@abelxiaoxing/cadence 1.0.9 → 1.0.11

package/README.md

@@ -45,6 +45,54 @@ npm install -g @abelxiaoxing/cadence
 
 本包从不检查或分类 Pi 主机版本，不声明任何版本范围，也不从参考仓库源安装。
 
+## 跨项目验证合同（Cross-project verification）
+
+Cadence 不要求 consumer repository 提供 `check` 或 `test:target` 脚本。
+Gate B 使用 Implement Runtime 同一套 capability validator，只批准 consumer 当前确实能够执行的结构化合同：
+
+- `vitest`：显式 package script、本地 binary 或 `npx`（必须 `noInstall: true`），安全相对测试路径和 `minTests`。
+  只有这个 kind 会注入 JSON reporter 并校验 Red assertion identity。
+- `package-script`：固定 `bun | npm | pnpm | yarn`、script 名、完整 script
+  command 和参数；可用于 typecheck、build 与仓库已有测试脚本。
+- `static-check`：本地 binary、禁止下载的 `npx` 或安全相对 Node script；可用于
+  schema/Prisma/AGENTS 等静态检查，不接收 Vitest 参数。
+- `steps`：显式有序 precheck/target；不使用 `&&` 拼接复合命令。
+
+例如 npm-only consumer 的 Vitest target：
+
+```json
+{
+  "kind": "vitest",
+  "id": "npm-vitest-target",
+  "runner": {
+    "kind": "package-script",
+    "packageManager": "npm",
+    "script": "test:run",
+    "command": "vitest run"
+  },
+  "testFiles": ["tests/utils/upstreamFetch.test.js"],
+  "args": [],
+  "classification": "expected-green",
+  "minTests": 1
+}
+```
+
+Prisma 检查使用本地已安装 executable，不会隐式联网：
+
+```json
+{
+  "kind": "static-check",
+  "id": "prisma-schema",
+  "runner": { "kind": "npx", "executable": "prisma", "noInstall": true },
+  "args": ["validate"],
+  "classification": "expected-green"
+}
+```
+
+迁移时，将新的 Gate B argv 命令改为上述 kind；需要 `typecheck` 再测试时用 `steps`，并把 typecheck 建模为 expected-green precheck。
+Cadence 仍接受旧版 `bun run test:target <paths>` 和 `bun run check` 合同并立即规范化，但 Design 不再生成 argv-only 合同。
+脚本缺失会在 readiness 以 `verification-adapter/script-missing` 明确关闭，而不是在 Red 阶段误报为 Bubblewrap 或依赖环境故障。
+
 ## 开发（Development）
 
 ```sh
@@ -60,7 +108,7 @@ bun run check:agents          # AGENTS 索引校验
 
 ```sh
 bun run verify      # check && lint && test && pack:check（发布前全套校验）
-bun run pack:check  # 真实 tarball 39 成员清单校验
+bun run pack:check  # 真实 tarball 44 成员清单校验
 bun run traceability:check   # 81 条 Requirement/Scenario 引用精确解析
 ```
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@abelxiaoxing/cadence",
-  "version": "1.0.9",
+  "version": "1.0.11",
   "description": "Prompts, skills, and a private orchestration extension exposing the Abel four-stage workflow (/abel-init, /abel-design, /abel-implement, /abel-diagnose) with package-owned professional Agents.",
   "license": "MIT",
   "type": "module",

package/prompts/abel-design.md

@@ -150,7 +150,9 @@ $ARGUMENTS
   - 计划写集：修改/新建/删除的精确路径或最窄可判定 glob；预期交付文件/符号
   - 冲突集：任务 ID + 原因；共享状态、生成物、清单、数据库、端口、fixture 或验证资源及所需资源锁
   - 验证类型：`property | example | E2E | static`
-  - Red 命令 + 预期失败原因；Green 预期行为
+  - 每个 phase 的 Runtime verification contract：只使用 `kind: "vitest"`、`kind: "package-script"`、`kind: "static-check"` 或 `kind: "steps"`；Red 命令 + 预期失败原因；Green 预期行为
+  - `vitest` 明确 runner、安全相对 `testFiles`、`args`、`minTests`；`package-script` 明确 `bun | npm | pnpm | yarn`、真实 script、Gate B 固定的完整 script command 与 `args`；`static-check` 明确本地 executable、`npx` + `noInstall: true` 或安全相对 Node script
