sillyspec 3.26.5 → 3.26.7

package/.claude/skills/sillyspec-execute/SKILL.md

@@ -129,8 +129,8 @@ execute 还有**第二道**独立的 stage 级审查：除逐 task review.json
 - **local.yaml `repos:` 段**：在 `.sillyspec/local.yaml` 注册跨仓仓路径（`main` 不用注册，隐式=当前项目）：
   ```yaml
   repos:
-    sillyspec: C:/Users/qinyi/IdeaProjects/sillyspec
     shared-lib: ../shared-lib
+    tool-repo: C:/path/to/your/tool-repo
   ```
   task 卡 `repo:` 引用的 key 必须在此注册，否则 execute 启动 fail-closed 阻断（跨仓 apply 走错仓=数据所有权事故，配置错误不降级）。
 - **跨仓 task 的 `allowed_paths`**：指**相对跨仓仓根**的路径（非主仓根）。

package/.claude/skills/sillyspec-knowledge/SKILL.md

@@ -80,7 +80,7 @@ sillyspec knowledge inspect --id "generated/worktree-baseline-conflict"
     "zone": "manual",
     "path": "knowledge/patterns.md",
     "meta": {
-      "author": "qinyi",
+      "author": "<git-user>",
       "created_at": "2026-06-19T12:40:00+08:00",
       "updated_at": "2026-06-24T10:00:00+08:00"
     },

package/.claude/skills/sillyspec-plan/SKILL.md

@@ -100,8 +100,8 @@ plan 完成校验会检查：design 提到入口文件（cli.ts/main.ts/server.t
 
 ```yaml
 repos:
-  sillyspec: C:/Users/qinyi/IdeaProjects/sillyspec
   shared-lib: ../shared-lib
+  tool-repo: C:/path/to/your/tool-repo
 ```
 
 key = task 卡 `repo:` 引用名，value = 跨仓仓绝对路径（或相对主仓根的路径）。`main` 不用注册。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sillyspec",
-  "version": "3.26.5",
+  "version": "3.26.7",
   "description": "SillySpec CLI — 流程状态机，让 AI 严格按步骤来",
   "icon": "logo.jpg",
   "homepage": "https://sillyspec.ppdmq.top/",
@@ -31,9 +31,9 @@
     "@inquirer/prompts": "^7.10.1",
     "chalk": "^5.6.2",
     "chokidar": "^4.0",
-    "js-yaml": "^4.2.0",
+    "js-yaml": "^4.3.1",
     "open": "^10.1",
     "ora": "^9.3.0",
-    "ws": "^8.18"
+    "ws": "^8.21.3"
   }
 }

package/packages/dashboard/server/index.js

@@ -103,6 +103,13 @@ function isSillyspecPath(filePath) {
   return parts.includes('.sillyspec')
 }
 
+// 凭据/敏感运行时文件：local.yaml 含 SillyHub token（connect 明文写入），.plan.md.lock 等锁文件
+// 是并发原语非文档。/api/docs/content 无鉴权（仅 Origin 检查），这些文件绝不经 HTTP 暴露。
+function isCredentialPath(filePath) {
+  const base = basename(resolve(filePath)).toLowerCase()
+  return base === 'local.yaml' || base === 'local.yml' || base.endsWith('.lock') || base === 'sillyspec-platform.json'
+}
+
 function isViewableDocPath(filePath) {
   return /\.(md|markdown|mdx|html?|txt|log|json|ya?ml|toml|xml|csv)$/i.test(filePath)
 }
@@ -377,7 +384,7 @@ function startServer({ port = 3456, open: openBrowser = true } = {}) {
       }
       // Security: only allow reading viewable text documents under a .sillyspec tree.
       const normalizedPath = resolve(filePath)
-      if (!isSillyspecPath(normalizedPath) || !isViewableDocPath(normalizedPath)) {
+      if (!isSillyspecPath(normalizedPath) || !isViewableDocPath(normalizedPath) || isCredentialPath(normalizedPath)) {
         res.writeHead(403)
         res.end(JSON.stringify({ error: 'Access denied' }))
         return

