@hunter-harness/workflow-harness 0.2.78 → 0.2.80

package/harness/bundles/general/codebuddy/scripts/harness_runtime.py

@@ -217,10 +217,14 @@ def _secure_private_path(path: Path, *, directory: bool) -> str:
 
 def _sensitive_candidates(root: Path) -> list[dict[str, Any]]:
     """Find high-confidence plaintext assignments without treating prose as a secret."""
-    receipt = _sensitive_evidence_receipt_path(root)
+    # Compare by relative path, not by resolve() per file: this loop covers the
+    # whole change tree, and on Windows each resolve() is a realpath syscall.
+    receipt_rel = SECRET_SCAN_RECEIPT_REL.as_posix()
     candidates: list[dict[str, Any]] = []
     for path in sorted(root.rglob("*")):
-        if not path.is_file() or path.resolve() == receipt.resolve():
+        if not path.is_file():
+            continue
+        if path.relative_to(root).as_posix() == receipt_rel:
             continue
         try:
             raw = path.read_bytes()

package/harness/bundles/general/codex/.harness-build.json

@@ -2,5 +2,5 @@
   "schemaVersion": 1,
   "overlay": "none",
   "agent": "codex",
-  "coreHash": "cd0c7c03851f7b2a"
+  "coreHash": "b45619980b5b945d"
 }

package/harness/bundles/general/codex/harness-archive/SKILL.md

@@ -3,7 +3,7 @@ name: harness-archive
 description: 归档所有变更产出（计划/测试报告/审查/SQL/API文档）到 .harness/archive/，含归档元数据。仅当用户显式调用
   /harness-archive 时使用；不得被其他阶段 skill 自动接续触发。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-archive — 变更归档
 
 ## Purpose
@@ -130,9 +130,35 @@ description: 归档所有变更产出（计划/测试报告/审查/SQL/API文档
 
 | 阻断 | 出路 |
 |------|------|
-| `SENSITIVE_EVIDENCE_UNQUARANTINED` | `python <skills-root>/scripts/harness_runtime.py quarantine-evidence --project . --change-dir ".harness/changes/<cn>" --file "<相对 change-dir 的路径>" --reason "<为什么是敏感证据>" --json`（`--file` 可重复）。私有根默认已与项目同盘、且在项目根之外——**不要**手工指定项目内的路径，归档的密钥扫描会以 `SECRET_SCAN_PRIVATE_PATH_IN_COPY_ROOT` 拒绝 |
+| `SENSITIVE_EVIDENCE_UNQUARANTINED`（默认只告警，`HUNTER_HARNESS_SENSITIVE_SCAN=block` 时才阻断） | `python <skills-root>/scripts/harness_runtime.py quarantine-evidence --project . --change-dir ".harness/changes/<cn>" --file "<相对 change-dir 的路径>" --reason "<为什么是敏感证据>" --json`（`--file` 可重复）。私有根默认已与项目同盘、且在项目根之外——**不要**手工指定项目内的路径，归档的密钥扫描会以 `SECRET_SCAN_PRIVATE_PATH_IN_COPY_ROOT` 拒绝 |
 | `DIFF_ZERO_WITH_NONEMPTY_COMMIT`（提交范围非空但 filesChanged=0） | 契约缺 `ownership.productPaths`，全部改动被判为 `foreignPaths`。用 `python <skills-root>/scripts/harness_change.py declare-ownership --change <cn> --product-path "<目录前缀或精确文件>" --json` 按计划的实际改动范围声明（可重复；只收精确路径，不支持通配）。**不要**手改 `change-context.json` |
 
