63 Commits

Author	SHA1	Message	Date
ThearchyHelios	ba28dee1f0	生成过程抽成 answer_ops、复核抽成 review_of_run，助手建图和复核的用量也记下（细案 01 做法 2、3）：评测和问数据页走同一条生成路径，这一轮的花费不再低报 ... - api/copilot.py：event_stream 原样搬成 async generator answer_ops(payload, *, catalog_view=None)，交出的 op dict 不变；开流前的准备（数据源、目录检查器、助手模型、历史、查看服务）用自己的短会话，在第一条操作之前做完。SSE 路由只包一层：先取第一条，开流前的拒绝（模型没配好、限定的数据源都不在）照旧是 HTTP 错误 - catalog_view 一路传给查看服务和自查的 SQL 检查器（目录视图接缝的「生成过程从参数读」） - providers/usage.py：Meter 是一个 LangChain 回调，和 get_usage_metadata_callback 同一个机制（登记过的上下文变量），按模型累计 tokens、次数，金额按价格目录；估不出的记 unpriced_calls。没直接用 get_usage_metadata_callback：with 块跨 yield 会把变量留在调用方上下文里，调用方随后发起的运行会继承它、被重复计一遍；metered 只在每一步 __anext__ 期间挂上，嵌套时并进外层 - 生成过程读到 done / look / ask 就关模型的流（后面的闲话不要），流末尾才报的用量拿不到：这一次照样计次数和已报的 token，记成估不出，不悄悄少算（遗留：真实接入上建图那几次多半是下限） - providers/budget.py：BudgetFallback.astream 用 aclosing 包住里面那条流——以前调用方关流时里面那条要等垃圾回收才关，模型那次调用的收尾（用量回调）落在算完账之后；测试去掉它回跑会少计一次 - answer_ops 末尾多一条 {op: usage, by_model, input_tokens, output_tokens, calls, cost_usd, unpriced_calls}；/copilot/review 拆出 review_of_run（问数据页、评测共用），结果带 usage（没调模型时全 0）和 retry_instruction（要不要带着原图重来、说什么，按 chat/turn.py 的决定算；ReviewIn 多一个 attempt） - 新增 app/chat/turn.py（问数据一轮的决定，复核这边先用上；final.next、对照测试、前端照做在下一个提交）；新增 tests/test_copilot_answer_ops.py（八种结局的 SSE 输出和抽出来之前录下的 fixtures/copilot_answer_ops_baseline.json 逐条相同，末尾多一条 usage；直接迭代和 SSE 同一串；开流前的拒绝仍是 HTTP 错误）、tests/test_usage_meter.py；读 SSE 的十一个测试文件的收流帮手跳过末尾那条 usage	2026-10-16 10:45:45 +08:00
ThearchyHelios	7fc3488b55	取数 SQL 不再把数据源名写成库名，试运行失败的蓝图不能发布：填关节的说明以前把表写成「数据源名.表名」，模型照抄进 SQL，数据库把数据源名当成库名（MySQL 报 Unknown database），应用每次出数都失败；说明改成只写数据源里的表名，并写明不要加数据源名。助手自查加 sql_source_prefix：表名前面写了数据源名就交回模型改（认列的检查找表时去掉前缀，拦不住它；数据源名恰好是库名、schema 的不报）。发布单遇到最近一次试运行失败改为挡住（plan.trial_failed，带出错的那一句），不再只是「还没有成功的试运行」的提醒	2026-10-15 17:31:20 +08:00
ThearchyHelios	7739340607	普通用户建应用集成收尾： ... - 问数据和个人应用的图放行绑定只读查询等合规工具的调用工具节点，只读和遮罩在这条路径上生效；被治理成写入的工具在只读运行里直接拒；知识库范围在工具层固定（图级默认值、参数名纠错、Agent 都改不了） - 个人应用的刷新和个人蓝图的试运行只有拥有者能读：运行、事件、证据、工件、文件、运行与审批列表、对比、可验证报告、质询、假设分析、提取工作流一并收紧；个人蓝图的试运行不论谁发起都按个人应用约束 - 共享蓝图只给拥有者、对应应用的管理者、管理员，看不到的一律 404；审核副本归审核人；管理员看别人的个人应用只有元数据、可以归档 - 记录表跨版本汇总（只读挂载旧版本、按当前列 UNION ALL、各版本各自固定高水位，缺的版本照实写进印章）；停用前发起的运行可以继续写旧版本；更正沿用原提交人、更正人记审计 - 约定收口：待办种类 review、事件 file.extracted、表单错误 file、模板定义带示例与预置；前端类型一次补齐、去掉临时的局部类型；审核待办卡不再给打不开的链接；读附件事件有中文说法；检查脚本补断言	2026-10-15 13:55:19 +08:00
ThearchyHelios	277982ead3	普通用户建应用（后端）： ... - 蓝图：bp_* 操作和逐卡白名单、蓝图检查、留痕、按蓝图判权限；五个场景模板加自由形（骨架、关节、应用骨架、定时任务），实例化与骨架比对；BlueprintApplier / TemplateApplier（只收模板声明过的关节）与自查；look 新类别口径卡；蓝图对话和填关节两个流式接口，不同组的关节并行填、出错的组串行重试；模板列表 - 试运行与发布单：四种起点（对话、模板、问数据的一轮、已发布版本）；试运行是探索运行，草稿应用按这次运行解析、印章写试运行，流程类派给自己、不触发升级；发布单九步、预检只读、每步留痕、停下后接着做、核对卡片指纹和应用管理权、启动时整理中断的单；白话层覆盖全部问题编号 - 记录表与文件：平台托管只追加的记录表、按高水位固定数据、连接上的临时视图做行级可见、写入走动作（records_append）、表版本在发布时切换、草稿不影响线上、记录列表遮敏感列；文件按哈希存、两步上传、提交时绑定运行、下载按读权限、清理、file_text、按配方导入一期（table_import_period） - 个人应用：存成个人应用（问数据的约束）、刷新（遮罩、只读、每日上限）、只有拥有者看得见、提交审核与共享副本、开关下发到认人接口；页面编辑的候选；隐藏组件不下发；三条新检查	2026-10-15 12:09:29 +08:00
ThearchyHelios	bb85fbc3ce	应用检查：静态文字里的数和固定版本里节点配置写着的数（审批金额线、时限、会签人数这类流程规则）对得上算有出处，对不上的列出是哪几个数、说明数据要绑定、规则要先写进工作流；应用润色助手的提示词同步：规则在固定的版本里没有就不照写，在说明里告诉用户（真实模型验收发现）	2026-10-14 23:58:12 +08:00
ThearchyHelios	d67349562a	应用平台集成（后端应用与流程）：身份断言 sub 为发起人、确认人进 act；应用助手对话（取或建、带历史）与助手润色只能改呈现；按新口径补算（只对无副作用的视图、加锁、同一输入只补一次）；钩子按名字关联、入站按发布版声明认；应用详情只对 manage 给草稿与岗位绑定；删工作流的阻挡算上已退役版本；待办恢复失败退回待处理；调用工具节点作证核对快照归属；子图固定版本须已发布且未退役（发起与发布检查都查）；视图里端点快照按能力的遮罩字段遮（含统一复核后的修复）	2026-10-14 21:55:51 +08:00
ThearchyHelios	0f32b8335e	应用平台 BE-4 助手：按需查看（默认只给数据源概览、look 行停下执行接着写、一次拿齐、每轮 3+1 次、系统代为查看、查看记录进历史），生成过程可插拔（Applier / Checker 注入、ask 结束本轮），查看对象按类型标记并实现表 / 能力 / 工作流版本三种（表详情与 db_schema__、/schema 共用并按遮罩规矩），应用润色接口 /copilot/app-stream，从运行提取模板记来源，演示模型走一次查看（含统一复核后的修复）	2026-10-14 20:05:23 +08:00
ThearchyHelios	7255ae98a5	模型接入报错收尾（第 1 轮复核，后端）：交给设置的核查、裁判落到演示模型照实说；给不出修复时说卡在哪里；接入名恰好是模型名那句按这一处检查器里有哪几栏写；修复规划只重算被改的节点；助手栏那一格另给一份说法；几处措辞对齐 ... - 「不指定接入」交给设置（核查模型、裁判模型）时：启用的接入全是演示类，设置这一级不管写的是什么，执行时落到的都是 演示模型，说明照实带上「（演示用，不调用真实模型）」、候选带 demo 标记；一个启用的接入都没有时不算落得稳（同别处 「换成内置演示模型」不算）。以前 land() 在判演示之前就把交给设置的一处当成落稳返回了； - 检查器里没有下拉框、发布前检查又给不出修复时，提示末尾补「无法改用其他接入：」加第一处落不稳的地方（Landing.why， 比如「成员「研究员」指定的模型「小模型」所属的模型接入「旧接入」已停用」），不再只剩「核对名称」让人去设置里找一个 找不到的名字； - 点名的接入名恰好是某个启用接入的模型：画布、发布前检查按这一处在检查器里有哪几栏写（provider_refs._model_note）—— 模型调用一类在节点的「模型」中选择它，接入在发布前检查里改用这个接入或选择「不指定接入」（修复里有哪项说哪项）； 协作成员、全图默认只说可在发布前检查里改用；核查节点、报告自己的结论句裁判两栏都在，照设置页写这两栏的叫法。 不再叫人去一个没有的「接入」栏留空。运行时报错不分节点类型，「填写」改为「选择它」； - 修复候选修完以后落到演示类接入的带 demo 标记，发布弹窗据此在选项名旁加醒目的标签； - 性能：改一个节点的配置只影响它自己取模型的那几处，修复规划（autofix._ProviderPlan）每试一个候选只重算这个节点 （provider_refs.node_uses），不再深拷贝、重算整张图；问题提示只问给不给得出（provider_fixable，找到第一个落得稳的 就停）；接入问题的引用整张图只算一遍。60 个节点都点名同一个停用接入时，画布校验里这一部分约 0.35 秒降到约 0.002 秒， 发布前检查约 0.72 秒降到约 0.01 秒，一次应用 30 条修复约 2.7 秒降到约 0.09 秒； - 助手：GET /api/copilot/model 另给 panel_error（写在助手栏「助手使用的模型」那一格下面，去向写「上方」，不把人指回这个 下拉框本身）；接入名恰好是模型名时并成一句，不再两次提「助手使用的模型」；PUT /api/settings 里助手那一项的 422 用 助手报错那一句（那里只有一个选模型的下拉框，没有「换一个接入」的地方）； - 裁判设置的格式检查写「留空表示跟随助手的模型」，同设置页空选项（engine/judge.py 一行，同核查那条的改法）；「交给助手」 后只剩接入问题时写「助手无法处理」，有修复时另起半句「也可在各条问题下方选择改用的模型接入」。 测试：test_provider_ref_wording 加演示落在设置上、demo 标记、给不出修复时卡在哪里（含一个启用接入都没有）、各处的 接入名恰好是模型名、助手栏那一格的说法、助手那一项的 422、裁判格式检查、规划开销随节点数线性增长（数试算时算了多少处 取模型的地方）；其余几个文件跟上新说法。新加的核心用例都做过去掉实现、测试变红的验证。	2026-10-06 19:43:44 +08:00
