@orkastery/cli 0.2.0 → 0.4.1

package/dist/manifest.js

@@ -40,14 +40,19 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.LIMITE_MANIFESTO_BYTES = exports.DIR_ESTADO = exports.NOME_MANIFESTO_LEGADO = exports.NOME_MANIFESTO = void 0;
 exports.acharRaiz = acharRaiz;
 exports.dirEstado = dirEstado;
+exports.validarOptInPlaybook = validarOptInPlaybook;
 exports.carregarManifesto = carregarManifesto;
 exports.exigirManifesto = exigirManifesto;
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const yaml_1 = require("./yaml");
 const modos_1 = require("./modos");
+const runtimes_1 = require("./runtimes");
+const codex_1 = require("./adapters/codex");
 const slug_1 = require("./slug");
 const util_1 = require("./util");
+const delegation_1 = require("./delegation");
+const horario_1 = require("./horario");
 exports.NOME_MANIFESTO = 'orkastery.yaml';
 exports.NOME_MANIFESTO_LEGADO = 'devmaster.yaml';
 exports.DIR_ESTADO = '.orkastery';
@@ -76,12 +81,70 @@ function texto(v, padrao) {
 function numero(v, padrao) {
     return typeof v === 'number' ? v : typeof v === 'string' && v.trim() !== '' && !isNaN(Number(v)) ? Number(v) : padrao;
 }
+/**
+ * I-37 (D2): `verify.timeout_ms` e `verify.timeout_ms_por_comando`. Prazo so vale inteiro
+ * positivo em milissegundos, entre 1 s e 24 h; o resto e erro do manifesto, porque um prazo
+ * mal escrito que caisse no default em silencio mudaria o veredito sem ninguem saber.
+ */
+function prazosDoVerify(verify, erros) {
+    const prazo = (chave, v) => {
+        if (v === undefined || v === null)
+            return undefined;
+        const n = typeof v === 'number' ? v : typeof v === 'string' && v.trim() !== '' ? Number(v) : NaN;
+        if (!Number.isInteger(n) || n < 1_000 || n > 86_400_000) {
+            erros.push(`${chave} precisa ser um inteiro em ms entre 1000 e 86400000 (recebido ${JSON.stringify(v)})`);
+            return undefined;
+        }
+        return n;
+    };
+    const saida = {};
+    const geral = prazo('verify.timeout_ms', verify.timeout_ms);
+    if (geral !== undefined)
+        saida.timeout_ms = geral;
+    const brutos = mapa(verify.timeout_ms_por_comando);
+    const porComando = {};
+    for (const nome of Object.keys(brutos)) {
+        if (!['build', 'test', 'typecheck'].includes(nome)) {
+            erros.push(`verify.timeout_ms_por_comando.${nome}: so build, test e typecheck tem prazo proprio`);
+            continue;
+        }
+        const n = prazo(`verify.timeout_ms_por_comando.${nome}`, brutos[nome]);
+        if (n !== undefined)
+            porComando[nome] = n;
+    }
+    if (Object.keys(porComando).length > 0)
+        saida.timeout_ms_por_comando = porComando;
+    return saida;
+}
 function booleano(v, padrao) {
     return typeof v === 'boolean' ? v : padrao;
 }
 function mapa(v) {
     return v && typeof v === 'object' && !Array.isArray(v) ? v : {};
 }
+/** Mesmo contrato na leitura do YAML e nos consumidores de manifesto em memoria. */
+function validarOptInPlaybook(valor) {
+    if (valor === undefined)
+        return false;
+    if (!valor || typeof valor !== 'object' || Array.isArray(valor) ||
+        Object.keys(valor).length !== 1 || !Object.hasOwn(valor, 'ativo') ||
+        typeof valor.ativo !== 'boolean') {
+        throw new Error('playbook deve conter somente ativo booleano explicito');
+    }
+    return valor.ativo;
+}
+/** I-33 (N2): texto e numero que dizem sim ou nao sem ambiguidade; o resto nao e reconhecido. */
+const BOOLEANOS_RECONHECIVEIS = new Map([
+    ['true', true], ['yes', true], ['on', true], ['sim', true], ['1', true],
+    ['false', false], ['no', false], ['off', false], ['nao', false], ['n\u00e3o', false], ['0', false],
+]);
+function booleanoReconhecivel(v) {
+    if (typeof v === 'number')
+        return v === 1 ? true : v === 0 ? false : null;
+    if (typeof v !== 'string')
+        return null;
+    return BOOLEANOS_RECONHECIVEIS.get(v.trim().toLowerCase()) ?? null;
+}
 /** Le e valida o manifesto. Nunca lanca: erros e avisos voltam na estrutura. */
 function carregarManifesto(dirInicial = process.cwd()) {
     const raiz = acharRaiz(dirInicial);
@@ -103,16 +166,56 @@ function carregarManifesto(dirInicial = process.cwd()) {
         erros.push(e.message);
     }
     const project = mapa(dados.project);
+    // I-35: fonte unica do fuso do dono. Valor invalido nao reprova o manifesto: avisa e cai
+    // no fuso do sistema, porque um horario com rotulo certo vale mais que um comando parado.
