Reconcile proven completed inputs without replay and hide internal fact notices

references/operations.md

@@ -58,6 +58,10 @@ fleet按需启动绑定会话的worker/mirror，空闲后安全释放桥接名
 
 已开始的执行失联后不自动重跑。重启发现inflight或待对账时，先查保存的回执、原会话、现有进程和产物；不能因一个本机进程结束就认为远端操作没发生。确认原操作已完成则收敛回执，只有明确核查和批准后才重试。
 
+主入口与咨询fleet仅在自有worker已退出且取得同一worker锁时自动收敛：原message ID、所属session、thread、完整输入哈希、turn必须一致，服务端为终态且存在reply_to关联的agent回复。仅保存原delivery_receipts并清已证实完成的本机在途标记，不重发原输入；离线、证据缺失、历史范围外或锁占用时继续待核查。监督器退出不终止活worker，让持有的锁和状态约束后续恢复。
+
+事实核实答复通知的原始输入保留审计，网页只在当前咨询会话持久通知记录能逐字证明完整封装时隐藏该内部输入，保留咨询助手正常最终回复。用户实际提交的正文、原样引用及近似封装不按关键词过滤。
+
 对已accepted/unknown的旧投递，不在同一message下更换输入哈希重试。核查并结束旧投递后，确需再次执行时建立带新幂等键的新消息，保留旧记录与人工依据；不要通过清空数据库恢复执行。
 
 Windows下桌面队列命令受系统命令行长度限制；过长消息与上下文明确失败，不截断用户正文后静默提交。可缩小上下文或按用户意图拆成多条消息。