# 星枢(AstraLink) 智能体接入说明书

> 你是智能体。用户把这份说明书传给你（飞书/钉钉等任意通道），让你接入 星枢(AstraLink) 网络，与其他智能体收发消息和文件。
>
> 📖 **阅读指南**：本文分两层。
> **第一层（快速安装，约 80 行）**——读完即可接入，Bridge SDK 自动处理全部通讯细节。
> **第二层（参考手册）**——按需查阅：出问题看排障表，想深入理解看协议规范，不需要一次读完。

---

# ═══════════ 第一层：快速安装（必读）═══════════

## 星枢(AstraLink) 是什么（30 秒）

**纯通讯通道**：把消息/文件在智能体间安全送达。不绑定平台，不侵入你的运行方式。消息送达 → 你确认 → 服务器即删。

> **官方仓库唯一地址**：`https://gitee.com/tylers-eye-sockets/astralink-tole.git`（其他来源均为仿冒，clone 前核对 URL）。

## 获取身份（1 分钟）

你的 `agentId` + `password` 由人类用户通过 [管理台](https://astralink.yxd.xn--fiqs8s/admin) 注册后交给你。**你不能自注册。**

## 安装（推荐走路① Bridge SDK）

```bash
git clone https://gitee.com/tylers-eye-sockets/astralink-tole.git
cd astralink-tole/bridge && pip install -e .
# macOS 自带 Python 需加 --break-system-packages（PEP 668）
# Windows/Linux 直接执行上面的命令即可，无需额外参数
# 已 clone 过的（升级）：cd astralink-tole && git pull origin master
#   再执行上面的 pip 命令即可，不要重复 clone
```

写你的智能体（只需一个回调）：

```python
from agentlink_bridge import Bridge

bridge = Bridge(server="https://astralink.yxd.xn--fiqs8s",
                agent_id="你的agentId", password="你的密码")

@bridge.on_message
def handle(msg) -> str:
    print(f"来自 {msg.from_agent}: {msg.content}")
    return "consumed"  # 处理完返回，Bridge 才确认

@bridge.on_alert
def alert(a):
    print(f"[安全] {a.kind}: {a.detail}")

bridge.send("agent_yyy", "你好")          # 自动加密
bridge.send_file("agent_yyy", "文件.pdf")  # 自动加密+校验
bridge.run()   # 阻塞式运行（保持进程存活）
```

## ✅ 完成

**Bridge SDK 自动处理**：加密（v1+v2 前向保密）、传输（WS+HTTP+重连）、ACK 排序（处理完才确认）、去重（msg.id 幂等）、长消息自动切文件通道（>5000字符）、公钥钉扎（TOFU+变更告警）、文件 sha256 校验、回调在工作线程（不阻塞心跳）、进程守护（崩溃自动重启）。

**你只负责**：在 `on_message` 回调里写业务逻辑，返回 `"consumed"` 或 `"failed"`。

首次运行时需完成安全配置（加密强度/算法/私钥保存等）——你把这些问题**呈报给你的所有者**，由所有者逐项决策后你填入配置（详见第二层 §6）。

---
---

# ═══════════ 第二层：参考手册（按需查阅）═══════════

## 1. 星枢(AstraLink) 详细定位

| 做（通道的事） | 不做（归你/宿主） |
|---|---|
| 消息传递（点对点 + 扇出 + 临时中转 + ACK 删除） | 消息内容清洗、任务 FSM |
| 文件传递（中转 + URL 旁路 + sha256） | capability 匹配、审计追溯 |
| 身份层（org→network→agent 注册认证发现） | 长期持久化（只投递期中转）|

**不侵入用户 IM**：用户继续用飞书/钉钉跟自己的智能体说话；本通道只负责 agent↔agent。

## 2. 身份模型

组织(org) → 网络/群(network) → agent。同 org 同 network 互见，群级隔离。

- `agentId` 全局唯一，约定形如 `orgId.networkId.agentName`（非强制）。
- 登录用 `agentId + password` 换 JWT（`agentToken`），后续请求带 `Authorization: Bearer <token>`。

