547 Commits

This Branch

This Branch

All Branches

Author	SHA1	Message	Date
ThearchyHelios	6ff9d7155b	M3 可验证报告核对正文显示的字：按服务端的显示规则把引用的值重新渲染、逐字比对 ... 验收发现：页面只核「引用的值 = 口径卡的值或快照的格子」，不核正文显示的字。只改显示文字（74,613.65元 改成 84,613.65元、华南改成华东）、引用值不动、重算全部哈希的伪造页照样「全部通过」，读者看到的数和核过的数不是同一个。 - verifier.js 移植 engine/evidence.py 的 render_number / render_cell：千分位、不分组、小数位（含负数位）、比率显示成 百分数、万 / 亿换算、pct、int、.N、单位后缀、负数、0，文字压成一行（按 Python 的空白），竖线换成 ¦，ISO 日期时间按 文档记下的单元格显示规则版本。数照 Python 的 Decimal 算：系数用 BigInt，ROUND_HALF_UP，浮点取最短写法，整数取 JSON 原文（新写的 numberTokens 读出每个数的原文，超过 2^53 的订单号一位不差） - ⑤ 在引用的值对上之后再核显示文字（只去掉首尾空白）：对不上判不通过，原因点名「正文显示「X」，引用的值是「Y」」， 数字另写按显示规则应显示的字；渲染不出来的（不认识的换算、显示规则版本、对象和列表、非 ASCII 数字、缺 BigInt 的 浏览器）判「无法核对显示文字」，不判通过。出处面板改成列出按显示规则应为的字，一致时注明，页脚说明同步 - 在 node 里载入时（没有 document）交出核对用的纯函数，tests/test_bundle_shown.py 拿服务端的渲染逐条对照约八万个 组合，并在 node 里整份核对：经营月报样本每种格式原样通过，只改显示文字的伪造逐个变红并点名 - 样本页加经营月报（formats）；check-bundle 在真导出上只改一个数字（有文字取值时也改一个）的显示文字，在经营月报上 改文字取值、数字、换算成万的口径卡引用，各自变红并点名，原样导出照旧全绿	2026-10-07 00:17:22 +08:00
ThearchyHelios	58a6759fe2	合入期 5 前置修复 K3：核查 agent 的查询结果在工具边界先遮——取自遮罩列的结果列（别名、函数、子查询、WITH、*、UNION、表值函数、整行引用都认）在交给模型的内容和落库的快照里都换成「已遮罩」，模型看不到遮罩值；按值遮降为第二道防线；换了写法的长号码（空格、连字符、点、括号、全角、国家码）在回答、理由、工件和最后一道关里都认得出；认遮罩列的共用部分挪到 engine/masking.py	2026-10-06 22:19:42 +08:00
ThearchyHelios	c1e1fcddfe	合入期 5 前置修复 L2：可验证报告里设了遮罩的数据源上、能证明没取遮罩列的查询快照照常随文件附带，引用它的数字可以核对；解析不了、可能展开出遮罩列、整行引用的照旧只给哈希，说明写清原因	2026-10-06 22:19:34 +08:00
ThearchyHelios	39b4b6d608	合入期 5 前置修复 L1：上传表格建的数据源按导入配方里的逻辑类型认日期列，双盲复算的选择能写成业务日期；报告的结论句策略要求核对、正文却写在代码块里（结论句为 0）时，出口契约记一条缺口、不再判完整出具；compose_doc 的说明照实写 source 来自调用方	2026-10-06 22:19:34 +08:00
ThearchyHelios	b4edcadc88	合入期 5 前置修复 L3：记录页的工件列表把双盲复算对照、反方审稿记录、质询回答归到「核查记录」一组，窄屏下说明换到第二行、序号不被截掉；运行对比的默认基准接口带上 previous，运行详情的对比入口在基准不是紧挨着的上一次时写明「与上一次成功的运行对比」，和触发历史一致	2026-10-06 22:19:25 +08:00
ThearchyHelios	b0fdf56eed	K3 复核修正（第 3 轮）：写了库名的表按「库名.表名」查表结构；UNION 第一支按表结构数出的列名要和后面每一支一样宽才用；整行引用、函数参数里的 *、表的列名表、TABLE x、PIVOT 这类认得出 ... - 写了库名的表（复核 major 1）：表结构以前按表名查，查询写的是另一个库里的同名表（archive.sales，列序不同）时照探查 的那张数位置，号码原样交给模型、落库。现在表结构另按「库名.表名」记一份（库名取探查时记下的 schema、qualified 的 前缀，masking._schema_keys），写了库名的引用按它查（_table_key），查不到的按数不清整段遮；探查时没设 schema、查询又 写了库名的也查不到（多遮）。数位置（_star_columns、_branch_names）、认标签列（_table_lacks）都照这个查法 - 过期的表结构（复核 major 2，对 099473c 的回退）：UNION 第一支是 * 时，按表结构数出的列名以前不核对列数就拿来对后一支 的位置，表结构过期、列数已经变了也照对，遮罩值记到错的列名上。现在后面每一支数得出的列数都和它一样宽才用 （_source_names、_width），对不上、数不清的退回整段遮 - 整行和别的 * 写法（复核 major 3）：写在函数参数、表达式里的 *、s.*（to_json(s.*)、concat_ws(',', s.*)、ROW(s.*)、 Oracle 的 JSON_OBJECT(*)）按它展开的来源认（_value_columns、_scoped_star_inputs，相关子查询、FROM 里的子查询照样 找得到外层的来源）。几种写法先改写语法树再认（_normalized，原文不动）：Postgres 的整行引用（row_to_json(s)、 json_agg(t)、SELECT s、s::text）按 Postgres 先认列的规矩，不是列的改成 ROW(s.*)；带列名表的表（FROM sales AS s(i, r, p)，引用 CTE 时写的也算）改成派生来源；解析器读错的 TABLE x 改成 SELECT * FROM x；选出项套了括号的 * （(s.*)、(s).*）按 * 数位置。PIVOT、UNPIVOT、MATCH_RECOGNIZE 读到遮罩列的整份遮。SQL 解析不了、里面有 *（COUNT(*) 除外）或 TABLE x 的（UNION ALL TABLE x、带库名的 TABLE），同写着遮罩列一样整份遮（_implicit） - Postgres 的列名表只写前几列时，不按表结构补全：别的方言里列名表比列少只能是表结构过期了，补全就丢了列数这道核对； 这时改了名的几列整段遮（多遮），照原名的按名字认 - inquiry 模块说明的已知局限补上：写了库名的表、过期表结构的列数核对、Postgres 列名表只写前几列时整段遮、探查的不是 默认库时没写库名的同名表可能数错、整行引用按表结构先认列（查不到时按整行多遮）、解析不了的 SQL 里的整行引用认不出 测试：新增 test_masking_whole_rows（整行、函数参数里的 *、列名表、TABLE x、Oracle 的 JSON_OBJECT(*) / UNPIVOT / PIVOT / MATCH_RECOGNIZE、解析不了的 SQL、不碰遮罩列的照常）；test_masking_star_renames 补写了库名的表（SQLite ATTACH 真跑）、 过期的表结构；test_verify_agent_masking 补核查 agent 的真实查询工具：过期的表结构，Postgres / Oracle 形状的结果（换掉 驱动）交给模型、落库、通用工件接口都遮好。每处实现都做过去掉之后测试变红的验证；复核给的 Postgres 18 探针、端到端 在临时库上重跑，都不再漏。	2026-10-06 21:50:48 +08:00
ThearchyHelios	6a7e51b81b	K3 复核修正（第 2 轮）：* 把遮罩列带进别的列名时按展开落到的位置遮；函数参数里的 JSON 箭头认作遮罩列；agent 查到的遮罩值和报告里的分开记，上限收满也不丢 ... - * 改名（复核点名的 blocker）：WITH t(a, b, …) AS (SELECT * …) 这类列名表、UNION 后一支的 *、FROM 子查询或 LATERAL 的列名表、标量子查询和 ARRAY 子查询里的 *，以前 * 本身不算取自哪一列，原值原样交给核查 agent、落库，第二道防线也 认不出。现在 * 带出遮罩列的值时，它展开落到的那几列都算（masking._star_places）：只展开一个来源、每一列都数得清的 按位置只遮取自遮罩列的那几列——子查询按选出项数，数据源里的表按查询当时冻结的表结构数（_schema_columns；工具边界 用数据源的 schema_cache，事后按快照的 schema_artifact，是同一份），几张列一样的月度表 SELECT * 连起来汇总，金额照常； 数不清的（没有表结构、列数对不上、几个来源）整段遮。表结构只用来数位置，不用来断定表里没有遮罩列。标量子查询里的 * 按 _value_columns 展开（展开数据源里的表一律算），EXISTS 里的 * 不算；递归的 CTE 不会绕不出来；带 EXCLUDE / REPLACE 的 * 不按位置数 - JSON 箭头：函数参数里没写表名的 col->'path' 被 sqlglot 解析成以 col 为参数的 lambda，_value_columns 把 lambda 的 参数名照列名收。SQLite json_each(profile->'$.tels')、Postgres jsonb_array_elements_text(profile->'tels')、MySQL JSON_UNQUOTE(profile->'$.tel') 这几种拆开、取出来的值在工具边界就遮 - 上限：run_verify_agent 以前先把调用方交进来的报告快照值并进 seen，收满 SECRETS_MAX 之后 agent 查到的值并不进去，后面 的查询、回答时的第二道防线都认不出。现在两份分开记（masking.SeenValues：given / found），查询工具按值遮、交回调用方 （VerifyOutcome.masked_values）时合起来，agent 查到的在前；反方审稿理由的按值遮也改成 agent 查到的先收 - 已知局限写进 inquiry 模块说明：表结构过期、列数没变却换了次序或改了名时可能数错；EXCEPT 后一支照 UNION 算（多遮） 测试：新增 test_masking_star_renames（真跑 SQLite 的各种 * 改名、按表结构数位置、表结构对不上、快照记着的表结构）， 工具边界（交给模型的、落库的、通用工件接口）和审批质询端到端的 * 改名、JSON 箭头、上限收满；每处实现都做过去掉之后 测试变红的验证。	2026-10-06 20:29:58 +08:00
