[PM seat] domain:metadata — 🟢 os-zhuang

[hotlong]

本贴是 domain:metadata 座位的唯一权威登记。 座位贴协议:索引 = label:pm:seat,总入口 #4604(指针页)。本席由维护者 2026-08-07 批准自 domain:engine-core 拆出(拆域 SKILL PR #6370)。

单写手规则:只有在任座位 PM 编辑本贴正文;接管/移交 = 改正文 + 一条审计评论。空缺争用:动手前重拉正文、审计评论时间戳先到先得、写后回读。活性判定(惰性,无心跳,仅接管冲突时评估):>24h 无产出即可回收。

范围

engine 的元数据半边,按包边界切(Anchoring rule 原样适用):

• packages/metadata*(metadata service / registry / directory 机制)
• packages/platform-objects(内置平台对象定义)

红线:

• ⛔ 改变元数据格式/接受面的改动归 domain:spec(先例 meta: bind Zod schemas for webhook / connector / sharing_rule WITHOUT registering the kinds — close the unvalidated PUT /meta write hole (#2657 audit, option A) #6245/feat(spec): action param 的 options[] 声明逐选项 visibleWhen (#5016) #6235)。
• ⛔ ObjectQL 编译/查询执行、formula、core runtime 归 domain:engine-core(母席)。
• ⛔ /meta HTTP 路由本体在 packages/rest,归 domain:cli;跨半边按主要落点判,拿不准 FLAG 回分诊。
• ⛔ packages/lint 属 devx 车道([finding] validateEmptyCombinators gates the runtime publish path for flow only — the other filter-carrying metadata types reach the same door ungated #6715 实测确认:AUTHORING_RULES 表在 packages/lint/src/authoring-rules.ts,metadata-protocol 只经 @objectstack/lint/runtime 消费)。
• ⛔ content/docs/releases/ 恒不许碰。

卡点自报信号(座位职责)

1. 队列水位:连续 3 天 >15 张、或平均滞留 >48h → 提频/加 batch/继续拆域;
2. 与 engine-core 跨界卡连续出现 → 回分诊重划边界;
3. 分诊脉冲(单次灌入 20+)→ 一次性 sweep 专项吃掉。2026-08-09 06:4x–06:5xZ 小型脉冲(一次灌入 5 张)已当轮全部定价并派完。

当前 PM(会话或 Routine ID)

• GitHub: os-zhuang
• Session: session_01W6bLax4KMrSfnE1ydFU8Dw
• Seated: 2026-08-08T08:35Z — via maintainer invocation /pm-dispatch metadata
• 姿态: Round 7 收束中(2026-08-09T08:2xZ 读数) —— 在飞 1、决策箱 2、等维护者人工闸 1。
• 批次上限:5(维护者 2026-08-08 指令)。
• 常设优先级:维护者 2026-08-09「继续处理 v17 相关的任务」。
• protocol.ts 并行授权:维护者 2026-08-08 显式授权区域不相交并行作者;落地端逐张串行;同函数/同区域恒不同批。
• 前任:GitHub baozhoutao,会话 session_01KDU3qAuJyajAQm3GkUXdfA,任期至 2026-08-08T08:2xZ(计划性收官)。

说明 —— 台账(os-zhuang 任期)

已 MERGED(20 卡 20 PR,零返工零升级)

卡	PR	commit
#6563 交接项	#6642	e6025e9
#6417 NULL-safe 视图索引	#6666	bb7cb417c
#5079 删除后三面陈旧	#6687	114e72795
#6036 死选项 runtime	#6700	61282f906
#6285 发布期护栏	#6708	a5d25734c
#6479 PATCH 路径 id(v17)	#6709	252f71bd6
#6620 软删限支意图(v17)	#6768	75e6871bf
#6660 死翻译键 ×14	#6767	d42a92fc6
#6418 probe-first 移植	#6770	bed427f7e
#6602 org 泄漏收口(v17)	#6779	4bb6f01af
#6659 SSO 四语标签	#6787	e78760861
#6621 revert 刷新 registry(v17)	#6807	271cee131
#6562 effective schema 读(Option B)	#6811	5e247fd6b
#6772 probe SQL PG 合法性	#6817	50a8d115a
#6640 preserveAudit UPDATE-only + 响亮拒绝(裁决 Option 2)	#6823	2ab1257c9
#6771 overlay 索引单一生产者(major,ADR-0087 marker)	#6824	9960cd2a0
#6780 org-gated registry heal(方向 b,v17)	#6826	725c7b023
#6699 classifyIndexFailure 错误对象穿线(#6250 家族第五词表)	#6845	53aeb027f
#6710 发布门改由显式作者通道激活(A1 裁决,v17)	#6971	30283263c
#6848 dialect 臂 cause-walk 对称化(#6250 家族第六词表)	#6989	c733ae8e0

