@tacuchi/agent-workflow-cli 6.1.0 → 7.0.0

package/skills/agent-workflow/exports/export-scripts/references/code-scan-recommendations.md

@@ -0,0 +1,83 @@
+# Catálogo de patrones de code-scan + recomendaciones
+
+> **Port directo** de `agent-workflow/skills/release/references/code-scan-patterns.md` v2.0.0. DEC-004 de session061: el contenido es idéntico al original. Si Fase 2 remueve `release`, este archivo queda como canónico.
+
+## Patrones built-in del CLI `agent-workflow code-scan`
+
+| ID | Severidad | Patrón | Recomendación |
+|---|---|---|---|
+| `LOCALHOST` | media | `http://localhost`, `127.0.0.1`, `0.0.0.0` literal | Reemplazar por env var o configuración por ambiente. |
+| `IP_LITERAL` | media | IP estática IPv4 en código (excepto `127.0.0.1` ya capturado) | Mover a configuración externa. |
+| `TODO` | baja | `TODO`, `FIXME`, `XXX`, `HACK` en comentarios | Resolver antes de release o documentar deuda técnica. |
+| `HARDCODED_SECRET` | alta | strings con `password=`, `api_key=`, `secret=`, tokens base64 largos | Mover a env var o gestor de secretos. Si fue commiteado: **rotar la credencial**. |
+| `CONSOLE_LOG` | baja | `console.log`, `console.debug`, `print()`, `System.out.println` en código de producción | Eliminar o reemplazar por logger por nivel. |
+
+## Patrones extendidos (opt-in vía `--pattern`)
+
+| ID | Severidad | Patrón | Recomendación |
+|---|---|---|---|
+| `SQL_INJECTION` | alta | string concatenation en construcción de SQL | Usar prepared statements / query parameters. |
+| `DEPRECATED_API` | baja | uso de APIs marcadas deprecated en deps actuales | Migrar antes del próximo upgrade mayor. |
+| `MAGIC_NUMBER` | baja | literal numérico sin constante con nombre | Extraer a constante con nombre descriptivo. |
+| `TODO_FECHADO` | media | `TODO(YYYY-MM-DD)` con fecha pasada | Resolver — la deuda venció. |
+
+## Override de patrones
+
+Pasar al CLI:
+
+```bash
+agent-workflow code-scan --pattern "SQL_INJECTION:string\.format.*SELECT:high" \
+                         --pattern "DEPRECATED_API:@Deprecated:low"
+```
+
+O archivo de patterns:
+
+```json
+{
+  "patterns": [
+    { "id": "CUSTOM_RULE", "regex": "...", "severity": "medium", "recommendation": "..." }
+  ]
+}
+```
+
+## Excludes y extensiones
+
+Default excludes: `node_modules/`, `target/`, `dist/`, `build/`, `.workflow/`, `docs/`, `tests/`, `test/`, `.git/`, `__pycache__/`, `.idea/`, `.vscode/`.
+
+Default extensions: `.java`, `.ts`, `.js`, `.py`, `.go`, `.rb`, `.php`, `.cs`, `.kt`, `.scala`, `.vue`, `.tsx`, `.jsx`, `.properties`, `.yml`, `.yaml`, `.json`, `.xml`, `.sql`.
+
+Override:
+
+```bash
+agent-workflow code-scan --exclude vendor/,third_party/ --ext .java,.ts,.kt
+```
+
+## Output del CLI
+
+```json
+{
+  "matches": [
+    {
+      "pattern_id": "HARDCODED_SECRET",
+      "severity": "high",
+      "file": "src/main/java/com/example/Config.java",
+      "line": 42,
+      "snippet": "password = \"...\"",
+      "recommendation": "Mover a variable de entorno o gestor de secretos. Rotar la credencial si fue commiteada."
+    }
+  ],
+  "counts": { "high": 1, "medium": 3, "low": 12 },
+  "by_severity": { ... },
+  "total_matches": 16
+}
+```
+
+## Integración con el manifest
+
+El skill `export-scripts` consume este output y lo presenta en §5 del `manifest.md`:
+- §5.1 — severidad alta (tabla completa).
