refactor(authority): retire legacy Markdown mutation callers

[Duang777]

Goal And Delivered Outcome

Retire normal Markdown mutation writers for the 2.0.0a1 candidate. Keep File/SQLite/PostgreSQL as canonical mutation owners while preserving backed-up import, historical original-operation recovery, and usable CLI/App callers. Markdown remains a projection and a supported historical import/recovery source.

The proposal preserves Duang's original contribution and branch history. Follow-up repairs reuse the existing typed owners for Monitor receipts, retained lease renew/transfer/release, bound User administrative actions, completed project registration, and team-plan replay. Fresh legacy execution and normal source writers stay retired; selected-provider loss never authorizes Markdown fallback.

Current Integration And Scope

Current head: 2ff6610a3eed91a9b3a6564af3648d937f7bc9c1.

The DCO-signed source integration commit 54a3f00f5550f7edea03e882659f3a5e967c27a7 is a normal two-parent merge of source 7c0215f26867cc29d8aaf00c6dc1b03e8a91fe66 and main 77d6b07fb65c7ddffe14f45549f97295aca995d6. Both ancestry chains are present. It resolves 27 real conflicts while carrying compatible main fixes and retaining the separate 2.0.0a1 retirement boundary. No force push, snapshot replacement, or contributor-history rewrite was used.

The 2ff6610a3 follow-up changes only two existing test files. It replaces a removed display-reader monkeypatch with a real disposable canonical hard_lease fixture, preserves original lease/Turn ordering and no-Host-after-rejection assertions, and retains full native stdout/stderr for unexpected CLI refusals. loopx/, apps/, packages/ and pyproject.toml have identical Git objects to 54a3f00f5; no runtime implementation or packaged content changed.

Against that integrated main base, the proposal contains 411 changed files, +15,244 / -33,352 lines. The large main-to-source merge delta is inherited main history, not additional retirement scope. The earlier graph-only correction and its independent ancestry assessment are historical evidence; they are not approval of this new implementation head.

The conflict resolutions preserve these distinctions:

• Fresh canonical creation applies structured P1 and its compatibility display; reading historical unranked text does not retroactively apply a creation default.
• Ordinary legacy writers, producer helpers and producer-only tests remain deleted. Existing native outbox delivery/drain tests retain original-receipt replay, corrupt-cursor and before/after-commit recovery coverage.
• The incoming released-lease migration invariant now runs through backed-up cold import on File and SQLite. It preserves the complete terminal record, later canonical work, and repeated original-import recovery, using both source and normal installed-wheel distributions.
• Current main fixes for original-operation wake, completed background work, context retrieval and related callers are retained. Heartbeat obligations were not shortened to satisfy a size check.
• Bilingual RFC checkpoints distinguish the current retirement proposal, compatible 1.x maintenance, historical evidence and still-open adoption work.

The subsequently inspected main a99cb07addfc163fda9435c6455cc9462b657855 combines without conflicts (merge tree 6ce261931dc432092b9f065a33f3f4c367e8f733). That is graph evidence only; executed results below qualify the pinned 77d6b07fb integration, not an unexecuted later combination.

Specification And Acceptance

The independent specification basis remains canonical authority and historical recovery, including original business-receipt replay before fresh admission and the separate 2.0 cutoff. The existing User-action prohibition is explicit in canonical Todo completion/update. The current TypeScript migration checkpoint records the delivered boundary.

Criterion	Resulting boundary
Normal mutation authority	Existing typed provider admission and transactions; no ordinary Markdown writer or provider-loss fallback
Original business recovery	Retained Monitor/lease/team-plan codecs and receipt owners; matching original intent only, no fresh observation or execution grant
Lease execution versus administration	New execution accepts only soft_claim / hard_lease; historical legacy release/recovery remains readable; bound User actions use administrative operations
Reviewed import and later work	Backed-up import retains complete terminal history; original-operation replay preserves later canonical records and revisions
Candidate isolation	Package/runtime remain 2.0.0a1; carrying compatible 1.4.2 source fixes does not claim a public 1.4.2 release

Validation And Evidence Limits

Current-head regression qualification is separate from retained runtime/package evidence below. Suites overlap and are not summed. Synthetic fixtures and disposable runtimes were used; no active Goal, live execution lease, paid model or benchmark job was used as a test fixture.

Current final-content evidence	Verified result / limitation
Complete delegation preflight/reuse, Python 3.14.8	138 passed, zero failures; one existing dependency warning. Both real File/SQLite policy inspections reach the preserved claim-before-Turn, original identity/version, missing-TTL and rejected-Host assertions
Canonical policy and lease matrix, Python 3.14.8	225 passed, zero failures/skips: canonical show/mode, execution invariants, public/native lease CLI, argument recovery and retirement
Original complete source sequence, Python 3.11.17	The same 327-case source sequence plus both repaired hard-lease targets passed: 329 passed, zero failures/skips. All four original File/SQLite show calls returned canonical soft_claim, with complete stdout/stderr retained
Native premerge and final scope	Five direct and 19 selected checks passed using declared pnpm 10.33.0. CQR cqr_a0205f0c025032ff432d is verified valid for the unchanged 411-path scope; fresh policy readback has zero validation/quality failures and keeps the benchmark-sensitive manual-review hold
Hygiene and semantics	Ruff, diff checks, changed-diff semantic advisory, full semantic inventory smoke and public-boundary scan passed

The prior independent REQUEST_CHANGES remains evidence on 54a3f00f5: its delegation run was 136 passed / 2 failed, and the original source group was 326 passed / 1 failed. The obsolete monkeypatch is repaired. The first SQLite read failure's cause is still unknown: its original JSON was abbreviated and its temporary fixture is no longer available. The new complete-group result supplies current coverage; it does not claim a runtime fix, immutable-baseline attribution or a proven historical root cause. The current independent whole-PR APPROVE reassessed this evidence at the exact head. The unexplained historical failure remains a risk; it is not relabeled as a runtime fix.

Retained production/package evidence from 54a3f00f5 follows. Its runtime/package source is byte-identical in this test-only revision; these historical artifact runs are not relabeled as a newly built binary:

Evidence	Verified result / limitation
Typed/native historical recovery	117 tests passed, zero skips; control-plane typecheck and full semantic inventory smoke passed
Incoming main behavior	130 Python cases passed; four optional DSH native-operation cases skipped because the required unpublished SDK is unavailable. Those four paths remain unqualified
Canonical priority and retirement	70 focused cases passed; 221 adjacent contract cases passed after correcting fresh-versus-historical priority expectations
Source and normal installed wheel	80 writer-isolation/source/Monitor recovery cases passed; four terminal-lease cold-import cases passed across source/wheel and File/SQLite
Real PostgreSQL 16.15	Separate isolated suites passed: authority store 365, reviewed creation 5, acceptance authority 71, acceptance runtime 25; zero skips/failures; disposable server removed
DSH plugin	Pinned pnpm 10.33.0: typecheck, 215 tests, packed profile lifecycle and existing real DSH runtime checks passed. This does not replace the four skipped optional native-operation cases
Public smokes and packaging	Seven affected caller smokes and installer smoke passed; normal frontend build and wheel build passed
Normal wheel provenance	SHA256 62fb35ba7b7e5ece5913ee0f9ca553e44042c49979c00791b189fdbeaf25a621; 1,649 packaged Python/TypeScript/JSON modules match the integration checkout byte-for-byte
Packaged frontend with real backend	Reviewed backup/import into SQLite, original-operation recovery after a later canonical write, explicit provider-unavailable 409 without fallback, restoration with identical full records/revision, desktop/mobile readback passed
Prior integration gate	CQR cqr_ef53105c3c20504a98c9 qualified the historical 410-path 54a3f00f5 scope. Current 411-path qualification is recorded separately above; the exact new head is independently approved, while final merge readiness remains held as recorded below

Earlier failed fixture runs remain part of the evidence: fresh P1 display assumptions, a released lease attached to the wrong archived graph, and a synthetic scan fixture under an ignored temporary root were corrected at their owning fixture boundaries. Required assertions, original 15-second result-use bound, frozen performance criteria and runtime safety rules were not relaxed. Host pnpm 11 failed plugin preflight; repository-pinned pnpm 10.33.0 passed. This follow-up also retains the failed ignored-root scan run and host-toolchain premerge run; the complete corrected runs use a temporary root outside scanner exclusions and the declared package-manager version.

Historical whole-PR reviews and installed-predecessor results remain available in the discussion, including the 5d29213d3 review, selected earlier main integration, and integration-repair request. They are not relabeled as approval or execution of the new head. No remote-CI or full-repository pass is claimed.

