@flyin-ai/alloy 0.2.0-beta.0 → 0.2.0-beta.2

package/commands/alloy/archive.md

@@ -3,45 +3,53 @@ name: "Alloy: Archive"
 description: Alloy 归档阶段 - apply 完成后进入
 category: Workflow
 tags: [alloy, workflow]
+spec: 01-product-spec/04-archive-spec.md
+behaviors:
+  preconditions: 5
+  hard_stops:    7
+  user_gates:    3
+  warns:         1
+  artifacts: [delta-spec, archive]
+  transitions_to: archived
+  external_calls: [opsx:archive]
 ---
 
 # alloy-archive
 
-你是 Alloy 的归档阶段编排器。你的职责是：验证 change 已完成执行，执行 Delta Spec 合并和归档，将 phase 推进到 `archived`。
+你是 Alloy 的归档阶段编排器。验证 change 已完成执行，执行 Delta Spec 合并和归档，推进 phase 到 `archived`。
 
-**核心原则：先锁定文档证据链，再合入代码。** archive 只负责 spec 归档，代码合入由后续的 `/alloy:finish` 完成。
+```
+[HARD_STOP] NO ARCHIVE WITH FAIL
+verify.md FAIL / merge 冲突 / memory 批量 / git status dirty 任一存在 = 拒绝归档
+违反字面 = 违反精神：哪怕看似"小问题"、"先归档再补"、或用户主动说"一次过吧"要求批量打包 memory，也算违反 Iron Law。逐条 = 逐条——用户要求合并不算授权。
+```
 
-**调用外部命令或技能前，先输出标题和状态描述，再执行操作。不要只出标题然后沉默。**
+**核心原则：先锁定文档证据链，再合入代码。** archive 只负责 spec 归档，代码合入由 `/alloy:finish` 完成。
 
-**捕获阶段启动时间**（命令调用后第一时间，前置检查之前，幂等——重入时返回已有值）：
+**调用外部命令或技能前，先输出标题和状态描述，再执行操作。**
+
+**捕获阶段启动时间**（幂等，重入时返回已有值）：
 ```bash
 PHASE_START=$(alloy _state timestamp ensure openspec/changes/<name> archive)
 ```
 
 ---
 
-**什么算"archive 操作不当"（反例）：**
-- verify.md 的 Overall Decision 是 FAIL 但仍然继续归档——阻塞问题被无视
-- 跳过 archive 直接手动 merge——Delta Spec 没有被同步，主 spec 落后于代码
-- openspec archive 返回错误但忽视警告继续——"反正代码对的，spec 后面再说"
-
-### Red Flags——STOP，不要继续
+### Red Flags（第三层防御——任一借口出现即 STOP）
 
-以下任何一个念头出现，都意味着闸门正在被绕过：
+主文件保留 5 条核心借口，完整 11 条见 `commands/alloy/references/archive-rationalizations.md`。
 
 | 借口 | 现实 |
 |------|------|
-| "verify.md FAIL 是小问题，先归档再说" | FAIL = 阻塞问题。归档不可逆——带着 FAIL 归档意味着 spec 与代码的偏差被永久封存。 |
-| "跳过 archive 直接 merge，spec 后面补" | Delta Spec 不同步 = 主 spec 落后于代码。"后面补"的 spec 永远不会补。 |
-| "openspec archive 报错了，但代码是对的，忽略吧" | 归档报错意味着 Delta Spec 合并失败。忽略 = 主 spec 停留在旧版本，下次 change 基于过期 spec 做设计。 |
-| "worktree 合并冲突了，跳过清理吧" | 冲突不解决 = 代码丢失。worktree 中的变更没有合入 feature 分支就删除，等于白做。 |
-| "反正是个小 change，不用归档了吧" | 小 change 也需要 spec 同步。不归档 = 主 spec 和代码永久分叉。大小 change 的归档流程完全一样。 |
+| "verify.md FAIL 是小问题，先归档再说" | FAIL = 阻塞问题。归档不可逆——带着 FAIL 归档意味着 spec 与代码偏差被永久封存。 |
+| "spec 合并看起来没问题，直接继续" | 没看过的 spec 变更 = 代码与规格可能已分叉。审查只需 1 分钟，修复分叉需要 1 小时。 |
+| "merge 冲突了，git merge --abort 一下让流程继续" | 冲突 = 代码状态未达预期，自动 abort = 隐藏真问题。退出 skill 让用户处理是唯一合法路径（§3.5.1）。 |
+| "memory 候选都对，全部写入吧" | 单次确认承担不了全局污染风险。每条独立 USER_GATE，无例外（§5.2.2）。即使用户说"一次过吧"，逐条规则不可合并——用户要求打包不算授权。 |
+| "另一个 change 也在 archive，等一下吧" | 多 change 并行 archive = Delta Spec 合并顺序敏感。先归档晚开始的 = 主 spec 状态错乱。必须串行。 |
 
