@whyshu/argent-engine 0.0.0-stage → 0.6.0

package/engine/scripts/ci-run.sh

@@ -0,0 +1,558 @@
+#!/usr/bin/env bash
+# ════════════════════════════════════════════════════════════════════════════════
+# scripts/ci-run.sh —— Argent **自建 CI runner**：一次跑完**固定判据集合** + 互斥 + 可追溯记录
+#
+# 为什么有它（对着 1.0 判据表的 G6「全门禁进 CI」）：
+#   · 全量套件实测 169/0、约 312–389 秒；本机常有**多代理并发** ⇒ 并发跑套件会出现**瞬时假红**
+#     （`argent-datadir-parity` / `capability-pack` 各实测一次，**单跑即绿**）。
+#     故 CI 的第一价值**不是"跑得更多"**，而是三件事：
+#       ① **串行化**：同一时刻只允许一份 CI（互斥锁）⇒ 从根上消掉并发假红；
+#       ② **固定判据集合**：15 条写死在本文件里，不靠"这次记得跑哪几条"；
+#       ③ **可追溯记录**：每次运行落一份 JSON（每条判据的退出码/耗时/摘要行 + git HEAD/dirty +
+#          机器与版本），失败时**点名**是哪条 ⇒ "这次为什么红"一眼可查。
+#
+# 用法：
+#   bash scripts/ci-run.sh                    # 全量判据（顺序 = 由快到慢；全量套件倒数第二，环境哨兵最后）
+#   bash scripts/ci-run.sh --list             # 只列判据清单（名字/命令/期望输出/超时），**不加锁**
+#   bash scripts/ci-run.sh --only <a,b,...>   # 只跑指定判据（开发期省时间；记录里标 partial=true）
+#   bash scripts/ci-run.sh --quiet            # 只打印失败项与汇总
+#   环境变量：ARGENT_CI_HOME=<目录>（缺省 ~/.dsh/argent/ci）｜CI_TIMEOUT_<判据名大写> 覆盖该条超时
+#
+# 退出码：
+#   0   全部判据通过
+#   1   任一判据失败（末尾**点名**失败的判据 + 摘要行 + 日志段）
+#   2   用法错误（未知参数 / 未知判据名 / 仓库不对）
+#   75  已有 CI 在跑（TEMPFAIL：**不排队、不等待**，按 sysexits 惯例 75 = 临时故障）
+#
+# 锁语义（`~/.dsh/argent/ci/lock`，用 `mkdir` 的**原子性**做互斥；macOS 无 flock(1)）：
+#   · 抢不到锁（锁在、pid 还活着）⇒ 立刻 exit 75 并打印「已有 CI 在跑 (pid …)」；
+#   · **陈旧锁**（锁在、pid 已不在）⇒ 打印接管提示后接管 —— 否则一次 kill -9 会让 CI **永久锁死**；
+#     ⛔ 这是唯一的"自动接管"路径，且只在 pid 确实不存在时触发；
+#   · 拿锁者只删**自己**的锁（EXIT/INT/TERM 清理），绝不删别人的。
+#
+# ⛔ 只读纪律（本脚本及其判据集合都不许违反）：
+#   · 不 push、不部署、不连客户机、不改凭据/签名密钥、**不跑包管理器**（pnpm/npm install）；
+#   · **不** git checkout / clean / stash —— git 状态**只只读采集**（HEAD / 分支 / dirty 清单），
+#     因为本仓库常有**他人未提交的在制品**（一次 checkout 就毁了）；
+#   · 唯一的本地写入只有两处：① 本脚本的记录与日志（`~/.dsh/argent/ci/**`）；
+#     ② `sync-scripts --no-pull` 按**它自己的契约**把仓库 scripts/core/configs/skills/verticals/deploy 重新投递到
+#     本机安装克隆（`~/.argent-dsh`）—— `--no-pull` 去掉唯一的网络动作；两处都不是生产、都不出网。
+#
+# 纪律（判据措辞即判据）：每条判据除退出码外还要求输出**命中 `expect` 正则**（见 `criterion_expect`），
+#   防"脚本跑了但什么都没查"的假绿（例：套件必须打印 `测试结果：N 通过 / 0 失败` 且 N≥1）。
+#   改判据输出措辞 ⇒ 这里会转红并点名 —— 那是**有意的**：请同步改本文件的 expect。
+# ════════════════════════════════════════════════════════════════════════════════
+set -uo pipefail
+
+SELF_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -P)"
+REPO="${ARGENT_DSH_REPO:-$(cd "${SELF_DIR}/.." && pwd -P)}"
+
+# ── 解释器判据（与 run-tests.sh 同源：venv 有就用 venv）──────────────────────────
+PY="${ARGENT_PY:-$HOME/.dsh/argent/venv/bin/python3}"
+[ -x "$PY" ] || PY="$(command -v python3 || echo python3)"
+PYVER="$("$PY" -V 2>&1 | head -1 || true)"
+
+# CI 自己的目录 = **数据目录** 下的 `ci/`。⛔ 数据目录**只认唯一判据**（CLI 包装
+# `scripts/argent-datadir.py`），**不在 shell 里重写三级链**（不写 `$HOME/.dsh/argent`、
+# 不读那两个实例级开关）—— 这条由 `scripts/tests/argent-datadir-parity.test.mjs`【4】守着，
+# **2026-10-05 本 CI 首跑就被它抓到过**（第一版正是自写硬编码 + 读 ARGENT_DATA_DIR ⇒ 套件判红）。
+DATA_DIR="$("$PY" "${REPO}/scripts/argent-datadir.py" 2>/dev/null || true)"
+if [ -z "${DATA_DIR}" ]; then
