@polymorphism-tech/morph-spec 10.5.4 → 10.7.0

package/CLAUDE.md

@@ -21,6 +21,7 @@ cd src/dashboard && npm install
 npm run test:changed              # add -- --list to see the selection and why
 
 # Run all tests (files in parallel, cpus-1 at a time; ~6 min on a 16-core Windows box, bound by process/git contention)
+# Not a step before a PR or release: the PR runs test:changed and the tag runs the whole wall before publishing
 npm test
 
 # A subtree or file (still parallel); --test-concurrency=1 to debug serially

package/README.md

@@ -3,7 +3,7 @@
 > Spec-driven development framework for multi-stack projects. Turns feature requests into implementation-ready code through structured, AI-orchestrated phases.
 
 **Package:** `@polymorphism-tech/morph-spec`
-**Version:** 10.5.4  
+**Version:** 10.7.0  
 **Requires:** Node.js 22+, Claude Code
 
 ---
@@ -376,4 +376,4 @@ Code generated by morph-spec (contracts, templates, implementation output) belon
 
 ---
 
-*morph-spec v10.5.4 by [Polymorphism Tech](https://polymorphism.tech)*
+*morph-spec v10.7.0 by [Polymorphism Tech](https://polymorphism.tech)*

package/bin/morph-spec.js

@@ -580,4 +580,13 @@ program
   .option('--json', 'Output the aggregate as JSON')
   .action((feature, options) => costCommand(feature, options));
 
+// The page follows every command that moves the feature; 'exit' also covers their process.exit().
+const VIEW_COMMANDS = new Set(['plan-check', 'gate-check', 'gate-decision', 'approve', 'unapprove', 'advance', 'verify', 'report-check']);
+program.hook('preAction', async (_, action) => {
+  const [feature] = action.args;
+  if (!VIEW_COMMANDS.has(action.name()) || !/^[a-z0-9][\w-]*$/i.test(feature ?? '')) return;
+  const { refreshFeatureView } = await import('../src/lib/view/feature-view.js');
+  process.on('exit', () => refreshFeatureView(process.cwd(), feature));
+});
+
 await program.parseAsync();

package/claude-plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "morph-spec",
-  "version": "10.5.4",
+  "version": "10.7.0",
   "displayName": "MORPH-SPEC Framework",
   "description": "Spec-driven development with 38 agents and 8-phase workflow for .NET/Blazor/Next.js/Azure",
   "publisher": "polymorphism-tech",

package/docs/CHEATSHEET.md

@@ -174,4 +174,4 @@ Never edited directly — go through CLI commands or `morph-spec update` instead
 
 ---
 
-*morph-spec v10.5.4 by Polymorphism Tech*
+*morph-spec v10.7.0 by Polymorphism Tech*

package/docs/QUICKSTART.md

@@ -89,4 +89,4 @@ morph-spec doctor
 
 ---
 
-*morph-spec v10.5.4 by Polymorphism Tech*
+*morph-spec v10.7.0 by Polymorphism Tech*

package/framework/docs/CLI.md

@@ -127,6 +127,8 @@ Feature sem `workType` (pré-v8) é tratada como `feature`.
 
 **`morph-spec finish <feature> --pr|--merge`** — o **encerramento único** da feature (worktree ou comum; a sessão escolhe por `finish.mode` do `config.json`, padrão `pr`): **arquiva** commitando `features/{f} → archive/{f}` dentro de `morph/{f}` — depois integra: `--merge` na hora; `--pr` só abre o PR, sem integrar. **O payload distingue os dois** — `--merge` sai com `integrated: true`; `--pr` sai com `integrated: false`, `awaiting: "merge"`, `pr: {number, url}` e um `nextStep` apontando para o merge. **`finished: true` sai nos dois casos e marca só o comando ter terminado, nunca a integração** — `--pr` não encerra a feature, quem encerra é o merge do PR; até lá ela aparece em `morph-spec list`/`fleet` como `aguardando-merge`, sem cópia local (ver `list` acima e `doctor` abaixo).
 
+**Stamp com `pendingPr`** (`verify --ci` sob `project.prChecks`): o `--pr` espera os checks declarados no commit do archive, antes do desmonte, porque é esse o run que o merge reaproveita; provar antes do archive pagaria o CI duas vezes. Rode em `run_in_background`. `pass` → `checks: { status: "pass" }`. Check vermelho → `error: "pr-checks-fail"`: desfaz o archive com `git revert`, reabre o Gate 3, carimba `status: "fail"`, `source: "pr"`, devolve a PR a rascunho (o revert fica local, e rascunho não mergeia) e sai 1. Check que morreu em menos de 30 s (cota do Actions), cancelado, ou nenhum check no commit em 90 s → `error: "pr-checks-no-verdict"`: desfaz igual, apaga o stamp, e a saída é a completa local, `verify {f}` sem `--ci`. O próximo `finish` reaproveita a PR aberta. Sem resposta em 50 min: `finished: true`, `checks: { status: "pending" }`, sem desfazer nada. Processo morto na espera: o mesmo `finish --pr` retoma. `--merge` recusa esse stamp (`pr-proof-pending`).
+
 **Índice de ADRs:** no mesmo commit do archive, o `finish` lê o `2-plan/plan.md` da feature: os ADRs de `## Decisões` com `**Alcance:** projeto` entram em `.morph/specs/adrs/` (um arquivo por ADR, `{feature}--ADR-{nnn}.md` — features paralelas nunca tocam o mesmo arquivo), e a tabela `ADR | Mudança | Escopo` de `### Conflitos com o acervo` retira (total, o arquivo sai) ou estreita (parcial, `scope:` no arquivo) os ADRs revogados — forma em `morph-spec plan-check --help`; o `plan-check` avisa, enquanto o plano ainda muda, a linha que o `finish` não aplicaria. O payload traz `adrIndex: {added, revoked, narrowed}` e `revocationProblems: [{id, reason, message}]` (linha malformada ou ambígua, ADR fora do índice) — cada chave só aparece com conteúdo, e nenhum problema recusa o `finish`.
 