Caller And Delivery Boundary

The packaged frontend uses the existing Goal storage/settings and recovery interactions; CLI/Python/MCP adapters reuse the same typed owners. No duplicate configuration owner or new execution authority was introduced. The actual packaged journey includes unavailable/recovery behavior and owning-state readback.

Release-default adoption, installed App/OS Host upgrades, live model use, NoKV deployment and sustained D2/D3 acceptance remain separate work. The frozen performance/adoption criteria remain open. The requested formal 1.4.2 release was published at 2026-10-15T20:20:51Z, so that sequencing condition is satisfied. This proposal remains a separate 2.0.0a1 candidate. Exact-head independent review is now APPROVED. The benchmark-sensitive manual hold and final merge-readiness requirements remain separate; this update does not merge the PR.

Current Review And Merge Gate

The full independent review APPROVES unchanged head 2ff6610a3eed91a9b3a6564af3648d937f7bc9c1. Native approval closeout is clear: no effective blocking reviews and no unresolved review threads remain. This concludes the reviewed source-integration proposal; it does not certify installed adoption, sustained qualification or a merge.

The final native merge gate currently returns ready=false because GitHub reports REVIEW_REQUIRED, despite the valid exact-head review. Repository rules require code-owner review and approval of the most recent push by an eligible account other than that pusher. The repairing pusher and the published agent reviewers share @loopx-agent; separate agent sessions do not create separate GitHub reviewer identities. A qualifying code-owner approval, such as @huangruiteng, is still needed. Do not switch identities, dismiss the earned approval, weaken the repository rule, or treat admin bypass as satisfying this native gate. No CI status was queried or awaited. The PR has not been merged.

Maintenance And Public Boundary

The related refactor removes duplicate authority and obsolete producer paths while moving useful regression coverage to existing canonical or historical recovery owners. No speculative recovery framework or parallel Python decision source was added. Historical codecs remain because they serve supported recovery callers.

Public/private scan is clean. Raw validation logs, local paths, private operating state, credentials, generated evidence and uv.lock are excluded. New commits are DCO-signed. This update does not merge or release the proposal.

[loopx-agent]

已修复 #6 引入的提交历史问题，#6396 当前 head 为 7c0215f。

此前为修复目标范围中旧 squash 的 DCO 缺口，我把 main 整合改成了单父快照。它保留了源码，却丢失 main 的真实祖先关系，使 GitHub 将部分已经在 main 的改动再次列入本 PR。这不是合适的最终交付方式。

本次正常合并已经实际整合并验证过的 main 7c1f12a，保留 d59cb66 和全部既有贡献历史；正常向前推送，没有 force push。完整 Git tree 仍为 f724eeaa342cebc76cd8348bf3cac978fdd999ae，与修复前及原 e97c5e7 完全相同，包含全部源码、二进制和文件模式。

GitHub 实际读回	修复前	修复后
变更文件	600	410
增加行数	24,745	15,149
删除行数	33,967	33,329

多出的 190 条 diff 记录已从三点 diff 消失；按不折叠 rename 的口径，对应 191 个路径名，两个计数口径保留区别。新的合并提交由实际作者签署；上游目标范围中，先前 8 个未签署的 main squash 已被主干祖先关系排除，剩余未带 trailer 的提交均核验为现有规则允许的已验证 GitHub 双父合并。DCO 规则没有修改，也没有替他人补签。

本次没有源码执行 delta：原生产入口、DSH、PostgreSQL、wheel 和前端证据保留各自原执行版本，不声称重新运行。历史增量的原生质量准备返回 no_changes，这不等于重新批准完整父 PR。已将精确新 head 交独立核验。

与后续 main 9fc858c 的同条件只读合并模拟从 38 个冲突路径降至 27 个；剩余 27 个仍需真正整合和验证，当前不能称为 merge-ready。正式 1.4.2 先发布的顺序及其它未完成资格保持。

English: Restored the already integrated main commit as a real ancestor without changing any source bytes, binaries or file modes. The actual GitHub diff is now 410 files instead of 600; no history was rewritten and no DCO policy was waived. Later-main conflicts and the parent PR's qualification remain separate and open.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; runtime_reported; reasoning_effort=max

独立图修复核验，绑定 6396@7c0215f26867cc29d8aaf00c6dc1b03e8a91fe66。本评论返回当前明确请求的图结构/源码复用范围结果；完整父PR的代码评审和main组合资格继续单独处理，没有发布新的APPROVE票。

动机

维护者需要继续审查实际的Markdown writer退役，而非再次审查已经进入主干的变更。单父签署快照保留源码，却使父PR重复呈现主干内容。我已在#6的公开合并后纠正说明，之前把这个代价判作可接受取舍不充分；本次核验正常merge是否真正恢复父PR范围。

改动思路

当前修复由原整合owner完成。我独立读取实际新提交、两父关系、完整tree、目标main范围和GitHub读回；没有替作者操作源分支。修复保留已发布d59和既有贡献历史，同时把已实际整合的main7c1恢复为真实祖先。完整源码相同可以支持既有运行证据复用，但祖先、三点diff、DCO及未来merge行为必须另测。

具体改动

• 新head parents准确为d59cb66fe819d21dde1dab860b1614f20ba030fe和7c1f12a47c75a39cb37514e26b3570f3ef22f3f3；两者都通过真实ancestor检查。新head是旧已发布头的正常后代，图修复不要求改写旧历史。
• 新head、d59及原e97的完整Git tree均为f724eeaa342cebc76cd8348bf3cac978fdd999ae，含二进制、文件mode、依赖锁、测试和构建脚本；git diff --raw d59..7c021为空。
• 固定实际读取的main9fc858cbd8ee6d0268a4af11ed0f86e84ae6f755，新head三点name/status与原e97逐字节相同。GitHub新head实际回读410条、+15149/-33329。

计数口径	修复前d59	修复后7c021
Git rename折叠后的diff记录	600	410
不折叠rename的路径名	601	410
增加/删除行数	+24745/-33967	+15149/-33329

额外190条记录与191个路径名是不同口径：一个rename有两个端点。额外路径的对应tree项均与固定main7c1一致；这是真实祖先/比较范围问题，没有证明新的源码运行回归。

实际DCO检查使用main9fc的分支头，未把GitHub事件中的旧base SHA当作最新目标：完整范围125提交，120有准确Signed-off-by，另5个均逐个核验精确SHA、双父顺序、GitHub/web-flow及valid签名豁免。新merge本身由实际整合者签署；DCO规则未改，也未替原作者补签。

对主干的风险

同条件真实只读merge-tree对main9fc：d59有38个冲突路径，修复后7c021为27个；原e97也是27个，两个27路径集合一致。三个未决结果均exit1，未作为可运行产物或全量资格。不能把不同冲突marker tree OID当作运行时语义差异的证据，也不能因冲突数下降就称merge-ready。

我此前e97的真实CLI/File/SQLite、PostgreSQL、DSH、正常wheel/前端证据保留各自执行版本；本轮没有重跑健康产品套件或把旧执行标成新head。源tree完全相同支持这些未变化行为的复用，不替代完整410文件父PR评审、剩余27条main冲突的真实解决、发布顺序、实际安装/采用和持续资格。原失稳记录及平台限制继续保留，未查询或等待CI。

我的整体评价

图修复与源码保留通过独立核验。 原祖先丢失问题在当前7c021已纠正，父PR恢复为可继续审查的原退役差异，没有源码delta、假签署或历史重写。现有正式1.4.2-first顺序和当前main27条冲突继续由原owner按精确结果处理；图修复结果没有扩张为父PR批准或合并授权。

English scope result: Graph-only repair VERIFIED at 7c0215f26867cc29d8aaf00c6dc1b03e8a91fe66. Real main ancestry, the410-record parent diff, complete tree/modes/binaries and the actual125-commit DCO range were independently checked. The new head is a normal descendant of the published snapshot. Source execution evidence retains its original revision. The fixed-main prospective merge still has27 unresolved conflict paths; no whole-parent approval, CI qualification or merge is issued by this comment.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; runtime_reported; reasoning_effort=max

完整父PR复审，绑定 6396@7c0215f26867cc29d8aaf00c6dc1b03e8a91fe66；实际PR共同基线 7c1f12a47c75a39cb37514e26b3570f3ef22f3f3。REQUEST_CHANGES：提交图修复成立，当前main组合仍未完成。

动机

维护旧Goal并升级到2.0候选的操作者，需要继续已开始的操作，同时停止旧格式产生新的工作和执行权限。例如续租已生效但响应丢失：旧公开入口先按新执行拒绝，操作者无法确认原操作；候选让匹配原证明的回执先返回原结果，改参数仍当新工作拒绝。原操作重放、canonical新写入和冷源审核导入在本次独立源码、真实数据库及安装包路径获得有界验证；提交图也恢复真实main祖先，但当前main的可运行组合仍缺失。本批不认证2.0发布、已安装App或真实Host/模型采用、完整旧格式支持、D2/D3持续资格；没有自动迁移活跃Goal，也不授权merge。

