feat(openalice): 外部结果回复与产物领取

[1012839419a-alt]

父任务：OpenAlice 产品体验复用 #116。原生父子关系未设置，以正文互链为准。

用户授权：按平台 PRD 推进已盘点能力，派给 Luna 实施，当前根任务负责独立验收。范围依据 docs/research/openalice-capability-gaps.md；上游固定 52b51f29809178594b7b57bf666133829368b7b4，源码位于 D:/projects/opencli-Razormind/.git/research/OpenAlice，只读。

目标：选一个项目已有、可复用官方 SDK/回调验证的消息渠道，打通结果通知的可信来源、认证后的回复到原 Agent 会话、领取同一产物。先以已有渠道/通知模式接入，不能另建 Agent 执行系统。

依赖与状态：依赖产物来源合同稳定；真实 provider 选择须由现有代码证明可接入。若没有可用渠道认证契约，先报告证据与最小接入方案，不制造无权限的公共回调。

实施约束：参考 OpenAlice connector-protocol、services/connector adapter/delivery-manager/work-queue；继承现有 Notification/Agent Control 幂等与授权边界，不直接把外部文字执行成命令。

验收：回调验签/身份绑定及 Workspace 权限生效；重放事件幂等；跨用户/跨项目伪造来源被拒绝；回复写回原会话且高风险操作仍是提案；产物通过授权读取；断线/不可用有明确状态；使用隔离本地回调和 SDK mock 验证，不向真实群/用户发送消息。

放置合同：

• contractRepo: 2233admin/opencli-Razormind，本 Issue 标题必须为“feat(openalice): 外部结果回复与产物领取”。
• executionRepo: 2233admin/opencli-Razormind。
• worktree: D:/projects/opencli-openalice-connectors-20260906；分支 codex/openalice-connectors-20260906；初始源基线 08f0c9f（工作区代码的本地快照，未推送）。依赖任务开工时以协调者记录的整合基线替代。
• ownedPaths: 可新增 backend/services/connector_reply_service.py、backend/api/v1/connector_replies.py、backend/schemas/connector_reply.py；backend/pipeline/notifier_dispatch.py 仅用于此任务；对应 tests/integration/test_connector_replies.py 和专属使用说明。共享 router、凭据、agent_conversation_service.py、browser account 文件由协调者处理。
• delivery: 当前协调任务的原生 Agent 交付消息，附本分支唯一提交 SHA、文件清单、测试命令/结果、失败/未运行/缺口与来源说明；不得自行推送/合并主分支或改变 Issue 状态。

共享约束：你不是唯一执行者。只在指定 worktree/ownedPaths 工作，不撤销他人改动；遇到依赖或权限模型意外复杂度向协调者报告，不扩范围。不得改浏览器账户功能和真实业务数据库/运行容器。读取仓库及 frontend AGENTS.md。优先复用现有依赖/模块；不把 OpenAlice 与本项目的 Workspace 当成同一领域对象。任何直接上游源码复制须先记录具体许可，不静默改仓库许可。

验收责任：执行者先自测，协调者复跑权限和完整用户链路；子任务完成不代表父任务完成。

[1012839419a-alt]

#125 实施波次一：官方 SDK 严格入站与持久身份/收件基础

类型：implementation；负责人：/root/verify_work_tabs（Sol High）；协调/集成：root；独立验收：未参与该实现的 reviewer。

基线：整合提交 a7d5f70b。专属分支 codex/openalice-connectors-20260906，目录 D:/projects/opencli-openalice-connectors-20260906。ADR 0046 的独立只读审查已接受其实施边界；本波次不代表 #125 完成。

目标与复用

使用固定官方 lark-channel-sdk[fastapi]==1.4.0，完成可验证、可持久化且能够恢复的接收边界。复用现有 SQLAlchemy/Alembic、Workspace RBAC、凭据加密和 API 返回模式。SDK 高层 handle_webhook_request 提前 ACK 且提前去重，不得用作入站；使用发行包的公开同步 EventDispatcherHandler.do(RawRequest)，在 worker thread 执行，同步 callback 向 application loop 提交持久化 coroutine，2 秒以内等待事务 commit，失败/超时返回 500。

独占修改范围

• 新增 backend/models/connector_reply.py：先实现 Installation、BindingChallenge、PrincipalBinding、InboundReceipt；尚无 reply grant 时拒绝普通 reply，不伪造完成。未来 grant/worker 所需接口先返回明确合同，避免提前复制会话执行系统。
• 新增 backend/schemas/connector_reply.py、backend/services/connector_installation_service.py、backend/services/connector_receipt_service.py、backend/services/feishu_connector_runtime.py、backend/api/v1/connector_replies.py。
• 一条仅增加上述表的 Alembic migration；可编辑 pyproject.toml、uv.lock 以固定官方 SDK，新增 docs/third-party/feishu-channel-sdk.md 告知与引用。
• 专属 tests/unit/test_feishu_connector_runtime.py、tests/integration/test_connector_receipts.py、tests/integration/test_connector_installations.py、tests/unit/test_connector_reply_migration.py 及必要的专属 fixture。
• 只修改以上文件；共享模型 import/metadata、router、Fleet Auth 精确 callback 豁免、lifespan、agent_conversation_service 和 frontend 由 root 或下一波负责。确需范围外文件先报上来，不静默扩展。

波次 API 与验收

1. 正常认证的安装 create/update/list/health、本人绑定 challenge、本人或获准管理员撤销 binding；敏感配置只返回 has_* 状态，凭据复用加密。任何状态/管理调用必须按当前用户与 Workspace 权限检查，不构造 local/bootstrap 身份。缺任一必需凭据则 blocked，不降级签名模式。
2. 独立 callback router 实现精确 POST /api/v1/connectors/feishu/installations/{installation_public_id}/events，严格有界 body；签名/解密/token/schema 由真实固定 SDK 完成。安装 app/tenant、sender user、p2p 和固定已验证字段匹配后才能持久化。第一波普通回复无已实现 grant 时记录稳定拒绝，不执行 Agent 或外发。
3. receipt 唯一键 (installation_id, provider_message_id)，存完整转义后不超过 20,000 字符的安全正文与 canonical hash；同 hash 重推幂等，不同 hash 冲突。不得把 provider event_id 作为消息去重主键。绑定 challenge 的消费、主体绑定和 receipt 在一个事务提交，重推不重复绑定。绑定与使用时重检 User/WorkspaceMembership/Workspace。
4. 固定 wheel 的真实 import + 加密签名 dispatcher smoke（不是仅 mock dispatcher）；证明 callback 异常返回 500、验证失败无数据库写入、dispatcher 不阻塞 event loop；至少证明 timeout → late commit → retry 仍只有一个 receipt。不要因 timeout 对不确定提交直接造第二条工作。
5. 隔离 SQLite 测试证明并发/重启/撤销/跨安装/跨用户/跨 workspace 失败关闭，migration 只对临时数据库演练。未实现 worker/回复/领取在健康状态和交付说明中明确未就绪，不能宣称 feat(openalice): 外部结果回复与产物领取 #125 完成。

环境与回传

你不是唯一 agent；不得撤销其他人的修改。禁止接触业务数据库、真实凭据、实际群/用户消息、现有 8030/8031 或预览 8046/8047。SDK 安装使用你专属临时虚拟环境；共享 Python 和前端依赖仅只读，不对其 pip/uv sync。不得改主目录，不 push/merge。

先尽早回传实际路由/schema、共享注册接线点、后续 reply grant/会话 capability 所需接口。回传完整 commit SHA、独占文件列表、准确测试命令与结果、未完成边界和风险。完成该波次后等待 root 整合验收；下一波才接原 Agent、出站与产物领取。#121 来源链已有实现并在独立验收，领取阶段必须使用最终验收结果，不能使用 seed 来源作生产证据。

[1012839419a-alt]

#125 波次一独立验收退回：关闭 SDK 降级路径

类型：bounded security correction；负责人 /root/verify_work_tabs（Sol High）；root 集成；原 reviewer 复审。继续工作树 D:/projects/opencli-openalice-connectors-20260906、分支 codex/openalice-connectors-20260906，基线 8e37e9097923a5ffdabda8f94321e32f038e1988。

独占修改：现有 backend/services/feishu_connector_runtime.py、connector_receipt_service.py、connector_installation_service.py、backend/api/v1/connector_replies.py 与该波次专属 tests。其他文件不改；root 已在 integration 单独完成共享 router/models/Fleet Auth 和 callback OpenAPI 接线。不要修改 root 的 wiring tests 或共享注册。

实际固定 wheel 已复现两项阻断：空 encrypt_key/verification_token 的 strict dispatcher 对明文无签名普通事件返回200并执行callback；有效key/token的明文URL challenge也先于签名验证返回200。必须按既定严格加密+签名合同修复，不能改低合同适配此降级。

1. 构造 dispatcher 前检查三项凭据 app_secret/encrypt_key/verification_token 均可解且非空；缺失/空/损坏返回稳定503/blocked，绝不调用SDK。尽量复用health所需检查，健康接口与实际入口不能不一致。测active行三种凭据缺失/损坏仍无receipt、无callback。
2. SDK前仅做严格加密envelope和必需签名header形状检查，签名/解密/token仍完全交官方SDK。明文普通事件和明文challenge、缺头、空encrypt、歧义重复键等必须稳定失败；真实加密签名challenge和消息继续通过。不要手写签名或加密验证。
3. parent_id/root_id作为可选reply target，非空时必须是有界字符串（255）；错误输入在入库前稳定拒绝。不能直接用任意dict/list/超限值写String字段。
4. 适配器隔离SDK错误日志：持久化异常可能包含SQL参数/正文，捕获后只向SDK抛稳定错误码/类型，不把异常原文、正文、随机绑定码、token、secret写入日志或HTTP响应。添加含唯一敏感标记的commit失败/晚提交失败日志与响应回归；真实SDK仍500而不ACK。
5. 补齐ADR已约定的disabled/revoked安装重推语义：验证材料保留且可用时先验签，再持久记录rejected的稳定installation_disabled/revoked并ACK；不绑定、不执行、不外发。缺少验证材料仍失败关闭。去重后保持原receipt不新增工作；其他安装/app/tenant不因禁用而绕过验证。该项不延期到后续worker。
6. 为真实前端绑定/撤销闭环补一个最小本人状态读取：GET /api/v1/workspaces/{workspace_id}/connector-installations/{installation_public_id}/my-binding，正常身份+当前Workspace READ，仅查询当前 access.user_id 对该安装的绑定，返回 ApiResponse[ConnectorBindingRead | None]。无绑定为null，已有撤销记录可返回active=false。不得添加任意user_id查询参数，不暴露open_id/chat_id/凭据；继续验证installation属于该Workspace。前端据此显示实际绑定/撤销状态，不能把health.binding_ready当已绑定。此项只涉及现有installation service/API和专属tests；响应复用已有schema。

