46 Commits

Author	SHA1	Message	Date
ThearchyHelios	8ed74bbe97	合入期 2 变化三分法（前端）：运行对比页（摘要、指标表、效应拆分、维度归因、查询与模板差异），运行详情加「与上一次对比」 ... # Conflicts: # frontend/src/types.ts # scripts/check-all.mjs	2026-10-05 12:50:04 +08:00
ThearchyHelios	4deffd62f7	定时任务前端底座：接口约定的类型、api.schedules、页面用的纯函数和文案 ... types.ts 末尾一段写定时任务的接口约定（Schedule、Fire、预览、变量、立即运行、触发历史、Webhook 测试），字段名和形状照前后端共用的约定，不各自发挥；运行列表的 schedule_id 用同名接口合并补在这一段，不去改上面 Run 的定义。 api/schedules.ts 挂上全部接口：列表、详情、新建、修改（只带改了的字段和读到的版本）、删除、预览（可取消，丢掉过时的请求）、变量、立即运行、触发历史分页、发送测试消息。 pages/schedules/model.ts 是不碰 React 的纯函数： - 频率预设和 cron 互转：每天 / 每周（连着三天以上写区间）/ 每月 / 每隔几小时（只给 24 的约数，*／5 在跨天处会断）/ 自定义；填得不完整时返回空串，不拿猜出来的频率顶上；认不出的 cron 一律算自定义、原文照放 - 按定时任务自己的时区写时间（Intl 取各段再拼中文，周几、偏移照算），本机时区另给；距下次运行先取整再判档 - 表单和请求体互转：修改时和打开时的表单比，只交改了的字段（cron 写法不同但人没动不算改）；Webhook 按约定地址省略即不改、空串即删除，密钥省略即不改、空串即清除，交 Webhook 时格式和事件总是一起交 - 表单的问题按字段给出，写在对应的输入框下 terms.ts 的 SCHEDULE_TEXT 写全定时任务页的文案；占位页的两条先留着，换成真页面时删掉。「钉钉」是 Webhook 的产品名，会被「钉住」那条规则误报，在 copy-allow.json 里登记一条例外并写明理由。	2026-10-05 08:56:02 +08:00
ThearchyHelios	e6c77ea4ee	运行对比页（前端）：两次运行的指标变化按数据、口径、模板与 SQL 拆开讲 ... - 运行详情「更多」加「与上一次对比」：先问 compare/base 找默认基准再跳到对比页；没封存、还在运行的不给点； 找不到基准时留在原页，提示服务端给的原因，并可去对比页手动选择基准 - 对比页（/runs/compare?target=…&base=…）：顶部两次运行（名字、时间、类别与版本、定时来源、未封存标记，可点进 各自详情）、互换、换基准下拉（运行列表接口按工作流取，未封存的列出但不能选）；摘要条八类的个数照服务端的 summary，点一类只看这一类；指标表用服务端渲染值，能严格拆分的并列口径效应和数据效应、画两截条形，并写明两者 之和等于总变化，不能拆的写服务端给的原因；展开看变化说明、输入对比、维度归因前 10 项（没有占比时写原因）； 查询区标结构状态，只参数变列出字面量，结构变并排两条 SQL 逐词标出各自独有的部分；模板区写版本、变化的节点和 配置项；说明照实列出 - 加载、找基准、409（未封存或封存核对不一致）、422（不是同一工作流）、404、找不到基准、空对比都写清楚；请求按 「本次 + 基准」取，换基准、互换时丢掉过时的答复，开发模式的 StrictMode 下同一份对比也只请求一次 - 窄屏表格在自己的框里横向滚动（指标名一栏钉住，展开的明细按可见宽度排），深浅色下分类标签、差异高亮对比度都 在 4.5 以上 - check-compare.mjs 换成真检查：page.route 假接口覆盖入口、摘要、分类、拆分、归因、SQL 并排、换基准与互换、 过时答复、各类错误、窄屏和深浅色	2026-10-05 08:43:32 +08:00
ThearchyHelios	26595b70f7	合入期 1 数字推演沙盘：证据面板里改口径卡的输入、排除查询结果的行，即时看指标和报告引用处的新值；推演只读、不写运行记录，醒目标注推演非出具；口径卡的容器型输入此后另存完整值 ... # Conflicts: # scripts/check-all.mjs	2026-10-05 07:53:42 +08:00
ThearchyHelios	633af950db	数字推演复核修正（第 1 轮，界面）：整份结果在推演区里勾行，只让用到的行可勾，勾完结果就在手边，加载中和失败后不摆上一次的答复 ... - 整份结果、数组字段作输入时，输入下面给「勾选要排除的行（共 N 行）」，按页取整份快照来勾：证据链里没有它的查询步骤、 或者查询步骤只给前后 2 行时也勾得全 - 查询步骤里的勾行表格只让这个指标用到的行可勾（row_span），别的行禁用并说明没用到，勾了也不发请求 - 勾行表格底下带推演结果（旧值 → 新值或原因）和「回到推演结果」；勾完、答复回来后各把它带进视野一次（答复回来时上面 的内容会变高，把表格往下挤） - 推演的请求和答复提到片段那一层，推演区和查询步骤共用一份；答复回来之前随改动变的部分变淡、标为忙，请求失败时结果、 排除标记、报告中会变的地方、下游口径卡都不显示，不拿上一次的答复充数 - 整个指标推演不了（口径卡没记输入）时只说原因，不再同时写「无可推演」和「无变化」，也不画勾选框 - 快照读不出来的输入写「查询快照无法核对，不显示原值」；没有能改的输入、也没有能勾的行时说一句为什么 - check-whatif 补对应检查：整份结果勾行、上下文行不能勾、勾完结果整个在视野里、封存核对未通过、加载中和失败后、整个 指标推演不了、窄屏里的勾行表格；ESTIMATE 按实测改成 28 秒	2026-10-05 05:43:17 +08:00
ThearchyHelios	cf038c95f5	证据面板加数字推演：指标步骤上「推演」，改输入、勾掉查询结果里的行，看这个数和报告怎么变 ... - run/WhatIf.tsx：推演区。顶上醒目横幅「推演，非出具：不会写进运行记录，也不会改动报告」，运行未封存另行提示； 旧值 → 新值和变化量（比率、百分数写「个百分点」）、推演代入式、输入（数值可改：停顿 450 毫秒或回车、失焦才提交， 写的不是数提示并保留上次的结果，Esc 退回）、不支持推演的输入和原因、报告中会变的地方（可定位）、可能受影响的 下游口径卡、恢复原值；加载、失败（可重试）、空态都有。新改动来了旧请求直接丢掉，答复按请求体缓存 - EvidencePanel.tsx：MetricPart 挂「推演」开关和推演区；QueryPart 只在推演时把结果窗口换成带勾选框的表（WhatIfRows）， 勾掉的行划掉、遮罩列照旧写「已遮罩」。草稿按（运行、报告、口径卡、指标）认，同一个指标的几处引用之间来回切不清空 - 接口 api.whatif.run、推演相关类型（types.ts 末尾独立一段）、WHATIF_TEXT 文案 - 预览用例 ?syn=whatif / whatif-rail 和 check-whatif.mjs（54 项，用 page.route 假接口）：请求体、防抖、回车、排除行、 恢复原值、收起、不支持的输入、遮罩列、加载 / 失败 / 未封存、390px 与 360px 右栏不横向溢出、深浅色横幅对比度	2026-10-05 04:04:30 +08:00
ThearchyHelios	d85b634f75	记录页封存凭证条加「导出可验证报告」：已结束且已封存的运行可下载，不可用时说明原因 ... - api.bundle.download 取文件和服务端给的文件名（优先 RFC 5987 的 filename*，没有再看 filename），下载照 EvidencePane 的写法 - 按钮只在运行结束且已封存时可用；运行中、等待审批、接着跑（留着旧封存）、没有封存清单时禁用，悬停和读屏都说明原因； 服务端回 409（封存核对不一致等）时提示原因 - 文案进 BUNDLE_TEXT；预览用例 dev/fixtures/bundle.tsx（已封存、运行中、等待审批、未封存、接着跑）给 check-bundle 用	2026-10-05 03:58:13 +08:00
ThearchyHelios	90dac0992b	复核套件骨架（前端）：节点库加双盲复算、反方审稿（把关类，图标、配色、空配置，说明和卡片写明尚未生效，检查器照常打开）。路由加 /runs/compare（排在 /runs/:runId 前，标签页标题写「运行对比」）和 /schedules、/schedules/:id，都是页头加「功能开发中」的占位页；导航和命令面板在设置前加「定时任务」，快捷键 ⌥8，设置仍是 ⌥7；八个导航项在 480px 高的窗口里放不下，矮窗口的导航项从 40px 收到 36px。请求层从 api/client.ts 拆到 api/http.ts，client.ts 原样转出原有导出并加转请求函数；schedules、compare、bundle、inquiry、whatif 各一个空的命名空间文件，从 http.ts 取请求函数、挂到 api 上，不和 client.ts 互相导入。terms.ts 给各包占好文案块（RUN_COMPARE_TEXT 和配方对照的 COMPARE_TEXT 分开）。审批卡留两个插槽：payload.kind 为 dual_check 时的 DualCheckApproval，报告核对概况后面的 ChallengeSummary，都先返回 null。预览页自动收 dev/fixtures/*.tsx 导出的 cases，?syn= 先查这里再走原有用例。check-shell 跟着改导航项和快捷键的断言，check-copy 的 for_model 检查把 http.ts 和 client.ts 合起来看	2026-10-04 23:40:20 +08:00
ThearchyHelios	5b3839f787	数据目录 F2b：剖析的 409、剖析设置的 422 带机读码，界面不再从原话里认是哪一种——服务端用 api/coded.CodedHTTPException：剖析开始不了的五种情况带 code（profile_disabled、datasource_inactive、schema_missing、profile_busy、snapshot_tampered），保存数据源时剖析设置不合规带 code=profile_settings_invalid 和出错的那一项 field（max_queries……），给人看的那句不变；CodedHTTPException 多一个可选的 field；前端 profileBlockOf、profileFieldOfRejection 只认 code 和 field，没带机读码的旧响应按通用提示处理；补后端测试和检查脚本的断言（伪造的 409、422 都带 code）	2026-10-04 03:03:23 +08:00
ThearchyHelios	cece781b5a	合入集成分支（阶段 2A 数据剖析、4B 剖析与 SQL 检查界面及修正）到 4A：两边功能都保留 ... 冲突的解法： - 后端 api/catalog.py：同时导入 catalog_impact 和 catalog_profile、SnapshotTampered；data/catalog.py：__all__ 取两边的并集重排。 - 2A 放宽了码值校验（含义可以为空，剖析写进来的是「含义待填写」）：目录修改提案的码值补充改为含义为空的码不覆盖已有含义、 只在原来没有这个码时加进去，补了测试；卡片和过程里的码值把空含义写成「含义待填写」，和目录页同一个说法。 - 前端 types.ts、terms.ts：两边各在同一处追加了新段落，按顺序都留下（提案、影响面、目录版本在前，剖析、码值、SQL 检查在后）， 没有重复的键；client.ts、decode.ts、CatalogPage.tsx、TableDetail.tsx 的导入取并集。 - check-catalog.mjs：影响面和剖析、保存数据源三条假路由都留下，各节和最后核对真库数量的逻辑不变。 - 4A 的测试数据源改用 tests/fixtures/sources.py 的 drop_source 删除，顺带作废连接池。	2026-10-03 12:35:47 +08:00
