@educa-corp/sdd-framework 0.9.7 → 0.9.8

package/core/skills/qc/qa-designer/shared/tc-metadata-format.md

@@ -61,6 +61,23 @@ Mỗi trường 1 dòng, không bảng, không emoji dư:
 - **Status:** Draft
 - **Author:** AI
 - **Tags:** <lane>, <loại: smoke|sanity|regression>, <feature-tag>
+
+  **`<lane>` — giá trị hợp lệ** *(khai 2026-09-17; trước đó để ngỏ nên mỗi file viết một kiểu)*:
+
+  | Lane | Khi nào | Skill thiết kế |
+  |---|---|---|
+  | `ui` | có màn hình | `functional/gui-screen` · `gui-feature` |
+  | `api` | có endpoint, ai đó gọi vào | `functional/api` · `integration/api` |
+  | `job` | **tự chạy** theo lịch/điều kiện, không ai gọi | `functional/job` |
+  | `queue` | nằm chờ message rồi xử lý | `integration/queue` |
+  | `db` | verify trạng thái dữ liệu sau thao tác | `integration/db` |
+  | `e2e` | hành trình xuyên nhiều màn/hệ | `e2e/journey` |
+  | `nfr` | hiệu năng · bảo mật · a11y · i18n | `non-functional` |
+
+  > **Lane là câu trả lời đã chốt, không phải nhãn trang trí.** Với nền `system`, nó do **QC trả
+  > lời** ở trạm 3 khi không suy được hình dạng *(xem `/qc-design-test` §Nền `system`)*. Trạm 5 và
+  > trạm 6 **ĐỌC** lane này, **không suy lại** — suy lại là mở đường cho hai trạm kết luận khác nhau
+  > về cùng một TC.
 - **Trace:** BR-xx (ID gốc trong PRD/BDD ở `{paths.specs_dir}`)
 - **@trace.verifies:** {UC-ID}-SC{N}
 - **🚫 Block:** [GAP-UC{N}-{nnn}](../DOC_GAP.md) — <lý do> *(chỉ khi có)*

