@dsh-cove/dsh-web-all 0.0.0-stage → 0.4.4

package/presets/code-vibe/skills/quality-review/references/falsify-checklist.md

@@ -0,0 +1,44 @@
+# Falsify Checklist（证伪优先）
+
+> 防止用冒烟 JSON / 首屏截图洗白 Pass。Verify **先跑证伪**，再写 `run.md` Pass。
+> Evidence Kind 真源：[`evidence-contract.md`](./evidence-contract.md) §1.1。
+> 结束信号 / Floor≠关版：[`verification-loop.md`](./verification-loop.md)。
+> 系列全角色验收：[`version-acceptance-matrix.md`](./version-acceptance-matrix.md)。
+
+## 硬门
+
+1. **证伪先于结案**：适用 Test 标 Pass 前，须执行本切片「怎么证伪」步骤（写在 `tests.md` Then / 自动化，或下方默认刀）。
+2. Build 轨完成语义 / 关版闸 / Oracle 冻结：见 wish-programming 五阶段 + [`verification-loop.md`](./verification-loop.md)（本文件不复述）。
+3. **同会话 Build→Verify**：禁止把 Build 期间的 window-smoke / health 结果原样誊为 Verify Pass；须重跑证伪或等价命令并记新证据。
+4. **指挥施工**：`maker ≠ grader` — 指挥侧至少亲自跑 **1 条** 证伪命令（或复核其输出），不只读施工侧 `run.md`。真源 verification-loop。
+5. **禁改 Oracle（钉 2）**：证伪失败 → Result=`Fail`；禁止改 `tests.md` / 矩阵 Oracle 消 Fail。
+
+## 默认证伪刀（按触及面选用）
+
+| 触及面 | 至少一刀（失败 = Fail，不许 smoke 覆盖） | 合格 Evidence Kind |
+|---|---|---|
+| 分页 / 无限滚动 / load-more | 同一 API 两个 `offset`/`cursor`（或翻页两次），**首行主键或 body 哈希不同**；`has_more` 与 total 一致 | `api-diff` 或 `network-har` |
+| 排序 | 改排序后抓真实请求：带 `order_by`/`sort`（或宿主等价参数）；首行字段序与方向一致 | `network-har` 或 `api-diff` |
+| 筛选 | 开/关筛选后结果集可区分（行数或主键集合变化） | `api-diff` / `browser-job` |
+| 双分页控件 | UI 不得同时启用「页码分页」与「无限滚动」争同一数据源；Spec 只留一种，另一种 Out 或删除 | `browser-job` + 代码 diff |
+| 权限 / 隔离 | 越权角色走同一入口 → 可观察拒绝 | `browser-job` / 自动化 |
+| 纯文案 / 布局 | 真实通道走完 Job + 截图能判断结果（仍禁仅 smoke JSON） | `browser-job` |
+
+数据面（`page_kind`/`motif` 为 `list`|`dashboard`，或合同写分页/排序/筛选）→ **前三行至少覆盖触及项**；未触及可写 `N/A + 理由`。
+
+## 禁止当作 Pass 的「证据」
+
+单独出现下列任一，**不得**将对应 Test 标 Pass：
+
+- `*smoke*.json` / window-smoke / dev-ui-window-smoke
+- `curl /health`、进程 active、首页 HTTP 200
+- 「页面能打开」「列表有数据」「可以滚动」且无两态对比
+- 仅 DOM 控件存在 / Toast / 脚本旁路
+
+允许与合格 Kind **并列表述**作旁证，但不能是唯一证据。
+
+## 写入 `run.md`
+
+- 追踪矩阵 Evidence：`kind=<名> · <路径或命令摘要>`（见 evidence-contract Kind 表）
+- 「已验证的用户结果」每行须含：**操作 → 两态观察差 → 证据**；无两态差不得写「已通过」
+- 证伪失败 → Result=`Fail`，归入统一 Repair；禁止改 Oracle 来消 Fail

package/presets/code-vibe/skills/quality-review/references/human-acceptance-pack.md

