@softize/opus 28.0.0 → 30.0.0

package/bin/lib/materialize.mjs

@@ -27,6 +27,7 @@ const REGISTRY = join(PACKAGE_ROOT, 'registry')
 const BLOCK_SOURCE = 'registry/instructions/opus.md'
 const BLOCK_END = '<!-- softize-managed:end @softize/opus -->'
 const MANAGED_ROOTS = ['.agents/skills', '.claude/skills', '.claude/hooks', '.github/workflows', '.githooks/pre-push.d']
+const CLAUDE_IMPORT = '@AGENTS.md'
 
 const normalizedLineEndings = (content) => content.replace(/\r\n?/gu, '\n')
 const hash = (content) => createHash('sha256').update(normalizedLineEndings(content)).digest('hex')
@@ -533,6 +534,103 @@ function reconcileInstructions(root, file, mode, errors, changes) {
   }
 }
 
+// Blocos gerenciados de qualquer pacote. Um marcador de início ilegível não identifica dono e
+// conta como texto do projeto. Mesmo critério da Base (@softize/base, ADR 0006).
+function managedBlocks(content) {
+  const blocks = []
+  let cursor = 0
+  for (const match of content.matchAll(/<!-- softize-managed:start (\{[^\n]+\}) -->/g)) {
+    let meta
+    try {
+      meta = JSON.parse(match[1])
+    } catch {
+      continue
+    }
+    if (typeof meta?.package !== 'string') continue
+    const openEnd = match.index + match[0].length
+    const endMarker = `<!-- softize-managed:end ${meta.package} -->`
+    const endAt = content.indexOf(endMarker, openEnd)
+    if (match.index < cursor || endAt === -1 || content.slice(openEnd, endAt).includes('softize-managed:start')) return null
+    const end = endAt + endMarker.length
+    blocks.push({ start: match.index, end, package: meta.package, text: content.slice(match.index, end) })
+    cursor = end
+  }
+  return blocks
+}
+
+// Texto do projeto fora dos blocos gerenciados e da linha de import, normalizado para comparar o
+// CLAUDE.md legado com o AGENTS.md sem depender de fim de linha ou de linhas em branco.
+function freeInstructions(content, blocks) {
+  let rest = ''
+  let cursor = 0
+  for (const block of blocks) {
+    rest += content.slice(cursor, block.start)
+    cursor = block.end
+  }
+  rest += content.slice(cursor)
+  return normalizedLineEndings(rest)
+    .split('\n')
+    .map((line) => line.trimEnd())
+    .filter((line) => line !== CLAUDE_IMPORT)
+    .join('\n')
+    .replace(/\n{3,}/gu, '\n\n')
+    .trim()
+}
+
+// O CLAUDE.md só importa o AGENTS.md, que concentra as instruções para qualquer agente. O Opus
+// remove dele apenas o próprio bloco; blocos de outros pacotes continuam depois do import até que
+// o pacote dono os remova, para que versões antigas e novas convivam sem reescrever o arquivo uma
+// da outra. Texto do projeto que só existe no CLAUDE.md é preservado e reprovado.
+function reconcileClaudeImport(root, mode, errors, changes) {
+  const destination = 'CLAUDE.md'
+  const pending =
+    `${destination}: deve conter a linha ${CLAUDE_IMPORT}, que importa o AGENTS.md, seguida apenas dos ` +
+    'blocos de outros pacotes, quando houver; rode opus setup.'
+  const currentFile = readMaterializedFile(root, destination, errors)
+  if (currentFile === null) return
+  const current = currentFile.exists ? currentFile.content : ''
+  const own = findBlock(current)
+  const blocks = managedBlocks(current)
+  if (own?.malformed || blocks === null) {
+    errors.push(`${destination}: bloco gerenciado malformado.`)
+    return
+  }
+  if (own !== null && (own.owner?.package !== PACKAGE_NAME || hash(own.body) !== own.owner.sha256)) {
+    errors.push(`${destination}: bloco Opus foi editado ou perdeu sua identificação de origem; preservado.`)
+    return
+  }
+
+  const free = freeInstructions(current, blocks)
+  if (free !== '') {
+    const agentsFile = readMaterializedFile(root, 'AGENTS.md', errors)
+    if (agentsFile === null) return
+    const agents = agentsFile.exists ? agentsFile.content : ''
+    if (free !== freeInstructions(agents, managedBlocks(agents) ?? [])) {
+      errors.push(
+        `${destination}: tem instruções que não estão no AGENTS.md; preservado. O CLAUDE.md passa a conter só ` +
+          `${CLAUDE_IMPORT}, então mova essas instruções para o AGENTS.md e rode opus setup.`,
+      )
+      return
+    }
+  }
+
+  const foreign = blocks.filter((block) => block.package !== PACKAGE_NAME).map((block) => normalizedLineEndings(block.text))
+  const expected = `${[CLAUDE_IMPORT, ...foreign].join('\n\n')}\n`
+  if (currentFile.exists && managedTextEquivalent(current, expected)) return
+  if (mode === 'check') errors.push(pending)
+  else if (
+    replaceMaterializedFile(
+      root,
+      destination,
+      currentFile.exists ? withProjectLineEndings(expected, current) : expected,
+      currentFile,
+      errors,
+    )
+  ) {
+    changes.push(`${currentFile.exists ? 'atualizado' : 'criado'} ${destination} como import do AGENTS.md`)
+  }
+}
+
 function isOpusHook(hook) { return typeof hook?.command === 'string' && hook.command.includes('.claude/hooks/opus-check-on-stop.mjs') }
 
