运行与生产

说出一次工具调用的完整环节，并用 pre-execute / guard 做权限门禁。

完成 3.5 与 4.3。

1. 顺序：tools/pre-execute → 单调守卫 → tools/execute → tools/post-execute → finalizeContent → tools/result。
2. pre-execute 返回 allow / deny / ask；参数不可改写，因为历史、审计、UI 与执行必须一致。
3. guard 只能返回拒绝字符串或 undefined，没有 allow 分支；所以顺序无法把拒绝变回允许。
4. execute 管超时/重试/指标；post-execute 管结果呈现；result 只观测冻结后的最终结果。
5. 选型记忆：能不能做 → pre；必须拒绝 → guard；怎么做 → execute；怎么呈现 → post。

解释 sandbox 与 approval 的分工，并验证「无后端/无应答者 = 拒绝」。

完成 6.1。

1. ctx.sandbox.confine(argv, policy) 包装确切 argv；模式：read-only、workspace-write、danger-full-access。
2. 只有前两种进沙箱；受限执行必然到达 confine，静默无隔离透传永远不合法。
3. 后端报告 enforcement: full / partial；要求绝对边界时，partial 应视为不够。
4. 无可用后端抛 SANDBOX_UNAVAILABLE，属于失败关闭，不是普通任务失败。
5. approval 结果：allowed-once / rejected / cancelled / unavailable；缺应答者、异常、不合规都算 unavailable，一律拒绝；策略 ask / never。

解释「模型可见即已记录」，并从 JSONL 还原一次轮次。

完成 5.3。

1. Session 是仅追加的 SessionEvent 日志，seq 单调递增；模型历史从日志派生，不单独存储。
2. deriveMessages() 投影：user/assistant/tool/result 进入历史；assistant/chunk 与 turn/step 跳过。
3. 事件三域：会话事件（持久事实）、Agent 事件（实时控制）、能力事件（seam 策略）。
4. turn 包含零个或多个 step；step = 一次模型请求 + 它调用的工具。
5. 空 assistant 消息不进历史，但保留 usage 事件；新增模型可见输入必须新增会话事件。

应用五个防御模式，避免一个边界情况拖垮整个 Agent。

完成 3.3 与 6.1。

1. 正交结果：timedOut、signal、exitCode 独立上报；进程可能超时后捕获 SIGTERM 并以 0 退出。
2. dispose 要完全停稳：先移除监听，再发终止信号，等待退出，超时升级 SIGKILL。
3. 凭据擦除：启动子进程前移除匹配 *KEY*、*SECRET*、*TOKEN*、*PASSWORD* 的环境变量。
4. 临时文件放 0700 私有目录，随机文件名，用 wx / 0600 独占创建。
5. 回调隔离：一个监听器抛错不能影响主流程或其它监听器；错误要单独捕获与上报。

用「四问」写一份复盘，并说明为什么 100% 覆盖率仍会漏掉集成 bug。

完成 6.4；有项目经验。

1. 四问：什么坏了、机制是什么、为什么每道安全网都没拦住、新增了什么防护。
2. 只写同时满足「隐蔽、系统性、重新发现代价高」的 bug；不是所有 bug 都值得复盘。
3. 四个真实案例：default export 丢 inject、!!js 配置误用、验收了替代服务器、Landlock 误分类。
4. 测试分层：单元、覆盖率、真实 API e2e、快照；行覆盖率证明执行过，不证明行为正确。
5. 验证外部世界，不信任 Agent 自述；文档纪律是「一个事实一个家」。