ThearchyHelios	50f15b40c4	合入期 5 前置修复 K1：点名的模型接入不存在或已停用时照实报错，不再悄悄换成演示模型——各条用到模型的路径照实失败或记为核查不可用；保存设置时 422、画布校验给警告、发布与发布前检查挡住并给修复候选（不指定模型、改用启用的接入），只写模型而提供它的接入已停用也查得出	2026-10-06 16:55:27 +08:00
ThearchyHelios	3c51c40e9d	点名的模型接入：发布前检查给每一处配修复，提示指到界面上真能改的地方，复核发现的几处漏查、误查补齐 ... 多数节点（模型调用、Agent、报告撰写、多 Agent 协作、条件分支、结构校验、知识检索）、协作成员和全图默认的接入在检查器里没有下拉框，以前点名的接入坏了只能去设置里建一个同名接入。现在门禁接受接入表（governance.lint_for_publish 的 providers，接口层读好传进来，同数据目录 SQL 检查器），点名接入的问题成了门禁的一部分，自动修复给每一处一条要人选的修复：改用一个启用的接入，或不指定接入；选的接入不提供这一处写着的模型时模型一并去掉。一处一条（修复 id 带字段，复核只认那个字段），协作节点自己的接入和成员的接入各修各的。校验和发布检查的提示按位置写：有下拉框的说「在节点中换一个接入」，别处说「在发布前检查中改用其他接入」；剩下的只有接入问题时交给助手的说明也改成指向这些修复。 复核发现一并修：核查节点自己的开关关着、结构校验不许重试时不再查（执行时根本不取模型，以前会挡住发布）；报告没写裁判配置时查全图默认里的那一份（以前放行，正式运行却全部未裁判）；接入名不是字符串时查助手模型的接口不再 500，设置接口对门控、助手两组的这类值回 422 带字段；助手、表格导入、数据目录起草用的模型点名的接入不存在或已停用时照实说是哪个接入、去哪里改（以前说「尚未配置完成」，停用接入的下一步丢了），删掉两处已走不到的分支。 测试补齐：结构校验让模型修复、知识检索让模型重排、按需裁判各路径的不存在与已停用，助手、定时正式运行、裁判的两种情况，反方审稿节点上点名的接入；修复的候选、应用、拒收和图级默认。	2026-10-06 15:14:26 +08:00
ThearchyHelios	6a53a76694	各条用到模型的路径照实报出接入不存在或已停用，查助手模型的接口不再 500 ... 逐条核对 get_chat_model / resolve_provider 的调用方：模型调用、Agent、报告撰写节点按 NodeError 失败， 双盲复算记无法复算、反方审稿记未能反查、审批质询回答失败、结论句裁判记未裁判，原因都是「核查模型 不可用（…）」「裁判模型不可用（…）」这类整句；助手生成报 400，门控模型转人工审批，定时任务发起的 正式运行失败、通知照常推送。这些调用方原本就接了 ProviderNotConfigured，测试逐条钉住：产出、事件、 llm.end 里都不出现 mock-fast。 GET /api/copilot/model 原来直接调 resolve_provider 不接异常：存的接入不存在（现在会抛）、或只存了 模型名而它的接入已停用（以前就会抛）时整个接口 500。现在照常返回，effective_* 为空，error 写明原因， 能用时 error 为 None。	2026-10-06 12:52:54 +08:00
ThearchyHelios	4dd40ed201	输出额度的通用逻辑挪到 providers/budget.py：认截断（finish_reason=length、stop_reason=max_tokens、openai 的 LengthFinishReasonError）、认服务方嫌额度太大（400/422 且报错提到 max_tokens 一类）、截断那次的用量、给人看的「某某模型的输出达到上限（N token）被截断」，以及退回小额度的 BudgetFallback ... BudgetFallback 在助手原来的做法上补齐核查和裁判要用的：非流式 ainvoke 也认；bind_tools、with_structured_output 包出来的和原来的共用同一个开关，另一份配置建的模型（核查收尾时关掉思考的那个）经 shared_with 也共用，工具循环里退回过，收尾那次直接用小的；小额度的模型可以要退回时才建，平常一个都不多建。只在还没吐出任何东西时重来，和原来一样。 助手改为引用它，_cut_off、_BudgetFallback、_BUDGET_WORDS 留着老名字，行为不变，助手和配方助手的测试照样通过。	2026-10-06 12:51:36 +08:00
ThearchyHelios	e9cf74748f	合入期 3 反方审稿（后端）：报告里的关键结论各派只读 agent 主动找反例，给出经受住、被削弱、被推翻、无法判断和有出处的理由；被推翻的计入出具缺口；审批卡附反方审稿概况 ... # Conflicts: # backend/tests/test_issuance_upstream_gaps.py	2026-10-05 18:08:39 +08:00
ThearchyHelios	1491b5c7f3	双盲复算复核整改：指标自己的筛选范围不再写成有效记录条件，盲算不再看到原流程的列名，差异说明收窄到这一格 ... 写数据目录（dual_check_facts.py） - 有效记录条件只收「排除无效记录」的条件：被排除的取值是退款、作废、测试这类（或码值表里写着这类意思）， 标记列只认留下有效记录的一边（is_test = 0、is_valid = 1、deleted_at IS NULL）；取值出现在指标名称、口径说明、 所在分组、运行输入里的，用到分组列的，一律不写，原因写明「可能是指标自己的筛选范围」。以前「华东销售额」的 region = '华东' 会被记成订单表人工确认过的有效记录条件，之后所有查订单表的工作流（含下一次盲算）都只看华东 - 目录里已有的有效记录条件被采纳的一边也按它筛了的，和新条件合起来写（已确认的不改，照实说）；没按它筛的不动。 以前整项替换，两边都用着的 is_test = 0 会被静默丢掉。推断的去重规则说法不同的也不替换 - 业务日期只在两边都按时间筛、按的列不同时才写；一边根本没按时间筛的不写 - 采纳了不去重的一边不写去重规则：那是指标自己的算法，写成「不去重」会把别的指标带偏 - 同一次裁决里几个指标对同一项给出矛盾的说法，整组都不写 节点（nodes/dual_check.py） - 盲算任务里不再给原流程结果的列名和同一行的维度列名：分组的只给取值（日期说成「2026-09-02 这一天」）， 原 SQL 写死的文字列连取值也不给；只有几项输入都来自查询又没写口径说明、列名看不出取舍时才给列名。 以前「order_date 为 2026-09-02」等于告诉盲算按下单日归属，下单日和支付日的陷阱正好漏掉 - 差异说明先把两条 SQL 收窄到这一格（只留算出这一列的那一项，分组的按这一行的分组值改成等值条件）再比， 多列查询、分组取一行时不再混进「选出的列」「分组」这类噪声，只差一个方面的也写得进目录 - 产出状态：全部一致才是 agreed，一个都没核成是 unchecked，核成一部分是 partial；产出和台账加 counts； 无法复算的指标发 dual_check_unchecked {metrics: [{id, name, reason}]} - 共用一格的几个指标触顶时每个指标各发一条 dual_check_limit - 查询次数刚好用完、交回的格子是真查出来的照常比对（时长、金额触顶仍按无法复算） - 审核人没选或选了认不出的照实记「审核人没有对指标作出选择」，不再替人记成「两边都不对」 - 盲算先单独做第一个，其余最多 3 个同时进行，避免串行撞上运行单段的时长上限 配置 - 画布校验：双盲复算配了失败重试报错（重试会把盲算整轮重做、再问审核人一次）；enabled 用 is 判断，0、1 不再放过 - 发起时的核查设置快照：子工作流（按运行时的取法读）里有双盲复算、反方审稿节点时也快照 - 助手节点说明补一句不要给双盲复算配 retries 测试：补上遮罩两道防线、规范化后一致但值不同、两个输入都对不上、只复算配置的指标、原值为 0、摘要最多 3 条、 驳回、多列查询、分组取一行、指标筛选范围不写目录等用例；每条核心改动都做过去掉实现、测试变红的验证	2026-10-05 15:54:03 +08:00
