fix(session): keep never-used sessions out of the store and off the list（未发言空壳）

README.md

@@ -290,7 +290,7 @@ Full reference: [Interaction and commands](docs/interaction.en.md).
 In `/provider`'s model list, focus a model and press `Tab` to edit its context window, max output tokens, reasoning efforts, and image input capability.
 
 The session manager paints the last successful list immediately while it checks the persistence store for changes. Titles that require a deeper log scan appear first with a fallback name and update in place when recovery finishes.
-With DSH's current JSONL backend, startup and `/new` keep initial permission events in memory until further session activity or an explicit durability flush saves the complete log. Restarting an unstored empty session starts fresh.
+With DSH's current JSONL backend, startup and `/new` keep initial permission events in memory until further session activity saves the complete log; an explicit durability flush still runs, but it saves nothing for a session that holds only that initialization. Restarting an unstored empty session starts fresh. A normal exit removes sessions no human ever spoke in.
 Removing a workspace registration keeps its sessions accessible under a "History only" directory in the rail.
 History-only directories offer edit and new-session actions; rename and remove are available for registered workspaces.
 

README_ZH.md

@@ -251,7 +251,7 @@ OpenAI 条款约束。完整操作与当前边界：[Codex 后端](docs/codex-ba
 在 `/provider` 模型列表聚焦一项并按 `Tab`，可编辑上下文窗口、最大输出 token、推理档位和图片输入能力。
 
 会话管理界面会立即显示上次成功读取的列表，同时核对持久化存储的变化。需要深度扫描日志的标题会先显示回退名称，恢复完成后在原行更新。
-使用 DSH 当前的 JSONL 后端时，启动与 `/new` 的初始权限事件只保留在内存中；后续会话活动或显式持久化 flush 才会保存完整日志。尚未落盘的空会话重启时会重新创建。
+使用 DSH 当前的 JSONL 后端时，启动与 `/new` 的初始权限事件只保留在内存中，直到后续会话活动才会保存完整日志；显式持久化 flush 仍会照常执行，但不会为只有初始化的会话落盘。尚未落盘的空会话重启时会重新创建。正常退出会清理人类从未发言过的会话。
 移除工作区登记后，其历史会话仍可从侧栏的「仅历史」目录进入。
 「仅历史」目录只提供编辑和新建会话操作；重命名与移除仅适用于已登记工作区。
 

docs/interaction.en.md

@@ -404,6 +404,15 @@ those sessions as usual — "no registration" is not "no history".
 
 - The group lives only inside this screen and is never written back to the registry.
 
+On a normal exit (`/exit`, `/quit`, `/q`, a double `Ctrl+C` while idle, `Ctrl+D`), the TUI
+removes sessions **no human has ever spoken in** — leftovers from earlier runs included —
+and, when anything was cleaned, reports the count in its exit notice.
+
+- Only that path sweeps: hand-offs (`/update`, kernel switch, `/restart`), crashes and
+  signal-driven exits leave sessions alone.
+- A session with any human message (even if its turn never started) and any sub-agent are
+  **never removed**.
+
 **Behaviour changes versus the old screens** (deliberately removed, and no longer covered by regressions):
 
 - Session-level right-click menu (rename/delete one session).

docs/interaction.md

@@ -404,6 +404,11 @@ Bracketed paste（右键或终端原生粘贴）保留普通文本与换行。
 - 这些会话照常列出并可恢复——"没有登记"不等于"没有历史"。
 - 该分组只在本界面内存活，不会写回登记。
 
+正常退出时（`/exit`、`/quit`、`/q`、空闲时连按两次 `Ctrl+C`、`Ctrl+D`），TUI 会清理**从未被人类发言**的会话（含历史遗留），并在有清理时于退出提示里报出数量。
+
+- 只在正常退出这一条路径上清理：`/update`、内核切换、`/restart` 等交接，以及崩溃与信号退出都不清理。
+- 有人类发言的会话（哪怕回合没起来）与子代理**永不删除**。
+
 **旧界面相较之下的行为变更**（有意移除，不再回归）：
 
 - 会话级右键菜单（重命名/删除单个会话）。

guide/dsh-tui-guide/interaction.en.md

@@ -404,6 +404,15 @@ those sessions as usual — "no registration" is not "no history".
 
