@ship.zone/ci-spec 2.1.0 → 2.1.1

package/changelog.md

@@ -1,5 +1,20 @@
 # Changelog
 
+## 2026-09-27 - 2.1.1
+
+### Fixes
+
+- state the YAML 1.2 character, byte order mark, escape, and document rules, and bound nesting depth (ci-actions)
+  - A C0 control character other than tab, line feed, and carriage return fails with `workflow_yaml_syntax` anywhere, including in a quoted scalar. DEL, C1 control characters other than NEL, U+FFFE, U+FFFF, and U+FEFF are content inside a quoted scalar, as YAML 1.2 requires for JSON compatibility, and fail with `workflow_yaml_syntax` anywhere else.
+  - Runs of U+FEFF at the start of a line are byte order marks, not content, before the line on which the document begins, on that line, after a document end marker `...`, and after the document's content when only blank and comment lines follow up to the end of the file or the next `---` or `...` marker, as YAML 1.2 allows a document prefix after a document; the file's own leading byte order mark is the first of them. Any other U+FEFF outside a quoted scalar fails with `workflow_yaml_syntax`.
+  - A `\u` high surrogate escape directly followed by a `\u` low surrogate escape denotes one supplementary character, as in JSON; every other escape of a surrogate code point, which RFC 8785 cannot serialize, fails with `workflow_yaml_syntax`.
+  - Collections nest at most 64 deep, eight times the depth of the deepest collection a schema-valid workflow holds; a collection of depth 65 fails with `workflow_yaml_syntax`, so a parser can stop there instead of exhausting its stack. Only workflows that fail schema validation are affected.
+  - Documents are counted as YAML 1.2 counts them: a `---` marker or content begins a document, and `...` markers, comments, blank lines, and byte order marks begin none. A file of only `...` fails with `workflow_yaml_document_count`, a document followed by several `...` markers is one document, and `--- # comment` is one empty document that fails schema validation.
+  - Adds 22 compile vectors: 15 YAML-layer failures, 2 workflows that pass the YAML layer and fail schema validation (depth 64 and an empty explicit document), and 5 compiled workflows that fix byte order mark lines before and after the document, `...` markers, and quoted-scalar content. The test's reference YAML layer decides them.
+- apply the 16 KiB command argument limit to UTF-8 bytes (ci-actions, runner-protocol)
+  - Protocol Limits already counted the argument limit after UTF-8 encoding. A command argument of more than 16,384 UTF-8 bytes now has its codes: compilation fails with `command_limit_exceeded`, and Job Coherence lists the rule under `job_command_limit_exceeded`. The schemas keep `maxLength` 16,384, which counts characters.
+  - Adds the compile vector `workflow-command-argument-above-limit` and the runner job fixture `conformance/runner-jobs/incoherent/command-argument-above-limit.json`, an argument of 8,193 characters and 16,385 bytes, so every job failure code now has a case.
+
 ## 2026-09-27 - 2.1.0
 
