@dommaker/harness 1.6.0 → 1.8.0

package/src/__tests__/public-type-surface.test.ts

@@ -0,0 +1,360 @@
+/**
+ * 已发布类型面全量冻结闸（ADR-0003 类型面补全 / ADR-0022 追记第 4 条）
+ *
+ * 存在的理由是一起**定级**错误，不是一起删除错误：本仓 breaking 定级长期挂在「这个符号在
+ * 不在包根导出面」这句断言上（ADR-0010:5/31、ADR-0019:10、ADR-0022 皆以它定级），而这句话
+ * 在删除动作之前没有任何闸可跑，全靠人 grep 记忆。`PassesGateResult`（评审 A2）与
+ * `DynamicTask`（二次复审 B1）已在同一处错两次；B1 那次是复审方直接断言「不在包根」，而
+ * 实测 v1.6.0 源 `src/index.ts:106` 与已发布 npm 产物 `dist/index.d.ts:38` 都在导出它。
+ * 本闸让「在不在公开面上」变成跑一下就有答案的事实。
+ *
+ * **公开面 = `package.json` 的 exports 映射，不是只有包根。** 本包发布五个入口点
+ * （`.` / `./core` / `./presets` / `./context` / `./gates`），`import type { X } from
+ * '@dommaker/harness/core'` 与从包根导入同样是对外承诺。入口清单从 exports **派生**而非
+ * 硬编码：新增子路径会立刻落进本闸（未登记冻结清单即红），免得重演「公开面的定义比现实窄」
+ * 这个 B1 病因——`DynamicTask` 除包根外同时经 `./core` 可达，只冻包根会留同一个洞。
+ *
+ * 与 `public-exports.test.ts` 的分工：那边钉的是**删完之后**（已删类型 `@ts-expect-error`
+ * 负钉 + 活类型正钉 + 四级 barrel 链残留扫描），且它 `import('../index')`。本闸只做源码文本
+ * 分析、**刻意不 import 任何入口**——这是它单独立一个文件的原因：类型面一旦被改动，那边的
+ * 编译期钉会让整套 suite「failed to run」（实测注入一条 `export type { DynamicTask }` 得
+ * 0 tests），拿不到可执行的清单 diff；本闸在那种改动下必须仍然跑得动、报得出是哪个入口的
+ * 哪个符号。
+ *
+ * 清单来源不是手抄：五个入口的 `src` 解析结果与 tsc 产物（各自 exports 的 types 指向，如
+ * `dist/core/index.d.ts`）逐项对撞，152/32/1/12/18 全部逐字一致，产物侧同时零 `export *`。
+ * 改动入口清单文件时同步改本文件对应条目，diff 即 PR 评审材料；增删符号属公共面 breaking，
+ * 须按 ADR-0003/0022 走发布级别裁决。
+ */
+
+import * as fs from 'fs';
+import * as path from 'path';
+
+const REPO_ROOT = path.join(__dirname, '../..');
+
+/**
+ * 入口点合法的导出写法只有三种：
+ * ① `export { 值 } from '...'`；② `export type { 类型 } from '...'`；③ 内联值声明
+ * `export function|const|let|var`（如 `src/gates/index.ts` 的 5 个 `create*Gate`）——纯值面，
+ * 不属类型清单管辖。
+ * 清单归类按**说明符自身**而非块形式：`export { runGates, type GateRunResult }` 里的
+ * `GateRunResult` 按 TS 语义就是类型导出，必须进类型清单（本闸的职责是如实刻画公开面，不是管写法）。
+ * 其余行首 `export` 一律记为违禁而非跳过：`export *` / `export type *` 会让按名字扫描静默
+ * 漏算；内联 `export interface|type|enum|class|declare` 更必须红——它绕过类型清单，而
+ * `enum`/`class` 同时占值面与类型面，按单一分类必错一面。这正是 B1「公开面的定义比现实窄」
+ * 那个病因的形态来源。
+ */
+interface EntrySurface {
+  types: string[];
+  illegal: string[];
+}
+
+const INLINE_VALUE_DECL_RE = /^export\s+(?:async\s+)?(?:function|const|let|var)\b/;
+
+function parseEntrySurface(source: string): EntrySurface {
+  const stmtRe = /^export (type )?\{([^}]*)\}[^;]*;/gm;
+  const types: string[] = [];
+  const illegal: string[] = [];
+  const starts = new Set<number>();
+
+  let match: RegExpExecArray | null = stmtRe.exec(source);
+  while (match !== null) {
+    starts.add(match.index);
+    const isTypeBlock = Boolean(match[1]);
