feat: add controlled Code Agent session registry

docs/reference/code-agent-chat-readiness.md

@@ -38,6 +38,8 @@ report、issue、PR 或截图。
 | 观测结果 | readiness |
 | --- | --- |
 | `status: "failed"`，`error.code: "provider_unavailable"`，且 `error.missingEnv` 包含 `OPENAI_API_KEY` | `BLOCKED/credential`；provider 凭证缺失，不能标真实回复通过。 |
+| `provider: "codex-readonly-runner"` 且 `sessionMode: "controlled-readonly-session-registry"`、`capabilityLevel: "read-only-tools"`、`runnerLimitations` 包含 `not-codex-stdio` / `not-write-capable` / `not-durable-session` | 只能标为 read-only session registry partial pass；不能关闭 #275 的 long-lived Codex stdio/session blocker。 |
+| `codexStdioFeasibility.status: "blocked"`，或 blocker 包含 `codex_cli_binary_missing`、`runner_lifecycle_missing`、`stdio_protocol_not_wired`、`workspace_mount_missing`、`provider_token_boundary` | 真实 Codex stdio / 等价 long-lived runner 未具备；必须按 blocker 处理，不能表述为完整 Codex session。 |
 | `status: "completed"`，但来自 mock、fixture、本地 stub、source-only smoke、浏览器本地回显或人工拼接 | 不是 DEV-LIVE reply pass。 |
 | 真实 DEV `POST /v1/agent/chat` 返回 `status: "completed"`，且 `reply.content` 是非空 assistant 回复 | 可标 DEV-LIVE reply pass。 |
 | 传输失败、schema 不完整、HTTP 非预期、`reply.content` 为空或缺失 | `BLOCKED`，按 runtime/schema/transport 分析。 |
@@ -45,6 +47,24 @@ report、issue、PR 或截图。
 只有“真实 DEV 路由 + `completed` + 非空 assistant reply”能作为 DEV-LIVE 回复通过依据。
 不得把 mock、fixture、本地 echo、source report、静态检查或前端状态当作通过。
 
+## Runner 能力边界
+
+`/v1/agent/chat` 可以先落地受控只读能力，但必须诚实区分：
+
+- `controlled-readonly-session-registry`：由 cloud-api 进程内 registry 保存
+  `conversationId/sessionId` 映射、`turn` 计数、workspace 与只读工具 trace。它可以覆盖
+  `pwd`、`skills.discover`、`ls`、`rg --files` 和 bounded `cat`，输出必须限长和脱敏。
+- 该模式必须同时标记 `not-codex-stdio`、`not-write-capable`、`not-durable-session`。它不是
+  long-lived Codex stdio session，不提供写文件、任意 shell、硬件写、Secret/kubeconfig/DB URL
+  读取，也不证明 M3/M4/M5 trusted green。
+- OpenAI Responses fallback 只能标记为 `openai-responses-fallback` /
+  `text-chat-only`，不得满足 Codex runner capability gate。
+
+当前 DEV/runtime 若要升级为完整 #275 runner，至少需要 repo-owned 的 Codex CLI/stdio 或等价
+runner 二进制/协议适配、session supervisor 生命周期、workspace mount 与 sandbox 合同、token/Secret
+注入边界、trace/cancel/reap 机制，以及与 cloud-api/workbench 的持久 session 映射。缺任一项时，必须
+在 `codexStdioFeasibility` 中报告 blocker。
+
 ## Smoke Gate
 
 本地合同检查：