@dependfix/engine 0.5.0 → 0.6.0

package/dist/index.d.mts

@@ -1,8 +1,7 @@
 import { c as FromAppParams, l as FromPatParams, o as AuthProvider, s as AuthProviderOptions } from "./chunks/index.mjs";
 import { Octokit } from "@octokit/rest";
-import { AlertClass, AlertSeverity, AlertSourceKind, AlertsDisabledRecord, AppError, CheckAttribution, CheckConclusion, CiAlignmentRecord, CiAlignmentStatus, CiDefaultBranchHealth, CiMirrorSkipped, CiWorkflowEvidence, FixAction, FixError, Logger, NormalizedSecurityAlert, PrCheckFailureSummary, PrCheckWatchReport, PrCheckWatchState, RepeatedAttemptRecord, RepositoryResult, RunResult, RunSummary, SeverityThreshold, VerifyCommandCategory, createEmptyRunSummary } from "@dependfix/core";
+import { AlertClass, AlertFixOutcome, AlertSeverity, AlertSourceKind, AlertsDisabledRecord, AppError, BaselineRedDelivery, CheckAttribution, CheckConclusion, CiAlignmentRecord, CiAlignmentStatus, CiDefaultBranchHealth, CiMirrorSkipped, CiWorkflowEvidence, DeliverySkipRecord, FixAction, FixError, Logger, NormalizedSecurityAlert, PrCheckFailureSummary, PrCheckWatchReport, PrCheckWatchState, RepeatedAttemptRecord, RepositoryResult, RunResult, RunSummary, SeverityThreshold, VerifyCommandCategory, createEmptyRunSummary } from "@dependfix/core";
 import { z } from "zod";
-//#region src/github/client.d.ts
 export interface RetryPolicyOptions {
   /** 最大重试次数（默认 3；0 = 不重试） */
   maxRetries?: number;
@@ -100,8 +99,6 @@ export declare function createGitHubClient(options: OctokitClientOptions): Octok
  * - 其他状态码
  */
 export declare function computeRetryDelayMs(error: unknown, attempt: number, baseDelayMs?: number, maxBackoffMs?: number): number | null;
-//#endregion
-//#region src/github/fix-fingerprint.d.ts
 /** 修复策略（尝试键的策略维度；策略变化即视为不同尝试）。 */
 export type PlanStrategy = 'direct-upgrade' | 'override' | 'member-upgrade' | 'family-lockstep';
 /** 尝试键输入。 */
@@ -166,8 +163,6 @@ export declare function parseAttemptMarkers(body: string | null | undefined): At
  * - 同键去重取最大序号（多仓 / 同包多 GHSA 会产出重复键）
  */
 export declare function collectAttemptMarkers(records: readonly RepeatedAttemptRecord[], executed?: ReadonlyArray<Pick<FixAction, 'type' | 'repository' | 'target' | 'noOp'>>): AttemptMarker[];
-//#endregion
-//#region src/github/attempt-history.d.ts
 /** 默认查询条数（设计稿 §6.2：最近 50 条关闭 PR）。 */
 export declare const CLOSED_ATTEMPT_QUERY_LIMIT = 50;
 /** 一条已关闭的 dependfix PR（仅保留尝试计数所需字段）。 */
@@ -202,8 +197,6 @@ export declare class ClosedAttemptIndex {
   closedAttemptCount(octokit: Octokit, owner: string, repo: string, key: string): Promise<number>;
   private load;
 }
-//#endregion
-//#region src/github/ci-alignment.d.ts
 /** 单次解析的文件数上限（防超大仓库 / 恶意仓库拖慢运行）。 */
 export declare const MAX_WORKFLOW_FILES = 20;
 /** 单文件字节上限（超出按「未能读取」降级，不解析半截 YAML）。 */
@@ -377,8 +370,6 @@ export interface CiAlignmentInput {
  * `healthUnavailableReason`，调用方据此记录但不得阻断修复与交付。
  */
 export declare function buildCiAlignmentRecord(input: CiAlignmentInput): Promise<CiAlignmentRecord>;
-//#endregion
-//#region src/github/code-quality-fetcher.d.ts
 export interface FetchCodeQualityFindingsParams {
   /** 仓库所属组织或用户 */
   owner: string;
@@ -419,8 +410,6 @@ export declare function fetchCodeQualityFindings(client: Octokit, params: FetchC
  * 映射口径与 `mapCodeScanningSeverity` 对齐（避免新源不一致）。
  */
 export declare function mapCodeQualitySeverity(severity: string | null | undefined): AlertSeverity;
-//#endregion
-//#region src/github/code-scanning-fetcher.d.ts
 export interface FetchCodeScanningAlertsParams {
   /** 仓库所属组织或用户 */
   owner: string;
@@ -451,8 +440,6 @@ export interface FetchCodeScanningAlertsParams {
  * @returns 标准化告警列表
  */
 export declare function fetchCodeScanningAlerts(client: Octokit, params: FetchCodeScanningAlertsParams): Promise<NormalizedSecurityAlert[]>;
-//#endregion
-//#region src/github/commit-scope.d.ts
 /** 提交集合判定失败的两类信号（写入 `FixError.category`）。 */
 export type CommitScopeErrorCode = 'UNEXPECTED_CHANGES' | 'NO_CHANGES';
