sillyspec 3.26.11 → 3.26.14

package/src/index.js

@@ -9,8 +9,7 @@
 import { existsSync, mkdirSync, readdirSync, readFileSync, renameSync, statSync, writeFileSync } from 'fs';
 import { writeAtomicSync } from './fs-atomic.js';
 import { basename, join, resolve } from 'path';
-import { execSync } from 'child_process';
-import { git } from './git-helper.js';
+import { safeGit, git } from './git-helper.js';
 import { getVersion } from './version.js';
 
 // E22（性能#2）：progress.js（拖 db.js→node:sqlite 链 ~48ms）与 run/shared.js（拖 stages 全家
@@ -78,6 +77,7 @@ SillySpec CLI — 规范驱动开发工具包
     list | meta <change>                列出 / 读取 meta.json
     cleanup <change> [--force]          清理 worktree
     doctor [--fix] [--stale-hours N]    健康检查 + 修复
+        --cleanup-ghosts [--confirm]     归档幽灵 active 记录（db 有行无目录 / 空壳目录 0 文件超 7 天，SS-2/2b）
 
   sillyspec local detect [--dir <path>]   生成本地配置 local.yaml（纯 fs 嗅探，零 token、不跑 scan）
   sillyspec config [schema] [--json]      打印 local.yaml 全部已知键 + 生效状态 + 读取点（堵外部 agent 配置发现缺口）
@@ -90,7 +90,7 @@ SillySpec CLI — 规范驱动开发工具包
   sillyspec gate <stage> --change <name> [--json]      机器门控：阶段能否标记完成（只读）
   sillyspec derive <facet> --change <name> [--json]    单项事实核验（facet: execute-evidence|verify-test|task-reviews|artifacts）
   sillyspec backfill-reviews --change <name> [--json]  为手动补的 task 生成 review.json 草稿（cannot_verify，解 archive 客观完成度阻断）
-  sillyspec register-stage-review --change <name> --stage <brainstorm|plan|execute> [--from <review.json>] [--json]
+  sillyspec register-stage-review --change <name> (--stage <brainstorm|plan|execute> | --all) [--from <review.json>] [--refresh-hash] [--json]
                                       生成/adopt stage 级 review.json（docHash 自动算 + 写 marker，治 tier=independent marker 死锁）
 
   sillyspec doctor [子命令]            进度库健康检查 + 修复（顶层命令，非 worktree doctor）
@@ -100,6 +100,9 @@ SillySpec CLI — 规范驱动开发工具包
     --dump-db --path <db 路径>         dump 指定 db 内容到文件（取证用）
     --json                             结构化诊断 + 落盘 .sillyspec/.runtime/doctor-diagnosis.json
   sillyspec modules <rebuild | status | migrate>
+  sillyspec taskcard <change> --task task-01[,task-02...] | --all [--force]
+                                      生成 Windows 安全 TaskCard 骨架（LF 行尾 + frontmatter 闭合 +
+                                      硬校验 9 字段齐全，标题自动取自 plan.md，Edit 填占位符即可）
   sillyspec change-rename <旧变更名> <新变更名>
   sillyspec knowledge <search --query "..." --limit N
                         | inspect --id "..."
@@ -242,12 +245,9 @@ async function main() {
   // 导致 sillyspec 命令找不到 .sillyspec。此函数尝试从 git root 解析。
   function resolveEffectiveDir(baseDir) {
     if (existsSync(join(baseDir, '.sillyspec'))) return baseDir
-    try {
-      const gitRoot = execSync('git rev-parse --show-toplevel', {
-        cwd: baseDir, encoding: 'utf8', timeout: 5000
-      }).trim()
-      if (gitRoot && existsSync(join(gitRoot, '.sillyspec'))) return gitRoot
-    } catch {}
+    // QUAL-01 收口：原 execSync 字符串拼接（经 shell）→ git-helper 数组形式
+    const r = safeGit(baseDir, ['rev-parse', '--show-toplevel'])
+    if (r.value && existsSync(join(r.value, '.sillyspec'))) return r.value
     return baseDir
   }
 