+### 二·B、归档补传（上传失败或历史归档缺条目）
+
+归档上传成功后 ZIP 与回执会被清理，旧版本产生的归档从未入 outbox——所以
+`harness-push --scope archive` 找不到可复用的包属于正常状态，不是故障。补传从已封存的
+归档目录重建确定性包：
+
+```powershell
+python <skills-root>/scripts/harness_archive.py republish --change <change-key> --dry-run --json   # 只看包内容
+python <skills-root>/scripts/harness_archive.py republish --change <change-key> --json             # 重建并上传
+```
+
+脚本在 `<skills-root>/scripts/` 共享，**不在 `harness-archive/scripts/`**（见 read-protocol 第 0 条）。
+
+在项目根内任意目录直接跑即可，**不需要** `--project`。
+
+归档目录是封存的（after-manifest 覆盖其每个字节），因此 `republish` **不写回**归档目录：
+缺失的 `candidates/knowledge.json` 只在内存中按已归档 summary 生成并放进包里。平台的知识
+条目只来自这个包；`--scope all` 走的是 branch_file 通道，不进知识管道。
+
+**服务端一个 change key 只存一个不可变包**，所以补传只适用于「从未成功上传」与「字节完全一致的
+重试」。已 durable 的 change 会在本地就判出结果：字节一致 → `ARCHIVE_ALREADY_PUBLISHED`
+（exit 0，不重传）；字节不同 → `ARCHIVE_REMOTE_IMMUTABLE_CONFLICT`（exit 1，**不发起上传**）。
+**已发布归档无法从客户端补知识条目**——注入候选必然改变字节，服务端拒绝替换；要补需要平台侧
+提供重新索引或归档版本化能力。
+只想重试**同一个包**（例如知识索引失败）时加 `--no-knowledge-injection`，它按封存目录原样重建，字节与已存包一致。
+
 ### 三、文件移动只用内置工具或 PowerShell
 
 移动用 Read+Write+验证 或 PowerShell；**禁止 Bash mv/cp/rm**。移动失败时不删除原目录，报错退出让用户手动处理。

package/harness/bundles/general/codex/harness-codebase-map/SKILL.md

@@ -3,7 +3,7 @@ name: harness-codebase-map
 description: 分析现有代码库并生成 .harness/codebase/map/
   下的结构化代码库地图。用于陌生项目理解、重大改造前梳理、harness-sync 提示 map 过期后的人工刷新。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-codebase-map — 代码库地图
 
 ## Purpose

package/harness/bundles/general/codex/harness-knowledge-ingest/SKILL.md

@@ -2,7 +2,7 @@
 name: harness-knowledge-ingest
 description: 确认归档 ZIP 已上传并由 Hunter Platform 在服务端解包、校验和入库。客户端不再构建或维护本地知识索引。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-knowledge-ingest
 
 知识 ingest 完全由 Hunter Platform 负责。归档完成时，客户端生成一个确定性 ZIP；

package/harness/bundles/general/codex/harness-knowledge-query/SKILL.md

@@ -2,7 +2,7 @@
 name: harness-knowledge-query
 description: 在规划、实现或排查前，通过 hunter-harness CLI 查询远端项目知识库。远端不可用时直接报告不可用，不建立本地索引或离线回退。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-knowledge-query
 
 项目知识以 Hunter Platform 的服务端索引为唯一真源。客户端只提交查询并消费结果：

package/harness/bundles/general/codex/harness-plan/SKILL.md

@@ -3,7 +3,7 @@ name: harness-plan
 description: 将需求转化为设计文档+实施计划+完整测试场景表，必须在编码前完成。仅当用户显式调用 /harness-plan 或明确要求进入
   Harness 规划阶段时使用；不得因用户描述需求就自动触发。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-plan — 需求规划
 
 ## Purpose

package/harness/bundles/general/codex/harness-pull/SKILL.md

@@ -3,7 +3,7 @@ name: harness-pull
 description: 从 Hunter Platform 下拉配置/规则/架构/指令（及显式来源分支的分支文件恢复）。仅当用户显式调用
   /harness-pull 或明确说'从平台拉取/恢复'时使用；不得自动触发。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-pull — 从 Hunter Platform 下拉与恢复
 
 ## Purpose

package/harness/bundles/general/codex/harness-push/SKILL.md

@@ -3,7 +3,7 @@ name: harness-push
 description: 上传本地配置/规则/架构/指令（及显式归档）到 Hunter Platform。仅当用户显式调用 /harness-push
   或明确说'上传到平台'时使用；不得因存在本地修改就自动触发。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-push — 上传到 Hunter Platform
 
