@polymorphism-tech/morph-spec 10.8.0 → 10.8.1

package/README.md

@@ -3,7 +3,7 @@
 > Spec-driven development framework for multi-stack projects. Turns feature requests into implementation-ready code through structured, AI-orchestrated phases.
 
 **Package:** `@polymorphism-tech/morph-spec`
-**Version:** 10.8.0  
+**Version:** 10.8.1  
 **Requires:** Node.js 22+, Claude Code
 
 ---
@@ -376,4 +376,4 @@ Code generated by morph-spec (contracts, templates, implementation output) belon
 
 ---
 
-*morph-spec v10.8.0 by [Polymorphism Tech](https://polymorphism.tech)*
+*morph-spec v10.8.1 by [Polymorphism Tech](https://polymorphism.tech)*

package/claude-plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "morph-spec",
-  "version": "10.8.0",
+  "version": "10.8.1",
   "displayName": "MORPH-SPEC Framework",
   "description": "Spec-driven development with 38 agents and 8-phase workflow for .NET/Blazor/Next.js/Azure",
   "publisher": "polymorphism-tech",

package/docs/CHEATSHEET.md

@@ -174,4 +174,4 @@ Never edited directly — go through CLI commands or `morph-spec update` instead
 
 ---
 
-*morph-spec v10.8.0 by Polymorphism Tech*
+*morph-spec v10.8.1 by Polymorphism Tech*

package/docs/QUICKSTART.md

@@ -89,4 +89,4 @@ morph-spec doctor
 
 ---
 
-*morph-spec v10.8.0 by Polymorphism Tech*
+*morph-spec v10.8.1 by Polymorphism Tech*

package/framework/MORPH.md

@@ -49,7 +49,7 @@ Na abertura do plano vale o contrário: confronte o pedido com o código e pergu
 | `chore` | plano curto (congela no 1º `plan-check` verde) → implement | Gate 3 |
 | `hotfix` | plano curto carimbado → fix → `verifier.md` seu → humano | Gate 3, sempre humano |
 
-**A cerimônia segue o risco do diff, não o tipo** (`report-check --before-eval` → `reviewModels.risk`). Baixo (doc, `.morph/`, config, remoção, import): sem worktree, sem sub-agent (você escreve o `reviewer.md` pelo checklist), `verify --affected` é a prova. Lógica em código ou teste: verificador ∥ revisor. PII, permissão, envio a terceiro, pagamento ou contrato: + segurança.
+**A cerimônia segue o risco do diff, não o tipo** (`report-check --before-eval` → `reviewModels.risk`). Baixo (doc, `.morph/`, config, remoção, import; prompt de agente nunca é doc): sem worktree, sem sub-agent (você escreve o `reviewer.md` pelo checklist), `verify --affected` é a prova. Lógica em código ou teste: verificador ∥ revisor. PII, permissão, envio a terceiro, pagamento ou contrato: + segurança.
 
 Toda feature nasce em `morph/{f}` e fecha com `morph-spec finish <f> --pr|--merge`.
 

package/framework/docs/CLI.md

@@ -36,7 +36,7 @@
 
 No **review**, o `gate-check` lê os relatórios de `4-review/` (`src/lib/review-reports.js` — leitor único) e grava `signals.reviewReports = {required, reports: {verifier, reviewer, security}, checks}`: exigidos são `verifier` e `reviewer`, mais `security` quando o diff toca caminho sensível; no `hotfix`, só `verifier`. Pausa o Gate 3: relatório exigido ausente, PARCIAL ou sem `**Verdict:**`; `FIX`; bloqueador aberto; bloqueador sem tipo (`check`/`teste`/`regressao`/`seguranca`/`escopo`/`arquitetura`/`performance`/`irreversivel`; um `irreversivel` aberto vai direto ao humano); e a cobertura — todo cenário do `checks.json` precisa de uma linha `PROVADO` na `## Checks` do `verifier.md` — somadas todas as seções, vale a última linha de cada Cn (`checks.missing` = sem linha, `checks.notProven` = `NÃO PROVADO`/`FALHA`), e `checks.json` ilegível também pausa. Cada relatório é append-only e vale o ÚLTIMO `**Verdict:**`. `reviewReports` não é sobrescrevível por `--signals`. Fora do review a regra não vale.
 
