create-wakii-stack 0.0.0-stage → 0.1.0

package/stack-template/docs/superpowers/plans/2026-10-12-sf-7-convergence-plan.md

@@ -0,0 +1,59 @@
+# Plan: SF-7 Convergence & Scaffold
+Date: 2026-10-12 | Linear: FI-75 | Worktree: sf-7-convergence | Story: FI-62
+
+## 0. Root cause analysis (WHY — before "what")
+### Root cause
+SF-1..6 xây song song, mỗi SF chỉ chứng minh phần mình → không artifact committed nào chứng minh CHUỖI login→tạo task→đọc feed chạy liền mạch; docs viết ở thời SF-1 đã lệch thực tế; không có đường fresh-clone→demo cho người copy; không có scaffold; chưa có security-audit hội tụ.
+### Current state (before feature)
+dest @ec7c3d3: 6 services impl + CI per-stack xanh + browser e2e SF-6 verify native (evidence sf-6). scripts/ KHÔNG tồn tại. README stale ("khung rỗng, SF-2/3/4 điền"). Compose: 3 service BE chưa có healthcheck, chưa có health-gated chain.
+### Expected outcome
+Người copy: fresh-clone → đọc walkthrough → chạy demo được; CI chứng minh e2e + copy-dir + scaffold; scaffold sinh project mới tên riêng chạy được cùng flow; 0 P0/P1 security.
+### Constraints & hardships
+Dev machine KHÔNG Docker (verify local native; docker compose chỉ qua CI) · browser KHÔNG vào CI (human gate) · services/frontend READ-ONLY · compose CHỈ được sửa phần health-gated · go-svc distroless không có shell/wget → healthcheck in-container bất khả không đụng Dockerfile (đã probe) → go-svc dùng `service_started` + e2e retry, flag story-level.
+### High-level strategy
+Hội tụ tại chỗ: chứng minh bằng script + CI job mới (file convergence riêng), docs đồng bộ, scaffold copy-thuần. Không re-architect, không thêm tính năng.
+
+## 1. Problem (intent, NOT solution)
+Người mua boilerplate chưa thể tin chuỗi e2e chạy được (không proof committed), chưa chứng minh copy-dir standalone, chưa có script sinh project mới, docs không dẫn được người mới từ fresh-clone đến demo.
+
+## 2. Scope
+- In scope: scripts/smoke/e2e.sh · CI convergence.yml (3 job: e2e-smoke, copy-dir-smoke, scaffold-verify) · compose health-gated (chỉ healthcheck+depends_on) · docs (ADR ×7, toolchain, walkthrough, README sync) · scripts/scaffold/ · 2 findings SF-1-owned (conventions/02 mirror rule; DDL CREATE SCHEMA note) + [p6-flag] sync (01, 08) · security-audit checkpoint · Rule 0 native smoke + evidence.
+- Out of scope: browser trong CI; fix business logic services/FE; merge main/PR; tính năng mới; sửa workflow-templates (READ-ONLY — thiếu gì = flag).
+- Success criteria (observable): xem ACCEPTANCE context pack sf-7.md — từng dòng verify tại Task 10; CI 3 job mới xanh sau push; story-verify B1-B3 sạch.
+
+## 3. Touch map
+- Files modify: `scripts/smoke/e2e.sh` (tạo) · `scripts/scaffold/scaffold.sh` + README (tạo) · `.github/workflows/convergence.yml` (tạo) · `docs/adr/*` + `docs/toolchain.md` + `docs/walkthrough.md` (tạo) · `README.md` (sửa) · `platform/docker-compose.yml` (sửa — chỉ healthcheck/depends_on) · `platform/conventions/01|02|08` (sửa — sync) · `contracts/db/tasks-schema.sql` (sửa — comment-only) · `docs/superpowers/evidence/sf-7-convergence/*` (tạo).
+- Consumers/regression candidates: CI workflows hiện có (contracts.yml, per-service) — file mới không được phá chúng; SF-6 native mode — compose sửa không ảnh hưởng native; SF-1 compose pre-seed — sửa giữ nguyên entry/env.
+- Shared surfaces: compose env vars (không thêm biến mới); healthcheck endpoints /readyz đã có sẵn ở cả 3 service (conventions/02).
+
+## 4. Design
+- Approach chosen: A — smoke curl thuần + CI compose; scaffold copy+rename+prune. (B browser-CI, C generator — dismissed theo spec.)
+- Alternatives considered: jq trong e2e.sh (dismissed — giữ curl+grep thuần chạy được Git Bash không jq); go-svc healthcheck bằng sửa Dockerfile (dismissed — READ-ONLY, flag story-level).
+- Edge cases / second-order effects:
+  - go-svc distroless → gateway `depends_on: go-svc: service_started`; e2e.sh retry feed tối đa N lần (chống race go-svc init chậm hơn gateway-ready).
+  - CI compose `${VAR:?}` fail hard → job sinh `.env` đầy đủ từ placeholder CI (không secret thật).
+  - Scaffold rename `@boilerplate/*` phá pnpm-lock importers → scaffold chạy `pnpm install --no-frozen-lockfile` ghi trong hướng dẫn + job verify dùng flag đó.
+  - e2e re-run: title prefix `smoke-<epoch>` tránh trùng dữ liệu cũ.
+- Non-functional: security (secrets/exec-bit/lockfile — checkpoint riêng); perf/a11y/i18n — skip (không UI mới, không hot path).
+
+## 5. Implementation outline
+- Tasks (ordered, DAG):
+  1. `docs-sync` — conventions/02 mirror rule + DDL CREATE SCHEMA note + conventions/01 standalone-lockfile variant + conventions/08 requiredVersion:false. Conditional: 04-error-envelope chỉ ghi note nếu quyết additionalProperties ĐÃ chốt ở node-svc source — KHÔNG tự chốt, chưa chốt thì flag. Exit: 2 findings SF-1-owned xử lý xong + [p6-flag] sync xong.
+  2. `smoke-script` — scripts/smoke/e2e.sh (login→POST task assignee bob→feed poll 10×1s có action task.created + title; stats fetch baseline TRƯỚC khi tạo, assert ≥ baseline+1; wait poll /api/auth/readyz qua :8080; env GATEWAY_URL/SMOKE_*; title prefix smoke-<epoch>). **T2 TỰ verify exit của mình: tự start native stack từ ~/Tools/sf6-e2e (script biến thể SF-7 trỏ worktree này) rồi chạy script thật** — không đợi T10. Exit: script chạy THẬT native tại T2 + exit-code đúng từng bước fail.
+  3. `compose-health` — healthcheck node/spring (wget /readyz — alpine busybox, ĐÃ PROBE); KHÔNG healthcheck gateway (nginx không route /readyz — P1 critic vòng 2, probe sẽ 404 deadlock); depends_on: node→spring healthy; gateway → auth-mock+node+spring service_healthy, go-svc service_started (distroless NGOẠI LỆ có chủ đích — P0 spec-critic; readiness go-svc do e2e poll stats). **+ spec slice #6 (P0 plan-critic): rà multi-stage + pinned base images toàn bộ 6 Dockerfile (3 svc + auth-mock + shell + 2 remotes) — report status vào evidence, KHÔNG sửa trừ khi P0.** Exit: `docker compose --env-file platform/.env.example config -q` pass + banner ownership SF-7 + **git diff compose chỉ chạm healthcheck/depends_on/banner (diff-guard)** + report multi-stage/pinned.
+  4. `ci-smoke` — convergence.yml job e2e-smoke: reuse `--env-file platform/.env.example` → compose up -d --build → poll /api/auth/readyz qua :8080 → bash scripts/smoke/e2e.sh → khi fail dump logs (compose gọi lại CÙNG --env-file — p6-flag SF-2). Trigger branches:** + workflow_dispatch. File convergence.yml RIÊNG, không đụng workflow-templates. Exit: workflow YAML hợp lệ (CI push là gate thật).
+  5. `ci-copydir` — job copy-dir-smoke: copy services/node-svc ra tmp: pnpm install --ignore-workspace + test + build (theo README standalone); copy frontend/shared ra tmp: tsc --noEmit typecheck (fe-shared KHÔNG có scripts riêng — inert cho node-svc, ghi tường minh trong job; proof FE mạnh hơn = follow-up). Exit: job định nghĩa, lệnh khớp README từng repo-con.
+  6. `scaffold` — scripts/scaffold/scaffold.sh (cp/tar-based KHÔNG rsync; prune .git/.github/workflow-templates/docs/superpowers/spike/node_modules/.story-brief.md + workflows/convergence.yml; rename @boilerplate→@<name> + root package name + compose name + README title; xử lý pnpm-lock importers strip spike + rename scope; ghi SCAFFOLD.md kèm full-e2e human gate note). Exit: chạy local Git Bash ra project mới; **"diff sạch" = output tree khớp expected** — không rò .git/.github/workflow-templates/docs/superpowers/frontend/spike/node_modules/.story-brief.md/workflows-convergence.yml; rename @boilerplate đủ trong package.json + lockfile importers.
+  7. `ci-scaffold` — job scaffold-verify: scaffold --name demo-app → pnpm install --no-frozen-lockfile → build FE shell + `docker compose -f <out>/platform/docker-compose.yml --env-file <out>/platform/.env.example config -q` trong output. Narrowing đã duyệt (context pack: "CI verify scaffold output build được") — full e2e trên output = human gate. Exit: convergence.yml parse OK + **step-sequence job khớp SCAFFOLD.md do T6 output** (scaffold → install → build → compose config).
+  8. `adr-toolchain` — docs/adr/ (7 quyết định: mixed-stack, MF-Rspack, contract-first, readonly-schema, fail-closed, fire-and-forget, fork-not-upgrade) + README index + docs/toolchain.md. Exit: đủ 7 ADR khớp danh sách spec.
+  9. `readme-walkthrough` — README sync (kiến trúc 6 svc thật, mục Chạy compose+native+smoke, repo map mới) + docs/walkthrough.md fresh-clone checklist. Exit: lệnh walkthrough **khớp script e2e.sh (T2) + lệnh native đã chạy tay tại T2**; không còn text stale SF-1. T10 chỉ reconcile lệch (nếu có).
+  10. `verify-evidence` — Rule 0: tái dùng native stack đã sống từ T2 → chạy e2e.sh chính thức + evidence docs/superpowers/evidence/sf-7-convergence/test-run.txt; verify từng dòng ACCEPTANCE; browser walkthrough = **human gate — chỉ GHI hướng dẫn cho user, evidence note "human-gate pending user"** (P2 plan-critic); security-audit agent; code-reviewer độc lập; commit + push. **Exit: VERDICT APPROVED + evidence /tmp/story/fi62/code-reviewer-sf-7-convergence.md + CI convergence.yml 3/3 job XANH sau push (hoặc FAIL-flag kèm run link) + fix-commits (nếu audit/review sinh fix) commit TRƯỚC, evidence là commit cuối (chống B1 hash flip — improvements-log SF-6).** Fix-loop 2 nhánh: issue trong artifacts SF-7 → fix tại T10; issue trong services/FE (READ-ONLY) → report coordinator.
+- File structure: scripts/ (mới, root) · docs/adr/ (mới) · giữ conventions của platform/.
+- **Execution-order contract (P1 plan-critic):** DAG thực chỉ có T10←T1,T5 (task-update không hỗ trợ thêm deps) — **T10 CHỈ chạy sau T4,T7,T9: coordinator-enforced khi inline**; nếu bất kỳ task bị dispatch ra worker/rollback giữa chừng, coordinator phải kiểm T4/T7/T9 completed trước khi mở T10.
+- Testing strategy: e2e.sh chạy thật native TỪ T2 (stack tự start) + CI job chạy lại trên compose (gate thật) · `docker compose config` cho compose · scaffold chạy local thật · docs walkthrough khớp lệnh đã chạy (không test tự động — ghi rõ).
+- Numbering đối chiếu (P2 critic): DAG task id ↔ plan numbering — T1 docs-sync=task_6fa252c9274a · T2 smoke=task_34b7de0c22bf · T3 compose=task_ecf7929531ca · T4 ci-smoke=task_aa83884a9e64 · T5 copydir=task_6e21f4739d17 · T6 scaffold=task_7daa14f8c2ad · T7 ci-scaffold=task_62413473ffd1 · T8 adr=task_e984c41cafd5 · T9 readme=task_dafd27e9aa62 · T10 verify=task_5cab41e0ee8f.
+
+## 6. Risks & unknowns
+- Must verify: Dockerfile base images (ĐÃ PROBE: node alpine wget ✓, spring temurin-alpine wget ✓, go distroless ✗ → service_started + e2e poll; gateway KHÔNG healthcheck — probe sẽ 404) · event action string (ĐÃ PROBE: 'task.created' tại node-svc/src/routes/tasks.ts:134) · README standalone node-svc (ĐÃ PROBE: local lockfile + --ignore-workspace) · toolchain ~/Tools/sf6-e2e (ĐÃ PROBE: còn sống).
+- Unverified assumptions: frontend/shared tsc --noEmit đứng độc lập ngoài workspace (probe tại Task 5) · gateway nginx route /api/activity/feed không đổi path (probe contracts đã xác nhận servers /api/activity).
+- CI env: compose reuse `--env-file platform/.env.example`; lockfile scaffold strip spike importers + rename scope (xem plan T6).

