0 Fork 0

Files

T

admin df876aec90 chore(工作区): 第 36 棒续作收口（A2 实例进程内面达成 · A8 改判）

- 拍板①「A」：实例一直在跑（实时视图 running@20001）；进程内 /mcn/api/accounts 200 · total:5
  ⇒ A2 实例进程内面达成。纠正上一棒：其判「stopped」所据 PG dsh_instances.status 是滞后失真
- 拍板②「worker 用插件更新机制」：机制已落地且在跑（agent POST /shared-layer/pull + 定时轮询）
  真机对账快照 w-106 @23:52:11：stale:[mcn-suite] + failed:[timeout]
  ⇒ 106 自主拉取成立、该件拉取超时失败 ⇒ A8 由「未取证」改判为「机制在跑 · 该件超时」
- 平台侧问题（拉取超时 / 台账滞后）只报告不改码
- 收尾：R4 临时会话 DELETED=1 / POC_LEFT=0；未启动未停止任何实例

2026-09-26 00:36:34 +08:00

331 KiB

Raw Blame History

接续入口 · 插件投放与分库线（2026-09-22 开线）

工作区：E:/ProgramData/AIProject/aliyun-dsh-server（本入口只此一份） 开线棒：会话 aliyun-dsh-server 2026-09-22 13:2x（用户当场提要求后收口） 代码基线：D:\github\dsh_shenxian = 生产口径 dshs；⚠️ 另有一份开源导出物 dsh_ai1net（/opt/dsh_ai1net · /etc/dsh_ai1net.env · DSH_AI1NET_*）是另一套命名、另一个部署，⛔ 两者不要混用（本会话已实测踩过这个坑）。 上游上下文：同工作区 .workbuddy/memory/2026-09-22.md 的 10:0x 节（carbon 线"两处平台侧阻塞"判定）＋ 07:5x 节（一插件一库拍板）。

