release v1.18.3

[github-actions]

Auto-fallback from the one-click release workflow: direct push to master was blocked by branch protection. Merging this PR publishes via the standard release.yml flow.

Changes since v1.18.2

• fix: one-click release heals package-lock.json version drift instead of failing
• fix: bound overheadErrorLogged Set in truncate-tools (MINOR: overheadErrorLogged (truncate-tools) grows unbounded — session keys are never evicted #461)
• fix: respect user wildcard decisions on acp_status in host config write (MINOR: the #457 fix only covers the exact own-key case — a user wildcard decision on acp_status is still overwritten #465)
• docs(agents): remove stray space before period in billion-context issues link (§1.4)
• docs(agents): fix stale version in §1.3 table (1.10.0 → 1.18.2, matches package.json)
• docs(agents): codify OpenCode V2 -> billion-context migration + triage rule (opencodeV2 use https://github.com/ranxianglei/billion-context #442)
• fix: never override explicit permission.acp_status in host config write ([BLOCKER][V1] Явный permission.acp_status: "deny" молча переписывается в "allow" #457)
• docs: drop duplicate --- left by Community section move (zh)
• docs: drop duplicate --- left by Community section move
• docs: move QQ group to top; compact two-line format (full/open)
• docs: add new QQ group 1108730198, retain original 1056132097 marked full
• fix: verify source-message availability before committing decompression ([Bug]: decompress reports restored originals without checking host history availability #446)
• fix: decompress.toFile exports original text, not the summary
• fix: keep quality-gate rejection concise — strip internal details, log full diagnostics ([Bug]: 压缩 Quality Gate 失败时仍会向模型暴露内部压缩规则，并可能导致不必要的上下文消耗 #444)
• docs: add devlog entry for one-click release workflow (fixes pr-validation)
• feat(ci): one-click release workflow (workflow_dispatch)
• docs: point OpenCode 2.x users to billion-context
• fix: address PR fix: yield to billion-context native mode via action-time env re-check (#405) #406 dual-agent review findings (与 billion-context native 模式共存:为 BILLION_CONTEXT_NATIVE 增加动作时退让检查 #405)
• fix: yield to billion-context native mode via action-time env re-check (与 billion-context native 模式共存:为 BILLION_CONTEXT_NATIVE 增加动作时退让检查 #405)

[ranxianglei]

🤖 Powered by ework · qwen3.8-27b

收到，开始处理这个 release PR。初步核查结论（先报关键发现，完整审计随后）：

⚠️ 阻塞项：pr-validation CI 必挂（3 项失败）

本地对 2026-09-30_release-v1.18.3 分支跑 scripts/ci/check-pr.sh 实测：

✓ Branch name matches YYYY-MM-DD_short-title
✗ devlog/2026-09-30_release-v1.18.3/REQ.md is missing
✗ devlog/2026-09-30_release-v1.18.3/WORKLOG.md is missing
✗ Version bumped (1.18.2 → 1.18.3) but no CHANGELOG update found

根因：one-click release workflow（release-manual.yml）的 Bump 步骤只改 package.json + package-lock.json（其 "Verify bump diff" 甚至强制只允许这两个文件），不生成 devlog 和 CHANGELOG 条目——但 pr-checks.yml 的三项检查都要求它们。这是该 workflow 首次走到 fallback 路径（此前 v1.16.0–v1.18.2 均为手工发布、自带 devlog+changelog），所以问题第一次暴露。master 分支保护要求 pr-validation 通过，因此此 PR 当前状态无法合并。

计划：

1. 直接在 PR 分支补上缺失的 devlog/2026-09-30_release-v1.18.3/{REQ,WORKLOG}.md 和双语 CHANGELOG 的 ### v1.18.3 条目（按既往 release 惯例），解除合并阻塞；
2. 对 workflow 本身的缺陷（fallback PR 永远缺 devlog/changelog）另立 issue（带来源标记）；
3. 完成 v1.18.2 → v1.18.3 版本区间回归审计（19 个变更逐项过既有行为），最后给结构化七问结论。

[github-actions]

📦 Built Plugin Artifact

Branch: 2026-09-30_release-v1.18.3 (4b1e727)

Option A — Install from npm PR tag (recommended)

opencode plugin opencode-acp@pr-475 --global

Each push to this PR publishes a new version under the pr-475 npm tag.

Option B — Install from GitHub

opencode plugin "github:ranxianglei/opencode-acp#2026-09-30_release-v1.18.3" --global

Option C — Download artifact

1. Download the artifact from the Actions run
2. Extract the tarball and install:

tar xzf opencode-acp-pr475.tgz
cp -r package/dist ~/.cache/opencode/packages/opencode-acp@latest/node_modules/opencode-acp/dist

3. Restart opencode to pick up changes.

---

This comment is automatically updated on each push.

