@hunter-harness/workflow-harness 0.2.50 → 0.2.52

package/harness/bundles/general/claude-code/harness-plan/SKILL.md

@@ -21,14 +21,14 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=6b900d319d6b6d77; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=bde20b36d56b03f4; overlay=none; agent=claude-code; do not edit -->
 # harness-plan — 需求规划
 
 ## Purpose
 
 确定 change 后必须运行 `python <skills-root>/scripts/harness_gate.py classify --change <id> --stage plan --json`，并把脚本返回的 risk tier、默认阶段、条件阶段和必需验证写入计划；不得凭模型印象另建风险分级。
 
-需求 → 设计文档 → 任务拆分 → 测试场景表（编码/测试唯一真相源）。存在 `.harness/archive/` 或 `.harness/knowledge/` 时须先 `harness-knowledge-query`。
+需求 → 设计文档 → 任务拆分 → 测试场景表（编码/测试唯一真相源）。项目已绑定远端平台时先执行一次 `harness-knowledge-query`；远端不可用则记录 issue 并继续，不做本地回退。
 
 ## When to Use
 
@@ -46,7 +46,7 @@ disallowed-tools:
 6. **implementation-detail** — 自适应执行参考；legacy 缺失 🟡WARN，不阻断
 7. **test-scenarios** — 测试真相源：`plans/<change>-test-scenarios.md`
 8. **禁止读取 `docs/superpowers/` 作为正式输入** — 旧草稿仅人工线索
-9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/knowledge/change/code 指纹，不再重复跑全量 `harness-sync`、知识重建或代码库扫描。只有对应 segment 变化或缺失时才定向刷新；快照不能替代源码读取和验证门禁。
+9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/change/code 指纹，不再重复跑全量 `harness-sync` 或代码库扫描。`knowledge` 段仅为兼容空段，知识始终按需远端查询；快照不能替代源码读取和验证门禁。
 
 状态目录分层：新路径优先，旧路径兼容 → [[../protocols/state-layout-protocol.md|state-layout-protocol]]
 > 片段：read-protocol · plan 额外写 `meta/worktree.json`、`meta/change-context.json`
@@ -86,7 +86,7 @@ disallowed-tools:
 |------|------|
 | 0 | 用当前解释器运行 `harness_runtime.py doctor`，后续消费绝对 argv；git status；脏工作区 → baseline 隔离 + `decision`，不询问 |
 | 0.5 | 先执行 `harness_context.py prepare --phase plan --executor <tool> [--change <id>] --json`，以其唯一 change/executionRoot 初始化 plan-run-id 与 attempt（首次为 1），用同一身份追加 `phase.start`；从第一条知识查询起保留事件证据，并在 finalizer 中复用该身份 |
-| 1 | `harness-knowledge-query` 单次 query（内部 ensure-current；失败记 `issue`） |
+| 1 | `harness-knowledge-query` 单次远端 query（失败记 `issue`，不建立本地索引或离线回退） |
 | 2 | 歧义优先检查 + 复杂度分级；先确认会改变实现方向的语义歧义 |
 | 3 | 按复杂度执行有预算的代码探索；简单修复不得扩散到无关模块 |
 | 4 | **设计审批包** blocking user confirmation；确认事件早于 approved 设计文档和 `meta/worktree.json` |

package/harness/bundles/general/claude-code/harness-plan/checklist.md

@@ -15,8 +15,8 @@ description: harness-plan 的阶段检查清单和覆盖检查列表。仅在执
 ## 阶段 0.5：事件初始化与知识查询
 
 - [ ] 先确定 change-name、稳定的 plan-run-id 与 attempt（首次为 1），立即用 `harness_events.py append ... --phase plan --type phase.start --run-id <plan-run-id> --attempt <attempt>` 追加开始事件
-- [ ] 再执行一次 knowledge `query`；由 query 内部 ensure-current，不另跑前置 sync
-- [ ] 查询失败追加 `issue`，不得重跑“sync + query”循环或假装已读取历史
+- [ ] 项目已绑定平台时执行一次远端 knowledge `query`；不另跑前置 sync，不创建本地索引
+- [ ] 查询失败追加 `issue`，不得回退本地 archive/SQLite、重跑“sync + query”循环或假装已读取历史
 
