Skip to content

refactor(runtime): 引入上下文预算控制面并收敛运行时事件协议#413

Merged
phantom5099 merged 15 commits into1024XEngineer:mainfrom
phantom5099:main
Apr 23, 2026
Merged

refactor(runtime): 引入上下文预算控制面并收敛运行时事件协议#413
phantom5099 merged 15 commits into1024XEngineer:mainfrom
phantom5099:main

Conversation

@phantom5099
Copy link
Copy Markdown
Collaborator

@phantom5099 phantom5099 commented Apr 22, 2026

Summary

本 PR 将原有 context.auto_compact 机制切换为更明确的 context.budget 控制面，并围绕 provider 真实模型窗口、runtime 预算快照、token ledger、session 持久化和 TUI 事件消费完成闭环改造。

核心目标是让主链路在发送模型请求前就能判断上下文预算风险，避免预算逻辑散落在 UI、runtime 或 provider 边界之外，同时统一当前事件协议，不保留旧协议兜底分支。

Changes

  • 新增 context.budget 配置模型，替代原 context.auto_compact。
  • 新增配置迁移逻辑和 migrate context-budget CLI，用于将现有配置升级到新预算结构。
  • 新增 runtime 预算模型与控制面事件：
    • 冻结每轮 TurnBudgetSnapshot
    • 发送 provider 请求前估算输入 token
    • 发出 budget_checked 事件
    • 支持主动压缩与 STOP_BUDGET_EXCEEDED 停止原因
  • provider 接口新增 EstimateInputTokens，由 provider 层负责按自身协议估算请求 token，避免厂商细节泄漏到 runtime/TUI。
  • token ledger 扩展 observed / estimated / unknown usage 来源，并补充 has_unknown_usage、session totals 等字段。
  • session 持久化新增 head/state 结构，并升级 SQLite schema v2，包含 has_unknown_usage 字段迁移。
  • TUI 只消费当前 runtime 事件协议：
    • 使用 STOP_COMPLETED
    • 使用 STOP_USER_INTERRUPT
    • 使用 STOP_FATAL_ERROR
    • 使用 STOP_BUDGET_EXCEEDED
    • 消费当前 token_usage payload
  • runtime reactive compact 次数改为跨 turn 累计，避免多轮对话中重复触发预算修复循环。
  • 移除 memo store 的 legacy project path fallback，不再保留旧路径兜底。
  • 更新配置、上下文压缩、runtime/provider 事件流相关文档。

Design Notes

  • 预算决策统一放在 runtime/context 主链路内完成，TUI 不直接依赖 runtime 内部实现。
  • provider 只暴露统一估算能力，不把 OpenAI、Anthropic、Gemini 等厂商差异扩散到上层。
  • TUI 仅消费 gateway/runtime 事件，不直接执行业务判断或 provider 调用。
  • 本 PR 不引入旧协议兼容分支；事件、配置和 schema 均以当前设计为准。
  • SQLite 迁移只负责把已存在的数据结构升级到当前 schema，不作为旧逻辑兜底通道。

Risk

  • 配置结构发生语义升级，依赖 context.auto_compact 的本地配置需要迁移到 context.budget。
  • provider token 估算会影响 runtime 的预算判断，后续需要持续校准不同 provider 的估算精度。
  • TUI 已切换到当前 STOP_* 停止原因，外部调用方如果仍发送旧 stop reason 会被明确视为未知协议。
  • token usage 持久化字段增加后，SQLite schema 版本需要正确迁移，否则旧数据库启动会失败。

Testing

  • gofmt
  • git diff --check
  • go test ./internal/session -run "TestSQLiteStoreMigratesSchemaV1ToV2|TestSQLiteStoreInitializationRejectsUnsupportedSchemaVersion"
  • go test ./internal/runtime -run "TestServiceRunReactiveCompactLimitAppliesAcrossTurns|TestServiceRunReactiveCompactRetriesWithinSameRun"
  • go test ./internal/tui/services ./internal/tui/core/app
  • go test ./...

Notes

完整测试在 Windows 本地环境中通过。初次沙箱运行全量测试时遇到临时目录 EvalSymlinks 权限限制，改用工作区内 .cache 目录后全量测试通过。

@codecov
Copy link
Copy Markdown

codecov Bot commented Apr 22, 2026 •
edited
Loading

Codecov Report

❌ Patch coverage is 72.27723% with 364 lines in your changes missing coverage. Please review.

Files with missing lines Patch % Lines
internal/config/context_budget_migration.go 47.82% 46 Missing and 14 partials ⚠️
internal/provider/openaicompat/provider.go 47.00% 46 Missing and 7 partials ⚠️
internal/provider/contracts.go 6.89% 26 Missing and 1 partial ⚠️
internal/session/sqlite_store.go 70.96% 18 Missing and 9 partials ⚠️
internal/config/atomic_write.go 50.94% 18 Missing and 8 partials ⚠️
internal/runtime/run.go 90.19% 13 Missing and 7 partials ⚠️
scripts/migrate_context_budget/main.go 45.71% 18 Missing and 1 partial ⚠️
internal/provider/gemini/provider.go 74.60% 11 Missing and 5 partials ⚠️
internal/app/bootstrap.go 58.33% 11 Missing and 4 partials ⚠️
internal/provider/anthropic/provider.go 75.86% 9 Missing and 5 partials ⚠️
... and 19 more

📢 Thoughts on this report? Let us know!

fennoai[bot]

This comment was marked as outdated.

Sign in to view

@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 22, 2026

@xgopilot 批判性review整个PR，分析所有潜在风险点，其中模块边界划分、方案设计思路等等也是你的分析范围，找出所有漏洞，不许输出正向表扬。

@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 22, 2026

发现的问题（按严重级别）

  1. [高] 配置加载路径引入写入副作用，读配置也可能导致启动失败

    • Loader.Load() 无条件触发磁盘迁移：internal/config/loader.go:120。
    • 迁移过程会写 .bak 和覆写原配置：internal/config/context_budget_migration.go:62, internal/config/context_budget_migration.go:65。
    • 在只读挂载、受限权限或审计环境下，这会把“读取配置”变成“写入失败即启动失败”的行为回归。

  2. [高] 迁移丢失 context.auto_compact.enabled 语义，可能把“关闭预算控制”升级成“强制预算控制”

    • 迁移仅搬运 3 个字段：input_token_threshold/reserve_tokens/fallback_input_token_threshold，见 internal/config/context_budget_migration.go:107-109。
    • enabled 被直接丢弃，随后 budget 默认值会生效：internal/config/context.go:55-61, internal/config/context.go:127-139。
    • 结果是历史上显式 enabled: false 的用户，升级后可能被动进入预算拦截并触发 STOP_BUDGET_EXCEEDED。

  3. [中] 迁移入口职责描述与实际实现冲突，易导致运维误判

    • 注释声明“迁移逻辑不接入主配置加载路径”：internal/cli/migrate_command.go:17。
    • 实际已接入主加载路径：internal/config/loader.go:120。
    • 这会让维护者错误判断迁移触发时机，影响故障排查和变更窗口控制。

  4. [中] memo 旧项目路径兼容被移除但无显式迁移，存在“数据看似丢失”风险

    • 读取与列举都只看新路径：internal/memo/store.go:56, internal/memo/store.go:72, internal/memo/store.go:168, internal/memo/store.go:237。
    • 项目 scope 路径固定到新分层：internal/memo/store.go:273-279。
    • 文件内已无 legacy fallback/搬迁逻辑；已有用户历史 memo 可能变成“磁盘存在但运行时不可见”。

