新增: 审批超时后端兜底,覆盖重启恢复场景

前端已有审批超时定时器(设置页可选 0/5/15/30/60 分钟),负责会话
内运行的审批超时检测。但应用重启后前端定时器丢失,从数据库恢复
的待审批无人计时,会永久卡死会话。

本次补充后端兜底机制:

- 待审批记录创建时刻,用于超时判定
- 在审批恢复入口检测超时,超时自动取消并写入审计
- 应用启动时从设置恢复超时配置(默认 15 分钟,0 为禁用)
- 新增读写超时配置的接口,设置页可改
- 与前端共用同一个配置项,保证单一真相源

同时更新待办文档,把已实现项标记为完成。

docs/todo.md

@@ -159,7 +159,7 @@ graph TD
 **层2 待决策(政策范围)**:用户"默认直接访问"是否要求更宽语义——workspace_root 外的非黑名单路径也默认放行(翻转 `is_authorized` 为黑名单制,实质去白名单)?涉 P0 去固定根决策方向,见待决策.md。dev 自用场景层1 即满足。
 
 **关联**:F-260619-03(todo :528 b22e9ae 回归源)/ 待决策 workspace_root 分发适配(方案b 用户项目绑定)/ memory [[devflow-project-path-binding]]
-**状态**:🔴 待用户授权(层1 1 行修法可直改;层2 待政策澄清)
+**状态**:✅ 层1已修(无条件插入 workspace_root,`state.rs:839`);层2政策范围待澄清
 
 ---
 
@@ -195,7 +195,7 @@ graph TD
 
 **🟡 P1 应该改进 (9项)**:
 
-✅ **SMELL-P1-6** — **[P1🟡]** String 类型滥用替 newtype/enum —— execution_id/status/tool_type 等 5+ 处改强类型
+✅ **SMELL-P1-6** — **[P1🟢 已决·待推进]** String 类型滥用替 newtype/enum —— execution_id/status/tool_type 等 5+ 处改强类型(b 路线:仅 Rust 内部 newtype)
 
 **🆕 sweep 派生登记（2026-06-18·workflow w2xkw4ybh data 抽出 + wo7d6zdqm 多维度 sweep）**:
 
@@ -218,19 +218,20 @@ graph TD
 
 - ✅ **UX-260617-28 [INFO]** — 已决策:现状够用,不出问题不升级
 
-### 🔧 2026-06-19 文件拆分升级（3 代理并行分析·建任务·未实施）
+### 🔧 2026-06-19 文件拆分升级（核验结论：全部完成）
 
-> 大文件统计(总 51143 行)+ 3 代理并行分析拆分方案。与已有 SMELL-P0-2(tool_registry)/SMELL-P0-3(AiChat.vue)/SMELL-P1-9(crud.rs) 合并。**通用执行原则**:可见性升级(私有 fn/struct → pub(super))/ 测试跟随被测函数 / **不改逻辑不改 await 边界不改签名** / 三段式验证(cargo check+test+clippy 分 crate,对齐 [[workflow-cargo-timeout-wrap]])/ 保守方案(热路径整块搬不拆函数体)。
+> **2026-06-28 核验**：三项 God 文件拆分已全部完成：
+> - **tool_registry.rs** ✅ 1091行单函数已拆为按域注册函数
+> - **AiChat.vue** ✅ 4026→**767行**(已抽子组件)
+> - **crud.rs** ✅ 2212→拆为 `crud/` 下11个文件
 