package/core/skills/qc/qa-reviewer/script/_shared/review-rules.md

@@ -0,0 +1,121 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/AGT-006-code_reviewer.md §3.1 §3.2 §3.3 §4 (Draft) · §5 Boundary
+---
+
+# Luật soát script — dùng chung cho mọi nền
+
+**Nạp file này TRƯỚC file lane.** Lane chỉ nói *"nền này soát thêm gì"*; mọi thứ ở đây đúng cho
+cả `web` · `mobile` · `api`. Viết một bản vì 11 file lane đều cần — 11 bản của một luật là nơi
+drift sống.
+
+---
+
+## 1 · Bảy luật của lượt soát *(R01–R07)*
+
+| Mã | Luật | Nghĩa khi soát |
+|---|---|---|
+| **R01** | **Review All Files** | Soát **mọi** file được đưa: spec · Page/Screen/API Object · data. Soát một phần rồi kết luận là kết luận về một thứ chưa đọc |
+| **R02** | **Evidence-Based Findings** | Mỗi lỗi phải có đủ **bốn**: tên file · số dòng (hoặc đoạn code) · mô tả vấn đề · cách sửa đề nghị. Thiếu một trong bốn thì đó là cảm tưởng, không phải finding |
+| **R03** | **No Silent Pass** | Không `APPROVED` một script chưa soát kỹ. Soát đủ mà không thấy lỗi → `APPROVED` là **đúng**, không phải lười |
+| **R04** | **No Rewriting** | Chỉ báo cáo, **không sửa code**. Đề xuất phải đủ rõ để người viết tự sửa được mà không hỏi lại |
+| **R05** | **Positive Observations Required** | Mỗi lượt soát ghi **ít nhất 2–3 điểm tốt**. Một biên bản chỉ có lỗi là biên bản mất cân bằng — người đọc không biết phần nào đang đúng để giữ |
+| **R06** | **Verdict Consistency** | Verdict suy ra từ **số đếm** finding theo §3, không tự nâng/hạ |
+| **R07** | **Traceability First** | Thiếu/sai header artifact ID *(TC-ID · `@trace.verifies`)* ⇒ **BLOCKER ngay, dừng soát**. Không soát tiếp một file không biết nó phục vụ scenario nào |
+
+> **R07 chặn cửa TRƯỚC, không phải sau.** Một lượt soát trên file không có trace tag vẫn chạy
+> trót lọt và vẫn in ra verdict — nhưng verdict đó nói về một thứ không neo vào scenario nào.
+> Đó là kiểu hỏng **Nói dối**: biên bản trông hợp lệ, nội dung vô nghĩa.
+
+---
+
+## 2 · Bốn mức nặng-nhẹ của một lỗi *(severity)*
+
+| Mức | Định nghĩa | Ví dụ |
+|---|---|---|
+| **BLOCKER** | Ngăn test chạy đúng, hoặc vi phạm chuẩn lõi | selector thô trong spec · thiếu `await` · lỗi cú pháp · **không có header block** |
+| **MAJOR** | Ảnh hưởng nặng tới khả năng bảo trì hoặc độ tin cậy | hard-code test data · `waitForTimeout` · locator bám class CSS tự sinh |
+| **MINOR** | Vấn đề chất lượng code, script **vẫn chạy được** | thiếu type annotation · đặt tên không nhất quán · logic lặp có thể tách |
+| **SUGGESTION** | Cơ hội cải thiện — **không bắt buộc** | tên biến rõ hơn · thông điệp assertion mô tả hơn |
+
+**Ranh giới BLOCKER ↔ MAJOR đo được, không cảm tính:** BLOCKER là *"chạy sẽ sai hoặc không chạy"*;
+MAJOR là *"chạy đúng hôm nay, hỏng khi có người sửa"*.
+
+---
+
+## 3 · Bốn verdict — suy ra từ số đếm, **không override**
+
+| Verdict | Điều kiện bắt buộc | Đi tiếp? |
+|---|---|:-:|
+| **APPROVED** | 0 BLOCKER, 0 MAJOR | ✅ |
+| **APPROVED_WITH_SUGGESTIONS** | 0 BLOCKER, 0 MAJOR, ≥1 MINOR hoặc SUGGESTION | ✅ |
+| **REVISION_REQUIRED** | 0 BLOCKER, ≥1 MAJOR | ❌ sửa rồi soát lại |
+| **REJECTED** | ≥1 BLOCKER | ❌ sửa rồi soát lại |
+
+**Ngưỡng qua cửa: `≥ APPROVED_WITH_SUGGESTIONS`** — khai ở `AGT-005:132` và `AGT-010:130`.
+Hai mức trên đi tiếp, hai mức dưới quay lại. Các trạm sau *(`/qc-run-script`)* đọc **hai luồng
+này**, không đọc bốn tên.
+
+> **Vì sao lane QC dùng 4 mức còn lane DEV *(`/review-code`)* giữ 2.** Lane QC có tài liệu chuẩn
+> định nghĩa severity thành bốn ô đếm được *(§2)*, nên bốn verdict chỉ là **tên của bốn ô đó** —
+> không thêm phán quyết nào. Lane DEV chưa có bảng severity tương ứng, nên 4 tên ở đó sẽ là bốn
+> nhãn phải tự đoán. Đây là **một bất đối xứng có lý do**, không phải chỗ quên đồng bộ.
+
+---
+
+## 4 · Ranh giới — soát cái gì, KHÔNG soát cái gì
+
+| | |
+|---|---|
+| ✅ **Soát** | code test đã sinh · Page/Screen/API Object · file data · khớp với `.Test.md` gốc |
+| ❌ **KHÔNG soát** | **cấu trúc file test case** — đó là việc của `/qc-review-testcase`. Áp checklist cấu trúc TC vào một Page Object là bảo người soát đi tìm `#### Expected Result` trong code |
+| ❌ **KHÔNG sửa** | *(R04)* — kể cả lỗi hiển nhiên một dòng |
+| ❌ **KHÔNG chạy** | chạy test là việc của `/qc-run-script`. Ở đây chỉ compile/list để biết script **dịch được** và **thấy đủ số test** |
+
+---
+
+## 5 · Phép kiểm cơ học bắt buộc — trước khi kết luận
+
+Chạy đủ hai lệnh, **dán output vào biên bản**:
+
+```
+npx tsc --noEmit                          ← dịch được? (BLOCKER nếu lỗi)
+npx playwright test <spec> --list         ← đếm số test collect được   (web · api)
+npx wdio <config> --dry-run               ← tương đương cho mobile
+```
+
+**Số test collect được phải bằng số TC `Automatable: Y`** của phạm vi này trong
+`AUTOMATION_ASSESSMENT.md`. Lệch là **BLOCKER** — không phải MINOR:
+
+- collect **ít hơn** ⇒ có TC không được sinh, và nó sẽ nằm `not_run` vĩnh viễn trong sổ trace
+- collect **nhiều hơn** ⇒ có test không neo vào TC nào, `qc_status` sẽ ghi cho một scenario không tồn tại
+
+> Đây là chỗ duy nhất trong lượt soát mà **máy trả lời thay vì người** — nên nó là chỗ đáng tin
+> nhất, và là lý do hai lệnh trên không được bỏ qua kể cả khi "nhìn code thấy ổn".
+
+---
+
+## 6 · Đường dẫn — lấy từ `§layout` của module, KHÔNG viết cứng
+
+Nền đang soát đã được `steps/qc-scope.md` §2b phân giải. Gốc thư mục lấy từ `§layout` của
+module tương ứng:
+
+```
+web      automation/tests/{TICKET-ID}/<feature>-<scenario>.spec.ts
+         automation/pages/<feature>.page.ts
+api      api-automation/tests/{TICKET-ID}/<feature>-<scenario>.spec.ts
+         api-automation/api/<resource>.api.ts
+mobile   mobile-automation/tests/{TICKET-ID}/<feature>-<scenario>.spec.ts
+         mobile-automation/screens/<feature>.screen.ts
+```
+
+> **`tests/` chia theo `{TICKET-ID}`, `pages/`·`api/`·`screens/` để phẳng — có chủ ý.** Một spec
+> **thuộc về** một PRD; một Page Object **được dùng bởi** nhiều PRD. Nhét Page Object vào thư mục
+> PRD là ép nhân bản nó cho mỗi PRD — đúng thứ Page Object Pattern sinh ra để tránh.
+>
+> Thiếu segment `{TICKET-ID}` ở `tests/` thì hai PRD cùng có feature `login` ghi vào **cùng một
+> đường dẫn** và đè nhau **im lặng**. Đó là lý do framework lệch khỏi bố cục phẳng của
+> `Automation-Standards §2.3`: chuẩn giả định `tests/` soi gương theo `test-suites/`, còn ở đây
+> test case sống ở `{qc_dir}/{TICKET-ID}/{platform}/test-cases/` — áp đúng **nguyên tắc** của
+> chuẩn vào layout này thì ra hình dạng trên.