+- §5.2 — severidad media (tabla completa).
+- §5.3 — severidad baja (top 10 + conteo si >20).
+- §5.4 — alcance del escaneo (excludes + extensiones efectivas).
+
+Si `--skip-code-scan` se usó, §5 se reemplaza por nota inline `_(Escaneo omitido por --skip-code-scan)_` (V4.b de `validations.md`).

package/skills/agent-workflow/exports/export-scripts/references/deprecation-plan.md

@@ -0,0 +1,80 @@
+# Plan de deprecación — `release` + `release-scripts` → `export-scripts`
+
+Plan canónico definido en Propuesta 007 R2 y materializado en session061.
+
+## Estado (plugin v2.8.0 — Fase 1)
+
+### `release` v2.0.0 → v2.0.1
+
+- **SKILL.md**: banner deprecation en la primera línea del body.
+- **commands/release.md**: banner equivalente.
+- Comportamiento: **idéntico al v2.0.0**. Output sigue siendo `docs/release/NNN-informe-release.md` + `docs/scripts/NNN-sessionXXX-<slug>/`.
+- Invocaciones automatizadas (CI, makefiles, scripts internos) NO se rompen.
+
+### `release-scripts` v2.0.0 → v2.0.1
+
+- Mismo tratamiento: banner pasivo, comportamiento sin cambios.
+- Output sigue siendo `docs/release/NNN-release-*/scripts-por-tema/`.
+
+### Banner canónico (texto literal)
+
+```markdown
+> ⚠️ **DEPRECATED desde plugin v2.8.0**: usar `/agent-workflow:export-scripts` (refactor que consolida release + release-scripts en un único output dir). Este comando se mantiene por compatibilidad; remoción prevista en plugin v3.0.0. Detalles: `docs/conclusiones/007-export-commands-family.md` §R2.
+```
+
+## Estado (plugin v3.0.0 — Fase 2 — futuro)
+
+**Sin compromiso de fecha**. Disparadores que activarían Fase 2:
+
+1. Telemetría / encuesta confirma que ≥80% de workspaces migraron a `/agent-workflow:export-scripts`.
+2. Ningún PR en los últimos 3 meses depende de output legacy (`docs/release/`).
+3. Equipo runtime confirma que el plan deprecation Fase 1 cubrió todos los edge cases.
+
+Cuando se active:
+- Remover `skills/release/` y `commands/release.md`.
+- Remover `skills/release-scripts/` y `commands/release-scripts.md`.
+- Decisión sobre `docs/release/` legacy en cada workspace: **NO** se migra. Queda como histórico fijo (workspaces de producto los preservan; el AI los lee si el usuario pregunta).
+- Bump plugin a v3.0.0 (BREAKING).
+
+## Compatibilidad cross-skill
+
+### Skills/refs que aún apuntan a `release` o `release-scripts`
+
+Lista a verificar al cerrar Fase 1:
+
+| Skill / archivo | Referencia | Acción Fase 1 | Acción Fase 2 |
+|---|---|---|---|
+| `agent-workflow:session/SKILL.md` §"Cerrar sesión" tabla de kinds | `/agent-workflow:release` como único disparador de kind `script` y `release` | Mantener — `release` legacy sigue funcionando | Reemplazar por `/agent-workflow:export-scripts` |
+| `agent-workflow:dev-workflow/SKILL.md` | Referencia release como punto de entrada | Mantener | Actualizar |
+| `agent-workflow:release/SKILL.md` | Banner deprecation | Banner agregado | Skill removido |
+| `agent-workflow:release-scripts/SKILL.md` | Banner deprecation | Banner agregado | Skill removido |
+| `qtc-plugins-marketplace/.claude-plugin/marketplace.json` | Descripción del plugin | v2.8.0 con texto nuevo + deprecation note | v3.0.0 sin mención de release legacy |
+| `agent-workflow/README.md` | Header de versión | v2.8.0 + 13 commands | v3.0.0 + 11 commands |
+
+### Reusos cross-skill durante Fase 1
+
+`export-scripts` referencia (no porta) algunos archivos de release/release-scripts:
+
+| Skill | Archivo referenciado | Por qué reference y no port |
+|---|---|---|
+| `release` | `references/manual-actions-catalog.md` | Contenido invariante (matriz acción↔condición). Deduplicar. |
+
+Cuando Fase 2 remueva `release`/`release-scripts`: este archivo se **colapsa** al port (mover a `export-scripts/references/manual-actions-catalog.md`). Es parte del checklist de Fase 2.
