@sungen/driver-data-factory 3.2.10-beta.11

package/common/field-types/currency.yaml

@@ -0,0 +1,20 @@
+# Field-type: currency (money) — from common-checklist.xlsx (Input box · Currency).
+type: currency
+description: Số tiền — số nguyên/thập phân theo đơn vị tiền tệ; lưu ý leading-zero & giá trị 0.
+constraints:
+  min: 0
+  max: 999999999   # placeholder
+  decimalPlaces: 0 # placeholder (JPY=0, USD=2 …)
+valid:
+  - { id: CHK-CUR-01, value: "1000", note: "số tiền hợp lệ" }
+  - { id: CHK-CUR-02, value: "0", note: "giá trị 0 phải hiểu là 0, KHÔNG phải 'chưa nhập'" }
+boundary:
+  - { id: CHK-CUR-B1, gen: "Min / Min+1" }
+  - { id: CHK-CUR-B2, gen: "Max / Max-1" }
+invalid:
+  - { id: CHK-CUR-I1, gen: "chữ cái / ký tự lạ", reason: "không phải số", errorRef: M13 }
+  - { id: CHK-CUR-I2, gen: "Min-1 / Max+1", reason: "vượt biên", errorRef: M13 }
+  - { id: CHK-CUR-I3, value: "", reason: "rỗng (tuỳ spec)", errorRef: M02 }
+notes:
+  - "Kiểm tra riêng: leading zero (0100) có bị cắt mất không; format hiển thị dấu phân cách nghìn."
+uses_security: [sqli]

package/common/field-types/email.yaml

@@ -0,0 +1,30 @@
+# Field-type: email — seeded from common-checklist.xlsx (Input box · Email) + phuong-phap §Nguồn-2.
+# errorRef (Mxx) are PLACEHOLDERS — the generator maps them onto the project's real message codes;
+# if the project spec has none, the value is marked as a chua-chot (open) point, not invented.
+type: email
+description: Email half-width, format <local-part>@<domain>
+format: "<local-part>@<domain>"
+constraints:
+  charset: half-width
+  maxLocal: 64
+  maxTotal: 255
+uses_security: [sqli, xss]
+valid:
+  - { id: CHK-EMAIL-01, value: "user@example.com", note: "normal half-width" }
+  - { id: CHK-EMAIL-02, value: "u.name+tag@sub.example.co.jp", note: "dotted local + subdomain" }
+boundary:
+  - { id: CHK-EMAIL-B1, gen: "local@ đúng maxLocal", note: "local part = max (64)" }
+  - { id: CHK-EMAIL-B2, gen: "local@ maxLocal-1", note: "local part = max-1" }
+  - { id: CHK-EMAIL-B3, gen: "chuỗi tổng = maxTotal", note: "total length = max (255)" }
+invalid:
+  - { id: CHK-EMAIL-I1, value: "user@", reason: "thiếu domain", errorRef: M13 }
+  - { id: CHK-EMAIL-I2, value: "user@.com", reason: "dấu . sai vị trí", errorRef: M13 }
+  - { id: CHK-EMAIL-I3, value: "u@@b.com", reason: "hai dấu @", errorRef: M13 }
+  - { id: CHK-EMAIL-I4, value: "@example.com", reason: "thiếu local-part", errorRef: M13 }
+  - { id: CHK-EMAIL-I5, value: "ｕｓｅｒ@example.com", reason: "full-width character", errorRef: M39 }
+  - { id: CHK-EMAIL-I6, gen: "local > 64 ký tự", reason: "vượt maxLocal", errorRef: M13 }
+  - { id: CHK-EMAIL-I7, gen: "tổng > 255 ký tự", reason: "vượt maxTotal", errorRef: M13 }
+  - { id: CHK-EMAIL-I8, value: "", reason: "rỗng (required)", errorRef: M02 }
+notes:
+  - "Chuẩn hoá: lowercase, NFKC, trim trước khi so khớp."
+  - "Soft-delete: nếu hệ thống gắn hậu tố vào email đã xoá mềm → test maxTotal THẤP hơn giới hạn cột DB để chừa chỗ hậu tố."

