feat: add automatic Worker runtime with lease recovery and bounded shutdown

docs/08-development-plan.md

@@ -26,7 +26,7 @@
 | --- | --- | --- | --- |
 | P0 基础与数据模型 | Go workspace、独立 SDK module、公共/Pulse/Weave 模型、MySQL 迁移、配置、健康检查 | 编译/竞态/静态检查；真实 MySQL 建表、隔离、唯一性、预算、不可变版本、迁移失败防护；SDK 健康调用 | 已完成并通过阶段回归（见 P0 报告） |
 | P1 任务受理闭环 | 应用凭据与作用域权限、队列、幂等提交、查询、待执行取消、受理事件；SDK 客户端 | API/SDK 创建查询闭环；重复键与内容冲突、响应未确认重报、跨命名空间拒绝、参数边界 | 已完成并通过阶段回归（见 P1 报告；真实断路/提交 ACK 丢失注入留后续故障阶段） |
-| P2 Worker 执行闭环 | WSS 接入、能力/容量、领取与开始、租约、续租、结果确认、排空与恢复；Worker SDK | 真 Worker 执行；失联/重连/重复确认/旧尝试拒绝；业务效果未知转核查；节点故障接管 | 开发中：服务端、独立 SDK 底层协议及实际 ACK 丢失恢复回归通过；文本执行示例可运行；自动运行/重连/退出、查询与完整验收待完成 |
+| P2 Worker 执行闭环 | WSS 接入、能力/容量、领取与开始、租约、续租、结果确认、排空与恢复；Worker SDK | 真 Worker 执行；失联/重连/重复确认/旧尝试拒绝；业务效果未知转核查；节点故障接管 | 开发中：服务端、SDK 协议和自动运行器通过阶段内回归；跨初始租约执行、自动重连/证据重报、有界退出及并发验证通过；尝试/证据查询、完整 Schema 和阶段验收待完成 |
 | P3 Pulse 完整能力 | 安全重试、延时、Cron/固定间隔、漏跑策略、计划版本、并发许可、配额/背压、可靠结果订阅 | 多实例领取/触发竞争、重试上限、取消竞争、队列隔离、积压恢复、事件重复交付 | 待开发 |
 | P4 Weave 主流程 | SDK 定义构建与发布校验、实例、顺序/分支/结构化并行汇合、信号/定时等待、版本绑定 | 重启接续、早到/重复信号、并行竞争、内部事件重放、发布版本兼容；端到端通用流程 | 待开发 |
 | P5 Weave 恢复与查询 | 有界查询、暂停继续、取消、人工核查恢复、控制门控与审计 | 轮次与尝试独立预算；暂停/开始/回执/超时竞争；恢复保留预算；未知结果不盲目重复 | 待开发 |
@@ -75,3 +75,4 @@ SDK、文档与示例随 P1–P5 同步开发，P7 是全量核对，不是最
 - [P1 验证记录](reports/phase-1.md)
 - [P2 服务端阶段记录](reports/phase-2-server.md)
 - [P2 SDK 协议阶段记录](reports/phase-2-sdk-protocol.md)
+- [P2 自动 Worker 运行器记录](reports/phase-2-worker-runtime.md)

docs/README.md

@@ -2,7 +2,7 @@
 
 - 文档版本：0.2
 - 整理日期：2026-09-17
-- 阶段：P0/P1 已完成，P2 服务端与 Worker 底层 SDK 已通过阶段内回归，自动 Worker 运行器继续开发；尚未完成生产验收
+- 阶段：P0/P1 已完成，P2 服务端、底层 SDK 与自动 Worker 运行器已通过阶段内回归，查询/协议验收继续推进；尚未完成生产验收
 - 适用范围：Orbit 统一平台，包含 Pulse 任务调度模块、Weave 流程编排模块与公共能力。平台面向多个业务系统复用。
 