-**Papéis do Gate 3 pelo risco do diff** (`src/lib/risk/diff-risk.js`, do merge-base com `origin/<default>`): `low` (só doc, `.morph/`, config, remoção ou import) exige só o `reviewer.md`, escrito pela sessão com o checklist; `normal` (lógica em código ou teste, migration, arquivo que alcança o projeto inteiro) exige verificador e revisor, inclusive num chore; PII, permissão, envio a terceiro, pagamento ou contrato, pelo caminho (camelCase também: `PiiPatterns.cs`) ou por linha adicionada, acrescentam a segurança. Hotfix segue humano. O `--json` traz `risk`. A revisão velha tem um oráculo só (`reviewConfirmation`), lido pelo `approve` e pelo `report-check`: delta trivial (`.morph/`, doc, config, import, comentário) não invalida relatório; um bloqueador do relatório relistado como **Fechado** na confirmação não bloqueia.
+**Papéis do Gate 3 pelo risco do diff** (`src/lib/risk/diff-risk.js`, do merge-base com `origin/<default>`): `low` (só doc, `.morph/`, config, remoção ou import; prompt de agente — `prompts/`, `agents/`, `skills/`, `playbooks/`, `.claude/`, `CLAUDE.md`/`AGENTS.md`/`SKILL.md`, `*prompt*` e os globs de `project.evals.watch` — é código, e qualquer linha dele é lógica) exige só o `reviewer.md`, escrito pela sessão com o checklist; `normal` (lógica em código ou teste, migration, arquivo que alcança o projeto inteiro) exige verificador e revisor, inclusive num chore; PII, permissão, envio a terceiro, pagamento ou contrato, pelo caminho (camelCase também: `PiiPatterns.cs`) ou por linha adicionada, acrescentam a segurança. Hotfix segue humano. O `--json` traz `risk`. A revisão velha tem um oráculo só (`reviewConfirmation`), lido pelo `approve` e pelo `report-check`: delta trivial (`.morph/`, doc, config, import, comentário) não invalida relatório; um bloqueador do relatório relistado como **Fechado** na confirmação não bloqueia.
 
 Um stamp de `verification` com status `fail` (último `morph-spec verify` vermelho) **força pausa** em qualquer gate. Um stamp `pass` mas **stale** (o código mudou depois do commit do stamp — só conta o que está fora de `.morph/`; o `config.json` conta exceto a troca de `expectedCount`, e um commit só de estado, como o do próprio `feature.json` do verify, não invalida) força pausa **só no ship** (`review`); em `plan`/`uiux` a staleness é computada e reportada em `signals`, mas não pausa nada — é regra de ship, não de gate genérico. Stamp **ausente** nunca pausa por isso (features legadas sem stamp).
 

package/framework/skills/core/create-umbraco-lp/SKILL.md

@@ -4,7 +4,7 @@ description: Guia a criação de uma landing page nova ponta-a-ponta a partir do
 version: core
 when_to_use: Use quando for iniciar um novo projeto de LP com o template Umbraco genérico
 user-invocable: true
-cliVersion: "10.8.0"
+cliVersion: "10.8.1"
 stacks:
   - umbraco
 ---

package/framework/skills/core/migrate-lp-to-umbraco/SKILL.md

@@ -4,7 +4,7 @@ description: Migra uma landing page existente (React/Vite, Next.js estático ou
 version: core
 when_to_use: Use quando o usuário pedir "use /migrate-lp-to-umbraco {projeto}" ou descrever a necessidade de migrar uma LP para Umbraco
 user-invocable: true
-cliVersion: "10.8.0"
+cliVersion: "10.8.1"
 stacks:
   - umbraco
 ---

package/framework/skills/core/morph-apply/SKILL.md

@@ -4,7 +4,7 @@ description: Implementa o plano aprovado de uma feature morph-spec inteiro nesta
 version: core
 when_to_use: Use com o gate do plano aprovado ("/morph-apply {feature}", "implementar feature"), em "/morph-review {feature}" (entra no §5), em "/morph-hotfix {feature}" ou incidente de produção (references/hotfix.md), ou quando `morph-spec next` mandar implement, verify, fix, review ou finish
 user-invocable: true
-cliVersion: "10.8.0"
+cliVersion: "10.8.1"
 ---
 