保留已通过的持久提交先于ACK、2秒timeout但不cancel迟到提交、唯一message/hash并发边界。新回归用真实固定wheel和隔离SQLite；勿调用业务/预览/模型/外部平台，勿改共享venv，勿push/merge。你不是唯一agent，不撤销他人修改。暂停第二波实施；若正准备只读接线方案，可先回已有简要结论然后修本波次。完成回完整commit、准确测试与未解项；root和原reviewer通过后再开第二波。

[1012839419a-alt]

#125 前端波次：在现有连接目录配置与绑定飞书消息

类型：bounded frontend implementation；负责人 /root/implement_artifacts（Luna XHigh），root 整合/实际前后端验收。分支 codex/openalice-connectors-ui-20260906，工作树 D:/projects/opencli-openalice-connectors-ui-20260906，基线 336370d0490da2c9dafb00d62cbd415304407628。

目标：在已有 /providers/catalog 模型与连接目录，加入 Workspace 范围的“飞书消息连接”配置、健康状态、生成本人绑定指令、读取真实绑定状态和撤销本人绑定。复用现有卡片、输入/密码、按钮、Toast、Query/API客户端、Workspace/RBAC模式；不另建设置系统，不混用全局飞书多维表格 DeliveryConnection。

独占文件：frontend/app/(app)/providers/catalog/page.tsx 的最小组合接线；新增 frontend/components/providers/feishu-connector-installation-panel.tsx、frontend/lib/api/connector-installations.ts；专属 frontend/e2e/feishu-connector-settings.spec.mjs、frontend/playwright.feishu-connectors.config.mjs 与必要专属前端测试文件。避免改共享hooks/client/sidebar/config，确需先报root；hooks可放专属API模块并复用已有Query模式。不要改project artifact panel，reply grant尚未实现。

实际后端合同来自 backend/schemas/connector_reply.py、backend/api/v1/connector_replies.py：

• GET/POST /api/v1/workspaces/{workspace_id}/connector-installations；PATCH /{installation_public_id}；GET /{installation_public_id}/health；POST /{installation_public_id}/binding-challenges；DELETE /api/v1/workspaces/{workspace_id}/connector-bindings/{binding_public_id}。
• Sol 正补 GET /api/v1/workspaces/{workspace_id}/connector-installations/{installation_public_id}/my-binding，返回 ApiResponse[ConnectorBindingRead|null]，仅当前用户。active=false是已撤销，不接受客户端user_id。该接口通过前不要编造已绑定状态。
• create {name,app_id,tenant_key,app_secret,encrypt_key,verification_token}；patch仅有值字段，不能发送null或空对象。秘密只写不读，状态只用has_*；输入秘密不写URL/localStorage/log，成功后清空。
• list/health/本人绑定需要Workspace READ，create/update需要MANAGE_CONFIGURATION；前端用现有真实权限数据，服务端始终最终校验。若权限信息不可得则保守展示，不能猜角色/变相放权。

Workspace 使用 useGovernedWorkspaces() + 已授权选项，URL /providers/catalog?workspace=...；无workspace/多个候选给明确选择，不自动把StudioID当governedID，不按未知URL读取任意scope。页面现有Bitable、Provider功能保留。

可见状态：加载、无安装、读取失败、缺配置/不可用、安装启用/停用、绑定指令一次展示且有到期时间、当前用户未绑定/已绑定/已撤销。health.binding_ready只说明接收配置就绪，不能用它认定当前用户绑定。没有reply/outbound/artifact功能时明确“消息回复/产物领取暂不可用”，不显示可执行的虚假发送/授权按钮。

验收：实际前端调用上述真实API完成安装(测试密钥)、只写秘密、health、生成challenge、my-binding读取和本人撤销；权限/跨workspace错误不泄漏上一workspace的数据；键盘可操作、375px无横向溢出、状态反馈清楚。可复用现有OpenAlice隔离浏览器harness/SQLite seed；不得触碰8046/8047用户预览。最终不能只用page.route假API当通过证据。若Sol后端修复尚未可用，先回代码就绪和准确依赖，root整合后安排完整E2E，再标验收。

读取frontend AGENTS与已安装Next文档。依赖只读复用reports worktree的node_modules junction，禁止pnpm自动安装或改共享依赖。你不是唯一agent，只改owned paths，不撤销他人修改，不改主目录/业务数据，不做真实模型/采集/飞书消息，不push/merge。交付commit、文件清单、验证结果/未运行与依赖；后续project artifact发送/允许回复另行按Sol的已审grant合同派发。

[1012839419a-alt]

飞书接入基础修复验收

状态：P1 基础后端已在隔离整合分支通过 root 实测和原独立 reviewer 复审；不代表渠道回复/产物投递或真实平台配置已完成。

• Sol 修复 a4dfce5b251a6e5e66b77a785de8d4477940ae2e 已整合为 fc341ca；root 的 shared router/FleetAuth/OpenAPI 接线保持。
• root 在整合 c4fa638 上使用真实固定 lark-channel-sdk 1.4.0 wheel 与临时 SQLite，重跑 migration、runtime、receipts、installations 和 create_app callback 五组测试，49 passed。
• 独立 reviewer 接受：完整可解密非空凭据门禁；SDK 前唯一加密 envelope 和签名头；SDK 本身执行验签解密/token；有界 parent/root reply target；持久化异常与迟到提交日志脱敏；disabled/revoked 验签后稳定拒绝 receipt 与 ACK；当前身份范围 my-binding。
• frontend b3dccbf3 已整合为 c4fa638，root 全量 tsc 通过，但 UI 仍在修订和真实浏览器验收中，不提前标记完成。

下一阶段：P2 回复、持久化 worker/outbound 和产物授权仍未实施。先形成明确执行合同并独立审阅，再派发；正常 conversation revision 增长与撤权后的 fail-closed 必须同时验证。

所有验收使用隔离数据库、虚构凭据和本地 SDK 请求；未读写业务数据库、未发送真实飞书消息。用户预览 8046/8047 保留，原服务 8030/8031 保持。

[1012839419a-alt]

飞书连接配置前端验收

状态：本合同的安装/本人绑定/接收健康 UI 已接受并放入隔离预览。#125 原会话回复、出站和 artifact grant 仍未实现，Issue 保持 OPEN。

• Luna b3dccbf3、2a88fcdf 已整合为 c4fa638、828e37df，实际成员角色控制配置操作，unknown/failed 状态保守处理；创建不显示无效启停，编辑秘密留空保留，绑定指令明确私聊机器人。
• 独立 UI reviewer 接受：已授权 Workspace 列表与 URL 交集、当前成员角色、my-binding 真实绑定状态、秘密不回显及清理、切换范围和停用/编辑行为。非阻断中文状态文案正在局部补齐，不修改共享组件。
• root 85d9ac8 将原仅枚举的测试补成真实浏览器闭环，复用已有 runner，使用临时 SQLite、真实 HTTP 和固定 lark-channel-sdk 1.4.0。本地 Node crypto 仅构造虚构凭据签名事件，无 page.route、无真实平台发送。2 tests passed，覆盖安装、秘密不返回、健康、本人 challenge、实际加密 callback/重推、已绑定刷新、撤销、编辑不回显、停用、375px、其他 Workspace 隔离和 Viewer 权限。
• 完整 tsc、相关 ESLint、fixture/runner Ruff、diff check 通过。测试 8048/8051 已释放；8046/8047 用户预览保留，原8030/8031未动。
• 8047 的实际普通登录 smoke 通过：模拟连接、真实角色、未绑定、停用限制、编辑空秘密、手机无溢出和零 pageerror。只在预览库备份后增加 connector 表和一条明确标注“模拟、已停用”的连接，业务数据未变。

预览：http://127.0.0.1:8047/providers/catalog?workspace=preview-governed-workspace。耐久验收记录为 docs/verification/openalice-adoption-integration.md 的最新段落。

后续 P2 合同正在独立安全审阅，不把回调/绑定完成表述为回复或产物领取已经可用。

[1012839419a-alt]

P2 合同独立复核：REVISE，暂不实施应用源码

已完成基础与 UI 的验收保持。Sol 的 P2 draft 在 D:/projects/opencli-Razormind/.git/openalice-dispatch-20260906/connector-reply-phase-two-draft.md，原独立 reviewer 要求以下修订后才能派应用实现：

1. Reply/artifact grant POST 明确 bounded request_id、canonical body hash、当前创建者和精确 scope 的数据库唯一约束。并发重复返回胜者，同 key 不同 body 409，不能重复 activation/offer；定义多个 key 对同一 conversation、撤销/过期后的重建策略。
2. 指定模型前 durable running turn、模型后短事务的 owner/session、fresh reload 和 CAS。Root 源码复核澄清：原 send_message 的 turn response/status 与 conversation revision 本在同一 db 中提交，model_db 另存 runner/proposal；不是 turn/revision 彼此分离。新增 grant cursor 必须与最终 turn/revision 同事务，不能因此大改普通 send；提前 turn commit、proposal先提交及中断未知执行仍需明确恢复边界。
3. Health 使用显式 capability 配置与真实 worker/outbound lifecycle，不把 CI 测试“绿”虚构为运行时状态。
4. Claim 加密复用现有 crypto/key 合同；如没有 key-version infra，明确单 key 与失钥 fail-closed，不为草案假造机制。增加重启、失钥、撤销恢复测试。
5. 固定 SDK connect 也有 bot identity 网络请求。connect/send/disconnect 必须各有有界超时、finally disconnect、lease renewal/fencing。send 不确定不能与 connect 前失败混淆；在无法证明提供方去重期限的情况下，不自动无限重发来宣称 exactly-once。

Sol 本阶段仅修订草案，原 reviewer 复审这些 delta。Root 随后发布完整执行合同并远端回读，再派实现。

预留干净实现树：D:/projects/opencli-openalice-replies-20260906，branch codex/openalice-replies-20260906，baseline 4befc988。Root 独占 shared main/router/FleetAuth/model registry 接线；严格保护现有预览、原业务服务、主目录改动和共享依赖。无业务数据变更或真实平台发送授权。

[1012839419a-alt]

Issue #125 P2 正式执行合同：授权回复、持久消费与产物领取

状态：Accepted for implementation。原独立 reviewer 已接受五项主要修订、最后三项字段/claim 条件及当前本人范围的状态读取/撤销接口。root 发布本合同到 Issue 并远端回读后，作为本次正式开工信号。实现固定在 D:/projects/opencli-openalice-replies-20260906、分支 codex/openalice-replies-20260906，基线 4befc988fb8ce07d95324af72a2d23ecd64c53f9。执行者为原生 /root/verify_work_tabs（Sol High）；唯一协调者为当前 root，合同库与执行库均为 2233admin/opencli-Razormind，子任务标题保持“feat(openalice): 外部结果回复与产物领取”。

交付：你不是唯一执行者，只修改下述 owned files，不撤销他人改动；复杂度/共享冲突先报告，不扩范围。独立 commit 返回给 root，附变更文件、测试命令与结果、未完成/未运行项、关键边界证据和SDK复用说明。不更改Issue状态、不push或merge；不操作业务DB/真实模型/飞书消息。共享 Python 与 SDK site-packages 只读；任何依赖缺口先报，不安装到共享环境。root 与原独立 reviewer 在实际集成后验收，交付不等于父目标完成。

