@hunter-harness/workflow-harness 0.2.77 → 0.2.79

package/harness/bundles/general/claude-code/.harness-build.json

@@ -2,5 +2,5 @@
   "schemaVersion": 1,
   "overlay": "none",
   "agent": "claude-code",
-  "coreHash": "24872a7cdba2c8e5"
+  "coreHash": "ef40ffbb4f999ea0"
 }

package/harness/bundles/general/claude-code/harness-archive/SKILL.md

@@ -21,7 +21,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-archive — 变更归档
 
 ## Purpose
@@ -148,9 +148,24 @@ disallowed-tools:
 
 | 阻断 | 出路 |
 |------|------|
-| `SENSITIVE_EVIDENCE_UNQUARANTINED` | `python <skills-root>/scripts/harness_runtime.py quarantine-evidence --project . --change-dir ".harness/changes/<cn>" --file "<相对 change-dir 的路径>" --reason "<为什么是敏感证据>" --json`（`--file` 可重复）。私有根默认已与项目同盘、且在项目根之外——**不要**手工指定项目内的路径，归档的密钥扫描会以 `SECRET_SCAN_PRIVATE_PATH_IN_COPY_ROOT` 拒绝 |
+| `SENSITIVE_EVIDENCE_UNQUARANTINED`（默认只告警，`HUNTER_HARNESS_SENSITIVE_SCAN=block` 时才阻断） | `python <skills-root>/scripts/harness_runtime.py quarantine-evidence --project . --change-dir ".harness/changes/<cn>" --file "<相对 change-dir 的路径>" --reason "<为什么是敏感证据>" --json`（`--file` 可重复）。私有根默认已与项目同盘、且在项目根之外——**不要**手工指定项目内的路径，归档的密钥扫描会以 `SECRET_SCAN_PRIVATE_PATH_IN_COPY_ROOT` 拒绝 |
 | `DIFF_ZERO_WITH_NONEMPTY_COMMIT`（提交范围非空但 filesChanged=0） | 契约缺 `ownership.productPaths`，全部改动被判为 `foreignPaths`。用 `python <skills-root>/scripts/harness_change.py declare-ownership --change <cn> --product-path "<目录前缀或精确文件>" --json` 按计划的实际改动范围声明（可重复；只收精确路径，不支持通配）。**不要**手改 `change-context.json` |
 
+### 二·B、归档补传（上传失败或历史归档缺条目）
+
+归档上传成功后 ZIP 与回执会被清理，旧版本产生的归档从未入 outbox——所以
+`harness-push --scope archive` 找不到可复用的包属于正常状态，不是故障。补传从已封存的
+归档目录重建确定性包：
+
+```powershell
+python <skills-root>/scripts/harness_archive.py republish --change <change-key> --dry-run --json   # 只看包内容
+python <skills-root>/scripts/harness_archive.py republish --change <change-key> --json             # 重建并上传
+```
+
+归档目录是封存的（after-manifest 覆盖其每个字节），因此 `republish` **不写回**归档目录：
+缺失的 `candidates/knowledge.json` 只在内存中按已归档 summary 生成并放进包里。平台的知识
+条目只来自这个包；`--scope all` 走的是 branch_file 通道，不进知识管道。
+
 ### 三、文件移动只用内置工具或 PowerShell
 
 移动用 Read+Write+验证 或 PowerShell；**禁止 Bash mv/cp/rm**。移动失败时不删除原目录，报错退出让用户手动处理。

package/harness/bundles/general/claude-code/harness-codebase-map/SKILL.md

@@ -20,7 +20,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-codebase-map — 代码库地图
 
 ## Purpose

package/harness/bundles/general/claude-code/harness-knowledge-ingest/SKILL.md

@@ -8,7 +8,7 @@ disallowed-tools:
   - Bash(git *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-knowledge-ingest
 
 知识 ingest 完全由 Hunter Platform 负责。归档完成时，客户端生成一个确定性 ZIP；

package/harness/bundles/general/claude-code/harness-knowledge-query/SKILL.md

@@ -8,7 +8,7 @@ disallowed-tools:
   - Bash(git *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-knowledge-query
 
 项目知识以 Hunter Platform 的服务端索引为唯一真源。客户端只提交查询并消费结果：

package/harness/bundles/general/claude-code/harness-plan/SKILL.md

@@ -21,7 +21,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-plan — 需求规划
 
 ## Purpose

package/harness/bundles/general/claude-code/harness-pull/SKILL.md

@@ -21,7 +21,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-pull — 从 Hunter Platform 下拉与恢复
 
 ## Purpose

package/harness/bundles/general/claude-code/harness-push/SKILL.md

@@ -2,7 +2,7 @@
 name: harness-push
 description: "上传本地配置/规则/架构/指令（及显式归档）到 Hunter Platform。仅当用户显式调用 /harness-push 或明确说'上传到平台'时使用；不得因存在本地修改就自动触发。"
 disable-model-invocation: true
-argument-hint: "[--scope config|rules|architecture|instructions|all] [--scope archive --change <change-key>]"
+argument-hint: "[--scope config|rules|architecture|instructions|branch_files|all] [--scope archive --change <change-key>] [--allow-sensitive]"
 effort: medium
 allowed-tools: [Read, Glob, Grep, Edit, Write, Bash(powershell.exe:*)]
 disallowed-tools:
@@ -21,7 +21,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-push — 上传到 Hunter Platform
 
