[cocolord]

Repeated canonical Todo reads re-encode already validated source bytes and hash unchanged scalar facts. This change reuses those bytes and proves unchanged scalars by exact equality inside the existing typed projection transaction. Complete-source clone/digest checks and source, revision, role, lease and replay fences remain intact; no cache, decoder or authority owner is added.

The existing M0 fixture reflects the merged status-module move with its 128→127 pin, measured baseline 520a1ab47, unchanged schema/allowlist and over-budget refusal. The report CLI integration test consumes the single work_contract through the existing controller and checks the owned next command, idle host and rejection of a changed command under its original source binding. Competing replan advice stays in the complete source.

The branch includes target main 3b16b8491, retaining the original proposal ancestry. Current runtime qualification is at 9baeafd8ab31639bf3794bbf0e1d4ccbb5716c7e; author head 15c9378211cb03f04fc0d85179bee90c62c5777d only appends paired RFC evidence, with identical runtime sources.

Validation	Result and boundary
Complete CLI lifecycle	Four complete 101-Todo source/wheel × File/default-SQLite cases pass at bb65769cc, then at the current native-context integration runtime with a newly rebuilt wheel. The two snapshots test different integration inputs, not a repeated frozen cost campaign.
Independent semantics and recovery	Each case preserves the original synthetic fixture, independently verified sum-45 artifact, source/lease refusals, replay/recovery, four committed receipt kinds, one debit, completion time and two normal native exits.
Native-context callers	257 Python cases, seven progressive-context TypeScript cases and the control-plane typecheck pass on CPython 3.13.5/Node 22.22.3.
Package provenance	All 1,962 inventoried present tracked wheel entries match the current runtime source. The two source-reuse owner files retain their earlier qualified hashes. No historical package-count benefit is inferred.
Earlier report qualification	Source and isolated-wheel caller families each passed 71 cases at bb65769cc; dropping the real CLI next command makes the independent assertion fail.

Standard premerge at the author head passes six direct and nineteen selected checks with zero failures, warnings or advisories; committed bilingual and public-boundary checks pass. Change-quality policy is disabled and self-merge authority is false.

Earlier qualification remains attributed to its recorded heads: 82 Python and 105 TypeScript cases, real disposable PostgreSQL 16.15 store/service (391/11), and three packaged browser scenarios at 7e205166a. Exact-head PostgreSQL CI also passed at bb65769cc. Those runs do not qualify the new browser/installed-host or PostgreSQL host/wheel boundary.

Historical failures remain recorded: the retired report turn_envelope assertion failed identically on immutable 520a1ab47/aee777008; the earlier kernel-static failure used the stale 127/128 pin. Initial stale-bundle build refusal is retained separately from the rebuilt package. The Pages failure remains a separate hold; its stale-link file is outside this task's current write boundary.

Required new-head CI, independent exact-head review/readiness and explicit maintainer merge authorization remain pending. Whole-path/full marginal-cost/adoption, installed-host, PostgreSQL host/wheel, I3 for a minor release, full M1/R0/V10/R1, D2/D5/D6/D3 and context/model/split-install acceptance remain open. Frozen cost, attribution and normal-bytecode campaigns are not rerun or relabeled. #8374 remains an open component proposal pending reconciliation. This proposal does not complete the minimal kernel or upgrade an active host.

CPython 3.11.15 complete-CLI qualification now covers source and isolated wheel × File/default-SQLite at the previous proposal snapshot and again at runtime 220275f6a, integrated with target main a3b589610. All eight lifecycles retain the same fixture and sum-45 artifact, completion time, source/lease/refusal/replay/recovery checks, four receipts, one debit and two normal native exits each. Earlier source/wheel canonical-source checks each pass nine cases; the latest source/wheel report CLI caller each passes its selected case, including the unchanged source-binding negative assertion. The new wheel retains package provenance and inventoried present tracked source bytes.

