@starci/hfs 4.7.32 → 4.7.34

package/runtime/modules/kernel/failure-codes.yaml

@@ -914,7 +914,7 @@ BE_KIND_ISOLATION:
 BE_LITE_PROOF_LANE_MISSING:
   title: "A lite back end declares a pattern without an integration proof lane"
   title_vi: "Back end lite khai báo pattern nhưng thiếu nhánh kiểm thử integration"
-  meaning_vi: "Ứng dụng lite khai báo event-bus, queue, webhooks, realtime, fenced-job, projection hoặc saga nhưng không có spec integration để chứng minh hành vi của pattern."
+  meaning_vi: "Ứng dụng lite khai báo event-bus, queue, webhooks, realtime, fenced-job, projection, saga hoặc idempotency nhưng không có spec integration để chứng minh hành vi của pattern."
   causes_vi:
     - "Vi phạm luật R284: chỉ có unit spec, spec e2e hoặc contract, hoặc chưa có spec dưới src/tests/integration."
   nextStep_vi: "Thêm spec integration dưới src/tests/integration với test chạy được mang tiêu đề `<pattern>/<kịch bản>: ...` cho từng kịch bản bắt buộc của pattern đã khai báo."
@@ -1024,16 +1024,29 @@ BE_MODULE_SHAPE:
   owner: op-retry
   kind: check-finding
 
+BE_MUTATION_IDEMPOTENT:
+  title: "Effectful client command lacks transaction-owned idempotency"
+  title_vi: "Lệnh có tác dụng phụ thiếu khóa chống lặp trong giao dịch"
+  meaning_vi: "Lệnh được đánh dấu Effectful thiếu idempotencyKey bắt buộc, đầu vào không kiểm tra giới hạn khóa, hoặc đường gọi từ handler đến miền không trả về Inbox.runClient trong giao dịch EntityManager của miền."
+  causes_vi:
+    - "Không khai báo pattern idempotency nên thiếu kiểm chứng kịch bản chống lặp"
+    - "Khóa tùy chọn hoặc không được kiểm tra ở cửa vào"
+    - "Dịch vụ gọi runClient ngoài giao dịch hoặc truyền manager dùng chung"
+    - "Handler bỏ khóa khi chuyển yêu cầu vào miền"
+  nextStep_vi: "Khai báo pattern idempotency, giữ khóa bắt buộc đã được kiểm tra, chuyển nguyên khóa vào miền, trả về giao dịch miền và runClient với manager của callback; không tắt luật."
+  owner: op-retry
+  kind: check-finding
+
 BE_OPERATION_CONTRACT:
   title: "A versioned operation has no typed contract"
   title_vi: "Thao tác có phiên bản không có hợp đồng kiểu"
-  meaning_vi: "Mỗi thao tác `<tên>@<phiên bản>` của một app được khai báo đúng một lần trong bảng thao tác có kiểu `apps/<app>/src/operations.ts` (`OperationContract<Input, Output, RefusalCode>` đăng ký bằng `defineOperations`). Bộ kiểm tra thấy đầu vào hoặc đầu ra là `any`, `unknown`, `Record<string, unknown>`, kiểu generic chưa gán, hàm hoặc `Date`; mã từ chối không phải hợp các chuỗi literal đóng; hoặc route phục vụ bảng không nhận `OperationRequest<Table>` và trả `Promise<OperationReply<Table>>` của cùng một bảng, hoặc body của route chưa gắn `OperationValidationService` nên pipe toàn cục không có lớp nào để kiểm."
+  meaning_vi: "Mỗi thao tác `<tên>@<phiên bản>` của một app được khai báo đúng một lần trong bảng thao tác có kiểu `apps/<app>/src/operations.ts` (`OperationContract<Input, Output, RefusalCode>` đăng ký bằng `defineOperations`), với schema zod có chặn trên cho đầu vào và đầu ra, xuất từ tệp `*.schema.ts` của chính chủ sở hữu (R304 và R305). Bộ kiểm tra thấy một mục thiếu schema có tên, hoặc kiểu suy ra là `any`, `unknown`, `Record<string, unknown>`, kiểu generic chưa gán, hàm hoặc `Date`; mã từ chối không phải hợp các chuỗi literal đóng; hoặc route phục vụ bảng không nhận `OperationRequest<Table>` và trả `Promise<OperationReply<Table>>` của cùng một bảng, hoặc body của route chưa gắn `OperationValidationPolicy` dựng từ đúng bảng đó nên pipe toàn cục không có lớp nào để kiểm."
   causes_vi:
     - "Đầu vào hoặc kết quả của thao tác khai báo là `unknown` nên client phải tự gõ kiểu tay"
     - "Mã từ chối khai báo là `string` thay vì hợp các literal như `\"DENIED\" | \"INVALID\"`"
     - "Route nhận `@Body() body: unknown` hoặc chỉ dùng một nửa `OperationRequest` / `OperationReply`"
-    - "Body của route chỉ gõ bằng `OperationRequest<Table>` mà không có `@Body(new OperationValidationService(RequestClass))`, nên không ai kiểm giá trị lúc chạy"
-  nextStep_vi: "Khai báo kiểu có tên, đóng cho đầu vào và đầu ra của từng thao tác, liệt kê mã từ chối bằng hợp literal, và cho route nhận `@Body(new OperationValidationService(RequestClass)) request: OperationRequest<typeof OPERATIONS>` và trả `Promise<OperationReply<typeof OPERATIONS>>`; chạy `starci app emit` để sinh `contracts/<app>/openapi.json`. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục BE-OPERATIONS-1; không thêm ngoại lệ, không tắt luật."
+    - "Body của route chỉ gõ bằng `OperationRequest<Table>` mà không có `@Body(new OperationValidationPolicy(OPERATIONS))` của cùng bảng, nên không ai kiểm giá trị lúc chạy"
+  nextStep_vi: "Khai báo schema zod có tên và có chặn trên cho đầu vào và đầu ra của từng thao tác trong tệp `*.schema.ts`, liệt kê mã từ chối bằng hợp literal, và cho route nhận `@Body(new OperationValidationPolicy(OPERATIONS)) request: OperationRequest<typeof OPERATIONS>` và trả `Promise<OperationReply<typeof OPERATIONS>>`; chạy `starci app emit` để sinh `contracts/<app>/openapi.json`. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra và mục BE-OPERATIONS-1; không thêm ngoại lệ, không tắt luật."
   owner: op-retry
   kind: check-finding
 
