agentic-flow-kit 1.7.15 → 1.8.0

package/src/profiles.mjs

@@ -113,9 +113,16 @@ export function isOwned(rel) {
   return rel === 'AGENTS.md' || rel === '.gitattributes' || rel.startsWith('workflow/') || rel.startsWith('wiki/')
     || rel.startsWith('.agents/notes/')
     || rel === '.agents/workflow-modules.txt' || rel === '.agents/rule-budgets.txt'
-    || rel === '.agents/metric-claims.txt' || rel === '.agents/metric-derivers.cjs'
-    || rel === '.agents/metric-derivers.mjs'
-    || rel === '.agents/hooks/local-pre-commit'
+    // level-hints.txt（2026-10-13 flow-kit-route）：风险级别**路径下限**清单，内容项目私有（照抄别人的
+    //   清单等于没登记），故归装户自持、sync 永不覆盖——与 lane-surfaces.txt 同款性质。
+    || rel === '.agents/level-hints.txt'
+  || rel === '.agents/metric-claims.txt' || rel === '.agents/metric-derivers.cjs'
+  || rel === '.agents/metric-derivers.mjs'
+  // mechanism-registry.md（2026-10-13 judgment-ledger 回灌 B4）：机制使用量登记表——装户按月对账
+  // 自持运营（增删机制行 / 刷新计数 / 退役处置），若落 managed 则每次对账编辑都报「本地已改」漂移，
+  // 与 metric-claims.txt 同款性质，归 owned（随包附带示例行起步内容，此后归项目）。
+  || rel === '.agents/mechanism-registry.md'
+  || rel === '.agents/hooks/local-pre-commit'
     || rel.startsWith('.github/');
 }
 

package/src/render.mjs

@@ -43,8 +43,8 @@ export function renderTree(srcRoot, targetRoot, vars, { force = false, protectSe
         continue;
       }
       const rel = relOf(abs, srcRoot);
-      // 引擎基线不是模板：包源径基线的键命名空间与装户盘面不一致（见 check-engine-integrity.mjs
-      // resolveLock 注释）——下发会致装户全员误报。包源跑 --update 落盘时排除，杜绝入库即污染
+      // 引擎基线不是模板：键在 templates/_agents/…，下发成 .agents/engine-lock.json 会让装户
+      // 拿包源路径对账。排除该落点，包源基线留在模板目录。
       if (rel === '.agents/engine-lock.json') continue;
       const target = path.join(targetRoot, rel);
       fs.mkdirSync(path.dirname(target), { recursive: true });
@@ -61,7 +61,7 @@ export function renderTree(srcRoot, targetRoot, vars, { force = false, protectSe
       if (raw.length < 512 * 1024 && !raw.includes(0)) {
         // 文本面 LF 归一（2026-09-27 closing-coverage）：模板盘面 CRLF（autocrlf 检出 / 编辑器写入）与
         // LF 克隆渲染出同一字节、同一 sha——fresh sha、装户落盘、kit.json 台账三方跨环境稳定；
-        // sync/doctor/source-sync-check 的读取侧归一（shaText）与本处写盘归一同口径闭合
+        // sync/doctor 的读取侧归一（shaText）与本处写盘归一同口径闭合
         const replaced = renderContent(raw.toString('utf8').replace(/\r\n/g, '\n'), vars);
         if (replaced.includes('{{')) {
           for (const m of replaced.matchAll(/\{\{([A-Z][A-Z0-9_]*)\}\}/g)) {

package/src/rule-budget.test.mjs

@@ -4,7 +4,7 @@
 // 两处都不跑——bb69e19/418960a 重构净增 78B 把 .agents/commands/ 推到 65581B > 65536B，包源侧零暴露，
 // 装户首提被硬拦才发现（2026-10-11 S1 冒烟）。本套件把同一张预算表映射到包源路径核对，npm test / CI
 // 直接拦超限——模板增长不再静默入包。run-tests 盘面 glob 自动挂载本套件。
-// 口径（对照 templates/_agents/scripts/rule-budget.sh 单源，勿两处漂移）：
+// 口径（对照 templates/_agents/scripts/rule-budget.mjs 单源，勿两处漂移）：
 //   字节 = LF 归一（工作树读入去 \r\n——等价 fsize 的 git cat-file 口径，core.autocrlf 检出形态无关）；
 //   目录合计 = 扁平 glob（直接子文件，不入子目录）；pat=首空格前 / lim=末空格后；lim 非纯数字行跳过；
 //   # 注释与空行跳过。
@@ -36,7 +36,7 @@ if (!fs.existsSync(BUDGETS)) {
 }
 const rows = [];
 for (const line of fs.readFileSync(BUDGETS, 'utf8').split('\n')) {
-  const t = line.replace(/\r/g, '');   // 表文件检出即 CRLF——显式去 \r（rule-budget.sh 同款）
+  const t = line.replace(/\r/g, '');   // 表文件检出即 CRLF——显式去 \r（rule-budget.mjs 读取同款容 \r）
   if (!t || t.startsWith('#')) continue;
   const i = t.indexOf(' ');
   if (i < 0) continue;

package/src/stack-profile.test.mjs

@@ -8,6 +8,7 @@ import os from 'node:os';
 import path from 'node:path';
 import { fileURLToPath } from 'node:url';
 import { HELP } from './cli.mjs';
+import { routeKindList } from './executor.mjs';
 import { commitCheckConfig, settingsJson } from './profiles.mjs';
 
 const ROOT = path.resolve(path.dirname(fileURLToPath(import.meta.url)), '..');
@@ -30,6 +31,11 @@ check('help 含四套已发布门禁',
 check('help 不再把当前门禁写成只有 dotnet-ca',
   !HELP.includes('当前：dotnet-ca；') && !HELP.includes('当前：dotnet-ca）'));
 
