@chrono-meta/fh-gate 2.0.0 → 2.1.0

package/scripts/test_relay_channel_lanes.sh

@@ -578,6 +578,82 @@ A_N10=$(cap a_n10.cap "id: demo:a" "entry: bash $T/n_key_pass.sh" "verdict_chann
 rc=0; bash "$RELAY" run --cap "$A_N10" --cap "$B" --task t > "$T/on10" 2>&1 || rc=$?
 _t "N10 both 채널의 **일치** 정상 경로가 실제로 돈다(과차단 아님)" 0 "$rc"
 
+# ── N11–N15 노드별 호출 인자 채널 (`--cap-args`) ─────────────────────────────
+#   🟥 이 채널이 없던 동안 **호출 시점 인자를 요구하는 능력은 relay 를 통과할 수 없었다**
+#   (실측 2026-08-16, pmh-dev:merge-noop-check → 항상 ARGS→HARNESS_ERROR→BLOCKED).
+#   fail-closed 라 방향은 옳았지만 신호가 0 이었고, 그건 «호출 가능» 을 구조적으로 못 만든다.
+#   레인은 네 가지를 따로 단언한다 — 도달 · 결박 대상 · fail-closed · **비주입 컨트롤**.
+mk n_echo_args.sh '#!/usr/bin/env bash
+# 받은 위치 인자를 그대로 찍고, 첫 인자가 "GO" 일 때만 통과한다.
+echo "ARGS=[$*]"
+[ "${1:-}" = "GO" ] && exit 0
+exit 1'
+ARGSCAP() { cap "$1" "id: demo:$2" "entry: bash $T/n_echo_args.sh" "verdict_channel: exit" \
+  "verdict_enum: 0=PASS 1=FAIL" "approval: auto" "reversibility: reversible" "residency: public" \
+  "degrade: fail-closed" "tier_floor: none" "writes: read-only" "judge: mechanical" \
+  "verdict_binding: FAIL"; }
+
+# N11 인자가 실제로 진입점에 **도달한다** — 없으면 FAIL 이어야 할 노드가 통과한다
+A_N11=$(ARGSCAP a_n11.cap a)
+rc=0; bash "$RELAY" run --cap "$A_N11" --cap-args "GO" --cap "$B" --task t \
+  --record "$T/rec11" > "$T/on11" 2>&1 || rc=$?
+_t    "N11 --cap-args 가 진입점에 실제로 도달한다" 0 "$rc"
+# ★ 단언 대상은 relay 의 stdout 이 아니라 **노드 자신의 출력**이다. relay 는 노드 stdout 을
+#   기록 디렉터리로 보내므로, relay 출력에 대고 grep 하면 늘 «없음» 이 나와 거짓 적색이 된다
+#   (초판이 그렇게 틀렸다 — 계기가 아니라 단언 위치가 틀린 경우).
+_tout "N11b 받은 인자를 진입점이 그대로 본다" "ARGS=\[GO\]" "$T/rec11/node1.out"
+
+# N12 🟥 **비주입 컨트롤** — 같은 capfile 에 인자만 빼면 FAIL 이어야 한다.
+#     이게 없으면 N11 은 «인자와 무관하게 늘 통과하는 계기» 와 구분되지 않는다.
+rc=0; bash "$RELAY" run --cap "$A_N11" --cap "$B" --task t \
+  --record "$T/rec12" > "$T/on12" 2>&1 || rc=$?
+_t    "N12 인자를 안 주면 같은 노드가 막힌다(컨트롤 — 채널이 실재한다는 증거)" 2 "$rc"
+_tout "N12b 인자 없이 부르면 진입점이 빈 인자를 본다" "ARGS=\[\]" "$T/rec12/node1.out"
+
+# N13 결박 대상은 **가장 최근 --cap** 이다 — 위치 인덱스로 짝지으면 조용히 다른 노드에 붙는다
+A_N13=$(ARGSCAP a_n13.cap a)
+rc=0; bash "$RELAY" run --cap "$B" --cap "$A_N13" --cap-args "GO" --task t > "$T/on13" 2>&1 || rc=$?
+_t    "N13 인자가 «가장 최근 --cap» 에 결박된다(첫 노드로 새지 않는다)" 0 "$rc"
+
+# N14 `--cap` 없이 먼저 오면 fail-closed — 어디 붙일지 모르는 인자를 조용히 버리지 않는다
+rc=0; bash "$RELAY" run --cap-args "GO" --cap "$A_N11" --cap "$B" --task t > "$T/on14" 2>&1 || rc=$?