 export declare class CommitScopeError extends Error {
@@ -523,7 +510,7 @@ export declare function normalizeCommitPath(raw: string): {
  * - `--no-renames`：重命名拆成「删除 + 新增」，删除因此不会绕过未声明检测
  * - 输出路径相对**仓库根**：按 `--show-prefix` 折算为 workDir 相对路径（workDir 可为子目录）
  */
-export declare function listChangedPaths(workDir: string): ChangedPath[];
+export declare function listChangedPaths(workDir: string): Promise<ChangedPath[]>;
 /** 从修复动作收集声明路径（仅成功且非 noOp 的动作）。 */
 export declare function collectDeclaredPaths(actions: readonly FixAction[]): string[];
 /** `stageAndCommit` 的可选声明路径。 */
@@ -547,7 +534,7 @@ export interface StageAndCommitResult {
  * 索引区越界暂存内容（`UNEXPECTED_CHANGES`）。暂存用 `git add -- <paths>`（分批；`--` 阻断选项解析，
  * 每条路径加 `:(literal)` 终止通配，文件名含 `*` / `?` / `[` 时也只暂存字面路径）。
  */
-export declare function stageScopedChanges(workDir: string, declaredPaths?: readonly string[]): StageAndCommitResult;
+export declare function stageScopedChanges(workDir: string, declaredPaths?: readonly string[]): Promise<StageAndCommitResult>;
 /**
  * 提交已暂存内容（不动提交集合）。
  *
@@ -557,13 +544,11 @@ export declare function stageScopedChanges(workDir: string, declaredPaths?: read
 export declare function commitStaged(message: string, workDir: string, author: {
   name: string;
   email: string;
-}): void;
+}): Promise<void>;
 /** 判定本次提交集合（不写盘、不暂存）。 */
-export declare function computeCommitScope(workDir: string, declaredPaths?: readonly string[]): CommitScope;
+export declare function computeCommitScope(workDir: string, declaredPaths?: readonly string[]): Promise<CommitScope>;
 /** 按固定大小切分路径（`git add` 的 argv 上限防护）。 */
 export declare function chunkPaths(paths: readonly string[], size?: number): string[][];
-//#endregion
-//#region src/github/dependabot-fetcher.d.ts
 export interface FetchDependabotAlertsParams {
   /** 仓库所属组织或用户 */
   owner: string;
@@ -601,8 +586,6 @@ export interface FetchDependabotAlertsParams {
  * ```
  */
 export declare function fetchDependabotAlerts(client: Octokit, params: FetchDependabotAlertsParams): Promise<NormalizedSecurityAlert[]>;
-//#endregion
-//#region src/github/errors.d.ts
 /**
  * 将 Octokit 请求错误映射为 `AppError`。
  *
@@ -610,8 +593,6 @@ export declare function fetchDependabotAlerts(client: Octokit, params: FetchDepe
  * @param context - 调用上下文描述（如 `'fetch repo info for foo/bar'`），会附加到错误消息中
  */
 export declare function mapGitHubError(error: unknown, context: string): AppError;
-//#endregion
-//#region src/github/git-signing.d.ts
 /**
  * git 执行语义隔离参数（单一事实源，engine 与平台侧共用）。
  *
@@ -659,8 +640,6 @@ export declare const GIT_PUSH_SIGNING_ISOLATION_ARGS: readonly ["-c", "push.gpgS
  * `core.hooksPath` 重定向场景等效。
  */
 export declare const GIT_PUSH_HOOKS_ISOLATION_ARGS: readonly ["--no-verify"];
-//#endregion
-//#region src/github/pr-check-watch.d.ts
 /** 首次轮询间隔。 */
 export declare const PR_CHECK_POLL_INITIAL_MS = 15000;
 /** 轮询间隔退避上限。 */
@@ -681,12 +660,20 @@ export declare const FAILED_CHECK_SUMMARY_LIMIT = 5;
 export declare const PR_CHECK_MAX_POLLS = 200;
 /** 归一化观测到的一条 check（check run 或 commit status）。 */
 export interface ObservedCheck {
+  /** 来源：check run / commit status（同名多轮组键的一部分） */
+  kind: 'check' | 'status';
+  /** provider 归因（check `app.slug` / status `context` 前缀；与平台同源） */
+  provider: string;
   name: string;
   conclusion: CheckConclusion;
-  /** 详情页 URL */
+  /** 详情页 URL（check 用它提取 Actions run id 作为重跑血缘） */
   url?: string;
   /** 失败详情文本（用于 external_noise 文本签名） */
   detail?: string;
+  /** 源侧 id（同名多轮收敛的确定性兜底，见 {@link dedupeObservedChecksByLatestRound}） */
+  id?: string | null;
+  /** 轮次时间戳（check `started_at ?? completed_at` / status `updated_at ?? created_at`） */
+  roundAt?: string | null;
 }
 export interface WatchPrChecksParams {
   octokit: Octokit;
@@ -762,15 +749,28 @@ interface TerminalEvaluation {
   attribution?: CheckAttribution;
   failedChecks?: PrCheckFailureSummary[];
 }
+/**
+ * 同名多轮收敛：同一「组键」只保留**最新一轮**（与平台 `dedupeSignalsByLatestRound` 同源，
