fix: stop subagent history from exhausting disk space

Repeated full subagent progress snapshots could grow the desktop database to
many gigabytes during ordinary long-running tasks. Local and managed SSH
writes now retain lossless progress changes while preserving conversation
snapshots, event identities, remote replay deduplication and transaction rollback.

Upgrade existing history in bounded worker-thread batches, show progress and
retry controls, and reclaim freed disk space after conversion. Schema 34 cannot
be opened by older clients; a pre-upgrade backup is required for client rollback.
Document reusable database migration guidance and the verified large-database,
portable, local Runtime and Linux Host evidence.

Prepare Desktop 0.13.1 with the approved bilingual notes and aligned feature
lists. Agent remains 0.11.24. Final candidate validation and production builds
will run on main CI, as requested, without additional local release testing.

Release note: 修复长任务和子任务造成的数据库异常膨胀；升级时自动整理旧记录并回收空间，保留聊天、执行详情和结果，并支持退出后继续处理。

docs/development/database-migrations.md

@@ -0,0 +1,67 @@
+# 数据库迁移与大数据升级指南
+
+本文约束已发布用户数据的数据库升级。具体字段、存储表示和功能行为由对应功能文档负责；
+本文不建立通用迁移框架、回滚引擎或独立状态日志。
+
+## 先确认问题和数据边界
+
+1. 先只读统计文件大小、WAL、页数、空闲页、表与字段的字节数，不先删除或压缩数据库。
+2. 区分有效内容、重复存储、索引和已释放但未回收的空间。空闲页少时，单独
+   `VACUUM` 不能消除重复记录。
+3. 查清实际写入、读取、删除、重放与恢复入口。修改 Runtime 相关持久化时，同时检查
+   本机和 GoodBuddy Agent 的桌面路径，不假设一个入口覆盖另一个入口。
+4. 明确用户必须保留的信息、稳定 ID、顺序、时间、引用与远程去重字段。
+   分支内未发布、可安全重建的内部记录不需要兼容机制。
+
+## 实现原则
+
+- 先修新增数据路径，再修历史数据。历史转换与新写入尽量使用同一套转换函数。
+- 普通 schema 变更使用既有 `PRAGMA user_version` 和 SQLite 事务；
+  已升级 schema 不允许旧客户端强行打开，不通过回写版本号支持降级。
+- 大数据转换不得同步阻塞 Electron Main 或 Renderer。放到工作线程，在业务连接
+  打开前处理，并使用应用的共享字体、主题与页面组件显示进度和可执行的失败提示。
+- 根据实测设置有界读取批次与缓存，批次提交后再报告进度。保持 SQLite 事务与
+  checkpoint，不靠关闭同步落盘、取消约束或一次性读入整库提速。
+- 从已提交数据直接重试和还原即可完成的迁移，不增加 durable snapshot、journal、
+  receipt 或多阶段恢复状态。退出及失败至少回滚未提交批次，保留已完成部分。
+- 差量编码必须能精确还原原始事件。更新内容、删除或重排都要覆盖；涉及远程来源时，
+  去重、冲突判断、消息投影和恢复序号不得失效。
+- 释放数据库页和归还文件系统空间是不同步骤。先减少实际存储内容，再执行需要的
+  空间回收；保留足够临时空间，磁盘不足时明确失败并允许重试。
+- SQLite 同库写入是串行的。是否增加读取／转换并行，应由实际读取、解析、写入、
+  提交与 checkpoint 的耗时决定，不把增加写线程当作默认优化。
+
+## 验证与备份
+
+### 合成回归
+
+覆盖正常转换、无变化记录、重复打开、内容修订、失败事务和退出续跑。数据库大小问题
+必须同时验证新增写入的增长量、旧记录可还原性以及文件实际缩小，而不只检查 schema。
+
+### 真实旧库
+
+1. 关闭占用源数据库的应用，确认 WAL 状态。没有 WAL 时可复制已关闭的数据库；
+   有活动 WAL 时使用 SQLite 一致性备份机制，不只复制主文件。
+2. 备份到空间足够的位置，记录字节数并校验 SHA-256。备份和测试副本分离，
+   不直接在唯一原件或唯一备份上试跑。
+3. 使用当前源码或用户要求的 portable 正常启动入口执行升级，不用手工 SQL 代替
+   产品升级过程。退出一次后重新启动，验证已提交数据可以继续处理。
+4. 比较升级前后消息、任务、成果等用户表的内容；对转换事件逐条还原后比较原始内容、
+   ID、顺序、时间和去重来源，不只比较行数。日志只能包含统计和断言结果，不记录正文。
+5. 运行数据库完整性检查，记录主文件和 WAL 的实际字节数、回收比例、耗时、平台、
+   源 schema 与目标 schema。确认原件和备份未被改写。
+6. 运行 `npm test`、`npm run typecheck`、`npm run lint`；生产构建变化按开发验证规则
+   检查，发布准备则遵循[发布手册](./release-runbook.md)，不重复本地打包。
+
+## 发布与维护
+
+发布说明应告知升级范围、可能耗时、退出重试、额外磁盘空间和降级边界。不得把一个测试库
+的回收比例当作所有用户都能获得的保证。功能文档记录具体转换规则，进度文档记录实际
+证据和未完成项；未经验证的阶段不能标为完成。
+
+### 已有实例
+
+- Desktop 0.13.1：子任务累计过程重复保存导致数据库膨胀，转换到 schema 34 的差量事件
+  表示，并回收空间。具体规则见
+  [执行记录存储与升级回收](../features/assistant-workbar/execution-history-storage.md)，
+  数据保留与真实旧库验证见[工作栏进度](../features/assistant-workbar/progress.md)。