+_t    "N14 --cap 앞의 --cap-args 는 fail-closed(무음 폐기 아님)" 10 "$rc"
+
+# N15 셸 메타문자 거부 — 진입점이 단어분해로 실행되므로 프로브와 같은 규칙을 쓴다
+rc=0; bash "$RELAY" run --cap "$A_N11" --cap-args 'GO; rm -rf /tmp/x' --cap "$B" --task t > "$T/on15" 2>&1 || rc=$?
+_t    "N15 --cap-args 의 셸 메타문자는 거부된다" 10 "$rc"
+
+# ── N16–N18 cross-family 3건(2026-08-16) — 전부 손 재현 후 앵커 ────────────────
+# 셋 다 「조용히 잘못되는」 형태다: 값이 사라지거나, 결박이 죽거나, 인자 경계가 바뀐다.
+A_N16=$(ARGSCAP a_n16.cap a)
+rc=0; bash "$RELAY" run --cap "$A_N16" --cap-args "FIRST" --cap-args "GO" --cap "$B" --task t > "$T/on16" 2>&1 || rc=$?
+_t "N16 같은 --cap 에 --cap-args 두 번은 fail-closed(앞 값 무음 폐기 금지)" 10 "$rc"
+
+# N17 결박 플래그와의 충돌 — `--cap-args --` 로 `--upstream-verdict` 를 위치인자로 밀어낼 수 있었다
+A_N17=$(cap a_n17.cap "id: demo:a" "entry: bash $T/n_echo_args.sh" "upstream_argv: yes" \
+  "verdict_channel: exit" "verdict_enum: 0=PASS 1=FAIL" \
+  "approval: auto" "reversibility: reversible" "residency: public" "degrade: fail-closed" \
+  "tier_floor: none" "writes: read-only" "judge: mechanical" "verdict_binding: FAIL")
+rc=0; bash "$RELAY" run --cap "$A_N17" --cap-args "GO" --cap "$B" --task t > "$T/on17" 2>&1 || rc=$?
+_t "N17 upstream_argv 노드에 --cap-args 를 붙이면 fail-closed(결박이 조용히 죽지 않는다)" 10 "$rc"
+# N17b 컨트롤 — upstream_argv 를 **선언하지 않은** 노드는 종전대로 통과해야 한다(과차단 방지)
+rc=0; bash "$RELAY" run --cap "$A_N16" --cap-args "GO" --cap "$B" --task t > "$T/on17b" 2>&1 || rc=$?
+_t "N17b 컨트롤 — upstream_argv 미선언 노드는 --cap-args 를 정상 수용" 0 "$rc"
+
+# N18 개행 — 초판 가드를 통과해 **한 인자가 두 인자로 쪼개졌다**($'GO\nSECOND' → ARGC=2)
+rc=0; bash "$RELAY" run --cap "$A_N16" --cap-args "$(printf 'GO\nSECOND')" --cap "$B" --task t > "$T/on18" 2>&1 || rc=$?
+_t "N18 --cap-args 의 개행은 거부된다(인자 경계 무음 변형 차단)" 10 "$rc"
+# N18b 컨트롤 — **정상 다중 인자**(공백 구분)는 계속 통과해야 한다. 안 그러면 N18 은
+#      「인자를 여러 개 못 주는 계기」와 구분되지 않는다.
+A_N18=$(cap a_n18.cap "id: demo:a" "entry: bash $T/n_echo_args.sh" "verdict_channel: exit" \
+  "verdict_enum: 0=PASS 1=FAIL" "approval: auto" "reversibility: reversible" "residency: public" \
+  "degrade: fail-closed" "tier_floor: none" "writes: read-only" "judge: mechanical" \
+  "verdict_binding: FAIL")
+rc=0; bash "$RELAY" run --cap "$A_N18" --cap-args "GO SECOND THIRD" --cap "$B" --task t \
+  --record "$T/rec18" > "$T/on18b" 2>&1 || rc=$?
+_t    "N18b 컨트롤 — 공백 구분 다중 인자는 정상 통과" 0 "$rc"
+_tout "N18b2 세 인자가 그대로 도달한다" "ARGS=\[GO SECOND THIRD\]" "$T/rec18/node1.out"
+
 printf '\n── relay_channel lanes: %d PASS / %d FAIL ──\n' "$pass" "$fail"
 [ "$fail" -eq 0 ] || exit 1
 exit 0

package/templates/.git-hooks/pre-commit

@@ -284,8 +284,20 @@ else
   psa_load "$REPO_ROOT/.claude/rules/.public-surface-patterns.defaults" \
            "${PSA_PATTERNS:-$REPO_ROOT/.claude/rules/.public-surface-patterns}"
   if [ "$PSA_OVERRIDE_PRESENT" -eq 0 ]; then
-    echo "  ⚠️  operator pattern override absent — only committed defaults active (home paths)."
-    echo "     Populate .claude/rules/.public-surface-patterns (gitignored) for company-specific tokens."
