[loopx-agent]

Problem And Result

A damaged runtime preference falls back to discovery. If the default CLI and the App's bundled Core have the same package version, an unavailable anonymous GitHub comparison can leave the App on an older qualified Core even when the newer bundle is usable.

The native ancestry transport now retries that same fixed public-repository GET with an already installed GitHub CLI. It disables interactive prompts and bounds each child process to three seconds. A missing or unsuccessful CLI leaves ancestry unknown; a successful non-ordering response is not retried through another account. Existing version, developer-pin, installation ownership and Core wheel-qualification rules remain the decision owners.

This delivers the failed-public-read recovery slice of roadmap S4/S5/S12. The ordinary journey stays open App → workspace, with zero added configuration or confirmation rounds. It changes Desktop startup and repair reads; it adds no CLI/Lark operation or caller-facing setting.

Author Declaration And Placement

• Written by: model_agent — OpenAI Codex.
• Specification: existing Desktop startup/runtime contract, roadmap S4/S5/S12 and AGENTS.md real-path validation.
• Base: main, merge base f9bdae67596c185cebc81dc555dd6a3e0242e9c5.
• Final proposal: 8946ea69abdf4cb2b0536ffb4543616bb0f3dfc9.

The existing platform-specific Rust native owner remains appropriate. The future-facing pass extracts its HTTP subprocess/parsing transport from the large selection-policy module into one private module, preserving all active call sites. It reuses the existing bounded child environment and timeout helper, GitHub relation vocabulary and Ordering; it creates no capability, cache, protocol, account switch or parallel TS/Python decision owner.

Decisive Native Comparison

The baseline and candidate were separately packaged native binaries, with the same immutable public Core fixture and disposable registry. A QA-only invalid CURL_CA_BUNDLE makes curl fail while the existing GitHub CLI still obtains the real source relation. The API answer and Core identities were not mocked. System proxy and certificate settings were not changed.

Actual native case	Readback
Baseline main/f9bdae675, corrupted preference, curl-only failure	Opens, but selects older Core d4487a7c0
Candidate native implementation 031cab363, identical corrupted preference/fault/Core fixture	Opens with newer qualified Core f9bdae675
Candidate with both public ancestry transports unavailable	Opens and retains the qualified newer Core
Candidate with faults removed, normal quit and reopen	Opens with the same newer Core and existing disposable metadata Session

For every candidate run, the actual Status and Chat services expose the expected artifact identity and exact disposable registry. The registry has zero Goals; its existing restricted Manager metadata Session has no active Turn. The default CLI entry bytes are unchanged, and normal quit removes the QA-owned native process and both listeners. No model or inference was run.

The tested native implementation is 031cab3633adcee94c211e77c332deb8dc253400; the final commit adds documentation/evidence only. The sealed Core fixture is separately identified as 2.0.0a1 / f9bdae67596c185cebc81dc555dd6a3e0242e9c5. This proves the comparison and actual App handoff, not single-revision release or official installation qualification.

Validation

Check	Result
cargo test --lib	129 passed; four unrelated opt-in tests ignored
Five new transport cases	Relation mapping; invalid input never starts a process; failed anonymous read uses the exact public GET with prompts disabled; unavailable tools keep unknown; successful non-ordering response does not trigger another account/tool
cargo fmt --all --check; cargo clippy --all-targets -- -D warnings; cargo build --release	Passed
Actual macOS packaged comparison and recovery cases above	Passed with real Core and production supervisor; negative baseline selects the older Core
Candidate public-boundary scans; staged bilingual RFC check; git diff --check	Passed; no RFC changed; screenshot pixels and privacy metadata manually inspected
Semantic advisory	Run over the development diff and branch. Rust is outside its vocabulary parser; manual review confirms this reuses external GitHub states and existing Ordering
Exact change quality	cqr_93d5fb04a159f165806c verified valid
Standard premerge	Passed: 4 direct checks and 17 selected checks; zero failures, warnings or manual holds

Each transport has a bounded process deadline; a fallback adds a possible extra lookup when the anonymous request fails. An installed/login-capable gh is optional, and this PR does not promise newer-source ordering when both transports are unavailable or revisions diverge. Windows, sustained operation, signed upgrade failure and the broader startup/update matrix still need their own qualification. Required CI and independent exact-head review remain separate; no merge or official installation is performed here.

