[P2] Event/通知/Webhook 与 Agent 协作原语补齐

[LIghtJUNction]

2026-09-28 完成度复核：部分完成，重新打开

本 issue 先前被标为 completed，但正文及最后两条进度评论均明确说明完整验收未完成。本轮按实际范围恢复 open，不撤销已完成切片。

核验基线：main 13c562ea05d273e618b1ea06b9e452da79d4439f；完整 CI 36384948145 success。本轮下载并核验四份产物 SHA-256、分片 manifest 与逐项 JUnit node ID：1,244 core + 8 conformance，零失败/错误/跳过、无遗漏/重复；这是该源码树的回归证据，不是生产投递验收。

已完成，后续必须保留

• fix(webhook): authenticate replay ledger IDs before deduplication #93：Webhook 的 delivery/event/timestamp 与认证正文绑定后才执行去重，不能靠改未签名头绕过。
• refactor(effects): share retry transitions without weakening lease fencing #98/Integrate reviewed #81–85 fixes with complete CI evidence #106：邮件/Webhook 共用重试事务，保留次数、退避、渠道错误与 uncertain 不自动重发。
• fix(effects): fence expired notification retries without a lease sweep (#81, #85) #109/fix(effects): fence tool, Git and maintenance completions (#82, #84, #85) #113：按当前 attempt/state/deadline 检查完成和重试；过期或缺失租约不等扫描即保持 uncertain。工具/Git/维护完成栅栏同样保留。
• 主线已有 Event/EffectJob、Inbox/Outbox/DM、Todo 提醒和若干协作操作；这些事实不等于下面的全矩阵已验收。

剩余验收（不删减原范围）

• 通知偏好、多来源去重、撤权后逐字段裁剪、未配置零外发；真实 SMTP/Webhook 接收端的成功/失败/不确定/重试/恢复矩阵。
• Domain Event 独立 capability、owner/证书逐次重验；正式事件覆盖与公网 SSRF/DNS/逐跳重定向/私网拒绝、secret 零泄露。
• request/offer/proposal/receipt/工作 checkpoint/watch 的状态、独立 Revision/Relation/Event、通知及恢复契约；proposal accept 重验当前权限和 revision。
• handoff/lease 等已归档条款持续回归；协作 lease 不是 worker 租约或排他写锁，不授权限；Sync checkpoint 不冒充工作 checkpoint。
• 主体路径、CLI、默认、doctor/selftest、PostgreSQL 恢复和完整 CI 对齐。仅用隔离 SMTP sink/受控测试接收端，不隐式启用生产外发。

并行归属与边界

任务 B（市场、存储、通知与协作）主责；任务 C 只负责公共 CLI/Registry 接线与最终串行合并。workers/effects.py、workers/leases.py 的业务改动由 B 维护；任务 A 的恢复隔离接线须交叉审查，不允许覆盖现有租约栅栏。

原设计疑问仍需形成契约：哪些事件可订阅，敏感变化发最小引用还是静默；不同 lease 信任层必须分离。只修切片使用 Refs，不因绿色 CI 自动关闭本总体验收 issue。无生产部署或真实外部通知。

依据：权威设计第 12、15 章 https://docs.google.com/document/d/1EM5Qr5qdg6tAFi2wvY0EBm6zxMj6DTBMc_dybU5qkz0/edit 。

[LIghtJUNction]

本轮已提交并合并的修复：

• Integrate reviewed #81–85 fixes with complete CI evidence #106 将 refactor(effects): share retry transitions without weakening lease fencing #98 的邮件/Webhook 重试状态机去重纳入 main；完整 CI 36349643025 已通过。
• fix(effects): fence expired notification retries without a lease sweep (#81, #85) #109 修复新的租约边界：即使尚无其他 worker 扫描，已到期/缺失租约的旧任务也不能重新排队或宣告完成；事务内保留 uncertain/expired_execution_lease，防止自动重复外发。14 个新增真实 PostgreSQL 回归覆盖 mail/Webhook、恰好到期/已过期/缺失租约、重试/完成及并发回调。完整 CI 36351982270 的四分片、汇总、conformance、build 均通过；合并提交 b1ac767。

