@moonquake2004/dsh-doctor 0.8.1 → 0.8.3

package/CHANGELOG.md

@@ -16,6 +16,81 @@
 
 ---
 
+## [0.8.3] — 2026-09-16
+
+**把"自造的对抗者"变成默认动作**（用户要求：红队入流程 + 不依赖外部报错也能自我进化）。
+
+### Added —— 变异测试：验证"守卫是否真的在守"
+
+`scripts/mutation-test.mjs`：**故意破坏每个守卫，要求测试必须变红**；破坏后测试仍绿 = 那个守卫是装饰品。
+
+- 首轮结果：**8 个变异中 4 个存活** —— 也就是说**一半守卫此前无人看守**：
+  `arity-guard`（没测）、`catalog-skip-as-pass`（没测）、`closure-symbol`（我的变异插错了位置）、
+  `coverage-reset-noop`（**守卫本身冗余**：各段都自己设了值，去掉重置没有任何测试变红）。
+- 处置：补了两条缺失的测试（arity 守卫 / 目录检查 skip 语义，且**用例自控环境**：PATH 收窄到只有 node，
+  否则 E7 在有 dsh 的机器上合法地 pass，测试就变成对环境的断言）；把"覆盖量上下文"改为**绑定求值阶段**
+  （`coverageNow()` 只接受属于当前阶段的上下文），守卫才有牙齿；无牙齿的那条如实标为**等价变异**并记录。
+- 终态：**杀死 7 / 存活 0 / 等价 1（已记录）**。
+
+### Added —— 发布闸门：红队不跑就不许发版
+
+- `docs/redteam-brief.md`：红队行动简报（如何发起、攻击面、产出要求）。
+- `scripts/release-check.sh`：五道闸门 —— 环境泛化审计 · **变异测试无存活** · 全套测试 ·
+  **本版本必须留下 `docs/redteam-<版本>.md`** · 待决策清单可见。缺一项即"不许发布"。
+- 接入 CI（ubuntu × node24）。**闸门第一次运行就拦住了 0.8.3 自己**（缺红队档案）。
+
+### Added —— 缺陷台账：让"自我进化"可度量
+
+`docs/defect-ledger.md`：20 条缺陷按**来源**分类（EXT 外部报告 / RT 红队 / MUT 变异 / AUDIT 自审），
+并给出**预发布发现率**。截至今日：EXT 6 · RT 6 · MUT 1 类 · AUDIT 7 → **预发布发现率 ≈ 70%**。
+台账里如实注明：**红队那 6 条是因为用户要求才跑的**，所以闸门（强制留下档案）才是把比率变成能力的那一步。
+
+## [0.8.2] — 2026-09-16
+
+**红队审计（fresh-context 证伪者）在"已自审三轮"的版本里找出 6 个真漏洞**，其中 2 个推翻了我刚声称"已验证"的断言。
+完整档案：`docs/redteam-2026-09-16.md`；未修项见 `docs/check-authoring-rules.md` §5。
+
+### Fixed
+
+- **目录检查把"跳过"报成 pass，并伪造覆盖量**（最严重）：`runCatalogCheck` 自报 `skipped` 被记成 `ok:true`；
+  `report()` 的 `examined` 回退到段级占位值 1，零对象永不降级。实测 `✓ 未发现 DSH 环境…跳过 dsh 的 PATH 检查`；
+  profile 目录**整个不存在**时 P6 仍 pass。
+  - 自报 `skipped` → `reportSkip`；探测原语的"目标不存在"分支补 `skipped: true`（根因是**分支里没设标记、文案却写着"跳过"**）；
+    保留"文案含跳过 ⇒ skip"作兜底。空环境下被伪造的 `verified` 由 11 降到 8。
+- **闭集检测有盲点**：`⚠` 也是判定符号却裸写在收口点外，而闭集正则只有 `/[✓⊖✗]/`。纳入 `⚠` 后**立刻又暴露 3 处**，已全部收口；
+  判定符号正则集中为 `VERDICT_GLYPH_RE`；**收口处剥掉数据里的判定符号**（远程目录数据不得伪造判定上屏）。
+- **`reportSkip` 缺 `phase`** → 补上（"单位属于求值阶段"这条断言此前在 skip 上无法核对）。
+
+### Changed — 契约级决策，**未擅改**
+
+- **退出码随输出格式分叉**（`--json` 1 / `--envelope` 2 / 文本 1）：契约 `doctor-contract.md:32` 规定
+  `0 全通过 / 1 任何 WARN / 2 任何 FAIL` → **envelope 是对的一边，主路径违反契约**。
+  我一度把 envelope 改成 1（**统一到违反契约的一边**），已回滚；分歧现由测试钉住并列为待决策 D1。
+
+### Infra
+
+- `scripts/audit.sh` 的畸形-manifest 断言由 `n > 1` 收紧为 `n >= 15`，并把当前不达标**如实计为"已知缺口"**（自证太弱是 R8 的实例）。
+- 新增 `docs/redteam-2026-09-16.md`（逐条反例 + 处置 + 红队未能验证项）。
+
+### 第二轮红队（攻击这批新机制本身）→ 本轮修复
+
+完整档案 `docs/redteam-0.8.3.md`。**8 条真反例**，其中 1 条推翻台账里"R1 已修 0.8.2"的结论：
+
+- **F1（严重）**：0.8.2 只修了**目录段**的"跳过报成 pass"；**profile 段的阶段占位值仍在伪造覆盖量** ——
+  3 个**一个都没装**的幽灵 bundle 也能得到 `✓ 16 项通过 / ok=true / verified=16`，且 15 条记录带
+  `examined=3, examinedWhat="bundle 条目"`（P21 文案写"扫描 0 个 host 入口"却记 examined=3）。
+  **已修**：删除占位回退（`examined` 只能显式申报）；未申报者标 `unreported` 并**单独计数、进 JSON**；
+  补齐 P11/P15/P17/P19/P20/P21 的数量与单位；删除"数量巧合就继承单位"的回退（它会把 P15 误贴成"3 个 bundle 条目"）。
+- **F3/F4/F8（高）**：发布闸门可被空文件或任意版本号旁路；**闸门与变异清单此前根本未入库**；闸门诊断在 C locale 下崩溃且从不核对数量。已修并入库。
+- **F5（高）**：测试**依赖网络**导致不可复现，进而让变异测试产生**假杀死**（环境红 = 记成 kill）。
+  已加离线开关 `DSH_DOCTOR_OFFLINE=1`；变异判据收紧为"必须出现断言失败"；每条变异先跑基线；超时单列。
+- **F6（中）**：等价变异是自证后门（无预算、不进 `--json`）。已加预算（1）并在 JSON 暴露。
+- **F7（中）**：台账计数与自己的 20 行不自洽 → 已按行重算并写明归属规则。
+- **F2（严重，未修）**：闭集只是**文本律**（`String.fromCharCode` 可绕过；`client.js` 未被扫描）→ **待决策 D6**。
+- 附注：`--no-catalog` 只是 `noRemote`，`checks.local.json` 仍会合并 → **待决策 D7**。
+
+测试 144 → **214**。
+
 ## [0.8.1] — 2026-09-16
 