+    # 2026-08-16 weekly-audit residual — operator decision: LOUDER WARNING, not fail-closed.
+    # A hard block here would fail every fresh clone's / CI's / worktree's first commit (the
+    # override is gitignored by construction), training PUBLIC_SURFACE_OK into a reflex — the same
+    # override-habituation this repo has measured and warned against repeatedly. So the degrade
+    # direction stays PASS; what changed is that the old two-line notice was easy to scroll past in
+    # a green hook run. This is now impossible to miss, still non-blocking.
+    echo ""
+    echo "  🟧🟧🟧 CONFIDENTIALITY COVERAGE REDUCED — READ BEFORE TRUSTING THIS PASS 🟧🟧🟧"
+    echo "  ⚠️  operator pattern override ABSENT — only committed defaults are active."
+    echo "     Company/employer-name and real-username token classes are UNSCANNED this run."
+    echo "     A clean PASS below reflects the defaults-only pattern set, not the full one."
+    echo "     Fix: populate .claude/rules/.public-surface-patterns (gitignored, one severity<TAB>regex per line)."
+    echo "  🟧🟧🟧 ────────────────────────────────────────────────────────────── 🟧🟧🟧"
+    echo ""
   fi
   if [ "$PSA_DEFAULTS_OK" -eq 0 ] || [ "$PSA_BAD_ROWS" -gt 0 ] \
      || [ -z "$(printf '%s' "$PSA_STREAM" | grep -vE '^[[:space:]]*(#|$)' || true)" ]; then
@@ -557,7 +569,61 @@ validate_crossfamily_leg() { # $1 = marker path
 
   case "$val" in
     declined)
-      echo "  ✅ cross-family leg: declined (operator-chosen floor, first-class — not a degrade)" ;;
+      # `declined` means ONE thing: the OPERATOR declined sidecars (UAP), a chosen floor. It was
+      # the only value in this enum with no grounds requirement, and that made it the enum's soft
+      # spot: an author who judged decorrelation unnecessary reached for the nearest permissive
+      # token and it passed clean. Measured 2026-08-16, in this repo, by the session that had
+      # CORRECTED a different marker's crossfamily value earlier the same day and had the correct
+      # semantics printed to it in this hook's own error text — i.e. neither ignorance of the enum
+      # nor of the file. Form was satisfied, so the question stopped.
+      #
+      # A closed enum stops free prose from collapsing distinct states; it does NOT stop a wrong
+      # token from being a valid one. This lane is the difference. The grounds bar is deliberately
+      # the same shape as the degrade branch below (substance + a token naming WHO/WHERE), because
+      # the claim being made is factual and attributable: an operator decision has a record.
+      # 🟥 THE TEST IS A RESOLVABLE RECORD, NOT VOCABULARY. The first version of this lane grepped
+      # for words (operator|uap|consent|…). A cross-family review (codex/gpt-5.6-terra) attacked it
+      # and all three findings reproduced on the spot:
+      #   · SELF-VALIDATING  `declined — declined because I judged it unnecessary` PASSED, because
+      #                      `declin` was in the keyword list and the author had echoed the value.
+      #   · VACUOUS PASS     `declined — operator documentation says authors may choose` PASSED
+      #                      while describing no declination at all.
+      #   · OVER-BLOCK       `declined — the person who runs this harness asked us not to use
+      #                      external reviewers here` was BLOCKED — a real operator declination,
+      #                      in natural prose, carrying none of the listed tokens.
+      # Adding patterns is the Grep-Collision Treadmill (P10): each new word relocates the evasion.
+      # So the check changed KIND. Per CLAUDE.md §Mechanization Boundary a channel check asserts a
+      # property OF THE RECORD, never a conclusion — and the honest record property here is:
+      # **the claim names a file that exists.** Vocabulary cannot be stuffed into it, a fabricated
+      # path fails, and a legitimate declination just cites where it lives.
+      # HONEST RESIDUAL, stated rather than implied: this proves a cited record EXISTS, not that it
+      # SAYS what is claimed. That is the marker's own declared scope (form + non-vacuity +
+      # auditability, NOT provenance) — identical ceiling, not a new gap.
+      _cf_cited=""
+      for _tok in $reason; do
+        _tok=${_tok%%,}; _tok=${_tok%%\)}; _tok=${_tok##\(}
+        case "$_tok" in
+          */*|*.md|*.yaml|*.yml|*.json)
+            if [ -e "$REPO_ROOT/$_tok" ] || [ -e "$_tok" ] || [ -e "$HOME/$_tok" ]; then
+              _cf_cited="$_tok"; break
+            fi ;;
+        esac
+      done
+      if [ "${#reason}" -lt 20 ] || [ -z "$_cf_cited" ]; then
+        echo "  ❌ FAIL — 'declined' must cite a record that EXISTS on disk."
