@fantasticit/sumi 0.0.0-stage → 0.5.0

package/node_modules/@sumi/plugins-core/package.json

@@ -0,0 +1,25 @@
+{
+  "name": "@sumi/plugins-core",
+  "version": "0.5.0",
+  "description": "通用检查插件",
+  "type": "module",
+  "main": "dist/index.js",
+  "types": "dist/index.d.ts",
+  "exports": {
+    ".": {
+      "types": "./dist/index.d.ts",
+      "default": "./dist/index.js"
+    },
+    "./package.json": "./package.json"
+  },
+  "dependencies": {
+    "@sumi/plugin-sdk": "0.5.0",
+    "yaml": "2.9.1",
+    "picomatch": "4.0.7"
+  },
+  "files": [
+    "dist",
+    "instructions",
+    "sumi-plugins.yaml"
+  ]
+}

package/node_modules/@sumi/plugins-core/sumi-plugins.yaml

@@ -0,0 +1,80 @@
+# 通用检查插件。工具（prettier、eslint、tsc、vitest）由项目安装，插件不自带。
+plugins:
+  - id: core/format
+    version: 0.1.0
+    description: Prettier 格式
+    needs: { bin: [prettier] }
+    kind: check
+    command: [node, ./dist/plugins/format.js]
+    timeout: 120
+    fix: [node, ./dist/fix/format.js]
+  - id: core/lint
+    version: 0.1.0
+    description: ESLint（项目配置）
+    needs: { bin: [eslint] }
+    kind: check
+    command: [node, ./dist/plugins/lint.js]
+    timeout: 300
+    fix: [node, ./dist/fix/lint.js]
+    metrics: [{ name: warnings, direction: lower-is-better }]
+  - id: core/typecheck
+    version: 0.1.0
+    description: TypeScript 类型检查
+    needs: { bin: [tsc], files: [tsconfig.json] }
+    kind: check
+    command: [node, ./dist/plugins/typecheck.js]
+    timeout: 300
+  - id: core/test-affected
+    version: 0.1.0
+    description: 运行受影响的测试
+    needs: { bin: [vitest] }
+    kind: check
+    command: [node, ./dist/plugins/test-affected.js]
+    timeout: 900
+  - id: core/coverage
+    version: 0.1.0
+    description: 行覆盖率指标
+    needs: { bin: [vitest] }
+    kind: check
+    command: [node, ./dist/plugins/coverage.js]
+    timeout: 1800
+    minTier: runtime
+    # 子进程覆盖率映射回源码时有约 0.05 个百分点的波动
+    metrics: [{ name: coverage, direction: higher-is-better, tolerance: 0.1 }]
+  - id: core/layer-boundary
+    version: 0.1.0
+    description: 文件归属三层之一，层间依赖方向正确
+    kind: check
+    command: [node, ./dist/plugins/layer-boundary.js]
+    timeout: 60
+  - id: core/control-docs
+    version: 0.1.0
+    description: 入口文档限长；规范性语句必须有执行者
+    kind: check
+    command: [node, ./dist/plugins/control-docs.js]
+    timeout: 60
+    metrics: [{ name: exemptions, direction: lower-is-better }]
+    instructions: { adopt: ./instructions/adopt.md }
+    commands:
+      - { name: adopt, argv: [node, ./dist/commands/adopt.js], description: 纳管已有项目；--status 汇总纳管债务 }
+  - id: core/exec
+    version: 0.1.0
+    description: 运行已有命令，按退出码与输出给出结果
+    kind: check
+    command: [node, ./dist/plugins/exec.js]
+    timeout: 1800
+  - id: core/agent-drift
+    version: 0.1.0
+    description: AI 工具适配与 hook 与生成版本一致
+    kind: check
+    command: [node, ./dist/plugins/agent-drift.js]
+    timeout: 60
+  - id: core/ratchet
+    version: 0.1.0
+    description: 指标不得变差
+    kind: check
+    command: [node, ./dist/plugins/ratchet.js]
+    timeout: 60
+    afterInit: [baseline, record]
+    commands:
+      - { name: baseline, argv: [node, ./dist/commands/baseline.js], description: 记录、收紧或放宽指标基线 }

