Claude Code CLI 2.1.235：不是 Agent Loop 重写，而是一次状态边界修正¶

Workspace trust 不是欢迎弹窗¶

项目目录可携带 hooks、MCP、skills、helpers、settings 和命令定义。在信任成立前，项目可控的可执行配置不进入普通能力加载；接受后重新发现项目资源。风险扫描、接受/拒绝与持久化主链见 L593436-L593729，safe/bare 判定见 L8159-L8171。首次进入时“仓库里有 Hook/MCP 但看不见”，通常是能力尚未跨过 trust boundary，不是扫描漏项。

Settings 不是后写覆盖前写¶

settings store 同时持有来源缓存、合并缓存、policy 派生状态和失效 epoch。普通层大致按 user < project < local < flag < policy 解析，但字段不共享一种 merge：普通数组拼接去重，fallbackModel 高层整组替换，marketplace map 按 key 合并，managed-only 和限制性 policy 独立收紧。--setting-sources 只能筛 user/project/local，不能移除 flag 与 policy。来源顺序见 L39176-L39215，merge 例外见 L41697-L41703。

热更新也不是全进程事务。watcher 等文件稳定、抑制本进程写回声、运行 ConfigChange Hook，再推进 settings epoch 并清空派生缓存；sandbox、Plugin、TUI、provider client 等 consumer 按各自生命周期重读、重建或保留旧快照。它防止异步慢读把旧值倒灌回新状态，不保证已发 request、既有 subagent 或正在运行的 Bash 被热改。完整状态机见 Settings 解析与热重载。

Provider 不只改 endpoint¶

--model sonnet 仍不足以确定 wire request。客户端先按 selector 顺序判 provider，再在认证域选择实际 model ID、endpoint/region 和 OAuth、API key、bearer 或云凭据，最后决定 beta、prompt-cache、Tool Search、thinking 与 fallback 能力。provider selector 见 L62740-L62743；模型层收到的已经是治理后的 messages、system、tools、thinking、effort、cache 与 fallback state（L271832-L271842）。

同一版本在两台机器上像两个产品，是因为版本只固定 shipped candidates；workspace trust、host、平台、账号、远端 feature/config、policy、provider、Plugin/MCP generation 与 session mode 决定实际 surface。Feature Evaluation 的 fresh memory、disk last-known-good 和 baked fallback 也会让离线启动与在线刷新得到不同结果，实时分桶仍是服务端 Boundary。

外层 turn wrapper、core loop、API attempt 与 streaming executor 的主链见 L271491-L272425。parser 在 content_block_stop 产出完整 block（L409843-L409906）；Agent Loop 立即 addTool(...)，stream/executor helper 在模型事件与 drain tick 间竞速（L267292-L267310、L272032-L272045）。正确性依赖完整 block、屏障、同 ID 配对和最终 drain，不是一次 Promise.all。

把 maxTurns=1 代入场景：第一轮仍可返回 Read/Edit/Bash，工具仍执行并产生副作用；客户端只禁止结果后的第二轮模型判断，最终给出 error_max_turns。精确二进制 Probe 观察到工具完成、PostToolUse 已发生、服务端只收到一个 Messages request。maxTurns 不是工具配额，更不是回滚器；见 运行证据索引 与 Agent Loop。

candidate name、factory registration、enabled registry、request advertisement 与 dispatch 是不同状态。deferred declaration 在 request 中不等于完整 schema 已进入 active context；但广告也不是本地 dispatch 存在性的唯一证明：精确 Probe 曾观察首请求未广告 LSP schema，而有效 LSP tool_use 仍由本地 registry 执行并回灌。工具注册证据见 工具注册与宿主表面。

addTool() 先用原始 parsed input 调 isConcurrencySafe(input)，把结果固化在队列项；processQueue() 让 safe 项重叠，unsafe 项等待前序 drain 并阻塞后序启动（L267124-L267149）。PreToolUse Hook 和 permission handler 后续可返回 updatedInput（L316220-L316330），但调度器不会回头重算并发分类。