ThearchyHelios	4ceac6b74c	反方审稿复核修正：没有出处的结论不采信，推荐接法下审批卡有报告，重试和接着跑不重审、不拿旧审稿冒充 ... - 出处：一条查询都没执行成功的判什么都记为无法判断，判「被推翻」的理由里还得引用到自己的查询结果——零查询的推翻能让 正式出具降档，零查询的「经受住」会给审批人假安心。系统写明原因，反方原本的结论和理由照录。这句引用的数据源都已 停用时不派 agent；核查模型本身用不了时后面的句子照同一个原因记，不再逐句去建模型 - 时间线：有句子没能反查时另记一条 challenge_unreviewed（带第一条原因），challenge_done 的说法分开写查过的和没查成的 - 审批卡：「报告 → 反方审稿 → 人工审批」时审批说明不引用正文也认得出这份报告（reviewed_report_ids 穿过直接连着的 反方审稿，reviewed_by_human 同步），审稿概况附得上 - 重试与接着跑：同一次执行里的重试沿用已经审完的结果，不再多花一份钱、也不会把「被推翻」重审掉；审稿结果带输入指纹 （报告、文档、反方模型、上限、遮罩），接着跑时只改「结论被推翻时」沿用，改了审稿本身就重审 - 处置：产出和审批卡里的 on_refuted 写实际生效的 degrade / flag；「报错并停止运行」配「出错时：记录错误并继续」画布 校验挡住，跳过校验的旧图执行时改按出具降档；反方审稿不在带出具契约的成果节点上游时画布给警告（降档不会发生） - 摘录里指向原报告查询的写法（指标取自查询 Qn、查询 Qn 的 SQL、出现在查询 Qn）都标成「原报告 Qn」，和反查 agent 自己的 Q1 分开 - 选项叫法和检查器下拉一致：出具降档 / 只标注 / 报错并停止运行，「启用」写跟随设置；助手手册同步 - 补测试：快照里的反方模型和每日上限、裁判判成不是结论的句子不审、审批卡只给被审的那份报告挂概况	2026-10-05 15:08:53 +08:00
ThearchyHelios	ff23c6a8ad	双盲复算的配置与发起时的设置快照：画布校验、核查设置快照进运行选项、助手节点说明 ... - 画布校验（engine/schema.py）：「口径卡」必须是上游的口径卡，没写时上游只能有一张（dual_check_card，节点执行也用这一个认法）； 「复算的指标」「口径说明」的键必须是那张卡上的指标 ID（引用自别的工作流的口径卡画图时查不出，不查）；开关、允许的相对误差、 未采用原流程时的取值。报错写检查器上的中文叫法，叫法暂放在 DUAL_CHECK_FIELD_LABEL（labels.py 不归这个工作包）。 - 发起（engine/launch.py）：图里有双盲复算或反方审稿节点时，把核查设置快照进 options["verify"]。这两种节点在运行中途读设置， 审批停下期间改了设置，恢复后的那一段就会按另一套规则走；发起时定下来，重放和正式运行才可复现。没有这两种节点时 options 原样不动，run.started 和以前逐字相同；调用方已经给了 options["verify"] 的照它的。 - 助手的节点说明（NODE_REFERENCE）加 dual_check 一条：要正式出具、口径卡上的指标来自查询时接在口径卡之后、报告之前，各配置项 怎么写（口径说明按业务写、盲算模型默认不写）。	2026-10-05 14:23:00 +08:00
ThearchyHelios	fe2f81c1c0	助手的节点手册加反方审稿：多个来源汇总的分析报告、要正式出具的报告加这个节点，接在报告之后 ... 写清什么时候加、接在哪里（report → challenge → human 或 output，审批节点的说明里引用报告正文才会附上审稿结果）、 各配置项（要审的报告、三个上限、反方模型、结论被推翻时怎么办、启用）和默认：上限一般不写、取设置里的默认，不替人 把核查的花费写死；反方模型建议和写作模型不同。测试拿画布校验认的配置项和取值来对手册	2026-10-05 13:57:49 +08:00
ThearchyHelios	fa842a7bec	交给人工审批的报告，探索运行也在节点里裁判结论句：审批人批准前就能看到判了几句、几句证据相矛盾。按需裁判要等运行封存之后才能判，封存前放开会动证据清单的完整性约束，所以这种报告改在节点里当场判，和正式运行同一条路；没有审批的探索运行照旧按需判，不在节点里花钱。审批节点审哪几份报告的认法抽成 reviewed_report_ids，审批卡和报告节点共用，两边说的「要人审」对得上。审批卡上没开裁判的探索报告改写「这份报告没有开启结论句裁判……开启后，交给审批的报告会在批准前判完」；开了裁判却没在节点里判的老运行另给一句。助手指引、出口契约注释、前端类型注释同步；审批暂停时按需裁判仍拒绝，测试改成只看点击不多一次调用	2026-10-04 12:03:14 +08:00
ThearchyHelios	f4a9955cc3	助手写查库 SQL 时给结果列起中文别名：真实运行里报告表格的表头全是英文缩写的原始列名（[[table:]] 原样用查询结果的列名）。节点手册里 Agent 查库的说明和写 SQL 的硬性要求都加上一条：结果列用中文别名，按方言加标识符引号（MySQL / MariaDB 用反引号，PostgreSQL、Oracle、SQLite 用双引号，不用单引号），只给最外层 SELECT 起别名；自查的列名核对把带引号的中文标识符抹掉再判，不再因为有带引号的中文别名就整条放弃核对、把猜错的英文列名一起放过去	2026-10-04 11:13:12 +08:00
ThearchyHelios	a46bad0592	助手搭多来源汇总的分析报告时默认开结论句裁判：节点手册的 report 一条写明几个 Agent 分头查库、或者几次查询合在一起写成的分析报告默认写 claims: judge，不写 judge 的预算（取设置里的默认），正式运行在节点里自动判、探索运行由读的人按需判，用户明确不要的不加。和受管级别「judge 必须写预算、拿不准就问」的取舍：那条只管要按受管级别发布的模板，普通草稿里默认开的 judge 不为预算问人；发布前修复缺预算要问的规矩不变。问数据路径原本定了不替人打开结论句策略，保留，并写明这条默认在问数里不适用	2026-10-04 11:10:28 +08:00
ThearchyHelios	fa5cb1d47b	助手写人工审批的说明不再许诺「正式出具」：真实运行里一次探索运行的审批写着「批准后才会正式出具」，成果节点也没有出具契约。节点手册的 human 一条写明只有成果节点配了出具契约、从已发布版本发起的正式运行才会出具，审批说明写「批准后输出」，运行类别由审批卡标明；自查新增 human_formal_issuance：这一轮写的审批标题、说明里有「正式出具」就交回模型改	2026-10-04 11:07:40 +08:00
ThearchyHelios	31531925a9	写作指引说清 [[see:]] 只放句末、码值写含义（A4、B4）：写作规则后面加两条，依据标记渲染后不显示，写进句子中间会留下「以 为依据」这样的断句；涉及码值时写含义（「作废记录」），不写码值本身，数字核对不放宽。组装报告时认出拿得准的句中写法（「以 [[see:…]] 为」「根据、按照、基于、参见、详见 [[see:…]]」）记 inline_see，交回写作者重写，重写不好也不判失败；助手写报告节点的指引同样写明这两条	2026-10-04 02:24:49 +08:00
ThearchyHelios	6c30becd94	数据目录 F3 / B8：一键升级的语义层（assist_upgrade）自查、修正轮和最终判断都带上基于数据目录的 SQL 检查器，和发布门禁一个口径——助手改出一对多关联后求和这类 SQL 会交回去改，改不好就作废	2026-10-04 01:09:12 +08:00
ThearchyHelios	1a760726f7	数据目录阶段 4A：助手协议新增目录修改提案 catalog_patch，服务端核对数据源、表、路径和取值后附版本与改前改后转出、绝不自动写入，新增提案预览与保存接口	2026-10-03 11:19:44 +08:00
ThearchyHelios	5df10ac260	合入数据目录阶段 1B：助手建图按任务挑表、沿关系补连接路径、只给相关表全字段，流里告知参考了哪些表，挑不出时回退到只列表名 ... # Conflicts: # backend/app/api/copilot.py # frontend/src/dev/preview.tsx # scripts/check-stream.mjs	2026-10-03 11:02:08 +08:00
ThearchyHelios	84bf484c08	合入数据目录阶段 2B：基于数据目录的 SQL 检查——七条规则按依据状态定级，接入助手自查、发布门禁和运行时，出错的来源查询使指标降档 ... # Conflicts: # backend/app/api/evidence.py	2026-10-03 10:37:31 +08:00
ThearchyHelios	8682324a6f	数据目录阶段 2B：发布门禁接上 SQL 检查——受管级别被 error 挡住、warning 进提示，发布前检查、自动修复和发布同一个口径	2026-10-03 10:31:19 +08:00
ThearchyHelios	8d31164a8b	数据目录阶段 2B：助手自查接上 SQL 检查——工具节点里写死的 SQL 查出 error 进修正轮，warning 和 info 留在交付的问题清单	2026-10-03 10:19:48 +08:00
ThearchyHelios	9e809bafe6	数据目录阶段 1B 流式输出：挑表后发 context 操作，说明这一轮参考了哪些表、怎么挑的、挑表用时，挑表失败时带上原因	2026-10-03 10:19:41 +08:00
ThearchyHelios	e74097a103	数据目录阶段 1B 服务端：大库按需求挑表、补连接路径，挑中的表给全字段、目录和连接条件，四个生成入口共用同一套组装	2026-10-03 10:18:50 +08:00
ThearchyHelios	61cd2f7bd0	合并查询节点（三）：画图时校验输入（不存在、不是查询、不在上游、Agent 的结果）、别名和合并 SQL；助手的节点说明和搭图规则写清合并查询的使用时机	2026-10-03 09:39:15 +08:00