package/node_modules/@sumi/plugins-governance/README.md

@@ -0,0 +1,159 @@
+# @sumi/plugins-governance
+
+治理插件包，提供本地推送门禁、受保护路径与人工确认、AI 编辑拦截，以及 PR 检查报告。不依赖托管 CI，也不以防御存心对抗的代理为目标。
+
+## 插件
+
+本包只有一个插件。门禁、确认、拦截和报告都以命令的形式挂在它上面。
+
+| id                    | 作用                                                  | kind  | 触发条件/档位             | `with` 配置项 | 指标 | needs | fix |
+| --------------------- | ----------------------------------------------------- | ----- | ------------------------- | ------------- | ---- | ----- | --- |
+| `gov/protected-paths` | 列出本次改动中的 control 变更，提醒推送前需要人工确认 | check | 未声明 triggers / minTier | —             | —    | —     | —   |
+
+这个插件的结论始终为 `pass`。它只为前 5 个受保护文件给出 `info` 级 finding，摘要中给出受保护文件的总数；`checked` 是本次检查过的全部文件。改动范围运行时，它检查内核给出的文件；全量运行且有基准时，它检查 `git diff --name-only <base>` 与未跟踪文件的并集。
+
+## 命令与 hook
+
+| 命令                   | 用法                        | 说明                                                                                  |
+| ---------------------- | --------------------------- | ------------------------------------------------------------------------------------- |
+| `sumi gate`            | `sumi gate <remote> [url]`  | 推送门禁，由 git pre-push hook 调用；从标准输入读取更新列表，`remote` 缺省为 `origin` |
+| `sumi approve`         | `sumi approve <请求 id>`    | 人工确认待确认请求，需要交互式终端                                                    |
+| `sumi unlock`          | `sumi unlock [--minutes N]` | 由人开启 control 编辑窗口，默认 30 分钟，需要交互式终端                               |
+| `sumi guard`           | 从标准输入读取 hook 输入    | AI 工具前置 hook 的拦截命令；拒绝时退出码为 2，原因写到 stderr                        |
+| `sumi pr-report`       | `sumi pr-report <PR 号>`    | 把 PR 范围的检查与评审结论发布为 PR 评论，依赖 `gh`                                   |
+| `sumi pr-report-check` | 无参数                      | 只读核验当前分支开放 PR 的当前 head 是否已有 Sumi 报告，供停止 hook 调用              |
+
+清单中声明的 hook 由 `sumi update` 生成：
+
+- `hooks.git: { pre-push: gate }`：git 推送前运行 `sumi gate`。
+- `hooks.agent: { beforeTool: guard }`：AI 工具调用工具前运行 `sumi guard`。
+- `hooks.agent: { stop: pr-report-check }`：AI 工具准备结束时只读核验当前 PR head 的报告；CLI 转换为各工具原生阻断或续跑响应。
+
+## 与项目配置的交互
+
+| 配置项               | 读取方          | 作用                                                          |
+| -------------------- | --------------- | ------------------------------------------------------------- |
+| `gate.flow`          | gate、pr-report | 门禁运行的流程，默认 `check`                                  |
+| `gate.tier`          | gate、pr-report | 门禁运行的档位；未配置时不传 `--tier`                         |
+| `gate.prepare`       | gate、pr-report | 检出中的环境准备命令（argv 数组）；未配置时按锁文件推断       |
+| `gate.defaultBranch` | gate            | 推送新分支时用来求合并基础的远端默认分支，默认 `main`         |
+| `protected`          | 全部            | 追加的受保护路径 glob                                         |
+| `zones.control`      | 全部            | 登记为 control 区的路径一律受保护（例如纳管时登记的规则目录） |
+
+门禁读的是**被推送提交中的**项目配置（`git show <提交>:<配置文件>`），不是工作区里的配置。
+
+## 受保护路径
+
+默认清单（`DEFAULT_PROTECTED`）如下：
+
+```text
+control/**  precedents/**  sumi.config.yaml  AGENTS.md  CLAUDE.md
+.claude/**  .agents/**  .cursor/**
+eslint.config.*  .prettierrc*  tsconfig*.json  vitest.config.*
+package.json  **/package.json  pnpm-lock.yaml  package-lock.json  yarn.lock
+```
+
+实际生效的范围是默认清单、`zones.control` 与 `protected` 三者之和。比较两个提交时，取两边声明的并集，所以缩小保护范围这一改动本身也会被当作 control 变更。
+
+## 推送门禁
+
+`sumi gate` 对标准输入中的每条更新（`<本地 ref> <本地 oid> <远端 ref> <远端 oid>`）分别验收，相同的更新只验收一次。任一项未通过即拒绝整次推送，退出码为 1。结果写到 stderr：第一行是 `GATE PASS` 或 `GATE FAIL`，需要人工确认时附带 `next:` 下的 `[ask-human] … sumi approve <id>`。
+
+**基准选择**
+
+| 情形         | 检查范围基准                                                                                                                      | 需要确认                                              |
+| ------------ | --------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------- |
+| 删除远端 ref | —（不运行检查）                                                                                                                   | `ref-delete`                                          |
+| 推送新分支   | 有效的本地分支 Git upstream；否则为 `refs/remotes/<remote>/<gate.defaultBranch>` 与候选的合并基础；跟踪分支不存在时无基准（全量） | 没有共同祖先时 `unrelated-import`                     |
+| 快进更新     | upstream 位于“远端旧提交 → 候选”的祖先链上时取 upstream；否则取远端旧提交                                                         | —                                                     |
+| 非快进更新   | 远端旧提交与候选的合并基础；不使用 upstream 缩小范围                                                                              | `force-update`；没有共同祖先时另加 `unrelated-import` |
+
+远端旧提交始终用于判断对象缺失、快进与强制更新；Git upstream 只缩小 control 差异和门禁流程的检查范围。本地缺少远端提交时直接拒绝，并提示先 `git fetch`。本地 ref 不指向提交时也直接拒绝。
+
+### fork 同步主仓