The final author delta after runtime qualification is the paired RFC checkpoint; merge reconciliation preserves the upstream 127-module budget and explicit transaction-detail delivery. Standard premerge at 86d08a01c passes six direct and nineteen selected checks. The previous 15c937821 CI snapshot passed real PostgreSQL and kernel contracts, but its synthetic lens-switch budget failed; preserve that failure and the Pages hold. New-head CI and independent review/readiness remain pending. This is minimum-version integration correctness, with all original full-cost/adoption, installation, PostgreSQL-host/wheel and frozen acceptance gaps retained; it grants no merge or installed-host upgrade authority.

[mergify]

This pull request has merge conflicts with main and cannot be merged
until they are resolved. Please rebase or merge the base branch, @cocolord.

Choose the remote for the base repository, not an out-of-date fork.
For a fork clone, first inspect git remote -v; upstream must point
to https://github.com/loopx-project/loopx.git. If it is absent, add it
with git remote add upstream https://github.com/loopx-project/loopx.git.
Then run:

git fetch upstream
git rebase upstream/main
# Resolve each conflict, git add the resolved files, then git rebase --continue.
git push --force-with-lease origin HEAD

For a same-repository clone whose origin points to
https://github.com/loopx-project/loopx.git, use origin instead of
upstream for fetch/rebase. If you prefer merging the base, use
git merge <base-remote>/main and push normally.

Keep the DCO Signed-off-by trailer on every commit when you rebase.
https://docs.github.com/en/pull-requests/collaborating-with-pull-requests/working-with-forks/syncing-a-fork

[loopx-agent]

Reviewer: model_agent, gpt-6.1-sol, OpenAI, runtime_reported, reasoning effort max

动机 / Motivation

在正式任务里打开 Todo 或继续受管 Turn 的操作者，会反复从权威存储读取任务和下一步。 一次读取需要处理用户与 Agent 两组任务字段。原版先各自保存 JSON 再重复编码校验。候选保留已经校验的完整字节，实测从四次字段编码降到两次。 在 File 和 SQLite 上，重排映射键仍能使用原来源。把布尔值改成整数、替换所有者、篡改计数或删掉字段仍会失去来源资格或被拒绝。 验证范围覆盖来源绑定、读回和恢复。完整端到端成本、安装宿主和收益归因留给独立资格验证。 这批证据确认一次读取少做了编码和摘要工作。长期延迟、跨宿主部署与整套运行成本仍需单独测量。

改动思路 / Approach

保持现有 TypeScript 权威读取和 Python 兼容传输的边界，复用已校验内容，决策和持久状态仍由原所有者处理。 本 PR 的新增生产改动限于完整字段编码复用与未改变的标量跳过重哈希，报告测试和模块 pin 分别修复已有验证断点。 现有读取先绑定当前存储修订、游标和完整字段摘要，再把结果交给 Todo、配额与 Turn 的既有消费方。过期或篡改后的读回进入原有拒绝和恢复路径。完整的来源校验有实际调用方，省掉的是重复的中间编码和相等标量摘要。

具体改动 / Changes

关键代码讲解

• bind_canonical_todo_sources。先对完整字段验证摘要，成功后把同一份 UTF-8 字节留作以后比较的依据。摘要不匹配时仍走完整的调用方输入路径。 提交源码
• canonical_todo_source_reference。在原请求里解码完整依据再比较。映射键顺序可以变化，列表顺序和布尔、整数等类型仍参与判断，受保护事实有变化就失去原来源。 提交源码
• resolveCanonicalSource。只有完全相同的标量跳过摘要比较。对象、数组、被改动的标量和缺失键仍按原规则处理，不能替换由存储拥有的事实。 提交源码
• test_calendar_actual_cli_preserves_capability_action_without_host。直接把完整工作合同交给控制器。在计划、预演和执行入口核对同一条报告命令、Host 保持空闲和未提前写入的效果。篡改命令后由原合同校验拒绝。 提交源码

