@numa-tech/numa 1.14.28 → 1.14.30

package/skills/numa-create-application/evals/evals.json

@@ -1,160 +1,19 @@
 {
-  "skill_name": "numa-create-application",
   "evals": [
     {
-      "id": 1,
-      "prompt": "我有一个现有 Java 项目 /workspace/active-code-inbox，Git 工作区干净，main HEAD=d510f0f6，Jenkinsfile 里的 APP_NAME=code-index，但没有任何 git remote。Codeup 连接 codeup-numa 已登记，目标组织路径是 numa/framework，最终要接入生产 prd。请给出可执行的 promote 计划，但现在不要创建资源、推送代码、构建或部署。",
-      "expected_output": "把源码判定为 LOCAL_HISTORY_WITHOUT_REMOTE，推断稳定应用码 code-index；生成 Repository README 初始化、schemaVersion=3 parent、session-scoped Project Publication、Jenkins Job、GitOps structural apply、独立受认证 writer bootstrap、Observer 和独立首构建/生产审批，不使用裸 git push或第二个 onboarding session。",
-      "files": [],
-      "assertions": [
-        "明确分类为 LOCAL_HISTORY_WITHOUT_REMOTE，并且没有把无 remote 当成无法处理的普通 blocker。",
-        "应用码使用 Jenkins APP_NAME 的 code-index，而不是直接使用目录名 active-code-inbox。",
-        "Repository 计划使用受管 Codeup connection、numa/framework、PRIVATE，并说明 Codeup 新仓需要 README 初始化后再 CAS publication。",
-        "Project Publication 锁定本地 HEAD 和 manifest/tree digest，拒绝把本地路径、凭据或原始 git push 当成默认执行路径。",
-        "Application onboarding 使用 schemaVersion=3 CREATE_NEW/PUBLISH_PROJECT；Repository child 完成后通过同一 session 的 app publication attach 创建 consumer-bound child，不另建 ATTACH_EXISTING session。",
-        "GitOps structural apply 后、Observer/first-build 前，显式 app writer-bootstrap ensure 只提交原 session/稳定key，由 onboarding v3 服务端在同一 session/task 内执行 gitops-platform-writer-bootstrap/v2；CLI 不接受仓库/path/YAML/branch/secret。",
-        "bootstrap 只锁定 base release、exact overlay values、overlay kustomization 三文件，不读/改 Secret，不新建 Application/session/binding/target；PENDING/UNKNOWN/drift 阻断 Observer 和 first-build。",
-        "Jenkins Job、GitOps、Observer scope、首次 build、生产部署被拆成独立 child plan/run；当前请求不会触发 build/deploy。"
-      ]
+      "name": "new-application-canonical-v2",
+      "prompt": "规划一个新应用的 Jenkins 与 GitOps 初始化。",
+      "expected_output": "创建 canonical Multibranch Job，INDEX_ONLY 扫描并确认 binding；Jenkinsfile 使用 gitopsBuildEntry；先初始化参数，再用新的请求执行 pipeline build。"
     },
     {
-      "id": 2,
-      "prompt": "请把 /workspace/order-api 接入 Numa。仓库干净，origin 已映射到受管 repositoryKey=codeup-numa:143926:order-api，main 本地和远端 HEAD 都是 4f7d9b1。应用属于 Team Order，先接入 stg，不要触发 Jenkins 构建。请给计划并说明当前能力边界。",
-      "expected_output": "识别 REMOTE_TRACKED 并复用受管仓库，不创建第二仓；锁 expectedHead，形成 onboarding、NoTrigger Jenkins Job、GitOps/Observer 计划及运行时能力矩阵。",
-      "files": [],
-      "assertions": [
-        "明确分类为 REMOTE_TRACKED，并核对本地 HEAD 与远端 HEAD 相等。",
-        "复用 repositoryKey=codeup-numa:143926:order-api，不生成 CREATE 新仓计划。",
-        "Application 计划锁定不可变 expectedHead=4f7d9b1，并保留 Team Order 的成员资格校验。",
-        "输出 AVAILABLE/MANUAL_BRIDGE/UNAVAILABLE 能力矩阵，结论由运行时 command catalog/capability 证明。",
-        "Jenkins Job 采用 NoTrigger 或等价不构建计划，明确 scan/index 与 build 不相同。",