-**P1**
+**P1 剩余(可继续推进)**
 
-- [ ] **REFACTOR-260619-04 [P1·部分已做]** — **ToolCard.vue 拆分**。**2026-06-24 核验**:ToolCard 已从 1527→**428 行**,已抽 `ToolResultBody.vue` + `useToolCardHeader.ts` + `useToolCardRender.ts`(主体瘦身完成);但原计划的 `useToolFormat.ts`/`useToolApproval.ts`/`ToolCardHeader.vue`/`ToolApproval.vue` 未独立(当前 useToolCard/useToolCardHeader/useToolCardRender 三模块)。剩余:审批状态机独立(useToolApproval)+ 头部组件(ToolCardHeader)。风险:折叠态 shouldKeepOpen 共享 / 审批状态机断链(B-260616-08 回归)/ ToolCardList 批量审批联动。— `src/components/ToolCard.vue` + `ToolCardList.vue`
+- [ ] **REFACTOR-260619-04 [P1·部分已做]** — **ToolCard.vue 拆分**。已从 1527→**428行**,剩余:审批状态机独立(useToolApproval)+ 头部组件(ToolCardHeader)。风险:折叠态 shouldKeepOpen 共享 / 审批状态机断链(B-260616-08 回归)/ ToolCardList 批量审批联动。— `src/components/ToolCard.vue` + `ToolCardList.vue`
 
 **P2 暂缓(窗口未到/收益低)**
 
-- [ ] **REFACTOR-260619-09 [P2 暂缓]** — **context.rs(1332)等 F-15 压缩链路稳定再拆**。生产 745+测试 587。impl 跨文件方案(同 crate 多 impl 块,零字段可见性改动)。先 sanitize.rs(最大连续块 ~184)。当前 context.rs 被 F-15/压缩频繁改动,拆分窗口未到。— `crates/df-ai/src/context.rs`
-
-**执行顺序建议**:01-C provider_cfg(零风险试水) → 02 anthropropic → 03 audit → 04 ToolCard useToolFormat → 05 agentic_runtime → 06 ai_node → 07 AiChat.vue → 08 tool_registry。每步 cargo check+test+clippy 分 crate + 手测。
+- [ ] **REFACTOR-260619-09 [P2 暂缓]** — **context.rs(1332)等 F-15 压缩链路稳定再拆**。生产 745+测试 587。当前 context.rs 被压缩频繁改动,拆分窗口未到。— `crates/df-ai/src/context.rs`
 
 ---
 

docs/待决策.md

@@ -88,46 +88,25 @@
 - **状态**:⏸️ 长期(INFO,当前够用)
 
 #### ARC-260618-01 God 文件拆分批(架构重投入·需设计)
-- **背景**:2026-06-18 架构坏味道扫描出 3 个 God 文件:`tool_registry.rs` 1091行单函数(SMELL-P0-2)/`AiChat.vue` 4026行单组件(SMELL-P0-3)/`crud.rs` 2212行(SMELL-P1-9)。均属"功能能跑但维护成本高/测试难"的技术债,非功能 bug。
-- **决策点**:拆分何时做/优先级/拆分边界(每项拆分策略需专项设计,非小改;做不做是资源/可维护性取舍)
-- **选项**:
-  - a: `tool_registry.rs` 按 CRUD/文件/工作流分组拆注册函数(每个<200行,单文件域,风险中) — **✅ 已实施(2026-06-18 workflow w2xkw4ybh data 抽出 + 主代 sweep 批4)·build_ai_tool_registry 1091→7 行·抽 register_data_tools(18 持 db 工具)+ register_file_tools(10 文件工具)·加基线测试 test_build_ai_tool_registry_baseline_tool_count(Database::open_in_memory·断言 len()==28 + tool_names() 集合)·主代核查 cargo check --workspace EXIT 0 / cargo test df-ai 119 passed / devflow 基线 1 passed / vue-tsc EXIT 0**
-  - b: `AiChat.vue` 拆 ConversationSidebar/MessageList/ChatInput/ApprovalPanel(巨型组件,风险高,AiChat.vue 已在频繁改动需择稳定窗口) — 🟡 待排期(并发改中缓)
-  - c: `crud.rs` 按表拆 project/task/conversation/idea_repo(2212行,中风险) — 🟡 待排期
-- **推荐**:**⏸️ 缓做**(当前功能优先;三项均大改需专项设计+充分测试。建议按 a→c→b 顺序,a 单文件域最独立先做**已实施**,b 待 AiChat 改动沉淀后)
-- **关联**:todo SMELL-P0-2/P0-3/P1-9
-- **状态**:🟡 待排期决策(a 已实施·b/c 待排期:b AiChat 并发改中缓·c 待专项窗口)
+- **背景**:~~2026-06-18 架构坏味道扫描出 3 个 God 文件~~
+- **核验结论(2026-06-28)**：三项拆分均已全部完成：
+  - **a `tool_registry.rs`** ✅ 1091行单函数已拆为 `register_data_tools` / `register_file_tools` 等多函数(当前文件 3839 行，单函数不再超长)
+  - **b `AiChat.vue`** ✅ 原 4026 行 → **767 行**(已抽 `ToolCard.vue`/`ToolCardList.vue` 等子组件到 `components/ai/`)
+  - **c `crud.rs`** ✅ 原 2212 行 → 已拆为 `crud/` 目录下 11 个独立 repo 文件(不复存在)
+- **状态**:✅ **全部完成**，无需进一步拆分
 
