精简动作审查输入并支持审批来源定位 (#125)

* fix: 精简审查背景并区分人工消息与调度输入

* fix: 模型审查仅提交当前调用与选定背景

* feat: 审批来源定位原会话并移除 Worker 审查背景

README.md

@@ -54,21 +54,22 @@ AI 自主渗透测试系统（Go 后端 + Next.js 前端）
 - 工具请求与审批裁决左右分栏，手机端上下排列；待审批记录可在详情中允许或拒绝。
 - 展开上下文可查看当前轮输入、会话记录片段、模型或规则初判、执行输出，以及调用 ID、参数/审查配置/模型输入的 SHA-256 指纹。对话审批卡片按需加载完整请求，长参数可展开复制。
 - 审批状态和执行结果分别保存。模型直接允许也会记录；重复提交已处理审批返回 HTTP 409。
+- 点击审批「来源」会打开对应的完整对话，自动加载到原始工具调用的位置并展开命令和输出；任务内按调用所属的 Worker、规划器或主 Agent 分段会话定位。关联使用持久化工具调用 ID，不按命令文本猜测；对话已删除会提示并留在审批页，任务或执行记录缺失也会明确提示。
 - `GET /api/intercept/history/{id}` 按需读取详情，原列表接口不返回上下文和输出。数据库启动迁移自动补列；旧记录显示未记录，旧任务归档可正常恢复。
 
-上下文是工具请求产生时保存的会话记录片段，最多 24 条、每条 8 KiB；当前轮输入最多 32 KiB，执行输出最多 64 KiB，截断会明确标注。
+会话审计片段是工具请求产生时保存的记录，最多 24 条、每条 8 KiB；当前轮输入最多 32 KiB，执行输出最多 64 KiB，截断会明确标注。
 当前 Norma SDK 的审批钩子不包含调用 ID，因此仅在当前运行中能够唯一匹配工具请求事件时关联结果；相同参数的并发调用无法唯一匹配时，会显示未关联，避免错误归属。
 
 ### 上下文模型审查
 
-参考 AegisHook 将任务约束、执行事实与当前调用分开的设计，模型现在接收版本化 JSON：任务描述、目标和操作约束，本机工作目录、Worker 意图、当前轮输入，以及配对的近期工具执行结果；末尾保留完整工具名和 JSON 参数（包括交互 Shell 的会话 ID）。
+模型接收审查系统提示词和版本 4 JSON：本机工作目录、可用的简短背景、完整工具名和 JSON 参数（包括交互 Shell 的会话 ID）。模型输入与会话审计分开，历史调用不再提交审查。
 
-- 任务约束每次审查从数据库重新读取。自动发现的资产不视为新增授权；约束登记来源也不等同于逐条人工批准。任务上下文读取失败或约束超过 16,000 字节时转人工，避免遗漏禁止项后自动放行。
-- 意图和当前轮输入只提供背景，不能要求模型改变裁决。历史仅保留按调用 ID 配对的执行事实，排除 Agent 自述、未执行请求和平台拒绝反馈；失败结果可能包含部分副作用。
-- 审查历史最多保留 6 对，每对参数预览和结果各 2,000 字节；描述、目标、意图和当前轮输入各最多 4,000 字节，截断有明确标记。有限窗口不能用作全任务累计计数；当前调用参数不截断。
-- 所有模型裁决（包括自动允许）的详情均保存实际提交模型的 JSON 及指纹。页面优先展示该快照中的当前轮输入、任务背景和配对工具记录，并可展开完整 JSON；较大的原始会话审计片段单独展示，不重复保存在自动允许记录中。旧版仅保留指纹的记录明确提示无法还原原文，不用当前数据补造历史。
+- 背景仅取聊天和任务主 Agent 的当前实际用户消息（`background.source=user_message`），在添加附件清单前绑定，不调用模型生成摘要。Worker 不发送背景、意图摘要或上级 Agent 的背景；自动规划器和自动触发的会话也不附带用户背景。缺少原文时省略，不回退到整轮调度输入。
+- 不主动附带任务编号、描述、目标、任务操作约束、全局探索态势或完整 Worker 意图。审查模型依照自己的操作审查策略裁决，不负责约束 Agent 的任务方向；Agent 自身仍照常接收任务信息和约束。背景和工具参数中的指令不能改变审查规则，Worker 的声明不能证明产物归属。
+- 不发送历史命令、历史执行结果、历史审批理由或调用关联标记，也不从审计记录补取。背景最多 4,000 字节，超出后截断并标记；当前调用参数不截断。删改对象归属无法从当前参数确定时，按审查策略处理，不能根据背景自述假定此前已创建；普通只读动作不因缺少历史而转人工。
+- 所有模型裁决（包括自动允许）的详情均保存实际提交模型的 JSON 及指纹。页面优先展示当前待审查调用，并展示背景来源、工作目录和“未发送历史调用”说明，可展开完整 JSON；任务/会话编号和 Agent 仍用于审批来源显示。旧版 v1/v2/v3 快照保留当时发送的字段及历史调用并标明旧版，只有指纹的历史记录明确提示无法还原原文，不用当前数据补造历史。较大的原始会话审计片段单独展示，不代表发送给审查模型的内容，也不重复保存在自动允许记录中。
 - 模型输出 JSON 的 `decision`（allow / ask / deny）及 `comment`；三种裁决的说明均必须包含“实际操作、成功后的后果、命中规则”。缺少说明、重复字段或不完整 JSON 按已配置的模型失败策略处理，不伪造模型解释。
-- 自定义审查策略保留，运行时统一追加输入信任边界和 JSON 输出协议，旧的单行输出要求由新协议替代。模型按当前操作的全部直接效果裁决，结合成功创建记录确认测试产物归属；写入报告只描述保存文本，不将正文记述的上传或命令当作本次执行行为。
+- 自定义审查策略保留，运行时统一追加输入信任边界和 JSON 输出协议，旧的单行输出要求由新协议替代。模型按当前操作的全部直接效果裁决，不推测历史行为；写入报告只描述保存文本，不将正文记述的上传或命令当作本次执行行为。
 
 官方默认规则、工具拦截范围和优先级不变：仅范围内且未命中规则的调用进入已启用的模型审查。模型未启用时沿用原行为；模型调用异常仍遵循用户配置的失败策略。