 - The group lives only inside this screen and is never written back to the registry.
 
+On a normal exit (`/exit`, `/quit`, `/q`, a double `Ctrl+C` while idle, `Ctrl+D`), the TUI
+removes sessions **no human has ever spoken in** — leftovers from earlier runs included —
+and, when anything was cleaned, reports the count in its exit notice.
+
+- Only that path sweeps: hand-offs (`/update`, kernel switch, `/restart`), crashes and
+  signal-driven exits leave sessions alone.
+- A session with any human message (even if its turn never started) and any sub-agent are
+  **never removed**.
+
 **Behaviour changes versus the old screens** (deliberately removed, and no longer covered by regressions):
 
 - Session-level right-click menu (rename/delete one session).

guide/dsh-tui-guide/interaction.md

@@ -404,6 +404,11 @@ Bracketed paste（右键或终端原生粘贴）保留普通文本与换行。
 - 这些会话照常列出并可恢复——"没有登记"不等于"没有历史"。
 - 该分组只在本界面内存活，不会写回登记。
 
+正常退出时（`/exit`、`/quit`、`/q`、空闲时连按两次 `Ctrl+C`、`Ctrl+D`），TUI 会清理**从未被人类发言**的会话（含历史遗留），并在有清理时于退出提示里报出数量。
+
+- 只在正常退出这一条路径上清理：`/update`、内核切换、`/restart` 等交接，以及崩溃与信号退出都不清理。
+- 有人类发言的会话（哪怕回合没起来）与子代理**永不删除**。
+
 **旧界面相较之下的行为变更**（有意移除，不再回归）：
 
 - 会话级右键菜单（重命名/删除单个会话）。

package.json

@@ -436,7 +436,8 @@
     "usehooks-ts": "^3.1.0",
     "wrap-ansi": "^10.0.1",
     "ws": "^8.21.3",
-    "yaml": "^2.9.0"
+    "yaml": "^2.9.0",
+    "zod": "^4.4.3"
   },
   "optionalDependencies": {
     "sharp": "0.35.4"