+    const fusoDoDono = (0, horario_1.lerFusoDoDono)(mapa(dados.owner).timezone);
+    if (fusoDoDono.aviso)
+        avisos.push(fusoDoDono.aviso);
     const board = mapa(dados.board);
     const runtime = mapa(dados.runtime);
     const conduction = mapa(dados.conduction);
+    if (conduction.delegation !== undefined && !(0, delegation_1.validarDelegacao)(conduction.delegation)) {
+        erros.push('conduction.delegation exige thread, escopo premissas, prazo ISO, evidencia e delegado');
+    }
     const worktree = mapa(dados.worktree);
     const verify = mapa(dados.verify);
+    const ci = mapa(dados.ci);
     const concurrency = mapa(dados.concurrency);
     const handoff = mapa(dados.handoff);
     const retry = mapa(dados.retry);
+    // I-33 (D14, N2): so booleano liga ou desliga a troca. Texto ou numero reconhecivel (`off`, "false", 0,
+    // "no") vale o booleano que diz, com aviso; o resto vale o padrao documentado, tambem com aviso.
+    const perfisDeRuntime = mapa(dados.runtime_profiles);
+    const chaveDeRotacao = (nome, padrao) => {
+        const v = perfisDeRuntime[nome];
+        if (v === undefined || v === null)
+            return padrao;
+        if (typeof v === 'boolean')
+            return v;
+        const lido = booleanoReconhecivel(v);
+        if (lido !== null) {
+            avisos.push(`runtime_profiles.${nome} deve ser true ou false; ${JSON.stringify(v)} lido como ${lido}`);
+            return lido;
+        }
+        avisos.push(`runtime_profiles.${nome} deve ser true ou false; vale o padrao ${padrao} (${JSON.stringify(v)} nao reconhecido)`);
+        return padrao;
+    };
+    const liveness = mapa(dados.liveness);
+    const silencioMaxMin = numero(liveness.silencio_max_min, 10);
+    if (!Number.isFinite(silencioMaxMin) || silencioMaxMin <= 0)
+        erros.push('liveness.silencio_max_min deve ser positivo e finito');
     const memory = mapa(dados.memory);
     const audit = mapa(dados.audit);
+    const fabrica = mapa(dados.fabrica);
+    let playbook;
+    try {
+        const ativo = validarOptInPlaybook(dados.playbook);
+        if (dados.playbook !== undefined)
+            playbook = { ativo };
+    }
+    catch (e) {
+        erros.push(e.message);
+    }
     const abbrev = texto(project.abbrev, '');
     const checkAbbrev = (0, slug_1.validarAbbrev)(abbrev);
     if (!checkAbbrev.ok)
@@ -120,9 +223,26 @@ function carregarManifesto(dirInicial = process.cwd()) {
     const nomeProjeto = texto(project.name, '');
     if (!nomeProjeto)
         erros.push('project.name ausente no manifesto');
-    const defaultModo = (0, modos_1.parseModo)(texto(conduction.default_mode, 'classic'));
+    /**
+     * I-43 (D6): o manifesto e a unica peca com motivo para DISTINGUIR modo aposentado
+     * de modo inexistente, e por isso a distincao mora so aqui.
