对话内自主更新

用户通过普通对话提出工作请求，消息和工具结果描述该工作。安装状态由更新子系统维护，不由独立的对话组件维护。重新打开 App 会恢复对话，不显示更新历史面板、更新恢复提示或临时验证对话框。

未包含冻结诊断配置的旧更新保持原有恢复行为，不从当前可变 profile 补造配置。诊断请求、claim 和结果位于原更新目录，唯一待处理指针位于 self-updates 根目录；新更新在同一存储锁下撤销旧待处理指针。执行入口再次核对持久化 Job、当前 worker claim、冻结输入与未过期期限，拒绝伪造 source 或恢复旧队列时的输入漂移。owner 通过现有 Job 取消入口停止诊断，不使用只对激活前更新有效的 self_update_cancel。诊断记录不得覆盖原 verifier verdict、签名验收结果或回退结论。

修正阶段同样要求原请求中的独立冻结配置；旧请求不自动获得源码写入能力。默认首次授权说明包括“回退后在隔离 worktree 修正和执行所列测试”，不包括再次安装；只有显式选择 bounded_auto 且批准下述完整迭代授权的新请求，才允许范围内再次安装。修正输出最多 32 处文本编辑、总计 1 MiB；每处 old_text 必须在目标普通 UTF-8 文件中唯一匹配，null old_text 仅用于创建不存在的文件。new_text 为 null 时要求 old_text 等于整个文件才允许删除。修正 Job 使用 wait=true、不产生普通后续 Agent、不移动原会话 head。模型 Job 完成后，owner 在原会话调用 self_update_repair_cancel(update_id)，取消仍在执行的候选测试。新 SHA、完整 diff、全部已配置测试和测试后检查通过才记录 candidate_ready；未配置 required_tests 时记录 awaiting_tests。任何已配置测试缺失、失败或测试后检查失败均记录 failed；主动取消与期限届满分别记录 cancelled、expired。这些状态均不代表已安装。

该阶段复用 SelfUpdateStore 的进程锁、JobRunner、现有强制审批、可信 supervisor 和事务安装器，不创建第二套 Scheduler 或通用 workflow 执行器。self_update/iteration.py 保持无副作用策略判断；新的提交协调模块负责证据核验、预算预留、状态持久化和恢复。源码中的职责划分不能代替实际的重启、失败回退及多次尝试验收。

页面内容、测试输出和候选代码均是不可信数据，不能扩大工具权限。对允许动作的约束必须同时覆盖 UI、IPC 和后端写入口；仅凭 DOM selector、按钮文字或“只读”提示词不足以阻止副作用。自动验收不接触其他会话和个人浏览器资料；用户正在操作目标窗口时停止自动交互并保留已有证据，等待不得超过原验收时限。

独立于 App 的恢复入口

激活候选前，可信当前版本除保存 controller/runtime/installer，还生成本次更新专用的 ~/.openprogram/self-updates/<update_id>/recover.sh，并在本机用户的 ~/Library/LaunchAgents/ 写入对应的一次性登录任务。脚本、状态目录和 runtime 都位于 App 外；不依赖 PATH 中的 OpenProgram、待修复 App、普通 worker 或 Scheduler。没有完整可验证的保存副本时，不生成新的控制代码，也不尝试猜测恢复。

登录文件名为 ai.openprogram.self-update.recovery.<update_id>.plist，在本用户每次登录时最多执行一次，完成后清除：RunAtLoad=true，不设置 KeepAlive、周期或常驻 daemon。写入 plist 不立即加载另一份控制进程；正常更新仍使用原 one-shot supervisor 和同一 controller lock。当前登录会话中，若 App 与控制进程都已不可用，终端恢复脚本是显式入口；机器重启后需本用户登录才触发自动恢复，不声称能在未登录或磁盘未解锁时执行。

发布恢复入口、固定参数和 plist 的绑定记录必须发生在原 supervisor 被提交、候选被激活之前。只操作本用户拥有的规范目录和本次更新的确切文件；已有同名但内容不匹配、符号链接、非普通文件或不安全权限均拒绝，不覆盖。重复准备校验原副本，不从已替换 App 重新复制。启动错误留下独立诊断，绝不解除维护或延长授权。

原更新已终止且不再拥有维护状态后，只清除内容仍与绑定记录一致的本次登录 plist；保存的 runtime、脚本、原更新证据和恢复结果继续保留，便于查询。清理失败保留诊断，不改变已验证的原结果；残留一次性任务再次运行也不得恢复已完成更新。该入口本身损坏、权限变化或原证据不足时仍需人工处理，不提供任意文件修复或强制清除维护的能力。

显式人工恢复

openprogram self-update status [update_id] --json 在不执行模型、不创建更新、不修改 App 的情况下读取维护归属、原终态与恢复结果。openprogram self-update repair <update_id> 是本机 owner 的独立控制入口，不依赖普通聊天或 Scheduler；必须在交互式终端确认显示的 update id、目标 revision、恢复动作与计划摘要，不提供跳过确认参数。确认时重新比较原状态、维护归属、安装 journal 和可信 controller；发生变化则拒绝旧确认。

每次确认生成独立、持久化的恢复请求，绑定原更新与事务身份，限时十分钟；重试和进程重启不延长这次期限。只复用已保存的 controller/runtime/installer，通过包含恢复请求 id 的 one-shot launchd label 启动；不从待修复 App 重新复制控制代码。恢复进程使用原安装事务校验规范 App 后重启默认 worker，再验证新进程，使启动检查和普通 Scheduler 按正常启动顺序恢复。中断时允许在同一期限内重复幂等恢复及 worker 重启，但不能创建 verifier Job 或第二次更新。