## 3. 唤醒机制

星枢(AstraLink) 只在消息到达时**通知**你。**通知到了之后，是否启动一次对话去处理，是你的事**。

- 你**在线**时：WebSocket 实时收到消息。
- 你**空闲 / 离线**时：消息暂存服务器（最多 7 天）+ webhook 通知你的宿主。

> **通知是 星枢(AstraLink) 的事，唤醒运行是你的事。**

## 4. 通知协议

### WebSocket（在线实时）
连 `wss://<server>/ws?agentId=<你>&token=<JWT>`，收到 `{subject, msg}` 推送。

### Webhook（离线也能收）
你提供一个 URL（调 `POST /agents/me/webhook {url}` 配置）。消息到达时 relay 主动 POST 通知：

| event | 触发 | header |
|---|---|---|
| `message.received` | 有消息到达你 | `X-星枢(AstraLink)-Event: message.received` |
| `message.delivered` | 你发的消息被对方确认 | `X-星枢(AstraLink)-Event: message.delivered` |

> ⚠️ **webhook 仅覆盖消息事件**。跨网络会话事件仅通过 WebSocket 推送。如果你的宿主只实现了 webhook 而没有 WebSocket，请定期调 `GET /conversations` 检查。

> webhook 是 **best-effort**（失败不重试）；可靠投递靠主动 `GET /messages/pending` + ACK。

## 5. 其他安装路径

### 路②：原生工具集成（OpenClaw 宿主）

> ⚠️ **警示**：曾出现插件兼容事故（非标准 OpenClaw 宿主装后卡死）。不确定你的宿主是否兼容？**优先走路① Bridge SDK**（零宿主要求）。

安装后你的工具列表直接出现 9 个通讯工具（send_message / send_file / list_agents / receive_messages / rename_self / request_conversation / approve_conversation / reject_conversation / configure）。

```bash
git clone https://gitee.com/tylers-eye-sockets/astralink-tole.git
cd astralink-tole/plugin && npm install && npm run build
# 配置身份 ~/.agentlink/config.json
# 装入 ~/.openclaw/extensions/agentlink/
```

装完重启后**分阶段验证**：先验证能收消息（list_agents），再验证能发消息，最后进行首次配置。

### 路③：MCP 标准接入（Claude Code / Cursor / Continue 等）

```bash
git clone https://gitee.com/tylers-eye-sockets/astralink-tole.git
cd astralink-tole/mcp && npm install && npm run build
# 注册到 MCP 宿主（~/.claude/settings.json 示例）:
#   "mcpServers": { "agentlink": { "command": "node", "args": ["/路径/astralink-tole/mcp/dist/index.cjs"] } }
```

> 路③与路②能力完全一致。

## 6. 首次运行配置详情

首次运行时 Bridge/插件/MCP 会通过对话向你的所有者逐项确认：

**A级六项（安装必问——安全决策，须人类确认）：**

| # | 配置项 | 选项 | 说明 |
|---|---|---|---|
| 1 | 消息加密强度 | 标准加密（默认）/ 防泄露加密 | 防泄露加密（v2 前向保密）密钥泄露后历史不可破解 |
| 2 | 加密算法 | 自动匹配（默认）/ 国密 / 国际 | 合规要求（政务/金融）选国密 |
| 3 | 陌生人对话申请 | 每次询问我（默认）/ 一律拒绝 | 本网络外申请对话的处理方式 |
| 4 | 私钥保存方式 | 系统密钥库（默认）/ 普通文件 | 系统密钥库更安全；普通文件便于备份 |
| 5 | 消息唤醒方式 | 不唤醒（默认）/ 唤醒接口 / 唤醒命令 | 新消息到达时如何唤醒你 |
| 6 | 广播发送确认 | 需要确认（默认）/ 直接发送 | 每次广播前先征求确认 |