目标与完成边界

P2 把已验签、已持久化的飞书单聊 receipt 接回原有 AgentConversation，并通过显式、可撤销的 reply grant 把结果回复到同一绑定单聊。实现复用现有会话 turn、历史、chat.run_chat_request、proposal 和错误脱敏链；数据库 receipt 是持久待办，现有 turn 唯一键是 Agent 执行幂等门，不新增 AgentRun、Celery 队列或模型执行器。

在可信会话来源回归保持通过的前提下，同一波完成 artifact grant 和领取。产物只能由 project_artifact_service.resolve_scope/get_project_artifact 返回的授权详情生成，冻结 public ID、native ID、session、run、content hash 和可信 conversation。实现不读取 artifact 提供的路径或 URL。

P2 完成时应满足：连续两条外部回复进入同一会话且各生成一个 turn；重复、并发和重启不增加 turn 或 outbound operation；执行期间撤销、降权、关闭会话或改变上下文均阻止外发；Studio 普通 HTTP 权限仍保持现状。

固定依赖与复用入口

• 基线包含 Issue feat(openalice): 产物读取与运行结果来源 #121 的服务端 conversation origin、research continuation 传递及 project_artifact_service 的唯一可信 conversation 判定。实现测试必须继续覆盖这些边界；生产 readiness 不读取 CI、测试结果或任何“测试门”状态。
• 复用 backend/services/agent_conversation_service.py 的 validate_context_binding、_ensure_studio_context_continuity、_insert_running_turn、bounded_history、_safe_response、_model_session 和现有 runner/error 分支。
• runner 仍为 backend/api/v1/chat.py::run_chat_request。P2 不修改 chat.py，不增加 Agent 工具或批准入口。
• governed 授权复用 User、WorkspaceMembership、Workspace、get_workspace_access、WorkspacePermission.READ 与 EXPORT_ANALYSIS。
• Studio 对象归属按现有 validate_context_binding 规则验证。P2 不修改 studio_agent_session_access.py，也不让 connector 身份通过 resolve_stored_agent_session_workspace。
• 出站使用已固定的 lark-channel-sdk[fastapi]==1.4.0：FeishuChannel(app_id=..., app_secret=..., encrypt_key=..., verification_token=..., transport="webhook")，随后分别有界执行 connect_until_ready、channel.send 和 disconnect。该 SDK 的 start() 在 webhook ready 以前调用 _fetch_bot_identity_sync()，会发起 bot identity 网络请求，所以 connect 不是本地构造步骤。成功以 SendResult.success 和非空 message_id 为准。

文件所有权

实现 Agent 独占以下变更，且只修改这些路径：

• 修改 backend/models/connector_reply.py：新增三张表并扩展 receipt 的消费字段。
• 修改 backend/schemas/connector_reply.py：新增 grant/artifact 管理 API 的 typed schema。
• 修改 backend/services/connector_receipt_service.py：reply target/opaque claim 解析、grant 绑定和 received 状态。
• 修改 backend/services/connector_installation_service.py：仅接入真实 worker/outbound readiness；现有 callback/binding 语义不变。
• 修改 backend/services/feishu_connector_runtime.py：receipt commit 后只发进程内唤醒信号，绝不等待 Agent 或出站。
• 修改 backend/services/agent_conversation_service.py：抽出共享的已验证 send core，并增加内部 connector capability 入口。
• 修改 backend/api/v1/connector_replies.py：增加 reply/artifact grant 管理路由；现有 callback 路由不变。
• 新增 backend/services/connector_reply_grant_service.py：grant CRUD、每次 reauthorization、sealed capability 与 revision CAS。
• 新增 backend/services/connector_reply_worker.py：receipt DB claim、租约续期、恢复和现有会话调用。
• 新增 backend/services/connector_outbound_service.py：持久 delivery、固定 UUID、SDK 调用与错误分类。
• 新增 backend/services/connector_artifact_grant_service.py：可信产物授权、opaque claim 和 bounded 内存内容渲染。
• 新增一条 Alembic revision，down_revision 取实现时仓库实际 head；不得猜固定 revision ID。
• 新增专属 unit/integration/migration 测试文件，可扩展现有 connector 专属 tests。

Root 独占 backend/main.py 的 worker start/stop/recovery 接线、backend/config.py 的显式 capability 配置，以及任何共享 router、Fleet Auth、model registry 接线。P2 实现不修改 backend/api/v1/__init__.py、backend/security/fleet_auth.py、backend/models/__init__.py、backend/main.py、backend/config.py、pyproject.toml、uv.lock、前端或 workflow 来源链。Root 接线必须把默认 false 的 connector_reply_enabled、connector_artifact_delivery_enabled 作为显式参数传给 worker，不允许 worker 自读未声明环境变量。

数据模型合同

ConnectorReplyGrant

字段：

• public_id：UUID，唯一且仅此 ID 出现在 API。
• created_by_user_id、create_request_id（1..64）、create_request_hash（canonical JSON SHA-256），均不可变。数据库唯一键为 (workspace_id, project_id, created_by_user_id, create_request_id)。
• installation_id、binding_id、bound_user_id、governed workspace_id：FK，均不可变。
• studio_workspace_id、project_id、可空 workflow_id/run_id：从会话的已验证 context_binding 冻结；客户端不能分别覆盖。
• conversation_id：FK，不可变。
• conversation_context_hash：对规范化完整 context binding 做 canonical JSON SHA-256，不可变。
• conversation_revision_cursor：创建时等于会话 revision；仅由本 grant 自己成功提交的 connector turn 做 CAS 前移。
• binding_revision：创建时冻结；binding 撤销后重新绑定会增加 revision，旧 grant 不随重新绑定复活。
• p2p_chat_id：从 binding 冻结，不接受 API 输入。
• status：active | revoked | expired；version >= 1；expires_at；可空 revoked_at/revoked_by_user_id。
• active_slot：active 时为 SHA-256(reply-slot-v1\0{workspace_id}\0{conversation_id}\0{bound_user_id})，其他状态为 NULL；唯一索引保证一个用户对一个会话至多一个 active grant。服务在创建前把已到期行锁定、标 expired 并清空 slot；数据库唯一索引仍是并发最终裁判。
• 串行执行租约：可空 execution_receipt_id/execution_lease_owner/execution_lease_expires_at，以及非空整数 execution_lease_generation，server default 0、CHECK >= 0。每次 claim/接管在同一条件 UPDATE 中递增 generation；续租、finalize、释放均按 owner+generation 匹配。迁移增加 expiry 索引支持恢复扫描。同一 grant 同时只有一个 receipt 可进入模型。

约束：revision/version 非负；到期只允许 fail-closed，不自动续期；grant 行不允许改绑 user、chat、conversation 或 Studio scope。激活消息属于下面的 immutable outbound delivery，reply target 通过 sent delivery 反查 grant，不在 grant 上重复保存可漂移的 provider ID。相同 request ID 和相同 hash 返回原 grant；相同 request ID 而 hash 不同返回 409 idempotency_key_reused。不同 request ID 试图为同一会话建立第二个 active grant 返回 409 active_reply_grant_exists。旧 grant revoked/expired 后，调用方必须换新 request ID 才能从会话当前 revision 新建；重放旧 request ID 永远返回旧终态，不复活、不再建 activation。

ConnectorInboundReceipt 扩展

新增：

• lease_owner、lease_expires_at、processing_started_at；非空整数 lease_generation，server default 0、CHECK >= 0，每次 claim/接管原子递增，续租、finalize、释放按 owner+generation 条件 UPDATE。迁移增加 (status, lease_expires_at) 索引。attempt_count 表示消费 claim 次数。
• artifact_grant_id：可空 FK，仅由已验证的 claim 查找设置；callback JSON 不能直接声明。claim 不匹配时为 NULL。
• turn_id，可空；outbound_delivery_id，可空且唯一，作为结果 delivery 的 FK。delivery 不再反向重复保存 receipt ID。
• reply_grant_id/conversation_id 在 receipt 创建时由服务端绑定，不接受 callback 内容声明。

状态固定为 received | processing | completed | proposal | rejected | retryable_failed | permanent_failed。callback 只为普通回复保存完整 safe_content_text。所有以领取命令前缀开头的消息（包括格式错误、过期、无效 claim）都进入独立 claim 分支，safe_content_text 固定为 [artifact claim]，只持久化 intent、已验证的 artifact_grant_id 与安全错误码；不得把 claim 解析失败回退成普通回复正文。原始文本只参与内存中的 request hash/claim digest 计算和验证，DB、日志、trace 都不得持久化明文。可处理消息保存 received 后提交；callback 200 只表示 receipt 已持久化。turn_id 可在模型完成后补写，因为 deterministic request ID 能在崩溃恢复时反查既有 turn。

ConnectorOutboundDelivery

字段：

• public_id、唯一 operation_id、唯一 sdk_uuid。
• installation_id、reply_grant_id、可空 artifact_grant_id。receipt 结果通过 receipt 上唯一的 outbound_delivery_id 关联；activation/artifact offer 没有 receipt。
• purpose：activation | agent_reply | proposal_notice | artifact_offer | artifact_delivery。
• 冻结的 chat_id/reply_to_message_id。
• payload_kind：text | file | artifact_offer；普通文本使用 bounded safe_text；文件使用最多 1 MiB 的 payload_bytes、bounded file_name/media_type。artifact_offer 只保存 artifact grant FK、安全元数据、ciphertext hash和模板版本，发送时从 artifact grant ciphertext短时解密 claim后渲染，不保存 safe_text 明文。各类均保存 payload_hash 和 canonical request_hash。任何 payload 都由服务端渲染，不接受路径、URL 或 SDK resource key。
• status：pending | connecting | sending | sent | retryable_failed | failed | indeterminate；attempt_count、lease_owner/lease_generation/lease_expires_at、provider_message_id、稳定 error_code、sent_at。每次续租用 owner+generation 条件 UPDATE；接管递增 generation，迟到 worker 的任何状态写必须因 fence 不匹配而为零行。

每个 receipt 最多一个结果 delivery；每个 reply grant 最多一个 activation delivery；每个 artifact grant 最多一个 offer delivery，均由数据库唯一约束保证。provider_message_id 在 installation 内唯一；只有 sent delivery 可作为下一条 inbound 的 reply target。Agent turn 后续被平台批准并修改时，已持久化 outbound snapshot 不随之改变；相同 operation 始终使用相同 UUID、hash 和 bytes。