§0 状态（最新一行 = 执行依据）

🔴 2026-09-26 00:17–00:4x｜第 36 棒续作（用户两条拍板落地，p36b-exec-plugin-dataline）—— A2「真实例进程内」面 ✅ 达成 · A8 改判「机制在跑 · 该件拉取超时」· ⛔ 本条不新增下一棒 —— 拍板① = A（启动实例取进程内读数）：🔴 纠正上一棒 —— 实例一直在跑（端口 20001；实时 GET /api/admin/users/<uid>/dsh/status ⇒ running:true），上一棒所据 PG dsh_instances.status=stopped 是滞后失真。⛔ 本棒未启动、未停止任何实例。进程内读数：curl --compressed -H "Cookie: dsh_token=<实例 token>" http://127.0.0.1:20001/mcn/api/accounts ⇒ 200 ＋ 13,155 B 正文（{"ok":true,"total":5,"page":1,…,"account_name":"王微斯",…}））⇒ total:5 与影子读 hot_accounts 5=5 一致 ⇒ A2 全达成。 拍板② = 「worker 应该使用插件更新机制」（⛔ 不是给 106 开 ssh 通道）：机制已落地且在跑 —— src/worker/agent.ts:812 POST /shared-layer/pull（带 agent token）＋ :816-819 启动即拉一次＋定时轮询；源码注释原话「restart dshs-worker 就等于完成一次共享层同步，⛔ 不必再手工 scp」；形态 = 节点主动拉（pull）＋主节点对账告知（src/web/routes/business-plugins.ts:373-377），快照落 <sharedRoot>/.node-sync-reports.json。真机对账快照（at ⇒ 2026-09-25 23:52:11 CST，即我 23:22 share 0.5.1 之后）：w-106 · authoritative:4 · missing:[] · stale:["dsh-plugin-mcn-suite"] · failed:[{"flat":"dsh-plugin-mcn-suite","error":"The operation was aborted due to timeout"}] ⇒ 106 确实在自主拉取，不是「没通道」；但该件拉取超时失败 ⇒ 仍为旧版 ⇒ A8 由「未取证」改判为「机制在跑 · 该件超时失败」。🔴 属平台侧参数/实现问题（2.0 MB 包跨云拉取超时）⇒ 依硬约束只报告（修复方向：调大超时 / 分块续拉 / 失败退避重试）。 🔴 另一条平台侧发现（值得单独立项）：dsh_instances.status 与实时视图不一致（台账 stopped／实为 running）—— 它影响一切「实例是否在跑」的判断。 📂 读数与命令原文 ⇒ 交付物/MCN数据面接入-阶段二-切档与收口-20260925.md §9；R4 收尾 DELETE … user_agent='poc-curl2' ⇒ DELETED=1、POC_LEFT=0。
🔴 2026-09-25 23:10–23:5x｜第 36 棒 · 执行棒收口（p36-exec-plugin-dataline）—— ①–④ 全达成 · ⑤「47 侧切档」达成 · ⛔ ⑤「实例重启／106」未达成 ⇒ A8 如实记「两机不一致」；⛔ 未登记下一棒（等拍板） —— ① ✅ 修 canonicalJsonText() 键序敏感：新增 sortKeysDeep() ＋导出 canonicalStringify()（对象键递归升序、数组保序），三形态归一出口全改走它 ⇒ 单测 67/67（新增第 59 条）＋本机等效证明 10/10（含「旧算法判不等 → 新算法判等」与「字符串形态零回归」四例）。⛔ 落库原文零改动。 ② ✅ 出包 0.5.1：2,018,751 B／324 条目／md5 56c17c7e41a18704922e18d75816da59；包内 store.js sha256 与本机逐字一致 → 上池 200（compat.level=ok）→ 台账 state=ready → 结构预演 ITEMS=[] → share 200 action:"replaced" version 0.5.1；47 共享层 store.js md5 62384d4d…＝本机逐字一致（canonicalStringify_COUNT=4）；回滚素材 0.5.0.tgz 在位。 ③ ✅ 删本地 5 条冗余副本（拍板①）：先双份留档（sqlite3 .backup ⇒ 2,383,872 B／sha256 ee75df4a…；全表 dump 39 行／sha256 fdfd8fa4…；5 组原样含正文 export-dup5.json 542,624 B／sha256 b0e560ca…；本机副本在 $WS/tmp/p36/）⇒ 再删 id = 40,28,29,31,32 ⇒ 39 → 34 行、KEY_DELTA lost=[] extra=[]、integrity_check=ok；⛔ 库文件在位未删、属主未变、别的表一行未动。⚠️ 插件既有删除路径不适用（removeVideoSource 按 aweme_id 删整组 ⇒ 会误删保留行）⇒ 用最小 SQL ＋四条 fail-closed 断言。 ④ ✅ 影子读重取：三表 A1 34=34 / 362=362 / 5=5（onlyLocal=[] onlyPlatform=[]）· SHADOW 三表 match=true、degraded=false · account_video_source 逐行内容「正文 34/34 · 分析 34/34 · 差异 0」（第 35 棒为 23/34 不等 ⇒ ① 的修法真机确认） · PACKED_LEFTOVER=0 · TOTAL_WRITES=0。 ⑤ 🟡 47 侧切档达成：三表切 platform（读写同切）⇒ 实例档位 7 表 platform（A5 达成）· 第四批三表仍 local · 属主 = 实例 uid · 原文件已备份 data-plane.json.bak-p36-1790350596159。📌 生效机制实测：dataPlaneConfig() 每次调用读文件（无内存缓存）⇒ 切档运行时立即生效、不需要重启。A2 切档后面：三表 source=platform 全 OK、TOTAL_WRITES=0。 ⑤ ⛔ 未达成两项（具名）：(甲) A2「真实例进程内」面 —— 目标实例 dsh_instances.status = "stopped"（平台按需启动）；本棒未启动它：Manager 侧未找到启停路由，worker agent POST /launch（127.0.0.1:19100）属控制面职责 ⇒ 直调会绕过 Manager 的 epoch/lease 台账（状态漂移，R11）⇒ 主动不做。(乙) 106（w-106 / 106.54.21.172）同步＋合并重启 —— 47 与本机 ssh 106 均 Permission denied (publickey)、47 亦无法直连其 19000（overlay 台账 via: "relay"）⇒ 无可用通道。 📊 A 判据：A1 ✅（三表全一致）· A2 🟡（取数口面＝第 35 棒＋切档后读路径面 ✅；真实例进程面 ⛔）· A3 ✅（157 / 8 / 10；本棒未改任何调用点 ⇒ 第 34 棒「平台档路径零命中＋三类具名豁免」结论逐字沿用）· A4 ✅（0 / 10）· A5 ✅（7 表）· A6 🟡（库文件在位未删、属主未变；sha256 因授权删行必然变化，回滚靠 .bak ＋ dump）· A7 ✅ 免跑（lib/client.js mtime 09:47，本棒改动面仅 store.js／tests／package.json／dist）· A8 ⛔ 不一致（47 代码面=运行面=0.5.1；106 未取证）· A9 ✅ = 23（零新增）。 🔴 本棒动过生产：47 共享层投放 0.5.1 ＋实例库删 5 行（已授权）＋实例档位切 7 表 platform。⛔ 未启动/停止任何实例、⛔ 未触碰 106、⛔ 未改 D:/github/dsh_shenxian/src/**、⛔ 未删库文件/未重建库。 🔴 新发现（未闭合 · 插件侧）：tools/migrate-local-to-platform.mjs 的 SELECT * 无 ORDER BY ⇒ 平台折叠时保留 id 较小那份，而本地读路径 ORDER BY id DESC LIMIT 1 取 id 最大 ⇒ 同一行在两处的"权威版本"不同（本次影响 2 组）。⚠️ 因此 ③ 的删除口径如实偏差：5 组里有 2 组删掉的是 id 较大（较新）那一行（aweme_id 7658997937279683855 删 40 留 20；7648947073131625905 删 28 留 27），这 2 组差异 = 值内 2 字节字面 \n；若按字面「删 id 小的」，本地剩余内容与平台不一致 ⇒ ④ 判据达不成。该判定属内容取舍，清单已具名列出供复核（交付件 §4.1）。 📌 交付件 = $WS/交付物/MCN数据面接入-阶段二-切档与收口-20260925.md（结论／①–⑤ 状态／A1–A9 命令＋输出＋退出码／判定表与偏差说明／未达成 5 条／卫生与域锁）。 🧹 卫生：R10 全程 ROOT_OWNED=0（收尾再复核）· 临时会话清理读数见交付件 §8 · 47 侧 /tmp/p36* 已清（本机留档留 7 天）。 ⛔ 未登记下一棒（第 37 棒） —— 剩余两项要用户拍板：(i) 106 的 ssh 凭据/授权通道；(ii) 实例何时启（用户下次访问门户即自然启动并加载 0.5.1 ＋新档位）。按规则「要用户拍板的，等拍了再新建接续会话」⇒ 等拍板。
🟢 2026-09-25 22:44｜第 35 棒后续 · 用户拍板两条（p35-exec-plugin-dataline）—— ① 本地 5 组重复 aweme_id 处置 = A 案「删本地 5 条旧副本」（不可逆 · 已授权）｜② 插件包源码 = B 案「不纳入版本管理」 ⇒ 改为定期打压缩包备份，已落地：固定目录 E:/dsh-backups/plugin-src/（backup.sh ＋基线包 mcn-suite-src-20260925-2246-v0.5.0.tgz／6,065,179 B／330 文件／md5 247dd145…）＋每周自动备份 automation 1e3c9070-a75d-4ae4-b81e-06e2eb20a5b4（周日 03:30 · 内容摘要去重 · 保留最近 26 份）。🔴 两条拍板已注入第 36 棒 prompt ⇒ ⑥ 可闭环、⑦ 可执行、⛔ 不再重问。
🔴 2026-09-25 22:5x｜第 35 棒 · 执行棒收口（p35-exec-plugin-dataline）—— ①–⑤ 全达成 · ⑥ 未全绿 ⇒ ⛔ 未切档 · ⑦ 整条留给第 36 棒 · 已登记第 36 棒 —— ① ✅ 处方 (a) 落码（store.js 的 normalizeRow/rowsOf 两个唯一必经之路；编解码只在插件侧）⇒ 单测 66/66、node --check 9 文件 rc=0。 ② ✅ 出包 0.5.0：dist/dsh-plugin-mcn-suite-0.5.0.tgz 2,017,667 B／324 条目／md5 5cbccac1348e5dcb8d11bf400a000498。 ③ ✅ 上池 → 共享层发布：200 action:"replaced" version 0.5.0（47 共享层 store.js md5 bc02c23c080eee58d8873508badc1c5b ＝本机逐字一致、gz1: 命中 4 处）。 ④ ✅ 加列迁移 2 条 ADD COLUMN IF NOT EXISTS local_id TEXT（elapsedMs:16／backup:"taken"）⇒ 库读数 hot_accounts 17 列/5 行、account_videos 20 列/362 行、account_video_source 9 列/18 行；台账 state: ready、对账 clean:true；⛔ 不删库不重灌。 ⑤ ✅ 回填 local_id：dry-run DRY_WRITE_CALLS=0；apply ⇒ account_videos backfill=362、hot_accounts backfill=5、account_video_source ins=16/skip=23、失败 0；幂等重跑 ins=0；本地库 sha256 b37f8aab… 前后逐字一致（mtime 未变）⇒ 实例本地库零改动。 ⑥ 🔴 未全绿：account_videos match=true（362/362）· hot_accounts match=true（5/5）· account_video_source match=false（platform 34 / local 39）⇒ 依执行单 §五 S6/S7 与任务书铁律 停住不切档。 🔴 根因两条（均非数据丢失、均非本棒引入）：甲 = 本地 5 组重复 aweme_id（39 行 = 34 唯一键＋ 5 旧副本；平台主键唯一 ⇒ 必然折叠；3 组副本逐字全同、2 组仅正文差 2 字节）｜乙 = 平台 PG jsonb 重排对象键序 × canonicalJsonText() 保留序 ⇒ 逐键比对假阴性（与序无关的深度比对 ⇒ 34/34 全等、差异 0；gz1=true 的 11 行全 match、gz1=false 的 23 行全 mismatch，两侧完全对应）。 ⑦ ⛔ 未执行（整条留给第 36 棒）：⛔ 未切任何表（实例档仍 4 表 platform，三表仍 local）· ⛔ 未重启 47 · ⛔ 未触碰 106。 📊 A 判据：A2 达成（平台取数口面 —— 三表 7 步读写全 200 · 6 负例全 bad-args · 写他人 user_id/缺主键/带内核列/未知表/未知列全拒 · PG 侧残留 0）｜A3/A4/A6/A7/A9 达成（红线 23 零新增 · account_video_analysis 0 · hot_account_ext 10）｜A1 两表达成、account_video_source 一支具名未达成｜A5 未达成 · A2「实例内」面未达成（随 ⑦）｜A8 如实记「两机不一致」（47 = 0.5.0；106 本棒未触碰未取证）。 🔴 本棒动过生产：47 共享层投放＋平台库 2 条 ADD COLUMN ＋存量回填；未动实例本地库、未重启任何服务、未切任何档。⛔ 未 commit / 未 push。 🧹 卫生：R10 修复 —— 实例 home 的 data-plane.json 被第 32 棒 root 探针遗留为 root:root，已 chown 回实例 uid（ROOT_OWNED_FINAL=0）；临时会话清理 SESSIONS_BEFORE=7 → DELETED=7 → AFTER=0；47 侧 /tmp/p35* 全删（TMP_P35_CLEAN）；本机证据留 $WS/tmp/p35/。 📌 交付件 = $WS/交付物/MCN数据面接入-阶段二-B案落地与shadow读数-20260925.md（结论／①–⑦ 状态／A1–A9 命令＋输出＋退出码／根因两条取证／未闭合 8 条／待拍板 2 项（含优缺点）／卫生＋域锁＋产物指纹）。 ✅ 本棒 automation cf072f77-347d-4939-b437-b0f3d1ec363e 已置 PAUSED；✅ 已登记下一棒 = 第 36 棒（automation 35e1bfbc-d247-4db2-9d90-b0580793736f · 一次性 · 2026-09-25T23:10 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）⇒ 范围 = 修 canonicalJsonText() 键序敏感 → 出包 0.5.1 → 上池 → 重取影子读数 →（若已拍板则闭环 ⑥ ＋执行 ⑦；未拍板则停在 ⑥、⛔ 不切档）。 ⏳ 本棒新增待拍板 2 项（⛔ 不在接续棒内自决 · 逐条带优缺点 · 详版见交付件 §5）： ① 「本地 5 组重复 aweme_id 怎么处置」 —— A 案＝删本地 5 条旧副本（优点：判据如实达成、读路径本就取最新一份不可见；缺点：不可逆，其中 2 组旧副本正文差 2 字符）／B 案＝不删数据、改判据为「同一视频只算一次＋逐条内容比对」（优点：零数据变更；缺点：改的是规划棒定死的判据，须回规划棒重改单子）／C 案＝保持现状（优点：零风险；缺点：第三批永远到不了终点）。倾向 A 案（可推翻），⚠️ 因不可逆须用户点头。 ② 插件包源码要不要纳入版本管理（第 34 棒遗留㈣，本棒再次上抛）—— A 案＝现在纳入（优点：逐笔可回滚／可对账；缺点：要动仓库并先定"哪些进"）／B 案＝暂不纳入（优点：零额外动作；缺点：近一月改动零留痕，回滚只能整包回退）。倾向 A 案（可推翻）。
🔴 2026-09-25 21:33｜用户拍板 —— 第 34 棒末尾 3 条已决（2 决 1 反问 · 后棒以此为准） —— ① ✅ 测试服务器可以重启 ⇒ 47 上用户实例的重启窗口已获批（第 34 棒待拍板㈠解除）； ② ✅ 106 可以合并（用户原话「可以合并那是 worker」）⇒ 47 ＋ 106 合并进同一次重启窗口（⛔ 不要分两次）； ③ ⚠️ 用户反问「是什么文件为什么之前没有纳入」（针对第 34 棒第 3 条待拍板「6 个改动文件要不要纳入版本管理」）⇒ 已由第 34 棒会话只读取证查清： · 是什么 = D:/dshworkspace/plugin_package/dsh-plugin-mcn-suite/（现役投放包 · 0.4.0）里 lib/host/mcn/ 下的六个 js：store.js（取数原语层）／index.js（handler 与后台任务）／data.js（工作台数据层）／workshop.js（工作台业务）／video-tools.js（视频落点）／imports.js（导入链路）—— 本线第 32–34 棒改的就是这六件（＋ tests/mcn-store.test.mjs）。 · 为什么没纳入 = 无 commit，⛔ 不是被忽略。两个原因叠加：⑴ 该目录在 D:/dshworkspace 仓库（remote [email protected]:maogeigei/dsh_MCNWorkSpace.git）里从未被跟踪 —— git ls-files 命中 0、git status 显示 ??、git check-ignore rc=1（未被 ignore）；⑵ 该仓库最后一次提交停在 2026-08-27 11:34（提交信息形态 = 外部 sync: <时间> 流程，8-27 之后未再跑）⇒ suite 建包与演化全部发生在这个窗口之后。 · 对照（同目录）：旧包 dsh-plugin-mcn（0.1.0）有 13 个文件已入库 ⇒ 入过库的是旧包，现役 suite 从来没入过。 · ⇒ 🔴 第 35 棒 ⛔ 仍不 commit / 不 push（用户尚未就「要不要纳入」拍板）；必须在收尾如实上抛这一条。 ④ ⏳ 仍待拍板（本行未决，⛔ 别当已决）：这些改动要不要纳入版本管理（影响什么：近一个月改动零版本留痕，回滚只能靠备份）；json 列改声明（本批不需要，留档）。
🗃️ 2026-09-25 20:53–21:3x｜第 34 棒 · 执行棒（p34-exec-plugin-dataline / 会话 d25f7943-e143-4f7f-a595-8b090fed6e3f）—— 接线收官 · ⛔ 未动生产 · 交棒第 35 棒 —— ① ✅ S3 剩 1 处＋ S4 ＋ S5 全部落地：index.js 22 处 ＋ store.js（新增 patchHotAccountSplitByName／patchHotAccountSplitByLocalId：拆表 PATCH，主表列/扩展列各一半、无事务 ⇒ partial＋compensate）⇒ 三张表在 platform 档处处有改写面，local 档原 SQL 逐字保留在各 local() 回调里（零回归）。 ② ✅ 静态复扫（判据 A3）：全包 JOIN／LIMIT ? OFFSET ?／ROW_NUMBER|OVER( 的残留命中全部落在三类 —— local() 回调内 · 本地专属分支（data.js 平台档早返回后）· 第四批主表 rewrite_log（具名豁免）；平台档路径零命中。 ③ ✅ 单测 62/62（新增 52–55 共 4 例：拆表 PATCH 表路由 / 两半失败 partial / 映射缺席 mapping-missing / local 档零请求）· node --check 六文件 rc=0 · 行尾逐文件核对（store/data/index/workshop 纯 LF，imports/video-tools 纯 CRLF）· 红线 23（零新增） · src/** 零改动 · lib/client.js 零改动（A7 免跑）· dsh.data.yaml 指纹与第 33 棒逐字相同。 ④ ✅ 第 4 件事（真机只读取数）已完成 ⇒ 处方 (a) 行内压缩有效：account_video_source 39 行中 12 行超 64 KiB，全为纯文本（base64runs=0／data:image=0），SUM row=926,064 → gzip=327,519（ratio 0.3537），压缩后最大 41,728 B ≤ 64 KiB ⇒ ⛔ 不需要改走 (b) 正文外置。 ⑤ ⛔ 未达成（如实列，⛔ 不许含糊）：A2（三表读写 E2E —— 需 47 实例重启窗口）· A5（三表切 platform —— 前置 local_id 列在真机库仍未就位）· A8（两机一致 —— 本棒未出包未投放 ⇒ 代码面/运行面都是旧的）· A1 部分（account_video_source 21/39 上台，余 12 行卡平台单行 64 KiB ⇒ 由 (a) 处方闭合，代码未落）。 ⑥ ⛔ 本棒未动生产：⛔ 不出包 · ⛔ 不上池 · ⛔ 不加列迁移 · ⛔ 不回填（按 20:38 拍板属 B 案最后一步）；⛔ 未 commit／push；⛔ 未删本地旧库 mcn-plugin.db；⛔ 未改 D:/github/dsh_shenxian/src/** 与 D:/dshworkspace 以外任何工作区。 ⑦ 📌 交付件 = $WS/交付物/MCN数据面接入-阶段二-第三批接线完成-20260925.md（结论／改动面 6 件指纹／A1–A9 判据表／index.js 22 处对照／未闭合 6 条／卫生声明／待拍板 4 项）。 ⑧ 🔴 本棒已知观察（⛔ 未处置，属他人 lane）：共享锁目录存在两处非本线遗留物 —— .exec-lock/OWNER = __st_other_1879（疑似他会话冒烟残留，独占锁被占）＋ .locks/_____________________-1844878018/（会话 修域锁释放缺陷，域 dsh-server-docs/07-scripts）。按 R9 ⛔ 不删锁、不接管，只如实记录。 ⑨ ✅ 本棒 automation 40d342f3-584e-46e3-a630-b589960ec859 已置 PAUSED；✅ 已登记下一棒 = 第 35 棒（automation cf072f77-347d-4939-b437-b0f3d1ec363e · 一次性 · 2026-09-25T21:38 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）⇒ 范围 = B 案最后一步（落 (a) 行内压缩代码 → 出包 0.5.0 → 上池 → 加列迁移 2 条 ADD COLUMN → 重跑迁移回填 local_id → 三表 shadow 读数）；⛔ 本棒只做 shadow 读数、不逐表切 platform（切档须等待拍板㈠ 47 实例重启窗口）。
🔴 2026-09-25 20:38｜用户拍板 —— 阻塞解除（唯一新拍板行 · 后棒以此为准） —— ① 用户原话：「修改完成后一起上服务器」 ⇒ 第 33 棒上抛的待拍板①「要不要现在动生产」落 B 案：等 S3/S4/S5 接线做完，再一次性出包 → 上池 → 加列迁移 → 回填。⛔ 本拍板不授权提前动生产（⛔ 不许读成「可以先上池试试」）。 ② 用户原话：「数据库存不下大文件吗，有没有比较好的处理方式」 ⇒ 问的是待拍板②（account_video_source 12 行超平台单行 64 KiB）的处置方向 ⇒ 属技术项 ⇒ 自决（可推翻）。 🔧 处方（技术自决 · 可推翻）：先厘清口径 —— 不是"存不下"，是「单行」有 64 KiB 上限（设计取值、写死在 runtime.ts:66、无配置口；源码注释原文即「取值原则**（可推翻）」）。三条路：(a) 行内压缩**（正文 gzip 后入库；编解码只在 normalizeRow/rowsOf 两个唯一必经之路做 ⇒ 客户端零改动。优点＝平台库仍是唯一权威、不动平台、不新增链路；缺点＝原始 SQL／数据面板看到二进制 ⇒ 运维可读性下降 ＋每行加 CPU）· (b) 正文外置（写进用户文件层、行里只留引用＋小摘要。优点＝行永远小；缺点＝🔴 与「插件数据以平台库为权威、实例文件只可缓存」的硬标准冲突＋新增一条文件读写链路）· (c) 抬平台行上限（优点＝最彻底；缺点＝影响全部插件的单行内存与 V8 堆 ⇒ ⛔ 本线不动，确需另立单子）。 ⇒ 采用 = 先 (a)；⚠️ (a) 是否有效取决于「那 12 行正文的构成」（若混了 base64 图片 ⇒ 压缩率极低、(a) 失效 ⇒ 改走 (b)）⇒ 第 34 棒第 4 件事 = 真机只读取一次数（正文构成＋可压缩率），据读数定 (a)／(b)。 ⇒ 阻塞解除 ⇒ 第 34 棒（执行棒）已登记：automation 40d342f3-584e-46e3-a630-b589960ec859（一次性 · 2026-09-25T20:50 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server），范围见 §2「🗃️ 上一棒动作（第 34 棒 · 已收官）」（✅ 该棒已收官 ⇒ 当前依据 = §0 最新行＋ §2「⏭️ 本轮动作（第 35 棒）」）。
⏸️ 2026-09-25 19:5x–20:2x｜第 33 棒 · 执行棒（A 案双项已全落地**：声明＋代码＋单测 · 🔴 实测推翻「必须删库重建」 · 真机取证三条硬结论 · ⛔ 未动生产 ⇒ 交回用户拍板 2 项）** —— ① ✅ 第 0 步 cwd 校验通过（/e/ProgramData/AIProject/aliyun-dsh-server）＋ state.py 一次调用取全状态。第 1 步门禁如实记账：preflight-lock.sh 对本棒 11 个目标路径全判【D】未归类 ⇒ 按字面 rc=1；依第 26–32 棒既有惯例开工并报告，⛔ 未改那个跨库脚本。锁 = 域锁 11 个键（--claim-exec "p33-exec-plugin-dataline" --domains …）rc=0；复读 .locks/p33-exec-plugin-dataline/{OWNER,DOMAINS} 断言归属（开始 09-25 19:57；会话 ee21bf7d-0f0e-4c42-9abc-29e8e15bb774）。 ② ✅ A 案前半段（阻塞甲）落地：dsh.data.yaml 给 hot_accounts / account_videos 各加可空 local_id（text）；store.js 新增 localIdValueOf（取号唯一口径）/ restoreLocalId（读侧还原数字 id）/ localIdSupported + allocLocalId（懒初始化扫 max+1、进程内单调）/ attachLocalId；写侧折算放 normalizeRow() 循环之后（显式 local_id 天然优先）；splitHotAccount() 把 id 折算进主表（⛔ 扩展表不带）；upsertByPk()「已存在」分支加 backfillLocalId() 自愈回填（只补空、⛔ 不覆盖非空）。🔑 调用方零改动 —— 折算/还原都在 normalizeRow / rowsOf 这两个唯一必经之路上。 ③ ✅ A 案后半段（阻塞乙）落地：account_video_source.content_json / analysis_json 的 maxBytes 30720 ⇒ 128000（声明＋ store.js 的 COLUMN_MAX_BYTES 同步；⛔ 其它表一列未动）。迁移工具加 backfilled 计数（表级＋ parts ＋ SUMMARY）。⚠️ 声明侧当时漏落，已于 20:2x 补齐 —— 见 ⑬。 ④ 🔴 实测推翻「只能删库重建」（本棒最重要结论）：真机 diffDecl 预演 —— OLD 与库现值零差异（items=0 / unchanged 11 表 96 列）；NEW = items=2×add_column、forbidden=0、状态 drift；maxBytes 改动零 diff 项（diff.ts 只比类型、⛔ 不读 maxBytes）。⇒ 本案落地 = 2 条 ADD COLUMN（秒级、零数据损失），⛔ 不删库、⛔ 不重灌 ⇒ 原拍板告知的「不可逆＋数据不可用 10~20 分钟」代价不发生。 ⑤ 🔴 A 案后半段有效但不彻底：account_video_source 逐行现算 —— 总 39｜过原 30 KB 上限 21｜过新 128 KB 列上限 39｜列上限＋单行上限都过 27 ⇒ 可上台 21 → 27（+6）；剩 12 行瓶颈在「平台单行 64 KiB」（runtime.ts:66 DEFAULT_QUOTA，而 plugin-data.ts:86 构造时⛔ 未传 quota ⇒ 无配置口，47 上实测 grep 零命中）。⇒ 12 行要么留本地、要么动平台侧（⛔ 本棒禁改 src/**）⇒ 列为待拍板。 ⑥ ✅ 真机新口径 dry-run（只读）：account_videos 362/362 坏行 0、hot_accounts 5/5 坏行 0，两表清洗列集合均为 ["id->local_id"]（每行都带上了承载列）；account_video_source 计划 27 / 坏行 12（全 quota-exceeded）/ 重复键 5 组逐组具名（7658997937279683855[20,40]／7648947073131625905[27,28]／7667477088350044069[29,44]／7631176055600527729[31,42]／7629803455813243043[32,46]）；DRY_WRITE_CALLS=0 ✅。 ⑦ ✅ 判据面：单测 # tests 58 / # pass 58 / # fail 0（原 51 ＋本棒新增 7：㊺折算㊻还原㊼拆表㊽分配器㊾无列降级㊿上限 51回填）｜A9 红线仍 23（零新增 DDL）｜A4 = 0 / 6 ✅｜A6 免跑（改动面恰 4 件，lib/client.js 零改动）｜改动 4 件全纯 LF（CR=0，逐字节验过）。 ⑧ ⏸️ 未达成（⛔ 不宣称通过）：S3 剩 1 处、S4、S5、S6、S7 全部未开工（落点现算 89 处：data.js 9／imports.js 36／index.js 30／video-tools.js 1／workshop.js 13）｜A2／A5／A8 未达成｜local_id 列未就位（真机库仍 13/16 列）⇒ 即使接线完成也不能切档（切了新行没 id ⇒ 前端 6 入口失效）。 ⑨ ⛔ 本棒未做出包 / 上池 / 加列迁移 / 回填：这三步都要求动生产（门户候选池＋平台库），且第④条已把原授权设想的动作形态从「重建」改为「加列」⇒ 依 R8 与「影响面」判据列为待拍板，⛔ 未自决。清单＋备份现状＋影响面已出（交付件 §六：6 步有序动作、分钟级窗口、已在运行实例不受影响、零数据损失、回滚素材在位）。 ⑩ 🔴 卫生：⛔ 未改 src/**｜⛔ 未改 im.ts｜⛔ 未改别的工作区文件｜⛔ 未重启服务｜⛔ 未投放｜⛔ 未 commit·push｜⛔ 未删任何库（旧库在位）｜⛔ 未删 db.js｜✅ 真机探针 /tmp/p33/ 已整体删除。 ⑪ 📄 落地件 = 交付件 $WS/交付物/MCN数据面接入-阶段二-A案落地与取证-20260925.md（十节 · 纯 LF：结论／A 案落点／判据表 A1–A9／真机读数／不需删库重建的判定／R8 清单备份影响面／未闭合 8 条／待拍板 2 项 A·B·C 案／卫生／域锁）｜探针 tmp/p33/{plan33.mjs,dry33.mjs,new/,scan.txt,batch3-live-33.txt}。⚠️ 副作用如实记账：现算落点脚本写死覆盖了 tmp/p30/batch3-live.txt（第 30 棒读数），现算副本已留 tmp/p33/batch3-live-33.txt。 ⑫ ⏸️ 本线不排棒（automation 534dc721-080c-4a4b-8e72-ad48ec596c77 已置 PAUSED）：本棒撞待拍板 2 项（见 §2「🎯 本轮动作」的 ⏳ 块）⇒ 依用户 2026-09-17 明令「要用户拍板的，等拍了再新建接续会话」，⛔ 未登记下一棒；拍板到手后由用户或新会话按「⏭️ 本线后续」重建。⚠️ 该状态已于 20:38 解除（用户两条拍板 ⇒ 第 34 棒已登记）⇒ 见 §0 顶部 20:38 行。 ⑬ 🔴 20:2x 补正（自查发现 · 已就地做实 · ⛔ 未引入任何新决策）：复核时发现 dsh.data.yaml 里 account_video_source 的两个 json 列实际仍是 maxBytes: 30720（③ 说的「声明＋代码同步」当时只有代码面落了）⇒ 按 A 案原授权补齐为 128000（＋ 3 行说明注释）。同轮新查明（口径纠偏）：平台的列级 maxBytes 全程没有任何强制点 —— schema.ts:500-515 只做声明期「正整数＋ json 列必填」校验；runtime.ts:316-319 写入期查的是行级 quota.maxRowBytes = 64 KiB ＋行数配额，⛔ 从不按列读 maxBytes（全仓 grep -rn 'maxBytes' src/db/plugin-data/ 除 schema.ts 外零命中）⇒ 列上限的唯一实际把关人 = 插件侧 store.js 的 COLUMN_MAX_BYTES，声明面改的是「自洽＋文档」。补正期间重新抢域锁 2 键（dsh-plugin-mcn-suite/dsh.data.yaml ＋ aliyun-dsh-server/交付物，rc=0，20:22），改完已释放。dsh.data.yaml 新指纹 = d6627f1c647a8c27／8,351 B／183 行（全 LF，CR=0）；PyYAML 实测解析通过（11 表；json 列 maxBytes 全为整数；hot_accounts 14 列含 local_id、account_videos 17 列含 local_id）。🔴 未重新出真机预演：diff.ts 不读 maxBytes ⇒ 读数与 §4.1 逐字相同（items=2×add_column / forbidden=0 / drift）。
🔴 2026-09-25 19:4x｜用户拍板 —— 第三批阻塞处置 = A 案（唯一拍板行，后续所有棒以此为准） —— 用户原话：「A」。对应第 32 棒上抛的三案（原文 ⇒ $WS/交付物/MCN数据面接入-阶段二-第三批阻塞取证与存量迁移-20260925.md §六）：A 案 ＝ ① 给「账号」与「视频」两类记录在平台侧补一个稳定主标识（等价于本地自增 id 所扮演的角色）② 把 account_video_source 的正文列声明上限从 30 KB 提到 ≥100 KB。 ⇒ 随之授权的代价（用户选 A 时已明示）：这两项都要动插件表结构，而平台规矩禁止改结构 ⇒ 只能把该插件的库删掉重建（不可逆；重灌约 10–20 分钟、期间该插件数据不可用）。✅ 已授权；⛔ 但 33 棒执行前必须先出清单＋先备份＋报清影响面（R8 自律），⛔ 不得扩大范围。 ⛔ 仍未拍板、不得自决的项：㈠ 47 实例重启窗口／㈡ 106 重启窗口／㈢ json 列是否改声明（另一件事，⛔ 不因本次重建而顺带决定）／㈣插件包源码是否纳入版本管理。⚠️ 特别提示：本棒会天然遇到一次重建窗口，但 ⛔ 不许拿它当理由替㈢㈣做决定；如执行棒认为合并处置更优 ⇒ 只报告、请用户拍。 ✅ 已排棒 = 第 33 棒 · 执行棒 = automation 534dc721-080c-4a4b-8e72-ad48ec596c77（一次性 · scheduledAt = 2026-09-25T19:55 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒。 🔴🔴 后棒必读（2026-09-25 19:5x 本会话实测事故）：释放锁必须写成 ME="<会话名>" bash $DOC/07-scripts/handoff-guard.sh --release-exec —— ⛔ 不带 ME= ⇒ ME 为空 ⇒ 脚本会释放 .locks/* 下「所有人」的域锁（handoff-guard.sh:38 的 ME="${ME:-}" ＋释放分支 [ -z "$_who" ] || … 判据；claim 用 $2 取名而 release 没有名字参数 ⇒ 不对称陷阱）。实测后果：本次把另一个会话 恢复浮层动画-上线 的域锁一并删掉（该会话 17:1x 之后建锁 ⇒ 近期/可能在跑）；锁根在文档库 ⇒ 全平台各线共用。⇒ 后棒一律加 ME= 前缀；⛔ 不许"人工重建"那把锁（= 反向接管）；⛔ 不许擅改该跨库脚本（机制层，须独占开工＋用户拍板）。
⏸️ 2026-09-25 16:5x–17:1x｜第 32 棒 · 执行棒（首件事＋ S1 增量完成 · 真机迁移完成 · 🔴 三表切档全部不成立 · 撞两处结构性阻塞 ⇒ 交回用户拍板 · 本棒不切档、不写死代码） —— ① ✅ 第 0 步 cwd 校验通过（/e/ProgramData/AIProject/aliyun-dsh-server）＋ state.py 一次调用取全状态。第 1 步门禁如实记账：preflight-lock.sh 对本棒 11 个目标路径全判【D】未归类 ⇒ 按字面 rc=1；依第 26–31 棒既有惯例开工并报告，⛔ 未改那个跨库脚本。锁 = 域锁 11 个键（--claim-exec "p32-exec-plugin-dataline" --domains …）rc=0；复读 .locks/p32-exec-plugin-dataline/{OWNER,DOMAINS} 断言归属（开始 09-25 16:51；会话 3e06798e-6379-460c-bd88-6c5ac88b767f）。 ② ✅ 首件事完成（本棒唯一入口）：index.js /mcn/api/videos 加平台档分支 buildVideosPlatform()（8 步：locate("account_videos") 读 truncated ⇒ 具名降级／ hotAccountMetaMap ／ videoLocalIdMap ／爆款窗 ROW_NUMBER 插件内归约 ／ search·days 插件内过滤 ／两索引判 parsed ／补 6 列／排序切片），返回 {ok,total,items,missingLocalId,nameMissing}；local 档原路径整体保留（if (items === undefined) 分流），⛔ 未删任何老逻辑。 ③ ✅ S1 增量：store.js 新增 hotAccountMetaMap({local})（id ↔ account_name 双向＋ missingId[] ＋ truncated）与 videoLocalIdMap({local})（aweme_id ↔ id 双向）——不新增任何写路径，只补 D16 映射缺的两块拼图。 ④ ✅ 迁移工具扩三表：DEFAULT_TABLES ＋ keyBuilders 追加 account_video_source／account_videos／hot_accounts；新增 splitPayload()（hot_accounts ⇒ 主表＋ hot_account_ext 拆表两写）与跨行重复主键预检（dupKeys，⛔ 不许"最后一行赢"）；CLI 新增 PART 与 🔴 DUP-KEYS 段。 ⑤ ✅ 单测 # tests 51 / # pass 51 / # fail 0（新增㊸hotAccountMetaMap／㊹videoLocalIdMap；local 档零请求、platform 档 missingId 具名）。 ⑥ ✅ 真机存量迁移完成（47 · 幂等 · 零数据损失）：account_videos 362/362 match=true ｜ hot_accounts 5/5 match=true（主表＋扩展表两写）｜ account_video_source 18 行上台 / match=false（见⑦）；幂等重跑全 skip（skip=21/362/10、DRY_WRITE_CALLS=0）；旧库 sha256 迁移前后逐字一致 b37f8aab51a90f74…（2,383,872 B，mtime 未变）⇒ 可回滚；临时会话 2 造 2 删剩 0；/tmp/p32 已整体删除。 ⑦ 🔴 两处结构性阻塞（本棒核心产出，⛔ 后棒不得绕过）：甲＝ account_videos / hot_accounts 的平台声明面无自增 id 承载位，而前端以 row.id 为主标识（client.js 6 处：切收藏 :3456·AI 视频 :3675·AI 创作 :3714·账号详情 :3782·删除 :4579·视频详情 :4669）⇒ 切档后新写入行无 id ⇒ 上述 6 个入口全失效｜乙＝ account_video_source 18/39 行正文超自己声明的 30 KB 上限（content_json 3 行／ analysis_json 15 行，最大 94,889 B）＋ 5 组重复 aweme_id（7658997937279683855／7648947073131625905／7667477088350044069／7631176055600527729／7629803455813243043）⇒ 平台侧最终只有 18 键，A1 match=false。 ⑧ 🔴 自律判定（本棒第二重要的一条）：由⑦ ⇒ 三表切档全部不成立；因此拒绝继续写 data.js／imports.js／workshop.js／index.js 约 30 处平台档接线 —— 写了 = 生产包里永不被走到的死代码（R11 可维护性净变差）⇒ 本棒到此为止，如实上抛。 ⑨ ✅ 判据面：红线 A9 仍 23（本批零新增 DDL）｜src/** 零改动｜⛔ 未改 im.ts｜⛔ 未重启服务｜⛔ 未投放｜⛔ 未 commit·push｜⛔ 未删任何库（旧库 mcn-plugin.db 在位）｜A6 免跑（lib/client.js 零改动 ⇒ 移动端五条免跑）；改动面 恰 4 件（index.js／store.js／tools/migrate-local-to-platform.mjs／tests/mcn-store.test.mjs），全纯 LF。 ⑩ 🔴 自证一条（⛔ 后棒别照抄本棒探针）：run-p32.mjs 第 5 步把 account_videos／hot_accounts 设 shadow 后未回滚，第 6 步无条件切了 account_video_source ⇒ 跑完 data-plane.json 残留两表 shadow（与 04 单 S7「全 match=true 才可切」冲突）⇒ 当场用 rollback32.mjs 对三表 clearPlaneMode() 恢复原状（仍是原 4 表 platform，本批三表回 local），并把这件事如实写进交付件 §4.6（含偏差说明）。 ⑪ ⏳ 未达成（⛔ 不宣称通过）：A1（account_video_source match=false）｜A2／A3／A5／A8 需 47 实例重启窗口／出包投放 ⇒ 用户窗口，如实列为「未达成」｜S4／S5／S6-S7 切档 未开工（等拍板）。 ⑫ 📄 落地件 = 交付件 $WS/交付物/MCN数据面接入-阶段二-第三批阻塞取证与存量迁移-20260925.md（九节 · 纯 LF：结论／完成项／判据表 A1–A9／真机读数／两处硬阻塞／待拍板 A·B·C 案／未闭合项／卫生声明／域锁）｜探针 tmp/p32/{scan32.py,wiring.py,run-p32.mjs,orchestrate.sh,rollback32.mjs,diag32.mjs} ＋读数 tmp/p32/{p32-live.out,scan32.out,wiring.txt,idx-a.txt}。本棒为收口最后一棒：automation d33a6d61-3612-4b92-bcb2-28dc818aebd6 已置 PAUSED，全线无在跑/在等的接续会话 —— 下次开工前必须先拿到⑦两项的拍板（倾向 A 案：补 id 承载位＋提正文列上限；备选 B＝只搬 account_videos、C＝本批打住）。 ⑬ ⛔ 本棒未排任何接续棒（用户规则：上抛未决 ⇒ 不登记下一棒）；拍板到手后由用户或新会话按「⏭️ 本线后续」重建。
✅ 2026-09-25 16:0x–16:4x｜第 31 棒 · 执行棒（S0／S1／S2 完成 · S3 20/23 · 三表一处未切档 ⇒ 切换条件不成立 · 四步链路未走完） —— ① ✅ 第 0 步 cwd 校验通过（/e/ProgramData/AIProject/aliyun-dsh-server）＋ state.py 一次调用取全状态。第 1 步门禁如实记账：preflight-lock.sh 对本棒 11 个目标路径全判【D】未归类（工作区根＋文档库 05-交接单 路径都不在脚本覆盖内）⇒ 按字面应 rc=1；依第 26–30 棒既有惯例开工并报告，⛔ 未改那个跨库脚本。锁 = 域锁 12 个键（--claim-exec "p31-exec-plugin-dataline" --domains …）rc=0；复读 .locks/p31-exec-plugin-dataline/{OWNER,DOMAINS} 断言归属（会话 0fd6ddc4-3990-4f46-8689-2fe9b7fed5fe）。 ② ✅ S0 九条读数全部落地（P1–P9）：P1 红线 23 ✅｜P2 落点 82 处 ✅｜P3 JOIN 11 真＋ 1 假阳性 ／ OFFSET 3 处 ／窗口函数 3 处 ✅｜P4 hot_accounts 25 列 ✅｜P5 空键 0 ／跨账号重复键 0 组 ✅｜P5b 行数 hot_accounts 5 ／ account_videos 362 ／ account_video_source 39 ✅｜P6 account_videos.account_id = INTEGER ✅｜P7 备份在位 809,732 B ／ 6b09e368…，源库 b37f8aab… ✅｜P8 现档 4 表 platform、本批三表仍 local ✅｜P9 平台 buildWhere() 能力边界现算结出结论（只 col = $n 与 IS NULL��无 neq／IN／范围／LIKE／OR）✅。 ③ ✅ S1 完成：store.js 新增「八、第三批按表切换」整段（1394 → 1980 行），31 个新导出（accountNameMap／videoSourceCountOf／loadVideoSourceIndex／topVideosOfAccount／sumLikesOfAccount／removeVideosByLocalIds／upsertAccountVideo／patchHotAccountByName·ByLocalId …），node --check 全绿。 ④ ✅ S2 完成（4 处跨批衔接面）：workshop.js 新增 applyCurrentAccountNames()（覆盖显示名＋与平台现存键集合对账 ⇒ 对不上者进 staleNames[]，⛔ 不静默、⛔ 不假装最新）；listCustomScripts／getCustomScriptRow 改 async；index.js:3076（recent-scripts 路由）接线。⚠️ workshop.js:199 计数处有意未改并写明理由（只取 COUNT(*)、不读 account_name ⇒ 改了是净增风险）。 ⑤ 🟡 S3 完成 20／23 处：imports.js 15 处（含 readVideoSource／readVideoParse／backfillVideoSource 改 async ＋写入统一走 store.writeVideoSource()，local 回调内逐字保留原 SQL 与 added++／analyses++）＋ data.js 2 处（queryAccountVideos 平台档补算 has_source；索引 truncated ⇒ 具名降级回本地子查询）＋ workshop.js 2 处 ＋ index.js 3 处。 ⑥ 🔴 剩 1 处＋「不做切档」的自律判定（本棒最重要的一条）：index.js:1558 那条 SQL 同时写 account_videos ＋ account_video_source ＋ SUM() OVER ⇒ 与 S4／S5 同一条 SQL ⇒ 本棒不改；因此 三张表一处未切档（data-plane.json 三表仍 local）—— 此时切档会出现「写到了没人读的地方」的最隐蔽坏态（R11 净变差、界面看起来完全正常）⇒ 切换条件不成立。 ⑦ 🔴 S6 迁移未做（本棒未写任何平台行、无半迁移残留）：§五把迁移排在该表全部读写点改完之后（S3／S4／S5 之后）⇒ 按序不动。 ⑧ ✅ 判据面：单测 # tests 49 / # pass 49 / # fail 0（新增 9 例㉞–㊷钉住：D16 映射具名降级／拆表两写 partial／空 aweme_id 具名拒收／双键 OR 拆两次 eq／游标翻页不重不漏／窗口归约＋非等值过滤／D20 String() ＋ replace PATCH／无范围删除拒绝／S2 覆盖＋staleNames）｜A9 红线仍 23（本批零新增 DDL）｜A6 免跑（改动面恰 6 件：store/data/imports/index/workshop.js ＋ tests/mcn-store.test.mjs，lib/client.js 零改动 ⇒ 移动端五条免跑）｜A4 逐条过：⛔ 未改 src/**（find src -newermt = 0 件）｜⛔ 未改 im.ts｜⛔ 未重启服务｜⛔ 未投放｜⛔ 未 commit·push｜⛔ 未删任何库。 ⑨ 🔴 行尾字节级判定（A4 面）：从 dsh-plugin-mcn-suite-0.3.13.tgz 取基线 ⇒ imports.js 基线本来就是全 CRLF（592/0），改后仍全 CRLF（825）＝无污染；index.js（0/3095）与 workshop.js（0/303）本来就纯 LF ⇒ 无混行尾。 ⑩ ⏳ 未闭合 6 条（⛔ 不宣称通过）：㈠ S3 剩 1 处（index.js:1558）｜㈡ S4 未开工（account_videos 全量切换：游标＋ 2 处 ROW_NUMBER() ＋ 4 处 IN 逐主键＋ String() 对齐）｜㈢ S5 未开工（hot_accounts＋ext 拆表＋ 5 写点＋ 11 JOIN；首件事 = 核实 5 处写点是否都拿得到 account_name）｜㈣ S6／S7／按表切档未走｜㈤ D16 映射的新鲜度缺口（映射只能来自本地 ⇒ 切档后新建账号会缺席；已加对账＋ staleNames[] 具名暴露，两条候选见交付件 §七）｜㈥ A1／A2／A3／A5／A8 未达成（需 47 实例重启窗口／出包投放 ⇒ 用户窗口，如实列为「未达成」）。另：平台侧 src/db/plugin-data/runtime.ts 对非法值返回 reason:"disabled" 语义误导（第 25 棒已记档，本棒复核仍在，⛔ 只报告未改）。 ⑪ 📄 落地件 = 交付件 $WS/交付物/MCN数据面接入-阶段二-第三批按表切换-20260925.md（九节 · 纯 LF）｜探针 tmp/p31/{p4-8-47.sh,find-db-47.sh,fix-awaits.py,append-tests.py,check-eol.py,p2-batch3-live.txt,p4-8-47.out,test-out.txt}。下一棒（唯一） = 第 32 棒 · 执行棒 = automation d33a6d61-3612-4b92-bcb2-28dc818aebd6（一次性 · scheduledAt = 2026-09-25T16:49 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 先把 index.js:1558 那条三表混写 SQL 一次改到位 → S4 → S5 → S6 → S7。⛔ 本线同时只挂一个棒；别线 ACTIVE 一律未动。
✅ 2026-09-25 15:4x–15:5x｜第 30 棒 · 规划棒（只出交接单 · 零落地） —— ① ✅ 交接单已出：D:/github/dsh_shenxian/dsh-server-docs/05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（8 段齐全＋附录 A 逐处落点／B 四类改写口径定死／C 存量迁移口径／D 三条口径修正；42,260 B / 349 行 · 行尾纯 LF（CR=0） · docs-audit.py rc=0）。占号 = mkdir 05-交接单/.lock-04（原子）＋ ls 确认 -04 空位。单子范围 = 阶段二第三批（主战场）：hot_accounts（拆表＋ 5 处写点＋ 11 处 JOIN）＋ account_videos（362 行 · 游标＋ 2 处窗口函数）＋ account_video_source（双键 OR ＋空键具名拒收）三表全读写点切平台取数口＋存量迁移＋ 按表切 platform（阶段二切档收尾）。 ② 🔴 三条口径修正（本棒现算 · 后棒一律以此为准，⛔ 别抄父单/入口旧记数）：㈠ 「12 处 JOIN」= 11 处真实 SQL JOIN ＋ 1 处假阳性 —— 第 26 棒把 index.js 的 UPDATE hot_accounts SET ${sets.join(", ")} 当成 SQL JOIN（JS 数组 .join( 未剔）；全清单 JOIN 14 处 = 11（含 hot_accounts，本批）＋ 2（script_review，第四批）＋ 1（假阳性）｜㈡ 「2 处聚合」实为 3 处窗口函数、GROUP BY 全包零命中 —— ROW_NUMBER() OVER 2 处（index.js:1513 ／ 2870）＋ SUM() OVER 1 处（index.js:1560）；⚠️ index.js:2870 不在 .prepare( 调用点（在 c(\SQL`) 辅助函数里）⇒ **第 26 棒扫描漏了它**（与第 29 棒"写在别人 SQL 里的读点"同类）⇒ 🔴 **后棒排查一律按 SQL 文本扫，⛔ 不按调用点扫**｜㈢ **OFFSET 第三批 = 3 处**（data.js:75／data.js:107／index.js:1558），第 4 处 workshop.js:206主表是rewrite_log ⇒ 第四批。 ③ 🔴 **两处结构性风险已具名写进单内**：㈠ **account_videos本地UNIQUE(account_id, aweme_id)≠ 平台主键(user_id, aweme_id)** ⇒ 跨 account_id重复aweme_id 的行平台会**主键冲突** ⇒ 迁移前出清单＋迁移时具名报告（⛔ 不许"最后一行赢"）｜㈡ **account_video_source平台主键首列 =aweme_id，而本地该列是 ALTER加的可空列** ⇒ 空值行平台**落不了** ⇒badRows具名拒收（**预计非零**，执行棒须现算行数）。 ④ 🔴 **一条本棒新发现的连贯性缺口（不修就留坏态）**：**4 处"跨批衔接面"** ——index.js:3076＋workshop.js:199／202／213的 SQL 是rewrite_log r LEFT JOIN hot_accounts h（**主表属第四批、从表是 hot_accounts**）⇒ 本批把 hot_accounts切platform后**本地hot_accounts不再被写**，而这 4 处仍读本地 ⇒ **账号名永久停在切档那一刻（R11 净变差、界面看起来完全正常）** ⇒ 已定为**本批必做**（§附录 A-5 ＋ §五 S2：只改h.account_name取值方式，⛔ 不动rewrite_log自身语义）。 ⑤ ✅ **列面已定论**（父单 §四 4.2-1 的"差异未定论"本棒结案）：本地hot_accounts**25 列** = 建表 14（含id）＋ ALTER 11；与声明面**逐列对齐** —— 主表 13 ＋扩展 12（account_name同键）＝ 25 槽位，扩展 11 列 ≡ALTER 列。account_videos17（含id）≡ 声明 16；account_video_source7（含id）≡ 声明 6。 ⑥ ✅ **四类改写口径已定死**（§附录 B）**：读改写（JOIN⇒ 两次单表查＋插件内合）／写改写（拆表两写 · 无事务 ⇒ 具名partial＋compensate）／OFFSET⇒ 游标（＋**必须读truncated**）／窗口函数 ⇒ **插件内归约**（⛔ 不是 /count；仅 COUNT(*)型走/count）。另定 **D15 非等值谓词一律插件内过滤**（平台 eq只做等值 ⇒IS NULL／<>／IN／OR／范围 **6 类逐处列出**）＋ **D16 关联键换轨**（平台无自增 id⇒ 对外关联走aweme_id；hot_accounts走account_name＋插件内id↔name映射）＋ **D19 具名拒收** ＋ **D20account_id类型对齐**（本地INTEGER⇒ 平台text，写侧一律 String()）。 ⑦ ✅ **可直接复用（⛔ 不重造）**：拆表四函数 splitHotAccount／mergeHotAccount／findHotAccounts／upsertHotAccount＋HOT_MAIN_COLUMNS＋TABLES[].split **全部已在位**（第 27 棒，本棒逐行核实）；locate（自带 afterCursor＋truncated）／loadVideoAnalysisIndex（拉全量建索引手法）／accountIdsWithPersona（同手法先例）／迁移工具 KEY_BUILDERS·DEFAULT_TABLES·resolveLocalTable均**已备**。 ⑧ ⏳ **未闭合（⛔ 不宣称通过）**：三张表的调用点**一处未改**（本棒零落地）；红线仍 **23**（本批预期**零新增**）；实例内端到端**待 47 重启**（待拍板㈠）；出包0.5.0／建库／投放／两机一致（S7–S11）**全未开工**；**本线待拍板仍 5 项**（本棒**一项未新增、一项未动**）。 ⑨ **卫生（A7 逐条过）**：⛔ 未改 src/**（只读 grep）｜⛔ 未改 im.ts｜⛔ 未改 D:/dshworkspace下任何文件（**只读**）｜⛔ 未重启任何服务｜⛔ 未投放｜⛔ 未 commit·push｜⛔ 未删任何库｜✅ 未 ssh（本棒全程本机）。 ⑩ 📄 **落地件** = 上述交接单 04 ＋探针tmp/p30/{slice-batch3.py,extract-batch3-sql.py,scan-batch3-live.py,scan-struct-live.py}＋读数tmp/p30/{batch3-rows.tsv,batch3-sql.txt,batch3-live.txt}（**82 处逐处 file:line ＋ SQL 原文**，供执行棒对照）。**下一棒（唯一）** = **第 31 棒 · 执行棒** = automation **8c76acb5-d010-4bf8-83f0-1074cdd98a35**（一次性 · scheduledAt = 2026-09-25T16:01·cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = **按 04 单执行第三批**。⛔ 本线**同时只挂一个棒**。别线 ACTIVE` 一律未动。
✅ 2026-09-25 15:1x–15:3x｜第 29 棒 · 执行棒（第二批按表切换完成 · 四步链路走完 · 真机读数全绿） —— ① ✅ 两张表的全部读写点已接线：account_analysis 6 处（导入 2 写＋连坐删 1 ＋ taskDone 计数 1 ＋账号分析最新一条 1 ＋预览判据 1）＋ video_analysis 10 处（导入 2 写（去重 / 删旧保新两语义）＋ deepVideos 连坐删 1（两 scope）＋ taskDone 计数 1 ＋ 视频总表的 parsed 过滤条件 1 ＋ 同表 has_analysis 输出列 1 ＋视频详情 1 ＋桌面统计 1 ＋账号视频列表平台档补列 1）。改动面恰 7 件（store/index/imports/workshop/data.js ＋ tools/migrate-local-to-platform.mjs ＋ tests/mcn-store.test.mjs）；lib/client.js 零改动 ⇒ A6 移动端五条免跑。 ② 🔴 新增一件交接单没写、但不做就不成立的东西：loadVideoAnalysisIndex() —— video_analysis 的两处读点写在别人的 SQL 里（视频总表的 parsed（进 WHERE、影响分页/总数）与 has_analysis（输出列））⇒ 平台无 JOIN ⇒ 口径 = 一次拉全量建插件内索引，再用它①拼 v.id IN (<字面 int 列表>) ②补列（同第 28 棒 has_content 手法）。索引拿不全 / 平台不可用 ⇒ 具名降级回本地子查询（⛔ 不拿半份冒充全量）。 ③ ✅ 存量迁移真机完成（47 · R8 自律）：本地 account_analysis 1 行 → 平台 1（首跑 ins=1）｜本地 video_analysis 12 行 → 平台 12（首跑 ins=12）；幂等重跑 ins=0/skip=1、ins=0/skip=12；逐表 onlyLocal=[] / onlyPlatform=[] / match=true（truncated=false）；内容往返 13/13 逐字相等（jsonTextToRaw(平台值) === 本地原文，12/12 解包后以 # 开头 = Markdown 原文）。旧库 sha256 迁移前后逐字一致 b37f8aab…（2,383,872 B，mtime 仍 09-20 23:05:05）⇒ 零数据损失 · 可回滚。json 列按附录 C 的 A 案清洗（13/13 具名进 coerced[]），⛔ 未执行任何删库。 ④ ✅ shadow 档真机读数全绿：4 次影子读全部 match=true（account_analysis 计数 1/1 · 逐账号 1/1 · video_analysis 12/12 · 计数 12/12）/ shadowMismatch=0 / degraded 一次未出现 / 平台调用 44 次全 ok、0 失败；影子读一律 source:"local"（零回归）。 ⑤ ✅ 已切档（只切这两张表）：data-plane.json tables 现为 4 表（account_persona ＋ creative_log（第一批保留）＋ account_analysis ＋ video_analysis），hot_accounts / account_videos 仍 local（⛔ 没有"顺手全切"）。回滚 = 删该表那一项或 clearPlaneMode('<表>')。 ⑥ 🔴 本棒自证抓到并修掉两处（均属"不修就留坏态"）：㈠ videoAnalysisCountOf 双计 —— 初版两路相加，而本地语义是 video_id=? OR aweme_id=? ⇒ 同一行两键都命中会被计两次（本地 1、这里 2）⇒ 改逐行 OR 判定，单测㉚钉住；㈡ previewExternalDir 三处「是否已存在」判据 —— 其中 account_persona 那处是第 28 棒的遗留读点（已切表但预览仍读本地 SQL）⇒ 三处统一走 store.analysisExists()（函数改 async）。 ⑦ 🔴 两条实测事实（后棒一律以现算为准）：㈠ 本地库表名还是旧名 —— sqlite_master 现算 = account_video_analysis（22 字符），第 27 棒在 db.js 的幂等改名只在插件新代码跑起后才生效（实例仍载 0.3.15）⇒ 迁移工具已加 resolveLocalTable()（平台名不存在才回退旧名，旧名按拆写常量写以守住 A4）｜㈡ video_analysis 平台主键 = aweme_id（天然键、不可为空） ⇒ 空 aweme_id 的行平台侧落不了、迁移具名拒收（badRows），⛔ 不静默丢（本地实测 0 行）。另：红线现算仍 23（本棒零新增 DDL）；prepare/exec 行口径现算 230（client.js2／data.js13／db.js40／imports.js51／index.js95／video-tools.js1／workshop.js28）。 ⑧ ⏳ 未闭合（⛔ 不宣称通过）：㈠ 实例内端到端未取证（实例仍载 0.3.15 ⇒ 生效需 47 实例重启，待拍板㈠）｜㈡ 出包 0.5.0 / 投放 / 两机一致（S7–S11）全未开工（包仍 0.4.0、共享层仍 0.4.0）｜㈢ 红线 23 未归零（S10 删 db.js，属第三批收口）｜㈣ 第三批未动（account_videos 362 行＋ hot_accounts 拆表＋ 12 JOIN ＋ 4 OFFSET ＋ 2 聚合 = 主战场＋ account_video_source 等）｜㈤ json 案 B 仍待拍板。 ⑨ 卫生（A7 逐条过）：⛔ 未改 src/**（find src -newermt 15:15 = 0 件，最新 mtime 12:20；im.ts 零改动）｜⛔ 未手改用户 home 下 profile/.pnpm（唯一写入 = 该用户自己的插件档位文件，即阶段一设计的回滚落点；本地库只读打开）｜⛔ 未重启任何服务｜⛔ 未 commit·push｜⛔ 未投放任何版本｜⛔ 未删任何库｜✅ 临时会话 1 → 删 1 → 残留 0｜✅ 47 /tmp/p29* 残留 0。 ⑩ 📄 落地件 = 交付物/MCN数据面接入-阶段二-第二批按表切换-20260925.md（判据表 A1–A8/A1′ ＋逐处落点表＋具名豁免＋迁移读数＋未闭合项）｜探针 = tmp/p29/{pre-a.sh,pre-b.sh,run-p29.mjs,orchestrate.sh,local-migrate-check.mjs}。下一棒（唯一） = 第 30 棒 · 规划棒 = automation a22a3713-8cf9-4d90-b42d-0f7b656bf059（一次性 · scheduledAt = 2026-09-25T15:44 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 第三批（account_video_source ＋ account_videos ＋ hot_accounts 拆表读写）的改造口径定稿（见 §2 顶部）。⛔ 本线同时只挂一个棒。别线 ACTIVE 一律未动。
✅ 2026-09-25 14:43–15:0x｜第 28 棒 · 执行棒（两件全做完＋真机读数全绿 —— 写源档落地 · 第一批两张表切换到档 · 存量迁移完成） —— ① ✅ 写源档落地（第 1 件）：store.js 新增 WRITE_MODES(local/platform) ＋ dataPlaneWriteMode(table?) ＋ setDataPlaneWriteMode(mode, table?) ＋ writeThrough() 分发器，与读源档同源同文件（<DSH_HOME>/.dsh/data-plane.json：env MCN_DATA_PLANE_WRITE → writeMode → local）。单测 31/31 通过（旧 24 全过＋新增 7 例 ⑱–㉔：默认档零平台写请求／非法值折回／platform 真发写请求／失败⛔ 不回落本地／按表档／两档合并写／json 清洗／稳定键）。🔴 修掉一个既有隐患：setDataPlaneMode() 原来整份覆盖配置文件 ⇒ 读写两档共用一份时必然互相抹掉 ⇒ 改为合并写（单测 ⑳ 钉住）。 ② 🔴 补了交接单没写、但不做就不成立的东西：按表档 —— 全局单档表达不了逐表切换（一张表迁完、其余没迁时切全局读档 ⇒ 未迁的表读到空）⇒ 支持 tables:{ <表>:{mode,writeMode} } 覆盖，顺序 = env（全局）> 该表覆盖 > 全局 file > local；clearPlaneMode() = 一键回滚。这才是"切最小单位 = 表"的可执行形态。 ③ ✅ 第一批两张表的全部读写点已接线（含删除）：account_persona = imports.js 2 写＋ workshop.js 级联删 1 处＋ index.js 计数读 1 处＋视频列表 has_content 子查询 1 处（平台档下改为插件内补）＋ 3 处既有读点的 keyOf 统一为 store.personaKeyOf｜creative_log = 全包唯一写点 1 处。改动面恰 6 件（store/index/imports/workshop.js ＋ tests/mcn-store.test.mjs ＋新增 tools/migrate-local-to-platform.mjs），lib/client.js 零改动 ⇒ A6 移动端五条免跑。 ④ ✅ 存量迁移真机完成（47 · R8 自律）：本地 account_persona 4 行 → 平台 4 行，逐账号 onlyLocal=[] / onlyPlatform=[] / match=true（1627 1/1 · 1628 1/1 · 1629 2/2）；幂等重跑 ins=0 / skip=4；creative_log 本地 0 行 ⇒ 空迁移。旧库 sha256 迁移前后逐字一致 b37f8aab…（2,383,872 B，mtime 仍 09-20 23:05:05）⇒ 零数据损失 · 可回滚（A5 面）。⚠️ json 列按附录 C 的 A 案清洗（4/4 行被包成 JSON 字符串，具名进 coerced[]），⛔ 未执行任何删库。 ⑤ ✅ shadow 档真机读数全绿：shadowReads=4 / shadowMismatch=0 / 三账号 match=true / degraded 一次都没出现 / 平台调用 27 次全 ok、0 失败；影子读一律 source:"local"（零回归）。 ⑥ ✅ 已切档（只切这两张表）：data-plane.json = {mode:"local", writeMode:"local", tables:{account_persona:{platform,platform}, creative_log:{platform,platform}}} ⇒ hot_accounts 等仍 local（⛔ 没有"顺手全切"）。回滚 = 删该文件或 clearPlaneMode()。 ⑦ ⏳ 未闭合（⛔ 不宣称通过）：㈠ 实例内端到端未取证（实例仍载 0.3.15，尚无本棒代码；生效需 47 实例重启 ⇒ 待拍板㈠）｜㈡ 出包 0.5.0 / 建库 / 投放 / 两机一致（S7–S11）全未开工（投放会让新版对所有登录用户可见可启 ⇒ 与㈠一起排）｜㈢ creative_log 无任何读点 ⇒ 切档只能"写侧单边取证"｜㈣其余 9 张表未切（hot_accounts 拆表＋12 JOIN＋4 OFFSET 主战场、account_videos 362 行）｜㈤ json 案 B 仍待拍板（读侧两形态长期存在）。 ⑧ 卫生（A7 逐条过）：⛔ 未改 src/**（im.ts 零改动）｜⛔ 未手改用户 home 下 profile/.pnpm（唯一写入 = 该用户自己的插件档位文件，即阶段一设计的回滚落点）｜⛔ 未重启任何服务｜⛔ 未 commit·push｜⛔ 未投放任何版本（共享层仍 0.4.0）｜⛔ 未删任何库｜✅ 临时 admin 会话 1 → 删 1 → 残留 0｜✅ 探针落 /tmp/p28/**（已清）。 ⑨ 📄 落地件 = 交付物/MCN数据面接入-阶段二-第一批按表切换-20260925.md（判据表 C1–C5/A1–A8 ＋ shadow 读数原文＋逐处落点表＋三个技术判定＋未闭合项）｜探针 = tmp/p28/{local-migrate-check.mjs,run-p28.mjs,orchestrate.sh,probe-a.sh,probe-b.sh}。下一棒（唯一） = 第 29 棒 · 执行棒 = automation 23cbc916-ebda-4413-84da-ce229a4230f5（一次性 · scheduledAt = 2026-09-25T15:12 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 第二批按表切换（account_analysis ＋ video_analysis）（见 §2 顶部）。⛔ 本线同时只挂一个棒。别线 ACTIVE 一律未动。