ThearchyHelios	958e096e56	数据目录阶段 4A 影响面：新增接口列出引用某张表的已发布和受管模板，区分直接引用和可能涉及、合并查询按输入追溯，表详情和保存纠正后都显示	2026-10-03 11:52:49 +08:00
ThearchyHelios	6ce01f0b0d	数据目录页加数据剖析：选范围、确认预算后开始，进行中写已用时长并说明无法中途停止，报告列出查询用量、停止原因、每张表的关系核实、码值候选、业务日期提议和跳过的项；各类 409 写明下一步，未开启的就地打开设置；码值含义为空时显示「含义待填写」并可逐个填写	2026-10-03 11:45:51 +08:00
ThearchyHelios	1c806fa3a0	数据目录阶段 4A 前端：画布和问数据页的回答下显示「建议更新数据目录」卡片，逐项列出改前、改后和理由，保存带版本记为人工确认，遇到 409 可重新载入后再保存，也可忽略	2026-10-03 11:40:37 +08:00
ThearchyHelios	b90d235d64	数据目录阶段 1C：前端接口层与类型，表清单、单表详情、整份提交、单项审阅、起草	2026-10-03 09:56:21 +08:00
ThearchyHelios	e4f8ee5d08	Excel 导入改造期 4：证据下钻——报告里引用上传表格的数，点开能看到它来自原表格的哪一格；裁判核对时看得到来源、口径、接受理由和区域外文字 ... 推断的来源（新 engine/direct_select、data/provenance、data/provenance_db；api/evidence 新增推断来源接口） - 只对直接引用一列的查询下钻：受限文法用和执行时相同的 SQLite 分词读法，别名互换、自连接、表达式、聚合、子查询、集合运算（含藏在注释、字符串、方括号、转义、BOM 之后的）一律只给表级来历；再用 EXPLAIN 字节码和授权回调兜底 - 结果带齐主键、值非空，按主键参数化回查只读快照、类型和值严格一致才给格子；不一致时整份重算库哈希，哈希不符标红 - 从导入清单和溯源找回格子：宽表、交叉表逆透视的长表（日期取自表头格、年份取自统计期、行标签、分段标题）、列表、合计表、按期累积的并集（换算到所属那一期）；原文与规范写法不同时一并列出 - 清单读不到、登记哈希与清单不一致、快照已回收、遮罩列，都只给表级来历或不给，写明原因；原件已清除、接受已作废照实显示；未封存的运行照常推断并标明 - 相关核对：这一行、这一期的核对结论与接受理由 裁判摘录（engine/judge） - 带期 4 标记的报告，上传表格的查询旁加来源行、口径行、接受理由、可见单元格里的区域外文字和人工录入的统计期；限定语写明这些数未经系统核对，长度有上限、截断时写明 - 隐藏行列里的区域外文字不送；设了遮罩的源只写条数 前端证据面板（run/EvidenceProvenance；ManifestBody 从版本页抽出复用） - 「推断的来源」一节与已封存的证据分开标注：格子坐标、取自哪些格、年份来源、规范写法、回查、相关核对、数据版本与各期；标红与拒绝原因按状态显示 不变的部分 - 文档顶层加 provenance 标记，只有新报告走新路径；期 4 之前的运行、非上传源、手工源的面板、复核、裁判摘录逐字不变，由金样测试钉住 - 执行器给区域外文字记录是否在隐藏行列；不建「导入校验」系统表（D6）	2026-10-02 14:38:10 +08:00
ThearchyHelios	2cdbf9a733	Excel 导入改造期 3：网格交互、自助修复、按期累积——每月的报表可以累积成一份跨月的表，漂移了点修复按钮就能接着导入，网格上框一块就能写进配方，版本页可以回滚、移除一期、清除原件 ... 按期累积（新 recipe_accumulate；table_versions 扩展） - 按统计期出的交叉表报表首次导入时默认「按期累积」，由人确认；一期一个构建，两期及以上物化成一份新的 SQLite 快照，不用视图 - 统计期完全相同要勾「替换该期」，部分重叠拒收，中间有空缺要确认；物化前逐期核对库哈希和行号，并集上另加行数守恒、主键唯一、日期落在所属统计期三条核对 - 配方演进分三档：新增列（早期各期为空值）、退役的列和表保留旧值（只在这次才退役时要勾）、不兼容变化只能显式「重新开始累积」 - 快照 id 在累积时含目标配方和模式；同样的输入物化两次库哈希相同，同一文件换名再传直接复用 - 说明按期合并，任何一期没核对过就不写「已核对」；各期维度取值不同、退役列、合计表都有提示，经过数字检查 修复按钮（新 recipe_fixes；执行器给问题带结构化参数） - 加入标签、移除标签、声明为合计行、分段标题改名、编辑恒等式成员、按锚点忽略行/列/区域外文字、声明占位符、声明隐藏行处理、工作表改名 - 服务端算补丁，先预览新旧配方对照、再应用，可以撤销；补丁封闭，不引入正则、自由文本常量和写死坐标；修复进确认清单 - 只改分段标题、新标题仍含原来选的词时沿用已确认的常量，不算破坏性变更；修复后只查改动过的段的认领，没改的关系交给试运行核对 框选转锚点（新 recipe_select） - 网格上框选（鼠标、键盘、区域输入），按八种用途换算成按文字认的锚点，立刻干跑比对；配方里不存坐标，泛化不了时列出原因 - 整张表挪位后同一配方照样认得；框进合计行、夹着小计、表下说明都有明确的处理 确认与对照（recipe_confirm、recipe_diff、新 recipe_compare） - 改配方后确认清单只列有变化的项（同时按本期数据比较），不用每修一次重勾十来项；新旧配方对照界面；按规则重新起草并把名字对齐到现行配方 - 改配方后已体现在配方里的回答保留，矛盾的列出来请人重答 - 「排除的行」写进回执和导入清单：隐藏行、跳过的空行、按配方忽略的行、停止后的文字行、只核对不另存的合计行 版本页（新 source_versions、api/source_versions；前端 VersionsDialog） - 快照与导入记录列表、启用旧版本（可写理由）、查看清单、移除一期、作废接受、清除原件；写操作带界面看到的当前版本，并发改动回 409，不静默丢期 - 除当前版本和被运行引用的版本外，再保留最近 3 个版本供回滚；遮罩列丢失要明确确认 期 1、期 2 遗留 - 重传撞上被改过的构建文件：能用本次上传恢复就隔离旧文件再恢复，否则回 409，不再是 500 - 跳过空行的列表不再把表下隔一行的说明读成数据；不像说明的单格行要人确认；受影响的配方构建换 id - 版本存储加进程级文件锁：第二个进程拿不到锁时不清理、不回收，写操作回 503（部署本来就是单进程）	2026-10-02 07:38:44 +08:00
ThearchyHelios	2d5e50fa88	Excel 导入改造期 2：配方引擎与确认向导——表从哪一行哪一列开始、哪些是合计、日期怎么补年份，都写进一份可校验的配方；首次导入经人确认，之后每期按配方重放并核对 ... 配方语言（agentlab-recipe/2，新 recipe_types、recipe） - 封闭、不含正则、保存时静态校验：常量只能从表里的候选文字里选，占位符只能映射成空值，单位从固定词表里取 - 交叉表和列表两种版式；分段各自定位、不依赖先后顺序；合计按标签语义区间核对，关系恒等式、口径不同的声明都写在配方里 - 固定的解析器集合（parsers/2）：全角、各类横线、千分位、月日写法宽容归一，规范写法存库、原文另记 执行器（新 xlsx_cells、recipe_engine） - 两遍读取逐行对账，每个非空格都要有去向（格子账）；交叉表逆透视成长表，按统计期补年份并断言覆盖整期 - 合计行改作核对并另存一张表，不和明细混在一列；区域外文字、隐藏行列、合并单元格、空行之后的文字都单独报出 - STRICT 加主键写临时库；按锚点段记溯源，供后续证据下钻用；大表流式读取，扫描在 sheetData 处停止 校验与说明（新 recipe_checks、recipe_notes） - SQL 核对分通过、不一致、无法核对三种结果，失败分结构、数据质量、需确认三类；结构类直接拒收 - 数据质量类可以写理由接受，接受不改库、只改状态和说明 - 表的说明按核对结果生成、不含数字，经过数字检查；没核对过的不写「已核对」 起草（新 recipe_suggest、recipe_ai） - 先用规则起草：建议卡片加待确认问题（关系要不要登记、占位符表示什么） - 规则起草不完整时才提示 AI 兜底：界面先展示要发出的全部文字，用户同意才发；只发结构，数字、隐藏行列、遮罩列不发，公式先脱敏；同意绑定模型和服务方；AI 只写配方，有限次修订，记 token 和费用；截断单独识别 - 无论规则还是 AI 起草，都必须人工确认才能启用 导入流程（新 recipe_imports、recipe_confirm、recipe_diff、api/table_imports） - 暂存 → 起草 → 回答问题或改配方 → 试运行 → 勾确认项、写接受理由 → 确认并启用；接入期 1 的构建、导入记录、快照和运行固定版本 - 上传新一期按已确认的配方重放，不调用模型，出回执和差异卡，手动启用 - 改配方报破坏性变更（breaking:*）、单位变化、工作表改名的兜底，都要逐项勾选确认 前端导入向导（新 pages/import） - 原始网格（行列号、去向着色）、建议卡片、配方面板（表单，不露正则）、试运行回执、确认清单、差异卡、AI 起草的同意对话框	2026-10-01 22:00:07 +08:00
ThearchyHelios	8059cd5147	Excel 导入改造期 1：止血与版本底座——写错的列名不再静默得 0，导入不再悄悄读错，每次上传生成不可变的版本，运行固定发起时的数据版本 ... 连接层 - 所有 SQLite 数据源关闭双引号字符串兼容（DQS），写错的双引号列名直接报错；设置失败就拒绝连接，启动时自检 - 连接缓存按数据源加版本快照分键、按源整体失效、最多 32 个；版本快照以 immutable 只读打开，建连接前核对文件哈希，并在借出连接时核对文件指纹，被改过就拒绝查询 - 结构探查遇到取不了列的视图时逐个对象重取，只跳过坏的那个并注明原因 解析（新 xlsx_scan + tabular） - 先流式扫描真实边界和版式（不信 dimension），再按边界读值，不整表进内存；按 Excel 自身上限设硬上限，并发解析最多两个 - 隐藏和深度隐藏的工作表不导入；稀疏区域、无缓存值的公式、同名工作表、DTD 拒收 - 去掉空行和两侧空列；列名表名统一规范化（新 names 模块）并保留原表头，撞名不再互相覆盖 - 前导零、超长数字按文本；千分位按数字；日期不带 T；带单位的数字文本写进回执 - 数字列混入非数字、交叉表和多块结构必须由用户决定（422），可选存空值或按原样导入（未规整）；STRICT 建表，整份在一个事务里写完 版本底座（新 table_versions、raw_store） - 每次上传写新库文件、落盘、0444，事务里写构建、导入记录、快照后才切指针；失败时旧版完整可查 - 原件按哈希存档，不提供下载，可以清除；上传源不许改连接字段、不再重新探查；手工 SQLite 源不许指向上传目录和应用自己的数据文件（按文件身份判断） - 启动时清理半成品与孤儿文件、给老上传补初始版本；被运行引用的版本不回收，发起运行与回收互斥 - 上传接口的解析移到线程池 运行固定数据版本 - 发起时把图里（含子工作流）用到的上传源的当前快照记进运行记录和 run.started，续跑、审批恢复沿用；数据源工具按固定的快照生成描述、表结构并查询 - 固定的版本没了、源被删除后同名重建，都明确报错，不改用当前版本或同名的新源；查询快照记 data_version 证据层 - 新报告记 entity_syntax: 2，[[t:明细]]、[[c:明细.金额]] 和 SQL 里不加引号的中文表名都认得，名字按 SQLite 的口径查找；老报告按原规则复核，结果不变 - 写作规则改为中文表名、字段名一律用 [[t:]] / [[c:]]；未规整的表在工具描述、写作目录和裁判摘录里标出 前端 - 上传弹窗接上导入前的决定（混合列、交叉表）和导入回执（跳过的隐藏表、类型转换、警告、原表头对照、未规整标记），上传前告知原件会保存 - 数据源卡片按 origin 认上传的表格，显示当前版本；上传的表格不再给「探查结构」	2026-10-01 13:42:04 +08:00
