fix(runtime): unify standard interaction terminal states

迭代/03.sdk_and_coreapp/04.acceptance_review.md

@@ -21,17 +21,17 @@
 | ✅ | P1 | A3 | SDK 暴露完整 workspace，MiniApp 可看到其他 App 实例和全局焦点栈 | `lineup-runtime.ts`、`miniapp-sdk.ts` | 已从 `LineUpMiniAppSDK` 删除 `workspace()`，不再把全局实例和焦点栈交给 bundled MiniApp。 |
 | ✅ | P1 | A4 | 同一个 App 的多个 instance 之间 Inbox 订阅没有隔离 | `lineup-runtime.ts` | 已按 `app_scope + conversation_id + instance_id` 过滤实时订阅，并补充双实例回归测试。 |
 | ✅ | P1 | A5 | Interact 使用专用 `ChatRuntimeSDK` 旁路，没有和其他 MiniApp 共用 SDK v1 语义 | `tauri/src/runtime/app-management/app-sdk.ts`、`lineup-runtime.ts`、`main.ts` | 已明确为“通用 Runtime 操作 + 可信 UI 投影”：Interact 保留可信 DOM 和 IM 展示，但行为统一走 `sdk.runtime.*`，展示走 `sdk.ui.*`；旧扁平方法仅作兼容别名。 |
-| 🔴 | P1 | A6 | 标准交互的超时、dismiss、提交和答案 schema 没有由 Runtime 统一裁决 | `lineup-runtime.ts:507-558, 798-815`、`agent-interaction-service.ts:93-101` | 必须让 Interaction 与 Kernel Tool 共用一个终态迁移；超时/dismiss 要写唯一 Agent outbox；提交前按 `notice/choice/confirm/input` 校验答案，拒绝重复和竞态。 |
+| ✅ | P1 | A6 | 标准交互的超时、dismiss、提交和答案 schema 没有由 Runtime 统一裁决 | `lineup-runtime.ts`、`agent-interaction-service.ts`、`standard-interaction-contract.ts` | 已让本地提交、取消、过期和 Agent dismiss 同步推进 Interaction 与 Kernel；notice 也会完成 Kernel；四种答案在 Runtime 按固定 schema 校验，默认有效期和重启过期均只写一条 outbox。 |
 | 🔴 | P2 | A7 | 迭代文档中的 Tool 名称和代码 Manifest 不一致 | 主文档 §5.2/§5.3；`reference-miniapps.ts` | 统一契约、Manifest、fixture、Agent Inventory 和验收脚本中的名称。 |
 | 🔴 | P2 | A8 | 当前 Task Dashboard/Whiteboard Surface 主要是 Host 硬编码的静态页面，无法证明真实业务 UI 在各自受限 Surface 内运行 | `main.ts:180-198`、`isolated-surface-host.ts` | 至少提供能代表业务边界的受限 Surface fixture，并验证 MiniApp 业务逻辑不能取得 Host DOM 或 Runtime 内部。 |
 | 🔴 | P2 | A9 | MiniApp progress 没有进入可恢复的 Tool 状态记录 | `miniapp-tool-state.ts` | 如果契约要求进度可恢复，需持久化最后进度并覆盖 Runtime 重启；否则修改文档，明确 progress 只是一种可丢失事件。 |
-| ⚪ | P3 | A10 | App session 记录和 opened/closed 事件没有显式保存 `agent_id` / `conversation_id` 字段 | `app-instance-manager.ts`、`lineup-runtime.ts:203-209,1052-1058` | Envelope 有部分上下文，但应与文档最低字段要求统一，避免未来多 Agent 或跨会话时产生歧义。 |
-| ⚪ | P3 | A11 | 旧的 `openExtensionApp` 公开入口仍提供较宽的旁路能力 | `lineup-runtime.ts:286-300` | 清理旧兼容入口，或明确它只为历史测试保留并加上 instance/call 状态约束。 |
+| 🔴 | P3 | A10 | App session 记录和 opened/closed 事件没有显式保存 `agent_id` / `conversation_id` 字段 | `app-instance-manager.ts`、`lineup-runtime.ts:203-209,1052-1058` | P3 也必须在本迭代处理：App session opened/closed 事件和持久化记录补齐两个上下文字段。 |
+| 🔴 | P3 | A11 | 旧的 `openExtensionApp` 公开入口仍提供较宽的旁路能力 | `lineup-runtime.ts:286-300` | P3 也必须在本迭代处理：删除公开旁路，或让它只返回受统一 SDK v1 约束的适配器。 |
 