package/core/skills/qc/qa-reviewer/script/api/auth.md

@@ -0,0 +1,49 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/API-Testing-Standards.md §5.5 §9.1 (Approved)
+---
+
+# Soát script — API xác thực & phân quyền
+
+**Nạp `../_shared/review-rules.md` rồi `endpoint.md` cùng lane.** Đây là phần thêm.
+
+## Khi nào trigger
+- Soát script kiểm đăng nhập, token, và **quyền truy cập** của từng vai lên từng endpoint.
+
+---
+
+## Thêm gì so với endpoint
+
+### A · Fixture token dùng chung *(§5.5)*
+
+- Mỗi test tự đăng nhập lại ⇒ **MINOR** — chậm và dễ chạm rate-limit; dùng `fixtures/api.fixture.ts`
+- Token hard-code / token thật commit vào repo ⇒ **BLOCKER**
+- Fixture không phân biệt **vai** ⇒ **MAJOR**: một token dùng cho mọi test thì không kiểm được phân quyền
+
+### B · Mọi endpoint được bảo vệ phải có đủ ba ca *(§9.1)*
+
+| Ca | Mong đợi |
+|---|---|
+| Không token | **401** |
+| Token sai / hết hạn | **401** |
+| Token đúng nhưng **sai vai** | **403** |
+
+- Thiếu bất kỳ ca nào cho một endpoint được bảo vệ ⇒ **MAJOR**
+- Gộp 401 và 403 thành một ca ⇒ **MAJOR** — hai lỗi khác nhau: *chưa biết anh là ai* vs *biết rồi
+  nhưng anh không được phép*
+
+### C · Assert phải là "bị chặn", không phải "không lỗi"
+
+- `expect(res.status()).not.toBe(200)` ⇒ **MAJOR** — 500 cũng qua được phép assert này
+- Assert đúng mã, và assert body **không rò dữ liệu** của tài nguyên bị cấm ⇒ thiếu ⇒ **MINOR**
+
+### D · Vòng đời token
+
+- Không kiểm token hết hạn / refresh khi hợp đồng có ⇒ **MINOR**
+
+---
+
+## Kiểm cơ học + Output
+
+Như `endpoint.md` Phase 3 và §Output.

