@starci/hfs 4.3.0 → 4.4.0

package/runtime/modules/kernel/failure-codes.yaml

@@ -212,6 +212,50 @@ ARCH_TYPESCRIPT_MISSING:
   owner: op-retry
   kind: check-finding
 
+BACKUP_PROOF_MISSING:
+  title: "A declared backup has no tracked restore proof"
+  title_vi: "Bản sao lưu được khai báo thiếu bằng chứng phục hồi được theo dõi"
+  meaning_vi: "Backup chưa có restoreProof hoặc tham chiếu của nó không trỏ tới tệp bằng chứng phục hồi hợp lệ được Git theo dõi."
+  causes_vi:
+    - "Vi phạm R267: khai báo sao lưu hoặc tệp không được theo dõi chưa chứng minh được khả năng phục hồi dữ liệu."
+  nextStep_vi: "Thử phục hồi trong môi trường cách ly, ghi bằng chứng vào tệp được theo dõi và khai báo đường dẫn đó tại backup.restoreProof."
+  owner: op-retry
+  kind: check-finding
+
+BACKUP_UNDECLARED:
+  title: "A stateful component has no complete backup declaration"
+  title_vi: "Component có trạng thái thiếu khai báo sao lưu đầy đủ"
+  meaning_vi: "Component có dữ liệu bền vững hoặc backing được quản lý không có backup tương ứng nêu component, target, retention và owner của môi trường."
+  causes_vi:
+    - "Vi phạm R267: nơi lưu bản sao, thời gian giữ và người chịu trách nhiệm phục hồi chưa được khai báo."
+  nextStep_vi: "Thêm backup cho từng component có trạng thái với nơi lưu, chính sách giữ và chủ sở hữu; nêu rõ miền lỗi của bản sao."
+  owner: op-retry
+  kind: check-finding
+
+BE_AMBIENT_CLOCK:
+  title: "Ambient clock read directly"
+  title_vi: "Đọc đồng hồ hệ thống trực tiếp"
+  meaning_vi: "Một tệp (kể cả spec) ngoài platform/clock tham chiếu tới đồng hồ hệ thống: Date.now, new Date() không tham số, performance.now, process.hrtime hoặc Temporal.Now, dù gọi hay chỉ tham chiếu, nên không có cách nào thay đồng hồ trong một spec hoặc lái một job theo lịch tới một thời điểm chọn trước."
+  causes_vi:
+    - "const startedAt = Date.now()"
+    - "const at = new Date()"
+    - "const mark = performance.now()"
+    - "const read = Date.now, hoặc const { now } = performance"
+  nextStep_vi: "Tiêm cổng Clock (đọc thời gian qua clock.now()) thay vì đọc đồng hồ hệ thống trực tiếp; một spec lái thời gian bằng FakeClock của @starci/jest-preset. op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_AMBIENT_ID:
+  title: "An id is minted from the ambient random source"
+  title_vi: "Mã định danh được sinh trực tiếp từ nguồn ngẫu nhiên"
+  meaning_vi: "Mã ở `<file>` gọi `randomUUID` của Node crypto (import tên, import namespace hoặc `crypto` toàn cục), một bộ sinh `v1`, `v4`, `v6`, `v7` của `uuid`, hoặc `nanoid`/`ulid` thay vì lấy từ cổng `Ids`; spec khi đó không điều khiển được mã nào được sinh ra và một lần chạy lỗi không tái hiện được."
+  causes_vi:
+    - "Vi phạm luật R142: dịch vụ gọi `randomUUID()` trực tiếp để tạo khóa hoặc mã sự kiện"
+    - "Spec tự sinh mã bằng `randomUUID` thay vì dùng `fakeIds()`"
+  nextStep_vi: "Tiêm cổng bằng `@InjectIds() private readonly ids: Ids` và gọi `ids.next()`; trong spec cấp `fakeIds([...])` qua token của `platform/ids`. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_APPLICATION_IMPORTS_TRANSPORT:
   title: "Application imports transport layer"
   title_vi: "Lớp ứng dụng import lớp giao vận"
@@ -232,6 +276,18 @@ BE_APPLICATION_TRANSPORT_FRAMEWORK:
   owner: op-retry
   kind: check-finding
 
+BE_APP_BOOT_PROOF_MISSING:
+  title: "Lite app has no successful Nest dependency wiring proof"
+  title_vi: "Ứng dụng lite chưa chứng minh ghép nối phụ thuộc Nest thành công"
+  meaning_vi: "AppModule thật của ứng dụng lite không biên dịch được đồ thị phụ thuộc với dữ liệu mẫu và các đối tượng thay thế hạ tầng; bản full tiếp tục dùng bằng chứng e2e hiện có."
+  causes_vi:
+    - "Thiếu provider, thiếu export của module hoặc có phụ thuộc vòng"
+    - "Thiếu AppModule, dữ liệu mẫu cho đăng ký động hoặc đối tượng thay thế hạ tầng"
+    - "Tiến trình chứng minh ghép nối thất bại hoặc hết thời gian"
+  nextStep_vi: "Sửa đăng ký và phạm vi provider trong AppModule thật, cung cấp dữ liệu mẫu cùng đối tượng thay thế hạ tầng rồi chạy lại starci app check --wiring."
+  owner: op-retry
+  kind: check-finding
+
 BE_APP_BUSINESS_ROLE:
   title: "Composition root holds business role"
   title_vi: "Gốc ghép nối chứa vai trò nghiệp vụ"
@@ -242,6 +298,17 @@ BE_APP_BUSINESS_ROLE:
   owner: op-retry
   kind: check-finding
 
+BE_APP_COMPOSITION_BUDGET:
+  title: "An app composition file is over its line budget"
+  title_vi: "Tệp ghép nối của ứng dụng vượt ngân sách dòng"
+  meaning_vi: "Một tệp ghép nối của ứng dụng vượt ngân sách dòng mà slot `be.app.*` đặt ra (`app.module.ts` 250, `<app>.env.ts` 150, `<app>.options.ts` 200, `compose/<area>.ts` 120, `main.ts` 80). Ngân sách là tuyệt đối, không phải kiểu không-được-tăng."
+  causes_vi:
+    - "Vi phạm luật R246: mọi module của ứng dụng được liệt kê trực tiếp trong app.module.ts"
+    - "Một nhóm compose/<area>.ts gom nhiều khu vực vào một tệp"
+  nextStep_vi: "Tách một khu vực ghép nối ra nhóm mới `apps/<app>/src/compose/<area>.ts` và spread nó trong `app.module.ts`; tệp options chỉ giữ giá trị từ môi trường và ràng buộc cổng. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_APP_COMPOSITION_ONLY:
   title: "Composition root has stray source"
   title_vi: "Gốc ghép nối có tệp lạc chỗ"
@@ -252,6 +319,49 @@ BE_APP_COMPOSITION_ONLY:
   owner: op-retry
   kind: check-finding
 
+BE_APP_ENV_REQUIRED:
+  title: "A back-end app lacks its typed environment boundary"
+  title_vi: "Ứng dụng back end thiếu ranh giới môi trường có kiểu"
+  meaning_vi: "Ứng dụng không có tệp <app>.env.ts được theo dõi với interface và read<App>Env(env: EnvSource), hoặc main.ts tự đọc và phân tích môi trường thay vì gọi hàm đó."
+  causes_vi:
+    - "Ứng dụng thiếu tệp môi trường hoặc dùng hàm đọc không có hợp đồng kiểu"
+    - "main.ts gọi parseConfig hoặc đọc EnvSource trực tiếp"
+  nextStep_vi: "Tạo và theo dõi apps/<app>/src/<app>.env.ts, xuất interface cùng read<App>Env nhận EnvSource; main.ts chỉ tạo EnvSource một lần rồi gọi hàm đọc đó để khởi động."
+  owner: op-retry
+  kind: check-finding
+
+BE_APP_MODULE_LIST_INLINE:
+  title: "An app root holds an inline composition list"
+  title_vi: "Module gốc ứng dụng chứa danh sách ghép nối tại chỗ"
+  meaning_vi: "app.module.ts liệt kê module, queue hoặc scheduler tại chỗ thay vì spread nhóm có kiểu từ compose/<area>.ts."
+  causes_vi:
+    - "Module gốc nhập trực tiếp các module tính năng hoặc đăng ký capability"
+    - "Danh sách ghép nối được đặt trong biến của module gốc để tránh nhóm compose"
+  nextStep_vi: "Chuyển danh sách vào nhóm có kiểu trong compose/<area>.ts rồi spread nhóm trong app.module.ts; chỉ giữ guard và filter toàn ứng dụng tại module gốc."
+  owner: op-retry
+  kind: check-finding
+
+BE_APP_OPTIONS_COMPOSITION:
+  title: "App env or options holds module, queue or scheduler composition"
+  title_vi: "Tệp options của ứng dụng chứa danh sách module, queue hoặc scheduler"
+  meaning_vi: "`apps/<app>/src/<app>.env.ts` or `apps/<app>/src/<app>.options.ts` chứa một mảng module Nest (lớp `*Module`, lời gọi `X.register(...)`, `forRoot(...)`, `registerQueue(...)`), một mục queue hoặc scheduler (`*SchedulerOf(...)`), hoặc một danh sách `imports`, `modules`, `schedulers`, `processors`. Tệp options chỉ giữ các giá trị đọc từ môi trường và các ràng buộc cổng (map provider như `{ approvalGate: X }`); danh sách ghép nối thuộc về `compose/<area>.ts`. The env file allows typed, fail-fast parsing through EnvSource and capability parse helpers only and also refuses standalone module or queue registration calls; the options file holds env-derived values and port bindings with no parsing."
+  causes_vi:
+    - "Vi phạm luật R245: dồn danh sách module, queue hoặc scheduler vào <app>.options.ts để app.module.ts ngắn lại"
+  nextStep_vi: "Chuyển danh sách vào `apps/<app>/src/compose/<area>.ts` (mỗi khu vực một nhóm, xuất mảng module của khu vực đó) và spread nhóm trong `app.module.ts`; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_ASYNC_NO_AWAIT:
+  title: "Async function that never awaits"
+  title_vi: "Hàm async không có await"
+  meaning_vi: "Một hàm async không chứa await nào, nên nó hứa việc bất đồng bộ mà không làm, biến lỗi ném ra thành promise bị từ chối vô ích và khiến người đọc tìm một điểm chờ không tồn tại."
+  causes_vi:
+    - "async method chỉ return giá trị đồng bộ"
+    - "async arrow chỉ trả về promise của hàm khác"
+  nextStep_vi: "Bỏ async và trả giá trị (hoặc promise thân hàm đã có); nếu chữ ký phải trả Promise thì trả Promise.resolve(giá trị). Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_ASYNC_SPEC_MISSING:
   title: "Every message consumer and saga has an e2e spec"
   title_vi: "Consumer hoặc saga chưa có spec e2e"
@@ -272,6 +382,36 @@ BE_BACKGROUND_UNOWNED:
   owner: op-retry
   kind: check-finding
 
+BE_CLI_BOOTSTRAP:
+  title: "The cli app does not boot with CommandFactory.run, or serves"
+  title_vi: "App cli không khởi động bằng CommandFactory.run hoặc lại chạy như server"
+  meaning_vi: "`main.ts` của app cli khởi động bằng `CommandFactory.run(...)` của nest-commander và không bao giờ phục vụ HTTP hay microservice: `NestFactory.create*`, `.listen()`, adapter `@nestjs/platform-*` hay `@nestjs/microservices` trong app cli đều bị từ chối."
+  causes_vi:
+    - "Vi phạm luật R148: app cli chạy một lệnh rồi thoát; một server trong app cli là một app api đội lốt."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: viết `main.ts` của app cli là `CommandFactory.run(AppModule, logger)` và bỏ mọi phần tạo server khỏi app cli."
+  owner: op-retry
+  kind: check-finding
+
+BE_CLI_COMMAND_SHAPE:
+  title: "A cli command is misplaced or has no spec"
+  title_vi: "Lệnh cli đặt sai chỗ hoặc thiếu spec"
+  meaning_vi: "Lệnh nest-commander (`@Command` hoặc `@SubCommand`) chỉ được khai báo trong `src/features/cli/`: nhóm `@Command` ở `<group>/<group>.cli.ts`, `@SubCommand` kế thừa `CommandRunner` ở `<group>/subs/<name>.cli.ts`, mỗi tệp một lệnh, và mỗi lệnh con có unit spec `<name>.cli.spec.ts` bên cạnh."
+  causes_vi:
+    - "Vi phạm luật R149: lệnh cli là nơi chạy hành động (không phải transport mỏng), nên phải nằm đúng chỗ và được chứng minh bằng spec như một service."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: chuyển lệnh về `src/features/cli/<group>/subs/<name>.cli.ts` (nhóm về `<group>/<group>.cli.ts`), cho lệnh con kế thừa `CommandRunner` và viết `<name>.cli.spec.ts` bên cạnh."
+  owner: op-retry
+  kind: check-finding
+
+BE_CLI_OWNER:
+  title: "A command line outside the cli"
+  title_vi: "Có dòng lệnh nằm ngoài cli"
+  meaning_vi: "`nest-commander` chỉ được import trong app cli và gốc feature cli; không mã back end nào tự đọc `process.argv` hay import commander, yargs, minimist."
+  causes_vi:
+    - "Vi phạm luật R150: một cửa hành động một lần ở app khác (ví dụ cờ `migrate` trong api) lách khỏi app cli, image cli và spec của lệnh."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: viết hành động thành một lệnh `src/features/cli/<group>/subs/<name>.cli.ts` do app cli chạy và bỏ việc đọc tham số dòng lệnh ở nơi khác."
+  owner: op-retry
+  kind: check-finding
+
 BE_CLI_REQUIRED:
   title: "The back end has no cli app, or no cli image"
   title_vi: "Back end thiếu app cli hoặc image của nó"
@@ -282,6 +422,29 @@ BE_CLI_REQUIRED:
   owner: op-retry
   kind: check-finding
 
+BE_COMPOSITION_UNTYPED:
+  title: "App composition lives outside an explicitly typed area group"
+  title_vi: "Ghép nối ứng dụng nằm ngoài nhóm khu vực có kiểu tường minh"
+  meaning_vi: "Danh sách hoặc map module, provider, queue hay scheduler được đặt trong main, env hoặc options, hoặc nhóm compose không khai báo kiểu mảng hay kiểu trả về tường minh. Kiểm tra dựa trên kiểu đã phân giải, không dựa trên tên lớp hoặc hàm."
+  causes_vi:
+    - "Đổi tên module hoặc helper, dùng configure hay cron-table để giấu danh sách ghép nối"
+    - "Xuất nhóm compose với kiểu suy luận, any hoặc phần tử không phải thành phần ghép nối"
+  nextStep_vi: "Chuyển danh sách sang compose/<area>.ts, khai báo kiểu mảng hoặc kiểu trả về như Array<DynamicModule | Type<unknown>>, rồi spread nhóm trong app.module.ts; chỉ để giá trị môi trường và ràng buộc cổng trong options."
+  owner: op-retry
+  kind: check-finding
+
+BE_CONFIG_OWNER:
+  title: "Environment read outside platform/config"
+  title_vi: "Đọc biến môi trường ngoài platform/config"
+  meaning_vi: "Một tệp đọc process.env (truy cập, destructuring, Reflect.get hay import env của node:process), import @nestjs/config hoặc dotenv, gọi một hàm đọc cấu hình của <capability>.config.ts ngoài main.ts (tệp config, spec của nó hoặc test world), hoặc ghép đường dẫn từ process.cwd() với src hay .starcistacks, ngoài tệp khai báo lớp EnvSource của platform/config, nên cấu hình của capability không đi qua bộ đọc có kiểu duy nhất."
+  causes_vi:
+    - "Đọc process.env trực tiếp trong service, module hoặc factory"
+    - "Import @nestjs/config, dotenv hoặc gọi platformConfig()/parse<C>Config() trong service, ở phạm vi module hay trong factory thay vì nhận options do main.ts truyền vào AppModule.register"
+    - "path.join(process.cwd(), \"src\", ...)"
+  nextStep_vi: "Thêm khóa vào <capability>.config.ts (parse<C>Config(env: EnvSource)) và lấy giá trị qua <capability>.options.ts; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_CONNECTION_DUPLICATE:
   title: "One database reached through more than one connection or injector"
   title_vi: "Một cơ sở dữ liệu có hơn một kết nối hoặc injector"
@@ -365,6 +528,42 @@ BE_CONTRACT_UNGUARDED:
   owner: op-retry
   kind: check-finding
 
+BE_COOKIE_ATTRIBUTES:
+  title: "A cookie a door writes leaves its attributes to the defaults"
+  title_vi: "Cookie do cửa backend ghi ra không nêu rõ thuộc tính"
+  meaning_vi: "Một lời gọi `cookie` hoặc `setCookie` trên phản hồi của Express hay Fastify ở `<file>` không nêu `httpOnly: true`, `secure: true` hoặc `sameSite` là `lax`/`strict` bằng giá trị cố định, hoặc `Set-Cookie` được ghi tay thành header; cookie đó khi đó đọc được từ script của trang, đi qua HTTP thường hoặc đi theo request chéo trang."
+  causes_vi:
+    - "Vi phạm luật R141: gọi `res.cookie(name, value)` không có options, hoặc options thiếu một trong ba thuộc tính"
+    - "`sameSite: \"none\"`, `secure: false` hoặc `httpOnly` lấy từ một biến boolean không cố định"
+    - "Ghi header `Set-Cookie` bằng `setHeader`, `append` hoặc `header`"
+  nextStep_vi: "Khai báo một hằng số options `as const` trong module sở hữu cookie với `httpOnly: true`, `secure: true` và `sameSite: \"lax\"` hoặc `\"strict\"`, rồi truyền nó vào mọi lần `res.cookie`; bỏ mọi header `Set-Cookie` viết tay. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_CORS_ALLOWLIST:
+  title: "API CORS has no exact origin allowlist"
+  title_vi: "CORS của API thiếu danh sách origin cụ thể"
+  meaning_vi: "API chưa giới hạn các origin của trình duyệt bằng danh sách cấu hình rõ ràng."
+  causes_vi:
+    - "Thiếu enableCors hoặc origin là wildcard, true hay danh sách rỗng"
+  nextStep_vi: "Áp dụng allowedOrigins của http-security hoặc danh sách origin cụ thể; cấu hình phải từ chối wildcard và origin không hợp lệ."
+  owner: op-retry
+  kind: check-finding
+
+BE_CQRS_SHAPE:
+  title: "Application layer is not in CQRS shape"
+  title_vi: "Tầng ứng dụng sai hình CQRS"
+  meaning_vi: "Tầng application phải là CQRS: message Command<R>/Query<R> chỉ mang một trường readonly params kiểu ExecuteParams hoặc PublicExecuteParams, handler kế thừa ICQRSHandler và override process (không override execute). Bộ kiểm tra thấy tệp *.use-case.ts, service chuyển tiếp, message không khai kiểu kết quả, EventBus, @EventsHandler hoặc EventEmitter2, cũng như new EventEmitter() / extends EventEmitter, new Subject() (RxJS) dùng làm kênh, hoặc lớp giữ danh sách callback do nơi khác đăng ký (như *TransitionEmitter)."
+  causes_vi:
+    - "Còn lớp use case kiểu cũ"
+    - "Message thiếu kiểu kết quả Command<R>"
+    - "Handler override execute"
+    - "Dùng sự kiện trong tiến trình thay cho outbox"
+    - "class XTransitionEmitter { private emitter = new EventEmitter() } hoặc lớp tự giữ Set<callback> rồi gọi từng callback"
+  nextStep_vi: "Tách mỗi thao tác thành <action>.command.ts hoặc <action>.query.ts, <action>.handler.ts và <action>.contracts.ts; transport gọi bus trực tiếp; hiệu ứng phụ bắt buộc đi qua outbox trong transaction. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 BE_DEFAULT_DENY:
   title: "Open or untyped door"
   title_vi: "Cửa mở hoặc nhận dữ liệu không kiểu"
@@ -380,6 +579,19 @@ BE_DEFAULT_DENY:
   owner: op-retry
   kind: check-finding
 
+BE_ENTITY_IN_CONTRACT:
+  title: "ORM entity leaks into a contract"
+  title_vi: "Entity ORM lộ ra hợp đồng"
+  meaning_vi: "Một kiểu có khai báo @Entity của ORM với nguồn gốc từ typeorm nằm trong tầm với của một chữ ký transport, hàm execute của handler, hợp đồng (*.contracts.ts) hoặc thông điệp (*.command.ts, *.query.ts), trực tiếp hay qua tham số kiểu và thuộc tính, nên cấu trúc bảng bị lộ ra ngoài capability; hoặc một tệp entity nhập @nestjs/graphql hay class-validator."
+  causes_vi:
+    - "Trả nguyên entity từ resolver hoặc controller"
+    - "Truyền entity xuyên tầng thay vì mã người dùng và vai trò"
+    - "Một thuộc tính của kiểu hợp đồng có kiểu là Array<OrderEntity>"
+    - "Entity gắn decorator @Field hoặc @IsString"
+  nextStep_vi: "Trả một projection (kiểu thường của hợp đồng) và truyền principal id cùng role; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_ENTRYPOINT_ONLY_IN_APPS:
   title: "Entrypoints only in `apps/*/src`"
   title_vi: "Entrypoint nằm ngoài apps"
@@ -392,6 +604,18 @@ BE_ENTRYPOINT_ONLY_IN_APPS:
   owner: op-retry
   kind: check-finding
 
+BE_ERROR_CAUSE_DROPPED:
+  title: "A catch replaces the failure without carrying it"
+  title_vi: "Catch thay lỗi mà không giữ lỗi gốc"
+  meaning_vi: "Một `throw` thoát ra khỏi `catch` (hoặc handler `.catch`) ở `<file>` ném một lỗi mới mà không ném lại giá trị đã bắt và không mang nó theo; lỗi gốc cùng stack của nó mất hẳn. Lỗi thay thế phải nhận đúng giá trị đã bắt làm `cause` (luật R108, BE-ERROR-4)."
+  causes_vi:
+    - "catch (error) { throw new PlanError({ code: PlanErrorCode.Failed }) } thiếu `cause: error`"
+    - "Chỉ đọc `error.message` rồi dựng lỗi mới từ chuỗi đó"
+    - "catch { throw new PlanError(...) } không đặt tên cho giá trị đã bắt"
+  nextStep_vi: "Đặt tên cho giá trị bắt được (`catch (error)`) và truyền đúng nó làm `cause` của lỗi capability (`new <C>Error({ code, cause: error })`), hoặc ném lại chính nó. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_ERROR_HOME:
   title: "Error declared outside its capability"
   title_vi: "Lỗi không nằm ở capability sở hữu"
@@ -430,6 +654,17 @@ BE_EVENT_CLASS_CONTRACT:
   owner: op-retry
   kind: check-finding
 
+BE_EVENT_CONSUMER_SHAPE:
+  title: "A message consumer is a transport door named after its event"
+  title_vi: "Consumer sự kiện sai chỗ, sai tên hoặc không chuyển eventId"
+  meaning_vi: "Một lớp implements `EventConsumer` nằm ngoài tệp `.consumer.ts` của `transport/message`, tên tệp không theo `eventName` của lớp sự kiện, `handle` không đọc `delivery.eventId`, hoặc một tệp `.consumer.ts` chứa lớp không phải consumer sự kiện."
+  causes_vi:
+    - "Vi phạm luật R153: giao hàng ít nhất một lần nên mỗi lần nhận lại phải dedupe; consumer chuyển `eventId` vào command để domain service claim trong `platform/inbox` cùng transaction với tác dụng của nó."
+    - "Consumer được đặt ở handler hoặc nơi khác, hoặc đặt tên theo ý riêng khiến bên phát và bên nhận không cùng một tên sự kiện."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đặt consumer tại `transport/message/<event>.consumer.ts` (tên theo eventName, dấu chấm thành gạch ngang), khai báo `readonly event = <Lớp>Event`, và truyền `delivery.eventId` vào command được dispatch."
+  owner: op-retry
+  kind: check-finding
+
 BE_FEATURE_IMPORTS_FEATURE:
   title: "A feature never imports a feature"
   title_vi: "Feature import feature khác"
@@ -474,6 +709,89 @@ BE_FEATURE_SHAPE:
   owner: op-retry
   kind: check-finding
 
+BE_FEATURE_THIN:
+  title: "A feature file holds logic"
+  title_vi: "Tệp feature chứa logic thay vì chỉ ủy quyền"
+  meaning_vi: "Mọi tệp thuộc tầng feature có vai trò trong ruleParams.be.thinRoles (handler, resolver, controller, consumer, processor, step, saga, saga-step, compensation, webhook, gateway, subscription, cli, mapper, service của saga) chỉ ánh xạ tham số rồi thực hiện MỘT lệnh gọi ủy quyền vào modules/ (service, command bus, query bus, event bus hoặc queue producer): không if/switch/vòng lặp/toán tử ba ngôi/&&/||/??, không try/catch hay throw, không tính toán (so sánh, phép toán, chuỗi mẫu có biểu thức), không gọi hàm nào khác ngoài lệnh ủy quyền duy nhất, hàm ánh xạ thuần (*.mapper.ts) và logger. Logic nghiệp vụ nằm ở modules/** nơi được đo độ phủ 100% từng tệp; điều phối (thứ tự bước, bù trừ, claim, fencing, retry) nằm ở platform/*; tầng feature được kiểm chứng bằng integration và e2e, không bằng unit spec. A webhook POST delegates only to its durable inbox recording intake and may return the declared literal PROVIDER_ACK; its optional GET challenge delegates once to the domain verifier and echoes only that result. Webhook doors and HTTP modules import or inject no CommandBus, QueryBus or feature command handler; the reactor or job alone dispatches the processing command after commit."
+  causes_vi:
+    - "Handler, consumer hoặc processor có if/switch/vòng lặp/try để quyết định nghiệp vụ thay vì để service quyết định"
+    - "Step hoặc saga service gọi hai service liên tiếp (điều phối nằm sai chỗ, phải thuộc platform/*)"
+    - "Mapper tính toán hoặc rẽ nhánh (giá trị mặc định bằng ||, so sánh, nối chuỗi) thay vì chỉ đổi tên và sao chép trường"
+    - "Lệnh cli chứa vòng lặp, try/catch hoặc phép gán thay vì gọi một service của platform"
+  nextStep_vi: "Chuyển phần logic vào service/policy/mapper thuộc modules/** (domain hoặc platform tùy loại), viết unit spec đạt 100% từng tệp ở đó, rồi để tệp feature chỉ gọi đúng một phương thức. Điều phối nhiều bước chuyển vào platform/* (saga, jobs, event-bus, queue). Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và knowledge/patterns/be/*.yaml; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_HAND_ROLLED_RETRY:
+  title: "Hand-rolled retry loop"
+  title_vi: "Tự viết vòng lặp thử lại thay vì dùng bộ trợ giúp chung"
+  meaning_vi: "Một vòng lặp bắt lỗi (catch hoặc .catch) rồi chờ trước khi thử lại được viết tay tại chỗ; chờ nghĩa là gọi setTimeout, hàm của node:timers/promises, hoặc một hàm khai báo ngoài platform/retry mà thân hàm chờ, dù tên hàm là gì. Vòng lặp như vậy không có giới hạn số lần thử mà bộ kiểm tra nhìn thấy được, không có jitter, và không có cách nào tôn trọng một abort signal."
+  causes_vi:
+    - "for (let i = 0; i < max; i++) { try { return await fn() } catch (e) { await sleep(backoffMs(i)) } }"
+    - "while (true) { try { return await fn() } catch (e) { await new Promise((r) => setTimeout(r, delayMs)) } }"
+  nextStep_vi: "Thử lại qua bộ trợ giúp chung platform/retry (giới hạn số lần thử, backoff theo cấp số nhân có jitter, nhận abort signal) thay vì viết vòng lặp tại chỗ; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_HEALTH_SIGNALS:
+  title: "API does not expose both live and ready health signals"
+  title_vi: "API chưa cung cấp đủ tín hiệu live và ready"
+  meaning_vi: "Đồ thị module của API chưa đăng ký cả endpoint liveness và readiness."
+  causes_vi:
+    - "Thiếu route live hoặc ready hoặc controller chưa được đăng ký trong module của API"
+  nextStep_vi: "Đăng ký controller live và ready trong đồ thị module được API compose."
+  owner: op-retry
+  kind: check-finding
+
+BE_HTTP_TIMEOUT:
+  title: "Outbound HTTP call without a timeout"
+  title_vi: "Gọi HTTP ra ngoài không có timeout"
+  meaning_vi: "Một lời gọi fetch, axios hoặc HttpService không nêu timeout hay signal huỷ, nên một bên ngoài im lặng giữ yêu cầu, socket và một chỗ worker vô hạn."
+  causes_vi:
+    - "fetch(url) không có { signal }"
+    - "axios.get hoặc post không có timeout"
+    - "axios.create không có timeout"
+  nextStep_vi: "Thêm signal: AbortSignal.timeout(<ms có tên>) cho fetch, hoặc timeout: <ms có tên> cho axios và HttpService. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_INBOX_DEDUPE_MISSING:
+  title: "Webhook or consumer with no inbox dedupe"
+  title_vi: "Thiếu chống trùng lặp qua inbox"
+  meaning_vi: "Một handler của consumer (tệp *.consumer.ts trong transport/message) hoặc một handler mang @Public({ reason: PublicReason.SignedWebhook }) không bắt đầu bằng await inbox.claim(source, eventId) trên một receiver có kiểu Inbox của platform/inbox, hoặc có claim nhưng không return sớm khi claim trả false, nên khi bên gửi gửi lại (webhook không thấy phản hồi kịp, hàng đợi giao lại một thông điệp chưa được xác nhận) hành động sẽ chạy lại lần nữa thay vì là một no-op."
+  causes_vi:
+    - "@Public({ reason: PublicReason.SignedWebhook }) handle() { return this.service.charge() }"
+    - "class PaymentCapturedConsumer { handle() { return this.service.capture() } }"
+    - "await this.inbox.claim(source, id) rồi chạy tiếp mà không kiểm tra kết quả"
+  nextStep_vi: "Gọi await this.inbox.claim(source, eventId) trước mọi await khác và return khi nó trả false (if (!(await this.inbox.claim(source, eventId))) return), để một lượt giao lại trở thành no-op; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_INFRA_OWNER:
+  title: "Infrastructure library used outside its owning capability"
+  title_vi: "Thư viện hạ tầng dùng ngoài năng lực sở hữu"
+  meaning_vi: "Mỗi thư viện hạ tầng thô có đúng một năng lực sở hữu: fetch/axios/got/undici/node:http chỉ ở platform/http; cache-manager/redis/ioredis chỉ ở integrations/cache hoặc integrations/redis; bullmq/kafkajs chỉ ở platform/messaging; setTimeout/setInterval/node:timers chỉ ở platform/{scheduling,retry,messaging,http}; winston chỉ ở platform/logging; dayjs/moment chỉ ở platform/{clock,primitives}; @nestjs/config, dotenv, @nestjs/event-emitter và @nestjs/schedule không được dùng."
+  causes_vi:
+    - "Gọi fetch thẳng trong client tích hợp"
+    - "Hẹn giờ bằng setTimeout trong service"
+    - "Dùng dayjs trong miền"
+    - "Gọi cổng HttpClient của platform/http ngoài một năng lực integrations, ví dụ service miền gọi thẳng endpoint token hay admin của Keycloak hoặc API gửi thư"
+  nextStep_vi: "Gọi qua cổng của năng lực sở hữu (HttpClient, Cache, MessagePublisher, Clock, Logger) được tiêm bằng Inject*(). Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_INPUT_BOUNDED:
+  title: "Bounded input, depth limits, rate limits"
+  title_vi: "Input không giới hạn"
+  meaning_vi: "Một thuộc tính của lớp input ở `<file>` không có class-validator đúng với kiểu của nó (string thiếu @MaxLength, enum thiếu @IsEnum, mảng thiếu @ArrayMaxSize, object lồng thiếu @ValidateNested cùng @Type), hoặc phân trang bằng skip, offset, OFFSET hay số trang thay vì cursor."
+  causes_vi:
+    - "Thuộc tính của lớp input không có decorator class-validator nào, hoặc thiếu ràng buộc mà kiểu của nó đòi hỏi"
+    - "skip hoặc offset trong tùy chọn find*, OFFSET trong câu SQL, hoặc trường page, pageNumber, offset trong DTO"
+    - "Cửa mở bằng PublicReason.AuthHandshake hoặc PublicReason.SignedWebhook (đăng nhập, đăng ký, đặt lại mật khẩu, callback, webhook) không có @RateLimit(RateTier.Strict) của platform/http-security trên phương thức hay lớp của nó"
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong tiêu chuẩn HFS; nợ cũ cần quyết định thiết kế nên op không thêm ngoại lệ, chỉ tách hoặc chuyển về đúng chủ."
+  owner: op-retry
+  kind: check-finding
+
 BE_INTEGRATION_SPEC_MISSING:
   title: "Every integration has an integration spec that proves its client through the test world"
   title_vi: "Tích hợp thiếu spec integration chứng minh client qua test world"
@@ -484,6 +802,72 @@ BE_INTEGRATION_SPEC_MISSING:
   owner: op-retry
   kind: check-finding
 
+BE_JOB_FENCE_REQUIRED:
+  title: "Every write to a claimed job carries its required fencing token"
+  title_vi: "Ghi vào job đã claim không bắt buộc fencing token"
+  meaning_vi: "Một phương thức của `JobClaims` nhận job mà kiểu tham số không bắt buộc `expectedFencingToken: number`, một lời gọi dùng `as`, `!` hoặc type assertion để lách, hoặc một `catch` quanh lệnh ghi có guard nuốt lỗi `JobFencedOut`."
+  causes_vi:
+    - "Vi phạm luật R158: lease hết hạn chỉ cho phép claimant mới, không dừng được tiến trình cũ; chỉ token đơn điệu được kiểm tra nguyên tử tại nơi nhận lệnh ghi mới từ chối worker zombie, nên token phải là bắt buộc trong kiểu."
+    - "Token để optional, ép kiểu `as number`, hoặc `catch` ghi log rồi tiếp tục làm worker cũ vẫn gây tác dụng sau khi bị fence."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: khai báo `expectedFencingToken: number` bắt buộc trong kiểu, truyền đúng token trả về từ claim không ép kiểu, và để `FencedProcessor` xử lý lỗi (không `catch` quanh lệnh ghi trong step hay processor)."
+  owner: op-retry
+  kind: check-finding
+
+BE_JOB_RUN_KEY:
+  title: "An external effect of a job step carries a run key with the fencing token"
+  title_vi: "Tác dụng ngoài của step không mang run key chứa fencing token"
+  meaning_vi: "Một lời gọi tới integration trong `steps/<step>.step.ts` không truyền đối số kiểu `RunKey`, hoặc `RunKey` được tạo bằng ép kiểu thay vì `JobClaims.runKey`."
+  causes_vi:
+    - "Vi phạm luật R159: một worker zombie có thể lặp lại tác dụng ngoài; nhà cung cấp chỉ chặn được lặp nếu khoá idempotency gồm `jobId`, bước và fencing token của lần claim."
+    - "Step truyền chuỗi cố định, hoặc `as RunKey` để tránh lỗi kiểu."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: tạo khoá bằng `this.claims.runKey(job, \"<step>\")` và truyền cho integration; việc đọc dữ liệu đưa về lớp application."
+  owner: op-retry
+  kind: check-finding
+
+BE_JOB_SHAPE:
+  title: "A job processor extends the fenced base and a step implements JobStep"
+  title_vi: "Processor của job không kế thừa lớp fenced hoặc step đặt sai chỗ"
+  meaning_vi: "Một tệp `.processor.ts` nằm ngoài thư mục job của nó, tên khác job, không extends `FencedProcessor`; hoặc một tệp `.step.ts` nằm ngoài `steps/` hay không implements `JobStep`."
+  causes_vi:
+    - "Vi phạm luật R160: lớp cơ sở `FencedProcessor` claim job với token được tăng và kết thúc job qua các lệnh ghi có guard; một processor không kế thừa nó không có fence."
+    - "Processor hoặc step được đặt cạnh handler hay nơi khác, làm loại jobs không còn một chỗ duy nhất."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đặt `<job>.processor.ts` trong `features/jobs/<job>/transport/queue/` với class extends `FencedProcessor`, và mỗi step trong `steps/<step>.step.ts` implements `JobStep`."
+  owner: op-retry
+  kind: check-finding
+
+BE_JOB_WRITE_OUTSIDE_OWNER:
+  title: "The job row is written only by platform/jobs"
+  title_vi: "Dòng job bị ghi ngoài platform/jobs"
+  meaning_vi: "Một lời gọi `update`, `increment`, `save`, `insert`, `delete` hoặc query builder ghi vào entity của job nằm ngoài `platform/jobs`."
+  causes_vi:
+    - "Vi phạm luật R157: fencing token và trạng thái của job chỉ đổi qua `JobClaims` (claim, advance, complete, fail), mỗi hàm đều bắt buộc `expectedFencingToken`; ghi thẳng cho phép một worker zombie ghi đè job mà worker mới đang sở hữu."
+    - "Một handler, step hoặc domain service tự `manager.update(JobEntity, ...)` để tiện thay vì gọi cổng `JobClaims`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: bỏ lệnh ghi trực tiếp, gọi `JobClaims.advance`, `complete` hoặc `fail` với `expectedFencingToken` của lần claim; việc chỉ đọc thì không bị cấm."
+  owner: op-retry
+  kind: check-finding
+
+BE_JSON_PARSE_UNGUARDED:
+  title: "JSON.parse outside a try"
+  title_vi: "JSON.parse không nằm trong try"
+  meaning_vi: "Một lời gọi JSON.parse không nằm trong try trong cùng hàm, nên văn bản hỏng từ cơ sở dữ liệu, webhook hoặc nhà cung cấp gây ngoại lệ không được che và trả về 500."
+  causes_vi:
+    - "JSON.parse cột văn bản đã lưu"
+    - "JSON.parse thân webhook hay phản hồi nhà cung cấp"
+  nextStep_vi: "Bọc trong try và trả outcome có kiểu (hoặc DomainError) nêu rõ đang phân tích cái gì. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_JWT_ALG_PINNED:
+  title: "JWT verification has no pinned asymmetric algorithm policy"
+  title_vi: "Xác minh JWT thiếu chính sách thuật toán bất đối xứng cố định"
+  meaning_vi: "Bộ xác minh chưa cố định thuật toán an toàn, nguồn cấu hình của issuer hoặc vai trò authenticated của principal Supabase."
+  causes_vi:
+    - "Danh sách algorithms rỗng, động hoặc chứa none hay HS256"
+    - "Issuer viết trực tiếp hoặc principal chấp nhận vai trò khác authenticated"
+  nextStep_vi: "Dùng danh sách literal gồm ES256, RS256 hoặc EdDSA, lấy issuer từ cấu hình và từ chối vai trò khác authenticated sau xác minh."
+  owner: op-retry
+  kind: check-finding
+
 BE_KIND_DECLARATION:
   title: "The trigger kinds in use are declared, whole and never unused"
   title_vi: "Loại kích hoạt đang dùng chưa khai báo đủ trong hfs.json"
@@ -517,6 +901,79 @@ BE_KIND_ISOLATION:
   owner: op-retry
   kind: check-finding
 
