i)=>({id:"item"+i,label:item.title,location:{parser:"json@1",selector:"p/items/"+i},fields:{title:item.title}}));}\n'; const written=await writePack(join(fileURLToPath(new URL('../fixtures/',import.meta.url)),'workflow'+i),pack);await hub.publishPack(written.dir);for(const member of members)await hub.assignPack(member.principal,pack.id); } const resources:any[]=[];for(let i=0;i<3;i++){const spec=systemPack({id:'synthetic-system-'+i});(spec.files['system.json'] as any).reads[0].external='synthetic'+i+':item';const p=await writePack(join(fileURLToPath(new URL('../fixtures/',import.meta.url)),'system'+i),spec);await hub.publishPack(p.dir);resources.push(await hub.addResource({system_pack:'synthetic-system-'+i,name:'合成只读系统 '+i,environment:'shared',origins:{api:'http://127.0.0.1:9'},settings:{}}));} for(let i=0;i<5;i++)await hub.records.variables.setSecrets(hub.admin.principal,[{name:'PERF_SECRET_'+i,value:'synthetic-only-measurement-value-'+i,consumers:[{definition:resources[0].id,item:'password',sends_to:'a'.repeat(64)}]}],'合成体检数据'); const spaces=hub.hub.knowledge.spaces!; for(const member of members){await spaces.directory(member.principal,'/方法');await spaces.grant(member.principal,{path:'/',audience:'administrators'});for(let i=0;i<5;i++)await hub.hub.knowledge.memory.write(member.principal,{title:'合成记忆 '+i,markdown:'合成偏好内容。'.repeat(30),path:'/偏好',expected_version:null,client_key:'perf-memory-'+i});} circle=(await hub.records.principals.tokens(members[1].user.id))[0].id; const teamGround=await hub.records.artifacts.ingest({bytes:Buffer.from('合成核对条款：验证请求的输入、权限和返回结果。'),mediaType:'text/plain',name:'合成团队依据.txt',origin:{read:{object:'synthetic:performance:source'}},author:{user:null},provenanceType:'observed',visibility:{readers:members.map(x=>x.user.id),admins:true,packs:[],shareable:false}}); const targets=[];for(const client of clients)targets.push(await client.upload(Buffer.from(JSON.stringify({items:Array.from({length:10},(_,i)=>({title:'合成检查 '+i}))})),'合成核对输入.json','application/json')); const counts={personal:0,team:0,originals:0,runs:0}; const add=async(size:number)=>{ const each=size/10; // 50/200 personal entries per member, plus 250/1000 team entries. for(let i=counts.personal;i<each;i++){ await Promise.all(members.map(async member=>{const saved=await spaces.write(member.principal,{kind:'observation',path:'/方法/组'+String(i%20).padStart(2,'0'),statement:`合成知识 ${member.user.name} ${i}：核对输入权限，保留证据并记录处理结果。${'核对输入是否完整，确认操作权限，逐项记录证据并检查结果。'.repeat(4)}`});if(member===members[0]&&i===0)entry=saved;})); if(i%25===0)console.log('seed personal',i); } counts.personal=each; for(let i=counts.team;i<size/2;i++){await spaces.write(hub.admin.principal,{kind:'observation',path:'/方法/组'+String(i%20).padStart(2,'0'),statement:`合成团队知识 ${i}：核对请求、输入、权限和返回结果。${'核对输入是否完整，确认操作权限，逐项记录证据并检查结果。'.repeat(4)}`,grounds:[{reference:'src:'+teamGround.body.sha256,quotation:'验证请求的输入、权限和返回结果'}]},null,'team');if(i%100===0)console.log('seed team',i);} counts.team=size/2; for(let i=counts.originals;i<size/20;i++)await Promise.all(members.map(async member=>{const file=await spaces.importFile(member.principal,Buffer.from(`合成原文 ${member.user.name} ${i}。`+'核对请求参数并保留验证结果。'.repeat(1600)),'text/plain',`合成原文 ${i}.txt`,'/方法/组'+String(i%20).padStart(2,'0'));if(member===members[0]&&i===0)source=file;})); counts.originals=size/20; for(let i=counts.runs;i<size/10;i++){const client=clients[i%5],started=await client.call('start_run',{pack:'synthetic-perf-'+i%12,inputs:{target:{reference:targets[i%5]}},client_key:'synthetic-perf-run-'+i});assert.equal(started.isError,false,started.text);runId=started.out.run!.run;if(i%4!==0){const submitted=await client.call('submit_result',{run:runId,model:'synthetic-scripted@1',items:started.out.run!.items.map((item:any)=>i%4===1?{item:item.id,handling:'skipped',reason:'合成夹具待人工核对'}:{item:item.id,handling:'handled',slots:{findings:[]}})});assert.ok(submitted.out.result,submitted.text);}await client.call('list_task_packs',{});if(i%25===0)console.log('seed runs',i);} counts.runs=size/10; }; const browser=await openConsole(hub,hub.admin.token); const sizes=(text:string)=>{let css=0,js=0;const walk=(node:any)=>{if(node.tagName==='style')css+=Buffer.byteLength(node.childNodes.map((n:any)=>n.value??'').join(''));if(node.tagName==='script'){assert.ok(!node.attrs.some((a:any)=>a.name==='src'),'unexpected external script');js+=Buffer.byteLength(node.childNodes.map((n:any)=>n.value??'').join(''));}if(node.tagName==='link')assert.ok(!node.attrs.some((a:any)=>a.name==='rel'&&a.value==='stylesheet'),'unexpected external stylesheet');for(const child of node.childNodes??[])walk(child);};walk(parse(text));return {html:Buffer.byteLength(text),css,js};}; const paths=async()=>{ callDigest=(await hub.records.callLog.query(hub.admin.principal,{limit:1})).items[0].digest; const mem=(await hub.hub.knowledge.memory.items(hub.admin.principal,'personal'))[0]; return [ ['总览','主页','/console/overview'],['任务','主页','/console/runs'],['知识库','主页','/console/knowledge'],['工作流','主页','/console/packs'],['连接','主页','/console/connections'],['记录','主页','/console/records'],['团队','主页','/console/team'],['设置','主页','/console/settings'], ['任务','任务详情','/console/runs/'+runId],['知识库','我的首页','/console/knowledge?scope=personal'],['知识库','文件夹','/console/knowledge/space?'+new URLSearchParams({space:hub.admin.user.id,path:'/方法/组00'})],['知识库','条目详情','/console/knowledge/space?'+new URLSearchParams({space:hub.admin.user.id,path:'/方法/组00',entry:entry.entry})],['知识库','打开原文','/console/knowledge/source?sha256='+source.body.sha256],['知识库','记忆列表','/console/knowledge?view=memory&scope=personal'],['知识库','记忆详情','/console/knowledge?'+new URLSearchParams({view:'memory',scope:'personal',document:mem.document})],['工作流','流程详情','/console/packs/synthetic-perf-0'],['连接','系统详情','/console/connections?system='+resources[0].id],['连接','Circle 详情','/console/connections?circle='+circle],['记录','调用详情','/console/records?call='+callDigest],['团队','成员详情','/console/team/'+members[1].user.id],['团队','Circle 详情','/console/team?circle='+circle],['设置','凭据详情','/console/settings?secret=PERF_SECRET_0'] ]; }; for(const size of (process.env.PERF_SMOKE?