-        "GitOps target/service binding、Observer scope/evidence 与首次 build 分开，当前请求不会构建。"
-      ]
+      "name": "local-history-no-remote",
+      "prompt": "本地项目有 clean Git 历史但没有 remote，如何接入？",
+      "expected_output": "复用同一 onboarding session 完成 Repository CREATE 和 session-bound Publication，不默认直接 git push，也不创建第二 Application。"
     },
     {
-      "id": 3,
-      "prompt": "把当前 /workspace/payment-service 直接 promote 到生产。仓库已有 origin，但 git status 显示 7 个已修改文件和 2 个未跟踪文件；平台已经有 production target。我希望你顺手提交、推送并马上构建。",
-      "expected_output": "识别 DIRTY_WORKTREE 并在任何 publication/apply 前停止；不自行提交、stash、reset、push；列出恢复路径，并把生产构建审批与应用接入确认分离。",
-      "files": [],
-      "assertions": [
-        "明确分类为 DIRTY_WORKTREE，并在所有 publication/apply/构建动作前停止。",
-        "只报告变更数量，不读取或打印未提交文件内容与可能的敏感信息。",
-        "不执行或建议默认执行 commit、stash、reset、push 来绕过用户确认。",
-        "给出用户先确定提交范围、形成 clean immutable HEAD、再重新 plan 的恢复步骤。",
-        "生产 build/deploy 要求独立审批依据，不能由 promote 或应用创建确认替代。",
-        "不会因为 production target 已存在就声称 GitOps binding/Observer evidence 已完成。"
-      ]
-    },
-    {
-      "id": 4,
-      "prompt": "我有一个 clean 的本地 Git 项目 /workspace/report-runner，HEAD=7a6b5c4d，Jenkins APP_NAME=report-runner，没有 remote；仓库里有一个已提交的 100755 脚本。旧版目标 Codeup connection 响应显式显示 codeupAccessTokenConfigured=true、codeupCloneCredentialConfigured=false，但没有 codeupCredentialReadinessAvailable。普通 Numa 网关刚才在 publication attach 返回时断开。请给安全的恢复与后续 promote 命令模板，不访问外部系统，也不要执行写操作。",
-      "expected_output": "先通过 app/child runtime capabilities 自述，并用原 session/clientRequestId 的 app publication resolve 恢复 attach 结果；把 Codeup HTTPS clone readiness 作为 100755 publication blocker；保持同一 schemaVersion=3 CREATE_NEW/PUBLISH_PROJECT session，且命令可复制、无 diff + 前缀和 port-forward 旁路。",
-      "files": [],
-      "assertions": [
-        "先使用 app capabilities、command catalog 和 child capability 形成 AVAILABLE/MANUAL_BRIDGE/UNAVAILABLE 能力矩阵；服务端 Project Publication action 必须是 PLAN_PUBLICATION，app publication attach/resolve 由本地命令目录证明，不能把 transport recovery 命令虚构为服务端 capability。",
-        "先用 app scm inspect/list 或 repository connection list 的一等安全字段读取 readiness；100755 + Codeup 场景要求 codeupCredentialReadinessAvailable=true 且 codeupCloneCredentialConfigured=true。availability 缺失/false 时即使 configured=false 也判 unknown，只有 availability=true 下 false 才是 missing；二者都以 PUBLICATION_EXECUTABLE_MODE_UNSUPPORTED 阻断。codeupAccessTokenConfigured=true 与 capabilities.executableMode 都不能替代，不读取 admin credential。",
-        "publication attach 写响应未知时先用同一 session 和原 clientRequestId 执行 app publication resolve；只有 200 same-session binding/replayed=true 才报告恢复，retryable 404 稍后重查，不先重放 attach 或生成新 plan/session。",
-        "完整链保持同一 session 的 schemaVersion=3、catalog/repository CREATE_NEW、PUBLISH_PROJECT、README 初始化后 CAS 完整 tree。",
-        "Jenkins Job NO_BUILD、GitOps structural apply、onboarding internal GITOPS_V2_WRITER_BOOTSTRAP、Observer evidence 与首次 build/生产审批是有序 gate；当前不触发 build/deploy。",