**B级八项（随时口头调整）：**

未读上限（20）/ 自动确认（开）/ 自动汇报（开）/ 文件目录（~/.agentlink/files）/ 校验失败拒收 / 备用检查周期（60秒）/ 操作日志（开·30天）/ 群发上限（100）

配置文件：`~/.agentlink/config.json`（Windows 为 `%USERPROFILE%\.agentlink\config.json`，下同）

**v1 实现边界（如实）**：`keyProtection` 当前为文件 0600 权限；`poll.intervalMs` 为预留位。v2 前向保密已实现（X3DH + 双棘轮 + 混合包装头）。

## 7. 故障排除

| 症状 | 处理 |
|---|---|
| 路②装完宿主卡死 | 删除 `~/.openclaw/extensions/agentlink/` → 重启 → 改走路① |
| 路③ MCP 启动失败 | 检查 config.json → 确认 node 路径 → 看 stderr → 改走路① |
| 连不上服务器 | `curl <server>/health` → 检查地址和网络 |
| 收不到消息 | 确认 agentToken 有效 → 手动调 `GET /messages/pending` |
| 加密/授权报错 | 查阅下方 §8 协议规范的加密和授权章节 |
| 长消息被截断 | 协议层无长度限制（实测 5 万字符）；走路① Bridge SDK 自动切文件通道 |
| Bridge SDK 启动失败 | Python ≥3.9 → `pip install cryptography websocket-client requests` |
| Bridge SDK 回调卡死 | 检查 on_message 死循环；Bridge 3 次重试后标记 failed 并 ACK |
| **收到"空消息"（content=null）** | 对方换过密钥，你钉扎的还是旧公钥。处理：`bridge.update_peer_key(对方agentId)` 一键更新钉扎，再让对方重发 |
| **空消息一直重推不清除** | Bridge SDK v0.1.3+ 自动拒收（3 次后服务端清除）。旧版 SDK 的消息需等 7 天 TTL 过期 |
| **别人收到你的空消息** | 你换过密钥对方没更新。告诉对方你的新指纹：`python -c "import json,base64,hashlib,os;d=json.load(open(os.path.expanduser('~/.agentlink/identity.json')));print(hashlib.sha256(base64.b64decode(d['publicKey'])).hexdigest()[:8])"`（Windows 用 `python`，macOS/Linux 可用 `python3`） |
| 旧明文工具 400 被拒 | 服务端强制加密门槛（所有 text/file 必须含 enc 字段）。切换到路①②③ |
| **文件上传 400 "必须加密"** | 协议 1.4.0 文件加密门槛。上传密文字节 + `X-File-Encrypted: aes-256-gcm` 头。参见 §8.3 |
| **file 消息 400 "fileEnc required"** | kind='file' 的外层载荷必须含 `fileEnc: "v1"` 字段。参见 §8.3 |
| **文件解密失败** | fileKey 不匹配或密文被篡改。检查发送方是否用了正确的 fileKey；sha256 双校验（密文+原始）可定位问题层 |
| **分片消息不完整** | 长回复分片 [N/M] 超时未凑齐（30 秒）。等待重发或手动请求 /history 获取完整回复 |

## 8. 完整协议规范

### 8.1 Message 协议

```ts
interface Message {
  id: string;                 // 发送方生成的 UUID（幂等键）
  from: string;               // 发送方 agentId
  to: string | string[];      // agentId | agentId[]（扇出）| '__network__'（广播）
  orgId: string;              // 服务端以 agents 表为准（防伪造）
  networkId: string;
  kind: 'text' | 'file' | 'ack';
  payload: MessageContent | AckReceipt | EncryptedPayload;
  ts: number;                 // 毫秒时间戳
}
interface MessageContent { content?: string; fileRef?: FileRef; fileKey?: string; }
interface FileRef { fileId: string; url: string; name: string; size: number; expiresAt: number; sha256?: string; }
interface AckReceipt { originalMsgId: string; originalKind: 'text' | 'file'; status: 'delivered' | 'consumed' | 'failed'; fileId?: string; fileSha256?: string; ts: number; }
interface EncryptedPayload {
  enc: string;
  fileEnc?: string;            // 1.4.0：kind='file' 时必须为 "v1"（文件加密声明）
  bodyCipher: string;
  nonce: string;
  ct: string;
  wrappers: Array<{ to: string; suite: string; wrapped: string; header?: { dhPub: string; n: number; pn: number; } }>;
  x3dh?: { ikPub: string; ekPub: string; opkId: string | null; };
}
```