 ## 阅读顺序

docs/api/README.md

@@ -11,7 +11,7 @@
 | `/v1/tasks` 提交、查询、分页与待执行取消 | P1 已实现 | [任务接口](tasks.md) |
 | `/v1/queues` 创建与查询 | P1 已实现 | [队列接口](queues.md) |
 | 凭据校验与初始化 CLI | P1 已实现 | [鉴权](authentication.md) |
-| `/v1/worker/connect` | P2 服务端及底层 SDK 已实现，自动 Worker 运行器开发中 | [Worker 契约](worker.md) |
+| `/v1/worker/connect` | P2 服务端、底层 SDK 与自动 Worker 已实现；完整阶段验收继续推进 | [Worker 契约](worker.md) |
 | `/v1/schedules` 与计划管理 | 计划 P3，尚未实现 | [协议草案](../03-http-websocket-protocol.md) |
 | `/v1/events/connect` | 计划 P3，尚未实现 | [协议草案](../03-http-websocket-protocol.md) |
 | `/v1/workflows` 与流程管理 | 计划 P4–P5，尚未实现 | [流程接口规划](workflows.md) |

docs/api/worker.md

@@ -1,6 +1,6 @@
 # Worker 通信与执行契约 v1（开发中）
 
-已实现服务端执行事务、WebSocket 接入、[独立 Go 底层协议 SDK](../sdk/worker.md) 及真实 WSS/ACK 丢失回归。**P2 尚未完成**：自动 Worker 运行器、自动重连/续租、处理器生命周期与优雅退出还在开发。本页记录当前可验证的协议；底层 SDK 不自动管理处理器。
+已实现服务端执行事务、WebSocket 接入、[独立 Go 底层协议 SDK](../sdk/worker.md) 和 [自动 Worker 运行器](../sdk/worker-runtime.md)，通过真实 WSS、自动续租、ACK 丢失/持续断网恢复及有界退出回归。**P2 尚未完成**：尝试/证据查询、完整协议 Schema 与完整阶段验收继续推进。底层 WorkerConnection 不自动管理处理器；NewWorker / Run 提供自动管理。
 
 ## 1. 接入与身份
 
@@ -143,4 +143,4 @@ receipt 是原操作的不可变确认；lease 是本次重新核验的执行权
 
 这些是有界的开发基线，不代表经过容量压测的生产参数。当前同队列操作使用较粗的行锁协调，吞吐与公平性需要 P6 按负载验证。服务退出会显式关闭被 HTTP Upgrade 接管的连接；断开不会直接撤销外部已发出的请求。
 
-运行中取消、SDK 自动重连/续租、非协作处理器处理、完整 WS JSON Schema、凭据轮换和多节点进程级故障演练尚未全部完成。实际证据见 [P2 服务端阶段记录](../reports/phase-2-server.md)。
+运行中取消、完整 WS JSON Schema、凭据轮换和多节点进程级故障演练尚未全部完成。SDK 已实现自动重连/续租、非协作处理器的有界退出与状态报告；实际证据见 [P2 服务端阶段记录](../reports/phase-2-server.md) 和 [自动运行器回归](../reports/phase-2-worker-runtime.md)。

docs/examples/README.md

@@ -25,9 +25,17 @@
 - 前置：专用 Worker 凭据，启动步骤见 [Worker SDK 文档](../sdk/worker.md)。
 - 输入与步骤：提交 `{"text":"  Hello Orbit  "}` → 注册/容量 → 领取 → 开始授权 → 实际处理 → 确认结果 → 查询 → 排空。
 - 预期：SUCCEEDED、一次尝试、结果 `{"text":"HELLO ORBIT"}`。
-- 异常：控制 ACK 丢失使用原身份有限重报；业务函数不随重连再次调用；迟到证据不能当作成功结果。自动续租与持续消费仍待运行器实现。
+- 异常：底层示例使用原身份有限重报控制 ACK；业务函数不随重连再次调用；迟到证据不能当作成功结果。自动续租与持续消费见下方运行器示例。
 - 清理：任务历史保留；运行结束确认排空并关闭连接。每次示例使用独立任务/处理器身份。
 
+## 已可运行：自动 Worker 并发消费
+
+- 源码：[自动 Worker 示例](../../sdk/go/examples/worker/main.go)，[接入与启动命令](../sdk/worker-runtime.md)。
+- 步骤：注册版本化处理器 → Run → 以容量 2 消费三条文本任务 → 查询结果 → 取消 Run context 并等待排空。
+- 预期：三条规范化结果、started=3、confirmed=3、running=0；输入与结果均由实际代码处理。
+- 异常：自动心跳/续租与原身份重连；普通错误/panic 按未知效果报告，超时退出不声称杀死 goroutine；完整故障证据见 [回归记录](../reports/phase-2-worker-runtime.md)。
+- 清理：正常排空关闭连接，保留历史；进程被强杀后的在途状态由租约恢复与核查衔接。
+
 ## 计划场景与验收标准
 