@@ -1654,6 +1667,17 @@ BE_UNNAMED_DATA_ACCESS:
   owner: op-retry
   kind: check-finding
 
+BE_UPLOAD_BUFFERED:
+  title: "File upload buffering belongs in object storage"
+  title_vi: "Tệp tải lên phải đi thẳng đến kho đối tượng"
+  meaning_vi: "API nhập decorator hoặc middleware nhận tệp multipart thay vì chỉ cấp yêu cầu lưu trữ có chữ ký. Tệp phải đi từ trình duyệt đến kho đối tượng; API xác thực người dùng và khóa đối tượng rồi cấp quyền ngắn hạn với giới hạn loại nội dung và kích thước do nhà cung cấp thực thi."
+  causes_vi:
+    - "Dùng UploadedFile, UploadedFiles hoặc interceptor Multer trong API"
+    - "Nhập thư viện nhận tệp multipart để đệm tệp qua API"
+  nextStep_vi: "Dùng thao tác GraphQL để cấp yêu cầu lưu trữ có chữ ký, ràng buộc người dùng, khóa, thời hạn, loại nội dung và số byte; trình duyệt gửi trực tiếp đến kho."
+  owner: op-retry
+  kind: check-finding
+
 BE_USER_COPY_LITERAL:
   title: "User-facing copy written in source"
   title_vi: "Chữ hiển thị cho người dùng viết thẳng trong mã nguồn"
@@ -1840,12 +1864,13 @@ DB_CONFIG_POLICY:
   kind: check-finding
 
 DB_CRON_OWNED:
-  title: "A uniquely owned migration cron job only enqueues to a declared queue"
+  title: "A uniquely owned migration cron job only enqueues through the queue outbox"
   title_vi: "Lịch pg_cron thiếu chủ sở hữu hoặc thực hiện nghiệp vụ"
-  meaning_vi: "Tên lịch bị trùng, đích hàng đợi hoặc hàm tick không tồn tại, lệnh thực hiện DML nghiệp vụ hay HTTP, hoặc cùng tick còn được lập lịch ở ứng dụng."
+  meaning_vi: "Tên lịch bị trùng, hằng hàng đợi hoặc hàm tick không tồn tại, lệnh thực hiện DML nghiệp vụ hay HTTP thay vì chỉ chèn một dòng của hằng hàng đợi vào bảng outbox của ruleParams.db.queueOutbox (chỉ các cột đã khai báo), lịch đang chạy vẫn gọi pgmq.send, hoặc cùng tick còn được lập lịch ở ứng dụng."
   causes_vi:
-    - "Vi phạm R258: pg_cron chỉ đưa việc vào hàng đợi, mỗi tick có đúng một nơi lập lịch và được hủy lịch khi loại bỏ."
-  nextStep_vi: "Đặt lịch trong migration với tên duy nhất, dùng pgmq.send hoặc một hàm *_tick chỉ enqueue, bỏ lịch trùng và gọi cron.unschedule khi xóa tick."
+    - "Vi phạm R258: pg_cron chỉ đưa việc vào hàng đợi qua outbox, mỗi tick có đúng một nơi lập lịch và được hủy lịch khi loại bỏ."
+    - "Lịch đang chạy (hoặc tick hiện tại của nó) vẫn gửi bằng pgmq.send; pgmq.send chỉ hợp lệ trong thân gốc của lịch cũ."
+  nextStep_vi: "Đặt lịch trong migration với tên duy nhất, chèn đúng một dòng của hằng hàng đợi vào outbox hàng đợi (trực tiếp hoặc qua một hàm *_tick chỉ làm việc đó), bỏ lịch trùng và gọi cron.unschedule khi xóa tick."
   owner: op-retry
   kind: check-finding
 
@@ -1920,12 +1945,14 @@ DB_MIGRATION_SHAPE:
   kind: check-finding
 
 DB_PGMQ_DECLARED:
-  title: "Queue constants, migration-created pgmq queues and queue grants must agree"
-  title_vi: "Khai báo hàng đợi pgmq lệch migration"
-  meaning_vi: "Hằng hàng đợi không có pgmq.create trong migration đang hoạt động, hàng đợi đã tạo không có hằng khai báo, hoặc quyền trên đối tượng pgmq vượt vai trò ứng dụng."
+  title: "A queue constant keeps a pgmq queue, a pgmq queue has no event-bus owner, or a pgmq object is declared or granted unsafely"
+  title_vi: "Hằng hàng đợi còn hàng đợi pgmq, hàng đợi pgmq không có chủ event-bus, hoặc đối tượng pgmq khai báo hay cấp quyền sai"
+  meaning_vi: "Hàng đợi là BullMQ trên Redis (ruling:R212/case-10), nhưng các migration đang hoạt động vẫn để lại một hàng đợi pgmq trùng tên một hằng hàng đợi trong modules/queues, hoặc một hàng đợi pgmq không được hằng literal *_TOPIC_QUEUE nào trong platform/event-bus đặt tên (hay một hằng như vậy không có hàng đợi pgmq); hoặc pgmq.create không có tên literal trong migration, tên hằng không phải literal, hay quyền trên đối tượng pgmq vượt vai trò ứng dụng."
   causes_vi:
-    - "Vi phạm R258: mã nguồn, migration và quyền truy cập không khai báo cùng hàng đợi."
-  nextStep_vi: "Đối chiếu hằng hàng đợi với pgmq.create và chỉ cấp quyền trên q_<queue>, a_<queue> cho vai trò ứng dụng."
+    - "Vi phạm R258: hàng đợi của app vẫn chạy trên Supabase Queues (pgmq) thay vì BullMQ trên Redis."
+    - "Một hàng đợi pgmq bị bỏ lại hoặc đổi tên mà không có chủ event-bus."
+    - "Migration, mã nguồn hoặc quyền truy cập khai báo đối tượng pgmq ngoài migration tĩnh hoặc cho vai trò khác vai trò ứng dụng."
+  nextStep_vi: "Chuyển hàng đợi sang BullMQ trên Redis đã khai báo, rồi xóa hàng đợi pgmq bằng pgmq.drop_queue trong một migration mới; hàng đợi topic của event bus được đặt tên bằng một hằng literal *_TOPIC_QUEUE trong platform/event-bus; chỉ cấp quyền trên q_<queue>, a_<queue> cho vai trò ứng dụng."
   owner: op-retry
   kind: check-finding
 