ThearchyHelios	03c18c4d78	界面文案整改：口语改书面、术语统一、不再露出实现细节；修掉几处说错的提示；新增文案检查防回潮 ... 一、文案（前端约 1600 处，后端传到界面的约 880 处） - 术语统一：工作流层面用「运行」（继续运行、重新运行、试运行），节点和工具层面用「执行」，不再用「跑」； 总时长 / 执行时长 / 等待审批；服务端；助手；Agent；token；工作流；固定版本；模型接入；系统提示；批准 / 驳回；受管级别 - 口语改书面：取不到、没取回来、读不懂、连不上、多半、照样、兜底、揉成这类说法改成「无法 / 未能 / 失败 / 请」；去掉拟人写法 - 不再露出实现细节：界面上不写 checkpoint、同一拍、哈希（凭证处除外），不写改版历史（「以前…」「老数据」）； 报错、校验、门禁、自动修复里裸写的配置键名和枚举值换成界面上的中文标签，由新的 backend/app/engine/labels.py 统一提供； 发布弹窗里结论句的选项不再是 off / require_citation - 同一件事只留一种说法：生成阶段文案、出具档位说明、画布锁定提示各合成一份 - 去掉界面上的工业场景示例（MES、ERP、「张工」「王工」）和真实产品名，换成通用示例 二、说错的提示（都有测试证明） - 数据库测连接失败时的专用提示以前从不出现（按报错文字全等比较，永远比不上）：改为按错误类型判断，不再拼出重复的前缀 - 「设置 → 供应商」改指「设置 → 模型接入」；「在设置里建数据源」改指「数据」页 - 缺少 API Key、模型接入已停用的报错不再夹英文，写明去哪里填 - 两处原因说错（「这种引用在后续版本支持」「这一版还不支持」）改成真实原因 - 节点说明里不准确的说法改正：代码节点在 microVM 或系统沙箱中执行；报告撰写、口径卡的说明不再说过头 - 导出的证据 CSV 里两列同名，第三列改为「片段编号」 三、前后端对齐 - 前端按后端原文识别日志、报错的地方，新旧两种写法都认得（历史运行里存的是旧文字），逐条补了新旧原文的核对 - 后端交回模型的原指令放进单独的 for_model 字段，前端在解析响应时去掉，不会显示到界面上 四、检查 - 检查脚本里按原文匹配的断言改成新文案；改完会变成永远成立的反向断言逐条修正，并做了变异验证 - 新增 check-copy（静态扫描前端界面字符串和后端上界面的文案）：再出现「跑」「后端」「多半」「令牌」、 界面上的 Copilot、裸写的配置键名、半角标点等就报错；确需保留的写进 scripts/copy-allow.json 并注明理由	2026-09-30 08:05:15 +08:00
ThearchyHelios	050bea4b72	可点击证据第五期：老工作流一键升级为可追溯结构；受管问数据图的 cells 一键选；pytest 并行 ... 一、一键升级（只给预览，不自动保存） - engine/upgrade.py：确定性改写，纯函数、重复执行结果不变 - R1 契约的叙述指向模型调用节点 → 换成报告撰写节点（system 和 prompt 合成写作要求，模型配置照搬），契约改成 report_from - R2 没有契约、但模型写的文字进了出口，而且上游有取数 → 同样换成报告撰写 - R3 input → 智能体 → 出口（问数据的典型图）→ 中间插入报告撰写节点，出口字段接报告的正文； 只改直接相连的出口，经过别的节点读它的出口原样保留并写明原因 - R4 配了 output_schema 的智能体 → 打开 cite_fields - R5 代码节点的产出被口径卡读 → 不改，只建议标成取数，等人确认 - 一个叙述里混了几个写作者的，不猜，整步不做并写明原因 - POST /api/copilot/upgrade-evidence：返回改动、说明和改完的检查结果；assist 时再交给 Copilot 把纯算术的代码节点 改写成口径卡表达式，不是纯算术的保留并给警告 - 升级和发布前修复走同一道「不许降低要求」的检查，只多两个由升级点名的例外：模型调用换成报告撰写、R3 改接的那条连线； 改完不能更糟 - 校验对符合 R1–R4 的旧结构给一条建议「可以升级为可追溯结构」，不算提示、不挡发布 - Copilot 自查：报告撰写节点上游没有任何能引用数字的来源时打回 二、界面 - 问题面板的快速修复「升级为可追溯结构（预览改动）」：逐项写「节点 · 字段：原值 → 新值」，节点类型的变化写成 「模型调用 → 报告撰写」，新插的节点和改接的连线另外写明；「应用」后走现有的保存，全图默认不丢 - 画布改过、存失败、画布被锁都有明确状态；保存失败后手动存成功会清掉「没存上」的提示， 画布和预览对不上时「重试保存」不再盲存；校验接口失败时升级块照样在 - 记录页里没有逐段证据的运行给横幅「这次的报告没有逐段证据 → 升级这张图」，跳到编排页并打开升级预览 - 修掉一处旧缺陷：应用修复时只换配置、不换节点类型，模型调用换成报告撰写后存下去的还是模型调用 三、受管门禁：cells 一键选 - 图里没有口径卡、契约又没写 cells: true 的受管图，以前能过门禁、正式运行却每次失败；现在门禁拦下， 发布弹窗给两个选项：写 cells: true，或交给 Copilot 改成口径卡指标（人亲手选的不算替人打开，Copilot 自己打开照样拦） - 「修完要更好」的复核不再把改完才冒出来、只能由人拍板的这一处算作改坏：Copilot 补上契约、把 cells 留给人问， 这一步会被采用，不再被判「冒出新的问题」作废 四、测试 - 开发依赖加上 pytest-xdist（锁文件只多了 pytest-xdist 和 execnet）：全量后端测试 -n auto 约 16 秒，原来串行约 2 分钟 - 修掉并行下暴露的一处测试竞态：运行先落终态、再另一个事务封存，测试改成等封存完成再核对	2026-09-29 13:27:27 +08:00
ThearchyHelios	9727c21d8d	可点击证据第四期：结论句由模型裁判；只引单元格的问数据图能发成受管 ... 一、结论句裁判 - 报告节点新增 claims: judge：写完、核对完之后，把结论句和它引用的证据摘录交给裁判模型， 判为支持 / 部分支持 / 不支持 / 不是结论，附一句理由；判定只标注，不改写正文 - 送裁判的句子按固定规则预筛：带引用的、含方向词或因果词的送去判，短句、过渡句不送 - 证据摘录：指标写名称、值和原式；查询给 SQL 前 300 字和被引用的行，被引用的列一定给到；遮罩列一律不给； 规则里写明「数字已经由系统核对过，不要复算」 - 一份报告合并成一次调用，超出句数就分批；结构化输出失败时退回 JSON 解析，再失败记为未裁判 - 裁判模型的优先级：节点上写的 > 设置里的「证据裁判模型」> Copilot 的模型；思考关闭； 和写作模型相同时给警告（等于自己审自己） - rewrite_once（默认关）：把不支持的句子和理由交回写作者只改这几句，再裁一次； 改写稿冒出原稿没有的问题就不采用，保留原稿和原来的判定 二、成本上限 - 每份报告的句数、金额、时长，探索运行每次点击的金额，全局每日金额，每一项都可以自定义，也都可以设成不限； 默认 40 句、$0.05、30 秒，每次点击 $0.01，每天 $2 - 调用前先估算，超出上限按优先级截断：先判带引用的，再判含方向词、因果词的，其余记为未裁判并写明「已到上限」； 不报错，也不让报告失败 - 每日花费按本地日期计数，持久化在设置表里；重跑同一次运行不重复计费；价格目录里没有的模型只计次数，并写明估不出金额 三、正式运行与探索运行 - 正式运行在报告节点内裁判，判定写进报告文档、随文档封存；不支持的按 on_unsupported（degrade / withhold）降档或不予出具， 裁判没跑成记缺口，不能判完整出具 - 探索运行按需裁判：POST /api/runs/{id}/evidence/judge，点开哪句判哪句；判定作为 evidence.judged 事件追加在封存之后， 标「封存后追加」，封存核对仍然一致；只读封存范围内的工件；同一句不重复判；运行在裁判期间被接着跑时不记录 - 正式运行调这个接口返回 409，写明「正式运行的裁判在节点内完成」 四、治理与自动修复 - G3 放开 judge：受管级别写 judge 必须写预算（judge.max_cost_usd，或显式写 null 表示不限） - 发布前自动修复：缺预算时给选项（默认金额 / 不限），不替人选； 从 require_citation 改成 judge 不算降低要求，judge 改回 off、withhold 放宽成 degrade 算降低要求 - Copilot 手册：受管模板可以写 judge 并带预算；问数据按需裁判，不替人打开结论句策略 五、界面 - 结论句句末放徽标：支持 ◆、部分支持 ◇、不支持 ! 整句浅底、未裁判 ?；不用表示「已核对」的绿色；n / N 也跳到不支持的句子 - 证据面板里「模型的解释」：带「模型判断 · 模型名 · 非确定」，封存后追加的另外标出； 「请模型判断这句」只在探索运行、还没判过时出现，触顶时写明已到上限和怎么调 - 出具横幅多一段结论句计数；设置页新增「证据裁判」一组（裁判模型、各项上限、今日花费），设成不限时写明费用受什么约束； 报告节点可以配 judge；运行轨迹里裁判相关的事件都有中文标题 六、门禁修正 - 引用模式下，图里没有口径卡（只引查询单元格）的，出具契约不再要求 metrics_from，受管门禁也不再要求 required： strict 加 cells 已经保证每个数都点得开、对不上就不予出具；有口径卡的照旧要求。 以前问数据的图怎么都发不成受管，Copilot 补上契约也会被判「冒出新的问题」作废	2026-09-29 11:10:53 +08:00
ThearchyHelios	d071bf119f	可点击证据第三期：表名字段名和引文也点得开、可疑实体与结论句、受管门禁 G1–G5、证据审计导出 ... 一、表结构、实体与引文 - 数据源工具查库时顺带存一份表结构快照（schema_snapshot），和查询快照一起进台账、进封存； 台账里的查询记下 SQL 用到的表 - 报告里的表名、字段名可以点：反引号里的名字一律核对，正文里的裸名字只在明显是标识符时才自动链接， 常见英文单词不链接；点开看到它出现在哪次查询、类型、所属的表，快照被截断时写明 - 找不到的名字标成可疑实体：在快照、SQL、结果列里都没有的记「可能是编造的名字」并给出最接近的 3 个； 快照被截断、核对不了的记「核对不了」，不冤枉成编造 - 检索引文 [[q:K1|原文]]：原文在检索快照的命中片段里逐字出现（空白归一化后）才算有出处，点开高亮原文位置 - 自动链接的名字不算句子的引用，只有写作者写的引用才算 二、结论句与出具 - 报告节点新增 claims：off（默认，保持原样）或 require_citation（没有引用的结论句计入缺口） - 受管级别的正式运行里，可疑实体和没有引用的结论句按「有缺口」降档，不拦截；探索运行和已发布级别只标注 - 契约的 claims 和报告节点的设置取更严的那个；受管正式运行里写 ignore 也按降档处理，并给出警告 - 出具横幅除了数字，也写出可疑实体和没有引用的结论句 三、受管门禁 G1–G5（只看图和配置） - G1 带契约的出口，成果字段的文字只能来自报告撰写节点 - G2 模型写的文字不绕过报告撰写节点直接流进出口 - G3 报告撰写节点写明 numbers: strict、on_violation: fail、claims: require_citation - G4 口径卡的输入不来自计算角色的沙箱代码 - G5 给口径卡供数的 agent 配 output_schema 并开 cite_fields - 受管级别是错误、挡住发布；已发布级别只给警告；已经发布的版本照常运行，下次发布时按新规则检查 - 每条规则都接进发布前自动修复（一键修复 / 给选项 / 交给 Copilot）；禁止的改动补上关 cite_fields、 删 output_schema、放宽契约 claims；Copilot 兜底不许自己把代码节点标成 source、不许放宽报告节点 - 发布弹窗里选「交给 Copilot」时明确写「正在交给 Copilot」 四、旧运行与审计 - 没有契约的旧答案：数字和已封存的查询单元格、口径卡值按数值比对，每个数最多 3 个候选， 默认折叠，写明「猜测的来源，不能当证据」 - 有契约的旧运行：候选只从已封存的口径卡里找，人为插进工件表的行不当证据 - 证据审计：GET /api/runs/{id}/evidence/audit 按「无证据 / 可疑实体 / 有出处 / 旧运行猜测」分组， 可导出 JSON 和 CSV（带封存状态）；记录页和画布上的报告节点显示「有出处 N · 无证据 M」 五、SQL 守卫修正（安全） - 去注释改成单遍扫描，认得字符串和各方言的引号（单引号转义、MySQL 反斜杠与 #、PostgreSQL 的 $$ 与嵌套注释、 Oracle 的 q'[…]'、SQLite 的方括号）；以前字符串里的 -- 会被当成注释，SELECT '--'; DROP … 这类写法能骗过多语句拦截 - 看不到服务器设置时每种读法都扫一遍，读法之间切分不一致就拒绝，任何一种读法是写操作就按写操作处理 - 执行查询和工具危险判定都按数据源的方言检查 六、其他 - 修掉检查脚本里画布检查的一处竞态，并行估时按实测更新	2026-09-29 05:26:34 +08:00