+
+fork 用户可以用 Git 原生 tracking 配置声明主仓基准，不需要修改项目配置：
+
+```bash
+git branch --set-upstream-to=upstream/main main
+```
+
+随后把 `main` 推送到 fork 的 `origin/main` 时：
+
+- 候选提交等于 `upstream/main`：视为纯同步，在验证更新为快进后直接通过，不创建检出、不运行 `gate.prepare` 或门禁流程；
+- 候选在 `upstream/main` 之上还有本地提交：只检查这些本地增量；
+- upstream 不是候选祖先，或 fork 远端旧提交不是 upstream 的祖先：回退到远端旧提交执行完整验收。
+
+门禁输出会显示采用的 upstream 名称与 OID。本地 tracking ref 过期时先运行 `git fetch upstream`，否则门禁可能安全地回退到更大的检查范围。
+
+**control 变更**
+
+- 基准中没有项目配置时，视为首次接入（`enrollment`）：需要确认被推送提交中的全部受保护文件。确认绑定的是这些文件内容的摘要。
+- 否则对基准与被推送提交之间变化的受保护文件发起 `control-change` 确认，绑定该 diff 的摘要，所以确认之后再修改会使确认失效。确认界面会展示语义摘要，帮助识别"弱化"。摘要包括：流程步骤的增删、必需性与 `when` 条件的变化，保护范围的增减，基线数值的变化，依赖版本的变化，以及其余受保护文件的列表。
+
+**验收流程**
+
+0. 先判断人工确认：上述确认中有未完成的，立即拒绝并给出 `sumi approve <id>`，不运行检查；确认后重新推送才进入下面的步骤。
+1. 在 `<git 公共目录>/sumi/gate/<oid 前 12 位>` 用 `git worktree add --detach` 检出被推送提交。被推送提交没有项目配置时，不在检出中运行任何流程。
+2. 运行 `gate.prepare`。未配置时按锁文件推断：pnpm 为 `pnpm install --frozen-lockfile --prefer-offline`，yarn、bun 为 `install --frozen-lockfile`，只有 `package.json` 时为 `npm ci --prefer-offline`，没有 `package.json` 时不准备。准备失败，或准备过程改写了受检文件，都算不通过。
+3. 在检出中运行 `sumi run <gate.flow> --commit <oid> --json [--base <基准>] [--tier <gate.tier>]`。门禁现场重跑，不认已有的运行记录，只复用按内容存放的、已接受的评审结果。
+4. 运行后受检文件被改写，算不通过。通过时删除检出；不通过时保留检出，并提示到作者工作树中修复。
+5. 结论为 `pending`（例如评审未完成）时，门禁不派发评审，而是给出同范围的工作区命令 `sumi run <flow> [--tier …] --base <基准>`（无基准时为 `--all`），在工作区完成后再推送同一提交。
+
+## 人工确认与编辑窗口
+
+确认请求、确认记录与编辑窗口都存放在 `<git 公共目录>/sumi/` 下（`requests/`、`approvals/`、`unlock.json`），所有 worktree 共用，不在工作树中，也不随提交传播。同一对象重复登记得到同一个请求 id。`requireApproval` 由包入口导出，供其他插件发起确认。
+
+`approve` 与 `unlock` 只能由人在交互终端执行：
+
+- 两个命令都打开 `/dev/tty`，展示内容和一个随机短码，要求输入短码。打不开 `/dev/tty` 时报错退出，不写任何记录。
+- `sumi guard` 会拒绝 AI 调用 `sumi approve` / `sumi unlock`，包括经 `script`、`sh -c`、`npx` 包装的形式，以及直接运行 `commands/approve.js`、`commands/unlock.js` 的形式。人需要在自己的终端窗口中执行（AI 工具里的命令执行没有交互式终端）。
+- 输入短码只表达人的交互意图，不是身份认证。
+
+## guard 拦截什么
+
+`sumi guard` 读取 Claude Code 格式的 hook 输入（`tool_name`、`tool_input`）。
+
+**`Bash` 工具**，以下情况拒绝：
+
+- 带 `--no-verify` 的 `git commit` / `git push`，带 `-n` 的 `git commit`（先去掉引号中的内容再匹配，避免提交信息误报）。
+- `HUSKY=0`、改写 `core.hooksPath`、写入 `.git/hooks`、写入 `.git/sumi`。
+- 调用 `sumi approve` / `sumi unlock`。
+- 写入受保护路径且不在编辑窗口内。写入目标是粗略提取的：重定向（含带引号的目标）、`tee`、`cp`、`mv`、`rm`、`sed -i`，以及 PowerShell 与 cmd 的常见写文件、复制、移动、删除命令（`Set-Content`、`Out-File`、`Copy-Item`、`Remove-Item`、`copy`、`del` 等，不区分大小写）的参数。
+- 写入 git 共享目录中的 `sumi/` 或 hook 目录（编辑窗口内也拒绝）。
+- `git push` 时运行 `sumi update --check --json`。命令运行失败，或者 `git hooks/`、`.husky/` 下的 hook 缺失或被修改，都拒绝，并提示运行 `sumi update`。
+
+**编辑类工具**：检查 `tool_input.file_path` 或 `notebook_path`。Codex 的 `apply_patch` 则从补丁头（`*** Add/Update/Delete File:`、`*** Move to:`）中取路径。目标位于 git 共享目录的 `sumi/` 或 hook 目录时一律拒绝；是受保护路径且不在编辑窗口内时拒绝。
+
+guard 只按工作区当前的项目配置判断受保护路径。相对路径按 hook 输入中的 `cwd` 解析，统一为以 `/` 分隔的仓库相对路径；Windows 与 macOS 上不区分大小写，Windows 上也识别 Git Bash 风格的 `/c/...` 路径。guard 自身出错时以退出码 2 拒绝。
+
+## pr-report
+
+`sumi pr-report <PR 号>` 的执行步骤：
+
+1. 用 `gh pr view` 取 PR 的头提交、GitHub 当前目标分支 head、目标分支名称和 URL。本地 `HEAD` 必须等于 PR 头提交。
+2. 以头提交与 GitHub 返回的精确目标分支 head 的合并基础为基准，按与门禁相同的方式（独立检出、`gate.*` 配置）现场运行门禁流程。这个范围不依赖本地可能过期或属于 fork 的 `origin/<目标分支>`；若本地缺少精确目标提交，只从 PR URL 对应的基仓库补取目标分支，不改写本地分支和 remote tracking ref。
+3. 结论为 `pending` 时不发布，给出工作区命令。没有得到结论时也不发布。
+4. 生成评论：结论、范围、流程与档位、各步骤状态表（不含不适用的步骤）、各步骤的报告段落、error 级问题（最多 30 条）。评论以稳定标记 `<!-- sumi-pr-report -->` 开头，下一行用 `<!-- sumi-pr-report-head:<完整 OID> -->` 绑定当前 PR 头提交。同一 PR 上已有稳定标记的评论时，通过 `gh api` 更新它，否则用 `gh pr comment` 新建。
+
+找不到 `gh` 或 `gh` 调用失败时退出码为 3，参数不合法时也为 3。
+
+### PR 报告强制收尾
+
+用户要求创建 PR 或向已有 PR 分支推送时，当前 head 的报告是该工作流的必需产物；代理在 PR 可访问后直接运行 `sumi pr-report <PR 号>`，无需再次请求评论发布授权。PR 头提交变化后旧报告立即过期，必须重新发布。
+
+Claude Code、Codex 与 Cursor 由 `sumi update` 接入停止阶段 hook。hook 只读查询当前分支的开放 PR、完整 head OID 与报告评论：没有开放 PR 时通过；当前报告存在时通过；缺失、过期、本地尚未推送或 GitHub 状态无法可靠查询时阻断并给出 `sumi pr-report <PR 号>`。hook 本身不运行门禁，也不写 GitHub。
+
+Cursor IDE 与 Cloud Agent 支持 `stop` 的 `followup_message`；生成配置把 `loop_limit` 设为 `null`，持续复查到通过。未触发项目级 stop hook 的旧版 Cursor 或部分 Cursor CLI 版本不具备运行时强制保证，升级后应运行 `sumi update` 和 `sumi doctor` 检查静态接线。
+
+这套本地流程不会替仓库配置 GitHub `required check`，因此不能单独阻止用户在网页上合并缺少当前报告的 PR。需要平台级强制时，应另行配置分支保护或 ruleset。
+
+## 指令主题
+
+| 主题   | 来源                   | 内容                                                    |
+| ------ | ---------------------- | ------------------------------------------------------- |
+| `push` | `instructions/push.md` | 推送前完成检查与评审，并确保当前 PR head 的报告发布成功 |
+
+## 导出
+
+包入口导出 `state`、`protected`、`semantic`、`guard` 四个模块的内容，例如 `DEFAULT_PROTECTED`、`configAt`、`protectedGlobs`、`protectedMatcher`、`requireApproval`、`stateDir`、`confirmOnTty`、`semanticChanges`、`decide`。

