sillyspec 3.26.11 → 3.26.13

package/src/run/stage.js

@@ -19,7 +19,7 @@
 import { join, dirname } from 'node:path'
 import { existsSync, readdirSync, readFileSync, writeFileSync, mkdirSync } from 'node:fs'
 import { writeAtomicSync } from '../fs-atomic.js'
-import { resolveSpecDir, resolveChangeDir, resolveRuntimeRoot, resolveQuickSessionsDir, triggerSync, safeGit, parsePorcelainPath, formatWaitOptions, checkApproval, getStageSteps } from './shared.js'
+import { resolveSpecDir, resolveChangeDir, resolveRuntimeRoot, resolveQuickSessionsDir, triggerSync, safeGit, parsePorcelainPath, formatWaitOptions, checkApproval, getStageSteps, warnApprovalUnknown } from './shared.js'
 import { computeScanProfile, applyScanProfileSteps, executeScanPreflight, executeScanPostcheck } from './scan-profile.js'
 import { outputStep } from './prompt.js'
 import { allocateQuicklogEntry, deriveTitleFromLinkedChange, sanitizeDesc } from '../quicklog.js'
@@ -56,6 +56,11 @@ export async function runStage(pm, progress, stageName, cwd, changeName, skipApp
         console.log(`⏳ 变更 ${changeName} 的执行审批待处理中...`)
         console.log('  提示：使用 --skip-approval 跳过审批检查')
       }
+      // HUB-07：unknown（连接了平台但 404/断网/非 JSON）此前静默落空（fail-open 无提示）——
+      // 醒目警告 + 留痕，放行但可审计
+      if (approval.status === 'unknown') {
+        warnApprovalUnknown(cwd, changeName, approval.reason)
+      }
     }
   }
 
@@ -118,6 +123,10 @@ export async function runStage(pm, progress, stageName, cwd, changeName, skipApp
           `请检查该路径是否为普通文件/只读，清理后重跑（sillyspec run execute --change ${changeName} --skip-approval）`)
       }
       writeFileSync(runIdFile, currentExecuteRunId + '\n')
+      // change 归属戳（坑 worktree-cleanup-marker-chain 根治）：run 目录自带变更身份，
+      // marker 断裂（worktree cleanup / 归档清理 / 并行误删）后按戳归属，不再错配其他变更的 run
+      const { stampExecuteRunChange } = await import('../task-review.js')
+      stampExecuteRunChange(runtimeRoot, currentExecuteRunId, changeName)
     }
   }
 
@@ -244,6 +253,25 @@ export async function runStage(pm, progress, stageName, cwd, changeName, skipApp
     if (existingGuard) {
       // 跨进程重入：复用已分配的 ql-ID，跳过 baseline 重捕与分配（幂等）
       progress.quickGuard = existingGuard
+      // 中途追加边界：会话中途发现要改启动声明外的文件，此前 resume 会把 --files 静默丢弃、
+      // 边界冻结在启动时刻，只能靠事后归属/审计行兜底。恢复时带 --files 即并入 allowedFiles
+      // （追加不替换、去重保序），同时点录 allowedFilesHash 供同文件并发检测（文件不存在跳过，
+      // 与启动同语义）。--done 审计直读 guard.json（complete-handlers §4.6），追加即被归属消费。
+      const resumeFiles = Array.isArray(quickOpts?.quickFiles) ? quickOpts.quickFiles.filter(Boolean) : []
+      if (resumeFiles.length > 0) {
+        const known = new Set(progress.quickGuard.allowedFiles || [])
+        const added = resumeFiles.filter(f => !known.has(f))
+        if (added.length > 0) {
+          progress.quickGuard.allowedFiles = [...(progress.quickGuard.allowedFiles || []), ...added]
+          progress.quickGuard.allowedFilesHash = { ...(progress.quickGuard.allowedFilesHash || {}) }
+          for (const f of added) {
+            try { progress.quickGuard.allowedFilesHash[f] = createHash('sha256').update(readFileSync(join(cwd, f))).digest('hex') }
+            catch { /* 预声明将新建的文件，与启动时 allowedFilesHash 同语义：不存在跳过 */ }
+          }
+          writeAtomicSync(guardFile, JSON.stringify(progress.quickGuard, null, 2))
+          console.log(`🛡️ quick 边界已追加: ${added.length} 个文件（累计 ${progress.quickGuard.allowedFiles.length} 个）: ${added.join(', ')}`)
+        }
+      }
     } else {
       // baseline 采集用 safeGit（带 -c safe.directory，避免 linked worktree/容器异 uid/Windows 挂载点
       // 下裸 `git status` 抛错）。safeGit 已消除 safe.directory 类失败；若仍失败（真非 git 目录等），
@@ -317,6 +345,16 @@ export async function runStage(pm, progress, stageName, cwd, changeName, skipApp
         if (allowDelete) parts.push('允许删除文件')
         console.log(`🛡️ quick 变更边界已记录: ${parts.join(', ')}`)
         console.log(`📝 QUICKLOG 条目已创建: ${qlId}`)
+        // 缺 --input 且关联变更无可提取标题 → 条目落「(quick 任务)」占位标题，平台「快速修复」列表
+        // 默认隐藏进行中占位（task-06 口径），长会话全程不可见、语义标题要到最终 --done 才回填。
+        // 此刻会话刚起步零沉没成本，提示放弃重启带 --input 是最便宜的自愈点。
+        if (!quickDesc) {
+          console.warn('')
+          console.warn('⚠️ 本次 quick 未带 --input：QUICKLOG 条目将以占位标题「(quick 任务)」落盘')
+          console.warn('   平台「快速修复」列表默认隐藏进行中的占位条目，语义标题要到最终 --done 才回填。')
+          console.warn('   长任务建议放弃本会话、带一句话任务描述重启（旧会话 run quick --reset --change <sessionId> 重置）：')
+          console.warn('     sillyspec run quick --input "<一句话任务描述>" [--linked-changes <a,b>] [--files <...>]')
+        }
         // 回填 DB changes 行的 title + quicklog_id，让 quick-<hex> 可读、DB↔QUICKLOG 可对账。
         // title 用 quickDesc（任务描述或关联变更标题）经 sanitizeDesc 压一行限长，与 QUICKLOG 条目标题同源。
         try {
@@ -380,6 +418,8 @@ export async function runStage(pm, progress, stageName, cwd, changeName, skipApp
         await executeScanPostcheck(cwd, platformOpts, scanProfile)
       } else if (cliAction === 'planPostcheck') {
         await executePlanPostcheck(cwd, platformOpts, progress)
+      } else {
+        throw new Error(`noAI 步骤 ${stepName} 的未知 _cliAction: ${cliAction}——请在 stage.js 注册对应分支`)
       }
       stageData.steps[currentIdx].status = 'completed'
       stageData.steps[currentIdx].completedAt = new Date().toLocaleString('zh-CN', { hour12: false })

