┌─────────────────────────────────────────────────────────────────┐
│  上下文层（会话开始前自动就位）                                   │
│  ─────────────────────────────────────────────────────────────  │
│  SOUL.md（全局身份，slot #1，只从 HERMES_HOME 加载）              │
│  AGENTS.md / CLAUDE.md（项目上下文，从 CWD 向上发现，自动注入）    │
│  MEMORY.md（环境事实、架构决策、约定）                            │
└────────────────────────────┬────────────────────────────────────┘
                             ▼
┌─────────────────────────────────────────────────────────────────┐
│  执行层（干活的手）                                              │
│  ────────────────────────────────────────────────────────────   │
│  terminal        跑命令 / 测试 / 查日志（支持后台+通知）           │
│  process         后台进程 list/poll/log/wait/kill/write          │
│  read_file       读文件                                          │
│  search_files    ripgrep 全仓搜索                                │
│  patch           模糊替换，返回 diff（比整文件重写安全）           │
│  write_file      新建/覆写                                       │
│  execute_code    跑 Python，可程序化调用 Hermes 工具              │
└────────────────────────────┬────────────────────────────────────┘
                             ▼
┌─────────────────────────────────────────────────────────────────┐
│  智力放大层（省 token、召回历史）                                 │
│  ────────────────────────────────────────────────────────────   │
│  session_search  FTS5 查全部历史会话，返回真实消息，~20ms         │
│  delegate_task   派子代理隔离上下文并行调研，只回摘要              │
│  memory          把结论写成跨会话记忆                             │
│  skill_manage    把验证过的流程沉淀成 SKILL.md                    │
└─────────────────────────────────────────────────────────────────┘

cd /path/to/your-repo
hermes

/init 补充说明：这是个 FastAPI + Postgres 项目，测试用 pytest，
部署走 GitHub Actions，密钥统一走 .env 不许硬编码

context_file_max_chars: 40000

cd ~/projects/my-api
hermes --worktree          # 在隔离 git worktree 里工作，不污染当前分支

线上 OAuth 登录报 invalid_client，昨天还好的。
先做三件事再动手：
1) session_search 搜 "invalid_client" 和 "OAuth" 相关的历史会话
2) 读 MEMORY.md 里关于本项目认证模块的架构决策
3) terminal 看最近 200 行应用日志和昨天到现在的 git log

# session_search 命中三个月前一次同类故障（FTS5，真实原文，非摘要）
# → 上次结论：密钥在 CI 里被 secret masking 截断
# terminal 执行
tail -n 200 ./logs/app.log
git log --oneline --since="2 days ago"

按历史结论优先验证密钥完整性。注意：不要把密钥明文打印出来，只对比长度和首尾 4 位。

import os, hashlib
v = os.environ.get("OAUTH_CLIENT_SECRET", "")
print("len:", len(v), "head:", v[:4], "tail:", v[-4:],
      "sha8:", hashlib.sha256(v.encode()).hexdigest()[:8])
# 期望 len=64，实际 len=40 → 确认被截断

用 patch 修 .env 里的 OAUTH_CLIENT_SECRET，改完给我 diff，
密钥值我贴给你——注意不要提交 .env，确认它在 .gitignore 里

重启服务并验证：后台起服务，等健康检查通过后跑认证相关的 pytest

# terminal 支持后台执行，配合 process 工具管理
uvicorn app.main:app --reload &
# process poll / process log 查状态，不用盲等
pytest tests/test_auth.py -v

这次排查到此结束。做三件事：
1) memory 记一条：本项目 OAUTH_CLIENT_SECRET 长度必须 64，
   CI secret masking 会截断超长值，部署后必须校验长度
2) skill_manage 把这套排查流程沉淀成 oauth-invalid-client-triage
3) 给我一份会话摘要，以及一条符合仓库 commit 规范的提交信息

---
name: oauth-invalid-client-triage
description: OAuth invalid_client 报错的标准排查流程
version: 1.0.0
metadata:
  hermes:
    tags: [debug, oauth, backend]
    category: devops
    requires_toolsets: [terminal, file, session_search]
---
# OAuth invalid_client 排查 SOP
## When to Use
出现 invalid_client / unauthorized_client，或认证在部署后突然失效。
## Procedure
1. session_search 检索历史同类故障
2. 校验密钥长度与首尾（禁止明文输出）
3. 对比 .env 与密钥管理平台的原始值
4. 检查 CI/CD 是否发生 secret masking 截断
5. patch 修正 → 重启 → 跑认证测试
## Pitfalls
- 密钥尾部空格/换行会导致同样报错，用 len() 而非肉眼比对
- 容器环境变量可能被镜像层缓存，需重建而非重启
## Verification
pytest tests/test_auth.py 全绿，且日志无 invalid_client。

delegate_task 派三个子代理并行调研，各自只回摘要：
A：认证与权限模块的调用链和关键抽象
B：数据层 ORM 模型与迁移历史，标注有历史包袱的地方
C：CI/CD 流程与部署脚本，标注所有密钥注入点

approvals:
  mode: smart            # smart | manual | off
  deny:                  # 用户拒绝规则，fnmatch glob，优先于 yolo
    - "git push --force*"
    - "git reset --hard*"
    - "*curl*|*sh*"