+// route 的 kind 值域与 GATE_LIST 同纪律：从权威面（new-task.md 的 route-kinds 机器单源）派生，
+//   不手写第二份——否则装户改 kind 时 help 与 route 判定面双源漂移。
+const kindList = routeKindList(ROOT).join('|');
+check('help route kind 列表等于 new-task.md route-kinds 单源', HELP.includes(`--kind ${kindList}`), kindList);
+
 const nodeCfg = JSON.parse(commitCheckConfig('node'));
 check('node 构建命令带 pkg:scripts.build',
   nodeCfg.builds.some((b) => b.command === 'npm run build' && Array.isArray(b.when) && b.when.includes('pkg:scripts.build')));

package/src/sync-hosts.mjs

@@ -47,10 +47,8 @@ function listMd(dir) {
 // pairsFor：权威源文件 → 薄适配 rel 列表（映射单源见 profiles.mjs#HOSTS.commandPrefix）
 //   commands 权威源 → 带 commandPrefix 的宿主各一份（<dir>/commands/<prefix><name>.md）
 //   roles    权威源 → 全部宿主 agents 各一份
-// hostDirOf：宿主 → 适配目录名。包源布局 = 宿主键（modules/hosts/opencode/…）；装户布局 = HOSTS[h].dir
-// （项目根下 .opencode/…，带点）——2026-10-07 sync-hosts-target-fix 加装户支持时引入。
-// hostFilter（2026-10-09 sync-hosts-root-coverage）：宿主级过滤（多根模式下「项目根宿主点」根只扫
-//   实际存在 dir 的宿主——不存在=没装该宿主点，不算缺失不算漂移）。
+// hostDirOf：宿主 → 适配目录名。包源调用传入 (h) => h，配对落在 modules/hosts/<宿主键>/。
+// hostFilter：宿主级过滤。调用方只扫实际存在的宿主目录时传入。
 function pairsFor(authRel, hostDirOf = (h) => h, hostFilter = null) {
   const out = [];
   const norm = authRel.split(path.sep).join('/');
@@ -74,12 +72,9 @@ function pairsFor(authRel, hostDirOf = (h) => h, hostFilter = null) {
 
 // diffHosts：权威源正文段 vs 薄适配正文段的漂移分析（B-b 语义；pure function）。
 // authorityRoot：权威源根（含 commands/ + roles/）
-// 多根对账（2026-10-09 sync-hosts-root-coverage）：adapterRoots = [{root, hostDirOf, hostFilter?, label?}]——
-//   包源布局传两根（modules/hosts 宿主键形态 + 项目根 HOSTS.dir 形态宿主点）；装户布局单根。
-//   向后兼容：旧单根入参 adaptersRoot/hostDirOf 归一为单元素数组。
-//   根因教训（engine-quality-round2 B1）：包源布局此前只扫 modules/hosts，项目根宿主点（本仓 .zcode/）
-//   完全不在扫描面——bb69e19「81 对全对齐」声明漏掉 .zcode 三份（独立复核 P2-3 实证）。
-// hostDirOf：宿主 → 适配目录名（默认宿主键 = 包源布局；装户布局传 (h) => HOSTS[h].dir）
+// adapterRoots = [{root, hostDirOf, hostFilter?, label?}]。只扫 modules/hosts。
+// 向后兼容：旧单根入参 adaptersRoot/hostDirOf 归一为单元素数组。
+// hostDirOf：宿主 → 适配目录名（默认宿主键）
 // 返回：{ drift, inSync, authorityMissing, adapterOrphans, faces }
 // drift 条目自带 root（applyForward 按它定位适配文件）；faces = 对账面自描述行（防不可解释的「N 对」）
 export function diffHosts(opts) {
@@ -196,55 +191,35 @@ function applyForward({ authorityRoot }, drift) {
 export function syncHosts(args, pkgRoot) {
   let apply = false;
   let json = false;
+  let strict = false;
   let dir = null;
   for (let i = 0; i < args.length; i++) {
     const a = args[i];
     if (a === '--diff') apply = false;
     else if (a === '--apply') apply = true;
     else if (a === '--json') json = true;
+    else if (a === '--strict') strict = true;
     else if (a === '--dir') { dir = args[++i]; if (!dir) fail('--dir 缺少参数（目标项目根）'); }
     else fail(`未知选项：${a}（flow-kit sync-hosts --help）`);
   }
   if (!pkgRoot) fail('sync-hosts 缺少 pkgRoot（开发模式入口）');
 