ConnectorArtifactGrant

字段：

• public_id、reply_grant_id、conversation_id。
• created_by_user_id、create_request_id（1..64）、create_request_hash，数据库唯一键为 (workspace_id, project_id, created_by_user_id, create_request_id)。
• 精确 artifact_public_id/artifact_id/session_id/project_id/workflow_id/run_id/content_hash。
• 冻结 title/media_type/simulated 供安全提示；实际领取仍重新读取详情并比对。
• 随机 opaque claim 的唯一 SHA-256 claim_digest，以及为 offer/领取恢复所需的 claim_ciphertext。ciphertext 只调用现有 backend.auth.crypto.encrypt/decrypt，沿用 CREDENTIAL_ENCRYPTION_KEY；当前仓库只有单 Fernet key，没有 key ID、key ring 或轮换兼容层，P2 不虚构版本机制。日志、GET、数据库 delivery snapshot 均不返回或保存明文 claim。
• status：active | redeemed | revoked | expired | failed；version、expires_at、可空 redeemed_at/revoked_at，以及可空稳定 error_code。failed 为不可恢复终态，清空 active_slot；恢复密钥不能复活该 grant/delivery，仅用户显式使用新 request ID 可另建授权。
• active_slot：active 时为 SHA-256(artifact-slot-v1\0{reply_grant_id}\0{artifact_public_id}\0{content_hash})，其他状态为 NULL；唯一索引阻止不同 request ID 生成重复 offer/claim。

同一 reply grant、artifact public ID、content hash 只建一个有效 grant。相同 request ID/hash 重放返回原 grant且 claim_text=null；不同 hash 为 409。不同 request ID 命中同一 active slot 返回 409 active_artifact_grant_exists，不别名到现有 grant。旧 grant redeemed/revoked/expired/failed 后，只有新 request ID 可创建新 grant；旧 key 的重放只返回旧终态。明文 领取 <opaque_claim> 仅在真正创建成功的 POST 响应中出现一次；offer delivery 只持久化 ciphertext 引用与 canonical hash，在发送前短时解密并渲染，禁止在 snapshot、receipt、日志或重放响应中留下明文。领取幂等由 inbound message ID、artifact grant 行和 outbound delivery 共同保证。

Typed API 合同

所有管理 API 继续经过现有平台 bearer、Fleet Auth 和 Workspace RBAC。路径 workspace_id 是 governed Workspace，project_id 是 grant 所指的 Studio project。

Reply grant

POST /api/v1/workspaces/{workspace_id}/projects/{project_id}/connector-reply-grants

请求 ConnectorReplyGrantCreate：

{
  "request_id": "01J...client-generated",
  "installation_public_id": "uuid",
  "binding_public_id": "uuid",
  "conversation_id": "uuid",
  "expires_in_seconds": 604800
}

request_id 必填、trim 后 1..64 字符；expires_in_seconds 默认 7 天，范围 300 秒到 30 天。服务端从 conversation context 推导 Studio workspace/workflow/run，从 binding 推导 user/chat。创建者必须是 binding user 与 conversation owner，并同时拥有 READ、EXPORT_ANALYSIS。创建事务同时写 active grant 和一个 activation delivery；API 不等待外部发送。

POST 返回 ConnectorReplyGrantCreated，即下述 read 字段加 created；数据库创建胜者为 true，同 request ID/hash 的所有重放和并发败者为 false。GET /api/v1/workspaces/{workspace_id}/projects/{project_id}/connector-reply-grants/{reply_grant_public_id} 返回 ConnectorReplyGrantRead；DELETE 做幂等撤销、清空 active slot并返回同一 read schema。第一阶段只允许本人读取/撤销，跨用户或跨 scope 统一 404。

ConnectorReplyGrantRead 字段：reply_grant_public_id、installation/binding public IDs、workspace/Studio/project/workflow/run/conversation IDs、status/version/expires_at/revoked_at、activation_delivery_status、created_at/updated_at。不返回 user subject、open_id、chat_id、context hash、revision cursor、lease、provider ID 或 SDK UUID。

为支持刷新/重开报告后的恢复，同一 collection 路径增加 GET ?conversation_id=<id>，conversation_id 必填且验证为当前用户持有的同项目/Workspace 会话；只返回当前用户该会话的 grant，默认 limit=20、上限100，按 created_at 倒序并有稳定id排序。复用相同 Read schema，不返回其他用户/其他范围信息。安装/绑定/授权状态仍按真实数据展示，列表不让任何已撤权 grant 恢复 active。

Artifact grant

POST /api/v1/workspaces/{workspace_id}/projects/{project_id}/connector-reply-grants/{reply_grant_public_id}/artifact-grants

请求 ConnectorArtifactGrantCreate：

{
  "request_id": "01J...client-generated",
  "artifact_public_id": "session-id:artifact-id",
  "workflow_id": "uuid",
  "run_id": "uuid",
  "expires_in_seconds": 1800
}

request_id 必填、trim 后 1..64 字符；有效期范围 300 秒到 24 小时。响应 ConnectorArtifactGrantCreated 返回 artifact grant public ID、冻结的安全元数据、状态/过期时间、created、一次性的可空 claim_text 和 offer_delivery_status。只有数据库创建胜者得到 created=true 与明文；任何重放或并发 IntegrityError 败者都得到 created=false, claim_text=null。API 不接受 session/native artifact ID、content hash、conversation 或 media 路径；这些均从授权详情推导。

两个 POST 都按以下相同算法实现，不以“先查再插”充当唯一防线：

1. 对版本化对象 {route_workspace_id, route_project_id, normalized_request_body_without_request_id} 做 UTF-8 canonical JSON（键排序、无多余空白、UUID/数字使用 schema 规范值）并 SHA-256，得到 create_request_hash。
2. 在短事务内完成授权、锁定/清理到期 active slot、插入 grant 与唯一 activation/offer delivery。delivery 唯一键分别为 (reply_grant_id, purpose=activation) 与 (artifact_grant_id, purpose=artifact_offer)。
3. 若数据库抛 IntegrityError，先 rollback，再开启新事务按 creator scope 唯一键读取胜者。hash 相同则返回胜者；hash 不同则 409。若 request key 没有胜者而 active slot 冲突，则返回稳定的 active-grant 409。禁止从异常文本推断冲突类型。
4. 重放、并发败者和旧 request ID 不增加 activation/offer、不得生成第二个 opaque claim，也不得返回/重建明文 claim。API 对上述结果有真实并发数据库回归。

不增加 callback receipt 状态查询、proposal approve/execute、任意 user_id 查询或公共 artifact 下载 API。

补充 artifact 状态/撤销接口：上述 artifact-grants 路径的 /{artifact_grant_public_id} 提供 GET/DELETE。GET 返回 ConnectorArtifactGrantRead：artifact grant public ID、reply grant public ID、精确 artifact/run 等安全元数据、status/version/expires_at、offer_delivery_status、可空领取 delivery_status、稳定 error_code、created_at/updated_at；没有 claim_text/ciphertext/digest、provider ID/chat或正文。DELETE 仅将 active 改 revoked并清空active_slot，其他终态保持，幂等返回相同 Read。两者都先验证 governed Workspace READ、当前用户是reply/artifact创建者与会话owner、项目/父replygrant一致；跨用户/范围统一404。GET不要求installation仍active，这样停用/撤销后的真实失败状态可读，但不能据此再次投递。增加相同限定的 artifact-grants GET collection（默认limit20、上限100）供刷新后恢复该replygrant下已有授权，不返回明文claim。所有创建仍强制READ+EXPORT，所有投递仍逐次重检完整能力。

前端接线约束：artifact.workspace_id是Studio作用域，不能直接当governed。复用现有 getAgentConversation(conversation_id) 读取受授权原会话，确认 context_binding.studio_workspace_id/project/workflow 与产物一致后，才用返回的 conversation.workspace_id 管理connector；没有该权限就显示不可用。不得改普通会话HTTP权限或根据URL/本地存储猜映射。UI由Luna在后端真实API交付后另行派发，不属于本次后端owner范围。

Grant 创建与每次 reauthorization

connector_reply_grant_service.create_reply_grant(...) 依次锁定并验证：

1. 当前 RequestIdentity 对 governed Workspace 的 READ 和 EXPORT_ANALYSIS。
2. installation 属于该 Workspace、active、未 revoked、三项凭据可用。
3. binding 属于该 installation/Workspace/current user、active，且 revision 被冻结。
4. conversation 属于 governed Workspace/current user、active。
5. context 具有 studio_workspace_id 和路径中的 project；workflow/run 若存在则完整归属且不 archived。
6. validate_context_binding(..., studio_workspace_id=stored, allow_stored_studio_workspace=True) 的规范化结果与 stored context 完全相同。

worker 在模型前及出站前通过 authorize_receipt_for_agent / authorize_delivery 重复上述数据库检查，并验证 grant status/expiry、binding revision/chat、receipt sender/open_id/chat/reply target、conversation context hash 与串行 lease。

授权服务返回 sealed ConnectorConversationAccess frozen dataclass。它包含 receipt/grant/conversation/user/scope、expected revision、规范化 context 和一个模块私有 seal；API schema、receipt JSON 和 callback 数据都不能构造该对象。为避免循环依赖，agent_conversation_service 只声明所需的 typed Protocol（字段及 advance_revision_cursor(db, turn_id, next_revision)），grant service 的 sealed dataclass 实现该 Protocol；agent service 不导入 grant service。其 actor_identity 只可由已查询的 persisted User.subject 生成：RequestIdentity(subject=user.subject, auth_method="connector", is_platform_admin=False, claims=None)。open_id 不成为 subject，不创建 User 或 membership，也不产生 local/bootstrap/platform-admin 身份。

Agent 会话接入与 revision CAS

agent_conversation_service 增加：

async def send_connector_message(
    db: AsyncSession,
    access: ConnectorConversationAccess,
    *,
    request_id: str,
    content: str,
    chat_runner: Callable[..., Any] | None = None,
) -> tuple[AgentConversation, AgentConversationTurn]

普通 send_message(RequestIdentity, ...)、其事务顺序和公开 HTTP 行为保持不变。实现只抽出最小的 history/body/runner/result validation/error mapping core 与 connector finalize seam；不把普通路径改造成新运行时。connector 入口使用 capability 中已验证的 conversation/context，不调用 local-only Studio resolver；它仍重新执行 context ownership/continuity 校验，并把 non-admin connector identity 传给既有 runner，因此 governed read/proposal 继续走现有 RBAC。Connector 返回 proposal 时只持久化既有 proposal，外发摘要与平台链接；没有 connector 批准入口。

request ID 固定为 feishu: 加 SHA-256(connector-turn-v1\0{installation_internal_id}\0{provider_message_id}) 的前 56 个十六进制字符，总长不超过 64。AgentConversationTurn 现有 (conversation_id, request_id) 唯一键已足够作为 Agent 执行幂等门；不新增运行表。