🔴 2026-09-25 14:09–14:3x｜第 27 棒 · 执行棒（S0＋S1＋S2＋S3 完成 · S4–S11 未开工 · A4 达成源面 / A5 半达成 / A1·A2·A3·A8 未达成） —— ① ✅ S0 只读前置 9 条＋待核实 4 条全部有读数，其中两条从"待核实"变定论：㈠ 4.2-1 本地库列面 = hot_accounts 25 列（PRAGMA table_info 现算；阶段一记「24 列」是错的，本棒静态读的 25 对）｜㈡ 4.2-2 lib/client.js 那 2 处 = 正则 .exec()（拆段正则），不是 SQL ⇒ 可排除，改造面 222 处不受影响。另：P1 红线 22 / P2 行口径 222（分文件逐一对上）/ P3 脱钩 22 处 / P4 json 列 7 个 / P7 平台无 drop·重建口（6 端点＋ DROP DATABASE 仅 1 处防注入单测注释＋ ForbiddenKind 5 类）全与单内预期一致；4.2-3 平台容量上限到手 = 单行 64 KiB／单插件 20 万行／find 硬夹紧 200（find 不传 limit 默认 50）。 ② ✅ S1 表名对齐完成：lib/ 22 处（data.js3／db.js5／imports.js7／index.js5／workshop.js2）＋ dsh.data.yaml 3 处＋ 2 份 skill 文档 3 处 ⇒ 包内字面命中 = 0（grep -rE "account_video_analysis" "$PKG" --exclude-dir=node_modules | wc -l）；node --check 全包 lib/**/*.js rc=0。🔴 补了交接单没写、但必需的一半：代码改成 video_analysis 而本地 SQLite 表仍叫旧名 ⇒ 每次本地读都 no such table（R11 净变差且不易察觉）⇒ 在 db.js 的 initDb() 加幂等表名对齐（旧表在 ∧ 新表不在 ⇒ ALTER TABLE … RENAME TO），并在临时库上真跑验证（2 行原样、aweme_id 逐字不变、二次运行不改动）。⚠️ 旧表名在包内只以「拆写常量」出现 1 处（"account_video" + "_analysis"，只作 sqlite_master 匹配字面、⛔ 不进任何读写 SQL）—— 有意为之且在代码注释与本棒交付件里点名，目的是同时满足"本地存量库能改名"与"A4 判据字面零命中"；评审要核对旧名请按拆写形态 grep。 ③ ✅ S2 迁移前备份与清单完成（47 真机 · R8 自律）：8 个用户只有 1 个有本地库（cce6d1cd-…，2,383,872 B，mtime 2026-09-20 23:05:05，uid 114801）⇒ 逐表行数入档（10 表 441 行：account_videos362／account_video_source39／rewrite_log13／video_analysis12／hot_accounts5／account_persona4／storyboard_log3／script_review2／account_analysis1／creative_log0）；旧库打包落 /opt/dsh/backups/plugin-data/dsh-plugin-mcn-suite/cce6d1cd-b376-4304-80f0-0e1c58c9ffde-mcn-plugin-db-20260925-141436.tar.gz（809,732 B，sha256 6b09e368…，tar -tzf rc=0 可解出），源库 sha256 备份前后逐字一致 b37f8aab…（journal_mode=delete ⇒ 无 -wal/-shm）⇒ "备份在位"四条全过，S5 前置已具备。另：P6 回滚素材在位（0.3.9/0.3.14/0.3.15/0.4.0.tgz）｜P8 共享层 0.4.0 / 实例仍载 0.3.15（待重启）｜P9 台账未取（S8 未开工 ⇒ 本轮无建库动作，未消耗凭据面）。 ④ ✅ S3 store.js 补齐 11 张表通用读写面（336 → 715 行）：TABLES 登记（主键三分类）＋ findRows/countRows/locate/insertRow/patchRow/removeRow/patchWhere/removeWhere/upsertByPk/writeRows ＋ D9 两步改写器（find 定位 → 逐行 PATCH/DELETE，逐行具名收集、失败不中断，返回 matched/changed/failed[] 三个真值＋ dryRun）＋ 体积/列上限守卫（先判后拒、⛔ 不截断；内核列与本地自增列剥除并具名 dropped[]）＋ 拆表读写（splitHotAccount/mergeHotAccount/findHotAccounts/upsertHotAccount，两写失败给 partial ＋补偿动作）＋ 生成键（genKey 随机 / stableKey UUIDv5 可复算 ⇒ 迁移可重跑）。单测 24/24 通过 / 0 败（旧 13 例全过＋新增 11 例），rc=0。 ⑤ 🔴 S4–S11 未开工，且有结构性理由（⛔ 不是"没来得及"）：㈠ 写路径没有档位 —— store.js 的写函数直接打平台，而读源档 dataPlaneMode() 是全局单档 ⇒ 一旦开始逐处改写就出现「该表的写已进平台、读仍是本地」⇒ 用户看到的是自己写入之前的旧数据（R11 净变差，且是"看起来正常"的坏态）；㈡ D10 的"按表 shadow → 按表切 platform"在当前单档开关下不可表达，且同一张表常有多个写入方（hot_accounts 被 data.js/imports.js/index.js/workshop.js 同时写）⇒ 🔴 切换的最小原子单位 = 表，不是文件。⇒ 本棒自决（可推翻）：在写路径拿到与读同源的档位之前，不开工 S4。下一棒第 1 件事 = 补写源档（见 §2 顶部）。 ⑥ 🔴 两条记数修正（后棒一律以现算为准）：㈠ 红线现算 23（= 阶段一 22 ＋本棒新增 1 处：db.js:47 的表名对齐 ALTER TABLE；db.js 未删 ⇒ A3 未达成）｜㈡阶段一记的 hot_accounts 24 列错，实为 25 列。 ⑦ 🔴 一条待拍板项新增（㈤）：插件包源码 D:/dshworkspace/plugin_package/dsh-plugin-mcn-suite/ 在 D:/dshworkspace 仓库里是未跟踪目录（git status = ??）⇒ 本轮 10 件改动无任何版本留痕（只靠 sha256 ＋交付件）⇒ 要不要纳入版本管理，见 §5「⏭️ 本线后续」。原四项（㈠ 47 实例重启窗口／㈡ 106 重启窗口／㈢删库重建授权／㈣ json 列两案）一项未动。 ⑧ 卫生（A7 逐条达成）：⛔ 未改 D:/github/dsh_shenxian/src/**（只读 grep）｜⛔ im.ts 零改动｜⛔ 未手改用户 home 下 profile/.pnpm（用户库一律 readOnly: true）｜⛔ 未重启任何服务、未投放任何版本（共享层仍 0.4.0）｜⛔ 未 commit·push｜✅ 改动面 恰 10 件（find "$PKG" -newermt "2026-09-25 14:10"：lib/host/mcn/{db,data,imports,index,workshop,store}.js、dsh.data.yaml、2 份 skill 文档、tests/mcn-store.test.mjs）⇒ lib/client.js 免跑移动端五条（A6）｜✅ 47 /tmp 残留 0｜✅ 未建临时会话。 ⑨ 📄 落地件 = 交付物/MCN数据面接入-阶段二-20260925.md（判据表 A1–A8 ＋ S0 九条读数＋拆写常量说明＋未达成理由＋卫生＋下一棒建议）｜探针 = tmp/p27/{s0-local.sh,s0-47.sh,s0-47b.sh,s2-backup-47.sh,scan-stmt.mjs,s1-local-align-check.mjs} ＋ tmp/p27/{p1-hits.txt,stmt-scan.tsv}。下一棒（唯一） = 第 28 棒 · 执行棒 = automation 74aec2df-a750-4fc5-9d0b-5955eeb96b46（一次性 · scheduledAt = 2026-09-25T14:40 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 写源档（writeMode，默认 local）＋按「表」推进第一批全量切换（account_persona ＋ creative_log 做端到端样板）（见 §2 顶部）。⛔ 本线同时只挂一个棒。别线 ACTIVE 一律未动。
✅ 2026-09-25 13:53–14:0x｜第 26 棒 · 规划棒（只出交接单 · 零落地） —— ① ✅ 交接单已出：D:/github/dsh_shenxian/dsh-server-docs/05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（8 段齐全＋附录 A 逐表改造口径／B 存量迁移口径／C json 列两案／D 删 db.js 收口判据；35,914 B / 281 行 · 行尾纯 LF（CR=0） · docs-audit.py rc=0）。单子范围 = 阶段二（全量迁移与收口）：其余 9 张表（含拆表后的 hot_account_ext）读 / 写路径切平台取数口＋存量迁移（6 张生成键表稳定键回填 · 先备份先出清单 · 幂等可重跑）＋ json 列处置＋ 🔴 删 lib/host/mcn/db.js 使红线 22 → 0。 ② 🔴 本棒新增实测五条（后棒一律以现算为准，⛔ 别抄旧记数）：㈠ 改造面双口径 —— 行口径 222（.prepare(/.exec( 行数，阶段一 P3）／字面量口径 210（本棒现算：index.js82／imports.js51／db.js37／workshop.js26／data.js13／video-tools.js1）⇒ 两口径含义不同、⛔ 不许互相"纠正"；㈡ 🔴 代码 ↔ 声明表名脱钩：account_video_analysis 代码仍 22 处（data.js3／db.js5／imports.js7／index.js5／workshop.js2）而声明已改 video_analysis（代码零命中）⇒ 不修则读写会打不存在的表；hot_account_ext 代码零引用 ⇒ 须新建读写路径；㈢ UPDATE/DELETE 共 45 处（UPDATE 26／DELETE 19），条件首列 = 自增 id 24 ／天然键 aweme_id 4 ／其余（业务列 / 复合 / 动态拼接）17 ⇒ ≥41 处须「先 find 定位 → 再 PATCH/DELETE」两步改写（平台 PATCH/DELETE 只按主键 ⇒ 本地自增 id 在平台侧不存在）；㈣ json 声明列现算 7 个（阶段一记「6 个」⇒ 以现算为准），其中 3 列共 17 行存量非法 JSON；㈤ 🔴 平台无插件库 drop / 重建口 —— 数据面仅 6 个端点（datastore/plan·datastore·datastore/migrate·datastores/reconcile·datastore/audit·datastores）、DROP DATABASE 在 src/ 零命中（唯一命中 = 防注入单测注释）、ForbiddenKind = 5 类禁令（drop_column/alter_type/rename/notnull_no_default/drop_table）。 ③ 🔴 一条不可逆候选已如实上抛：附录 C 两案 = A 值清洗（不删库 · 读侧兼容两形态）vs B 改声明为 text（语义干净但必须删库重建）⇒ B 案只能人工 DROP DATABASE ⇒ 须用户拍板（规划侧判据：迁移前做代价最低、迁移后做即丢真实数据）。⛔ 未拍板前执行棒走 A 案（已写进第 27 棒 prompt 的硬约束）。 ④ ✅ 待核实 4 条＋待拍板 4 项（均写进单内，⛔ 不在接续棒内自决）：待核实 = 本地库精确列面（阶段一记 hot_accounts 24 列／本棒静态读 25 列 ⇒ 差异未定论，一律以 PRAGMA table_info 现算为准）· lib/client.js 2 处调用形态 · 平台容量上限 · 实例凭据与窗口；待拍板 = ㈠ 47 实例重启窗口（影响 1 个在线用户 cce6d1cd-…、约 1–3 分钟）· ㈡ 106 重启窗口（与既有待重启面合批）· ㈢删库重建是否授权（不可逆）· ㈣ json 列两案选型。 ⑤ ✅ 卫生（本棒）：⛔ 未 ssh / 未 scp / 未改码 / 未投放 / 未重启任何服务 / 未 commit·push；⛔ 未改 D:/github/dsh_shenxian/src/**（只读 grep）｜⛔ 未改 D:/dshworkspace 下任何文件（只读）｜⛔ im.ts 零改动。 ⑥ 📄 落地件 = 交付物/MCN数据面接入-阶段二-改造面清单-20260925.tsv（210 处逐处 file/line/ops/tables/where_cols，供执行棒逐处接线）｜探针脚本 = tmp/p26/{scan_tables,scan_where,scan_precise}.py ＋ tmp/p26/{table-map,where-map,stmt-precise}.tsv。下一棒（唯一） = 第 27 棒 · 执行棒 = automation 28780b2e-d1e7-4f35-aa58-0d80c68df537（一次性 · scheduledAt = 2026-09-25T14:09 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 按交接单 插件投放与分库线-03MCN数据面接入改造-阶段二.md 执行阶段二（见 §2 顶部）。🔧 同批已把本棒 automation 2714f440-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 13:10–14:1x｜第 25 棒 · 执行棒（阶段一纵向切片落地 —— A1–A4/A6 达成 · A5 按单内预期未达成 · 3 项未闭合） —— ① ✅ 端到端打通（最容易翻车的一段）：声明 11 表（dsh.data.yaml 7,391 B／11 表 96 列 14 索引／纯 LF／sha256 9425c953…）→ 上传候选池 0.4.0（HTTP 200／blocked:0／warnings:120）→ plan（25 项）→ datastore（outcome:"created"，159 ms）→ migrate（state:"ready"／schemaVersion:1／25 条 executed） → 共享层 action:"replaced"（fileCount:659／rollbackTgz:…/0.3.15.tgz）。台账 state=ready／plan_hash 58226942…／last_error:null；pg_database 命中 1 行；对账 clean:true（orphans:[] missing:[]）。包 1,962,024 B / 324 件，sha256 96f67039dc8a16cd5f460f514d032560898fbedd19786e34a5b81a939e97b11c。 ② ✅ A3 真机读：account_videos 平台读回 36 行 = 本地 SQLite 36 行（前三 aweme_id 7628915676010423397/7629803455813243043/7631176055600527729 逐字一致）＋ 游标第二页严格递增无重复；account_persona 洗净种子后 2/2 读回（列集合 8 列全对）。A2 available:true、11 张表全在列。A4 五拒全 bad-args（写他人 user_id／缺主键列／带 created_at／未知表名／未知列）＋ 0 行返回 {ok:true,value:[]} ＋缺身份头/非法包名 400；归属列由内核强制注入（读回行自带 user_id，请求体从未带）。 ③ 🔴 三处实测修正（后棒一律以现算为准，⛔ 别抄旧记数）：㈠ 物理表名 ≤ 20 字符（pluginId 归一化后 20 字符 ＋ p_ 前缀＋下划线；validateDecl 不查这条，直到上传才 HTTP 500 非法表名）⇒ account_video_analysis 改名 video_analysis；㈡ 🔴 bigtext 类型往返不守恒（声明 bigtext ⇒ PG 落 TEXT ⇒ 回读归 text ⇒ 预演恒报 alter_type 禁令 ⇒ 状态永久 blocked ⇒ 该插件所有用户永远启不了，事故级）⇒ 三处改 text（保留 maxBytes:49152，PG 类型同为 TEXT、上限意图不变）；㈢ plan/datastore/migrate 的 body 参数名是 id（⛔ 非 pluginId，单内 §五 S7 样例有误）且 datastore 只落 created、migrate 才是 ready（易误判「建库即就绪」）。 ④ 🔴 一条阶段二硬阻塞（本棒只报告 · ⛔ 未改 src/**）：6 个 json 声明列中 4 个有非法 JSON 存量共 17 行（纯 Markdown 正文）—— account_video_analysis.content_json 12/12、account_persona.content_json 4/4、account_analysis.content_json 1/1 非法（account_video_source 39 行、script_review 两张 json 各 2 行全合法）⇒ 实测 {"ok":false,"reason":"disabled","detail":"22P02: invalid input syntax for type json"}。⚠️ 因 alter_type 是平台禁令，改类型须删库重建（不可逆）⇒ 留待阶段二单内定口径。⚠️ 另记：非法值返回的 reason:"disabled" 语义误导（应为 bad-args/invalid-value 类）。 ⑤ ⏳ 未闭合 3 项：㈠ 插件路由端到端未取读数 —— 实例仍载 0.3.15（实例启动 11:50:39 早于共享层替换 13:1x）⇒ /mcn/api/account/{videos,persona} 跑旧码，不能用于证明新版适配层 ⇒ 待实例重启；㈡ 106 共享层未同步（节点侧首轮 stale→pulled 属预期）⇒ 待重启；㈢ A5 红线仍 22（阶段一预期，阶段二判据）。⛔ 本棒未重启 106、未重启实例（中断在线用户 ⇒ 红线 ⇒ 等窗口）。 ⑥ 卫生（A7 六条全清）：⛔ 未改 src/**（实测 src/ 20 个改动文件最晚 mtime 2026-09-25 12:20:57，早于本棒 13:10 开工；src/db/plugin-data/*＋src/web/routes/plugin-data.ts 是上游棒的 ?? 未跟踪件）｜⛔ im.ts 零改动｜⛔ 未手改用户 home profile/.pnpm（对用户库只读 mode=ro）｜⛔ 未重启 106｜⛔ 未 commit·push｜✅ 未迁存量（平台侧种子为同值取证行，读回后全删：VIDEO_DELETED=36／PERSONA_DELETED=2／清理后 n=0）｜✅ 临时 admin 会话 10 → 删除 10 → 残留 0｜✅ 47 /tmp/p25* 残留 0。 ⑦ 📄 落地件 = 交付物/MCN数据面接入-阶段一-20260925.md（判据表 A1–A7 含命令/输出/退出码＋三条平台侧缺陷＋ json 列地雷面＋踩坑记录）｜探针 = tmp/p25/s9b–s9e.sh。下一棒 = 第 26 棒 · 规划棒（出阶段二交接单，见 §2）。
✅ 2026-09-25 12:5x–13:0x｜第 24 棒 · 规划棒（只出交接单 · 零落地） —— ① ✅ 交接单已出：D:/github/dsh_shenxian/dsh-server-docs/05-交接单/插件投放与分库线-02MCN数据面接入改造.md（8 段齐全＋ 〇 对齐节＋附录 A 阶段划分；占号 = mkdir 05-交接单/.lock-02 原子；自检 docs-audit.py rc=0、行尾纯 LF、21,787 B / 220 行）。单子范围 = 阶段一（纵向切片）：声明 11 张表（hot_accounts 拆 2）＋建库＋适配层 lib/host/mcn/store.js ＋ account_videos / account_persona 两张表的读路径切平台取数口＋真机读数；⛔ 阶段一不删 db.js（红线不回零）、不迁存量数据、⛔ 不改 UI。单内已给 §二只读前置 6 条（命令＋期望输出）、§四决策点 6 已定＋ 3 待核实、§五步骤 S1–S10（每步自带验证）、§六验收 A1–A7（含 A5 如实标"阶段一未达成"）、§七回滚（含"回滚素材不在位不许投放"）、§八回报格式。 ② 🔴 三处实测修正（后棒一律以现算为准，⛔ 别抄旧记数）：㈠入口旧记「MCN 包红线扫描 21 处 SQLite 建表」⇒ 实测 22 命中（10 张表的 CREATE TABLE ＋第 49 行注释 1 ＋ 11 条 ALTER TABLE）；㈡ 真实改造面 = SQL 调用点 222 处（index.js 94 ／ imports.js 51 ／ db.js 37 ／ workshop.js 26 ／ data.js 11 ／ client.js 2 ／ video-tools.js 1）—— "21 处"是关键词命中数，不是改造面；㈢ hot_accounts 实有 24 列＞平台 MAX_COLUMNS=20（src/db/plugin-data/schema.ts:75-76，MAX_TABLES=20 同处）⇒ 该表按现状无法声明，必须拆表（单内 D2-c）；其余 9 表列数 3–17 合规。附带：包 package.json 现无 data 键 ⇒ 状态 none、门禁放行；本地库落点 = <DSH_HOME>/.dsh/mcn-plugin.db；声明可本机离线校验（lib/db/plugin-data/schema.js 导出 validateDecl / parseDeclFromDir / pluginDbNameOf）。 ③ ✅ "本线唯一剩下的可自动接续、无需拍板项"判据复核通过 —— 待拍板项 0 条：拆表口径 / scope 全 user / 主键三分类 / JOIN·OFFSET·聚合的改写口径 全属技术项 ⇒ 规划棒自决；存量数据处置判为「先备份＋先出受影响清单」的 R8 自律项（不删旧库 ⇒ 可回滚）⇒ 非拍板项。⚠️ 单内明写「⛔ 无回滚素材不许投放」＝本棒前置门禁。 ④ 卫生：⛔ 未 ssh / 未 scp / 未改码 / 未投放 / 未 commit / push；⛔ 未改 D:/dshworkspace 下任何文件（只读）；⛔ 未改 src/**；⛔ 未重启 106；⛔ 未清 .dsh-module-fallback。登记 = 05-交接单/README.md §一 新增本单一行。 ⑤ 🟡 附带发现（⛔ 未动 · 只报告 · 属机制层）：07-scripts/handoff-guard.sh 的 _ANCHOR_SEGS（shell：… scripts skills 交接单）与 07-scripts/lock-guard-hook.py 的 _DOMAIN_SEGS（python：… 07-scripts 08-skills 05-交接单）内容不一致；本棒 4 个目标路径经两侧算法复算结果一致（故本棒锁有效），⛔ 未修跨库脚本（不属本工作区）⇒ 留作单独排棒议题。 下一棒（唯一） = 第 25 棒 · 执行棒 = automation 129abaa5-937c-448b-811e-d804f35716be（一次性 · scheduledAt = 2026-09-25T13:09 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 按交接单 插件投放与分库线-02MCN数据面接入改造.md 执行阶段一（声明＋建库＋适配层＋ 2 张表读路径＋真机读数）。🔧 同批已把本棒 automation 95874886-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 12:1x–12:4x｜第 23 棒 · 执行棒（三件全做完：判据 ①②③ 全绿＋两项取证到手） —— ① ✅ §5-12 跨机错误消息截断放宽（200 → 1200）：src/supervisor/remote-spawner.ts 新增导出常量 AGENT_ERROR_TEXT_MAX = 1200，两处分支（4xx 具名抛 / 5xx lastErr）改用之；单测 +3 例（T6 = 973 字符正文逐字完整进 message；T7 = 边界「恰好 1200 一个不少／多 1 字符即截到 1200」；T8 = 5xx 同上限且 calls===4 钉住"5xx 仍重试 4 次"这条既有语义未被本次改动碰到）。门禁：npm run build rc=0｜npm test = 592 tests / 590 过 / 0 败 / 2 跳过（第 21 棒 589/587 ⇒ +3）｜check:layering rc=0 ✅ 无新增违规（未归类 1 条 src/platform-paths.ts 属既有基线）。部署两机一件：47 /opt/dshs/lib/supervisor/remote-spawner.js ＋ 106 /opt/dshs-cluster/lib/…，三方 md5 逐字一致 e9ab05d9…（投前两机同为 269d3d20…／20564 B ⇒ 双机同版）；备份 /opt/dsh/backups/lib-p23/{iZrj99af19cibck1ge93tqZ,VM-0-8-opencloudos}-pre-p23-20260925-12{28}5{4,5}.tgz ＋ .manifest ＋单文件副本；47 restart dshs ⇒ active · NRestarts=0 · 门户 200 · journald dshs listening on http://127.0.0.1:3080（停止阶段有一次旧进程 Failed with result 'timeout' ＝优雅退出超时，新进程随即 Started，判为生效）；⛔ 106 只投不重启（待窗口）⇒ 106 待重启面 → 48 件。dshs-worker(47) 未重启：该文件在 worker 模块图内，但 RemoteSpawner 唯一实例化点 = lib/web/server.js:38（Manager 侧）⇒ 对 worker 零影响。⚠️ 无"长错误消息"真机读数（需一次真失败的跨机调用）⇒ ⛔ 未宣称运行面验收通过。 ② ✅ §5-18「清理前必查」取证 → 本条从"待查"变"可拍板"：三条链（node_modules/{xlsx,react,react-dom} → .dsh-module-fallback → 共享层）确实在解析路径上 —— 实测 require.resolve（以实例 uid 114801 只解析不执行）：@dsh-local/business-plugins / @dsh-local/portal-entry / @deepseek-ai/dsh-client-ui-renderer 三处落点全部经顶层兜底（因它们的 .pnpm/<pkg>/node_modules 与提升层 .pnpm/node_modules 都没有 react）⇒ 有真依赖；但三处命中全在浏览器半边（lib/client.js，头部原文写明「以普通脚本形式执行，向 window.__ModuleLoader__ 注册 factory」）⇒ require("react") 由浏览器侧模块表满足、不读磁盘；加反向证据 grep -rln "__ModuleLoader__" /opt/dshs/lib = 0 文件 ⇒ 服务端不解析 client bundle ⇒ Node 运行期无消费者，结论句 = 有真依赖（3 处，均浏览器半边）／Node 运行期无消费者。① 命中清单（4 类，含行号）：business-plugins/lib/client.js:56、portal-entry/lib/client.js:67、dsh-client-ui-renderer/lib/client.js:10 ＋包自身内部（react/react-dom 的 cjs/*、[email protected]、[email protected]、dsh-client-ui-primitives/lib/index.js:8-9）——后者的消费者自带 react、不经兜底。② 区分：包自己声明的依赖 = 共享层 dsh-plugin-mcn-suite/package.json:32-34（react/react-dom/xlsx，自带）｜顶层兜底 = 上面那 3 处。③ 两处纠正 §5-18：兜底目录内只剩 3 条链（另有 4 个空目录 @deepseek-ai/@shikijs/@types/@ungap ＝残留）；三条链 mtime 实为 09-25 10:14:57（§5-18 记的 09-08 是目录 mtime）。4 条边界（只核这一个 profile／未展开官方客户端宿主是否在服务端预解析／只对当前 profile 版本成立／未做删链 A/B）⇒ 交付件 §2-3。⛔ 未删任何软链、未改 profile、未动 .pnpm。 ③ ✅ §5-22 本机 lib ↔ 部署面 3+7 差异定性（结论：本线无活缺口）：7 件 = im/gateway-token.{js,d.ts,js.map}（两机全缺，且部署面 grep gateway-token = 0 命中 ⇒ 死件/无人引用）＋ web/essential-plugins.{d.ts,js.map} ＋ web/routes/plugin-data.{d.ts,js.map}（四件均为声明/映射边车；其 .js 两机都在且引用者已解析 —— routes/admin.js:10／routes/business-plugins.js:20／web/server.js:55 ⇒ runtime 零影响）。3 件运行时 .js 两机逐字相同（12077/3342/36738，mtime 均 09-23 20:59:31 ＝ 源构建时间）vs 本机 16241/4154/47262 ⇒ 本机更新；git log 不可作判据（IM 面整体落在同一 commit e6207aa）⇒ 判据 = 构建时间＋体积。🔴 新出耦合（后棒必看）：本机 lib/web/routes/im.js:42 已 import … from '../../im/gateway-token.js' ⇒ 新版 im.js 与 gateway-token.* 必须同批投（⛔ 单投 im.js ⇒ 实例启动期 ERR_MODULE_NOT_FOUND）；两机现为「旧 im.js ＋无 gateway-token」的自洽态，无人处于半投状态。⇒ 归类：3 件运行时 .js 新版本＋ gateway-token.* 属 IM 线投放面（⛔ 不归本线）；4 件边车可补但无收益（两机无 TS 消费者、.js.map 只影响调试栈）⇒ 建议不投。⛔ 未投任何件。 ④ 卫生：⛔ 未 commit/push；⛔ src/web/routes/im.ts 零改动；⛔ 未手改用户 home 下 profile/.pnpm；⛔ 未重启 106；⛔ 未清 .dsh-module-fallback（只取证）；47 侧除目标文件外零改动；✅ 47 /tmp p23-* 残留 0（探针已 trap 清理并复核）。落地件 ⇒ 交付物/跨机错误消息放宽与两项只读取证-20260925.md；探针 ⇒ tmp/p23-item2-probe{,2,3,4,5}.sh / p23-item3-probe.sh / p23-deploy-backup.sh。 下一棒（唯一） = 第 24 棒 · 规划棒 = automation 95874886-f28e-44d8-83a0-606cc27f8ef1（一次性 · scheduledAt = 2026-09-25T12:53 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = §5-9 MCN 数据面接入改造（出交接单） —— 本线唯一剩下的"可自动接续、无需拍板"项（其余全卡在待拍板 / 待窗口 / 待自然触发，见 §5 后续）。🔧 同批已把本棒 automation cea5b3d4-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 11:58–12:1x｜第 22 棒 · 执行棒（判据 ①②③ 全绿 —— 两机 lib/ 代码面差异面归零） —— ① ✅ 判据①（完整差异清单）：lib/** 逐文件 md5 全量对比 —— 47（/opt/dshs）= 389 件／ 106（/opt/dshs-cluster）= 357 件；逐字一致 322、内容不同 23、仅 47 有 44、仅 106 有 12 ⇒ 原始差异面 79 条。🔑 判据口径（本棒立 · 后棒沿用）：两侧各自留有历史部署快照（.s3bak-* / .s0bak-* / *.bak-*）⇒ 只在代码面上要求归零 ⇒ 代码面差异 = 46 件（21 件运行时 .js ＋ 25 件 .d.ts/.js.map）＋备份残留 33 条（47 侧 21 / 106 侧 12，两侧时间戳本就不同 ⇒ ⛔ 不投不删）。 ② ✅ 判据②（补齐 → 归零）：106 全量备份 /opt/dsh/backups/lib-p22/106-pre-p22-20260925-120615.tgz（sha256 9612e4c0…）＋同目录改前指纹清单；47 侧按清单打包 46 件（1ac3922cb3a3239a3f9d4cf59f7beb4f）⇒ 106 收到后 md5 一致 ⇒ tar xzf rc=0 ⇒ lib 件数 357 → 380（＋23 缺件）、新建目录 db/plugin-data、im/backends 属主 root:root 755 ⇒ 重采复核 代码面 368 = 368、内容不同 0、单向缺失 0（p22-verify.py rc=0）。基准 = 47 生产部署面（dshs.service 起于 11:47:33 的那份；抽样三件与本机构建产物逐字一致）⇒ §5-21 闭合。 ③ ✅ 判据③（待重启清单）：106 只有 dshs-worker.service（ExecMainStartTimestamp = 09-25 09:52:11）＋ relay、⛔ 无 dshs.service；入口 = ExecStart = … /opt/dshs-cluster/lib/cli.js worker --port 19000 …，而 cli.js 顶层静态 import ./db/index.js（→ pg.js/sqlite.js）与 ./web/server.js（静态 import 14 条 routes）⇒ 46 件全在模块图内、启动时已求值并缓存 ⇒ 改盘对运行中进程的行为影响 = 0；生效 = 下次重启 ⇒ 待重启 = 46 件全部（运行时 .js 21 件）。⚠️ 与 §5-19 同源不同事（那条指 p20 的 plugin-assembly.js）。 ④ 🔴 新发现（⛔ 未动 · 已排 §5-22）：本机构建产物 ≠ 生产部署面 —— D:/github/dsh_shenxian/lib（09-25 11:44 新构建）与两机部署面（IM 版 09-23 20:59）在 3 件运行时 .js（im/backends/gateway.js 16241↔12077、im/connection-backend.js 4154↔3342、web/routes/im.js 47262↔36738）＋ 7 件本机独有（im/gateway-token.{js,d.ts,js.map}、web/essential-plugins.{d.ts,js.map}、web/routes/plugin-data.{d.ts,js.map}）上不同，且两机缺的是同一批（不是 106 独有）⇒ 后棒 ⛔ 别拿本机 lib 当基准；本棒⛔ 未据此改任何一侧（属 IM 线投放面）。另：106 的 business-plugins.js 落后 = 缺第 17/19/21 棒三轮改动（70d5c0f2… → 3a752e01…）。 ⑤ 卫生：⛔ 未 commit/push；⛔ src/web/routes/im.ts 零改动；⛔ 未手改用户 home 下 profile / .pnpm；⛔ 未重启 106（待窗口）；47 侧零改动（只读）。落地件 ⇒ 交付物/两机lib差异面核对与106补齐-20260925.md；清单与脚本 ⇒ tmp/p22-lib47.tsv / p22-lib106-pre.tsv / p22-diff-pre.tsv（79 条全量） / p22-fill-list.txt（46 件） / p22-diff.py / p22-verify.py / p22-baseline.py。 下一棒（唯一） = 第 23 棒 · 执行棒 = automation cea5b3d4-fb27-49ae-a94d-db21c5fb2e60（一次性 · scheduledAt = 2026-09-25T12:18 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = §5-12 跨机错误消息截断放宽（200→1200）＋ §5-18「清理前必查」只读取证＋ §5-22 本机 lib↔部署面 3+7 差异定性（见 §2 顶部）。🔧 同批已把本棒 automation fd745e9d-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 11:35–11:5x｜第 21 棒 · 执行棒（判据 ①②③④ 全绿 —— 共享层台账两条语义缺陷已修） —— ① ✅ 一条纪律 = 修法本身：要写进台账的值，必须从盘上那份实体现读（⛔ 不信上游传下来的副本）—— 两条缺陷同源：㈠ version 取自候选池行、㈡ "回滚素材"落的是新包自拷贝。落地 = 三函数（packageVersionAt / rollbackAssetPath / packSharedTree）＋ doShare 两处接线（version 改取 incoming 解出来的真值；替换前把旧目录打成 <上一版真值版本>.tgz，清单新增 rollbackTgz 字段 ⇒ 与 backupTgz「当前版本快照」分成两个事实）＋ 新口 POST /api/plugins/shared/reconcile（㈠的存量只能靠"拿盘上真值回写清单"收口，且必须是显式动作 —— /mine 是用户面高频口，⛔ 不能把全量指纹现算摊给每个用户）。 ② ✅ 判据①（清单 ≡ 磁盘真值）：47 上制造真实脱钩（_dsh-local_storyforge version 0.3.0→0.2.0）⇒ 干跑 checked=4 fixed=1（后值 = 盘上 0.3.0）⇒ 走平台口 RECONCILE_HTTP=200 修回 ⇒ GET /api/plugins/shared 四个包全对（storyforge 0.3.0 / mcn-suite 0.3.15 / im-tabs 0.1.0 / softspark 2.0.0）。与备份逐字 diff ⇒ 唯一差异 = updatedAt（预期：自愈也是一次写入，语义就是"该条目最后一次写入"）。幂等复核：fixed=0 且清单 md5 前后不变（73435d1f…）。⚠️ 字面动作"跑一次 share"未做（幂等分支一个字节都不动；替换分支要真发新版 ⇒ 会改线上共享层内容）⇒ 等价替代已足，如实声明。 ③ ✅ 判据②（节点连续两轮 current）：在 106 上以节点身份触发两轮 ⇒ 双双 {"missing":[],"stale":[],"extra":[],"pulled":[],"failed":[]}（asOf 间隔 3.4 s）⇒ ⛔ 不再 stale／反复重拉；Manager 侧 NODE_REPORT w-106 authoritative=4 同步复核。 ④ ✅ 判据③（回滚素材名实）：盘上既有素材 mcn-suite/0.3.14.tgz 的内容版本 = 0.3.14（名实相符）；packSharedTree 在真共享层包上跑（产物只落 /tmp）⇒ 产物内容版本 0.3.15（= SRC_TRUTH_VERSION）、ARCHIVE_NODE_MODULES_HITS=0（⛔ 不夹带依赖树）、体积与池内 tgz 同量级。❗完整替换路径未在真机跑通（47 各包在备份面已有同名素材 ⇒ 走"已存在则跳过" ⇒ 打包分支未被触发）⇒ 已排 §5-20。 ⑤ ✅ 判据④（单测）：test/shared-layer-sync.test.mjs +5 例（真值口径 / 自愈三件 + 双向只报告 / 素材名实 + 不含 node_modules / 反证不许落进被归档目录）。门禁：npm run build rc=0｜npm test = 589 tests / 587 过 / 0 败 / 2 跳过（第 20 棒 584）｜check:layering ✅ 无新增违规。 ⑥ ✅ 部署与卫生：47 一件（lib/web/routes/business-plugins.js，md5 3a752e01e4f16b4e6d6c47c305362a51 与本地逐字一致）＋ restart dshs（active · NRestarts=0 · 门户 200）；新口无凭据 ⇒ 401（⇒ 已注册且门禁生效；404 才是没注册）。备份 /opt/dsh/backups/lib-p21/（47-pre-p21-20260925-114554.tgz ＋ manifest-pre-p21.json）。47 /tmp 残留 0、临时 admin 会话删 1 条（残留 0）。⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 未手改用户 home 下的 profile / .pnpm。 ⑦ 🔴 新发现（⛔ 未动 · 已排 §5-21）：106 的 lib/web/routes/business-plugins.js 落后好几个版本（106 70d5c0f2…／114041 B／mtime 09-25 00:28，47 投前 4109ba34…／124222 B）⇒ 本棒只投 47（改的是 Manager 侧台账逻辑，106 是 worker；⛔ 不擅自改别处部署面）。 下一棒（唯一） = 第 22 棒 · 执行棒 = automation fd745e9d-d80b-4aca-aa09-5672b38ad228（一次性 · scheduledAt = 2026-09-25T11:58 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 47/106 两机 lib/ 差异面核对与补齐（含 §5-19 待重启清单）（见 §2 顶部）。🔧 同批已把本棒 automation 6e2e7e57-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 11:0x–11:28｜第 20 棒 · 执行棒（判据 ①②③ 全绿 —— pnpm exit 255 真根因已定且已修） —— ① ✅ 真机真实报错原文拿到（判据①）：EPERM: operation not permitted, chmod '…/profiles/web/node_modules/xlsx/bin/xlsx.njs'（pnpm linkBin）⇒ 🔴 第 19 棒的 store 口径假设被真机证伪：该 profile 的 .modules.yaml 记 storeDir=<root>/ws/.local/share/pnpm/store/v3，与平台实际传的 HOME=<root>/ws 逐字一致（plugin-assembly.ts:499 那个 homeDir 形参，调用方传的是 wsDirOf()）⇒ ⛔ 别再按 store 方向改（ensure-biz-plugins.cjs 那套口径属另一条链）。 ② ✅ 根因 = node_modules/{xlsx,react,react-dom} 是未声明的 extraneous 软链（→ .dsh-module-fallback/node_modules/* → 共享层实体，属主 root、硬链 links=3）⇒ 用户侧 pnpm 在 linkBin 里对 bin 无脑 chmod 0755（不看当前是否已 755）⇒ 非属主 EPERM（是 EPERM 不是 EACCES ⇒ 与权限位无关，改 mode 无用）。三条旁路已真机/文档排除：chown 给用户（破 D2）／复制实体（破 D2 ＋破模块同一性）／让 pnpm 跳过 bin（pnpm 9.15.9 无此开关，真机 pnpm install --help 实测无 bin 项；且共享层 4 个包自身皆无 bin 字段）。 ③ ✅ 修法（src/supervisor/plugin-assembly.ts 一件文件）：quarantineSharedLayerLinks（只摘「顶层（含 @scope/name）∧ 未声明 ∧ 解到底落共享层」的软链 ⇒ 改名为 .dsh-quarantine-*；⛔ 不删、⛔ 不碰真目录/. 旁挂物/悬空链）＋ restoreQuarantinedLinks（原名被占 ⇒ 具名返回、⛔ 不覆盖、⛔ 不丢隐藏项）＋ withQuarantinedLinks（包住 remove / install 两次 runPnpm，finally 无条件放回）＋ pnpmDiagArgs / pnpmDiagRerun（失败自动补一次 --reporter default 重跑，原因进 message ＋ pnpmDiag 字段＋ journald；⛔ 只重跑一次、⛔ 不递归）。 ④ ✅ 真机判据②（47 · admin 存量 profile，HOME=ws 时代建的）：平台装配路径 APPLY_OK（修前同参数 255）｜DEPS 4 MISSING []（dependencies ↔ node_modules 双向一致）｜QUARANTINE_LEFTOVER 0｜三条越权软链原样在盘；对照组（同 profile、不经修法手动复刻）仍 255 且同一条 EPERM ⇒ 修法是关键变量、非偶发；20 min 内 plugin-assembly 日志 0 条；实例 [rehydrate] probe OK … :20000。 ⑤ ✅ 门禁：npm run build rc=0｜npm test = 584 / 582 过 / 0 败 / 2 跳过（第 19 棒 577 ⇒ +5 用例）｜check:layering ✅ 无新增违规。部署 47 一件（/opt/dshs/lib/supervisor/plugin-assembly.js，md5 3c10048a… 与本地逐字一致）＋ restart dshs dshs-worker（双 active · NRestarts=0）；106 只投不重启（ExecMainStartTimestamp 仍 09:52:11 ⇒ 新代码待下次重启生效，零中断取向）⇒ 见 §5-19。备份 /opt/dsh/backups/lib-p20/47-pre-p20-20260925-111517.tgz / 106-pre-p20-20260925-112626.tgz。⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 未手改用户 home 的 profile / .pnpm（诊断与验收均走平台代码路径或平台命令复刻）。 ⑥ 🔴 新发现（⛔ 未动 · 已进 §5-18）：那三条软链是历史人工兜底遗留（dsh-module-fallback 在工作区代码里零命中 ⇒ 不是平台代码建的），而 pnpm 语义上本来会把它当 extraneous 清掉 ⇒ 是否清理待用户拍板（清理会改实例的解析面）；本修法只保证"平台装配不受影响"，⛔ 不等于这些软链该存在。 下一棒（唯一） = 第 21 棒 · 执行棒 = automation 6e2e7e57-fffb-4ba4-87b7-841f3c0570c5（一次性 · scheduledAt = 2026-09-25T11:35 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 共享层台账两条语义缺陷（§5-10 ㈠㈡：清单与磁盘真值不同步 ⇒ 节点永远判 stale；doShare 回滚素材名实不符）（见 §2 顶部）。🔧 同批已把本棒 automation 421a8bad-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 10:2x–10:5x｜第 19 棒 · 执行棒（第 1 件完成；第 2 件代码面全落＋真机 2/4） —— ① ✅ 回滚"缺失侧"补上（P0）：plugin-assembly.ts 新增 linkRefsOf() / rebuildMissingDepLinks()（只补声明里的 link:、只补缺、目标不存在则不建悬空链、node_modules 不存在则跳过、属主 chown 尽力而为；纯 symlinkSync 不跑 pnpm、不碰 .pnpm、不碰真目录）⇒ 接入 restoreProfile()（在 pruneOrphanDepLinks 之后）＋ applyProfileChanges() 收尾。单测新增第 ⑨ 组 2 例（缺链重建 / 不造半安装态）＋第 ⑩ 组 2 例（落盘拒绝 / 拒绝码同名）。 ② 🟡 基础插件「默认开启＋用户不可关闭」机制落地（§5-15 · 用户 09:3x 已拍板）：第 0 步真机确证 —— 47 上 @deepseek-ai/dsh 不声明任何插件清单（无 dsh.plugins/bundled，只有 configTrees）、@softspark 在 dsh 包内零命中 ⇒ "基础插件"不是 dsh 的既有概念、无"自带清单"可枚举；唯一可比对的平台语义 = 门户 admin.html「运行环境」页的「平台必备 / 可移除」二分 ⇒ 技术自决 = 数据驱动（台账 essential 标记，⛔ 不硬编码包名清单）。落地：src/db/schema.ts v17（business_plugins.essential；SQLite INTEGER NOT NULL DEFAULT 0 / PG BOOLEAN NOT NULL DEFAULT FALSE；真机 max(version)=17 已落、池内全 f ⇒ 存量行为零变化）＋ types/repo/pg/sqlite/adapter 五件（列＋ setBusinessPluginEssential）＋ 两处门禁（路由 /mine/apply 对基础插件的 enabled:false 回 409 具名 essential_plugin ＋写 disable_denied_essential 审计；装配层结构性跳过并回 refused[]）＋ 三条播种路径（审批钩子 /admin/users/:id/approve / essential/sweep / /mine/apply）＋ 门户 UI 不给关闭入口（poc/business-plugins/lib/client.js：勾选框 disabled、状态徽章改渲染「平台基础插件 · 不可关闭」＋ title；版本 0.3.25→0.3.26）。跨机：remote-spawner 请求体带 essential、worker/agent.ts 严格解析 bool。 ③ 🟡 真机判据（47，临时 admin 会话，残留 0）：④ 关闭请求 ⇒ 409 具名拒绝且状态不变 ✅（拒绝前后 /mine 完全一致）｜② 台账标记生效 ✅（admin 列表 essential=True）｜🔴 ① 默认播种 ⇒ enabled：未通过（sweep 撞 pnpm_failed，/mine 仍 enabled=False）｜🔴 ③ 门户 UI：未投放、未取证（0.3.26 tgz 已 pack，⛔ 未铺）⇒ ⛔ 未宣称验收通过。 ④ 🔴 pnpm exit 255 根因首次成形（⛔ 未修 · 已写进 §5-16 ＋第 20 棒）：真机 stderr=- stdout=-（--reporter silent 零输出）、12 s 内连续 4 次 ⇒ 不是"偶发"，在该 profile 上稳定复现；已排除权限（共享层链 755 全程、uid 114801 对新旧包目录 A/B 双读均通过）与残留（apply 失败后 dependencies 已回滚干净、无半安装态；/mine 前后一致）。新证据 = .modules.yaml 记 storeDir=<user>/ws/.local/share/pnpm/store/v3（HOME=ws 时代）而平台以 HOME=<user>/home 跑 pnpm（src/supervisor/plugin-assembly.ts:499）、<home>/.local/share/pnpm/store/v3 不存在 ⇒ 高度指向 ERR_PNPM_UNEXPECTED_STORE（立即拒绝特征 ≈2 s）；🔴 同仓 scripts/ensure-biz-plugins.cjs:existingStoreDir() 早在解同一个问题（注释写明该错误码 / 档案 57）⇒ 正解 = 平台路径复刻它（读 .modules.yaml 的 storeDir ⇒ 传 --store-dir）。 ⑤ 🟡 门禁与部署：npm test = 577 过 / 0 败 / 2 跳过（第 18 棒 575 ⇒ +2 新用例）｜check:layering ✅ 无新增违规｜⚠️ npm run verify 尾段 verify-platform-admin-section.mjs ERR_AMBIGUOUS_MODULE_SYNTAX = 既有缺陷（单独跑同样失败，与本棒无关；本棒相关四项全绿）。47 部署十一件、106 两件 md5 与本地逐字一致，备份 /opt/dsh/backups/lib-p19/47-pre-p19-20260925-104848.tgz / 106-pre-p19-20260925-105012.tgz；47 restart dshs ⇒ active · NRestarts=0 · 门户 200；106 worker 未重启（有在线实例）。⚠️ 部署途中曾把 lib/ 内容误落 /opt/dshs 根（散进 supervisor/ web/ db/ worker/）⇒ 已逐一 rm ＋ rmdir 复原（四目录均系本次误建）后改按 -C /opt/dshs/lib 重投；期间 47 未用新代码重启（无"带伤运行"）。⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 未手改用户 home。 ⑥ ⚠️ 副作用（已报 · 待用户表态）：@softspark/dsh-file-preview 已真发布到共享层（881 文件；回滚素材 /opt/dsh/backups/plugins/_softspark_dsh-file-preview/2.0.0.tgz）⇒ 按 D1「共享层已发布 ∪ 我已启用」，所有登录用户已可见并可自助启用；若用户先启用再被标 essential，装配层将拒掉之后所有 enabled:false ⇒ 用户无法自行关闭（撤回口 = POST /api/plugins/business/:id/essential {essential:false}）。 下一棒（唯一） = 第 20 棒 · 执行棒 = automation 421a8bad-699c-42d3-8458-058b0de42101（一次性 · scheduledAt = 2026-09-25T11:08 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = pnpm exit 255 可见化＋根因修复 → 基础插件判据 ①③ 补齐（含门户 UI 投放取证）（见 §2 顶部）。🔧 同批已把本棒 automation 0fdf7101-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 09:4x–10:2x｜第 18 棒 · 执行棒（三件全做完；第 3 件 5/5 全绿） —— ① ✅ 共享层自足性转正（判据 ①②③ 全绿）：正式修法进铺装流程 —— ③ 层 plugin-assembly.ts 新增 resolveDshPackageRoot / resolveHostDshScopeDir / ensureSharedScopeLink / healSharedLayerSelfSufficiency；doShare 目录就位后调用（刻意放在 hashTree 之后 ⇒ 指纹不含软链、不引发重拉），worker syncSharedLayerOnce 每轮幂等自愈；① 层 dsh-install.ts 原有一份 dsh 根解析副本下沉到 ③ 层复用。软链落点 = 包目录内 <flat>/node_modules/@deepseek-ai（⛔ 不落共享层根，否则对账面 onDisk 把它当 extra 上报）。真机：删掉人工探针链后重新 share ⇒ linked=['_dsh-local_im-conversation-tabs','_dsh-local_storyforge','dsh-plugin-mcn-suite']、scope=/usr/local/lib/node_modules/@deepseek-ai/dsh/node_modules/@deepseek-ai；47 三包 scope LINK 可解（240 项）、106 三包 LINK → /usr/lib/node_modules/...（两机 npm root -g 不同 ⇒ 必须各机本地解析，⛔ 不能由 Manager 算好随包分发）；off 任务 a524537251ff570a / on 任务 28dd88e4c391cad6 双 success、rejected:[]、探活通过、journald [mcn-suite] loaded v0.3.15（host 面 2 个：mcn, voxemw-cloud） ＋ skills ensured: 装 [email protected](升级自 0.3.14)、/api/dsh/status = running:true port:20000 restarts:0。 ② ✅ 回滚残留（P1）：restoreProfile() 末尾接入 pruneOrphanDepLinks()（declaredNamesIn = dependencies ∪ dsh.profile.bundles，解析失败取空集宁可不删；只删软链、只删未声明、跳过 . 开头与真目录）＋单测钉四条不变量。🔴 另发现"缺失侧"未覆盖（已上报 · ⛔ 未修）：本棒 off 撞 pnpm 偶发失败 ⇒ 声明还在、软链被删掉 ⇒ 实例启动崩 Error: dsh: cannot resolve profile bundle "dsh-plugin-mcn-suite" ×5 → crash-loop-circuit-open（冷却 600 s）⇒ 走平台正规口 off→on 恢复（两次 success，pnpm install 自动重建软链，⛔ 未手工 ln -s、未手改 package.json/.pnpm）。建议下一棒：对声明中的 link: 依赖做确定性重建（纯 symlinkSync，不需要跑 pnpm）⇒ 两个方向都收敛。 ③ ✅ 移动端第 ④ 条修掉＋五条重跑 5/5：mcn-mobile 段扩到插件全部表单控件（.v1rksel、.dvAcc_* ＋ mcnNav_panel|page、dvAcc_page 兜底，!important —— 因 .dvAcc_* 用 font:var(--dsw-font-s-14) 简写且按需注入）⇒ 版本 0.3.14→0.3.15（两处真源）⇒ 以池内 0.3.14 tgz 为基底确定性重打（322 文件、变化面恰 3 文件、基底 ≡ 线上 d387089b…）⇒ share action:"replaced" treeSha256 939206c76abb… ⇒ 47/106 共享层双双 0.3.15（106 首轮 stale→pulled）⇒ 375×667 真机读数：独占 ✅（面板 {x:56,y:0,w:319,h:667}、会话区 display:none）｜可退出 ✅（二次点 .mcnNav_trigger ⇒ #/mcn→/、navCount 1→0；现版 UI 不渲染 .mcnNav_close ⇒ 用等价判据）｜溢出 0 ✅（竖 375=375、横 667=667）｜SELECT.v1rksel = 16px ✅（修前 13.33px）｜横屏 ✅（面板 611×375、溢出 0）。零点 = style[data-plugin-css="mcn-mobile"] 计数 1。 ④ 🔴 新发现（⛔ 未修 · 已写进 §5 后续）：pnpm remove/install 在真 profile 里偶发 exit 255，而 --reporter silent 把全部原因吞掉（第 16/17/18 棒累计三次：09:01 apply timeout、09:05 isolate install 失败、09:56 remove 失败）。本棒实测反证五个假设（共享包目录内多出的 node_modules/@deepseek-ai 软链 —— A/B 对照双双 rc=0｜真实路径副本 rc=0｜worker 最小 spawn 环境 env -i PATH=… HOME=… rc=0｜祖先目录 /var/lib/dshs、/var/lib/dshs/users 是 711 ⇒ 该 uid 确无 r 位但实测不影响 pnpm｜磁盘 23 GB / inode 11% 充足）⇒ 高度指向并发/时序；下次复现的正解动作 = 给失败路径补一次 --reporter default 重跑（属 plugin-assembly.ts 小改）。 ⑤ 门禁与卫生：npm run build rc=0｜npm test = 575 tests / 573 过 / 0 败 / 2 跳过（基线 449/447/2；新增 6 用例 = 第 ⑦⑧ 组）｜check-layering ✅ 无新增违规。部署 47 四件、106 两件 md5 逐字一致，备份 /opt/dsh/backups/lib-p18/；插件回滚素材 /opt/dsh/backups/plugins/dsh-plugin-mcn-suite/0.3.15.tgz。清理：临时 admin 会话残留 0（仅余他人 3 条真实会话）、两机 /tmp/p18* 残留 0。⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 未手改用户 home 下的 profile / .pnpm。落地件 ⇒ 交付物/移动端字号扩面与共享层自足性转正-20260925.md；截图 ⇒ tmp/p18-shot-*.png。 下一棒（唯一） = 第 19 棒 · 执行棒 = automation 0fdf7101-d6d9-4279-bce2-0ca89479a44b（一次性 · scheduledAt = 2026-09-25T10:26 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 回滚残留缺失侧（P0 · 小改）→ 基础插件「默认开启＋用户不可关闭」机制（§5-15，用户已拍板）（见 §2 顶部）。🔧 同批已把本棒 automation ed2b5e61-… 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
🔴 2026-09-25 09:3x｜用户拍板（本线口径新增）：dsh 自带的基础插件「默认开启＋用户不可关闭」 —— 原话「这些 dsh 自带的基础插件应该是默认开启无法关闭的」。⇒ §5 第 14 条那组"要不要发到共享层"的 A/B 两案一并作废：用户要的不是"发到市场让用户自己去装"，而是**「本来就该开着、且关不掉」**。落地形态＋已做的最小取证 ⇒ §5 新增第 15 条（待排棒）。本轮为短程补录：抢锁 → 写入口 → 追加日志 → 放锁，⛔ 未开工做改造（第 18 棒已排定，避免抢锁打断链条）。
✅ 2026-09-25 08:5x–09:2x｜第 17 棒 · 执行棒（第 1 件完成；第 2 件通过；第 3 件 4/5） —— ① ✅ 可观测性补上并立刻见效：plugin-assembly 新增 pnpmExecError()（stderr/stdout 尾巴拼进 message ＋结构化字段＋落 journald）、worker agent /plugins/apply 失败落日志（worker 是独立单元，日志与 Manager 不通 —— 第 16 棒只查了 dshs 故漏掉全部证据）、任务对象新增 detail。三条根因全是它指出的，不再是"52 s 后失败、原因不明"。 ② ✅ 第 2 件通过：admin 实例依赖已是 link:/var/lib/dshs/bundled-plugins/dsh-plugin-mcn-suite，实例 [mcn-suite] loaded v0.3.14（自 0.3.13 升上来） ⇒ 共享层更新对已启用用户生效（＝本线 P2 目标）。修掉两条真 P0：㈠ -w 无条件传（平台自己铺的 profile 没有 pnpm-workspace.yaml ⇒ pnpm 报 --workspace-root may only be used inside a workspace 立即退出 ⇒ 门户启停插件全断；改前 52 s failed → 改后 5 s success）㈡ /restart-probe 吃 10 s 默认客户端预算（对端要真重启实例、预算 60 s ⇒ 必超时并重试 4 次，每次重试又重启一次实例；实测一条任务连打 8 次探活、100 s 后 aborted due to timeout）⇒ 独立预算 90 s。㈢共享层不自足（node_modules 零个 @deepseek-ai ⇒ Cannot find package '@deepseek-ai/dsh-llm' ⇒ 实例 crash-restart）⇒ 用人工软链探针验证修法有效（240 个包），⛔ 探针不是最终修法，转正 = 第 18 棒第 1 件。已上线 4 个模块（md5 与本地逐字一致），备份 /opt/dsh/backups/lib-p17/。 ③ 🟡 第 3 件 375×667 真机五条 = 4/5：独占 ✅（会话区 computed display:none）｜可退出 ✅（单面板不渲染 .mcnNav_close ⇒ 用等价判据：二次点入口 ⇒ URL #/mcn→/、.mcnNav_split 1→0、会话区复原）｜无横向溢出 ✅（竖 375=375、横 667=667，溢出 0）｜横屏 ✅ ｜🔴 聚焦不缩放 ❌ —— 工作台内唯一可见表单控件 SELECT.v1rksel（「全部赛道」）= 13px，移动端规则只覆盖 .mcnNav_input/select/textarea ⇒ 覆盖缺口。零点：style[data-plugin-css="mcn-mobile"] 计数 1 ⇒ 0.3.14 确在浏览器里生效。取证脚本 = tmp/p17-visual.mjs（零依赖 CDP）。 ④ 未修并上报：共享层自足性（P0，转正入第 18 棒）｜移动端覆盖缺口（P1）｜回滚不清理 node_modules（P1）｜跨机错误消息截 200 字符（P2）｜preflight-lock.sh 对工作区根文件判【D】⇒ 本棒按 guard 的锚点算法定域后开工（跨库文件，只报告）｜⏸️ @softspark/dsh-file-preview 被复现动作一并关掉且从用户面清单消失（待你拍板，见 §5）。落地件 ⇒ 交付物/P0修通与移动端真机验收-20260925.md；截图 ⇒ tmp/p17-shot-*.png。临时 admin 会话已删（残留 0）、47 /tmp 零残留。⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 装配协议零改动。 下一棒（唯一） = 第 18 棒 · 执行棒 = automation ed2b5e61-25b9-4b97-849c-1e0b204b669e（一次性 · scheduledAt = 2026-09-25T09:28 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 共享层自足性转正 → 回滚残留 → 移动端第 ④ 条（见 §2 顶部）。🔧 同批已把第 17 棒自己的 automation 置 PAUSED ⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
❌ 2026-09-25 08:1x–08:4x｜第 16 棒 · 执行棒（第 1、2 件完成并上线；第 3 件未通过 —— 被一条新抓出的 P0 挡住） —— ① ✅ 迁包＋改版＋重投 47/106 全做完：mcn-mobile 样式段从从未投放的 dsh-plugin-mcn v0.1.0 平移进线上真身 dsh-plugin-mcn-suite（38 个引用类名齐备 0 缺；只改包名一处）⇒ 版本 0.3.13 → 0.3.14（两处真源）⇒ 以池内 tgz 为基底重打（322 文件、只差 3 个文件、零增删，sha256 3ca65153…）⇒ POST /api/plugins/business（http=200，trustedOverride:false）⇒ 两段式 share（action:"replaced"，treeSha256 f414df79…）⇒ 47 ＋ 106 共享层双双 0.3.14（106 走节点拉取，一轮 stale→pulled 收敛；两机 client.js md5 = d387089b…）。改前副本 md5 与线上逐字相同（无隐藏漂移）。⚠️ 行尾两次归一（源段 CRLF→LF；Windows 写文本默认 CRLF ⇒ 已回滚重做）。 ② 🔴 抓出 P0（本轮最重要产出，⛔ 未擅自修）：共享层更新对「已启用」用户不生效，且平台无可用补救路径 —— admin 实例的依赖是 file:…/.dsh-stage/dsh-plugin-mcn-suite.tgz（旧副本，与共享层无关）；正规补救 = 关掉再开，而全量「关闭」稳定失败（0df1ea39ed3026c4 / 3eb4b72b73373e07，各约 52 s 后 failed「安装失败，请重试或联系管理员」，/mine 复核仍 enabled:true）。已排除"暂存包缺失"。附带第二条缺陷：journalctl -u dshs 只打 HTTP 请求行，失败原因不落任何日志 ⇒ 根因未能定位。⇒ 直接命中本线目标 P2「插件更新要有定义」。 ③ ❌ 第 3 件（375×667 真机五条）未取到读数 ⇒ ⛔ 未宣称通过。但「能不能真渲染」这件事本棒已做成判定且结论 = 能：47 侧无任何浏览器；本机有真 Chrome；https://ai1net.com/u/<uid>/dsh/ 带临时 admin sid 实测 200 且平台自动下发实例凭据；实例地址由 /api/dsh/status 直出。⇒ 路径已通，只差"实例上跑的是新版本"。 ④ 🟡 另两条台账缺陷：㈠共享层清单记 version 0.3.9／treeSha256 cb1c73fb…，而盘上是 0.3.13 内容（不同步 ⇒ 节点对账会永远判 stale；本棒 put 新版后自愈，来源未查明）㈡ share 补落的"回滚素材"用新版本号命名且内容是新包 ⇒ 不构成"回到上一版"；真正的上一版躺在 0.3.9.tgz 里（名字与内容不符）。 ⑤ 清理：临时 admin 会话已删（残留守 0）｜47 /tmp 零残留｜无半状态（两次失败均未落盘，profile 依赖原样）｜⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 装配协议零改动、⛔ 未开任何新可见面。落地件 ⇒ 交付物/移动端修复迁包与投放-20260925.md。 下一棒（唯一） = 第 17 棒 · 执行棒 = automation 68818629-c256-4cf4-8f15-3f86909e16db（一次性 · scheduledAt = 2026-09-25T08:46 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 补装配可观测性 → 修通重装配 → 补做真机五条视觉验收（见 §2 顶部）。🔧 同批已把本棒（第 16 棒）的 automation 51e621ca-… 置 PAUSED（once 型已触发但仍是 ACTIVE，被调度器重扫会重复开工）⇒ 本线同时只挂一个。⛔ 别线的 ACTIVE 一律未动。
✅ 2026-09-25 07:4x–08:0x｜第 15 棒 · 执行棒完成（部署 47 ＋数据面取数口真机验收 7/7 ＋抓出并修复一条 P0 接线缺陷；第 2 件未通过：前提不成立） —— ① 部署：lib/web/server.js（与 47 原版只差 7 行，逐行 diff 确认）＋ lib/db/plugin-data/{runtime,registry}.js ＋ lib/web/routes/plugin-data.js ＋ sdk/im-plugin-client/ ⇒ 5/5 md5 逐字一致 ＋ restart dshs（active · NRestarts=0 · 门户 200）；备份 /opt/dsh/backups/lib-p15/47-pre-p15-20260925-074345.tgz。投放前先做漂移比对：business-plugins.js/worker/agent.js/leased-spawner.js/config.js 四件与本地逐字一致 ⇒ 只投必要项。⚠️ 106 未部署（取数口是 Manager 侧路由）。 ② 真机验收（47 · 调用者 guest）＝ 7/7 PASS：四拒全中（写他人 user_id／room 表缺 room_id／缺主键列／带 created_at 各得 ok:false, reason:bad-args ＋具名 detail）｜非成员读 room 表 = 0 行（value:[]）｜insert→find 回读一致。归属注入直连核：user_id 全部 = 调用者本人；probe_room 0 行。迁移回显首次在真机上看见 PRIMARY KEY ("user_id","probe_key") ⇒ id = 声明第一列 口径成立。负例：给无声明真插件取数 ⇒ 409 no-declaration（不是 500、不是假装成功）。 ③ 🔴 抓出 P0 接线缺陷（已修＋已复验）：库已 ready、鉴权通过，取数仍一律 409 no-declaration。根因 = 两个名字空间被混用 —— 池键/台账键是原始包名（dsh-plugin-pdprobe／@dsh-local/storyforge），而取数口把归一化 id（pluginIdOf() → dsh_plugin_pdprobe）交给了 registry，registry 内部拿它精确查 business_plugins / plugin_datastores ⇒ 永远查不到 ⇒ 任何插件取数都只会 no-declaration。单测抓不到（用假执行器直接构造声明，绕过路由层归一化）。修法（最小）= src/web/routes/plugin-data.ts 两处改传原始包名（status 路由对外仍回归一化 pluginId，响应契约不变）。复验：build rc=0 ＋相关单测 24/24 ＋重投重启后 7/7 PASS。⛔ 未 commit / push。 ④ 🔴 第 2 件（MCN 移动端视觉验收）未通过 —— 前提不成立：线上真身是 dsh-plugin-mcn-suite v0.3.13（池＋共享层），它的 lib/client.js 里 mcn-mobile 命中 0（mcnNav_split = 4）；本地 suite（0.3.13）同样 0；而修复改在了 dsh-plugin-mcn v0.1.0 —— 一个从未投放的包 ⇒ "重投＋实例重启"无从生效。故不做视觉验收、也不宣称通过。✅ 可移植性已核对：mcn-mobile 段是运行时注入的 <style>，其选择器在 suite 里齐备（mcnNav_split/panel/resizer/close/btn/mask/modal/stats/input ＋ vvModal）⇒ 可整段平移。 ⑤ 夹具零残留：池回 5／插件库 0／台账 0／夹具审计 0／临时会话 0／tgz 与备份目录已删／服务 active。⚠️ 夹具在池内存活约 2 分钟（登录用户理论上可见）—— 本轮唯一一处对线上可见面的临时触碰，已记档。 下一棒（唯一） = 第 16 棒 · 执行棒 = automation 51e621ca-a173-4e9e-9c8d-30f6d7f9df57（一次性 · scheduledAt = 2026-09-25T08:16 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = MCN 移动端修复「迁包 → 版本自增 → 重投 47/106 → 真实例 375×667 五条视觉验收」（见 §2 顶部）。⛔ 不做 MCN 数据面接入改造（单独立项）。 🔧 同批做了一次自动化清点：本线第 11–15 棒 全已收官但仍是 ACTIVE 的 once 型 ⇒ 一并置 PAUSED（第 15 棒的 prompt 说"按 §2 第 1 条开工"，若被调度器重扫它会直接去做第 16 棒 ⇒ 重复开工）⇒ 本线现在同时只挂一个棒。⛔ 别线（StoryForge / 决策库线 / 规则载体线）的 ACTIVE 一律未动。 📌 落地件 ⇒ 交付物/插件数据面取数口-真机验收与接线缺陷-20260925.md（含可复现命令＋夹具脚本位置）。
⏳ 2026-09-25 07:3x｜第 15 棒（执行棒）已排期 —— 按接续会话方式推进「改造＋验证」 —— 上一棒把代码面与文档做完，真机验证没做（本机无 PG、无容器）⇒ 本轮不自己硬跑，改用接力：入口 §2 顶部新立「🎯 本轮动作（第 15 棒）」（第 1 件数据面取数真机验收｜第 2 件 MCN 工作台移动端视觉验收｜第 3 件可选：MCN 数据面接入改造），并登记一次性 automation 72f02d61-396f-4d19-9178-411f1396cfcd（scheduledAt = 2026-09-25T07:40，cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。锁已释放，等它自动开跑。 🔧 同批修掉一个开机级缺陷：state.py 的 §2 解析正则只认 ## 2. 写法，而本工作区 4 条入口全部写 ## §2 xxx ⇒ [入口] §2 段长期解析为空（每棒开机第一个信号失效）。已修（兼容 ## 2. / ## §2 / ## 2、，并用 lookahead 防 ## 2026-… 误匹配），自证：修后该段展开出 6 条。
✅ 2026-09-25 05:3x｜接入静态验收（用真插件）＋ MCN 工作台移动端独占屏幕＋移动端硬规范落文 —— ① 接入验收：拿真插件 dsh-plugin-mcn 走平台真校验器（lib/db/plugin-data/schema.js，与门户「检测第 3 项」同源）⇒ 全绿（3 表声明过校验 / 库名 dshs_pl_dsh_plugin_mcn / 复合主键 / 归属列补齐 / 8 条 DDL 正确）。脚本 交付物/插件接入验收-静态面-20260925.mjs（只读、可换插件、可回归）。 🔴 抓出两条会返工的结论：㈠ 只把 dsh.data.yaml 放进包 = 不生效（必须由 package.json 的 dsh.data.schema 指向，且 files 要带上它）㈡ 存量表的自增 id 不能照搬（数据面主键 = (归属列, 声明第一列)，无代理 id ⇒ 必须换业务键）。两条已回写 08 规范。 ⚠️ 接入前置读数：MCN 包内红线扫描命中 21 处（lib/db.js 的 SQLite 建表）⇒ 当前形态不合规，接入须先改读写走内核 API（插件侧改造，未做）。 ② MCN 工作台移动端独占（用户报障：手机上点开工作台 = 一半会话一半插件，两侧都不可用）：根因 = .mcnNav_split 是 flex-row ＋面板行内 width 50%，插件无任何视口断点。改法 = dsh-plugin-mcn/lib/client.js 新增独立样式段 data-plugin-css="mcn-mobile"（单一 @media (max-width:900px)：独占＋会话区/拖拽条隐藏＋触摸目标 ≥44px ＋输入 ≥16px ＋弹窗/宽表/统计条适配）。宽屏(>900px)行为逐字不变；node --check 通过。⚠️ 未做真机视觉验收。 ③ 文档：01-规范/08-插件开发与对接规范.md 新增 §4-补移动端 / 窄屏兼容（硬要求）（断点 ≤900px 表＋四条硬判据＋三条⛔ ＋六条自测＋参考实现指针）＋ §7 补移动端专项＋头部状态块＋ §11 变更记录。 🔴 未部署 / 未真机验收（本机无 PG、无容器）。下一棒（建议 · 尚未登记）＝部署 47 → 数据面真机自测（四拒一空＋insert/find 回读）＋ MCN 移动端视觉验收（375×667 独占/能退出/无横向溢出/聚焦不缩放/横屏）。 ⛔ 投放顺序硬约束：MCN 带声明的新版必须先建库再投放（否则平台判"有数据面"⇒ 未建库时所有用户都启不了）。