+        echo "     declined = the OPERATOR declined sidecars, a chosen floor. It does NOT mean"
+        echo "     'I judged decorrelation unnecessary here' — that is a CHOICE the author made"
+        echo "     with a panel reachable, and its honest value is DEGRADED_PANEL_UNUSED."
+        echo "     An operator decision has a record. Name its path on this same line:"
+        echo "       crossfamily: declined — operator declined sidecars, tracks/_meta/user_adaptation_profile.md"
+        echo "       crossfamily: declined — chosen floor per CLAUDE.local.md §sidecar"
+        echo "     No such record → you are not describing an operator declination:"
+        echo "       crossfamily: DEGRADED_PANEL_UNUSED — codex+agy reachable, not recruited (<why>)"
+        [ "${#reason}" -ge 20 ] && echo "     (grounds were substantive but named no resolvable path)"
+        return 1
+      fi
+      echo "  ✅ cross-family leg: declined (operator-chosen floor, first-class — not a degrade)"
+      echo "     $(printf '%s' "$reason" | cut -c1-80)" ;;
     panel*)
       if ! printf '%s' "$val" | grep -qE '^panel\([^)]+\)$'; then
         echo "  ❌ FAIL — panel claim without a family list: '$val'"
@@ -665,33 +731,143 @@ validate_crossfamily_leg() { # $1 = marker path
 # 브랜치가 전부 막히고, 그 과차단이 `--no-verify` 를 습관화시켜 같은 훅 안의 Destructive-Op
 # 게이트까지 무장해제한다(오늘 실측된 트레이드오프).
 AXES_RUN_GRACE_DATE="2026-08-10"
+# ── 6축 확장 (2026-08-17) ────────────────────────────────────────────────────────
+# 산문 정본은 6축(`fh_three_layer_canon.md` §1-a-2)인데 이 훅은 네 글자만 봤다. 확장하면서
+# **키 표기를 산문과 1:1 로 정렬**한다 — 그 이유가 「예쁘게」가 아니라 아래 실측이다.
+#
+# 🟥 옛 배열과 새 배열은 **같은 글자가 다른 축을 가리킨다**:
+#      문자   §1-a (옛 4축, 마커가 쓰던 것)   §1-a-2 (현 6축, 산문이 쓰는 것)
+#       ⓐ     다른 계열                       다른 계열        (동일)
+#       ⓑ     첫 실사용                       **입장**         ← 옛 ⓑ 는 현 ⓔ 로 밀렸다
+#       ⓒ     기록 그라운딩                   격리 그라운딩    (대응)
+#       ⓓ     되돌림 실측                     **3자 대면**     ← 옛 ⓓ 는 현 ⓕ 로 밀렸다
+#    그래서 `b=`/`d=` 를 그대로 쓰면서 의미만 바꾸면 **훅이 조용히 다른 축으로 읽으며
+#    오류를 내지 않는다.** 무음 재해석은 이 레포가 `not found ≠ 0` 라 부르는 것의 형제다.
+#
+# 실측(2026-08-17): 디스크 마커 190개 중 유예일 이후 51개. 훅은 «오늘·이 브랜치» 마커
+# **한 개만** 검증하므로(아래 호출부) 확장으로 **커밋이 막히는 기존 마커는 0건**이다.
+# 실제 비용은 그 51건이 «옛 배열인지 새 배열인지 읽을 수 없다» 는 것 — 파손이 아니라
+# **미측정**이다. 그래서 처방이 「고친다」가 아니라 **「어느 배열인지 말하게 만든다」**:
+#      마커 파일명 날짜 <  2026-08-17  → 옛 4축 배열 (ASCII 키)
+#      마커 파일명 날짜 >= 2026-08-17  → 신 6축 배열 (기호 키)
+#
+# 🟥 **판별자는 날짜지 표기법이 아니다 — 초판이 그 반대로 적었고 코퍼스가 반증했다.**
+#    초판 주석: «표기법 자체가 배열을 선언하므로 감사자가 grep 한 방으로 판별한다».
+#    ⓓ3자대면 축이 디스크 마커를 손으로 세어 반례를 냈다 — axes-run 보유 53건 중
+#    기호 키 4 · 혼용 1 이고, 기호 4건 중 **2건이 2026-08-10 자이면서 옛 4축 의미**다:
+#      …fix_digest-collection-spec-reality_2026-08-10.marker
+#        → `ⓐ 미실행 · ⓑ 첫실사용 … · ⓓ 미실행`     (ⓑ·ⓓ 가 현 배열에선 ⓔ·ⓕ)
+#      …fix_entrypoint-drift-and-close-protocol_2026-08-10.marker
+#        → `ⓐ 적대검증 · ⓑ 첫실사용 … · ⓓ 되돌림`
+#    훅은 이 셋을 절대 안 읽으므로 커밋을 막지 않는다. 틀리는 건 **감사자**다.
