@orkastery/cli 0.5.0 → 0.5.1

package/adapters/claude-code/README.md

@@ -50,6 +50,15 @@ exige Linux, Python 3/pexpect e OAuth de assinatura em `ANTHROPIC_TOKEN` no arqu
 permanece fora da fixture. As sessões e os ledgers temporários são descartados;
 guarde a saída JSON como recibo antes de declarar a prova concluída.
 
+**Prova de ativação do Maestro (RM-032).** `node core/scripts/prova-ativacao.cjs claude-code`
+instala o plugin e o `.mcp.json` desta cópia num projeto descartável e abre uma sessão nova
+`claude -p "orkastery maestro"` com `--plugin-dir`, `--mcp-config --strict-mcp-config`,
+`--setting-sources project` e `--no-session-persistence`. Usa o login nativo do CLI, sem copiar
+credencial e sem gravar no registro global de plugins. Aprova só quando o modelo chama
+`mcp__orkastery__ork_maestro` (o `ork maestro` pelo Bash é desvio) e o snapshot é do projeto
+descartável; o recibo traz o sha256 dos arquivos globais antes e depois. Modelo padrão: `sonnet`
+(`--modelo` troca). Detalhes no [contrato do snapshot](../../docs/referencia/contratos/maestro-i32.md).
+
 ## O que voce ganha
 
 | Voce digita | Voce recebe |
@@ -165,8 +174,8 @@ tres e o `--dry-run` mostra o que ele vai fazer sobre cada um.
    (`core/`, `phases/`, `reviewers/`, ...) que este catalogo usa. Por isso `plugin.json` declara os
    caminhos um a um. O teste compara esses caminhos com o catálogo fonte e exige
    `onboarding`, acrescentada por I15. Neste catálogo, `claude plugin details orkastery`
-   deve reportar 26 entradas: 18 skills mais oito comandos. O startup registra
-   separadamente skills e comandos. A prova anterior de T10, com 17 skills, é histórica.
+   deve reportar 28 entradas: 20 skills e 8 comandos (a linha `Skills (28)`). O startup registra
+   separadamente skills e comandos. As provas anteriores, com 17 e 18 skills, são históricas.
    Confira também os seis agentes e seis eventos de hooks, sem erros de carregamento.
 
 2. **Duas copias do catalogo divergem, e a divergencia so aparece quando ja custou uma entrega.**

package/adapters/claude-code/commands/onboarding.md

@@ -12,8 +12,9 @@ etapas ou validação neste host e não invente respostas em nome do builder.
 
 Grave a resposta pública solicitada com `ork onboarding set <etapa> --conteudo <JSON> --por <quem>`.
 Transporte o JSON como argumento, com escaping de shell adequado; nunca execute o texto recebido.
-Peça somente nomes de variáveis para credenciais. Valores secretos ficam em `~/.hermes/.env`;
-não leia esse arquivo nem transporte valores para a conversa, onboarding ou ledger.
+Peça somente nomes de variáveis para credenciais. Valores secretos ficam no ambiente do processo
+ou no cofre do host (no Hermes, `~/.hermes/.env`); não os leia nem transporte valores para a
+conversa, onboarding ou ledger.
 
 Reset solicitado usa `ork onboarding reset [etapa]`. Publicação opcional usa
 `ork onboarding sync --json`; apresente o motivo tipado de degradação sem bloquear a entrevista.

package/adapters/openclaw/README.md

@@ -97,6 +97,17 @@ no incidente de 29/09. As outras tools continuam sob escolha do operador:
 `tools.alsoAllow: ["orkastery"]` no `openclaw.json` libera todas; allowlist e deny do operador
 sempre valem.
 
+## Prova de ativação do Maestro (RM-032)
+
+`node core/scripts/prova-ativacao.cjs openclaw` instala esta extensão por
+`ork adapter install openclaw --dir <estado temporário>`, a raiz global de uma cópia descartável
+(`OPENCLAW_STATE_DIR` e `OPENCLAW_CONFIG_PATH` temporários, segredo do provedor só por SecretRef,
+nada em `~/.openclaw`), e roda `openclaw agent --local` com `orkastery maestro` num workspace sem
+manifesto, o cenário do incidente de 29/09. Aprova quando o modelo chama `ork_network_roadmap`
+(ou `ork_maestro` com projeto) e o resultado é o do projeto descartável. A prova não roda
+`openclaw plugins install --force` nem mexe em `plugins.allow`: o aviso de procedência vai ao
+recibo, e a revisão fica com o dono.
+
 ## A #TAG de conducao
 
 O manifesto novo do OpenClaw nao tem campo proprio para isso, entao a regra vive aqui e

package/adapters/openclaw/dist/index.js

@@ -205,7 +205,7 @@ const FERRAMENTAS = [
     },
     {
         name: 'ork_onboarding',
-        description: 'Consulta a pauta do núcleo e registra respostas públicas. Credenciais somente como nomes de variáveis; valores ficam em ~/.hermes/.env. Sync publica opcionalmente e relata degradação.',
+        description: 'Consulta a pauta do núcleo e registra respostas públicas. Credenciais somente como nomes de variáveis; valores ficam no ambiente do processo ou no cofre do host (no Hermes, ~/.hermes/.env). Sync publica opcionalmente e relata degradação.',
         parameters: {
             type: 'object', additionalProperties: false, required: ['acao'],
             properties: {