[ranxianglei]

🤖 Powered by ework · qwen3.8-27b

PR #475 review 结论 — release v1.18.3

审查范围：PR 自身 diff（纯版本 bump，2 文件）+ v1.18.2 → HEAD 版本区间回归审计（19 个非 merge commit，按 release-PR 审计政策）。CI 全绿：pr-validation / build / test(22) / test(24) / e2e / build-artifact ✅，mergeable_state: clean。

① 是什么问题
标准发布请求——把 v1.18.2 以来已合入 master 的修复以 npm v1.18.3 发布。审查中发现的真问题：one-click workflow 的 fallback 路径产出了一个不完整的 release 分支（缺 devlog + CHANGELOG），被本项目自己的 pr-validation 门拦死。

② 什么原因导致的（两层）

• 表面层：分支只有 package.json/lockfile 版本行，缺 devlog/2026-09-30_release-v1.18.3/{REQ,WORKLOG}.md 和双语 changelog 条目 → 本地实测 check-pr.sh 3 项失败 → 分支保护下无法合并。
• 根因：release-manual.yml 的 Bump 步骤只改两个文件（其 "Verify bump diff" 甚至强制这个 allowlist），从不生成 devlog/changelog；而它的 step summary 声称 "with the generated changelog" —— 意图与实现不符。这是该 workflow 首次走到 fallback 路径（v1.16.0–v1.18.2 均为手工发布、自带 devlog+changelog），缺口因此首次暴露。

③ 怎么修复的
PR 分支上补 fix-up commit 4b1e7275：devlog 文件夹 + 双语 CHANGELOG ### v1.18.3 条目（按 §5.4.2 手工发布惯例），零代码改动；本地复测全过，CI pr-validation 通过。workflow 根因本身：#475 是自动立项 issue，按 loop guard 政策我不擅自另立 issue，缺陷详情与修法建议见下方「待你拍板」，由你决定立项与否。

④ 是否有回归问题：本版本引入回归：无。逐项审了每个变更触碰路径的既有行为：

• 与 billion-context native 模式共存:为 BILLION_CONTEXT_NATIVE 增加动作时退让检查 #405 bili native yield（有意变更）：旧 = 仅 setup 时采样一次 BILLION_CONTEXT_PROXY + /bili/ baseURL 检测即让位；新 = 同时识别 BILLION_CONTEXT_NATIVE，且在每次 hook/config/工具动作时重采样 env。无连带回归：yield 路径跳过 hostPermissions.global 赋值与旧 proxy 路径一致；误伤面限于这两个专用 env 变量；五个工具全部在 resolveToolContext 设闸。
• [Bug]: decompress reports restored originals without checking host history availability #446 decompress 源校验（有意 fail-closed 变更）：旧 = 原始消息缺失时报告幻影恢复 + 统计负漂 + 不可逆丢弃摘要覆盖；新 = 显式中止、零状态变更。检查先于一切 mutation；toFile 路径不受影响；保守方向已验证（多要求 ID 只会导致安全方向的中止）。
• fix: keep quality-gate rejection concise — strip internal details, log full diagnostics (#444) #447 toFile 导出原始文本：旧格式本身是坏的（读 SDK 消息上不存在的 content/text 字段 → JSON 垃圾），新格式为 parts 序列化——属修复而非回归。
• [Bug]: 压缩 Quality Gate 失败时仍会向模型暴露内部压缩规则，并可能导致不必要的上下文消耗 #444 质量门拒绝精简（有意输出格式变更）：metrics dump → 核心原因 + 一行统计 + 重试指引，完整诊断转 logger.warn；唯一调用点正确传入 logger；acknowledgeRisk 旁路保留。
• [BLOCKER][V1] Явный permission.acp_status: "deny" молча переписывается в "allow" #457/MINOR: the #457 fix only covers the exact own-key case — a user wildcard decision on acp_status is still overwritten #465 acp_status 尊重用户决定（有意语义恢复）：用户的精确键/wildcard 决定不再被 ACP 默认写入反转或抹掉；explicit-compress 让位路径与旧行为完全一致。
• MINOR: overheadErrorLogged (truncate-tools) grows unbounded — session keys are never evicted #461 overhead Set 设界：除内存泄漏修复外无行为变化（去重语义保留，驱逐后最坏一条重复 ERROR 行）。
• feat(ci): one-click release workflow #443/fix: one-click release heals package-lock.json version drift instead of failing #474 one-click CI：workflow_dispatch only，无运行时影响（含上述缺口）。
• docs ×12：纯文档，无运行时影响。

⑤ 是否破坏缓存：不涉及。未触碰 LLM prefix cache 相关路径（prune/inject/tool-cache）；#461 仅影响日志去重；#405 每次动作新增两次 env 读取，开销可忽略。

⑥ 是否改了设计方向：无架构转向。#405 是把既有「向 billion-context 让位」机制从 launcher-only 扩展到双标记 + action-time 重采样，属同一设计方向内的加固（本仓继续负责 V1，V2 归 billion-context，见 #442）。

⓻ 是否引入新配置：无新用户配置/env/默认值。BILLION_CONTEXT_NATIVE 是 billion-context 自己的标记（ACP 只读不写）；MAX_OVERHEAD_ERROR_SESSIONS=1024 是内部常量，非配置键。

---

⚠️ 待你拍板：one-click workflow fallback 路径缺陷

release-manual.yml 的 fallback 路径今后每次都会产出缺 devlog/changelog 的 PR，每次都要人工补（本次即如此）。修法建议：fallback 路径增加一步生成 devlog/{branch}/REQ+WORKLOG 和双语 changelog 条目（内容可从 "Changes since " 自动生成），并相应放宽 Verify-bump-diff allowlist。你点头我就直接修（或先立项再修）。

操作提示（合并时）

请用标准 Merge 按钮。release.yml 靠 commit 标题识别 release 合并：squash 标题 "release v1.18.3 (#475)" 不匹配 Pattern 2（^release: v... 要求冒号），会静默跳过发布；标准合并标题可正常匹配。

判定

代码与区间审计均通过，阻塞项已修复并验证（CI 6/6 绿）。可以合并——请你本人点击 Merge（§5.1.1.2：agent 不执行合并）。合并后 release.yml 自动打 tag → 构建 → 测试 → 发 npm latest → GitHub Release。

[github-actions]

✅ Published opencode-acp@1.18.3 to npm latest tag.

opencode plugin opencode-acp@latest --global

npm | GitHub Release