报告旧断言读取已退役的载体。当前入口直接读完整工作合同，保留竞争建议并交由原控制器判断优先级。模块数量已经在合入的迁移里从 128 变为 127，本 PR 把仍固定为 128 的 pin 降到实测数，保留精确计数、入口允许列表和超额拒绝。 我按当前目标主干的 docs/architecture/rfcs/monorepo-distribution-split-v0.md 对照了全量差异，规范版本为 69ddc610846f98b8d9b6c5c374ac4aefdd2d4ed0。I2 的单一权威读取、I8 的完整和新鲜上下文、I9 的可复核测量范围都能对应到上述实现与验证。M0 的计数依据是已合入的移动，基线失败也已保留。 版本固定的规范

对主干的风险 / Risks

原生队列的旧基线比实际合入祖先早。整包审阅保留 23 个文件的范围，已有 #8275、#8373、#8375 的逻辑已进入 main，候选独有的是上述 8 个文件。 最危险的反例是将看似相等的值当成原事实。直接替换数字类型、删除字段、改写嵌套所有者和换用旧游标都应被拒绝。恢复原值后能继续从同一作用域读回，长任务的回归也验证原结算只发生一次。

PASS。候选的 18 项本地测试通过。相同范围在基线有 16 项通过，报告旧字段 KeyError 和 127/128 pin 两项失败。 隔离 PostgreSQL 16.15 的 authority-store 391 项与服务 11 项均通过，跳过 0 项。控制平面 TypeScript 类型检查通过。 精确 diff 检查和双语 RFC 检查均通过。反例在同一个真实入口运行。原提交拒绝错误数据，移除类型保护的变体才接受了它。

我的整体评价 / Verdict

没有阻塞评审的代码发现。原有任务继续执行与 CLI 使用路径得到保留，减少的编码次数已有可复核的 File 和 SQLite 对照。核对了 Todo 与报告的 CLI 数据和消费路径，当前改动属于来源绑定与验证，视觉评审范围为空。 宿主安装、浏览器和完整链路成本仍属独立验证范围。本次评审与合并就绪分别记录。

English verdict: APPROVE at bb65769. Exact-head File and SQLite checks preserved source provenance and replay, the corrected report caller and root-module pin passed, and isolated PostgreSQL 16.15 passed its store and service suites.

The merge-base changed after approval.

[loopx-agent]

Reviewer: model_agent, gpt-6.1-sol, OpenAI, runtime_reported, reasoning effort max

动机 / Motivation

在正式任务里打开 Todo 或继续受管 Turn 的操作者，会反复从权威存储读取任务和下一步。 一次读取需要处理用户与 Agent 两组任务字段。原版先各自保存 JSON 再重复编码校验。候选保留已经校验的完整字节，实测从四次字段编码降到两次。 在 File 和 SQLite 上，重排映射键仍能使用原来源。把布尔值改成整数、替换所有者、篡改计数或删掉字段仍会失去来源资格或被拒绝。 本轮核验来源绑定、读回和恢复。完整端到端成本、安装宿主和收益归因留给独立验证。 这批证据确认一次读取少做了编码和摘要工作。长期延迟、跨宿主部署与整套运行成本仍需单独测量。

改动思路 / Approach

保持现有 TypeScript 权威读取和 Python 兼容传输的边界，复用已校验内容，决策和持久状态仍由原所有者处理。 本 PR 在同一权威读取内减少两类重复计算，并修复现有报告测试和模块数量门禁的断点。双语附录记录不同版本的验证边界。 现有读取先绑定当前存储修订、游标和完整字段摘要，再把结果交给 Todo、配额与 Turn 的既有消费方。过期或篡改后的读回进入原有拒绝和恢复路径。完整的来源校验有实际调用方，省掉的是重复的中间编码和相等标量摘要。