package/stack-template/docs/superpowers/plans/2026-10-12-sf2-node-svc-plan.md

@@ -0,0 +1,19 @@
+# Plan — SF-2 node-svc task API (FI-70)
+
+> Spec: `docs/superpowers/specs/2026-10-12-sf2-node-svc-spec.md` · Epic: FI-62 · Worktree `__STACK_ORG__/sf-2-node-svc`
+> Mỗi task = 1 atomic commit. Tests chạy native (Node 24 local, engines >=22; docker verify qua CI).
+
+- [x] Task 1 — Scaffold services/node-svc: `package.json` (fastify 5, @fastify/cors, @fastify/swagger, @fastify/swagger-ui, drizzle-orm, pg, pino, jsonwebtoken, http-jwt ?= jsonwebtoken; dev: typescript, tsx, vitest, drizzle-kit, openapi-typescript, @types/*), `tsconfig.json` (NodeNext, strict), `.dockerignore`, `src/env.ts` (fail-fast env parse: PORT, DATABASE_URL, JWT_SECRET, SPRING_SVC_URL, GO_SVC_URL, CORS_DEV_ORIGIN, LOG_LEVEL). `pnpm install` cập nhật lockfile workspace (commit cả root lockfile).
+- [x] Task 2 — Codegen types: script `generate:types` = `openapi-typescript ../../contracts/openapi/tasks.yaml -o src/types/api.d.ts` (types only). Chạy 1 lần + commit output; CI job re-generate + `git diff --exit-code` để chống drift contract.
+- [x] Task 3 — Drizzle schema + migration khớp canonical DDL: `src/db/schema.ts` (bảng tasks: uuid pk app-generated, title varchar(200), description text, status varchar(20) default todo + CHECK, assignee_id uuid, created_by uuid, created_at/updated_at timestamptz default now, 3 indexes) + `drizzle/` SQL migration commit sẵn (generated). Test `schema-diff.test.ts`: introspect migration SQL vs `contracts/db/tasks-schema.sql` → normalised diff = 0. `src/db/client.ts` (pg Pool + drizzle, search_path tasks).
+- [x] Task 4 — Platform middleware: `src/plugins/auth.ts` (verify JWT HS256 + exp + iss=auth-mock từ JWT_SECRET, 401 envelope UNAUTHORIZED, healthz/readyz exempt), `src/plugins/requestId.ts` + pino logger shape conventions/03, error handler map mọi error (kể cả FST_ERR_*) sang envelope conventions/04, CORS @fastify/cors từ CORS_DEV_ORIGIN (deny-by-default rỗng).
+- [x] Task 5 — Health: `/healthz` 200 {"status":"ok"}; `/readyz` = DB migrated + SELECT 1 ok (503 envelope khi fail); boot-time spring reachability check 1 lần + log warn (không gate ready). `src/server.ts` listen PORT.
+- [x] Task 6 — CRUD routes `/api/tasks`: list (filter status/assigneeId, limit<=100/offset, trả TaskList {items,total}), get-by-id (404 TASK_NOT_FOUND), create (validate title qua schema; nếu có assigneeId → spring GET /api/users/{id} timeout 2s: 404→422 UNPROCESSABLE, network/timeout→503 DEPENDENCY_DOWN; insert uuid v4; push event task.created fire-and-forget), patch (minProperties 1, cùng validate nếu đổi assigneeId; event task.updated), delete (204, event task.deleted). Event push: POST {GO_SVC_URL}/api/activity/events, payload ActivityEventInput, fail → pino warn "event push failed", không retry.
+- [x] Task 7 — Swagger UI `/api/tasks/docs` (mirror tối thiểu tasks.yaml, pattern auth-mock) + README services/node-svc (native/docker, env vars, API summary, failure semantics + ADR degrade, readyz deviation note).
+- [x] Task 8 — Tests vitest: unit routes (happy path CRUD, 400 validation, 404, 401 no/bad/expired token, 422 assignee lạ, 503 spring down — inject fake spring, fire-and-forget go-svc down → vẫn 201 + warn), healthz/readyz (DB down → 503), schema-diff test. Mọi external call inject qua app factory opts (không network thật).
+- [x] Task 9 — Dockerfile multi-stage (conventions/01: node:22-alpine, pnpm frozen, build dist, USER node, EXPOSE 3001) + CI `.github/workflows/services-node-svc.yml` (build-test native; docker build; boot-smoke: compose up postgres + node-svc → healthz/readyz 200 → ký JWT CI → POST task (không assignee) 201 → GET list thấy → DELETE 204; typegen drift check). Evidence `docs/superpowers/evidence/sf-2-node-svc/test-run.txt`.
+
+## Verification
+- Local: `pnpm --filter node-svc test` xanh + `pnpm --filter node-svc build` + boot native vs postgres local? (không postgres local — DB tests dùng pg-mem? Không: dùng container-free mock qua inject + fake db. Boot thật để CI boot-smoke chứng minh.)
+- CI: 3 jobs xanh (URL ghi evidence).
+- Review: code-reviewer độc lập trên diff full → APPROVED (CHECKLIST-4Q) → push → story-verify.