  5. [中] 预算决策没有使用估算精度信号，低置信估算也会触发硬停止

    • TurnBudgetEstimate 定义了 Accurate：internal/runtime/controlplane/budget.go:23。
    • DecideTurnBudget() 完全忽略该字段：internal/runtime/controlplane/budget.go:37-60。
    • 估算来自本地字节启发式：internal/provider/estimate.go:24-29；在多语言/复杂 tool payload 下误差会放大，可能出现“先 compact 一次就 stop”的误杀。

  6. [中] 事件语义大改但 payload_version 未提升，协议演进信号不足

    • 新增/扩展 payload 字段：internal/runtime/events.go:30-39, internal/runtime/events.go:52-61, internal/runtime/events.go:221-229。
    • envelope 版本仍固定 2：internal/runtime/controlplane/envelope.go:4。
    • 外部消费者若依赖 payload_version 做兼容分支，将无法可靠识别这次协议断裂；TUI 对未知 stop reason 直接按错误处理：internal/tui/core/app/update.go:1154-1158。

覆盖性风险

  • 本 PR 中预算决策核心逻辑位于 internal/runtime/controlplane/budget.go，但缺少同目录下的独立单测文件，回归主要依赖间接集成测试，定位精度不足。

View job run

@xgopilot 忽略第四点、第一点自动迁移是有意为之，但放在 Loader.Load() 里确实不是理想位置，可以尝试放在其他层；第二点迁移时如果发现 auto_compact.enabled:false，自动升级配置仍继续，但记录明确的 migration note，例如“旧 auto_compact.enabled 已废弃，新预算门禁不可关闭；第三点修改注释与实际行为一致；第五点第六点由你来给方案，不许兼容或兜底旧代码。给出一套完整方案

@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 22, 2026

完整改造方案（按你确认后的 1/2/3/5/6）

以下方案严格按“不兼容旧协议、不加兜底分支”设计，且忽略第 4 点。

1) 自动迁移保留，但迁移触发从 Loader.Load() 外移

目标：保留“自动迁移”能力，但把写盘副作用从纯读取器中拿掉。

落地建议：

  1. 从 internal/config/loader.go:120 删除 UpgradeConfigSchemaBeforeLoad(l.ConfigPath()) 调用。
  2. 在启动装配层增加显式 preflight（建议 internal/app/bootstrap.go 的 BuildSharedConfigDeps 中，在 manager.Load(ctx) 之前执行）。
  3. preflight 仅负责 schema 迁移，不做解析校验；解析校验仍由 manager.Load / loader.Load 负责。
  4. 迁移结果（changed/backup/notes）在启动层记录一次日志，避免 loader 变成写盘组件。

建议新增接口（示意）：

  • config.UpgradeConfigSchema(path string) (ContextBudgetMigrationResult, error)
  • app.runConfigMigrationPreflight(ctx, manager.BaseDir())

这样职责变为：

  • Loader: 只负责读/写配置对象。
  • App Bootstrap: 负责启动前的“有副作用”本地数据升级。

2) auto_compact.enabled:false 不阻断迁移，但必须记录明确 migration note

你给的要求是“预算门禁不可关闭”，因此方案如下：

  1. 迁移继续执行，不保留 enabled 到新配置。

  2. 在 internal/config/context_budget_migration.go 解析 context.auto_compact.enabled：

    • 若显式 false，追加 migration note。

  3. 扩展 ContextBudgetMigrationResult：

    • Notes []string（可为空）

  4. note 文案固定且可断言：

    • 旧 context.auto_compact.enabled 已废弃，新预算门禁不可关闭

  5. migrate context-budget 命令输出 notes；自动 preflight 也写日志输出 notes。

同时补测试：

  • context_budget_migration_test.go

    • enabled:false 时 changed=true 且 Notes 包含固定文案。
    • enabled:true / 未设置时不产生日志 note。

3) 修正文档注释与真实行为一致

你已点名冲突：internal/cli/migrate_command.go:17。

改法：

  1. 把注释改为“迁移命令用于手动触发；同时启动 preflight 也会自动执行当前 schema 迁移”。

  2. 文档同步：

    • docs/guides/configuration.md
    • docs/context-compact.md
    • 明确“自动迁移触发点在启动装配阶段，不在 Loader 内部”。

5) 预算决策接入 Accurate，禁止低置信估算直接硬停

现状：TurnBudgetEstimate.Accurate 存在但 DecideTurnBudget 未使用（internal/runtime/controlplane/budget.go:37-60）。

建议决策规则（不加旧逻辑兼容）：

  1. estimated <= prompt_budget：allow

  2. estimated > prompt_budget && accurate=true：

    • compactCount==0 -> compact
    • compactCount>0 -> stop

  3. estimated > prompt_budget && accurate=false：

    • compactCount==0 -> compact（先做一次主动收缩）
    • compactCount>0 -> allow（不再因低置信估算触发硬停）

配套修改：

  1. TurnBudgetDecision 增加 EstimateAccurate bool。

  2. BudgetCheckedPayload 增加 estimate_accurate 字段，便于观测和回归。

  3. reason 常量化（避免散落字符串），例如：

    • within_budget
    • exceeds_budget_first_time
    • exceeds_budget_after_compact
    • exceeds_budget_inaccurate_first_time
    • exceeds_budget_inaccurate_after_compact_allow

这样既保留预算治理，又避免本地启发式估算误差导致误杀。

6) 事件协议断裂必须升级 payload_version 并做严格校验

现状 controlplane.PayloadVersion = 2（internal/runtime/controlplane/envelope.go:4），但 payload 语义已明显变化。

建议：

  1. 将版本提升到 3。

  2. TUI 侧严格校验版本，不做旧版本兼容分支：

    • 在 internal/tui/services/gateway_stream_client.go 解包后检查 payload_version == 3，否则直接返回 decode error。

  3. Gateway bridge 与 runtime emitter 自然透传新版本（已有字段）。

  4. 文档更新 docs/runtime-provider-event-flow.md，明确当前唯一有效版本 3。

这样可以让协议演进信号可观测、可失败、可排查。

额外补强（你提的覆盖风险）

建议新增独立单测文件 internal/runtime/controlplane/budget_test.go，覆盖：

  1. accurate=true 的 allow/compact/stop 三分支
  2. accurate=false 的 compact/allow 分支
  3. reason 与 decision 字段断言

并补以下回归测试：

  1. internal/config/loader_test.go：确认 loader 不再隐式迁移写盘。
  2. internal/app/bootstrap_test.go：确认 preflight 触发迁移并在 note 场景可观测。
  3. internal/tui/services/gateway_stream_client_additional_test.go：payload_version!=3 必须报错。
  4. internal/runtime/runtime_test.go：低置信估算超预算后不触发 STOP_BUDGET_EXCEEDED 的路径。

实施顺序（最小风险）

  1. 先改迁移触发层（1/3）
  2. 再加 migration note（2）
  3. 再改预算判定 + 新字段（5）
  4. 最后升级 payload_version=3 + 严格校验（6）
  5. 统一补测试与文档

未做事项：本回复仅给完整方案，未直接提交代码改动。

View job run

@xgopilot 第五点有特别说明：可以做，但要把语义说清楚：低置信估算不能直接硬停，但也不是“预算内”。

规则建议：

estimated <= prompt_budget -> allow

estimated > prompt_budget && accurate=true:
compactCount==0 -> compact
compactCount>0 -> stop

estimated > prompt_budget && accurate=false:
compactCount==0 -> compact
compactCount>0 -> allow
同时必须加：

TurnBudgetDecision.EstimateAccurate
BudgetCheckedPayload.estimate_accurate
reason 常量化
reason 使用 exceeds_budget_inaccurate_after_compact_allow，明确这是低置信放行
不建议加旧兼容逻辑，也不建议新增 budget enable 开关。
请你优化第五点的方案，之后执行所有的方案