 ### Features

package/conformance/compile-cases.json

@@ -1085,6 +1085,204 @@
         "code": "workflow_yaml_syntax"
       }
     },
+    {
+      "id": "yaml-character-c0-control-comment",
+      "description": "A comment holds U+0007 (BEL): YAML 1.2 allows no C0 control character but tab, line feed, and carriage return.",
+      "workflow": {
+        "source": "spec: 2.0.0 # \u0007\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-c0-control-quoted",
+      "description": "A double-quoted scalar holds a raw U+001B (ESC): not even a quoted scalar allows a C0 control character.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"te\u001bst\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-delete-plain",
+      "description": "A plain scalar holds U+007F (DEL), which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - te\u007fst\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-c1-control-block",
+      "description": "A block scalar holds U+009B, a C1 control character, which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - |\n            te\u009bst\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-fffe-plain",
+      "description": "A plain scalar holds U+FFFE, which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - te\ufffest\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-character-ffff-comment",
+      "description": "A comment holds U+FFFF, which only a quoted scalar allows.",
+      "workflow": {
+        "source": "spec: 2.0.0 # \uffff\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-byte-order-mark-in-plain-scalar",
+      "description": "A plain scalar holds U+FEFF: outside a quoted scalar it is only a byte order mark at the start of a line.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - te\ufeffst\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-byte-order-mark-in-comment",
+      "description": "A comment holds U+FEFF.",
+      "workflow": {
+        "source": "spec: 2.0.0 # \ufeff\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-byte-order-mark-within-document",
+      "description": "The line of the jobs key begins with U+FEFF, which is a byte order mark only before the document begins or after a document end marker.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\n\ufeffjobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-escape-lone-high-surrogate",
+      "description": "The escape \\uD800 without a following low surrogate escape.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"te\\uD800st\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-escape-lone-low-surrogate",
+      "description": "The escape \\uDC00 without a preceding high surrogate escape.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"te\\uDC00st\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-escape-surrogate-long-form",
+      "description": "A surrogate pair written as \\U escapes; only \\u escapes form a pair.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - \"\\U0000D83D\\U0000DE00\"\n"
+      },
+      "isolated": true,
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-depth-at-limit",
+      "description": "Collections nested 64 deep pass the YAML layer; no schema-valid workflow nests deeper than 8.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    matrix:\n      value: [[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[a]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_schema_invalid"
+      }
+    },
+    {
+      "id": "yaml-depth-above-limit",
+      "description": "A collection of depth 65.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    matrix:\n      value: [[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[[a]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]]\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_syntax"
+      }
+    },
+    {
+      "id": "yaml-document-end-marker-only",
+      "description": "A document end marker begins no document.",
+      "workflow": {
+        "source": "...\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_document_count"
+      }
+    },
+    {
+      "id": "yaml-two-directives-end-markers",
+      "description": "Each --- begins a document, so the file has two empty documents.",
+      "workflow": {
+        "source": "---\n---\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_yaml_document_count"
+      }
+    },
+    {
+      "id": "yaml-empty-explicit-document",
+      "description": "A --- marker with only a comment is one empty document, whose null value fails the schema.",
+      "workflow": {
+        "source": "--- # empty\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "workflow_schema_invalid"
+      }
+    },
     {
       "id": "number-positive-infinity",
       "workflow": {
@@ -1371,6 +1569,17 @@
         "code": "environment_limit_exceeded"
       }
     },
+    {
+      "id": "workflow-command-argument-above-limit",
+      "description": "An argument of 8,193 characters and 16,385 UTF-8 bytes: within the schema, above the argument limit.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - ééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééa\n"
+      },
+      "expected": {
+        "outcome": "failed",
+        "code": "command_limit_exceeded"
+      }
+    },
     {
       "id": "workflow-artifact-name-repeated",
       "workflow": {
@@ -2100,6 +2309,617 @@
         ]
       }
     },
+    {
+      "id": "compile-document-end-markers",
+      "description": "A document followed by two document end markers is one document.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n...\n...\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "e2462fbc6d73768acce6bdbd5d691dd473351f1b0ccc6d6b4871ac156e2b6eea",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "e2462fbc6d73768acce6bdbd5d691dd473351f1b0ccc6d6b4871ac156e2b6eea",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "9e9600a688b681648f2fd70bf488c8aee3625570f8e5feb592a98d985aa74fa4"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-byte-order-mark-lines",
+      "description": "Runs of U+FEFF at the start of lines before the document, on the line it begins, and after a document end marker are byte order marks, not content.",
+      "workflow": {
+        "source": "\ufeff\ufeff\ufeff# prefix\n\ufeff\n\ufeffspec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n...\n\ufeff\ufeff# after the end marker\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "4926ea865106edf755c92fabff734b07678ea31199140d93ab69e4675e66e354",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "4926ea865106edf755c92fabff734b07678ea31199140d93ab69e4675e66e354",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "983b722b51e648482748ebd266d886e8599dad95970026641d5f37f3a2f65986"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-byte-order-mark-trailing-comment",