@@ -2097,6 +2124,26 @@ FE_APP_ISOLATION:
   owner: op-retry
   kind: check-finding
 
+FE_APP_SHELL_BOTTOM_TABS:
+  title: "The application shell has a bottom tab bar"
+  title_vi: "Khung ứng dụng có thanh tab dưới"
+  meaning_vi: "Khung ứng dụng tại <file> đặt điều hướng trong thanh tab dưới thay vì Sidebar drawer."
+  causes_vi:
+    - "Cấu trúc shell không theo canon ứng dụng."
+  nextStep_vi: "Dùng hàng mở drawer bên dưới navbar và Sidebar presentation=\"drawer\"."
+  owner: op-retry
+  kind: check-finding
+
+FE_APP_SHELL_FRAME:
+  title: "The application frame is not a fixed WorkspaceShell"
+  title_vi: "Khung ứng dụng không dùng WorkspaceShell cố định"
+  meaning_vi: "Khung ứng dụng tại <file> không giao bố cục và cuộn cho WorkspaceShell."
+  causes_vi:
+    - "Cấu trúc shell không theo canon ứng dụng."
+  nextStep_vi: "Ghép khung ứng dụng bằng WorkspaceShell viewport=\"fixed\"."
+  owner: op-retry
+  kind: check-finding
+
 FE_BLOCK_PRODUCT_HOOK_DEFINITION:
   title: "Block defines a product hook"
   title_vi: "Khối giao diện tự định nghĩa hook sản phẩm"
@@ -2424,6 +2471,17 @@ FE_LIST_KEY:
   owner: op-retry
   kind: check-finding
 
+FE_LIST_PANEL_PADDING:
+  title: "Panel list wrapper stacks horizontal content padding"
+  title_vi: "Phần tử bọc danh sách trong panel cộng dồn padding ngang"
+  meaning_vi: "Ứng dụng thêm px-*, ps-* hoặc pe-* vào phần tử bọc ListBox của Grammar hoặc nhãn nhóm, khiến nội dung lệch khỏi mép panel."
+  causes_vi:
+    - "Bọc ListBox bằng phần tử có padding ngang"
+    - "Thêm padding ngang quanh nhãn nhóm của danh sách"
+  nextStep_vi: "Bỏ padding của phần tử bọc và dùng ListBox inset=\"panel\" để các hàng và nhãn nhóm thẳng mép nội dung của panel."
+  owner: "op-retry"
+  kind: "check-finding"
+
 FE_NATIVE_FORM_CONTROL:
   title: "No raw form controls, native images or raw structural tags in product tiers; the grammar renders them"
   title_vi: "Control form thô"
@@ -2444,6 +2502,47 @@ FE_NATIVE_IMAGE:
   owner: op-retry
   kind: check-finding
 
+FE_NAVBAR_CLUSTER:
+  title: "The navbar right cluster has the wrong kinds or order"
+  title_vi: "Cụm bên phải navbar sai loại hoặc thứ tự"
+  meaning_vi: "Cụm navbar tại <file> không giữ thứ tự ngôn ngữ, giao diện, thông báo và tài khoản."
+  causes_vi:
+    - "Cấu trúc shell không theo canon ứng dụng."
+  nextStep_vi: "Ghép IconButton ngôn ngữ, Switch giao diện, IconButton chuông và AvatarButton theo đúng thứ tự."
+  owner: op-retry
+  kind: check-finding
+
+FE_NAVBAR_CONTROL_SIZE:
+  title: "A navbar control does not use the control size"
+  title_vi: "Điều khiển navbar không dùng cỡ control"
+  meaning_vi: "Điều khiển trong navbar tại <file> không khai báo cùng cỡ control của Grammar."
+  causes_vi:
+    - "Cấu trúc shell không theo canon ứng dụng."
+  nextStep_vi: "Đặt size=\"control\" trên từng điều khiển trong thanh."
+  owner: op-retry
+  kind: check-finding
+
+FE_NAVBAR_CREATE:
+  title: "A create action is placed in the navbar"
+  title_vi: "Thao tác tạo mới nằm trong navbar"
+  meaning_vi: "Navbar tại <file> chứa thao tác tạo mới thuộc nội dung trang."
+  causes_vi:
+    - "Cấu trúc shell không theo canon ứng dụng."
+  nextStep_vi: "Đưa thao tác tạo mới về trang sở hữu nó."
+  owner: op-retry
+  kind: check-finding
+
+FE_NESTED_VARIANT:
+  title: "Nested control or surface paint bypasses Grammar ownership"
+  title_vi: "Trường lồng hoặc nền surface vượt quyền sở hữu của Grammar"
+  meaning_vi: "Trường bên trong surface Grammar ép variant primary, hoặc ứng dụng tự tô nền bằng bg-surface thay vì dùng composition của Grammar."
+  causes_vi:
+    - "Truyền variant primary cho trường bên trong một surface"
+    - "Thêm lớp bg-surface vào phần tử do ứng dụng dựng"
+  nextStep_vi: "Dùng surface của Grammar và bỏ variant của trường lồng bên trong để Grammar tự cấp secondary."
+  owner: "op-retry"
+  kind: "check-finding"
+
 FE_NEXT_CONVENTIONS:
   title: "A Next convention of HFS is broken"
   title_vi: "Vi phạm quy ước Next của HFS"
@@ -2757,22 +2856,22 @@ FE_STACK_CORE_MISSING:
   kind: check-finding
 
