Classify read-only wrappers with dynamic delegated effects

docs/runtime/README.md

@@ -4,7 +4,7 @@
 | --- | --- |
 | [types.md](types.md) | 托管 Object／Type、名义继承、方法覆写/类型化Trait/动态检查、声明字段／函数注解检查、构造与类型边生命周期 |
 | [objects.md](objects.md) | 对象、句柄与默认操作 |
-| [native-calls.md](native-calls.md) | 原生上下文、读取分类、统一参数数量/类型/联合/效果、非递归委托返回、弱引用、托管赋值与变更批次 |
+| [native-calls.md](native-calls.md) | 原生上下文、读取分类、统一参数数量/类型/联合/固定与委托效果、非递归委托返回、弱引用、托管赋值与变更批次 |
 | [builtins.md](builtins.md) | Number、String、Dict、Cell、Function、异常数据 |
 | [reader.md](reader.md) | 输入、来源和修订标签 |
 | [frontend.md](frontend.md) | 词法、语法和诊断 |

docs/runtime/native-calls.md

@@ -100,10 +100,13 @@ NativeCallable::signature 默认 None，明确表示尚未发布类型/效果契
 
 NativeResult::Invoke 仍是尾委托，不递归进入 Rust/VM。VM 为每层已声明的返回契约保留检查项；委托原生立即返回或 Endor 帧返回时，按由内到外顺序验证全部契约。返回定义作为执行根保留，原生载荷替换、释放原委托者或源码全局重绑定不会使检查丢失。准备失败、帧限额、指令限额、错误返回与正常完成都释放这些执行根。委托不会为检查额外创建 VM 帧；仍共享每次原生分派和 Endor 指令预算。NativeContext::execute 单独返回 Invoke 时，调用者须使用具有等效最终返回检查的求值器；通常直接使用 Vm::call。
 
-CallEffect::ReadOnly 声明只读现存对象，可分配临时结果；Mutating 与 External 在 ObjectStore 只读作用域内、进入实现前拒绝。普通执行允许这些效果。ReadOnly 声明不绕过已有写屏障，也不证明可信 Rust 不会进行隐藏 I/O；未知旧原生函数仍沿原调用/宿主检查，不能把 None 理解为纯函数。这不是静态效果推断、完整 I/O 沙箱或对阻塞原生代码的抢占。
+CallEffect::ReadOnly 声明只读现存对象，可分配临时结果；Delegated 声明原生包装自身只读，但后续委托的整体效果动态确定，VM 保持同一只读/预算作用域并检查实际目标；Mutating 与 External 在 ObjectStore 只读作用域内、进入实现前拒绝。普通执行允许这些效果。ReadOnly 声明不绕过已有写屏障，也不证明可信 Rust 不会进行隐藏 I/O；未知旧原生函数仍沿原调用/宿主检查，不能把 None 理解为纯函数。这不是静态效果推断、完整 I/O 沙箱或对阻塞原生代码的抢占。
 
 Tessera 的 measure/arrange/paint/hitTest、Point 几何查询、Window、Block/Container/Page、Mount、Task、Event、Subscription 方法和 ObjectList.at 发布签名。Page.open 的 Window | Unit、Page.window 的 Window | Unit 返回，以及 Block.on 的 Bool | String 可选阶段有准确元数据；Mount 的父/子/同级/Page 弱查询为可空结果。Mount.bounds 现在返回带 Bounds 名义类型的现有几何记录，可直接组合到 Point.inside 或视觉方法。滚动位置/字典等通用记录仍声明 Object，不冒充新语言类型；任务 owner 的具体资源资格仍按原域检查。构造器和其他管理 API 的签名覆盖仍未全部接入。已接入的方法覆写方差与动态名称规则见类型主题。旧能力注册保留数量模式；类型化能力还检查类型/已知效果，并在实际返回和尾委托结果处保留能力返回约束。
 
 回归源码 native_context.rs 覆盖参数副作用前拒绝、错误结果清理、跨原生/源码委托检查、单帧限制、名义签名边与绑定方法循环回收、只读效果拒绝、传统直接函数及重复参数和元数据错误。只编译，不本地执行。
 