-  // 目标根：--dir > cwd > pkgRoot（兜底）。
-  // 2026-10-07 sync-hosts-target-fix：此前恒用 pkgRoot——装户里跑 `flow-kit sync-hosts` 时 pkgRoot
-  // 解析为**包安装目录**，于是 doctor §7.x 报漂移、照提示跑 `--apply` 会去改包源仓（装户自己的适配层纹丝不动）。
+  // 目标根：--dir > cwd > pkgRoot。只认包源仓（templates/_agents + modules/hosts）。
+  // 装户仓的宿主文件由 init / add-host 写入，不在这里把 .agents 再当成第二份权威源。
   const target = path.resolve(dir || process.cwd() || pkgRoot);
-  // 布局判定（与 doctor.checkAdapterDrift 同口径）：
-  //   包源（templates/_agents 与 modules/hosts 同时存在）→ 权威源 = <target>/templates/_agents
-  //     薄适配根（2026-10-09 sync-hosts-root-coverage 多根）= ① modules/hosts（宿主键形态，全宿主）
-  //     + ② 项目根 HOSTS.dir 实际存在的宿主点（如本仓 .zcode/——此前不在扫描面，bb69e19「81 对全对齐」
-  //     漏掉其三份，独立复核 P2-3 实证）；不存在 = 没装该宿主点，不算缺失。
-  //   装户（其余）→ 权威源 = <target>/.agents，薄适配根 = <target>（宿主目录 .opencode/.trae/… 直接位于项目根）
-  const isSourceRepo = fs.existsSync(path.join(target, 'templates', '_agents'))
-    && fs.existsSync(path.join(target, 'modules', 'hosts'));
-  const authorityRoot = isSourceRepo ? path.join(target, 'templates', '_agents') : path.join(target, '.agents');
-  const adapterRoots = isSourceRepo
-    ? [
-        { root: path.join(target, 'modules', 'hosts'), hostDirOf: (h) => h, label: 'modules/hosts' },
-        {
-          root: target,
-          hostDirOf: (h) => (HOSTS[h] && HOSTS[h].dir) || h,
-          hostFilter: (h) => HOSTS[h] && fs.existsSync(path.join(target, HOSTS[h].dir)),
-          label: '项目根宿主点',
-        },
-      ]
-    : [{
-        root: target,
-        hostDirOf: (h) => (HOSTS[h] && HOSTS[h].dir) || h,
-        hostFilter: (h) => HOSTS[h] && fs.existsSync(path.join(target, HOSTS[h].dir)),
-        label: '项目根宿主点',
-      }];
-  if (!fs.existsSync(authorityRoot)) {
-    fail(`未找到权威源目录：${authorityRoot}——目标根 ${target} 既非包源（无 templates/_agents）也非装户（无 .agents）；用 --dir <项目根> 指定`);
+  const authorityRoot = path.join(target, 'templates', '_agents');
+  const hostsRoot = path.join(target, 'modules', 'hosts');
+  if (!fs.existsSync(authorityRoot) || !fs.existsSync(hostsRoot)) {
+    fail(`sync-hosts 只在包源仓运行（需要 templates/_agents 与 modules/hosts）。目标根 ${target} 不是包源仓。装户的宿主文件由 init / add-host 写入。`);
   }
-  const layout = isSourceRepo ? '包源' : '装户';
+  const adapterRoots = [
+    { root: hostsRoot, hostDirOf: (h) => h, label: 'modules/hosts' },
+  ];
   const result = diffHosts({ authorityRoot, adapterRoots });
 
   if (apply && result.drift.length > 0) {
     const { synced } = applyForward({ authorityRoot }, result.drift);
-    console.log(`▶ flow-kit sync-hosts --apply → ${target}（${layout}布局）`);
+    console.log(`▶ flow-kit sync-hosts --apply → ${target}（包源）`);
     console.log(`  对账面：${result.faces.join(' + ')}`);
     console.log(`  按权威源正文覆盖薄适配正文段 ${synced.length} 份（薄适配 frontmatter 不动）：`);
     for (const rel of synced) console.log(`    - ${rel}`);
@@ -256,8 +231,27 @@ export function syncHosts(args, pkgRoot) {
   if (json) {
     process.stdout.write(JSON.stringify(result, null, 2) + '\n');
   } else {
-    console.log(`▶ flow-kit sync-hosts --diff → ${target}（${layout}布局）`);
+    console.log(`▶ flow-kit sync-hosts --diff → ${target}（包源）`);
     printDiff(result);
   }
+  // --strict（B4，2026-10-13）：漂移**报告器**变机器门。
+  // 背景：source-sync-check 删除后，跨宿主正文漂移只剩人工跑一次 --diff，CI 里无任何调用点——
+  //   而改权威源要同步 N 份薄适配，人工 grep 易漏（本次评审前 10 份薄适配就带着漂移）。
+  //   默认仍返回 0（保持「报告器」语义，人工跑不因漂移而失败）；CI 用 --strict 把漂移变成红。
+  // 口径：**只判「跑一次 --apply 就能归零」的两项**（正文漂移 + 权威源缺失）。
+  //   孤儿薄适配不判红——--apply 按设计不删它（可能是宿主特化/历史残留），
+  //   把它算红就是一条机器无法自愈的假红，按本仓「假阳性即噪声」纪律不能设成门（仍照常报告）。
+  if (strict) {
+    const fixable = result.drift.length + result.authorityMissing.length;
+    if (fixable > 0) {
+      console.error(`[跨宿主漂移 strict] 正文漂移 ${result.drift.length} · 权威源缺失 ${result.authorityMissing.length}`
+        + `${result.adapterOrphans.length ? `（另有孤儿薄适配 ${result.adapterOrphans.length} 份，按设计不判红）` : ''}`
+        + '——须先 flow-kit sync-hosts --apply 再提交');
+      return 1;
+    }
+    if (result.adapterOrphans.length) {
+      console.log(`  ℹ️ 孤儿薄适配 ${result.adapterOrphans.length} 份（--apply 按设计不删，故 strict 不判红；确为残留请手工删）`);
+    }
+  }
   return 0;
 }

package/src/sync-hosts.test.mjs

@@ -4,7 +4,7 @@
 // 判据：①全对齐 → inSync=28, drift 空 ②权威源改 → drift 列 ③apply → 正文一致，frontmatter 各自保留
 // ④薄适配 frontmatter 手改 → 不进 drift ⑤薄适配正文手改 → drift 列，apply 覆盖
 // ⑥薄适配缺失 → authorityMissing 列；apply 不自动创建
-// ⑦--json ⑧孤儿薄适配 ⑨装户布局（--dir / cwd 指向装户根 → 按 .agents ↔ 宿主目录比对）
+// ⑦--json ⑧孤儿薄适配 ⑨非包源根拒绝（不把 .agents 当权威源）
 // 用法：node src/sync-hosts.test.mjs
 import fs from 'node:fs';
 import path from 'node:path';
@@ -78,7 +78,18 @@ syncHosts(process.argv.slice(2), root);
   return spawnSync(process.execPath, [driver, '--dir', fixtureRoot, ...extra], { encoding: 'utf8', ...opts });
 }
 