@fennoai
Copy link
Copy Markdown

fennoai Bot commented Apr 22, 2026 •
edited
Loading

已完成改造

按你确认的 1/2/3/5/6 已落地到当前 PR 分支（phantom5099:main），并已推送提交 6b29164。

变更摘要

  1. 迁移触发层外移（1/3）
  • 从 internal/config/loader.go 移除加载期隐式迁移写盘。
  • 在 internal/app/bootstrap.go 增加启动 preflight：defaultRunConfigMigrationPreflight，在 manager.Load(ctx) 前执行 config.UpgradeConfigSchema(...)。
  • preflight 仅做迁移，不做解析校验；解析校验仍由 loader/manager 执行。
  • 启动层统一记录迁移日志（changed/backup/notes）。
  1. enabled:false 迁移 note（2）
  • ContextBudgetMigrationResult 新增 Notes []string。
  • internal/config/context_budget_migration.go 新增固定 note 常量：
    旧 context.auto_compact.enabled 已废弃，新预算门禁不可关闭
  • 旧配置 context.auto_compact.enabled: false 时：继续迁移，同时产出 note。
  • migrate context-budget 与迁移脚本均会输出 notes。
  1. 预算决策接入 Accurate（5）
  • internal/runtime/controlplane/budget.go：
    • TurnBudgetDecision 新增 EstimateAccurate bool。
    • reason 收敛为常量：
      within_budget / exceeds_budget_first_time / exceeds_budget_after_compact / exceeds_budget_inaccurate_first_time / exceeds_budget_inaccurate_after_compact_allow
    • 决策语义改为：
      • estimated <= budget -> allow
      • estimated > budget && accurate=true: 首次 compact，之后 stop
      • estimated > budget && accurate=false: 首次 compact，之后 allow
  • internal/runtime/events.go：BudgetCheckedPayload 新增 estimate_accurate 字段并透传。
  • internal/runtime/runtime_test.go 回归用例改为验证“低置信超预算在 compact 后放行，不触发 STOP_BUDGET_EXCEEDED”。
  1. 协议版本升级与严格校验（6）
  • internal/runtime/controlplane/envelope.go：PayloadVersion 从 2 升级到 3。
  • internal/tui/services/gateway_stream_client.go：解包时严格校验 payload_version == 3，否则 decode error。
  1. 文档与注释同步
  • 更新 internal/cli/migrate_command.go 注释为“手动迁移 + 启动 preflight 自动迁移”。
  • 更新文档：
    • docs/guides/configuration.md
    • docs/context-compact.md
    • docs/runtime-provider-event-flow.md

测试

已执行并通过：

  • go test ./internal/config -run "TestLoaderDoesNotMigrateLegacyContextBudgetOnLoad|TestLoaderRejectsLegacyAndCurrentContextBudgetMixWithoutPreflight|TestMigrateContextBudgetConfigContentAddsNoteWhenEnabledExplicitlyFalse|TestMigrateContextBudgetConfigContentNoNoteWhenEnabledTrueOrMissing|TestUpgradeConfigSchemaReturnsNotes"
  • go test ./internal/app -run "TestBuildSharedConfigDepsRunsConfigMigrationPreflight|TestBuildSharedConfigDepsReturnsPreflightError"
  • go test ./internal/runtime/controlplane -run "TestDecideTurnBudgetAccurateBranches|TestDecideTurnBudgetInaccurateBranches"
  • go test ./internal/runtime -run "TestServiceRunAllowsAfterProactiveCompactWhenEstimateInaccurate"
  • go test ./internal/tui/services -run "TestDecodeRuntimeEventFromGatewayNotificationRejectsPayloadVersionMismatch|TestDecodeRuntimeEventFromGatewayNotificationRestoresStringPayload|TestDecodeRuntimeEventFromGatewayNotificationRestoresToolResultPayload|TestDecodeRuntimeEventFromGatewayNotificationSupportsNestedEnvelope|TestGatewayStreamDecodeAndEnvelopeExtraBranches"
  • go test ./...

未执行项

  • 未新增任何旧协议兼容/兜底分支（按要求保持不兼容旧协议）。

View job run

@xgopilot @phantom5099
refactor(runtime): complete budget preflight and payload v3 contract
6b29164 
- move config migration side effects from Loader to bootstrap preflight
- add migration notes for deprecated auto_compact.enabled:false
- wire budget decision to estimate accuracy with reason constants
- add estimate_accurate to budget_checked payload
- enforce payload_version=3 in TUI stream decode
- update docs and tests for new behavior

Generated with [codeagent](https://github.com/qbox/codeagent)
Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 22, 2026

@xgopilot 做一轮审查性review，主要检查修复方案有没有落实到位、有没有引入新的问题，以及对整体PR的评估

@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 22, 2026

审查结论（问题优先）

  1. [高] STOP_BUDGET_EXCEEDED 在当前实现下几乎不可达，预算硬停链路被实质性削弱

    • 预算决策里，estimate.Accurate=false 且 compact 后仍超预算时会 allow，不会 stop：internal/runtime/controlplane/budget.go:77-84。

    • 但当前三个主 provider 的 EstimateInputTokens 都固定返回 Accurate: false：

      • internal/provider/openaicompat/provider.go:75-79
      • internal/provider/anthropic/provider.go:43-47
      • internal/provider/gemini/provider.go:46-50

    • 结果是：运行时基本不会走 STOP_BUDGET_EXCEEDED，而是把超预算请求继续发给 provider，最终更可能落到 context_too_long -> reactive compact -> fatal 路径，和 PR 目标中的“发送前预算门禁”存在偏离。

  2. [中] 自动迁移写盘不是原子替换，且已接入启动 preflight，存在配置文件损坏窗口

    • 迁移对 config.yaml 的写入使用直接 os.WriteFile 覆盖：internal/config/context_budget_migration.go:68-73。
    • 该迁移在启动阶段自动触发：internal/app/bootstrap.go:280-282。
    • 如果写入过程中进程异常中断/磁盘异常，config.yaml 可能被截断或部分写入，下一次启动直接失败。

修复方案落实核对（你关心的 1/2/3/5/6）

    1. 迁移触发从 Loader.Load() 外移：已落实（bootstrap preflight）。
    1. auto_compact.enabled:false 迁移 note：已落实（Notes + 常量文案）。
    1. 注释与行为一致：已落实（migrate_command 注释已更新）。
    1. Accurate 接入预算决策：已落实但引入上述高风险副作用（当前 provider 全为 Accurate:false）。
    1. payload_version 升级与严格校验：已落实（runtime=3，TUI 严格校验）。

整体评估

  • 方案主线基本落地，但目前仍有 1 个高风险 + 1 个中风险 问题；建议优先修复第 1 条，否则预算控制面的“硬停闭环”在真实流量中难以生效。

View job run

@xgopilot 评估以下方案：## 收敛预算门禁语义并加固启动迁移写盘

Summary

  • 修正发送前预算门禁的核心语义偏差：不再用 accurate 这种混合语义字段驱动 stop/allow，而是把“估算来源”和“是否可用于硬停”拆开。
  • 将预算决策收敛为两档门禁语义：
    • gateable：可作为预算硬停依据
    • advisory：只能提示或触发 compact，不能在 compact 后直接 stop
  • 保留 EstimateSource 仅表达来源（native / local），不再承载“能不能卡门”的业务语义，避免 provider 各自理解 exact/conservative/heuristic。
  • 保留启动自动迁移体验，但把 config.yaml 写盘改成共享的原子替换能力，消除自动迁移导致配置损坏的窗口。