+ * 组键与排序均由 `@dependfix/core` 的 `checkRoundKey` / `dedupeByLatestRound` 提供）。
+ *
+ * 触发场景：check run re-run（同一 workflow run 的同名新尝试）、同一 commit status context 的后发状态。
+ * 组键含 `kind` / `provider`：check run 与 commit status 同名、或同名 job 由不同 App 上报时**不合并**；
+ * check 还要求能证明同一条 workflow run（`details_url` 里的 run id），否则各自成组——
+ * 「push 触发」与「pull_request 触发」是同名不同 run，合并会掩蔽另一方的失败。
+ * 口径见 docs/design/governance/pr-build-deploy-signals.md §3.10。
+ */
+export declare function dedupeObservedChecksByLatestRound(checks: readonly ObservedCheck[]): ObservedCheck[];
 /**
  * 判定终态；未到终态返回 `undefined`（继续轮询）。
  *
  * 终态条件：已观测到至少一条 check，且全部 check 已完成（无 `pending`）。
+ * `completed + conclusion=null` 归一为 `unknown` 结论（`isFailedConclusion` 判失败，fail-closed），
+ * 与平台侧 `resolveCheckRunState` 同口径（docs/design/governance/pr-build-deploy-signals.md §3.10）。
  * - 存在失败 → `failed`（逐条归因后聚合；混合归因 → `unknown`）
  * - 无失败且有成功 → `passed`
  * - 无失败且无成功（全是 cancelled / skipped / neutral）→ `cancelled`
  */
-export declare function evaluateCheckTerminal(params: WatchPrChecksParams, observed: readonly ObservedCheck[]): Promise<TerminalEvaluation | undefined>;
+export declare function evaluateCheckTerminal(params: WatchPrChecksParams, observedChecks: readonly ObservedCheck[]): Promise<TerminalEvaluation | undefined>;
 /** 构造失败评论正文（job 名 + URL + 归因 + 尝试标记）。 */
 export declare function buildCheckFailureComment(params: {
   prNumber: number;
@@ -787,8 +787,6 @@ export declare function buildCheckFailureComment(params: {
  * 任何 API / 评论 / 关闭失败都只降级记录，不抛错（调用方不因等待失败改变运行结论）。
  */
 export declare function watchPullRequestChecks(params: WatchPrChecksParams): Promise<WatchPrChecksResult>;
-//#endregion
-//#region src/github/pr-creator.d.ts
 export interface CreatePullRequestParams {
   /** 已认证的 Octokit 实例 */
   octokit: Octokit;
@@ -804,6 +802,13 @@ export interface CreatePullRequestParams {
   title: string;
   /** PR 内容（Markdown） */
   body: string;
+  /**
+   * 创建为草稿 PR（基线红的交付降级 `draft` 档使用）。
+   *
+   * 草稿态让目标仓库 CI 仍会按既有失败为红，但不会触发人工 review 队列；
+   * 缺省 / `false` 时请求体不带 `draft`，与既有行为逐字一致。
+   */
+  draft?: boolean;
 }
 export interface PullRequestResult {
   /** PR 编号 */
@@ -875,7 +880,7 @@ export declare function computeFixAndPrPlan(existingPRs: DependfixOpenPR[], fing
  *
  * @returns 分支名和是否为新创建
  */
-export declare function createFixBranch(branchName: string, workDir: string): FixBranchResult;
+export declare function createFixBranch(branchName: string, workDir: string): Promise<FixBranchResult>;
 /**
  * 暂存修复相关文件并提交。
  *
@@ -891,7 +896,7 @@ export declare function createFixBranch(branchName: string, workDir: string): Fi
 export declare function stageAndCommit(message: string, workDir: string, author?: {
   name: string;
   email: string;
-}, options?: StageAndCommitOptions): StageAndCommitResult;
+}, options?: StageAndCommitOptions): Promise<StageAndCommitResult>;
 /**
  * 推送分支到 origin。
  *
@@ -901,7 +906,7 @@ export declare function stageAndCommit(message: string, workDir: string, author?
  * - **hooks**：`push --no-verify` 跳过被修复仓库的 `pre-push`（隔离环境无 `npx` / 目标仓库
  *   `node_modules` 不完整时该 hook 会以非 0 退出，把交付链打断为 `push_failed`）
  */
-export declare function pushBranch(branchName: string, workDir: string): void;
+export declare function pushBranch(branchName: string, workDir: string): Promise<void>;
 /**
  * 查找目标仓库中所有 open 状态的 dependfix 自动修复 PR。
  *
@@ -933,7 +938,7 @@ export declare function commentOnPullRequest(octokit: Octokit, owner: string, re
  */
 export declare function addLabelToPullRequest(octokit: Octokit, owner: string, repo: string, pullNumber: number, labels: string[]): Promise<void>;
 /**
- * 通过 GitHub API 创建 Pull Request。
+ * 通过 GitHub API 创建 Pull Request（`draft: true` 创建草稿 PR：基线红的交付降级档）。
  */
 export declare function createPullRequest(params: CreatePullRequestParams): Promise<PullRequestResult>;
 /** 分支清理状态（用于 cleanup-branches 清单分类） */
@@ -976,8 +981,6 @@ export declare function isConfirmAnswer(answer: string): boolean;