+  echo "✗ 数据目录判据不可用（${REPO}/scripts/argent-datadir.py 取不到）⇒ 停住，不猜目录" >&2
+  echo "  （锁/记录/日志都落在数据目录下，猜错目录等于把记录写到别处）" >&2
+  exit 2
+fi
+CI_HOME="${ARGENT_CI_HOME:-${DATA_DIR}/ci}"
+LOCK="${CI_HOME}/lock"
+LOGS="${CI_HOME}/logs"
+
+usage() {
+  cat <<'EOF'
+用法：
+  bash scripts/ci-run.sh                    # 全量判据（由快到慢）
+  bash scripts/ci-run.sh --list             # 列判据清单（不加锁）
+  bash scripts/ci-run.sh --only <a,b,...>   # 只跑指定判据（记录标 partial）
+  bash scripts/ci-run.sh --quiet            # 只打印失败项与汇总
+退出码：0 全绿 ｜ 1 有判据红 ｜ 2 用法错误 ｜ 75 已有 CI 在跑（TEMPFAIL）
+EOF
+}
+
+ARGV_STR="$*"   # 原始参数（记录用；下面的解析会 shift 掉）
+
+# ── 参数 ───────────────────────────────────────────────────────────────────────
+ONLY=""; QUIET=0; DO_LIST=0
+while [ $# -gt 0 ]; do
+  case "$1" in
+    --list) DO_LIST=1; shift ;;
+    --only)
+      [ $# -ge 2 ] || { echo "✗ --only 缺值（用法：--only <名字,名字>；--list 看名字）" >&2; exit 2; }
+      ONLY="${ONLY:+${ONLY},}$2"; shift 2 ;;
+    --only=*)
+      ONLY="${ONLY:+${ONLY},}${1#--only=}"; shift ;;
+    --quiet|-q) QUIET=1; shift ;;
+    -h|--help) usage; exit 0 ;;
+    *) echo "✗ 未知参数：$1" >&2; usage >&2; exit 2 ;;
+  esac
+done
+
+# ── 毫秒时钟（记录耗时用；bash 3.2 没有 EPOCHREALTIME，故按可用工具降级）───────────
+MS_TOOL=""
+if command -v perl >/dev/null 2>&1; then MS_TOOL=perl
+elif command -v "${PY}" >/dev/null 2>&1; then MS_TOOL=python
+else MS_TOOL=date; fi
+now_ms() {
+  case "${MS_TOOL}" in
+    perl) perl -MTime::HiRes=time -e 'printf "%.0f\n", time*1000' ;;
+    python) "${PY}" -c 'import time;print(int(time.time()*1000))' ;;
+    *) echo "$(( $(date +%s) * 1000 ))" ;;
+  esac
+}
+
+# ── 进程树终止（超时用；macOS 没有 timeout(1)）──────────────────────────────────
+kill_tree() {
+  local p="$1" c
+  for c in $(pgrep -P "${p}" 2>/dev/null || true); do kill_tree "${c}"; done
+  kill -TERM "${p}" 2>/dev/null || true
+  return 0
+}
+
+# ── 判据集合（**唯一的清单**；顺序 = 执行顺序 = 由快到慢）─────────────────────────
+# 设计口径：① 几秒的判据先跑（红了立刻看得见）② 全量套件倒数第二（最慢）
+#           ③ `test-env-safety` **最后**跑 —— 它比对的是本次 CI 开始时拍的快照 ⇒ 覆盖整个窗口。
+CRITERIA="kernel-purity vertical-lint docs-drift host-matrix sample-redaction 1.0-criteria judgment-drift capability-pack pack-closure config-catalog role-mapping skill-classification production-home plugin-bootcheck sync-scripts suite test-env-safety"
+
+criterion_title() {
+  case "$1" in
+    kernel-purity)       printf '%s' '内核纯净度（L0/L1 不引宿主；scripts/ 未归类即红）' ;;
+    vertical-lint)       printf '%s' '业务线 lint（命名空间/跨线引用/引擎业务词/manifest 自洽）' ;;
+    docs-drift)          printf '%s' '文档漂移（--strict：可疑 0 条；含 R4 矩阵结构）' ;;
+    host-matrix)         printf '%s' '宿主矩阵结构（--strict --matrix-only：列数/空标签/状态符号）' ;;
+    sample-redaction)    printf '%s' '官网样例脱敏（--strict：禁用串 0 命中 + 键名与指标清单对齐）' ;;
+    # 1.0 判据表：§2.0（八面总览）与 §2.1–§2.8（判据行）的**计数自洽**（唯一真源 = 判据行）
+    1.0-criteria)        printf '%s' '1.0 判据计数自洽（§2.0 复算：40 条 + 逐面计数 + 卡点非空）' ;;
+    judgment-drift)      printf '%s' '判断漂移（要求 R1=0：契约漂移 0 条）' ;;
+    capability-pack)     printf '%s' '能力包自洽（--validate：版本/文件/流程/preset/提示词）' ;;
+    pack-closure)        printf '%s' '能力包闭包（--strict：缺件 0 个）' ;;