+    for (const raw of match[2].split(',')) {
+      const spec = raw.trim();
+      if (!spec) continue;
+      // `A as B` 对外名字是 B；`type A as B` 对外名字是 B 且属类型面
+      const isTypeSpec = /^(type|typeof)\s/.test(spec);
+      if (isTypeBlock || isTypeSpec) {
+        types.push(spec.replace(/^(type|typeof)\s+/, '').split(/\s+as\s+/).pop()!.trim());
+      }
+    }
+    match = stmtRe.exec(source);
+  }
+
+  let offset = 0;
+  for (const line of source.split('\n')) {
+    if (/^export\b/.test(line) && !starts.has(offset) && !INLINE_VALUE_DECL_RE.test(line)) {
+      illegal.push(line.trim());
+    }
+    offset += line.length + 1;
+  }
+
+  return { types, illegal };
+}
+
+/** exports 子路径 → 承载它的显式清单源文件。形态对不上返回 null，由映射闸 fail-loud。 */
+function sourceFileForSubpath(subpath: string): string | null {
+  if (subpath === '.') return 'src/index.ts';
+  const rest = subpath.replace(/^\.\//, '');
+  return /^[a-z][a-z0-9-]*$/.test(rest) ? `src/${rest}/index.ts` : null;
+}
+
+const EXPORTS_MAP = JSON.parse(
+  fs.readFileSync(path.join(REPO_ROOT, 'package.json'), 'utf-8'),
+).exports as Record<string, { types?: string }>;
+
+const ENTRY_SUBPATHS: string[] = Object.keys(EXPORTS_MAP);
+
+/** 每个已发布入口的类型面全量清单。增删任一项即公共面 breaking，见文件头。 */
+const PUBLISHED_ENTRY_TYPES: Record<string, string[]> = {
+  '.': [
+    'AcceptanceCriteria',
+    'AcceptanceGateContext',
+    'AgentConfig',
+    'AgentEvent',
+    'AgentState',
+    'AgentStatus',
+    'ArtifactIntegrityResult',
+    'AuditAction',
+    'AuditIssue',
+    'AuditOptions',
+    'AuditReport',
+    'AuditRuleName',
+    'BatchSpecValidationResult',
+    'CSOIssue',
+    'CSOValidationResult',
+    'CapabilitiesConfig',
+    'ChangelogConfig',
+    'ChangelogVersionCheck',
+    'CheckCacheConfig',
+    'CheckConfig',
+    'CheckConstraintsOptions',
+    'CheckResult',
+    'CheckSamplingConfig',
+    'CheckType',
+    'CheckerVerdict',
+    'Checkpoint',
+    'CheckpointCheck',
+    'CheckpointContext',
+    'CheckpointResult',
+    'ClassificationResult',
+    'CodeStructure',
+    'CommandBlacklistRule',
+    'CommandGateConfig',
+    'CommitFileClassification',
+    'CommitInput',
+    'CommitVerdict',
+    'CompactionConfig',
+    'CompactionLevel',
+    'CompletionCheckersConfig',
+    'ConstCountActual',
+    'Constraint',
+    'ConstraintCheckResult',
+    'ConstraintContext',
+    'ConstraintId',
+    'ConstraintKind',
+    'ConstraintLevel',
+    'ConstraintResult',
+    'ConstraintTrigger',
+    'ConsumptionEvent',
+    'ConsumptionMode',
+    'ContextAverages',
+    'ContextDocsCheck',
+    'ContextFilesConfig',