 function isPlainObject(value) {
@@ -792,7 +890,7 @@ export function materializeOpus(root, mode = 'setup', options = {}) {
   removeObsolete(target, expected, mode, errors, changes)
   detectLegacyArtifacts(target, errors)
   reconcileInstructions(target, 'AGENTS.md', mode, errors, changes)
-  reconcileInstructions(target, 'CLAUDE.md', mode, errors, changes)
+  reconcileClaudeImport(target, mode, errors, changes)
   reconcileSettings(target, mode, errors, changes)
   configureGit(target, mode, errors, changes)
   return { ok: errors.length === 0, errors, changes, expected: [...expected.keys()] }

package/docs/adr/0028-schedules-run-actions-as-the-system-by-action-opt-in.md

@@ -45,7 +45,7 @@ HTTP sem usuário; o acesso do sistema é opt-in por action e negado por padrão
    `{ kind: 'schedule', scheduleName }` — ou `background` com essa provenance original. O helper
    `isSystemActor(ctx)`, exportado pelo core, responde se o ator é o sistema, para que um
    `authorize` possa aceitá-lo de forma explícita: `(ctx) => isSystemActor(ctx) ||
-   ctx.can('caixa:fechar')`. O helper não lê a provenance, que qualquer código servidor pode
+   ctx.can('ledger:close')`. O helper não lê a provenance, que qualquer código servidor pode
    preencher: ele consulta um registro interno dos contextos que o próprio runtime criou para o
    sistema. `requires` continua declarativo: o sistema não detém permissões, e o manifest mostra
    `automatable` ao lado de `permission`.

package/docs/adr/0037-design-data-lives-outside-the-contract.md

@@ -54,7 +54,7 @@ Forças em tensão:
    - uma action ligada a um handler real (`bindAction`) mantém esse handler, como hoje.
 3. **Cenários são registrados fora do contrato, pelo nome da action.** O plugin ganha a opção
    `scenarios`, com um ou mais globs. Os módulos casados exportam cenários criados por
-   `defineDesignScenario(contrato, resposta)`, e a resposta pode ser um valor ou uma função tipada
+   `defineDesignScenario(contract, response)`, e a resposta pode ser um valor ou uma função tipada
    pela entrada e pela saída do contrato. O cenário vence a resposta padrão. Um cenário para uma
    action inexistente é erro visível no preview, não um silêncio.
 4. **O Opus não decide onde os cenários ficam.** A opção não tem default dentro do código da

package/docs/adr/0045-surface-replaces-content-and-card.md

@@ -17,6 +17,9 @@
   `Surface`.
 - **Não altera:** `Page`, `Dialog`, `Drawer` e `Pane`, que mantêm famílias, slots e mídia próprios.
 
+A ADR 0063 substitui parcialmente esta decisão: `SurfaceMeta` passa a representar a faixa
+de metadados; o contador na linha do título passa a usar `SurfaceCount`.
+
 ## Contexto
 
 Quem monta uma tela precisa delimitar e nomear um trecho dela: uma seção da página, um grupo de

package/docs/adr/0061-claude-md-imports-agents-md.md

@@ -0,0 +1,41 @@
+# ADR 0061 — O `CLAUDE.md` importa o `AGENTS.md`
+
+- **Status:** aceita.
+- **Data:** 2026-10-15.
+- **Acompanha:** ADR 0006 do `@softize/base`, que define o mesmo formato.
+
+## Contexto
+
+O `opus setup` escrevia o bloco de instruções do Opus no `AGENTS.md`, lido pelo Codex, e no
+`CLAUDE.md`, lido pelo Claude. A Base fazia o mesmo com o bloco dela. Fora dos blocos, cada projeto
+mantinha à mão as próprias regras nos dois arquivos, e as duas cópias divergiam: na GrandBrasil,
+quatro convenções existiram só no `AGENTS.md` por doze dias, e as sessões do Claude trabalharam sem
+elas.
+
+A documentação do Claude Code recomenda, para quem usa as duas ferramentas, um `CLAUDE.md` com a
+linha `@AGENTS.md`. A Base adotou esse formato na ADR 0006. Como o `CLAUDE.md` recebe blocos dos
+dois pacotes, e cada projeto adota as versões deles em momentos diferentes, o Opus precisa seguir
+a mesma regra para que um `setup` não desfaça o do outro.
+
+## Decisão
+
+O `AGENTS.md` é o único arquivo com instruções. O `opus setup` mantém nele o bloco do Opus e grava
+o `CLAUDE.md` como a linha `@AGENTS.md`, sem marcador.
+
+Ao reconciliar o `CLAUDE.md`, o Opus remove só o próprio bloco, quando íntegro. Blocos de outros
+pacotes ficam depois da linha do import, separados por uma linha em branco, até que o pacote dono
+os remova. O texto do projeto fora dos blocos e do import é comparado com o do `AGENTS.md`, com fim
+de linha, espaços no fim das linhas e linhas em branco seguidas normalizados: se for igual, é
+cópia e sai; se for diferente, `setup` e `opus check` preservam o arquivo e pedem para mover as
+instruções para o `AGENTS.md`. Os critérios de bloco, de linha do import e de normalização são os
+da Base, e as mensagens seguem as dela, trocando o comando por `opus setup`.
+
+## Consequências
+
+- Projeto com instruções só no `CLAUDE.md` precisa movê-las para o `AGENTS.md` antes de o `setup`
+  concluir. Por isso a mudança sai numa versão major.
+- Enquanto um projeto usa uma Base anterior à ADR 0006, o `CLAUDE.md` fica com o import e o bloco
+  da Base. O conteúdo da Base aparece duas vezes para o Claude, pelo import e pelo bloco, até a
+  adoção da Base nova; o arquivo não oscila entre os dois `setup`.
+- Um bloco do Opus editado à mão ou um bloco gerenciado malformado no `CLAUDE.md` são preservados e
+  reprovados, como antes.