 ### 0.8.0 的回归审计 —— **修一个引入一个，被查出来了四个**

package/dsh-doctor.mjs

@@ -233,16 +233,21 @@ function hasDshEnvironment(home = HOME) {
  *   · `examined === 0` → **不得 pass**，自动降为 skip（"无可检查对象"）——硬不变量，CI 有测试盯着；
  *   · `examined` 未报告 → 结果带 `coverage: 'unreported'`（机器可读的欠账标记），可被测试度量并逐项清零。
  */
-let coverageContext = null; // 当前检查段"检查了多少同类对象"的默认值（由 setCoverage 设置）
-function setCoverage(n, what) { coverageContext = typeof n === 'number' ? { n, what } : null; }
+let coverageContext = null; // 当前检查段"检查了多少同类对象"的默认值（由 setCoverage 设置，且**绑定阶段**）
+let currentPhase = null;    // 求值阶段：env / profile / session / catalog
+function setCoverage(n, what) { coverageContext = typeof n === 'number' ? { n, what, phase: currentPhase } : null; }
 /** 段边界重置：覆盖量上下文**绝不允许跨段继承**——否则会伪造出一个看起来可信的数字。
  *  2026-09 回归审计实测：会话段的 S6/S14 曾号称"检查了 16 个 bundle 条目"，而它们实际展开的是 11352 个事件。 */
 function resetCoverage() { coverageContext = null; }
 /** 求值阶段（env/profile/session/catalog）。覆盖量的**单位属于阶段**，不属于展示用的 section——
  *  目录提供的检查会带 section:'env'/'profile'，但它们在 catalog 阶段求值（回归审计实测）。 */
-let currentPhase = null;
 function setPhase(p) { currentPhase = p; }
-function coverageNow() { return coverageContext; }
+function coverageNow() {
+  // 只接受**属于当前阶段**的上下文：这样"忘记在段边界重置"不可能再伪造出跨段的数字
+  // （变异测试发现：只靠 resetCoverage 的版本里，去掉重置后没有任何测试变红——守卫是冗余的；
+  //  绑定阶段后，守卫才有牙齿。）
+  return coverageContext && coverageContext.phase === currentPhase ? coverageContext : null;
+}
 