v17 板本任期已摘 7 张;revertCommit 三部曲(#6563/#6620/#6621)全落;#6250 家族第五、六词表连落。

#6710 落地要点(后继卡必读):assertRuntimeAuthoringRules 不再读 environmentId,改读新公共选项 authoringChannel: 'environment' | 'package-author',默认在装配缝与构造器两处解析。⇒ 门覆盖的拓扑变多(CLI host-config 已入网)。⚠️ #6715 实测澄清边界:#6710 settle 的是哪些 kernel 激活门,不是哪些 type 门会 dispatch —— 后者是 #4716,至今零类型开放。cloud control-plane-preset.ts:99 一行声明为实际欠账。

在飞(1 张)

• assertSortFieldsExist's dotted-path SORT hint also prescribes an unmaterializable "formula or rollup" denormalization — same defect class as #6673, different axis #6924 — verification-first(06:47Z 晋级越过 04:30Z 分诊的 repro 闸);第一交付物是 repro,证伪即 STOP;代码 + query-syntax.mdx 同 PR;推翻 sort 的点号路径（?sort=account.company_name）仍然静默降级为「不排序」——#4226 收口后唯一漏网的 sort 形态 #4256 成文措辞须写明。区域 assertSortFieldsExist ~:4745。

决策箱(维护者)—— 2 张,均带完整选项菜单与推荐

卡	状态	推荐
#6190(v17)	实现完成 PR #6973 CI 全绿但按住(draft/HOLD)。协议侧裁决已落实(两条铸行路径、注册表派生判据、无迁移、TSDoc 前提坐实);范围重测为 19/27 类型(非 ~25)。阻断已由 PM 独立核实:runtime/src/domains/meta.ts:270-271 无条件传 session org 且 PUT /meta/:type/:name 无 scope 参数 ⇒ 单独合并将关闭 19 类型在任何 org-enabled 部署的 Studio 授权,且拒绝信息给的补救经该端点够不到。runtime 套件全绿仅因其 dispatcher 测试从不填 activeOrganizationId	A(runtime 只对 allowOrgOverride 类型传 org)+ runtime 先落、#6973 后落(该写入今日已是幻影,先修 runtime 零 403;协议先行会在两次合并间打断授权)
#6853	严重性已升级:非"陈旧 contributor",实测为租户 kernel 上无需操作员介入的数据面 404(包仍在发行的对象)。机制:overlay 与 packaged owner 同 package_id 时 registerObject 把 packaged contributor splice 掉(registry.ts:1159,写时销毁非遮蔽),loadMetaFromDb 每次 boot 静默重做,随后 delete 时 isArtifactBacked 读到被覆写的 contributor 答 false → tier-3 触发 → contributors 空。可决定性实测为 NO:unregisterObject 仅地址,registerObject 另需四值、其中三值在 heal 前已消失 ⇒ 06:49Z 的「复用 name-addressed API」未清掉 01:26Z 的闸	B(生产者侧:overlay 注册为独立 contributor,不再销毁 packaged own)+ C 可作 decision-light 卡先落止血。B 的代价是 ADR-0029 契约变更(overlay 今日整体替换 vs mergeObjectDefinitions 字段增量;第二个 own 破坏 assertSingleOwnerPerObject)—— dev 有意未选该语义

停 ready 等维护者人工闸(不占在飞槽)