+#    ⇒ 표기 정렬은 «앞으로 쓸 때 안 헷갈리게» 하는 값은 있으나 **소급 판별자로 쓰면 안 된다**.
+#
+# ⚠️ **그리고 이 날짜 비교는 프로덕션에서 도달 불가 분기다 — 숨기지 않고 적는다.**
+#    아래 호출부가 마커 경로를 `${TODAY}` 로 **구성**하므로 `mdate` 는 항상 오늘이다. 즉
+#    오늘 이후 `six=0` 분기를 타는 실제 커밋은 없고, 살아있는 소비자는 픽스처뿐이다.
+#    **기존 마커를 지킨 것은 이 상수가 아니라 그 경로 구성이다.** 상수는 픽스처가 경계를
+#    고정하는 값 + 훗날 호출부가 임의 마커를 검증하게 될 때의 대비로 남긴다.
+#    (선례: 8일 전 `crossfamily:` 를 free prose → closed enum 으로 바꿀 때는 컷오프 없이
+#     그냥 강제했고 문제가 없었다 — 이유가 정확히 같다.)
+#    부수 노출: 시계가 과거로 틀어진 노드는 파일명도 과거 날짜라 `six=0` 으로 새 나간다
+#    (fail-open, 저위험). 닫으려면 상수를 지우고 무조건 6축을 요구하면 된다 — 어차피
+#    도달 불가 분기이므로 **지우는 것이 곧 닫는 것**이다. 지금은 안 지웠다(픽스처 경계값).
+#
+# 이식성: bash 3.2 + BSD grep, LC_ALL={C, POSIX, en_US.UTF-8, ko_KR.UTF-8} 4개 arm 에서
+# 6/6 HIT · known-negative(ⓖ) 0건으로 실측했다. ⚠️ Linux/GNU grep 은 **미측정** — CI(ubuntu)
+# 가 첫 측정이고, 깨지면 아래 픽스처 레인이 빨개진다(무음 아님).
+#
+# ⓑ입장은 값을 여기 적지 않는다 — 이미 `standpoint:` 자기 필드가 정본이라 이중 기록이 된다.
+# 대신 `ⓑ=→standpoint` 포인터를 요구하고, 그 경우 `standpoint:` 줄의 **존재**를 확인한다.
+# (`standpoint:` 값 자체의 enum 검증은 별건이고 정본이 명시적으로 유보해 뒀다.)
+SIX_AXES_GRACE_DATE="2026-08-17"
 validate_marker_axes_run() { # $1 = marker path
-  local m="$1" mdate line ax miss=""
+  local m="$1" mdate line ax miss="" nlines axkeys six=0
   mdate=$(basename "$m" | sed -nE 's/.*_([0-9]{4}-[0-9]{2}-[0-9]{2})\.marker$/\1/p')
   # 날짜를 못 읽으면 요구하지 않는다 — 파일명 규약 밖의 마커를 이 검사가 판정할 근거가 없다.
   [ -n "$mdate" ] || return 0
   [ "$mdate" \< "$AXES_RUN_GRACE_DATE" ] && return 0
+  [ "$mdate" \< "$SIX_AXES_GRACE_DATE" ] || six=1
+
+  # 다중 `axes-run:` 줄 차단. `crossfamily:` 는 예전부터 이걸 막는데 `axes-run` 은 안 막아서,
+  # 둘째 줄이 **없다고 판정되는 게 아니라 안 보인다**(아래 grep -m1). 실측: 디스크에 2줄짜리
+  # 마커 1건 존재(2026-08-15). 같은 얼굴이므로 같은 자리에서 닫는다.
+  nlines=$(grep -c -E '^[[:space:]]*axes-run:' "$m" 2>/dev/null)
+  if [ "${nlines:-0}" -gt 1 ]; then
+    echo "  ❌ MARKER FORMAT — 'axes-run:' 줄이 ${nlines}개다 (하나여야 한다)"
+    echo "     이 검사는 첫 줄만 읽는다. 둘째 줄은 «없다고 판정»되는 게 아니라 **안 보인다** —"
+    echo "     즉 거기 적은 축은 검사를 통째로 우회한다. 한 줄로 합쳐라."
+    return 1
+  fi
 
   line=$(grep -m1 -E '^[[:space:]]*axes-run:' "$m" 2>/dev/null)
   if [ -z "$line" ]; then
-    echo "  ❌ MARKER FORMAT — missing 'axes-run:' line (4축 자기 대조)"
+    echo "  ❌ MARKER FORMAT — missing 'axes-run:' line (축 자기 대조)"
     echo "     CLAUDE.md §3층 자기 대조: **돌린 축과 안 돌린 축을 각각 이름으로** 적는다."
     echo "     안 돈 축은 침묵이 아니라 'none' 이다 — 미측정을 0으로 렌더하지 않는다."