ThearchyHelios	8059cd5147	Excel 导入改造期 1：止血与版本底座——写错的列名不再静默得 0，导入不再悄悄读错，每次上传生成不可变的版本，运行固定发起时的数据版本 ... 连接层 - 所有 SQLite 数据源关闭双引号字符串兼容（DQS），写错的双引号列名直接报错；设置失败就拒绝连接，启动时自检 - 连接缓存按数据源加版本快照分键、按源整体失效、最多 32 个；版本快照以 immutable 只读打开，建连接前核对文件哈希，并在借出连接时核对文件指纹，被改过就拒绝查询 - 结构探查遇到取不了列的视图时逐个对象重取，只跳过坏的那个并注明原因 解析（新 xlsx_scan + tabular） - 先流式扫描真实边界和版式（不信 dimension），再按边界读值，不整表进内存；按 Excel 自身上限设硬上限，并发解析最多两个 - 隐藏和深度隐藏的工作表不导入；稀疏区域、无缓存值的公式、同名工作表、DTD 拒收 - 去掉空行和两侧空列；列名表名统一规范化（新 names 模块）并保留原表头，撞名不再互相覆盖 - 前导零、超长数字按文本；千分位按数字；日期不带 T；带单位的数字文本写进回执 - 数字列混入非数字、交叉表和多块结构必须由用户决定（422），可选存空值或按原样导入（未规整）；STRICT 建表，整份在一个事务里写完 版本底座（新 table_versions、raw_store） - 每次上传写新库文件、落盘、0444，事务里写构建、导入记录、快照后才切指针；失败时旧版完整可查 - 原件按哈希存档，不提供下载，可以清除；上传源不许改连接字段、不再重新探查；手工 SQLite 源不许指向上传目录和应用自己的数据文件（按文件身份判断） - 启动时清理半成品与孤儿文件、给老上传补初始版本；被运行引用的版本不回收，发起运行与回收互斥 - 上传接口的解析移到线程池 运行固定数据版本 - 发起时把图里（含子工作流）用到的上传源的当前快照记进运行记录和 run.started，续跑、审批恢复沿用；数据源工具按固定的快照生成描述、表结构并查询 - 固定的版本没了、源被删除后同名重建，都明确报错，不改用当前版本或同名的新源；查询快照记 data_version 证据层 - 新报告记 entity_syntax: 2，[[t:明细]]、[[c:明细.金额]] 和 SQL 里不加引号的中文表名都认得，名字按 SQLite 的口径查找；老报告按原规则复核，结果不变 - 写作规则改为中文表名、字段名一律用 [[t:]] / [[c:]]；未规整的表在工具描述、写作目录和裁判摘录里标出 前端 - 上传弹窗接上导入前的决定（混合列、交叉表）和导入回执（跳过的隐藏表、类型转换、警告、原表头对照、未规整标记），上传前告知原件会保存 - 数据源卡片按 origin 认上传的表格，显示当前版本；上传的表格不再给「探查结构」	2026-10-01 13:42:04 +08:00
ThearchyHelios	c837cdbfa3	助手改图不再把没说完当成「画布无需修改」：输出被截断、或一个操作都没给时报错，不再对着原图自查、交付；改图额度从 8192 提到 32768，服务方不收时退回 8192；提示词要求不在思考里草拟 JSON	2026-09-30 18:05:33 +08:00
ThearchyHelios	bd8306bf95	结论句裁判改造：「不支持」拆成「证据相矛盾」和「证据不足」，补全交给裁判的证据，旧判定可按新规则重判 ... - 判定取值改为：支持 / 部分支持 / 证据相矛盾 / 证据不足 / 不是结论。只有证据和句子冲突才判相矛盾； 证据里没有相关信息判证据不足，并写明缺什么（比如 SQL、字段清单） - 出具判档不变松：证据相矛盾按 on_unsupported 降档或不予出具；证据不足记一条缺口，最多降档、不能判完整出具； 改造前的「证据不支持」照旧当相矛盾处理 - 补全证据摘录：表名附字段清单和类型（最多 60 个，快照不全时注明，遮罩列不列）；口径卡指标附上每个输入 取自哪次查询、哪一格，以及那次查询的 SQL；一律只读封存范围内的工件 - 理由上限从 60 字放宽到 120 字，在句子边界截断，不再截在半句中间 - 裁判模型：按需裁判也判断是否和写作模型相同、是否在价格表里，证据面板里醒目提示； 设置页没配裁判模型时写明「未单独配置，将使用助手的模型」 - 新判定带规则版本：改造前的判定在界面上标「按旧规则判定」，可以请模型按当前规则重新判断 - 界面：证据相矛盾用红色；证据不足用中性色和 ○，写明缺什么；讲方法、讲结构的句子在证据面板里直接列出 对应的 SQL 和字段清单；出具横幅、审计表、报告节点印章的计数都分开这两档 - 顺带写稳 check-publish 里一条等按钮状态的断言（并行时偶发）	2026-09-30 10:04:52 +08:00
ThearchyHelios	03c18c4d78	界面文案整改：口语改书面、术语统一、不再露出实现细节；修掉几处说错的提示；新增文案检查防回潮 ... 一、文案（前端约 1600 处，后端传到界面的约 880 处） - 术语统一：工作流层面用「运行」（继续运行、重新运行、试运行），节点和工具层面用「执行」，不再用「跑」； 总时长 / 执行时长 / 等待审批；服务端；助手；Agent；token；工作流；固定版本；模型接入；系统提示；批准 / 驳回；受管级别 - 口语改书面：取不到、没取回来、读不懂、连不上、多半、照样、兜底、揉成这类说法改成「无法 / 未能 / 失败 / 请」；去掉拟人写法 - 不再露出实现细节：界面上不写 checkpoint、同一拍、哈希（凭证处除外），不写改版历史（「以前…」「老数据」）； 报错、校验、门禁、自动修复里裸写的配置键名和枚举值换成界面上的中文标签，由新的 backend/app/engine/labels.py 统一提供； 发布弹窗里结论句的选项不再是 off / require_citation - 同一件事只留一种说法：生成阶段文案、出具档位说明、画布锁定提示各合成一份 - 去掉界面上的工业场景示例（MES、ERP、「张工」「王工」）和真实产品名，换成通用示例 二、说错的提示（都有测试证明） - 数据库测连接失败时的专用提示以前从不出现（按报错文字全等比较，永远比不上）：改为按错误类型判断，不再拼出重复的前缀 - 「设置 → 供应商」改指「设置 → 模型接入」；「在设置里建数据源」改指「数据」页 - 缺少 API Key、模型接入已停用的报错不再夹英文，写明去哪里填 - 两处原因说错（「这种引用在后续版本支持」「这一版还不支持」）改成真实原因 - 节点说明里不准确的说法改正：代码节点在 microVM 或系统沙箱中执行；报告撰写、口径卡的说明不再说过头 - 导出的证据 CSV 里两列同名，第三列改为「片段编号」 三、前后端对齐 - 前端按后端原文识别日志、报错的地方，新旧两种写法都认得（历史运行里存的是旧文字），逐条补了新旧原文的核对 - 后端交回模型的原指令放进单独的 for_model 字段，前端在解析响应时去掉，不会显示到界面上 四、检查 - 检查脚本里按原文匹配的断言改成新文案；改完会变成永远成立的反向断言逐条修正，并做了变异验证 - 新增 check-copy（静态扫描前端界面字符串和后端上界面的文案）：再出现「跑」「后端」「多半」「令牌」、 界面上的 Copilot、裸写的配置键名、半角标点等就报错；确需保留的写进 scripts/copy-allow.json 并注明理由	2026-09-30 08:05:15 +08:00
ThearchyHelios	050bea4b72	可点击证据第五期：老工作流一键升级为可追溯结构；受管问数据图的 cells 一键选；pytest 并行 ... 一、一键升级（只给预览，不自动保存） - engine/upgrade.py：确定性改写，纯函数、重复执行结果不变 - R1 契约的叙述指向模型调用节点 → 换成报告撰写节点（system 和 prompt 合成写作要求，模型配置照搬），契约改成 report_from - R2 没有契约、但模型写的文字进了出口，而且上游有取数 → 同样换成报告撰写 - R3 input → 智能体 → 出口（问数据的典型图）→ 中间插入报告撰写节点，出口字段接报告的正文； 只改直接相连的出口，经过别的节点读它的出口原样保留并写明原因 - R4 配了 output_schema 的智能体 → 打开 cite_fields - R5 代码节点的产出被口径卡读 → 不改，只建议标成取数，等人确认 - 一个叙述里混了几个写作者的，不猜，整步不做并写明原因 - POST /api/copilot/upgrade-evidence：返回改动、说明和改完的检查结果；assist 时再交给 Copilot 把纯算术的代码节点 改写成口径卡表达式，不是纯算术的保留并给警告 - 升级和发布前修复走同一道「不许降低要求」的检查，只多两个由升级点名的例外：模型调用换成报告撰写、R3 改接的那条连线； 改完不能更糟 - 校验对符合 R1–R4 的旧结构给一条建议「可以升级为可追溯结构」，不算提示、不挡发布 - Copilot 自查：报告撰写节点上游没有任何能引用数字的来源时打回 二、界面 - 问题面板的快速修复「升级为可追溯结构（预览改动）」：逐项写「节点 · 字段：原值 → 新值」，节点类型的变化写成 「模型调用 → 报告撰写」，新插的节点和改接的连线另外写明；「应用」后走现有的保存，全图默认不丢 - 画布改过、存失败、画布被锁都有明确状态；保存失败后手动存成功会清掉「没存上」的提示， 画布和预览对不上时「重试保存」不再盲存；校验接口失败时升级块照样在 - 记录页里没有逐段证据的运行给横幅「这次的报告没有逐段证据 → 升级这张图」，跳到编排页并打开升级预览 - 修掉一处旧缺陷：应用修复时只换配置、不换节点类型，模型调用换成报告撰写后存下去的还是模型调用 三、受管门禁：cells 一键选 - 图里没有口径卡、契约又没写 cells: true 的受管图，以前能过门禁、正式运行却每次失败；现在门禁拦下， 发布弹窗给两个选项：写 cells: true，或交给 Copilot 改成口径卡指标（人亲手选的不算替人打开，Copilot 自己打开照样拦） - 「修完要更好」的复核不再把改完才冒出来、只能由人拍板的这一处算作改坏：Copilot 补上契约、把 cells 留给人问， 这一步会被采用，不再被判「冒出新的问题」作废 四、测试 - 开发依赖加上 pytest-xdist（锁文件只多了 pytest-xdist 和 execnet）：全量后端测试 -n auto 约 16 秒，原来串行约 2 分钟 - 修掉并行下暴露的一处测试竞态：运行先落终态、再另一个事务封存，测试改成等封存完成再核对	2026-09-29 13:27:27 +08:00
