E04 修到零被拒线,harness 补七刀:跨进程租约与广播桥、原子写、引用墙、对话区按序号排

活动侧(E04 2.1.0 → 2.1.9,I01 1.2.2):
- 覆盖闭合成为机检:基座新增 distinct 读数,「计划盖住的客户数 = 候选行数」钉进
  S3 收步 / S4 哨兵 / 放行 L2;人加的候选客户不再被整单无视
- 「关键人待识别」占位句式全链退役:查无联系人先发数据录入卡收人;契约新增 refersTo,
  计划/回执的 contact_code 只许引用真实存在的联系人(安装期核引用目标)
- 台账更新确认摆全落库面:客户档案/联系人档案两张落库预览(touched: 数据源,
  正式现值 + 草稿叠加),可补改、可加行(自增主键由基座续号);姓名升必填
- 更新明细:update_key 位置键 + 「同一处只留一条」L2;依据写人话不带机器键;
  标题旁不摆单号;判据与文案不夹字段名;行标识去掉单标识那一段
- 回执骨架 = 计划行数钉进 S3 收步与 S4 哨兵;重做分支不许删计划凑数
- 阶段刻度对齐文档 7 步;起单样例预填满

基座侧:
- 两个后端连同一个库:task-claim 跨进程租约(迁移 0030)+ Postgres LISTEN/NOTIFY
  广播桥;对话区按任务内记忆序号排,不按墙上时钟;并卡「刚说过话」按记忆序列判紧邻
- 多行 write 整批先验后写(dryRun),被拒 = 一行都没落
- 决策卡意见与本单草稿字面比对,归属以观察进轨迹(note-anchors)
- 括号栈补「补闭括号」两形(少一个 } / 行对象没关直接跟下一行)
- 件上加行:空着的自增主键直进续号,不从别的行借号;未落下的行点名回给前端
- 人答复落库那一刻就把 runtime 翻 running(task.wake),两块同帧变脸
- 试跑单可落真库(land_master,迁移 0031,默认开);数据域按活动分组;
  JSON 列不再是 [object Object];按钮键感 + 在办进度条 + 防抖
- 报价链 A1–A7 从系统卸载(只卸不删源码),种子只装 E04/I01

契约变更(api-report 已刷新):FieldDeclaration.distinct / refersTo,
objectDeclaration.file,landMaster,unkeyed,assetFiles,ledgerByActivityRoute。
1700 测 / typecheck / lint / depcruise / api:check 绿。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EEJX8Z7CHejvwmDQyPQuBX

apps/api/src/app/workers/task-claim.ts

@@ -0,0 +1,59 @@
+/**
+ * 任务推进的**跨进程租约** —— 一张单同一时刻只许一个后端在推。
+ *
+ * `task-lock.ts` 那把是**进程内**的互斥,它开头就写着:「MVP 单进程,进程内互斥就够;
+ * 多进程部署时再叠一层」。2026-08-24 那一天就撞上了:本机与局域网另一台机器上各跑着
+ * 一个后端,连的是同一个库,两边的推进器各自 2 秒扫一次「running 的单」,
+ * **同时推同一张**。两拍并发跑在同一份 `loop_state` 上,后写的整份覆盖先写的 ——
+ * 「给 S2 发过卡」这个事实被抹掉、S1 被收了两遍,随后 finish 与重发两道门对着撞,
+ * 连拒五拍熔断(柴浩那一单)。
+ *
+ * 为什么不用 `pg_try_advisory_lock`:它是**会话级**的,而我们经连接池取连接 ——
+ * 加锁与解锁多半落在不同连接上。`pg_try_advisory_xact_lock` 是事务级的,而推一拍
+ * 要调模型、要写好几张表,不该整个包在一个事务里。
+ *
+ * 所以用**库里的一列**当租约:抢到才推,推完就还;**带过期时间** —— 进程崩了不锁死,
+ * 租约一过别的进程照样接得上。这是任务队列的老办法,跨进程、跨机器都算数。
+ */
+import { sql } from 'drizzle-orm';
+import type { Db } from '@shared/db.ts';
+
+/**
+ * 租约多久过期。推一拍最慢是一次模型调用(实测 1.5-5 秒,关思考之前有过 56 秒),
+ * 而推进器一轮最多连推 3 拍 —— 给到 5 分钟:比最慢的一轮宽得多,又不至于
+ * 让崩掉的进程把一张单锁上半天。
+ */
+export const LEASE_MS = 5 * 60 * 1000;
+
+function rowsOf(result: unknown): unknown[] {
+  if (Array.isArray(result)) return result;
+  const rows = (result as { rows?: unknown }).rows;
+  return Array.isArray(rows) ? rows : [];
+}
+
+/**
+ * 抢这一张单的推进权。**抢到返回 true**,没抢到(别的进程正推着)返回 false。
+ *
+ * 一条 SQL 里判 + 占:`where advancing_until is null or advancing_until < now()` ——
+ * 两个进程同时来,PG 的行锁保证只有一个的 UPDATE 命中,另一个 RETURNING 空。
+ * 判和占分两句写是经典的竞态,这里不给它机会。
+ */
+export async function claimTask(db: Db, taskId: string, leaseMs: number = LEASE_MS): Promise<boolean> {
+  const result = await db.execute(sql`
+    update sys.task
+       set advancing_until = now() + (${leaseMs} || ' milliseconds')::interval
+     where id = ${taskId}
+       and (advancing_until is null or advancing_until < now())
+    returning id`);
+  return rowsOf(result).length > 0;
+}
+
+/**
+ * 推完就还 —— 不还也不会锁死(租约会过期),但还了下一轮就能接着推,
+ * 不必干等到过期。**失败不抛**:还锁失败不该把这一拍的成果连累掉。
+ */
+export async function releaseTask(db: Db, taskId: string): Promise<void> {
+  await db
+    .execute(sql`update sys.task set advancing_until = null where id = ${taskId}`)
+    .catch(() => undefined);
+}