 FE_STACK_FORBIDDEN:
-  title: "A front end depends on or imports a package that knowledge/hfs/fe-stack.yaml forbids"
-  title_vi: "Front end dùng thư viện bị fe-stack cấm"
-  meaning_vi: "`<path>` khai báo phụ thuộc hoặc import `<package>`, thư viện nằm trong `forbids` của concern `<concern>` trong knowledge/hfs/fe-stack.yaml; mỗi concern chỉ có một thư viện chuẩn."
+  title: "A front end declares or imports a package or scoped package family forbidden by the stack"
+  title_vi: "Front end dùng thư viện hoặc họ package bị fe-stack cấm"
+  meaning_vi: "`<path>` khai báo hoặc import `<package>` thuộc `forbids` của concern `<concern>` trong knowledge/hfs/fe-stack.yaml; danh sách có thể cấm cả họ package theo scope."
   causes_vi:
-    - "Vi phạm luật R244: front end dùng đúng thư viện chuẩn của từng concern trong fe-stack.yaml (phiên bản ở canon-pins.yaml), không cài thư viện thay thế bên cạnh."
-  nextStep_vi: "Gỡ `<package>` khỏi package.json và thay import bằng thư viện chuẩn của concern đó; nếu cần một concern mới, thêm nó vào fe-stack.yaml và canon-pins.yaml trước."
+    - "Vi phạm R244: app dùng thư viện thay thế hoặc tự import phụ thuộc do Grammar sở hữu, như @dicebear/*."
+  nextStep_vi: "Gỡ dependency và import bị cấm, dùng thư viện chuẩn của concern. Với @dicebear/*, truyền id định danh qua prop seed trên Grammar Avatar, AvatarButton hoặc từng thành viên AvatarGroup; Grammar giữ các dependency DiceBear và vẽ avatar."
   owner: op-retry
   kind: check-finding
 
 FE_STACK_UNLISTED:
-  title: "A front-end dependency is absent from the stack catalog"
-  title_vi: "Thư viện front end chưa được khai báo trong danh mục"
-  meaning_vi: "Một package.json của front end khai báo thư viện không có trong knowledge/hfs/fe-stack.yaml và không có ngoại lệ fe.extraPackages kèm lý do trong hfs.json."
+  title: "A direct front-end dependency is absent from the stack catalog"
+  title_vi: "Phụ thuộc trực tiếp của front end chưa có trong danh mục"
+  meaning_vi: "Manifest của workspace front end khai báo trực tiếp thư viện không có trong knowledge/hfs/fe-stack.yaml và không có fe.extraPackages kèm lý do trong hfs.json. Phụ thuộc runtime được package Grammar đã có trong danh mục mang theo không phải khai báo của app và không gây mã lỗi này."
   causes_vi:
-    - "Thêm thư viện ngoài danh mục mà chưa ghi rõ tên và lý do sử dụng."
-  nextStep_vi: "Dùng thư viện chuẩn của concern hoặc khai báo tên và lý do cụ thể trong fe.extraPackages của hfs.json."
+    - "Thêm phụ thuộc trực tiếp ngoài danh mục mà chưa ghi rõ tên và lý do sử dụng."
+  nextStep_vi: "Dùng thư viện chuẩn hoặc khai báo tên và lý do trong fe.extraPackages. Dependency bị cấm vẫn gây FE_STACK_FORBIDDEN; với @dicebear/*, dùng prop seed trên Grammar Avatar, AvatarButton hoặc thành viên AvatarGroup và gỡ dependency trực tiếp."
   owner: op-retry
   kind: check-finding
 
@@ -2813,6 +2912,17 @@ FE_STYLE_TOKEN_ONLY:
   owner: other-op:interface.implement
   kind: check-finding
 
+FE_SUBSCRIPTION_NO_SNAPSHOT:
+  title: "A subscription hook does not revalidate its snapshot when the stream opens"
+  title_vi: "Hook đăng ký không đọc lại ảnh chụp trạng thái khi luồng mở"
+  meaning_vi: "Tệp <file> gọi operation luồng (SSE hoặc GraphQL subscription) mà không truyền onOpen để đọc lại truy vấn trạng thái; luồng chỉ mang thay đổi, không mang trạng thái, nên màn hình lỡ các thay đổi trong lúc mất kết nối."
+  causes_vi:
+    - "Lời gọi operation luồng không có onOpen"
+    - "onOpen rỗng nên truy vấn trạng thái không được đọc lại"
+  nextStep_vi: "Truyền onOpen: () => void mutate(<khóa truy vấn trạng thái>) cho operation luồng trong hook useSubscribe."
+  owner: op-retry
+  kind: check-finding
+
 FE_SUPABASE_CLIENT_OWNER:
   title: "A front-end Supabase import or call is outside `fe.modules.auth`, or reaches past the auth API"
   title_vi: "Supabase phía front end ngoài modules/auth hoặc dùng ngoài API auth"
@@ -3067,6 +3177,28 @@ HFS_AUDIT_STEP_MISSING:
   owner: op-retry
   kind: check-finding
 
+HFS_BACKING_UNDECLARED:
+  title: "A lite app uses undeclared Redis or full-only Qdrant instead of Supabase pgvector"
+  title_vi: "App lite dùng Redis chưa khai báo hoặc Qdrant chỉ thuộc full thay cho Supabase pgvector"
+  meaning_vi: "package.json có client Redis hoặc hfs.json khai pattern cần Redis (queue, fenced-job) nhưng sides.be.backing chưa khai redis, hoặc app lite dùng client Qdrant. Lite chỉ cho phép khai redis; vector nằm trong Supabase pgvector (owner:lite-vector-is-pgvector). Full giữ Qdrant khi được khai báo."
+  causes_vi:
+    - "Thêm client Redis mà chưa khai redis, hoặc thêm client Qdrant vào lite dù có khai báo"
+    - "Khai pattern queue hoặc fenced-job mà chưa khai báo redis"
+  nextStep_vi: "Khai redis cho năng lực cần nó hoặc gỡ client hay pattern; thay Qdrant bằng Supabase pgvector trong lite. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
+HFS_BACKING_UNUSED:
+  title: "A lite app declares Redis without a consuming client"
+  title_vi: "App lite khai Redis nhưng không có client sử dụng"
+  meaning_vi: "hfs.json sides.be.backing của lite khai redis nhưng package.json không có client Redis, nên stack sẽ chạy dịch vụ không có người dùng. Lite chỉ cho phép khai redis; vector dùng Supabase pgvector (owner:lite-vector-is-pgvector)."
+  causes_vi:
+    - "Năng lực cần dịch vụ đã bị gỡ nhưng khai báo vẫn còn"
+    - "Khai báo dịch vụ trước khi thêm thư viện client"
+  nextStep_vi: "Gỡ dịch vụ khỏi sides.be.backing, hoặc thêm năng lực và thư viện client cần nó. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
+  owner: op-retry
+  kind: check-finding
+
 HFS_BYPASS_MARKER:
   title: "A product repository holds no bypass of a check"
   title_vi: "Kho có đoạn bỏ qua một bước kiểm tra"
@@ -3388,7 +3520,7 @@ HFS_EDITION_FORBIDDEN_PRESENT:
     - "package.json còn script test*, typecheck:tests hoặc dependency jest/vitest/playwright"
     - "Tệp cấu hình công cụ kiểm thử không ô nào cấm riêng vẫn nằm trong cây"
     - "hfs.json khai ứng dụng worker, một pattern sự kiện hoặc một loại trigger mà lite đã bỏ"
-  nextStep_vi: "Xoá phần thuộc ấn bản full (không có gì thay thế trong lite), hoặc nâng kho lên edition full khi nội dung này là thật. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
+  nextStep_vi: "Xoá phần thuộc ấn bản full (không có gì thay thế trong lite). Ấn bản được chọn một lần lúc scaffold và không có lối nâng lite lên full: khi sản phẩm cần nội dung này, dựng một ứng dụng full mới rồi chuyển mã sản phẩm sang. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
   owner: op-retry
   kind: check-finding
 