ThearchyHelios	fcdcc30d4e	可点击证据第二期：取数链路打通、问数据的答案逐段可点；发布前自动修复 ... 一、可点击证据第二期 取数链路 - 智能体、工具节点、代码节点、知识检索取数时都记进证据台账；报告目录按台账编出 Q1… / K1… - 报告可以引用快照里的一格（[[v:Q1.r0.gmv]]），也可以由系统从快照生成整张表（[[table:Q1 cols=… rows=0-4]]）， 表里每一格都是可点的片段；取值一律以快照为准，取回快照时复验哈希 - 口径卡表达式新增 cell(x, row, column)，lineage 精确到单元格 - 智能体开 cite_fields（配合 output_schema）后，循环结束做一次结构化抽取，每个字段标出取自哪次查询的哪一格， 再到快照里核对：一致记 verified；不一致以快照为准并告警；查不到的记为空值，永远不兜底成 0 - 代码节点新增 evidence_role（source / compute）和 code_sha；沙箱算出来的数不能被报告直接引用，要进口径卡 - 查询快照记下列类型，文本列按文本渲染（年份 "2026" 不再显示成「2,026」） - 升级前发起的运行（停在审批上的）一律走旧逻辑：新的 task 只追加在循环之后，恢复时不会错号 证据接口与面板 - 片段链接上查询步骤：SQL、被引用的行加前后各 2 行、高亮到格；数据源可设 mask_columns 遮罩列， 遮罩在查询时记进快照，数据源事后改名或删除也照样遮罩（在有身份体系之前，遮罩只减少暴露，不是安全边界） - 输入来源写明核对结果（与快照一致 / 模型报的值和快照不一致 / 没查到记为空）；口径卡缺输入时也给出完整的链 - 受管出具要在契约里声明 cells 才能引用单元格；受管与否记在所钉版本上，改画布不再让受管版本的正式运行降级 - 口径卡可以用 caliber_from 钉住另一个已发布工作流里的口径卡，上游有新版本时按 upgrade_policy 处置， 和子工作流同一套规则；子工作流节点也补上了升版处置的配置项 Copilot、校验与报错 - 问数据的答案里有数字时，搭 input → 智能体 → 报告 → 出口，报告直接引用查过的单元格 - 写 SQL 前核对数据源的表结构，SQL 里出现表结构里没有的列会被打回 - 不再搭「智能体文字 → 转换节点解析 JSON」这种图；转换节点的 JSON 报错分清是上游模型写坏了、 模板里裸插了模型文字（给出 | json 的改法），还是模板本身写错了 - 工具节点遇到「查询失败」「SQL 被拒绝」判为失败；发起运行前检查绑定的工具是否存在，不存在时直接拒绝并给出入口 二、发布前自动修复 - 问题带上机器编号（code）和修复 id；新增只读接口 POST /api/workflows/{id}/publish-check 和 /autofix - 修复分三类：答案唯一、不降低要求的一键修复；要人拿主意的给选项（不替人选）；结构性问题交给 Copilot - 一律先预览，不自动保存、不自动发布；删节点、删契约、放宽审批、关掉 strict、改级别等降低要求的改动一律拒绝， Copilot 的方案也要过这一关；应用后重跑检查，错误必须变少且不能冒出新的 - 发布弹窗打开就先检查；问题面板新增「发布前检查」，平时就能看到、就地修掉 - 门禁修正：契约有 report_from 时不再要求 narrative（模板⑨可以发成受管）；全图默认审批为「全部放行」时同样拦下 - 修掉画布保存会抹掉全图默认（defaults）的老问题：以前任何一次保存都会把它清空，审批 always 因此被悄悄放宽 验证（沙箱）：tsc 干净，生产构建通过，pytest 2268 passed（两遍），check-all 17 项检查、3915 项全过 （新增 check-publish）；关键行为做了变异验证、全部抓到。	2026-09-28 21:20:04 +08:00
ThearchyHelios	62aac187d8	工具审批三档、智能体护栏取代固定 12 步、检查脚本分道并行 ... MCP / 自定义工具的审批三档（tools/trust.py） - 平台看不出这两类工具做什么，以前审批关卡一律当它们安全、照跑不误。现在默认每次调用都等审批； 工具页可以逐个改成「始终允许 · 门控把关」或「始终允许」，审批卡上的「始终允许」等于前者 - 门控把关：每次调用先由门控模型审一遍工具说明、参数和节点任务；判可疑、出错、超时、答不成格式， 一律交还给人，不会变成放行。判定包进 checkpoint，审批恢复重放时不再问一遍 - agent 节点、工具节点、协作团队三处关卡都接上；团队成员停不下来等人，门控没放行的调用不执行 - 每次运行在发起时快照档位（runs.tool_trust），恢复和接着跑沿用同一份；正式运行不看档位，一律等审批； 升级前发起的运行照旧不问——它们可能正停在某个审批上，多问一次答复就会对错号 - 接口：GET /api/tools 带 trust / trust_key，PUT /api/tools/trust；设置新增门控模型；新事件 tool.gated - 界面：工具页三选一、审批卡「始终允许」、设置页门控模型、运行记录解码 tool.gated； 顺手修了 MCP 工具详情 404、工具审批被驳回却显示成放行 智能体护栏（engine/guards.py），取代固定的「最多 12 步」 - 步数只留兜底：默认 100，设置里可改；以前画布自动写进节点的 12 按「没填」处理 - 同一个工具、同样的参数第二次不再执行，把上次的结果交还给它；连续 3 步拿不到新信息就收尾 - 每个节点的令牌预算（默认 200 万）和金额预算（默认不限），都可以在设置里改成不限 - 上下文用到窗口的 60% 先压缩早期的工具结果，到 85% 就收尾；临近任何一个上限先提醒模型一次 - 下游结构化校验失败时写明是上游哪个 agent 提前收了尾；复核信号带上收尾原因， 问数据页只在真是步数用满时才给「放宽步数重跑」 - 上限在发起时快照（runs.agent_limits）；升级前发起的运行一字不改走旧逻辑 检查脚本 - check-all 默认 4 道并行：量时间最多的两项互不重叠；并行时没过的最后单独重跑一遍，重跑才过的 单列成「偶发」。16 项全量从约 21 分钟降到约 7 分钟（加上一次重跑约 10 分钟）；--lanes 1 回到串行 顺带修的 - 设置接口里的 limits 改为只读：库里存着旧版设置页写进去的一份（max_agent_steps: 25），从不生效， 却盖住了真实上限，问数据页照着错的数许诺 - test_kb 里嵌入模型那条测试不再真连 api.openai.com（代理慢时一条要等近 4 分钟） - check-stream 读滚动容器前先等它挂上，并行跑时不再偶发 验证（沙箱）：tsc 干净，生产构建通过，pytest 1655 passed（两遍），check-all 16 项检查、3562 项全过； 新增后端测试 53 条，关键逻辑做了 22 处变异验证、全部抓到。	2026-09-28 11:47:45 +08:00
ThearchyHelios	e4f2693918	可点击证据第一期：报告里的每个数字都点得开出处 ... 「引用即渲染」：写报告的模型只写引用标记（[[m:指标id]]、[[i:输入字段]]、[[see:…]]），数值由系统按口径卡 填进去，每个数字都挂着一条能复算的证据链。本期是数字层闭环；实体、结论句的概率性证据放在后续几期。 内核（engine/evidence.py，口径卡、出具契约、表达式等） - 口径卡记录每个指标的来源：原式、代入式（每个输入写成「值 ← 路径」）、复算结果、口径与版本 - 出具契约的数值匹配改为按位置标注；同一个值有几个出处时记为「出处不唯一」并列出候选，不再随便挑一个 - 证据 id 由内容派生，事后对不上就是被改过；零值、结构性数字（列表序号、代码块标签）单独处理 - 口径卡新增 on_missing：缺输入时默认仍是整个节点失败，可以改成记为空值、交给契约判档 报告撰写节点（report）与引用模式的出具契约 - 流式生成时 token 里就是真实数字，不会漏出原始标记；裸数字、不存在的引用当场判违规，交回去重写 （max_repairs，默认 1 次）；仍不过时按 on_violation 失败（正式运行默认）或把违规标在报告里（探索运行默认） - report.checked 事件记下核对结果，落在封存范围内；fail 模式下仍不过时带 failed，运行记录里画成失败 - 出具契约写了 report_from 就按引用核对：取回文档时复验哈希，独立重算一遍，全部带引用才判完整出具 - 成果字段逐字等于报告正文时标注 _evidence；复核只能加说明，不能改写带证据的答案（前后端各拦一道） 证据接口 - GET /api/runs/{id}/evidence 返回证据图；GET …/evidence/segments/{id} 返回一个片段的证据链 - 只认封存范围内的事件能追到的工件，不读 artifacts 表；封存被改过时不把任何一项标成已封存 - 没有报告的旧运行降级为 none 或 legacy_contract 界面 - EvidenceDoc 按块、句、片段渲染报告，片段是和正文一样的按钮；整份报告只占一个 Tab 位， ←/→ 在片段间移动、↑/↓ 按句、n/N 跳到下一处「无证据」、Enter 打开面板、Esc 关闭并把焦点还回去 - EvidencePanel：宽屏侧边、窄屏底部抽屉、360px 画布右栏里栏内展开；显示指标步骤、代入式、复算结果、 封存状态。正文不是封存的那份报告时明确说出来，不拿别的报告的封存画绿 - 出具横幅多一行「N/N 数字有出处 · 无证据 M」和「定位下一处」；没有 _evidence 的旧回答渲染一字不差 - 画布认得报告撰写节点；Copilot 手册补上口径卡、报告节点、出具契约的写法；新增模板「⑨ 可追溯周报」 验证（沙箱）：tsc 干净，生产构建通过，pytest 1601 passed，check-all 16 项检查全绿（新增 check-evidence）。	2026-09-28 11:47:23 +08:00
ThearchyHelios	b418c0d951	最终验收：148 项逐条复核（原审查 142 条 + 平台问题 6 条），返工后 145 项解决 ... 四组验收员拿审查原文在沙箱里逐条复现：133 项已解决、15 项部分解决、没有未解决或回退的； 另发现 10 个新问题。按归属返工后，剩 3 项低严重度：MCP / 自定义工具的危险标记（待用户拍板）、 选中环与运行态同色（需跨三处协调改）、「接着跑」这个说法是否更换（多处引用原文，暂留）。 这次返工改了 - 右栏：老运行没有 active_ms 时执行时长改按航迹算，不再显示最后一段的「22 ms」；循环出口行不再差一； 取消在一轮中途时泳道脚注不写「0 ms」；分支、循环出口显示 case 的说明而不是 key； 展开已完成轮次不再误报「N 条新进展」；旧数据里已完成的模型调用不再一律标成「已取消」 - 后端：跳过事件带节点名和类型；restore 版本时把已发布 / 受管退回草稿；只是打开旧会话不再把它顶到最前、 标成「刚刚」；协作团队全程没有成员交付成果、调度者却判完成时按失败或降档处理，不再当成功交付 - 画布：循环体有「循环体 · 最多 N 轮」的底框，出口标签不再被自己的走线穿过；运行中校验角标退让； 768 宽下工具栏不溢出；运行被拦时点名是哪个节点；正式运行弹层写明以谁的名义发起 - 问数据：离线时能力条不把「没取回来」说成 0；窄屏下会话列表收起；check-chat 在零点前后不再误报 - 公共层：FastAPI 422 校验错误翻成中文，不再把英文原文透给用户 验证（沙箱）：tsc 干净，pytest 878 passed（两遍），check-all 15 项检查全绿。	2026-09-28 02:42:40 +08:00