 `--merge` faz merge `--no-ff` **local** na default (sem push); `--pr` faz `push` + `gh pr create` (exige `origin` + `gh`, checados **antes** de arquivar — um `--pr` recusado não deixa meio-estado). Saída de teste não rastreada (`test-results/`, `TestResults/`, `playwright-report/`, `blob-report/`) não conta como árvore suja: na raiz só é tolerada, na worktree sai junto com o desmonte; qualquer outro arquivo não commitado recusa. Desmonta o worktree (PROVE-or-DECLINE) e libera o bloco de portas; derruba a stack e2e com `down --remove-orphans --rmi local -v` (`--keep-volumes` tira o `-v`) e os `e2e.hostServices` — `--rmi local` leva só as imagens que o compose construiu, nunca a puxada (`postgres`), que a próxima feature baixaria de novo; `docker builder prune` nunca roda (o cache é global da máquina). No `--pr` **preserva** a branch (o PR precisa dela) e fica em `morph/{f}`.
@@ -147,7 +149,7 @@ Flags: `--push` publica a default logo depois do merge (sai com `publish.pushed:
 
 ### archive
 
-**`morph-spec archive <feature>`** — arquiva-**sem-integrar** (atômico, git-aware, commita o move escopado por pathspec): reservado a features legadas (sem branch `morph/{f}`) e faxina. O fechamento normal (arquiva **e** integra num passo) é `morph-spec finish`. É o que `/morph-archive` chama. O arquivo guarda só `feature.json`, `2-plan/plan.md` e o recap (`recap.html` + `recap.json`, gerados antes da poda, enquanto os relatórios do Gate 3 ainda existem): o plano sobrevive até a um squash merge, e `feature.json.archivedFrom.sha` é o topo da branch antes da poda (`git show <sha>:.morph/features/<f>/3-implement/report.md`; num squash, o `(#N)` do commit leva ao PR e a `git fetch origin pull/N/head`).
+**`morph-spec archive <feature>`** — arquiva-**sem-integrar** (atômico, git-aware, commita o move escopado por pathspec): reservado a features legadas (sem branch `morph/{f}`) e faxina. O fechamento normal (arquiva **e** integra num passo) é `morph-spec finish`. É o que `/morph-archive` chama. O arquivo guarda só `feature.json`, `2-plan/plan.md` e a página da feature com o recap dentro (`feature.html` + `recap.json`, gerados antes da poda, enquanto os relatórios do Gate 3 ainda existem): o plano sobrevive até a um squash merge, e `feature.json.archivedFrom.sha` é o topo da branch antes da poda (`git show <sha>:.morph/features/<f>/3-implement/report.md`; num squash, o `(#N)` do commit leva ao PR e a `git fetch origin pull/N/head`).
 
 ### recap
 
@@ -347,6 +349,8 @@ Código não commitado é **erro de uso (exit 2)**: o CI só vê commits. CI rod
 
 **Por quê.** Só o **artefato** vira prova, nunca o "verde" do run: workflow de lint, deploy ou de terceiro não compra o Gate 3.
 
+**Prova na PR (`project.prChecks`):** projeto cujo CI de PR já roda a suíte declara `"prChecks": { "workflows": ["Backend", "Frontend"], "covers": ["dotnet", "vitest"] }`, e o `--ci` não cria `morph-verify.yml` nem paga a suíte duas vezes: roda local só o que a PR não prova (build, validadores, e2e aplicável, nós fora de `covers`) e carimba com `pendingPr`. Quem espera é o `finish --pr` (`### finish`). `workflows` é o `name:` do workflow; workflow fora da lista não prova nada. `covers` vale pelo que o workflow roda de fato: Vitest só com `--changed` na PR é cobertura menor aceita pelo projeto. Roda a completa local, com a razão, o que a rodada afetada subiria (migration, contrato, arquivo que alcança o projeto inteiro, código compartilhado) e o que não alcança o CI (`ciAvailability`). Ignorado com `project.ci: false` ou `finish.mode: "merge"`.
+
 ### Validador code-budget
 
 **Validador `code-budget` (nó `validators` do `verify`)** — mede o que a árvore **adicionou** contra a branch default: `git diff -U0` a partir do merge-base com `origin/{default}` (ou `{default}` local), arquivo novo não rastreado conta inteiro e arquivo movido sem edição não conta. Lê `.cs`/`.ts`/`.tsx`/`.js`/`.jsx`/`.mjs`/`.cjs`, fora de `.d.ts`, de `node_modules`/`bin`/`obj`/`dist`/`.morph` e de código gerado (`*.Designer.cs`, `*.g.cs`, `*ModelSnapshot.cs`).
@@ -526,7 +530,7 @@ A auditoria devolve **nada** sem tentar coisa alguma em três situações: nenhu
 
 ### plan-check
 
-**`morph-spec plan-check <feature> [--json]`** — lê `2-plan/plan.md` com o parser único (o `morph-spec create` já escreve o esqueleto; a gramática completa sai em `morph-spec plan-check --help`) e, sem erro, grava `2-plan/checks.json` — o único escritor dele (o `protect-spec-files` recusa Write/Edit à mão) — e `2-plan/plan.html`, a visão só leitura que o gate do plano abre no navegador: cenários com prova/risco/degrau, padrões assumidos numerados e, com `## Estados` (opcional, `- origem → destino: gatilho` por linha), a máquina de estados desenhada. **Erros** (exit 1, nada gravado): seção obrigatória ausente (`Problema`, `Cenários`, `Decisões` com `### Conflitos com o acervo` não vazio — "nenhum" vale); `## Errata` fora do fim; `## Cenários` sem cenário; cenário sem `prova:` ou fora de `teste|e2e|eval|manual|leitura`; `prova: teste` sem `risco:` conhecido; `risco:` com `prova: leitura`; cenário com vocabulário de artefato sem `> Por que artefato:` logo abaixo; id `C`/`ADR` duplicado; `bug`/`hotfix` sem cenário de regressão provado por `teste` ou `e2e`; plano que fala em mídia gerada por IA sem citar `ai-agents-modalities-image-gen`, `ai-agents-media-video` ou `ai-agents-media-pipeline` nem declarar a linha `Mídia gerada: não` (sem a citação, as provas de mídia do Gate 3 ficariam desligadas em silêncio); veredito de reuso fora de `REUSAR|ESTENDER|CRIAR`; `## Estados` vazia ou com linha que não é transição. **Avisos:** `CRIAR` sem `why`, ADR sem `**Alcance:** feature|projeto`, `## Fatias` que sobrou da 9.x (não é lida). Com o gate `plan` aprovado e o corpo mudado fora da `## Errata`, recusa (`frozen`, exit 1) — o `planHash` ignora a errata; mudança de escopo é `unapprove <f> plan`, `plan-check` e o gate de novo. Plano extraído antes das regras de `risco:` e de mídia não passa a falhar por elas. Exit 2: `plan.md` ausente. Fora da árvore dona da feature, recusa nomeando-a. Com o plano válido, acrescenta ao `config.json` a stack que os arquivos mostram e instala em `.claude/rules/` a regra de stack que falta (uma linha por regra, em stderr; `rulesAdded` no `--json`).
+**`morph-spec plan-check <feature> [--json]`** — lê `2-plan/plan.md` com o parser único (o `morph-spec create` já escreve o esqueleto; a gramática completa sai em `morph-spec plan-check --help`) e, sem erro, grava `2-plan/checks.json` — o único escritor dele (o `protect-spec-files` recusa Write/Edit à mão) — e abre a vida de `feature.html`, a página única da feature (um arquivo só, na raiz dela): o que precisa de decisão, cenários, decisões ligadas aos cenários que citam, gráficos de prova, risco e reuso e, com `## Fluxo` e `## Estados` (opcionais, `- origem → destino: gatilho` por linha), os diagramas. Todo `plan-check`, `gate-check`, `gate-decision`, `approve`, `unapprove`, `advance`, `verify` e `report-check` reescreve o mesmo arquivo a partir do disco ao sair, sem custo de token; o `archive` a congela com o recap dentro. **Erros** (exit 1, nada gravado): seção obrigatória ausente (`Problema`, `Cenários`, `Decisões` com `### Conflitos com o acervo` não vazio — "nenhum" vale); `## Errata` fora do fim; `## Cenários` sem cenário; cenário sem `prova:` ou fora de `teste|e2e|eval|manual|leitura`; `prova: teste` sem `risco:` conhecido; `risco:` com `prova: leitura`; cenário com vocabulário de artefato sem `> Por que artefato:` logo abaixo; id `C`/`ADR` duplicado; `bug`/`hotfix` sem cenário de regressão provado por `teste` ou `e2e`; plano que fala em mídia gerada por IA sem citar `ai-agents-modalities-image-gen`, `ai-agents-media-video` ou `ai-agents-media-pipeline` nem declarar a linha `Mídia gerada: não` (sem a citação, as provas de mídia do Gate 3 ficariam desligadas em silêncio); veredito de reuso fora de `REUSAR|ESTENDER|CRIAR`; `## Estados` vazia ou com linha que não é transição. **Avisos:** `CRIAR` sem `why`, ADR sem `**Alcance:** feature|projeto`, `## Fatias` que sobrou da 9.x (não é lida). Com o gate `plan` aprovado e o corpo mudado fora da `## Errata`, recusa (`frozen`, exit 1) — o `planHash` ignora a errata; mudança de escopo é `unapprove <f> plan`, `plan-check` e o gate de novo. Plano extraído antes das regras de `risco:` e de mídia não passa a falhar por elas. Exit 2: `plan.md` ausente. Fora da árvore dona da feature, recusa nomeando-a. Com o plano válido, acrescenta ao `config.json` a stack que os arquivos mostram e instala em `.claude/rules/` a regra de stack que falta (uma linha por regra, em stderr; `rulesAdded` no `--json`).
 