✅ 2026-09-25 05:0x｜运行时取数口落地（补"接缝两不管"的那一半） —— 用户问"平台面向插件的数据库接入面没建成、取数链路不通"属实：管理面（建库/迁移/台账/对账）早在 09-23 就落地，但运行时零实现（ImDataPort 仅 4 处命中、无 implements／无实例化／全仓无一处传 data: ⇒ 插件调 insert 一律 not-registered）；成因＝IM 线 D 单把"真库端口"推给建库面、建库面只做管理面。本轮补齐：src/db/plugin-data/runtime.ts（端口）＋ registry.ts（装配）＋ src/web/routes/plugin-data.ts（实例可达的 /api/im/data/*）＋插件侧 SDK sdk/im-plugin-client/（零依赖 REST 面）；24 例新测试全绿（18 端口判据＋ 6 SDK 契约）、build 干净、layering 无新增违规。文档：08-规范 §3-4 重写（插件会话照这节写）＋ DB-03 §五 补 id = 声明第一列 语义与三条偏差。落地件 ⇒ 交付物/插件数据面-运行时取数口落地-20260925.md。 🔴 未闭环两项：① 未部署 47/106、未做真机验收（清单在交付件 §六-1）② 跨节点形态仍不通（缺"实例→控制面"身份通道 ⇒ 当前可用 = 同机/本机）。 ⚠️ 本单刻意不改 src/web/routes/im.ts：IM 线 D 单验收判据 2 冻结了该文件 diff（test/im-sdk.test.mjs）⇒ 鉴权在 plugin-data.ts 独立实现（同一本实例凭据登记簿）；IM 线若改鉴权语义，本文件必须同步。 下一棒（建议）＝部署＋真机验收（尚未登记 automation）。
2026-09-22 13:2x｜开线 —— 规划棒①收口（出交接单 ①共享只读包库与插件数据面.md）。
✅ 2026-09-22 17:0x｜执行棒①完成（S1/S2 全绿） —— 共享只读包库已在 47＋106 上线并真机取证；实投 mcn-suite ＋ storyforge。S3/S4/S5/S6 未做。
🔴 2026-09-22 18:1x–21:1x｜编码与设计（受 IM 线锁占用，只出件不动服务器） —— 用户追加口径「admin 全流程自闭环」（上传 → 检测通过 → 点建库按钮 → 建库成功才能开启 → 更新按钮 → 更新也检测 → 告知数据库改动 → 确认执行按钮）。产出设计件 交付物/数据面管理面-建库与更新流程-20260922.md（7 态状态机 / 检测第 3 项 / dsh.data 声明 / API 契约 / 两段式预演-确认 / 门户改动清单）。
✅ 2026-09-22 19:3x｜用户拍板建库权限 = D，产出 D 档 Runbook。
🔴 2026-09-23 05:2x｜D 档实测被证伪（重大反转） —— PG 显式禁止从函数内执行 CREATE DATABASE（cannot be executed from a function；另一层是「不能在事务块内」，而 PL/pgSQL 函数体恒在事务内）。同姿势下 CREATE SCHEMA / CREATE ROLE 均成功 ⇒ 语句级内核限制。旁路 dblink / postgres_fdw 均不可用。已回滚，服务器零残留。判定件 ⇒ 交付物/建库权限-D档被证伪与修正判定-20260923.md。
✅ 2026-09-23 05:4x｜用户拍板建库权限 = B，并已在 47 落地 —— ALTER ROLE dshs CREATEDB; ＋ 11 条验收全过（核心断言：权限精确 false|true|false，未要 CREATEROLE / 未要超管）。🔴 B 档真实缺口：PG 无「只允许 dshs_pl_* 前缀」的原生机制（实测建 evil_probe 成功）⇒ 白名单只能靠平台代码兜住三点（库名单点生成＋正则复校＋每次建库落台账审计）。落地件 ⇒ 交付物/插件建库权限-B档落地-20260923.md。
🔴 2026-09-23 05:5x｜排期调整：本线代码面现在开工 —— 原拍板「A = 等 IM 线整阶段收官后一次性跑完」的前提已变化：IM 线因 E 单 UI 落点待拍板而停下（A–D 四单已落地、E 单未开工、未登记接续棒 ⇒ 整阶段收官无时点），本线继续空等已不成立。故改为：不依赖拍板的部分（设计件 §八除建库口以外的全部）即刻推进；建库口与三份文档回写另行安排。 下一棒（唯一） = 第 3 棒 · 执行棒 = automation fe16b14a-cd7e-424d-99b0-37a21972365a（一次性 · scheduledAt = 2026-09-23T05:55）。 ⛔ 拍板项（不得自动跨过）：无新增；建库通路已定 = B 档。
✅ 2026-09-23 06:0x｜第 3 棒 · 执行棒完成（设计件 §八除建库口外全部落地） —— 7 项全做完：src/db/plugin-data/schema.ts（新建 · 声明解析校验 9 中性类型 · pluginDbNameOf/assertPluginDbName）｜src/db/plugin-data/diff.ts（新建 · diffDecl/planHashOf/forbidden 只增不减）｜v15 迁移 plugin_datastores × plugin_data_audit（台账 = B 档白名单第三点兜底）｜检测第 3 项「数据面声明校验」｜三处门禁（enableDenialOf / 检测不过不许建库 / planHash 未确认不许迁移）｜门户「数据面」列＋ 7 态徽章＋预演清单面板＋状态驱动按钮｜版本回读校验（只认内容指纹，漂移写 plugin_version_drift 审计）。验证：npm run build rc=0 ｜ npm test = 391/389 过 / 0 败 / 2 跳过（基线 366/364 过 / 2 跳过，本棒 +25 条）｜check-layering ✅ 无新增违规（added: 0）。⛔ 未做（属下一棒）：建库口接线 / 三份文档回写 / S3·S5-a·S6 / 跨节点内容分发。 下一棒（唯一） = 第 4 棒 · 执行棒 = automation 6e8cedcd-f426-4390-9460-937573d93f7d（一次性 · scheduledAt = 2026-09-23T06:27，约 8 分钟后）；接续点 = 建库口接线（调 B 档 CREATE DATABASE、单语句不走事务、落台账＋审计）。
✅ 2026-09-23 07:0x｜第 4 棒 · 执行棒完成（建库口接线 · B 档全部兑现） —— §5 的 5 项全做完：src/db/plugin-data/datastore.ts（新建 479 行 · CREATE DATABASE 单语句非事务 / readCurrentSchema 真读 information_schema ＋ p_meta_schema / executePlan 建库项非事务＋表级 DDL 同事务 / reconcilePluginDatabases 对账 / 错误码映射 PG_CREATEDB_MISSING·invalid_plugin_db_name）｜currentSchemaOf 去占位｜路由 POST /datastore（建库）＋ GET /datastores/reconcile（对账告警）＋ /datastore/plan 的 executable 真判据＋ /datastore/migrate 去 503 真执行｜门户「建库」按钮接真实路由（原"尚未接线"禁态已去掉）。验证：npm run build rc=0 ｜ npm test = 426/424 过 / 0 败 / 2 跳过（基线 391 过 ⇒ 本棒 +35）｜check-layering ✅ 无新增违规（added: 0）。47 真机取证通过（真实编译产物走建库口）：建库 created 71 ms／幂等 exists／非法名 invalid_plugin_db_name 未下发 PG／库内台账真读 exists:true, schemaVersion:7／planHashPreserved:true（COALESCE 语义）／对账抓出 orphan dshs_pl_borphan4。清理后零残留（pluginDbs:[] · 控制面表回到 13 张 · dshs active）。落地件 ⇒ 交付物/建库口接线-B档落地-20260923.md。 ⚠️ 本棒记的已知缺口（⛔ 未假装做了）：① 迁移前结构备份（设计件 §七-3 的 pg_dump）属运维面，归 S5-a 棒；② 47 控制面仍停在迁移 v13 ⇒ v15 两张台账表要平台启动时 runPgMigrations 才落，部署本棒代码时随 restart dshs 自动补。
✅ 2026-09-23 07:2x｜第 5 棒 · 执行棒完成（三份文档回写 · 纯文档零代码） —— 共享文件持锁成批做，全部落笔： ① DEPLOY-本部署.md 新增 §6.4 数据库初始化（PG13 / 47 本机进程）：建角色建库＋ 🔴 ALTER ROLE dshs CREATEDB;（标用途 = 插件建库，⛔ 未给 CREATEROLE/SUPERUSER）＋回滚句＋权限校验判据（f|t|f）＋白名单只能靠代码＋ v15 迁移表随 restart dshs 自落。 ② 交接单/…①共享只读包库与插件数据面.md：§五 S4-2 改写为 admin 显式按钮（上传只检测 ⇒ pending ⇒ 点 [建库] ⇒ 成功才能开启；两道后端门禁；单语句非事务；两重防线；错误码）｜§十-D1 表格行同步改并标注原写法作废。 ③ 数据库/DB-03-插件数据面规范.md：执行状态块整块重写（🔴 受阻 ⇒ ✅ 已落地；仅剩"跨节点身份通道为 0"一条真缺口）｜§三 新增 「三·补谁建库、什么时候建」｜§四 执行时机改两步（建库 / 迁移都是插件级一次性）＋表级同事务 / 建库不可回滚 / planHash COALESCE 语义｜§六-2 补两张台账表结构（plugin_datastores / plugin_data_audit）。 ④ 顺带核对 交付物/数据面管理面-建库与更新流程-20260922.md §十一：D 档段已作废（头部＋ §十一末尾均已有更新说明）⇒ ⛔ 未改动其历史结论文本，核对通过。验证：npm run build rc=0 ｜ npm test = 426 tests / 424 过 / 0 败 / 2 跳过（与基线一致，纯文档零变动）｜git diff --stat 本次改动 = DEPLOY-本部署.md +21（唯一 tracked 的直接证据；另两份在未跟踪路径下：交接单/ 被 .gitignore:45 排除、数据库/ 整个目录仍是 ?? 未跟踪 ⇒ 改动落地但不出现在 tracked 清单，属既有仓库形态，⛔ 与本棒无关）。锁已 --release-exec。 下一棒（唯一） = 第 6 棒 · 执行棒；接续点 = S3 跨机装配（POST /plugins/apply ＋ remote-spawner.applyPlugins ＋ mine/apply 改走台账裁决）。
✅ 2026-09-23 08:1x｜第 6 棒 · 执行棒完成（S3 跨机装配 · 真机 S3-E 全过） —— §5 的 4 项全做完：新建 src/supervisor/plugin-assembly.ts（约 400 行，两台机共用的唯一实现）｜worker/agent.ts 新增 POST /plugins/apply（同族于 /restart-probe，⛔ 不新增入站口）｜remote-spawner.applyPlugins（按 hostIdFor 定位机器）｜mine/apply 改只做清单裁决（⛔ 不再本机 runPnpmAs）。验证：npm run build rc=0 ｜ npm test = 439/437 过 / 0 败 / 2 跳过（基线 426/424 ⇒ +13）｜check-layering ✅ 无新增违规（added: 0）。 S3-E 真机取证（106 · 非 Manager worker · 用户 4092b965 uid 100002 · 包 @dsh-local/storyforge 0.1.0）①–⑦ 全过：applyOk:true｜file:/var/lib/dshs/bundled-plugins/_dsh-local_storyforge｜node_modules/<pkg> 软链 ✓｜实例内 ls 可见＋ touch = Read-only file system ＋ mountinfo ro,nosuid,nodev｜反证 plugin_bundle_missing 报错可读、实例不崩｜⛔ 47 的 users/ 下该用户零 storyforge 命中（连软链都没有，目录 8.0K 空壳）= D2 主判据过。停用腿同验；用户面零残留（profile 已复原）。 附带修正（真机暴露的既有缺陷，两条）：① pnpm install --ignore-workspace-root-check —— pnpm 9 不认该 CLI 选项（只当 config 项）⇒ Unknown option 直接失败（旧代码一直裸写，2026-09-13 07:43:58 曾因此把平台带崩、当时只加 try/catch 兜住进程）⇒ 改 -w（与 scripts/ensure-biz-plugins.cjs 既有正确姿势一致）＋回归测试钉住；② 启用项先落盘再 pnpm ⇒ 失败留半装状态（依赖已声明、实际未安装）⇒ 改先解析全部包（失败即抛、profile 未改）＋ pnpm 失败回滚。另修 RemoteSpawner.call() 既有 4xx 重试 bug（4xx 的 throw 被 catch 吞掉、循环跑满 4 次）。部署：两机 lib/ 同批（plugin-assembly.js md5 134b5704… 逐字一致）＋备份 lib-pre-s3-*.tgz；47 restart dshs 后 v15 两张台账表已落；106 共享层已同步（storyforge ＋ mcn-suite）；relay-dialer 实测连到 ops/w-106。落地件 ⇒ 交付物/S3跨机装配落地-20260923.md。 🔴 本棒抓出 1 条口径级缺陷（已取证 · ⛔ 未擅改 ⇒ 待拍板）：D-h 拍板的 file: 协议在 pnpm 9 下会把插件包整份复制进每用户 .pnpm/（实测 6.5 M/用户/包、116 文件、links=1、inode 与源不同），不满足 D2「实体一份、链接多份」；根因 = pnpm 对 file:（目录型）走复制、⛔ 不硬链（同 profile 普通依赖 links=9 可证）。已实测替换方案 link: = 4.0 K 纯软链直达共享层，且抗 reconcile（加依赖 / remove 后软链仍在，即 D-h 当初选 file: 的唯一理由仍成立）。⇒ 因涉及已拍板项 D-h，交用户拍板（候选 A 维持 file: / 候选 B 换 link:，优缺点见落地件 §六），倾向 B。⛔ 拍板前不得改协议写法。 下一棒（唯一） = 第 7 棒 · 执行棒 = automation 9cf7c353-415d-4347-9b59-7ae4449ae986（一次性 · scheduledAt = 2026-09-23T08:23，约 6 分钟后）；接续点 = S5-a 兼容矩阵＋迁移前结构备份＋ S6 门户三段式 UI。⛔ 该棒不得碰装配协议（见上「待拍板」）。 🔴 新登记待拍板项（唯一）：装配协议 file:（现状）vs link:（实测 4 K）。拍板落地位置 = src/supervisor/plugin-assembly.ts 的协议写法＋交接单 8 处 file: 描述。
✅ 2026-09-23 08:4x｜第 7 棒 · 执行棒完成（S5-a ＋迁移前备份＋ S6 三段式 UI） —— §5 的 3 项全做完，文件面 8 改 2 新： ① S5-a 兼容矩阵落定稿 数据库/DB-03-插件数据面规范.md 新增 §四·补（6 行场景表：首次装 / 升级 / 等价换包 / 降级 / 幂等重传 / 同名异内容冲突；三条硬规则；B 档两条前置；4 条可复现验证）—— 核心口径 = 两个版本号是两件事，判"库该不该动"只看 schemaVersion。 ② 迁移前结构备份（第 4 棒记下的缺口）：datastore.ts 新增 backupSchemaOnly()（pg_dump --schema-only → <backupRoot>/plugin-db/<pkg>/<v>-<ts>.sql）＋ 接进 datastore/migrate 路径：非首次建库 ⇒ 先备份，ok=false ⇒ 500 schema_backup_failed 且不执行（设计件 §七-3 原文落地）。三条纪律：失败即不执行 / 只导结构 / 口令走 PGPASSWORD env ⛔ 不进 argv。两处自决：只在 !isFirstCreate 时备份（否则首次建库全堵死）· 0 字节视为失败（空库也会写头部 ⇒ 空文件＝静默失败，不判它就把纪律绕过去了）· 包名路径折叠（先折分隔符再折连续点）。 ③ S6 门户三段式 UI：web/portal.html 新增第 3 个 tab「用户可见性（三段式）」＋ .sec-head 等分段样式＋ loadVisibility()；三段数据来源分两路不混——① 平台共享只读 ← 新增 GET /api/plugins/shared/catalog，②③ 已启用/已停用 ← /api/plugins/mine（该路由保持原样，⛔ 未顺手加过滤），另附「⋯ 暂不可用」把"池里有没发布"与"用户没开"分开（混讲会误导 admin）。 🔴 新增开关 DSHS_SHARED_CATALOG_PUBLIC（默认 false）：新路由是用户可见面变化（此前登录用户无任何共享清单口子）⇒按 §1「扩大可见面」红线默认关，关着 = 404（⛔ 不是空列表：空列表会被读成"共享层是空的"）。未擅自开。 ④ DB-03 新增 §八·补端侧边界声明：端侧走同一个平台 API ⇒ 只保证「能看见＋能开通」；⛔ 不要求本地装包 / ⛔ 不下发平台级凭据 / ⛔ 端侧不落插件数据。验证：npm run build rc=0 ｜ npm test = 447 / 445 过 / 0 败 / 2 跳过（基线 439/437 ⇒ +8：新文件 5 条＋ plugin-data 追加 3 条）｜check-layering ✅ 无新增违规（added: 0）｜verify-inject 全合格。落地件 ⇒ 交付物/S5-S6落地-20260923.md。 ⚠️ 本棒记的已知缺口（⛔ 未假装做了）：未部署到 47/106（deploy-deferred-to-next-step）⇒ S5-E / S6-E 的真机 E2E 未跑（须部署＋先开可见面开关）；跨节点内容分发仍无平台侧通路（可立独项）。 ⛔ 本轮严格未碰装配协议：plugin-assembly.ts 零改动、交接单 file: 相关描述零改动。 下一棒（唯一） = 第 8 棒 · 执行棒 = automation 87c8221c-a7ce-41e2-b5fa-e56fc0c8c929（一次性 · scheduledAt = 2026-09-23T08:49，约 7 分钟后）；接续点 = 部署到 47/106 ＋ S5-E / S6-E 真机 E2E。 🔴 待拍板项仍是同一条（唯一，⛔ 未变）：装配协议 file:（现状）vs link:（实测 4 K）。拍板落地位置 = src/supervisor/plugin-assembly.ts 的协议写法＋交接单 8 处 file: 描述。 🔴 下一棒新增红线：可见面开关 DSHS_SHARED_CATALOG_PUBLIC 属红线门禁（CODEBUDDY.md §1 扩大可见面）⇒ ⛔ 下一棒不得擅自打开；S6-E ② 若要跑，要么先向用户取得开启许可，要么只跑不需要该开关的部分（E ①③）。
✅ 2026-09-23 09:5x｜第 8 棒 · 执行棒完成（部署＋ S5-E / S6-E 全绿） —— §5 的 4 项全做完： ① 部署：npm run build rc=0 ⇒ 产物 scp 到 47 /opt/dshs ＋ 106 /opt/dshs-cluster，三机 md5 逐字一致（db/plugin-data/datastore.js 9fedd77c… / web/routes/business-plugins.js fe456d60…）；47 restart dshs rc=0；重启后 plugin_datastores ＋ plugin_data_audit 仍在（v15 未丢）。部署前备份 /opt/dsh/backups/lib-s5s6/{47,106}-pre-s5s6-20260923-085319.tgz。 ② S5-E ①–⑤ 真机 E2E 全 PASS：① v1→v2 加列升级，升级前后均 3 行（存量原样）｜② 强行降级 ⇒ items=[] ＋ forbidden=[drop_column p_s5probe_notes.pinned] ＋ executable=false ＋ state=blocked ⇒ 409 plan_blocked，列与行数一字未动｜③ 同名同版本重传 http=200、tgz md5 与源一致（幂等）｜④ /opt/dsh/backups/plugin-db/<pkg>/ 2 个 .sql（v0-…643B / v1-…1344B）、0 字节文件数 = 0、台账 datastore_migrate_backup_ok x2｜⑤ 对照 200 ＋反证 500 schema_backup_failed（mkdir_failed: EPERM）、库结构未变，环境已原样还原。 ③ S6-E ①③ PASS：① admin 池 5 = guest /mine 5｜③ admin 新增 @dsh-local/s6newprobe ⇒ guest 5 → 6、无需管理动作。② 只记事实 ⇒ DSHS_SHARED_CATALOG_PUBLIC 未设置（默认 false）⇒ 404；🔴 开关全程未开（红线门禁遵守）。 🔴 本棒抓出并修复 1 条真实缺陷（真机专属 —— 本机测不出）：datastore.ts 里 pgEnvFrom(baseUrl) 的返回值被展开在 execFileSync 的 options 层（与 env: 同级）⇒ PGHOST/PGPORT/PGUSER 没下发到 pg_dump 子进程 ⇒ 退回 Unix socket :5432 ⇒ 47 上 No such file or directory ⇒ 结构备份在生产上根本跑不通。修法 = 新增 pgDumpEnv() 并合进 env；另修 business-plugins.ts 里第 4 棒遗留的 backup:'not_implemented' 不实文案 ⇒ 改真实值（skipped_first_create / taken ＋ backupPath）。回归钉住 +2 用例（⚠️ 首版用 PATH 假 pg_dump 桩在 Windows 上失败（.cmd/.bat 无法解析 ⇒ ENOENT/EINVAL）⇒ 改为直接断言 env 不变量：四个 PG 变量必须存在、且 ⛔ 不得混进 stdio/timeout/cwd/encoding）。重部署后 ④ 腿备份成功落盘 ⇒ 闭环。验证：npm run build rc=0 ｜ npm test = 449 / 447 过 / 0 败 / 2 跳过（基线 447/445 ⇒ +2）｜check-layering ✅ 无新增违规（added: 0）。落地件 ⇒ 交付物/S5-S6真机E2E验收-20260923.md。 ⚠️ 本棒记的已知缺口 / 未做项（⛔ 未假装做了）： ① S6-E ② 字面判据（/mine 返 enabled:true）未闭合 —— 不是代码缺陷，是拓扑形态的必然：客实例（uid 100002）在 106（worker），而 /mine 读的是平台本机 profile 快照（47 上为空）⇒ 本机快照反映不了远端装配。实测 enable 已正确落到实例所在机 106（node_modules/@dsh-local/storyforge 软链 09:43 建立、可解到 package.json、package.json 写入 file:/var/lib/dshs/bundled-plugins/_dsh-local_storyforge）⇒ 判据用 106 侧文件证据闭合。旁证：dsh-100002-9648cef4.scope 沙箱命令行含 --ro-bind-try /var/lib/dshs/bundled-plugins（S1 共享只读层挂载成立）。🔴 ⇒ 暴露一条缺失能力：平台侧"用户可见启停状态"没有跨机回流通路（现在只有单向 apply） —— 建议单独立项，本棒只记录、未改架构。 ② 门户三段式 UI 的 CSS 视觉渲染 / tab 点击 未验（本机 agent-browser 每次调用均挂死，属环境限制 ⇒ fail-fast；已清理 chrome 进程）⇒ 改用等价判据 ui-logic-check.mjs 复跑 portal.html 的 loadVisibility() 逻辑：7/7 断言通过（互斥 / 完备 6 vs 6 / 语义正确 / 开关关 ⇒ ③=0）。 ③ 跨节点内容分发仍无平台侧通路 ⇒ 需单独立项。清理：探针库 / 候选池行 / 账本行 / 审计行 / 备份目录 / 共享层探针 tgz 全清，零残留（%probe% 三处计数全 0、池子恢复原始 4 个）；platform-dirs.conf 原样还原（DSH_PLATFORM_DIR=/opt/dsh ＋无 .bak-s5e）；106 客实例 storyforge 启用已回退（回到 4 依赖原始态：business-plugins / portal-entry / workspace-scoped-picker / dsh-file-preview），106 dshs-worker ＋ dshs-relay 均 active。 ⛔ 本轮严格未碰装配协议：plugin-assembly.ts 零改动、交接单 file: 相关描述零改动；⛔ 未开可见面开关；⛔ 未 commit / 未 push / ⛔ 未引新依赖 / ⛔ 无 merge。 下一棒（唯一） = 第 9 棒 · 规划棒 = automation 9028a886-6b79-497e-a57c-1a33dcd796c3（一次性 · scheduledAt = 2026-09-23T09:59，约 7 分钟后）；接续点 = 跨机可见性状态回流（缺口立项）＋三门一致性复验。⛔ 三条硬禁止：⛔ 不碰装配协议（D-h 待拍板）· ⛔ 不开可见面开关 · ⛔ 不改 plugin-assembly.ts。 🔴 待拍板项仍是同一条（唯一，⛔ 未变）：装配协议 file:（现状）vs link:（实测 4 K）。拍板落地位置 = src/supervisor/plugin-assembly.ts 的协议写法＋交接单 8 处 file: 描述。 🔴 待拍板项（本轮新增 · 第 ② 条）：平台侧"用户可见启停状态"的跨机回流通路要不要立 —— 现状是单向 apply、无状态回流 ⇒ 实例在 worker 上的用户，平台侧 /mine 恒显 enabled:false。候选 A：立专项做状态回流（优点：平台侧启停状态全域准确、admin 与用户看到同一事实；缺点：新增一条控制面回传链路、要定拓扑与重试语义）｜候选 B：维持现状、把"跨机时 /mine 的 enabled 语义明确为「本机快照、可能滞后」并在 UI 上标注（优点：零改动、立刻可交付；缺点：admin 侧看到的启停状态在跨机场景下永远是错的，会误导管理动作）。
✅ 2026-09-23 10:0x｜第 9 棒 · 规划棒完成（跨机可见性状态回流设计件＋三门基线复验＋交接单登记） —— §5 的 3 项全做完，只出设计件 · 零代码改动 · 未动服务器： ① 设计件 ⇒ 交付物/跨机可见性状态回流-设计件-20260923.md（10 节）：问题定义（4 条影响面＋ 3 条排除项）｜事实基础 13 条（现读代码，带行号）｜🔴 三条硬约束（C1「worker 主动上报」在"只拨出"形态下物理走不通；C2「Manager 主动拉」的骨架 reportHost() 已在跑、增量只是把返回值加宽；C3 读路径必须与响应路径同源）｜通路形态三候选（A 主动拉／B 共用台账／C worker 上报，逐条优点+缺点＋一张对比表）｜写入时机 T1（apply 完成后）＋ T2（实例启动 reconcile，由 worker 本机驱动、Manager 不在场）｜陈旧度语义（asOf 必带＋ stale 现算不落库 ＋阈值 = 3×心跳周期）｜失败重试与不可达降级（5 场景表，核心 = ⛔ 不许把"未知"显示成"未启用"）｜与 v15 台账的关系（粒度不同塞不进去；A 案不建表、B 案才建且必须落控制面）｜"不做会怎样"四尺度（长期越晚越贵：多 Manager 联邦下每个区都要各造一套）｜落地轮廓＋附复核命令。 🔴 本件的关键否证：候选 B 不能单独成立 —— reconcile 的驱动点在 worker（agent.ts 20 s 本地定时器），Manager 不在场 ⇒ "apply 时写台账"覆盖不到该路径 ⇒ 台账只能当缓存、⛔ 不能当权威。候选 C 要新开一条 worker→Manager 入站口 ⇒ 撞 §1「扩大可见面」红线。 技术倾向（可推翻 · ⛔ 未替拍）：A 为骨架＋ B 降级为可选缓存；C 需用户先授权新开入站口。 ② 三门一致性复验（基线记录 · 未改代码 ⇒ 确认第 8 棒部署未引入漂移）：npm run build rc=0（tsc -p tsconfig.json 无输出）｜npm test（Node 22）= 449 tests / 447 过 / 0 败 / 2 跳过（与第 8 棒基线逐字一致）｜node scripts/check-layering.mjs = ✅ 无新增违规（现存 5 条全在基线内；⚠️ 报「未归类 1 = src/platform-paths.ts」属既有状态，非本棒引入）。 ③ 交接单登记：交接单/插件投放与分库线-①共享只读包库与插件数据面.md §五 S6 新增「🔴 已知边界」小节（成因代码位置＋ 106 真机实证 3 条 ✅ / 1 条 ❌ ＋影响面 3 条＋ ⚠️ 区分响应路径与读路径＋状态=缺失能力已立项）；§六验收表第 8 行同步加注（② 的字面判据仅同机形态成立）。 ⛔ 本轮严格未碰装配协议：plugin-assembly.ts 零改动、交接单 file: 相关描述零改动；⛔ 未开可见面开关；⛔ 未改任何生产代码、未动 47/106 服务器。 下一棒 = ⛔ 未登记（拍板项未定 ⇒ 按用户级记忆「要用户拍板的，等拍了再新建接续会话」）。接续点 = 用户对通路形态拍板后，排「跨机可见性状态回流」执行棒。 🔴 待拍板项 = 两条（⛔ 未变＋新增）： ① 装配协议 file:（现状）vs link:（实测 4 K）。落地位置 = src/supervisor/plugin-assembly.ts 协议写法＋交接单 8 处 file: 描述。 ② 跨机可见性回流的通路形态（A 主动拉／B 共用台账／C worker 上报，逐条优缺点见设计件 §三）。落地位置 = worker/agent.ts 的 /healthz ＋ leased-spawner.ts 的 reportHost() ＋ business-plugins.ts 的 /mine。
✅ 2026-09-23 15:4x–16:2x｜A 线收口 · 装配协议 link: 全落地（① ② ④ ✅ · ③ 实测撤销） —— 用户口令「先把 a线做完，处理完成后在做b线」，本段为 A 线（插件投放与分库线） 的收口：代码：plugin-assembly.ts 新增 depRefOf()（＋ pnpmExecDisabled()/runPnpm() 测试缝）｜business-plugins.ts 4 处 fileRef 同步为 depRefOf。三门全绿：npm run build rc=0｜npm test = 450 / 448 过 / 0 败 / 2 跳过｜check-layering ✅ 无新增违规（added: 0）。部署：lib/supervisor/plugin-assembly.js ＋ lib/web/routes/business-plugins.js 已 scp 两机 —— 🔴 47 = /opt/dshs/、106 = /opt/dshs-cluster/（106 上没有 /opt/dshs，这是本轮新查实的事实）；两机 md5 逐字一致（fe5162ec…／ed507b7a…）；restart 47 dshs＋dshs-worker、106 dshs-worker；门户 3080 → 200、worker 19100 → 401；旧产物备份 /opt/dsh/backups/plugin-assembly-20260923/。 真机复验（47）：软链 54 B ＋ .pnpm 8.0 K（对照 file: 6.5 MiB/116 文件 ⇒ 约 1000 倍差距）、目标回溯直达共享层、用户身份下可读、反证原子抛错；探针用户已回滚。 🔴 ③ 存量用户迁移实测撤销（本轮最重要的否证）：全平台只有 1 个带依赖实例，5 条依赖全 .tgz 型（目录型 0 条），只有 1 条在共享层有目录 ⇒ 原迁移方案会让 4 条悬空 ⇒ 实例崩。成因 = 那 4 个包是平台自研核心组件、从不进共享层。⇒ 已从待落地清单撤下，交接单 §9.3 整节改写。文档：交接单该文档 —— 状态行（S3 → 全绿已上线）｜§五 S3-E 新增真机复验表＋部署状态段｜§五 S4-2 无改｜§9.3 整节改写（含"dsh-file-preview 已指向共享池"的误读纠正）｜§十二执行回报第 1 行（S3 → 已做）。入口 §5 待落地块＋本线后续第 4 条同步。 ⚠️ 残留一条待补（不阻塞）：106 侧跨机腿 —— 106 现无带插件用户实例可复验，等有用户启用时按 S3-E ④⑤⑥ 补一次。 ✅ 2026-09-23 18:3x｜用户拍板 —— 跨机可见性形态 = D「按需定向拉（主）＋ worker 变更上报（辅·后置）」 —— 用户原话「可以 worker 上报，具体要管理那个用户的时候 manager 针对性的去查」。原 A / B / C 三候选作废；设计件 §十已整节改为定稿。 🔴 本棒（设计阶段）拿到的最有价值事实：fenceOnAgent()（src/supervisor/leased-spawner.ts:144-155）里已经有「findUserInstance(userId) → agentFor(hostId) → 带 token 定向 POST 到那台 worker」的完整三步定位链 ⇒ 主路径＝只把目标端点从 /fence 换成新只读口（建议 /profile-bundles）。⇒ 零新增监听口 · 零新增凭据体系 · 零广播，且天然覆盖 reconcile 路径（原 B 案的死结，因为查的是对端现算真值而非历史快照）。 ⛔ 两条硬约束（写码前必守）：① 新端点必须带 token（与 /fence 同级）—— ⛔ 绝不可挂到免凭据的 /healthz 上，否则等于开匿名任意读口；② 查不到须返回 not_here，⛔ 不等于"零插件"（两者语义不同，混用即复制本缺陷）。 📌 落地登记 = 下方「⏭️ 本线后续」第 1 条（本条为设计与拍板落定，⛔ 未写一行生产代码、未动 47/106）。 🔴 下一棒（automation）本轮排不出来 —— automation_update 创建时返回 file is not a database：宿主活动库 E:\ProgramData\.workbuddy\workbuddy.db（以 CODEBUDDY_CONFIG_DIR = E:\ProgramData\.workbuddy 判定）第 1 页 header 已丢失 ⇒ 全机 automation 功能不可用。⚠️ 与拍板结论无关，⛔ 不要因为排不出棒而认为形态没定；库修复后按本条与设计件 §十直接排。 下一步 = B 线（IM 线）：按用户口令「处理完成后在做b线」，接续点 = 接续入口_IM线_20260922.md（推荐先做 ①档位重写，它是全部 E2EE 代码的硬前置）。
✅ 2026-09-23 20:5x｜carbon 线「两问」答辩（纯文档 · 零代码 · 未动 47/106） —— 触发 = 用户口令「看插件会话的问题反馈 dsh-plugin-carbon/对接文档_carbon插件-平台侧两处阻塞_20260922.md」⇒ 读 carbon 线回执 §H–§K，在该对接单追加 §L 答辩，逐条裁定： ① 凭据落点 → 迁 D4 目录（<userRoot>/home/.dsh/plugins/dsh_plugin_carbon/mcp.json；判据 = 清理单元一致 / 一处约定 / 暴露面不变 ⇒ 不触发 R5）；并将目录名口径定死 = pluginId（去 scope·小写·非 [a-z0-9_] 折 _，与库名 dshs_pl_<pluginId> 同 token ⇒ carbon = dsh_plugin_carbon，⛔ 不是 carbon）。 ② 零数据面插件 ⛔ 不要显式提交空声明：无 dsh.data ⇒ none ⇒ 放行；tables: [] ⇒ invalid ⇒ 状态恒 blocked、永远发不出去；单放一个 dsh.data.yaml 根本不被读取（不自动探测）。⇒ carbon 现状即合规，什么都不用加。 ③ 🔴 自纠（我上一轮写错的一处）：§C-2 D4 里的「只能走 SDK 的 im.paths.pluginData()」是错的 —— 该 API 三处零命中（源仓 src/ / 宿主仓 deepseek-harness / node_modules）⇒ 正确姿势 = join(process.env.DSH_HOME, '.dsh', 'plugins', pluginId)（DSH_HOME 由平台注入、必存在），⛔ 删 homedir() 回退（HOME = <userRoot>/ws，而 ws 会被平台按产物清理 ⇒ 回退 = 写到会被清掉的位置）。 ④ 另抓一条（对方没问、但会咬人）：跨机投递 —— 用户实例在 worker 上时，管理机直写 <userRoot>/home/… = 静默空操作（user-fs.ts:122-124，档案 138 §五）⇒ 投递须落在 hostIdFor(userId) 那台机。⚠️ 平台侧无「插件凭据投给用户」通路（home 白名单仅 3 个裸文件名）⇒ 凭据仍带外投递；要自动化须立项，建议并进 worker /plugins/apply 同一条腿（零新增入站口）。 文档落笔：DB-03 新增 §六·补插件文件落点与凭据投递（8 行口径表＋现状缺口）｜交接单 ①…md 三处同步更正（状态行「S5-b 口径已更正」· §四路径段「SDK 口不存在、改 DSH_HOME 拼法」· §五 S5-b 五条改写含 pluginId 口径/凭据同目录/跨机/零数据面）。 ⛔ 本棒零平台代码改动、⛔ 未动 47 / 106、⛔ 未 commit / push。 下一棒 = ⛔ 未登记（本棒为即席应答、非接续棒；且 B 线（IM 线）第 15 棒正在跑，按用户口令 A→B 的顺序，本线不与 B 线并行抢资源）。⚠️ 本线两项可排（均非阻塞）：a) 跨机可见性回流的执行棒（形态 D 已拍板 2026-09-23 18:3x ⇒ 按用户级「等拍板」纪律，条件已满足、随时可排）；b) 可见面开关 DSHS_SHARED_CATALOG_PUBLIC 的开启决策（红线门禁 · 待用户拍板）。
✅ 2026-09-23 21:3x｜插件对接文档落库＋仓库清理清单（纯文档 · 零代码 · 未动 47/106） —— 触发 = 用户口令「需要一份插件对接文档，给插件开发会话按照文档规范开发插件」＋「放到 D:\github\dsh_shenxian\dsh-server-docs 中长期维护」＋「清理这个文件夹中过时和临时以及不需要的文件」。 ① 新规范（长期维护 ⇒ 落文档库、不带日期） ⇒ dsh-server-docs/规范/08-插件开发与对接规范.md：§0 一句话 / §1 开工四问 / §2 包形态 / §3 数据面（含「零数据面 ⛔ 不要写空声明」＋声明唯一入口澄清）/ §4 文件落点 D4 / §5 投放链路（谁做什么）/ §6 错误码表（判归属） / §7 提包前自测清单 / §8 端侧边界 / §9 回报格式 / §10 别做清单 / §11 变更记录。INDEX.md §一 已加一行索引（「写一个业务插件」→ 指向 08）。 ⚠️ 该件顺带纠正一处口径分叉：DB-03 §三 与平台回复里的「在 im.data 上声明表」是运行时对象的措辞；声明的存放位置只认 package.json 的 dsh.data.schema（内联对象或指向包内文件），且不自动探测包内 dsh.data.yaml（源码 src/db/plugin-data/schema.ts:701-746 现读）。 ② 仓库清理（D:\github\dsh_shenxian） ⇒ 交付物/清理候选清单-dsh_shenxian-20260923.md（只读扫描报告）：P0 明确垃圾 9 项 / 2.5 MiB（dsh-server-docs/scripts/__pycache__、_tmp_seq40/*.out）· P1 疑似一次性 91 项 / 2.6 MiB（_tmp_seq40/(36) · _tmp_seq24/(8) · poc/**/*.tgz 20 个旧版本 · _中间产物_待清理/ · tmp-e9*.txt · tmp/seq46s0/）· §四假阳性 10 项（⛔ 别删：scripts/overlay-probe.cjs 等 6 个在册工具、archive/ 存档、过程档案、poc/carbon-mcp-probe/（carbon 线归属）、.workbuddy/lock-hook.log（hook 正在写））· §五五批次处理顺序（每批 ≤10、跟踪文件走 git rm、每批复核）。 🔴 ⛔ 本棒未删 / 未移 / 未改名任何文件 —— 批量删除属红线（用户长期规则「任何可能影响 >10 文件的操作用前必须先出受影响清单并取得确认」＋「未明确要求不 commit / push」）⇒ 先出清单、等逐项点名确认。 ⚠️ 遗留（不阻塞）：新增规范尚未进全文检索（docs-manifest.json 未重生成；生成器 = dsh-server-docs/scripts/docs-manifest.py，⛔ 本棒未擅自跑生成物）。 下一棒 = ⛔ 未登记（同前：即席应答＋ IM 线第 15 棒在跑）。
✅ 2026-09-23 21:5x｜仓库清理执行（用户口令「按照建议清理」· 先备份后删 · 零代码影响） —— 备份 ⇒ 归档/dsh_shenxian-清理-20260923/deleted-20260923.tar.gz（1.23 MB / 36 条目＋ MANIFEST.txt）。实删：批3 = 26 个 POC 历史 tgz（1.15 MiB） ＋ 批4 = _中间产物_待清理/（5 文件） ＋批2 = 2 项；批1/批2 的多数目标在动手前已被清掉（非本次动作，备份包可证）；P0 类残留复扫 = 0。守卫全绿：.workbuddy/lock-hook.log（hook 在写）/ scripts/overlay-probe.cjs（在册探针）/ poc/carbon-mcp-probe/（carbon 线）/ poc/im-conversation-tabs/（IM 线）健在，备份包内 0 条他人路径。⛔ 未 commit / push。回报已落 交付物/清理候选清单-dsh_shenxian-20260923.md §六。
📌 用户问「仓库根 docs/ 有什么用 / 何时建 / 要不要留」—— 判定 = 全部保留（2026-09-23 21:5x 取证）：docs/ = 仓库自带的 7～8 篇安装向文档（blueprint / deployment / hard-isolation / domain-config / troubleshooting / k8s-deploy / k8s-deployment / architecture），建于 09-13～09-16（项目最早文档批次）；README.md:5 明文「docs/（本仓库内）= 仓库自带 7 篇 …… ⛔ 不要往这里写我们的改造记录」＋ README 表格逐篇索引 ⇒ 职责与 dsh-server-docs/（平台文档库）分离。其中 k8s-* 两份对应 2026-09-15 已下线的模式 B，但 README.md:55 明写「保留作为未来可选路线」⇒ 属有意留档，不列可清理项。 ⚠️ 同时澄清「仓库只有代码和文档」不成立：实存非源码内容 = lib/（构建产物 3.5 MiB，服务器跑的就是它）· node_modules/ · .workbuddy/（钩子日志，正在写）· config/ · poc/（各线 POC 源码）· deploy/ assets/ .github/ · dsh-server-docs/（文档库，含 scripts/ ops/ skills/ archive/ tmp/）· 根级 Dockerfile* cordis.patch.yml tsconfig.json package*.json mksess.cjs 等 ⇒ ⛔ 均在用，不属可清理项。
✅ 2026-09-24 21:5x｜第 10 棒 · 执行棒完成 —— 可见性分层收口（A 案）已落地并上线（本棒依据 = 接续包_IM与插件接入_20260924.md §4 第 1 条；本入口 §5-6 那条已收口 ⇒ 退出待办）： 代码（本机）：GET /api/plugins/mine 收窄为「共享层已发布 ∪ 我自己已启用」＋我的 enabled（新增 publishedPluginIds()，与 admin 面 /api/plugins/shared 同源两条判据：清单里有＋磁盘上真有）｜删除 GET /api/plugins/shared/catalog ＋开关 DSHS_SHARED_CATALOG_PUBLIC（src/config.ts 三处）｜门户三段式改数据源（① ← admin 面 /api/plugins/shared；②③ ← /mine；⋯ ← 池全集减已发布）。推翻 §五 S6-1「⛔ 不要顺手加过滤」——理由与新小节已写入交接单。三门：npm run build rc=0 ｜ npm test（Node 22）= 507 tests / 505 过 / 0 败 / 2 跳过 ｜ check-layering ✅ 无新增违规（added: 0）。部署：三件产物（lib/web/routes/business-plugins.js 2d0abcc5… / lib/config.js 71182c9a… / web/portal.html fc433052…）三机 md5 逐字一致；47 /opt/dshs ＋ 106 /opt/dshs-cluster；备份 /opt/dsh/backups/lib-visibility-20260924/{47,106}-pre-20260924.tgz；重启后 47 dshs/dshs-worker/dshs-relay 全 active、门户 3080 = 200、worker 19100/19000 = 401。 47 真机 E2E（临时 session 直插 · R4 · 用完即删零残留）：候选池 5 ｜共享层已发布 3（storyforge/mcn-suite/im-conversation-tabs）｜ /mine admin = 4 = 已发布 ∪ admin 已启用{dsh-file-preview,mcn-suite} ⇒ 判据精确命中，池中未发布的 dsh-univer-office 已不在｜ /mine guest = 3 = 恰好已发布集合（收窄前为 5 = 候选池全表 ⇒ 缺陷闭合）｜已删路由带真凭据均 404｜ portal.html = 200 且含新文案｜临时会话 deleted=2 leftover=0。落地件 ⇒ 交接单/插件投放与分库线-01共享只读包库与插件数据面.md §五 S6「可见性分层收口」。 ⚠️ 接续包本棒未改 ⇒ 接续包_IM与插件接入_20260924.md md5 仍 = ae2fe58f6040e153a34017959a90df87（下一棒口径校验仍通过）；其 §3-2 已由本棒消化。 ⛔ 本棒未 commit / 未 push；⛔ 未动装配协议、⛔ 未开任何新可见面、⛔ 未引新依赖。 下一棒（唯一） = 第 11 棒 · 执行棒 = automation 028ee4c8-57c1-498f-ac4b-a6bc1024161a（一次性 · scheduledAt = 2026-09-24T22:09 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = §5-1 跨机可见性状态回流（形态 D 已拍板）；⛔ 四条硬禁止：⛔ 不碰装配协议 · ⛔ 不改 plugin-assembly.ts · ⛔ 新端点不得挂到免凭据的 /healthz（必须带 token，与 /fence 同级）· ⛔ 查不到须回 not_here（≠ 零插件）。
✅ 2026-09-24 22:0x–22:5x｜第 11 棒 · 执行棒完成（跨机可见性状态回流 · 形态 D 主路径已落地并部署；跨机那条腿实测「退化」⇒ 已登记第 12 棒） —— 依据 = 接续包_IM与插件接入_20260924.md §4 第 1 条 与本入口 §5-1／设计件 §十（定稿形态 D）。 代码（4 文件＋ 1 测试＋ package.json 登记）：① src/worker/agent.ts 新增 POST /profile-bundles（只读，入参仅 userId，走 UUID 形状白名单）＋具名导出 profileBundlesAt(dataRoot,userId)（抽出来是为了可单测）——🔴 ⛔ 未进 onRequest 免凭据白名单（那里只有 GET /healthz）⇒ 实测不带 token = 401；② src/supervisor/spawner.ts 新增 UserBundlesReading 三态类型（ok／not_here／unknown）＋可选方法 readUserBundles?()；③ src/supervisor/leased-spawner.ts 新增 readUserBundles()（复刻 fenceOnAgent() 三步定位链；本机/未登记归属 ⇒ 返回 null 且一个请求都不发）＋ fetchImpl 测试缝＋ post() 加超时参数（本读数用 3 s，⛔ 不复用变更类的 10 s）；④ src/web/routes/business-plugins.ts 的 /mine：先判本机（直读、零网络）⇒ 非本机定向拉对端现算真值，响应新增 enabledState{source,known,asOf,stale,hostId,detail}。三门：npm run build rc=0 ｜ npm test（Node 22）= 521 tests / 519 过 / 0 败 / 2 跳过（基线 507/505 ⇒ 本棒 +14，全在新文件 test/user-bundles-readback.test.mjs）｜check-layering ✅ 无新增违规（added: 0；未归类 1 = src/platform-paths.ts 属既有状态）。部署：三件产物 scp 两机（47 /opt/dshs ＋ 106 /opt/dshs-cluster），md5 逐字一致（agent.js 12d49cab…／leased-spawner.js 5508fccd…／business-plugins.js f466cd0a…）；备份 /opt/dsh/backups/lib-bundles-20260924/{47,106}-pre-*.tgz；restart 后 47 dshs/dshs-worker/dshs-relay ＋ 106 dshs-worker/dshs-relay 全 active，门户 3080 = 200、agent 19100/19000 = 200。 真机取证（106 直连新端点）：真实用户 ⇒ {"found":true,"bundles":[6 项],"asOf":…} 且与盘上 package.json 的 dsh.profile.bundles 逐字一致（端点 = 磁盘真值）｜不存在的 userId ⇒ {"found":false,…} = not_here（与"树在、零插件"的 found:true ＋ bundles:[] 可分 ⇒ 验收 ④ ✅）｜不带 token ⇒ 401（硬禁止 ② 兑现）。 🔴 跨机那条腿实测退化（本棒最重要的否证，⛔ 已登记第 12 棒，别当已修）：47 侧 /mine 对两个真实用户实测 —— ① 本机用户（cce6d1cd，实例在 w-47）⇒ source:'local'／known:true／stale:false／读回 2 个已启用插件 ⇒ 本机路径 ✅ 且零网络（验收 ③ ✅）；② 跨机用户（4092b965，实例在 w-106）⇒ source:'unknown'／known:false／detail:'host_not_in_directory: w-106'。根因 = src/web/server.ts 的 hostDirectory 是惰性 Map，restart dshs 后只含本机 ⇒ agentFor('w-106') 返回 undefined。⚠️ 不是新缺陷（fenceOnAgent 同款前置条件，它靠"回落本机"掩盖了）—— 而本读数正确地拒绝猜（unknown ＋带原因，⛔ 没显示成"未启用"，验收 ② 的语义在真实环境里被顺带证实）。⇒ 形态 D 主路径当前不生效，修法 = 把文件面既有的 ensureHostDirectory() 接到该定位链上。 临时会话手法（供后续棒复用 · R4 用完即删，实测 deleted=2 leftover=0 零残留）：活动会话在控制面 PG 的 sessions 表（⛔ 不是 /var/lib/dshs/dshs.db —— 往那份 SQLite 插会话 curl 只会拿到 401，实测踩过）；kind 取现有值（实测 browser）；鉴权 cookie 名 = sid；DB URL 用 grep -ho "postgres://[^\"]*" /etc/systemd/system/dshs.service.d/cluster.conf；⛔ 在 47 上跑 node 临时脚本必须绝对路径 require（/opt/dshs/node_modules/pg，从 /tmp 里裸 require 会 MODULE_NOT_FOUND）。 附带发现两条（⛔ 均未擅自改）：① 🔴 锁守卫缺陷：handoff-guard.sh:235 写 OWNER 时 ${CODEBUDDY_SESSION_ID:-未取到} 落成 未取到（同一 shell 里 $CODEBUDDY_SESSION_ID 明明有值）⇒ 钩子侧 _is_mine 认不出本会话 ⇒ Write/Edit 被"你没有持任何锁"拦下。该文件属机制层（07-scripts，本棒域锁不含）⇒ 只报告不动手；本棒合规绕法 = 把自己会话 id 补进本人那把锁的 OWNER（⛔ 不删锁、不接管、不动他人锁）。② 会话存储已从本地 SQLite 迁到控制面 PG ⇒ 若交接单 §五仍写 mksess.cjs 直插 dshs.db，那套已过期。 ⛔ 本棒未 commit / 未 push；⛔ 未碰装配协议、⛔ plugin-assembly.ts 零改动；⛔ 未开任何新可见面（新端点与 /fence 同级、同 token）；⛔ 未引新依赖。 下一棒（唯一） = 第 12 棒 · 执行棒 = automation c694cd01-75b1-4865-8fa5-dc535bcddd47（一次性 · scheduledAt = 2026-09-24T22:53 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = 把 host 目录新鲜度接进读路径＋重跑真机验收 ①（期望 source:'remote' ＋ known:true ＋真值含 @softspark/dsh-file-preview）。⛔ 四条硬禁止照旧。 🔴 /mine 的 UI 侧未做：poc/business-plugins/lib/client.js:1221 只读 plugins[].enabled、不认 enabledState.known ⇒ 降级时界面仍会把"未知"画成"未勾选"。该目录不在本棒域锁内 ⇒ ⛔ 未动，见本节末「本线后续」第 7 条。
✅ 2026-09-24 22:53–23:1x｜第 12 棒 · 执行棒完成（host 目录新鲜度接进读路径＋真机验收 ① 全绿） —— 接续点 = 第 11 棒登记的「把 ensureHostDirectory() 接到 readUserBundles 的定位链上」。 代码（2 文件＋ 1 测试）：① src/supervisor/leased-spawner.ts 新增可选 ensureHost?: (hostId) => Promise<void>（与 RemoteUserFsOptions.ensureHost 同名同义）⇒ readUserBundles 的定位链改为「命中即短路 ⇒ 未命中先补一次目录 ⇒ 再判一次」。四条纪律原样保留：⛔ 未把 web 层逻辑塞进 supervisor（supervisor 只认一个回调、⛔ 自己不查库）｜⛔ 补不出来仍回 unknown（host_not_in_directory），⛔ 不猜地址、⛔ 不回落本机、⛔ 不折成空清单｜⛔ 未接 agentFor 时根本不补（补了也读不出地址，纯浪费一次查库）｜⛔ 本机路径不补也不发。② src/web/server.ts 把文件面既有的 ensureHostDirectory 接进 LeasedSpawner 的 ensureHost —— 复用同一个补齐点（5 s 冷却＋并发去重都在里面）。⚠️ 必须包一层闭包：该常量在本函数里定义于 supervisor 构造之后，直接取引用会踩 TDZ（它内部用的 directoryRefreshing 等也是 let）⇒ 闭包把求值推迟到调用时。 测试 +6（test/user-bundles-readback.test.mjs）：补上后走定向读＋补齐打在目标机｜补不上仍 unknown 且零请求｜补齐抛错 ⇒ unknown（⛔ 不是 not_here／空清单）｜命中即不补（正常路径零开销）｜本机 ⇒ 不补也不发｜未接 agentFor ⇒ 不补。 三门（Node 22）：npm run build rc=0 ｜ npm test = 527 tests / 525 过 / 0 败 / 2 跳过（基线 521/519 ⇒ 本棒 +6）｜ check-layering ✅ 无新增违规（added: 0；未归类 1 = src/platform-paths.ts 属既有状态）。部署：lib/web/server.js ＋ lib/supervisor/leased-spawner.js 两机 scp（47 /opt/dshs ＋ 106 /opt/dshs-cluster），md5 逐字一致（c935e916…／82daf8cd…）；备份 /opt/dsh/backups/lib-dirfresh-20260924/{47,106}-pre-20260924.tgz；47 restart dshs 后 dshs/dshs-worker/dshs-relay 全 active、门户 3080 = 200、worker 19100 = 200。⚠️ 106 未重启（实测 dshs-worker 的 ExecStart = cli.js worker … ⇒ web 路由与 LeasedSpawner 在 worker 上根本不加载，重启无意义）。 ✅ 真机验收 ① 全绿（47 · 用户 4092b965 guest · 归属 dsh_instances.host_id = w-106 · status=stopped）：重启后第一次请求（惰性 Map 必为空）⇒ enabledState = {source:'remote', known:true, asOf:…, stale:false, hostId:'w-106'} ＋逐项真值 @softspark/dsh-file-preview=true ⇒ 第 11 棒的 unknown／host_not_in_directory: w-106 已闭合；服务端日志实证补齐路径真的被走到：[cluster] host 目录未命中 w-106 ⇒ 按需补齐（重启窗口期常见）。回归腿：本机用户 cce6d1cd（w-47）⇒ source:'local'／known:true／hostId:null，且同一时间窗内零补齐日志 ⇒ 本机路径没被白白多点一次 PG。临时会话直插控制面 PG（token_hash = sha256(sid)、kind='browser'；⛔ 不是 /var/lib/dshs/dshs.db），两次探针均 deleted=1 leftover=0，临时脚本已删（R4 零残留）。 🔴 本棒抓出 1 条与第 11 棒报告不符的事实（⛔ 未扩范围，只报）：106 上有两个 Manager 侧文件并未跟着第 11 棒落地 —— lib/supervisor/leased-spawner.js（106 上仍为 2026-09-23 08:04 的旧版，整段无 readUserBundles）与 lib/web/routes/business-plugins.js（106 上仍是第 10 棒版 2d0abcc5…，第 11 棒版应为 f466cd0a…）。第 11 棒 §0 记的「三件产物三机 md5 逐字一致」对这两条不成立。⚠️ 无生产影响（同一条 ExecStart 证据：worker 不加载它们），已顺手把 leased-spawner.js 补齐成两机一致；business-plugins.js 未动（106 不消费它，⛔ 不顺手扩范围）。⇒ 建议后续部署棒把「逐机 md5 读数」当必须贴的证据，⛔ 不写"三机一致"这类未经逐机核对的结论。 ⛔ 本棒未 commit / 未 push；⛔ 未碰装配协议、⛔ plugin-assembly.ts 零改动；⛔ 未开新可见面、⛔ 未引新依赖、⛔ 未新增任何监听口。 下一棒（唯一） = 第 13 棒 · 执行棒 = automation 0f61a175-fdd2-4031-87a8-d59dde3d38f0（一次性 · scheduledAt = 2026-09-24T23:18 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = §5 第 7 条（/mine 的「未知」态在客户端 UI 上落地）。域 = poc/business-plugins（preflight 实测判【A】可独立锁定）；⛔ 本轮起「⛔ 不改 src/」加进该棒硬禁止（平台侧三态语义已完成）。⛔ 硬禁止照旧：不碰装配协议 · 不改 plugin-assembly.ts · 新端点不得挂 /healthz · 查不到须 not_here · 不开新可见面。 🔴 待拍板项 = 0 条（装配协议 link: 已拍板并落地；跨机可见性形态 D 已拍板并落地）。
✅ 2026-09-24 23:1x–23:4x｜第 13 棒 · 执行棒完成（/mine 的「启用状态未知」在客户端 UI 落地并上线） —— 依据 = 本节 §5 第 7 条。域 = poc/business-plugins（preflight 判【A】）。 代码（2 文件 · 零新增依赖 / 零新增请求 / 零新增可见面）：poc/business-plugins/lib/client.js（zh/en 各＋3 词条＋ .bp-degraded 样式＋ enabledState state；load() 只把 known:false 记为降级）—— 五处落地：① 卡片状态徽章渲染「状态未知」（warn 色；此前是灰字「未启用」，与"真的没启用"视觉上无法区分）② 顶部降级横幅（role=status ＋ data-state-source 供排查，⛔ detail 不进用户文案）③ 勾选 / 全选 / 清空 / 应用更改 / 重试全部禁用 ④ 计数位改显「状态未知」（避免恒「0 / N」假数字）⑤ 空列表时改说「读不到」而非「暂无插件」；doApply 内再加一道早退（纵深防御，不靠按钮置灰）；package.json 0.3.24 → 0.3.25。 🔴 为什么必须禁提交（而不是"换个文案"）：提交送的是整张清单 ⇒ 降级时逐项 enabled 全为假值(false) ⇒ 用户一按「应用」就把明明开着的插件真的关掉。⛔ 缺 enabledState（老平台）⇒ 保持原行为，不误判为降级（已专项断言）。三门：npm run build rc=0 ｜ npm test（Node 22）= 527 tests / 525 过 / 0 败 / 2 跳过（与基线逐字一致 ⇒ 本棒零回归）｜ check-layering ✅ 无新增违规（added: 0）。另跑 verify-mem-model / verify-my-skills / verify-models-render 全绿。 等价判据（⛔ 视觉未真机验，如实标注）：本机 agent-browser 仍挂死（第 8 棒已实证，环境限制）⇒ 写零依赖渲染 harness E:/ProgramData/AIProject/aliyun-dsh-server/tmp/ui-logic-check-bp-unknown-20260924.mjs（window.__ModuleLoader__ ＋按调用序分配槽位的 hook 运行时桩＋极简元素构造器），真加载 client bundle 并真渲染，5 场景 40/40 全绿（降级 / 正常 / 老平台无该字段 / 降级+空列表 / 正常+空列表对照腿）；核心反证 = 降级态徽章不出现「未启用」「已启用」、全部操作面 disabled、计数位无假数字。 投放（先备份）：备份 ⇒ /opt/dsh/backups/bp-unknown-20260924/{47-pre-bp-0.3.25-20260924.tgz, before-0.3.25.txt}｜npm pack ⇒ dsh-local-business-plugins-0.3.25.tgz（75,274 B / 4 文件 / md5 da04e4a299c0545a28660569d063d4a4）｜scp → /opt/dsh/artifacts/business-plugins-0.3.25.tgz（本地与远端 md5 逐字一致）｜⚠️ 跑 ensure-biz-plugins.cjs 必须带 /etc/dshs.env ＋ drop-in 的 Environment=（档案 143 的坑，否则 artifactDir() 落到 /root/.dshs）⇒ 按此跑 --all --restart：admin: 版本落后（0.3.24 → 0.3.25），升级中… ✓ bundles=7。磁盘层核验 = 版本 0.3.25、依赖指向 .dsh-stage/business-plugins-0.3.25.tgz、node_modules 软链已切、包内新代码命中（stateUnknown×4 / bp-degraded×6 / doApply 早退×1）；dshs / dshs-worker / dshs-relay 全 active。⚠️ 当场无实例在跑（「已停 0 个 scope」）⇒ 下次访问自动拉起才加载新 bundle（既有生效链路：改 bundle ⇒ 必须重启实例）。 本轮严格未越界：⛔ 未改 src/ 任何文件｜ ⛔ 未碰装配协议 / plugin-assembly.ts ｜ ⛔ 未开新可见面、未引新依赖、未新增监听口｜ ⛔ 未 commit / 未 push。 🔴 本轮抓出 1 条既有红灯（⛔ 未擅自修 —— 越域）：node scripts/verify-static.mjs 报 1 项不合格 = web/portal.html：页面正文含内部平台名（去痕迹约束），命中串 DSHS_SHARED_CATALOG_PUBLIC（web/portal.html:499 附近，落在JS 块注释里 —— 第 10 棒删掉了那段 HTML，却在新注释里复述了开关名；而判据是 s.includes(BANNED)、不剥注释）。git show HEAD:web/portal.html 亦命中 1 处 ⇒ HEAD 即不合格，⛔ 非本棒引入（第 10 棒收口只跑了三门、未跑 verify-static ⇒ 漏过）。修法 = 改那两行注释措辞、抹掉变量名（成本 1 行）；该文件不在本棒域锁内 ⇒ 只报告不动手，已交给第 14 棒。 下一棒（唯一） = 第 14 棒 · 执行棒 = automation 4f31f4fa-746b-4ccf-9911-08885ebeea28（一次性 · scheduledAt = 2026-09-25T00:00 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；接续点 = (A) §5-2 / §5-8 跨节点内容分发（形态已拍板「节点主动拉＋主节点核对告知差异」）＋ (B) 修 web/portal.html 的 verify-static 红灯（须显式声明该域）。⛔ 硬禁止照旧：不碰装配协议 · 不改 plugin-assembly.ts · 新端点须带 token（⛔ 不挂 /healthz）· 查不到须 not_here · ⛔ 不开新可见面。 🔴 待拍板项 = 0 条（未变）。
✅ 2026-09-25 00:0x–00:4x｜第 14 棒 · 执行棒完成（(A) 跨节点内容分发落地＋ (B) 修 verify-static 红灯） —— 口径门禁：接续包_IM与插件接入_20260924.md md5 = ae2fe58f6040e153a34017959a90df87 一致。域锁（5 域：dsh-server-docs/deploy-本部署.md·src/web·src/worker·test/shared-layer-sync.test.mjs·web/portal.html）＋ package.json 骨架锁已取并复读 OWNER/DOMAINS 自证；会话 6c208f94-28b1-4da2-a528-eed7396a1541。 (B) 先做（无依赖 · 属第 10 棒遗留）：web/portal.html 去痕迹红灯已修 ⇒ node scripts/verify-static.mjs 结论：全部合格 ✅。⚠️ 纠一处口径错（重要，别再照着做）：第 13 棒／接续包记的命中串 DSHS_SHARED_CATALOG_PUBLIC 不成立 —— 判据是 s.includes('dshs')、区分大小写，而那个串是大写；真命中 = dshs_pl_*（web/portal.html:609 的 title 文案＝建库说明；worktree 与 git show HEAD: 同命中 1 处 ⇒ 确系第 10 棒遗留、⛔ 非第 13 棒引入）。修法 = 两处措辞改写（:609 dshs_pl_* → 「该插件专属的独立库」；:499 注释里复述的开关名 → 「与其专属开关（默认关 ⇒ 404）」）。现全文件 dshs 大小写敏感命中 0，行尾 100% CRLF 无混行。 (A) 跨节点内容分发 —— 形态 = 用户已拍板的「节点主动拉取（pull）＋主节点核对并把差异告知」，⛔ 不是推： ① 拉取端 src/worker/agent.ts：新增 hashTreeAt（与 Manager 侧 hashTree 跨实现逐字同值，用例钉住）／syncSharedLayerOnce（自报实况 → POST …/node/sync 取差异 → 逐包拉 → tar -tzf 成员白名单（拒 ../、绝对路径）→ 解包 → 自算指纹自校验 → 原子换盘）／POST /shared-layer/pull（带节点 token，与 /fence 同级，⛔ 不挂 /healthz）／启动一轮＋ setInterval（默认 30 min、.unref()）。三条失败语义：取不到对账 ⇒ 一个字节都不动 ｜ 单包失败只记账继续 ｜ extra 只报不删。chown 只在 linux 分支跑（平台无关）。 ② Manager 对账面（只读） src/web/routes/business-plugins.ts：sharedLayerDiff（纯函数 · missing/stale/extra；🔴 指纹为 null 判 stale 而不是"没有" ⇒ 触发自重拉，治"未知被画成没有"）／.node-sync-reports.json（每机只留最新）／三只仅认节点身份的口 POST /api/plugins/shared/node/sync·GET …/node/pack/:flat·POST …/node/result（⛔ 不走 requireAuth/requireAdmin；x-dsh-agent-token ＋ x-dsh-host-id 两值都对才放行，缺失/不匹配一律 401 且不区分原因；非清单内 flat ⇒ 404 not_here，⛔ 与"包是空的"分开）／GET /api/plugins/shared 新增 nodes 字段。⛔ 未新增用户可见面（三只口都需每机密钥）。 ③ 节点侧配置 ⇒ DEPLOY-本部署.md 新增 §6.6。🔴 实测纠正了文档里的错误路径：106 上根本没有 /etc/systemd/system/dshs-worker.service.d/（第 13 棒/接续包写的 drop-in 落点不存在）⇒ 实际落点 = /etc/dshs-worker.env（单元的 EnvironmentFile）。§6.6 已按实测改写：先 systemctl cat 看单元读哪个 env 源（两情形）＋「有 drop-in 且含同名键 ⇒ drop-in 优先，写错地方会静默失效」＋判据 ⑤（/proc/<pid>/environ 真读到才算生效，⛔ "文件写了" ≠ "生效了"）＋ ⛔ 别加 content-type: application/json（空 body 会被 Fastify 判 400 FST_ERR_CTP_EMPTY_JSON_BODY，看着像接口坏了）。 三门＋静态门禁：npm run build rc=0 ｜ npm test（Node 22）= 543 tests / 541 过 / 0 败 / 2 跳过（基线 527/525 ⇒ +16，新增 test/shared-layer-sync.test.mjs）｜check-layering ✅ 无新增违规（added: 0，基线 5 条未变，未归类 1 条仍是既有的 src/platform-paths.ts）｜verify-static 全部合格 ✅。 真机取证（⛔ 逐机读数，未写"三机一致"这类未经逐机核对的结论）：部署前备份 /opt/dsh/backups/lib-shared-pull-20260925/{47,106}-pre-20260925.tgz；三件产物 scp 到两台并逐机 md5 一致（agent.js 570d6895…／business-plugins.js 70d5c0f2…／portal.html b702217d…）。47 端点矩阵 ①–⑩ 全过：无凭据 401／有效 w-106 200 且 diff 正确／非清单内 404 not_here／路径穿越 404／真产物 200 且响应头齐全／解包后重算 hashTreeAt 与响应头 x-dsh-tree-sha256 逐字相同。 🔴 本棒抓出的真事实（本项的真正价值）：106 的共享层此前内容漂移 —— _dsh-local_storyforge 47 1c45c841… vs 106 8a19709c…（文件数同为 117 ⇒ 只有逐字节指纹才看得出；第 12 棒的"手工同步过"≠ 内容一致）；另两包 dsh-plugin-mcn-suite(cb1c73fb…/657) 与 _dsh-local_im-conversation-tabs(678e0f36…/5) 本来就一致。启用本项后：106 手动拉取 ⇒ pulled 3 包 ⇒ 106 storyforge = 1c45c841… 与 47 相同；逐机实算三个包两机全等；第二轮 missing/stale/extra 全空（收敛）；.node-pull.json 已落、.pull-stage-* 零残留；106 dshs-worker/dshs-relay active、在跑实例 scope dsh-100002-9648cef4.scope 未受影响（teardown 不停实例的设计成立）。Manager 侧 /api/plugins/shared 的 nodes 已见 w-106 快照（authoritative:3、差异全空）；临时 admin 会话按 R4 造、用完即删（deleted=1），临时文件已清。 ⚠️ 如实标注（未做 / 已知现象，⛔ 未假装做了）：① 首次 restart dshs-worker 那一轮的 journal 报过 [shared-pull] 对账取不到（sync_unreachable: fetch failed） —— 复测已定性为一次性瞬时时序：同时刻同机 curl/node fetch 打同一 URL 均正常，且第二次 restart 的启动轮直接成功（.node-pull.json 的 lastSyncAt = 重启那一刻、且无需重拉）⇒ 非系统性，失败即不动本地文件 ⇒ 无副作用；已在 §6.6 记为「已知现象 · 非缺陷」＋给了立即恢复手段（手动 POST /shared-layer/pull）。未加代码级启动重试（不在本项范围、会引入新重试语义 ⇒ ⛔ 不趁机扩范围）。② 本机 agent-browser 仍挂死（环境限制，第 8 棒已实证）—— 本棒无 UI 面改动，不需要它。③ ⛔ 未 commit / 未 push。 ⛔ 边界复核：⛔ 未碰装配协议｜ ⛔ src/supervisor/plugin-assembly.ts 零改动 ｜ ⛔ 未新增用户可见面｜ ⛔ 未引新依赖｜节点入站口仅 POST /shared-layer/pull 一个且带 token。 🔴 待拍板项 = 0 条（未变；本线 §5 全部闭合）。 📌 下一棒 = 不登记（§5 的 1–8 条已全部落地闭合；余项只有：① §5「已拍板待落地」残留的 106 侧 link: 跨机腿——需等 106 有用户启用插件才能复验，属外部条件；② 可选打磨 = 给启动轮加有界重试，价值不足以单独排棒）。按本节「⛔ 本线不预登记队列」，待新需求出现时再排。