ThearchyHelios	0580663f6e	助手栏连着选两次、两次都没存上时退回服务端存着的设定：以前退回的是第一次选时显示的乐观值（从没存上），原因和齿轮红点一起消失；现在记下服务端最后一次认下的设定，没存上时退回它并再取一次以服务端为准。check-studio 用放行闸门造出先发的那次还没回来就又选了一次的情形	2026-10-06 20:10:51 +08:00
ThearchyHelios	f0c2e35264	合入期 5 前置修复 K1b：模型接入报错的说法与修复候选收尾——修复规划只拿这次改动造成的失败否决候选、每处问题只认自己那一处的修复、给不出修复时照实说卡在哪；「不指定接入」落到演示类接入（含交给设置的核查、裁判）时写明演示用；接入名恰好是模型名时补一句；助手栏照实显示存着的设定与原因、能清掉失效的接入；检查器留空说明按节点与全图默认取值	2026-10-06 20:02:52 +08:00
ThearchyHelios	6d9d31395b	出口契约认藏在代码块里的正文改为逐行标出代码：写明是文字的块不再因为一行 SQL、一行像 YAML 的键或 + / - 要点就整块当代码，公式、JSON、目录树这类像数据的行照代码看 ... 上一轮先判整块：只要有一行以 SQL / Python 关键字或小写键开头，或者每行都以 + - 空格 @ 开头，整块就当代码，只认去掉 注释、字符串之后还成句的行。写成 markdown、text 的块里，+ / - 开头的正负面要点、正文后面另嵌的 ~~~sql、缩进的 select、 一行「- note: …」都让不带句读的结论认不出，藏进代码块反倒完整出具。反过来，写明是文字的块不去字符串，六字连写、结论词 又对公式、JSON、目录树、print、流程箭头这些行生效：结论句为 0 的报告贴一段带「占比」的公式就降档，缺口还说正文写在 代码块里。 - 逐行标出代码（_code_lines），不再整块判：块里再嵌、收得了的代码块（~~~sql、````，开了没收的那一行照普通的行看）； SQL / Python 语句从开头那一行到这一段结束，续行也算；整段是 YAML 的（第一行是小写键，其余是键或缩进的行；写明是 文字的块里另要有值为空的键，一行一个「- note: 一句话」是正文里的标签）；像数据、公式的行（前面有字的等号和箭头、 画目录树的制表符、JSON 的开头和「"键":」、函数调用、文件名、逗号隔开的表头）。代码的行只认去掉注释、字符串之后 成句的，别的行照旧：写明是文字的按 _written，信息串为空的按 _prose_line - diff：写明是文字的块里 + - 后面空一格的是列表项，紧挨着字写的才是 diff；信息串为空的块里第一个改动行是 + 的是 正负面要点（diff 先列删掉的行），有 @@ 块头的照旧是 diff - 一段到空行为止，只写着块注释的行不算空行；写明是文字的块里顶格的标题另起一段。块注释、三个引号括起的多行字符串 涂成空格，行数不变 - SQL 关键字只认全小写、全大写，def / class 要写成定义的样子：「From 数据看……」「class A 门店……」是正文。代码的行里 -- // 紧挨着前面的字也算注释 - 取舍写进 _fenced_body 的说明：一块里只要有一行在写正文就记缺口，拿不准的行宁可当代码，藏起来的正文总有别的行认得出 测试：复核里的写法逐一补上：+ / - 要点（markdown、text、信息串为空）、嵌 ~~~sql、缩进的 select、小写键的标签，正式 运行降档并只带这条缺口；带「占比」「增长率」的公式、写成 text 的 JSON 和目录树，在结论句为 0 的报告里照常完整出具。 单元参数另补 print、groupby、流程箭头、文件名、逗号表头、JSON 数组、多行 SQL 夹块注释、docstring、嵌套的 YAML、开了 没收和收尾更长的嵌套围栏、行首箭头、首字母大写的关键字、先列 + 的带 @@ diff，并钉住两条取舍：写成 text 又空一格的 diff 照列表看；信息串为空、整段都是小写键的照 YAML 看。长行耗时用例扩到七种长行、两种多行围栏、两种信息串。逐一去掉 36 处规则（diff、嵌套围栏、语句、关键字大小写、def / class、YAML、分段、像数据的七种写法、注释、块注释、多行字符串、 正文判法、结构片段、挂钩），各有用例变红。	2026-10-06 19:51:29 +08:00
ThearchyHelios	db84e576c0	模型接入报错收尾（第 1 轮复核，前端）：反方审稿的模型一栏不再多出一句相反的说明；检查器读工作流默认设置里的模型；助手栏保存失败时退回原样并说明、「当前」只写在跟随默认上、原因的去向写「上方」；接入「启用」的说明另起一行；落到演示模型的修复候选加醒目标签 ... - 检查器：模型一栏的留空说明（modelDefault）只用于节点定义里的模型栏。反方审稿的「反方模型」自己画、只读节点自己的 配置、留空跟随设置，以前全图默认点名了接入时也被套上「留空则使用接入「X」的默认模型」，和它自己的说明相反；工作流 默认设置写了模型时，空选项和说明写「使用工作流默认设置的模型「X」」（后端执行时取的就是它，也不报「没有指定模型」）， 不再说成某个接入的默认模型； - 助手栏「助手使用的模型」：重新选择时保存失败，下拉、原因、齿轮上的红点退回选之前的样子（服务端存着的没变），下面写 「保存失败，助手使用的模型未更改」，收起再展开后不再留着；只认最后一次选择的回包；选了具体模型时「跟随默认」不写 「当前」（那时服务端给的 effective_model 是选的那个模型）；下拉下面的原因用服务端的 panel_error； - 设置页接入编辑框：停用的后果另起一行写在复选框下面（aria-describedby 接上，读屏名只是「启用」），不再和「启用」并排 放在 label 里把它挤成上下两个字；说法收紧为「停用后，该接入的模型不再出现在下拉列表中，指定它或其模型的节点和设置也 无法调用」——调不了以后怎样（报错、转人工审批、记未裁判、记缺口）由各组自己那句说，不笼统写「运行时报错」； - 发布前检查：候选带 demo 标记时，选项名旁加提醒色的「演示模型」标签，说明里那半句照旧（normalizeFix 留下这个标记）。 types.ts 的 PublishFix 选项加可选的 demo 字段。 检查：check-studio 那一节加反方审稿不套说明（全图默认点名接入、写了模型两种）、工作流默认设置带模型时的空选项和说明、 保存失败退回原样与收起再展开、选具体模型不写「当前」、原因写「上方」；check-manage 量「启用」只占一行（1440、390）、 说明不在 label 里、读屏名只是「启用」、说明在弹窗里；check-publish 的伪造门禁跟上「无法改用其他接入：」与 demo 标记， 加一节演示标签（两个候选各一个、提醒色而非淡色、和选项名同一行、390 宽在弹窗里）。新加的检查项对着改动前的界面跑过， 都会不通过。	2026-10-06 19:43:44 +08:00
ThearchyHelios	7255ae98a5	模型接入报错收尾（第 1 轮复核，后端）：交给设置的核查、裁判落到演示模型照实说；给不出修复时说卡在哪里；接入名恰好是模型名那句按这一处检查器里有哪几栏写；修复规划只重算被改的节点；助手栏那一格另给一份说法；几处措辞对齐 ... - 「不指定接入」交给设置（核查模型、裁判模型）时：启用的接入全是演示类，设置这一级不管写的是什么，执行时落到的都是 演示模型，说明照实带上「（演示用，不调用真实模型）」、候选带 demo 标记；一个启用的接入都没有时不算落得稳（同别处 「换成内置演示模型」不算）。以前 land() 在判演示之前就把交给设置的一处当成落稳返回了； - 检查器里没有下拉框、发布前检查又给不出修复时，提示末尾补「无法改用其他接入：」加第一处落不稳的地方（Landing.why， 比如「成员「研究员」指定的模型「小模型」所属的模型接入「旧接入」已停用」），不再只剩「核对名称」让人去设置里找一个 找不到的名字； - 点名的接入名恰好是某个启用接入的模型：画布、发布前检查按这一处在检查器里有哪几栏写（provider_refs._model_note）—— 模型调用一类在节点的「模型」中选择它，接入在发布前检查里改用这个接入或选择「不指定接入」（修复里有哪项说哪项）； 协作成员、全图默认只说可在发布前检查里改用；核查节点、报告自己的结论句裁判两栏都在，照设置页写这两栏的叫法。 不再叫人去一个没有的「接入」栏留空。