package/src/setup.js

@@ -1,6 +1,7 @@
 import { existsSync, readFileSync, writeFileSync, mkdirSync } from 'fs';
 import { join, dirname } from 'path';
-import { execSync, execFileSync } from 'child_process';
+import { execSync } from 'child_process';
+import { gitQuiet } from './git-helper.js';
 import chalk from 'chalk';
 import ora from 'ora';
 import { checkbox, input } from '@inquirer/prompts';
@@ -359,16 +360,13 @@ export async function cmdSetup(dir, options = {}) {
       // 凭据提交风险提示（sec-c）：.claude/mcp.json / .cursor/mcp.json 是项目共享文件、通常随 git
       // 提交，而 DB MCP 的 env 含明文连接串/密码。检测 git 跟踪状态，已跟踪/未忽略时显式警告。
       if (selectedDb.length > 0) {
-        try {
-          execFileSync('git', ['-C', dir, 'ls-files', '--error-unmatch', path], { stdio: 'pipe' });
+        // QUAL-01 收口：裸 execFileSync → git-helper（-C 由 helper 统一注入）。
+        // 语义映射：ls-files --error-unmatch 命中（exit 0）= 已跟踪 → 警告；
+        // check-ignore -q 命中（exit 0）= 已忽略 → 不警告
+        if (gitQuiet(dir, ['ls-files', '--error-unmatch', path]) !== null) {
           console.warn(chalk.yellow(`  ⚠️ ${path} 已被 git 跟踪——其中数据库连接串/密码会随提交进入仓库，建议加入 .gitignore 或改用环境变量`));
-        } catch {
-          // 未被跟踪：再查是否被 ignore；都不满足（未忽略未跟踪）时提示防止将来误提交
-          try {
-            execFileSync('git', ['-C', dir, 'check-ignore', '-q', path], { stdio: 'pipe' });
-          } catch {
-            console.warn(chalk.yellow(`  ⚠️ ${path} 含数据库连接串/密码且未被 .gitignore 忽略——提交前请先加入 .gitignore 或改用环境变量`));
-          }
+        } else if (gitQuiet(dir, ['check-ignore', '-q', path]) === null) {
+          console.warn(chalk.yellow(`  ⚠️ ${path} 含数据库连接串/密码且未被 .gitignore 忽略——提交前请先加入 .gitignore 或改用环境变量`));
         }
       }
     }

package/src/sillyhub-mcp/client.js

@@ -49,7 +49,6 @@ export class SillyHubMcpClient {
     if (this._url && !/^https:\/\//i.test(this._url) && !/^http:\/\/(localhost|127\.0\.0\.1|\[::1\])(:|\/|$)/i.test(this._url)) {
       console.warn(`[sillyhub-mcp] mcp.url 非 https（${this._url.slice(0, 60)}），Bearer token 将明文传输——请确认为受控环境`);
     }
-    this._token = typeof t === 'string' ? t : '';
     this._timeoutMs = typeof timeoutMs === 'number' && timeoutMs > 0
       ? timeoutMs
       : DEFAULT_TIMEOUT_MS;
@@ -206,6 +205,13 @@ export class SillyHubMcpClient {
     }
 