docs/features/assistant-workbar/README.md

@@ -10,6 +10,7 @@
 | [多终端页签 PRD](./terminal-tabs-prd.md) | 工作栏应用的固定、可关闭、单实例和多实例策略，以及多终端生命周期 |
 | [浏览器多实例技术设计](./browser-tabs-technical-design.md) | 浏览器 Tab 身份、Conversation 绑定、IPC、BrowserService 和 MCP 路由 |
 | [实现与验证进度](./progress.md) | 工作区与 Runtime 相关改动的实现事实、验证证据与剩余阻塞 |
+| [执行记录存储与升级回收](./execution-history-storage.md) | 子任务过程差量存储、远程去重、旧库转换、空间回收及升级界面 |
 | [Runtime 交互边界](./runtime-interactions.md) | 原生权限、结构化问答、后台拒绝、终端交互、托管 Runtime 并行与输出及消息底部请求状态的适配范围 |
 
 当前尚未拆出独立 User Stories、功能逻辑和 UI 设计文档；相关内容仍保留在两份现有 PRD

docs/features/assistant-workbar/execution-history-storage.md

@@ -0,0 +1,53 @@
+# 执行记录存储与升级回收
+
+通用迁移、备份、性能测量和发布要求见
+[数据库迁移与大数据升级指南](../../development/database-migrations.md)。
+
+## 用户行为
+
+子任务仍实时显示完整的文字、思考、工具过程和最终结果。运行时间较长、工具输出较多时，
+数据库不再为每个流式更新重复保存此前的整份过程；本机和托管 SSH OpenCode 使用相同
+的桌面存储机制。此修复不关闭子任务、不截短已有过程，也不增加 Execute 权限门槛。
+
+已有数据库在首次升级时自动处理。启动页铺满窗口，显示处理数量、全宽进度条和近期
+处理速度；处理时间取决于历史数据量与磁盘速度，不承诺固定几分钟。用户可以退出，
+下次启动重新检查并继续转换未完成的数据；完成后回收空闲页并进入应用。失败时留在
+该页提供重试与退出，磁盘空间不足会明确说明，不删除聊天来腾出空间。
+
+## 存储规则
+
+- `messages.metadata_json` 继续保存供会话显示的完整子任务过程。
+- `task_events` 的 `subagent` 内容由共享 `SubagentProgressStorage` 编码。
+  `progressUpdates` 只保存文字追加、变更的块，或确有删除／重排时的完整重置。
+  完全相同的过程使用空更新数组。其他事件内容不改变。
+- 每个任务内按事件 ID 顺序、按 `childTaskId` 独立还原过程。事件 ID、顺序、状态、
+  最终输出、错误、时间及远程来源字段均保留，不按天数裁剪或删除旧事件。
+- Runtime、Agent transcript、Preload 和 Renderer 的公共 `SubagentEvent` 仍传完整
+  `progress`；差量表示只存在于桌面数据库内部，不要求更新远端 Agent 协议。
+- 远程消息投影与事件插入仍共用 SQLite 事务。重放时还原已保存内容进行等值校验，
+  相同来源重复事件不重复投影，不同内容继续报冲突。内存过程缓存通过已提交事件 ID
+  核对；事务回滚或重新打开后从数据库重建，不保存独立快照或回收日志。
+
+## 旧库升级
+
+桌面在打开业务数据库之前启动独立 Node 工作线程，使用同一套编码和还原函数转换旧库。
+按任务有序读取，每批最多 32 条，提交后报告进度；SQLite 保留事务原子性及正常 WAL
+自动 checkpoint，每个任务结束时截断 WAL。读取缓存为 64 MiB，避免 1 MiB 级历史
+快照在过小缓存中反复读取；不以关闭事务或同步落盘换取速度。
+
+转换可以混合读取旧完整记录与已经转换的记录，因此退出、磁盘写入失败后可以重新扫描
+并继续，不建立额外的恢复状态表。最后运行 SQLite `VACUUM` 回收已释放的空间，而非
+在转换前复制整份膨胀内容。回收仍需要额外可用磁盘空间，失败保留已提交转换并允许重试。
+
+业务初始化随后将数据库升级为 schema 34，并建立子任务事件的部分索引。
+低于该 schema 的旧版客户端不能重新打开已经升级的数据库。需要回退客户端时，必须使用