ThearchyHelios	9727c21d8d	可点击证据第四期：结论句由模型裁判；只引单元格的问数据图能发成受管 ... 一、结论句裁判 - 报告节点新增 claims: judge：写完、核对完之后，把结论句和它引用的证据摘录交给裁判模型， 判为支持 / 部分支持 / 不支持 / 不是结论，附一句理由；判定只标注，不改写正文 - 送裁判的句子按固定规则预筛：带引用的、含方向词或因果词的送去判，短句、过渡句不送 - 证据摘录：指标写名称、值和原式；查询给 SQL 前 300 字和被引用的行，被引用的列一定给到；遮罩列一律不给； 规则里写明「数字已经由系统核对过，不要复算」 - 一份报告合并成一次调用，超出句数就分批；结构化输出失败时退回 JSON 解析，再失败记为未裁判 - 裁判模型的优先级：节点上写的 > 设置里的「证据裁判模型」> Copilot 的模型；思考关闭； 和写作模型相同时给警告（等于自己审自己） - rewrite_once（默认关）：把不支持的句子和理由交回写作者只改这几句，再裁一次； 改写稿冒出原稿没有的问题就不采用，保留原稿和原来的判定 二、成本上限 - 每份报告的句数、金额、时长，探索运行每次点击的金额，全局每日金额，每一项都可以自定义，也都可以设成不限； 默认 40 句、$0.05、30 秒，每次点击 $0.01，每天 $2 - 调用前先估算，超出上限按优先级截断：先判带引用的，再判含方向词、因果词的，其余记为未裁判并写明「已到上限」； 不报错，也不让报告失败 - 每日花费按本地日期计数，持久化在设置表里；重跑同一次运行不重复计费；价格目录里没有的模型只计次数，并写明估不出金额 三、正式运行与探索运行 - 正式运行在报告节点内裁判，判定写进报告文档、随文档封存；不支持的按 on_unsupported（degrade / withhold）降档或不予出具， 裁判没跑成记缺口，不能判完整出具 - 探索运行按需裁判：POST /api/runs/{id}/evidence/judge，点开哪句判哪句；判定作为 evidence.judged 事件追加在封存之后， 标「封存后追加」，封存核对仍然一致；只读封存范围内的工件；同一句不重复判；运行在裁判期间被接着跑时不记录 - 正式运行调这个接口返回 409，写明「正式运行的裁判在节点内完成」 四、治理与自动修复 - G3 放开 judge：受管级别写 judge 必须写预算（judge.max_cost_usd，或显式写 null 表示不限） - 发布前自动修复：缺预算时给选项（默认金额 / 不限），不替人选； 从 require_citation 改成 judge 不算降低要求，judge 改回 off、withhold 放宽成 degrade 算降低要求 - Copilot 手册：受管模板可以写 judge 并带预算；问数据按需裁判，不替人打开结论句策略 五、界面 - 结论句句末放徽标：支持 ◆、部分支持 ◇、不支持 ! 整句浅底、未裁判 ?；不用表示「已核对」的绿色；n / N 也跳到不支持的句子 - 证据面板里「模型的解释」：带「模型判断 · 模型名 · 非确定」，封存后追加的另外标出； 「请模型判断这句」只在探索运行、还没判过时出现，触顶时写明已到上限和怎么调 - 出具横幅多一段结论句计数；设置页新增「证据裁判」一组（裁判模型、各项上限、今日花费），设成不限时写明费用受什么约束； 报告节点可以配 judge；运行轨迹里裁判相关的事件都有中文标题 六、门禁修正 - 引用模式下，图里没有口径卡（只引查询单元格）的，出具契约不再要求 metrics_from，受管门禁也不再要求 required： strict 加 cells 已经保证每个数都点得开、对不上就不予出具；有口径卡的照旧要求。 以前问数据的图怎么都发不成受管，Copilot 补上契约也会被判「冒出新的问题」作废	2026-09-29 11:10:53 +08:00
ThearchyHelios	d071bf119f	可点击证据第三期：表名字段名和引文也点得开、可疑实体与结论句、受管门禁 G1–G5、证据审计导出 ... 一、表结构、实体与引文 - 数据源工具查库时顺带存一份表结构快照（schema_snapshot），和查询快照一起进台账、进封存； 台账里的查询记下 SQL 用到的表 - 报告里的表名、字段名可以点：反引号里的名字一律核对，正文里的裸名字只在明显是标识符时才自动链接， 常见英文单词不链接；点开看到它出现在哪次查询、类型、所属的表，快照被截断时写明 - 找不到的名字标成可疑实体：在快照、SQL、结果列里都没有的记「可能是编造的名字」并给出最接近的 3 个； 快照被截断、核对不了的记「核对不了」，不冤枉成编造 - 检索引文 [[q:K1|原文]]：原文在检索快照的命中片段里逐字出现（空白归一化后）才算有出处，点开高亮原文位置 - 自动链接的名字不算句子的引用，只有写作者写的引用才算 二、结论句与出具 - 报告节点新增 claims：off（默认，保持原样）或 require_citation（没有引用的结论句计入缺口） - 受管级别的正式运行里，可疑实体和没有引用的结论句按「有缺口」降档，不拦截；探索运行和已发布级别只标注 - 契约的 claims 和报告节点的设置取更严的那个；受管正式运行里写 ignore 也按降档处理，并给出警告 - 出具横幅除了数字，也写出可疑实体和没有引用的结论句 三、受管门禁 G1–G5（只看图和配置） - G1 带契约的出口，成果字段的文字只能来自报告撰写节点 - G2 模型写的文字不绕过报告撰写节点直接流进出口 - G3 报告撰写节点写明 numbers: strict、on_violation: fail、claims: require_citation - G4 口径卡的输入不来自计算角色的沙箱代码 - G5 给口径卡供数的 agent 配 output_schema 并开 cite_fields - 受管级别是错误、挡住发布；已发布级别只给警告；已经发布的版本照常运行，下次发布时按新规则检查 - 每条规则都接进发布前自动修复（一键修复 / 给选项 / 交给 Copilot）；禁止的改动补上关 cite_fields、 删 output_schema、放宽契约 claims；Copilot 兜底不许自己把代码节点标成 source、不许放宽报告节点 - 发布弹窗里选「交给 Copilot」时明确写「正在交给 Copilot」 四、旧运行与审计 - 没有契约的旧答案：数字和已封存的查询单元格、口径卡值按数值比对，每个数最多 3 个候选， 默认折叠，写明「猜测的来源，不能当证据」 - 有契约的旧运行：候选只从已封存的口径卡里找，人为插进工件表的行不当证据 - 证据审计：GET /api/runs/{id}/evidence/audit 按「无证据 / 可疑实体 / 有出处 / 旧运行猜测」分组， 可导出 JSON 和 CSV（带封存状态）；记录页和画布上的报告节点显示「有出处 N · 无证据 M」 五、SQL 守卫修正（安全） - 去注释改成单遍扫描，认得字符串和各方言的引号（单引号转义、MySQL 反斜杠与 #、PostgreSQL 的 $$ 与嵌套注释、 Oracle 的 q'[…]'、SQLite 的方括号）；以前字符串里的 -- 会被当成注释，SELECT '--'; DROP … 这类写法能骗过多语句拦截 - 看不到服务器设置时每种读法都扫一遍，读法之间切分不一致就拒绝，任何一种读法是写操作就按写操作处理 - 执行查询和工具危险判定都按数据源的方言检查 六、其他 - 修掉检查脚本里画布检查的一处竞态，并行估时按实测更新	2026-09-29 05:26:34 +08:00
ThearchyHelios	fcdcc30d4e	可点击证据第二期：取数链路打通、问数据的答案逐段可点；发布前自动修复 ... 一、可点击证据第二期 取数链路 - 智能体、工具节点、代码节点、知识检索取数时都记进证据台账；报告目录按台账编出 Q1… / K1… - 报告可以引用快照里的一格（[[v:Q1.r0.gmv]]），也可以由系统从快照生成整张表（[[table:Q1 cols=… rows=0-4]]）， 表里每一格都是可点的片段；取值一律以快照为准，取回快照时复验哈希 - 口径卡表达式新增 cell(x, row, column)，lineage 精确到单元格 - 智能体开 cite_fields（配合 output_schema）后，循环结束做一次结构化抽取，每个字段标出取自哪次查询的哪一格， 再到快照里核对：一致记 verified；不一致以快照为准并告警；查不到的记为空值，永远不兜底成 0 - 代码节点新增 evidence_role（source / compute）和 code_sha；沙箱算出来的数不能被报告直接引用，要进口径卡 - 查询快照记下列类型，文本列按文本渲染（年份 "2026" 不再显示成「2,026」） - 升级前发起的运行（停在审批上的）一律走旧逻辑：新的 task 只追加在循环之后，恢复时不会错号 证据接口与面板 - 片段链接上查询步骤：SQL、被引用的行加前后各 2 行、高亮到格；数据源可设 mask_columns 遮罩列， 遮罩在查询时记进快照，数据源事后改名或删除也照样遮罩（在有身份体系之前，遮罩只减少暴露，不是安全边界） - 输入来源写明核对结果（与快照一致 / 模型报的值和快照不一致 / 没查到记为空）；口径卡缺输入时也给出完整的链 - 受管出具要在契约里声明 cells 才能引用单元格；受管与否记在所钉版本上，改画布不再让受管版本的正式运行降级 - 口径卡可以用 caliber_from 钉住另一个已发布工作流里的口径卡，上游有新版本时按 upgrade_policy 处置， 和子工作流同一套规则；子工作流节点也补上了升版处置的配置项 Copilot、校验与报错 - 问数据的答案里有数字时，搭 input → 智能体 → 报告 → 出口，报告直接引用查过的单元格 - 写 SQL 前核对数据源的表结构，SQL 里出现表结构里没有的列会被打回 - 不再搭「智能体文字 → 转换节点解析 JSON」这种图；转换节点的 JSON 报错分清是上游模型写坏了、 模板里裸插了模型文字（给出 | json 的改法），还是模板本身写错了 - 工具节点遇到「查询失败」「SQL 被拒绝」判为失败；发起运行前检查绑定的工具是否存在，不存在时直接拒绝并给出入口 二、发布前自动修复 - 问题带上机器编号（code）和修复 id；新增只读接口 POST /api/workflows/{id}/publish-check 和 /autofix - 修复分三类：答案唯一、不降低要求的一键修复；要人拿主意的给选项（不替人选）；结构性问题交给 Copilot - 一律先预览，不自动保存、不自动发布；删节点、删契约、放宽审批、关掉 strict、改级别等降低要求的改动一律拒绝， Copilot 的方案也要过这一关；应用后重跑检查，错误必须变少且不能冒出新的 - 发布弹窗打开就先检查；问题面板新增「发布前检查」，平时就能看到、就地修掉 - 门禁修正：契约有 report_from 时不再要求 narrative（模板⑨可以发成受管）；全图默认审批为「全部放行」时同样拦下 - 修掉画布保存会抹掉全图默认（defaults）的老问题：以前任何一次保存都会把它清空，审批 always 因此被悄悄放宽 验证（沙箱）：tsc 干净，生产构建通过，pytest 2268 passed（两遍），check-all 17 项检查、3915 项全过 （新增 check-publish）；关键行为做了变异验证、全部抓到。	2026-09-28 21:20:04 +08:00
