@starci/hfs 4.0.7 → 4.0.9

package/runtime/modules/kernel/failure-codes.yaml

@@ -86,7 +86,7 @@ ARCH_KNOWLEDGE_UNAVAILABLE:
   meaning_vi: "Bộ kiểm kiến trúc cần một tệp tri thức đi kèm (danh sách tệp gốc do framework ghim) nhưng không đọc được hoặc sai khuôn, nên không phán xét bằng hợp đồng khác."
   causes_vi:
     - "Bản đóng gói của `hfs` thiếu hoặc hỏng tệp tri thức, hoặc tệp tri thức trong runtime bị sửa sai khuôn."
-  nextStep_vi: "Cài lại `@starci/hfs` đúng phiên bản đã ghim; nếu là runtime thì sửa tệp tri thức rồi chạy `node packages/hfs/scripts/sync-runtime.mjs`."
+  nextStep_vi: "Cài lại `@starci/hfs` đúng phiên bản đã ghim; nếu là runtime thì sửa tệp tri thức rồi chạy `starci release sync-runtime`."
   owner: runtime-core
   kind: check-finding
 
@@ -198,7 +198,7 @@ ARCH_TYPESCRIPT_INVALID:
   meaning_vi: "Gói `typescript` trong kho được kiểm không cung cấp API trình biên dịch mà bộ kiểm kiến trúc cần."
   causes_vi:
     - "Gói `typescript` bị cài hỏng hoặc bị thay bằng gói khác cùng tên."
-  nextStep_vi: "Cài lại `typescript` đúng phiên bản đã ghim trong `knowledge/hfs/canon-pins.yaml` rồi chạy lại `hfs check`."
+  nextStep_vi: "Cài lại `typescript` đúng phiên bản đã ghim trong `knowledge/hfs/canon-pins.yaml` rồi chạy lại `starci app check`."
   owner: op-retry
   kind: check-finding
 
@@ -207,8 +207,8 @@ ARCH_TYPESCRIPT_MISSING:
   title_vi: "Kho được kiểm chưa cài TypeScript"
   meaning_vi: "Bộ kiểm kiến trúc chỉ dùng TypeScript cài trong chính kho được kiểm, không thay bằng bộ phân tích khác, nên không kiểm được."
   causes_vi:
-    - "Kho thiếu `package.json` hoặc chưa chạy `npm ci` nên `node_modules/typescript` không có."
-  nextStep_vi: "Chạy `npm ci` trong kho rồi chạy lại `hfs check`."
+    - "Kho thiếu `package.json` hoặc chưa chạy `starci npm ci` nên `node_modules/typescript` không có."
+  nextStep_vi: "Chạy `starci npm ci` trong kho rồi chạy lại `starci app check`."
   owner: op-retry
   kind: check-finding
 
@@ -252,6 +252,16 @@ BE_APP_COMPOSITION_ONLY:
   owner: op-retry
   kind: check-finding
 
+BE_ASYNC_SPEC_MISSING:
+  title: "Every message consumer and saga has an e2e spec"
+  title_vi: "Consumer hoặc saga chưa có spec e2e"
+  meaning_vi: "Một sự kiện mà ứng dụng tiêu thụ (mục trong `consumes.ts`) không được spec e2e nào gọi `useTestWorld` nêu tên, hoặc (với bước saga, hợp đồng khai báo `compensates`) spec không nêu cả sự kiện được bù trừ."
+  causes_vi:
+    - "Vi phạm luật R167: luồng bất đồng bộ và luồng bù trừ (saga) được chứng minh qua world: phát sự kiện, đọc lại trạng thái đã lưu, thử giao lại; với bước saga, spec chạy cả luồng (bước đầu, lỗi, rồi trạng thái đã bù trừ)."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: viết spec e2e `be/src/tests/e2e/<area>/<tên>.e2e-spec.ts` khởi động world, phát sự kiện thật và đọc kết quả (với bước saga: nêu cả sự kiện được bù trừ và đọc trạng thái đã bù trừ)."
+  owner: op-retry
+  kind: check-finding
+
 BE_BACKGROUND_UNOWNED:
   title: "Every sweep, outbox or retry has a job or consumer run by a worker app"
   title_vi: "Việc nền không có ai chạy"
@@ -262,19 +272,88 @@ BE_BACKGROUND_UNOWNED:
   owner: op-retry
   kind: check-finding
 
+BE_CLI_REQUIRED:
+  title: "The back end has no cli app, or no cli image"
+  title_vi: "Back end thiếu app cli hoặc image của nó"
+  meaning_vi: "Mọi hành động chạy một lần của back end (migrate, seed, sync, backup, lệnh vận hành) nằm trong MỘT app `be/apps/cli` (kind cli, tên cli) chạy trên nest-commander. Back end có connection (migration chạy bằng `cli migrate run`) hoặc có lệnh dưới `src/features/cli/` thì phải khai báo đúng app đó và có `be/apps/cli/Dockerfile`."
+  causes_vi:
+    - "Vi phạm luật R147: không có app cli thì migration và các hành động một lần không có chỗ chạy chuẩn; thiếu Dockerfile thì không có image `cli` để chạy `cli <group> <command>`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: khai báo { \"name\": \"cli\", \"kind\": \"cli\" } trong `sides.be.apps` của `hfs.json`, dựng `be/apps/cli` với `CommandFactory.run` và thêm `be/apps/cli/Dockerfile`; đổi tên app cli khác thành `cli`."
+  owner: op-retry
+  kind: check-finding
+
 BE_CONNECTION_DUPLICATE:
   title: "One database reached through more than one connection or injector"
   title_vi: "Một cơ sở dữ liệu có hơn một kết nối hoặc injector"
-  meaning_vi: "Mỗi cơ sở dữ liệu vật lý chỉ có một kết nối và một injector Inject<Conn>EntityManager() khai báo một lần trong platform/database. Bộ kiểm tra thấy một injector thứ hai (ví dụ InjectCollabEntityManager bên cạnh InjectAgentOsEntityManager), một tên kết nối thứ hai trỏ vào cùng cơ sở dữ liệu, một lời gọi InjectEntityManager/getEntityManagerToken/InjectDataSource ngoài <conn>.decorators.ts, hoặc hfs.json, tệp kết nối và injector không khớp một-một."
+  meaning_vi: "Mỗi cơ sở dữ liệu vật lý chỉ có một kết nối và một injector Inject<Conn>EntityManager() khai báo một lần trong platform/database. Bộ kiểm tra thấy một injector thứ hai (ví dụ InjectCollabEntityManager bên cạnh InjectAgentOsEntityManager), một tên kết nối thứ hai trỏ vào cùng cơ sở dữ liệu, một lời gọi InjectEntityManager/getEntityManagerToken/InjectDataSource ngoài <conn>.decorators.ts, hoặc hfs.json, tệp kết nối và injector không khớp một-một. Một ngữ cảnh có thể là một schema riêng trong cơ sở dữ liệu dùng chung (isolation: schema): khi đó cấu hình phải đọc <PREFIX>_SCHEMA và hai ngữ cảnh chỉ được chung một cơ sở dữ liệu nếu schema khác nhau; ngữ cảnh isolation database không chung cơ sở dữ liệu với ai."
   causes_vi:
     - "Một tính năng tự tạo injector hoặc kết nối riêng cho cùng cơ sở dữ liệu"
     - "Hai tệp cùng export một tên injector nhưng trỏ tới hai kết nối"
     - "Kết nối mới chưa được khai báo trong hfs.json connections"
     - "Cấu hình kết nối đọc biến môi trường của kết nối khác"
+    - "Hai ngữ cảnh isolation: schema cùng trỏ tới một schema (hoặc cấu hình không đọc <PREFIX>_SCHEMA)"
   nextStep_vi: "Giữ đúng một <conn>.connection.ts, <conn>.config.ts và <conn>.decorators.ts cho mỗi mục hfs.json connections trong src/modules/platform/database/, xóa injector hoặc kết nối thừa cùng mọi tham chiếu và đổi nơi dùng sang injector duy nhất. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
   owner: op-retry
   kind: check-finding
 