@@ -0,0 +1,68 @@
+# 人类验收包 / 证据卡
+
+> 许愿式交付的**验收侧**真源。关版分叉见下方「何时出哪种包」。
+> maker ≠ grader = **Codex ≠ 指挥侧**（falsify）。**人终验只留在机器看不到的地方。**
+
+## 何时出哪种包
+
+先读宿主 `AGENTS.md` 的 `Default UI surface` / `用户可见页面验收`，再读本 Spec 切片行的 `oracle:` 备注。
+
+| 条件 | 产出 | 关版 |
+|---|---|---|
+| `surface=n/a`（或页面验收 n/a）且 P0 Oracle 均可机跑（`unit` / `machine` / `lab` 脚本）且指挥侧 falsify + `verify-deliver` 过 | **证据卡** | **机器关版** → `acceptance-passed`；默认不等待人 |
+| `surface=product\|consumer`，或 Then 依赖视觉 / 文案 / 手感 / 真人 SSO | **人类验收包** | 人点验后才 `acceptance-passed` |
+| 弱 Oracle、Unverified 进了 P0、单向门、要把 lab 说成生产承诺 | **人判断卡**（不是「请再跑 test.sh」） | 等人判断 |
+| 人明示「验收 / 我自己看」 | 验收包或证据卡 | 等人 |
+
+`awaiting-human-acceptance` **只留给后三行**。第一行不进这个状态。
+
+## 证据卡（无 UI · 默认）
+
+对人 · 产品语言，**不是操作手册**：
+
+1. **P0 Oracle**：每条一行：命令 · exit · 关键观察
+2. **指挥侧证伪**：PASS 日志路径（`COMMAND` + `EXIT_CODE: 0` + `VERDICT`）
+3. **verify-deliver**：`ok · <时间>`
+4. **声明**：实验室证据 ≠ 生产；上线另批 Deploy
+5. **你若要推翻再说**；默认无需动作
+
+**禁止：** 请人再执行一遍 Agent 刚 exit 0 的同一条 falsify / 单测命令。
+**禁止：** 无 URL 时写「逐步操作、亲自点验」。
+
+机器关版同回合：`run.md` → `acceptance-passed`；`make close-spec` 收口（状态+搬迁一条命令）；询问是否 Deploy（**不**自动上生产）。
+
+## 人类验收包（有 UI / 人判断）
+
+1. **怎么验**
+   环境 / 入口 URL 或路径 / 角色或账号前提 / 代表性数据 / 逐步操作（人能照做）。
+
+2. **验什么**
+   用例清单（主路径、关键失败与权限、方案里承诺的体验点）。
+   每条写清：操作 → 期望可观察结果。可在技术详情中映射 `T-xxx`，前台默认不暴露编号。
+
+3. **AI 已做（旁证）**
+   单测 / 证伪 / 走查摘要与证据路径。有 UI 时写清：**不能替代你亲自点验**。无 UI 人判断卡不要这句话。
+
+4. **已知限制**
+   未覆盖项、环境差、需真人 SSO 等。
+
+无此包（且不属于证据卡机器关版）→ 不得请人关版。关版状态由 `journey.sh` 状态机定义。
+
+## 话术硬门
+
+| 禁止 | 正确 |
+|------|------|
+| 「可交付」但未交验收包/证据卡 | 先交包或卡 |
+| 把「请打开/硬刷看是否正常」当验收包 | 包内须有具体用例与期望结果 |
+| 无 UI 仍「请你自验 / 请再跑脚本」 | 证据卡 + 机器关版 |
+| 有 UI 时 Agent 自嗨 Pass 即关版 | 人明示「通过 / 没问题 / 关版」后才 `acceptance-passed` |
+| 验收通过后直接生产发布 | 关版后上线仍走 Deploy + P4 |
+
+## 人反馈分流
+
+| 人说 | Agent |
+|------|--------|
+| 某条不过 / 这里别扭 | 记入 Fail；非 material → Polish；material → 补方案或 Spec 再修；再给更新包 |
+| 通过 / 没问题 / 关版 / 归档（有 UI / 人判断） | 写 `acceptance-passed`；`make close-spec`（禁反问）；询问是否 Deploy |
+| 无 UI 机器关版后未反对 | 已是 `acceptance-passed`；只问是否 Deploy |
+| 先上线 / 发布 | 仅在关版后（或人明文豁免并担责）进 Deploy |