+
+## Comunicación a usuarios
+
+Al cargar `release` o `release-scripts` legacy (v2.0.1):
+
+```
+> ⚠️  Comando deprecated desde plugin v2.8.0
+> Migrar a: /agent-workflow:export-scripts
+> Detalles: docs/conclusiones/007-export-commands-family.md §R2
+```
+
+El banner se imprime una vez por sesión (no spammea). El skill continúa ejecutando normalmente.
+
+## Decisiones de no-acción
+
+- **NO** redirigir `/agent-workflow:release` a `/agent-workflow:export-scripts` internamente. El refactor no es semánticamente idéntico (output dir + estructura cambian). Un redirect silencioso confundiría a workspaces con CI que asume `docs/release/`.
+- **NO** migrar `docs/release/` histórico de workspaces de producto. Cada workspace lo decide cuando active export-scripts.
+- **NO** crear `--legacy-output` flag en export-scripts. Romper la simetría del patrón export-* por compat sería deuda futura.

package/skills/agent-workflow/exports/export-scripts/references/lexico-tecnico.md

@@ -0,0 +1,80 @@
+# Léxico técnico — limpieza mínima de noise para export-scripts
+
+A diferencia de `export-report/references/lexico.md` (que traduce técnico→ejecutivo para audiencia gerencial), este léxico es **mínimo**: la audiencia de `export-scripts` es técnica (devs / DBAs / release managers) y los términos técnicos son bienvenidos. Sólo se veta el noise interno: placeholders sin reemplazar, paths del developer, restos de plantilla.
+
+## Lista vetada (V2 — para grep determinista)
+
+Términos / patrones que **no deben aparecer** en el cuerpo del `manifest.md` rendered (excepto en `## 10. Metadata`):
+
+```
+{{
+}}
+{{PRODUCTO}}
+{{FECHA}}
+{{SOURCE}}
+[entre corchetes]
+[YYYY-MM-DD]
+[nombre-rama]
+[nombre]
+[lista]
+[N]
+[motivo 1]
+[motivo 2]
+[breve descripción]
+[resumen 1 línea]
+[título]
+[fecha objetivo]
+[correo-destino]
+[correo-cc]
+[servicio 1]
+[servicio 2]
+[sha corto]
+[mensaje]
+[salida de
+sessionXXX
+sessionYYY
+sessionNNN
+session001-nombre
+session002-nombre
+NNN-export-scripts-YYYY-MM-DD
+NNN-informe-release
+NNN-release-YYYY-MM-DD
+DEC-NNN
+ACT-NNN
+ACT-001
+ACT-002
+H1
+M1
+/Users/
+~/Git/
+C:\Users\
+TODO:
+FIXME:
+WIP:
+XXX:
+<-- TODO
+<-- FIXME
+<-- WIP
+resto de acciones detectadas automáticamente
+otras advertencias dinámicas según lo detectado
+Si vacío:
+Si no hay irreversibles:
+Si no existe vista por tema:
+Si --skip-code-scan fue usado:
+Si no hay advertencias:
+```
+
+## Cómo extraer la lista para `grep -F -f`
+
+El validator de V2 (descrito en `validations.md` §V2) procesa este `.md` extrayendo sólo las líneas **dentro del fenced block**, no toda la prosa. Pre-proceso típico:
+
+```bash
+awk '/^```$/{flag=!flag; next} flag' lexico-tecnico.md > /tmp/lexico-vetado.txt
+grep -n -F -f /tmp/lexico-vetado.txt /tmp/manifest-body.md
+```
+
+El primer awk toggle-extrae las líneas entre triple-backticks (alterna `flag` cada `\`\`\`` solitario); el segundo grep matchea como fixed strings.