现有代码的准确事务事实是：_insert_running_turn 在返回前用调用方 db durable commit；runner/proposal 使用 _model_session(db) 新建的 model_db；成功路径先 model_db.commit()，再由原 db 同一次 commit 写 turn.response/status 与 conversation.revision。所以 reviewer 所称“现有 response 与 revision 分处两个 session”不准确；两者已同属 db。P2 新责任是把 grant cursor 加入这个最终 db commit，并在模型网络调用前结束 db 的活动事务、完成后重新加载锁定对象，避免用陈旧 ORM 对象做 CAS。proposal 仍由既有 runner 在 model_db 先提交；P2 不扩大到重构普通 proposal 事务。

connector revision/事务采用以下规则：

1. grant 创建时 cursor = conversation.revision。
2. receipt claim 的短事务锁定 grant/conversation，要求 conversation active、context hash 不变、conversation.revision == cursor，占有 receipt/grant execution lease，调用现有 _insert_running_turn 分配 deterministic turn。该 helper 的 commit 是明确的持久崩溃点；running turn 可被其他 session 看见，且不会在模型失败时删除。
3. connector 在构造不可变的 history/body/binding/expected revision 快照后，显式 rollback()/结束原 db 的任何读事务，再用独立 model_db 运行既有 runner。模型网络等待期间不得持有 conversation/grant row lock 或调用方 db 事务。runner 若创建 proposal，继续按现有责任由 model_db.commit() 持久化；该提交不代表 turn 已完成。
4. runner 返回并结束/提交 model_db 后，connector 在原 db 上开启新的短事务，重新 SELECT ... FOR UPDATE 加载 receipt、grant、conversation、turn。禁止依赖模型前的 ORM 对象。重新验证 lease owner+generation、turn 仍 running、conversation status/context/revision、grant/binding/user/membership/capability；随后设置 turn response/status，并用 UPDATE ... WHERE grant.id=? AND cursor=N AND execution_receipt_id=? AND execution_lease_generation=? 将 cursor CAS 到 N+1，同时把 conversation revision 从 N 改成 N+1。
5. turn.response/status、conversation.revision=N+1、grant.cursor=N+1 必须由上述原 db 的一个 commit 原子落库；任何 CAS 零行或 commit 失败都 rollback，不能单独留下 completed turn 或 cursor。receipt 完成和 outbound creation 可在下一短事务恢复，因此不要求加入此 commit。
6. grant 在模型运行中被撤销时，最终短事务可在 lease fencing 仍属于本 receipt 且 conversation 本身未变的前提下保存已产生 turn并推进其 cursor作为审计；grant 保持 revoked/active_slot=NULL，receipt 随后为 authorization_revoked_before_delivery，绝不建/发 outbound。conversation 被关闭、context 改变、其他 turn 推进 revision或租约被接管时不保存模型 response、不推进 cursor，另一个 fenced 短事务仅把仍 running 的 turn/receipt标为失败或 indeterminate。
7. 第二条正常 connector 消息看到 cursor/revision 均为 N+1，可继续生成下一 turn。非本 grant 的平台 turn 使 conversation revision 单独增长，下一次授权以 conversation_revision_changed 失败；不能把未知增长认领为本 grant 的进度。

恢复必须区分可证明的 committed 与仅有 durable running：最终事务提交后，deterministic request ID 找到 completed/proposal turn，且 conversation/cursor 正好包含该次 N→N+1，worker 不再调用模型，只创建/恢复同一 delivery。仅存在 running turn，即使存在 model_db 先提交的 proposal work item，也不能推断模型结果已提交；租约过期后标 agent_execution_indeterminate，不重跑模型、不自动外发，proposal 保留为既有审计对象且不得经 connector 批准。模型 runner 抛错时用新的 fenced 短事务把仍 running 的 turn 标 failed，conversation revision/cursor 保持 N。

Receipt 消费、租约与恢复

callback 的 persist_verified_message 对非绑定文本执行：

• 领取 <opaque_claim> 精确匹配后查 claim digest；其他文本为 reply。
• 要求 binding 与单聊一致，并通过 reply_to_message_id 查同 installation、同 chat、状态 sent 的 outbound delivery；由 delivery 唯一得到 reply grant。
• artifact claim 还要求 artifact grant 属于该 reply grant。任一不匹配保存 rejected receipt 和稳定通用码，不泄漏 grant/artifact 是否存在。
• 成功时原子写 received、binding/grant/conversation；普通回复保存 safe text，领取分支只保存 [artifact claim] 占位和 artifact_grant_id，所有失败领取也不持久化 claim。commit 后调用 schedule_connector_receipt(receipt.id)；该函数只创建轻量 task，失败时由启动恢复扫描 receipt。

connector_reply_worker 不维护内存业务队列。schedule_connector_receipt 仅做同进程 task 去重；process_connector_receipt 使用条件 UPDATE/row lock 把 received|retryable_failed 或过期 processing receipt claim 为 processing，并同时占用 grant execution lease。单独的轻量 heartbeat 以 owner+generation 条件 UPDATE 续期 receipt/grant lease；续租零行立即设置本地 lost-fence 标志，后续模型结果/SDK结果只能丢弃，不能写状态。接管事务递增 generation；停止 heartbeat 并等待其结束后才由当前 generation 释放 lease。

恢复规则：

• receipt 已 commit、尚无 turn：重新 claim 后按 deterministic request ID 启动现有会话入口。
• 已有 completed/proposal turn且最终 revision/cursor 原子提交可证明：不调用模型，恢复或创建同一 delivery。
• 已有 failed turn：receipt permanent_failed，不复用同一 request ID 重跑。
• 已有 running turn且原 lease 仍有效：不接管。
• lease 过期且 running turn 无可证明结果：标记 agent_execution_indeterminate/permanent_failed，释放 grant lease，不假装 PTY/model 可恢复。迟到的原 worker 必须因 lease/CAS 丢失而无法写响应或外发。
• delivery pending 或可证明未进入 send 的 retryable_failed：只用原 operation ID、UUID、snapshot 重试；sending 租约过期、indeterminate、sent、failed 都不自动重发。

Root 在 lifespan 调用 worker 暴露的 start_connector_reply_worker()、recover_connector_receipts() 和 stop_connector_reply_worker()。stop 等待或取消的只是调度 task；持久状态决定重启行为。

出站与错误映射

connector_outbound_service 先在数据库创建 immutable snapshot，再调用 SDK。发送前再次 reauthorize grant、binding、User/membership READ+EXPORT、conversation status/context 和目标 chat。SDK reply_target_gone 固定为 fail，不能退化成新消息发送到别处。sdk_uuid 使用固定 UUID 字符串且不超过官方 50 字符上限。

每次 delivery attempt 的阶段和 timeout 独立：

1. claim 后状态为 connecting，启动 heartbeat；用有界 connect_until_ready(timeout=CONNECT_TIMEOUT)，并对整个 await 加同级 timeout。SDK 源码显示 webhook transport 的 start() 仍先同步等待最多 10 秒的 bot identity 网络请求，再标 ready；该 SDK 会吞掉 identity lookup 失败并后台重试，所以“connect ready”也不能解释成已验证 bot identity。只有 connect await 自身抛错/超时才映射 connect_failed，并且只在 SDK send 尚未开始且 fence 仍有效时可标 retryable；它与 send 结果未知严格区分。
2. connect 成功后，再次 reauthorize/检查 fence，在一个短事务把 delivery 从 connecting 改为 sending 并 commit，然后才调用 channel.send(..., uuid=fixed_uuid)。send await 使用独立 SEND_TIMEOUT。从 sending commit 起发生的 timeout、取消、进程崩溃、网络异常或丢失 fence都标/恢复为 indeterminate；不能假设请求未到飞书。
3. disconnect() 始终在 finally 中以独立 DISCONNECT_TIMEOUT 有界执行。disconnect 失败只记录稳定码，不覆盖已确认 sent，也不把 indeterminate 改成 retryable。connect/send coroutine 和 heartbeat task 必须被 await 到完成/取消并回收；不得留下无人观察的 task 异常。
4. 飞书官方“发送消息”和“回复消息”文档都只保证相同 UUID 1 小时内至多成功一次，且最大长度 50；这不足以覆盖数据库重启或人工处理的任意时长。因此固定 UUID 是短窗口降重辅助，不构成 exactly-once 证明。sending 崩溃或 send timeout/未知异常后禁止自动重发，即使还在一小时内；状态固定为 indeterminate，等待人工核对 provider 消息后处置。本 P2 不新增危险的“强制重发”API。

状态映射：

• connect 阶段 not_connected，或 SDK 明确证明请求未发出的本地校验/限流前置失败：retryable_failed，有界退避后仍用同 UUID。
• SDK send 已开始后的 send_timeout、异常、进程崩溃、丢 fence，或 SDK 没有证明未接受请求的 rate_limited/not_connected：indeterminate，禁止自动恢复发送。
• target_revoked、permission_denied、format_error、not_supported、ssrf_blocked：failed。
• 返回 success 但无 message ID：indeterminate。
• 授权在发送前失效：delivery failed、receipt permanent_failed，不构造 SDK。

日志只记录 public operation ID、阶段、状态和稳定错误码，不记录正文、claim、open_id/chat_id、SDK raw、token/secret 或异常原文。SDK exception 只按受控映射记录，不插值 str(exc)；connect 内部 bot identity 日志要通过专属 logger filter/level 测试确保不会进入应用持久日志。disconnect() 放在 finally，断开失败不能把已确认 sent 改成 failed。

Artifact grant 与 run 细化

创建 artifact grant 时先做 reply grant reauthorization，再调用：

scope = await project_artifact_service.resolve_scope(
    db,
    workspace_id=grant.studio_workspace_id,
    project_id=grant.project_id,
    workflow_id=request.workflow_id,
    run_id=request.run_id,
)
detail = await project_artifact_service.get_project_artifact(
    db,
    scope=scope,
    artifact_id=request.artifact_public_id,
    conversation_workspace_id=grant.workspace_id,
    studio_workspace_id=grant.studio_workspace_id,
)

随后要求 detail.conversation_id == grant.conversation_id、project/workflow 精确相等、session 非空、content hash 非空。reply grant 已绑定 run 时，detail run 必须相同。reply grant 的 run 为空时，只允许 detail 的可信 producing provenance 把 artifact grant 细化到实际 run；不修改 reply grant context/cursor，也不允许同 project 猜 run。无 conversation 来源、歧义来源、evidence projection、定时/外部/legacy run 产物均拒绝 artifact_conversation_provenance_unavailable。

领取时重新执行相同 service 调用并逐字段比对 public ID、native ID、session、project/workflow/run/conversation/content hash。文本、Markdown、HTML 只有在 detail.content["body"] 是已知 bounded string 时用 OutboundText 作为纯文本发送；其他 JSON canonical serialize 为 UTF-8 内存 bytes，并用 SDK OutboundFile(source=MediaSource(kind="buffer", buffer=data), file_name=...) 发送。总大小沿用 native 1 MiB 上限。未知媒体返回 artifact_media_unsupported。任何 path/url/key 字段只当普通 JSON 数据，不作为 SDK source。

claim 解密只发生在已重检授权且已持有 outbound fence 的发送 attempt 内，明文只存在于局部内存并在 finally 后丢弃。CredentialCryptoError（缺 key、错 key或损坏 ciphertext）固定映射为 claim_decryption_failed：delivery 与 artifact grant 同一 fenced 事务标为 failed，grant.error_code=claim_decryption_failed 且 active_slot=NULL，不进入 SDK，不自动重试，不记录异常原文或 claim。当前单 key 机制的运维合同是部署必须稳定保留原 CREDENTIAL_ENCRYPTION_KEY；P2 没有“旧 key 版本”可选。进程以同一 key 重启可恢复 pending claim；换 key 后旧 ciphertext fail-closed，恢复旧 key也不会自动复活已标 permanent failed 的 delivery。撤销 API 本身不解密 claim，key 丢失时仍可撤销/清空 active slot；如仍需领取，运维恢复正确 key并由用户撤销旧 grant，再以新 request ID 创建新 grant，系统不自动 re-encrypt。