 ### stack-set
 
@@ -746,6 +750,7 @@ nomeia o nó que impediu. **Apagar teste é legítimo:** a única cor vermelha q
 | Sessão que implementa | à vontade — filtro ou suíte —, pela fila `heavy` (`heavy.gateBash` ligado por padrão) | Implementar e conferir é dela; a prova do gate continua sendo o `verify` sem filtro |
 | Gate 3 | `verify {f} --ci --json` (sem filtro; sem CI disponível, roda local) | A prova tem de cobrir **todos** os nós; no CI ela não ocupa a máquina e roda em paralelo com o avaliador |
 | CI | a suíte inteira, todos os nós (`morph-verify.yml` roda o mesmo `verify {f}`) | idem — e o artefato dele é o stamp do Gate 3 |
+| PR, com `project.prChecks` | os workflows do projeto, esperados pelo `finish --pr` | a suíte que a PR já paga não roda de novo na máquina nem no `morph-verify.yml` |
 | Evidência de eval (cenário `Cn` com `prova: eval`) | `verify {f} --filter {id-do-nó-evals} --skip-e2e --no-persist` | Só o nó `evals`, sem stack e sem carimbo — é a evidência de runtime do cenário, não a verificação da feature |
 
 > **Nenhum relógio do `verify` é de 600 s.** Os 600 s que existem são a espera da fila

package/framework/hooks/shared/phase-utils.js

@@ -13,7 +13,6 @@ export const OUTPUT_PHASE_MAP = {
   plan: 'plan',
   checks: 'plan',
   planCritique: 'plan',
-  planView: 'plan',
   uiMockups: 'uiux',
   implementReport: 'implement',
   evidencias: 'implement',
@@ -26,7 +25,6 @@ export const FILENAME_TO_OUTPUT = {
   'plan.md': 'plan',
   'checks.json': 'checks',
   'critica.md': 'planCritique',
-  'plan.html': 'planView',
   'mockups.md': 'uiMockups',
   'report.md': 'implementReport',
   'verifier.md': 'verifierReport',

package/framework/rules/plan-grammar.md

@@ -41,7 +41,11 @@ Todo valor de baixo risco que você decidiu sem perguntar (limite, intervalo, re
 
 ## Estados (opcional)
 
-Só quando a feature tem algo que muda de estado (pedido, aprovação, assinatura): uma transição por linha, `- origem → destino: gatilho` (`->` também vale). O `plan-check` desenha a máquina no `2-plan/plan.html`; linha que não é transição, ou seção vazia, é erro. Sem estado, não escreva a seção.
+Só quando a feature tem algo que muda de estado (pedido, aprovação, assinatura): uma transição por linha, `- origem → destino: gatilho` (`->` também vale). A página da feature desenha a máquina; linha que não é transição, ou seção vazia, é erro. Sem estado, não escreva a seção.
+
+## Fluxo (opcional)
+
+O caminho de um pedido ou dado pelo sistema, na mesma forma e com as mesmas recusas de `## Estados`: `- origem → destino: o que passa`. A página desenha o diagrama.
 
 ## Reuso
 
@@ -49,7 +53,7 @@ Só quando a feature tem algo que muda de estado (pedido, aprovação, assinatur
 
 ## Decisões
 
-`### ADR-001 — título` por decisão não trivial (alternativa descartada, motivo, quem decidiu) com `**Alcance:** feature` ou `projeto`. Greenfield: decisão que fixa stack, layout, infraestrutura ou test runner é `projeto`. `### Conflitos com o acervo` sempre (`nenhum` vale). Proibição além das do standard `architecture-stack-baseline` é ADR.
+`### ADR-001 — título` por decisão não trivial (alternativa descartada, motivo, quem decidiu) com `**Alcance:** feature` ou `projeto`, citando os `Cn` que sustenta: a citação vira link na página da feature. Greenfield: decisão que fixa stack, layout, infraestrutura ou test runner é `projeto`. `### Conflitos com o acervo` sempre (`nenhum` vale). Proibição além das do standard `architecture-stack-baseline` é ADR.
 
