flower-trellis 0.6.0-beta.6 → 0.6.0-beta.7

package/README.md

@@ -168,7 +168,7 @@ flower-trellis plugin
 | `.flower/state.json` | 本机;记录实际平台、生成路径、ownership 与 Patch provenance |
 | `.flower/cache/`、`.flower/transactions/` | 本机;可清理缓存与事务恢复证据 |
 
-`rd-guide` 是随包预注册、默认启用但惰性访问的 GitLab Marketplace。打开管理器后，`发现` 页会在已有凭据时读取远程目录；未登录时只展示授权入口，不会尝试读取仓库内容。普通交互默认使用 Device Flow，PKCE 浏览器登录保留为来源详情中的高级选项。OAuth 只申请 `read_api read_repository`，Application Secret 和 token 都不会写入项目文件。
+`rd-guide` 是随包预注册、默认启用但惰性访问的 GitLab Marketplace。它的 GitLab 地址、项目和 ref 随 Flower 包升级，用户配置只保存启用或停用偏好，避免旧的用户级完整副本静默遮蔽包内修复；需要其它地址或分支时应新增独立 source ID。打开管理器后，`发现` 页会在已有凭据时读取远程目录；未登录时只展示授权入口，不会尝试读取仓库内容。普通交互默认使用 Device Flow，PKCE 浏览器登录保留为来源详情中的高级选项。OAuth 只申请 `read_api read_repository`，Application Secret 和 token 都不会写入项目文件。
 
 GitHub 首版只支持 `github.com` 公共仓库和匿名 REST，不保存 PAT 或其它凭据。来源会固定确认后的格式入口；安装 lock 固定完整 commit 与 canonical digest，通过 Marketplace 发现时还会固定索引仓库和索引 commit。匿名 API 可能受每小时 60 次/IP 的主要限额影响，限流会显示为 GitHub 诊断，不会转成登录提示。
 

package/enhancements/0.6/.agents/skills/trellis-check-all/SKILL.md

@@ -18,7 +18,7 @@ description: "统一 Check-All 入口：确认范围与运行上下文，按 req
 4. 先按根因性质和可达证据把发现分为主路径 `CHK-*`、兜底 `FBK-*` 与文档漂移 `DOC-*`，再为 `CHK-*` 和 `FBK-*` 分配 P0/P1/P2。
 5. 在最终报告前处理允许自动修复的文档漂移，并把修复内容展示在报告里。
 6. 根据 interactive / validated auto-loop 边界输出下一步或完成 runner `record + next`。
-7. untracked helper 只保存流程游标：findings 或新编辑设回 `implement`；只有严格通过且 disposition 确认继续时才 `advance --stage spec`。
+7. untracked helper 只保存流程游标：未处置 findings 或新编辑设回 `implement`；严格通过或已接受风险通过且 disposition 确认继续时才 `advance --stage spec`。
 
 ---
 
@@ -42,7 +42,7 @@ description: "统一 Check-All 入口：确认范围与运行上下文，按 req
 1. **默认 audit-only collect-all**：可以读文件、搜索、运行无业务写入副作用的 lint、typecheck 和测试；普通代码、配置、测试、任务规格语义问题不得在检查阶段直接修复。
 2. **唯一自修例外**：低风险文档漂移进入 `DOC-*` 通道，按 `references/document-drift-auto-remediation.md` 的白名单、黑名单和写入时机处理。
 3. **分类先于严重度**：读取 `references/fallback-findings.md`；主路径错误和非兜底契约违背进入 `CHK-*`，fail-closed、异常输入、失败降级和防御性保护缺口进入 `FBK-*`。契约证据影响严重度，不改变兜底根因归属。
-4. **修改前只确认一次**：除 `DOC-*` 自动修复外，全部检查结束后通过统一报告让用户选择 `CHK-*` / `FBK-*` 修复范围；`修复全部` 默认覆盖两类问题。
+4. **处置只确认一次**：除 `DOC-*` 自动修复外，全部检查结束后通过统一报告让用户选择 `CHK-*` / `FBK-*` 修复范围或明确接受当前风险；`修复全部` 默认覆盖两类问题，接受风险不得隐藏发现。
 5. **委托规则不改变边界**：复用 `trellis-check` 时只复用检查清单、验证方法和命令发现，忽略其中任何“直接修复”“失败后先修复”的指令。
 6. **真正阻塞才中途暂停**：只有业务规划冲突、后续验证前提失效、生产或外部副作用、破坏性操作风险时提前停止。
 
@@ -114,6 +114,7 @@ check_profile:
 - 三个维度状态；
 - 自动修复的 `DOC-*` 内容；
 - 剩余 `CHK-*` 主路径问题与 `FBK-*` 兜底问题；
+- 每个剩余问题的未处置或已接受风险状态；
 - 已执行验证和未覆盖风险；
 - 与当前结论匹配的唯一下一步。
 

package/enhancements/0.6/.agents/skills/trellis-check-all/references/fallback-findings.md

@@ -1,6 +1,6 @@
 # Fallback Findings
 
-本文件定义 `CHK-*` 主路径问题与 `FBK-*` 兜底问题的根因边界。分类发生在严重度评估之前；分类完成后，两类问题都根据当前实际影响分配 P0/P1/P2，并进入同一个修复与严格通过门禁。
+本文件定义 `CHK-*` 主路径问题与 `FBK-*` 兜底问题的根因边界。分类发生在严重度评估之前；分类完成后，两类问题都根据当前实际影响分配 P0/P1/P2，并进入同一个修复、风险接受与通过门禁。
 
 ---
 
@@ -65,5 +65,9 @@
 - `CHK-*` 与 `FBK-*` 分别独立编号，当前修复/重检循环保留原 ID。
 - 两类问题都按实际影响分配 P0/P1/P2；严重度不改变通道归属。
 - 两类问题都是修复项，都被 `修复全部` 覆盖，也都可以通过混合精确 ID 修复，例如 `修复 CHK-001,FBK-002`。
-- 任何剩余 `CHK-*` 或 `FBK-*` 都阻断 strict pass，并让 interactive、untracked、auto-loop、direct Git、Update-Spec 与 Push 进入未通过或 fix/recheck 路径。
-- `仅保留报告` 可以显式停止修复，但不能把未解决问题改写成通过。
+- 用户可以明确接受当前报告中任一 `CHK-*` 或 `FBK-*` 的风险而不修复；接受风险不改变问题通道、严重度、证据或建议，也不能把问题从报告中删除。
+- 风险接受必须能唯一对应当前报告的问题 ID；当前报告只有一个候选时，“这个问题”“不管这个”等明确指代可以解析为该 ID。P0 必须逐项写出精确 ID，不接受“全部”式概括授权。
+- 风险接受只适用于当前问题证据和实际 diff；受影响代码、契约、验证结果或问题证据变化后立即失效，必须重新检查和接受。
+- `strict pass` 仍要求剩余 `CHK-*` 与 `FBK-*` 均为 0；若所有剩余问题都已被用户有效接受，且无阻塞、无部分验证、无未接受的实质风险，则使用“已接受风险通过”。两种通过都可以进入 interactive、untracked、direct Git、Update-Spec 与 Push 的继续路径。
+- 只有未处置的 `CHK-*` 或 `FBK-*` 阻断交互完成链。validated auto-loop 不能代表用户接受风险，仍要求两类问题均为 0 才能 `record ok`。
+- `仅保留报告` 只表示停止修复，不构成风险接受，也不能把未处置问题改写成通过。

package/enhancements/0.6/.agents/skills/trellis-check-all/references/full-profile.md

@@ -131,4 +131,5 @@ Full 通过必须同时满足：
 - 所有适用 PRD / design / implement 条目已映射到实现或明确 `N/A`；
 - 所有触发的假设 Dimension 已完成源码或真实契约核对；
 - 项目规范、复用、依赖、同层一致性和验证命令已覆盖实际变更范围；
-- 无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险。
+- strict pass：无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险；或
+- 已接受风险通过：所有剩余 `CHK-*` / `FBK-*` 都有当前有效的用户风险接受，且无阻塞、无部分验证、无未接受的实质剩余风险。

package/enhancements/0.6/.agents/skills/trellis-check-all/references/light-profile.md

@@ -70,6 +70,7 @@ Light 通过必须同时满足：
 - 所有受影响规划条目已核对；
 - 所有触发的假设维度状态为 `通过` 或合理的 `N/A`；
 - 定向验证已运行并通过，或明确说明无需运行的原因；
-- 无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险。
+- strict pass：无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险；或
+- 已接受风险通过：所有剩余 `CHK-*` / `FBK-*` 都有当前有效的用户风险接受，且无阻塞、无部分验证、无未接受的实质剩余风险。
 
 存在未覆盖但不影响局部结论的内容时，必须在“未覆盖与风险”中说明。

package/enhancements/0.6/.agents/skills/trellis-check-all/references/reporting-and-disposition.md

@@ -6,7 +6,7 @@
 
 ## 统一问题模型
 
-先按 `references/fallback-findings.md` 判定 `CHK-*` / `FBK-*`，再为两类问题分配 P0/P1/P2。分类表达根因性质，严重度描述当前实际影响；两者都不改变问题必须进入修复和 strict pass 门禁的处置规则。
+先按 `references/fallback-findings.md` 判定 `CHK-*` / `FBK-*`，再为两类问题分配 P0/P1/P2。分类表达根因性质，严重度描述当前实际影响；两者都不决定问题必须修复还是可以由用户接受风险。
 
 ### `CHK-*` 主路径问题
 
@@ -42,7 +42,19 @@
 | 位置 | 同一根因的全部受影响位置 |
 | 验证 | 修复后的测试、故障注入、命令或手动验证步骤 |
 
-`CHK-*` 与 `FBK-*` 分开编号。同一根因的多个位置合并到一个问题；报告按严重度排序，但不得因此重排已经分配的 ID。新根因使用对应通道的下一个 ID。
+`CHK-*` 与 `FBK-*` 分开编号。同一根因的多个位置合并到一个问题；报告按严重度排序，但不得因此重排已经分配的 ID。新根因使用对应通道的下一个 ID。每个问题还必须标记 `未处置` 或 `已接受风险`；处置状态不改变 ID、通道和严重度。
+
+## 风险接受
+
+风险接受是用户对当前报告的显式处置，不是检查器对问题严重度的降级：
+
+1. 只有用户可以接受风险；主会话、subagent 和 validated auto-loop 都不得代替用户推断或授权。
+2. 接受必须唯一对应当前报告的问题 ID。用户可以写 `接受风险 CHK-001,FBK-002 并继续`；当前报告只有一个候选时，“这个问题”“不管这个”等明确指代可以解析为该 ID。P0 必须逐项写出精确 ID，不接受 `接受全部剩余风险`。
+3. 接受只绑定当前问题证据与实际 diff。受影响代码、契约、验证结果、问题内容或严重度变化后，原接受立即失效，问题恢复为 `未处置`。
+4. 已接受问题继续完整展示证据、影响、建议和验证，并标记 `处置：已接受风险`；不得删除、改列 `DOC-*` 或伪报已修复。
+5. `strict pass` 只用于剩余 `CHK-*` / `FBK-*` 均为 0。所有剩余问题均已被有效接受，且无 blocked、无部分验证、无未接受的实质剩余风险时，结论为 `通过·已接受风险`。
+6. blocked、部分验证和无法唯一对应到当前问题 ID 的实质剩余风险不是 `CHK-*` / `FBK-*` 处置状态，不能借风险接受绕过。
+7. `仅保留报告` 表示停止处置并等待，不等于接受风险；只有带明确接受语义的用户回复才改变问题处置状态。
 