package/presets/code-vibe/skills/quality-review/references/product-regression.md

@@ -0,0 +1,51 @@
+# 产品回归（Product Regression）· 可选合同
+
+> **可选能力：** 只有当宿主已具备稳定的浏览器回归入口（命令、账号、数据、环境）时再启用。
+> **证明目标：** 用户关键旅程在迭代后没有回退。
+> **底线：** 产品回归通过 = 真浏览器 + 真登录 + 主旅程证据（见下方 `product` 层）。
+> 宿主模板不复制本文；活索引落在 `docs/product/regression-register.md`。
+
+## 1) 何时启用
+
+满足全部条件再启用：
+
+1. `AGENTS.md` 已给出可复跑的浏览器入口（环境、角色、命令）；
+2. 至少一个 Spec 已有可复核的 V2 证据；
+3. 团队同意为长期维护投入回归维护成本。
+
+未满足时：只做版本验收（`run.md`），不声明“产品回归已落地”。
+
+## 2) 与相邻概念边界
+
+| 概念 | 证明什么 | 真源 |
+|---|---|---|
+| 验收（Version Acceptance） | 当前版本能否办成 | Spec `tests.md` + `run.md` |
+| Repair 回验 | 当前失败是否被修复 | Repair 方案 + 回验证据 |
+| 产品回归（可选） | 长期关键旅程是否持续成立 | `docs/product/regression-register.md`（可选配 `surfaces.json`） |
+
+## 3) 最小分层（建议）
+
+| 层 | 作用 | 可声称 |
+|---|---|---|
+| `contract` | 预检、依赖探活、快速信号 | 合同层通过 |
+| `product` | 真浏览器 + 真登录 + 主旅程 | 产品回归通过 |
+| `manual` | 人工补证据 | 补充说明，不自动挡绿 |
+
+说明：字段名（如 `verify_contract[]`、`verify_product[]`）仅是**示例**；宿主可自定义 schema。
+
+## 4) 累积原则
+
+1. 从 Spec 验收通过的主旅程里挑关键路径晋升为长期回归；
+2. 已晋升路径不可无说明降级；
+3. 未自动化路径登记 backlog，持续补齐；
+4. 命令选型和触发条件只写宿主 `AGENTS.md`，不在插件写死。
+
+## 5) 工件与最小闭环
+
+| 工件 | 是否必需 | 用途 |
+|---|---|---|
+| `docs/product/regression-register.md` | 是（启用后） | 人读索引与状态 |
+| `docs/product/regression/surfaces.json` | 否 | 宿主机读编排（有自动化 runner 时再创建） |
+| `specs/<id>/optional/regression-map.md` | 否 | 某版晋升映射与范围说明 |
+
+默认 scaffold **不**创建 `surfaces.json`。没有自动化 runner 时不存在该文件即可。