     if (rpc.error) {
+      // HUB-11：session 过期第二种形态——HTTP 200 + JSON-RPC error -32600「Missing session」
+      // （api-reference 记载的形态；FastMCP 实测走 HTTP 400，两种都认）。落哨兵触发
+      // _sendRpc 重置重连；其余 error 维持 warn+null（如 -32602 Invalid params 是调用侧问题，
+      // 重连救不回，不误触发）
+      if (rpc.error.code === -32600 && /missing session/i.test(String(rpc.error.message || ''))) {
+        return SESSION_EXPIRED;
+      }
       if (!quiet) console.warn(`[sillyhub-mcp] ${tag} JSON-RPC error: ${JSON.stringify(rpc.error)}`);
       return null;
     }
@@ -228,11 +234,8 @@ export class SillyHubMcpClient {
 
   /**
    * MCP initialize 握手：POST initialize → 从响应 header（或 body _meta）读 mcp-session-id。
-   * 成功存 this._sessionId；失败返回 false（best-effort，warn 不抛）。
-   *
-   * 注：协议要求 initialize 后发 notifications/initialized，本客户端只做探测
-   * （tools/list / 只读 tool），实测 FastMCP 不强制该通知即可用（2026-08-14 验证），
-   * 为省一次 RPC 不发；若未来 server 强校验再补。
+   * 成功存 this._sessionId 并补发 notifications/initialized（协议要求；FastMCP 实测不强制，
+   * best-effort 失败仅 warn）；失败返回 false（best-effort，warn 不抛）。
    * @returns {Promise<boolean>}
    */
   async _initialize(quiet = false) {
@@ -299,6 +302,28 @@ export class SillyHubMcpClient {
       return false;
     }
     this._sessionId = sid;
+    // MCP 2025-11-25 协议要求 initialize 后发 notifications/initialized（无 id 通知，server 不回包）。
+    // 2026-08-14 实测 FastMCP v1.29 不强制；补发是为防未来 server 强校验拒掉所有 tools/call。
+    // best-effort：失败仅 warn，不阻断（session 已建，宽松 server 仍可用）。
+    try {
+      const noteController = new AbortController();
+      const noteTimer = setTimeout(() => noteController.abort(), this._timeoutMs);
+      await fetch(this._endpoint, {
+        method: 'POST',
+        headers: {
+          Authorization: `Bearer ${this._token}`,
+          'Content-Type': 'application/json',
+          Accept: 'application/json, text/event-stream',
+          'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
+          'Mcp-Session-Id': this._sessionId,
+        },
+        body: JSON.stringify({ jsonrpc: '2.0', method: 'notifications/initialized' }),
+        signal: noteController.signal,
+      }).catch(() => { /* best-effort */ });
+      clearTimeout(noteTimer);
+    } catch (err) {
+      if (!quiet) console.warn(`[sillyhub-mcp] notifications/initialized 发送失败（忽略）: ${err && err.message ? err.message : err}`);
+    }
     return true;
   }
 
@@ -387,6 +412,49 @@ export class SillyHubMcpClient {
     return null;
   }
 
+  /**
+   * HUB-12a：tools/list 的完整 result（一次请求同时喂路径A schema 预热与 root_path 越界
+   * 校验——此前 listTools + getRootPath 各发一次同 method 请求，probe 链路重复 RPC）。
+   * best-effort：未配置/失败 → null 不抛。形态：{tools:[...], root_path?} 或裸数组。
+   */
+  async listToolsWithMeta({ quiet = true } = {}) {
+    if (!this._configured) return null;
+    return this._sendRpc('tools/list', {}, { quiet, label: 'tools/list' });
+  }
+
+  /**
+   * HUB-12b：关闭 MCP session（streamable HTTP DELETE，2025-11-25 协议规定的会话终止方式）。
+   * CLI 短进程原本把 session 留给 server TTL 清理；长驻场景（未来 daemon 化）会积累半开
+   * session。best-effort：网络失败/无 session 返回 false 不抛；成功后清本地 session 态，
+   * 后续调用自动重新 initialize。
+   * @returns {Promise<boolean>} 是否发出了有效的 DELETE
+   */
+  async close() {
+    if (!this._configured || !this._sessionId) return false;
+    const sid = this._sessionId;
+    this._sessionId = null; // 先清本地态：DELETE 失败也不留「以为还活着」的 session
+    try {
+      const controller = new AbortController();
+      const timer = setTimeout(() => controller.abort(), this._timeoutMs);
+      try {
+        const res = await fetch(this._endpoint, {
+          method: 'DELETE',
+          headers: {
+            Authorization: `Bearer ${this._token}`,
+            'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
+            'Mcp-Session-Id': sid,
+          },
+          signal: controller.signal,
+        });
+        return res.ok;
+      } finally {
+        clearTimeout(timer);
+      }
+    } catch {
+      return false;
+    }
+  }
+
   /**
    * best-effort 从 daemon 拿 workspace root_path（task-12 路径A 越界校验用）。
    *