-// 不传 --dir 形态：把 cwd 设为 fixture（验「默认当前目录」解析；装户布局靠 cwd 判定）
+// runSyncHostsExit：与 CLI 同口径**传播退出码**（cli.mjs 会 process.exit(syncHosts(...))）。
+//   上面的 runSyncHosts driver 丢弃返回值，故退出码恒 0——不能用来断言 --strict 判红（B4）。
+function runSyncHostsExit(fixtureRoot, extra = []) {
+  const driver = path.join(fixtureRoot, 'driver-exit.mjs');
+  W(driver, `import { syncHosts } from ${JSON.stringify(pathToFileURL(path.join(SRC_ROOT, 'sync-hosts.mjs')).href)};
+const code = syncHosts(process.argv.slice(2), ${JSON.stringify(fixtureRoot)});
+process.exit(typeof code === 'number' ? code : 0);
+`);
+  return spawnSync(process.execPath, [driver, '--dir', fixtureRoot, ...extra], { encoding: 'utf8' });
+}
+
+// 不传 --dir 形态：把 cwd 设为 fixture（验「默认当前目录」解析）
 function runSyncHostsByCwd(fixtureRoot, extra = []) {
   const driver = path.join(fixtureRoot, 'driver.mjs');
   W(driver, `import { syncHosts } from ${JSON.stringify(pathToFileURL(path.join(SRC_ROOT, 'sync-hosts.mjs')).href)};
@@ -192,39 +203,23 @@ syncHosts(process.argv.slice(2), root);
   check('S8 apply 不删孤儿薄适配', fs.existsSync(path.join(fx, 'modules/hosts/opencode/commands/orphan.md')) && fs.existsSync(path.join(fx, 'modules/hosts/opencode/commands/wf-legacy.md')));
 }
 
-// ============ 场景 9：装户布局（.agents 为权威源 + 宿主目录为薄适配，无 templates/modules）============
-// 2026-10-07 sync-hosts-target-fix：此前目标根恒为 pkgRoot（= 包安装目录），装户跑 sync-hosts
-// 会去改包源仓。本场景钉住「--dir / cwd 指向装户根 → 按装户布局比对」。
+// ============ 场景 9：非包源根拒绝（.agents 不再当权威源，宿主文件保持原样）============
 {
  const root = fs.mkdtempSync(path.join(os.tmpdir(), 'fk-synchosts-inst-'));
  W(path.join(root, '.agents/commands/test.md'),
  `---\ndescription: Test 阶段\n---\n\n# Test · v2\n\n权威源正文 test v2\n`);
- W(path.join(root, '.opencode/commands/wf-test.md'),
- `---\ndescription: Test · opencode\n---\n\n# Test · v1\n\n旧正文 test v1\n`);
- W(path.join(root, '.trae/commands/wf-test.md'),
- `---\nname: wf-test\ndescription: Test · trae\n---\n\n# Test · v1\n\n旧正文 test v1\n`);
+ const hostBody = `---\ndescription: Test · opencode\n---\n\n# Test · v1\n\n旧正文 test v1\n`;
+ W(path.join(root, '.opencode/commands/wf-test.md'), hostBody);
 
- // 9a：--dir 指向装户根 → 布局判定「装户」，列出 2 处漂移
  const r1 = runSyncHosts(root, ['--diff']);
  const out1 = r1.stdout + r1.stderr;
- check('S9 装户布局：--dir 指向装户根 → 头部标「装户布局」', /装户布局/.test(out1), out1);
- check('S9 装户布局：列出 2 处正文漂移', /正文段漂移（2/.test(out1), out1);
- // 未装宿主（claude/cursor/codex）目录不存在 → 不算「缺失」（否则装户刷屏 + apply 恒 exit 1）
- check('S9 装户布局：未装宿主不进「权威源声明但薄适配缺失」', !/权威源声明但薄适配缺失/.test(out1), out1);
+ check('S9 非包源根 --diff：拒绝且点明只在包源仓运行', r1.status !== 0 && /只在包源仓运行/.test(out1), out1);
+ check('S9 非包源根 --diff：不改宿主文件', R(path.join(root, '.opencode/commands/wf-test.md')) === hostBody, out1);
 
- // 9b：不传 --dir（cwd = 装户根）→ 同样命中装户布局（旧行为会误指包源）
- const r2 = runSyncHostsByCwd(root, ['--diff']);
+ const r2 = runSyncHostsByCwd(root, ['--apply']);
  const out2 = r2.stdout + r2.stderr;
- check('S9 cwd 默认：装户布局解析正确（不再误指包源）', /装户布局/.test(out2) && !/包源布局/.test(out2), out2);
-
- // 9c：apply → 正文段对齐、薄适配 frontmatter 保留
- const r3 = runSyncHosts(root, ['--apply']);
- const out3 = r3.stdout + r3.stderr;
- const bodyOf = (p) => { const t = R(p); const m = t.match(/^---\r?\n[\s\S]*?\r?\n---\r?\n/); return t.slice(m ? m[0].length : 0); };
- check('S9 装户布局 apply：opencode 正文段对齐', bodyOf(path.join(root, '.opencode/commands/wf-test.md')) === bodyOf(path.join(root, '.agents/commands/test.md')), out3);
- check('S9 装户布局 apply：trae frontmatter 保留（name: wf-test）', /^---\nname: wf-test/m.test(R(path.join(root, '.trae/commands/wf-test.md'))), out3);
- // 未装宿主不计缺失 → apply 摘要「权威源缺失：0」且 exit 0
- check('S9 装户布局 apply：未装宿主不计缺失 → 权威源缺失 0 且 exit 0', /权威源缺失：0/.test(out3) && r3.status === 0, `status=${r3.status}\n${out3}`);
+ check('S9 cwd 为装户根 --apply：同样拒绝', r2.status !== 0 && /只在包源仓运行/.test(out2), out2);
+ check('S9 cwd 为装户根 --apply：宿主文件未被改写', R(path.join(root, '.opencode/commands/wf-test.md')) === hostBody, out2);
 }
 