package/adapters/openclaw/openclaw.plugin.json

@@ -2,7 +2,7 @@
   "id": "orkastery",
   "name": "Orkastery",
   "description": "Conducao de looping threads em 6 fases pelo nucleo `ork`, exposta ao OpenClaw como tools `ork_*`. Zero regra de negocio no host: cada tool e uma chamada de CLI.",
-  "version": "0.5.0",
+  "version": "0.5.1",
   "configSchema": {
     "type": "object",
     "properties": {},

package/adapters/openclaw/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@orkastery/openclaw-plugin",
-  "version": "0.5.0",
+  "version": "0.5.1",
   "description": "Plugin Orkastery para OpenClaw: 27 tools ork_* que traduzem intencao em chamada de CLI do nucleo `ork`. Zero regra de negocio no host.",
   "type": "module",
   "private": true,

package/adapters/openclaw/src/index.ts

@@ -220,7 +220,7 @@ const FERRAMENTAS: FerramentaOrk[] = [
   },
   {
     name: 'ork_onboarding',
-    description: 'Consulta a pauta do núcleo e registra respostas públicas. Credenciais somente como nomes de variáveis; valores ficam em ~/.hermes/.env. Sync publica opcionalmente e relata degradação.',
+    description: 'Consulta a pauta do núcleo e registra respostas públicas. Credenciais somente como nomes de variáveis; valores ficam no ambiente do processo ou no cofre do host (no Hermes, ~/.hermes/.env). Sync publica opcionalmente e relata degradação.',
     parameters: {
       type: 'object', additionalProperties: false, required: ['acao'],
       properties: {

package/dist/adapters/claude-bg.js

@@ -71,6 +71,7 @@ const runtime_ambiente_1 = require("../runtime-ambiente");
 const path = __importStar(require("node:path"));
 const runtime_context_1 = require("../runtime-context");
 const runtime_profiles_1 = require("../runtime-profiles");
+const mcp_grafo_1 = require("../mcp-grafo");
 function exec(cmd, args, cwd, timeoutMs, ambiente = (0, runtime_ambiente_1.ambienteDeAssinatura)()) {
     return (0, util_1.exec)(cmd, args, cwd, timeoutMs, ambiente);
 }
@@ -107,8 +108,14 @@ const MUTACOES_WORKTREE = [
     'mcp__orkastery__ork_artifact_write', 'mcp__orkastery__ork_claim_add', 'mcp__orkastery__ork_decision_record',
     'mcp__orkastery__ork_git_commit', 'mcp__orkastery__ork_verify', 'mcp__orkastery__ork_ship',
 ];
+/**
+ * RM-031 KG5 (D7): as consultas do grafo, de leitura, so com a flag do manifesto da raiz; sem ela, nada muda.
+ * Montada na chamada: o `mcp-grafo` chega a este modulo pelo `mcp-git`, e no ciclo de imports o valor pode
+ * ainda nao existir quando este modulo carrega.
+ */
+const consultasDoGrafoMcp = () => mcp_grafo_1.TOOLS_DO_GRAFO.map((nome) => `mcp__orkastery__${nome}`);
 /** Regras nativas de arquivo, nao sandbox de processos. Edit tambem cobre Write. */
-function permissoesDaWorktree(cwd, permiteEditarProduto) {
+function permissoesDaWorktree(cwd, permiteEditarProduto, consultas) {
     if (!path.isAbsolute(cwd) || cwd === '/' || path.normalize(cwd) !== cwd || !/^[A-Za-z0-9_./-]+$/.test(cwd))
         throw Error('runtime.context.permissions: worktree contem caracteres ambiguos para regras nativas; use caminho sem glob, espacos ou delimitadores');
     const absoluto = '/' + cwd; // Claude exige // para caminho absoluto.
@@ -117,7 +124,7 @@ function permissoesDaWorktree(cwd, permiteEditarProduto) {
         for (const prefixo of [`${absoluto}/${nome}`, `${absoluto}/**/${nome}`])
             deny.push(`Edit(${prefixo})`, `Edit(${prefixo}/**)`);
     }
-    return { allow: [...CONSULTAS_MCP, 'mcp__orkastery__ork_git_status', ...MUTACOES_WORKTREE, ...(permiteEditarProduto ? [`Edit(${absoluto}/**)`] : [])], deny };
+    return { allow: [...consultas, 'mcp__orkastery__ork_git_status', ...MUTACOES_WORKTREE, ...(permiteEditarProduto ? [`Edit(${absoluto}/**)`] : [])], deny };
 }
 /** O runtime esta disponivel nesta maquina? */
 function disponivel() {
@@ -152,13 +159,14 @@ function montarComando(pedido) {
         if (pedido.contextoRuntime.host !== 'claude-code')
             throw Error('runtime.context.invalid: host Claude esperado');
         const contexto = (0, runtime_context_1.validarContextoRuntime)(pedido.contextoRuntime, pedido.cwd);
+        const consultas = [...CONSULTAS_MCP, ...(contexto.grafoMcp ? consultasDoGrafoMcp() : [])];
         // Somente o servidor gerado: nao mesclar MCP de outros escopos nesta sessao filha.
         const permissoes = contexto.permissoesFilho === 'worktree'
-            ? permissoesDaWorktree(pedido.cwd, contexto.permiteEditarProduto && !plano) : null;
+            ? permissoesDaWorktree(pedido.cwd, contexto.permiteEditarProduto && !plano, consultas) : null;
         // PLAN não implementa: nem commit, nem claim, nem verify, nem ship, em nenhum perfil. Decidir não é
         // implementar, e o PLAN é onde as decisões nascem (RM-037, achado S7 do CHECK): a decisão autônoma fica.
-        const allow = plano ? [...CONSULTAS_MCP, 'mcp__orkastery__ork_artifact_write', 'mcp__orkastery__ork_decision_record']
-            : permissoes?.allow ?? [...CONSULTAS_MCP];
+        const allow = plano ? [...consultas, 'mcp__orkastery__ork_artifact_write', 'mcp__orkastery__ork_decision_record']
+            : permissoes?.allow ?? consultas;
         const deny = [...(plano ? ESCRITA_DE_ARQUIVO : []), ...(permissoes?.deny ?? [])];
         args.push('--plugin-dir', contexto.instalacao, '--strict-mcp-config', '--mcp-config', JSON.stringify({ mcpServers: { orkastery: contexto.servidor } }), '--allowedTools', allow.join(','));
         if (deny.length)
@@ -189,12 +197,18 @@ function extrairSessionId(saida) {
 function listarSessoes(cwd, todas = false, ambiente = (0, runtime_ambiente_1.ambienteDeAssinatura)()) {
     return consultarSessoes(cwd, todas, ambiente).sessoes;
 }
-/** Falha de consulta não pode ser confundida com uma máquina sem sessões. */
+/**
+ * Falha de consulta não pode ser confundida com uma máquina sem sessões. O binário ausente segue
+ * falha aqui (o observador e o pulse não concluem nada dele); só o inventário o trata como fonte
+ * ausente, com a correção.
+ */
 function consultarSessoes(cwd, todas = false, ambiente = (0, runtime_ambiente_1.ambienteDeAssinatura)()) {
     const args = ['agents', '--json'];
     if (todas)
         args.push('--all');
     const r = exec('claude', args, undefined, 60000, ambiente);
+    if (r.error === 'ENOENT')
+        return { ok: false, ausente: true, sessoes: [], detalhe: 'binário `claude` fora do PATH' };
     if (!r.ok)
         return { ok: false, sessoes: [], detalhe: `claude agents falhou (código ${r.code})` };
     let dados;