这不表示改写后不校验：schema 与 permission 会复验；只表示并发顺序沿用最初 input。safe overlap 降低等待，unsafe barrier 防止 Bash 越过 Edit 去测旧文件，同 ID 配对防止并发完成顺序改写因果。代价是扩展不应把原本安全的调用改成全新共享副作用，并期待 scheduler 自动识别。当前为目标 bundle 的 Static 合同，尚未覆盖全部多工具竞态 Probe。

PreToolUse、permission 与适用 sandbox 能阻止动作到达副作用；PostToolUse、tombstone、compact 和 resume 最多改变记录与后续判断。bypassPermissions 只绕过普通交互批准，不会关闭工具内部 sandbox、OS 或远端权限。

批准 scope 也分 owner：关闭 comment field、一次性批准、session-wide acceptEdits 和持久规则不是一个状态。精确 TUI Probe 证明 Shift+Tab 退出 comment input 不批准 Edit；显式 Enter 只批第一次，第二次仍询问；只有 Down+Enter 选中 acceptEdits，后续同类 Edit 才不再弹框。见 TUI Probe 与 工具控制管线。

Auto Mode 位于确定性下限之上：deny/ask rule、safety check、requires-user-interaction、组织 ceiling 与 managed floor 先判；剩余普通 ask 才进入 fast path 和两阶段 classifier（L395300-L395501）。无有效 verdict、request unavailable 或 safeguard refusal 时 fail closed，但 blocked outcome 不应被反推为“已证明危险”。Plan Mode 又在更早位置改变 permission mode 与工具合同；退出输入框、模型提出计划、用户批准实施和恢复原 mode 是不同状态。完整预算与失败编码见 Auto Mode 和 Plan Mode。

普通 model iteration 每轮都重建 effective messages、system blocks 和 request-time tools，再选 cache breakpoint 与估算 budget。只有逼近治理线才进入旧结果清理、预计算、warning、full compact 或最终 blocked。

代码先从有效 window 扣最多 20k output reserve，再算 precompute/warning/compact；blocked 来自输入 ceiling 再减 3k。主路径见 L216096。Prompt cache 的显式 ttl=1h 或省略 ttl 是 Static wire shape；默认 5m 与 hit 后费用/延迟来自 API/Public 合同，本仓库没有 cache-hit 账单 Probe。Context Hint 对 400/409/422/424/529 和流式错误有不同 fallback；完整 provider 与成本差异见 上下文治理。

microcompaction 只重写 active view；预计算 summary 在主任务真正 compact 前生成 sidecar，等临界点校验分支后采用。二者主路径见 L263484-L263519 与 L262324-L262680。

预计算 hit 不发送新 summary request，直接把 preserve UUID 与 messagesSince 交给 compact finalizer；custom instructions、Hook 追加、sidecar 未就绪或 boundary UUID 缺失形成 miss。hit/miss 入口见 L331309-L331345，普通 full summary 与 prompt-too-long 缩减见 L262996-L263036。

精确二进制 manual compact Probe 观察到 system:compact_boundary、trigger=manual、preTokens=104；104 只属于该受控输入，不是 auto threshold。fork request 保留 summary 与当前 prompt，不再发送样本指定的旧 prompt、tool-use ID 和 assistant result。它证明下一次送模视图改变，不证明 transcript、文件、Memory 或远端副作用删除。

物理 JSONL 可保留已放弃分支；下一次送模必须得到一条逻辑父链。resume entry 先解析来源、Storage/JSONL 与 fork 语义，再交给 interrupted-turn repair（L323373-L323423）。

1. graph loader 扫描事件，建立 uuid -> node 与 parent map，收集 leaf、last-prompt、rewind 和 session metadata（L403569-L403650）。
2. compact relinker 找最近有效 boundary，把 preservedMessages/preservedSegment 接回声明的 anchor（L402489-L402531）。
3. ancestor walker 从 leaf 逆 parentUuid 回走并查环；父缺失时只在受控条件使用 timestamp fallback（L402554-L402667）。
4. 同一 API message 的并行 assistant fragments 与 tool results 成组补回，避免孤立 pair。
5. 顶层过滤坏 attachment、撤回分支和中断残片；file rewind 另走 checkpoint（L194641-L194804）。