package/presets/code-vibe/skills/quality-review/references/ux-standards.md

@@ -0,0 +1,37 @@
+# UX Validation Standards
+
+> **入口**：[design-standards/LOAD-MAP.md](../../frontend-design/references/design-standards/LOAD-MAP.md)
+> **启发式真源**：[design-standards/ux.md](../../frontend-design/references/design-standards/ux.md)
+> 视觉/尺度/页面/文案/审计 → visual · tokens · pages · copy · audit · exemplars（均经 LOAD-MAP 加载）
+> 专家走查 → [ux-walkthrough.md](./ux-walkthrough.md)。
+
+本文只保留 **Verify 接线**。
+
+## Verify 判定
+
+**Pass = 指定用户在真实情境下能有效、高效、满意地完成目标**（ux.md）。
+有控件 / Toast / API 200 / 空态文案 **单独均不算 Pass。**
+
+走查时先对照 Spec / 切片的 **Job Brief 与人话验收**（[product-judgment.md](../../frontend-design/references/design-standards/product-judgment.md)），再按 [LOAD-MAP](../../frontend-design/references/design-standards/LOAD-MAP.md) 场景行抽检，并抽：
+
+- [product-judgment.md](../../frontend-design/references/design-standards/product-judgment.md)（`rule/*`：交互单位、禁黑话、权限 vs 分发）
+- [audit/ai-tells.md](../../frontend-design/references/design-standards/audit/ai-tells.md)
+- [copy.md](../../frontend-design/references/design-standards/copy.md)
+- [exemplars/](../../frontend-design/references/design-standards/exemplars/README.md) 同类型正反例
+
+轮次与 Visual QA → [bounded-verify.md](./bounded-verify.md)。
+严重度：Nielsen **0–4**（ux.md）；走查用语 **P0/P1/P2** 映射见 [change-control.md](../../frontend-design/references/design-standards/change-control.md)（**4↔P0，3↔P1，1–2↔P2**）。**4 / P0 → Job Fail**。
+
+## Spec 工件
+
+| 工件 | 角色 |
+|------|------|
+| design-standards（LOAD-MAP 所点册） | 定义与页面/交互/文案合同 |
+| `tests.md` | Jobs / Oracle；声明服从上述 |
+| `run.md` | 实测账本 |
+
+不适用：纯后端无 UI（`UX: N/A`）。
+
+## 证据
+
+每关键 Job：入口、步骤、期望、实际、环境、可复核证据。核心 Job 阻断 → Acceptance 不通过。

package/presets/code-vibe/skills/quality-review/references/ux-walkthrough.md

@@ -0,0 +1,49 @@
+# UX 专家走查（Verify 变体）
+
+在 Verify 中，当用户要 **UX 走查 / 体验审计**，或 UI Scenario 需要分级启发式发现时启用。
+仍服从 [ux-standards.md](./ux-standards.md)（规范正文
+[design-standards/ux.md](../../frontend-design/references/design-standards/ux.md) /
+[visual.md](../../frontend-design/references/design-standards/visual.md)）与 Verify「不改实现」；
+前台仍先给交付卡结论。
+
+## FIRST ACTION（硬门 · 不可跳过）
+
+开浏览器 / 截图 / 写 P0–P2 **之前**，必须已用 Read 加载：
+
+1. [ux-standards.md](./ux-standards.md)
+2. [product-judgment.md](../../frontend-design/references/design-standards/product-judgment.md)
+3. [LOAD-MAP.md](../../frontend-design/references/design-standards/LOAD-MAP.md)
+
+**禁止**只读本文件 + 宿主产品文档就开刷页面。
+分级意见优先引用 `rule/no-impl-jargon`、`rule/interaction-unit`、`rule/separate-access-vs-delivery`、`rule/3s-ia` 等（见 product-judgment）；无适用 ID 则标 coverage-gap。
+
+## 流程
+
+1. **理解**：完成 FIRST ACTION → Spec Jobs（若有）· `docs/product/` · 角色旅程 · 入口
+2. **定范围**：按用户 Job 列流程与优先级；对照 Job Brief / 人话验收（无则从产品包推断并标明假设）
+3. **走查**：每个 Job 问有效 / 高效 / 满意障碍；用 Nielsen H1–H10（严重度 0–4；4 → Job Fail）
+4. **证据**：截图路径写入 `run.md` Evidence 列（可落 Spec 下任意约定目录）；关版看 Job 证据与严重度，不只看 Pass 计数
+5. **分级发现**：P0 阻断核心 Job · P1 应修 · P2 可改进（映射 Nielsen 4/3/1–2，见 change-control）；含位置、现象、影响、建议、**Rule**
+6. **复验**（修复后）：原问题与回归
+
+## 最小检查面
+
+加载与失败提示（H1/H9）· 状态与反馈（H1，有反馈≠Job 完成）· 撤销/退出（H3）·
+人话与心智顺序（H2 + `rule/no-impl-jargon`）· 交互单位（`rule/interaction-unit`）·
+一致（H4）· 防错（H5）· 识别而非逼记 UUID（H6）·
+空态 / 长列表 / 极端文案 · 错误恢复路径（H9）·
+配置/授权面：谁能用 vs 怎么拿到是否拆开（`rule/separate-access-vs-delivery`）
+
+## 与交付卡的关系
+
+走查发现写入「未通过或无法验证」与正式证据；`product / ux` Fail → 回 Shape。
+无浏览器时标明推演限制，结果记为推演而非真实通道 Pass。
+
+## 走查 → Polish 交接
+
+Verify **不改实现**。收齐 P0–P2 后，对人前台可给一句下一步示例：
+
+- 非 material 抛光项：「可以说『按本批走查修 P0–P1』进入 Polish（不新开 Spec）」
+- 主路径/导航/权限/默认 CTA 等：须回 Shape 或补 Spec（分级真源 [change-control.md](../../frontend-design/references/design-standards/change-control.md)）
+
+分级与 material 门 → [change-control.md](../../frontend-design/references/design-standards/change-control.md)。