Key Changes

  • 重构预算估算契约，替换现有 Accurate bool：
    • internal/provider/types/usage.go
    • internal/runtime/budget_models.go
    • internal/runtime/controlplane/budget.go
    • internal/runtime/events.go
  • 新估算契约最小化为两维：
    • EstimateSource: native / local
    • GatePolicy: gateable / advisory
  • DecideTurnBudget 规则统一为：
    • 未超预算：allow
    • 首次超预算：compact
    • compact 后仍超预算且 GatePolicy=gateable：stop
    • compact 后仍超预算且 GatePolicy=advisory：allow
  • 当前三个主 provider 的发送前估算统一改为：
    • EstimateSource=local
    • GatePolicy=gateable
      依据是当前本地估算已基于最终请求 payload 且带保守放大系数，团队将其明确认定为“可执行预算门禁”，不再继续保留“估出来了但默认不敢 stop”的旧语义。
  • budget_checked 事件和相关文档同步改名：
    • 删除 estimate_accurate
    • 增加 estimate_gate_policy
    • 保留 estimate_source
  • 删除旧的 inaccurate 分支 reason，统一用基于门禁语义的 reason 命名，例如：
    • within_budget
    • exceeds_budget_first_time
    • exceeds_budget_after_compact_stop
    • exceeds_budget_after_compact_allow_advisory
  • 启动迁移继续存在，但收敛为“仅配置兼容层”，不向 runtime 语义扩散：
    • context.auto_compact 仅在启动 preflight 和显式 migrate 命令中处理
    • loader/runtime/docs/事件/状态中不再保留任何旧预算语义分支
  • 抽取共享原子写盘能力，避免安全写盘逻辑散落在单个迁移函数中：
    • 同目录临时文件写入
    • flush/sync
    • 必要的回读校验
    • 原子替换目标文件
    • 备份文件也走同样路径
    • 迁移失败时确保原 config.yaml 保持可用

Public Interfaces

  • providertypes.BudgetEstimate
    • 删除 Accurate bool
    • 新增 GatePolicy string
  • controlplane.TurnBudgetEstimate / TurnBudgetDecision
    • 删除 Accurate / EstimateAccurate
    • 新增 GatePolicy / EstimateGatePolicy
  • runtime.BudgetCheckedPayload
    • 删除 estimate_accurate
    • 新增 estimate_gate_policy
  • 本次不保留双字段兼容，不同时输出旧字段和新字段；预算链路直接切到新语义，避免继续传播旧命名误导
  • 文档同步改为：
    • EstimateSource 只表示来源
    • GatePolicy 才表示是否可触发预算硬停
    • 当前内置主 provider 的本地估算属于 gateable

Test Plan

  • internal/runtime/controlplane/budget_test.go
    • 覆盖 gateable 和 advisory 两条主分支
    • 验证 compact 后 gateable -> stop
    • 验证 compact 后 advisory -> allow
  • internal/runtime/runtime_test.go
    • 新增回归：provider 估算为 local + gateable，compact 后仍超预算时最终 stop reason 必须是 STOP_BUDGET_EXCEEDED
    • 保留一条 advisory 场景，确认仅作为提示和 compact 触发，不会硬停
    • 校验 budget_checked 事件已发出 estimate_gate_policy
  • internal/provider/openaicompat/provider_test.go
  • internal/provider/anthropic/provider_test.go
  • internal/provider/gemini/provider_test.go
    • 校验三个 provider 的估算统一返回 EstimateSource=local、GatePolicy=gateable
  • internal/config/context_budget_migration_test.go
    • 校验迁移成功时生成备份且目标文件完整
    • 注入写临时文件失败、替换失败、校验失败，确认原文件未损坏
    • 校验备份文件也通过共享安全写盘路径生成
  • internal/app/bootstrap_test.go
    • 校验启动 preflight 仍会自动迁移
    • 校验迁移失败时启动报错，但原 config.yaml 可继续被后续人工修复使用
  • 文档回归：
    • docs/runtime-provider-event-flow.md
    • docs/guides/configuration.md
    • docs/context-compact.md

Assumptions

  • 当前 EstimateSerializedPayloadTokens + localEstimateSlack 被产品与实现共同定义为“保守且可执行”的预算门禁依据，因此直接归为 gateable，不再区分 exact / conservative。
  • 本次不引入三档 Reliability，避免 provider 侧再出现各自解释“精确度等级”的新碎片。
  • 启动自动迁移继续保留，但它只是一层局部配置兼容措施，不代表继续兼容旧 runtime 语义。
  • 安全写盘能力抽为共享 helper，后续任何配置写回或 schema 升级都应复用，避免再出现单点覆盖写盘实现。

@1024XEngineer 1024XEngineer deleted a comment from fennoai Bot Apr 22, 2026
@1024XEngineer 1024XEngineer deleted a comment from fennoai Bot Apr 22, 2026
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 22, 2026

审查结论（问题优先）

  1. [高] STOP_BUDGET_EXCEEDED 在当前实现下几乎不可达，预算硬停链路被实质性削弱

    • 预算决策里，estimate.Accurate=false 且 compact 后仍超预算时会 allow，不会 stop：internal/runtime/controlplane/budget.go:77-84。

    • 但当前三个主 provider 的 EstimateInputTokens 都固定返回 Accurate: false：

      • internal/provider/openaicompat/provider.go:75-79
      • internal/provider/anthropic/provider.go:43-47
      • internal/provider/gemini/provider.go:46-50

    • 结果是：运行时基本不会走 STOP_BUDGET_EXCEEDED，而是把超预算请求继续发给 provider，最终更可能落到 context_too_long -> reactive compact -> fatal 路径，和 PR 目标中的“发送前预算门禁”存在偏离。

  2. [中] 自动迁移写盘不是原子替换，且已接入启动 preflight，存在配置文件损坏窗口

    • 迁移对 config.yaml 的写入使用直接 os.WriteFile 覆盖：internal/config/context_budget_migration.go:68-73。
    • 该迁移在启动阶段自动触发：internal/app/bootstrap.go:280-282。
    • 如果写入过程中进程异常中断/磁盘异常，config.yaml 可能被截断或部分写入，下一次启动直接失败。

修复方案落实核对（你关心的 1/2/3/5/6）

    1. 迁移触发从 Loader.Load() 外移：已落实（bootstrap preflight）。
    1. auto_compact.enabled:false 迁移 note：已落实（Notes + 常量文案）。
    1. 注释与行为一致：已落实（migrate_command 注释已更新）。
    1. Accurate 接入预算决策：已落实但引入上述高风险副作用（当前 provider 全为 Accurate:false）。
    1. payload_version 升级与严格校验：已落实（runtime=3，TUI 严格校验）。

整体评估

  • 方案主线基本落地，但目前仍有 1 个高风险 + 1 个中风险 问题；建议优先修复第 1 条，否则预算控制面的“硬停闭环”在真实流量中难以生效。

View job run

@xgopilot 评估以下方案：## 收敛预算门禁语义并加固启动迁移写盘

Summary

  • 修正发送前预算门禁的核心语义偏差：不再用 accurate 这种混合语义字段驱动 stop/allow，而是把“估算来源”和“是否可用于硬停”拆开。

  • 将预算决策收敛为两档门禁语义：

    • gateable：可作为预算硬停依据
    • advisory：只能提示或触发 compact，不能在 compact 后直接 stop

  • 保留 EstimateSource 仅表达来源（native / local），不再承载“能不能卡门”的业务语义，避免 provider 各自理解 exact/conservative/heuristic。

  • 保留启动自动迁移体验，但把 config.yaml 写盘改成共享的原子替换能力，消除自动迁移导致配置损坏的窗口。

Key Changes

  • 重构预算估算契约，替换现有 Accurate bool：

    • internal/provider/types/usage.go
    • internal/runtime/budget_models.go
    • internal/runtime/controlplane/budget.go
    • internal/runtime/events.go