+BE_LITE_PROOF_LANE_MISSING:
+  title: "A lite back end declares a pattern without an integration proof lane"
+  title_vi: "Back end lite khai báo pattern nhưng thiếu nhánh kiểm thử integration"
+  meaning_vi: "Ứng dụng lite khai báo event-bus, queue, webhooks, realtime, fenced-job, projection hoặc saga nhưng không có spec integration để chứng minh hành vi của pattern."
+  causes_vi:
+    - "Vi phạm luật R284: chỉ có unit spec, spec e2e hoặc contract, hoặc chưa có spec dưới src/tests/integration."
+  nextStep_vi: "Thêm spec integration dưới src/tests/integration với test chạy được mang tiêu đề `<pattern>/<kịch bản>: ...` cho từng kịch bản bắt buộc của pattern đã khai báo."
+  owner: op-retry
+  kind: check-finding
+
+BE_LOGGER_REQUIRED:
+  title: "Catch swallows the failure"
+  title_vi: "Catch nuốt lỗi"
+  meaning_vi: "Một catch (hoặc .catch) rỗng, hoặc không ném lại, không gọi phương thức nào của Logger (từ platform/logging), cũng không trả outcome có kiểu mang cause, nên lỗi thật biến mất không để lại dấu vết; hoặc một lời gọi Logger đặt tên sự kiện bằng chuỗi dựng tại chỗ thay vì một thành viên enum trong <owner>.log-events.ts, hoặc dùng Logger của framework thay cho cổng Logger của platform/logging."
+  causes_vi:
+    - "catch {} rỗng"
+    - "catch chỉ trả null, false hoặc undefined"
+    - "catch chỉ gọi console hoặc một đối tượng không có kiểu Logger, vốn không phải logger port"
+    - "logger.info(`Checkout ${id} failed`) thay vì logger.info(OrderLogEvent.CheckoutFailed, { id })"
+    - "new Logger('X') của @nestjs/common"
+  nextStep_vi: "Ném lại lỗi, ghi log bằng logger của platform/logging, hoặc trả outcome có kiểu mang cause; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_LOG_SECRET:
+  title: "Secret or personal data in a log call"
+  title_vi: "Bí mật hoặc dữ liệu cá nhân bị ghi vào log"
+  meaning_vi: "Một lời gọi trên cổng Logger của platform/logging truyền vào một giá trị có kiểu Secret (platform/config) hoặc Pii (identity), hay đọc ra từ một giá trị như vậy; hoặc một đối số có tên là thông tin xác thực (password, secret, token, apiKey, authorization, cookie, otp) hay định danh cá nhân (email, phone, fullName, idCard, birthDate), nên giá trị đó tồn tại lâu hơn yêu cầu và bị sao chép sang bên thứ ba."
+  causes_vi:
+    - "Ghi một giá trị kiểu Secret hoặc Pii, dù đặt tên là gì"
+    - "Ghi token hoặc mật khẩu vào log để gỡ lỗi"
+    - "Ghi email hoặc số điện thoại vào thông điệp lỗi"
+    - "Tạo một lỗi (lớp kế thừa Error, kể cả DomainError) mang giá trị kiểu Secret hoặc chuỗi có tên là thông tin xác thực (token, mật khẩu, authorization, clientSecret) trong thông điệp hay params"
+  nextStep_vi: "Ghi id của chủ sở hữu, độ dài, cờ có hay không, hoặc dạng đã che qua mask(...), không ghi giá trị thật. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_MEMBER_DOC_MISSING:
+  title: "A public member has no doc block"
+  title_vi: "Thành viên công khai không có JSDoc"
+  meaning_vi: "Một thành viên công khai (phương thức, accessor, field hoặc signature) của class, interface hoặc type object được export ở `<file>` không có khối JSDoc ngay phía trên; người gọi chạm tới thành viên chứ không đọc doc của kiểu (luật R109, BE-COMMENT-3)."
+  causes_vi:
+    - "Phương thức public của service hoặc handler không có /** ... */"
+    - "Field của interface Request/Result được export không có doc"
+    - "Comment dòng `//` thay cho khối JSDoc"
+  nextStep_vi: "Thêm một khối JSDoc tiếng Anh ngay trên thành viên, nói nó dùng để làm gì hoặc gọi nó gây ra điều gì; private, protected, constructor và property gán hằng không cần. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_MIGRATION_REVERSIBLE:
+  title: "Migration that cannot be undone"
+  title_vi: "Migration không có down đảo ngược được"
+  meaning_vi: "Một migration có up() nhưng thiếu down(), down() rỗng hoặc chỉ ném lỗi, nên bản phát hành cần quay lui không có đường đi và bảng migration ghi đã hoàn tác trong khi lược đồ vẫn đổi."
+  causes_vi:
+    - "Không có phương thức down"
+    - "down() rỗng"
+    - "down() chỉ throw"
+  nextStep_vi: "Viết down() là phép đảo ngược đúng của up(); khi up() xoá dữ liệu thì down() dựng lại cấu trúc và ghi rõ phần dữ liệu mất trong chú thích migration. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_MODULE_DEFINITION_MISSING:
+  title: "A Nest module has no module definition or is registered without register"
+  title_vi: "Module Nest thiếu module-definition hoặc được đăng ký không qua register"
+  meaning_vi: "Mọi module Nest của sản phẩm (capability, module con, feature, module transport, nhóm cli) phải có tệp <x>.module-definition.ts và <x>.options.ts cạnh <x>.module.ts, lớp module kế thừa ConfigurableModuleClass của chính tệp đó, và khi được import thì chỉ được viết dạng XModule.register({...}), không import trần tên lớp."
+  causes_vi:
+    - "Có <x>.module.ts nhưng thiếu <x>.module-definition.ts hoặc <x>.options.ts bên cạnh"
+    - "Lớp module không kế thừa ConfigurableModuleClass lấy từ ./<x>.module-definition"
+    - "Module sản phẩm nằm trong mảng imports (hoặc nhóm compose của app) như một tên lớp trần thay vì XModule.register({...})"
+  nextStep_vi: "Tạo <x>.module-definition.ts (new ConfigurableModuleBuilder<XOptions>().setClassMethodName(\"register\").build()) và <x>.options.ts (export type XOptions = Record<string, never> nếu chưa có tùy chọn), cho lớp kế thừa ConfigurableModuleClass, và đăng ký bằng XModule.register({}); op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_MODULE_HANDLER_REGISTRATION:
   title: "Handler not registered exactly once"
   title_vi: "Handler chưa đăng ký đúng một lần"
@@ -549,7 +1006,7 @@ BE_MODULE_SHAPE:
     - "new ConfigurableModuleBuilder() không có kiểu options"
     - "register không static, hoặc có forRoot, forFeature, registerAsync"
     - "new XService() hoặc let ở cấp module tạo trạng thái toàn cục"
-    - "Feature có hai module trong một thư mục transport (một module cho mỗi thao tác), có module-definition, hoặc @Module ngoài `<f>.module.ts` và `<f>-<protocol>.module.ts`; app import module ứng dụng của feature hoặc module transport không thuộc loại app cho phép (api: graphql/http/websocket; worker: schedule/message; cli: cli)"
+    - "Feature có hai module trong một thư mục transport (một module cho mỗi thao tác), module-definition không nằm cạnh module của nó, hoặc @Module ngoài `<f>.module.ts` và `<f>-<protocol>.module.ts`; app import module ứng dụng của feature hoặc module transport không thuộc loại app cho phép (api: graphql/http/websocket; worker: schedule/message; cli: cli)"
     - "Bộ máy đồ thị module: module đại diện của capability được đăng ký hai lần trong một app, thiếu isGlobal: true ở gốc app, hoặc bị module khác import"
     - "Module con có hơn một nơi import, hoặc vừa nằm ở gốc app vừa được module khác import"
     - "isGlobal: true xuất hiện ngoài gốc app apps/<app>/src/app.module.ts"
@@ -557,6 +1014,29 @@ BE_MODULE_SHAPE:
   owner: op-retry
   kind: check-finding
 
+BE_OPERATION_CONTRACT:
+  title: "A versioned operation has no typed contract"
+  title_vi: "Thao tác có phiên bản không có hợp đồng kiểu"
+  meaning_vi: "Mỗi thao tác `<tên>@<phiên bản>` của một app được khai báo đúng một lần trong bảng thao tác có kiểu `apps/<app>/src/operations.ts` (`OperationContract<Input, Output, RefusalCode>` đăng ký bằng `defineOperations`). Bộ kiểm tra thấy đầu vào hoặc đầu ra là `any`, `unknown`, `Record<string, unknown>`, kiểu generic chưa gán, hàm hoặc `Date`; mã từ chối không phải hợp các chuỗi literal đóng; hoặc route phục vụ bảng không nhận `OperationRequest<Table>` và trả `Promise<OperationReply<Table>>` của cùng một bảng."
+  causes_vi:
+    - "Đầu vào hoặc kết quả của thao tác khai báo là `unknown` nên client phải tự gõ kiểu tay"
+    - "Mã từ chối khai báo là `string` thay vì hợp các literal như `\"DENIED\" | \"INVALID\"`"
+    - "Route nhận `@Body() body: unknown` hoặc chỉ dùng một nửa `OperationRequest` / `OperationReply`"
+  nextStep_vi: "Khai báo kiểu có tên, đóng cho đầu vào và đầu ra của từng thao tác, liệt kê mã từ chối bằng hợp literal, và cho route nhận `OperationRequest<typeof OPERATIONS>` và trả `Promise<OperationReply<typeof OPERATIONS>>`; chạy `starci app emit` để sinh `contracts/<app>/openapi.json`. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục BE-OPERATIONS-1; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_OUTBOX_WRITE_TX:
+  title: "The outbox is written by a domain service inside its transaction"
+  title_vi: "Outbox bị ghi ngoài domain hoặc không trong transaction"
+  meaning_vi: "`eventBus.publish(event, tx)` hoặc `enqueueX(payload, tx)` của một queue được gọi ngoài `modules/domain`, hoặc đối số `tx` không phải manager của transaction đang chạy (manager dùng chung được inject, một bí danh, manager ở ngoài hoặc thiếu đối số)."
+  causes_vi:
+    - "Vi phạm luật R152: một sự kiện hoặc job là hệ quả của thay đổi miền; dòng outbox phải cùng commit hoặc cùng rollback với thay đổi đó, nên chỉ domain service ghi và chỉ trong transaction của nó."
+    - "Handler, consumer, integration hoặc platform tự phát sự kiện, hoặc gọi `publish` bằng manager ngoài transaction làm sự kiện bị mất hoặc phát dù giao dịch đã rollback."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đưa việc phát sự kiện vào domain service, gọi trong `this.entityManager.transaction(async (manager) => { ... })` và truyền đúng `manager` đó; handler hay consumer chỉ gọi domain service."
+  owner: op-retry
+  kind: check-finding
+
 BE_PATTERN_SPEC_MISSING:
   title: "A declared pattern has its proof scenarios on the test world"
   title_vi: "Pattern đã khai báo thiếu kịch bản chứng minh trên test world"
@@ -567,6 +1047,28 @@ BE_PATTERN_SPEC_MISSING:
   owner: op-retry
   kind: check-finding
 
+BE_PROJECTION_SHAPE:
+  title: "A projection speaks recompute and get, hides its entity, and the api only reads"
+  title_vi: "Projection có phương thức ngoài recompute/get, lộ entity hoặc api gọi recompute"
+  meaning_vi: "Một phương thức public của projection không phải `recompute*` hay `get*`, `index.ts` của projection export entity, hoặc một feature loại api gọi `recompute*`."
+  causes_vi:
+    - "Vi phạm luật R162: projection chỉ làm hai việc, tính lại bảng từ sự kiện nguồn hoặc đọc nó; entity không được lộ để nơi khác không phụ thuộc hình dạng bảng; api chỉ đọc, còn reactor hoặc job giữ bảng luôn mới."
+    - "Thêm một phương thức `set` hay `update` vào projection, hoặc export entity qua index để tiện đọc."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: đổi tên phương thức theo `recompute*`/`get*` (hoặc chuyển logic về domain service), bỏ export entity khỏi `index.ts`, và để reactor hoặc job gọi `recompute*`."
+  owner: op-retry
+  kind: check-finding
+
+BE_PROJECTION_WRITE_OWNER:
+  title: "A read-model table is written only by its own projection"
+  title_vi: "Bảng read model bị ghi ngoài projection của nó"
+  meaning_vi: "Một lệnh ghi vào entity của projection nằm ngoài tệp `<name>.projection.ts` cùng thư mục."
+  causes_vi:
+    - "Vi phạm luật R161: read model chỉ có một người ghi là `recompute*` của projection, idempotent và có thể replay từ sự kiện nguồn; ghi từ nơi khác làm bảng lệch khỏi nguồn mà replay không sửa được."
+    - "Một domain service hoặc handler cập nhật thẳng bảng projection để nhanh."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: bỏ lệnh ghi, để reactor hoặc job gọi `recompute*` của projection, và đọc qua `get*`."
+  owner: op-retry
+  kind: check-finding
+
 BE_PUBLIC_CONTRACT_FORM:
   title: "Public contract form invalid"
   title_vi: "Dạng hợp đồng công khai sai"
@@ -577,6 +1079,62 @@ BE_PUBLIC_CONTRACT_FORM:
   owner: op-retry
   kind: check-finding
 
+BE_PUBLIC_REASON_CLOSED:
+  title: "PublicReason differs from the closed public vocabulary"
+  title_vi: "PublicReason khác danh sách lý do công khai cố định"
+  meaning_vi: "Enum PublicReason của domain/identity hoặc lý do trên cửa công khai không thuộc đúng bốn tên Health, AuthHandshake, SignedWebhook và CatalogRead."
+  causes_vi:
+    - "Vi phạm R290: ứng dụng thêm lý do riêng như ToolToken hoặc ApiKey, hoặc bỏ một lý do chuẩn khỏi enum PublicReason."
+  nextStep_vi: "Giữ đúng bốn thành viên chuẩn của PublicReason; xác thực route dùng API key hoặc tool token bằng guard riêng thay vì thêm lý do công khai."
+  owner: op-retry
+  kind: check-finding
+
+BE_PUBLIC_SURFACE:
+  title: "Owner public surface violated"
+  title_vi: "Bề mặt công khai của owner bị vi phạm"
+  meaning_vi: "Một import chui vào tệp bên trong owner khác thay vì đi qua index.ts của owner, một import cùng owner lại đi vòng qua index.ts của chính nó, một index.ts lồng nhau (không nằm ở gốc owner), hoặc index.ts không chỉ gồm các dòng export { } / export type { } có tên (export *, khai báo, import, export default) hoặc export quá nhiều tên."
+  causes_vi:
+    - "Import theo đường dẫn sâu như @modules/domain/plan/plan.service"
+    - "Import cùng owner theo ./index hoặc ../index thay vì tệp khai báo ký hiệu"
+    - "index.ts nằm trong thư mục con của owner, ví dụ persistence/index.ts"
+    - "index.ts dùng export * hoặc chứa khai báo, hoặc vượt số export cho phép"
+  nextStep_vi: "Import owner khác qua index.ts của nó, import cùng owner bằng đường dẫn tương đối tới tệp khai báo, mỗi owner chỉ một index.ts ở gốc và liệt kê tường minh những gì owner cung cấp; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_QUERY_IN_LOOP:
+  title: "Query inside a loop (N+1)"
+  title_vi: "Truy vấn chạy trong vòng lặp (N+1)"
+  meaning_vi: "Một lệnh đọc trên EntityManager (find, findOne, count, exists...) chạy một lần cho mỗi phần tử của vòng lặp for hoặc của map, forEach, flatMap, nên số lượt gọi cơ sở dữ liệu tăng theo đầu vào và một yêu cầu lớn giữ kết nối rất lâu."
+  causes_vi:
+    - "for (const id of ids) { await manager.findOne(...) }"
+    - "Promise.all(ids.map((id) => manager.findOneBy(Entity, { id })))"
+  nextStep_vi: "Đọc một lần trước vòng lặp bằng find({ where: { khóa: In(danhSachKhoa) }, take }) hoặc WHERE khóa = ANY($1), dựng Map theo khóa rồi tra trong vòng lặp; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_QUERY_UNBOUNDED:
+  title: "Read without a row bound"
+  title_vi: "Truy vấn đọc không có giới hạn số dòng"
+  meaning_vi: "Một lệnh find, findBy hoặc findAndCount trên EntityManager có thể trả về mọi dòng khớp mà không nêu take trong đối tượng tùy chọn, nên một khách hàng lớn biến nó thành quét toàn bảng nằm trong bộ nhớ."
+  causes_vi:
+    - "manager.find(Entity, { where }) không có take"
+    - "findBy không thể mang giới hạn"
+    - "Tùy chọn find là biến, không viết take ngay tại chỗ gọi"
+  nextStep_vi: "Viết take với hằng có tên ngay trong đối tượng tùy chọn (manager.find(Entity, { where, take: LIST_ROWS_MAX })), hoặc phân trang theo con trỏ; câu SELECT thô do máy kiểm tra R86 xét; việc cần đủ mọi dòng (batch, xuất) lặp theo trang keyset chứ không cắt cụt kết quả âm thầm. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_QUEUE_PRODUCER_SHAPE:
+  title: "A queue producer writes the outbox with its own tx parameter"
+  title_vi: "Producer của queue ghi outbox không bằng tham số tx của nó"
+  meaning_vi: "Một hàm hoặc phương thức export trong `<queue>.queue.ts` ghi vào `QueueOutbox` mà không khai báo tham số `tx: EntityManager` hoặc không truyền chính tham số đó làm đối số đầu."
+  causes_vi:
+    - "Vi phạm luật R154: job được enqueue trong transaction của người gọi (`enqueueX(payload, tx)`), nếu không job có thể chạy dù giao dịch rollback hoặc mất khi commit thành công."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: thêm tham số `tx: EntityManager` vào producer và gọi `outbox.write(tx, ...)`."
+  owner: op-retry
+  kind: check-finding
+
 BE_RAW_INJECT:
   title: "Infrastructure dependency injected without its Inject*() decorator"
   title_vi: "Phụ thuộc hạ tầng không được tiêm qua Inject*()"
@@ -603,6 +1161,86 @@ BE_READONLY_BOUNDARY:
   owner: op-retry
   kind: check-finding
 
+BE_READY_REAL:
+  title: "Readiness does not probe a required dependency"
+  title_vi: "Readiness chưa kiểm tra phụ thuộc bắt buộc"
+  meaning_vi: "Endpoint readiness có thể trả thành công khi phụ thuộc bắt buộc không sẵn sàng."
+  causes_vi:
+    - "Readiness dùng lại liveness hoặc không có probe phụ thuộc với timeout hữu hạn"
+  nextStep_vi: "Gọi probe của phụ thuộc bắt buộc, giới hạn thời gian chờ và trả unavailable khi probe lỗi hoặc hết hạn."
+  owner: op-retry
+  kind: check-finding
+
+BE_REALTIME_SHAPE:
+  title: "A realtime file is not exactly one push door"
+  title_vi: "Tệp realtime không phải đúng một cửa đẩy tin"
+  meaning_vi: "Mỗi tệp realtime là đúng một cửa theo vai trò của tên tệp: `<kênh>.gateway.ts` có một lớp `@WebSocketGateway` với các handler `@SubscribeMessage`, còn `<x>.subscription.ts` có một lớp `@Resolver` với các thao tác `@Subscription`. Không có query, mutation, field resolver, route REST hoặc giao thức còn lại trong cùng tệp."
+  causes_vi:
+    - "Tệp có hai lớp cửa hoặc không có lớp cửa nào"
+    - "Cửa không có handler @SubscribeMessage hoặc @Subscription nào"
+    - "Resolver của subscription chứa thêm @Query hoặc @Mutation"
+    - "Gateway và subscription bị trộn trong một tệp"
+  nextStep_vi: "Tách thành đúng một cửa cho mỗi tệp và đặt tên theo vai trò (.gateway.ts cho socket, .subscription.ts cho GraphQL subscription); chuyển query, mutation hoặc route REST sang một feature api. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và knowledge/patterns/be/realtime.yaml; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_REALTIME_TOPIC_SCOPE:
+  title: "A realtime topic is not scoped to the principal"
+  title_vi: "Chủ đề realtime không gắn với chủ thể đăng nhập"
+  meaning_vi: "Chủ đề mà handler realtime truyền cho `RealtimeHub.subscribe` phải được dựng từ tham số `@CurrentPrincipal()` của domain/identity, để một client chỉ nghe được kênh thuộc về chủ thể của nó. Chủ đề lấy hoàn toàn từ đầu vào client là lỗ hổng rò rỉ dữ liệu của người khác."
+  causes_vi:
+    - "Chủ đề là một chuỗi cố định dùng chung cho mọi client"
+    - "Chủ đề chỉ ghép từ tham số do client gửi"
+    - "Handler không nhận @CurrentPrincipal() hoặc dùng decorator trùng tên của owner khác"
+  nextStep_vi: "Thêm tham số `@CurrentPrincipal() principal` vào handler và dựng chủ đề từ principal.id (cộng với mã đã kiểm tra quyền sở hữu nếu cần). Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và knowledge/patterns/be/realtime.yaml; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_REALTIME_WRITES:
+  title: "A realtime door can write"
+  title_vi: "Cửa realtime có khả năng ghi dữ liệu"
+  meaning_vi: "Cửa realtime chỉ đọc và đẩy tin: giá trị duy nhất được tiêm vào là `RealtimeHub` của platform/realtime. EntityManager, bus lệnh, hàng đợi, event bus hoặc service miền (có thể ghi) không bao giờ được tiêm vào cửa này; tin đẩy do một reactor gọi hub, không do cửa."
+  causes_vi:
+    - "Gateway tiêm EntityManager hoặc CommandBus để cập nhật dữ liệu khi nhận tin của client"
+    - "Subscription tiêm service miền để đọc, nhưng service đó có phương thức ghi"
+    - "Cửa tiêm một lớp giả danh RealtimeHub do owner khác khai báo"
+  nextStep_vi: "Bỏ mọi thứ khác ngoài RealtimeHub khỏi cửa; việc ghi thuộc về một feature api, và nguồn dữ liệu đẩy đi do một reactor (transport/message) gọi RealtimeHub.publish sau khi sự kiện đến. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và knowledge/patterns/be/realtime.yaml; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_REST_DOOR_EVIDENCE:
+  title: "A REST route has no route-level reason"
+  title_vi: "Route REST thiếu lý do ngay tại phương thức"
+  meaning_vi: "Mỗi route REST trong cả lite và full phải chứng minh mục đích được phép của chính phương thức: probe, bắt tay xác thực, webhook đã ký, luồng byte thật hoặc bảng thao tác công khai có phiên bản. Import StreamableFile hoặc lý do ở cấp lớp không chứng minh route trả JSON."
+  causes_vi:
+    - "Controller trả JSON nhưng không có bằng chứng tại route"
+    - "Một route khác hoặc import không dùng được lấy làm lý do cho cả controller"
+  nextStep_vi: "Chuyển thao tác dữ liệu sang GraphQL hoặc khai báo bằng chứng hợp lệ ngay tại route; với API công khai có phiên bản, phục vụ bảng defineOperations có kiểu."
+  owner: op-retry
+  kind: check-finding
+
+BE_REST_ROUTE_UNDECLARED:
+  title: "A public REST route is absent from the operation table"
+  title_vi: "Route REST công khai chưa thuộc bảng thao tác"
+  meaning_vi: "Route REST công khai phải nhận OperationRequest và trả OperationReply của cùng một bảng defineOperations có thao tác đã khai báo. Một bảng rỗng, bảng không liên quan hoặc chỉ một nửa kiểu hợp đồng không đăng ký route."
+  causes_vi:
+    - "Route API công khai được viết riêng ngoài defineOperations"
+    - "Đầu vào và đầu ra không dùng cùng một bảng thao tác"
+  nextStep_vi: "Khai báo thao tác có kiểu trong bảng của ứng dụng và cho route nhận OperationRequest<typeof TABLE>, trả Promise<OperationReply<typeof TABLE>> của chính bảng đó."
+  owner: op-retry
+  kind: check-finding
+
+BE_RETURN_TYPE:
+  title: "Handler or public method without a return type"
+  title_vi: "Handler hoặc phương thức công khai thiếu kiểu trả về"
+  meaning_vi: "Một handler (Query, Mutation, Get, Post...) hoặc phương thức công khai của Injectable, Resolver, Controller không khai báo kiểu trả về, nên hợp đồng ra ngoài là thứ thân hàm tình cờ trả về hôm nay."
+  causes_vi:
+    - "Resolver hoặc controller method không có : Promise<T>"
+    - "Phương thức công khai của service để kiểu suy luận"
+  nextStep_vi: "Khai báo kiểu trả về tường minh (Promise<Type>). Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_SAGA_CONSUMER_DEDUPE:
   title: "A saga consumer passes the delivery id on"
   title_vi: "Consumer của saga không chuyển id lần giao đi tiếp"
@@ -653,6 +1291,23 @@ BE_SAGA_STEP_COMPENSATION:
   owner: op-retry
   kind: check-finding
 
+BE_SCHEMA_AUTHORITY:
+  title: "Schema defined at runtime"
+  title_vi: "Schema được định nghĩa lúc chạy"
+  meaning_vi: "Một tệp để tiến trình đang chạy quyết định schema: một đối tượng tùy chọn của DataSource hoặc TypeORM không ghi literal synchronize: false, synchronize khác false, gọi dataSource.synchronize() hoặc dropDatabase(), có khóa migrationsRun (cấm dưới mọi dạng), gọi runMigrations() ngoài cli (lệnh migrate của apps/cli) và test world, dropSchema khác false, dựng schema bằng createSchemaBuilder()/build(), khóa synchronize trong tùy chọn của @Entity, hook onModuleInit/onApplicationBootstrap ghi dữ liệu qua EntityManager hoặc DataSource (seed chỉ chạy bằng một lệnh cli), chuỗi DDL (CREATE/ALTER/DROP TABLE, INDEX, TYPE, SCHEMA, EXTENSION, TRIGGER, FUNCTION, ADD/DROP CONSTRAINT...) ngoài persistence/migrations/, hoặc tìm entity và migration bằng glob. Schema chỉ đổi bằng migration do lệnh cli migrate chạy."
+  causes_vi:
+    - "new DataSource({ type: 'postgres' }) không ghi synchronize: false"
+    - "synchronize: true, hoặc đọc từ biến môi trường"
+    - "Chuỗi DDL trong .query ngoài migration"
+    - "dropSchema: true, hoặc dataSource.createSchemaBuilder().build() lúc chạy"
+    - "@Entity({ synchronize: false }): công tắc riêng cho từng entity"
+    - "onModuleInit ghi dữ liệu bằng entityManager.save/insert/query INSERT: seed lúc khởi động ở mọi tiến trình"
+    - "dataSource.runMigrations() gọi ngoài cli (lệnh migrate của apps/cli)"
+    - "entities hoặc migrations khai bằng đường dẫn có ký tự *"
+  nextStep_vi: "Viết một migration trong persistence/migrations/ của capability sở hữu bảng và liệt kê entity, migration tường minh; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 BE_SCHEMA_OWNER:
   title: "Entities and migrations live in the owning capability's `persistence/`"
   title_vi: "Entity hoặc migration sai chủ"
@@ -663,6 +1318,38 @@ BE_SCHEMA_OWNER:
   owner: op-retry
   kind: check-finding
 
+BE_SECRET_DEFAULT:
+  title: "Literal default for a secret or URL"
+  title_vi: "Giá trị mặc định cố định cho bí mật hoặc URL"
+  meaning_vi: "Một giá trị kiểu Secret hoặc Url của platform/config có giá trị mặc định: đối số mặc định cho env.secret/url/host, toán tử ??, || hay ??= trên giá trị đó, hoặc chuỗi mặc định (\"\", localhost, 127.0.0.1, 0.0.0.0, http(s)://...) đưa vào hàm đọc trả về Secret hay Url. Thiếu biến thì app phải dừng khi boot, nêu tên khóa."
+  causes_vi:
+    - "env.secret(\"K\", \"dev\") hoặc env.url(\"K\", \"http://localhost\")"
+    - "secret ?? new Secret(\"dev\") hoặc url || \"http://localhost:3000\""
+    - "Hàm đọc trả về Secret hay Url được gọi với giá trị mặc định viết sẵn"
+  nextStep_vi: "Bỏ giá trị mặc định, để phần kiểm tra cấu hình báo lỗi nêu tên khóa khi thiếu; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_SECURITY_HEADERS:
+  title: "API security headers are missing or x-powered-by is enabled"
+  title_vi: "API thiếu header bảo mật hoặc còn bật x-powered-by"
+  meaning_vi: "Entrypoint chưa áp dụng middleware header bảo mật của platform/http-security và tắt thông tin framework."
+  causes_vi:
+    - "Thiếu middleware bảo mật hoặc chưa tắt x-powered-by"
+  nextStep_vi: "Áp dụng middleware của platform/http-security và disable x-powered-by trước khi phục vụ yêu cầu."
+  owner: op-retry
+  kind: check-finding
+
+BE_SERVICE_ISOLATION:
+  title: "A service app imports no sibling service app"
+  title_vi: "Ứng dụng dịch vụ import trực tiếp ứng dụng dịch vụ anh em"
+  meaning_vi: "Một tệp dưới `be/apps/<service>/` import (đường dẫn tương đối hoặc alias) một tệp dưới `be/apps/<other>/`, nên hai dịch vụ dính vào nhau thành một khối triển khai."
+  causes_vi:
+    - "Vi phạm luật R168: các dịch vụ chỉ dùng chung thư viện `be/src` và gặp nhau qua đường truyền (client API của dịch vụ kia, hoặc sự kiện theo hợp đồng đã vendor dưới `be/contracts/<service>/`)."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: bỏ import, đưa phần dùng chung vào `be/src` hoặc gọi dịch vụ kia qua client/sự kiện của hợp đồng."
+  owner: op-retry
+  kind: check-finding
+
 BE_SOURCE_FORM:
   title: "Back-end source file breaks the naming or form canon"
   title_vi: "Tệp nguồn BE sai quy ước tên hoặc hình thức"
@@ -680,6 +1367,17 @@ BE_SOURCE_FORM:
   owner: op-retry
   kind: check-finding
 
+BE_SPEC_FORM_ALL_ROLES:
+  title: "A logic-role unit spec does not prove behavior through its declared subject"
+  title_vi: "Spec của vai trò logic không chứng minh hành vi qua đối tượng đã khai báo"
+  meaning_vi: "Spec của policy, mapper, guard, client và các vai trò logic phải lấy đối tượng từ Nest testing module đã compile với provider rõ ràng, không new đối tượng hay mock module. Chỉ expect(x).toBeDefined() không chứng minh kết quả hay trạng thái."
+  causes_vi:
+    - "Spec new đối tượng kiểm thử hoặc mock module của ứng dụng"
+    - "Spec chỉ kiểm tra đối tượng tồn tại"
+  nextStep_vi: "Dựng đối tượng bằng Test.createTestingModule với provider và double phù hợp, lấy bằng moduleRef.get, gọi hành vi rồi so sánh kết quả hoặc trạng thái cụ thể."
+  owner: op-retry
+  kind: check-finding
+
 BE_SPEC_PLACEMENT:
   title: "A back-end spec lives in one of the four test layers"
   title_vi: "Spec đặt ngoài bốn tầng test"
@@ -705,6 +1403,30 @@ BE_SPEC_QUALITY:
   owner: op-retry
   kind: check-finding
 
+BE_SQL_INTERPOLATED:
+  title: "SQL text built from a runtime value"
+  title_vi: "Giá trị chạy lúc chạy bị ghép vào chuỗi SQL"
+  meaning_vi: "Một phép thế trong thẻ sql không có kiểu SqlIdent, hoặc một lời gọi .query(...) có chuỗi SQL dựng bằng template hoặc phép cộng chuỗi, nên đầu vào có thể trở thành câu lệnh (SQL injection) và kế hoạch truy vấn không được dùng lại."
+  causes_vi:
+    - "Template literal có ${biến} trong câu SQL"
+    - "Ghép chuỗi SQL bằng dấu +"
+    - "Thẻ sql nhận một phép thế không có kiểu SqlIdent (một chuỗi thường, một số)"
+  nextStep_vi: "Truyền giá trị bằng tham số đánh số ($1, $2) ở mảng đối số; tên cột hoặc bảng động đi qua ident(tên, danhSáchChoPhép), phép thế duy nhất thẻ sql chấp nhận; câu lệnh là hằng SqlText trong persistence/<tên>.sql.ts chứ không ghép ở nơi gọi. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_SQL_OUTSIDE_PERSISTENCE:
+  title: "Raw SQL outside persistence/<name>.sql.ts"
+  title_vi: "SQL thô ngoài persistence/<name>.sql.ts"
+  meaning_vi: "Có câu SQL viết ngoài hằng `sql` trong tệp persistence/<name>.sql.ts của năng lực sở hữu, hoặc `.query()` nhận một chuỗi không phải SqlText, hoặc có createQueryBuilder. SQL rải trong service và handler không được kiểm tra bảng sở hữu và giới hạn đọc."
+  causes_vi:
+    - "manager.query(\"SELECT ...\") viết thẳng trong handler hoặc service"
+    - "createQueryBuilder dùng cho truy vấn phức tạp"
+    - "SQL còn nằm trong *.repository.ts kiểu cũ"
+  nextStep_vi: "Chuyển câu SQL thành hằng `sql` trong src/modules/<tầng>/<năng lực>/persistence/<tên>.sql.ts, kiểu dòng trả về và hàm ánh xạ ở <tên>.rows.ts, rồi gọi entityManager.query(HẰNG, [tham số]); thay QueryBuilder bằng tùy chọn find hoặc hằng sql. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 BE_SQL_RETURNING_SHAPE:
   title: "UPDATE or DELETE with RETURNING is not wrapped in a SELECT"
   title_vi: "UPDATE hoặc DELETE có RETURNING chưa được bọc trong SELECT"
@@ -749,9 +1471,55 @@ BE_SUPABASE_JWT_VERIFIED:
   owner: op-retry
   kind: check-finding
 