+    'ContextSource',
+    'ContextSourceType',
+    'ContextUsageSnapshot',
+    'ContractGateConfig',
+    'ContractPresenceContext',
+    'ContractPresenceResult',
+    'CustomConstraintDefinition',
+    'DecayConfig',
+    'DecisionRecord',
+    'DeclarationInfo',
+    'DirCountActual',
+    'DocDirCheck',
+    'DocFreshnessCheck',
+    'DocFreshnessConfig',
+    'DocRegexCountCheck',
+    'DocsSyncConfig',
+    'EffectiveConfigLint',
+    'EffectiveHook',
+    'ErrorClassificationRule',
+    'ErrorClassifierConfig',
+    'EventHandler',
+    'ExecutionResult',
+    'ExecutionTrace',
+    'FailureRecord',
+    'FailureRecorderConfig',
+    'FallbackStrategy',
+    'Gate',
+    'GateContext',
+    'GateDecision',
+    'GateDecisionStatus',
+    'GateDefinition',
+    'GateResult',
+    'GateRunResult',
+    'GovernanceConfig',
+    'GrepCountActual',
+    'HarnessBootstrap',
+    'HookConfig',
+    'HookDefinition',
+    'HookErrorStrategy',
+    'HookExecutionRecord',
+    'HookPhase',
+    'HookResult',
+    'ImportInfo',
+    'IndexEntry',
+    'IngestOptions',
+    'InjectionConfig',
+    'InjectionResult',
+    'IronLawContext',
+    'KnowledgeEntry',
+    'KnowledgeOrigin',
+    'KnowledgeReference',
+    'KnowledgeStore',
+    'KnowledgeSubsystem',
+    'LintIssue',
+    'LintIssueType',
+    'MaturityChange',
+    'MaturityLevel',
+    'MergedConstraintsConfig',
+    'PassesGateCheckResult',
+    'PassesGateConfig',
+    'PassesGateViolation',
+    'PerformanceGateConfig',
+    'PerformanceThresholds',
+    'PhaseFormatResult',
+    'PipelineResult',
+    'ProjectConfig',
+    'QueryBudget',
+    'QueryFilter',
+    'QueryResult',
+    'ReferenceRecord',
+    'RenderConstraintsByTriggerOptions',
+    'ReviewGateConfig',
+    'SchemaLoader',
+    'SecurityGateConfig',
+    'SessionCheckpoint',
+    'SessionEvent',
+    'SessionEventType',
+    'SessionHandle',
+    'SessionMessage',
+    'SourceRef',
+    'SpecAcceptanceGateConfig',
+    'SpecSchemaDefinition',
+    'SpecType',
+    'SpecValidationError',
+    'SpecValidationResult',
+    'SpecValidatorConfig',
+    'StepMeta',
+    'StorageLayer',
+    'TaskTestResult',
+    'TddChainResult',
+    'TestResult',
+    'TestingGovernanceConfig',
+    'ToolMeta',
+    'TraceAnalyzerConfig',
+    'TraceAnomaly',
+    'TraceCollectorConfig',
+    'TraceFilter',
+    'TraceSummary',
+    'WorkflowMeta',
+  ],
+  './core': [
+    'BatchSpecValidationResult',
+    'CSOIssue',
+    'CSOValidationResult',
+    'CapabilitiesMode',
+    'CheckCacheConfig',
+    'CheckConfig',
+    'CheckConstraintsOptions',