+     *
+     * `parseModo` continua estrito de proposito: ele e o portao de ESCRITA, e afrouxa-lo
+     * deixaria `#Look` ser escrito de novo. Mas um `orkastery.yaml` que lista `look` estava
+     * CERTO quando foi escrito, e existe assim nos quatro arquivos deste VPS. Tratar isso
+     * como erro pintaria `ork doctor` de vermelho nos tres projetos no dia um, com uma
+     * mensagem que culpa o usuario por um arquivo que ele nao errou.
+     *
+     * Entao: modo aposentado vira AVISO e sai da lista de permitidos; so valor
+     * genuinamente desconhecido continua ERRO.
+     */
+    const brutoDefault = texto(conduction.default_mode, 'classic');
+    const defaultModo = (0, modos_1.parseModo)(brutoDefault);
     if (!defaultModo) {
-        erros.push(`conduction.default_mode invalido: "${texto(conduction.default_mode, '')}"`);
+        const substitutos = (0, modos_1.substitutosVivos)().join(' ou ');
+        erros.push((0, modos_1.modoAposentado)(brutoDefault.trim().toLowerCase())
+            ? `conduction.default_mode aposentado: "${brutoDefault}" (use ${substitutos})`
+            : `conduction.default_mode invalido: "${brutoDefault}"`);
     }
     const brutosPermitidos = Array.isArray(conduction.allowed_modes)
         ? conduction.allowed_modes.map((m) => texto(m, ''))
@@ -130,10 +250,15 @@ function carregarManifesto(dirInicial = process.cwd()) {
     const permitidos = [];
     for (const b of brutosPermitidos) {
         const m = (0, modos_1.parseModo)(b);
-        if (!m)
-            erros.push(`conduction.allowed_modes contem modo invalido: "${b}"`);
-        else
+        if (m) {
             permitidos.push(m);
+            continue;
+        }
+        if ((0, modos_1.modoAposentado)(b.trim().toLowerCase())) {
+            avisos.push(`conduction.allowed_modes ignora modo aposentado "${b}"; use ${(0, modos_1.substitutosVivos)().join(' ou ')}`);
+            continue;
+        }
+        erros.push(`conduction.allowed_modes contem modo invalido: "${b}"`);
     }
     if (permitidos.length === 0)
         permitidos.push(...modos_1.ORDEM_DOS_MODOS);
@@ -144,6 +269,16 @@ function carregarManifesto(dirInicial = process.cwd()) {
     if (providerPolicy !== 'subscription-only' && providerPolicy !== 'any') {
         avisos.push(`runtime.provider_policy desconhecida: "${providerPolicy}"`);
     }
+    // Runtime de despacho: so os homologados passam. Um typo aqui viraria erro apenas na
+    // hora do despacho, com a thread ja aberta; reprovar no manifesto e mais barato.
+    const adapterDeRuntime = texto(runtime.adapter, runtimes_1.RUNTIME_PADRAO);
+    if (!(0, runtimes_1.runtimeConhecido)(adapterDeRuntime)) {
+        erros.push(`runtime.adapter desconhecido: "${adapterDeRuntime}" (homologados: ${runtimes_1.ORDEM_DOS_RUNTIMES.join(', ')})`);
+    }
+    const sandboxDoRuntime = texto(runtime.sandbox, codex_1.SANDBOX_PADRAO);
+    if (!codex_1.SANDBOXES_DO_CODEX.includes(sandboxDoRuntime)) {
+        erros.push(`runtime.sandbox invalido: "${sandboxDoRuntime}" (aceitos: ${codex_1.SANDBOXES_DO_CODEX.join(', ')})`);
+    }
     // Bloco B6, isolamento por tenant (precedente do incidente memory-orkmind):
     // `database_url_env` recebe o NOME da variavel de ambiente, nunca a string de conexao.