+      "description": "A comment line after the document begins with U+FEFF: without a document end marker, it is the prefix of a following document that is absent.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n\ufeff# trailing comment\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "ffd5489463937ced56358a73c93b7423d76aecfd6634c19d0d3b829f74a03890",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "ffd5489463937ced56358a73c93b7423d76aecfd6634c19d0d3b829f74a03890",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "069c5d49b54c41a6dd656a2ffa7b61993d541e519e621d5f678675e6d7fb2c5c"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-byte-order-mark-trailing-blank-and-comment",
+      "description": "A blank line, then a comment line that begins with U+FEFF, after the document.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - test\n\n\ufeff# trailing comment\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "519951a2272c4bc7bab2c40dff765c2f519a22f63785de56c88a3670e9ed5638",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "519951a2272c4bc7bab2c40dff765c2f519a22f63785de56c88a3670e9ed5638",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "test"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "1422d43d648ecde917372620092d9e92efc58638d7de6abf668e795cd85c1c7c"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
+    {
+      "id": "compile-quoted-scalar-content",
+      "description": "Quoted scalars hold DEL, C1 controls, NEL, U+FEFF, U+FFFE, and U+FFFF as content, and a \\u surrogate pair escape denotes one character.",
+      "workflow": {
+        "source": "spec: 2.0.0\non:\n  push: {}\npermissions:\n  source: read\n  artifacts: none\n  caches: none\n  images: none\n  npm: none\n  releaseAssets: none\njobs:\n  test:\n    runner:\n      profile: oci\n      labels:\n        - linux\n    execution:\n      profile: oci\n      image: registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa\n    steps:\n      - run:\n          - pnpm\n          - '\u007f\u0080\u0085\ufeff\ufffe\uffff'\n          - \"\u009f\ufeff\\uD83D\\uDE00\\U0001F600\\x7F\"\n"
+      },
+      "context": {
+        "repository": {
+          "tenantId": "tenant-1",
+          "repositoryId": "example/app",
+          "url": "https://code.foss.global/example/app"
+        },
+        "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+        "source": {
+          "format": "tar.gz",
+          "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+          "sizeBytes": 1024,
+          "extractedSizeBytes": 4096,
+          "entryCount": 4
+        },
+        "trigger": {
+          "kind": "push",
+          "ref": "refs/heads/main"
+        },
+        "trustClass": "trusted",
+        "protectedTagRun": false,
+        "secrets": []
+      },
+      "policy": {
+        "limits": {
+          "maximumSourceArchiveBytes": 1048576,
+          "maximumSourceExtractedBytes": 4194304,
+          "maximumSourceEntries": 1000,
+          "maximumLogChunkBytes": 65536,
+          "maximumTotalLogBytes": 10485760,
+          "maximumWorkspaceBytes": 268435456,
+          "maximumWorkspaceEntries": 100000
+        },
+        "ociIsolation": "container"
+      },
+      "expected": {
+        "outcome": "compiled",
+        "workflowDigest": "7292aa64a747a9841d9c8bc71f22c2bcaccb4ec8cad2f6bd0c638cb2802705f3",
+        "nodes": [
+          {
+            "id": "test",
+            "kind": "job",
+            "needs": [],
+            "job": {
+              "spec": "2.0.0",
+              "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+              "workflowDigest": "7292aa64a747a9841d9c8bc71f22c2bcaccb4ec8cad2f6bd0c638cb2802705f3",
+              "requirements": {
+                "executionProfile": "oci",
+                "isolation": "container",
+                "labels": [
+                  "linux"
+                ],
+                "features": [
+                  "source.tar-gz"
+                ],
+                "limits": {
+                  "maximumSourceArchiveBytes": 1048576,
+                  "maximumSourceExtractedBytes": 4194304,
+                  "maximumSourceEntries": 1000,
+                  "maximumArtifactArchiveBytes": 0,
+                  "maximumArtifactExtractedBytes": 0,
+                  "maximumArtifactEntries": 0,
+                  "maximumArtifacts": 0,
+                  "maximumCacheArchiveBytes": 0,
+                  "maximumCacheExtractedBytes": 0,
+                  "maximumCacheEntries": 0,
+                  "maximumCaches": 0,
+                  "maximumLogChunkBytes": 65536,
+                  "maximumTotalLogBytes": 10485760,
+                  "maximumWorkspaceBytes": 268435456,
+                  "maximumWorkspaceEntries": 100000
+                }
+              },
+              "permissions": {
+                "source": "read",
+                "artifacts": "none",
+                "caches": "none",
+                "images": "none"
+              },
+              "network": {
+                "mode": "none"
+              },
+              "execution": {
+                "profile": "oci",
+                "image": "registry.example/test@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
+              },
+              "steps": [
+                {
+                  "command": [
+                    "pnpm",
+                    "\u007f\u0080\u0085\ufeff\ufffe\uffff",
+                    "\u009f\ufeff😀😀\u007f"
+                  ],
+                  "environment": {
+                    "SHIPZONE_CI_MATRIX_JSON": "{}",
+                    "SHIPZONE_CI_INPUTS_JSON": "{}"
+                  }
+                }
+              ],
+              "source": {
+                "format": "tar.gz",
+                "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+                "sizeBytes": 1024,
+                "extractedSizeBytes": 4096,
+                "entryCount": 4
+              },
+              "secrets": {},
+              "timeoutMs": 3600000,
+              "artifacts": [],
+              "caches": [],
+              "compiledPlanDigest": "f9ce334d6a205eb2f4671c08859661340985ceb30b0fc3c8caaea71d9d82c896"
+            },
+            "secretBindings": {}
+          }
+        ]
+      }
+    },
     {
       "id": "compile-matrix-expansion",
       "description": "Expansion follows dimension declaration order (z before \"2\", the first dimension varying slowest); 0x1F, -0.0, and 1e3 resolve to 31, 0, and 1000 and \"01\" stays a string; the innermost environment level wins; limits take the largest declared maximum of each field; report needs every expansion and precedes test in plan order.",