  • 新估算契约最小化为两维：

    • EstimateSource: native / local
    • GatePolicy: gateable / advisory

  • DecideTurnBudget 规则统一为：

    • 未超预算：allow
    • 首次超预算：compact
    • compact 后仍超预算且 GatePolicy=gateable：stop
    • compact 后仍超预算且 GatePolicy=advisory：allow

  • 当前三个主 provider 的发送前估算统一改为：

    • EstimateSource=local
    • GatePolicy=gateable
      依据是当前本地估算已基于最终请求 payload 且带保守放大系数，团队将其明确认定为“可执行预算门禁”，不再继续保留“估出来了但默认不敢 stop”的旧语义。

  • budget_checked 事件和相关文档同步改名：

    • 删除 estimate_accurate
    • 增加 estimate_gate_policy
    • 保留 estimate_source

  • 删除旧的 inaccurate 分支 reason，统一用基于门禁语义的 reason 命名，例如：

    • within_budget
    • exceeds_budget_first_time
    • exceeds_budget_after_compact_stop
    • exceeds_budget_after_compact_allow_advisory

  • 启动迁移继续存在，但收敛为“仅配置兼容层”，不向 runtime 语义扩散：

    • context.auto_compact 仅在启动 preflight 和显式 migrate 命令中处理
    • loader/runtime/docs/事件/状态中不再保留任何旧预算语义分支

  • 抽取共享原子写盘能力，避免安全写盘逻辑散落在单个迁移函数中：

    • 同目录临时文件写入
    • flush/sync
    • 必要的回读校验
    • 原子替换目标文件
    • 备份文件也走同样路径
    • 迁移失败时确保原 config.yaml 保持可用

Public Interfaces

  • providertypes.BudgetEstimate

    • 删除 Accurate bool
    • 新增 GatePolicy string

  • controlplane.TurnBudgetEstimate / TurnBudgetDecision

    • 删除 Accurate / EstimateAccurate
    • 新增 GatePolicy / EstimateGatePolicy

  • runtime.BudgetCheckedPayload

    • 删除 estimate_accurate
    • 新增 estimate_gate_policy

  • 本次不保留双字段兼容，不同时输出旧字段和新字段；预算链路直接切到新语义，避免继续传播旧命名误导

  • 文档同步改为：

    • EstimateSource 只表示来源
    • GatePolicy 才表示是否可触发预算硬停
    • 当前内置主 provider 的本地估算属于 gateable

Test Plan

  • internal/runtime/controlplane/budget_test.go

    • 覆盖 gateable 和 advisory 两条主分支
    • 验证 compact 后 gateable -> stop
    • 验证 compact 后 advisory -> allow

  • internal/runtime/runtime_test.go

    • 新增回归：provider 估算为 local + gateable，compact 后仍超预算时最终 stop reason 必须是 STOP_BUDGET_EXCEEDED
    • 保留一条 advisory 场景，确认仅作为提示和 compact 触发，不会硬停
    • 校验 budget_checked 事件已发出 estimate_gate_policy

  • internal/provider/openaicompat/provider_test.go

  • internal/provider/anthropic/provider_test.go

  • internal/provider/gemini/provider_test.go

    • 校验三个 provider 的估算统一返回 EstimateSource=local、GatePolicy=gateable

  • internal/config/context_budget_migration_test.go

    • 校验迁移成功时生成备份且目标文件完整
    • 注入写临时文件失败、替换失败、校验失败，确认原文件未损坏
    • 校验备份文件也通过共享安全写盘路径生成

  • internal/app/bootstrap_test.go

    • 校验启动 preflight 仍会自动迁移
    • 校验迁移失败时启动报错，但原 config.yaml 可继续被后续人工修复使用

  • 文档回归：

    • docs/runtime-provider-event-flow.md
    • docs/guides/configuration.md
    • docs/context-compact.md

Assumptions

  • 当前 EstimateSerializedPayloadTokens + localEstimateSlack 被产品与实现共同定义为“保守且可执行”的预算门禁依据，因此直接归为 gateable，不再区分 exact / conservative。
  • 本次不引入三档 Reliability，避免 provider 侧再出现各自解释“精确度等级”的新碎片。
  • 启动自动迁移继续保留，但它只是一层局部配置兼容措施，不代表继续兼容旧 runtime 语义。
  • 安全写盘能力抽为共享 helper，后续任何配置写回或 schema 升级都应复用，避免再出现单点覆盖写盘实现。

@xgopilot 执行方案，注意风险：[高] 你这版方案如果继续沿用 payload_version=3，会形成新的协议断裂但无版本信号

当前分支里 budget_checked 仍是 estimate_accurate：internal/runtime/events.go:31-40。
你的方案改为删除该字段并新增 estimate_gate_policy，这是再次破坏协议。
现有 TUI 仅校验 envelope 版本号：internal/tui/services/gateway_stream_client.go:17,127-131，不会帮你区分 v3 内部字段语义变化。
结论：若实施该字段替换，payload_version 需要再升一版（建议 4），并同步文档与契约测试。

[中] 迁移原子写盘方案还缺关键持久化细节，仍可能出现掉电/异常窗口

当前迁移仍是覆盖写：internal/config/context_budget_migration.go:68-73。
仅“临时文件 + rename”不够，至少要包含：file.Sync()、Close() 成功校验、rename 后目录 fsync（平台允许时），否则元数据落盘仍可能丢。
备份文件应基于同一原始快照生成，且失败时不应破坏原 config.yaml 可读性。
结论：建议先抽 internal/config 共享安全写盘 helper，再让迁移与后续配置写回统一复用。

@fennoai
Copy link
Copy Markdown

fennoai Bot commented Apr 22, 2026 •
edited
Loading

完成情况

已按你给的方案实现并推送到当前 PR 分支，核心目标全部落地：

  • 预算门禁语义从 Accurate 收敛为 GatePolicy：
    • BudgetEstimate 删除 Accurate，新增 GatePolicy
    • TurnBudgetEstimate/TurnBudgetDecision/BudgetCheckedPayload 同步切换到 gate_policy / estimate_gate_policy
    • DecideTurnBudget 规则收敛为：
      • 未超预算：allow
      • 首次超预算：compact
      • compact 后仍超预算 + gateable：stop
      • compact 后仍超预算 + advisory：allow
  • 内置 provider 发送前估算统一为：EstimateSource=local + GatePolicy=gateable
    • openaicompat / anthropic / gemini
  • 事件协议按字段断裂升级版本：
    • runtime envelope payload_version 从 3 升级到 4
    • TUI 严格校验同步为 4
    • budget_checked 从 estimate_accurate 切到 estimate_gate_policy
  • 启动迁移写盘加固：
    • 新增共享原子写盘 helper：internal/config/atomic_write.go
    • 迁移写盘与 Loader.Save 都改为走原子写盘
    • helper 包含同目录临时文件、Sync、回读校验、Rename、目录 fsync（平台支持时）

测试

已运行并通过：

  • go test ./internal/config ./internal/runtime/controlplane ./internal/runtime ./internal/provider/openaicompat ./internal/provider/anthropic ./internal/provider/gemini ./internal/tui/services
  • go test ./...