-    echo "       axes-run: a=codex(4건) b=CI배선 c=none d=되돌림(국소성 확인)"
-    echo "     (a=다른계열 · b=첫실사용 · c=기록그라운딩 · d=되돌림)"
+    if [ "$six" -eq 1 ]; then
+      echo "       axes-run: ⓐ=codex(4건) ⓑ=→standpoint ⓒ=none ⓓ=none ⓔ=CI배선 ⓕ=되돌림(국소성)"
+      echo "     (ⓐ다른계열 · ⓑ입장 · ⓒ격리그라운딩 · ⓓ3자대면 · ⓔ첫실사용 · ⓕ되돌림실측)"
+    else
+      echo "       axes-run: a=codex(4건) b=CI배선 c=none d=되돌림(국소성 확인)"
+      echo "     (a=다른계열 · b=첫실사용 · c=기록그라운딩 · d=되돌림)"
+    fi
     return 1
   fi
-  for ax in a b c d; do
+  if [ "$six" -eq 1 ]; then axkeys="ⓐ ⓑ ⓒ ⓓ ⓔ ⓕ"; else axkeys="a b c d"; fi
+  for ax in $axkeys; do
     echo "$line" | grep -qE "(^|[[:space:]])${ax}=[^[:space:]]" || miss="$miss $ax"
   done
   if [ -n "$miss" ]; then
-    echo "  ❌ MARKER — 'axes-run:' 에 빠진 축:$miss"
-    echo "     네 축을 **전부** 적는다. 안 돌린 축은 'none' 으로 명시한다 — 빠뜨리는 것과"
-    echo "     안 돌렸다고 적는 것은 다른 명제이고, 빠뜨리면 읽는 쪽이 전자를 후자로 읽는다."
-    echo "       axes-run: a=codex(4건) b=CI배선 c=none d=되돌림(국소성 확인)"
+    if [ "$six" -eq 1 ]; then
+      echo "  ❌ MARKER — 'axes-run:' 에 빠진 축:$miss"
+      echo "     여섯 축을 **전부** 적는다. 안 돌린 축은 'none' 으로 명시한다 — 빠뜨리는 것과"
+      echo "     안 돌렸다고 적는 것은 다른 명제이고, 빠뜨리면 읽는 쪽이 전자를 후자로 읽는다."
+      echo "       axes-run: ⓐ=codex(4건) ⓑ=→standpoint ⓒ=none ⓓ=none ⓔ=CI배선 ⓕ=되돌림(국소성)"
+      echo "     (ⓐ다른계열 · ⓑ입장 · ⓒ격리그라운딩 · ⓓ3자대면 · ⓔ첫실사용 · ⓕ되돌림실측)"
+      echo "     🟥 옛 ASCII 배열(a=…d=)과 **글자 의미가 다르다** — 옛 b=첫실사용은 지금 ⓔ,"
+      echo "        옛 d=되돌림은 지금 ⓕ 다. 옛 표기를 그대로 옮기면 축이 뒤바뀐다."
+    else
+      echo "  ❌ MARKER — 'axes-run:' 에 빠진 축:$miss"
+      echo "     네 축을 **전부** 적는다. 안 돌린 축은 'none' 으로 명시한다 — 빠뜨리는 것과"
+      echo "     안 돌렸다고 적는 것은 다른 명제이고, 빠뜨리면 읽는 쪽이 전자를 후자로 읽는다."
+      echo "       axes-run: a=codex(4건) b=CI배선 c=none d=되돌림(국소성 확인)"
+    fi
     return 1
   fi
 
+  if [ "$six" -eq 1 ]; then
+    # ── 혼용 가드는 **짓지 않는다**. 지었다가 실측으로 지웠다 ────────────────────
+    # 초판은 `grep -qE "(^|[[:space:]])[a-f]=[^[:space:]]"` 로 옛 ASCII 키 잔존을 차단했다.
+    # 자기 프로브에서 두 가지가 드러났다:
+    #   ⓐ **오탐이 실재한다** — 값이 자유 산문이라 `ⓔ=실사용 ⓕ=되돌림 f=0.9 상승` 이나
+    #      `ⓔ=arm a=제어 b=처리 비교` 가 «혼용» 으로 차단됐다. 과차단은 `--no-verify` 를
+    #      훈련시키고, 그건 같은 훅 안의 Destructive-Op 게이트까지 무장해제한다.
