服务、隔离与事件

用 Service 基类提供命名服务，让消费方通过 inject 获得完整类型提示。

完成 3.7。

1. 服务是挂在 ctx 上的命名能力；super(ctx, 'metrics') 把它注册为 ctx.metrics。
2. 消费方声明 inject: ['metrics']，apply 执行时服务已就绪。
3. 用 declare module '@deepseek-ai/cordis' 合并 Context 类型，获得自动补全与编译期检查。
4. 必需依赖用 inject；可选依赖用 ctx.get()，可能返回 undefined。
5. 服务消失时依赖者自动 dispose，服务回来时自动重载。

用 isolate 让不同插件组看到不同服务实例，并区分 scope、shadowing 与 restriction。

完成 4.1。

1. isolate: { shell: true } 配合 group 插件，让不同组各自实例化同一个服务。
2. scope 按 agent 划分，扁平两层；一个活跃 agent 就是其自身 scope 的 key。
3. 带作用域的注册不会继承给 subagent；父子关系用 lineage 数据表达，不影响可见性。
4. shadowing：同 scope 内用同名项替换全局工具/片段，其它 agent 仍看到全局版本。
5. restriction：tools.restrict 让某个 scope 完全看不见某些全局工具，调用也会被拒绝。

为通知、决策、初始化、处理链、扇出五类场景选对分发模式，并区分两套事件。

完成 3.1。

1. emit 广播、bail 短路、serial 顺序、waterfall 流水线、parallel 并行；每个事件只有一种分发模式。
2. waterfall 监听器必须调用 next() 委托；不调用就是故意短路，可用于拦截或网关。
3. ctx.on 注册的监听器随插件卸载自动移除。
4. Cordis 事件（如 tools/result）是实时分发；turn/*、tool/call 等是持久化会话事件。
5. 观察持久化事件要监听 session/event 并检查 event.type，不要按同名 Cordis 事件监听。

用三角色拆一个能力，并解释为什么换 Provider 不需要改 Consumer。

完成 4.1。

1. Definition：接口 + Request/Result 类型，例如 dsh-shell 注册 ctx.shell。
2. Provider：真正实现能力，针对一种运行环境，例如 dsh-bash-local、dsh-bash-sandbox。
3. Consumer：把能力包装成模型可调用的工具，例如 dsh-tool-bash。
4. 三者可以同包也可以分包；判断标准是这些角色是否需要独立演进或替换。
5. Provider 与 Consumer 互不依赖，都只依赖 Definition；所以换实现时接口与工具不用动。