+升级前备份，不要修改 `user_version` 强行绕过版本检查。
+
+## 验证要求
+
+- 使用可还原的合成过程验证文字追加、内容修订、块重排、清空和多次打开。
+- 验证远程重复事件、冲突事件，以及消息更新失败时事件和过程缓存的事务回滚。
+- 在真实旧库的已核验备份副本上运行 portable 的正常启动入口，核对事件逐条等价、
+  其他用户表内容、数据库完整性和实际文件大小，不能只统计空闲页或只测试内存 fixture。
+- 同时验证真实本地 Runtime 和共享 Linux Host 的桌面持久化路径。具体证据见
+  [实现与验证进度](./progress.md)。

docs/features/assistant-workbar/progress.md

@@ -1,5 +1,38 @@
 # 工作栏实现与验证进度
 
+## 2026-09-13 Desktop 0.13.1 执行记录去重与大库升级
+
+- 实现与兼容边界见[执行记录存储与升级回收](./execution-history-storage.md)，通用开发
+  要求见[数据库迁移指南](../../development/database-migrations.md)。本机和远程写入共用
+  差量编码，不修改 Runtime 公共事件或 Agent 协议；消息投影与来源去重继续保持事务。
+- 真实 portable 旧库先备份并校验 SHA-256，再在独立新版 portable 中启动升级：
+  13,094,912 → 12,595,200 字节，schema 33 → 34。659 条消息、52 条会话、133 条成果、
+  笔记／待办及模型用量表逐表内容一致，完整性检查通过。
+- 另对真实膨胀库的核验备份副本运行同一 portable 启动入口：
+  97,308,667,904 → 594,182,144 字节，即 90.63 GiB → 566.66 MiB，
+  实际回收 90.07 GiB（99.39%），freelist 为 0。原库和原 portable 数据库未改写。
+- 全量还原比较 411,981 条事件，所有内容、事件 ID、时间及远程来源字段一致；
+  SQLite `integrity_check` 返回 `ok`。1,876 条消息、895 个任务、136 个成果及笔记、
+  待办、用量和活动记录等表内容一致。隔离 profile 没有复制模型配置，既有启动修复更新了
+  一条项目及一条会话的 Runtime 选择，项目 `updated_at` 随之更新；不是事件迁移修改。
+- 真实升级中通过“退出，稍后继续”停止，再用更新后的 portable 继续并完成。初版 UI
+  只按内容高度展开且进度条过窄，用户指出后修复为全高画布和全宽进度条，并显示处理速度；
+  实包测得页面高度约 761 CSS px、viewport 761 px，进度条宽约 960 px，截图人工复核通过。
+- 大库采样的读取耗时占约 65%、JSON 解析约 17%。将升级读取缓存由 8 MiB 提至
+  64 MiB，保留每批 32 条事务和 SQLite 自动 checkpoint，只在任务结束时截断 WAL。
+  相邻 2,048 条转换采样从约 12.0 秒降至 8.8 秒；样本和缓存状态不同，不作为固定加速比。
+  未增加同库并行写入，也未关闭事务或同步落盘。
+- 当前源码通过真实本地 OpenCode Execute 和共享 Linux x64 Host 的托管 Ask／Execute。
+  本机与远程各观察到 65 条子任务事件，最终过程仍可显示，远程重复事件不重复投影；
+  测试资源均位于专用目录。共提交 3 次真实 Prompt，Runtime 上报 4 笔模型用量；
+  子代理内部 HTTP 调用未单独计数，不将该上报数称为服务商请求总数。
+- 首轮完整 `npm test` 为 4,114 通过、66 跳过，637.97 秒；后续 8 项新增／修正的专项
+  回归通过，`npm run typecheck`、`npm run lint` 通过。生产构建及用户要求的 portable
+  实包开发验证通过。0.13.1 版本与发布说明变更后的本地最终验证被用户主动取消，按要求
+  不再追加本地测试，候选的最终全量测试、类型、lint 与生产构建由 main CI 判定。
+- 用户批准 0.13.1 中英文说明及仅标准六平台发布；Agent 保持 0.11.24。
+  截至本记录尚未提交或打标签，准确候选提交、main CI 和原生发布结果待发布流程确认。
+
 ## 2026-09-13 原生浏览器与应用浮层修复
 
