✨ agrctl: 管理 Agent / 部门 / 项目 / LLM / Agent 后端，写操作分流审批，多端实时刷新

[CodFrm]

变更说明 / Summary

agrctl 从 hook shim + send 扩成配置管理 CLI：顶层动词 list / get / create / update / delete / help / send，覆盖 Agent、部门、项目、LLM 提供方、模型（提供方/ModelID）、Agent 后端 六类资源（spec：docs/specs/2026-09-22-agrctl-resource-management.md）。写操作按调用方分流审批，写入后桌面端 / 其它桌面端 / Web 控制台实时刷新。

配套的 server 改动：agentre-hub/agentre-server#26（server 执行者 + 控制台作答，pin 本分支 d5df824）。合并顺序：先合本 PR，再合 server#26。

调用方与审批

调用方	执行者	审批
桌面主机上的 Agentre 会话（含控制台派发到该桌面）	本机桌面端	会话对话流里一张 ctl 审批卡，桌面端与控制台都能答
桌面端派发到 agentred 的会话	agentred ctl 代理 → 隧道回拥有会话的桌面端	卡在桌面端该会话里
控制台派发到 agentred 的会话	agentred ctl 代理 → server	agentred 出卡、控制台经 relay 作答，批准后才提交 server
外部调用（非 TTY，或 TTY 但环境里带 agent CLI 标记；无会话 token）	本机桌面端	桌面端全局审批弹窗（调用方信息、排队、删除危险形态、4 分钟自动拒绝）
人工（TTY 且无 agent CLI 标记）	本机桌面端	直接执行，delete 终端再问 y/N
agentred 主机上无会话 token	—	退出码 1 并说明

主要内容

• 契约：Ctl* 消息并入 pkg/wire/proto/agentre/wire/wire.proto（单一 schema）；新增 relay 方法 toolApproval.answer，协议 0.3.0 → 0.4.0；新增正式事件对 tool_approval_requested / tool_approval_resolved（oneof 33/34）；RuntimeRunRequest 带桌面会话 token（26/27）；CtlBackend 带 token_state（set/unset/unknown）、sync_id、device_fingerprint。
• 桌面端：ctl_svc 读写经现有服务层（不绕校验与同步通知）；会话级 HMAC token 注入 CLI 子进程；写工具审批卡在挂起时就进本轮 transcript 落库并发 durable 帧（控制台待审批期间可见可答），决议原位更新；五类资源写入统一发 config:changed，页面同时订阅 sync:applied。
• agentred：随包带 agrctl，启动时安装 agrctl + ctlskill；gateway 上的 ctl 代理按会话归属转发；绑在本机的 OpenClaw 后端 --token 在本地写入。
• agentre-ui：CtlApprovalCard / CtlChangeList，桌面与控制台共用；密钥字段只显示「已更新（值不显示）」。
• 修正轮 2：伪终端里带 AI_AGENT / CLAUDECODE / CLAUDE_CODE_ENTRYPOINT / GEMINI_CLI / OPENCODE / CODEX_SANDBOX 的调用判为外部；纯空白 --token 在规划阶段即拒（exit 2）；--device <名字> 本地找不到时由后端向 server 拉取并收养（不再依赖先开「远端」设置页），本机名解析为本机；agentred 上 --device <本机账号名> 认本机；插话分段后旧消息里的卡的决议写回所属消息；留有旧桌面握手文件的 agentred 主机给出 agentred 提示。
• 修正轮 3：openclaw 网关地址不合法时 agrctl 给出具体原因（… (--config openclawGatewayUrl)，GUI 只见原因）；删除 Agent 后端的确认文案如实说明「引用它的执行目标会一并删除，Agent 本身保留」（agentre-ui，桌面与控制台共用）。
• 已合入 origin/main（2996e334），与 8cc0054 的 Hermes/OpenClaw 审批卡共存：main 的 unsupported_request_notice 保留 oneof 32，本分支事件对为 33/34，生成物由 pnpm run proto:generate 重生成，buf lint / buf breaking 通过。

验证 / Verification

门禁（coding.lan，HEAD 727f6c5）：

make test-backend    → exit 0（186 包 ok）
make test-frontend   → exit 0（tsc + vitest 454 文件 / 5528 测试）
make lint            → exit 0（0 issues）
pnpm run proto:check → exit 0

真机验证（报告：e2e/scratch/2026-09-22-agrctl-resource-management/report.md，本地证据未入库）——本轮 server + 本轮 agentred（coding.lan）+ 两个隔离桌面端 + 真实 Claude Code 会话：

#	需求	结论
V1	人工 TTY 直接执行；delete y/N	holds
V2	外部调用走全局审批弹窗（调用方、危险形态、拒绝 exit 1）	holds（修正轮 2 补观测：排队「第 1 个，共 2 个待审批」、Esc 即拒绝、4 分钟整自动拒绝 approval timed out、失焦时调用系统通知；macOS 横幅本身未目视）
V3	桌面主机会话出卡，桌面端作答；超时 approval timed out	holds（正式包隔离启动已观测自装 agrctl 与 skill；agent 在正式包会话里自行发现 agrctl 未观测——插件在 Claude 全局设置默认关闭、按会话开启）
V4	桌面端拥有的会话，控制台也能答	holds（首轮 does not hold，经修正轮修复；合入 main 后复验）
V5	桌面端派发到 agentred，卡在桌面端	holds
V6	控制台派发到 agentred，控制台作答后才提交 server	holds（合入 main 后复验）
V7	agentred 主机无会话 token → exit 1 并说明	holds（修正轮 2 在真实 agentred 主机 coding.lan 上复验，含 09-20 遗留的旧桌面握手文件）
V8	本机 / 第二台桌面 / 控制台实时刷新	holds（TTY、外部弹窗、agentred 会话三条路径均不刷新页面观测；修正轮 2 只起了一台桌面端，第二台桌面在首轮观测）
V9	非 TTY 裸 --api-key exit 3；卡片与日志无明文	holds
V10	list / get 直接执行	holds
V11	agentred 附带并安装 agrctl + ctlskill	holds
R2	修正轮 2：pty 标记判外部 / 空白 token / --device 名字与本机名 / agentred 本机名 / 旧握手提示 / server 删除级联	holds
R2	修正轮 2：server 多行写一个事务、插话分段后作答写回	运行期未观测（成功路径无外部差异；真实 CLI 下插话要等在途工具返回才分段，场景不出现），单测覆盖
R3	修正轮 3：server 拒不合规 openclaw（出卡前、说明原因），合规的桌面端即时落地；桌面具体报错；删除后端新文案	holds

已知限制（未在本 PR 修）

• --env 值按产品决定保持明文（审批卡、get/list、会话命令行里都可见）。
• codex 以 --dangerously-bypass-approvals-and-sandbox 运行时不设 CODEX_SANDBOX，也没有其它可用标记，此时它在伪终端里仍被判为人工调用。
• agentre-ui 表单把 *.localhost 视为本地、允许 ws://，Go 侧不认（既有），此时 GUI 显示英文原因。
• server 的 openclaw 校验是桌面端规则的逐条复刻，目前一致，但没有跨仓对齐守卫（要做需把规则移进共享 pkg/ 并升 pin）。

截图 / Screenshots

审批卡、外部审批弹窗、控制台作答截图在本地验证证据目录（e2e/scratch/…/screenshots、console/screenshots），未随 PR 上传。

自检 / Checklist

• Fixes mentioned issues / 修复已提及的问题
• Code reviewed by human / 代码通过人工检查
• Changes tested / 已完成测试