模型回读与 cwd 覆盖。 每轮 settle 后，provider 把 stream-json system（init）事件 model 字段里的实际模型（如 claude-opus-5[1m]，原样回读，上下文变体后缀照留）随 settled 进度事件上报，并合并进 delegations.jsonl 的 observedModel 字段；取不到即缺位，绝不猜测。当任何一层、任何记录都没有模型时，「默认」面的最近观测提示读成员自己的转录（projects/<cwd-slug>/<sessionId>.jsonl；无成员面读全树最新的那份）——这是为 settle 通道之前的旧轮次准备的历史兜底；只读，绝不回写 delegations.jsonl。编排器还可以经门面 DelegationCallOptions.cwd 给本轮指定工作目录（记录进 cwd 字段）；resume 轮解析出的目录若与首轮记录不一致，进程启动前即 fail loud——CLI 会话延续的是首轮所在目录的上下文。

工具调用计数。 每轮 settle 时，provider 顺带数出本轮的工具调用，随 settled 进度事件上报（toolCalls: { count, byName }）。计数就在流解析已经走过的 tool_use 分支里，byName 的键是该块自己的 name（Bash、Read、TodoWrite，MCP 工具则是 mcp__server__tool 全名），原样保留、不跨家归一。TodoWrite 也计——折叠逻辑把它挪去了 todo 快照、不进 transcript，但 CLI 确实调了它。本轮一份，绝不累计；一次都没调用就整个字段缺位（缺席 ≠ 0）。实测：一轮「先 Read 两个文件再 Bash 列目录」回读 {count: 3, byName: {Read: 2, Bash: 1}}，与镜像出的工具卡片逐个对得上。

命名 scope。 /claude-code login --scope <名> 在 <homesRoot>/claude-code@<名> 里另开一份 CLAUDE_CONFIG_DIR：登录的 argv 由被登录的那份目录现算（env CLAUDE_CONFIG_DIR=… claude auth login 的赋值压过 spawn env，写死缺省目录会让 --scope 登错地方）。claude 的 keychain 项按配置目录路径哈希，命名 scope 因此自动拿到自己的 keychain 项——四家里唯一天然按路径隔离的凭据。带 scope 的委派用该目录跑 claude -p、按它做 keychain↔文件协调、从它回读；只走 exec。

容器内委派。 编排器可以经门面 DelegationCallOptions.exec（{ container, workdir, env? }）让本轮跑在一个已取得的容器里：argv 变成 docker exec -w <workdir> [-e NAME…] <container> claude -p …，其余（stream-json 解析、settle、记录）逐字节不变。env 必须给出容器内的 CLAUDE_CONFIG_DIR，调用方把宿主作用域目录 rw bind 到那条路径上。实测评测镜像里的 claude 2.1.272：容器内的 CLI 读写 <CLAUDE_CONFIG_DIR>/.credentials.json，它整棵状态树（projects/、sessions/ 等）也落在那里；上游 #47661 那种「Linux 写作用域目录、读默认 home」的老行为不描述这个版本。每次 spawn 前的凭据协调照常在宿主作用域目录上跑，续期结果因此经挂载对容器可见——而且它是新者胜，不是单向镜像，因为单元是同一个文件的第二个写者。单元里的 CLI 没有 keychain，只能在挂进去的文件里就地轮换凭证；此时若无条件地把 keychain 盖到文件上，下一轮拿到的就是单元已经用掉的 refresh token，端点拒绝，CLI 随即清空该文件——整台实例随之登出，因为那个文件就是实例的凭据。所以协调只在 keychain 那份不比文件旧时才写（以 access token 过期时间为准；任一侧没有过期时间就仍由 keychain 写，不可用的文件永远不会赢）。挂载保持读写还有第二个理由：本轮的会话记录落在同一目录的 projects/ 下，评测的模型回读正是从这条挂载的宿主侧解析它们。容器轮固定走 exec 一次性驱动，且不声明成员桥。

容器轮必须用自己的 scope，这条纪律不是可选项。 claude 是这几家里唯一有两个凭据存储的，而实测 macOS 2.1.274 它们并没有同一个读者：宿主 CLI 读写 keychain，而单元里的 CLI——Linux、没有 keychain——读写挂进去的文件。同一次授权被两个存储各续一次，就是被续了两次；服务端轮换一次性 refresh token 的做法是把整个 token family 作废，于是没有最后续到的那一侧手里就是一个死 token。端到端实测过：容器轮轮换了文件，紧接着的宿主轮报 OAuth session expired and could not be refreshed，而文件自己的 access token 离过期还有好几个小时，只能重登才能恢复。新者胜保住的是文件那一侧（单元与所有状态探针读的就是它），但没有任何东西能把单元的轮换写回 keychain（security add-generic-password 只能把密文放进 argv，因此否决）。所以容器侧与宿主侧必须是两次独立授权：每个容器化的 claude 条件用自己的命名 scope，用 /claude-code login --scope <名> 授权一次，且永不在该 scope 上跑宿主轮。评测会在取单元之前就拒绝违反这条的计划。注意作用域 settings.json 里的宿主专用项：实测那里给宿主守护进程用的 https_proxy 在容器内指向不存在的地址，本轮当场 Connection refused——挂进去的目录要由调用方备好。

src/index.ts                harness 注册、/claude-code 命令族、config schema
src/claude-cli-provider.ts  一次性 provider:spawn、流镜像、turn/token 记账
src/provision.ts            作用域目录 provisioning 与基于文件的 logout
src/records.ts              认证探测与作用域目录的会话记录列表

bundle patch 把 claude-code harness 注册进家族 core（@khorsheed/dsh-local-agent，声明为依赖——claude 包刻意不重复插入 core 行，重复会挂载两次），并挂载 claude-local provider，后者在 harness 作用域目录下 spawn claude -p --verbose --output-format stream-json。subagent_claude_code 工具是家族自有工具（@khorsheed/dsh-local-agent-tool-subagent）：官方子集（description/prompt）加一个可选 resume 参数。