+    #   ⓑ **그리고 애초에 불필요하다** — 「어느 배열인가」는 **여섯 기호가 다 있는가**로
+    #      이미 판별된다. 옛 ASCII 키가 기호 키를 *대신하는* 경우는 그 기호가 빠졌다는
+    #      뜻이므로 바로 위 missing-key 검사가 이미 차단한다. 여섯이 다 있는 줄에 남은
+    #      ASCII 조각은 값의 일부일 뿐 배열 선언을 흐리지 않는다.
+    # ⇒ 오탐만 만들고 아무것도 더 막지 않는 필터였다. **삭제가 수리보다 낫다**
+    #   ([[feedback_deletion_beats_repair_dead_filter]]). 픽스처는 남긴다 — 그 케이스는
+    #   여전히 차단돼야 하고, 이제 *다른 사유로* 차단된다는 사실 자체가 고정할 값어치가 있다.
+
+    # ⓑ입장은 값을 여기 적지 않는다 — `standpoint:` 자기 필드가 정본이라 이중 기록이 된다.
+    # 포인터를 쓴 경우 그 필드의 **존재**만 확인한다(값 enum 검증은 별건, 정본이 유보).
+    # 🟥 화살표를 필수로 보면 **fail-open** 이다 — 자기 프로브 실측: `ⓑ=standpoint` (화살표
+    #    없음)는 검사를 통째로 비껴가서 죽은 포인터가 그대로 통과했다. 그래서 «ⓑ 값이
+    #    standpoint 를 참조하는가» 로 넓힌다. **명시 잔여**: `ⓑ=입장리뷰 standpoint 참조`
+    #    처럼 참조어가 **다른 토큰**에 있으면 여전히 안 잡힌다(값에 공백이 허용되므로
+    #    토큰 경계를 알 수 없다). 넓히려면 값 문법을 조여야 하고 그건 별건이다.
+    if echo "$line" | grep -qE "(^|[[:space:]])ⓑ=[^[:space:]]*standpoint" \
+       && ! grep -qE '^[[:space:]]*standpoint:[[:space:]]*[^[:space:]]' "$m" 2>/dev/null; then
+      echo "  ❌ MARKER — 'ⓑ=→standpoint' 라고 적었는데 'standpoint:' 줄이 없다"
+      echo "     포인터가 가리키는 곳이 비어 있으면 그건 기록이 아니라 죽은 포인터다."
+      echo "       standpoint: tier1        (내용만 — 남의 하네스 정본을 안 읽었다)"
+      echo "       standpoint: not-applicable"
+      return 1
+    fi
+  fi
+
   line=$(grep -m1 -E '^[[:space:]]*controls:' "$m" 2>/dev/null \
          | sed -E 's/^[[:space:]]*controls:[[:space:]]*//')
   if [ -z "$line" ]; then
@@ -1164,6 +1340,57 @@ if [ -f "$JC_REG" ] && [ -f "$JC_LINT" ]; then
   fi
 fi
 
+# ── Portability lint (advisory — the SHELL-layer sibling of the two lints above) ──────────────
+# 🟥 WHY THIS IS HERE AND NOT DEFERRED. `scripts/portability_lint.sh` shipped in the immediately
+# preceding commit with its self-test wired and NO real-run caller, and `fh_4axis_gate.md:232` says
+# exactly what that is:
+#     "If you build a checker and defer its caller, you shipped prose. The gate below trims what
+#      you *attached*; it never licenses shipping something unreachable."
+# The standpoint review (2026-08-16, isolated agent reading the canon COLD before the diff) caught
+# it — and caught that the same commit CITED that section as its bundling justification while
+# violating it in the other half. Two other adversarial legs and a cross-family leg had all missed
+# this, because all three were handed the author's framing; the standpoint leg was handed the canon.
+# That is the axis earning its place, and this block is the repair.
+#
+# Placement is also not free choice: weekly_audit_2026-08-16 🟧-3 prescribed "pre-commit 에 패턴
+# denylist 한 장 … 새 러너가 아니라 degrade_direction_scan 옆 한 레인" — the runner already exists,
+# so this lane is the half that was missing from the prescription, not a second mechanism.
+#
+# STAGED BLOBS, not working-tree paths — same reason the two lints above use _stage_blob: measuring
+# the disk after `git add` reports clean while a different blob commits (optimistic fail-open).
+# ADVISORY by construction: FP-tolerant pre-screen, never blocks. Over-blocking here would train
+# `--no-verify`, which disarms the irreversible Destructive-Op gate living in the sibling hook.
+PL_LINT="$REPO_ROOT/scripts/portability_lint.sh"
+if [ -f "$PL_LINT" ]; then
+  _pl_targets=()
+  while IFS= read -r _pl_line; do
+    [ -n "$_pl_line" ] || continue
+    # 확장자 없는 셸 파일도 대상이다(.git-hooks/pre-commit·pre-push, bin/fh-*) — 이 레포에서
+    # BSD/GNU 결함이 가장 비싼 파일들이 바로 그 형태이고, 초판 스캔이 그래서 놓쳤다.
