@polymorphism-tech/morph-spec 8.14.0 → 8.15.1

package/README.md

@@ -3,7 +3,7 @@
 > Spec-driven development framework for multi-stack projects. Turns feature requests into implementation-ready code through structured, AI-orchestrated phases.
 
 **Package:** `@polymorphism-tech/morph-spec`
-**Version:** 8.14.0  
+**Version:** 8.15.1  
 **Requires:** Node.js 22+, Claude Code
 
 ---
@@ -368,4 +368,4 @@ Code generated by morph-spec (contracts, templates, implementation output) belon
 
 ---
 
-*morph-spec v8.14.0 by [Polymorphism Tech](https://polymorphism.tech)*
+*morph-spec v8.15.1 by [Polymorphism Tech](https://polymorphism.tech)*

package/claude-plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "morph-spec",
-  "version": "8.14.0",
+  "version": "8.15.1",
   "displayName": "MORPH-SPEC Framework",
   "description": "Spec-driven development with 38 agents and 8-phase workflow for .NET/Blazor/Next.js/Azure",
   "publisher": "polymorphism-tech",

package/docs/CHEATSHEET.md

@@ -185,4 +185,4 @@ Never edited directly — go through CLI commands or `morph-spec update` instead
 
 ---
 
-*morph-spec v8.14.0 by Polymorphism Tech*
+*morph-spec v8.15.1 by Polymorphism Tech*

package/docs/QUICKSTART.md

@@ -249,4 +249,4 @@ morph-spec doctor
 
 ---
 
-*morph-spec v8.14.0 by Polymorphism Tech*
+*morph-spec v8.15.1 by Polymorphism Tech*

package/framework/MORPH.md

@@ -125,6 +125,7 @@ Features independentes podem ser desenvolvidas **em paralelo, cada uma no seu gi
 - **Uma feature = um worktree = uma instância.** Nunca abra duas instâncias na mesma feature (o setup recusa com exit 3).
 - O estado autoritativo (`feature.json`) viaja **commitado na branch** `morph/{f}`. O `state.json` local do worktree é um índice derivável — materializado por self-heal, nunca sincronizado à mão.
 - Infra compartilhada (`node_modules`, `.claude`, `.morph/framework`) é linkada por junction; `memory/` e `logs/` são locais de cada worktree (isolamento correto). Se faltar infra num worktree (aberto com `git worktree add` puro), rode `morph-spec worktree link --all`.
+- **Nunca apague um worktree à mão** (`rm -rf`, `Remove-Item -Recurse -Force`, deletar a pasta pelo explorador/IDE). O `morph-spec finish`/`worktree remove` desmonta a junction ANTES de remover (PROVE-or-DECLINE — nunca segue o link para fora); um `rm -rf`/`Remove-Item -Recurse` genérico não sabe disso e, em muitas implementações (inclusive o `Remove-Item -Recurse` do PowerShell no Windows), atravessa a junction e apaga o conteúdo real da raiz que ela aponta — o `.claude`/`node_modules`/`.morph/framework` compartilhados, não só o link. Se um worktree precisa sumir, use sempre `morph-spec finish <f> --pr|--merge` (ou, sem fechar a feature, `git worktree remove`, nunca uma remoção de diretório genérica).
 - **Ambiente separado (portas):** o setup aloca um **bloco de portas determinístico** por feature e escreve `.morph/worktree.env` no worktree (`PORT`, `MORPH_PORT_RANGE`; `ASPNETCORE_URLS` quando o stack tem dotnet). **Suba dev servers SEMPRE nas portas do bloco** — as portas padrão (3000/5000) pertencem à raiz; duas instâncias no default se matam. O arquivo é local e git-invisível; o hook de SessionStart injeta as portas. Overrides em `config.json → fleet.basePort/blockSize`.
 - **Banco de dados:** worktrees compartilham o mesmo banco por padrão. Para isolamento real com o MCP do Neon disponível, crie um branch de DB `morph/{f}` e anote a connection string no `.morph/worktree.env` (a CLI nunca toca em credenciais); sem Neon, prefixe schema/DB local com o nome da feature. Migration destrutiva num worktree compartilhando banco → integre antes de abrir worktrees irmãos.
 - **Limitação conhecida:** `node_modules` é compartilhado (junction) — mudança de dependência feita num worktree afeta os irmãos. Mudou dependência: conclua e integre (`finish`) antes de seguir com worktrees paralelos.