@@ -3398,6 +3530,7 @@ HFS_EDITION_INVALID:
   meaning_vi: "Trường edition của hfs.json chỉ nhận một giá trị thuộc danh sách editions của bảng kê ô (full, lite); vắng mặt nghĩa là full. Một giá trị khác là lỗi khai báo, kiểm tra bị từ chối."
   causes_vi:
     - "hfs.json ghi edition với giá trị ngoài full/lite (gõ sai, hoặc một ấn bản bảng kê không biết)"
+    - "`starci app check --edition <ấn bản>` hoặc `starci app upgrade --edition <ấn bản>` chọn ấn bản khác với ấn bản hfs.json khai: ấn bản cố định từ lúc scaffold"
   nextStep_vi: "Sửa edition thành một giá trị trong danh sách editions của bảng kê, hoặc bỏ trường để về full. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra; không cần ai can thiệp thêm."
   owner: op-retry
   kind: check-finding
@@ -3546,7 +3679,7 @@ HFS_HOST_CRON:
   meaning_vi: "Tệp triển khai hoặc script tại <path> khai báo crontab, cron.d, systemd timer, @reboot hoặc at; lịch chạy phải do ứng dụng sở hữu."
   causes_vi:
     - "Vi phạm R250: cài lịch chạy ngoài scheduler của ứng dụng hoặc replicated-job đã khai báo."
-  nextStep_vi: "Chuyển tác vụ sang scheduler của back end, pgmq/pg_cron hoặc replicated-job đã khai báo và gọi lệnh CLI của ứng dụng."
+  nextStep_vi: "Chuyển tác vụ sang scheduler hàng đợi của back end, một tick pg_cron enqueue qua outbox hàng đợi hoặc replicated-job đã khai báo và gọi lệnh CLI của ứng dụng."
   owner: op-retry
   kind: check-finding
 
@@ -4139,12 +4272,13 @@ HFS_STACKS_IN_SIDE:
   kind: check-finding
 
 HFS_STACKS_SHAPE:
-  title: "`.starcistacks` has the standard shape and the host Sonar owner"
-  title_vi: "Hình dạng .starcistacks sai"
-  meaning_vi: "`.starcistacks` có `<path>` ngoài hình dạng chuẩn (danh sách allows của slot app.starcistacks, gồm cả infra/metadata.json) (hoặc còn trỏ `.stacks`)."
+  title: "`.starcistacks` violates the edition layout or Docker deployment requirements"
+  title_vi: "Hình dạng hoặc runtime .starcistacks sai"
+  meaning_vi: "Cây .starcistacks không khớp slot app.starcistacks, hoặc khai báo và mô hình Docker không nhất quán. Mọi dependency trong dev phải có container Docker Linux; Supabase dùng CLI cục bộ. Trong production, app và dependency dùng Swarm, trừ Supabase là dịch vụ hosted. Chỉ Supabase được khai trong backing; dependency khác phải là component Docker."
   causes_vi:
-    - "Vi phạm luật R10: `.starcistacks/<env>/` chỉ có `README.md`, `environment.json`, `infra/{compose,k8s,terraform}`, `runtime/{config,env}`, `secrets/`, `seeds/`; khối sonar là `owner: host` trỏ `.claude/ext/sonar`; không còn gốc `.stacks`."
-  nextStep_vi: "Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra (nợ hàng loạt có codemod của HFS); không cần ai can thiệp thêm."
+    - "Vi phạm R10 về cây theo edition, Sonar thuộc host hoặc runtime Swarm."
+    - "Dependency đã chọn thiếu container trong mô hình, khai platform Windows hoặc dùng backing hosted khác Supabase (owner:dev-docker-prod-swarm)."
+  nextStep_vi: "Sửa cây theo slot app.starcistacks và khai dependency dưới components với bằng chứng Docker Linux; giữ Supabase CLI trong dev và hosted trong production. App có thể chạy native trong profile dev đã khai báo; dependency vẫn nằm trong Docker. Op vừa tạo ra bản này sẽ được chạy lại để sửa theo lời nhắn của bộ kiểm tra."
   owner: op-retry
   kind: check-finding
 