ThearchyHelios	62aac187d8	工具审批三档、智能体护栏取代固定 12 步、检查脚本分道并行 ... MCP / 自定义工具的审批三档（tools/trust.py） - 平台看不出这两类工具做什么，以前审批关卡一律当它们安全、照跑不误。现在默认每次调用都等审批； 工具页可以逐个改成「始终允许 · 门控把关」或「始终允许」，审批卡上的「始终允许」等于前者 - 门控把关：每次调用先由门控模型审一遍工具说明、参数和节点任务；判可疑、出错、超时、答不成格式， 一律交还给人，不会变成放行。判定包进 checkpoint，审批恢复重放时不再问一遍 - agent 节点、工具节点、协作团队三处关卡都接上；团队成员停不下来等人，门控没放行的调用不执行 - 每次运行在发起时快照档位（runs.tool_trust），恢复和接着跑沿用同一份；正式运行不看档位，一律等审批； 升级前发起的运行照旧不问——它们可能正停在某个审批上，多问一次答复就会对错号 - 接口：GET /api/tools 带 trust / trust_key，PUT /api/tools/trust；设置新增门控模型；新事件 tool.gated - 界面：工具页三选一、审批卡「始终允许」、设置页门控模型、运行记录解码 tool.gated； 顺手修了 MCP 工具详情 404、工具审批被驳回却显示成放行 智能体护栏（engine/guards.py），取代固定的「最多 12 步」 - 步数只留兜底：默认 100，设置里可改；以前画布自动写进节点的 12 按「没填」处理 - 同一个工具、同样的参数第二次不再执行，把上次的结果交还给它；连续 3 步拿不到新信息就收尾 - 每个节点的令牌预算（默认 200 万）和金额预算（默认不限），都可以在设置里改成不限 - 上下文用到窗口的 60% 先压缩早期的工具结果，到 85% 就收尾；临近任何一个上限先提醒模型一次 - 下游结构化校验失败时写明是上游哪个 agent 提前收了尾；复核信号带上收尾原因， 问数据页只在真是步数用满时才给「放宽步数重跑」 - 上限在发起时快照（runs.agent_limits）；升级前发起的运行一字不改走旧逻辑 检查脚本 - check-all 默认 4 道并行：量时间最多的两项互不重叠；并行时没过的最后单独重跑一遍，重跑才过的 单列成「偶发」。16 项全量从约 21 分钟降到约 7 分钟（加上一次重跑约 10 分钟）；--lanes 1 回到串行 顺带修的 - 设置接口里的 limits 改为只读：库里存着旧版设置页写进去的一份（max_agent_steps: 25），从不生效， 却盖住了真实上限，问数据页照着错的数许诺 - test_kb 里嵌入模型那条测试不再真连 api.openai.com（代理慢时一条要等近 4 分钟） - check-stream 读滚动容器前先等它挂上，并行跑时不再偶发 验证（沙箱）：tsc 干净，生产构建通过，pytest 1655 passed（两遍），check-all 16 项检查、3562 项全过； 新增后端测试 53 条，关键逻辑做了 22 处变异验证、全部抓到。	2026-09-28 11:47:45 +08:00
ThearchyHelios	e4f2693918	可点击证据第一期：报告里的每个数字都点得开出处 ... 「引用即渲染」：写报告的模型只写引用标记（[[m:指标id]]、[[i:输入字段]]、[[see:…]]），数值由系统按口径卡 填进去，每个数字都挂着一条能复算的证据链。本期是数字层闭环；实体、结论句的概率性证据放在后续几期。 内核（engine/evidence.py，口径卡、出具契约、表达式等） - 口径卡记录每个指标的来源：原式、代入式（每个输入写成「值 ← 路径」）、复算结果、口径与版本 - 出具契约的数值匹配改为按位置标注；同一个值有几个出处时记为「出处不唯一」并列出候选，不再随便挑一个 - 证据 id 由内容派生，事后对不上就是被改过；零值、结构性数字（列表序号、代码块标签）单独处理 - 口径卡新增 on_missing：缺输入时默认仍是整个节点失败，可以改成记为空值、交给契约判档 报告撰写节点（report）与引用模式的出具契约 - 流式生成时 token 里就是真实数字，不会漏出原始标记；裸数字、不存在的引用当场判违规，交回去重写 （max_repairs，默认 1 次）；仍不过时按 on_violation 失败（正式运行默认）或把违规标在报告里（探索运行默认） - report.checked 事件记下核对结果，落在封存范围内；fail 模式下仍不过时带 failed，运行记录里画成失败 - 出具契约写了 report_from 就按引用核对：取回文档时复验哈希，独立重算一遍，全部带引用才判完整出具 - 成果字段逐字等于报告正文时标注 _evidence；复核只能加说明，不能改写带证据的答案（前后端各拦一道） 证据接口 - GET /api/runs/{id}/evidence 返回证据图；GET …/evidence/segments/{id} 返回一个片段的证据链 - 只认封存范围内的事件能追到的工件，不读 artifacts 表；封存被改过时不把任何一项标成已封存 - 没有报告的旧运行降级为 none 或 legacy_contract 界面 - EvidenceDoc 按块、句、片段渲染报告，片段是和正文一样的按钮；整份报告只占一个 Tab 位， ←/→ 在片段间移动、↑/↓ 按句、n/N 跳到下一处「无证据」、Enter 打开面板、Esc 关闭并把焦点还回去 - EvidencePanel：宽屏侧边、窄屏底部抽屉、360px 画布右栏里栏内展开；显示指标步骤、代入式、复算结果、 封存状态。正文不是封存的那份报告时明确说出来，不拿别的报告的封存画绿 - 出具横幅多一行「N/N 数字有出处 · 无证据 M」和「定位下一处」；没有 _evidence 的旧回答渲染一字不差 - 画布认得报告撰写节点；Copilot 手册补上口径卡、报告节点、出具契约的写法；新增模板「⑨ 可追溯周报」 验证（沙箱）：tsc 干净，生产构建通过，pytest 1601 passed，check-all 16 项检查全绿（新增 check-evidence）。	2026-09-28 11:47:23 +08:00
ThearchyHelios	3e311ec551	第三波收尾：跨模块整合、全站扫尾、检查脚本整合；网页工具认得本机代理的 fake-ip ... 整合（3c-integrate） - 公共层：跨天时长（formatSpan / formatOffset / formatLapse）、本机署名（lib/actor）、检索分类色令牌、 数据源目录（useDatasources）收进公共层；失败说明能一次列出多个写坏的自定义工具，查询超时指到数据源的查询时限 - 管理页收尾：设置页接入统一的离开前确认；检查脚本不再把沙箱里的真实值打进输出 - 画布 ↔ 右栏：点出具印章、点节点能跳到右栏对应位置；「定位」直接聚焦到出问题的字段 - 回答流 / 问数据 / 记录页：失败信息带「去哪修」且不再被翻译两遍；协作团队的结局按执行截取； 等审批时断流重连、而运行已在空档里跑完的，补全事件 扫尾（3c-sweep） - 术语统一：开始运行 / 继续运行、工作流最大步数；未保存的运行统一叫「未保存的工作流」（后端新运行同步） - 沙箱报错不再带 Python 异常类名；新增 check-tokens，未定义的 CSS 变量为 0，两个旧别名迁移后删除 检查脚本（3c-checks） - check-ui 跟上新界面（运行列表按 data 属性找行），加上令牌与选中态的回归断言，输出里的名字打码 - 新增 check-all：按顺序跑全部检查、汇总退出码，--repeat 列出偶发项 - 单节出错只记这一节失败、不再带崩整个脚本；外壳遥测浮层「重新检测」时焦点不再掉到 body 网页工具与 fake-ip - Clash / mihomo 一类代理开 TUN + fake-ip 时，查什么都先拿到 198.18 段的假地址，被当成内网拦截。 新增 AGENTLAB_HTTP_TOOL_FAKE_IP_RANGES（默认空）：落在段里的解析结果改向公共 DNS（DoH）核实真实地址， 公网放行、内网照拦、核实不了按拦截处理。DoH 默认先问境外的，境内公共 DNS 会对被封锁的域名返回污染结果 - 列表型环境变量接受逗号分隔（原来注释说逗号分隔、实际只认 JSON 数组）；域名解析改为异步，不再阻塞事件循环 验证（沙箱）：tsc 干净，pytest 866 passed（两遍），检查脚本全绿。	2026-09-27 23:37:32 +08:00
ThearchyHelios	587bf7e27c	第三波前两批：六个「看着成功其实没干活」的平台漏洞堵上，记录页能回放，管理页与画布收尾 ... 起因是一次探索运行：Copilot 改节点时把工具绑定整份抹掉，agent 没有工具只能写「假设调用」， 校验节点的自动修复编出 total_count=0 让 schema 通过，协作成员把工具调用标记当文字输出了四轮， 轮数用完后节点把原话当成功结果交出去——运行标成已完成，数据库一次都没查。 平台可信度（先写失败测试） - Copilot 修改节点改为合并：没写的字段保留，null 才删除；协作成员按名字合并。前后端同一套规则， 工具集合变小时自查报警、改图回执列出变化 - 新校验规则：提示词点名了某个工具而节点没有绑定它，判错误，Copilot 自查会交回去修 - 校验修复只许改格式：冒出原文没有的值就判修复无效；修复这次模型调用计入用量 - 识别模型把工具调用写成文字的情况（DSML、<tool_call> 等标记）：纠正一次，仍然如此就判失败并说明原因 - 协作团队用完轮数不再按成功交付：默认失败，可选降档，点出一次都没派到的成员 - 审批恢复后，同一节点里已经执行过的工具调用复用结果，不再重复执行 后端 - 查询时限交给数据库执行（Oracle call_timeout、PG statement_timeout、MySQL max_execution_time、 SQLite progress handler），可按数据源配置；超时报错与实际耗时一致 - 等审批的运行可以真正取消；会话列表带最后一轮状态；测连接结果持久化；探查结构可只看不存； 自定义工具可草稿试跑、写坏的参数定义保存时拒绝；MCP 服务改动后作废旧工具缓存； 检索命中带贡献分解；重建索引在后台跑并报进度；报错统一收进 core/errors 前端 - 公共层：管理页共用件、失败说明（lib/explain）、健康状态进公共库；目录按表各自加载并有超时， 一张表卡住不再拖垮整站；上传显示真实字节进度；离线横幅只播报不变的句子 - 画布：卡片只说游标所在的那一次执行；等审批时可放弃运行；团队收尾判定与未完成说清楚； 回放用量取那一刻的值 - 编排页：Copilot 合并语义与工具变化回执；「用完轮数时」选项；正式运行期间锁住所有改图入口 - 回答流 / 问数据：新失败类型说人话并给下一步；画布与右栏互相定位；数据源范围、回收站、重新核对 - 记录页：「航迹」页签复用画布时间轴，可拖动回放、列出关键时刻；列表行带执行 / 等人 / 失败缩略条 - 外壳：统一的离开前确认（data router），导航、⌘K、快捷键、后退都会先问 验证（沙箱）：tsc 干净，pytest 838 passed（两遍），14 个检查脚本中 13 个全绿； check-ui 余 1 项旧断言（按旧日期格式找运行行），3c 更新。	2026-09-27 10:16:32 +08:00