+  - 复合验证建模为有序 `steps`：前置检查为 `expected-green`，最后一步匹配 phase classification；不得使用 `&&` 或其他 shell operator
   - 受影响套件命令；目标范围；验证命令的并行资格及资源锁
   - 影响闭包（impact closure）：`changedSurfaces`、检索命令/命中证据、全部相关既有测试及其 `current-task | regression-task | unaffected` 归类、affected suite 中的既有测试证据
   - 已批准依赖变化清单（无则 `[]`）
@@ -166,15 +168,25 @@ $ARGUMENTS
 - 写集未知、过宽或可能重叠的任务不得标为并行；先重塑任务，或用 `conflict-order` 串行化。
 - 非行为变更任务的 Red 是变更前即可执行的静态验证。
   仅人工验证的任务不具备实施就绪性，绝不通过 Gate B 或退出；重塑任务直至具备可执行验证。
+- Gate B 呈现前，使用 Cadence 与 Implement Runtime 共用的 `src/verification-capability.ts::assessVerificationReadiness` 在 consumer root 校验全部 phase verification contracts。
+  仅允许 consumer 已存在且内容与合同完全一致的 package script、可用的显式 package manager、本地 `node_modules` executable，以及 `npx` 的 `noInstall: true`/`--no-install` 语义；绝不允许隐式联网下载、任意 shell 或 shell operator。
+  将来才由任务创建的测试/静态输入只有在其精确安全相对路径已列入批准写集时才可暂缺；绝对路径、路径逃逸和符号链接仍关闭失败。
+  不支持的合同以 `design-readiness/verification-contract-unsupported` 诊断关闭；脚本缺失以 `verification-adapter/script-missing` 关闭。
+  任何诊断存在时不得呈现 Gate B 为可批准、不得生成 `taskContractsExecutable: true`。
+- `vitest` 才允许 Runtime 注入 JSON reporter、要求 `minTests` 并用 assertion identity 判定 Red；`package-script` 与 `static-check` 只按退出码及批准的稳定输出 identity 判定，绝不附加 Vitest 参数。
+  `bun run check`、`bun run test:target`、precheck 与 affected suite 都不得由 Runtime 隐式补充；需要时必须成为 Gate B 明确批准的 contract/step。
+  Design 不生成 argv-only legacy contract。
 - 范围内每个索引过期发现分配给一个任务，或报告为无关的既有过期问题。
 - 循环至未决技术决策为零；在内存中备好剩余产物内容/统一 diff。
 
 ## ⛔ Gate B —— 批准实施契约
 
 - 核实阶段 3/4 忠实展开 Gate A 契约，未引入未批准的新决策。
+- 重新运行共享 `assessVerificationReadiness`；只有结果为 `{ taskContractsExecutable: true, diagnostics: [] }` 才可请求 Gate B 批准。
+  否则以精确 readiness/adapter 诊断返回阶段 3/4 修正，不把缺失 consumer capability 延迟到 Implement Red。
 - 呈现实质技术决策、任务 DAG/建议波次、前置条件、计划写集/冲突/资源锁、验证映射、AGENTS 影响矩阵与产物物化预览；用户显式批准。
 - 按写入协议逐个写入剩余就绪产物。
-- 最后写 `changeRoot/ready.yaml`：记录 receipt 版本、change/schema、Gate B 批准原文的忠实摘要（含任务 DAG、建议波次、前置条件、计划写集、冲突与资源锁）、任务验证与 AGENTS 影响摘要、`gate-a.yaml` 的 SHA-256，以及全部规划产物的规范化相对路径与 SHA-256；排除 `ready.yaml` 自身。
+- 最后写 `changeRoot/ready.yaml`：记录 receipt 版本、change/schema、Gate B 批准原文的忠实摘要（含任务 DAG、建议波次、前置条件、计划写集、冲突与资源锁）、共享 capability validator 产生的 `taskContractsExecutable: true` 与空 diagnostics、任务验证与 AGENTS 影响摘要、`gate-a.yaml` 的 SHA-256，以及全部规划产物的规范化相对路径与 SHA-256；排除 `ready.yaml` 自身。
   任务跟踪文件计算 hash 前只将任务完成标记 `- [x]`/`- [X]` 规范化为 `- [ ]`，其余字节不得忽略。
 
 ## 回环规则

package/prompts/abel-implement.md

@@ -63,12 +63,19 @@ Implement 不重新作出或请求 Gate A/B 决策；只有 Gate receipts、arti
 7. `openspec validate <name> --strict --type change` 问题为零。
 8. 阅读 `artifactPaths` 报告的全部规划产物；运行 `openspec instructions apply --change <name> --json` 并遵循其 apply 契约。
 9. 校验稳定 Requirement/Scenario 引用、Requirement → Scenario → Verification → Task 追溯链，以及每个任务的前置条件、`depends_on`、计划写集、冲突/资源锁、派发上下文、验证、批准依赖、结构化 AGENTS 影响和影响闭包契约；缺失、含糊或不可判定时按下方矩阵关闭失败。
+   每个 phase 必须是 Gate B 批准的结构化 `kind: "vitest" | "package-script" | "static-check" | "steps"`；Implement 不从命令固定下标猜测语义，也不隐式运行 `bun run check`、`bun run test:target` 或任何 consumer script。
