BlitzkriegBot 0.4.1

0.4.0 → 0.4.1 的 ~110 条提交，按主题归并。六大主线：多账户体系（账户簿
运行时增删 + 绑定即启用 + 真实记账钱包 + 策略级虚拟账户 + kill switch 按账
户 + 显示账户指针）、跨所套利（统一映射账本 + 原子双腿 + 配置化弹窗）、
轮次多族（(venue,duration) 族钟全链 + 账户轮次集热管理）、插件版图
（Kalshi 真线重建 + PolySimulator 模拟盘 + 多插件数据面 + API 凭据）、
风控与退出（trailing 止盈归策略自声明）、面板与运维（doctor 探针 +
蓝图导入 + env 唯一可信化 + 网络诊断跟随账户）。

Added

• 多账户体系：账户簿运行时增删（account.create/account.remove，运行
  时铸造账户带注资与 ledger journal 路径，#516/#517/#521/#522）；每账户独立
  启停与持仓账户维度 + 行情跟随绑定（#532）；多账户同时跑策略扇出 + 账户交
  易开关 + 策略分配编辑器（空=不跑，废除 INHERIT，#518/#519/#523）；绑定即
  启用闭环——插件页转只读、boot 启用集从账户绑定派生（#508/#510/#512）；
  真实记账钱包——每账户现金流水 journal + 持久化回放 + 赔付归属 + 面板现金
  流水卡（#509/#511/#513）；显示账户指针配置化（display.account.set +
  快照字段 + 账户维重置/余额跟随单源化，#561/#562/#571）；账户级急冻簿 +
  account.freeze（#530）；策略级虚拟账户——(account, strategy) 配额簿 +
  配队双腿原子预占 + 终态精确释放（#528）；升级不再覆盖 accounts.toml/
  shadow_evolution.toml（操作员状态运行副本永远赢，#565/#581）。
• 跨所套利：统一映射账本——自动配对只提议、操作员 confirm 才生效 +
  candidates/confirm/revoke IPC + 回灌（#501）；策略级虚拟账户配队双腿原子
  预占（E-VA）+ atomic_batch 接线 + --virtual-limit 旗标 + 单腿裸奔看护
  （#528/#531）；跨所套利创建弹窗 v2——配置意图模型、双腿双账户、币对多选、
  凭证门与内核 may_trade 同形（#569/#570/#576）；策略页套利 tab + 套利收益
  合计 + gate 四计数切账户（#577/#579）；凭证轮换运维语义与 RFC 决议落文档
  （#544/#554/#566/#574）。
• 轮次多族：账户可订阅 (venue, duration) 轮次族集合——accounts.toml
  rounds 声明 + 白名单 fail-closed + account.rounds.set 热管理动词（增族即
  挂/移除敞口拒绝/软卸 poll 丢弃，#586/#589/#590/#591/#599）；scanner/入场
  门/rollover/slot 判定全链按族（#598/#600）；面板轮次周期集多选卡 + 周期切
  换入口挪行情页倒计时卡 + 瓦片身份标注（#593/#596/#597/#601/#602）；插件自
  声明轮次族 supported_round_secs——面板按声明筛档 + kalshi 14400 静默盲点
  补告警（#604/#605）。
• 插件：PolySimulator 模拟盘插件全链路（SIMULATED 能力位 + 查询式身份解
  析 + 双腿成交归属，#454/#455/#480）；Kalshi OrderExecutor（cancel-first/
  timeout→reconcile/孤儿清扫，#479）与 predictfun OrderExecutor（EIP-712 签
  名下单，#484）——三组件合同全部收口；插件页开启/停用（extension 启停即时
  生效 + 行情插件 next_session 切换，#486）；多插件并发行情数据面（多 venue
  同时喂数 + feeds per-plugin，#502）；行情插件 API 凭据（market.credentials. status/set + 凭据卡，#500）；executor per-venue 路由 + PluginModes 多值 +
  账户↔venue 绑定（#505/#506）；blitzkrieg doctor——环境探针读数面子命令
  （NTP 时钟偏差/tick 断流/spot 失效，#529）；盘口批次原子化（整批同瞬无撕
  裂）+ 书视图前 10 档挂单与 bk.vwap_for_size（#524）。
• 面板：网络诊断跟随显示账户——探针走操作员正在看的 venue，绑定 venue
  无插件时诚实报 unsupported，网关缓存带 venue 维度切户即失效（#612）；蓝
  图编辑器导入 JSON 粘贴闭环 + in 操作符成员逐行编辑（#610）；策略启用复
  合键读数修复 + 启停即时反映（#552/#553/#558/#563）；首页全内容跟随账户
  （权益曲线账户×venue 过滤 + 轮次钟身份链 + 引擎计数「进程级」诚实标注 +
  真实余额读账户切片，#585/#592/#608）；挂单强平三端（#477）；交易环境重置
  （#475）；轮次时间周期可设置（#474/#499/#503）；网关 restart 动词 + 10s
  自动重启（#488）；策略 tunables 编辑 + 跨所配对监控（#482）；K 线卡按市场
  类型门控（#495）。
• 发布工程与配置：发布包与编译包完全等效（#491）+ webui 预编译解压
  即启动（#489）；env 唯一可信化 P1——配置面盘点判决书 docs/ENV_MIGRATION. md + .env.example 零漂移对齐 + 4 个死键退役（POLYMARKET_API_*/HFT_CORE，
  #588/#607）；Windows WSL2 安装指南（#467）；全策略评审报告 0.4.1（#473）。