package/conformance/runner-job-cases.json

@@ -306,6 +306,17 @@
         "code": "job_limit_incoherent"
       }
     },
+    {
+      "id": "fixture-incoherent-command-argument-above-limit",
+      "description": "An argument of 8,193 characters and 16,385 UTF-8 bytes: within the schema, above the argument limit.",
+      "job": {
+        "fixture": "conformance/runner-jobs/incoherent/command-argument-above-limit.json"
+      },
+      "expected": {
+        "outcome": "incoherent",
+        "code": "job_command_limit_exceeded"
+      }
+    },
     {
       "id": "fixture-incoherent-environment-above-limit",
       "description": "128 step environment names and NPM_CONFIG_USERCONFIG of npmRead: 129 names.",

package/conformance/runner-jobs/incoherent/command-argument-above-limit.json

@@ -0,0 +1,70 @@
+{
+  "spec": "2.0.0",
+  "sourceObjectId": "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa",
+  "workflowDigest": "bbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbbb",
+  "compiledPlanDigest": "71be63b5e4ddbe4aef1e4519f9c37756807a5e49b9071514050793d4945021bd",
+  "requirements": {
+    "executionProfile": "oci",
+    "isolation": "container",
+    "labels": ["linux"],
+    "features": ["source.tar-gz"],
+    "limits": {
+      "maximumSourceArchiveBytes": 1048576,
+      "maximumSourceExtractedBytes": 4194304,
+      "maximumSourceEntries": 1000,
+      "maximumArtifactArchiveBytes": 0,
+      "maximumArtifactExtractedBytes": 0,
+      "maximumArtifactEntries": 0,
+      "maximumArtifacts": 0,
+      "maximumCacheArchiveBytes": 0,
+      "maximumCacheExtractedBytes": 0,
+      "maximumCacheEntries": 0,
+      "maximumCaches": 0,
+      "maximumLogChunkBytes": 65536,
+      "maximumTotalLogBytes": 10485760,
+      "maximumWorkspaceBytes": 268435456,
+      "maximumWorkspaceEntries": 100000
+    }
+  },
+  "permissions": {
+    "source": "read",
+    "artifacts": "none",
+    "caches": "none",
+    "images": "none"
+  },
+  "network": {
+    "mode": "none"
+  },
+  "execution": {
+    "profile": "oci",
+    "image": "registry.example/ci@sha256:dddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddd",
+    "workingDirectory": "/workspace"
+  },
+  "steps": [
+    {
+      "name": "Test",
+      "command": ["pnpm", "ééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééééa"],
+      "environment": {
+        "CI": "true",
+        "SHIPZONE_CI_INPUTS_JSON": "{}",
+        "SHIPZONE_CI_MATRIX_JSON": "{}"
+      }
+    }
+  ],
+  "source": {
+    "format": "tar.gz",
+    "sha256": "eeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeeee",
+    "sizeBytes": 1024,
+    "extractedSizeBytes": 4096,
+    "entryCount": 4
+  },
+  "secrets": {},
+  "timeoutMs": 60000,
+  "resources": {
+    "memoryBytes": 268435456,
+    "cpus": 1,
+    "pids": 256
+  },
+  "artifacts": [],
+  "caches": []
+}