package/framework/agents.json

@@ -143,9 +143,9 @@
       ],
       "stack": ["*"],
       "standards": [],
-      "tools": "Read, Glob, Grep",
+      "tools": "Read, Glob, Grep, Bash",
       "model": "opus",
-      "persona": "Você aplica as rubricas em .morph/framework/evals/rubrics/. Você não participou da implementação — avalia apenas o mandate, o diff e a saída real dos testes que o orquestrador fornece, com contexto fresco. Não reescreve código — produz scores 0-10 por dimensão (architecture, contracts, code-quality, test-coverage), feedback priorizado acionável, e ação clara (aprovado em >=9 / feedback para o loop de correção em <9). Silêncio em scores ≥ 9 é o sinal correto."
+      "persona": "Você aplica as rubricas em .morph/framework/evals/rubrics/. Você não participou da implementação — avalia o mandate, o diff e a saída real dos testes, com contexto fresco. O orquestrador anexa o resultado do `morph-spec verify`, mas você tem Bash para conferir por conta própria: rode `morph-spec verify {feature} [task]`, testes/build do stack, `git log/diff/show` — nunca confie cegamente no que foi reportado. Bash é só para verificação: NUNCA para modificar código-fonte, tasks.json, feature.json ou o board de sessão — quem faz isso é o loop de correção, não você. Não reescreve código — produz scores 0-10 por dimensão (architecture, contracts, code-quality, test-coverage), feedback priorizado acionável, e ação clara (aprovado em >=9 / feedback para o loop de correção em <9). Silêncio em scores ≥ 9 é o sinal correto."
     },
     "scout": {
       "title": "Codebase Scout",

package/framework/skills/core/create-umbraco-lp/SKILL.md

@@ -4,7 +4,7 @@ description: Guia a criação de uma landing page nova ponta-a-ponta a partir do
 version: core
 when-to-invoke: ao iniciar um novo projeto de LP com o template Umbraco genérico
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # create-umbraco-lp

package/framework/skills/core/migrate-lp-to-umbraco/SKILL.md

@@ -4,7 +4,7 @@ description: Migra uma landing page existente (React/Vite, Next.js estático ou
 version: core
 when-to-invoke: ao receber instrução "use /migrate-lp-to-umbraco {projeto}" do usuário, ou quando o usuário descrever necessidade de migrar uma LP para Umbraco
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # migrate-lp-to-umbraco

package/framework/skills/core/morph-apply/SKILL.md

@@ -4,7 +4,7 @@ description: Orquestra a execução autônoma de tasks de uma feature morph-spec
 version: core
 when-to-invoke: após Gate 2 aprovado, ao receber instrução "use /morph-apply" ou "implementar feature"
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-apply

package/framework/skills/core/morph-brainstorming/SKILL.md

@@ -4,7 +4,7 @@ description: Entende o negócio, os usuários e a arquitetura antes de qualquer
 version: core
 when-to-invoke: ao receber um novo request de feature, antes de morph-plan
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-brainstorming

package/framework/skills/core/morph-eval/SKILL.md

@@ -4,7 +4,7 @@ description: Avalia a qualidade de uma tarefa ou fase com rubricas graduadas 0-1
 version: core
 when-to-invoke: ao completar uma tarefa ou ao finalizar uma fase de implementação
 user-invokable: false
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-eval

package/framework/skills/core/morph-hotfix/SKILL.md

@@ -4,7 +4,7 @@ description: ADW cirúrgico de hotfix — resolve uma queda/bug crítico de prod
 version: core
 when-to-invoke: ao receber "/morph-hotfix {feature}", quando a morph-proposal classifica o pedido como workType hotfix (Passo 0), ou o usuário diz "produção caiu / hotfix / urgente"
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-hotfix

package/framework/skills/core/morph-implement/SKILL.md

@@ -4,7 +4,7 @@ description: Guia a execução de cada tarefa de implementação com standard e
 version: core
 when-to-invoke: ao iniciar cada task de implementação listada em tasks.json
 user-invokable: false
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-implement