package/docs/adr/0062-listas-contidas-e-texto-flexivel.md

@@ -0,0 +1,68 @@
+# ADR 0062 — Listas contidas e texto flexível
+
+Data: 2026-10-15
+Status: Aceita
+
+## Contexto
+
+Descrições sem quebra faziam uma tabela de Habilidades ocupar 92,21rem dentro de
+63,13rem disponíveis. A coluna implícita do grid de resultados do ActionList
+crescia pelo conteúdo; o contêiner da tabela crescia junto e não oferecia sua
+rolagem horizontal. A largura mínima da página não limita a largura dos filhos.
+
+## Decisão
+
+Table contém sua largura e quebra texto entre palavras por padrão. `overflow-wrap:
+break-word` preserva a largura intrínseca das palavras, evitando que uma descrição
+comprida faça uma coluna como “Inativo” quebrar no meio. Identificadores sem espaços
+podem exigir rolagem interna; `wrap-anywhere` fica disponível como opção explícita.
+Classes explícitas continuam permitindo
+células sem quebra. ActionList limita sua coluna de resultados ao espaço
+recebido e permite encolhimento ao longo da cadeia de flex/grid.
+
+`fit` preserva valores compactos sem quebra, como números e datas. O cabeçalho
+de uma coluna declarada pode quebrar entre palavras. Textos flexíveis recebem o
+restante do espaço. Não há redução de tipografia nem ocultação automática de colunas.
+
+A barra de filtros pode ocupar mais de uma linha, mantendo a ordem dos controles.
+Uma tabela que ainda exceda a largura disponível rola dentro da lista: em flow,
+no contêiner da tabela; em fill, na região de resultados que também ancora o
+cabeçalho fixo. O rodapé e a toolbar não acompanham essa rolagem.
+
+## Alternativas e consequências
+
+Largura fixa e repartição igual sacrificariam espaço das colunas textuais mesmo
+quando controles curtos não precisam dele. Ocultar o excesso perderia dados e
+ações. Regras CSS no aplicativo duplicariam o comportamento do pacote.
+
+A quebra pode aumentar a altura das linhas. Consumidores com células compostas
+continuam responsáveis por permitir encolhimento dos filhos flex e por declarar
+larguras mínimas somente quando necessárias. Comparativos com colunas mínimas
+explícitas continuam usando rolagem horizontal.
+
+## Verificação
+
+Testes em Chromium medem contenção, textos longos, filtros, valores compactos e
+rolagem nos modos flow e fill, incluindo a posição do cabeçalho após rolar.
+Os testes estão em `tests/browser/action-list-width.test.tsx` e cobrem também
+palavras curtas ao lado de descrições longas e tokens sem espaços.
+
+## Revisão da distribuição entre colunas — 2026-10-15
+
+Na validação de Consumo, quatro colunas `fit` ficavam comprimidas enquanto a coluna
+textual recebia cerca de 70% da largura. A largura mínima forçada fazia o navegador
+quebrar títulos mesmo com espaço disponível. Retirar essa restrição reduziu a coluna
+textual para cerca de 38% e acomodou os cabeçalhos numa linha, no mesmo contêiner.
+
+Colunas de dados passam a participar da distribuição automática da tabela, considerando
+cabeçalhos e valores. `fit` continua preservando valores sem quebra, mas não impõe
+largura mínima artificial. Cabeçalhos podem quebrar quando o espaço realmente faltar.
+Seleção, ações de linha e células contendo apenas um switch continuam compactas.
+O switch pode ser filho direto ou estar envolvido pelo TooltipTrigger. A regra usa a
+estrutura do controle, sem depender do nome da coluna; células com conteúdo misto
+continuam participando da distribuição natural.
+
+Não se distribui largura igualmente nem se mede texto em JavaScript. O algoritmo
+nativo considera o conteúdo e o espaço recebido; a contenção e a rolagem descritas
+acima permanecem. Os testes de navegador cobrem várias colunas numéricas ao lado de
+texto, tanto com espaço suficiente quanto em contêiner estreito, em flow e fill.