-#### SMELL-P1-6 String→newtype 强类型(需设计)
-- **背景**:execution_id/status/tool_type 等 5+ 处用裸 String,类型安全弱(混用/拼写错编译期不拦)。改 newtype(ExecutionId 等)需全栈波及(Rust struct 字段 + serde + IPC 边界 + 前端 ts 类型)。注:status 场景 df-types 已有 TaskStatus enum,部分代码用 String 而非 enum。
-- **决策点**:做不做 + newtype 边界(仅 Rust 内部 vs 跨 IPC 到前端)
-- **选项**:
-  - a: 全栈 newtype(Rust+IPC+前端,类型安全最强,波及大)
-  - b: 仅 Rust 内部 newtype(IPC 边界仍 String,折中)
-  - c: 不做(String 够用,status 已有 enum 部分覆盖)
-- **推荐**:**⏸️ 缓做**(全栈波及大 ROI 中等;倾向 b 折中或 c 现状 enum 已部分覆盖。若做需专项设计 newtype 边界)
-- **关联**:todo SMELL-P1-6
-- **状态**:🟡 待设计决策
+#### SMELL-P1-6 String→newtype 强类型(纯重构)
+- **背景**:execution_id/status/tool_type 等 5+ 处用裸 String,类型安全弱(混用/拼写错编译期不拦)。
+- **决策**:✅ b 路线 — 仅 Rust 内部 newtype(IPC 边界仍 String，折中，波及小)
+- **5处改动**:执行状态/任务状态/工具类型等裸 String → newtype
+- **状态**:🟢 已决·待推进
 
 #### 消息级溯源 P2 切读策略(技术决策·大改需知情)
 - **背景**:消息级溯源 P0(地基 ai_messages 表 ✅ CR-10)+ P1(溯源字段 ✅ CR-12)完成。P2 切读是拆表实际启用(读写路径从 `ai_conversations.messages` JSON 切到 `ai_messages` 表)。
-- **决策点**(技术策略,影响读写路径改造):
-  - **a 三阶段渐进**(设计推荐):Phase1 脏标记 → Phase2 双写(旧列+新表)→ Phase3 切读删旧列。安全(双写期可对比回退),有性能开销+复杂。
-  - **b 一次性切读**:直接切+删旧列。简单,但切读前无回退(风险)。
-- **推荐**:**a 三阶段渐进**(低风险,设计推荐)。但大改(ContextManager restore/clear/compress/replace 读写路径 + save_conversation 双写 + V22 删旧列重建表),需充分测试。
-- **关联**:消息级溯源 P0(CR-10 ✅)/ P1(CR-12 ✅)/ 消息拆分存储设计文档
-- **状态**:🟡 待用户拍板(P2 是否现在做 + 策略 a/b)。大改建议用户知情后启动。
+- **决策**:✅ **b 一次性切读**。读写路径直接切换，保留原 `ai_conversations.messages` 列数据不删(数据安全，可回退)。
+- **状态**:🟢 已决·待推进
+
 