运行时报错不分节点类型，「填写」改为「选择它」； - 修复候选修完以后落到演示类接入的带 demo 标记，发布弹窗据此在选项名旁加醒目的标签； - 性能：改一个节点的配置只影响它自己取模型的那几处，修复规划（autofix._ProviderPlan）每试一个候选只重算这个节点 （provider_refs.node_uses），不再深拷贝、重算整张图；问题提示只问给不给得出（provider_fixable，找到第一个落得稳的 就停）；接入问题的引用整张图只算一遍。60 个节点都点名同一个停用接入时，画布校验里这一部分约 0.35 秒降到约 0.002 秒， 发布前检查约 0.72 秒降到约 0.01 秒，一次应用 30 条修复约 2.7 秒降到约 0.09 秒； - 助手：GET /api/copilot/model 另给 panel_error（写在助手栏「助手使用的模型」那一格下面，去向写「上方」，不把人指回这个 下拉框本身）；接入名恰好是模型名时并成一句，不再两次提「助手使用的模型」；PUT /api/settings 里助手那一项的 422 用 助手报错那一句（那里只有一个选模型的下拉框，没有「换一个接入」的地方）； - 裁判设置的格式检查写「留空表示跟随助手的模型」，同设置页空选项（engine/judge.py 一行，同核查那条的改法）；「交给助手」 后只剩接入问题时写「助手无法处理」，有修复时另起半句「也可在各条问题下方选择改用的模型接入」。 测试：test_provider_ref_wording 加演示落在设置上、demo 标记、给不出修复时卡在哪里（含一个启用接入都没有）、各处的 接入名恰好是模型名、助手栏那一格的说法、助手那一项的 422、裁判格式检查、规划开销随节点数线性增长（数试算时算了多少处 取模型的地方）；其余几个文件跟上新说法。新加的核心用例都做过去掉实现、测试变红的验证。	2026-10-06 19:43:44 +08:00
ThearchyHelios	e7fb8f6c1c	可验证报告复核修复（第 2 轮）：SQL 解析不了的快照，口径卡同样整张只给 id；整行引用补全函数记法、按表函数的先后认；拒绝名单补别的会话的 SQL 原文 ... 复核查出三处：口径卡和快照对 SQL 解析不了的结论仍不一致；整行引用的函数记法名单不全，表函数参数里「先按列认」不看先后； 拒绝名单里「别的会话的 SQL 原文」一类不全。逐条修： - 口径卡和快照按同一个结论判（复核的第一条）：SQL 每种读法都解析不了时快照只给哈希，卡这条路以前退回按 SQL 认遮罩列的 那一套（inquiry._derived_hidden）。那一套解析不了时只看 SQL 里写没写着遮罩列，没写就只认遮罩列本身，卡上取自整行的值 照样整张嵌入。例如 PG17 起的 JSON_QUERY(to_jsonb(m), '$.*' WITH WRAPPER) AS tel，以及 ORDER BY … USING < 这类 sqlglot 读不了的写法，号码就这样原样进了文件。现在 _derived_columns 对不是合并查询的快照，没有一种读法读得通时整份的列都算， 整张卡只给 id。没有 SQL、SQL 是空的也一样处理：这时快照同样只给哈希。合并查询照旧不看 SQL。 - 整行引用： - 函数记法的名单补上 record_out、record_send、any_value、json_agg_strict、jsonb_agg_strict。另照 PG 18 的 pg_proc 逐个对过，补上 max、min：m.max 就是 max(m)，交回最大的那一整行，复核没点到，本地实测号码在里面。补了 max、min 之后， 写了表名的名字同样先按列认：派生来源明写出了叫 max 的列，t.max 就是那一列，按地区取最大值的子查询不受影响。数据源里 的表有哪些列这里看不到，碰巧叫 max、min 的列宁可多挡。 - 没写表名的名字写在表函数的参数里时，「先按列认」只看排在这个表函数前面的派生来源（_holder）。 FROM members m, jsonb_each_text(to_jsonb(m)), (SELECT 1 AS m) s 里，s 对函数不可见，m 是整行，以前按列认，快照照常嵌入。 没有改成「表函数参数里一律不按列认」：排在前面的派生来源明写出了同名列时，那确实是列，补了对照用例。 - 拒绝名单（不点列名也读得出表里内容的写法）： - 别的会话的 SQL 原文：Postgres 的 pg_stat_get_activity、pg_stat_get_backend_activity、pg_stat_statements、 pg_prepared_statements（asyncpg 连接池里的连接留着前几次查询的原文，本地 PG 18 实测）；MySQL sys 库的 session、 processlist、innodb_lock_waits、schema_table_lock_waits 及各自的 x$ 版本（只认这几张，Oracle 常写的 sys.dual 不受 影响，补了对照用例），企业版的 audit_log_read；Oracle 的 V$OPEN_CURSOR 和审计记录（*_AUDIT_TRAIL、 UNIFIED_AUDIT_TRAIL、AUD$、FGA_LOG$）。 - 复核脚本里同样照常嵌入、和已拦的写法读的是同一份数据的，顺手补上：pageinspect 按索引名读页的 bt_page_items、 pg_walinspect 的 pg_get_wal_block_info、SQLite 的 readfile、Oracle 直方图和列统计的底表 histgrm$、hist_head$、 MariaDB 的 column_stats。大对象（lo_get、pg_largeobject）里存的不是表里的数据，没有加。 测试：口径卡补 SQL 解析不了（三种 sqlglot 读不了的真实写法）、没有 SQL、SQL 为空的用例，卡上取 tel 和 spend 都只给 id； 另补函数记法 record_out、表函数后面同名派生来源两种整行写法。查询快照补七个函数记法、WITH 里 * 加函数记法、两种表函数 先后的写法，以及二十项拒绝名单。对照组补派生来源明写出 max 列、表函数前面的派生来源明写出同名列、sys.dual，这三种照常 附带。夹具里的 SQL 都在本地 PG 18.6 上跑过，结果和用例说的一致。逐处去掉实现，相关测试都变红： - 解析不了的退回那一套 4 项，没有 SQL 的 1 项； - 名单不补 9 项，只去掉 max、min 2 项； - 写了表名的不先按列认 1 项； - 表函数参数不看先后 3 项，一律不先按列认 1 项； - 别的会话的 SQL 不补 14 项，原始数据、统计信息不补 6 项； - sys 整个拦掉时 sys.dual 对照变红。 后端全量 10238 项通过、11 项跳过；check-all bundle 183 项通过；check-copy 通过。	2026-10-06 19:21:23 +08:00
ThearchyHelios	099473cd6d	K3 复核修正（第 1 轮）：后面的查询按此前遮掉的值遮、质询工件照回答时记下的位置重放；表值函数拆开遮罩列也认；汇总遮罩列的指标不派盲算；反方理由按值遮 ... 复核发现质询工件接口相对基线回退：agent 自己的查询快照在工具边界遮好之后，事后取质询工件收不到它另一次查询里的号码， 没设遮罩的备注、联系方式列原样给出。另有几处模型照样看得到遮罩值、或者遮多了的地方。 - 工具边界（tools/datasource、engine/masking.mask_query_result）：此前已经认出的遮罩值（这个 agent 前面的查询遮掉的、 调用方交进来的）也用来按值遮后面的结果，数据源没设遮罩的也一样。审批质询、反方审稿在派 agent 之前把报告快照里的 遮罩值交进来（inquiry.snapshot_secrets，run_verify_agent 的 masked_values），模型从第一条查询起就看不到。已经摆在 读者眼前的值（提问人写的、报告指标、被审的结论原文）跟着并进来的值一起免遮（_Secrets.protected）；这份结果自己写 的分档标签不按前面收的值换。 - 先查备注、后查出号码的：回答时只靠内存里的值才换掉的地方按快照记成位置（不含值，masking.view_edits），写进质询 事件的 masked_cells，质询工件接口先照着重放（replay_edits）再按原来的办法遮。工具边界按值换掉的整格照样画成遮罩列。 agent 查到的值先收、报告快照的后收：上限收满时不丢 agent 自己查到的。 - _derived_hidden 认 FROM、JOIN、LATERAL 里拆开遮罩列的表值函数（json_each、json_tree、unnest、jsonb_each_text、 regexp_split_to_table、JSON_TABLE、LATERAL VALUES）：按出列名认，不认得的函数又没写列名表的整份遮。 - 汇总里的 CASE 只在条件里用到遮罩列的不算取自遮罩列（同写在 WHERE 里）。双盲复算按同一套认法认出指标取自遮罩列 （SUM(amount)、amount 设了遮罩）时，派盲算之前就记为无法复算并说清原因，不白花一次盲算（nodes/dual_check 的 _query_input，改动在文件所有权之外，只加这一处判断）。 - 反方审稿：理由正文和理由文档按值换掉遮罩值（换了写法的也认），这句结论原文里写着的不换；重新组装时引用到的格子按 遮好的快照渲染。 - 换了写法的号码另认不换行空格、窄空格、细空格、制表符、减号，最多四个分隔符；SQL 的字符串、带引号的名字、注释里 也认（不带引号的数照旧是算式），字符串里换掉的号码同一条 SQL 里写成阈值的也不留；列名同样认。 - 查询失败时报错原话里的值换掉（mask_error_text：引号里、不带引号的长数，SQL 里写着的照留）。 - 快照的 mask_columns 只记数据源设的列名，改了名字的结果列只在 masked_at_query：证据面板并各份快照的这一项从表的 字段清单里去列，混进别名会误藏同源别的表里同名的真实字段。 - * 展开数据源里的表时按冻结的表结构认它带不带同名列，没有的照常认分档标签（J2 收紧之后的多遮）。 - 格子引用指到按值换掉的格子时照实说；上万个值的合并、免遮放进线程。 测试：质询 agent 先查号码后查备注、先查备注后查号码、另一张表的号码列两种先后，质询工件、通用工件接口、事件都没有 原值；报告快照里的值在第一条查询就遮；表值函数（SQLite、Postgres、MySQL 的写法）、汇总里 CASE 的条件、* 连着的表按 表结构认标签、新的分隔符、SQL 字符串和注释和列名、报错原话、mask_columns 不混别名、遮罩列汇总的指标不派盲算、反方 理由按值遮且免遮结论原文、上限收满时 agent 的值先收。逐处去掉实现（24 处）对应的用例都会变红。	2026-10-06 19:11:14 +08:00
