完善Agent持久动作与隔离任务恢复

收紧Agent DB容量、句柄锁、终态回执和动作历史身份校验
补齐pending动作、task、event、observation与receipt崩溃恢复幂等
扩展跨平台路径清洗、仓库上下文门禁和瞬时LLM重试
让隔离父run持久等待并通过parent-wake恢复同一run
修复确认动作阶段投影与最近工具状态推进
扩充Rust安全回归和真实Provider E2E验收
同步Runtime技术方案、实施计划与项目决策记录

docs/project-memory/shared-memory/decision-log.md

@@ -4216,3 +4216,23 @@
 - 决策：context window 压缩新增 `runtime.milestones` 安全摘要，跨窗口保留已成功完成的 `agent.spawn_isolated / agent.delegate / canvas.asset_generate / preview.validate / project.patchset / project.restore / task.create`，并明确禁止无任务依据的重复高成本或副作用动作。账本只用于规划连续性，不替代 pending-action、task/event、Agent DB、revision、verification 或 finalization 事实源。
 - 决策：旧 `runtime.context / runtime.milestones` 不再占普通最近 observation 槽；账本在再次压缩时合并旧摘要与新里程碑，所有 detail 先做路径、凭据和长度清洗。`project.diff` checkpoint 内容 hunk 与 `git.inspect` 工作树 hunk 分别保留最新一项，不能互相顶掉；总 bundle 仍不得超过 128 KiB。
 - 验证：新增连续窗口单测证明 spawn、patchset 和 checkpointId 经两次压缩仍存在，两类大 diff 同时保留。真实 `gpt-5.5` Git E2E 曾准确捕获一次上下文遗忘导致的重复 spawn；修复后 94 条 task、156 条 event、140 条 Agent DB、12 次成功工具执行中 `git.inspect=2 / patchset=1 / spawn=1 / join=1`，revision=3，Runner 强杀恢复身份稳定，验证与桌面/移动浏览器证据通过，副作用重放、重复 action/message/receipt、半完成文件、密钥和诱饵泄露均为 0。
+
+## 2026-07-13 AI 游戏创作 Agent Runtime V1.6 持久动作回执与模型回查
+
+- 决策：继续复用 `.agent/agent.db` 作为唯一长期审计源，不新增数据库或平行事实源。每个带 `actionId` 的已落盘终态 observation 必须追加或补齐 terminal receipt，身份固定包含 `agentId / taskId / sessionId / runId / actionId / actionFingerprint / tool / executionMode / status / inputSummary / summary / safeDetail / updatedAt`。
+- 决策：`safeDetail` 只允许按工具类型和字段名双重白名单抽取，禁止整段复制工具 detail，禁止保存 `file.read` 源码、命令完整输出、diff 正文、消息 / 记忆 / 委派正文、密钥和绝对路径；首版只保留 `project.patchset` 的 checkpoint / revision / count 等结构化字段，无法安全还原 detail 的历史旧记录允许显式标记 `detailUnavailable`。
+- 决策：动作历史读取必须把 receipt 当持久输入而不是可信展示 DTO，重新验证终态 status、actionId、fingerprint、executionMode、tool 和 task / session ledger 绑定，并按当前工具白名单重新解析 `safeDetail`；无法通过二次校验的 detail 只能标记 `detailUnavailable`。
+- 决策：新增只读模型工具 `agent.action_history`，只能查询当前 Agent；输入支持 `runId / actionId / tool / status / limit`，`limit` 默认 5、上限 10，省略 `runId` 时只查当前 run。结果优先使用终态 receipt，并兼容折叠历史 terminal observation；旧记录无法还原安全 detail 时标记 `detailUnavailable`。未指定 `tool` 时默认排除 `agent.action_history` 自身，只有显式 `tool=agent.action_history` 才允许回查它，避免递归污染。
+- 决策：`agent.action_history` 复用 `agent.audit` 权限，默认 `auto`，项目或 per-Agent policy 可改为 `confirm / deny`；查询不推进 revision、不改变 verification gate、不认领 join。receipt 写入失败时 durable action 必须进入 `needs-reconciliation`，恢复只按原 `actionId` 补齐 receipt，不得重放动作。
+- 决策：receipt 判重命中后还必须全等复核 Session、fingerprint、tool、executionMode、status 和安全结果字段，冲突失败关闭。普通 append 禁止写 `agent.runtime.action_receipt`，幂等动作入口只接受字段完整的终态 receipt。Agent DB 只自动修复强杀造成的最后一条不完整 JSONL，中间损坏不跳过；单条记录上限 1 MiB，receipt 幂等全量扫描在文件超过 256 MiB 或记录超过 100 万条时失败关闭，禁止复用锁外快照。普通审计约在 192 MiB 或 999,936 条停止，并给字节 / 记录门槛预留 64 条最大 1 MiB terminal 记录；仅 terminal receipt、带 actionId 的终态 observation / observed 和 reconciliation 可用预留区，`command-failed / verification-failed` 也是终态。普通和终态追加都在同一 DB 句柄锁内真实计数，容量判断和判重失败关闭，不做轮转。普通读取使用最近 32 MiB 有界尾窗、最多保留 16,384 个完整 JSON object，并显式标记 `truncated`。
