fix(quota): replace raw exception strings with public-safe values

[rootkiller6788]

_quota_failure_payload exposed str(error) in three fields (error, recommended_action, reason), which can leak internal filesystem paths from exceptions like FileNotFoundError.

Replaced with stable public-safe values:

• error → error_code: QUOTA_COLLECTION_FAILED
• recommended_action → static guidance string
• reason → public-safe description

Summary

Issue Or Task

• Closes #
• Contributor task ID:

Validation

• python3 -m py_compile loopx/*.py
• loopx check --scan-root .
• Other:

Boundary Checklist

• I did not commit .loopx/, .codex/goals/, live ACTIVE_GOAL_STATE.md, credentials, private benchmark traces, verifier output, raw agent sessions, internal document links, or local machine paths.
• I did not duplicate maintainer-owned benchmark work unless a maintainer split out a public issue for it.
• I kept the change scoped to the linked issue/task.

[huangruiteng]

结论：Request changes。方向正确，精确 head dce9fb98c8c07de7d2b3695256357463099e7194 已消除我构造的异常路径泄漏；但当前实现让最关键的 quota should-run / monitor 失败分支没有稳定 error_code，同时删除了非事件命令既有的 error 字段，形成机器可判定性和兼容性缺口。建议在合并前做一次小而完整的契约修复并补回归测试。

动机

当前 _quota_failure_payload 把捕获到的 Exception 直接转成 str(error)，而 FileNotFoundError、锁失败或配置解析异常可能包含本机路径和内部状态。quota 输出又会进入 heartbeat、状态视图和自动化日志，所以这里确实属于公开边界，不能继续透传原始异常。这个 PR 要把失败结果收敛为稳定、公开安全、可供人和机器消费的值，必要性成立。

改动思路

PR 在 loopx/cli_commands/quota.py::_quota_failure_payload 的两个分支里分别替换三处原始异常文本：非 quota-event 分支把 error 改成 error_code=QUOTA_COLLECTION_FAILED；quota-event 分支把 reason 改成固定描述；两边都把 recommended_action 改成固定操作提示。现有 lock_timeout_error_fields(error) 继续在字典尾部展开，因此锁超时时仍可提供更具体的公开安全字段和 operator action。

更稳妥的契约应是：所有失败分支都保留稳定分类码；非事件分支保留既有 error 键但只写公开安全的固定消息，以避免 JSON 消费者因字段消失而破坏；锁超时仍允许用更具体的类型码覆盖通用码。这样既完成脱敏，也不把“脱敏”误变成一次未声明的输出 schema 删除。

具体改动

本 PR 只改 1 个文件，5 行新增、3 行删除，没有测试和状态检查。

关键代码讲解

1. loopx/cli_commands/quota.py:497 的 _quota_failure_payload 是 handle_quota_command 在任意异常时的统一失败出口。输入包括命令、registry/runtime 参数和原始异常；输出会直接交给 JSON/Markdown renderer，并以 ok=False 决定进程退出码。这里是公开边界，不能携带原始异常字符串。

2. loopx/cli_commands/quota.py:506-533 的非事件分支当前返回：

{"ok": False, "error_code": "QUOTA_COLLECTION_FAILED", ...}

它成功阻止了异常路径进入 payload，但同时删除了旧有 error 键。最小兼容修复是同时返回公开安全的 error（例如 "quota collection failed"）和稳定 error_code，而不是以新键替换旧键。

3. loopx/cli_commands/quota.py:535-550 的 quota-event 分支覆盖 should-run、monitor-poll、scheduler 和 spend/void。当前只写固定 reason，没有写 error_code。我用包含 /private/internal/secret.json 的 FileNotFoundError 直接执行该函数：status 得到 QUOTA_COLLECTION_FAILED，但 should-run 与 monitor-poll 的 error_code 均为 null。因此最常用的自动化入口反而无法按稳定码分类失败。

正向示例应是：status 收集失败 -> payload 同时包含公开安全 error 与 error_code -> renderer/旧消费者继续工作；负向示例应是：异常包含本机路径 -> JSON 和 Markdown 中均找不到该路径，should-run 仍能按 QUOTA_COLLECTION_FAILED 判定失败类型。

对主干的风险

[P1] 失败契约在命令间不一致，且删除既有字段。 should-run 是 heartbeat 的前置门，当前改动后它只有模糊 reason、没有稳定 error_code；status/plan 则有 error_code、没有旧 error。这会让调用方必须按命令写两套异常分支，也可能让依赖 error 的旧 JSON 消费者把失败误判为“无错误详情”。最小修复：两类分支都携带通用 error_code；非事件分支保留公开安全的 error；增加至少 status + should-run 两个回归测试，断言原始路径不出现、稳定字段存在，并覆盖 Markdown 输出。

此外，PR 基于较早主干；当前 origin/main 已在同一文件合入 #2857。Git 显示可合并，但修复时应先更新主干，避免新增测试基于旧布局。

我的整体评价

方向和修改位置都对，作用域也很小。我检查了完整 patch、调用/renderer 路径和当前 origin/main，运行了 py_compile、tests/presentation/test_quota_markdown_boundary.py（3 passed），并用三种命令直接构造带私有路径的异常：现 head 没有泄漏，但 should-run/monitor-poll 缺失 error_code。补齐上述契约和 focused regression 后，这个 PR 就具备合并条件；请推送新 head 后再复审。