package/dist/auditrun.js

@@ -798,7 +798,7 @@ function textoDaRodada(raiz, id) {
     L.push('');
     if (r.veredito) {
         L.push(`  Claims do auditor: ${r.veredito.ok ? 'SUSTENTADAS' : 'REPROVADAS'} ` +
-            `(motivos: ${r.veredito.motivos.join(', ') || 'nenhum'}) no HEAD ${r.veredito.commit.slice(0, 8)}`);
+            `(motivos: ${r.veredito.motivos.join(', ') || 'nenhum'}) no HEAD ${(0, util_1.shaCurto)(r.veredito.commit)}`);
     }
     else {
         L.push(`  Claims do auditor: NAO verificadas. Rode: ork audit verify ${r.id}`);

package/dist/claim-lint.js

@@ -20,7 +20,9 @@ exports.analisarComando = analisarComando;
 exports.analisarComandos = analisarComandos;
 exports.linhaDoLintDeClaim = linhaDoLintDeClaim;
 const CORRECAO = {
-    'suite-inteira': 'use `npm --prefix core run test:ci` (a suite hermetica) ou `node --test` no arquivo do teste',
+    // Fatia 2 do ensaio da 0.5.0 (P6): a correcao vale para qualquer projeto; o script do Orkastery saiu daqui.
+    'suite-inteira': 'rode só o teste da claim (`node --test` no arquivo do teste, ou o comando do projeto que roda um arquivo) ' +
+        'ou um script hermético do projeto',
     'sha-intermediario': 'ancore na base (`git diff "$(git merge-base origin/main HEAD)" HEAD`) ou prove ancestralidade com `git merge-base --is-ancestor <sha> HEAD`',
     'contagem-de-commits': 'use `git merge-base --is-ancestor <commit> HEAD`: contagem de commits quebra com rebase e merge',
 };