+- 决策：Agent DB 不再依赖普通路径锁文件保障安全。Unix 必须从可信项目目录句柄使用 `openat + O_NOFOLLOW` 打开，校验普通文件与 `nlink=1` 后直接对 DB 文件句柄 `flock`；Windows 必须用相对 `NtCreateFile` 打开并拒绝 reparse point / hardlink，同时以独占 share 持有句柄。每次 append、尾部补换行或截断修复执行 `flush + sync_data`；Unix 新建 `.agent` 和 `agent.db` 后分别同步项目根目录与 `.agent` 目录，写入前后复核身份。32 MiB 尾窗恰好落在记录边界、UTF-8 半字符或精确 1 MiB 尾记录时不得丢弃合法记录；同 UID 恶意进程的 rename / hardlink ABA 不承诺绝对隔离。
+- 2026-07-13 真实验收修正：pending action 的精确 project revision / verification gate 不再拦截纯读取工具；不同 Agent 并行推进 revision 后，`file.read / project.search / git.inspect / agent.action_history` 等读取动作必须读取最新事实并返回 observation。写入、命令、验证、预览证据和 `agent.run_status` join 认领仍复核原 revision / gate，repository fingerprint gate 也继续独立生效。该修正来自真实 Provider 首轮中隔离子 Agent 因父 Agent revision 推进而把 `file.read` 误判为 `needs-reconciliation`、导致 all-join 无法形成的失败证据。
+- 决策：共享项目事实读取使用项目一致性锁；等待锁后必须重读 durable pending sidecar，并与调用方完整 pending 对象逐字段一致，再核对 policy 和 repository fingerprint。`agent.run_status` 的 all-join claim 必须在同一项目锁内重验 revision / gate 并完成认领，关闭检查与认领之间的 TOCTOU。policy denied 和未知工具也先形成 durable observed pending，再写 terminal receipt；一旦 terminal observation 已持久化，必须先成功落 receipt 才响应取消，receipt 失败统一保留 `needs-reconciliation` 补写入口且不得重放工具。
+- 决策：父 run 存在 `joinMode=all` 隔离组时，所有子结果终态且 ready join 被当前父 run 的 `agent.run_status` action 认领前，最终回复和 `agent.action_history` 都必须失败关闭并要求继续查询状态；只有持久 join 认领完成后才解除门禁。
+- 决策：最终回复在项目锁内创建 finalization journal 前必须再次复核 all-join 已由当前父 run 持久认领；未认领按 `Stale` 回到同 run planning，不写 journal、assistant 或 completed，不能只依赖 planning 阶段旧快照。
+- 决策：父 run 在 `waitingGroups > 0` 时必须持久进入 `waiting-for-isolated-join`、保存原 context cursor 并释放 Agent lane；重复 resume 只返回等待状态，不请求 LLM、不推进 loop，也不取消仍在工作的 child。最后一个 child 就绪后写 `deliveryTarget=parent-wake` 并唤醒同一 parent run / session，由模型通过持久 `agent.run_status` actionId 认领；不得创建 join continuation。活跃 planning / running 父 run 直接保留 ready join 等待认领，重复 dispatch 不创建任务。旧 delivery 缺少 target 时按 continuation 单向兼容。
+- 决策：action task / event 投影的幂等阶段键为 `runId + actionId + phase`，允许同一 action 从 waiting-for-confirmation 合法推进到终态 observation，同阶段冲突仍失败关闭。Agent DB 终态 observation 扫描跳过同 action 的非终态前置记录，只对既有终态做全字段一致性检查；`recentToolCalls` 按 actionId 原位更新，避免 waiting 投影遮住最终结果。
+- 决策：动作历史结构化 detail 上限 7,200 字符；超预算时只能先删除可选字段，再按最旧优先删除完整记录，不得字符截断 JSON，也不得清空 `runId / actionFingerprint` 破坏身份。运行时文本清洗必须覆盖 Unix、Windows 盘符、正反斜杠 UNC、`file:/...`、`file:///...` 及百分号编码绝对路径，统一替换为 `<absolute-path>`，并保留普通相对文本与 HTTP(S) URL。
+- 决策：后台 planning 和最终回复的瞬时 LLM 错误重试上限提高为额外 5 次，覆盖 `Timeout / Connectivity / Transport` 与上游 `408 / 429 / 5xx`，按 500ms 线性递增退避；不可重试错误继续直接失败，任何重试都不得跨越工具执行或回复落盘提交点。
+- 决策：本轮只交付模型工具，不新增前端动作历史弹窗；UI 继续显示最近动作投影，后续历史查看必须使用独立弹窗。
+- 验证：Rust 全量 507 项中 504 通过、3 项真实浏览器 opt-in 用例按设计忽略；覆盖 receipt 折叠、组合过滤、默认值与上限、敏感清洗、旧记录、尾部修复、中间损坏失败关闭、身份冲突、句柄安全、目录同步、确认阶段到终态投影、`parent-wake` 和恢复补齐。最终真实 `gpt-5.5` V1.6 `llm-runtime` 套件中，模型实际调用 1 次 `agent.action_history` 并返回 1 条与 `.agent/agent.db` 全身份对齐的当前 run 记录；94 条 task、158 条 event、164 条 Agent DB、11 条合法工具协议、13 次成功工具执行和 24 条 terminal receipt 中，主 run receipt 为 18，递归历史、重复 receipt / action / message、receipt identity 冲突、密钥和诱饵泄漏均为 0。Runner 强杀后恢复原 run / session 且身份稳定，3 个隔离实例形成唯一 all-join 认领，本次真实竞态未创建 continuation task；动作历史只在父 run 认领 join 后执行，项目、桌面和移动验证通过。