-BE_TEST_TOPOLOGY:
-  title: "One jest config, four projects live by folder; the world is the only test infrastructure and runs the repository's own stack for real"
-  title_vi: "Cấu hình test lệch chuẩn"
+BE_TEST_BUILDER_ARRANGES:
+  title: "A test data builder asserts or has a non-deterministic default"
+  title_vi: "Builder dữ liệu test khẳng định hoặc có giá trị mặc định không ổn định"
+  meaning_vi: "Builder chỉ sắp xếp dữ liệu: không import expect, jest hay @jest/globals, và giá trị mặc định cố định (id từ hằng hoặc fakeIds, ngày cố định) để test lỗi vẫn tái hiện được."
+  causes_vi:
+    - "expect, jest hoặc mô tả test được dùng trong tệp builder"
+    - "Date.now(), new Date() không tham số, Math.random(), randomUUID() hoặc crypto.random* trong builder"
+  nextStep_vi: "Trả về đối tượng hoặc dòng và để spec khẳng định; dùng id cố định hoặc fakeIds() và ngày cố định. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_TEST_BUILDER_HOME:
+  title: "A test data builder is outside the builders folder"
+  title_vi: "Builder dữ liệu test nằm ngoài thư mục builders"
+  meaning_vi: "Mọi hàm dựng dữ liệu test (hàm được export và tạo dòng trong cơ sở dữ liệu qua EntityManager, DataSource hoặc QueryRunner) chỉ được nằm trong src/tests/fixtures/builders/<khu>.builder.ts; SQL đi kèm nằm trong <khu>.sql.ts cạnh nó. Một mô-đun khác của cây test làm việc này là builder đặt sai chỗ, dù tên nó là gì."
+  causes_vi:
+    - "Mô-đun trong src/tests/world hoặc src/tests/fixtures (ngoài builders/) export hàm gọi save, insert hoặc upsert, hoặc chạy INSERT, qua EntityManager"
+    - "Hàm seed hoặc anOrder viết ngay cạnh spec thay vì trong builders/"
+    - "Tên tệp *.repository.ts, *.factory.ts hoặc *.fixture.ts trong src/tests (bị BE_SOURCE_FORM chặn cùng lúc)"
+  nextStep_vi: "Chuyển hàm sang src/tests/fixtures/builders/<khu>.builder.ts, chuyển chuỗi SQL sang <khu>.sql.ts cạnh nó, sửa import trong spec. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_TEST_CONSTRAINTS_ON:
+  title: "A test switches database constraints off"
+  title_vi: "Test tắt hoặc gỡ ràng buộc cơ sở dữ liệu"
+  meaning_vi: "Cây src/tests luôn chạy với ràng buộc bật: không tắt khóa ngoại, trigger hay ràng buộc, không hoãn ràng buộc. Builder tạo đủ chuỗi cha thay vì bỏ qua khóa ngoại."
+  causes_vi:
+    - "session_replication_role, SET CONSTRAINTS ... DEFERRED, DEFERRABLE INITIALLY DEFERRED, ALTER TABLE ... DISABLE hoặc DISABLE TRIGGER trong một câu SQL của cây test"
+    - "DROP CONSTRAINT trong SQL, hoặc QueryRunner.dropForeignKey(s), dropCheckConstraint(s), dropUniqueConstraint(s)"
+  nextStep_vi: "Bỏ câu lệnh tắt ràng buộc và tạo đủ dòng cha bằng builder. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không thêm ngoại lệ."
+  owner: op-retry
+  kind: check-finding
+
+BE_TEST_ROW_BY_BUILDER:
+  title: "A spec hand-builds rows instead of using a builder"
+  title_vi: "Spec tự dựng dòng dữ liệu thay vì dùng builder"
+  meaning_vi: "Spec đơn vị, integration hoặc e2e không tự chèn hay ghi dòng: không có INSERT/UPDATE/DELETE thô, không gọi save, insert, upsert, update, delete, remove trên EntityManager, DataSource hoặc QueryRunner, và không dựng cùng một entity bằng object literal nhiều hơn một lần. Dòng dữ liệu đến từ builder của khu vực đó."
+  causes_vi:
+    - "em.query với chuỗi INSERT INTO ... hoặc chuỗi INSERT/UPDATE/DELETE được truyền vào query trong spec"
+    - "em.save({...}), em.insert(...) hoặc upsert trong spec"
+    - "Cùng một entity được viết thành object literal từ lần thứ hai trở đi trong một spec"
+  nextStep_vi: "Thêm hoặc mở rộng builder của khu vực (orderRow(overrides) cho spec đơn vị, orderBuilder(db).pending().build(overrides) cho integration và e2e) rồi gọi nó trong spec. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_TEST_TOPOLOGY:
+  title: "One jest config, four projects live by folder; the world is the only test infrastructure and runs the repository's own stack for real"
+  title_vi: "Cấu hình test lệch chuẩn"
   meaning_vi: "Cấu hình test lệch chuẩn: `<detail>`."
   causes_vi:
     - "Vi phạm luật R47: một `jest.config.js` (preset `@starci/jest-preset`) với bốn project `unit`, `integration`, `e2e`, `contract`; thư mục và hậu tố spec luôn khớp nhau; `diagnostics: false` + `isolatedModules: true`; `test:integration`, `test:e2e`, `test:contract` chạy qua `starci gate run --root <app> --tests <tên>`; `src/tests/world/` là nơi duy nhất dựng hạ tầng test và chỉ chứa `global-setup.ts`, `global-teardown.ts`, `use-test-world.ts`, `fakes/` và file gốc có hậu tố vai trò (kể cả `test-world.config.ts`)."
@@ -760,6 +1528,17 @@ BE_TEST_TOPOLOGY:
   owner: op-retry
   kind: check-finding
 
+BE_THIRD_PARTY_OWNER:
+  title: "A third-party SDK is imported outside its single integration owner"
+  title_vi: "SDK bên thứ ba dùng ngoài chủ sở hữu tích hợp duy nhất"
+  meaning_vi: "Các dependency của package.json ngoài danh sách thư viện thuần và framework phải có đúng một năng lực integrations/<provider> nhập chúng. Service miền và tính năng gọi API công khai của năng lực đó thay vì nhập SDK mạng hoặc IO trực tiếp."
+  causes_vi:
+    - "Service miền nhập nodemailer, openai, googleapis hoặc SDK mới"
+    - "Hai năng lực tích hợp cùng nhập một SDK"
+  nextStep_vi: "Chuyển import và giao thức nhà cung cấp vào một integrations/<provider> client, rồi tiêm cổng công khai của tích hợp vào service."
+  owner: op-retry
+  kind: check-finding
+
 BE_TIER_DIRECTION:
   title: "Backend import against the tier direction"
   title_vi: "Backend import ngược chiều tầng"
@@ -771,6 +1550,211 @@ BE_TIER_DIRECTION:
   owner: op-retry
   kind: check-finding
 
+BE_TRANSACTION_EXTERNAL_CALL:
+  title: "Transaction spans an external call"
+  title_vi: "Giao dịch cơ sở dữ liệu bao trùm một lệnh gọi ra ngoài"
+  meaning_vi: "Một lệnh gọi fetch, HTTP client hoặc SDK tích hợp chạy bên trong .transaction(async (tx) => ...), nên giao dịch giữ kết nối mở trong suốt thời gian lệnh gọi ra ngoài chạy; nếu lệnh gọi thất bại sau khi giao dịch đã ghi một phần, hoặc thành công nhưng giao dịch sau đó rollback, hai hệ thống lệch nhau và không có đường quay lại."
+  causes_vi:
+    - "this.manager.transaction(async (tx) => { await tx.save(Entity, row); await fetch(url) })"
+    - "this.manager.transaction(async (tx) => { await this.paymentSdk.charge(id) })"
+  nextStep_vi: "Commit giao dịch trước rồi mới gọi ra ngoài, hoặc ghi một thông điệp outbox bên trong giao dịch để một worker gửi đi sau khi commit; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_TRANSPORT_SHAPE:
+  title: "Transport does more than map and dispatch"
+  title_vi: "Tầng giao tiếp làm nhiều hơn chuyển lệnh"
+  meaning_vi: "Mỗi resolver, controller, gateway, consumer, job hoặc lệnh CLI chỉ ánh xạ đầu vào, gửi đúng một command hoặc query qua bus được tiêm và ánh xạ kết quả. Bộ kiểm tra thấy transport tiêm thứ khác ngoài InjectCommandBus/InjectQueryBus (và InjectRequestLocale cho REST), tiêm EntityManager, bọc phản hồi trong envelope, dùng GraphQLJSON hoặc cửa REST không có lý do."
+  causes_vi:
+    - "Resolver gọi service miền trực tiếp"
+    - "Interceptor biến đổi phản hồi thành {success, message, data}"
+    - "Đầu vào kiểu GraphQLJSON không kiểm tra"
+  nextStep_vi: "Đưa logic vào handler của tính năng, để transport chỉ gọi commandBus.execute(new XCommand({ request, principal })) và trả kiểu kết quả; xóa envelope và thay GraphQLJSON bằng input có kiểu. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong BE-CONVENTION; không thêm ngoại lệ, không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+BE_TRUST_PROXY:
+  title: "API proxy trust has no declared hop count"
+  title_vi: "API chưa khai báo số hop proxy được tin cậy"
+  meaning_vi: "API chưa nêu ranh giới proxy bằng số hop nguyên không âm nên địa chỉ khách có thể sai hoặc bị giả mạo."
+  causes_vi:
+    - "Thiếu trust proxy hoặc dùng true hay giá trị động chưa được giới hạn"
+  nextStep_vi: "Khai báo số hop nguyên không âm phù hợp với ingress trong cấu hình khởi động API."
+  owner: op-retry
+  kind: check-finding
+
+BE_TYPE_ESCAPE:
+  title: "Type escape: cast, non-null assertion, any, Function or eval"
+  title_vi: "Thoát kiểu: ép kiểu, non-null, any, Function hoặc eval"
+  meaning_vi: "Có x as T (kể cả as never, as unknown as T), <T>x, x!, any, kiểu Function hoặc eval trong bất kỳ tệp nào, kể cả spec, nên trình biên dịch ngừng kiểm tra một giá trị mà thực tế có thể sai kiểu hoặc vắng mặt. Ép kiểu, x! và any do các luật mượn của typescript-eslint mà nhà máy cấu hình bật; Function và eval do luật no-function-or-eval của canon chặn."
+  causes_vi:
+    - "as never hoặc as unknown as X để lọt kiểm tra tham số, trong mã sản phẩm hay trong spec"
+    - "x! thay cho việc kiểm tra tồn tại"
+    - "Kiểu Function, eval hoặc new Function thay cho chữ ký có kiểu"
+  nextStep_vi: "Cho giá trị đúng kiểu tham số cần (mock<T>() cho double trong spec), thu hẹp bằng guard trả về hoặc ném lỗi có kiểu, hoặc sửa chữ ký để sự vắng mặt không thể xảy ra. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_UNNAMED_DATA_ACCESS:
+  title: "Database reached without the named shared EntityManager"
+  title_vi: "Truy cập cơ sở dữ liệu không qua EntityManager dùng chung có tên"
+  meaning_vi: "Tham số hoặc thuộc tính kiểu EntityManager không mang bộ tiêm Inject<Kết nối>EntityManager của một kết nối đã khai báo trong hfs.json (tên na ná cũng không đạt), hoặc tiêm bằng thuộc tính, hoặc gọi .getRepository(...), hoặc dùng @InjectRepository / Repository<T> / TypeOrmModule.forFeature, hoặc tiêm DataSource / QueryRunner ngoài platform/database, cli (apps/cli, src/features/cli) và test world (kể cả viết kiểu DataSource làm kiểu trả về, giá trị await, token provide: hay lớp bọc trả ra kết nối); lớp nào ngoài handler ứng dụng, domain service và năng lực persistence của platform mà nhận, giữ hoặc trả EntityManager, Repository, DataSource hay QueryRunner đều là repository dù đặt tên gì (Store, Dao, Gateway, Persistence, hoặc module hàm export nhận EntityManager làm tham số đầu như authoring.statements.ts); ứng dụng đăng ký nhiều kết nối nên cách viết này trỏ vào kết nối mặc định hoặc gắn một handle vào đúng một entity, và giao dịch không đi qua được sang bảng thứ hai."
+  causes_vi:
+    - "constructor(@InjectFooEntityManager() private readonly manager: EntityManager) {} với Foo không phải kết nối khai báo"
+    - "@InjectPrimaryEntityManager() private readonly manager: EntityManager (tiêm bằng thuộc tính)"
+    - "this.dataSource.getRepository(CourseEntity).find()"
+    - "constructor(private readonly dataSource: DataSource) {} ngoài module database của platform"
+    - "constructor(@InjectRepository(CourseEntity) private readonly repo: Repository<CourseEntity>) {}"
+    - "class AccountingLedgerRepository { appendPosting(manager: EntityManager, ...) {} } đặt ngoài handler và domain service (repository trá hình, kể cả khi tên không có hậu tố Repository)"
+  nextStep_vi: "Nhận EntityManager dùng chung qua tham số constructor với bộ tiêm Inject<Kết nối>EntityManager() của kết nối khai báo trong hfs.json (ví dụ InjectPrimaryEntityManager()) rồi gọi trực tiếp manager.find(Entity, ...), manager.save(Entity, ...); DataSource chỉ do module database của platform dựng; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_USER_COPY_LITERAL:
+  title: "User-facing copy written in source"
+  title_vi: "Chữ hiển thị cho người dùng viết thẳng trong mã nguồn"
+  meaning_vi: "Một chuỗi chữ cố định xuất hiện ở nơi người dùng đọc được nó - tham số message của một *Error/*Exception, thuộc tính subject/title/body/text/message truyền vào notify/send/publish, hoặc thuộc tính message/description/title của một object trả về trong tầng transport - thay vì được tra theo khóa từ bộ danh mục messages theo từng capability qua cổng MessageCatalog kiểu platform/i18n."
+  causes_vi:
+    - "throw new PlanNotFoundError('Plan not found for this account')"
+    - "this.notifier.send({ subject: 'Your plan has changed', templateId: 'plan-x' })"
+    - "return { message: 'Plan updated successfully' }"
+  nextStep_vi: "Thêm khóa vào catalog messages (vi và en) của capability hoặc feature liên quan, rồi gọi qua cổng MessageCatalog (messages.get('<khóa>', { ...tham số })) thay vì viết chuỗi tại chỗ; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+BE_WEBHOOK_INBOX_KEY:
+  title: "A webhook intake does not claim its stable delivery key"
+  title_vi: "Intake webhook không claim khóa giao hàng ổn định"
+  meaning_vi: "Phương thức intake nhận tham số đầu hoặc thuộc tính DTO kết thúc bằng Id, hoặc thân thô cùng chữ ký, nhưng không claim Inbox bằng khóa giao hàng ổn định và dừng ngay khi nhận bản trùng; hoặc xử lý giao hàng ngay trong giao dịch ghi nhận."
+  causes_vi:
+    - "Đổi tên tham số hoặc dùng thuộc tính DTO kết thúc bằng Id để tránh kiểm tra Inbox"
+    - "Claim dùng khóa khác, chạy sau xử lý hoặc không dừng khi nhận bản trùng"
+    - "Callback process, lời gọi domain hoặc dispatch command xử lý giao hàng trong giao dịch ghi nhận"
+  nextStep_vi: "Dùng Inbox của platform/inbox, claim khóa giao hàng ổn định và trả về ngay khi claim báo bản trùng; ghi nhận cùng sự kiện outbox có kiểu trong giao dịch, rồi để reactor hoặc job xử lý sau commit."
+  owner: op-retry
+  kind: check-finding
+
+BE_WEBHOOK_SCOPE:
+  title: "Public webhook traffic bypasses the webhook door"
+  title_vi: "Lưu lượng webhook công khai đi ngoài cửa webhook"
+  meaning_vi: "PublicReason.SignedWebhook được dùng ngoài tệp cửa webhook hoặc phương thức xác thực domain được khai báo chính xác trong webhookVerifiers; một route công khai có đường dẫn webhook, callback hoặc events cũng phải nằm trong cửa webhook."
+  causes_vi:
+    - "Controller API dùng nhãn SignedWebhook để bỏ qua xác thực của cửa webhook"
+    - "Route công khai nhận callback hoặc sự kiện ở một transport khác"
+  nextStep_vi: "Chuyển route vào cửa <provider>.webhook.ts của slot HTTP webhook, xác thực trước rồi chuyển giao cho intake domain và Inbox; chỉ khai báo phương thức xác thực domain bằng symbol chính xác trong webhookVerifiers."
+  owner: op-retry
+  kind: check-finding
+
+BE_WEBHOOK_SHAPE:
+  title: "A webhook door breaks the verified inbox handoff or provider response contract"
+  title_vi: "Cửa webhook làm nhiều hơn xác thực và chuyển giao"
+  meaning_vi: "Webhook của nhà cung cấp là một cửa ký số: A provider webhook door (`src/features/webhooks/<provider>/transport/http/<provider>.webhook.ts`) is one `@Controller` with exactly one `@Post` handler and optionally one `@Get` subscription challenge handler, each declared `@Public({ reason: PublicReason.SignedWebhook })`. It injects only the `WebhookSignatureService` of `platform/http-security` and services of `modules/domain`, holds no branch, loop or `try`, and its POST calls proof then exactly one domain intake that durably records the inbox receipt and outbox event in its transaction. A combined domain proof and intake call is allowed. POST returns nothing or exactly the own-feature exported `PROVIDER_ACK`, a literal object or string declared with `as const` or a readonly literal type; computed values, inline return objects and cross-feature constants are refused. GET starts with a declared domain verifier call and returns exactly that result, with no intake. The door and its HTTP module import or inject no CommandBus, QueryBus of @nestjs/cqrs or feature command handler; the resolved called intake dispatches no command/query bus or feature handler. A reactor or job consumes the durable receipt and dispatches after commit; unresolved helpers and dynamic receivers require semantic review."
+  causes_vi:
+    - "The webhook door or its HTTP module imports or injects CommandBus, QueryBus or a feature command handler, or the resolved called domain intake dispatches on a command/query bus or feature handler"
+    - "The handler branches, loops, parses, maps or publishes instead of proving first and recording one durable receipt"
+    - "The POST returns an inline object, computed value, input-derived constant or another feature's PROVIDER_ACK"
+    - "The door declares two POST routes, more than one GET, or a GET that echoes anything except its declared domain verifier result"
+  nextStep_vi: "Đưa mọi quyết định và mọi lần ghi vào một phương thức nhận của service trong modules/domain: verify first, then call one domain recordProviderDelivery-style method that claims the shared Inbox and records the receipt with its outbox event in one transaction. Let a reactor or job consume the durable receipt and dispatch the command. POST may return nothing or the own-feature exported literal PROVIDER_ACK; one optional GET echoes only its first declared domain verifier result. Keep the signed-webhook public reason and strict rate tier; follow knowledge/patterns/be/webhooks.yaml."
+  owner: op-retry
+  kind: check-finding
+
+BE_WEBHOOK_UNVERIFIED:
+  title: "A webhook handler runs code before its declared delivery or challenge proof"
+  title_vi: "Handler webhook chạy mã trước khi xác thực giao hàng"
+  meaning_vi: "Câu lệnh đầu tiên của handler webhook: The first statement of a webhook POST is an unconditional verification call to `WebhookSignatureService.verify` or a domain verifier, awaited when async, with no data access or other call before proof. A domain verifier is a method on a domain service whose declared class name ends in `Verifier` or `verify`, or a domain service method declared by symbol in the adjacent HTTP module's exported `webhookVerifiers` array. A domain method may verify with per-connection secrets before intake in the same call; invalid proof throws before intake. A fixed PROVIDER_ACK never replaces proof. The optional GET challenge handler starts with a declared domain verifier call (directly returned or bound to a const and then returned), awaited when async, and echoes only its exact result."
+  causes_vi:
+    - "The handler reads or assigns data before its first unconditional proof call"
+    - "Proof is conditional, unawaited when async, or a call nested around other work"
+    - "The verifier is a local lookalike or lacks a resolved domain service or declared verification method symbol"
+    - "The GET returns the unverified challenge field or transforms its verifier result"
+  nextStep_vi: "Đặt `this.<signature>.verify({ rawBody, signature, timestamp })` làm câu lệnh đầu tiên của handler, không điều kiện, dùng WebhookSignatureService của platform/http-security và thân yêu cầu thô (không phải bản đã serialize lại). POST must start with WebhookSignatureService.verify or the declared domain verifier, awaited when async; a combined proof and intake must refuse invalid proof before recording. GET must start with its declared domain challenge verifier and echo exactly that call result. Returning PROVIDER_ACK after POST intake never removes this first-statement requirement; follow knowledge/patterns/be/webhooks.yaml."
+  owner: op-retry
+  kind: check-finding
+
+CI_TRIGGERS_RELEASE_ONLY:
+  title: "Workflow trigger other than a release tag, a person or the runtime's main"
+  title_vi: "Workflow có trigger không phải tag phát hành, người chạy tay hay main của runtime"
+  meaning_vi: "Một workflow CI (gốc, ví dụ hoặc template của packages/hfs) khai báo trigger ngoài các loại được phép: push của tag v*, workflow_dispatch và, chỉ ở workflow gốc của runtime, push của nhánh main (không kèm paths hay bộ lọc ignore). Push nhánh khác, push main trong ví dụ hoặc template, pull_request, schedule hay workflow_call làm CI chạy sai thời điểm, và mọi app scaffold từ template sẽ thừa hưởng lỗi đó."
+  causes_vi:
+    - "Giữ trigger push hoặc pull_request của mô hình CI cũ"
+    - "Thêm bộ lọc branches khác [main], hoặc paths, vào push; hoặc thêm push main vào ví dụ hoặc template của app"
+  nextStep_vi: "Người giám sát đặt on của workflow gốc thành push với tags: ['v*'] và/hoặc branches: [main] cùng workflow_dispatch; ví dụ và template trong packages/hfs/templates/app/ci-workflows chỉ giữ tags: ['v*'] và workflow_dispatch (render lại ví dụ bằng starci app sync --write); không thêm trigger khác (docs/git-governance.md)."
+  owner: supervisor
+  kind: check-finding
+
+CI_UPLOAD_NOT_SILENT:
+  title: "Coverage upload can skip or fail silently"
+  title_vi: "Bước tải coverage có thể bị bỏ qua hoặc lỗi mà không báo"
+  meaning_vi: "Một bước codecov/codecov-action trong workflow CI (gốc, ví dụ hoặc template của packages/hfs) không xác thực bằng OIDC (use_oidc: true cùng permissions id-token: write), không đặt fail_ci_if_error: true, có continue-on-error: true, hoặc bị chặn bởi điều kiện đọc một secret hay CODECOV_TOKEN. Khi đó thiếu secret hay tải lỗi chỉ làm bước bị bỏ qua và job vẫn xanh, coverage thôi được báo mà không ai hay."
+  causes_vi:
+    - "Dùng token trong repository secret và đặt điều kiện if theo secret đó"
+    - "Để continue-on-error hoặc quên fail_ci_if_error cho bước tải"
+  nextStep_vi: "Người giám sát đặt use_oidc: true và fail_ci_if_error: true cho bước, cấp permissions id-token: write cho job, bỏ continue-on-error và điều kiện theo secret, rồi render lại workflow bằng starci app sync --write."
+  owner: supervisor
+  kind: check-finding
+
+CLI_ONLY_ENTRY:
+  title: "A tracked file runs a runtime script directly"
+  title_vi: "Một file được theo dõi chạy trực tiếp script của runtime"
+  meaning_vi: "Một prompt, tài liệu, skill, file knowledge, cấu hình, CI, hook hoặc đăng ký tác vụ chạy node scripts/..., chạy trực tiếp ui/harness-verbs.mjs hoặc npm run bọc script runtime thay vì starci <group> <verb>."
+  causes_vi:
+    - "Vi phạm luật R201: mọi hành động phải đi qua starci <group> <verb>."
+  nextStep_vi: "Đổi lời gọi thành lệnh starci mà bộ kiểm tra gợi ý; nếu script chưa có verb thì thêm file catalog hoặc khai báo nội bộ trong modules/cli/commands/_internal.yaml."
+  owner: op-retry
+  kind: check-finding
+
+DB_API_EXPOSED:
+  title: "The database API never exposes pgmq and lite data access is closed"
+  title_vi: "API cơ sở dữ liệu mở schema bị cấm"
+  meaning_vi: "config.toml mở pgmq hoặc pgmq_public, hoặc ứng dụng lite mở API dữ liệu mà không có policy public_read rõ ràng."
+  causes_vi:
+    - "Vi phạm R259: cửa dữ liệu không khớp quy tắc front end chỉ dùng Supabase Auth."
+  nextStep_vi: "Loại pgmq và pgmq_public khỏi schema API; đóng API dữ liệu lite hoặc khai báo policy public_read giới hạn cần thiết."
+  owner: op-retry
+  kind: check-finding
+
+DB_APP_ROLE:
+  title: "The back-end database role has explicit least privileges"
+  title_vi: "Role cơ sở dữ liệu của back end có quyền quá rộng"
+  meaning_vi: "Migration tại <path> tạo hoặc sửa role của ứng dụng với superuser, bypassrls hay thuộc tính thiếu an toàn, hoặc cấp all thay cho các quyền cần thiết; role mặc định là app_be và có thể khai báo bằng supabase.appRole."
+  causes_vi:
+    - "Vi phạm R255: app role vượt qua RLS hoặc được cấp quyền rộng hơn công việc của back end."
+    - "Role không khai báo rõ noinherit và nobypassrls, hoặc nhận grant all trên schema hay bảng."
+  nextStep_vi: "Khai báo app role với noinherit, nobypassrls và các thuộc tính không đặc quyền; bỏ superuser, bypassrls và grant all, rồi cấp từng quyền cần thiết."
+  owner: op-retry
+  kind: check-finding
+
+DB_ARCHIVE_MUTATED:
+  title: "Archived migrations are immutable and retire only with a new baseline"
+  title_vi: "Archive migration bị thay đổi ngoài lần cắt baseline"
+  meaning_vi: "Migration đã lưu trữ bị sửa hoặc xóa, file mới được đưa thẳng vào archive, hoặc migration đang hoạt động được lưu trữ mà không thêm baseline trong cùng thay đổi."
+  causes_vi:
+    - "Vi phạm R257: archive không giữ nguyên nội dung lịch sử của chuỗi migration."
+  nextStep_vi: "Khôi phục file lưu trữ nguyên vẹn và tạo baseline thay thế trong cùng thay đổi khi cần lưu trữ chuỗi đang hoạt động."
+  owner: op-retry
+  kind: check-finding
+
+DB_BASELINE_SHAPE:
+  title: "An archived migration chain needs exactly one valid replacement baseline"
+  title_vi: "Baseline của chuỗi migration lưu trữ sai hình dạng"
+  meaning_vi: "Archive có migration nhưng thiếu hoặc thừa baseline đang hoạt động, marker không nêu stamp cuối của archive, hoặc stamp baseline không hợp lệ và không có bản đồ restamp rõ ràng."
+  causes_vi:
+    - "Vi phạm R257: chuyển chuỗi migration vào archive mà không tạo baseline đúng marker và stamp."
+  nextStep_vi: "Chạy app db baseline để xem kế hoạch, kiểm tra marker và bản đồ restamp, rồi thi hành với --apply khi kế hoạch đã đúng."
+  owner: op-retry
+  kind: check-finding
+
+DB_BE_ONLY_ACCESS:
+  title: "Exposed product data is accessed through the back end"
+  title_vi: "Dữ liệu exposed được mở trực tiếp cho trình duyệt"
+  meaning_vi: "Migration tại <path> cấp quyền bảng hoặc sequence cho authenticated, khai báo policy cho authenticated, hoặc mở quyền anon ngoài policy select có tên kết thúc _public_read; đối tượng chưa được khai báo ngoại lệ supabase.directAccess."
+  causes_vi:
+    - "Vi phạm R254: Supabase phía front end chỉ phục vụ Auth; dữ liệu sản phẩm đi qua back end."
+    - "Grant hoặc policy mới mở lại cửa dữ liệu trong schema exposed mà không có ngoại lệ rõ ràng."
+  nextStep_vi: "Gỡ grant và policy truy cập trực tiếp; cho back end truy cập bằng app role. Nếu chủ ý mở đối tượng, khai báo bảng trong hfs.json supabase.directAccess; anon chỉ đọc qua policy select *_public_read."
+  owner: op-retry
+  kind: check-finding
+
 DB_CONFIG_POLICY:
   title: "`supabase/config.toml` holds no literal credential (`env(NAME)` only), `auth.jwt_expiry <= 3600`, and signup/site_url/redirects equal the Supabase block of hfs.json"
   title_vi: "config.toml lệch policy"
@@ -781,6 +1765,26 @@ DB_CONFIG_POLICY:
   owner: op-retry
   kind: check-finding
 
+DB_CRON_OWNED:
+  title: "A uniquely owned migration cron job only enqueues to a declared queue"
+  title_vi: "Lịch pg_cron thiếu chủ sở hữu hoặc thực hiện nghiệp vụ"
+  meaning_vi: "Tên lịch bị trùng, đích hàng đợi hoặc hàm tick không tồn tại, lệnh thực hiện DML nghiệp vụ hay HTTP, hoặc cùng tick còn được lập lịch ở ứng dụng."
+  causes_vi:
+    - "Vi phạm R258: pg_cron chỉ đưa việc vào hàng đợi, mỗi tick có đúng một nơi lập lịch và được hủy lịch khi loại bỏ."
+  nextStep_vi: "Đặt lịch trong migration với tên duy nhất, dùng pgmq.send hoặc một hàm *_tick chỉ enqueue, bỏ lịch trùng và gọi cron.unschedule khi xóa tick."
+  owner: op-retry
+  kind: check-finding
+
+DB_DEFINER_REVOKE:
+  title: "Exposed security definer functions revoke browser execution"
+  title_vi: "Function security definer chưa thu hồi quyền trình duyệt"
+  meaning_vi: "Function security definer tại <path>, được khai báo bằng create hoặc alter function trong schema exposed, vẫn chưa revoke execute từ authenticated sau toàn bộ tập migration."
+  causes_vi:
+    - "Vi phạm R256: authenticated hoặc role công khai vẫn có thể gọi function chạy bằng quyền của chủ sở hữu."
+  nextStep_vi: "Chuyển function sang schema không exposed hoặc thêm migration revoke execute on function <signature> from authenticated; giữ các yêu cầu search_path, revoke public và anon cùng các kiểm tra an toàn của R215."
+  owner: op-retry
+  kind: check-finding
+
 DB_DEFINER_SAFE:
   title: "A `security definer` function pins `search_path`, lives outside exposed schemas (or is revoked from public in the same migration), declares a return type, and interpolates parameters only through `format('%I/%L')`"
   title_vi: "Function security definer không an toàn"
@@ -801,6 +1805,36 @@ DB_DYNAMIC_DDL:
   owner: op-retry
   kind: check-finding
 
+DB_EXTENSION_ALLOWED:
+  title: "Database extensions belong to the declared allowlist"
+  title_vi: "Extension cơ sở dữ liệu nằm ngoài danh sách cho phép"
+  meaning_vi: "Migration tạo extension không thuộc danh sách extension mà chuẩn cơ sở dữ liệu cho phép."
+  causes_vi:
+    - "Vi phạm R259: thêm extension chưa được ruleParams.db.extensions cho phép."
+  nextStep_vi: "Dùng extension trong danh sách chuẩn hoặc khai báo chính sách extension được phê duyệt trước khi thêm migration."
+  owner: op-retry
+  kind: check-finding
+
+DB_FORCE_RLS_DEFAULT:
+  title: "Tables owned by the app role force row level security"
+  title_vi: "Bảng do app role sở hữu chưa bắt buộc RLS"
+  meaning_vi: "Bảng tại <path> thuộc app role nhưng thiếu force row level security và không có ngoại lệ forceRls kèm lý do không rỗng trong hfs.json."
+  causes_vi:
+    - "Vi phạm R255: chủ sở hữu bảng có thể bỏ qua RLS khi không có force row level security."
+  nextStep_vi: "Thêm alter table <schema>.<table> force row level security trong migration; nếu cần miễn, khai báo đúng bảng và lý do trong hfs.json supabase.forceRls."
+  owner: op-retry
+  kind: check-finding
+
+DB_MIGRATION_DESTRUCTIVE:
+  title: "Destructive DDL requires a contract migration with retired application references"
+  title_vi: "Migration phá hủy chưa thuộc bước contract"
+  meaning_vi: "DDL xóa hoặc thu hẹp schema nằm ngoài migration *_contract_*, hoặc đối tượng bị thay đổi vẫn được SQL hay entity của back end tham chiếu."
+  causes_vi:
+    - "Vi phạm R259: thực hiện bước phá hủy trước khi ứng dụng ngừng dùng đối tượng cũ."
+  nextStep_vi: "Tách thay đổi thành expand và contract, bỏ tham chiếu cũ trong ứng dụng, rồi tạo migration <stamp>_contract_<name>.sql."
+  owner: op-retry
+  kind: check-finding
+
 DB_MIGRATION_SHAPE:
   title: "A migration is named `<ts14>_<kebab>.sql`, stamped in valid UTC, appended after HEAD's active migrations, and immutable once on the base"
   title_vi: "Migration sai hình dạng hoặc bị sửa"
@@ -811,6 +1845,16 @@ DB_MIGRATION_SHAPE:
   owner: op-retry
   kind: check-finding
 
+DB_PGMQ_DECLARED:
+  title: "Queue constants, migration-created pgmq queues and queue grants must agree"
+  title_vi: "Khai báo hàng đợi pgmq lệch migration"
+  meaning_vi: "Hằng hàng đợi không có pgmq.create trong migration đang hoạt động, hàng đợi đã tạo không có hằng khai báo, hoặc quyền trên đối tượng pgmq vượt vai trò ứng dụng."
+  causes_vi:
+    - "Vi phạm R258: mã nguồn, migration và quyền truy cập không khai báo cùng hàng đợi."
+  nextStep_vi: "Đối chiếu hằng hàng đợi với pgmq.create và chỉ cấp quyền trên q_<queue>, a_<queue> cho vai trò ứng dụng."
+  owner: op-retry
+  kind: check-finding
+
 DB_POLICY_SHAPE:
   title: "Policies are named `<table>_<role>_<action>`, write/FOR ALL never uses (true), anon/public only on `for select` `*_public_read`, no grant to anon without that policy, never `service_role`"
   title_vi: "Policy sai hình dạng"
@@ -821,6 +1865,27 @@ DB_POLICY_SHAPE:
   owner: op-retry
   kind: check-finding
 