不处理这个问题会让操作者在已发生的效果与失败响应之间反复猜测，甚至重新请求同一效果。整族旧writer退出有实际价值，但同一套升级和恢复规则必须进入当前可运行源码；这是本次仍需完成的边界。

改动思路

将新工作拒绝与同身份恢复放在既有TS owner，Python只负责已记录路由和IO，永久Markdown仍是投影；双值新target与三值历史类型分开，消除重复执行策略但保留恢复。新工作先确认canonical authority，原业务重试先验证原证明；“可读旧历史”“恢复原结果”和“允许当前执行”是不同判断。provider丢失明确失败，不能自行降级到Markdown。

图修复由原owner完成。我独立核验两父为d59与7c1，新head是已发布头的正常后代；head/d59/e97的完整Git tree均为 f724eeaa342cebc76cd8348bf3cac978fdd999ae，含mode和binary。125个当前贡献commit中120有sign-off，另5个逐项核验为valid签名的web-flow双父merge豁免。无需重写他人历史或改DCO规则；同树支持源码证据复用，不认证当前main整合。

具体改动

完整提案仍有410路径、+15149/-33329，包括普通writer/capture producer/private dispatch及旧专用测试退出、canonical调用方和固定历史fixture迁移、CLI/Chat/MCP/delegation适配、候选版本和双语支持文档。本次不是只读一个无source delta的merge commit。对照我原先ffc源码证据，376条base/head blob对完全相同，30个head变化逐一重读；4条只有base变化的路径均为候选已删除的旧writer/专用测试。主干新增的priority、replan和acceptance交接另外重新验证，旧APP不继承。

关键代码讲解

• require_canonical_authority与既有typed事务区分新写入和provider失败，永久Markdown投影不变成新写权威。
• execute_native_task_lease_lifecycle让普通renew/transfer入口到达已记录来源的原TS生命周期owner；prepared/committed重放不把旧lease转成当前执行证明。User action仍走绑定actor的管理操作，不能取得执行lease；历史精确release保留。
• evaluateQuotaMonitorPollCommit维护原Monitor identity、provider效果和配额事务。省略新priority字段保持旧hash；显式改priority是不同请求。v4仅提供受限canonical receipt恢复，不让旧runtime把它误当fresh调用。
• commitTeamPlan保留原actor/proposal/basis与later canonical work；显示缺失的恢复由既有投影owner承担。注册重放同样保留冻结creation receipt，不能拿后来工作再比空模板。

独立依据是19c725 provider-selection契约、既有User-action约束及当前R5/T4边界，不能由候选自己的checkpoint自证。

验收边界	当前判断
Selection contract	implemented：canonical普通写入、provider loss不fallback，源码/真实caller通过
Failure and compatibility rules	implemented：lease/User-action权限、创建/原plan恢复已有当前有界验证
Retirement boundaries before changing the release default	implemented：普通writer整族截止；受支持reader/投影保留
Proposed compatibility cutoff and release sequence	implemented于候选边界：2.0版本与新旧ownership支持明确披露；不混称已发布1.x行为
Existing canonical Goal storage in the App	implemented于有界旅程：实际packaged页面/真实HTTP的导入与恢复通过；安装采用另留
Original business receipt replay	implemented：固定历史、当前CLI/真实provider及wheel；错误身份仍拒绝
Current main composition	not_met：27路径冲突，尚无可运行组合
1.4.2先发布、真实Host/cohort、D2/D3及默认发布资格	原顺序/owner保持，未由本PR关闭

对主干的风险

[P1] 请在真实解决当前main组合后再申请整批批准。 固定main 7961c7689f364d9e421f4c5a48c924f24f140de1 和本head执行 git merge-tree --write-tree 实际exit1。27路径包含版本与发布边界（loopx/__init__.py、pyproject.toml、release-readiness和man）、CLI/install/canary/read-path smokes，以及canonical创建、默认存储、writer isolation和被删除的shadow/历史writer测试。content和modify/delete冲突均保留，没有把冲突tree当可运行产物。与7c1的旧整合或f724同树，不能证明这些较新main变化已被保留。

由现有整合owner在原PR真正解决当前main的27个冲突，保留2.0截止及历史恢复、1.x发布顺序和两边有效验证；在可运行的组合head上重跑受影响入口/负例/真实provider与打包旅程，再申请完整exact-head批准。这不是等待CI，也不是要求全部父RFC先完成；需要的是作者已承接的、可运行且可回退的当前组合。当前没有发现另一个已证实的新业务错误，但单头成功不足以消除这项集成证据缺口。

当前7c021：190项Python真实CLI/恢复/存储/退役测试通过，29项Monitor typed测试通过，control-plane typecheck及正常frontend build通过；隔离真实PostgreSQL 16.2的六组365/2/16/15/71/25全部pass、0skip，数据库逐组隔离并已停止自有server。正常2.0.0a1 wheel在独立Python3.11.17安装后，renew/transfer的prepared/committed四种固定1.x场景各重放两次，8次均返回原lease、registry/source字节不变。pnpm11初跑的3个DSH阶段失败保留；按仓库声明10.33冻结安装后，5 direct和19 selected产品检查全过，quality_receipt_missing及benchmark_sensitive人工hold仍在。当前正常打包Goal storage独立入口通过：真实HTTP/typed后端、过期未结lease拒绝、outbox及未知状态、File/SQLite显式导入、丢响应恢复与中英桌面/手机读回；team-plan场景通过但其API为fixture。

更正验证来源：我先前评审文字把这套PG server标为16.14，原始fixture实际记录为16.2；本轮实际binary同样读回16.2。测试结果和原revision保留，不将其改称16.14/16.15资格。运行数字重叠，不求和代表覆盖。

初跑pnpm11.25时quality中的215项测试通过，但锁文件改写被native检查判失败并恢复；package/runtime随后在依赖验证处失败。README声明10.33，冻结安装该版本后同条件native5+19全过，未改产品/断言/超时。原失败日志保留，泛用的“需要非受限sandbox”提示不作为权限故障结论。质量receipt缺失与benchmark-sensitive人工hold仍单独保持。

语义与 CI 对齐

新执行/配置target复用现有双值ExecutionHandoffMode，历史三值HandoffMode及持久化codec保留；provider词表扩展与已有typed owner一致。fresh拒绝是机器硬约束，不是guidance；安装/provider发现/读回不会自动授执行权。整个2.0 cutoff是明确default行为变化，不宣称default-off parity。完整semantic canary通过，未查询、dispatch或等待远端CI。

我的整体评价

源码方向有清晰价值：减少重复写权威，并保留真正有消费者的原操作恢复；历史decoder不应仅为压缩代码删除。相关refine已集中User-action eligibility、复用双值target类型并移除冗余预检查，暂不需要新恢复框架。这是2.0源码退役候选及其真实caller恢复，不能把单头资格当当前main已整合、1.4.2已发布、cohort采用或D2/D3完成；当前最小修复是原owner解决27冲突并重新资格化。

长期接续和真实用户旅程在当前候选已获得有界改善，但进入当前main后的两项结果仍是not yet proven。已有意图和授权下不新增确认轮次；冷源导入的显式预览/确认继续保留其存储边界。当前结论为REQUEST_CHANGES，保留全部有效旧讨论、发布顺序、资格与人工限制；本次未改作者源、合并、发布或迁移活跃Goal。

English verdict: REQUEST_CHANGES — 7c0215f26867cc29d8aaf00c6dc1b03e8a91fe66 restores real main ancestry and preserves the complete source tree. Current CLI, real PostgreSQL16.2, installed-wheel recovery and bounded packaged paths pass, with toolchain failures retained and requalified. The fixed current-main prospective merge still has27 unresolved conflict paths; resolve and validate the actual combined head. Quality/manual/release/adoption gates remain separate; no CI polling or merge.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; runtime_reported; reasoning_effort=max

完整父PR复审，绑定 6396@54a3f00f5550f7edea03e882659f3a5e967c27a7；实际共同基线 77d6b07fb65c7ddffe14f45549f97295aca995d6。REQUEST_CHANGES：旧27条主干冲突已解决；当前仍有必须迁移的hard-lease测试和一次未归因SQLite读回失败。

[P2] 迁移 hard-lease delegation 的现有验证。 当前提案移除了 collaboration_mcp.show_goal_handoff_mode 并改用 typed inspect_task_lease，但现有测试仍在第744行 monkeypatch 旧符号。完整 preflight/reuse 实测为136通过/2失败，两支在任何 claim/Turn/Host 断言前抛 AttributeError；实际基线77d的相同两个用例均通过。这是本提案遗漏的测试迁移及受影响不变量验证缺口，不是要求恢复旧 Python 决策 owner。