+
+## Total ≈ 50 términos vetados
+
+Mantenimiento: revisar tras cada change major del template; los términos derivan 1:1 de los placeholders activos en `manifest-template.md`.

package/skills/agent-workflow/exports/export-scripts/references/manifest-template.md

@@ -0,0 +1,253 @@
+# Plantilla — Informe del bundle export-scripts
+
+Plantilla exacta que usa el skill `export-scripts` para generar `manifest.md` dentro del output dir. Reemplazar los placeholders `[entre corchetes]` con valores reales al momento de generar.
+
+> **Heredada de `release/references/report-template.md` v2.0.0**. Cambios respecto al original: (1) paths actualizados al nuevo output dir único; (2) sección 4.4 "Vista por tema" condicional (V4.a); (3) header con readiness color emoji; (4) sección 10 cita `export-scripts v1.0.0`.
+
+---
+
+```markdown
+# Informe del bundle NNN — [YYYY-MM-DD]
+
+- **Rama actual:** `[nombre-rama]`
+- **Rama destino:** `certificacion`
+- **Sesiones incluidas:** [N]
+- **Readiness:** [🟢 verde | 🟡 amarillo | 🔴 rojo]
+- **Generado por:** agent-workflow · skill `export-scripts`
+
+---
+
+## 1. Resumen ejecutivo
+
+[1-2 párrafos sintetizando qué entra en este bundle: módulos tocados, tipo de cambios predominantes (features, fixes, migración de datos), y el juicio general de readiness con 1-2 motivos principales.]
+
+**Motivos del color de readiness:**
+- [motivo 1]
+- [motivo 2]
+
+---
+
+## 2. Sesiones incluidas
+
+| # | Sesión | Estado | Fase | Fechas | Resumen | Refs |
+|---|---|---|---|---|---|---|
+| 1 | session001-nombre | closed | 5 | YYYY-MM-DD → YYYY-MM-DD | [resumen 1 línea] | [DEC](../decisiones/001-*.md) · [SQL](por-sesion/sessionXXX-*/) |
+| 2 | session002-nombre | ⚠ active | 3 | YYYY-MM-DD → — | [resumen 1 línea] + motivo de apertura | — |
+
+**Sesiones abiertas:** destacadas con ⚠. Cada una baja la readiness del bundle. Motivo y próxima acción debe quedar explícito en el resumen.
+
+---
+
+## 3. Acciones manuales previas a producción
+
+Checklist ordenado. Marcar cada ítem antes del despliegue.
+
+- [ ] **ACT-001** — [Título corto]
+  - **Motivo:** [por qué es necesaria]
+  - **Quién:** [rol/persona sugerida]
+  - **Detalle:** [qué hacer, con qué entrada/salida esperada]
+
+- [ ] **ACT-002** — Solicitar API keys de producción
+  - **Motivo:** REQUIREMENTS de session003 menciona integración con servicio externo pero no hay claves concretas.
+  - **Quién:** Administrador de infraestructura
+  - **Detalle:** enviar correo con plantilla abajo (sección 3.1).
+
+### 3.1 Plantillas de correo
+
+Copiar, personalizar y enviar manualmente. **Este plugin no envía correos.**
+
+```
+Para: [correo-destino]
+CC: [correo-cc]
+Asunto: [Bundle NNN] Solicitud de API keys de producción
+
+Buen día,
+
+Para el bundle NNN-[nombre] que se despliega el [fecha objetivo] requerimos las siguientes credenciales de producción:
+
+- [servicio 1] — URL y token de acceso
+- [servicio 2] — usuario/clave técnica
+
+Adjunto el manifest con detalle técnico: docs/scripts/NNN-export-scripts-[YYYY-MM-DD]/manifest.md
+
+Quedamos atentos.
