[haofeng0705]

问题与行为

local_agent 已被拉入群后，本地仍用个人可见范围拒绝群成员；群白名单为空时，内置 Agent worker 甚至不会订阅群消息。结果是私聊正常，群内 @ 没有进入 Agent。

本次按产品规则区分：local_agent 群聊以已入群为准，不叠加个人可见范围或本地白名单；私聊仍使用 DEAP 已发布可见范围，其他类型维持本地白名单。群事件入队前继续核实已发布身份、类型和在线状态，未知类型或查询失败不放行。

目标为数字员工专项 #1476 分支；原 #1479 已合入。本 PR 仅包含后续群聊修正。配套 DingTalk-Real-AI/dsh-dingtalk#28 。

实现

• 受管员工订阅原生 @ 当前员工事件，不再依赖本地群白名单；普通群消息不进入模型，不按正文中的 @ 字样判断；现有发送、去重、自发消息过滤和 Agent 权限保持不变。
• channel binding 接受可选 conversationType（direct/group，缺省 direct）；新增 groupMembershipAccess 能力。DSH 仅在能力存在时传递会话类型，兼容旧 DWS。
• 更新文档、发布片段及测试，未修改命令删除或兼容性门禁。

验证

DWS e6d14ae；DSH 81b3be51e50fff2ac2e868648f80082c04936928。

检查	结果
群授权回归先红后绿	原逻辑两个群用例拒绝；修正后群放行、私聊和其他类型拒绝、未知类型和查询错误拒绝
helpers 全包	通过，178.677s；新增 binding stdin / capabilities / worker 实际订阅 argv 定向通过
make build	通过，已附加 macOS runtime payload
make generate-schema / generated drift / Schema Catalog policy	通过，33 products / 1500 tools；可选 protobuf 检查因指定版本不可用跳过
DSH pnpm run ci	携带实际 DWS 二进制，343 通过、0 跳过；格式、类型、扫描、tarball 通过
DSH 与当前真实 DWS 二进制联合测试	此前 17/17 通过；本轮已纳入 DSH 全量 CI，343/343 通过、无跳过
本地运行验收	已应用修正版，确认私聊和原生 @ 两项订阅，已无 group_all 订阅，transportReady=true
真实群消息及回复	通过：用户先发原生 @、后发普通消息；只有 @ 消息有执行成功及引用回复记录，普通消息无任务、无回复；群消息范围回读完整
本轮 go test ./...	NOT RUN

环境：macOS arm64、Go 1.26.7 / macOS 15.4 SDK、Node / pnpm 本机现有版本。

风险与回滚

涉及入站访问控制，仅 local_agent 群聊放宽；群成员可触发员工，但 Agent 文件权限和主管审批边界不变。其他类型仍执行本地白名单。可回退本提交并重启员工；本地替换前已备份专用二进制。未合并、未发布。

新增触发条件回归：普通群消息（正文即使包含 @1010 字样）不入队，原生 @ 事件进入队列；worker 实际 argv 不得订阅 group_all。DWS 定向回归通过（2.391s），DSH 343 项通过。17:53（北京时间）真实群聊对照验收通过。