Fixed

• 多账户风控与审计：日亏预算按账户分桶——每账户独立日亏限额/触发面/快
  照明细，systemic day_realized = Σ账户桶，旧全局单槽持久化自动迁移（#618）；
  审计身份四字段按 active 账户切片 + daily roll 遍历 ACTIVE 账户（#616/
  #617）；交易台账按账户分桶 + boot 扫描重建 + 结算应收分账户（#617）。
• PolySimulator 轮钟冻结根因链（四刀全闭合）：discovery 墙钟守卫改内容
  签名去重——condition-id 集比较，同轮重报不再被误吞（#619）；REST 客户端
  浏览器形 UA——CF 1010 按 UA 波浪封非浏览器客户端导致 discovery/feed 瞬断
  （#620）；发现过滤收口——start 未到批次跳过 + 窗口长度≠插件周期族跳过，
  只喂当前窗口+周期族，目录 token 500+ 喂不饱 8s 新鲜度预算的根因（#621）；
  引擎家族内陈旧批次守卫——slot 落后同族驻留且窗口已过期的迟到批次丢弃，
  多插件交错喂轮 ping-pong 覆写的根因（#622）。
• 账本：场地现金真值按账户绑定路由——seed_balance/venue_free_balance
  带venue 名，落进绑定该 venue 的账户簿而非 active 账户（单账户时代路由曾把
  PolySimulator 的 100 USDC 写到 default 账户上冲掉真余额）（#614）。
• 风控：PolySimulator 场地 429 按 Retry-After 重试——启动突发自愈，不再
  把瞬态限速当成能力失败触发交易冻结/丢余额种子/行情卡顿；自检探针失败原因
  进冻结行（#611）；trailing_enabled 升格 risk.setExit 热写 + trailing_ exit 策略自声明三态面（manifest 键，spread_arb 声明 true——出场教义归策
  略不归全局开关，#603/#606）；TP maker 退出单挂买一上方一档——post-only 结
  构性拒单根治（#496/#497）；资金穿透四路封堵（#461/#468）；订单状态机三缺
  陷（#462/#469）；回撤净值口径 + DRY post-only 对齐 + risk.ladder 真接线
  （#464/#471）；过期幽灵订单根因——ForceClosed 终态 + orders.force_close
  （#457/#472）。
• 插件与行情：Kalshi 插件对真线重建——series 发现 + orderbook_fp 解析
  • 词边界 + 轮终防线，真线只读验收 30/30（#494）；策略兼容性握手收敛——判
    据收敛为 market_type + 结构两条，能力位退出判定，boot 棘轮不再抹持久格
    （#493）；迟上架轮内补查 + 同 slot 增量合并——币对中途缩减根治（#498）；
    轮次长度持久格抬到 TOML 之上——面板切换形同虚设根治（#499）；行情快照按
    到期 slot 过滤 + (venue,asset) 唯一化——行情页重复币对行根治（#560/#567）；
    PM 盘口批路径归档/探针双盲区（#548/#555）；运行时挂载把 boot discovery
    config 传给插件（#536）；kalshi daily 族禁用（行权阶梯非二元）+ polymarket
    1h/daily ET 命名族 slug 解锁（#583/#584）；行情页账户切换重绑定 + 倒计时
    per-venue 重臂（#551/#572）。
• 面板与运维：长时间空闲后假死——IPC 客户端 64 行跳过上限移除（#476/
  #478）；supervisor 放弃重启告警的 stderr 尾巴竞态（#470）；套利弹窗 dry 豁
  免与执行账户（#539/#546/#576）；审计泄漏三连修 + 空行情轮次判因（#537）；
  建户即挂行情数据面（#535）；strategy.enable 默认分支 scoped 写接管（#563）；
  策略开关读代理失败信封——HTTP 200 {error} 不再弹绿色假成功（#564）；进化文
  件唯一可信源——开关写回 toml、废除面板独立态（#578）；账户删除文案汉化
  （#534）；reset 语义收口 + 倒计时卡随所（#556）。
• PolySimulator 镜像盘三刀：PolySimulator 内容镜像 Polymarket（同窗口
  token 逐字节相同），scanner 表按 token 唯一键首中即返使 poly 批被静默吞——
  merge fresh 空臂无条件补写 (venue,duration) 轮钟申报（#627）+ 显示簿
  shadow_markets 合成带自己 venue 标签的行情行（仅装配层可读、交易面零接
  触）+ books_view 兄弟装配线同族缺口补齐、盘口行直接填行自带 venue 字段
  杜绝反查错标（#628 顺修 5 个门禁 destructured getter 快照 0 的死计数器——
  断言 FAIL 也 exit 0，#629）。
• PolySimulator 下单/成交合同 live 三修（live 探针逐字节复现后收口）：
  下单合同原生化——场地只收 {"order":{tokenId,side,makerAmount,takerAmount}}
  1e6 缩放信封（BUY price=maker/taker、SELL 反向），平铺表单恒被
  VALIDATION_FAILED: missing order 拒绝（#630）；场地 orderID 数字/引号串
  跨 ack 摇摆——三处接缝宽容解析（#631）；成交归属 FILLED 行反查——场地
  trades 行 taker_order_id=trade 自身 id 且 maker_orders 恒缺使 our_leg
  永不命中，每笔真实成交整行丢弃、已成交订单反被判幽灵强平（API 盈利但 UI
  零订单零记录）——GET /v1/orders?status=FILLED（自带 order_id/fill_price/
  quantity/filled_at）合成归属走既有 reconcile 管道（#632）；轮次发现 asset
  空值容忍——股票类 daily 行 "asset": null 使 500 行查询每 5s serde 炸、
  poly 轮次发现瘫痪（#632）。
• 安全：面板认证加固——无凭据写面封死 + token 查询通道废除 + 内核只读
  防御（#460/#465）；持久化加固——原子重写统一 + 损坏 fail-loud +
  close_credentials 跨重启（#463/#466）。

