[CodFrm]

背景

#14：同一 Chrome 配置里 ScriptCat 的普通进程和隐身（"incognito": "split"）进程都会连 daemon。daemon 只保留一条 ScriptCat 连接，新连接会顶掉旧的；ScriptCat 每次握手成功都把重连间隔重置为 2 秒，于是两个进程每 2 秒互相顶替，日志和审计缓冲区被 handshake.ok 刷满。本地用真实 daemon 加照抄 ScriptCat 重连策略的模拟客户端复现：单实例 12 秒内 1 次 handshake.ok，两实例 7 次。

修复分三步：

1. ScriptCat：隐身进程不再连接 sctl（scriptscat/scriptcat 分支 fix/incognito-external-access），直接消除 serve: ScriptCat's regular and Incognito instances replace each other's connection every 2 seconds #14 的循环。
2. 本 PR：daemon 同时接入多个 ScriptCat 实例（不同浏览器/配置里的 ScriptCat 各自独立配对、命名、可单独指定），老版 ScriptCat 照常可用。
3. ScriptCat：握手时声明实例身份、在外部接入页设置名称（后续 PR）。

Spec：docs/specs/2026-11-02-scriptcat-instances.md。

改动

• 协议：新版 ScriptCat 在认证响应里带 peer: {kind: "scriptcat", instanceId}，HMAC 用四个新的 scriptcat* 上下文并绑定实例 ID；能力声明带名称与自报信息，名称在 ScriptCat 实例间唯一（scriptcat 保留给老版），重名回 CONFLICT 且首次配对不落盘。新增错误码 SCRIPTCAT_OFFLINE / SCRIPTCAT_NOT_FOUND / SCRIPTCAT_AMBIGUOUS；scripts.list 增加 mergeField。
• 存储：每个实例的密钥与登记在新的 <dataDir>/scriptcats.json（0600，原子写入），与 browsers.json 共用一套登记实现。
• 老版兼容：不带 peer 的 ScriptCat 仍用 pairing.key 连接，作为保留名 scriptcat 的老版实例，只顶替老版连接。
• 升级接管：新版 ScriptCat 带未登记的实例 ID 做会话握手且能用 pairing.key 校验时，先登记到该实例、再删除 pairing.key 并断开在线的老版连接；MAC 不符或重名时 pairing.key 不变；删除失败时登记保留、启动和下次握手时重试，残留文件在列表、目标选择与忘记中视为不存在，忘记或重新配对该实例前先删残留，避免它重新变成可用的老版密钥。
• 路由：scripts.* 可带 ScriptCat 目标（名称优先，其次实例 ID 前缀；scriptcat 只按名称匹配老版）。规则与 sctl Browser 相同：一个在线直接发、多个在线时 scripts.list 合并（每条带 scriptcat: {id, name}，老版无 id）、其他方法报 SCRIPTCAT_AMBIGUOUS；跨类目标回 INVALID_REQUEST；调用中目标断开回 OPERATION_EXPIRED。
• CLI / MCP：get/grep/edit/install/enable/disable/delete 新增 --scriptcat（SCTL_SCRIPTCAT），未指定且有歧义时提示 pass --scriptcat <name> or set SCTL_SCRIPTCAT；sctl get 只在合并时多一列来源；新增 sctl scriptcats [list] / forget；sctl status 逐个列出 ScriptCat 实例，-o json 保留 extConnected 并新增 scriptcats。MCP 的 8 个 scripts_* 工具新增可选 scriptcat 字段。
• 审计：新版实例的事件带 client: scriptcat:<instanceId>。
• 文档：protocol.md、threat-model.md（凭据清单与审计）、architecture.md、cli.md、mcp.md、两份 README、skills/sctl 同步更新。

与 ScriptCat 的协议同步

新上下文和错误码标注 peers: ["scriptcat"]，生成给 ScriptCat 的 TS 因此变化。配对提交 scriptscat/scriptcat@bc6f6bb（分支 chore/sctl-protocol-scriptcat-instances）只含 make protocol-sync-scriptcat 的生成文件和 BRIDGE_ERROR_CODES 新增的三个码，不改 ScriptCat 行为；本 PR 的 SCRIPTCAT_REF 指向它。合并顺序：先合 ScriptCat 同步提交，再合本 PR；若 ScriptCat 侧 squash 合并，生成文件不变，SCRIPTCAT_REF 可改指向合并后的提交。

验证

• go build ./... && go vet ./... && go test ./... -race 全部通过，golangci-lint 0 issues，make protocol-check 通过；本地复现 CI 镜像检查（prettier 3.6.2 格式化后与 bc6f6bb4 的副本 cmp 一致）。
• 运行验证：真实 daemon（隔离数据目录与端口）+ Go 协议模拟客户端（老版、新版 ScriptCat 与 sctl Browser 三种握手）。25 条要求中 23 条成立、0 条不成立，包括：两个新版实例与老版同时在线 20 秒无新握手；路由表每一行与合并标注；7 个动词的 --scriptcat 只到达目标实例；MCP 字段透传；单目标与合并调用中途断开都作废；升级接管成功与两种失败路径；忘记新版实例与老版实例；sctl Browser 的配对、路由、合并与忘记不受 ScriptCat 实例影响，两类同名实例共存。

未观察到

• 接管后删除 pairing.key 失败时的重试：真实 daemon 里密钥与登记在同一目录，无法只让删除失败，仅由单元测试覆盖。
• 写操作由收到请求的实例弹出审批：模拟客户端没有真实审批窗口（只确认请求只发到目标实例），待第 3 步真实 ScriptCat 联调。

Refs #14