 | 场景 | 输入与步骤 | 预期结果 | 必测异常 | 状态 |

docs/reports/phase-2-sdk-protocol.md

@@ -1,6 +1,6 @@
 # P2 Worker SDK 协议阶段回归
 
-日期：2026-09-17。此记录覆盖独立 SDK 的底层连接和一次性执行闭环，**不代表 P2 完成，也不代表自动 Worker 运行器已交付**。
+日期：2026-09-17。此历史阶段记录覆盖独立 SDK 的底层连接和一次性执行闭环，**不代表 P2 完成，也不覆盖自动 Worker 运行器**。后续运行器的实现与验证见 [独立报告](phase-2-worker-runtime.md)。
 
 ## 实现范围
 

docs/reports/phase-2-worker-runtime.md

@@ -0,0 +1,50 @@
+# P2 自动 Worker 运行器回归
+
+日期：2026-09-17。自动运行器已实现并通过本轮回归；P2 仍需补齐尝试/证据查询、协议 Schema 及完整阶段验收。没有修改已有迁移或持久化模型。
+
+## 本轮实现
+
+独立 SDK 新增 NewWorker / Run / Stats / Events，支持能力注册、容量限制、独立处理器执行、自动会话心跳、自动任务续租、稳定身份重连、结果重报及有界排空。业务明确失败与未知效果分开；panic、Goexit 和不可接受的结果都有稳定分类。配置及数据结构提供中文注释。
+
+网络控制和处理器执行分离；租约监视器独立工作，不能因控制请求阻塞而延长权限。过期取消不可逆，新的较短会话期限也会缩短本地授权。当前控制请求按连接串行，吞吐取决于数据库/网络与配置容量，需要 P6 负载验证。
+
+## 验证环境与入口
+
+macOS arm64、Go 1.27.1、Docker MySQL 8.4.10、锁定 coder/websocket v1.8.15。真实 Orbit 命令运行在随机回环端口，SDK WSS 故障网关使用受信任测试证书，不跳过 TLS 验证。
+
+```sh
+make test
+make vet
+make build
+make integration
+cd sdk/go
+GOWORK=off go test -race ./...
+GOWORK=off go vet ./...
+```
+
+隔离集成脚本先运行既有模型/迁移/任务/Worker/WSS 回归，再启动真实服务器与 Worker 专用凭据，执行底层 SDK 和自动运行器测试及全部示例。凭据不进入 URL、命令行参数或输出，结束后移除隔离测试容器。
+
+## 通过的场景
+
+| 场景 | 实际断言 |
+| --- | --- |
+| 自动重连与双重 ACK 丢失 | 网关分别在实际服务提交 start / finish 后丢 ACK；运行器自动重连核对，处理器只调用一次，服务端仅一次尝试，结果保持精确数值 |
+| 跨越初始租约的执行 | 处理器执行 32 秒，跨越服务端首次 30 秒租约，至少两次自动续租确认后仍取得权威 SUCCEEDED |
+| 收尾期间保持执行 | 处理器开始后立即取消 Run context，运行器持久化排空并在 45 秒 grace 内继续续租/收集结果，正常返回且 Running=0 |
+| 业务失败与未知效果 | 明确 WorkerFailure → FAILED；普通 error 和 panic → NEEDS_REVIEW；SDK 不泄露异常正文 |
+| 不协作的处理器 | 函数忽略 context 时，250 毫秒收尾期限后 Run 有界返回，错误记录 1 个未确认尝试和仍运行的处理器，没有声称杀死 goroutine |
+| 自动租约到期取消 | 达到单次尝试时限后处理器观察到 ErrExecutionLeaseLost，只调用一次，任务进入 NEEDS_REVIEW |
+| 持续断网与证据重报 | 断开活跃 WSS 并让网关拒绝重连，处理器仍按本地期限取消；恢复服务后自动上报待确认结果，收到 EVIDENCE_ONLY，权威状态和尝试数不变 |
+| 实际业务并发上限 | 6 个任务、容量 2，处理器实际峰值恰为 2，所有任务一次尝试完成并排空 |
+| 租约监视器 | 续期后旧期限不取消处理器；新会话缩短期限被采用；到期后更新不能复活 |
+| 卡住的握手与认证失败 | HTTP 握手不返回时，50 毫秒 grace 仍能中断并收尾；HTTP 401 立即终止且不执行处理器，不输出上游原始正文 |
+| 处理器异常保护 | panic、runtime.Goexit、重复 JSON 键、超范围数字与超深结果均产生受控 UNKNOWN 报告；执行计数正确释放 |
+| 实际命令行示例 | 自动 Worker 执行三条文本规范化任务；started=3、confirmed=3、running=0，结果按预期转换 |
+
+以上为正确性和受控故障证据，不是性能基准。实际自动恢复测试运行在同一真实服务进程后面的 WSS 故障网关；已有服务端测试覆盖不同 node ID 的租约迁移，但本轮未把这两层合并描述成 SDK 多主机宕机验收。
+
+## 限制与下一步
+
+未确认结果只在 Worker 进程内保留，强杀进程后由服务端租约恢复与业务核查衔接。业务副作用幂等、资源端代次隔离、宿主机/数据库故障与部署拓扑仍需对应验证。运行器不提供业务自动重试；策略性重试在 P3。
+
+继续补齐 P2 尝试/证据查询和协议 Schema；再进入 P3 的重试、计划、配额、可靠事件订阅。不会以本轮 SDK 回归代替全平台生产验收。