package/stack-template/docs/superpowers/plans/2026-10-13-sf-1-kafka-foundation-plan.md

@@ -0,0 +1,30 @@
+# SF-1 Plan — Kafka foundation + async contracts (FI-77)
+
+> Story FI-76 · spec slice: `docs/superpowers/contexts/sf-1.md` · epic spec rev 3: `docs/superpowers/specs/2026-10-13-kafka-outbox-saga.md`
+> Worktree: `sf-1-kafka-foundation` (nhánh `__STACK_ORG__/sf-1-kafka-foundation` fork từ `__STACK_ORG__/story-fi76-kafka-outbox-saga`)
+> Ràng buộc: dev machine KHÔNG Docker — mọi verify compose/kafka qua CI. Compose sửa ĐÚNG 1 commit duy nhất.
+
+## Tasks (10)
+
+| # | Task | Files | Commit |
+|---|------|-------|--------|
+| T1 | Compose: kafka entry (apache/kafka KRaft, heap 512m, healthcheck full-path `/opt/kafka/bin/kafka-broker-api-versions.sh`, KHÔNG depend_on, KHÔNG expose 9092) + PRE-ADD env downstream (node-svc `KAFKA_BROKERS`; go-svc `KAFKA_BROKERS` + `AUTH_MOCK_URL` + `SVC_ACTIVITY_PASSWORD`) + header ownership | `platform/docker-compose.yml` | 1 commit (cùng .env.example — conventions/06) |
+| T2 | .env.example: `KAFKA_BROKERS=kafka:9092` + `SVC_ACTIVITY_PASSWORD=demo-password` (+ comment) | `platform/.env.example` | cùng commit T1 |
+| T3 | Contract: `contracts/events/task-events.md` — envelope `{schemaVersion:1, id UUID, type, occurredAt RFC3339, payload}`, payload shape theo 5 event type, filter-by-type (group `go-svc-activity` trừ `task.assignment_failed`; `node-svc-compensation` chỉ `task.assignment_failed`), topics `task-events`+`task-events.dlq` 1 partition, retry ×3 in-memory → DLQ, manual commit sau DB tx, `auto.offset.reset: earliest` | contracts/events/task-events.md | 1 commit |
+| T4 | Golden fixtures: 5 file JSON (`task.created/updated/assigned/deleted/assignment_failed.json`) đúng envelope — machine-checkable cho SF-2 relay test + SF-3 consumer test + CI console-producer | `contracts/events/fixtures/*.json` | 1 commit |
+| T5 | Fixture users: + `svc-fail` (`fail@demo.local`), `svc-activity` (service user) — roles `["user"]`, UUID cố định pattern | `contracts/auth/users.json` | 1 commit |
+| T6 | Conventions: `platform/conventions/09-async-messaging.md` — producer/consumer/retry/DLQ/idempotency + lazy-connect rule + conventions README row | conventions/09 + README.md (conventions) | 1 commit |
+| T7 | ADR-0008 supersede ADR-0006 (Kafka KRaft, outbox tự viết, presence-based trigger, in-memory retry, PLAINTEXT, segmentio/kafka-go, saga choreography) + adr README row | `docs/adr/0008-*.md` + docs/adr/README.md | 1 commit |
+| T8 | README section compose: 10 services + kafka lazy-connect note | `README.md` | 1 commit |
+| T9 | Verify local không-Docker: fixtures parse JSON + đủ field envelope (jq), users.json roles hợp lệ, compose YAML parse; push + CI watch (contracts/compose-config + convergence xanh) | — | — |
+| T10 | Code-reviewer độc lập trên diff → verdict file /tmp/story/fi62/code-reviewer-sf-1-kafka-foundation.md; evidence `docs/superpowers/evidence/sf-1-kafka-foundation/`; story-verify sf-1; Linear comment DONE | — | — |
+
+## Acceptance (user-visible — từ context pack)
+1. `docker compose config -q` validate với entry kafka + env mới (CI-verified).
+2. CI convergence không đỏ vì kafka entry (không service depend kafka).
+3. Golden fixtures parse JSON, envelope đủ field, mỗi event type 1 file.
+4. users.json 2 user mới, roles hợp lệ, spring SeedMatch (SF-4) vẫn pass khi merge.
+5. ADR-0008 + conventions/09 tồn tại, supersede 0006 rõ ràng.
+
+## Boundary
+KHÔNG đụng: `contracts/db/`, `contracts/openapi/`, `services/**`, FE. KHÔNG kafka vào readyz/depends_on. KHÔNG expose 9092. KHÔNG SASL/SSL. Compose 1 commit duy nhất.

package/stack-template/docs/superpowers/plans/2026-10-13-sf-1-ui-redesign-plan.md

@@ -0,0 +1,28 @@
+# Plan — SF-1 Design-system nền móng (VU-54, story VU-53 UI redesign)
+
+> Tier: Standard. Spec: `docs/superpowers/contexts/ui-redesign/sf-1.md` + hand-off
+> `docs/superpowers/designs/ui-redesign-direction.md` (source of truth — user đã duyệt hướng B).
+> Worktree: `sf-1-ui-redesign-dsys` (story-hub model — push nhánh, coordinator merge).
+> Cứng: `pnpm-lock.yaml` KHÔNG đổi; 4 file logic fe-shared + `mfToolkit` READ-LOCKED.
+
+## Tasks
+
+- [x] T1 — `fe-shared/src/styles/tokens.css` + `base.css` đúng hand-off §1-2 (tokens `:root` idempotent; base `@layer reset,base`; shell là chủ global khi SF-2 wire — SF-1 không đụng shell entry)
+- [x] T2 — Rspack ×3: remotes thêm css rule (`type:'css'`) + `experiments.css` (copy shell `rspack.config.mjs:42-45,85-87`); `'react/jsx-runtime'` singleton + `requiredVersion:false` vào shared CẢ 3 config; `output.cssFilename` contenthash prod ×3; `declare module '*.css'` env.d.ts ×3
+- [x] T3 — SPIKE R2 SỚM: JSX stub (useState + onClick) trong `fe-shared/src/ui/jsx-probe.tsx`, temp-render trong tasks remote; build 3 package; dev servers riêng (3100/4101/4102 — FE docker chiếm 3000/4001/4002); login → tasks → đổi status qua select; console KHÔNG có "Invalid hook call"/"2 copies of React"; screenshot evidence
+- [x] T4 — Primitives TDD: tests `shell/tests/primitives.test.tsx` TRƯỚC (RED) → implement `Badge/EmptyState/Skeleton/Spinner` đúng props API hand-off §3 (CSS `bp-*` trong base.css) → GREEN; gỡ JSX stub khỏi tasks remote
+- [x] T5 — Barrel `src/index.ts` + exports map (styles + ui) + README + ownership comments (`pnpm-workspace.yaml`, `fe-shared/package.json` description; `mfToolkit` nguyên vẹn)
+- [x] T6 — Remotes `src/index.tsx` standalone (:4001/:4002) import tokens+base (fix "trơ trụi"; comment cho SF-3/4 banner)
+- [x] T7 — Demo primitives sống: `docs/superpowers/designs/ui-redesign/ds-demo.html` (link CSS thật của fe-shared, markup = đúng DOM components render)
+- [x] T8 — Verify: `pnpm build` ×3 + `pnpm test` (shell) + `typecheck` ×3 xanh; evidence `evidence/sf-1-ui-redesign-dsys/test-run.txt` (HEAD hash + `tdd: RED→GREEN`)
+- [x] T9 — Browser verify 3 tầng (DOM / VISUAL so `b-reference.png` / FLOW shell→remote mount→đổi status) + ACCEPTANCE từng dòng; screenshots evidence
+- [x] T10 — Code-reviewer độc lập trên diff SF → verdict post Linear VU-54 (VERDICT + CHECKLIST-4Q)
+- [x] T11 — Commit atomic + push nhánh `__STACK_ORG__/sf-1-ui-redesign-dsys` + `story-verify sf-1` sạch (B4 merge là phần coordinator) — KHÔNG set Done
+
+## Exit criteria (ACCEPTANCE pack)
+
+1. Standalone `:4001`/`:4002` có baseline style (không trơ trụi); primitives render đúng hand-off.
+2. 3 package `pnpm build` xanh; spike R2 PASS có screenshot (console sạch duplicate-react).
+3. `pnpm test` shell xanh kèm tests primitives.
+4. `pnpm-lock.yaml` không đổi (0 deps mới).
+5. Design gate: không re-design — implement thẳng hand-off (đã user-duyệt 2026-10-13).