package/src/db.js

@@ -93,8 +93,10 @@ export class DB {
    *  - 主库缺失/为空/损坏：尝试 .bak；成功则 warn 原因后 copy 回主库使用。
    *  - 都不可用：主库不存在→建全新空库；主库曾存在(空/损坏)→fail-loud 抛错(不静默建空库吞进度)。
    * node:sqlite 打开 0 字节文件不抛错：主库须 statSync 显式判空（截断信号→走回退，防静默吞进度）；
-   * .bak 作为恢复源只要存在且能打开即用（含 0 字节空库——node:sqlite 视其为合法空库，
-   * 生产环境 .bak 由原子写改名上一完整主库得来，永不为 0 字节，0 字节态仅出现在测试构造）。
+   * .bak 作为恢复源只要存在且能打开即用（含 0 字节空库——node:sqlite 视其为合法空库）。
+   * 注：node:sqlite 提交即持久化，不再写前备份主 .bak（sql.js 时代 _save/_atomicWriteSync 已随
+   * 2026-08-11 迁移移除）；此恢复分支是向后兼容兜底，仅对 sql.js 时代遗留的 .bak 生效，
+   * 全新 node:sqlite 项目不产生主 .bak）。
    */
   _openWithFallback() {
     const bakPath = `${this.dbPath}.bak`;

package/src/fs-atomic.js

@@ -4,8 +4,8 @@
  * 用于 .runtime/*.json、pointer、guard.json 等「会被其他进程 / hook 读取」的配置文件。
  * 保证读者要么看到旧完整内容、要么看到新完整内容，不会读到半截 JSON。
  *
- * 注意：db.js 有自己的 _atomicWriteSync（含 .bak 备份），那是 DB 专属持久化逻辑，
- * 已经过稳定性验证，此处不复用、不替换——保持 db.js 零改动。
+ * 注意：DB 持久化由 node:sqlite 引擎承担（提交即落盘 sillyspec.db + WAL 侧车），
+ * 不经此处的 writeAtomicSync；sillyspec.db 不走原子写改名。
  */
 import { writeFileSync, renameSync, unlinkSync } from 'fs';
 import { dirname, basename, join } from 'path';

package/src/index.js

@@ -247,6 +247,8 @@ async function main() {
       // 解析 --change 参数
       const progChangeIdx = args.indexOf('--change');
       const progChangeName = progChangeIdx >= 0 && args[progChangeIdx + 1] ? args[progChangeIdx + 1] : null;
+      // 与 run 入口同源消毒（防路径穿越；progress 下游 completeStage 写 history 文件名拼 change 名）
+      if (progChangeName) assertSafeChangeName(progChangeName, '--change 变更名');
 