[20]:[500,2000])){ await add(size);const before=unscopedQueries;await new Promise(r=>setTimeout(r,1100));assert.equal(unscopedQueries,before,'background SQL would invalidate attribution'); const diagnostics=new pg.Client({...hub.records.database,password:async()=>hub.records.database.password??'',ssl:false});await diagnostics.connect();const pgVersion=(await diagnostics.query('SHOW server_version')).rows[0].server_version;active={queries:0,sql:{}};await diagnostics.query('SELECT 1');assert.equal(active.queries,1,'one physical SQL statement must count once');active=null;const recordCounts=Object.fromEntries((await diagnostics.query('SELECT kind,count(*)::int AS count FROM records GROUP BY kind ORDER BY kind')).rows.map(r=>[r.kind,r.count]));await diagnostics.end(); console.log('dataset',size,JSON.stringify(recordCounts)); for(const [area,name,path]of await paths()){ const watermark=await hub.records.store.watermark!(),rows:any[]=[]; for(let i=process.env.PERF_SMOKE?0:-2;i<(process.env.PERF_SMOKE?1:20);i++){ const id=encodeURIComponent(size+':'+area+':'+name+':'+i);const reply=await browser.send(path,{headers:{'x-console-perf-id':id}}),measured=measurements.get(id);assert.ok(measured);assert.equal(reply.status,200,path+' '+reply.body.slice(0,200));assert.doesNotMatch(reply.body,/该内容不存在或无权查看|Hub 内部错误|请求参数不对/);if(i>=0)rows.push({...measured,...sizes(reply.body)}); } assert.equal(await hub.records.store.watermark!(),watermark,'measured GETs must not append records'); const ordered=rows.map(r=>r.ms).sort((a,b)=>a-b),row={size,area,name,path,p50:ordered[Math.ceil(ordered.length*.5)-1],p95:ordered[Math.ceil(ordered.length*.95)-1],queries:[Math.min(...rows.map(r=>r.queries)),Math.max(...rows.map(r=>r.queries))],bytes:{html:[Math.min(...rows.map(r=>r.html)),Math.max(...rows.map(r=>r.html))],css:rows[0].css,js:rows[0].js},topSQL:Object.entries(rows[0].sql).sort((a:any,b:any)=>b[1]-a[1]).slice(0,10),rows};all.push(row);console.log('measured',size,area,name,Math.round(row.p50),Math.round(row.p95),row.queries,row.bytes.html);await writeFile(new URL('measurements.json',output),JSON.stringify({baseline:(await readFile(new URL('../baseline.txt',import.meta.url),'utf8')).trim(),node:process.version,postgres:pgVersion,machine:{platform:platform(),release:release(),cpu:cpus()[0].model,cores:cpus().length,memory:totalmem(),load:loadavg()},recordCounts,size,all},null,2)); } } if(!process.env.PERF_SMOKE){ for(let i=5;i<20;i++)await hub.createUser('合成成员扩展 '+i); const growth=[]; for(const [area,name,path]of (await paths()).filter(row=>row[1]==='主页')){ const rows=[];for(let i=0;i<3;i++){const id=encodeURIComponent('members20:'+area+':'+i),reply=await browser.send(path,{headers:{'x-console-perf-id':id}});assert.equal(reply.status,200);rows.push({...measurements.get(id),...sizes(reply.body)});} const result={area,name,path,queries:[Math.min(...rows.map(r=>r.queries)),Math.max(...rows.map(r=>r.queries))],html:Math.max(...rows.map(r=>r.html)),topSQL:Object.entries(rows[0].sql).sort((a:any,b:any)=>b[1]-a[1]).slice(0,10)};growth.push(result);console.log('member growth',JSON.stringify(result)); } const file=new URL('measurements.json',output),saved=JSON.parse(await readFile(file,'utf8'));saved.memberGrowth=growth;await writeFile(file,JSON.stringify(saved,null,2)); } }finally{for(const client of clients)await client.close();await hub.close();(pg.Client.prototype as any).query=query;(Server.prototype as any).emit=emit;} ``` </details> ## 第五块提案与合约申请（Codex 2026-11-03，待 Claude 决定） 来源：Claude 在同步集成 eef4ca12 获批、PR #137 建立后，将本工作树交接给 Codex，要求成员删除先报方案；个人工作流／技能归属及本块合约变更均须先确认。本节只提出方案，不把建议记成所有者决定。 ### A. 基线与合并顺序 - 已读本页实施方案、Claude 审查、前四块实现和复审记录；接手时 kw-finish-local 干净，HEAD 为 8ee33550，模型 28，迁移到 13。先将这一完整旧基线保留为 kw-finish-pre-sync。 - 按本轮“先报告提案”的交付顺序，本次只提交本节，不先改模型、生成物、生产代码或迁移。变基与合并生成已获本轮授权，不另请求权限；本次尚未执行，后续按已授权的步骤变基到 kw-sync-local eef4ca12，保留署名、归档、停用、容量与同步全部规则，再从合并模型重新生成；不手工拼接生成物。同步模型为 26，重放本分支四次语义变更预计依次成为 27～30，本块再升 31；实际重放如需不同编号先说明，不改既有记录版本或已发布技能字节。 - 同步基线实际已含迁移 18（personal_sync_mode），故新增迁移从 19 起；“追加到 17 之后”不解释成覆盖已有 18。14、15 及其余已有 SQL／序号全部保持原样。新增所有者函数固定限定类型和 search_path，并拒绝运行角色的 TEMPORARY 权限；运行角色不获绕开只追加保护的 UPDATE／DELETE 权限。 - 合并还须核对前四块新增的账号提交锁、精确用量账本与同步事务衔接，不能用同步旧计数覆盖容量修复，也不能因停用锁而让清除产生反向锁等待。沿用当前业务锁到账号提交检查的顺序，管理员集合的变更串行，测试实际并发阻塞与回滚，不靠进程队列推断。 ### B. 待决定：私人工作流与通用技能归属（建议） 1. **私人版本仍属本人，删除不自动转给管理员或团队。** 清除本人版本正文、文件清单、源码／样例／报告、原件与个人安装／提取缓存，以及分享资格；仅隐藏列表、下架或改所有者都不算清除。不得因管理员具有管理权限而默认继承私人包。 2. **已通过明确发布流程取得的团队版本保留。** 必须是删除前已经独立持有、经过原验证和发布规则的精确团队版本；“曾分享给某人／全体管理员”、同名、同摘要或曾被引用不等于转归团队。依赖关系不能自动换成另一个同名技能。 3. **既有运行的独立冻结副本按原运行权限保留。** 仅保留已冻结运行实际需要的精确包及依赖闭包，供原运行内部评估和已有授权读取；不授予管理员新读权，不用于新运行、新发布或重新分享。删除不能事后把一份原来没有合法冻结关系的私人文件变成运行副本；无法建立精确保留依据时预检明确阻止，不能静默复制后声称已清除。其行为须与现有 B03 的冻结运行规则及 run-held 原文保留一致。 4. **只依赖被清除私人版本的部分失去资格。** 新运行和新发布拒绝；知识的当前验证投影按实际私人来源缺失显示“待验证”，不改历史验收回执为失败。团队记忆仍按会话偏好规则保留，不给记忆新造事实验证状态。 5. 私人包也使用同一可清除载荷存储与清除器。删除的包清理范围作为明确的管理操作范围接入该清除器；切换“仅保存在本机”仍保留决定 138 的“不因同步清单而卸载个人包”语义，不因本块顺带改变本机方式的包归属或计费。若这需要扩展现有存储分类／内部范围参数，纳入本块合约和新迁移审查，不另写第二套清除器。 本节 1～5 是一组推荐规则，等待 Claude 决定后才实现私人包的删除与独立运行持有者支持。 ### C. 删除执行与清除边界 - 入口沿用决定 122：管理员成员 Inspector 提供“删除成员…”及影响预检 Dialog，实际执行为 circle-hub user delete 管理员命令和追加审计；不开新的网页直接删除接口、不增 MCP 工具。预检只读，返回实际个人知识／原文／记忆／署名／归档／同步／私人包范围、失效分享及保留的团队／运行副本；确认时核对同一目标、代次、期望状态和操作键。 - records 提供管理员删除协调端口，重新验证真实操作者、目标与最后一名启用管理员保护；不伪造目标 Principal 调用“本人清除”。目标可以已停用。目标个人写入、同步、署名、分享和私人包提交与删除在数据库边界形成确定顺序；权限失效后的排队请求不能再提交。 - 复用 personalPayloads、对象独立持有者保护、旧全局对象退休和同一个 purge 核心。范围包含私人知识／文件夹／原文／引文／记忆及历史、搜索／解析／记忆投影、同步对象／暂存／会话及清单，**补上 knowledge_source_attribution 及全部私人 knowledge_space_source 归档登记和其精确私人采集**。普通上传另有合法运行声明、团队或其他账户独立持有时仅去除该成员私人关联，不清除别人的对象；不得按全库 sha256 直接删除。 - 把此前未纳入分类的私人署名正文及获批的私人包正文移入同一可清除载荷。已有内联数据转换仅由新迁移的表所有者一次性执行，限定版本／种类／归属／原逻辑摘要，运行角色不能启用例外。新迁移不能重开迁移 14 的转换豁免或更改旧逻辑记录摘要。 - 身份采用不可恢复墓碑，保留稳定账户 ID 和必要身份审计，删除后不再是可 enable 的停用账户。密码登录、控制台会话、Circle/OAuth 令牌、刷新／授权流程、邀请、密码重置、重新启用、角色修改及本机方式恢复均检查墓碑；旧代次、操作回执、上传批次、游标或缓存不能建立新空间。同名新账户也不得继承旧 ID／代次。身份历史不是知识正文；本块不承诺抹除旧身份快照或离线备份。 - 团队知识、记忆及独立原件保留，作者／上传人／分享人统一按墓碑显示生成标签“已删除的成员”。私人证明或原件确已消失的依赖才转为当前“待验证”；已取得完整独立团队原件和合法署名凭据的内容不因原成员删除无故降级。既有不可变正文、摘要、出处及历史回执不重写。 - 清除准备和物理退休过程须可恢复；有未完成步骤时账户保持不可写／不可认证，命令报告实际未完成状态，不报删除完成。最终墓碑、凭据失效、代次封闭、清除及完成回执须具有一致的提交边界；同操作键重试返回既有结果，不能清除新账户。失败／重启／磁盘移除故障均有回归，不能以页面不可见替代数据库和对象字节的实际清除。 ### D. 待批准的最小合约清单 | 项目 | 拟变更与边界 | | --- | --- | | R01、K01／K02、个人包归属规则 | 登记永久删除、不可恢复墓碑、最后启用管理员保护、同一 purge、独立持有者保留及当前依赖待验证；私人包部分按 B 节决定落地。停用／恢复的已批准含义不改。 | | 账号显示轴与端口形状 | account_status 增加 deleted，label／ui 为“已删除的成员”；User／UserChange 增加可兼容旧记录的删除时间字段。deleted 必须同时不可认证；不添加角色。静态按钮和后果说明仍留控制台。 | | 删除完成记录 | 建议新增 member_deletion／member-deletion@1：严格保存 operation_id、member、by、at、被封闭 epoch、purge_manifest 摘要和按批准范围的数量。manifest 是所清除对象／记录的摘要集合之规范摘要；审计不含知识正文、路径、标题、原文、引文、凭据或客户端说明，也不复制一份私人清单正文到全局记录。仅批准的管理员审计入口可读，任意 rec: 不开放。内部恢复进度不扩充 MCP。 | | 团队署名独立凭据 | 建议新增 knowledge_team_source_attribution／knowledge-team-source-attribution@1，严格绑定 team_source、declaration、uploader、declared_at、artifact、sha256 及本次保存操作者／时间。仅服务端在成功团队分享时或清除前核对原完整声明链后追加，按精确团队原件读取；不含原私人路径、文件名或原文。保留 declared 性质，不变成观察事实。旧的私人 knowledge_source_attribution 形状和 space === by 保持；它仍清除，不能为了团队显示把私人声明整体排除在 purge 外。 | | 私人载荷归属分类 | 增加 knowledge_source_attribution；归档仍用现有 knowledge_space_source，没有另造 archive 记录。私人包版本／分享／退役、文件采集及缓存归属按 B 节审批后列入同一分类与持有者规则；团队记录不进入私人清除。 | | 验证、拒收和兼容 | 当前状态复用 knowledge_entry_status.unverified 的“待验证”，不把未知变失败；MCP 仍六工具，HTTP 同步形状及共享 v1 样例不变。暂不申请新拒收码：沿用不可读、冲突和现有管理员／参数错误边界；若实现确需新码先另报，不能临时造词。 | | 生成与版本 | 批准后按 A 节重放版本并新增本块版本，从模型／Schema 注册生成全部合约。新种类导致四份通用技能协议镜像变化时，仅同步生成镜像和清单补丁版本，用 repositorySkillVersion 取当前版本，不改技能业务代码。 | 团队独立署名凭据是必要衔接：前四块的 #validatedAttribution 仍要求读取私人署名、私人来源登记和原私人采集；直接清除它们会让已有团队署名失去证明。不能用保留整份私人记录、放宽验证或只有界面改名来绕过。本提案选择独立且不含私人正文的团队凭据；无有效旧证明时不补造凭据，按真实缺口处理。 ### E. 批准后的实施与验证 1. 本地变基／合约再生成及前四块加同步的受影响回归，单独提交，保留旧分支与原失败记录。 2. 获批合约、墓碑及同一清除器的管理员协调／署名归档范围／持有者准备，新迁移追加；独立提交并运行 records、所有者函数、防篡改、运行角色 TEMP、迁移固定值、旧库转换及备份恢复回归。 3. 按 B 节决定接私人包和既有运行持有者、团队署名凭据与当前依赖状态，独立提交；再接管理员命令、预检 Dialog、墓碑显示与错误／重试说明。 4. 每步跑类型、合约、受影响测试；配置新增才登记平台。必含 environment、diagnostics、PG 18 ownership、lock-namespaces；更改 migrations.ts 加 migrations.snapshot，输入绑定加 diagnostics。运行／来源边界变更按既有要求跑全部 packs/workflow 与 hub/runs/engine；验收覆盖 12、46～53 及新增成员删除场景，不额外全量回归。 5. 明确回归署名和四类归档的实际载荷清除、团队精确副本和同字节不同持有者不受损、永久墓碑／旧令牌／OAuth／会话／旧代次／旧回执／同名新账户、最后管理员并发、自删和已停用成员、等待锁的写入／分享／署名／同步、物理清除失败与重启恢复、私人包依赖及冻结运行。同步与本机方式走相同清除核心的证明不能只检查函数名或页面。 6. 控制台按共享组件、生成用语及“正在／等待”规则，深浅主题和 1440／1024／390px 核对预检／确认／失败／完成与团队墓碑。截图必须核对实际 HTTP 和内容，不能把错误页当成功。用量沿用已批准逻辑账本，不能借本块悄悄扩大私人包计费。 本次只提交提案和旧基线备份；未执行变基、模型修改、迁移或成员删除，也未运行功能测试。文档检查与差异检查在提交前记录；所有实现及本机合成验证仍待上述决定。 本提案检查：`node --test --test-concurrency=2 ".github/checks/*.test.ts"`，313 通过、0 失败、0 跳过，退出 0；`git diff --check` 通过。只改本任务页，未运行类型、功能、迁移、清除或截图验证，不将前四块或同步分支的既有通过结果冒充本块结果。 ## 第五块批准与实施记录（Codex 2026-11-03） 来源：Claude 在本轮回复中批准 d437875f 的 B 节 1～5、D 节全部合约及 E 节顺序；要求第 2 步后报告，再继续第 3～6 步。批准内容采用永久删除私人版本、保留明确团队发布及既有合法冻结副本、同一清除器的规则；无需另等私人包归属或本节合约批准。迁移从 19 起，14、15 冻结；不增加运行角色 UPDATE／DELETE 授权。此处记录转达来源，不把协调者的话改记成所有者原话。 ### 第 1 步：同步集成 做了的： - kw-finish-pre-sync 保留旧基线 8ee33550，kw-finish-proposal-pre-sync 另保留含原提案的 d437875f；将前四块及提案重放到 kw-sync-local eef4ca12。主检出与同步工作树均未切换。四次合约语义重放后模型为 30，重新运行生成器，不手工合并生成物；通用技能只同步协议镜像与清单，html/mindmap 1.0.14、xml/workbook 1.0.15，无技能业务变更。 - 保留同步代次边界、清除后的依据投影、原文定位／归档及停用提交锁。精确逻辑账本移至 records 的公共端口；同步准入与容量页复用同一核算，包含暂存、客户名称、操作说明等原有同步费用，不再使用旧累计值。没有增加私人包费用。 - 原文准入在估算时包含代次字段；归档及署名也冻结入场代次，排队请求不能越过清除／重新开启进入新空间。个人归档上传副本使用可清除载荷。同步投影保留实际账户提交检查。 - 旧容量夹具的树改用临时私人载荷；归档损坏验收改为在临时数据库中模拟所有者离线损坏并恢复约束，继续核对真实 HTTP 500，不把移除全局文件后的 ENOENT 当作产品故障。先提交写入、后降低容量的并发测试改在实际提交锁上等待，区别于入场时短事务。 - 迁移文件与 eef4ca12 一致，没有改任何 SQL／序号。一次重放解决冲突时发现模型数组合并不完整，已中止该次变基并重新执行；最终历史不含该次中间结果。保留原失败与修正结果如下。 验证： - 首轮烟测 43 项：36 通过、7 失败、0 跳过；失败为旧全局树夹具、原文估算漏字段、并发夹具停在入场锁及损坏测试仍改全局文件。随后一轮 29 项：28 通过、1 失败，损坏夹具被数据库摘要约束正确拦截；改为临时所有者离线损坏后恢复约束。 - 最终容量、同步提交、归档烟测：`node --test --test-concurrency=1 hub/knowledge/capacity.test.ts hub/knowledge/personal-sync/commit.test.ts tests/acceptance/51-source-archive.test.ts`，30 通过、0 失败、0 跳过，退出 0；含 3 项新集成回归。 - `node node_modules/typescript/bin/tsc --noEmit`、`node tools/gen-contracts.ts --check`、`git diff --check` 通过。生成器确认 177 个文件一致。 - 同步基线已批准的显示值为“已清除的私人文件夹”，继承测试仍断言“个人文件夹”；只同步该断言，`node --test contracts/src/vocab-axes.test.ts`，9 通过、0 失败、0 跳过，退出 0。 - 其余变基受影响组：全部 `hub/runs/engine/**/*.test.ts`、`packs/workflow/**/*.test.ts`、`contracts/src/*.test.ts`，以及 environment、PG 18 ownership、lock-namespaces、diagnostics、migrations.snapshot、member-freeze、console-sync-local、console-sync-design 和验收 12、46～50、52～53，统一 `node --test --test-concurrency=1`，并设 `CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin`。3230 项，3228 通过、2 失败、0 跳过，退出 1；两处为上述旧显示断言及原容量错误处理的字段数组触发词表静态检查。字段改为受 `CapacityUsage` 约束的结构键表，不手写知识视图轴，也不改测试规则。原词表检查以 `--test-name-pattern='uses generated axes'` 重跑，1 通过、0 失败、0 跳过；容量展示测试 2 通过、0 失败、0 跳过。未重复整个大组，不把首轮记为全绿。 - `node --test --test-concurrency=2 ".github/checks/*.test.ts"`：315 通过、0 失败、0 跳过，退出 0。所有列出的通过均为本工作树本轮实际执行；没有运行全量 unit／acceptance、来源工具检查、生产部署或真实系统验证。来源工具没有变动，因而未运行 verify:references／test:references；删除、私人包清除与新迁移测试属于后续步骤，尚未运行。 ### 第 2 步：获批合约、墓碑与清除协调 做了的： - 模型 31 按本轮批准增加 account_status.deleted（已删除的成员）、member_deletion 与 knowledge_team_source_attribution；后两种记录为严格封闭形状，只保存批准的身份／时间／摘要／数量，不接收私人路径、标题、正文、引文或凭据。User／UserChange 的 deleted_at 可兼容旧快照。没有增加拒收码；生成器输出 179 个文件。通用技能镜像只含拒收码，本步没有对应字节变化，因此四个技能不再升版。 - 迁移 19 只追加新 SQL；14、15 及其余既有迁移 SQL 不变。审读新增的表、身份约束、转换窗口、绑定验证器、墓碑及作用域触发器与所有者函数，更新 migrations.snapshot 的整文件固定值；保留原逐迁移固定值。新表 member_deletion_intents 只向运行角色授予 SELECT；新增所有者函数全部限定类型，search_path 以 pg_temp 收尾，没有增加 UPDATE／DELETE 权限。 - 署名记录纳入现有私人载荷分类，归档登记仍属已有 knowledge_space_source。一次性转换只限未登记 19 时的真实表所有者会话和 knowledge_source_attribution；只能替换正文为带原摘要／正文摘要／归属／代次／证明的胶囊，其他列不变。运行角色即使设置转换开关、伪造临时系统表也不能使用；迁移登记后表所有者也不能重新开启。旧声明按原文登记的旧代次归属，已经清除的代次立即去掉载荷，不能因之后重新同步而复活。 - 删除端口 preview／prepare／finish／status 使用真实管理员身份。按空间业务锁、共用管理员集合锁、账户行锁提交；最后一名启用管理员不可删除，目标可以已停用。排队预检在取得实际事务后复核管理员，不能用已失效的初次检查读取私人统计。 - prepare 保存摘要清单与计数、不可恢复的 deleted_at 墓碑，清除口令散列并撤销令牌；不可再启用、改角色或重置口令。旧控制台会话、邀请、令牌和同步代次不能恢复该身份。用户名仅在未删除账户间唯一，旧身份与历史名称保留；同名新账户取得新 ID，不继承旧空间或凭据。 - finish 复用现有对象物理退休及 hub_purge_personal，未假冒目标 Principal。存储清理失败时保留不可写／不可认证墓碑和摘要进度，不追加完成记录；相同操作可重试。最终清除与完成记录在同一事务提交；自删只能继续已授权的同一操作，不能授权新删除。既有合法独立持有者保护继续由同一个清除器负责。 - 新完成审计与团队署名凭据均拒绝任意 rec: 读取，管理员也走单独的摘要进度端口。尚未纳入可清除存储的私人包／原文会阻止预检和所有者函数，不允许先报告完成再补清理。私人包、归档采集及独立团队／运行持有者的完整接入仍属于第 3 步；本步没有提供控制台或命令行删除入口。 验证： - 新删除基础回归首轮：4 通过、0 失败、0 跳过；旧库转换及闭合形状首轮 3 通过、0 失败、0 跳过。生成器首次拒绝与 label 重复的 ui 字段，移除冗余 ui 后生成成功，用语未变。 - records 全部测试、contracts/src 全部测试、environment、PG 18 ownership、diagnostics、readers-sharing：`node --test --test-concurrency=1`，654 项，653 通过、1 失败、0 跳过，退出 1。失败是同步旧夹具用不完整且未登记索引的记录，加上 321／123 的旧累计字段直接期待 444；与第四块已批准的按真实记录字节重新计量相冲突。改成完整合成树、知识／记忆记录及索引，用明确输入的序列化字节数作期望，继续要求两组并发暂存最多受理一组，没有放宽容量规则。 - 修正后的删除、旧库转换、同步、definer、防迁移改写、锁命名与署名组：27 通过、0 失败、0 跳过。随后加入未准备原文的拒绝保护并重跑删除／转换／definer／migrations.snapshot／PG 18 ownership／environment／lock-namespaces／diagnostics／readers-sharing：32 通过、0 失败、0 跳过。上述 PG 组均实际设置 `CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin`，包含备份、销毁、恢复及运行角色防篡改，没有跳过。 - 新窗口回归在登记迁移前实测：临时伪造 pg_class／schema_migrations 的运行角色更新被拒绝，所有者改其他列也被拒绝，只有精确原摘要胶囊替换获准；事务回滚后正常升级逐行保持原逻辑摘要。补用非规范但合法的旧 JSON 正文验证字节不重写：2 通过、0 失败、0 跳过。 - 最后的预检权限／审计隔离组（含排队管理员停用后拒绝、并发自删、未准备原文拒绝及管理员任意 rec: 不可读）：12 通过、0 失败、0 跳过，退出 0。`node node_modules/typescript/bin/tsc --noEmit`、`node tools/gen-contracts.ts --check`（179 文件）及 `git diff --check` 通过；文档检查 315 通过、0 失败、0 跳过，退出 0。不重复已通过的大组；未跑全量 unit／acceptance、真实系统验证或部署。第 3 步新增私人包、团队凭据及冻结运行边界后，再跑全部受影响工作流／引擎与验收；来源工具未改，verify:references／test:references 未运行。 ### 第 3 步：私人包、原文持有者与团队署名衔接 做了的： - 新迁移 20 在同一 personal_payloads 中增加不参与知识同步的账户代次，接入私人工作流／技能版本、授权／退役／转发、文件与普通私人采集。切回本机方式保留安装，删除成员才用同一 purge 核心清除两种范围。普通上传逻辑正文与摘要不加字段，不改变运行内声明；独立团队／其他成员的同字节原件不按哈希连带清除。 - 旧内联私人包与普通采集只由未登记 20 时的真实所有者转换为胶囊，元数据与原逻辑摘要不变。