§1 用户原话（目标，⛔ 不得改写、不得替拍）

「插件由admin上传后，应该是建独立库据库进行对接（需考虑更新插件的情况），然后分发到服务器worker，或端侧设备上，任何登录用户都可以访问才对」

拆成四条判据：

P1 admin 上传插件 ⇒ 建该插件独立的库并完成对接
P2 插件更新的情形要有定义（升级后库/表/元数据/存量数据怎么办）
P3 分发的终点面 = 服务器 worker ＋ 端侧设备（不止 Manager 本机）
P4 任何登录用户都可以访问

§2 现状（本会话已核实 / 已定稿，执行棒复核时只读）

🗃️ 本轮动作（第 36 棒 · 执行棒 · ✅ 已收官 23:5x —— 仅供追溯，⛔ 不要按它开工；下一棒未登记（等拍板））

🟢 第 36 棒续作（2026-09-26 00:17 用户两条拍板）：① A 案 ⇒ A2 实例进程内面达成（实例一直 running@20001；/mcn/api/accounts 200 · total:5；上一棒所据 PG 台账 stopped 是滞后失真）；② 「worker 用插件更新机制」⇒ 机制已落地且在跑（worker POST /shared-layer/pull ＋定时拉），真机对账快照 w-106 stale:[mcn-suite] ＋ failed:[timeout] ⇒ 自主拉取成立、该件拉取超时失败 ⇒ A8 改判。⛔ 平台侧问题（拉取超时／台账滞后）只报告不改码。详解 ⇒ 交付件 §9。

📦 第 36 棒已收官（p36-exec-plugin-dataline）：①–④ 全达成（修 canonicalJsonText() 键序敏感＋单测 67/67 → 出包 0.5.1＋上池＋发布共享层 → 删本地 5 条冗余行 39→34 → 影子读三表全 match、内容 34/34 差异 0）；⑤ 仅「47 侧切档」达成（7 表 platform，A5 达成；A2 切档后读路径全 OK）。 ⛔ 未达成 2 项：A2「真实例进程内」面（实例 stopped，未启动 —— 直调 worker /launch 会绕过控制面台账，主动不做）｜106 同步＋合并重启（ssh Permission denied (publickey)，无通道）⇒ A8 如实记「两机不一致」。 🔴 ③ 的口径偏差（务必先读交付件 §4.1）：迁移工具 SELECT * 无 ORDER BY ⇒ 平台留下 id 较小那份，与本地读路径（id DESC）相反 ⇒ 5 组里 2 组删的是 id 较大（较新）那一行（删 40 留 20／删 28 留 27），否则 ④「内容全绿」达不成；清单已具名列出。 📌 交付件 = $WS/交付物/MCN数据面接入-阶段二-切档与收口-20260925.md。⛔ 下一棒（第 37 棒）未登记 —— 剩余两项要用户拍板（106 通道 / 实例启动时机）。详版见 §0 顶部行。

📦 第 35 棒（执行棒）已收官：①–⑤ 全达成（处方 (a) 落码＋单测 66/66 → 出包 0.5.0 → 上池＋发布共享层 → 加列迁移 2 条 ADD COLUMN → 回填 local_id）；A2（平台取数口面）达成（三表 7 步读写全 200 · 6 负例全 bad-args · PG 残留 0）；⑥ 未全绿 ⇒ 停住不切档，⑦ 整条未执行；🔴 根因两条（本地 5 组重复 aweme_id ／ jsonb 键序 × canonicalJsonText() 假阴性）⇒ 交付件 $WS/交付物/MCN数据面接入-阶段二-B案落地与shadow读数-20260925.md。

🔴 上游拍板两条（2026-09-25 22:44 · 用户本人 · 已注入第 36 棒 prompt）：① 本地 5 组重复 aweme_id 的处置 = A 案「删本地那 5 条旧副本」（不可逆 · 已授权；明细与优缺点见交付件 §5「①」）｜② 插件包源码 = B 案「不纳入版本管理」 ⇒ 改为定期打压缩包备份，已由本会话落地：固定目录 E:/dsh-backups/plugin-src/（backup.sh ＋基线包 mcn-suite-src-20260925-2246-v0.5.0.tgz／6,065,179 B／330 文件／md5 247dd1456597e5496a695f4e91d695dc）＋每周 automation 1e3c9070-a75d-4ae4-b81e-06e2eb20a5b4（周日 03:30 · 内容摘要去重 · 保留最近 26 份）⇒ 第 36 棒不需要做纳管、不需要碰备份、⛔ 不再重问。
🎯 第 36 棒范围（按序）： ① 修 canonicalJsonText() 键序敏感性（store.js；修法 = 递归按键排序后序列化）＋补 1 条单测（键序被打乱仍判相等），node --test tests/mcn-store.test.mjs 必须全过 → ② 出包 0.5.1（记条目/字节/md5）→ 上池 → 发布共享层（⚠️ 顺序必须是「入池 → 结构迁移到 state=ready → 才 share」，否则 409 datastore_not_ready）→ ③ 删本地 5 条旧副本（执行拍板①）：先把这 5 条原样导出留档（tmp/p36/）并打印清单（表名／主键值／保留哪一份／删哪一份）→ 再删 → 删后本地 account_video_source 应 = 34 行。⛔ 只删行；⛔ 绝不删本地库文件 mcn-plugin.db、⛔ 不删 db.js、⛔ 不重建库（优先走插件既有删除路径如 removeVideoSource；拿不准就报告而不是硬写库）→ ④ 重取 account_video_source 影子读数（应转 两面对齐 34 = 34 ＋内容判据全绿）→ ⑤ 闭环 ⑥ ＋执行 ⑦（三表逐表切 platform → 47 实例＋ 106 合并同一次窗口重启 → A2 实例内面＋真机读数验 A5/A8）⇒ 拍板已到手，原「条件步」转无条件。
🔴 硬约束（⛔ 条条要守）：① 切换最小原子单位 = 表｜② ⛔ 不改 D:/github/dsh_shenxian/src/**｜③ ⛔ 不 commit·push（拍板② 已定 = 不纳入版本管理 ⇒ 本条长期有效；源码保底走 E:/dsh-backups/plugin-src/ 定期打包，⛔ 不要把备份包或插件源码加进任何仓库）｜④ ⛔ 不删本地旧库 mcn-plugin.db · ⛔ 不删 db.js｜⑤ ⛔ 平台库不删不重建｜⑥ 生产变更按 R8（动手前一句话说明；不可逆先报清单）｜⑦ 🔴🔴 释放锁必须前置 ME="<会话名>"｜⑧ ⛔ 不改插件包以外任何工作区。
⚠️ 取数坑（第 35 棒实测新增两条，⛔ 别重踩）：(i) 临时会话 /opt/dshs/mksess.cjs TTL 仅 600 s ⇒ 长探针必须现场新建（撞过 ⇒ 报 not-registered / unauthorized，极易误判成平台故障）；(ii) 探针里的 node 代码 ⛔ 不要内嵌进 bash node -e（引号/反引号被吃掉 ⇒ syntax error near unexpected token），一律写独立 .mjs 上传执行。其余沿用：47 PG 是本机进程 127.0.0.1:15432（⛔ 不用 docker exec）｜DSHS_DB_URL 只从 drop-in cluster.conf grep｜实例 uid 被平台网络隔离 ⇒ 探针只能 root 跑且 必须 DSH_HOME 重定向到 /tmp、本地库 readOnly。
📌 依据件：第 35 棒交付件（含根因取证＋待拍板）｜$DOC/05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（唯一执行单）｜第 34 棒交付件（6 件指纹／A1–A9／22 处对照）。

🗃️ 上一棒动作（第 35 棒 · 执行棒 · ✅ 已收官 22:5x —— 仅供追溯，⛔ 不要按它开工）

📦 第 35 棒（执行棒）已收官：① 处方 (a) 落码（normalizeRow/rowsOf，编解码只在插件侧；jsonbLike() 补正读侧脱引号语义）⇒ 单测 66/66｜② 出包 0.5.0（2,017,667 B／324 条目／md5 5cbccac1…）｜③ 上池＋发布共享层 200 replaced（47 共享层 md5 与本机逐字一致）｜④ 加列迁移 2 条 ADD COLUMN IF NOT EXISTS local_id TEXT（elapsedMs:16／backup:"taken"；库 17/20/9 列）｜⑤ 回填（account_videos 362／hot_accounts 5／account_video_source ins 16）＋幂等重跑 ins=0 ＋本地库 sha256 逐字不变｜⑥ 未全绿（account_video_source 34 vs 39）⇒ 停住不切档｜⑦ 未执行。详版见 §0 最新行。 🔴 根因两条（后棒直接引用，⛔ 不要重新摸底）：甲本地 39 行 = 34 唯一键＋ 5 组重复 aweme_id 旧副本（本表按 id 累积版本、读路径恒 ORDER BY id DESC LIMIT 1 ⇒ 旧副本对读取不可见；2 组副本正文差 2 字节）；乙 PG jsonb 按"键长度＋字母序"重排对象键，而 canonicalJsonText() 保留键序 ⇒ 凡以 jsonb 对象形态落库的行读回后比对必然不等（假阴性；与序无关比对 ⇒ 34/34 全等）。⚠️ 乙是真缺陷（canonicalJsonText 还供迁移幂等键 / imports.js 去重 / 预览判据使用）⇒ 必须在切档前修。 🔴 口径纠正（⛔ 防后棒按旧记开工）：account_video_source 空 aweme_id 行数 实测 0（执行单 §附录 C-2 原记"预计非零"）；badRows 三表全 0。

📦 第 34 棒（执行棒）已收官：S3 剩 1 处＋ S4 ＋ S5 插件侧接线全部落地（index.js 22 处＋ store.js 拆表 PATCH 两函数）· 静态复扫（A3）平台档路径零命中 · 单测 62/62 · 红线 23 · src/** 与 lib/client.js 零改动 · 真机只读取数 ⇒ 处方 (a) 行内压缩有效 · ⛔ 未动生产（⛔ 未出包 / 未上池 / 未加列迁移 / 未回填）⇒ 交付件 $WS/交付物/MCN数据面接入-阶段二-第三批接线完成-20260925.md。🔴 A2／A5／A8 未达成（需实例重启窗口＋ local_id 列就位）；详版见 §0 最新行。

🎯 第 35 棒范围（= B 案最后一步，按序，⛔ 不许跳）： ① 落 (a) 处方代码（account_video_source 正文列 gzip 编解码 ⇒ 落在 store.js 的 normalizeRow / rowsOf 两个唯一必经之路；⛔ 编解码只在插件侧、⛔ 不动平台）→ ② 出包（0.4.0 → 0.5.0，出 tgz ＋记条目/字节/md5）→ ③ 上池（POST /api/plugins/business/share 共享层；等 action:"replaced" ＋ compat.level=ok）→ ④ 加列迁移（真机库加 2 条 ADD COLUMN：hot_accounts.local_id ＋ account_videos.local_id，可空；⚠️ 第 33 棒实测 = diffDecl 只多这 2 条、forbidden=0、状态 drift ⇒ ⛔ 不删库、不重灌）→ ⑤ 重跑迁移回填 local_id（tools/migrate-local-to-platform.mjs；先 dry-run 零平台写请求＋幂等验 ins=0 / skip=n）→ ⑥ 三表 shadow 读数（逐表 match；⛔ degraded:true 必须具名解释）。 ⛔ 本棒只做 shadow 读数、⛔ 不逐表切 platform —— 切档硬前置有两条：(i) 需要 47 实例重启窗口（待拍板㈠ · 属用户窗口项）(ii) local_id 列就位（本棒第 ④ 步即修此项）。
🔴 硬约束（⛔ 条条要守）：① 切换的最小原子单位 = 表｜② ⛔ 不改 D:/github/dsh_shenxian/src/**｜③ ⛔ 不承诺需要窗口的验收（47 实例重启 / 106 重启）—— 列为「未达成」｜④ ⛔ 不 commit·push｜⑤ ⛔ 不删本地旧库 mcn-plugin.db、⛔ 不删 db.js｜⑥ ⛔ 平台库不删不重建｜⑦ 生产变更按 R8（动手前一句话说明＋不可逆先报清单）｜⑧ 🔴🔴 释放锁必须前置 ME="<会话名>"｜⑨ ⛔ 不改 D:/dshworkspace/plugin_package/dsh-plugin-mcn-suite/ 以外任何工作区。
⚠️ 取数坑（本线既有结论，⛔ 别重踩）：47 的 PG 是本机进程 127.0.0.1:15432（⛔ 不用 docker exec）；取 DSHS_DB_URL 只从 drop-in cluster.conf grep（source /etc/dshs.env 拿到错的 5432）；journalctl --since 不吃 date -Is；fetch 静默丢 Host 头。
📌 依据件：$DOC/05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（唯一执行单）｜🔴 $WS/交付物/MCN数据面接入-阶段二-第三批接线完成-20260925.md（第 34 棒：6 件指纹／A1–A9／22 处对照／未闭合 6 条／真机读数 (a) 有效）｜$WS/交付物/MCN数据面接入-阶段二-A案落地与取证-20260925.md（第 33 棒）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（父单）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

🗃️ 上一棒动作（第 34 棒 · 执行棒 · 已收官 —— 仅供追溯，⛔ 不要按它开工）

📦 第 33 棒（执行棒）已收官：A 案两项已全落地（声明＋代码＋单测 58/58；⚠️ 声明侧后半项首轮漏落、已于 20:2x 补齐 ⇒ 见 §0-⑬）＋真机取证三条硬结论 ⇒ 逐条读数 ⇒ §0 最新行 ＋交付件 $WS/交付物/MCN数据面接入-阶段二-A案落地与取证-20260925.md。 🔴 口径补充（20:2x 补正时查明）：平台列级 maxBytes 全程无强制点 ⇒ 列上限唯一实际把关人 = 插件侧 store.js 的 COLUMN_MAX_BYTES；宣言面改的是「自洽＋文档」。⚠️ 故后棒不要以为「声明写了 128000 平台就会放行 128000」—— 真正生效的是插件侧那个常量，而最终天花板是平台行级 64 KiB（无配置口）。 🔴 本条已改写：原「③ 表结构变更 ⇒ 一次删库重建」已被实测推翻（新声明只多 2 条 add_column、forbidden=0、状态 drift）⇒ ⛔ 后棒不许再按"删库重建"执行；正解 = 出包 → 上池 → 加列迁移（2 条 ADD COLUMN）→ 重跑迁移回填 local_id。 🔴 阻塞已解除、第 34 棒已登记：用户 2026-09-25 20:38 给出两条拍板（① 落 B 案 · ② 大字段处置方向＝技术自决）⇒ automation 40d342f3-584e-46e3-a630-b589960ec859（一次性 · 2026-09-25T20:50 · cwds = 本工作区）。⏹️ 下方「🗃️ 已收官（第 32 棒）」块与更早条目仅供追溯，⛔ 不要按它们开工。