 ---
 
-## 前置检查（HARD STOP）
-
-### [Step 1/3] 前置检查
+## 前置检查
 
 ```
 ┌──────────────────────────────────────┐
@@ -50,177 +58,193 @@ PHASE_START=$(alloy _state timestamp ensure openspec/changes/<name> archive)
 └──────────────────────────────────────┘
 ```
 
-**0. Skill 预检：** 确认以下依赖可用：
-   cmd: opsx/archive
+### [Step 1/3] 前置检查
 
-   读取 `commands/alloy/references/skill-precheck.md` 了解检测方法。任一不可用 → 引导 `alloy init` → STOP。
+**0. Skill 预检：** cmd: opsx/archive
 
-**1. phase 检查：**
+读取 `commands/alloy/references/skill-precheck.md` 检测。不可用 → 引导 `alloy init` → STOP。
+
+**1. Worktree 清洁度（PRECONDITION_FAIL）：** archive 会 commit 归档变更并合并 worktree——未 commit 的非 spec/changes 路径变更会污染结果。
 
-先通过 `alloy _guard` 做硬校验：
 ```bash
-alloy _guard openspec/changes/<name> archived
+DIRTY=$(git status --porcelain -uno)
+if [ -n "$DIRTY" ]; then
+  echo "⛔ [PRECONDITION_FAIL] worktree 有未提交变更，archive 拒绝执行："
+  git status --short
+  echo ""
+  echo "  请先 commit 或 stash 保留变更。"
+  echo "  禁止：git stash drop / git reset --hard / git checkout . / git restore . 直接丢弃工作（§3.5.1）。"
+  exit 1
+fi
 ```
 
-若 guard 报错（phase 不匹配），读取 `commands/alloy/references/phase-routing.md` 按路由表自动跳转。当前 phase=applied 时 precheck 通过。
+跳过 untracked（`-uno`）——untracked 不会被 commit/merge 影响 archive。
 
-**HARD STOP 保留场景：** change 目录不存在（前序阶段完全没做）→ 引导用户先运行 `/alloy:start`。
+**2. phase 检查（PRECONDITION_FAIL）：**
 
-**2. verify.md 存在且 Overall Decision 不是 FAIL：**
 ```bash
-test -f openspec/changes/<name>/verify.md && ! grep -q '^- \[x\] ❌ FAIL' openspec/changes/<name>/verify.md
+alloy _guard precheck openspec/changes/<name> applied
 ```
-不满足 → "verify.md 不存在或 Overall Decision 为 FAIL。请先修复阻塞问题。"
+
+不匹配时读取 `commands/alloy/references/phase-routing.md` 自动跳转。change 目录不存在 → 引导 `/alloy:start`。
+
+**3. verify.md 检查（PRECONDITION_FAIL）：**
+
+```bash
+alloy _guard verify-passed openspec/changes/<name>
+```
+
+FAIL → "verify.md 有阻塞问题。请先修复。" PASS/WARNING → 继续。
+
+**4. 多 change 并行 archive 检测（WARN，task #14）：** Delta Spec 合并顺序敏感——同期多个 change 在 archive 状态时，先归档晚开始的可能导致主 spec 状态错乱。
+
+```bash
+PARALLEL=$(find openspec/changes -maxdepth 2 -name .alloy.yaml \
+  -exec grep -l "phase: applied\|phase: archive" {} \; 2>/dev/null \
+  | grep -v "/<name>/" | wc -l)
+if [ "$PARALLEL" -gt 0 ]; then
+  echo "⚠️ [WARN] 检测到 $PARALLEL 个其他 change 处于 applied/archive 状态："
+  find openspec/changes -maxdepth 2 -name .alloy.yaml \
+    -exec grep -l "phase: applied\|phase: archive" {} \; 2>/dev/null | grep -v "/<name>/"
+  echo ""
+  echo "  Delta Spec 合并顺序敏感，建议按 archive 启动时间串行处理。"
+  echo "  继续当前 archive 前请确认其他 change 不会同时归档。"
+fi
+```
+
+不阻断——仅提示。
 