package/docs/adr/0063-metadados-das-superficies.md

@@ -0,0 +1,44 @@
+# ADR 0063 — Metadados das superfícies em região própria
+
+- **Status:** aceita.
+- **Data:** 2026-10-15.
+- **Complementa:** ADR 0060.
+- **Substitui parcialmente:** ADR 0045 quanto à posição e função de SurfaceMeta.
+
+## Contexto
+
+Badges, autoria e datas disputam espaço com o título ou usam o subheading como container.
+A descrição é orientação textual próxima ao heading; metadados precisam de espaçamento
+próprio e quebra de linha sem alterar o tamanho ou o significado do título.
+
+## Decisão
+
+PageMeta, DrawerMeta, DialogMeta e SurfaceMeta compõem uma faixa opcional após a linha
+que contém título, descrição e ações. Não são headings nem descrições acessíveis dos modais.
+As três primeiras famílias aceitam Meta em Intro ou Header compacto; Surface mantém
+Meta em SurfaceHeader, pois não possui Intro. Meta exige título na mesma composição.
+Dialog em modo de alerta não aceita Meta; informações necessárias à resposta pertencem ao corpo.
+
+O intervalo superior é de 0,75rem; itens usam 0,75rem na horizontal e 0,5rem entre linhas.
+A faixa permite quebra, conserva a tipografia dos badges e não insere separadores nem
+busca dados. Sem Meta não há espaço reservado. Uma composição aceita no máximo um Meta.
+As formas curtas de Page e Surface aceitam a prop meta. Fieldset preserva a legend
+restrita a título e mídia decorativa; seus metadados pertencem ao corpo.
+
+SurfaceCount preserva o contador ao lado do título e recebe count na forma curta.
+SurfaceMeta deixa de ocupar essa posição: consumidores de contadores explícitos migram
+para SurfaceCount. Consumidores de contexto editorial permanecem em SurfaceMeta.
+
+## Alternativas
+
+Usar Description conservaria a mistura de prosa e metadados. Colocar wrappers livres no
+Body repetiria espaçamento nos consumidores e afastaria o contexto da identidade. Manter
+SurfaceMeta como contador faria o mesmo nome expressar funções diferentes entre famílias.
+
+## Verificação
+
+Testes renderizados e checker cobrem posição, unicidade, pai permitido e título obrigatório.
+Contadores permanecem ao lado do título. Testes no navegador conferem intervalo e quebra
+nas famílias, incluindo headers compactos com ações. As evidências pertencem aos arquivos
+`tests/ui/surface-meta.test.tsx`, `tests/browser/surface-meta.test.tsx` e
+`tests/check/check.test.ts`. Publicação e adoção dependem de autorização de entrega.

package/docs/adr/README.md

@@ -14,3 +14,9 @@ estar documentado na superfície correspondente, sem exigir a reconstrução des
 - [ADR 0059 — Subheadings orientam sem carregar regras de negócio](0059-subheadings-orient-without-carrying-business-rules.md).
 
 - [ADR 0060 — Composição de superfícies com cabeçalho e intro](0060-surface-composition-separates-chrome-and-intro.md).
+
+- [ADR 0061 — O `CLAUDE.md` importa o `AGENTS.md`](0061-claude-md-imports-agents-md.md).
+
+- [ADR 0062 — Listas contidas e texto flexível](0062-listas-contidas-e-texto-flexivel.md).
+
+- [ADR 0063 — Metadados das superfícies em região própria](0063-metadados-das-superficies.md).

package/docs/code-style.md

@@ -48,8 +48,12 @@ dinâmica, importada sem fallback ou composta de forma opaca reprova a extraçã
 lacunas conhecidas visíveis em vez de produzir um inventário verde e incompleto.
 
 Transformações visuais não observáveis e exceções ficam explícitas em `base.json`, usando um
-seletor estável e revisável. `source`, `line` e `role` devem identificar exatamente uma entrada;
-`text` é um refinamento opcional. Mudanças que invalidam o seletor reprovam a extração. Metadata
+seletor estável e revisável. `source`, `role` e `text` selecionam o texto pelo conteúdo: a
+declaração vale para toda ocorrência desse texto com esse papel no arquivo e continua válida
+quando linhas entram ou saem acima dela. Um seletor que não encontra o texto reprova a extração,
+porque o texto mudou ou saiu do arquivo. O formato anterior, com `line` no lugar de `text` (ou
+junto dele), ainda é aceito e seleciona exatamente uma entrada naquela linha; `opus copy
+--reanchor` converte esses seletores para o formato por conteúdo. Metadata
 pode complementar a análise, mas nunca sobrescrever uma transformação já observada no JSX —
 `transform: "none"` não mascara `className="uppercase"`. O Opus valida o shape `COPYnnn`; a
 Base instalada é dona do catálogo, dos kinds aceitos e do fundamento de cada regra:
@@ -63,16 +67,16 @@ Base instalada é dona do catálogo, dos kinds aceitos e do fundamento de cada r
     "transforms": [
       {
         "source": "src/account.ts",
-        "line": 12,
         "role": "button",
+        "text": "Confirmar",
         "transform": "uppercase"
       }
     ],
     "exemptions": [
       {
         "source": "src/account.ts",
-        "line": 18,
         "role": "label",
+        "text": "ABC-123",
         "ruleId": "COPY001",
         "kind": "external-requirement",
         "reason": "Código regulatório exibido na grafia oficial.",
@@ -145,21 +149,56 @@ exigiria adivinhar espaços continuam reprovando.
 