ThearchyHelios	3e311ec551	第三波收尾：跨模块整合、全站扫尾、检查脚本整合；网页工具认得本机代理的 fake-ip ... 整合（3c-integrate） - 公共层：跨天时长（formatSpan / formatOffset / formatLapse）、本机署名（lib/actor）、检索分类色令牌、 数据源目录（useDatasources）收进公共层；失败说明能一次列出多个写坏的自定义工具，查询超时指到数据源的查询时限 - 管理页收尾：设置页接入统一的离开前确认；检查脚本不再把沙箱里的真实值打进输出 - 画布 ↔ 右栏：点出具印章、点节点能跳到右栏对应位置；「定位」直接聚焦到出问题的字段 - 回答流 / 问数据 / 记录页：失败信息带「去哪修」且不再被翻译两遍；协作团队的结局按执行截取； 等审批时断流重连、而运行已在空档里跑完的，补全事件 扫尾（3c-sweep） - 术语统一：开始运行 / 继续运行、工作流最大步数；未保存的运行统一叫「未保存的工作流」（后端新运行同步） - 沙箱报错不再带 Python 异常类名；新增 check-tokens，未定义的 CSS 变量为 0，两个旧别名迁移后删除 检查脚本（3c-checks） - check-ui 跟上新界面（运行列表按 data 属性找行），加上令牌与选中态的回归断言，输出里的名字打码 - 新增 check-all：按顺序跑全部检查、汇总退出码，--repeat 列出偶发项 - 单节出错只记这一节失败、不再带崩整个脚本；外壳遥测浮层「重新检测」时焦点不再掉到 body 网页工具与 fake-ip - Clash / mihomo 一类代理开 TUN + fake-ip 时，查什么都先拿到 198.18 段的假地址，被当成内网拦截。 新增 AGENTLAB_HTTP_TOOL_FAKE_IP_RANGES（默认空）：落在段里的解析结果改向公共 DNS（DoH）核实真实地址， 公网放行、内网照拦、核实不了按拦截处理。DoH 默认先问境外的，境内公共 DNS 会对被封锁的域名返回污染结果 - 列表型环境变量接受逗号分隔（原来注释说逗号分隔、实际只认 JSON 数组）；域名解析改为异步，不再阻塞事件循环 验证（沙箱）：tsc 干净，pytest 866 passed（两遍），检查脚本全绿。	2026-09-27 23:37:32 +08:00
ThearchyHelios	587bf7e27c	第三波前两批：六个「看着成功其实没干活」的平台漏洞堵上，记录页能回放，管理页与画布收尾 ... 起因是一次探索运行：Copilot 改节点时把工具绑定整份抹掉，agent 没有工具只能写「假设调用」， 校验节点的自动修复编出 total_count=0 让 schema 通过，协作成员把工具调用标记当文字输出了四轮， 轮数用完后节点把原话当成功结果交出去——运行标成已完成，数据库一次都没查。 平台可信度（先写失败测试） - Copilot 修改节点改为合并：没写的字段保留，null 才删除；协作成员按名字合并。前后端同一套规则， 工具集合变小时自查报警、改图回执列出变化 - 新校验规则：提示词点名了某个工具而节点没有绑定它，判错误，Copilot 自查会交回去修 - 校验修复只许改格式：冒出原文没有的值就判修复无效；修复这次模型调用计入用量 - 识别模型把工具调用写成文字的情况（DSML、<tool_call> 等标记）：纠正一次，仍然如此就判失败并说明原因 - 协作团队用完轮数不再按成功交付：默认失败，可选降档，点出一次都没派到的成员 - 审批恢复后，同一节点里已经执行过的工具调用复用结果，不再重复执行 后端 - 查询时限交给数据库执行（Oracle call_timeout、PG statement_timeout、MySQL max_execution_time、 SQLite progress handler），可按数据源配置；超时报错与实际耗时一致 - 等审批的运行可以真正取消；会话列表带最后一轮状态；测连接结果持久化；探查结构可只看不存； 自定义工具可草稿试跑、写坏的参数定义保存时拒绝；MCP 服务改动后作废旧工具缓存； 检索命中带贡献分解；重建索引在后台跑并报进度；报错统一收进 core/errors 前端 - 公共层：管理页共用件、失败说明（lib/explain）、健康状态进公共库；目录按表各自加载并有超时， 一张表卡住不再拖垮整站；上传显示真实字节进度；离线横幅只播报不变的句子 - 画布：卡片只说游标所在的那一次执行；等审批时可放弃运行；团队收尾判定与未完成说清楚； 回放用量取那一刻的值 - 编排页：Copilot 合并语义与工具变化回执；「用完轮数时」选项；正式运行期间锁住所有改图入口 - 回答流 / 问数据：新失败类型说人话并给下一步；画布与右栏互相定位；数据源范围、回收站、重新核对 - 记录页：「航迹」页签复用画布时间轴，可拖动回放、列出关键时刻；列表行带执行 / 等人 / 失败缩略条 - 外壳：统一的离开前确认（data router），导航、⌘K、快捷键、后退都会先问 验证（沙箱）：tsc 干净，pytest 838 passed（两遍），14 个检查脚本中 13 个全绿； check-ui 余 1 项旧断言（按旧日期格式找运行行），3c 更新。	2026-09-27 10:16:32 +08:00
ThearchyHelios	e10c4f23fc	界面与交互全面翻修（前两波）：运行态有了 HUD 和时间轴，终态会收尾，全站令牌、组件、文案统一 ... 来自 2026-09 的 UI/UX 审查（142 条）。本提交是前两波，第三波（记录页接入时间轴、跨页互链、check-ui 更新、全站扫尾）另行提交。 地基 - 设计令牌：全局规则和 .btn/.field/.chip 放进 CSS 层，Tailwind 工具类重新生效，选中态、开启态不再被吞掉；字号阶梯； 辅助文字在所有底色上 >= 4.5:1；状态色专用，节点类型色与之拉开色相；「跟随系统」真的跟随，首帧不闪深色；新字标与 favicon - 基础组件：confirmDialog / promptDialog 取代原生对话框；toast 出错不自动消失、可复制、读屏可播报；离线横幅与断线恢复； 九种剪影的状态徽标；唯一一份状态文案（lib/status）、格式化（lib/format）、术语（lib/terms）、报错人话（lib/errors） - 运行态内核：事件折成航迹（run/trace.ts），可投影到任意时刻；取消 / 失败 / 服务重启后统一收尾，不再永远转圈； run.status 随事件回写；token 事件不再堆进 events - 后端：协作成员逐个完成即发事件，调度者决策有事件；时长分执行 / 墙钟 / 等人；API 时间带时区； 中断的运行也发 stream.end；运行列表可筛选翻页；删除运行 / 工作流有保护；运行默认值接通；可测未保存的配置； 报错说清发生了什么、为什么、怎么办 功能 - 画布：状态四重编码、固定高度遥测槽、按缩放三档、运行胶囊与 HUD、航迹时间轴与回放、执行轨迹边、 等待闸门、跟随执行、正式运行只读、一次性时刻（开场点亮、回扫、阻断级联、出具印章） - 编辑：撤销重做、版本历史、问题面板可定位、三栏可收起、模板与表达式字段区分、变量血缘、快捷键、带搜索的选择器 - 回答流 / 问数据：贴底才跟随滚动、工件下钻、出具横幅列出缺口、答案可复制导出、按会话的忙闲、 答案不再在 2000 字处截断、重启后这一轮会收尾 - 记录页：待审批 / 运行中 / 失败页签、筛选翻页、实时接流、排错路径指到节点、封存凭证常驻 - 管理页：新的「数据」页、写操作失败都有反馈、弹窗里先测连接、统一持久的连接状态 - 外壳：导航改版、⌘K 命令面板、? 快捷键帮助、404、页面标题与 favicon 状态点、后台提醒 验证（沙箱）：tsc 干净，pytest 579 passed，14 个检查脚本中 13 个全绿；check-ui 剩 1 项旧断言（按旧日期格式找运行行），第三波更新。	2026-09-26 23:11:31 +08:00
ThearchyHelios	86a0928512	知识库页不再把"退回本地哈希"藏起来：配了语义模型却没连上时说实话，也不再劝人重建 ... 本机配的是 LM Studio 上的 text-embedding-qwen3-embedding-4b。服务启动时它没起， load_setting 连不上，整个进程就一直用本地哈希——它后来起了也不会自己连上，原因只在 服务端日志里留一句。页面按"配的是不是 local"判断，于是： - 不标"没有语义能力"，看着一切正常，检索却一直是纯关键词； - 高亮"重建索引（73 段）"——那些"对不上"的向量正是 qwen3 建好的，一点就拿哈希 覆盖掉，连上之后还得再重建一遍。 改法： 1. 后端记下保存的配置为什么没生效（embeddings.unavailable_reason），状态接口多报 fallback / fallback_reason：配的是语义模型、实际在用本地哈希。重新配置成功就清掉。 2. 页面按实际生效的 embedder（has_semantics）标"没有语义能力"。退回时说清配的是哪个、 在哪、为什么没连上，给「重新连接」——发的就是保存着的那份配置，服务起来后点它即可， 不用重启；"重建索引"收起，存量提示改口成先别重建。明确选了本地哈希的照旧：标没有 语义能力，重建按钮还在。 验证：test_kb 新增一条，走完"启动连不上 → 状态里报退回并带原因 → 重新连上后消失 → 明确选本地不算退回"。check-ui 新增一组伪造状态接口的断言（退回 / 重新连接 / 明确选 本地，写请求一律拦下）；把页面换回旧版本跑，这组挂 8 项。后端 471 passed，tsc 与 check-decode / guards / stream / ui 全绿；本机状态接口现在如实报出退回和原因。	2026-09-25 19:09:19 +08:00
ThearchyHelios	5928cc052e	三道只配不管的护栏开始干活：运行时限、模型超时、清单核对 ... 显示成生效却没生效，比明说没有更危险——它让人以为有东西在兜底。 1. max_run_seconds 只存在于配置和设置接口里，没有任何代码执行它：一个挂住的 模型或工具能把运行和它占着的并发名额一直拖着。现在 runner 用 asyncio.timeout 强制执行，按"一段执行"计（等人工审批时 _drive 已结束，不算）；超时判 failed、 说清是哪道上限，可以接着跑。别处抛的 TimeoutError 不冒充这道上限（看 Timeout.expired()）。 2. 模型调用从来没设过超时：ModelSpec.timeout 从没被赋值，那条传参分支一次都没 执行过，所有调用走 SDK 默认的 10 分钟外加重试。新增 model_timeout_seconds （默认 300 秒）作为缺省，节点显式配的仍优先；已确认 ChatAnthropic / ChatOpenAI 都接这个参数。 3. manifest 哈希只写不验，而且是在 run.finished 落库之前算的——清单里恰恰少了 宣布"跑完了、成果是什么"的那条，改成果清单照样对得上。现在终态事件落库之后 再封存，并记下封到哪一条（manifest_seq，新列）；新增 verify_manifest 与 GET /api/runs/{id}/verify，运行详情页加了核对按钮。封存之后追加的事件不算篡改。 老运行没有 manifest_seq，按当时的口径还原范围——开发库里 300 条带哈希的历史 运行全部核对通过（成功 / 失败 / 取消各类都有），没有一条误报。 设置页「运行环境」补上单次执行时限和模型调用超时两项，README 加了对应的常见问题。 顺带修了一个被 _seal 放大的老问题：_drive 的收尾被打断时（关停取消、库连接出错） 漏掉 _tasks.pop，留下的任务让下一次 shutdown 的 gather 在别的事件循环里抛 "future belongs to a different loop"——测试里表现为每八九轮一次、一出就是几十个 teardown error。pop 移进内层 finally，shutdown 只等未结束的任务并清空。修后全量 连跑 12 轮 12 轮全绿。 test_guardrails.py 8 例：超时中止（挂住的节点 1 秒后被停下）、缺省模型超时、封存覆盖 run.finished、改成果被戳穿、事后追加不误报、老运行按旧口径核、中断态未封存、接口 404。414 → 422 passed。	2026-09-25 15:59:32 +08:00