 ---
 
@@ -53,7 +65,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 ```markdown
 ## Trellis Check-All 结果
 
-[<通过/未通过/阻塞>] <N> 个维度 · CHK <N> · FBK <N> · 自动修复 DOC <N> · P0 <N> / P1 <N> / P2 <N> · 验证 <通过>/<总数>
+[<通过/通过·已接受风险/未通过/阻塞>] <N> 个维度 · CHK <N>（接受 <N>）· FBK <N>（接受 <N>）· 自动修复 DOC <N> · P0 <N> / P1 <N> / P2 <N> · 验证 <通过>/<总数>
 
 工作：<任务名称 | Untracked work: work-id | 无活动工作>
 范围：<文件数与层级摘要；包含自动修复产生的文档 diff>
@@ -77,6 +89,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 ### 主路径问题
 
 - [ ] `CHK-001` `[P1]` <标题>
+  - 处置：<未处置/已接受风险>
   - 来源：<来源>
   - 证据：<file:line / 契约 / 命令结果>
   - 影响：<影响>
@@ -87,6 +100,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 ### 兜底问题
 
 - [ ] `FBK-001` `[P1]` <标题>
+  - 处置：<未处置/已接受风险>
   - 来源：<来源>
   - 证据：<file:line / 契约 / 命令结果>
   - 兜底场景：<可达异常或失败场景>
@@ -105,7 +119,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 批次 1：<CHK/FBK 问题 ID> · <修复目标>
 修复后：定向验证 -> Check-All 重检
 
-操作：`修复全部`、`修复 CHK-001,FBK-002`、`仅保留报告`
+操作：`修复全部`、`修复 CHK-001,FBK-002`、`接受风险 CHK-001,FBK-002 并继续`、`仅保留报告`
 