• [docs] ADR-0005 的「Index migration」段落描述的是已不存在的机制：addSysMetadataOverlayIndex 已随 #6771 删除，段落还写着 project_id 与 partial 键 #6825 → PR docs(adr-0005): amend the overlay-index section instead of rewriting it #6981(head 29efb3cb1):ADR-0005 §Index migration 三句现逐句为假;走 Amended 段 + 小节横幅 + Status 行第四条,并把两个 owner 文件注册进 scripts/adr-anchors.json(43→45,此前都未锚定 —— ADR-0005 的租户可定制白名单表说 flow/workflow/approval 一律 ❌ per-org override,注册表却写着 allowOrgOverride: true——反转没有走 ADR(Prime Directive #13) #6191 指出的根因复发形状)。CI 除 ADR maintainer approval(⛔ Discipline: ADRs are confirmed and merged by the maintainer only — no AI seat may merge, queue, or auto-merge a docs/adr/** PR #6741 人工闸,failure 系设计)外全绿。
  ⚠️ 落地纪律例外:docs/adr/** = maintainer-merged only,无 auto-merge,不进队列。本席 flip ready 后停手。需维护者 review。
  📌 形状分歧已裁(默认沉默即生效):分诊 06:51Z 处方「就地改写」vs 本席「Amended 段」→ 裁 A —— 横幅在假陈述之前回答了分诊的实质关切;PD [WIP] Add Chinese version of the documentation #13;且 dev 查出 ADR-0045 / 0086 / 本 ADR 第 70 行已是仓内既有惯例。异议即改 B。

本任期 STOP 收口(设计出口,非返工)

• [finding] validateEmptyCombinators gates the runtime publish path for flow only — the other filter-carrying metadata types reach the same door ungated #6715 已关闭(not_planned,mis-scoped):分诊晋级时自写的停止条件被实测触发。M2 决定性 —— 运行时发布面全部 6 条规则都只声明 runtimeTypes:['flow'],其余类型 gated-by=(NONE);唯一带外反例(ADR-0094 registerAuthoringGate)判的是 OWD 安全姿态而非 filter。⇒ gap 是门的普遍形状,工作归 [P2] 运行时授权门扩到 object 写入 + 全量 runtime-safe 规则快照(#4463 P1 之后) #4716(其正文逐字禁止一行式交付)。M1 的 0 被 dev 主动判为弱证据(能承载该问题的 stored sys_metadata 语料仓内不存在)。两项测量 + 两条带外发现已转交 [P2] 运行时授权门扩到 object 写入 + 全量 runtime-safe 规则快照(#4463 P1 之后) #4716(评论 5230446731):类型面实为七个而非四个,且 report/dataset/app 无 TYPE_TO_STACK_KEY、authoring-rule-wiring.test.ts:387 会对缺失者失败;落点在 packages/lint(devx 车道),本席不认领。

队列与供给(4 张持卡,全部有外部等待项;可派 0)

• api 注册表条目声明 allowRuntimeCreate: true,但运行时创建的端点匹配器永远看不见 —— 声明的能力运行时不兑现(真实 boot 实测) #5488(v17):裁决已落(Option B),等分诊席对不可拆跨域卡落车道指定。两次申请(08-08 03:58Z / 08-09 05:56Z)均无回应。⛔ 未获指定不得单方认领。唯一仍被阻塞的 v17 卡,已构成跨席阻塞项。
• IMetadataService.list() presents a known-partial answer as a complete one — the #5840 shape on the plural read #6504:Option A 已裁,契约行等分诊拆转 spec 席后本席接实现半边。
• [P2] 运行时授权门扩到 object 写入 + 全量 runtime-safe 规则快照(#4463 P1 之后) #4716:gate 类型前沿的真正所有者,已收本席 [finding] validateEmptyCombinators gates the runtime publish path for flow only — the other filter-carrying metadata types reach the same door ungated #6715 测量;落点 packages/lint 属 devx 车道,待分诊指定。
• [P2/P3] 运行时授权门的 advisory findings 要进响应并被 Studio 渲染 + docs「the gate」补第四列(#4463 收尾) #4717:[runtime/metadata] 作者时规则只存在于 CLI:Studio/REST/MCP 的运行时授权面是第四扇门,26 条规则一条不跑——#4409 修完后最大的敞口 #4463 收尾,待分诊拆分。二者均不带 target:v17。
• 新立待分诊定级:Plugin-registered metadata types can carry org-scoped rows that cold boot skips — neither refused nor reported #6992(plugin 注册、无静态注册表条目的类型 —— 既不被 org 作用域的 flow overlay 只在「本进程内发布后」绑定触发器,重启后静默失绑——冷启动两条读路径都把 organization_id 非空的行滤掉了 #6190 新门覆盖也不被 PR fix(metadata-protocol): cold boot names the org-scoped rows it cannot hydrate (#6190) #6600 冷启动审计覆盖,两头都漏)、An object overlay write over a packaged object is silently discarded by registerObject's ownership rule while saveMetaItem reports success #6995(不同包拥有的 packaged object 上的 overlay 写入被静默丢弃,saveMetaItem 却报 success;B 可subsume)。
• 已请分诊席重新定级 Registry heal restores the metadata-map view but never re-registers a packaged contributor definition an overlay save replaced #6853(带 404 测量,可能够 target:v17);target:* 属分诊席权限,本席只请求。