First Viewport / Visual Evidence

Actual separately packaged macOS candidate with the frozen Core fixture and an empty synthetic Goal registry, after normal reopening. Existing screen composition and controls are unchanged; no narrow-screen layout is changed by this transport. This capture proves that the workspace opens, not that a model ran, model configuration was qualified or active work resumed. The remaining model-label work is outside this slice. Device/file metadata was removed; the encoded image scan is unchanged.

A live preview is not retained: all QA-owned services were stopped after readback. The README documents the isolated native validation and launch-entrypoint data/telemetry boundary. No private Goal, message, account identifier, path, raw log or trajectory is published.

[loopx-agent]

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

Reviewer: model_agent; gpt-6.1-sol; OpenAI; runtime_reported; reasoning_effort=max.

审查 head：8946ea69abdf4cb2b0536ffb4543616bb0f3dfc9。审查整个 f9bdae67596c185cebc81dc555dd6a3e0242e9c5...8946ea69abdf4cb2b0536ffb4543616bb0f3dfc9，本轮结论不继承旧批准。

动机

macOS 用户启动桌面工作区时，需要自动选中可证明较新的 Core。Core 是 App 调用的本地服务运行时。

旧版只有匿名祖先查询；匿名读取失败会失去同版本源码的新旧关系，继续使用已经合格的旧 Core。此改动在读取失败后尝试现有 GitHub CLI，让及时返回的真实关系参与原来的选择规则。

本轮真实子进程验证了备用读取取得 ahead 时选择较新快照，也验证了超时和两路不可用时保留未知，不把未知关系当成更新证明。

本次边界是固定公开仓库的有界祖先读取与既有启动链路；签名发布、官方 App 升级、模型调用和完整 Goal 执行验收仍需各自证据。

备用服务能否在截止前响应仍取决于环境；本轮冷启动也出现保留旧 Core 的结果，不能据此宣布所有匿名查询故障已恢复。

改动思路

保留既有版本与安装归属决策，只把可替换的祖先传输集中到一个内部模块，避免扩大运行时选择状态机。当前 PR 边界是一个固定公开 GET 备用路径、内部传输重组及明确标注范围的说明和图片。

不改变 Core 的 PEP 440 包版本排序、同安装归属回退或显式开发者固定值。祖先模块只负责固定官方仓库的传输与一次关系解析，版本决策继续留在原 owner。成功响应即使给出未知或分叉也不再试第二工具；只有工具失败、非成功退出或无法解析时才尝试已有 gh 登录。没有新增登录界面、后台认证或任意 URL。下面以表格说明分支，属于当前 head 的源码解释；未另做 Mermaid 渲染验证，执行结论见真实检查。

触发	结果
curl 成功返回可判定关系	交给原选择规则
curl 成功但未知或分叉	保持未知，停止备用尝试
curl 读取失败	固定 github.com 的有界 gh GET
两路不可用或超过截止	保持未知，继续使用合格运行时

具体改动

验收依据是改动前的 apps/desktop/loopx-control-plane/README.md，固定版本 f9bdae67596c185cebc81dc555dd6a3e0242e9c5。先读该版本的运行时与恢复要求，再读当前实现；新说明不是独立验收来源。

• Updates And Recovery：Equal package versions use official source ancestry; offline or unknown ancestry does not prove a newer independent installation. Qualified runtimes remain usable. 本轮为 implemented；runtime_ancestry::compare_official_commits and unchanged runtime_selection/maintenance decisions，证据：Real base/head transport probes, invalid input/unknown/success unit counterfactuals and native recovery/readback.
• Runtime Model：The workspace opens only after matching local service readiness and the shell stops only service groups it owns. 本轮为 implemented；maintenance::start_services, services::ServiceSet and lib.rs RunEvent exit owner，证据：Four isolated native window/readiness observations and normal-quit/owned-listener readbacks.
• Validation：Run format, Rust tests, clippy and desktop builds; artifact/update qualification has its own opt-in scope. 本轮为 implemented；Existing native validation entrypoints; unchanged signed-update tests，证据：Current129 tests, fmt/clippy/release, normal bundle builds, native QA builds; signed replacement and Windows are explicitly outside this changed boundary.

关键代码讲解

• compare_official_commits：Run the shared deadline-bound real transport and decode only successful JSON; return Option. resume_runtime consumes relation; timing/unknown never creates a newer-version fact.
• compare_using：Validate both40-hex revisions, try fixed HTTPS curl, then fixed-host GET gh only on transport/decode absence; share status mapping. Curl-success unknown/diverged response is final; no second provider rewrites it.
• resume_runtime：Existing consumer reconciles discovered, remembered and App-owned qualified artifacts, then prepares only a legitimately preferred bundle. Optional failure keeps a qualified previous runtime; selected artifact identity gates both HTTP services.