ThearchyHelios	46403a0aac	出口契约认藏在代码块里的正文改为逐行看字、不看列表标记；信息串为空的块里 YAML、diff 不再当成正文 ... 上一轮按列表标记认不带句读的行，只认 - * + • 和「1.」「1)」：中文报告常见的「1、」「一、」「（1）」、· ● 开头的行和 不带标记的行藏进代码块仍是 0 句、完整出具，不包反倒降档。同一条规则对信息串为空的块都生效，结论句为 0 的报告里贴一段 写着中文列名的 YAML 或改口径的 diff 会降档，缺口还说正文写在代码块里。 - 不再按标记认：标记写法太多，补一种漏一种。一行按正文的规矩会算一句结论（evidence._classify 认文字结论的那条： 方向词、因果词，又不只是在下定义，且有两个以上汉字）就算在写正文，不论标记，与不包代码块时的判法一致 - 信息串写明是文字（markdown、text 这类）、里面也看不出是代码的块：另认一行里连着六个以上汉字的（表格的列名、 门店名这类标签多在五个字以内）；不当代码看，# -- 和半角引号都是正文里的符号；标题不算（正文里的标题也从不算结论） - 块里看得出是代码（SQL、Python 开头的行，小写开头的 YAML 键，整块是 diff），不论信息串写的是什么，只认去掉注释、 字符串之后成句的：值里、别名里的「最高」「占比」这类词不算；正文里首字母大写的「Note:」是标签，不算 YAML 的键 - 信息串为空、看不出是代码的块：去掉注释、字符串之后成句，或按正文的规矩会算结论；不带句读也不像结论的列名不算 - 围栏那两行是挂在代码块上的结构片段，判断时只看块里写的内容 测试：1、 一、 （1） · ● 和不带标记的写法藏进代码块（另有信息串为空的一种）正式运行降档并只带这条缺口；YAML 列表、 diff 在结论句为 0 的报告里照常完整出具；单元参数补上引用块、表格、粗体、短结论、正文里的 # -- 引号，以及 YAML 键、 diff、SQL 别名、写成 text / markdown 的代码、不到六个字的标签、只有标题。逐一去掉六字连写、两处结论词、代码判断 （YAML、diff 各一次）、不当代码看、结构片段过滤、小写键、标题跳过、挂钩，以及换回按标记认的旧规则，各有用例变红。	2026-10-06 18:44:21 +08:00
ThearchyHelios	8c0c3b8eeb	可验证报告复核修复：遮罩源上的查询快照再堵几条带出号码的路，口径卡和快照按同一个结论判 ... 复核查出，上一轮放开「没碰遮罩列的快照照常附带」之后，有几种写法 SQL 里不写 phone、结果列名也对不上，结果里照样是 号码，快照原字节和查询事件的预览会随文件附带出去。这一轮逐条堵上： - 整行引用认全（复核的两个阻断项）：Postgres 的 FROM 里的表函数不写 LATERAL 也看得见前面的来源， `FROM members m, jsonb_each_text(to_jsonb(m))` 这类逐列画像的写法（逗号、CROSS JOIN、JOIN … ON TRUE、LEFT JOIN、 ROWS FROM、不带别名的 UNNEST、套在 FROM 的子查询里）以前按看不见算，整行引用认不出。现在 FROM、JOIN 里只有真的 子查询和 WITH 里的一段看不见同一层；括号括起来的一组连接（(members m CROSS JOIN f(m))）也摊开按同一层认。另外认 函数记法 m.to_jsonb、m.row_to_json（等于 to_jsonb(m)），自己建的函数认不出。 - 不点列名也读得出表里内容的写法（_INDIRECT_READS）：SQL、表名写在字符串里交给函数执行或整表导出（table_to_xml、 query_to_xml 一族、ts_stat、crosstab、DBMS_XMLGEN、XQuery 的 ora:view），统计信息里的采样值（pg_stats、 sqlite_stat4、column_statistics、Oracle 的直方图和 *_tab_columns），按页按文件读的原始数据（get_raw_page、 pg_read_file、LOAD_FILE、sqlite_dbpage、逻辑解码），别的会话的 SQL 原文（pg_stat_activity、general_log、V$SQL）， 系统 schema（pg_catalog、information_schema、performance_schema）。SQL 原文里出现就只给哈希；函数名要跟着左括号， 列名碰巧叫 crosstab、pg_status 的不受影响。 - 这次运行里查到过的遮罩值写进了别的查询的字面量（模型拿看到的号码去查别的表）：导出时收齐封存范围内每份快照里 取自遮罩列的格子（inquiry._Secrets 的按值认得出的写法），只看 SQL 的字面量，碰上就只给哈希、查询事件也只给哈希。 这次运行里没查到过的值（提问人写进问题的）认不出。 - MariaDB 会执行的注释 /*M! … */ 和 /*! … */ 一样按语法树认不准处理。 - 口径卡和快照按同一个结论判：快照因列名表、整行引用、不照原名展开的 *（UNION 一支里按位置对上列名的、装进一列 的）、吃进遮罩列的表函数、语法树认不准或不点列名也读得出内容而只给哈希时，卡上取自这份快照任一列的输入都按遮罩列 算，整张卡只给 id。以前卡这条路只认改了名字的遮罩列，快照只给哈希，卡上记着的号码却原样进了文件。最外层直接写的 * 照原名展开，按名字认就够，卡照常嵌入。 - check-bundle 的 masked-source 样本点数字之前先看有没有核对通过的数字，没有就记一项不通过、不去点：以前点空了要 等满 30 秒抛错，同一节后面的 nan、stray 样本都不跑了。换回改动前的 build.py 实测，现在只多记两项不通过，后面照常跑。 有意没改的一条：SQL 写到遮罩列、结果里却没有号码的（COUNT(DISTINCT phone)、phone IS NOT NULL）照旧只给哈希，比规格 的四条更严。FROM 里的表函数吃进遮罩列时（unnest(ARRAY[phone])）它交出的列取自哪一列认不出，只能看 SQL 写没写到； 补了这一例的测试，说明写在 _untouched 和测试里。 测试：新增整行引用（表函数、括号里的一组连接、函数记法）、不点列名的读法、字面量里的遮罩值、MariaDB 注释、口径卡 七种认不出来历的写法各自的用例，以及对照组（列名像函数名的、表函数只吃没设遮罩的列的、括号连接按名字取列的、最外层 * 的卡）。合并查询那一条判断补了只带认得的键的夹具，结果列名那一条补了按 SQL 认遮罩列的那一套什么都没认出来时的 用例，两条现在都能单独证明——上一轮提交说明里「每一条规则都做过去掉实现测试变红」对这两条不成立。这一轮 15 处改动 逐一去掉实现，相关测试都变红。	2026-10-06 18:33:02 +08:00
ThearchyHelios	53bb356fae	复核第 1 轮：对比入口预先问默认基准带 5 秒超时、问到没有默认基准时写「选择基准对比…」直接去对比页手动选、切回页面时再问一次；工件页签的悬停照实写，320px 时校验值和大小不再拆开 ... - 对比入口（pages/runs/compare/entry.tsx）：预先问 compare/base 卡着不回时 5 秒后按没问到算，叫法退回「与上一次对比」、可点，不再一直停在不可点的「正在查找」；问到没有默认基准（多为工作流的第一次运行）时写「选择基准对比…」，点了直接去只带本次的对比页手动选（对比页自己再找一次），不再写「与上一次对比」、点了再问一遍弹提示；切去别的标签页再切回来时再问一次，问的期间保留原来的叫法、可点，问到不一样才换，问不到不改；更正预先问那段注释的前提（compare/base 不回 409、422，不先问是因为这些入口本来不给点） - 运行详情「工件」页签头的悬停写上证据快照、核查记录和每个节点的产出三组（RUN_ARTIFACTS_TEXT.tabTitle，RunDetailView 只换这一处）；证据快照的悬停不再说「结论里的数字从这里来」，点明含核查、质询时执行的查询；核查记录的悬停用行上的种类名，指明其间执行的查询见「证据快照」；两句都在 45 字内 - 工件行的校验值和大小包在一起排、一起折行，这一栏窄于 22rem 时收起校验值：320px 下大小不再单独折到种类下面，每行仍是两行 - 对比页没带运行时的说明缩成 32 字，不逐个列菜单项的叫法 - 检查：check-compare 补预先问超时、没有默认基准、切回页面再问、点了才发现没有基准后叫法跟着改、工件页签悬停几节；check-verify 改两组悬停的断言、补 320px；check-schedules 的假 compare/base 补上 previous: false（和服务端一致），断言运行详情菜单项与触发历史链接的叫法一字不差	2026-10-06 18:25:35 +08:00