 {
@@ -237,43 +232,59 @@ syncHosts(process.argv.slice(2), root);
   check('实仓薄适配无缺失无正文漂移', r.authorityMissing.length === 0 && r.drift.length === 0, `missing=${r.authorityMissing.length} drift=${r.drift.length} ${sample}`);
 }
 
-// ============ 场景 10-12：包源布局多根对账（2026-10-09 sync-hosts-root-coverage，B1）============
-// 根因教训（bb69e19「81 对全对齐」漏 .zcode 三份，独立复核 P2-3）：包源布局此前只扫 modules/hosts，
-// 项目根 HOSTS.dir 形态宿主点（本仓 .zcode/）不在扫描面。三场景钉住：漂移可检出 / apply 可修复且
-// frontmatter 保留 / 对账面自描述行在案。
+// ============ 场景 10：包源仓不扫描项目根宿主点（.zcode 等不是第二对账面）============
 {
-  // S10：包源 fixture + 项目根 .zcode/agents 漂移（正文旧 + frontmatter zcode 风格）→ --diff 报漂移
   const fx = mkFixture();
-  W(path.join(fx, '.zcode/agents/implementer.md'),
-    `---\nname: implementer\ndescription: zcode 本仓风格\n---\n\n# Implementer · v0\n\n旧版正文 implementer v0\n`);
+  const zcodeBody = `---\nname: implementer\ndescription: zcode 本仓风格\n---\n\n# Implementer · v0\n\n旧版正文 implementer v0\n`;
+  W(path.join(fx, '.zcode/agents/implementer.md'), zcodeBody);
   const r = runSyncHosts(fx, ['--diff']);
   const out = r.stdout + r.stderr;
-  check('S10 项目根宿主点漂移：--diff 报 .zcode/agents/implementer.md',
-    out.includes('.zcode/agents/implementer.md') && /正文段漂移/.test(out), out.slice(0, 600));
-  check('S10 对账面自描述：含「项目根宿主点（1 宿主）」', /对账面：.*项目根宿主点（1 宿主）/.test(out), out.split('\n').slice(0, 4).join('\n'));
-
-  // S11：--apply 修复项目根漂移——正文覆盖为权威源、frontmatter 保留、漂移归零
-  const r2 = runSyncHosts(fx, ['--apply']);
-  const out2 = r2.stdout + r2.stderr;
-  const synced = /- \.zcode\/agents\/implementer\.md/.test(out2);
-  const fixed = R(path.join(fx, '.zcode/agents/implementer.md'));
-  check('S11 --apply 同步清单含 .zcode 条目', synced, out2.slice(0, 500));
-  check('S11 --apply 正文覆盖 + frontmatter 保留',
-    fixed.includes('权威源正文 implementer v1') && fixed.includes('description: zcode 本仓风格'),
-    fixed.slice(0, 200));
-  check('S11 --apply 后漂移归零', /正文漂移：\s*0/.test(out2), out2.slice(-300));
+  check('S10 对账面只有 modules/hosts', /对账面：modules\/hosts/.test(out) && !/项目根宿主点/.test(out), out.split('\n').slice(0, 6).join('\n'));
+  check('S10 项目根 .zcode 漂移不入报告', !out.includes('.zcode/agents/implementer.md'), out.slice(0, 500));
+  runSyncHosts(fx, ['--apply']);
+  check('S10 --apply 不改写项目根 .zcode', R(path.join(fx, '.zcode/agents/implementer.md')) === zcodeBody);
 }
 
