清理旧策划修订写入入口并记录认证契约冲突

删除无生产调用的用户修订写入函数，保留持久记录兼容与门禁调整原有门禁测试的历史记录夹具，保持行为断言将 OAuth 契约冲突与关闭条件记录到 AGC 主方案警告清单仅保留 AuthBridge 暂缓状态及主方案链接
2026-09-23 17:58:17 +00:00
parent c62a911745
commit 7d6fff577d
3 changed files with 60 additions and 66 deletions
@@ -8,7 +8,31 @@

 图片产物按项目需求选择，不恢复按固定 Agent 身份要求视觉资源的旧完成门禁。已停用门禁的空调用、不可达检查和无消费者包装直接清理；现役 `validate_manifest_required_visual_asset`、图片检查、内部切片提交及各完成合同继续按各自调用场景执行，不因清理旧门禁而一并删除。

-自主任务父身份校验只核对当前父任务及 Run Profile 绑定，不代表 Goal Contract 已持久化，也不新增等待 Goal 文件的前置条件。manifest seed 同步保留执行状态，不以素材检查结果重新推导任务状态。用户修订的持久状态判据继续供 lineage 重放与修订请求校验使用，不依赖已无消费者的查询包装。
+自主任务父身份校验只核对当前父任务及 Run Profile 绑定，不代表 Goal Contract 已持久化，也不新增等待 Goal 文件的前置条件。manifest seed 同步保留执行状态，不以素材检查结果重新推导任务状态。用户修订的持久状态判据继续供 lineage 重放与修订请求校验使用，不依赖已无消费者的查询包装或旧策划审批写入入口。现役 Design Agent 审批只更新自身会话；旧 `UserRevisionRequested` delivery 仍保留读取、claim 重放和完成门禁兼容，不为消除 warning 删除持久状态支持。
+
+## OAuth 认证路线的契约冲突与待决边界
+
+**状态（2026-09-23）：明确暂缓，待决定 AGC 是否支持使用用户 Codex OAuth 登录态。** AuthBridge 认证桥尚未接通正式入口；既不能认定为现役已支持能力，也不能仅因生产无构造点而宣布整条链退役。
+
+### 冲突事实与证据
+
+- **生产入口**：`src/agent/codex_app_server/mod.rs` 的 `acquire_at_workspace` 只在正式路径构造 `PlatformSession` 或显式自定义连接的 `AppDataKey`。`find_game_creator_codex_auth_path`、`read_game_creator_codex_auth_bridge` 及旧凭据 resolver 限定为 `cfg(test)`；没有正式配置 / feature 接通 AuthBridge 构造。当前[模型别名与对话选择方案](./【技术方案】AGC后台模型别名与对话选择-2026-09-05.md)描述的是官方平台路由与显式自定义 Key。
+- **仍存在的实现与承诺**：提交 `485ed50b26217d20fad2ac192c949fd3f20914da`（2026-09-21，PR #439）新增 `model_catalog.rs`、`model_catalog/auth_handoff.rs` 及相关测试，并在[本方案“SDK 串行工具的等价接入”](#sdk-串行工具的等价接入)写入 OAuth 模型目录来源校验、私有凭据轮换续传及身份隔离要求。这里“目录”指模型及能力列表，不是文件目录。
+- **时间顺序**：正式凭据 fallback 被限定测试的记录见 `2e15289264`（2026-09-02）；9 月 21 日提交新增下游 OAuth 处理，却仍保留该测试限定入口。因此不能简单把 OAuth 承诺当作早于现役路线的过期说明。
+- **验证边界**：OAuth 目录测试使用真实 Codex 配合模拟认证和本地服务，轮换测试验证私有缓存及身份隔离；这些不能证明正式客户端已接通真实用户 OAuth 登录。每回合模型目录捕获也服务现役平台代理，不能随 OAuth 专属链整体删除。
+
+### 暂缓期间的处理
+
+保留认证桥相关 warning、现有实现及待决记录，不新增 `allow`，不为清零把整条业务链继续移入 `cfg(test)`，不擅自接通用户登录态读取，也不把现状记录为“已支持 OAuth”。该待决项与其它已完成的 warning 清理独立，不阻止其它改动提交。
+
+### 下一决策点与关闭条件
+
+| 决策 | 关闭条件 |
+| --- | --- |
+| 不支持用户 Codex OAuth 登录态 | 同步撤销相关文档承诺，删除 AuthBridge reader / variant、OAuth 专属目录分支、轮换链及专属测试；保留现役平台 / 自定义 Key 路由、共享模型目录和隔离运行环境，完成定向验证。 |
+| 支持用户 Codex OAuth 登录态 | 先明确入口、授权与凭据隔离合同，再接通正式构造路径；验证真实登录、模型目录来源、轮换续传、身份切换与错误恢复，不能仅凭模拟测试或取消编译告警关闭。 |
+
+当前尚未选择上述任一路线。本节是该冲突的维护位置，不依赖临时编译警告清单；决定后在此更新为最终合同，决策历史由 Git 保留。记录冲突本身不构成功能接入或退役决定。

 ## 2026-09-23 Direct 宿主继续请求输入修复

@@ -134,6 +158,8 @@

 ### SDK 串行工具的等价接入

+> OAuth 状态（2026-09-23）：下列 OAuth 目录与凭据轮换要求已有下游实现和测试，但正式凭据入口尚未接通 AuthBridge。是否支持用户 Codex OAuth 登录态仍待决，详见本方案的[契约冲突与待决边界](#oauth-认证路线的契约冲突与待决边界)。平台代理使用的共享模型目录能力继续有效。
+
 - DirectProject 对外保留完整补丁和计划能力，由宿主 MCP 提供 `agc_apply_patch` 与 `agc_update_plan`。精确关闭 SDK 的旧计划工具注册；缺少合法回包通道的原生问答工具不再声明可用，需要用户信息时使用现有聊天。
 - 通过同一可信捆绑 Codex 和身份/路由隔离的 HOME 取得完整模型目录，只置空 `apply_patch_tool_type` 以移除 SDK 全局串行补丁处理器。不得修改模型名称或其它 metadata，不为未知模型伪造显式条目；匹配和 fallback 仍由 SDK 执行。
 - 代理模式的 bundled 目录和 OAuth 的实际远端/有效缓存来源分别核验，不能把模型目录导出 exit0 当作远端成功。每个 Direct 用户回合创建新模型目录快照和进程；旧执行器完全收束后才进入下一回合，不在活动执行中重启或重放。该行为是按回合冻结 metadata，不是实例内动态 overlay。