package/dist_ts/00_commitinfo_data.js

@@ -3,7 +3,7 @@
  */
 export const commitinfo = {
     name: '@ship.zone/ci-spec',
-    version: '2.1.0',
+    version: '2.1.1',
     description: 'The ship.zone CI standard: language-neutral CI workflow and runner protocol specifications.'
 };
 //# sourceMappingURL=data:application/json;base64,eyJ2ZXJzaW9uIjozLCJmaWxlIjoiMDBfY29tbWl0aW5mb19kYXRhLmpzIiwic291cmNlUm9vdCI6IiIsInNvdXJjZXMiOlsiLi4vdHMvMDBfY29tbWl0aW5mb19kYXRhLnRzIl0sIm5hbWVzIjpbXSwibWFwcGluZ3MiOiJBQUFBOztHQUVHO0FBQ0gsTUFBTSxDQUFDLE1BQU0sVUFBVSxHQUFHO0lBQ3hCLElBQUksRUFBRSxvQkFBb0I7SUFDMUIsT0FBTyxFQUFFLE9BQU87SUFDaEIsV0FBVyxFQUFFLDZGQUE2RjtDQUMzRyxDQUFBIn0=

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@ship.zone/ci-spec",
-  "version": "2.1.0",
+  "version": "2.1.1",
   "private": false,
   "description": "The ship.zone CI standard: language-neutral CI workflow and runner protocol specifications.",
   "main": "dist_ts/index.js",