 ---
-### [Step 2/3] /opsx:archive
 
-> [Step 2/3] /opsx:archive
-> 正在归档——Delta Spec 合并到主 spec → 移入 archive/...
+### [Step 2/3] /opsx:archive
 
-使用 Slash 命令 `/opsx:archive` 执行归档。这是 OpenSpec 的标准归档命令，Alloy 不重复建造。
+```
+[Step 2/3] /opsx:archive
+正在归档——Delta Spec 合并到主 spec → 移入 archive/...
+```
 
-**Agent 执行：** 调用 `/opsx:archive`，传入 change name。该命令自动完成：
-- Delta Spec 合并到主 spec（`openspec/specs/`）
-- Change 目录移至 `openspec/changes/archive/YYYY-MM-DD-<name>/`
-- 自有幂等检查——已归档则 Skip
+调用 `/opsx:archive`，传入 change name。该命令自动完成 Delta Spec 合并 + 目录移动。自有幂等检查——已归档则 Skip。
 
-**错误处理：**
-- `/opsx:archive` 返回错误（权限、冲突等）→ [HARD STOP]，不推进 phase
-- `/opsx:archive` 不可用（OpenSpec 未安装）→ 引导用户运行 `alloy init` 安装 OpenSpec
+**错误处理（HARD_STOP）：** 返回错误 → ⛔ `[HARD_STOP] /opsx:archive 失败，归档中止`。不可用 → 引导 `alloy init`。**禁止：忽略错误继续后续步骤——Delta Spec 未合并时主 spec 与代码已分叉，强行推进 phase 会永久封存分叉。**
 
-**命令执行后立即记录：**
 ```bash
 alloy _skill log openspec/changes/<name> archive opsx:archive
 ```
 
-**归档变更提交（必须在 worktree 清理之前）：**
+**Delta Spec 合并审查（USER_GATE，task #22 强制 diff 注入）：**
 
-`/opsx:archive` 执行 `mv` 移动目录，但不负责 git commit。如果当前在 worktree 中，变更必须先 commit 到 worktree 分支，否则 worktree 清理时 merge 会丢失归档操作。
+合并完成后，**必须先采集 diff 写入 AskUserQuestion 上下文**，沉默不算授权——agent 不可基于"看起来没问题"自动通过。
 
 ```bash
-git add -A openspec/specs/ openspec/changes/
-git diff --cached --quiet || git commit -m "chore(<name>): 归档目录移动"
+SPEC_DIFF=$(git diff --stat openspec/specs/)
+SPEC_DIFF_FULL=$(git diff openspec/specs/ | head -200)  # 截 200 行防爆量
 ```
 
-`git diff --cached --quiet` 在无变更时跳过（`opsx:archive` 已自行 commit 的场景）。
+🔴 USER_GATE（必须 AskUserQuestion，问题模板）：
+
+> Delta Spec 合并结果：
+> ```
+> [SPEC_DIFF stat 摘要]
+> ```
+> 前 200 行 diff：
+> ```
+> [SPEC_DIFF_FULL]
+> ```
+> 选项：
+> (a) 确认并继续提交归档变更
+> (b) 调整 spec 合并内容——退出 skill，回到 `/opsx:archive` 参数调整或手动修正 spec 后重新运行
+
+**违反字面 = 违反精神：** 哪怕 diff 看似"明显合理"，没经过用户明确选择 (a) = 不算授权。禁止 agent 基于"diff 短"或"无 conflict"自动跳过此 USER_GATE。
 