  * @param attemptMarkers 同告警尝试标记（HTML 注释；必须置于正文头部——正文超 64KB 时从尾部截断，尾置标记会丢失）
  */
 export declare function generatePRBody(result: RunResult, supersededNumbers?: number[], attemptMarkers?: readonly AttemptMarker[]): string;
-//#endregion
-//#region src/github/repo-policy.d.ts
 /** 单条 glob 模式长度上限（加固：防止超长模式引入匹配开销；受信配置 + 短输入） */
 export declare const MAX_GLOB_PATTERN_LENGTH = 200;
 /**
@@ -1058,8 +1061,6 @@ export declare function matchesTopicsExclude(policy: RepoPolicy, topics: string[
  * 设计要点：显式优先，用户显式指定的仓库不应被 include 静默剔除）。
  */
 export declare function filterExplicitRepositories(policy: RepoPolicy, repositories: string[]): string[];
-//#endregion
-//#region src/github/repo-selector.d.ts
 /**
  * 从文件读取仓库列表（每行一个 `owner/repo`）。
  * 空行和 `#` 开头的注释行会被跳过。
@@ -1069,8 +1070,6 @@ export declare function readReposFile(filePath: string): string[];
  * 合并 CLI 传入仓库列表与文件中的仓库列表，去重并校验。
  */
 export declare function resolveRepoList(cliRepos: string[], reposFilePath?: string): string[];
-//#endregion
-//#region src/github/repository-discovery.d.ts
 export interface RepositoryDiscoveryOptions {
   /** 已认证的 Octokit 实例 */
   client: Octokit;
@@ -1097,7 +1096,7 @@ export interface RepositoryDiscoveryOptions {
   probeConcurrency?: number;
   /**
    * 发现规模上限：最多保留的仓库数（按 fullName 字典序排序后截断）。
-   * 默认 100；设为 0 或负数表示不限制。
+   * 默认 100；设为 0 表示不限制（负数会被拒绝）。
    * 大 org 场景下防止一次性全量发现导致 API 配额不可控消耗和超时。
    */
   maxRepos?: number;
@@ -1133,8 +1132,6 @@ export declare function discoverRepositories(options: RepositoryDiscoveryOptions
  *   显式 `Owner/Repo` 与发现 `owner/repo` 视为同一仓库）
  */
 export declare function mergeRepositories(explicit: string[], discovered: string[]): string[];
-//#endregion
-//#region src/github/token-scope.d.ts
 /**
  * 凭据权限面启动检查（安全治理：超权限 token 启动即警告）。
  *
@@ -1184,8 +1181,6 @@ export declare function analyzeTokenScope(scopeHeader: string | undefined, accep
 export declare function checkTokenPermissions(client: Octokit, options?: {
   codeScanningEnabled?: boolean;
 }): Promise<TokenScopeCheckResult>;
-//#endregion
-//#region src/code-scanning/rule-classifier.d.ts
 /**
  * A 类自动修复白名单默认集合（默认值常量；测试 disjointness 不变量用）。
  *
@@ -1237,8 +1232,6 @@ export declare function classifyRule(ruleId: string | null | undefined): AlertCl
  * 读取自当前生效配置（`getActiveRulesConfig().suggested`）；未收录规则返回通用建议（C 类兜底，不静默）。
  */
 export declare function suggestionFor(ruleId: string | null | undefined): string;
-//#endregion
-//#region src/code-scanning/rule-config.d.ts
 export type RuleClass = 'auto-fixable' | 'suggested' | 'report-only';
 export interface RuleConfigEntry {
   /** 规则 id（如 `js/sql-injection`，trim 后用于匹配；空串非法） */
@@ -1296,8 +1289,6 @@ export declare function getActiveRulesConfig(): CompiledRulesConfig;
 export declare function setActiveRulesConfig(config: CompiledRulesConfig): void;
 /** 重置为默认配置（测试 cleanup + 运行时 fallback） */
 export declare function resetActiveRulesConfig(): void;
-//#endregion
-//#region src/code-scanning/templates.d.ts
 export interface TemplateApplyResult {
   /** 修改后的文件内容 */
   content: string;
@@ -1318,8 +1309,6 @@ export interface CodeScanningFixTemplate {
 }
 /** 获取规则对应的修复模板；无模板返回 undefined（调用方回退建议模式）。 */
 export declare function getCodeScanningFixTemplate(ruleId: string): CodeScanningFixTemplate | undefined;
-//#endregion
-//#region src/fixers/dependency/manifest.d.ts
 /** `package.json` 的最小结构视图（只声明本模块读写的字段）。 */
 interface PackageJson {
   name?: string;
@@ -1357,8 +1346,6 @@ export declare function extractPrefix(version: string): string;
  * 返回 `overrides` 对象的引用，调用方可直接写入。
  */
 export declare function ensurePnpmOverrides(pkg: PackageJson): Record<string, string>;
-//#endregion
-//#region src/fixers/dependency/overrides-io.d.ts
 /** 版本化 overrides 批量应用条目（一条 = 一个包的多 key overrides）。 */
 interface VersionedOverridesPlan {
   packageName: string;
@@ -1377,8 +1364,6 @@ interface VersionedOverridesApplyResult {
   /** 安装失败是否由安装环境问题导致（信号终止 / 超时 / 无 stderr 诊断）；调用方据此停止逐包重试 */
   environmental?: boolean;