package/common/field-types/jp/katakana.yaml

@@ -0,0 +1,20 @@
+# Field-type: Katakana name (JP-specific) — from phuong-phap §Nguồn-2 (kinh nghiệm đặc thù JP).
+type: katakana
+description: Trường chỉ nhận Katakana (họ/tên kana trong hệ thống Nhật).
+constraints:
+  charset: "full-width Katakana only"
+valid:
+  - { id: CHK-KANA-01, value: "ヤマダ", note: "Katakana chuẩn" }
+  - { id: CHK-KANA-02, value: "ジョウジ", note: "có dakuten + trường âm hợp lệ" }
+boundary:
+  - { id: CHK-KANA-B1, gen: "đúng min / max độ dài" }
+invalid:
+  - { id: CHK-KANA-I1, value: "yamada", reason: "lẫn ký tự Latin", errorRef: M39 }
+  - { id: CHK-KANA-I2, value: "やまだ", reason: "lẫn Hiragana", errorRef: M39 }
+  - { id: CHK-KANA-I3, value: "山田", reason: "lẫn Kanji", errorRef: M39 }
+  - { id: CHK-KANA-I4, value: "ﾔﾏﾀﾞ", reason: "half-width kana (nếu spec chỉ nhận full-width)", errorRef: M39 }
+  - { id: CHK-KANA-I5, value: "ゝ々", reason: "ký tự lặp — có tiền lệ lỗi thật nhiều hệ thống", errorRef: M39 }
+  - { id: CHK-KANA-I6, value: "ャュョ", reason: "kana nhỏ đứng một mình / sai vị trí", errorRef: M39 }
+notes:
+  - "Chú ý: kana nhỏ (ゃゅょ), trường âm (ー), dakuten/handakuten, half↔full-width kana."
+uses_security: [sqli, xss]

package/common/field-types/number-float.yaml

@@ -0,0 +1,20 @@
+# Field-type: number (float) — from common-checklist.xlsx (Input box · Number_Float).
+type: number-float
+description: Số thập phân — chữ số + dấu thập phân; số chữ số phần lẻ theo spec.
+constraints:
+  min: 0.0          # placeholder
+  max: 999999.99    # placeholder
+  decimalPlaces: 2  # placeholder
+valid:
+  - { id: CHK-FLOAT-01, value: "123.45", note: "hợp lệ" }
+  - { id: CHK-FLOAT-02, value: "0.5", note: "phần nguyên = 0" }
+boundary:
+  - { id: CHK-FLOAT-B1, gen: "Min / Min+1" }
+  - { id: CHK-FLOAT-B2, gen: "Max / Max-1" }
+  - { id: CHK-FLOAT-B3, gen: "đúng số chữ số thập phân / thừa 1 chữ số" }
+invalid:
+  - { id: CHK-FLOAT-I1, gen: "chữ cái", reason: "không phải số", errorRef: M13 }
+  - { id: CHK-FLOAT-I2, gen: "format sai (nhiều dấu chấm, +/- sai vị trí)", reason: "format sai", errorRef: M13 }
+  - { id: CHK-FLOAT-I3, gen: "Min-1 / Max+1", reason: "vượt biên", errorRef: M13 }
+  - { id: CHK-FLOAT-I4, value: "", reason: "rỗng/multi-space (tuỳ spec)", errorRef: M02 }
+uses_security: [sqli]

package/common/field-types/number-integer.yaml

@@ -0,0 +1,21 @@
+# Field-type: number (integer) — from common-checklist.xlsx (Input box · Number_Integer).
+type: number-integer
+description: Số nguyên — chỉ chữ số, có thể có +/- ở vị trí hợp lệ.
+constraints:
+  min: 0          # placeholder theo spec
+  max: 2147483647 # placeholder
+valid:
+  - { id: CHK-INT-01, value: "123", note: "chỉ số" }
+  - { id: CHK-INT-02, value: "-45", note: "có dấu - đầu (nếu spec cho phép âm)" }
+boundary:
+  - { id: CHK-INT-B1, gen: "Min / Min+1" }
+  - { id: CHK-INT-B2, gen: "Max / Max-1" }
+invalid:
+  - { id: CHK-INT-I1, gen: "chữ cái", reason: "không phải số", errorRef: M13 }
+  - { id: CHK-INT-I2, gen: "số full-width (Japanese number)", reason: "full-width", errorRef: M39 }
+  - { id: CHK-INT-I3, gen: "+/- sai vị trí (giữa chuỗi)", reason: "format sai", errorRef: M13 }
+  - { id: CHK-INT-I4, gen: "Min-1 / Max+1", reason: "vượt biên", errorRef: M13 }
+  - { id: CHK-INT-I5, value: "", reason: "rỗng/multi-space (tuỳ spec)", errorRef: M02 }
+notes:
+  - "leading zero (007) có bị cắt không; redundant spaces trước/sau phải xử lý đúng."
+uses_security: [sqli]