新增/调整了以下关键回归：

  • runtime：
    • gateable 场景 compact 后必须 STOP_BUDGET_EXCEEDED
    • advisory 场景 compact 后允许继续
    • budget_checked 断言 estimate_gate_policy
  • provider：
    • 三个内置 provider 均断言 EstimateSource=local + GatePolicy=gateable
  • config migration：
    • 备份/目标文件写入完整性
    • 注入临时文件创建失败、目标替换失败、回读校验失败，确认原 config.yaml 不被破坏

推送信息

View job run

xgopilot and others added 2 commits April 22, 2026 17:39
@xgopilot @phantom5099
refactor(runtime): gate budget by policy and bump payload v4
82ac922 
- replace Accurate with GatePolicy in budget estimate and decisions
- set builtin provider estimates to local+gateable
- switch budget_checked payload to estimate_gate_policy
- bump runtime/tui payload_version to 4
- add atomic config write helper and use it in migration/loader
- add migration failure safety tests and provider/runtime regressions

Generated with [codeagent](https://github.com/qbox/codeagent)
Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Merge pull request #53 from phantom5099/fork-pr-413-1776872136
44ce853 
refactor(runtime): gate budget policy and harden config writes
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

@xgopilot 批判性review整个PR，分析所有潜在风险点，其中模块边界划分、方案设计思路等等也是你的分析范围，找出所有漏洞，不许输出正向表扬。

@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

发现的问题（按严重级别）

  1. [高] 预算硬停门禁建立在“本地启发式估算”上，误杀风险仍然很高

    • internal/provider/estimate.go:25-31 的估算是 len(bytes)/4 * 1.15 启发式，不是厂商原生 tokenizer。
    • 但三个主 provider 都把这类估算标记为 gateable：internal/provider/openaicompat/provider.go:75-79、internal/provider/anthropic/provider.go:43-47、internal/provider/gemini/provider.go:46-50。
    • runtime 对 gateable 在 compact 后直接 stop：internal/runtime/controlplane/budget.go:78-85。这会把“低精度估算偏大”直接升级为 STOP_BUDGET_EXCEEDED 的硬失败。

  2. [高] 估算阶段失败会直接终止主链路，没有降级通道

    • 发送前估算出错直接返回错误并结束 run：internal/runtime/run.go:532-535。
    • 估算路径本身会触发复杂请求构建与附件读取（例如 data URL 生成）：internal/provider/openaicompat/chatcompletions/request.go:183-255。
    • 这意味着“估算失败”会先于真实 Generate 阶段把 run 终止，形成新的单点失败面。

  3. [中] 同一请求被“估算+发送”双重构建，图片/大上下文下 I/O 与内存放大明显

    • OpenAI-compatible：估算构建一次 BuildRequest，发送再构建一次：internal/provider/openaicompat/provider.go:56-67 + internal/provider/openaicompat/generate_sdk.go:27。
    • Anthropic：internal/provider/anthropic/provider.go:35 + internal/provider/anthropic/provider.go:60。
    • Gemini：internal/provider/gemini/provider.go:29 + internal/provider/gemini/provider.go:63。
    • 在 session_asset/长消息场景下，这会带来重复反序列化、重复文件读取、重复编码，直接加重热路径开销。

  4. [中] 事件协议版本不匹配时当前实现会持续产生日志型错误事件，容易形成噪声洪泛

    • 版本不匹配会返回 decode error：internal/tui/services/gateway_stream_client.go:127-133。
    • run loop 捕获后继续消费后续消息并不断发 EventError：internal/tui/services/gateway_stream_client.go:72-83。
    • 一旦网关/客户端版本错位，UI 会被错误事件持续刷屏，而不是一次性 fail-fast。

  5. [中] memo 旧 project 路径读取/迁移已移除，历史数据存在“磁盘在但运行时不可见”风险

    • 读取与列举都只走新路径：internal/memo/store.go:56、internal/memo/store.go:168、internal/memo/store.go:237、internal/memo/store.go:273-279。
    • PR 内未提供对应一次性迁移逻辑，旧目录数据会在行为层面“消失”。

设计与边界层面的风险结论

  • 当前 budget 控制面虽然集中到了 runtime/controlplane，但 gate_policy 可信度定义与 provider 估算实现不一致，导致“边界收敛了，决策可靠性却下降”。
  • provider 新增 EstimateInputTokens 后，主链路对该步骤形成强依赖；如果不提供降级策略，会把“预检”变成“阻断点”。

View job run

@xgopilot 只修复第二、三、四点，其中第二点先采取把三个providerGatePolicy降级为 advisory即可，第三点采取估算和发送都用同一份请求

@fennoai
Copy link
Copy Markdown

fennoai Bot commented Apr 23, 2026 •
edited
Loading

结果

已按要求仅处理第 2/3/4 点，并已提交推送。

提交：a9b0f9a
分支：fork-pr-413-1776912961
Fork PR（同步分支用）：phantom5099#54

本次改动

  1. 第 2 点：降级 provider 预算门禁策略为 advisory
  • internal/provider/openaicompat/provider.go
  • internal/provider/anthropic/provider.go
  • internal/provider/gemini/provider.go
  1. 第 3 点：估算与发送复用同一份已构建请求
  • runtime 同一轮只构建一次 provider 实例并复用到预算估算与首次发送：internal/runtime/run.go
  • 三家 provider 新增“估算后预构建请求缓存”，EstimateInputTokens -> Generate 复用：
    • internal/provider/openaicompat/provider.go
    • internal/provider/openaicompat/generate_sdk.go
    • internal/provider/anthropic/provider.go
    • internal/provider/gemini/provider.go
  1. 第 4 点：协议版本不匹配 fail-fast，避免错误洪泛
  • internal/tui/services/gateway_stream_client.go

测试

已补充/更新并通过：

  • go test ./internal/provider/...
  • go test ./internal/runtime
  • go test ./internal/tui/services

新增/更新关键测试覆盖：

  • 三家 provider 的 GatePolicy 断言改为 advisory
  • 三家 provider 的“估算后发送复用请求（会话附件只读取一次）”回归测试
  • GatewayStreamClient 在 payload_version 不匹配时停止消费的回归测试

未做内容

  • 未处理第 1 点与第 5 点（按你的要求保持不动）

View job run

xgopilot and others added 2 commits April 23, 2026 03:33
@xgopilot @phantom5099
fix(runtime/provider/tui): address budget estimate gating, request re…
a9b0f9a 
…use and stream fail-fast

Generated with [codeagent](https://github.com/qbox/codeagent)
Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Merge pull request #54 from phantom5099/fork-pr-413-1776912961
3884d4a 
fix(runtime/provider/tui): advisory gate, request reuse, and gateway fail-fast
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

/code 给“估算失败”加降级通道。
现在最该补的是：EstimateInputTokens() 失败时，不要直接结束 run，而是发一条诊断事件后跳过 proactive budget gate，继续进入 Generate()。
只有“配置非法、模型非法、driver 非法”这类确定不可恢复错误才继续硬失败。

@fennoai
Copy link
Copy Markdown

fennoai Bot commented Apr 23, 2026 •
edited
Loading

已按你的要求实现“估算失败降级通道”，并推送到当前 PR 分支。

变更摘要

  • 在 internal/runtime/run.go 的 evaluateTurnBudget() 中调整行为：
    • EstimateInputTokens() 返回非取消类错误时，不再终止 run。
    • 先发一条诊断事件 budget_estimate_failed，然后直接放行（budget_checked.action=allow），继续进入 Generate()。
    • context.Canceled / context.DeadlineExceeded 仍保持硬失败。
  • 在 internal/runtime/events.go 新增诊断事件 payload：
    • BudgetEstimateFailedPayload
    • 事件类型 EventBudgetEstimateFailed
  • 在 internal/runtime/controlplane/budget.go 新增决策原因常量：
    • estimate_failed_bypass

测试

新增并通过：

  • TestServiceRunBypassesBudgetGateWhenEstimateFails
  • TestServiceRunFailsWhenEstimateContextCanceled

同时回归通过：

  • go test ./internal/runtime -run "TestServiceRunBypassesBudgetGateWhenEstimateFails|TestServiceRunFailsWhenEstimateContextCanceled|TestServiceRunStopsAfterProactiveCompactWhenEstimateGateable|TestServiceRunAllowsAfterProactiveCompactWhenEstimateAdvisory"
  • go test ./internal/runtime/controlplane -run "TestDecideTurnBudget"