package/framework/skills/core/morph-plan/SKILL.md

@@ -4,7 +4,7 @@ description: Guia a produção dos artefatos de planejamento de uma feature (use
 version: core
 when-to-invoke: ao iniciar a fase plan de uma feature, após o Gate 1 (proposal aprovado)
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-plan

package/framework/skills/core/morph-proposal/SKILL.md

@@ -4,7 +4,7 @@ description: Orquestra a fase de proposta+plano de uma feature morph-spec. Encad
 version: core
 when-to-invoke: ao receber instrução "use /morph-proposal" do usuário, ou ao iniciar uma nova feature
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-proposal

package/framework/skills/core/morph-review/SKILL.md

@@ -4,7 +4,7 @@ description: Conduz a fase de revisão e produz o review-report.md para o Gate 3
 version: core
 when-to-invoke: ao iniciar a fase review, após todas as tasks de tasks.json estarem com status `done`
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-review
@@ -45,17 +45,19 @@ e o `recap.md` estar atualizado. Normalmente invocada pela skill orquestradora `
 4. **Despache o avaliador independente** — o score do Gate 3 nunca é auto-atribuído por quem implementou:
    - Rode `morph-spec verify {feature} --json` (escopo feature) e capture o JSON — é a saída real de build+testes+validadores que você anexa ao prompt do avaliador independente (`morph-evaluator`).
    - Gere o **diff da implementação** (`git diff` do range da feature, ou a lista de arquivos do recap.md com seus conteúdos atuais).
-   - Despache o subagent registrado `morph-evaluator` (gerado de `agents.json` — a persona do avaliador é o system prompt dele, com tools read-only), com contexto fresco:
+   - Despache o subagent registrado `morph-evaluator` (gerado de `agents.json` — a persona do avaliador é o system prompt dele, com Read/Glob/Grep + Bash somente para verificação, sem Write/Edit), com contexto fresco:
      ```
      dispatch Agent (subagent_type: "morph-evaluator") with prompt:
        contexto: mandate.md + spec.md + diff da implementação + saída real dos testes
        instrução: |
-         Você NÃO participou da implementação — avalie apenas o que está no diff,
-         contra o mandate. Aplique as rubricas em .morph/framework/evals/rubrics/
-         (architecture 30%, contracts 25%, code-quality 25%, test-coverage 20%)
-         seguindo as bandas 0-10 de cada uma.
+         Você NÃO participou da implementação — avalie o que está no diff,
+         contra o mandate. Você tem Bash: use `morph-spec verify`, testes/build
+         do stack e `git log/diff/show` para conferir por conta própria o que
+         foi reportado, em vez de confiar cegamente. Aplique as rubricas em
+         .morph/framework/evals/rubrics/ (architecture 30%, contracts 25%,
+         code-quality 25%, test-coverage 20%) seguindo as bandas 0-10 de cada uma.
          NÃO reescreva código. NÃO toque em tasks.json, feature.json nem no board
-         de sessão.
+         de sessão — Bash é só para verificação, nunca para mudar estado.
          Contrato do relatório final: GRAVE seu relatório em
          `.morph/features/{feature}/4-review/evaluator-report.md` ANTES de
          encerrar — esse arquivo é o valor de retorno autoritativo desta

package/framework/skills/core/morph-stack-scan/SKILL.md

@@ -4,7 +4,7 @@ description: Varre o codebase existente, detecta stack atual, compara com o stac
 version: core
 when-to-invoke: ao iniciar uma feature em projeto brownfield (codebase já existente)
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-stack-scan

package/framework/skills/core/morph-standards/SKILL.md

@@ -4,7 +4,7 @@ description: Localiza e carrega um standard específico do STANDARDS.json sob de
 version: core
 when-to-invoke: quando precisar consultar um standard específico durante a implementação
 user-invokable: true
-cliVersion: "8.14.0"
+cliVersion: "8.15.1"
 ---
 