+BE_CONTEXT_COUPLING:
+  title: "Contexts are coupled by a relation, a foreign key or an import"
+  title_vi: "Các ngữ cảnh bị ghép với nhau bằng quan hệ, khóa ngoại hoặc import"
+  meaning_vi: "Các ngữ cảnh giới hạn chỉ liên lạc bằng sự kiện. Bộ kiểm tra thấy một quan hệ entity (OneToOne, OneToMany, ManyToOne, ManyToMany) trỏ sang entity của ngữ cảnh khác, một khóa ngoại (REFERENCES) trong migration trỏ sang bảng của ngữ cảnh khác, hoặc tệp của năng lực domain/projection import tệp của năng lực thuộc ngữ cảnh khác (entity, service hoặc SQL)."
+  causes_vi:
+    - "@ManyToOne(() => UserEntity) từ entity của order sang entity của identity"
+    - "Migration tạo FOREIGN KEY ... REFERENCES users trên bảng của ngữ cảnh khác"
+    - "Service của order import service của identity để lấy dữ liệu người dùng"
+  nextStep_vi: "Giữ id của ngữ cảnh kia như một cột thường, không quan hệ và không khóa ngoại; dữ liệu cần dùng thì giữ bản sao cục bộ do reactor cập nhật từ sự kiện của ngữ cảnh đó, hoặc đọc một projection trong modules/projections/<tên>. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_CONTEXT_OWNER:
+  title: "An app composes a context it does not own"
+  title_vi: "Một app lắp ghép ngữ cảnh không thuộc về nó"
+  meaning_vi: "Mỗi mục hfs.json connections là một ngữ cảnh giới hạn (bounded context) và có đúng một app chủ (owner). Bộ kiểm tra thấy một app api hoặc worker đăng ký kết nối của app khác trong module cơ sở dữ liệu, import năng lực thuộc ngữ cảnh của app khác, hoặc app migrate/cli không đăng ký đủ mọi kết nối (migration chỉ chạy qua cli migrate, mỗi kết nối một lần)."
+  causes_vi:
+    - "App order đăng ký thêm kết nối identity để đọc trực tiếp dữ liệu của identity"
+    - "App order import năng lực domain/identity thay vì gọi API hoặc nghe sự kiện của identity"
+    - "Thêm kết nối mới vào hfs.json nhưng app migrate/cli chưa đăng ký nó"
+  nextStep_vi: "Chỉ đăng ký các kết nối mà app là owner; dữ liệu của ngữ cảnh khác lấy qua API công khai của app chủ hoặc qua sự kiện (bản sao cục bộ, projection). Với app migrate/cli, đăng ký đủ mọi kết nối đã khai báo. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_CONTEXT_PLATFORM_TABLES:
+  title: "A per-connection platform capability has no tables on a connection that uses it"
+  title_vi: "Năng lực nền tảng theo kết nối chưa có bảng trên kết nối đang dùng nó"
+  meaning_vi: "Outbox/inbox của event bus và bảng job tồn tại trên mỗi kết nối dùng chúng (manifest liệt kê chúng trong perConnection của slot be.persistence). Bộ kiểm tra thấy một lời gọi truyền EntityManager của kết nối C vào năng lực đó, nhưng mảng entity và migration của năng lực chưa được đăng ký trên C, nên dòng ghi ra không có bảng trong cơ sở dữ liệu của ngữ cảnh đó."
+  causes_vi:
+    - "Thêm ngữ cảnh mới phát sự kiện nhưng quên đăng ký entity/migration của event-bus trên kết nối của nó"
+    - "Handler gọi eventBus.publish(event, manager) với manager của kết nối chưa có bảng outbox"
+  nextStep_vi: "Đăng ký entity và migration của năng lực nền tảng đó trên kết nối của ngữ cảnh (app chủ và cli migrate), để mỗi cơ sở dữ liệu có bảng riêng của nó trong cùng giao dịch với thay đổi nghiệp vụ. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_CONTEXT_TRANSACTION:
+  title: "One transaction spans more than one context"
+  title_vi: "Một giao dịch trải qua nhiều hơn một ngữ cảnh"
+  meaning_vi: "Một giao dịch chỉ được chạm kết nối của một ngữ cảnh. Bên trong callback của transaction trên EntityManager của kết nối C, bộ kiểm tra thấy dùng EntityManager của kết nối khác (nhận ra qua injector Inject<Conn>EntityManager) hoặc gọi một service của năng lực thuộc ngữ cảnh khác (service đó ghi bằng kết nối riêng của nó nên không thể cùng một giao dịch)."
+  causes_vi:
+    - "Trong giao dịch của order gọi identityService.update(...)"
+    - "Giao dịch trên kết nối order dùng this.billingManager để ghi bảng của billing"
+  nextStep_vi: "Chia thành một giao dịch cho mỗi ngữ cảnh, nối với nhau bằng sự kiện qua event bus (saga có bù trừ cho từng bước); đừng cố gom nhiều ngữ cảnh vào một commit. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_CONTRACT_BREAKING:
+  title: "An event contract changed in a breaking way"
+  title_vi: "Hợp đồng sự kiện bị đổi theo cách phá vỡ tương thích"
+  meaning_vi: "Hợp đồng sự kiện be/contracts/<service>/events.json chỉ được phát triển theo hướng cộng thêm so với bản đã ghim events.pin.json (bản đã công bố trước đó). Bộ kiểm tra thấy một sự kiện bị xóa, đổi stream hoặc version, một trường payload bị xóa, đổi kiểu hoặc đổi tính tùy chọn, hoặc một trường mới ở dạng bắt buộc (sự kiện đang nằm trên đường truyền không mang trường đó)."
+  causes_vi:
+    - "Xóa hoặc đổi tên trường payload của order.placed"
+    - "Đổi kiểu totalCents từ number sang string"
+    - "Thêm trường bắt buộc mới vào sự kiện đã công bố"
+  nextStep_vi: "Giữ nguyên sự kiện cũ và thêm sự kiện mới <tên>.v2 với hình dạng mới (consumer chuyển dần rồi mới bỏ bản cũ); chỉ thêm trường mới ở dạng tùy chọn (field?). Khi công bố hợp đồng mới, chép events.json đè lên events.pin.json. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 BE_CONTRACT_UNGUARDED:
   title: "A fake serves payload fixtures that no sandbox contract spec compares with the real provider"
   title_vi: "Fixture của fake chưa có contract spec bảo vệ"
@@ -306,7 +385,7 @@ BE_ENTRYPOINT_ONLY_IN_APPS:
   title_vi: "Entrypoint nằm ngoài apps"
   meaning_vi: "`<file>` là một entrypoint tiến trình nằm ngoài `apps/`."
   causes_vi:
-    - "Vi phạm luật R33: Không `main.ts`/`bootstrap()`/top-level `void x()` ngoài `apps/*/src`; migrate là `apps/migrate`."
+    - "Vi phạm luật R33: Không `main.ts`/`bootstrap()`/top-level `void x()` ngoài `apps/*/src`; migrate là lệnh `cli migrate run` của `apps/cli`."
     - "NestFactory.create* hoặc lời gọi bootstrap() cấp cao nhất nằm ngoài apps/<app>/src/main.ts"
     - "Chỉ `src/tests/world/` (gốc ghép của test, slot be.tests.world) được gọi NestFactory ngoài main.ts; một spec (integration, contract, e2e) không được ghép: nó chỉ gọi useTestWorld(...)."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
@@ -340,6 +419,17 @@ BE_ERROR_MASKED:
   owner: op-retry
   kind: check-finding
 
+BE_EVENT_CLASS_CONTRACT:
+  title: "A typed event class and its vendored contract agree"
+  title_vi: "Lớp sự kiện và hợp đồng sự kiện đã vendor không khớp"
+  meaning_vi: "Một lớp sự kiện dưới `be/src/modules/events/<service>/` không khai báo đúng một lớp với `eventName` và `version` là literal, không đặt tên tệp theo sự kiện của nó, không có mục tương ứng (cùng tên và phiên bản) trong `be/contracts/<service>/events.json`, hoặc một mục của hợp đồng không có lớp."
+  causes_vi:
+    - "Vi phạm luật R151: sự kiện là hợp đồng giữa các context và dịch vụ; lớp có kiểu và tệp hợp đồng phải là cùng một sự thật, nếu không bên nhận đọc một sự kiện mà bên phát không còn phát (hoặc ngược lại)."
+    - "Bên phát đổi tên hoặc phiên bản của lớp nhưng chưa chạy `starci app emit`, hoặc thêm mục hợp đồng bằng tay."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: sửa lớp (một lớp, eventName và version là literal, tên tệp theo sự kiện) rồi chạy `starci app emit` để hợp đồng khớp; không sửa tay `events.json`."
+  owner: op-retry
+  kind: check-finding
+
 BE_FEATURE_IMPORTS_FEATURE:
   title: "A feature never imports a feature"
   title_vi: "Feature import feature khác"
@@ -394,6 +484,39 @@ BE_INTEGRATION_SPEC_MISSING:
   owner: op-retry
   kind: check-finding
 
+BE_KIND_DECLARATION:
+  title: "The trigger kinds in use are declared, whole and never unused"
+  title_vi: "Loại kích hoạt đang dùng chưa khai báo đủ trong hfs.json"
+  meaning_vi: "`sides.be.kinds` của hfs.json không khớp với các loại feature đang có: thiếu một loại đang dùng, khai báo một loại không có feature nào, thiếu pattern mà loại đó cần, hoặc thiếu platform capability của pattern đó."
+  causes_vi:
+    - "Vi phạm luật R179: mỗi loại chỉ được sinh ra khi dùng đến (không có boilerplate rỗng), và loại nào đang dùng thì hạ tầng platform của nó phải có (jobs cần platform/jobs và platform/queue, reactors cần platform/event-bus)."
+    - "Feature được tạo tay thay vì bằng `starci app add`, hoặc loại cuối cùng đã bị xoá mà khai báo vẫn còn."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: dùng `starci app add <loại> <tên>` để tạo thành viên đầu tiên cùng platform capability và khai báo, hoặc xoá khai báo của loại không còn dùng khỏi `sides.be.kinds`."
+  owner: op-retry
+  kind: check-finding
+
+BE_KIND_EMPTY:
+  title: "A kind folder has members and every member has code"
+  title_vi: "Thư mục loại feature rỗng hoặc thành viên không có mã"
+  meaning_vi: "Một tệp nằm trực tiếp trong `be/src/features/<loại>/` (ví dụ `.gitkeep` hay một feature trùng tên loại), hoặc một thư mục thành viên `<loại>/<tên>/` không có tệp TypeScript nào."
+  causes_vi:
+    - "Vi phạm luật R180: loại feature chỉ tồn tại khi có thành viên; thư mục loại rỗng là boilerplate mà `starci app add` không bao giờ sinh ra, và tên loại là tên dành riêng nên không dùng cho feature api."
+    - "Tạo sẵn thư mục cho loại chưa dùng hoặc đổi tên feature api thành tên một loại."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: xoá thư mục rỗng, đổi tên feature trùng tên loại, hoặc tạo thành viên bằng `starci app add`."
+  owner: op-retry
+  kind: check-finding
+
+BE_KIND_ISOLATION:
+  title: "No feature kind imports another kind"
+  title_vi: "Một loại feature import trực tiếp loại feature khác"
+  meaning_vi: "Một feature thuộc một loại kích hoạt (api, webhooks, realtime, saga, reactors, jobs hoặc cli) import một feature thuộc loại khác (kể cả import chỉ-kiểu), nên hai loại dính vào nhau thay vì gặp nhau qua event bus."
+  causes_vi:
+    - "Vi phạm luật R156: mỗi loại feature chỉ import xuống `modules/*`, chỉ `be/apps/*` mới ghép các feature; mọi lời gọi giữa các loại (api sang saga hoặc jobs, saga sang jobs, jobs sang saga, cli sang jobs) đi qua event bus để vẫn bền khi một bên chết."
+    - "Một handler hoặc step được gọi trực tiếp từ loại khác để tiện, thay vì phát sự kiện từ domain service rồi để loại kia consume."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: bỏ import giữa các loại; để domain service phát sự kiện bằng `eventBus.publish(event, tx)` trong transaction của nó, và loại kia consume sự kiện đó; phần dùng chung đưa xuống `modules/*`."
+  owner: op-retry
+  kind: check-finding
+
 BE_MODULE_HANDLER_REGISTRATION:
   title: "Handler not registered exactly once"
   title_vi: "Handler chưa đăng ký đúng một lần"
@@ -434,6 +557,16 @@ BE_MODULE_SHAPE:
   owner: op-retry
   kind: check-finding
 
+BE_PATTERN_SPEC_MISSING:
+  title: "A declared pattern has its proof scenarios on the test world"
+  title_vi: "Pattern đã khai báo thiếu kịch bản chứng minh trên test world"
+  meaning_vi: "hfs.json khai báo một pattern (event-bus, queue, ...) nhưng không có spec e2e hoặc integration nào có test mang tiêu đề `<pattern>/<kịch bản>: ...` cho một kịch bản bắt buộc của pattern đó."
+  causes_vi:
+    - "Vi phạm luật R155: phân tích tĩnh chỉ chứng minh hình dạng; hành vi (giao lại rồi vào dead letter, fencing token từ chối worker cũ, outbox chỉ phát sau commit) chỉ được chứng minh bằng kịch bản chạy thật trên test world."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: viết spec e2e hoặc integration có test tiêu đề `<pattern>/<kịch bản>: ...` chạy trên `useTestWorld` cho từng kịch bản còn thiếu."
+  owner: op-retry
+  kind: check-finding
+
 BE_PUBLIC_CONTRACT_FORM:
   title: "Public contract form invalid"
   title_vi: "Dạng hợp đồng công khai sai"
@@ -470,14 +603,53 @@ BE_READONLY_BOUNDARY:
   owner: op-retry
   kind: check-finding
 