package/core/skills/qc/qa-reviewer/script/api/endpoint.md

@@ -0,0 +1,89 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/API-Testing-Standards.md §4 §5 §6 §8 §10 §11 · AGT-010 §3 (Approved)
+---
+
+# Soát script — API endpoint *(Playwright API mode + TypeScript)*
+
+**Nạp `../_shared/review-rules.md` trước.** Lane này dùng khi `active_platform = system`.
+
+> ⚠️ **API Object ≠ Page Object.** Không có màn hình, không có locator, không có wait. Soát API
+> bằng checklist web là đi tìm những thứ không tồn tại rồi kết luận "không có lỗi".
+
+## Khi nào trigger
+- Soát script kiểm **endpoint** của một service: CRUD, mã trạng thái, cấu trúc response.
+
+## Khi KHÔNG trigger
+- Xác thực / phân quyền → `auth.md` · injection & input validation → `security.md`
+- API gọi phụ trợ **bên trong** một dự án web *(setup/teardown)* → `../web/functional.md`
+
+---
+
+## Phase 1 — Đọc đủ *(R01)*
+
+1. `api-automation/tests/{TICKET-ID}/<feature>-*.spec.ts`
+2. `api-automation/api/<resource>.api.ts` + `base.api.ts`
+3. `data/<resource>.data.ts` · `fixtures/api.fixture.ts` · `helpers/schema.helper.ts`
+4. `.Test.md` + `AUTOMATION_ASSESSMENT.md`
+
+**R07 chặn cửa** như mọi lane.
+
+---
+
+## Phase 2 — Năm nhóm soát
+
+### A · API Object *(§4 · AGT-010 R01)*
+
+- **Mọi HTTP request phải đi qua API Object.** `request.post(...)` thô trong spec ⇒ **BLOCKER**
+- `extends BaseAPI`; class `<Resource>API`; file `<resource>.api.ts`
+- **1 method = 1 endpoint action**; method gộp nhiều endpoint ⇒ **MAJOR**
+- Kiểu trả về `Promise<APIResponse>` — **không parse response trong API Object** ⇒ parse ⇒ **MAJOR**
+- **Không `expect()` trong API Object** ⇒ có ⇒ **MAJOR**
+- "God API Object" gom mọi resource ⇒ **MAJOR**
+
+### B · Cấu trúc spec *(§5 — AAA)*
+
+- Ba khối rõ: **Arrange** (data, token) → **Act** (gọi API Object) → **Assert**
+- Trộn assert vào giữa chuỗi gọi ⇒ **MINOR**
+- Header block có TC-ID + `@trace.verifies` ⇒ thiếu ⇒ **BLOCKER** *(R07)*
+- Data-driven dùng `for...of` hoặc `test.each`, không copy test 5 lần ⇒ copy ⇒ **MINOR**
+
+### C · Assertion *(§6)*
+
+- **Assert mã trạng thái là bắt buộc** — thiếu ⇒ **BLOCKER**
+- Assert **cả cấu trúc lẫn giá trị** của body, không chỉ `status === 200` ⇒ chỉ status ⇒ **MAJOR**
+- Kiểm schema cho response có cấu trúc ⇒ thiếu ⇒ **MINOR**
+- Assert header khi hợp đồng có nêu *(content-type, cache)* ⇒ thiếu ⇒ **MINOR**
+- `expect(res.ok()).toBeTruthy()` làm assertion duy nhất ⇒ **MAJOR** — nó đúng cho mọi 2xx/3xx
+
+### D · Dữ liệu *(AGT-010 R03)*
+
+- Credential, payload, giá trị mong đợi **hard-code trong spec** ⇒ **MAJOR** — để ở `data/`
+- Bản ghi tạo ra phải xoá trong `afterEach`/`afterAll`, kể cả khi fail ⇒ thiếu ⇒ **MAJOR**
+- Test phụ thuộc bản ghi có sẵn trên môi trường ⇒ **MAJOR**
+
+### E · Async *(AGT-010 R02)* và chất lượng *(§10 · §11)*
+
+- **`waitForTimeout` tuyệt đối không dùng** — API là đồng bộ về bản chất, `await` thẳng ⇒ có ⇒ **BLOCKER**
+- Thiếu `await` trước lời gọi API ⇒ **BLOCKER** *(test xanh giả, chạy xong trước khi có response)*
+- TypeScript strict, không `any` ⇒ **MINOR**
+- `test.only` sót lại ⇒ **BLOCKER**
+
+---
+
+## Phase 3 — Kiểm cơ học
+
+```
+npx tsc --noEmit
+npx playwright test --config=api-automation/playwright.config.ts <spec> --list
+```
+
+Số test collect được **phải bằng** số TC `Automatable: Y`. Lệch ⇒ **BLOCKER**.
+
+---
+
+## Output
+
+Theo `_shared/review-rules.md` §3, kèm ≥2–3 điểm tốt *(R05)*.
+Lưu ý dãy ID của lane này độc lập: `TC-API-*` ≠ `TC-*` *(§7.3)*.

