自动授权审查 在使用opencode go作为provider时的对话头缺失BUG以及修复

[xxxSnack]

现象

Auto 权限预设下，只要会话路由是 opencode-go，每次工具调用都被审阅门拦掉：

auto-review: reviewer ended with error INVALID_REQUEST: 400:
{"type":"MissingSessionID","message":"Request is missing x-opencode-session and cannot be routed efficiently"}

审阅失败是 fail-closed（工具体不执行），所以 Auto 预设在 OpenCode 系 provider 上等于不可用；
换 ark / workbuddy 等 provider 同一会话正常——只有 OpenCode 网关强制要求这个头。

复现

1. dsh-llm-pi-ai 配 provider opencode-go（模型 deepseek-v4.1-flash，baseUrl https://opencode.ai/inference/go/v1）
2. 会话权限预设选 Auto
3. 让 agent 调任意工具 → 立即 400

根因

审阅请求漏了 sessionId，而 pi-ai 只有拿到它才会补 x-opencode-session 头：

• dsh-experimental-auto-review/lib/index.js:400：classifyRisk() 组请求 {provider, model, system, messages, temperature, signal}，无 sessionId
• dsh-llm-pi-ai/lib/index.js:1987：options.sessionId === undefined 时直接不传
• pi-ai/dist/models.js:441 + utils/identity.js：只有 opencode / opencode-go 且存在 id 时才返回该头
• 网关缺头 → 400

对照：主循环 dsh-agent-loop/lib/index.js:1286、压缩 dsh-compaction-basic/lib/index.js:319 都传了
sessionId，只有 auto-review 漏了。

证据

拿无效 key 直接打网关（认证在路由之后才校验），差别只在这个头：

无 x-opencode-session → 400 {"type":"MissingSessionID", ...}
有 x-opencode-session → 401 {"message":"Upstream request failed: Invalid credential"}

建议修复

classifyRisk() 补一行，与 compaction 写法一致：

   provider: snapshot.provider,
   model: snapshot.model,
+  sessionId: agent.session.id,
   system: REVIEW_POLICY,

[PerryLink]

你这个定位在 master 上仍然成立，缺的那一行没有补。

22ddee3 上 classifyRisk 在 packages/experimental/auto-review/src/index.ts:664，它组 GenerateOptions 的地方是 :675-682：provider / model / system / messages / temperature / signal，没有 sessionId。在 packages/experimental/auto-review/src 整个目录里搜 sessionId 是零命中。

你说的对照组也在：主循环 packages/core/agent-loop/src/agent.ts:733 传了 sessionId: this.session.id，压缩 packages/compaction/compaction-basic/src/summarizer.ts:159 传了 sessionId: agent.session.id。所以「只有 auto-review 漏」这个判断成立。

一个版本口径得提醒你：master 上确实还没有；但 rc.4 在 10-26 已经发到 npm（registry 上是 0.2.1-rc.4），而仓库里没有 dsh-v0.2.1-rc.4 这个 tag。所以我没法替你判断 rc.4 里带没带。如果要在报告里写「最新版仍存在」，请按你手上那个包的字节核，别按 tag 推。

修法就是你说的那一行，和 compaction 写法一致。补的时候留意：sessionId 在 GenerateOptions 里是可选的，漏传不会报错，只会静默少一个头——这也是它能一直藏着的原因。