     // Uma DSN colada aqui e exatamente o defeito que fez a memoria de um produto escrever
@@ -178,20 +313,24 @@ function carregarManifesto(dirInicial = process.cwd()) {
             stage: texto(project.stage, 'nascente') ?? 'nascente',
             repo_root: texto(project.repo_root, raiz),
         },
+        ...(fusoDoDono.origem === 'manifesto' ? { owner: { timezone: fusoDoDono.fuso } } : {}),
         board: {
             adapter: texto(board.adapter, 'hermes-kanban'),
             default: texto(board.default, 'default'),
         },
         runtime: {
-            adapter: texto(runtime.adapter, 'claude-bg'),
+            adapter: adapterDeRuntime,
             model: texto(runtime.model, 'opus'),
             effort: texto(runtime.effort, 'high'),
             provider_policy: providerPolicy,
+            sandbox: sandboxDoRuntime,
         },
         conduction: {
             default_mode: defaultModo ?? 'classic',
             allowed_modes: permitidos,
+            ...((0, delegation_1.validarDelegacao)(conduction.delegation) ? { delegation: conduction.delegation } : {}),
         },
+        ...(playbook === undefined ? {} : { playbook }),
         worktree: {
             base_branch: texto(worktree.base_branch, 'main'),
             dir: texto(worktree.dir, '.claude/worktrees'),
@@ -200,17 +339,32 @@ function carregarManifesto(dirInicial = process.cwd()) {
         verify: {
             build: verify.build === null || verify.build === undefined ? undefined : texto(verify.build, ''),
             test: verify.test === null || verify.test === undefined ? undefined : texto(verify.test, ''),
+            ...prazosDoVerify(verify, erros),
             typecheck: verify.typecheck === null || verify.typecheck === undefined
                 ? undefined
                 : texto(verify.typecheck, ''),
+            // I-54 (RM-037, D10): o preparo unico da rodada de verify, quando declarado.
+            ...(typeof verify.preparo === 'string' && verify.preparo.trim() ? { preparo: verify.preparo.trim() } : {}),
+        },
+        ci: {
+            required_for_ship: booleano(ci.required_for_ship, false),
+            context: texto(ci.context, 'ork-verify'),
+            command: ci.command === null || ci.command === undefined ? undefined : texto(ci.command, ''),
         },
         concurrency: {
             max_parallel_threads: numero(concurrency.max_parallel_threads, 3),
+            stale_after_min: Math.max(1, Math.trunc(numero(concurrency.stale_after_min, 240))),
         },
+        liveness: { silencio_max_min: silencioMaxMin },
         handoff: {
             rotate_above: numero(handoff.rotate_above, 0.7),
             force_rotate_above: numero(handoff.force_rotate_above, 0.85),
         },
+        // I-33 (D16): troca por cota ligada por padrao, decisao do dono em 19/09/2026; o operador desliga aqui.
+        runtime_profiles: {
+            rotate_same_runtime_on_quota: chaveDeRotacao('rotate_same_runtime_on_quota', true),
+            rotate_same_runtime_on_auth: chaveDeRotacao('rotate_same_runtime_on_auth', true),
+        },
         // Bloco B3: o limite de escalacao tem padrao, e o padrao e conservador. Manifesto
         // sem bloco `retry:` continua andando com 3 tentativas e janela estimada de 60 min,
         // que e exatamente o que o B3 promete, nao um "sem limite" implicito.
@@ -238,6 +392,11 @@ function carregarManifesto(dirInicial = process.cwd()) {
             since_padrao: texto(audit.since_padrao, '7d'),
             graphify: texto(audit.graphify, 'auto'),
         },
+        // I-51 (RM-047): publicar o estado da fabrica empurra para o remoto, entao so com opt-in.