-归档成功后，确定归档路径并处理后续步骤：
+**归档变更提交（HARD_STOP §5.2.1 git add 限路径）：** 必须在 worktree 清理之前 commit，否则清理时 merge 会丢失归档操作。**禁止 `git add -A` 无路径——只 add `openspec/specs/ openspec/changes/` 两个明确路径，避免把无关 working tree 变更卷入归档 commit（§5.2.1）。**
 
 ```bash
-# /opsx:archive 已将 change 目录移至 archive/，后续操作使用归档路径
-ARCHIVE_DIR="openspec/changes/archive/$(date +%Y-%m-%d)-<name>"
+git add openspec/specs/ openspec/changes/
+git diff --cached --quiet || git commit -m "chore(<name>): 归档目录移动"
 ```
 
-**读取 retrospective.md §6 Promote Candidates：** 检查是否有标记 `→ Promote to: memory` 的条目。若有，将 Why/How to apply 写入 `~/.claude/memory/` 对应的 memory 文件（feedback 类型），使其在后续 session 中自动加载。
+`git commit` 失败 → ⛔ `[HARD_STOP] 归档 commit 失败，archive 中止。检查 git 状态后重试。`
+
+归档路径：`ARCHIVE_DIR="openspec/changes/archive/$(date +%Y-%m-%d)-<name>"`
+
+**读取 retrospective.md §6 Promote Candidates：** 标记 `→ Promote to: memory` 的条目，将 Why/How to apply 写入 `~/.claude/memory/` 对应文件。这是 retrospective 从"死文档"变"活反馈"的关键。
+
+**memory 写入逐条确认（USER_GATE + HARD_STOP §5.2.2）：**
+
+详细禁令见 `commands/alloy/references/interaction-style.md` "沉默 ≠ 授权"章节——批量打包是首条反模式。本阶段适用：retrospective Promote Candidates 必须**每条独立** AskUserQuestion，无论候选数量、相似度或"看起来都对"。**[HARD_STOP] 即使用户主动说"一次过吧"或"都挺合理的"，也不可合并——用户要求打包不算授权，agent 必须拒绝并逐条展示。**
+
+逐条流程：
+
+1. 解析 retrospective.md §6，提取每条 `→ Promote to: memory` 候选
+2. 对每条候选**单独** AskUserQuestion：
+
+   > 候选 [N/M]：写入 ~/.claude/memory/?
+   > 内容：[Why + How to apply 摘要]
+   > 选项：(a) 写入  (b) 跳过  (c) 修改后写入
+
+3. (a) → 立即写入对应 memory 文件
+4. (b) → 跳过，记录到 retrospective.md 末尾"Skipped from memory promotion"章节
+5. (c) → 用户提供调整后的 Why/How 文本，写入修改版
+6. 全部条目处理后输出汇总：N 条写入、M 条跳过、K 条修改后写入
 
-> 这是 retrospective 从"死文档"变成"活反馈"的关键步骤——教训不跨 cycle 就不是教训。
+无 Promote Candidates → 跳过本步骤。
 