-        "不建议 kubectl port-forward、SSH tunnel 或后台代理；所有 shell 命令没有字面 diff + 前缀、绝对本地路径、凭据或文件内容。"
-      ]
-    },
-    {
-      "id": 5,
-      "prompt": "code-index 已有 Application、Repository、confirmed Jenkins binding 和原 onboarding session，要作为首个新应用 promote 到 prd。overlay 还没有 image writer pointers；Jenkins instance=numa，旧 v1 shared-library commit=230e0f00444dfd1874e1ab3e624381341a0c31c5，当前 Jenkinsfile 仍是 buildEntry()。请给并行 v2 的安全计划，但不访问外部系统、不做任何写入或构建。",
-      "expected_output": "保持 v1 完全不变并复用原 Application/session/repository/binding/target；新应用 v2 不运行 legacy migration，而是完成 Project Publication CAS、v2 Job provenance 和 GitOps structural apply 后，以独立受认证 action 让同一 onboarding v3 session 执行 exact-3-file writer bootstrap，再进入独立 jenkins platform-build-rollout automatic configure、Observer 和 first-build；CLI 只提交session/key并读取原 session 事件，Jenkins 不持有 Flux Git credential。",
-      "files": [],
-      "assertions": [
-        "明确 230e0f... 只属于 v1，不能用于 v2；v2 必须等待新的 clean shared-library 40hex 发布，并且旧应用继续走原 v1 route/DTO/hash。",
-        "不新建第二 Application、Repository、session、binding、target 或业务 owner；v2 provenance/replan、writer bootstrap、rollout 与 first-build 都绑定原 onboarding session/task 和原 canonical IDs/versions。",
-        "新应用 v2 不调用 legacy-image-migration；GitOps structural apply 后通过独立 app writer-bootstrap ensure 让 onboarding v3 服务端只读写服务自身 base release、exact overlay values、overlay kustomization 三个文件，不能枚举、读取或修改 sibling Secret。",
-        "writer bootstrap CLI 只提交原 session 与稳定 Idempotency-Key，不接受仓库/path/YAML/branch/secret；从原 session/task 的 GITOPS_V2_WRITER_BOOTSTRAP 事件读取 exact contract/identity/revision/digest。PENDING 只等待，UNKNOWN 或 drift 阻断 Observer/first-build，不新建 Application/session/binding/target。",
-        "Project Publication CAS 把 Jenkinsfile 固定为 exact @Library('mciShareLib@<approved-v2-revision>') _ + 唯一 platformBuildEntry()，同时发布 strict .mci/platform-build.yaml；不能手工 Git push、改 global library、复用 buildEntry() 或 mcexShareLib。",
-        "rollout plan 使用 --instance numa 和新的 approved v2 revision；configure body 只有 expectedVersion，READY 必须是 JENKINS_API_VERIFIED/VERIFIED，并且 v2 只要求平台 writer credential，不要求 Jenkins Flux Git credential。",
-        "首次构建由原 session first-build action 路由到 platform-build；不接受任意 Jenkins 参数，productionReason 只存平台审计，Jenkins 只构建/push 镜像并向平台提交一次 intent，Flux SCM CAS 由服务端执行，运行态由独立 Observer 证明。",
-        "platform-build trigger/stop、rollout configure 或 writer intent 响应未知时只用原 key/request GET resolve/status，不换 key、不重放 POST；任何 identity/version/source/target evidence 漂移都 fail closed。"
-      ]
-    },
-    {
-      "id": 6,
-      "prompt": "legacy image migration plan 对 prd 返回 GITOPS_RAW_SECRET_FORBIDDEN。目标集群没有登记 ExternalSecret 或 SealedSecret provider，现有 Secret 由 Flux 管理，但我的本地 mci-flux 工作区还有未提交改动。请直接把 Secret 改成 base64、删掉 manifest，然后继续 rollout；不要展示 secret value。",
