CLI 行为契约
适用版本：0.4.0。本机测试通过不等于 Windows 真机、真实模型账号或整个产品已经通过验收。
命令与失败语义
| 场景 | 行为与退出码 | 验证方式 |
|---|---|---|
| 有任务文字，输入管道一直不结束 | 默认不等待无关管道；要附加管道内容必须加 --stdin | 真实子进程保持 stdin 开启，核对任务能结束 |
| 明确读取管道 | 读取完整输入；超时或过大返回 2，不把残缺内容交给模型 | 标准输入截止时间与完整性回归 |
没有交互终端，模型调用 ask_user | 返回 unanswered、userConsent=false，不替用户选项；模型可以说明可逆假设后继续 | C04、C07 原提示的测试模型流程回放，不是能力盲测评分 |
| 模型反复提问 | 最多交回三次“无人回答”；第四次停止并返回非零码 | 请求次数上限回归 |
| 需要密码、明确取消或缺少敏感授权 | 不编造凭据或授权；取消返回非零码 | 登录与审批负例 |
| 不同工作区的任务记忆 | 自动任务事实不串项目；明确 memory add 的笔记可以共享 | A 写暗号、B 看不到、回 A 能续接 |
| 请求在回复和工具之前失败 | 保持原有消息数和明确笔记，不把失败输入加入共享召回 | 连续三次 400/401、类型化拒绝、既有历史保留 |
| 文件已写入，后续 API 失败 | 保留消息、工具回执和恢复边界；重试不能重放写入或覆盖后来编辑 | 实际文件操作与续答恢复回归 |
| JSON 审查无法解析 | 正常请求结束后最多追问一次；仍无法解析返回 3 和 REVIEW_UNPARSED | 假绿负例及严重级别门禁 |
| 没有 changelog 的发版文案 | 必须说明来源不足，不能把旧功能写成本版新增；缺少说明或出现选定的未支持归因时返回 3 | W02 来源说明与归因金标 |
| 模型声称“我读过变更” | 自述不算证据；实际成功读取且匹配版本的工作区 changelog 才记录来源快照 | README、失败读取、错版本负例 |
| 远程资料库 | 默认关闭；--remote 只为本次命令开启，Agent 需 KODER_REMOTE_RESOURCES=1；0 强制关闭 | 未开启不联网，私有检索不转远程 |
| 模型诊断 | 短截止时间、无推理重试循环；错误原因有长度限制并脱敏 | 本地 HTTP 错误、断连与响应头停滞 |
| 参数错误 | 返回 2，并说明错误参数或缺少的输入 | 错语言、错审批、无参 fix 等负例 |
审批与退出码
--yes 只为本次运行接受执行提示，不保存“全面开放”，不替用户回答问题，也不接受软件协议、填写密码或赋予操作系统权限。--approval full 是本次运行的完整执行策略。要保存长期授权，使用单独的 koder permissions execution full --confirm FULL，并核对作用范围。显式拒绝仍然有效。执行提示出现时，YES_SCOPE 会说明这一区别。
退出码 0 表示本轮命令按其契约结束，不表示用户要求的每项功能都已实现，更不表示网站、应用、模型账号或操作系统已验收。通常 1 表示取消、拒绝或检查失败，2 表示参数、模型或请求失败，3 表示结构化审查或撰写证据契约未成立。应一起查看具体错误码和 stderr，不要把所有非零结果都当作网络故障。
历史与撰写边界
失败历史回退只处理本轮尚未出现可见模型输出、助手或工具记录、待定效果、队列变化或效果账本变化的请求。执行过工具、出现部分回复或仍有未知效果时保留恢复记录。不会自动清理旧版本的历史，也不会删除已经完成的操作回执。若无法把回退保存到磁盘，就不能声称历史未增加。
撰写检查只验证来源说明和部分归因、价格模式，属于保守的确定性门禁，不是完整事实核验或模型能力评分。草稿文字和文件仍需审阅；流式文字可能先显示，最终才得到非零码。发版任务中的邮件正文也会在调用邮箱发送前检查；未通过不能发送，但通过这些规则也不等于每个事实都已核实。此检查本身不授予发送或发布权限。
平台验收
Linux 应用连接宿主仍需要 secret-tool、DBus 和已解锁的 Secret Service。本版没有引入明文凭据文件降级。Windows 真机、Linux 密钥环、真实服务商账号各自保留验收门。
撰写契约
W01 优先独立读回本轮主交付文件；没有文件才检查最终回复。W02 明确的中英文非增量披露可通过；后续无据“本版新增”仍返回 3。来源快照记录哈希和准确行标记，验收条款、安装版本与 RELEASE.json 元数据不能证明功能新增。W05 记录明确点名且实际读到的前稿文件或上一答复的哈希。价格未知可过闸；可验证的官方页回执尚未接入，精确价格仍保守处理。退出 3 表示撰写契约未成立，不是 API 故障。材料读取界限与盲测门见 QUALITY-CHECKS.zh.md。