 ### 下一步
 
@@ -116,9 +130,10 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 
 - 没有 `DOC-*` 自动修复时省略“自动修复”区。
 - 没有 `CHK-*` 时省略“主路径问题”区；没有 `FBK-*` 时省略“兜底问题”区。
-- `CHK-*` 或 `FBK-*` 任一存在时展示“修复批次”，并只在报告末尾提供一次修复范围选择，不再逐项提问。
+- 存在未处置 `CHK-*` 或 `FBK-*` 时展示“修复批次”，并只在报告末尾提供一次处置选择，不再逐项提问。
 - `修复全部` 始终覆盖全部 `CHK-*` 与 `FBK-*`；精确修复可以混合两类 ID。
-- `仅保留报告` 只表示停止修复，不改变未通过结论或剩余风险。
+- 风险接受可以混合两类 ID；只有全部剩余问题都已有效接受时才形成“通过·已接受风险”。
+- `仅保留报告` 只表示停止处置，不改变未通过结论或剩余风险。
 - interactive 标准报告必须以“下一步”段结束；停止等待不等于省略引导。
 - 独立 `CHK-*` 或 `FBK-*` 不得因数量多而静默省略；先合并同根因重复项，再完整列出剩余项。
 - 报告不得包含 commit message、拟提交/暂存文件、commit-only 决策或提交确认。
@@ -160,9 +175,9 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 <按下方 `Interactive Post-Check Stop Gate` 输出一个明确、可执行的主动作>
 ```
 
-检查通过后的动作由下方 `Interactive Post-Check Stop Gate` 判断：普通交互停止等待，符合 direct Git 严格通过条件时同轮进入 Phase 3.3 `trellis-update-spec`，再到 Phase 3.4 `trellis-push`。仍有 `CHK-*` 或 `FBK-*` 时停留在修复/重检循环。
+检查通过后的动作由下方 `Interactive Post-Check Stop Gate` 判断：普通交互停止等待，符合 direct Git strict pass 或已接受风险通过条件时同轮进入 Phase 3.3 `trellis-update-spec`，再到 Phase 3.4 `trellis-push`。仍有未处置 `CHK-*` 或 `FBK-*` 时停留在处置/重检循环。
 
-untracked helper 不记录 Check-All 证据。普通严格通过但尚未继续时保持 `stage=check`；只有 direct Git 同轮继续或用户后续明确继续时才 `advance --stage spec`。有剩余 `CHK-*`、`FBK-*`、部分验证、阻塞或报告后的新编辑时，先 `advance --stage implement` 再返回实现。
+untracked helper 不记录 Check-All 证据或风险接受。普通 strict pass / 已接受风险通过但尚未继续时保持 `stage=check`；只有 direct Git 同轮继续或用户后续明确继续时才 `advance --stage spec`。有未处置 `CHK-*`、`FBK-*`、部分验证、阻塞或报告后的新编辑时，先 `advance --stage implement` 再返回实现。
 
 ---
 
@@ -171,7 +186,7 @@ untracked helper 不记录 Check-All 证据。普通严格通过但尚未继续
 validated auto-loop 复用相同的画像、profile、`DOC-*` 通道和问题模型，但不展示普通模式的修复选择：
 
 - 有 `DOC-*` 且可自动修复：主会话先应用并验证；当前任务 `implement.md` / `brief.md` 的每个实际变化都追加精确 `--doc-remediation-file`，再决定最终 `ok|failed|blocked`。
-- 有剩余 `CHK-*` 或 `FBK-*`：向 runner `record --result failed --effective-check-depth <light|full> --check-depth-reason <summary>`，摘要包含最高严重度、两类问题 ID、根因、受影响文件和已自动修复的 `DOC-*`。
+- 有剩余 `CHK-*` 或 `FBK-*`：向 runner `record --result failed --effective-check-depth <light|full> --check-depth-reason <summary>`，摘要包含最高严重度、两类问题 ID、根因、受影响文件和已自动修复的 `DOC-*`。validated auto-loop 不创建也不复用 interactive 风险接受。
 - 真正需要用户产品决策、越权、生产副作用或破坏性安全决策：使用同样深度字段 `record --result blocked`，随后按 runner 状态停止。
 - 无剩余 `CHK-*` 且无剩余 `FBK-*`：`record --result ok --effective-check-depth <light|full> --check-depth-reason <summary>`，摘要包含自动修复数量；只有两类问题都为 0 才能进入通过路径。
 - record 成功后立即 `next`；若返回 `status=retryable reason=artifact-drift`，不得 `next`，先按 runner 指令在同一 outstanding action 内自纠并重录。validated auto-loop 不渲染交互式下一步段、不提示用户回复“继续”、不等待普通修复范围选择。
@@ -185,19 +200,19 @@ subagent 只返回结构化 `CHK-*`、`FBK-*`、`DOC-*` 候选、报告和 `chec
 
 非 validated auto-loop 先输出完整标准报告，再在本 Gate 内按以下顺序分流：
 
-1. 只从触发本轮完成链的最新用户消息识别 direct Git intent：明确请求普通 push，或用户主动 `commit-only`。不得从历史消息、任务标题、摘要、dirty 状态或 auto-loop 内部 action 推断。
-2. direct Git 只有在 Check-All 整体结论通过、剩余 `CHK-*` 和 `FBK-*` 均为 0、无阻塞、无部分验证、无待用户接受的实质剩余风险时才算严格通过。允许存在已成功验证的 `DOC-*` 自动修复；标准报告输出后，同一轮进入 Phase 3.3 `trellis-update-spec`；`no-op|written` 再由其加载 `trellis-push`，`needs-review` 停止。
-3. 剩余 `CHK-*`、`FBK-*`、blocked、部分验证或实质剩余风险均不满足条件：输出标准报告并停止，不运行 Update-Spec，也不生成 Git 计划。原始 Git 请求不授权自动修复普通问题、忽略问题或扩大 Git 权限。
+1. 只从当前完成链证据识别 direct Git intent：触发检查的最新用户消息明确请求普通 push 或用户主动 `commit-only`；或者 Check-All 已因该 Git 请求报告并停止后，用户在当前报告上明确接受风险并要求继续。不得从任务标题、摘要、dirty 状态、无关历史或 auto-loop 内部 action 推断。
+2. direct Git 在以下任一条件成立时可以继续：Check-All strict pass；或全部剩余 `CHK-*` / `FBK-*` 都有当前有效的用户风险接受。两条路径还必须无阻塞、无部分验证、无未接受的实质剩余风险。允许存在已成功验证的 `DOC-*` 自动修复；标准报告输出后，同一轮进入 Phase 3.3 `trellis-update-spec`；`no-op|written` 再由其加载 `trellis-push`，`needs-review` 停止。
+3. 未处置 `CHK-*` / `FBK-*`、blocked、部分验证或未接受的实质剩余风险均不满足条件：输出标准报告并停止，不运行 Update-Spec，也不生成 Git 计划。原始 Git 请求不授权自动修复普通问题或替用户接受风险。
 4. 没有匹配 direct Git intent 的普通 interactive 检查保持原行为：报告后立即停止并等待用户选择。
 
 ### 交互式下一步引导
 
 所有 interactive 标准报告都必须在末尾输出 `### 下一步`，并按以下首个命中分支给出一个明确主动作：
 
-1. 有剩余 `CHK-*` 或 `FBK-*`：提示用户回复 `修复全部`、混合精确问题 ID 或 `仅保留报告`；不得重复提出逐项确认。
+1. 有未处置 `CHK-*` 或 `FBK-*`：提示用户回复 `修复全部`、混合精确问题 ID、`接受风险 <问题 ID> 并继续` 或 `仅保留报告`；不得重复提出逐项确认。
 2. 有 blocked、部分验证或实质剩余风险：指出解除阻塞所需的精确决策、授权或验证，以及完成后重新运行 Check-All；涉及生产、外部系统或破坏性副作用时只引导用户授权，不自行执行。
-3. direct Git 严格通过：说明本轮正在进入 `trellis-update-spec`，不要求用户再次回复“继续”或确认 Git 计划。
-4. 无 direct Git intent 且严格通过：提示用户回复 `继续`，下一轮进入 `trellis-update-spec`，再由 `trellis-push` 生成提交计划。
+3. direct Git strict pass 或已接受风险通过：说明本轮正在进入 `trellis-update-spec`，不要求用户再次回复“继续”或确认 Git 计划。
+4. 无 direct Git intent 且 strict pass / 已接受风险通过：提示用户回复 `继续`，下一轮进入 `trellis-update-spec`，再由 `trellis-push` 生成提交计划。
 
 停止边界只控制是否自动推进，不能让报告在没有下一步提示的情况下结束。
 
@@ -209,6 +224,6 @@ subagent 只返回结构化 `CHK-*`、`FBK-*`、`DOC-*` 候选、报告和 `chec
 - 已执行验证及结果；
 - 未覆盖验证和剩余风险；
 - 总体结论；
-- 与当前结论匹配的唯一主动作引导；有 `CHK-*` 或 `FBK-*` 时是一次修复范围选择，部分验证/阻塞时是补充决策或验证，通过时是 Phase 3.3 / Phase 3.4 指向。
+- 与当前结论匹配的唯一主动作引导；有未处置 `CHK-*` 或 `FBK-*` 时是一次修复或风险接受选择，部分验证/阻塞时是补充决策或验证，通过时是 Phase 3.3 / Phase 3.4 指向。
 
 Check-All 不新增 direct Git 专用摘要，也不得自行生成提交计划、commit message、拟提交文件或要求用户确认提交；strict pass 后的 Git 计划仍由 Update-Spec disposition 和 `trellis-push` owner 生成。

package/enhancements/0.6/.agents/skills/trellis-push/SKILL.md

@@ -33,7 +33,7 @@ description: "按确认的精确文件范围提交普通变更或完成已就绪
 
 除 auto-loop 内部 `commit-only` 外，普通 push 或用户 `commit-only` 已经构成明确 Git 意图。本 skill 在读取 Git 提交计划前只记录当前可用的完成链证据，不补跑、不切换阶段，也不新增确认：
 
-- Check-All：根据当前标准报告与实际 diff 标记为 `通过`、`未运行`、`已失效`、`存在阻断 findings`、`blocked` 或 `部分验证`。只有剩余 `CHK-*` 与 `FBK-*` 均为 0 才能标记为 `通过`；没有可验证的当前报告时使用 `未运行`，不得从历史消息、摘要或 dirty 状态猜测通过。
+- Check-All：根据当前标准报告与实际 diff 标记为 `通过`、`通过（已接受风险）`、`未运行`、`已失效`、`存在未处置 findings`、`blocked` 或 `部分验证`。剩余 `CHK-*` 与 `FBK-*` 均为 0 时标记为 `通过`；所有剩余问题都有当前有效的用户风险接受时标记为 `通过（已接受风险）`，并保留问题 ID 与严重度。没有可验证的当前报告时使用 `未运行`，不得从历史消息、摘要或 dirty 状态猜测通过或风险接受。
 - Update-Spec：根据当前 `spec_update_result` 与实际 diff 标记为 `no-op`、`written`、`needs-review`、`未运行` 或 `已失效`。结果缺失或无法证明仍适用于当前 diff 时使用 `未运行` / `已失效`。
 
 上述状态只进入 Step 3 的完成链证据与风险展示，不会阻止读取 Git 状态或生成提交计划。本步骤不得返回 Phase 2.2，不得加载 `trellis-check-all` 或 `trellis-update-spec`，也不得要求用户改写成“跳过检查后 push”。正常 workflow 的 Check-All -> Update-Spec -> Push 顺序仍由 Phase 2.2、Phase 3.3 和各自 owner 推进；`trellis-push` 不反向补做上游阶段。
@@ -136,7 +136,7 @@ auto-loop 内部 `commit-only` 也允许 retained dirty 存在，但每个生成
 顺序：<repo-a> [-> `<local generation command>`] -> <repo-b> [-> task progress]
 
 ### 完成链证据
-- Check-All：<通过 / 未运行 / 已失效 / 存在阻断 findings / blocked / 部分验证>
+- Check-All：<通过 / 通过（已接受风险：CHK-001,FBK-002） / 未运行 / 已失效 / 存在未处置 findings / blocked / 部分验证>
 - Update-Spec：<no-op / written / needs-review / 未运行 / 已失效>
 
 ### 1. <repository-name>
@@ -176,7 +176,7 @@ Push：<执行 / 跳过（commit-only）>
 - 超过 8 个时按目录归组，最多 12 行；用户要求展开时展示同一 exact set。
 - 顶部仓库/commit/file 总数包含独立任务记录提交所在 Git root、该提交及其 exact files；任务记录文件使用相同的 8 文件展示阈值和展开规则。
 - 保留未提交的变更始终逐项标注 Git 状态；真正风险在独立“风险”区逐项展示。
-- 完成链证据始终显示当前状态，但不重复 Check-All 报告或 Spec review 正文；`未运行`、`已失效`、任一剩余 `CHK-*` / `FBK-*`、blocked、部分验证或 `needs-review` 同时计入风险区。
+- 完成链证据始终显示当前状态，但不重复 Check-All 报告或 Spec review 正文；`未运行`、`已失效`、任一未处置 `CHK-*` / `FBK-*`、blocked、部分验证或 `needs-review` 同时计入风险区。已接受风险的问题也必须按 ID、严重度和影响进入风险区，但不得改标为阻断 finding。
 - 无活动 task、untracked 或 `commit-only` 时省略进度动作。
 - 不重复展示检查结果、规范复核、归档或其他阶段的详细信息。
 - 生成前无法确定的内容和增删行写“生成后计算”，不得填预测值。

package/enhancements/0.6/.agents/skills/trellis-route/references/check-all-agent-body.md

@@ -22,4 +22,4 @@ The first dispatch line must be `Active task: <path>` for task work or `Untracke
 
 ## Return
 
-Return the complete Check-All report, `check_profile`, all `CHK-*` findings, all `FBK-*` findings, all `DOC-*` candidates, verification evidence, blocked checks, and residual risk. Any remaining `CHK-*` or `FBK-*` blocks strict pass. Do not output a commit or push plan.
+Return the complete Check-All report, `check_profile`, all `CHK-*` findings, all `FBK-*` findings, all `DOC-*` candidates, verification evidence, blocked checks, and residual risk. Any remaining `CHK-*` or `FBK-*` blocks strict pass. The main session may separately record explicit user risk acceptance for current findings; do not infer, grant, or erase that acceptance yourself. Do not output a commit or push plan.

package/enhancements/0.6/.claude/skills/trellis-check-all/SKILL.md

@@ -18,7 +18,7 @@ description: "统一 Check-All 入口：确认范围与运行上下文，按 req
 4. 先按根因性质和可达证据把发现分为主路径 `CHK-*`、兜底 `FBK-*` 与文档漂移 `DOC-*`，再为 `CHK-*` 和 `FBK-*` 分配 P0/P1/P2。
 5. 在最终报告前处理允许自动修复的文档漂移，并把修复内容展示在报告里。
 6. 根据 interactive / validated auto-loop 边界输出下一步或完成 runner `record + next`。
-7. untracked helper 只保存流程游标：findings 或新编辑设回 `implement`；只有严格通过且 disposition 确认继续时才 `advance --stage spec`。
+7. untracked helper 只保存流程游标：未处置 findings 或新编辑设回 `implement`；严格通过或已接受风险通过且 disposition 确认继续时才 `advance --stage spec`。
 
 ---
 
@@ -42,7 +42,7 @@ description: "统一 Check-All 入口：确认范围与运行上下文，按 req
 1. **默认 audit-only collect-all**：可以读文件、搜索、运行无业务写入副作用的 lint、typecheck 和测试；普通代码、配置、测试、任务规格语义问题不得在检查阶段直接修复。
 2. **唯一自修例外**：低风险文档漂移进入 `DOC-*` 通道，按 `references/document-drift-auto-remediation.md` 的白名单、黑名单和写入时机处理。
 3. **分类先于严重度**：读取 `references/fallback-findings.md`；主路径错误和非兜底契约违背进入 `CHK-*`，fail-closed、异常输入、失败降级和防御性保护缺口进入 `FBK-*`。契约证据影响严重度，不改变兜底根因归属。
-4. **修改前只确认一次**：除 `DOC-*` 自动修复外，全部检查结束后通过统一报告让用户选择 `CHK-*` / `FBK-*` 修复范围；`修复全部` 默认覆盖两类问题。
+4. **处置只确认一次**：除 `DOC-*` 自动修复外，全部检查结束后通过统一报告让用户选择 `CHK-*` / `FBK-*` 修复范围或明确接受当前风险；`修复全部` 默认覆盖两类问题，接受风险不得隐藏发现。
 5. **委托规则不改变边界**：复用 `trellis-check` 时只复用检查清单、验证方法和命令发现，忽略其中任何“直接修复”“失败后先修复”的指令。
 6. **真正阻塞才中途暂停**：只有业务规划冲突、后续验证前提失效、生产或外部副作用、破坏性操作风险时提前停止。
 
@@ -114,6 +114,7 @@ check_profile:
 - 三个维度状态；
 - 自动修复的 `DOC-*` 内容；
 - 剩余 `CHK-*` 主路径问题与 `FBK-*` 兜底问题；
+- 每个剩余问题的未处置或已接受风险状态；
 - 已执行验证和未覆盖风险；
 - 与当前结论匹配的唯一下一步。
 

package/enhancements/0.6/.claude/skills/trellis-check-all/references/fallback-findings.md

@@ -1,6 +1,6 @@
 # Fallback Findings
 
-本文件定义 `CHK-*` 主路径问题与 `FBK-*` 兜底问题的根因边界。分类发生在严重度评估之前；分类完成后，两类问题都根据当前实际影响分配 P0/P1/P2，并进入同一个修复与严格通过门禁。
+本文件定义 `CHK-*` 主路径问题与 `FBK-*` 兜底问题的根因边界。分类发生在严重度评估之前；分类完成后，两类问题都根据当前实际影响分配 P0/P1/P2，并进入同一个修复、风险接受与通过门禁。
 
 ---
 
@@ -65,5 +65,9 @@
 - `CHK-*` 与 `FBK-*` 分别独立编号，当前修复/重检循环保留原 ID。
 - 两类问题都按实际影响分配 P0/P1/P2；严重度不改变通道归属。
 - 两类问题都是修复项，都被 `修复全部` 覆盖，也都可以通过混合精确 ID 修复，例如 `修复 CHK-001,FBK-002`。
-- 任何剩余 `CHK-*` 或 `FBK-*` 都阻断 strict pass，并让 interactive、untracked、auto-loop、direct Git、Update-Spec 与 Push 进入未通过或 fix/recheck 路径。
-- `仅保留报告` 可以显式停止修复，但不能把未解决问题改写成通过。
+- 用户可以明确接受当前报告中任一 `CHK-*` 或 `FBK-*` 的风险而不修复；接受风险不改变问题通道、严重度、证据或建议，也不能把问题从报告中删除。
+- 风险接受必须能唯一对应当前报告的问题 ID；当前报告只有一个候选时，“这个问题”“不管这个”等明确指代可以解析为该 ID。P0 必须逐项写出精确 ID，不接受“全部”式概括授权。
+- 风险接受只适用于当前问题证据和实际 diff；受影响代码、契约、验证结果或问题证据变化后立即失效，必须重新检查和接受。
+- `strict pass` 仍要求剩余 `CHK-*` 与 `FBK-*` 均为 0；若所有剩余问题都已被用户有效接受，且无阻塞、无部分验证、无未接受的实质风险，则使用“已接受风险通过”。两种通过都可以进入 interactive、untracked、direct Git、Update-Spec 与 Push 的继续路径。
+- 只有未处置的 `CHK-*` 或 `FBK-*` 阻断交互完成链。validated auto-loop 不能代表用户接受风险，仍要求两类问题均为 0 才能 `record ok`。
+- `仅保留报告` 只表示停止修复，不构成风险接受，也不能把未处置问题改写成通过。

package/enhancements/0.6/.claude/skills/trellis-check-all/references/full-profile.md

@@ -131,4 +131,5 @@ Full 通过必须同时满足：
 - 所有适用 PRD / design / implement 条目已映射到实现或明确 `N/A`；
 - 所有触发的假设 Dimension 已完成源码或真实契约核对；
 - 项目规范、复用、依赖、同层一致性和验证命令已覆盖实际变更范围；
-- 无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险。
+- strict pass：无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险；或
+- 已接受风险通过：所有剩余 `CHK-*` / `FBK-*` 都有当前有效的用户风险接受，且无阻塞、无部分验证、无未接受的实质剩余风险。

package/enhancements/0.6/.claude/skills/trellis-check-all/references/light-profile.md

@@ -70,6 +70,7 @@ Light 通过必须同时满足：
 - 所有受影响规划条目已核对；
 - 所有触发的假设维度状态为 `通过` 或合理的 `N/A`；
 - 定向验证已运行并通过，或明确说明无需运行的原因；
-- 无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险。
+- strict pass：无 `CHK-*`、无 `FBK-*`、无阻塞、无部分验证、无实质剩余风险；或
+- 已接受风险通过：所有剩余 `CHK-*` / `FBK-*` 都有当前有效的用户风险接受，且无阻塞、无部分验证、无未接受的实质剩余风险。
 
 存在未覆盖但不影响局部结论的内容时，必须在“未覆盖与风险”中说明。

package/enhancements/0.6/.claude/skills/trellis-check-all/references/reporting-and-disposition.md

@@ -6,7 +6,7 @@
 
 ## 统一问题模型
 
-先按 `references/fallback-findings.md` 判定 `CHK-*` / `FBK-*`，再为两类问题分配 P0/P1/P2。分类表达根因性质，严重度描述当前实际影响；两者都不改变问题必须进入修复和 strict pass 门禁的处置规则。
+先按 `references/fallback-findings.md` 判定 `CHK-*` / `FBK-*`，再为两类问题分配 P0/P1/P2。分类表达根因性质，严重度描述当前实际影响；两者都不决定问题必须修复还是可以由用户接受风险。
 
 ### `CHK-*` 主路径问题
 
@@ -42,7 +42,19 @@
 | 位置 | 同一根因的全部受影响位置 |
 | 验证 | 修复后的测试、故障注入、命令或手动验证步骤 |
 
-`CHK-*` 与 `FBK-*` 分开编号。同一根因的多个位置合并到一个问题；报告按严重度排序，但不得因此重排已经分配的 ID。新根因使用对应通道的下一个 ID。
+`CHK-*` 与 `FBK-*` 分开编号。同一根因的多个位置合并到一个问题；报告按严重度排序，但不得因此重排已经分配的 ID。新根因使用对应通道的下一个 ID。每个问题还必须标记 `未处置` 或 `已接受风险`；处置状态不改变 ID、通道和严重度。
+
+## 风险接受
+
+风险接受是用户对当前报告的显式处置，不是检查器对问题严重度的降级：
+
+1. 只有用户可以接受风险；主会话、subagent 和 validated auto-loop 都不得代替用户推断或授权。
+2. 接受必须唯一对应当前报告的问题 ID。用户可以写 `接受风险 CHK-001,FBK-002 并继续`；当前报告只有一个候选时，“这个问题”“不管这个”等明确指代可以解析为该 ID。P0 必须逐项写出精确 ID，不接受 `接受全部剩余风险`。
+3. 接受只绑定当前问题证据与实际 diff。受影响代码、契约、验证结果、问题内容或严重度变化后，原接受立即失效，问题恢复为 `未处置`。
+4. 已接受问题继续完整展示证据、影响、建议和验证，并标记 `处置：已接受风险`；不得删除、改列 `DOC-*` 或伪报已修复。
+5. `strict pass` 只用于剩余 `CHK-*` / `FBK-*` 均为 0。所有剩余问题均已被有效接受，且无 blocked、无部分验证、无未接受的实质剩余风险时，结论为 `通过·已接受风险`。
+6. blocked、部分验证和无法唯一对应到当前问题 ID 的实质剩余风险不是 `CHK-*` / `FBK-*` 处置状态，不能借风险接受绕过。
+7. `仅保留报告` 表示停止处置并等待，不等于接受风险；只有带明确接受语义的用户回复才改变问题处置状态。
 
 ---
 
@@ -53,7 +65,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 ```markdown
 ## Trellis Check-All 结果
 
-[<通过/未通过/阻塞>] <N> 个维度 · CHK <N> · FBK <N> · 自动修复 DOC <N> · P0 <N> / P1 <N> / P2 <N> · 验证 <通过>/<总数>
+[<通过/通过·已接受风险/未通过/阻塞>] <N> 个维度 · CHK <N>（接受 <N>）· FBK <N>（接受 <N>）· 自动修复 DOC <N> · P0 <N> / P1 <N> / P2 <N> · 验证 <通过>/<总数>
 
 工作：<任务名称 | Untracked work: work-id | 无活动工作>
 范围：<文件数与层级摘要；包含自动修复产生的文档 diff>
@@ -77,6 +89,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 ### 主路径问题
 
 - [ ] `CHK-001` `[P1]` <标题>
+  - 处置：<未处置/已接受风险>
   - 来源：<来源>
   - 证据：<file:line / 契约 / 命令结果>
   - 影响：<影响>
@@ -87,6 +100,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 ### 兜底问题
 
 - [ ] `FBK-001` `[P1]` <标题>
+  - 处置：<未处置/已接受风险>
   - 来源：<来源>
   - 证据：<file:line / 契约 / 命令结果>
   - 兜底场景：<可达异常或失败场景>
@@ -105,7 +119,7 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 批次 1：<CHK/FBK 问题 ID> · <修复目标>
 修复后：定向验证 -> Check-All 重检
 
-操作：`修复全部`、`修复 CHK-001,FBK-002`、`仅保留报告`
+操作：`修复全部`、`修复 CHK-001,FBK-002`、`接受风险 CHK-001,FBK-002 并继续`、`仅保留报告`
 
 ### 下一步
 
@@ -116,9 +130,10 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 
 - 没有 `DOC-*` 自动修复时省略“自动修复”区。
 - 没有 `CHK-*` 时省略“主路径问题”区；没有 `FBK-*` 时省略“兜底问题”区。
-- `CHK-*` 或 `FBK-*` 任一存在时展示“修复批次”，并只在报告末尾提供一次修复范围选择，不再逐项提问。
+- 存在未处置 `CHK-*` 或 `FBK-*` 时展示“修复批次”，并只在报告末尾提供一次处置选择，不再逐项提问。
 - `修复全部` 始终覆盖全部 `CHK-*` 与 `FBK-*`；精确修复可以混合两类 ID。
-- `仅保留报告` 只表示停止修复，不改变未通过结论或剩余风险。
+- 风险接受可以混合两类 ID；只有全部剩余问题都已有效接受时才形成“通过·已接受风险”。
+- `仅保留报告` 只表示停止处置，不改变未通过结论或剩余风险。
 - interactive 标准报告必须以“下一步”段结束；停止等待不等于省略引导。
 - 独立 `CHK-*` 或 `FBK-*` 不得因数量多而静默省略；先合并同根因重复项，再完整列出剩余项。
 - 报告不得包含 commit message、拟提交/暂存文件、commit-only 决策或提交确认。
@@ -160,9 +175,9 @@ interactive 模式完成所有可继续检查和允许的 `DOC-*` 自动修复
 <按下方 `Interactive Post-Check Stop Gate` 输出一个明确、可执行的主动作>
 ```
 