BlitzkriegBot 0.4.0

0.3.0 → 0.4.0 的 66 条提交，按主题归并。三大主线：0.3.1 回测对标线（链上
数据管道 + 三模式回测 + @Almach 对标与逐策略重校准）、0.3.3 跨平台线
（Kalshi / predict.fun 扩展 + 统一事件映射 + 两腿对冲执行）、0.4.0 审计线
（#439–#443 五项审计落地 + 热修复）。

Added

• 回测对标线（0.3.1）：链上数据管道（Polymarket Data API 拉取 → 确定性
  JSONL 事件流，activity-ledger 全量成交面 + offset 硬顶分段 + CLOB 元数据
  回退 + 有界并发元数据/价格阶段，#360 栈）；订单生命周期三时间戳
  （decision/execute/report）+ InflightTaker 两段式撮合 + 回测三模式 CLI
  （mine / verify / sweep，#356）；回测校准四钉（轮次节奏闸门 fail-closed /
  UMA invalid 0.5 结算双源 / 费率严格等式 / 语料完整性对账，#354）；校准 A/B
  基准工具（almach-calib / almach-ground-truth / almach-overlay，
  #398）；@Almach 全窗对标报告——偏差未过 20% 线，逐项如实归因（#360）。
• 跨平台（0.3.3）：Kalshi + predict.fun 传输层客户端（认证签名 / 令牌桶
  限频 / 幂等对账键，#429）；两个市场插件以 MarketPlugin 形态接入（价格归一化
  在插件边界完成，opt-in feature，默认构建仍是 Polymarket-only，#430）；市场
  无关的统一事件映射层（#431）；两腿原子对冲执行 hedge/——可行性门计入
  双腿费率、500ms 每腿提交超时、裸腿按规模差判定 + 保护阶梯（补单→强平）、
  结算双场地三重对齐（容差 1¢，Mismatched 永不静默记平）、联合风控门（#432）；
  cross_venue_arb 跨平台套利策略 + venue 全链路呈现（#433）。
• 策略蓝图：蓝图数据模型 + Rust 编译链（blueprint.rs，#365）；面板画布
  编辑器（@vue-flow/core 8 节点调色板 + Lua 预览 + 内联报错，#370）；手写包
  可被编辑入口打开（blueprint.loadSource/saveSource + 源码模式，#414）；
  codegen 产出 bk_evaluate 桥接 §6.5 运行时（#413）。
• 账户执行策略（0.3.1）：按账户隔离的下单规则引擎（execution_policy.rs，
  #366）+ 执行策略 UI（WebUI + TUI 合入「生效风控」，#369）；策略路径解析改为
  相对安装根而非 cwd（#386）；编译默认不再内嵌规则——缺文件即 NEUTRAL 内核
  （#372）。
• 风控可编辑：九项系统限额热编辑 risk.setSystemic + 面板编辑卡（#415）；
  退出纪律（止损/止盈/强平）可编辑 risk.setExit + 面板三行输入（#417）；权益
  百分比封顶覆盖 declared-shares 策略路径（#421）。
• 策略与进化：single_leg_pair 单腿轮次参与策略（#394）；pair_discount_arb
  补腿闭环——部分成交的腿不再裸奔到结算（内核策略持仓视图 + 终态释放 +
  GAP-FILL 豁免，#420）；全部 Lua 策略包经 manifest 显式参数域加入影子进化
  （69 knobs / 10 包，#401）；设置/策略页产品化六件套 + Lua 进化审计修复
  （#393/#395）。
• 面板：信息架构重构——两级导航 + SettingsPage 拆分 + TUI 同步（#383），
  评审轮收平（#384）；策略页重设计——状态分组/重叠根除/三卡 KPI/搜索与详情行
  （#422）。
• 自更新：端到端更新检查调度器 + 下载暂存状态机（内核永不改写正在执行的
  二进制，WebUI + TUI，#379）。
