session-mechanism：建任务的 RunLevel 改成按账户权限自适应（非管理员机不再被拒）

现象：常驻每次尝试给自己装保活任务，日志都留一行「常驻自我供给（计划任务）：⛔ 登记失败： Register-ScheduledTask : 拒绝访问」⇒ 非管理员账户的机器上常驻没有自愈载体（死了没人拉）。真因（2026-10-12 实测坐实）：建任务时把运行权限写死成 `-RunLevel Highest`，而该机账户不是管理员，Windows 直接拒绝注册；同一个任务去掉这个参数就建得成。改法（一次性判定，⛔ 不用「先按 Highest 建、失败再重试」—— 那会让每次多一次失败注册）：新增 `_admin_principal_flag()`：管理员（进程已提权）⇒ ` -RunLevel Highest`（原行为不变）；非管理员 ⇒ 空串（整段去掉 `-RunLevel`）；判不出来 ⇒ 按普通权限走（宁可少一次提权，也要建得成）。落点三处：`collabctl.py::ensure_keepalive_tasks()` 两处（保活任务＋看板任务）、 `collabd.py::_escalate_to_keeper()` 一处（自我供给旁路）。同批退役（定案 A）：`scripts/keepalive.py` → `keepalive.py.retired-20261012`。它零 importer、不在 `deploy_code.py` 分发清单，`references/deploy.md §4` 早已写明它是「旧副本、职责已被本 skill 吸收」；留着就是第二份建任务实现，与「建任务只许一处」相抵。 ⚠️ 它的 `-ExecutionTimeLimit (New-TimeSpan -Minutes 2)` 确实与另三处（无时限）不一致，退役后该不一致一并消失；工作区侧无同名副本，无需清理。文档订正（旧结论是误归因）： · `assets/board-launch.py.tpl` 那条「`Highest` 不是可选项：`Limited` 实测 `LastTaskResult=1`」 ⇒ 订正为「`RunLevel` 按账户权限定」。看板 `LastResult=1` 的真因是单例守卫＋ `pythonw` 无 stdout 把退出码顶成 1（`references/pitfalls.md` 已写明），与 `RunLevel` 无关；非管理员机上 `Limited` 实测建得成、也跑得起来。 · `SKILL.md`、`references/supervise-persistence.md` 同步改口径。 · `references/deploy.md` 包内脚本清单去掉 `keepalive.py`。验证（本机实跑，⛔ 不真建任务：把脚本调用拦下来只看文本） · 两分支对照：管理员分支 6/6 段带 `-RunLevel Highest`；强制非管理员分支 6/6 段无 `RunLevel`。 · 与改动前逐字对照：管理员分支生成的脚本归一化后完全一致（6/6 段）⇒ 原行为不变。 · `selftest.py`：改前 110/0、改后 110/0（无回归）。 · `install.py --manifest`：77 份文件、语法失败 0。 · 副本已分发到本机 4 个工作区（md5 与源一致）。 ⚠️ 非管理员分支本机验不到（本机是 Administrator）⇒ 该档验收需在非管理员账户的机器上跑。
2026-10-12 11:07:02 +08:00
1 parent c9e8f0fbb0
commit 60a6e30ba2
@@ -186,6 +186,27 @@ def _pyw() -> str:
    return p if os.path.isfile(p) else sys.executable


+def _admin_principal_flag() -> str:
+    """🔴 按**当前账户权限**给建任务用的 `New-ScheduledTaskPrincipal` 生成提权片段（2026-10-12 加）。
+
+    管理员（进程已提权）⇒ 返回 ` -RunLevel Highest`，**原行为不变**；
+    非管理员 ⇒ 返回空串（**整段去掉** `-RunLevel`，走普通权限）。
+    依据（2026-10-12 实测）：账户非管理员时写死 `-RunLevel Highest`
+    ⇒ `Register-ScheduledTask : 拒绝访问`（该机常驻因此没有自愈载体、死了没人拉）。
+
+    ⛔ **一次性判定**，不采用「先按 Highest 建、失败再重试」——
+    那会让每次多一次失败注册，日志噪声翻倍。
+    ⚠️ 判不出来（异常）⇒ 按**普通权限**走：宁可少一次提权，也要让任务建得成。
+    """
+    try:
+        import ctypes
+        if ctypes.windll.shell32.IsUserAnAdmin():
+            return " -RunLevel Highest"
+    except Exception:
+        pass
+    return ""
+
+
 def _ps(script: str) -> str:
    r"""跑一段 PowerShell，返回 stdout（失败返回空串，⛔ 不抛）。