ThearchyHelios	e10c4f23fc	界面与交互全面翻修（前两波）：运行态有了 HUD 和时间轴，终态会收尾，全站令牌、组件、文案统一 ... 来自 2026-09 的 UI/UX 审查（142 条）。本提交是前两波，第三波（记录页接入时间轴、跨页互链、check-ui 更新、全站扫尾）另行提交。 地基 - 设计令牌：全局规则和 .btn/.field/.chip 放进 CSS 层，Tailwind 工具类重新生效，选中态、开启态不再被吞掉；字号阶梯； 辅助文字在所有底色上 >= 4.5:1；状态色专用，节点类型色与之拉开色相；「跟随系统」真的跟随，首帧不闪深色；新字标与 favicon - 基础组件：confirmDialog / promptDialog 取代原生对话框；toast 出错不自动消失、可复制、读屏可播报；离线横幅与断线恢复； 九种剪影的状态徽标；唯一一份状态文案（lib/status）、格式化（lib/format）、术语（lib/terms）、报错人话（lib/errors） - 运行态内核：事件折成航迹（run/trace.ts），可投影到任意时刻；取消 / 失败 / 服务重启后统一收尾，不再永远转圈； run.status 随事件回写；token 事件不再堆进 events - 后端：协作成员逐个完成即发事件，调度者决策有事件；时长分执行 / 墙钟 / 等人；API 时间带时区； 中断的运行也发 stream.end；运行列表可筛选翻页；删除运行 / 工作流有保护；运行默认值接通；可测未保存的配置； 报错说清发生了什么、为什么、怎么办 功能 - 画布：状态四重编码、固定高度遥测槽、按缩放三档、运行胶囊与 HUD、航迹时间轴与回放、执行轨迹边、 等待闸门、跟随执行、正式运行只读、一次性时刻（开场点亮、回扫、阻断级联、出具印章） - 编辑：撤销重做、版本历史、问题面板可定位、三栏可收起、模板与表达式字段区分、变量血缘、快捷键、带搜索的选择器 - 回答流 / 问数据：贴底才跟随滚动、工件下钻、出具横幅列出缺口、答案可复制导出、按会话的忙闲、 答案不再在 2000 字处截断、重启后这一轮会收尾 - 记录页：待审批 / 运行中 / 失败页签、筛选翻页、实时接流、排错路径指到节点、封存凭证常驻 - 管理页：新的「数据」页、写操作失败都有反馈、弹窗里先测连接、统一持久的连接状态 - 外壳：导航改版、⌘K 命令面板、? 快捷键帮助、404、页面标题与 favicon 状态点、后台提醒 验证（沙箱）：tsc 干净，pytest 579 passed，14 个检查脚本中 13 个全绿；check-ui 剩 1 项旧断言（按旧日期格式找运行行），第三波更新。	2026-09-26 23:11:31 +08:00
ThearchyHelios	0997603ccf	画完先自查：条件写错在校验时就拦下，Copilot 交付前按同一套规则查一遍、查出问题先改 ... 开发库里四次运行死在同一句"循环条件写错了：表达式里不允许出现 Set"。条件原文是 `{{ vars.gate }} != "ok"`——把模板写法带进了表达式：`{{ x }}` 在 Python 里是"装着 一个集合的集合"。Copilot 的提示词写着"模板语法在任意字符串里用"，模型照做而已； 校验又不看表达式，写错了只有跑到那一步才知道，前面的步骤白跑。 1. 表达式：解析和静态检查收成一个 parse_expression，运行时、校验、Copilot 自查共用， 不会出现"校验说能跑、跑起来报错"。多套的 {{ }} 意思无歧义，在语法树上剥掉（字符串 里的花括号不动），按 vars.x 理解并提示。真写错的给能照改的提示：| 过滤器 → len(x)、 集合 → 列表、不认识的函数列出能用的、= 当 ==、引号里的 {{ }} 永远不成立、推导式、 切片、私有属性。and / or 短路掉的那半边也查。 2. 校验：按节点类型和模式挑出真正求值的字段（分支条件、while 条件、整形表达式、口径卡 指标、skip_if）。写错是 error、挡住运行；漏写 vars. 的名字提示会取到空值；while 没写 条件、整形没填表达式也说出来。foreach 的 condition、模板模式的 expression 不求值，不查。 3. 代码节点：assign_to 拿的是 stdout。「测试 1」修好条件后跑通了、结果却是空的——代码 最后一行是裸表达式，那是 notebook 的行为。设了 assign_to 却找不到任何输出的 Python 代码，校验直接拦下，提示 print(json.dumps(结果))。宁可漏判不可误判：子进程、exec、 附带文件里的 print 都算有输出；整行只有一个 {{ }} 的代码是运行时才拿到的（⑤号示例 整段就是 {{ vars.code }}），看不见，不猜。库里 20 张工作流无一误拦。 4. Copilot 自查：搭完用同一套校验过一遍，error 级的问题连同图交回模型——只修这些、只 输出改动，最多两轮。改好了才自动运行；改不好照实交付、列出剩下的问题，不自动开跑。 没问题的图不多花一次调用；只是多套了 {{ }} 的不返工。提示词改成"模板只在普通文本 字段里用"，并列出表达式字段的对 / 错写法和代码节点必须 print。 5. 前端：自查这一段在 Copilot 的过程里看得见——发现几处问题、交回去改、改好了没有； 改不好标红并说明没有自动运行。"搭好了，共几步"那一行不会被挤掉。 测试：新增 test_expressions（开发库里真实死过的四条条件、静态提示、按模式挑字段、代码 输出、带 {{ }} 的循环真跑一遍）与 test_copilot_selfcheck（脚本化模型：改好 → 自动运行； 改不好 → 不运行、最多两轮；干净的图一次调用；多套 {{ }} 不返工）。test_continue_run 里 用来制造运行时失败的表达式换成 `2 ** 100000 > 1`——原来那条现在在校验阶段就被拦下了。 check-decode 补了自查的解码断言。	2026-09-25 17:04:39 +08:00
ThearchyHelios	429398a156	前端四处直接伤人的地方：输入法回车、覆盖别的图、停止不停、整站白屏 ... 1. 中文输入法选词的回车被当成发送。问数据页输入框不判组字状态（Composer 判 了，这里没有）：用户每选一个词，半句问题就被送去建图、跑图。同样的漏洞还在 会话重命名、知识库搜索、{{ }} 补全、⌘Enter 运行上。收成 ui.isComposing，六处 统一——Safari 结束组字那一下 isComposing 已经是 false、keyCode 还是 229，两个 都看。 2. 「在画布里打开」后 ⌘S 覆盖上一次打开的工作流。它只调了 setGraph：换掉画布 上的节点，store 里的 workflow 还是上一张图，保存就把那张图整张覆盖了（旧版本 还在版本表里，界面上没有入口找回）；没打开过图时 ⌘S 则什么都不做。现在建成 一张新工作流（以这一轮的问题命名）、走它自己的地址，原来的图不受影响。 3. 问数据页的「停止」不停。它只关了自己这头的事件流，从不调 runs.cancel，而后端 断开订阅不会取消运行——模型和 SQL 其实还在跑、还在计费，界面上却已经显示 "已取消"。等人工审批的那一轮照旧不动。 4. Copilot 编出一个不存在的节点类型，整站白屏、没保存的编辑一起丢。三层都补： - 后端 _apply_op 拒收未知类型，不进图、不转发，最终校验里说明跳过了哪一步； - 前端流式加节点时再拦一道；sourceHandles、属性面板遇到未知类型不再崩； - 全站加页面级 ErrorBoundary：导航栏留着，换一页自动恢复；编辑中的图在 store 里，点「重试」时它还在。 新增 scripts/check-guards.mjs（真浏览器，拦下所有非 GET 请求，不写库不花钱）： 组字回车与 keyCode 229 不发送、普通回车照常发送、未知类型不白屏、渲染真出错时 只坏这一页且换页恢复，连跑三次全绿。等待一律等事件，只有"不该发生"的断言用 窗口。后端补了未知类型不进图的用例，413 → 414 passed；tsc 通过，decode / stream / canvas-layout 三个检查不回归。	2026-09-25 15:41:30 +08:00