package/core/skills/qc/qa-reviewer/script/api/security.md

@@ -0,0 +1,46 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/API-Testing-Standards.md §8 §9.2 (Approved)
+---
+
+# Soát script — API kiểm tra đầu vào & injection
+
+**Nạp `../_shared/review-rules.md` rồi `endpoint.md` cùng lane.** Đây là phần thêm.
+
+## Khi nào trigger
+- Soát script kiểm **biên của đầu vào** và các mẫu injection lên endpoint.
+
+---
+
+## Thêm gì so với endpoint
+
+### A · Kỹ thuật thiết kế phải thấy được trong code *(§8)*
+
+- **Phân lớp tương đương**: mỗi lớp có ít nhất một ca. Chỉ kiểm ca hợp lệ ⇒ **MAJOR**
+- **Giá trị biên**: với trường có giới hạn, phải có `min-1` · `min` · `max` · `max+1`.
+  Thiếu hẳn phân tích biên cho trường có ràng buộc ⇒ **MAJOR**
+- **Phủ HTTP method**: gọi method không được hỗ trợ phải trả **405**; thiếu ⇒ **MINOR**
+
+### B · Payload injection *(§9.2)*
+
+- Payload **hard-code rải trong spec** ⇒ **MAJOR** — gom vào `data/`, một bộ dùng cho nhiều endpoint
+- Bộ mẫu thiếu hẳn một họ *(SQL · NoSQL · command · path traversal · XSS lưu trữ)* ⇒ **MINOR**
+  kèm nêu rõ họ nào thiếu
+
+### C · Mong đợi phải cụ thể
+
+- Mong đợi đúng là **400/422 + thông điệp lỗi có cấu trúc**, hoặc dữ liệu được làm sạch
+- Assert kiểu "không sập" ⇒ **MAJOR** — một endpoint trả 200 kèm dữ liệu đã bị nhiễm vẫn "không sập"
+- Assert thông điệp lỗi **không rò** stack trace / tên bảng / phiên bản ⇒ thiếu ⇒ **MINOR**
+
+### D · Ranh giới của trạm này
+
+- Đây **không** phải kiểm thâm nhập. Soát script, không đánh giá mức độ an toàn của hệ thống.
+  Biên bản kết luận *"hệ thống an toàn"* ⇒ **MAJOR** — vượt thẩm quyền của lượt soát *(R04 tinh thần)*
+
+---
+
+## Kiểm cơ học + Output
+
+Như `endpoint.md` Phase 3 và §Output.

package/core/skills/qc/qa-reviewer/script/exploratory.md

@@ -13,7 +13,7 @@ Review session note sau khi test, coaching QC cải thiện kỹ năng.
 - Khi lead/senior muốn đánh giá chất lượng session của junior
  
 ## Khi KHÔNG trigger
-- Review Python script → dùng qa-reviewer/script/functional
+- Soát script tự động → dùng `web/functional.md` · `mobile/functional.md` · `api/endpoint.md` theo nền
 - Review charter → dùng qa-reviewer/test-case/exploratory
  
 ---
@@ -41,7 +41,7 @@ Review session note sau khi test, coaching QC cải thiện kỹ năng.
  