-检查通过后的动作由下方 `Interactive Post-Check Stop Gate` 判断：普通交互停止等待，符合 direct Git 严格通过条件时同轮进入 Phase 3.3 `trellis-update-spec`，再到 Phase 3.4 `trellis-push`。仍有 `CHK-*` 或 `FBK-*` 时停留在修复/重检循环。
+检查通过后的动作由下方 `Interactive Post-Check Stop Gate` 判断：普通交互停止等待，符合 direct Git strict pass 或已接受风险通过条件时同轮进入 Phase 3.3 `trellis-update-spec`，再到 Phase 3.4 `trellis-push`。仍有未处置 `CHK-*` 或 `FBK-*` 时停留在处置/重检循环。
 
-untracked helper 不记录 Check-All 证据。普通严格通过但尚未继续时保持 `stage=check`；只有 direct Git 同轮继续或用户后续明确继续时才 `advance --stage spec`。有剩余 `CHK-*`、`FBK-*`、部分验证、阻塞或报告后的新编辑时，先 `advance --stage implement` 再返回实现。
+untracked helper 不记录 Check-All 证据或风险接受。普通 strict pass / 已接受风险通过但尚未继续时保持 `stage=check`；只有 direct Git 同轮继续或用户后续明确继续时才 `advance --stage spec`。有未处置 `CHK-*`、`FBK-*`、部分验证、阻塞或报告后的新编辑时，先 `advance --stage implement` 再返回实现。
 
 ---
 
@@ -171,7 +186,7 @@ untracked helper 不记录 Check-All 证据。普通严格通过但尚未继续
 validated auto-loop 复用相同的画像、profile、`DOC-*` 通道和问题模型，但不展示普通模式的修复选择：
 
 - 有 `DOC-*` 且可自动修复：主会话先应用并验证；当前任务 `implement.md` / `brief.md` 的每个实际变化都追加精确 `--doc-remediation-file`，再决定最终 `ok|failed|blocked`。
-- 有剩余 `CHK-*` 或 `FBK-*`：向 runner `record --result failed --effective-check-depth <light|full> --check-depth-reason <summary>`，摘要包含最高严重度、两类问题 ID、根因、受影响文件和已自动修复的 `DOC-*`。
+- 有剩余 `CHK-*` 或 `FBK-*`：向 runner `record --result failed --effective-check-depth <light|full> --check-depth-reason <summary>`，摘要包含最高严重度、两类问题 ID、根因、受影响文件和已自动修复的 `DOC-*`。validated auto-loop 不创建也不复用 interactive 风险接受。
 - 真正需要用户产品决策、越权、生产副作用或破坏性安全决策：使用同样深度字段 `record --result blocked`，随后按 runner 状态停止。
 - 无剩余 `CHK-*` 且无剩余 `FBK-*`：`record --result ok --effective-check-depth <light|full> --check-depth-reason <summary>`，摘要包含自动修复数量；只有两类问题都为 0 才能进入通过路径。
 - record 成功后立即 `next`；若返回 `status=retryable reason=artifact-drift`，不得 `next`，先按 runner 指令在同一 outstanding action 内自纠并重录。validated auto-loop 不渲染交互式下一步段、不提示用户回复“继续”、不等待普通修复范围选择。
@@ -185,19 +200,19 @@ subagent 只返回结构化 `CHK-*`、`FBK-*`、`DOC-*` 候选、报告和 `chec
 