 Quando o diagnóstico corresponde a dados reais da aplicação ou a uma mensagem interpolada,
 `copy.dynamic` permite classificar somente aquela superfície sem excluir o arquivo. Cada item
-seleciona exatamente um diagnóstico por `source`, `line` e `field`, registra `reason` e
-`reference` auditáveis e usa um destes contratos:
+seleciona o diagnóstico por `source`, `field` e `expression` — o trecho de código que o
+extrator não conseguiu resolver; a mensagem do `opus copy` traz os dois valores prontos para
+copiar —,
+registra `reason` e `reference` auditáveis e usa um destes contratos:
 
 - `runtime-data` reconhece nomes, contagens, status ou opções fornecidos em runtime. Nenhuma
   entrada editorial é fabricada;
 - `message-template` exige `role` e `text`. O texto-modelo entra no inventário e passa pela
   política da Base, mas não substitui nem altera o conteúdo renderizado.
 
-As declarações aparecem em `dynamicSurfaces` no inventário. Se o source mudar e o seletor não
-encontrar exatamente um diagnóstico, `opus copy` falha. Assim, a classificação permanece
+No trecho, espaços e quebras de linha viram um espaço só e a vírgula final antes de `)`, `]` ou
+`}` é ignorada, para a âncora sobreviver à reformatação; trechos com mais de 200 caracteres são
+cortados e terminam em `…`. A declaração vale para toda ocorrência do mesmo trecho no mesmo
+campo do arquivo e não depende da linha em que ele está.
+
+As declarações aparecem em `dynamicSurfaces` no inventário, com as linhas atuais de cada
+ocorrência. Se o código mudar e o seletor deixar de encontrar o trecho, `opus copy` falha e lista,
+numa execução, todas as declarações quebradas, cada uma com o arquivo, o campo e os trechos desse
+campo que ainda não têm declaração. Assim, a classificação permanece
 estreita e revisável, sem transformar metadata em uma exclusão silenciosa. O mecanismo aceita
 somente diagnósticos de conteúdo; incerteza estrutural, `className`, `style`, transformação ou
 modo de renderização continua bloqueante. Superfície vazia também não pode ser reclassificada
 como dado de runtime.
 
+Declarações escritas antes da versão 29.0.0 usam `line` no lugar de `expression` (ou de `text`,
+nas exceções e transformações) e quebram sempre que alguém edita o arquivo acima delas. Elas
+continuam aceitas, selecionam exatamente um alvo naquela linha e são aplicadas antes das
+declarações por conteúdo, para que uma declaração pontual não seja coberta por uma geral; o
+`opus copy` avisa quantas restam. Para convertê-las, rode `opus copy --reanchor`. O comando
+agrupa as declarações por arquivo e campo (em `copy.dynamic`) ou por arquivo, papel e texto
+(nas exceções e transformações), grava o `base.json` e regenera o inventário:
+
+- um grupo só é convertido quando tem exatamente uma declaração para cada alvo. Assim a âncora
+  por conteúdo cobre os mesmos alvos que as âncoras por linha cobriam. Se o mesmo texto aparece
+  mais vezes do que foi declarado, ou se há um diagnóstico do campo sem declaração, o grupo
+  continua por linha e aparece no relatório;
+- dentro do grupo, declarações e alvos são pareados em ordem de linha. Quando o arquivo mudou e
+  as âncoras quebraram, o comando lista cada declaração que mudou de linha para revisão no diff;
+- declarações idênticas que passariam a selecionar o mesmo conteúdo viram uma só;
+- duas declarações com motivos diferentes para o mesmo conteúdo continuam por linha, já
+  corrigida, porque um seletor por conteúdo cobriria as duas com um único motivo. Para
+  convertê-las, unifique o motivo ou mantenha a âncora por linha;
+- os seletores gravados precisam passar na extração do `opus copy`; o que não dá para ancorar com
+  segurança fica como está e aparece no relatório.
+
+O `--reanchor` não avalia a política de copy da Base. Depois dele, rode `opus copy --check` e
+`base copy check`. Na revisão de uma declaração por conteúdo, vale olhar `dynamicSurfaces[].lines`
+no diff do inventário: uma lista que cresce indica que um trecho genérico, como `title` ou
+`count`, passou a cobrir uma ocorrência nova, que pode ter outra origem.
+
 Um `opus copy --check` verde **não significa que toda a copy do produto foi coberta**. Ficam
 fora, deliberadamente:
 

package/docs/protocol.md

@@ -679,7 +679,7 @@ O acesso do sistema é **opt-in por action** e negado por padrão. Sem usuário,
 `isSystemActor(ctx)` responde se o ator é o sistema. Ele consulta um registro interno dos contextos que o runtime criou, e não a provenance. Como o sistema não detém permissões, um `authorize` que delega a `ctx.can` o aceita de forma explícita, numa closure — a DSL em string não expressa isso, e `ctx.provenance` não serve como teste de sistema, porque o chamador de `runtime.execute` pode preenchê-la:
 
 ```ts
-authorize: (ctx) => isSystemActor(ctx) || ctx.can('caixa:fechar')
+authorize: (ctx) => isSystemActor(ctx) || ctx.can('ledger:close')
 ```
 