package/readme.md

@@ -12,7 +12,7 @@ The package version is the specification version, and it is the only version in
 spec: 2.0.0
 ```
 
-Compiled jobs and runner protocol messages carry the same `spec` field. An implementation built against version `I` accepts a declared version `D` when both have the same major version and `D` is not newer than `I`; the rule is defined in `spec/runner-protocol.md` and fixed by `conformance/version-cases.json`. Every incompatible change is a new major version, and additions arrive as new minor versions: a workflow that uses a construct introduced in a later minor version declares that version or a later one. Version 2.0.0 renames the package and its normative identifiers (see Migrating from @foss.global/ci-spec), removes the 1.x cross-version rules, and completes the compilation rules: one stable failure code per compilation failure with a fixed precedence, a stricter YAML subset, the derivation of every compiled job member, and the identities of expanded nodes. Version 2.1.0 adds job failure codes: every coherence rule of a compiled job has exactly one code, and a job that is not coherent carries the code of the first rule it violates (see Job Coherence in `spec/runner-protocol.md`); it also exports the reserved names as constants. Documents written against 2.0.0 stay valid. The history of the 1.x rules is in the changelog.
+Compiled jobs and runner protocol messages carry the same `spec` field. An implementation built against version `I` accepts a declared version `D` when both have the same major version and `D` is not newer than `I`; the rule is defined in `spec/runner-protocol.md` and fixed by `conformance/version-cases.json`. Every incompatible change is a new major version, and additions arrive as new minor versions: a workflow that uses a construct introduced in a later minor version declares that version or a later one. Version 2.0.0 renames the package and its normative identifiers (see Migrating from @foss.global/ci-spec), removes the 1.x cross-version rules, and completes the compilation rules: one stable failure code per compilation failure with a fixed precedence, a stricter YAML subset, the derivation of every compiled job member, and the identities of expanded nodes. Version 2.1.0 adds job failure codes: every coherence rule of a compiled job has exactly one code, and a job that is not coherent carries the code of the first rule it violates (see Job Coherence in `spec/runner-protocol.md`); it also exports the reserved names as constants. Version 2.1.1 clarifies compilation: it states the YAML 1.2 character, byte order mark, escape, and document counting rules, bounds collection nesting to 64, and counts the 16 KiB command argument limit in UTF-8 bytes. Documents written against 2.0.0 stay valid. The history of the 1.x rules is in the changelog.
 
 ## Issue Reporting and Security
 

package/spec/ci-actions.md

@@ -12,7 +12,7 @@ The coordinator reads the workflow as bytes from the exact source commit being e
 
 Parsing uses YAML 1.2 with the core schema and requires:
 
-- exactly one document: an empty file, a file of only comments, and a file with a second document fail with `workflow_yaml_document_count`;
+- exactly one document. As in YAML 1.2, a `---` directives end marker begins a document, and so does content that no marker precedes; a document end marker `...`, a comment, a blank line, and a byte order mark begin none. An empty file, a file of only comments or only `...` markers, and a file with a second document fail with `workflow_yaml_document_count`. A document followed by several `...` markers is one document, and a file of only `--- # comment` is one empty document, whose null value fails schema validation;
 - no YAML or TAG directive (`workflow_yaml_directive`);
 - unique keys in every mapping (`workflow_yaml_duplicate_key`);
 - string mapping keys: every key is a scalar whose core-schema resolution is a string, so a plain key such as `1`, `true`, `null`, or `~`, and every collection used as a key, fails with `workflow_yaml_key_type`; such a key is written quoted, for example `"1"`;
@@ -20,6 +20,13 @@ Parsing uses YAML 1.2 with the core schema and requires:
 - no merge key: a `<<` key, plain or quoted, fails with `workflow_yaml_merge_key`;
 - no explicit tag, including the standard `!!` tags and the non-specific tag `!` (`workflow_yaml_tag`).
 
+The following YAML 1.2 rules fail with `workflow_yaml_syntax`:
+
+- Characters. A C0 control character other than tab, line feed, and carriage return is allowed nowhere, not even in a quoted scalar. DEL (U+007F), a C1 control character other than NEL (U+0080 to U+009F except U+0085), U+FFFE, U+FFFF, and U+FEFF are allowed inside a single- or double-quoted scalar, where they are content, and nowhere else, except where U+FEFF is a byte order mark. Unpaired surrogates cannot occur, because the file is well-formed UTF-8.