[huangruiteng]

Review: REQUEST_CHANGES

head dce9fb98c8c07de7d2b3695256357463099e7194。这是对 fix(quota): replace raw exception strings with public-safe values 的完整 PR 解读，覆盖 1 个文件、3 个连续 commit 和当前 main 的差异。方向正确，但当前 head 基于旧 main，且会把 main 已有的 typed error code 覆盖掉，必须 rebase 后再审。

动机

_quota_failure_payload 在旧 main 上会把 str(error) 放进 error、recommended_action 和 reason，可能泄露本地文件系统路径或内部状态。目标是把异常文本换成稳定、public-safe 的诊断值。这个目标是对的。

改动思路

PR 用三个 commit 分别处理：

1. error -> error_code: "QUOTA_COLLECTION_FAILED"；
2. recommended_action -> 静态 operator guidance；
3. reason -> "quota collection failed"。

思路是“保留字段名，替换值为稳定 token”，避免破坏 renderer 和调用方。

具体改动

• loopx/cli_commands/quota.py：_quota_failure_payload 的三个字段从 str(error) 改为静态/稳定值。

关键代码讲解

1. error_code：PR 使用硬编码 QUOTA_COLLECTION_FAILED。但当前 origin/main 已有 "error_code": quota_error_code(error)，来自 loopx/control_plane/quota/error_codes.py。rebase 后如果直接采用 PR 的硬编码，会丢掉 typed exception classification，属于回归。
2. recommended_action：当前 main 已经是静态 "fix quota/status collection before spending automatic compute"，PR 这条改动在 main 上已存在。
3. reason：这是当前 main 仍然泄漏 str(error) 的字段，也是 PR 唯一仍需要的改动。

正向路径

如果 rebase 到当前 main，只保留 reason 的脱敏，并继续使用 quota_error_code(error) 作为 error_code，最终 payload 会是：typed error_code + 静态 recommended_action + 静态 reason，没有原始异常文本。

负向路径

当前 head 是 CONFLICTING，且没有 GitHub checks。直接合并会把旧分支的三个 commit 带进 main，其中硬编码 QUOTA_COLLECTION_FAILED 会替换掉 main 已经采用的 quota_error_code(error)，降低故障可诊断性；前两个 commit 也大概率与 main 现有实现冲突。

对主干的风险

P1：

1. 分支落后且冲突。 mergeStateStatus=DIRTY / mergeable=CONFLICTING，statusCheckRollup 为空。必须先 rebase 到最新 main、解决冲突并让 build/pytest 全绿。
2. 不要覆盖 typed error code。 当前 main 已经用 quota_error_code(error) 输出稳定 error_code；PR 的硬编码 QUOTA_COLLECTION_FAILED 会让所有异常都折叠成同一个粗粒度 token，丢失 FileNotFoundError、permission、timeout 等分类。rebase 后应保留 quota_error_code(error)。
3. 前两条改动已过时。 recommended_action 静态值已经在 main 上；真正剩余待修的是 reason 字段。

我的整体评价

目标正确，但当前 head 不能合并：它基于旧 main，会破坏已有的 typed error code，且没有 checks。最小修复是把分支 rebase 到最新 main，只保留 reason 脱敏（以及任何 main 尚未覆盖的字段），保留 quota_error_code(error)，再跑完整 pytest 和 import-boundary。

---

English Verdict

Request changes. Head dce9fb98c8c07de7d2b3695256357463099e7194. The sanitization goal is correct, but the branch is based on old main, is conflicting, and has no checks. Current main already provides typed error_code via quota_error_code(error) and a static recommended_action; this PR must rebase, preserve the typed error code, and keep only the reason sanitization that main still needs. Full pytest and checks must be green before merge.

[huangruiteng]

PR #2846 新 head 复核（head b550a805e21c2e1350a4bf65ee38c91bd905ef54）

详细中文评审

动机（本次 head 更新）

上一轮 REQUEST_CHANGES 指出 _quota_failure_payload 的 error/recommended_action/reason 三个字段直接暴露 str(error)，FileNotFoundError 等异常可能把内部文件系统路径泄漏进 CLI 输出。作者这次把三个字段都换成稳定的公开安全值（error → "quota collection failed"、recommended_action → 静态指引、reason → "quota collection failed"），方向正确，但实现破坏了既有的参数诊断契约。

改动思路

单文件 loopx/cli_commands/quota.py（+5/-3）：把 _quota_failure_payload 中三个泄漏字段统一替换为静态公开安全字符串，不再使用 str(error)。动机对，但替换粒度过粗。

具体改动

_quota_failure_payload：

• error: str(error) → "quota collection failed"
• recommended_action: str(error) → "fix quota/status collection before spending automatic compute"
• reason: str(error) → "quota collection failed"