+   `steps` 按声明顺序执行；precheck 必须是显式 `expected-green` step，不得用 `&&` 或其他 shell operator 合成。
 10. 影响闭包（impact closure）：若任务修改路由授权、页面状态、API 响应或公共 HTML，检查 URL/路由/handler/template 检索证据及全部相关既有测试归类。
     E2E、theme/layout、authorization、HTML/template、API contract 测试必须进入当前写集、明确后续回归任务或有不受影响证据；affected suite 不能只包含新增测试。
     `/videos`、`/api/videos` 等变化须检查全部这些测试面。
-11. 在任何写入前运行并记录每个未完成任务的目标命令、全部 affected-suite 命令与完整套件基线：命令、退出码、归一化失败标识/原因。
+11. 在注册任务和运行 Red 前，对 ready receipt 的 `taskContractsExecutable: true` 与所有 TaskBoundary verification 重跑共享 `assessVerificationReadiness`。
+    package script 的 package manager、名称与完整 command 必须和当前 consumer `package.json` 一致；本地 executable 必须受 `node_modules` 约束；`npx` 只能用 `noInstall: true` 并编译为 `--no-install`，不允许下载。
+    `vitest` 才注入 JSON reporter、应用 `minTests` 并解析 assertion Red identity；`package-script`/`static-check` 不附加 Vitest 参数，只使用退出码和批准的稳定输出 identity。
+    parent-only AGENTS checkpoint 可使用合法的 Node/static contract。
+    不支持的 shape 是 `design-readiness/verification-contract-unsupported` stage blocker；缺失 script 是 `verification-adapter/script-missing`，其他缺失/漂移能力使用精确 adapter code；只有 Bubblewrap、Bun 解析、依赖路径或 sandbox runtime 不可用才使用 environment code。
+12. 在任何写入前运行并记录每个未完成任务的目标命令、全部 affected-suite 命令与完整套件基线：命令、退出码、归一化失败标识/原因。
     尚未加入 Red 验证时，目标命令可记录为契约规定的预期状态；既有失败与目标 Red 严格分离，既有失败绝不算 Red。
-12. 可信交付无效时，在注册任务前输出 stage-level blocker；不得伪装成 task outcome。
+13. 可信交付无效时，在注册任务前输出 stage-level blocker；不得伪装成 task outcome。
     boundary 外的新路径、依赖、行为、策略、架构、冲突、资源、verification 或 AGENTS 需求使当前任务以 typed `approval-boundary` failure 终止。
     工具、依赖路径、命令或沙箱不可用使当前任务以 typed environment failure 终止；可机械修复的产物仅使用 phase 的有界 correction budget。
 
@@ -124,6 +131,7 @@ Runtime 只报告当前任务事实，不选择用户恢复动作，也不控制
 - malformed diff、syntax/import/load、no-test/错误命令、wrong Red identity、重复/无效提交或 Red 候选意外通过：`{ kind: "artifact", code: <closed-artifact-code> }`，其中意外通过使用 `red-not-witnessed`；首次可在共享两次 launch 内修正，耗尽为 `attempts-exhausted`。
 - stale snapshot 使用 `{ kind: "stale", code: <closed-stale-code> }`；可机械重派的 transport failure 使用 `{ kind: "transport", code: "transport-failure" }`；首次可在共享两次 launch 内刷新或同调用重派，耗尽为 `attempts-exhausted`。
 - Bubblewrap、依赖路径、测试沙箱或外部环境不可用：`{ kind: "environment", code: <closed-environment-code> }`，当前任务 terminal blocked。
+- 缺失/漂移的已批准 script、runner、本地 executable 或 verification input：`{ kind: "verification-adapter", code: <closed-adapter-code> }`；`script-missing` 不得误报为 `bubblewrap-or-dependency-unavailable`。
 - 新路径、依赖、行为、策略、架构、冲突、资源、verification 或 AGENTS 合同：对应 closed `approval-boundary` code，当前任务 terminal blocked，不扩大 boundary。
 - result size 超限：`{ kind: "result-limit", limitBytes }`，当前任务 terminal blocked，不接受 partial diff。
 

package/skills/abel-workflow/SKILL.md

@@ -23,6 +23,39 @@ A missing receipt, invalid hash, or inconsistent artifact is a `delivery-invalid
 Every approved behavior must retain a stable trace from Requirement to Scenario to Verification to Task.