 非 validated auto-loop 先输出完整标准报告，再在本 Gate 内按以下顺序分流：
 
-1. 只从触发本轮完成链的最新用户消息识别 direct Git intent：明确请求普通 push，或用户主动 `commit-only`。不得从历史消息、任务标题、摘要、dirty 状态或 auto-loop 内部 action 推断。
-2. direct Git 只有在 Check-All 整体结论通过、剩余 `CHK-*` 和 `FBK-*` 均为 0、无阻塞、无部分验证、无待用户接受的实质剩余风险时才算严格通过。允许存在已成功验证的 `DOC-*` 自动修复；标准报告输出后，同一轮进入 Phase 3.3 `trellis-update-spec`；`no-op|written` 再由其加载 `trellis-push`，`needs-review` 停止。
-3. 剩余 `CHK-*`、`FBK-*`、blocked、部分验证或实质剩余风险均不满足条件：输出标准报告并停止，不运行 Update-Spec，也不生成 Git 计划。原始 Git 请求不授权自动修复普通问题、忽略问题或扩大 Git 权限。
+1. 只从当前完成链证据识别 direct Git intent：触发检查的最新用户消息明确请求普通 push 或用户主动 `commit-only`；或者 Check-All 已因该 Git 请求报告并停止后，用户在当前报告上明确接受风险并要求继续。不得从任务标题、摘要、dirty 状态、无关历史或 auto-loop 内部 action 推断。
+2. direct Git 在以下任一条件成立时可以继续：Check-All strict pass；或全部剩余 `CHK-*` / `FBK-*` 都有当前有效的用户风险接受。两条路径还必须无阻塞、无部分验证、无未接受的实质剩余风险。允许存在已成功验证的 `DOC-*` 自动修复；标准报告输出后，同一轮进入 Phase 3.3 `trellis-update-spec`；`no-op|written` 再由其加载 `trellis-push`，`needs-review` 停止。
+3. 未处置 `CHK-*` / `FBK-*`、blocked、部分验证或未接受的实质剩余风险均不满足条件：输出标准报告并停止，不运行 Update-Spec，也不生成 Git 计划。原始 Git 请求不授权自动修复普通问题或替用户接受风险。
 4. 没有匹配 direct Git intent 的普通 interactive 检查保持原行为：报告后立即停止并等待用户选择。
 
 ### 交互式下一步引导
 
 所有 interactive 标准报告都必须在末尾输出 `### 下一步`，并按以下首个命中分支给出一个明确主动作：
 
-1. 有剩余 `CHK-*` 或 `FBK-*`：提示用户回复 `修复全部`、混合精确问题 ID 或 `仅保留报告`；不得重复提出逐项确认。
+1. 有未处置 `CHK-*` 或 `FBK-*`：提示用户回复 `修复全部`、混合精确问题 ID、`接受风险 <问题 ID> 并继续` 或 `仅保留报告`；不得重复提出逐项确认。
 2. 有 blocked、部分验证或实质剩余风险：指出解除阻塞所需的精确决策、授权或验证，以及完成后重新运行 Check-All；涉及生产、外部系统或破坏性副作用时只引导用户授权，不自行执行。
-3. direct Git 严格通过：说明本轮正在进入 `trellis-update-spec`，不要求用户再次回复“继续”或确认 Git 计划。
-4. 无 direct Git intent 且严格通过：提示用户回复 `继续`，下一轮进入 `trellis-update-spec`，再由 `trellis-push` 生成提交计划。
+3. direct Git strict pass 或已接受风险通过：说明本轮正在进入 `trellis-update-spec`，不要求用户再次回复“继续”或确认 Git 计划。
+4. 无 direct Git intent 且 strict pass / 已接受风险通过：提示用户回复 `继续`，下一轮进入 `trellis-update-spec`，再由 `trellis-push` 生成提交计划。
 
 停止边界只控制是否自动推进，不能让报告在没有下一步提示的情况下结束。
 
@@ -209,6 +224,6 @@ subagent 只返回结构化 `CHK-*`、`FBK-*`、`DOC-*` 候选、报告和 `chec
 - 已执行验证及结果；
 - 未覆盖验证和剩余风险；
 - 总体结论；
-- 与当前结论匹配的唯一主动作引导；有 `CHK-*` 或 `FBK-*` 时是一次修复范围选择，部分验证/阻塞时是补充决策或验证，通过时是 Phase 3.3 / Phase 3.4 指向。
+- 与当前结论匹配的唯一主动作引导；有未处置 `CHK-*` 或 `FBK-*` 时是一次修复或风险接受选择，部分验证/阻塞时是补充决策或验证，通过时是 Phase 3.3 / Phase 3.4 指向。
 
 Check-All 不新增 direct Git 专用摘要，也不得自行生成提交计划、commit message、拟提交文件或要求用户确认提交；strict pass 后的 Git 计划仍由 Update-Spec disposition 和 `trellis-push` owner 生成。

package/enhancements/0.6/.claude/skills/trellis-push/SKILL.md

@@ -33,7 +33,7 @@ description: "按确认的精确文件范围提交普通变更或完成已就绪
 
 除 auto-loop 内部 `commit-only` 外，普通 push 或用户 `commit-only` 已经构成明确 Git 意图。本 skill 在读取 Git 提交计划前只记录当前可用的完成链证据，不补跑、不切换阶段，也不新增确认：
 
-- Check-All：根据当前标准报告与实际 diff 标记为 `通过`、`未运行`、`已失效`、`存在阻断 findings`、`blocked` 或 `部分验证`。只有剩余 `CHK-*` 与 `FBK-*` 均为 0 才能标记为 `通过`；没有可验证的当前报告时使用 `未运行`，不得从历史消息、摘要或 dirty 状态猜测通过。
+- Check-All：根据当前标准报告与实际 diff 标记为 `通过`、`通过（已接受风险）`、`未运行`、`已失效`、`存在未处置 findings`、`blocked` 或 `部分验证`。剩余 `CHK-*` 与 `FBK-*` 均为 0 时标记为 `通过`；所有剩余问题都有当前有效的用户风险接受时标记为 `通过（已接受风险）`，并保留问题 ID 与严重度。没有可验证的当前报告时使用 `未运行`，不得从历史消息、摘要或 dirty 状态猜测通过或风险接受。
 - Update-Spec：根据当前 `spec_update_result` 与实际 diff 标记为 `no-op`、`written`、`needs-review`、`未运行` 或 `已失效`。结果缺失或无法证明仍适用于当前 diff 时使用 `未运行` / `已失效`。
 
 上述状态只进入 Step 3 的完成链证据与风险展示，不会阻止读取 Git 状态或生成提交计划。本步骤不得返回 Phase 2.2，不得加载 `trellis-check-all` 或 `trellis-update-spec`，也不得要求用户改写成“跳过检查后 push”。正常 workflow 的 Check-All -> Update-Spec -> Push 顺序仍由 Phase 2.2、Phase 3.3 和各自 owner 推进；`trellis-push` 不反向补做上游阶段。
@@ -136,7 +136,7 @@ auto-loop 内部 `commit-only` 也允许 retained dirty 存在，但每个生成
 顺序：<repo-a> [-> `<local generation command>`] -> <repo-b> [-> task progress]
 
 ### 完成链证据
-- Check-All：<通过 / 未运行 / 已失效 / 存在阻断 findings / blocked / 部分验证>
+- Check-All：<通过 / 通过（已接受风险：CHK-001,FBK-002） / 未运行 / 已失效 / 存在未处置 findings / blocked / 部分验证>
 - Update-Spec：<no-op / written / needs-review / 未运行 / 已失效>
 
 ### 1. <repository-name>
@@ -176,7 +176,7 @@ Push：<执行 / 跳过（commit-only）>
 - 超过 8 个时按目录归组，最多 12 行；用户要求展开时展示同一 exact set。
 - 顶部仓库/commit/file 总数包含独立任务记录提交所在 Git root、该提交及其 exact files；任务记录文件使用相同的 8 文件展示阈值和展开规则。
 - 保留未提交的变更始终逐项标注 Git 状态；真正风险在独立“风险”区逐项展示。
-- 完成链证据始终显示当前状态，但不重复 Check-All 报告或 Spec review 正文；`未运行`、`已失效`、任一剩余 `CHK-*` / `FBK-*`、blocked、部分验证或 `needs-review` 同时计入风险区。
+- 完成链证据始终显示当前状态，但不重复 Check-All 报告或 Spec review 正文；`未运行`、`已失效`、任一未处置 `CHK-*` / `FBK-*`、blocked、部分验证或 `needs-review` 同时计入风险区。已接受风险的问题也必须按 ID、严重度和影响进入风险区，但不得改标为阻断 finding。
 - 无活动 task、untracked 或 `commit-only` 时省略进度动作。
 - 不重复展示检查结果、规范复核、归档或其他阶段的详细信息。
 - 生成前无法确定的内容和增删行写“生成后计算”，不得填预测值。

package/enhancements/0.6/overrides/patches/workflow/phase-ownership/phase-2-check-content.md

@@ -8,6 +8,6 @@ Before interactive Check-All begins, run `python3 ./.trellis/scripts/pre_check_s
 
 Check-All selects light/full depth from intent, actual diff, risk, and runtime context. It is audit-only and collect-all by default: classify main-path issues as `CHK-*`, fallback-path issues as `FBK-*`, and low-risk task-document drift as `DOC-*`. Assign P0/P1/P2 to both `CHK-*` and `FBK-*` after root-cause classification; severity does not choose the channel or make either channel optional. Report all items and stop before code changes only when `CHK-*` / `FBK-*` repair scope needs confirmation. The only write exception is low-risk `DOC-*` auto-remediation owned by Check-All and shown in the final report, unless a validated auto-loop owns the continuation.
 
