feat: v0.8.1 记忆深化 · 观测闭环 · 体验收口 — 窗口/输出上限全局单一配置 · 2478 用例全量回归 + E2E 冒烟

硬性契约：删除代码中一切写死的上下文窗口与最大输出上限（含六家模型元信息
钳制与全部兜底值）——唯一合法来源是设置面板「上下文长度」（llm.contextWindow）
与「最大输出上限」（llm.maxTokens），跨 Provider/模型原样透传。

P0 正确性收口：
- 迁移 11/12（SCHEMA_VERSION 5）：记忆表 embedding 列 + 分 Provider 窗口键清理
- 记忆生命周期接线：会话终态清理 working memory / episodic 90 天 TTL / access_count 回写
- 回放缓冲模块化 + 会话终态清理（杜绝 4MB/会话内存滞留）
- i18n 收口：主进程 main-locale（zh/en，ui.locale 热切换）+ 渲染层 17 处出层

P1 能力演进：
- 本地向量混合检索：0.6×向量余弦 + 0.4×TF-IDF，Ollama embeddings 首次投产，
  存量记忆惰性回填，嵌入不可用自动回退 TF-IDF
- MEMORY.md 维护闭环：固化去重消除截断盲区；两阶段维护（AI 建议 → 用户确认 →
  原子改写 + 语义记忆双轨同步 + 审计）；>50KB 告警
- 可观测闭环：cacheTokens 引擎→前端透传（Token 面板命中率/成本行）+ 输入框
  上下文占用指示条
- MCP Prompts/Resources 对话可用：/mcp:{server}:{prompt} 与 @mcp:{server}:{uri}

P2 体验补全：
- 工具自定义策略（正则白/黑名单 + 频率 + 强制确认，热生效）
- 连续 ≥3 同类工具确认聚合为单弹框
- 会话消息游标分页（首屏 200 条向上翻页）
- 开机自启；Playwright + Electron E2E 冒烟（本地 mock LLM 零外联）

Review 回归修复：MCP 大小写失配 / 分页状态复位 / 清空=未配置语义（Number(null)=0
隐患）/ MEMORY.md 告警位置 / working_memories FK（迁移 13）/ 全局配置层废键清理；
附带根治权限加固启动时序、代理回环放行、safeStorage 降级、悬空 symlink 逃逸。

验证：typecheck/lint 0 问题；test:electron 2478/2478（0 跳过）；E2E 2/2；
docs/v0.8.1-迭代实施清单.md 全项留档。

electron/harness/sandbox/permissions.ts

@@ -172,9 +172,101 @@ export const DEFAULT_POLICIES: PermissionPolicy[] = [
   { toolName: 'file_info', requiredLevel: PermissionLevel.READ },
 ];
 
+/**
+ * v0.8.1 P2-1: 用户自定义策略解析（设置面板 ToolsSettings 存储）
+ *
+ * 存储契约：配置键 `tools.{toolName}.policy`（JSON 字符串），字段：
+ * - deniedPatterns / allowedPatterns: string[]（正则源；加载时编译，非法正则跳过）
+ * - maxFrequency: number（次/分钟）
+ * - requireConfirmation: boolean
+ * 解析失败整体返回 null（回退默认策略），单条非法正则仅跳过该条 —— 配置错误
+ * 不放大执行面（fail-closed），也不让一条坏配置瘫痪整个策略引擎。
+ */
+export interface ParsedToolPolicy {
+  deniedPatterns?: RegExp[];
+  allowedPatterns?: RegExp[];
+  maxFrequency?: number;
+  requireConfirmation?: boolean;
+}
+
+export function parseToolPolicy(raw: unknown): ParsedToolPolicy | null {
+  let obj: unknown = raw;
+  if (typeof raw === 'string') {
+    try {
+      obj = JSON.parse(raw);
+    } catch {
+      return null;
+    }
+  }
+  if (!obj || typeof obj !== 'object' || Array.isArray(obj)) return null;
+  const o = obj as Record<string, unknown>;
+  const compileList = (value: unknown): RegExp[] | undefined => {
+    if (value === undefined) return undefined;
+    if (!Array.isArray(value)) return undefined;
+    const compiled: RegExp[] = [];
+    for (const item of value.slice(0, 50)) {
+      if (typeof item !== 'string' || item.length === 0 || item.length > 500) continue;
+      try {
+        compiled.push(new RegExp(item));
+      } catch {
+        /* 非法正则跳过 */
+      }
+    }
+    return compiled;
+  };
+  const out: ParsedToolPolicy = {};
+  const denied = compileList(o.deniedPatterns);
+  if (denied) out.deniedPatterns = denied;
+  const allowed = compileList(o.allowedPatterns);
+  if (allowed) out.allowedPatterns = allowed;
+  if (typeof o.maxFrequency === 'number' && Number.isFinite(o.maxFrequency) && o.maxFrequency > 0) {
+    out.maxFrequency = Math.floor(o.maxFrequency);
+  }
+  if (typeof o.requireConfirmation === 'boolean') {
+    out.requireConfirmation = o.requireConfirmation;
+  }
+  return Object.keys(out).length > 0 ? out : null;
+}
+
 export class PolicyEngine {
   private policies: Map<string, PermissionPolicy> = new Map();
 