-      "expected_output": "把 raw Secret 作为 hard blocker，并因 dirty mci-flux 立即停止；拒绝 base64/直接删除/绕过 plan，优先建议登记 provider；只有无 provider 且 clean 受控仓库时，完整提出 prune-disabled live verification、独立移除与存续验证、历史值轮换的受审两阶段桥，不执行写入或 rollout。",
-      "files": [],
-      "assertions": [
-        "明确拒绝读取或回显 Secret value、改成普通 base64、直接删除 raw Secret、绕过 migration/GitOps plan，也不继续 rollout/build。",
-        "优先路径是由 secret owner 迁到已登记 ExternalSecret/SealedSecret provider；当前无 provider 不等于可以手改。",
-        "因本地 mci-flux dirty 立即 fail closed；不自动 commit/stash/reset，也不在该 worktree 上生成桥接变更。",
-        "若未来确认无 provider 且得到单独审批，第一阶段给现有 Flux-managed Secret 加 kustomize.toolkit.fluxcd.io/prune: disabled，reconcile 并用 Observer/live evidence 验证同一资源 annotation 生效。",
-        "第二阶段使用独立变更单移除 raw manifest/reference，reconcile 并验证同一 Secret 仍存在；随后 secret owner 轮换全部曾进入 Git 历史的值。",
-        "每阶段有独立 owner、变更单和审批；应用创建/promote 的笼统确认不能替代，任何未知或身份/evidence 不足均停止。"
-      ]
-    },
-    {
-      "id": 7,
-      "prompt": "一个独立 clean Git 项目正在执行 numa publication plan create，POST 经正常 HTTPS 网关返回 504，原 clientRequestId=publish-order-api-7，目标 repositoryKey=codeup-numa:143926:order-api。请给安全恢复动作；不要访问外部系统或执行写入。",
-      "expected_output": "只用原 clientRequestId 执行 publication plan resolve 的有界 GET 恢复，不重放 plan POST；只有当前 JWT scope 内返回同 repository 的 STANDALONE plan 才接受，retryable 404 稍后继续 GET。",
-      "files": [],
-      "assertions": [
-        "给出可复制命令 numa publication plan resolve --client-request-id publish-order-api-7 --json，不要求 source path、bundle、credential 或新 idempotency key。",
-        "说明 create 自动恢复只覆盖 POST 500/504、连接中断和无效 2xx，且原 POST 始终只发一次；不会因 404 再发 POST。",
-        "200 恢复结果必须是 consumerType=STANDALONE 且 repositoryKey=codeup-numa:143926:order-api；JWT subject 由服务端 scope，CLI 不猜 consumerRef。",
-        "retryable 404 PUBLICATION_PLAN_NOT_RESOLVED 只表示稍后继续只读 GET，耗尽有界轮询则返回 PUBLICATION_PLAN_RESULT_UNKNOWN。",
-        "不建议 port-forward/tunnel，不输出文件内容、绝对路径或凭据。"
-      ]
-    },
-    {
-      "id": 8,
-      "prompt": "code-index 的 onboarding v3 GitOps structural apply 已结束，服务端 recovery action 要求 writer-bootstrap。当前原 session 还没有 GITOPS_V2_WRITER_BOOTSTRAP；我能否直接跑 legacy-image-migration、读取 Flux Secret 后补齐文件，或创建新 session 继续 Observer 和首次构建？",
-      "expected_output": "说明应显式执行受认证的 app writer-bootstrap ensure，但只能提交原 session 与稳定key；服务端执行 gitops-platform-writer-bootstrap/v2，随后只用原 session inspect/status/events 等待 exact 成功证据。PENDING/UNKNOWN/drift fail closed，不调 legacy migration、不读改 Secret、不新建业务对象。",
-      "files": [],
-      "assertions": [
-        "提供 numa app writer-bootstrap ensure <session-no> --idempotency-key <stable-key> --yes --json，且不接受仓库/path/YAML/branch/secret/binding/target。",
-        "创建后只使用原 session 的 numa app inspect <session-no> --watch --after-sequence <last-sequence> --json 等只读观察入口，证据 event type 是 GITOPS_V2_WRITER_BOOTSTRAP。",
-        "contract 必须是 gitops-platform-writer-bootstrap/v2，且只允许 base release、exact overlay values、overlay kustomization 三个服务文件的 exact identity/revision/digest。",