+    # 2026-10-09：配置地基的四道门禁（双向对账 / 敏感不出门 / 必须项可解析 / 新增即生效）
+    config-catalog)      printf '%s' '配置目录四道门禁（--strict：双向对账 + 敏感不出门 + 必须项可解析 + 新增即生效）' ;;
+    role-mapping)        printf '%s' '角色-技能声明映射（声明的技能都真实存在）' ;;
+    skill-classification) printf '%s' '技能归类（外发/内部两边齐全，未归类 0）' ;;
+    production-home)     printf '%s' '本机姿态（开发机档：launchctl 里 flow-trigger = 0）' ;;
+    plugin-bootcheck)    printf '%s' '插件启动冒烟（隔离 home；preset 全挂载）' ;;
+    sync-scripts)        printf '%s' '安装克隆对账（--no-pull：scripts/core/configs/skills/verticals/deploy 与仓库一致）' ;;
+    suite)               printf '%s' '全量测试套件（scripts/run-tests.sh 的枚举面）' ;;
+    test-env-safety)     printf '%s' '测试环境卫生哨兵（--verify：真实数据目录关键文件未变）' ;;
+    *)                   printf '%s' '（未知判据）' ;;
+  esac
+}
+
+criterion_cmd() {
+  case "$1" in
+    kernel-purity)       printf '%s' 'node scripts/tests/kernel-purity.test.mjs' ;;
+    vertical-lint)       printf '%s' 'node scripts/vertical-lint.mjs' ;;
+    docs-drift)          printf '%s' 'node scripts/check-docs-drift.mjs --strict' ;;
+    host-matrix)         printf '%s' 'node scripts/check-docs-drift.mjs --strict --matrix-only' ;;
+    sample-redaction)    printf '%s' 'node scripts/check-sample-redaction.mjs --strict' ;;
+    1.0-criteria)        printf '%s' 'node scripts/check-1.0-criteria.mjs --strict' ;;
+    judgment-drift)      printf '%s' 'node scripts/check-judgment-drift.mjs' ;;
+    capability-pack)     printf '%s' "${PY} scripts/capability_pack.py --validate" ;;
+    pack-closure)        printf '%s' 'node scripts/check-pack-closure.mjs --strict' ;;
+    config-catalog)      printf '%s' 'node scripts/check-config-catalog.mjs --strict' ;;
+    role-mapping)        printf '%s' 'node scripts/check-role-mapping.mjs' ;;
+    skill-classification) printf '%s' 'node scripts/check-skill-classification.mjs' ;;
+    production-home)     printf '%s' 'node scripts/check-production-home.mjs --json' ;;
+    plugin-bootcheck)    printf '%s' 'node scripts/plugin-bootcheck.mjs' ;;
+    sync-scripts)        printf '%s' 'bash scripts/sync-scripts.sh --no-pull' ;;
+    suite)               printf '%s' 'bash scripts/run-tests.sh' ;;
+    test-env-safety)
+      if [ -n "${ENV_SNAP:-}" ]; then printf '%s' "node scripts/check-test-env-safety.mjs --verify ${ENV_SNAP}"
+      else printf '%s' 'node scripts/check-test-env-safety.mjs --verify <运行期快照文件>'; fi ;;
+    *)                   printf '%s' '' ;;
+  esac
+}
+
+# 每条判据的**期望输出**（多行 = 全部必须命中；⚠️ 只用 POSIX ERE：BSD grep 不认 \s 这类简写）
+criterion_expect() {
+  case "$1" in
+    kernel-purity)       printf '%s\n' 'kernel-purity: [1-9][0-9]* 通过 / 0 失败' ;;
+    vertical-lint)       printf '%s\n' '结果：✅ 通过' ;;
+    docs-drift)          printf '%s\n' '可疑 0 条' ;;
+    host-matrix)         printf '%s\n' '矩阵结构：0 处' '可疑 0 条' ;;
+    sample-redaction)    printf '%s\n' '禁用串命中 0 处' '结构与键名一致' ;;
+    1.0-criteria)        printf '%s\n' '判据条数：40 条' '结论：✅ 一致' ;;
+    judgment-drift)      printf '%s\n' '契约漂移 0 条' ;;
+    capability-pack)     printf '%s\n' '每个能力包都自洽' ;;
+    pack-closure)        printf '%s\n' '缺件 0 个' ;;
