[Bug] 更新到最新 master 后，部分历史会话无法加载（v0 迁移校验过度严格）

[zgozh]

环境

• commit: c389f96 (master)
• 平台: Windows 11 / Node v24.14.0
• 存储: 本地 ~/.dsh/sessions

现象

历史会话列表中部分会话显示"历史加载失败"，日志：

failed to observe session "session-364cc87e-...":
@deepseek-ai/dsh-session-format-v0-to-v1 refuses this format v0 Session:
permission/preset 0 data has unexpected member "origin";
source v0 artifact remains unchanged

会话文件本身完好（报错也说明源产物未被修改），只是读不出来。

根因

两个相互独立的原因，都是新增的 released-format 迁移比必要更严格。

1. permission/preset 的 origin 成员

• PR deepseek harness 在windows系统下，极简模式下执行任务短时间内总中断 #2608 于 2026-08-19 合入（35778ec2ff），给 payload 增加 origin: 'default' | 'selection' | 'inferred'；2026-08-21 被整体 revert（7ce85283b5）。
• 该窗口内写入的会话带有此成员，而 dispositions.ts 冻结的 v0 inventory 对 permission/preset 只允许 preset，assertReleasedV0Keys 遇到未知成员直接抛错。

2. subagent/descriptor 版本 2

• v2 是 2026-08-02（774ee34b9a）到 2026-08-24（PR 由插件重复安装引起的桌面端崩溃 #2663，f76a225a7d 将 SUBAGENT_DESCRIPTOR_VERSION 升到 3）之间的当前版本。
• assertReleasedEventPayload 对 v0 源中 version !== 3 的描述符直接抛 SessionFormatUnsupportedMigrationError。
• 但运行时 parseSubagentDescriptor 对未识别版本是宽容的（返回 undefined 而非报错），且 v2 的 payload 结构上是 v3 的子集（one-shot 的 label 由必填变可选；continuable 新增可选 agentReasoningEffort），只需提升版本号即可无损迁移。

复现

1. 用 2026-08-02 ~ 2026-08-24 之间（含 8/19 ~ 8/21 窗口）的版本创建若干会话；
2. 更新到最新 master 并重新构建；
3. 打开历史列表，这些会话加载失败。

session.jsonl.zstd 中的特征记录：

{"type":"permission/preset","seq":0,"time":...,"data":{"preset":"workspace-write","origin":"default"}}
{"type":"subagent/descriptor","seq":6,"time":...,"data":{"version":2,"mode":"one-shot","provider":"spawn","label":"..."}}

影响范围

本地 312 个 v0 会话中：139 个含 origin、255 个含 descriptor v2（105 个两者兼有）。
完全未修复时仅 23 个可加载；只修 origin 后 57 个；两处都修后 312 个全部可加载。

建议修法（无损，已验证）

• dispositions.ts: 'permission/preset': disposition(['preset'], ['origin'])
• payload-validation.ts: 校验 origin ∈ {default, selection, inferred}
• migration.ts: 在 v0→v1 边上把 descriptor v2 提升为 v3

两处都不丢弃任何事件数据，符合"冻结格式不静默丢数据"的既有原则。

临时绕过

本地打上述补丁并重新构建即可（已验证 312/312 会话恢复）。

[argszero]

你的两份根因分析我都在当前 master（0.1.5-alpha.1 / 5dda764）上逐条复核了，结论是两条都成立，且位置比 0.1.2-rc.1 略有迁移。补充精确位置与判读：

根因 1：permission/preset 的 origin 成员 —— 确认

• packages/session/session-format-v0-to-v1/src/dispositions.ts:76 对 permission/preset 只 disposition(['preset'])（无 optional）；
• 校验是严格拒未知成员：validation-helpers.ts:29 assertReleasedV0Keys 对 Object.keys(record) 里任何不在 allowed 集合内的成员抛 SessionFormatError。
• 所以 8/19~8/21 窗口写入的带 "origin":"default" 的记录，在 v0 读取时被当作「unknown member」拒掉。这与 0.1.2-rc.1 行为一致——这是保守的发布格式冻结核验，不因新版本而变。
• 设计意图澄清：这是「发布产物 freeze」的保守边界——v0 inventory 冻结后，任何非清单成员都视为可疑。origin 已被 revert，所以正确的修法是放宽 v0 校验（对 permission/preset 额外允许 origin，或对该成员走 opaque 保留），而不是让读侧吞掉整个会话。

根因 2：subagent/descriptor 版本 2 —— 确认（且读侧已克制）

• validation.ts:198-206：if (event.type === 'subagent/descriptor' && data['version'] !== 3) 在 v0 路径硬抛 SessionFormatUnsupportedMigrationError；
• 但运行时解析器对未识别版本宽容：packages/subagent/subagent/src/descriptor.ts:210 if (version !== SUBAGENT_DESCRIPTOR_VERSION) return undefined（返回空而非抛错）。
• 你的判断「v2 payload 是 v3 子集、只需升版本号即可无损迁移」成立：dispositions.ts:92-95 显示 subagent/descriptor 的 v3 optional 多了 label / agentProvider / agentModel / agentReasoningEffort / persona / toolFilter，而对 mode/version/provider 的结构是 v2 已有的——v2→v3 是前向兼容的字段扩展。

判读区分：这是 core 面，插件是受害者

这类「发布格式迁移校验过严」的修复面完全落在 session-format 的 core 序列化/校验层，不是插件能挂载的层——插件读会话时会被这个校验拒绝（受害者），没有任何插件缝能绕过它。因此正确的贡献形态是 core 的 v0 读取松弛（两条独立小改动：① permission/preset 允许 origin（被 revert 的历史成员）② v2 descriptor 在 v0 路径走无损升级到 v3，而非硬拒）。

如果这两条单独拆成 PR 提交，是清晰的 upstream-fix 候选（各自一两行 + 一个回归 fixture）。upstream 的 Issues/PR 通道目前关闭，所以短期只能先在 Discussion 里把根因与修复方向钉死；若你要在本地构建/插件上临时规避，可以在读侧对 v0 记录做 pre-validation 前的放宽，或升级到已修复该路径的版本。

一句话：两条根因都确认，位置已随 0.1.5 迁移到 session-format-v0-to-v1/{dispositions,validation,validation-helpers}.ts；修法是 core 读取松弛，插件为受害者。