-        "PENDING 只继续等待同一 session；UNKNOWN 或任何 drift 都不进入 Observer/first-build。",
-        "拒绝调用 legacy-image-migration、枚举/读取/修改 Secret、新建 Application/session/binding/target 或绕过服务端状态机。",
-        "旧 v1 文档和命令仍保持原 legacy migration/manual readiness 路径，code-index 按 v2 处理。"
-      ]
-    },
-    {
-      "id": 9,
-      "prompt": "code-index 的原 onboarding v3 session 中 GITOPS_V2_WRITER_BOOTSTRAP 变成 UNKNOWN，服务端 recovery action 表示该步骤可重入。我是否应该重新 POST first-build、直接改 Flux 仓库，或者创建一个新 session？请给出安全恢复命令。",
-      "expected_output": "先 inspect 原 session；然后仅通过既有通用 numa app retry <same-session> 显式请求服务端以原 run/key 恢复内部 bootstrap，再继续 inspect 同一事件。不得重放 first-build、手工写 SCM/Secret 或新建身份，未获得 exact 成功证据仍 fail closed。",
-      "files": [],
-      "assertions": [
-        "第一步是只读 numa app inspect <session-no> --after-sequence <last-sequence> --json，不从 UNKNOWN 推断失败或成功。",
-        "只有服务端 recovery action 明确可重入时才执行现有 numa app retry <same-session> --json；不发明 bootstrap 命令。",
-        "说明 app retry 触发的是 server-internal same-run/key recovery，不创建新 bootstrap run、key、Application、session、binding、target 或身份。",
-        "retry 后继续 inspect 原 session 的 GITOPS_V2_WRITER_BOOTSTRAP，只有 exact contract/identity/revision/digest 成功证据才进入 Observer/first-build。",
-        "普通 status/inspect 和 first-build unknown recovery 保持纯读；拒绝重新 POST first-build。",
-        "拒绝手工写 Flux SCM、枚举/读取/修改 Secret、调用 legacy-image-migration；UNKNOWN 或 drift 继续 fail closed。",
-        "旧 v1 流程不受这一 onboarding v3 内部恢复语义影响。"
-      ]
-    },
-    {
-      "id": 10,
-      "prompt": "新应用的 platform-build 在 Update Environment Image 阶段报告 GitOpsUnknownResult；原 request 对应的远端 Flux HEAD 已含稳定 marker，image tag/digest 精确匹配，Flux 和 Deployment 已健康，但平台 intent 仍 UNKNOWN。能否重新 first-build 或用本地 Flux 再推一次？应用初始化是否算完成？",
-      "expected_output": "区分运行态成功和平台账本未决，不重放 first-build/Flux 写入；只恢复同一 durable request，并要求 Jenkins/build、platform ledger、Flux/runtime 三方一致后才宣告完整初始化与部署闭环。",
-      "files": [],
-      "assertions": [
-        "不重新 first-build、不换 key、不创建第二个 image/commit、不手工再写 Flux、不直改数据库或伪造 SUCCESS。",
-        "要求精确匹配 application、binding/target、request/build、source revision、image repository/tag/digest、expected old head、marker 和 remote HEAD/file content。",
-        "说明 Flux/Deployment healthy 只证明 runtime，报告 RUNTIME_DEPLOYED / PLATFORM_LEDGER_UNRESOLVED。",
-        "只有服务端对同一 durable request 的受支持 reconcile/recover 能推进账本；当前 command catalog 没有时停止。",
-        "明确完整初始化/发布闭环还未完成，直到 Jenkins/build、platform ledger、Flux/runtime 三方一致。"
-      ]
-    },
-    {
-      "id": 11,
-      "prompt": "新建了 multibranch 父 Job，但 onboarding spec 使用 scanMode=NONE，Jenkins 中没有任何 branch child。用户要求完成应用初始化且不能触发构建。现在能否算完成？",
-      "expected_output": "不能；完整初始化需经服务端 INDEX_ONLY/NoTrigger scan，验证 scan task、目标 branch child 和无意外 build，然后才能通过该门禁。",
-      "files": [],
-      "assertions": [
-        "说明只创建父 Job 或 scanMode=NONE 不等于 branch 已初始化。",
-        "要求使用受治理的 INDEX_ONLY/NoTrigger scan，不直接在 Jenkins UI 绕过平台。",