 function report(section, id, ok, detail, fix, src, examined) {
   // R6 接口律：参数放错位置必须**立刻抛**，而不是变成一条静默的错误判定。
@@ -250,8 +255,8 @@ function report(section, id, ok, detail, fix, src, examined) {
   // 回退到上下文 0 → 一条本该 pass 的检查被静默降级。凭记忆拼参数是可以通过机制消灭的。
   // R6 扩展（2026-09 回归审计）：**参数个数**守卫。JS 会静默忽略多余参数，而我只校验了类型——
   // 于是"多传一个 undefined"这类错误（我给 S11 补覆盖量时就犯了）能一路走到运行时。
-  if (arguments.length > 7) {
-    throw new Error(`report(${id}): 最多 7 个参数 (section, id, ok, detail, fix, src, examined)，收到 ${arguments.length} 个 —— 检查参数位置`);
+  if (arguments.length > 8) {
+    throw new Error(`report(${id}): 最多 8 个参数 (section, id, ok, detail, fix, src, examined, examinedWhat)，收到 ${arguments.length} 个 —— 检查参数位置`);
   }
   if (typeof examined !== 'number' && examined !== undefined) {
     throw new Error(`report(${id}): examined 必须是 number 或 undefined，收到 ${typeof examined}（${JSON.stringify(examined)}）——检查参数位置`);
@@ -262,16 +267,34 @@ function report(section, id, ok, detail, fix, src, examined) {
   if (typeof section !== 'string' || typeof id !== 'string' || typeof ok !== 'boolean' || typeof detail !== 'string') {
     throw new Error(`report(): 前四个参数必须是 (section:string, id:string, ok:boolean, detail:string)`);
   }
-  const zeroCheck = typeof examined === 'number' ? examined : coverageNow()?.n;
+  // 红队 F1（2026-09-16）：**不得**用阶段占位值顶替真实数量。
+  // 实测反例：3 个「幽灵 bundle」（一个都没装）时，15 条通过项带上 `examined=3, examinedWhat="bundle 条目"`，
+  // 其中 P21 的文案是"扫描 0 个 host 入口与 0 个 client 产物"——**文案与覆盖量自相矛盾**，
+  // 而 verified=16 让聚合层宣称"16 项通过"。占位值把"零对象不变量"整个架空了。
+  const zeroCheck = typeof examined === 'number' ? examined : undefined;
   if (ok === true && zeroCheck === 0) {
-    results.push({ section, id, ok: true, skip: true, coverage: 'none', detail: `${detail}（无可检查对象，未做任何比较）`, fix, src: src ?? 'builtin' });
+    // 2026-09 语料发现的措辞缺陷：原实现把原判定文案原样留下 → 出现"结构正常（无可检查对象，未做任何比较）"
+    // 这种**自相矛盾**的句子（既宣称正常、又说没比较）。原文案改放 note（机器可读），人读文案只陈述事实。
+    results.push({ section, id, ok: true, skip: true, coverage: 'none',
+      // 措辞要求：**不得自相矛盾**（2026-09 语料曾产出"结构正常（无可检查对象，未做任何比较）"），
+      // 同时保留具体原因（否则用户与测试都只能看到一句通用话）。
+      detail: `无可检查对象、未做任何比较——不作为「通过」；原判定：${String(detail).replace(VERDICT_GLYPH_RE, '·')}`,
+      fix, src: src ?? 'builtin' });
     return;
   }
-  const rec = { section, id, ok, detail, fix, src: src ?? 'builtin', phase: currentPhase };
+  // R6（红队）：detail 可来自远程目录/checks.local.json，**数据不得能伪造判定符号**上屏——
+  // 源码里没有 ✓ 也能让 stdout 出现 ✓。故在收口处剥掉数据里的判定符号（含 ⚠）。
+  const safeDetail = String(detail).replace(VERDICT_GLYPH_RE, '·');
+  const rec = { section, id, ok, detail: safeDetail, fix, src: src ?? 'builtin', phase: currentPhase };
   if (ok === true) {
-    const ctx = coverageNow();
-    const n = typeof examined === 'number' ? examined : ctx?.n;
-    if (typeof n === 'number') { rec.examined = n; if (ctx?.what) rec.examinedWhat = ctx.what; }
+    // 只有显式申报才算数；`examinedWhat` 也必须与**同一处**申报配套（由调用点传 what）
+    if (typeof examined === 'number') {
+      rec.examined = examined;
+      // 第 8 个参数是**覆盖量单位**（与 examined 配套申报，避免"数量对不上单位"的旧问题）
+      // 单位**只能**由第 8 个参数显式申报。绝不按"数量恰好相等"去继承——
+      // 那会让"检查了 3 个文件"的 P15 被贴上"3 个 bundle 条目"的标签（我第一版就这么错了）。
+      if (typeof arguments[7] === 'string') rec.examinedWhat = arguments[7];
+    }
     else rec.coverage = 'unreported';
   }
   results.push(rec);
@@ -279,7 +302,8 @@ function report(section, id, ok, detail, fix, src, examined) {
 