@@ -373,8 +373,34 @@ async function main() {
           }
           break;
         }
+        case 'dump': {
+          // 只读进度导出（design §6.2）：daemon 消费的机器接口 JSON。
+          // --json 模式下劫持 console.log 到 stderr，stdout 留给纯 JSON（与 gate/derive 同纪律）。
+          const dumpData = pm.dump(progDir);
+          if (json) {
+            const { buildEnvelope } = await import('./machine-interface.js');
+            const envelope = buildEnvelope({
+              command: 'progress dump',
+              ok: dumpData !== null,
+              data: dumpData,
+              errors: dumpData === null ? ['无活跃变更或进度数据不存在'] : [],
+            });
+            console.log(JSON.stringify(envelope));
+          } else {
+            if (!dumpData) {
+              console.log('📭 无活跃变更或进度数据不存在');
+            } else {
+              console.log(`项目: ${dumpData.project}`);
+              console.log(`当前变更: ${dumpData.current_change || '(无)'}`);
+              console.log(`当前阶段: ${dumpData.current_stage || '(无)'}`);
+              console.log(`最后活跃: ${dumpData.last_active || '(无)'}`);
+              console.log(`产物数: ${dumpData.artifacts?.length || 0}`);
+            }
+          }
+          break;
+        }
         default:
-          console.log('用法: sillyspec progress <init|show|validate|reset|set-stage|add-step|update-step|complete-stage>');
+          console.log('用法: sillyspec progress <init|show|validate|reset|set-stage|add-step|update-step|complete-stage|dump>');
           process.exit(2);
       }
       break;
@@ -548,8 +574,14 @@ async function main() {
       const rsrStage = rsrStageIdx >= 0 && args[rsrStageIdx + 1] ? args[rsrStageIdx + 1] : null;
       const rsrFromIdx = args.indexOf('--from');
       const rsrFrom = rsrFromIdx >= 0 && args[rsrFromIdx + 1] ? args[rsrFromIdx + 1] : null;
-      if (!rsrChange || !rsrStage) {
-        console.error('用法: sillyspec register-stage-review --change <名> --stage <brainstorm|plan|execute> [--from <review.json>] [--spec-dir <path>] [--json]\n  生成/adopt stage 级 review.json（docHash 自动算 + 写 marker），治 tier=independent marker 死锁');
+      // docHash 联动（坑 stage-review-dochash-manual-resync，2026-08-21 实证）：改一版 design 要
+      // 重算 2-3 个 stage review 的 docHash，手工易漏、gate 报错才补。--refresh-hash 就地刷新单个
+      // 既有 review 的 hash（保留结论）；--all 一次处理三个 stage（有 review 刷 hash，无 review
+      // 生成骨架——改版后一条命令完成全部联动）。
+      const rsrRefreshHash = filteredArgs.includes('--refresh-hash');
+      const rsrAll = filteredArgs.includes('--all');
+      if (!rsrChange || (!rsrStage && !rsrAll) || (rsrAll && rsrStage)) {
+        console.error('用法: sillyspec register-stage-review --change <名> (--stage <brainstorm|plan|execute> | --all) [--from <review.json>] [--refresh-hash] [--spec-dir <path>] [--json]\n  生成/adopt/刷新 stage 级 review.json（docHash 自动算 + 写 marker）；--all 一次处理三个 stage（有 review 刷新 hash、无 review 生成骨架）；--refresh-hash 就地刷新既有 review 的 docHash（保留 verdict 待确认续用）');