+  /**
+   * v0.8.1 P2-1: 用户自定义策略覆盖层（settings → 热加载）。
+   * resolvePolicy 的最高优先级 —— 覆盖层与默认策略按字段合并
+   * （未指定的安全字段如 deniedPatterns 保留默认值，与构造函数合并语义一致）。
+   */
+  private policyOverrides: Map<string, PermissionPolicy> = new Map();
+
+  /** 设置/清除某工具的用户策略覆盖（null = 清除，回退默认策略） */
+  setPolicyOverride(toolName: string, override: ParsedToolPolicy | null): void {
+    if (!override) {
+      this.policyOverrides.delete(toolName);
+      return;
+    }
+    const base = this.policies.get(toolName);
+    this.policyOverrides.set(toolName, {
+      ...(base ?? {
+        toolName,
+        requiredLevel: PermissionLevel.WRITE,
+      }),
+      toolName,
+      ...override,
+    });
+  }
+
+  /** 获取某工具当前的覆盖策略（UI 回显用；无覆盖返回 null） */
+  getPolicyOverride(toolName: string): ParsedToolPolicy | null {
+    const o = this.policyOverrides.get(toolName);
+    if (!o) return null;
+    return {
+      deniedPatterns: o.deniedPatterns?.map((r) => r.source),
+      allowedPatterns: o.allowedPatterns?.map((r) => r.source),
+      maxFrequency: o.maxFrequency,
+      requireConfirmation: o.requireConfirmation,
+    } as unknown as ParsedToolPolicy;
+  }
+
   /**
    * v0.4.1: 工具调用频率追踪 — 频率 key -> 调用时间戳列表
    * key 格式: `${sessionId}:${toolName}`（会话隔离）
@@ -217,6 +309,9 @@ export class PolicyEngine {
    * 供 checkAuthorization 与 requiresConfirmation 共用匹配逻辑，消除双份漂移。
    */
   private resolvePolicy(toolName: string): PermissionPolicy | undefined {
+    // v0.8.1 P2-1: 用户覆盖层最高优先级（settings 面板 → setPolicyOverride）
+    const override = this.policyOverrides.get(toolName);
+    if (override) return override;
     const exact = this.policies.get(toolName);
     if (exact) return exact;
     // C-7 修复: 支持通配符策略匹配（如 mcp_* 匹配所有 MCP 工具）

electron/harness/sandbox/sandbox.ts

@@ -7,7 +7,7 @@
  */
 
 import { resolve, sep } from 'path';
-import { existsSync, realpathSync } from 'fs';
+import { lstatSync, realpathSync } from 'fs';
 
 // v0.6.4 死代码清理：networkPolicy / resourceLimits 配置壳已删除。
 // 原字段被赋值后无任何方法消费（SandboxManager 没有进程沙箱执行器），
@@ -43,7 +43,11 @@ export class SandboxManager {
     const resolved = resolve(requestedPath);
 
     if (this.allowedPaths.size === 0) {
-      return { allowed: false, resolvedPath: resolved, reason: 'No allowed paths configured (fail-closed)' };
+      return {
+        allowed: false,
+        resolvedPath: resolved,
+        reason: 'No allowed paths configured (fail-closed)',
+      };
     }
 
     // 先做字符串级白名单校验
@@ -54,9 +58,40 @@ export class SandboxManager {
       return { allowed: false, resolvedPath: resolved, reason: 'Path not in allowed list' };
     }
 
-    // 解析符号链接（如果路径存在）
-    if (existsSync(resolved)) {
+    // 解析符号链接（v0.8.1 根治：lstat 判定 —— 旧实现用 existsSync 前置判定，
+    // 而 existsSync 跟随链接目标：悬空 symlink（目标不存在）会跳过 realpath
+    // 校验整体放行，构成白名单逃逸 —— 写操作可在白名单外创建目标文件）。
+    // 现契约：lstat 判定条目存在性（不跟随目标）；符号链接一律 realpath 解析，
+    // 悬空链接（realpath ENOENT）fail-closed 拒绝；普通条目维持既有 realpath 复核。
+    let st: ReturnType<typeof lstatSync> | null = null;
+    try {
+      st = lstatSync(resolved);
+    } catch {
+      st = null; // 条目不存在 → 允许（新建文件场景，行为不变）
+    }
+    if (st) {
       try {
+        if (st.isSymbolicLink()) {
+          // 悬空 symlink：realpathSync 抛 ENOENT → 显式拒绝（非偶然 catch）
+          let realPath: string;
+          try {
+            realPath = realpathSync(resolved);
+          } catch {
+            return {
+              allowed: false,
+              resolvedPath: resolved,
+              reason: 'Dangling symlink target outside workspace',
+            };
+          }
+          const realAllowed = Array.from(this.allowedPaths).some(
+            (allowed) => realPath === allowed || realPath.startsWith(allowed + sep),
+          );
+          if (!realAllowed) {
+            return { allowed: false, resolvedPath: realPath, reason: 'Symlink escape detected' };
+          }
+          return { allowed: true, resolvedPath: realPath };
+        }
+        // 普通条目：realpath 复核父级链接逃逸（既有行为）
         const realPath = realpathSync(resolved);
         const realAllowed = Array.from(this.allowedPaths).some(
           (allowed) => realPath === allowed || realPath.startsWith(allowed + sep),