ThearchyHelios	7fb2976f29	代码节点的变量不再带着 print 的换行：一个变量不该有两种判定 ... 运行 d47bfcb03dc747658c2d63f8755992b9 交出来的是自相矛盾的结果—— "已重试 2 次仍未成功，流程终止"，而最后输出是 {"ok": true, "result": "1+1 = 2"}。看着像运行失败了，其实 status=succeeded。"已重试 2 次"是图里 写死的文案，跟实际跑了几轮、跟成败都无关。 真正的毛病在事件流里：judge 节点（code）的 vars 是 {"ok": "ok\n"}。 assign_to 拿的是**原始 stdout**，而 print() 一定补一个换行，于是 `print('ok')` 写进变量的是 "ok\n"。后果是同一个变量、同一个表达式被两个 控制节点判出相反结论： loop retry vars.ok == 'fail' → False 循环正常退出（看着像成功） branch check_outcome vars.ok == 'ok' → False 所有条件都不满足 → default → 失败 这不是个例，是代码节点的默认用法：print 是它唯一的产出通道，写完再比字符串 是标准套路，所以只要这么写就必然踩上，而且**静默**——没有一个地方会说 "这个值多了个换行"。 同一个函数里本来就为了"stdout 是不是 JSON"算过一次 strip()，只是没拿它当值 用。现在统一成一份： - payload["text"] 和 assign_to 都用去掉尾部空白的文本。只削尾不削头：首行的 缩进是内容（逐行打印一段缩进文本时削掉就毁了），而尾部换行是 print 的产物 - payload["stdout"] 保留原始输出——审计"到底跑了什么"只能看它 - stdout 是 JSON 时仍解析成对象，既有约定不变 - {{ vars.x }} 和 {{ nodes.x.text }} 必须是同一个值，两种写法给不同的值比 原来的毛病更难查，所以一起改 顺带在 Copilot 的 NODE_REFERENCE 里写明代码节点的输出契约（尾换行已去掉； stdout 是 JSON 就变对象，那时要用字段引用而不是比字符串），否则模型会继续 生成下一个变种。 新增 tests/test_code_output.py：五条，覆盖尾换行、多行内容不被削坏、JSON 仍解析成对象、text 与 vars 一致、纯空白输出归一成空串。修之前红四条。 验证做过变异：把改动还原，同一张图回到"走了失败分支"，而 print('ok', end='') 仍是成功分支——换行就是原因。把用户那张图原样重跑，judge 的 vars 是 {"ok": "ok"}，check_outcome 命中 "vars.ok == 'ok'" 走成功出口。 290 passed。	2026-09-24 23:15:19 +08:00
ThearchyHelios	75be5f485e	画布上的线不再叠在一起：排版按车道留走廊，走线不再交给 smoothstep ... 原来所有边都交给 React Flow 的 smoothstep，它的竖直段一律落在源和目标的 正中间。同一列的边于是全挤在同一个 x 上：一张"入口扇出三路 → 归并 → 分支 → 出具/驳回"的图上，跨层的 a3→join 和 m2→join 的横段**完全压在同一条线 上**，长边还直接从"归并B"卡片中间穿过去。排版那边同样糙：同层按 id 字典序 竖排，所以 out_no 排在 out_yes 上面（"n" < "y"），分支的 yes/no 是反的； 层内没有任何减少交叉的排序；层间距写死 300。 后端 app/engine/layout.py 重写成分层布局：先剔回边再按最长路径分层（loop 的回边不参与分层，否则循环体会被压到循环节点左边）；层内中位数启发式上下扫 六轮取交叉最少的一版，分支/循环的出口再按声明顺序占位重排；y 先均匀堆叠再按 邻居重心迭代松弛，同列节点因此和上下游对齐，长边也走得直；最后按"穿过这条 走廊的连线在竖直方向最多重叠几条"给走廊留宽——区间图上的贪心染色，和前端 用的是同一套，走廊留窄了前端再聪明也只能把线叠起来。 前端 canvas/routing.ts 自己算走线：出边沿右边缘错开、入边沿左边缘错开（入边 按上游纵向位置排序），竖直段按区间染色分配车道——真叠在一起的才各占一条， 首尾相接的（同一个扇出点）共用一条，看起来就是一条总线；跨层的长边和循环的 回边在中间各列的纵向占用里找空档绕过去，不再压过卡片。边换成自定义组件后 React Flow 不再自动加动画类，实测确认 .edge-active 仍然生效。 顺带修掉"排完版看不见图"：整张图换过坐标后（自动排版 / Copilot 生成完 / 切图）自动重新取景。坐标变了视角没变，人盯着的是一片空白。 新增 scripts/check-canvas-layout.mjs：把夹具图交给真后端 /api/copilot/layout 排版，再直接 import('/src/canvas/routing.ts') 用页面上跑的那份代码算路径， 按几何断言没有两条线压在同一段上、没有线穿过别人的卡片、两端都接在节点边缘， 另有 1325 条随机坐标的 fuzz 防手拖之后算出 NaN 路径（NaN 的 path 什么都不 画，界面上就是"线没了"，一声不吭）。这条检查做过变异验证——把 laneX 改成 永远返回走廊中点，它立刻报 a3→join × m2→join，正是原图上那处重叠。 285 passed（新增 12 条排版不变量）。check-ui 69 项通过，唯一失败项"本地哈希 要标出没有语义能力"已 git stash 到基线复现，与本次无关。	2026-09-24 22:58:54 +08:00
ThearchyHelios	4057cdc35f	步数用尽时先收个尾，别把半截过程当答案交出去 ... 走到步数上限一定意味着最后那步**要求了工具**（不要工具的话循环早 break 了）， 也就是说模型从来没拿到过"说结论"的那一轮——它只是被掐断在半路。交出去的 是它上一句中间过程的话，末尾补一句"步数不够，请调大"。 实测这条线是绷紧的：库里 116 个 agent 节点，87% 在 10 步内收口，11 步只有 1 个，**正好 12 步的有 11 个**。1 跳到 11 是被截断的特征，不是自然分布。 所以补上那一轮：不给工具，让它基于已经查到的收口，并说清哪些没查到、 结论因此有什么局限。用 base_model 而不是绑过工具的 model——收尾轮必须在 结构上发不出 tool_call，靠提示词请它别调是约束不住的。 两种收场发不同的 code：收上来了是 step_limit_settled（DEGRADED）， 收不上来仍是 step_limit（BROKEN）。不复用同一个 code：库里那 8 条老事件 的含义确实是硬截断，改语义等于把历史运行重新解释成另一回事。 顺带修掉一个一直在白烧钱的 bug：chat.ts:440 的注释说自动重试能"调大最大 步数"，而 copilot.py 明确禁止模型写 max_steps。两边对不上，于是 step_limit 的重试是用同一个默认 12 再跑一遍，必然撞同一堵墙。现在那条禁令改成有条件 的——只有上一次死于步数不够时才准显式写大值。改完两条路各自成立：收尾 成功走 DEGRADED，闸门不开、不重试（对的，同配置再跑还是撞墙）；收尾失败 仍是 BROKEN，而这次 Copilot 真能把步数调大。 硬顶 25 → 100，画布滑块跟着放开，**节点默认仍是 12**：要更多的人调得动， 不知情的人不会突然多花十倍。 新增 tests/test_agent_steps.py，顺带补回 agent 循环的集成测试（原来那个 文件在脱敏那轮被整个删掉了）。两条反向断言是重点：正常收口的 agent 一次 调用都不该多花，以及收尾轮发不出工具调用。两者都做过变异验证——把收尾 结果丢弃、把收尾轮换成绑工具的 model，各自都能让对应的断言变红。 273 passed（去掉一个会真连 api.openai.com 的既有慢测试是 238 passed / 9.4s）。	2026-09-24 16:38:26 +08:00
ThearchyHelios	cc608f56ec	跑完先过一道复核再交给你：异常说破、数字不许现编、出错自动改一次 ... 「跑完了」和「答得对」之间一直没有任何一层。库里 264 条 succeeded 里， 14 条带着 warn、4 条 agent 步数用满，而交到用户手上的答案对此只字不提。 最糟的一次（run dd9927e6）交出去的干脆是「本轮只执行了第一个工具」—— 一句内部管道文案冒充结论。 出具体系（issuance.py）本来就是干这个的，但它挂在输出节点的可选契约上， 还要配口径卡提供受控指标集；问数据页生成的图基本都是 input → agent → output， 走不到那条路。所以补一层轻的。 **干净的运行一次模型都不调。** 先用规则扫一遍事件流（engine/review.py:scan）， 没扫出东西就到此为止。实测 15ms 返回。这是整层设计的前提，测试里用 「monkeypatch 一个会抛异常的模型，断言它没被碰过」来守。 **分类挂在 code 上，不是中文消息串。** 12 处 warn 发射点都带上 code。 这样「流式失败，回退非流式」能归成 benign 直接跳过——它对答案内容零影响， 为它叫一次模型等于每次网络抖一下就多花一笔；而「步数用满」归 broken。 原来这两者在事件流里长得一模一样。工具报错之后同一个工具又跑成了， 算 degraded 不算 broken——否则参数自愈每修一次就报一次「答案不可信」。 **复核不许现编数字。** 它手上只有原答案和一份异常清单，没有任何原始数据， 写出来的新数字只能是凭空来的。直接复用 issuance.trace_numbers，把原答案的 数字当受控指标集，对不上就整条退回原答案、只留说明。硬拦截，不是提示。 **规则管重试资格，模型只有否决权。** 一开始写成两边取并，实测 loop_limit 时模型判 retry=true——而重跑一遍循环还是会撞上限，白烧一次建图加一次跑图。 反过来之后，「检索什么都没查到」这类也不会被模型强推重跑。 **重试带着失败的那张图，不是推倒重来。** 原来传 base_graph=null，模型只看到 「原问题 + 一句失败原因」，很可能原样再建出同一张坏图。而且它连自己上次建了 什么都看不到——会话历史按 status != running 过滤，正在重试的这一轮恰好被 排除在外。现在交回去走后端的改图分支，调大步数、改正参数就是改一个字段。 上限一次。 **答案等复核完成再显示。** 端到端抓到的：答案先摆出来，十秒后说明才追上去—— 这十秒里用户读的是一个没人核对过的结论，正是要修的那件事本身。改成落库立刻 （防关标签页丢结果）、显示等复核，并给复核加 25s 上限。说明排在成果上方， broken 用报警色、degraded 用普通边框——混成一个样子用户就学会了一概忽略。 复核结论跟着轮次落库，刷新后还在；也进下一轮的对话历史，否则模型会拿一个 已知不可信的结论当事实继续往下推。 验证：后端 242 passed（新增 test_review.py 25 条）；tsc 干净； check-decode / check-stream / check-ui 全过，check-stream 新增 9 条渲染断言。 两条端到端都在真浏览器 + 真模型上跑通：检索降级那次说明正确排在答案上方； 重试那次建图请求 2 次、第二次 base_graph 带着失败的 3 个节点、第一版没漏出去。 复核结果不是事件流，decode.ts 翻译不到它，所以渲染测试放在 check-stream。	2026-09-20 11:18:53 +08:00