package/node_modules/@sumi/plugins-governance/dist/checkout.d.ts

@@ -0,0 +1,45 @@
+/** 运行记录中报告需要的部分。 */
+export interface CheckoutRecord {
+    steps: {
+        id: string;
+        required: boolean;
+        state: string;
+        summary: string;
+        report?: string;
+        findings: {
+            severity: string;
+            message: string;
+            file?: string;
+            line?: number;
+        }[];
+    }[];
+}
+export interface CheckoutRun {
+    /** 环境准备或运行本身出了问题时的说明（此时没有结论）。 */
+    problem?: string;
+    conclusion?: string;
+    brief: string;
+    record?: CheckoutRecord;
+    /** 门禁流程与档位（来自被检提交的项目配置）。 */
+    flow: string;
+    tier?: string;
+    /** 检出目录；通过且未被改写时已删除。 */
+    wt: string;
+}
+/**
+ * 在 Git 内部目录之外创建一次性门禁 worktree。
+ * 唯一的临时父目录避免同一提交的并发检查互相复用或删除现场。
+ */
+export declare function createGateWorktree(root: string, oid: string, temporaryRoot?: string): string;
+/** 成功检查后移除 worktree 及其唯一临时父目录；移除失败时保留现场。 */
+export declare function removeGateWorktree(root: string, wt: string): boolean;
+/** 未配置 gate.prepare 时按检出中的锁文件推断依赖安装命令；没有 package.json 时不准备。 */
+export declare function defaultPrepare(wt: string): string[];
+/**
+ * 在提交 oid 的独立检出中执行门禁的环境准备，并按被检提交的门禁配置现场运行门禁流程。
+ * 推送门禁与 PR 报告共用：二者都不以已有运行记录放行，只复用按内容存放的已接受评审。
+ * log 接收进度行（阶段开始与完成、耗时）；流程中每个步骤的进度由 sumi run 直接写到继承的 stderr。
+ */
+export declare function runGateFlow(root: string, oid: string, base: string | null, log?: (line: string) => void): CheckoutRun;
+/** 与门禁同一范围的工作区命令：同一流程与档位、同一基准（无基准时为全量）。 */
+export declare function workspaceCommand(run: CheckoutRun, base: string | null): string;

