R25 集成批 6 + R26 批 1：连接状态单一真相 + Seatbelt 沙箱 + 先劝再断 + 插件真 PG 门与 golden + MCP 设计稿

[mycyg]

R25 集成批 6 + R26 批 1：桌面端连接状态单一真相（W-Q）、Seatbelt 沙箱 fail-closed（B8）、重复动作先劝再断（B6）、MCP 客户端设计稿。基线已含 PR #24。

一、桌面端连接状态单一真相（r25/q-desktop-connection-state，7 commits）

• Rust 侧事件 workhub-connection-changed：{ state: connected | reconnecting | offline, server_url, since_ms, attempt }。纯函数状态机把 Connecting/Open/Retrying/Closed 收敛成三态；连续失败不满 3 次是「重连中」，之后才「已离线」；只在三态/attempt/server_url 任一变化时广播；等 client token 期间不广播。新命令 get_connection_state 供三窗 boot 拉初值。
• 三窗接线：工作台头部状态词、主窗聚焦盒顶部连接状态细条、桌宠纯文本提示；撤下桌宠从 sse-status 猜出来的离线卡接线。
• L-06 根治：桌宠离线提示不再产生 CuuCard（会把窗口撑到 520×720），改走紧凑气泡路径，窗口维持 260×340。
• 登录广播对称：workhub-logged-in 补 source: main | workbench，两端按 source !== 自己 才 reload，防双刷。
• 与聚焦盒生长线在 main.rs 只撞一处 use 行，两边保留。真机走查另有 QA 工人在验，结论作为追加 commit 或后续批。

二、B8 Seatbelt 沙箱 fail-closed（r26/s-seatbelt-sandbox，5 commits）+ 旧措辞同步

• 三档 SandboxMode = read-only | workspace-write | danger-full-access，agent run 默认 workspace-write。
• macOS：argv 一律包成 sandbox-exec -p <profile> -- <argv>，(deny default) + (deny network*) 起手，profile 本机逐条实测收敛（/、/var 符号链接本体、xcrun 的 _CS_DARWIN_USER_TEMP_DIR 三个反直觉必需项已写进注释）；解析 args[0] 实际路径放行其安装前缀，nvm/pyenv/conda 解释器可用。
• fail-closed：无可用后端平台默认拒绝执行并回 SANDBOX_UNAVAILABLE；AGENT_RUN_ALLOW_UNSANDBOXED_COMMANDS 语义改为「允许降级到软沙箱（partial）」。agent-runner 一律注入 createSandboxedCommandRunner({ allowDegraded })。
• 完整度上报 enforcement: full | partial；Seatbelt 拒绝签名翻成固定话 [sandbox: … denied by policy] 这是沙箱策略拒绝，不是命令写错……不要换写法绕过；系统提示词加工作纪律第 7 条。
• 拒绝路径可复现：把 darwin 分支改回软沙箱注入回归，4 条测试立红，还原复绿。
• 新增 SAFETY.md（中英五段）。.env.example / .env.pilot.example / DEPLOY.md 的旧措辞同步。
• 默认行为变更：macOS 上开关为 false 时 run_command 从「不可用」变为「在 Seatbelt 下可用」。
• CI 影响已核：r1/r2 PG smoke 用自带 options 的内存队列拿不到注入 runner，行为不变；pilot-stack 在 Linux 容器 + 开关 true = 软沙箱，与今天等价。

三、B6 重复动作先劝再断（r26/t-repeat-tool-reminder，3 commits）

• DoomLoopDetector.push() 返回带档位的信号；阈值默认 [3,5,8] 由 doomLoopWindow + 固定偏移推出；判定口径（SHA-256 指纹、全同窗口、周期 2 交替）一字未改。
• 传统 loop：tier 1/2 在 tool_result 之后追加一条独立 user 消息继续跑；tier 3 走原 escalated + StructuredHandoff。loop2 经 steering 注入同一段正文；equivalence 用例断言两套引擎完整对话线逐条 deepEqual。
• 行为变更：原「撞 3 次即 escalated」改为第 3/5 步各劝一次、第 8 步才升级；测试与 Agent Note 均已明说。预算交互：maxSteps 先耗尽仍按预算路径收尾。

四、插件治理真 PG 门 + 插件工具 golden（r26/v-plugin-pg-e2e-golden，3 commits）+ CI 接线

• 新增 apps/api/src/qa/r1-pg-plugin-governance-smoke.ts（qa:r1-pg-plugin-smoke）：0072 表形状（升级路径与全新库两条都在真库跑过）→ 空清单 → 非管理员四端点 403 → 三类 422 → 装 echo 夹具 201 + 重复 409 → 工具注册表（PluginHostClient.toolSpecs，即 agent-runner 走的那条：装完出现、停用消失、另一工作区看不到）→ 移除 404 → 四条审计。挂进 verify.yml 的 r1-pg-smoke job（同容器同 env）。
• 两条真 PG 门共用的基建抽成 apps/api/src/qa/r1-pg-harness.ts（r1 smoke 改为引用）；withErrors 补进 PluginServiceError；seedAdminHeaders 轮换种子管理员令牌，修掉「同一个库上不能复跑」的坑。
• 插件工具 golden：apps/api/src/golden/plugin-tool.golden.test.ts + 4 份 expected（真起宿主子进程翻译后的 ToolSpec 非函数面 / toModelTools 视图与角色可见性 / 两套引擎请求体里插件那一项 / 恶意文案中和结果）。「能红」演练：改一个字母 3 份同时红。
• 照出两条事实：插件工具是本仓第一个 external_effect 工具，research/review 角色看不到它（可见性已显式落盘）；插件 ctx.systemPrompt.section 未接线，golden 只覆盖工具面并钉住「装了插件系统提示词逐字节不变」。
• qa:plugin-smoke 挂进 workspace job（不需要 PG / key）。
• 修 B8 一条环境相关单测：interpreterReadRoot 规范化函数可注入，Ubuntu 合并 /usr 布局下不再把 /bin/sh 前缀算成 /usr 而红。