 `requires` continua declarativo; o manifest projeta `automatable` ao lado de `permission`. O audit registra `actor: { id: null, type: 'system' }`. Ver ADR 0028.

package/docs/releasing.md

@@ -18,6 +18,13 @@ confere essa entrada só DEPOIS do bump, então esquecê-la aborta a release com
 alterado — e a tentativa seguinte para na guarda de árvore limpa. Para recuperar, desfaça o bump
 (`git checkout -- package.json`), escreva a entrada, commite e rode de novo.
 
+Uma entrada que já está na `origin/main` não muda mais: quem consome o pacote lê o changelog como
+guia de migração, e em 10/09/2026 uma formatação avulsa reescreveu entradas publicadas e mudou o
+sentido de uma delas. Para corrigir uma informação publicada, registre a correção numa entrada
+nova, na próxima versão. A entrada da versão em preparo, enquanto não chega à `main`, pode ser
+ajustada livremente. O pre-push (`.githooks/pre-push.d/01-changelog`) e o `pnpm release` reprovam
+a alteração de uma seção publicada; para conferir antes, rode `pnpm changelog:check` na raiz.
+
 Os comandos rodam em `packages/opus`; o `package.json` da raiz não tem `release`.
 
 ```bash

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@softize/opus",
-  "version": "28.0.0",
+  "version": "30.0.0",
   "description": "End-to-end action protocol for TypeScript. Single package with subpath exports (core + adapters).",
   "license": "MIT",
   "type": "module",

package/registry/instructions/opus.md

@@ -24,7 +24,9 @@ artefatos de agentes fica em `base.json`; cada app Opus mantém seu marcador `op
   e operá-los por `opus seed`; não criar comandos de seed paralelos nem reset implícito.
 - Regenerar o inventário com `opus copy` quando mudar copy em contrato ou componente Opus
   mapeado; o Opus classifica os papéis semânticos e a política universal de `@softize/base`
-  valida o conteúdo.
+  valida o conteúdo. O inventário também guarda o hash de todo arquivo JS/TS do escopo, mesmo sem
+  copy, como os scripts em `scripts/*.mjs`; alterar qualquer um deles também exige `opus copy`,
+  e o pre-push reprova o inventário desatualizado.
 - Rodar `opus check`, `opus copy --check` e os gates do projeto depois de alterar actions,
   bindings ou versão do SDK.
 - Quando a default branch tiver adotado uma versão diferente da worktree, reconciliar a

package/registry/skills/build-opus-ui/SKILL.md

@@ -65,7 +65,7 @@ existentes, mantendo navegação observável e componentes reutilizáveis sem la
     relativa do Tailwind. Reservar `px` a hairlines e compensações presas à geometria da borda,
     com justificativa e cobertura explícitas.
 11. Em uma página centrada em coleção, compor `Surface + ActionList`: título e criação ficam em
-    extremos opostos do `SurfaceHeader`; a criação usa botão textual `default`, sem ícone, com
+    extremos opostos do `SurfaceHeader`; a criação usa botão textual `sm`, sem ícone, com
     `Criar recurso`. Busca, filtros, atualização, estados e paginação permanecem no `ActionList`.
     Reservar `toolbarActions` a operações ligadas ao recorte atual.
 12. Evoluir um pattern compartilhado apenas quando a recorrência e o contrato estiverem claros.
@@ -89,10 +89,12 @@ existentes, mantendo navegação observável e componentes reutilizáveis sem la
 Rodar `opus check`, testes focados, typecheck e build da superfície. Se a interface alterou
 copy em contrato ou componente Opus mapeado, regenerar com `opus copy` e executar
 `base copy check`. Quando uma superfície mapeada recebe dados da aplicação, usar
-`copy.dynamic` com seletor exato, motivo e referência: `runtime-data` para valores sem autoria
-editorial; `message-template` com `role` e texto-modelo para mensagens interpoladas. Não excluir
+`copy.dynamic` com `field` e `expression` copiados do diagnóstico, motivo e referência:
+`runtime-data` para valores sem autoria editorial; `message-template` com `role` e
+texto-modelo para mensagens interpoladas. Não usar `line` em declaração nova. Não excluir
 o arquivo inteiro nem contornar o diagnóstico com `aria-label` paralelo. Revisar cada declaração
-dinâmica como fronteira de cobertura, mesmo com os gates verdes.
+dinâmica como fronteira de cobertura, mesmo com os gates verdes, inclusive quando
+`dynamicSurfaces[].lines` cresce no diff do inventário.
 Inspecionar visualmente a rota real e validar navegação por URL quando aplicável.
 
 ## Limites

package/registry/skills/build-opus-ui/references/evaluations.md

@@ -7,7 +7,7 @@