package/node_modules/@sumi/plugins-governance/dist/checkout.js

@@ -0,0 +1,138 @@
+import { execFileSync } from 'node:child_process';
+import { existsSync, mkdtempSync, rmSync } from 'node:fs';
+import { tmpdir } from 'node:os';
+import { dirname, join } from 'node:path';
+import { PROJECT_SUMI, spawnCommandSync } from '@sumi/plugin-sdk';
+import { configAt } from './protected.js';
+const git = (root, args, cwd = root) => execFileSync('git', args, { cwd, encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'], windowsHide: true }).trim();
+const tryGit = (root, args) => {
+    try {
+        return git(root, args);
+    }
+    catch {
+        return null;
+    }
+};
+const trackedClean = (root, wt) => git(root, ['status', '--porcelain', '--untracked-files=no'], wt).split('\n').filter(Boolean);
+/**
+ * 在 Git 内部目录之外创建一次性门禁 worktree。
+ * 唯一的临时父目录避免同一提交的并发检查互相复用或删除现场。
+ */
+export function createGateWorktree(root, oid, temporaryRoot = tmpdir()) {
+    tryGit(root, ['worktree', 'prune']);
+    const parent = mkdtempSync(join(temporaryRoot, 'sumi-gate-'));
+    const wt = join(parent, oid.slice(0, 12));
+    try {
+        git(root, ['worktree', 'add', '-q', '--detach', wt, oid]);
+        return wt;
+    }
+    catch (error) {
+        rmSync(parent, { recursive: true, force: true });
+        throw error;
+    }
+}
+/** 成功检查后移除 worktree 及其唯一临时父目录；移除失败时保留现场。 */
+export function removeGateWorktree(root, wt) {
+    if (tryGit(root, ['worktree', 'remove', '--force', wt]) === null)
+        return false;
+    rmSync(dirname(wt), { recursive: true, force: true });
+    return true;
+}
+/** 解析 sumi run --json 的输出；没有输出或不是 JSON 对象时返回 null。 */
+function parseResult(stdout) {
+    try {
+        const value = JSON.parse(stdout ?? '');
+        return value && typeof value === 'object' ? value : null;
+    }
+    catch {
+        return null;
+    }
+}
+/** 未配置 gate.prepare 时按检出中的锁文件推断依赖安装命令；没有 package.json 时不准备。 */
+export function defaultPrepare(wt) {
+    if (existsSync(join(wt, 'pnpm-lock.yaml')))
+        return ['pnpm', 'install', '--frozen-lockfile', '--prefer-offline'];
+    if (existsSync(join(wt, 'yarn.lock')))
+        return ['yarn', 'install', '--frozen-lockfile'];
+    if (existsSync(join(wt, 'bun.lockb')))
+        return ['bun', 'install', '--frozen-lockfile'];
+    if (existsSync(join(wt, 'package.json')))
+        return ['npm', 'ci', '--prefer-offline'];
+    return [];
+}
+/**
+ * 在提交 oid 的独立检出中执行门禁的环境准备，并按被检提交的门禁配置现场运行门禁流程。
+ * 推送门禁与 PR 报告共用：二者都不以已有运行记录放行，只复用按内容存放的已接受评审。
+ * log 接收进度行（阶段开始与完成、耗时）；流程中每个步骤的进度由 sumi run 直接写到继承的 stderr。
+ */
+export function runGateFlow(root, oid, base, log = () => { }) {
+    const config = configAt(root, oid);
+    // 被检提交尚未接入（没有项目配置）：没有可运行的流程。不能在检出中运行 sumi，
+    // 否则 CLI 会向上找到外层工作区的配置，用另一份流程检查这个提交。
+    if (!config)
+        return { flow: 'check', wt: '', conclusion: 'pass', brief: '被检提交没有项目配置（尚未接入 sumi），不运行检查流程' };
+    const gate = config.gate ?? {};
+    const flow = gate.flow ?? 'check';
+    const wt = createGateWorktree(root, oid);
+    const out = { flow, ...(gate.tier ? { tier: gate.tier } : {}), wt, brief: '' };
+    const elapsed = (start) => `${((Date.now() - start) / 1000).toFixed(1)}s`;
+    const prepare = gate.prepare ?? defaultPrepare(wt);
+    if (prepare.length) {
+        log(`  准备环境：${prepare.join(' ')} …`);
+        const start = Date.now();
+        const [cmd, ...args] = prepare;
+        const r = spawnCommandSync(cmd, args, { cwd: wt, encoding: 'utf8', maxBuffer: 64 * 1024 * 1024, windowsHide: true });
+        if (r.status !== 0)
+            return { ...out, problem: `环境准备失败：${prepare.join(' ')}，检出保留在 ${wt}` };
+        log(`  环境就绪（${elapsed(start)}）`);
+    }
+    const dirty = trackedClean(root, wt);
+    if (dirty.length)
+        return { ...out, problem: `环境准备改写了受检文件：${dirty.join('、')}` };
+    const launcher = join(wt, 'control/bin/sumi.cjs');
+    if (!existsSync(launcher))
+        return { ...out, problem: `受检提交缺少项目 Sumi launcher：control/bin/sumi.cjs，检出保留在 ${wt}` };
+    const cmd = process.execPath;
+    const args = [launcher, 'run', flow, '--commit', oid, '--json', ...(base ? ['--base', base] : [])];
+    if (gate.tier)
+        args.push('--tier', gate.tier);
+    log(`  运行 ${flow}${gate.tier ? `（${gate.tier} 档）` : ''} …`);
+    const start = Date.now();
+    // stderr 透传：sumi run 在其中逐步输出步骤进度；stdout 是结果 JSON。
+    const r = spawnCommandSync(cmd, args, {
+        cwd: wt,
+        encoding: 'utf8',
+        maxBuffer: 64 * 1024 * 1024,
+        stdio: ['ignore', 'pipe', 'inherit'],
+        env: { ...process.env, SUMI_PROGRESS: '1' },
+        windowsHide: true,
+    });
+    log(`  ${flow} 完成（${elapsed(start)}）`);
+    let parsed = parseResult(r.stdout);
+    if (!parsed) {
+        // stderr 已透传到终端，没有结果 JSON（未能启动或意外退出）时诊断信息只在那里
+        const how = r.error ? `未能启动：${r.error.message}` : r.signal ? `被信号 ${r.signal} 终止` : `退出码 ${r.status}`;
+        parsed = { conclusion: 'blocked', brief: `sumi run ${how}，没有输出结果；诊断信息见上方 stderr 输出` };
+    }
+    else if (parsed.error && !parsed.conclusion) {
+        // 内核错误（配置、流程等）以 JSON 的 error 字段给出
+        parsed = { conclusion: 'blocked', brief: `内核错误：${parsed.error}` };
+    }
+    const after = trackedClean(root, wt);
+    const run = {
+        ...out,
+        ...(parsed.conclusion ? { conclusion: parsed.conclusion } : {}),
+        brief: parsed.brief ?? '',
+        ...(parsed.record ? { record: parsed.record } : {}),
+    };
+    if (after.length)
+        return { ...run, problem: `门禁过程中受检文件被改写：${after.join('、')}` };
+    if (parsed.conclusion === 'pass')
+        removeGateWorktree(root, wt);
+    return run;
+}
+/** 与门禁同一范围的工作区命令：同一流程与档位、同一基准（无基准时为全量）。 */
+export function workspaceCommand(run, base) {
+    return `${PROJECT_SUMI} run ${run.flow}${run.tier ? ` --tier ${run.tier}` : ''}${base ? ` --base ${base}` : ' --all'}`;
+}
+//# sourceMappingURL=checkout.js.map