-BE_REQUIRED_MODULE_MISSING:
-  title: "Required backend module, app or feature file is missing"
-  title_vi: "Thiếu tệp hoặc thư mục bắt buộc của một phần backend"
-  meaning_vi: "Bảng kê HFS bắt buộc mỗi ứng dụng, tính năng, module miền, tích hợp và module nền tảng (cấu hình, ghi nhật ký, lỗi, kiểu nguyên thuỷ) phải có một số tệp hoặc thư mục cố định, ví dụ index.ts, tệp .module.ts hay thư mục application/. Ở đây một mục như vậy không tồn tại, nên phần đó chưa đúng khuôn và các bộ kiểm tra khác không thể tin vào nó."
+BE_SAGA_CONSUMER_DEDUPE:
+  title: "A saga consumer passes the delivery id on"
+  title_vi: "Consumer của saga không chuyển id lần giao đi tiếp"
+  meaning_vi: "Một `transport/message/<event>.consumer.ts` của feature có saga không đọc `message.eventId` để đưa vào lệnh nó gửi."
+  causes_vi:
+    - "Vi phạm luật R172: saga nhận mọi sự kiện qua inbox (R80), nên consumer phải chuyển khoá chống trùng (id lần giao) cho lệnh."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đưa `message.eventId` vào yêu cầu của lệnh để saga claim qua inbox."
+  owner: op-retry
+  kind: check-finding
+
+BE_SAGA_E2E_MISSING:
+  title: "Every compensation path has an e2e spec that injects a failure"
+  title_vi: "Đường bù trừ của saga chưa có spec e2e chèn lỗi"
+  meaning_vi: "Một bù trừ của saga không có spec e2e (qua `useTestWorld`) nêu tên sự kiện của nó, hoặc spec đó không chèn lỗi nào qua world (`during`, `cut`, `latency`, `failNext`, `interruptDatabase`)."
+  causes_vi:
+    - "Vi phạm luật R173: đường bù trừ được chứng minh dưới lỗi thật, không chỉ trên luồng thuận."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: viết spec e2e cho đường bù trừ, cắt một hạ tầng (hoặc app) khi sự kiện thất bại tới, rồi đọc trạng thái đã bù trừ."
+  owner: op-retry
+  kind: check-finding
+
+BE_SAGA_EVENT_CONTRACT:
+  title: "Every event of a saga step and compensation is in a vendored contract"
+  title_vi: "Sự kiện của bước saga không nằm trong hợp đồng hoặc bù trừ không khớp"
+  meaning_vi: "Một bước hoặc bù trừ không khai `readonly event = \"<tên>\"`, sự kiện đó không có trong `be/contracts/<service>/events.json`, hoặc hợp đồng của sự kiện bù trừ không khai `compensates` đúng sự kiện của bước cùng tên."
+  causes_vi:
+    - "Vi phạm luật R171: mọi sự kiện của saga nằm trong hợp đồng đã vendor, và sự kiện thất bại của một bù trừ nói rõ nó hoàn tác sự kiện của bước nào."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: khai sự kiện trong `events.ts` của bên phát (có `compensates`), chạy `starci app emit`, và ghi tên sự kiện vào bước/bù trừ."
+  owner: op-retry
+  kind: check-finding
+
+BE_SAGA_STATE_VERSIONED:
+  title: "The persisted state of a saga run carries a version and goes through the fenced store"
+  title_vi: "Trạng thái saga không có phiên bản hoặc không đi qua kho có rào"
+  meaning_vi: "Orchestrator không có `<saga>.saga-state.ts`, kiểu trạng thái xuất ra không khai `status` và `version: number`, hoặc orchestrator không dùng kho có rào của `platform/saga`."
   causes_vi:
-    - "Tạo module hoặc tính năng mới nhưng quên tệp cửa vào index.ts hoặc tệp .module.ts"
-    - "Module nền tảng bắt buộc (config, logging, errors, primitives) chưa được tạo hoặc đặt tên khác"
-  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để tạo tệp hoặc thư mục còn thiếu đúng theo bảng kê; nếu tên hiện có là do thiết kế khác thì đó là việc đổi bảng kê, do người giám sát quyết định."
+    - "Vi phạm luật R170: trạng thái một lần chạy saga được lưu cùng phiên bản (rào), mọi chuyển trạng thái nêu phiên bản đã đọc, nên một lần giao lại \"xác sống\" không thể chuyển hai lần."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: khai kiểu trạng thái có `status` và `version`, và chuyển trạng thái qua `SagaService` của `platform/saga`."
+  owner: op-retry
+  kind: check-finding
+
+BE_SAGA_STEP_COMPENSATION:
+  title: "Every saga step has a compensation and the orchestrator lists them"
+  title_vi: "Bước saga thiếu bù trừ hoặc orchestrator không liệt kê đủ"
+  meaning_vi: "Một bước `saga/steps/<step>.step.ts` không có `saga/compensations/<step>.compensation.ts` (hoặc ngược lại), thư mục saga không có orchestrator `<saga>.saga.ts`, hoặc orchestrator không import đủ mọi bước và mọi bù trừ của thư mục."
+  causes_vi:
+    - "Vi phạm luật R169: mỗi bước tiến của saga có đúng một bù trừ cùng tên; orchestrator liệt kê tất cả, nên không có bước nào chạy mà không có đường lùi."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: thêm bù trừ cho bước (một lệnh hoàn tác) và import nó trong orchestrator; không thêm ngoại lệ."
   owner: op-retry
   kind: check-finding
 
@@ -533,15 +705,47 @@ BE_SPEC_QUALITY:
   owner: op-retry
   kind: check-finding
 
+BE_SQL_RETURNING_SHAPE:
+  title: "UPDATE or DELETE with RETURNING is not wrapped in a SELECT"
+  title_vi: "UPDATE hoặc DELETE có RETURNING chưa được bọc trong SELECT"
+  meaning_vi: "EntityManager.query của TypeORM trả về câu UPDATE hoặc DELETE có RETURNING dưới dạng [các dòng, số dòng bị ảnh hưởng] chứ không phải danh sách dòng, nên nơi gọi đọc kết quả như danh sách dòng sẽ đọc sai mà unit spec giả lập SQL không thấy được (saga kẹt, kho không được trả). Bộ kiểm tra đọc từng hằng SqlText trong .sql.ts và từ chối câu bắt đầu bằng UPDATE hoặc DELETE mà có RETURNING ở cấp ngoài cùng; INSERT ... RETURNING và RETURNING nằm trong CTE đã bọc thì hợp lệ."
+  causes_vi:
+    - "UPDATE stock SET ... WHERE ... RETURNING id, qty chạy thẳng bằng manager.query rồi đọc rows[0]"
+    - "DELETE ... RETURNING id trả về [rows, count]"
+  nextStep_vi: "Viết lại thành WITH changed AS (UPDATE ... RETURNING ...) SELECT ... FROM changed để kết quả luôn là danh sách dòng, và thêm một spec e2e chạy câu lệnh trên cơ sở dữ liệu thật. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 BE_SQL_TABLE_OWNER:
-  title: "SQL touches another capability's table or reads unbounded"
-  title_vi: "SQL ghi bảng của năng lực khác hoặc đọc không giới hạn"
-  meaning_vi: "Bộ kiểm tra phân tích từng hằng SqlText: câu lệnh ghi (INSERT, UPDATE, DELETE) chỉ được chạm bảng của entity thuộc chính năng lực đó; câu đọc chỉ được chạm bảng của năng lực mà chủ sở hữu được phép import; SELECT nhiều dòng phải có LIMIT trừ khi lọc theo khóa chính hoặc khóa duy nhất hoặc chỉ tính tổng."
+  title: "SQL touches a table outside its capability or context, or reads unbounded"
+  title_vi: "SQL ghi bảng ngoài năng lực, đọc bảng ngoài ngữ cảnh hoặc đọc không giới hạn"
+  meaning_vi: "Bộ kiểm tra phân tích từng hằng SqlText: câu lệnh ghi (INSERT, UPDATE, DELETE) chỉ được chạm bảng của entity thuộc chính năng lực đó; câu đọc (FROM, JOIN, USING, truy vấn con) chỉ được chạm bảng của chính ngữ cảnh của nó (ngữ cảnh là kết nối mà mảng entity của năng lực được đăng ký), tức bảng của năng lực mình hoặc của năng lực cùng ngữ cảnh mà chủ sở hữu được phép import; một bảng của ngữ cảnh khác, kể cả khi JOIN, bị từ chối vì dữ liệu giữa các ngữ cảnh chỉ đi bằng sự kiện (bản sao cục bộ do reactor cập nhật hoặc projection). SELECT nhiều dòng phải có LIMIT trừ khi lọc theo khóa chính hoặc khóa duy nhất hoặc chỉ tính tổng."
   causes_vi:
     - "Service của năng lực A cập nhật bảng của năng lực B"
+    - "JOIN hoặc truy vấn con sang bảng của ngữ cảnh khác (ví dụ order đọc bảng của identity)"
     - "Truy vấn danh sách quên LIMIT"
     - "Bảng chưa có entity khai báo ở năng lực sở hữu"
-  nextStep_vi: "Chuyển câu ghi về năng lực sở hữu bảng và gọi qua API công khai của năng lực đó; thêm LIMIT theo PAGE_SIZE_MAX, LIST_ROWS_MAX hoặc BATCH_ROWS của platform/database. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  nextStep_vi: "Chuyển câu ghi về năng lực sở hữu bảng và gọi qua API công khai của năng lực đó. Với dữ liệu của ngữ cảnh khác: giữ bản sao cục bộ trong ngữ cảnh của mình do reactor cập nhật từ sự kiện, hoặc đọc một projection, rồi JOIN trên bảng cục bộ đó. Thêm LIMIT theo PAGE_SIZE_MAX, LIST_ROWS_MAX hoặc BATCH_ROWS của platform/database. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_SUPABASE_CLIENT_OWNER:
+  title: "A back-end Supabase client, import or call is outside `be.integrations.supabase`, or is not typed with `Database`"
+  title_vi: "Supabase client phía back end sai chủ sở hữu hoặc thiếu kiểu Database"
+  meaning_vi: "Import/call Supabase ở `<path>` không thuộc `be.integrations.supabase`, hoặc client được tạo mà không mang kiểu `Database`."
+  causes_vi:
+    - "Vi phạm L10: back end dùng EntityManager cho dữ liệu; chỉ integration Supabase sở hữu Auth/Storage client và kiểu Database."
+  nextStep_vi: "Chuyển Auth/Storage client vào `be.integrations.supabase`, dùng API công khai của integration và thêm kiểu `Database`; dữ liệu thường đi qua EntityManager."
+  owner: op-retry
+  kind: check-finding
+
+BE_SUPABASE_JWT_VERIFIED:
+  title: "A Supabase principal is derived without pinned JWKS verification, or authorization claims come from the request body"
+  title_vi: "JWT Supabase chưa được xác minh đầy đủ hoặc claim lấy từ request body"
+  meaning_vi: "`<path>` decode JWT không verify, gọi `jwtVerify` ngoài integration/thiếu JWKS, issuer, audience `authenticated` hay algorithm pin, hoặc đọc role/membership từ body."
+  causes_vi:
+    - "Vi phạm L16: principal chỉ đến từ access token đã verify signature/iss/aud/exp/algorithm hoặc được đọc lại từ DB."
+  nextStep_vi: "Dùng `createRemoteJWKSet` + `jwtVerify` trong `be.integrations.supabase`, pin issuer/audience/algorithms và bỏ mọi authorization claim từ body."
   owner: op-retry
   kind: check-finding
 