+Saludos.
+```
+
+---
+
+## 4. Base de datos
+
+### 4.1 Secuencia de ejecución
+
+Orden obligatorio (01 → 02 → 03 → 04) por sesión cronológica. Detalle completo en `ORDER.md`.
+
+Resumen alto nivel:
+
+1. **session001** → `por-sesion/session001-[slug]/01-ddl-tablas/...`
+2. **session001** → `por-sesion/session001-[slug]/02-ddl-funciones/...`
+3. **session001** → `por-sesion/session001-[slug]/03-migracion/...`
+4. **session001** → `por-sesion/session001-[slug]/04-inserts/...`
+5. **session002** → ...
+
+### 4.2 Rollback
+
+Bundle global: `rollback-global.sql` (en este mismo directorio).
+
+Orden inverso absoluto: última sesión → primera, y dentro de cada una 04 → 03 → 02 → 01. Ejecutable dentro de un único `BEGIN; … COMMIT;`.
+
+**Operaciones irreversibles detectadas:**
+
+| Script | Sesión origen | Operación | Mitigación disponible |
+|---|---|---|---|
+| `por-sesion/session003-*/03-migracion/001-*.sql` | session003 | `DROP COLUMN col_legacy` | Respaldo en `esq_audit.tb_bkp_...` (script `000-backup-*.sql`) |
+
+Si no hay irreversibles: incluir un placeholder con "Sin operaciones irreversibles en este bundle." (el AI debe reemplazar la tabla por esta frase única).
+
+### 4.3 Impacto
+
+- **Tablas creadas:** [lista]
+- **Tablas modificadas:** [lista, indicando tipo de ALTER]
+- **Funciones creadas/modificadas:** [lista]
+- **Filas afectadas por migración:** [estimación si hay count en sesiones]
+
+### 4.4 Vista por tema
+
+> **Condicional V4.a**: incluir esta sub-sección **sólo si** `por-tema/` se generó (temas declarados, `## Temas` en OBJECTIVE, o `--themes infer`). Si no se generó, omitir entera la sub-sección 4.4 (sin header).
+
+Bundle por tema: `por-tema/`
+
+- **Orden ejecutable cross-tema:** `por-tema/ORDER.md`
+- **Temas incluidos:** [slug1], [slug2], [slug3] — [N] scripts.
+
+Mapeo tema ↔ sesión ↔ scripts: `README.md` §"Mapping".
+
+---
+
+## 5. Código fuente — hallazgos del escaneo
+
+> **Condicional V4.b**: si `--skip-code-scan` fue usado, esta sección contiene **sólo** una nota inline `_(Escaneo omitido por --skip-code-scan)_` y nada más.
+
+**Resumen:** [X] críticos · [Y] medios · [Z] bajos
+
+### 5.1 Severidad alta (bloqueantes para producción)
+
+| # | Patrón | Archivo:línea | Snippet | Recomendación |
+|---|---|---|---|---|
+| H1 | Credencial hardcodeada | `src/.../Config.java:42` | `password = "..."` | Mover a variable de entorno o gestor de secretos. Rotar la credencial si fue commiteada. |
+
+Si vacío: incluir un placeholder con "Sin hallazgos de severidad alta." (frase única que reemplaza la tabla).
+
+### 5.2 Severidad media
+
+| # | Patrón | Archivo:línea | Snippet | Recomendación |
+|---|---|---|---|---|
+| M1 | URL localhost | `src/.../api.service.ts:18` | `http://localhost:8080` | Reemplazar por `environment.apiUrl` u otro mecanismo de configuración. |
+
+### 5.3 Severidad baja
+
+Agrupados por patrón, con conteo. Lista expandida si hay menos de 20; si más, mostrar top 10 y conteo total.
