Docs: binary resolution, cancellation, progress cap, phase-1 deviations

- runbook: how executor binaries are resolved (bins or PATH) and what that
  assumes on oregon (no codex installed) and win10; cancellation and
  max_progress_rounds in the item lifecycle; secrets scrubbed from children.
- design: blocked-by ordering is a TODO (not read by the scheduler); failure
  classification, success-when-tagged, one-time immediate rebuild, retries
  outside the thread-round budget, ID-based new-comment filter.
- executor contract: how core reads ExecResult, kill used for cancel, Windows
  quoting assumptions, codex exec resume without -C/-s.

docs/design.md

@@ -4,7 +4,7 @@ Plane 看板驱动的通用 agent 调度服务：任何人/agent 在 Plane 建
 
 ## 1. 目标与非目标
 - 目标：多项目隔离（一份配置一段）、多终端（本机/经 Warpgate 的远程机）、多 CLI（执行器适配器）、多轮（线程持久、进程不常驻）、失败可解释可重试、凭据只经 Vault 注入内存、任何会话可接手。
-- 非目标：不是工作流引擎（无 DAG/分支，顺序交给 Plane "blocked by"）；不替代 Plane/Temporal 的界面；不做账号系统；不存密钥。
+- 非目标：不是工作流引擎（无 DAG/分支，顺序交给 Plane "blocked by"——**TODO：阶段 1 尚未实现**，调度不读 blocked-by 关系，被阻塞的 Todo 项照样会被拾起）；不替代 Plane/Temporal 的界面；不做账号系统；不存密钥。
 
 ## 2. 架构
 ```
@@ -32,9 +32,18 @@ Plane ──webhook v2（HMAC）/ 轮询兜底──► agentd（接收端 + 调
 | 退出码≠0 / 无最后消息 | 结构化失败说明（类型 crash/timeout/env/logic、run、exit、重试 n/N、日志、最后一帧） | 临时性（网络/中继/429/5xx/超时）自动重试 ≤3，退避 2/5/10 min，续原线程；否则 Waiting |
 | 超时（默认 4 h，`budget:*` 覆盖） | 结束任务进程，失败说明 | Waiting |
 | 环境类（焦点丢失/弹窗/断网） | 当 blocked 处理，暂停同串行组的派发 | Waiting |
+| 运行中工作项被移出 In Progress | 结束任务进程，回帖"运行已取消：工作项状态被改为 X"，释放终端槽位/串行组，保留线程 | 不改 |
+| 连续 `max_progress_rounds`（默认 12）轮 `[progress]` | 回帖说明，不再续跑 | Waiting → 应答者 |
 | agentd 自身 | cron 拉起；心跳 10 min 无更新 → ntfy 报警 | — |
 回到 Todo 的工作项无条件重新拾起；逻辑性失败永不自动重试。
 
+阶段 1 的具体取舍（均有单测）：
+- **分类**：超时 → timeout；env 模式匹配（stderr 尾部 + 最后消息）→ env；临时性模式**只看 stderr 尾部/最后事件**（不看 agent 自己写的文字）；退出码 0 且无最后消息且尾部不像临时错误 → logic（永不重试），其余 → crash（尾部像临时错误才重试）。
+- **成功判定**：最后消息首行带合法标签即算成功，**即使退出码≠0**（失败的收尾钩子不应吞掉已完成的工作；回帖头里照写 exit）；无标签则退出码 0 才算成功（按 review 处理并注明），否则走失败流程。
+- **续线程失败**：非临时性的 crash/logic 发生在续线程的一轮上 → **立即**在新线程重跑一次（附交接摘要），不等退避；重建出来的那一轮若再失败就转 Waiting，不会二次重建。
+- **重试与线程轮数**：临时性重试是同一逻辑轮，不计入 `max_rounds_per_thread`，run id 仍递增（`GW-12-4` → `GW-12-5`）。
+- **新评论**：续线程时按评论 ID（`seen_comments`）过滤，而不是按时间戳，避免时钟偏差/同秒评论漏发或重发。
+
 ## 5. 配置（示例，值用 Vault 键名）
 ```yaml
 plane: {base_url: https://plane.kappiee.com, workspace: kappiee}