产物文件成功发送并得到非空 provider message ID 后，worker 在 fenced 短事务把 delivery sent 与 artifact grant redeemed 一起提交；send timeout/indeterminate 时 grant 保持 active 但 active slot 不释放，且原 delivery禁止自动重发，避免生成新 claim或重复文件。过期、撤销或 hash 漂移均不返回内容。

健康语义

callback_ready 与 binding_ready 保持 P1 定义。进程级 worker 暴露只读 ConnectorReplyWorkerReadiness(configured, started, accepting_claims, outbound_started, artifact_configured) 快照；状态由 root 的显式配置和实际 start/stop 生命周期原子更新，不读取 CI、测试、迁移文件或 installation 数量。

• reply_execution_ready = connector_reply_enabled && worker.started && worker.accepting_claims && outbound.started，随后 installation 自身仍需 active/凭据可解密才可建 grant。
• artifact_delivery_ready = reply_execution_ready && connector_artifact_delivery_enabled && worker.artifact_configured。它只说明代码能力和本进程 worker 已启动；每次 artifact grant 仍由可信详情服务验证来源，来源缺失时单请求 fail-closed。

启动失败、stop 开始、heartbeat/worker supervisor 崩溃或 outbound adapter未完成启动时 readiness 立即 false。两者不表示当前用户已绑定或已有 grant；本人绑定仍由 my-binding API 判断，receipt ACK也不表示 Agent/出站完成。

验收矩阵

全部测试使用隔离 SQLite/PostgreSQL fixture、fake chat runner 和 fake/monkeypatched official SDK channel；不得调用真实模型或飞书。

1. Migration upgrade/downgrade、FK/unique/check/index、creator request key/active slot/delivery purpose 唯一约束、旧 receipt 保留；无业务数据回填。
2. Reply 与 artifact POST 的 canonical hash固定向量；同 request ID/hash 顺序重放及真实并发只返回一个 grant/activation/offer，IntegrityError 后 rollback+新事务读到胜者；同 key不同 hash 为409。artifact 并发败者和所有重放的 claim_text 必为 null，数据库和 delivery snapshot 无明文。
3. 不同 request ID 对同 conversation/reply slot 或同 artifact slot 并发时只有一个 active grant；失败者稳定409。active 未过期不可替换；expired/revoked/redeemed/failed 清 slot 后必须新 request ID 才能重建；旧 request ID 永远返回旧终态且不复活、不多发。
4. Grant 创建拒绝 foreign workspace/project/workflow/run/conversation、非 owner、closed conversation、撤销 binding、binding revision 漂移、无 READ/EXPORT；正常 local-admin Studio 会话成功。OIDC 普通 Studio HTTP 仍403。
5. API body 不能注入 user/chat/context/hash/revision/creator；GET/DELETE 跨用户和跨 scope 404；撤销幂等。
6. reply target 必须命中同 installation/chat/grant 的 sent delivery；伪造 parent/root、其他 grant/installation/chat 均 rejected 且无标题/状态泄漏。
7. callback ACK 时只有 receipt；模型与 SDK send 均未运行。worker 后续才调用现有 conversation service。
8. 同 message ID 同 hash 的并发、重推、重启得到一个 receipt、一个 turn、一个 operation；不同 hash 冲突且无第二 turn。
9. deterministic request ID 命中现有 completed/proposal turn且最终 revision/cursor 已提交时不再调用 runner；只有 running、只有 proposal provenance、failed 均按恢复规则 fail-closed。
10. _insert_running_turn durable commit 后测试确认没有 row lock 跨越 fake model await；最终短事务重新加载对象，并把 response/status+conversation revision+grant cursor 一次提交。逐点注入崩溃：running commit 后、model 前/后、model_db proposal commit 后、最终 commit 前/后、receipt/delivery commit 前/后；只有最终 commit 后视为可恢复 completed。
11. 同一 grant 连续两条回复：revision/cursor N→N+1→N+2，两个不同 turn，历史包含上一回复。两条并发回复由 lease 串行，第二条不从旧 cursor 启动。
12. 模型中途 grant/binding/installation 撤销、用户 disabled、membership/EXPORT 删除：turn 可留审计，cursor 只随自己的已提交 turn推进，零外发。conversation closed、context/hash 改变、其他平台 turn 推进 revision、lease generation 被接管时，本 turn不覆盖状态、不推进 cursor、不外发；迟到 worker 条件写为零行。
13. proposal 复用既有 work item/provenance；model_db proposal先提交而最终 turn未提交的崩溃场景不得推断完成或外发；无 connector approve/execute 路由。
14. worker heartbeat 在 fake clock 下续租，停止/丢 fence 后无迟到写；receipt/turn/delivery 各状态的重启恢复符合上文，未知运行不声称恢复。
15. SDK contract test 证明 connect 可触发 bot identity网络调用；connect/send/disconnect 分别 timeout，disconnect 永远 finally且被 await。connect 失败可重试；send 开始后的 timeout/异常、sending 崩溃、丢 fence、success无 message ID 均 indeterminate且重启不自动发送。明确失败的 permission/target revoked 等为failed，reply_target_gone="fail"。
16. 固定 operation/UUID（<=50）/snapshot；官方 1 小时 dedup窗口之外的恢复也不自动重发，测试不得把固定 UUID 断言为 exactly-once。
17. source-origin 正向产物可建 grant并领取；originless/legacy/定时/外部/歧义/跨 run/user/workspace/project/workflow、hash 漂移均拒绝。reply grant run为空时只由可信 producing origin细化，任意同 project run不能替代。
18. claim 用现有 Fernet key：同 key进程重启可解密；换/缺/损坏 key 永久 claim_decryption_failed且不进SDK；恢复旧 key不自动复活失败delivery；key不可用时撤销仍成功，撤销后新 request ID可重建。测试明确当前无 old-key version/keyring支持。
19. text body、JSON buffer、1 MiB 边界、unsupported media、simulated 标识、文件名清洗；从不读取 path/URL。
20. 日志/HTTP响应/捕获异常扫描无 safe text、claim、open_id/chat_id、bot identity、provider raw、SQL参数、token/secret。
21. health 只随显式 reply/artifact config、worker accepting、outbound started及 start/stop/crash变化；不读取测试状态，binding_ready 不冒充本人已绑定，ACK不冒充回复完成。

实现 return condition：上述专属测试全部通过；P1 的 49 项 migration/runtime/receipt/installation/真实 app callback 回归不退化；Issue #121 的来源定向测试通过；Ruff、变更 source 的限定 Mypy、migration upgrade/downgrade、git diff --check 通过；独立安全 reviewer 接受 capability/CAS/lease/outbound/artifact 与本次五项修订。任何真实 SDK/model调用、业务数据库读写、preview/旧服务访问，或仅凭 UUID宣称 exactly-once，均不满足 return condition。

核对出处

• 飞书开放平台回复消息 API：uuid 最大 50 字符，相同 UUID 只保证 1 小时内至多成功回复一条。
• 飞书开放平台发送消息 API：create 同样只有 1 小时去重窗口。
• 本地固定 wheel lark-channel-sdk[fastapi]==1.4.0 的 lark_channel/channel/channel.py：connect_until_ready -> start_background -> start，而 start 在 webhook ready 前调用 _fetch_bot_identity_sync；send 把 opts.uuid 交给 sender；disconnect 是 async。
• 仓库 backend/auth/crypto.py 与 backend/config.py：Fernet 从单个 CREDENTIAL_ENCRYPTION_KEY 惰性读取，ciphertext 无 key版本/轮换元数据，错 key或损坏统一抛 CredentialCryptoError。
• 仓库 backend/services/agent_conversation_service.py：_insert_running_turn 先 commit；runner 使用独立 model_db，其 proposal先 commit；turn response/status 与 conversation revision由原 db 同一次 commit写入。P2 只在该最终短事务加入 cursor CAS和fresh reload。

回退

迁移为纯新增表/列，不回填、不改变现有 installation/binding/严格 callback 验签。代码回退时先由 root 停止 connector worker 并让 health 的 reply/artifact readiness 变 false；已持久 receipt/grant/delivery 保留审计，旧 callback 会继续安全 ACK 或以 reply_grant_unavailable 拒绝，不触发模型和出站。

数据库 downgrade 只能在所有 P2 进程停止、active grants 已撤销且确认不再需要 retained receipt/delivery 审计后执行。凭据验证材料继续按 P1 撤销保留规则处理；回退不销毁或复制真实凭据，不发送补偿消息。

协调者最终复审补充验收

22. 普通回复正文仍可持久化；有效、无效、过期、格式错误的领取命令，在 receipt/delivery/数据库全行及日志/trace 扫描中均无明文 claim，只允许固定占位符和服务器关联。receipt/grant generation 默认0且非负，迁移和并发接管证明迟到 owner+generation 的续租、结果写回和释放均零行。失钥使 artifact grant/delivery 原子进入 failed 并清空slot；相同key恢复不复活，旧requestid重放保持failed，只有重新授权的新requestid可新建。

[1012839419a-alt]

P2 已正式派发，shared lifecycle 接线接受

正式执行合同：#125 (comment) 。原独立 reviewer 已接受，root 发布后逐字规范化换行回读一致（30,771 字符；本地 SHA256 3CD18E9CC62D41F24A59E89A3A2E4D6F37EEE2CB004B9A795BAE3822F96AF4C2）。

Sol 已在 D:/projects/opencli-openalice-replies-20260906、branch codex/openalice-replies-20260906、baseline 4befc988 实施；专属 models/schema/receipt/grant/worker/outbound/artifact services、现有会话最小 core/finalize、独立 API、迁移和测试归 Sol。应用实现尚未交付或验收。

Root 在整合树独占 main/config/shared注册，已增加默认false的两个能力开关，并接 start → recover → yield → finally stop。使用实际 create_app/settings、仅mock worker边界的6项生命周期测试通过，Ruff/diff check通过；独立reviewer接受此接线范围。start部分失败或未启动时stop必须幂等，实际worker交付后必须再验收；这6项不充当真实worker/SDK出站测试。

稳定worker签名已确认：start_connector_reply_worker(session_factory, *, reply_enabled, artifact_enabled, chat_runner=None)、recover_connector_receipts(*, limit=100)、stop_connector_reply_worker() 和 get_connector_reply_worker_readiness()。新增三模型注册待 Sol 模型提交后由root完成，尚未放入当前整合树。

Luna已完成前端只读预检；实际API交付后再派报告详情入口，不制造mock-only功能。必须通过受授权getAgentConversation获得governed Workspace，不把产物Studio workspace_id当权限。状态GET/list/revoke接口已写进合同，供刷新与真实投递状态展示。