+- Byte order marks. One or more U+FEFF at the start of a line are byte order marks, which are not content, when the line comes before the one on which the document begins, is that line, or comes after a document end marker `...`. They are also byte order marks when the line comes after the document's content and it and every later line up to the end of the file, or up to the next `---` or `...` marker, are blank or comment lines: YAML 1.2 lets a document prefix follow a document without a `...` marker, and a `---` after it begins a second document. The file's own leading byte order mark is the first of them. Any other U+FEFF outside a quoted scalar, for example in a plain or block scalar, in a comment, or at the start of a line within the document or followed by content, fails.
+- Escapes. Every escape in a double-quoted scalar denotes a Unicode scalar value, so every string can be serialized with RFC 8785. A `\u` escape of a high surrogate (`\uD800` to `\uDBFF`) directly followed by a `\u` escape of a low surrogate (`\uDC00` to `\uDFFF`) denotes the one character the pair encodes, as in JSON: `"\uD83D\uDE00"` is U+1F600. Every other escape of a surrogate code point fails, such as a lone `\uD800` or `\uDC00` or the escape `\U0000D800`. Escapes of other characters, including control characters such as `\0` and `\x7F`, are content.
+- Nesting depth. Collections nest at most 64 deep: the root collection has depth 1, and a collection that is an entry of a sequence, or a key or value of a mapping, of depth *d* has depth *d* + 1. A collection of depth 65 fails, so a parser can stop there instead of exhausting its stack. The deepest collection of a schema-valid workflow, an alias of `publish.images[].destinations[].aliases`, has depth 8.
+
 Every other parser error or warning fails with `workflow_yaml_syntax`. The version check (see Specification Version) and JSON Schema validation against `schemas/ci_actions.schema.json`, which fails with `workflow_schema_invalid`, run only after these YAML-level rules pass.
 
 Every plain scalar that the core schema resolves to an integer or a float is converted from its original token before schema validation; quoted scalars are strings and never numbers:
@@ -166,7 +173,7 @@ Jobs form an acyclic graph through `needs`. A dependency on a job the workflow d
 
 Steps use argument arrays. Shell strings, arbitrary expression languages, GitHub action compatibility, and unpinned third-party actions are not supported. The coordinator preserves declaration order and emits an ordered compiled `steps` array. Each compiled step contains its command and the complete merged non-secret environment; runners do not perform workflow-level environment merging.
 
-Environment maps are merged in workflow, job, then step order: a name defined at more than one of these levels takes the value of the innermost one. The workflow environment applies only to the steps of `oci` and `vm` jobs. Secret references are job-wide and are injected into every step only after trust evaluation. A secret target equal to a name of the merged environment of any step of the job, two secret references with one target, and any `SHIPZONE_CI_*` name in an environment map or as a secret target fail with `environment_conflict`. A step whose merged environment names, secret targets, and reserved names (see the runner protocol's OCI Container Profile) number more than 128 fails with `environment_limit_exceeded`. A step whose command arguments total more than 131,072 UTF-8 bytes fails with `command_limit_exceeded`.
+Environment maps are merged in workflow, job, then step order: a name defined at more than one of these levels takes the value of the innermost one. The workflow environment applies only to the steps of `oci` and `vm` jobs. Secret references are job-wide and are injected into every step only after trust evaluation. A secret target equal to a name of the merged environment of any step of the job, two secret references with one target, and any `SHIPZONE_CI_*` name in an environment map or as a secret target fail with `environment_conflict`. A step whose merged environment names, secret targets, and reserved names (see the runner protocol's OCI Container Profile) number more than 128 fails with `environment_limit_exceeded`. A step with a command argument of more than 16,384 UTF-8 bytes, or whose command arguments total more than 131,072 UTF-8 bytes, fails with `command_limit_exceeded`; the schema bounds an argument to 16,384 characters, which can exceed 16,384 bytes.
 