@@ -486,9 +507,9 @@ def ensure_keepalive_tasks():
            "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries "
            "-StartWhenAvailable -MultipleInstances IgnoreNew "
            "-ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden;"
-            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
            "Register-ScheduledTask -TaskName '%s' -Action $a -Trigger $t -Settings $s -Principal $pr -Force | Out-Null"
-            % (pyw, launcher, wd, task))
+            % (pyw, launcher, wd, _admin_principal_flag(), task))
        made.append(task)
        _p("  ✓ 保活任务就绪：%s" % task)
    if os.path.isfile(BOARD_PY) and not ONLY_WS:
@@ -510,9 +531,9 @@ def ensure_keepalive_tasks():
                "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries "
                "-StartWhenAvailable -MultipleInstances IgnoreNew "
                "-ExecutionTimeLimit (New-TimeSpan -Seconds 0) -Hidden;"
-                "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+                "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
                "Register-ScheduledTask -TaskName '%s' -Action $a -Trigger $t -Settings $s -Principal $pr -Force | Out-Null"
-                % (pyw, launcher, wd, BOARD_TASK))
+                % (pyw, launcher, wd, _admin_principal_flag(), BOARD_TASK))
            made.append(BOARD_TASK)
            _p("  ✓ 看板任务就绪：%s（经启动器 board-launch.py）" % BOARD_TASK)
        else:
@@ -726,6 +726,27 @@ def ensure_supervise(why: str = "", verify: bool = True) -> dict:



+def _admin_principal_flag() -> str:
+    """🔴 按**当前账户权限**给建任务用的 `New-ScheduledTaskPrincipal` 生成提权片段（2026-10-12 加）。
+
+    管理员（进程已提权）⇒ 返回 ` -RunLevel Highest`，**原行为不变**；
+    非管理员 ⇒ 返回空串（**整段去掉** `-RunLevel`，走普通权限）。
+    依据（2026-10-12 实测）：账户非管理员时写死 `-RunLevel Highest`
+    ⇒ `Register-ScheduledTask : 拒绝访问`（该机常驻因此没有自愈载体、死了没人拉）。
+
+    ⛔ **一次性判定**，不采用「先按 Highest 建、失败再重试」——
+    那会让每次多一次失败注册，日志噪声翻倍。
+    ⚠️ 判不出来（异常）⇒ 按**普通权限**走：宁可少一次提权，也要让任务建得成。
+    """
+    try:
+        import ctypes
+        if ctypes.windll.shell32.IsUserAnAdmin():
+            return " -RunLevel Highest"
+    except Exception:
+        pass
+    return ""
+
+
 def _escalate_to_keeper(detail: str = "") -> str:
    """**各工作区自我建立常驻**的落点（2026-10-04 用户口径，逐字）：

@@ -811,13 +832,13 @@ def _escalate_to_keeper(detail: str = "") -> str:
            "$s=New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries "
            "-DontStopIfGoingOnBatteries -StartWhenAvailable "
            "-ExecutionTimeLimit ([TimeSpan]::Zero) -MultipleInstances IgnoreNew -Hidden;"
-            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive -RunLevel Highest;"
+            "$pr=New-ScheduledTaskPrincipal -UserId $env:USERNAME -LogonType Interactive%s;"
            "Register-ScheduledTask -TaskName $n -Action $a -Trigger $t -Settings $s "
            "-Principal $pr -Force|Out-Null;"
            "Start-ScheduledTask -TaskName $n;"
            "$i=Get-ScheduledTaskInfo -TaskName $n;"
            "'OK State=' + (Get-ScheduledTask -TaskName $n).State + ' Last=' + $i.LastTaskResult"
-        ) % (_task, str(_pyw), str(_launcher), str(WS))
+        ) % (_task, str(_pyw), str(_launcher), str(WS), _admin_principal_flag())
        _r = subprocess.run(["powershell.exe", "-NoProfile", "-ExecutionPolicy", "Bypass",
                             "-Command", _ps], capture_output=True, timeout=180,
                            creationflags=0x08000000)   # CREATE_NO_WINDOW（⛔ 缺了会闪黑窗）