 ## 阶段 2：歧义优先检查与复杂度分级
 

package/harness/bundles/general/claude-code/harness-review/SKILL.md

@@ -22,7 +22,7 @@ disallowed-tools:
   - Bash(curl *)
   - Bash(codegraph *)
 ---
-<!-- generated by harness_deploy.py; core=6b900d319d6b6d77; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=bde20b36d56b03f4; overlay=none; agent=claude-code; do not edit -->
 # harness-review — 代码审查
 
 ## Purpose
@@ -56,7 +56,7 @@ disallowed-tools:
 6. **implementation-detail** — 自适应执行参考；legacy 缺失 🟡WARN，不阻断
 7. **test-scenarios** — 测试真相源：`plans/<change>-test-scenarios.md`
 8. **禁止读取 `docs/superpowers/` 作为正式输入** — 旧草稿仅人工线索
-9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/knowledge/change/code 指纹，不再重复跑全量 `harness-sync`、知识重建或代码库扫描。只有对应 segment 变化或缺失时才定向刷新；快照不能替代源码读取和验证门禁。
+9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/change/code 指纹，不再重复跑全量 `harness-sync` 或代码库扫描。`knowledge` 段仅为兼容空段，知识始终按需远端查询；快照不能替代源码读取和验证门禁。
 
 状态目录分层：新路径优先，旧路径兼容 → [[../protocols/state-layout-protocol.md|state-layout-protocol]]
 > 片段：read-protocol

package/harness/bundles/general/claude-code/harness-run/SKILL.md

@@ -22,7 +22,7 @@ disallowed-tools:
   - Bash(curl *)
   - Bash(codegraph *)
 ---
-<!-- generated by harness_deploy.py; core=6b900d319d6b6d77; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=bde20b36d56b03f4; overlay=none; agent=claude-code; do not edit -->
 # harness-run — 需求编码
 
 ## Purpose
@@ -67,7 +67,7 @@ disallowed-tools:
 6. **implementation-detail** — 自适应执行参考；legacy 缺失 🟡WARN，不阻断
 7. **test-scenarios** — 测试真相源：`plans/<change>-test-scenarios.md`
 8. **禁止读取 `docs/superpowers/` 作为正式输入** — 旧草稿仅人工线索
-9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/knowledge/change/code 指纹，不再重复跑全量 `harness-sync`、知识重建或代码库扫描。只有对应 segment 变化或缺失时才定向刷新；快照不能替代源码读取和验证门禁。
+9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/change/code 指纹，不再重复跑全量 `harness-sync` 或代码库扫描。`knowledge` 段仅为兼容空段，知识始终按需远端查询；快照不能替代源码读取和验证门禁。
 
 状态目录分层：新路径优先，旧路径兼容 → [[../protocols/state-layout-protocol.md|state-layout-protocol]]
 > 片段：read-protocol · run 必读文件优先级 → `reference.md` Step 0

package/harness/bundles/general/claude-code/harness-submit/SKILL.md

@@ -21,7 +21,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=6b900d319d6b6d77; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=bde20b36d56b03f4; overlay=none; agent=claude-code; do not edit -->
 # harness-submit — 最终提交（含 worktree 合并）
 
 ## Purpose
@@ -55,7 +55,7 @@ disallowed-tools:
 6. **implementation-detail** — 自适应执行参考；legacy 缺失 🟡WARN，不阻断
 7. **test-scenarios** — 测试真相源：`plans/<change>-test-scenarios.md`
 8. **禁止读取 `docs/superpowers/` 作为正式输入** — 旧草稿仅人工线索
-9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/knowledge/change/code 指纹，不再重复跑全量 `harness-sync`、知识重建或代码库扫描。只有对应 segment 变化或缺失时才定向刷新；快照不能替代源码读取和验证门禁。
+9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/change/code 指纹，不再重复跑全量 `harness-sync` 或代码库扫描。`knowledge` 段仅为兼容空段，知识始终按需远端查询；快照不能替代源码读取和验证门禁。
 