✅ 已拍板 2 项（2026-09-25 20:38 · 用户原话见 §0 · 详版处方见 §0）： ① = B 案 —— 原话「修改完成后一起上服务器」⇒ 接线全做完再一次性出包 → 上池 → 加列迁移 → 回填；⛔ 不提前动生产。 ② = 技术项自决（用户问「有没有比较好的处理方式」） ⇒ 采用「行内压缩 (a)」，备选「正文外置 (b)」；⛔ 不抬平台行上限 (c)。⚠️ 先决条件 = 先做一次真机只读取数（那 12 行正文的构成与可压缩率；若混 base64 图片 ⇒ (a) 失效、改走 (b)）⇒ 第 34 棒第 4 件事。
🎯 第 34 棒范围（= 拍板到手后的接续点） —— 按 04 单 §五 S0–S8 有序补完接线；第 4 件事 = 那 12 行正文的真机只读取数（正文构成＋可压缩率）⇒ 据读数定 (a)／(b)；🔴 出包 / 上池 / 加列迁移 / 回填 ⛔ 不在本棒（属 B 案最后一步，须等 S3/S4/S5 全完）： ① 补 S3 剩 1 处（index.js 那条三表混写 SQL：account_videos ＋ account_video_source ＋ SUM() OVER）→ ② S4（account_videos 全量切换；落点现算 89 处：data.js 9／imports.js 36／index.js 30／video-tools.js 1／workshop.js 13，读数 tmp/p33/batch3-live-33.txt）→ ③ S5（hot_accounts ＋ hot_account_ext 拆表；首件事 = 核实 5 处写点能否都拿到 account_name）→ ④ 出包/上池/加列迁移/回填（清单＋备份＋影响面已出 ⇒ 交付件 §六）→ ⑤ S6 幂等迁移＋ S7 shadow ⇒ 逐表切 platform。 ⚠️ 切档前置（硬）：local_id 列就位（真机库现在还没有）⇒ 未就位就切 = 新行没 id ⇒ 前端 6 入口失效。
✅ 可直接复用（⛔ 不重造，第 33 棒新增部分）：store.js 的 localIdValueOf／restoreLocalId／localIdSupported／allocLocalId／resetLocalIdState／LOCAL_ID_COLUMN／LOCAL_ID_TABLES（折算与还原落在 normalizeRow / rowsOf 两个唯一必经之路 ⇒ 调用方零改动）｜splitHotAccount 的 id ⇒ 主表 local_id｜upsertByPk 的自愈回填（只补空）；迁移工具 backfilled 计数。沿用：hotAccountMetaMap／videoLocalIdMap／accountNameMap／loadVideoSourceIndex／videoSourceCountOf／topVideosOfAccount／sumLikesOfAccount／removeVideosByLocalIds／buildVideosPlatform()／splitPayload()／重复键预检。
✅ D16 映射新鲜度缺口（第 31/32 棒遗留㈦）本棒已部分缓解：local_id 就位后，id ↔ account_name / id ↔ aweme_id 映射可直接由平台行取得（restoreLocalId 已让 row.id 在平台档可用）⇒ 下一棒可把映射改为「优先平台、缺则降级本地」。
🔴 硬约束（⛔ 条条要守）：① 切换的最小原子单位 = 表（⛔ 一处未改完就切 = 「写到了没人读的地方」）｜② ⛔ 不改 D:/github/dsh_shenxian/src/**（平台侧缺陷只报告）｜③ ⛔ 不承诺需要窗口的验收（47 实例重启 / 106 重启）—— 列为「未达成」｜④ ⛔ 不 commit·push｜⑤ ⛔ 不删本地旧库 mcn-plugin.db｜⑥ ⛔ 不删 db.js（属阶段二收口 S10）｜⑦ 🔴 不许再删库重建（实测不需要，见上）｜⑧ 🔴 平台 buildWhere() 只支持 col = $n 与 IS NULL ⇒ 非等值谓词一律插件内过滤（D15）｜⑨ 🔴🔴 释放锁必须前置 ME="<会话名>"（不带 ⇒ 会删掉全平台所有人的域锁）。
🔴 两条口径（后棒一律以此为准）：㈠ 排查一律按 SQL 文本扫，⛔ 不按 .prepare( 调用点扫｜㈡ 平台无自增 id ⇒ 跨表关联走 account_name／aweme_id ＋插件内映射；⚠️ 本棒已把该口径的根修掉：平台行现在经 local_id 承载稳定标识。
⏳ 本线待拍板（存量 4 项 · ⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 · ㈡ 106 重启窗口 · ㈢ json 列是否改声明 · ㈣插件包源码是否纳入版本管理 ⇒ 见「⏭️ 本线后续」；本轮新增 2 项见上方 ⏳ 块。
📌 依据件：$DOC/05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（唯一执行单）｜🔴 $WS/交付物/MCN数据面接入-阶段二-A案落地与取证-20260925.md（本棒：结论／落点／判据／真机读数／不需删库判定／R8 清单／未闭合 8 条／待拍板 2 项）｜$WS/交付物/MCN数据面接入-阶段二-第三批阻塞取证与存量迁移-20260925.md（第 32 棒：两处硬阻塞＋ A·B·C 三案）｜$WS/交付物/MCN数据面接入-阶段二-第三批按表切换-20260925.md（第 31 棒逐处落点）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（父单）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

📦 上一棒（第 32 棒 · 执行棒）已收官：四步链路里第 2 步（存量迁移）已真跑、第 1 步只做了首件事（其余调用点有意未接）、第 3–4 步（shadow / 切档）未走 —— 三表切档全部不成立（撞两处结构性阻塞）。两处阻塞 —— 阻塞甲：account_videos / hot_accounts 无本地自增 id 承载位（前端以 row.id 为主标识，client.js 6 处）· 乙：account_video_source 18/39 行正文超自己声明的 30 KB 上限（最大 94,889 B）＋ 5 组重复 aweme_id ⇒ 迁移只上台 18 行、A1 match=false。已完成（可直接复用）：首件事（视频总表平台档路径）· store.js 新增 hotAccountMetaMap/videoLocalIdMap · 单测 51/51 · 迁移工具扩三表＋ 拆表两写 ＋重复键预检 · 真机迁移（account_videos 362/362 match=true · hot_accounts 5/5 match=true）；旧库 sha256 逐字不变。⇒ 逐条读数 ⇒ §0 最新行 ＋ 交付物/MCN数据面接入-阶段二-第三批阻塞取证与存量迁移-20260925.md。 🔴 2026-09-25 19:4x 用户拍板 = A 案（原文＋随之授权的代价 ⇒ §0 最新行）⇒ 本棒即该案的执行棒；⏹️ 下方「🗃️ 已收官（第 32 棒）」块与更早条目仅供追溯，⛔ 不要按它们开工。

⏹️ （历史）第 33 棒的原任务描述 —— 已被本节开头的「⏸️ 本轮动作」块取代，⛔ 不要按这条开工：原定「执行 A 案（① 补稳定主标识 ② 正文列上限提到 ≥100 KB ③ 表结构变更 ⇒ 一次删库重建 ④ 续走 S4／S5／S6／S7）」。🔴 其中 ③ 已实测推翻（新声明只多 2 条 add_column、forbidden=0、状态 drift ⇒ 不需要删库）；①②④ 的落地进度与接续点见本节开头的新块。
✅ 可直接复用（⛔ 不重造）：store.js 的 hotAccountMetaMap／videoLocalIdMap／accountNameMap／loadVideoSourceIndex／videoSourceCountOf／topVideosOfAccount／sumLikesOfAccount／removeVideosByLocalIds；index.js 的 buildVideosPlatform()；迁移工具 KEY_BUILDERS／DEFAULT_TABLES／resolveLocalTable／splitPayload／重复键预检；档位与读写原语全套。
🔴 硬约束（⛔ 条条要守）：① 切换的最小原子单位 = 表（⛔ 一处未改完就切 = 「写到了没人读的地方」）｜② ⛔ 不改 D:/github/dsh_shenxian/src/**｜③ ⛔ 不承诺需要窗口的验收（47 实例重启 / 106 重启）—— 列为「未达成」｜④ ⛔ 不 commit·push｜⑤ ⛔ 不删本地旧库 mcn-plugin.db｜⑥ ⛔ 不删 db.js（属阶段二收口 S10）｜⑦ 🔴 重建只许按 A 案范围，⛔ 不许借机替㈢ json 列做决定｜⑧ 🔴 平台 buildWhere() 只支持 col = $n 与 IS NULL ⇒ 非等值谓词一律插件内过滤（D15）｜⑨ 🔴🔴 释放锁必须前置 ME="<会话名>"（ME="…" bash $DOC/07-scripts/handoff-guard.sh --release-exec）—— 不带 ⇒ 会删掉全平台所有人的域锁（详见 §0 最新行的实测事故；⛔ 别按旧文档的裸命令写）。
🔴 两条口径（后棒一律以此为准）：㈠ 排查一律按 SQL 文本扫，⛔ 不按 .prepare( 调用点扫｜㈡ 平台无自增 id ⇒ 跨表关联走 account_name／aweme_id ＋插件内映射（D16）；⚠️ 本棒 ① 即是在修这条口径的根。
⏳ 本线待拍板（⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 · ㈡ 106 重启窗口 · ㈢ json 列是否改声明（不可逆）· ㈣插件包源码是否纳入版本管理 ⇒ 见「⏭️ 本线后续」。
✅ 已排棒（2026-09-25 19:4x · 拍板后登记） = 第 33 棒 · 执行棒 = automation 534dc721-080c-4a4b-8e72-ad48ec596c77（一次性 · scheduledAt = 2026-09-25T19:55 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒。
📌 依据件：$DOC/05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（唯一执行单）｜🔴 $WS/交付物/MCN数据面接入-阶段二-第三批阻塞取证与存量迁移-20260925.md（第 32 棒：两处硬阻塞＋真机读数＋ A·B·C 三案）｜$WS/交付物/MCN数据面接入-阶段二-第三批按表切换-20260925.md（第 31 棒逐处落点）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（父单）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。
⏹️ 上一棒（第 32 棒）已完成、可直接复用、⛔ 不重造：① index.js /mcn/api/videos 的平台档分支（buildVideosPlatform()，含爆款窗 / search·days 过滤 / 两个索引判定 / 补列，返回 {ok,total,items,missingLocalId,nameMissing}）＋ local 档原路径保留；② store.js 新增 hotAccountMetaMap({local})（id ↔ account_name 双向＋ missingId[]）与 videoLocalIdMap({local})（aweme_id ↔ id 双向）；③ 迁移工具扩三表＋ 拆表两写（hot_accounts ⇒ 主表 + hot_account_ext）＋ 跨行重复主键预检（dupKeys）；④ 单测 51/51；⑤ 真机存量已上台（account_videos 362/362、hot_accounts 5/5、account_video_source 21 行上台）—— 平台侧数据已就位，切档时无需重跑迁移。
🔴 两处硬阻塞（本棒核心产出，⛔ 后棒不得绕过）：甲＝account_videos / hot_accounts 的平台声明面无自增 id，而前端以 row.id 为主标识（client.js 6 处：切收藏·AI 视频·AI 创作·账号详情·删除·视频详情）⇒ 切档后新写入行无 id ⇒ 上述 6 个入口全失效。乙＝account_video_source 18/39 行正文超自己声明的 30 KB 上限（content_json 3 行 / analysis_json 15 行，最大 94,889 B）＋ 5 组重复 aweme_id ⇒ 平台侧最终只有 18 键，A1 match=false。
🔴 硬约束（⛔ 条条要守，沿用 04 单）：① 切换的最小原子单位 = 表（三表各自独立切；⛔ 一处未改完就切 = 「写到了没人读的地方」）｜② ⛔ 不可逆候选（json 列改声明 text 须删库重建）未拍板前不得进执行面｜③ ⛔ 不改 D:/github/dsh_shenxian/src/**｜④ ⛔ 不承诺需要窗口的验收（47 实例重启 / 106 重启）—— 列为「未达成」｜⑤ ⛔ 不 commit·push｜⑥ ⛔ 不投放任何版本｜⑦ ⛔ 不删旧库 mcn-plugin.db｜⑧ ⛔ 不删 db.js（属阶段二收口 S10）｜⑨ 🔴 平台 buildWhere() 只支持 col = $n 与 IS NULL（第 31 棒现算）⇒ 非等值谓词一律插件内过滤（D15）。
🔴 两条口径（后棒一律以此为准）：㈠ 排查一律按 SQL 文本扫，⛔ 不按 .prepare( 调用点扫（index.js:2870 就漏在 c(\SQL`)辅助函数里）｜㈡ **平台无自增id** ⇒ 跨表关联走 account_name（hot_accounts）／aweme_id（account_videos、account_video_source）＋插件内 id ↔ account_name 映射（D16）；⚠️ 映射**只能来自本地** ⇒ 切档后新建账号会缺席 ⇒ 已加**对账**（staleNames[]`），候选见交付件 §七。
⏳ （历史）第 32 棒上抛的两项㈥㈦ ⇒ 已由用户拍板为 A 案，并在第 33 棒落地：㈥「id 承载位怎么补」= 已定「两张表各加可空 local_id ＋插件侧折算/还原/分配/回填」；㈦「account_video_source 正文列上限提到多少 KB」= 已定 128000（但实测瓶颈转移到平台单行 64 KiB ⇒ 见本节开头 ⏳ 待拍板 ②）。存量 4 项未动：㈠ 47 实例重启窗口 · ㈡ 106 重启窗口 · ㈢ json 列两案选型 · ㈣插件包源码未纳入版本管理 ⇒ 见「⏭️ 本线后续」。
⏸️ 本线当前不排棒（第 32 棒收口时，2026-09-25 17:1x）：上一棒（第 32 棒）automation d33a6d61-3612-4b92-bcb2-28dc818aebd6 已置 PAUSED，全线无在跑/在等的接续会话 —— 因为再往前必须先拿到㈥㈦两项拍板。⛔ 拍板到手前，不得登记任何接续棒；拍板后由用户或下一棒会话按「⏭️ 本线后续」重建。
📌 依据件：$DOC/05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（唯一执行单）｜🔴 $WS/交付物/MCN数据面接入-阶段二-第三批阻塞取证与存量迁移-20260925.md（第 32 棒：两处硬阻塞＋真机读数＋ A·B·C 三案）｜$WS/交付物/MCN数据面接入-阶段二-第三批按表切换-20260925.md（第 31 棒逐处落点＋未闭合 6 条）｜$WS/tmp/p30/batch3-live.txt（82 处现算落点＋ SQL 原文）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（父单）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

🗃️ 已收官（第 31 棒 · 执行棒 · 2026-09-25 16:0x–16:4x）

📦 上一棒（第 30 棒 · 规划棒）已收官：第三批（主战场）改造交接单已出 —— 05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（8 段齐全＋附录 A 逐处落点 82 处／B 四类改写口径定死／C 存量迁移口径／D 三条口径修正 · 42,260 B / 349 行 · 纯 LF · docs-audit.py rc=0）。 ⏹️ 下方「🗃️ 已收官（第 30 棒）」块与更早的条目仅供追溯，⛔ 不要按它们开工。

🎯 本轮只做一件事：按 04 单执行「第三批（主战场）」（⛔ 不改 UI、⛔ 不改平台 src/**） —— ① account_video_source（最小表 ⇒ 先做样板：双键 OR ＋ 空键具名拒收）； ② account_videos（362 行 ⇒ LIMIT ? OFFSET ? 改游标＋ 2 处 ROW_NUMBER() OVER 改插件内归约 ＋ account_id 类型对齐 String()）； ③ hot_accounts ＋ hot_account_ext（拆表＋ 5 处写点＋ 11 处 JOIN ＋ del_flag／track 非等值谓词插件内过滤）； ④ 跨批衔接面 4 处（index.js:3076 ＋ workshop.js:199／202／213 —— ⛔ 不能留给第四批，见 04 单 §附录 A-5）。 四步链路（⛔ 不许跳）：该表全部读写点 → 迁移（幂等） → shadow 真机读数 → 按表切档。有序步骤见 04 单 §五 S0–S8；判据见 §六 A1–A9。
✅ 可直接复用（⛔ 不重造）：store.js 的 writeThrough／readRows／readCount／按表档 dataPlaneMode·dataPlaneWriteMode／clearPlaneMode／locate（自带 afterCursor ＋ truncated）／patchWhere／removeWhere／upsertByPk／writeRows／normalizeRow／repairJsonText／jsonTextToRaw／stableKey／genKey／拆表四函数 splitHotAccount·mergeHotAccount·findHotAccounts·upsertHotAccount／loadVideoAnalysisIndex／accountIdsWithPersona（同手法先例）／迁移工具 KEY_BUILDERS·DEFAULT_TABLES·resolveLocalTable。
🔴 硬约束（⛔ 条条要守）：① 切换的最小原子单位 = 表（三表各自独立切）；② ⛔ 不可逆候选（json 列改声明 text 须删库重建）不得进任何步骤的执行面，只能如实上抛；③ ⛔ 不改 D:/github/dsh_shenxian/src/**（平台侧缺陷只报告）；④ ⛔ 不承诺需要窗口的验收（47 实例重启 / 106 重启）—— 列为"未达成"；⑤ ⛔ 不 commit·push；⑥ ⛔ 不投放任何版本；⑦ 迁移守「先备份＋先出清单」（第 27 棒已做在位，⛔ 不要重做），⛔ 不删旧库 mcn-plugin.db；⑧ ⛔ 不删 db.js（属阶段二收口 S10）。
🔴 单内三条口径修正（后棒一律以此为准）：「12 处 JOIN」= 11 真＋ 1 假阳性（sets.join 被当成 SQL JOIN）｜「2 处聚合」实为 3 处窗口函数（GROUP BY 全包零命中；index.js:2870 不在 .prepare( 调用点 ⇒ 第 26 棒扫描漏项）｜OFFSET 第三批 = 3 处（第 4 处属第四批）。⚠️ 第 26 棒 TSV 行号已漂移（经第 27/28/29 棒三轮改码）⇒ 改码前先跑 04 单 §二 P2 现算。
⏳ 本线待拍板 5 项（⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 · ㈡ 106 重启窗口 · ㈢删库重建是否授权（不可逆）· ㈣ json 列两案选型 · ㈤插件包源码未纳入版本管理 ⇒ 见下方「⏭️ 本线后续」。
✅ 已排棒（2026-09-25 15:5x 第 30 棒收口时） = 第 31 棒 · 执行棒 = automation 8c76acb5-d010-4bf8-83f0-1074cdd98a35（一次性 · scheduledAt = 2026-09-25T16:01 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒。
📌 依据件：$DOC/05-交接单/插件投放与分库线-04MCN数据面接入改造-阶段二第三批.md（唯一执行单）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（父单）｜$WS/交付物/MCN数据面接入-阶段二-第二批按表切换-20260925.md｜$WS/tmp/p30/batch3-live.txt（82 处现算落点＋ SQL 原文）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

🗃️ 已收官（第 30 棒 · 规划棒 · 2026-09-25 15:4x–15:5x）

📦 上一棒（第 29 棒 · 执行棒）已收官：第二批按表切换全做完 —— account_analysis（6 处）＋ video_analysis（10 处）全部读写点接线 · 单测 40/40 · 迁移 1→1 / 12→12（幂等重跑 ins=0） · 内容往返 13/13 逐字相等 · shadow 4 次全 match=true / mismatch=0 / degraded 一次未出现 · 已按表切档（4 表 platform，hot_accounts/account_videos 仍 local）。逐条读数 ⇒ §0 最新行 ＋ 交付物/MCN数据面接入-阶段二-第二批按表切换-20260925.md。 ⏹️ 下方「原条目（第 29 棒）」（及更早的）仅供追溯，⛔ 不要按它们开工。

🎯 本轮只做一件事：出「第三批（主战场）」的改造交接单（⛔ 只出件、零落地） —— 对象 = ① hot_accounts（＋新建读写路径的 hot_account_ext）：拆表（本地 25 列＞平台 MAX_COLUMNS=20 ⇒ 必拆）＋全包最多写入方（4 个）＋ 12 处 JOIN ＋ 3 处 OFFSET； ② account_videos（362 行、全包最大表、LIMIT ? OFFSET ? 与 ROW_NUMBER() OVER 的主战面）； ③ account_video_source（11 读 / 4 写 / 4 改 / 3 删）。⛔ 本轮不动任何代码、不上服务器。
🔴 单内必须把三类改写口径定死（交单第 29 棒暴露的两处"写不进 SQL 的读点"是同一类问题的重演）：读改写（JOIN ⇒ 两次单表查＋插件内合，单批 ≤200）｜写改写（拆表两写无事务 ⇒ 失败具名 partial ＋补偿动作，⛔ 不静默半写）｜OFFSET ⇒ 游标（阶段一 listVideosPage 已是样板）＋ 聚合 ⇒ /count 或插件内归约。逐表给落点表与验收判据（⛔ 不许写"大概是 SELECT"）。
✅ 可直接复用（前两批已落地，⛔ 不要重造）：store.js 的 writeThrough / readRows / readCount / 按表档 dataPlaneMode(table)·dataPlaneWriteMode(table) / clearPlaneMode() 回滚 / locate＋removeWhere＋patchWhere 两步改写器 / upsertByPk 幂等 / normalizeRow 体积守卫 / repairJsonText·jsonTextToRaw / stableKey·genKey / 拆表已备好的 splitHotAccount·mergeHotAccount·findHotAccounts·upsertHotAccount / loadVideoAnalysisIndex（"拉全量建插件内索引再补列/拼 IN"的手法）/ 迁移工具 tools/migrate-local-to-platform.mjs（只需再扩 KEY_BUILDERS ＋ DEFAULT_TABLES）。
🔴 硬约束（⛔ 条条要守）：① 切换的最小原子单位 = 表 —— 该表全部读写点一次改完（hot_accounts 有 4 个写入方，实测）；② ⛔ 不可逆候选（json 列改声明 text 须删库重建）未拍板前不得写进步骤的执行面，只能如实上抛，⛔ 不得自行 DROP 任何库；③ ⛔ 不改 D:/github/dsh_shenxian/src/**（平台侧缺陷只报告）；④ ⛔ 不承诺需要窗口的验收（47 实例重启 / 106 重启）—— 列为"未达成"；⑤ ⛔ 不 commit·push；⑥ ⛔ 不投放任何版本；⑦ 迁移守「先备份＋先出清单」（第 27 棒已做在位，⛔ 不要重做），⛔ 不删旧库 mcn-plugin.db；⑧ 交单出件后自检 docs-audit.py rc=0 ＋行尾纯 LF。
⏳ 本线待拍板 5 项（⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 · ㈡ 106 重启窗口 · ㈢删库重建是否授权（不可逆）· ㈣ json 列两案选型 · ㈤插件包源码未纳入版本管理（D:/dshworkspace 里仍是未跟踪目录 ??）⇒ 见下方「⏭️ 本线后续」。
✅ 已排棒（2026-09-25 15:3x 第 29 棒收口时） = 第 30 棒 · 规划棒 = automation a22a3713-8cf9-4d90-b42d-0f7b656bf059（一次性 · scheduledAt = 2026-09-25T15:44 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒。
📌 依据件：交付物/MCN数据面接入-阶段二-第二批按表切换-20260925.md（第 29 棒判据＋逐处落点＋具名豁免＋两条实测事实）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（唯一执行单，本棒是其 §五 S4 的第三批展开）｜交付物/MCN数据面接入-阶段二-改造面清单-20260925.tsv（210 处逐处落点）｜交付物/MCN数据面接入-阶段二-20260925.md（S0 九条读数）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

原条目（第 29 棒 · 执行棒 · ⏹️ 已执行完 · 追溯用）

⏹️ 本块为已执行的原始计划，仅供追溯 —— 实际四步链路走完（见 §0 最新行）。

🎯 本轮只做一件事：按交接单 插件投放与分库线-03MCN数据面接入改造-阶段二.md 推进「第二批按表切换」 —— ① account_analysis（与 account_persona 同构：同一张声明面＋同一个导入路径＋同一处级联删除 ⇒ 直接复制第 28 棒的口径，含"稳定业务键＋幂等 upsert"）； ② video_analysis（主键 = 天然业务键 aweme_id ⇒ 无需生成键；读路径阶段一已切，补写 / 删点；⚠️ 其 12 行存量全是非法 JSON ⇒ 正好检验 A 案清洗的规模面）。 四步链路（⛔ 不许跳）：该表全部读写点 → 迁移（幂等） → shadow 真机读数 → 按表切档。有序步骤见交接单 §五 S4–S6；判据见 §六 A1–A8。
✅ 可直接复用（第 28 棒已落地，⛔ 不要重造）：store.js 的 writeThrough / insertPersona 形态写口 / removeWhere 两步改写器 / personaKey·stableKey 稳定键 / repairJsonText·canonicalJsonText·JSON_COLUMNS / dataPlaneMode(table)·dataPlaneWriteMode(table) 按表档 / clearPlaneMode() 回滚／ tools/migrate-local-to-platform.mjs（只需扩 KEY_BUILDERS 与 DEFAULT_TABLES）／ tests/mcn-store.test.mjs 的 31 例（新增例照抄形态）。
🔴 硬约束（⛔ 条条要守）：① 切换的最小原子单位 = 表 —— 该表全部读写点一次改完，否则「写进平台、读在本地」= 陈旧数据坏态；② ⛔ 不可逆候选（json 列改声明 text 须删库重建）未拍板前一律不执行，⛔ 不得自行 DROP 任何库（走附录 C A 案或只报告）；③ ⛔ 不改 D:/github/dsh_shenxian/src/**（平台侧缺陷只报告，属另线）；④ ⛔ 不重启 47 实例 / 106；⑤ ⛔ 不 commit·push；⑥ ⛔ 不投放任何版本（投放会让新版对所有登录用户可见可启 ⇒ 扩面，与待拍板㈠一起排）；⑦ 迁移守「先备份＋先出清单」（第 27 棒已做在位，⛔ 不要重做），⛔ 不删旧库 mcn-plugin.db；⑧ 47 上取证只用临时会话（mksess.cjs）且用完即删。
⏳ 做不完的部分（如实记「未达成」，⛔ 不许含糊过关）：实例内端到端读数（需 47 实例重启 ⇒ 待拍板㈠）· 出包 0.5.0 / 建库 / 投放 / 两机一致（S7–S11）。
🔴 第三批（⛔ 本轮不动）：account_videos（362 行）＋ hot_accounts（拆表＋ 12 处 JOIN ＋ 4 处 OFFSET ＋ 2 处聚合 = 主战场）＋ rewrite_log/script_review/storyboard_log/account_video_source/hot_account_ext。
⏳ 本线待拍板 5 项（⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 · ㈡ 106 重启窗口 · ㈢删库重建是否授权（不可逆）· ㈣ json 列两案选型 · ㈤插件包源码未纳入版本管理 ⇒ 见下方「⏭️ 本线后续」。
✅ 已排棒（2026-09-25 15:0x 第 28 棒收口时） = 第 29 棒 · 执行棒 = automation 23cbc916-ebda-4413-84da-ce229a4230f5（一次性 · scheduledAt = 2026-09-25T15:12 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒。
📌 依据件：交付物/MCN数据面接入-阶段二-第一批按表切换-20260925.md（第 28 棒判据＋三个技术判定＋逐处落点）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（唯一执行单）｜交付物/MCN数据面接入-阶段二-改造面清单-20260925.tsv（210 处逐处落点）｜交付物/MCN数据面接入-阶段二-20260925.md（S0 九条读数）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

原条目（第 28 棒 · 执行棒 · ⏹️ 已执行完 · 追溯用）

⏹️ 本块为已执行的原始计划，仅供追溯 —— 实际两件全做完（见 §0 最新行）。

📦 上一棒（第 27 棒 · 执行棒）已收官（部分）：S0＋S1＋S2＋S3 完成（A4 达成源面 / A5 半达成），S4–S11 未开工且有结构性理由（写路径无档位＋切换最小单位是"表"）。逐条读数 ⇒ §0 最新行 ＋ 交付物/MCN数据面接入-阶段二-20260925.md。 ⏹️ 下方「原条目（第 27 棒）」（及更早的）仅供追溯，⛔ 不要按它们开工 —— 已完成的内容全在交付件里。

🎯 本轮只做两件（按序，⛔ 不许跳）：① 给 store.js 加写源档 writeMode（local（默认）/ platform），与读源档同源同文件（env MCN_DATA_PLANE_WRITE → <DSH_DIR>/data-plane.json 的 writeMode；非法值折回 local；配单测：默认档零平台写请求／非法值折回／platform 档真发写请求）；② 按「表」推进第一批全量切换，建议先做 account_persona（读路径阶段一已切，只剩 2 写＋ 1 删）＋ creative_log（全包仅 1 处写）跑端到端样板：该表全部读写点 → 迁移（幂等）→ shadow 真机读数 → 切档。有序步骤与逐步验证见交接单 §五 S4（＋ S5/S6）；判据见 §六 A1–A8。
🔴 本棒硬约束（本棒实测新增 ①②，⛔ 条条要守）：① 🔴 切换的最小原子单位 = 表（⛔ 不是文件） —— 同一张表的全部写入方必须一次改完（实测 hot_accounts 有 4 个写入方）⇒ 否则出现「写进平台、读在本地」的陈旧数据坏态（R11 净变差，且界面看起来正常）；② 🔴 先有写源档才能开工第 2 件 —— 没有它，改写期行为就不是"逐字不变"；③ ⛔ 未拍板前一律不执行删库重建（平台无 drop / 重建口，第 26/27 棒两次取证；ForbiddenKind 5 类禁令）⇒ 走附录 C 的 A 案或只报告，⛔ 不得自行 DROP 任何库；④ ⛔ 不改 D:/github/dsh_shenxian/src/**（阶段一暴露的三条平台侧缺陷只报告，属另线）；⑤ ⛔ 不重启 106、⛔ 不重启 47 实例（除非用户给了窗口）；⑥ ⛔ 不 commit·push；⑦ 迁移守「先备份＋先出清单」（两者第 27 棒都已做在位，⛔ 不要重做），⛔ 不删旧库 mcn-plugin.db。
✅ 前置已在位（第 27 棒产出 · ⛔ 不要重做）：S0 九条只读读数（红线 22／行口径 222／脱钩 22／json 7／平台无 drop 口／容量上限）｜表名对齐（包内字面 0 命中＋本地存量库幂等改名，已真跑验证）｜迁移前备份（可解出＋源库 sha256 未变）＋ 逐表行数清单（10 表 441 行）｜store.js 11 表读写面（含 D9 两步改写器／体积守卫／拆表／生成键）＋ 单测 24/24。
🔴 四条实测记数（第 27 棒现算 · ⛔ 别抄旧记数）：㈠ hot_accounts 本地 25 列（阶段一记 24 错）｜㈡ lib/client.js 那 2 处 = 正则 .exec() 不是 SQL ⇒ 改造面仍 222｜㈢ 红线现算 23（= 22 ＋新加的表名对齐 ALTER TABLE 1 处；db.js 未删）｜㈣平台 find 硬夹紧 200、单行 64 KiB、单插件 20 万行、find 不传 limit 默认 50。另：旧表名在包内只以拆写常量出现 1 处（db.js，有意为之、已点名）。
⏳ 做不完的部分（如实记「未达成」，⛔ 不许含糊过关）：S7 出包 0.5.0 · S8 建库（schemaVersion 未变 ⇒ 本阶段可能不需要）· S9 投放与实例内取证（需 47 实例重启 ⇒ 待拍板㈠）· S10 删 db.js（仅在 A1＋A2 全绿后）· S11 两机（106 未重启 ⇒ 待拍板㈡）。
⏳ 本线待拍板 5 项（⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 · ㈡ 106 重启窗口 · ㈢删库重建是否授权（不可逆）· ㈣ json 列两案选型 · ㈤（第 27 棒新增）插件包源码未纳入版本管理 ⇒ 只登记在下方「⏭️ 本线后续」，到点由用户拍。
✅ 已排棒（2026-09-25 14:3x 第 27 棒收口时） = 第 28 棒 · 执行棒 = automation 74aec2df-a750-4fc5-9d0b-5955eeb96b46（一次性 · scheduledAt = 2026-09-25T14:40 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒，不要重复登记。
📌 依据件：交付物/MCN数据面接入-阶段二-20260925.md（本棒判据表 A1–A8 ＋ S0 读数＋未达成理由＋下一棒建议）｜05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（唯一执行单）｜交付物/MCN数据面接入-阶段二-改造面清单-20260925.tsv（210 处逐处落点）｜交付物/MCN数据面接入-阶段一-20260925.md（阶段一 A1–A7 ＋三条平台侧缺陷）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

原条目（第 27 棒 · 执行棒 · ⏹️ 已执行完 · 追溯用）

⏹️ 本块为已执行的原始计划（S0–S12 全量版本），仅供追溯 —— 实际完成 S0/S1/S2/S3，其余未开工。

📦 上一棒（第 26 棒 · 规划棒）已收官：阶段二交接单已出（8 段齐全＋附录 A 逐表改造口径／B 存量迁移口径／C json 列两案／D 删 db.js 收口判据），含一条不可逆候选（json 列案 B 须删库重建）。逐条读数 ⇒ §0 最新行 ＋ D:/github/dsh_shenxian/dsh-server-docs/05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md。 ⏹️ 下方第 26 棒条目（及更早的）仅供追溯，⛔ 不要按它们开工 —— 阶段一内容已全部落进交付件，阶段二内容已全部落进新单。

🎯 本轮只做一件事：按交接单 插件投放与分库线-03MCN数据面接入改造-阶段二.md 执行「阶段二（全量迁移与收口）」 —— 有序步骤与逐步验证见该单 §五 S0–S12；判据见 §六 A1–A8；决策点（D7–D13 已定 / 4.2 待核实 / 4.3 待拍板）见 §四。⛔ 不许跳步，⛔ 无真机读数不得宣称通过。
🔴 本棒硬约束（单内已写 · 这里再点名）：① 🔴 json 列案 B（改声明为 text ⇒ 删库重建）⛔ 未拍板前一律不执行 —— 平台无 drop / 重建口（第 26 棒已取证），只能人工 DROP DATABASE ⇒ 本棒走附录 C 的 A 案（值清洗）或只报告，⛔ 不得自行 DROP 任何库；② ⛔ 不改 D:/github/dsh_shenxian/src/**（阶段一暴露的三条平台侧缺陷只报告，属另线）；③ ⛔ 不重启 106（除非用户给了窗口）；④ ⛔ 不 commit·push；⑤ 🔴 落地顺序不得颠倒：带声明的新版必须先建库（migrate ⇒ state=ready）再投放；⑥ 存量迁移必须先备份、先出清单（R8 自律），⛔ 不删旧库 mcn-plugin.db。
✅ 不需拍板即可推进的部分（本棒主体）：9 张表读写切平台取数口 · 表名对齐（account_video_analysis → video_analysis，22 处）· hot_account_ext 新建读写（代码当前零引用）· 删 db.js 使红线 22 → 0 · 出包 0.5.0 · 建库与投放共享层 · 逐用户存量迁移（稳定键回填 · 幂等）· 两机代码面一致。
⏳ 做不完的部分（如实记「未达成」，⛔ 不许含糊过关）：实例内插件路由端到端读数（需 47 实例重启 ⇒ 待拍板㈠）· 106 运行面生效（⇒ 待拍板㈡）⇒ 与阶段一同样处理：逐条具名列出「现象 / 归属 / 下一步」。
⏳ 本线待拍板 4 项（⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 —— 为取「插件路由端到端」读数需重启该实例，会中断该在线用户（cce6d1cd-…，约 1–3 分钟）；㈡ 106 重启窗口 —— 共享层同步后生效（可与既有待重启面合批）；㈢ 删库重建是否授权 —— 不可逆（迁移前做代价≈0，迁移后做即丢真实数据）；㈣ json 列两案选型（值清洗 vs 改声明）⇒ 四项只登记在下方「⏭️ 本线后续」，到点由用户拍。
✅ 已排棒（2026-09-25 14:0x 第 26 棒收口时） = 第 27 棒 · 执行棒 = automation 28780b2e-d1e7-4f35-aa58-0d80c68df537（一次性 · scheduledAt = 2026-09-25T14:09 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒，不要重复登记。
📌 依据件：05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（唯一执行单）｜交付物/MCN数据面接入-阶段一-20260925.md（阶段一 A1–A7 读数＋三条平台侧缺陷）｜交付物/MCN数据面接入-阶段二-改造面清单-20260925.tsv（210 处逐处落点）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

原条目（第 26 棒 · 规划棒 · 追溯用）

📦 上一棒（第 25 棒 · 执行棒）已收官：阶段一纵向切片已落地（A1–A4／A6 达成 · A5 按单内预期未达成 · 3 项未闭合）。逐条读数 ⇒ §0 最新行 ＋ 交付物/MCN数据面接入-阶段一-20260925.md。 ⏹️ 下方第 25 棒条目（及更早的）仅供追溯，⛔ 不要按它们开工 —— 阶段一的内容已全部落进交付件。

🎯 本轮只做一件事：出「MCN 数据面接入改造 · 阶段二」交接单（只出单 · 零落地 · 8 段必填） —— ⛔ 不 ssh 改服务器 / 不 scp / 不投放 / ⛔ 不改 D:/github/dsh_shenxian/src/** / ⛔ 不重启任何服务 / ⛔ 不 commit·push。可读 D:/dshworkspace/plugin_package/dsh-plugin-mcn-suite/（只读）。
单子必须写全的四件事：① 其余 9 张表（含拆表后的 hot_account_ext）的读 / 写路径改造口径 —— 真实改造面 = SQL 调用点 222 处（index.js 94／imports.js 51／db.js 37／workshop.js 26／data.js 11／client.js 2／video-tools.js 1），逐表给落点与改写法；② 存量迁移口径（稳定键回填＋旧库备份在位判据＋回滚零数据损失＋「先备份先出清单」的 R8 自律）；③ 🔴 json 列处置（阶段一实测 4 列共 17 行存量非法 JSON ⇒ 定「值清洗」vs「改声明为 text」两案；⚠️ 后者因 alter_type 是平台禁令必须删库重建，故单内须先只读取证「平台是否提供插件库 drop / 重建口」 —— 无口则列入待拍板）；④ 删 db.js 使红线 22 → 0 的收口判据（A5 转绿）。
🔴 必须继承的实测事实（⛔ 别照抄旧记数）：物理表名 ≤ 20 字符｜bigtext 往返不守恒（禁用）｜建库口 body 参数名 = id（⛔ 非 pluginId）｜datastore 只落 created，migrate 才是 ready｜红线 22｜SQL 调用点 222｜hot_accounts 24 列＞上限 20（已拆为 hot_accounts ＋ hot_account_ext）。
🔴 阶段二 ⛔ 不做什么：不改 UI / ⛔ 不改 src/**（阶段一暴露的三条平台侧缺陷只报告，属另线）/ ⛔ 不重启 106 / ⛔ 不 commit·push。
⏳ 本线待拍板 3 项（⛔ 不在接续棒内自决）：㈠ 47 实例重启窗口 —— 为取「插件路由端到端」读数需重启该实例，会中断该在线用户；㈡ 106 重启窗口 —— 共享层同步后生效；㈢ 若阶段二需删库重建，是否授权 —— 不可逆。⇒ 三项只登记在下方「⏭️ 本线后续」，到点由用户拍。
✅ 已排棒（2026-09-25 13:4x 第 25 棒收口时） = 第 26 棒 · 规划棒 = automation 2714f440-28dd-49b8-b03f-28b6905328d8（一次性 · scheduledAt = 2026-09-25T13:53 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒，不要重复登记。
📌 依据件：交付物/MCN数据面接入-阶段一-20260925.md（阶段一 A1–A7 读数＋三条平台侧缺陷＋ json 列地雷面）｜D:/github/dsh_shenxian/dsh-server-docs/05-交接单/插件投放与分库线-02MCN数据面接入改造.md（附录 A 阶段划分）｜08-规范/08-插件开发与对接规范.md §3＋§4-补｜03-数据库/DB-03-插件数据面规范.md §三·§五。

🗃️ 已收官（第 25 棒 · 执行棒 · 2026-09-25 13:10–14:1x）

✅ 阶段一纵向切片落地：声明 11 表 → 上传 0.4.0 → plan(25) → datastore(created) → migrate(ready) → 共享层 replaced；台账 state=ready／plan_hash 58226942…／对账 clean:true。包 sha256 96f67039…（1,962,024 B／324 件）；声明 sha256 9425c953…（7,391 B）。
✅ A3 account_videos 平台读回 36 = 本地 36（前三 aweme_id 逐字一致）＋游标翻页严格递增；account_persona 2/2。A2 available:true 11 表全在列。A4 五拒全 bad-args／缺身份头与非法包名 400／0 行返回 {ok:true,value:[]}；归属列内核强制注入。
🔴 三处实测修正：㈠物理表名 ≤ 20 字符（validateDecl 不查 ⇒ 上传才 500）⇒ account_video_analysis → video_analysis；㈡ 🔴 bigtext 往返不守恒 ⇒ 状态永久 blocked ⇒ 插件永远启不了（事故级） ⇒ 三处改 text；㈢ body 参数名 id；datastore→created、migrate→ready。
🔴 阶段二硬阻塞：4 个 json 列共 17 行存量非法 JSON（纯 Markdown）⇒ 22P02 invalid input syntax for type json；非法值返回 reason:"disabled" 语义误导。
⏳ 未闭合 3 项：插件路由端到端未取读数（实例仍载 0.3.15，启动早于替换 ⇒ 待重启）｜106 共享层未同步｜A5 红线仍 22。
卫生：⛔ 未改 src/**（本棒窗口内 0 改动，实测 src/ 最晚 mtime 12:20:57 ＜开工 13:10）｜⛔ im.ts 零改动｜⛔ 未手改用户 home profile/.pnpm｜⛔ 未重启 106｜⛔ 未 commit·push｜✅ 未迁存量（种子读回后全删）｜✅ 临时会话 10→0、47 /tmp/p25* 残留 0。
📄 交付物/MCN数据面接入-阶段一-20260925.md｜探针 tmp/p25/s9b–s9e.sh。

🗃️ 已收官（第 24 棒 · 规划棒 · 2026-09-25 12:5x–13:0x）

✅ 只出交接单，零落地 ⇒ 交接单 = dsh-server-docs/05-交接单/插件投放与分库线-02MCN数据面接入改造.md（21,787 B / 220 行；docs-audit.py rc=0；行尾纯 LF；占号 = mkdir 05-交接单/.lock-02 原子）。登记 = 05-交接单/README.md §一 新增一行。
🔴 三处实测修正（后棒一律以现算为准）：㈠红线命中 22（旧记「21 处」）㈡ 真实改造面 = SQL 调用点 222 处（index.js 94 ／ imports.js 51 ／ db.js 37 ／ workshop.js 26 ／ data.js 11 ／ client.js 2 ／ video-tools.js 1）㈢ hot_accounts 24 列＞平台上限 20 ⇒ 必须拆表（单内 D2-c）；其余 9 表列数 3–17 合规。
✅ 待拍板项 = 0 条（拆表 / scope / 主键三分类 / JOIN·OFFSET·聚合改写全属技术项；存量数据处置 = 「先备份＋先出清单」的 R8 自律项）。
卫生：⛔ 未 ssh / 未 scp / 未改码 / 未投放 / 未 commit·push；⛔ 未改 D:/dshworkspace 任何文件（只读）；⛔ 未改 src/**；⛔ 未重启 106。
🟡 附带发现（⛔ 未动）：handoff-guard.sh 的 _ANCHOR_SEGS 与 lock-guard-hook.py 的 _DOMAIN_SEGS 内容不一致（两侧对本棒 4 个路径复算结果一致 ⇒ 本棒锁有效）；⛔ 未修跨库脚本，留作单独排棒议题。

原条目（第 24 棒 · 追溯用）

📦 上一棒（第 23 棒）已收官：跨机错误消息放宽已投两机（三方 md5 一致 · 47 已重启生效）＋ §5-18 取证到手（转为可拍板）＋ §5-22 定性完成（本线无活缺口）。逐条读数 ⇒ §0 最新行 ＋ 交付物/跨机错误消息放宽与两项只读取证-20260925.md。 ⏹️ 下方第 23 棒条目（及更早的）仅供追溯，⛔ 不要按它们开工。

