-
给此前完全零防护的 company.js/okr.js/tasks.js/devloop.js/graph-run.js（两个挂载点）/ arena.js/config.js/evolution.js/whatsapp-auth.js 挂 requireAuth；dream.js 挂 requireAdmin （系统级经验汇流视图，只有 admin 能看）。open-api.js（自己一套 OPEN_API_KEYS）/auth.js 自身/health 端点按计划排除。这一步只挡"没登录"，公司归属过滤留到 Phase 2。 agent-chat.js 不能直接挂 requireAuth：company.js（自动建公司/招聘后自动训练）、 task-settle.js（goal 汇报回调）三处服务端自环调用会 fetch 自己的 /api/agent/* 端点， 拿不到任何用户 cookie，直接挂锁会打断这几条核心自动化链路。新增 requireAuthOrInternal + jwt-auth.js 的进程内 INTERNAL_TOKEN（启动时随机生成，只活在内存里）：自环调用带上 x-internal-token 头放行，其余情况仍要求真实登录；三处调用点同步改造。 17 个既有测试文件、67+ 处用例直接拿 supertest 打这些路由，从没设过登录 cookie（测的是 业务逻辑不是鉴权）。没有逐个补登录态，改为 requireAuth/requireAdmin 在 NODE_ENV=test 时默认放行，除非显式 FORCE_REAL_AUTH=1；新增 route-auth-gate.test.js 在放行关闭状态下 做结构检查（router.stack 里中间件是否真的排在所有路由前面），确保"锁真的挂上了"这件事 有测试兜底，不被业务测试的默认放行悄悄掩盖。 验证：真实 curl 走过全部路由（无 cookie 401、admin 登录全通、非 admin 能看公司但 dream.js 403）；手工删过一行 requireAuth 确认守卫测试真的会红；全量 vitest 1427 passed， 另 3 个失败与本次改动无关（stash 验证过改前改后一致，系仓库并发工作遗留）。 Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
-
## 第 6 步：调度器只管图任务（一行判据，但漏了是静默的） listQueue / deriveQueueBlocks / sweep 三处都加 executor='graph'。 派单任务虽然也进 tasks 表，但它的执行载体是「直接起一次 agent 对话」， 由 /task/dispatch 自己触发。漏这一条的后果：调度器拿一条根本没有 run 行的 task 去出队 → syncRunNodesToDef 判空 → abandonRun → **把一条正在被 agent 执行的派单收成 cancelled**。守卫用例把它摆成「最像可出队」的样子 （queued + auto + 无依赖），只有 executor 这一维拦得住它。 ## 第 5 步：GET /api/tasks 改读表，删掉 122 行的会话反推 原来的 getAggregatedTasks 是启发式：扫全部 agent 的 conversations，按会话 id 里的 T-xxx 归组，再用三条策略（meta 的 parentTaskId / from agent 的活跃会话 时间包含 / master conv 的标题相似）**猜**父子关系。猜出来的树没法验证对错， 而且每次请求都要遍历所有 agent 的会话目录 —— route 那 10 秒缓存就是为它加的。 现在父子关系是 tasks.parent_task_id，派单时就显式写下来了，不用猜。 task-service.js 391 行 → 236 行；_inferParentChild / _loadTaskMetas / TASK_META_DIR 一并删除（改完就是零调用方）。 **getTaskTimeline 保留**，但来源拆清楚：任务树从表来（parent_task_id， 可验证），时间线正文仍从 agent 的 conversations/ 扫 —— 那是一手记录， 没有替代品。删掉的只是「从会话反推任务树」那一半，不是会话本身。 两处口径变化（写在代码注释里）： - agents：原来是「会话里出现过的 agent 集合」，现在是「谁派的 + 派给谁」。 对派单任务这两者本来就是同一件事 - conversationCount：原来是扫出来的文件数，现在是「有没有起过执行会话」(0/1)。 为一个列表字段遍历所有 agent 的会话目录，正是这次要去掉的那笔开销； 真要看内容走 /api/tasks/:taskId/timeline，那条仍读一手记录 ## 漏改一个消费方，真打接口才发现 routes/tasks.js 自己还在算 t.conversations.length，而 conversations 是会话 反推那套的产物、已随之删除 → 500「Cannot read properties of undefined」。 测试没覆盖这条路（它只在真跑接口时才走到）。已改成用 t.conversationCount。 真打验证：GET /api/tasks 返回 17 条、12 个字段齐全 —— 条数比改前多， 因为测试跑出来的派单现在也进表了，这本身就是「存储真的换了」的证据。 全量：132 文件 / 1257 测试全绿。 Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
-
- Add TaskTimeline.vue: two-pane dashboard with task list + message timeline - Add task-service.js: aggregate cross-agent conversations into task tree - 4-strategy parent-child inference (explicit meta, time-overlap, conv→tpl, master→T) - Read messages.log for full tool call details (not just history.json) - Add tasks.js API routes: GET /api/tasks, GET /api/tasks/:taskId/timeline - Mount /api/tasks in agent-server.js - Add 'Task Logs' nav entry in AppNav.vue after Templates - Support taskId in URL (/tasks/:taskId?) for sharing/bookmarking - Add --parent flag to CLI task dispatch for explicit parentTaskId - Auto-detect parentTaskId in task/dispatch from sender's active task - Add --instructions flag to template train CLI command - Update master tools.md with new parameters