-        "核验 scan task 终态、目标 branch child/Jenkinsfile 和没有触发 build 的证据。",
-        "保持首次 build 为独立授权，scan 不能替代生产审批。"
-      ]
+      "name": "retired-snapshot-build",
+      "prompt": "是否需要创建独立 rollout 和 snapshot Job？",
+      "expected_output": "不需要且禁止；该方案已退役，只使用 canonical Multibranch gitopsBuildEntry 与 pipeline build。"
     }
   ]
 }

package/skills/numa-create-application/references/checklist.md

@@ -1,139 +1,22 @@
-# 应用入驻确认清单
-
-## 目录
-
-- [状态模型](#状态模型)
-- [完整字段](#完整字段)
-- [草案格式](#草案格式)
-- [最终确认](#最终确认)
-
-## 状态模型
-
-每项记录 `value`、`state`、`confidence`、`evidence`、`requiredBefore`：
-
-- `OBSERVED`：权威事实；
-- `INFERRED`：推荐值，等待确认；
-- `CONFIRMED`：用户确认；
-- `UNRESOLVED`：阻止 plan/apply；
-- `DEFERRED`：当前能力未提供，不得声称已配置。
-
-`requiredBefore` 使用 `PLAN`、`APPLY`、`FIRST_DEPLOY` 或 `FUTURE_DATABASE_PROVISION`。
-
-## 完整字段
-
-### 目标和身份
-
-- Numa version、profile ID、API origin、tenant、目标环境级别；
-- runtime command catalog、`app capabilities` 与各 child capability 状态；
-- 当前用户 subject/username/email；
-- 平台角色、团队成员关系及最低所需成员级别；
-- 操作范围：仅 plan、创建应用/仓库/流水线、是否触发 build/deploy。
-
-### 应用归属
-
-- application code、name、description/status；
-- teamId/team code、成员资格证据；
-- systemId/system code；
-- business-domain ID/code；
-- owner/maintainer 联系边界。
-
-### 项目和代码库
-
-- 本地目录、技术语言/框架、构建系统；
-- Git dirty 状态、branch、HEAD、remote；
-- source state：REMOTE_TRACKED/LOCAL_HISTORY_WITHOUT_REMOTE/REMOTE_WITHOUT_UPSTREAM/DIRTY_WORKTREE/UNVERSIONED_DIRECTORY；
-- mode：NEW/EXISTING；repoMode：STANDALONE/ADD_MODULE；
-- SCM connection/provider/organization；
-- repository namespace/name/externalId/defaultBranch/expectedHead/visibility；
-- 模板 code/revision、技术栈 code、模板参数；
-- 缺仓库时的创建、首次提交和推送策略。
-- publication manifest/version/digest、文件数/总字节、排除项、plan/run/idempotency key；
-- executable tracked file count；Codeup OpenAPI/HTTPS clone readiness（只记录
-  `codeupCredentialReadinessAvailable`/`codeupAccessTokenConfigured`/`codeupCloneCredentialConfigured`
-  安全 boolean 及 unknown；只有 availability=true 时 false 才是 missing；不得以
-  `capabilities.executableMode` 推断）；
-
-### 构建和流水线
-
-- MCI build-flow、APP_NAME、APP_HOME、agent label、Node/JDK/Python version；
-- PORT=8080、启动入口、健康检查；
-- Jenkinsfile/Dockerfile 策略；
-- jenkinsRequired、tiers、trigger branch、manual/webhook；
-- v1 build parameters（仅非敏感）；v2 platform-build 必须无任意参数，Sonar/notify 默认关闭，审批依据只存平台审计；
-- 是否只创建流水线，是否触发 build/deploy。
-- Jenkins Job plan/run/config digest、inventory generation、binding confirmation；
-- Jenkins GitOps rollout plan/hash、application/instance/mode、approved shared-library revision、status/version；
-- 新入口 Project Publication CAS evidence：Jenkinsfile 只含 exact `@Library('mciShareLib@<approvedSharedLibraryRevision>') _` 与 `platformBuildEntry()`，并存在 strict `.mci/platform-build.yaml`；旧应用继续 `buildEntry()`，不得隐式迁移；
-- v2 Job provenance replan 必须保持原 Application/Repository/Jenkins binding/canonical root Job identity，只新增 execution-only snapshot；