 ## O que o plan-check recusa
 

package/framework/schemas/config.schema.json

@@ -25,6 +25,16 @@
           "type": "boolean",
           "description": "false turns `verify {f} --ci` into the local verify (with the reason printed). Absent or true: the Gate 3 proof comes from the GitHub Actions workflow that runs `morph-spec verify` (created on first use), whenever origin is GitHub and gh is authenticated."
         },
+        "prChecks": {
+          "type": "object",
+          "description": "The project's own PR workflows as the proof of suites they already run. With it, `verify {f} --ci` leaves the `covers` nodes out of the local run, and `finish --pr` waits for the `workflows` checks of the PR commit; red or unjudged, it undoes the archive and reopens Gate 3. Ignored with project.ci: false or finish.mode: merge, and by a change the affected run would escalate to the complete one.",
+          "required": ["workflows", "covers"],
+          "additionalProperties": false,
+          "properties": {
+            "workflows": { "type": "array", "minItems": 1, "items": { "type": "string" }, "description": "Workflow `name:` values whose checks count. Any other workflow proves nothing." },
+            "covers": { "type": "array", "minItems": 1, "items": { "type": "string" }, "description": "project.tests[].id of the nodes these workflows prove. A node left out (e2e, evals, what the PR does not run) still runs locally." }
+          }
+        },
         "tests": {
           "type": "array",
           "description": "One entry per test suite. Absent (not empty) means the four-step fallback of resolveTestPlan() decides — every project created before this key existed keeps working. An empty array is an explicit declaration of 'no test suites'.",

package/framework/schemas/feature.schema.json

@@ -149,8 +149,18 @@
         "e2eReason": { "type": ["string", "null"], "description": "The LITERAL reason the e2e node skipped (e2e-check.js's own wording), or null when it did not skip. risk-detector.js's classifyE2eSkip() reads it: 'project does not containerize' / 'does not touch runtime' are legitimate dispensations and pass; 'docker is not available' / 'requested' (--skip-e2e) / anything unclassifiable — null included — are an absence of proof and pause Gate 3. A skip recorded WITHOUT a reason is refused on purpose: a nameless dispensation is a silent no-op." },
         "sha": { "type": ["string", "null"], "description": "HEAD commit SHA at verify time (git rev-parse HEAD); null when not in a git repo or no commits yet." },
         "ts": { "type": "string", "format": "date-time", "description": "Server-side timestamp, same instant as the corresponding verifications entry's updatedAt." },
-        "source": { "type": "string", "enum": ["ci"], "description": "Present only when the stamp came from `verify --ci`: the verify --json the project CI uploaded for the pushed commit, judged by the same rules as a local run. Absent = local run." },
-        "ciRun": { "type": "string", "description": "URL of the CI run whose artifact wrote this stamp (with source: ci). `sha` is that run's headSha, so verificationStale compares the code CI saw with HEAD." }
+        "source": { "type": "string", "enum": ["ci", "pr"], "description": "`ci`: the stamp came from `verify --ci`, the verify --json the project CI uploaded for the pushed commit, judged by the same rules as a local run. `pr`: `finish --pr` wrote it when a project.prChecks workflow came back red. Absent = local run." },
+        "ciRun": { "type": "string", "description": "URL of the CI run whose artifact wrote this stamp (with source: ci). `sha` is that run's headSha, so verificationStale compares the code CI saw with HEAD." },
+        "pendingPr": {
+          "type": "object",
+          "description": "Local run of `verify --ci` under project.prChecks: the `covers` nodes were left out and `finish --pr` waits for the `workflows` checks. Refused by `finish --merge`.",
+          "required": ["workflows", "covers"],
+          "additionalProperties": false,
+          "properties": {
+            "workflows": { "type": "array", "items": { "type": "string" } },
+            "covers": { "type": "array", "items": { "type": "string" } }
+          }
+        }
       },
       "additionalProperties": false
     },

package/framework/skills/core/create-umbraco-lp/SKILL.md

@@ -4,7 +4,7 @@ description: Guia a criação de uma landing page nova ponta-a-ponta a partir do
 version: core
 when_to_use: Use quando for iniciar um novo projeto de LP com o template Umbraco genérico
 user-invocable: true
-cliVersion: "10.5.4"
+cliVersion: "10.7.0"
 stacks:
   - umbraco
 ---

package/framework/skills/core/migrate-lp-to-umbraco/SKILL.md

@@ -4,7 +4,7 @@ description: Migra uma landing page existente (React/Vite, Next.js estático ou
 version: core
 when_to_use: Use quando o usuário pedir "use /migrate-lp-to-umbraco {projeto}" ou descrever a necessidade de migrar uma LP para Umbraco
 user-invocable: true
-cliVersion: "10.5.4"
+cliVersion: "10.7.0"
 stacks:
   - umbraco
 ---

package/framework/skills/core/morph-apply/SKILL.md

@@ -4,7 +4,7 @@ description: Implementa o plano aprovado de uma feature morph-spec inteiro nesta
 version: core
 when_to_use: Use com o gate do plano aprovado ("/morph-apply {feature}", "implementar feature"), em "/morph-review {feature}" (entra no §5), em "/morph-hotfix {feature}" ou incidente de produção (references/hotfix.md), ou quando `morph-spec next` mandar implement, verify, fix, review ou finish
 user-invocable: true
-cliVersion: "10.5.4"
+cliVersion: "10.7.0"
 ---
 
 # morph-apply
@@ -58,7 +58,7 @@ Verify verde: siga `references/review.md` — foto `--before-eval`, verificador
 
 ## 6. Fechar
 
-`morph-spec context refresh` (regera o inventário em `.morph/context/README.md`; `design-system.md` você atualiza só se mudou token) e commite o que faltar (relatórios do review): o `finish` exige árvore limpa. Modo: `finish.mode` do config do projeto, padrão `pr`, sem perguntar: `morph-spec finish {feature} --pr|--merge`. `--pr` não integra: a feature fica `aguardando-merge` até o merge. O `finish` arquiva o `feature.json`, o `plan.md` e o recap; o report e a review ficam no histórico do git. Encerrado, aponte o recap ao usuário (`.morph/archive/{feature}/recap.html`, abra no navegador; `morph-spec recap {feature} --piper` narra com o Piper local).
+`morph-spec context refresh` (regera o inventário em `.morph/context/README.md`; `design-system.md` você atualiza só se mudou token) e commite o que faltar (relatórios do review): o `finish` exige árvore limpa. Modo: `finish.mode` do config do projeto, padrão `pr`, sem perguntar: `morph-spec finish {feature} --pr|--merge`. `--pr` não integra: a feature fica `aguardando-merge` até o merge. Stamp com `pendingPr`: `--pr` em `run_in_background`, porque ele espera os checks da PR; `pr-checks-fail` ou `pr-checks-no-verdict` desfaz o archive e reabre o Gate 3: siga o `hint`. O `finish` arquiva o `feature.json`, o `plan.md` e o recap; o report e a review ficam no histórico do git. Encerrado, aponte o recap ao usuário (`.morph/archive/{feature}/feature.html#recap`, abra no navegador; `morph-spec recap {feature} --piper` narra com o Piper local).
 