package/node_modules/@sumi/plugins-governance/dist/checkout.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"checkout.js","sourceRoot":"","sources":["../src/checkout.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,MAAM,oBAAoB,CAAC;AAClD,OAAO,EAAE,UAAU,EAAE,WAAW,EAAE,MAAM,EAAE,MAAM,SAAS,CAAC;AAC1D,OAAO,EAAE,MAAM,EAAE,MAAM,SAAS,CAAC;AACjC,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,MAAM,WAAW,CAAC;AAC1C,OAAO,EAAE,YAAY,EAAE,gBAAgB,EAAE,MAAM,kBAAkB,CAAC;AAClE,OAAO,EAAE,QAAQ,EAAE,MAAM,gBAAgB,CAAC;AA2B1C,MAAM,GAAG,GAAG,CAAC,IAAY,EAAE,IAAc,EAAE,GAAG,GAAG,IAAI,EAAE,EAAE,CACvD,YAAY,CAAC,KAAK,EAAE,IAAI,EAAE,EAAE,GAAG,EAAE,QAAQ,EAAE,MAAM,EAAE,KAAK,EAAE,CAAC,QAAQ,EAAE,MAAM,EAAE,MAAM,CAAC,EAAE,WAAW,EAAE,IAAI,EAAE,CAAC,CAAC,IAAI,EAAE,CAAC;AACpH,MAAM,MAAM,GAAG,CAAC,IAAY,EAAE,IAAc,EAAE,EAAE;IAC9C,IAAI,CAAC;QACH,OAAO,GAAG,CAAC,IAAI,EAAE,IAAI,CAAC,CAAC;IACzB,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,IAAI,CAAC;IACd,CAAC;AACH,CAAC,CAAC;AACF,MAAM,YAAY,GAAG,CAAC,IAAY,EAAE,EAAU,EAAE,EAAE,CAChD,GAAG,CAAC,IAAI,EAAE,CAAC,QAAQ,EAAE,aAAa,EAAE,sBAAsB,CAAC,EAAE,EAAE,CAAC,CAAC,KAAK,CAAC,IAAI,CAAC,CAAC,MAAM,CAAC,OAAO,CAAC,CAAC;AAE/F;;;GAGG;AACH,MAAM,UAAU,kBAAkB,CAAC,IAAY,EAAE,GAAW,EAAE,aAAa,GAAG,MAAM,EAAE;IACpF,MAAM,CAAC,IAAI,EAAE,CAAC,UAAU,EAAE,OAAO,CAAC,CAAC,CAAC;IACpC,MAAM,MAAM,GAAG,WAAW,CAAC,IAAI,CAAC,aAAa,EAAE,YAAY,CAAC,CAAC,CAAC;IAC9D,MAAM,EAAE,GAAG,IAAI,CAAC,MAAM,EAAE,GAAG,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC;IAC1C,IAAI,CAAC;QACH,GAAG,CAAC,IAAI,EAAE,CAAC,UAAU,EAAE,KAAK,EAAE,IAAI,EAAE,UAAU,EAAE,EAAE,EAAE,GAAG,CAAC,CAAC,CAAC;QAC1D,OAAO,EAAE,CAAC;IACZ,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QACf,MAAM,CAAC,MAAM,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;QACjD,MAAM,KAAK,CAAC;IACd,CAAC;AACH,CAAC;AAED,4CAA4C;AAC5C,MAAM,UAAU,kBAAkB,CAAC,IAAY,EAAE,EAAU;IACzD,IAAI,MAAM,CAAC,IAAI,EAAE,CAAC,UAAU,EAAE,QAAQ,EAAE,SAAS,EAAE,EAAE,CAAC,CAAC,KAAK,IAAI;QAAE,OAAO,KAAK,CAAC;IAC/E,MAAM,CAAC,OAAO,CAAC,EAAE,CAAC,EAAE,EAAE,SAAS,EAAE,IAAI,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC,CAAC;IACtD,OAAO,IAAI,CAAC;AACd,CAAC;AAID,sDAAsD;AACtD,SAAS,WAAW,CAAC,MAAqB;IACxC,IAAI,CAAC;QACH,MAAM,KAAK,GAAY,IAAI,CAAC,KAAK,CAAC,MAAM,IAAI,EAAE,CAAC,CAAC;QAChD,OAAO,KAAK,IAAI,OAAO,KAAK,KAAK,QAAQ,CAAC,CAAC,CAAE,KAAoB,CAAC,CAAC,CAAC,IAAI,CAAC;IAC3E,CAAC;IAAC,MAAM,CAAC;QACP,OAAO,IAAI,CAAC;IACd,CAAC;AACH,CAAC;AAED,+DAA+D;AAC/D,MAAM,UAAU,cAAc,CAAC,EAAU;IACvC,IAAI,UAAU,CAAC,IAAI,CAAC,EAAE,EAAE,gBAAgB,CAAC,CAAC;QAAE,OAAO,CAAC,MAAM,EAAE,SAAS,EAAE,mBAAmB,EAAE,kBAAkB,CAAC,CAAC;IAChH,IAAI,UAAU,CAAC,IAAI,CAAC,EAAE,EAAE,WAAW,CAAC,CAAC;QAAE,OAAO,CAAC,MAAM,EAAE,SAAS,EAAE,mBAAmB,CAAC,CAAC;IACvF,IAAI,UAAU,CAAC,IAAI,CAAC,EAAE,EAAE,WAAW,CAAC,CAAC;QAAE,OAAO,CAAC,KAAK,EAAE,SAAS,EAAE,mBAAmB,CAAC,CAAC;IACtF,IAAI,UAAU,CAAC,IAAI,CAAC,EAAE,EAAE,cAAc,CAAC,CAAC;QAAE,OAAO,CAAC,KAAK,EAAE,IAAI,EAAE,kBAAkB,CAAC,CAAC;IACnF,OAAO,EAAE,CAAC;AACZ,CAAC;AAED;;;;GAIG;AACH,MAAM,UAAU,WAAW,CAAC,IAAY,EAAE,GAAW,EAAE,IAAmB,EAAE,MAA8B,GAAG,EAAE,GAAE,CAAC;IAChH,MAAM,MAAM,GAAG,QAAQ,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC;IACnC,2CAA2C;IAC3C,qCAAqC;IACrC,IAAI,CAAC,MAAM;QAAE,OAAO,EAAE,IAAI,EAAE,OAAO,EAAE,EAAE,EAAE,EAAE,EAAE,UAAU,EAAE,MAAM,EAAE,KAAK,EAAE,+BAA+B,EAAE,CAAC;IAC1G,MAAM,IAAI,GAAG,MAAM,CAAC,IAAI,IAAI,EAAE,CAAC;IAC/B,MAAM,IAAI,GAAG,IAAI,CAAC,IAAI,IAAI,OAAO,CAAC;IAClC,MAAM,EAAE,GAAG,kBAAkB,CAAC,IAAI,EAAE,GAAG,CAAC,CAAC;IACzC,MAAM,GAAG,GAAG,EAAE,IAAI,EAAE,GAAG,CAAC,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC,EAAE,EAAE,EAAE,KAAK,EAAE,EAAE,EAAE,CAAC;IAE/E,MAAM,OAAO,GAAG,CAAC,KAAa,EAAE,EAAE,CAAC,GAAG,CAAC,CAAC,IAAI,CAAC,GAAG,EAAE,GAAG,KAAK,CAAC,GAAG,IAAI,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