 /** skip 状态（v1 词汇表 r5：#1719）——"不适用"而非"通过"，必须带 reason（detail）。不计入 pass/fail，不翻退出码。 */
 function reportSkip(section, id, detail, src) {
-  results.push({ section, id, ok: true, skip: true, detail, src: src ?? 'builtin' });
+  // R2（红队）：skip 记录此前**没有 phase 字段**，于是"单位属于求值阶段"这条断言在 skip 上无法核对。
+  results.push({ section, id, ok: true, skip: true, detail, src: src ?? 'builtin', phase: currentPhase });
 }
 
 
@@ -298,6 +322,7 @@ function reportSkip(section, id, detail, src) {
  * @param {{checked?: number, detail?: string, reason?: string, totals?: {verified:number, skipped:number, failed:number}}} opts
  */
 function makeVerdict(state, opts = {}) {
+  if (!['pass', 'fail', 'skip', 'warn', 'action'].includes(state)) throw new Error(`makeVerdict: 未知状态 ${state}`);
   if (state === 'pass') {
     const n = opts.checked;
     if (typeof n !== 'number' || n <= 0) {
@@ -313,6 +338,9 @@ function makeVerdict(state, opts = {}) {
  * 两者构成本工具的**闭集**——闭集测试断言：源码里任何 ✓/⊖/✗ 都必须落在这两个函数体内。
  */
 const VERDICT_MARKS = { pass: '✓', fail: '✗', skip: '⊖', warn: '⚠', action: '✓' };
+/** 判定符号集合（含 ⚠）——**唯一**用于"从数据里剥掉符号"的正则。
+ *  红队 R6：数据（远程目录/checks.local.json）不得能伪造判定符号上屏；符号只许收口点产出。 */
+const VERDICT_GLYPH_RE = /[✓✔⊖✗✘⚠]/g;
 
 function printItem(state, text, indent = 2) {
   console.log(`${' '.repeat(indent)}${VERDICT_MARKS[state] ?? '?'} ${text}`);
@@ -336,15 +364,19 @@ function aggregateVerdict(records) {
   const failed = records.filter((r) => !r.skip && !r.ok);
   const verified = records.filter((r) => !r.skip && r.ok && (r.examined ?? 0) > 0).length;
   const skipped = records.filter((r) => r.skip).length;
-  const totals = { verified, skipped, failed: failed.length };
+  // 红队 F1：**未申报覆盖量的通过**既不算"已验证"，也不能隐形——单独计数并进汇总
+  const unreported = records.filter((r) => !r.skip && r.ok && r.coverage === 'unreported').length;
+  const totals = { verified, skipped, failed: failed.length, unreported };
   if (failed.length) return makeVerdict('fail', { totals, detail: `${failed.length} 个问题` });
   if (verified === 0) {
     return makeVerdict('skip', { totals, reason: `没有任何检查实际验证过（${skipped} 项全部跳过）` });
   }
   if (skipped > 0) {
-    return makeVerdict('pass', { checked: verified, totals, detail: `${verified} 项通过、${skipped} 项未检查（skip）——**未检查的部分不代表通过**` });
+    const unrep = unreported > 0 ? `；另有 ${unreported} 项通过但**未申报检查了多少**（不算已验证）` : '';
+  return makeVerdict('pass', { checked: verified, totals, detail: `${verified} 项通过、${skipped} 项未检查（skip）${unrep}` });
   }
-  return makeVerdict('pass', { checked: verified, totals, detail: `全部通过（${verified} 项，均已验证）` });
+  const unrep2 = unreported > 0 ? `（其中 ${unreported} 项未申报覆盖量）` : '';
+  return makeVerdict('pass', { checked: verified, totals, detail: `全部通过（${verified} 项已验证${unrep2}）` });
 }
 