提交信息

  • Commit: ebfd4b2
  • 已推送到：phantom5099/neo-code:main（当前 PR 分支）

未做项：未改动你未要求的协议兼容策略与其他模块。

View job run

@xgopilot @phantom5099
fix(runtime): degrade when estimate tokens fails
ebfd4b2 
Generated with [codeagent](https://github.com/qbox/codeagent)

Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

@xgopilot 审查性review

@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

审查结论（仅问题）

  1. [高] usage 缺失会被错误记为“已观测 0”，导致账本与 has_unknown_usage 失真

    • provider 侧在流结束时固定传入非空 usage 指针，即使未拿到真实 usage：internal/provider/anthropic/provider.go:199、internal/provider/gemini/provider.go:160、internal/provider/openaicompat/responses/adapter.go:39、internal/provider/openaicompat/chatcompletions/adapter.go:75。
    • runtime 仅以 payload.Usage != nil 判定“usage 已观测”：internal/runtime/provider_stream.go:40-45。
    • 随后把输入/输出都标记为 observed：internal/runtime/budget_models.go:113-119，并在对账时直接走 observed 分支：internal/runtime/run.go:580-581。
    • 结果：当 provider 实际未返回 usage 时，会写入 input/output=0, source=observed, has_unknown_usage=false，这与本 PR 引入的 observed/estimated/unknown 语义相冲突，并会低估会话累计 token。

  2. [中] 对账逻辑无法表达“部分观测”，会覆盖已观测字段并产生日志语义偏差

    • 模型已定义 InputObserved/OutputObserved 双字段，但当前构造函数用同一个 observed 同时赋值：internal/runtime/budget_models.go:111-119。
    • 对账逻辑只处理“全观测”或“全降级”两种情况：internal/runtime/run.go:580-587。一旦进入降级分支，会把输入强制改为 estimated、输出强制改为 unknown。
    • 风险：即使未来 provider 能提供单侧 usage（例如仅 output），当前实现也会丢失单侧真实观测值，导致 ledger_reconciled / token_usage 事件与 session totals 不一致。

说明

  • 本次按触发词“审查性review”执行，仅输出风险与缺陷；未做代码修改。

View job run

/code 修复问题

@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

审查结论（仅问题）

  1. [高] usage 缺失会被错误记为“已观测 0”，导致账本与 has_unknown_usage 失真

    • provider 侧在流结束时固定传入非空 usage 指针，即使未拿到真实 usage：internal/provider/anthropic/provider.go:199、internal/provider/gemini/provider.go:160、internal/provider/openaicompat/responses/adapter.go:39、internal/provider/openaicompat/chatcompletions/adapter.go:75。
    • runtime 仅以 payload.Usage != nil 判定“usage 已观测”：internal/runtime/provider_stream.go:40-45。
    • 随后把输入/输出都标记为 observed：internal/runtime/budget_models.go:113-119，并在对账时直接走 observed 分支：internal/runtime/run.go:580-581。
    • 结果：当 provider 实际未返回 usage 时，会写入 input/output=0, source=observed, has_unknown_usage=false，这与本 PR 引入的 observed/estimated/unknown 语义相冲突，并会低估会话累计 token。

  2. [中] 对账逻辑无法表达“部分观测”，会覆盖已观测字段并产生日志语义偏差

    • 模型已定义 InputObserved/OutputObserved 双字段，但当前构造函数用同一个 observed 同时赋值：internal/runtime/budget_models.go:111-119。
    • 对账逻辑只处理“全观测”或“全降级”两种情况：internal/runtime/run.go:580-587。一旦进入降级分支，会把输入强制改为 estimated、输出强制改为 unknown。
    • 风险：即使未来 provider 能提供单侧 usage（例如仅 output），当前实现也会丢失单侧真实观测值，导致 ledger_reconciled / token_usage 事件与 session totals 不一致。

说明

  • 本次按触发词“审查性review”执行，仅输出风险与缺陷；未做代码修改。

View job run

@xgopilot 修复问题

@fennoai
Copy link
Copy Markdown

fennoai Bot commented Apr 23, 2026 •
edited
Loading

修复完成

已按你要求修复这两个问题，并推送到当前 PR 分支对应的 fork 分支。

本次修复

  • 修复 usage 缺失被错误记为 observed：
    • provider 仅在真实观测到 usage 时才在 message_done 中携带非空 usage，否则明确发 nil。
    • 涉及：
      • internal/provider/anthropic/provider.go
      • internal/provider/gemini/provider.go
      • internal/provider/openaicompat/chatcompletions/adapter.go
      • internal/provider/openaicompat/responses/adapter.go
  • 修复 ledger 无法表达“部分观测”：
    • 扩展 usage 观测语义为输入/输出独立观测位：InputObserved / OutputObserved。
    • runtime 流处理改为分别记录输入/输出观测状态，不再用单一 usage != nil 判定全观测。
    • 对账改为按侧（input/output）独立 reconciliation：
      • 已观测侧保留 observed
      • 未观测 input 回退 estimated
      • 未观测 output 标记 unknown
    • 涉及：
      • internal/provider/types/usage.go
      • internal/runtime/provider_stream.go
      • internal/runtime/budget_models.go
      • internal/runtime/run.go

测试

已新增/更新回归测试并通过：

  • go test ./internal/runtime ./internal/provider/anthropic ./internal/provider/gemini ./internal/provider/openaicompat/... ./internal/provider/types
  • go test ./internal/provider/conformance

新增覆盖重点：

  • provider 未返回 usage 时 message_done.usage == nil
  • provider 返回 usage 时 observed 标记为真
  • runtime reconcileLedger 对“部分观测”按侧对账，不覆盖已观测字段

提交与推送

View job run

xgopilot and others added 2 commits April 23, 2026 04:38
@xgopilot @phantom5099
fix(runtime): reconcile token ledger with partial usage observation
eb360d3 
Generated with [codeagent](https://github.com/qbox/codeagent)

Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Merge pull request #55 from phantom5099/fork-pr-413-1776912961
b3627b5 
fix(runtime): reconcile partial usage observation
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

/review

fennoai[bot]
fennoai Bot reviewed Apr 23, 2026
View reviewed changes
Copy link
Copy Markdown

@fennoai fennoai Bot left a comment

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

做了四轮审查（代码质量/性能/安全/文档一致性）后，保留 1 条值得修正的实现细节。

Comment thread internal/runtime/run.go Outdated
return compactErr
}
if mode == contextcompact.ModeProactive || mode == contextcompact.ModeReactive {
state.compactCount++
Copy link
Copy Markdown

@fennoai fennoai Bot Apr 23, 2026

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

compactCount 在进入 proactive/reactive 分支后无论 compact 是否真正生效都会递增。这样当 runCompactForSession 返回 Applied=false 时，下一次预算决策会被当作“已经 compact 过一次”，可能直接跳过本应继续 compact 的分支，或提前进入 stop/allow-after-compact 逻辑。建议把计数递增移动到 if result.Applied 内，确保计数语义与“实际生效的 compact 次数”一致。

Copy link
Copy Markdown
Collaborator Author

@phantom5099 phantom5099 Apr 23, 2026

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

@xgopilot 修复

Copy link
Copy Markdown

@fennoai fennoai Bot Apr 23, 2026 •
edited
Loading

Choose a reason for hiding this comment

The reason will be displayed to describe this comment to others. Learn more.