@@ -550,7 +754,7 @@ BE_TEST_TOPOLOGY:
   title_vi: "Cấu hình test lệch chuẩn"
   meaning_vi: "Cấu hình test lệch chuẩn: `<detail>`."
   causes_vi:
-    - "Vi phạm luật R47: một `jest.config.js` (preset `@starci/jest-preset`) với bốn project `unit`, `integration`, `e2e`, `contract`; thư mục và hậu tố spec luôn khớp nhau; `diagnostics: false` + `isolatedModules: true`; `test:integration`, `test:e2e`, `test:contract` = `typecheck:tests && jest --selectProjects <tên>`; `src/tests/world/` là nơi duy nhất dựng hạ tầng test và chỉ chứa `global-setup.ts`, `global-teardown.ts`, `use-test-world.ts`, `fakes/` và file gốc có hậu tố vai trò (kể cả `test-world.config.ts`)."
+    - "Vi phạm luật R47: một `jest.config.js` (preset `@starci/jest-preset`) với bốn project `unit`, `integration`, `e2e`, `contract`; thư mục và hậu tố spec luôn khớp nhau; `diagnostics: false` + `isolatedModules: true`; `test:integration`, `test:e2e`, `test:contract` chạy qua `starci gate run --root <app> --tests <tên>`; `src/tests/world/` là nơi duy nhất dựng hạ tầng test và chỉ chứa `global-setup.ts`, `global-teardown.ts`, `use-test-world.ts`, `fakes/` và file gốc có hậu tố vai trò (kể cả `test-world.config.ts`)."
     - "Vi phạm luật R47 về stack thật: mọi dịch vụ khai trong `.starcistacks/<env>` (Postgres, Redis, Keycloak, mail host, k3s...) chạy THẬT trong world qua toxiproxy, world đọc dịch vụ và phiên bản image từ stack lúc chạy; `fakes/<provider>/` chỉ giả SaaS bên ngoài mà đội không vận hành. Ngoại lệ duy nhất: dịch vụ stateless cần phần cứng đặc biệt hoặc model bên ngoài (GPU inference, embedding tự host) được giả khi mục `stacks` của dịch vụ đó trong `test-world.config.ts` khai `{ fakedBy, reason }` với `reason` không rỗng; dịch vụ có trạng thái (database, cache, identity, storage, mail, queue, search hoặc có volume bền) không bao giờ được giả, và mục `fakedBy` trỏ tới dịch vụ hoặc fake (mục `fakes` hay thư mục `fakes/`) không tồn tại bị coi là cũ. `test-world.config.ts` khai world theo đúng một dạng export có tên `export const { useTestWorld, useSandbox } = defineTestWorld({...})` (`stack`, `stacks` theo từng dịch vụ, `fakes`); export default không được đọc và bị báo lỗi."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
   owner: op-retry
@@ -567,6 +771,86 @@ BE_TIER_DIRECTION:
   owner: op-retry
   kind: check-finding
 
+DB_CONFIG_POLICY:
+  title: "`supabase/config.toml` holds no literal credential (`env(NAME)` only), `auth.jwt_expiry <= 3600`, and signup/site_url/redirects equal the Supabase block of hfs.json"
+  title_vi: "config.toml lệch policy"
+  meaning_vi: "`<path>` (supabase/config.toml) chứa giá trị literal dưới key credential (secret|password|token|client_id|*_key trừ anon/publishable), `auth.jwt_expiry` quá 3600, hoặc `enable_signup`/`site_url`/`additional_redirect_urls` khác với block Supabase mà hfs.json khai báo."
+  causes_vi:
+    - "Vi phạm luật L08: secret trong config.toml viết `env(NAME)`; jwt_expiry tối đa 3600; posture auth là fact được check, không phải claim trong doc."
+  nextStep_vi: "Đổi credential thành `env(TEN_BIEN)`, hạ `jwt_expiry` về <= 3600, và chỉnh block Supabase của hfs.json hoặc config.toml cho khớp nhau."
+  owner: op-retry
+  kind: check-finding
+
+DB_DEFINER_SAFE:
+  title: "A `security definer` function pins `search_path`, lives outside exposed schemas (or is revoked from public in the same migration), declares a return type, and interpolates parameters only through `format('%I/%L')`"
+  title_vi: "Function security definer không an toàn"
+  meaning_vi: "`<path>` có function `security definer` thiếu `set search_path` (trên create hoặc `alter function` cùng migration - `from current` không tính), nằm trong schema exposed mà không `revoke execute ... from public`, không khai báo return type, hoặc build dynamic SQL qua tham số không qua `format('%I/%L')`."
+  causes_vi:
+    - "Vi phạm luật L06: search_path không pin là lỗ hổng leo quyền; `security invoker` được miễn."
+  nextStep_vi: "Thêm `set search_path = ''` (hoặc danh sách schema cố định), chuyển function sang schema `private` hoặc `revoke execute on function ... from public, anon`, và chỉ interpolate qua `format('%I'/'%L')`."
+  owner: op-retry
+  kind: check-finding
+
+DB_DYNAMIC_DDL:
+  title: "No dynamic SQL builds DDL - every statement a migration runs is visible to the parser"
+  title_vi: "DDL động trong migration"
+  meaning_vi: "`<path>` có `EXECUTE`/dynamic `FOR`/`OPEN` trong DO block hoặc function build create/alter/drop table|policy|function hay grant/revoke, hoặc một dynamic statement mà parser không đọc được."
+  causes_vi:
+    - "Vi phạm luật L04: DDL viết tường minh từng câu; dynamic DDL làm L03/L05/L06 không quyết định được bằng AST."
+  nextStep_vi: "Viết thẳng các câu create/alter/drop/grant (codemod sinh nếu cần lặp); dynamic SQL chỉ còn DML thuần."
+  owner: op-retry
+  kind: check-finding
+
+DB_MIGRATION_SHAPE:
+  title: "A migration is named `<ts14>_<kebab>.sql`, stamped in valid past UTC, ordered after the base's migrations, and immutable once on the base"
+  title_vi: "Migration sai hình dạng hoặc bị sửa"
+  meaning_vi: "`<path>` vi phạm luật migration: tên phải là `<ts14>_<kebab>.sql`, stamp là thời điểm UTC thật không ở tương lai, migration mới xếp sau mọi migration trên base, và migration đã lên base là bất biến (sửa hay xoá đều là finding)."
+  causes_vi:
+    - "Vi phạm luật L02: `supabase/migrations/<ts14>_<kebab>.sql`; stamp tăng nghiêm ngặt so với base; file đã lên base không được đổi."
+  nextStep_vi: "Tạo migration mới bằng the Supabase CLI new-migration command, không sửa/đổi tên/xoá migration đã lên base; nếu cần đổi nội dung, viết migration mới."
+  owner: op-retry
+  kind: check-finding
+
+DB_POLICY_SHAPE:
+  title: "Policies are named `<table>_<role>_<action>`, write/FOR ALL never uses (true), anon/public only on `for select` `*_public_read`, no grant to anon without that policy, never `service_role`"
+  title_vi: "Policy sai hình dạng"
+  meaning_vi: "`<path>` có policy vi phạm L05: write hoặc FOR ALL với using (true)/with check (true), `to anon`/`to public` ngoài FOR SELECT `*_public_read`, select using (true) không hậu tố `_public_read`, tên sai `<table>_<role>_<action>`, grant tới anon/public không có policy `_public_read` kèm, hoặc grant tới `service_role`."
+  causes_vi:
+    - "Vi phạm luật L05: service_role vượt RLS nên không bao giờ được grant; anon chỉ đọc qua policy `_public_read` được khai báo."
+  nextStep_vi: "Đổi tên policy theo `<table>_<role>_<action>`, thay using (true) trên write bằng điều kiện thật, bỏ grant tới service_role/anon hoặc thêm policy `<table>_public_read` cho select."
+  owner: op-retry
+  kind: check-finding
+
+DB_RLS_REQUIRED:
+  title: "Every `create table` in an exposed schema is followed by `enable row level security` in the same migration"
+  title_vi: "Bảng trong schema public thiếu RLS"
+  meaning_vi: "`<path>` tạo bảng trong schema exposed (`public` và `[api] schemas` của config.toml) mà không có `alter table ... enable row level security` ngay trong cùng migration; bảng khai báo `forceRls` cần cả `force row level security`."
+  causes_vi:
+    - "Vi phạm luật L03: mọi `create table`/`create table as` trong schema exposed phải có enable (và force khi hfs.json `supabase.forceRls` khai báo) trong cùng migration; partition con và bảng temp được miễn."
+  nextStep_vi: "Viết `alter table <schema>.<table> enable row level security;` ngay sau create trong cùng migration; không dùng vòng lặp dynamic SQL."
+  owner: op-retry
+  kind: check-finding
+
+DB_STORAGE_POLICY:
+  title: "A bucket insert declares `public = false` (true only for an id ending `_public`), `file_size_limit`, `allowed_mime_types`, and a `storage.objects` policy naming its `bucket_id` in the same migration"
+  title_vi: "Bucket storage thiếu khai báo hoặc policy"
+  meaning_vi: "`<path>` insert vào `storage.buckets` thiếu `public`/`file_size_limit`/`allowed_mime_types`, đặt `public = true` cho id không kết thúc `_public`, hoặc không có policy trên `storage.objects` nhắc `bucket_id` của nó trong cùng migration."
+  causes_vi:
+    - "Vi phạm luật L07: bucket là private mặc định; giới hạn size/mime và policy objects đi cùng khai báo bucket."
+  nextStep_vi: "Khai báo đủ `public = false`, `file_size_limit`, `allowed_mime_types` và viết `create policy ... on storage.objects ... (bucket_id = '<id>')` trong cùng migration."
+  owner: op-retry
+  kind: check-finding
+
+DB_TYPES_DRIFT:
+  title: "`supabase/types/database.types.ts` is committed and equals what `contract:emit` regenerates from the migrations"
+  title_vi: "database.types.ts lệch với migrations"
+  meaning_vi: "`supabase/types/database.types.ts` chưa được commit, hoặc khác với text mà `contract:emit` sinh lại từ migrations hiện tại (hoặc emit thất bại). Pattern giống R23 HFS_CONTRACT_SNAPSHOT_DRIFT."
+  causes_vi:
+    - "Vi phạm luật L09: file types là artefact sinh; commit bản mới nhất, không sửa tay."
+  nextStep_vi: "Chạy `starci app emit` và commit `supabase/types/database.types.ts` kết quả."
+  owner: op-retry
+  kind: check-finding
+
 FE_APP_ISOLATION:
   title: "App imports another app"
   title_vi: "Một app import app khác"
@@ -578,6 +862,16 @@ FE_APP_ISOLATION:
   owner: op-retry
   kind: check-finding
 