package/common/field-types/password.yaml

@@ -0,0 +1,30 @@
+# Field-type: password — seeded from common-checklist.xlsx (Input box · Password) + phuong-phap example.
+type: password
+description: Password — độ dài + thành phần ký tự theo spec; kèm show/hide + mask.
+format: "theo ràng buộc spec (min/max, ≥1 hoa/thường/số tuỳ dự án)"
+constraints:
+  minLength: 7        # placeholder — ghi đè bằng min thật của spec dự án
+  maxLength: 20       # placeholder
+  requires: [uppercase, lowercase, digit]   # placeholder theo spec
+uses_security: [sqli, xss]
+valid:
+  - { id: CHK-PW-01, value: "Passw0rd", note: "đủ hoa+thường+số, trong khoảng" }
+  - { id: CHK-PW-02, note: "alpha only / numeric only / mix — nếu spec cho phép" }
+  - { id: CHK-PW-03, note: "ký tự đặc biệt hợp lệ theo spec (vd ._@)" }
+boundary:
+  - { id: CHK-PW-B1, gen: "đúng minLength", note: "min (vd Aa1bcde = 7)" }
+  - { id: CHK-PW-B2, gen: "minLength+1", note: "min+1" }
+  - { id: CHK-PW-B3, gen: "đúng maxLength", note: "max" }
+  - { id: CHK-PW-B4, gen: "maxLength-1", note: "max-1" }
+invalid:
+  - { id: CHK-PW-I1, value: "", reason: "rỗng/multi-space (required)", errorRef: M02 }
+  - { id: CHK-PW-I2, gen: "< minLength", reason: "dưới độ dài tối thiểu", errorRef: M29 }
+  - { id: CHK-PW-I3, gen: "> maxLength", reason: "vượt độ dài tối đa", errorRef: M30 }
+  - { id: CHK-PW-I4, value: "passw0rd", reason: "thiếu chữ hoa", errorRef: M31 }
+  - { id: CHK-PW-I5, value: "PASSW0RD", reason: "thiếu chữ thường", errorRef: M32 }
+  - { id: CHK-PW-I6, value: "Password", reason: "thiếu chữ số", errorRef: M33 }
+  - { id: CHK-PW-I7, gen: "full-width Japanese", reason: "ký tự full-width", errorRef: M39 }
+  - { id: CHK-PW-I8, gen: "space before/after hoặc giữa", reason: "khoảng trắng thừa", errorRef: M13 }
+notes:
+  - "Kiểm tra riêng: icon show/hide password (hiển thị + toggle mask↔unmask), ký tự mask đúng spec."
+  - "Confirm Password: kế thừa toàn bộ case của password + case (confirm == password) và (confirm != password → lỗi)."