 Artifact and cache names must be unique within a job; a repeated name fails with `transfer_name_duplicate`. Cache paths must not overlap each other: two paths overlap when, split at `/` with empty and `.` segments removed, the segments of one are a prefix of the segments of the other. Overlapping paths fail with `cache_path_overlap`. Artifacts and caches are `tar.gz` archives with explicit compressed-byte, extracted-byte, and entry ceilings. Produced digest and size metadata is measured at transfer time and is not part of the compiled declaration.
 
@@ -351,7 +358,7 @@ Every job node compiles to one compiled job, a function of the workflow, the run
 - Secret references: 128 per job.
 - Artifacts: 64 per job.
 - Caches: 32 per job.
-- Command: 128 arguments, 16 KiB each, 128 KiB total.
+- Command: 128 arguments, 16 KiB each, 128 KiB total after UTF-8 encoding.
 - Artifact archive: 16 GiB compressed, 128 GiB extracted, 1,000,000 entries per item.
 - Cache archive: 16 GiB compressed, 128 GiB extracted, 1,000,000 entries per item.
 - Workspace: 1 TiB and 2,000,000 entries.
@@ -368,7 +375,7 @@ A compilation failure fails the run before any job is enqueued and carries exact
 | --- | --- | --- |
 | source | `workflow_too_large` | the file has more than 262,144 bytes (Parsing) |
 | source | `workflow_encoding_invalid` | the file is not well-formed UTF-8 (Parsing) |
-| yaml | `workflow_yaml_syntax` | any other YAML parser error or warning (Parsing) |
+| yaml | `workflow_yaml_syntax` | a character, byte order mark, escape, or nesting depth that YAML 1.2 or Parsing rejects, or any other YAML parser error or warning (Parsing) |
 | yaml | `workflow_yaml_document_count` | no document, or more than one (Parsing) |
 | yaml | `workflow_yaml_directive` | a YAML or TAG directive (Parsing) |
 | yaml | `workflow_yaml_duplicate_key` | a mapping repeats a key (Parsing) |
@@ -389,7 +396,7 @@ A compilation failure fails the run before any job is enqueued and carries exact
 | workflow | `permission_insufficient` | a declaration or build job beyond its resolved permissions (Permissions) |
 | workflow | `environment_conflict` | a secret target or reserved-name conflict (Jobs and Steps) |
 | workflow | `environment_limit_exceeded` | more than 128 names in a step (Jobs and Steps) |
-| workflow | `command_limit_exceeded` | a command above 131,072 bytes (Jobs and Steps) |
+| workflow | `command_limit_exceeded` | a command argument above 16,384 bytes or a command above 131,072 bytes (Jobs and Steps) |
 | workflow | `transfer_name_duplicate` | a repeated artifact or cache name (Jobs and Steps) |
 | workflow | `cache_path_overlap` | overlapping cache paths (Jobs and Steps) |
 | workflow | `resources_invalid` | `sharedMemoryBytes` above `memoryBytes` (Resources) |

package/spec/runner-protocol.md

@@ -127,6 +127,7 @@ A compiled job is *coherent* when it violates no rule of the following table. Th
 | `job_environment_incoherent` | a secret target that starts with `SHIPZONE_CI_`, or a step environment name that starts with it and is not `SHIPZONE_CI_MATRIX_JSON` or `SHIPZONE_CI_INPUTS_JSON` (OCI Container Profile) |
 | `job_environment_incoherent` | an `oci` or `vm` step whose environment lacks `SHIPZONE_CI_MATRIX_JSON` or `SHIPZONE_CI_INPUTS_JSON`, or whose value of one of them is not the RFC 8785 serialization of a JSON object (OCI Container Profile) |
 | `job_environment_incoherent` | an `oci` or `vm` step whose environment names, the job's secret targets, and, in a job with `npmRead`, `NPM_CONFIG_USERCONFIG` are not unique or number more than 128 (OCI Container Profile, Protocol Limits) |
+| `job_command_limit_exceeded` | a step command argument of more than 16,384 UTF-8 bytes; `schemas/runner-job.schema.json` bounds an argument only to 16,384 characters (Protocol Limits) |
 | `job_command_limit_exceeded` | a step command whose arguments total more than 131,072 UTF-8 bytes (Protocol Limits) |
 | `job_secret_inadmissible` | a value of `secrets` shorter than 8 UTF-8 bytes (Secret Redaction) |
 | `job_digest_mismatch` | a `compiledPlanDigest` other than the digest Canonical Digests defines for the job |

package/spec/runner.openapi.json

@@ -2,7 +2,7 @@
   "openapi": "3.1.0",
   "info": {
     "title": "ship.zone CI Runner Protocol",
-    "version": "2.1.0",
+    "version": "2.1.1",
     "description": "Language-neutral, outbound runner protocol of @ship.zone/ci-spec. info.version is the specification version this description is written against. This draft is incompatible with the legacy internal runner protocol it replaces.",
     "license": {
       "name": "MIT",

package/ts/00_commitinfo_data.ts

@@ -3,6 +3,6 @@
  */
 export const commitinfo = {
   name: '@ship.zone/ci-spec',
-  version: '2.1.0',
+  version: '2.1.1',
   description: 'The ship.zone CI standard: language-neutral CI workflow and runner protocol specifications.'
 }