 /** 解析 --profile 参数：名字（如 web）→ $DSH_HOME/profiles/<name>；含路径分隔符/~/开头 → 直接当 profile 目录（契约 harness 传绝对路径）。 */
@@ -655,7 +687,7 @@ function checkPort3080() {
             `端口 ${port} 被 dsh web 实例占用（PID ${info.pid}）${httpAlive === true ? '且 HTTP 有应答' : ''}——宿主自身或另一实例，正常`, undefined);
         }
         else if (info) report('env', 'E10-port-3080', false, `端口 ${port} 被其他程序占用（PID ${info.pid}: ${info.cmd}），dsh web 启动会 address in use（#1719）`, `关掉占用进程，或让 dsh web 用别的端口`);
-        else report('env', 'E10-port-3080', true, `⚠ 端口 ${port} 被占用但无法识别占用者`, undefined);
+        else report('env', 'E10-port-3080', true, `端口 ${port} 被占用但无法识别占用者`, undefined);
       } else {
         report('env', 'E10-port-3080', false, `端口 ${port} 探测异常: ${e.message.slice(0, 60)}`, undefined);
       }
@@ -871,7 +903,7 @@ function checkProfile(name) {
         + `systemd 健康、端口在听、页面永远空白（#6693 实测：整份 journal 里该错误计数为 0）`,
         '把 client 半边改成 `__ModuleLoader__.load({ id, factory })` 的 CJS 工厂形态（参照 dsh-better-sidebar / dsh-dream-skin）');
     } else {
-      report('profile', 'P20', true, `client 产物均为 CJS 工厂形态（${p20scanned} 个）`);
+      report('profile', 'P20', true, `client 产物均为 CJS 工厂形态（${p20scanned} 个）`, undefined, undefined, p20scanned, 'client 产物');
     }
 
     // P21：**沙箱专属符号在普通插件里不存在**（host 与 client 两侧一律如此，同一根因两个面）
@@ -923,7 +955,7 @@ function checkProfile(name) {
         + `\n  host 侧表现为 \`ReferenceError: harness is not defined\`（在 \`apply()\` 内同步抛出 → cordis 中断装载链 → Web UI 整体不可用）`,
         '移除这些引用或用宿主提供的等价能力；若确需守卫，必须写成 `typeof X !== \"undefined\"` **放在最前**——`X.foo && …` 挡不住（裸标识符先被解析）');
     } else if (notes21.length) {
-      report('profile', 'P21', true, `未见裸引用沙箱专属符号（${notes21.length} 处有 typeof 守卫，未计入）`);
+      report('profile', 'P21', true, `未见裸引用沙箱专属符号（${notes21.length} 处有 typeof 守卫，未计入）`, undefined, undefined, hostFiles.length + clientFiles.length, 'host/client 文件');
     } else {
       report('profile', 'P21', true, `扫描 ${hostFiles.length} 个 host 入口与 ${clientFiles.length} 个 client 产物，未见沙箱专属符号引用`);
     }
@@ -983,7 +1015,7 @@ function checkProfile(name) {
       report('profile', 'P19', true,
         `核对 ${checked19} 条 host peer 声明，均可接受当前核心版本`
         + (unknown19 ? `（${unknown19} 条无法判定，按未知处理未计入）` : '')
-        + undeclaredNote.replace(/\n\s*/g, ' '));
+        + undeclaredNote.replace(/\n\s*/g, ' '), undefined, undefined, checked19, 'host peer 声明');
     }
   }
 
@@ -1213,7 +1245,7 @@ function packageNamedExports(pkgDir) {
     }
   }
   if (entryIssues.length) report('profile', 'P11', false, `已装 bundle 的 main 入口缺失（#1965：市场装源码不跑构建 → ERR_MODULE_NOT_FOUND → dsh web boot 崩溃）: ${entryIssues.join('; ')}`, '在插件目录跑构建（pnpm install && pnpm run build 产出 main 指向的文件），或改用打包好的 npm 包安装；monorepo 插件需装子包（dsh-market #18 同族）');
-  else report('profile', 'P11', true, '已装 bundle 的 main 入口产物均在', undefined);
+  else report('profile', 'P11', true, '已装 bundle 的 main 入口产物均在', undefined, undefined, bundleDirs.size, '已装 bundle');
 