package/src/spec-dir-typo.js

@@ -13,30 +13,9 @@
 
 import { dirname, basename, join } from 'path'
 import { readdirSync } from 'fs'
-
-/**
- * 计算两字符串的 Levenshtein 编辑距离（大小写不敏感比较字符）。
- * @param {string} a
- * @param {string} b
- * @returns {number}
- */
-function levenshtein(a, b) {
-  const m = a.length
-  const n = b.length
-  if (m === 0) return n
-  if (n === 0) return m
-  let prev = Array.from({ length: n + 1 }, (_, j) => j)
-  let curr = new Array(n + 1)
-  for (let i = 1; i <= m; i++) {
-    curr[0] = i
-    for (let j = 1; j <= n; j++) {
-      const cost = a[i - 1].toLowerCase() === b[j - 1].toLowerCase() ? 0 : 1
-      curr[j] = Math.min(prev[j] + 1, curr[j - 1] + 1, prev[j - 1] + cost)
-    }
-    ;[prev, curr] = [curr, prev]
-  }
-  return prev[n]
-}
+// levenshtein 单一实现收敛到 run/shared.js（原本地副本与 shared.js 逐行相同）；
+// shared.js 不静态 import review 族，此处引入不成环
+import { levenshtein } from './run/shared.js'
 
 /**
  * 检测 spec 目录拼写变体。

package/src/spec-sync.js

@@ -11,7 +11,7 @@
  */
 
 import { createHash } from 'crypto';
-import { existsSync, readdirSync, readFileSync, statSync } from 'fs';
+import { existsSync, readdirSync, readFileSync, statSync, mkdirSync, writeFileSync } from 'fs';
 import { join, relative, sep } from 'path';
 
 // 与 sillyhub-daemon/src/spec-sync.ts 共用排除口径（task-07 / FR-06 / D-008@v2）：
@@ -127,6 +127,19 @@ export function computeSpecOps(serverManifest, localFiles) {
   const serverPaths = Object.keys(server).filter((p) => server[p]?.exists !== false);
   const serverSet = new Set(serverPaths);
 
+  // fail-closed 护栏（2026-08-20 全量体检 BUG-01）：本地树为空而服务器非空时，
+  // 全量 delete 几乎必然是「锚错了目录」（如平台模式 cwd/.sillyspec 只剩 local.yaml
+  // 被 walk 排除），而不是用户真的删光了所有文件——一旦发出就是服务器整树清空。
+  // 唯一放行：服务器只剩 local.yaml 存量（顶层单文件），保留「delete 清 token 存量」
+  // 的既定语义（见 UPLOAD_EXCLUDE_FILENAMES 注释）。真实清空需求需本地树非空逐轮收敛。
+  const nonTrivialServer = serverPaths.filter((p) => p !== 'local.yaml');
+  if (localFiles.length === 0 && nonTrivialServer.length > 0) {
+    console.warn(
+      `[spec-sync] 本地 spec 树为空但服务器有 ${serverPaths.length} 个文件，跳过同步（防误清空；请检查 spec 目录锚点）`
+    );
+    return [];
+  }
+
   // rename 检测：旧路径（服务器有、本地无）↔ 新路径（本地有、服务器无）hash 相同
   const renames = [];
   const consumedNew = new Set();
@@ -243,11 +256,13 @@ function collectChangeDir(dirs, p) {
  * @param {string} changeName - 当前变更名
  * @returns {Promise<{synced: number, conflict?: boolean, serverVersions?: object}>}
  */
-export async function syncSpecTree(specRoot, platform, changeName) {
+export async function syncSpecTree(specRoot, platform, changeName, opts = {}) {
   if (!platform || !platform.url || !platform.token) {
     debugLog('[spec-sync] 未连接平台（本地合法状态）；跳过 spec 树增量同步');
     return { synced: 0 };
   }
+  // HUB-09：单请求超时与外部熔断 signal 合并——trigger* 熔断时在飞请求被真实取消
+  const withSignal = (timeoutMs) => (opts.signal ? AbortSignal.any([AbortSignal.timeout(timeoutMs), opts.signal]) : AbortSignal.timeout(timeoutMs));
 