+FE_AUTH_SESSION_TRUST:
+  title: "Server code trusts `getSession`, or a Server Action does not establish and refuse an anonymous principal"
+  title_vi: "Mã server tin getSession hoặc Server Action không xác thực principal"
+  meaning_vi: "`<path>` gọi `auth.getSession()` trên server, write action không bắt đầu bằng `await getPrincipal()`, không trả Outcome `refused` cho anonymous (trừ `fe.modules.db/auth/write-sign-in.ts` đang xác thực chính caller anonymous), hoặc mutation nhạy cảm không gọi `auth.getUser()`."
+  causes_vi:
+    - "Vi phạm L14: server dùng claims đã kiểm tra; write action xác thực principal trước mọi việc và mutation nhạy cảm kiểm tra user từ Auth server."
+  nextStep_vi: "Dùng `getPrincipal()`/`getClaims()`, từ chối anonymous bằng Outcome có kiểu, và gọi `auth.getUser()` cho tiền, bảo mật tài khoản hay đổi role."
+  owner: op-retry
+  kind: check-finding
+
 FE_BLOCK_PRODUCT_HOOK_DEFINITION:
   title: "Block defines a product hook"
   title_vi: "Khối giao diện tự định nghĩa hook sản phẩm"
@@ -655,6 +949,36 @@ FE_CUSTOM_HOOK_LOCATION:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_DB_ERROR_HANDLED:
+  title: "An awaited Supabase result drops `error` or collapses failure to empty data"
+  title_vi: "Kết quả Supabase bỏ qua error hoặc gộp lỗi thành dữ liệu rỗng"
+  meaning_vi: "Kết quả await ở `<path>` không đọc `error`, không được truyền nguyên vẹn vào `toOutcome`, hoặc dùng `data ?? []` nên `refused`/`unavailable` biến thành dữ liệu rỗng."
+  causes_vi:
+    - "Vi phạm L12: mọi `{data,error}` đi qua một Outcome có kiểu; không destructure chỉ data và không nuốt lỗi."
+  nextStep_vi: "Đọc và ánh xạ `error`, hoặc truyền toàn bộ result vào `toOutcome(result)` rồi xử lý đủ các nhánh Outcome."
+  owner: op-retry
+  kind: check-finding
+
+FE_DB_RESULT_TYPED:
+  title: "A Supabase result is cast, explicitly generic, or an unbounded list read"
+  title_vi: "Kết quả Supabase bị ép kiểu hoặc truy vấn danh sách không giới hạn"
+  meaning_vi: "Truy vấn ở `<path>` dùng generic trên `single/maybeSingle/returns`, ép kiểu/non-null assertion, hoặc đọc danh sách không có `limit` hay biên keyset."
+  causes_vi:
+    - "Vi phạm L11: kiểu hàng phải suy ra từ `Database`; mọi đọc nhiều dòng phải có giới hạn tĩnh."
+  nextStep_vi: "Bỏ generic/cast/assertion, sửa type nguồn trong `database.types.ts`, và thêm `.limit()` hoặc biên keyset."
+  owner: op-retry
+  kind: check-finding
+
+FE_DB_WRITE_SHAPE:
+  title: "A Supabase Server Action uses input before schema parsing, or a write module exports no action"
+  title_vi: "Server Action dùng input trước khi schema parse"
+  meaning_vi: "Write module ở `<path>` không export Server Action, hoặc tham số được dùng trước lần gọi `schema.parse`/`schema.safeParse` đầu tiên."
+  causes_vi:
+    - "Vi phạm phần write-shape của L14: input không được tin trước validation."
+  nextStep_vi: "Export action async trong `write-*.ts` và để lần dùng input đầu tiên là `schema.parse(input)` hoặc `schema.safeParse(input)`."
+  owner: op-retry
+  kind: check-finding
+
 FE_ERROR_BOUNDARY_MISSING:
   title: "Next app lacks a required error or loading boundary"
   title_vi: "Ứng dụng Next thiếu trang lỗi hoặc trang đang tải bắt buộc"
@@ -667,6 +991,16 @@ FE_ERROR_BOUNDARY_MISSING:
   owner: op-retry
   kind: check-finding
 
+FE_GRAPHQL_CONTRACT:
+  title: "A front-end GraphQL document is one its back end serves"
+  title_vi: "Tài liệu GraphQL của front end không khớp hợp đồng của back end"
+  meaning_vi: "Một thao tác trong tệp `.graphql` dưới `fe/` không khớp ảnh chụp hợp đồng `be/contracts/<service>/schema.graphql` của dịch vụ phục vụ trường gốc đầu tiên của nó: trường, đối số hoặc trường input không được khai báo, thiếu đối số bắt buộc, biến khác kiểu, chọn trường trên giá trị lá hoặc thiếu lựa chọn trên đối tượng, biến khai báo mà không dùng, hoặc không hợp đồng nào phục vụ trường gốc đó."
+  causes_vi:
+    - "Vi phạm luật R113: front end gửi một tài liệu viết theo hợp đồng cũ (ví dụ `(request: ...)` trong khi back end nhận `input`), nên lời gọi hỏng khi chạy mà type-check của front end không thấy."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: sửa tài liệu `.graphql` cho khớp hợp đồng (hoặc chạy `starci app emit` nếu ảnh chụp đã cũ); không thêm ngoại lệ."
+  owner: op-retry
+  kind: check-finding
+
 FE_HOOKS_ARE_HOOKS:
   title: "`hooks/` hold hooks and one shared file per domain"
   title_vi: "hooks/ chứa thứ không phải hook"
@@ -727,7 +1061,7 @@ FE_NO_TESTS:
     - "Viết spec hoặc e2e cho component, hook hay trang"
     - "Thêm vitest, Playwright, jest, testing-library hoặc axe vào package.json"
     - "Thêm script test hoặc cấu hình test vào repository front end"
-  nextStep_vi: "Xóa tệp, cấu hình, script và thư viện test đó; front end không có ngoại lệ, kể cả thư mục scripts/. Kiểm tra giao diện bằng lint, typecheck và hfs check."
+  nextStep_vi: "Xóa tệp, cấu hình, script và thư viện test đó; front end không có ngoại lệ, kể cả thư mục scripts/. Kiểm tra giao diện bằng lint, typecheck và starci app check."
   owner: op-retry
   kind: check-finding
 
@@ -840,6 +1174,16 @@ FE_ROUTE_FILES_THIN:
   owner: op-retry
   kind: check-finding
 
+FE_ROUTE_HANDLER_FORBIDDEN:
+  title: "A front-end route handler is not health/live or the Supabase auth callback slot"
+  title_vi: "Route handler phía front end không thuộc hai cửa được phép"
+  meaning_vi: "`<path>` là `route.ts` phía fe nhưng không phải `health/live` và không thuộc ô `fe.route.callback`."
+  causes_vi:
+    - "Vi phạm L15: webhook, cron, public API và callback bên thứ ba là feature của back end."
+  nextStep_vi: "Chuyển handler sang feature back end; chỉ giữ health/live và callback PKCE trong ô `fe.route.callback`."
+  owner: op-retry
+  kind: check-finding
+
 FE_ROUTE_ONE_PAGE:
   title: "Route must mount exactly one page"
   title_vi: "Route phải mount đúng một thành phần trang"
@@ -851,6 +1195,16 @@ FE_ROUTE_ONE_PAGE:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_SERVICE_ROLE_FORBIDDEN:
+  title: "A service-role or credential-shaped environment value enters the front end"
+  title_vi: "Service role hoặc biến môi trường bí mật đi vào front end"
+  meaning_vi: "`<path>` chứa identifier/string service_role hoặc đọc biến `*_SECRET`, `*_PRIVATE`, `*_TOKEN`, `*_PASSWORD`; public config không được khai báo qua chủ `modules/config`."
+  causes_vi:
+    - "Vi phạm L13: front end chỉ giữ URL, anon/publishable key và public config; service role luôn ở back end."
+  nextStep_vi: "Xóa credential khỏi fe/, chuyển thao tác đặc quyền qua use case back end, và khai báo public config tại `modules/config`."
+  owner: op-retry
+  kind: check-finding
+
 FE_SLOT_FILE_ROLE:
   title: "A front-end file is owned by a slot and named by it"
   title_vi: "Tệp không đúng vai trò trong slot"
@@ -872,6 +1226,16 @@ FE_SOURCE_LAYOUT_INVALID:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_SUPABASE_CLIENT_OWNER:
+  title: "A front-end Supabase client, import or call is outside the db owner, or is not typed with `Database`"
+  title_vi: "Supabase client phía front end sai chủ sở hữu hoặc thiếu kiểu Database"
+  meaning_vi: "Import/call Supabase ở `<path>` không thuộc ô `fe.modules.db`/`fe.package.db`, hoặc client được tạo mà không mang kiểu `Database` đã sinh."
+  causes_vi:
+    - "Vi phạm L10: chỉ các ô db được import/call `@supabase/ssr` hay `@supabase/supabase-js`; mọi client là `SupabaseClient<Database>`/`create*Client<Database>`."
+  nextStep_vi: "Chuyển factory và truy vấn vào ô db đúng của app/gói, import API công khai của ô đó, và thêm kiểu `Database`; không thêm ngoại lệ."
+  owner: op-retry
+  kind: check-finding
+
 FE_SWR_KEY_IDENTITY:
   title: "SWR key misses an identity"
   title_vi: "Khóa SWR thiếu thông tin định danh"
@@ -921,7 +1285,7 @@ FE_WIRE_GENERATED:
   title_vi: "Kiểu wire gõ tay"
   meaning_vi: "`<file>` tự gõ kiểu wire/ép kiểu phản hồi, hoặc kiểu sinh ra cũ hơn ảnh chụp hợp đồng. Dùng kiểu sinh từ `be/contracts/`."
   causes_vi:
-    - "Vi phạm luật R52: Kiểu wire sinh từ ảnh chụp hợp đồng của be (`be/contracts/`, chạy `npm run codegen` ở gốc app); tài liệu GraphQL trong `.graphql`; cấm `as GraphqlResult<T>`; enum wire không phải `string`."
+    - "Vi phạm luật R52: Kiểu wire sinh từ ảnh chụp hợp đồng của be (`be/contracts/`, chạy `starci gate run --root <app>` ở gốc app); tài liệu GraphQL trong `.graphql`; cấm `as GraphqlResult<T>`; enum wire không phải `string`."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong tiêu chuẩn HFS; nợ cũ cần quyết định thiết kế nên op không thêm ngoại lệ, chỉ tách hoặc chuyển về đúng chủ."
   owner: op-retry
   kind: check-finding
@@ -993,11 +1357,11 @@ HFS_CANON_PIN_DRIFT:
   kind: check-finding
 
 HFS_CI_MISSING_CANON:
-  title: "CI runs the pinned `hfs lint`; pre-push runs typecheck and lint"
+  title: "CI runs the pinned `starci app lint`; pre-push runs typecheck and lint"
   title_vi: "CI thiếu bước canon"
   meaning_vi: "Workflow/husky thiếu bước `<step>`. Cấu trúc chỉ được kiểm khi agent chạy — CI phải tự kiểm."
   causes_vi:
-    - "Vi phạm luật R13: CI phải chạy `hfs lint` (`npm run lint` hoặc `npx @starci/hfs lint`, bản pin); pre-push phải có `typecheck` + `lint`."
+    - "Vi phạm luật R13: CI phải chạy `starci app lint`; pre-push phải có `typecheck` + `lint`."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
   owner: op-retry
   kind: check-finding
@@ -1005,13 +1369,25 @@ HFS_CI_MISSING_CANON:
 HFS_CONTRACT_SNAPSHOT_DRIFT:
   title: "The be side commits its contract snapshot and it equals the emit"
   title_vi: "Bản hợp đồng lệch bản thật"
-  meaning_vi: "Hợp đồng `<file>` lệch bản thật (`<sha>` ≠ `<sha>`). Chạy `npm run contract:emit` ở gốc app rồi commit kết quả. Nếu emit không chạy được thì finding nêu nguyên văn lỗi của emit; không bao giờ bỏ qua âm thầm."
+  meaning_vi: "Hợp đồng `<file>` lệch bản thật (`<sha>` ≠ `<sha>`). Chạy `starci app emit` ở gốc app rồi commit kết quả. Nếu emit không chạy được thì finding nêu nguyên văn lỗi của emit; không bao giờ bỏ qua âm thầm."
   causes_vi:
-    - "Vi phạm luật R23: phía be: `be/contracts/<app>/schema.graphql` và `be/contracts/<app>/openapi.json` (sinh từ bảng thao tác có kiểu `apps/<app>/src/operations.ts`) phải bằng bản `hfs emit-contracts` phát ra ngay lúc kiểm tra (đồ thị module đọc từ mã nguồn, không cần env, DB hay mạng); chỉ chạy ở lượt kiểm tra đầy đủ, `--fast` bỏ qua và nói rõ trong phần coverage. Phía fe đọc thẳng `be/contracts/` (đường đọc chéo duy nhất khai trong hfs.json `sides.fe.reads`), không giữ bản sao."
+    - "Vi phạm luật R23: phía be: `be/contracts/<app>/schema.graphql` và `be/contracts/<app>/openapi.json` (sinh từ bảng thao tác có kiểu `apps/<app>/src/operations.ts`) phải bằng bản `starci app emit` phát ra ngay lúc kiểm tra (đồ thị module đọc từ mã nguồn, không cần env, DB hay mạng); chỉ chạy ở lượt kiểm tra đầy đủ, `--fast` bỏ qua và nói rõ trong phần coverage. Phía fe đọc thẳng `be/contracts/` (đường đọc chéo duy nhất khai trong hfs.json `sides.fe.reads`), không giữ bản sao."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
   owner: op-retry
   kind: check-finding
 