 状态目录分层：新路径优先，旧路径兼容 → [[../protocols/state-layout-protocol.md|state-layout-protocol]]
 > 片段：read-protocol

package/harness/bundles/general/claude-code/harness-sync/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: harness-sync
-description: "Use when the user asks to synchronize, refresh, or validate Harness metadata, adapters, knowledge, rules, instruction entrypoints, config origins, or CodeGraph status."
+description: "Use when the user asks to synchronize, refresh, or validate Harness metadata, adapters, remote knowledge ownership, instruction entrypoints, config origins, or CodeGraph status."
 argument-hint: "项目路径或留空使用当前目录"
 effort: medium
 allowed-tools: [Read, Glob, Grep, Edit, Write, Bash(powershell.exe:*)]
@@ -19,12 +19,12 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=6b900d319d6b6d77; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=bde20b36d56b03f4; overlay=none; agent=claude-code; do not edit -->
 # harness-sync
 
 ## Purpose
 
-通过一个有界入口同步 Harness 投影、知识、公共规则和元数据，并输出可验证的组件收据。
+通过一个有界入口刷新 Harness Adapter 与元数据、检查远端知识职责和项目指令状态，并输出可验证的组件收据。`sync` 不直接改写 AGENTS/CLAUDE/CODEBUDDY 或规则；文档优化使用远端审计提案。
 
 ## Before running
 
@@ -39,7 +39,7 @@ disallowed-tools:
 npx hunter-harness sync --project <项目路径> --profile interactive --progress jsonl --json
 ```
 
-CLI 负责 Python runtime 解析、投影事务、knowledge、rules、map、指令图、配置来源、change 状态及 CodeGraph 证据汇总。禁止直接调用内部 Python 脚本，禁止使用固定 `HEAD~5`，禁止自动全量重建 CodeGraph。
+CLI 负责 Python runtime 解析、Adapter 事务、远端知识职责、文档审计提示、map、指令图、配置来源、change 状态及 CodeGraph 证据汇总。禁止直接调用旧知识 Python 脚本，禁止使用固定 `HEAD~5`，禁止自动全量重建 CodeGraph。
 
 只读诊断使用 `--check`（`--dry-run` 为兼容别名）；它不得写报告、receipt 或投影。
 长阶段的 heartbeat 写 stderr；stdout 只保留紧凑摘要。完整报告写入摘要中的
@@ -54,17 +54,17 @@ JSON 报告回显到对话。
 ## Interpret
 
 - `OK`：所有可验证组件通过。
-- `ADVISORY`：索引最新，但有待评审候选等非阻塞健康提示；退出码仍为 0。
+- `ADVISORY`：例如需要运行中文指令审计提案；退出码仍为 0，且 `sync` 本身没有改写文档。
 - `WARN`：存在过期、冲突、待评审或 `UNKNOWN` 证据；按 `reportPath` 中的 `nextAction` 处理。
 - `FAIL`：组件执行失败；不得宣称同步完成。
 - `BLOCKED`：runtime、项目状态或能力契约阻塞；先修复阻塞条件。
 - `UNKNOWN`：证据不足，不等于成功，也不触发无界重建。
 
-非交互或 CI 使用 `--check --profile general --progress jsonl --json`，不得等待规则候选确认。交互式运行若报告规则待评审，再按 `reference.md` 的显式入口处理。
+非交互或 CI 使用 `--check --profile general --progress jsonl --json`。交互式运行若报告 `INSTRUCTION_AUDIT_REQUIRED`，运行 `hunter-harness instructions audit`；规则候选只进入提案，永不自动应用。
 
 ## Safety
 
-同步不得修改 `.harness/state` 或 `.harness/cache` 的内部文件；只通过 CLI 事务写入。配置真源与生成投影存在漂移时只报告，不静默覆盖真源。change 清理先 dry-run，仅对已验证归档收据执行安全清理。
+同步不得直接修改项目指令文档或规则。配置真源与生成投影存在漂移时只报告，不静默覆盖真源。change 清理先 dry-run，仅对已验证归档收据执行安全清理。知识查询和 ingest 均为远端职责，不创建 `.harness/knowledge`。
 
 ## P0 执行可信度规则
 

package/harness/bundles/general/claude-code/harness-sync/reference.md

@@ -29,7 +29,7 @@ CLI 按以下顺序解析 Python，并在详细报告中记录来源：
 5. `python3`
 6. `python`
 
-所有探测都必须有超时。完全不可用时返回 `PYTHON_RUNTIME_UNAVAILABLE`，且不得进入 knowledge 或 rules 阶段。
+所有探测都必须有超时。完全不可用时返回 `PYTHON_RUNTIME_UNAVAILABLE`，并跳过仍依赖 Python 的变更状态阶段；远端知识和指令审计不允许回退到本地 Python 实现。
 
 ## 3. 统一同步
 
@@ -84,9 +84,8 @@ npx hunter-harness sync --check --project <项目路径> --profile general --pro
 |---|---|---|
 | capability | CLI 版本、必需能力 | 不匹配立即 `BLOCKED` |
 | adapter projection | 事务后的实际文件 hash | 使用 post-transaction 校验；partial refresh 不得把未选 adapter 标成 stale |
-| managed blocks | 全文件解析树 | 重复 ID、嵌套、闭合不匹配为结构错误 |
-| knowledge | manifest、entry 文件、SQLite ID 集合 | 三者不一致为 `FAIL`；进度与性能指标落报告 |
-| rules | 投影收据、冲突、待评审数 | 真实分歧只报告，不覆盖 |
+| knowledge | 远端职责声明 | 固定报告 `remote-only`、`fallback=false`、`localIndex=false`；不运行本地 ingest |
+| rules | 审计—提案—应用契约 | `sync` 只给出 `instructions audit` 下一步，不改写文档或自动应用候选 |
 | codebase map | manifest 文档清单、hash、生成时间 | 真实文件校验，不复用旧 display status |
 | instruction graph | 入口、include 边、环、主题可达性 | 缺失引用或循环为 `FAIL` |
 | config origins | canonical/projection 路径与 hash | 漂移 `WARN`，不静默覆盖 |
@@ -94,8 +93,7 @@ npx hunter-harness sync --check --project <项目路径> --profile general --pro
 | CodeGraph | `codegraph status --json` 的 pending、数据库观察时间、watcher 可达性 | 输出 `CURRENT/PENDING/STALE/INDEX_PRESENT_UNVERIFIED/MISSING/UNKNOWN`；日志 mtime 只证明 watcher 活动，不证明索引完成；不自动全量 reindex |
 
 全局状态优先级：`BLOCKED` → `FAIL` → `WARN` → `ADVISORY` → `OK`。任一 `UNKNOWN`
-至少使全局结果为 `WARN`。knowledge freshness 与 health 分开：索引一致但仍有待裁决候选时
-为 `ADVISORY`，不得误报为过期。
+至少使全局结果为 `WARN`。远端知识可用性由实际 query/upload 收据判断，`sync` 不伪造本地 freshness。
 
 ## 5. Git 与 CodeGraph
 
@@ -136,15 +134,23 @@ npx hunter-harness doctor --managed-blocks --json
 
 change cleanup 由同步报告提供具体动作。只允许已验证的 `ARCHIVED_LEFTOVER` 进入删除路径；`RECOVERABLE` 只能移入隔离区；`ORPHAN`/`INVALID` 保持原状并提示人工处理。
 
-## 9. 规则候选
+## 9. 中文指令与规则提案
 
-非交互 sync 只报告待评审数。用户主动要求评审时，先读取候选：
+`sync` 只报告 `INSTRUCTION_AUDIT_REQUIRED`。需要优化时执行：
 