+    'CheckResult',
+    'CheckSamplingConfig',
+    'CheckType',
+    'Checkpoint',
+    'CheckpointCheck',
+    'CheckpointContext',
+    'CheckpointResult',
+    'Constraint',
+    'ConstraintCheckResult',
+    'ConstraintContext',
+    'ConstraintId',
+    'ConstraintKind',
+    'ConstraintLevel',
+    'ConstraintResult',
+    'ConstraintTrigger',
+    'ContextFilesResolution',
+    'EffectiveConfigLint',
+    'IronLawContext',
+    'PassesGateConfig',
+    'RenderConstraintsByTriggerOptions',
+    'RunEnv',
+    'RunTarget',
+    'SpecSchemaDefinition',
+    'SpecType',
+    'SpecValidationResult',
+    'SpecValidatorConfig',
+    'TaskTestResult',
+  ],
+  './presets': [
+    'PresetConfig',
+  ],
+  './context': [
+    'CompactionConfig',
+    'CompactionLevel',
+    'ContextSource',
+    'ContextSourceType',
+    'ContextUsageSnapshot',
+    'InjectionConfig',
+    'InjectionResult',
+    'SessionCheckpoint',
+    'SessionEvent',
+    'SessionEventType',
+    'SessionHandle',
+    'SessionMessage',
+  ],
+  './gates': [
+    'AcceptanceCriteria',
+    'AcceptanceGateContext',
+    'CommandBlacklistRule',
+    'CommandGateConfig',
+    'ContractGateConfig',
+    'Gate',
+    'GateContext',
+    'GateDecision',
+    'GateDecisionStatus',
+    'GateDefinition',
+    'GateResult',
+    'GateRunResult',
+    'PerformanceGateConfig',
+    'PerformanceThresholds',
+    'ReviewGateConfig',
+    'SecurityGateConfig',
+    'SpecAcceptanceGateConfig',
+  ],
+};
+
+describe('已发布类型面全量冻结（ADR-0022 追记 4）', () => {
+  it('exports 的每个子路径都映射到存在的显式清单源文件（新增子路径不得绕过本闸）', () => {
+    const unmapped = ENTRY_SUBPATHS.filter((sub) => {
+      const rel = sourceFileForSubpath(sub);
+      return rel === null || !fs.existsSync(path.join(REPO_ROOT, rel));
+    });
+    expect(unmapped).toEqual([]);
+  });
+
+  it('冻结清单覆盖全部已发布子路径（新增入口须先登记清单）', () => {
+    expect(Object.keys(PUBLISHED_ENTRY_TYPES).sort()).toEqual([...ENTRY_SUBPATHS].sort());
+  });
+
+  for (const sub of ENTRY_SUBPATHS) {
+    const rel = sourceFileForSubpath(sub);
+    if (rel === null) continue; // 映射闸已负责红，此处不重复报
+    const surface = parseEntrySurface(fs.readFileSync(path.join(REPO_ROOT, rel), 'utf-8'));
+
+    describe(`入口点 ${sub}（${rel}）`, () => {
+      it('只用白名单写法导出，无被漏算的导出面', () => {
+        expect(surface.illegal).toEqual([]);
+      });
+
+      it('类型清单与冻结集逐字一致（增删即 breaking，需发布级别裁决）', () => {
+        // 解析塌掉不得退化成空集合假绿
+        expect(surface.types.length).toBeGreaterThan(0);
+        expect([...surface.types].sort()).toEqual([...PUBLISHED_ENTRY_TYPES[sub]].sort());
+      });
+    });
+  }
+});