+// ============ 场景 11：--strict 把漂移报告器变成机器门（B4）============
+// 背景：source-sync-check 删除后，跨宿主正文漂移只剩人工跑一次 --diff，CI 里无任何调用点——
+//   而改权威源要同步 N 份薄适配，人工 grep 易漏（本仓评审前就带着 10 份漂移）。
+//   默认 --diff 仍恒 exit 0（人工跑不因漂移失败），--strict 才判红，供 CI 当门。
 {
-  // S12：装户布局 faces 自描述（回归钉住——装户单根 label=项目根宿主点，行为不变）
-  const fx = fs.mkdtempSync(path.join(os.tmpdir(), 'fk-synchosts-adopter-'));
-  W(path.join(fx, '.agents/roles/implementer.md'),
-    `---\ndescription: Implementer 角色契约\n---\n\n# Implementer · v1\n\n权威源正文 implementer v1\n`);
-  W(path.join(fx, '.zcode/agents/implementer.md'),
-    `---\nname: implementer\ndescription: zcode\n---\n\n# Implementer · v1\n\n权威源正文 implementer v1\n`);
-  const r = runSyncHostsByCwd(fx, ['--diff']);
-  const out = r.stdout + r.stderr;
-  check('S12 装户布局：faces 单根自描述 + 对齐 1 对', /对账面：项目根宿主点（1 宿主）/.test(out) && /正文对齐：\s*1\s*对/.test(out), out.slice(0, 400));
+  const fx = mkFixture();
+  // 先 --apply 归零：夹具出厂状态未必干净（默认就可能带孤儿/缺失），
+  // 「--strict 在无漂移时 exit 0」这句话得先有个干净盘面才成立。
+  runSyncHosts(fx, ['--apply']);
+  const clean = runSyncHostsExit(fx, ['--diff', '--strict']);
+  check('S11 无漂移 + --strict → exit 0', clean.status === 0, `status=${clean.status} ${(clean.stdout + clean.stderr).slice(0, 300)}`);
+
+  // 制造一处薄适配正文漂移
+  const anyAdapter = fs.readdirSync(path.join(fx, 'modules/hosts'), { withFileTypes: true })
+    .filter((d) => d.isDirectory()).map((d) => d.name);
+  let broke = null;
+  for (const host of anyAdapter) {
+    const cmdDir = path.join(fx, 'modules/hosts', host, 'commands');
+    if (!fs.existsSync(cmdDir)) continue;
+    const f = fs.readdirSync(cmdDir).find((x) => x.endsWith('.md'));
+    if (!f) continue;
+    const abs = path.join(cmdDir, f);
+    fs.appendFileSync(abs, '\n手改一行，权威源没有这段。\n');
+    broke = `${host}/commands/${f}`;
+    break;
+  }
+  check('S11 夹具确实制造了漂移', !!broke, '未找到可改的薄适配');
+
+  const loose = runSyncHostsExit(fx, ['--diff']);
+  check('S11 有漂移但默认 --diff 仍 exit 0（报告器语义不变）', loose.status === 0, `status=${loose.status}`);
+  check('S11 默认 --diff 仍报告漂移', (loose.stdout + loose.stderr).includes('正文段漂移'), loose.stdout.slice(0, 300));
+
+  const strict = runSyncHostsExit(fx, ['--diff', '--strict']);
+  const sout = strict.stdout + strict.stderr;
+  check('S11 有漂移 + --strict → exit 1（CI 机器门）', strict.status === 1, `status=${strict.status}`);
+  check('S11 strict 报错点名修法（sync-hosts --apply）', sout.includes('--apply') && sout.includes('strict'), sout.slice(-300));
+
+  runSyncHosts(fx, ['--apply']);
+  const after = runSyncHostsExit(fx, ['--diff', '--strict']);
+  check('S11 --apply 归零后 --strict 回到 exit 0', after.status === 0, `status=${after.status}`);
 }
 
 console.log(`\n合计: PASS ${pass} / FAIL ${failCount}`);

package/src/validate.mjs

@@ -7,6 +7,8 @@
 // 落在目标仓——tracked 过滤按目标仓 HEAD 算，与 git 钩子看到的提交面一致。
 // 只读范围：check-loop 自身仅有的两处落盘都在 .agents/cache/ 运行时缓存（gate-stats 需 --gate-stats
 // 才触发、added-dates 缓存 best-effort），且该目录已 gitignore——本命令不改任何文档与台账。
+// 判定流水（2026-10-13 judgment-ledger 回灌 B4）：check-loop 真实运行会追加 .agents/judgments.jsonl，
+// validate 是探针而非门裁决点（init 装后自检同路径）——挂 CHECK_LOOP_NO_LEDGER 守卫保持只读契约。
 // 不暴露 --rev：runCheckLoop 中 rev 与 root 互斥（提交时点判定属钩子链职责，validate 只看盘面现状）。
 // 输出契约：check-loop 的 HARD-BLOCK/WARN 两段式原样走 stderr（稳定输出契约，消费者 .githooks/pre-push）；
 // stdout 只承载本命令的汇总行 / --json——机器消费者按 stdout 解析，人按 stderr 读明细。
@@ -49,7 +51,10 @@ export async function validate(args, pkgRoot) {
   // 动态 import 包内置引擎：pkgRoot = npx 缓存 / 全局安装 / 仓内直跑三种形态下都指向包源模板
   const engineUrl = pathToFileURL(path.join(pkgRoot, 'templates', '_agents', 'scripts', 'check-loop.mjs')).href;
   const { runCheckLoop } = await import(engineUrl);
-  const result = runCheckLoop({ root: target });
+  process.env.CHECK_LOOP_NO_LEDGER = '1'; // 探针不落判定流水（守卫开关见 judgment-ledger.mjs recordRun）
+  // mode:'all' 显式全量（2026-10-13 分道后裸跑=默认硬门）——validate 自述「全部 20 项检查」且 --strict
+  // 判红的是全量 warning 面，随分道保留原语义须显式声明，勿依赖缺省。
+  const result = runCheckLoop({ root: target, mode: 'all' });
   const code = validateExit(result, strict);
 
   if (json) {

package/src/validate.test.mjs

@@ -35,7 +35,7 @@ const ENUMS_FIXTURE = [
   'doc.status.abandoned=superseded cancelled',
   'incident.status.all=open fixed closed',
   'incident.status.active=open',
-  'level.all=L0 L1 L2 L3',
+  'level.all=L1 L2 L3',
 ].join('\n') + '\n';
 
 const mkfix = () => {

package/templates/.gitattributes

@@ -1,6 +1,17 @@
 # agentic-flow-kit：钩子与 shell 脚本必须 LF（CRLF 会破坏 Git Bash/MSYS 执行）；
-# 预算表按 LF 计量（rule-budget.sh 已显式去 \r，此条为双保险）。已有自有 .gitattributes 的项目合并这几条即可。
+# 预算表按 LF 计量（读取方 rule-budget.mjs 容 CRLF 行尾，此条为双保险）。已有自有 .gitattributes 的项目合并这几条即可。
 *.sh text eol=lf
 .githooks/* text eol=lf
 .agents/hooks/local-pre-commit text eol=lf
 *.ps1 text eol=crlf
+
+# 台账并集合并（2026-10-12 ledger-merge-driver）：确认台账是「尾部追加 + 多人/多 worktree 并行」形态，
+# 默认三方合并会把它当文本冲突，人工解的常见错法是「整取一侧」——静默丢掉另一侧的确认行，
+# 门禁事后无从发现。本 driver 把合并降级为确定性并集去重：两侧行全保留，无冲突可解。
+# 需配 driver（flow-kit init 自动配）：git config merge.jsonl-union.driver "node .agents/scripts/git-merge-jsonl.mjs %O %A %B"
+# **故意不加 text eol=lf**：给既有 .jsonl 加 text 规则会让下次提交时 git 重新规范化换行 → 台账 blob 字节变化
+#   → check-ledger-invariant 的 append-only 前缀不变量判为「台账重写」而硬拦。台账换行归一由 driver 自身负责。
+.agents/*.jsonl merge=jsonl-union
+# 分片目录（2026-10-13 ledger-shard-default）：上面的 glob 不跨目录层级，confirmations.d/ 下的分片
+# 须单列——分片已是默认写入口径，漏配则并行分支合并分片时仍走文本冲突（整取一侧 = 静默丢确认行）。
+.agents/confirmations.d/*.jsonl merge=jsonl-union