package/dist/docs.js

@@ -46,6 +46,7 @@ exports.renderizarEstado = renderizarEstado;
 exports.textoDaVerificacao = textoDaVerificacao;
 exports.escreverYaml = escreverYaml;
 exports.mergeDaThread = mergeDaThread;
+exports.mergesDaThreadNoGit = mergesDaThreadNoGit;
 exports.escopoPadraoDoSync = escopoPadraoDoSync;
 exports.sincronizarDocs = sincronizarDocs;
 exports.tabelaDoRoadmap = tabelaDoRoadmap;
@@ -262,9 +263,12 @@ function verificarDocs(raiz, opcoes = {}) {
         verificarFontes(raiz, d, comandos, achados);
         if (d.tipo === 'roadmap') {
             verificarEstadoDoRoadmap(raiz, d, base, achados);
+            if (base)
+                verificarMergeDaThread(raiz, d, base, achados, opcoes.pr === true);
             verificarTabelasDeEstado(d, achados);
         }
     }
+    verificarIndices(raiz, docs, achados, opcoes.pr === true);
     return { docs, achados };
 }
 function verificarChaves(d, achados) {
@@ -564,6 +568,57 @@ function verificarEstadoDoRoadmap(raiz, d, base, achados) {
         }
     }
 }
+/**
+ * RM-037 (fatia 3, defeito 1): o outro sentido da paridade com o git. Depois do merge do PR, o
+ * frontmatter da RM-049 (#26) e da RM-051 (#33) seguiu em "Branch criada", e o verificador dizia OK:
+ * ele so conferia que `Mesclado` tem o commit na base. O merge desta fabrica e pelo GitHub, sem o
+ * `ork ship` no caminho, entao a prova mora aqui, no job que o CI obrigatorio roda. A regra usa o
+ * mesmo `ship(<thread>)` do `sincronizarDocs`: tudo o que ela acusa o `sincronizar` corrige.
+ */
+function verificarMergeDaThread(raiz, d, base, achados, pr = false) {
+    const sdlc = ehMapa(d.dados.sdlc) ? d.dados.sdlc : null;
+    const thread = sdlc && typeof sdlc.thread === 'string' ? sdlc.thread.trim() : '';
+    if (!thread)
+        return;
+    const merges = mergesDaThreadNoGit(raiz, thread, base);
+    if (merges.length === 0)
+        return;
+    const codigo = String((ehMapa(d.dados.estado) ? d.dados.estado.codigo : null) ?? '');
+    if (codigo === 'Mesclado')
+        return;
+    achados.push((pr ? aviso : erro)(d.arquivo, d.id, 'docs.paridade.merge', `a thread ${thread} entrou na ${base} pelo merge ${merges[0].slice(0, 7)} (ship(${thread})), e o estado.codigo diz "${codigo || 'vazio'}"` +
+        (pr ? ' (no PR, aviso: o push da main reprova)' : ''), `abra um PR de docs sobre a ${base} atualizada com ork docs sincronizar --escrever --so ${d.id} (o item e os índices); ` +
+        `se o item tem outra fatia em curso, aponte sdlc.thread para a thread dela`));
+}
+/** Os indices gerados (`docs/roadmap/README.md`, `docs/produto/README.md`) e o que o frontmatter diz. */
+const INDICES_GERADOS = [
+    [`${exports.DIR_ROADMAP}/README.md`, (docs) => tabelaDoRoadmap(docs)],
+    [`${exports.DIR_PRODUTO}/README.md`, (docs) => tabelaDoProduto(docs)],
+];
+/**
+ * RM-037 (fatia 3, defeito 1): o indice e uma vista do frontmatter, como as tabelas do corpo, e mentia
+ * do mesmo jeito: sem a RM-051 e com a RM-031 de antes. Divergente reprova; vazio (o modelo recem-copiado
+ * pelo `ork docs init`) so avisa; sem os marcadores, nao ha indice gerado para conferir.
+ */
+function verificarIndices(raiz, docs, achados, pr = false) {
+    for (const [arquivo, gerar] of INDICES_GERADOS) {
+        const abs = path.join(raiz, arquivo);
+        if (!fs.existsSync(abs))
+            continue;
+        // Checkout com CRLF (Windows com core.autocrlf) nao e divergencia: as paginas tambem normalizam.
+        const atual = blocoEntre(fs.readFileSync(abs, 'utf8').replace(/\r\n/g, '\n'), INICIO, FIM);
+        if (atual === null)
+            continue;
+        if (atual === '') {
+            if (docs.length > 0) {
+                achados.push(aviso(arquivo, undefined, 'docs.paridade.indice', 'o índice ainda não foi gerado', 'rode ork docs sincronizar --escrever'));
+            }
+        }
+        else if (atual !== gerar(docs)) {
+            achados.push((pr ? aviso : erro)(arquivo, undefined, 'docs.paridade.indice', `o índice diverge do frontmatter das páginas${pr ? ' (no PR, aviso: o push da main reprova)' : ''}`, 'o índice é gerado do frontmatter: rode ork docs sincronizar --escrever e commite o índice'));
+        }
+    }
+}
 // --------------------------------------------------------------------------------------------
 // Saida para humano (TDAH) e para agente
 function textoDaVerificacao(docs, achados) {
@@ -666,13 +721,26 @@ function mergeDaThread(raiz, thread, base) {
             return { sha: String(ship.mergeSha).slice(0, 7), fonte: 'ledger ship_done' };
     }
     catch { /* thread sem estado nesta maquina: cai para o git */ }
-    // Sem `-n 1`: o git corta antes de inverter, e `--reverse -n 1` devolveria o mais recente.
-    const log = git(raiz, ['log', base, '--reverse', '--format=%H', '--fixed-strings', `--grep=ship(${thread})`]);
-    const primeiro = log.ok ? log.saida.split('\n')[0] : '';
+    const primeiro = mergesDaThreadNoGit(raiz, thread, base)[0];
     if (primeiro)
         return { sha: primeiro.slice(0, 7), fonte: `git log ${base}` };
     return null;
 }
+/**
+ * Os commits `ship(<thread>)` da base, do mais velho ao mais novo, so pelo git (o CI nao tem ledger).
+ * RM-037 (fatia 3): um lugar so para o `sincronizarDocs` e o `verificarDocs` acharem o mesmo merge.
+ */
+function mergesDaThreadNoGit(raiz, thread, base) {
+    // Sem `-n 1`: o git corta antes de inverter, e `--reverse -n 1` devolveria o mais recente.
+    // GO-FIX 2 (achado 4 do CHECK): so a linha de primeiro pai da base e o assunto que COMECA com
+    // `ship(<thread>)`, como no `mergeDaEntrega`. Commit que cita o merge no corpo, ou o Revert dele, nao e merge.
+    const log = git(raiz, ['log', base, '--first-parent', '--reverse', '--format=%H%x09%s', '--fixed-strings', `--grep=ship(${thread})`]);
+    if (!log.ok)
+        return [];
+    return log.saida.split('\n').map((l) => l.split('\t'))
+        .filter(([sha, assunto]) => !!sha && typeof assunto === 'string' && assunto.startsWith(`ship(${thread})`))
+        .map(([sha]) => sha);
+}
 function temBranch(raiz, thread) {
     const r = git(raiz, ['for-each-ref', '--format=%(refname:short)', `refs/heads/ork/${thread}-*`, `refs/remotes/origin/ork/${thread}-*`]);
     return r.ok && r.saida.length > 0;