 # morph-apply

package/framework/skills/core/morph-plan/SKILL.md

@@ -4,7 +4,7 @@ description: Leva um pedido ou o link de uma issue ao plano aprovado — roteia
 version: core
 when_to_use: Use quando uma feature, bug ou chore começar ("/morph-plan {feature}", "/morph-plan <link da issue>", "vamos planejar X"), ou ao retomar uma feature cujo gate plan ainda não foi aprovado
 user-invocable: true
-cliVersion: "10.8.0"
+cliVersion: "10.8.1"
 ---
 
 # morph-plan

package/framework/skills/core/morph-uiux/SKILL.md

@@ -4,7 +4,7 @@ description: Conduz a fase de UI/UX de uma feature com plano aprovado — render
 version: core
 when_to_use: Use quando o ramo de design for tomado (morph-spec advance {feature} --design), antes de /morph-apply
 user-invocable: true
-cliVersion: "10.8.0"
+cliVersion: "10.8.1"
 ---
 
 # morph-uiux

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@polymorphism-tech/morph-spec",
-  "version": "10.8.0",
+  "version": "10.8.1",
   "description": "MORPH-SPEC: NLH (Natural Language Harness) for spec-driven development with Claude Code",
   "keywords": [
     "claude-code",

package/src/lib/risk/diff-risk.js

@@ -1,4 +1,6 @@
 import { execFileSync } from 'child_process';
+import { minimatch } from 'minimatch';
+import { readMorphConfig } from '../tasks/test-runner.js';
 import { isTestPath } from '../graph/sanitize.js';
 import { contractsTouched, migrationsTouched, securityReviewFor } from '../risk-detector.js';
 
@@ -16,8 +18,16 @@ function git(cwd, args) {
   return execFileSync('git', args, { cwd, stdio: 'pipe', maxBuffer: 256 * 1024 * 1024 }).toString();
 }
 
-export function fileClass(path) {
+// An agent reads these as instructions: a changed sentence is changed behaviour, whatever the extension.
+const PROMPT_PATH = /(^|\/)(prompts?|agents?|skills?|playbooks?|personas?|instructions?|\.claude)\/|(^|\/)(CLAUDE|AGENTS|GEMINI|MORPH|SKILL|copilot-instructions)\.md$|prompt[^/]*$/i;
+
+export function isPromptPath(path, promptGlobs = []) {
+  return PROMPT_PATH.test(path) || promptGlobs.some((g) => minimatch(path, g));
+}
+
+export function fileClass(path, promptGlobs = []) {
   if (path.startsWith('.morph/')) return 'state';
+  if (isPromptPath(path, promptGlobs)) return 'code';
   if (DOC_PATH.test(path)) return 'doc';
   if (CONFIG_PATH.test(path) && !WIDE_PATH.test(path)) return 'config';
   return isTestPath(path) || /(^|\/)e2e\//.test(path) ? 'test' : 'code';
@@ -54,6 +64,8 @@ export function diffLines(cwd, from, to = null) {
 
 /** `trivial` = only imports, comments, blank lines; `removal` = logic only taken out; `logic` = logic added. */
 export function changeKind(file) {
+  // A prompt has no comments: a heading or a bullet is an instruction.
+  if (file.prompt) return [...file.added, ...file.removed].some((l) => l.trim()) || file.deleted ? 'logic' : 'trivial';
   if (file.deleted) return 'removal';
   if (file.untracked) return 'logic';
   if (file.added.some((l) => !TRIVIAL_LINE.test(l))) return 'logic';
@@ -61,10 +73,13 @@ export function changeKind(file) {
 }
 