-**Worktree 清理（如果 apply 期间使用了 worktree）：**
+**Worktree 清理（如果 apply 期间使用了 worktree）：** 读取 `commands/alloy/references/archive-worktree-cleanup.md` 执行完整流程。要点：
+
+- task #21 silent fallback 检测：state 字段未写但 worktree 存在 → ⛔ PRECONDITION_FAIL，禁 silent fallback
+- 遗留 change 兼容：FEATURE_BRANCH / WORKTREE_BRANCH 缺失时回退/检测，仍缺失 → ⛔ PRECONDITION_FAIL
+- merge 成功 → 🔴 USER_GATE（确认并清理 / 退出审查），(a) 选清理 → `git worktree remove` + `git branch -d`
+- merge 冲突 → 报告冲突现场后退出 skill。**[HARD_STOP §3.5.1] 禁 agent 自动 `git merge --abort` / `git reset --hard` / `git checkout .` / `git restore .` / `git stash` / `git clean -fd` / `git push --force` 任何一个。** 违反字面 = 违反精神。
+
+未使用 worktree（`worktree=skipped` 或字段缺失且 git 无残留）时跳过本段。
+
+**Worktree 合并时间记录：** worktree merge + remove + branch -d 全部成功后，写入 `worktree_merged_at`：
 
 ```bash
-WORKTREE_PATH=$(alloy _state read "$ARCHIVE_DIR" worktree 2>/dev/null)
-FEATURE_BRANCH=$(alloy _state read "$ARCHIVE_DIR" feature_branch 2>/dev/null)
-WORKTREE_BRANCH=$(alloy _state read "$ARCHIVE_DIR" worktree_branch 2>/dev/null)
-
-if [ "$WORKTREE_PATH" != "null" ] && [ -n "$WORKTREE_PATH" ] && [ "$WORKTREE_PATH" != "skipped" ]; then
-  echo "  ℹ 检测到 worktree（$WORKTREE_PATH），正在合并回 feature 分支..."
-
-  # 向下兼容：遗留 change 无 feature_branch → 退回到 feature/<name>
-  if [ -z "$FEATURE_BRANCH" ] || [ "$FEATURE_BRANCH" = "null" ]; then
-    FEATURE_BRANCH="feature/<name>"
-  fi
-
-  # 向下兼容：遗留 change 无 worktree_branch → 从 worktree 实际状态检测
-  if [ -z "$WORKTREE_BRANCH" ] || [ "$WORKTREE_BRANCH" = "null" ]; then
-    WORKTREE_BRANCH=$(git worktree list --porcelain | awk -v path="$WORKTREE_PATH" '
-      /^worktree / { wt = substr($0, 10) }
-      /^branch / && wt == path { gsub(/^refs\/heads\//, "", $2); print $2; exit }
-    ')
-    if [ -z "$WORKTREE_BRANCH" ]; then
-      echo "  ⚠ 无法检测 worktree 分支名（worktree_branch 为空且 git worktree list 未匹配）"
-      echo "  请手动指定: git merge <worktree-branch> && git worktree remove $WORKTREE_PATH"
-      exit 1
-    fi
-  fi
-
-  # 切回主仓库目录
-  MAIN_ROOT=$(cd "$WORKTREE_PATH" && git rev-parse --show-toplevel 2>/dev/null)
-
-  # 从 worktree 分支合并代码到 feature 分支
-  cd "$MAIN_ROOT"
-  git merge "$WORKTREE_BRANCH" --no-edit
-
-  if [ $? -eq 0 ]; then
-    # 删除 worktree 目录和分支
-    git worktree remove "$WORKTREE_PATH"
-    git branch -d "$WORKTREE_BRANCH"
-    # 标记已清理（保留 worktree/worktree_branch 原值不删除）
-    WORKTREE_MERGED_AT=$(date '+%Y-%m-%d %H:%M:%S')
-    alloy _state write "$ARCHIVE_DIR" worktree_merged_at "$WORKTREE_MERGED_AT"
-    echo "  ✓ worktree 已合并至 $FEATURE_BRANCH 分支并清理"
-  else
-    echo "  ⚠ merge 冲突，请手动解决后再继续"
-    echo "  先: git checkout $FEATURE_BRANCH && git merge $WORKTREE_BRANCH"
-    exit 1
-  fi
-fi
+WORKTREE_MERGED_AT=$(date '+%Y-%m-%d %H:%M:%S')
+alloy _state write "$ARCHIVE_DIR" worktree_merged_at "$WORKTREE_MERGED_AT"
 ```
 
-如果 apply 期间未使用 worktree（worktree 为 null 或 skipped），则跳过此步骤。
+未使用 worktree 时跳过本步。
 
-**记录完成时间并提交（所有 .alloy.yaml 变更在 commit 之前完成）：**
+**记录完成时间并提交（HARD_STOP §5.2.1 git add 限路径）：**
 
 ```bash
-# 写入完成时间（:="${...:-...}" 兜底：防 Agent 漏 capture）
 COMPLETED_AT="${COMPLETED_AT:-$(date '+%Y-%m-%d %H:%M:%S')}"
 COMPLETED_AT_JSON=$(python3 -c "import json; print(json.dumps({'archive':{'completed_at': '$COMPLETED_AT'}}))")
 alloy _state merge "$ARCHIVE_DIR" phase_timings "$COMPLETED_AT_JSON"
-
-# commit：.alloy.yaml 变更（phase_timings + worktree_merged_at）
-# 归档目录移动已在 worktree 清理前提交（或无 worktree 时在上方提交）
-git add -A openspec/specs/ openspec/changes/
+# §5.2.1: git add 限路径，禁 -A 无路径
+git add openspec/specs/ openspec/changes/
 git commit -m "chore(<name>): 归档阶段完成"
 ```
-commit 失败必须阻断——.alloy.yaml 变更未提交时，后续 finish 阶段状态不一致。
 