物理原件完整转移后才退休旧文件；运行角色不能重开转换窗口，不增加 UPDATE／DELETE 权限。14、15、19 的既有 SQL 不改，源文件固定摘要随追加 20 审查更新。 - 从实际运行的精确 namespace／digest／skills 闭包保存冻结包及文件，从实际来源关联保存运行／团队独立原件。保留不产生新 ACL，也不允许新运行、新授权或新发布继承已删除的私人版本。包发布提取与读取提取持有账户行锁，删除等待已有提取结束后清理无独立持有者的只读缓存及私人名称／业务对象索引；保留哈希索引供合法冻结读取。 - 本机方式与删除都在清除前核对完整私人署名、登记、采集及精确团队副本，追加不含私人路径、名称、正文的团队凭据。团队来源继续可核对署名；伪造、不完整、同字节不同采集不补造凭据。私人观察归档使用同一范围内的原件副本。 - 既有冻结普通上传按原运行声明核对，不因上传者已删除而否定该次声明；新绑定仍检查当前账户。缺失私人依据沿用当前“待验证”投影，不改旧判定。 验证（本步与后续定向组分开记录）： - 初始 records 小组 13 项中 2 失败：触发器误访问另一表的 OLD.key；旧库模拟夹具通过现行接口写入，已被新的原件完整性边界正确拒绝。修复触发器的表分支、改用所有者原始旧行模拟后，同组 13 通过、0 跳过。 - 署名／purge／署名升级组 8 通过；新增清除及原文归档、私人包组 22 通过；冻结包、停用、新运行能力、读取权限及索引计划最终组 17 通过，均 0 失败、0 跳过。 - 冻结组首轮 7 项有 4 失败：缓存查询列名错误及旧引擎夹具仅投影个人包却未登记实际文件；随后一轮发生夹具 TS 参数属性语法错误，再一轮发现限定 PG 类型应写 int8 而非 bigint。均已修正；引擎夹具现在登记同一合成包的真实精确文件，原期望与生产判定未改。最终 17 项如上通过。 - 原文视图性能／固定输出检查通过，未改期望摘要。新增旧安装升级测试首轮因合成 skill 清单漏 skill.json 失败，补齐合约要求的夹具；其复核及 records／knowledge／全部工作流与引擎、平台指定检查的大组正在执行，完成结果续记，不计作已通过。 - `node node_modules/typescript/bin/tsc --noEmit` 与 `node tools/gen-contracts.ts --check` 通过（179 个文件）；环境未在 PATH 提供 npm，用同一脚本入口执行。未做全量 unit／acceptance；命令／控制台及新增验收属于后续提交。 #### 第 3 步补充：冻结上传声明与发布前缓存 扩展组实际返回 3790 项：3320 通过、336 失败、134 取消、0 跳过；这不是通过。前五个实际边界／夹具失败包括普通上传声明、独立私人包／组合／运行持有者和旧运行角色夹具；其余大批失败包含运行中追加的迁移 21 尚未修正的限定 substring SQL 语法，导致后续文件建库失败。运行期间改动迁移使这一轮不再对应稳定源码，是本轮验证操作失误；最终将在稳定提交上完整重跑同一定向组，保留这轮结果。 修正与新增回归： - 迁移 21 保存 Hub 在运行创建时核对的精确普通上传声明，包含实际运行、采集及上传账户。已有运行读者只使用该份冻结证明；不能仅提交 upload_declaration 字段就把此前已属私人知识的另一采集借给读者。旧记录仅按原记录顺序和可核对的精确身份补证，不因之后删除而借同哈希采集造证明。新绑定仍按当前读权检查。 - 既有评审过的 storage graph 中，精确非私人持有者也独立保留采集正文／字节，纯文本提及仍不是持有。私人安装／组合／运行持有者测试改为验证新胶囊归属及真实独立字节；未把存储从全局文件迁至可清除／独立 PostgreSQL 载荷误判为丢失。旧私人包夹具补齐必需的清单、skill.json 和摘要，不放宽生产合约。运行角色胶囊篡改探针改用明确共享给管理员的真正全局上传，仍要求篡改被拒绝。 - 发布前持有的暂存目录先提交仅含成员和包摘要的归属登记，再持有账户行锁写入；因此未发布／失败或进程退出的残留也在同一清理范围，删除会真实等待正在写入的暂存。登记进入预检摘要，不增加私人包容量计费，不增加 UPDATE／DELETE 授权。 - `holdPack` 与对象读取沿同一事务，避免连接池容量较小时嵌套借连接。删除仍不为管理员建立私人命名空间继承。 复核中保留的失败：限定 substring 的 FROM 语法导致 4 项小组 2 失败，改用限定函数的逗号参数；独立组合同时合法持有全局字节，纠正探针错误的“文件必不存在”断言；新 HTTP 探针实测只读 API 的 POST 为 405，按实际无执行的协议断言；新增缓存并发探针原先仅观察停用的 SQL，现显式观察删除的 FOR UPDATE。生产拒收／旧结果期望未改。 已通过的复核：署名／purge／升级 8 项；来源归档／新删除／私人包 22 项；冻结／能力／读权组 17 项；所有者函数与独立持有者及新 HTTP 组 12 项；缓存边界及固定迁移 6 项；命令／控制台组 44 项，均无跳过。文档检查 315 通过。最终完整定向组与验收结果后续续记。 ### 第 4 步：管理员命令、只读预检与身份墓碑 - `user delete` 仅接受稳定成员编号。默认／dry-run 只读检查，显示数量及绑定 state／epoch／operation-id 的确认命令；确认才封闭账户并清除。范围变化拒绝旧命令，已封闭的同一操作可由仍启用管理员重试并返回原完成记录。检查和结果 JSON 没有私人正文、名称、路径或凭据；最后启用管理员保护沿用原端口。 - 团队 Inspector 使用既有 AppShell、Inspector、Dialog 和只读 GET 预检，确认页面只给实际管理员命令，没有删除 POST、MCP 工具或命令桥动作。已封闭未完成显示“等待清除中”及同操作重试，完成才显示私人内容已清除。墓碑页面隐藏启用、重置、发布权、容量和令牌操作；直接容量写入也拒绝已删除身份。 - 团队内容的成员显示统一经生成 account_status.deleted，旧记录的身份与历史字节不改。界面采用“私人”用语，记录轴仍按记录用语。同步的 410c9c44 词表测试将在下一次变基合入，分别核对 labelOf 与 uiLabelOf。 验证：`node --test --test-concurrency=1 hub/server/cli.test.ts hub/server/console.test.ts hub/server/console-api-write.test.ts hub/server/console/member-deletion.test.ts`，44 通过、0 失败、0 跳过；`tsc --noEmit` 与生成一致性 179 文件通过。PG 18 所有者、环境、锁、diagnostics、迁移和升级指定组正在执行，结果续记。未跑全量 unit／acceptance，截图与新验收尚待第 5～6 步。 第 4 步补充核对：指定 PG 18／environment／ownership／lock-namespaces／diagnostics／迁移及升级组 23 通过、0 跳过；读取 API 和新增删除页面组 8 通过、0 跳过，成员状态同时返回生成代码和界面标签。已将本分支变基到 kw-sync-local 410c9c44，保留 kw-finish-before-sync-test；唯一冲突保留 labelOf 的“个人”及 uiLabelOf 的“私人”两项断言。变基后重新生成：179 文件一致，无生成差异。 ### 第 5 步：端到端清除、旧持有者与预检竞争回归 - 新增验收 54，真实密码控制台／MCP／OAuth 与临时 PostgreSQL 验证私人知识、归档、署名、记忆历史、同步暂存、同名新身份及旧凭据失效，团队和其他成员的独立原件与署名保持可读。真实关闭／重新打开 records 后恢复同一失败操作，不重复完成记录。实际冻结私人工作流在删除后仍能完成既有运行，新运行拒绝。 - 新迁移 22 只增加精确旧冻结持有者核对；不能证明旧运行所需精确包／依赖时，预检和所有者删除函数均阻止，不凭当前版本补造副本。追加 SQL 后审读并更新源文件固定摘要，既有迁移未改。分享和独立持有者变化进入预检 state，即使私人数量和清除摘要不变也拒绝旧确认；清除凭据仍只含实际被清除范围的摘要和数量。 - 私人观察归档沿用原采集时间，保存原件不伪装成再次读取；删除署名显示不叠加“已停用”。团队署名核对复用 ObjectStore 已有完整性边界，不增加重复 SHA 校验。确认影响说明明确私人工作流／通用技能、新运行资格、待验证、凭据代次和本机副本。 验证： - 稳定源码完整定向组：records、knowledge、runs/engine、runs/packs、全部 packs/workflow，以及 environment、PG 18 ownership、diagnostics、词表测试，使用 node --test --test-concurrency=4、HUB_UNIT_CONCURRENCY=4 和 CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin。3800 项：3798 通过、2 失败、0 取消、0 跳过，退出 1，不能记为全绿。一处旧 pre-17 夹具只关闭旧持有者触发器，新增存储图仍保留原件；夹具补成同时模拟两个旧触发器缺失，原期望未改，整文件及真实重启组 5 项通过。另一处未改动的 case-review project 纯函数在并发负载下耗时 3289.983 ms 超过原 3000 ms 限制；未改生产代码或阈值，原文件独立执行 49 项全部通过、0 跳过（整文件约 792 ms）。 - 额外知识私人依据／冻结运行 5 项、观察归档 9 项、迁移 22 与所有者／PG 18／环境／诊断等指定组 32 项、旧冻结缺失／持有者竞争／知识与引擎组 13 项均通过，0 失败、0 跳过。旧冻结缺失探针先实测原实现未拒绝，再由新迁移修复。 - 受影响验收 12、46～54：node --test --test-concurrency=1，51 通过、0 失败、0 取消、0 跳过，退出 0。实际使用 macOS 沙箱，未弱化判定。没有运行全量 unit／acceptance，也没有部署或真实业务系统操作。后续独立复核补充与最终页面核对另记。 #### 第 5 步独立复核补充（Claude 转达，2026-11-03） Claude 对原提交 20e37368／2b549f3d 的独立复核未发现安全缺陷，确认旧迁移 1～18 不变、两种正文转换仅所有者一次性使用、23 个 definer 的固定搜索路径及 11 种临时域探针、运行角色只读新表、各恢复入口拒绝墓碑、账户行锁串行化、清除完整且合法持有者保留、凭据无私人路径／标题／正文和最后管理员交叉操作保护。此段是外部复核结论的来源记录，不冒充本机另跑了该审查者的全部探针。 按这轮追加意见落实： 1. 第 4 步已经接入 console userName、成员 API／列表、团队内容与来源署名的生成墓碑标签，墓碑 Inspector 不提供启用／重置／令牌／邀请等恢复动作。本次再补搜索成员选择结果排除旧墓碑、同名新账户精确查询、记录页姓名及不改原审计字节的回归；运行清单和 MCP 的租约持有人／登记者上下文姓名也使用生成“已删除的成员”。源记录的稳定成员编号与声明原文不改写。知识／记忆／私人包不能新增向墓碑的授权，仍可撤销历史授权；同名新身份不继承。 2. 新迁移 23 冻结墓碑的整行全部列，运行角色不能再修改 password_must_change／updated_at，所有者也不能借未来新增列改写墓碑。所有账户的令牌撤销均为单向，已有 revoked_at 及 revoked_by 不可清空或替换；正常首次撤销和幂等再次撤销保留。只追加迁移，19～22 与冻结 14／15 不变，没有新增 UPDATE／DELETE 授权。 3. records README 与决定记录明确迁移 20 的窄例外：真实所有者可删除已清除私人采集的 artifact.object 索引（包括仅本机清除）；私人包的名称／授权／退役索引还须已删除成员及其删除意图。其他索引与记录外壳继续只追加。回归实际验证两种清除、清除前所有者拒绝、运行角色始终不能删除、清除后无关键也不能删除。 4. 所有者删除函数在账户行锁内重新从数据库生成同一规范摘要和六项计数，再与调用值比较，任何不符在封闭前拒绝。数据库 helper 仅所有者可执行，限定类型与搜索路径，不能作为运行角色查询私人范围的入口；没有扩大 SHA 内容扫描范围。回归用真实载荷、原件与缓存登记，逐项伪造计数／清单，核对拒绝后无墓碑／意图，真实值才受理。 复核测试首轮出现测试文件 SQL 引号与脚本替换错误（2 个文件未能载入）；修正后核心 12 项通过。扩大指定组 69 项中 66 通过、3 失败、0 跳过：新夹具错误地把未登记来源的采集单独提交，已被现有绑定检查正确拒绝；另一个新测试使用了不存在的记忆查询字段。补齐真实来源登记并使用现有 items/shared 端口，未改生产边界；三个受影响文件共 12 项复核通过、0 失败、0 跳过。其余 66 项包含 PG 18 备份／恢复、所有者／运行角色、definer 临时域、防迁移改写、环境、锁、密码、缺知识端口诊断、真实冻结评估与新授权拒绝。最终工作流／引擎完整定向组、文档及类型检查结果在第 6 步续记。 ### 第 6 步：最终定向检查、真实页面核对与文档收尾 做了的： - 完成第五块及本轮独立复核的全部补充。更新 records／knowledge／runs engine／packs／server README、CHANGELOG 和设计页实施状态。按本轮明确要求在决定 140 登记删除及窄索引例外的来源；最终阶段集成和合并进度仍由 Claude 负责。没有新增配置变量；CHROME_BIN 只用于合成截图工具，不是 Hub 运行配置。 - 新增可复现截图工具 hub/server/console/testing-member-deletion-browser.ts，以 CHROME_BIN 指定浏览器，独立临时 profile、临时 PostgreSQL、密码会话和回环 HTTP。五种状态为删除预检／确认、最后管理员拒绝、真实存储故障后的等待清除、同操作恢复完成、团队保留内容的已删除提交人／署名人。每种状态均深浅两种主题、1440／1024／390 px，共 30 张；全部实际 HTTP 200，逐项核对预期内容，0 浏览器脚本异常，页面无横向溢出，宽表在自身容器滚动，实际键盘模式的可见目标有焦点提示。 - 已逐张打开并目视检查全部 30 张最终截图：预检影响说明和完整命令可换行，窄屏 Dialog 可用；失败不伪装完成，墓碑没有恢复按钮；团队内容仍能打开原文，提交人／署名人和已清除私人文件夹显示正确，深浅色均可读。截图目录使用 circle-hub-finish-block5-browser-96CNcq，含 index.html 和 result.json，保留在本机临时目录，不把截图、profile、日志或绝对路径加入 Git。截图对应本块最终页面结构；其后数据库加固及搜索过滤未修改这些页面布局／样式。 - 首轮截图焦点探针误选窄屏隐藏的主列表链接而失败；探针改为检查真实可见目标，未改产品代码或降低焦点要求。修正后完整 30 格验证通过。新回归中的类型导入和记忆端口名错误均已修正，最终类型检查通过，未删测试。 最终验证（各组有重叠，不合计成一个通过数）： | 范围 | 命令与实际结果 | | --- | --- | | 完整工作流／引擎定向组 | node --test --test-concurrency=4 'packs/workflow/**/*.test.ts' 'hub/runs/engine/**/*.test.ts'，设置 HUB_UNIT_CONCURRENCY=4 和 PG 18 工具目录；2770 通过、0 失败、0 取消、0 跳过，退出 0，约 555 秒。macOS 沙箱相关项实际运行。生产代码在这一轮保持稳定。 | | 最终控制台／平台／迁移组 | node --test --test-concurrency=2，文件为 hub/server/cli.test.ts、console.test.ts、console-api.test.ts、console-api-write.test.ts、console-search.test.ts、console-wording.test.ts、run-list.test.ts，console 下 member-deletion、source-archive、member-space-metadata、audience、contrast，以及 records 的 member-deletion-integrity、personal-definer-security、migrations.snapshot、lock-namespaces、password、platform 的 environment／ownership 和 refs/diagnostics。PG 18 实际设置 CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin；97 项，96 通过、1 失败、0 取消、0 跳过，退出 1。唯一失败是旧成员容量断言仍要求 48 B，第四块的精确显示已经是 48 字节；仅同步正／反两处显示断言，原数值和隐私要求不变。该文件随后 1 项通过、0 失败、0 跳过，退出 0。PG 18 备份／销毁／恢复、运行角色与所有者、definer、冻结迁移、锁、密码与诊断均已实际通过。没有把首跑 97 项写成全绿。 | | 最终受影响验收 | 新迁移 23 下 node --test --test-concurrency=1，逐项选取 tests/acceptance/12-*.test.ts 及 46、47、48、49、50、51、52、53、54 的同式文件；51 通过、0 失败、0 取消、0 跳过，退出 0，约 100 秒。包含真实 HTTP／MCP／同步及成员永久删除。 | | 类型 | node node_modules/typescript/bin/tsc --noEmit，退出 0，无诊断。环境没有 npm，使用同一 TypeScript 入口。 | | 合约 | node tools/gen-contracts.ts --check，179 个生成文件与模型一致，退出 0；未手改生成物。继承 410c9c44 的 labelOf／uiLabelOf 分开断言，记录“个人”与界面“私人”分别验证。 | | 文档 | node --test --test-concurrency=2 '.github/checks/*.test.ts'，315 通过、0 失败、0 取消、0 跳过，退出 0。追加本节实际结果后，docs.test.ts 专门组复核 249 通过、0 失败、0 跳过，退出 0。 | | 迁移与差异 | 直接与同步基线比较，迁移 1～18 源码完整前缀字节一致；19～22 保持已提交 SQL，仅追加 23；migrations.snapshot 包含冻结 14／15 检查并已通过。git diff --check 通过。 | 最终本地实施提交（变基后）：第 1 步 54fbbdc0，第 2 步 6c0b0583，第 3 步 c2cf72e5／afde63fc，第 4 步 7af7c86d，第 5 步 142c12a3，独立复核补充 2497a478，第 6 步为本节、截图工具及文档所在提交。kw-finish-local 已基于 kw-sync-local 410c9c44；kw-finish-pre-sync 等旧基线备份仍保留。所有新增实施提交均署名，本机提交，不推送、不建 PR。 跳过与未执行：上述实际执行组均 0 跳过，没有把未运行算通过。按本任务只做定向验证，未运行整套 test:unit／全量 acceptance、Linux isolation／GitHub CI、真实模型、业务系统、生产部署或持久 Hub 操作；来源归档工具与批准导入未改，verify:references／test:references 未运行。第一轮大组、测试夹具／类型／探针失误、旧显示断言及并发性能阈值失败均在本页保留实际结果和复查，没有更改生产判定、性能阈值或固定知识视图摘要来绕过失败。 ### 第五块显示完善（Claude 2026-11-03，57b7566e 获原则批准后） 来源：Claude 本轮要求将四项界面完善与回归合为一次本机提交，重拍受影响页面后停止；性能分支先集成，本分支之后收到通知才变基。本轮没有提前变基、推送、建 PR 或部署。 做了的： 1. 模型升为 32，R01 的 account_status.deleted 为状态“已删除”；另注册 account_display_name.deleted_member“已删除的成员”，单独生成、分别测试。控制台成员名称、成员 API、记录／团队内容和既有 MCP 持有人名称使用名称词条，状态列使用状态词条。生成只改 vocabulary.ts／protocol.ts 两份，179 文件中其余一致；四个技能协议镜像没有变化，不升级技能版本。 2. 墓碑 Inspector 与启用成员使用同一 ch-actions 组合：内容宽度的“成员”类型标签加中性“已删除”徽标；不增加恢复操作。回归除检查 HTML，还实际测量三种宽度和两种主题下标签宽度小于容器一半、徽标同排且中性。 3. 只读预检增加 scope_counts：知识／记忆按清除范围中的内容版本，原文按精确采集，来源署名、归档的原文及私人工作流与技能按对应范围计数；说明包含此前保存的版本。只有私人版本的显式 files 关系会把其文件采集排除出“原文”，不按字节哈希推断；同字节的独立普通上传仍算原文。原技术 counts、清除摘要、状态比较、所有者函数及持久审计形状不改，显示计数不作为执行输入。预检／等待／完成的技术数量均只放“查看清除清单摘要”内。分类名称采用共享组件，避免长名称在 76 px 字段列中折行；没有修改共享样式或增加颜色。 4. 命令说明原样采用本轮指定句：“在 Hub 所在主机上的 Circle 中执行下列命令完成删除；内容变化后须重新检查。”没有虚构确认按钮，实际删除仍为主机上的命令。 回归与截图： - 真实密码控制台测试创建两份私人知识、一份记忆的两个版本、原文、署名与归档，逐项核对六类计数及技术信息的折叠位置；非管理员不可读取预检，GET 不写记录，无删除 POST，等待／完成不出现恢复按钮，记录姓名和同名新账户仍正确。 - 真实私人技能发布两个版本，文件采集不算原文；再上传同字节但独立的原文，只有原文数增加，版本数不变，预检状态相应失效。未增加 SHA 内容校验。 - 首轮烟测 23 项中 22 通过、1 失败、0 跳过：数量说明的“历史”被既有界面词检查拒绝，改成“此前保存的版本”后对应两文件 8 项通过、0 失败、0 跳过。新测试的正则转义及静态类型标注错误已修正，不改检查规则。 - 完整合约测试、删除 records／私人包／冻结运行回归、CLI／控制台／API／界面用语／对比度及 run-list，和 environment／PG 18 ownership／lock-namespaces／diagnostics 的定向组：486 通过、0 失败、0 取消、0 跳过，退出 0。PG 18 实际设置 CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin。后续最后的计数查询限定及受影响验收复核另记实际结果。 - 新截图工具保留原五种状态，再加入团队列表；深浅主题各 1440／1024／390 px，共 36 张，实际 HTTP 均为 200，0 浏览器错误，内容／焦点／宽表滚动／标签宽度／状态列／长分类单行检查全部通过。逐张打开并目视检查 36 张；窄屏预检命令与关闭按钮可见，数量对齐，类型标签不再铺满，状态列不重复姓名，团队内容署名仍正确。最终目录名 circle-hub-finish-block5-browser-NKjKI5，保留本机 index.html／result.json，不提交截图、日志、浏览器 profile 或绝对路径。 本轮只改显示和只读分类统计，不改删除／保留／权限／运行依据判定，不改迁移或配置变量。按本轮范围做定向检查，不重复全量 unit／acceptance、完整工作流／引擎大组、Linux CI 或真实系统验证；来源工具未动，verify:references／test:references 未跑，未运行均不算通过。类型、生成一致性、文档及最后受影响验收结果在下方补录。 本轮最终复核：在最后限定分类查询只读取私人包元数据后，私人包／真实删除页面及验收 48、54 共 17 项通过、0 失败、0 取消、0 跳过，退出 0；其中两个验收文件为 9 项。显示计数仍不参与删除执行输入，prepare 保持原确认参数形状。实际执行项无跳过。 最终类型检查 node node_modules/typescript/bin/tsc --noEmit 退出 0，无诊断；node tools/gen-contracts.ts --check 确认 179 文件一致；node --test --test-concurrency=2 '.github/checks/*.test.ts' 为 315 通过、0 失败、0 跳过，退出 0。补录本段后再跑 docs.test.ts 专项检查；git diff --check 通过。最终版本无尚未复核的失败，首轮失败保留如上。所有改动合为一次署名本机提交，随后停止，等待 Claude 的性能分支集成／变基通知。 ### 集成前复核补充（Claude 2026-11-03，4068afd0 获批准后） 来源：Claude 转达独立复核及四项修正要求。复核确认全部墓碑字段冻结、令牌撤销单向、数据库核对清单／数量、窄追加例外已说明、29 个 definer 抵御 15 种临时 domain 遮蔽，以及迁移 1～18 不变。本轮四项分别署名提交；只作本机定向验证，完成后停止，不提前进行性能分支集成。 1. **发布检查不占连接池**：提取日记仍先提交，用户行的 FOR SHARE 只覆盖 extractor.stage；样例检查与排队不持数据库连接。records kit 共享两个检查名额，每个成员最多一个（同 kit 的多个 registry 也共用）；直接提取另设两个名额和同成员串行，避免十个提取占满默认十连接。检查结束重读账户，提交／提升目录继续锁定有效账户。删除可以在样例执行期间完成，随后检查不得发布或恢复私人目录。未新增配置变量、合约或拒绝码。 回归：十个成员同时提取，实际最多两个占用连接，管理员查询仍可用；同成员并发检查串行，其他成员可前进，排队与检查本身零连接，失败释放名额；真实私人工作流样例期间 NOWAIT 取得成员锁并完成删除，检查拒绝，目录不恢复。原先“删除等待实际文件提取”的回归仍保留。新夹具首跑因 editJson 回调返回 push 的数字而拒绝，修为 void 后重新执行；没有改生产校验规则。实际检查结果随后补录。 验证：临时恢复 4068afd0 的 stage／样例事务边界运行两份新回归，2 失败、0 跳过，分别复现连接占用超过两个和样例期间 NOWAIT 锁失败（55P03）；随后恢复修复。新回归、私人包及删除、environment／diagnostics／PG 18 ownership／lock-namespaces 定向组共 36 通过、0 失败、0 跳过，退出 0；类型检查退出 0，无诊断。PG 18 使用指定的本机工具目录。恢复修复后两份回归再次通过。未运行全量 unit／acceptance、Linux CI、业务系统或部署；最终统一受影响组另记。 2. **上传声明先按索引筛选**：按本轮明确授权原地修正尚未部署的迁移 21，先用已有 knowledge.space.source_hash 的 key／value 以采集 SHA-256 找候选，再解码逻辑来源正文。MATERIALIZED 界限避免无关正文被提前解码；仍核对精确采集、个人／团队及来源记录不晚于运行的序号。触发器和一次性回填共用这一函数，没有新增索引或权限。迁移 19／20／22／23 不改，1～18 原样（含冻结 14／15）；从集成 PR 起 19～23 也冻结，后续追加迁移。依照既有迁移完整性规则更新源码快照，未增加无关 SHA 内容扫描。 回归：临时 PG 构造十万条无原文的合成来源元数据，再给运行绑定 20 个上传。实际运行触发器、旧运行回填与幂等重放都验证；个人关联被排除、团队关联允许、同字节另一次采集不混同、晚于运行的关联不改旧声明。直接从已安装函数取出候选查询做 EXPLAIN ANALYZE，要求 source_hash 的值实际约束 record_index 索引，禁止该表顺扫。首跑因测试误用 StoredRecord 不提供的 seq 而将 SQL 参数传成空，计划被折为常量；改为读取数据库真实 seq 后重跑，没有削弱计划要求。结果随后补录。 验证：恢复旧迁移 21 后，新回归失败（没有受索引限制的候选计划）；同一十万来源夹具下，20 上传的运行与两次回填合计 10833 ms。恢复修复后该部分为 40 ms，计划断言通过；这是本机合成查询观察，不是业务性能证明。迁移／声明／成员删除／definer／原文持有／password／environment／diagnostics／PG 18 ownership／lock-namespaces 定向组 37 通过、0 失败、0 跳过，退出 0。类型检查中测试数组与查询计划的类型已补齐，最终退出 0；恢复迁移后的来源与快照再次通过。直接比较确认迁移 1～18 源码前缀字节一致，diff 只改迁移 21 的候选查询，19／20／22／23 不变。 3. **管理员命令统一删除身份显示**：user list 的文本／JSON 均使用生成的 account_display_name.deleted_member，编号保留；管理员列表共用 names()，删除的包所有者／分配成员、租约登记人／持有人、分享对象使用占位名称并附编号。启用／停用成员原显示不变；存储的墓碑姓名、权限、记录正文不改。 回归通过真实 CLI 与临时 PG 先发布团队工作流、分配、登记／领取租约、分享，再删除该账户，检查上述输出没有存储姓名并保留编号；user list 同时检查文本与 JSON，数据库原姓名仍在。