session-mechanism：建任务的 RunLevel 改成按账户权限自适应（非管理员机不再被拒）

现象：常驻每次尝试给自己装保活任务，日志都留一行「常驻自我供给（计划任务）：⛔ 登记失败：
Register-ScheduledTask : 拒绝访问」⇒ 非管理员账户的机器上常驻没有自愈载体（死了没人拉）。
真因（2026-10-12 实测坐实）：建任务时把运行权限写死成 `-RunLevel Highest`，而该机账户不是
管理员，Windows 直接拒绝注册；同一个任务去掉这个参数就建得成。

改法（一次性判定，⛔ 不用「先按 Highest 建、失败再重试」—— 那会让每次多一次失败注册）：
新增 `_admin_principal_flag()`：管理员（进程已提权）⇒ ` -RunLevel Highest`（原行为不变）；
非管理员 ⇒ 空串（整段去掉 `-RunLevel`）；判不出来 ⇒ 按普通权限走（宁可少一次提权，也要建得成）。
落点三处：`collabctl.py::ensure_keepalive_tasks()` 两处（保活任务 ＋ 看板任务）、
`collabd.py::_escalate_to_keeper()` 一处（自我供给旁路）。

同批退役（定案 A）：`scripts/keepalive.py` → `keepalive.py.retired-20261012`。
它零 importer、不在 `deploy_code.py` 分发清单，`references/deploy.md §4` 早已写明它是
「旧副本、职责已被本 skill 吸收」；留着就是第二份建任务实现，与「建任务只许一处」相抵。
⚠️ 它的 `-ExecutionTimeLimit (New-TimeSpan -Minutes 2)` 确实与另三处（无时限）不一致，
退役后该不一致一并消失；工作区侧无同名副本，无需清理。

文档订正（旧结论是误归因）：
  · `assets/board-launch.py.tpl` 那条「`Highest` 不是可选项：`Limited` 实测 `LastTaskResult=1`」
    ⇒ 订正为「`RunLevel` 按账户权限定」。看板 `LastResult=1` 的真因是单例守卫 ＋ `pythonw`
    无 stdout 把退出码顶成 1（`references/pitfalls.md` 已写明），与 `RunLevel` 无关；
    非管理员机上 `Limited` 实测建得成、也跑得起来。
  · `SKILL.md`、`references/supervise-persistence.md` 同步改口径。
  · `references/deploy.md` 包内脚本清单去掉 `keepalive.py`。

验证（本机实跑，⛔ 不真建任务：把脚本调用拦下来只看文本）
  · 两分支对照：管理员分支 6/6 段带 `-RunLevel Highest`；强制非管理员分支 6/6 段无 `RunLevel`。
  · 与改动前逐字对照：管理员分支生成的脚本归一化后完全一致（6/6 段）⇒ 原行为不变。
  · `selftest.py`：改前 110/0、改后 110/0（无回归）。
  · `install.py --manifest`：77 份文件、语法失败 0。
  · 副本已分发到本机 4 个工作区（md5 与源一致）。
⚠️ 非管理员分支本机验不到（本机是 Administrator）⇒ 该档验收需在非管理员账户的机器上跑。

session-mechanism/SKILL.md

@@ -902,7 +902,7 @@ python .workbuddy/collab/collabd.py --set-life 进行中 --by "主会话"
         换 `runpy` 后从任意 cwd 都正常（`runpy` 会正确设好 `__file__`／`__name__`／`sys.path[0]`，
         `board.py` 顶部的 `_sm_load_roots()` 靠 `__file__` 往上找 `roots.env`）。
       · 🔴 **任务设置**：`ExecutionTimeLimit=0`（无时限）｜`MultipleInstances=IgnoreNew`｜
-        `RestartCount=999`／`RestartInterval=1min`｜`RunLevel=Highest`（⚠️ `Limited` 实测 `LastTaskResult=1`）。
+        `RestartCount=999`／`RestartInterval=1min`｜`RunLevel` **按账户权限自适应**（管理员＝`Highest`；非管理员⛔ 不带 —— 写死会被拒）。
       · ✅ **验收（三条全绿才算成，⛔ "打印了启动消息"不算）**：`netstat` 见 `127.0.0.1:<port> LISTENING` ∧
         `curl /` = 200 ∧ **父进程是 `svchost.exe -s Schedule`**（⇒ 已脱离会话，⛔ 不是会话树里的 bash）。
         🔴 **且要看进程树下**：**零 `cmd.exe`／零 `conhost.exe`** ⇒ 黑窗彻底消除，这才算对。