+HFS_COVERAGE_SCOPE_DRIFT:
+  title: "A file states a coverage scope the slot manifest does not derive"
+  title_vi: "Tệp nêu phạm vi độ phủ khác với phạm vi suy ra từ slot manifest"
+  meaning_vi: "Phạm vi độ phủ (những tệp nào bị đo 100% từng tệp) chỉ có một nguồn: trường `coverage: required|none` của từng slot be trong knowledge/hfs/slots.yaml cùng ruleParams.be.logicRoles, qua scripts/hfs/coverage-scope.mjs. Ba nơi dùng phạm vi đó đều do starci app sync sinh: be/jest.config.js (ngưỡng từng tệp), dòng sonar.coverage.exclusions của sonar-project.properties và codecov.yml (đường dẫn cùng các component theo từng service app và platform). `<detail>` nêu tệp đã lệch khỏi bản sinh; không ai được sửa tay phạm vi này."
+  causes_vi:
+    - "Sửa tay be/jest.config.js, codecov.yml hoặc dòng sonar.coverage.exclusions để đo ít tệp hơn hoặc thêm ngoại lệ"
+    - "Đổi trường coverage của slot hoặc ruleParams.be.logicRoles nhưng chưa chạy lại starci app sync"
+    - "Thêm service app hoặc capability mới nên các component của codecov.yml đã cũ"
+  nextStep_vi: "Chạy `npx starci app sync --write` để sinh lại ba tệp từ slot manifest; muốn đổi phạm vi thì đổi trường `coverage` của slot (và ruleParams.be.logicRoles) trong .claude runtime, không sửa tệp sinh. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
 HFS_DECLARATION_INVALID:
   title: "hfs.json missing or invalid"
   title_vi: "hfs.json thiếu hoặc sai định dạng"
@@ -1035,6 +1411,56 @@ HFS_DEP_VERSION_SKEW:
   owner: op-retry
   kind: check-finding
 
+HFS_DOCKER_BASE_PIN:
+  title: "A Dockerfile base image is not pinned"
+  title_vi: "Image nền của Dockerfile không được ghim"
+  meaning_vi: "Mọi FROM của Dockerfile phải là một stage trước đó, image node duy nhất của chuẩn (phiên bản node và bản alpine cụ thể), hoặc image ghim bằng digest `@sha256`; không dùng tag trôi nổi (`latest`, `node:22`) và không để build argument chưa xác định."
+  causes_vi:
+    - "Vi phạm luật R190: tag trôi nổi làm image đổi nội dung mà không có thay đổi nào trong repo, nên build không tái lập và lỗ hổng mới lọt vào không dấu vết."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đổi FROM thành image node của chuẩn (xem `NODE_IMAGE` trong scripts/hfs/rules/docker.mjs) hoặc ghim image bằng digest `@sha256`."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DOCKER_BUILD_CONTEXT:
+  title: "The Dockerfile does not build from the app root"
+  title_vi: "Dockerfile không build từ gốc app"
+  meaning_vi: "Dockerfile của app phải ghi trong comment đầu tệp lệnh `starci docker build <app>` đúng app của chính nó (context là gốc app, nơi có `package.json` và lockfile duy nhất), và mọi nguồn của COPY/ADD nằm trong context (không có `..`, không có đường dẫn tuyệt đối)."
+  causes_vi:
+    - "Vi phạm luật R187: context build là gốc app; lệnh build sai hoặc nguồn COPY vượt ra ngoài context khiến image build được trên máy này nhưng hỏng trên CI hoặc trộn lẫn dữ liệu của app khác."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đặt lệnh `starci docker build <app>` vào comment đầu Dockerfile và sửa các nguồn COPY/ADD về đường dẫn tương đối trong gốc app."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DOCKER_ENTRY:
+  title: "The Dockerfile does not start the app's own entry or declare its port and health"
+  title_vi: "Dockerfile không chạy đúng entry của app hoặc thiếu cổng và healthcheck"
+  meaning_vi: "Stage `runtime` phải chạy entry đã build của chính app ở dạng exec (be: `node be/dist/apps/<app>/src/main.js`; fe: `node fe/apps/<app>/server.js`); app api hoặc Next đặt `ENV PORT`, EXPOSE đúng cổng đó và có HEALTHCHECK; worker có HEALTHCHECK theo tiến trình và không EXPOSE; cli/migrate ghi `HEALTHCHECK NONE` và không EXPOSE; app Next build bằng `turbo run build --filter=@<project>/<app>` và `next.config.ts` đặt `output: \"standalone\"`."
+  causes_vi:
+    - "Vi phạm luật R189: một image khởi động sai entry, không công bố cổng hoặc không có healthcheck thì nền tảng không thể điều phối hay phát hiện lỗi của nó."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: sửa CMD/ENTRYPOINT về entry của app, thêm `ENV PORT`, `EXPOSE`, `HEALTHCHECK` (hoặc `HEALTHCHECK NONE` cho cli), và đặt `output: \"standalone\"` trong `next.config.ts` của app Next."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DOCKER_SECRETS:
+  title: "A secret enters an image"
+  title_vi: "Bí mật bị đưa vào image"
+  meaning_vi: "Không được COPY/ADD tệp `.env*` (trừ `.env.example`) hay đường dẫn trong `.starcistacks`, `.secrets`, `.volume`, khóa, chứng chỉ, kubeconfig; không ADD một URL; không có ARG hoặc ENV mang tên một thông tin xác thực (PASSWORD, SECRET, TOKEN, KEY, CREDENTIAL, PRIVATE); riêng `NEXT_PUBLIC_*` được phép vì được công khai theo thiết kế."
+  causes_vi:
+    - "Vi phạm luật R191: mọi thứ trong layer hoặc lịch sử image đều lấy ra được; một bí mật trong image là bí mật đã lộ cho mọi nơi image được kéo về."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: bỏ COPY/ADD hoặc ARG/ENV đó, mount thông tin xác thực lúc chạy, và tải về bằng stage có kiểm checksum thay vì ADD URL."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DOCKER_STAGES:
+  title: "The Dockerfile stages, user or install break the canon"
+  title_vi: "Các stage, user hoặc lệnh cài của Dockerfile sai chuẩn"
+  meaning_vi: "Dockerfile phải nhiều stage: một stage tên `build` (cài và build) và stage cuối tên `runtime` (thứ được chạy); runtime kết thúc bằng `USER node` và không chạy build; mọi lệnh cài đi qua `starci npm ci` (không dùng `starci npm install`); runtime của be chỉ cài dependency production và bỏ lifecycle scripts, runtime của fe không cài gì."
+  causes_vi:
+    - "Vi phạm luật R188: image chạy bằng root, mang theo công cụ build hoặc cài không theo lockfile thì vừa lớn vừa kém an toàn, và không tái lập được."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: tách Dockerfile thành stage `build` và stage cuối `runtime`, thêm `USER node`, đổi `starci npm install` thành `starci npm ci`, và chuyển mọi lệnh build ra khỏi runtime."
+  owner: op-retry
+  kind: check-finding
+
 HFS_DOC_NOT_ENGLISH:
   title: "Document is not English"
   title_vi: "Tài liệu không viết bằng tiếng Anh"
@@ -1080,6 +1506,28 @@ HFS_E2E_IN_AUTOMATIC_GATE:
   owner: other-op:backend.scaffold
   kind: check-finding
 
+HFS_EDITION_FORBIDDEN_PRESENT:
+  title: "Content the lite edition does not have"
+  title_vi: "Nội dung ấn bản lite không có"
+  meaning_vi: "Kho ghim edition lite nhưng vẫn giữ thứ chỉ ấn bản full mới có: script hay dependency kiểm thử, cấu hình jest/vitest/playwright, ứng dụng worker, pattern sự kiện (event-bus, queue, fenced-job, projection, saga) hay các loại trigger saga/reactors/jobs/realtime. Lite không có thế giới kiểm thử và không có bus sự kiện."
+  causes_vi:
+    - "package.json còn script test*, typecheck:tests hoặc dependency jest/vitest/playwright"
+    - "Tệp cấu hình công cụ kiểm thử không ô nào cấm riêng vẫn nằm trong cây"
+    - "hfs.json khai ứng dụng worker, một pattern sự kiện hoặc một loại trigger mà lite đã bỏ"
+  nextStep_vi: "Xoá phần thuộc ấn bản full (không có gì thay thế trong lite), hoặc nâng kho lên edition full khi nội dung này là thật. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
+HFS_EDITION_INVALID:
+  title: "hfs.json edition is not one the manifest knows"
+  title_vi: "Ấn bản HFS trong hfs.json không hợp lệ"
+  meaning_vi: "Trường edition của hfs.json chỉ nhận một giá trị thuộc danh sách editions của bảng kê ô (full, lite); vắng mặt nghĩa là full. Một giá trị khác là lỗi khai báo, kiểm tra bị từ chối."
+  causes_vi:
+    - "hfs.json ghi edition với giá trị ngoài full/lite (gõ sai, hoặc một ấn bản bảng kê không biết)"
+  nextStep_vi: "Sửa edition thành một giá trị trong danh sách editions của bảng kê, hoặc bỏ trường để về full. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
 HFS_EMPTY_DIR:
   title: "No empty directory outside an `ignored` slot"
   title_vi: "Thư mục rỗng còn sót lại"
@@ -1090,6 +1538,17 @@ HFS_EMPTY_DIR:
   owner: op-retry
   kind: check-finding
 
+HFS_EVENT_CONTRACT:
+  title: "The async contract between services is vendored and consumers match it"
+  title_vi: "Hợp đồng sự kiện giữa các dịch vụ không khớp"
+  meaning_vi: "Ảnh chụp `be/contracts/<service>/events.json` thiếu, cũ so với bảng `apps/<service>/src/events.ts` của bên phát, một mục trong `apps/<app>/src/consumes.ts` của bên nhận trỏ tới sự kiện không có trong ảnh chụp hoặc có phiên bản khác, hoặc một hàng đợi consumer định nghĩa bằng `defineQueue` không được liệt kê trong bảng `consumes.ts` nào."
+  causes_vi:
+    - "Vi phạm luật R166: hợp đồng giữa các dịch vụ được vendor dưới `be/contracts/<service>/` và bên nhận chỉ đọc đúng sự kiện và phiên bản mà ảnh chụp khai báo."
+    - "Bên phát đổi sự kiện nhưng chưa chạy `starci app emit`, hoặc bên nhận khai báo phiên bản cũ."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: chạy `starci app emit` rồi cập nhật `consumes.ts` và cách xử lý của bên nhận cho khớp; không sửa tay ảnh chụp."
+  owner: op-retry
+  kind: check-finding
+
 HFS_FORBIDDEN_PRESENT:
   title: "Tracked path in a forbidden slot"
   title_vi: "Có tệp bị cấm trong cây mã nguồn"
@@ -1105,7 +1564,7 @@ HFS_FORBIDDEN_PRESENT:
 HFS_FORMAT:
   title: "Prettier is the only formatter"
   title_vi: "Chưa format bằng Prettier"
-  meaning_vi: "`<file>` chưa được format. Chạy `npm run format`."
+  meaning_vi: "`<file>` chưa được format. Chạy `starci app lint --fix`."
   causes_vi:
     - "Vi phạm luật R19: Prettier (config `@starci/prettier-config`) là formatter duy nhất; ESLint không còn luật định dạng."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
@@ -1117,9 +1576,9 @@ HFS_FORMAT_TOOL_MISSING:
   title_vi: "Kho chưa cài prettier của chính nó"
   meaning_vi: "Kiểm tra định dạng (R19) chạy prettier của chính kho. Kho chưa cài prettier nên không thể xác nhận định dạng, và trạng thái đó không bao giờ được tính là đạt."
   causes_vi:
-    - "Chưa chạy `npm ci` trong kho"
+    - "Chưa chạy `starci npm ci` trong kho"
     - "prettier không nằm trong devDependencies của kho"
-  nextStep_vi: "Cài đúng phiên bản prettier ghi trong canon-pins.yaml (`npm ci`) rồi chạy lại `hfs check`."
+  nextStep_vi: "Cài đúng phiên bản prettier ghi trong canon-pins.yaml bằng `starci npm ci` rồi chạy lại `starci app check`."
   owner: op-retry
   kind: input-invalid
 