新夹具首两次分别被既有“发布 CLI 仅管理员”与“租约登记须有声明”规则拒绝；改为管理员发布夹具并通过租约服务构造合成有效登记，没有更改产品权限或登记规则。两份聚焦回归 2 通过、0 失败、0 跳过。完整受影响 CLI 组及类型结果随后补录。 验证：完整 hub/server/cli.test.ts、hub/server/assemble/cli-admin.test.ts，连同 environment／diagnostics／PG 18 ownership／lock-namespaces 定向组共 100 通过、0 失败、0 跳过，退出 0；类型检查退出 0，无诊断。普通成员姓名与既有 CLI 断言原样通过，无恢复操作或存储层变更。未进行全量回归。 复核 CLI 其他输出时，补齐 token list（全部账户及指定编号）和历史发布权撤销／取消分配提示的姓名遮蔽；原始墓碑、令牌编号、成员编号与撤销历史不变。新增断言验证令牌原文不出现、删除显示及历史操作提示；两份聚焦回归再次 2 通过、0 失败、0 跳过。此补充并入第三项提交，第四项单独提交。 4. **清理不移除新建的团队提取目录**：注册提取根时区分私人和团队目录；只给共享团队根下的 .tmp--* 一个保守的 24 小时窗口，兼容不同进程的发布检查。老残留仍移除，稳定目录继续按精确独立持有规则处理。私人根没有窗口，即使刚创建的未发布／失败目录也立即清除；没有把团队临时文件保留规则套在私人内容上，没有新增持久记录、权限或配置变量。 回归创建两个独立提取器，在团队根暂存同一摘要，另建超过两天的共享残留及刚创建的私人残留。删除成员后两个团队临时目录仍可读，能提升／丢弃；老共享残留与新私人残留均消失。临时恢复旧清理实现后，新回归在读取团队暂存目录时得到 ENOENT，复现原问题；恢复修复后新旧删除回归共 8 通过、0 失败、0 跳过。最终包／平台定向组随后补录。 验证：全部 hub/runs/packs 测试、新提取回归、records 成员删除／删除完整性／迁移快照，连同 environment／diagnostics／PG 18 ownership／lock-namespaces 的定向组：239 通过、0 失败、0 跳过，退出 0。类型检查退出 0，无诊断；生成一致性检查 179 文件一致。本轮涉及运行输入声明边界，按 E.4 再跑完整工作流／引擎定向组及 12、46～54 受影响验收，结果在下方统一记录；不扩成全量 unit／acceptance。 本轮代码稳定后的统一验证（各组存在重叠，不相加为通过总数）： | 检查 | 实际结果 | | --- | --- | | 工作流／引擎 | 设置 HUB_UNIT_CONCURRENCY=4、PG 18 工具目录；node --test --test-concurrency=4 'packs/workflow/**/*.test.ts' 'hub/runs/engine/**/*.test.ts'。2770 通过、0 失败、0 取消、0 跳过，退出 0，约 493 秒。沙箱相关项实际执行，未改运行／依据／派发规则或旧断言。 | | CLI 最后补充 | 最后姓名修正后，node --test --test-name-pattern='member deletion commands|administrator listings mask|stored text reaches'，文件为 hub/server/cli.test.ts 和 hub/server/assemble/cli-admin.test.ts。3 通过、0 失败、0 跳过，退出 0；包含令牌列表、历史撤销提示及既有终端转义。前面完整 CLI／平台组的 100 通过与本组分别记录。 | | 类型／合约 | 最后生产代码下 node node_modules/typescript/bin/tsc --noEmit 退出 0，无诊断；node tools/gen-contracts.ts --check 为 179 文件一致。没有模型、生成物、配置变量或运行角色授权的变化。 | | 文档 | node --test --test-concurrency=2 '.github/checks/*.test.ts'，315 通过、0 失败、0 取消、0 跳过，退出 0；补录本节实际结果后再复核 docs.test.ts。 | 本轮不改控制台 HTML／样式，沿用已批准 4068afd0 的页面截图，不重拍无变化页面。未运行全量 unit／全量 acceptance、Linux isolation／GitHub CI、真实模型／业务系统或任何部署；来源工具／批准导入未改，verify:references／test:references 未运行。未运行不算通过；实际执行组的跳过数分别如实记录。恢复旧实现的预期失败、新夹具错误与修正均已保留在本页，没有删测试、放宽阈值或改固定知识视图摘要。 受影响验收最终结果：设置 HUB_UNIT_CONCURRENCY=4 和 CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin，node --test --test-concurrency=1，显式选取 tests/acceptance/12-console-security.test.ts、28-device-run.test.ts、28-jev-skill.test.ts、46-knowledge-spaces.test.ts、47-knowledge-sharing.test.ts、48-knowledge-console-memory.test.ts、49-personal-sync.test.ts、50-upload-attribution.test.ts、51-source-archive.test.ts、52-member-freeze.test.ts、53-capacity.test.ts、54-member-deletion.test.ts。59 通过、0 失败、0 取消、0 跳过，退出 0，约 494 秒。两个场景 28 验证普通上传与声明的完整运行／派发／客户端脚本路径；其中客户端判断服务为合成脚本，未调用真实模型。私人授权、精确原件、团队署名、同步 CAS／旧代次、停用、容量及永久删除均通过。 最终迁移差异仅为获准的迁移 21 候选查询及对应源码快照；迁移 1～18（含 14／15）完整源码前缀与 4068afd0 一致，19／20／22／23 不变。没有新增配置变量、持久表、合约状态、拒绝码或运行角色权限。git diff --check 通过。前三项本机提交为 0f891481、a1347170、10bed521；第四项与本节最终记录在同一次署名提交中。全部实际执行组均 0 跳过；本轮验证后停止，等待性能分支集成通知，不变基、不推送、不建 PR。 最后补录结果后的 docs.test.ts 专项为 249 通过、0 失败、0 取消、0 跳过，退出 0；再次生成一致性检查为 179 文件一致。所有本轮修正均有回归，未留下未解释的失败。 ### 集成前两项收尾（Claude 2026-11-03，cc0820ba 复核后） 来源：Claude 转达独立复核，确认四项修正有效（暂存期间无关查询 5 ms、每成员一个／全局两个执行、排队零连接、样例期间停用／删除拒绝、十万来源的 20 上传约 12.5 ms、definer 规则和 CLI 遮蔽）。本次只补两项收尾，各自回归并分别本机提交，之后停止等待性能分支基线。 1. **启动清理无主暂存目录**：只在服务启动装配、密钥检查之后及解析器刷新／接收请求之前扫描团队与私人提取根。命令装配不清理。旧命名和新进程号命名的无主暂存目录不受 24 小时窗口限制；已发布目录及隔离目录不进入扫描。新目录携带进程号，同进程活动目录及进程仍存活的独立 CLI 发布目录保留（权限不足时保守保留），避免启动清理误删其他发布。提取完成／放弃／失败会释放本进程登记；失败的提取也清理部分写入。进程崩溃后失去所有者，下次服务启动清除。PID 存活判断与既有平台文件锁采用相同保守原则。 清理成功只记录“已清除发布暂存目录 N 个”，不记名称、路径、摘要或正文；清理失败用固定的无路径错误拒绝启动。私人根为链接时拒绝启动，暂存名下的链接只解除链接，不进入其目标。没有扫描系统临时根或其他数据目录，没有新配置变量、合约、错误码、迁移或权限。 回归使用合成子进程真实暂存团队／私人文件：存活时保留，SIGKILL 后当次启动清理移除，连同刚创建的只读旧格式目录；已发布目录和链接外目标保留，重跑数量为零。同进程使用中的暂存目录也保留。实际服务／命令装配回归确认命令不清、服务清两项，日志严格只有计数，任何文件名和路径均不出现。 验证：node --test --test-concurrency=2 'hub/runs/packs/**/*.test.ts'、hub/server/assemble/assemble.test.ts，加 environment／diagnostics／PG 18 ownership／lock-namespaces 定向组共 240 通过、0 失败、0 取消、0 跳过，退出 0；PG 18 使用 CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin。node node_modules/typescript/bin/tsc --noEmit 退出 0，无诊断。未改引擎／依据判定，不重复完整工作流／引擎大组或全量回归。 2. **排队长度有界，拒绝立即释放上传**：保留全局两个／同成员一个执行名额，另将等待数量固定为全局最多八个、每成员最多两个；可以立即执行的请求不占等待名额，队列仍跳过当前执行成员，其他成员可以前进。超出时复用 LimitError 和现有“校验繁忙，请稍后重试”句式，显示“发布校验繁忙，请稍后重试”，code 保持 null，没有新增协议码或合约。控制台私人发布返回真实 429 和返回发布列表的链接，不记入虚假的发布结果。既有上传处理的 finally 在异常返回前等待移除解包根，发布确认的 taken.done 也保持同样释放边界。 回归：同成员一个执行加两个等待后，下一项在既有工作仍挂起时立即拒绝；空闲的另一个执行名额仍供其他成员使用。两个执行加八个等待后全局拒绝，拒绝不占名额，完成后可重新接收。临时恢复 cc0820ba 的无界队列，两个新回归均在“应立即拒绝”断言失败（0 取消、0 跳过）；恢复有界队列后通过。原十成员提取／零排队连接回归仍保留；其中十一项检查的旧“全部受理”期望按本轮新规则改为十项执行、一项明确 LimitError 拒绝，没有降低连接／并发断言。 真实密码登录后的 multipart 上传回归，在该成员的一个执行和两个等待均未结束时连续两次上传：每次实际 429、专业用语检查通过，响应不含内部路径，响应到达时解包目录及其根已不存在。既有三个工作仍未完成，证明释放不依赖后续名额、到期或关闭服务。释放名额后相同的有效 zip 实际 303 并保留可确认的暂存，证明队列恢复。全局溢出与同成员溢出使用同一拒绝／清理路径。 夹具与首跑记录：新增 LimitError 导入与既有导入重复造成首轮模块加载失败，移除重复导入后重跑；随后恢复上传夹具因 skill.json 多写未支持的字段被原校验拒绝，修为既有 skill@1 的最小合法形状。只修测试和重复导入，没有放宽结构校验或生产规则。四项聚焦回归最终 4 通过、0 失败、0 跳过。 验证：全部 hub/runs/packs 测试、records 的 staging-slots／personal-staging、真实私人上传、console.test／console-manage／console-api-write／console-wording、assemble，以及 environment／diagnostics／PG 18 ownership／lock-namespaces，node --test --test-concurrency=2；281 通过、0 失败、0 取消、0 跳过，退出 0。PG 18 使用指定工具目录。类型检查退出 0，无诊断。 两项最终复核：验收 48、54 加四项启动／队列回归，node --test --test-concurrency=1，13 通过、0 失败、0 取消、0 跳过，退出 0（其中验收 9 项）。临时关闭服务启动清理后，装配回归确认目录仍在而失败；已恢复启动清理接线，随后再跑对应专项。没有改迁移源码或其快照（1～23 均与 cc0820ba 一致），没有新配置变量、模型、生成状态轴、权限或拒绝码。 本轮只改提取暂存生命周期／队列调度及其繁忙反馈，没有引擎、依据、共享、同步、派发或容量判定变化。按本轮两项收尾范围做定向验证，没有重复完整工作流／引擎大组、全量 unit／acceptance、Linux isolation／GitHub CI、真实模型／业务系统、持久 Hub 或部署操作；来源工具未动，verify:references／test:references 未跑，未运行不算通过。执行组跳过均为零。完成后停止等待性能分支基线，不变基、不推送、不建 PR。文档、生成一致性及最后启动接线专项结果补录如下。 最终结果：.github/checks 全组 315 通过、0 失败、0 跳过；生成一致性确认 179 文件相符。启动接线专项首次组合命令只给生成器设置了 PATH，后续 node 未找到（退出 127）；已单独使用相同显式 Node 路径重跑，专项 1 通过、0 失败、0 取消、0 跳过，退出 0，确认恢复接线生效。追加本段后再跑 docs.test.ts 专项。两项提交均本机署名，工作完成后停止。 最后还核对了旧目录后缀兼容性：预留的 .tmp-摘要- 前缀都可清理，只把严格的新进程号格式识别为活跃跨进程所有者；不要求旧后缀必须为十二位十六进制。启动、原提取及删除缓存三文件最终 12 通过、0 失败、0 取消、0 跳过，退出 0；类型再检查退出 0，无诊断。这一完善并入第一项提交 8fb49d1b；第二项及最终记录在本提交中。最终 docs.test.ts 249 通过、0 失败、0 跳过；git diff --check 通过。 ### 集成到控制台性能分支（Claude 2026-11-03） 来源：Claude 指定以 console-perf-local 的 28ac2931 为基线，保留旧头后变基；只做受影响验证、完整工作流／引擎、控制台及指定验收，不做全量 unit／acceptance。Documents 工作树受 Codex 进程的系统读取权限阻挡后，Claude 提供独立克隆继续工作，依赖由 Claude 实体复制；本轮后续仅在该克隆修改和本机提交，不访问原工作树、不读取其远端、不 fetch／push／建 PR，也未安装依赖。 做了的： - 旧头 90263359 保留为 kw-finish-pre-perf；完整重放到明确指定的 28ac2931，而非其后来额外的分析文档提交。变基结束头为 7cfa7662，确认 28ac2931 属于本分支历史。合并模型保留全部获批含义，重新运行生成器：0 写入、0 删除、179 文件一致；没有手工合并生成文件。迁移 1～23 及源码固定值文件在本次集成后的补丁中均无变化，冻结 SQL 不重编号、不改写。 - 存储合并保留基于 hub_read_records 的批量读取及逻辑载荷边界。对象后备顺序包含运行持有、其他独立持有及当前私人代次；显式事务读取仍用原事务，不为未提交私人对象另借连接。同批坏对象不隐藏健康对象，完成后的字节不进入长期缓存。 - 成员列表继续批量取得分配、令牌及客户端名称，直接使用同批身份投影遮蔽墓碑；不为每行重新查询姓名，墓碑也不产生有效 Circle 行。知识条目批量读取仍传递精确采集身份，最终以一次路径读权检查保留删除保护；容量说明使用既有精确账本，近期页保留候选分页及完整总数。 - 修复同一请求中的破坏性写入与读取缓存：角色／启停、删除 prepare／finish、私人 purge 及同步方式切换使请求共享代次失效。已持有的适配器不能再用旧值，晚返回的缓存结果重新按原始冻结参数读取；嵌套范围共享代次，较早父范围的删除也能作废之后建立的嵌套范围。普通 scoped store 写入仍仅清空缓存，不改变原先已受理读取的边界；其他原始写入仍须结束读取范围。没有跨请求权限缓存，也不重试带写入的整个回调。控制台移除未接入这一失效机制的第二份姓名 Map。 - 新回归覆盖实际 PostgreSQL 中删除、停用／恢复、本机清除／重新同步、私人知识／记忆授权列表、保留适配器、嵌套代次、晚返回的 get／批量／find／count／list／端口／值缓存及调用者随后修改参数；另验证未提交私人对象沿原事务可读。临时关闭失效钩子，六项聚焦回归中五项复现旧值失败、一项事务边界仍通过；随后恢复钩子，未弱化期望。 - 截图工具沿用临时 PostgreSQL、合成密码、独立浏览器配置和回环地址；新增外部 CSS 实际响应／解析规则、SRI、真实 CSP 中的每响应 nonce 及主题按钮执行检查。首次到静态团队条目页时，工具错误假定每页都有实时脚本（此前 30 张已拍）；该页按设计只有主题脚本，故改为按 data-live 核对精确资源列表，没有为截图改动页面或 CSP。 验证结果与逐张截图核对在完成后补录；正在运行的组不计为通过。 已完成的本机复核： - 受影响 records／knowledge／runs-packs 及 environment、diagnostics、PG 18 ownership、lock-namespaces、password、migrations.snapshot 定向组：node --test --test-concurrency=2，334 通过、0 失败、0 取消、0 跳过，退出 0。实际使用 PG 18 客户端工具；备份／恢复组未跳过。随后补上重新同步与成员批量投影调整，读取范围及新增删除读取组重跑：26 通过、0 失败、0 跳过。知识／记忆清除集成烟测另有 12 通过、0 失败、0 跳过。 - 类型首跑发现新增回归的 list 缺必填 kind，修正合成查询后 node node_modules/typescript/bin/tsc --noEmit 通过；没有放宽类型。反向复现的五项失败是临时关闭失效钩子的预期结果，不计为通过；恢复实现后的结果如上。 - 截图工具最终退出 0，生成 browser-lxhnQX 本机核对材料：deletion-preview、deletion-refused、deletion-pending、deletion-complete、team-list、team-tombstone，逐状态覆盖 dark／light 与 1440／1024／390，共 36 张，每张均已实际打开查看。删除分类与命令在窄屏可读，标签保持内容宽度，“已删除”的中性状态与“已删除的成员”姓名分开；等待清除不冒充完成，完成页不提供恢复操作；团队独立原文、来源署名及原验证状态保留。页面无横向溢出，表格保持内部滚动，键盘焦点可见。36 次文档真实 HTTP 200、36 个不同脚本 nonce 与对应 CSP 一致；外部 CSS 实际返回 200、解析规则非空，脚本和样式 SRI／资源路径核对通过，深浅主题按钮实际执行。未发现运行时异常或资源加载失败。截图与独立临时浏览器资料只保存在本机，未纳入 Git。 - 完整引擎／工作流：node --test --test-concurrency=4 'packs/workflow/**/*.test.ts' 'hub/runs/engine/**/*.test.ts'，设置 HUB_UNIT_CONCURRENCY=4 和 PG 18 工具目录；2779 通过、0 失败、0 取消、0 跳过，退出 0，约 557 秒。实际执行 macOS 沙箱依赖用例，没有以非隔离方式替代。完整大组执行期间未改动其生产逻辑。 - node tools/gen-contracts.ts --check 再次确认 179 文件一致；最终类型检查退出 0，无诊断；.github/checks 全组 315 通过、0 失败、0 跳过，退出 0。提交前会对最终补录再跑文档专项与差异检查。 控制台首轮及容量衔接修正： - 控制台全组加 CLI、assemble 与 spaces／spaces-review／space-pages：246 项，244 通过、2 失败、0 取消、0 跳过，退出 1，约 316 秒，不计为全绿。125→500 条夹具的首页／详情 SQL 从 176／173 增至 551／548；另一处旧首页夹具只提供 capacity，精确 usage 调用因而失败。 - 继续定位后，线性查询主要来自同步状态的精确历史计量：原 historyUsage 每个历史版本都单独 getMany，同一个页面还要计算同步状态。改为按真实新增引用汇总次数，再分批取得已验证记录和精确采集元数据；每批最多 512 条，不把全部历史正文一次持有。只合并 I/O，同一引用移除再加入仍按原次数计费；逐行合约／所属空间／采集大小与摘要对应、空首根、元数据序列化计费、记忆历史、整数边界和缺失拒绝保持。没有改为信任累计字段，没有新数据校验、配置、表、权限、合约或迁移。 - 同时移除首页未使用的 visible 调用；原“精确空间筛选计数”夹具补齐现行 usage 端口，原 7 条精确计数断言不变。缺失采集夹具在批量端口移除同一合成采集，仍必须 IntegrityError；没有删掉或降低完整性期望。原 125／500 的查询等量断言保持不变。 - 新回归在实际 PostgreSQL 的 3／12 个历史版本核对完全相同的独立字节期望、两次批量和零标量读取；1025 条合成记录验证 512／512／1 的有界读取及全部计费，没有截断。恢复旧计量函数运行新增回归，实际因批量次数 4 而非 2 失败；随后恢复修正。 - 容量、知识首页、同步提交和 records 同步的小组首轮 45 通过、0 跳过；补上 1025 条批次边界后 46 通过、0 失败、0 取消、0 跳过。最终完整控制台、指定验收及完整引擎／工作流会在这份稳定逻辑上重跑，结果续记。 - 容量修正后的控制台完整重跑（同一 42 个控制台测试文件，另含 CLI、assemble 与三个知识分页／读权文件）：246 通过、0 失败、0 取消、0 跳过，退出 0，约 227 秒。125／500 条知识的实测查询数：首页 52／52，选中条目详情 49／49。既有等量断言原样通过。 - 新增测试文件纳入 Git 后，.github/checks 全组重跑：315 通过、0 失败、0 跳过，退出 0；最终容量代码的 tsc --noEmit 通过，生成一致性仍为 179 文件。指定验收、最终完整工作流／引擎与最后 PG 18／读取／计量护栏按顺序执行，未完成组不计为通过。 指定验收首轮：58 项，57 通过、1 失败、0 取消、0 跳过，退出 1，约 282 秒。唯一失败为场景 51 的无权／不存在原文下载整页字节相等断言；性能基线已按每个响应生成不同 CSP nonce，两页差异只在该响应随机值。保持双方真实 404、无下载响应头以及其余完整 HTML／CSP 内容相同，仅归一化从各自真实 CSP 提取并与脚本属性核对的 nonce，另要求两个 nonce 不同；不剥离其他动态字段、来源文字、路径或权限提示。未改变生产权限或页面来让测试通过。复核场景 51 整文件和 CSP 专项后继续最终引擎／工作流及 PG 18 护栏；其余 57 项已在最终生产逻辑上通过，不为此测试比较器改动重复完整指定验收组，保留本轮失败记录。 场景 51 整文件与 console-csp-nonce 专项复核共 6 通过、0 失败、0 取消、0 跳过，退出 0；下载的精确字节、不可执行、授权收回、限制档位和离线损坏拒绝仍全部验证。含这次测试比较器调整的类型检查与生成一致性检查再次通过（179 文件）。最终引擎／工作流与 PG 18 护栏仍在顺序运行，结束后补录。 最终稳定生产逻辑的复核： - 完整 packs/workflow 与 hub/runs/engine 再次顺序重跑：2779 通过、0 失败、0 取消、0 跳过，退出 0，约 582 秒。重跑是因为控制台护栏发现并修正了历史计量调用形态；没有以首轮旧逻辑上的通过替代本轮结果。 - 最后读取／计量／同步护栏与 PG 18 组：node --test --test-concurrency=2，包含 member-deletion-read-scope、read-scope、personal-capacity、knowledge/capacity、personal-payloads、personal-sync、personal-sync/commit、migrations.snapshot、lock-namespaces、password、platform/ownership、platform/environment 和 refs/diagnostics。92 通过、0 失败、0 取消、0 跳过，退出 0，约 38 秒。实际使用 CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin，备份／恢复和运行角色边界没有跳过。 - 指定验收 12、13、19、46～54 全部执行过，首轮 57／58 通过；唯一旧 nonce 字节对比已按上文修正，场景 51 整文件和 CSP 专项 6／6 通过。其余场景不因测试比较器变化重复执行。首轮失败保留，不把它写成一次全绿运行；当前没有未解释的失败或未复核的修正。 - 没有运行全量 unit／acceptance、Linux isolation 或 GitHub CI；没有部署、真实模型或业务系统验证。来源工具／批准导入未改，verify:references／test:references 未跑；这些未执行项不算通过。所有实际最终执行组的跳过数均为零。最后截图和提交前文档／差异检查随后补录。 最终截图（所有功能组结束后重拍）：browser-pFf0FY 材料的六种状态 × 深浅主题 × 1440／1024／390，共 36 张，均已逐张打开查看。预检、拒绝、等待清除、完成、团队列表及团队保留条目显示正确；窄屏命令换行与类别名称可读，墓碑名称／状态徽章分开，未出现恢复动作或页面横向溢出。工具退出 0：36 次真实 HTTP 200、36 个不同的响应 nonce、102 次资源响应全部 200；CSS 规则实际加载、SRI 与当前资源路径、真实 CSP、主题切换、键盘焦点及表格内部滚动均通过，运行时与资源错误均为空。临时浏览器配置已关闭并清理，图片及 index.html／result.json 只保留本机，不纳入 Git。 最终变基保留分支与迁移比较再次确认：kw-finish-pre-perf 可达旧头 90263359，28ac2931 是当前分支祖先；迁移源码及快照与变基前保留分支无差异。没有新增合约、错误码或配置变量。提交前最后的文档与差异检查完成后本机署名提交；不 fetch、不 push、不建 PR，交 Claude 从独立克隆取提交。 提交前最终完整文档检查：node --test --test-concurrency=2 '.github/checks/*.test.ts'，315 通过、0 失败、0 取消、0 跳过，退出 0；git diff --check 与暂存差异检查均通过。最后补录本行后只重跑 docs.test.ts 专项，不再重复已通过的功能组。当前实现和所有修正均已定向复核，执行完本机署名提交后停止，等待 Claude 集成。 ### PR #139 前四块独立复核修正（Claude 2026-11-03） 来源：Claude 转达 94f43b1f 的独立复核；确认上传人署名、事务内分享复查、未署名拒绝、原文不可区分拒绝、并发停用冻结、容量并发及管理员调额有效。本轮三个修正分别提交；仅在独立克隆执行，不 fetch／push／建 PR，不修改冻结迁移。 1. 分享授权者竞争：提交前从实际可读来源及递归条目依据收集私人所有者，不因同字节无关副本锁定无权成员。将提交者和依赖所有者的私人空间去重排序后取得业务锁，随后取得团队空间锁（沿用记忆分享的私人→团队顺序），再由 lockActive 锁定实际提交者和依赖账户，重新读取依赖集合及执行原完整预检；若候选变化引入未锁定所有者，拒绝该次提交。如此授权收回与成员停用均和团队副本形成提交先后，不会在授权者变化完成后再复制其私人内容。四项真实事务回归覆盖两种变更的两个顺序，观察 PostgreSQL 的实际锁等待，不以延迟猜测阻塞。测试结果续记。 第 1 项验证：新增竞争回归与署名、停用组先有 16 通过；扩大分享组后 27 通过。首轮类型检查发现团队独立署名凭据不含私人 space 字段，遂改为从选中精确采集的可读私人登记收集所有者（尚未署名的选中采集也必须锁定，不能由并发署名漏过）。最终类型检查退出 0，分享／署名／停用组 27 通过、0 失败、0 取消、0 跳过。业务锁回归同时核对私人空间排序、团队最后；其余后续受影响与验收组在三项完成后统一记录。无合约、迁移或权限变化。 ### PR #139 CI 优先修正（Claude 2026-11-03） 来源：Claude 提供 regular 1/3、2/3 的合成 CI 日志，要求先修正两个失败，再继续前四块独立复核。第 1 个审查修正已经独立提交；尚未提交的团队容量实现完整暂存，CI 修正期间不混入。只在独立克隆本机提交，不访问原工作树、不 fetch／push／建 PR。 - 命名文档夹具确实构造了不可能的新运行：迁移 21 的冻结包触发器已生效，却在最新模式中直接插入缺少实际私人包的旧形状。改为创建空数据库，迁移到 18，插入两种角色的旧运行，再应用全部后续迁移；原“个人工作流不能解锁管理员命名文档”的结果和原因断言保持。另要求升级后相同缺包形状的新插入仍被 frozen private package unavailable 拒绝。生产触发器及迁移 1～23 原样保留。 - 同步根因是读取请求体前的漏接断连：开始审计写入后，还要 await api.state（包括知识空间锁和精确历史容量）。请求在此期间断开，后装的 aborted 监听器不会收到已发出的事件；readBody 永久等待，finally 的名额释放无法到达。对比 #138，#139 的精确 historyUsage 增加了此时序中的异步读取，扩大窗口；不是发布排队槽占用同步名额，也无需撤销停用／删除或读取范围保护。readBody 现在在预留正文预算、安装监听器前检查请求已 aborted／destroyed，返回既有 aborted 结果，沿原 499 审计与 finally 释放。