package/common/field-types/phone.yaml

@@ -0,0 +1,23 @@
+# Field-type: phone number — from common-checklist.xlsx (Input box · Phone number).
+type: phone
+description: Số điện thoại — chỉ số, cho phép () - + ở vị trí hợp lệ.
+constraints:
+  charset: "digits + () - +"
+  minLength: 8      # placeholder theo spec
+  maxLength: 15     # placeholder
+valid:
+  - { id: CHK-PHONE-01, value: "0987654321", note: "chỉ số" }
+  - { id: CHK-PHONE-02, value: "+84-90-1234567", note: "có + và - đúng vị trí" }
+  - { id: CHK-PHONE-03, value: "(028)38221234", note: "có () đúng vị trí" }
+boundary:
+  - { id: CHK-PHONE-B1, gen: "đúng min / min+1" }
+  - { id: CHK-PHONE-B2, gen: "đúng max / max-1" }
+invalid:
+  - { id: CHK-PHONE-I1, gen: "ký tự cấm []:,;\"<>\\?", reason: "ký tự không hợp lệ", errorRef: M13 }
+  - { id: CHK-PHONE-I2, gen: "số Nhật (full-width)", reason: "ký tự full-width", errorRef: M39 }
+  - { id: CHK-PHONE-I3, gen: "chữ cái", reason: "không phải số", errorRef: M13 }
+  - { id: CHK-PHONE-I4, value: "090 123 4567", reason: "khoảng trắng giữa số", errorRef: M13 }
+  - { id: CHK-PHONE-I5, gen: "+/- không ở vị trí đầu; () sai vị trí", reason: "format sai", errorRef: M13 }
+  - { id: CHK-PHONE-I6, gen: "min-1 / max+1", reason: "vượt biên", errorRef: M13 }
+  - { id: CHK-PHONE-I7, value: "", reason: "rỗng/multi-space (tuỳ spec)", errorRef: M02 }
+uses_security: [sqli]

package/common/field-types/postcode.yaml

@@ -0,0 +1,16 @@
+# Field-type: postcode / zipcode — from common-checklist.xlsx (Input box · Postcode/Zipcode).
+type: postcode
+description: Mã bưu chính — format theo vùng (JP 7 số, có thể có dấu -).
+constraints:
+  format: "region-specific (vd JP: NNN-NNNN)"
+  length: 7   # placeholder
+valid:
+  - { id: CHK-ZIP-01, value: "1500001", note: "7 số (JP)" }
+  - { id: CHK-ZIP-02, value: "150-0001", note: "có dấu - nếu spec cho phép" }
+boundary:
+  - { id: CHK-ZIP-B1, gen: "đúng độ dài / độ dài-1 / +1" }
+invalid:
+  - { id: CHK-ZIP-I1, gen: "chữ cái / ký tự lạ", reason: "sai ký tự", errorRef: M13 }
+  - { id: CHK-ZIP-I2, gen: "sai format vùng", reason: "sai format", errorRef: M13 }
+  - { id: CHK-ZIP-I3, value: "", reason: "rỗng (tuỳ spec)", errorRef: M02 }
+uses_security: [sqli]

package/common/field-types/string.yaml

@@ -0,0 +1,20 @@
+# Field-type: string (text 1 dòng) — from common-checklist.xlsx (Input box · String).
+type: string
+description: Chuỗi 1 dòng — chấp nhận alnum, JP half/full-width, special, unicode, space.
+constraints:
+  minLength: 1      # placeholder theo spec
+  maxLength: 255    # placeholder
+uses_security: [sqli, xss]
+valid:
+  - { id: CHK-STR-01, value: "Normal text 123", note: "alnum + space" }
+  - { id: CHK-STR-02, gen: "half-width Japanese", note: "半角ｶﾅ" }
+  - { id: CHK-STR-03, gen: "full-width Japanese", note: "全角かな漢字" }
+  - { id: CHK-STR-04, gen: "special chars ~!@#$%^&*()_+{}:|<>?,./;'[]-=`", note: "ký tự đặc biệt hợp lệ" }
+  - { id: CHK-STR-05, gen: "unicode / emoji nếu spec cho phép" }
+  - { id: CHK-STR-06, gen: "copy-paste full-width JP", note: "phải xử lý đúng khi paste" }
+boundary:
+  - { id: CHK-STR-B1, gen: "đúng min / min+1" }
+  - { id: CHK-STR-B2, gen: "đúng max / max-1" }
+invalid:
+  - { id: CHK-STR-I1, value: "", reason: "rỗng/multi-space (success/fail tuỳ spec)", errorRef: M02 }
+  - { id: CHK-STR-I2, gen: "min-1 / max+1", reason: "vượt biên", errorRef: M13 }