 ## Arquivo de teste
 

package/framework/skills/core/morph-apply/references/review.md

@@ -49,7 +49,7 @@ Confirmação = **dispatch novo** só dos papéis em `gate3.redispatch`, com o `
 
 ## 6. Gate 3
 
-**A rodada completa:** com os relatórios sem bloqueador, `morph-spec verify {feature} --ci --json --detach` em `run_in_background` (sem CI, roda local e diz por quê; repetir o comando retoma a rodada). É a única. Sem `--filter`, sempre, e sem `--affected`: verde filtrado é verde sobre código não testado, e é ela que o gate lê. `reason: "stamp-reused"` = nada andou desde o último verde: vale. Saída `CI rodando` → espere a notificação. `fail` → corrija (CI: `gh run view <id> --log-failed`) e siga o §5, porque a correção é código que ninguém revisou. Nó `e2e` em `skip` → o `gate-check` decide se dispensa (`classifyE2eSkip`, em `risk-detector.js`: docker indisponível pausa sozinho).
+**A rodada completa:** com os relatórios sem bloqueador, `morph-spec verify {feature} --ci --json --detach` em `run_in_background` (sem CI, roda local e diz por quê; repetir o comando retoma a rodada). É a única. Sem `--filter`, sempre, e sem `--affected`: verde filtrado é verde sobre código não testado, e é ela que o gate lê. `reason: "stamp-reused"` = nada andou desde o último verde: vale. Saída `CI rodando` → espere a notificação. `fail` → corrija (CI: `gh run view <id> --log-failed`) e siga o §5, porque a correção é código que ninguém revisou. Nó `e2e` em `skip` → o `gate-check` decide se dispensa (`classifyE2eSkip`, em `risk-detector.js`: docker indisponível pausa sozinho). Com `project.prChecks`, o que a PR prova fica de fora e o `finish --pr` espera os checks (`SKILL.md` §6).
 
 `morph-spec gate-check {feature} review [--json]` lê os relatórios, a cobertura dos `Cn` e os demais sinais. Forçar passagem apesar da pausa: `morph-spec gate-decision {feature} review --pause false --reason "…"`.
 

package/framework/skills/core/morph-plan/SKILL.md

@@ -4,7 +4,7 @@ description: Leva um pedido ou o link de uma issue ao plano aprovado — roteia
 version: core
 when_to_use: Use quando uma feature, bug ou chore começar ("/morph-plan {feature}", "/morph-plan <link da issue>", "vamos planejar X"), ou ao retomar uma feature cujo gate plan ainda não foi aprovado
 user-invocable: true
-cliVersion: "10.5.4"
+cliVersion: "10.7.0"
 ---
 
 # morph-plan
@@ -54,9 +54,10 @@ O `create` escreveu o esqueleto; a gramática completa chega pela rule `plan-gra
 - **`## Cenários` é a definição de pronto.** Cada `Cn` é um comportamento observável que o verificador do Gate 3 vai **executar** contra a app — escreva-o como um fluxo de usuário ou uma regra que dá para disparar. `prova:` `teste` (com `risco:`) | `e2e` | `eval` | `manual` | `leitura`. Sem risco, `leitura`.
 - **`degrau:`** quando o `Cn` não se desfaz com revert: `migrar` (toda migration, aditiva ou não: drop, rename, backfill, coluna nova) ou `irreversível` (apaga dado que alguém lê, quebra contrato externo). Sem a linha, `refazer`. Esses dois degraus pausam o gate do plano para o usuário, e o Gate 3 pausa em migration sem degrau, em arquivo de contrato (`openapi`, `.proto`) sem `irreversível`, e no bloqueador `irreversivel` do revisor.
 - **`## Padrões assumidos`**: todo valor de baixo risco que você decidiu sem perguntar, numerado `1.`…`N.`, com o valor. É o que tira a pergunta trivial da entrevista: o usuário veta por número. Auth, credencial, permissão, pagamento e apagar dado nunca entram: são pergunta.
-- **`## Estados`** (opcional): algo muda de estado (pedido, aprovação) → `- origem → destino: gatilho`, uma por linha; o `plan-check` desenha a máquina no `2-plan/plan.html`.
+- **`## Estados`** (opcional): algo muda de estado (pedido, aprovação) → `- origem → destino: gatilho`, uma por linha; a página da feature desenha a máquina.
+- **`## Fluxo`** (opcional): o caminho de um pedido ou dado pelo sistema, na mesma forma; vira o desenho que o usuário olha em vez de ler `## Arquitetura`. Escreva-o sempre que houver mais de duas peças conversando.
 - **`## Reuso`**: `REUSAR` | `ESTENDER` | `CRIAR`; `CRIAR` exige `why` (a consulta que respondeu "não existe").
-- **`## Decisões`**: ADR por decisão não trivial, `**Alcance:** feature|projeto`; `### Conflitos com o acervo` sempre. Serviço novo de dados ou plataforma (cache, fila, vetor, busca, grafo, banco de documento, arquivo, gateway de LLM): o ADR diz por que o Postgres e o Neon do projeto não cobrem (`morph-spec standards --show architecture-stack-baseline#postgres-primeiro`).
+- **`## Decisões`**: ADR por decisão não trivial, `**Alcance:** feature|projeto`, citando os `Cn` que sustenta ("Sustenta C1, C4"): a citação vira o link e a matriz decisão × cenário da página; `### Conflitos com o acervo` sempre. Serviço novo de dados ou plataforma (cache, fila, vetor, busca, grafo, banco de documento, arquivo, gateway de LLM): o ADR diz por que o Postgres e o Neon do projeto não cobrem (`morph-spec standards --show architecture-stack-baseline#postgres-primeiro`).
 - **`## Arquitetura`**: onde entra, o que conversa com o quê, edge cases técnicos. Gera imagem ou vídeo por IA → cite aqui o standard (`ai-agents-modalities-image-gen`, `ai-agents-media-video`, `ai-agents-media-pipeline`): é a citação que arma as provas de mídia do Gate 3, e o `plan-check` recusa o plano que fala em mídia gerada sem ela (falso positivo: a linha `Mídia gerada: não`).
 