+DB_POLICY_TAUTOLOGY:
+  title: "Access policies use a meaningful principal predicate"
+  title_vi: "Policy dữ liệu có điều kiện luôn đúng"
+  meaning_vi: "Policy tại <path> dùng true, is not null hoặc so sánh một biểu thức với chính nó để mở dữ liệu, hoặc policy cho role trình duyệt không chứng minh điều kiện theo principal."
+  causes_vi:
+    - "Vi phạm R256: điều kiện luôn đúng không tạo ranh giới truy cập dữ liệu."
+    - "Policy không gắn hàng dữ liệu với auth.uid(), auth.jwt() hoặc nguồn principal tương đương."
+  nextStep_vi: "Viết điều kiện quyền sở hữu hoặc tenant dựa trên principal cho using và with check; bỏ các điều kiện true, is not null và x = x dùng thay cho kiểm soát truy cập."
+  owner: op-retry
+  kind: check-finding
+
+DB_REALTIME_UNLISTED:
+  title: "Realtime publication tables require declared direct access"
+  title_vi: "Bảng Realtime chưa được khai báo truy cập trực tiếp"
+  meaning_vi: "Migration tại <path> thêm bảng vào publication supabase_realtime nhưng bảng không có trong hfs.json supabase.directAccess."
+  causes_vi:
+    - "Vi phạm R254: publication Realtime mở một cửa dữ liệu trực tiếp chưa được khai báo."
+  nextStep_vi: "Gỡ bảng khỏi publication supabase_realtime hoặc khai báo ngoại lệ có chủ ý trong hfs.json supabase.directAccess."
+  owner: op-retry
+  kind: check-finding
+
 DB_RLS_REQUIRED:
   title: "Every `create table` in an exposed schema is followed by `enable row level security` in the same migration"
   title_vi: "Bảng trong schema public thiếu RLS"
@@ -841,6 +1906,16 @@ DB_STORAGE_POLICY:
   owner: op-retry
   kind: check-finding
 
+DB_STORAGE_PREFIX:
+  title: "Private storage policies scope an ownership prefix"
+  title_vi: "Policy storage thiếu prefix theo chủ sở hữu"
+  meaning_vi: "Policy trên storage.objects tại <path> không ràng buộc storage.foldername(name) với principal và bucket không có id kết thúc _public."
+  causes_vi:
+    - "Vi phạm R256: chỉ kiểm tra bucket_id không giới hạn đối tượng theo chủ sở hữu."
+  nextStep_vi: "Thêm điều kiện prefix sở hữu bằng storage.foldername(name) và principal trong using hoặc with check theo thao tác; chỉ dùng ngoại lệ cho bucket id kết thúc _public."
+  owner: op-retry
+  kind: check-finding
+
 DB_TYPES_DRIFT:
   title: "`supabase/types/database.types.ts` is committed and equals what `contract:emit` regenerates from the migrations"
   title_vi: "database.types.ts lệch với migrations"
@@ -851,6 +1926,92 @@ DB_TYPES_DRIFT:
   owner: op-retry
   kind: check-finding
 
+DB_VAULT_WRITE:
+  title: "Migrations contain no vault writes or role passwords"
+  title_vi: "Migration ghi vault hoặc mật khẩu vai trò"
+  meaning_vi: "SQL ghi bí mật vào vault hoặc khai báo PASSWORD khi tạo hay đổi vai trò; bí mật phải nằm trong luồng lưu giữ sops, không trong migration."
+  causes_vi:
+    - "Vi phạm R259: migration được dùng để tạo hoặc thay đổi giá trị bí mật."
+  nextStep_vi: "Bỏ thao tác ghi bí mật khỏi migration và dùng luồng app secret; chỉ giữ khai báo vai trò không chứa mật khẩu."
+  owner: op-retry
+  kind: check-finding
+
+DB_VIEW_UNSAFE:
+  title: "Exposed views preserve the caller's access boundary"
+  title_vi: "View exposed chưa bảo vệ quyền của người gọi"
+  meaning_vi: "View hoặc materialized view tại <path> nằm trong schema exposed mà không có security_invoker và tập migration kết thúc khi quyền của anon cùng authenticated chưa được thu hồi."
+  causes_vi:
+    - "Vi phạm R256: view có thể mở dữ liệu qua quyền của chủ sở hữu thay vì quyền của người gọi."
+  nextStep_vi: "Đặt security_invoker = true cho view hỗ trợ tùy chọn này hoặc thêm migration revoke quyền trên view từ anon và authenticated."
+  owner: op-retry
+  kind: check-finding
+
+ENV_DUPLICATE:
+  title: "One env key is sealed in two members"
+  title_vi: "Một khoá env bị niêm phong trong hai member"
+  meaning_vi: "Cùng một khoá môi trường xuất hiện trong hai member `.enc` khác nhau, nên giá trị nào được dùng không còn rõ."
+  causes_vi:
+    - "Vi phạm luật R248: một khoá chỉ sống trong một member; hai bản sao lệch giá trị là lỗi vận hành chờ xảy ra."
+    - "Khoá được di chuyển sang member mới nhưng quên gỡ khỏi member cũ."
+  nextStep_vi: "Giữ khoá ở đúng một member và gỡ nó khỏi member còn lại (`starci app secret set` rồi chỉnh lại member thừa)."
+  owner: op-retry
+  kind: check-finding
+
+ENV_EXAMPLE_DRIFT:
+  title: "An env example names a key nothing reads"
+  title_vi: "File env mẫu nêu một khoá không ai đọc"
+  meaning_vi: "Một file `*.env.example` liệt kê khoá mà không có EnvSource reader nào dùng: ví dụ đã lệch với các khoá code thật sự đọc."
+  causes_vi:
+    - "Vi phạm luật R248: file example là hợp đồng tài liệu của môi trường; khoá trong đó phải là khoá code đọc."
+    - "Đổi tên hoặc xoá reader mà quên cập nhật file example (D2-23 `QUEUE_RELAY_*`)."
+  nextStep_vi: "Sửa file example cho khớp các khoá `<app>.env.ts`/`*.config.ts` đọc, hoặc thêm reader nếu khoá thật sự cần."
+  owner: op-retry
+  kind: check-finding
+
+ENV_PUBLIC_SEALED:
+  title: "A NEXT_PUBLIC_* key is in sealed custody"
+  title_vi: "Khoá NEXT_PUBLIC_* nằm trong khu vực niêm phong"
+  meaning_vi: "Một member `.enc` giữ khoá `NEXT_PUBLIC_*`: giá trị public của front end là cấu hình công khai, không bao giờ vào custody bí mật."
+  causes_vi:
+    - "Vi phạm luật R248: đưa cấu hình public vào `.enc` làm người đọc tưởng nó là bí mật và kéo theo quy trình custody không cần thiết."
+    - "`web.enc` chứa `NEXT_PUBLIC_*` (D2-11)."
+  nextStep_vi: "Gỡ khoá `NEXT_PUBLIC_*` khỏi member và khai báo nó như public config (stack/`KEYS.md`)."
+  owner: op-retry
+  kind: check-finding
+
+ENV_REQUIRED_UNSET:
+  title: "A required env key is neither sealed nor declared"
+  title_vi: "Khoá môi trường bắt buộc chưa được niêm phong hay khai báo"
+  meaning_vi: "Mã nguồn đọc một khoá môi trường bắt buộc qua EnvSource nhưng khoá đó không nằm trong member `.enc` nào của `.starcistacks/<env>/secrets` cũng không được stack hay `KEYS.md` khai báo."
+  causes_vi:
+    - "Vi phạm luật R248: khoá mà code đọc, khoá được niêm phong và khoá stack truyền vào phải là cùng một tập; khoá bắt buộc thiếu cả chỗ niêm phong lẫn khai báo sẽ làm app không boot được."
+    - "Khoá được thêm vào `<app>.env.ts` hoặc `*.config.ts` nhưng quên `starci app secret set` và quên khai báo trong `KEYS.md` hoặc stack."
+  nextStep_vi: "Niêm phong khoá bằng `starci app secret set <env> <slug> <KEY>` hoặc khai báo nó trong `.starcistacks/<env>/runtime/env/KEYS.md` / phần `environment:` của stack."
+  owner: op-retry
+  kind: check-finding
+
+ENV_SEALED_UNREAD:
+  title: "A sealed key is read by nobody"
+  title_vi: "Khoá niêm phong không ai đọc"
+  meaning_vi: "Một member `.enc` trong `.starcistacks/<env>/secrets` giữ một khoá mà không có EnvSource reader nào đọc và không có consumer nào được khai báo (stack hay `KEYS.md`)."
+  causes_vi:
+    - "Vi phạm luật R248: khoá niêm phong thừa là custody chết — tên sai (như D2-06 `OPENCLAW_TURN_TIMEOUT_MS`), khoá cũ đã bỏ (D2-07/08) hoặc member sai."
+    - "Code đổi tên khoá nhưng member niêm phong vẫn giữ tên cũ."
+  nextStep_vi: "Gỡ khoá khỏi member, sửa tên cho khớp khoá code đọc, hoặc khai báo consumer của nó trong `KEYS.md` / stack."
+  owner: op-retry
+  kind: check-finding
+
+ENV_VALUE_SHAPE:
+  title: "A stored env value does not parse as its reader's type"
+  title_vi: "Giá trị env đã lưu không đúng kiểu reader khai báo"
+  meaning_vi: "Một giá trị trong member niêm phong (kiểm bằng `starci app secret verify <env>`) hoặc trong `*.env.example` không parse được theo kiểu reader EnvSource khai báo (int, bool `true`/`false`, url tuyệt đối, duration `250`/`30s`/`5m`/`2h`, hoặc một giá trị enum đã khai báo)."
+  causes_vi:
+    - "Vi phạm luật R249: app boot sẽ fail hoặc đọc sai ngầm khi giá trị không khớp parser — như `OPENCLAW_MANAGE_AGENTS=1` cho `env.bool` (D2-03)."
+    - "Giá trị được set bằng định dạng khác (`1` thay `true`, `1000` thay `1s`, URL thiếu scheme)."
+  nextStep_vi: "Sửa giá trị qua `starci app secret set <env> <slug> <KEY>` cho đúng kiểu reader khai báo, hoặc sửa example; verify in ra tên khoá và kiểu bị vi phạm, không in giá trị."
+  owner: op-retry
+  kind: check-finding
+
 FE_APP_ISOLATION:
   title: "App imports another app"
   title_vi: "Một app import app khác"
@@ -873,6 +2034,27 @@ FE_BLOCK_PRODUCT_HOOK_DEFINITION:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_CALLBACK_SHAPE:
+  title: "An auth callback performs more than code exchange and redirect"
+  title_vi: "Callback xác thực làm thêm việc ngoài đổi mã và chuyển hướng"
+  meaning_vi: "Handler của fe.route.callback chứa operation dữ liệu, logic sản phẩm, handler bổ sung hoặc phản hồi JSON thay vì chỉ đổi mã xác thực rồi chuyển hướng."
+  causes_vi:
+    - "Callback gọi operation API hoặc xử lý dữ liệu sản phẩm"
+    - "Callback trả JSON hoặc định nghĩa thêm handler"
+  nextStep_vi: "Giữ callback ở việc đọc mã, tạo client xác thực, đổi mã và chuyển hướng; chuyển logic sản phẩm về back end hoặc hook phù hợp."
+  owner: op-retry
+  kind: check-finding
+
+FE_CLIENT_BOUNDARY:
+  title: "Server first; `\"use client\"` only where allowed"
+  title_vi: "use client sai chỗ"
+  meaning_vi: "`\\\"use client\\\"` ở `<file>` (slot `<slot>` không được là client component)."
+  causes_vi:
+    - "Vi phạm luật R55: Server-first: `\"use client\"` chỉ ở `index.tsx` của block có tương tác, leaf có tương tác nội tại, và `error.tsx`/`global-error.tsx` (Next bắt buộc); layout/page là server component."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
 FE_CLIENT_REACHES_SERVER:
   title: "Client module reaches a server-only import"
   title_vi: "Mô-đun client với tới import chỉ dành cho máy chủ"
@@ -884,6 +2066,28 @@ FE_CLIENT_REACHES_SERVER:
   owner: op-retry
   kind: check-finding
 
+FE_CLIENT_SERVER_IMPORT:
+  title: "A client component imports nothing server-only"
+  title_vi: "Client component nhập mã chỉ chạy ở server"
+  meaning_vi: "Tệp `\"use client\"` ở `<file>` nhập `<what>` (`server-only`, `next/headers`, module Node), thứ chỉ tồn tại ở server."
+  causes_vi:
+    - "Vi phạm luật R55: Client component không nhập `server-only`, `next/headers` hay module Node; dữ liệu đến từ hook SWR trong `hooks/swr` gọi `modules/api`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_COMPONENT_API:
+  title: "Front-end component exposes a non-canon surface"
+  title_vi: "Component FE sai bề mặt công khai"
+  meaning_vi: "Component phải có props và slot có kiểu được đặt tên, mỗi khối kết nối có bản trình bày tương ứng, trạng thái đi qua slot view, không mở cửa className hay thuộc tính CSS, không có bản sao trạng thái nghỉ hay prop placeholder, tên lớp nằm ở tệp đi kèm."
+  causes_vi:
+    - "Component nhận className từ ngoài"
+    - "Khối kết nối không có bản trình bày thuần"
+    - "Trạng thái dữ liệu tự chế thay vì qua SlotView"
+  nextStep_vi: "Sửa chữ ký component theo luật drawing và tách phần trình bày; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 FE_COMPONENT_DEEP_HOOK_IMPORT:
   title: "Component imports a hook too deeply"
   title_vi: "Thành phần nhập hook quá sâu"
@@ -917,6 +2121,38 @@ FE_CONNECTED_BLOCK_RENDER_PAIR:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_CONSOLE_CALL:
+  title: "No console in product source"
+  title_vi: "console.* trong mã sản phẩm"
+  meaning_vi: "`console.<method>` ở `<file>` không đi vào pipeline log nào, lộ chi tiết nội bộ trong devtools của người dùng và che mất việc xử lý thật."
+  causes_vi:
+    - "Vi phạm luật R65: Không `console.*` trong mã sản phẩm; trả outcome có kiểu, hiển thị trạng thái lỗi, hoặc để lỗi tới `error.tsx`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_COOKIE_ATTRIBUTES:
+  title: "A written cookie leaves its attributes to the defaults"
+  title_vi: "Cookie được ghi mà không nêu rõ thuộc tính"
+  meaning_vi: "Một lời gọi `set` trên cookie phản hồi của Next (`response.cookies.set`, `cookies().set`) ở `<file>` không nêu `httpOnly` bằng một giá trị cố định, thiếu `secure`, hoặc có `sameSite` khác `lax`/`strict`; cookie phiên khi đó đọc được từ script của trang hoặc đi theo request chéo trang."
+  causes_vi:
+    - "Vi phạm luật R107: ghi cookie phiên bằng `set(name, value)` không có options, hoặc options thiếu `httpOnly: true`"
+    - "`sameSite: \"none\"`, `secure: false` hoặc `httpOnly` lấy từ một biến boolean không cố định"
+  nextStep_vi: "Khai báo một hằng số options `as const` trong module sở hữu cookie với `httpOnly: true` (chỉ `false` cho cookie tùy chọn mà script của trang cần đọc), `secure` lấy từ `modules/config` và `sameSite: \"lax\"` hoặc `\"strict\"`, rồi truyền nó vào mọi lần `set`. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+FE_COPY_IN_CALL:
+  title: "A validation or toast call contains literal display copy"
+  title_vi: "Lời gọi kiểm tra dữ liệu hoặc toast chứa chữ hiển thị gõ trực tiếp"
+  meaning_vi: "Tệp <file> truyền chữ hiển thị trực tiếp vào thông báo Zod hoặc toast; chữ người dùng đọc phải được lấy từ catalog next-intl."
+  causes_vi:
+    - "Lời gọi z.string().email chứa câu báo lỗi gõ trực tiếp"
+    - "Toast chứa tiêu đề hoặc mô tả gõ trực tiếp"
+  nextStep_vi: "Đưa chữ hiển thị vào catalog ngôn ngữ và truyền kết quả t() vào thông báo kiểm tra dữ liệu hoặc toast."
+  owner: op-retry
+  kind: check-finding
+
 FE_CROSS_APP_DUPLICATE:
   title: "File copied between apps"
   title_vi: "Tệp chép nguyên giữa các app"
@@ -939,6 +2175,46 @@ FE_CUSTOM_HOOK_LOCATION:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_DANGEROUS_HTML:
+  title: "dangerouslySetInnerHTML only on script"
+  title_vi: "dangerouslySetInnerHTML trên phần tử hiển thị"
+  meaning_vi: "`<tag>` ở `<file>` dùng `dangerouslySetInnerHTML`: chuỗi bất kỳ (của người dùng, nhà cung cấp, catalog) trở thành mã HTML chạy được."
+  causes_vi:
+    - "Vi phạm luật R55: Chỉ được `dangerouslySetInnerHTML` trên `<script>` mang JSON-LD hoặc mã khởi tạo theme từ hằng số do app viết; nội dung khác render thành phần tử."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_EFFECT_CLEANUP:
+  title: "What an effect starts, its cleanup releases"
+  title_vi: "Effect khởi động thứ không được dọn"
+  meaning_vi: "`<what>` ở `<file>` (timer, frame, listener, observer, socket hoặc subscription) do effect hoặc `subscribe` khởi động, nhưng cleanup trả về không giải phóng đúng handle, target và listener đó; nó chạy tiếp sau khi component đã gỡ và set state vào chỗ không còn."
+  causes_vi:
+    - "Vi phạm luật R65: mọi thứ effect hoặc `subscribe` khởi động được cleanup trả về giải phóng cùng handle, target và listener (`clearTimeout(id)`, `cancelAnimationFrame(id)`, `removeEventListener` cùng type và listener, `.disconnect()`, `.close()`, `.unsubscribe()`)."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_EFFECT_FETCH:
+  title: "No data loading inside useEffect"
+  title_vi: "Tải dữ liệu trong useEffect"
+  meaning_vi: "`useEffect` ở `<file>` gọi `await`, `fetch` hoặc `.then`. Effect không có cache, không gộp request, không có trạng thái loading/lỗi và không huỷ được."
+  causes_vi:
+    - "Vi phạm luật R50: Đọc dữ liệu bằng hook SWR trong `hooks/swr` gọi operation của `modules/api`; component chỉ gọi hook."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_ENV_OWNER:
+  title: "Only `modules/config` reads the environment; no localhost fallback"
+  title_vi: "Đọc biến môi trường ngoài modules/config"
+  meaning_vi: "`<file>` đọc env (hoặc fallback localhost). Chỉ `modules/config` được đọc env."
+  causes_vi:
+    - "Vi phạm luật R49: `process.env`/`NEXT_PUBLIC_*` chỉ trong `modules/config`; không fallback `?? \"http://localhost…\"`; thiếu biến ở production thì ném lỗi khi load."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
 FE_ERROR_BOUNDARY_MISSING:
   title: "Next app lacks a required error or loading boundary"
   title_vi: "Ứng dụng Next thiếu trang lỗi hoặc trang đang tải bắt buộc"
@@ -983,6 +2259,16 @@ FE_HREF_RESOLVES:
   owner: op-retry
   kind: check-finding
 
+FE_HTTP_STATUS_COLLAPSE:
+  title: "One `GraphQLResponse<T>` envelope; 401 and 403 become `refused`"
+  title_vi: "Gộp mọi lỗi thành một nhánh"
+  meaning_vi: "`<file>` gộp mọi lỗi thành một nhánh hoặc biến lỗi thành dữ liệu rỗng. UNAUTHENTICATED/FORBIDDEN (401/403) phải thành `refused`."
+  causes_vi:
+    - "Vi phạm luật R51: Một envelope `GraphQLResponse<T>` (`success`, `message`, `error`, `data`) trong `modules/api/graphql/types.ts`; 401/403 → `refused` (error link làm mới token một lần rồi đưa về đăng nhập); cấm `return null` khi lỗi; không hiển thị nguyên văn lỗi server làm lý do."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong tiêu chuẩn HFS; nợ cũ cần quyết định thiết kế nên op không thêm ngoại lệ, chỉ tách hoặc chuyển về đúng chủ."
+  owner: op-retry
+  kind: check-finding
+
 FE_I18N_CATALOG:
   title: "Same keys in every catalog, real catalog in specs, `pick` for clients"
   title_vi: "Catalog ngôn ngữ lệch key"
@@ -993,6 +2279,16 @@ FE_I18N_CATALOG:
   owner: op-retry
   kind: check-finding
 
+FE_I18N_FORMATTER:
+  title: "Numbers, money and dates through the next-intl formatter"
+  title_vi: "Định dạng số, tiền, ngày ngoài formatter của next-intl"
+  meaning_vi: "`<file>` định dạng bằng `<what>` (`toLocale*String`, `new Intl.*`, `toFixed` hiển thị, ký hiệu tiền dán vào template hoặc thư viện ngày) thay vì formatter của next-intl, nên locale và múi giờ lệch giữa server và trình duyệt."
+  causes_vi:
+    - "Vi phạm luật R59: Số, tiền, ngày dùng `useFormatter()` / `getFormatter()` của next-intl; định dạng dùng chung khai báo một lần trong `modules/i18n`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 FE_I18N_KEYS:
   title: "Catalog keys and the source that reads them agree"
   title_vi: "Khóa catalog và mã nguồn đọc chúng không khớp"
@@ -1003,6 +2299,26 @@ FE_I18N_KEYS:
   owner: op-retry
   kind: check-finding
 
+FE_I18N_LITERAL:
+  title: "No display text at any tier, no escape comment"
+  title_vi: "Chữ hiển thị không đi qua t()"
+  meaning_vi: "Chữ `\\\"<text>\\\"` ở `<file>:<line>` không đi qua `t()`."
+  causes_vi:
+    - "Vi phạm luật R58: Không chữ hiển thị (JSX text, `aria-label`, `title`, `placeholder`, `alt`, object copy) ở MỌI tầng, mọi ngôn ngữ; `<html lang>` lấy từ `[locale]`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
+FE_I18N_NAVIGATION:
+  title: "Navigation from modules/i18n/navigation"
+  title_vi: "Điều hướng không đi qua next-intl"
+  meaning_vi: "`<file>` dùng `next/link`, `useRouter`, `usePathname`, `redirect` của Next hoặc thẻ `<a>` cho route nội bộ: mất tiền tố `[locale]`, mất prefetch, tải lại cả trang."
+  causes_vi:
+    - "Vi phạm luật R59: `Link`, `useRouter`, `usePathname`, `redirect` lấy từ `modules/i18n/navigation`; liên kết ngoài mở tab mới phải có `rel=\"noopener noreferrer\"`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 FE_I18N_PLACEMENT:
   title: "`next-intl`, `[locale]`, `modules/i18n/`"
   title_vi: "i18n sai chuẩn next-intl"
@@ -1013,49 +2329,156 @@ FE_I18N_PLACEMENT:
   owner: op-retry
   kind: check-finding
 
-FE_NO_TESTS:
-  title: "Front end holds a test file, test tooling or a test dependency"
-  title_vi: "Front end có tệp test, công cụ test hoặc thư viện test"
-  meaning_vi: "Chuẩn của front end là không có test: repository có spec, e2e, cấu hình vitest, Playwright hay jest, script test, hoặc khai báo thư viện chạy test, dựng môi trường test, testing-library, axe trong package.json."
+FE_ICON_INLINE_SVG:
+  title: "An inline SVG is outside a declared brand-mark leaf"
+  title_vi: "SVG viết trực tiếp nằm ngoài leaf nhãn hiệu được khai báo"
+  meaning_vi: "Tệp <file> vẽ SVG trực tiếp ngoài leaf nhãn hiệu được khai báo; glyph thông thường phải đến từ họ Heroicons thông qua leaf Icon."
   causes_vi:
-    - "Viết spec hoặc e2e cho component, hook hay trang"
-    - "Thêm vitest, Playwright, jest, testing-library hoặc axe vào package.json"
-    - "Thêm script test hoặc cấu hình test vào repository front end"
-  nextStep_vi: "Xóa tệp, cấu hình, script và thư viện test đó; front end không có ngoại lệ, kể cả thư mục scripts/. Kiểm tra giao diện bằng lint, typecheck và starci app check."
+    - "Leaf Icon tự vẽ path hoặc SVG thay vì dùng Heroicons"
+    - "Component vẽ SVG trực tiếp mà không phải leaf nhãn hiệu được khai báo"
+  nextStep_vi: "Thay glyph bằng Heroicons qua leaf Icon; nếu là nhãn hiệu, đặt nó trong leaf nhãn hiệu và khai báo đúng chủ của leaf."
   owner: op-retry
   kind: check-finding
 
-FE_OWNER_REACHABLE:
-  title: "Page feature not mounted by a route"
-  title_vi: "Feature trang chưa được route nào gắn vào"
-  meaning_vi: "Một feature trang, layout hoặc overlay của frontend không có đường import chạy thật từ bất kỳ tệp nào trong cây route của ứng dụng (thư mục src/app). Người dùng sẽ không bao giờ thấy nó vì không route nào hiển thị."
+FE_LIST_KEY:
+  title: "List rows have a stable key and stable props"
+  title_vi: "Danh sách thiếu key ổn định"
+  meaning_vi: "`.map` ở `<file>` trả phần tử không có `key`, dùng chỉ số hoặc giá trị ngẫu nhiên làm `key`, hoặc truyền object/array literal cho component trong danh sách; hàng bị đổi state khi xoá hoặc sắp xếp lại, và memo không bao giờ trúng."
   causes_vi:
-    - "Quên import feature vào page.tsx hoặc layout.tsx tương ứng"
-    - "Route chỉ import kiểu của feature chứ không render nó"
-    - "Feature đã bị thay thế nhưng thư mục cũ vẫn còn"
-  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để gắn feature vào route đúng hoặc xoá feature không dùng; không cần ai can thiệp thêm."
+    - "Vi phạm luật R65: Phần tử trong `.map` có `key` lấy từ id của dữ liệu (không dùng index, `Math.random`, `Date.now`), và không truyền object/array literal cho component trong danh sách; hằng số được nâng ra ngoài."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
   owner: op-retry
   kind: check-finding
 
-FE_PACKAGE_SHAPE:
-  title: "Packages build to `dist` with explicit exports and no dead unit"
-  title_vi: "Gói dùng chung sai hình dạng"
-  meaning_vi: "Package `<p>` export source chưa build (hoặc `export *`, hoặc unit không ai dùng)."
+FE_NATIVE_FORM_CONTROL:
+  title: "No raw form controls, native images or raw structural tags in product tiers; the grammar renders them"
+  title_vi: "Control form thô"
+  meaning_vi: "`<tag>` thô ở `<file>`. Dùng renderer của grammar."
   causes_vi:
-    - "Vi phạm luật R63: `packages/*` build ra `dist`, `exports` tường minh, không `export *`, không unit chết; package UI chỉ chứa composites/branches/leaves + CSS token của family."
+    - "Vi phạm luật R62: Không `<select>/<input>/<textarea>/<button>`, `<img>` thô và không thẻ cấu trúc thô (`<section>`, `<p>`, `<ul>`, `<h1>`...) ở tầng sản phẩm; dùng renderer grammar."
   nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong tiêu chuẩn HFS; nợ cũ cần quyết định thiết kế nên op không thêm ngoại lệ, chỉ tách hoặc chuyển về đúng chủ."
   owner: op-retry
   kind: check-finding
 
-FE_PURE_REACHES_DATA:
-  title: "Pure component reaches hooks or API"
-  title_vi: "Thành phần thuần chạm tới hook hoặc API"
-  meaning_vi: "Tệp component.tsx thuần lại nhập được hook hoặc lớp truyền tải API, kể cả qua alias hay barrel."
+FE_NATIVE_IMAGE:
+  title: "next/image with a reserved size"
+  title_vi: "Ảnh thô hoặc next/image thiếu kích thước"
+  meaning_vi: "`<file>` dùng `<img>` thô, hoặc `Image` không có `width` và `height` (hay `fill` mà không có `sizes`): trình duyệt không giữ chỗ nên trang nhảy khi ảnh tải xong."
   causes_vi:
-    - "Nhập hook dữ liệu vào thành phần thuần"
-    - "Đường nhập gián tiếp đưa hook vào"
-  nextStep_vi: "Op interface.implement đưa phần dữ liệu lên index.tsx kết nối và giữ component.tsx thuần."
-  owner: other-op:interface.implement
+    - "Vi phạm luật R62: Ảnh dùng `Image` của `next/image` với `width`+`height` hoặc `fill`+`sizes`; alt lấy từ catalog thông điệp."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_NEXT_CONVENTIONS:
+  title: "A Next convention of HFS is broken"
+  title_vi: "Vi phạm quy ước Next của HFS"
+  meaning_vi: "Một tệp dùng tên hoặc cách viết cũ của Next: middleware thay vì proxy.ts (từ Next 16), thiếu generateMetadata trên page, turbopack.root sai, hoặc dev và build dùng hai bundler khác nhau. Đây là kiểm tra con của R54 và R02."
+  causes_vi:
+    - "Đặt tên tệp middleware.ts trên Next 16 trở lên"
+    - "Page không có generateMetadata"
+    - "turbopack.root trỏ sai gốc workspace"
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
+FE_NO_ALERT:
+  title: "The front end calls a browser alert"
+  title_vi: "Front end gọi hộp thoại alert của trình duyệt"
+  meaning_vi: "Tệp <file> gọi alert() hoặc biến thể toàn cục của nó, tạo hộp thoại trình duyệt ngoài hệ thống thông báo của sản phẩm."
+  causes_vi:
+    - "Dùng alert() để báo lỗi hoặc báo thao tác hoàn tất"
+    - "Gọi window.alert hoặc globalThis.alert thay cho toast"
+  nextStep_vi: "Dùng mô-đun toast của sản phẩm hoặc overlay được khai báo, với chữ hiển thị lấy từ catalog next-intl."
+  owner: op-retry
+  kind: check-finding
+
+FE_NO_TESTS:
+  title: "Front end holds a test file, test tooling or a test dependency"
+  title_vi: "Front end có tệp test, công cụ test hoặc thư viện test"
+  meaning_vi: "Chuẩn của front end là không có test: repository có spec, e2e, cấu hình vitest, Playwright hay jest, script test, hoặc khai báo thư viện chạy test, dựng môi trường test, testing-library, axe trong package.json."
+  causes_vi:
+    - "Viết spec hoặc e2e cho component, hook hay trang"
+    - "Thêm vitest, Playwright, jest, testing-library hoặc axe vào package.json"
+    - "Thêm script test hoặc cấu hình test vào repository front end"
+  nextStep_vi: "Xóa tệp, cấu hình, script và thư viện test đó; front end không có ngoại lệ, kể cả thư mục scripts/. Kiểm tra giao diện bằng lint, typecheck và starci app check."
+  owner: op-retry
+  kind: check-finding
+
+FE_OP_OUTSIDE_SWR_HOOK:
+  title: "An API operation is used outside its SWR wrapper hook"
+  title_vi: "Operation API được dùng ngoài hook bọc SWR"
+  meaning_vi: "Tệp <file> import hoặc gọi operation của modules/api trực tiếp ở component, feature hoặc hook miền, bỏ qua hook bọc trong hooks/swr."
+  causes_vi:
+    - "Hook miền import operation API trực tiếp"
+    - "Component hoặc trang máy chủ gọi operation thay vì dùng hook bọc"
+  nextStep_vi: "Đặt import và lời gọi operation trong hook bọc tương ứng ở hooks/swr; các tệp tiêu thụ chỉ dùng hook đó."
+  owner: op-retry
+  kind: check-finding
+
+FE_OUTCOME_KIND_UNHANDLED:
+  title: "A switch over an Outcome names every kind"
+  title_vi: "Switch trên Outcome thiếu nhánh"
+  meaning_vi: "`switch` trên `kind` ở `<file>` có nhánh `ok` nhưng thiếu `<kinds>`. Mỗi kind là một màn người dùng có thể gặp: refused, invalid, not-found, unavailable."
+  causes_vi:
+    - "Vi phạm luật R51: Mọi `switch` trên `Outcome<T>` liệt kê đủ `ok`, `refused`, `invalid`, `not-found`, `unavailable`; không dựa vào `default`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_OWNER_REACHABLE:
+  title: "Page feature not mounted by a route"
+  title_vi: "Feature trang chưa được route nào gắn vào"
+  meaning_vi: "Một feature trang, layout hoặc overlay của frontend không có đường import chạy thật từ bất kỳ tệp nào trong cây route của ứng dụng (thư mục src/app). Người dùng sẽ không bao giờ thấy nó vì không route nào hiển thị."
+  causes_vi:
+    - "Quên import feature vào page.tsx hoặc layout.tsx tương ứng"
+    - "Route chỉ import kiểu của feature chứ không render nó"
+    - "Feature đã bị thay thế nhưng thư mục cũ vẫn còn"
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để gắn feature vào route đúng hoặc xoá feature không dùng; không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
+FE_PACKAGE_SHAPE:
+  title: "Packages build to `dist` with explicit exports and no dead unit"
+  title_vi: "Gói dùng chung sai hình dạng"
+  meaning_vi: "Package `<p>` export source chưa build (hoặc `export *`, hoặc unit không ai dùng)."
+  causes_vi:
+    - "Vi phạm luật R63: `packages/*` build ra `dist`, `exports` tường minh, không `export *`, không unit chết; package UI chỉ chứa composites/branches/leaves + CSS token của family."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong tiêu chuẩn HFS; nợ cũ cần quyết định thiết kế nên op không thêm ngoại lệ, chỉ tách hoặc chuyển về đúng chủ."
+  owner: op-retry
+  kind: check-finding
+
+FE_PAGE_METADATA_MISSING:
+  title: "Every page exports metadata"
+  title_vi: "Trang không khai báo metadata"
+  meaning_vi: "`<file>` là `page.tsx` nhưng không export `metadata` hoặc `generateMetadata`, nên mọi trang cùng một tiêu đề trên tab, lịch sử, liên kết chia sẻ và kết quả tìm kiếm."
+  causes_vi:
+    - "Vi phạm luật R54: Mỗi `page.tsx` export `metadata` (hoặc `generateMetadata` khi tiêu đề lấy từ dữ liệu), tiêu đề và mô tả lấy từ catalog thông điệp."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_PROPS_MUTABLE:
+  title: "Component props can be written"
+  title_vi: "Props của component có thể bị ghi"
+  meaning_vi: "Kiểu props của một hàm render được export ở `<file>` có field hoặc index signature thiếu `readonly`, hoặc giữ một collection có thể thay đổi (`T[]`, `[A, B]`, `Array<T>`), trực tiếp hay trong object lồng nhau (luật R110, FE-TYPING-2)."
+  causes_vi:
+    - "interface XProps { title: string } thiếu `readonly`"
+    - "readonly items: Item[] thay vì `readonly Item[]`"
+    - "Field của kiểu phần tử khai báo cùng file thiếu `readonly`"
+  nextStep_vi: "Đánh dấu `readonly` cho mọi field và index signature của props, viết collection là `readonly T[]`, `readonly [A, B]` hoặc `ReadonlyArray<T>`. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+FE_PURE_REACHES_DATA:
+  title: "Pure component reaches hooks or API"
+  title_vi: "Thành phần thuần chạm tới hook hoặc API"
+  meaning_vi: "Tệp component.tsx thuần lại nhập được hook hoặc lớp truyền tải API, kể cả qua alias hay barrel."
+  causes_vi:
+    - "Nhập hook dữ liệu vào thành phần thuần"
+    - "Đường nhập gián tiếp đưa hook vào"
+  nextStep_vi: "Op interface.implement đưa phần dữ liệu lên index.tsx kết nối và giữ component.tsx thuần."
+  owner: other-op:interface.implement
   kind: check-finding
 
 FE_PURE_WORLD_HOOK:
@@ -1144,6 +2567,16 @@ FE_ROUTE_HANDLER_FORBIDDEN:
   owner: op-retry
   kind: check-finding
 
+FE_ROUTE_HARDCODED:
+  title: "A route is built by modules/routes"
+  title_vi: "Đường dẫn route viết tay"
+  meaning_vi: "`<path>` ở `<file>` là route viết thẳng ở nơi gọi. Route đổi chỗ thì mọi bản sao trỏ vào 404 mà không kiểm tra kiểu nào bắt được."
+  causes_vi:
+    - "Vi phạm luật R57: Mọi href và lời gọi điều hướng (`router.push`, `redirect`) dùng hàm dựng href của `modules/routes`, không viết chuỗi đường dẫn ở nơi gọi."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 FE_ROUTE_ONE_PAGE:
   title: "Route must mount exactly one page"
   title_vi: "Route phải mount đúng một thành phần trang"
@@ -1165,6 +2598,16 @@ FE_SERVER_ACTION_FORBIDDEN:
   owner: op-retry
   kind: check-finding
 