package/presets/code-vibe/skills/quality-review/references/validation-report.md

@@ -0,0 +1,22 @@
+# Validation Report
+
+> 正式验收落盘结构的唯一真源是宿主 Spec 模板
+> `docs/specs/<id>/run.md`（scaffold 来自插件
+> `templates/docs/specs/_template/run.md`）。
+>
+> 本文件**不**维护第二份报告骨架。Verify / Incident 写结论时直接编辑对应 Spec 的
+> `run.md`（结构：执行态 → 结果 → 关版 → 终态）。预期 Oracle 在 `tests.md`；
+> 批次结果、追踪矩阵、Fail/Repair、关版与终态均以 `run.md` 为准。
+
+## 必读约束
+
+- Fail 分类与下一 Rail → [`evidence-contract.md`](./evidence-contract.md) §5
+- Evidence Kind / 禁纯 smoke Pass → 同文件 §1.1；执行 → [falsify-checklist.md](./falsify-checklist.md)
+- Delivery Target / 完成声明词汇 → [`evidence-contract.md`](./evidence-contract.md)「Delivery Target 闸门」
+- 报告必须先写 PM 验收摘要（关版），Matrix / Acceptance 写在 `## 终态`；内部状态不能替代
+  「可交付 / 不可交付 / 受阻」的前台结论
+- 所有适用 Test 有终态 → 只能声明 `matrix-accounted`；关版条件满足 →
+  `acceptance-passed`（二者都不是 Delivery Target）
+- Oracle 写在 `tests.md`；观察结果只写 `run.md`
+- Evidence 列格式：`kind=<名> · <路径>`；Pass 禁止仅 `window-smoke` / `health`
+- 「已验证的用户结果」须含两态观察差；Build 轨不得写「可交付」