@@ -4155,7 +4289,18 @@ HFS_STARCIWORK_LITE_FORBIDDEN:
   causes_vi:
     - "Ứng dụng lite còn index.yaml, shell/, features/, _resources/, uat hoặc br trong .starciwork"
     - "Có tệp khác nằm ngoài workspace.yaml, brand/ và .gitignore trong Work của lite"
-  nextStep_vi: "Giữ nguyên workspace.yaml, brand/** và .gitignore, chuyển nội dung khác ra khỏi .starciwork hoặc nâng ứng dụng lên edition full nếu cần các bản ghi đó, rồi chạy lại kiểm tra."
+  nextStep_vi: "Giữ nguyên workspace.yaml, brand/** và .gitignore, chuyển nội dung khác ra khỏi .starciwork (lite không lên full được: khi cần các bản ghi đó, dựng một ứng dụng full mới), rồi chạy lại kiểm tra."
+  owner: op-retry
+  kind: check-finding
+
+HFS_TEXT_CORRUPT:
+  title: "A Vietnamese message catalog lost its diacritics"
+  title_vi: "Danh mục thông điệp tiếng Việt bị mất dấu"
+  meaning_vi: "Một tệp thông điệp (messages.ts hoặc vi.json) không phải UTF-8 hợp lệ, hoặc chuỗi tiếng Việt có dấu hỏi chấm hay ký tự thay thế U+FFFD ở chỗ lẽ ra là chữ có dấu."
+  causes_vi:
+    - "Tệp được ghi lại qua một đường ống hoặc lệnh shell không giữ UTF-8."
+    - "Biên tập bằng công cụ chuyển mã làm mất chữ có dấu."
+  nextStep_vi: "Viết lại chuỗi tiếng Việt bằng trình soạn thảo hoặc Node theo UTF-8 tại đường dẫn và dòng được báo; không dùng đường ống shell."
   owner: op-retry
   kind: check-finding
 
@@ -4744,17 +4889,6 @@ RT_FACT_FALSE:
   owner: supervisor
   kind: check-finding
 
-RT_GATE_LOOSENING:
-  title: "A change loosens a gate"
-  title_vi: "Một thay đổi nới lỏng cổng kiểm"
-  meaning_vi: "Bỏ một kiểm tra khỏi danh sách của cổng, hạ ngưỡng, thêm một mục vào allowlist, xoá hoặc làm yếu một spec cùng lúc với mã sản phẩm luôn bị chặn; không có phê duyệt nào cho nới lỏng đi qua, kể cả của chủ (owner ruling loosening-always-red, 2026-10-22)."
-  causes_vi:
-    - "Một lane gỡ kiểm tra hoặc hạ ngưỡng để cho workflow chạy qua"
-    - "Một spec bị xoá hoặc bớt khẳng định trong cùng thay đổi với mã sản phẩm"
-  nextStep_vi: "Khôi phục mọi cổng được liệt kê rồi land lại; không có đường duyệt cho nới lỏng."
-  owner: owner
-  kind: check-finding
-
 RT_GENERATED_BLOCK_STALE:
   title: "A generated README block or derived field differs from its source"
   title_vi: "Khối README sinh tự động khác nguồn của nó"
@@ -4823,6 +4957,18 @@ RT_IDENTIFIER_UNDECLARED:
   owner: supervisor
   kind: check-finding
 
+RT_LOOSENING_STATE:
+  title: "The tree holds a loosened gate"
+  title_vi: "Cây mã đang giữ một cổng kiểm bị nới lỏng"
+  meaning_vi: "Cây mã hiện tại có một cách bỏ qua kiểm tra (chú thích tắt luật, bỏ qua kiểu hoặc độ phủ, test bị bỏ qua hoặc chỉ chạy một phần, lỗi bị nuốt trong script hay workflow), một mục ignore hoặc exclude mà canon không sinh ra và bảng design-truths không cho phép, một ngưỡng bị hạ, một công tắc nới lỏng, một luật bị tắt, hoặc một tệp ngoại lệ không có trong bảng. Kiểm tra đọc trạng thái cây, không đọc lịch sử; không có phê duyệt nào cho nới lỏng đi qua, kể cả của chủ (owner ruling loosening-always-red)."
+  causes_vi:
+    - "Một lane thêm chú thích tắt luật, bỏ qua test hoặc nuốt lỗi để workflow chạy qua"
+    - "Một mục ignore, exclude hoặc ngưỡng độ phủ bị sửa tay thay vì sinh từ canon"
+    - "Một tệp allowlist, approval hoặc baseline được thêm mà bảng design-truths không liệt kê"
+  nextStep_vi: "Sửa nguyên nhân để kiểm tra được thỏa rồi xoá phần nới lỏng; một ngoại lệ có thật chỉ vào được knowledge/hfs/design-truths.yaml bằng quyết định của chủ."
+  owner: owner
+  kind: check-finding
+
 RT_NODE_MODULES_LINK:
   title: "node_modules linked instead of installed"
   title_vi: "node_modules được liên kết thay vì cài đặt"
@@ -5175,13 +5321,26 @@ STACKS_INGRESS_UNKNOWN:
   owner: op-retry
   kind: check-finding
 
+STACKS_LITE_REDIS_PERSISTENCE:
+  title: "The declared lite Redis is not one persisted, non-evicting stack service"
+  title_vi: "Redis đã khai báo của lite không phải một dịch vụ duy nhất có AOF và không evict"
+  meaning_vi: "hfs.json sides.be.backing khai báo redis nhưng stack lite không chạy đúng một dịch vụ Redis; hoặc dịch vụ Redis không chạy với --appendonly yes, không mount một named volume ghi được tại /data, hay đặt --maxmemory-policy khác noeviction. Job của hàng đợi nằm trong Redis nên khởi động lại hoặc evict sẽ làm mất chúng."
+  causes_vi:
+    - "Vi phạm R276 (ruling:R212/case-10): Redis đã khai báo không được render trong stack, hoặc được render nhiều lần."
+    - "Lệnh redis-server thiếu --appendonly yes, hoặc đặt maxmemory-policy evict khóa (allkeys-lru, volatile-ttl...)."
+    - "Dịch vụ Redis không mount named volume vào /data, hoặc mount chỉ đọc, hoặc volume không được định nghĩa trong mô hình."
+  nextStep_vi: "Render đúng một dịch vụ Redis, chạy redis-server với --appendonly yes, giữ maxmemory-policy noeviction (mặc định; khóa cache đặt TTL) và mount một named volume ghi được tại /data, khai báo volume đó trong mô hình và trong components.redis.volumes."
+  owner: op-retry
+  kind: check-finding
+
 STACKS_LITE_SELFHOSTED_DB:
-  title: "A lite deployment runs a self-hosted backing database"
-  title_vi: "Triển khai lite đang chạy cơ sở dữ liệu tự quản"
-  meaning_vi: "Tập component hoặc mô hình triển khai của lite chứa image PostgreSQL, Redis hoặc MongoDB thay vì backing Supabase được quản lý."
+  title: "A lite deployment runs PostgreSQL, MongoDB, Qdrant or undeclared Redis"
+  title_vi: "Triển khai lite chạy PostgreSQL, MongoDB, Qdrant hoặc Redis chưa khai báo"
+  meaning_vi: "Tập component hoặc mô hình triển khai của lite chứa image PostgreSQL, MongoDB hoặc Qdrant, dù có khai báo, hoặc chứa Redis chưa khai trong sides.be.backing. Lite dùng Supabase được quản lý và pgvector cho vector; full giữ Qdrant khi được khai báo (owner:lite-vector-is-pgvector)."
   causes_vi:
-    - "Vi phạm R276: topology lite thêm máy chủ dữ liệu mà chuẩn chỉ dành cho backing được quản lý."
-  nextStep_vi: "Gỡ image backing tự quản khỏi triển khai lite; dùng Supabase cho ứng dụng và SQLite trên volume được khai báo cho sidecar phù hợp."
+    - "Vi phạm R276: topology lite thêm máy chủ dữ liệu mà chuẩn dành cho Supabase được quản lý."
+    - "Stack lite chạy Qdrant, hoặc chạy Redis khi chưa khai dịch vụ cho năng lực cần nó."
+  nextStep_vi: "Gỡ image Postgres, Mongo hoặc Qdrant; dùng Supabase pgvector cho vector và SQLite trên volume được khai báo cho sidecar. Với Redis, khai redis trong sides.be.backing cho năng lực cần nó hoặc gỡ dịch vụ khỏi stack."
   owner: op-retry
   kind: check-finding
 
