config

type ApproverConfig struct {
	Executor  string
	Model     string
	Timeout   time.Duration
	Blacklist []string
}

type Config struct {
	Listen  string
	Token   string
	DataDir string
	// Relay 是 executor 出站 relay 配置；nil 表示不启用 relay 出站。
	Relay *RelayConfig `yaml:"relay,omitempty"`
	// RepoRoot 是自动登记（B62）的 clone 落点根目录：首次派发到某台机器、而
	// 那台机器上还没有该项目时，agentd 会把仓库 clone 到这里，实际落点为
	// RepoRoot/<登记名>。空=未配置，Load 会补 <DataDir>/repos。
	//
	// 为什么放顶层而不是放进 Target：Target 是在**协调者本地**被读取的
	//（见 cmd/pull.go 的 cfg.Targets[task.Target]），放那儿会让「仓库放哪」
	// 变成协调者的本地状态，换一台协调者机接管就得重配。放顶层的语义是
	// 「每台执行机自己决定它的仓库放在哪」。
	// yaml:"repo_root"：strict 解码器（KnownFields）按 tag 匹配键名，不加 tag 时
	// yaml.v3 会把 RepoRoot 映射成 reporoot，与 README/设计文档里的 repo_root 不符。
	RepoRoot string `yaml:"repo_root"`
	// PathDirs 是本机额外的可执行文件搜索目录：agentd 启动时按序追加到 PATH 末尾
	// （见 internal/pathenv）。内置已知目录表没覆盖到的安装位置写在这里。
	//
	// 为什么放顶层而不是放进 Executor：它描述的是「**这台机器**上工具装在哪」，
	// 不是执行者的属性——与 RepoRoot 同一个道理。
	//
	// omitempty 是硬要求，不是风格：配置以 KnownFields(true) 严格解析，未知键让
	// agentd **启动失败**。没有 omitempty 时，新版 Save 会把 path_dirs: [] 写进
	// 每一台机器的 config.yaml，而一台还没换版的旧 agentd 读到它就再也起不来了
	//（B59 spec D7 同款，方向相反）。
	PathDirs []string `yaml:"path_dirs,omitempty"`
	// Proxy 是 handoff **自身**出网时使用的代理地址，形如 http://host:port、
	// https://host:port、socks5://host:port、socks5h://host:port。
	// 空 = 不配，沿用 HTTPS_PROXY/HTTP_PROXY/NO_PROXY 环境变量（现行为不变）。
	//
	// 作用范围只有两处：更新链路的 HTTP 出网（查 release、下资产）与 agentd 的
	// git clone/fetch。**不作用于协调者↔agentd 链路**——那是 LAN/loopback 地址，
	// 代理化轻则每次请求多绕一跳，重则 socks5 代理解析不了 100.x.y.z 直接断链，
	// 而这条链路的可达性是 handoff 的命根子。也**不作用于 executor**：executor
	// 的出网归 env 段（B19），两者故障域不交叉——代理挂了只影响升级，不影响任务执行。
	//
	// 为什么放顶层而不是放进 Target：它描述的是「**这台机器**怎么出网」，
	// 与 RepoRoot / PathDirs 同一个道理。
	//
	// omitempty 是硬要求，不是风格：配置以 KnownFields(true) 严格解析，未知键让
	// agentd **启动失败**。没有 omitempty 时，新版 Save 会把 proxy: "" 写进
	// 每一台机器的 config.yaml，而一台还没换版的旧 agentd 读到它就再也起不来了
	//（PathDirs 同款）。
	Proxy string `yaml:"proxy,omitempty"`
	// EnvForward 是要转发进终端会话的环境变量名单（见 internal/ptyhost）。
	//
	// 它解决的是 PathDirs 解决不了的**另一类**问题：SSH_AUTH_SOCK 这类变量由
	// launchd / ssh-agent **按会话注入**，不来自任何 dotfile，因此 login shell
	// 的 rc 链**无法**像恢复 PATH 那样把它恢复出来。agentd 以服务形态托管时，
	// 终端里的 ssh / git push 会因此全部失败。
	//
	// 三态语义（**不要**在 Load 里填默认值）：
	//   nil        → 用内置默认清单 ptyhost.DefaultEnvForward()（当前是 SSH_AUTH_SOCK）
	//   非 nil     → 完全以配置为准
	//   []（显式） → 一个都不转发
	// 一旦 Load 把默认值填进结构体，下一次 Save 就会把 env_forward 落进
	// config.yaml，omitempty 形同虚设，旧 agentd 照样被顶死。
	//
	// omitempty 是硬要求，理由同 PathDirs（B59 spec D7）。
	EnvForward   []string `yaml:"env_forward,omitempty"`
	StallTimeout time.Duration
	Targets      map[string]Target
	// Approver 是分级审批链的廉价模型审批者配置。Executor 空=不启用审批链
	//（二期前的现行为：权限请求直接走人工协调者）。
	Approver ApproverConfig
	// Executor 是任务的缺省执行者选择配置。
	Executor ExecutorConfig
	// Terminal 是 dispatch 成功后是否弹终端实况的配置（Auto 默认 false，见 TerminalConfig）。
	Terminal TerminalConfig
	// Sync 是任务结束后自动同步远程任务分支到本地的配置。
	Sync SyncConfig
	// Env 是 agent（executor）名 → env 文件名的映射：该 agent 启动时注入该文件里的
	// 环境变量。文件名必须是 <DataDir>/env/ 下的纯文件名（含路径分隔符会被拒绝）。
	// 未配置的 agent 不注入。任务执行者与审批者共用同一份（见 B19 spec §4）。
	Env map[string]string
	// Discipline 是 executor 名 → 纪律块文件名的映射：派发该 executor 的任务时，
	// 把该文件的内容作为「执行纪律」注入首回合 prompt。文件名必须是
	// <DataDir>/discipline/ 下的纯文件名（含路径分隔符会被拒绝）。
	//
	// 三档语义（与 Env 刻意不同的是第三档）：有非空值用该文件；显式空串关闭注入；
	// 未出现该键用内置默认。Env 在未出现该键时是不注入。
	//
	// 为什么第三档不同：env 内容是机器特有的，猜错不如不猜；纪律块内容是 handoff
	// 通用的，不给默认等于让用户退回人工粘贴到 plan 头部（见 B129 spec §2.4）。
	Discipline map[string]string
	// ProcFence 是 executor 进程围栏配置。默认启用、保留 10%。
	ProcFence ProcFenceConfig `yaml:"proc_fence,omitempty"`
	// Web 是浏览器控制台相关配置。
	Web WebConfig
}