   // P13：client 端服务名抢注核心客户端服务（#2752：ctx.provide("chatFileMentions") 撞核心 dsh-client-ui-deliverables
   // → 浏览器端 service already registered → Web UI 白屏，服务端日志无感知、报错无冲突来源）
@@ -1404,7 +1436,7 @@ function packageNamedExports(pkgDir) {
       + '改用 [IO.File]::WriteAllText($p, (Get-Content $p -Raw), (New-Object Text.UTF8Encoding $false))；'
       + '或 sed -i "" "1s/^\xEF\xBB\xBF//" <file>', undefined, bomTargets.length);
   } else {
-    report('profile', 'P15', true, `关键文件无 BOM 头（检查 ${bomTargets.length} 个）`, undefined, undefined, bomTargets.length);
+    report('profile', 'P15', true, `关键文件无 BOM 头（检查 ${bomTargets.length} 个）`, undefined, undefined, bomTargets.length, '关键文件');
   }
 
   /* P16：插件命名导入的导出缺失检测（#5864：一个缺失导出 → 整棵插件树 boot 崩溃循环、
@@ -1508,7 +1540,7 @@ function packageNamedExports(pkgDir) {
   if (p17Issues.length) {
     report('profile', 'P17', false, `client 端 require 的模块不在宿主模块表（#5719：makeRequire 硬 throw → 浏览器白屏且服务端无感知）: ${p17Issues.join('; ')}`, `改用宿主提供的模块名；若确由宿主提供，在本包 package.json 的 dsh.client.external/inject 里声明；平台种子当前 ${CLIENT_SEEDS.size} 项、已装图行 ${composedRows.size} 项`);
   } else {
-    report('profile', 'P17', true, `client 端 require 的 specifier 均可服务（平台种子 ${CLIENT_SEEDS.size} 项 + 已装图行 ${composedRows.size} 项）`, undefined);
+    report('profile', 'P17', true, `client 端 require 的 specifier 均可服务（平台种子 ${CLIENT_SEEDS.size} 项 + 已装图行 ${composedRows.size} 项）`, undefined, undefined, CLIENT_SEEDS.size + composedRows.size, 'client specifier 来源');
   }
 }
 
@@ -2101,7 +2133,7 @@ function scanAllSessions() {
     if (unstableReads.length) parts.push(`${unstableReads.length} 个会话**读取间歇性失败**（重试即成功 → 非损坏，指向存储/内存/驱动的偶发读错误，社区 #6739）: ${unstableReads.slice(0, 3).map((u) => `${u.id}(${u.attempts} 次尝试)`).join(' | ')}`);
     if (oversized.length) parts.push(`${oversized.length} 个超大会话: ${oversized.map((o) => `${o.id}(${o.dsMB}MB/${o.events}事件)`).join(' | ')}`);
     if (totalRisk) parts.push(`工作区估算物化堆 ~${estHeapMB}MB（估算= max(${totalEvents}事件×600B, ${totalMB}MB×6)，跨 ${files.length} 会话累积，#1550 场景；阈值 ${heapLimit}MB，可设 DSH_DOCTOR_HEAP_MB）`);
-    report('session', 'S11', true, `⚠ 全会话扫描：${parts.join('；')}（未损坏，可接受或归档）`,
+    report('session', 'S11', true, `全会话扫描：${parts.join('；')}（未损坏，可接受或归档）`,
       unstableReads.length
         ? '间歇性读取失败不是日志问题：先重试读取；持续出现则排查存储健康（SMART）、内存与磁盘驱动（#6739 的证据是失败帧位置每次不同）'
         : '冷启动会明显变慢；必要时压缩/归档历史会话', undefined, files.length);
@@ -2150,6 +2182,8 @@ function validCatalog(data) {
 