+    config-catalog)      printf '%s\n' '四道门禁全绿' ;;
+    role-mapping)        printf '%s\n' '已声明的技能都真实存在' ;;
+    skill-classification) printf '%s\n' '未归类 0' ;;
+    production-home)     printf '%s\n' '"countOk":[[:space:]]*true' '"flowTriggers":[[:space:]]*0' ;;
+    plugin-bootcheck)    printf '%s\n' 'DONE fail=0' '启动冒烟通过' ;;
+    sync-scripts)        printf '%s\n' '已与仓库一致' ;;
+    suite)               printf '%s\n' '测试结果：[1-9][0-9]* 通过 / 0 失败' ;;
+    test-env-safety)     printf '%s\n' '关键文件未变' ;;
+    *)                   printf '%s\n' '' ;;
+  esac
+}
+
+# 摘要行抽取：优先取**最后一条**命中 summaryRe 的行；抽不到 ⇒ 退化为末条非空行（绝不空着）
+criterion_summary_re() {
+  case "$1" in
+    kernel-purity)       printf '%s' 'kernel-purity: ' ;;
+    vertical-lint)       printf '%s' '结果：' ;;
+    docs-drift)          printf '%s' '可疑 [0-9]+ 条' ;;
+    host-matrix)         printf '%s' '矩阵结构：' ;;
+    sample-redaction)    printf '%s' '结论：' ;;
+    1.0-criteria)        printf '%s' '结论：' ;;
+    judgment-drift)      printf '%s' '结论：' ;;
+    capability-pack)     printf '%s' '每个能力包都自洽' ;;
+    pack-closure)        printf '%s' '闭包体检：' ;;
+    config-catalog)      printf '%s' '结果：' ;;
+    role-mapping)        printf '%s' '技能目录：' ;;
+    skill-classification) printf '%s' '结论：' ;;
+    production-home)     printf '%s' '"flowTriggers":' ;;
+    plugin-bootcheck)    printf '%s' '启动冒烟通过' ;;
+    sync-scripts)        printf '%s' '已与仓库一致' ;;
+    suite)               printf '%s' '测试结果：' ;;
+    test-env-safety)     printf '%s' '结论：' ;;
+    *)                   printf '%s' '' ;;
+  esac
+}
+
+# 超时（秒）：全量套件 312–389s 实测 ⇒ 给 30 分钟余量；可用 CI_TIMEOUT_<判据名大写> 覆盖
+criterion_timeout() {
+  local n ov
+  n="$(printf '%s' "$1" | tr 'a-z-' 'A-Z_')"
+  ov="$(printenv "CI_TIMEOUT_${n}" 2>/dev/null || true)"
+  if [ -n "$ov" ]; then printf '%s' "$ov"; return 0; fi
+  case "$1" in
+    suite) printf '%s' 1800 ;;
+    sync-scripts|plugin-bootcheck) printf '%s' 600 ;;
+    production-home) printf '%s' 120 ;;
+    *) printf '%s' 300 ;;
+  esac
+}
+
+in_set() { case " ${CRITERIA} " in *" $1 "*) return 0 ;; *) return 1 ;; esac; }
+
+# ── 由快到慢的执行顺序里筛出本次要跑的（保持 CRITERIA 的先后）─────────────────────
+ONLY_NORM=""
+if [ -n "${ONLY}" ]; then
+  ONLY_NORM="$(printf '%s' "${ONLY}" | tr ',' ' ')"
+  for n in ${ONLY_NORM}; do
+    in_set "${n}" || { echo "✗ 未知判据：${n}（用 --list 看清单）" >&2; exit 2; }
+  done
+fi
+SELECTED=""
+for c in ${CRITERIA}; do
+  if [ -z "${ONLY_NORM}" ]; then SELECTED="${SELECTED}${SELECTED:+ }${c}"; continue; fi
+  case " ${ONLY_NORM} " in *" ${c} "*) SELECTED="${SELECTED}${SELECTED:+ }${c}" ;; esac
+done
+PARTIAL=0
+[ "${SELECTED}" = "${CRITERIA}" ] || PARTIAL=1
+
+TOTAL_ALL=0; for c in ${CRITERIA}; do TOTAL_ALL=$((TOTAL_ALL + 1)); done
+TOTAL_N=0; for c in ${SELECTED}; do TOTAL_N=$((TOTAL_N + 1)); done
+
+# ── --list：只列清单（不加锁、不建目录、不跑任何判据）────────────────────────────
+if [ "${DO_LIST}" = 1 ]; then
+  echo "Argent 自建 CI —— 判据清单（${TOTAL_ALL} 条；执行顺序 = 由快到慢，全量套件倒数第二、环境哨兵最后）"
+  echo "  仓库：${REPO}"
+  echo "  记录：${CI_HOME}/<UTC 时间戳>.json（并更新 latest.json / latest-full.json）｜ 日志：${LOGS}/<ts>.log"