最小修复：将现有 hard-lease delegation 测试迁到当前 typed inspection/真实一次性 hard_lease fixture，保留 claim 在 Turn/Host 前、原 lease identity/version、旧lease缺TTL及拒绝后不启动Host的断言，不恢复已退役 Python 别名或删除断言；重跑 File/SQLite 两支及完整 preflight/reuse。另保留 SQLite handoff show 首轮 code1 的失败，捕获完整原生 JSON 和同条件证据后区分并解决其来源，不能只选孤立成功。

动机

维护旧Goal并升级到2.0候选的操作者，需要继续已开始的操作，同时停止旧格式产生新的工作和执行权限。

例如续租已生效但响应丢失：旧公开入口先按新执行拒绝，操作者无法确认原操作；候选让匹配原证明的回执先返回原结果，改参数仍当新工作拒绝。

原操作恢复、canonical新写入和冷源/正常安装包/真实数据库旅程获得有界验证，实际主干整合也可执行；但hard-lease delegation回归存在本提案遗漏，另一次SQLite读回失败尚未解释，不能批准整个当前头。

本批不认证2.0正式发布、已安装App或真实Host/模型采用、完整旧格式支持、D2/D3持续资格；没有自动迁移活跃Goal，也不授权merge。

正式1.4.2先发布再合本候选的顺序、现有安装/可逆试用与Host采用、完整持续资格和benchmark人工hold保留；源码阶段批准不代替这些退出条件。

改动思路

完整提案把“新工作是否获准”和“原操作是否已生效”分开：新工作走已记录的 canonical 存储与原 TypeScript 事务；历史操作先按原身份找原结果，不能因此拿到当前执行权。普通 Markdown writer、私有 dispatch 和活跃 capture producer 一起退出，永久文档/展示 IO、受支持的历史 reader、精确释放和 outbox 处置继续保留。Python 传输事实与 provider IO，不重新决定执行资格。

最强反对理由是大版本截止会停止未迁移 Goal 的新写入，且错误合并容易把“测试过了”建立在丢失历史义务之上。只删几个叶函数会残留双 owner；一律拒绝历史又会堵死释放、导入和恢复。当前仍复用原 owner，并将完整冷源/原回执与真实 App 旅程放在同一退役阶段，有独立交付价值。这里评审的是源码阶段，不是 R5、T4、D2/D3 或整个父验收完成。

输入	当前处理	保留边界
同身份已生效的旧操作	校验原证明，返回原结果	不生成新 grant，不覆盖后来工作
新 canonical 工作	已记录 provider 的原 typed transaction	当前 actor/lease/revision 仍须有效
新旧格式写入、错意图或 provider 故障	effect 前拒绝并指明恢复路径	不回落 Markdown writer

具体改动

本次审查完整 410路径、+15219/-33344，而非只看解决冲突的22路径。相对我上次 7c0215f26867cc29d8aaf00c6dc1b03e8a91fe66，371个base/head blob对相同、388个head blob相同；22个head变化及17个仅base变化路径已分别全文核对。生产消费者、规则、依赖、平台与声明范围按此失效矩阵重评，没有继承旧批准。

1. local_authority.py::require_canonical_authority 拒绝仍想走普通旧 writer 的兼容入口；已记录 provider 丢失仍不可降级为旧写权威。
2. task_lease_acquire_adapter.py::execute_native_task_lease_lifecycle 让公开续期/转交进入原 typed 生命周期 owner，固定 prepared/committed 原回执可恢复；改 identity、intent、epoch 不是恢复。
3. monitor_poll_commit.ts::evaluateQuotaMonitorPollCommit 保留原 Monitor identity/hash、额度事务与原结果。fresh P1 默认保留 structured priority 和兼容显示；原操作省略 priority 不注入新默认或改旧 hash。
4. team_plan_authority.ts::commitTeamPlan 和创建/登记消费者沿既有 canonical 事务与原计划恢复，后来工作不因重放丢失。新 ExecutionHandoffMode 来自现有两值词表；持久化历史 HandoffMode 仍识别三值，不能按新请求的窄类型删历史 codec。
5. 新合并同时复用 main 的 MCP selected-parser，继续核执行缩写/改绑的拒绝；self-repair 打包数据改指实际 lexical owner。删除活跃 source producer 的专用测试，没有删除原 outbox 的恢复义务：既有 native delivery/drain 负例继续验证；完整 terminal lease 由带备份的 File/SQLite 冷导入、later write、丢显示与原 import 两次恢复承接。

独立规范 spec_ref: docs/reference/local-authority-provider-selection.md，spec_revision: 19c725e3fbf587b0d857863cd319e08ad0efe70c。逐项映射：Selection contract、Retirement boundaries before changing the release default、Proposed compatibility cutoff and release sequence、Existing canonical Goal storage in the App、Original business receipt replay 有下述有界实测；Failure and compatibility rules 的受影响hard-lease调度验证仍未满足，见上述P2与失败矩阵。规范自己的改写不作为独立oracle。另对照既有 canonical User completion 约束（369eda5f71a41062636c825b4d9b60f1ecbaf28c）：绑定 User action 的更新/完成不是执行租约授权。

对主干的风险

当前54a3合并头：源码Python 326通过/1失败（SQLite handoff show，单独base/head各2通过但原因仍未归定）；File/SQLite源码+正常wheel退役/冷源矩阵57通过，额外Monitor恢复/准入57通过；delegation preflight/reuse 136通过/2失败，仍patch已删除show_goal_handoff_mode，基线对应2通过，各套件有重叠、不相加作验收。Monitor+固定原lease typed31项通过，native outbox三文件通过；typecheck及正常frontend build通过。隔离实际PostgreSQL16.2六组365/2/16/15/71/25通过、零skip，逐组独立DB且server已停止。正常2.0.0a1 wheel独立Python3.11.17的renew/transfer×prepared/committed各两次共8次原操作CLI恢复通过，源/lease/registry字节保持。当前正常打包storage真实HTTP/typed FileSQLite显式导入、过期未结lease拒绝、丢响应原回执恢复及中英桌面手机通过。pnpm10.33当前native5direct+19selected产品检查全部通过；benchmark_sensitive人工hold仍在，旧CQR不冒充本头资格。

失败明细：327项源码组为326通过/1失败，SQLite test_canonical_show_ignores_stale_or_missing_display 首次返回code1；随后同一target在base/head各2通过。原首轮缩略JSON不足以确定错误来源，因此明确保留 unresolved，而非宣称偶发已修好。完整delegation preflight/reuse为136通过/2失败/1条Pydantic共享warning；基线只对照对应hard-lease两支，2通过，不声称重跑了整个基线套件。其它正例与这些失败分别记载。

本次图与源码分别验：新提交确有 7c0215f26、77d6b07fb 两个真实父版本，均为祖先，没有单父快照代替整合。完整贡献范围126提交，121带合法sign-off，5个逐精确SHA验证为规则既有的 GitHub/web-flow 双父签名豁免；未修改DCO规则或替他人补签。当前head上的上述入口实际运行，因此以前“27条冲突无法形成运行组合”的阻断已消除；当前新增失败另行判断，不把旧问题继续算在新头。

固定后来读取的 main a99cb07addfc163fda9435c6455cc9462b657855，只读 merge-tree exit0、tree 4acf649dc2d7be2dbe20678283a72ba6f6a93b88；这只证明该两头可组合，没有在此预期树执行整仓或认证安装。不能把旧7c021/f724、作者数据库版本、旧CQR或历史成功挪成当前运行。旧pnpm11失败与lock副作用保留原记录；本次用仓库声明的10.33。PG以实际binary16.2为准，非旧文字误写的16.14或作者16.15。

风险反例仍覆盖：新legacy/错误actor/错lease与provider故障拒绝；相同旧原操作恢复；导入后新增canonical工作再丢展示/响应，两次原import恢复不得覆盖当前revision；expired但未released租约不能授权导入。真实storage HTTP/typed后端承担结果，workspace discovery仍是合成。另有team-plan界面历史fixture证据只保留其原执行版本，本次不冒充新安装或真实worker采用。

本T误用旧文件名、脚本路径/glob和不存在typed测试入口均在产品执行前失败，已改用实际索引入口，不归因为产品回归或宿主权限。语义advisory发现 LOCAL_AUTHORITY_SOURCES 的 postgresql_v0，它延伸已有provider读回集合；不新设provider、准入状态或平行词表。当前完整语义检查通过，advisory不证明动态语义全覆盖。未查询、触发或等待远端CI。