 ## Purpose
@@ -35,29 +35,39 @@ disallowed-tools:
 ## 前置条件
 
 - 远端同步已配置：优先读环境变量 `HUNTER_REMOTE_SYNC_URL`、`HUNTER_REMOTE_SYNC_TOKEN`、`HUNTER_REMOTE_SYNC_ACTOR_ID`；缺失字段回退到 `hunter-harness connect` 写入的 `.harness/credentials.local.yaml`（含 actor_id；旧绑定缺该字段时 CLI 经 key-info 自动补全并写回）。两者都缺时 CLI 固定 fail closed（`PUSH_PULL_CLI_UNAVAILABLE`），**不得**改用旧 HTTP fallback 或手工 API 调用。
-- 归档上传只选择已写入 outbox 的确定性包（阶段 06 产物）；不存在可复用包时提示先完成本地归档，**不得**在 Push 内隐式补做 finalize/重建 ZIP。
+- 归档有两条互斥入口，先判断走哪条，**不要**自己找目录或拼 ZIP：
+  - **待发布包**（刚归档完、上传失败还没成功）：`--scope archive --change <key>` 消费 outbox claim。claim 记录在 `.harness/state/local/archive-outbox/`，ZIP 在 `.harness/state/local/archive-packages/`——不存在 `.harness/outbox` 这个目录。
+  - **补传已封存归档**（上传早已成功、包被清理，或归档由旧版本产生从未入 outbox）：走 `harness_archive.py republish`（见下）。上传成功后 ZIP 与回执按设计会被删除，所以"没有可复用包"是常态而非故障。
+- 两条入口都**不得**在 Push 内隐式补做 finalize/重建归档目录。
 
 ## 交互流程
 
 1. **选择范围**：`config` / `rules` / `architecture` / `instructions` / `all`，或显式归档 `--scope archive --change <change-key>`。归档必须显式，避免误传历史包或无法确定目标 Change。
 2. **展示预览**：分支、提交、远端基线和实际变化文件；无变化时直接结束，不创建空版本。
-3. **用户确认**：可覆盖风险（hard 敏感阻断除外）必须显式确认后才上传；确认只对本次 preview 有效。
+3. **用户确认**：敏感命中默认只打印不阻断（策略 `warn`），照常走正常确认流程；把 `HUNTER_HARNESS_SENSITIVE_SCAN` 设成 `block` 后，可覆盖项才需要显式确认（high 命中在该模式下不可逐条覆盖）。确认只对本次 preview 有效。
 4. **按内容分类报告**：成功、跳过、冲突和可重试项分开列出；冲突只投影机器决策，可附 `--resolve <path=keep-local|accept-remote|skip>` 逐项选择。
 
 ## 命令
 
 ```powershell
 npx hunter-harness harness-push --scope config,rules --json
+# 待发布包（有 outbox claim 时）
 npx hunter-harness harness-push --scope archive --change <change-key> --json
+# 补传已封存归档：重建确定性包并上传（--dry-run 只看包内容）
+python <skills-root>/scripts/harness_archive.py republish --change <change-key> --json
 ```
 
+`--scope archive` 没有待发布 claim 时返回 `PUSH_PULL_ARCHIVE_NO_PENDING_CLAIM`（exit 5），
+stderr 里直接给出上面的 republish 命令；`--dry-run` 会列出本地可补传的归档目录，不取租约。
+
 ## 关键规则
 
 | 规则 | 要点 |
 |------|------|
 | 无变化不上传 | 预览无变化时返回 `no_changes`，不创建确认、不调用执行入口 |
-| 敏感与凭据 | 不做内容遮盖；路径白名单、凭据文件排除、哈希校验保持启用；hard 敏感阻断不得生成确认 |
-| 归档边界 | 归档不进普通范围；`--scope archive` 必须带 `--change`；只消费已有 outbox claim |
+| 敏感与凭据 | 不做内容遮盖；路径白名单、凭据文件排除、哈希校验保持启用。扫描默认 `warn`：命中项按 `路径:行 规则(严重度)` 打印后照常上传。`HUNTER_HARNESS_SENSITIVE_SCAN=block` 恢复阻断，`=off` 完全关闭。阻断态下可覆盖项加 `--allow-sensitive`（非交互需配合 `--yes`，原因用 `--sensitive-reason`）；high 命中在 block 态仍不可逐条覆盖，要放行就改策略 |
+| 归档边界 | 归档不进普通范围；`--scope archive` 必须带 `--change`；只消费已有 outbox claim，补传走 `harness_archive.py republish` |
+| 知识条目 | 平台的知识条目只从归档包的 `candidates/knowledge.json` 产生。`--scope all` 把归档文档当 branch_file 上传，**不进**知识管道——要让页面出现条目必须走归档包 |
 | 失败语义 | `PUSH_PULL_RECEIPT_INVALID`/远端未确认 = 未上传，不得宣称成功；可重试项标注后交还用户 |
 