ThearchyHelios	0bf2f8ba63	check-studio：助手栏那一节的伪造设定改成接入连同一个列得出的模型，「下拉停在存着的设定上」「发出的请求不带模型」两项才分得出新旧写法（Playwright 的 selectOption 选同一个值也会触发 change，单靠「重新选跟随默认」分不出来）	2026-10-06 18:10:15 +08:00
ThearchyHelios	b7da8a9af9	出口契约认藏在代码块里的正文：只挂 [[see:]] 依据的、不带句读的列表项也认，代码里的注释和字符串不算句子，英文句子改成线性扫描 ... 上一轮只看片段里的引用和带全角句读的行，几种写法仍会让正文藏在代码块里照样完整出具，另有几种代码被当成正文： - [[see:]] 记在句子的 see 上、不在片段里：只用 see 挂依据的列表现在也认 - 中文报告的列表项常不带句读：以 - * + • 或「1.」「1)」开头、后面有两个以上汉字的行算成句；信息串为空、看得出是 SQL / Python 的块里（有 SELECT、FROM、def、import 这类开头的行），以 * + - 开头的是运算的续行，不当列表项 - 信息串写成 plaintext、txt、plain 的和 text 一样算写文字的代码块 - 判句之前去掉字符串字面量（可带 f、r、b、u、N 前缀；英文的 it's 这类不动）和行尾注释（-- // #），# 开头的行、 跨行的 /* … */ 块注释都不算：SQL 行尾的中文注释、print 里带全角标点的字符串不再让 0 句的报告降档 - 认英文句子的正则对很长、不带句末标点的一行是平方级回溯（出口复核在事件循环上同步执行），改成按词串逐个数单词， 耗时随行长线性增长 check-decode 补一项：从 io.py 读出 GAP_FENCED_BODY，钉住它归「校验不完整」、不进核查的两组。补参数化用例和端到端 用例：只挂 see 的列表、不带句读的列表、plaintext 包住正文的正式运行降档并带这条缺口；带行尾注释的 SQL 照常完整出具； 四万多字的长行一秒内判完。	2026-10-06 18:03:12 +08:00
ThearchyHelios	04606cfe94	双盲复算写业务日期：真写按写入时的版本重读上传表格导入时认作日期的列，几个列表块写同一张表时每一块都记为日期才算 ... record_choices 的表结构是写入时现读的，候选里的 upload_dates 却是发起审批时读的：审批停着时上传源换了版本、把日期列 改成文字，两份拼在一起会写出一条哪个版本单独看都不会给出的人工确认。现在候选里带 upload_dates 的，真写在读数据源的 同一个会话里按当前版本重读、覆盖候选里的那份，和表结构出自同一个版本，版本没变时预告和真写仍一字不差；候选里没有 这一项的是升级前发起的审批，卡上预告的是不写，照旧不认。 recipe_dates 以前只要有一个列表块把某列记为日期就算日期列：两个工作表的列表块写同一张表、同一列一个日期一个文字时， 表形状一样（都存成 TEXT），配方校验不拦，按文字导入的那一块存的是单元格原文。现在写这一列的块都记为日期才算。 补测试：审批停着时修改配方把支付日期改成文字，裁决后照实说按文字保存、不写；没有 upload_dates 的老候选不重读、照旧 不写，带着的按写入时的版本重读后照写；两块类型不一致的列不算日期。	2026-10-06 18:03:12 +08:00
ThearchyHelios	c8800d75e3	模型接入报错的说法与修复候选收尾（前端）：助手栏照实显示存着的模型设定、能重新选「跟随默认」清掉失效的接入；检查器模型一栏说清留空用哪个接入；停用接入的后果写全；问题只认自己那一处的修复 ... - 助手栏「助手使用的模型」：读 GET /api/copilot/model 的 error，照实写在下拉下面，齿轮上加红点（收着时也看得出来）。存着的 设定下拉里列不出来（点名了接入，或模型不在可选列表中）时列成一项并选中，不再停在「跟随默认」——以前看着一切正常、 发出一句话才报错，而且再选「跟随默认」不算改动、清不掉存着的接入，报错又指到改不了它的设置页。这时发出的请求不带 模型，服务端按存着的整组取，和下拉上显示的一致； - 检查器模型一栏：节点（没写就是全图默认）点名了接入时，空选项和说明写「使用接入「X」的默认模型」；X 不存在、已停用时 空选项说状态、不写说明，不再和检查器顶上接入那条问题矛盾（同后端去掉「没有指定模型」那一条）； - 设置页：接入编辑框「启用」旁、卡片上「已停用」的悬停说明写全停用的后果（指定它或它的模型的节点和设置运行时报错）， 不只说下拉里看不到；门控、裁判、核查三格存着的接入名恰好是某个启用接入的模型时，补一句在这一组哪一栏用它，和服务端 保存时 422 的那句一致； - 发布前检查：点名的模型接入只认节点、字段都对得上的修复，没有就是这一处没有修复，不再退到同节点、同编号别处的修复 （同后端 annotate）——以前给不出修复的那一行下面会画着另一处的选项； - 说法收进 terms.ts（PROVIDER_REF_TEXT、ASSISTANT_MODEL_TEXT），getModel / setModel 的返回补上类型（CopilotModel）。 检查：check-studio 加一节（检查器空选项与说明、助手栏的错误与重新选择、发出的请求不带模型、390 宽不多撑出横向溢出）， check-manage 加一节（停用后果、接入名恰好是模型名）并跟上 422 的新说法，check-publish 的伪造门禁照后端「没有修复时 不指到发布前检查」，加一节给不出修复的那一行不借同节点别处的修复。	2026-10-06 17:51:26 +08:00
ThearchyHelios	450758185d	K3：核查 agent 看到的查询结果先遮、存下的快照也遮 ... 双盲复算、反方审稿、审批质询共用的 engine/verify_agent.py 以前把查询结果原样交给模型（db_query 自己落快照，ToolMessage 里是原样的结果），遮罩全靠审批质询事后按值认，期 4 起六轮复核每轮都找到新的漏法；运行详情「工件」页签走的通用接口 GET /api/artifacts/{id} 还把核查的查询快照原样给出。根本的修法是不让模型看到遮罩值。 - tools/datasource：查询工具加遮罩开关 mask_results（缺省关，Agent 节点、调用工具节点照旧）。打开时数据源设了遮罩的， 先按 engine/masking.py 的 mask_query_result 遮好再交给模型、再落快照：列名直接对上的、按 SQL 认出取自遮罩列的 （别名、函数、子查询、WITH、SELECT *，复用 _derived_hidden；SQL 解析不了又写着遮罩列的，整份结果的列都遮）整列 换成「已遮罩」、类型记成文本；同一份结果里别的格子整格是遮罩值的换掉，文字格里夹着的那一截换掉（换了写法的号码 也认）；列名不换。结果里一列都没取自遮罩列的（数值的汇总、只数个数、只在条件里用到）原样。快照里 mask_columns 另记下查询时遮了的、改了名字的结果列（证据面板、质询工件据此画成遮罩列），masked_at_query 记下查询时就整列遮掉的列。 这一次遮掉的值并进 ToolContext.extra[MASKED_VALUES_KEY]，只在内存里。 - verify_agent：建查询工具时和 force_readonly 一样打开遮罩开关；格子引用指到查询时就遮了的列，照实说是遮罩列、不采信； 遮掉的值经 VerifyOutcome.masked_values 交回调用方（不进 as_dict、不往外交）；系统提示补一句「已遮罩」是什么。 - 审批质询：按值遮降为第二道防线。agent 自己的快照查询时就遮好了，收不到遮罩值，改由 masked_values 并进来（_plan 的 seen），回答、查询清单照旧按值遮；「已遮罩」本身不收成遮罩值。事后取质询工件时内存里的值已经不在，SQL 检查结果的 片段、说明照事件里记下的那条 SQL 换（_recorded_swaps：逐词对出回答时换掉的字面量和 LIKE 里换掉的那一截）。 - 双盲复算取盲算值、反方审稿的引用、证据面板、可验证报告（带遮罩的快照只给哈希，照旧）、推演、运行对比（不收核查的 查询）都按快照里已经是「已遮罩」照常工作，文件不用改。 测试：核查 agent 选出遮罩列（直接、别名、函数、子查询、WITH、SELECT *）时交给假模型的 ToolMessage、落库的快照、通用 工件接口、tool.end 预览、收尾交给模型的查询结果里都是「已遮罩」；没碰遮罩列的聚合查询原样、照常取值；文字格夹着的 号码换掉那一截；引用遮罩格子不采信；SQL 认不出时整份遮；开关缺省关、没设遮罩的源快照一字不差；列名不改；审批质询、 反方审稿、双盲复算各补一条端到端；质询工件的检查片段照记下的 SQL 换。逐处去掉实现（开关、并进内存的值、照记下的 SQL 换、跳过「已遮罩」、遮罩格子的说法、记下改了名字的列、文字格按子串换、不改列名）对应的用例都会变红。	2026-10-06 17:36:55 +08:00