修复结果

已修复你在 internal/runtime/run.go:498 指出的计数语义问题。

变更内容

  • 调整 applyCompactForState：compactCount 只在 result.Applied=true 且 mode 为 proactive/reactive 时递增。
  • 新增回归测试 TestApplyCompactForStateDoesNotIncreaseCompactCountWhenNotApplied，覆盖 Applied=false 分支，确保不会误增计数。

测试

  • go test ./internal/runtime -run "TestApplyCompactForStateDoesNotIncreaseCompactCountWhenNotApplied|TestServiceRunStopsAfterProactiveCompactWhenEstimateGateable|TestServiceRunAllowsAfterProactiveCompactWhenEstimateAdvisory"

提交与推送

View job run

xgopilot and others added 2 commits April 23, 2026 04:51
@xgopilot @phantom5099
fix(runtime): increment compact counter only when compact applied
6ab4ba7 
Generated with [codeagent](https://github.com/qbox/codeagent)
Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Merge pull request #56 from phantom5099/fork-pr-413-1776912961
8df2459 
fix(runtime): compact count only increments on applied compact
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

@xgopilot 提高测试覆盖率并进行一轮审查性review

@fennoai
Copy link
Copy Markdown

fennoai Bot commented Apr 23, 2026 •
edited
Loading

审查发现（仅问题）

  1. [高] 估算失败降级放行没有区分“不可恢复错误”，与既定门禁语义冲突
  • 位置：internal/runtime/run.go:540-555
  • 现状：EstimateInputTokens() 只要不是 context.Canceled/DeadlineExceeded，都会发 budget_estimate_failed 后直接 allow。
  • 风险：driver/model/config 等确定性错误也会被放行到 Generate() 阶段，预算预检丧失“前置硬失败”作用，错误定位后移且诊断语义变弱。
  • 影响：会出现“预算检查已放行，但随后生成阶段才因配置错误失败”的链路不一致。
  1. [中] Anthropic usage 观测采用 >0 判定，无法表达“已观测但为 0”
  • 位置：internal/provider/anthropic/provider.go:99-106、internal/provider/anthropic/provider.go:170-177、internal/provider/anthropic/provider.go:203-205
  • 现状：仅当 token 值 >0 才置 InputObserved/OutputObserved=true。
  • 风险：当某一侧真实观测值为 0 时（例如输出侧），runtime 会把该侧当成未观测，导致 has_unknown_usage 和 ledger/source 语义偏向 unknown。

覆盖率提升（已执行）

  • 新增测试：internal/provider/estimate_test.go
    • 覆盖 EstimateSerializedPayloadTokens 正常/序列化失败分支
    • 覆盖 EstimateTextTokens 边界
    • 覆盖 BuildGenerateRequestSignature 稳定性与差异性
  • 扩展测试：scripts/migrate_context_budget/main_test.go
    • 覆盖 printMigrationResult 的 dry-run/changed/not-changed+notes 分支
    • 覆盖 defaultBaseDir 的 HOME 路径分支

验证

  • go test ./internal/provider ./scripts/migrate_context_budget
  • go test ./...

提交与推送

View job run

xgopilot and others added 2 commits April 23, 2026 05:00
@xgopilot @phantom5099
test(provider,scripts): improve coverage for estimator and migration …
0f259c1 
…output

Generated with [codeagent](https://github.com/qbox/codeagent)
Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Merge pull request #57 from phantom5099/fork-pr-413-1776912961
4e88726 
test: improve estimator and migration script coverage
@phantom5099
Copy link
Copy Markdown
Collaborator Author

phantom5099 commented Apr 23, 2026

审查发现（仅问题）

  1. [高] 估算失败降级放行没有区分“不可恢复错误”，与既定门禁语义冲突
  • 位置：internal/runtime/run.go:540-555
  • 现状：EstimateInputTokens() 只要不是 context.Canceled/DeadlineExceeded，都会发 budget_estimate_failed 后直接 allow。
  • 风险：driver/model/config 等确定性错误也会被放行到 Generate() 阶段，预算预检丧失“前置硬失败”作用，错误定位后移且诊断语义变弱。
  • 影响：会出现“预算检查已放行，但随后生成阶段才因配置错误失败”的链路不一致。
  1. [中] Anthropic usage 观测采用 >0 判定，无法表达“已观测但为 0”
  • 位置：internal/provider/anthropic/provider.go:99-106、internal/provider/anthropic/provider.go:170-177、internal/provider/anthropic/provider.go:203-205
  • 现状：仅当 token 值 >0 才置 InputObserved/OutputObserved=true。
  • 风险：当某一侧真实观测值为 0 时（例如输出侧），runtime 会把该侧当成未观测，导致 has_unknown_usage 和 ledger/source 语义偏向 unknown。

覆盖率提升（已执行）

  • 新增测试：internal/provider/estimate_test.go

    • 覆盖 EstimateSerializedPayloadTokens 正常/序列化失败分支
    • 覆盖 EstimateTextTokens 边界
    • 覆盖 BuildGenerateRequestSignature 稳定性与差异性

  • 扩展测试：scripts/migrate_context_budget/main_test.go

    • 覆盖 printMigrationResult 的 dry-run/changed/not-changed+notes 分支
    • 覆盖 defaultBaseDir 的 HOME 路径分支

验证

  • go test ./internal/provider ./scripts/migrate_context_budget
  • go test ./...

提交与推送

View job run

@xgopilot 修复

@fennoai
Copy link
Copy Markdown

fennoai Bot commented Apr 23, 2026 •
edited
Loading

修复结果

已按你在触发评论中指出的两项问题完成修复并推送到当前 PR 分支。

  1. EstimateInputTokens 失败分流修复
  • 修改：internal/runtime/run.go
  • 变更：预算预检不再“除取消外一律放行”。
  • 规则：仅当估算错误是 provider.ProviderError 且 Retryable=true 时，才发 budget_estimate_failed 并降级 allow；其余错误直接前置失败，避免错误后移到 Generate() 阶段。
  • 新增辅助函数：shouldBypassEstimateFailure(err error) bool。
  1. Anthropic 0 token 观测语义修复
  • 修改：internal/provider/anthropic/provider.go
  • 变更：InputObserved/OutputObserved 改为基于 Anthropic SDK 字段存在性判断（respjson.Field.Valid()），不再使用 >0。
  • 效果：真实观测值为 0 时仍正确标记 observed，避免误判 unknown；同时不会把“字段缺失”误标 observed。

测试

已新增/更新并通过以下测试：

  • go test ./internal/runtime -run "TestServiceRunBypassesBudgetGateWhenEstimateFails|TestServiceRunFailsWhenEstimateFailsWithDeterministicError|TestServiceRunFailsWhenEstimateContextCanceled"
  • go test ./internal/provider/anthropic -run "TestProviderGenerate|TestProviderGenerateMarksZeroUsageAsObserved|TestProviderGenerateOmitsUsageWhenProviderDidNotReturnUsage"
  • go test ./internal/runtime ./internal/provider/anthropic

提交与推送

未做事项：未扩展到触发评论以外的其他评审点，仅修复本次明确要求的两项问题。

View job run

xgopilot and others added 2 commits April 23, 2026 05:08
@xgopilot @phantom5099
fix(runtime,anthropic): tighten estimate failure gate and preserve ze…
62e569b 
…ro usage observation

Generated with [codeagent](https://github.com/qbox/codeagent)
Co-authored-by: phantom5099 <245659304+phantom5099@users.noreply.github.com>
@phantom5099
Merge pull request #58 from phantom5099/fork-pr-413-1776912961
911491c 
fix(runtime): hard-fail deterministic estimate errors and preserve zero usage semantics
@phantom5099 phantom5099 merged commit cc0b0e7 into 1024XEngineer:main Apr 23, 2026
1 of 2 checks passed
@fennoai fennoai Bot mentioned this pull request Apr 24, 2026
Closed
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Reviewers

@fennoai fennoai[bot] fennoai[bot] left review comments

Assignees

No one assigned

Labels

None yet

Projects

None yet

Milestone

No milestone

Development

Successfully merging this pull request may close these issues.

2 participants

@phantom5099 @xgopilot