 # morph-standards

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@polymorphism-tech/morph-spec",
-  "version": "8.14.0",
+  "version": "8.15.1",
   "description": "MORPH-SPEC: NLH (Natural Language Harness) for spec-driven development with Claude Code",
   "keywords": [
     "claude-code",

package/src/commands/project/doctor.js

@@ -991,7 +991,34 @@ export async function doctorCommand(options = {}) {
       check('context7 plugin', pluginStatus.context7, false,
         'Run: morph-spec install-plugin context7');
     } else {
-      checks.push({ name: '.claude/', status: 'warn', msg: 'incomplete structure' });
+      // `.claude/` exists but lacks commands/ and/or skills/ — ranges from a
+      // partial install to the full-wipe incident this command exists to catch
+      // (folder survives, 0 items — doctor used to shrug this off as a vague
+      // warning with no fix). Count what IS still there: near-total loss is an
+      // ERROR with the actionable command, not a warning that reads as optional.
+      const pieces = ['agents', 'rules', 'skills', 'commands'];
+      const present = [];
+      for (const piece of pieces) {
+        if (await pathExists(join(claudePath, piece))) present.push(piece);
+      }
+      if (await pathExists(join(claudePath, 'CLAUDE.md'))) present.push('CLAUDE.md');
+      if (await pathExists(join(claudePath, 'settings.local.json'))) present.push('settings.local.json');
+
+      if (present.length <= 1) {
+        checks.push({
+          name: '.claude/',
+          status: 'error',
+          msg: `severely damaged — only ${present.length ? present.join(', ') : 'nothing'} present (expected agents/, rules/, skills/, commands/, CLAUDE.md, settings.local.json) — run 'morph-spec setup-infra' (NOT --reinstall, which only covers stack-aware assets) to fully restore`,
+        });
+        hasErrors = true;
+      } else {
+        checks.push({
+          name: '.claude/',
+          status: 'warn',
+          msg: `incomplete structure — present: ${present.join(', ')} — run 'morph-spec setup-infra' to restore the rest`,
+        });
+        hasWarnings = true;
+      }
     }
   } else {
     checks.push({ name: '.claude/', status: 'missing' });

package/src/commands/state/archive.js

@@ -1,8 +1,18 @@
 import chalk from 'chalk';
 import { existsSync, renameSync, mkdirSync, readFileSync, writeFileSync } from 'fs';
-import { join } from 'path';
+import { join, resolve, sep } from 'path';
 import { execFileSync } from 'child_process';
 import { promoteUseCases, SPECS_USECASES_PATHSPEC } from '../../lib/specs/usecase-promoter.js';
+import { isValidFeatureName } from '../project/worktree.js';
+
+/** Refuse a move whose resolved target escapes `scopeDir`. */
+function assertContained(scopeDir, name, target) {
+  const scopeAbs = resolve(scopeDir) + sep;
+  const targetAbs = resolve(target);
+  if (targetAbs !== resolve(scopeDir) && !(targetAbs + sep).startsWith(scopeAbs)) {
+    throw new Error(`recusado: "${name}" resolve para fora de ${scopeDir}`);
+  }
+}
 
 /**
  * `morph-spec archive <feature>` — atomic, git-aware archive of a completed
@@ -57,9 +67,22 @@ function readReviewApproved(fjPath) {
  */
 export function runArchive(feature, opts = {}) {
   const cwd = opts.cwd || process.cwd();
-  const featuresPath = join(cwd, '.morph', 'features', feature);
+
+  // Gate 0: valid kebab name — refuses BEFORE any path is built from it. Same
+  // gate `finish` already applies upstream (defense-in-depth here); the
+  // standalone `archiveCommand` has no other gate at all, so without this an
+  // unvalidated `feature` reaches `renameSync` and can MOVE a directory outside
+  // .morph/features/ (`../../.claude` resolves to `cwd/.claude`).
+  if (!isValidFeatureName(feature)) {
+    return { ok: false, error: 'invalid-feature-name' };
+  }
+
+  const featuresDir = join(cwd, '.morph', 'features');
   const archiveDir = join(cwd, '.morph', 'archive');
+  const featuresPath = join(featuresDir, feature);
   const archivePath = join(archiveDir, feature);
+  assertContained(featuresDir, feature, featuresPath);
+  assertContained(archiveDir, feature, archivePath);
   const featPathspec = join('.morph', 'features', feature);
   const archivePathspec = join('.morph', 'archive', feature);
 