+FE_SERVER_ONLY_MARK:
+  title: "A module that uses the server starts with import server-only"
+  title_vi: "Module dùng API server không có dấu server-only"
+  meaning_vi: "Module `<file>` nhập `<what>` (`next/headers`, `next/server`, `next-intl/server`, module Node hoặc một module đã là server-only) nhưng không mở đầu bằng `import \"server-only\"`, nên không gì chặn client component nhập nó trực tiếp hoặc qua hook."
+  causes_vi:
+    - "Vi phạm luật R55: Module dùng API chỉ có ở server mở đầu bằng `import \"server-only\"` (tệp route `page`/`layout`/`route`/`proxy` là server component sẵn, không cần)."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 FE_SERVICE_ROLE_FORBIDDEN:
   title: "A service-role or credential-shaped environment value enters the front end"
   title_vi: "Service role hoặc biến môi trường bí mật đi vào front end"
@@ -1175,6 +2618,16 @@ FE_SERVICE_ROLE_FORBIDDEN:
   owner: op-retry
   kind: check-finding
 
+FE_SIZE_AND_STATE_BUDGET:
+  title: "Hook and state budgets; no hand-written poll loop"
+  title_vi: "Vượt ngân sách hook và state"
+  meaning_vi: "`<unit>` có `<n>` hook dữ liệu / `<m>` useState / vòng poll tự viết."
+  causes_vi:
+    - "Vi phạm luật R65: Component ≤ 300 dòng, connected unit ≤ 6 hook dữ liệu và ≤ 6 `useState`; không vòng polling tự viết; một cơ chế làm tươi mỗi resource. (Phần kích thước dùng `HFS_SIZE_GROWTH`.)"
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục của luật trong tiêu chuẩn HFS; nợ cũ cần quyết định thiết kế nên op không thêm ngoại lệ, chỉ tách hoặc chuyển về đúng chủ."
+  owner: op-retry
+  kind: check-finding
+
 FE_SLOT_FILE_ROLE:
   title: "A front-end file is owned by a slot and named by it"
   title_vi: "Tệp không đúng vai trò trong slot"
@@ -1185,6 +2638,19 @@ FE_SLOT_FILE_ROLE:
   owner: op-retry
   kind: check-finding
 
+FE_SOURCE_FORM:
+  title: "Front-end source file breaks the layout, naming or comment canon"
+  title_vi: "Tệp nguồn FE sai quy ước tên, vị trí hoặc chú thích"
+  meaning_vi: "Tệp FE phải nằm đúng thư mục tầng với tên cố định, export hàm mũi tên trùng tên thư mục, có JSDoc tiếng Anh, không emoji và không có chữ tiếng Việt trong định danh, chuỗi ký tự, chú thích hay tên test (trừ danh mục i18n và slot fixture i18n); luật ESLint nêu trong lời nhắn chỉ rõ phần sai."
+  causes_vi:
+    - "Tệp đặt sai tầng hoặc thư mục phụ trợ trong components"
+    - "Export không khớp tên thư mục"
+    - "Thiếu JSDoc hoặc có emoji"
+    - "Có chữ tiếng Việt trong mã nguồn ngoài danh mục i18n hoặc slot fixture i18n"
+  nextStep_vi: "Chuyển tệp về đúng thư mục tầng, đổi tên export theo thư mục và thêm JSDoc tiếng Anh. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không thêm ngoại lệ."
+  owner: op-retry
+  kind: check-finding
+
 FE_SOURCE_LAYOUT_INVALID:
   title: "Frontend source in wrong folder"
   title_vi: "Mã giao diện nằm sai thư mục"
@@ -1196,6 +2662,16 @@ FE_SOURCE_LAYOUT_INVALID:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_STACK_CORE_MISSING:
+  title: "A product front end lacks a core stack package"
+  title_vi: "Ứng dụng front end thiếu thư viện cốt lõi"
+  meaning_vi: "Ứng dụng Next phục vụ sản phẩm thiếu một thư viện tier core trong knowledge/hfs/fe-stack.yaml; công cụ dùng chung có thể đặt tại gốc ứng dụng."
+  causes_vi:
+    - "Manifest của workspace sản phẩm chưa khai báo đủ thư viện cốt lõi của cùng chuẩn lite và full."
+  nextStep_vi: "Khai báo thư viện còn thiếu trong workspace sản phẩm; đặt công cụ codegen, lint, TypeScript và Tailwind tại gốc nếu dùng chung."
+  owner: op-retry
+  kind: check-finding
+
 FE_STACK_FORBIDDEN:
   title: "A front end depends on or imports a package that knowledge/hfs/fe-stack.yaml forbids"
   title_vi: "Front end dùng thư viện bị fe-stack cấm"
@@ -1206,6 +2682,53 @@ FE_STACK_FORBIDDEN:
   owner: op-retry
   kind: check-finding
 
+FE_STACK_UNLISTED:
+  title: "A front-end dependency is absent from the stack catalog"
+  title_vi: "Thư viện front end chưa được khai báo trong danh mục"
+  meaning_vi: "Một package.json của front end khai báo thư viện không có trong knowledge/hfs/fe-stack.yaml và không có ngoại lệ fe.extraPackages kèm lý do trong hfs.json."
+  causes_vi:
+    - "Thêm thư viện ngoài danh mục mà chưa ghi rõ tên và lý do sử dụng."
+  nextStep_vi: "Dùng thư viện chuẩn của concern hoặc khai báo tên và lý do cụ thể trong fe.extraPackages của hfs.json."
+  owner: op-retry
+  kind: check-finding
+
+FE_STORAGE_OUTSIDE_MODULES:
+  title: "Web storage only inside modules"
+  title_vi: "Dùng localStorage/sessionStorage ngoài modules/"
+  meaning_vi: "`<file>` đọc hoặc ghi `localStorage`/`sessionStorage` ngoài `modules/`. Storage không tồn tại ở server và ném lỗi khi đầy hạn mức, nên render server và hydrate lệch nhau."
+  causes_vi:
+    - "Vi phạm luật R55: Chỉ `modules/**` được chạm web storage, sau một hook hoặc module có bảo vệ (`typeof window`, try/catch); block gọi hook đó."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_STYLE_SOURCE_UNRESOLVED:
+  title: "Tailwind @source path does not resolve"
+  title_vi: "Đường dẫn @source của Tailwind không tồn tại"
+  meaning_vi: "Một dòng @source trong CSS trỏ tới thư mục hoặc tệp không có thật, nên Tailwind không quét được gì và lặng lẽ làm mất các utility mà component dùng."
+  causes_vi:
+    - "Đường dẫn tới node_modules tính sai so với vị trí của tệp CSS"
+    - "Thư mục được trỏ tới đã đổi tên hoặc bị chuyển đi"
+  nextStep_vi: "Op interface.implement sửa đường dẫn @source cho trỏ tới thư mục có thật, tính từ chính tệp CSS, rồi kiểm tra lại."
+  owner: other-op:interface.implement
+  kind: check-finding
+
+FE_STYLE_TOKEN_ONLY:
+  title: "CSS bypasses grammar tokens"
+  title_vi: "CSS không đi qua token của grammar"
+  meaning_vi: "CSS của app dùng giá trị màu, khoảng cách, bo góc hoặc chữ viết thẳng, giá trị thô ngoài brand.css, !important, selector class, CSS module, khai lại token của grammar, breakpoint ngoài thang, hoặc globals.css sai hình dạng và sai thứ tự import; hoặc màu trạng thái không theo cặp mềm HeroUI (thiếu --<tông>-soft/--<tông>-soft-foreground ở sáng hoặc tối, độ tương phản dưới ngưỡng, chữ hay icon tô bằng tông trạng thái đặc)."
+  causes_vi:
+    - "Hex, rgb, hsl, oklch hoặc px viết trong CSS ngoài modules/brand/brand.css"
+    - "Biến --tên-riêng thay cho token grammar, hoặc khai lại token của grammar ngoài brand.css"
+    - "Có tệp *.module.css hoặc selector class trong CSS của app"
+    - "globals.css chứa thứ ngoài @import, @source và khối token, hoặc import sai thứ tự"
+    - "@media dùng breakpoint ngoài thang của grammar"
+    - "brand.css thiếu cặp mềm của một tông trạng thái ở sáng hoặc tối, chữ mềm dưới 3:1 trên nền nhạt hoặc nền trang, --foreground dưới 4.5:1, hoặc giá trị màu không phân giải được"
+    - "Component tô chữ hoặc icon bằng text-success, text-danger, fill-warning, stroke-info (tông đặc) thay vì text-<tông>-soft-foreground"
+  nextStep_vi: "Op interface.implement bỏ CSS riêng, dùng component và token của grammar; giá trị màu thương hiệu chỉ khai ở modules/brand/brand.css cho cả sáng và tối, đủ cặp mềm cho mọi tông trạng thái; chữ và icon trạng thái dùng text-<tông>-soft-foreground."
+  owner: other-op:interface.implement
+  kind: check-finding
+
 FE_SUPABASE_CLIENT_OWNER:
   title: "A front-end Supabase import or call is outside `fe.modules.auth`, or reaches past the auth API"
   title_vi: "Supabase phía front end ngoài modules/auth hoặc dùng ngoài API auth"
@@ -1216,6 +2739,26 @@ FE_SUPABASE_CLIENT_OWNER:
   owner: op-retry
   kind: check-finding
 
+FE_SUSPENSE_NULL_FALLBACK:
+  title: "Suspense fallback renders something"
+  title_vi: "Suspense có fallback rỗng"
+  meaning_vi: "`<Suspense>` ở `<file>` có `fallback={null}` hoặc không có fallback: người dùng thấy một khoảng trống, không biết trang đang tải."
+  causes_vi:
+    - "Vi phạm luật R53: `Suspense fallback={null}` bị cấm; fallback là trạng thái loading (skeleton) của đúng thứ đang tải."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_SWALLOWED_ERROR:
+  title: "No empty catch"
+  title_vi: "catch rỗng nuốt lỗi"
+  meaning_vi: "`catch` hoặc `.catch(() => {})` ở `<file>` không làm gì: lỗi biến mất, người dùng không thấy thông báo, đội không có dấu vết."
+  causes_vi:
+    - "Vi phạm luật R65: Mỗi `catch` trả một outcome có kiểu mang nguyên nhân, hiển thị trạng thái lỗi hoặc ném lại."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 FE_SWR_KEY_IDENTITY:
   title: "SWR key misses an identity"
   title_vi: "Khóa SWR thiếu thông tin định danh"
@@ -1238,6 +2781,17 @@ FE_SWR_MUTATION_RESOURCE_IDENTITY:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_SWR_OUTSIDE_FAMILY:
+  title: "An SWR runtime call is outside its hook family"
+  title_vi: "Lời gọi SWR nằm ngoài họ hook được khai báo"
+  meaning_vi: "Tệp <file> gọi SWR trực tiếp ở component, feature hoặc hook miền thay vì dùng hook thuộc họ SWR chịu trách nhiệm lấy dữ liệu."
+  causes_vi:
+    - "Component tự gọi useSWR hoặc useSWRMutation"
+    - "Hook miền tự sở hữu bộ nhớ đệm thay vì dùng hook bọc của họ SWR"
+  nextStep_vi: "Chuyển lời gọi SWR về hook bọc trong hooks/swr rồi để component hoặc hook miền dùng hook đó."
+  owner: op-retry
+  kind: check-finding
+
 FE_TIER_DIRECTION:
   title: "Frontend import against the tier direction"
   title_vi: "Frontend import ngược chiều tầng"
@@ -1260,6 +2814,29 @@ FE_TRANSPORT_OWNER:
   owner: op-retry
   kind: check-finding
 
+FE_TYPE_ESCAPE:
+  title: "No type assertion, non-null assertion or any in product source"
+  title_vi: "Ép kiểu, `!` hoặc `any` trong mã sản phẩm"
+  meaning_vi: "`<file>` dùng `as T`, `x!` hoặc `any`: trình biên dịch bị bảo tin một điều nó không kiểm được, và lỗi dời sang trình duyệt của người dùng."
+  causes_vi:
+    - "Vi phạm luật R22: Không ép kiểu (`as T`, `<T>x`), không `!`, không `any` trong mã sản phẩm; thu hẹp bằng type guard, discriminant hoặc parser tại nơi dữ liệu đi vào. Ngoại lệ duy nhất là `as const` và `as unknown`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; nợ cũ được chia thành các lane sửa cơ học, op không thêm ngoại lệ và không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
+FE_VENDOR_BOUNDARY:
+  title: "Vendor primitive or icon used outside its owner"
+  title_vi: "Thư viện giao diện bên ngoài dùng ngoài chủ sở hữu"
+  meaning_vi: "Biểu tượng của bộ icon ứng dụng, họ heroicons (@heroicons/react trước, @starci/heroicons cho glyph heroicons còn thiếu, ở hai nhánh 24/outline và 16/solid), chỉ đến component qua lá icon với kích thước theo thang glyph; mỗi primitive của thư viện ngoài nằm sau một chủ sở hữu có tên."
+  causes_vi:
+    - "Import thẳng @heroicons/react hoặc @starci/heroicons trong component thay vì qua lá icon"
+    - "Dùng bộ glyph thứ hai ngoài họ heroicons (Phosphor, Lucide, Iconify...)"
+    - "Dùng kích thước biểu tượng ngoài thang"
+    - "Primitive thư viện ngoài dùng trực tiếp ở nhiều nơi"
+  nextStep_vi: "Dùng lá icon và chủ sở hữu primitive có sẵn; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 FE_WIRE_GENERATED:
   title: "Wire types generated from the be contract snapshots the fe side reads"
   title_vi: "Kiểu wire gõ tay"
@@ -1281,6 +2858,37 @@ FE_WORLD_OWNER_RENDER_BOUNDARY:
   owner: other-op:interface.implement
   kind: check-finding
 
+GENERATED_UNTRACKED:
+  title: "Tracked path under a generated root"
+  title_vi: "Đường dẫn được git theo dõi dưới một gốc sinh tự động"
+  meaning_vi: "Một tệp được git theo dõi nằm dưới một gốc sinh tự động của ruleParams.runtime.generated (knowledge/hfs/runtime-slots.yaml). Một gốc như vậy chỉ chứa thứ generatedBy của nó ghi ra (scripts/hfs/sync-runtime.mjs cho các bản sao runtime/ của gói) và đã được gitignore, nên index không bao giờ được giữ một bản sao cũ."
+  causes_vi:
+    - "Commit các tệp runtime/ của gói như mã nguồn thay vì để sync-runtime.mjs tái tạo"
+    - "git add -f qua một mục .gitignore"
+  nextStep_vi: "Người giám sát chạy git rm -r --cached trên gốc sinh tự động đó và giữ mục .gitignore của nó; chỉ generatedBy ghi vào đó."
+  owner: supervisor
+  kind: check-finding
+
+HFS_AGENT_DATA_TRACKED:
+  title: "`.starciwork` holds product records only"
+  title_vi: "Dữ liệu của agent bị track"
+  meaning_vi: "`<path>` là dữ liệu của agent, không phải record sản phẩm. Nó thuộc blob store (trích bằng `{name, sha256}`)."
+  causes_vi:
+    - "Vi phạm luật R07: `.starciwork` chỉ chứa record sản phẩm; evidence, log, report, capture, run, sqlite, `_derived/` không được track."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
+HFS_AGE_KEY_CUSTODY:
+  title: "A tracked file holds the sops/age identity"
+  title_vi: "Khoá age/sops bị commit trong kho"
+  meaning_vi: "`<path>` là tệp định danh sops/age được track (`.claude/secret.env`, `keys.txt`, `*.agekey`). Khoá age chỉ nằm trong `.claude/secret.env` nội bộ của host hoặc `keys.txt` của sops, không bao giờ trong kho."
+  causes_vi:
+    - "Vi phạm luật R253: định danh age chỉ là custody trên host; `.claude/secret.env` (SOPS_AGE_KEY) thắng `keys.txt` và cả hai đều không được commit."
+  nextStep_vi: "Không đọc và không in giá trị khoá. Gỡ tệp khỏi index (git rm), đặt khoá vào `.claude/secret.env` hoặc `keys.txt` của sops ngoài kho, rồi xoay identity vì nó đã lộ trong lịch sử."
+  owner: owner
+  kind: check-finding
+
 HFS_ALIAS_REEXPORT:
   title: "A declaration re-exported under a second name"
   title_vi: "Xuất lại một khai báo dưới tên thứ hai"
@@ -1314,6 +2922,26 @@ HFS_APP_LAYOUT_INVALID:
   owner: other-op:backend.scaffold
   kind: check-finding
 
+HFS_APP_LEXICON:
+  title: "App source or documentation uses a removed product word"
+  title_vi: "Mã hoặc tài liệu dùng từ sản phẩm đã bỏ"
+  meaning_vi: "Tệp nguồn hoặc tài liệu dùng từ nằm trong hfs.json lexicon.removed, kể cả trong tên định danh, chú thích và nội dung giao diện."
+  causes_vi:
+    - "Đổi thuật ngữ sản phẩm nhưng chưa cập nhật toàn bộ mã và tài liệu."
+  nextStep_vi: "Thay từ đã bỏ bằng thuật ngữ sản phẩm hiện hành tại đường dẫn và dòng được báo."
+  owner: op-retry
+  kind: check-finding
+
+HFS_APP_WORKFLOW_TRIGGER:
+  title: "App workflows start on release tags or manual dispatch"
+  title_vi: "Workflow ứng dụng có sự kiện khởi chạy không hợp lệ"
+  meaning_vi: "Workflow tại <path> chạy theo push nhánh hoặc sự kiện khác; ứng dụng chỉ chạy CI theo release tag v* hoặc workflow_dispatch."
+  causes_vi:
+    - "Vi phạm R251: áp dụng ngoại lệ push main của runtime cho workflow ứng dụng."
+  nextStep_vi: "Đặt on.push.tags thành [v*] và dùng workflow_dispatch khi cần chạy thủ công; bỏ nhánh và sự kiện khác."
+  owner: op-retry
+  kind: check-finding
+
 HFS_ARCH_CONFIG_UNREAD:
   title: "The machine reads `hfs.json`; zero files analysed is red"
   title_vi: "Máy kiến trúc không đọc được hfs.json"
@@ -1324,6 +2952,47 @@ HFS_ARCH_CONFIG_UNREAD:
   owner: op-retry
   kind: check-finding
 
+HFS_ASSET_KIND:
+  title: "A back-end asset has a forbidden kind or location"
+  title_vi: "Loại hoặc vị trí tài nguyên back end bị cấm"
+  meaning_vi: "Back end chỉ giữ tài nguyên dựng nhỏ thuộc danh sách phần mở rộng cho phép. Media nghiệp vụ ở kho đối tượng; trọng số mô hình và bộ dữ liệu không được đưa vào Git. Media tài liệu theo slot vẫn hợp lệ."
+  causes_vi:
+    - "Đưa ảnh, âm thanh hoặc video nghiệp vụ vào mã back end."
+    - "Đưa trọng số mô hình, bộ dữ liệu hoặc loại tệp ngoài danh sách vào tài nguyên dựng."
+  nextStep_vi: "Chuyển media sang kho đối tượng và bỏ trọng số mô hình, bộ dữ liệu khỏi cây back end; giữ tài nguyên dựng nhỏ đúng slot và loại tệp."
+  owner: op-retry
+  kind: check-finding
+
+HFS_ASSET_OVERSIZE:
+  title: "A back-end build asset exceeds its per-file byte budget"
+  title_vi: "Tệp tài nguyên back end vượt giới hạn dung lượng"
+  meaning_vi: "Tệp tài nguyên dùng lúc dựng back end lớn hơn giới hạn từng tệp; mặc định là 512000 byte. Tệp lớn phải nằm trong kho đối tượng và được tải lúc chạy."
+  causes_vi:
+    - "Đưa tệp lớn vào be/src/assets thay vì kho đối tượng."
+  nextStep_vi: "Giảm dung lượng tài nguyên dựng hoặc chuyển tệp lớn sang kho đối tượng rồi tải lúc chạy."
+  owner: op-retry
+  kind: check-finding
+
+HFS_AUDIT_STEP_MISSING:
+  title: "CI gates releases on a production dependency audit"
+  title_vi: "CI thiếu bước kiểm tra lỗ hổng phụ thuộc production"
+  meaning_vi: "Workflow CI thiếu bước npm audit --omit=dev hoạt động và dừng job khi kiểm tra thất bại."
+  causes_vi:
+    - "Vi phạm R269: audit không có, bị vô hiệu hoá, chỉ nằm trong chú thích hoặc bỏ qua kết quả."
+  nextStep_vi: "Thêm npm audit --omit=dev --audit-level=high vào job CI hoạt động; không dùng continue-on-error hoặc bỏ qua mã lỗi."
+  owner: op-retry
+  kind: check-finding
+
+HFS_CANON_COPY_DRIFT:
+  title: "A hash-sensitive canon file differs from its template"
+  title_vi: "Tệp canon nhạy hash lệch khỏi template"
+  meaning_vi: "`<path>` khác bytes với bản canon trong `packages/hfs/templates/be/skeleton` (sha256 của hai bên được báo trong finding). `env-source.config.ts`, `origin.guard.ts` và `webhook-signature.service.ts` là canon nhạy hash, không phải tệp để sửa."
+  causes_vi:
+    - "Vi phạm luật R253: ba tệp custody bí mật phải bằng đúng bản template scaffold; mọi chỉnh sửa là drift."
+  nextStep_vi: "Khôi phục đúng bytes của template `be/skeleton` cho tệp đó (scaffold lại hoặc checkout lại); thay đổi cần thiết phải đi qua template và canon pins, không sửa bản copy."
+  owner: owner
+  kind: check-finding
+
 HFS_CANON_PIN_DRIFT:
   title: "Dependency version differs from the canon pin"
   title_vi: "Phiên bản phụ thuộc lệch khỏi bản đã ghim"
@@ -1346,6 +3015,16 @@ HFS_CI_MISSING_CANON:
   owner: op-retry
   kind: check-finding
 
+HFS_CI_TOOL_INSTALL:
+  title: "CI tool installation verifies immutable artifacts"
+  title_vi: "Công cụ CI được cài mà chưa xác minh checksum"
+  meaning_vi: "Workflow tại <path> tải hoặc cài công cụ bằng curl|sh, go install, npm global hoặc pip mà không xác minh checksum hay digest."
+  causes_vi:
+    - "Vi phạm R251: phiên bản hoặc URL riêng lẻ không chứng minh nội dung công cụ đã được xác minh."
+  nextStep_vi: "Dùng action đã ghim SHA hoặc tải artifact được ghim và xác minh checksum/digest trước khi thực thi; không pipe bản tải vào shell."
+  owner: op-retry
+  kind: check-finding
+
 HFS_CONTRACT_SNAPSHOT_DRIFT:
   title: "The be side commits its contract snapshot and it equals the emit"
   title_vi: "Bản hợp đồng lệch bản thật"
@@ -1356,6 +3035,17 @@ HFS_CONTRACT_SNAPSHOT_DRIFT:
   owner: op-retry
   kind: check-finding
 
+HFS_COVERAGE_BELOW:
+  title: "Measured back-end logic file is below 100 percent coverage"
+  title_vi: "Tệp logic back-end trong phạm vi đo chưa đạt độ bao phủ 100 phần trăm"
+  meaning_vi: "Báo cáo lcov được cung cấp không chứng minh mỗi tệp logic trong phạm vi đo của edition đạt 100 phần trăm dòng, hàm và nhánh; phạm vi cùng các tệp ngoài phạm vi được liệt kê riêng. Độ bao phủ câu lệnh do trình chạy unit test kiểm tra."
+  causes_vi:
+    - "Có dòng, hàm hoặc nhánh chưa được chạy trong một tệp logic thuộc phạm vi đo"
+    - "Báo cáo thiếu tệp nguồn, thiếu số liệu, sai định dạng hoặc không đọc được"
+  nextStep_vi: "Bổ sung unit test cho tệp được nêu, tạo lại báo cáo lcov đầy đủ rồi chạy starci app check --coverage-from <lcov>; features, cli và webhooks ngoài phạm vi đo vẫn được liệt kê."
+  owner: op-retry
+  kind: check-finding
+
 HFS_COVERAGE_SCOPE_DRIFT:
   title: "A file states a coverage scope the slot manifest does not derive"
   title_vi: "Tệp nêu phạm vi độ phủ khác với phạm vi suy ra từ slot manifest"
@@ -1368,6 +3058,16 @@ HFS_COVERAGE_SCOPE_DRIFT:
   owner: op-retry
   kind: check-finding
 
+HFS_DB_DEPLOY_UNGUARDED:
+  title: "Database deployment accepts a non-tag ref"
+  title_vi: "Triển khai cơ sở dữ liệu chấp nhận ref không phải tag"
+  meaning_vi: "Mỗi đường chạy triển khai migration phải từ chối ref không phải tag phát hành trước khi tác động cơ sở dữ liệu."
+  causes_vi:
+    - "Workflow db-deploy thiếu chốt kiểm tag hoặc chốt không chặn đường chạy migration theo luật R271."
+  nextStep_vi: "Thêm chốt kiểm ref tag trước mỗi bước triển khai migration, rồi chứng minh ref nhánh bị từ chối."
+  owner: op-retry
+  kind: check-finding
+
 HFS_DECLARATION_INVALID:
   title: "hfs.json missing or invalid"
   title_vi: "hfs.json thiếu hoặc sai định dạng"
@@ -1381,6 +3081,56 @@ HFS_DECLARATION_INVALID:
   owner: op-retry
   kind: check-finding
 
+HFS_DEPENDABOT_MISSING:
+  title: "Apps declare scheduled dependency updates"
+  title_vi: "Ứng dụng thiếu cấu hình cập nhật phụ thuộc"
+  meaning_vi: "Kho thiếu .github/dependabot.yml hợp lệ với lịch cập nhật npm, github-actions và docker."
+  causes_vi:
+    - "Vi phạm R269: một hệ sinh thái phụ thuộc chưa được theo dõi cập nhật định kỳ."
+  nextStep_vi: "Khai báo Dependabot version 2 với directory và schedule cho npm, github-actions và docker."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DEPLOY_COMPOSE_ON_VPS:
+  title: "Docker compose lifecycle commands are dev-only"
+  title_vi: "Docker Compose được dùng ngoài môi trường dev"
+  meaning_vi: "Tệp tại <path> chạy docker compose up, down hoặc pull cho môi trường không phải dev; triển khai VPS dùng Docker Swarm."
+  causes_vi:
+    - "Vi phạm R250: dùng vòng đời Compose trong production, staging hoặc trên VPS."
+  nextStep_vi: "Dùng stack Swarm đã khai báo để triển khai VPS; chỉ giữ Compose cho môi trường dev được xác định rõ."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DEPLOY_NO_LOGIC:
+  title: "Deploy shell scripts delegate to the app CLI"
+  title_vi: "Script triển khai chứa logic của ứng dụng"
+  meaning_vi: "Script triển khai tại <path> chạy node -e, psql, SQL nội tuyến hoặc tải và thực thi shell; logic phải nằm trong ứng dụng và có spec."
+  causes_vi:
+    - "Vi phạm R250: đặt logic hoặc truy cập cơ sở dữ liệu trực tiếp trong deploy/*.sh."
+  nextStep_vi: "Đưa logic vào lệnh be/apps/cli có spec rồi để script triển khai gọi docker, starci hoặc CLI đã biên dịch."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DEPLOY_SCHEDULER:
+  title: "Workflow scheduling does not own app work"
+  title_vi: "Workflow tự lập lịch cho tác vụ ứng dụng"
+  meaning_vi: "Workflow tại <path> có lịch chạy thay cho scheduler của ứng dụng; tác vụ định kỳ phải thuộc back end hoặc job đã khai báo."
+  causes_vi:
+    - "Vi phạm R250: dùng sự kiện schedule hoặc lịch trong workflow để chạy tác vụ ứng dụng."
+  nextStep_vi: "Bỏ lịch khỏi workflow và đưa tác vụ sang scheduler của ứng dụng hoặc replicated-job đã khai báo."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DEPLOY_WORKFLOW:
+  title: "Deployment workflows declare protected jobs and sealed custody"
+  title_vi: "Workflow triển khai thiếu kiểm soát hoặc sai nơi giữ bí mật"
+  meaning_vi: "Workflow triển khai tại <path> thiếu environment, permissions, concurrency hoặc bước materialize; hoặc dùng dotenv hay bí mật ngoài danh sách cho phép."
+  causes_vi:
+    - "Vi phạm R251: workflow bỏ qua môi trường bảo vệ hoặc lấy bí mật ứng dụng từ GitHub thay cho kho mã hoá."
+  nextStep_vi: "Khai báo environment, permissions và concurrency; materialize bí mật đã mã hoá với SOPS_AGE_KEY; chỉ cho phép khoá SSH và known_hosts phục vụ vận chuyển."
+  owner: op-retry
+  kind: check-finding
+
 HFS_DEP_VERSION_SKEW:
   title: "One version per dependency in the workspace"
   title_vi: "Một gói nhiều phiên bản"
@@ -1421,6 +3171,16 @@ HFS_DOCKER_ENTRY:
   owner: op-retry
   kind: check-finding
 
+HFS_DOCKER_HEALTHCHECK_FAKE:
+  title: "API Docker healthcheck cannot reach its live route"
+  title_vi: "Healthcheck Docker của API không tới được route live"
+  meaning_vi: "Healthcheck không chứng minh API còn phục vụ liveness vì lệnh luôn thành công hoặc gọi route không tồn tại."
+  causes_vi:
+    - "HEALTHCHECK CMD true hoặc lệnh không kiểm tra thành công của route live đã đăng ký"
+  nextStep_vi: "Dùng healthcheck HTTP kiểm tra thành công của route liveness thật của API và giữ lỗi probe thành exit code khác không."
+  owner: op-retry
+  kind: check-finding
+
 HFS_DOCKER_SECRETS:
   title: "A secret enters an image"
   title_vi: "Bí mật bị đưa vào image"
@@ -1441,6 +3201,26 @@ HFS_DOCKER_STAGES:
   owner: op-retry
   kind: check-finding
 
+HFS_DOC_COMMAND_UNKNOWN:
+  title: "Product documentation cites an unknown command"
+  title_vi: "Tài liệu sản phẩm dẫn lệnh không tồn tại"
+  meaning_vi: "Lệnh npm run không có script tương ứng trong package.json hoặc verb starci app không có trong catalog CLI."
+  causes_vi:
+    - "Script hoặc verb được đổi hay bỏ nhưng tài liệu chưa đổi theo luật R270."
+  nextStep_vi: "Dùng lệnh hiện có trong package.json hoặc catalog CLI, hoặc khai báo script sản phẩm còn thiếu."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DOC_ENV_UNKNOWN:
+  title: "Product documentation cites an undeclared environment key"
+  title_vi: "Tài liệu sản phẩm dẫn khóa môi trường chưa khai báo"
+  meaning_vi: "Tên khóa được tài liệu dẫn không có trong bộ đọc môi trường có kiểu hoặc KEYS.md; kiểm tra chỉ đọc tên, không đọc giá trị bí mật."
+  causes_vi:
+    - "Tên khóa cũ còn trong tài liệu hoặc bộ đọc chưa khai báo khóa theo luật R270."
+  nextStep_vi: "Cập nhật tên khóa hoặc khai báo khóa trong bộ đọc môi trường và KEYS.md, không đưa giá trị bí mật vào tài liệu."
+  owner: op-retry
+  kind: check-finding
+
 HFS_DOC_NOT_ENGLISH:
   title: "Document is not English"
   title_vi: "Tài liệu không viết bằng tiếng Anh"
@@ -1452,6 +3232,26 @@ HFS_DOC_NOT_ENGLISH:
   owner: op-retry
   kind: check-finding
 
+HFS_DOC_PATH_MISSING:
+  title: "Product documentation cites a missing path"
+  title_vi: "Tài liệu sản phẩm dẫn đường dẫn không còn tồn tại"
+  meaning_vi: "README, tài liệu hoặc README của stack dẫn một tệp hay thư mục mà cây sản phẩm không có, trong cả lite và full."
+  causes_vi:
+    - "Đổi hoặc xóa đường dẫn nhưng chưa cập nhật tài liệu theo luật R270."
+  nextStep_vi: "Sửa đường dẫn được dẫn hoặc khôi phục tệp đúng trong sản phẩm rồi chạy lại kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+HFS_DOC_RULE_UNKNOWN:
+  title: "Product documentation cites an unknown HFS rule"
+  title_vi: "Tài liệu sản phẩm dẫn luật HFS không tồn tại"
+  meaning_vi: "Mã R được dẫn không có trong catalog luật HFS hiện hành của runtime."
+  causes_vi:
+    - "Dẫn sai mã luật hoặc dùng mã chưa được đăng ký theo luật R270."
+  nextStep_vi: "Dùng đúng mã luật hiện có trong knowledge/hfs/rules.yaml và cập nhật đoạn tài liệu liên quan."
+  owner: op-retry
+  kind: check-finding
+
 HFS_DUPLICATE_CODE:
   title: "Duplicated code block"
   title_vi: "Mã trùng lặp"
@@ -1529,6 +3329,28 @@ HFS_EVENT_CONTRACT:
   owner: op-retry
   kind: check-finding
 
+HFS_FEATURE_FILE_BUDGET:
+  title: "A feature exceeds its file budget"
+  title_vi: "Tính năng vượt hạn mức số tệp"
+  meaning_vi: "Một thư mục sở hữu tính năng có nhiều tệp được theo dõi hơn hạn mức ruleParams.featureFiles (250 tệp), tính cả các thư mục con. Luật áp dụng cho cả lite và full ở back end và front end."
+  causes_vi:
+    - "Một tính năng gộp nhiều khả năng sản phẩm vào cùng một thư mục"
+    - "Các tệp mã nguồn, kiểm thử hoặc tài liệu trong thư mục con làm tổng số tệp vượt hạn mức"
+  nextStep_vi: "Tách tính năng theo khả năng sản phẩm vào các thư mục sở hữu riêng, rồi chạy lại starci app check để mỗi tính năng nằm trong hạn mức."
+  owner: op-retry
+  kind: check-finding
+
+HFS_FEATURE_LOGIC_ROLE:
+  title: "A feature support role hides executable logic"
+  title_vi: "Vai trò hỗ trợ của feature chứa logic thực thi"
+  meaning_vi: "Tệp không phải cửa mỏng trong tầng feature chứa rẽ nhánh, vòng lặp, phép tính hoặc lời gọi thực thi thay vì chỉ khai báo dữ liệu, kiểu và metadata DTO."
+  causes_vi:
+    - "Đặt policy, guard, client hoặc projection có logic trong application/support"
+    - "Đổi hậu tố handler thành vai trò hỗ trợ để tránh luật feature-thin"
+  nextStep_vi: "Chuyển logic vào modules/domain hoặc modules/platform phù hợp và viết unit spec ở đó; giữ tệp feature dưới dạng khai báo dữ liệu hoặc một cửa mỏng ủy quyền."
+  owner: op-retry
+  kind: check-finding
+
 HFS_FORBIDDEN_PRESENT:
   title: "Tracked path in a forbidden slot"
   title_vi: "Có tệp bị cấm trong cây mã nguồn"
@@ -1562,6 +3384,17 @@ HFS_FORMAT_TOOL_MISSING:
   owner: op-retry
   kind: input-invalid
 
+HFS_FUNCTION_BUDGET:
+  title: "A function body exceeds its line budget"
+  title_vi: "Thân hàm vượt hạn mức dòng"
+  meaning_vi: "Thân một hàm, phương thức hoặc hàm mũi tên của back end hoặc front end vượt hạn mức ruleParams.functionLines (80 dòng), kể cả dòng trống và chú thích. Luật áp dụng cho cả lite và full, không cho phép giữ nguyên hàm cũ quá dài."
+  causes_vi:
+    - "Một hàm gộp nhiều trách nhiệm hoặc nhiều bước xử lý vào cùng một thân hàm"
+    - "Thêm mã, chú thích hoặc dòng trống làm thân hàm vượt hạn mức"
+  nextStep_vi: "Tách các trách nhiệm thành hàm nhỏ có tên rõ ràng trong đúng nơi sở hữu, rồi chạy lại lint để mỗi thân hàm nằm trong hạn mức."
+  owner: op-retry
+  kind: check-finding
+
 HFS_GHOST_TREE:
   title: "No empty directory beside a near-identical sibling"
   title_vi: "Cây thư mục ma cạnh thư mục gần trùng tên"
@@ -1592,6 +3425,26 @@ HFS_HOOKS_PATH_REDIRECTED:
   owner: op-retry
   kind: check-finding
 