,GAAG,CAAC;IAClF,MAAM,OAAO,GAAG,IAAI,CAAC,OAAO,IAAI,cAAc,CAAC,EAAE,CAAC,CAAC;IACnD,IAAI,OAAO,CAAC,MAAM,EAAE,CAAC;QACnB,GAAG,CAAC,UAAU,OAAO,CAAC,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;QACrC,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,EAAE,CAAC;QACzB,MAAM,CAAC,GAAG,EAAE,GAAG,IAAI,CAAC,GAAG,OAAO,CAAC;QAC/B,MAAM,CAAC,GAAG,gBAAgB,CAAC,GAAI,EAAE,IAAI,EAAE,EAAE,GAAG,EAAE,EAAE,EAAE,QAAQ,EAAE,MAAM,EAAE,SAAS,EAAE,EAAE,GAAG,IAAI,GAAG,IAAI,EAAE,WAAW,EAAE,IAAI,EAAE,CAAC,CAAC;QACtH,IAAI,CAAC,CAAC,MAAM,KAAK,CAAC;YAAE,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,UAAU,OAAO,CAAC,IAAI,CAAC,GAAG,CAAC,UAAU,EAAE,EAAE,EAAE,CAAC;QAC1F,GAAG,CAAC,UAAU,OAAO,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IACnC,CAAC;IACD,MAAM,KAAK,GAAG,YAAY,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC;IACrC,IAAI,KAAK,CAAC,MAAM;QAAE,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,eAAe,KAAK,CAAC,IAAI,CAAC,GAAG,CAAC,EAAE,EAAE,CAAC;IAE/E,MAAM,QAAQ,GAAG,IAAI,CAAC,EAAE,EAAE,sBAAsB,CAAC,CAAC;IAClD,IAAI,CAAC,UAAU,CAAC,QAAQ,CAAC;QAAE,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,qDAAqD,EAAE,EAAE,EAAE,CAAC;IACjH,MAAM,GAAG,GAAG,OAAO,CAAC,QAAQ,CAAC;IAC7B,MAAM,IAAI,GAAG,CAAC,QAAQ,EAAE,KAAK,EAAE,IAAI,EAAE,UAAU,EAAE,GAAG,EAAE,QAAQ,EAAE,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC,QAAQ,EAAE,IAAI,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC,CAAC;IACnG,IAAI,IAAI,CAAC,IAAI;QAAE,IAAI,CAAC,IAAI,CAAC,QAAQ,EAAE,IAAI,CAAC,IAAI,CAAC,CAAC;IAC9C,GAAG,CAAC,QAAQ,IAAI,GAAG,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC,IAAI,IAAI,CAAC,IAAI,KAAK,CAAC,CAAC,CAAC,EAAE,IAAI,CAAC,CAAC;IAC5D,MAAM,KAAK,GAAG,IAAI,CAAC,GAAG,EAAE,CAAC;IACzB,kDAAkD;IAClD,MAAM,CAAC,GAAG,gBAAgB,CAAC,GAAI,EAAE,IAAI,EAAE;QACrC,GAAG,EAAE,EAAE;QACP,QAAQ,EAAE,MAAM;QAChB,SAAS,EAAE,EAAE,GAAG,IAAI,GAAG,IAAI;QAC3B,KAAK,EAAE,CAAC,QAAQ,EAAE,MAAM,EAAE,SAAS,CAAC;QACpC,GAAG,EAAE,EAAE,GAAG,OAAO,CAAC,GAAG,EAAE,aAAa,EAAE,GAAG,EAAE;QAC3C,WAAW,EAAE,IAAI;KAClB,CAAC,CAAC;IACH,GAAG,CAAC,KAAK,IAAI,OAAO,OAAO,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC;IACvC,IAAI,MAAM,GAAG,WAAW,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC;IACnC,IAAI,CAAC,MAAM,EAAE,CAAC;QACZ,8CAA8C;QAC9C,MAAM,GAAG,GAAG,CAAC,CAAC,KAAK,CAAC,CAAC,CAAC,QAAQ,CAAC,CAAC,KAAK,CAAC,OAAO,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,MAAM,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,MAAM,KAAK,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,MAAM,EAAE,CAAC;QACtG,MAAM,GAAG,EAAE,UAAU,EAAE,SAAS,EAAE,KAAK,EAAE,YAAY,GAAG,2BAA2B,EAAE,CAAC;IACxF,CAAC;SAAM,IAAI,MAAM,CAAC,KAAK,IAAI,CAAC,MAAM,CAAC,UAAU,EAAE,CAAC;QAC9C,kCAAkC;QAClC,MAAM,GAAG,EAAE,UAAU,EAAE,SAAS,EAAE,KAAK,EAAE,QAAQ,MAAM,CAAC,KAAK,EAAE,EAAE,CAAC;IACpE,CAAC;IACD,MAAM,KAAK,GAAG,YAAY,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC;IACrC,MAAM,GAAG,GAAgB;QACvB,GAAG,GAAG;QACN,GAAG,CAAC,MAAM,CAAC,UAAU,CAAC,CAAC,CAAC,EAAE,UAAU,EAAE,MAAM,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;QAC/D,KAAK,EAAE,MAAM,CAAC,KAAK,IAAI,EAAE;QACzB,GAAG,CAAC,MAAM,CAAC,MAAM,CAAC,CAAC,CAAC,EAAE,MAAM,EAAE,MAAM,CAAC,MAAM,EAAE,CAAC,CAAC,CAAC,EAAE,CAAC;KACpD,CAAC;IACF,IAAI,KAAK,CAAC,MAAM;QAAE,OAAO,EAAE,GAAG,GAAG,EAAE,OAAO,EAAE,gBAAgB,KAAK,CAAC,IAAI,CAAC,GAAG,CAAC,EAAE,EAAE,CAAC;IAChF,IAAI,MAAM,CAAC,UAAU,KAAK,MAAM;QAAE,kBAAkB,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC;IAC/D,OAAO,GAAG,CAAC;AACb,CAAC;AAED,2CAA2C;AAC3C,MAAM,UAAU,gBAAgB,CAAC,GAAgB,EAAE,IAAmB;IACpE,OAAO,GAAG,YAAY,QAAQ,GAAG,CAAC,IAAI,GAAG,GAAG,CAAC,IAAI,CAAC,CAAC,CAAC,WAAW,GAAG,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,EAAE,GAAG,IAAI,CAAC,CAAC,CAAC,WAAW,IAAI,EAAE,CAAC,CAAC,CAAC,QAAQ,EAAE,CAAC;AACzH,CAAC"}