   const manifestUrl = `${platform.url.replace(/\/$/, '')}/api/changes/-/spec-manifest`;
   const syncUrl = `${platform.url.replace(/\/$/, '')}/api/changes/-/spec-sync`;
@@ -257,7 +272,7 @@ export async function syncSpecTree(specRoot, platform, changeName) {
   try {
     const res = await fetch(manifestUrl, {
       headers: { Authorization: `Bearer ${platform.token}` },
-      signal: AbortSignal.timeout(10000),
+      signal: withSignal(10000),
     });
     if (!res.ok) {
       // ql-20260818-008：debugLog → console.warn。树同步失败原本完全静默（要
@@ -293,7 +308,7 @@ export async function syncSpecTree(specRoot, platform, changeName) {
         Authorization: `Bearer ${platform.token}`,
       },
       body: JSON.stringify({ ops }),
-      signal: AbortSignal.timeout(30000),
+      signal: withSignal(30000),
     });
     if (!res.ok) {
       console.warn(`[spec-sync] 同步请求失败 HTTP ${res.status}（文件树本次未同步，下次自动重试）: ${changeName}`);
@@ -301,10 +316,30 @@ export async function syncSpecTree(specRoot, platform, changeName) {
     }
     const body = await res.json().catch(() => ({}));
     if (body.conflict) {
-      console.warn(
-        `[spec-sync] 检测到冲突，请人工拍板。服务器版本: ${JSON.stringify(body.server_versions || {})}`
-      );
-      return { synced: 0, conflict: true, serverVersions: body.server_versions };
+      // HUB-08 冲突闭环：落 spec-sync-conflict-<change>.json（与进度 sync-conflict-* 同目录），
+      // 供 platform status 列出 + platform resolve 三态处置。此前只 warn 返回，下次 sync 用
+      // 同一 base_version 继续冲突循环，无人工裁决入口。
+      const serverVersions = body.server_versions || {};
+      let conflictPath = null;
+      try {
+        const runtimeDir = join(specRoot, '.runtime');
+        mkdirSync(runtimeDir, { recursive: true });
+        conflictPath = join(runtimeDir, `spec-sync-conflict-${changeName}.json`);
+        writeFileSync(conflictPath, JSON.stringify({
+          change: changeName,
+          kind: 'spec-tree',
+          created_at: new Date().toISOString(),
+          server_versions: serverVersions,
+          conflicting_paths: Object.keys(serverVersions),
+          note: 'spec 树文件冲突（服务器版本领先于本地 diff 基线）。resolve --keep-local 以本地为准重推；--take-platform 暂不支持（平台无文件下载端点）',
+        }, null, 2) + '\n', 'utf8');
+      } catch (e) {
+        console.warn(`[spec-sync] 冲突文件写入失败（冲突信息仅打印）: ${e.message}`);
+      }
+      console.warn('');
+      console.warn(`⚠️ [spec-sync] 检测到 spec 树冲突（${Object.keys(serverVersions).length} 个文件，服务器版本: ${JSON.stringify(serverVersions)}）`);
+      console.warn(`⚠️ 处置：sillyspec platform resolve ${changeName} --keep-local | --abort（冲突详情: ${conflictPath || '(写入失败)'}）`);
+      return { synced: 0, conflict: true, serverVersions, conflictPath };
     }
     console.log(`[spec-sync] 已同步 ${ops.length} 个文件变更: ${changeName}`);
     return { synced: ops.length };

package/src/stage-contract.js

@@ -7,7 +7,7 @@
 
 import { existsSync, readdirSync, readFileSync } from 'fs'
 import { join, basename } from 'path'
-import { execFileSync } from 'child_process'
+import { safeGit } from './git-helper.js'
 import { detectChangeRisk, checkIntegrationEvidence, VERIFICATION_NEEDS, RISK_LEVEL_CAUSES } from './change-risk-profile.js'
 import { SCAN_REQUIRED_DOCS, AUXILIARY_STAGES } from './constants.js'
 import { evaluateRules } from './stage-contract-engine.js'
@@ -61,22 +61,12 @@ export function validateChangeExists(specBase, stageName, changeName) {
   if (/^quick-[0-9a-f]{8}$/.test(changeName)) return null
   if (existsSync(join(specBase, 'changes', changeName))) return null
 
-  // archive 特例：step4 --confirm 已把变更从 changes/<name>/ 移到 changes/archive/<date>-<name>/。
+  // archive 特例：step4 --confirm 已把变更从 changes/<name>/ 移到 changes/archive/<name>/。
   // step5（更新路线图/提交）--change <name> 不应因 changes/<name>/ 已移走而被前置校验误拦。
-  // 精确匹配归档目录名（YYYY-MM-DD-<changeName>），避免后缀子串误匹配（auth ≠ deep-auth）。
   if (stageName === 'archive') {
     const archiveRoot = join(specBase, 'changes', 'archive')
-    if (existsSync(archiveRoot)) {
-      // 归档目录名恒为 <归档日>-<纯描述>（archiveDestDirName 写入时已 strip 源名前导日期）。
-      // 校验侧同样 strip changeName 前导日期再比 —— 否则「写 strip、读拿完整源名」语义不一致，
-      // 会让带日期前缀的源名（brainstorm 约定，如 2026-07-29-sidebar-menu-restructure）在 step5
-      // 被前置校验误拦（坑 archive-step5-leading-date-change-name）。
-      const stripped = String(changeName).replace(/^\d{4}-\d{2}-\d{2}-/, '')
-      const archived = readdirSync(archiveRoot).find(d => {
-        const m = d.match(/^\d{4}-\d{2}-\d{2}-(.+)$/)
-        return m && m[1] === stripped
-      })
-      if (archived) return null
+    if (existsSync(archiveRoot) && existsSync(join(archiveRoot, changeName))) {
+      return null
     }
   }
   return {
@@ -527,19 +517,10 @@ function validateVerifyOutputs(cwd, changeName, context = {}) {
 }
 