         process.exit(2);
       }
       // 与 run 入口同源消毒（防路径穿越；register 下游写 marker、拼 changes/review 路径）
@@ -557,20 +589,38 @@ async function main() {
       const { registerStageReview } = await import('./stage-review.js');
       const rsrPlatformOpts = {};
       if (specDir) rsrPlatformOpts.specRoot = specDir;
-      try {
-        const result = registerStageReview({ changeName: rsrChange, stage: rsrStage, fromFile: rsrFrom, cwd: dir, platformOpts: rsrPlatformOpts });
-        if (json) {
-          process.stdout.write(JSON.stringify({ ok: true, command: 'register-stage-review', change: rsrChange, stage: rsrStage, ...result }));
-        } else {
-          console.log(`✅ 已注册 ${rsrStage} stage review [${result.reviewRunId}] → ${result.reviewPath}（mode: ${result.mode}）`);
-          console.log(`   marker → ${result.markerPath}`);
-          console.log(`   下一步：独立审查子代理对照 ${result.mainDoc} 填 verdict/checklist 后重跑 --done`);
+      const rsrStages = rsrAll ? ['brainstorm', 'plan', 'execute'] : [rsrStage];
+      const rsrResults = [];
+      let rsrFailed = 0;
+      for (const st of rsrStages) {
+        try {
+          // --all 的单 stage 语义：有既有 review → refresh-hash；无 → 骨架。显式 --refresh-hash
+          // 则强制 refresh（无既有 review 时报错，提示先生成骨架）
+          const { getLatestStageReviewRunId, stageReviewMarkerPath } = await import('./stage-review.js');
+          const { resolveRuntimeRoot } = await import('./run/shared.js');
+          const rsrRuntimeRoot = resolveRuntimeRoot(rsrPlatformOpts, rsrPlatformOpts.specRoot || join(dir, '.sillyspec'));
+          const hasExisting = !!getLatestStageReviewRunId(rsrRuntimeRoot, st, rsrChange);
+          const wantRefresh = rsrRefreshHash || (rsrAll && hasExisting);
+          const result = registerStageReview({ changeName: rsrChange, stage: st, fromFile: rsrFrom, cwd: dir, platformOpts: rsrPlatformOpts, refreshHash: wantRefresh });
+          rsrResults.push({ stage: st, ...result });
+          if (json) {
+            process.stdout.write(JSON.stringify({ ok: true, command: 'register-stage-review', change: rsrChange, stage: st, ...result }) + '\n');
+          } else {
+            console.log(`✅ 已注册 ${st} stage review [${result.reviewRunId}] → ${result.reviewPath}（mode: ${result.mode}）`);
+            console.log(`   marker → ${result.markerPath}`);
+            if (result.mode === 'refreshed') {
+              console.log(`   docHash 已按当前 ${result.mainDoc} 重算（verdict 结论是否仍适用需人工确认）`);
+            } else {
+              console.log(`   下一步：独立审查子代理对照 ${result.mainDoc} 填 verdict/checklist 后重跑 --done`);
+            }
+          }
+        } catch (e) {
+          rsrFailed++;
+          if (json) process.stdout.write(JSON.stringify({ ok: false, command: 'register-stage-review', change: rsrChange, stage: st, error: e.message }) + '\n');
+          else console.error(`❌ [${st}] ` + e.message);
         }
-      } catch (e) {