用户预览8046/8047保持，原8030/8031服务和业务数据不变。当前125仍OPEN，回复/产物投递尚未验收，父目标最终review仍待全部交付。

[1012839419a-alt]

#125 P2 前端实施：报告中的飞书回复与产物授权

状态：正式派发，前提为 Sol 已确认真实 API/schema 稳定；后台执行仍在自测中，UI 交付不代表 P2 已验收。

contractRepo/executionRepo：2233admin/opencli-Razormind；本 Issue 标题保持“feat(openalice): 外部结果回复与产物领取”。唯一协调者为当前 root。执行者原生 /root/implement_artifacts（Luna XHigh），在 D:/projects/opencli-openalice-replies-ui-20260906、branch codex/openalice-replies-ui-20260906、baseline 94338d92082d290523d9e92e42f51589928bbd55。

目标与复用

在现有报告详情中，明确选择本人已绑定的飞书机器人，授权该原会话接受回复，并发送当前报告的领取指令；显示真实激活/offer/领取状态和有效期，支持刷新恢复与撤销。复用既有 ProjectArtifactsPanel、Dialog、Badge、React Query、报告/会话/安装/本人绑定 API，不另建会话、报告存储、后台任务或网络执行层。

用户当前优先看前端，预览8046/8047保持。此功能的真实浏览器验收由root在独立测试服务完成，禁止为了演示向真实飞书或模型发送请求。

排他文件范围

• 修改 frontend/components/artifacts/project-artifacts-panel.tsx，只挂载当前详情的渠道动作。
• 新增 frontend/components/artifacts/connector-reply-grant-panel.tsx、frontend/lib/api/connector-reply-grants.ts。
• 必要时仅对 frontend/lib/api/connector-installations.ts 的已有成员/安装类型做真实 schema 所需的兼容字段补充，不改既有业务行为。
• 新增 frontend/e2e/connector-artifact-grants.spec.mjs，使用真实页面/API验收，不能通过 page.route/mock 成功替代接口。
• 不改 shared hooks/client/AuthProvider、sidebar、package/lock、backend、已有E2E fixture/runner/config。root独占测试服务与config、所有后台接线。需要额外文件先报告。

你不是唯一执行者；不得撤销他人修改，只在上述 worktree/路径实施。node_modules 已连接到现有只读依赖，不运行 pnpm install/uv sync。不碰原目录、业务数据库、8030/8031或8046/8047，不push/merge/改Issue状态。读仓库/frontend AGENTS 和当前Next安装文档后编辑。

真实作用域与能力

• 当前产物的 workspace_id 是 Studio 范围，不能当 governed Workspace。必须先复用 getAgentConversation(artifact.conversation_id)，用受授权响应的 conversation.workspace_id 作为 connector API scope，并校验 context_binding.studio_workspace_id、project_id、workflow_id 与产物吻合；已有run必须一致，run为空只表示由服务器校验可信生产来源细化。无会话/无权限/已关闭/上下文冲突时给出明确原因，不放宽普通会话HTTP权限。
• 用已有授权工作区列表、安装列表、health、my-binding。只有 installation active、本人 binding active 才可选择；binding_ready 是配置状态，不能当本人已绑定。新建授权还需要真实 reply/artifact capability 和用户具有EXPORT能力；未知权限保守处理，backend的403仍为最终裁判。现有 workspace role 中admin/maintainer/operator具有EXPORT，viewer不具有，不能把配置管理权限误作EXPORT。
• 导航、缓存、request key均包含governed workspace/project/conversation/artifact，切换报告/工作区时清空旧选择和一次性claim。不可推断默认管理员或任意openid/chat身份。

稳定 API

以 D:/projects/opencli-openalice-replies-20260906/backend/schemas/connector_reply.py 和 backend/api/v1/connector_replies.py 为实际接口事实源；Sol已冻结以下签名，后续若不一致向root报告。

• POST /workspaces/{governed}/projects/{project}/connector-reply-grants：request_id(1..64)、installation_public_id、binding_public_id、conversation_id、expires_in_seconds（默认604800）。响应 ConnectorReplyGrantCreated = Read + created。
• 同collection GET 必须带conversation_id，limit默认20/最大100；item GET/DELETE /{reply_grant_public_id}。Read含公开安装/绑定/会话/精确范围、status/version/expires_at/revoked_at、activation_delivery_status和时间戳，不含provider身份或秘密。
• POST .../{reply_grant_public_id}/artifact-grants：request_id、artifact_public_id（当前artifact.id）、workflow_id、run_id、expires_in_seconds（默认1800）。Created = ArtifactRead + created + nullable claim_text，明文只会给首次创建胜者。
• 同artifact collection GET limit20/100；item GET/DELETE /{artifact_grant_public_id}。Read含artifact_grant_public_id、reply_grant_public_id、artifact_public_id、精确project/workflow/run/session/hash、title/media_type/simulated、status/version/expires_at、offer_delivery_status、delivery_status、error_code与时间戳，永不返回claim。
• 全部API继承apiClient的/api/v1前缀和现有Bearer处理，使用ApiResponse.data。字段名、nullable和长度必须与真实schema一致。

可见流程与失败语义

1. 报告详情入口显示连接授权说明与真实原会话。用户明确选择连接，知道授权该原会话回复的期限（默认7天）及当前报告领取期限（默认30分钟）。按钮用用户语言，避免展示实现细节。
2. 先读取该conversation的本人grants，恢复既有active授权与投递状态；不因刷新/重开而自动再POST。没有合适grant才经用户动作创建reply grant。
3. 激活投递处于pending/connecting/sending时只进行有界间隔GET刷新（例如3–5秒），不自动发第二次创建；sent后才允许发送当前报告的领取指令。任何failed/indeterminate显式提示，不能显示“已发送”或提供危险的自动重发。
4. artifact POST经明确用户动作创建，随后从实际GET/list恢复offer/领取状态，关联当前精确artifact。一次性claim只保存在当前组件内存并可复制；关闭/切换时清空，禁止localStorage/sessionStorage/URL/log/持久query cache。重放返回null时不要编造claim，可提示从已投递飞书消息查看。
5. 提供现有active reply/artifact grant的明确撤销动作；终态按真实结果显示。binding被撤销、health不可用或scope权限失效时禁止新创建/领取，仍显示可读取的失败/终态，不冒充恢复。
6. 同一用户动作的request_id在组件ref/state中固定。响应丢失/网络错误的显式重试必须复用同ID与相同body，不自动换ID。用户改安装/产物/参数视为新动作，但必须先恢复/处理原请求状态，不能绕过active_slot冲突。403权限不足、404不可用、409幂等key复用/active grant冲突均使用稳定提示；不直接回显敏感服务端异常。

验收与交付

完整tsc、owned文件ESLint、diff check；实际浏览器专属test可先写，但只有root整合真实backend后运行才算验收。测试应证明：原会话→真实governed映射，存在权限但不同scope不串，创建reply并观察sent后artifact offer，刷新恢复，重复请求不多授权/投递，claim重放不回显/离开清空，撤销/expired/failed/indeterminate，375px无溢出。使用隔离SDK outbound fake/固定chat runner仅位于backend seam，浏览器不能mock API成功。

返回单独commit、精确文件列表、测试命令/结果、尚未运行/未交付项。root复跑及独立reviewer接受后才标记本UI完成；不把mock演示、自测或接口存在当成父目标完成。

[1012839419a-alt]

P2 前后端并行实施与验收环境准备

真实 API/schema 交付后，Luna 已按前端正式合同在 codex/openalice-replies-ui-20260906 实施报告授权、投递状态刷新、撤销和专属浏览器测试。合同全文远端回读匹配。Sol 继续独占 P2 后端；root 独占共享接线及 E2E config/support/fixture。

root integration 94338d92 的生产 connector 生命周期已获独立接受：默认关闭不启动；开启后 start → recover → 服务；启动、恢复和服务异常均 stop。实际应用工厂的 6 项边界测试通过，但使用 worker 替身，不能代替实际 P2 worker 验收。

root integration 6de34f57 新增隔离 P2 E2E harness：不同 governed/Studio Workspace ID，真实 HTTP、SQLite、生产 connector lifespan 和 SDK 入站，仅现有 chat 执行边界及 SDK 外发网络使用本地替身。测试专用外发观察端点只在临时 runner 注册，并限制 loopback 与测试 token。原完整 HTTP workspace journey 1 项回归、Ruff、Node 语法、定向 ESLint 通过；默认 Playwright 配置保留一个原有警告。记录提交为 971d2b38。

P2 前后端尚未交付固定版本，新的回复/产物领取浏览器旅程尚未运行。后台持续积压恢复及并发恢复 fencing 正在补充核验，不作为已通过结论。

8046 健康接口和 8047 /studio 均返回 200，现有预览保留。未触及业务数据库、真实模型/采集/飞书外发或远程 main；#125 和父 #116 均未完成。

[1012839419a-alt]

P2 第一固定版本：已整合，审查退回修正

Sol 后端 checkpoint 69eb63ddee33e757798b802d48a535b180269b81 已整合为 97bb7fbd，root 在 6cc06639 注册三个模型。Luna 前端 fe38389a 整合为 8c05f305。两份均为待验收版本，不确认 #125 已完成。

Root 独立复跑 P2、P2 migration、实际应用工厂生命周期边界测试 26 项通过；真实 production connector lifespan 在临时 SQLite 上启动成功，两项 readiness 为 true，实际本人 grant 列表 API 返回空列表。测试 observer 被原 root MCP mount 遮蔽的问题已在 f0fdee1d 修正；真实 HTTP 证明测试 token 返回 200，匿名返回 403。固定 SDK adapter 在调用时从可替换的 lark_channel.FeishuChannel 入口导入，本地 fixture 生效。完整浏览器流程仍待前端修正后运行。

后端固定版本独立审查：REVISE

保留原 Sol ownership 和正式合同，不扩大范围：

1. _mark_connector_turn_failed 只按 turn ID/running 状态写入，没有 receipt/grant owner 与 generation fence。旧 worker 在分配 turn 前停顿、另一 worker 接管并插入 turn 后，旧 worker 异常路径可能把新 worker 的 turn 标为 failed。修正须在同一短事务验证 sealed access 的两个 fence；失去 lease 零写入。新增接管发生在 turn allocation 之前的并发回归。
2. artifact receipt 处理遇到已撤销或不存在的 artifact grant 直接返回，receipt 留在 processing，恢复后持续重试。修正须稳定返回 artifact_grant_unavailable，按当前 receipt/grant generation 把 receipt 置为 permanent_failed 并释放 lease。新增 callback 已 ACK 后撤销、随后 worker/recovery 处理的回归。

原 reviewer 接受其余授权、精确 scope/hash、幂等 winner、正常 turn/revision/cursor 同事务、claim 脱敏、SDK 分阶段超时/发送前复验以及不确定结果禁止重发的主路径。Sol 修复后交原 reviewer 复审。