ThearchyHelios	7b04162540	Excel/CSV 变成能查的表、PPT 读得进来、跑挂了能接着跑、文档和工具有了地址 ... 四件事，其中 Excel 那条不是"多支持一种格式"，是补一个和地基冲突的缺口。 **Excel / CSV → 可以用 SQL 查的表。** 这个项目有条不可回退的决策：叙述层无算术权限，所有算术下沉到 SQL 或口径卡， 叙述只能引用（engine/issuance.py）。表格传进知识库只能被切块检索，数字就成了 模型从片段里"读"出来的——复核层拦得住凭空多出的数字，拦不住"从一堆片段里 读错了一格"。所以表格必须变成表。 不新增数据源类型：kind='sqlite' 早就支持，build_url 拿 database 当文件路径。 落成 .db 文件再建一条 DataSource 指过去，下游一行都不用改——SQL 守卫、结构 探查、db_query__<name> 工具、查询快照进工件库、Copilot 的数据源清单，全都白拿。 建表走 sqlite3 直连而不是 run_query：guard 的 _ALWAYS_DENIED 里有 create， 那是对的（模型不该能建表），而导入是我们自己发起的可信操作。 四个语义是这块的全部分量： - **类型要推，不能全存 TEXT。** SQLite 是动态类型，但列亲和性决定排序和比较： 整数列落成 TEXT 的话 '10' < '9'，SUM() 在混入空串时静默出错，而没有任何 地方会报。逐列扫描推断 INTEGER/REAL/TEXT，空单元格存 NULL 不存 ""， 日期存 ISO（字典序恰好等于时间序）。测试里那条 ORDER BY 要是 9<10 而不是 '10'<'9'，守的就是整块的意义。 - **表头取第 1 行，但不猜。** 不做"自动找表头"的启发式：猜错的表现是列名变成 一行数据，没有任何征兆，直到某天有人发现汇总一直少一行。改成 header_row 可填，并把推断出的列名和类型当场回显——错了一眼看见。 - **同名重传原地替换，id 和 name 都不变。** 名字会成为工具名（db_query__sales） 而工具名写进了保存过的图，另起一个 sales_2 等于悄悄让那些图失效。 - **中文原样保留。** 一开始把 sheet 名清洗成了 ASCII，结果「明细」「汇总」都变成 sheet、sheet_2，模型和用户都认不出哪张是哪张——而 SQLite 的标识符本来就允许 非 ASCII，那道清洗纯属自找麻烦。现在只替换会断句的空白和标点。 实测：两 sheet 的中文 xlsx → 两张表，金额列 INTEGER，跨表 JOIN + SUM 跑通， Copilot 的工具清单里带着表名。CSV 按 utf-8-sig / utf-8 / gb18030 依次试—— GBK 的 CSV 是 Excel 另存为的默认行为，按 UTF-8 读会得到乱码列名，而乱码不报错。 知识库那边顺手改了指路：传 .xlsx/.csv 进去不再说"不是 UTF-8 文本"， 而是告诉你该传到数据源那边、以及为什么。 **PPT。** 文本框和表格分开取（表格的 has_text_frame 是 False），幻灯片之间 留空行当段落边界。.ppt/.doc/.xls 这些老二进制格式认出来再拒，说清楚"另存为 新格式"——以前它们会掉进"不是 UTF-8 文本"那个兜底，对着一个 .ppt 说这话， 用户根本不知道该怎么办。 **问数据页的「接着跑」。** 挂了那一轮不该只剩一行红字：断点一直在 checkpoint 里躺着。按钮挂在 approvalsFor 那个每轮插槽里（本来就托着「看执行过程」和 「跑一下」）。不带图——问数据页改不了图，这里就是"用原来的配置重试失败的 那一步"，配置本身错了要到画布上改。实测：续的是同一次运行（8→13 条事件）， 只跑了 lp 往后，轨迹里有 run.resumed。 **文档 / 工具的地址。** /knowledge/kb/:docId 是新页面——文档原来连详情视图都 没有，而切块这层做了不少事（按行边界留重叠、跨块续表头），结果一处都看不见。 现在逐段列出来带字数和 token 数，还标出"这份文档里混着两个模型建的向量" （换模型只重建了一部分时真会发生，而那会让这部分内容悄悄退回关键词检索）。 新增 GET /kb/documents/{id}。工具那边 tab key 从 tools 改成 library， 否则地址是 /tools/tools/<id>。 验证：后端 265 passed（新增 test_tabular.py 16 条）；tsc 干净；三个 check 全过， check-ui 补了文档/工具两节；四块都在真浏览器/真后端上端到端跑过。 开发库里造的演示数据源、会话和运行已清干净。	2026-09-20 16:19:07 +08:00
ThearchyHelios	c980da65d0	失败的运行能从断点接着跑了，前面跑过的节点不重来 ... 库里 28 条 failed 的构成说明了为什么值得单独开这条路： 模型 id 写错（404） 7 循环条件语法错 3 401 3 工具参数名不对 3 缺必填输入 2 大半是**配置错了**，改一下就能跑。而"改一下再跑"原来意味着整张图从头来 一遍——前面花两分钟查完的表结构、跑完的 SQL 全部重跑，尽管那些结果一直 躺在 checkpoint 里。checkpointer 本来就一直开着（thread_id = run_id）， 挡住这条路的只是 resume 里的一行状态判定：它只认 interrupted，failed 进不去。 **带着改过的图续。** 不让改配置的话这功能基本没用：上面那几类续下去会 立刻再撞同一个错。所以 /runs/{id}/continue 接受一张改过的图，画布上点 「接着跑」带的就是当前编辑中的那张——用户正是改完它才点的。 **但只准改配置。** checkpoint 是按节点名存的（编译时 add_node(node.id)）， 而节点配置是运行时从 spec 现读的（NodeContext.cfg）。所以只改配置对得上， 增删节点或改连线就对不上——续下去会拿着错位的通道状态跑出一份似是而非的 结果，比直接报错糟得多。加了 schema.topology_of() 做这道判据：节点 id + 类型 + 边，不含任何配置；对不上就 409，让用户重新发起。 这正是 resume 那边踩过的坑的同一类：不看有没有 checkpoint 就发 Command， LangGraph 拿空 state 从 START 重跑，最后还落成 succeeded。所以这里也先问 一次 aget_state，没有待跑节点就拒绝，而不是硬发一个 None 下去。 时间线上要说清楚是接着跑、保了几步（"从「lp」接着跑，前面 2 个节点的结果 保留"）——否则用户看到时间线又动起来，分不清这次是续的还是整张图又跑了一遍。 验证：后端 249 passed（新增 test_continue_run.py 7 条，核心那条断言的是 node.started 事件——前面的节点确实没有再出现）。端到端真跑了一遍： 第一遍 start → prep → lp 挂在 lp，改好条件后第二遍只跑 lp → out， 成果里带着 prep 那步的结果；改了结构的图被 409 拒绝；没有失败的运行时 画布上不显示这个按钮。 顺带：_drive 里 resumed 的判定漏了 payload is None 这种（从 checkpoint 直接往下走），run.started 事件会说成不是续跑。	2026-09-20 11:54:16 +08:00
ThearchyHelios	cc608f56ec	跑完先过一道复核再交给你：异常说破、数字不许现编、出错自动改一次 ... 「跑完了」和「答得对」之间一直没有任何一层。库里 264 条 succeeded 里， 14 条带着 warn、4 条 agent 步数用满，而交到用户手上的答案对此只字不提。 最糟的一次（run dd9927e6）交出去的干脆是「本轮只执行了第一个工具」—— 一句内部管道文案冒充结论。 出具体系（issuance.py）本来就是干这个的，但它挂在输出节点的可选契约上， 还要配口径卡提供受控指标集；问数据页生成的图基本都是 input → agent → output， 走不到那条路。所以补一层轻的。 **干净的运行一次模型都不调。** 先用规则扫一遍事件流（engine/review.py:scan）， 没扫出东西就到此为止。实测 15ms 返回。这是整层设计的前提，测试里用 「monkeypatch 一个会抛异常的模型，断言它没被碰过」来守。 **分类挂在 code 上，不是中文消息串。** 12 处 warn 发射点都带上 code。 这样「流式失败，回退非流式」能归成 benign 直接跳过——它对答案内容零影响， 为它叫一次模型等于每次网络抖一下就多花一笔；而「步数用满」归 broken。 原来这两者在事件流里长得一模一样。工具报错之后同一个工具又跑成了， 算 degraded 不算 broken——否则参数自愈每修一次就报一次「答案不可信」。 **复核不许现编数字。** 它手上只有原答案和一份异常清单，没有任何原始数据， 写出来的新数字只能是凭空来的。直接复用 issuance.trace_numbers，把原答案的 数字当受控指标集，对不上就整条退回原答案、只留说明。硬拦截，不是提示。 **规则管重试资格，模型只有否决权。** 一开始写成两边取并，实测 loop_limit 时模型判 retry=true——而重跑一遍循环还是会撞上限，白烧一次建图加一次跑图。 反过来之后，「检索什么都没查到」这类也不会被模型强推重跑。 **重试带着失败的那张图，不是推倒重来。** 原来传 base_graph=null，模型只看到 「原问题 + 一句失败原因」，很可能原样再建出同一张坏图。而且它连自己上次建了 什么都看不到——会话历史按 status != running 过滤，正在重试的这一轮恰好被 排除在外。现在交回去走后端的改图分支，调大步数、改正参数就是改一个字段。 上限一次。 **答案等复核完成再显示。** 端到端抓到的：答案先摆出来，十秒后说明才追上去—— 这十秒里用户读的是一个没人核对过的结论，正是要修的那件事本身。改成落库立刻 （防关标签页丢结果）、显示等复核，并给复核加 25s 上限。说明排在成果上方， broken 用报警色、degraded 用普通边框——混成一个样子用户就学会了一概忽略。 复核结论跟着轮次落库，刷新后还在；也进下一轮的对话历史，否则模型会拿一个 已知不可信的结论当事实继续往下推。 验证：后端 242 passed（新增 test_review.py 25 条）；tsc 干净； check-decode / check-stream / check-ui 全过，check-stream 新增 9 条渲染断言。 两条端到端都在真浏览器 + 真模型上跑通：检索降级那次说明正确排在答案上方； 重试那次建图请求 2 次、第二次 base_graph 带着失败的 3 个节点、第一版没漏出去。 复核结果不是事件流，decode.ts 翻译不到它，所以渲染测试放在 check-stream。	2026-09-20 11:18:53 +08:00