   outra em `PageShell` com navegação contextual acima de `Page > PageHeader + PageBody`, garantindo
   exatamente um `PageTitle` no header, e uma coleção nomeada com
   `Surface > SurfaceHeader + SurfaceBody > ActionList`. Provar que criação fica em
-  `SurfaceActions`, no extremo oposto ao título, como botão textual `default` sem ícone e com
+  `SurfaceActions`, no extremo oposto ao título, como botão textual `sm` sem ícone e com
   `Criar recurso`, enquanto uma operação dependente do recorte usa `toolbarActions`; incluir
   `ActionFilterBar` separado do renderer, `ItemGroup` para
   uma coleção secundária e um `ActionFormDialog`; provar teto padrão de `80rem`, hierarquia por
@@ -84,3 +84,12 @@ da label, duplicação entre hint/help e perda de `aria-describedby` quando apar
   IntroActions, nenhum header vazio na Page e transição de loading para conteúdo sem título duplicado.
 - Reprovar intro depois de texto, título simultâneo em header e intro, ações da superfície no título
   ou adaptação de Pane para que ele volte a possuir anatomia visual.
+
+## Metadados e contadores
+
+- Execução: compor um detalhe com título, descrição e badges em PageMeta, DrawerMeta e DialogMeta;
+  conferir a faixa separada em Header compacto e Intro. Em Surface, conferir que SurfaceCount
+  fica na linha do título e SurfaceMeta abaixo dela. Migrar um contador antigo e uma descrição
+  antiga sem alterar suas funções; provar a equivalência das formas curtas com `meta`.
+- Reprova: contador em SurfaceMeta, metadados em Description, dois Meta, Meta sem título,
+  Meta em fieldset ou DialogMeta em alerta.

package/registry/skills/build-opus-ui/references/ui-patterns.md

@@ -36,8 +36,8 @@
   recuperação como botão `outline` textual. Estados de seção ou coleção continuam em `DataState`,
   `ActionView`, `ActionList` ou `Alert`; não elevar uma falha parcial a estado da página.
 - `Surface` delimita uma região e segue a anatomia `Surface > SurfaceHeader (SurfaceMedia,
-SurfaceTitle, SurfaceDescription, SurfaceMeta, SurfaceActions) + SurfaceBody + SurfaceFooter`.
-  Os slots nunca ficam soltos. `title`, `description`, `count`, `media` e `actions` são a abreviação
+SurfaceTitle, SurfaceCount, SurfaceDescription, SurfaceMeta, SurfaceActions) + SurfaceBody + SurfaceFooter`.
+  Os slots nunca ficam soltos. `title`, `description`, `count`, `meta`, `media` e `actions` são a abreviação
   para o caso direto e não podem ser misturados ao header explícito. Em `level={1}`, ações da
   coleção ficam no extremo oposto ao título; a criação usa botão textual `sm`, sem ícone, com
   `Criar recurso`.
@@ -45,6 +45,14 @@ SurfaceTitle, SurfaceDescription, SurfaceMeta, SurfaceActions) + SurfaceBody + S
   hierarquia semântica do heading. `Surface framed` aceita `layout="sectioned"`; declare
   `SurfaceBody flush` quando o filho direto já possui recuo interno, como `DetailGroup` com
   divisores, lista ou tabela. `as="fieldset"` cria a `legend` nativa sem variante de moldura.
+- `PageMeta`, `DialogMeta` e `DrawerMeta` recebem badges, datas e autoria em faixa própria
+  após título, descrição e ações, dentro de Header compacto ou Intro da mesma família.
+  `SurfaceMeta` ocupa essa faixa em `SurfaceHeader`; `SurfaceCount` mantém o contador na linha
+  do título. Ao migrar, conferir manualmente os antigos `SurfaceMeta`: contadores passam a
+  `SurfaceCount`, frases de orientação a `SurfaceDescription`, e metadados permanecem em Meta.
+  Cada composição aceita um Meta e exige título. Page e Surface aceitam `meta` na forma curta;
+  fieldset e Dialog em `mode="alert"` não aceitam Meta. Informações necessárias à decisão
+  permanecem no corpo ou junto à ação correspondente.
 - Uma página centrada em coleção compõe `Surface + ActionList`. O `SurfaceHeader` recebe título e
   criação; o `ActionList` mantém busca, filtros, atualização, resultados, estados e paginação.
   `toolbarActions` fica reservado a operações que dependem do recorte atual.

package/registry/skills/maintain-opus-docs/SKILL.md

@@ -52,7 +52,8 @@ o código não sustenta.
 
 Executar `node scripts/audit-docs.mjs "$(git rev-parse --show-toplevel)"` a partir do diretório
 desta skill e, depois, os testes do renderer e do catálogo, typecheck, `opus check` e
-`opus copy --check`. Conferir
+`opus copy --check`. No repositório do Opus, o teste `tests/scripts/example-language.test.ts`
+reprova identificadores com palavra em português nos exemplos e nas fontes; rode-o também. Conferir