前端回退：真实状态与测试闭环

保留原 Luna 四文件 ownership，root 不并发修改这些文件：

• E2E 必须用 Studio workspace 访问实际 artifact API/页面，用 governed workspace 管理 grants；网络 reply JSON 就是输入本身，不能读取不存在的 body.input。
• 必须实际发送领取 callback，核验报告内容、redeemed 和重放幂等；执行 UI 撤销并验证撤销后拒绝，不以生成领取指令替代领取完成。
• artifact offer sent 后仍要观察最终领取/交付状态；刷新与撤销必须失效或重读 detail，不能被旧的 active cache 覆盖。
• terminal grant 的重新授权必须使用新的用户 request ID，补 failed 中文状态；前端遵守服务端已验证可信来源允许的 draft run 细化，不自行猜范围，也不误拒绝。

原 reviewer 正对前端固定版本补充独立只读检查。Luna 修复后运行真实前后端/SDK fixture 浏览器测试，遇到后端阻断向 root 报告，不绕接口。

现有 8046/8047 预览保持；原目录、业务库、真实模型/外发和远端 main 未改动。最终父目标独立验收尚未执行。

[1012839419a-alt]

P2 追加阻断：SQLite 并发领取

前两个独立审查阻断已经由 faa284ef4e2f4a0075045e2c693d59234a7055f9 修正（integration ba00306a），原 reviewer 接受该修复范围。Root 独立 P2/migration/原会话 service 30 项复跑通过。

但 root 新增独立并发实证发现整体仍须 REVISE：_claim_delivery 依赖 SELECT FOR UPDATE 后 ORM 赋值；受支持的 SQLite 忽略行锁。两个真实独立 SQLite session 在读取同一 pending row 后同步继续，两次 claim 都成功返回不同 owner、同一 generation=1，而应当只有一个胜者。

可重复失败证据：root regression commit 65fb9055，tests/integration/test_connector_claim_concurrency.py::test_two_sqlite_workers_cannot_claim_the_same_delivery，运行结果 1 failed，两个成功领取。测试复用真实隔离 SQLite fixture，仅在两个读取完成时加时序 barrier，没有改数据库返回值或模拟 claim 成功。Ruff 通过。该文件归 root，Sol 可 cherry-pick 运行但不改弱断言。

Sol 保持原 backend ownership，优先修复以下内容并交固定 commit：

1. delivery 领取用支持 SQLite/PG 的原子条件更新和 generation 递增，只允许一名 worker 获胜；同查 receipt/grant 双领取，不能把 FOR UPDATE 当成 SQLite 的跨 worker 保证。
2. 最终失败/完成写入必须在数据库写条件中持有有效 owner/generation fence，或提供等价的数据库事务串行化证明；不能在 Python 检查后无条件写入。重点复核 failure writer 的 SQLite 接管窗口，不引入进程锁替代数据库保证。
3. 现有恢复 supervisor 每次仍按 created_at 读取最老前 100 条；若这些条目持续 retryable_failed，后续积压可能被饿死。补充有界、公平的扫描/重试机制和超过页大小、重试队头持续失败时后续工作仍被调度的回归。

正式合同的完整矩阵仍有恢复崩溃点、proposal、artifact 真并发/媒体上限/crypto 与日志扫描等证据待补；已要求逐条映射测试，不能把测试数量等同于合同覆盖。Luna 继续修 UI 并运行本地真实 SDK fixture 浏览器旅程，root 最后独立复跑。

8047 预览正常登录、报告、原会话、刷新/首页恢复、375px、无 pageerror 的 11 项再次通过。8046 仍显式关闭回复/领取执行且 lifespan off；只操作备份后的模拟预览库，没有业务数据、真实模型/外发或远端 main 变更。

[1012839419a-alt]

P2 原子领取与报告闭环：本轮固定范围通过

后端 c31425b5932d78539d672581db22949c6774d887 已整合为 e9acbe7e。UI b93594db、cf34fc6d 分别整合为 c9543450、bf18d5b8。此前独立 SQLite 双领取失败回归保留，未弱化断言。

原独立 reviewer 接受本轮原子 delivery/receipt/grant 领取、最终写入双 fence、connect 授权事务的 SQLite 写锁、积压公平游标和 native 正文适配。UI 缓存、最终交付轮询、failed 新授权、EXPORT 角色、可信 draft run、claim 内存清理及 retryable 状态文案也已复审接受。

Root 在固定整合树独立复跑：

• SQLite 双领取回归、P2、P2 migration 和原会话 service：38 passed。此前的两个成功领取现在只有一个胜者。
• playwright.connector-artifacts.config.mjs：1 条完整实际浏览器旅程通过（用例 26.2 秒，含启动总计约 1.5 分钟）。真实 Next、HTTP、临时 SQLite、生产 connector worker 和固定 SDK 入站；只替换原 chat 执行边界和 SDK 外发网络。
• 浏览器经过本人绑定、授权激活、回复原会话、报告 offer、撤销/旧 claim 拒绝、使用新 request ID 重新授权、真实领取正文及 redeemed/sent 状态、刷新后不回显 claim、跨 workspace 拒绝、viewer 降权后创建禁用/403、375px 无横向溢出。
• Root 已通过 UI 修复版的完整 TypeScript/定向 ESLint；最后轮询小修的执行者静态检查及独立只读复审通过。

测试服务器 8048/8053 已释放，8046 健康接口与 8047 /studio 均返回 200。Next 构建尝试下载 Google Fonts 超时后使用回退字体，未影响测试通过；这不是一次全仓构建或覆盖率认证。

该记录接受上述修复与实际闭环范围，#125 仍未整体完成。Sol 正补正式矩阵中未完成的 JSON/UTF-8 大小/不支持媒体、日志与 HTTP 敏感扫描、SDK 异常结果分类、failed/proposal 及提交前后恢复证据。不能以通过数量替代合同覆盖，也不能把 root 已测的特定 scope/403 扩称为所有 foreign-create 组合。

用户预览继续使用隔离模拟库，回复与产物执行开关仍关闭；业务数据、原服务、真实模型/采集/飞书发送和远程 main 未改。最终父目标独立审查待剩余证据完成后进行。

[1012839419a-alt]

P2 边界测试复跑与权限验收补充

Sol 的 tests-only d9958c5542ff8534e7c43c0516deb77ea749bc64 已整合为 52d17146。Root 独立运行 SQLite 并发回归、P2、P2 migration 三文件，41 passed / 164.19 秒。新增报告媒体和大小、异常 SDK 结果、日志/HTTP 敏感值扫描、failed/proposal 恢复证据通过。执行者另报 P1/来源四文件 50 passed，不混同为 root 本轮复跑。使用说明和持久验证记录位于 docs-only 715b4cdb。

此前生产 worker/固定 SDK 入站的完整实际浏览器旅程仍通过；本次只加测试和文档，没有重复运行无变化的浏览器代码。用户预览 8047/8046 保持可用，模拟连接关闭，业务数据和真实外发未动。

按原正式 P2 合同核对后，执行者已更正 crosswalk：不能把原有来源测试或 root 的特定 GET/Viewer403 浏览器断言扩称为 P2 创建的完整权限组合。剩余未直接覆盖项必须如实保留。#125 与父 #116 仍未完成，父目标只读预审进行中。

继续由原 Sol 执行者在 D:/projects/opencli-openalice-replies-20260906 按原 ownership 补高风险的 P2 HTTP/service 权限测试：

• 实际 reply grant 创建拒绝跨用户、错误 governed Workspace/项目/会话、关闭会话以及缺少 READ/EXPORT 的身份；验证已有 local-admin Studio bridge 与普通 OIDC 边界，没有假造管理员通过。
• reply/artifact grant 的读取和撤销拒绝其他用户或范围；伪造请求字段由 typed schema 拒绝；同 request ID 不同正文冲突且没有额外 grant/activation/offer。
• artifact grant 拒绝不一致的项目/工作流/运行/可信来源/hash，以及失效 claim；用持久数据库断言没有越权内容或第二次模型/SDK 操作。

这属于正式合同已有验收门禁，不扩展功能。执行者只改原有专属 P2 测试；若复现产品缺陷，先报告固定失败例子，由 root 与原独立 reviewer 决定同 ownership 内的修复。不要修改 root 独立并发测试、共享应用接线、前端、依赖或业务数据库。返回固定 commit、定向测试结果和精确剩余边界；不能再把未直接测的项目归给 root。Root 整合独立复跑，reviewer 核对后再决定整体接受范围。

[1012839419a-alt]

P2 权限缺陷与父预审补充验收

权限补测 d293008c、d94a373b 分别整合为 58457db3、4ff82030。执行者报告新增边界 20 项通过、全文件排除已发现缺陷后 59 passed/1 deselected；精确拒绝码 14 个参数用例另过。不能将其报告为整个套件通过。

已固定失败测试 test_oidc_identity_cannot_create_reply_grant_for_studio_conversation：普通 OIDC governed 成员对 Studio-bound 会话创建 reply grant 当前成功，合同期望 403 且没有 grant/delivery。Root 正独立复现，原只读 reviewer 对照 resolve_stored_agent_session_workspace 与正式合同核对最小修复位置；应只约束人类管理入口，不能让已授权 grant 执行时的非管理员 connector identity 走 local-only resolver。原 source owner Sol 不修改共享 Studio resolver、普通会话 HTTP、身份配置或伪造管理员。

父预审另要求完成原合同中尚无直接证据的有界测试，仍由同一 Sol owner 在 replies 工作树承担：

1. Reply/artifact 不同 request ID 命中同一 active slot 的真实并发：只允许一个成功，另一个精确 409，无第二个 activation/offer。
2. 两类 canonical hash 固定输入及预期 SHA-256 向量，包含 Unicode、整数和字段次序，不以再次调用被测函数计算预期值。
3. 缺失或空 CREDENTIAL_ENCRYPTION_KEY 时，offer 解密失败必须稳定进入不可重试终态，artifact/delivery 状态与 slot 正确，不构造 SDK、不随密钥恢复复活；用已有真实数据库与 crypto 实现验证。
4. 真实 artifact → claim → file delivery 路径验证 simulated 元数据冻结及含路径分隔符、Unicode、超长标题的安全文件名。

这些测试只写专属 test_connector_reply_phase_two.py；如果复现源缺陷，先向 root 报告固定失败例子，root 和原 reviewer 确认后按原服务 ownership 修复。不要修改 root 独立并发测试、共享应用接线、前端、依赖或业务库。

SDK bot identity/SQL 参数进入持久日志的配置边界由原独立 reviewer 只读检查，root 再确定必要的最小修复和独立验证，避免两个执行者同时改共享日志或数据库配置。迁移 FK 声明已被只读核对，运行时约束补强按实际风险判断，不靠全笛卡尔测试数量宣布完成。

每次交付返回固定 commit、精确通过/失败结果和未测范围。Root 集成复跑、原 reviewer 复审、父目标最终只读验收仍为完成条件。用户预览 8046/8047 保持，模拟连接停用；原目录、业务数据、真实模型/采集/消息和远程 main 均不改。