dsh-rule-engine 0.5.17 → 0.6.1

package/scripts/verify-all.mjs

@@ -12,9 +12,10 @@
 // 任一 ❌ → exit 1；⚠️（WARN）不阻塞但必须明示。
 // 注意：子进程输出捕获需完整权限运行（受限模式 EPERM）。
 import { execFileSync } from "node:child_process";
-import { readdirSync, statSync, readFileSync } from "node:fs";
+import { readdirSync, statSync, readFileSync, existsSync } from "node:fs";
 import { dirname, join } from "node:path";
 import { fileURLToPath } from "node:url";
+import { exemptPkg } from "./lib/pnpm-exempt.mjs";
 
 const root = join(dirname(fileURLToPath(import.meta.url)), "..");
 const lines = [];
@@ -58,7 +59,8 @@ step("单元（test/run-all.mjs）", process.execPath, [join(root, "test", "run-
 // ── ③ 组合冒烟 ──
 step("组合冒烟（loader-smoke，真实接线+外部世界断言）", process.execPath, [join(root, "test", "loader-smoke.e2e.mjs")]);
 
-// ── ⑤ 工具箱覆盖（0.5.9 门禁） ──
+// ── ⑤ 工具箱覆盖（0.5.9 门禁；0.6.0 B2′：素材经 CHECK_TOOL_CATALOG/--catalog 提供，缺素材=FAIL 含获取方式——
+//    本机运行请设 CHECK_TOOL_CATALOG=D:\...\docs\docs-site-text\...；发布物内不硬编码任何本机路径） ──
 step("工具箱覆盖（官方 tool-catalog vs 分类表，缺失即红）", process.execPath, [join(root, "scripts", "check-tool-coverage.mjs")]);
 
 // ── ⑥ 变更工具守卫链覆盖（0.5.11 规则 24④ 跨工具一致性门禁） ──
@@ -123,6 +125,87 @@ if (judgeReal > 0) {
 // 无 AGENTS.md 冷启动 / 空白规则静默 / 任意编号规则声明式绑定 / 格式契约冒烟 / 个人标识扫描
 step("发布适用性门禁（无 AGENTS.md 冷启动 / 空白规则 / 任意编号 / 个人标识扫描）", process.execPath, [join(root, "scripts", "publish-aptitude-check.mjs")]);
 