全 diff 为六个文件：lib.rs 声明内部模块，maintenance.rs 改用该模块，runtime_selection.rs 删除原传输函数；新模块集中固定 GET、关系解析和五组针对性测试。README 说明现有 gh、每工具截止和 unknown 语义。JPEG 经人工查看及元数据检查，无 EXIF、实际 Goal、会话内容、路径或账号标识；它是合成工作区的说明图，图片里的模型标签不证明模型已运行。未来维护方面，原比较函数已退休，未留两个需要同步的规则副本。

对主干的风险

新增备用请求有真实成本：每个子进程的原生截止是三秒，匿名 curl 另有两秒上限，整个启动可能比较多个候选，不能写成总启动三秒。本轮两个强制匿名失败的头部探针曾在约三秒得到 unknown；另一次真实 gh 直接读取用了4.069秒，随后实际比较器在2032毫秒取得 ahead。使用的是同一既有代理，不能把后一次成功解释为网络修复，也不能用它抹去前面的不可用。

独立原生 QA 使用各自 App 标识和同一固定 Core 基线：基线与候选的冷故障启动都保留旧的合格 Core；恢复正常查询后，候选准备并选中较新的私有 Core；之后两路查询均不可用仍保留该私有 Core。每次已核对真实服务身份、独立注册表、零 Goal、无模型 Turn，以及正常退出后的自有监听关闭。QA 读取器曾因端口名解析和退出后自动重开出现工具层失误，已记录并关闭误开的实例；这些观察未作为受控隔离的通过证据。此后用已知 PID/端口核验退出。没有替换官方 App 或默认 CLI。

129项普通 Rust 测试通过，四项签名/真实更新相关默认忽略用例未因此宣称通过；格式、all-target clippy、release 构建、Chat/运行时打包通过。本地 premerge 四个直接检查与17个选择检查通过；其文档风险分类不足以覆盖 Rust，故另做上述真实原生验证。未查询、轮询或等待远端 CI。Windows、签名交换、正式更新、模型调用与完整 Goal 执行不在本次验收内。

我的整体评价

保留既有版本与安装归属决策，只把可替换的祖先传输集中到一个内部模块，避免扩大运行时选择状态机。当前 PR 边界是一个固定公开 GET 备用路径、内部传输重组及明确标注范围的说明和图片。

结论为 APPROVE，作为有独立实际调用者的有界增量。备用读取及时可用时提供价值；离线、限流或较慢时继续原有 qualified-runtime 路径，未知不会强迫用户重新选版本或授权。长程维度保留安装归属、记忆选择和后续恢复；用户体验减少可避免的版本干预，不增加确认轮次。对三秒窗口内可用率、正式发布和完整任务完成仍不作保证。采用了当前建议中“先核对用户可用结果、分清交付边界”的评审方式，但建议本身不是本次效果证明或行动授权。批准仅指本次源码评审，合并就绪、历史阻断收口与合并授权分别回读；本轮不授予合并或评审撤销权限。

English verdict: APPROVE — 8946ea6; bounded fixed-host ancestry fallback verified against real subprocesses and native recovery; three-second provider availability remains conditional, and cold failures are retained. Local native/static/build and premerge validation passed; remote CI was not consulted.

[songoow]