@@ -197,7 +220,10 @@ export async function archiveCommand(featureName, options = {}) {
     });
 
     if (!result.ok) {
-      if (result.error === 'feature-folder-not-found') {
+      if (result.error === 'invalid-feature-name') {
+        console.error(chalk.red(`\n❌ Invalid feature name: "${featureName}"`));
+        console.error(chalk.gray('Use kebab-case: lowercase letters, digits and hyphens (e.g. "user-onboarding")\n'));
+      } else if (result.error === 'feature-folder-not-found') {
         console.error(chalk.red(`\n❌ Feature folder not found: .morph/features/${featureName}\n`));
       } else if (result.error === 'review-not-approved') {
         console.error(chalk.red(`\n❌ Gate 3 (review) is not approved for "${featureName}".`));

package/src/commands/state/delete.js

@@ -1,7 +1,8 @@
 import chalk from 'chalk';
 import { existsSync, rmSync, renameSync, mkdirSync, readFileSync, writeFileSync } from 'fs';
-import { join } from 'path';
+import { join, resolve, sep } from 'path';
 import { execSync } from 'child_process';
+import { isValidFeatureName } from '../project/worktree.js';
 
 /**
  * `morph-spec delete <feature>` — remove a feature. Hard by default (folder is
@@ -17,8 +18,27 @@ import { execSync } from 'child_process';
  *
  * Refuses when any gate is approved (real work, not a dead shell), unless
  * `--force`.
+ *
+ * SECURITY: `featureName` is an unsanitized CLI argument that flows straight
+ * into `rmSync(..., { recursive: true })` — the same class of bug the worktree
+ * teardown guards against, but here the danger is path TRAVERSAL rather than a
+ * followed symlink. `join(cwd, '.morph', 'features', '../../.claude')`
+ * resolves to `cwd/.claude`, so an unvalidated name can point the hard-delete
+ * at the shared `.claude/` install (or anything else relative to cwd). Gated
+ * by `isValidFeatureName` (same kebab-slug rule `create` stamps at birth) PLUS
+ * a resolved-path containment assert — validated by path, not by the
+ * convention that a real feature name never contains `..`.
  */
 
+/** Refuse a delete/archive whose resolved target escapes `.morph/features/{scope}/{name}`. */
+function assertContained(scopeDir, name, target) {
+  const scopeAbs = resolve(scopeDir) + sep;
+  const targetAbs = resolve(target);
+  if (targetAbs !== resolve(scopeDir) && !(targetAbs + sep).startsWith(scopeAbs)) {
+    throw new Error(`recusado: "${name}" resolve para fora de ${scopeDir}`);
+  }
+}
+
 function isGitRepo(cwd) {
   try {
     execSync('git rev-parse --is-inside-work-tree', { cwd, stdio: 'pipe' });
@@ -53,7 +73,21 @@ function dropFromIndex(cwd, featureName) {
 export async function deleteCommand(featureName, options = {}) {
   try {
     const cwd = options.cwd || process.cwd();
-    const featuresPath = join(cwd, '.morph', 'features', featureName);
+
+    // Gate 0: valid kebab name — refuses BEFORE any path is built from it, so a
+    // traversal attempt (`../../.claude`) never reaches existsSync/rmSync. Same
+    // gate `create` stamps at birth and `finish` re-checks; unlike those two,
+    // delete/archive take a FRESH argument every invocation, so this cannot rely
+    // on "every real feature folder is already a valid slug".
+    if (!isValidFeatureName(featureName)) {
+      console.error(chalk.red(`\n❌ Invalid feature name: "${featureName}"`));
+      console.error(chalk.gray('Use kebab-case: lowercase letters, digits and hyphens (e.g. "user-onboarding")\n'));
+      process.exit(1);
+    }
+
+    const featuresDir = join(cwd, '.morph', 'features');
+    const featuresPath = join(featuresDir, featureName);
+    assertContained(featuresDir, featureName, featuresPath);
     const fjPath = join(featuresPath, 'feature.json');
 
     if (!existsSync(featuresPath)) {