精确 Probe 把消息恢复与文件恢复分开：compact 后 fork 生成新 session ID 并使用 summary view；file rewind 不发送 Messages request，直接把受管临时文件恢复成原始字节。它不涵盖 Git push、Artifact、数据库或已发送消息。详见 Session/Checkpoint/Memory。

Task registry 的 claim 让任务有明确 owner/status/dependency；team mailbox 管消息、broadcast、shutdown/request/response 与 ack；worktree 只隔离 Git 文件视图。两个 task 仍可碰同一数据库、端口、缓存、credential 或远端 API。claim 见 L202474-L202511，mailbox 见 L279171-L279317。

默认 fork 是 maxTurns:200、model:inherit、permissionMode:bubble（L156505-L156518）：inherit 不共享 API call，bubble 只把无法本地裁决的审批上浮，不自动继承父会话全部权限。

后台 Agent 再增加进程 owner：Agent View 是投影；daemon supervisor、PTY host、Claude worker、rendezvous 和 Storage job record 分别持进程、终端字节、Agent Loop、控制状态和 durable metadata。resume transcript 不复活 Promise；只有 durable owner 仍在，attach/respawn 才有对象。完整 socket auth、backpressure、heartbeat、respawn budget 与 memory-pressure reap 见 Runtime Supervision。

Plugin Eval 的 temp HOME/config/workspace 是进程状态隔离，不是 OS/网络 sandbox；dontAsk 让无明确 grant 的动作直接拒绝，不是全部允许。partial、auth/cost ceiling 与异规则两臂不能补出可信 Delta。完整输入信任、grader、费用、CI exit 与发布边界见 Plugin Evaluation Harness。

循环从 turnCount=1 和新 chain/depth 开始（L271553-L271643）；terminal event 写 terminal_reason，仅 max-turns 场景附 turn_count（L270840-L270845）。

一方入口按事件名采样后把 payload 分给可选 Datadog 与一方 logger（L90870-L90891）。Datadog 再过 provider/feature/allowlist 与字段删除、batch/timeout（L90790-L90868）；一方 logger 有 pre-init queue、batch、失败落盘/重放/backoff（L77550-L78097）。

OTEL bootstrap 分别构造 metrics/logs/traces exporter（L361612-L361670）。OTEL_LOG_USER_PROMPTS 默认把正文变成 <REDACTED>；exact Probe 证明显式开启后 marker 才进入 collector。OTEL_LOG_RAW_API_BODIES 又是独立门：未设时无 body event；设置为 1 时完整受控 request/response marker 可进入 collector，即使 OTEL_LOG_USER_PROMPTS 没开；file:<dir> 时正文写本地 JSON，event 只带 body_ref。file 模式把风险从 collector 移到本地明文，不是无条件“更隐私”。见 raw-body Probe 与 Telemetry。

OTLP HTTP logs 还有一处反直觉 precedence：Claude先用 n1i() 注入 httpAgentOptions=Kol(endpoint)（L361719-L361737），OTLP merge再优先采用 programmatic agent而不是 library的 environment agent（L345748-L345764）。exact OTLP TLS Probe 因而观察到：OTLP专用 CA/client变量没有成为有效 HTTP agent，NODE_EXTRA_CA_CERTS、CLAUDE_CODE_CLIENT_CERT/KEY 和通用 proxy才控制实际 handshake；exporter失败仍不改变 Agent success。

tengu_other 是本仓库前缀分类的兜底，不是客户端统一模块。caller-owner 只接受 event、exact caller identity 与 comparison fingerprint 同时命中；旧的巨大行区间曾把 EndConversation、heap dump、update refused 错归邻近业务。该研究纠错不改变 runtime，但防止排障去找错 owner。完整剩余边界见 Telemetry 场景索引。