 **Điểm `XX/100`** — ánh xạ mức độ sang điểm trừ: 🔴 = `FAIL` (−5đ) · 🟠 = `WARN` (−2đ) ·
 🟡 = ghi nhận, không trừ. ≥80 đạt · 60–79 cần cải thiện · <60 không đạt.
-**Verdict:** `≥80` VÀ không còn 🔴 → **`APPROVED`**; ngược lại **`NEEDS_FIX`**.
+**Verdict:** suy từ **số đếm lỗi** theo `../shared/review-file-template.md` §Verdict — `≥1 BLOCKER` → `REJECTED` · `≥1 MAJOR` → `REVISION_REQUIRED` · chỉ MINOR/SUGGESTION → `APPROVED_WITH_SUGGESTIONS` · sạch → `APPROVED`.
 
 **Ghi vào `{qc_artifact_dir}test-cases/REVIEW_<FEATURE>.md`** — thêm một hàng vào bảng Tổng quan
 (cột `Tầng` phân biệt vai soát-code với vai soát-kịch-bản; **không ghi đè** hàng của vai kia).

package/core/skills/qc/qa-reviewer/script/mobile/e2e.md

@@ -0,0 +1,41 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/Mobile-Automation-Standards.md §5 §9 §11 (Approved)
+---
+
+# Soát script — Mobile E2E *(hành trình xuyên nhiều màn app)*
+
+**Nạp `../_shared/review-rules.md` rồi `functional.md` cùng nền.**
+
+## Khi nào trigger
+- Soát script đi trọn một hành trình trong app, qua nhiều màn.
+
+---
+
+## Thêm gì so với functional
+
+### A · Một hành trình = một test
+
+- Chia thành nhiều `it()` phụ thuộc nhau ⇒ **BLOCKER** — chạy riêng lẻ là fail
+- Chia chặng bằng `describe`/step để report Allure đọc được; >5 thao tác mà không chia ⇒ **MINOR**
+
+### B · Điều hướng và trạng thái app
+
+- Quay lại bằng `driver.back()` mà không assert đã về đúng màn ⇒ **MAJOR**
+- Không reset app giữa các hành trình *(`driver.reset()` hoặc fixture)* ⇒ **MAJOR** — trạng thái rò
+
+### C · Gesture trong hành trình dài
+
+- Cuộn tìm phần tử phải có **giới hạn số lần**; cuộn vô hạn ⇒ **MAJOR** *(treo cho tới timeout)*
+
+### D · Flaky *(§11)*
+
+- E2E mobile là nơi flaky sống nhất *(mạng + emulator + animation)*. Test đỏ-xanh thất thường mà
+  không tag `@flaky` ⇒ **MAJOR**
+
+---
+
+## Kiểm cơ học + Output
+
+Như `functional.md` Phase 3 và §Output.