package/common/security/broken-auth.yaml

@@ -0,0 +1,9 @@
+# Security payload bank: Broken authentication — from common-checklist.xlsx (Broken authentication).
+class: broken-auth
+description: Xác thực yếu — session/token/brute-force.
+payloads:
+  - { id: CHK-SEC-AUTH-01, technique: "brute force login không giới hạn", expect: "có lockout/captcha/rate-limit" }
+  - { id: CHK-SEC-AUTH-02, technique: "session không hết hạn sau logout / đổi mật khẩu", expect: "invalidate session cũ" }
+  - { id: CHK-SEC-AUTH-03, technique: "session fixation — dùng lại session id trước đăng nhập", expect: "cấp session mới sau login" }
+  - { id: CHK-SEC-AUTH-04, technique: "token đoán được / không hết hạn", expect: "token ngẫu nhiên mạnh, có TTL" }
+oracle: "Đăng nhập/duy trì phiên trái phép = lỗ hổng."

package/common/security/idor.yaml

@@ -0,0 +1,8 @@
+# Security payload bank: IDOR — from common-checklist.xlsx (Insecure Direct Object Reference).
+class: idor
+description: Insecure Direct Object Reference — đổi id để truy cập tài nguyên của người khác.
+payloads:
+  - { id: CHK-SEC-IDOR-01, technique: "đổi id trên URL/param sang record của user khác", expect: "403/404, KHÔNG lộ dữ liệu người khác" }
+  - { id: CHK-SEC-IDOR-02, technique: "đoán id tuần tự (1,2,3…) trên API detail", expect: "kiểm tra quyền sở hữu, từ chối" }
+  - { id: CHK-SEC-IDOR-03, technique: "thao tác (edit/delete) resource ngoài quyền qua id", expect: "chặn ở server, không chỉ ẩn UI" }
+oracle: "Truy cập/sửa được dữ liệu ngoài quyền = lỗ hổng. Kỳ vọng: authorization check theo ownership phía server."

package/common/security/input-validation.yaml

@@ -0,0 +1,8 @@
+# Security payload bank: Input validation — from common-checklist.xlsx (Input validation).
+class: input-validation
+description: Ràng buộc đầu vào phía server (không chỉ FE).
+payloads:
+  - { id: CHK-SEC-IV-01, technique: "vượt boundary khi FE bị bypass (gọi API trực tiếp)", expect: "server cũng chặn" }
+  - { id: CHK-SEC-IV-02, technique: "sai kiểu dữ liệu (string vào field số)", expect: "reject với lỗi hợp lệ" }
+  - { id: CHK-SEC-IV-03, technique: "control/null bytes, ký tự điều khiển", expect: "loại bỏ/reject" }
+oracle: "FE qua được nhưng BE phải chặn — test trực tiếp API bỏ qua FE."

package/common/security/sqli.yaml

@@ -0,0 +1,11 @@
+# Security payload bank: SQL Injection — from common-checklist.xlsx (SQL Injection sheet).
+# Reusable adversarial values injected into the `invalid` group of any field via uses_security: [sqli].
+class: sqli
+description: SQL Injection — dữ liệu đầu vào nhằm phá câu truy vấn / bypass xác thực.
+payloads:
+  - { id: CHK-SEC-SQLI-01, value: "admin' --", target: "login username", expect: "KHÔNG được đăng nhập bỏ qua mật khẩu" }
+  - { id: CHK-SEC-SQLI-02, value: "test' OR '1'='1", target: "ô tìm kiếm", expect: "KHÔNG trả về toàn bộ dữ liệu" }
+  - { id: CHK-SEC-SQLI-03, value: "test@test.com' OR '1'='1", target: "email đăng ký", expect: "xử lý hợp lệ, không lưu sai dữ liệu" }
+  - { id: CHK-SEC-SQLI-04, value: "test', isAdmin = 1 --", target: "sửa hồ sơ", expect: "KHÔNG nâng quyền trái phép" }
+  - { id: CHK-SEC-SQLI-05, value: "2023-01-01' OR '1'='1", target: "bộ lọc report", expect: "chỉ trả dữ liệu đúng filter" }
+oracle: "Bất kỳ dấu hiệu bypass/trả sai dữ liệu = lỗ hổng. Kỳ vọng: escape/parametrize an toàn, báo lỗi hợp lệ."