具体改动 / Changes

关键代码讲解

• bind_canonical_todo_sources。先对完整字段验证摘要，成功后把同一份 UTF-8 字节留作以后比较的依据。摘要不匹配时仍走完整的调用方输入路径。 提交源码
• canonical_todo_source_reference。在原请求里解码完整依据再比较。映射键顺序可以变化，列表顺序和布尔、整数等类型仍参与判断，受保护事实有变化就失去原来源。 提交源码
• resolveCanonicalSource。只有完全相同的标量跳过摘要比较。对象、数组、被改动的标量和缺失键仍按原规则处理，不能替换由存储拥有的事实。 提交源码
• test_calendar_actual_cli_preserves_capability_action_without_host。直接把完整工作合同交给控制器。在计划、预演和执行入口核对同一条报告命令、Host 保持空闲和未提前写入的效果。篡改命令后由原合同校验拒绝。 提交源码

报告旧断言读取已退役的载体。当前入口直接读完整工作合同，保留竞争建议并交由原控制器判断优先级。模块数量已经在合入的迁移里从 128 变为 127，本 PR 把仍固定为 128 的 pin 降到实测数，保留精确计数、入口允许列表和超额拒绝。双语附录新增七段，分别保留旧头和新基线的来源、验证失败、安装范围和成本边界。两处账本所列生产源码 SHA-256 与本次源码吻合。 我按当前目标主干的 docs/architecture/rfcs/monorepo-distribution-split-v0.md 对照了全量差异，规范版本为 3b16b849148817988535ae165d626da82f44356b。I2 的单一权威读取、I8 的完整和新鲜上下文、I9 的可复核测量范围都能对应到上述实现与验证。M0 的计数依据是已合入的移动，基线失败也已保留。 版本固定的规范

对主干的风险 / Risks

本次目标 main 与合并基点同为 3b16b84，候选独有 8 个文件。与上一轮 bb65769 比较，两个生产源码与四个相关验证文件字节一致。本轮在新基线上重新执行关键验证。#8374 含同一 Python 优化，采用时需协调。 最危险的反例是将看似相等的值当成原事实。直接替换数字类型、删除字段、改写嵌套所有者和换用旧游标都应被拒绝。恢复原值后能继续从同一作用域读回，长任务的回归也验证原结算只发生一次。

PASS。候选的 18 项本地测试通过。相同范围在基线有 16 项通过，报告旧字段 KeyError 和 127/128 pin 两项失败。 隔离 PostgreSQL 16.15 的 authority-store 391 项与独立服务库 11 项均通过，跳过 0 项。最初复用存储测试数据库时，服务有两项在数据库 incarnation 校验处失败，独立库复测通过。控制平面 TypeScript 类型检查通过。 精确 diff 检查和双语 RFC 检查均通过。反例在同一个真实入口运行。原提交拒绝错误数据，移除类型保护的变体才接受了它。

我的整体评价 / Verdict

没有阻塞评审的代码发现。原有任务继续执行与 CLI 使用路径得到保留，减少的编码次数已有可复核的 File 和 SQLite 对照。核对了 Todo 与报告的 CLI 数据和消费路径，当前改动属于来源绑定与验证，视觉评审范围为空。 宿主安装、浏览器和完整链路成本仍属独立验证范围。本次评审与合并就绪分别记录。

English verdict: APPROVE at 15c9378. Exact-head File and SQLite checks preserved source provenance and replay, the corrected report caller and root-module pin passed, and isolated PostgreSQL 16.15 passed its store and service suites.

[mergify]

This pull request has merge conflicts with main and cannot be merged
until they are resolved. Please rebase or merge the base branch, @cocolord.

Choose the remote for the base repository, not an out-of-date fork.
For a fork clone, first inspect git remote -v; upstream must point
to https://github.com/loopx-project/loopx.git. If it is absent, add it
with git remote add upstream https://github.com/loopx-project/loopx.git.
Then run:

git fetch upstream
git rebase upstream/main
# Resolve each conflict, git add the resolved files, then git rebase --continue.
git push --force-with-lease origin HEAD

For a same-repository clone whose origin points to
https://github.com/loopx-project/loopx.git, use origin instead of
upstream for fetch/rebase. If you prefer merging the base, use
git merge <base-remote>/main and push normally.