package/stack-template/docs/superpowers/plans/2026-10-13-sf-2-node-outbox-plan.md

@@ -0,0 +1,46 @@
+# SF-2 Plan — node-svc Outbox + Producer + compensation consumer (FI-79)
+
+> Story FI-76 · Epic spec rev 3: `docs/superpowers/specs/2026-10-13-kafka-outbox-saga.md`
+> Context pack: `docs/superpowers/contexts/sf-2.md` · conventions/09 · ADR-0008
+> Branch: `__STACK_ORG__/sf-2-node-outbox` (fork từ dest @8d04e6d) · 1 commit / task · KHÔNG merge dest
+> Baseline probe (đã đọc): `repo.ts:38-45` interface CRUD thuần · `repo.drizzle.ts` không `.transaction()` ·
+> `schema-diff.test.ts:146` normalizer throw ở DDL chưa handle (chỉ CREATE SCHEMA/TABLE/INDEX — ALTER
+> CONSTRAINT phải mở rộng normalizer, phát hiện mới ngoài context pack).
+
+## Tasks
+
+^- [x] **T1 — Cụm nguyên tử status cascade (DDL + drizzle mirror + migration CHECK)**: `contracts/db/tasks-schema.sql` CHECK `status IN ('todo','in_progress','done','assignment_failed')` (varchar(20) đủ — 17 ký tự) + comment; `src/db/schema.ts` mirror; migration `0001` qua `drizzle-kit generate` (DROP/ADD CONSTRAINT `status_check`). Migration KHÔNG đụng phần khác.
+  Exit: `schema-diff.test` chạy được (T3 sẽ mở rộng normalizer); DDL comment ghi assignment_failed là system-owned.
+^- [x] **T2 — tasks.yaml TaskStatus split + typegen**: `TaskStatus` giữ 3 giá trị (query param + PATCH body — WRITABLE, description ghi rõ); thêm `TaskStatusExtended` 4 giá trị (chỉ `Task.status` response — READ-ONLY); PATCH KHÔNG nhận `assignment_failed`. Chạy `pnpm --filter node-svc generate:types` → commit `api.d.ts`.
+  Exit: typegen diff-check CI pass (route hard-code 3 giá trị giữ nguyên — đã đúng từ trước).
+^- [x] **T3 — Pin schema-diff.test scope (P0)**: mở rộng normalizer handle `ALTER TABLE ... DROP CONSTRAINT` / `ADD CONSTRAINT` (không throw); WHITELIST bảng outbox với expected-def RIÊNG (so khớp def, KHÔNG đếm vào canonical); assert `tasks.outbox` tồn tại trong migrated; canonical + `indexes.length === 3` GIỮ NGUYÊN (hướng ngược làm đỏ copy-dir standalone).
+  Exit: test xanh với migration 0001; đỏ nếu outbox lệch def.
+^- [x] **T4 — Outbox table migration + drizzle schema**: `tasks.outbox` (id UUID do node sinh PK, type varchar(40), payload jsonb NOT NULL, created_at timestamptz NOT NULL DEFAULT now(), published_at timestamptz NULL) — KHÔNG index (đúng spec, purge lo scan); `schema.ts` thêm bảng; migration `0002` generate. Outbox KHÔNG vào canonical DDL (node-internal infra).
+  Exit: schema-diff whitelist T3 thấy đúng def; migration áp được bằng custom runner.
+^- [x] **T5 — Transactional TaskRepo API + tx rollback test (seam)**: đổi interface `repo.ts` — mutation method nhận outbox op (`create(input, events)`, `update(id, patch, events)`, `remove(id, events)`, thêm `markAssignmentFailed(taskId, assigneeId): Promise<boolean>` conditional guard); **envelope id (UUIDv4) + occurredAt sinh TRONG repo**; drizzle impl bọc mutation + INSERT outbox trong 1 `.transaction()`; fake repo có seam tiêm lỗi giữa 2 step (mô phỏng rollback: cả 2 cùng biến mất). Test tx rollback: mock-db `transaction()` ghi nhận 2 op, outbox insert throw → task + outbox cùng biến mất (không còn row nào).
+  Exit: `repo.drizzle.test.ts` (mới) xanh: happy path 2 op trong cùng tx callback + seam-fail rollback.
+^- [x] **T6 — Route event matrix (presence-based) + xóa clients/activity.ts**: build events từ body tại `routes/tasks.ts` (POST→`task.created`; PATCH có `assigneeId`→`task.assigned` + `task.updated` nếu body còn title/status; PATCH không→`task.updated`; DELETE→`task.deleted`; KHÔNG có unassign; payload `task.updated` chỉ title/status/assigneeId — KHÔNG description); xóa `clients/activity.ts` + 5 refs (`app.ts:24`, `app.test.ts`, `routes/tasks.ts:30`, `server.ts:5,22`); `server.ts` wire relay + consumer thay activity client.
+  Exit: tsc build sạch; không còn ref activity client.
+^- [x] **T7 — app.test.ts cập nhật theo matrix (23/23 cũ không vỡ hoặc cập nhật chính đáng)**: test POST/PATCH/DELETE assert events ghi trong fake repo đúng type + payload shape (so golden fixture `contracts/events/fixtures/*.json` — load chung file); PATCH `status: assignment_failed` → 400 VALIDATION_ERROR; GET task `assignment_failed` hợp lệ (fake trả extended); bỏ test fire-and-forget go-svc (thay bằng outbox-in-tx assert).
+  Exit: toàn bộ node-svc unit test xanh.
+^- [x] **T8 — Relay worker + KAFKA_BROKERS lazy + relay unit test (golden fixture)**: `env.ts` thêm `kafkaBrokers` (optional — thiếu = warn + không start relay/consumer, KHÔNG crash, KHÔNG vào readyz); `outbox-relay.ts` poll 500ms: SELECT unpublished → kafkajs producer send topic `task-events` **key = payload.taskId**, envelope `{schemaVersion:1, id, type, occurredAt, payload}` → mark `published_at` (publish TRƯỚC mark — crash giữa chừng = duplicate, consumer dedupe); purge published cũ > 7 ngày; lazy-connect retry backoff, fail = warn không crash. Unit test: fake producer + fake repo, assert message khớp golden fixture format (2 đầu load chung file).
+  Exit: relay test xanh không cần broker.
+^- [x] **T9 — Compensation consumer + unit test (conditional guard)**: `compensation-consumer.ts` group `node-svc-compensation`, CHỈ xử lý `type === 'task.assignment_failed'` (type khác = commit + skip); xử lý = `markAssignmentFailed` (conditional UPDATE `WHERE assignee_id = payload.assigneeId AND status <> 'assignment_failed'` — stale event KHÔNG đổi); manual offset commit SAU khi DB op xong (kafkajs `autoCommit: false` + `commitOffsets`); retry ×3 in-memory backoff → hết lượt publish message gốc + metadata vào `task-events.dlq` rồi commit (KHÔNG block partition). Unit test: happy (status đổi), stale (assignee khác → không đổi, vẫn commit), filter (type khác skip), idempotent (event lặp → lần 2 match 0 row).
+  Exit: consumer unit test xanh không cần broker/postgres.
+^- [x] **T10 — CI kafka boot-smoke (P0)**: `services-node-svc.yml` thêm job `kafka-boot-smoke`: `up -d postgres kafka node-svc` (env-file .env.example) → readyz 200 → POST task (JWT tự ký) → poll `tasks.outbox` `published_at IS NOT NULL` (psql trong container postgres, timeout) → assert `type='task.created'` + payload có taskId. Relay THẬT trên CI (không fake). Lưu ý YAML block-scalar (improvements-log SF-7): không heredoc/JSON cột 0 trong `run: |`.
+  Exit: job mới có trong workflow; logic poll đúng cú pháp (CI chạy thật ở bước 3 checklist).
+^- [x] **T11 — README node-svc + evidence + audit**: README thêm outbox/kafka section (relay, compensation consumer, event matrix, KAFKA_BROKERS lazy) + mục standalone ghi dependency `contracts/db/tasks-schema.sql` + `contracts/events/fixtures` (FLAG sẵn convergence.yml:62); evidence `docs/superpowers/evidence/sf-2-node-outbox/test-run.txt` (HEAD + test output); Linear audit comment FI-79.
+  Exit: README đầy đủ; evidence đúng convention B1.
+
+## Nhóm review (rolling — code-reviewer độc lập)
+- Nhóm A sau T5: schema cascade + outbox + repo tx (T1-T5).
+- Nhóm B sau T9: routes/relay/consumer/tests (T6-T9).
+- Final: T10-T11 + verdict materialize `/tmp/story/fi62/code-reviewer-sf-2-node-outbox.md` + Linear comment (VERDICT + CHECKLIST-4Q) cho gate B3.
+
+## ACCEPTANCE (từ context pack — verify từng dòng trước DONE)
+1. Tạo task → outbox row trong cùng tx (seam-fail test: task + outbox cùng biến mất).
+2. Relay publish format KHỚP golden fixture (test 2 đầu load chung file).
+3. CI node workflow xanh gồm boot-smoke kafka: outbox row `published_at IS NOT NULL` trên broker thật.
+4. PATCH `status: assignment_failed` bị từ chối; GET task `assignment_failed` hợp lệ.
+5. Consumer: event assignment_failed → status đổi; stale event (assignee khác) KHÔNG đổi.
+6. 23/23 tests cũ không vỡ (hoặc cập nhật chính đáng theo matrix).