 }
-//#endregion
-//#region src/fixers/dependency/manifest-upgrades.d.ts
 /** 单条写盘结果（版本声明保留原前缀）。 */
 interface ManifestUpgradeApplied {
   packageName: string;
@@ -1386,8 +1371,6 @@ interface ManifestUpgradeApplied {
   toVersion: string;
   isMajor: boolean;
 }
-//#endregion
-//#region src/fixers/dependency/override-key.d.ts
 /**
  * 归一化单个 selector。
  *
@@ -1409,8 +1392,6 @@ interface OverrideUpsert {
  * 时复用已有写法，保证同一 selector 只保留一种写法。
  */
 export declare function upsertOverride(overrides: Record<string, string | undefined>, key: string, value: string): OverrideUpsert;
-//#endregion
-//#region src/fixers/dependency/semver.d.ts
 /**
  * 从版本声明中提取主版本号（major）。
  * 去除前缀后匹配第一个 semver 段。
@@ -1454,8 +1435,6 @@ export declare function compareSemver(a: string, b: string): number;
  * isNonSemverDeclaration('https://...tgz') // true
  */
 export declare function isNonSemverDeclaration(version: string): boolean;
-//#endregion
-//#region src/fixers/dependency/lockfile-versions.d.ts
 /**
  * 从 `pnpm-lock.yaml` 中读取指定包的**所有**锁定版本实例。
  *
@@ -1479,8 +1458,6 @@ export declare function readLockfileVersions(lockfilePath: string, packageName:
  * @returns 锁定版本字符串（如 `'5.0.0'`），未找到返回 `null`
  */
 export declare function readLockfileVersion(lockfilePath: string, packageName: string): string | null;
-//#endregion
-//#region src/fixers/dependency/index.d.ts
 export interface UpgradeDependencyParams {
   /** 包名（如 `'lodash'`, `'@babel/traverse'`） */
   packageName: string;
@@ -1644,8 +1621,6 @@ export declare function detectPnpmMajor(workDir: string): number | null;
  * partitionSubmanifestAlerts 的常规跳过逻辑处理，避免重复计数。
  */
 export declare function isCrossMajorFixRequired(lockfilePath: string, alert: NormalizedSecurityAlert): boolean;
-//#endregion
-//#region src/fixers/pnpm/index.d.ts
 export type LockfileFailureCategory = 'LOCKFILE_NOT_FOUND' | 'MANIFEST_MISMATCH' | 'LOCKFILE_VERSION_MISMATCH' | 'CORRUPTED_LOCKFILE' | 'CREDENTIAL_ERROR' | 'RESOLVE_ERROR' | 'MINIMUM_RELEASE_AGE' | 'ENVIRONMENT_ERROR' | 'ABORTED' | 'UNKNOWN';
 export type RepairStrategy = 'REGENERATE' | 'FIX_ENTRIES' | 'PIN_TOOLCHAIN' | 'REINSTALL' | 'SKIP';
 export interface RepairLockfileParams {
@@ -1759,8 +1734,6 @@ export declare function resolvePnpmVersion(workDir: string, toolchain?: {
  * 使平台的执行超时定时器一起停摆，且无法在取消时终止子进程树。
  */
 export declare function repairLockfile(params: RepairLockfileParams): Promise<LockfileRepairResult>;
-//#endregion
-//#region src/fixers/code-scanning/index.d.ts
 export interface ApplyCodeScanningFixParams {
   /** 工作目录（告警 manifestPath 为相对路径，resolve 后读取） */
   workDir: string;
@@ -1804,8 +1777,6 @@ export declare function restoreSourceFile(workDir: string, snapshot: SourceFileS
  * 返回**真实路径**（后续读写走真实路径，避免再次经过 symlink）。
  */
 export declare function resolveWithinWorkDir(workDir: string, relativePath: string): string | null;
-//#endregion
-//#region src/config/index.d.ts
 export declare const RUNTIME_MODES: readonly ["report-only", "fix", "fix-and-pr", "cleanup-branches"];
 export declare const SEVERITY_THRESHOLDS: readonly ["critical", "high", "medium", "all"];
 export declare const ALERT_SOURCES: readonly AlertSourceKind[];
@@ -1945,6 +1916,12 @@ export interface RuntimeConfig {
    * [pr-delivery-closure.md §6](../../../../docs/design/governance/pr-delivery-closure.md)。
    */
   retryFailed?: boolean;
+  /**
+   * 基线红（修复后安装仍既有失败）时的交付降级档位（`DEPENDFIX_ON_BASELINE_RED`，默认 `skip`）：
+   * `skip` 回滚并留痕 / `issue` 按失败指纹开 issue / `draft` 不回滚、创建**草稿** PR（仅 fix-and-pr；
+   * 平台只记录 summary）。口径见 [§16](../../../../docs/design/governance/pr-delivery-closure.md)。
+   */
+  onBaselineRed?: BaselineRedDelivery;
   /** PR 创建后等待 check 终态（`--wait-pr-checks` / `DEPENDFIX_WAIT_PR_CHECKS`，默认 false；仅 fix-and-pr，口径见 [§8](../../../../docs/design/governance/pr-delivery-closure.md)） */
   waitPrChecks?: boolean;
   /** check 失败且归因 self_caused 时关闭 PR 并删分支（`--close-failed-pr`，默认 false；需同时等待，其余归因只评论） */
@@ -1955,10 +1932,9 @@ export interface RuntimeConfig {