package/templates/AGENTS.md

@@ -11,7 +11,7 @@
 
 1. **新需求 / 功能**：先立 `workflow/intents/` intent（复制 `_TEMPLATE.md`），对话内与用户确认后开工。
 2. **修复类任务**：先查 `workflow/incidents/` 同类历史；L1 以上立 incident（修复中即 intent 等价入口，L2/L3 与 spec/plan 同名配对）。
-3. **级别判断与风险泳道**（就高不就低）：L0 例行；L1 实现级；L2 规则/契约；L3 数据与运行时结构。L0/L1 协作道（轻确认+异步审计）；L2/L3 防御道（同步确认门：spec/plan 确认后方可动手，L3 加独立复核）。见 `.agents/commands/new-task.md`。
+3. **级别判断与风险泳道**（就高不就低）：L1 实现级（一份 plan 即入口）；L2 规则/契约；L3 数据与运行时结构。L1 协作道（轻确认+异步审计）；L2/L3 防御道（同步确认门：spec/plan 确认后方可动手，L3 加独立复核）。见 `.agents/commands/new-task.md`。
 
 ### 阶段路由
 
@@ -23,12 +23,12 @@
 
 ### 门禁与提交
 
-- `.githooks/`（经 `core.hooksPath` 挂载，本地 clone 后执行 `git config core.hooksPath .githooks`）：pre-commit（闭环配对 / 泳道完整性 / wiki 台账 / 规则面预算 / 双源一致性 / managed 台账快检 / 敏感信息扫描与条件构建）、pre-push（闭环断档扫描）、commit-msg、post-commit、pre-merge-commit。
+- `.githooks/`（经 `core.hooksPath` 挂载，本地 clone 后执行 `git config core.hooksPath .githooks`）：pre-commit（闭环配对 / 泳道完整性 / wiki 台账 / 规则面预算 / 确认台账不变量 / 敏感信息扫描与条件构建）、pre-push（闭环断档扫描）、commit-msg、post-commit、pre-merge-commit。
 - **CI 远端门（2026-10-07 起）**：`.github/workflows/kit-ci.yml`（owned）在 GitHub runner 复跑 `node .agents/scripts/verify.mjs`（云端兜底本地钩子）；非 GitHub 装户可删，等价门 = 同入口命令 + 服务端分支策略（人工一次性配置，机器不校验）。
 - **`git commit` / `git merge` / `git push` 三处一律禁 `--no-verify`**——被拦说明产出不合规，按提示修完原路重试。
 - 项目专属门禁挂 `.agents/hooks/local-pre-commit`。装户五条硬规则（配对、验收、确认留痕、敏感信息、双源台账）与 `audit` 档见 `workflow/README.md`「硬规则」。
 - 提交遵循 Conventional Commits 中文（feat / fix / docs / style / refactor / perf）。L1+ 三段式闭环链：`docs(*)` approved 留痕 → 代码 → 关单 `docs(*)`，相邻提交即同一闭环（2026-10-04 修订）。
-- **确认门（2026-09-27 起）**：intent/spec/plan 的 approved/done 与 incident 的 fixed/closed（两跳、无单跳）唯一入口 = `node .agents/scripts/confirm-doc.mjs <path>`，放弃态走显式 `--to superseded|cancelled`（合法前态见脚本提示；四终态同样内容绑定），两形态：① 用户终端亲手运行键入「可以」（TTY，AI 会话内被拒）；② **对话委托代录**——用户在对话内明确确认后，AI 跑 `confirm-doc.mjs <path> --delegated "<授权摘要>"` 逐件代录（默认一次一份，多份并录被拒），台账如实记 `source: chat-delegated`，永不伪装 TTY 行（check-loop 15 指纹+台账对账拦截，与 source 无关）；L0/L1 协作道可 `--batch` 多份一次代录（台账 `brief:true`，15 并录告警豁免；L2/L3 仍逐份）。
+- **确认门（2026-09-27 起）**：intent/spec/plan 的 approved/done 与 incident 的 fixed/closed（两跳、无单跳）唯一入口 = `node .agents/scripts/confirm-doc.mjs <path>`，放弃态走显式 `--to superseded|cancelled`（合法前态见脚本提示；四终态同样内容绑定），两形态：① 用户终端亲手运行键入「可以」（TTY，AI 会话内被拒）；② **对话委托代录**——用户在对话内明确确认后，AI 跑 `confirm-doc.mjs <path> --delegated "<授权摘要>"` 逐件代录（默认一次一份，多份并录被拒），台账如实记 `source: chat-delegated`，永不伪装 TTY 行（check-loop 15 指纹+台账对账拦截，与 source 无关）；L1 协作道可 `--batch` 多份一次代录（台账 `brief:true`，15 并录告警豁免；L2/L3 仍逐份）。
 - **改动面 scope = 授权的机器事实（2026-10-09 起）**：confirm-doc 落账自动记 `scope{files,sha256}`（被确认文档 + `git status` 实测未提交改动集，机器派生、**AI 无输入面**）。分辨力由 scope + 指纹承担，`--delegated` 的摘要降级为人类可读留痕——**「每次换一句原话」纪律退役**，复用同一句摘要不再削弱任何判据。check-loop 15 校验受管行带 scope 且摘要自洽（`policyVersion ≥ 7` 起，旧版本与存量行零新增告警）。
 