 /** 拉取目录：新鲜缓存(≤TTL) → 远程(raw.githubusercontent，3s 超时) → 旧缓存(last-known-good) → 内置副本；末尾合并本地覆盖层。 */
 async function loadCatalog({ noRemote = false, fetchImpl, home = HOME, localPath } = {}) {
+  // 离线开关（红队 F5：目录用例曾因取到远程目录而结果不可复现）——DSH_DOCTOR_OFFLINE=1 等价于 noRemote
+  if (process.env.DSH_DOCTOR_OFFLINE === '1') noRemote = true;
   const bundled = bundledCatalog();
   let base;
   if (noRemote || typeof fetchImpl !== 'function') {
@@ -2274,13 +2308,13 @@ export function runCatalogCheck(check, ctx) {
       let ok = existsSync(fp);
       if (ok && probe.type === 'path-is-dir') ok = lstatSync(fp).isDirectory();
       if (ok && probe.type === 'path-is-file') ok = lstatSync(fp).isFile();
-      return ok ? { ok: true, detail: check.detailOk ?? `${fp} 存在` }
+      return ok ? { ok: true, checked: 1, detail: check.detailOk ?? `${fp} 存在` }
                 : { ok: false, detail: check.detailFail ?? `${fp} 不存在/类型不符` };
     }
     case 'json-valid': {
       const fp = p(probe.path);
       if (!existsSync(fp)) return probe.required === false
-        ? { ok: true, detail: check.detailOk ?? `${fp} 不存在（跳过）` }
+        ? { ok: true, skipped: true, detail: check.detailOk ?? `${fp} 不存在（跳过）` }
         : { ok: false, detail: check.detailFail ?? `${fp} 缺失` };
       let utf8ok = true, jsonok = false;
       try { new TextDecoder('utf-8', { fatal: true }).decode(readFileSync(fp)); } catch { utf8ok = false; }
@@ -2292,7 +2326,7 @@ export function runCatalogCheck(check, ctx) {
     case 'text-not-contains': {
       const fp = p(probe.path);
       if (!existsSync(fp)) return probe.required === false
-        ? { ok: true, detail: check.detailOk ?? `${fp} 不存在（跳过）` }
+        ? { ok: true, skipped: true, detail: check.detailOk ?? `${fp} 不存在（跳过）` }
         : { ok: false, detail: check.detailFail ?? `${fp} 缺失` };
       let re;
       try { re = new RegExp(probe.pattern, probe.flags ?? ''); } catch (e) { return { ok: false, detail: `目录规则正则非法: ${e.message.slice(0, 60)}` }; }
@@ -2323,7 +2357,7 @@ export function runCatalogCheck(check, ctx) {
     case 'file-writable': {
       const fp = p(probe.path);
       if (!existsSync(fp)) return probe.required === false
-        ? { ok: true, detail: check.detailOk ?? `${fp} 不存在（跳过）` }
+        ? { ok: true, skipped: true, detail: check.detailOk ?? `${fp} 不存在（跳过）` }
         : { ok: false, detail: check.detailFail ?? `${fp} 缺失` };
       let writable = false;
       try { const fd = openSync(fp, 'a'); closeSync(fd); writable = true; } catch { /* 只读/属主问题 */ }
@@ -2350,7 +2384,14 @@ function checkCatalog(ctx, catalog) {
     if (check.section === 'profile' && !ctx.profileDir) continue; // profile 无效时跳过 profile 段
     let r;
     try { r = runCatalogCheck(check, ctx); } catch (e) { r = { ok: false, detail: `catalog 检查异常: ${e.message.slice(0, 80)}` }; }
-    if (r.skipped) { report(check.section, check.id, true, r.detail, undefined, 'catalog'); continue; }
+    // 红队 R1（2026-09-16）：`runCatalogCheck` 自报 `skipped`（原语不支持 / 无 DSH 环境 / 目标文件不存在）
+    // 曾被当成 `ok:true`（pass）—— 于是出现"✓ 未发现 DSH 环境…跳过 dsh 的 PATH 检查"这种自相矛盾的行，
+    // 而且它继承目录段的占位覆盖量 1，零对象永不降级。自报 skipped 就是 skip，覆盖量为 0。
+    // 归一化（红队 R1 的第二半）：探测原语里有多处文案写着"…不存在（跳过）"却返回 `ok: true`，
+    // 于是"没有目标可查"被记成**通过**（实测：无 profile 目录时 P6 仍 pass）。判据用探测自己的话：
+    // **凡自述跳过的一律是 skip** —— 这类"文案与状态不一致"只能从结构上消灭，不能靠逐个改分支。
+    if (!r.skipped && r.ok === true && /跳过|不适用/.test(String(r.detail))) r.skipped = true;
+    if (r.skipped) { reportSkip(check.section, check.id, r.detail, 'catalog'); continue; }
     const severity = check.severity ?? 'error';
     catalogSeverity.set(check.id, severity);
     report(check.section, check.id, r.ok, r.detail, r.ok ? undefined : check.fix, 'catalog');