动机

受影响的是普通桌面用户：App 启动时要在“默认 CLI 与自带 Core”之间选出可用的 Core，而这次选择依赖一次匿名的 GitHub 比较读取；读取被限流时，用户可能被留在更旧但仍合格的 Core 上，却看不到任何配置开关或提示。这个 PR 要补的正是这条恢复路径：当匿名比较读取不可用时，用用户机器上已经登录的 GitHub CLI 重试同一次固定公开仓库 GET，而不是直接放弃并把血缘标成未知。改动前，runtime_selection.rs 里的 compare_official_commits 只用匿名 curl 读一次比较关系，失败就返回 None，调用方落到“未知血缘 + 包版本相等 + App 自有安装”的兜底分支；改动后，同一次公开 GET 在匿名读取失败时会用已安装的 GitHub CLI 重试一次，仍然失败或无法认证则保持匿名未知。可观测结果是：匿名 curl 与 gh 两条真实命令对同一对真实提交都返回 status: ahead（1 个提交、0 个补丁文件，证实 page 2 技巧没有下载补丁），模块自带的 5 条单元测试在把 crate::services 两个辅助函数替换为桩之后全部通过，受审查 head 的 Signed Desktop Updates / validate 与 macOS/Windows 桌面检查均为 success。本 PR 不新增界面控件或配置项，不改动 Core 的 wheel 资格、身份比较、开发者 pin 与安装所有权规则，也不承诺在两条传输都不可用或提交已分叉时做出新旧排序。仍未交付的是：Windows、持续运行、签名升级失败与其他启动/更新矩阵，以及跨账号或离线场景下的自动验证（当前真实传输的人工 QA 配方需要单独打包运行）。时间顺序上也要说明：PR 在我绑定 head 的过程中被合并（合并提交 cc0b0db 之前的分支头），受审查 head 是 8946ea69abdf4cb2b0536ffb4543616bb0f3dfc9，而真正含代码的提交是 031cab3633adcee94c211e77c332deb8dc253400。最后一个提交 docs(desktop): record isolated native ancestry recovery qualification 只改 README 与截图（+19/-2 加一个二进制文件），因此作者所说的“被测原生实现”与受审查 head 的原生代码是同一份。

改动思路

改动把原来塞在 runtime_selection.rs 里的 41 行传输代码抽成一个私有模块 runtime_ancestry.rs，并把它拆成两层：compare_official_commits 只负责提供真实执行器（timed_output_with_timeout(command, 3s) + JSON 解析），compare_using(left, right, request) 负责参数校验、命令构造与关系映射。这个 request: impl FnMut(Command) -> Option<Value> 缝隙让每条单元测试都能在没有进程、没有网络的情况下检查命令参数，而不是靠模拟输出推断行为。改动把“传输”与“策略”分开：新的私有模块只负责构造并执行一次外部读取，源码关系解析仍返回 Option<Ordering>；选择策略、身份比较与安装资格继续留在 runtime_selection、services 与 maintenance 里，调用点仍以函数指针形式传入比较器，因此没有出现第二个决策源或第二套版本规则。本 PR 的边界是一次可独立回滚的传输替换：删除 runtime_ancestry.rs 并把旧函数放回 runtime_selection.rs 即回到原状；它不改变任何选择规则的语义，只改变“读取失败”时是否还有第二次机会。

具体行为是：先用匿名 curl（--fail --silent --show-error --proto =https --max-time 2）读 https://api.github.com/repos/loopx-project/loopx/compare/{left}...{right}?per_page=1&page=2；只有当这一次返回 None（非零退出、非 JSON、或进程超时）时才构造第二条 gh api --hostname github.com --method GET --header 'Accept: application/vnd.github+json' <同一条 path>，并显式设置 GH_PROMPT_DISABLED=1。两条命令都先经过 configure_runtime_environment（只覆盖 PATH），因此不会绕开 App 自己的运行时查找路径。最后把 ahead/behind/identical 映射到 Less/Greater/Equal，其它状态（如 diverged）返回 None。

这里有两个容易被误读的设计点，我认为都成立：一是“成功但不可排序”的响应不会再换账号重试——request 返回 Some(payload) 就不会进入 fallback，即使 payload 的 status 是 diverged；二是 --hostname github.com 确实把权威钉死在公开 GitHub 上，而不是仅仅“试图”钉住：我实测在同一进程环境中设置 GH_HOST=invalid.example.test 后，带 --hostname github.com 的 gh api 仍然成功返回 loopx-project/loopx，说明标志优先于环境变量。GH_PROMPT_DISABLED=1 阻止交互式登录，没有登录态时 gh 直接以非零退出，于是血缘保持未知。

文档一侧：README 新增两段。第一段说明这条 fallback 的边界（不启动登录、不申请账号权限、每个工具 3 秒进程期限、失败或未认证则未知、成功但不可排序不换账号重试、Core 仍拥有 wheel 资格且不授予 Goal 或账号权限）；第二段是隔离 QA 配方——把一次性注册表与 common_runtime_root 钉在启动入口、给所有合成 Core 调用设 LOOPX_USAGE_PING=0、用 QA-only 的无效 CURL_CA_BUNDLE 让 curl 失败而 gh 仍能读到真实关系、事后移除故障且不动系统代理与证书库。截图是单独打包的 macOS QA shell 与空合成注册表，只证明工作区能打开。