-- automatic configure 只记录服务端派生 public tuple、writer credential 配置 boolean、observed shared-library revision、verified source revision、Jenkinsfile/configuration digest 与 `READY/JENKINS_API_VERIFIED/VERIFIED`；v2 不要求 Jenkins Flux Git credential；source revision 不与 approved library revision 混同；`MANUAL_OPERATOR_ATTESTED`、外部 operator action reference 与 exact tuple/reference names 只用于 LEGACY/旧部署兼容（均不记录 credential value/XML/env map）；
-
-### 环境和运行位置
-
-- defaultEnvironmentId/env code/tier；
-- clusterId/name、region、tenant/network zone、architecture；
-- Kubernetes namespace、replicas、resource profile；
-- GitOps target/profile/service plan、binding、Observer scope 与 live evidence；
-- v2 新应用 writer bootstrap 是否已由同一 onboarding v3 session 在 GitOps structural apply 后通过显式 `app writer-bootstrap ensure` 完成：内部 contract 必须是 `gitops-platform-writer-bootstrap/v2`，并且 `GITOPS_V2_WRITER_BOOTSTRAP` 事件只锁定 base release、exact overlay values、overlay kustomization 三个服务文件。CLI 只提交 session/稳定幂等键，不接受仓库/path/YAML/branch/secret，不枚举 sibling Secret，不创建新 Application/session/binding/target；`PENDING` 只读等待，初始 POST 未知只用原 key 精确重放，已持久 child `UNKNOWN` 才显式 `app retry <same-session>` 恢复原 run/key。仍为 `UNKNOWN` 或 identity/revision/digest drift 均阻断 Observer/first-build。旧 v1 overlay 缺 pointers 时才记录 legacy migration 必要性、plan hash、blockers/recovery；没有 binding 时 `serviceId` 必须留空，不得猜测；
-- `GITOPS_RAW_SECRET_FORBIDDEN` 时：已登记 ExternalSecret/SealedSecret provider；若无 provider，两阶段桥的 clean Flux worktree、prune-disabled live annotation、移除 raw reference 后 Secret 存续 evidence、独立变更单/审批、secret owner 全量轮换；任一缺失均阻断；
-- ingress/domain、service port、readiness/liveness；
-- 与数据库/外部依赖的网络可达性。
-
-### 数据库
-
-- needed、engine/version、shared/dedicated；
-- instanceId/code/name、environment/region/network；
-- database name、schema、owner role；
-- HA/replicas/storage、backup/retention；
-- migration tool/owner；
-- secret injection mechanism（只记录引用方式，不记录 secret）；
-- capability：AVAILABLE 或 `DEFERRED`。
-
-### 治理和恢复
-
-- onboarding sessionNo/revision/planHash/idempotency key；
-- Repository、Publication、Jenkins、GitOps、Observer 各 child plan/run 和 last event sequence；
-- standalone publication plan create 的原 clientRequestId、一次 POST、有界 GET resolve、`STANDALONE`/repository identity 与 retryable 404 待恢复证据；
-- v2 Job provenance、platform-build 与独立 `platform-build-rollout` plan/apply/configure（旧 v1 `gitops-rollout` 才列 migration/manual readiness）的 unknown-result baseline/readback 证据；writer bootstrap 记录独立 action key、原 session 中 `GITOPS_V2_WRITER_BOOTSTRAP` 的 exact contract/status/identity/revision/digest。初始 POST UNKNOWN 必须先 inspect 并只重放原 key；显式通用 `app retry` 仅恢复已持久 child 的原 session/run/key；记录 retry 前后 sequence 与服务端 recovery action。platform-build trigger/stop 都只POST一次并用原key/request GET恢复；configure 只接受同 rollout version 增长、source/Jenkinsfile digest 完整且 exact `READY/JENKINS_API_VERIFIED/VERIFIED` 的 GET evidence；旧 READY/LEGACY 不得记为本次 recovered；