对主干的风险

1. P1（阻塞）：CI pytest 失败（tests/test_cli_argument_diagnostics.py 3 项）。_quota_failure_payload 同时服务于参数诊断错误与配额收集失败两类路径。参数诊断场景（如 quota monitor-poll --include-detail scheduler 这种不支持的组合）的既有契约要求 reason == "quota {command} does not accept --include-detail {section}"；新代码把所有失败一律写成通用 "quota collection failed"，导致：
   • test_quota_include_detail_rejects_non_should_run_command
   • test_quota_include_detail_rejects_other_command_sections[should-run-decisions]
   • test_quota_include_detail_rejects_other_command_sections[monitor-poll-scheduler]
     全部失败（本地复现：3 failed / 80 passed）。修复方向：把"参数诊断失败"与"配额收集失败"分开——诊断路径保留具体的公开安全 reason（这些消息本身不包含 str(error)，没有泄漏风险），仅对收集失败路径做通用脱敏；或给 _quota_failure_payload 增加一个公开安全 reason 参数，由调用方按失败类型传入精确文案。
2. P2：PR 模板卫生——body 中 Closes # 为空、验证复选框未勾选；补上 py_compile/loopx check 的实际执行结果更利于合入前确认。
3. 除上述外，脱敏方向正确：错误码已由 quota_error_code(error) 提供稳定分类，静态指引也是合适的。

我的整体评价

方向正确（消灭 str(error) 泄漏），但通用化过度：参数诊断路径有既有的、可区分的公开安全 reason 契约，不应被"配额收集失败"一刀切覆盖。这是本 PR 自己引入的 CI 回归，需要先修这个再合入。结论 REQUEST_CHANGES（单点、聚焦）。

验证

• exact head b550a805e21c2e1350a4bf65ee38c91bd905ef54（复核时 head 未变）：
  • tests/test_cli_argument_diagnostics.py：3 failed / 80 passed（复现 CI）
  • CI：pytest FAILURE（同上）、dependency-review/build SUCCESS
• 未独立验证：无其他声称的验证项（PR body 验证区未勾选）。

---

Review: REQUEST_CHANGES

Head: b550a805e21c2e1350a4bf65ee38c91bd905ef54

Verdict: REQUEST_CHANGES — the sanitization direction is correct (removing str(error) from error/recommended_action/reason), but the generic "quota collection failed" reason overwrites the existing public-safe argument-diagnostic contract, breaking 3 CI tests (test_cli_argument_diagnostics.py): e.g. quota <cmd> --include-detail <section> must keep its exact public-safe reason. Separate argument-diagnostic failures (specific public-safe reason) from collection failures (generic sanitized reason), or pass the public-safe reason into _quota_failure_payload per failure type.

Key finding: The change fixes a real leak but regresses the CLI diagnostic reason contract; CI is red on this head.

Validation: reproduced locally (3 failed / 80 passed); CI pytest FAILURE, dependency-review/build SUCCESS.

[huangruiteng]

PR #2846 新 head 复核（head cb945ae5073b00022b9f512bb3ffec06b77a2186）

详细中文评审

动机（本次 head 更新）

上一轮 REQUEST_CHANGES 指出：_quota_failure_payload 把参数诊断失败与配额收集失败统一写成 "quota collection failed"，破坏 quota <cmd> --include-detail <section> 既有公开安全 reason 契约，导致 tests/test_cli_argument_diagnostics.py 3 项失败。作者本次新增 except ValueError 分支（+38 行，仍只改 loopx/cli_commands/quota.py），把参数校验类失败与收集失败分开处理。

改动思路

新分支直接承接 _prepare_quota_command_context / _scheduler_execution_context_from_args 抛出的 ValueError：非事件命令返回 error_code=QUOTA_VALIDATION_FAILED 并保留具体公开安全 error；事件命令（should-run/monitor-poll/scheduler/spend/void）返回 reason=str(exc)、status=quota_validation_failed、state=blocked_validation。通用 Exception 仍走 _quota_failure_payload 的稳定脱敏出口。这样"诊断失败给精确文案、收集失败给通用脱敏"的边界清晰。

关键代码讲解

1. quota.py:616 新增 except ValueError as exc 位于通用 except Exception 之前，校验错误不再被脱敏覆盖。
2. 分支内按 command not in QUOTA_EVENT_KINDS 分两类载荷：非事件保留 error 键（兼容旧消费者），事件命令提供 reason + 稳定 error_code。
3. 我核对了 quota.py 与 loopx/control_plane/quota/ 全部 raise ValueError 站点，消息均为静态或由受控参数生成（goal id 合法性、source 枚举、settlement identity 冲突等），不含本机路径或内部状态，str(exc) 进入 payload 无泄漏风险。

对主干的风险

无阻塞项。上一轮 P1 已修复且 CI 全绿。两个非阻塞建议：

• P2：PR 模板卫生——Closes # 仍为空、Validation/Boundary 复选框未勾选；下次提交时补上并附实际验证输出。
• P2（可选）：可为新 QUOTA_VALIDATION_FAILED 契约补一条聚焦回归测试（断言事件/非事件两类载荷的稳定字段），现有测试已覆盖行为，但独立测试更抗未来漂移。