-The existing `Interactive Post-Check Stop Gate` owns one narrow direct Git exception. Only when the latest user message that triggered this completion chain explicitly requested an ordinary push or user-initiated `commit-only`, and Check-All strictly passes with zero remaining `CHK-*` and zero remaining `FBK-*` findings, no blocker, no partial verification, and no material residual risk requiring user acceptance, show the existing standard report and continue in the same turn to Phase 3.3 `trellis-update-spec`. Any remaining finding, blocker, partial verification, or material residual risk reports and stops. Ordinary interactive checks still report and stop; Check-All never creates the Git plan itself.
+The existing `Interactive Post-Check Stop Gate` owns one narrow direct Git exception. Continue when the current completion-chain evidence contains an ordinary push or user-initiated `commit-only` intent and Check-All either strictly passes with zero remaining `CHK-*` / `FBK-*`, or every remaining finding has current explicit user risk acceptance. Both paths require no blocker, no partial verification, and no unaccepted material residual risk. A user reply that explicitly accepts findings from the current stopped report and asks to continue may resume that pending direct Git chain; do not infer intent or acceptance from unrelated history, summaries, or dirty state. Keep accepted findings visible in the standard report and Push risk evidence. Any unaccepted finding, blocker, partial verification, or unaccepted material residual risk reports and stops. Ordinary interactive checks still report and stop; Check-All never creates the Git plan itself.
 
 After authorized repairs, return through the same route and re-run Check-All. The final pre-commit pass must cover the whole task and cannot be downgraded to light.

package/enhancements/0.6/overrides/patches/workflow/state-untracked/content.md

@@ -6,7 +6,7 @@ A different implementation request remains blocked by the single-active-work gua
 
 [workflow-state:untracked_check]
 The current-session untracked work item is at `check`. Run `python3 ./.trellis/scripts/untracked_flow.py status`, then enter Phase 2.2 through `trellis-route(target=check)` and execute `trellis-check-all`.
-If Check-All reports findings or a new edit is needed, run `python3 ./.trellis/scripts/untracked_flow.py advance --stage implement` before returning to implementation. On a strict pass, keep `check` while the interactive stop gate waits; only a same-turn direct Git continuation or a later explicit continuation advances to `spec`.
+If Check-All reports unaccepted findings or a new edit is needed, run `python3 ./.trellis/scripts/untracked_flow.py advance --stage implement` before returning to implementation. On a strict pass or accepted-risk pass, keep `check` while the interactive stop gate waits; only a same-turn direct Git continuation or a later explicit continuation advances to `spec`. The helper does not persist finding details or risk acceptance.
 [/workflow-state:untracked_check]
 
 [workflow-state:untracked_spec]

package/enhancements/0.6/overrides/patches/workflow/states-in-progress/common-content.md

@@ -2,5 +2,5 @@ Before the first implement route, restate `<task>/brief.md`; if it is missing, r
 Before routing or editing, apply the `Request Triage` Active Task Scope Guard. New implementation work outside the active task title/brief stops here until the user chooses a new task, updates this task's artifacts first, or explicitly proceeds untracked without reusing its progress.
 Enter Phase 2.1/2.2 through the target-matched `trellis-route`; a user route override wins over remembered evidence.
 After implementation and focused validation, return to the Phase 2.1 completion contract and resolve its Pre-Check action before ending the turn; the full hold/default policy remains owned by Phase 2.1.
-After Check-All, follow the `Interactive Post-Check Stop Gate`: a validated auto-loop immediately records and advances, a matching direct Git strict pass may continue to `trellis-update-spec`, and every other interactive result reports and stops. A later interactive next/continue runs `trellis-update-spec`; downstream disposition remains owned by Update-Spec and `trellis-push`.
+After Check-All, follow the `Interactive Post-Check Stop Gate`: a validated auto-loop immediately records and advances, a matching direct Git strict pass or accepted-risk pass may continue to `trellis-update-spec`, and every other interactive result reports and stops. A later interactive next/continue, including explicit acceptance of the current report's findings followed by continue, runs `trellis-update-spec`; downstream disposition remains owned by Update-Spec and `trellis-push`.
 Run `/trellis:finish-work` only when explicitly requested after Phase 3.4 completes.

package/enhancements/MANIFEST.json

@@ -1,7 +1,7 @@
 {
-  "syncedAt": "2026-08-05T23:17:59.095Z",
+  "syncedAt": "2026-08-06T05:34:52.463Z",
   "syncedFrom": "vendor/skill-garden",
-  "sourceCommit": "11ba49652bff38da5f3fe9366e8696d919908d87",
+  "sourceCommit": "ff6502fdecdab6f47b62587ae0da233a47268872",
   "common": {
     "codexSkills": [
       "aliyun-ops",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "flower-trellis",
-  "version": "0.6.0-beta.6",
+  "version": "0.6.0-beta.7",
   "description": "一键安装/升级 Trellis 并自动融合 skill-garden 强化包(默认 Claude + agents)",
   "type": "module",
   "bin": {
@@ -68,9 +68,9 @@
     "commit-and-tag-version": "^12.7.3"
   },
   "flowerReleaseNotes": {
-    "version": "0.6.0-beta.6",
+    "version": "0.6.0-beta.7",
     "source": "CHANGELOG.md",
-    "body": "### ✨ 新功能 Features\n\n* **skill-garden:** 将 DMS、SLS、MSE/Nacos 整合为阿里云运维查询 Skill ([44ba195](https://github.com/SilentFlower/flower-trellis/commit/44ba195a5cbc8943fe0f38bbcff94ae4d940791e))\n* **skill:** 集成阿里云 DMS 查询 Skill ([a582d1c](https://github.com/SilentFlower/flower-trellis/commit/a582d1cc45ea38b8288b75bd4511f378eb5997a2))\n* **trellis:** 将 Check-All 可选问题收敛为统一兜底分类 ([eda90ec](https://github.com/SilentFlower/flower-trellis/commit/eda90ecc3fd3e92317cb15f054f837900fb2467e))\n* **trellis:** 新增 Check-All 可选问题分类 ([839904e](https://github.com/SilentFlower/flower-trellis/commit/839904e3d584f3f71190d95fb623612673f9b210))\n* **trellis:** 新增 Trellis 项目级关闭与恢复能力 ([a27b5c2](https://github.com/SilentFlower/flower-trellis/commit/a27b5c2966a29f394d1dc98341e4c3be5ac7a030))\n* **worktree:** 让 Trellis worktree 状态按分支隔离 ([dde2fbb](https://github.com/SilentFlower/flower-trellis/commit/dde2fbb792714f326d9f48a85e055229eb4bd4bb))",
+    "body": "### ✨ 新功能 Features\n\n* **trellis:** 支持接受 Check-All 检查风险 ([589dd9a](https://github.com/SilentFlower/flower-trellis/commit/589dd9ad14e0755ea47da46345f14567b1632285))\n\n\n### 🐛 修复 Bug Fixes\n\n* **plugin:** 修复 GitLab 私有来源安装 ([4ba3cf6](https://github.com/SilentFlower/flower-trellis/commit/4ba3cf610f8fef99ef0297654d1859510be8f07e))",
     "truncated": false
   },
   "optionalDependencies": {

package/src/builtin-marketplaces/rd-guide.json

@@ -4,9 +4,9 @@
   "type": "gitlab",
   "name": "研发指南",
   "enabled": true,
-  "baseUrl": "http://gitlab.xhgjdev.com",
+  "baseUrl": "https://gitlab.xhgjdev.com",
   "project": "digital-rd-governance/rd-guide",
-  "ref": "main",
+  "ref": "feat/flower-plugin-distribution",
   "marketplacePath": ".flower-marketplace/marketplace.json",
   "oauth": {
     "applicationId": "0f73e53d745450b6ab9596960b10a2ac1654d67c0941bae381f6dbbf6839ec04",

package/src/commands/plugin-interactive.js

@@ -957,7 +957,7 @@ async function manageSource(context, sourceId) {
     section: "来源设置",
     icon: source.enabled ? "○" : "●",
   });
-  choices.push({
+  if (!source.builtin) choices.push({
     name: "编辑来源",
     value: "edit",
     description: source.type === "github"

package/src/plugin/gitlab/rest-client.js

@@ -17,7 +17,7 @@ export class GitLabRestClient {
   /**
    * 创建 REST 客户端。
    *
-   * @param {{source:object,credentialManager:object,fetch?:typeof fetch,timeoutMs?:number,maxArchiveBytes?:number}} options 依赖
+   * @param {{source:object,credentialManager:object,fetch?:typeof fetch,timeoutMs?:number,maxArchiveBytes?:number,maxFileBytes?:number,maxTreeEntries?:number}} options 依赖
    */
   constructor(options) {
     this.source = options.source;
@@ -25,6 +25,8 @@ export class GitLabRestClient {
     this.fetch = options.fetch || globalThis.fetch;
     this.timeoutMs = options.timeoutMs || 30_000;
     this.maxArchiveBytes = options.maxArchiveBytes || 100 * 1024 * 1024;
+    this.maxFileBytes = options.maxFileBytes || 25 * 1024 * 1024;
+    this.maxTreeEntries = options.maxTreeEntries || 10_000;
   }
 
   /**
@@ -53,11 +55,24 @@ export class GitLabRestClient {
    * @returns {Promise<string>} 文件内容
    */
   async readRawFile(project, filePath, ref) {
-    const buffer = await this.getBuffer(
+    const buffer = await this.readRawBuffer(project, filePath, ref);
+    return buffer.toString("utf8");
+  }
+
+  /**
+   * 读取仓库文件原始字节。
+   *
+   * @param {string} project GitLab project path
+   * @param {string} filePath 仓库内路径
+   * @param {string} ref 固定 ref
+   * @returns {Promise<Buffer>} 文件原始字节
+   */
+  async readRawBuffer(project, filePath, ref) {
+    return this.getBuffer(
       `/projects/${encodeGitLabProject(project)}/repository/files/${encodeURIComponent(filePath)}/raw`,
       { ref },
+      { maxBytes: this.maxFileBytes, limitLabel: "GitLab repository 文件超过大小限制" },
     );
-    return buffer.toString("utf8");
   }
 
   /**
@@ -76,6 +91,40 @@ export class GitLabRestClient {
     return payload;
   }
 
+  /**
+   * 递归读取固定 ref 下的完整 repository tree，并处理 GitLab 分页。
+   *
+   * @param {string} project GitLab project path
+   * @param {{path?:string,ref:string}} options 查询参数
+   * @returns {Promise<object[]>} 全部 tree 条目
+   */
+  async readRepositoryTree(project, options) {
+    const pathname = `/projects/${encodeGitLabProject(project)}/repository/tree`;
+    const entries = [];
+    let page = 1;
+    while (true) {
+      const response = await this.#request(pathname, {
+        ref: options.ref,
+        recursive: "true",
+        per_page: "100",
+        page: String(page),
+        ...(options.path ? { path: options.path } : {}),
+      });
+      const payload = await this.#readJsonResponse(response, project);
+      if (!Array.isArray(payload)) throw this.#remoteError("GitLab tree 响应无效", project);
+      entries.push(...payload);
+      if (entries.length > this.maxTreeEntries) {
+        throw this.#remoteError("GitLab repository tree 超过条目限制", project);
+      }
+      const nextPage = response.headers.get("x-next-page");
+      if (!nextPage) return entries;
+      if (!/^\d+$/.test(nextPage) || Number(nextPage) <= page) {
+        throw this.#remoteError("GitLab tree 分页响应无效", project);
+      }
+      page = Number(nextPage);
+    }
+  }
+
   /**
    * 下载固定 commit 的仓库归档。
    *
@@ -100,10 +149,15 @@ export class GitLabRestClient {
    */
   async getJson(pathname, query = {}) {
     const response = await this.#request(pathname, query);
+    return this.#readJsonResponse(response, this.source.id);
+  }
+
+  /** @param {Response} response @param {string} diagnosticPath @returns {Promise<any>} */
+  async #readJsonResponse(response, diagnosticPath) {
     try {
       return await response.json();
     } catch (error) {
-      throw this.#remoteError("GitLab 返回了无效 JSON", this.source.id, error);
+      throw this.#remoteError("GitLab 返回了无效 JSON", diagnosticPath, error);
     }
   }
 
