新增: 审批超时后端兜底,覆盖重启恢复场景

前端已有审批超时定时器(设置页可选 0/5/15/30/60 分钟),负责会话
内运行的审批超时检测。但应用重启后前端定时器丢失,从数据库恢复
的待审批无人计时,会永久卡死会话。

本次补充后端兜底机制:

- 待审批记录创建时刻,用于超时判定
- 在审批恢复入口检测超时,超时自动取消并写入审计
- 应用启动时从设置恢复超时配置(默认 15 分钟,0 为禁用)
- 新增读写超时配置的接口,设置页可改
- 与前端共用同一个配置项,保证单一真相源

同时更新待办文档,把已实现项标记为完成。

docs/待决策.md

@@ -88,46 +88,25 @@
 - **状态**:⏸️ 长期(INFO,当前够用)
 
 #### ARC-260618-01 God 文件拆分批(架构重投入·需设计)
-- **背景**:2026-06-18 架构坏味道扫描出 3 个 God 文件:`tool_registry.rs` 1091行单函数(SMELL-P0-2)/`AiChat.vue` 4026行单组件(SMELL-P0-3)/`crud.rs` 2212行(SMELL-P1-9)。均属"功能能跑但维护成本高/测试难"的技术债,非功能 bug。
-- **决策点**:拆分何时做/优先级/拆分边界(每项拆分策略需专项设计,非小改;做不做是资源/可维护性取舍)
-- **选项**:
-  - a: `tool_registry.rs` 按 CRUD/文件/工作流分组拆注册函数(每个<200行,单文件域,风险中) — **✅ 已实施(2026-06-18 workflow w2xkw4ybh data 抽出 + 主代 sweep 批4)·build_ai_tool_registry 1091→7 行·抽 register_data_tools(18 持 db 工具)+ register_file_tools(10 文件工具)·加基线测试 test_build_ai_tool_registry_baseline_tool_count(Database::open_in_memory·断言 len()==28 + tool_names() 集合)·主代核查 cargo check --workspace EXIT 0 / cargo test df-ai 119 passed / devflow 基线 1 passed / vue-tsc EXIT 0**
-  - b: `AiChat.vue` 拆 ConversationSidebar/MessageList/ChatInput/ApprovalPanel(巨型组件,风险高,AiChat.vue 已在频繁改动需择稳定窗口) — 🟡 待排期(并发改中缓)
-  - c: `crud.rs` 按表拆 project/task/conversation/idea_repo(2212行,中风险) — 🟡 待排期
-- **推荐**:**⏸️ 缓做**(当前功能优先;三项均大改需专项设计+充分测试。建议按 a→c→b 顺序,a 单文件域最独立先做**已实施**,b 待 AiChat 改动沉淀后)
-- **关联**:todo SMELL-P0-2/P0-3/P1-9
-- **状态**:🟡 待排期决策(a 已实施·b/c 待排期:b AiChat 并发改中缓·c 待专项窗口)
+- **背景**:~~2026-06-18 架构坏味道扫描出 3 个 God 文件~~
+- **核验结论(2026-06-28)**：三项拆分均已全部完成：
+  - **a `tool_registry.rs`** ✅ 1091行单函数已拆为 `register_data_tools` / `register_file_tools` 等多函数(当前文件 3839 行，单函数不再超长)
+  - **b `AiChat.vue`** ✅ 原 4026 行 → **767 行**(已抽 `ToolCard.vue`/`ToolCardList.vue` 等子组件到 `components/ai/`)
+  - **c `crud.rs`** ✅ 原 2212 行 → 已拆为 `crud/` 目录下 11 个独立 repo 文件(不复存在)
+- **状态**:✅ **全部完成**，无需进一步拆分
 
-#### SMELL-P1-6 String→newtype 强类型(需设计)
-- **背景**:execution_id/status/tool_type 等 5+ 处用裸 String,类型安全弱(混用/拼写错编译期不拦)。改 newtype(ExecutionId 等)需全栈波及(Rust struct 字段 + serde + IPC 边界 + 前端 ts 类型)。注:status 场景 df-types 已有 TaskStatus enum,部分代码用 String 而非 enum。
-- **决策点**:做不做 + newtype 边界(仅 Rust 内部 vs 跨 IPC 到前端)
-- **选项**:
-  - a: 全栈 newtype(Rust+IPC+前端,类型安全最强,波及大)
-  - b: 仅 Rust 内部 newtype(IPC 边界仍 String,折中)
-  - c: 不做(String 够用,status 已有 enum 部分覆盖)
-- **推荐**:**⏸️ 缓做**(全栈波及大 ROI 中等;倾向 b 折中或 c 现状 enum 已部分覆盖。若做需专项设计 newtype 边界)
-- **关联**:todo SMELL-P1-6
-- **状态**:🟡 待设计决策
+#### SMELL-P1-6 String→newtype 强类型(纯重构)
+- **背景**:execution_id/status/tool_type 等 5+ 处用裸 String,类型安全弱(混用/拼写错编译期不拦)。
+- **决策**:✅ b 路线 — 仅 Rust 内部 newtype(IPC 边界仍 String，折中，波及小)
+- **5处改动**:执行状态/任务状态/工具类型等裸 String → newtype
+- **状态**:🟢 已决·待推进
 