 Every task must state exactly one executable verification type, its Red command and expected target failure, Green behavior, affected suite, target files, approved dependency changes, impact-closure evidence, and structured AGENTS impact.
 
+### Structured verification capability
+
+Design and Implement share `src/verification-capability.ts`; Design must call `assessVerificationReadiness` over every phase verification contract before Gate B approval and again immediately before writing `ready.yaml`.
+The receipt may state `taskContractsExecutable: true` only when that assessment returns true with no diagnostics.
+A future verification input may be absent only when its exact safe relative path is in the task's approved write set.
+Missing, escaping, absolute, or symbolic-link inputs remain closed failures.
+
+Design emits only the structured Runtime kinds `kind: "vitest"`, `kind: "package-script"`, `kind: "static-check"`, and `kind: "steps"`:
+
+- `vitest` declares its runner, safe relative `testFiles`, explicit `args`, and `minTests`.
+  It uses a consumer-installed local Vitest.
+  Runtime alone injects the JSON reporter and checks assertion identity for Red.
+- `package-script` pins the package manager, script name, exact Gate-B-approved `package.json` command, and argument array.
+  The script and runner must already exist in the consumer repository.
+- `static-check` declares a local binary, `npx` with `noInstall: true`, or a safe relative Node script.
+  It covers static, typecheck, build, schema, and parent-only AGENTS checkpoint verification without Vitest arguments.
+- `steps` is an ordered list of atomic contracts.
+  Every precheck is an explicit expected-green step and only the final step carries the phase classification.
+  A compound command must not use `&&` or another shell operator.
+
+No kind admits an arbitrary shell command.
+Tokens are passed without a shell; shell operators, path escapes, absolute paths, unsafe executable names, unapproved commands, and implicit download runners are rejected.
+`npx` is compiled with `--no-install` and still requires its executable in the approved local `node_modules`.
+Bun, npm, pnpm, and Yarn package scripts are allowed only when the named package manager and exact pinned script capability validate.
+
+Runtime never invents `bun run check`, `bun run test:target`, or another consumer script.
+A precheck or affected verification runs only as an explicit approved contract or ordered step.
+Legacy Cadence 1.0.x `bun run test:target <paths>` and `bun run check` inputs remain accepted and are normalized immediately, but Design must not generate new argv-only contracts.
+
+An unsupported shape is `design-readiness/verification-contract-unsupported`.
+A missing approved script is `verification-adapter/script-missing`; other missing or drifted consumer capabilities use their closed `verification-adapter` code.
+Only an unavailable Bubblewrap launch, Bun resolution, dependency path, or sandbox runtime is an `environment` failure.
+
 ## Verification discipline
 
 Before writes, record target, affected-suite, and full-suite baselines with commands, exit codes, and normalized failure identities.
@@ -94,6 +127,9 @@ It does not select a user recovery action, recommend another workflow, or claim
 - Generated artifact defects are closed typed failures: malformed diff, syntax/import/load, no-test or wrong command, wrong Red identity, duplicate/invalid structured result, and `red-not-witnessed`.
 - Artifact, stale-snapshot, and transport failures share two non-cancelled launches per phase; exhaustion is `attempts-exhausted` and cancellation is budget-neutral.
 - Bubblewrap, dependency-path, sandbox, or external runtime failure is `{ kind: "environment", code: <closed-environment-code> }` and terminally blocks the current task.
+- Unsupported verification contracts close Design readiness; missing scripts,
+  runners, local executables, or inputs are closed `verification-adapter` failures
+  and must not be reported as Bubblewrap or dependency environment failures.
 - Any required path, dependency, behavior, policy, architecture, conflict, resource, verification, or AGENTS expansion is the matching closed `approval-boundary` failure and never expands the boundary at runtime.
 - Oversized output is `{ kind: "result-limit", limitBytes }`, terminal, and never yields a partial diff.