ThearchyHelios	4673e51bb8	模型接入报错的说法与修复候选收尾（后端）：修复规划只否决这次改动造成的失败、问题只认自己那一处的修复、没有修复时提示不指到发布前检查、落到演示类接入照实说；各处说法对齐 ... 修复规划（autofix.provider_choice，原 _plan_provider 的主体，provider_refs 也用它判断给不给得出修复）： - 改动波及的一处，要是点名的接入没变、而那个接入本来就不存在或已停用，它落不稳不是这次改动造成的，不再拿它否决候选。 以前两处互相牵连（节点点名的接入写错、模型取全图默认里停用接入的模型）时两条问题都没有修复，规划器自己卡住； - 点名的模型接入一处一条修复，annotate 只认（编号、节点、字段）都对得上的那一条，认不出就是没有，不再退到同节点、 同编号别处的修复（以前全图默认那条的 fix 会指到某个节点的修复上）； - 一个候选都落不稳时，问题提示不再写「或在「发布前检查」中改用其他接入」，只说去设置里核对、启用； - 修完以后落到演示类接入（kind 为 mock）时，「不指定接入」的说明写明「演示用，不调用真实模型」，和「改用演示接入」 那一项一致——K1 要防的就是悄悄换成演示模型。 说法： - 双盲复算、反方审稿的问题写「……的「盲算模型 · 接入」指定的模型接入」，不说「盲算模型指定的接入」（修复标题仍按角色说）； - 点名的接入名恰好是某个启用接入的模型时，运行时报错、画布问题、保存设置的 422、助手的报错都补一句这是哪个接入的 模型、怎么用它（factory.model_note；设置页写那一组模型、接入两栏的叫法），免得照「启用它」去启用那条旧接入； - 保存设置 422：下拉框选的写「指定的」，不写「填写的」；去掉和设置页空选项对不上的留空半句；助手那一项叫「助手使用的 模型」；核查的格式检查写「留空表示跟随证据裁判模型」，同设置页； - 「交给助手」后只剩接入问题时的说明：一句一个意思、不再带冒号（界面上前面已有「助手：」），「核对名称」有宾语，不说 「节点」；有一条带修复时才指到各条问题的修复； - 助手的模型取不到时，提示指到真正能改的地方：「编排」页助手栏的「助手使用的模型」（设置页没有这一项）； - 节点点名了接入、没写模型时校验说「将使用接入「X」的默认模型」（编号 model.unset）；X 本身不存在或已停用时画布校验、 发布一类都去掉这一条，只留接入那条，不再一条说照常执行、一条说会失败。	2026-10-06 17:29:18 +08:00
ThearchyHelios	b8dfbdb335	对比入口的注释换个说法：「接着跑完」改成「接着运行完」，和界面文案的用词一致	2026-10-06 17:25:07 +08:00
ThearchyHelios	2a64099cb8	对比页没带运行时的说明把菜单项的两种叫法都写上：上一次没有成功时运行详情的菜单里写的是「与上一次成功的运行对比」，说明只写「与上一次对比」会让人找不到 ... check-compare 跟着核对两种叫法都在	2026-10-06 17:24:17 +08:00
ThearchyHelios	0f48bd17c4	运行详情「工件」页签：双盲复算对照、反方审稿记录、质询回答单独归到「核查记录」一组；窄屏上说明换到第二行，第几件和第几次尝试在截断范围外，悬停写全说明 ... 分组：以前这三种都算进「证据快照」，那一组的说明却写着「查询、工具调用、知识检索的原始结果」。model.ts 加 artifactGroup（证据快照、核查记录、节点产出三组，按种类分），筛选多一档「核查记录」，件数、悬停说明跟着改：证据快照写上口径卡、报告文档和表结构，核查记录说清装的是什么、核查时执行的查询快照仍归在证据快照。别的种类的归类不变（isEvidence 改成只认证据快照这一组，认不出的种类照旧算证据快照）。口径卡里容器型变量输入的完整值（metric_input）以前露键名，补上名字「指标输入」和说明。 窄屏：以前一行里挤着种类、说明、校验值、大小和时刻，390px 时说明只剩三个字、序号也被截掉。行按列表这一栏的宽度排（容器查询，35rem 以下），窄时说明换到第二行占满整行，第一行留种类、校验值、大小和时刻（时刻和种类对齐）；序号和第几次尝试从被截断的说明里挪出来；按钮的悬停写「打开某种工件：整句说明 #n」。容器设在列表上、不设在整个页签上，查看工件的弹窗（fixed 定位）不落进容器里。新文案放在 terms.ts 的 RUN_ARTIFACTS_TEXT。 新预览用例 ?syn=run-artifacts（虚构的门店周报，22 件，各种工件都有，含封存后追加的长问题质询回答）。check-verify：分组和 isEvidence 的口径、四档筛选的件数和悬停、点各档只剩该组；390px 深浅色下说明都在第二行、被截断的说明看得见至少 200px（以前 0 到 63px）、第几件整个落在行内、时刻在第一行和种类对齐、不横向溢出、对比度。check-inquiry：工件页签的读法改成按 data 属性，质询回答归在核查记录、悬停带整句说明	2026-10-06 17:15:52 +08:00
ThearchyHelios	02e9bcd908	可验证报告：理顺 _contained 的说明（派生来源的列外层只能按名字取，或者再用一个 * 展开，那个 * 照样要过这一关）	2026-10-06 17:15:13 +08:00
ThearchyHelios	50f16aece5	可验证报告接口测试：真跑一次，遮罩库上只汇总消费额的查询快照随文件附带 ... 照证据测试的夹具真跑：会员库遮了 phone 列，另加一次只汇总消费额的查询（没碰号码列）。导出的页面里，数据源查询工具 真落的这份快照按原字节附带、和服务端的文件一致，它的查询事件带规范字符串，报告里引用它的数字和快照里那一格对得上； 选出了号码的那份照旧只给 id，页面里找不到号码。这条也守着「认得这份快照」那一关：查询工具以后往快照里加了键，这里 会先变红，得同时想清楚可验证报告该不该认它。在改动前的 build.py 上这条是红的。	2026-10-06 17:12:56 +08:00
ThearchyHelios	8ede152b6f	可验证报告：口径卡取的列是 SQL 里改了名字的遮罩列时，整张卡同样只给哈希 ... 口径卡上记着每个输入的值和代入式，有输入取自遮罩列的整张卡只给哈希；但以前只按列名认：查询写 phone AS tel、经子查询 或 WITH 转一道、套个函数，卡上取 tel 那一格就是号码，卡照样原样嵌进要发给别人的文件。现在那几列算不算遮罩列另按 SQL 认改了名字的（_Store.hidden → _derived_columns，用 inquiry._derived_hidden，和质询、双盲复算同一个认法；SQL 按每种 读得通的读法各认一遍合起来，都读不通的写着遮罩列就整份的列都算，出错时整份的列都算）。同一条查询里没取自遮罩列的 列照常嵌入。新测试覆盖别名、子查询、WITH 加函数三种改名，以及没改名的列、认的过程出错；每处都做过去掉实现测试变红的 验证。	2026-10-06 17:11:41 +08:00
ThearchyHelios	02883dea7b	可验证报告：查询快照只给哈希时照实说明原因，样本页和浏览器检查补「遮罩源上的汇总查询可核对」 ... 核对页对只给哈希的查询快照原来写「含遮罩列，未随文件附带」。现在没碰遮罩列的快照照常附带，只给哈希的是这条查询 用到或可能用到设了遮罩的列（条件里写到的、解析不了的也算），原文改成「这条查询用到或可能用到设了遮罩的列，快照未随 文件附带，只能核对到哈希」；口径卡的说法不变。核对逻辑不变，只是按工件种类挑说法（verifier.js 的 maskedQuery）； 内联脚本的 CSP 哈希由 render_html 按脚本现算，不用另改。顺手改正 verifier.js 开头一句过时的注释：口径卡现在会因遮罩 只给哈希，导出时不会出现的是报告文档标着遮罩。 tests/bundle_samples.py 加样本页 masked-source：会员库设了号码遮罩（查询当时记下了、数据源现在也设着），报告引用会员 按地区汇总的查询和选出了号码的那份。check-bundle 断网打开它：汇总快照在 ③ 通过、引用它的两个数字在 ⑤ 通过、点开看得 到汇总的 SQL 和被引用的那一行；选出了号码的快照和引用它的数字无法核对并写明原因；总览「可核对的项全部通过」，页面里 找不到号码。另在这一页上篡改：汇总快照改一个字节 ③ 变红，改它的数字的引用值并重算全部哈希 ⑤ 变红。base 页上的原因 文案跟着改。test_bundle_build 守住样本页的形状。	2026-10-06 17:11:41 +08:00
ThearchyHelios	1136b2d09d	K3：换了写法的号码在回答正文、质询工件的文字格和最后一道关里也认得出 ... 验收准备时复现过：模型把号码写成 199-1474-2785、199 1474 2785、199.1474.2785、(199)1474-2785、+8619914742785、 全角数字，回答正文、事件、回答文档原样带着，最后一道关 _leaked 也拦不住，正式运行里永久封存。 engine/masking.py 的 _Secrets 新加 loose_spans：在正文里找允许夹分隔符的数字串（数字含全角，之间夹一到三个空格、 连字符、点、括号，含全角；开头可带 + 和括号），从每一截起往后拼，规范化（全角转半角、去分隔符、去 0086 / 86 国家码） 之后在「遮罩值的纯数字写法」集合里查——集合查找，不现编正则，两万个遮罩值照样不卡。拼出来的要是完整的号码：和别的 数字只隔着一个连字符或点连着的（13900000001-2、日期）、只有两截中间一个点的（小数）不算，同原来按词认的边界。 括号配成对：(199)1474-2785 整个换掉，「（电话 199-1474-2785）」两个括号留着。存的值本身带分隔符或国家码的，也按 纯数字写法认。 - scrub：正文（prose）缺省这样认，文字格（质询工件里夹着的、整格就是号码的）也认；SQL 里不认，199-1474-2785 在 SQL 里是一个算式。 - protect：提问人换着写法写进问题的号码照样免遮；SQL 里照原样留着的阈值换了写法也只在正文里不遮。 - inquiry._leaked：组装之后还认得出换了写法的号码，整份不交。 反方审稿的理由正文目前没有按值遮这一步（理由里只引用反方自己的查询格子，查询结果在核查 agent 的工具边界先遮，见 下一个提交），这里不另加。补单元测试（18 种写法 × 三种存法、不误伤日期小数编号、文字格、最后一道关、提问人写的、 阈值、两万个值的耗时）和端到端测试（11 种写法写进回答都换成「已遮罩」，事件、回答文档里也没有；备注里夹着换了 写法的号码时回答整份不交、质询工件只换那一截）。去掉实现后这些用例都会变红。	2026-10-06 17:11:00 +08:00