-> ✓ Delta Spec 已合并到主 spec
-> ✓ Change 已归档到 $ARCHIVE_DIR
-> ✓ 归档变更已提交（目录移动 + 阶段完成时间）
+`git commit` 失败 → ⛔ `[HARD_STOP] 归档 commit 失败，archive 中止。.alloy.yaml 变更未提交时 finish 状态不一致。检查 git 状态后重试，禁止在 commit 失败时继续执行后续步骤。`
+
+### [Step 3/3] 推进 phase
 
-### [Step 3/3] 完成
+**通过 `alloy _guard` 校验并推进 phase（HARD_STOP §5.2.3 路径 B 降级）：**
+
+降级路径详见 `commands/alloy/references/phase-downgrade-path.md`（archive 阶段降级 → `applied`）。**禁止 agent 自动 `git reset --hard` / `git checkout .` 清场（§3.5.1）。**
 
-**通过 `alloy _guard` 校验并推进 phase：**
 ```bash
 alloy _guard "$ARCHIVE_DIR" archived --apply
-git add -A openspec/specs/ openspec/changes/
+git add openspec/specs/ openspec/changes/
 git commit -m "chore(<name>): phase → archived"
 ```
 
 ```
 ┌──────────────────────────────────────┐
 │ Alloy [4/5] · Phase: Archive — DONE  │
-│ 启动时间: 从 phase_timings.archive.started_at 读取
-│ 完成时间: 从 phase_timings.archive.completed_at 读取
-│ 耗时: completed_at - started_at       │
+│ 启动时间: phase_timings.archive.started_at
+│ 完成时间: phase_timings.archive.completed_at
+│ 耗时: completed_at - started_at
 └──────────────────────────────────────┘
 
-→ Change: <name>
-→ Phase: archived
+→ Change: <name>  Phase: archived
 → 归档位置: archive/YYYY-MM-DD-<name>/
+→ ✓ Delta Spec 已合并  ✓ Change 已归档
+→ 代码合入由 /alloy:finish 处理
+```
 
-✓ Delta Spec 已合并到主 spec
-✓ Change 已归档
-
-> → 代码合入由 `/alloy:finish` 处理
-
----
-
-## 闸门规则
+archive 不做代码合并——代码合入由 `/alloy:finish` 处理。准备好后运行 `/alloy:finish` 进入收尾阶段。
 
-- **git add 只用精确路径** — 永远不用 `-a`、`.`。
-  archive 用 `git add -A openspec/specs/ openspec/changes/`（`-A` 限路径，只追踪这两个目录的新增/修改/删除），反例：`git add -A`（无路径限定，扫全仓）
-- **phase 必须为 applied** —— 只有 apply 完成的 change 才能归档
-- **verify.md 必须存在且非 FAIL** —— 阻塞问题必须先修复
-- **先归档后合入** —— spec 文档先锁定，代码后通过 `/alloy:finish` 合入，避免"代码合入了 spec 还没跟上"
-- **archive 不做代码合并** —— 代码合入是 `/alloy:finish` 的职责

package/commands/alloy/discard.md

@@ -3,13 +3,21 @@ name: "Alloy: Discard"
 description: Alloy 放弃 change - 需要放弃时调用
 category: Workflow
 tags: [alloy, workflow]
+spec: 01-product-spec/07-discard-spec.md
+behaviors:
+  stops: 0
+  hard_stops: 1
+  artifacts: [discard-archive]
+  artifacts: []
+  transitions_to: ""
+  external_calls: []
 ---
 
 # alloy-discard
 
 你是 Alloy 的放弃清理器。你的职责是：根据 change 的当前 phase 执行分级清理，确保用户明确确认后再删除。
 
-**核心原则：精确确认才能删除，残留必须清理。**
+**核心原则：软删除（移到 archive/）而非物理删除，保留完整审计链，允许误删后恢复。**
 
 每个 change 必须有独立的 feature 分支（start step 6 保证），discard 时可安全删除整个分支。
 
@@ -36,8 +44,8 @@ alloy _config read . main_branch
 
 | phase | 清理动作 |
 |-------|---------|
-| started / planned | `git checkout <main_branch>` + `git branch -D <feature_branch>` + `rm change 目录` |
-| applied / archived | `git worktree remove` + `git checkout <main_branch>` + `git branch -D <feature_branch>` + `rm change 目录` |
+| started / planned | `git checkout <main_branch>` + `git branch -D <feature_branch>` + 软删除 → `archive/` |
+| applied / archived | `git worktree remove` + `git checkout <main_branch>` + `git branch -D <feature_branch>` + 软删除 → `archive/` |
 | finished | **[HARD STOP] 已完成的 change 不可 discard。** finished 是终态 |
 
 ---
@@ -55,13 +63,13 @@ alloy _config read . main_branch
 清理前必须展示将要删除的内容并等待用户精确确认：
 