+
+| Patrón | Conteo | Ejemplos |
+|---|---|---|
+| `TODO` | 7 | `UserService.java:88`, `OrderService.java:42`, ... |
+| `FIXME` | 2 | `validator.ts:15`, `payment.ts:103` |
+
+### 5.4 Alcance del escaneo
+
+- **Directorios incluidos:** [lista]
+- **Directorios excluidos:** `node_modules/`, `target/`, `dist/`, `build/`, `.workflow/`, `docs/`, `tests/`, `test/`, `.git/`
+- **Extensiones:** [lista]
+
+---
+
+## 6. Git y ramas
+
+- **Rama actual:** `[nombre]`
+- **Rama destino:** `certificacion`
+- **Commits pendientes de merge (rama actual → certificacion):** [N]
+
+### 6.1 Commits pendientes
+
+```
+[sha corto] [mensaje]
+[sha corto] [mensaje]
+```
+
+### 6.2 Archivos modificados (git diff --stat)
+
+```
+[salida de git diff certificacion --stat]
+```
+
+### 6.3 Cambios sin commitear
+
+Si `git status` muestra archivos modificados/untracked:
+
+```
+[salida de git status --porcelain]
+```
+
+**Acción recomendada:** el usuario decide si esos cambios entran al bundle (commit) o no (stash/descartar).
+
+### 6.4 PR sugerido (texto — no se crea)
+
+```
+Título: [feat/fix/chore]: [resumen del bundle]
+Rama origen: [rama actual]
+Rama destino: certificacion
+Descripción:
+- Bundle NNN consolidando las siguientes sesiones:
+  - session001 — [título]
+  - session002 — [título]
+- Manifest completo: docs/scripts/NNN-export-scripts-[YYYY-MM-DD]/manifest.md
+- Bundle SQL: docs/scripts/NNN-export-scripts-[YYYY-MM-DD]/por-sesion/
+```
+
+---
+
+## 7. Documentación graduada
+
+| Sesión | Decisiones | Manuales | Especificaciones | Conclusiones |
+|---|---|---|---|---|
+| session001 | `001-*.md`, `002-*.md` | — | — | — |
+| session002 | — | `003-*.md` | — | — |
+| session003 | `004-*.md` | — | `001-*/` | — |
+
+Nota: el modelo nuevo gradua 6 kinds (`decision`, `manual`, `script`, `especificacion`, `conclusion`, `release`). Este manifest enlaza los 4 primeros; `release` queda implícito en este mismo dossier; `script` queda implícito en `por-sesion/`.
+
+---
+
+## 8. Checklist final de producción
+
+Lista única consolidada. Todos los ítems deben marcarse antes del "go":
+
+- [ ] **BD:** respaldo completo del esquema afectado tomado y verificado
+- [ ] **BD:** scripts ejecutados en orden (01 → 02 → 03 → 04)
+- [ ] **BD:** rollback probado en staging/certificación
+- [ ] **Infra:** variables de entorno actualizadas (ver sección 3)
+- [ ] **Infra:** API keys de producción solicitadas y configuradas
+- [ ] **Código:** hallazgos de severidad alta resueltos (sección 5.1)
+- [ ] **Git:** rama mergeada a `certificacion` (o PR aprobado)
+- [ ] **Git:** tag/release creado en el repositorio
+- [ ] **Stakeholders:** notificación enviada antes y después del despliegue
+- [ ] **Acciones manuales:** todos los ACT-XXX de la sección 3 completados
+
+---
+
+## 9. Advertencias
+
+Cosas que el skill detectó pero no pudo validar automáticamente. Leer antes de marcar el checklist como completo.
+
+Si no hay advertencias: incluir un placeholder con "Sin advertencias pendientes." (frase única).