package/core/skills/qc/qa-reviewer/script/mobile/functional.md

@@ -0,0 +1,90 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/Mobile-Automation-Standards.md §4 §6 §7 §8 §9 §10 §11 §12 (Approved)
+---
+
+# Soát script — Mobile Functional *(WebdriverIO + Appium + TypeScript)*
+
+**Nạp `../_shared/review-rules.md` trước.** File này chỉ có phần riêng của nền app.
+
+> ⚠️ **Đây KHÔNG phải bản web đổi tên.** Chuẩn mobile khác web ở bốn chỗ có thật: thứ tự locator,
+> gesture, đối chiếu dữ liệu server, và kiểm môi trường. Soát mobile bằng checklist web là bỏ sót cả bốn.
+
+## Khi nào trigger
+- Soát script functional cho nền `app` (`app-ios` · `app-android`), sau `/qc-design-script`.
+
+## Khi KHÔNG trigger
+- Nền `web` → `../web/functional.md` · nền `system` → `../api/endpoint.md`
+
+---
+
+## Phase 1 — Đọc đủ *(R01)*
+
+1. `mobile-automation/tests/{TICKET-ID}/<feature>-*.spec.ts`
+2. `mobile-automation/screens/<feature>.screen.ts` + `base.screen.ts`
+3. `helpers/{api,device,gesture}.helper.ts` nếu spec dùng
+4. `wdio.config.ts` · `.env.example` — biết thiết bị và endpoint
+5. `.Test.md` + `AUTOMATION_ASSESSMENT.md`
+
+**R07 chặn cửa** như mọi lane.
+
+---
+
+## Phase 2 — Sáu nhóm soát của nền app
+
+### A · Screen Object *(§4)* — KHÔNG gọi là Page
+
+- `extends BaseScreen`; class `<Feature>Screen`; file `<feature>.screen.ts`
+- Đặt tên `Page`/`page.ts` ở nền app ⇒ **MINOR** nhưng phải sửa — làm người sau tra nhầm chuẩn
+- Không `expect()` trong Screen Object ⇒ **MAJOR**
+
+### B · Locator *(§7.1)* — thứ tự KHÁC HẲN web
+
+```
+~accessibilityId  →  id (resource-id)  →  xpath (cuối cùng, phải ghi lý do)
+```
+
+- Dùng `getByRole` / `getByLabel` *(của web)* ⇒ **BLOCKER** — không tồn tại ở Appium
+- `xpath` không kèm comment lý do ⇒ **MAJOR**
+- `~accessibilityId` yêu cầu dev gán `content-desc`; locator trỏ id chưa có trong bảng §4.5.6
+  ⇒ **MAJOR** kèm đề nghị bổ sung vào tech-doc
+
+### C · Gesture *(§9)*
+
+- Vuốt/cuộn viết tay bằng toạ độ **rải trong spec** ⇒ **MAJOR** — phải qua `helpers/gesture.helper.ts`
+- Toạ độ hard-code không kèm ghi chú độ phân giải ⇒ **MINOR**: đúng trên một máy, sai trên máy khác
+
+### D · Đối chiếu dữ liệu server *(§6)*
+
+- Spec `*-api-sync.spec.ts` phải dùng `helpers/api.helper.ts` *(Playwright `request`)*
+- Chỉ assert trên màn hình, không đối chiếu server ⇒ **MAJOR**: một màn hiển thị đúng **dữ liệu cũ**
+  vẫn là bug, và UI assertion không bắt được
+
+### E · Wait *(§8)* và độ ổn định
+
+- `browser.pause(...)` cứng ⇒ **MAJOR**; dùng `waitForDisplayed({ timeout })`
+- Luồng có dialog quyền mà spec không xử lý ⇒ **MAJOR** — nó nuốt thao tác đầu tiên
+
+### F · Môi trường *(§12 — Gate 6B)*
+
+- Đọc `API_BASE_URL` từ `.env`, hard-code ⇒ **MAJOR**
+- Spec giả định emulator/APK sẵn sàng: **không** phải lỗi của spec, nhưng biên bản phải nhắc
+  checklist §12 chạy **trước** lượt execute
+
+---
+
+## Phase 3 — Kiểm cơ học
+
+```
+npx tsc --noEmit
+npx wdio ./wdio.config.ts --dry-run
+```
+
+Số test phải bằng số TC `Automatable: Y`. Lệch ⇒ **BLOCKER**.
+
+---
+
+## Output
+
+Theo `_shared/review-rules.md` §3, kèm ≥2–3 điểm tốt *(R05)*.

package/core/skills/qc/qa-reviewer/script/mobile/integration.md

@@ -0,0 +1,41 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/Mobile-Automation-Standards.md §5.3 §6 §8 (Approved)
+---
+
+# Soát script — Mobile Integration *(app ↔ backend)*
+
+**Nạp `../_shared/review-rules.md` rồi `functional.md` cùng nền.** Đây là phần thêm.
+
+## Khi nào trigger
+- Soát script kiểm app **giao tiếp với server thật**: gửi lên, nhận về, đồng bộ sau thao tác.
+
+---
+
+## Thêm gì so với functional
+
+### A · `*-api-sync.spec.ts` là tầng này, không phải functional
+
+- Chuẩn tách hẳn một loại spec cho việc này *(§5.3)*. Trộn kiểm đồng bộ vào spec functional
+  ⇒ **MINOR** — nhưng phải tách, vì hai loại có điều kiện môi trường khác nhau
+
+### B · Hai phía phải cùng được assert
+
+- Thao tác trên app → assert UI **và** gọi `api.helper.ts` kiểm bản ghi trên server
+- Chỉ một phía ⇒ **MAJOR**
+
+### C · Trạng thái mạng
+
+- Không kiểm nhánh mất mạng / timeout khi `.Test.md` có ⇒ **MAJOR**
+- Dùng `browser.setNetworkConditions` hoặc cơ chế tương đương, không mock ở tầng UI
+
+### D · Dọn dữ liệu
+
+- Bản ghi tạo qua app phải được xoá qua API trong `after`, kể cả khi test fail ⇒ thiếu là **MAJOR**
+
+---
+
+## Kiểm cơ học + Output
+
+Như `functional.md` Phase 3 và §Output.