 **Contrato de implementação**: o que quem implementa precisa e o código não diz.
@@ -77,7 +78,7 @@ Antes do gate, em `feature` e `bug`: a crítica em contexto fresco de `reference
 `morph-spec gate-check {feature} plan [--json]`. Entrevista que zerou a árvore já é a aprovação do usuário: não repause, salvo a pausa de `signal: "rung"`, que vence e pergunta nomeando cada `Cn` e o seu degrau. Encerrada antes, com nós em `## Fora de escopo`: `morph-spec gate-decision {feature} plan --pause true --reason "entrevista encerrada com nós abertos" --signals '{"discoveryMode":"interview"}'`, e a pergunta do gate lista esses nós.
 
 - `resolver === "session"` (`plan-check` com erro, crítica ausente ou de outra versão) → corrija o plano ou despache a crítica, e rode `plan-check` e `gate-check` de novo, sem perguntar.
-- `resolver === "human"` → abra `2-plan/plan.html` no navegador do usuário (`start`/`open`/`xdg-open`; o `plan-check` o gera), o entendimento (problema, fora de escopo, cenários, riscos) e `AskUserQuestion`, header "Gate plano": `"Gate do plano — Plano de {feature} aprovado?"` com `"aprovado, prosseguir" | "preciso ajustar" | "cancelar feature"`; a pergunta lista `## Padrões assumidos` para veto por número; só a decisão sensível que você tomou sozinho vira pergunta antes, na forma de `references/interview.md` (`## Forma da pergunta`). Headless: `morph-spec approve {feature} plan --approver <quem>`.
+- `resolver === "human"` → abra `feature.html`, na raiz da feature, no navegador do usuário (`start`/`open`/`xdg-open`; a CLI a mantém, nunca escreva HTML de plano à mão; o usuário pode colar a resposta que ela monta), o entendimento (problema, fora de escopo, cenários, riscos) e `AskUserQuestion`, header "Gate plano": `"Gate do plano — Plano de {feature} aprovado?"` com `"aprovado, prosseguir" | "preciso ajustar" | "cancelar feature"`; a pergunta lista `## Padrões assumidos` para veto por número; só a decisão sensível que você tomou sozinho vira pergunta antes, na forma de `references/interview.md` (`## Forma da pergunta`). Headless: `morph-spec approve {feature} plan --approver <quem>`.
 - `pause === false` → uma linha e `morph-spec advance {feature}` (ou `--design`).
 
 Aprovado: "Plano aprovado.", com `## Padrões assumidos` numerado, e siga direto com `Skill(morph-apply)`, sem esperar resposta. Veto, a qualquer momento: `## Errata` com "Padrão N vetado: <valor novo>"; a implementação segue a errata. Rodou `stack-set` nesta sessão: pare em "Plano aprovado. Rode `/morph-apply {feature}` numa sessão nova", porque as rules de domínio só carregam no início de uma sessão.

package/framework/skills/core/morph-uiux/SKILL.md

@@ -4,14 +4,14 @@ description: Conduz a fase de UI/UX de uma feature com plano aprovado — render
 version: core
 when_to_use: Use quando o ramo de design for tomado (morph-spec advance {feature} --design), antes de /morph-apply
 user-invocable: true
-cliVersion: "10.5.4"
+cliVersion: "10.7.0"
 ---
 
 # morph-uiux
 
 Entra depois do gate do plano, quando a feature cria ou altera UI. Sai com `1-design/` aprovado; próximo passo `/morph-apply {feature}`. Você desenha nesta sessão — o que decidir aqui é o que vai implementar depois.
 
-A régua de sistema e de estética chega sozinha: a rule `ui-design` carrega quando você abre um arquivo de `1-design/` ou de UI. Carregue `frontend-design:frontend-design` se a sessão a tiver.
+A régua de sistema e de estética chega sozinha: a rule `ui-design` carrega quando você abre um arquivo de `1-design/` ou de UI. Antes do primeiro HTML, carregue `frontend-design:frontend-design` e, para gráfico ou indicador, `dataviz`, se a sessão os tiver. As telas aparecem sozinhas na página da feature (`feature.html`), com link e print.
 
 ## 1. Insumos
 

package/framework/templates/docs/plan.md

@@ -24,8 +24,8 @@ Resultado buscado: <o estado depois: o que muda, para quem, como se percebe.>
 
 1. <padrão e o valor escolhido>
 
-<!-- Opcional, só se algo muda de estado: uma seção "Estados" (h2) com uma transição por linha,
-     "- origem → destino: gatilho". O plan-check desenha a máquina em 2-plan/plan.html. -->
+<!-- Opcionais, viram desenho em feature.html: "Fluxo" (h2), o caminho pelo sistema, e "Estados" (h2), se algo muda de
+     estado. Uma transição por linha: "- origem → destino: gatilho". -->
 
 ## Cenários
 
@@ -43,7 +43,7 @@ Resultado buscado: <o estado depois: o que muda, para quem, como se percebe.>
 ### ADR-001 — <título>
 **Alcance:** feature
 
-<Contexto, decisão e consequência. `projeto` quando a decisão vale além desta feature.>
+<Contexto, decisão e consequência, citando os Cn que ela sustenta. `projeto` quando a decisão vale além desta feature.>
 
 ### Conflitos com o acervo
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@polymorphism-tech/morph-spec",
-  "version": "10.5.4",
+  "version": "10.7.0",
   "description": "MORPH-SPEC: NLH (Natural Language Harness) for spec-driven development with Claude Code",
   "keywords": [
     "claude-code",

package/src/commands/state/finish.js

@@ -24,6 +24,9 @@ import { runArchive } from './archive.js';
 import { dropLeftoverIgnore, withoutLeftoverIgnore } from '../../../framework/hooks/shared/graph-freshness.js';
 import { newBackupStamp, enforceBackupRetention, inspectFinishBackups } from '../../lib/worktree/finish-backup.js';
 import { isTestArtifact } from '../../lib/worktree/ignored-triage.js';
+import { waitForPrChecks } from '../../lib/ci/pr-checks.js';
+import { atomicWriteJson } from '../../core/state/state-manager.js';
+import { recordGateEvent } from '../../../framework/hooks/shared/gate-event.js';
 
 const PR_TYPE_BY_WORK_TYPE = { feature: 'feat', bug: 'fix', hotfix: 'fix', chore: 'chore' };
 