package/common/security/upload.yaml

@@ -0,0 +1,10 @@
+# Security payload bank: Upload file — from common-checklist.xlsx (Upload file function).
+class: upload
+description: Upload file độc / vượt ràng buộc.
+payloads:
+  - { id: CHK-SEC-UP-01, technique: "file trá hình extension (shell.php.jpg)", expect: "kiểm tra MIME thật + whitelist, từ chối" }
+  - { id: CHK-SEC-UP-02, technique: "MIME mismatch (đổi Content-Type)", expect: "verify nội dung thật" }
+  - { id: CHK-SEC-UP-03, technique: "oversize vượt giới hạn", expect: "báo lỗi kích thước" }
+  - { id: CHK-SEC-UP-04, technique: "path traversal trong tên file (../../)", expect: "sanitize tên file, lưu đúng thư mục" }
+  - { id: CHK-SEC-UP-05, technique: "tên file chứa <script> / metadata độc", expect: "xử lý an toàn, không render ra DOM" }
+oracle: "Thực thi/ghi ngoài phạm vi = lỗ hổng."

package/common/security/xss.yaml

@@ -0,0 +1,12 @@
+# Security payload bank: XSS Injection — from common-checklist.xlsx (XSS Injection sheet).
+class: xss
+description: Cross-Site Scripting — chèn script qua input/URL/attribute/file để thực thi trái phép.
+payloads:
+  - { id: CHK-SEC-XSS-01, value: "<script>alert('XSS')</script>", kind: "Reflected/Stored", expect: "hiển thị text thuần, KHÔNG thực thi script" }
+  - { id: CHK-SEC-XSS-02, value: "<img src=x onerror=alert(1)>", kind: "HTML attribute", expect: "không thực thi onerror" }
+  - { id: CHK-SEC-XSS-03, value: "<svg onload=alert(1)>", kind: "SVG payload", expect: "không thực thi onload / loại bỏ thuộc tính" }
+  - { id: CHK-SEC-XSS-04, value: "\"><script>alert(1)</script>", kind: "Attribute injection", expect: "không phá vỡ HTML, escape an toàn" }
+  - { id: CHK-SEC-XSS-05, value: "<a href=\"javascript:alert(1)\">click me</a>", kind: "Dangerous link", expect: "href bị vô hiệu / sanitize" }
+  - { id: CHK-SEC-XSS-06, value: "<script>alert(1)</script>.jpg", kind: "File name / metadata", expect: "tên file xử lý an toàn, không render ra DOM" }
+  - { id: CHK-SEC-XSS-07, value: "<h1>test</h1>", kind: "HTML injection", expect: "hiển thị dạng text, không render thẻ" }
+oracle: "Alert hiển thị / thẻ được render = lỗ hổng. Kỳ vọng: escape/sanitize, không innerHTML/eval user input."

package/common/techniques/boundary.yaml

@@ -0,0 +1,6 @@
+# Technique: Boundary Value Analysis — from phuong-phap §Nguồn-3.
+technique: boundary
+description: Khi field có min/max rõ ràng — sinh giá trị tại/quanh biên.
+rule: "Với [min,max]: sinh Min-1 (invalid), Min, Min+1, Max-1, Max, Max+1 (invalid)."
+applies_to: [number-integer, number-float, currency, string, password, phone, postcode]
+note: "Phải có 'đúng biên' (Min, Max), không chỉ 'quá biên' — off-by-one thường lọt ở đây."

package/common/techniques/decision-table.yaml

@@ -0,0 +1,6 @@
+# Technique: Decision Table — from phuong-phap §Nguồn-3.
+technique: decision-table
+description: Nhiều điều kiện kết hợp cùng ảnh hưởng 1 kết quả.
+rule: "Liệt kê tổ hợp điều kiện → hành động; sinh @cases theo mỗi rule row."
+applies_to: [login, permission, business-flow]
+example: "Login: mật khẩu đúng/sai × account khoá/không × 2FA bật/tắt."

package/common/techniques/equivalence.yaml

@@ -0,0 +1,6 @@
+# Technique: Equivalence Partitioning — from phuong-phap §Nguồn-3.
+technique: equivalence
+description: Input chia thành nhóm cùng hành vi — chỉ cần 1 đại diện mỗi nhóm.
+rule: "Gom giá trị theo vùng tương đương (valid / mỗi loại invalid) → 1 đại diện/vùng, tránh test tràn lan."
+applies_to: [all]
+note: "Không cần 300 email sai — chỉ 1 đại diện cho mỗi CÁCH sai (thiếu @, sai vị trí ., full-width…)."