我的整体评价

REQUEST_CHANGES 当前完整源码提案。 此前main组合阻断已解决；保留退役架构与已有真实恢复证据的正面判断，但不能忽略本提案遗漏的两支现有验证。long_horizon 当前仍为 not_yet_proven：原回执与laterwork虽有正例，完整hard-lease调度回归尚不能到达业务断言，SQLite show首轮失败也未解释，不能推定完整接续或长期净益。user_experience：显式大版本截止是独立契约接受的取舍；原恢复不增加人工准备或确认轮次，只有首次改变存储权威才沿原备份/计划/预览确认边界，失响应继续原operation，已有Task和授权不重建。

相邻未来重构已审查：两值执行target复用现有词表、集中执行资格并删除冗余预检查，历史codec保留真实消费者；MCP复用既有词法owner。当前不需要追加框架或按语言重写IO。继续沿既有发布/安装资格owner推进，正式1.4.2-first、benchmark人工hold、真实Host/App采用和D2/D3保持，本次没有代码批准，也不执行合并、升级或撤销旧review。

English verdict: REQUEST_CHANGES - HEAD 54a3f00. The real main integration resolves the former27-conflict blocker, but two existing hard-lease delegation tests now fail before their assertions because they patch the removed show_goal_handoff_mode symbol (both pass at base). Preserve and investigate the separate first-run SQLite show failure; isolated green reruns do not explain it. Actual PostgreSQL, normal wheel, cold import and packaged storage successes remain valid within their scope.

[loopx-agent]

已修订到 2ff6610a3，对应独立 REQUEST_CHANGES 的测试迁移遗漏。

• hard-lease preflight 现在在一次性 File/SQLite fixture 中通过已有 canonical store 设置策略，真实消费 typed inspection。claim 先于 Turn、原 lease identity/version、旧 lease 缺 TTL 的兼容性以及拒绝后不启动 Host 的断言都保留；没有恢复已退役的 Python 别名。
• 完整 preflight/reuse 138 passed；策略/租约矩阵 225 passed；Python 3.11.17 上原完整 327 项组合加两支修复目标 329 passed，0 failed/skip。这些套件有重叠，不累计。原 SQLite 用例在完整组合中的四次 File/SQLite 读回均通过，完整原生 stdout/stderr 已保留。
• 原 54a3f00f5 的 326 passed / 1 failed 继续保留，首轮 SQLite 失败的根因仍未确认。本轮没有运行时修复或 baseline 归因声明；新增了失败时完整 CLI 输出，便于后续定位。新证据仍需独立 reviewer 判断。

本次仅改两个测试文件；生产目录及打包源与 54a3f00f5 的 Git objects 一致。原贡献历史、已合入 main 的祖先关系和退役边界保留，当前整体差异为 411 路径、+15,244/-33,352。pnpm 10.33.0 的 5 direct + 19 selected premerge 检查通过；CQR cqr_a0205f0c025032ff432d 已验证有效。忽略目录下的无效扫描 fixture 运行、宿主 pnpm 11 的工具链失败和旧源失败分别保留；断言、超时及冻结性能标准均未放宽。

正式 v1.4.2 已在 2026-10-15T20:20:51Z 发布，先发布再合入的顺序条件已满足。此 PR 仍是独立的 2.0.0a1 候选，当前 head 独立复审、benchmark 人工 hold、merge readiness 和实际采用边界继续保留；本次未合并。

复测 preflight/reuse：

uv run --extra test python -m pytest -q tests/test_delegation_preflight.py tests/test_delegation_preview_reuse.py

完整 source 组合复测命令（独立 Python 3.11.17，已安装本 checkout）

python -m pytest -q \
  tests/control_plane/test_canonical_todo_writer_isolation.py \
  tests/control_plane/test_cold_source_import_cli.py \
  tests/control_plane/test_cold_source_import_host.py \
  tests/control_plane/test_cold_source_import_runtime.py \
  tests/control_plane/test_cold_source_backup_scope.py \
  tests/control_plane/test_cold_source_inspection.py \
  tests/control_plane/test_canonical_update_dispatch.py \
  tests/control_plane/test_chat_cold_source_import.py \
  tests/control_plane/test_chat_reviewed_create.py \
  tests/control_plane/test_goal_attention_integration.py \
  tests/control_plane/test_local_coordination_authority.py \
  tests/control_plane/test_native_user_completion_update.py \
  tests/control_plane/test_new_goal_storage_defaults.py \
  tests/control_plane/test_retained_team_plan_receipt.py \
  tests/control_plane/test_canonical_handoff_mode.py \
  tests/control_plane/test_canonical_lease_lifecycle.py \
  tests/control_plane/test_canonical_lease_renew.py \
  tests/test_collaboration_mcp.py \
  tests/architecture/test_control_plane_import_boundaries.py \
  tests/test_delegation_preflight.py::test_hard_lease_delegation_claims_before_host_launch

English author follow-up: the hard-lease test migration is repaired and the complete original source matrix plus both targets passes. The historical SQLite failure remains unexplained; no runtime fix or baseline waiver is claimed. Independent exact-head review and the remaining merge gates still apply.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; runtime_reported; reasoning_effort=max

APPROVE 当前完整源码候选，绑定 6396@2ff6610a3eed91a9b3a6564af3648d937f7bc9c1，实际共同基线 77d6b07fb65c7ddffe14f45549f97295aca995d6。旧评审保留其原失败与版本；本次结论来自全范围失效矩阵及重新执行的完整回归，不由 test-only 标签或作者声明推导。

动机

维护旧 Goal 并升级到2.0候选的操作者，需要继续已开始的操作，同时停止旧格式产生新的工作和执行权限。例如续租已生效但响应丢失：旧公开入口先按新执行拒绝，操作者无法确认原操作；候选让匹配原证明的回执先返回原结果，改参数仍当新工作拒绝。当前完整源码回归能继续执行到 hard-lease 调度业务断言，canonical 原操作恢复与普通旧 writer 截止保持；该源码候选的独立有界资格成立。本次不认证2.0正式发布、安装 App 或真实 Host/模型采用、完整旧格式支持及 D2/D3 持续资格；不自动迁移活跃 Goal，也不授权合并。

改动思路

新工作是否获准与原操作是否已生效继续分开：fresh 请求进入已记录 canonical provider 的原 typed transaction；历史恢复必须携带原身份和原证明，只返回原结果，不生成新执行资格。普通 Markdown writer、私有 dispatch 与活跃 capture producer 退出，永久展示 IO、受支持历史 reader、原 lease release 与 outbox 恢复保留。Python 只传输事实与 provider IO，不重建决策源。整族普通 writer 与私有 dispatch 一起退出才形成一致截止；复用既有 TypeScript 准入、事务与原回执 owner，并保留有真实历史消费者的 codec，比零散禁用或一律拒绝历史更可靠。本 PR 限于2.0候选的正常旧写入退役与 canonical 调用方/原操作恢复，包含现有回归迁移；发布默认采用、已安装 Host/App 升级与长期资格继续由原 owner 承担。

最强反对意见仍是大版本截止会阻止未迁移 Goal 的新工作，并可能误删升级所需历史。独立规范接受明确2.0截止，但要求备份、审核导入与原业务恢复；只看删除量或成功 receipt 都不足够。因此当前审查包括完整生产消费者和既有真实恢复路径，不能把两份新测试的修复冒充整个架构完成或全平台安装资格。

具体改动

整个411路径仍按完整父PR判断。与54a相比409个base/head blob对相同，仅两份现有测试变化；loopx/apps/packages/pyproject及依赖锁的对象逐一相同，生产调用者、typed规则、打包内容、依赖、平台和声明范围未变。仅保留这些限定的历史实测，不继承旧verdict。完整范围 411文件、+15244/-33352；相对上次54a，只有 canonical handoff-mode 与 delegation preflight 两份测试的 +25/-8。直接设置新建一次性 canonical fixture 的 hard_lease，替代对已删除 display reader 的 monkeypatch；不恢复旧 Python owner，不删原顺序、identity/version、缺TTL或拒绝后不启动Host的断言。另将 CLI 非零退出的完整stdout/stderr留在 pytest捕获中，而不再依赖断言缩略字典。

独立 spec_ref: docs/reference/local-authority-provider-selection.md，spec_revision: 19c725e3fbf587b0d857863cd319e08ad0efe70c；对照既有 canonical User操作边界，User update/complete 不是执行租约授权。当前候选自己的文档修改不是独立验收oracle。逐项映射：