 /** `low`: docs, `.morph/`, config, removals, imports. `normal`: logic in code or tests. `security` rides on either. */
-export function classifyFiles(files) {
+export function classifyFiles(files, { promptGlobs = [] } = {}) {
   const reasons = [];
-  const relevant = files.filter((f) => fileClass(f.path) !== 'state');
-  const logic = relevant.filter((f) => ['code', 'test'].includes(fileClass(f.path)) && changeKind(f) === 'logic');
+  const relevant = files
+    .filter((f) => fileClass(f.path, promptGlobs) !== 'state')
+    .map((f) => ({ ...f, prompt: isPromptPath(f.path, promptGlobs) }));
+  const fileClassOf = (f) => (f.prompt ? 'code' : fileClass(f.path));
+  const logic = relevant.filter((f) => ['code', 'test'].includes(fileClassOf(f)) && changeKind(f) === 'logic');
   const wide = relevant.filter((f) => WIDE_PATH.test(f.path));
   const paths = relevant.map((f) => f.path);
   if (logic.length) reasons.push(`lógica em ${logic.slice(0, 3).map((f) => f.path).join(', ')}${logic.length > 3 ? ` (+${logic.length - 3})` : ''}`);
@@ -75,17 +90,23 @@ export function classifyFiles(files) {
 
   const securityReasons = [...securityReviewFor(paths.map(camelSplit)).reasons];
   if (contract.length) securityReasons.push(`contrato: ${contract[0]}`);
-  const sensitive = relevant.find((f) => fileClass(f.path) === 'code' && f.added.some((l) => SENSITIVE_LINE.test(l)));
+  const sensitive = relevant.find((f) => fileClassOf(f) === 'code' && f.added.some((l) => SENSITIVE_LINE.test(l)));
   if (sensitive) {
     const line = sensitive.added.find((l) => SENSITIVE_LINE.test(l)).trim();
     securityReasons.push(`linha sensível em ${sensitive.path}: ${line.slice(0, 80)}`);
   }
 
   const level = relevant.length === 0 ? 'none' : reasons.length || securityReasons.length ? 'normal' : 'low';
-  const trivial = level !== 'normal' && relevant.every((f) => !['code', 'test'].includes(fileClass(f.path)) || changeKind(f) === 'trivial');
+  const trivial = level !== 'normal' && relevant.every((f) => !['code', 'test'].includes(fileClassOf(f)) || changeKind(f) === 'trivial');
   return { level, trivial, reasons, security: { required: securityReasons.length > 0, reasons: securityReasons } };
 }
 
+// The paths the project declared for its evals are its prompts and models.
+function promptGlobsOf(cwd) {
+  const watch = readMorphConfig(cwd)?.project?.evals?.watch;
+  return Array.isArray(watch) ? watch.filter((g) => typeof g === 'string' && g.trim()) : [];
+}
+
 function mergeBase(cwd, defaultBranch) {
   for (const ref of [`origin/${defaultBranch}`, defaultBranch]) {
     try {
@@ -100,7 +121,7 @@ export function featureDiffRisk(cwd, defaultBranch) {
   const base = defaultBranch ? mergeBase(cwd, defaultBranch) : null;
   if (!base) return null;
   try {
-    return { base, ...classifyFiles(diffLines(cwd, base)) };
+    return { base, ...classifyFiles(diffLines(cwd, base), { promptGlobs: promptGlobsOf(cwd) }) };
   } catch {
     return null;
   }
@@ -109,7 +130,7 @@ export function featureDiffRisk(cwd, defaultBranch) {
 /** The delta between two commits; `trivial` (no logic added or removed) never asks for a second review. */
 export function deltaRisk(cwd, from, to) {
   try {
-    return classifyFiles(diffLines(cwd, from, to));
+    return classifyFiles(diffLines(cwd, from, to), { promptGlobs: promptGlobsOf(cwd) });
   } catch {
     return null;
   }