Studio 跨窗口实体核对

Studio 通过与 CLI 相同的本地应用消费实体关联调用日志。此界面增加传输与人工操作，不另定义身份、容量、接纳或组织状态机。

1. 入口与精确确认

当前实体详情提供次级“查找跨窗口对应”抽屉。历史实体修订不能打开可编辑核对。已有知识库来源链接通向同一实体详情；不增加一级导航。

打开、读取候选、选择候选、刷新历史和查看已保存证据均不发送模型。用户明确选择两侧窗口的已保存提及并填写 API 模型。本地预览展示原 UUID、精确来源／修订绑定、选中证据、工作区、模型、endpoint、producer 证明及完整 system／prompt。名称只用于召回候选。当前有证明的 API producer 由 Studio 交付装配层注入；Codex 在归档上界得到证明前仍于预约前拒绝。

服务端将完整 host 预览及规范化绝对工作区保存在不可猜令牌之后。Propose 只接受该令牌、相同工作区及明确内容确认，不接受浏览器替换计划或摘要。Start 前先核对精确 host 预约回执，由锁内 CAS 拥有唯一发送。已尝试过的 propose 令牌或已有预约只返回原记录，不能靠重放补发；需查看已保存请求并另行明确继续。工作区变化、缺少确认、令牌过期或不支持的 producer 均不能授权发送。

预览授权在 30 分钟后或进程重启后失效。服务最多保留 224 个预览令牌，另为每个选中工作区保留至多一个预约继续令牌，总数不超过 256。明确取消预览删除其令牌；成功取消预约删除该 review 的令牌。同工作区的新预约核对会替换过期的继续令牌。服务最多保留 32 个应用实例，新增工作区超限时明确拒绝，不驱逐可能持有尚未归档结果的存活实例。容量拒绝不会悄悄创建另一次调用。

2. 证据与独立人工决定

持久 list／show 返回共享 omk.entity-link-invocation-projection/v3 host 投影。人工终止的 review 显示终态、人工 actor 和理由，不提供身份接受或 owner 退出恢复动作；迟到结果只作为证据，不能重新开启接纳或组织。工作区观测使用 omk.entity-link-quality/v3，人工终止及 terminated-dispatched 数量与机器接纳、人工身份决定分母分别展示。历史与投影来自同一返回快照。界面分别展示模型建议、结构接纳、人工决定、组织结果、完整原生结果／失败／拒绝、标准化用量及完整事件历史。未知数量与费用仍显示未知；标准化缓存为 0 不代表提供方明确报告了 0。

接受需要另行勾选、默认未选中的人工身份确认及非空理由。拒绝需要非空理由并保留原历史。接受可填写新对象名称；既有对象命名仍通过知识库维护。模型一致或组织已保存均不声称语义准确、质量提升或知识已验证。原来源实体 UUID 和知识正文保持各自身份。

接受前先用当前理由和名称读取 accept-preview，展示 owner head／generation、参与成员的完整旧／新实体修订、提及增减及理由。已有成员绑定变化时，界面另提供默认未选中的证据替换确认；它独立于同一对象的身份确认。修改理由或名称、切换已保存 review 会清除预览和该确认；服务端仍在锁内重算摘要，浏览器不能提供或改写旧绑定来授权。无关成员和旧 library 修订保持原值。

当前所指层级不兼容与身份未决预检分别返回固定安全码 entity_link_kind_mismatch／entity_link_identity_unresolved；界面分别提示先纠正来源层级或先消歧身份，不能用人工身份确认覆盖。已保存冲突显示分类版本；legacy/v1 的旧 identity_unresolved 不按当前状态细分。质量 v3 的组织冲突计数按分类版本分列，不表示准确率变化。

3. 取消、回执未知与恢复

已预约调用只有在核对已保存精确请求并重新确认内容后才能明确继续；服务端把此授权绑定到工作区、review 和 generation。发送前取消记录人工理由。Resume 归档内存中保留的结果或完成已有知识库 intent／receipt，不发送模型。Owner 恢复只有在 host 证明原本机进程已退出后才能记录未知；这项基于退出证明的操作让仍存活或无法核验的 owner 保持运行中。明确确认的人工也可以先读取已保存 execution 和 owner 身份，再通过独立 CLI omk observe entity-links terminate 终止；Studio 不新增 terminate mutation 或杀进程控件，可以读取终态，并沿既有新预览／确认流程携带 retryOf 明确准备新尝试。

HTTP 沿用可信 origin mutation router、有界 JSON 请求解析及 response close／server close 的 abort 传递。客户端同步请求锁防止双击；切换工作区及卸载时取消未完成请求并丢弃迟到响应。Mutation 回执失败或不可读时保留同一 review ID，在核对前禁止发送。刷新和恢复不会另造调用身份或重试执行。失败、未知或人工终止的执行需要另行明确准备新尝试，绑定前置 review，重新本地预览并确认。

原结果的内存恢复限于同一个应用实例。重启后若没有归档字节，界面不能靠重新发送恢复原结果，只展示持久运行中／未知或人工终止事实。终止不证明原请求已停止；尚未归档的原生结果容量仍预约，用量保持未知，迟到归档也不授予身份核对权限。HTTP adapter 对外只返回固定安全错误码；来源与原生证据以转义文本渲染。

4. 验证边界

受控回环 HTTP 和渲染／生命周期测试以零外部／模型请求覆盖传输确认、工作区替换、一次发送、原始失败保留、归档恢复、取消、迟到响应及人工控件。这些检查不替代集成后的生产 Next／Chrome 验收、真人身份决定、Codex 容量证明或真实模型质量测量。复核外层日志仍为 schema 1，使用日志规范明确版本化的终止／人工决定／冲突事件和 v3 投影；该事件协议扩展对旧 reader 属于 BREAKING-SCHEMA，仍独立于 extraction-run v5。当前实体与知识历史仍为 v2，本界面不增加旧提炼 run reader。