+HFS_HOST_CRON:
+  title: "Apps do not install host cron or timer jobs"
+  title_vi: "Ứng dụng cài lịch chạy trên máy chủ"
+  meaning_vi: "Tệp triển khai hoặc script tại <path> khai báo crontab, cron.d, systemd timer, @reboot hoặc at; lịch chạy phải do ứng dụng sở hữu."
+  causes_vi:
+    - "Vi phạm R250: cài lịch chạy ngoài scheduler của ứng dụng hoặc replicated-job đã khai báo."
+  nextStep_vi: "Chuyển tác vụ sang scheduler của back end, pgmq/pg_cron hoặc replicated-job đã khai báo và gọi lệnh CLI của ứng dụng."
+  owner: op-retry
+  kind: check-finding
+
+HFS_IDENTITY_CUSTODY:
+  title: "An identity points its secret at `secrets/identity-<slug>.enc`; UAT chooses by role"
+  title_vi: "Bí mật của identity sai chỗ"
+  meaning_vi: "Identity `<id>` trỏ bí mật tới `<path>`; chỉ `.starcistacks/<env>/secrets/identity-<slug>.enc` (đường dẫn tính từ gốc app) hợp lệ; dạng `be/.starcistacks/...` bị từ chối. UAT chọn tài khoản theo role."
+  causes_vi:
+    - "Vi phạm luật R09: Identity record (`_resources/identities/<slug>/resource.yaml`) trỏ `custody.sealed` tới `.starcistacks/<env>/secrets/identity-<slug>.enc` ở gốc app; UAT `accounts.yaml` chọn identity theo role, không theo flow."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
 HFS_IMAGE_UNPINNED:
   title: "Every image of a multi-service stack is pinned"
   title_vi: "Image của stack nhiều dịch vụ chưa được ghim phiên bản"
@@ -1602,6 +3455,18 @@ HFS_IMAGE_UNPINNED:
   owner: op-retry
   kind: check-finding
 
+HFS_INLINE_SUPPRESSION:
+  title: "Inline lint or type suppression"
+  title_vi: "Chú thích tắt luật tại chỗ"
+  meaning_vi: "Có chú thích tắt luật hoặc miễn trừ trong mã: eslint-disable, eslint-enable, eslint-env, /* global */, stylelint-disable, @ts-ignore, @ts-expect-error, @ts-nocheck (ở bất kỳ vị trí nào trong chú thích), istanbul, c8 hay v8 ignore, NOSONAR, sonar-disable hoặc prettier-ignore. HFS không cho tắt luật, bỏ kiểm tra kiểu, giấu độ phủ hay giấu phát hiện Sonar tại chỗ."
+  causes_vi:
+    - "eslint-disable hoặc stylelint-disable (dòng, dòng kế tiếp hoặc cả tệp) để qua một luật"
+    - "@ts-ignore hoặc @ts-expect-error để qua lỗi kiểu"
+    - "istanbul, c8 hay v8 ignore để giấu mã khỏi độ phủ; NOSONAR hay sonar-disable để giấu phát hiện; prettier-ignore để bỏ định dạng"
+  nextStep_vi: "Sửa mã cho đúng luật, hoặc đề xuất đổi luật trong canon; op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
 HFS_LINT_SUPPRESSION_FILE:
   title: "A repository keeps no lint-suppression file, script or option"
   title_vi: "Kho có tệp hoặc script ghi nhận bỏ qua lỗi lint"
@@ -1846,6 +3711,16 @@ HFS_README_WORK_POINTER_MISSING:
   owner: other-op:docs.author
   kind: check-finding
 
+HFS_RELEASE_TAG_MISMATCH:
+  title: "Product release tag does not match its version or image tag"
+  title_vi: "Tag phát hành sản phẩm không khớp phiên bản hoặc tag image"
+  meaning_vi: "Tag phát hành phải có dạng v cộng phiên bản package.json; workflow images.yml phải dùng tag phát hành đó cho image trong lite và full."
+  causes_vi:
+    - "Phiên bản package và tag khác nhau hoặc image dùng tag khác theo luật R271."
+  nextStep_vi: "Đồng bộ phiên bản package và tag phát hành, rồi dùng cùng tag trong workflow xây image."
+  owner: op-retry
+  kind: check-finding
+
 HFS_REPO_LOCAL_CHECK:
   title: "A repository keeps no check or lint rule of its own"
   title_vi: "Kho tự giữ bộ kiểm tra riêng"
@@ -1933,20 +3808,100 @@ HFS_RULE_OFF_WITHOUT_REPLACEMENT:
   owner: op-retry
   kind: check-finding
 
-HFS_SERVICE_PLACEMENT:
-  title: "A back-end service lives only at be/apps/<service>"
-  title_vi: "Dịch vụ back end nằm ngoài be/apps/<service>"
-  meaning_vi: "Một thư mục có Dockerfile hoặc package.json riêng nằm ngoài `be/apps/<service>/` (và không phải Dockerfile của front end hay package workspace của `fe/packages`), nên nó trở thành một gốc dịch vụ thứ hai bên cạnh `be/` và `fe/`."
+HFS_SBOM_MISSING:
+  title: "Release images carry SBOM and provenance evidence"
+  title_vi: "Image phát hành thiếu SBOM hoặc provenance"
+  meaning_vi: "Workflow images thiếu bước hoạt động tạo SBOM và chứng thực nguồn gốc cho image phát hành."
   causes_vi:
-    - "Vi phạm luật R163: mỗi dịch vụ back end là một ứng dụng Nest tại `be/apps/<service>/` dùng chung thư viện `be/src` và một `package.json` duy nhất của app; image của nó được build từ `be/apps/<service>/Dockerfile`."
-    - "Op đã tạo thư mục dịch vụ riêng (ví dụ `services/<name>/` hoặc `be/<name>/`) thay vì thêm ứng dụng dưới `be/apps/`."
-  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: chuyển dịch vụ vào `be/apps/<service>/` (main.ts, app.module.ts, Dockerfile) và xoá thư mục cũ; không thêm ngoại lệ."
+    - "Vi phạm R269: bản dựng không tạo cả danh mục thành phần và bằng chứng nguồn gốc."
+  nextStep_vi: "Bật sbom và provenance trong bước build image hoặc tạo SBOM cùng chứng thực nguồn gốc bằng công cụ/action đã ghim."
   owner: op-retry
   kind: check-finding
 
-HFS_SERVICE_STACK_DECLARATION:
-  title: "Each service app is a service component of the stack"
-  title_vi: "Ứng dụng dịch vụ chưa được khai báo trong stack"
+HFS_SCHEDULE_UNDECLARED:
+  title: "A scheduled component has no declared CLI job"
+  title_vi: "Component chạy theo lịch thiếu job CLI được khai báo"
+  meaning_vi: "Component có lịch hoặc replicated-job trong mô hình chưa có entry jobs khớp với schedule và lệnh gọi action có tên của CLI ứng dụng."
+  causes_vi:
+    - "Vi phạm R268: lịch chỉ nằm trong cấu hình triển khai hoặc gọi lệnh ngoài quyền sở hữu CLI của ứng dụng."
+  nextStep_vi: "Khai báo jobs.<id> với schedule, command của back end CLI và component khi cần; giữ lập lịch trong ứng dụng hoặc replicated-job được khai báo."
+  owner: op-retry
+  kind: check-finding
+
+HFS_SCRIPT_PLAINTEXT_LOAD:
+  title: "Executable scripts do not load plaintext credential files"
+  title_vi: "Script đọc tệp bí mật dạng rõ"
+  meaning_vi: "Script tại <path> đọc secrets.env, secret.env, .env bí mật hoặc tệp thông tin xác thực trong thư mục nhà; bộ kiểm chỉ báo đường dẫn và không đọc giá trị."
+  causes_vi:
+    - "Vi phạm R252: nạp bí mật từ tệp dạng rõ thay cho bí mật đã mã hoá và cơ chế materialize."
+  nextStep_vi: "Bỏ cách nạp tệp rõ; dùng starci app secret materialize và cơ chế bí mật của stack, không in giá trị."
+  owner: op-retry
+  kind: check-finding
+
+HFS_SCRIPT_XTRACE:
+  title: "Scripts do not enable xtrace or reveal secrets"
+  title_vi: "Script bật truy vết hoặc hiện bí mật"
+  meaning_vi: "Script tại <path> bật set -x, xtrace hoặc yêu cầu --reveal, có thể đưa giá trị bí mật vào log."
+  causes_vi:
+    - "Vi phạm R252: bật truy vết shell hoặc yêu cầu hiển thị bí mật trong lệnh tự động."
+  nextStep_vi: "Tắt xtrace và bỏ --reveal; chỉ ghi thông tin thao tác không chứa giá trị bí mật."
+  owner: op-retry
+  kind: check-finding
+
+HFS_SECRET_OUTSIDE_ENC:
+  title: "A sealed secret sits outside the sealed home"
+  title_vi: "File `.enc` nằm ngoài thư mục custody duy nhất"
+  meaning_vi: "`<path>` là file `.enc` ngoài `.starcistacks/<env>/secrets/`. Chỉ đúng một đường custody được chấp nhận cho envelope bí mật trong kho sản phẩm."
+  causes_vi:
+    - "Vi phạm luật R277: chỉ `.starcistacks/<env>/secrets/**.enc` được giữ envelope; `.enc` ở chỗ khác là custody sai (với lite lỗi này đã là HFS_LITE_SECRET_CUSTODY)."
+  nextStep_vi: "Chuyển envelope về `.starcistacks/<env>/secrets/<slug>.enc` (hoặc niêm phong lại bằng `starci app secret set`) rồi gỡ bản `.enc` lạc chỗ khỏi index."
+  owner: owner
+  kind: check-finding
+
+HFS_SECRET_PLAINTEXT_FILE:
+  title: "A tracked plaintext secret file is refused"
+  title_vi: "Tệp bí mật dạng rõ bị track trong kho"
+  meaning_vi: "`<path>` là tệp bí mật dạng rõ được track (`secrets.env`, `*.env` không dấu chấm chứa khoá bí mật, hoặc tệp trong thư mục `secrets/`). Trong mọi edition bí mật chỉ được commit dưới dạng sops envelope tại `.starcistacks/<env>/secrets/**.enc`."
+  causes_vi:
+    - "Vi phạm luật R277: custody duy nhất cho secret được track là `.starcistacks/<env>/secrets/**.enc`; mọi file plaintext secret đều bị từ chối."
+  nextStep_vi: "Không đọc và không in giá trị. Niêm phong giá trị bằng `starci app secret set` vào `.starcistacks/<env>/secrets/<slug>.enc` rồi gỡ tệp plaintext khỏi index; xoay secret nếu nó đã lộ."
+  owner: owner
+  kind: check-finding
+
+HFS_SEED_PII:
+  title: "Seed SQL contains no real email or phone literals"
+  title_vi: "Seed SQL chứa dữ liệu định danh thật"
+  meaning_vi: "File seed chứa literal có dạng email hoặc số điện thoại thật thay vì dữ liệu mẫu an toàn. Finding không hiển thị giá trị đó."
+  causes_vi:
+    - "Vi phạm R259: sao chép dữ liệu người dùng vào seed theo dõi trong repository."
+  nextStep_vi: "Thay bằng địa chỉ @example.test và dữ liệu mẫu không định danh; không đưa dữ liệu người dùng thật vào seed."
+  owner: op-retry
+  kind: check-finding
+
+HFS_SERVICE_PLACEMENT:
+  title: "A back-end service lives only at be/apps/<service>"
+  title_vi: "Dịch vụ back end nằm ngoài be/apps/<service>"
+  meaning_vi: "Một thư mục có Dockerfile hoặc package.json riêng nằm ngoài `be/apps/<service>/` (và không phải Dockerfile của front end hay package workspace của `fe/packages`), nên nó trở thành một gốc dịch vụ thứ hai bên cạnh `be/` và `fe/`."
+  causes_vi:
+    - "Vi phạm luật R163: mỗi dịch vụ back end là một ứng dụng Nest tại `be/apps/<service>/` dùng chung thư viện `be/src` và một `package.json` duy nhất của app; image của nó được build từ `be/apps/<service>/Dockerfile`."
+    - "Op đã tạo thư mục dịch vụ riêng (ví dụ `services/<name>/` hoặc `be/<name>/`) thay vì thêm ứng dụng dưới `be/apps/`."
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra: chuyển dịch vụ vào `be/apps/<service>/` (main.ts, app.module.ts, Dockerfile) và xoá thư mục cũ; không thêm ngoại lệ."
+  owner: op-retry
+  kind: check-finding
+
+HFS_SERVICE_ROLE_SCOPE:
+  title: "Service-role access belongs to the Supabase integration"
+  title_vi: "Service role được dùng ngoài integration Supabase"
+  meaning_vi: "Mã tại <path> tham chiếu service_role ngoài integration Supabase của back end, kể cả trong script triển khai."
+  causes_vi:
+    - "Vi phạm R252: sử dụng quyền service role ngoài thành phần sở hữu kết nối Supabase."
+  nextStep_vi: "Đưa quyền service role vào be/src/modules/integrations/supabase và truy cập qua port của integration; script gọi CLI của ứng dụng."
+  owner: op-retry
+  kind: check-finding
+
+HFS_SERVICE_STACK_DECLARATION:
+  title: "Each service app is a service component of the stack"
+  title_vi: "Ứng dụng dịch vụ chưa được khai báo trong stack"
   meaning_vi: "Một ứng dụng api hoặc worker dưới `be/apps/<service>/` của sản phẩm nhiều dịch vụ không có thành phần `role: service` cùng tên trong `.starcistacks/application-stacks.yaml`."
   causes_vi:
     - "Vi phạm luật R165: mọi dịch vụ của sản phẩm nhiều dịch vụ là một thành phần `role: service` của stack (image riêng `<repo>/<service>:<x.y.z>`, build từ Dockerfile của app)."
@@ -1954,6 +3909,18 @@ HFS_SERVICE_STACK_DECLARATION:
   owner: op-retry
   kind: check-finding
 
+HFS_SIZE_GROWTH:
+  title: "Source file over the size budget grew"
+  title_vi: "Tệp mã nguồn vượt hạn mức dòng vẫn tiếp tục dài thêm"
+  meaning_vi: "Một tệp mã nguồn đã dài hơn hạn mức mềm của ruleParams.fileLines nhưng lại dài thêm so với phiên bản gốc của nhánh, hoặc một tệp mới tạo đã vượt hạn mức ngay từ đầu. Tệp quá dài khó đọc, khó sửa và là nơi lỗi dễ ẩn; quy tắc này cho phép tệp cũ đang quá dài được giữ nguyên hoặc thu nhỏ dần, nhưng không cho phép nó phình thêm."
+  causes_vi:
+    - "Op thêm mã mới vào một tệp vốn đã quá hạn mức thay vì tách phần mới sang tệp khác"
+    - "Một tệp đang dưới hạn mức được thêm mã cho đến khi vượt hạn mức"
+    - "Một tệp mới tạo dài hơn hạn mức, hoặc một tệp bị di chuyển sang đường dẫn mới nên bị coi là tệp mới"
+  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để tách phần mã mới (hoặc bớt phần cũ) sang tệp riêng đúng ô của nó, sao cho tệp không dài hơn phiên bản gốc và tệp mới nằm trong hạn mức."
+  owner: op-retry
+  kind: check-finding
+
 HFS_SIZE_SOFT_BACKLOG:
   title: "Source file above the soft size"
   title_vi: "Tệp mã vượt cỡ mềm (chỉ báo cáo)"
@@ -2131,6 +4098,27 @@ HFS_UNUSED_FILE:
   owner: op-retry
   kind: check-finding
 