@@ -3039,7 +3080,7 @@ async function run() {
     if (jsonOut) console.log(JSON.stringify(r, null, 2));
     else if (r.ok && r.stage === 'verified') printVerdict(makeVerdict('pass', { checked: r.checked, detail: `已安装并预检通过（${r.checked} 条 entry 均可导入）——重启 dsh 即可` }));
     else if (r.ok && r.stage === 'quarantined') {
-      console.log(`⚠ 已安装，但该插件的 entry 导入失败，已自动隔离以避免 dsh 起不来：`);
+      printVerdict(makeVerdict('warn', { detail: '已安装，但该插件的 entry 导入失败，已自动隔离以避免 dsh 起不来：' }));
       for (const f of r.failures || []) console.log(`    ${f}`);
       console.log(`  隔离项：${r.quarantined.join(', ')}（用 --unquarantine <包名> 放回，修好版本后再重试）`);
       console.log(`  dsh 现在可以正常启动。`);
@@ -3155,6 +3196,13 @@ async function run() {
     try { await checkPort3080(); } catch (e) { report('env', 'E10-port-3080', false, `端口检查异常: ${e.message.slice(0, 60)}`); }
     try { checkProfile(profileArg); } catch (e) { report('profile', 'P0', false, `profile 检查异常: ${e.message.slice(0, 100)}`); }
     try { checkSession(sessionArg); } catch (e) { report('session', 'S0', false, `session 检查异常: ${e.message.slice(0, 100)}`); }
+    // 段级覆盖（2026-09 语料发现）：整段没有产出任何检查时，报告里会出现"整段消失"——
+    // 用户看不出"会话检查根本没跑"。R3 的精神在**段**这一级同样成立：没看就必须说出来。
+    for (const [sec, why] of [['session', '未选中任何会话（活跃会话在保护窗口内，或被 --session 过滤）']]) {
+      if (wants(sec) && !results.some((r) => r.section === sec)) {
+        reportSkip(sec, 'S0', `${why}——本段检查未运行，**这不代表通过**`);
+      }
+    }
     try { scanAllSessions(); } catch (e) { report('session', 'S11', false, `全会话扫描异常: ${e.message.slice(0, 100)}`); }
     try { scanMigrationRefusals(); } catch (e) { report('session', 'S12', false, `迁移拒载预检异常: ${e.message.slice(0, 100)}`); }
   }
@@ -3286,6 +3334,9 @@ async function run() {
       if (s === 'fail') baseFail++;
       else if (s === 'warn') baseWarn++;
     }
+    // 契约（docs/doctor-contract.md:32）：0 = 全通过 · **1 = 任何 WARN** · **2 = 任何 FAIL**。
+    // 红队 R3 指出 envelope 与 json/文本路径退出码不一致——**方向是 json/文本错**，不是这里错。
+    // 我一度把它改成 1，等于把一致性统一到违反契约的一边；已回滚。见 §"待决策"。
     const baseExit = baseFail > 0 ? 2 : baseWarn > 0 ? 1 : 0;
     const exitCode = Math.max(baseExit, secExit);
     // v1.1 remediation（#1719 ADOPTED：ciceroyang 提名、两位 reviewer +1）：opt-in --remediation，
@@ -3324,6 +3375,8 @@ async function run() {
       verified: aggJson.totals.verified,
       skipped: aggJson.totals.skipped,
       failed: aggJson.totals.failed,
+      // 红队 F1：未申报覆盖量的通过**单独暴露**（既不算已验证，也不隐形）
+      unreported: aggJson.totals.unreported,
       checks: checksWithStatus, catalog: catalogMeta, update: updateInfo, ...(securityMeta.enabled ? { security: securityMeta } : {}),
     }, null, 2));
   } else {
@@ -3342,7 +3395,7 @@ async function run() {
       if (!r.ok && r.fix) console.log(`     ↳ 修复: ${r.fix}`);
     }
     if (updateInfo.available && !updateInfo.applied) {
-      console.log(`\n⚠ 新版本 ${updateInfo.latest} 可用（当前 ${updateInfo.current}）→ 运行 \`dsh-doctor --update\` 或 \`dsh plugin update\``);
+      console.log(''); printVerdict(makeVerdict('warn', { detail: `新版本 ${updateInfo.latest} 可用（当前 ${updateInfo.current}）→ 运行 \`dsh-doctor --update\` 或 \`dsh plugin update\`` }));
     } else if (updateInfo.applied) {
       console.log(''); printVerdict(makeVerdict('action', { detail: updateInfo.applied }));
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@moonquake2004/dsh-doctor",
-  "version": "0.8.1",
+  "version": "0.8.3",
   "description": "Offline diagnostic for DeepSeek Harness — 28 built-in + 5 catalog checks across env/profile/session (Layer A checks-as-data), self-update (Layer B), and a semi-automatic LLM observer (Layer C, --observe); Doctor panel in web UI settings.",
   "main": "lib/index.js",
   "files": [