 /**
- * 计算归档目标目录名：保证 archive/ 下目录有且仅有一个日期前缀。
- *
- * 变更名创建时常已带 YYYY-MM-DD- 前缀（brainstorm 强制约定 + CLI 自动占位名），
- * 若归档时再无条件拼一次 date- 前缀，会产生 2026-07-28-2026-07-28-<desc> 双日期。
- * 这里先剥离源名前导日期，再统一拼归档当天日期 → 归档目录名恒为 <归档日期>-<纯描述>。
- * 不带日期的源名（如 quick-<hash>）strip 无效，正常补日期，行为不变。
- *
- * 写（archiveChangeDirectory）与校验（validateArchiveOutputs）共用此函数，
- * 避免「写和校验各自硬编码同公式」的漂移（曾因此导致双日期 bug 写校验都自洽通过）。
+ * 计算归档目标目录名：保持原变更名不变，直接移入 archive/。
  */
 export function archiveDestDirName(date, changeName) {
-  const stripped = String(changeName).replace(/^\d{4}-\d{2}-\d{2}-/, '')
-  return `${date}-${stripped}`
+  return String(changeName)
 }
 
 /**
@@ -547,8 +528,7 @@ export function archiveDestDirName(date, changeName) {
  */
 function validateArchiveOutputs(cwd, changeName) {
   const archiveDir = join(cwd, '.sillyspec', 'changes', 'archive')
-  const date = new Date().toISOString().slice(0, 10)
-  const destDir = join(archiveDir, archiveDestDirName(date, changeName))
+  const destDir = join(archiveDir, changeName)
 
   // 归档目录不存在 early return(引擎在存在时才跑)
   if (!existsSync(destDir)) {
@@ -583,18 +563,12 @@ function validateChangeClosed(cwd, changeName) {
 
 // ============ Execute 代码变更客观核验 ============
 
+// QUAL-01 收口：本地 execFileSync 裸调（无 safe.directory）→ git-helper safeGit 统一入口，
+// {ok,out,error} 适配语义与 timeout 15000 不变
 function gitTry(dir, args) {
-  try {
-    const out = execFileSync('git', args, {
-      cwd: dir,
-      encoding: 'utf8',
-      timeout: 15000,
-      stdio: ['ignore', 'pipe', 'pipe'],
-    }).trim()
-    return { ok: true, out }
-  } catch (e) {
-    return { ok: false, out: '', error: e.message?.split('\n')[0] || String(e) }
-  }
+  const r = safeGit(dir, args, { timeout: 15000 })
+  if (r.value !== null) return { ok: true, out: r.value }
+  return { ok: false, out: '', error: r.error || 'git 执行失败' }
 }
 
 /**

package/src/stages/archive.js

@@ -12,8 +12,9 @@ export const definition = {
 
 ### 判定规则
 - **真相源 = review.json verdict**：上方报告由 CLI 从 .runtime/execute-runs/<runId>/tasks/task-NN/review.json 的 specVerdict + qualityVerdict 算出。
-- plan.md 的 - [x] checkbox **仅作显示态参考**：它依赖自动回填，runId marker / review 缺失时会停在未勾态，与客观 verdict 不一致时**以本报告为准**，不要被未勾 checkbox 误导。
+- tasks.md 的 - [x] checkbox **仅作显示态参考**：它依赖自动回填，runId marker / review 缺失时会停在未勾态，与客观 verdict 不一致时**以本报告为准**，不要被未勾 checkbox 误导。
 - 报告「未通过 / 缺失」= 0 且 source 为 review.json → 完成度合格，进入下一步。
+- 报告含「cannot_verify 草稿（未真正复核）」计数 > 0 → 这些 task 只有 cannot_verify 草稿兜底、未被真正复核：先确认 verify 阶段已兑现其 requiredEvidence（verify-result.md 有对应证据），缺证据的派独立子代理对照 task brief + git diff 补真实复核（升级为 pass/fail），勿静默放行。
 - 报告 source 为 plan-checkbox-fallback（客观源不可用）→ 完成度无法客观确认，**必须暂停**让用户交叉核对，不要直接放行。
 - 存在未完成任务 → **必须暂停等待用户决定**，不要自行判断"可以归档"。
    - 调用：sillyspec run archive --wait --reason "存在未完成任务，是否继续归档" --options "继续归档,回到execute完成剩余任务" --output "未完成任务列表"
@@ -126,10 +127,10 @@ module_id: <module-id>
 