@@ -5216,12 +5375,12 @@ STACKS_PORT_PUBLISHED:
   kind: check-finding
 
 STACKS_REALTIME_SCALED:
-  title: "A lite realtime API does not pin one replica"
-  title_vi: "API Realtime của lite chưa ghim đúng một replica"
-  meaning_vi: "App API của lite có composition chứa feature be.feature.realtime.* nhưng dịch vụ Swarm chạy nhiều replica hoặc không ghim deploy.replicas: 1."
+  title: "A realtime API with several replicas runs the in-process hub"
+  title_vi: "API Realtime nhiều replica đang chạy hub trong tiến trình"
+  meaning_vi: "App API có composition chứa feature be.feature.realtime.* và dịch vụ Swarm chạy nhiều hơn một replica, nhưng REALTIME_HUB không chọn hub dùng chung (postgres hoặc redis) hoặc không được khai báo. Hub memory chỉ phục vụ một tiến trình nên tin đẩy ở replica này không tới client đang nghe ở replica khác."
   causes_vi:
-    - "Vi phạm R266: Realtime của lite chưa có topology chia sẻ trạng thái để phục vụ nhiều replica an toàn."
-  nextStep_vi: "Ghim deploy.replicas: 1 cho API Realtime của lite trong mô hình Swarm; giới hạn này không áp dụng cho bản full."
+    - "Vi phạm R266: deploy.replicas lớn hơn 1 nhưng hub realtime là hub memory của bản chạy một replica và của test."
+  nextStep_vi: "Khai báo REALTIME_HUB=postgres trong environment của API (hoặc redis), hoặc ghim deploy.replicas: 1 khi chỉ chạy một replica; xem BE-REALTIME-7 trong knowledge/patterns/be/realtime.yaml."
   owner: op-retry
   kind: check-finding
 

package/runtime/modules/kernel/hook-input.yaml

@@ -0,0 +1,6 @@
+minInputWindowMs: 5000
+maxBytes: 1048576
+outputTimeoutMs: 1000
+verdictTimeoutMs: 20000
+teardownTimeoutMs: 1000
+hookTimeoutSeconds: 30

package/runtime/modules/kernel/protected-zone.yaml

@@ -0,0 +1,81 @@
+# protected-zone.yaml - the PROTECTED ZONE of the runtime (one declaration, data only, no schema stamp).
+# The PROTECTED ZONE of the runtime (rule R224 RIGHTS_PROTECTED_ZONE; the three change paths of the source process).
+# This file is the ONE declaration: scripts/guards/protected-zone.mjs reads it, the command guard enforces it, and every
+# document cites the rule id, never a copy of the list.
+#
+# Path 1 (the owner edits .claude by prompt) may change anything here. Path 2 (the supervisor self-upgrading .claude: the
+# supervisor seat and its [Worker] jobs) may not edit a zone path or a catalog entry listed below; it files an owner
+# proposal instead. Path 3 (an op working on an app) never writes inside the runtime checkout at all (R224,
+# RIGHTS_OP_RUNTIME_WRITE): it records a lesson or an upgrade request.
+#
+# paths are repository-relative globs of a runtime checkout (any worktree of it); a trailing /** covers a subtree.
+zones:
+  - id: guard-and-rights
+    why: the command guard and the role rights it enforces
+    paths:
+      - scripts/guards/**
+      - scripts/lib/hook-limits.mjs
+      - modules/kernel/protected-zone.yaml
+      - modules/kernel/command-policy.yaml
+      - modules/kernel/hook-input.yaml
+      - scripts/hfs/runtime-rules/rights-policy.mjs
+  - id: release-and-hooks
+    why: the release cut, the push path and the git hooks every app and the runtime inherit
+    paths:
+      - scripts/supervisor/release-cut.mjs
+      - scripts/supervisor/push-git.mjs
+      - scripts/supervisor/push-mains.mjs
+      - scripts/supervisor/release-l4.mjs
+      - scripts/hfs/runtime-rules/release-notes.mjs
+      - scripts/hfs/runtime-rules/hook-shape.mjs
+      - packages/hfs/templates/app/hooks/**
+  - id: ci-triggers
+    why: which events start CI in the runtime, its examples and every scaffolded app
+    paths:
+      - .github/workflows/**
+      - packages/hfs/templates/app/ci-workflows/**
+      - scripts/hfs/runtime-rules/git-triggers.mjs
+      - examples/*/.github/workflows/**
+  - id: test-policy
+    why: the real tests of the runtime (the package clean-test and the scaffold e2e, owner ruling no-runtime-specs) and the specs.* switches decide how much is tested and when
+    paths:
+      - scripts/gates/runtime-tests.mjs
+      - scripts/gates/scaffold-e2e.mjs
+      - e2e/**
+      - config.example.yaml
+      - config.yaml
+  - id: host-lock
+    why: the one lock that serialises heavy runs on the host
+    paths:
+      - scripts/machine/host-lock.mjs
+  - id: permissions
+    why: the supervisor's own permission, hook and model settings
+    paths:
+      - .claude/settings.json
+      - .claude/settings.local.json
+      - .codex/**
+      - .devin/**
+# Catalog entries that enforce the zone. The files are shared with ordinary upgrades, so only an edit that names one of
+# these ids or codes is refused (the Edit tool's old and new text are read; a shell write to the file is refused outright).
+catalogEntries:
+  - file: knowledge/hfs/rules.yaml
+    ids: [R221, R222, R223, R224, R225]
+    codes: [CI_TRIGGERS_RELEASE_ONLY, RELEASE_NOTES, RIGHTS_ROLE_DENIED, RIGHTS_PROTECTED_ZONE, RT_HOOK_SHAPE]
+  - file: modules/kernel/failure-codes.yaml
+    ids: []
+    codes:
+      - RIGHTS_GIT_PUSH
+      - RIGHTS_GIT_TAG
+      - RIGHTS_GIT_SYNC
+      - RIGHTS_RAW_TOOL
+      - RIGHTS_GIT_COMMIT
+      - RIGHTS_NPM_PUBLISH
+      - RIGHTS_SUITE_RUN
+      - RIGHTS_NPM_CI_UNLOCKED
+      - RIGHTS_RELEASE_CUT
+      - RIGHTS_PROTECTED_ZONE
+      - RIGHTS_OP_RUNTIME_WRITE
+      - RIGHTS_PUSH_NOT_RELEASE
+      - RT_HOOK_SHAPE
+      - CI_TRIGGERS_RELEASE_ONLY
+      - RELEASE_NOTES

