# dsh-Kingdom 3.2.1

3.2.1 修复派发、恢复和授权事务中的正确性缺口。它在已发布的3.2.0上合入有限整改，保留主管与领地完全绑定、交付记录、schema v4和既有DSH兼容范围。没有数据库迁移。

## 本版变化

- **派发前保存关联。** 每次派发先生成Kingdom ID，并可由Adapter纯准备一个独立Runtime消息引用。在Runtime入队前，Execution、Lease、Dispatch Intent和计划引用已提交。计划引用不是接受回执。
- **可靠Receipt经过持久化屏障。** DSH prepared消息和单次token绑定Adapter、Session、文本与两端引用。只有公开` sessions.flush `返回true才返回可靠Receipt。缺失、false、异常或超时不会触发重发；同一token不能再次入队。Receipt必须匹配已提交的Runtime/instance/Session/ref。
- **丢回执或原上下文后可只读对账。** 当前主管可通过Tool或GUI查询同一计划引用。新Adapter只读live或公开持久化事件，不resume、不补Receipt、不建执行权限、不生成Claim、不清理或释放Lease。读取最多10000事件，每次持久化操作最多5000ms；读取前后重验授权及关键账本关系。
- **收紧事务授权。** 受理及派发事务内重新验证原调用者；ACCEPT重新确认主管绑定和Task领地，使用条件状态更新，变化时整体拒绝或回滚。3.2的交付改动证据与SAVEPOINT嵌套事务保持有效。
- **明确资源占用。** 占用提示提供有界、脱敏的执行/租约引用，并要求前序结束或对账后重新请求；没有自动排队。
- **计划引用不计作已接受执行。** 用量入口和事务内持久化都要求精确引用及Receipt。稀疏或损坏事件数组按不可读处理。

## 验证范围

本版新基线在Windows/Node24下执行：

| 验证 | 结果 |
|---|---|
| TypeScript typecheck和当前源码构建 | 通过 |
| 完整TS测试与新增探针契约测试 | 665项：663通过、0失败、2跳过（平台条件） |
| 隔离governance / GUI / lifecycle smoke | 36 / 19 / 26项全部通过 |
| 官方0.1.5-rc.2实际组件产品探针 | 两例通过：flush后强杀再读为QUEUED；COMMIT后未发送再读为UNKNOWN |
| 官方0.1.7-rc.2实际组件产品探针 | 同上两例通过 |
| 两条线的产品探针数据不变断言 | Core行/事件不变，Receipt缺失，Claim0，模型turn0 |

真实探针经过本版Adapter准备、Core TX-3、DSH入队/flush、owned writer强杀和fresh reader公开只读读取。Authority/Binding/Capability/enforcement前置使用隔离fake fixture，未加载Provider；它证明消息关联与持久化读取，不是完整受治理模型执行。Requested model为null，effective model为UNKNOWN。更多API与证据边界见[探针说明](DISPATCH-IDENTITY-PROBE.md)。

本版还覆盖真实子进程提交边界与两个进程竞争同Session Lease；这些SQLite测试的Runtime为明确fake，不把它们当作DSH执行证明。首次全量检查发现的两处旧fixture缺flush和稀疏数组回归已修复，最终结果如上。

## 升级与保留边界

安装准确的`dsh-kingdom-3.2.1.tgz`或从官方npm获取`dsh-kingdom@3.2.1`。升级前核对未决执行并一致备份SQLite；本版不对正式数据库进行自动迁移或作废旧执行。

找到精确输入是正观察；**找不到输入仍为UNKNOWN，不能证明未派发、已停机或可安全重试**。排队输入可能在未来resume时执行。本版没有安全作废按钮、冷启动Fence/cleanup重建、子目录WRITE并发、PostgreSQL或SSE。

0.1.7的公开snapshot兼容读取已deprecated；本版既有兼容面仍使用该API，持久化冷读使用公开handle。未来Runtime版本需要单独验证，不能外推。完整付费Provider、真人GUI验收、任意旧库迁移和生产性能没有在本次发布中执行。

GitHub Release与npm的公开版本、资产及integrity是发布状态的核对入口；打包/CI不等于Owner最终验收或Kingdom Task DONE。