+        fabrica: {
+            compartilhada: booleano(fabrica.compartilhada, false),
+            remoto: texto(fabrica.remoto, 'origin'),
+        },
         policies: Object.fromEntries(Object.entries(mapa(dados.policies)).map(([k, v]) => [k, texto(v, '')])),
     };
     return { caminho: achado.caminho, raiz, legado: achado.legado, bytes, manifesto, erros, avisos };

package/dist/maquina.js

@@ -0,0 +1,102 @@
+"use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CONTRATO_CONFIG_DA_MAQUINA = void 0;
+exports.pastaDoUsuario = pastaDoUsuario;
+exports.lerConfigDaMaquina = lerConfigDaMaquina;
+exports.gravarConfigDaMaquina = gravarConfigDaMaquina;
+exports.nomeDaMaquina = nomeDaMaquina;
+exports.fabricaCompartilhada = fabricaCompartilhada;
+/**
+ * I-51 (RM-047): esta maquina na fabrica.
+ *
+ * O nome e a adesao a fabrica compartilhada sao da MAQUINA, nao do projeto: o repositorio vai a
+ * outras pessoas, e o clone de um contribuidor nao pode sair publicando estado no remoto. Por isso
+ * os dois moram num arquivo do usuario, `~/.orkastery/maquina.json` (contrato `ork.maquina/v1`),
+ * gravado por `ork fabrica entrar`. Arquivo e nao variavel de ambiente porque o cron e os gateways
+ * nao carregam o perfil do shell, e a mesma maquina apareceria com dois nomes.
+ *
+ * Precedencia do nome: `--maquina`, `ORK_MAQUINA`, o arquivo, o hostname.
+ * Precedencia da adesao: `ORK_FABRICA_COMPARTILHADA` (1 liga, 0 desliga), senao o manifesto do
+ * projeto (`fabrica.compartilhada`, para o time que quer em todas as maquinas) ou o arquivo.
+ */
+const fs = __importStar(require("node:fs"));
+const os = __importStar(require("node:os"));
+const path = __importStar(require("node:path"));
+exports.CONTRATO_CONFIG_DA_MAQUINA = 'ork.maquina/v1';
+const ARQUIVO = 'maquina.json';
+/** A pasta do usuario (`~/.orkastery`). `ORK_USUARIO_DIR` isola testes e `ork eval`. */
+function pastaDoUsuario() {
+    return (process.env.ORK_USUARIO_DIR ?? '').trim() || path.join(os.homedir(), '.orkastery');
+}
+function lerConfigDaMaquina() {
+    try {
+        const bruto = JSON.parse(fs.readFileSync(path.join(pastaDoUsuario(), ARQUIVO), 'utf8'));
+        if (bruto.contrato !== exports.CONTRATO_CONFIG_DA_MAQUINA)
+            return null;
+        return { ...bruto, nome: typeof bruto.nome === 'string' && bruto.nome.trim() ? bruto.nome.trim() : null,
+            fabricaCompartilhada: bruto.fabricaCompartilhada === true };
+    }
+    catch {
+        return null;
+    }
+}
+function gravarConfigDaMaquina(mudanca) {
+    const atual = lerConfigDaMaquina();
+    const nome = mudanca.nome !== undefined ? (mudanca.nome ?? '').trim() || null : atual?.nome ?? null;
+    if (nome !== null && !/^[A-Za-z0-9][A-Za-z0-9._-]{0,63}$/.test(nome)) {
+        throw new Error(`fabrica.maquina: nome de maquina invalido ("${nome}"); use letras, numeros, ponto, _ ou -`);
+    }
+    const config = { contrato: exports.CONTRATO_CONFIG_DA_MAQUINA, nome,
+        fabricaCompartilhada: mudanca.fabricaCompartilhada ?? atual?.fabricaCompartilhada ?? false, atualizadoEm: new Date().toISOString() };
+    const dir = pastaDoUsuario();
+    fs.mkdirSync(dir, { recursive: true });
+    const temp = path.join(dir, `.${ARQUIVO}.${process.pid}.tmp`);
+    fs.writeFileSync(temp, JSON.stringify(config, null, 2) + '\n', { mode: 0o644 });
+    fs.renameSync(temp, path.join(dir, ARQUIVO));
+    return config;
+}
+function nomeDaMaquina(explicito) {
+    return (explicito ?? '').trim() || (process.env.ORK_MAQUINA ?? '').trim() || lerConfigDaMaquina()?.nome || os.hostname();
+}