+  echo
+  i=0
+  for c in ${CRITERIA}; do
+    i=$((i + 1))
+    printf '  %2d. %-20s %s\n' "$i" "$c" "$(criterion_title "$c")"
+    printf '      命令：%s\n' "$(criterion_cmd "$c")"
+    printf '      期望：%s\n' "$(criterion_expect "$c" | tr '\n' ' ')"
+    printf '      超时：%ss\n' "$(criterion_timeout "$c")"
+  done
+  echo
+  echo "  跑全部：bash scripts/ci-run.sh    ｜ 跑一条：bash scripts/ci-run.sh --only <名字>"
+  exit 0
+fi
+
+# ── 仓库自检（判据都要在仓库里跑）───────────────────────────────────────────────
+if [ ! -f "${REPO}/scripts/run-tests.sh" ]; then
+  echo "✗ 仓库不对：${REPO} 里没有 scripts/run-tests.sh（用 ARGENT_DSH_REPO=<仓库路径> 指定）" >&2
+  exit 2
+fi
+
+# ── 遥测总闸（⛔ CI 绝不发遥测；与 run-tests.sh 同源）───────────────────────────
+export ARGENT_TELEMETRY_OFF=1
+
+# ── 互斥锁（mkdir 原子创建）────────────────────────────────────────────────────
+LOCK_STALE=0
+# ⚠️ 必须先建父目录：`mkdir <锁>` 在**父目录不存在**时失败原因是 **ENOENT**（不是 EEXIST）——
+#    2026-10-05 首跑实测踩到：`~/.dsh/argent/ci` 尚不存在 ⇒ 第一版把 ENOENT 误判成"已有 CI 在跑"
+#    ⇒ **首次运行假 75**。故先 `mkdir -p`，且 mkdir 失败后必须分清"锁真的在"与"根本建不出来"。
+mkdir -p "${CI_HOME}" "${LOGS}"
+if ! mkdir "${LOCK}" 2>/dev/null; then
+  if [ ! -d "${LOCK}" ]; then
+    echo "✗ 建锁失败（不是锁竞争）：${LOCK} —— 检查父目录是否存在且可写" >&2
+    exit 2
+  fi
+  OWNER_PID="$(cat "${LOCK}/pid" 2>/dev/null | tr -dc '0-9' || true)"
+  OWNER_AT="$(cat "${LOCK}/started" 2>/dev/null || true)"
+  if [ -n "${OWNER_PID}" ] && kill -0 "${OWNER_PID}" 2>/dev/null; then
+    echo "⛔ 已有 CI 在跑 (pid ${OWNER_PID}，起于 ${OWNER_AT:-未知}) ⇒ 本次不排队，直接退出（exit 75）"
+    echo "   锁：${LOCK}（要立刻跑，请等它结束；⛔ 不要手删活锁）"
+    exit 75
+  fi
+  echo "⚠️  发现陈旧锁（pid ${OWNER_PID:-未知} 已不在，起于 ${OWNER_AT:-未知}）⇒ 接管（否则一次 kill -9 会永久锁死 CI）"
+  rm -rf "${LOCK}"
+  if ! mkdir "${LOCK}" 2>/dev/null; then
+    echo "⛔ 接管锁失败（可能刚好有并发进程抢到）⇒ exit 75" >&2
+    exit 75
+  fi
+  LOCK_STALE=1
+fi
+printf '%s\n' "$$" > "${LOCK}/pid"
+date -u +%Y-%m-%dT%H:%M:%SZ > "${LOCK}/started"
+printf '%s\n' "${REPO}" > "${LOCK}/repo"
+
+LOCK_OWNED=1
+cleanup() {
+  if [ "${LOCK_OWNED}" = 1 ] && [ -n "${LOCK}" ] && [ -f "${LOCK}/pid" ] && [ "$(cat "${LOCK}/pid" 2>/dev/null)" = "$$" ]; then
+    rm -rf "${LOCK}"
+  fi
+  [ -n "${TMP_CI:-}" ] && [ -d "${TMP_CI}" ] && rm -rf "${TMP_CI}"
+  return 0
+}
+trap cleanup EXIT INT TERM
+
+TMP_CI="$(mktemp -d -t argent-ci)"
+TS="$(date -u +%Y%m%dT%H%M%SZ)"
+[ -e "${CI_HOME}/${TS}.json" ] && TS="${TS}-$$"
+LOG="${LOGS}/${TS}.log"
+REC="${CI_HOME}/${TS}.json"
+LATEST="${CI_HOME}/latest.json"
+LATEST_FULL="${CI_HOME}/latest-full.json"
+TSV="${TMP_CI}/results.tsv"
+: > "${TSV}"
+
+START_ISO="$(date -u +%Y-%m-%dT%H:%M:%SZ)"
+START_MS="$(now_ms)"
+
+# 日志：本脚本自己的话（同时进控制台与日志）
+say() { printf '%s\n' "$*" | tee -a "${LOG}"; }
+
+say "════════ Argent 自建 CI ════════"
+say "  运行 ${TS}（UTC）｜仓库 ${REPO}"
+say "  判据 $( [ "${PARTIAL}" = 1 ] && printf '%s' "${TOTAL_N}/${TOTAL_ALL}（--only）" || printf '%s' "${TOTAL_ALL} 条（全量）" )"
+say "  锁 ${LOCK}（pid $$）$([ "${LOCK_STALE}" = 1 ] && printf '%s' ' ｜⚠️ 本次是接管陈旧锁' || true)"
+say "  记录 ${REC} ｜ 日志 ${LOG}"
+
+# ── 环境哨兵的快照：**在第一条判据之前**拍（这样最后那条 --verify 覆盖整个 CI 窗口）──