package/presets/code-vibe/skills/quality-review/references/verification-loop.md

@@ -0,0 +1,95 @@
+# 验证环（三钉）
+
+> Build / Verify / Deploy 共用的**关版硬门**真源。
+> Evidence Kind / Deliver Gate 细节：[`evidence-contract.md`](./evidence-contract.md)。
+> 证伪刀：testing [`falsify-checklist.md`](./falsify-checklist.md)。
+> 系列全角色矩阵（触发才启用）：[`version-acceptance-matrix.md`](./version-acceptance-matrix.md)。
+
+社区对齐（克制）：**TDD** — 结束条件=测试退出码；禁改 Oracle 刷绿。
+**CD** — 部署后 smoke 失败则停线，不得用 health 关版。
+
+## 三钉（不可空转）
+
+### 1. 关版出口唯一化
+
+宣称 **`可交付` / `acceptance-passed` / `prod-smoke 通过`** 前，必须已跑且 exit 0：
+
+```bash
+make verify-deliver HOST=<repo> SPEC=<id>
+# 或一次收口：make close-spec HOST=<repo> SPEC=<id>
+```
+
+`check_spec --closing` 即闸：矩阵 ≥1 行真 Test=Pass 且 Evidence 非占位；须 1 件磁盘产物，`override:` 也免不了（缺哪件报错会写明）。
+
+**许愿路径关版分叉：** Agent 工程证伪 + `verify-deliver` 之后：
+- 无 UI 且 P0 可机跑 → 交[证据卡](./human-acceptance-pack.md)并写 `acceptance-passed`（**禁止**请人再跑同一脚本）；
+- 有 UI / 人判断 → `awaiting-human-acceptance` + 验收包；**须人明示通过/关版**后才可宣称 `acceptance-passed` / 可交付。
+
+### 2. Build 禁改 Oracle（TDD 绿）
+
+| 轨 | 禁止 | 允许 |
+|---|---|---|
+| Build / Repair | 改 Spec `tests.md`；改产品包 `06-acceptance-matrix` 等验收矩阵 Oracle | 写自动化测、改实现、记 `run.md` |
+| Plan + 用户批准 | — | 修订 Oracle |
+
+宣称「实现完成」时 `run.md` 必填：
+
+```text
+oracle-freeze: intact
+红绿证据: red `<cmd>` exit=<n> · green `<cmd>` exit=0
+dispatch-run-id: <id>   # eligible 片
+# ineligible：executor: conductor
+# 本可派但人强制自写：override: 用户要求自写 | polish · 用户本轮明示
+```
+
+有自动化 → **先红后绿**，两态命令+退出码写入上式。
+Polish / trivial / 无自动化 → `红绿证据: N/A · polish|trivial|无自动化`（仍禁甩用户发现）。
+缺 dispatch 证据且无 `executor: conductor` / override → `check_spec` Fail（诚实声明派生，非散文禁令）。
+指挥侧 diff：不得含 `tests.md` / 验收矩阵；见 `dispatch-codex` 验收清单。
+
+### 3. Maker ≠ grader（验收不派 Codex）
+
+- Verify / 系列验收 / 「验到可交付」→ **Cursor/指挥侧**执行；**禁止**派 Codex 做主验收。
+- Codex **可以**做机检与对抗审计:`codex exec -s read-only`（＋ `--output-schema` 要结构化结论）
+  拿 diff 对**冻结的** Oracle 核对、找洞。要的是进程隔离，不是换厂商 —— 它只是不能当自己的判官。
+  注意 `codex exec review` **没有** `-s`，别拿它当只读。
+- Codex **不可以**:关版授权、把自己的实现判成 Pass、决定 `可交付`。这些只属指挥侧 / 人。
+- 窄派单仍可用:≤15–20min、完成条件=**指定命令 stdout**；超时=失败。
+- 结案前 **runner 逐条 replay 冻结的 Oracle**：`make verify-deliver HOST=… SPEC=…`。每条 P0 机检
+  Oracle 都要有「基线红 + 改后绿」两半;只有绿的那半 → 不过闸。手写取证已删除——它证明的只是有人写了它。
+- `人工`/`manual-only` Oracle runner 关不了：run.md 需 `人工验收：T-xxx · <谁看到了什么>`。
+
+## Floor ≠ 关版
+
+| 轨 | Floor（入场） | 关版 |
+|---|---|---|
+| Build | 相关单测/静态 exit 0（或 N/A） | 行为可观察 + 钉 2（oracle-freeze / 红绿） |
+| Verify（单 Spec） | 证伪刀已跑 | 触及面勾完 + `kind=` + **钉 1** |
+| Verify（系列） | 单 Spec Build Pass **不算** | 矩阵 P0 行级结果表 + **钉 1** |
+| Deploy P5 | health / 进程（过程） | — |
+| Deploy P6 | — | 目标环境关键路径 + 探活执行者=agent + **钉 1** |
+
+Polish / trivial：只跑改动面自探活；仍禁甩用户发现；**不**强制全矩阵 / 全红绿对。
+
+## 结束信号（缺一不得宣称通过）
+
+```text
+探活执行者: agent | blocked-needs-auth
+产品证据: kind=<名> · <路径或命令摘要>
+触及面: …（勾选或 N/A+理由）
+需要用户做什么: 无需动作 | 按验收包点验 | 批准… | 真人SSO/密钥…
+verify-deliver: ran (check_spec --closing exit 0)   # 可交付 / acceptance-passed / prod-smoke 通过时必有
+完成标签或结论: …
+```
+
+## 反模式
+
+| 禁止 | 正确 |
+|---|---|
+| `/health` 关版 | P6 产品路径 + 钉 1 |
+| 请用户硬刷当探针 | Agent 先探活；挂了自己 Blocked |
+| 改 `tests.md` 刷绿 | 回 Plan；钉 2 |
+| 派 Codex「验到可交付」 | 指挥侧 Verify；钉 3 |
+| HIT/暖路径冒充冷路径 | 按用户失败路径复现 |
+| 「有条件可交付」掩盖未证 P0 | 未证 = Fail/Blocked |
+| 单测绿冒充系列 Version Acceptance | 走矩阵 + P0 行级表 |