package/core/skills/qc/qa-reviewer/script/mobile/non-functional.md

@@ -0,0 +1,43 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/Mobile-Automation-Standards.md §8 §11 §12 (Approved)
+---
+
+# Soát script — Mobile Non-Functional
+
+**Nạp `../_shared/review-rules.md` rồi `functional.md` cùng nền.**
+
+## Khi nào trigger
+- Soát script kiểm thuộc tính phi chức năng của app: thời gian mở màn, bộ nhớ, quyền, đa thiết bị.
+
+---
+
+## Thêm gì so với functional
+
+### A · Ngưỡng là con số
+
+- Assert hiệu năng không có ngưỡng cụ thể ⇒ **BLOCKER**
+- Đo thời gian mở màn bằng mốc **sự kiện** *(`waitForDisplayed` trả về)*, không bằng `pause` rồi trừ
+
+### B · Quyền và bảo mật
+
+- Kiểm từ chối quyền: phải assert app **xử lý được**, không crash ⇒ assert yếu ⇒ **MAJOR**
+- Credential/token thật trong code ⇒ **BLOCKER**; đọc từ `.env`
+
+### C · Đa thiết bị
+
+- Chạy đa cấu hình bằng **capabilities trong `wdio.config.ts`**, không lặp tay trong spec
+  ⇒ lặp tay ⇒ **MAJOR**
+- Chỉ một emulator rồi gọi là kiểm tương thích ⇒ **MAJOR**
+
+### D · Môi trường *(§12)*
+
+- Kết quả phi chức năng **không có nghĩa** nếu checklist Gate 6B chưa chạy. Biên bản phải nêu
+  đã chạy hay chưa; không nêu ⇒ **MINOR**
+
+---
+
+## Kiểm cơ học + Output
+
+Như `functional.md` Phase 3 và §Output.

package/core/skills/qc/qa-reviewer/script/web/e2e.md

@@ -0,0 +1,46 @@
+---
+version: 1.0
+updated: 2026-09-17
+source: upstream/qc-base-new/Automation-Standards.md §5 §11 (Approved)
+---
+
+# Soát script — Web E2E *(hành trình xuyên nhiều màn)*
+
+**Nạp `../_shared/review-rules.md` trước**, rồi `functional.md` cùng nền.
+
+## Khi nào trigger
+- Soát script đi **trọn một hành trình người dùng** qua nhiều màn, nhiều vai.
+
+## Khi KHÔNG trigger
+- Một màn → `functional.md` · hai thành phần → `integration.md`
+
+---
+
+## Thêm gì so với functional
+
+### A · Hành trình phải là một test
+
+- Chia hành trình thành nhiều `test()` phụ thuộc nhau ⇒ **BLOCKER** — chạy riêng lẻ là fail,
+  và Playwright **không bảo đảm thứ tự** khi chạy song song
+- Một hành trình = một `test()`, các chặng chia bằng `test.step()` để report đọc được
+- Thiếu `test.step()` cho hành trình >5 thao tác ⇒ **MINOR** — fail ở đâu không ai biết
+
+### B · Vai và phiên
+
+- Đổi vai giữa chừng phải qua `storageState` riêng hoặc `browser.newContext()`, **không**
+  logout/login trong cùng context ⇒ làm sai ⇒ **MAJOR** *(rò trạng thái giữa hai vai)*
+
+### C · Độ dài và chi phí
+
+- Hành trình >15 chặng mà không tách được ⇒ **MINOR** kèm đề nghị tách; E2E dài là E2E flaky
+- E2E **không** kiểm lại thứ functional đã kiểm — trùng lặp ⇒ **SUGGESTION**
+
+### D · Flaky
+
+- E2E là nơi flaky sống *(§11)*. Không có tag `@flaky` cho test đã đỏ-xanh thất thường ⇒ **MAJOR**
+
+---
+
+## Kiểm cơ học + Output
+
+Như `functional.md` Phase 3 và §Output.