普通 Voice gate 依次检查账号/capability、本地音频环境、依赖、麦克风 permission 与 settings；无设备 remote/cloud 在录音前失败（命令与环境 gate、设备检查）。recorder 与 WebSocket 并行启动；连接前 chunk 进内存 queue，ready 后合成有界 frame 顺序 flush，并周期 KeepAlive（连接协议、buffer/flush）。interim/final 更新 composer state；结束后 final 注入 composer，interim/audio 清空回 idle（转写累积、最终注入）。

无 transcript 的早期 connection error 只做有界重连并保留未发送 queue；检测到 audio 却 finalize no-data，只允许新连接重放缓存一次；已有文字后的中途错误尽量 salvage transcript 后结束，而不是无限重传（early retry、silent-drop replay、partial salvage）。load failure、TCC、设备、socket、no-speech 和同进程 crash 属于不同 owner。

Native 证据分层：Mach-O 依赖、符号、字符串、反汇编、JS wrapper、SoX argv 与 WebSocket query 是 Static artifact；受控 original/compatible 调用才是 Probe；独立 Rust/Swift 重写只是 Compatible。arm64 报告比较列出的 export、return/throw/null 与 lifecycle，不会真的录音、注入键鼠或覆盖所有 permission 组合。

x86_64/Rosetta 报告证明 supplied compatible artifacts 是独立 regular x86_64 Mach-O、不是原版同 hash 复用，并能在 x64 Node/Rosetta load 和满足 export contract；只有发布物含 x86 slice 的 Input/Swift 两模块能做同输入行为对照。Rust/Swift command 只是 build recipe，没有同次 build literal output/status，所以方法必须写 validated-artifacts-and-runtime。audio、image、URL 没 original x86 slice，不能外推原版 x86 行为。服务端音频留存/训练/删除和缺失的原始内部函数仍是 Boundary。详见 Native Bridge 与 重建报告。

C/Q/E/S/O 是本文从最终决定权归纳的 Derived 阅读框架，不是源码目录，也不是 Anthropic 官方命名。同一功能可跨多个面；恢复留在 request、compact、tool、process 等各 owner 的局部回路，没有中央 recovery manager。

十个常见归因错误¶

三条证据链¶

• 配置/环境/Feature：schema/key -> named read -> lexical function -> caller -> secondary gate -> state delta。
• 工具：candidate -> factory -> enable/host gate -> request tools[] -> client tool_use -> execution -> tool_result；server_tool_use 单列。
• 错误/恢复：string/template -> callsite -> typed classifier -> retry/fallback/tombstone -> user surface -> post-effect boundary。

只有 schema 是 Declaration；AST callsite 仍要判 whole-bundle ownership。consumer 尚未追完叫 Untraced/Inventory only；这只描述该证据行当前能证明到哪一层，不是 Boundary，也不自动构成产品功能缺口或项目待办。只有具体功能仍缺 owner、状态变化或失败事实时，才沿相关行继续追。server/runtime value、第三方内部、其他平台状态和构建前删除源码才属于 Boundary。

三轴证据坐标¶

environment-access-callsites.jsonl 虽是真实 AST callsite，但扫描 whole bundle，包含 @grpc/grpc-js 等依赖读取，所有权只能是 Mixed。otel-environment-variables.txt 也来自 broad union，不能统一写成一方 Product。

精确 inventory 文件集合、canonical hash、提取来源、ownership、proof level、C/Q/E/S/O 路由和机器分类状态集中在 机器证据索引。逐能力的 Deep / Documented / Inventory only / Boundary 在 全面性审计。机器清单负责防漏，不把每个未逐项扩展的 callsite 变成项目待办；机制 registry 与具体功能调用链才约束行为结论。

最终边界： bundle 能证明 shipped bytes、可达分支、默认值、状态字段和本地协议；exact-binary Probe 只证明受控输入触发的路径；服务端实时配置、账号 entitlement、模型内部判断、远端持久化、第三方实现和缺失的原始 TypeScript/Rust/Swift 源码仍是 Boundary。Untraced/Inventory only 不得为了宣称完成而改写成 Boundary。