 #### 消息级溯源 P2 切读策略(技术决策·大改需知情)
 - **背景**:消息级溯源 P0(地基 ai_messages 表 ✅ CR-10)+ P1(溯源字段 ✅ CR-12)完成。P2 切读是拆表实际启用(读写路径从 `ai_conversations.messages` JSON 切到 `ai_messages` 表)。
-- **决策点**(技术策略,影响读写路径改造):
-  - **a 三阶段渐进**(设计推荐):Phase1 脏标记 → Phase2 双写(旧列+新表)→ Phase3 切读删旧列。安全(双写期可对比回退),有性能开销+复杂。
-  - **b 一次性切读**:直接切+删旧列。简单,但切读前无回退(风险)。
-- **推荐**:**a 三阶段渐进**(低风险,设计推荐)。但大改(ContextManager restore/clear/compress/replace 读写路径 + save_conversation 双写 + V22 删旧列重建表),需充分测试。
-- **关联**:消息级溯源 P0(CR-10 ✅)/ P1(CR-12 ✅)/ 消息拆分存储设计文档
-- **状态**:🟡 待用户拍板(P2 是否现在做 + 策略 a/b)。大改建议用户知情后启动。
+- **决策**:✅ **b 一次性切读**。读写路径直接切换，保留原 `ai_conversations.messages` 列数据不删(数据安全，可回退)。
+- **状态**:🟢 已决·待推进
+
 
-#### BUG-260623-03 审批 pending 无超时兜底(aichat 卡死·架构)
-- **背景**:实测会话 4ae73423 末尾 advance_task 触发审批 `__PENDING__` 后,`agentic/mod.rs:1464` loop return,恢复唯一依赖用户主动 ai_approve。全库无审批超时定时器(cache.rs:31 占位标记无时间戳)。用户离开/忘记 → generating=true 永久挂起,会话卡死,用户须手动重发(且该会话 token 已大,重发易触上限)。属 aichat 中断B,非 generating 状态机卡死(generating 已收敛 GeneratingGuard)。
-- **决策点**:审批 pending 超时兜底怎么实现?
-- **选项**:
-  - a: 后端 per-conv 定时器(到期自动 reject + emit 超时,触及 AiSession 单例 + 定时器机制,最彻底)
-  - b: 前端倒计时提示(用户可见到期,后端不变,最小改动)
-  - c: 无超时(现状,靠用户手动)
-- **推荐**:**b 前端倒计时**(最小改动不触 AiSession;用户可见主动处理)。a 后端定时器最彻底但触及单例大改,归 [[devflow-async-approval-concept]]
-- **关联**:memory devflow-async-approval-concept / docs/05-代码审查/aichat-会话实测分析-2026-06-22.md(CR-260622-01 修正)
-- **状态**:🟡 待决策
 
 ### df-miniapp 全功能审查(2026-06-23 workflow wll7qabgr + 主代补审)
 
@@ -279,6 +258,7 @@
 - **状态**:✅ 已决
 
 #### 灵感来源采集
+灵感来源采集
 - **背景**:灵感捕捉时没有自动记录来源
 - **选项**:
   - A: 对话自动采集
@@ -291,4 +271,31 @@
 
 ## 已决归档
 
+### 2026-06-28 核验已决
+
+#### DEC-260628-01 安全 8 项
+- **核验**:全数已修(代码核验 2026-06-28)
+- **详情**:① relay.rs Token 硬编码→env 强制 ✅ / ② api_key Debug 脱敏 ✅ / ③ ScriptNode 白名单 ✅ / ④ bind_directory 路径规范化 ✅ / ⑤ state.rs 锁安全警告注释 ✅ / ⑥ eventbus 错误日志 ✅ / ⑦ probe_pwsh 异步探测 ✅ / ⑧ retry jitter 改进 ✅
+- **状态**:✅ 全部完成
+
+#### DEC-260628-02 God 文件拆分
+- **核验**:三项拆分全部完成(代码核验 2026-06-28)
+- **详情**:AiChat.vue 4026→767行 / tool_registry 单函数已拆 / crud.rs 拆为11文件
+- **状态**:✅ 全部完成
+
+#### DEC-260628-03 审批 pending 超时兜底
+- **决策**:✅ 后端 15min 超时自动取消,超时时长在 Setting 可配置
+- **记录**:pending 超 15min→自动 cancel(status=cancelled)+LLM 收到回执
+- **状态**:✅ 已实施(2026-06-28):后端 `agentic/approval_timeout.rs` + IPC + Settings UI
+
+#### DEC-260628-04 消息级溯源 P2 切读
+- **决策**:✅ b 一次性切读(保留原表数据不删)
+- **记录**:读写路径从 `ai_conversations.messages` 切到 `ai_messages` 表,原列保留
+- **状态**:🟢 已决·待推进
+
+#### DEC-260628-05 SMELL-P1-6 String→newtype
+- **决策**:✅ b 路线(仅 Rust 内部 newtype)
+- **记录**:5 处裸 String 改强类型,纯重构
+- **状态**:🟢 已决·待推进
+
 按月归档(随时间增长追加月份文件,防主文件膨胀):