Keep the DCO Signed-off-by trailer on every commit when you rebase.
https://docs.github.com/en/pull-requests/collaborating-with-pull-requests/working-with-forks/syncing-a-fork

[cocolord]

Reviewer: model_agent, GPT-6, OpenAI, self_reported

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

动机 / Motivation

没有发现阻断本 PR 的代码缺陷。本次审阅准确 head 86d08a01c2d5d94131d3e4818fa527eed019e44c 的完整七文件差异，重新判断当前整体改动，没有沿用已被撤销的旧审批。在原生 CLI 中读取 Todo、获得配额下一步并继续受管任务的操作者。 同一原生 Todo 读取需要处理用户和 Agent 两组完整字段，原版重复编码依据与校验内容；候选复用已经校验的字节，并仅省去完全相同标量的重复摘要。 完整来源、作用域、拒绝、重放与结算行为保持一致；验证的是局部重复计算减少，不是整条生命周期的性能收益。 不改变默认、租约、权限、结算、冻结预算，也不宣称整体性能、模型采用或安装资格。 完整边际成本、真实模型采用、安装宿主、PostgreSQL CLI host/wheel 与原 I3 和 R0/V10/R1 验收仍开放。

改动思路 / Approach

两个机制均留在已有读取所有者内，不新增状态、协议、模块、权限或替代决策路径。 当前 PR 的边界是完整来源比较的局部复用，以及能拒绝篡改的现有报告调用方回归；不包含 provider 推广或安装升级。 在 Python 侧，先按完整对象生成排序后的 UTF-8 字节并核对原字段摘要，再把同一字节作为来源比较依据，省去另一次完整编码。摘要不匹配、类型变化或离开原请求作用域时仍保留完整输入回退。在 TypeScript 侧，完整字段摘要验证和 JSON 容器克隆发生在快捷分支之前；只有严格相等的原始标量可以跳过重复摘要。对象、数组、缺失键和变化标量仍进入原事实保护判断。

保持原版是可行但保留重复计算的选择。新建 provider、缓存或另一个规则所有者会扩大维护和权限边界；当前两个原位改动更小。这里的正向价值是已经观察到的重复工作减少和已验证的不变行为，不能据此推导整条生命周期更快或长程收益。

具体改动 / Changes

规范依据是 docs/architecture/rfcs/monorepo-distribution-split-v0.md，spec_revision a3b589610a83f52024dd957c5071b0c257fab9b2 的修改前文本。I2 要求同一事务只有一个权威所有者；I8 要求完整、新鲜的上下文及原身份重放；I9 要求明确组合、基线、环境和测量范围。逐项对应本次 owner 复用、完整来源/类型/范围反例以及明确保留的性能与部署验收，未把候选自己新增的记录当作独立规范。

• bind_canonical_todo_sources 与 canonical_todo_source_reference 位于 loopx/control_plane/todos/summary_item.py：依据字节来自已经完成摘要校验的完整字段；映射插入顺序不作为源变化，列表和 Python 值类型仍参与比较。入口仍由现有 quota selection 使用，未增加持久状态或协议分支。
• resolveCanonicalSource 与 readCanonicalQuotaProjection 位于 loopx/control_plane/todos/read_transaction.ts：保留字段摘要、完整克隆、父节点/删除/标量保护以及原来源修订检查。相同标量不重算摘要，容器引用相等也不能取得该快捷资格。
• 三个回归文件分别覆盖 File/SQLite 映射重排与 false→0、PostgreSQL scope/count/items 和父节点替换/恢复，以及报告 caller 的完整 work_contract、host 空闲、capability 优先与原 binding 下篡改命令拒绝。上游显式 transaction detail 与有效 action 断言均保留。
• 两份 RFC 仅追加记录已验证的组合和未验证边界。当前差异没有 module pin 改动；127 上限已经在目标主干，不将合入的上游调整算作本 PR 的新效果。