🎯 本轮只做一件事（规划棒 ⇒ 只出交接单，⛔ 不动码、不 ssh 改服务器、不 scp、不重启、不改 D:/dshworkspace 下任何文件）：
第 1 件 · §5-9 MCN 数据面接入改造 —— 出交接单（8 段必填：目标 / 只读前置 / 范围 / 决策点 / 步骤 / 验收 / 回滚 / 回报格式）：把 MCN 插件的读写从自建 SQLite 改成走平台取数口 /api/im/data/*（当前红线扫描 21 处 SQLite 建表；位置 D:/dshworkspace/plugin_package/dsh-plugin-mcn-suite/lib/db.js）。这是本线 P1「admin 上传插件 ⇒ 建该插件独立的库并完成对接」的最后一个真实用户（数据面代码面 09-23 起已全通、运行时取数口 09-25 已上线并真机 7/7）。
- 只读前置（交接单必写全）：① 08-规范/08-插件开发与对接规范.md（dsh.data.yaml 必须由 package.json 的 dsh.data.schema 指向且 files 带上）② 数据库/DB-03-插件数据面规范.md §五（主键 = (归属列, 声明第一列)、存量表自增 id 不可照搬）③ sdk/im-plugin-client/（插件侧零依赖 REST 面）④ 真机取数口契约（/api/im/data/* 四拒 + 409 no-declaration）⑤ MCN 包当前 21 处 SQLite 建表的逐处清单（读 lib/db.js 为主）。
- 🔴 落地顺序硬约束（第 15 棒已立）：带声明的新版必须先建库再投放（否则平台判"有数据面"⇒ 未建库时所有用户都启不了）。
- ⛔ 本棒不许：改 D:/dshworkspace 下任何文件（只读）｜改 src/（平台侧已通）｜投放任何插件版本｜commit / push。
✅ 已排棒（2026-09-25 12:4x 第 23 棒收口时） = 第 24 棒 · 规划棒 = automation 95874886-f28e-44d8-83a0-606cc27f8ef1（一次性 · scheduledAt = 2026-09-25T12:53 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）。⛔ 本线同时只挂一个棒，不要重复登记。
📌 依据件：交付物/跨机错误消息放宽与两项只读取证-20260925.md（第 23 棒三件判据链＋取证结论＋ 4 条边界＋复现命令）｜交付物/插件数据面-运行时取数口落地-20260925.md（取数口）｜交付物/建库口接线-B档落地-20260923.md（建库口）。

🗃️ 已收官（第 23 棒 · 执行棒 · 2026-09-25 12:1x–12:4x）

✅ 三件全做完（判据 ①②③ 全绿＋两项取证到手）⇒ 逐条读数见 §0 最新一行 ＋ 交付物/跨机错误消息放宽与两项只读取证-20260925.md。
🎯 本轮做三件（1 件小改＋ 2 件只读取证，全部不阻塞、不碰生产风险面）：
第 1 件 · §5-12 跨机错误消息截断放宽（P2 · 小改）：src/supervisor/remote-spawner.ts 里 Error(... text.slice(0, 200)) ⇒ Manager 侧任务 detail 只能看到半截（第 17 棒靠 worker 侧 journald 才补齐证据）。判据 = ①改为 ~1200 字符 ②单测钉住"长错误消息不被截到 200"（含边界：恰好 1200 / 超过 1200）③npm run build rc=0 ＋ npm test 无新增失败＋ check:layering 无新增违规。⚠️ 投入 47/106 两机（两机共用同一文件），⛔ 不改语义、⛔ 不顺手重构 remote-spawner。
第 2 件 · §5-18「清理前必查」只读取证（为拍板提供依据 · ⛔ 不执行清理）：§5-18 的三条人工兜底软链（node_modules/{xlsx,react,react-dom} → .dsh-module-fallback → 共享层）是否该清目前卡在"不知道有没有代码真依赖它"。本轮只回答这个问题：在该实例的 profile 内（即那个已启用 mcn-suite 的 admin 实例）查"是否真有代码 import/require 这三个包" —— 判据 = ①列出命中文件与命中处（含路径行号）②区分"包自己声明的依赖"与"顶层兜底"③给出结论句：有真依赖 / 无真依赖 / 无法判定（并写清"无法判定"的边界）⇒ 让 §5-18 从"待拍板"变成可拍板。⛔ 只读：⛔ 不删任何软链、⛔ 不改 profile、⛔ 不动 .pnpm。
第 3 件 · §5-22 本机 lib ↔ 部署面 3+7 差异定性（只读取证）：本机 D:/github/dsh_shenxian/lib（09-25 11:44 构建）与两机部署面在 3 件运行时 .js ＋ 7 件本机独有上不同。本轮定性（⛔ 不投任何件）：① 那 7 件（im/gateway-token.{js,d.ts,js.map}、web/essential-plugins.{d.ts,js.map}、web/routes/plugin-data.{d.ts,js.map}）是否被任何代码 import（在两机部署面上 grep 判据）⇒ 分"死件（无人引用）/ 活件（有人引用 ⇒ 线上缺件 = 真缺口）"② 3 件运行时 .js 判谁更新（本机源码 vs 两机部署面的体积/内容特征 + 代码仓 git log）③ 产出结论表并据此建议：哪些属"IM 线未投放件（不归本线）"、哪些属"部署面缺件（本线可补）"。⛔ 本件只出结论，不落地；若要投，另排棒。
🔴 本棒 3 条环境事实（第 22 棒新增 · ⛔ 别重复踩）：① 两机代码根不同名（47 = /opt/dshs、106 = /opt/dshs-cluster）⇒ 比对一律用相对各自 lib 根的路径 ② 两机 lib 树里各有部署备份残留（47 侧 21 条 / 106 侧 12 条，形如 .s3bak-*/.s0bak-*/*.bak-*）⇒ 一致性判据只在代码面上要求归零（tmp/p22-verify.py 已按此口径，rc=0）③ 106 只有 dshs-worker.service（无 dshs.service），但其入口 cli.js 顶层静态 import 了 db/index.js 与 web/server.js（14 条 routes）⇒ web/db 层也在 106 的模块图内，⛔ 别再说"106 用不到 web 层"。
⛔ 本棒不许：commit / push；⛔ 改 src/web/routes/im.ts；⛔ 无真机读数宣称通过；⛔ 手改用户 home 下的 profile / .pnpm；⛔ 重启 106（中断在线用户 ⇒ 待用户给窗口）；⛔ 顺手清 .dsh-module-fallback 人工软链（§5-18 待拍板 —— 本轮只取证）；⛔ 把"取证"扩成"顺手清"或"顺手投"；⛔ 改 D:/github/dsh_shenxian/lib（本机构建产物属别处，只读）。
✅ 已排棒（2026-09-25 12:1x 第 22 棒收口时） = 第 23 棒 · 执行棒 = automation cea5b3d4-fb27-49ae-a94d-db21c5fb2e60（一次性 · scheduledAt = 2026-09-25T12:18 · cwds = E:/ProgramData/AIProject/aliyun-dsh-server）；域 = 第 1 件改码走 src/supervisor（preflight 实测），入口文件域按既有锚点算法（见 §5-13）⇒ ⛔ 本线同时只挂一个棒，不要重复登记。
📌 依据件：交付物/跨机错误消息放宽与两项只读取证-20260925.md（本棒＝第 23 棒的三条判据链＋ 46 件/7 件清单＋复现命令＋未闭合项）｜上一棒（第 22 棒）＝ 交付物/两机lib差异面核对与106补齐-20260925.md。

🗃️ 已收官（第 22 棒 · 执行棒 · 2026-09-25 11:58–12:1x）

🎯 本轮只做一件事（✅ 已做完 · 文件面）：47 / 106 两机 lib/ 差异面核对与补齐 —— ✅ 收官读数：① 判据① 全量逐文件 md5 —— 47 389 件 / 106 357 件，逐字一致 322、内容不同 23、仅 47 有 44、仅 106 有 12 ⇒ 差异面 79 条；判据口径（本棒立）= 两侧各有部署快照残留 ⇒ 只在代码面上要求归零 ⇒ 代码面差异 46 件（21 运行时 .js ＋ 25 声明/映射）＋ 33 条备份残留（⛔ 不投不删）。② 判据② 106 全量备份 106-pre-p22-20260925-120615.tgz（sha256 9612e4c0…）＋改前指纹清单；47 打包 46 件（1ac3922c…）⇒ 传输 md5 一致 ⇒ rc=0 ⇒ 件数 357→380、新目录 root:root 755 ⇒ 重采 代码面 368=368、差 0、缺 0（p22-verify.py rc=0）。③ 判据③ 待重启 = 46 件全部（106 worker 起于 09:52:11；cli.js 顶层静态 import db/index.js ＋ web/server.js(14 routes) ⇒ 全在模块图内、改盘对运行进程影响 0）。④ 新发现（⛔ 未动 · 已排 §5-22）：本机构建产物 ≠ 生产部署面（3 件运行时 .js ＋ 7 件本机独有，两机缺的是同一批）⇒ 后棒 ⛔ 别拿本机 lib 当基准；106 的 business-plugins.js 落后 = 缺第 17/19/21 棒三轮改动。⑤ 卫生：⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 未手改用户 home、⛔ 未重启 106、47 侧零改动。
⛔ 未闭合（⛔ 不得据本棒宣称运行面验收通过）：① 106 未重启 ⇒ 运行面生效未验证 ② 本机独有 7 件未投（属 IM 线投放面）③ 两侧 33 条备份残留未清（不可逆＋别处历史留档）。
📌 依据件：交付物/两机lib差异面核对与106补齐-20260925.md（三条判据链＋ 46 件逐件指纹＋复现命令＋回滚）。

🗃️ 已收官（第 21 棒 · 执行棒 · 2026-09-25 11:35–11:5x）

🎯 本轮实质只做一件事（✅ 已做完）：共享层台账两条语义缺陷（§5-10 ㈠㈡） —— ✅ 收官读数：① 一条纪律 = 写进台账的值必须从盘上实体现读（⛔ 不信上游副本）⇒ 三函数（packageVersionAt / rollbackAssetPath / packSharedTree）＋ doShare 两处接线（version 改取 incoming 解出来的真值；替换前把旧目录打成 <上一版真值版本>.tgz，并新增 rollbackTgz 字段 ⇒ 与 backupTgz「当前版本快照」分成两个事实）＋ 新口 POST /api/plugins/shared/reconcile（㈠的存量只能靠"拿盘上真值回写清单"收口，且必须是显式动作——/mine 是用户面高频口，⛔ 不能把全量指纹现算摊给每个用户）。② 判据①：47 上制造真实脱钩（storyforge version 0.3.0→0.2.0）⇒ 干跑 checked=4 fixed=1、走平台口 HTTP 200 修回 0.3.0、管理面四包全对；与备份逐字 diff 唯一差异 = updatedAt（预期：自愈也是一次写入）；幂等复核 fixed=0 且清单 md5 前后不变。⚠️ 字面动作"跑一次 share"未做（幂等分支不动文件；替换分支要真发新版 ⇒ 改线上共享层内容）⇒ 等价替代已足，如实声明。③ 判据②：106 连续两轮 missing:[] stale:[] extra:[]（asOf 间隔 3.4 s）⇒ ⛔ 不再 stale／反复重拉。④ 判据③：既有素材 0.3.14.tgz 内容版本 = 0.3.14（名实相符）；packSharedTree 在真共享层包上跑 ⇒ 产物内容版本 0.3.15、ARCHIVE_NODE_MODULES_HITS=0（⛔ 不夹带依赖树）；❗完整替换路径未跑通（47 各包在备份面已有同名素材 ⇒ 打包分支被"已存在则跳过" ⇒ 见 §5-20）。⑤ 判据④：test/shared-layer-sync.test.mjs +5 例。门禁：npm run build rc=0｜npm test = 589 tests / 587 过 / 0 败 / 2 跳过（第 20 棒 584）｜check:layering ✅ 无新增违规。⑥ 部署与卫生：47 一件（lib/web/routes/business-plugins.js，md5 3a752e01e4f16b4e6d6c47c305362a51 与本地逐字一致）＋ restart dshs（active · NRestarts=0 · 门户 200）；新口无凭据 ⇒ 401。备份 /opt/dsh/backups/lib-p21/（47-pre-p21-20260925-114554.tgz ＋ manifest-pre-p21.json）。47 /tmp 残留 0、临时 admin 会话删 1 条（残留 0）。⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 未手改用户 home。⑦ 🔴 新发现（⛔ 未动）：106 的 lib/web/routes/business-plugins.js 落后好几个版本（106 70d5c0f2… 114041 B / 47 投前 4109ba34… 124222 B）⇒ 本棒只投 47（改的是 Manager 侧台账逻辑，106 是 worker；⛔ 不擅自改别处部署面），已排 §5-21。
⛔ 本棒不许（已遵守）：commit / push；⛔ 改 src/web/routes/im.ts；⛔ 无真机读数宣称通过；⛔ 手改用户 home 下的 profile / .pnpm；⛔ 把"台账口径修复"扩成"顺手重构 doShare"；⛔ 顺手清 .dsh-module-fallback 人工软链。
📌 依据件：交付物/pnpm-EPERM根因与越权软链修法-20260925.md（上一棒）＋ 交付物/共享层台账语义缺陷修法-20260925.md（本棒四条判据链＋未闭合项＋复现命令）。

🗃️ 已收官（第 20 棒 · 执行棒 · 2026-09-25 11:0x–11:3x）

📦 上一棒（第 19 棒）已收官：第 1 件 ✅；第 2 件真机判据 ④ 具名拒绝 ✅ / ② 标记生效 ✅ / ① 默认播种 ✗（被 pnpm 挡住）/ ③ 门户 UI 未投放未取证。逐条读数＋ pnpm 根因新证据 ⇒ §0 ＋ 交付物/基础插件身份与回滚缺失侧-20260925.md。 ⏹️ 下方第 19 棒条目（及更早的第 18 棒条目）仅供追溯，⛔ 不要按它们开工。

🎯 本轮实质只做一件事（✅ 已做完）：pnpm exit 255 可见化＋根因修复（P0）。（原第 2 件"基础插件"已于规划侧收口，见下方，⛔ 不必再动代码。） ✅ 收官读数：真机原文 = EPERM: operation not permitted, chmod '…/node_modules/xlsx/bin/xlsx.njs'（pnpm linkBin）；根因 = 顶层未声明软链（xlsx/react/react-dom → .dsh-module-fallback → 共享层 root 属主实体）被 pnpm 无脑 chmod ⇒ 非属主 EPERM。修法 = quarantineSharedLayerLinks / restoreQuarantinedLinks / withQuarantinedLinks（跑 pnpm 时改名移开、finally 放回）＋ pnpmDiagArgs / pnpmDiagRerun（失败自动补 --reporter default 重跑）。真机：APPLY_OK｜DEPS 4 MISSING []｜隐藏项残留 0｜三条软链原样在盘｜对照组仍 255 同一条 EPERM。门禁：build rc=0｜584/582/0/2｜分层无新增违规。部署 47 一件（3c10048a…）＋重启双单元（实例 rehydrate probe OK :20000）；106 只投不重启。⛔ 未 commit/push、⛔ im.ts 零改动、⛔ 未手改用户 profile。
🎯 本轮实质只做一件事：pnpm exit 255 可见化＋根因修复（P0）。（原第 2 件"基础插件"已于规划侧收口，见下方，⛔ 不必再动代码。）
🔴 2026-09-25 11:0x 口径澄清（用户原话：「dsh 自带的就是，admin 添加的就不是」） —— 真机核实两条：①「自带」可机器判定 = @deepseek-ai/dsh 自身声明的依赖（一整串 @deepseek-ai/dsh-*），而 @softspark 在 47 与 106 两机的 dsh 安装树 / 全局 npm 根零命中；② 业务插件台账全量 = 5 项（@dsh-local/im-conversation-tabs、@dsh-local/storyforge、@softspark/dsh-file-preview、dsh-plugin-mcn-suite、dsh-univer-office）全属 admin/平台添加 ⇒ 按口径基础插件名单 = 空。据此：@softspark/dsh-file-preview 的 essential 标记已撤销（真机 changed:true；台账复查 essentials 空；用户面仍可见、可自助启停）；判据 ①（默认播种）与 ③（门户 UI 无关闭入口）在名单为空时无主体 ⇒ 门户 0.3.26（含"平台基础插件"徽章）暂不投放（等名单里出现真项再随下次 UI 发版带上，产物留在 poc/business-plugins/dsh-local-business-plugins-0.3.26.tgz）；机制与 409 具名拒绝通道保留（第 19 棒已真机验证 ④）。
第 1 件 · pnpm exit 255（P0；本线 §5-16 与第 19 棒判据 ① 的共同堵点）：现状 = --reporter silent 零输出（真机 stderr=- stdout=-，12 s 内连续 4 次 ⇒ 在该 profile 上稳定复现，不是"偶发"）。第 19 棒已排除两块：权限（共享层链 755；uid 114801 对新旧包目录双读均通过）、残留（apply 失败后 dependencies 已回滚干净）。取得的新证据 ⇒ .modules.yaml 记 storeDir=<user>/ws/.local/share/pnpm/store/v3（HOME=ws 时代）而平台以 HOME=<user>/home 跑 pnpm（src/supervisor/plugin-assembly.ts:499）、<home>/.local/share/pnpm/store/v3 不存在 ⇒ 高度指向 ERR_PNPM_UNEXPECTED_STORE。🔴 同仓 scripts/ensure-biz-plugins.cjs:existingStoreDir() 早在解同一个问题（注释写明该错误码 / 档案 57）⇒ 正解 = 平台路径复刻该 store 口径（读 .modules.yaml 的 storeDir ⇒ 传 --store-dir；无 .modules.yaml 才落默认）。判据 = ① 失败路径补一次 --reporter default ⇒ 真机上必须打出 pnpm 真实报错原文；② 修后对存量（HOME=ws 时代建的）profile 跑一次 apply / off→on ⇒ 任务 success 且 dependencies ↔ node_modules 双向一致；③ 单测钉住 store 口径选择（有 .modules.yaml 用其值 / 无则默认）。
第 2 件 · 「dsh 自带 ⇒ 关不掉」是否成立 —— ✅ 已核实成立，⛔ 本项收口、不必改代码：装配入口对清单里每一项都查台账，不在候选池 ⇒ 404 not_in_pool（src/web/routes/business-plugins.ts:2299-2302）⇒ 用户即便自己构造请求去关 dsh 自带的包（它们都不在池里）也关不掉；门户清单又根本不渲染它们 ⇒ "默认开启、不可关闭"在 UI 层与接口层同时成立。⚠️ 顺带记两条（⛔ 本轮不动）：㈠整批请求里只要有一项不在池，整批都 404（合法启停会被连带拒掉，属小瑕）；㈡门户 0.3.26（"平台基础插件"徽章）暂不投放 —— 名单为空时它是死码，等名单里出现真项再随下次 UI 发版带上（产物留在 poc/business-plugins/dsh-local-business-plugins-0.3.26.tgz）。
~~第 2 件（旧）· 基础插件判据 ①③ 补齐~~ —— 因名单为空（口径澄清后台账 5 项全非 dsh 自带）⇒ 判据 ①（默认播种）与 ③（门户 UI 无关闭入口）已无主体；机制（essential 标记＋ 409 具名拒绝＋装配层结构性跳过）保留待用，第 19 棒已真机验证 ④。
🔴 本棒 3 条环境事实（第 19 棒新增 · ⛔ 别重复踩）：① pnpm 失败的真机取证在 worker 单元 —— journalctl -u dshs-worker | grep plugin-assembly 能拿到 code=255 uid=… cwd=… args=… stderr=- stdout=-（Manager 的 dshs 单元无此日志）；② 播种口 = POST /api/plugins/business/essential/sweep（admin；{userIds?} 省略 = 全部公开用户），标记口 = POST /api/plugins/business/:id/essential；⚠️ 标记后存量实例不会自动开，必须跑 sweep；③ 第 19 棒已把 @softspark/dsh-file-preview 真实发布到共享层（881 文件；回滚素材 /opt/dsh/backups/plugins/_softspark_dsh-file-preview/2.0.0.tgz）⇒ 按 D1 所有登录用户已可见，⛔ 别重复发布。
⛔ 本棒不许：commit / push；⛔ 改 src/web/routes/im.ts；⛔ 无真机读数宣称通过；⛔ 手改用户 home 下的 profile / .pnpm 绕过平台；⛔ 把"pnpm 修复"扩成"顺手重构 plugin-assembly"；⛔ 把"基础插件打标"扩成"顺手改别的插件的可见性"。
📌 依据件：交付物/基础插件身份与回滚缺失侧-20260925.md（第 19 棒两条判据链＋ pnpm 新证据＋未取证清单）。

🗃️ 已收官（第 19 棒 · 执行棒 · 2026-09-25 10:2x–10:5x）

📦 上一棒（第 18 棒）已收官：三件全做完（第 1 件判据 ①②③ 全绿、第 2 件成立并另报"缺失侧"、第 3 件五条 5/5）。逐条读数＋五条反证清单 ⇒ §0 最新行 ＋ 交付物/移动端字号扩面与共享层自足性转正-20260925.md。 ⏹️ 下方紧随其后的第 18 棒条目（第 1/2/3 件 · 环境事实 · 不许 · 依据件 · 待拍板）已全部完成或已被上一行取代，仅作追溯，⛔ 不要按它们开工。

🎯 本轮只做两件事：① 回滚残留的"缺失侧"（P0 · 小改） ② 基础插件「默认开启＋用户不可关闭」机制（§5-15 · 用户 09:3x 已拍板）。
第 1 件 · 回滚残留的"缺失侧"（P0，本棒实测致实例崩溃）：现状 = restoreProfile() 只做"删多余"（pruneOrphanDepLinks）、不重建缺失。第 18 棒真机实证：off 撞 pnpm 偶发失败 ⇒ package.json 声明还在、node_modules/dsh-plugin-mcn-suite 软链已被删 ⇒ 实例启动 Error: dsh: cannot resolve profile bundle "dsh-plugin-mcn-suite" ×5 → crash-loop-circuit-open（冷却 600 s）。判据 = 回滚后对声明中的 link: 依赖做确定性重建（纯 symlinkSync，不跑 pnpm、不碰 .pnpm 实体、不碰真目录）⇒ node_modules 与 dependencies 双向一致；单测钉住（缺链重建 / 已正确则 kept / 真目录不碰 / link: 之外一律不动）。
第 2 件 · 基础插件「默认开启＋用户不可关闭」（§5-15，用户已拍板）：第 0 步（⛔ 先做、不许跳） = 真机确证 dsh 自带插件清单（dsh 包内内置插件目录 / 声明；47 与 106 的 dsh 安装路径不同，各自核）—— ⛔ 别凭"应该是"推定范围。然后按 §5-15-② 的形态落地：台账/候选池加 essential 身份标记｜对每个实例默认播种（不依赖用户自助启用）｜关闭/卸载请求直接拒并回具名 reason（⛔ 不许静默失败、不许"点了没反应"）｜门户 UI 不渲染"关闭"并显式标注｜恢复 @softspark/dsh-file-preview（以基础插件身份重投，须先发布到共享层 —— 可见面变化，用户 09:3x 口径即授权）。判据 = 真机上：基础插件对新实例默认 enabled／关闭请求得具名拒绝且状态不变／UI 无关闭入口。
🔴 本棒 3 条环境事实（第 18 棒新增 · ⛔ 别重复踩）：① pnpm remove/install 在真 profile 会偶发 exit 255，而 --reporter silent 把全部原因吞掉 —— 五条假设已被实测反证（见 §0 第 18 棒 ④），复现时正解 = 给失败路径补一次 --reporter default 重跑；② 实例地址 = /api/dsh/status 直出的 https://admin.ai1net.com/?token=…；POST /api/dsh/launch 的 folder 必须是相对路径（resolveWithinRoot 拒绝对路径 ⇒ bad_path；"." = workspace 根）；③ 本机真机验收 = tmp/p17-visual.mjs（零依赖 CDP；环境变量 P17_SID/P17_URL/P17_CLICK/P17_CLICKS/P17_W/P17_H），压成读数用 tmp/p18-sum.py。
⛔ 本棒不许：commit / push；⛔ 改 src/web/routes/im.ts；⛔ 无真机读数宣称通过；⛔ 手改用户 home 下的 profile / .pnpm 绕过平台；⛔ 把"基础插件打标"扩成"顺手改别的插件的可见性"。
📌 依据件：交付物/移动端字号扩面与共享层自足性转正-20260925.md（第 18 棒三条判据链＋五条视觉读数＋五条反证＋未修清单）。
~~本轮只做一件事：把「共享层自足性」从探针转正（正式修法进铺装流程），然后补做移动端第 ④ 条（聚焦不缩放）~~。
第 1 件 · 共享层自足性转正（最重要）：现状 = 共享层目录 node_modules 里只有 react/react-dom/xlsx、零个 @deepseek-ai ⇒ 从共享层加载插件宿主代码时报 Cannot find package '@deepseek-ai/dsh-llm'（ERR_MODULE_NOT_FOUND）⇒ 实例 crash-restart ⇒ 探活判"实例未能启动"⇒ 插件被自动禁用。第 17 棒已用人工软链探针验证修法有效（<shared>/node_modules/@deepseek-ai → /usr/local/lib/node_modules/@deepseek-ai/dsh/node_modules/@deepseek-ai，240 个包），但下次 share 覆盖目录即丢。判据 = ① 删掉软链后重新 share ⇒ 共享层自带解析链（由铺装流程生成，⛔ 不是人工 ln -s）② 47 ＋ 106 两端都成立 ③ 重新启用 dsh-plugin-mcn-suite ⇒ 实例 [mcn-suite] loaded v0.3.14 且任务 success、rejected:[]。
第 2 件 · 回滚残留（P1）：restoreProfile() 只还原 package.json/pnpm-lock.yaml/cordis.patch.yml ⇒ 留下"依赖声明已撤、node_modules 软链仍在"的残影（第 17 棒实测该残影让实例崩过一次、随后自愈）。判据 = 回滚后 node_modules/<pkg> 与 dependencies 一致（或至少不残留无主软链）。
第 3 件 · 移动端第 ④ 条：工作台内唯一可见表单控件 SELECT.v1rksel（「全部赛道」赛道筛选）= 13px ⇒ 聚焦会触发缩放；移动端规则目前只覆盖 .mcnNav_input/.mcnNav_select/.mcnNav_textarea ⇒ 扩到插件全部表单控件后重跑五条。
🔴 本棒新增的 4 条环境事实（⛔ 别重复踩）：① 共享层缺平台包 ⇒ 实例 crash-restart（证据在 journalctl -u dshs-worker | grep -E "crash-restart|dsh-child main"）② worker 是独立 systemd 单元 dshs-worker.service，日志与 dshs.service 不通（第 16 棒只查了后者 ⇒ 全部证据被漏掉）③ 实例地址 = /api/dsh/status 直出的 https://admin.ai1net.com/?token=…；带 admin sid 的 curl 走 127.0.0.1:3080 ＋ -H "Host: ai1net.com" ④ 本机真机验收 = tmp/p17-visual.mjs（零依赖 CDP，Node 22 自带 WebSocket；环境变量 P17_SID/P17_URL/P17_CLICK/P17_CLICKS/P17_W/P17_H）。
⛔ 本棒不许：commit / push；⛔ 改 src/web/routes/im.ts（IM 线 D 单判据 2 冻结该文件 diff）；⛔ 做 MCN 数据面接入改造（单独立项）；⛔ 无真机读数宣称通过；⛔ 把"人工探针软链"当成最终修法；⛔ 手改用户 home 里的 profile / .pnpm 绕过平台。
📌 依据件：交付物/P0修通与移动端真机验收-20260925.md（三条 P0 判据链＋五条视觉读数＋复现命令＋未修清单）。
⏸️ 一项等你拍板（已写进 §5 后续）：@softspark/dsh-file-preview 被本轮的"全量关闭"复现动作一并关掉，又因不在共享层而从用户面清单消失（平台内已无法自助重开）。恢复必须先发布到共享层，但那会让所有登录用户都能看见并自助安装 ⇒ 属可见面变化，本棒未擅自做。

本会话已核实的事实

#	事实	来源
1	一插件一库已拍板：库名 `dshs_pl_<pluginId>`，全部建在同一个 PG 13.23（47 · `127.0.0.1:15432`）；库内归属列 `user_id` / `room_id` 强制	定稿 `dsh-server-docs/架构设计/数据-分库与权威存储架构.md`；2026-09-22 用户拍板
2	插件数据面实现为零：47 的库内 13 张表全是内核表，`p_*` 零命中；`src/db` 无对应模块	2026-09-22 实测
3	分发现状 = admin 导入候选池 → 用户在实例「功能管理」自助启用；安装动作 = 实例内 `pnpm add file:<tgz>`	`src/web/routes/business-plugins.ts:625-651`
4	跨机那条腿是断的：`/api/dsh/restart` 的 handoff 已停写（只留日志）⇒ 装不到 worker 上实例	`src/web/routes/dsh.ts:149-175`（本会话核实）
5	端侧（桌面壳 / 设备）没有插件投放通路，目前只有"设备登录接入"	序㊻范围
6	版本一致性已有档案：候选池同名替换 + 版本对账	`调整方案/144-插件规模化投放与版本一致性.md`
7	多节点投放与数据面已有档案：路 A / 路 B、worker 自举、目录权限 711	`调整方案/147-多节点形态下的插件投放与数据面.md`

⚠️ 与既有硬说明的关系：记忆里那条「投放业务插件只有一种方式：admin 导入候选池 → 用户自助启用（不铺 profile）」说的是启用语义；本线的 P3 是包分发面（把包铺到各节点 ≠ 替用户铺 profile）。规划棒须把这两层分清，⛔ 不要当成"推翻既有说明"。

§3 技术方向 · 已拍板口径（用户原话，2026-09-22 13:2x，⛔ 不得改写）

「c 全员默认可见，需自己开通，服务器上所有用户共享只读插件库，不会每个用户分发一份，使用中数据入库，文件保存到用户插件文件夹下对应插件名称的路径中」

拆成四条硬口径（规划棒 ⛔ 不得自行改档）：

D1 可见性：候选池里的插件对所有登录用户默认可见；开通由用户自己点（沿用 /api/plugins/mine/apply）⇒ ⛔ 不采用"默认安装到所有实例"
D2 包共享：服务器上一份只读插件库供所有用户共享，⛔ 不给每个用户复制一份
D3 数据：使用中产生的数据走库（按插件分库 dshs_pl_<pluginId>，见 §2-1 定稿）
D4 文件：用户侧文件落 「用户插件文件夹 / <插件名称> / …」（目录真身须现场核实，见 §5-3）

📌 2026-09-22 16:3x 补（只记实况，⛔ 未改上面口径）：两条待拍板已闭合 —— ① 共享包库版本策略 = 只保留最新一版（用户原话「1 B」）② D4 落点 = <userRoot>/home/.dsh/plugins/<pluginId>/（口径已对齐：用户说的就是平台用户自己的目录；落点由规划棒自决，可推翻）。详见交接单 §4.1 D-i / D-j 与 §4.2 注；执行棒以交接单 §五为准。

技术方向（可推翻，逐条对应上面）：

包分发：admin 上传后由平台／worker agent 铺到每个节点的共享只读包点；实例侧只引用、不复制。
- 首选实现 = 共享只读 pnpm store（节点级 store-dir，o+rX；node_modules 走硬链／符号链接）⇒ 实体一份、链接多份，天然满足 D2；注意硬链要求同一文件系统。
- 备选 = 解包到共享目录后 symlink 进 profile。
- ⛔ 禁止把 tgz 实体复制进各用户 profile（这正是 D2 明令否掉的形态）。
不依赖 handoff：包已在节点本地 ⇒ 安装动作不需要"重启后执行命令"那条链（跨机 handoff 已停写，见 §2-4）⇒ 也⛔ 不必给登录用户开命令口。
建库是平台侧动作（不在实例内）：上传钩子里 CREATE DATABASE dshs_pl_<pluginId> ＋迁移登记；粒度沿用定稿（默认独立 database，schema 档留作备选）。
端侧先只做可见性：端侧设备访问同一个平台 API ⇒ 只管"访问得到"，不要求端侧本地装包。

§4 P4 粒度：已拍板 = 候选 C（2026-09-22 13:2x）

原三案存档（供追溯）：A 全员默认安装｜ B 逐用户自助启用｜ C 折中。

定案 = C，且用户把 C 的语义收窄为「全员默认可见、需自己开通」：

⛔ 不采用 A 的"默认安装"（不把内存/磁盘代价摊到所有实例）
⛔ 不加 admin 侧的"默认启用"标记（用户未要求，开线棒提过，已按用户口径去掉）

⇒ 规划棒：这一项不再出候选，只管把 C + §3 的 D1–D4 落成可执行方案。

§5 下一棒要做什么

🔄 2026-09-23 更新：本节原有内容（规划棒口径）已由规划棒①执行完毕（交接单已产出并跑完执行棒①的 S1/S2）。当前执行依据改看 §0 最新一行 ＋下方「⏭️ 本轮动作」。

⏭️ 本轮动作（第 9 棒 · 规划棒 · ✅ 已收官 2026-09-23 10:0x）＝跨机可见性状态回流（缺口立项）

✅ 第 9 棒已收官（设计件 交付物/跨机可见性状态回流-设计件-20260923.md ＋三门基线复验全过＋交接单 §五 S6 已知边界登记，见 §0 2026-09-23 10:0x 行）⇒ ⛔ 不要重做。 ✅ 第 8 棒已收官（部署 47/106 ＋ S5-E ①–⑤ 全 PASS ＋ S6-E ①③ PASS／② 只记事实＋修掉 pg_dump env 真实缺陷，见 §0 2026-09-23 09:5x 行；落地件 交付物/S5-S6真机E2E验收-20260923.md）⇒ ⛔ 不要重做。 ✅ 第 7 棒（S5-a ＋迁移前备份＋ S6 三段式 UI）、第 6 棒（S3 跨机装配）、第 5 棒（三份文档回写）、第 4 棒（建库口接线）同样已全部落地 ⇒ ⛔ 不要重做。

⏭️ 下一棒（⛔ 未登记 —— 等用户拍板）：

🔴 接续点 = 用户对「跨机可见性回流的通路形态」拍板（候选 A 主动拉／B 共用台账／C worker 上报，优缺点见设计件 §三）。拍板到手后，排**「跨机可见性状态回流」执行棒**。 ⛔ 本轮不登记下一棒：拍板项未定 ⇒ 按用户级记忆「要用户拍板的，等拍了再新建接续会话」——先判"是不是要拍板"，命中即停，⛔ 不得因"候选排序看起来有优劣"就自决登记。 ✅ 已解决的待拍板项（装配协议）见本节末「⚠️ 已拍板待落地」 —— ⛔ 该条退出待拍板清单，拍板前禁令随之解除（禁令仅针对"未拍板就改"，不针对落地）。

⛔ 开工前仍须遵守（2026-09-25 第 14 棒更新）：DSHS_SHARED_CATALOG_PUBLIC 及其路由 /shared/catalog 已在第 12 棒整条撤除 ⇒ ⛔ 不存在"开不开"的问题了｜跨节点内容分发已于第 14 棒落地（§5-2 / §5-8 闭合）。当前本线无未开工的既有条目；新条目出现时按本节规则排棒（收口＋ 5~8 分钟、本线同时只挂一个棒）。

要求：判据给「命令＋期望输出＋退出码」。

⚠️ 已拍板待落地（用户 2026-09-23 拍板 · ① ② ④ 已落地 ✅，③ 已实测撤销）

🔴 装配协议 = 采用 link:（推翻原 D-h file:）。用户原话：「按照建议处理」。 落地范围（4 处）现状： ① ✅ 已落地 —— src/supervisor/plugin-assembly.ts 新增 depRefOf()（file: → link:）＋ business-plugins.ts 4 处 fileRef 同步；npm run build rc=0 ｜ npm test = 450/448 过 / 0 败 / 2 跳过 ｜ check-layering ✅ 无新增违规。两机已部署（47 /opt/dshs ＋ 106 /opt/dshs-cluster，md5 逐字一致 fe5162ec…／ed507b7a…）＋ restart 完成（门户 200 · worker 401）。 ② ✅ 已落地 —— 交接单该文档 file: 描述已改（含 §9.3 整节改写＋新增 S3-E 真机复验段）。 ③ ⛔ 已撤销（实测证伪，⛔ 别再做） —— 全平台扫描：带依赖的实例只有 1 个，5 条依赖全是 file:…tgz（.tgz 型 0 条目录型），且只有 1 条能在共享层找到对应目录 ⇒ 原「把 4 条改写成共享层引用」会让 4 条依赖悬空 ⇒ 实例崩。成因 = 那 4 个包是平台自研核心组件、从不进共享层。⇒ 迁移在真实数据上不成立，等这些包进共享层再议。详见交接单 §9.3。 ④ ✅ 已落地 —— 47 真机复验（applyProfileChanges 真实入口）：profile 写入 link:/var/lib/dshs/bundled-plugins/dsh-plugin-mcn-suite ✓｜node_modules/<pkg> = 软链 ✓｜软链目标回溯直达共享层（非复制）✓｜软链本体 54 字节 ＋ .pnpm 8.0 K ✓｜用户身份下可读 ✓｜反证 plugin_bundle_missing 原子抛错 ✓。对照 file: 的 6.5 MiB / 116 文件 ⇒ 量级差约 1000 倍。探针用户已回滚（dependencies 回空、软链已移除）。 ⚠️ 残留一条待补（不阻塞）：106 侧跨机那条腿 —— 106 上当前无带插件的用户实例可复验（其用户 profile 无依赖），等 106 有用户启用插件时按 S3-E ④⑤⑥ 原命令补一次即可。装配实现两机共用同一份 md5，不因此判 S3 未完成。 ⚠️ 跨机前提：软链目标必须是两机同路径的共享层（现为 /var/lib/dshs/bundled-plugins/<flat>，两机同名 ✓）；⛔ 若将来两机路径分叉，link: 会比 file: 更脆 —— 已写进 depRefOf() 注释。⚠️ 注意 /opt/dshs（47 代码根）与 /opt/dshs-cluster（106 代码根）两机不同名不影响 link: —— 共享层路径才是 link: 的目标。