跨车道备忘

• 分诊席:api 注册表条目声明 allowRuntimeCreate: true,但运行时创建的端点匹配器永远看不见 —— 声明的能力运行时不兑现(真实 boot 实测) #5488 车道指定两次无回应 —— 唯一阻塞本席 v17 板的外部依赖。另欠 Registry heal restores the metadata-map view but never re-registers a packaged contributor definition an overlay save replaced #6853 重定级、Plugin-registered metadata types can carry org-scoped rows that cold boot skips — neither refused nor reported #6992/An object overlay write over a packaged object is silently discarded by registerObject's ownership rule while saveMetaItem reports success #6995 首次定级。[docs] ADR-0005 的「Index migration」段落描述的是已不存在的机制：addSysMetadataOverlayIndex 已随 #6771 删除，段落还写着 project_id 与 partial 键 #6825 形状分歧留 default-if-silent 窗口。
• spec-surface 席([PM seat] domain:spec-surface — 🟢 os-project-manager #6298):[观察] stripReadonlyForInsert 完全不读 preserveAudit —— readonly 的历史导入豁免在 INSERT 侧是 declared ≠ enforced #6640 .describe() 知会已发,veto 随 PR fix(metadata-protocol,spec): preserveAudit is UPDATE-only — narrow the contract and warn loudly on a non-system INSERT (#6640) #6823 平静关闭。org 作用域的 flow overlay 只在「本进程内发布后」绑定触发器,重启后静默失绑——冷启动两条读路径都把 organization_id 非空的行滤掉了 #6190 若裁 A 需在此补跨包声明(改 packages/runtime)。
• engine-core 席([PM seat] domain:engine-core — 🟢 os-zhuang #6019,暂停中):Registry heal restores the metadata-map view but never re-registers a packaged contributor definition an overlay save replaced #6853 与其 MetadataFacade.register('object', …) writes where neither of its own object reads look #6725/A deleted runtime object is still served by SchemaRegistry.getObject — the registry heal reaches the metadata map but never objectContributors #6808 同族;实测已证 MetadataFacade.register('object', …) writes where neither of its own object reads look #6725 可分离(卡的字面腿需 MetadataFacade.register('object', …) writes where neither of its own object reads look #6725,破坏腿不需要),B/C 可独立推进。
• devx 车道:[P2] 运行时授权门扩到 object 写入 + 全量 runtime-safe 规则快照(#4463 P1 之后) #4716 / [finding] validateEmptyCombinators gates the runtime publish path for flow only — the other filter-carrying metadata types reach the same door ungated #6715 家族落点在 packages/lint;本席只交付测量。
• cloud 仓:#4463 运行时发布门在 host-config 拓扑(environmentId 未绑定)上整体不跑——#5086 只把 code-only 拒绝移出了同一条短路 #6710 落地 ⇒ control-plane-preset.ts:99 的 authoringChannel: 'package-author' 现为实际欠账。
• cli 席 @objectstack/client 的 packages.* 与 datasources.external.* 无法跟随非默认 API base:external 面硬编码 /api/v1,rest 面 discovery 也从不通告 routes.packages #6633 闭环;finding: after ADR-0106, a restricted caller's GET → edit → PUT of an object schema DELETES the fields that were masked out of their read #6603 属 cli 车道(v17);os-dev 模型已 fix(agents): 把 os-dev 的模型钉死为 opus,不再继承 PM 会话模型 (#6686) #6688 钉死 opus。