package/dist/doctor.js

@@ -39,9 +39,14 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.TETO_DO_DONO_DO_GIT = void 0;
 exports.checarContas = checarContas;
 exports.checarChaveDeEmbedding = checarChaveDeEmbedding;
+exports.checarDonoDoGit = checarDonoDoGit;
 exports.checarOnboarding = checarOnboarding;
+exports.blocosDoRuntime = blocosDoRuntime;
+exports.checarRuntimeClaude = checarRuntimeClaude;
+exports.checarDespachoPeloCodex = checarDespachoPeloCodex;
 exports.checar = checar;
 exports.relatorio = relatorio;
 exports.doctor = doctor;
@@ -63,6 +68,7 @@ const project_state_1 = require("./project-state");
 const runtime_ambiente_1 = require("./runtime-ambiente");
 const runtime_profiles_1 = require("./runtime-profiles");
 const preflight_1 = require("./preflight");
+const setup_1 = require("./setup");
 /**
  * I-33 (D7): check "contas por runtime". Cada perfil ativo tem o login conferido pelo proprio
  * CLI com o env dele (`claude auth status`, `codex login status`); o doctor so le e relata, sem
@@ -148,6 +154,81 @@ function checarChaveDeEmbedding(carregado, env = process.env) {
     return { nome, nivel: 'warn', detalhe: `${variavel} ausente do ambiente: a busca por significado usa o fallback local ou cai para FTS; o regime nao muda`,
         correcao: `exporte ${variavel} com a chave dedicada ao Orkastery (com limite de credito no painel do provider)` };
 }
+/** Acima disso a conferencia do dono do `.git` fica parcial (aviso), para o doctor nao pesar. */
+exports.TETO_DO_DONO_DO_GIT = 200_000;
+/**
+ * RM-037 (fatia 3, defeito 7): git rodado como root no repositorio do dono deixa objeto, pasta e
+ * `FETCH_HEAD` com outro dono, e o git do dono deixa de gravar neles: o fetch travou em 29/09 e em
+ * 01/10. O dono do repositorio e o dono do diretorio comum do git. O check acusa com a contagem, ate
+ * tres exemplos e o `chown` exato; o doctor nunca roda nada. Fora de repositorio git, `null`.
+ */
+function checarDonoDoGit(dirInicial, opcoes = {}) {
+    const nome = 'dono do .git';
+    const comum = (0, util_1.exec)('git', ['rev-parse', '--git-common-dir'], dirInicial);
+    if (!comum.ok || !comum.stdout.trim())
+        return null;
+    const dirComum = path.resolve(dirInicial, comum.stdout.trim());
+    const lstat = opcoes.lstat ?? ((p) => fs.lstatSync(p));
+    let raiz;
+    try {
+        raiz = lstat(dirComum);
+    }
+    catch {
+        return null;
+    }
+    const teto = opcoes.teto ?? exports.TETO_DO_DONO_DO_GIT;
+    const relativo = (f) => path.relative(path.dirname(dirComum), f);
+    // A correcao sai pronta para copiar: caminho com caractere fora do conjunto seguro vai entre aspas simples.
+    const noShell = (s) => /^[A-Za-z0-9._/-]+$/.test(s) ? s : `'${s.replace(/'/g, "'\\''")}'`;
+    const estranhos = [], uids = new Set();
+    let total = 0, vistos = 0, parcial = false;
+    const pilha = [dirComum];
+    while (pilha.length > 0 && !parcial) {
+        const atual = pilha.pop();
+        let nomes;
+        // Pasta que o dono nao consegue listar ja aparece pelo dono dela, na entrada de cima.
+        try {
+            nomes = fs.readdirSync(atual);
+        }
+        catch {
+            continue;
+        }
+        for (const n of nomes) {
+            if (++vistos > teto) {
+                parcial = true;
+                break;
+            }
+            const f = path.join(atual, n);
+            let st;
+            try {
+                st = lstat(f);
+            }
+            catch {
+                continue;
+            }
+            if (st.uid !== raiz.uid) {
+                total++;
+                uids.add(st.uid);
+                if (estranhos.length < 3)
+                    estranhos.push(relativo(f));
+            }
+            if (st.isDirectory())
+                pilha.push(f);
+        }
+    }
+    if (total > 0) {
+        return { nome, nivel: 'fail',
+            detalhe: `${total} entrada(s) de ${relativo(dirComum)} com outro dono (uid ${[...uids].sort((a, b) => a - b).join(', ')}; o do ` +
+                `repositorio e ${raiz.uid}): ${estranhos.join(', ')}${total > estranhos.length ? ', ...' : ''}; o git do dono nao grava nelas, ` +
+                `e o fetch e o commit falham${parcial ? ` (conferencia parcial: mais de ${teto} entradas)` : ''}`,
+            correcao: `sudo chown -R ${raiz.uid}:${raiz.gid} ${noShell(dirComum)} (o ork nao roda isso sozinho)` };
+    }
+    if (parcial) {
+        return { nome, nivel: 'warn', detalhe: `mais de ${teto} entradas em ${relativo(dirComum)}: conferencia parcial, sem outro dono ate aqui`,
+            correcao: `confira o resto com: find ${noShell(dirComum)} -not -uid ${raiz.uid}` };
+    }
+    return { nome, nivel: 'ok', detalhe: `${vistos} entradas de ${relativo(dirComum)} com o dono do repositorio (uid ${raiz.uid})` };
+}
 /** Checks locais; ler a entrevista não abre driver, banco, runtime ou rede. */