 ## P0 执行可信度规则

package/harness/bundles/general/claude-code/harness-review/SKILL.md

@@ -22,7 +22,7 @@ disallowed-tools:
   - Bash(curl *)
   - Bash(codegraph *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-review — 代码审查
 
 ## Purpose

package/harness/bundles/general/claude-code/harness-run/SKILL.md

@@ -22,7 +22,7 @@ disallowed-tools:
   - Bash(curl *)
   - Bash(codegraph *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-run — 需求编码
 
 ## Purpose

package/harness/bundles/general/claude-code/harness-submit/SKILL.md

@@ -21,7 +21,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-submit — 最终提交（含 worktree 合并）
 
 ## Purpose

package/harness/bundles/general/claude-code/harness-sync/SKILL.md

@@ -19,7 +19,7 @@ disallowed-tools:
   - Bash(awk *)
   - Bash(curl *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-sync
 
 ## Purpose

package/harness/bundles/general/claude-code/harness-test/SKILL.md

@@ -23,7 +23,7 @@ disallowed-tools:
   - Bash(node *)
   - Bash(codegraph *)
 ---
-<!-- generated by harness_deploy.py; core=24872a7cdba2c8e5; overlay=none; agent=claude-code; do not edit -->
+<!-- generated by harness_deploy.py; core=ef40ffbb4f999ea0; overlay=none; agent=claude-code; do not edit -->
 # harness-test — 测试执行
 
 ## Purpose

package/harness/bundles/general/claude-code/protocols/powershell-protocol.md

@@ -196,6 +196,26 @@ Windows 默认常为 Windows PowerShell **5.1**。下列特性在 5.1 不可用
 - 非 ASCII 路径（含中文）仓库：git/构建/文件操作一律 PowerShell；Bash 被 hook 拒绝（如 `Denied: non-ASCII path`）后**立即**改用 PowerShell 重发等价命令，禁止原样重试 Bash。
 - Maven `-D` 参数在 PowerShell 中加引号：`"-Dmaven.test.skip=true"`。
 
+### 捕获子进程中文输出：`$env:PYTHONUTF8=1` 不够
+
+`PYTHONUTF8=1` 只让 **Python 按 UTF-8 输出**，不改变 **PowerShell 按什么编码读**。
+控制台代码页是 GBK(936) 时，PowerShell 会用 GBK 解码 UTF-8 字节，得到形如
+`绫?javadoc 鏈�闅� 6 绾х簿绠€` 的乱码——内容已在捕获阶段损坏，落进报告、回执与
+JSON 字段后无法还原。
+
+调用任何会输出中文的子进程前，**必须同时设置输出编码**：
+
+```powershell
+[Console]::OutputEncoding = [Text.Encoding]::UTF8
+$env:PYTHONUTF8 = 1
+python harness/scripts/harness_fixback.py <子命令> --json
+```
+
+- 两行缺一不可：只设 `PYTHONUTF8` 会乱码，只设 `OutputEncoding` 则 Python 可能仍按本地编码输出。
+- 写脚本时把这两行放在脚本开头，不要依赖调用方记得加。
+- 少用 `2>&1` 合并流：PowerShell 5.1 会把 stderr 包装成 `NativeCommandError`，
+  与编码问题叠加后更难判断真实失败原因；需要 stderr 时分开捕获。
+
 ## 13. PS5/PS7 原生参数合同
 
 复杂 JSON、Docker Go template、here-string 内容及多层引号不得作为 native process 的内联参数跨 `Bash → powershell -Command → native executable` 传递。统一写 UTF-8 JSON 参数文件：

package/harness/bundles/general/claude-code/protocols/sensitive-info-protocol.md

@@ -93,6 +93,11 @@ spring:
 
 ## 6. profile / 规则 / Markdown 凭据扫描
 
+> 本节讲的是**写入时**的内容卫生，与上传门禁是两回事。CLI 的发布扫描
+> （`harness-push` / 归档）默认策略是 `warn`：命中项打印后照常上传，用
+> `HUNTER_HARNESS_SENSITIVE_SCAN=block` 才恢复阻断、`=off` 完全关闭。
+> 门禁放行不等于内容可以带明文凭据——本节的要求始终成立。
+
 profile `build-profile.json`、规则文档、Skill Markdown **不得包含凭据明文值**（spec §3.4 凭据边界：配置只含 env key、cache path、角色，不含值）。发布前用 `harness-test/scripts/runtime-helpers.mjs` 的 `findCredentialValues(text)` 扫描：
 
 - 命中 `password/token/secret/accessKey/Authorization: Bearer/jdbc password=` 等明文值 → ❌FAIL，必须改为占位符 `<*_REDACTED>` 或 env 引用 `${ENV}` / `$ENV`。