原终态、原验收结论与旧期限保持不变；人工恢复写入独立 resolution receipt，区分“旧版本恢复”“已接受版本恢复”和“未激活更新恢复”。只有该 receipt 与新系统证据匹配，才原子解除本次维护归属。失败、过期或未确认时继续禁止普通任务；后续再次尝试必须重新确认。此入口不是任意 shell、文件修复或强制清除 maintenance 的接口。

离线构建输入

控制器从已保存的可信完整 runtime 取得固定版本的 uv、managed Python 和依赖。复用前逐字节核对 candidate 的 uv.lock 与 product-runtime.json；不匹配或输入缺失时在激活前失败，不能悄悄沿用不匹配依赖或允许候选联网。依赖变化需要先提供匹配的完整 runtime 输入，不由候选自选下载源或继承 owner 凭据。

runtime 和既有 npm/uv/Electron-builder/node-gyp 构建缓存复制到本次私有 build-home；macOS 使用独立的 copy-on-write 副本，不共享可写缓存。Electron 平台 zip 由可信控制器按固定版本、架构和发布 SHA-256 选择，复制到 candidate 不可写的 update 输入目录并通过 electronDist 使用，不因缓存命中而跳过完整性校验。候选仍重新构建 Web、文档、wheel 和 Desktop archive，仅把新 wheel 安装到私有 runtime；正式 Release 的常规构建入口保持原有行为。复制、构建及检查共用原期限，缓存命中不是验收证据。

构建进程不访问外部网络、默认 App 或用户状态。packaged worker smoke 只获准绑定并访问控制器选择的单个私有 loopback 端口，明确排除默认端口 18100；其余网络访问继续被 sandbox 拒绝。需要宿主图形服务的固定检查不向 candidate sandbox 扩权：控制器使用固定参数调用系统 sips 检查四个固定图标源，并由固定的可信 runtime Python 执行 Playwright Chromium probe；执行前后都要求 candidate 浏览器资源与已保存可信 runtime 的资源树 hash 一致。worker、图标和浏览器检查都完成并写入 manifest/receipt 后才允许进入激活阶段，不能通过开放默认 worker 或跳过检查取得通过结果。实际打包及已安装 App 验收状态见文末。

安装、验证和回滚保留各自的持久更新记录。对话仅显示普通消息和工具结果。消息列表不挂载软件更新历史组件、不发起更新历史轮询请求，也不提供更新管理表单。Desktop 恢复保留其路由和确认协议，不向对话添加更新恢复提示。

共享读取合同

openprogram/self_update/control/projection.py 提供专用工具、Web 与 Running 的共享只读投影。owner-auth 路由为 GET /api/self-updates?session_id=… 与 GET /api/self-updates/{update_id}?session_id=…，并校验 origin session；历史列表使用有上限的稳定游标分页，不依赖 active 指针。证据经同一更新的 /evidence?session_id=…&evidence_id=… 路由再次验证，只返回签名结果引用的观察记录。

投影只包含明确允许的字段、有限摘要和不透明 evidence ID，不返回配置、token、签名密钥、环境变量或任意日志路径。证据读取必须再次核验 owner、session、update 和 receipt 绑定；不支持任意文件读取。状态及关联结果在同一一致性边界内读取，无法形成一致快照时返回可重试错误。读操作不触发 claim、repair、Job 或 Scheduler。

更新投影 API 保持只读并限定于会话作用域，用于显式工具读取。聊天不轮询这些 API。已存储的更新状态不依据窗口断连推断成功或失败。

Desktop 重启定位原会话

复用 apps/desktop/worker-start-url.js 的 owner-auth 启动机制与现有 /s/{session_id} 路由。supervisor 在停止 App 前保存本次更新的受信任 reopen 意图，绑定 update、attempt、origin session、owner、期限和启动动作。Desktop 只接收不透明 update ID；由已认证服务解析经过核验的会话，再构造同源路由。候选、模型、CLI 参数和 renderer 不能指定任意 URL、文件路径或认证 fragment。

只在这次更新触发的重新打开中消费该意图，不改变普通启动、用户当前窗口、中心标签和稳定 Release updater。完成认证并确认原会话加载后才 ACK；ACK 前崩溃可重试定位，不能重新激活更新或重建 verifier Job。多窗口只由指定主窗口消费；重复消费是幂等定位，不重复建标签。用户主动离开原会话后不再强制跳回，也不插入专用恢复提示。

owner 改变、session 不存在、意图过期、身份不匹配或恢复接口不可用时，保持普通启动，在内部状态中保留原因；不跳到其他会话，不自动创建会话，也不把定位失败判为安装成功。App 原本未打开时遵守保存的启动状态；若验收必须操作可见 App，应在 prepare 时显示并获得打开窗口的授权。更新与回退双方均须支持所需的最小读取/恢复协议，协议不兼容在激活前拒绝。

Task F 的依赖与验证范围

每个子任务开始前从已评审的不可变 commit 创建隔离 worktree，写明 exact 文件、RED 和完整测试命令。通过相关检查的独立改动及时提交；评审通过不等于发布通过。已证实的基线失败保留为未通过状态，不能用较小测试集合替代完整 gate。文档机器检查、浏览器交互与桌面/窄屏视觉检查分别记录，不新增另一份设计文档。

对话边界

打开、切换或重新连接对话不查询软件更新历史。普通工具输出和现有结果交付仍可用。聊天 UI 不显示软件更新加载状态、状态信息、重试表单或恢复提示。生产 App 不挂载临时验证用重命名对话框。验证在任何 UI 请求之前拒绝 test_object 交互；仍支持截图、有界滚动和视角检查。

验收：普通聊天和 App 外层界面挂载时不包含软件更新 UI 或历史请求；桌面会话确认仍正常工作；安装与回滚行为保持不变。