 ## Purpose
@@ -17,29 +17,53 @@ description: 上传本地配置/规则/架构/指令（及显式归档）到 Hun
 ## 前置条件
 
 - 远端同步已配置：优先读环境变量 `HUNTER_REMOTE_SYNC_URL`、`HUNTER_REMOTE_SYNC_TOKEN`、`HUNTER_REMOTE_SYNC_ACTOR_ID`；缺失字段回退到 `hunter-harness connect` 写入的 `.harness/credentials.local.yaml`（含 actor_id；旧绑定缺该字段时 CLI 经 key-info 自动补全并写回）。两者都缺时 CLI 固定 fail closed（`PUSH_PULL_CLI_UNAVAILABLE`），**不得**改用旧 HTTP fallback 或手工 API 调用。
-- 归档上传只选择已写入 outbox 的确定性包（阶段 06 产物）；不存在可复用包时提示先完成本地归档，**不得**在 Push 内隐式补做 finalize/重建 ZIP。
+- 归档有两条互斥入口，先判断走哪条，**不要**自己找目录或拼 ZIP：
+  - **待发布包**（刚归档完、上传失败还没成功）：`--scope archive --change <key>` 消费 outbox claim。claim 记录在 `.harness/state/local/archive-outbox/`，ZIP 在 `.harness/state/local/archive-packages/`——不存在 `.harness/outbox` 这个目录。
+  - **补传已封存归档**（上传早已成功、包被清理，或归档由旧版本产生从未入 outbox）：走 `harness_archive.py republish`（见下）。上传成功后 ZIP 与回执按设计会被删除，所以"没有可复用包"是常态而非故障。
+- 两条入口都**不得**在 Push 内隐式补做 finalize/重建归档目录。
 
 ## 交互流程
 
 1. **选择范围**：`config` / `rules` / `architecture` / `instructions` / `all`，或显式归档 `--scope archive --change <change-key>`。归档必须显式，避免误传历史包或无法确定目标 Change。
 2. **展示预览**：分支、提交、远端基线和实际变化文件；无变化时直接结束，不创建空版本。
-3. **用户确认**：可覆盖风险（hard 敏感阻断除外）必须显式确认后才上传；确认只对本次 preview 有效。
+3. **用户确认**：敏感命中默认只打印不阻断（策略 `warn`），照常走正常确认流程；把 `HUNTER_HARNESS_SENSITIVE_SCAN` 设成 `block` 后，可覆盖项才需要显式确认（high 命中在该模式下不可逐条覆盖）。确认只对本次 preview 有效。
 4. **按内容分类报告**：成功、跳过、冲突和可重试项分开列出；冲突只投影机器决策，可附 `--resolve <path=keep-local|accept-remote|skip>` 逐项选择。
 
 ## 命令
 
 ```powershell
 npx hunter-harness harness-push --scope config,rules --json
+# 待发布包（有 outbox claim 时）
 npx hunter-harness harness-push --scope archive --change <change-key> --json
+# 补传已封存归档：重建确定性包并上传（--dry-run 只看包内容）
+python <skills-root>/scripts/harness_archive.py republish --change <change-key> --json
 ```
 
+`<skills-root>` 是已部署 skills 的根目录，实际形态是 `.codebuddy/skills/`（`.claude`、`.cursor`、
+`.codex` 同理）。**脚本在它下面的 `scripts/` 里共享，不在 `harness-push/scripts/`** —— 已有四份
+执行日志先猜成后者、报 `No such file` 再回头找。
+
+`--scope archive` 没有待发布 claim 时返回 `PUSH_PULL_ARCHIVE_NO_PENDING_CLAIM`（exit 5），
+stderr 里直接给出上面的 republish 命令；`--dry-run` 会列出本地可补传的归档目录，不取租约。
+`republish` 在项目根内任意目录直接跑即可，**不需要** `--project`。
+
+**补传能做什么、不能做什么**：服务端对同一 change key 只保存**一个不可变包**。所以补传只适用于
+「从未成功上传」与「字节完全一致的重试」两种情况。若该 change 已是 durable，`republish` 会读
+`.harness/state/local/archive-packages/<key>.remote.json` 在**本地就判定**并返回：
+字节一致 → `ARCHIVE_ALREADY_PUBLISHED`（exit 0，不重传）；字节不同 →
+`ARCHIVE_REMOTE_IMMUTABLE_CONFLICT`（exit 1，**不发起上传**）。
+**已发布的归档无法从客户端补上知识条目**——注入 `candidates/knowledge.json` 必然改变字节，
+服务端拒绝替换。要让旧归档产生知识条目，需要平台侧提供重新索引或归档版本化能力。
+只想重试**同一个包**（例如知识索引失败）时加 `--no-knowledge-injection`，它按封存目录原样重建，字节与已存包一致。
+
 ## 关键规则
 