 ```powershell
-npx hunter-harness rules-review --json
+npx hunter-harness instructions audit --json
 ```
 
-公共规则变更仍需展示 evidence 和 diff，并由用户确认。应用后的 decision 必须绑定 candidate revision 与目标 hash；目标变化返回 `RULE_PATCH_STALE`，不得强制覆盖。
+服务端结合项目类型、现有文档、Codebase Map、近期变更总结和公开最佳实践生成中文提案。
+提案先保存到 `.harness/state/local/instruction-proposals/`，项目文件保持不变。审阅后显式执行：
+
+```powershell
+npx hunter-harness instructions apply --proposal <proposal.json> --yes --json
+```
+
+应用必须校验基线 hash 并使用事务；文件在审计后变化则返回 `INSTRUCTION_PROPOSAL_STALE`。
+近期变更中的经验只形成 rule candidates，`instructions apply` 也不得自动写入这些候选。
 
 ## 10. 完成判定
 
@@ -153,6 +159,7 @@ npx hunter-harness rules-review --json
 - stdout 摘要与详细报告 hash 一致；
 - 没有 `FAIL` 或 `BLOCKED`；
 - 所有自动修复均有 post-transaction 证据；
-- knowledge 的 manifest、文件、SQLite 集合一致；
+- knowledge 组件明确为 remote-only，且未创建或刷新本地索引；
+- 文档和规则组件未直接改写项目文件；
 - 未把 `UNKNOWN` 描述成已验证；
 - 第二次无输入变化的运行不产生投影 churn。

package/harness/bundles/general/claude-code/harness-test/SKILL.md

@@ -23,7 +23,7 @@ disallowed-tools:
   - Bash(node *)
   - Bash(codegraph *)
 ---
-<!-- generated by harness_deploy.py; core=6b900d319d6b6d77; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=bde20b36d56b03f4; overlay=none; agent=claude-code; do not edit -->
 # harness-test — 测试执行
 
 ## Purpose
@@ -59,7 +59,7 @@ disallowed-tools:
 6. **implementation-detail** — 自适应执行参考；legacy 缺失 🟡WARN，不阻断
 7. **test-scenarios** — 测试真相源：`plans/<change>-test-scenarios.md`
 8. **禁止读取 `docs/superpowers/` 作为正式输入** — 旧草稿仅人工线索
-9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/knowledge/change/code 指纹，不再重复跑全量 `harness-sync`、知识重建或代码库扫描。只有对应 segment 变化或缺失时才定向刷新；快照不能替代源码读取和验证门禁。
+9. **每个 skill 边界只刷新一次状态快照** — 先运行 `python <skills-root>/scripts/harness_state.py capture --project . --change-dir ".harness/changes/<change-name>" --base <baseCommit> --json`；`changedSegments=[]` 时复用已有 profile/rules/map/change/code 指纹，不再重复跑全量 `harness-sync` 或代码库扫描。`knowledge` 段仅为兼容空段，知识始终按需远端查询；快照不能替代源码读取和验证门禁。
 
 状态目录分层：新路径优先，旧路径兼容 → [[../protocols/state-layout-protocol.md|state-layout-protocol]]
 > 片段：read-protocol

package/harness/bundles/general/claude-code/protocols/archive-report-protocol.md

@@ -173,20 +173,18 @@ python harness/scripts/harness_archive.py repair --archive-dir ".harness/archive
 
 repair 先在 archive 外生成候选 derived version，两层 validator 均通过后，才以不可变新版本写入 `derived/v<N>/{summary-data.json, final-summary.html, repair-record.json}`，并把 `derived/authoritative.json` pointer 指向该版本；**原 summary-data.json、final-summary.html 与 manifest 永不覆盖**。知识层只从 authoritative pointer 指向且 hash 校验通过的版本提取条目。
 
-## 归档与知识维护解耦（§8）
+## 归档包与服务端知识 ingest（§8）
 
 archive close 的破坏性事务只执行确定性 close：
 