docs/sdk/README.md

@@ -1,6 +1,6 @@
 # Go SDK 接入说明
 
-已实现健康查询、任务提交/查询/分页/待执行取消、队列创建/查询，以及 [Worker 底层协议 SDK](worker.md)。自动 Worker 运行器和流程构建接口按 [开发计划](../08-development-plan.md) 继续实现。
+已实现健康查询、任务提交/查询/分页/待执行取消、队列创建/查询、[自动 Worker](worker-runtime.md) 和 [Worker 底层协议 SDK](worker.md)。流程构建等后续接口按 [开发计划](../08-development-plan.md) 继续实现。
 
 module：`git.yuntuo.hk/k2safe/orbit/sdk/go`。SDK 使用独立 go.mod，依赖 Go 标准库与 `github.com/coder/websocket v1.8.15`，不引用服务端模型或数据库实现。
 
@@ -133,4 +133,4 @@ go mod tidy
 
 ## 6. 后续交付
 
-P2 已提供 Worker 底层注册、WSS、能力/容量、执行确认、续租、恢复和排空接口及 [可运行示例](worker.md)，继续开发自动 Worker 运行器；P3 提供计划与结果订阅；P4–P5 提供流程构建发布、信号、等待、轮询与人工恢复。每项随实现同步交付可运行示例及异常回归。
+P2 已提供底层协议与 [自动 Worker 运行器及示例](worker-runtime.md)，继续补齐查询与阶段验收；P3 提供计划与结果订阅；P4–P5 提供流程构建发布、信号、等待、轮询与人工恢复。每项随实现同步交付可运行示例及异常回归。