   prCheckRunBudgetMs?: number;
   /** job 总预算基线（毫秒；`DEPENDFIX_JOB_BUDGET_MS`）。缺省仅在 `GITHUB_ACTIONS=true` 按 25 分钟套用 */
   jobBudgetMs?: number;
-  /**
-   * 执行宿主的构建版本回执（平台容器注入；与 `/api/health`、平台启动 `[build]` 行同源）。
-   * 未提供时引擎回退自身 `package.json` 版本（CLI / MCP 本地执行场景），最终回退 `unknown`。
-   */
+  /** 运行截止时间（epoch ms；平台计算、引擎消费）：预算不足时停止启动新工作并写 `BUDGET_EXHAUSTED` 审计。 */
+  deadlineAt?: number;
+  /** 执行宿主的构建版本回执（平台注入；缺省回退引擎包版本，最终 `unknown`；与 `/api/health` 同源）。 */
   buildVersion?: string;
   /**
    * 执行宿主的构建 commit（平台容器注入）。只有宿主构建期能提供；
@@ -2005,7 +1981,7 @@ export interface RuntimeConfig {
   toolchainPnpmVersion?: string;
   /**
    * 发现规模上限（`--max-repos` / `DEPENDFIX_MAX_REPOS`）：最多保留的仓库数。
-   * 默认 100；设为 0 或负数表示不限制。大 org 场景下防止一次性全量发现。
+   * 默认 100；设为 0 表示不限制（负数会被拒绝）。大 org 场景下防止一次性全量发现。
    */
   maxRepos: number;
   /**
@@ -2091,6 +2067,8 @@ export interface CliConfigOverrides {
   mirrorCiScripts?: boolean;
   /** 忽略同告警尝试上限并强制再试（`--retry-failed`；默认关闭，仅 fix-and-pr 生效） */
   retryFailed?: boolean;
+  /** 基线红的交付降级档位（`DEPENDFIX_ON_BASELINE_RED`；默认 `skip`，仅 fix-and-pr 生效） */
+  onBaselineRed?: BaselineRedDelivery;
   /** 等待本次 PR 的 check 终态（`--wait-pr-checks`；默认关闭，仅 fix-and-pr 生效） */
   waitPrChecks?: boolean;
   /** check 失败且归因 self_caused 时关闭 PR（`--close-failed-pr`；默认关闭，需同时等待） */
@@ -2116,7 +2094,7 @@ export interface CliConfigOverrides {
   toolchainPnpmVersion?: string;
   /**
    * 发现规模上限（`--max-repos` / `DEPENDFIX_MAX_REPOS`）：最多保留的仓库数。
-   * 默认 100；设为 0 或负数表示不限制。大 org 场景下防止一次性全量发现。
+   * 默认 100；设为 0 表示不限制（负数会被拒绝）。大 org 场景下防止一次性全量发现。
    */
   maxRepos?: number;
   /** AI 研判总开关（`--ai`） */
@@ -2129,7 +2107,7 @@ export interface CliConfigOverrides {
   aiBaseUrl?: string;
   /** AI Anthropic 兼容端点（`--ai-api-url`，仅 provider=anthropic 生效） */
   aiApiUrl?: string;
-  /** AI API Key（`--ai-api-key`；优先 DEPENDFIX_AI_API_KEY env） */
+  /** AI API Key（`--ai-api-key`；CLI 参数优先，DEPENDFIX_AI_API_KEY 环境变量兜底） */
   aiApiKey?: string;
   /** AI 触发范围（`--ai-trigger`：failure / major / both） */
   aiTrigger?: AiTriggerKind;
@@ -2168,8 +2146,6 @@ export declare function resolveRuntimeConfig(options?: ResolveRuntimeConfigOptio
  * @returns `owner/repo` 或 `null`（非 GitHub / 无 origin）
  */
 export declare function inferRepoFromGitRemote(workDir: string): string | null;
-//#endregion
-//#region src/report/archiver.d.ts
 export interface ArchiveRepoStats {
   repository: string;
   alertsCount: number;
@@ -2221,8 +2197,6 @@ export declare function readArchiveIndex(outputDir?: string): ArchiveIndex;
  * 仅返回包含该仓库的运行；无结果返回 []。
  */
 export declare function queryRepoHistory(repo: string, outputDir?: string): ArchiveRunEntry[];
-//#endregion
-//#region src/report/history.d.ts
 /**
  * 将某仓库的历史运行摘要格式化为多行文本（倒序时间：最新在前）。
  *
@@ -2233,8 +2207,6 @@ export declare function queryRepoHistory(repo: string, outputDir?: string): Arch
  * 无历史时返回提示行（非空，调用方直接打印）。
  */
 export declare function formatHistory(entries: ArchiveRunEntry[], repo: string): string;
-//#endregion
-//#region src/multirepo/scheduler.d.ts
 /** 并发上限（1-16，配置校验范围） */
 export declare const MAX_CONCURRENCY_LIMIT = 16;
 /** 默认并发（保守：行为与现状一致，逐仓库串行） */
@@ -2264,15 +2236,11 @@ export interface ConcurrencySchedulerOptions<T> {
 export declare function runWithConcurrency<T>(options: ConcurrencySchedulerOptions<T>): Promise<void>;
 /** 校验并发值是否在 1-16 范围内（config 层调用，抛 AppError）。 */
 export declare function isValidConcurrency(value: number): boolean;
-//#endregion
-//#region src/app/branch-cleanup.d.ts
 /**
  * 关闭被取代的旧 PR 并回收其 head 分支（supersede 流程）。
  * 关闭失败记录错误；分支删除失败仅 warn（家务活 best-effort，不触发非零退出）。
  */
 export declare function closeSupersededPRs(ctx: Pick<AppContext, 'logger' | 'allErrors'>, client: Octokit, owner: string, repo: string, supersedePRs: DependfixOpenPR[]): Promise<void>;
-//#endregion
-//#region src/ai/usage.d.ts
 interface AiUsage {
   /** 调用次数 */
   calls: number;
@@ -2303,8 +2271,6 @@ export declare class AiUsageTracker {