 ### 检索、看板与量化

package/templates/_agents/commands/build.md

@@ -55,7 +55,7 @@ next: .agents/commands/test.md
 ### 1.3 实现
 
 7. 确认后按 plan 顺序推进;每个任务对照判据自验。若任务满足 `.agents/roles/implementer.md` 的边界,主智能体可将单个工作包连同必读材料、授权文件和验收条件委派给 `implementer`;否则由主智能体执行。
-8. 自验:按改动域跑 `项目构建命令` / `项目类型检查命令` / `项目测试命令`(对应编译 / 前端类型检查 / 自动化测试;静态门全集见 `test.md` §1)。
+8. 自验:按改动域跑 `项目构建命令` / `项目类型检查命令` / `项目测试命令`(对应编译 / 前端类型检查 / 自动化测试;静态门全集见 `test.md` §1);范围对账 `node .agents/scripts/check-scope.mjs workflow/plans/YYYY-MM-DD-<主题>.md`——越界件(改了未声明)即收口(回填 plan 或回滚),plan 不可读 exit 2;默认 advisory exit 0,`--strict` 供门禁化调用。
 9. **项目架构红线**:数据访问模式、公共字段写入等以根与目录级 `AGENTS.md`(如有)红线为准,不自创旁路。
 10. **L3 且含 schema 变更时**:schema 变更走项目约定的维护方式(人工 SQL / 迁移工具,以目录级 `AGENTS.md` 或 spec 约束为准),不得擅自引入项目未采用的迁移机制（仅运行时 / 管线类 L3 无此约束）。
 11. 实现中若需偏离已确认的 plan(改公共接口 / 动 plan 未列文件 / 引新依赖 / 影响任务判据)→ 停下,向用户说明原因与影响,确认后再继续。

package/templates/_agents/commands/design.md

@@ -29,10 +29,11 @@ next: .agents/commands/build.md
 ## 1. 执行
 
 1. 确认同名入口文档已批准：新需求为 approved intent，修复为已确认的 incident 草稿；否则拒绝，分别回 `plan.md` / `maintain.md`（2026-09-30 起机器强制：fill-spec / confirm-doc 对前置未过直接拒绝 exit 2、不落盘不记账）。
-2. 级别判断(对照 AGENTS.md 第 3 条):
-   - **L1**(实现级改动,未命中 L2/L3)→ 走快车道,省略 spec,直接跳 `next: build.md` 起草 Quick-Plan
-   - **L2**(改规则 / 契约:编码权威 / 共享契约 / 既有接口语义 / 全局横切口径,闭集见 `new-task.md` §级别判断)→ 必须有 spec
-   - **L3**(数据与运行时结构:schema / 迁移 SQL / DI 链 / 认证与中间件管线)→ 必须有 spec + **新会话独立复核**
+2. 级别判断(对照 AGENTS.md 第 3 条;判据单源 = `.agents/scripts/level-criteria.mjs`，**本文件只承载流程映射，不复述判据闭集**):
+   - **L1**（未命中 L2/L3）→ 快车道：省略 spec，直接跳 `next: build.md` 起草 Quick-Plan
+   - **L2**（触达面闭集见单源 `L2_SURFACES`）→ 必须有 spec
+   - **L3**（结构面闭集见单源 `L3_SURFACES`）→ 必须有 spec + **新会话独立复核**
+   - 判哪一档：逐条对照单源的 `L2_SURFACES` / `L3_SURFACES` / `L1_NEGATIVES`，不要凭记忆——判据只读单源一处
 3. 起草 spec:
    - **填空工具先跑**：`node .agents/scripts/fill-spec.mjs --level <L1|L2|L3> --topic <主题> --output workflow/specs/<date>-<主题>.md`——输出含 frontmatter 5 字段 + 5 节正文（功能行为/数据流/系统改动/约束遵守映射/风险评估）的草稿；AI 据此填实
    - 复制 `workflow/specs/_TEMPLATE.md` → `workflow/specs/YYYY-MM-DD-<主题>.md`(与入口文档同名)

package/templates/_agents/commands/maintain.md

@@ -59,7 +59,7 @@ next: .agents/commands/plan.md(若复盘需要新 intent)
 **3. 规范条目**(必须有可追溯落点)
 - 落点优先级(取最前者可行即止):`workflow/regression-checklist.md` 回归条目 / `.agents/hooks/` 或 `tests/` 断言(机器门)→ `.agents/skills/`、`.agents/notes/` → `workflow/` 文档 → `.agents/commands/`
 - **根 `AGENTS.md` 不再是落点**;**入册门槛**:已由机器门强制的内容只留一行指针,禁止在常驻面复述;**一进一出**:落点为常驻面时须在本 commit 内删除或下沉一条被取代条目
-- 常驻面体积预算由 pre-commit 硬拦(`sh .agents/scripts/rule-budget.sh --staged`,表 `.agents/rule-budgets.txt`)——超限先删再增
+- 常驻面体积预算由 pre-commit 硬拦(`node .agents/scripts/rule-budget.mjs --staged`,表 `.agents/rule-budgets.txt`)——超限先删再增
 - 引用:commit <SHA> / 文件:<路径>#L<行>;若无新增条目,理由:<已有条目覆盖,说明条目位置>
 
 ### 1.4 起草后停下