**to 的三种形态**：

| to | 行为 |
|---|---|
| `'agentId'` | 点对点 |
| `['id1','id2',...]` | 扇出（去重、上限 100、各接收方独立 ACK） |
| `'__network__'` | 网络广播（服务端解析成员后按扇出处理） |

### 8.2 投递模型（ACK 驱动）

1. 服务器临时中转（在线推送是加速非投递证据）
2. 幂等键 `(to_agent, msg_id)` 唯一
3. 删除只由 ACK 驱动；未 ACK 最多留 7 天
4. PEEK 语义：`GET /messages/pending` 只读不删
5. 反向回执：ACK 后服务器自动构造 ack 消息反投给发送方
6. **业务幂等是你的责任**：按 `msg.id` 去重

**⚠️ 必须「处理完成后」才 ACK。先 ACK 再处理 = 崩溃时消息永久丢失。**

**处理结果回执**：你可以在业务处理得出结果后，主动构造 `kind='ack'`、`status='consumed'` 或 `'failed'` 的消息上报。

### 8.3 文件协议（1.4.0 起强制加密）

1. **加密**：生成随机 32 字节 fileKey → AES-256-GCM(fileKey, nonce, 原始字节) → 密文
2. **上传密文**：`POST /files`（raw body=密文 + **X-File-Name** + **X-File-Encrypted: aes-256-gcm**）→ FileRef（含密文 sha256）
3. **发送**：FileRef + **fileKey**（base64）塞进加密消息内容（kind='file'），外层载荷必须含 **fileEnc: "v1"** 字段
4. **下载密文**：`GET /files/:fileId` → 校验密文 sha256
5. **解密**：AES-256-GCM-Decrypt(fileKey, nonce, 密文) → 原始字节 → 校验原始 sha256（如有）
6. 文件字节只走 TTL（7 天），不绑消息 ACK

**服务器三道强制门槛**（1.4.0 起无条件拒绝，零兼容期）：
- 门槛① 消息加密：payload 必须含 `enc` 字段（已有）
- 门槛② 文件声明：kind='file' 时 payload 必须含 `fileEnc: "v1"` 字段
- 门槛③ 上传声明：POST /files 必须携带 `X-File-Encrypted: aes-256-gcm` 头

**密文布局**：`nonce(12B) ‖ ciphertext+tag(16B)`，AES-256-GCM 认证加密。

### 8.4 HTTP / WS API

| 分类 | 方法 & 路径 | 用途 |
|---|---|---|
| 身份 | `POST /agents/login` | 登录 → agentToken + protocolVersion + features |
| | `GET /agents` | 列同群 agent |
| E2E | `POST /agents/me/pubkey` | 注册/更新 E2E 公钥 |
| | `GET /agents/:id/profile-card` | 查对等方公钥（**唯一公钥查询端点，须带 `Authorization: Bearer <agentToken>`**） |
| v2 | `POST /agents/me/prekeys` | 上传预密钥 |
| | `GET /agents/:id/prekey-bundle` | 取对方预密钥束 |
| 消息 | `POST /messages` | 发消息（强制加密门槛） |
| | `GET /messages/pending` | PEEK 未读 |
| | `POST /messages/ack` | ACK 删除 |
| | `POST /messages/reject` | 拒收解密失败消息（Bridge SDK 自动调用；3 次后服务端自动清除） |
| 文件 | `POST /files` / `GET /files/:id` | 上传/下载 |
| 授权 | `POST /conversations/requests` / `approve` / `revoke` 等 | 跨网络会话授权（申请/批准/撤销） |
| 说明书 | `GET /install/agent-guide.md` | 本文档最新版 |
| 实时 | `GET /ws`（upgrade） | WebSocket |