对照的 spec_ref 为 docs/architecture/rfcs/monorepo-distribution-split-v0.md，spec_revision 为 a3b589610a83f52024dd957c5071b0c257fab9b2，先按这一不可变主干版本评估现有 I2、I8、I9：I2 的单一事实/事务所有者和 I8 的完整新鲜来源/恢复由上述调用与反例验证；I9 要求组合、基线、环境和范围明确，因此所有成本与采用结论仍保持未验证。规范本身没有被改写来降低这些要求。

对主干的风险 / Risks

最危险的反例是错误地把容器或看似相等的值当作不可变原事实。审阅了快捷分支之前的完整摘要、克隆和之后的缺失键、Python 值及 source revision 保护。新鲜的真实 PostgreSQL 16.15 authority-store 391 项和服务 11 项检查通过，跳过 0；受保护 note/scope/count/items 被改动会拒绝，临时变更恢复完整原值不会改写 provider。

PASS：在同一个 101-Todo fixture（3e6d17bb45381a62648b3d86a0fd26b1d6688aabafb23b582444716d02f95a47）下，重新执行不可变 a3b589610 基线的 File/SQLite 完整 CLI；候选 runtime 220275f6a 与准确审阅 head 的生产字节一致，复用时分别核对了源文件、平台、依赖和调用路径。四组 source 的选中范围与结算观察指纹均为 fa723c5c664fb3833cda8cf895ec12df471084798f7a2c6752fcb3ef38def27c。每组保留 sum45、声明的 result.json scope、四条收据、一次 debit、重放后原完成时间及两个正常 native exit。当前 wheel 已独立核验包来源和完整相同路径。删除真实 CLI 选中结果的 scope 后，独立夹具声明断言失败，避免只凭产物成功推断完整范围。

PASS：当前 head 的标准 premerge 六项直接检查和十九项选中检查、双语 gate；运行时等价组合的 canonical-source 源码/wheel 各九项及合并后的 report CLI 两分发各一项通过。后两项并不等于重跑整个报告族。没有重跑冻结的性能、归因或 normal-bytecode campaign。

UNVERIFIED：保留旧 head 的 lens-switch 预算失败与当前远端 CI/readiness 诊断。不把相同 UI 源码或一次绿色执行当成性能稳定、历史失败已修复的证明；本次未改界面，也不要求该 PR 顺带修改无关预算。PostgreSQL 完整 CLI host/wheel、真实安装宿主、模型采用及完整边际成本仍未证明。它们限制推广和合入资格，不替代已经执行的当前改动不变式验证。

我的整体评价 / Verdict

APPROVE，限于当前准确 head 的可逆来源比较/编码复用和调用方回归边界。两个机制均留在已有读取所有者内，不新增状态、协议、模块、权限或替代决策路径。 当前 PR 的边界是完整来源比较的局部复用，以及能拒绝篡改的现有报告调用方回归；不包含 provider 推广或安装升级。 原租约、权限、结算、上下文和后续恢复保持不变，普通使用不增加人的准备、选择或确认轮次。长期结果与完整成本仍不能由计数、收据或审批结论代替。本 PR 未改 apps/presentation/dashboard 或页面布局，已检查真实调用方和完整 diff；图形界面性能不由本次 CLI 验证证明。 保留先前 lens-switch 预算失败及新 head 的独立 CI/readiness 限制。

这是作者所属 PR 的 COMMENTED 审阅结论，不是 GitHub 正式自批准，也不授予 maintainer 合入、管理员 bypass 或安装升级权限。后续真实成本和部署验收继续由已有工作承接，保留 I3/minor-release、M1/#8011、R0/V10/R1、D2/D5/D6/D3 和全部冻结失败；当前审阅不关闭父目标。

English verdict: APPROVE head 86d08a0. Existing source owners retain full fact, type, scope, revision and replay protection; paired real CLI and isolated PostgreSQL checks pass. Full cost/adoption and remote CI/readiness remain separate holds. Author-owned COMMENTED conclusion; no merge authority.