+/** Esta maquina publica o estado da fabrica deste projeto? */
+function fabricaCompartilhada(manifesto) {
+    const env = (process.env.ORK_FABRICA_COMPARTILHADA ?? '').trim();
+    if (env === '1')
+        return true;
+    if (env === '0')
+        return false;
+    return manifesto.fabrica?.compartilhada === true || lerConfigDaMaquina()?.fabricaCompartilhada === true;
+}

package/dist/master-audit.js

@@ -0,0 +1,101 @@
+"use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.reciboSemanalValido = reciboSemanalValido;
+exports.auditarMaster = auditarMaster;
+/** Indicadores operacionais: ausência de evidência nunca conta como aprovação. */
+const fs = __importStar(require("node:fs"));
+const node_crypto_1 = require("node:crypto");
+const thread_1 = require("./thread");
+const ledger_1 = require("./ledger");
+const master_1 = require("./master");
+const master_digest_1 = require("./master-digest");
+function reciboSemanalValido(job) {
+    if (!job.concluidoEm || (0, master_digest_1.sextaLocal)(job.concluidoEm) !== job.semana || !job.paginas.length ||
+        job.recibos.length !== job.paginas.length || new Set(job.recibos.map(r => r.pagina)).size !== job.paginas.length)
+        return false;
+    return job.paginas.every((p, pagina) => {
+        const r = job.recibos.find(r => r.pagina === pagina);
+        return !!r && r.sha256 === (0, node_crypto_1.createHash)('sha256').update(JSON.stringify(p)).digest('hex') &&
+            r.host.success === true && Number.isInteger(r.host.message_id) && r.host.message_id > 0 &&
+            typeof r.host.platform === 'string' && !!r.host.platform.trim() &&
+            Number.isFinite(Date.parse(r.confirmadoEm)) && Date.parse(r.confirmadoEm) >= Date.parse(job.criadoEm) &&
+            Date.parse(r.confirmadoEm) <= Date.parse(job.concluidoEm);
+    });
+}
+function auditarMaster(raiz, quando = new Date().toISOString()) {
+    const fim = Date.parse(quando), inicio = fim - 30 * 86400000;
+    if (!Number.isFinite(fim))
+        throw new Error('data de auditoria inválida');
+    const fechadas = [], classes = new Set();
+    for (const id of (0, thread_1.listarIds)(raiz)) {
+        const t = (0, thread_1.lerThread)(raiz, id);
+        if (t.status !== 'fechada')
+            continue;
+        const data = Date.parse(t.atualizadaEm);
+        if (Number.isFinite(data) && (data < inicio || data > fim))
+            continue;
+        const eventos = (0, ledger_1.lerLedger)((0, thread_1.dirThread)(raiz, id));
+        const admin = t.fechamentoAdmin && !t.score && eventos.some(e => e.tipo === 'thread_closed_admin' &&
+            e.motivo === t.fechamentoAdmin.motivo && e.por === t.fechamentoAdmin.por && e.fechadoEm === t.fechamentoAdmin.fechadoEm);
+        const log = (0, master_1.masterRatificado)(raiz, id) ? (0, master_1.lerMasterLog)(raiz, id) : null;
+        const ok = Number.isFinite(data) && !!(admin || log);
+        fechadas.push({ thread: id, ok, tipo: admin ? 'administrativo' : log ? 'ratificado' : 'sem-prova' });
+        if (ok && log)
+            log.classesDeFalha.forEach(c => classes.add(c));
+    }
+    let sexta = null, referencia = fim;
+    for (let n = 0; n < 7 && !sexta; n++, referencia -= 86400000)
+        sexta = (0, master_digest_1.sextaLocal)(new Date(referencia).toISOString());
+    const semanas = [21, 14, 7, 0].map(dias => new Date(Date.parse(`${sexta}T12:00:00Z`) - dias * 86400000).toISOString().slice(0, 10));
+    const recibos = semanas.map(semana => {
+        try {
+            const job = (0, master_digest_1.lerDigest)(raiz, semana);