   record(inputTokens: number, outputTokens: number): void;
   snapshot(): AiUsage;
 }
-//#endregion
-//#region src/app/helpers.d.ts
 /** DependfixApp 提供给辅助方法的最小状态切片。 */
 interface AppContext {
   config: RuntimeConfig;
@@ -2347,11 +2313,29 @@ interface AppContext {
    * 不做跳过判定（避免「在 A 仓计 B 仓的尝试」造成永久跳过）。
    */
   attemptRepo?: string;
+  /**
+   * 告警级修复结果收集器（run 级；修复管线在无法由 actions 反推的判定点写入，
+   * 报告 `alertOutcomes` 与平台 `ScanResult.fixStatus` 回写消费）。
+   * 缺省（测试直接构造 ctx）⇒ 报告只按 actions 与告警属性推导，不含收敛 / 跳过等显式判定。
+   */
+  alertOutcomes?: Map<string, AlertFixOutcome>;
   /**
    * PR check 回环结果（仅 `--wait-pr-checks` 且实际创建 PR 时存在）。
    * 缺省 ⇒ 不等待（行为与引入前一致）。
    */
   prCheckWatch?: PrCheckWatchReport;
+  /**
+   * 交付跳过记录（修复后安装仍为既有失败 → 有修复但不交付）。
+   * 缺省（测试直接构造 ctx）⇒ 不记录，summary 计数保持 0。
+   */
+  deliverySkips?: DeliverySkipRecord[];
+  /**
+   * 运行截止时间（epoch ms；来自 `RuntimeConfig.deadlineAt`）。
+   * 缺省 ⇒ 不限预算（CLI 本地运行），所有预算检查放行。
+   */
+  deadlineAt?: number;
+  /** 已记录的预算跳过（`stage:work`；避免同一跳过来回刷审计）。缺省 ⇒ 不去重。 */
+  budgetSkips?: Set<string>;
 }
 /**
  * 按动作构成生成 PR 标题（收尾审查遗留修复：cs-only 修复不再误标 "N upgrades"，
@@ -2361,8 +2345,6 @@ interface AppContext {
  *   codeFixes 过滤条件一致（均 success && !noOp）；任一侧口径变更必须同步。
  */
 export declare function buildPrTitle(summary: Pick<RunSummary, 'alertsFixed'>, actions: FixAction[]): string;
-//#endregion
-//#region src/helpers/index.d.ts
 /**
  * 对可修复告警按包名去重（同包收敛）。
  *
@@ -2452,8 +2434,6 @@ export declare function partitionSubmanifestAlerts(alerts: NormalizedSecurityAle
  * 进入跨线链路必然失败，维持人工处理。
  */
 export declare function isRootDirectDependency(workDir: string, packageName: string): boolean;
-//#endregion
-//#region src/grouping/index.d.ts
 /** 分组来源（决定分组优先级与命名语义） */
 export type GroupSource = 'explicit' | 'dependabot' | 'types' | 'scope' | 'prefix' | 'single';
 export interface DependencyGroup {
@@ -2544,8 +2524,6 @@ export declare function isMainPackagePresent(pkg: PackageJsonLike, lockfilePath:
  * 5. @types 归并（主包有告警并入其组）/ 独立组 / 清理候选（主包已不存在）
  */
 export declare function buildUpgradeGroups(alerts: NormalizedSecurityAlert[], options: GroupingOptions): GroupingResult;
-//#endregion
-//#region src/runners/network-audit.d.ts
 /**
  * 执行期网络外联审计 + 出站白名单拦截（安全治理：恶意脚本外联回传/下载 payload 的事故溯源与阻断）。
  *
@@ -2575,12 +2553,8 @@ interface NetworkAuditEntry {
   /** deny-by-default 拦截的违规外联标记（白名单校验失败的外联为 true） */
   violation?: boolean;
 }
-//#endregion
-//#region src/runners/output-sanitizer.d.ts
 /** 对子进程输出做敏感信息脱敏（可安全写入日志 / 报告）。 */
 export declare function sanitizeOutput(output: string): string;
-//#endregion
-//#region src/runners/verification-runner.d.ts
 /**
  * 单条命令的执行结果
  */
@@ -2723,8 +2697,6 @@ export declare function formatVerificationError(cr: CommandResult): string;
  * ```
  */
 export declare function runVerification(params: VerificationParams): Promise<VerificationResult>;
-//#endregion
-//#region src/alerts/pnpm-audit-fetcher.d.ts
 /**
  * pnpm audit 本地回退数据源（无 GitHub token 场景）。
  *
@@ -2776,8 +2748,6 @@ export declare function parseAuditReport(report: unknown): RiskRecord[];
  * 本函数保留仅为兼容现有 `NormalizedSecurityAlert.id: number` 字段，**不是**平台去重键。
  */
 export declare function hashAdvisoryId(packageName: string, advisoryId: string): number;
-//#endregion
-//#region src/ai/provider.d.ts
 interface AiConfig {
   /** 提供商类型：openai-compatible（默认）/ anthropic */
   provider: 'openai-compatible' | 'anthropic';
@@ -2812,8 +2782,6 @@ interface AiChatResult {
   text: string;
   usage: AiChatUsage;
 }
-//#endregion
-//#region src/ai/schema.d.ts
 declare const replaceBlockSchema: z.ZodObject<{
   search: z.ZodString;
   replace: z.ZodString;
@@ -2846,8 +2814,6 @@ declare const assessmentSchema: z.ZodObject<{
 type AiAssessment = z.infer<typeof assessmentSchema>;
 type AiFileChange = z.infer<typeof fileChangeSchema>;
 type AiReplaceBlock = z.infer<typeof replaceBlockSchema>;
-//#endregion
-//#region src/ai/changelog-fetcher.d.ts
 interface ChangelogEntry {
   /** release 版本号（tag_name 原样保留，可能为 `v1.2.3` 形态） */