路径	角色	是否影响产品行为
src-tauri/src/runtime_ancestry.rs	新增传输模块与 5 条单元测试	是（仅失败路径多一次读取）
src-tauri/src/runtime_selection.rs	移出旧传输实现	是（同一函数的迁移）
src-tauri/src/maintenance.rs	调用点 import 改为新模块	否，调用点逻辑不变
src-tauri/src/lib.rs	注册 mod runtime_ancestry	否
README.md 与 docs/assets/native-ancestry-qa.jpg	边界说明、QA 配方与视觉证据	否，文档

具体改动

六个文件共 +207/-43（其中代码提交 +190/-43，文档提交 +19/-2 与一个 294827 字节的 JPEG）。

关键代码讲解

1. apps/desktop/loopx-control-plane/src-tauri/src/runtime_ancestry.rs:5 到 :14：compare_official_commits 只把“怎么执行一条命令”交给 timed_output_with_timeout(command, Duration::from_secs(3))，并在成功时解析 JSON。旧实现里 if !output.status.success() { return None; } 与新实现里的 .status.success().then(...) 等价，所以 curl 路径的行为没有变化。
2. 同文件 :16 到 :27：先把 left、right 都校验为 40 位十六进制，任何一个不满足就直接返回 None，不构造命令。这既挡住了 --help 这类参数注入，也挡住了 ../private 这类路径形状——单元测试 invalid_revisions_do_not_reach_a_process 用 panic!("must not invoke a tool") 的闭包把这条不变量钉死。
3. 同文件 :28 到 :46：URL 用 page 2 只取关系、不取补丁；configure_runtime_environment 后再拼 --fail --silent --show-error --proto =https --max-time 2 与 JSON Accept 头。
4. 同文件 :47 到 :64：fallback 只在这一行 request(command).or_else(...) 里发生，gh 命令带 GH_PROMPT_DISABLED=1 与 --hostname github.com，并用同一条 path（不含 https:// 前缀），所以两条传输读的是同一个公开关系。
5. 同文件 :65 到 :73：映射仍是 ahead -> Less、behind -> Greater、identical -> Equal，其它为 None；调用方（prefer_current_bundle/prefer_discovered_runtime 的 None 分支）没有改动，因此“未知血缘 + 包版本相等 + 安装所有权”的兜底规则保持不变。
6. 同文件 :78 到 :174 是 5 条单元测试：关系映射（并断言每种状态只调用一次）、非法修订不启动进程、匿名失败后第二条命令恰为 gh api --hostname github.com --method GET --header 'Accept: application/vnd.github+json' repos/...compare/...?...page=2 且带 GH_PROMPT_DISABLED=1、两条工具都不可用时返回 None 且两次调用、成功但 diverged 时不重试。
7. src-tauri/src/maintenance.rs:681 到 :685：use 从 runtime_selection 移到 runtime_ancestry，其余三个调用点（:720、:734、:762）以 compare_official_commits 作为 FnOnce 比较器原样传入，没有新增分支。

规格依据是仓库既有的 Desktop 启动/运行时契约文档 apps/desktop/loopx-control-plane/README.md（判据按本 PR 之前的文本、修订 f9bdae67596c185cebc81dc555dd6a3e0242e9c5 确定，本 PR 对该文档的改动本身按被审查内容处理）。判据 6732-T1：可证更新者必须仍被选中，未知血缘不得被当成“更新”，实现于 runtime_ancestry.rs:65 的映射与未改动的 runtime_selection.rs 兜底分支，验证见 validation_matrix:changed_invariant_positive；判据 6732-T2：Core 的身份、资格与安装所有权规则不得被这条读取绕开，实现为“策略代码零改动、只替换传输”，验证见 validation_matrix:repository_required_checks；判据 6732-T3：每次外部读取都要有上限，失败必须落回未知，实现于 runtime_ancestry.rs:8 的 3 秒进程期限与 :20 的修订校验，验证见 validation_matrix:material_negative_or_failure；判据 6732-T4：新增的恢复路径及其边界必须写进维护者文档，实现于 README.md:40 到 :47，验证见 walkthroughs:positive。

对主干的风险

最强回归场景是“用用户的账号把一次失败读变成排序结论”，从而改变桌面启动时的运行时选择方向。这个方向是可观测且被限定的：只有在匿名读取失败后才发起第二条命令；第二条命令不做登录、不申请 scope、把主机钉在 github.com；成功但不可排序的回答不会换账号重试；两条都失败时 None 与原行为一致。爆炸半径限于桌面启动时的选择读取：Core 的 wheel 资格、身份比较、开发者 pin 和安装所有权都没有被修改，runtime_selection.rs 的兜底分支也原样保留。