@@ -253,7 +256,8 @@ export async function finishCommand(feature, options = {}) {
         });
         process.exit(1);
       }
-      if (openPr) {
+      // A run killed while waiting left the PR open and the proof unread: this run picks the wait up.
+      if (openPr && !readFeatureJson(featureCwd, feature, 'archive')?.verification?.pendingPr) {
         emit({
           finished: false,
           error: 'already-finished',
@@ -278,6 +282,16 @@ export async function finishCommand(feature, options = {}) {
     emit({ finished: false, error: 'review-not-approved', feature });
     process.exit(1);
   }
+  const pendingPr = fj?.verification?.pendingPr ?? null;
+  if (mode === 'merge' && pendingPr && !options.force) {
+    emit({
+      finished: false,
+      error: 'pr-proof-pending',
+      feature,
+      hint: `${pendingPr.covers.join(', ')} só seriam provadas pelo CI da PR, e --merge não abre PR. Rode \`morph-spec verify ${feature}\` (sem --ci), \`gate-check ${feature} review\` e o finish de novo`,
+    });
+    process.exit(1);
+  }
   const prTitle = buildPrTitle(feature, fj);
   const prBody = (fj?.description && String(fj.description).trim())
     ? String(fj.description).trim()
@@ -364,7 +378,7 @@ export async function finishCommand(feature, options = {}) {
   if (mode === 'merge') {
     return integrateMerge({ emit, root, feature, expectedBranch, defaultBranch, isWorktreeFlow, worktreePath, options, arch, backupStamp });
   }
-  return integratePr({ emit, root, feature, expectedBranch, defaultBranch, isWorktreeFlow, worktreePath, options, prTitle, prBody, arch, backupStamp });
+  return integratePr({ emit, root, feature, expectedBranch, defaultBranch, isWorktreeFlow, worktreePath, options, prTitle, prBody, arch, backupStamp, pendingPr, featureTree: cleanCwd });
 }
 
 // A junction/symlink in the worktree points at content in the ROOT, and `rm -rf` or
@@ -600,7 +614,43 @@ export function prNumberFromUrl(url) {
   return m ? Number(m[1]) : null;
 }
 
-async function integratePr({ emit, root, feature, expectedBranch, defaultBranch, isWorktreeFlow, worktreePath, options, prTitle, prBody, arch, backupStamp }) {
+// The checks of the archive commit are the proof: a second push of the same code would pay the CI twice,
+// so a red or unjudged run undoes the archive here and the feature goes back to the session.
+function reopenFeature({ tree, feature, check, ciRun, sha }) {
+  const archiveCommit = execFileSync('git', ['log', '-1', '--format=%H', '--fixed-strings', `--grep=chore(morph): archive ${feature}`], { cwd: tree, stdio: 'pipe' }).toString().trim();
+  execFileSync('git', ['revert', '--no-edit', archiveCommit], { cwd: tree, stdio: 'pipe' });
+
+  const path = join(tree, '.morph', 'features', feature, 'feature.json');
+  const fj = JSON.parse(readFileSync(path, 'utf8'));
+  const now = new Date().toISOString();
+  const reason = check.state === 'fail'
+    ? `CI da PR vermelho: ${check.failed.map((c) => c.workflowName).join(', ')}`
+    : `CI da PR sem veredito: ${check.reason}`;
+  fj.approvalGates = { ...fj.approvalGates, review: { approved: false, timestamp: now, approvedBy: null, revokedBy: 'finish', revokedAt: now, reason } };
+  if (check.state === 'fail') {
+    const { pendingPr: _, ...stamp } = fj.verification;
+    fj.verification = { ...stamp, status: 'fail', nodes: { ...stamp.nodes, tests: 'fail' }, sha, ts: now, source: 'pr', ciRun };
+    const entry = fj.verifications?.feature;
+    if (entry) fj.verifications.feature = { ...entry, status: 'fail', failStreak: (entry.failStreak ?? 0) + 1, updatedAt: now };
+  } else {
+    delete fj.verification;
+  }
+  atomicWriteJson(path, fj);
+  recordGateEvent(tree, { feature, gate: 'review', step: 'unapprove', approvedBy: null });
+  commitFeatureState(tree, feature);
+  return reason;
+}
+
+// The revert stays local (a push would pay another CI run), so the reopened PR still holds the archive:
+// as a draft it cannot be merged by accident, on a plan without branch protection.
+function setPrDraft(root, prUrl, draft) {
+  try {
+    const { bin, prefix } = resolveGh();
+    execFileSync(bin, [...prefix, 'pr', 'ready', prUrl, ...(draft ? ['--undo'] : [])], { cwd: root, stdio: 'pipe', timeout: 15000 });
+  } catch { /* gh refuses a PR already in that state */ }
+}
+
+async function integratePr({ emit, root, feature, expectedBranch, defaultBranch, isWorktreeFlow, worktreePath, options, prTitle, prBody, arch, backupStamp, pendingPr, featureTree }) {
   try {
     execFileSync('git', ['push', '-u', 'origin', expectedBranch], { cwd: root, stdio: 'pipe' });
   } catch (err) {
@@ -608,13 +658,48 @@ async function integratePr({ emit, root, feature, expectedBranch, defaultBranch,
     process.exit(1);
   }
 
-  let prUrl = null;
-  try {
-    const { bin, prefix } = resolveGh();
-    prUrl = execFileSync(bin, [...prefix, 'pr', 'create', '--base', defaultBranch, '--head', expectedBranch, '--title', prTitle, '--body', prBody], { cwd: root, stdio: 'pipe' }).toString().trim();
-  } catch (err) {
-    emit({ finished: false, error: 'pr-create-failed', output: gitErr(err), hint: 'a branch foi enviada (push OK); abra o PR manualmente com `gh pr create`', feature, pushed: expectedBranch });
-    process.exit(1);
+  // A feature reopened by a red PR comes back here with that PR still open.
+  const openPr = openPrFor(expectedBranch, root);
+  let prUrl = typeof openPr === 'string' ? openPr : null;
+  if (prUrl) setPrDraft(root, prUrl, false);
+  if (!prUrl) {
+    try {
+      const { bin, prefix } = resolveGh();
+      prUrl = execFileSync(bin, [...prefix, 'pr', 'create', '--base', defaultBranch, '--head', expectedBranch, '--title', prTitle, '--body', prBody], { cwd: root, stdio: 'pipe' }).toString().trim();
+    } catch (err) {
+      emit({ finished: false, error: 'pr-create-failed', output: gitErr(err), hint: 'a branch foi enviada (push OK); abra o PR manualmente com `gh pr create`', feature, pushed: expectedBranch });
+      process.exit(1);
+    }
+  }
+
+  let checks = null;
+  if (pendingPr) {
+    const sha = execFileSync('git', ['rev-parse', expectedBranch], { cwd: root, stdio: 'pipe' }).toString().trim();
+    const check = await waitForPrChecks(root, { branch: expectedBranch, sha, workflows: pendingPr.workflows });
+    if (check.state === 'fail' || check.state === 'no-verdict') {
+      let reason;
+      try {
+        reason = reopenFeature({ tree: featureTree, feature, check, ciRun: check.failed?.[0]?.detailsUrl ?? prUrl, sha });
+      } catch (err) {
+        emit({ finished: false, error: 'reopen-failed', output: gitErr(err), hint: `CI da PR sem verde (${check.state}) e o archive não foi desfeito: não mergeie ${prUrl}; rode \`git revert\` do commit de archive em ${featureTree}`, feature });
+        process.exit(1);
+      }
+      const red = check.state === 'fail';
+      setPrDraft(root, prUrl, true);
+      emit({
+        finished: false,
+        error: red ? 'pr-checks-fail' : 'pr-checks-no-verdict',
+        feature,
+        pr: { number: prNumberFromUrl(prUrl), url: prUrl },
+        reason,
+        ...(red ? { failed: check.failed.map((c) => ({ workflow: c.workflowName, url: c.detailsUrl })) } : {}),
+        hint: red
+          ? 'archive desfeito e Gate 3 reaberto: corrija (`gh run view <id> --log-failed`), commite e siga review.md §5; o finish reaproveita esta PR'
+          : `archive desfeito e Gate 3 reaberto: rode \`morph-spec verify ${feature} --json --detach\` (sem --ci, a completa local), \`gate-check ${feature} review\`, approve e o finish de novo; o finish reaproveita esta PR`,
+      });
+      process.exit(1);
+    }
+    checks = check.state === 'pass' ? { status: 'pass' } : { status: 'pending', reason: check.reason };
   }
 