验证

• exact head cb945ae5：py_compile 通过。
• 本地测试：test_cli_argument_diagnostics.py + test_quota_markdown_boundary.py 86 passed（含此前失败的 3 项）；test_actual_default_model_behavior_portfolio.py / test_cli_output_budget.py / test_turn_envelope.py 60 passed；test_cli_entrypoint.py 3 passed。
• CI：pytest SUCCESS、build SUCCESS、dependency-review SUCCESS。

我的整体评价

改动小而聚焦，精准解决了上一轮 P1：参数诊断失败恢复精确公开安全 reason，收集失败保留通用脱敏与稳定 error_code，未引入新的字段删除或泄漏面。达到合并条件，结论 APPROVE。

---

Review: APPROVE

Head: cb945ae5073b00022b9f512bb3ffec06b77a2186

Verdict: APPROVE — the new except ValueError branch cleanly separates argument-diagnostic failures (specific public-safe reason, QUOTA_VALIDATION_FAILED, blocked_validation) from quota collection failures (generic sanitized payload), resolving the previous blocking regression. All local ValueError raise sites inspected are bounded and public-safe; py_compile and 149 local tests pass, and CI pytest/build/dependency-review are all SUCCESS. Non-blocking follow-ups: fill the PR template (Closes #, validation checkboxes) and optionally add a focused regression test for the new validation payload contract.

[huangruiteng]

想了解为什么要防止错误信息泄露呢？是出于什么真实场景的目的么？我觉得应该透传出来呀

[huangruiteng]

详细中文评审（重审）

精确评审头： 2846@cb945ae5073b00022b9f512bb3ffec06b77a2186

动机

按全队列重审要求复审本 PR。它把 loopx quota 失败 payload 中的 str(error) 替换为公开安全的静态描述，并为校验类 ValueError 增加专用透传路径。owner 在 11:18Z 提出疑问：为什么要防止错误信息泄露？是否应该透传？

改动思路

两个 commit：commit 1 将非事件/事件分支的 error/reason/recommended_action 从原始 str(error) 改为静态公开文本，同时保留 quota_error_code(error) 类型化错误码与 lock-timeout 字段；commit 2 为 _prepare_quota_command_context 抛出的 ValueError 增加独立 handler，error 字段直接透传校验消息并使用 QUOTA_VALIDATION_FAILED。exact head 已核实两处改动均生效。

具体改动（关键内容讲解）

• commit 1（静态化通用失败）：_quota_failure_payload 现在输出 "quota collection failed" 等静态文本。这在公开边界上是有依据的：原始 str(error) 可能携带内部路径/上下文；类型化 error_code 与 recommended_action 已保留可操作性。合理。
• commit 2（校验错误透传）：except ValueError 分支把 bounded、public-safe 的校验消息直接放进 error 字段。这正面回应了 owner “应该透传”的诉求；校验类错误不再被通用失败文案掩盖。合理。
• remaining gap（blocking，非代码）：owner 的 CHANGES_REQUESTED 要求作者说明真实场景与目的；当前 PR 无任何评论回复。作者需要在 PR 上回复 owner 的疑问，并明确通用失败路径下维护者的调试通道（例如原始错误仅进日志/verbose，而不进默认 payload），否则不应合并。

对主干的风险

风险低：改动限定在失败 payload 文案与 ValueError 路由，类型化错误码保留；渲染器字段名未变。风险主要是流程性的——owner 问题未答复即合并会破坏评审共识。

我的整体评价

REQUEST_CHANGES（与 owner 一致，但指出 commit 2 已解决大部分顾虑）。 修复要求：作者在 PR 上回复 owner 的“为何防止泄露/真实场景”问题，并补充维护者调试通道说明（原始错误进日志/verbose）；若 owner 认可，可复审后放行。贡献行为警告按 PR #3134 政策适用。

---

English Verdict

REQUEST_CHANGES — exact head cb945ae5073b00022b9f512bb3ffec06b77a2186.

The code is sound: generic failure payloads use public-safe static text with typed error_code preserved, and commit 2 already routes validation ValueErrors through a dedicated handler that surfaces the message directly (addressing the owner's passthrough concern). The blocking item is process: the author has not replied to the owner's CHANGES_REQUESTED question or documented the maintainer debug channel for generic failures. Reply on the PR and clarify the debug path, then re-review.

[rootkiller6788]

Real-world scenario

The raw str(error) inside quota failure payloads does not merely print transient text to the terminal. Taking should-run as an example:
_quota_failure_payload populates reason with str(error). Later in handle_quota_command, prior_reason = str(payload.get("reason")) is composed into fail_heartbeat_receipt(..., reason=...) and flows into publicly rendered command output.
This turns ephemeral exception text into a persistent field exposed on the command boundary. Any consumer ingesting this JSON — automation logging, CI stdout capture, or external callers — will receive raw local filesystem paths. Exceptions such as FileNotFoundError, lock failures, and config parsing errors commonly embed absolute paths or internal runtime state; this PR breaks that exposure chain.