ThearchyHelios	11780ed0b4	设置页能接本机的向量模型了，不用改代码 ... 上一版只有三个写死的选项：本地哈希 / OpenAI 3-small / 3-large。想用本机起的 LM Studio、Ollama、vLLM，只能去代码里调 configure——等于没有。 现在可以填任意 base_url。配套加了一个探测接口（GET /kb/embedding/probe）， 按地址列出那台服务上有哪些模型，从列表里选。模型名手填太容易错——LM Studio 里叫 text-embedding-qwen3-embedding-4b，不是 Qwen3-Embedding-4B，而填错的 表现是切换时 404，人还以为是服务没起。 base_url 跟着落库。不存的话重启后会悄悄退回本地哈希，而库里的向量是上一个 模型建的，检索整体退回关键词——用户只看到"重启之后搜得不准了"。 几处说给用户听的： - 当前用的是什么、几维，直接显示在最上面 - 本地哈希旁边标"没有语义能力"——它是默认值，而这个缺陷不说没人会发现 - 切换成功的提示里带上新维度和"多少条存量向量需要重建"。换模型后维度多半 变了，存量全部作废，这件事要当场说，不能等人发现搜不准了再去猜 check-ui 加了一节，真浏览器里验过：展开、填地址、探测到本机的 text-embedding-qwen3-embedding-4b、出现「用它」。	2026-09-20 09:34:55 +08:00
ThearchyHelios	33c7c41336	记忆写进去读不回来：Copilot 不许自己起 scope，重建也管记忆了 ... 查会话 cbe09f4b（「我是谁」）时发现的。用户说了「我叫张三」，下一轮问 「我是谁」答不上来——记忆在库里好好的，只是读错了地方： 写入 run 6cd33864 memory 节点 {"action":"write","scope":"user"} → write @ user 读取 run c71fa1bc memory 节点 {"action":"recall"} 没写 scope → recall @ default 同一个会话里 Copilot 生成的两张图，写的时候自己发明了一个 user 域，读的时候 忘了写、落回 default。根子在节点参考把 scope 列成了可填字段却没说该填什么： - memory：… config: {action, query, content, scope, assign_to} 对比一下，memory_recall / memory_write 这两个**工具**压根没有 scope 参数， 一律用 ctx.memory_scope，所以走 agent 那条路从来不会错位。只有节点会。 现在从可填字段里去掉，并写明后果。节点的 scope 配置本身保留——以后接 project 时从 run.memory_scope 传进去即可，不用改节点。 顺带补上两个上一轮埋的口子。给 Chunk 和 MemoryItem 都加了 embed_model/embed_dim， 对不上就退回关键词，但**只给知识库做了 reindex**： - store.reindex / stale_count 补齐，记忆终于有了恢复手段 - store.recall 加 on_degrade。以前退得悄无声息——知识库那边至少发一条 warn， 记忆这边只是"最近想不起事"，人根本不会想到要去重建索引 - 重建一次管两边。它们共用一个 embedder，换模型时一起失效；分成两个按钮的 结果是点了一个、以为好了，另一个还在悄悄退回关键词 - 没建倒排的片段也归这个按钮管。它们走全表扫，结果对但慢，而重建正好把倒排 一起建了；按钮只认"向量对不上"的话，这些片段永远等不到人来点 实机验证：一次重建收拾了 2 段知识 + 1 条记忆 + 2 个倒排缺口，三个计数归零。 数据侧另行清理（不在本提交里）：身份记忆从 scope=user 移到 default，删掉 zz_fix_* 等测试残留，删除前整表导出到 data/backups/。	2026-09-19 16:59:51 +08:00
ThearchyHelios	df935599f2	知识库：换 embedding 模型不再 500，检索能回指了 ... 三件事，都是"这三个模块一条测试都没有"的后果。 **换 embedder 会让检索整体 500。** 库里是 512 维的本地向量、查询是 1536 维的 远端向量时，cosine 直接 `shapes (1536,) and (512,) not aligned`。from_blob 有 dim 参数，但 kb.py 和 memory/store.py 调用时都没传；而且存量向量属于哪个模型 代码里没有任何地方记着，所以也无从降级。 Chunk / MemoryItem 各加 embed_model + embed_dim（走现成的 _COLUMN_MIGRATIONS， 存量回填空值，正好表示"不知道是谁建的"）。检索遇到对不上的向量整体退回纯 关键词并说破，不是把它们当 0 分静默沉底——那样用户看到的是结果莫名其妙变差， 而不是"这里有一批索引该重建了"。配套 kb.reindex + POST /api/kb/reindex。 长期记忆那份一起修了。判重那条更危险：维度碰巧相同但模型不同时 cosine 算出来 是随机数，会把不相关的旧记忆认成"重复"，然后把新内容丢掉。 **默认 embedder 没有语义能力，而开关藏在一个环境变量里。** LocalEmbedder 是 特征哈希 + TF，和 BM25 吃同一批词；alpha 默认 0.5 等于给了它一半权重，同义 改写一条都召不回。开启真模型的唯一开关是 AGENTLAB_USE_OPENAI_EMBEDDINGS—— 没界面、没人会发现。改成设置项（照 COPILOT_SETTING_KEY 的路子），知识库页顶部 能选能看能重建。 配置失败必须响：第一版写成静默退回本地，但选了 OpenAI 却拿到哈希向量的人， 在搜不出同义表达时完全无从怀疑到这里。现在抛 EmbedderUnavailable，API 400 原样交回"检查 OPENAI_API_KEY 是否配了"，且不会把配置改掉。 **检索结果不进工件库。** db_query、工具节点、agent 工具调用都落 put_json 快照， run_retrieve 什么都不落——于是结论只要来自知识库，"这个数是哪来的"就断在这儿， 而数字回指正是这个项目的签名能力。现在落 kind="retrieval_snapshot"，并发一条 retrieve.end 带 artifact id。解码层补了正式映射（原来会掉进"未知事件"兜底， 画成一坨原始 JSON）。 新增 test_kb.py 11 条，补上这三个模块此前的零覆盖，包括 embeddings.py 里 注释记着、但一直没有测试守的那个归一化边界（单条候选被 min_score 误杀）。 端到端在真实服务上验过：撞上存量向量返回 200 + 降级说明（以前 500）、 重建后 stale 归零、配不起来的远端模型 400 且配置不变。	2026-09-19 09:27:07 +08:00
ThearchyHelios	dcadc0c48b	对话有上下文了，左边也能选会话 ... 三条 run（d983c4e6 / 14103db5 / 08c3de1c）在用户看来是一次对话，系统里却 毫无关联。查下来不是哪里传漏了，是整层缺失： - 每轮 base_graph=None 从零建图，Copilot 不知道上一轮问过什么 - 每轮 thread_id = run.id，三条独立的 checkpoint 线程 - 前端 turns 只活在 zustand 里，刷新页面就全没了——那三轮当时在界面上 已经找不回来，只剩 runs 表里三条互不相干的记录 - 后端 13 张表里没有会话这个概念 加两张表（conversations / conversation_turns）。失败的轮次也记：只记成功的， 历史就成了一份美化过的记录，而人回来最想搞清楚的恰恰是上次卡在哪。 Copilot 的上下文带三样：前几轮问答、上一轮那张图（走 _slim 去掉坐标噪音）。 只给问答文字不够——"再按月份拆一下"会让模型重新设计一张图，实测经常接到另 一张表上，答案对不上前一轮。运行时另外注入 {{ input.history }}，管的是指代： 用户问"它们平均多少"，图里的 agent 得知道"它们"是上一轮那 12 家店。 左侧会话栏只在问数据页出现，可折叠、可改名删除，当前会话存 localStorage。 轮次按会话分桶缓存——切走再切回来要看得到原来的步骤，回源只拿得到问答。 历史轮次的执行过程不预加载，点「看执行过程」才取事件、走现成的 decodeRun。 画布右栏的 Copilot 依附工作流各有一条会话，连说两次"再加一个节点"能接上了 （base_graph 带的是图的结果，带不出"你刚才要我干什么"），但不进左侧列表。 过程中修掉的两个自己引入的坑： - 第一版在列表为空时自动建一条会话。create 是异步的、StrictMode 把 effect 跑两遍，于是每次进页面都留下两三条"新对话"。改成用户开口那一刻按需建 - 加了"在上一轮的图上改"这条指令之后，模型照改图协议只发 update_node， 而问数据页这条路径的累加器从空图起步，操作全部落空，用户收到的是 "图校验未通过：图是空的，先拖一个节点进来"（会话 f5db9809 的第二轮， 而它的 explanation 证明上下文其实完全读懂了）。指令改成沿用 id 和 config 但完整重发，另加一道兜底：空图且上一轮有图时把操作重放到那张图上 check-ui 多一节「会话」：切换、刷新还在、逛一圈不多出空会话。	2026-09-18 17:58:04 +08:00
ThearchyHelios	fa6a8a2ffe	问数据页：问题终于传进图里了，而且不再被误报卡住 ... 两条日志（e3c2f743 / 61655cfe，相隔 30 秒）是同一件事的两半，指向三个问题。 **一、用户的问题根本没进图。** store/chat.ts 的 launch 里写死 `input: {}`。 Copilot 只要给入口声明了一个必填字段（它有时候会，比如 topic），这次运行就 在第一个节点上立刻挂掉："缺少必填输入：topic"——用户刚问完就看到报错，而且 错误里那个字段名他从来没见过，那是生成的图里的东西。e3c2f743 就是这么死的。 之前"能跑"纯属运气：那几次 Copilot 恰好没声明字段。 **二、把提问当成了流程描述。** 两个入口共用一句 "请设计一个工作流：<原话>"。 画布上这是对的（用户在描述流程），但在问数据页用户是在**提问**。于是 "shop 里都有哪些数据？"被设计成了一个"给这段文字生成摘要"的流程，跑完把 用户的问题原样复述一遍还回去（61655cfe 的成果就是这个）。加 intent 区分： answer 意图下明说"流程是手段，用户要的是答案"，并把注入契约写死成 {{ input.question }}——不说死键名，模型会自己编一个（见过 input.text）， 下游取到空字符串，而模板取不到值不报错。 **三、我上一个功能把整条对话路径卡住了。** 变量分析器把 `{{ input }}` 报成 "没有任何节点产出"——那是完全合法的写法（template_context 里 input 就是顶层 键），而 runs 启动前要过校验，一条假错误意味着什么都跑不了。这正是我自己在 上个 commit 里写的"误报是 linter 最坏的失败模式"，隔天就踩了。 修的时候连着踩了三步，每步都是测试当场抓的： - 注册裸根之后，input.quesiton 回退到根被当成合法，拼写检查整个失效 - 收紧后 {{ vars.rows[0].name }} 被误报——那是在往值内部钻，结构枚举不了 - 再收紧后 {{ input.question }} 被误报——问数据页的入口**故意不声明字段** 最终规则：裸根合法；input/vars/nodes 只校验到第二段（再往下是值内部）； **入口声明了字段才是闭集，没声明就是开放的**（运行时传什么键都行）； 根本不认识的根降成 warning——能穷举才配报 error，假错误比漏报贵得多。 端到端验证：问 "shop 里都有哪些数据？挑一个最大的表说说"，现在生成 input→tool→tool→llm→output（带 db_query__shop），input 带着问题， 真查出 backend_log 481,242 行 / 528.64 MB 并列出全部字段。	2026-09-18 13:52:43 +08:00