第二个风险是延迟与副作用。fallback 最坏会在启动路径上多花 3 秒（进程期限），而 gh 通常几百毫秒；两条命令都用 configure_runtime_environment，不会走终端里另一套 PATH。第三个风险是凭据来源：configure_runtime_environment 只覆盖 PATH，因此子进程会继承 GH_TOKEN/GITHUB_TOKEN 一类环境变量——那仍是用户自己的凭据，但“复用 GitHub CLI 登录”实际上可能是“复用环境里的令牌”，这一点文档没有区分，不构成阻塞但值得后续措辞更精确。

我实际执行过的证据如下，且只有这些：cargo +1.95.0 fmt --all --check 在受审查 head 返回退出码 0、无差异；把 runtime_ancestry.rs 以 #[path] 编进一个只替换 crate::services::{configure_runtime_environment, timed_output_with_timeout} 两个辅助函数的独立 harness 后 cargo test --offline 得到 5 passed；用代码里逐字相同的两条命令对真实提交 f9bdae67596c185cebc81dc555dd6a3e0242e9c5 与 8946ea69abdf4cb2b0536ffb4543616bb0f3dfc9 各执行一次，匿名 curl 返回 status=ahead commits=1 files=0，gh fallback 返回 {"commits":1,"files":0,"status":"ahead"}；GH_HOST=invalid.example.test 下 gh api --hostname github.com 仍成功，验证主机钉住；受审查 head 的检查里 validate（Signed Desktop Updates，步骤 cargo test --locked && cargo clippy --all-targets --locked -- -D warnings）、Windows desktop、macOS desktop 与 Summary 均 success。我没有在本机链接整个 crate 的 cargo test --lib（磁盘只剩约 650 MiB，而该 crate 需要数 GiB 与 bundle 资源），也没有重跑作者的真实打包原生对比（baseline f9bdae675 选到旧 Core、candidate 031cab363 选到新 Core），那部分仍属作者提交的证据；我核对的是它可被核对的结构性事实——最后一个提交只含文档与截图，被测代码与 head 一致。

我的整体评价

交付判断是 justified_increment：PR 命名的那一块（匿名读取失败时用既有 GitHub CLI 重试同一次公开 GET，并把边界写清）在受审查 head 上完整实现，且失败语义被两条传输的真实执行与 5 条单元测试同时钉住；打包原生对比属于作者已记录的验证，我确认它与 head 的代码一致但没有重跑。长期影响是 preserved：传输与策略被分开，调用点、Ordering 映射与 None 兜底规则都没变，后续改动更容易定位在 runtime_ancestry.rs 一个文件里。用户体验维度是 not_applicable：没有新增控件、配置或确认步骤，用户旅程仍是“打开 App → 工作区”。

observable_semantics 的比较是：base 上匿名 curl 失败即未知，rate-limited 时用户可能停留在更旧但合格的 Core；head 上同一次读取在失败后有界重试一次并可能给出真实关系，两条都失败时回到未知。default_off_isolation 判为 isolated：fallback 是有条件的第二条命令，None 路径与旧行为逐字等价，没有新增常驻进程、缓存或后台任务。code_volume 判为 necessary：+207/-43 中约一半是测试，生产代码量净增约 50 行，没有新增抽象层或第二个决策源；authority_semantics 与 guidance_vs_obligation 判为 not_applicable / 机器强制：没有新增协议名或权限，README 里“每个工具 3 秒期限”“不启动登录”等说法都能在代码里找到强制点。

没有阻塞性发现。剩余缺口是可核对的：真实 curl→gh fallback 没有自动化端到端用例（单元测试用注入闭包），文档未区分“gh 登录”与“环境里的 GitHub 令牌”。审查 head：8946ea69abdf4cb2b0536ffb4543616bb0f3dfc9。

Reviewer: model_agent, model DeepSeek Flash, provider DeepSeek, self_reported.

English verdict: APPROVE - 8946ea6: the ancestry read is moved into runtime_ancestry.rs as a transport with a gh api --hostname github.com fallback after the anonymous curl read fails, revision validation and the ordering map are unchanged, both real transports return the same relation for a genuine commit pair, the module's five unit tests pass in a harness that stubs only the two process helpers, fmt is clean and the exact head's required desktop validate job ran cargo test and clippy -D warnings green; the author-reported packaged native comparison was structurally verified but not re-executed, and the real fallback has no automated end-to-end test.