R26 集成批 3：MCP 连接监督 + 插件治理阶段 2 + MCP 工具 golden + 桌面端文案修复批

[mycyg]

R26 集成批 3：MCP 连接与监督（M2）+ dsh 插件治理阶段 2（逐工具风险分级 / 每插件熔断 / 真守卫冒烟）+ MCP 工具 golden（M6）+ 桌面端文案修复批（F1）。

一、MCP 连接与监督（r26/m2-mcp-connection，5 commits）

• stdio 传输层 packages/mcp-client/src/stdio/（经 ./stdio 子路径导出，主入口仍零 IO）：换行分隔的 JSON-RPC 2.0 最小客户端，不引官方 SDK（工人全程离线安装；替换点唯一在 session.ts）。协议面：initialize 版本协商（客户端报 2025-06-18，接受 2025-03-26 / 2024-11-05，其余 fail-closed）；握手 10s 超时并收干净子进程；未声明 capabilities.tools 就如实零工具；tools/list 跟 cursor 翻页到底（上限 20 页，同一 cursor 回第二次判协议错误）；服务器反向请求（sampling / roots / elicitation）一律回 -32601；list_changed 只标脏下次刷新；调用超时发 notifications/cancelled，迟到回复丢弃；单行 1MB 上限，stderr 尾部 8KB 留证。
• 监督层 apps/api/src/services/mcp-client.ts：按工作区读 mcp_servers 启用行懒连接；熔断粒度是一台服务器（重连 10 分钟 3 次，连接失败与非预期退出计同一份预算，reload() 解除）；活子进程上限 8（LRU）；空闲 10 分钟回收（不算失败，live: false 单独字段）；每调用审计 mcp.tool.called（形状对齐 plugin.tool.called，capability = minScope）；真实连接结果写回仓储。env 走 M1 白名单 + WORKHUB_MCP_SECRET_* 引用式密钥。
• M1b 合并点接上：content.ts 改为转调 @workhub/tools 的 sanitizeModelFacingText，行为逐字不变。
• 五条回归对照（重连上限 / 崩溃抛异常 / 关闭空闲回收 / env 透传 / 刷新失败上抛）都能红。

二、插件治理阶段 2（r26/x-plugin-phase2-risk-grading，5 commits）

• 分级映射：迁移 0074 给 plugins 加 trust_level（默认 external_effect）。最终 sideEffect = 管理员断言 AND 工具自述：只有管理员断言 read_only 且宿主 register() 面上 readOnlyHint === true 才映成 none（minScope: plugin:<id>:read），其余一律 external_effect。dsh defineTool@0.1.0-rc.8 没有任何只读/破坏性声明位（isConcurrencySafe 刻意不当只读信号）。低风险档选 none 不选 sandbox_file（只读工具不该开永远用不上的还原点）。agent-runner.ts 一行未改：none 档不进人工保留门、对 research/review 可见，都是既有规则的自然结果。
• 每插件熔断：按 source_path 的 quarantine，归因不猜（崩时只有一个插件的调用在飞、或宿主只装了一个插件才归因；否则退回整面熔断）；plugins.status 增 crashed，落库走 pluginCrashSink（不接线不碰 PG）；热重载一并解除两种熔断。
• 真守卫冒烟：qa:plugin-smoke 去掉假守卫，接真实 humanReservedGuard：只读档调用直接跑通（升级事件 0、不开还原点），外部影响档仍停下转人（user_forbidden 升级带 risk_category: external）。真 PG 门补信任级别读写断言（一次性容器实跑：0072 + 0074 落地，plugin.trust_changed 轨迹）。
• 两端界面说清信任级别，桌面端给管理员改它的入口；README 补两段。
• 错误路径中和与 main 上已落地的同一处修复对齐（合并时只撞一处 import 排版；重复声明的常量已去重）。
• 已知：词表分类先于分级——id 里带 payment/publish 一类词的插件工具即使只读档也照样转人（与 MCP 设计里「服务器名参与分词」同性质），界面尚未解释；现存 dsh 插件没写 readOnlyHint 的仍在最高档，这是默认拒绝该有的样子。

三、MCP 工具 golden（r26/m6-mcp-golden，3 commits）

5 份新 expected：mcp-tool-spec（两档管理员断言下 echo/write_note 的 ToolSpec 非函数面）、mcp-tool-model-view（toModelTools 两项 + 五种角色可见性——分级按工具生效而非按服务器）、mcp-tool-engine-request（两套引擎请求体里 MCP 两项，KNOWN_ENGINE_DELTA 在 none/external_effect 两值上都成立）、mcp-tool-edge-cases（2 条拒绝 + 4 条成功含两个有损命名挂指纹）、mcp-tool-content（围栏注入尝试与非文本块的模型可见文本）。装了 MCP 工具后系统提示词逐字节不变。「能红」演练改一个字母 3 份同时红。

四、桌面端文案修复批（r26/f1-desktop-copy-fix，7 commits）

• 审查清单 78 条（高 7 / 中 49 / 低 22）全部改完：68 处「正在拉…／没拉到」统一为产品口吻的加载态/失败态并收进 load-state-copy.ts；「派 run / 物化到时间线 / agent-run / diff / trace / 快照 / 军团 / 工单 / 邀请令牌 / 聚焦盒」等内部词换成用户能懂的说法；枚举未映射时不再把原始 id 渲染给用户；12 处 error.message 顶替文案改为产品句在前、原始报错作次级信息。
• 术语裁决回写 docs/workhub/00-overview/glossary-dejargon.md：任务 / 小队 / 变更申请 / 还原点 / 执行 / 写入时间线 / 快捷入口 / 邀请码，Rust 通知层用词与页面一致。
• 禁词门补三处缺口：中文 15 组（含「我将 / 我们可以 / 本页面 / 此处展示 / 用于说明 / 实现了 / 即将上线 / 演示数据 / 占位符」）、英文 13 组、agent-run/agent run 写法、词典文件里的纯英文字面量也扫；门禁自测 29 + 5 条。禁词棘轮基线 19→62（新增 43 条全在 web/ui/api，交网页批处理），文案 locale 基线 3669→3659。

expected 基线 diff 摘要（pnpm gen:expected 幂等）

• M6：只新增 5 份 apps/api/expected/mcp-tool-*，既有零改动。

• 插件阶段 2：plugin-tool-spec.expected.json 改为两档各两条（差异实质两格：read_only 档下 echo 的 side_effect external_effect→none、min_scope …:external_effect→…:read；write_note 两档都是 external_effect，即「自述只能降不能抬」的逐字节证据）；plugin-tool-model-view.expected.json 多一个 model_tool_read_only_trusted，角色可见性按信任级别 × 工具展开四张表。plugin-tool-engine-request / plugin-tool-sanitized 零变化。

• M2：模型可见文本零变化。

验证

• pnpm -r typecheck 全 Done；desktop-webview 1704 / cuu 50 / api 2155 / ui 261 / web 168 / plugin-host 53 / mcp-client 137 / db 511 / contracts 196 / api-client 46 / scripts 48 全过；cargo fmt / test 198 / clippy 三门绿。
• CI（a99af008）8/8 绿。
• audit：migrations / ui-i18n / copy-terms / agent-notes / third-party-notices 通过；qa:plugin-smoke（真守卫）通过。

🤖 Generated with Claude Code