-        if (json) process.stdout.write(JSON.stringify({ ok: false, command: 'register-stage-review', error: e.message }));
-        else console.error('❌ ' + e.message);
-        process.exitCode = 1;
       }
+      if (rsrFailed > 0) process.exitCode = 1;
       break;
     }
     case 'docs': {
@@ -627,6 +677,7 @@ async function main() {
             paths: cliPaths || cfg.paths,
             skip: cfg.skip,
             keywordAssert: cfg.keywordAssert,
+            crossRepoRoots: cfg.crossRepoRoots,
           });
           // task-03 修复链路（FR-04，platform-map-auto-anchors）：fixActive 才构造 fixes——
           // 仅 fix.fixable===true 且 newLine 为整数的条目可重锚；newRef = ref 的行号部分替换为
@@ -654,6 +705,9 @@ async function main() {
             console.log(JSON.stringify(result, null, 2));
           } else {
             for (const w of result.warnings) console.warn(`⚠️  ${w}`);
+            if (result.crossRepoSkipped > 0) {
+              console.log(`ℹ️ 跨仓 repo:// 引用跳过 ${result.crossRepoSkipped} 处（未配 docs-check.cross_repo_roots 映射；配置后走同款行号+关键词校验）`);
+            }
             if (result.ok) {
               console.log(`✅ docs check: ${result.total} 处引用全通过（其中 ${result.kwChecked} 处带关键词断言）`);
             } else {
@@ -793,8 +847,9 @@ async function main() {
     // slice(1) 去掉的是 'run' 字面量，这里 command 本身就是 stage 名不能丢。
     case 'doctor': {
       const doctorEffectiveDir = specDir ? dir : resolveEffectiveDir(dir);
-      // 执行流：--cleanup-remnant / --dump-db（结构化诊断之外的修复/取证动作）
+      // 执行流：--cleanup-remnant / --cleanup-ghosts / --dump-db（结构化诊断之外的修复/取证动作）
       const cleanupRemnant = filteredArgs.includes('--cleanup-remnant');
+      const cleanupGhosts = filteredArgs.includes('--cleanup-ghosts');
       const dumpDbFlag = filteredArgs.includes('--dump-db');
       const doctorConfirm = filteredArgs.includes('--confirm');
       const pathIdx = filteredArgs.indexOf('--path');
@@ -825,6 +880,20 @@ async function main() {
         // 复用顶层静态 import（line 12），不动态 await import
         const pm = new ProgressManager({ specDir: resolvePlatformSpecDir(doctorEffectiveDir, specDir) });
         const specBase = resolvePlatformSpecDir(doctorEffectiveDir, specDir) || join(doctorEffectiveDir, '.sillyspec');
+        // 坑 doctor-align-bypass-review-gate（2026-08-20 实证）：align 直写 completed 绕过
+        // completeStep，此前 execute 的 Stage/Task Review Gate 被整体跳过——worktree 清理后的
+        // 恢复场景恰是最需要审计的时刻。confirm 落盘前跑同源只读校验（dry-run 不拦，保持只读语义）。
+        if (doctorConfirm) {
+          const { enforceAlignExecuteReviewGate } = await import('./run/gates.js');
+          const gateBlocked = await enforceAlignExecuteReviewGate({
+            cwd: doctorEffectiveDir, changeName: alignChange, specBase,
+          });
+          if (gateBlocked) {
+            console.error('   对齐未执行（review 校验未过）。补齐 review 后重跑本命令。');
+            process.exitCode = 1;
+            break;
+          }
+        }
         let r;