package/stack-template/docs/superpowers/plans/2026-10-13-sf-3-go-consumer-plan.md

@@ -0,0 +1,31 @@
+# SF-3 Plan — go-svc Consumer + Saga + thanh lý ingest (FI-80)
+
+> Story FI-76 · spec slice: `docs/superpowers/contexts/sf-3.md` · epic spec rev 3: `docs/superpowers/specs/2026-10-13-kafka-outbox-saga.md`
+> Worktree: `sf-3-go-consumer` (nhánh `__STACK_ORG__/sf-3-go-consumer` fork từ dest @8d04e6d — SF-1 đã merge)
+> Ràng buộc: dev machine KHÔNG Go/Docker — build/test/kafka verify QUA CI. KHÔNG sửa compose/.env.example/contracts-events/conventions-09/users.json/tasks-schema/tasks.yaml/node/spring. KHÔNG franz-go (segmentio theo spec).
+
+## Tasks (11)
+
+- [ ] T1 — Migration `0002_widen_action_cascade.sql`: `ALTER COLUMN action TYPE varchar(40)` (`task.assignment_failed` = 22 ký tự) + drop CHECK cũ / recreate CHECK 5 giá trị (thêm `task.assigned`, `task.assignment_failed`). Width + CHECK CÙNG file — P0 ×2.
+- [ ] T2 — Store idempotency: `store/events.go` InsertEvent `INSERT ... ON CONFLICT (id) DO NOTHING` (id = envelope id từ caller); `model/model.go` +action constants; `store/tasks.go` byStatus + `api/stats.go` seed map thêm `assignment_failed`.
+- [ ] T3 — Config: +`KafkaBrokers` (required fail-fast), `KafkaGroup` (default `go-svc-activity`), `KafkaTopic` (default `task-events`), `KafkaDLQTopic` (default `task-events.dlq`), `AuthMockURL`, `SvcActivityPassword`; +`config_test.go`.
+- [ ] T4 — Resolver service-token: token source login `svc-activity` (`AUTH_MOCK_URL` + `SVC_ACTIVITY_PASSWORD`) — retry backoff lúc boot KHÔNG crash (go chỉ depends_on postgres), lazy re-login khi 401/expiry, cache JWT; consumer enrich userName bằng token này. Tests: fake auth server (backoff, 401 → re-login).
+- [ ] T5 — Consumer package `internal/consumer/` (segmentio/kafka-go): parse envelope (schemaVersion 1, 5 type), filter-by-type bỏ qua `task.assignment_failed`, handler = [1 DB tx: INSERT activity idempotent + resolve display] SAU ĐÓ commit offset (manual commit sau tx); simulate fail hook `assigneeId == svc-fail UUID` → error; retry ×3 in-memory backoff → publish `task.assignment_failed` (envelope id MỚI do go sinh) vào `task-events` + push message gốc vào `task-events.dlq`. Tests: load golden fixtures (READ-ONLY), idempotency, retry/DLQ (fake producer).
+- [ ] T6 — Wiring + thanh lý ingest: `main.go` chạy consumer goroutine (lazy connect); router bỏ `/events` + `EventsHandler`; XÓA `internal/api/events.go` + `events_test.go`; integration test cập nhật (POST /events → 404; idempotency trên postgres thật; giữ readonly-exit criterion).
+- [ ] T7 — activity.yaml ×2 FILE (P0 — sửa 1 bỏ 1 = docs lệch im lặng): canonical `contracts/openapi/activity.yaml` + snapshot `services/go-svc/internal/api/openapi/activity.yaml` GIỮ BIT-IDENTICAL: xóa `/events` path + `ActivityEventInput` + `EventAccepted` + tag events; `ActivityFeedItem.action` enum 5 giá trị; description bỏ "fire-and-forget" (Kafka consumer); `tasksByStatus` thêm `assignment_failed`.
+- [ ] T8 — CI `services-go-svc.yml` 3 điểm chạm + diff-guard: (a) boot-smoke subset +kafka, `kafka-topics.sh --create` task-events + dlq tường minh, console producer publish golden fixture (exec trong container), poll feed đến khi có row (proof event→feed); (b) stats assert nới 4 keys exact; (c) giữ ≥1 proof event→feed; + job drift-guard diff 2 file yaml (precedent spring drift-guard); paths filter + contracts/openapi/activity.yaml; bỏ step POST /events.
+- [ ] T9 — FE remote-tasks: `Task.status` → `TaskStatusExtended` (4 giá trị); `STATUS_LABELS` +`assignment_failed` ('Gán thất bại'); select CHỈ 3 writable; badge khi `assignment_failed`; tests cập nhật. Remote-activity: `ACTION_LABELS` +`task.assigned`/`task.assignment_failed`; `ActivityStats.tasksByStatus` +key; tests cập nhật.
+- [ ] T10 — go-svc README (consumer + env mới + saga flow) + verify local static (yaml parse ×2 identical, fixtures JSON, gofmt qua CI) + push + CI watch xanh (boot-smoke kafka MỚI).
+- [ ] T11 — TESTER REVIEW ĐỘC LẬP → verdict `/tmp/story/fi62/code-reviewer-sf-3-go-consumer.md` (VERDICT: APPROVED + evidence, CHECKLIST-4Q); evidence `docs/superpowers/evidence/sf-3-go-consumer/test-run.txt`; Linear comment DONE (hash + CI URL + files); story-verify sf-3 (B1-B3). KHÔNG set Done, KHÔNG merge dest.
+
+## Acceptance (user-visible — từ context pack sf-3.md)
+1. CI go-svc xanh: boot-smoke subset có kafka, console producer publish golden fixture → feed có row, stats nới pass, diff-guard pass.
+2. Consumer unit: golden fixture → activity row đúng; duplicate envelope id → vẫn 1 row (idempotency).
+3. Retry/DLQ: simulate svc-fail → 3 retry → `task.assignment_failed` publish + event gốc vào DLQ.
+4. Resolver: enrich userName bằng service-token; auth-mock down lúc boot → không crash; 401 → lazy re-login.
+5. GET /api/activity/events → 404; docs endpoint khớp contract (diff-guard).
+6. FE remote-tasks badge `assignment_failed` đúng; remote-activity action label mới có.
+
+## Boundary (KHÔNG làm)
+- compose/.env.example, contracts/events/**, conventions/09, contracts/db, tasks.yaml, node-svc, spring-svc, services-node-svc.yml — đụng = FLAG.
+- KHÔNG SASL/SSL; KHÔNG kafka vào readyz/depends_on; KHÔNG thử docker/kafka local — CI verify.