+// ── ⑨ 发布门禁 B1（阶段 B，2026-09-04：README 版本四性一致性）──
+step("发布门禁 B1（README 版本四性一致性：package.json/徽章/正文/历史表/固定源）", process.execPath, [join(root, "scripts", "readme-version-check.mjs")]);
+
+// ── ⑩ 发布门禁 B2（阶段 B，2026-09-04：lib/ 本机痕迹扫描，词表唯一源）──
+step("发布门禁 B2（lib/ 本机痕迹扫描——词表唯一源，命中即红）", process.execPath, [join(root, "scripts", "local-residue-scan.mjs")]);
+
+// ── ⑪ 存在性扫描（泄露预防，2026-09-05：真实路径判据——REAL_PATHS_SCAN 指向扫描器，0 命中才算过；
+//    未设置=WARN（本机增强门禁，通用环境无此工具）──
+{
+  const scanReal = process.env.REAL_PATHS_SCAN;
+  if (scanReal) {
+    step("存在性扫描（真实路径判据，0 命中红线）", process.execPath, [scanReal, "--root", root]);
+  } else {
+    lines.push("⚠️ 存在性扫描：未设置 REAL_PATHS_SCAN（本机增强门禁；发布流水线建议设置）");
+  }
+}
+
+// ── ⑫ 判据库回归（窗口 B 接入，2026-09-06：净化判据 L1 敏感串全集全历史 0 非白名单 + L2 根段未覆盖 0
+//    红线——JUDGE_SCAN 指向本机判定门禁（stage1 判据库扫描器包装），未设置=WARN（本机增强门禁）──
+{
+  const judgeScan = process.env.JUDGE_SCAN;
+  if (judgeScan) {
+    step("判据库回归（净化判据全历史 0 非白名单 + L2 未覆盖 0 红线）", process.execPath, [judgeScan, "--root", root]);
+  } else {
+    lines.push("⚠️ 判据库回归：未设置 JUDGE_SCAN（本机增强门禁；发布流水线建议设置）");
+  }
+}
+
+// ── ⑬ pnpm 豁免校验（批次四 04 1.1 B1 口径；E-56 修活后为真跑校验：npm 已发布 latest 必须 ∈ minimumReleaseAgeExclude；
+//    绝对口径（12.4/13.2 裁定）：**link 装配不豁免**——四包 npm latest 必须 ∈ 豁免名单（防未来转非 link 装配踩坑 18）──
+{
+  try {
+    const dshHome = process.env.DSH_HOME || join(process.env.USERPROFILE || "", ".dsh");
+    const wsYaml = readFileSync(join(dshHome, "profiles", "web", "pnpm-workspace.yaml"), "utf8");
+    const profPkg = JSON.parse(readFileSync(join(dshHome, "profiles", "web", "package.json"), "utf8"));
+    const pkgVerLocal = (p) => { try { return JSON.parse(readFileSync(join(dshHome, "profiles", "web", "node_modules", p, "package.json"), "utf8")).version; } catch { return null; } };
+    const fourPkgs = ["dsh-rule-engine", "dsh-rules-manager", "dsh-rules-manager-client", "dsh-rule-engine-client"];
+    const misses = [];
+    const viewFails = [];
+    // 豁免判定（单源：scripts/lib/pnpm-exempt.mjs——与 release-plugin 预插共享；一致性测试锁）
+    const exempt = (p, v) => exemptPkg(wsYaml, p, v);
+    for (const p of fourPkgs) {
+      const spec = profPkg.dependencies?.[p];
+      if (!spec) continue;
+      const isLink = typeof spec === "string" && spec.startsWith("link:");
+      const esc = p.replace(/[.*+?^${}()|[\]\\]/g, "\\$&");
+      // ⑬ 强校验（12.4 修法绝对口径）：npm 已发布 latest 必须 ∈ 豁免名单——**不因 link 装配豁免**
+      //（link 包其 npm 已发布版本仍须豁免——防未来转非 link 装配时踩坑 18）；本机版校验仅非 link 执行
+      let latest = null;
+      try {
+        const npmCli = join(dirname(process.execPath), "node_modules", "npm", "bin", "npm-cli.js");
+        latest = (process.platform === "win32" && existsSync(npmCli))
+          ? execFileSync(process.execPath, [npmCli, "view", p, "version"], { encoding: "utf8", stdio: "pipe" }).trim()
+          : execFileSync("npm", ["view", p, "version"], { encoding: "utf8", stdio: "pipe" }).trim();
+      } catch { latest = null; viewFails.push(p); }
+      if (latest && !exempt(p, latest)) {
+        misses.push(`${p}@${latest}（npm latest 未豁免）`);
+      }
+      if (!isLink) {
+        const ver = pkgVerLocal(p);
+        if (ver && !exempt(p, ver)) misses.push(`${p}@${ver}（本机版未豁免）`);
+      }
+    }
+    if (process.env.VERIFY_ALL_TESTMODE === "1") { misses.push("TESTMODE 合成 miss（门禁活性自证——必须转红）"); viewFails.push("TESTMODE-合成"); }
+    if (viewFails.length) {
+      // E2：发布语境（VERIFY_ALL_STRICT=1，release-plugin 3.7 设置）viewFails>0 计 ❌（fail-closed）；本地默认 ⚠️ 可见+抑制 ✅
+      const strictFail = process.env.VERIFY_ALL_STRICT === "1";
+      lines.push(strictFail
+        ? `❌ pnpm 豁免校验：npm view 执行失败 ${viewFails.length} 包（${viewFails.join("、")}）——发布语境 fail-closed（latest 未获取即阻断）`
+        : `⚠️ pnpm 豁免校验：npm view 执行失败 ${viewFails.length} 包（${viewFails.join("、")}）——latest 未获取（fail-closed：未完成≠通过）`);
+    }
+    if (misses.length) {
+      lines.push(`❌ pnpm 豁免校验：${misses.join("、")} 不在 minimumReleaseAgeExclude（发布后首装会被静默跳过——见踩坑 18）`);
+    } else if (!viewFails.length) {
+      lines.push("✅ pnpm 豁免校验（四包 npm latest 均已豁免）");
+    }
+  } catch (e) {
+    lines.push("⚠️ pnpm 豁免校验：读取失败（本机 profile 缺失时跳过）");
+  }
+}
+
 console.log(lines.join("\n"));
 const failed = lines.filter((l) => l.startsWith("❌"));
 if (failed.length) {