         try {
           r = pm.alignExecuteToPlan(doctorEffectiveDir, alignChange, specBase, { confirm: doctorConfirm });
@@ -866,6 +935,26 @@ async function main() {
         process.exitCode = r.errors.length > 0 ? 1 : 0;
         break;
       }
+      if (cleanupGhosts) {
+        // SS-2（2026-08-20）：归档幽灵行（db active 无目录）。默认 dry-run，--confirm 才写。
+        // SS-2b：扩空壳目录（active + 目录 0 文件 + last_active 超 7 天），归档行并移除空目录。
+        const { cleanupGhostChanges } = await import('./doctor-diagnostics.js');
+        const r = await cleanupGhostChanges({ cwd: doctorEffectiveDir, specDir, confirm: doctorConfirm });
+        if (json) {
+          console.log(JSON.stringify(r, null, 2));
+        } else {
+          console.log(`👻 幽灵 active 记录（db active 无目录 / 空壳目录超 7 天）${doctorConfirm ? '已归档' : '待清理（dry-run）'}：${r.count} 个  [db: ${r.db_path || '(未找到)'}]`);
+          for (const n of r.ghosts) console.log(`   ${doctorConfirm ? '✅' : '-'} ${n}`);
+          for (const n of (r.empty_shells || [])) console.log(`   ${doctorConfirm ? '✅' : '🫙'} ${n}（空壳目录${doctorConfirm ? '，空目录已移除' : ''}）`);
+          for (const n of (r.skipped_nonempty || [])) console.log(`   ⏭️  ${n}（复查时目录已非空，已放过——可能是活跃变更）`);
+          for (const e of r.errors) console.log(`   ❌ ${e.name || ''}: ${e.error}`);
+          if (!doctorConfirm && r.count > 0) console.log(`
+加 --confirm 执行归档（仅改 status=archived，可逆；空壳同时移除 0 文件空目录，不删任何有内容的目录）。`);
+          if (r.reason) console.log(`ℹ️ ${r.reason}`);
+        }
+        process.exitCode = r.errors.length > 0 ? 1 : 0;
+        break;
+      }
       if (dumpDbFlag) {
         if (!dbPath) { console.error('❌ --dump-db 需要 --path <db 路径>'); process.exitCode = 2; break; }
         const { dumpDb } = await import('./doctor-diagnostics.js');
@@ -950,6 +1039,10 @@ async function main() {
       for (let i = 1; i < args.length; i++) {
         if (args[i] === '--port' && args[i + 1]) {
           port = parseInt(args[i + 1], 10);
+          if (!Number.isInteger(port) || port < 1 || port > 65535) {
+            console.error(`❌ 无效端口: ${args[i + 1]}（应为 1-65535 整数）`);
+            process.exit(2);
+          }
           i++;
         } else if (args[i] === '--no-open') {
           openBrowser = false;
@@ -1298,7 +1391,7 @@ SillySpec worktree — git worktree 隔离管理
           const staleHours = staleIdx !== -1 && args[staleIdx + 1] ? parseInt(args[staleIdx + 1], 10) : 24;
           const changeIdx = args.indexOf('--change');
           const changeName = changeIdx !== -1 && args[changeIdx + 1] ? args[changeIdx + 1] : null;
-          const diag = wm.doctor({ fix: fixFlag, staleHours, changeName });
+          const diag = await wm.doctor({ fix: fixFlag, staleHours, changeName });
           if (diag.issues.length === 0) {
             console.log('✅ worktree 健康检查通过，无异常');
           } else {
@@ -1437,6 +1530,15 @@ SillySpec platform — SillyHub 平台同步
         process.exit(1);
       }
 