五、真机验收与修复（r26/qa-connection-state-device，2 commits + 2 个追加 commit）

打成 release .app 在本机真跑（PG 容器 + API 8787，昵称登录，无模型 key），七个场景全部截图留证（screencapture CLI，坐标取自 CGWindowListCopyWindowInfo）：

• 三窗共用同一份壳层判定，运行期迁移三窗同一拍同步；杀后端后聚焦盒顶部出现琥珀细条（不遮输入框，窗口 706→741），工作台头部切「离线」，桌宠提示出现；连续失败满 3 次切「已离线」（从流断开算起约 28 秒，与设计的 5+10+20 吻合）；恢复后端 15–19 秒内三窗同拍回「已连接」。
• L-06 根治有效：桌宠窗口 45 个采样恒为 260×340（×75% 缩放），一像素没撑大。
• 玻璃无回归：聚焦盒与新细条在彩色高对比背景上磨砂完好；工作台外缘透色、内部纸感不变。
• 聚焦盒生长动画复验：10 个可见样本左上角恒为 (504,133)，补间 48→706 步长单调收窄、末帧精确、约 185ms。
• 登录广播正向通过（主窗登录后主窗、工作台各只 boot 一次，无双刷）；工作台自己的凭据门登录只在密码模式出现，QA 受操作边界限制未跑，待人工补一次。

修复：

• 桌宠连接提示文案被截断（地址被省略号吃掉、「重连中/已离线」整段不可见）→ 只放宽「无卡片仅状态文本」这一种气泡的高度上限（calc(100% - 232px*scale)，四个缩放档都不越窗）与行数，窗口尺寸不动。
• 重复推入同一设备令牌不再递增身份代际 → 每开一扇窗/每登录一次不再把活跃 SSE 判成 Superseded 重连一轮（此前一次登录连打三次「重连中→已连接」，后端真挂着时开窗还会把「已离线」打回「重连中」重等 35 秒）。
• 工作台头部 boot 竞态（一切正常时长期喊「重连中」）→ 三窗改用同一助手 primeDesktopConnectionState：先订阅、订阅落地后再拉快照、事件永远比快照新。
• 「重连中（第 0 次）」→ 重连中的 attempt 至少为 1（Rust 侧，单测钉住）。
• 细条隐藏后窗口约 15 秒才回缩（35px 透明空窗吃点击）→ 细条显隐变化时主动请求尺寸重算。

六、MCP 客户端设计稿

reports/r25-侦察-2026-09-05/M-MCP客户端设计.md：新包 packages/mcp-client 与插件宿主平级、mcp_servers 表（迁移 0073）、11 个工包切分。带出一条硬事实：插件工具按 external_effect 映成 riskCategory，人工保留守卫只要它非空就开升级 409，等于每次插件调用都转人（plugin-smoke 靠假守卫跑通）——插件阶段 2 的第一优先项定为逐工具风险分级。

expected 基线 diff 摘要（pnpm gen:expected 幂等复核后 git status 为空）

• B8：5 个文件 +7/-3——系统提示词工作纪律第 7 条（agent-run-system-prompt.full/.worker、agent-run-request.loop/.loop2 共 4 处）+ run_command description 增一句（agent-run-request.loop/.loop2、agent-run-tool-schemas 共 3 处）。
• W-V：只新增 4 份 apps/api/expected/plugin-tool-*.expected.json，既有 47 份零改动。
• B6：只新增 7 份 packages/agent/expected/doom-loop-reminder.*（档位表 + 三档话术 + 截断尾注 + 第三档 handoff 句），既有 expected 零改动。
• W-Q / 设计稿：无模型可见文本变化。

验证

• cargo fmt --check / cargo test 198 / cargo clippy -D warnings 三门绿；desktop-webview 1701 全过；真机 release .app codesign --verify 通过。
• pnpm -r typecheck 全 Done；tools 52 / agent 286 / api 2111 / plugin-host 43 / db 499 全过；qa:plugin-smoke 通过；qa:r1-pg-plugin-smoke 本机真容器三跑全过。
• CI（fddf05c6）8/8 绿：workspace / r1-pg-smoke（含插件门）/ r2-pg-redis-smoke / pilot-stack-smoke / web-live-route-smoke / rust-system-i18n / migration-audit / security-advisory。
• audit：agent-notes（36 份）/ copy-terms / third-party-notices / portable-config 通过。

🤖 Generated with Claude Code