   version: string;
@@ -2858,8 +2824,6 @@ interface ChangelogEntry {
   /** release 页面地址 */
   htmlUrl: string;
 }
-//#endregion
-//#region src/ai/prompt.d.ts
 interface AssessmentContextInput {
   packageName: string;
   fromVersion: string;
@@ -2871,8 +2835,6 @@ interface AssessmentContextInput {
   /** 受影响文件路径列表（可选） */
   affectedFiles?: string[];
 }
-//#endregion
-//#region src/ai/secrets.d.ts
 /**
  * 对文本中的敏感值做脱敏替换（保留首 4 尾 4 字符便于定位）。
  *
@@ -2884,8 +2846,6 @@ interface AssessmentContextInput {
  * // → 'call failed with key sk-a****yz'
  */
 export declare function maskSecrets(text: string, secrets: string[]): string;
-//#endregion
-//#region src/ai/index.d.ts
 export interface AssessResult {
   /** 结构化研判（降级时为 null，走建议模式） */
   assessment: AiAssessment | null;
@@ -2919,16 +2879,25 @@ export interface AssessOptions {
  * 降级语义：调用方走建议模式（报告输出人工建议），不静默、可审计。
  */
 export declare function assessBreakingChange(options: AssessOptions): Promise<AssessResult>;
-//#endregion
-//#region src/app/repo-alerts.d.ts
 /**
  * 获取仓库的默认分支。
  * pnpm-audit 模式 client 为 null → 返回 ''（报告显示 local）。
  * 失败时返回 `'unknown'`（不阻塞主流程）。
  */
 export declare function fetchDefaultBranch(client: Octokit | null, owner: string, repo: string): Promise<string>;
-//#endregion
-//#region src/app/index.d.ts
+/**
+ * 输出「部分源拉取失败」汇总（per-source 错误隔离：单源失败不阻断其余源的结果）。
+ *
+ * 触发条件（必须全部满足，避免与"仓库失败"（无任何成功源）语义重叠）：
+ * 1. allErrors 至少包含一个 `stage='fetch' + category='FETCH_FAILED'` 错误（per-source 失败）
+ * 2. **至少一个仓库成功拉取了部分告警**（isAnyRepoSuccessful = true）——
+ *    否则该仓库已按失败处理（无任何成功源），由 processRepoForReport catch + logger.error 单独处理，
+ *    本函数聚焦"warn + 保留成功源"场景的汇总输出，避免重复提示。
+ *
+ * 汇总按 source 分组（'dependabot' / 'code-scanning' / 'code-quality' / 'pnpm-audit'），
+ * 列出每个源失败的仓库数 + 示例错误消息，便于用户快速定位是 token 权限还是网络问题。
+ */
+export declare function logPartialSourceFailureSummary(allErrors: FixError[], logger: Logger, isAnyRepoSuccessful: boolean): void;
 export interface DependfixAppOptions {
   /** 已解析的运行时配置 */
   config: RuntimeConfig;
@@ -2958,19 +2927,6 @@ export interface DependfixRunResult {
   /** 进程退出码：0=全部成功, 1=部分失败, 2=全部失败 */
   exitCode: number;
 }
-/**
- * 输出"部分源拉取失败"汇总（todo.md §M19.5 C8 per-source 错误隔离）。
- *
- * 触发条件（必须全部满足，避免与"仓库失败"（无任何成功源）语义重叠）：
- * 1. allErrors 至少包含一个 `stage='fetch' + category='FETCH_FAILED'` 错误（per-source 失败）
- * 2. **至少一个仓库成功拉取了部分告警**（isAnyRepoSuccessful = true）——
- *    否则该仓库已按失败处理（无任何成功源），由 processRepoForReport catch + logger.error 单独处理，
- *    本函数聚焦"warn + 保留成功源"场景的汇总输出，避免重复提示。
- *
- * 汇总按 source 分组（'dependabot' / 'code-scanning' / 'code-quality' / 'pnpm-audit'），
- * 列出每个源失败的仓库数 + 示例错误消息，便于用户快速定位是 token 权限还是网络问题。
- */
-export declare function logPartialSourceFailureSummary(allErrors: FixError[], logger: Logger, isAnyRepoSuccessful: boolean): void;
 export declare class DependfixApp {
   /** 运行时配置；构造期按「中央配置优先」合并目标仓库专属配置后单次赋值（见 applyRepoConfig） */
   private readonly config;
@@ -3012,6 +2968,13 @@ export declare class DependfixApp {
   private attemptRepo;
   /** PR check 回环结果（run 级；仅在 `--wait-pr-checks` 且创建 PR 时递增） */
   private readonly prCheckWatchReport;
+  /** 交付跳过记录（基线红；`computeSummary` 据此派生 summary 计数） */
+  private readonly deliverySkips;
+  /** 已记录的预算跳过（`stage:work`；逐包命中不刷审计） */
+  private readonly budgetSkips;
+  /** `draft` 档的跳过记录（sanity: PR 创建后回填载体编号） */
+  private baselineRedDraft?;
+  private readonly alertOutcomes;
   constructor(options: DependfixAppOptions);
   /**
    * 请求中止本次运行（平台执行超时 / 运维中止的接入点；协作式、可重复调用）。
@@ -3076,6 +3039,5 @@ export declare class DependfixApp {
    */
   private resolveRepositories;
 }
-//#endregion
 export type { AiAssessment, AiChatResult, AiConfig, AiFileChange, AiReplaceBlock, AiUsage, AlertClass, AlertSourceKind, AssessmentContextInput, AuthProvider, AuthProviderOptions, FromAppParams, FromPatParams, ManifestUpgradeApplied, OverrideUpsert, PackageJson, SeverityThreshold, VersionedOverridesApplyResult, VersionedOverridesPlan };
 //# sourceMappingURL=index.d.mts.map