session-mechanism/assets/board-launch.py.tpl

@@ -29,7 +29,12 @@ $p = New-ScheduledTaskPrincipal -UserId '<当前用户>' -LogonType Interactive
 Register-ScheduledTask -TaskName 'dsh-board-<端口>' -Action $a -Settings $s -Principal $p -Force
 ```
 
-🔴 **`RunLevel=Highest` 不是可选项**：`Limited` 实测 `LastTaskResult=1`（写日志/读库被拒）。
+🔴 **`RunLevel` 按账户权限定**：管理员（进程已提权）⇒ 带 `-RunLevel Highest`；非管理员 ⇒ 去掉 `-RunLevel`（走普通权限）。
+   依据（2026-10-12 实测）：非管理员账户上写死 `-RunLevel Highest` ⇒ `Register-ScheduledTask : 拒绝访问` —— 任务**根本建不出来**。
+   ⚠️ 旧版这里写的是「`Highest` 不是可选项：`Limited` 实测 `LastTaskResult=1`」，**那是误归因**：
+      看板 `LastResult=1` 的真因是单例守卫 ＋ `pythonw` 无 stdout 把退出码顶成 1
+      （见 `references/pitfalls.md`「看板的 `LastResult=1` 是虚警」），与 `RunLevel` 无关；
+      非管理员机上 `Limited` 实测建得成、也跑得起来。
 
 ## ⛔ 两条封死的写法（都亲手栽过）
 

session-mechanism/references/deploy.md

@@ -109,7 +109,7 @@
 
 | 层 | 文件 | 装什么 | 谁读 |
 |---|---|---|---|
-| **L0 技能包级**（每台机器一份） | `<技能包>/env/roots.env`（真文件不入库；样例 `*.example` 入库） | 这台机器的根：`DSH_WS_ROOT`、`DSH_AIROOT`、`WB_RESULT_HOOK_WS`、`COLLABD_PROD_CONFIG`、`CODEBUDDY_CONFIG_DIR`、`DSH_DOCS_ROOT` | **包内脚本**：钩子（`scripts/hooks/*`）、`board.py`、`goalctl.py`、`collabctl.py`、`keepalive.py` |
+| **L0 技能包级**（每台机器一份） | `<技能包>/env/roots.env`（真文件不入库；样例 `*.example` 入库） | 这台机器的根：`DSH_WS_ROOT`、`DSH_AIROOT`、`WB_RESULT_HOOK_WS`、`COLLABD_PROD_CONFIG`、`CODEBUDDY_CONFIG_DIR`、`DSH_DOCS_ROOT` | **包内脚本**：钩子（`scripts/hooks/*`）、`board.py`、`goalctl.py`、`collabctl.py` |
 | **L1 工作区级**（每工作区一份） | `<工作区>/.workbuddy/collab/collabd.config.json` | 这个工作区自己的东西：`workspace`／`inbox`／`live`／`taskgraph`／`host_db`（可写本机绝对路径）／`peer_workspaces` | **部署副本**：`<ws>/.workbuddy/collab/` 下的 `collabd.py`、`goalctl.py` |
 
 **桥接（谁把两层接起来）**：`scripts/supervise-launch.py`（常驻）与 `scripts/board-launch.py`（看板）。

session-mechanism/references/supervise-persistence.md

@@ -188,7 +188,7 @@ $t=New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSp
 $s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries `
      -StartWhenAvailable -MultipleInstances IgnoreNew `
      -ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden
-$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest
+$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive   # 管理员加 `-RunLevel Highest`；非管理员⛔ 不带
 Register-ScheduledTask -TaskName 'collabd-keepalive-<区名>' -Action $a -Trigger $t -Settings $s -Principal $pr -Force
 ```
 
@@ -200,7 +200,7 @@ Register-ScheduledTask -TaskName 'collabd-keepalive-<区名>' -Action $a -Trigge
 | `-RepetitionInterval` | **5 分钟** | 这就是"复活"的全部来源；⛔ 别改成每分钟 |
 | `-ExecutionTimeLimit` | `0`（无时限） | `--supervise` 是**长驻**进程，默认 72 h ⇒ 到点被掐死；设 2 分钟 ⇒ 每 2 分钟重建一次＝另一种抖动 |
 | `-MultipleInstances` | `IgnoreNew` | 重复起 ⇒ 双写台账 |
-| `-Hidden` ＋ `Interactive` ＋ `Highest` | — | 缺 ⇒ 开机／登录后不启动；权限不足 |
+| `-Hidden` ＋ `Interactive` ＋ `-RunLevel` | 管理员带 `Highest`；非管理员⛔ 不带 | 缺 `-Hidden`／`Interactive` ⇒ 开机／登录后不启动；⚠️ **非管理员机上写死 `-RunLevel Highest` ⇒ 注册被拒**（`拒绝访问`，任务建不出来 —— 2026-10-12 实测） |
 | 🟠 `-RestartCount 999`／`-RestartInterval 1min` | **已去掉** | 旧写法。**每 5 分钟重复触发本身就提供重拉**；每分钟重启是多余的抖动（P0-74 记过"反复"的成因） |
 
 ### 2.4 ⚠️ 本机两条操作纪律

session-mechanism/scripts/collabctl.py

@@ -186,6 +186,27 @@ def _pyw() -> str:
     return p if os.path.isfile(p) else sys.executable
 