@@ -112,18 +166,20 @@ export class GitLabRestClient {
    *
    * @param {string} pathname API v4 相对路径
    * @param {Record<string,string>} [query] 查询参数
-   * @param {{archive?:boolean}} [options] 响应限制
+   * @param {{archive?:boolean,maxBytes?:number,limitLabel?:string}} [options] 响应限制
    * @returns {Promise<Buffer>} 响应字节
    */
   async getBuffer(pathname, query = {}, options = {}) {
     const response = await this.#request(pathname, query);
     const contentLength = Number(response.headers.get("content-length"));
-    if (options.archive && Number.isFinite(contentLength) && contentLength > this.maxArchiveBytes) {
-      throw this.#remoteError("GitLab archive 超过大小限制", this.source.id);
+    const maxBytes = options.maxBytes || (options.archive ? this.maxArchiveBytes : null);
+    const limitLabel = options.limitLabel || "GitLab archive 超过大小限制";
+    if (maxBytes && Number.isFinite(contentLength) && contentLength > maxBytes) {
+      throw this.#remoteError(limitLabel, this.source.id);
     }
     const buffer = Buffer.from(await response.arrayBuffer());
-    if (options.archive && buffer.length > this.maxArchiveBytes) {
-      throw this.#remoteError("GitLab archive 超过大小限制", this.source.id);
+    if (maxBytes && buffer.length > maxBytes) {
+      throw this.#remoteError(limitLabel, this.source.id);
     }
     return buffer;
   }
@@ -140,11 +196,30 @@ export class GitLabRestClient {
       try {
         const response = await this.fetch(url, {
           headers: { authorization: `Bearer ${token}` },
+          redirect: "manual",
           signal: controller.signal,
         });
         if (response.ok) return response;
         if (attempt === 0 && response.status >= 500) continue;
-        throw this.#remoteError(`GitLab REST 请求失败:${response.status}`, this.source.id);
+        const location = response.headers.get("location");
+        if (response.status >= 300 && response.status < 400) {
+          let locationOrigin = null;
+          try {
+            locationOrigin = location ? new URL(location, url).origin : null;
+          } catch {
+            // 非法 Location 仍按重定向错误报告，不能恢复携带凭据的自动跳转。
+          }
+          throw this.#remoteError(
+            `GitLab REST 请求发生重定向:${response.status}，请检查 source baseUrl 是否应使用 HTTPS`,
+            this.source.id,
+            undefined,
+            { status: response.status, endpoint: pathname, locationOrigin },
+          );
+        }
+        throw this.#remoteError(`GitLab REST 请求失败:${response.status}`, this.source.id, undefined, {
+          status: response.status,
+          endpoint: pathname,
+        });
       } catch (error) {
         lastError = error;
         if (error instanceof PluginRuntimeError || attempt > 0) break;
@@ -156,12 +231,13 @@ export class GitLabRestClient {
     throw this.#remoteError("GitLab REST 请求失败", this.source.id, lastError);
   }
 
-  /** @param {string} message @param {string} diagnosticPath @param {unknown} [cause] @returns {PluginRuntimeError} */
-  #remoteError(message, diagnosticPath, cause) {
+  /** @param {string} message @param {string} diagnosticPath @param {unknown} [cause] @param {object} [details] @returns {PluginRuntimeError} */
+  #remoteError(message, diagnosticPath, cause, details = {}) {
     return new PluginRuntimeError(message, {
       code: PLUGIN_RUNTIME_ERROR_CODES.REMOTE_REQUEST_FAILED,
       path: diagnosticPath,
       cause,
+      details,
     });
   }
 }

package/src/plugin/sources/gitlab-provider.js

@@ -6,10 +6,18 @@ import { hashCanonicalTree } from "../integrity/canonical-tree.js";
 import { PLUGIN_RUNTIME_ERROR_CODES, PluginRuntimeError } from "../runtime-errors.js";
 import { validateMarketplaceManifest } from "../schemas/marketplace-manifest.js";
 import { validatePluginManifest } from "../schemas/plugin-manifest.js";
-import { composeCanonicalPluginId, parseCanonicalPluginId } from "../schemas/shared.js";
+import {
+  assertSafePosixRelativePath,
+  composeCanonicalPluginId,
+  parseCanonicalPluginId,
+} from "../schemas/shared.js";
 import { compareUtf8 } from "../stable-order.js";
 import { verifyPluginPackage } from "./package-reader.js";
-import { copyOrdinaryDirectory, extractRemoteArchive } from "./remote-archive.js";
+import {
+  copyOrdinaryDirectory,
+  extractRemoteArchive,
+  REMOTE_PACKAGE_LIMITS,
+} from "./remote-archive.js";
 
 const PROFILE_RANK = Object.freeze({ standard: 0, integration: 1, system: 2 });
 
@@ -294,16 +302,21 @@ export class GitLabSourceProvider {
     const packageRoot = path.join(staging, "package");
     try {
       fs.mkdirSync(extractRoot);
-      fs.writeFileSync(archiveFile, await this.client.downloadArchive(project, commit));
-      const { selectedRoot } = await extractRemoteArchive({
-        archiveFile,
-        extractRoot,
-        subdir,
-        label: "GitLab Plugin",
-        sourceId: this.id,
-        extractArchive: this.extractArchive,
-      });
-      copyOrdinaryDirectory(selectedRoot, packageRoot, "GitLab Plugin");
+      try {
+        fs.writeFileSync(archiveFile, await this.client.downloadArchive(project, commit));
+        const { selectedRoot } = await extractRemoteArchive({
+          archiveFile,
+          extractRoot,
+          subdir,
+          label: "GitLab Plugin",
+          sourceId: this.id,
+          extractArchive: this.extractArchive,
+        });
+        copyOrdinaryDirectory(selectedRoot, packageRoot, "GitLab Plugin");
+      } catch (error) {
+        if (!this.#canFallbackToRepositoryTree(error)) throw error;
+        await this.#materializeRepositoryTree(project, commit, subdir, packageRoot);
+      }
       validatePluginManifest(JSON.parse(fs.readFileSync(path.join(packageRoot, "plugin.json"), "utf8")));
       const integrity = hashCanonicalTree(packageRoot);
       if (integrity !== version.integrity) {
@@ -337,6 +350,92 @@ export class GitLabSourceProvider {
     }
   }
 
+  /** @param {unknown} error @returns {boolean} */
+  #canFallbackToRepositoryTree(error) {
+    return (
+      error?.code === PLUGIN_RUNTIME_ERROR_CODES.REMOTE_REQUEST_FAILED &&
+      error?.details?.status === 406 &&
+      typeof this.client.readRepositoryTree === "function" &&
+      typeof this.client.readRawBuffer === "function"
+    );
+  }
+
+  /**
+   * 在 GitLab archive 对 OAuth 返回 406 时，用固定 commit 的 tree/raw API 重建选中目录。
+   *
+   * @param {string} project GitLab project path
+   * @param {string} commit 固定 commit
+   * @param {string|null} subdir 选中的仓库子目录
+   * @param {string} target 目标目录
+   * @returns {Promise<void>} 完成信号
+   */
+  async #materializeRepositoryTree(project, commit, subdir, target) {
+    const normalizedSubdir = subdir
+      ? assertSafePosixRelativePath(subdir, "GitLab Plugin subdir")
+      : null;
+    const entries = await this.client.readRepositoryTree(project, {
+      ref: commit,
+      ...(normalizedSubdir ? { path: normalizedSubdir } : {}),
+    });
+    if (!Array.isArray(entries) || entries.length === 0 || entries.length > REMOTE_PACKAGE_LIMITS.maxEntries) {
+      throw new PluginRuntimeError("GitLab Plugin repository tree 无效或超过条目限制", {
+        code: PLUGIN_RUNTIME_ERROR_CODES.REMOTE_ARCHIVE_INVALID,
+        path: this.id,
+      });
+    }
+    const prefix = normalizedSubdir ? `${normalizedSubdir}/` : "";
+    const paths = new Set();
+    let totalBytes = 0;
+    fs.mkdirSync(target, { recursive: true });
+    for (const entry of entries.sort((left, right) => compareUtf8(String(left.path), String(right.path)))) {
+      const repositoryPath = assertSafePosixRelativePath(entry?.path, "GitLab repository tree 路径");
+      if (prefix && !repositoryPath.startsWith(prefix)) {
+        throw new PluginRuntimeError(`GitLab Plugin tree 条目逃逸选中目录:${repositoryPath}`, {
+          code: PLUGIN_RUNTIME_ERROR_CODES.REMOTE_ARCHIVE_INVALID,
+          path: this.id,
+        });
+      }
+      const relativePath = assertSafePosixRelativePath(
+        prefix ? repositoryPath.slice(prefix.length) : repositoryPath,
+        "GitLab Plugin tree 路径",
+      );
+      if (paths.has(relativePath)) {
+        throw new PluginRuntimeError(`GitLab Plugin tree 包含重复路径:${relativePath}`, {
+          code: PLUGIN_RUNTIME_ERROR_CODES.REMOTE_ARCHIVE_INVALID,
+          path: this.id,
+        });
+      }
+      paths.add(relativePath);
+      const destination = path.join(target, ...relativePath.split("/"));
+      if (entry.type === "tree" && entry.mode === "040000") {
+        fs.mkdirSync(destination, { recursive: true });
+        continue;
+      }
+      if (entry.type !== "blob" || !["100644", "100755"].includes(entry.mode)) {
+        throw new PluginRuntimeError(`GitLab Plugin tree 包含不安全条目:${repositoryPath}`, {
+          code: PLUGIN_RUNTIME_ERROR_CODES.REMOTE_ARCHIVE_INVALID,
+          path: this.id,
+        });
+      }
+      const content = await this.client.readRawBuffer(project, repositoryPath, commit);
+      if (!Buffer.isBuffer(content) || content.length > REMOTE_PACKAGE_LIMITS.maxEntryBytes) {
+        throw new PluginRuntimeError(`GitLab Plugin 文件超过大小限制:${repositoryPath}`, {
+          code: PLUGIN_RUNTIME_ERROR_CODES.REMOTE_ARCHIVE_INVALID,
+          path: this.id,
+        });
+      }
+      totalBytes += content.length;
+      if (totalBytes > REMOTE_PACKAGE_LIMITS.maxExtractedBytes) {
+        throw new PluginRuntimeError("GitLab Plugin repository tree 超过总大小限制", {
+          code: PLUGIN_RUNTIME_ERROR_CODES.REMOTE_ARCHIVE_INVALID,
+          path: this.id,
+        });
+      }
+      fs.mkdirSync(path.dirname(destination), { recursive: true });
+      fs.writeFileSync(destination, content, { mode: entry.mode === "100755" ? 0o755 : 0o644 });
+    }
+  }
+
   /** @param {object} source @returns {string} */
   #sourceReference(source) {
     return source.type === "path" ? this.source.project : source.project;