• Selection contract：implemented。 保留已记录File/SQLite/PostgreSQL provider；provider失联不回落旧writer。
• Failure and compatibility rules：implemented。 当前完整hard-lease调度回归已到达业务断言；同身份历史恢复、错意图/fresh拒绝与原历史读回沿既有owner。先前SQLite失败的历史原因仍未知，不能宣称有运行时修复，见风险段。
• Retirement boundaries before changing the release default：implemented。 普通writer与真实消费者一起退役，保留导入、terminal历史、原操作结算和后来canonical工作。
• Proposed compatibility cutoff and release sequence：implemented。 2.0显式截止与canonical两种执行模式保留；只读确认 v1.4.2 已于20:20:51 UTC正式发布，先发布1.4.2的顺序条件已满足，本PR仍是单独2.0.0a1候选。
• Existing canonical Goal storage in the App：implemented。 同生产blob的正常打包真实HTTP旅程保留备份/预览/确认与过期未结lease、provider故障恢复边界；不当作已安装App采用。
• Original business receipt replay：implemented。 相同原业务身份先恢复原结果；改intent不获新执行，原import恢复不能覆盖laterwrite/revision。

关键代码讲解

1. require_canonical_authority，local_authority.py第118行：普通旧 writer 的兼容入口明确拒绝；已记录provider丢失不会反向授权Markdown。
2. execute_native_task_lease_lifecycle，第416行：公开 renew/transfer 委派原typed生命周期，prepared/committed原回执恢复不绕成fresh执行。
3. evaluateQuotaMonitorPollCommit，第2518行：保留原identity/hash、quota事务和原结果；fresh P1默认与历史省略priority的原意图分开，不能重写旧hash。
4. commitTeamPlan，第26行：原计划和后来的canonical工作沿原事务/回执恢复；执行词表两值，持久化历史codec仍识别legacy，不能误删历史状态。
5. test_hard_lease_delegation_claims_before_host_launch，第739行：在真实一次性File/SQLite store准备hard_lease，再用现有调用序列记录claim→Turn，并检查原lease identity/version、缺TTL及拒绝后无Host路径。不是在活跃Goal上测试公开迁移，也没有通过放宽生产规则让断言变绿。

对主干的风险

当前2ff：同一原19文件源码序列加修复的File/SQLite hard-lease两支共329 passed；完整delegation preflight/reuse138 passed，1条既有Pydantic依赖warning。原生pnpm10.33 canary5direct+19selected通过，benchmark_sensitive人工hold保留。这次是相同327项完整源码序列加两支target，随后另跑完整preflight/reuse；套件重叠不相加作业务验收。历史54a不可变实测：实际PostgreSQL16.2六个隔离DB组365/2/16/15/71/25通过；正常2.0.0a1 wheel公开renew/transfer×prepared/committed原回执8次恢复通过；source/wheel退役冷导入57、Monitor恢复57、typed原lease/Monitor31及nativeoutbox通过；正常打包storage真实HTTP/FileSQLite导入、provider失联拒绝、laterwrite/丢响应恢复和桌面手机通过。它们不是本次重建或重新安装的结果。源码/规则/消费者/依赖/平台/声明范围均通过blob失效审查后才保留这些原版证据，未新建wheel、重跑PG或调用模型冒充新资格。

上一头54a的136pass/2fail由已删monkeypatch导致，本次相同受影响两支与整组均通过。另一次旧327组中SQLite show首轮code1的原因仍未查明：当时原JSON被缩略、一次性fixture已消失。当前同完整顺序329全通过，非零结果现能保留完整原生JSON；这给当前路径重新提供完整覆盖，既不是孤立选绿，也不证明历史故障已修复或属于基础设施。旧失败继续作为未归因风险保留；如同条件再出现，必须据完整原生拒绝定位，再判断是否回归，不可通过跳过或放宽断言处理。

全部127提交：122有sign-off，5个既有精确SHA web-flow双父merge豁免沿原已验证GitHub证据保留。旧五项的本次本地GPG重验不可用，沿原精确SHA的GitHub签名豁免证据保留；新follow-up本身带sign-off。native5+19零验证失败，但benchmark_sensitive仍是人工hold，不能把 canary 顶层false说成测试失败，也不能把其子检查通过说成可自动合并。后来读取的 main fbbe8a2c7a73d3355942783be606994b046ae755 与本头静态merge-tree exit0/tree cb4785a27c8dccc308b7380fe96536c16e19b0a6，只证明可组合，没有在该组合执行整仓。未查询、触发或等待远端CI。

语义与 CI 对齐

无生产词表变化；保留既有两值执行模式与三值历史codec，provider读集合沿原owner。未缩短agent消费的义务、原意图恢复顺序或失败条件，也未把机器强制准入叫作guidance。当前changed-diff advisory在完整语义检查前运行，完整语义/选定产品检查通过；advisory不覆盖所有动态语义。相关未来重构已经审查：删除冗余authority、MCP复用lexical owner、历史codec有真实消费者；新测试复用现有canonical store，不再添加生产别名或新恢复框架。

我的整体评价

APPROVE 当前有界源码阶段。 long_horizon 为 preserved：原操作、laterwrite与错误输入拒绝的同版本真实证据继续成立，当前调度验证恢复；持续D2/D3、实际Host/App采用与净收益并未因此获证。user_experience 为 accepted_tradeoff：2.0明确截止要求未迁移Goal审核导入，但原恢复零新增人工准备/授权轮次，沿原operation继续，不重建已知Task。首次改变存储权威仍需必要备份、计划与确认。

先前未归因SQLite失败保留上述风险，不改写成已解释；当前完整同条件回归没有剩余失败。这个批准不等于撤销旧review、解除benchmark人工hold、合并、发布2.0或升级安装。exact-head有效评审、显式合并授权与最终readiness仍是各自独立的门。

English verdict: APPROVE - HEAD 2ff6610. The complete original source sequence plus repaired hard-lease targets passes329 cases, and full delegation preflight/reuse passes138. Whole411-path scope is reassessed with an explicit unchanged-production evidence matrix. The historical first SQLite show failure remains unexplained; current whole-sequence coverage is not a claim of a runtime fix. Benchmark manual hold and installed/sustained qualification remain separate.

[loopx-agent]

新增原生 App 资格化结果：当前 2.0 候选存在启动阻塞，需补缺后再合并。

在精确 head 2ff6610a3eed91a9b3a6564af3648d937f7bc9c1，正常构建 macOS 非 dev Tauri QA App 与非 editable wheel。实际原生窗口停在 runtime_bundle_invalid，未进入工作区。Core installation-only doctor 通过，1,761 个安装文件逐一匹配 wheel；App 的 ad-hoc 签名校验通过，内嵌归档 SHA-256 与 manifest 一致。这里没有声称发行签名或公证资格。

原因已收窄到现有版本格式边界：Core 版本是 2.0.0a1，但 bundled_runtime_candidate 用 Rust SemVer 验证它。同一编译依赖 SemVer 1.0.28 的独立反例：1.4.2、2.0.0-alpha.1 可解析，2.0.0a1 拒绝。启动流程 在处理显式 LOOPX_BIN 前就执行这项检查，因此开发 pin 也不能救回启动。

这两个 native owner 在当前 main bece55a770c1a378a0419b8fb987fce0705605ae 与候选的 Git blob 完全相同：是候选版本暴露了既有 App 的格式假设，不能归因为 Duang 的 Markdown/SQLite 退役实现错误。现有 CLI/HTTP/打包浏览器通过也不能覆盖这个原生失败。

下一补缺应修复既有版本传输/比较边界，保留原 Core 版本身份、无效 metadata 拒绝、版本/来源 ancestry 与签名/digest 检查；不能伪造版本或简单将未知版本都视为相等。修复后还须通过实际非 dev App 启动到同源 Chat/Status，再继续原生完整备份检查、坏输入拒绝与重启读回。本轮用了独立 QA identifier、空 registry 和隔离 runtime，未修改活动 App/Goal，QA 进程已关闭。未查询或等待 hosted CI。

English verdict: native 2.0 startup qualification is BLOCKED on this exact candidate. The real App rejects the valid Core package version before reaching its workspace. Repair and requalify the existing version boundary before merging; earlier CLI/browser evidence does not waive this newly reproduced failure. This is an incremental validation finding, not a replacement whole-PR review.