+HFS_UNUSED_SYMBOL:
+  title: "An enum member, queue constant, error code or catalog key has no production consumer"
+  title_vi: "Ký hiệu không có nơi dùng trong mã chạy thực tế"
+  meaning_vi: "Thành viên enum, hằng hàng đợi, mã lỗi hoặc khóa danh mục được khai báo nhưng không được mã chạy thực tế sử dụng; bảng mô tả lỗi và tham chiếu chỉ trong kiểm thử không đủ."
+  causes_vi:
+    - "Ký hiệu còn sót lại sau khi xóa hoặc đổi luồng nghiệp vụ."
+    - "Import namespace hoặc bảng ánh xạ che mất ký hiệu không còn dùng."
+  nextStep_vi: "Xóa ký hiệu và ánh xạ thừa, hoặc nối nó vào luồng chạy thực tế nếu nghiệp vụ vẫn cần."
+  owner: op-retry
+  kind: check-finding
+
+HFS_WORKFLOW_PIN:
+  title: "Remote workflow actions use immutable commit SHAs"
+  title_vi: "Action của workflow chưa được ghim SHA"
+  meaning_vi: "Workflow tại <path> dùng action từ xa với tag hoặc nhánh thay cho commit SHA gồm 40 ký tự hex."
+  causes_vi:
+    - "Vi phạm R251: action có thể đổi nội dung khi tag hoặc nhánh thay đổi."
+  nextStep_vi: "Ghim uses của action từ xa bằng commit SHA gồm 40 ký tự hex; action cục bộ vẫn dùng đường dẫn trong kho."
+  owner: op-retry
+  kind: check-finding
+
 HFS_WORK_IN_FE:
   title: "Work tree inside the front end (fe/)"
   title_vi: "Hồ sơ Work nằm trong repo giao diện"
@@ -2141,3 +4129,1085 @@ HFS_WORK_IN_FE:
   nextStep_vi: "Bộ kiểm kiến trúc từ chối; op phải chuyển hồ sơ sang repo backend rồi chạy lại."
   owner: op-retry
   kind: check-finding
+
+RELEASE_NOTES:
+  title: "Release tag without finished release notes"
+  title_vi: "Tag phát hành chưa có ghi chú phát hành hoàn chỉnh"
+  meaning_vi: "HEAD mang tag phát hành v<phiên bản> nhưng CHANGELOG.md không có mục ## [<phiên bản>], hoặc mục đó còn TODO, PENDING, TBD hay dấu in preparation. Thông điệp của tag và GitHub Release chính là mục này nên không được cắt tag khi nó chưa xong."
+  causes_vi:
+    - "Tạo tag trước khi viết xong mục CHANGELOG"
+    - "Còn sót dấu PENDING hoặc TBD của lane chưa land"
+  nextStep_vi: "Người giám sát hoàn tất mục CHANGELOG của phiên bản (xóa mọi dấu TODO, PENDING, TBD), commit rồi mới tạo lại tag chú thích trên commit phát hành; không dời hay xóa tag đã đẩy."
+  owner: supervisor
+  kind: check-finding
+
+RIGHTS_GIT_COMMIT:
+  title: "Raw git commit write refused"
+  title_vi: "Từ chối ghi commit git trực tiếp"
+  meaning_vi: "Agent đã gọi trực tiếp git commit, add, rm hoặc mv, nhưng mọi thay đổi lịch sử và vùng staged phải đi qua động từ runtime để quyền, bằng chứng và bước settle được giữ nhất quán."
+  causes_vi:
+    - "Agent tự stage hoặc commit thay vì để runtime tạo commit của phần việc đã qua cổng"
+    - "Agent dùng git rm hoặc git mv trực tiếp cho một thay đổi trong cây làm việc"
+  nextStep_vi: "Lệnh bị từ chối; dùng starci git commit, hoặc để nguyên thay đổi và báo cáo để runtime commit phần việc đã qua cổng khi settle."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_GIT_PUSH:
+  title: "Git push refused by role rights"
+  title_vi: "Quyền theo vai trò từ chối git push"
+  meaning_vi: "Worker, lead, Supervisor hoặc coordinator không được đẩy remote theo ý mình: remote chỉ di chuyển một lần trong mỗi bản phát hành, khi main và thẻ phát hành được đẩy cùng nhau; coordinator hoặc Supervisor chỉ được đẩy bản sao lưu bằng refspec tường minh vào refs/backup/*."
+  causes_vi:
+    - "Agent định đẩy main, một nhánh thường, mọi thẻ hoặc một refspec quá rộng"
+    - "Coordinator hoặc Supervisor đẩy bản sao lưu nhưng đích không nằm trong refs/backup/* hoặc không có refspec tường minh"
+  nextStep_vi: "Lệnh bị từ chối; để thay đổi đi qua starci release cut, hoặc nếu là coordinator hay Supervisor thì dùng starci git backup với đích refs/backup/* tường minh."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_GIT_SYNC:
+  title: "Raw git synchronization write refused"
+  title_vi: "Từ chối lệnh git đồng bộ trực tiếp"
+  meaning_vi: "Agent đã gọi một lệnh git ghi lịch sử, ref, cấu hình hoặc cây làm việc ngoài commit, push và tag; các thao tác merge, rebase, pull, fetch, checkout, switch, reset, restore, clean, stash, worktree, branch và tương tự chỉ do runtime điều phối."
+  causes_vi:
+    - "Agent tự merge hoặc rebase main vào lane"
+    - "Agent tự đổi nhánh, reset, restore, clean, stash, sửa ref, cấu hình hoặc worktree"
+  nextStep_vi: "Lệnh bị từ chối; dùng starci git sync để cập nhật lane hoặc starci git land khi coordinator đưa thay đổi vào main."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_GIT_TAG:
+  title: "Git tag write refused"
+  title_vi: "Từ chối ghi thẻ git"
+  meaning_vi: "Thẻ là dấu của một bản phát hành nên chỉ release cut được tạo thẻ; agent không được tạo, di chuyển hoặc xóa thẻ, và dấu giữ chỗ không phải thẻ."
+  causes_vi:
+    - "Agent định tạo hoặc ký một thẻ phát hành"
+    - "Agent định di chuyển, ép ghi hoặc xóa thẻ, hoặc dùng thẻ làm dấu giữ chỗ"
+  nextStep_vi: "Lệnh bị từ chối; dùng starci release cut cho thẻ phát hành, còn dấu giữ chỗ dùng refs/backup/* hoặc refs/salvage/*."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_NPM_CI_UNLOCKED:
+  title: "Unlocked clean install refused"
+  title_vi: "Từ chối cài sạch khi chưa giữ khóa máy"
+  meaning_vi: "npm ci xóa và dựng lại node_modules nên là một lần chạy nặng; lệnh chỉ được chạy sau khi runtime đã lấy host lock cho đúng tác vụ."
+  causes_vi:
+    - "Agent gọi npm ci hoặc một biến thể clean install mà không có host lock"
+    - "Host lock đang do terminal khác giữ hoặc chủ khóa đã stale"
+  nextStep_vi: "Lệnh bị từ chối; dùng động từ starci của cổng hoặc đồng bộ ứng dụng để runtime lấy host lock rồi cài phụ thuộc, không chạy npm ci bằng tay."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_NPM_PUBLISH:
+  title: "Package publish refused"
+  title_vi: "Từ chối phát hành package"
+  meaning_vi: "Package chỉ được publish một lần trong mỗi bản phát hành và từ release commit, nên agent ở lane không được publish, unpublish, deprecate hoặc đổi dist-tag."
+  causes_vi:
+    - "Agent gọi npm, pnpm hoặc yarn publish"
+    - "Agent định unpublish, deprecate hoặc sửa dist-tag ngoài release cut"
+  nextStep_vi: "Lệnh bị từ chối; hoàn tất lane và để chủ chạy starci release cut từ release commit."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_OP_RUNTIME_WRITE:
+  title: "Op runtime write refused"
+  title_vi: "Từ chối op ghi vào runtime"
+  meaning_vi: "Op chỉ sửa ứng dụng trong worktree của workflow và không được ghi vào checkout .claude của runtime; lỗi của harness phải đi qua đường nâng cấp runtime."
+  causes_vi:
+    - "Op định sửa mã, cấu hình hoặc tri thức bên trong checkout .claude"
+    - "Op phát hiện lỗi harness rồi cố sửa ngay trong phần việc của ứng dụng"
+  nextStep_vi: "Lệnh bị từ chối; ghi lesson hoặc upgrade request trong báo cáo để đường owner hoặc supervisor self-upgrade xử lý."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_PROTECTED_ZONE:
+  title: "Protected-zone write refused"
+  title_vi: "Từ chối ghi vào vùng được bảo vệ"
+  meaning_vi: "Supervisor self-upgrade đã định sửa vùng được bảo vệ của runtime, nơi chỉ đường owner được thay đổi guard và quyền vai trò, release cut và git hook, trigger CI, chính sách test, host lock, rule catalog liên quan hoặc cài đặt quyền và model."
+  causes_vi:
+    - "Một self-upgrade sửa trực tiếp tệp nằm trong vùng được khai báo ở modules/kernel/protected-zone.yaml"
+    - "Một self-upgrade sửa mục rule hoặc failure code bảo vệ vùng đó"
+  nextStep_vi: "Lệnh bị từ chối; Supervisor nộp đề xuất cho owner, nêu thay đổi cần làm và lý do, để đường owner thực hiện."
+  owner: supervisor
+  kind: verb-refusal
+
+RIGHTS_PUSH_NOT_RELEASE:
+  title: "Pre-push gate refused the push"
+  title_vi: "Cổng pre-push từ chối lần đẩy"
+  meaning_vi: "Hook pre-push đã chặn một lần đẩy main hoặc thẻ v* của runtime vì commit được đẩy chưa phải commit phát hành: phiên bản chưa vượt phiên bản ở main trên remote, thiếu thẻ annotated v<version>, thiếu tiêu đề CHANGELOG có ngày, hoặc thiếu bản ghi L4 của đúng commit đó với suite gốc, suite các package và check đều xanh."
+  causes_vi:
+    - "Thao tác xóa main hoặc xóa thẻ phát hành"
+    - "Đẩy main không phải fast-forward của main trên remote (force push, rewind hoặc nhánh rẽ)"
+    - "Commit được đẩy không phải commit phát hành: version trùng version ở main remote, thiếu thẻ annotated v<version>, CHANGELOG chưa có tiêu đề có ngày, hoặc bản ghi starci-release của đúng commit đó thiếu hay có dòng đỏ"
+  nextStep_vi: "Không đẩy main giữa hai bản phát hành; chạy starci release cut --tag v<version> (thêm --plan để xem trước) đã được owner duyệt, lệnh này ghi bản ghi L4 rồi đẩy main và thẻ v* cùng nhau."
+  owner: supervisor
+  kind: verb-refusal
+
+RIGHTS_RAW_TOOL:
+  title: "Raw side-effecting tool refused"
+  title_vi: "Từ chối công cụ thô có tác động phụ"
+  meaning_vi: "Agent đã gọi trực tiếp một công cụ có tác động phụ trong khi runtime có động từ starci sở hữu thao tác đó; chính sách chỉ cho phép các lệnh chỉ đọc được khai báo một lần trong modules/kernel/command-policy.yaml."
+  causes_vi:
+    - "Agent gọi npm run, npm test, npm install, node scripts, docker, supabase, gh, schtasks, shutdown, một test runner hoặc Orca mutation trực tiếp"
+    - "Agent gọi một chương trình chưa được khai báo trong bảng chính sách lệnh"
+  nextStep_vi: "Lệnh bị từ chối; dùng đúng starci <nhóm> <động từ> mà lời từ chối nêu, hoặc nhờ owner khi không có động từ được phép."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_RELEASE_CUT:
+  title: "Release cut refused"
+  title_vi: "Từ chối cắt bản phát hành"
+  meaning_vi: "Release cut là quyết định phát hành của owner và chạy toàn bộ cổng L4 một lần; worker, lead, Supervisor và coordinator không được tự khởi động nó."
+  causes_vi:
+    - "Agent gọi starci release cut hoặc đường script tương đương"
+    - "Agent định publish bản phát hành mà chưa có phê duyệt của owner"
+  nextStep_vi: "Lệnh bị từ chối; báo lane đã sẵn sàng để owner phê duyệt và khởi động starci release cut."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_ROLE_DENIED:
+  title: "Action denied by role rights"
+  title_vi: "Quyền theo vai trò từ chối thao tác"
+  meaning_vi: "Command guard đã từ chối một thao tác vì vai trò của caller không sở hữu tác động đó; modules/kernel/command-policy.yaml là bảng chính sách duy nhất mà PreToolUse guard và PATH shim cùng đọc."
+  causes_vi:
+    - "Agent gọi một lệnh ghi hoặc công cụ có tác động phụ ngoài quyền của vai trò"
+    - "Agent bỏ qua động từ starci sở hữu thao tác"
+  nextStep_vi: "Không chạy đường thô; dùng động từ starci được lời từ chối nêu hoặc báo lại cho vai trò sở hữu thao tác."
+  owner: op-retry
+  kind: verb-refusal
+
+RIGHTS_SUITE_RUN:
+  title: "Whole-suite run refused"
+  title_vi: "Từ chối chạy toàn bộ bộ kiểm thử"
+  meaning_vi: "Toàn bộ suite chỉ chạy một lần trong mỗi release hoặc theo yêu cầu trong unit.verify hay e2e.verify; một worker chỉ chạy tệp spec vừa thay đổi hoặc để op gate chọn phạm vi."
+  causes_vi:
+    - "Agent gọi npm test, một script test toàn bộ hoặc node --test trên cả cây tests"
+    - "Agent chạy suite ngoài release cut và ngoài op verify được yêu cầu"
+  nextStep_vi: "Lệnh bị từ chối; chạy riêng tệp spec đã thay đổi, để op gate chọn spec liên quan, hoặc dùng unit.verify/e2e.verify khi owner hay mục tiêu yêu cầu."
+  owner: op-retry
+  kind: verb-refusal
+
+RT_ABSOLUTE_PATH:
+  title: "Hard-coded absolute host path"
+  title_vi: "Đường dẫn tuyệt đối của máy bị ghi cứng"
+  meaning_vi: "Một tệp được git theo dõi của runtime chứa đường dẫn tuyệt đối của máy chủ: đường dẫn có ổ đĩa (chữ cái ổ đĩa, dấu hai chấm và dấu gạch), đường dẫn hồ sơ người dùng (/Users/<tên>/, /home/<tên>/) hoặc đường dẫn AppData đã khai triển. Kho .claude dùng đường dẫn tương đối; đường dẫn ghi cứng chỉ chạy trên một máy và làm lộ tên người dùng."
+  causes_vi:
+    - "Một lane ghi đường dẫn máy của nó vào mã, tài liệu, tri thức, ví dụ hoặc dữ liệu thử"
+    - "Một spec dựng fixture từ ổ đĩa ghi cứng thay vì thư mục tạm của nó"
+  nextStep_vi: "Người giám sát đổi đường dẫn thành đường dẫn tương đối hoặc tên giữ chỗ (<runtime>/..., %LOCALAPPDATA% chưa khai triển), cho mã lấy đường dẫn từ gốc runtime, os.tmpdir(), cấu hình hoặc hàm gốc trạng thái, và cho spec dựng fixture từ thư mục tạm."
+  owner: supervisor
+  kind: check-finding
+
+RT_API_SHAPE:
+  title: "api folder breaks its shape"
+  title_vi: "Thư mục api sai hình dạng"
+  meaning_vi: "Một tệp lệnh trong scripts/api/<hệ thống>/ export nhiều hơn một hàm hoặc không export hàm mang tên của tệp, một tệp bên ngoài hệ thống import lib.mjs của hệ thống đó, một hệ thống api import hệ thống khác, hoặc một tệp lệnh không phải là id trong hợp đồng calls của hệ thống."
+  causes_vi:
+    - "Thêm hằng số hay hàm phụ vào một tệp lệnh"
+    - "Gọi thẳng trình chạy lib.mjs thay vì tệp lệnh"
+  nextStep_vi: "Người giám sát tách mỗi lệnh thành một tệp riêng mang tên lệnh, chuyển hằng dùng chung vào lib.mjs của hệ thống và để nơi gọi dùng tệp lệnh."
+  owner: supervisor
+  kind: check-finding
+
+RT_BASE_IMPURE:
+  title: "Base tier writes or reads the environment"
+  title_vi: "Tầng cơ sở ghi tệp hoặc đọc biến môi trường"
+  meaning_vi: "Một tệp của tầng cơ sở (engine nền tảng, scripts/lib) gọi một hàm ghi của node:fs (writeFileSync, rmSync, mkdirSync...) hoặc đọc process.env ngoài các điểm khai báo trong ruleParams.runtime.baseEnvSeams. Tầng cơ sở chỉ chứa hàm thuần."
+  causes_vi:
+    - "Một hàm tiện ích tự ghi tệp thay vì trả dữ liệu cho nơi gọi"
+    - "Đọc cấu hình từ biến môi trường bên trong thư viện"
+  nextStep_vi: "Người giám sát chuyển thao tác ghi vào chủ sở hữu của nó (scripts/api/fs, engine/db hoặc một module nghiệp vụ) và truyền giá trị môi trường vào dưới dạng tham số."
+  owner: supervisor
+  kind: check-finding
+
+RT_CITED_PATH_MISSING:
+  title: "Cited runtime path does not exist"
+  title_vi: "Đường dẫn được trích dẫn không tồn tại"
+  meaning_vi: "Văn bản đang dùng (modules ngoài lịch sử hợp đồng, docs, skills, knowledge, CONTEXT.md, README.md, CONTRIBUTING.md, init, tài liệu ui) trích dẫn một đường dẫn runtime không tồn tại."
+  causes_vi:
+    - "Di chuyển hay xóa tệp mà không cập nhật tài liệu"
+    - "Gõ sai đường dẫn trong tài liệu"
+  nextStep_vi: "Người giám sát sửa trích dẫn thành đường dẫn hiện tại hoặc xóa câu đó."
+  owner: supervisor
+  kind: check-finding
+
+RT_CLI_APP_ONLY_TEMPLATES:
+  title: "Managed app template invokes the wrong CLI"
+  title_vi: "Template ứng dụng gọi sai bề mặt CLI"
+  meaning_vi: "Template do StarCi quản lý hoặc bản sao runtime đã sinh gọi lệnh hfs cũ, test-stack cũ, hoặc một nhóm starci không phải app; repository sản phẩm chỉ được gọi starci app <verb>."
+  causes_vi:
+    - "Vi phạm luật R200: mọi hành động sản phẩm trong template phải đi qua CLI thống nhất starci app."
+  nextStep_vi: "Đổi lời gọi thành starci app <verb>, sinh lại các bản sao runtime và chạy lại kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+RT_CLI_CATALOG_DRIFT:
+  title: "Generated CLI catalog outputs drifted"
+  title_vi: "Các đầu ra catalog CLI sinh tự động bị lệch"
+  meaning_vi: "Một đầu ra sinh từ catalog của modules/cli/commands (packages/cli/src/catalog.generated.mjs, docs/cli.md, packages/cli/completions/*) khác với nội dung mà scripts/cli/gen-catalog.mjs sinh ra: thiếu, cũ, hoặc đã sửa tay."
+  causes_vi:
+    - "Sửa một file catalog trong modules/cli/commands mà quên chạy gen-catalog --write"
+    - "Sửa tay một đầu ra sinh tự động thay vì sửa catalog nguồn"
+  nextStep_vi: "Người giám sát chạy starci runtime gen-catalog --write rồi commit cả catalog lẫn các đầu ra; không sửa tay tệp đã sinh."
+  owner: supervisor
+  kind: check-finding
+
+RT_CLI_VERB_PARITY:
+  title: "CLI catalog and implementation disagree"
+  title_vi: "Catalog CLI và cài đặt không khớp nhau"
+  meaning_vi: "Catalog của modules/cli/commands và code lệch nhau: một verb của catalog không có handler (impl.script thiếu, không có verbs/<verb>.mjs, không có case trong cli.mjs) hoặc không có tài liệu; một verb module của kernel hoặc một case của cli.mjs không có file catalog; một --flag trong usage:/required của module verb hay trong api-boolean-flags.txt không nằm trong flags của catalog."
+  causes_vi:
+    - "Thêm một verb module trong scripts/kernel/verbs mà quên file modules/cli/commands/kernel/<verb>.yaml"
+    - "Đổi usage hoặc required của một verb mà không cập nhật flags của catalog"
+  nextStep_vi: "Người giám sát đồng bộ hai phía: thêm file catalog cho verb mới, sửa flags của catalog theo usage/required, hoặc xóa verb khỏi catalog khi handler đã bị xóa."
+  owner: supervisor
+  kind: check-finding
+
+RT_CONFIG_DEFAULT_TWICE:
+  title: "A documented default is restated outside its owner"
+  title_vi: "Một giá trị mặc định được khai báo lại ngoài tệp chủ"
+  meaning_vi: "Mỗi mặc định của cấu hình được viết một lần trong tệp chủ của nó: các leaf camelCase hay khóa lowercase của config.example.yaml, và các mặc định mà chủ sở hữu khai báo (DEFAULTS của scripts/machine/home.mjs cho supervisor và ngôn ngữ owner, engine/config.mjs cho connector/ask/UAT/spec/allocation, engine/orca-config.mjs cho độ sâu worker, scripts/reconciler/state.mjs cho mode của controller). Một literal fallback (??, ||, mặc định tham số, hay ternary kiểu language === 'en' ? 'en' : 'vi') ở tệp khác là bản chép lại; phía đọc gọi accessor của chủ (supervisorSettings(), configuredMode(), ownerLanguage()). Spec, test, runtime sinh ra, story và template HFS nằm ngoài luật."
+  causes_vi:
+    - "Viết ?? <literal> hay || <literal> cho một khóa đã có trong config.example.yaml thay vì gọi accessor"
+    - "Khai báo tham số mặc định bằng literal giá trị mà chủ sở hữu đã định"
+  nextStep_vi: "Người giám sát thay literal bằng accessor của chủ sở hữu (import DEFAULTS/supervisorSettings/ownerLanguage...) hoặc chuyển mặc định về tệp chủ rồi đọc qua nó."
+  owner: supervisor
+  kind: check-finding
+
+RT_CONTROL_CHARACTER:
+  title: "Raw control character in source"
+  title_vi: "Ký tự điều khiển thô trong mã nguồn"
+  meaning_vi: "Một tệp văn bản được git theo dõi (mjs, cjs, js, ts, tsx, yaml, md, json) chứa ký tự điều khiển thô (U+0000 đến U+001F trừ tab, LF, CR, và U+007F). NUL thô làm git và grep coi tệp là nhị phân; backspace thô trong biểu thức chính quy không còn nghĩa \\b như khi gõ."
+  causes_vi:
+    - "Một lần sửa bằng script ghi chuỗi \\b hoặc \\0 thành ký tự thật"
+  nextStep_vi: "Người giám sát thay ký tự đó bằng dạng thoát của nó (\\0, \\b, \\u001b) để tệp giữ đúng nghĩa ban đầu."
+  owner: supervisor
+  kind: check-finding
+
+RT_COVERAGE_CODE_UNROUTED:
+  title: "A machine finding routed to lint has no applicable plugin enforcer"
+  title_vi: "Mã lỗi chuyển sang lint thiếu bộ kiểm tra phù hợp"
+  meaning_vi: "Mã lỗi máy chuyển sang bề mặt lint nhưng plugin của profile và edition đó không đăng ký bộ kiểm tra phát mã này."
+  causes_vi:
+    - "Vi phạm R247: mã lỗi chỉ được xử lý bởi plugin của profile khác hoặc bộ kiểm tra chưa được đăng ký."
+  nextStep_vi: "Đăng ký bộ kiểm tra phát đúng mã trong plugin của profile và edition được định tuyến, rồi thêm spec chứng minh đường đi."
+  owner: op-retry
+  kind: check-finding
+
+RT_COVERAGE_EDITION_ASYMMETRY:
+  title: "An edition difference has no ruling justification"
+  title_vi: "Khác biệt phiên bản thiếu căn cứ quyết định"
+  meaning_vi: "Luật, ô hoặc bộ kiểm tra khác nhau giữa lite và full nhưng chưa dẫn quyết định của chủ sở hữu."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Ghi editionWhy với quyết định có thật giải thích khác biệt."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_GATE_LIE:
+  title: "A catalog gate claim has no corresponding command"
+  title_vi: "Cổng khai báo không có lệnh kiểm tra tương ứng"
+  meaning_vi: "Luật tuyên bố chạy ở một cổng nhưng lệnh thật của cổng không chạy bộ kiểm tra áp dụng."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Đối chiếu hook, cổng và workflow rồi sửa lệnh hoặc khai báo cho đúng."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_MATRIX:
+  title: "The HFS standard has a missing coverage link"
+  title_vi: "Chuẩn HFS thiếu mắt xích kiểm chứng"
+  meaning_vi: "Bảng bao phủ chưa nối đủ luật, bộ kiểm tra và bằng chứng cho từng phiên bản."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Sửa các phát hiện RT_COVERAGE trong báo cáo rồi chạy lại bộ kiểm tra."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_NO_DOC:
+  title: "A rule has no documentation evidence"
+  title_vi: "Luật thiếu bằng chứng tài liệu"
+  meaning_vi: "Tài liệu được luật dẫn không tồn tại hoặc không giải thích mã lỗi trong phiên bản áp dụng."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Dẫn tài liệu thật và giải thích từng mã lỗi của luật."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_NO_ENFORCER:
+  title: "A rule has no enforcer in an applicable edition"
+  title_vi: "Luật thiếu bộ kiểm tra trong phiên bản áp dụng"
+  meaning_vi: "Luật không có bộ kiểm tra đã tồn tại và chạy trong phiên bản được khai báo."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Xây dựng và đăng ký bộ kiểm tra đúng phiên bản của luật."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_NO_EXAMPLE:
+  title: "A rule or slot has no example"
+  title_vi: "Luật hoặc ô thiếu ví dụ"
+  meaning_vi: "Không có tệp ví dụ đúng phiên bản thể hiện cấu trúc mà luật hoặc ô yêu cầu."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Thêm cấu trúc vào ví dụ đúng phiên bản và dẫn tệp thật trong danh mục."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_NO_SPEC:
+  title: "A failure code has no edition-specific spec proof"
+  title_vi: "Mã lỗi thiếu đặc tả chứng minh theo phiên bản"
+  meaning_vi: "Mã lỗi chưa có đặc tả được khai báo với nhãn proves cho phiên bản áp dụng."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Thêm ca vi phạm và ca đạt, ghi nhãn proves: CODE@edition và dẫn tệp trong luật."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_NO_TEMPLATE:
+  title: "A rule or slot has no template"
+  title_vi: "Luật hoặc ô thiếu mẫu chuẩn"
+  meaning_vi: "Luật hoặc ô bắt buộc chưa có mẫu hay đường dẫn scaffold thật trong phiên bản áp dụng."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Bổ sung mẫu đúng phiên bản và nối mẫu với ô hoặc luật."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_NO_WITNESS:
+  title: "A rule has no mutation witness"
+  title_vi: "Luật thiếu ca đột biến làm chứng"
+  meaning_vi: "Luật chưa có đột biến từ ví dụ đúng làm phát sinh mã lỗi hoặc lý do có ngày cho trường hợp không thể kích hoạt."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Thêm đột biến có mã lỗi mong đợi cho từng phiên bản hoặc ghi lý do không thể kích hoạt kèm ngày."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_PROOF_VACUOUS:
+  title: "A claimed coverage proof does not exercise its enforcer"
+  title_vi: "Bằng chứng kiểm thử không thực thi bộ kiểm tra"
+  meaning_vi: "Spec khai báo proves nhưng không có ca hợp lệ và vi phạm thực chất, hoặc dùng bằng chứng của một bộ kiểm tra cho bộ khác."
+  causes_vi:
+    - "Vi phạm R247: danh sách valid hoặc invalid rỗng, mã lỗi chỉ được nhắc tên, hoặc bộ kiểm tra chưa được gọi trong bằng chứng."
+  nextStep_vi: "Thêm ca hợp lệ và vi phạm cho từng edition, gọi đúng bộ kiểm tra và xác nhận kết quả bằng assertion."
+  owner: op-retry
+  kind: check-finding
+
+RT_COVERAGE_REQUIREMENT_UNLEDGERED:
+  title: "A hard documentation requirement is not ledgered"
+  title_vi: "Yêu cầu bắt buộc trong tài liệu chưa vào sổ"
+  meaning_vi: "Một câu yêu cầu bắt buộc không có mục sổ hợp lệ hoặc neo tài liệu được luật dẫn."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Đưa yêu cầu vào sổ cùng luật hoặc trạng thái có lý do và dẫn neo tài liệu."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_SCHEMA_NO_RECORD:
+  title: "A Work schema has no full-edition example record"
+  title_vi: "Schema Work thiếu bản ghi ví dụ full"
+  meaning_vi: "Một họ bản ghi Work chưa có bản ghi trong ví dụ full và chưa được đánh dấu là dữ liệu sinh."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Thêm bản ghi ví dụ theo schema hoặc khai báo generated cho họ dữ liệu sinh."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_SUPERSEDED_CITE:
+  title: "A citation uses a superseded ruling"
+  title_vi: "Trích dẫn dùng quyết định đã bị thay thế"
+  meaning_vi: "Tài liệu còn dẫn quyết định cũ mà thiếu quyết định kế tiếp trong cùng đoạn hoặc còn cách diễn đạt đã bị bỏ."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Đổi sang quyết định hiện hành hoặc nêu quyết định kế tiếp trong cùng đoạn."
+  owner: runtime-core
+  kind: check-finding
+
+RT_COVERAGE_SURFACE_UNMAPPED:
+  title: "A surface has no rule and slot mapping"
+  title_vi: "Bề mặt chưa nối với luật và ô"
+  meaning_vi: "Một ô theo phiên bản hoặc bề mặt khai báo chưa có luật và ô áp dụng, cũng chưa có lý do thiếu."
+  causes_vi:
+    - "Danh mục hoặc bằng chứng của chuẩn chưa được cập nhật theo hành vi thực tế"
+  nextStep_vi: "Nối bề mặt với luật và ô đúng phiên bản hoặc ghi gap với lý do cụ thể."
+  owner: runtime-core
+  kind: check-finding
+
+RT_DOCUMENTED_DEFAULT_DRIFT:
+  title: "A documented default differs from the value the code reads"
+  title_vi: "Một giá trị mặc định được ghi trong tài liệu khác với giá trị mà code đọc"
+  meaning_vi: "Tài liệu nêu giá trị mặc định bằng cách dẫn khóa sở hữu nó (default <giá trị> = `<khóa>`); khóa là đường dẫn config.yaml (xác định qua hàm settings của bộ kiểm tra) hoặc <tệp yaml trong modules/>:<đường dẫn>. Giá trị ghi khác giá trị khóa đó thực sự cho, hoặc khóa không xác định được, là một phát hiện nêu tệp:dòng."
+  causes_vi:
+    - "Đổi mặc định trong code hoặc yaml mà không sửa số trong tài liệu"
+    - "Gõ sai khóa dẫn hoặc dẫn tới khóa đã bị đổi tên"
+  nextStep_vi: "Người giám sát sửa số trong tài liệu cho khớp giá trị của khóa, hoặc sửa khóa dẫn; không chép lại một số không dẫn khóa."
+  owner: supervisor
+  kind: check-finding
+
+RT_DOC_NO_OWNER:
+  title: "A document has no single ownership header"
+  title_vi: "Một tài liệu không có đúng một dòng sở hữu"
+  meaning_vi: "Một tệp docs/*.md không mở đầu bằng đúng một dòng sở hữu — \"Owner: <đường dẫn knowledge/ hoặc modules/ tồn tại>\" khi tài liệu giải thích một nguồn do máy sở hữu, hoặc \"Task: <một việc>\" với một tài liệu hướng dẫn — hoặc nó trùng một tài liệu khác: cùng một dòng Task, hoặc hai tiêu đề chung từ hai từ chủ đề trở lên trong khi ít nhất 30% câu của tài liệu ngắn hơn xuất hiện trong tài liệu kia. Một câu chuyện chỉ có một tài liệu; nguồn máy là luật và tài liệu chỉ đọc nó."
+  causes_vi:
+    - "Thêm một tài liệu mà quên dòng Owner:/Task: đầu tiên, hoặc Owner trỏ tới một đường dẫn không tồn tại hay ngoài knowledge/ và modules/"
+    - "Tách một tài liệu thành hai mà không gộp nội dung trùng hoặc không đổi dòng Task của một trong hai"
+  nextStep_vi: "Người giám sát thêm đúng một dòng sở hữu vào dòng đầu của tài liệu (một nguồn knowledge/ hoặc modules/ tồn tại, hoặc một Task duy nhất), hoặc gộp hai tài liệu trùng thành một rồi xóa tệp thừa, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_EDGE_CASE_REGISTRY:
+  title: "The edge-case registry is inconsistent"
+  title_vi: "Sổ tình huống biên không nhất quán"
+  meaning_vi: "Mỗi mục covered của modules/reconciler/edge-cases.yaml phải nêu một tệp spec và một quy tắc đều tồn tại; mỗi mục có họ, lần xảy ra thật và trạng thái hợp lệ."
+  causes_vi:
+    - "Mục covered thiếu spec hoặc quy tắc"
+    - "Spec hoặc quy tắc được đổi tên mà sổ không đổi theo"
+  nextStep_vi: "Người giám sát sửa mục cho đúng tệp, hoặc chuyển mục sang open kèm lý do."
+  owner: supervisor
+  kind: check-finding
+
+RT_EVENT_SPILL_BYPASS:
+  title: "A ledger event payload is spilled by hand"
+  title_vi: "Một payload sự kiện của sổ cái được tự chuyển sang blob"
+  meaning_vi: "Payload sự kiện lớn theo đầu vào (danh sách tệp, manifest, bản tóm tắt, báo cáo, lời phê bình, menu) chỉ đi vào kho blob qua một đường duy nhất là appendEvent: engine/db/event-compact.mjs giữ bản inline tối đa 16 KiB và toàn bộ payload sau events.payload_sha, người đọc giải qua engine/db/event-payload.mjs. Một tệp nguồn khác truyền payloadSha vào lệnh ghi, bắt lỗi payload quá lớn để tự chuyển, hoặc chèn thẳng vào bảng events là đi vòng."
+  causes_vi:
+    - "Người viết gặp STARCI_EVENT_PAYLOAD_TOO_LARGE rồi tự lưu blob và truyền payloadSha thay vì để appendEvent làm"
+  nextStep_vi: "Bỏ đoạn tự chuyển; gọi appendEvent với payload đầy đủ và đọc lại bằng eventPayloadOf."
+  owner: supervisor
+  kind: check-finding
+
+RT_EXAMPLE_COUPLING:
+  title: "Runtime source names a concrete example tree"
+  title_vi: "Mã nguồn runtime gọi tên một cây examples/ cụ thể"
+  meaning_vi: "Một tệp nguồn runtime được theo dõi (scripts/, engine/, packages/ trừ bản sao runtime đã sinh, ui/src, ui/api, hay một template quản lý dưới packages/hfs/templates/) viết literal examples/<name> — trỏ tới một thư mục ví dụ cụ thể thay vì một khai báo chung. Canon của runtime ship vào mọi sản phẩm, nên một đường dẫn ví dụ cứng chỉ đúng trên một checkout. Spec, test, lịch sử CHANGELOG và các bản ghi .starciwork nằm ngoài phạm vi; một lượt đọc runtime thật sự cần được khai báo một lần trong scripts/lib/example-refs.mjs và mọi nơi dùng gọi tên hằng đó."
+  causes_vi:
+    - "Một script hay gate đọc ví dụ của riêng một sản phẩm (ví dụ một tệp declaration đặt theo tên repo) lúc chạy, thay vì một mẫu chung hay tệp của repo đang được kiểm"
+    - "Comment, tài liệu hay chuỗi trong nguồn trích dẫn đường dẫn examples/<name> cụ thể thay vì nói examples/<app>"
+  nextStep_vi: "Người giám sát khái quát hóa chỗ đó (ví dụ examples/<app>, một mẫu template.*, hay một hằng trong scripts/lib/example-refs.mjs khi runtime thật sự đọc cây đó) hoặc trỏ tới repo đang được kiểm tra, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_EXTERNAL_OWNER:
+  title: "External system reached outside its owner"
+  title_vi: "Gọi hệ thống bên ngoài ngoài nơi sở hữu nó"
+  meaning_vi: "Trong mã nguồn runtime, một tệp import một module bên ngoài (node:child_process, node:http, node:sqlite...), gọi một hàm toàn cục (fetch) hoặc khởi chạy một chương trình (git, npm, orca, powershell, node...) mà ruleParams.runtime.infraOwners của knowledge/hfs/runtime-slots.yaml không giao cho thư mục của tệp đó. Chỉ scripts/api/<hệ thống>/ (và engine/db cho SQLite) được gọi ra bên ngoài."
+  causes_vi:
+    - "Gọi spawnSync/execFile hay fetch trực tiếp trong tầng nghiệp vụ hoặc trong scripts/lib"
+    - "Một tệp api của hệ thống này khởi chạy chương trình của hệ thống khác"
+  nextStep_vi: "Người giám sát chuyển lời gọi vào một tệp lệnh của scripts/api/<hệ thống>/ rồi gọi hàm đó, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_FACT_FALSE:
+  title: "A machine-evaluated fact is false, or prose contradicts it"
+  title_vi: "Một sự thật máy kiểm được là sai, hoặc văn bản mâu thuẫn với nó"
+  meaning_vi: "Một sự thật trong knowledge/hfs/facts.yaml không đúng với knowledge/hfs/slots.yaml (nguồn duy nhất của hình dạng sản phẩm), hoặc một dòng trong knowledge, docs hay README nói điều ngược lại, ví dụ 'không có package.json' cho một ứng dụng fe vốn có package.json riêng. Văn bản chép lại điều khẳng định bằng lời khác sẽ lệch dần khỏi slots.yaml."
+  causes_vi:
+    - "Sửa slots.yaml mà không sửa sự thật hoặc câu văn tương ứng"
+    - "Một tài liệu chép lại điều khẳng định của slot bằng lời riêng và lời đó cũ đi"
+  nextStep_vi: "Người giám sát xóa câu văn mâu thuẫn và thay bằng mã sự thật hoặc mã slot; nếu sự thật sai thì sửa slots.yaml hoặc facts.yaml, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_GATE_LOOSENING:
+  title: "A change loosens a gate without the owner's approval"
+  title_vi: "Một thay đổi nới lỏng cổng kiểm mà chưa có chủ phê duyệt"
+  meaning_vi: "Bỏ một kiểm tra khỏi danh sách của cổng, hạ ngưỡng, thêm một mục vào allowlist, xoá hoặc làm yếu một spec cùng lúc với mã sản phẩm là việc của chủ dự án; commit hoặc lần land đó chỉ qua khi cây gốc đã có mục owner-rulings gate-loosening-<dấu vân> của đúng thay đổi này."
+  causes_vi:
+    - "Một lane gỡ kiểm tra hoặc hạ ngưỡng để cho workflow chạy qua"
+    - "Một spec bị xoá hoặc bớt khẳng định trong cùng thay đổi với mã sản phẩm"
+  nextStep_vi: "Khôi phục cổng; nếu chủ thật sự duyệt, chủ thêm mục owner-rulings gate-loosening-<dấu vân> trước, rồi mới land thay đổi."
+  owner: owner
+  kind: check-finding
+
+RT_GENERATED_BLOCK_STALE:
+  title: "A generated README block or derived field differs from its source"
+  title_vi: "Khối README sinh tự động khác nguồn của nó"
+  meaning_vi: "Một khối giữa các dấu hfs:generated của knowledge/hfs/README.md (bản đồ ứng dụng, cây mã backend, ma trận tầng, cây mã frontend, danh mục luật) không bằng từng byte với bản dựng từ knowledge/hfs/slots.yaml và rules.yaml. Cùng cách đó, danh sách verification.automated của luật mẫu, slot của mục files: và mã code của mục why phải bằng đúng bản suy ra từ danh mục luật và slots.yaml. Sửa tay hoặc đổi nguồn mà không dựng lại làm văn bản nói khác nguồn."
+  causes_vi:
+    - "Sửa slots.yaml hoặc rules.yaml mà không chạy lại readme-blocks.mjs --write"
+    - "Sửa tay nội dung bên trong một khối sinh tự động"
+  nextStep_vi: "Người giám sát chạy starci runtime readme-blocks --write hoặc starci runtime derived-fields --write rồi commit, qua một lane đã land; không sửa tay bên trong khối."
+  owner: supervisor
+  kind: check-finding
+
+RT_GENERATED_DRIFT:
+  title: "Generated copy drifted"
+  title_vi: "Bản sao sinh tự động bị lệch"
+  meaning_vi: "Một bản sao sinh tự động trong packages/hfs/runtime, packages/eslint/be/runtime hoặc packages/eslint/fe/runtime khác với nội dung mà scripts/hfs/sync-runtime.mjs ghi ra từ nguồn duy nhất: thiếu, cũ, hoặc thừa tệp."
+  causes_vi:
+    - "Sửa một tệp nguồn được đóng gói mà quên chạy sync-runtime"
+    - "Sửa tay một tệp trong thư mục runtime/ của gói"
+  nextStep_vi: "Người giám sát chạy bước sinh bản sao runtime của kiểm tra (sync-runtime); các bản sao là kết quả sinh tự động đã gitignore nên không commit, và không sửa tay thư mục runtime/ của gói."
+  owner: supervisor
+  kind: check-finding
+
+RT_HELD_UNSURFACED:
+  title: "A runtime fault of the Supervisor or the owner reaches nobody"
+  title_vi: "Lỗi runtime giao cho Supervisor hoặc chủ sở hữu không đến được tay ai"
+  meaning_vi: "Một mã lỗi loại runtime-fault được giao cho Supervisor hoặc chủ sở hữu nhưng mục của nó không nêu cơ chế báo cho họ, hoặc cơ chế được nêu không có thật trong tệp được trỏ tới. Trạng thái bị giữ như vậy đứng im hàng giờ cho đến khi có người đọc mã nguồn."
+  causes_vi:
+    - "Thêm mã runtime-fault mới mà không khai báo surfacedBy"
+    - "surfacedAt trỏ tới tệp không mở Decision Item, không đặt đồng hồ SLA hoặc không nêu dòng digest như đã khai"
+    - "Mã trạng thái chưa có đường báo thì phải ghi surfacedBy open kèm mục đang mở trong sổ ca biên"
+  nextStep_vi: "Khai báo surfacedBy, surfacedAs và surfacedAt trong mục của mã (decision-item, sla-clock, incident, digest, notifier, caller hoặc open) và làm cho tệp được trỏ tới thật sự báo cho vai trò giữ mã; nếu chưa làm được thì ghi open và thêm mục open vào modules/reconciler/edge-cases.yaml nêu đúng lý do."
+  owner: supervisor
+  kind: check-finding
+
+RT_HOOK_SHAPE:
+  title: "App hook template breaks the gate model"
+  title_vi: "Template hook của app phá vỡ mô hình cổng"
+  meaning_vi: "Template hook husky của app (packages/hfs/templates/app/hooks/husky) không đúng mô hình: pre-commit chỉ được chạy mức L0 (work-hygiene, eslint, stylelint, prettier trên tệp staged), không typecheck và không chạy test; pre-push chỉ kiểm cổng phát hành (bản ghi L4 trong starci-release, không gian refs/backup/, mẫu thẻ v[0-9]*), không chạy npm test, jest, typecheck hay lint."
+  causes_vi:
+    - "Thêm lại npm run typecheck hoặc test:affected vào pre-commit"
+    - "Đưa typecheck, lint hay test vào pre-push, hoặc xóa các dấu mốc cổng phát hành khỏi pre-push"
+  nextStep_vi: "Người giám sát trả template về đúng mô hình (pre-commit L0, pre-push chỉ kiểm cổng phát hành) rồi render lại hook các ví dụ bằng starci app sync --write, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_HOST_PATH_IN_TEMPLATE:
+  title: "A host drive path is hard-coded in source"
+  title_vi: "Một đường dẫn trên host bị viết cứng trong mã nguồn"
+  meaning_vi: "Một tệp nguồn runtime hay một template quản lý viết cứng một đường dẫn của máy host — một ổ đĩa Windows kiểu chữ cái kèm dấu hai chấm, một thư mục người dùng kiểu Users hay home, hay một đường AppData đã bung. Source và template ship sang mọi máy và mọi sản phẩm, nên đường dẫn phải tương đối, đi qua runtime root, os.tmpdir() hay một giá trị cấu hình."
+  causes_vi:
+    - "Sao chép một đường dẫn tuyệt đối từ máy phát triển vào một script, template hay fixture"
+    - "Một chuỗi gỡ lỗi hay ví dụ viết thẳng đường dẫn host thay vì biến môi trường hay đường tương đối"
+  nextStep_vi: "Người giám sát thay đường đó bằng đường tương đối, runtime root, os.tmpdir() hay một cấu hình đã khai báo, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_IDENTIFIER_UNDECLARED:
+  title: "A runtime module reads a name nothing declares"
+  title_vi: "Một module runtime đọc một tên mà không nơi nào khai báo"
+  meaning_vi: "Một định danh trong module ES của runtime (scripts/, engine/ trừ gói yaml của bên thứ ba, ui/api/, packages/cli/bin và src) không khớp với khai báo, import, tham số hay biến toàn cục Node nào của các phạm vi bao quanh. Một re-export (export {x} from './y.mjs') không gắn x vào phạm vi cục bộ; require, module, exports và __dirname không phải biến toàn cục của module; biến toàn cục của trình duyệt chỉ hợp lệ trong hàm được truyền cho page.evaluate. Dòng đó sẽ ném ReferenceError khi chạy tới."
+  causes_vi:
+    - "Tách một hàm ra khỏi vòng lặp hay closure nhưng biến cũ không được truyền sang"
+    - "Xóa import cùng với hàm dùng nó trong khi còn một chỗ khác đọc tên đó"
+    - "Dùng tên đã re-export từ module khác như thể nó là tên cục bộ"
+  nextStep_vi: "Người giám sát khai báo hoặc import tên đó, truyền nó qua tham số, hoặc xóa chỗ đọc; không thêm ngoại lệ hay che bằng typeof."
+  owner: supervisor
+  kind: check-finding
+
+RT_NODE_MODULES_LINK:
+  title: "node_modules linked instead of installed"
+  title_vi: "node_modules được liên kết thay vì cài đặt"