• 结算与事件流：链上裁决进入回放事件流（REDEEM 行折叠为 per-condition
  verdict，dry ladder 让位，#378）；MAKER_REBATE/REWARD 台账行成为钱包级
  cashflow 事件且回放入账（#388）。
• 0.4.0 审计线新增：bk.* 投影内容键缓存 + 冻结只读代理（#449）；Args
  快照门禁钉死 parse_args 契约（122 行逐字段 + 竞争测试，#451）；oracle_ruler
  9 臂测量层校验（修后 RULER SOUND，#450）；common/decimal.lua 单一十进制
  源 + 逐字节门禁（#446）。

Changed

• 官方 spread_arb 是 Lua 策略，仓库不再附带任何 Rust 策略。
  user_layer/strategies_lua/spread_arb/ 是 Rust 参考实现的逐位精确移植
  （移植前在冻结语料经济门禁上逐字复现全部 4 窗基线 75fd8140，经济性原样
  承接）。旋钮来自 manifest tunables；--spread-arb-* CLI 旗标不达 Lua 策略。
  随包修复两处百分数单位 bug（滑坡门返回分数而非百分数 / tracker move_pct
  同病）+ 零阈值拒全部入场的边界；滑坡门默认关（截断签名 = 负期望入场集，
  不足以动出厂默认）。
• 策略重普查（#434，#419 修复后全 11 臂回放）：lua_momentum 退役为
  生产危险品（−$17,575 / PF 0.43——单 tick 阈值确认几乎每 tick 开火；manifest
  改 EXAMPLE ONLY，警告头落 README 与 strategy.lua）；spread_arb 重点燃为
  负期望（−$475 / WR 10%）；生产组合 pair_discount_arb+single_leg_pair
  保持采用默认（$240.31 / PF 1.238）。零信号可行性静态分析 + WR/PF 口径
  定义见 #403。
• 出厂默认校准：single_leg_pair 两轮校准（带 0.55–0.88 + 每轮封顶 10，
  #435；min_gap 0.10→0.30 对齐 @Almach leader-gap 域，预注册 H1，#436）；
  pair_discount_arb/single_leg_pair 第二轮校准采纳（#405）。
• CLI 严格化（#441）：内核无法兑现的值是启动错误，绝不静默回默认——
  --mode LIVE 拼写大写曾静默跑 dry；未知 flag 早已拒绝，未知 value 现在同罪。
• 执行策略（shrink judge #382）：缩容裁决按记录自身的 bound stop 度量
  （时间感知止损），不再按配置止损重算。
• 备份与升级：light 档备份提速到 19.7s（排除可再生 onchain 缓存 +
  档案哈希完整性，#416）；upgrade 的 step-0 data/ 轻备份删除——data/ 长到
  7.1GB 后该步骤主导升级耗时，而升级从不写 data/（#408）；webui lockfile 比
  node_modules 新时强制重建依赖（#391）；shim 接管 upgrade 动词（此前
  文档承诺但从未接线）。
• 回放性能：deadline 驱动的 nofast 调度 + 免生命周期 BookView 退出路径
  （#399）；--backtest-fast 门控冻结盘口下冗余的维护工作（#375）；kline
  preview pass 回放门控——只喂实时面板的静默 decoration 不再烧回放时钟
  （#418）；OME 三级索引优化（submitted_at_ms 有序索引 / per-token live 索引 /
  增量维护 live 视图，#371/#373/#374）。
• 面板：扁平导航评审轮（#384）。
• 依赖：rustls 0.23.45（RUSTSEC-2026-0285）+ source-map-js 1.2.2
  （GHSA-68fv-2mgg-jv7q）+ rsa 审计豁免记录（#444）。