@@ -1136,7 +1595,7 @@ HFS_GHOST_TREE:
 HFS_GITIGNORE_BLOCK_DRIFT:
   title: "The managed `.gitignore` block equals its render"
   title_vi: "Khối .gitignore lệch bản render"
-  meaning_vi: "Khối .gitignore chuẩn đã bị sửa tay hoặc thiếu dòng `<rule>`. Chạy `hfs sync`."
+  meaning_vi: "Khối .gitignore chuẩn đã bị sửa tay hoặc thiếu dòng `<rule>`. Chạy `starci app sync`."
   causes_vi:
     - "Vi phạm luật R04: Khối `.gitignore` do `.claude` quản lý phải trùng bản render (never-tracked list, deny `.env*`, cache)."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
@@ -1149,7 +1608,17 @@ HFS_HOOKS_PATH_REDIRECTED:
   meaning_vi: "Cấu hình Git cục bộ của bản clone đặt `core.hooksPath` trỏ ra ngoài `.husky`, nên hook pre-commit và pre-push không chạy và cổng mà mọi clone khác phải qua đã bị bỏ qua. Chỉ xét khi thư mục được kiểm tra chính là gốc work tree Git của nó; một thư mục nằm trong clone khác (một ví dụ trong clone runtime) không có hook riêng nên không bị xét."
   causes_vi:
     - "Vi phạm luật R13: pre-push chạy typecheck và lint, và không clone nào được đổi `core.hooksPath` để né husky; giá trị duy nhất được phép là `.husky` hoặc `.husky/_` do chính husky đặt."
-  nextStep_vi: "Gỡ cấu hình bằng `git config --local --unset core.hooksPath` rồi commit lại qua hook; không dùng `--no-verify` và không đổi đường dẫn hook để né kiểm tra."
+  nextStep_vi: "Yêu cầu owner gỡ cấu hình local `core.hooksPath`, rồi commit lại qua hook; không dùng `--no-verify` và không đổi đường dẫn hook để né kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+HFS_IMAGE_UNPINNED:
+  title: "Every image of a multi-service stack is pinned"
+  title_vi: "Image của stack nhiều dịch vụ chưa được ghim phiên bản"
+  meaning_vi: "Trong `.starcistacks/application-stacks.yaml` của một sản phẩm có từ hai dịch vụ trở lên, một `components.<name>.image` không có tag, dùng `latest`, một từ nhánh hoặc tag chỉ gồm major/minor (ví dụ `postgres:16`), nên image trôi theo thời gian."
+  causes_vi:
+    - "Vi phạm luật R164: image được ghim bằng digest (`@sha256:...`) hoặc phiên bản chính xác `x.y.z`; image của dịch vụ trong repo là `<repo>/<service>:<x.y.z>`, dịch vụ bên thứ ba cũng là image đã ghim."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: ghi tag chính xác hoặc digest vào `image` của thành phần; không dùng tag trôi."
   owner: op-retry
   kind: check-finding
 
@@ -1163,10 +1632,20 @@ HFS_LINT_SUPPRESSION_FILE:
   owner: op-retry
   kind: check-finding
 
+HFS_LITE_SECRET_CUSTODY:
+  title: "Lite secret material or a forbidden custody path is present"
+  title_vi: "Bí mật hoặc đường dẫn lưu bí mật bị cấm trong edition lite"
+  meaning_vi: "`<path>` là root `.env*`, `secrets.env`, `.secrets/`, file `.enc` ngoài `.starcistacks/<env>/secrets`, hoặc fe/supabase chứa token Supabase/JWT hay connection string có mật khẩu."
+  causes_vi:
+    - "Vi phạm L17: lite có đúng một đường custody đã mã hóa và browser/Supabase tree không giữ secret literal."
+  nextStep_vi: "Không đọc hay in giá trị. Gỡ secret khỏi cây, xoay secret nếu đã lộ, rồi niêm phong bằng sops tại `.starcistacks/<env>/secrets/<slug>.enc`."
+  owner: owner
+  kind: check-finding
+
 HFS_MANAGED_FILE_DRIFT:
   title: "A managed file equals its template render"
   title_vi: "Tệp do .claude quản lý bị lệch"
-  meaning_vi: "`<file>` do `.claude` quản lý nhưng nội dung lệch bản render từ template. Chạy `hfs sync --write`, không sửa tay."
+  meaning_vi: "`<file>` do `.claude` quản lý nhưng nội dung lệch bản render từ template. Chạy `starci app sync --write`, không sửa tay."
   causes_vi:
     - "Vi phạm luật R05: Tệp trong slot có `managedBy` của slots.yaml (tsconfig, jest.config.js, .prettierrc, .prettierignore, husky, workflows, sonar, khối `scripts` của package.json) phải bằng bản render từ template; danh sách tệp nằm trong slots.yaml, không nằm trong mã."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
@@ -1218,6 +1697,46 @@ HFS_MODULE_TIER_INVALID:
   owner: other-op:backend.implement
   kind: check-finding
 
+HFS_MONO_FE_WORKSPACE:
+  title: "An fe workspace manifest breaks the workspace shape"
+  title_vi: "Manifest của một workspace fe sai hình dạng"
+  meaning_vi: "Mỗi app fe `fe/apps/<app>` là workspace `@<project>/<app>`, private, có đúng các script build, dev, lint (`starci app lint --workspace .`), start và typecheck; mỗi gói `fe/packages/<pkg>` là private và có build, typecheck cùng script lint của workspace."
+  causes_vi:
+    - "Vi phạm luật R144: turbo chạy các task theo script của từng workspace; tên, script hoặc cờ private sai khiến build, lint hoặc typecheck của app bị bỏ qua hoặc chạy khác chuẩn."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đặt tên `@<project>/<app>`, `\"private\": true` và đúng bộ script trong `package.json` của workspace đó."
+  owner: op-retry
+  kind: check-finding
+
+HFS_MONO_NEST_PROJECTS:
+  title: "be/nest-cli.json does not match the declared be apps"
+  title_vi: "be/nest-cli.json không khớp các app be đã khai báo"
+  meaning_vi: "`be/nest-cli.json` phải là `\"monorepo\": true`, project mặc định là một app api, và `projects` đúng bằng các app be mà `hfs.json` khai báo, mỗi project có `root` là `apps/<app>` và `sourceRoot` là `apps/<app>/src`."
+  causes_vi:
+    - "Vi phạm luật R145: back end luôn là monorepo Nest của `be/apps/<app>`, kể cả khi chỉ có một service; một project thừa hoặc thiếu nghĩa là app đó không được build hoặc chạy theo khai báo."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: sửa `be/nest-cli.json` cho khớp đúng các app be trong `hfs.json`."
+  owner: op-retry
+  kind: check-finding
+
+HFS_MONO_WORKSPACES:
+  title: "The app root is not the monorepo root"
+  title_vi: "Gốc app không phải gốc monorepo"
+  meaning_vi: "`package.json` ở gốc app phải khai báo `workspaces` đúng `[\"fe/apps/*\", \"fe/packages/*\"]`, `packageManager` là `npm@<phiên bản cụ thể>` và `turbo` trong devDependencies; gốc app giữ `turbo.json` do starci app sync sinh ra."
+  causes_vi:
+    - "Vi phạm luật R143: mọi sản phẩm luôn là monorepo, kể cả khi chỉ có một service, nên hình dạng hfs đồng nhất; thiếu workspaces hoặc turbo thì các app fe không được build qua turbo."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đặt `workspaces`, `packageManager` và devDependency `turbo` (đúng bản ghim) trong `package.json` ở gốc, rồi chạy `npx starci app sync --write` để sinh `turbo.json`."
+  owner: op-retry
+  kind: check-finding
+
+HFS_MONO_WORKSPACE_DEP:
+  title: "An fe workspace imports a package it does not declare"
+  title_vi: "Một workspace fe import gói mà nó không khai báo"
+  meaning_vi: "Mọi gói mà các tệp của một workspace fe import phải được khai báo trong `package.json` của chính workspace đó (gói workspace anh em ghi `\"*\"`); `package.json` ở gốc không bao giờ khai báo một gói workspace."
+  causes_vi:
+    - "Vi phạm luật R146: một app chỉ chạy được nhờ gói được hoist từ gốc sẽ hỏng khi build riêng bằng `starci docker build <app>` hoặc khi turbo không biết thứ tự phụ thuộc."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: thêm gói vào dependencies của workspace đó (cùng một phiên bản trong cả workspace), hoặc bỏ gói workspace khỏi `package.json` ở gốc."
+  owner: op-retry
+  kind: check-finding
+
 HFS_PACKAGE_MANAGER_MIXED:
   title: "Package manager mixed with npm"
   title_vi: "Trộn trình quản lý gói khác với npm"
@@ -1284,7 +1803,7 @@ HFS_README_DESCRIPTION_INVALID:
 HFS_README_DEVELOPMENT_INCOMPLETE:
   title: "README Development section incomplete"
   title_vi: "Mục Development trong README chưa đủ lệnh"
-  meaning_vi: "Mục Development chưa nêu đủ các lệnh cài đặt, typecheck, lint, build và test (các script do hfs sync quản lý; test chạy bằng npm test)."
+  meaning_vi: "Mục Development chưa nêu đủ các lệnh cài đặt, typecheck, lint, build và test (các script do starci app sync quản lý; test chạy bằng npm test)."
   causes_vi:
     - "Quên một hoặc vài lệnh"
     - "Viết bằng lệnh của trình quản lý khác"
@@ -1352,7 +1871,7 @@ HFS_REPO_LOCAL_CHECK:
   title_vi: "Kho tự giữ bộ kiểm tra riêng"
   meaning_vi: "Kho có nguồn kiểm tra hoặc luật lint cục bộ ở `<f>`: tệp `check-*` trong `scripts/` hay `tools/`, tệp `eslint-local-rules*`, plugin eslint cục bộ, hoặc script npm chạy một tệp `check-*`."
   causes_vi:
-    - "Vi phạm luật R103: mọi bộ kiểm tra sống trong runtime `.claude` (hfs check, các canon eslint); kho sản phẩm không giữ bộ kiểm tra hay luật riêng. `scripts/` chỉ chứa script vận hành."
+    - "Vi phạm luật R103: mọi bộ kiểm tra sống trong runtime `.claude` (starci app check, các canon eslint); kho sản phẩm không giữ bộ kiểm tra hay luật riêng. `scripts/` chỉ chứa script vận hành."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: xóa tệp và script trỏ tới nó; nếu luật còn cần thì đề xuất vào canon trong runtime `.claude`, không giữ bản sao trong kho."
   owner: op-retry
   kind: check-finding
@@ -1427,13 +1946,34 @@ HFS_ROOT_SRC_FORBIDDEN_FE:
 HFS_RULE_OFF_WITHOUT_REPLACEMENT:
   title: "The ESLint configuration (and a front end's stylelint configuration) is the rendered one-liner, so no rule is off, warned or redefined in a repository"
   title_vi: "Cấu hình ESLint hoặc stylelint lệch bản render"
-  meaning_vi: "`eslint.config.mjs` (hoặc `stylelint.config.mjs` của front end) khác bản render (một dòng gọi `starciBeConfig`, `starciFeConfig` hoặc `starciStylelintConfig`). Factory không nhận tham số ghi đè, nên một luật chỉ có thể bị tắt, hạ mức hoặc định nghĩa lại trong repo khi tệp này khác bản render. Chạy `hfs sync --write`, không sửa tay."
+  meaning_vi: "`eslint.config.mjs` (hoặc `stylelint.config.mjs` của front end) khác bản render (một dòng gọi `starciBeConfig`, `starciFeConfig` hoặc `starciStylelintConfig`). Factory không nhận tham số ghi đè, nên một luật chỉ có thể bị tắt, hạ mức hoặc định nghĩa lại trong repo khi tệp này khác bản render. Chạy `starci app sync --write`, không sửa tay."
   causes_vi:
     - "Vi phạm luật R17: `eslint.config.mjs` phải đúng bằng bản render; luật thay thế nằm trong plugin của `.claude`, không bao giờ tắt trong repo."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
   owner: op-retry
   kind: check-finding
 