+ENV_SNAP=""
+case " ${SELECTED} " in
+  *" test-env-safety "*)
+    ENV_SNAP="${TMP_CI}/env-snapshot.json"
+    if node scripts/check-test-env-safety.mjs --snapshot "${ENV_SNAP}" >"${TMP_CI}/snapshot.out" 2>&1; then
+      say "  环境哨兵：已在跑任何判据前拍下真实数据目录快照（${ENV_SNAP}）"
+    else
+      say "  ⚠️ 环境哨兵快照拍失败（${ENV_SNAP}）：$(tail -2 "${TMP_CI}/snapshot.out" | tr '\n' ' ')"
+    fi
+    ;;
+esac
+
+# 单行字段净化（TSV 安全）+ 摘要抽取
+san() { printf '%s' "${1:-}" | tr '\t\n' '  ' | cut -c1-600; }
+extract_summary() {
+  local f="$1" re="$2" line=""
+  if [ -n "${re}" ]; then
+    line="$(grep -E -- "${re}" "${f}" 2>/dev/null | tail -1 | sed 's/^[[:space:]]*//; s/[[:space:]]*$//' || true)"
+  fi
+  if [ -z "${line}" ]; then
+    line="$(grep -v '^[[:space:]]*$' "${f}" 2>/dev/null | tail -1 | sed 's/^[[:space:]]*//; s/[[:space:]]*$//' || true)"
+  fi
+  printf '%s' "${line}" | tr '\t' ' ' | cut -c1-400
+}
+
+PASS_N=0; FAIL_N=0
+for id in ${SELECTED}; do
+  cmd="$(criterion_cmd "${id}")"
+  title="$(criterion_title "${id}")"
+  tmo="$(criterion_timeout "${id}")"
+  expects="$(criterion_expect "${id}")"
+  expects_flat="$(printf '%s' "${expects}" | tr '\n' ';' | sed -e 's/;;*$//' -e 's/;;*/; /g')"
+  out_file="${TMP_CI}/${id}.out"
+  tflag="${TMP_CI}/${id}.timedout"
+  : > "${out_file}"; rm -f "${tflag}"
+
+  started_at="$(date -u +%Y-%m-%dT%H:%M:%SZ)"
+  s_ms="$(now_ms)"
+  ( cd "${REPO}" && bash -c "${cmd}" ) >"${out_file}" 2>&1 &
+  cpid=$!
+  ( sleep "${tmo}"; : > "${tflag}"; kill_tree "${cpid}" ) >/dev/null 2>&1 &
+  wpid=$!
+  wait "${cpid}"; rc=$?
+  kill_tree "${wpid}"
+  wait "${wpid}" 2>/dev/null || true
+  e_ms="$(now_ms)"
+  finished_at="$(date -u +%Y-%m-%dT%H:%M:%SZ)"
+  dur=$((e_ms - s_ms))
+  [ "${dur}" -lt 0 ] && dur=0
+  dur_s="$(awk "BEGIN{printf \"%.1f\", ${dur}/1000}")"
+
+  timed_out=0; [ -f "${tflag}" ] && timed_out=1
+  expect_ok=1; miss_pat=""
+  if [ "${timed_out}" = 1 ]; then
+    status="fail"; why="（超时 ${tmo}s 未结束，已尽力终止进程树）"
+  else
+    while IFS= read -r pat; do
+      [ -n "${pat}" ] || continue
+      if ! grep -Eq -- "${pat}" "${out_file}"; then expect_ok=0; miss_pat="${pat}"; break; fi
+    done < <(printf '%s\n' "${expects}")
+    if [ "${rc}" -ne 0 ]; then
+      status="fail"; why="（exit ${rc}）"
+    elif [ "${expect_ok}" != 1 ]; then
+      # 退出码 0 但输出没命中期望 ⇒ 判红：防"脚本跑了但什么都没查"的假绿
+      status="fail"; why="（输出未命中期望判据：${miss_pat}）"
+    else
+      status="pass"; why=""
+    fi
+  fi
+  summary="$(extract_summary "${out_file}" "$(criterion_summary_re "${id}")")"
+
+  # 全文进日志（按判据分段，可 grep）
+  {
+    printf '\n──────── [%s] %s\n' "${id}" "${title}"
+    printf '  命令：%s\n  期望：%s\n  开始：%s ｜ 超时：%ss\n' "${cmd}" "${expects_flat:-（无）}" "${started_at}" "${tmo}"
+    cat "${out_file}"
+    printf '──────── [%s] 结束 rc=%s 状态=%s 耗时=%sms\n' "${id}" "${rc}" "${status}" "${dur}"
+  } >> "${LOG}"
+
+  printf '%s\t%s\t%s\t%s\t%s\t%s\t%s\t%s\t%s\t%s\t%s\t%s\n' \
+    "${id}" "$(san "${title}")" "${status}" "${rc}" "${timed_out}" "${expect_ok}" "${dur}" \