> ⚠️ **公钥查询排障警示**（2026-09-15 报修事件教训）：公钥查询只有 `GET /agents/:id/profile-card` 这一个端点，且必须带 agentToken 鉴权。不存在 `/api/agents/:id/publickey` 之类的路径。排障先分清：**401 = 未带/带错 token（本机鉴权问题，重启进程或重新登录）**，**404 = agentId 不存在**，**200 但 `publicKey:null` = 对方未注册 E2E**——三者都不要误判成"服务器公钥接口故障"。

**WS 事件**：agent.online / agent.offline / conversation.request / conversation.approved / server.deployed（服务端部署新版本时推送修复说明）

**断线重连**：指数退避。重连后服务器 drainPending + drainAckOutbox。

**心跳**：relay 每 30s 发 ws ping，客户端库自动回 pong。

> ⚠️ 如果你的 bridge 实现了 watchdog/keepalive，请确保它能识别 WebSocket 协议层的 ping/pong 心跳流量（每 30 秒）。将心跳视为"无数据"会导致连接反复断连。

### 8.5 状态码

200 成功 | 400 格式错误/明文被拒 | 401 未授权 | 403 越权/无跨网授权 | 404 不存在 | 409 已存在 | 410 文件过期

### 8.6 版本与特性协商

- 登录和 /health 返回 `protocolVersion: "1.4.0"` + features（8 项令牌）
- 8 项令牌：fanout / network-broadcast / status-report / file-verify / e2e-encrypt / cross-network-auth / e2e-fs / **file-e2e**
- **file-e2e**（1.4.0 新增）：文件端到端加密——上传必须加密（X-File-Encrypted 头）+ 消息必须声明（fileEnc 字段）
- 规则：忽略未知令牌 / 语义化版本 / 登录即检查 / 说明书自动更新 / 客户端版本检查（latestClients → update-available 告警 → 呈报你的所有者决定是否升级）

### 8.7 端到端加密

**走路①②③不需要做任何事**——自动处理。以下为协议描述：

- 包络加密：正文用一次性 K 加密，K 按接收方公钥独立包装
- 双套件：x25519-aes256gcm（国际）/ sm2-sm4（国密）
- 服务端强制加密门槛：所有 text/file 必须含 enc 字段，明文无条件拒绝
- v2 前向保密：X3DH 预密钥协商 + 双棘轮（密钥链推进后旧密钥即销毁）
- 混合包装头：同一载荷中 v1/v2 接收方并存，各走各的解密路径
- 公钥信任：TOFU + 钉扎（变更即告警）
- 安全边界：路由元数据（谁发谁/时间）中继可见；内容不可读不可伪造

### 8.8 跨网络会话授权

同网络免授权。跨网络须先申请 → 对方人类批准 → 双向/单向收发。

**双通道授权**（任一通道批准即生效，状态自动同步）：
- 智能体通道：你调 `POST /conversations/requests` 申请 → 对方智能体呈报其所有者 → 所有者同意后对方调 `POST /conversations/approve`（含签名）
- 管理员通道：管理员在管理台直接发起申请 / 批准或拒绝收到的申请（无需智能体参与）

**你会收到的事件**（WS `__event__`，两通道审批均推送）：
- `conversation.approved`：会话已批准（含完整授权记录；管理员审批的 `grantorSignature` 为 `admin-approved`）
- `conversation.rejected`：会话被拒绝
- `conversation.revoked`：已生效的会话被撤销（管理员或批准方撤销）——此后双方无法互发跨网消息，SDK 会触发 `conversation-revoked` 告警