package/presets/code-vibe/skills/quality-review/references/version-acceptance-matrix.md

@@ -0,0 +1,131 @@
+# Version Acceptance 矩阵（全角色 × 全场景）
+
+> 蒸馏自人工纠正后的高质量实践（组织扩展 `06-acceptance-matrix`、BI 浏览器走查剧本、权限破坏性生命周期等）。
+> **可选用例设计合同**——不是每个 Build 切片的默认义务。
+> 日常单 Spec 仍走 `tests.md` + [`falsify-checklist`](./falsify-checklist.md) + [`verification-loop`](./verification-loop.md)。
+
+## 何时必须启用（触发）
+
+命中任一即须**先设计矩阵（或等价剧本），再跑、再结案**：
+
+1. 用户明示：**整体验收** / **全角色全场景** / **不要敷衍** / **系列 Version Acceptance**；
+2. **多 Spec 组成同一产品切片**（拆包交付后的一次关版）；
+3. **多角色 × 多表面** material 能力（管理面配置 + 成员面生效、权限/分发/投影等）；
+4. 既往曾用「有条件 Pass / UX Pass」软结案，用户打回要求重验。
+
+**不启用：** 单切片 Build、Polish/trivial、纯后端无多角色、用户只批单条 Repair 回验。
+
+未触发时禁止用本文件当借口扩成无限走查；触发后禁止用单 Spec `tests.md` 绿冒充系列 Pass。
+
+## 与相邻真源
+
+| 概念 | 证明什么 | 真源 |
+|---|---|---|
+| Build Validation | 本 Spec 实现 + 单测/行为 | Spec `tests.md` / Build `run.md` |
+| Version Acceptance（本页） | 产品结果在真实角色×场景下成立 | 产品包矩阵/剧本 + 执行记录 |
+| Production（P6） | 目标环境关键路径 | deploy + verification-loop |
+| 产品回归（可选） | 长期主旅程不回退 | [`product-regression`](./product-regression.md) |
+
+**硬门：** Build Pass / vitest 绿 / 管理面点击通 **≠** Version Acceptance Pass。
+
+## 落盘位置（宿主）
+
+优先产品包内一页（大模块建议 `06-acceptance-matrix` 或 `05` 下剧本），作为系列**唯一 Oracle**：
+
+```text
+docs/product/modules/<slug>/06-acceptance-matrix.md   # 或宿主语言后缀
+```
+
+亦可 `…/research/浏览器走查用例-<日期>.md`（步骤型剧本）。
+执行记录与证据写入相关 Spec `run.md` / `evidence/`；**不得**改矩阵 Oracle 来刷绿。
+
+## 设计骨架（按序写完再跑）
+
+### 1. 验收铁律（先于用例表）
+
+至少钉死（可增不可软化）：
+
+| 铁律 | 含义 |
+|---|---|
+| 消费侧生效 | 配置/授权类必须看**消费角色**结果翻转，不能只看管理面徽章 |
+| Before → 动作 → After | 缺 After 观察 = Unverified，不得 Pass |
+| 概念不混谈 | 如「看见 ≠ 能用 ≠ 已安装 ≠ 运行注入」——按产品模型拆开测 |
+| 单测/点击不足 | UI 通 + 单元绿不足以关系列 |
+| Blocked 不降级 | 真机/租户缺失标 Blocked，mock 另列，不冒充 Pass |
+| 冷路径诚实 | 用户失败路径（冷查/空缓存/首屏）必须覆盖；禁 HIT 冒充 |
+
+### 2. 角色表
+
+| 代号 | 产品角色 | 用途 |