+            return { semana, ok: reciboSemanalValido(job) && Date.parse(job.concluidoEm) <= fim, paginas: job.paginas.length };
+        }
+        catch {
+            return { semana, ok: false, paginas: 0 };
+        }
+    });
+    const conformes = fechadas.filter(f => f.ok).length;
+    const cobertura = { ok: fechadas.length > 0 && conformes === fechadas.length, total: fechadas.length, conformes,
+        percentual: fechadas.length ? 100 * conformes / fechadas.length : null, threads: fechadas };
+    const distribuicao = { ok: classes.size >= 3, minimo: 3, classes: [...classes].sort() };
+    const digest = { ok: recibos.every(r => r.ok), semanas: recibos,
+        arquivosObservados: fs.existsSync((0, master_digest_1.dirDigest)(raiz)) ? fs.readdirSync((0, master_digest_1.dirDigest)(raiz)).filter(f => /^\d{4}-\d{2}-\d{2}\.json$/.test(f)).length : 0 };
+    return { contrato: 'ork.master-audit/v1', consultadoEm: quando, janelaDias: 30,
+        ok: cobertura.ok && distribuicao.ok && digest.ok, cobertura, distribuicao, digest,
+        limite: 'Testes controlados provam o mecanismo; somente estado e recibos operacionais satisfazem estes KPIs.' };
+}

package/dist/master-batch.js

@@ -0,0 +1,43 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.assinaturaProposta = assinaturaProposta;
+exports.listarBatch = listarBatch;
+exports.ratificarBatch = ratificarBatch;
+/**
+ * Seleção humana vinculada ao conteúdo exato da proposta apresentada.
+ *
+ * I-43 (T8): a FILA saiu daqui. O que era `textoDoBatch` ("Fila de score: N esperando
+ * o humano") deixou de existir, porque era exatamente o mecanismo que acumulava e não
+ * convertia: 13 entradas esperando nota que ninguém dava.
+ *
+ * O que FICA é outra coisa, e a distinção importa: ratificar uma PROPOSTA explícita de
+ * agente (`score_proposto`), com assinatura do conteúdo apresentado, é o caminho que o
+ * digest semanal e o HITL usam quando o dono responde. Isso não é fila, é resposta a
+ * um pedido específico, e a I-43 não mexe nele.
+ */
+const node_crypto_1 = require("node:crypto");
+const master_1 = require("./master");
+function assinaturaProposta(p) {
+    return (0, node_crypto_1.createHash)('sha256').update(JSON.stringify(p)).digest('hex');
+}
+function listarBatch(raiz, todas = false) {
+    return (0, master_1.pendentesDeScore)(raiz, todas).map(p => ({ thread: p.thread.id, nome: p.thread.nome, entregue: p.entregou,
+        proposta: p.thread.score_proposto ?? null, assinatura: p.thread.score_proposto ? assinaturaProposta(p.thread.score_proposto) : null }));
+}
+function ratificarBatch(raiz, selecao, por) {
+    (0, master_1.exigirAutoriaHumana)(por);
+    if (!selecao.length || new Set(selecao.map(s => s.thread)).size !== selecao.length)
+        throw new Error('selecione threads distintas explicitamente');
+    const disponiveis = listarBatch(raiz);
+    const planos = selecao.map(s => {
+        const item = disponiveis.find(i => i.thread === s.thread);
+        if (!item?.proposta || item.assinatura !== s.assinatura)
+            throw new Error(`proposta ausente ou alterada: ${s.thread}; revise o batch`);
+        const p = item.proposta;
+        const opcoes = { score: p.valor, justificativa: p.justificativa, classes: s.classe ? [s.classe] : p.classes, resumo: p.resumo, por };
+        (0, master_1.preflightMaster)(raiz, s.thread, opcoes);
+        return { id: s.thread, opcoes };
+    });
+    // Todo erro de seleção, prova, autoria, score e classe foi verificado antes de gravar.
+    return planos.map(p => (0, master_1.registrarMaster)(raiz, p.id, p.opcoes));
+}