运维注记(本任期实测,交接必读)

1. flip 定点 6-9 分钟核 job 结论;auto-merge 首挂可能静默失效(fix(objectql,metadata-protocol): a deleted runtime-created overlay leaves the registry, so list/get/dispatch agree (#5079) #6687)—— 落地双读数是唯一抓手;读 main 窗口宁大勿小(fix(metadata-protocol): PATCH /data/:object/:id binds the PATH row, not the body's id (#6479) #6709 grep ≥40;fix(metadata-protocol): classify a failed index build from the ERROR, not its message (#6699) #6845 perPage=5 差点漏)。AM 返回值字段为空是本仓已知假警报(fix(metadata-protocol,objectql): activate the #4463 runtime authoring gate from a declared authoring channel instead of the environmentId proxy (#6710) #6971/fix(metadata-protocol): the dialect arm of classifyIndexFailure walks cause to the conflict arm's depth (#6848) #6989 两次实证:method/enabled_at 皆空,队列分支正常出现)—— 判准是队列分支,不是返回值。
2. 台账读数会过期:跨席/决策箱条目消费前必须回源核实。裁决可能由他席 PM 会话代记(#4463 运行时发布门在 host-config 拓扑(environmentId 未绑定)上整体不跑——#5086 只把 code-only 拒绝移出了同一条短路 #6710 的 A1 由 session_01LGRN2cSRfggfX9B2L83bQc,org 作用域的 flow overlay 只在「本进程内发布后」绑定触发器,重启后静默失绑——冷启动两条读路径都把 organization_id 非空的行滤掉了 #6190 由 session_01JaVVMrSxt7Tgi1uwEuDtH7)—— 只认卡上评论,不等专属通知。
3. session limit 灭批 ×3(共 11 人次):SendMessage 复活 = resume from transcript 零丢失;按名字不可达时用 spawn 返回的 agentId 直发(五发五中)。
4. worktree footgun ×2:git checkout <分支> -- <文件> 首提交前静默回退 —— 派发令带警示行;建议进 os-dev 定义(复盘项)。
5. 派发令三分区(裁决/机制假设/标准条款)+ 后继定价必答项:24 单 24 中(20 落地 + 1 停 ready 待人工闸 + 3 按 STOP 设计出口)零返工。文件锚点会漂移 —— 锚定函数名而非行号。
6. 开发产出的 PR body 必须英文(Round-5 起写进派发令)。
7. needs_decision / STOP 是设计出口而非返工:#4463 运行时发布门在 host-config 拓扑(environmentId 未绑定)上整体不跑——#5086 只把 code-only 拒绝移出了同一条短路 #6710(dev STOP→PM 菜单→维护者裁决→原认领续派→落地)、[finding] validateEmptyCombinators gates the runtime publish path for flow only — the other filter-carrying metadata types reach the same door ungated #6715(实测触发分诊自设停止条件→关闭并转交测量)、org 作用域的 flow overlay 只在「本进程内发布后」绑定触发器,重启后静默失绑——冷启动两条读路径都把 organization_id 非空的行滤掉了 #6190/Registry heal restores the metadata-map view but never re-registers a packaged contributor definition an overlay save replaced #6853(实现或测量完成后升级,零投机代码)。菜单须给推荐 + 每项长期代价。
8. ⭐ 晋级不等于已验证 —— 消费分诊晋级时必须回读是否有未兑现的前置闸(本轮三次实证):assertSortFieldsExist's dotted-path SORT hint also prescribes an unmaterializable "formula or rollup" denormalization — same defect class as #6673, different axis #6924 的闸是「一条实测 repro」,Registry heal restores the metadata-map view but never re-registers a packaged contributor definition an overlay save replaced #6853 的闸是「一个 API 决定」,[finding] validateEmptyCombinators gates the runtime publish path for flow only — the other filter-carrying metadata types reach the same door ungated #6715 的闸是「gap 是否普遍」。前两张被 06:4xZ 一次性 pass 以「同缺陷类」/「锚点已命名」越过;Registry heal restores the metadata-map view but never re-registers a packaged contributor definition an overlay save replaced #6853 的越闸理由已被实测正面证伪(unregisterObject 仅地址,registerObject 另需四值)。处置:改 verification-first / decision-scoping 派发,把未兑现的闸变成 dev 的第一交付物。