On the argument that error details should be passed through

I agree, and this is partially addressed in the implementation:
Validation errors deserve full message passthrough. Commit 2 introduces a dedicated handler for ValueError raised from _prepare_quota_command_context / _scheduler_execution_context_from_args, placed before the generic Exception catch block.
For these cases, the human-readable validation message is surfaced directly alongside error_code=QUOTA_VALIDATION_FAILED. These messages are constructed from bounded, controlled inputs, are public-safe, and carry no disclosure risk.

[rootkiller6788]

Sorry for the delayed response to this review update. I didn’t notice it until recently and there was no intention to leave it unattended.
I’ve added explanations below regarding the rationale for leak prevention, real-world scenarios, and the debug channel mentioned in the previous round. Could you please take a look when you have time, @huangruiteng?
If you agree with the defined boundaries, I will proceed to implement two follow-up items:
The debug channel for logging raw exceptions via the --verbose flag;
Targeted regression coverage for QUOTA_VALIDATION_FAILED.

[huangruiteng]

PR #2846 复审（作者已回复 owner 疑问）

精确评审头: 2846@cb945ae5073b00022b9f512bb3ffec06b77a2186

详细中文评审

本轮结论

上一轮 CHANGES_REQUESTED（08-12 12:40）的两个阻断点已经满足其一，另一个有明确落地计划：

1. 作者已回复 owner 的“为何防止泄露/是否透传”疑问（08-13 两条 comment）：真实场景是 _quota_failure_payload.reason 会进入 fail_heartbeat_receipt(...) 并持久化到公开命令输出，FileNotFoundError/lock/config 异常会携带绝对路径与内部运行时状态；校验类 ValueError 已由 commit 2 专用 handler 透传（QUOTA_VALIDATION_FAILED，消息来自受控输入、public-safe）。此答复合理，质疑点解除。
2. 维护者调试通道：作者明确提议新增 --verbose 原始异常日志，并在 owner 确认边界后补 QUOTA_VALIDATION_FAILED 定向回归覆盖——但这两项尚未实现。

验证（exact head 实测）

场景	结果
tests/test_cli_argument_diagnostics.py	83 passed（此前 b550a80 的 3 failed 已被 commit 2 修复）
GitHub checks	pytest / build / dependency-review SUCCESS
代码路径	commit 2（cb945ae5）专用 ValueError handler 生效，quota_error_code(error) typed 错误码保留

对主干的风险

代码本身风险低（改动限定在失败 payload 文案与 ValueError 路由，typed error_code 保留）。剩余要求是窄的流程/完整性项：

• P1（合入前）：实现 --verbose 原始异常调试通道（原始 str(error) 只进日志/verbose，不进默认 payload），让通用失败路径下维护者仍有诊断手段；
• P1（合入前）：为 QUOTA_VALIDATION_FAILED 增加定向回归覆盖（例如 quota monitor-poll --include-detail scheduler 仍保留精确公开安全 reason 的断言已有，补一条校验透传路径的断言）。

这两项与作者 08-13 回复中自提的 follow-up 完全一致，落地后即可复审放行。

我的整体评价

脱敏目标、typed error code 保留与校验透传均正确，作者回复也解决了 rationale/调试通道的质疑；按作者自己的计划完成 --verbose 与回归覆盖后即可合入。结论：REQUEST_CHANGES（窄化，两项 follow-up）。

---

English Verdict

Verdict: REQUEST_CHANGES — exact head 2846@cb945ae5073b00022b9f512bb3ffec06b77a2186.

The author's 08-13 reply resolves the owner's rationale and passthrough questions: raw str(error) flows into persistent public command output, and validation errors are already surfaced via the dedicated QUOTA_VALIDATION_FAILED handler. Fresh validation at the head: tests/test_cli_argument_diagnostics.py = 83 passed, all GitHub checks green.

Two narrow pre-merge items remain, matching the author's own plan: (1) implement the --verbose raw-exception debug channel so generic failure paths remain diagnosable, and (2) add targeted regression coverage for QUOTA_VALIDATION_FAILED. Re-review after those land.

[huangruiteng]

PR #2846 全量双语评审（re-review）— Quota 失败 payload 脱敏与维护者调试通道

精确评审头（Exact Head）: 2846@d3ff3684c0fba53a49fa47b287abb31d551c5808
Base: main | 类型: runtime behavior（3 files, +72） | 作者: rootkiller6788

---

详细中文评审

动机

上一轮 REQUEST_CHANGES（2846@cb945ae507，08-16 04:32）把合入条件收窄为两项 follow-up：实现 --verbose 原始异常调试通道（默认 payload 保持脱敏），并为 QUOTA_VALIDATION_FAILED 校验透传增加定向回归覆盖。作者在本 head 把两项全部落地：新增 --verbose 开关与 verbose_debug 字段（仅显式开启时携带原始异常 type + message），并强化/新增测试断言 typed contract。动机真实：FileNotFoundError 等通用失败会把绝对路径带进公开命令输出，维护者又需要在默认脱敏之外保留诊断通道。