 function checarOnboarding(carregado) {
     const estado = (0, onboarding_1.lerOnboarding)(carregado.raiz);
@@ -163,9 +244,15 @@ function checarOnboarding(carregado) {
         checks.push({ nome: 'onboarding memoria', nivel: 'warn', detalhe: `entrevista escolheu ${modo}; manifesto declara ${carregado.manifesto.memory.mode}`,
             correcao: `revise memory.mode: ${modo} em orkastery.yaml; a entrevista não altera o manifesto` });
     }
-    // I-35: o fuso respondido na etapa maestro orienta owner.timezone, sem editar o manifesto.
+    // I-35: o fuso respondido na etapa maestro orienta owner.timezone, sem editar o manifesto. Com
+    // `owner.timezone` na mesma resposta (gravado no manifesto pelo `onboarding set`), vale ele: no
+    // ensaio da 0.5.0, o `fuso` legado da resposta anterior mandava desfazer a escolha explicita.
     const maestro = estado.etapas.maestro?.conteudo;
-    const fusoDaEntrevista = maestro && typeof maestro === 'object' && !Array.isArray(maestro) ? (0, horario_1.normalizarFuso)(maestro.fuso) : undefined;
+    const owner = maestro && typeof maestro === 'object' && !Array.isArray(maestro) ? maestro.owner : undefined;
+    const fusoDoOwner = owner && typeof owner === 'object' && !Array.isArray(owner) ? owner.timezone : undefined;
+    // Owner invalido (so por edicao a mao: o `onboarding set` recusa) nao cala o fuso legado.
+    const fusoDaEntrevista = maestro && typeof maestro === 'object' && !Array.isArray(maestro)
+        ? (0, horario_1.normalizarFuso)(fusoDoOwner) ?? (0, horario_1.normalizarFuso)(maestro.fuso) : undefined;
     if (fusoDaEntrevista && fusoDaEntrevista !== carregado.manifesto.owner?.timezone) {
         checks.push({ nome: 'onboarding fuso', nivel: 'warn',
             detalhe: `entrevista informou ${fusoDaEntrevista}; manifesto declara ${carregado.manifesto.owner?.timezone ?? `${horario_1.CHAVE_DO_FUSO} ausente`}`,
@@ -173,6 +260,97 @@ function checarOnboarding(carregado) {
     }
     return checks;
 }
+/**
+ * Fatia 2 do ensaio da 0.5.0 (P1): por qual runtime cada bloco dos modos de
+ * `conduction.allowed_modes` despacha, pelo mesmo criterio do despacho sem opcao de CLI
+ * (`resolverDespacho`: o bloco do setup vence `runtime.adapter`). Quem passou os blocos para o
+ * Codex nao precisa do `claude`. Setup ilegivel devolve `null`: quem chama fica no lado seguro.
+ */
+function blocosDoRuntime(carregado, runtime) {
+    const { manifesto } = carregado;
+    const r = { principal: [], fallback: [] };
+    try {
+        const setup = (0, setup_1.lerSetup)(carregado.raiz);
+        for (const modo of manifesto.conduction.allowed_modes) {
+            modos_1.MODOS[modo].blocos.forEach((b, i) => {
+                const doBloco = (0, setup_1.configDoBloco)(setup, modo, b.fases[0]);
+                const bloco = { tag: modos_1.MODOS[modo].tag, bloco: i + 1 };
+                if ((doBloco?.runtime ?? manifesto.runtime.adapter) === runtime)
+                    r.principal.push(bloco);
+                else if (doBloco?.fallback?.some((f) => f.split(':')[0] === runtime))
+                    r.fallback.push(bloco);
+            });
+        }
+    }
+    catch {
+        return null;
+    }
+    return r;
+}
+/** `#Classic 1, 2; #Auto 1`: os blocos agrupados por modo, na ordem dos modos permitidos. */
+function textoDosBlocos(blocos) {
+    const porModo = new Map();
+    for (const b of blocos)
+        porModo.set(b.tag, [...(porModo.get(b.tag) ?? []), b.bloco]);
+    return [...porModo].map(([tag, numeros]) => `${tag} ${numeros.join(', ')}`).join('; ');
+}
+/**
+ * Fatia 2 do ensaio da 0.5.0 (P1): o `claude` so e obrigatorio quando algum bloco de modo permitido
+ * despacha por ele. Sem manifesto, com manifesto invalido ou com setup ilegivel vale o padrao (todo
+ * bloco no claude-bg), e a falta reprova como antes.
+ */
+function checarRuntimeClaude(carregado, claude, versao) {
+    const nome = 'runtime claude-bg';
+    if (claude)
+        return { nome, nivel: 'ok', detalhe: `${claude} (${versao ?? 'versao desconhecida'})` };
+    const blocos = carregado && carregado.erros.length === 0 ? blocosDoRuntime(carregado, 'claude-bg') : null;
+    if (blocos && blocos.principal.length === 0) {
+        // CHECK, rodada 1 (S6): as fases nao precisam dele, mas o `ork audit run` despacha sempre pelo claude-bg.
+        return { nome, nivel: 'warn',
+            detalhe: 'binario `claude` fora do PATH (opcional para as fases: nenhum bloco dos modos permitidos despacha pelo claude-bg' +
+                (blocos.fallback.length
+                    ? `; o fallback de ${blocos.fallback.length} bloco(s) cai nele e falharia: ${textoDosBlocos(blocos.fallback)}` : '') +
+                '; o ork audit run ainda despacha por ele)',
+            correcao: 'para despachar pelo claude-bg (e rodar ork audit run), instale o Claude Code e garanta `claude` no PATH' };