+    case "$_pl_line" in
+      *.sh) : ;;
+      templates/.git-hooks/*|bin/*) : ;;
+      *) continue ;;
+    esac
+    _b="$(_stage_blob "$_pl_line")" || continue
+    # 비-셸(bin/*.js 등)은 shebang 으로 걸러낸다. 확장자로 거르면 확장자 없는 훅이 다시 빠진다.
+    case "$_pl_line" in
+      *.sh) : ;;
+      *) head -1 "$_b" 2>/dev/null | grep -qE '^#!.*\b(ba)?sh' || { rm -f "$_b"; continue; } ;;
+    esac
+    _pl_targets+=("$_b"); _STAGE_TMPS+=("$_b"); _STAGE_MAP+=("$_b=$_pl_line")
+  done < <(printf '%s\n' "$STAGED")
+  if [ "${#_pl_targets[@]}" -gt 0 ]; then
+    echo "[Gate] shell file staged — portability lint (advisory)..."
+    _pl_out="$(bash "$PL_LINT" "${_pl_targets[@]}" 2>&1)"; _pl_rc=$?
+    printf '%s\n' "$(_unmap "$_pl_out")" | sed 's/^/  /'
+    # rc=10 은 이 스캐너 자신의 HARNESS-ERROR 다. PASS 도 FAIL 도 아니며, 삼키면 죽은 계기가
+    # 깨끗한 실행으로 렌더된다 — 이 커밋 전체가 고치고 있는 그 클래스다.
+    [ "$_pl_rc" = "10" ] && echo "  🟥 portability lint HARNESS-ERROR (rc=10) — instrument did not measure"
+    echo "  (advisory — does not block. 알고 쓰는 줄엔 \`# portability-noqa: <사유>\`.)"
+  fi
+fi
+
 # ── Novelty-claim ledger (advisory) ───────────────────────────────────────────
 # "Ask the world before asserting novelty" is an INTENT trigger — un-hookable, like the
 # repo-go-public surface. So this does not force the asking; it makes NOT having asked visible

package/templates/subagent-tally-hook.json

@@ -1,5 +1,5 @@
 {
-  "_readme": "FH dispatch-tally hook. Merge the `hooks.SubagentStop` block below into your .claude/settings.json (that file is gitignored, which is why this template exists). It feeds session_close_check.sh ④-e, which blocks a close push when sub-agents were dispatched and the day's invocation-log entries are zero. The hook TALLIES ONLY — it never writes a log entry, because a fabricated outcome/evidence field would poison the 60/40 promotion gate worse than a missing one.",
+  "_readme": "FH dispatch-tally hook. Merge the `hooks.SubagentStop` block below into your .claude/settings.json (that file is gitignored, which is why this template exists). It feeds session_close_check.sh ④-e, which blocks a close push when sub-agents were dispatched and the day's invocation-log entries are zero. The hook TALLIES ONLY — it never writes a log entry, because a fabricated outcome/evidence field would poison the 60/40 promotion gate worse than a missing one. Root resolution is 3-tier (CLAUDE_PROJECT_DIR -> git rev-parse --show-toplevel -> hardcoded path), matching the SAME convention fh_node_check.sh already uses in its own SessionStart hook -- a 2026-08-16 standpoint review on a sibling harness (pmh-dev) found this template's earlier 2-tier version get copy-pasted without picking up that convention, silently diverging from session_close_check.sh's own git-toplevel-first resolution in a nested/worktree/subagent context. If you adapt this template for another repo, keep the 3-tier form.",
   "hooks": {
     "SubagentStop": [
       {
@@ -7,7 +7,7 @@
         "hooks": [
           {
             "type": "command",
-            "command": "bash -c 'HUB=\"${CLAUDE_PROJECT_DIR:-$HOME/projects/forge-harness}\"; T=\"$HUB/tracks/_meta/.subagent_dispatch_tally\"; mkdir -p \"$(dirname \"$T\")\" 2>/dev/null; printf \"%s\\n\" \"$(date +%Y-%m-%d)\" >> \"$T\" 2>/dev/null; exit 0'",
+            "command": "bash -c 'HUB=\"${CLAUDE_PROJECT_DIR:-$(git rev-parse --show-toplevel 2>/dev/null || echo \"$HOME/projects/forge-harness\")}\"; T=\"$HUB/tracks/_meta/.subagent_dispatch_tally\"; mkdir -p \"$(dirname \"$T\")\" 2>/dev/null; printf \"%s\\n\" \"$(date +%Y-%m-%d)\" >> \"$T\" 2>/dev/null; exit 0'",
             "timeout": 5
           }
         ]