+HFS_SERVICE_PLACEMENT:
+  title: "A back-end service lives only at be/apps/<service>"
+  title_vi: "Dịch vụ back end nằm ngoài be/apps/<service>"
+  meaning_vi: "Một thư mục có Dockerfile hoặc package.json riêng nằm ngoài `be/apps/<service>/` (và không phải Dockerfile của front end hay package workspace của `fe/packages`), nên nó trở thành một gốc dịch vụ thứ hai bên cạnh `be/` và `fe/`."
+  causes_vi:
+    - "Vi phạm luật R163: mỗi dịch vụ back end là một ứng dụng Nest tại `be/apps/<service>/` dùng chung thư viện `be/src` và một `package.json` duy nhất của app; image của nó được build từ `be/apps/<service>/Dockerfile`."
+    - "Op đã tạo thư mục dịch vụ riêng (ví dụ `services/<name>/` hoặc `be/<name>/`) thay vì thêm ứng dụng dưới `be/apps/`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: chuyển dịch vụ vào `be/apps/<service>/` (main.ts, app.module.ts, Dockerfile) và xoá thư mục cũ; không thêm ngoại lệ."
+  owner: op-retry
+  kind: check-finding
+
+HFS_SERVICE_STACK_DECLARATION:
+  title: "Each service app is a service component of the stack"
+  title_vi: "Ứng dụng dịch vụ chưa được khai báo trong stack"
+  meaning_vi: "Một ứng dụng api hoặc worker dưới `be/apps/<service>/` của sản phẩm nhiều dịch vụ không có thành phần `role: service` cùng tên trong `.starcistacks/application-stacks.yaml`."
+  causes_vi:
+    - "Vi phạm luật R165: mọi dịch vụ của sản phẩm nhiều dịch vụ là một thành phần `role: service` của stack (image riêng `<repo>/<service>:<x.y.z>`, build từ Dockerfile của app)."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: thêm thành phần cùng tên app (role service, image đã ghim, file compose và cổng của môi trường)."
+  owner: op-retry
+  kind: check-finding
+
 HFS_SIZE_SOFT_BACKLOG:
   title: "Source file above the soft size"
   title_vi: "Tệp mã vượt cỡ mềm (chỉ báo cáo)"
@@ -1492,11 +2032,12 @@ HFS_SLOT_UNDECLARED:
   kind: check-finding
 
 HFS_SONAR_CONFIG:
-  title: "Sonar config is generated, with no host URL, importing the be lcov with the services as the only coverage scope"
+  title: "Sonar config is generated, with no host URL, importing the be lcov with the logic of be/src/modules as the coverage scope"
   title_vi: "Cấu hình Sonar lệch"
-  meaning_vi: "Cấu hình Sonar lệch: `<detail>`. Sonar phải đọc đúng cấu hình sinh ra và nhập báo cáo độ phủ lcov của be, chỉ tính các service."
+  meaning_vi: "Cấu hình Sonar lệch: `<detail>`. Sonar phải đọc đúng cấu hình sinh ra và nhập báo cáo độ phủ lcov của be, chỉ tính phần logic của be/src/modules (phạm vi suy ra từ slot manifest)."
   causes_vi:
-    - "Vi phạm luật R11: `sonar-project.properties` do template sinh: không `sonar.host.url`, `sources`/`tests` không chồng, `sonar.exclusions` = đúng danh sách loại trừ của jest, nhập lcov của be (`sonar.javascript.lcov.reportPaths=be/coverage/lcov.info`) với `sonar.coverage.inclusions=be/src/**/*.service.ts` và không khóa độ phủ nào khác, không nhắc kiểu spec đã bỏ, và nhận báo cáo ESLint cùng tệp nhập lỗi HFS (`sonar.eslint.reportPaths`, `sonar.externalIssuesReportPaths`) để mọi lỗi canon hiện trong Sonar."
+    - "Vi phạm luật R11: `sonar-project.properties` do template sinh: không `sonar.host.url`, `sources`/`tests` không chồng, `sonar.exclusions` = đúng danh sách loại trừ của jest, nhập lcov của be (`sonar.javascript.lcov.reportPaths=be/coverage/lcov.info`) với `sonar.coverage.exclusions` loại mọi tệp không phải service (SonarQube không có coverage inclusions; starci app sync sinh phần bù từ COVERAGE_SOURCES và bộ hậu tố của slot manifest, gồm cả fe/**) và không khóa độ phủ nào khác, không nhắc kiểu spec đã bỏ, và nhận báo cáo ESLint cùng tệp nhập lỗi HFS (`sonar.eslint.reportPaths`, `sonar.externalIssuesReportPaths`) để mọi lỗi canon hiện trong Sonar."
+    - "Vi phạm luật R11: `sonar-project.properties` do template sinh: không `sonar.host.url`, `sources`/`tests` không chồng, `sonar.exclusions` = đúng danh sách loại trừ của jest, nhập lcov của be (`sonar.javascript.lcov.reportPaths=be/coverage/lcov.info`) với `sonar.coverage.exclusions` loại mọi tệp không bị đo (SonarQube không có coverage inclusions; starci app sync sinh phần bù từ trường coverage của slot và ruleParams.be.logicRoles qua scripts/hfs/coverage-scope.mjs, gồm cả fe/**; lệch dòng này là HFS_COVERAGE_SCOPE_DRIFT) và không khóa độ phủ nào khác, không nhắc kiểu spec đã bỏ, và nhận báo cáo ESLint cùng tệp nhập lỗi HFS (`sonar.eslint.reportPaths`, `sonar.externalIssuesReportPaths`) để mọi lỗi canon hiện trong Sonar."
     - "Khối `services.sonar.qualityGate` của khai báo stack phải gọi đúng cổng chất lượng duy nhất của `knowledge/sonar-gate.yaml`; repo không tự ghi ngưỡng."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
   owner: op-retry
@@ -1534,21 +2075,10 @@ HFS_STACKS_SHAPE:
   owner: op-retry
   kind: check-finding
 
-HFS_TEST_KIND_RETIRED:
-  title: "Retired test kind or extra test config"
-  title_vi: "Dùng loại test đã bỏ hoặc cấu hình test thừa"
-  meaning_vi: "Có tệp test thuộc loại đã bị loại bỏ, hoặc một cấu hình jest hay Playwright riêng thay vì một cấu hình chung ở gốc."
-  causes_vi:
-    - "Viết spec tích hợp hoặc harness theo kiểu cũ"
-    - "Tạo thêm tệp cấu hình test cho riêng từng nhóm"
-  nextStep_vi: "Bộ kiểm kiến trúc từ chối; op phải đổi tệp thành unit hoặc e2e và bỏ cấu hình thừa rồi chạy lại."
-  owner: op-retry
-  kind: check-finding
-
 HFS_TOOL_CONFIG_LOCAL:
   title: "Configs only call the factories; no local rules"
   title_vi: "Kho tự đặt luật cục bộ"
-  meaning_vi: "Repo có cấu hình công cụ cục bộ ở `<file>`: tệp cấu hình ngoài bộ được quản lý (`.eslintrc*`, `.eslintignore`, `eslint.config.*` hay `stylelint.config.*` thứ hai, cấu hình prettier/lint-staged khác), tệp tự định nghĩa luật ESLint hoặc plugin stylelint, khóa cấu hình công cụ trong `package.json` (`eslintConfig`, `stylelint`, `prettier`, `lint-staged`, `jest`), hoặc lệnh chạy eslint/stylelint/prettier với cờ đổi cấu hình (`--rule`, `--no-inline-config`, `--no-eslintrc`, `--config`, `--ignore-pattern`). Luật chung nằm trong `.claude`; đề xuất thay đổi ở đó."
+  meaning_vi: "Repo có cấu hình công cụ cục bộ ở `<file>`: tệp cấu hình ngoài bộ được quản lý (`.eslintrc*`, `.eslintignore`, `eslint.config.*` hay `stylelint.config.*` thứ hai, cấu hình prettier/lint-staged khác), tệp tự định nghĩa luật ESLint hoặc plugin stylelint, khóa cấu hình công cụ trong `package.json` (`eslintConfig`, `stylelint`, `prettier`, `lint-staged` hoặc khóa Jest), hoặc lệnh chạy eslint/stylelint/prettier với cờ đổi cấu hình (`--rule`, `--no-inline-config`, `--no-eslintrc`, `--config`, `--ignore-pattern`). Luật chung nằm trong `.claude`; đề xuất thay đổi ở đó."
   causes_vi:
     - "Vi phạm luật R16: Cấu hình của repo chỉ gọi factory của `.claude`; cấm tệp cấu hình công cụ khác, tệp luật cục bộ (vd một tệp eslint-local trong thư mục scripts) và cờ dòng lệnh đổi hoặc tắt cấu hình trong hook, workflow, script."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
@@ -1579,9 +2109,9 @@ HFS_TS_STRICT:
 HFS_UNTRACKED_ROOT_ENTRY:
   title: "No untracked or ignored entry outside an `ignored` slot"
   title_vi: "Mục lạ ở gốc kho"
-  meaning_vi: "Có mục chưa được git theo dõi, cũng không nằm trong `.gitignore` hay slot `ignored`, nên HFS không cho phép nó tồn tại trong cây làm việc. Theo dõi nó vào đúng slot, hoặc lưu trữ ra `D:/starci-archive/` rồi xóa."
+  meaning_vi: "Có mục chưa được git theo dõi, cũng không nằm trong `.gitignore` hay slot `ignored`, nên HFS không cho phép nó tồn tại trong cây làm việc. Theo dõi nó vào đúng slot, hoặc lưu trữ ra `<archive root>/` rồi xóa."
   causes_vi:
-    - "Vi phạm luật R03: Thư mục làm việc không được có mục untracked/ignored ngoài slot `ignored` (vd `nul`, `.qwen/`, `.worktrees/`, `design-plans/`, `express`)."
+    - "Vi phạm luật R03: Thư mục làm việc không được có mục untracked/ignored ngoài slot `ignored` (vd `nul`, `.worktrees/`, `design-plans/`, `express`)."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
   owner: op-retry
   kind: check-finding