#110 正在以更新后的 main 重新验证组合代码及逐测试 ID 的 CI 证据。以上只完成通知重试/完成切片，不把通知偏好、多来源投递、公开 SMTP/Webhook 网络故障矩阵、其余协作原语视为完成。保留本 issue，未进行生产部署或真实外部通知。

[LIghtJUNction]

最终组合验证已完成：#110 和 #113 均已合并，当前本轮交付提交为 4c46671。邮件/Webhook 重试和完成现在复用统一的事务内执行轮次/截止时间检查；正常重试次数、退避和渠道错误码不变，过期任务不自动重发。

完整 CI 36353193024 success：1,109 个测试 + 8 项 conformance 全过，零失败/错误/跳过；产物逐测试 ID 与 SHA-256 已独立核对，合并 tree 与通过测试的 tree 相同。原通知偏好、多来源投递、真实公开 SMTP/Webhook 故障矩阵和其他协作原语未因此视为完成，本 issue 不关闭。没有生产发送或部署。

[LIghtJUNction]

已按用户批准的架构收敛提交首个窄补丁 #114（head 2fc4916b6cfc36889d9c5cd0b5972b3d58166720，基于 main acc542a）：

• 移除 _claim、_finish、_retry 和公共 current_attempt 中四处 worker→market 通知状态回写。worker 只更新 EffectJob/结果，订单读取按当前买家、订单、endpoint 绑定的任务投影 SMTP 状态，商品交付/验收/结算不被邮件完成修改。
• 复用 v2/v3 的当前邮箱读取、地址校验、无凭据提货链接生成；保留 endpoint 编码/世代和各版本邮件格式。补上 v3 对控制字符及含凭据/查询/fragment 的链接源地址拒绝。
• fix(effects): fence expired notification retries without a lease sweep (#81, #85) #109/fix(effects): fence tool, Git and maintenance completions (#82, #84, #85) #113 的 attempt/state/deadline 和当前权限校验保持不变；failed/uncertain 不被读取或新通知请求复活。

本地 Python 3.13.5 的 58 个新单元用例已通过；另有2个真实应用/PostgreSQL回归进入正常全量CI。目标 Python3.15/PG CI 36392802044 正在运行，尚不标整体完成。代码不修改生产SMTP、金融状态机、schema/短码或其他分支；剩余完整通知/协作验收继续 open。

[LIghtJUNction]

新增可复现缺陷切片 #117（不关闭本项）：旧地址regex会接收 alias,buyer@example.test 等列表/注释语法，而 SMTP.send_message 默认从头字段重新推导目标，实际收件人可能不等于绑定字符串。已共享core单邮箱校验，在market当前绑定和SMTP最终发送前重验；显式singleton to_addrs，存量/验证邮件任务同样保护。无effects/leases/订单状态机/DDL变更。

本地 Python3.13.5，真实stdlib邮件解析/序列化+记录型SMTP传输：修复前73 failed/54 passed，修复后127 passed、零跳过，无外发。head 4be8a9d2c9107a3254162e1433b3478f39400fd0，目标完整CI36401618834仍在执行。需求第12/15章和源码security规则已更新；此证据不替代真实SMTP/恢复/完整通知矩阵。

[LIghtJUNction]

#117 已合并为 072776fa133dc2151edd2b77d89f7813c4c209e2；实际 main tree=ad0a3055f79470a370af680722a78562de6efa23 与最终通过head一致。最终CI36403033365下载核验：1469 core（355/386/386/342）、8 conformance、wheel/sdist，4份SHA-256与真实node-ID互斥全覆盖，零失败/错误/跳过。127新增邮箱回归全部包含在完整目标CI中。

本次仅完成单邮箱/旧任务/实际SMTP envelope边界，重用#114 EffectJob事实与当前buyer/endpoint绑定，不改变邮件失败对交易无影响的契约。没有真实外部SMTP投递，也没有生产部署；因此#81整体仍open。恢复安全组合继续在#118验证，不以邮件切片完成代替其整体验收。