 - 用户在“添加实例”中复现原生网页盖住弹窗。原先只有终端关闭确认释放 viewport，

docs/features/assistant-workbar/runtime-interactions.md

@@ -42,6 +42,9 @@ Host 环境。任意第三方 ACP 服务及旧 Agent 不因此获得通用问答
 
 ## 托管 Runtime 的并行与输出
 
+子任务完整过程的显示与数据库差量存储相互独立，本机和托管 SSH 共用桌面存储层；
+旧库升级与空间回收规则见[执行记录存储与升级回收](./execution-history-storage.md)。
+
 - 本机和 Agent 管理的 OpenCode 启动配置都显式设置 `snapshot: false`。GoodBuddy 不消费
   原生自动 Git 快照、快照差异摘要或快照撤销；关闭这条内部路径，避免大行级差异的同步
   计算阻塞同一原生进程中的其他会话。

docs/features/remote-host/technical-design.md

@@ -41,6 +41,11 @@ profile 和凭据作为有界、逐 Prompt 的控制消息交给 Agent；该凭
 
 ## 组件
 
+桌面保存托管 SSH 子任务事件时，共用
+[执行记录差量存储](../assistant-workbar/execution-history-storage.md)。
+Agent transcript 与公共 Runtime 事件不改变；桌面的来源去重、消息投影事务和恢复序号
+继续保留。该存储修复不要求单独升级 Agent。
+
 ```text
 Renderer
   -> 窄 Preload / Main IPC

docs/quality/recurring-defects.md

@@ -71,6 +71,24 @@ Modal 再次复现，同一检查确认其他应用级 Modal 均缺少处理。
 **历史**：外部知识库绑定同时出现三处：`requireLibrary`（30+ 调用点，一处在循环内）、
 `getKnowledgeSnapshot`（每个知识库两次全表扫描）、`listInstances`（每个实例过滤一次）。
 
+## 将累计过程当作增量事件反复落库
+
+**症状**：聊天正文很小，执行记录数据库却增长到几十 GiB；只增加几个字节的子任务输出，
+又写入接近 1 MiB 的旧过程副本。
+
+**原因**：本机与远程 OpenCode 共用完整进度快照，两个桌面落库入口都按流式频率新增
+完整 JSON；正文流的缓冲器没有覆盖这种累计快照。
+
+**规则**：界面快照不直接作为追加式日志的存储表示。子任务事件通过共享存储层记录变化，
+保留逐条还原和远程来源去重；会话仍保存完整显示结果。旧用户数据通过同一编码器无损
+转换后回收空间，不靠删聊天或单独修本机数据库解决。
+
+**防复发**：使用含大工具输出的多次更新检查总存储量，并验证重启、重复远程事件、
+消息事务回滚及旧库中断续跑。真实旧库需验证逐条等价和物理文件缩小。
+
+**历史**：2026-09-13 检查到 305,551 条子任务事件占用 90.11 GiB；
+本机 `appendTaskEvent` 与远程 `insertRemoteTaskEventOnce` 同时存在重复保存路径。
+
 ## 生产路径复用“测试”函数
 
 **症状**：正常用户操作触发了只应在配置校验时出现的错误码，或多发了一次网络请求。