 ### 操作
 1. 展示：变更目录名、包含的文件列表（含 module-impact.md）、生成总结
-2. 确保所有 checkbox 都已勾选
+2. 确保任务清单（tasks.md）所有 task checkbox 都已勾选
 3. 让用户确认后，用 \`--confirm\` 完成本步骤：
    \`sillyspec run archive --done --confirm --output "确认归档"\`
-4. CLI 会创建 \`.sillyspec/changes/archive/\`，并将变更目录移动到 \`.sillyspec/changes/archive/<归档日期>-<纯描述>（源名前导日期去重，避免双日期）/\`
+4. CLI 会创建 \`.sillyspec/changes/archive/\`，并将变更目录移动到 \`.sillyspec/changes/archive/<原变更名>/\`
 
 ### 输出
 归档完成 + archive 目录路径`,

package/src/stages/brainstorm-auto.js

@@ -217,7 +217,7 @@ AC-011: 不涉及业务规则/产品范围/默认行为/用户可见行为变更
 1. 基于变更根目录下的设计产物（design.md / decisions.md / gaps.md / assumptions.md / next-action.json），生成规范文件（直接写入变更根目录）：
    - **proposal.md**：动机、关键问题、变更范围、不在范围内、成功标准
    - **requirements.md**：角色表 + FR 编号需求 + Given/When/Then + 非功能需求
-   - **tasks.md**：任务列表（只列名称，细节在 plan 阶段展开）
+   - **tasks.md**：任务列表骨架（只列名称；任务清单唯一真相，plan 阶段展开细节并写回本文件——execute 勾选与 verify 对照都在本文件）
 2. 所有规范文件头部包含 YAML frontmatter
 3. \`git add {SPEC_ROOT}/changes/<change-name>/\` — 暂存本变更的规范文件（勿用 .sillyspec/ 整目录——会裹挟其他活跃变更；不要 commit）
 

package/src/stages/brainstorm.js

@@ -537,7 +537,7 @@ Then 期望结果
 | D-001@v1 | FR-01 | ... |
 \`\`\`
 
-### tasks.md 格式要求（scale=large 时生成骨架，plan 阶段展开）
+### tasks.md 格式要求（scale=large 时生成骨架；任务清单唯一真相——plan 阶段展开细节并写回本文件）
 \`\`\`markdown
 ---
 author: <git-user>
@@ -548,6 +548,7 @@ created_at: <now-datetime>
 - [ ] task-01: <任务名>
 - [ ] task-02: <任务名>
 \`\`\`
+> 骨架只列任务名。plan 阶段会把展开后的清单**写回本文件**（checkbox 行带一句话名，可附 [model:xxx]/(depends_on: …) 标注；保留 frontmatter/标题/ql-xxx 等非 task-XX 行）；execute 勾选与 verify 对照都在本文件。
 
 ### decisions.md 格式要求（仅在有 Grill/重大决策时生成）
 \`\`\`markdown

package/src/stages/doctor.js

@@ -12,7 +12,7 @@ export const definition = {
       name: 'SillySpec 内部检查',
       prompt: `运行 SillySpec 内部检查。逐项执行以下命令并汇总结果：
 
-> ⚠️ Windows 兼容：下列 sqlite3 查询依赖外部 sqlite3 CLI（Windows 默认没有）。若某条 sqlite3 失败，改用 sillyspec 自身命令替代——sillyspec progress show 查看当前变更与各阶段状态（等价于查 changes/stages 表），sillyspec doctor --json 查看 db 健康与活跃变更列表。
+> ✅ Windows 兼容（SS-1，2026-08-20）：db 查询已全部改走 node:sqlite（node≥22.13 内置），不再依赖外部 sqlite3 CLI。若 node 脚本失败，改用 sillyspec 自身命令替代——sillyspec progress show 查看当前变更与各阶段状态，sillyspec doctor --json 查看 db 健康与活跃变更列表。
 