package/stack-template/docs/superpowers/plans/2026-10-13-sf-4-spring-tx-plan.md

@@ -0,0 +1,96 @@
+# Plan: SF-4 spring-svc @Transactional demo (FI-78)
+Date: 2026-10-13 | Linear: FI-78 | Worktree: sf-4-spring-tx-demo (branch __STACK_ORG__/sf-4-spring-tx-demo)
+Spec slice: docs/superpowers/contexts/sf-4.md · Epic spec rev 3 §SF-4 · Story FI-76
+
+## 0. Root cause analysis (WHY)
+### Root cause
+Epic FI-76 dạy 2 tình huống transaction: Situation B (cross-service saga: SF-2/SF-3) và
+Situation A (nhiều step CÙNG 1 DB — 1 transaction là đủ). spring-svc hiện CHƯA có service layer:
+`TeamController` gọi thẳng `TeamRepository`, team + members được ghi bằng MỘT `save()` cascade —
+không thể demo "fail giữa chừng nhiều step → rollback toàn bộ".
+### Current state (before feature)
+POST /api/users/teams lưu team + members trong 1 cascade; không có chỗ nào chứng minh được
+@Transactional rollback nhiều lệnh ghi. Thành viên copy boilerplate thiếu mẫu Situation A.
+### Expected outcome
+`service/TeamService` tạo team qua N lệnh ghi riêng biệt (teams.save + team_members từng dòng);
+member trùng `alice@demo.local` (fixture có sẵn) ở giữa → throw → rollback toàn bộ; test assert
+QUA REPOSITORY rằng DB không còn team lẫn members (Rule 0).
+### Constraints & hardships
+Dev machine KHÔNG Docker/JDK → mvnw verify chỉ chạy trong CI (postgres service container,
+workflow hiện có). KHÔNG đổi API contract teams (path/shape giữ nguyên). KHÔNG đụng
+compose/contracts/users.json (file của SF-1/epic). KHÔNG dính Kafka.
+### High-level strategy
+Thêm service layer mỏng giữa controller và repository; chuyển ghi members từ cascade sang
+insert từng dòng qua repository; trigger rollback deterministic theo email fixture.
+
+## 1. Problem (intent, NOT solution)
+Thiếu mẫu Situation A (@Transactional nhiều step 1 DB) trong boilerplate — người học không có
+code tham chiếu khi nào 1 transaction là đủ (so với Situation B cần saga).
+
+## 2. Scope
+- In scope: TeamService (mới) + TeamController delegate + TeamRepository helpers + tests
+  (happy + rollback assert qua repository + envelope 409) + README section Situation A vs B.
+- Out of scope: Kafka/outbox/compose/users.json/contracts; ĐỔI path/shape API teams; user mới
+  trong fixture; docker local.
+- Success criteria (observable):
+  1. POST team members hợp lệ → 201, team + members CÓ trong DB (assert qua repository).
+  2. POST team member trùng alice@demo.local ở vị trí giữa → error envelope 409
+     (`$.error.code = CONFLICT`), DB KHÔNG có team lẫn members (assert qua repository).
+  3. CI services-spring-svc xanh: `mvnw verify` + boot-smoke + drift-guard không vỡ.
+
+## 3. Touch map
+- Files modify:
+  - `services/spring-svc/src/main/java/com/example/springsvc/service/TeamService.java` (MỚI)
+  - `services/spring-svc/src/main/java/com/example/springsvc/domain/TeamRepository.java` (thêm
+    `insertMember` native + `existsByName` + `countMembersByTeamName` + `deleteByName` cho test cleanup)
+  - `services/spring-svc/src/main/java/com/example/springsvc/web/TeamController.java` (delegate,
+    bỏ @Transactional khỏi controller)
+  - `services/spring-svc/src/test/java/com/example/springsvc/service/TeamServiceRollbackTest.java` (MỚI)
+  - `services/spring-svc/src/test/java/com/example/springsvc/web/TeamApiTest.java` (swap alice
+    khỏi happy tests — alice giờ là rollback trigger; thêm test envelope 409)
+  - `services/spring-svc/README.md` (section @Transactional demo)
+- Consumers/regression candidates: TeamApiTest (dùng ALICE làm member — PHẢI swap); boot-smoke CI
+  (không tạo team — an toàn); FE/node callers (contract giữ nguyên).
+- Shared surfaces: KHÔNG đổi API/DB schema/config. `team_members` DDL giữ nguyên.
+
+## 4. Design
+- Approach chosen (A): giữ nguyên entity `Team` (@ElementCollection) + thêm native
+  `INSERT INTO team_members` trên `TeamRepository` — service gọi từng dòng. Lý do: touch map
+  nhỏ nhất, không thêm entity/id-class, đọc members (getTeam/list) vẫn qua collection như cũ.
+- Alternatives considered:
+  - (B) Entity `TeamMember` + `TeamMemberRepository` riêng: chuẩn hơn về mặt học thuật nhưng
+    thêm entity + @EmbeddedId chỉ để demo — drive-by abstraction (P2 surgical scope).
+  - (C) JdbcTemplate trong service: bỏ qua repository — trái spec slice ("từng dòng qua repository").
+- Edge cases / second-order effects:
+  - `saveAndFlush` step 1 — native INSERT phải chạy SAU khi teams row có mặt (FK team_members).
+  - Response createTeam echo deduped memberIds từ service (collection của entity KHÔNG bị native
+    insert cập nhật — không mutate managed collection, tránh cascade ghi trùng PK).
+  - Member UUID không tồn tại trong users: giữ nguyên hiện trạng (không FK — chấp nhận, qua qua);
+    trigger chỉ kích hoạt khi user tồn tại + email khớp.
+  - Dedupe LinkedHashSet giữ insertion order → "vị trí giữa" deterministic.
+- Non-functional: không đổi perf surface (vẫn 1 tx/request); error envelope theo conventions/04.
+
+## 5. Implementation outline
+- Tasks (ordered):
+  - [x] 1. TeamRepository: `insertMember` (@Modifying native), `existsByName`, `countMembersByTeamName`, `deleteByName`.
+  - [x] 2. TeamService (MỚI): `@Transactional createTeam(name, memberIds)` — validate name, dedupe,
+     saveAndFlush team, loop members: lookup users repo → email trùng trigger → ApiException.conflict
+     (409 CONFLICT) TRƯỚC khi insert member đó; ngược lại `insertMember`.
+  - [x] 3. TeamController: delegate sang service (validate DTO giữ ở controller), bỏ @Transactional.
+  - [x] 4. TeamServiceRollbackTest (MỚI, KHÔNG @Transactional — server tx thật; cleanup @AfterEach):
+     happy path assert DB qua repository; rollback assert `existsByName=false` +
+     `countMembersByTeamName=0`; thêm case trigger ở vị trí đầu.
+  - [x] 5. TeamApiTest: swap alice → bob/carol trong dedupe + echo tests; thêm test envelope 409 trigger.
+  - [x] 6. README: section "Situation A vs B".
+- File structure: `service/` package mới ngang `web/`, `domain/` (Spring convention).
+- Testing strategy: MockMvc @SpringBootTest trên postgres service container (CI) — integration
+  tests là chính (đúng bản chất @Transactional demo); assert Rule 0 qua repository.
+
+## 6. Risks & unknowns
+- Must verify: `mvnw verify` trong CI (dev machine không JDK — KHÔNG chạy local).
+- Unverified assumptions:
+  - Native INSERT + saveAndFlush cùng tx hoạt động đúng thứ tự (đã có saveAndFlush chặn; CI test
+    happy path sẽ chứng minh).
+  - Derived `deleteByName` + DB cascade ON DELETE CASCADE dọn team_members trong test cleanup.
+- Trigger test data: ALICE=11111111-1111-4111-8111-111111111111, BOB=22222222-…, CAROL=33333333-…
+  (đã đối chiếu contracts/auth/users.json — KHÔNG sửa file này).

package/stack-template/docs/superpowers/plans/2026-10-13-sf-5-convergence-plan.md

@@ -0,0 +1,21 @@
+# Plan — SF-5 Convergence + ADR sync + docs (FI-81, story FI-76)
+
+> Context pack: `docs/superpowers/contexts/sf-5.md` · Epic spec rev 3 §Tier 2 · Branch `__STACK_ORG__/sf-5-convergence` @f23d217.
+> Verify: CI-only (máy dev không Docker) — push + `gh run watch` convergence. Services/FE/contracts READ-ONLY.
+
+## Tasks
+
+- [x] T1 — `scripts/smoke/e2e.sh` saga path: PATCH task assigneeId = svc-fail fixture (55555555-5555-4555-8555-555555555555) → poll GET task `status=assignment_failed` → assert DLQ: `kafka-console-consumer` trong container kafka đọc `task-events.dlq` thấy message chứa taskId gốc. Poll nới (feed 30s, saga 60s). Opt-out `SMOKE_SAGA=0` cho đường B native không Kafka. `bash -n` sạch.
+- [x] T2 — `.github/workflows/convergence.yml`: e2e job boot đủ 10 services (kafka vào title), tạo topic tường minh `task-events` + `task-events.dlq` (`--if-not-exists`, wait kafka healthy) trước e2e, timeout 20→30 phút, dump khi fail thêm DLQ + consumer logs (node/go).
+- [x] T3 — `docs/walkthrough.md`: saga demo (assign fail@demo.local → badge/status `assignment_failed` + lệnh đọc DLQ), note Flyway V2 seed chạy 1 lần — pgdata volume CŨ thiếu svc users → `docker compose down -v` sau pull, CI table convergence 10 services 2 chiều, note SMOKE_SAGA cho đường B.
+- [x] T4 — `README.md` sync lần cuối: 3 service + compose mô tả khớp thực tế (kafka/outbox/saga) — chỉ sửa chỗ lệch.
+- [x] T5 — ADR-0008 consistency rà vs code thật (segmentio, envelope, presence-based, retry in-memory ×3, DLQ shape) — sửa ADR nếu lệch.
+- [x] T6 — Security pass cuối: 9092 không expose host; JWT_SECRET/passwords không vào envelope/event payload/DLQ; `.env` không trong git.
+- [x] T7 — CI convergence xanh 3/3 jobs (e2e 2 chiều + copy-dir + scaffold) — push + `gh run watch`.
+- [x] T8 — Evidence `docs/superpowers/evidence/sf-5-convergence/test-run.txt` (HEAD code commit + `tdd: skipped-tdd: CI-only`), tester review độc lập, comment FI-81, story-verify.
+
+## Boundary
+
+- services/*, frontend/*, contracts/* READ-ONLY — bug thấy được = report coordinator (step 7 context pack).
+- KHÔNG merge main / KHÔNG PR / KHÔNG set Linear Done (coordinator làm).
+- compose: chỉ health-gated depends_on nếu cần — còn lại FLAG.

package/stack-template/docs/superpowers/plans/2026-10-14-sf-2-ui-redesign-plan.md