 
+def _admin_principal_flag() -> str:
+    """🔴 按**当前账户权限**给建任务用的 `New-ScheduledTaskPrincipal` 生成提权片段（2026-10-12 加）。
+
+    管理员（进程已提权）⇒ 返回 ` -RunLevel Highest`，**原行为不变**；
+    非管理员 ⇒ 返回空串（**整段去掉** `-RunLevel`，走普通权限）。
+    依据（2026-10-12 实测）：账户非管理员时写死 `-RunLevel Highest`
+    ⇒ `Register-ScheduledTask : 拒绝访问`（该机常驻因此没有自愈载体、死了没人拉）。
+
+    ⛔ **一次性判定**，不采用「先按 Highest 建、失败再重试」——
+    那会让每次多一次失败注册，日志噪声翻倍。
+    ⚠️ 判不出来（异常）⇒ 按**普通权限**走：宁可少一次提权，也要让任务建得成。
+    """
+    try:
+        import ctypes
+        if ctypes.windll.shell32.IsUserAnAdmin():
+            return " -RunLevel Highest"
+    except Exception:
+        pass
+    return ""
+
+
 def _ps(script: str) -> str:
     r"""跑一段 PowerShell，返回 stdout（失败返回空串，⛔ 不抛）。
 
@@ -486,9 +507,9 @@ def ensure_keepalive_tasks():
             "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries "
             "-StartWhenAvailable -MultipleInstances IgnoreNew "
             "-ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden;"
-            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
             "Register-ScheduledTask -TaskName '%s' -Action $a -Trigger $t -Settings $s -Principal $pr -Force | Out-Null"
-            % (pyw, launcher, wd, task))
+            % (pyw, launcher, wd, _admin_principal_flag(), task))
         made.append(task)
         _p("  ✓ 保活任务就绪：%s" % task)
     if os.path.isfile(BOARD_PY) and not ONLY_WS:
@@ -510,9 +531,9 @@ def ensure_keepalive_tasks():
                 "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries "
                 "-StartWhenAvailable -MultipleInstances IgnoreNew "
                 "-ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden;"
-                "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+                "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
                 "Register-ScheduledTask -TaskName '%s' -Action $a -Trigger $t -Settings $s -Principal $pr -Force | Out-Null"
-                % (pyw, launcher, wd, BOARD_TASK))
+                % (pyw, launcher, wd, _admin_principal_flag(), BOARD_TASK))
             made.append(BOARD_TASK)
             _p("  ✓ 看板任务就绪：%s（经启动器 board-launch.py）" % BOARD_TASK)
         else:

session-mechanism/scripts/collabd.py

@@ -726,6 +726,27 @@ def ensure_supervise(why: str = "", verify: bool = True) -> dict:
 
 
 
+def _admin_principal_flag() -> str:
+    """🔴 按**当前账户权限**给建任务用的 `New-ScheduledTaskPrincipal` 生成提权片段（2026-10-12 加）。
+
+    管理员（进程已提权）⇒ 返回 ` -RunLevel Highest`，**原行为不变**；
+    非管理员 ⇒ 返回空串（**整段去掉** `-RunLevel`，走普通权限）。
+    依据（2026-10-12 实测）：账户非管理员时写死 `-RunLevel Highest`
+    ⇒ `Register-ScheduledTask : 拒绝访问`（该机常驻因此没有自愈载体、死了没人拉）。
+
+    ⛔ **一次性判定**，不采用「先按 Highest 建、失败再重试」——
+    那会让每次多一次失败注册，日志噪声翻倍。
+    ⚠️ 判不出来（异常）⇒ 按**普通权限**走：宁可少一次提权，也要让任务建得成。
+    """
+    try:
+        import ctypes
+        if ctypes.windll.shell32.IsUserAnAdmin():
+            return " -RunLevel Highest"
+    except Exception:
+        pass
+    return ""
+
+
 def _escalate_to_keeper(detail: str = "") -> str:
     """**各工作区自我建立常驻**的落点（2026-10-04 用户口径，逐字）：
 
@@ -811,13 +832,13 @@ def _escalate_to_keeper(detail: str = "") -> str:
             "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries "
             "-DontStopIfGoingOnBatteries -StartWhenAvailable "
             "-ExecutionTimeLimit ([TimeSpan]::Zero) -MultipleInstances IgnoreNew -Hidden;"
-            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
             "Register-ScheduledTask -TaskName $n -Action $a -Trigger $t -Settings $s "
             "-Principal $pr -Force|Out-Null;"
             "Start-ScheduledTask -TaskName $n;"
             "$i=Get-ScheduledTaskInfo -TaskName $n;"
             "'OK State=' + (Get-ScheduledTask -TaskName $n).State + ' Last=' + $i.LastTaskResult"
-        ) % (_task, str(_pyw), str(_launcher), str(WS))
+        ) % (_task, str(_pyw), str(_launcher), str(WS), _admin_principal_flag())
         _r = subprocess.run(["powershell.exe", "-NoProfile", "-ExecutionPolicy", "Bypass",
                              "-Command", _ps], capture_output=True, timeout=180,
                             creationflags=0x08000000)   # CREATE_NO_WINDOW（⛔ 缺了会闪黑窗）