docs/sdk/worker-runtime.md

@@ -0,0 +1,109 @@
+# 自动 Worker 接入
+
+更新：2026-09-17。自动 Worker 已实现，并通过真实 MySQL、实际服务命令、WSS 断线/ACK 丢失/持续断网回归。P2 的尝试与证据查询、完整协议 Schema 和进程级故障验收仍需继续完成。
+
+源码：[运行器](../../sdk/go/worker_runtime.go)、[配置与中文注释](../../sdk/go/worker_runtime_types.go)、[完整示例](../../sdk/go/examples/worker/main.go)。特殊传输集成可以使用 [底层协议 SDK](worker.md)，普通消费直接使用本页的 Worker。
+
+## 1. 运行完整示例
+
+按 [底层 SDK 的初始化步骤](worker.md#1-可运行的文本规范化示例) 创建具有 Worker 权限的专用凭据，在仓库根目录执行：
+
+```sh
+cd sdk/go
+ORBIT_URL=http://127.0.0.1:8080 \
+  ORBIT_CREDENTIALS_FILE=../../.local/worker.credentials.json \
+  go run ./examples/worker
+```
+
+示例提交三条文本任务，以容量 2 启动自动 Worker，真实执行文本规范化，查询结果后取消 Run context 并等待排空。预期输出：
+
+```text
+task=<任务ID> state=SUCCEEDED result={"text":"HELLO ORBIT"}
+task=<任务ID> state=SUCCEEDED result={"text":"REUSABLE WORKER"}
+task=<任务ID> state=SUCCEEDED result={"text":"DURABLE RESULT"}
+worker_drained=true started=3 confirmed=3 running=0
+```
+
+每次示例使用独立操作和能力名称，避免接走以前运行留下的任务；任务与审计历史保留。生产通常使用固定处理器版本，由独立长驻 Worker 消费；本示例把生产者和消费者放在一个命令里方便复现。
+
+## 2. 注册处理器与启动
+
+以下为接入函数片段；函数收到的 ctx 应来自进程信号或应用生命周期，并等待 Run 返回后再退出进程。
+
+```go
+worker, err := orbit.NewWorker(client, orbit.WorkerOptions{
+    QueueID: queueID,
+    Capacity: 4,
+    ShutdownTimeout: 30 * time.Second,
+    Handlers: []orbit.WorkerHandler{{
+        Capability: orbit.WorkerCapability{
+            Handler: "text.normalize", HandlerVersion: "v1", PayloadVersion: "v1",
+        },
+        Handle: func(ctx context.Context, execution orbit.WorkerExecution) (json.RawMessage, error) {
+            // 实际 HTTP/数据库/文件操作应使用这个 ctx，并实现业务效果幂等。
+            if err := ctx.Err(); err != nil { return nil, err }
+            return json.RawMessage(`{"processed":true}`), nil
+        },
+    }},
+})
+if err != nil { return err }
+return worker.Run(ctx)
+```
+
+任务的 handler、handler_version、payload_version 必须和注册能力精确匹配。处理器收到 Task、AttemptID 与执行 Epoch，不收到实例/尝试秘密。Task.ID 或接入方保存的业务操作键用于效果去重；AttemptID 标识一次尝试，不能作为跨尝试的业务幂等键。资源侧支持执行代次校验时，可拒绝旧 Epoch 的写入。
+
+SDK 的 Run 每个实例只能调用一次，包括已经正常退出的实例。重连由内部保留原身份处理；不要通过反复 NewWorker 来代替断线恢复。进程重启会生成新身份，不能继续使用旧进程的内存状态来声称已经完成。
+
+## 3. 配置和接口
+
+| 配置 | 默认 / 范围 | 含义 |
+| --- | --- | --- |
+| QueueID | 必填，32 位 ID | 当前凭据有消费权限的队列 |
+| Capacity | 4；1–256 | 同时尚未返回的处理器上限；不响应取消的函数仍占物理槽 |
+| Handlers | 1–32 项 | 精确能力，重复能力和空函数在构造时拒绝 |
+| ShutdownTimeout | 30 秒；1 毫秒–5 分钟 | 从 Run context 取消起计算的整体收尾期限 |
+| ReconnectMinDelay | 200 毫秒；至少 10 毫秒 | 连接失败退避起点 |
+| ReconnectMaxDelay | 5 秒；不小于起点，最多 30 秒 | 指数退避上限，区间抖动；不增加任务尝试次数 |
+
+`Run(ctx)` 正常排空返回 nil；同实例再次运行返回 ErrWorkerAlreadyRun。`Stats()` 返回进程内 Running、Started、RenewalsConfirmed、ReportsConfirmed、EvidenceConfirmed、Reconnects、DroppedEvents 快照，不是持久化业务成功率。