scripts/run-ci-group.mjs

@@ -351,6 +351,15 @@ const GROUPS = {
 // 字节、不得拉回 raw mode——在途回复与鼠标事件由清理后的 re-drain
 // 吞掉，不再落入 shell。
     ["verify-exit-mouse-residue", ['node', '--import', 'tsx/esm', 'scripts/verify-exit-mouse-residue.tsx']],
+// 正常退出分支的清理接线回归（ADR-0012 决策 3/5 · AC-5/AC-6）：未发言
+// 会话的 sweep 必须在回合结束后折进 finishExit 的通知（await 的 sweep
+// 永远到不了那里），崩溃 / `/update` / 内核切换 / `/restart` / 启动失败
+// 分支一律不 sweep；恶意依赖只损失回合不损失关机（终端恢复序列与进程
+// 交接原位、fail-soft）；③ 层吃本进程真实视图（绑定会话、注册表活
+// agent、清单血缘），有人类消息无 turn/start 的会话存活，非本进程产出
+// 的清单整份放过而不猜血缘。清退分支是 apply() 内的闭包，其接线按源码
+// 断言（与 verify-shutdown-fallback 同形），被调用的 helper 直接驱动。
+    ["verify-session-cleanup-exit", ['node', '--import', 'tsx/esm', 'scripts/verify-session-cleanup-exit.tsx']],
 // 组件级拖拽协议回归：无修饰左键 press 捕获 drag target，首动 dragstart、
 // 连续 dragmove、release/focus-out/reset 收尾 dragend；未移动仍走 click，
 // 无 handler 与修饰键区域保留基线文本选择；真实 SGR 管线 + 最小滑块消费者。
@@ -605,9 +614,39 @@ const GROUPS = {
     ["verify-session-artifact-cache", ['node', 'scripts/verify-session-artifact-cache.mjs']],
 // 跨进程首屏快照：不等慢枚举、来源隔离、失败保留、空库清空与迟到守卫。
     ["verify-session-list-snapshot", ['node', 'scripts/verify-session-list-snapshot.mjs']],
+// 会话清单投影镜像回归（issue #1342 的可见性面）：TUI 必须注册与 web 宿主
+// **同名同版本**的 sessionListMetadata 投影——定义（键/stateVersion/字段
+// 类型/init）逐项对字面量钉死（宿主侧改动要让本脚本红、而不是静默重开
+// issue），legacy 拼写 schema/viewSchema/view 必须缺席；fold 矩阵含两条
+// 只看值看不到的性质（无变化事件返回同一引用、blank 不回落）；
+// 跨运行时读取按对方等价形状解析并驱动真实 registry 的 restore；同键双
+// 注册的版本判定（首个定义生效、行仍写入）；服务缺失/无 register/版本
+// 冲突必须降级不崩；宿主包可定位时跑真实实现的漂移探针，定位不到则响亮
+// SKIP（含搜索路径与原因），绝不静默通过。
+    ["verify-session-list-metadata", ['node', '--import', 'tsx/esm', 'scripts/verify-session-list-metadata.ts']],
 // 空会话须完整读取后才能判定：截断/损坏、帧数上限、纯图片输入与旧缓存
 // 不得隐藏真实历史或进入清理名单；真实 JSONL 重开验证落盘后的可见性。
     ['verify-session-emptiness', ['node', '--import', 'tsx/esm', 'scripts/verify-session-emptiness.ts']],
+// 未发言会话清理回归（ADR-0012 / 三层判据）：真实临时 sessions 根 + 真 TUI
+// 会话索引，走的是出货实现（store.readIndex、sessionLog 的有界读与删除原语、
+// sessionHistory 的每会话记录）而不是替身——启动壳（含本次运行之前就存在的
+// 「历史」条目）被回收，人类 user/message 无 turn/start 必须保留（宿主自身
+// blank 规则会删的反例），turn/start 与受委托运行及其后代保留，本进程仍持有
+// 的会话（绑定 / 活后台）保留，缺失/悬空/损坏/预算截断的日志只跳过不删并
+// 报出是哪层放过的；对抗用例「索引说 hasPrompt:false 而日志有人类消息」；
+// 恒删/恒留/抽掉日志规则的负控（正例不能被常量满足）；候选上限与每日志事件
+// 预算、依赖抛错不中止本轮（fail-soft）；分区恰好覆盖索引一次（不静默丢），
+// 真 sweep 只删收集到的 id、索引不动、last-used/agent-view/resume 记录被遗忘。
+    ["verify-unspoken-session-sweep", ['node', '--import', 'tsx/esm', 'scripts/verify-unspoken-session-sweep.tsx']],
+// 会话写租约回归（CR-2 / T-FIX-18）：真实 JSONL 持久化后端在临时 sessions 根上为
+// 夹具会话持有独占写租约（Windows 命名内核信号量 / POSIX flock），验证退出清扫
+// 「探不到就不删」——① 被别的写者持有的空壳保留、记为 write-leased（与挂载账本的
+// held-elsewhere 可区分）、日志仍在盘上；② 同一形态但无人持有照旧删除；③ 探针不可用
+// （平台不支持 / 非争用失败）保留；④ 恒返回 free 的探针必须让 ① 变红（锁着的会话
+// 被删）——「完全不看租约」正是修复前那个世界。另覆盖探针失败分类（无服务 / 无方法 /
+// 释放失败 ⇒ unknown）、预扫描的预算与顺序、索引不可读则一无所证，以及退出接线的锚：
+// 先取证 → 再本轮 → 最后组通知。
+    ["verify-session-write-lease", ['node', '--import', 'tsx/esm', 'scripts/verify-session-write-lease.ts']],
 // /resume 会话浏览器按键流回归：子运行折叠/展开、空会话不列出、搜索、
 // Esc 先清查询再退出、rename 后光标按 id 跟随目标（不是按行号）、
 // confirm-delete 只认无修饰 Enter、Esc 取消。真实 Chat 渲染驱动。