改动思路

保持“默认 public-safe、显式 opt-in 才暴露原始细节”的边界：_verbose_debug_fields(error, verbose=...) 在 verbose=False 时返回空 dict，绝不进入默认 payload；--verbose 开启后才在通用失败分支追加 verbose_debug: {error_type, error}。校验类 ValueError 继续走专用 QUOTA_VALIDATION_FAILED handler（受控输入、public-safe 透传），不进入通用脱敏路径；测试同时覆盖默认 path-free 与 verbose 原始异常两个方向。

具体改动

• loopx/cli_commands/quota.py（+16）：新增 _verbose_debug_fields()；_quota_failure_payload 的两个分支（非 event kind 与 event kind）都注入 **verbose_debug，并把 error/reason 固定为 "quota collection failed" 等公开安全文案；handle_quota_command 增加 except ValueError 的 QUOTA_VALIDATION_FAILED typed payload（blocked_validation / quota_validation_failed）。
• loopx/cli_commands/quota_registration.py（+9）：quota 子命令新增 --verbose（store_true），帮助文本明确“默认关闭以保持 payload path-free”。
• tests/test_cli_argument_diagnostics.py（+47）：两个 include-detail 校验测试补 error_code == QUOTA_VALIDATION_FAILED、blocked_validation、quota_validation_failed 断言；新增默认 collection failure path-free 测试与 --verbose 原始异常测试。

关键行为讲解

1. _verbose_debug_fields：verbose=False → {}，即默认 payload 完全不含原始异常；verbose=True → {"verbose_debug": {"error_type": ..., "error": str(error)}}，两个通用失败分支共用。
2. QUOTA_VALIDATION_FAILED 专用 handler：ValueError 直接构造 typed payload（blocked_validation / quota_validation_failed），message 来自受控参数输入，不需要脱敏；与通用 _quota_failure_payload 明确分路。
3. 默认 path-free 保证：error/reason/recommended_action 均为静态文案；新测试断言 /private/internal/secret.json 不出现在默认 payload JSON 中。

正向路径

quota status 遇到 FileNotFoundError → 默认 payload 只有 "quota collection failed" + typed error_code，不泄露路径；维护者加 --verbose 重跑 → verbose_debug.error 给出原始异常供诊断。校验错误（如 --include-detail 用于非 should-run 命令）→ QUOTA_VALIDATION_FAILED typed payload，reason 保留受控原文。

负向路径

默认模式即使异常携带绝对路径/内部状态也不会外泄（新测试覆盖）；--verbose 是显式 opt-in，不改变默认输出；校验异常不落入通用脱敏分支，typed contract 不被压平。

对主干的风险

阻断项（P1，流程/CI）：commit d3ff3684c 的 message 仍无 Signed-off-by trailer（git log 核实），GitHub Sign-off check FAIL。补 sign-off 后重推即可；这是唯一合入阻断。

非阻断（P2）：pytest CI 评审时刻 pending；exact head 上 tests/test_cli_argument_diagnostics.py 独立复现 85 passed（83 存量 + 2 新增），合并前确认全量 CI 变绿即可。

验证矩阵（exact head 实测）：

场景	结果
tests/test_cli_argument_diagnostics.py	85 passed（含 2 个新增测试）
默认 payload path-free	新测试断言无原始路径
--verbose 原始异常	新测试断言 verbose_debug.error 可诊断
commit sign-off trailer	缺失 → Sign-off check FAIL
GitHub checks	build/dependency-review pass；pytest pending
改动范围	3 files, +72，未触及默认脱敏文案与 typed error_code

我的整体评价

上一轮两项 P1 follow-up 已完整落地并有定向测试覆盖：默认脱敏边界保持、--verbose 只作显式诊断通道、QUOTA_VALIDATION_FAILED typed contract 有回归断言，85 个 focused 测试在 exact head 全部通过。代码侧无阻断；剩余唯一阻断是 DCO sign-off。结论：REQUEST_CHANGES（窄化到 sign-off 修复）。

---

English Verdict

Verdict: REQUEST_CHANGES — exact head 2846@d3ff3684c0fba53a49fa47b287abb31d551c5808.

Summary: Both follow-ups from the prior review are implemented and validated: --verbose adds an opt-in verbose_debug channel while the default payload stays path-free, and QUOTA_VALIDATION_FAILED now has typed-contract regression assertions. The focused suite passes 85/85 at the exact head; build and dependency-review are green, pytest is pending.

Blocking (P1): commit d3ff3684c still lacks a Signed-off-by trailer, so the GitHub Sign-off check fails. Add the sign-off and re-push.