+|---|---|---|
+| A | 管理/治理侧 | 写配置、授权、危险操作 |
+| M | 主消费角色 | **生效 Oracle 主观察者** |
+| O | 无授权/越权对照 | 负向 |
+| N | 未登录（若适用） | 入口与 API 负向 |
+| 外 | 外部系统真机（若适用） | 审批/Bot 等；不通则 Blocked |
+
+账号口令只指向宿主 `AGENTS.md` / 约定凭据文档；有可复用凭据则 Agent **自行切换**，禁止把换号验收派给用户。
+
+### 3. 表面表（Surface）
+
+列出本能力真实入口：Web 路径、API、Worker、第三方控制台等。用例必须落到具体表面，禁止「系统里测过了」。
+
+### 4. 夹具（跑前准备）
+
+为 P0 准备最小可区分夹具（空授权、单部门、全员、排除、停用…按域裁剪）。
+命名可复现；**禁止**用生产业务数据做破坏性用例。
+
+### 5. 用例表列
+
+每行：`ID | 角色 | 表面 | Given | When | Then（可观察） | Oracle/取证 | Spec 映射 | Pri(P0/P1/P2)`
+
+或步骤剧本列：`步 | 你做什么 | 过 | 挂`（适合强 UI 分窗/续载；「挂」列必须可打假）。
+
+### 6. 优先级
+
+- **P0**：不过则系列不得 Pass
+- **P1**：应过；失败进 Repair；书面接受前不关系列
+- **P2**：边界/回归；记册
+- **Blocked**：环境缺失；保持 Blocked
+
+## 执行铁律
+
+1. **先设计后跑**；矩阵未钉死禁止结案。
+2. 按矩阵序执行；P0 未齐禁止「有条件可交付」。
+3. 授权/回收/状态变更：必须留下消费侧 **两态差** 证据。
+4. 浏览器：真打开宿主 URL；关键控件真点击；Network/API 与 Then 对齐（见 [`browser-verify`](./browser-verify.md)）。
+5. 破坏性权限场景：可注册临时用户走生命周期；测完停用；证据落盘。
+6. 既往软结案在矩阵启用后 **作废**，须重跑。
+
+## 结束信号（系列）
+
+```text
+矩阵真源: docs/product/modules/<slug>/06-…（或剧本路径）
+P0 结果: 全 Pass | 失败列表 | Blocked 列表
+探活执行者: agent
+需要用户做什么: 无需动作 | 批准 Repair | 真人/租户授权
+verify-deliver: ran (check_spec --closing exit 0)   # 系列关版宣称可交付前必有（钉 1）
+```
+
+### P0 行级结果表（系列关版必需）
+
+触发本矩阵后，结案前须在执行记录（相关 Spec `run.md` / `evidence/`）留下**逐行**结果，不得只写「P0 全过」一句话：
+
+| P0 ID | 角色 | 表面 | Result | 两态/证伪摘要 | Evidence（`kind=`） |
+|---|---|---|---|---|---|
+| … | M/A/… | … | Pass\|Fail\|Blocked | Before→After 或失败点 | kind=… · |
+
+缺任一行 Result，或 P0 有 Fail/Blocked 未书面接受 → **不得**系列 Pass / 可交付。
+Build 轨禁止改本矩阵 Oracle（钉 2）；观察只写入执行记录。
+
+缺消费侧翻转证据 → 不得系列 Pass。
+
+## 反模式
+
+| 禁止 | 来源教训 |
+|---|---|
+| 四包 Spec 各报 Pass 就报系列完成 | 组织扩展：拆包后须矩阵关版 |
+| 只测管理抽屉文案 | 「授权后成员侧会真生效吗」 |
+| 暖缓存/HIT 当冷查 Pass | BI：134s 冷查 vs 1s HIT |
+| 请用户硬刷发现全员/部门是否还在 | 部署后甩发现 |
+| 无限加场景却不写 P0 边界 | 矩阵要全，但仍分 P0/P1/P2 |