没有延长生产或原测试超时，也没有改 429／200 期望。 - 新确定性回归通过真实 HTTP 独立传输、真实数据库和合成 Bearer，暂停两次状态读取；观察两条服务端断连后才恢复。两条 499 审计及下一条 200 均为必要条件，测试不靠固定睡眠制造竞争。旧实现运行该回归实际在 10 秒后取消，0 通过；复原修正后正常结束。 验证：修正前两个原文件 20 项，19 通过、1 失败、0 跳过，命名文档复现 P0001；该次同步偶然通过不否认 CI 的竞争。新增确定性反向复现 1 取消、0 通过，不计为通过。修正后首轮两个文件 21 通过、0 失败、0 取消、0 跳过；类型检查退出 0。连续十轮及同步／成员删除定向组结果完成后续记。 CI 优先修正最终验证： - 两个完整原文件用 node --test --test-concurrency=1 连续运行 10 轮；每轮均 21 通过、0 失败、0 取消、0 跳过（合计 210 次通过），退出均为 0。包含原有断连测试和新增确定性竞争回归；原下一次请求的 200 期望没有放宽。 - 同步与成员删除定向组 25 个文件，node --test --test-concurrency=2：128 通过、0 失败、0 取消、0 跳过，退出 0。包含 records 的 personal-sync、mode 及所有 member-deletion 文件，knowledge 的 personal-sync/commit 与 member-deletion，runs 的 engine/member-deletion、packs/member-deletion 与缓存文件，三个 console-sync 文件、console/member-deletion、personal-sync HTTP 与通用 http；另含 environment、diagnostics、PG 18 ownership、lock-namespaces、migrations.snapshot、password。实际设置 CIRCLE_HUB_LIBPQ_BIN 为本机 PG 18 客户端目录，未跳过备份／恢复或权限组。 - 验收 49、54 顺序运行（--test-concurrency=1）：8 通过、0 失败、0 取消、0 跳过，退出 0；覆盖 HTTP 双客户端、CAS、原文字节、切换清除与删除后的团队独立持有。 - 类型检查退出 0；完整 .github/checks 文档／工程检查 315 通过、0 失败、0 取消、0 跳过。迁移 1～23 没有任何差异；没有合约、生成物或配置变更。最后补录后重跑文档专项及 diff 检查。 - 没有运行全量 unit／acceptance、Linux isolation 或 GitHub CI，没有部署／业务数据／真实模型验证。来源工具没有改动，verify:references／test:references 未运行；这些未执行项不算通过。没有实际跳过项。 2. 团队容量——按 Claude 本轮已批准形状实施，确切合约变化如下（不另等提案确认）： - model.version 从 32 升 33；R01 补团队空间默认 10 GiB（10,737,418,240 字节）与管理员可调、共享和管理员导入必须持团队锁检查、已保留团队内容不因私人清除／恢复而释放的规则。10 GiB 是 Claude 本轮指定的实施默认值，最终默认值由 Claude 向所有者确认，未记作所有者已确认。 - knowledge-space-quota@1 的 space 从 UserId 扩为既有 SpaceId（UserId 或 team）；旧记录原样有效，无新记录种类、表或迁移。SPACE_CAPACITY_EXCEEDED 的 when 去掉仅个人限定，代码和数值拒收形状保留；团队错误在 detail.capacity 可带既有空间标识 space=team，数值字段不变，便于同一展示器选择团队用语。成员收到同码团队拒收且不带团队数值详情，管理员才有完整数值。 - 团队用量与个人采用同一已验证记录计费口径：知识／原文、空间版本元数据、记忆及其历史；不把产品挂载的外部原文字节或工作流执行文件擅自计入。撤回、私人清除与重开同步不抵扣已保留团队历史。团队记忆同属这一空间，新增历史也核对同一容量，避免从记忆分享旁路。48,000 字节／20 文档的会话当前量限制仍独立保留。 - 管理员团队页显示团队容量，和成员容量复用同一数值／单位／精确换算／确认 Dialog 与 quota 操作；非管理员不显示、不提供调额，服务端同样拒绝用量读取和写入。降额保留内容、暂停新增；调高可重试。分享在复制全局原文字节之前预估并检查，提交时再按实际新增记录复查，失败不留下可读团队副本或全局原件残留。 - 重新生成合约与四份通用技能的协议镜像，仅同步这些生成镜像及 pack.json 的补丁版本与文件清单，不改技能业务代码；同步两个模型版本固定测试。允许路径沿用本任务 contracts／hub／验收／文档范围，四个通用技能仅上述镜像与 pack.json。冻结迁移 1～23 不改。 第 2 项实现与验证： - 新回归覆盖 600 KiB 个人容量下连续三轮共享及清除／恢复：团队已留存内容不释放，超额共享在写入记录及复制全局原文字节前拒收；两份独立服务并发共享也不能联合超额。管理员团队导入／归档、降额保留／调高重试、团队记忆历史、成员隐藏数值与不可调额均验证。实际计费继续复用有界历史账本，不信任版本累计数值。 - 合约重生成 6 写入、173 不变，共 179 文件；四个通用技能协议镜像及 pack.json 同步，html-format／mindmap-format 为 1.0.15，xml-format／workbook-format 为 1.0.16，业务代码未改。 - 首轮扩大组 404 项，403 通过、1 失败、0 跳过：归档合成夹具未使用既有 archive:摘要 消息，导致 SOURCE_UNAVAILABLE；按原接口修正夹具，没有放宽生产规则。首轮类型检查发现测试访问未公开的对象路径方法，改为从测试数据目录构造既有对象文件位置。随后容量、署名、记忆、控制台及成员读取组 54 通过、0 失败、0 跳过；新增合约／团队容量／界面烟测 9 通过、0 失败、0 跳过，类型检查退出 0、生成一致性 179 文件。 - 截图首轮发现 1024 与 390 宽度的默认 Inspector 隐藏了调额入口；增加管理员团队页“团队容量…”链接，选中后沿既有详情布局显示 Inspector，并补服务端回归。最终容量／调额两状态 × 深浅主题 × 1440／1024／390，共 12 张已逐张实际查看；真实 HTTP 200，外部 CSS、SRI、每响应 nonce、主题执行、键盘焦点与内部滚动均通过，运行时与资源错误为空。截图只保留本机，不纳入 Git。 - CI 优先修正完成后恢复本项，任务页只合并追加内容，保留两份记录。提交前重新运行类型、合约与新增相关检查；最终扩大分享／验收结果在第 3 项之后统一补录。不执行全量 unit／acceptance、来源验证或真实业务验证。 第 2 项提交前复核：类型检查退出 0；verify:contracts 对应生成一致性检查确认 179 文件一致；合约全包、团队／个人容量、控制台容量定向组 406 通过、0 失败、0 取消、0 跳过，退出 0。新增文件暂存后完整 .github/checks 315 通过、0 失败、0 跳过。迁移源码与快照保持不变，diff 检查通过。本项独立提交，之后再处理来源优先顺序。 第 3 项：分享 src 引用按“提交者本人已署名的精确采集 → 当前可读团队副本 → 其他当前可读且已署名采集”选择。原文核对、引句核对、复制及第 1 项依赖锁收集使用同一分享专用选择器；普通读取、精确采集引用及运行绑定不变。没有可用已署名选择时继续原有未署名／无权／不可解析拒收，不借相同字节的其他采集伪造署名。 四项新回归覆盖：早于本人上传的他人授权副本、早于本人上传的团队副本、团队优先于其他签署者、最后的授权副本与撤销后的拒绝。前两项在旧实现上实际失败，另两项通过；修正后新旧署名、所有者锁及团队容量合计 16 通过、0 失败、0 取消、0 跳过，类型检查退出 0。旧“同字节不继承署名”夹具仍保留 SHARE_UPLOAD_UNSIGNED 断言，但将已有署名采集明确设置为不可读，确保只有待测未署名采集可选；否则旧夹具强迫选未署名副本，会与已批准的本人署名优先要求矛盾。新增用例还直接验证被忽略的本人未署名采集在分享之后仍为 unsigned，不减少这条安全约束。 无新增合约、错误码、配置或迁移。最终受影响组、验收 46～53 及完整引擎／工作流在这一稳定实现上顺序执行，结束后补录，不以旧实现或进行中的结果代替通过。 第 3 项稳定逻辑的最终定向结果：受影响知识、分享、署名、归档、记忆、容量、停用、同步、控制台／团队／成员读取及 PG 18 护栏，共 173 通过、0 失败、0 取消、0 跳过，退出 0，约 44 秒。验收 46、47、48、49、50、51、52、53 按 --test-concurrency=1 完整运行，45 通过、0 失败、0 取消、0 跳过，退出 0，约 59 秒。完整 packs/workflow 与 hub/runs/engine 使用 --test-concurrency=4，设置 HUB_UNIT_CONCURRENCY=4；该组仍在运行，未计为通过。 完整引擎／工作流最终结果：node --test --test-concurrency=4 'packs/workflow/**/*.test.ts' 'hub/runs/engine/**/*.test.ts'，2779 通过、0 失败、0 取消、0 跳过，退出 0，约 372 秒。macOS 沙箱依赖用例实际执行，没有替换隔离条件。受影响组、指定验收、大组按此顺序执行，生产代码期间保持稳定。最终类型、生成一致性、文档与当前合并结果上的两个 CI 文件烟测随后补录。 提交前最后复核：类型检查退出 0；合约生成一致性仍为 179 文件。当前全部修正合并后的两个 CI 文件再跑一次，21 通过、0 失败、0 取消、0 跳过（此前 CI 修正的连续十轮仍全部通过）；完整 .github/checks 再跑 315 通过、0 失败、0 取消、0 跳过。相对本轮起点 94f43b1f，迁移源码及快照无任何差异。差异与暂存检查通过。最后补录后只跑文档专项，随后本机署名提交第 3 项。 本轮三个审查项目均各自提交，另有优先 CI 修正的独立提交。实际最终执行组全部零跳过；没有运行全量 unit／acceptance、Linux isolation、GitHub CI、来源专项或真实业务／模型验证，未执行项不算通过。没有 fetch／push／PR 或部署操作；团队默认 10 GiB 仍按 Claude 的实施要求保留，等待其向所有者确认。截图及合成测试日志只留本机，不纳入 Git。 ### PR #139 控制台管理页回归修正（Claude 2026-11-03） 来源：Claude 报告 dd950f07 的 console-manage 操作页面测试失败，要求保留 200 期望、增加回归并执行整个管理文件及控制台全组。 - 本机整文件复现为 11 项中 10 通过、1 失败：四个操作页本身均为 200，随后 /console/admin 为 400。99971df1 的团队容量入口直接访问 deps.knowledge.spaces；管理桥的最小测试服务未提供 knowledge，TypeError 被页面边界转换为 400。团队页此前无此依赖，故属于新增空值访问回归。 - 单独用 test-name-pattern 筛选“四个操作页”时，会跳过前一个创建管理员、修改首次密码并登录的测试，session 为空，确实复现 member 的 303。这个未登录跳转本来就应保留，不是容量页面的新路由设计。未改变任何已有 200 断言、初始化／首次改密测试或认证保护；整文件是此原有顺序夹具的有效运行方式。 - 团队页统一使用可缺失的 knowledge?.spaces；容量选择、用量与按钮只有端口存在时出现。成员详情元数据也补齐同样的空值保护。存在端口但读取失败的情况不被吞掉，不把不可用用量显示成零，不修改容量规则、合约或迁移。 - 新独立回归使用临时 PostgreSQL、独立回环监听器和 testConsoleCredentials 对应的合成密码登录，分别覆盖无知识端口与有知识端口但无 spaces。管理员的团队列表、管理页、容量选中地址、成员详情及添加成员页须 200；成员自己的详情须 200，管理员页仍 404；未登录操作页仍 303。两种缺失情况下均不渲染容量数字或调额操作。修复前该回归在 /console/team 实际因 400 而失败。 - 修复后整份 console-manage 与容量回归文件共 13 通过、0 失败、0 取消、0 跳过；原 console-manage 的 11 项及 200 期望全部通过。完整控制台、类型及平台护栏随后补录。仅在独立克隆提交，不 fetch／push／建 PR。 本次最终验证： - node --test --test-concurrency=1 hub/server/console-manage.test.ts hub/server/console-team-capacity.test.ts：13 通过、0 失败、0 取消、0 跳过；管理整文件原 11 项全部执行并通过。新回归可独立运行，不依赖管理文件前一项的登录副作用。 - 完整控制台：用 rg --files hub/server 选择根目录 console*.test.ts 及 console 子目录全部 *.test.ts，显式传入 node --test --test-concurrency=2，共 43 文件、192 通过、0 失败、0 取消、0 跳过，退出 0，约 136 秒；没有只跑新回归代替整组。 - 平台护栏：node --test --test-concurrency=2 hub/platform/environment.test.ts hub/refs/diagnostics.test.ts hub/platform/ownership.test.ts hub/records/lock-namespaces.test.ts，17 通过、0 失败、0 取消、0 跳过，退出 0。设置 CIRCLE_HUB_LIBPQ_BIN=$HOME/.local/pgsql-18.6/bin，PG 18 权限及备份组实际执行。 - 类型检查退出 0；完整 .github/checks 文档／工程检查 315 通过、0 失败、0 取消、0 跳过，退出 0。console-manage.test.ts 相对 dd950f07 无差异，原认证及 200 断言保持。补录后只重跑文档专项与差异检查。 - 不修改合约、生成物、配置或冻结迁移；没有运行全量 unit／acceptance、引擎／工作流、Linux isolation、GitHub CI、来源专项或真实系统检查。这些未执行项不计为通过，实际执行组零跳过。本次只改可缺失功能的页面保护，没有布局或样式变化，未重拍截图。只在本机署名提交，不 fetch／push／建 PR。