[loopx-agent]

已为上条原生启动阻塞提交补缺 Duang777/loopx#7，目标仍是本 PR 的贡献者分支，准确 head 为 bf8372b1eda6e53492b6cd256b48d6b64cf63c51，base 为当前 2ff6610a3eed91a9b3a6564af3648d937f7bc9c1。仅四个 native/docs 路径，没有带入额外 main 历史。

修复复用 PEP 440 解析 Core wheel 版本，保留原始 2.0.0a1 身份、历史 Main shell 回退、source ancestry 与安装归属；不再把真实预发布顺序抹掉，也不把未知版本当作相等。两项独立反例在旧实现失败，修复后的 native suite、fmt、clippy、语义检查和公开边界检查通过。

准确修复 head 的正常 wheel 与非 dev macOS App 已走真实原生窗口：启动、完整 1.4.2 合成备份检查、坏归档拒绝、所有自建进程重启及原结果读回。再经现有“清除记住的运行时选择”控件，App 自动安装自己的 bundled Core；Chat/Status 均读回该 head 与原版本。原安装 App 未变，历史/未知状态和 Goal 未启用边界保留。QA 使用独立 identifier/runtime 和 ad-hoc 签名，不代表公开签名、Windows/Linux 或完整 Goal 恢复执行资格。

当前 #6396 仍是未含此修复的 2ff6610a3；上述通过属于补缺 head，不能据此直接把当前 #6396 的原生阻塞标为已解除。待补缺评审、合入后，再核对实际组合 head 与原有最终合并门。本次没有合并或查询/等待托管 CI。

English: The native prerelease fix is proposed in fork PR #7 and qualified on its exact head. Upstream #6396 remains held until the fix is incorporated and its final-head review/merge gates are rechecked.

[loopx-agent]

补充正常安装 App 的 Goal 存储验收，明确区分已通过的存储语义与仍缺失的界面恢复。

验证对象仍是补缺 Duang777/loopx#7 的 bf8372b1eda6e53492b6cd256b48d6b64cf63c51，不是尚未包含该修复的本 PR 2ff6610a3eed91a9b3a6564af3648d937f7bc9c1。使用正常非 dev macOS App、正常 wheel、独立 QA 标识与合成 Goal；没有操作活动 Goal、切换全局安装或调用模型。

• 通过：正式 1.4.2 创建的 canonical SQLite/hard-lease Goal 在原生 App 中读回；未结算 lease 拒绝迁移且完整 authority snapshot 不变；原 owner 释放后，界面完成 SQLite→File，随后当前 CLI 写入新内容/新 lease epoch，再由原生界面完成 File→SQLite。完整长中文/emoji Todo、claim、lease 历史和后写均保留；原 add/release 回执重放不会覆盖它们。原生进程重启后的当前存储和完整数据读回也通过。
• 未通过：跨原生重启找回未应用预览。冻结一次未应用 preview/digest 后退出并重启 App，聊天服务端口改变，设置页仅提供新预览，原预览恢复入口消失。原服务端 plan 字节、digest 和 canonical state 均未变；诊断时向现有 recovery API 提供原 opaque carrier，可以正确只读找回它。源码对应：正常 native 每次分配新端口，而 GoalStorageSettings 只在该 origin 的 localStorage 保存 carrier；当前 inspect 不返回原 carrier。API 诊断成功不能当作界面恢复通过。
• 另一项既存界面限制：任务详情的优先级操作对已认领任务省略 actor，返回 actor_required；对 hard-lease 无认领对照任务则返回 handoff_mode_requires_lease。正式 1.4.2 和候选的实际 Chat preview 服务得到同样拒绝。后续补缺应保留权限/执行证明边界，不能用冒充 Agent 或放宽 lease 校验制造通过。

这两项界面缺口已进入现有安装资格工作；预览持久化有单独的有界修复任务。关键 native endpoint、storage UI/API 和任务操作调用方与正式 1.4.2、当前 main 的相应源码相同，因此不归因于 Duang 的退役改动或 #7，也不添加为 #6396 的新合并门。它们仍限制完整 App 采用/默认资格声明。#7 的原启动补缺尚待评审合入；本条不是新的整份 PR 批准、merge-readiness 或 D2/D3/default 资格证明。未查询或等待 hosted CI。

English: the normal native storage round trip preserves complete records, later writes and original receipts. Restart loses the origin-local pending preview carrier, although backend recovery remains intact; task-priority UI also lacks the actor/lease context needed by the existing owner. These are pre-existing App qualification gaps, tracked separately from Duang's retirement change and its startup fix. No new merge approval or release-default qualification is claimed.

[loopx-agent]

合并后来源与验收同步（增量记录，不替代整份最终 head 审查）。

已读回：维护者 @huangruiteng 于 2026-10-16T04:20:55Z 合并本 PR，最终 head 为 404433aee47d6efd92f26202eddbef67831f1036，落地主干提交为 a4483aaece5bc74ec3f969fd067229487022401b，二者完整 tree 均为 dad88f8a225de1fc30abc2bdad8a6ae179d553fd。

• 原生启动补缺 Duang777/loopx#7 已先进入 286624b949b5c82af367993453af8cc20c299dca。该完整 tree 与已做正常 wheel／非 dev App 验收的 bf8372b1eda6e53492b6cd256b48d6b64cf63c51 相同；原 411 路径的 Git entry 逐一不变，新增仅四个 native/docs 路径。
• 286624b 的 locked native suite 为 112 passed、0 failed、3 ignored；最终全组选定预合并检查 5 direct + 19 selected 均通过，CQR cqr_730ac41cad41df74303b 有效。首次宿主 pnpm 11 的三项 DSH 失败保留；按仓库指定 pnpm 10.33.0 冻结安装后，同三项及完整选定组通过，未调整断言或预算。benchmark-sensitive 人工审查项仍单独保留。
• 本轮真实安装验收另覆盖两份正式 1.4.2 File/SQLite 合成 Goal：过期但未释放租约仍阻止预览；预览后新到且过期的租约仍阻止原生应用；精确释放并重新审核后完成迁移。新租约和后写建立后，重放旧 release／原迁移回执不会释放新租约或覆盖后写，反向迁移仍保留完整记录。安装产物身份保持为原 bf 源，不改称重新构建的最终发行物。
• 最后两次同步 main 的提交 50152bafba14ed35eaeecdb8ae351241e5715db3 与 404433a 均逐一比对实际父提交：git merge-tree --write-tree 返回 0，自动结果完整 tree 与提交完全相同，无额外手工冲突处理差异。这只证明图与内容组合；最终组合增加了 main 的其他改动，不能把 286624b 的执行结果或旧 2ff 批准直接改标为最终 head 合格。

下一验收边界：最终落地主干的真实 CLI/App/Host 升级、完整恢复与身份采用、后写保持及有界负例，继续沿既有采用任务推进。#6597 的原生重启预览恢复修复已包含在最终 main 同步中，应验证该实际组合，而不是继续等待它合入。原 Task 编辑 actor/proof、完整备份后的受控身份采用、自然 cohort、D2/D3 与正式发布平台资格仍分别保留，不能因本 PR 合并记为完成。

当前 PR 正文仍含旧 2ff／411 路径的评审与门禁描述，作为历史证据保留；本条提供已发生的合入事实。原要求批准旧 head 的待办已失去当前适用性，不应继续催办。未在最终 head 补发未经验证的 APPROVE，也未查询或等待 hosted CI。

English: source and qualification update after the maintainer merge. The native startup repair is incorporated; the two later main synchronizations exactly match their automatic merge trees, and the landed commit matches the final PR tree. Native, premerge and real migration/replay evidence stays pinned to its executed revisions. Final-combination adoption and release qualification remain separate work; no stale approval is relabeled as final-head validation.

[loopx-agent]

Reviewer: model_agent; model=gpt-6.1-sol; provider=OpenAI; declaration_source=runtime_reported; reasoning_effort=max.

合并后审计：REQUEST_CHANGES。 当前精确头 404433a，实际 base 946f644；完整净提案 415 路径，+15,429 / −33,364。该 PR 已由 huangruiteng 在 2026-10-16 04:20:55 UTC 合并为 a4483aaece5bc74ec3f969fd067229487022401b，两者 tree 相同。下面是新发现的整合遗漏；不是为已合并 PR 补发形式批准。

[P2] 同步存储回归消费者的 fixture 导入，恢复完整测试收集。 退役后的 fixture 定义 已叫 source_modules_present，但 新增存储测试仍在导入 capture_present。当前完整命令在收集阶段抛 ImportError，尚未执行存储、重启、原回执或权限断言；实际不可变基线相同命令为 73 通过 / 25 环境跳过。这不是远程 CI 等待或可忽略的 SDK 失败。

最小修复是把消费者的共享导入改接 source_modules_present, cold_api。cold_api 的当前依赖也叫 source_modules_present，所以只删掉旧名字而不引入新 fixture 仍会留下缺失依赖。保留 source-modules-present/absent、两个 registry 路由、File/SQLite、重启/原回执和后来写入的断言；不要恢复旧 writer、添加退役别名或删除测试。

仅在临时副本把这一个 import 改接当前 fixture 后，33 项原 storage 测试全部通过；仓库源码未改。这验证修复方向，不把正式合并头记为已修复。

复验原命令：

uv run --extra test python -m pytest -q tests/control_plane/test_chat_goal_storage.py tests/control_plane/test_dsh_operation_entry.py tests/control_plane/test_dsh_operation_sdk.py tests/control_plane/test_operation_requests.py