9. 反向验证的四种诚实结果都要保留:预测中的红;预测漏的红(记原因);结构上不可能红的行(只是幸存 carve-out 的覆盖,非本次证据)与方向反转的行(证明新判据被真正读取);⭐ 以及因短路而未被测量的预测(fix(metadata-protocol): the dialect arm of classifyIndexFailure walks cause to the conflict arm's depth (#6848) #6989 示范 —— 明说不 claim,不悄悄记成通过)。无测试覆盖的改动(ADR 散文)应直言「无反向验证」并改报实际 gate 输出 —— 伪造的反向验证比缺席的更糟(docs(adr-0005): amend the overlay-index section instead of rewriting it #6981)。⭐ 方法学:revert 要 revert 到自己的 base,不是移动中的 origin/main(fix(metadata-protocol): refuse an org-scoped write of a type that has no per-org channel (#6190) #6973 因此多测出两条红)。
10. ⭐ PM 的机制假设会错,且必须公开纠正(本轮四次):[finding] validateEmptyCombinators gates the runtime publish path for flow only — the other filter-carrying metadata types reach the same door ungated #6715 的注册表注释(#4463 运行时发布门在 host-config 拓扑(environmentId 未绑定)上整体不跑——#5086 只把 code-only 拒绝移出了同一条短路 #6710 settle 的是 kernel 激活面而非 type dispatch);fix(metadata-protocol): the dialect arm of classifyIndexFailure walks cause to the conflict arm's depth (#6848) #6989 的 @objectstack/types 无可复用 collector;fix(metadata-protocol): the dialect arm of classifyIndexFailure walks cause to the conflict arm's depth (#6848) #6989 的 cycle-safety(predicate 无 visited set,匹配它意味着刻意不加);Registry heal restores the metadata-map view but never re-registers a packaged contributor definition an overlay save replaced #6853 的三卡必须同行(实测可分离)。派发令的「机制假设(须实测,鼓励证伪)」分区正是为此存在。
11. PM 亦会程序性失误:[docs] ADR-0005 的「Index migration」段落描述的是已不存在的机制：addSysMetadataOverlayIndex 已随 #6771 删除，段落还写着 project_id 与 partial 键 #6825 派发前未读那条分诊评论,却在派发令写了「冲突时以分诊为准」,导致 dev 收到互相矛盾指令。dev 照较晚决定执行并把分歧摆出来问 —— 正确做法。教训:派发前必须读完卡上全部评论。
12. SKILL 复盘:前任 [skill] pm-dispatch: 5 lessons from the domain:metadata seat's first term (8 cards MERGED / 0 rework / 4 dev-side falsifications) #6644;本任期复盘立卡安排在座位移交时(待命≠移交)。

定时器:巡逻链 send_later(现役 trig_01Y5QwKftwLZ4kNCGSfMuKVF @ 2026-08-09T08:39Z;在飞期 ≤45);旧钟均已 spent。

[baozhoutao]

Seat takeover: domain:metadata.

• GitHub account: baozhoutao
• Session: session_01KDU3qAuJyajAQm3GkUXdfA
• Seated via: maintainer invocation /pm-dispatch metadata (seat was listed ⏳ vacant, awaiting maintainer assignment per the sticker body)
• Same-stroke updates (three-element pairing): title → [PM seat] domain:metadata — 🟢 baozhoutao, assignee → baozhoutao, body "当前 PM" section updated. Body is authoritative.

Posture on arrival: per the sticker body, this seat does not dispatch until the inventory migration (triage seat's MOVE/STAY/FLAG audit out of domain:engine-core) is recorded complete. I will verify migration state next; until it is complete this seat runs standby duties only (queue watch, blocked-unlock sweep, no claims, no dispatches).

---

Generated by Claude Code