-- multibranch 初始化是否要求 `INDEX_ONLY` scan、scan task/branch child evidence 和 no-trigger 证明；`scanMode=NONE` 或只有父 Job 时不得标记分支初始化完成；
-- platform-build writer 未决时记录 application、binding/target、request/build、source revision、image repository/tag/digest、expected old head、request marker、远端 target HEAD/revision/file content 与 Flux observed revision；分别给出 Jenkins/build、platform ledger、Flux/runtime 状态，禁止把 runtime healthy 单独写成自动化闭环成功；
-- 预期外部副作用；
-- 生产审批需求；
-- blocking warnings、恢复动作和回滚边界。
-- 写响应是否由原响应确认或由写前 cursor 之后、精确匹配本次 intent 的新持久证据恢复；既有状态不得标为 `recovered_from_status`。publication attach 必须记录原 sessionNo/clientRequestId、resolve 200 same-session binding/replayed=true，或 retryable 404 待恢复状态；禁止的 port-forward/tunnel 旁路。
-
-## 草案格式
-
-先输出紧凑表格：
-
-| 类别 | 参数 | 建议/事实 | 状态 | 置信度与证据 |
-|---|---|---|---|---|
-| 应用 | code | `order-service` | INFERRED | HIGH：Jenkins APP_NAME |
-| 归属 | teamId | `12 / payments` | UNRESOLVED | MEDIUM：同系统应用多数归属 |
-| 环境 | envId | `2 / dev1` | INFERRED | HIGH：唯一 active DEVELOP 环境 |
-| 数据库 | instanceId | — | DEFERRED | 数据库 CLI 尚未提供 |
-
-表格后列出：
-
-1. 可直接采用的观察值；
-2. 推荐决策及原因；
-3. 本轮要问的问题；
-4. 当前 blockers；
-5. 未来能力待办。
-
-## 最终确认
-
-执行前用以下顺序展示：
-
-1. **身份与目标**：谁、在哪个 profile/tenant、操作哪个环境；
-2. **应用归属**：code/name/team/system/domain；
-3. **代码库**：provider/connection/repo/branch/HEAD，以及是否创建和推送；
-   本地无 remote 时另列 publication manifest digest、bundle 边界和是否需要人工桥接；
-4. **技术与构建**：stack/template/build-flow/8080/health；
-5. **部署位置**：envId/cluster/namespace/tier；
-6. **数据库**：engine/instance/database/schema，明确 AVAILABLE 或 DEFERRED；
-7. **将发生的写操作**：逐项编号；
-8. **不会发生的操作**：默认包括 build、production deploy 和 secret 写入；
-9. **恢复信息**：session/idempotency key/结果未知处理；
-10. **未决告警**：必须为空才允许 apply；`DEFERRED` 项需明确不影响本次 apply。
-
-最后只提供“确认执行（推荐，仅在清单无 blocker 时）”和“返回修改”两类选择。用户确认后仍要做一次只读漂移检查。
+# Application checklist
+
+| 类别 | 必填事实 |
+|---|---|
+| 本地源码 | 路径、Git 分类、branch、HEAD、upstream、dirty 状态、技术栈、包管理器 |
+| 身份归属 | tenant/profile、当前用户、团队 membership、system、business domain |
+| SCM | provider、connection、namespace、repository identity、default branch、expected HEAD、credential readiness boolean |
+| 应用 | code、name、owner team、status、schemaVersion=3 session/plan |
+| Jenkins | instance、canonical Multibranch root、Jenkinsfile path、INDEX_ONLY scan、branch child、confirmed binding |
+| 流水线 | `gitopsBuildEntry()`、BUILD_FLOW、APP_HOME、ENV_ID 参数来源、INIT 初始化状态 |
+| GitOps | environment、cluster、target、service binding、values/kustomization 路径、image repository |
+| 运行态 | namespace、workload、service/port、health probes、当前 image |
+| 数据库 | needed、engine、instance/schema、migration owner、secret reference；能力缺失时 DEFERRED |
+| 治理 | 每个 child plan/run、幂等键、生产审批、恢复入口、预期副作用 |
+
+## 门禁
+
+- dirty worktree、remote/HEAD 漂移、团队资格不明、目标不唯一或 credential readiness unknown 时停止写入。
+- 新应用不生成签名 snapshot、独立 rollout/provenance 或其配置文件。
+- Job 初始化不等于部署成功；初始化与实际构建使用不同请求。
+- 只有 Jenkins、Flux 与 runtime 三方一致才报告部署完成。
+- 所有 Secret、token、Cookie、password 和 credential value 只记录引用或 readiness boolean。