refactor: migrate high-risk write transactions

docs/architecture-overview.md

@@ -367,6 +367,9 @@ flowchart LR
   `application/subscription/write.py` 决定事务与 post-commit 边界，`SubscribeOper.stage_add()`
   只查重、`add` 和 `flush`。旧 SDK 显式构造的无会话 Oper 暂留兼容自动短会话，不得被新代码复用。
   `transaction-debt-baseline.json` 将存量 178 个 Model 事务装饰器冻结为只降不增低水位。
+- 站点、历史、工作流、Agent 会话删除和插件数据重置已经形成同构事务切片；对应 Application
+  Command/Service 持有 UoW，Oper 的 `stage_*` 方法只修改当前会话。插件数据重置从
+  `startup/plugins_initializer.py` 创建独占会话，插件直接使用 `PluginDataOper` 的旧 ABI 仅作兼容。
 - 每次表结构变更必须新增 `database/versions/` 下的 Alembic 迁移。
 - 运行期业务配置使用 `SystemConfigKey` 枚举 + `SystemConfigOper`，禁止裸字符串键；
   用户级配置使用 `UserConfigOper`。

docs/refactor/backend-architecture-next-stage.md

@@ -6,7 +6,7 @@
 > 审计范围：宿主后端；排除 `app/plugins/**` 运行时插件副本
 > 规范优先级：`AGENTS.md` 与 `docs/rules/` 高于本文
 > 相关文档：`docs/architecture-overview.md`、`docs/refactor/backend-architecture-governance.md`、`docs/refactor/backend-module-refactor-compatibility.md`
-> 实施进度：阶段 0（ARCH-201～203）、阶段 1（ARCH-210～212）与 ARCH-220～221 已完成，后续任务按 ID 独立提交和回滚
+> 实施进度：阶段 0（ARCH-201～203）、阶段 1（ARCH-210～212）与阶段 2（ARCH-220～222）已完成，后续任务按 ID 独立提交和回滚
 
 ## 1. 结论先行
 
@@ -399,6 +399,20 @@ flowchart TB
 
 每个切片沿用 ARCH-221，不允许批量移动全部 Model 方法。查询方法可在写边界稳定后再迁移。
 
+**实施记录（2026-08-21）**：
+
+| 风险域 | 规范事务入口 | 结果 |
+| --- | --- | --- |
+| 站点配置 | `SiteMutationCommand` + Async UoW | create/update/priorities/delete/reset 均先 stage 再 commit |
+| 下载/整理历史 | `DownloadHistoryMutationCommand`、`TransferHistoryMutationCommand` + Sync UoW | 多表删除与文件副作用顺序已有聚焦回归 |
+| 工作流 | `WorkflowMutationCommand`、`WorkflowDefinitionCommand` + Sync/Async UoW | 定义写入提交后才刷新 timer/event |
+| Agent chat | `AgentChatService` + 请求级 Async UoW | API 会话删除改为 `async_stage_delete()`；失败回滚、缺失不提交 |
+| 插件数据重置 | `DeletePluginDataCommand` + 独占 Sync Session/UoW | `PluginDataOper.stage_delete()` 只 DELETE/flush；重置链由 startup 装配 |
+
+旧插件与宿主存量代码直接构造 `PluginDataOper`、`AgentChatOper` 的行为继续保留；新 API 和插件
+重置链不得回退到这些自动提交兼容方法。五类矩阵聚焦测试共 57 项通过，事务 ratchet 仍为
+178 且没有新增或搬移 Model 装饰器。
+
 ### 阶段 3：类型化运行时装配，减少全局服务定位
 
 #### ARCH-230：建立类型化 HostRuntime / AppState

docs/rules/10-data-and-persistent.md

@@ -104,6 +104,10 @@ Oper classes accept and return persistence values. Turning a `MediaInfo` or
   UoW and post-commit callback, and `SubscribeOper.stage_add()` only queries,
   adds, and flushes. Preserve `SubscribeOper.add()` only for legacy SDK callers;
   new host code must not use that auto-commit compatibility path.
+- The same rule applies to `SiteMutationCommand`, history/workflow commands,
+  `AgentChatService.delete()`, and `DeletePluginDataCommand`: bind the repository
+  and UoW to one request/operation Session. Legacy plugin-facing Oper methods may
+  remain temporarily, but a new endpoint or startup workflow must call `stage_*`.
 
 Run `./.venv/bin/python scripts/architecture/baseline.py --check-host` after
 persistence changes. A deliberate debt reduction may refresh the low-water mark