 ```text
 status -> manifest -> move -> collect -> render -> validate -> compare
--> 写 maintenance outbox(pending) -> stop AI service -> return
+-> 生成确定性核心 ZIP -> 上传并等待服务端持久化/ingest 收据 -> stop AI service -> return
 ```
 
-close **不再同步顺序启动四次** `harness_knowledge.py`（ingest/dedupe/auto-supersede/reverify-stale）。它写一个 `pending` outbox 项即返回，`knowledgeMaintenance=QUEUED`；写 outbox 失败时 `NOT_QUEUED`（warning，不回滚 archive，`finalStatus` 仍由验证事实决定，本次总状态 CONDITIONAL）。
-
-outbox 布局见 `state-layout-protocol.md`「knowledge maintenance-outbox」。`harness_knowledge.py maintain --project . --archive-id <id>` 单进程推进：claim pending/failed -> running -> 增量 ingest（含 in-memory near-dedupe，不再二次磁盘 dedupe）-> auto-supersede -> reverify-stale -> 导出残余 judge checklist -> completed（或 `completed_rules_pending_judge` 若 `pendingJudgements>0`）。失败 -> failed（attempts+1，可重试）；completed 项幂等。`harness-sync` 启动时扫描 pending/failed outbox 并执行 maintain。
-
-**机械 maintain 不得假装完成语义裁决**：存在待裁决项（conflict / promote-candidate）时状态为 `completed_rules_pending_judge`、`pendingJudgements>0`、写 `pending-judgements-<archive-id>.json`，由模型层后续 `judge --apply` 处理；`manualReview=true` 时保留人工确认。
+close 不再运行 `harness_knowledge.py`，也不写本地 outbox/index。服务端先保存原 ZIP，再安全
+解包发布核心文件并重建项目语义索引；客户端以 package hash 与 `knowledge_status` 作为收据。
+失败时本地归档保持有效，待上传 ZIP 保留供同包重试，不允许改走散文件 push 或本地索引。
 
 ## 最终状态
 

package/harness/bundles/general/claude-code/protocols/state-layout-protocol.md

@@ -6,7 +6,7 @@ description: harness .harness 状态目录分层协议。用于减少根目录
 
 ## 升级与本地状态保护边界
 
-`.harness/archive/`、`.harness/changes/`、`.harness/knowledge/project-local/` 是 protected local roots。CLI init/configure/refresh/rules 操作前必须：
+`.harness/archive/`、`.harness/changes/` 是 protected local roots。CLI init/configure/refresh/rules 操作前必须：
 
 1. 综合 project marker、adapter `.harness-build.json`、managed block、恢复事务和非空 `.harness` 判断 `absent / valid / partial / recovery-required`；
 2. 对 protected roots 记录文件数、目录数、字节数、Merkle root，以及 archive 首末 identity；
@@ -84,21 +84,27 @@ description: harness .harness 状态目录分层协议。用于减少根目录
 `runtime/retired-service-sessions/`；该动作保留原始回执且不终止进程。受管命令、
 环境会话和 fixback 的完整合同见 `execution-session-protocol.md`。
 
-## knowledge maintenance-outbox（§8）
+## 归档上传重试状态（§8）
 
-归档 close 不再同步执行知识维护；它写一个 pending outbox 项即返回：
+知识 ingest 由 Hunter Platform 在接收归档 ZIP 后执行，本地不再创建 `.harness/knowledge`
+或 maintenance-outbox。尚未被服务端确认持久化的包保存在：
 