   // The worktree flow keeps the branch (the open PR needs it); the common flow stays on morph/{f},
@@ -654,7 +739,10 @@ async function integratePr({ emit, root, feature, expectedBranch, defaultBranch,
     pushed: expectedBranch,
     base: defaultBranch,
     pr: { number: prNumber, url: prUrl },
-    nextStep: `mergeie ${prLabel} — a feature só estará encerrada quando ${defaultBranch} receber o archive pelo merge`,
+    ...(checks ? { checks } : {}),
+    nextStep: checks?.status === 'pending'
+      ? `confira \`gh pr checks ${prNumber ?? expectedBranch}\` antes de mergear ${prLabel}: a suíte ainda não respondeu`
+      : `mergeie ${prLabel} — a feature só estará encerrada quando ${defaultBranch} receber o archive pelo merge`,
     ...adrIndexNote(arch),
     ...(shedBackup ? { shedBackup } : {}),
     ...(e2e ? { e2e } : {}),

package/src/commands/state/recap.js

@@ -3,17 +3,18 @@ import { existsSync, readFileSync, writeFileSync } from 'fs';
 import { tmpdir } from 'os';
 import { join } from 'path';
 import { buildRecap, changeSummary, recapScenes, renderRecapHtml } from '../../lib/recap/recap.js';
+import { writeFeatureView } from '../../lib/view/feature-view.js';
+import { FEATURE_VIEW_FILE } from '../../core/paths/output-schema.js';
 import { narrateWithPiper, resolvePiper } from '../../lib/recap/piper.js';
 
-export const RECAP_FILES = { html: 'recap.html', data: 'recap.json' };
+export const RECAP_FILES = { html: FEATURE_VIEW_FILE, data: 'recap.json' };
 
-/** Writes `recap.html` + `recap.json` into `targetDir` from the live feature folder. Never throws. */
+/** Writes `recap.json` and the page with the recap inside into `targetDir`, from the live feature folder. Never throws. */
 export function writeRecap(featureDir, targetDir, feature, { cwd }) {
   try {
     const data = buildRecap(featureDir, feature, { changes: changeSummary(cwd) });
     writeFileSync(join(targetDir, RECAP_FILES.data), JSON.stringify(data, null, 2));
-    writeFileSync(join(targetDir, RECAP_FILES.html), renderRecapHtml(data));
-    return { ok: true, path: join(targetDir, RECAP_FILES.html) };
+    return writeFeatureView(targetDir, feature, { changes: data.changes, archived: true });
   } catch (err) {
     return { ok: false, reason: err.message };
   }
@@ -56,7 +57,7 @@ export function recapCommand(feature, options = {}) {
       note = piper.ok ? 'o piper falhou numa cena — ficou a voz do sistema' : piper.reason;
     }
   }
-  if (narration === 'sistema') writeFileSync(path, renderRecapHtml(data));
+  if (narration === 'sistema') writeFeatureView(dir, feature, { changes: data.changes ?? null, archived: dir === archived });
 
   if (options.json) {
     console.log(JSON.stringify({ ok: true, path, narration, note }));

package/src/commands/validation/plan-check.js

@@ -1,11 +1,10 @@
 import chalk from 'chalk';
-import { existsSync, readFileSync, writeFileSync } from 'fs';
+import { existsSync, readFileSync } from 'fs';
 import { join } from 'path';
 import { atomicWriteJson } from '../../core/state/state-manager.js';
 import { isGateApproved } from '../../../framework/hooks/shared/state-reader.js';
-import { getAbsoluteOutputPath } from '../../core/paths/output-schema.js';
+import { FEATURE_VIEW_FILE, getAbsoluteOutputPath } from '../../core/paths/output-schema.js';
 import { parsePlan } from '../../lib/plan/plan-parser.js';
-import { renderPlanHtml } from '../../lib/plan/plan-html.js';
 import { buildChecks, planHash, planRuleOptions, validatePlan } from '../../lib/plan/checks.js';
 import { revocationWarnings } from '../../lib/specs/adr-index.js';
 import { assertOwnerTree, ownerTreeRefusalLines } from '../../lib/worktree/feature-truth.js';
@@ -39,9 +38,7 @@ export function runPlanCheck(featureName, cwd = process.cwd()) {
   }
 
   atomicWriteJson(checksPath, buildChecks(featureName, text, plan));
-  const viewPath = getAbsoluteOutputPath(cwd, featureName, 'planView');
-  writeFileSync(viewPath, renderPlanHtml(featureName, plan, { planHash: hash }));
-  return { ...result, ok: true, exit: 0, written: true, viewPath };
+  return { ...result, ok: true, exit: 0, written: true, viewPath: join(cwd, '.morph', 'features', featureName, FEATURE_VIEW_FILE) };
 }
 
 export function planCheckCommand(featureName, options = {}) {
@@ -82,7 +79,7 @@ export function planCheckCommand(featureName, options = {}) {
     console.log(chalk.red(`✗ plan-check: ${result.errors.length} erro(s) em ${result.plan} — checks.json não foi gravado`));
   } else {
     console.log(chalk.green(`✓ plan-check: ${join('2-plan', 'checks.json')} gravado (${result.planHash.slice(0, 12)})`));
-    console.log(chalk.gray(`  visão do plano: ${result.viewPath}`));
+    console.log(chalk.gray(`  página da feature: ${result.viewPath}`));
     reportDotnetIgnores(gitignoreAdded);
   }
   process.exit(result.exit);