package/node_modules/@sumi/plugins-governance/dist/commands/approve.d.ts

@@ -0,0 +1 @@
+export {};

package/node_modules/@sumi/plugins-governance/dist/commands/approve.js

@@ -0,0 +1,27 @@
+import { confirmOnTty, readRequest, recordApproval } from '../state.js';
+/** sumi approve <请求 id>：展示待确认请求的内容与语义变化，在控制终端上输入短码后记录确认。 */
+const root = process.env.SUMI_ROOT ?? process.cwd();
+const id = process.argv[2];
+if (!id) {
+    process.stderr.write('用法：sumi approve <请求 id>\n');
+    process.exit(1);
+}
+const request = readRequest(root, id);
+if (!request) {
+    process.stderr.write(`没有待确认的请求 ${id}\n`);
+    process.exit(1);
+}
+try {
+    const ok = await confirmOnTty([`待确认（${request.kind}）：`, ...request.summary.map((s) => `  - ${s}`)]);
+    if (!ok) {
+        process.stderr.write('短码不匹配，未记录确认\n');
+        process.exit(1);
+    }
+    recordApproval(root, request);
+    process.stdout.write(`已确认 ${id}\n`);
+}
+catch (error) {
+    process.stderr.write(`${error.message}\n`);
+    process.exit(1);
+}
+//# sourceMappingURL=approve.js.map

package/node_modules/@sumi/plugins-governance/dist/commands/approve.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"approve.js","sourceRoot":"","sources":["../../src/commands/approve.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,YAAY,EAAE,WAAW,EAAE,cAAc,EAAE,MAAM,aAAa,CAAC;AAExE,4DAA4D;AAC5D,MAAM,IAAI,GAAG,OAAO,CAAC,GAAG,CAAC,SAAS,IAAI,OAAO,CAAC,GAAG,EAAE,CAAC;AACpD,MAAM,EAAE,GAAG,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAC3B,IAAI,CAAC,EAAE,EAAE,CAAC;IACR,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,2BAA2B,CAAC,CAAC;IAClD,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC;AACD,MAAM,OAAO,GAAG,WAAW,CAAC,IAAI,EAAE,EAAE,CAAC,CAAC;AACtC,IAAI,CAAC,OAAO,EAAE,CAAC;IACb,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,YAAY,EAAE,IAAI,CAAC,CAAC;IACzC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC;AACD,IAAI,CAAC;IACH,MAAM,EAAE,GAAG,MAAM,YAAY,CAAC,CAAC,OAAO,OAAO,CAAC,IAAI,IAAI,EAAE,GAAG,OAAO,CAAC,OAAO,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,OAAO,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC;IACpG,IAAI,CAAC,EAAE,EAAE,CAAC;QACR,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,eAAe,CAAC,CAAC;QACtC,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;IAClB,CAAC;IACD,cAAc,CAAC,IAAI,EAAE,OAAO,CAAC,CAAC;IAC9B,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,OAAO,EAAE,IAAI,CAAC,CAAC;AACtC,CAAC;AAAC,OAAO,KAAK,EAAE,CAAC;IACf,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,GAAI,KAAe,CAAC,OAAO,IAAI,CAAC,CAAC;IACtD,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC"}

package/node_modules/@sumi/plugins-governance/dist/commands/gate.d.ts

@@ -0,0 +1 @@
+export {};