package/runtime/modules/kernel/removed-vocabulary.yaml

@@ -8,6 +8,27 @@
 # a word to scan for).
 kinds: [config-key, bias-field, verb, flag, code, vocabulary, file]
 removed:
+  - id: cut-seam-command
+    kind: flag
+    name: cut-seam --command
+    match: 'cut-seam[^\n]*--command\b'
+    use: 'cut-seam --reconcile reads the commands and selection from --checks-file'
+    since: 1.0.0-alpha.31
+  - id: cut-set-closing-check
+    kind: vocabulary
+    name: closingCheck
+    use: 'modules/kernel/check-policy.yaml#regression owns integration checks after job merges; closingOrdinal identifies only the final open ordinal'
+    since: 1.0.0-alpha.31
+  - id: verb-guard-input
+    kind: verb
+    name: starci guard input
+    use: 'the reference-transaction hook reads prepared ref updates directly in its shell loop'
+    since: 1.0.0-alpha.31
+  - id: hook-input-timeout-ms
+    kind: config-key
+    name: hook-input.timeoutMs
+    use: 'modules/kernel/hook-input.yaml declares the input window as minInputWindowMs'
+    since: 1.0.0-alpha.31
   - id: bias-require
     kind: bias-field
     name: require
@@ -339,3 +360,44 @@ removed:
     use: 'the runtime has no specs of its own (owner ruling no-runtime-specs); specs.unit and specs.e2e switch the product workflow tests'
     since: 1.0.0-alpha.19
     match: '\bspecs\.harness\b'
+  - id: file-supabase-queues-topic
+    kind: file
+    name: supabase-queues.yaml
+    use: 'the queue is BullMQ on Redis in both editions (ruling:R212/case-10): knowledge/patterns/be/queues.yaml owns the adapter, and each pattern topic''s liteAdapter says what lite uses with and without its declared backing service'
+    since: 1.0.0-alpha.31
+    match: '(?<![\w-])supabase-queues(?:\.yaml)?\b'
+  - id: code-rt-gate-loosening
+    kind: code
+    name: RT_GATE_LOOSENING
+    use: 'the tree is judged as it stands, never by its history: RT_LOOSENING_STATE (the loosening-state self-check) with the design-truths manifest knowledge/hfs/design-truths.yaml'
+    since: 1.0.0-alpha.31
+  - id: vocabulary-gate-loosening
+    kind: vocabulary
+    name: gate-loosening
+    use: 'the diff-based detector and its table are gone: the loosening-state self-check (scripts/checks/check-loosening-state.mjs) reads the tree as it stands against knowledge/hfs/design-truths.yaml'
+    since: 1.0.0-alpha.31
+    match: 'gate-loosening|gateLoosening|loosensReleased|looseningsOf|check-code-loosening'
+  - id: verb-runtime-benchmark-snapshot
+    kind: verb
+    name: starci runtime benchmark-snapshot
+    use: 'routing evidence is read live from the ledgers: `starci machine op-metrics --by op` and the ledger view v_model_scorecard (modules/models/registry.yaml costPolicy)'
+    since: 1.0.0-alpha.31
+    match: '(?<![\w-])benchmark-snapshot(?![\w-])'
+  - id: vocab-benchmark-scorecard
+    kind: vocabulary
+    name: the benchmark/ model-pool scorecard
+    use: 'routing evidence is read live from the ledgers: `starci machine op-metrics --by op` and the ledger view v_model_scorecard (modules/models/registry.yaml costPolicy)'
+    since: 1.0.0-alpha.31
+    match: '(?<![\w./-])benchmark/(?:README\.md|expectations\.yaml|snapshots\b|findings\b)|benchmark-expectations@1'
+  - id: slot-runtime-benchmark
+    kind: vocabulary
+    name: runtime.benchmark
+    use: 'the runtime tree has no benchmark slot; routing evidence is read live from the ledgers (modules/models/registry.yaml costPolicy)'
+    since: 1.0.0-alpha.31
+    match: '\bruntime\.benchmark\b'
+  - id: config-release-tagmatchesversion
+    kind: config-key
+    name: release.tagMatchesVersion
+    use: 'the release tag is always <release.tagPrefix><package.json version>; delete the key'
+    since: 1.0.0-alpha.31
+    match: '\btagMatchesVersion\b'