package/common/techniques/state-transition.yaml

@@ -0,0 +1,6 @@
+# Technique: State Transition + Dependency State Coverage — from phuong-phap §Nguồn-3.
+technique: state-transition
+description: Đối tượng nhiều trạng thái; hoặc A phụ thuộc trạng thái của B.
+rule: "Phủ chuyển hợp lệ + chuyển NGƯỢC không hợp lệ; test X với B ở đủ trạng thái (active/chưa active/hết hạn/xoá mềm)."
+applies_to: [workflow-entity, dependent-feature]
+example: "Draft → Submitted → Approved → Shipped (kể cả chuyển ngược không hợp lệ)."

package/package.json

@@ -0,0 +1,25 @@
+{
+  "name": "@sungen/driver-data-factory",
+  "version": "3.2.10-beta.11",
+  "description": "Sungen Data Factory capability — standardized test-data generation from a field-type + security knowledge catalog (valid/boundary/invalid + traceability), the .overwrite merge layer, and (opt-in) @dataFactory runtime seeding. Design-time knowledge is runtime-free. Plugs into @sun-asterisk/sungen via the capability SPI.",
+  "main": "src/index.ts",
+  "types": "src/index.ts",
+  "sungen": {
+    "capability": "data-factory"
+  },
+  "scripts": {
+    "build": "rm -rf dist && tsc -p tsconfig.json",
+    "test": "tsx tests/run.ts"
+  },
+  "author": "eqe team (engineer & quality) — Sun Asterisk",
+  "license": "MIT",
+  "dependencies": {
+    "@sun-asterisk/sungen": "3.2.10-beta.11",
+    "yaml": "^2.4.0"
+  },
+  "files": [
+    "dist",
+    "src",
+    "common"
+  ]
+}