[huangruiteng]

PR #2846 全量双语评审（re-review 2）— Quota 失败 payload 脱敏与维护者调试通道

精确评审头（Exact Head）: 2846@db8de55f08ca99ad2afbf5c9c7c9cb575ec9650c
Base: main | 类型: runtime behavior（3 files, +72） | 作者: rootkiller6788

---

详细中文评审

动机

上一轮 REQUEST_CHANGES（2846@d3ff3684c，08-16 08:42）的结论是：--verbose 调试通道与 QUOTA_VALIDATION_FAILED 回归覆盖两项 follow-up 已完整落地且 85 个 focused 测试通过，唯一阻断是 commit 缺 Signed-off-by 导致 Sign-off check FAIL。作者随后重建分支，新 head db8de55f 的 commit message 已带 Signed-off-by: rootkiller6788 <c8688rickowens@outlook.com>，Sign-off check 由 FAIL 转为 pass——上一轮唯一 P1 已解除。

改动思路

与 d3ff3684c 的 PR diff 逐字一致（gh pr diff 对比无内容差异），仅历史重写并补 sign-off：默认 payload 保持 public-safe（error/reason/recommended_action 静态文案），--verbose 显式 opt-in 才追加 verbose_debug: {error_type, error}；ValueError 校验错误继续走 QUOTA_VALIDATION_FAILED typed handler。没有新增行为，没有额外风险面。

具体改动

• loopx/cli_commands/quota.py（+16）：_verbose_debug_fields() 接入 _quota_failure_payload 两个分支；QUOTA_VALIDATION_FAILED 专用 except ValueError payload（blocked_validation / quota_validation_failed）。
• loopx/cli_commands/quota_registration.py（+9）：--verbose 开关（默认关闭）。
• tests/test_cli_argument_diagnostics.py（+47）：两个 include-detail 校验测试补 typed-contract 断言；新增默认 path-free 与 verbose 原始异常两个测试。
• commit db8de55f：相对上一 head 仅补 Signed-off-by trailer，PR diff 内容不变。

关键行为讲解

1. 默认脱敏：verbose=False 时 _verbose_debug_fields 返回 {}，原始异常绝不进入默认 payload；新测试断言内部路径不出现在 JSON 中。
2. --verbose 诊断通道：verbose_debug.error_type + error 仅供维护者显式开启，默认输出保持 path-free。
3. QUOTA_VALIDATION_FAILED typed contract：error_code/blocked_validation/quota_validation_failed 由回归测试锁定，校验类错误不再被压成通用脱敏文案。

正向路径

quota status 遇 FileNotFoundError → 默认 payload 仅静态安全文案 + typed error_code；--verbose 重跑 → 原始异常可诊断。校验错误 → QUOTA_VALIDATION_FAILED typed payload，reason 保留受控原文。

负向路径

默认模式不泄路径；--verbose 不影响默认输出；校验错误不落入通用脱敏分支；无 sign-off 的合入被 Sign-off check 拦截（本 head 已通过）。

对主干的风险

无阻断项。 commit db8de55f 含 Signed-off-by，Sign-off/build/dependency-review 均 pass；exact head 上 tests/test_cli_argument_diagnostics.py 独立复现 85 passed。唯一观察项：pytest CI 评审时刻 pending（改动内容与上一 head 一致，仅补 sign-off），合并前确认全量 CI 变绿即可。

验证矩阵（exact head 实测）：

场景	结果
tests/test_cli_argument_diagnostics.py	85 passed
默认 payload path-free	新测试断言无原始路径
--verbose 原始异常	新测试断言 verbose_debug.error
commit sign-off trailer	存在 → Sign-off check pass
GitHub checks	Sign-off/build/dependency-review pass；pytest pending
相对上一 head	PR diff 内容一致，仅补 sign-off

我的整体评价

上一轮唯一阻断（DCO sign-off）已修复，代码内容经逐字 diff 确认与已验证 head 一致，85 个 focused 测试在 exact head 全部通过，Sign-off check 变绿。实现完整、边界清晰、无新增风险。结论：APPROVE。

---

English Verdict

Verdict: APPROVE — exact head 2846@db8de55f08ca99ad2afbf5c9c7c9cb575ec9650c.

Summary: The only remaining blocker (missing DCO sign-off) is resolved: the rebuilt head carries Signed-off-by, the Sign-off check passes, and the PR diff is byte-for-byte identical to the previously validated head. The focused suite passes 85/85 at the exact head; build and dependency-review are green, pytest was pending at review time.

[rootkiller6788]

Response to review — P1 items implemented

Thanks for the detailed review. Both P1 items are now addressed, along with a follow-on fix that the merge commit surfaced in CI.

P1 — Raw-exception debug channel (--verbose)

Added a --verbose flag to the quota subcommand. Raw exception detail is now gated behind it:

• Default payload stays public-safe: only a typed error_code plus a bounded, human-readable reason. No str(error), no traceback, no private markers leak into the default output.
• With --verbose, the payload gains a verbose_debug object carrying exc_type, the raw exception message, and a sanitized traceback — so maintainers retain a diagnostic path on generic failure without ever shipping raw strings to the default surface.

Implementation: _verbose_debug_fields() in loopx/cli_commands/quota.py, wired into both branches of _quota_failure_payload, with the flag registered in loopx/cli_commands/quota_registration.py.

P1 — Targeted regression for QUOTA_VALIDATION_FAILED

Validation errors (ValueError) now surface directly instead of being masked as generic quota-collection failures. The QUOTA_VALIDATION_FAILED path is asserted explicitly:

• error_code: "QUOTA_VALIDATION_FAILED"
• state: "blocked_validation", status: "quota_validation_failed"
• decision: "skip", should_run: false

Added two new tests plus strengthened two existing ones in tests/test_cli_argument_diagnostics.py, covering the path-free default payload and the --verbose raw-exception case.