package/src/__tests__/public-value-surface.test.ts

@@ -0,0 +1,182 @@
+/**
+ * 已发布子路径值面全量冻结闸（ADR-0022 追记第 5 条收口）
+ *
+ * 补齐 `public-type-surface.test.ts` 的另一半：那道闸按 `package.json` 的 `exports` 逐入口冻
+ * 结了**类型面**，但值面（运行时导出）只有包根一处被 `public-exports.test.ts` 钉住——
+ * `Object.keys(await import('../index'))` 只看得到 `.` 一个入口。于是「这个函数不在公开面上、
+ * 删它非 breaking」这类定级断言在子路径入口仍无闸可跑，只能靠人工逐条附「各入口源文件 +
+ * 已发布产物 `.d.ts`」双证据（能防这一次，防不了下一次）。
+ *
+ * 落闸前实测的洞（五个入口的运行时键集合 106/29/4/4/24）：`./core` 有 7 个值导出、
+ * `./presets` 有 4 个（即该入口全部）不在包根清单里——删掉它们当前**零测试变红**。
+ * `./gates` 与 `./context` 的值导出恰好是包根的子集，删除会经 `src/index.ts` 的 barrel 链
+ * 撞上包根那条闸，但红名报的是 `.`、不是真正被删的那个入口——定级时照样得再人肉查一遍。
+ *
+ * 口径与类型面闸一致：**公开面 = `exports` 映射，不是只有包根**，入口清单从 `exports` 派生
+ * 而非硬编码，新增子路径未登记冻结清单即红。分工：
+ * - `.` 的值面仍由 `public-exports.test.ts` 冻结（本闸刻意不重复钉——同一个入口两份清单
+ *   必然漂移，且那条判定要逐字保留），本闸只管四个子路径；「两边都不漏」由登记闸与委派闸各钉一条。
+ * - 类型面归 `public-type-surface.test.ts`，含导出写法白名单（堵 `export *` 与入口内联类型
+ *   声明）。值面按运行时事实枚举，无按名字扫描漏算之虞，故本闸不重复那道写法检查。
+ *
+ * 本闸走运行时 `import`：值面的事实只有模块加载后才是真的（`Object.keys` 读到的正是 tsc
+ * 产物出厂的那批键）。它与类型面改动互不影响——`public-exports.test.ts` 的编译期钉在类型面
+ * 被改时会让那个套件「failed to run」（实测向 `src/index.ts` 注一条 `export type { DynamicTask }`
+ * 得 TS2578），本闸在同一注入下 7 项照跑且全绿，值面的清单 diff 不会被类型面的编译期钉连带抹掉。
+ *
+ * 冻结清单不手抄：四子路径 + 包根的 `src` 侧 ts-jest 运行时键与各自 tsc 产物
+ * （`dist/**\/index.js`）逐入口 `Object.keys` 对撞，106/29/4/4/24 全部逐字一致。改动入口清单
+ * 文件时同步改本文件对应条目，diff 即 PR 评审材料；增删符号属公共面 breaking，须按
+ * ADR-0003/0022 走发布级别裁决。
+ */
+
+import * as fs from 'fs';
+import * as path from 'path';
+
+const REPO_ROOT = path.join(__dirname, '../..');
+
+/** 包根值面的既有归属，见文件头分工。 */
+const PACKAGE_ROOT_SUBPATH = '.';
+
+const EXPORTS_MAP = JSON.parse(
+  fs.readFileSync(path.join(REPO_ROOT, 'package.json'), 'utf-8'),
+).exports as Record<string, unknown>;
+
+const ENTRY_SUBPATHS: string[] = Object.keys(EXPORTS_MAP);
+
+/** 每个已发布子路径入口的值面全量清单。增删任一项即公共面 breaking，见文件头。 */
+const PUBLISHED_ENTRY_VALUES: Record<string, string[]> = {
+  './core': [
+    'CONSTRAINTS_END_MARKER',
+    'CONSTRAINTS_START_MARKER',
+    'CSOValidator',
+    'CheckCache',
+    'CheckpointValidator',
+    'ConstraintChecker',
+    'ConstraintViolationError',
+    'GUIDELINES',
+    'IRON_LAWS',
+    'PROMPTS',
+    'PassesGate',
+    'ProjectConfigLoader',
+    'SpecValidator',
+    'checkBeforeExecution',
+    'checkConstraint',
+    'checkConstraints',
+    'constraintChecker',
+    'createPassesGate',
+    'findConstraintsByTrigger',
+    'getAllConstraints',
+    'getCapabilitiesMode',
+    'getConstraint',
+    'getEffectiveConstraints',
+    'getGovernanceConfig',
+    'lintEffectiveConfig',
+    'loadRawProjectConfig',
+    'renderConstraintsByTrigger',
+    'renderConstraintsSection',
+    'resolveContextFiles',
+  ],
+  './presets': [
+    'PRESETS_BY_NAME',
+    'RELAXED_PRESET',
+    'STANDARD_PRESET',
+    'STRICT_PRESET',
+  ],
+  './context': [
+    'KnowledgeInjector',
+    'SessionManager',
+    'TokenBudget',
+    'TokenEstimator',
+  ],
+  './gates': [
+    'CommandGate',
+    'ContractGate',
+    'DEFAULT_COMMAND_BLACKLIST',
+    'GATE_DEFINITIONS',