作用域隔离。 macOS 上真实凭据在系统 keychain 的哈希条目里（Claude Code-credentials-<sha256(configDir)[:8]>，以作用域目录路径为键）——基于文件的 logout 够不到它，但下次登录会重写同一个槽位。CLI 自己用哪个存储是随版本变的，且由实测而非假定确定：2.1.236 写 keychain、读文件（这个镜像正是为那条分裂而存在），而 2.1.274 在 macOS 上读写 keychain，2.1.272 在 Linux 上读写作用域文件。因此文件对本包自己的探针与容器轮仍是权威；keychain 才是当前 macOS 上宿主 CLI 真正用的那个。认证探测只做轻量文件检查——看作用域 .claude.json 的 oauthAccount，绝不为了探测而 spawn CLI。该探测同样会协调两个存储，因此遵守与 spawn 点一致的新者胜规则：它在每次状态读与每次就绪检查时都会跑，那里若是无条件镜像，同样会把容器轮的续期抹掉。

会话记录。 /claude-code sessions 列出作用域目录下的 projects/<cwd-slug>/<uuid>.jsonl 会话文件——即本 agent 的委派，绝不是你的私人会话。slug 是工作区路径的有损编码，所以列出的 workDir 取自文件内容（第一条 user 事件的 cwd 字段），绝不取自目录名。设置面板呈现同一份列表并收窄到当前工作区。

续聊安全。 句柄绝不进 prompt：它只从 resume 参数读取，localAgent registry 只对记录该委派的同一 parent 会话与 provider 解析句柄——伪造的句柄（未知子会话、他人 parent 的会话、或错误的 provider）在任何 CLI 进程启动前就被拒绝。

流镜像与记账。 thinking 块折叠为 reasoning 块、tool_use/tool_result 为工具行（[工具 Bash] <command> → output）、回复 text 为 assistant 文本；续聊轮各自追加自己的 turn，不会重复。编辑类调用（Edit/Write/MultiEdit/NotebookEdit）折叠为 ApplyPatch 式卡片——路径在参数行，真正的改动（旧/新串或整个文件体）在卡身，与 codex 的 fileChange 镜像同一形态；服务端工具（server_tool_use 的 web_search/web_fetch）与其结果按 id 配对成可见的 WebSearch/WebFetch 卡；redacted_thinking 折叠为一行可见的占位思考（内容按设计由服务端加密，不可见——行内注明）；其余工具的输入取单一标量摘要，取不到就给一份截断的 JSON 摘要而不是丢空。每个镜像 step 都包在同 (turn, step) 的 step/start–step/end 边界对内——宿主实时会话视图只在边界上登记 step，缺了边界 assistant 消息要等整页重建才渲染。provider 在 spawn 时开 turn/start、settle 时关 turn/end——失败与被取消同样关闭——因此 subagentTiming 时长等于实际 CLI 运行时长，不会留下未闭合窗口；最终 assistant/message 携带从 JSON 结果解析的 token 用量（input_tokens、output_tokens、cache_read_input_tokens、cache_creation_input_tokens——Anthropic 各桶独立上报）。

模型体验。 子会话是委派会话工作区内一个全新的一次性 claude -p；父级只提交独立的任务文本，只看到最终回答或精确错误，以及首次委派时的续聊自述——Claude 的评论、工具活动、工作区 diff 不会复制进父级。子会话 token 永不进入父级上下文；子会话为独立的 Claude 上下文与回合付费（缓存复用只取决于作用域安装自身的 provider、模型与历史）；父级 KV cache 不受影响。

长驻驱动（live: true）。 替代每轮 spawn：成员首轮委派拉起一个常驻 stream-json 进程（claude -p --verbose --input-format stream-json --output-format stream-json），第一条 stdin user 消息触发 system/init（server 分配 session id，即委派记录的 cliSessionId），之后每轮 = 一条 stdin 消息；事件流与 exec 的 stream-json 完全同形，逐轮过同一个 ClaudeStreamParser 折叠（末行留置到 result 挂用量，与 exec 一致），cancel 落地为 control_request interrupt——进程不死、会话可续。回收阶梯是 stdin EOF → SIGTERM；崩溃后下一轮以 --resume <session_id> 重挂盘上会话。runtime 在 spawn 时绑定成员的生效模型（会话级覆盖 → 委派模型 → 设置键），并把它暂写进作用域 settings.json（--resume 重挂认文件不认旗标）；绑定模型与新一轮解析不一致的 runtime 先退役再重挂。permissionMode: normal 的 spawn 不带 --dangerously-skip-permissions，CLI 的 server→client 控制请求（can_use_tool 审批面）由驱动自动应答 allow——子代理没有审批面，与 exec 在 skip 下的有效行为一致；其余子类型应答 error 而不是沉默挂起。授权纪律与 exec 逐字一致：只注入作用域 CLAUDE_CONFIG_DIR（与可选的 baseUrl 覆盖），绝不碰全局 ~/.claude，绝不执行任何 auth 命令。

配置注意。 宿主环境是启动时的快照——之后在别的 shell 里 export ANTHROPIC_BASE_URL 对运行中的进程无效，除非重启宿主；排查路由异常时检查宿主的实际环境而非你当前的 shell。每次委派在 info 级别记录有效端点（subagent-claude: delegating via <endpoint>），失败运行的报错文本会点名它。skip 作为默认是因为一次性 CLI 子代理没有审批面；委派需要被限制时，给宿主自身套沙箱（例如在沙箱化工作区内运行 dsh 宿主）。