⏭️ 本线后续（⛔ 本棒不预登记队列）

✅ 【第 32 棒立 · 2026-09-25 19:4x 用户拍板 = A 案 · 已转第 33 棒执行】 第三批要搬的三张表全部切不了档，卡在两个"改不动"的地方 —— 要你定的是：插件里的「账号」和「视频」改用平台数据库存放之后，拿什么东西当它们的唯一编号；以及一条正文列的容量上限该提到多大。 为什么需要你定：新版本插件一旦投放到候选池，所有登录用户都能看到并启用；而这两个改法都要动已经在跑的插件表结构，按平台规矩改结构只能把表删掉重建（删了回不来）。不改的话，这几张表就只能继续留在用户本机，平台数据面这一批做不完。 A 案（用户已选 ✅）：给账号和视频各补一个"编号位"，并把那条正文列上限从 30 KB 提到 100 KB 以上。（优点：三张表都能搬、这一批能一次做完、回滚点清晰；缺点：要动表结构 ⇒ 需一次删表重建，约 10–20 分钟该插件数据不可用） B 案：这一批只搬「视频总表」一张（它没有上述两个问题），另两张留到以后。（优点：完全不动表结构、零不可逆操作、可立刻继续；缺点：另两张的读写仍留在用户本机、跨机看不到，后面还要再排一轮） C 案：这一批整体打住，先把「视频总表」这一张走到最后收口。（优点：改动面最小、风险最低；缺点：本批最初"三表一起切"的目标没达成，等于把主战场往后推） ❌ 已作废（B / C 未选）；用户原话 = 「A」（2026-09-25 19:47）。⇒ 随 A 案授权：一次删库重建（不可逆）；⛔ 不含㈢ json 列改声明（另一件事，仍待拍板）。 ⚙️ 技术附录（供执行棒）：甲 = account_videos / hot_accounts 平台声明面无自增 id，前端以 row.id 为主标识（lib/client.js:3456／3675／3714／3782／4579／4669）｜乙 = account_video_source 18/39 行超 maxBytes: 30720（最大 94,889 B）＋ 5 组重复 aweme_id ⇒ A1 match=false、平台侧只剩 18 键。逐条读数与复算命令 ⇒ $WS/交付物/MCN数据面接入-阶段二-第三批阻塞取证与存量迁移-20260925.md §四 · §五 · §六。⇒ 转第 33 棒执行（automation 534dc721-080c-4a4b-8e72-ad48ec596c77）。
🟡 【第 22 棒新增 · 只报告】两机 lib 树里的 33 条部署备份残留 —— 47 侧 21 条（.s3bak-20260920-174307/、.s0bak-20260920-165634/、net/relay/*.bak-20260917-*、web/server.js.bak-seq19-*）／106 侧 12 条（.bak-20260917-155841、.bak-seq19-…-180218）。⛔ 本棒不投不删：投 = 制造过时代码副本（净变差）；删 = 不可逆＋别处部署面历史留档 ⇒ 留作"部署卫生"独立议题。
✅ 【第 22 棒新增 · 第 23 棒已定性完成】本机构建产物 ≠ 生产部署面 —— 结论 = 本线无活缺口：7 件全属"IM 线未投放件 / 无害边车"，3 件运行时 .js 两机落后但属 IM 线 lane。⛔ 不落地；要投由 IM 线按"im.js ＋ gateway-token.* 同批"排棒。见 §5-22 第 ⑤ 条＋ 交付物/跨机错误消息放宽与两项只读取证-20260925.md §三。
🔴 【第 22 棒新增 · 待窗口】106 待重启面 = 48 件（第 23 棒更新计数）—— p20 的 plugin-assembly.js（§5-19）＋第 22 棒补齐的 46 件＋第 23 棒的 remote-spawner.js 1 件 ⇒ 重启后 106 才与新代码一致；⛔ 不擅自重启（中断在线用户）。
🔴 【第 23 棒新增 · 待拍板】历史人工兜底软链是否清理 —— 本轮已做成「可拍板」 —— 见 §5-18 第 ⑥ 条（结论句 = 有真依赖但全在浏览器半边／Node 运行期无消费者；4 条边界已写明）。⚠️ 清理不是必须：第 20 棒的修法已保证装配不受影响，"省掉每次装配摘一次"不构成必须清理的理由。
🟡 【第 23 棒新增 · 只报告】4 件"声明/映射边车"建议不投 —— web/essential-plugins.{d.ts,js.map} ＋ web/routes/plugin-data.{d.ts,js.map}（两机缺；.js 都在且引用者已解析）⇒ 两机无 TS 消费者、.js.map 只影响调试栈 ⇒ 投 = 制造 4 件永远用不上的文件。见 §5-22 第 ⑤ 条。
🔴 【第 23 棒新增 · 交 IM 线】im/gateway-token.* 与新版 im.js 必须同批投 —— 本机 lib/web/routes/im.js:42 已 import 它；⛔ 单投 im.js ⇒ 实例启动期 ERR_MODULE_NOT_FOUND。两机现为「旧 im.js ＋无 gateway-token」自洽态。见 §5-22 第 ⑤ 条。
🔴 【第 26 棒新增 · 待拍板 4 项（⛔ 不在接续棒内自决 · 到点由用户拍）】 —— ㈠ 47 实例重启窗口：为取「插件路由端到端」读数需重启该实例。影响谁 = 1 个在线用户（cce6d1cd-…，MCN 工作台唯一真实用户）；断多久 = 重启＋复起约 1–3 分钟，期间其工作台不可用。⇒ 无窗口则实例内端到端读数只能记「未达成」。 ㈡ 106 重启窗口：共享层 0.4.0 已就位但 106 侧未生效（节点首轮 stale→pulled 属预期）。影响谁 = 106 上 worker 承载的用户实例；断多久 = 可与既有「106 待重启面」合批摊薄。⇒ 无窗口则 106 仍载旧码。 ㈢删库重建是否授权：json 列的「改声明为 text」案只能删掉插件库再重建（平台 ForbiddenKind 5 类禁令含 alter_type／drop_column／drop_table，且第 26 棒已取证平台无 drop / 重建口 ⇒ 只能人工 DROP DATABASE）。影响谁 = 该插件所有用户；断多久 = 删＋重建＋重灌约 10–20 分钟；会不会丢数据 = 迁移前做 ⇒ 不丢（真数据仍在本地 SQLite，本地库不动），迁移后做 ⇒ 会丢（不可逆）⇒ 推荐在迁移前定案（此刻不可逆代价最低）。 ㈣ json 列处置两案选型（与㈢绑定）：A 案值清洗（优点：不删库、无不可逆操作、存量一行不丢；缺点：读侧出现两种形态须兼容、语义仍不干净）vs B 案改声明 text（优点：语义正确、读侧单一形态；缺点：必须删库重建、不可逆、须授权）。详见新单 附录 C。 ⇒ 四项到点由用户拍；⛔ 未拍板前执行棒走 A 案，⛔ 不得自行 DROP 任何库。
🔄 【第 24 棒新增 · 第 26 棒已出单 · 第 27 棒执行中】MCN 数据面接入（阶段二） —— 阶段二交接单已出 = 05-交接单/插件投放与分库线-03MCN数据面接入改造-阶段二.md（8 段齐全＋附录 A 逐表改造口径／B 存量迁移口径／C json 列两案／D 删 db.js 收口判据）。范围 = 其余 9 张表（含拆表后的 hot_account_ext）读 / 写路径＋ 存量迁移（6 张生成键表稳定键回填 · 幂等）＋ json 列处置＋ 删 lib/host/mcn/db.js 使红线归零。⚠️ 体量修正（第 26 棒现算，⛔ 别抄旧记数）：行口径 222 处／字面量口径 210 处；其中 UPDATE/DELETE 共 45 处、≥41 处须两步改写（平台 PATCH/DELETE 只按主键）。⇒ 见新单 §五 S0–S12 / §六 A1–A8。
🔴 【第 27 棒新增 · 已收官（部分）】MCN 数据面接入（阶段二）第 27 棒读数＋下一步 —— 完成 S0＋S1＋S2＋S3（只读前置九条读数／表名对齐（包内字面 0 命中＋本地存量库幂等改名，真跑验证）／迁移前备份（可解出＋源库 sha256 未变）＋逐表行数清单 10 表 441 行／store.js 11 表读写面＋单测 24/24）；S4–S11 未开工。🔴 为什么不是"没来得及"：store.js 的写路径没有档位（直接打平台）而读源档是全局单档 ⇒ 一旦开始逐处改写就出现「写进平台、读在本地」的陈旧数据坏态；且同一张表有多个写入方（hot_accounts 4 个）⇒ 切换的最小原子单位 = 表（不是文件）。⇒ 下一棒第 1 件事 = 给 store.js 加写源档（默认 local），再按表推进。⚠️ 四处记数修正：hot_accounts 本地 25 列（阶段一记 24 错）｜lib/client.js 那 2 处 = 正则 .exec() 不是 SQL（改造面仍 222）｜红线现算 23（= 22 ＋新加的表名对齐 ALTER TABLE 1 处）｜平台 find 硬夹紧 200 / 单行 64 KiB / 单插件 20 万行。详见 交付物/MCN数据面接入-阶段二-20260925.md。
✅ 【第 28 棒新增 · 已收官】MCN 数据面接入（阶段二）第一批按表切换 —— 写源档 writeMode（local 默认 / platform）＋ 按表档 tables 覆盖 ＋第一批两表（account_persona / creative_log）全读写点接线＋存量迁移（4 行，逐账号 match=true，幂等）＋ shadow 真机读数（shadowMismatch=0）＋ 按表切档（全局仍 local，⛔ 未全切）。🔴 两条留给后棒的口径（⛔ 别再踩）：① 写路径⛔ 不回落本地（读回落只是看到旧数据；写回落是"写到没人读的地方"，界面不报错但平台侧永远旧值）——失败必须具名返回；② setDataPlaneMode() 原本整份覆盖配置文件，读写两档共用一份时必然互抹 ⇒ 已改合并写（⛔ 后棒加新键时也走 patchConfig()）。⚠️ 本棒未出包 / 未投放 / 未重启任何服务 ⇒ 实例内端到端仍未取证（待拍板㈠）。详见 交付物/MCN数据面接入-阶段二-第一批按表切换-20260925.md。
🔴 【第 28 棒新增 · 未闭合 4 条（⛔ 不许当已解决）】 ㈠ 实例内端到端未取证（实例仍载 0.3.15 ⇒ 本棒代码尚未进实例；🔴 且投放得先想清楚影响面：新版一进候选池就对所有登录用户可见可启）⇒ 与待拍板㈠㈡一起排；㈡ 出包 0.5.0 / 建库 / 投放 / 两机一致（S7–S11）全未开工；㈢ creative_log 全包无读点 ⇒ 切档后只能"写侧单边取证"（要么后续补统计读口，要么接受这一限制）；㈣ 其余 9 张表未切 —— 第二批 = account_analysis ＋ video_analysis（已排棒），第三批 = account_videos 362 行＋ hot_accounts（拆表＋ 12 JOIN ＋ 4 OFFSET ＋ 2 聚合 = 主战场）。
✅ 【第 29 棒新增 · 已收官】MCN 数据面接入（阶段二）第二批按表切换 —— account_analysis（6 处读写点）＋ video_analysis（10 处，含两语义写：去重 / 删旧保新）全接线＋存量迁移（1→1 / 12→12，幂等重跑 ins=0/skip=1、ins=0/skip=12）＋ 内容往返 13/13 逐字相等 ＋ shadow 4/4 match / mismatch=0 / degraded 未出现 ＋ 按表切档（现 4 表 platform，hot_accounts/account_videos 仍 local）。单测 40/40；改动面恰 7 件、lib/client.js 零改动。🔴 一条留给后棒的口径（⛔ 别再踩）："写在别人 SQL 里的读点"（视频总表的 parsed 过滤条件、同表 has_analysis 输出列）—— 平台无 JOIN ⇒ 口径 = 一次拉全量建插件内索引（loadVideoAnalysisIndex()），再拼 IN (<字面列表>) / 补列；拿不全就具名降级回本地子查询，⛔ 不拿半份冒充全量。⚠️ 另两条实测（后棒以现算为准）：本地表名仍是旧名 account_video_analysis（第 27 棒 db.js 的幂等改名要等插件新代码跑起才生效，实例仍载 0.3.15）⇒ 迁移工具已加 resolveLocalTable()；video_analysis 平台主键 = aweme_id（天然键、不可空）⇒ 空值行迁移具名拒收（⛔ 不静默丢）。详见 交付物/MCN数据面接入-阶段二-第二批按表切换-20260925.md。
🔴 【第 29 棒新增 · 未闭合 4 条（⛔ 不许当已解决）】 ㈠ 实例内端到端未取证（实例仍载 0.3.15 ⇒ 第 28/29 两棒代码均尚未进实例；🔴 且投放得先想清楚影响面：新版一进候选池就对所有登录用户可见可启）⇒ 与待拍板㈠㈡一起排；㈡ 出包 0.5.0 / 建库 / 投放 / 两机一致（S7–S11）全未开工（包与共享层仍 0.4.0）；㈢ 红线仍 23 未归零（删 db.js 属第三批收口 = S10，⛔ 不许提前）｜另有本棒自证抓到并修掉的两处（videoAnalysisCountOf 双计 —— 本地语义是 OR 而初版两路相加 ⇒ 改逐行 OR，单测钉住；previewExternalDir 三处判据中的 account_persona 那处是第 28 棒遗留读点 ⇒ 统一走 analysisExists()）；㈣ 第三批未动（account_videos 362 行＋ hot_accounts 拆表＋ 12 JOIN ＋ 4 OFFSET ＋ 2 聚合 = 主战场）⇒ 已排棒 = 第 30 棒 · 规划棒（出第三批改造交接单，⛔ 只出件、零落地）。
🔴 【第 27 棒新增 · 待拍板㈤ · ⛔ 不属本线自决】 插件包源码 D:/dshworkspace/plugin_package/dsh-plugin-mcn-suite/ 在 D:/dshworkspace 仓库里是未跟踪目录（git status 显示 ??）⇒ 第 27 棒的 10 件改动没有任何版本留痕（只靠 sha256 ＋交付件）。要你定的是：要不要把这份插件包源码纳入版本管理？为什么需要你定：它决定"改坏了能不能回到上一版"，以及以后每棒投放前是否必须先打一份快照（影响的是改造成本与回滚粒度，不影响线上用户）。A 案：纳入 D:/dshworkspace 的版本管理（优点：逐行 diff、可回滚，本次 10 件立刻有留痕；缺点：该包含 300+ 文件与 2 MB 级 dist/*.tgz，要先定"哪些不进库"）。B 案：保持现状，改由每棒「投放前打 tgz 快照＋记 sha256」（优点：不动仓库结构；缺点：只能按快照粒度回滚，看不见逐行改动）。我的倾向：A（可推翻）。
⚪ 【第 24 棒新增 · 阶段三（可选）】端侧可见性 —— 08-规范/08-插件开发与对接规范.md §8 明确端侧不装包、不下发平台级凭据 ⇒ 端侧只管「访问得到＋能开通」；依赖桌面线载体 ⇒ 非本线可单独推进项。同见附录 A。
🟡 【第 24 棒新增 · 机制层议题（⛔ 不属本工作区 · 只报告）】域键算法 shell/py 两侧漂移 —— 07-scripts/handoff-guard.sh 的 _ANCHOR_SEGS = … scripts skills 交接单，而 07-scripts/lock-guard-hook.py 的 _DOMAIN_SEGS = … 07-scripts 08-skills 05-交接单。本棒 4 个目标路径经两侧复算结果一致（故未触发假绿），但两侧本就不同，与「域键判据 shell/hook 必须逐字一致」这条红线相冲 ⇒ 建议单独排棒复核（改任一侧都属机制层，须独占开工）。
✅ 【第 19 棒新增 · 第 20 棒已做】pnpm exit 255 可见化＋根因修复（P0） —— 已完成：真根因 = EPERM chmod（不是 store 口径，第 19 棒那条假设已被真机证伪）；修法 = 跑 pnpm 时临时摘掉指向共享层的越权软链 ＋失败路径自动补 --reporter default 重跑 ⇒ 见 §0 第 20 棒行＋ §5-16。
✅ 【第 19 棒新增 · ⛔ 已收口：判据③无主体】 门户 UI 投放取证 —— 按用户 11:0x 口径（「dsh 自带的就是，admin 添加的就不是」⇒ 名单 = 空），门户 0.3.26（"平台基础插件"徽章）在名单为空时是死码 ⇒ 暂不投放；产物留在 poc/business-plugins/dsh-local-business-plugins-0.3.26.tgz，等名单里出现真项再随下次 UI 发版带上。
🔴 【第 20 棒新增 · 待拍板】历史人工兜底软链是否清理 —— 见 §5-18（三条 xlsx/react/react-dom 软链 ⇒ .dsh-module-fallback ⇒ 共享层，逐次装配都要被临时摘一次）。
🟡 【第 20 棒新增 · 待窗口】106 新代码待重启生效 —— 见 §5-19（文件已投、md5 一致，进程仍旧代码 ⇒ 106 用户在重启前仍会撞 EPERM）。
【第 19 棒新增 · ✅ 已由用户拍板收口（2026-09-25 11:0x）】"基础插件"名单边界 —— 用户口径原话：「dsh 自带的就是，admin 添加的就不是」⇒ 判定 = 按来源（@deepseek-ai/dsh 自身声明的依赖 = 自带），不是按"平台必备"。真机落地：@softspark 两机零命中 ⇒ @softspark/dsh-file-preview 属"admin 添加的" ⇒ 标记已撤销；台账 5 项全非自带 ⇒ 名单 = 空；dsh 自带的那些不在候选池 ⇒ 接口层 404 not_in_pool ＋门户不渲染 ⇒ 已天然"默认开启、不可关闭"，⛔ 无需额外代码。

✅ 跨机可见性状态回流 —— 形态已定稿（2026-09-23 18:3x 用户拍板 = 形态 D「按需定向拉（主）＋ worker 变更上报（辅·后置）」） —— 用户原话「可以 worker 上报，具体要管理那个用户的时候 manager 针对性的去查」。原 A / B / C 三候选作废（§三仅存为决策过程）。设计件 §十已整节改为定稿（10-1 形态 / 10-2 关键发现 / 10-3 两条硬约束 / 10-4 五步落地轮廓 / 10-5 四条真机验收）。 🔴 关键发现（写出这条是为了让下一棒不用重查）：src/supervisor/leased-spawner.ts:144-155 的 fenceOnAgent() 已经实现了完整三步定位链 —— findUserInstance(userId,'main') 拿 hostId → options.agentFor(hostId) 拿 {agentUrl,token} → post('/fence', body, target) 带 token 定向 POST 到那台 worker ⇒ 主路径只需把目标端点从 /fence 换成新的只读口（建议 /profile-bundles）。⇒ 零新增监听口 · 零新增凭据体系 · 零广播，且天然覆盖 reconcile（查的是对端现算真值，不是历史快照 —— 这正是原 B 案的死结）。 ⛔ 两条硬约束：① 新端点必须带 token（与 /fence 同级）—— ⛔ 绝不可挂到免凭据的 /healthz 上（那等于开匿名任意读口）；② 查不到该 userId 必须返回 not_here，⛔ 不等于"零插件"、⛔ 不许把"未知"显示成"未启用"。 落地位置：src/worker/agent.ts（新端点）｜src/supervisor/leased-spawner.ts（复刻定位链）｜src/web/routes/business-plugins.ts:1648-1670 的 /mine（先判本机 ⇒ 本机直接读盘零网络，非本机才定向查）。 ✅ 本项已落地（2026-09-24）：主路径 = 第 11 棒（新只读口 POST /profile-bundles ＋ readUserBundles ＋ /mine 三态读数）｜跨机腿 = 第 12 棒（host 目录新鲜度接进定位链 ⇒ 重启窗口期不再退化成 unknown，真机验收 ① 全绿）。详见 §0 最后两行。⚠️ 残留 = §5 第 7 条（客户端 UI 认不认 known），已排第 13 棒。
跨节点内容分发（后续棒）—— 平台侧把共享层铺到各节点的通路；第 8 棒 106 的共享层是手工同步的。 ✅ 形态已拍板（2026-09-24 09:0x） —— 用户原话：「最好用拉取，主节点核对告知差异」⇒ 定档 = 节点主动拉取（pull）＋主节点（Manager）负责核对并把差异告知；⛔ 不是平台把包推下去。⚠️ 这与本线既有形态同向：装配实现已走「worker 只读拉取共享层」（plugin-assembly.ts，两机共用一份 md5），本项只是把共享层实体本身的同步也改成拉取＋补一条主节点对账/差异上报。未开工 · 待排棒（排在 §5-1 跨机可见性状态回流之后）。落地位置 = src/worker/agent.ts（拉取端）＋ Manager 侧对账面＋ DEPLOY-本部署.md（节点侧拉取配置）。 ✅ 已落地（2026-09-25 第 14 棒 · 见 §0 末行第二块） —— 拉取端＋ Manager 对账面＋节点侧配置三处全做完并真机取证；106 的 storyforge 内容漂移已被自动纠正、三包逐机指纹两机全等、第二轮收敛。⛔ 不要重做。
🔴 原「可见面开关的开启决策（红线门禁 · 待拍板）」定性已被推翻（2026-09-24 20:4x 代码级取证）—— 实测 GET /api/plugins/mine（requireAuth、无任何开关）返回的是候选池全表：src/db/repo.ts:682 的 SELECT … FROM business_plugins ORDER BY name ASC 零 WHERE ⇒ 任何登录用户本来就能看到候选池全表（含尚未发布的） —— ⚠️ 口径澄清（2026-09-24 20:4x 更正）：⛔ 不含上游官方目录那约 3,400 条（src/web/routes/whitelist.ts 的 /api/plugins/whitelist＋/refresh＋/import 三条路由全 requireAdmin，普通用户看不到）；候选池 = admin 从该目录导入的那几条（实测约 5 条），且用户侧实例面板确实在调它（poc/business-plugins/lib/client.js:1221 = fetch(portalHost()+'/api/plugins/mine')）；被开关挡住的 /api/plugins/shared/catalog 反倒是更严格的子集（只列已进共享层、真正可开通的）。 ⇒ 「要不要开放」这个提问的前提不成立（用户 09-22 已拍 D1/P4「全员可见、自己开通」）；真实缺陷 = 可见性分层没统一：同一事实两条通路，门禁只装在新增的那条（更严格的）上，老那条全量开放且从未设门禁 ⇒ 定性改为实现层缺陷，⛔ 不是待拍板项。修法见本节第 6 条。
✅ 可见性分层收口 —— 已落地并上线（2026-09-24 21:5x · 见 §0 上一行）。落地形态 = A 案：/mine 收窄为「共享层已发布 ∪ 我自己已启用」＋我的启用状态，/shared/catalog 与其开关一并撤除 ⇒ 一个口子、语义唯一、伪门禁消失；三段式 admin 页已改数据源（① ← admin 面 /api/plugins/shared）。用户面消费方只有 poc/business-plugins/lib/client.js:1221，收窄即其应有语义。原三候选（供追溯，B / C 未采用）：A 案（采用） 改老路由＋ build / 部署两机 / 重启＋三段式同步改；B 案 维持两条、只把开关默认打开（改动最小，但未发布件的暴露面仍在、重复仍在）；C 案 只改展示层（未发布件仍在响应体里，治标）。
~~装配协议 link: 落地~~ ✅ 已完成（2026-09-23） —— 见上方「⚠️ 已拍板待落地」；③ 存量迁移已实测撤销。
🔴 E 单（im-conversation-tabs）的线上可见面投放 —— 此前无归属，2026-09-23 19:4x 由 IM 线第 12 棒显式登记到此（登记依据 = 接续入口_IM线_20260922.md 第 136 行的收口要求）。
- 是什么：IM 线 E 单的 UI 落点（用户已拍板 C 案 = 实例内 dsh 会话页 tab）；代码面已完成（poc/im-conversation-tabs/）。
- 为什么以前没人做：本入口此前对 im-conversation-tabs 零命中 ⇒ IM 线以为"投放线会接力"、投放线没登记 ⇒ 两不管。
- ~~🔴 硬阻塞（⛔ 未解，先别投）：IM 线查出一处 P0 协议不一致 ……~~ ✅ 已解（2026-09-23 19:5x，IM 线第 13 棒） —— 客户端已对齐平台的 op 制（出站收敛到 subscribe / ping / resume，入站 switch (msg.op) 全量 9 分支），并新增两侧源码机械对账用例 E-14 守着；⛔ 不再有 type: 出站帧。
- ✅ 投放已执行（2026-09-23 20:2x，IM 线第 14 棒）：按本线既有流程走完 —— admin POST /api/plugins/business（http=200，池 4→5，trustedOverride:false）→ POST /api/plugins/business/share（http=200 action:"created"，fileRef = link:/var/lib/dshs/bundled-plugins/_dsh-local_im-conversation-tabs）→ 回滚素材 /opt/dsh/backups/plugins/_dsh-local_im-conversation-tabs/0.1.0.tgz；审计 audit_log id 360 / 361。⛔ 未铺 profile、未 commit、未改动本线任何代码。⚠️ 「共享层发布」这一步是 link: 装配协议的必需项（只进池不发布 ⇒ 用户启用撞 plugin_bundle_missing）—— 本线后续给任何插件投放时都要带上这一步。
- 📌 归属 = IM 线自行认领完结（2026-09-23 20:2x 第 14 棒）：投放的可自动部分由 IM 线做完；剩余唯一未闭合项 = 用户在实例「功能管理」启用（用户动作，属投放语义），操作单 ⇒ E:\ProgramData\AIProject\aliyun-dsh-server\交付物\IM群组-ui投放与线上取证操作单-20260923.md。⇒ 本线不再有该条的待办，⛔ 不要重复认领。⚠️ 一条留在本线名下的关联缺口：目标实例若在 106，其共享层缺该包 ⇒ 与本入口 §5-2「跨节点内容分发（需单独立项）」是同一件事，操作单里给了手工同步命令。✅ 2026-09-24 20:3x 已手工同步并验指纹（47 → 本机 → 106，两机文件指纹逐字一致 cebe3a57b5a0828a；106 现包 = 3 个，与 47 对齐）⇒ 该缺口已闭合，⛔ 不要重复同步；启用不再受"实例在哪台机"限制。⚠️ 这只解决单个包的手工补齐，§5-2 的自动化通路仍待开工。
✅ 已落地（2026-09-24 23:1x–23:4x 第 13 棒）—— /mine 的「未知」态已在客户端 UI 上线（入口原条作废，⛔ 别再排）。落地读数：poc/business-plugins/lib/client.js 认 enabledState.known（五处：卡片徽章显「状态未知」／顶部降级横幅 role=status ＋ data-state-source／勾选·全选·清空·应用·重试全禁用／计数位改「状态未知」／空列表改说"读不到"）＋ doApply 内再加一道早退；package.json 0.3.24 → 0.3.25 并已上线（真机 profile 里线上版本 = business-plugins-0.3.25.tgz，本轮取证实测）。🔴 为什么必须禁提交：提交送的是整张清单 ⇒ 降级时逐项 enabled 全为假值 ⇒ 用户一按「应用」会把明明开着的插件真的关掉。原条（保留仅作追溯）：平台侧三态语义已做进响应，但消费方只读 plugins[].enabled ⇒ 降级时界面把"未知"画成"未勾选"。 ✅ 已排棒（2026-09-24 23:1x 第 12 棒收口时） = 第 13 棒 · 执行棒 = automation 0f61a175-fdd2-4031-87a8-d59dde3d38f0（一次性 · scheduledAt = 2026-09-24T23:18）；域 = poc/business-plugins（preflight 实测【A】）。⇒ ⛔ 本线同时只挂一个棒，不要重复登记。
跨节点内容分发（后续棒，§5-2）—— 形态已拍板「节点主动拉＋主节点核对告知差异」，未开工。 ✅ 已落地（2026-09-25 第 14 棒） —— 本条与上一条（§5-2）是同一件事，已闭合，⛔ 不要重复排棒。
⏳ MCN 数据面接入改造（＝第 15 棒记下的「第 3 件 · 可选」）—— 把 D:/dshworkspace/plugin_package/dsh-plugin-mcn-suite/lib/db.js 的读写改成走 /api/im/data/*（当前红线扫描 21 处 SQLite 建表）。 🔴 两条硬前提：① 若真做到投放那一步，必须先建库再投放（否则平台判它"有数据面"⇒ 未建库期间所有用户都启用不了）；② 该包的声明口径与 id 语义见 数据库/DB-03 §五（id = 声明第一列，存量自增 id 不能照搬）。 未开工 · 待排棒（⛔ 现排在 第 17 棒（修 P0 ＋真机视觉验收）之后 —— 原写"排在 MCN 移动端迁包＋视觉验收之后"，迁包那半第 16 棒已做完，视觉验收那半被 P0 顺延）。
✅ 已修（2026-09-25 第 21 棒 · 判据 ①②③④ 全绿）—— ㈠㈡两条语义缺陷已落地，原条作废（⛔ 别再排）：一条纪律＝ 要写进台账的值，必须从盘上那份实体现读（⛔ 不信上游传下来的副本）⇒ 三函数（packageVersionAt / rollbackAssetPath / packSharedTree）＋ doShare 两处接线（version 改取 incoming 解出来的真值；替换前把旧目录打成 <上一版真值版本>.tgz、清单新增 rollbackTgz 字段 ⇒ 与 backupTgz「当前版本快照」分成两个事实）＋ 新口 POST /api/plugins/shared/reconcile（㈠的存量只能靠"拿盘上真值回写清单"收口，且必须是显式动作）。逐条读数 ⇒ §0 第 21 棒行＋ 交付物/共享层台账语义缺陷修法-20260925.md。⚠️ 残留一条未闭合：完整替换路径未在真机跑通（47 各包备份面已有同名素材 ⇒ 走"已存在则跳过"）⇒ §5-20。原条（保留仅作追溯）：㈠ 清单与磁盘不同步：实测清单记 dsh-plugin-mcn-suite version 0.3.9／tgzSha256 d14cd5fe…／treeSha256 cb1c73fb…，而盘上 package.json = 0.3.13、client.js 与池内 0.3.13 tgz 一致。authoritativeShared() 用这份 treeSha256 做节点对账 ⇒ 节点侧会永远判 stale / 反复重拉（第 16 棒 put 新版后该包自愈，但写入不同步的来源未查明：09-22 那次共享层铺装与清单写入不是同一次动作）。㈡ 回滚素材命名语义错：doShare 里 backupTgz = <backupDir>/plugins/<flat>/<version>.tgz 且 copyFileSync(existing.tgzPath, …)，其中 existing = 上传后的池条目、version = incoming 版本 ⇒ 产出的 0.3.14.tgz 是新包的自拷贝，不构成"回到上一版"；真正可回滚的那份躺在 0.3.9.tgz（md5 f47a07b9a2a889770e35315e22156e90 = 被替换掉的旧版内容）。 落地位置：src/web/routes/business-plugins.ts 的 doShare 备份段＋清单写入路径。⚠️ 属共享文件，排棒时须走域锁；改前先确认与 §2 第 6/7/8 条无冲突。
🔴 共享层自足性（第 17 棒记 · ⛔ 未擅自转正 · 已进第 18 棒第 1 件）：共享层目录只有 react/react-dom/xlsx、零个 @deepseek-ai ⇒ link: 形态下实例从共享层加载插件宿主代码必报 Cannot find package '@deepseek-ai/dsh-llm' ⇒ 实例 crash-restart ⇒ 探活判"实例未能启动"⇒ 插件被自动禁用。机理：旧 file: 把实体放实例自己的 profile 树内，Node 向上解析能命中 pnpm 提升目录；link: 把实体放树外 ⇒ 解析链断。人工探针软链已验证有效（<shared>/node_modules/@deepseek-ai → /usr/local/lib/node_modules/@deepseek-ai/dsh/node_modules/@deepseek-ai，240 个包），正式落点 = 铺装流程（doShare）自动生成。 ✅ 已落地（2026-09-25 第 18 棒 · 判据 ①②③ 全绿） —— ③ 层唯一实现（resolveDshPackageRoot / resolveHostDshScopeDir / ensureSharedScopeLink / healSharedLayerSelfSufficiency）；doShare（刻意放在 hashTree 之后 ⇒ 指纹不含软链、不引发重拉）＋ worker syncSharedLayerOnce（每轮幂等）双端调用；① 层 dsh-install.ts 旧副本下沉复用。软链落点 = 包目录内 <flat>/node_modules/@deepseek-ai（⛔ 不落共享层根 ⇒ 否则对账面 onDisk 把它当 extra 上报）。真机：删人工探针链后重 share ⇒ 三包补齐（linked=[im-conversation-tabs, storyforge, mcn-suite]）；47 三包 scope LINK 可解（240 项）、106 三包 LINK → /usr/lib/node_modules/...（npm root -g 两机不同 ⇒ 必须各机本地解析）；实例 [mcn-suite] loaded v0.3.15、rejected:[]。⛔ 不要重做。
🟡 跨机错误消息截 200 字符（第 17 棒记 · 未修）：src/supervisor/remote-spawner.ts 的 Error(... text.slice(0, 200)) ⇒ Manager 侧任务 detail 只能看到半截（本轮靠 worker 侧 journald 补齐）。建议放宽到 ~1200。
🟡 preflight-lock.sh 对工作区根文件判【D】（第 17 棒记 · 未修 · 跨库文件只报告）：脚本只认 ^(src|poc|test|web|docs|scripts|交接单|skills)/，而本线每棒的必改目标文件含 接续入口_*.md（工作区根）⇒ 永远 rc=1 未归类 ⇒ 拒开工。域本身可算（handoff-guard.sh 的锚点算法给出 aliyun-dsh-server/<文件名>）⇒ 建议脚本补一条"工作区根文件按 aliyun-dsh-server/<basename> 归域"。本棒按该域锁了、未改脚本（⛔ 跨库文件）。⚠️ 同批也说明：该域锁不覆盖 .workbuddy/memory/**（追加式日志，多线共用，按既有惯例不加锁）。
⏸️ 待你拍板：@softspark/dsh-file-preview 的可见性（第 17 棒记 · 未擅自做） —— 复现第 2 件时按任务要求做"全量 apply 一条 enabled:false"，把它一并关掉；它不在共享层，而用户面可见性判据 = 「共享层已发布 ∪ 我已启用」⇒ 它从插件清单里消失，平台内已无法自助重开。要你定的是：要不要把它发布到共享只读包库、恢复成可安装状态？为什么需要你定：发布后所有登录用户都会在插件市场看见它并能自助装到自己实例上（影响面 = 全平台用户，不只是你那个 admin 实例）。A 案：发布到共享层并重新启用（优点：恢复你原来的插件能力，且与线内 D1「候选池插件对全员默认可见」口径一致；缺点：多一个对所有用户可见/可安装的插件）。B 案：保持现状（优点：可见面一个都不多，最保守；缺点：你那个实例少了文件预览功能，且只能靠后续棒再发布）。我的倾向：A（可推翻）—— 它本就在候选池里、且 D1 早已拍板"全员默认可见"。

📌 状态更正（2026-09-23 19:4x，IM 线第 12 棒顺带核对 ⇒ ⛔ 未替本线排棒）：§0 末行「automation_update 返回 file is not a database ⇒ 全机 automation 功能不可用」的前提已消失 —— 宿主活动库已由 app 自动重建（2026-09-23 18:55；坏库改名 workbuddy.db.corrupt-2026-09-23T10-55-47-845Z 留档，代价 = 历史 automation 记录全丢）。本会话实测 mode=list / mode=create 均可用 ⇒ 本线「下一棒」可以正常登记了。⚠️ 排棒时机仍由本线收口时自行决定（⛔ 不预登记队列）。

🔴 「基础插件：默认开启＋用户不可关闭」机制改造（2026-09-25 09:3x 用户拍板引出 · ⛔ 未排棒） —— ① 背景：第 14 条那组 A/B 两案作废 —— 用户原话「这些 dsh 自带的基础插件应该是默认开启无法关闭的」⇒ 口径 = 基础插件本就该开着、且用户关不掉，⛔ 不是"发到市场让用户自助安装"。 ② 落地形态（技术项自决）：台账/候选池新增「基础插件」身份标记（essential，与业务插件区分）｜默认播种 —— 基础插件对每个实例默认 enabled，不依赖用户自助启用｜门禁 —— 关闭/卸载请求对基础插件直接拒并回具名 reason（⛔ 不许静默失败、不许"点了没反应"）｜门户 UI —— 基础插件不渲染"关闭"按钮，显式标注「平台基础插件 · 不可关闭」｜恢复 @softspark/dsh-file-preview —— 以"基础插件"身份重新投放。 ③ 最小取证（已做 · 只读）：㈠平台代码无"基础插件/不可关闭"机制 —— src 内 builtin|nonRemovable|essential|mandatory|内置插件|系统插件|默认启用 零命中（只命中 relay/direct 无关同名变量与 IM SDK 注释）⇒ 属新功能，不是回归｜㈡ @softspark/dsh-file-preview 在 src 内仅 1 处且是注释（business-plugins.ts:105 引 §九-5 历史先例 ⇒ 它曾以业务插件形式进过用户 profile）⇒ 平台侧无特殊处理。 ④ 🔴 待确证的前提（落地棒第 0 步）：@softspark 未出现在 dsh 安装目录 node_modules 的 scope 列表（⚠️ 只看了前 40 项，非全量）⇒ 必须先真机确证 dsh 自带插件清单（dsh 包内内置插件目录/声明），以实际自带的为准定"基础插件"范围；⛔ 别凭"应该是"推定。 ⑤ ⚠️ 授权与影响面：用户原话即授权 ⇒ 基础插件对全部实例默认开启（可见面确实扩大，但已获明确口径）；⛔ 不得据此扩大其它插件的可见性。 ⑥ ✅ 已排棒（2026-09-25 10:2x 第 18 棒收口时） = 第 19 棒 · 执行棒 = automation 0fdf7101-d6d9-4279-bce2-0ca89479a44b（一次性 · scheduledAt = 2026-09-25T10:26）；与本条第 0 步（确证 dsh 自带插件清单）同棒执行。⇒ ⛔ 本线同时只挂一个棒，不要重复登记。
✅ 已修（2026-09-25 第 20 棒）—— 真根因不是"并发/时序"，而是 EPERM chmod（第 18 棒记的原条如下，⛔ 保留仅作追溯） —— 🔴 真根因：node_modules/{xlsx,react,react-dom} 是未声明的 extraneous 软链（→ .dsh-module-fallback/node_modules/* → 共享层实体，属主 root）⇒ 用户侧 pnpm 在 linkBin 里对 bin 无脑 chmod ⇒ 非属主 EPERM（不是 EACCES ⇒ 改 mode 无用）。修法 = 跑 pnpm 时把它们改名移开、finally 无条件放回（quarantineSharedLayerLinks / restoreQuarantinedLinks / withQuarantinedLinks）＋失败路径自动补一次 --reporter default 重跑（pnpmDiagArgs / pnpmDiagRerun）。真机：APPLY_OK｜dependencies ↔ node_modules 双向一致｜对照组仍 255 同一条 EPERM。逐条读数 ⇒ §0 第 20 棒行＋ 交付物/pnpm-EPERM根因与越权软链修法-20260925.md。⛔ 不要重做。
- 🔴 第 19 棒的 store 口径假设已被真机证伪（该 profile 的 .modules.yaml 记 storeDir=<root>/ws/.local/share/pnpm/store/v3，与平台实际传的 HOME=<root>/ws 逐字一致）⇒ ⛔ 别再按 store 方向改（那是另一条链的口径）。
- 原文（第 18 棒记）：pnpm remove/install 在真 profile 里偶发 exit 255，且 --reporter silent 让原因不可见 —— 第 16/17/18 棒累计三次（09:01 @apply timeout、09:05 @isolate install 失败、09:56 remove 失败），每次 stderr/stdout 全空。
- 已实测反证的五个假设（⛔ 别再重复走）：㈠共享包目录内多出的 node_modules/@deepseek-ai 软链 → A/B 对照双双 rc=0｜㈡真实路径条件 → 真实路径副本 rc=0｜㈢ worker 的最小 spawn 环境 → env -i PATH=<worker PATH> HOME=<ws> rc=0｜㈣祖先目录不可 scandir → /var/lib/dshs 与 /var/lib/dshs/users 确为 711（该 uid 无 r 位），但实测不影响 pnpm 运行｜㈤磁盘/inode → 23 GB 可用、11% 用量。
- ⚠️ 连带后果：失败会留下"半状态"（本次 = 声明在、软链被删 ⇒ 实例崩溃）⇒ 该方向已由第 19 棒第 1 件（rebuildMissingDepLinks）治掉，见 §5-17。
✅ 已修（第 19 棒第 1 件） —— restoreProfile() 末尾接入 rebuildMissingDepLinks()（纯 symlinkSync，⛔ 不跑 pnpm）；第 20 棒的单测另钉住"不造半安装态"。原条（第 18 棒记）：restoreProfile() 不重建缺失的 link: 软链 ⇒ 真机实证"缺"的方向会让实例直接崩溃（cannot resolve profile bundle "dsh-plugin-mcn-suite" ×5 → crash-loop-circuit-open）。⛔ 不要重做。
🔴 历史人工兜底软链：node_modules/{xlsx,react,react-dom} → .dsh-module-fallback → 共享层（第 20 棒记 · ⛔ 未动 · ✅ 第 23 棒已做成「可拍板」· 待用户拍板） —— ① 是什么：该用户 profile 的 node_modules 顶层有三条未在 package.json 里声明的软链，中间经 <profile>/.dsh-module-fallback/node_modules/，最终解到共享层实体（属主 root、硬链 links=3）。 ② 为什么会有：dsh-module-fallback 在工作区代码里零命中（不是平台代码建的）⇒ 历史人工兜底（目录 mtime 早到 09-08）。 ③ 它现在的副作用：pnpm 会把它当 extraneous 并对其 bin chmod ⇒ EPERM ⇒ 整次装配 255（第 20 棒已用"跑 pnpm 时临时摘掉"绕开，见 §5-16）。 ④ 为什么⛔ 不擅自清：删掉会改变实例的模块解析面 —— 若确有代码依赖它，表现是运行期 ERR_MODULE_NOT_FOUND（不是启动期报错）⇒ 属影响面问题，待用户拍板。 ⑤ 清理前必查：该实例内是否真有代码 import 这三个包（共享层内 dsh-plugin-mcn-suite 自己的 node_modules 已含 xlsx/react ⇒ 大概率不需要顶层这份兜底）。 ⑥ ✅ 第 23 棒已把这题查完（只读取证） —— 结论句 = 有真依赖（3 处，均"浏览器半边"）／Node 运行期无消费者： · 在解析路径上：实测 require.resolve（实例 uid 114801，只解析不执行）⇒ @dsh-local/business-plugins / @dsh-local/portal-entry / @deepseek-ai/dsh-client-ui-renderer 三处落点全部经顶层兜底（它们的 .pnpm/<pkg>/node_modules 与提升层 .pnpm/node_modules 都没有 react）；命中处＝business-plugins/lib/client.js:56、portal-entry/lib/client.js:67、dsh-client-ui-renderer/lib/client.js:10。 · 但不在 Node 运行期：三处全是 lib/client.js（浏览器半边，头部写明向 window.__ModuleLoader__ 注册 factory）⇒ require("react") 由浏览器侧模块表满足、不读磁盘；反向证据 grep -rln "__ModuleLoader__" /opt/dshs/lib = 0 文件。 · 包自己声明的依赖 = 共享层 dsh-plugin-mcn-suite/package.json:32-34（react/react-dom/xlsx，自带 ⇒ 不经兜底）。 · 两处纠正本条第 ② 行：兜底目录内只剩 3 条链（另有 4 个空目录 @deepseek-ai/@shikijs/@types/@ungap ＝残留）；三条链 mtime 实为 09-25 10:14:57（09-08 是目录 mtime）。 · 4 条边界（⛔ 别当成"零风险"）：只核这一个 profile｜未展开官方客户端宿主是否在服务端预解析依赖｜只对当前 profile 版本成立｜未做"删链再跑"的 A/B。全文 ⇒ 交付物/跨机错误消息放宽与两项只读取证-20260925.md §二。 · ⛔ 本棒未删任何软链、未改 profile、未动 .pnpm；清理动作待用户拍板。
🟡 106 的新代码未生效（第 20 棒记 · 待重启窗口） —— 106 /opt/dshs-cluster/lib/supervisor/plugin-assembly.js 已投新版（md5 3c10048a…，与 47 逐字一致），但 dshs-worker 未重启（ExecMainStartTimestamp 仍 09:52:11）⇒ 进程里仍是旧代码，106 上的用户在重启前仍会撞 EPERM ⇒ 255。⛔ 重启会中断 106 在线实例（实测该机有 2 个实例端口）⇒ 属「中断在线用户」类，待用户给窗口（或等下次自然重启）。回滚素材 = /opt/dsh/backups/lib-p20/106-pre-p20-20260925-112626.tgz。 ⚠️ 第 22 棒补充：该机另有 46 件（两机 lib 代码面差异的补齐件）同样待重启才生效；第 22 棒回滚素材 = /opt/dsh/backups/lib-p22/106-pre-p22-20260925-120615.tgz（sha256 9612e4c0…）。 ⚠️ 第 23 棒补充（计数更新）：第 23 棒又投 1 件（lib/supervisor/remote-spawner.js，md5 e9ab05d9…，与 47 逐字一致）⇒ 106 待重启面合计 = 48 件（本条第 1 件＋第 22 棒 46 件＋第 23 棒 1 件）；第 23 棒回滚素材 = /opt/dsh/backups/lib-p23/VM-0-8-opencloudos-pre-p23-20260925-122855.tgz（sha256 d6f71f98efd5191d…）。
🔴 ㈡的"完整替换路径"未在真机跑通（第 21 棒记 · 未闭合） —— 第 21 棒把"替换前把旧目录打成 <上一版真值版本>.tgz"接进了 doShare，但真机上打包分支没被触发：47 的每个包在备份面都已有同名素材（上传钩子时代落的 <版本>.tgz）⇒ 新逻辑走"已存在且非空则跳过"。⇒ 该分支的正确性目前由单测（名实相符 / 不含 node_modules / 反证不许落进被归档目录）＋ 真机等价复现（在真包上直接调 packSharedTree，产物内容版本 = 源真值版本、node_modules 命中 0）保证。要真机跑通需真发一个新版本 ⇒ 会改线上共享层内容（影响所有已可见该插件的用户）⇒ ⛔ 本棒未做，留给"确有版本要发"的那次自然触发，或用户拍板。
✅ 已闭合（第 22 棒）—— 106 的 lib/ 落后不止一件：代码面共落后 46 件，已全部补齐 —— 原条（第 21 棒记）：47 投前 4109ba34…（124222 B）／106 70d5c0f2…（114041 B，mtime 09-25 00:28）⇒ 106 上至少 lib/web/routes/business-plugins.js 落后好几个版本。第 22 棒全量核对结论：106 lib = 09-23 08:04 那次构建（＋此后零散补投）⇒ 代码面落后 46 件（21 运行时 .js ＋ 25 声明/映射），business-plugins.js 只是其一（缺第 17/19/21 棒三轮改动）⇒ 已按 47 生产面补齐，代码面 368 = 368 归零。⛔ 仍待重启才生效（与 §5-19 同源）⇒ 见 §0 第 22 棒行＋ 交付物/两机lib差异面核对与106补齐-20260925.md。
✅ 本机构建产物 ≠ 生产部署面 —— 定性已完成（第 23 棒 · 结论 = 本线无活缺口）（第 22 棒记原条 ⇒ 下）—— ① 是什么：D:/github/dsh_shenxian/lib（09-25 11:44 新构建）与两机部署面（IM 版 09-23 20:59）不同 —— 3 件运行时 .js 内容不同（im/backends/gateway.js 16241↔12077、im/connection-backend.js 4154↔3342、web/routes/im.js 47262↔36738）＋ 31 件 .d.ts/.js.map 不同（构建不同次所致，运行时不受影响）＋ 7 件本机独有（im/gateway-token.{js,d.ts,js.map}、web/essential-plugins.{d.ts,js.map}、web/routes/plugin-data.{d.ts,js.map}）。 ② 为什么重要：两机缺的是同一批（⛔ 不是 106 独有）⇒ ① 后棒 ⛔ 别拿本机 lib 当"生产全量"基准（本线一贯基准 = 47 生产部署面；抽样三件与本机逐字一致仅说明被打过的那几件一致）② 该 7 件里若有被引用的 ⇒ 属部署面缺件（真缺口）；若无人引用 ⇒ 死件。 ③ 为什么⛔ 不擅自投：这 3 件运行时 .js 全在 IM 连接层（src/im/**、src/web/routes/im.ts），IM 线对 im.ts 有冻结口径 ⇒ 属IM 线投放面，不是本线 lane。 ④ 本轮只取证定性（第 23 棒第 3 件），⛔ 不落地；要投另排棒。 ⑤ ✅ 第 23 棒定性结论（实测，非推断）： · 7 件里无一"活缺口"：im/gateway-token.{js,d.ts,js.map} 两机全缺，但部署面 grep gateway-token = 0 命中（旧版 web/routes/im.js 不引用它）⇒ 死件；另 4 件（web/essential-plugins.{d.ts,js.map}、web/routes/plugin-data.{d.ts,js.map}）是声明/映射边车 —— 其 .js 两机都在且引用者已解析（routes/admin.js:10、routes/business-plugins.js:20、web/server.js:55）⇒ runtime 零影响。 · 3 件运行时 .js：两机逐字相同（12077/3342/36738，mtime 均 09-23 20:59:31 ＝ 源构建时间，scp 保留 mtime）vs 本机 16241/4154/47262 ⇒ 本机更新。git log 不可作判据（IM 面整体落在同一 commit e6207aa）⇒ 判据 = 构建时间＋体积。 · 🔴 新出耦合（IM 线后棒必看）：本机 lib/web/routes/im.js:42 已 import … from '../../im/gateway-token.js' ⇒ 新版 im.js 与 gateway-token.* 必须同批投（⛔ 单投 im.js ⇒ 实例启动期 ERR_MODULE_NOT_FOUND）；两机现为「旧 im.js ＋无 gateway-token」的自洽态，无人处于半投状态。 · 归类：3 件运行时 .js 新版本＋ gateway-token.* ＝ IM 线未投放件（⛔ 不归本线）；4 件边车可补但无收益（两机无 TS 消费者、.js.map 只影响调试栈）⇒ 建议不投。⛔ 本棒未投任何件。 · 全文 ⇒ 交付物/跨机错误消息放宽与两项只读取证-20260925.md §三。

§6 开工校验（新会话先跑这三条）

口径门禁：本入口 md5 见启动棒 prompt（开工时现算比对；不符 ⇒ 先读最新版再动手）
源仓 HEAD：git -C D:/github/dsh_shenxian log --oneline -1（以实跑为准）
相关口径复核：/etc/dshs.env 无 DSHS_ENABLE_PATCH（47 / 106 于 2026-09-22 实测）—— 本线 §3.2 正是为绕开它而设计

⛔ 不要重做：carbon 线两处阻塞的定位（memory 10:0x 节已判完）；一插件一库是否分库（已拍板，见 §2-1）。

331 KiB Raw Blame History Unescape Escape