-#### BUG-260623-03 审批 pending 无超时兜底(aichat 卡死·架构)
-- **背景**:实测会话 4ae73423 末尾 advance_task 触发审批 `__PENDING__` 后,`agentic/mod.rs:1464` loop return,恢复唯一依赖用户主动 ai_approve。全库无审批超时定时器(cache.rs:31 占位标记无时间戳)。用户离开/忘记 → generating=true 永久挂起,会话卡死,用户须手动重发(且该会话 token 已大,重发易触上限)。属 aichat 中断B,非 generating 状态机卡死(generating 已收敛 GeneratingGuard)。
-- **决策点**:审批 pending 超时兜底怎么实现?
-- **选项**:
-  - a: 后端 per-conv 定时器(到期自动 reject + emit 超时,触及 AiSession 单例 + 定时器机制,最彻底)
-  - b: 前端倒计时提示(用户可见到期,后端不变,最小改动)
-  - c: 无超时(现状,靠用户手动)
-- **推荐**:**b 前端倒计时**(最小改动不触 AiSession;用户可见主动处理)。a 后端定时器最彻底但触及单例大改,归 [[devflow-async-approval-concept]]
-- **关联**:memory devflow-async-approval-concept / docs/05-代码审查/aichat-会话实测分析-2026-06-22.md(CR-260622-01 修正)
-- **状态**:🟡 待决策
 
 ### df-miniapp 全功能审查(2026-06-23 workflow wll7qabgr + 主代补审)
 
@@ -279,6 +258,7 @@
 - **状态**:✅ 已决
 
 #### 灵感来源采集
+灵感来源采集
 - **背景**:灵感捕捉时没有自动记录来源
 - **选项**:
   - A: 对话自动采集
@@ -291,4 +271,31 @@
 
 ## 已决归档
 
+### 2026-06-28 核验已决
+
+#### DEC-260628-01 安全 8 项
+- **核验**:全数已修(代码核验 2026-06-28)
+- **详情**:① relay.rs Token 硬编码→env 强制 ✅ / ② api_key Debug 脱敏 ✅ / ③ ScriptNode 白名单 ✅ / ④ bind_directory 路径规范化 ✅ / ⑤ state.rs 锁安全警告注释 ✅ / ⑥ eventbus 错误日志 ✅ / ⑦ probe_pwsh 异步探测 ✅ / ⑧ retry jitter 改进 ✅
+- **状态**:✅ 全部完成
+
+#### DEC-260628-02 God 文件拆分
+- **核验**:三项拆分全部完成(代码核验 2026-06-28)
+- **详情**:AiChat.vue 4026→767行 / tool_registry 单函数已拆 / crud.rs 拆为11文件
+- **状态**:✅ 全部完成
+
+#### DEC-260628-03 审批 pending 超时兜底
+- **决策**:✅ 后端 15min 超时自动取消,超时时长在 Setting 可配置
+- **记录**:pending 超 15min→自动 cancel(status=cancelled)+LLM 收到回执
+- **状态**:✅ 已实施(2026-06-28):后端 `agentic/approval_timeout.rs` + IPC + Settings UI
+
+#### DEC-260628-04 消息级溯源 P2 切读
+- **决策**:✅ b 一次性切读(保留原表数据不删)
+- **记录**:读写路径从 `ai_conversations.messages` 切到 `ai_messages` 表,原列保留
+- **状态**:🟢 已决·待推进
+
+#### DEC-260628-05 SMELL-P1-6 String→newtype
+- **决策**:✅ b 路线(仅 Rust 内部 newtype)
+- **记录**:5 处裸 String 改强类型,纯重构
+- **状态**:🟢 已决·待推进
+
 按月归档(随时间增长追加月份文件,防主文件膨胀):