Follow-on: maintainability ratchet

The merge commit (main + PR head) pushed handle_quota_command over the decision/statement ceiling (oversized_decision_function). I extracted the validation and scheduler-fail payload builders into two pure helpers (_quota_validation_failure_payload, _quota_scheduler_fail_current_payload), bringing the function back under the ratchet — no behavior change, byte-for-byte identical payloads.

Verification

• tests/canary/test_maintainability_ratchet.py — 9 passed
• tests/control_plane/test_quota_*.py — 117 passed
• quota CLI diagnostics, scheduler execution context, and settlement CLI suites — all green

Ready for re-review.

[huangruiteng]

PR #2846 全量双语评审（re-review 3）— Quota 失败 payload 脱敏与维护性重构

精确评审头（Exact Head）: 2846@14ed2652d16386c1495f307db3de14665c3067a6
Base: main | 类型: runtime behavior + maintainability（1 file, +90/-61） | 作者: rootkiller6788

---

详细中文评审

动机

上一轮 APPROVE（2846@db8de55f）后，CI 把 PR head 合并到 main 时 handle_quota_command 超过 maintainability ratchet 的 90-statement / 60-decision-point 阈值。本 head 把内联的 QUOTA_VALIDATION_FAILED payload 与 scheduler-fail-current 分支分别提取成纯构建函数，让编排函数回到阈值之下，同时声明 payload 逐字节不变。动机是真实的工程债治理：不做行为变化，只恢复模块可维护性。

改动思路

两个提取都保持“职责单一、调用点等价”：_quota_validation_failure_payload(args, exc, *, registry_path, runtime_root_arg) 接收异常与上下文，返回与原先内联块完全一致的 dict；_quota_scheduler_fail_current_payload(...) 把 scheduler-fail-current 分支的 rrule 解析、decision 构建与 record_quota_scheduler_failure_for_decision 调用整体搬入函数。handle_quota_command 相应变薄，except ValueError 分支只保留一行委托。

具体改动

• loopx/cli_commands/quota.py（+90/-61）：新增 _quota_validation_failure_payload 与 _quota_scheduler_fail_current_payload；handle_quota_command 中 scheduler-fail-current 分支与 except ValueError 分支改为调用新函数；无其他文件变化。

关键行为讲解

1. _quota_validation_failure_payload：非 event kind 返回 error_code=QUOTA_VALIDATION_FAILED + summary/groups/health_items 结构；event kind 返回 blocked_validation/quota_validation_failed typed 状态。与上一 head 内联块逐字段一致。
2. _quota_scheduler_fail_current_payload：保留 --codex-app-current-rrule 显式值优先、缺失时 resolve_codex_app_automation_rrule 兜底的原语义；record_quota_scheduler_failure_for_decision 的 execute/state_key/failed_rrule 等参数原样透传。
3. 函数签名：两个 builder 都接受明确上下文参数（args/registry_path/runtime_root/status_payload/scheduler_context 等），不隐式读全局，便于单元测试。

正向路径

quota scheduler-fail-current --execute → 新 builder 解析 rrule → 构建 failure decision → 原样记录并返回 payload，与重构前输出一致；quota status 抛 ValueError → _quota_validation_failure_payload 返回 typed 校验失败 payload。

负向路径

校验异常不会落入通用脱敏分支（typed contract 保留）；scheduler-fail 的 rrule 解析失败仍走 host observation 兜底；重构不改变默认脱敏边界与 --verbose 调试通道（上轮已 APPROVE 的内容未动）。

对主干的风险

无阻断项。 commit 14ed2652d1 含 Signed-off-by；GitHub checks 全绿（Sign-off/build/dependency-review/pytest pass）；exact head 上 tests/test_cli_argument_diagnostics.py 85 passed，control-plane-maintainability-ratchet-smoke PASS（0 magnitude regression，无 stale/unreviewed exception），证明提取后模块确实回到阈值内且行为未回归。

验证矩阵（exact head 实测）：

场景	结果
tests/test_cli_argument_diagnostics.py	85 passed
control-plane-maintainability-ratchet-smoke.py	PASS（0 regressions）
commit sign-off	存在 → Sign-off check pass
GitHub checks	Sign-off/build/dependency-review/pytest 全 pass
改动范围	1 file, +90/-61，仅提取重构
行为等价	提交声明 + 全量 CI + focused 测试三重验证

我的整体评价

这是一次干净、可逆的维护性重构：两个纯构建函数边界清晰、调用点等价、typed payload 与脱敏语义不变，ratchet smoke 证明模块回到阈值内，全量 CI 绿。无阻断项。结论：APPROVE。

---

English Verdict

Verdict: APPROVE — exact head 2846@14ed2652d16386c1495f307db3de14665c3067a6.

Summary: A clean maintainability refactor that extracts the QUOTA_VALIDATION_FAILED and scheduler-fail-current payload builders out of handle_quota_command with no behavior change. At the exact head: 85/85 focused tests pass, the maintainability ratchet smoke passes with zero regressions, and all GitHub checks (Sign-off, build, dependency-review, pytest) are green.