 ### 1. 目录结构完整性
 \`\`\`bash
@@ -44,16 +44,22 @@ done
 
 ### 3. 进度数据一致性
 \`\`\`bash
-# 从 sillyspec.db 读取活跃变更并检查目录存在性
+# 从 sillyspec.db 读取活跃变更并检查目录存在性（node:sqlite 主路径，Windows 无 sqlite3 CLI）
 DB_FILE='.sillyspec/.runtime/sillyspec.db'
 if [ ! -f "$DB_FILE" ]; then echo "⚠️ sillyspec.db 不存在"; exit 0; fi
-ACTIVE_CHANGE=$(sqlite3 "$DB_FILE" "SELECT name FROM changes WHERE status='active' ORDER BY last_active DESC LIMIT 1" 2>/dev/null)
-if [ -z "$ACTIVE_CHANGE" ]; then echo "ℹ️ 无当前变更"; exit 0; fi
-echo "当前变更: $ACTIVE_CHANGE"
-DIR=".sillyspec/changes/$ACTIVE_CHANGE"
-[ -d "$DIR" ] && echo "✅ 变更目录存在: $ACTIVE_CHANGE" || echo "❌ 变更目录不存在: $ACTIVE_CHANGE"
-# 检查各阶段状态
-sqlite3 -header -column "$DB_FILE" "SELECT stage, status FROM stages s JOIN changes c ON s.change_id=c.id WHERE c.name='$ACTIVE_CHANGE' ORDER BY s.stage" 2>/dev/null || echo "⚠️ 无法查询阶段数据"
+node --input-type=module -e "
+import { DatabaseSync } from 'node:sqlite';
+import { existsSync } from 'node:fs';
+const db = new DatabaseSync(process.argv[1], { readOnly: true });
+const row = db.prepare(\\"SELECT name FROM changes WHERE status='active' ORDER BY last_active DESC LIMIT 1\\").get();
+if (!row) { console.log('ℹ️ 无当前变更'); process.exit(0); }
+console.log('当前变更: ' + row.name);
+const dir = '.sillyspec/changes/' + row.name;
+console.log(existsSync(dir) ? '✅ 变更目录存在: ' + row.name : '❌ 变更目录不存在: ' + row.name);
+const stages = db.prepare('SELECT s.stage AS stage, s.status AS status FROM stages s JOIN changes c ON s.change_id=c.id WHERE c.name=? ORDER BY s.stage').all(row.name);
+if (stages.length === 0) console.log('⚠️ 无阶段数据'); else for (const s of stages) console.log('  ' + s.stage + ': ' + s.status);
+db.close();
+" "$DB_FILE" 2>/dev/null || echo "⚠️ 无法查询阶段数据"
 \`\`\`
 
 ### 4. 孤儿文件检查
@@ -62,11 +68,14 @@ DB_FILE='.sillyspec/.runtime/sillyspec.db'
 if [ ! -f "$DB_FILE" ]; then echo "⚠️ sillyspec.db 不存在"; exit 0; fi
 node -e "
 const fs = require('fs');
+const { DatabaseSync } = require('node:sqlite');
 const dir = '.sillyspec/changes';
-const subs = fs.existsSync(dir) ? fs.readdirSync(dir).filter(f => { try { return fs.statSync(dir+'/'+f).isDirectory(); } catch { return false; } }) : [];
-const { execSync } = require('child_process');
+const subs = fs.existsSync(dir) ? fs.readdirSync(dir).filter(f => { try { return fs.statSync(dir+'/'+f).isDirectory() && f !== 'archive'; } catch { return false; } }) : [];
 let known;
-try { const rows = execSync('sqlite3 -json \".sillyspec/.runtime/sillyspec.db\" \"SELECT name FROM changes WHERE status=\\\"active\\\"\"', {encoding:'utf8'}).trim(); known = new Set(JSON.parse(rows).map(r => r.name)); } catch { known = new Set(); }
+try { const db = new DatabaseSync('.sillyspec/.runtime/sillyspec.db', { readOnly: true }); known = new Set(db.prepare(\"SELECT name FROM changes WHERE status='active'\").all().map(r => r.name)); db.close(); } catch (e) { console.log('⚠️ db 读取失败: ' + e.message + '（跳过孤儿判定，不做任何清理建议）'); known = null; }
+if (known) subs.forEach(s => {
+  console.log(known.has(s) ? '✅ ' + s + ' — 已关联' : '⚠️ ' + s + ' — 孤儿目录（先 dump 取证再手工归位，勿直接 rm）');
+});
 subs.forEach(s => {
   console.log(known.has(s) ? '✅ ' + s + ' — 已关联' : '⚠️ ' + s + ' — 孤儿目录（可清理）');
 });
@@ -132,7 +141,13 @@ DB_FILE='.sillyspec/.runtime/sillyspec.db'
 if [ -f "$DB_FILE" ]; then
   echo ""
   echo "isolation 状态（来自 sillyspec.db）:"
-  sqlite3 -header -column "$DB_FILE" "SELECT name, isolation_status AS status, isolation_mode AS mode, isolation_reason AS reason FROM changes WHERE status='active'" 2>/dev/null || echo "⚠️ 查询 isolation 失败"
+  node -e "
+const { DatabaseSync } = require('node:sqlite');
+const db = new DatabaseSync(process.argv[1], { readOnly: true });
+const rows = db.prepare(\"SELECT name, isolation_status AS status, isolation_mode AS mode, isolation_reason AS reason FROM changes WHERE status='active'\").all();
+for (const r of rows) console.log('  ' + r.name + ' | ' + r.status + ' | ' + r.mode + ' | ' + (r.reason || ''));
+db.close();
+" "$DB_FILE" 2>/dev/null || echo "⚠️ 查询 isolation 失败"
 else
   echo ""
   echo "ℹ️ sillyspec.db 不存在（尚未初始化）"