+      // 体检 SEC-05：platform 子命令族统一校验 --change 值——此前只有 run 命令族走
+      // assertSafeChangeName，platform sync/pull/resolve 直接透传，冲突文件名
+      // join(runtimeDir, `sync-conflict-${changeName}.json`) 可被 ../ 穿越出 .runtime
+      {
+        const pChangeIdx = args.indexOf('--change');
+        const pChangeVal = pChangeIdx >= 0 && args[pChangeIdx + 1] ? args[pChangeIdx + 1] : null;
+        if (pChangeVal) assertSafeChangeName(pChangeVal, 'platform --change 变更名');
+      }
+
       switch (platformSub) {
         case 'pointer': {
           // 指针状态检查（不依赖 sync 模块）
@@ -1503,7 +1605,11 @@ SillySpec platform — SillyHub 平台同步
           const tokenIdx = args.indexOf('--token');
           const token = tokenIdx >= 0 && args[tokenIdx + 1] ? args[tokenIdx + 1] : undefined;
           if (!token) {
-            console.error('⚠️ 未提供 --token，将使用交互式输入（TODO: task-11）');
+            // 缺 token 直接终止（体检 HUB-02）：交互式输入尚未实现（task-11），此前
+            // 继续执行会把 undefined 序列化成字符串 "undefined" 写入 local.yaml，
+            // 报"连接成功"后所有同步持续 401（Bearer undefined）
+            console.error('❌ 缺少 --token <token>（交互式输入暂未实现）；请在 SillyHub 平台获取 token 后重试');
+            process.exit(1);
           }
           await syncModule.connect(url, token, dir);
           break;
@@ -1626,6 +1732,8 @@ SillySpec platform — SillyHub 平台同步
             console.error('❌ 必须恰好指定 --keep-local / --take-platform / --abort 之一');
             process.exit(1);
           }
+          // 位置参数变更名与 --change 同规格校验（SEC-05：resolve 会按该名重推/删冲突文件）
+          assertSafeChangeName(resolveName, 'platform resolve 变更名');
           const modeMap = { '--keep-local': 'keep-local', '--take-platform': 'take-platform', '--abort': 'abort' };
           const resolveMode = modeMap[resolveFlags[0]];
           const r = await syncModule.resolve(resolveName, resolveMode, dir);
@@ -1673,6 +1781,71 @@ SillySpec platform — SillyHub 平台同步
       }
       break;
     }
+    case 'taskcard': {
+      const tcName = filteredArgs.slice(1).find(a => !a.startsWith('-'));
+      if (!tcName || tcName === 'help' || tcName === '--help' || tcName === '-h') {
+        console.log(`
+SillySpec taskcard — 生成 Windows 安全的 TaskCard 骨架
+
+用法:
+  sillyspec taskcard <change-name> --task task-01[,task-02...] [--title <t>] [--title-zh <t>] [--force]
+  sillyspec taskcard <change-name> --all [--force]
+
+骨架由 CLI 直写（LF 行尾 + frontmatter 闭合 + 硬校验 9 字段齐全），标题自动取自 plan.md
+checkbox 行；之后用 Edit 填充占位符即可，勿手写整卡（CRLF/漏闭合 ---/漏字段的源头治理）。
+`);
+        break;
+      }
+      try { assertSafeChangeName(tcName, '变更名'); }
+      catch (e) { console.error(`❌ ${e.message}`); process.exit(2); }
+
+      const force = filteredArgs.includes('--force');
+      const all = filteredArgs.includes('--all');
+      const getVal = (flag) => {
+        const idx = filteredArgs.indexOf(flag);
+        return idx !== -1 && filteredArgs[idx + 1] && !filteredArgs[idx + 1].startsWith('-')
+          ? filteredArgs[idx + 1] : null;
+      };
+      const taskVal = getVal('--task');
+      const titleVal = getVal('--title');
+      const titleZhVal = getVal('--title-zh');
+
+      if (all && taskVal) {
+        console.error('❌ --all 与 --task 互斥（--all 取 plan.md 全部任务，--task 显式指定）');
+        process.exit(1);
+      }
+      if (!all && !taskVal) {
+        console.error('❌ 用法: sillyspec taskcard <change-name> --task task-01[,task-02...] | --all [--force]');
+        process.exit(1);
+      }
+
+      let taskIds;
+      if (all) {
+        taskIds = 'all';
+      } else {
+        const { normalizeTaskId } = await import('./taskcard.js');
+        try {
+          taskIds = taskVal.split(',').map(s => s.trim()).filter(Boolean).map(normalizeTaskId);
+        } catch (e) {
+          console.error(`❌ ${e.message}`);
+          process.exit(1);
+        }
+      }
+
+      const { cmdTaskcard } = await import('./taskcard.js');
+      try {
+        const result = cmdTaskcard(tcName, { cwd: dir, specDir, taskIds, title: titleVal, titleZh: titleZhVal, force });
+        for (const f of result.created) console.log(`✅ 已生成: ${f}`);
+        for (const f of result.skipped) console.log(`⏭️  已存在，跳过（--force 覆盖）: ${f}`);
+        if (result.created.length > 0) {
+          console.log(`   下一步：用 Edit tool 填充占位符（allowed_paths/goal/implementation/acceptance/verify/constraints），勿用 Write 整文件重写。`);
+        }
+      } catch (e) {
+        console.error(`❌ ${e.message}`);
+        process.exit(1);
+      }
+      break;
+    }
     case 'change-rename': {
       const oldName = filteredArgs[1];
       const newName = filteredArgs[2];