 | 规则 | 要点 |
 |------|------|
 | 无变化不上传 | 预览无变化时返回 `no_changes`，不创建确认、不调用执行入口 |
-| 敏感与凭据 | 不做内容遮盖；路径白名单、凭据文件排除、哈希校验保持启用；hard 敏感阻断不得生成确认 |
-| 归档边界 | 归档不进普通范围；`--scope archive` 必须带 `--change`；只消费已有 outbox claim |
+| 敏感与凭据 | 不做内容遮盖；路径白名单、凭据文件排除、哈希校验保持启用。扫描默认 `warn`：命中项按 `路径:行 规则(严重度)` 打印后照常上传。`HUNTER_HARNESS_SENSITIVE_SCAN=block` 恢复阻断，`=off` 完全关闭。阻断态下可覆盖项加 `--allow-sensitive`（非交互需配合 `--yes`，原因用 `--sensitive-reason`）；high 命中在 block 态仍不可逐条覆盖，要放行就改策略 |
+| 归档边界 | 归档不进普通范围；`--scope archive` 必须带 `--change`；只消费已有 outbox claim，补传走 `harness_archive.py republish` |
+| 知识条目 | 平台的知识条目只从归档包的 `candidates/knowledge.json` 产生。`--scope all` 把归档文档当 branch_file 上传，**不进**知识管道——要让页面出现条目必须走归档包 |
 | 失败语义 | `PUSH_PULL_RECEIPT_INVALID`/远端未确认 = 未上传，不得宣称成功；可重试项标注后交还用户 |
 
 ## P0 执行可信度规则

package/harness/bundles/general/codex/harness-review/SKILL.md

@@ -4,7 +4,7 @@ description: 6维度代码审查（架构/安全/规范/兼容/测试/性能）
   .harness/context-index.json）和测试场景表，在隔离上下文运行。仅当用户显式调用 /harness-review 时使用；不得在
   test 结束后自动接续执行。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-review — 代码审查
 
 ## Purpose

package/harness/bundles/general/codex/harness-run/SKILL.md

@@ -3,7 +3,7 @@ name: harness-run
 description: 按变更簇执行 TDD 编码循环（RED→GREEN→REFACTOR→编译验证），逐变更簇实现计划中的任务。仅当用户显式调用
   /harness-run 时使用；不得因用户提到编码/实现就自动触发，也不得被其他阶段 skill 自动接续。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-run — 需求编码
 
 ## Purpose

package/harness/bundles/general/codex/harness-submit/SKILL.md

@@ -3,7 +3,7 @@ name: harness-submit
 description: 最终提交封装：验证→中文 commit→提交/推送；worktree 模式含 --no-ff 合并回主分支。仅当用户显式调用
   /harness-submit（或 /harness-merge 重入合并段）时使用；用户口头说'提交/commit/push'时必须先确认，不得自动触发。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-submit — 最终提交（含 worktree 合并）
 
 ## Purpose

package/harness/bundles/general/codex/harness-sync/SKILL.md

@@ -4,7 +4,7 @@ description: Use when the user asks to synchronize, refresh, or validate Harness
   metadata, adapters, remote knowledge ownership, instruction entrypoints,
   config origins, or CodeGraph status.
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-sync
 
 ## Purpose

package/harness/bundles/general/codex/harness-test/SKILL.md

@@ -3,7 +3,7 @@ name: harness-test
 description: 测试执行：读取场景表，执行单元测试+API接口测试+数据兼容验证，输出测试报告。仅当用户显式调用 /harness-test
   时使用；不得在 run 结束后自动接续执行。
 ---
-<!-- generated by harness_deploy.py; core=cd0c7c03851f7b2a; overlay=none; agent=codex; do not edit -->
+<!-- generated by harness_deploy.py; core=b45619980b5b945d; overlay=none; agent=codex; do not edit -->
 # harness-test — 测试执行
 
 ## Purpose

package/harness/bundles/general/codex/protocols/sensitive-info-protocol.md

@@ -93,6 +93,11 @@ spring:
 
 ## 6. profile / 规则 / Markdown 凭据扫描
 
+> 本节讲的是**写入时**的内容卫生，与上传门禁是两回事。CLI 的发布扫描
+> （`harness-push` / 归档）默认策略是 `warn`：命中项打印后照常上传，用
+> `HUNTER_HARNESS_SENSITIVE_SCAN=block` 才恢复阻断、`=off` 完全关闭。
+> 门禁放行不等于内容可以带明文凭据——本节的要求始终成立。
+
 profile `build-profile.json`、规则文档、Skill Markdown **不得包含凭据明文值**（spec §3.4 凭据边界：配置只含 env key、cache path、角色，不含值）。发布前用 `harness-test/scripts/runtime-helpers.mjs` 的 `findCredentialValues(text)` 扫描：
 
 - 命中 `password/token/secret/accessKey/Authorization: Bearer/jdbc password=` 等明文值 → ❌FAIL，必须改为占位符 `<*_REDACTED>` 或 env 引用 `${ENV}` / `$ENV`。