 ## 1. 已验证通过的部分
 
 - `npm run build` 通过。
-- `npm test -- --run` 通过：29 个测试文件、127 个测试。
+- `npm test -- --run` 通过：29 个测试文件、129 个测试（含默认有效期、重启过期和答案 schema 回归）。
 - `git diff --check` 通过。
 - 使用独立 `agent-browser` 会话登录本地测试账号成功。
 - 主 IM 页面、同步状态、应用子会话区域和“启用任务面板”入口可见。
@@ -75,28 +75,30 @@ Interact 仍然可以使用可信 DOM，但它的 SDK 已明确拆成两层：`s
 投影没有 Transport、Store、Agent 原始 Envelope 或 Host 特权。旧的扁平 `ChatRuntimeSDK` 方法只保留为
 兼容别名，避免把 Interact 的 UI 适配误解成另一套协议。
 
-### A6：标准交互有两套状态，可能互相打架
+### A6：标准交互有两套状态，可能互相打架（已修复）
 
-- `expireToolCall()` 只修改 Kernel Tool 状态，没有调用 `AgentInteractionService.expire()`，也没有发送 expired outbox。
-- Agent dismiss 修改了 Interaction，但没有同步修改 Kernel Tool 状态。
-- submit 先改 Kernel，再改 Interaction；如果第二步失败，会留下两套状态不一致。
-- 提交结果是任意对象，没有按四种交互类型校验；例如 choice 的 UI 可以提交多选数组，而冻结契约要求的是单选结果。
+已统一处理以下路径：
+
+- 本地提交、取消、过期和 Agent dismiss 都同时更新 Interaction 与 Kernel Tool；任一侧不能迁移时会恢复另一侧的旧快照。
+- notice 在呈现完成时也会同步完成 Kernel Tool，避免重启后出现 Interaction 已完成而 Tool 仍 pending。
+- `choice` 只接受 `{ action_id }`，且 action 必须来自请求；`confirm` 只接受 `{ approved: boolean }`；`input` 只接受 `{ text: string }`，并校验必填和长度。
+- 终态只创建一次对应的 Tool result/cancel outbox；重复提交、重复 dismiss 和已过期提交不会再次写出站消息。
 
 这会导致 UI、持久化记录和 Agent 看到的最终结果不一致，属于当前迭代必须修复的正确性问题。
 
 ## 3. 验收结论
 
-当前结论为（完成本轮 P1-1～P1-3 后）：
+当前结论为（完成本轮 P1-1～P1-4 后）：
 
 ```text
 功能回归：通过
 基础构建与自动化测试：通过
 真实登录和消息发送：通过
-App 架构边界：部分通过（A1/A2/A5 已实现，A2 待浏览器复验；A6 仍不通过）
-MiniApp 隔离与 SDK 规范：A1～A5 已通过，标准交互状态机仍不通过
-标准交互终态契约：不通过
-迭代整体验收：不通过，继续处理 A6；A2 需在最终浏览器复验中确认
+App 架构边界：部分通过（A1/A2/A5/A6 已实现，A2 待浏览器复验）
+MiniApp 隔离与 SDK 规范：A1～A6 已通过，仍需处理后续 P2/P3
+标准交互终态契约：通过
+迭代整体验收：不通过，继续处理 A7～A11；A2 需在最终浏览器复验中确认
 ```
 
-本次验收没有修改实现代码。下一步应先处理 P1，再重新运行自动化测试和真实浏览器验收；P2/P3 不能被静默
-删除，至少要在本迭代结束前有明确的修复或延期决定。
+本轮独立验收由子 agent 完成。A6 已在本轮修复并通过自动化验证；下一轮继续处理 A7～A11，并重新执行
+独立验收。P2/P3 不能被静默删除，必须在本迭代结束前解决或保留明确的延期记录。