 ```
-将删除以下内容，不可恢复:
+将软删除以下内容（移到 archive/ 保留审计链，可手动恢复）:
 
   Change:        <name>
   Phase:         <phase>
   Feature 分支:  <feature_branch>（如有）
   Worktree:      <path>（如有）
-  目录:          openspec/changes/<name>/
+  目录:          openspec/changes/<name>/ → archive/YYYY-MM-DD-discard-<name>/
   切回分支:      <main_branch>（如有）
 
 输入 'discard <name>' 确认，或输入其他任意内容取消。
@@ -80,10 +88,10 @@ alloy _config read . main_branch
 
 | 借口 | 现实 |
 |------|------|
-| "就删个目录而已，y 就行了" | 删除是不可逆操作。`discard <name>` 的精确匹配是防手滑的最后一道防线。"y"、"好"、"删了吧"都不算。 |
+| "就删个目录而已，y 就行了" | 即使软删除可恢复，确认步骤不可跳过。`discard <name>` 的精确匹配是防手滑的最后一道防线。"y"、"好"、"删了吧"都不算。 |
 | "这个 change 已完成，直接删了吧" | finished 是终态——不可 discard。已完成的 change 有完整审计链，删除会破坏追溯性。 |
 | "不用列出清单了，我知道有什么" | 必须先展示六行删除清单（Change/Phase/分支/Worktree/目录/切回分支），让用户确认每个待删除项的完整性和正确性。 |
-| "不用按顺序清理，直接 rm -rf 就行了" | 清理必须按序：worktree remove → checkout main → branch -D → rm 目录。不按序可能留下孤儿 worktree 或残留分支。
+| "不用按顺序清理，直接 rm -rf 就行了" | 清理必须按序：worktree remove → checkout main → branch -D → mv 到 archive。rm -rf 不可恢复，软删除保留审计链。 |
 
 ---
 
@@ -101,8 +109,13 @@ git checkout <main_branch>
 # 3. git branch -D <feature_branch>
 git branch -D <feature_branch>
 
-# 4. rm -rf openspec/changes/<name>/
-rm -rf openspec/changes/<name>/
+# 4. 软删除——移动到 archive/ 保留审计链
+DISCARD_DIR="openspec/changes/archive/$(date +%Y-%m-%d)-discard-<name>"
+mkdir -p openspec/changes/archive/
+mv openspec/changes/<name>/ "$DISCARD_DIR"
+
+# 5. 记录 discarded_at 时间戳
+alloy _state merge "$DISCARD_DIR" phase_timings "{\"discarded_at\":\"$(date '+%Y-%m-%d %H:%M:%S')\"}"
 ```
 
 若 `main_branch` 未记录，跳过步骤 2，提示用户手动切回主分支。
@@ -116,7 +129,9 @@ rm -rf openspec/changes/<name>/
 Alloy · 放弃 Change — DONE
 ──────────────────────────────────────
 
-✓ <name> 已清理
-  已删除：<列出实际删除的内容（分支/worktree/目录）>
+✓ <name> 已软删除
+  分支/worktree：已清理
+  归档位置：archive/YYYY-MM-DD-discard-<name>/
+  恢复方式：mv 回 openspec/changes/<name>/ 即可恢复
   当前分支：<main_branch>（或提示用户手动切换）
 ```