 联合/可空回归另覆盖两个标量分支、nil、数值拒绝、Object 分支不掩盖非法名义类型、空联合拒绝，以及移除签名后联合返回定义仍存活。
+
+
+Delegated 在替换兼容中视为未知整体效果，与源码未知效果一样不冒充静态纯度证明。包装不得在委托前进行业务写入或外部I/O，直接返回路径也须只读；委托的原生 Mutating/External 目标仍在当前只读作用域内、进入目标实现前拒绝。源码委托继续受堆写屏障约束，旧无元数据宿主调用仍须遵守可信边界。native_context.rs 的回归覆盖只读包装进入后拒绝写目标、普通作用域允许同一链，以及替换成纯目标后只读调用成功，仅编译。

docs/runtime/types.md

@@ -126,7 +126,7 @@ new_class 在发布之前校验本类覆写，失败释放候选定义。define_
 
 未知前向注解在类建立和方法更新时暂缓，其他已知不兼容以 OverrideViolation 报类名、方法名和原因。启用 VM 类型检查时，源码和原生调用均在进入实现前检查实际接收者所属方法的当前替换契约；UnknownAnnotation 此时不能暂缓。普通函数的首参数恰好是对象，不会因此被视为方法。默认接收者也使用实际默认参数值参与复查。每次复查动态全局注解，所以 REPL 重绑定使旧覆写不兼容时，函数体执行前拒绝；恢复兼容绑定后可继续普通调用。不回滚先前已发生的其他输入副作用。
 
-已知原生效果只允许缩小：ReadOnly 基类只能被 ReadOnly 原生覆写；Mutating 基类不允许 External 覆写；External 可接受三者。源码效果尚无静态元数据，不能声称已经证明其纯度；实际只读布局/绘制仍通过原有堆屏障与原生效果入口限制执行。未知旧基类类型签名仍是未证明的兼容边界，旧 new_trait 仍仅校验数量；new_typed_trait 提供独立类型与已知效果要求，见下文。
+已知原生效果只允许缩小：ReadOnly 基类只能被 ReadOnly 原生覆写；Mutating 基类不允许 External 覆写；External 可接受三者。源码和原生 Delegated 的整体效果均未知，不能声称已经证明其纯度；实际只读布局/绘制仍通过原有堆屏障与原生效果入口限制执行。未知旧基类类型签名仍是未证明的兼容边界，旧 new_trait 仍仅校验数量；new_typed_trait 提供独立类型与已知效果要求，见下文。
 
 回归源码 core/tests/method_contracts.rs 覆盖合法参数扩大/返回缩小、错误参数/返回、祖先替换对已有覆写后代的原子拒绝、调用前动态重绑定拒绝和恢复、前向名称、原生联合与效果及根清理，仅编译，不在本地执行。
 
@@ -143,6 +143,6 @@ ObjectStore/Vm::new_typed_trait(name, Vec<TypedMethodRequirement>) 以每项 nam
 
 嵌套能力比较按线程/定义/能力保留临时验证集合，对已经在校验的同一名义能力关系按递归约束处理，避免无限递归；它不建立新声明关系。集合不持有 GC 根，RAII 在成功、错误和展开路径清理，不让失败验证成为后续成功缓存。没有长期签名缓存；动态名称每次仍从原环境解析。
 
-源码效果仍未知，类型化 ReadOnly 要求不等于已经证明源码纯度。已知原生效果会比较，真正只读布局/绘制继续执行堆屏障；普通输入中源码副作用仍按现有运行模式处理。没有泛型/关联类型/效果推断或 Trait 源码声明语法。Tessera 的四个宿主能力使用类型化要求，其中 Presentable 允许普通展示构造副作用，不额外宣称纯函数。
+源码和 Delegated 包装的整体效果仍未知，类型化 ReadOnly 要求不等于已经证明源码纯度。已知原生效果会比较，真正只读布局/绘制继续执行堆屏障；普通输入中源码副作用仍按现有运行模式处理。没有泛型/关联类型/效果推断或 Trait 源码声明语法。Tessera 的四个宿主能力使用类型化要求，其中 Presentable 允许普通展示构造副作用，不额外宣称纯函数。
 
 core/tests/typed_traits.rs 覆盖登记失败原子性、参数扩大仍可直接调用、全局检查关闭时的显式能力实际参数/返回检查、签名类型保活/回收，以及体内动态改变返回对象能力后的最终拒绝和验证集合恢复，仅编译未本地执行。