package/src/plugin/sources/remote-archive.js

@@ -7,9 +7,13 @@ import { assertSafePosixRelativePath } from "../schemas/shared.js";
 import { compareUtf8 } from "../stable-order.js";
 
 const ALLOWED_ARCHIVE_TYPES = new Set(["File", "Directory"]);
-const MAX_ENTRY_BYTES = 25 * 1024 * 1024;
-const MAX_ARCHIVE_ENTRIES = 10_000;
-const MAX_EXTRACTED_BYTES = 250 * 1024 * 1024;
+
+/** 远程 Plugin 包在 archive 与 API tree 回退路径共用的资源上限。 */
+export const REMOTE_PACKAGE_LIMITS = Object.freeze({
+  maxEntryBytes: 25 * 1024 * 1024,
+  maxEntries: 10_000,
+  maxExtractedBytes: 250 * 1024 * 1024,
+});
 
 /**
  * 判断 archive 条目是否落在调用方明确选中的子目录内。
@@ -93,17 +97,17 @@ export async function extractRemoteArchive(options) {
         path.win32.isAbsolute(normalized) ||
         normalized.includes("\\") ||
         segments.some((segment) => !segment || segment === "." || segment === "..") ||
-        archiveEntries > MAX_ARCHIVE_ENTRIES
+        archiveEntries > REMOTE_PACKAGE_LIMITS.maxEntries
       ) {
         unsafeEntry ||= entryPath;
         return false;
       }
-      if (!ALLOWED_ARCHIVE_TYPES.has(entry.type) || entrySize > MAX_ENTRY_BYTES) {
+      if (!ALLOWED_ARCHIVE_TYPES.has(entry.type) || entrySize > REMOTE_PACKAGE_LIMITS.maxEntryBytes) {
         if (isInsideSelectedSubdir(normalized, options.subdir)) unsafeEntry ||= entryPath;
         return false;
       }
       extractedBytes += entrySize;
-      if (extractedBytes > MAX_EXTRACTED_BYTES) {
+      if (extractedBytes > REMOTE_PACKAGE_LIMITS.maxExtractedBytes) {
         unsafeEntry ||= entryPath;
         return false;
       }

package/src/plugin/sources/user-source-store.js

@@ -12,7 +12,8 @@ import {
 } from "../schemas/shared.js";
 import { compareUtf8 } from "../stable-order.js";
 
-const SOURCE_CONFIG_VERSION = 2;
+const SOURCE_CONFIG_VERSION = 3;
+const SOURCE_DESCRIPTOR_VERSION = 2;
 const LEGACY_SOURCE_CONFIG_VERSION = 1;
 const EXTERNAL_FORMATS = new Set(["auto", "flower", "codex", "claude-code", "skill-only"]);
 const BUILTIN_DESCRIPTOR_PATH = fileURLToPath(
@@ -79,7 +80,7 @@ export function validateGitLabSourceDescriptor(value) {
   const oauth = /** @type {Record<string,unknown>} */ (source?.oauth || {});
   const scopes = Array.isArray(oauth?.scopes) ? [...oauth.scopes].sort(compareUtf8) : [];
   if (
-    ![LEGACY_SOURCE_CONFIG_VERSION, SOURCE_CONFIG_VERSION].includes(source.schemaVersion) ||
+    ![LEGACY_SOURCE_CONFIG_VERSION, SOURCE_DESCRIPTOR_VERSION].includes(source.schemaVersion) ||
     !isPluginId(source.id) ||
     source.type !== "gitlab" ||
     typeof source.name !== "string" || !source.name ||
@@ -102,7 +103,7 @@ export function validateGitLabSourceDescriptor(value) {
   baseUrl.search = "";
   baseUrl.hash = "";
   return {
-    schemaVersion: SOURCE_CONFIG_VERSION,
+    schemaVersion: SOURCE_DESCRIPTOR_VERSION,
     id: source.id,
     type: "gitlab",
     name: source.name,
@@ -182,7 +183,7 @@ export function validateGitHubSourceDescriptor(value) {
   }
   const format = String(source?.format || "auto");
   if (
-    Number(source?.schemaVersion) !== SOURCE_CONFIG_VERSION ||
+    Number(source?.schemaVersion) !== SOURCE_DESCRIPTOR_VERSION ||
     !isPluginId(source?.id) ||
     source?.type !== "github" ||
     typeof source?.name !== "string" || !source.name ||
@@ -208,7 +209,7 @@ export function validateGitHubSourceDescriptor(value) {
     });
   }
   return {
-    schemaVersion: SOURCE_CONFIG_VERSION,
+    schemaVersion: SOURCE_DESCRIPTOR_VERSION,
     id: source.id,
     type: "github",
     name: source.name,
@@ -263,7 +264,13 @@ export class UserSourceStore {
       { ...validateSourceDescriptor(source), builtin: true },
     ]));
     for (const source of this.#readUserSources()) {
-      merged.set(source.id, { ...source, builtin: merged.has(source.id) });
+      const builtin = merged.get(source.id);
+      if (builtin) {
+        // 内置来源的远程连接定义随包升级，用户层只保留显式启停偏好。
+        merged.set(source.id, { ...builtin, enabled: source.enabled });
+      } else {
+        merged.set(source.id, { ...source, builtin: false });
+      }
     }
     return [...merged.values()].sort((left, right) => compareUtf8(left.id, right.id));
   }
@@ -293,7 +300,13 @@ export class UserSourceStore {
    * @returns {object} 保存后的来源
    */
   set(source) {
-    const normalized = validateSourceDescriptor({ schemaVersion: SOURCE_CONFIG_VERSION, ...source });
+    const normalized = validateSourceDescriptor({ schemaVersion: SOURCE_DESCRIPTOR_VERSION, ...source });
+    if (this.builtinDescriptors.some(({ id }) => id === normalized.id)) {
+      throw new PluginRuntimeError(`内置 Plugin source 仅支持启用或停用:${normalized.id}`, {
+        code: PLUGIN_RUNTIME_ERROR_CODES.SOURCE_CONFIG_INVALID,
+        path: normalized.id,
+      });
+    }
     const sources = this.#readUserSources().filter((entry) => entry.id !== normalized.id);
     sources.push(normalized);
     this.#writeUserSources(sources);
@@ -333,7 +346,15 @@ export class UserSourceStore {
    */
   setEnabled(id, enabled) {
     const source = this.get(id, { includeDisabled: true });
-    return this.set({ ...source, enabled, builtin: undefined });
+    const sources = this.#readUserSources().filter((entry) => entry.id !== id);
+    if (source.builtin) {
+      const builtin = validateSourceDescriptor(this.builtinDescriptors.find((entry) => entry.id === id));
+      if (enabled !== builtin.enabled) sources.push({ id, enabled, builtinPreference: true });
+    } else {
+      sources.push({ ...source, enabled, builtin: undefined });
+    }
+    this.#writeUserSources(sources);
+    return this.get(id, { includeDisabled: true });
   }
 
   /** @returns {object[]} 用户配置中的来源 */
@@ -341,16 +362,31 @@ export class UserSourceStore {
     if (!fs.existsSync(this.configFile)) return [];
     try {
       const raw = JSON.parse(fs.readFileSync(this.configFile, "utf8"));
-      if (![LEGACY_SOURCE_CONFIG_VERSION, SOURCE_CONFIG_VERSION].includes(raw.schemaVersion) || !Array.isArray(raw.sources)) {
+      if (![LEGACY_SOURCE_CONFIG_VERSION, SOURCE_DESCRIPTOR_VERSION, SOURCE_CONFIG_VERSION].includes(raw.schemaVersion) || !Array.isArray(raw.sources)) {
         throw new TypeError("用户 source 配置 schemaVersion 或 sources 无效");
       }
       if (raw.schemaVersion === LEGACY_SOURCE_CONFIG_VERSION && raw.sources.some(({ type }) => type !== "gitlab")) {
         throw new TypeError("schemaVersion 1 只允许旧 GitLab source");
       }
-      const sources = raw.sources.map((source) => validateSourceDescriptor({
-        ...source,
-        schemaVersion: source.schemaVersion || raw.schemaVersion,
-      }));
+      const builtinIds = new Set(this.builtinDescriptors.map(({ id }) => id));
+      const sources = raw.sources.map((source) => {
+        const fields = Object.keys(source || {});
+        if (
+          fields.length === 2 &&
+          fields.every((field) => ["id", "enabled"].includes(field)) &&
+          builtinIds.has(source.id) &&
+          typeof source.enabled === "boolean"
+        ) {
+          return { id: source.id, enabled: source.enabled, builtinPreference: true };
+        }
+        const normalized = validateSourceDescriptor({
+          ...source,
+          schemaVersion: source.schemaVersion || Math.min(raw.schemaVersion, SOURCE_DESCRIPTOR_VERSION),
+        });
+        return builtinIds.has(normalized.id)
+          ? { id: normalized.id, enabled: normalized.enabled, builtinPreference: true }
+          : normalized;
+      });
       if (new Set(sources.map(({ id }) => id)).size !== sources.length) {
         throw new TypeError("用户 source 配置包含重复 ID");
       }
@@ -375,9 +411,14 @@ export class UserSourceStore {
     const temporary = `${this.configFile}.${process.pid}.tmp`;
     try {
       fs.mkdirSync(parent, { recursive: true, mode: 0o700 });
+      const serialized = sources.map((source) => (
+        source.builtinPreference
+          ? { id: source.id, enabled: source.enabled }
+          : source
+      ));
       fs.writeFileSync(temporary, `${JSON.stringify({
         schemaVersion: SOURCE_CONFIG_VERSION,
-        sources: [...sources].sort((left, right) => compareUtf8(left.id, right.id)),
+        sources: serialized.sort((left, right) => compareUtf8(left.id, right.id)),
       }, null, 2)}\n`, { mode: 0o600 });
       fs.renameSync(temporary, this.configFile);
     } catch (error) {