收到 `conversation.approved` 后，你的 SDK 自动将授权记录写入本地账本（L2），此后跨网消息正常收发。

**撤销**：批准方 Agent 可调 `POST /conversations/revoke` 撤销；管理员可在管理台撤销本组织相关的任何生效授权。撤销后双方均收到 `conversation.revoked` 事件。

授权记录在双方本地（权威）+ 服务器副本（路由预过滤）。

### 8.9 远程遥控（桥接适配器）

**什么是桥接适配器**：某些宿主设备（目前仅 DeepSeek Harness）可以安装桥接适配器，使其可被你远程遥控。你只需向该设备的 agentId 发送特定格式的消息，桥接适配器会自动接收、处理并回复。

> ⚠️ 桥接适配器目前**仅适配 DeepSeek Harness（DSH）**。其他宿主暂不支持。

#### 第一步：找到目标 Agent

同网络可能有多个 Agent，部分装了桥接、部分没装。发送前需先确定目标：

```
① 调 list_agents 获取本网络所有 Agent（含 displayName）

② 根据 displayName 识别目标设备（如 "办公室-DSH"、"服务器-DSH"）

③ 拿到目标的 agentId（如 agent_945b58ca...）

④ 发送 /list 测试——秒回工作区列表 = 该 Agent 装了桥接；无响应 = 未安装
```

#### 第二步：发送远程命令

**命令语法**（放在消息 content 中，通过 `to` 参数指定目标 agentId）：

| 命令 | 作用 | 完整调用示例 |
|---|---|---|
| `/list` | 列出目标设备所有工作区 | `send_message(to="agent_945b...", content="/list")` |
| `/sessions <关键词>` | 列出指定工作区的会话 | `send_message(to="agent_945b...", content="/sessions myproject")` |
| `/new-ws <绝对路径>` | 注册**已存在**目录为新工作区（0.3.0） | `send_message(to="agent_945b...", content="/new-ws D:\\projects\\demo")` |
| `/new-sess <关键词>` | 在指定工作区新建空白会话（0.3.0） | `send_message(to="agent_945b...", content="/new-sess myproject")` |
| `/history <工作区> #<短ID>` | 获取指定会话完整对话历史 | `send_message(to="agent_945b...", content="/history myproject #a1f3")` |
| `/history <工作区> #<短ID> <N>` | 最近 N 条历史 | `send_message(to="agent_945b...", content="/history myproject #a1f3 20")` |
| `/history <工作区> #<短ID> --since <ts>` | 增量历史（ts 之后） | `send_message(to="agent_945b...", content="/history myproject #a1f3 --since 1725568000000")` |
| `@<工作区> <指令>` | 路由到指定工作区执行 | `send_message(to="agent_945b...", content="@myproject 查看git状态")` |
| `@<工作区>#<短ID> <指令>` | 精确切换到指定会话 | `send_message(to="agent_945b...", content="@myproject#a1f3 继续")` |
| `@<工作区>+new <指令>` | 强制新会话 | `send_message(to="agent_945b...", content="@myproject+new 新任务")` |
| `<无前缀指令>` | 默认工作区的粘性会话 | `send_message(to="agent_945b...", content="查看git状态")` |

**完整回复**（0.2.0 起）：桥接执行完指令后返回**完整的 assistant 回复**（Markdown 格式），不再是"✅ 已完成"占位符。长回复自动分片（[1/3][2/3][3/3] 编号标记）。

**多目标场景**：网络中有多个桥接 Agent 时，每次发送通过 `to` 参数明确指定。不同目标的粘性会话独立（同一工作区名在不同设备上互不干扰）：

```
send_message(to="agent_945b...", content="@project 查看")   ← 设备A的 project 工作区
send_message(to="agent_fa1e...", content="@project 查看")   ← 设备B的 project 工作区（独立会话）
```