+    "${started_at}" "${finished_at}" "$(san "${cmd}")" "$(san "${expects_flat}")" "$(san "${summary}")" >> "${TSV}"
+
+  if [ "${status}" = "pass" ]; then
+    PASS_N=$((PASS_N + 1))
+    [ "${QUIET}" = 1 ] || printf '  ✅ %-20s %6ss  %s\n' "${id}" "${dur_s}" "${summary}"
+  else
+    FAIL_N=$((FAIL_N + 1))
+    printf '  ❌ %-20s %6ss  %s %s\n' "${id}" "${dur_s}" "${summary}" "${why}"
+  fi
+done
+
+END_ISO="$(date -u +%Y-%m-%dT%H:%M:%SZ)"
+END_MS="$(now_ms)"
+ELAPSED_MS=$((END_MS - START_MS))
+[ "${ELAPSED_MS}" -lt 0 ] && ELAPSED_MS=0
+ELAPSED_S="$(awk "BEGIN{printf \"%.1f\", ${ELAPSED_MS}/1000}")"
+[ "${FAIL_N}" -eq 0 ] && RESULT="pass" || RESULT="fail"
+[ "${FAIL_N}" -eq 0 ] && EXIT_CODE=0 || EXIT_CODE=1
+
+# ── 记录（git 状态**只读**采集）────────────────────────────────────────────────
+CI_HEAD="$(git -C "${REPO}" rev-parse --short=12 HEAD 2>/dev/null || true)"
+CI_BRANCH="$(git -C "${REPO}" rev-parse --abbrev-ref HEAD 2>/dev/null || true)"
+DIRTY_LIST="$(git -C "${REPO}" status --porcelain 2>/dev/null | head -20 || true)"
+DIRTY_COUNT="$(git -C "${REPO}" status --porcelain 2>/dev/null | wc -l | tr -d ' ' || true)"
+[ -n "${DIRTY_COUNT}" ] || DIRTY_COUNT=0
+[ "${DIRTY_COUNT}" -gt 0 ] 2>/dev/null && CI_DIRTY=1 || CI_DIRTY=0
+
+export CI_TS="${TS}" CI_PARTIAL="${PARTIAL}" CI_ONLY="${ONLY_NORM// /,}" CI_RESULT="${RESULT}" CI_EXIT="${EXIT_CODE}"
+export CI_STARTED="${START_ISO}" CI_FINISHED="${END_ISO}" CI_DURATION_MS="${ELAPSED_MS}"
+export CI_REPO="${REPO}" CI_HEAD="${CI_HEAD}" CI_BRANCH="${CI_BRANCH}" CI_DIRTY="${CI_DIRTY}"
+export CI_DIRTY_COUNT="${DIRTY_COUNT}" CI_DIRTY_FILES="${DIRTY_LIST}"
+export CI_HOST="$(hostname -s 2>/dev/null || hostname)" CI_PLATFORM="$(uname -s)" CI_RELEASE="$(uname -r)" CI_ARCH="$(uname -m)"
+export CI_MACOS="$(sw_vers -productVersion 2>/dev/null || true)"
+export CI_NODE="$(node -v 2>/dev/null || true)" CI_DSH="$(dsh --version 2>/dev/null | head -1 || true)"
+export CI_PY="${PY}" CI_PYVER="${PYVER}" CI_PATH="${PATH}"
+export CI_LOCK="${LOCK}" CI_PID="$$" CI_STALE="${LOCK_STALE}"
+export CI_ALL_COUNT="${TOTAL_ALL}" CI_LOG="${LOG}" CI_HOME="${CI_HOME}"
+export CI_DATA_DIR="${DATA_DIR}"
+export CI_ARGV="${ARGV_STR}"
+
+node - "${TSV}" "${REC}" "${LATEST}" "${LATEST_FULL}" <<'NODE' || echo "⚠️ 记录写入失败（JSON 组装出错）" >&2
+const fs = require('node:fs')
+const [tsvPath, recPath, latestPath, latestFullPath] = process.argv.slice(2)
+const E = process.env
+const rows = fs.readFileSync(tsvPath, 'utf8').split('\n').filter((l) => l.trim() !== '')
+const criteria = rows.map((line) => {
+  const c = line.split('\t')
+  return {
+    name: c[0] || '',
+    title: c[1] || '',
+    status: c[2] || '',
+    exitCode: Number(c[3] || 0),
+    timedOut: c[4] === '1',
+    expectOk: c[5] === '1',
+    durationMs: Number(c[6] || 0),
+    startedAt: c[7] || '',
+    finishedAt: c[8] || '',
+    cmd: c[9] || '',
+    expect: (c[10] || '') === '' ? [] : c[10].split('; '),
+    summary: c[11] || '',
+  }
+})
+const passCount = criteria.filter((c) => c.status === 'pass').length
+const rec = {
+  schema: 'argent-ci/1',
+  runId: E.CI_TS || '',