+
+`Events()` 是 128 条缓冲的只读本地通知流，不读取也不会阻塞运行；缓冲满时丢弃并计数，Run 返回时关闭。通知只含类型、任务/尝试 ID 与稳定分类，没有业务结果或秘密。它不能代替审计、可靠结果订阅或任务查询。
+
+## 4. 执行、续租与恢复
+
+- 只有 Start 当前授权有效才调用处理器；同进程中的已知尝试最多调用一次。重复确认与重新连接只核对控制操作。
+- 处理器在独立 goroutine 执行，网络控制由事件循环管理；每连接当前只保留一个执行器控制请求在途。不同处理器可以并行，控制请求顺序与业务并发上限分开。
+- 会话心跳按服务端 TTL 的三分之一计算，上限 5 秒。任务续租按当前保守租约剩余时间的三分之一安排，下限 20 毫秒；服务器仍限制总截止与单次尝试时限。
+- 每个处理器的租约监视器独立取消 context，断网或控制请求阻塞也不会延长本地执行权限。最新会话若缩短租约，监视器会采用较短期限。已到期的处理器不会被后续确认复活。
+- 重连复用实例和尝试身份，在开启容量之前 Resume 所有已知尝试；待确认 start/renew/finish 使用原消息 ID。认证、权限及协议错误终止 Run；临时服务/连接错误按退避核对。
+- 结果未确认或处理器失去租约时，运行器降低对外声明的容量。仍未返回的函数占用真实并发槽；已在传输中的预占会有界接收，已知尝试最多为配置容量的两倍。
+
+Run 的重连是控制消息恢复，不是业务自动重试。当前明确失败仍成为 FAILED；策略化业务重试在 P3 实现。
+
+## 5. 结果与错误分类
+
+| 处理器结果 | SDK 报告 / 服务端行为 |
+| --- | --- |
+| 合法非 null JSON + nil error | SUCCEEDED |
+| `&orbit.WorkerFailure{Code:"OBJECT_REJECTED", Details:...}` | FAILED；仅用于能确认的业务失败，Details 为空时为 `{}` |
+| 普通 error | UNKNOWN / HANDLER_ERROR，进入 NEEDS_REVIEW |
+| panic / runtime.Goexit | UNKNOWN / HANDLER_PANIC 或 HANDLER_ABORTED |
+| 非法 JSON、超限结果、不支持数值或嵌套 | UNKNOWN / INVALID_HANDLER_RESULT |
+| 处理器因租约取消返回错误 | UNKNOWN / LEASE_LOST |
+| 报告到达时租约已失效、或结果与权威状态冲突 | 服务端可只保存 EVIDENCE_ONLY；不把证据计为任务成功 |
+
+原始异常和 panic 内容不写入结果或通知。Result/Details 最多 256 KiB，应优先使用对象引用。SDK 保留精确数字文本，并按服务端数字范围及完整帧的嵌套上限预检，避免产生永远无法接受的报告。
+
+普通网络错误不能证明副作用未发生，因此不会自动解释为明确失败。UNKNOWN 和迟到证据的后续核查由平台管理能力与业务对账共同处理。
+
+## 6. 退出与故障边界
+
+取消 Run context 后，运行器请求持久化排空，收集排空 ACK 之前已派发的工作，继续为在途任务续租并确认结果。进程应等待 Run 返回，而不是取消 context 后立即退出。
+
+ShutdownTimeout 从取消信号发生时开始计时，包含网络等待和处理器收尾。到期后取消控制请求及处理器 context，返回 `*WorkerRunError`；可用 `errors.Is(err, orbit.ErrWorkerShutdownTimeout)` 判断，Unconfirmed 和 Running 给出终止收尾时的快照。其他致命错误也带这些计数，便于识别未核对的执行。
+
+Go 无法杀死忽略 context 的 goroutine。Run 可以有界返回，但这类函数可能仍在进程中执行；不得把返回错误解释为副作用已停止，也不要在同一进程盲目重建 Worker 叠加执行。服务端对失联执行按租约回收并进入核查。
+
+身份、尚未确认的结果和消息 ID 当前保存在内存，支持同进程重连；进程被强杀会失去这些内容。持久化租约、操作回执、最终结果和审计在 MySQL 中，业务外部效果仍需要业务幂等或查询核对。这一边界不等于端到端 exactly-once。
+
+本轮证据见 [自动运行器回归报告](../reports/phase-2-worker-runtime.md)。实际部署中的多主机故障、数据库复制确认与容量承诺仍需后续生产验收。

docs/sdk/worker.md

@@ -1,6 +1,6 @@
 # Go Worker 底层协议 SDK
 
-更新：2026-09-17。已实现可独立构建的 `WorkerConnection`，配合真实 Orbit 服务和 MySQL 通过控制操作、WSS、ACK 丢失与租约过期回归。**自动 Worker 运行器仍在开发**：本页的方法不会自动启动处理器、心跳、续租、重连或排空。需要持续消费的接入方应等待运行器交付，不能把一次性示例当作完整托管运行时。
+更新：2026-09-17。已实现可独立构建的 `WorkerConnection`，配合真实 Orbit 服务和 MySQL 通过控制操作、WSS、ACK 丢失与租约过期回归。本页是底层接口，不自动启动处理器、心跳、续租、重连或排空；普通持续消费使用已实现的 [自动 Worker 运行器](worker-runtime.md)。
 
 源码：[连接与控制方法](../../sdk/go/worker_connection.go)、[中文注释的数据契约](../../sdk/go/worker_types.go)。传输字段、权限和事务语义见 [Worker 接口](../api/worker.md)。SDK 独立 module，只依赖标准库和锁定版本的 `github.com/coder/websocket v1.8.15`，不导入服务端包。