Fixed

• #419 锁顶盘口双侧删除：update_top 用严格边界应用 top 更新，best_bid ==
  best_ask 的合法锁顶状态把共享档位从两侧同时删掉——盘口坍缩成单边、mid 被
  F6 规则扣发、所有 mid 依赖的策略状态机永久停摆（v2 语料 100% top 事件流经
  此路径）。修复后保持两侧；非正入场价 fail-closed 守卫。
• #438 dry 结算读对侧盘口：dry 结算梯子只看持仓腿的盘口——对手腿已被
  0.99 坚定报价（市场已定价赢家）时输腿永远悬置、过期后占着 max_positions
  名额。对侧盘口证据关闭输腿。
• #437 过期轮持仓不再占名额：生产事故（两个过期 12 天的持仓占满全部
  max_positions 名额 6 天）——过期轮位置在轮终态即释放。
• 重启恢复订单 id 计数器跳过恢复 id——「order already registered」撞车
  （与持仓恢复同形，#a94dd61c）。
• 面板策略规则编辑按钮静默失效（structuredClone vs reactive proxy，#411）。

Performance

• Lua bk.* 投影内容键缓存 + 冻结只读代理（#449，#440 采样定位的
  luaH_newkey/luaS_newlstr 热点）。

Removed

• Rust spread_arb cdylib 夹具（user_layer/strategies/spread_arb 与
  随附的嵌套 workspace）；user_layer/strategies/ 保留为操作员 cdylib 投放点；
  strategy-dylib-freshness.mjs 随最后一个 cdylib 夹具退役。
• 升级 step-0 data/ 轻备份（见 Changed）。

BlitzkriegBot 0.3.0

Added

• BlitzkriegStrategy API 1.0（原 C ABI v2 更名，BK_ABI_VERSION 仍为 2）：
  新增可选符号 bk_strategy_declare_modes；SafeStrategy 增 declare_modes() /
  on_kline()（均有默认实现，0.2 构建的 dylib 零改动可加载）（E24 / #330）。
• 策略建议 / 内核裁决分离：process_intent 四层裁决流水线 + Decision
  （Approved/Modified/Rejected）+ 审计 data/audit/intents.jsonl +
  intent.audit.tail / INTENT_DECISION（E25 / #331）。
• 系统级风控：账户级 5 项 + 全局级 4 项限额（默认全部 0 = 关闭），
  apply_physics 把既有出场纪律随单绑定并落审计；risk.limits 返回生效值与来源
  （E26 / #332）。
• 市场三层声明：MarketType（+Margin/Earn/Bot）、MarketStructure、
  MarketCapabilities；插件与策略双向声明 + 加载期兼容性握手（E27 / #333）。
• 多账户一等公民：AccountId 贯穿订单/持仓/账本/成交/事件；AccountLedgers
  隔离；account.list / account.switch / account.status（只能收紧）
  （E28 / #334）。
• K 线兼容：Kline / KlineInterval / KlineAggregator / on_kline /
  kline.history|subscribe|unsubscribe / KLINE_UPDATE；面板 KlineChart.vue
  （E29 / #335）。
• Lua 5.4 沙箱（mlua + vendored）：16MB / 1e6 指令配额、投毒语义、bk.*
  只读 API、strategy.lua + manifest.json + README.md 分发格式、
  --lua-strategy-dir（E30 / #336）。
• 9 个新门禁，全部带 --teeth 反向验收并接入 CI（core-gates）。

Changed

• 对外命名统一为 BlitzkriegStrategy API 1.0（旧称进入废弃期，符号全部保留）。
• apply_physics 使既有出场纪律（止损价 / 时间退出 / 阶梯）显式可见：
  写入裁决审计与面板；触发路径未变。

Deprecated

• "C ABI v2" 名称（仅名称；无代码删除）。

Not changed（明示）

• exit_policy / position / sim / ome 既有行为；所有既有风控默认阈值；
  frozen-corpus.mjs 的 sha256；exit-economics-check.mjs 的 BASELINE。