+  partial: E.CI_PARTIAL === '1',
+  only: (E.CI_ONLY || '') === '' ? [] : E.CI_ONLY.split(','),
+  result: E.CI_RESULT || '',
+  exitCode: Number(E.CI_EXIT || 0),
+  startedAt: E.CI_STARTED || '',
+  finishedAt: E.CI_FINISHED || '',
+  durationMs: Number(E.CI_DURATION_MS || 0),
+  repo: {
+    path: E.CI_REPO || '',
+    head: E.CI_HEAD || '',
+    branch: E.CI_BRANCH || '',
+    dirty: E.CI_DIRTY === '1',
+    dirtyCount: Number(E.CI_DIRTY_COUNT || 0),
+    dirtyFiles: (E.CI_DIRTY_FILES || '') === '' ? [] : E.CI_DIRTY_FILES.split('\n'),
+  },
+  machine: {
+    hostname: E.CI_HOST || '', platform: E.CI_PLATFORM || '', release: E.CI_RELEASE || '',
+    arch: E.CI_ARCH || '', macos: E.CI_MACOS || '',
+  },
+  runtime: { node: E.CI_NODE || '', dsh: E.CI_DSH || '', python: E.CI_PY || '', pythonVersion: E.CI_PYVER || '', path: E.CI_PATH || '' },
+  lock: { path: E.CI_LOCK || '', pid: Number(E.CI_PID || 0), staleTakenOver: E.CI_STALE === '1' },
+  counts: { all: Number(E.CI_ALL_COUNT || 0), selected: criteria.length, pass: passCount, fail: criteria.length - passCount },
+  criteria,   // ⚠️ 2026-10-05 修：第一版漏了这个键 ⇒ 记录里只有 counts、**没有逐条判据**（正是要交付的东西）。
+              //    自证口径：写完必须 `node -e 'console.log(r.criteria.length)'` 回读一次，不是看一眼 counts 就算数。
+  env: { dataDir: E.CI_DATA_DIR || '', dataDirSource: 'scripts/argent-datadir.py（唯一判据）' },
+  log: E.CI_LOG || '',
+  argv: (E.CI_ARGV || '') === '' ? [] : E.CI_ARGV.split('\n'),
+  notes: [
+    '只读校验：不 push / 不部署 / 不连客户机 / 不改凭据 / 不跑包管理器 / 不做 git checkout|clean（git 状态只读采集）。',
+    '本地写入仅两处：本记录与日志（' + (E.CI_HOME || '') + '/**）；sync-scripts --no-pull 按脚本自身契约把仓库重新投递到本机安装克隆（无网络动作）。',
+    '判据措辞即判据：每条 criterion.expect 是必须命中的输出正则；措辞变更会让该条转红（防"脚本跑了但什么都没查"的假绿）。',
+  ],
+}
+const text = JSON.stringify(rec, null, 2) + '\n'
+fs.writeFileSync(recPath, text)
+fs.writeFileSync(latestPath, text)
+if (rec.partial !== true) fs.writeFileSync(latestFullPath, text)
+NODE
+
+# ── 汇总 ───────────────────────────────────────────────────────────────────────
+say ""
+say "════════════════════════════════════════════════════════════════"
+if [ "${FAIL_N}" -eq 0 ]; then
+  say "  CI 结果：${PASS_N}/${TOTAL_N} 通过 ✓（耗时 ${ELAPSED_S}s）"
+else
+  say "  CI 结果：${PASS_N}/${TOTAL_N} 通过（耗时 ${ELAPSED_S}s）⇒ 退出码 1"
+  say "  ❌ 失败的判据（${FAIL_N}）："
+  while IFS="$(printf '\t')" read -r c_name c_title c_status c_rc c_to c_eo c_dur c_s c_f c_cmd c_exp c_sum; do
+    [ "${c_status}" = "pass" ] && continue
+    [ -n "${c_name}" ] || continue
+    say "     · ${c_name}（${c_title}）exit=${c_rc}$([ "${c_to}" = 1 ] && printf '%s' ' 超时' || true)"
+    say "       摘要：${c_sum}"
+    say "       全文：${LOG} 的 [${c_name}] 段"
+  done < "${TSV}"
+fi
+if [ "${PARTIAL}" = 1 ]; then
+  say "  ⚠️ 本次只跑了 ${TOTAL_N}/${TOTAL_ALL} 条（--only）⇒ 这是**部分结果**："
+  say "     latest.json 已更新为部分结果（partial=true）；**全量门禁状态看 latest-full.json**"
+fi
+say "  记录：${REC}"
+say "        ${LATEST}$([ "${PARTIAL}" = 1 ] && printf '%s' '（本次已更新，partial=true）' || true)"
+say "  日志：${LOG}"
+say "════════════════════════════════════════════════════════════════"
+exit "${EXIT_CODE}"