ThearchyHelios	fbcff1a585	测试里三行超过 120 字的断开写，和周围代码的行宽一致	2026-10-06 17:06:23 +08:00
ThearchyHelios	faf21894a3	可验证报告：数据源设了遮罩时，能证明没碰遮罩列的查询快照照常随文件附带 ... 以前只要查询当时记下了数据源的遮罩列，或者数据源现在设了遮罩，整份快照就只给哈希——哪怕这条查询只按地区汇总了 金额。数据源里只要有一列设了遮罩（客户手机号），报告里引用查询格子的数字就全成了「无法核对」，对外几乎没法核。 现在 build._untouched 全部满足才嵌入，任何一条不满足、判断过程出错都照旧只给哈希： - 认得这份快照：数据源查询工具落的那种、哈希对得上；不是合并查询；没有不认识的键（以后核查 agent 在查询时就遮过、 另记下遮了哪些列的快照，照现有规则只给哈希）； - 结果的列名对不上遮罩列； - SQL 原文里没写到遮罩列，条件里、COUNT 里也不行：SQL 随快照一起附带，WHERE phone = '…' 的字面量就是遮罩值； MySQL 会执行的注释、Postgres 的 Unicode 转义名字这类语法树认不准的写法也不行； - SQL 解析得了（不知道是哪种库，按每种支持的库的读法各解析一遍，读得通的每一种都要过关），没有认不出结果里哪一列 取自哪一列的写法：列名表、整行引用、可能展开出遮罩列的 *（展开了数据源里的表，又不在只按名字往外传的派生来源、 EXISTS / IN 子查询里）；按 SQL 认遮罩列的那一套（inquiry._derived_hidden，双盲复算、质询同一个）也认不出哪个 结果列取自遮罩列。 查询事件（tool.end）的规范字符串跟着快照走：快照随文件附带的，事件也带内容。新测试覆盖按地区汇总（查询时记下的、 数据源现在设的遮罩各一种）、WITH / 子查询 / LATERAL / EXISTS 里的 *、反引号，以及选出遮罩列、别名、子查询、CTE、 SELECT *、函数包着、只在条件里、整行引用、列名表、解析不了、改过的、不认识的键、合并查询、判断出错；每一条规则都做过 去掉实现测试变红的验证。	2026-10-06 17:04:45 +08:00
ThearchyHelios	7f7b690307	upload_dates 直接取现行配方（current_recipe_id）：发布、启用旧版本时它和当前快照、表结构一起换，不必再经快照和最后一期导入去找；补测试：修改配方把支付日期改成文字后只剩下单日期，回滚到旧版本两列又都是日期	2026-10-06 17:04:42 +08:00
ThearchyHelios	f1e6716d84	compose_doc 的说明对上 K5：doc["source"] 是调用方交来的原文（报告节点交来前去掉了整篇外层围栏，见 report._unfenced），不再说是模型的原文；只改说明，文档字段和内容哈希不变	2026-10-06 17:01:45 +08:00
ThearchyHelios	3e02446542	出口契约：报告的正文仍写在代码块里、一句结论都没切出来时记出具缺口，不再完整出具 ... K5 让报告节点去掉整篇外层的 markdown 围栏，规格有意不去的写法（围栏外有前言、只有开头没有收尾、信息串写成 text）仍会让整段正文落在代码块里：结论句 0 句，裁判不调用、反方审稿记 no_claims，没挂依据的、证据相矛盾的都数出 0 句，正式运行照样完整出具，读的人以为结论都核对过。 - nodes/io.py 的 _fenced_body：文档里一句结论都没有，却有信息串为空 / markdown / md / text 的代码块，里面是成句的文字（一行里有汉字又有中文句读，或五个以上英文单词以句末标点收尾）或者写着引用标记，就是正文被藏进了代码块。信息串为空的代码块里也常是 SQL：看内容，代码注释行（--、//、/* */）里的中文句子不算；sql、python、json 这类信息串不看 - _claims 在结论句策略为 judge 或 require_citation（报告节点的或出具契约自己写的）时，碰到这样的报告记一条缺口 GAP_FENCED_BODY「报告「X」的正文写在代码块里，结论句未能核对」，出具降档。缺口不带核查节点的前缀，时间线写在「校验不完整」下、出具横幅归「校验未全部完成」（run/decode.ts 的 splitIssuanceGaps，报告标题像核查节点名的也一样，界面不用改） - 行为不变：有正常结论句的、代码块是代码的、结论句策略为 off 的 测试（新文件 test_contract_fenced_body）：认得出的几种（前言、没收尾、text、无信息串、大写 MD、英文、只有列表但写着引用）与认不出的几种（sql、python、json、无信息串的 SQL、SQL 注释里的中文句子、数字表、外面有结论句、没有代码块）；正式运行（裁判 + 反方审稿 + 出具契约）里前言、没收尾、text 三种降档并只带这一条缺口，以前是完整出具；正常报告、整篇外层围栏被去掉的、带 SQL 代码块的照常完整出具；require_citation 写在报告节点或契约上同样记，off 不管。去掉挂钩、去掉 0 句前提、去掉注释行排除、去掉信息串过滤、去掉引用信号、去掉句读要求各做过一次，测试变红。	2026-10-06 17:01:44 +08:00
ThearchyHelios	8c76f91ca9	K3：分档标签列在派生来源里被同名的遮罩列挡住时不再按标签认（J2 第 3 轮复验的缺口） ... SQLite 让派生来源里同名的几列都留着，外层按名字取的是排在最前面的那一列。以前认标签列只看起了这个名字的选出项， SELECT vip_level AS 档 FROM (SELECT *, CASE WHEN amount > 1000 THEN 1 ELSE 0 END AS vip_level FROM sales) t 交回的是 真实等级，却被当成只装着标签：等级 1、2、3 撞上 THEN 1 ELSE 0 不收进遮罩值，之后 WHERE vip_level = 1 在查询清单、 事件、质询工件里都照原样封存。 按复核建议保守处理（engine/masking.py）： - _block_label_of（单支、多支的第一支）：第一个同名项前面有 * 带得出这一列（_star_label 不是 _ABSENT），或者有没起 别名、去掉括号和 COLLATE 后同名的项（(vip_level)、vip_level COLLATE NOCASE，SQLite 给子查询的结果列起名时去掉 它们），都不算只装着标签； - _star_label：没写表名的 * 展开了数据源里的表（或 VALUES、函数这类说不清出哪些列的来源）为 None——* 把表里的同名列 照样带出来，不像直接写列名那样会报列名有歧义。 补单元和端到端测试：* 在前、t.* 在前、CTE 里 * 在前、JOIN 子查询 * 在前、(col) / ((col)) / COLLATE 在前、多支的 第一支，以及标签排在 * 前面、* 只带出派生来源里的标签时照旧算标签列。三条规则各自去掉，对应的用例都会变红。 另把「SQLite 里带小数的取模先取整」写进已知局限。	2026-10-06 17:00:48 +08:00
ThearchyHelios	0772b42bfd	K3 第一步：把认遮罩列、遮罩值的共用部分原样挪到 engine/masking.py ... 按 SQL 认出取自遮罩列的结果列（_derived_hidden 一套，含分档标签列 _label_columns）、按值认遮罩值（_Secrets）、 快照遮好的样子（_masked_view），连同它们用到的写死值的算法，从 engine/inquiry.py 原样挪到新的 engine/masking.py， 一个字没改。接下来核查 agent 的查询工具要在交给模型之前先遮，工具这一层不该反过来依赖审批质询的模块。 inquiry 照旧按原名导出这些名字（nodes/dual_check 按 inquiry._derived_hidden 引用，测试按 inquiry 的名字引用）， 行为不变：质询、双盲复算、反方审稿的相关测试全过。	2026-10-06 16:55:29 +08:00
ThearchyHelios	50f15b40c4	合入期 5 前置修复 K1：点名的模型接入不存在或已停用时照实报错，不再悄悄换成演示模型——各条用到模型的路径照实失败或记为核查不可用；保存设置时 422、画布校验给警告、发布与发布前检查挡住并给修复候选（不指定模型、改用启用的接入），只写模型而提供它的接入已停用也查得出	2026-10-06 16:55:27 +08:00