+    'PerformanceGate',
+    'ReviewGate',
+    'SecurityGate',
+    'SpecAcceptanceGate',
+    'assertGateRegistryClosed',
+    'createCheckerGate',
+    'createCommandGate',
+    'createContractGate',
+    'createPerformanceGate',
+    'createReviewGate',
+    'createSecurityGate',
+    'createSpecAcceptanceGate',
+    'decisionFromResult',
+    'getCommandGate',
+    'getCommandRiskLevel',
+    'getGate',
+    'isCommandAllowed',
+    'listRegisteredGates',
+    'registeredGateCount',
+    'runGates',
+  ],
+};
+
+/** exports 子路径 → 承载它的显式清单源文件。形态对不上返回 null，由映射闸 fail-loud。 */
+function sourceFileForSubpath(subpath: string): string | null {
+  if (subpath === PACKAGE_ROOT_SUBPATH) return 'src/index.ts';
+  const rest = subpath.replace(/^\.\//, '');
+  return /^[a-z][a-z0-9-]*$/.test(rest) ? `src/${rest}/index.ts` : null;
+}
+
+/** 同上，但产 ts-jest 可解析的相对说明符（本包未自引用发布名，只能按源码路径 import）。 */
+function moduleSpecifierForSubpath(subpath: string): string | null {
+  const rel = sourceFileForSubpath(subpath);
+  if (rel === null) return null;
+  return `../${rel.replace(/^src\//, '').replace(/\.ts$/, '')}`;
+}
+
+async function runtimeKeysOf(subpath: string): Promise<string[]> {
+  const specifier = moduleSpecifierForSubpath(subpath);
+  expect(specifier).not.toBeNull();
+  const mod: Record<string, unknown> = await import(specifier as string);
+  return Object.keys(mod).sort();
+}
+
+describe('已发布子路径值面全量冻结（ADR-0022 追记 5）', () => {
+  it('exports 的每个子路径都映射到存在的显式清单源文件（新增子路径不得绕过本闸）', () => {
+    const unmapped = ENTRY_SUBPATHS.filter((sub) => {
+      const rel = sourceFileForSubpath(sub);
+      return rel === null || !fs.existsSync(path.join(REPO_ROOT, rel));
+    });
+    expect(unmapped).toEqual([]);
+  });
+
+  it('冻结清单覆盖除包根外的全部已发布子路径（新增入口须先登记清单）', () => {
+    expect(Object.keys(PUBLISHED_ENTRY_VALUES).sort()).toEqual(
+      ENTRY_SUBPATHS.filter((sub) => sub !== PACKAGE_ROOT_SUBPATH).sort(),
+    );
+  });
+
+  it('包根值面确有既有归属（本闸委派 `.`，两边都不钉即公共面失控）', () => {
+    const sibling = fs.readFileSync(path.join(__dirname, 'public-exports.test.ts'), 'utf-8');
+    expect(sibling).toContain('Object.keys(mod)');
+  });
+
+  for (const sub of ENTRY_SUBPATHS) {
+    if (sub === PACKAGE_ROOT_SUBPATH) continue; // 委派给 public-exports.test.ts，见文件头
+    if (moduleSpecifierForSubpath(sub) === null) continue; // 映射闸已负责红，此处不重复报
+    const frozen = PUBLISHED_ENTRY_VALUES[sub];
+    if (frozen === undefined) continue; // 未登记入口由登记闸负责红，此处不重复报
+
+    describe(`入口点 ${sub}`, () => {
+      it('运行时导出键集合与冻结清单逐字一致（增删即 breaking，需发布级别裁决）', async () => {
+        const actual = await runtimeKeysOf(sub);
+        // 解析塌掉不得退化成空集合假绿；冻结清单自身不得有重复项（重复 + 缺失会互相抵掉 diff）
+        expect(actual.length).toBeGreaterThan(0);
+        expect(new Set(frozen).size).toBe(frozen.length);
+        expect({
+          entry: sub,
+          missing: frozen.filter((key) => !actual.includes(key)),
+          extra: actual.filter((key) => !frozen.includes(key)),
+        }).toEqual({ entry: sub, missing: [], extra: [] });
+        expect(actual.length).toBe(frozen.length);
+      });
+    });
+  }
+});