 que todos os previews renderizam, que cada API pública documentada possui sua própria referência,
 que nenhum arquivo publicado ficou órfão e que links e redirects chegam à página esperada. Fazer uma
 passada visual nas páginas alteradas e registrar qualquer limitação que o gate automático não cubra.

package/registry/skills/maintain-opus-docs/references/editorial-standard.md

@@ -40,6 +40,13 @@ genérica.
 - Depois do código, explicar somente efeitos que não sejam óbvios pela leitura: default aplicado,
   estado controlado, ação automática, limite ou consequência.
 - Usar preview para comportamento visual e bloco de código para integração sem palco executável.
+- Escrever o código dos exemplos em inglês, como o resto do código: variáveis, funções, campos,
+  nomes de action, domínios, eventos, schedules, permissões e caminhos de arquivo
+  (`ledgerCloseContract`, `ledger.close`, `ledger:close`, `design/scenarios/orders.ts`). Isso vale
+  também para o código em crase no meio da prosa. O texto que a pessoa vê — `label`, mensagens,
+  descrições, conteúdo JSX — e os comentários continuam em pt-BR. Um exemplo fictício não tem
+  vocabulário de domínio estabelecido, então a exceção de domínio das instruções do projeto não se
+  aplica a ele.
 
 ## Famílias e referência
 
@@ -74,6 +81,8 @@ Para cada título, parágrafo, item, exemplo e célula de tabela, verificar:
 8. O texto ao redor do exemplo explica intenção e comportamento, sem narrar cada linha do código?
 9. O título permite localizar a informação pela tarefa, inclusive por link direto?
 10. Pontuação, capitalização, concordância e paralelismo estão consistentes?
+11. Os identificadores do exemplo e do código em crase estão em inglês, e o texto exibido à pessoa,
+    em pt-BR?
 
 Ao terminar cada página, reler a sequência inteira. Linhas corretas isoladamente ainda podem formar
 uma página repetitiva, invertida ou sem progressão.

package/registry/skills/maintain-opus-docs/references/evaluations.md

@@ -1,3 +1,5 @@
+<!-- language-exempt-file: o caso de avaliação descreve de propósito um exemplo com identificadores em português. -->
+
 # Avaliações
 
 ## Deve disparar
@@ -32,3 +34,9 @@ Exigir inventário explícito, leitura linha por linha, correção na fonte can
 previews, typecheck, gates de copy e confirmação de que não restaram páginas órfãs. Reprovar se a
 execução se limitar às páginas mais longas, fizer apenas busca por padrões ou declarar cobertura
 total sem listar o universo revisado.
+
+Num exemplo de agendamento com `caixaFecharContract`, a action `caixa.fechar`, a permissão
+`caixa:fechar` e o rótulo `Fechar caixa`, pedir a revisão da página sem apontar o problema.
+Aprovar somente quando identificadores, action, domínio e permissão passarem para o inglês, o
+rótulo continuar em pt-BR e o gate de idioma passar. Reprovar se o rótulo for traduzido ou se a
+exceção de vocabulário de domínio for usada para manter o exemplo fictício em português.

package/registry/templates/app/pnpm-workspace.yaml

@@ -1,5 +1,5 @@
 # Permissão de build scripts (o pnpm bloqueia por default): o postinstall do
-# @softize/opus roda o `opus setup` (pin + bloco gerenciado do CLAUDE.md) a cada
+# @softize/opus roda o `opus setup` (pin + bloco gerenciado do AGENTS.md) a cada
 # install; o esbuild (vite) compila o binário nativo.
 allowBuilds:
   '@softize/opus': true

package/src/core/system-actor.ts

@@ -17,7 +17,7 @@ const systemContexts = new WeakSet<object>()
 /**
  * Diz se a action está executando como o sistema: disparada por um schedule, ou no job que ele
  * enfileirou, sem usuário. Use no `authorize` de uma action `automatable` para aceitar o sistema
- * de forma explícita: `authorize: (ctx) => isSystemActor(ctx) || ctx.can('caixa:fechar')`.
+ * de forma explícita: `authorize: (ctx) => isSystemActor(ctx) || ctx.can('ledger:close')`.
  * Passe o próprio `ctx` recebido: uma cópia, como `{ ...ctx }`, não é reconhecida.
  */
 export function isSystemActor(ctx: ActionContext): boolean {

package/src/core/types.ts

@@ -714,7 +714,7 @@ export interface ListColumnSpec {
   /** Header clicável (asc ↔ desc). Convenção: a UI escreve `sort: '<key>:<dir>'` no
    *  input; o handler implementa o orderBy. */
   sortable?: boolean
-  /** Coluna encolhe ao conteúdo (não expande). */
+  /** Preserva valores sem quebra; a largura considera também o cabeçalho e o espaço disponível. */
   fit?: boolean
   /** Nasce oculta (candidata ao column picker). */
   hidden?: boolean