ThearchyHelios	2cf329648d	上传表格的日期列按导入时配方里的逻辑类型认：双盲复算选了时间列不同的一边时，上传源也能写业务日期 ... J1 给业务日期加了类型门槛（两边的时间列都在表结构里声明为日期 / 时间类型才写），而上传表格导入时日期一律按文字保存、表结构里总是 TEXT，上传源因此永远写不了业务日期。导入时配方里其实记着每一列的逻辑类型（导入确认时界面上标的「日期」）：列表块里类型为 DATE 的列、交叉表的日期轴。查过别处：构建回执里只有存储类型（列表的 DATE 列和文字列一样记 TEXT、role 都是 text），简单导入的回执只有 INTEGER / REAL / TEXT，所以只按配方认。 - dual_check_facts.recipe_dates：一份配方里逻辑类型是日期的列（{表: [列]}），表和列按 recipe_types.derive_tables 推，和建表同一份；日期轴写进它各分段的表，列表合计行另存的表不带日期列；类型按 _DATED_TYPE 认，只有时刻的不算 - dual_check_facts.upload_dates：只读，按数据源当前快照找配方（source_versions.snapshot_recipe_id，期 3 之前的快照取最后一期导入的），和 schema_cache 出自同一个版本；手工源、简单导入、快照或配方记录不在、配方解析不了一律给空 - 节点的 _source_info 带上 upload_dates，放进候选：审批卡的预告（preview / preview_joint）和裁决后的真写认的是发起审批时读的同一份，逐字一致；旧的 checkpoint 里没有这一项，照旧不写 - _dated_problem：上传源里按文字保存的列在 upload_dates 里的算日期列（按表结构认出的表名、列名去对，大小写不论）；不在的、读不出配方的照现在的原因说「来自上传的表格，表格里的日期一律按文字保存」；声明成别的类型的、只有时刻的照旧 测试：derive 一级补导入认作日期的写、只有一边是日期 / 读不出配方 / 记在别的表上的照旧说按文字保存、手工源不认 upload_dates、按表结构的名字对、preview_joint 同样认；新文件 test_dual_check_upload 经真实导入接口建上传源（暂存 → 改配方 → 试运行 → 提交、简单导入），配方里两列都是日期的审核人选盲算后业务日期记「支付日期」（人工确认、备注写运行），支付日期是文字的选哪边都不写、预告和跳过原因一字不差，配方记录改坏了的照旧不写；去掉认日期、去掉候选里的 upload_dates、去掉日期轴各做过一次，测试变红。	2026-10-06 16:54:30 +08:00
ThearchyHelios	6514db6118	运行详情「更多」里的对比入口按默认基准是不是紧挨着的上一次定叫法：上一次失败、取消、还没结束时写「与上一次成功的运行对比」，和定时任务触发历史里的同名链接一字不差、点进去是同一个基准 ... 拿到能对比的运行（已封存、属于已保存的工作流、不在运行中）就预先问一次 compare/base，按答复里的 previous 定叫法；按运行 id 加清单哈希记，失败后接着运行完重新封存了会再问。问到之前这一项只写「正在查找上一次成功的运行…」、不给点：菜单开着时不会先写一个叫法、问到了再换成另一个，也点不到说错了的入口。预先问出错、找不到默认基准都不提示，叫法退回「与上一次对比」，点了照常再问一次、照实说。点了总是再问一次、按那一次的答复跳：详情页可能开了很久，预先问到的基准不一定还是现在的。 类型 RunCompareBase 加 previous（老服务端不给，按 true 算，同 ScheduleFireCompare）；两种叫法放在 RUN_COMPARE_TEXT（menu、menuLastOk），SCHEDULE_TEXT 的 compareLinkLastOk 和 compareLink 一样改成取它的 getter，过时的说明一并改掉。check-compare：夹具里本次的默认基准带 previous: false（和触发历史那一行同一个假定）；上一次失败了、上一次就是成功的两种，运行详情和触发历史两个入口叫法一致、打开同一对运行；预先问的那一次压住时菜单项只写正在查找、问到后直接是最终叫法（记下菜单开着时出现过的每一种状态核对）；预先问出错、找不到基准时不提示、点了照常再问；点了之后对比页不再自己找一遍	2026-10-06 16:52:30 +08:00
ThearchyHelios	5c6820f602	运行对比的默认基准（GET /api/runs/{id}/compare/base）带上 previous：基准是不是紧挨着的上一次，取 pick_base 现成算好的那个值，和定时任务自动对比记下的 previous 同一个语义 ... 运行详情「更多」里的入口要按它定叫法：上一次失败、取消、还没结束时，基准是再往前成功的那一次，菜单得和触发历史一样写「与上一次成功的运行对比」，不能一律写「与上一次对比」。测试钉住：同一定时任务、退回同一工作流两种范围里，失败、取消、还没结束、没封存的都算隔着，别的运行类别、别的定时任务、比这次晚发起的不算；上一次失败时运行详情和触发历史拿到同一个基准、同一个 previous；中间那次删掉之后运行详情按现在的记录算成紧挨着的上一次	2026-10-06 16:42:29 +08:00
ThearchyHelios	0a690a599b	发布前修复点名的模型接入：按执行时的取法算修完落到哪里，只写了模型而接入已停用的也拦下 ... - 「不指定接入」以前只去掉接入、留下同一处写着的模型，复核又只查点名的接入：按模型名落回停用的接入，或者成员跟随节点、节点跟随全图默认，拿别家的接入去调这个模型。检查、发布都通过，正式运行在那一处照样失败 - 现在每个候选（不指定、改用某个启用的接入）先在副本上改，按执行器的取法（成员先看自己、再看节点、再看全图默认；节点看全图默认；都没写按模型名找；核查和裁判整组交给设置）算出改动波及的每一处用哪个接入、哪个模型。落到的接入不提供那一处的模型、按模型名落到停用接入或认不出的模型、落到内置演示模型的，连同一级写着的模型一并去掉再算，还落不稳的候选不给；候选说明写清执行时改用哪里、模型去没去掉、换上的接入实际用哪个模型 - 门禁把哪一级都没写接入、只写了模型而提供它的接入已停用的那一处也记成 provider.disabled（落在写模型的字段，原因和运行时同一句）：复核拒得掉这类修复，检查器里只能选模型的节点发布前也查得出来；这一处配「不指定模型」或改用一个启用接入的修复 - 按模型名找接入、没写时退回哪个接入抽成 factory.provider_for_model、fallback_provider，运行时和门禁共用一份 - 问题面板、修复预览写得出「模型」「成员「x」的模型」；check-publish 的伪造门禁跟上新的候选，补只写模型的一段 - 测试：复核发现的几种形状逐一钉住（含发布前检查修好、保存、发布后正式运行成功的端到端一条）；依赖旧做法的两条测试改成新的正确行为	2026-10-06 16:31:06 +08:00
ThearchyHelios	3f17fd3c71	合入期 5 前置修复 K4：运行把这一段执行的截止时刻交给节点（engine/deadline.py），反方审稿与双盲复算开始每一项前看剩余时间，按剩余时间收紧每项时长、给下游留出余量，来不及的记为未能反查 / 无法复算并写明「运行时限将至」，整次运行不再被时长上限中止；继续运行取 checkpoint 里的结果不重复反查	2026-10-06 16:26:45 +08:00
ThearchyHelios	4314a7fc44	合入期 5 前置修复 K2：核查与裁判模型的输出额度提到 16384，服务方嫌大时退回 4096（和助手共用 providers/budget.py）；每次调用认截断，因推理占满额度没交出结果时照实说（verify_truncated、judge_truncated），不再说成盲算没查到、没按结构交结果	2026-10-06 16:26:37 +08:00
ThearchyHelios	54ab06d615	合入期 5 前置修复 K5：写作模型把整篇报告包在 markdown 代码块里时去掉外层围栏（重写的几轮同样处理），结论句照常可审、裁判和反方审稿有句子可看；别的语言的代码块、围栏外有文字、多个代码块、开闭不配对的原样不动	2026-10-06 16:26:37 +08:00
ThearchyHelios	0a875fd3af	合入期 4 整合 J4：质询回答工件在记录页有名字和说明；问答串在审批列表取失败时不再漏条目；运行对比的默认基准与定时任务自动对比用同一条规则（同一任务、同一工作流、比这次先发起的上一次成功并封存的运行），触发历史在基准不是紧挨着的上一次时写明「与上一次成功的运行对比」	2026-10-06 16:23:40 +08:00
ThearchyHelios	ed888d59df	合入期 4 整合 J3：出具横幅按「核查未通过 / 核查未完成 / 校验未全部完成」分组；审批卡把运行类别交给反方审稿概况；证据接口的核查类型契约挪进 types.ts；反方审稿加单句模式、证据面板不再谈出具；证据接口带上句子的反方判断映射，正文给被审过的句子挂句末标记；质询图标平时对比度达标	2026-10-06 16:23:33 +08:00
ThearchyHelios	39068c9636	合入期 4 整合 J2：审批质询遮罩收口——阈值只在同一个数在别处确实被换掉时才遮、夹住某一个值的边界按条件与作用域认、质询工件里未遮罩文字格夹着的遮罩值按值换掉；算式边界、分档标签列、CAST 类型参数等变体照实处理，已知局限写进模块说明	2026-10-06 16:23:26 +08:00
ThearchyHelios	2da4d34fec	合入期 4 整合 J1：双盲复算写业务日期加类型门槛（两边的时间列都在表结构里声明为日期 / 时间类型才写，原因说清是哪一列）；跟上 SQL 差异说明收尾的测试与预览夹具（time_range 改为兜底变体，新增 time_column）；按位置取自另一份快照遮罩列的输入判为无法复算；可验证报告里被改过、解析不出的口径卡按内容认遮罩	2026-10-06 16:23:26 +08:00