package/src/init.js

@@ -5,6 +5,7 @@ import { checkbox, confirm, input } from '@inquirer/prompts';
 import { ProgressManager } from './progress.js';
 import chalk from 'chalk';
 import { getVersion } from './version.js';
+import { gitQuiet } from './git-helper.js';
 import { renderExample } from './config-schema.js';
 // 向后兼容：getVersion 已抽到轻量 version.js（避免 index.js 为 --version 静态加载 init.js 的 inquirer 税），
 // 此处 re-export 保持 init.js 既有导出 API 不破坏（如 test/init-claude-injection.test.mjs）。
@@ -557,9 +558,9 @@ export async function cmdInit(projectDir, options = {}) {
 
           let repo = '';
           try {
-            const { execSync } = await import('child_process');
+            // QUAL-01 收口：裸 execFileSync → git-helper（safe.directory + 数组形式）
             const absPath = resolve(projectDir, subPath.trim() || `./${name.trim()}`);
-            repo = execSync('git remote get-url origin', { cwd: absPath, encoding: 'utf8', stdio: ['pipe', 'pipe', 'pipe'] }).trim();
+            repo = gitQuiet(absPath, ['remote', 'get-url', 'origin']) || '';
           } catch {}
 
           subprojects.push({ name: name.trim(), path: subPath.trim() || `./${name.trim()}`, role: role.trim(), repo });

package/src/local-detect.js

@@ -90,7 +90,15 @@ export function detectLocalYaml(workdir) {
 
   // 3. gradle
   if (existsSync(join(workdir, 'build.gradle'))) {
-    const gradlePrefix = existsSync(join(workdir, 'gradlew')) ? './gradlew' : 'gradle'
+    // Windows 上 cmd.exe 执行不了 ./gradlew（shell 脚本）——优先 gradlew.bat；
+    // 仅有 POSIX gradlew 且在 win32 时退回全局 gradle（体检 BUG-08）
+    const isWin = process.platform === 'win32'
+    let gradlePrefix = 'gradle'
+    if (isWin) {
+      gradlePrefix = existsSync(join(workdir, 'gradlew.bat')) ? 'gradlew.bat' : 'gradle'
+    } else {
+      gradlePrefix = existsSync(join(workdir, 'gradlew')) ? './gradlew' : 'gradle'
+    }
     return {
       project: { type: 'gradle' },
       commands: {

package/src/modules.js

@@ -1,6 +1,7 @@
 import { existsSync, readdirSync, readFileSync, writeFileSync } from 'fs';
 import { join } from 'path';
-import { DB } from './db.js';
+import { gitQuiet } from './git-helper.js';
+
 
 /**
  * 查找项目下的 _module-map.yaml 路径
@@ -114,8 +115,8 @@ export async function rebuildModuleMap(cwd, { force = false } = {}) {
   const now = new Date().toISOString().replace('T', ' ').slice(0, 19);
   let headCommit = '';
   try {
-    const { execSync } = await import('child_process');
-    headCommit = execSync('git rev-parse --short HEAD', { cwd, encoding: 'utf8', timeout: 5000 }).trim();
+    // QUAL-01 收口：走 git-helper 统一入口（safe.directory + 数组形式）
+    headCommit = gitQuiet(cwd, ['rev-parse', '--short', 'HEAD']) || '';
   } catch { /* ignore */ }
 
   let yaml = `schema_version: 2\n`;
@@ -193,8 +194,9 @@ export async function showModuleStatus(cwd) {
 
   const content = readFileSync(mapPath, 'utf8');
 
-  // 简单解析
-  const lines = content.split('\n');
+  // 简单解析（CRLF 兼容：坑 verify-modules-crlf-blanket-fallback 同类——`$` 锚定正则在
+  // Windows 编辑器写出的 CRLF 文件上模块条目全失配，模块数恒显示 0）
+  const lines = content.split(/\r?\n/);
   const modules = [];
   let currentModule = null;
   let needsReview = false;