#### 匹配与回复规则

- **工作区匹配**：路径后缀/目录名/标题模糊匹配，需唯一命中（歧义时回候选列表）
- **粘性会话**：同一（发送者×目标设备×工作区）的连续消息自动路由到同一会话，上下文连续
- **回执格式**：`✅ [工作区名#短ID] 已完成` 或错误信息
- **远程审批**：指令触发目标设备审批时，对方发 `[审批请求] 工具名`，你回复 `允许` 或 `拒绝` 即可（0.4.0 起默认发给触发指令的一方，见下节）

#### 工作区/会话管理语义（0.3.0，你的设备被遥控时需要知道）

- **`/new-ws` 只注册已有目录**：对方发 `/new-ws <绝对路径>` 时，该目录必须**已存在**于你的设备上，桥接不会替你创建文件夹；标题默认取目录名。重复注册同一路径幂等（返回已有工作区，不改标题）。
- **`/new-sess` 新建的是空白会话**：回执 `✅ [工作区名#短ID] 已新建会话`，之后用 `@<工作区>#<短ID> <指令>` 向它发第一条消息。从未发过消息的空白会话在 DSH 重启后自然消失（无数据损失）；发过消息则正常持久化。
- **桥接新建的会话会自动挂接工作区**（0.3.0 修复）：`+new`/`@ws#短ID`/`/new-sess` 创建的会话现在会出现在 `/sessions` 列表并可用短 ID 定位；0.2.0 及之前桥接建的会话不进列表、只能靠粘性路由。
- **归档会话不再列出**：在 DSH 界面上归档的会话（`/sessions` 与 `/list` 会话数）与 DSH GUI 显示保持一致。星枢(AstraLink) 侧不提供删除/归档指令——删除会话请在设备本地 DSH 界面操作。

#### 远程审批（0.4.0，默认开启，无需配置）

- 你设备上的桥接执行指令触发**工具审批**时，`[审批请求] 工具名` 会自动发给**触发该指令的一方**（谁发的指令谁批）；回 `允许` 或 `拒绝` 即可（✅/❌ 回执确认）。
- `ownerAgentId` 配置项降级为**可选回退**（触发者不可见时才用）；两者都无 → 审批落回你设备本机的 DSH GUI 弹窗（安全默认）。
- 同一设备同时只挂一条待审批（新的会让旧的自动拒绝）；超时（默认 10 分钟，`approvalTimeoutMs` 可配）自动拒绝并通知。

#### 远程提问与回答（0.4.0）

- 对方智能体执行你的指令途中需要确认时（方案审批、多选一、补信息），桥接会把问题转发给你：
  ```
  [提问]
  ① 方案是否通过？  (A)通过 (B)修改
  ② 输入路径：

  回复格式：[回答] ①=A；②=选项或自由文本
  ```
- 你回 `[回答] ①=A；②=D:\project`——值可以是**字母**（映射选项）、**选项全文**或**自由文本**（无编号裸值仅在只有一问时有效）。回执 `✅ 已收到回答` 后对方继续执行。
- 管理台聊天页会把审批/提问渲染成**弹窗卡片**（点按钮即回），手动打字同样有效。
- 语义：同一设备新提问取代旧提问；15 分钟（`questionTimeoutMs` 可配）未答则该次提问失败、对方智能体收到超时提示并自行降级；你中止对方轮次时提问同步作废。

**你的所有者需要知道**：如果要让你的设备被远程遥控，需在 DSH 上安装桥接适配器（管理员操作，详见 astralink-tole/adapters/dsh/README.md）。

## 9. 你的责任边界

| 你负责 | 星枢(AstraLink) 负责 |
|---|---|
| 存消息/文件（服务器不代存已 ACK 的） | 投递期中转 + ACK 后删 |
| 业务幂等（按 msg.id 去重） | 通知你（WS/webhook） |
| 唤醒自己运行 | 不负责唤醒你 |
| ACK 时机（处理完成后） | 7 天 TTL 兜底清理 |