@@ -0,0 +1,32 @@
+# Plan — SF-2 Shell: layout, login, nav, remote fallback (VU-55, story VU-53 UI redesign)
+
+> Tier: Standard. Spec: `docs/superpowers/contexts/ui-redesign/sf-2.md` + hand-off
+> `docs/superpowers/designs/ui-redesign-direction.md` (§4 App chrome/Login card áp shell;
+> visual tham chiếu `drafts/b-reference.html` — mâu thuẫn nhỏ resolved: nav active dùng
+> gạch `--accent` 2px dưới theo hand-off §4 vì .wakii quy định "restyle theo hand-off",
+> brand mark/user chip/ghost logout lấy từ reference).
+> Worktree: `sf-2-ui-redesign-shell` (story-hub model — push nhánh, coordinator merge).
+> Cứng: `pnpm-lock.yaml` KHÔNG đổi; `frontend/shared/**`, `frontend/remotes/**` READ-ONLY;
+> a11y 3 test case NGUYÊN VẸN; text contracts giữ (login errors, "Thử lại", headings,
+> skip-link, `data-testid="nav-user"`, `aria-label="Điều hướng chính"`).
+
+## Tasks
+
+- [x] T1 — TDD RED: thêm tests shell mới trước (nav active `aria-current="page"`, HomePage quick links + demo hints, login card cấu trúc) — chạy FAIL trước khi implement
+- [x] T2 — `bootstrap.tsx`: import chain `@boilerplate/fe-shared/styles/tokens.css` + `base.css` LÀM CHỦ global rồi `./styles.css` (unlayered scoped thắng base theo kiến trúc `@layer`)
+- [x] T3 — `styles.css` rewrite scoped `sh-*` (topbar/nav/chip/avatar/login card/home cards/remote fallback/error banner usage); 0 element selector toàn cục; chỉ tokens; media ≤768px wrap
+- [x] T4 — `NavBar.tsx`: NavLink active (`aria-current="page"` + gạch accent) + brand mark + user chip (avatar chữ cái đầu nền accent@15% + email `--fs-meta`) + logout ghost / login link; giữ contracts
+- [x] T5 — `Layout.tsx`: className container/main only — skip-link text + href, `main#main-content` tabIndex, focus-on-route logic NGUYÊN VẸN
+- [x] T6 — `LoginPage.tsx`: card giữa màn hình (`--c-s2` `--r-3` viền `--line` padding `--sp-6`) + wordmark "Boilerplate" + heading "Đăng nhập" (giữ role heading cho test) + hint demo mono đẹp (alice + fail@demo.local saga); behavior + error messages + redirect/deep-link GIỮ
+- [x] T7 — `HomePage.tsx`: dashboard chào + quick links 2 remote (cards Tokens) + demo hints (alice@demo.local / demo-password; fail@demo.local saga) — giữ h1 "Trang chủ"
+- [x] T8 — `RemoteSlot.tsx`: Suspense fallback = `Skeleton` primitive (bỏ `<p>Đang tải…</p>` — không test assert chuỗi này); error fallback visual giữ text "Không tải được phần …" + nút "Thử lại"
+- [x] T9 — Verify: `pnpm test` + `pnpm typecheck` shell xanh (a11y 3 case nguyên vẹn); browser verify 3 tầng (DOM eval / VISUAL so `b-reference.png` / FLOW login→nav active→dashboard→remote-fallback qua SHELL_PORT=3100, remote-down simulate port chết — KHÔNG kill container docker chung) + screenshots evidence
+- [x] T10 — Code-reviewer độc lập trên diff SF → verdict post Linear VU-55 (VERDICT + CHECKLIST-4Q); CHANGES-REQUESTED → fix → re-review tới APPROVED
+- [x] T11 — Evidence `evidence/sf-2-ui-redesign-shell/test-run.txt` (HEAD hash + `tdd:` line) + plan tick + commit atomic + push `__STACK_ORG__/sf-2-ui-redesign-shell` + `story-verify sf-2` sạch (B4 merge/B5 Done là phần coordinator) — KHÔNG set Done
+
+## Exit criteria (ACCEPTANCE pack)
+
+1. Qua gateway :8080 hoặc dev :3100: login card đẹp giữa màn hình + hint đọc được; sau login nav hiện email chip + trang đang đứng active; HomePage dashboard có quick links Tasks/Activity + hint saga.
+2. ≤768px: nav wrap, không overflow ngang.
+3. Remote down: slot skeleton lúc tải + fallback đẹp nút "Thử lại" hoạt động.
+4. `pnpm test` + `pnpm typecheck` shell xanh; 3 test a11y pass nguyên vẹn; 0 deps mới (lockfile không đổi).

package/stack-template/docs/superpowers/plans/2026-10-14-sf-3-ui-redesign-plan.md

@@ -0,0 +1,34 @@
+# Plan — SF-3 ui-redesign: TasksPage redesign + UX gaps (VU-56)
+
+> Story VU-53 · spec: `docs/superpowers/specs/2026-10-14-sf-3-ui-redesign.md` · slice canonical: `docs/superpowers/contexts/ui-redesign/sf-3.md`
+> Worktree: `sf-3-ui-redesign-tasks` (nhánh `__STACK_ORG__/sf-3-ui-redesign-tasks`, base = đích `__STACK_ORG__/story-vu53-ui-redesign` @492d072 — SF-1 đã merge) · Tier: Full · TDD: RED→GREEN per task
+> Commit: atomic per task, `feat(sf-3): …` / `test(sf-3): …`. KHÔNG merge, KHÔNG đụng shell/** + activity/** + shared/**.
+
+## Phase 0 — Impact analysis (SF-scoped; epic đã có P0 10 chiều, đây là phần bám code thật của slice)
+
+**Problem**: TasksPage 181 dòng 1 component — list 1 cột + select status; bỏ lỡ DELETE/edit/assignee/pagination/filter dù `tasks.yaml` có sẵn hết. Là màn hình demo chính (walkthrough 4.2) nhưng chưa xứng direction B.
+
+**Touch map** (context pack — giữ nguyên): SỞ HỮU `frontend/remotes/tasks/**` (TasksPage.tsx, components/*.tsx MỚI, styles.css MỚI, api.ts, standalone.tsx, tests/*). READ-ONLY: shell/**, activity/**, shared/**, rspack.config.mjs, env.d.ts, contracts/**, platform/**, services/**. `index.tsx` giữ nguyên (async boundary RUNTIME-006).
+
+**Second-order effects**: (1) `fetchTasks` đổi signature — consumer duy nhất là package này (grep xác nhận); (2) css chunk mới theo expose — shell đã có css experiment + runtime chunk fetch (SF-1 spike); (3) "x/total" giờ = số đã tải/total (load-more làm x tăng) — format chuỗi giữ nguyên cho test contract; (4) standalone :4101 origin không token → 401 banner là hành vi đúng (đã document trong banner).
+
+**Alternatives đã cân**: window.confirm vs inline confirm → inline (testable + styled); sửa BadgeProps thêm aria-label vs bọc span → bọc span (fe-shared đóng băng); Skeleton lúc load-more vs nút busy → nút busy (không nhảy layout); PAGE_SIZE 10 vs 20 → 10 (demo thấy pagination sớm).
+
+**Risks**: tên label trùng "Tiêu đề" (mît: aria-label riêng cho edit); nested role=status khi bọc Badge (chấp nhận — giữ contract aria-label); css import trong vitest (vite stub mặc định — verify khi chạy test); SF-2/SF-4 song song (mît: chỉ touch tasks/** + docs của mình).
+
+**Dimensions sweep**: functional ✓ (13 mục slice) · technical ✓ (MF/css/scope) · data ✓ (clamp limit/offset đúng contract) · perf — skip (demo scale, list ≤100) · security ✓ (React escape text user; confirm chống xoá nhầm; không secrets/asset ngoài) · backward-compat ✓ (registry/aria/labels giữ) · UX ✓ (lõi của SF) · maintenance ✓ (tách 5 component) · operational — skip (không infra) · business ✓ (màn demo chính).
+
+## Tasks
+
+- [x] T1 — `api.ts` mở rộng: `FetchTasksParams` (limit clamp 1..100 default 10 / offset ≥ 0 / status), `buildTasksPath`, `deleteTask` (DELETE 204); RED→GREEN `api.test.ts` (URL mới + params + clamp + delete + 404 envelope)
+- [x] T2 — Components RED: viết `TasksPage.test.tsx` mới đủ ~17 case theo component tree (sửa inline PATCH payload, xoá confirm DELETE, Tải thêm offset, filter ?status=, per-item busy, assignee/createdAt, skeleton) — chạy ĐỎ
+- [x] T3 — Components GREEN: `components/status.ts` (labels/variants/writable) + `StatusBadge` + `StatusSelect` + `TaskForm` + `TaskItem` + `TaskList` + `TasksPage` rewrite (state owner, filter chips, skeleton/empty/load-more, error banner 503 giữ) — chạy XANH
+- [x] T4 — `styles.css` scoped (`.tsk-*`, tokens, media ≤768px) + standalone banner debug đẹp (standalone.tsx, giữ import tokens+base SF-1)
+- [x] T5 — Full verify package: `pnpm test` + `pnpm typecheck` + `pnpm build` tasks — 3 lệnh xanh; ghi `docs/superpowers/evidence/sf-3-ui-redesign-tasks/test-run.txt` (HEAD hash + tdd line)
+- [x] T6 — Rule 0 browser verify 3 tầng: DOM eval + screenshot so direction + flow login→CRUD→filter→load-more→saga 4b badge→logout trên dev stack isolate (:3100 shell + :4101 tasks dev, backend compose) + standalone :4101
+- [x] T7 — Code-reviewer độc lập (cyan) trên diff SF → verdict APPROVED + CHECKLIST-4Q post lên VU-56; CHANGES-REQUESTED → fix → re-review
+- [x] T8 — Commit cuối: evidence hash sync (HEAD~1) + improvements-log + plan tick; push `-u origin __STACK_ORG__/sf-3-ui-redesign-tasks`; chạy `~/.claude/bin/story-verify sf-3` — B1/B2/B2b/B3 phải PASS (B4 pending merge là trạng thái đúng của story-hub — coordinator merge)
+
+## Exit criteria
+
+Context pack ACCEPTANCE từng dòng kiểm được (T6 evidence); tests+typecheck xanh (T5); reviewer APPROVED (T7); gate B1/B2/B2b/B3 PASS (T8).