 ```text
-.harness/knowledge/maintenance-outbox/
-  pending/<archive-id>.json      # 待维护
-  running/<archive-id>.json      # maintain 正在处理
-  completed/<archive-id>.json    # 已完成（status=completed 或 completed_rules_pending_judge）
-  failed/<archive-id>.json       # 失败（attempts+1，可重试）
+.harness/state/local/archive-packages/
+  <change-key>.zip              # 确定性核心归档包
+  <change-key>.upload.json      # 上传/失败收据（如存在）
 ```
 
-项 schema：`{schemaVersion, archiveId, archivePath, archiveManifestHash, status, attempts, createdAt, lastError, pendingJudgements?, completedAt?}`。
-
-`harness_knowledge.py maintain --project . --archive-id <id>` 单进程顺序：claim pending/failed -> running -> 增量 ingest（`build_index` 内含 in-memory near-dedupe，**不再二次磁盘 dedupe**）-> auto-supersede -> reverify-stale -> 导出残余 judge checklist -> running -> completed（或 `completed_rules_pending_judge` 若 `pendingJudgements>0`）。失败 -> failed（attempts+1，可重试）。completed 项重复 maintain 幂等。`harness-sync` 启动时扫描 pending/failed outbox 并执行 maintain。
+ZIP 只包含 summary、spec、plans、archive-meta、change-context 和包 manifest。上传失败保留；
+每次 finalize 都先生成 ZIP 与对应回执，再按 `credentials.local.yaml` 或
+`project.yaml` 的 `server.url` + `server.token_env` 环境变量解析远端凭据。缺少凭据、
+网络失败、无效收据或知识状态为 `indexing`/`failed` 时均保留这两个按 change 命名的文件，
+因此可枚举 `*.upload.json` 独立重试，不会由后一次归档覆盖前一次。只有 CLI 已核对
+package SHA-256，且服务端同时确认 `archive_status=durable` 与
+`knowledge_status=ready` 时，才清理对应 ZIP 和回执。回执的 `uploadStatus` 为
+`pending|failed|ready`，`reasonCode` 使用 `ARCHIVE_UPLOAD_*` 或
+`ARCHIVE_KNOWLEDGE_*` 稳定错误码；`indexing` 必须映射为 `pending`，不得误报失败。
+远端知识查询失败不得创建本地 fallback。
 
 ## 读取兼容