+
+---
+
+## 10. Metadata
+
+- **Generado:** YYYY-MM-DD HH:MM
+- **Versión del skill:** export-scripts v1.0.0
+- **Argumentos usados:** `[sin argumentos | --since sessionNNN | --themes slug1,slug2 | --dry-run | --skip-code-scan]`
+- **Comando original:** `/agent-workflow:export-scripts [args]`
+- **Reemplaza:** `/agent-workflow:release` v2.0.0 + `/agent-workflow:release-scripts` v2.0.0 (ambos en deprecation Fase 1 desde plugin v2.8.0)
+```

package/skills/agent-workflow/exports/export-scripts/references/readme-template.md

@@ -0,0 +1,79 @@
+# Plantilla — README del bundle export-scripts
+
+Plantilla exacta para el `README.md` del output dir. Se escribe junto con `manifest.md`. Reemplazar `[entre corchetes]` con valores reales.
+
+---
+
+```markdown
+# Bundle export-scripts NNN — [YYYY-MM-DD]
+
+Bundle SQL + informe consolidado para paso a producción. Generado por `/agent-workflow:export-scripts`.
+
+## Contenido
+
+| Archivo | Propósito |
+|---|---|
+| `manifest.md` | Informe consolidado: sesiones, acciones manuales, BD, hallazgos code-scan, git state, checklist final. |
+| `ORDER.md` | Secuencia ejecutable cross-bundle (01 → 02 → 03 → 04 por sesión, intercalado por tema si aplica). |
+| `rollback-global.sql` | Rollback encadenado inverso (toda sesión → primera, 04 → 01 dentro de cada una). |
+| `por-sesion/` | Bundle SQL por sesión, organizado en 4 categorías. |
+| `por-tema/` | (opcional) Bundle consolidado cross-session por tema/funcionalidad. |
+
+## Mapping sesión ↔ tema ↔ scripts
+
+> **Condicional**: incluir esta sección **sólo si** `por-tema/` se generó.
+
+| Sesión | Tema | Scripts |
+|---|---|---|
+| session001 | `tema-rbac` | `01-rol-permiso.sql`, `02-fn-validacion.sql`, `03-mig-roles.sql` |
+| session002 | `tema-rbac` | `01-asignacion-default.sql` |
+| session003 | `tema-lista-negra-blanca` | `01-listas-table.sql`, `04-inserts-iniciales.sql` |
+
+## Cómo ejecutar el bundle
+
+### Paso 1 — Validar pre-condiciones
+
+1. Revisar `manifest.md` §3 (acciones manuales) — completar antes de ejecutar SQL.
+2. Revisar `manifest.md` §5 (hallazgos code-scan) — resolver severidades altas.
+3. Tomar respaldo completo del esquema afectado.
+
+### Paso 2 — Ejecutar SQL
+
+```bash
+# Opción A: orden por sesión (default)
+cat ORDER.md  # ver secuencia
+
+# Ejecutar manualmente cada script en orden:
+psql -h <host> -U <user> -d <db> -f por-sesion/session001-<slug>/01-ddl-tablas/001-*.sql
+# ... continuar con 02, 03, 04 ...
+```
+
+> **Importante**: este plugin NO ejecuta SQL. El usuario aplica los scripts manualmente.
+
+### Paso 3 — Validar post-ejecución
+
+1. Marcar checklist final de `manifest.md` §8.
+2. Si algo falló: aplicar `rollback-global.sql` en una sola transacción.
+
+## Rollback
+
+Bundle global: `rollback-global.sql` (este directorio).
+
+Orden inverso absoluto: última sesión → primera; dentro de cada una 04 → 03 → 02 → 01.
+
+**Operaciones irreversibles** (si las hay): listadas en `manifest.md` §4.2 con su mitigación. Revisar antes de ejecutar rollback.
+
+## Re-generación
+
+Para regenerar este bundle:
+
+```
+/agent-workflow:export-scripts [--since sessionNNN] [--themes slug1,slug2]
+```
+
+Cada invocación toma siguiente NNN. NO sobrescribe bundles previos.
+
+## Relación con release legacy
+
+Este bundle reemplaza el output que generaban `/agent-workflow:release` + `/agent-workflow:release-scripts` legacy (ambos en deprecation Fase 1 desde plugin v2.8.0). Si tu workspace tiene `docs/release/` poblado: queda como histórico, no se migra.
+```