+    }
+    return { nome, nivel: 'fail',
+        detalhe: 'binario `claude` fora do PATH' + (blocos
+            ? `; ${blocos.principal.length} bloco(s) dos modos permitidos despacham por ele (${textoDosBlocos(blocos.principal)})` : ''),
+        correcao: 'instale o Claude Code e garanta `claude` no PATH; so com o Codex, passe cada bloco para ele ' +
+            '(ork setup <modo> --bloco N --runtime codex --model <modelo>) ou tire o modo de conduction.allowed_modes ' +
+            '(mantenha o conduction.default_mode entre os permitidos)' };
+}
+/**
+ * O despacho pelo Codex quando o projeto o elege: por `runtime.adapter: codex`, como antes, ou, desde
+ * a fatia 2 do ensaio da 0.5.0 (P1), por bloco de modo permitido. A falta do `codex`, ou um sandbox
+ * que nao executa, deixa de ser aviso: e exatamente o que bloquearia a fase. Sem nenhum dos dois, o
+ * check nao sai.
+ */
+function checarDespachoPeloCodex(carregado, codex, sonda) {
+    const pelaAdapter = carregado.manifesto.runtime.adapter === 'codex';
+    const blocos = blocosDoRuntime(carregado, 'codex')?.principal ?? [];
+    if (!pelaAdapter && blocos.length === 0)
+        return null;
+    const origem = [pelaAdapter ? 'runtime.adapter: codex' : '',
+        blocos.length ? `${blocos.length} bloco(s) dos modos permitidos no codex (${textoDosBlocos(blocos)})` : '']
+        .filter(Boolean).join(' e ');
+    const sandboxConfigurado = carregado.manifesto.runtime.sandbox;
+    const sandboxQuebrado = sonda !== null && !sonda.ok && sandboxConfigurado !== 'danger-full-access';
+    return {
+        nome: 'despacho pelo codex',
+        nivel: !codex ? 'fail' : sandboxQuebrado ? 'fail' : 'ok',
+        detalhe: !codex
+            ? `${origem}, mas o binario \`codex\` esta fora do PATH`
+            : sandboxQuebrado
+                ? `${origem} com sandbox "${sandboxConfigurado}", mas o sandbox nao executa nesta maquina (o agente narraria sucesso sem rodar nada)`
+                : `${origem} com sandbox "${sandboxConfigurado}"`,
+        correcao: !codex
+            ? 'instale o Codex CLI e autentique com `codex login` (assinatura, nunca API key)'
+            : sandboxQuebrado
+                ? 'instale o bubblewrap do sistema, ou declare runtime.sandbox: danger-full-access ciente do risco'
+                : undefined,
+    };
+}
 /** Roda todos os checks a partir do diretorio informado. */
 function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)()) {
     const checks = [];
@@ -192,31 +370,43 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
     });
     const repo = (0, util_1.exec)('git', ['rev-parse', '--is-inside-work-tree'], dirInicial);
     const dentroDeRepo = repo.ok && repo.stdout.trim() === 'true';
-    const branch = (0, util_1.exec)('git', ['rev-parse', '--abbrev-ref', 'HEAD'], dirInicial);
+    // Ensaio da 0.5.0: sem commit, o `rev-parse --abbrev-ref` respondia "HEAD"; a branch vem do
+    // `symbolic-ref`, e a falta de commit fica dita.
+    const semCommit = dentroDeRepo && !(0, util_1.exec)('git', ['rev-parse', '--verify', '--quiet', 'HEAD'], dirInicial).ok;
+    const branch = dentroDeRepo ? (0, util_1.branchDoHead)(dirInicial) ?? (0, util_1.exec)('git', ['rev-parse', '--abbrev-ref', 'HEAD'], dirInicial).stdout.trim() : '';
     checks.push({
         nome: 'repositorio',
         nivel: dentroDeRepo ? 'ok' : 'fail',
-        detalhe: dentroDeRepo ? `branch ${branch.stdout.trim()}` : 'fora de um repositorio git',
+        detalhe: dentroDeRepo ? `branch ${branch}${semCommit ? ' (sem commit)' : ''}` : 'fora de um repositorio git',
         correcao: dentroDeRepo ? undefined : 'rode o ork dentro de um repositorio git',
     });
+    if (dentroDeRepo) {
+        const dono = checarDonoDoGit(dirInicial);
+        if (dono)
+            checks.push(dono);
+    }
+    // Fatia 2 do ensaio da 0.5.0 (P1): o manifesto e lido antes dos runtimes, porque e o setup dos
+    // modos permitidos que diz se o `claude` e obrigatorio; a ordem das linhas do relatorio nao muda.
+    const carregado = (0, manifest_1.carregarManifesto)(dirInicial);
     const claude = adapter.disponivel();
     const v = claude ? adapter.versao() : null;
-    checks.push({
-        nome: 'runtime claude-bg',
-        nivel: claude ? 'ok' : 'fail',
-        detalhe: claude ? `${claude} (${v ?? 'versao desconhecida'})` : 'binario `claude` fora do PATH',
-        correcao: claude ? undefined : 'instale o Claude Code e garanta `claude` no PATH',
-    });
+    checks.push(checarRuntimeClaude(carregado, claude, v));
     // Segundo runtime homologado. Ausente e `warn`, nao `fail`: o claude-bg segue sendo o
     // padrao, e um projeto que nunca pediu codex nao pode ficar bloqueado por ele.
     const codex = codexAdapter.disponivel();
     const codexVersao = codex ? codexAdapter.versao() : null;