package/src/__tests__/review-gate.test.ts

@@ -4,16 +4,17 @@
 
 import { describe, it, expect, beforeAll, afterAll } from '@jest/globals';
 import { ReviewGate } from '../gates/review';
-import { mkdirSync, rmSync, writeFileSync } from 'fs';
+import { rmSync, writeFileSync, mkdtempSync } from 'fs';
 import { join } from 'path';
+import { tmpdir } from 'os';
 import { execSync } from 'child_process';
 
 describe('ReviewGate', () => {
-  const tempDir = join(process.cwd(), 'temp-test-review-gate');
+  let tempDir: string;
   let gate: ReviewGate;
 
   beforeAll(() => {
-    mkdirSync(tempDir, { recursive: true });
+    tempDir = mkdtempSync(join(tmpdir(), 'temp-test-review-gate-'));
     gate = new ReviewGate({ minReviewers: 1, requireApproval: true });
     
     // 初始化 git
@@ -40,7 +41,6 @@ describe('ReviewGate', () => {
   describe('check', () => {
     it('本地模式应该返回警告', async () => {
       const result = await gate.check({
-        projectId: 'test-project',
         projectPath: tempDir,
       });
       
@@ -53,7 +53,6 @@ describe('ReviewGate', () => {
       const relaxedGate = new ReviewGate({ requireApproval: false });
       
       const result = await relaxedGate.check({
-        projectId: 'test-project',
         projectPath: tempDir,
       });
       
@@ -82,7 +81,6 @@ describe('ReviewGate', () => {
   describe('checkLocalGit', () => {
     it('应该检查 git 状态', async () => {
       const result = await gate.check({
-        projectId: 'test-project',
         projectPath: tempDir,
       });
       

package/src/__tests__/security-gate.test.ts

@@ -4,15 +4,16 @@
 
 import { describe, it, expect, beforeAll, afterAll } from '@jest/globals';
 import { SecurityGate } from '../gates/security';
-import { mkdirSync, rmSync, writeFileSync } from 'fs';
+import { rmSync, writeFileSync, mkdtempSync } from 'fs';
 import { join } from 'path';
+import { tmpdir } from 'os';
 
 describe('SecurityGate', () => {
-  const tempDir = join(process.cwd(), 'temp-test-security-gate');
+  let tempDir: string;
   let gate: SecurityGate;
 
   beforeAll(() => {
-    mkdirSync(tempDir, { recursive: true });
+    tempDir = mkdtempSync(join(tmpdir(), 'temp-test-security-gate-'));
     
     // 创建 package.json（无漏洞）
     writeFileSync(join(tempDir, 'package.json'), JSON.stringify({
@@ -20,7 +21,7 @@ describe('SecurityGate', () => {
       dependencies: {},
     }));
     
-    gate = new SecurityGate({ enabled: true, severityThreshold: 'high' });
+    gate = new SecurityGate({ severityThreshold: 'high' });
   });
 
   afterAll(() => {
@@ -32,22 +33,9 @@ describe('SecurityGate', () => {
   });
 
   describe('scan', () => {
-    it('禁用时应该返回通过', async () => {
-      const disabledGate = new SecurityGate({ enabled: false });
-      
-      const result = await disabledGate.scan({
-        projectId: 'test-project',
-        projectPath: tempDir,
-      });
-      
-      expect(result.passed).toBe(true);
-      expect(result.message).toContain('安全门禁已禁用');
-    });
-
     // 跳过：依赖真实 npm audit 结果，需要 mock 重构
     it.skip('应该运行 npm audit', async () => {
       const result = await gate.scan({
-        projectId: 'test-project',
         projectPath: tempDir,
       });
       
@@ -57,7 +45,6 @@ describe('SecurityGate', () => {
 
     it.skip('应该返回漏洞分析', async () => {
       const result = await gate.scan({
-        projectId: 'test-project',
         projectPath: tempDir,
       });
       
@@ -70,7 +57,6 @@ describe('SecurityGate', () => {
   describe('severityThreshold', () => {
     it.skip('high 阈值应该检查 critical + high', async () => {
       const result = await gate.scan({
-        projectId: 'test-project',
         projectPath: tempDir,
       });
       
@@ -89,7 +75,6 @@ describe('SecurityGate', () => {
   describe('analyzeResult', () => {
     it.skip('应该解析 npm audit JSON 或返回 passed', async () => {
       const result = await gate.scan({
-        projectId: 'test-project',
         projectPath: tempDir,
       });