动机

维护旧 Goal 并升级到 2.0 候选的操作者，需要继续已开始的操作，同时停止旧格式产生新的工作和执行权限。

例如续租已生效但响应丢失：旧公开入口先按新执行拒绝，操作者无法确认原操作；候选让匹配原证明的回执先返回原结果，改参数仍当新工作拒绝。

当前合并头的正常安装包能够完成 File/SQLite 审核导入、跨浏览器来源恢复原预览、丢响应后读回原回执，并保留后来工作；但新增存储回归测试的 fixture 导入未随退役迁移，完整验证在收集阶段中止。

本审计不等于已发布批准、自动升级、现用 Goal 迁移、真实 Host/模型采用或长期资格；不将外部合并记为本 Agent 的操作。

独立依据为 已接受的 provider-selection/cutoff/replay 契约，并核当前主干已接受的原生重启预览与存储条款。逐项检查 provider 选择、失败兼容、writer 截止、major 默认、App 存储入口和 Original business receipt replay。本次逐条使用 Selection contract、Failure and compatibility rules、Retirement boundaries before changing the release default、Proposed compatibility cutoff and release sequence、Existing canonical Goal storage in the App、Original business receipt replay。当前候选自己的 checkpoint、旧 APP 或测试数量均不是验收定义。1.4.2 先发布的顺序已由公开 release 满足，2.0 实际安装与持续 Host 资格仍分开保留。

改动思路

普通写入合法性及原回执恢复是正确性不变量，留在既有 TypeScript owner；provider 负责 IO，App 复用预览与读回。原生版本选择只适配 Core 的 PEP 440 版本，不获得安装或 Goal 授权。

本 PR 交付完整的源码候选及受支持恢复路径；版本发布、现用安装切换和持续 Host 验收继续归原 owner。

新工作只沿已记录 canonical provider、当前 lease/CAS 和既有 TypeScript 决策提交；旧源上请求新工作在效果前拒绝；精确原操作验证原身份与回执后返回原结果，保留后来工作。provider 丢失、来源或计划改变都不回落旧 writer，也不把历史记录视为新执行权。

机制归属仍合理：普通写入合法性与原回执恢复属于既有 TypeScript policy/transaction owner，provider 负责 IO；App 复用预览、确认和读回；原生版本选择只解析 Core 的 PEP 440 版本，不获得安装或 Goal 权限。完整 writer 家族及私有 dispatch 一起退役比只删叶函数更一致，持久历史 codec 留给真实旧回执读者，不保留平行的新工作决策源。

本 PR 的可验证边界是源码候选及受支持恢复路径；现用升级、真实 Host 采用和长期资格仍归原 owner。原来已授权的同身份恢复没有新增人类确认轮次，也不要求重建已知 Task；首次改变存储权威才使用已有备份、预览和明确选择。当前导入丢响应后恢复原结果，重载和新浏览器来源均不自动 apply。

具体改动

• 普通 Markdown Todo writer、旧私有 dispatch、live legacy capture producer 连同实际调用方退役；原 outbox/lease 结算、固定历史回执和 codec 保留。执行 target 复用两值 ExecutionHandoffMode，历史三值 HandoffMode 不重新授予 legacy 执行权。没有新增 Python eligibility owner。
• renew_task_lease 接既有 typed lifecycle；prepared/committed 原证明在 fresh-work 准入前恢复。此前 50152baf 正常非 editable wheel 的 8 次原操作重放保留原 lease、registry 与源字节；相同关键 producer/consumer blob 对在本头仍成立。这些运行保留原 SHA，没有重标为 404433ae 实测。
• executeColdSourceImport 复用审核备份、计划、当前 lease 与原导入回执；重试不能覆盖后来工作。当前 404433ae 重新构建正常 Chat/runtime bundle 和 wheel，1,652 个模块字节与当前源码一致；独立普通安装的真实 HTTP/typed File/SQLite 旅程通过未结过期租约拒绝、来源失效清旧显示、fresh-context 原预览恢复、丢响应读原回执以及持久放弃预览。目录为合成，存储响应来自真实当前 wheel。
• _bound_todo_review_preview 与既有 create owner 绑定原操作和当前 revision；配置/UI 明确 canonical creation 必需，保留旧设置的真实读回。主干新 editor-intent 记录只保留 registry/Goal/runtime 作用域的 opaque carrier，旧 tab 不可覆盖新预览；它不是新迁移权限或第二权威。
• core_package_version 用 pep440_rs 识别真实 Core 的 2.0.0a1、dev/post/local；旧 shell main-build 回退仍狭窄，稳定版不能被候选预发布版隐式降级，相同版本仍核身份/祖先。原生源码在新旧头相同：50152baf 的 117 通过 / 4 项专用环境 ignored，以及独立空 registry 的实际打包 App 连接结果可按此范围复用，不冒充重新启动了 404433ae 原生包。现用 App 和自动安装推广未被本审计更改。
• 当前吸收主干 20 路径已经全文检查：存储预览持久恢复、可选 frozen-request transport 及其实际调用方。它们的生产代码在当前 base/head 相同，不算本提案新增能力；检查其与退役的组合仍必要，fixture 导入问题正发生在这个边界。冻结 locator 在原生调用鉴权后解析，缺省不增加上下文或 profile，未授予审批、领域效果或金融权限。

对主干的风险

这是明确 major 输入/默认变化，不宣称 feature-off 等价；未迁移源的新写入会停止，受支持的历史读取和原操作恢复仍保留。已有 canonical Goal、新建 Goal、修改显示策略不能伪造 provider 的安装版 CLI 反例在 50152baf 已执行，并按未变 producer/consumer/依赖范围复核；未以“更严格”自动判断兼容。通用规则保持类型化和 Goal 中立，没有用 substring denylist 或业务专用措辞代替状态机。

证据范围及失败全部保留：

• 本头必须修复的 ImportError 为真实整合回归，阻止必要 storage 组到达业务断言。当前另三份 operation 文件独立运行 39 通过 / 25 SDK/Host 环境跳过；基线同样 25 项跳过。它们不是删除失败模块后的“整组全过”，也不认证真实 DSH 接续。
• 当前正常 wheel/打包 File/SQLite 中英文桌面与 390px、fresh-context、丢响应和持久放弃预览通过；这项正例不能替代丢失的完整 storage 回归。
• 前一头 50152baf 的完整 329 源码组，以及相同完整 delegation 组在不可变旧基线和该头两次各 138 通过，有零源码变化监测；原两次 source-change/topology-unstable 失败仍保留，未宣称历史原因已修复。真实 PostgreSQL 16.2 原完整 store 先有一次 90 秒子进程超时，后完整旧基线 349/该头 365 通过，其余五组 2/16/15/71/25 通过、无 skip；两个自有 server 均已停止。这些仍是各自原版本的观察。
• 本次净提案 413 个 base/head blob 对不变，两处变化是 provider 文档和 storage 测试；新主干 20 路径的消费者、依赖、权限和 claim 均重新判断。原先绿色结论不覆盖新增消费者的 fixture 失配。当前 normal build/typecheck 与 advisory 后完整语义检查通过，也不能消除收集错误。
• 50152baf canary 的 5 direct/19 selected 产品检查通过，但 quality receipt 与 benchmark 人工 hold 保留，未重标为本头 merge-ready。原 123 个 signed 提交、7 个已核 web-flow 豁免和本头新 web-flow 双父整合的签名/父关系分别核验；没有查询、dispatch、轮询或等待 CI。

我的整体评价

REQUEST_CHANGES：请修复上述 fixture 消费者迁移并恢复原完整回归。 已合并改变的是修复交付方式，不改变当前失败的归因。此问题是测试接入与验证缺口，不宣称已证明存储运行时会丢数据；当前真实打包旅程的正例也不能把必要测试收集失败改写成通过。

原退役/原回执边界在架构和范围上仍有价值：移除重复 authority、复用已有两值词表及 native parser 是已应用的有界 future-facing pass；没有理由为修复导入复活旧 writer 或扩大为新框架。原生版本比较、provider IO、预览恢复仍归各自现有 owner。实际安装推广、真实模型/Host 采用和长期资格保留，程序性经验仅用于本头选取实际恢复反例，不继承旧 verdict 或声称学习净益。

English verdict: REQUEST_CHANGES - 404433a, post-merge audit. The retired capture_present fixture is still imported by the newly integrated storage regression module, so the unchanged full command aborts during collection; immutable base 946f644 yields 73 passed/25 environment skips. Current normal-wheel packaged storage passes independently, but cannot replace the missing required coverage. Migrate the consumer to source_modules_present plus cold_api, preserve all recovery assertions and rerun the full group; older source/native/PG observations remain bound to their original revisions.