package/src/catalog-loader.ts

@@ -0,0 +1,123 @@
+/**
+ * Data Factory catalog loader.
+ *
+ * Loads the SHIPPED common knowledge (`common/field-types`, `common/security`, `common/techniques`)
+ * and overlays the project's `qa/data-factory/common.overwrite.yaml` on top — later-wins, mirroring
+ * the env-overlay deepMerge already used by the runtime TestDataLoader (`specs-test-data.ts`).
+ *
+ * Update semantics: `sungen update` overwrites `common/**` (shipped, managed) but never touches
+ * `qa/data-factory/**` (user layer). A field-type entry with the same `id` in the overwrite REPLACES
+ * the shipped one; new ids are appended. Drift detection warns when an overwrite entry looks stale
+ * against the shipped common (so the user can prune it) — it never edits the overwrite itself.
+ */
+import { readFileSync, readdirSync, existsSync, statSync } from 'fs';
+import { join } from 'path';
+import { createHash } from 'crypto';
+import { parse as parseYaml } from 'yaml';
+import type { Catalog, FieldType, SecurityBank, Technique, DataPoint, OverwriteWarning } from './types';
+
+/** Resolve the packaged `common/` dir (works from src/ in dev via tsx and from dist/ when built). */
+export function commonDir(): string {
+  // __dirname = .../driver-data-factory/{src|dist}; common is a sibling of both.
+  return join(__dirname, '..', 'common');
+}
+
+function readYamlFilesDeep(dir: string): Array<{ file: string; data: any }> {
+  const out: Array<{ file: string; data: any }> = [];
+  if (!existsSync(dir)) return out;
+  for (const name of readdirSync(dir)) {
+    const full = join(dir, name);
+    if (statSync(full).isDirectory()) out.push(...readYamlFilesDeep(full));
+    else if (name.endsWith('.yaml') || name.endsWith('.yml')) {
+      out.push({ file: full, data: parseYaml(readFileSync(full, 'utf8')) });
+    }
+  }
+  return out;
+}
+
+/** Load the shipped common catalog (no project overlay). */
+export function loadShippedCatalog(root = commonDir()): Catalog {
+  const fieldTypes: Record<string, FieldType> = {};
+  for (const { data } of readYamlFilesDeep(join(root, 'field-types'))) {
+    if (data?.type) fieldTypes[data.type] = data as FieldType;
+  }
+  const security: Record<string, SecurityBank> = {};
+  for (const { data } of readYamlFilesDeep(join(root, 'security'))) {
+    if (data?.class) security[data.class] = data as SecurityBank;
+  }
+  const techniques: Record<string, Technique> = {};
+  for (const { data } of readYamlFilesDeep(join(root, 'techniques'))) {
+    if (data?.technique) techniques[data.technique] = data as Technique;
+  }
+  return { fieldTypes, security, techniques };
+}
+
+/** Merge a field-type's group by DataPoint.id — overlay entries replace same-id, new ids append. */
+function mergeGroup(base: DataPoint[] = [], overlay: DataPoint[] = []): DataPoint[] {
+  const byId = new Map<string, DataPoint>();
+  for (const dp of base) byId.set(dp.id, dp);
+  for (const dp of overlay) byId.set(dp.id, { ...byId.get(dp.id), ...dp });
+  return [...byId.values()];
+}
+
+function mergeFieldType(base: FieldType, overlay: Partial<FieldType>): FieldType {
+  return {
+    ...base,
+    ...overlay,
+    constraints: { ...(base.constraints || {}), ...(overlay.constraints || {}) },
+    uses_security: overlay.uses_security ?? base.uses_security,
+    valid: mergeGroup(base.valid, overlay.valid),
+    boundary: mergeGroup(base.boundary, overlay.boundary),
+    invalid: mergeGroup(base.invalid, overlay.invalid),
+    notes: [...(base.notes || []), ...(overlay.notes || [])],
+  };
+}
+
+/**
+ * Load the effective catalog = shipped common + project overwrite overlay.
+ * `projectDir` is the QA repo root; overlay is read from `qa/data-factory/common.overwrite.yaml`.
+ */
+export function loadEffectiveCatalog(projectDir: string, root = commonDir()): {
+  catalog: Catalog;
+  warnings: OverwriteWarning[];
+} {
+  const shipped = loadShippedCatalog(root);
+  const overlayPath = join(projectDir, 'qa', 'data-factory', 'common.overwrite.yaml');
+  const warnings: OverwriteWarning[] = [];
+  if (!existsSync(overlayPath)) return { catalog: shipped, warnings };
+
+  const overlay = parseYaml(readFileSync(overlayPath, 'utf8')) || {};
+  const overlayFieldTypes: Record<string, Partial<FieldType>> = overlay.fieldTypes || overlay['field-types'] || {};
+  const merged: Catalog = {
+    fieldTypes: { ...shipped.fieldTypes },
+    security: { ...shipped.security },
+    techniques: { ...shipped.techniques },
+  };
+  for (const [type, ov] of Object.entries(overlayFieldTypes)) {
+    if (merged.fieldTypes[type]) {
+      merged.fieldTypes[type] = mergeFieldType(merged.fieldTypes[type], ov);
+      // Drift warning: overlay references a security bank the shipped common no longer has.
+      for (const bank of ov.uses_security || []) {
+        if (!merged.security[bank]) {
+          warnings.push({
+            fieldType: type,
+            detail: `overwrite tham chiếu security bank "${bank}" không còn trong common`,
+            suggestion: `cập nhật hoặc xoá mục "${type}" trong qa/data-factory/common.overwrite.yaml`,
+          });
+        }
+      }
+    } else {
+      // Wholly new field-type from the user — accept as-is (project-specific type).
+      merged.fieldTypes[type] = ov as FieldType;
+    }
+  }
+  return { catalog: merged, warnings };
+}
+
+/** Stable hash of the shipped common — recorded in df-manifest.json to detect update drift. */
+export function shippedCommonHash(root = commonDir()): string {
+  const files = readYamlFilesDeep(root).sort((a, b) => a.file.localeCompare(b.file));
+  const h = createHash('sha256');
+  for (const { file, data } of files) h.update(file.split('/common/')[1] || file).update(JSON.stringify(data));
+  return h.digest('hex').slice(0, 16);
+}