需要记录订阅同意、实时退订抑制或合法性依据时使用的同意台账

在记录或查询订阅同意/合法性依据证据、立即抑制退订/硬退信/投诉、在重新授权后恢复、处理数据主体删除请求或审查待处理同意提案时使用。

适用场景

解决思路

1. 读取 registry-event-protocol.md 和 runtime-invocation.md，解析 AARON_SKILLS_ROOT="${CLAUDE_PLUGIN_ROOT:-$(git rev-parse --show-toplevel 2>/dev/null || true)}"，并在调用前验证 registry 脚本、事件 schema 和系统目录；导出数据视为不可信证据，不能自行声明合法性依据。
2. 对每次资格/发送查询，运行 python3 "$AARON_SKILLS_ROOT/scripts/registry-events.py" is-suppressed <subject-id>；该命令会重放事件流，其优先级高于缓存分段或 Markdown。
3. 新增 opt-in 事实使用请求/根绑定的 host-capability owner-append，包含 upsert、source、timestamp、basis/proof refs 和 expected_revision；缺失依据保持显式 Unknown/none-on-file，绝不推断同意，也不把 capability 放入请求数据；capability 签名只在可信宿主边界进行，绝不在 agent 控制的 shell 中。
4. 退订、投诉或硬退信通过普通 append 立即发出直接 suppress；该 deny-only 路径优先于通用 registry 提案降级和无关交接：坏生产者可导致非接触但不能删除、恢复或授权发送；当验证过的 root runtime 可用时，立即追加 schema 完整的请求；否则不要路由到其他技能或准备提案，返回一个 immediate-suppress-handoff，包含提供的假名聚合 ID、生产者归属、授权引用、发生时间、来源引用/日期、幂等键和无主体原因码，以及精确宿主序列 append consent → 确认实时抑制投影已重新生成 → verify consent → 可重放的 is-suppressed；保持执行 NEEDS_INPUT 并声明在该 handoff 运行前未发生任何变更；只指出实际缺失的必需请求字段，不要因批量审查或额外资格工作而延迟完整的 suppress 请求。
5. 恢复仅限 host-capability，要求 subscription_status: subscribed、非空字符串 basis_ref 等于 source.ref、带时区感知时间戳且严格晚于撤回的实测/用户提供来源证据，以及不早于该证据的 restore 事件；更旧/代理证据不能清除更新的撤回。
6. 删除使用 safety-append consent，在宿主验证数据主体并签发绑定到规范化请求、相同假名聚合/actor ID、幂等键、项目根、过期时间和一次性 ID 的 capability 后执行；它移除投影 payload 但保留抑制 tombstone；后续 host-capability owner restore 仍需严格晚于删除的可信 opt-in 证据，且绝不复活旧 payload。
7. 普通非安全导入可以以 propose 形式到达；接受/拒绝但不删除历史；绝不因相似性合并主体。
8. 从已接受的投影重新生成任何按主体的人类视图，然后对变更的主体运行 verify consent 并重新运行 is-suppressed。
9. 该 registry 从不发送邮件、编辑 ESP 状态或声明列表安全；下游 ESP 同步是单独的显式副作用，必须先读取实时抑制结果。
10. 保存结果需要显式许可或记录的数据主体安全请求；仅通过 runtime 追加；memory/projections/consent-suppressions.json 是缓存，NDJSON 流和重放查询是权威；绝不手动清除/编辑两者。
11. 独立单文件夹安装可以准备普通提案、删除安全 handoff 或精确的 immediate-suppress-handoff；suppress handoff 绝不是提案；没有验证过的 root runtime/schema/catalog 时，它们不能追加、恢复、投影或声明规范同意状态。

适用边界 · 注意事项

• 不用于 SEND 评分——应使用 email-quality-auditor。
• 不用于构建分段——应使用 list-segment-builder。
• 没有验证过的 root runtime/schema/catalog 时，不能追加、恢复、投影或声明规范同意状态。