+  meaning_vi: "Mã runtime tạo một junction hoặc symlink tới một thư mục node_modules (qua fs.symlinkSync, fs.promises.symlink, một hàm bọc chúng, hoặc một lệnh mklink /J, New-Item -ItemType Junction, ln -s được khởi chạy). Mỗi bản checkout phải tự cài phụ thuộc bằng npm ci thật từ bộ nhớ đệm; một liên kết vào node_modules của checkout khác bị lệnh xóa đệ quy hoặc npm đi xuyên qua và làm trống cây thật."
+  causes_vi:
+    - "Dùng chung node_modules của checkout chính cho một worktree tạm để tiết kiệm thời gian cài đặt"
+    - "Giữ lại đoạn mã cũ tạo junction cho land scratch hoặc staging"
+  nextStep_vi: "Người giám sát thay liên kết bằng npm ci thật qua scripts/api/npm/ci.mjs; chỉ giữ mã gỡ hoặc phát hiện liên kết đã có."
+  owner: supervisor
+  kind: check-finding
+
+RT_OP_JUDGE_UNDECLARED:
+  title: "An op does not declare who judges its product, or declares a judge the runtime does not provide"
+  title_vi: "Một op chưa khai báo ai chấm sản phẩm của nó, hoặc khai báo người chấm mà runtime không có"
+  meaning_vi: "Nguyên tắc P2: người làm không bao giờ tự chấm việc của mình. Hợp đồng của mỗi op (modules/ops/ops/<op>.yaml) có trường bắt buộc judge, danh sách ít nhất một người chấm: machine (phép đo độc lập mà runtime sở hữu và chạy lại lúc chốt, gọi tên trong modules/kernel/op-judges.yaml; tệp test do chính lượt làm viết thì không bao giờ tự nó là người chấm), critic (Critic độc lập, đúng cho những loại op mà bảng modules/kernel/critic.yaml đánh dấu covered), owner (chỉ nơi có cổng của chủ) hoặc next-leg (chặng sau có hợp đồng là duyệt sản phẩm này). Danh sách rỗng, thiếu trường, phép đo lạ, phép đo runtime không áp dụng cho op đó, Critic khai lệch bảng, owner không có cổng hoặc next-leg chưa đăng ký đều bị từ chối."
+  causes_vi:
+    - "Thêm một op mới mà chưa khai báo trường judge"
+    - "Khai báo một phép đo hoặc Critic mà runtime không chạy cho op đó, hoặc bảng của runtime đổi mà hợp đồng chưa đổi theo"
+  nextStep_vi: "Khai báo judge trong hợp đồng của op theo modules/kernel/op-judges.yaml, hoặc sửa bảng tương ứng của runtime cho khớp với hành vi thật."
+  owner: supervisor
+  kind: check-finding
+
+RT_PINNED_PATH_MOVED:
+  title: "Pinned path missing"
+  title_vi: "Đường dẫn được ghim không còn tồn tại"
+  meaning_vi: "Một đường dẫn được ghim (ruleParams.runtime.pinned: được lưu ngoài git trong hook, settings, tác vụ định kỳ, prompt) không còn tồn tại."
+  causes_vi:
+    - "Đổi tên một tệp mà hook hay tác vụ định kỳ đang trỏ tới"
+    - "Chuyển tệp khi các worker còn đang chạy"
+  nextStep_vi: "Người giám sát khôi phục đường dẫn."
+  owner: supervisor
+  kind: check-finding
+
+RT_PORT_RESTATED:
+  title: "A port literal is spelled outside its owner"
+  title_vi: "Một literal cổng được viết ngoài tệp chủ sở hữu"
+  meaning_vi: "Một cổng của runtime chỉ được viết literal một lần, trong tệp chủ của nó: port và devPort của UI nằm trong modules/models/runtimes.yaml (statusApp) và đọc qua ui/ports.mjs, host SonarQube nội bộ trong DEFAULT_HOST của scripts/gates/sonar-local.mjs. Một literal cổng ở vị trí cổng (authority scheme://host:NNNN, host:NNNN, gán *port*/PORT, lời gọi listen(NNNN)) trong một tệp không phải chủ sở hữu — hoặc cùng một literal không chủ trong từ hai tệp nguồn runtime — là một bản chép lại. Spec, test, bản runtime sinh ra, lịch sử hợp đồng, CHANGELOG, .starciwork và khai báo stack của sản phẩm nằm ngoài luật."
+  causes_vi:
+    - "Hard-code một port của runtime trong script hay tài liệu thay vì import từ tệp chủ"
+    - "Hai tệp nguồn cùng viết literal một port không chủ mà không khai báo hằng số chủ sở hữu"
+  nextStep_vi: "Người giám sát thay literal bằng import từ tệp chủ (ui/ports.mjs, sonar-local DEFAULT_HOST) hoặc khai báo một hằng số chủ duy nhất rồi cho mọi nơi khác tham chiếu."
+  owner: supervisor
+  kind: check-finding
+
+RT_PRODUCT_NAME_IN_SOURCE:
+  title: "A product name is written in runtime source"
+  title_vi: "Tên một sản phẩm xuất hiện trong mã nguồn runtime"
+  meaning_vi: "Một tệp nguồn runtime được theo dõi viết tên của một sản phẩm mà runtime từng ship kèm (danh sách đóng PRODUCT_NAMES trong scripts/lib/example-refs.mjs) hoặc một mã inc-<hash> có tiền tố là tên sản phẩm. Canon chạy trong mọi repo sản phẩm, nên một tên cứng trong source rò rỉ phán đoán của một sản phẩm sang mọi sản phẩm khác. Spec, test và lịch sử được giữ tên đó; mọi nơi khác phải nói chung chung hoặc qua hằng khai báo trong scripts/lib/example-refs.mjs."
+  causes_vi:
+    - "Một câu chuyện sự cố trong comment hay log viết thẳng tên sản phẩm (ví dụ workflow wf-<product>-… hay một ledger cụ thể) thay vì 'a product's …' hay <product>"
+    - "Một ánh xạ, alias hay fixture đặt theo tên sản phẩm được để trong source thay vì trong tệp khai báo chung"
+  nextStep_vi: "Người giám sát viết lại chỗ đó theo dạng chung (<product>, a product's …, acme cho một ví dụ) hoặc chuyển giá trị thật sự cần vào một hằng trong scripts/lib/example-refs.mjs, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_PROSE_COMMAND_UNKNOWN:
+  title: "Instruction text shows a starci command the CLI catalog does not have"
+  title_vi: "Văn bản hướng dẫn nêu một lệnh starci mà danh mục CLI không có"
+  meaning_vi: "Một lệnh `starci <nhóm> <verb>` trong đoạn mã, khối mã hay ví dụ yaml của skills/, docs/, README.md, CONTEXT.md, CONTRIBUTING.md hoặc modules/ nêu một verb không có trong modules/cli/commands, hoặc một cờ --flag mà verb đó và các cờ chung không nhận. Tác tử làm theo sẽ nhận lời từ chối thay vì kết quả. Danh mục CLI là sự thật; phát hiện nêu tệp:dòng và lệnh sai."
+  causes_vi:
+    - "Verb hoặc cờ bị gỡ hay đổi tên nhưng văn bản hướng dẫn vẫn nêu cách viết cũ"
+    - "Gõ sai tên verb hoặc cờ khi viết ví dụ"
+  nextStep_vi: "Người giám sát viết lại lệnh theo danh mục CLI (starci <nhóm> <verb> --help); nếu lệnh đã bị gỡ, thêm mục vào modules/kernel/removed-vocabulary.yaml và sửa mọi chỗ còn dạy nó."
+  owner: supervisor
+  kind: check-finding
+
+RT_PROSE_PATH_NO_SLOT:
+  title: "A path in prose that no slot owns"
+  title_vi: "Đường dẫn trong văn bản không thuộc slot nào"
+  meaning_vi: "Một đường dẫn sản phẩm (be/... hoặc fe/...) trong knowledge, docs hoặc README không được slot nào của knowledge/hfs/slots.yaml sở hữu và cũng không phải thư mục cha của một slot. Văn bản đã tự nghĩ ra một chỗ không có, hoặc giữ lại một chỗ mà slot không còn. Tên ứng dụng là tự do: tên ghi cứng phải là ứng dụng của ví dụ hoặc của starter, còn <tên> giữ chỗ thay cho mọi ứng dụng."
+  causes_vi:
+    - "Đổi hoặc xóa một slot mà văn bản vẫn nêu đường dẫn cũ"
+    - "Ghi tên ứng dụng theo vai trò (api, web) thay vì giữ chỗ"
+  nextStep_vi: "Người giám sát thay đường dẫn bằng mã slot, bằng <giữ chỗ> hoặc bằng tên ứng dụng của ví dụ, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_PROSE_RESTATES_SLOTS:
+  title: "Prose restates the slots"
+  title_vi: "Văn bản chép lại các slot"
+  meaning_vi: "Một khối mã hoặc một dòng trong knowledge, docs hoặc README nêu từ ba đường dẫn sản phẩm mà slot sở hữu trở lên, hoặc một câu liệt kê từ ba tên tệp gốc hay tệp của phía mà các slot khai báo. Bản chép lại cũ đi so với slots.yaml; chỉ khối sinh tự động giữa các dấu hfs:generated mới được phép sao chép."
+  causes_vi:
+    - "Chép cây thư mục hoặc danh sách tệp của slots.yaml vào văn bản"
+    - "Liệt kê các tệp cấu hình của gốc ứng dụng trong một câu"
+  nextStep_vi: "Người giám sát thay bản chép bằng mã slot (slot app.format-config...) hoặc bằng một khối sinh tự động, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_REMOVED_VOCABULARY:
+  title: "Instruction text spells a name the runtime refuses"
+  title_vi: "Văn bản hướng dẫn viết một tên mà runtime từ chối"
+  meaning_vi: "modules/kernel/removed-vocabulary.yaml là danh sách duy nhất các tên đã bị gỡ (khóa config, trường bias định tuyến, verb, cờ, mã, từ vựng), mỗi tên kèm thứ thay thế và bản phát hành đã gỡ nó. Một dòng trong skills/, docs/, README.md, CONTEXT.md, CONTRIBUTING.md, modules/ hoặc knowledge/ viết một tên trong danh sách mà không nằm trong CHANGELOG.md, không nằm trong chính danh sách và không mang dấu [removed-list] là dạy tác tử một cách viết mà runtime sẽ từ chối. Phát hiện nêu tệp:dòng, tên bị gỡ và cách viết thay thế."
+  causes_vi:
+    - "Một skill hay tài liệu còn dạy cách viết cũ sau khi runtime đổi"
+    - "Gỡ hoặc đổi tên một khóa, cờ, verb, trường hay mã mà không thêm mục vào danh sách tên đã gỡ"
+  nextStep_vi: "Người giám sát viết lại dòng theo cách thay thế mà phát hiện nêu; nếu dòng là danh sách các tên đã gỡ, đánh dấu [removed-list]; nếu tên mới bị gỡ, thêm mục vào modules/kernel/removed-vocabulary.yaml trong cùng commit."
+  owner: supervisor
+  kind: check-finding
+
+RT_REVISION_SCOPE:
+  title: "The revision-scope table does not match the runtime tree"
+  title_vi: "Bảng phạm vi bản sửa không khớp với cây runtime"
+  meaning_vi: "Một đường dẫn có trong cây không thuộc dòng nào của bảng phạm vi, bảng gọi tên vai trò hay hành động lạ, một tệp động cơ nạp bị liệt kê tay, tệp dựng lời nhắc khởi động của một ghế không khớp với bộ sinh, hoặc phép so sánh chỉ-sửa-lời-văn cho qua một thay đổi bỏ mục."
+  causes_vi:
+    - "Thêm một tệp hay thư mục mới mà chưa có dòng trong bảng"
+    - "Bộ sinh lời nhắc đọc thêm một tệp mà bảng seatBoot chưa ghi"
+  nextStep_vi: "Thêm dòng cho đường dẫn vào modules/kernel/revision-scope.yaml hoặc sửa seatBoot cho khớp bộ sinh."
+  owner: supervisor
+  kind: check-finding
+
+RT_ROLES_CONTRACT_DRIFT:
+  title: "A role surface differs from the roles contract"
+  title_vi: "Một bề mặt mô tả vai trò khác với hợp đồng vai trò"
+  meaning_vi: "Hợp đồng vai trò (modules/kernel/roles.yaml) là nơi duy nhất mô tả một vai trò. Một bề mặt Markdown mang khối sinh từ hợp đồng, một bề mặt yaml hoặc script dẫn id của vai trò, và không bề mặt nào dạy điều mà danh sách contradicts của vai trò cấm."
+  causes_vi:
+    - "Sửa hợp đồng mà không sinh lại các khối"
+    - "Viết lại một đoạn mô tả vai trò trong prompt hoặc tài liệu thay vì dẫn hợp đồng"
+  nextStep_vi: "Người giám sát chạy starci runtime check --only roles-contract -- --write, hoặc sửa câu mâu thuẫn theo hợp đồng."
+  owner: supervisor
+  kind: check-finding
+
+RT_ROOT_ADHOC:
+  title: "A root is resolved outside the root module"
+  title_vi: "Một thư mục gốc được tự phân giải ngoài mô-đun gốc"
+  meaning_vi: "Thư mục mà một thành phần đọc hoặc ghi chỉ được quyết định ở một mô-đun là scripts/lib/roots.mjs: cây runtime, thư mục trạng thái, thư mục tạm, thư mục nơi lệnh được gọi, tên thư mục Work và thứ tự thử hai cây cùng có thể giữ một bản ghi (cây làm việc trước, bản checkout chính sau). Tệp nguồn runtime tự viết process.cwd() hoặc literal tên thư mục Work là tự phân giải thư mục, và đã bốn lần trong hai ngày một thành phần đọc hay ghi nhầm cây vì vậy."
+  causes_vi:
+    - "Tệp mới nối đường dẫn từ process.cwd() hoặc từ literal .starciwork thay vì gọi mô-đun gốc"
+    - "Tệp đã có sẵn ở bản phát hành trước nhưng nay viết nhiều hơn số lần khi đó"
+  nextStep_vi: "Dùng invocationDir, workDirHolding, workRecordPath hoặc toolSearchDirs của scripts/lib/roots.mjs."
+  owner: supervisor
+  kind: check-finding
+
+RT_RULE_ID_UNKNOWN:
+  title: "A rule id that is not in the catalog"
+  title_vi: "Mã luật không có trong danh mục"
+  meaning_vi: "Một tệp được git theo dõi (tri thức, tài liệu, mã hoặc dữ liệu) nêu một mã luật R<số> mà knowledge/hfs/rules.yaml không có, hoặc một mã luật đã nghỉ hưu mà chỉ tệp lịch sử (CHANGELOG) mới được nêu. Mã luật ma làm người đọc và máy trỏ tới một luật không tồn tại."
+  causes_vi:
+    - "Một luật bị xóa hoặc đánh số lại mà các chỗ trích dẫn không được sửa theo"
+    - "Gõ nhầm mã luật"
+  nextStep_vi: "Người giám sát đổi trích dẫn sang luật hiện có của danh mục hoặc bỏ mã, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_RULE_UNCITED:
+  title: "A catalog rule no pattern topic cites"
+  title_vi: "Một luật của danh mục mà không chủ đề pattern nào trích dẫn"
+  meaning_vi: "Một luật của knowledge/hfs/rules.yaml không được nêu trong hfsRules của bất kỳ chủ đề nào dưới knowledge/patterns/** và cũng không mang scope: runtime. Luật của sản phẩm tồn tại để được dạy; một luật không được trích dẫn là luật mà một lane không bao giờ đọc."
+  causes_vi:
+    - "Thêm một luật vào danh mục mà không trích dẫn nó từ chủ đề dạy nó"
+    - "Một luật chỉ quản trị chính kho runtime mà thiếu scope: runtime"
+  nextStep_vi: "Người giám sát thêm mã luật vào hfsRules của chủ đề knowledge/patterns dạy nó, hoặc đánh dấu luật scope: runtime khi nó chỉ quản trị kho runtime, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_RULING_STALE_CITE:
+  title: "A live statement cites a superseded or unknown owner ruling"
+  title_vi: "Nội dung hiện hành dẫn quyết định đã bị thay thế hoặc chưa được ghi nhận"
+  meaning_vi: "Một trích dẫn dẫn quyết định cũ mà không dẫn quyết định thay thế trong cùng đoạn, khớp mẫu staleWhen, hoặc nêu ngày quyết định không có trong danh mục. Nội dung lịch sử của case và CHANGELOG được giữ nguyên."
+  causes_vi:
+    - "Tài liệu hoặc chú thích chưa cập nhật sau khi chủ sở hữu sửa quyết định"
+    - "Trích dẫn thiếu id ổn định hoặc nêu ngày không có case tương ứng"
+  nextStep_vi: "Cập nhật câu theo quyết định hiện hành và dẫn id của quyết định thay thế trong cùng đoạn; kiểm tra ngày và liên kết supersedes trong danh mục."
+  owner: supervisor
+  kind: check-finding
+
+RT_SECRET_TRACKED:
+  title: "A secret is tracked in the public runtime repository"
+  title_vi: "Một bí mật được theo dõi trong repository runtime công khai"
+  meaning_vi: "Một tệp *.enc hoặc secret.env/.env được git theo dõi trong repository runtime, vốn là public và không giữ vật liệu bí mật nào, kể cả bản mã hóa. Mọi bí mật của máy chủ nằm trong .claude/secret.env chưa theo dõi, chỉ đọc qua engine/secrets.mjs; các tên được liệt kê trong secret.env.example."
+  causes_vi:
+    - "Một bí mật mới được niêm phong và commit thay vì thêm tên vào secret.env"
+    - "Tệp bí mật bị gitignore sót nên bị git add"
+  nextStep_vi: "git rm tệp, thêm tên biến vào secret.env.example và danh mục env, owner đặt giá trị vào secret.env; bản mã hóa đã nằm trong lịch sử git chỉ mất khi xoay (rotate) bí mật."
+  owner: owner
+  kind: check-finding
+
+RT_SLOT_ID_SHAPE:
+  title: "A slot id breaks the manifest's declared grammar"
+  title_vi: "Một slot id vi phạm ngữ pháp mà manifest khai báo"
+  meaning_vi: "Một slot id đi theo ngữ pháp mà chính manifest khai báo: các đoạn lowercase kebab ngăn bằng dấu chấm, đoạn đầu thuộc naming.prefixes của knowledge/hfs/slots.yaml (profiles của runtime-slots.yaml), <side>.app.<kind> chỉ một kind trong appKinds.<side>, và mọi id sâu hơn mở rộng một id đã khai báo — qua trường parent tường minh, hoặc một family mà ít nhất hai slot cùng dùng; một id sâu lẻ loi tự bịa ra family. Từ vựng suffix không chứa cặp đồng nghĩa: suffixes của một profile không trùng bannedSuffixes, không cặp nào trong naming.refusedPairs sống ở cả hai vế, và naming.sameConceptPairs (step + saga-step) là ngoại lệ duy nhất — sống ở cả hai vế hoặc bị bỏ."
+  causes_vi:
+    - "Đặt một slot id mới không bắt đầu bằng prefix khai báo hay không kebab-case"
+    - "Tạo một id sâu không mở rộng slot nào đã khai báo và family chỉ có một thành viên"
+    - "Thêm một suffix đồng nghĩa với một suffix đã có mà không khai báo cặp đó trong naming"
+  nextStep_vi: "Người giám sát sửa id theo ngữ pháp (đổi tên, đặt parent, hay khai báo prefix/family trong naming của manifest) hoặc đưa từ trùng nghĩa về bannedSuffixes / khai báo cặp trong naming.sameConceptPairs/refusedPairs."
+  owner: supervisor
+  kind: check-finding
+
+RT_SOURCE_NAME:
+  title: "Runtime source name breaks the convention"
+  title_vi: "Tên tệp nguồn runtime sai quy ước"
+  meaning_vi: "Một tệp nguồn của runtime không đặt tên kebab-case, mang tên dùng một lần (_*, tmp-*, fix-*, *-backfill, migrate-*, *.bak*), hoặc trùng tên với một tệp khác trong cùng tầng (trừ lib.mjs và index.mjs)."
+  causes_vi:
+    - "Để lại một script dùng một lần trong cây nguồn"
+    - "Hai module ở hai thư mục cùng tầng mang cùng một tên"
+  nextStep_vi: "Người giám sát đổi tên tệp (bằng script di chuyển để import được viết lại) hoặc xóa script dùng một lần."
+  owner: supervisor
+  kind: check-finding
+
+RT_SPEC_BUDGET_STALE:
+  title: "A recorded spec duration names a missing file"
+  title_vi: "Một thời lượng spec đã ghi trỏ tới tệp không còn tồn tại"
+  meaning_vi: "Một hàng trong modules/kernel/spec-durations.yaml đặt tên tệp spec không còn tồn tại, nên bản ghi thời lượng của lần land đã cũ và không thể dùng làm ngân sách hiện hành."
+  causes_vi:
+    - "Tệp spec được đổi tên hoặc xóa sau lần làm mới bản ghi gần nhất"
+    - "Bản ghi thời lượng được chép từ một revision khác"
+  nextStep_vi: "Người giám sát làm mới bản ghi từ kết quả land của revision hiện tại để mỗi hàng trỏ tới một tệp spec đang tồn tại."
+  owner: supervisor
+  kind: check-finding
+
+RT_SPEC_OVER_BUDGET:
+  title: "A spec exceeds the land duration budget"
+  title_vi: "Một tệp spec vượt quá ngân sách thời gian của lần land"
+  meaning_vi: "Thời lượng đã ghi của một tệp spec còn tồn tại vượt quá giới hạn chung trong modules/kernel/spec-durations.yaml. Tệp chậm làm kéo dài lần land và phải giảm chi phí thiết lập mà vẫn giữ nguyên từng test, assertion và đường vào production."
+  causes_vi:
+    - "Mỗi test lặp lại việc cài đặt, khởi động tiến trình hoặc dựng fixture nặng"
+    - "Test chờ đồng hồ thật thay vì dùng đồng hồ được tiêm vào"
+  nextStep_vi: "Người giám sát làm theo speed.md: dùng fixture dùng chung trong một tiến trình spec, bỏ cài đặt hoặc khởi động theo từng test, tiêm đồng hồ và không tăng timeout; sau lần land cuối thì làm mới bản ghi thời lượng."
+  owner: supervisor
+  kind: check-finding
+
+RT_SPEC_PLACEMENT:
+  title: "Runtime spec out of place"
+  title_vi: "Spec của runtime đặt sai chỗ"
+  meaning_vi: "Một spec của runtime không nằm ở tests/<khu vực>/<module>[.<chủ đề>].spec.mjs, mã dùng chung cho spec không nằm ở tests/helpers/, hoặc một tệp trong packages dùng hậu tố .test. thay vì .spec."
+  causes_vi:
+    - "Spec để phẳng ngay trong tests/"
+    - "Tệp dùng chung có tiền tố _ ở gốc tests/"
+  nextStep_vi: "Người giám sát chuyển tệp vào đúng thư mục bằng script di chuyển (rh-move.mjs) để import được viết lại, qua lane của chunk C7."
+  owner: supervisor
+  kind: check-finding
+
+RT_STORAGE_UNDECLARED:
+  title: "A text column of a store has no storage class"
+  title_vi: "Một cột văn bản của kho dữ liệu chưa có lớp lưu trữ"
+  meaning_vi: "Nội dung nằm thành tệp trong kho blob dưới thư mục trạng thái runtime còn hàng trong cơ sở dữ liệu chỉ giữ tham chiếu (sha) và các giá trị nhỏ dùng để truy vấn. Mọi cột văn bản của sổ cái sản phẩm và machine.sqlite phải được khai báo trong modules/schemas/storage-convention.yaml với một lớp: scalar, bounded, reference, spill hoặc migrate. Một cột chưa khai báo, một khai báo trỏ vào cột không còn, một lớp lạ, hoặc lớp migrate không khớp danh sách migrations là đi vòng quy ước."
+  causes_vi:
+    - "Thêm bảng hoặc cột văn bản mới mà không khai báo lớp"
+    - "Cột bị đổi tên hoặc xóa nhưng khai báo vẫn còn"
+  nextStep_vi: "Khai báo cột trong modules/schemas/storage-convention.yaml: nội dung dùng reference (lưu blob, giữ sha), giá trị nhỏ dùng scalar hoặc bounded."
+  owner: supervisor
+  kind: check-finding
+
+RT_SYNTAX_INVALID:
+  title: "Tracked JavaScript has invalid syntax"
+  title_vi: "Tệp JavaScript được theo dõi có cú pháp không hợp lệ"
+  meaning_vi: "Một tệp .mjs, .cjs hoặc .js được git theo dõi không thể được trình phân tích cú pháp JavaScript của TypeScript đọc. Luật áp dụng cả tests/ và nguồn packages/, trừ các gốc được sinh và cây đầu ra build của bên thứ ba. Một tệp không phân tích được không thể chạy tin cậy dù kiểm tra Node trong các thư mục runtime vẫn xanh."
+  causes_vi:
+    - "Biểu thức chính quy chứa xuống dòng thô, hoặc chuỗi hay template chưa đóng"
+    - "Thiếu dấu ngoặc nhọn, ngoặc tròn hoặc ngoặc vuông đóng"
+  nextStep_vi: "Người giám sát sửa cú pháp tại dòng được báo và chạy lại cổng runtime; không bỏ qua tệp hoặc thêm ngoại lệ."
+  owner: supervisor
+  kind: check-finding
+
+RT_TIER_DIRECTION:
+  title: "Runtime import against the tier direction"
+  title_vi: "Import ngược chiều tầng của runtime"
+  meaning_vi: "Một import tương đối giữa hai chủ sở hữu trong runtime đi từ một tầng tới một tầng không nằm trong mayImport của tầng đó (tiers.runtime trong knowledge/hfs/runtime-slots.yaml), ví dụ kernel import supervisor hay scripts/lib import một miền nghiệp vụ."
+  causes_vi:
+    - "Một dịch vụ dùng chung nằm ở tầng cao hơn nơi dùng nó"
+    - "Thư viện cơ sở import mã nghiệp vụ"
+  nextStep_vi: "Người giám sát chuyển phần dùng chung xuống tầng được phép (machine, lib) hoặc đảo chiều phụ thuộc, qua một lane đã land."
+  owner: supervisor
+  kind: check-finding
+
+RT_VERSION_RESTATED:
+  title: "A pinned version is spelled outside canon-pins.yaml"
+  title_vi: "Một phiên bản ghim được viết ngoài canon-pins.yaml"
+  meaning_vi: "knowledge/hfs/canon-pins.yaml viết phiên bản của mọi gói @starci và mọi phụ thuộc được ghim đúng một lần; package.json là nơi cài đặt khai báo và lockfile là kết quả resolve. Một literal semver bằng pin — hay specifier name@x.y.z nhắc tới nó — ở bất cứ đâu khác là bản chép lại, trừ các khóa binding mà refresher sở hữu và ghi đè tại chỗ (canon.version của code-pattern bindings do check-canon-pins giữ; provenance.version và identity.version của grammar snapshot do grammar-knowledge.mjs ghi lại). Manifest, lockfile, changelog, lịch sử hợp đồng, spec, test, runtime sinh ra và .starciwork nằm ngoài luật."
+  causes_vi:
+    - "Viết số phiên bản của một pin trong prose hay YAML thay vì nhắc tới tên pin"
+    - "Chép specifier name@x.y.z vào tài liệu hay mẫu scaffold"
+  nextStep_vi: "Người giám sát viết lại theo tên pin (\"the pinned @starci/grammar\", \"knowledge/hfs/canon-pins.yaml\") hoặc để refresher ghi qua khóa binding đã khai báo — không bao giờ viết literal."
+  owner: supervisor
+  kind: check-finding
+
+SCAN_SMELL:
+  title: "Code carries a smell SonarCloud measures"
+  title_vi: "Mã mang một mùi mã mà SonarCloud đo"
+  meaning_vi: "Tệp `<file>` có một đoạn mã mà SonarCloud sẽ báo thành code smell: `await` trong vòng lặp, `charCodeAt`, chuỗi chỉ thoát dấu gạch chéo ngược, biểu thức điều kiện lồng nhau, `void` trên giá trị không phải lời gọi, import không dùng, import chỉ để chuyển tiếp, prop khai báo mà component không đọc, API đã deprecated, đối tượng bị ép thành chuỗi hoặc hàm `async` không `await`; luật bắt ở máy trước khi bản quét đến."
+  causes_vi:
+    - "Vi phạm luật R235: một vòng lặp `await` từng bước mà không gọi tên thứ tự"
+    - "Import còn sót sau khi mã dùng nó đã bị xóa"
+    - "Dùng API next-intl `requestLocale` hay `setRequestLocale` đã bị thay bằng `next/root-params`"
+  nextStep_vi: "Sửa đúng dòng được chỉ: chạy các bước độc lập bằng `Promise.all`, gọi tên thứ tự bằng `eachInOrder` của `platform/primitives`, bỏ import thừa, viết lại biểu thức lồng thành câu lệnh riêng, đọc locale qua `next/root-params`, trả `Promise.resolve(...)` thay vì `async` không `await`. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+SEALED_CUSTODY_LOCATION:
+  title: "Sealed secret path is not under the app root .starcistacks"
+  title_vi: "Đường dẫn bí mật đã mã hoá không nằm dưới .starcistacks"
+  meaning_vi: "Trường custody.sealed của bản ghi danh tính hoặc tài nguyên không trỏ tới .starcistacks/<môi-trường>/secrets/<slug>.enc ở gốc app, nơi duy nhất được phép giữ bí mật đã mã hoá; dạng nằm dưới một phía (be/.starcistacks/...) cũng bị từ chối."
+  causes_vi:
+    - "Đường dẫn trỏ vào .starciwork, ví dụ .starciwork/_resources/identities/<id>/secrets.enc.yaml"
+    - "Đường dẫn dùng thư mục con hoặc đuôi khác thay vì <slug>.enc"
+    - "Ghi 'none' hoặc để trống thay vì nêu đường dẫn sẽ được mã hoá"
+  nextStep_vi: "Đây là lỗi bị từ chối; op work.author hoặc op uat.verify sửa custody.sealed thành .starcistacks/<môi-trường>/secrets/<slug>.enc và chuyển tệp mã hoá (nếu có) tới đó bằng git mv, không đọc nội dung."
+  owner: other-op:work.author
+  kind: check-finding
+
+SEALED_FILE_IN_WORK:
+  title: "Sealed secret file kept inside .starciwork"
+  title_vi: "Tệp bí mật đã mã hoá nằm trong .starciwork"
+  meaning_vi: "Cây Work chứa một tệp mã hoá (.enc); cây Work chỉ được giữ bản ghi danh tính hoặc tài nguyên, còn tệp bí mật phải nằm ở .starcistacks/<môi-trường>/secrets/<slug>.enc."
+  causes_vi:
+    - "Tệp secrets.enc.yaml được đặt cạnh resource.yaml của danh tính"
+    - "Tệp mã hoá được sao vào cây Work để tiện đọc"
+  nextStep_vi: "Đây là lỗi bị từ chối; op work.author hoặc op uat.verify chuyển tệp bằng git mv tới .starcistacks/<môi-trường>/secrets/<slug>.enc và trỏ custody.sealed vào đó, không đọc hay in nội dung."
+  owner: other-op:work.author
+  kind: check-finding
+
+# --- HFS rule catalog (knowledge/hfs/rules.yaml): one code per rule, from R01 up ---
+
+STACKS_DEPLOY_CONFIG_INVALID:
+  title: "A deploy block of application-stacks.yaml is not coherent"
+  title_vi: "Khối deploy trong application-stacks.yaml không nhất quán"
+  meaning_vi: "environments.<env>.deploy có trường lạ, tên hoặc mẫu sai, tệp cấu hình không tồn tại, dịch vụ không có trong stack, thành viên sealed không có tệp .enc, mục verify sai dạng, tên config trùng hoặc ảnh backup chưa ghim digest thật."
+  causes_vi:
+    - "Vi phạm R294: khối deploy được kiểm bằng đúng normalizeDeploy mà các động từ starci app stack dùng, nên động từ sẽ từ chối cùng lỗi đó."
+    - "Tệp, dịch vụ hoặc thành viên sealed được đổi tên hay xóa mà khối deploy chưa cập nhật."
+  nextStep_vi: "Sửa đúng trường nêu trong thông báo (environments.<env>.<đường dẫn>), rồi chạy lại starci app check; mỗi vấn đề là một phát hiện riêng."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_DNS_UNDECLARED:
+  title: "An ingress host has no DNS ownership receipt"
+  title_vi: "Host của ingress thiếu khai báo chủ sở hữu và bằng chứng DNS"
+  meaning_vi: "Một host được ingress sử dụng không có bản ghi dns với host, owner và receipt đầy đủ trong khai báo môi trường."
+  causes_vi:
+    - "Vi phạm R266: điều kiện DNS chỉ tồn tại ngoài kho mã hoặc chưa có người chịu trách nhiệm rõ ràng."
+  nextStep_vi: "Thêm bản ghi dns cho từng host, nêu chủ sở hữu và tham chiếu bằng chứng DNS; việc thay đổi DNS vẫn do chủ sở hữu thực hiện."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_HEALTHCHECK_MISSING:
+  title: "A runnable Swarm service has no healthcheck"
+  title_vi: "Dịch vụ Swarm đang chạy thiếu healthcheck"
+  meaning_vi: "Mô hình Swarm thiếu healthcheck hoạt động cho dịch vụ chạy liên tục hoặc đã tắt healthcheck của dịch vụ đó."
+  causes_vi:
+    - "Vi phạm R266: trạng thái container chạy chưa chứng minh được tín hiệu sức khỏe cần để cập nhật và phục hồi dịch vụ."
+  nextStep_vi: "Khai báo healthcheck có lệnh thực sự kiểm tra dịch vụ; tách tín hiệu sống và sẵn sàng theo trách nhiệm của ứng dụng."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_HOST_UNROUTED:
+  title: "A declared ingress host has no rendered route"
+  title_vi: "Host được khai báo chưa có tuyến trong mô hình ingress"
+  meaning_vi: "Danh sách ingress.hosts chứa host mà cấu hình Traefik hoặc Caddy đã render không định tuyến."
+  causes_vi:
+    - "Vi phạm R266: danh sách host và tuyến thực tế không khớp, nên khai báo chưa chứng minh được cửa vào của ứng dụng."
+  nextStep_vi: "Thêm tuyến cho host trong cấu hình ingress được theo dõi hoặc bỏ host không còn dùng, rồi render lại mô hình."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_INGRESS_UNDECLARED:
+  title: "A Swarm environment has no declared ingress"
+  title_vi: "Môi trường Swarm chưa khai báo ingress"
+  meaning_vi: "Môi trường chưa có ingress.component và danh sách ingress.hosts hợp lệ để xác định cửa vào của ứng dụng."
+  causes_vi:
+    - "Vi phạm R275: mô hình có thể chạy proxy nhưng khai báo không nêu ingress mà môi trường thực sự chọn."
+  nextStep_vi: "Khai báo một ingress component và danh sách host của nó; dùng Traefik hoặc Caddy được ghim bằng digest."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_INGRESS_UNKNOWN:
+  title: "The declared ingress is unknown or unsupported"
+  title_vi: "Ingress được khai báo không tồn tại hoặc chưa được hỗ trợ"
+  meaning_vi: "Component ingress không được chọn, sai role, thiếu trong mô hình hoặc không dùng image Traefik hay Caddy được ghim bằng digest."
+  causes_vi:
+    - "Vi phạm R275: tên component hoặc image của cửa vào không khớp hợp đồng ingress được hỗ trợ."
+  nextStep_vi: "Chọn component có role ingress hiện diện trong mô hình và ghim image Traefik hoặc Caddy bằng digest đầy đủ."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_LITE_SELFHOSTED_DB:
+  title: "A lite deployment runs a self-hosted backing database"
+  title_vi: "Triển khai lite đang chạy cơ sở dữ liệu tự quản"
+  meaning_vi: "Tập component hoặc mô hình triển khai của lite chứa image PostgreSQL, Redis hoặc MongoDB thay vì backing Supabase được quản lý."
+  causes_vi:
+    - "Vi phạm R276: topology lite thêm máy chủ dữ liệu mà chuẩn chỉ dành cho backing được quản lý."
+  nextStep_vi: "Gỡ image backing tự quản khỏi triển khai lite; dùng Supabase cho ứng dụng và SQLite trên volume được khai báo cho sidecar phù hợp."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_MODEL_UNAVAILABLE:
+  title: "The tracked rendered deployment model cannot be checked"
+  title_vi: "Không kiểm tra được mô hình triển khai đã render được theo dõi"
+  meaning_vi: "Mô hình triển khai được chọn bị thiếu, không được theo dõi, không đọc được hoặc không có cấu trúc dịch vụ hợp lệ."
+  causes_vi:
+    - "Vi phạm R267: checker không có mô hình thực tế để xét topology và không được bỏ qua kiểm tra vì thiếu đầu vào."
+  nextStep_vi: "Theo dõi mô hình đã render dưới cây Swarm của môi trường, khai báo renderedModel hoặc composeFiles đúng và chạy lại kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_PLACEMENT_MISSING:
+  title: "A stateful Swarm service has no placement constraint"
+  title_vi: "Dịch vụ Swarm có trạng thái thiếu ràng buộc vị trí chạy"
+  meaning_vi: "Dịch vụ có trạng thái hoặc volume bền vững không khai báo deploy.placement.constraints trong mô hình đã render."
+  causes_vi:
+    - "Vi phạm R266: task có thể chuyển sang node không giữ volume và mất quyền truy cập dữ liệu của component."
+  nextStep_vi: "Thêm ràng buộc placement phù hợp chủ sở hữu volume và nêu rõ giới hạn phục hồi khi node hoặc đĩa bị mất."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_PORT_PUBLISHED:
+  title: "A service outside the declared ingress publishes a port"
+  title_vi: "Dịch vụ ngoài ingress được khai báo mở cổng công khai"
+  meaning_vi: "Mô hình Swarm công bố cổng của dịch vụ không phải ingress duy nhất được môi trường chọn."
+  causes_vi:
+    - "Vi phạm R266: API, worker hoặc dịch vụ dữ liệu có cửa truy cập trực tiếp vượt qua ingress đã khai báo."
+  nextStep_vi: "Gỡ ports khỏi dịch vụ nội bộ và định tuyến lưu lượng công khai qua ingress được môi trường khai báo."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_REALTIME_SCALED:
+  title: "A lite realtime API does not pin one replica"
+  title_vi: "API Realtime của lite chưa ghim đúng một replica"
+  meaning_vi: "App API của lite có composition chứa feature be.feature.realtime.* nhưng dịch vụ Swarm chạy nhiều replica hoặc không ghim deploy.replicas: 1."
+  causes_vi:
+    - "Vi phạm R266: Realtime của lite chưa có topology chia sẻ trạng thái để phục vụ nhiều replica an toàn."
+  nextStep_vi: "Ghim deploy.replicas: 1 cho API Realtime của lite trong mô hình Swarm; giới hạn này không áp dụng cho bản full."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_RELEASE_UNDECLARED:
+  title: "A Swarm environment has no complete release declaration"
+  title_vi: "Môi trường Swarm thiếu khai báo release đầy đủ"
+  meaning_vi: "Môi trường chưa khai báo imagesLock, pointer, previous hoặc danh sách healthAssertions không rỗng."
+  causes_vi:
+    - "Vi phạm R267: kho mã chưa gắn image bất biến, release đang chạy, release trước và điều kiện xác nhận triển khai."
+  nextStep_vi: "Bổ sung release với khóa image, con trỏ hiện tại và trước đó cùng healthAssertions; chỉ đổi con trỏ hiện tại sau khi xác minh thành công."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_SECOND_INGRESS:
+  title: "A Swarm environment selects more than one ingress"
+  title_vi: "Môi trường Swarm chọn nhiều hơn một ingress"
+  meaning_vi: "Tập component được chọn hoặc mô hình đã render chứa ingress thứ hai bên cạnh ingress của môi trường."
+  causes_vi:
+    - "Vi phạm R266: hai ingress tạo hai chủ sở hữu định tuyến, TLS hoặc cổng công khai trong cùng môi trường."
+  nextStep_vi: "Giữ đúng một ingress trong môi trường và mô hình; chuyển mọi host cùng quyền công bố cổng sang component đó."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_SECRET_ENV_LITERAL:
+  title: "A rendered service puts a secret literal in its environment"
+  title_vi: "Dịch vụ đã render đưa bí mật trực tiếp vào biến môi trường"
+  meaning_vi: "Mô hình triển khai truyền giá trị bí mật qua environment thay vì tham chiếu tệp secret được cấp cho dịch vụ."
+  causes_vi:
+    - "Vi phạm R266: giá trị bí mật có thể xuất hiện trong cấu hình đã render, thông tin dịch vụ hoặc bản ghi vận hành."
+  nextStep_vi: "Bỏ giá trị trực tiếp và dùng adapter đọc tệp secret của consumer; cấp secret bên ngoài cho đúng dịch vụ mà không in giá trị."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_SECRET_NOT_EXTERNAL:
+  title: "A Swarm secret is not an external engine secret"
+  title_vi: "Bí mật Swarm chưa dùng secret bên ngoài của engine"
+  meaning_vi: "Mô hình Swarm chứa secret không có external: true, dùng file hoặc giá trị trực tiếp, hoặc không có secret tương ứng với khai báo của môi trường."
+  causes_vi:
+    - "Vi phạm R266: mô hình triển khai giữ bí mật trong tệp mount hoặc nội dung stack thay vì cấp secret của engine cho đúng dịch vụ."
+  nextStep_vi: "Khai báo secret bên ngoài trong mô hình Swarm, tạo nó qua stdin riêng tư và cấp quyền cho đúng dịch vụ; chỉ theo dõi bản mã hóa trong kho mã."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_SECRET_UNVERSIONED:
+  title: "A Swarm secret has no matching immutable version"
+  title_vi: "Bí mật Swarm thiếu phiên bản bất biến khớp khai báo"
+  meaning_vi: "Secret thiếu runtimeName hoặc version dương, tên không kết thúc bằng -v<version>, hoặc tên secret đã render khác với tên được khai báo."
+  causes_vi:
+    - "Vi phạm R266: tên secret có thể bị tái sử dụng khi xoay khóa hoặc khai báo không khớp secret của engine."
+  nextStep_vi: "Khai báo runtimeName và version dương khớp hậu tố -v<version>; dùng đúng tên đó trong mô hình, đổi quyền của consumer rồi mới thu hồi phiên bản cũ."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_SIDECAR_DB_UNSUPPORTED:
+  title: "A lite sidecar requires an unsupported database adapter"
+  title_vi: "Sidecar của lite yêu cầu adapter cơ sở dữ liệu không được hỗ trợ"
+  meaning_vi: "Sidecar của lite khai báo hoặc cấu hình database khác SQLite, bao gồm PostgreSQL, Redis và MongoDB."
+  causes_vi:
+    - "Vi phạm R276: sidecar kéo thêm backing bị cấm vào topology lite thay vì dùng SQLite trên volume bền vững."
+  nextStep_vi: "Chọn chế độ SQLite được sidecar hỗ trợ và volume được khai báo; bỏ sidecar nếu nó bắt buộc dùng backing không được lite hỗ trợ."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_SIDECAR_VOLUME_UNDECLARED:
+  title: "A lite SQLite sidecar has no declared persistent volume"
+  title_vi: "Sidecar SQLite của lite thiếu volume bền vững được khai báo"
+  meaning_vi: "Sidecar dùng SQLite nhưng chưa khai báo database.volume, chưa liệt kê volume đó trong component hoặc chưa định nghĩa và mount volume trong mô hình."
+  causes_vi:
+    - "Vi phạm R276: tệp cơ sở dữ liệu sidecar không gắn với volume có chủ sở hữu rõ ràng và có thể mất khi tạo lại container."
+  nextStep_vi: "Khai báo database.provider: sqlite, database.volume và components.<id>.volumes, rồi định nghĩa và mount đúng named volume trong mô hình."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_TLS_UNDECLARED:
+  title: "A Swarm environment has no TLS ownership receipt"
+  title_vi: "Môi trường Swarm thiếu chủ sở hữu và bằng chứng TLS"
+  meaning_vi: "Môi trường có ingress nhưng chưa khai báo tls.owner và tls.receipt cho việc cấp chứng chỉ cùng nơi lưu giữ bền vững."
+  causes_vi:
+    - "Vi phạm R266: quyền cấp hoặc phục hồi chứng chỉ chưa có chủ sở hữu và bằng chứng được khai báo."
+  nextStep_vi: "Khai báo chủ sở hữu TLS và tham chiếu bằng chứng cấp, lưu giữ chứng chỉ; giữ thao tác của chủ sở hữu là điều kiện triển khai rõ ràng."
+  owner: op-retry
+  kind: check-finding
+
+STACKS_UPDATE_POLICY_MISSING:
+  title: "A Swarm service has no explicit rollout and recovery policy"
+  title_vi: "Dịch vụ Swarm thiếu chính sách cập nhật và phục hồi rõ ràng"
+  meaning_vi: "Dịch vụ chạy liên tục thiếu chính sách deploy.update_config, rollback_config hoặc restart_policy cần cho vòng đời triển khai."
+  causes_vi:
+    - "Vi phạm R266: triển khai dựa vào mặc định thay vì nêu cách cập nhật, xử lý lỗi và phục hồi dịch vụ."
+  nextStep_vi: "Khai báo chính sách cập nhật, rollback và restart của từng dịch vụ trong mô hình, rồi kiểm tra cùng các tín hiệu sức khỏe."
+  owner: op-retry
+  kind: check-finding
+
+STACK_TOOLING_REIMPLEMENTED:
+  title: "An app re-implements deploy tooling the canon ships"
+  title_vi: "Ứng dụng tự cài lại công cụ triển khai mà canon đã cung cấp"
+  meaning_vi: "Một tệp triển khai gọi lệnh docker mà một động từ starci app stack đã đảm nhiệm, hoặc thư mục deploy chứa tệp mang tên một động từ như render, converge hay prepare."
+  causes_vi:
+    - "Vi phạm R293: kho mã giữ bản sao công cụ Swarm riêng (docker stack deploy, docker secret create, docker swarm init...) thay vì gọi động từ của canon."
+    - "Một workflow hoặc script trong deploy/, scripts/ hay package.json gọi trực tiếp docker cho việc canon đã làm."
+  nextStep_vi: "Xóa tệp hoặc lệnh đó và gọi động từ được nêu trong thông báo (starci app stack render, deploy, converge, verify, prune, rollback, prepare, doctor), đặt hằng số của ứng dụng vào khối deploy của application-stacks.yaml."
+  owner: op-retry
+  kind: check-finding