package/stack-template/docs/superpowers/plans/2026-10-14-sf-5-ui-redesign-plan.md

@@ -0,0 +1,35 @@
+# Plan — SF-5 ui-redesign: Convergence — browser walkthrough + docs + security (VU-58)
+
+> Story VU-53 · spec: `docs/superpowers/specs/2026-10-14-sf-5-ui-redesign.md` · slice canonical: `docs/superpowers/contexts/ui-redesign/sf-5.md`
+> Worktree: `sf-5-ui-redesign-conv` (nhánh `__STACK_ORG__/sf-5-ui-redesign-conv`, base = đích `__STACK_ORG__/story-vu53-ui-redesign` @1a6a7aa — SF-1+2+3+4 đã merge) · Tier: **Full** (convergence — nhiều lớp verify)
+> Commit: atomic per task, `docs(sf-5): …` / `test(sf-5): …`. KHÔNG merge, KHÔNG đụng `frontend/** services/** scripts/** platform/**` (READ-ONLY — bug = report coordinator).
+
+## Phase 0 — Impact analysis (SF-scoped; epic đã có P0 10 chiều)
+
+**Problem**: Story VU-53 có UI mới (SF-1..4 merged) nhưng CHƯA ai chứng minh 8/8 acceptance epic trên build compose thật qua trình duyệt; docs (walkthrough.md mục 4/4b, README repo-map, FE READMEs) còn mô tả UI cũ/trống; security pass cuối story chưa chạy. CI e2e là API-level — không nhìn UI (epic: human gate duy nhất).
+
+**Touch map** (context pack — giữ nguyên): SỞ HỮU `docs/walkthrough.md`, `README.md`, `frontend/{shell,remotes/*}/README.md`, `docs/superpowers/evidence/ui-redesign/**` (mới), `docs/superpowers/evidence/sf-5-ui-redesign-conv/**` (mới — gate B1), `docs/superpowers/improvements-log.md`, spec/plan của mình. READ-ONLY toàn bộ còn lại (`frontend/** services/** platform/** scripts/** contracts/** .github/**`).
+
+**Second-order effects**: (1) stack compose 10 container đang chạy 15h từ build story-đích — nội dung code = HEAD của nhánh đích = HEAD của nhánh SF-5 (SF-5 chỉ thêm docs → build vẫn đúng, không cần rebuild); (2) walkthrough tạo data thật (tasks) trên DB demo — chấp nhận (repo demo, người walkthrough cần data để thấy pagination/load-more); (3) kill container remote-tasks làm healthcheck đỏ tạm thời → start lại + đợi healthy trước khi kết thúc; (4) docs đổi nhãn UI = phải khớp NGHIÊM text thật trên màn (badge "Gán thất bại", nút "Tải thêm", "Thử lại") — lấy từ screenshot/DOM thực, không từ nhớ.
+
+**Alternatives đã cân**: (a) walkthrough trên dev stack isolate như SF-2/3/4 → LOẠI, pack ép compose :8080 là chuẩn duy nhất; (b) 375px bằng CSS media-query analysis → LOẠI, Rule 0 đòi pixel thật — headless Chrome cùng build; (c) seed pagination data qua UI 11 lần → chỉ dùng khi thiếu, curl seed nhanh hơn nhưng vẫn đi CRUD qua UI; (d) tự tick human-gate 8/8 → CẤM, để coordinator relay user.
+
+**Risks**: Orca CDP screenshot timeout (tái diễn SF-2/SF-24/SF-1) → fallback headless Chrome cùng build, khai báo trung thực (FI-464); saga badge trễ (retry ×3 backoff) → poll tối đa ~60s; container kill quên start lại → checklist khôi phục trước khi rời bước; `pnpm -r test` kéo cả node-svc/spike (workspace lớn hơn 3 FE package) → đọc output theo package, 3 FE package phải xanh.
+
+**Dimensions sweep**: functional ✓ (8 acceptance = lõi) · technical ✓ (compose topology kill-remote, browser tooling) · data ✓ (demo data walkthrough tạo) · perf — skip (không code, không hot path) · security ✓ (security pass cuối story là deliverable) · backward-compat ✓ (docs-only, không đụng contract) · UX ✓ (375px + walkthrough đọc được bởi người mới) · maintenance ✓ (docs sync chống drift UI↔docs) · operational ✓ (stack sống + hướng dẫn human gate) · business ✓ (epic chỉ xong khi người đi hết walkthrough).
+
+## Tasks
+
+- [x] T1 — Full suite: `pnpm -r test` + `pnpm -r typecheck` + `pnpm -r build` (3 FE package xanh) + `git diff pnpm-lock.yaml` rỗng → ghi `docs/superpowers/evidence/sf-5-ui-redesign-conv/test-run.txt` (hash + tdd line)
+- [x] T2 — e2e smoke PASS 1 lần chứng minh: `bash scripts/smoke/e2e.sh` (2 chiều happy+saga) → output vào evidence
+- [x] T3 — Rule 0 browser walkthrough 8/8 trên compose :8080 (3 tầng DOM/VISUAL/FLOW): login → nav active → Tasks CRUD (tạo/sửa inline/đổi status/xoá confirm/filter/Tải thêm + x/total) → Activity phản ánh (stats + feed vi-VN) → saga 4b (assign fail@demo.local → badge "Gán thất bại" → re-assign bob + PATCH todo → về luồng thường) → kill remote-tasks → shell còn nguyên + fallback "Thử lại" + retry OK → activity vẫn chạy → standalone :4001/:4002 có style. Screenshots → `docs/superpowers/evidence/ui-redesign/conv-*.png`
+- [x] T4 — Responsive 375px: 3 màn chính (Tasks/Activity/Home sau login) không overflow ngang — headless Chrome cùng build :8080, screenshots + DOM check `scrollWidth<=innerWidth` vào evidence
+- [x] T5 — Docs sync: `docs/walkthrough.md` mục 4/4b đối chiếu UI mới (nhãn/badge thật) + compose kill-remote; `README.md` repo-map (fe-shared design tokens + UI primitives); `frontend/shell/README.md` + `frontend/remotes/{tasks,activity}/README.md` import tokens/primitives
+- [x] T6 — Security pass: scan diff toàn story (secrets pattern, .env không track, exec-bit mới, asset ngoài/CSP untouched) + scaffold sanity verify-only (output có `frontend/shared/src/{styles,ui}` + build shell OK + xoá) → kết quả vào evidence
+- [x] T7 — `docs/superpowers/improvements-log.md`: patterns hội tụ của SF-5
+- [x] T8 — Code-reviewer độc lập (cyan) trên diff SF (docs/evidence) → APPROVED + CHECKLIST-4Q post VU-58; CHANGES-REQUESTED → fix → re-review
+- [x] T9 — Commit cuối + push `-u origin __STACK_ORG__/sf-5-ui-redesign-conv` + `~/.claude/bin/story-verify sf-5` (B1/B2/B2b/B3 sạch; B4 pending merge = đúng story-hub) + worktree comment hướng dẫn walkthrough human gate + audit log VU-58. KHÔNG set Done Linear.
+
+## Exit criteria
+
+Context pack ACCEPTANCE từng dòng kiểm được (T3/T4 evidence); suite + smoke xanh (T1/T2); reviewer APPROVED (T8); gate B1/B2/B2b/B3 PASS (T9 — B4 pending merge là trạng thái đúng của story-hub, coordinator merge); stack :8080 còn sống + hướng dẫn walkthrough đã đẩy coordinator.