ThearchyHelios	0895a01b41	变量表抽屉；顺便治了一个每敲一键发一次全图请求的老毛病 ... 先说顺带修的那个，因为它是前提：validate() **零防抖**，从七个 mutation 点 直接调，其中包括 updateNode——也就是 Inspector 里每敲一个字都发一次带全图 的 POST。实测敲 15 个字 = 15 次请求。再挂一个变量分析就是翻倍，所以必须先 治：一次防抖（300ms）、两个请求并发、epoch 丢弃过期响应（图在飞行期间又改 了的话，旧答案不能覆盖新答案——校验结果闪回是最难查的那种 UI bug）。 现在敲 15 个字 = 1 次请求。 变量表另有一层跳过：**"有哪些变量"只取决于结构，不取决于文案**。节点 id、 类型、assign_to、入口字段名组成签名，改 prompt 里一个字不会触发变量分析。 抽屉本身做成挤压式而不是浮层——React Flow 的 Controls 和 MiniMap 是绝对 定位在画布容器里的，浮层会把它俩埋掉，挤压会把它俩顶上去。限高并给画布 留底（React Flow 容器高度归零会直接报 error 004），可拖拽改高，两端都夹住。 表里四列：变量 / 来自哪个节点 / 被引用几处 / 最近一次运行的值。点开右侧 详情能看到谁产出、每一处引用在哪个节点的哪个字段，点一下定位到画布。 实跑验证： {{ input.question }} 输入 — 变量表要显示这个值 {{ vars.question }} 输入 — 变量表要显示这个值 {{ nodes.start }} 输入 — { "question": "变量表要显示这个值" } {{ last_message }} 内置 1 处 — 另外让用户看得见**真正跑的那份代码**：代码节点送进沙箱的是 {{ }} 渲染后的 字符串，和编辑器里那份可能差很远（一个带引号或换行的值插进字符串字面量里 就把程序写坏了），而报错指的是渲染后的行号，对着自己那份怎么也数不对。 sandbox.start 现在带上渲染结果，只在真插过值时才显示（没插值的两份一模一样， 显示等于噪音）。沙箱步骤的 detail/result 也分开了：detail 是跑的什么， result 是跑出了什么——塞一个字段里的话，报错时最需要的两样东西只能看见一样。	2026-09-18 10:48:22 +08:00
ThearchyHelios	5fdb55defe	修三处订阅缺陷：审批恢复后事件重复、订阅泄漏、取消误杀 ... UI 重构前置。这三条都是新界面会放大的问题——时间线要常驻显示事件流， 重复累积和泄漏在旧界面里藏得住，在新界面里就是明显的错。 ## 审批恢复后事件重复收一遍 streamRun 里 `let lastSeq = 0` 是每次调用新建的闭包局部量，注释写着"重连时 带上已收到的最大 seq 所以不会重复"——那只在同一次调用内的断线重连成立。 审批放行会调 attachRun 重新订阅，lastSeq 归零，后端按 `seq > after` 把整条 历史再推一遍，而 applyEvent 是无条件 `[...events, event]`。 实测：一个带审批的运行中断时有 6 条事件，放行后共 15 条。修复前 attachRun 用 after=0 会把那 6 条再收一遍；现在传 max(seq)=6，只收 9 条新的。 把 after 提成 streamRun 的参数比在客户端做去重干净——省掉服务端的重发本身。 ## chat store 的订阅泄漏 cancel 是 store 上的单值，下一轮 ask 直接覆盖，上一轮的 WebSocket 再也关不掉。 句柄下放到 turn 级，clear 时逐个关。 ## stop() 误杀等待审批的历史轮次 原来把所有非终态 turn 一律标成"已取消"。正等人工介入的轮次是等着用户回来 处理的，不是卡住的——把它们标成已取消，用户回来就找不到那个审批了。 现在只停最后一轮，且跳过 waiting。 ## ApprovalCard 解除对 studio store 的硬依赖 它被对话页和运行页复用，而"恢复后重新接上事件流"默认走 studio.attachRun—— 在对话页用就是同时开两条订阅（chat 一条、studio 一条），两边各收一份事件。 加 onResolved 回调，谁用谁负责重新接流。	2026-09-17 16:16:14 +08:00
ThearchyHelios	266631d2fd	对话式入口：说需求，不用碰画布 ... 阶段③。画布是给编排的人用的——15 种节点、每种十几个配置项，那是把控制权 交到手里的代价。但多数时候人要的只是一个答案："MES 不合格数据里记录最多的 工厂是哪个"，不关心它是 input→agent→output 还是别的什么。 这一页把图藏起来：你问，它自己接数据源、建流程、跑完、给结论。图仍然真实 存在（可以展开看"它是怎么做的"，也能一键放到画布继续改），只是不再是必经之路。 默认路由也改到这里，画布退到第二项。 ## 状态分开放 新建 store/chat.ts 而不是复用 studio store：画布那套状态（选中节点、脏标记、 校验问题）在这里一个都用不上，混进去只会让两边互相牵制——对话页跑一次图就把 人家画布上没保存的东西冲掉，那是灾难。 ## 事件翻译成人话 Copilot 的操作流和运行事件都不直接暴露。add_node → "正在搭建流程…（3 步）"， tool.start(db_query) → "查询数据"，tool.end 里的 row_count 追加成"· 246 行"。 SQL 原文折叠在步骤里，想看能点开——不给看和硬塞给人看都不对。 等待期间显示模型的思考（复用上一轮加的 thinking 事件），这是 40 秒建图过程里 唯一能看的东西。 ## 人工介入就地处理 停在审批时直接在对话流里渲染 ApprovalCard（上一轮导出的），处理完自动重新 接上事件流看后续，不用切去别的页面再切回来。 ## 起始建议用真实表名 空状态不写死示例，而是读真实数据源的表名造建议——用户一眼看到的是自己的数据。 没有数据源时直接指路"设置 → 数据源"，而不是给一个点了没反应的输入框。 ## 实测 按 store 的同样调用顺序跑完整链路：建图 44 秒（其中 39 秒是模型在想， 期间有心跳和 plan 摘要顶着）→ 3 步图 → agent 先查表结构再聚合 → "记录最多的工厂是上海头枕（工厂编码 1051），共 190470 条记录。"	2026-09-17 14:26:28 +08:00
ThearchyHelios	5ac681c481	Copilot 模型可独立配置 ... 此前 Copilot 的模型是兜底猜的：取第一个非 mock 且启用的 provider 的 默认模型。后端 GenerateIn 一直有 provider/model 字段，但前端从没传过， 于是禁用某个 provider 或调整创建顺序就会让 Copilot 静默换模型。 现在是独立设置（Setting 表 copilot 键），优先级：单次请求显式指定 > 保存的 Copilot 专用模型 > provider 兜底。做成独立设置是因为 Copilot 写的是编排本身，对指令遵循的要求和工作流节点不是一回事。 新增 GET/PUT /api/copilot/model 读写设置，并回报 effective_model （区分显式配置与兜底）；generate / generate-stream / explain 三处 统一走 copilot_model_spec；流首帧发 {op:'model'} 告知实际所用模型， 画布浮条上直接显示，不用猜。 前端 Copilot 弹窗加模型选择器，选择即持久化，下次打开记住；说明里 点明它只影响 Copilot 自己、且指令遵循弱的模型（如 Mock）跑不出结果。 验证：兜底→claude-opus-5；设为 deepseek-chat 后流首帧回报一致； 单次请求传 claude-opus-5 可覆盖设置；清空恢复兜底。浏览器实测选择 持久化跨弹窗、浮条显示模型名。	2026-09-14 11:01:47 +08:00
ThearchyHelios	1b595f699c	Copilot 流式生成：图在画布上实时长出来 ... 此前点击生成后是 20-30 秒黑盒等待，模态框关着，用户看不到任何过程。 改成操作流协议：模型按 NDJSON 逐行输出 add_node / add_edge / update_node / remove_node / done，后端边流边经 SSE 转发，前端每收 一个操作就应用到画布——节点带紫色描边逐个出现（临时摆位跟着入边源）， 左下角浮条显示当前动作并可随时取消；done 后后端统一排版+校验， 以 final 事件整体落位，高亮几秒后淡出。修改现有图的场景只输出改动 操作，用户能看到 Copilot 具体动了哪里。 行解析对模型犯规免疫：markdown 围栏、夹杂的解释文字、done 之后的 多余输出都被跳过或截断（单测覆盖跨块行缓冲）。 顺手修结构化输出必失败的 bug：langchain 靠 title 字段识别裸 JSON Schema dict，四处 with_structured_output 的 schema 都缺它，抛 ValueError: Unsupported function 后靠 fallback 文本解析兜底—— 每次都白调一次模型。补上 title（llm 节点 output_schema、branch 语义分类、supervisor 路由、旧版 copilot generate）。 实测：首节点 7.2s 上画布（原先干等 27s），浏览器采样节点数 0→2→3→4→5→6 逐步生长，6 个新节点全部高亮，零页面错误。	2026-09-14 10:54:31 +08:00
ThearchyHelios	e905426dfe	发布门禁、操作者归属、治理遥测与前端支撑 ... 审批记录批准人（X-Actor 先落库再恢复执行）。设置页可配操作者署名， 随请求头发送——这是归属记录不是身份认证，界面上写明了区别。 治理遥测三件套，全部从既有事件流取材： - 工具白名单衰减报表：授了权但从未用过的工具摆上台面，放宽可被回收 - 探索问题聚类：同一问题反复出现（≥3 次）标记为晋升候选——模板生长 的触发器 - 轨迹→模板提取器：把探索性运行实际走过的路径确定性提取成草稿工作流 （剪掉未走的分支、输入参数化），人审发布后才成为模板——探索层的 价值在路径沉淀，不在单次答案 前端：口径卡节点与指标编辑器、出具契约配置、发布对话框（两级门禁、 问题列表）、试运行/正式运行双按钮、出具档位横幅（含缺数据声明与 未回指数字点名）、运行列表正式/探索徽标、运行详情版本与清单哈希、 提取模板按钮。 真模型验证闭环：周报模板 governed 发布 → formal 运行，Opus 5 正文 数字全部回指，但结尾'（约 100 字）'被校验器抓住降档——修 prompt 禁元话语而非加白名单，重发 v2 后正式档。8/8 模板回归通过。	2026-09-14 10:27:13 +08:00
ThearchyHelios	964eeaa829	AgentLab：可视化 Agent 编排实验台 ... 在画布上拖拽编排 agent 工作流，并实时看着它执行。 后端 FastAPI + LangGraph：把画布 JSON 编译成 StateGraph，15 种节点 （模型/Agent/多Agent、工具/沙箱、分支/循环/子图、记忆/检索/整形、 人工介入/结构校验）。选 LangGraph 是因为可视化编排真正难的是暂停、 恢复和回放，而 checkpointer + interrupt() 正好把这几件事做在了底层。 前端 React + React Flow：节点元数据驱动属性面板与连接桩，运行时 节点高亮、边流动画、卡片内流式 token 全部由同一份事件流驱动。 关键实现： - Agent 内工具审批用 @task 缓存模型调用，interrupt 重放时不重复计费 - 沙箱保持只读根文件系统，代码经 exec+base64 写入（put_archive 会被 只读容器拒绝），断网、非 root、内存/CPU/超时限额 - 检索为向量与 BM25 混合，本地哈希 embedding 零配置可用 - 分支条件走 AST 白名单求值器；HTTP 工具逐 IP 拦截内网与元数据地址 - Mock provider 让无 API Key 也能跑通完整链路 7 个内置模板全部冒烟通过，含真实模型端到端验证。	2026-09-13 17:27:00 +08:00