type ExecutorConfig struct {
	Default string
	Model   string
}

type ListenClass int

type ProcFenceConfig struct {
	Disabled     bool    `yaml:"disabled"`
	ReserveRatio float64 `yaml:"reserve_ratio"`
	// TaskBudget 是**单个任务**名下的进程数告警线，超过即发一次
	// task_proc_pressure 事件唤醒审核者。0 = 关掉这一档。
	//
	// 为什么不是把围栏值调小：RLIMIT_NPROC 的内核判定是「该 uid 当前进程总数
	// 是否超过调用者软限」，不是「这棵进程树的后代数」。给每个 shim 装 300 的
	// 效果是「uid 总数一过 300 所有 shim 一起 fork 失败」，第二个任务会被第一个
	// 饿死——表达不了每任务额度，只能换成 watchdog 按任务点名（B93 spec §2.2）
	TaskBudget int `yaml:"task_budget"`
	// TaskHardLimit 是单个任务的进程数硬上限，超过即强制清扫并落 failed。
	// 0 = 关掉这一档。
	//
	// 两档的分工：TaskBudget 是「叫醒人」，TaskHardLimit 是「不等人了」。
	// 只有一档要么太吵（每次都杀）要么太晚（人没醒机器就没了）。
	TaskHardLimit int `yaml:"task_hard_limit"`
}

type RelayConfig struct {
	URL        string `yaml:"url"`
	Credential string `yaml:"credential"`
	Node       string `yaml:"node"`
}

type SyncConfig struct {
	Auto bool
}

type Target struct {
	Addr       string `yaml:"addr,omitempty"`
	Token      string `yaml:"token,omitempty"` // relay 形态下额外用作 E2E PSK 源（HKDF 派生），relay 不可见。
	User       string `yaml:"user,omitempty"`
	Relay      string `yaml:"relay,omitempty"`      // relay WSS URL；与 Addr 互斥。
	Credential string `yaml:"credential,omitempty"` // coordinator 的 CONNECT 凭证。
	Node       string `yaml:"node,omitempty"`       // relay 上的 executor 节点名。
}

type TerminalConfig struct {
	Auto bool
}

type WebConfig struct {
	AllowedHosts []string `yaml:"allowed_hosts"`
}