+    // CHECK, rodada 1 (S6): com o projeto despachando pelo codex, a falta dele nao e "opcional"; quem
+    // reprova e o check `despacho pelo codex`, mais abaixo.
+    const usaCodex = !!carregado && carregado.erros.length === 0 && (carregado.manifesto.runtime.adapter === 'codex' ||
+        (blocosDoRuntime(carregado, 'codex')?.principal.length ?? 0) > 0);
     checks.push({
         nome: 'runtime codex',
         nivel: codex ? 'ok' : 'warn',
         detalhe: codex
             ? `${codex} (${codexVersao ?? 'versao desconhecida'})`
-            : 'binario `codex` fora do PATH (opcional: claude-bg e o runtime padrao)',
+            : usaCodex
+                ? 'binario `codex` fora do PATH (o projeto despacha por ele: veja despacho pelo codex)'
+                : 'binario `codex` fora do PATH (opcional: claude-bg e o runtime padrao)',
         correcao: codex
             ? undefined
             : 'para despachar pelo codex, instale o Codex CLI e autentique com `codex login`',
@@ -238,7 +428,6 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
                     'nesta maquina) ou declare runtime.sandbox: danger-full-access ciente do risco',
         });
     }
-    const carregado = (0, manifest_1.carregarManifesto)(dirInicial);
     if (!carregado) {
         checks.push({
             nome: 'manifesto',
@@ -285,26 +474,11 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
                 : `${fuso.fuso} (fuso do sistema; ${horario_1.CHAVE_DO_FUSO} nao configurado)`),
             correcao: fuso.aviso ? `corrija ${horario_1.CHAVE_DO_FUSO} com um nome IANA` : undefined,
         });
-        // Quando o manifesto ELEGE o codex como runtime de despacho, a ausencia dele (ou um
+        // Quando o manifesto ou um bloco de modo permitido ELEGE o codex, a ausencia dele (ou um
         // sandbox que nao executa) deixa de ser aviso: e exatamente o que bloquearia a fase.
-        if (carregado.manifesto.runtime.adapter === 'codex') {
-            const sandboxConfigurado = carregado.manifesto.runtime.sandbox;
-            const sandboxQuebrado = sondaDoCodex !== null && !sondaDoCodex.ok && sandboxConfigurado !== 'danger-full-access';
-            checks.push({
-                nome: 'despacho pelo codex',
-                nivel: !codex ? 'fail' : sandboxQuebrado ? 'fail' : 'ok',
-                detalhe: !codex
-                    ? 'runtime.adapter: codex, mas o binario `codex` esta fora do PATH'
-                    : sandboxQuebrado
-                        ? `runtime.adapter: codex com sandbox "${sandboxConfigurado}", mas o sandbox nao executa nesta maquina (o agente narraria sucesso sem rodar nada)`
-                        : `runtime.adapter: codex com sandbox "${sandboxConfigurado}"`,
-                correcao: !codex
-                    ? 'instale o Codex CLI e autentique com `codex login` (assinatura, nunca API key)'
-                    : sandboxQuebrado
-                        ? 'instale o bubblewrap do sistema, ou declare runtime.sandbox: danger-full-access ciente do risco'
-                        : undefined,
-            });
-        }
+        const despachoPeloCodex = checarDespachoPeloCodex(carregado, codex, sondaDoCodex);
+        if (despachoPeloCodex)
+            checks.push(despachoPeloCodex);
         const politica = carregado.manifesto.runtime.provider_policy;
         const soAssinatura = politica === 'subscription-only';
         const redirecionam = ENVS_QUE_REDIRECIONAM.filter(e => nomesHerdados.includes(e));
@@ -385,12 +559,15 @@ function checar(dirInicial = process.cwd(), nomesHerdados = (0, runtime_ambiente
         checks.push(...(0, preflight_1.sondasDeAmbiente)(carregado.raiz));
         {
             const inventario = (0, sessoes_inventario_1.inventariarSessoes)(carregado.raiz, { global: true, todas: true });
+            // Fatia 2 do ensaio da 0.5.0 (P1): binario ausente e fonte ausente, dita no detalhe.
+            const ausentes = inventario.fontes.filter((f) => f.ausente).map((f) => f.origem);
             checks.push({
                 nome: 'governanca de sessoes',
                 nivel: inventario.ok && inventario.semThread === 0 ? 'ok' : 'warn',
                 detalhe: `${inventario.escopo.usuario}, Claude e Codex, global com histórico: ${inventario.total} sessões; ` +
                     `${inventario.semThread} sem thread; ${inventario.ambiguas} ambíguas; ` +
-                    `inventário ${inventario.ok ? 'válido' : 'INCOMPLETO (zero não comprovado)'}`,
+                    `inventário ${inventario.ok ? 'válido' : 'INCOMPLETO (zero não comprovado)'}` +
+                    (ausentes.length ? `; fonte ausente: ${ausentes.join(', ')}` : ''),
                 correcao: inventario.ok && inventario.semThread === 0 ? undefined :
                     'ork sessions --global --all --json; adote identidades sem vínculo com ork sessions adopt <id>',
             });