       switch (subCommand) {
         case 'init':
@@ -353,6 +355,8 @@ async function main() {
         console.error('用法: sillyspec gate <stage> --change <name> [--json]\n  stage: brainstorm | plan | execute | verify | archive | ...');
         process.exit(2);
       }
+      // 与 run 入口同源消毒（防路径穿越；gate 下游拼 marker/changes 路径）
+      assertSafeChangeName(gateChange, '--change 变更名');
       const { runGate } = await import('./machine-interface.js');
       // --spec-dir 透传 runGate.specBase（gate CLI 接线修复，P3 坑 3 sillyspec 侧）。
       // runGate 已分离 cwd(跑测试) + specBase(读 local.yaml/spec)，但 gate case 之前
@@ -407,6 +411,8 @@ async function main() {
         console.error('用法: sillyspec derive <facet> --change <name> [--json]\n  facet: execute-evidence | verify-test | task-reviews | artifacts');
         process.exit(2);
       }
+      // 与 run 入口同源消毒（防路径穿越；derive 下游拼 marker/changes 路径）
+      assertSafeChangeName(deriveChange, '--change 变更名');
       const { runDerive } = await import('./machine-interface.js');
       // --spec-dir 透传 runDerive.specBase（与 gate case 对称，P3 坑 3 sillyspec 侧）。
       // derive verify-test facet 内部同样调 runVerifyTestCheck 依赖 specBase，平台模式
@@ -454,6 +460,8 @@ async function main() {
         console.error('用法: sillyspec backfill-reviews --change <name> [--json] [--spec-dir <path>]\n  为手动补的 task 生成 review.json 草稿（cannot_verify），解 archive 客观完成度阻断');
         process.exit(2);
       }
+      // 与 run 入口同源消毒（防路径穿越；backfill 下游拼 marker/changes/review 路径）
+      assertSafeChangeName(brChange, '--change 变更名');
       const { generateTaskReviewDrafts } = await import('./task-review.js');
       // --spec-dir 透传 platformOpts.specRoot（与 gate/derive 对称）；不传走默认 join(cwd,'.sillyspec')。
       const brPlatformOpts = {};
@@ -504,6 +512,8 @@ async function main() {
         console.error('用法: sillyspec register-stage-review --change <名> --stage <brainstorm|plan|execute> [--from <review.json>] [--spec-dir <path>] [--json]\n  生成/adopt stage 级 review.json（docHash 自动算 + 写 marker），治 tier=independent marker 死锁');
         process.exit(2);
       }
+      // 与 run 入口同源消毒（防路径穿越；register 下游写 marker、拼 changes/review 路径）
+      assertSafeChangeName(rsrChange, '--change 变更名');
       const { registerStageReview } = await import('./stage-review.js');
       const rsrPlatformOpts = {};
       if (specDir) rsrPlatformOpts.specRoot = specDir;
@@ -1326,10 +1336,31 @@ SillySpec platform — SillyHub 平台同步
         }
         case 'resolve': {
           // task-13 / D-002 / D-010 / D-013 / FR-05：冲突解决三选一（绝不字段级 auto-merge）
-          const resolveName = platformArgs[0];
+          // 变更名解析（顺序）：--change <name>（与 pull/sync 兄弟命令写法一致）→ platformArgs 中
+          // 第一个非 flag 位置参数 → 唯一未决冲突自动选中。修复：旧实现盲取 platformArgs[0]，
+          // flag 放前面时（resolve --keep-local --change x）把 '--keep-local' 当变更名去读冲突文件。
+          const changeIdx = args.indexOf('--change');
+          let resolveName = changeIdx >= 0 && args[changeIdx + 1] ? args[changeIdx + 1] : null;
           if (!resolveName) {
-            console.error('❌ 用法: sillyspec platform resolve <change-name> <--keep-local|--take-platform|--abort>');
-            process.exit(1);
+            resolveName = platformArgs.find((a) => a && !a.startsWith('--')) || null;
+          }
+          if (!resolveName) {
+            // 无变更名：恰有一个未决冲突时自动选中，多个/零个则列出候选
+            const pendingConflicts = syncModule.listConflictFiles(dir);
+            if (pendingConflicts.length === 1) {
+              resolveName = pendingConflicts[0].change;
+              console.log(`ℹ️ 自动选中唯一未决冲突: ${resolveName}`);
+            } else {
+              console.error('❌ 用法: sillyspec platform resolve <change-name> <--keep-local|--take-platform|--abort>');
+              console.error('   或: sillyspec platform resolve --change <name> <--keep-local|--take-platform|--abort>');
+              if (pendingConflicts.length > 1) {
+                console.error(`   现有 ${pendingConflicts.length} 个未决冲突，请指定变更名:`);
+                for (const c of pendingConflicts) console.error(`   - ${c.change}`);
+              } else {
+                console.error('   当前无 sync-conflict 文件（可先运行 sillyspec platform status 查看）');
+              }
+              process.exit(1);
+            }
           }
           // 解析 mode flag（三选一互斥，多传/不传均报错）
           const resolveFlags = ['--keep-local', '--take-platform', '--abort'].filter((f) => args.includes(f));
@@ -1344,6 +1375,12 @@ SillySpec platform — SillyHub 平台同步
             console.log(`✅ ${resolveName} [${resolveMode}]: ${r.reason}`);
           } else {
             console.error(`❌ ${resolveName}: ${r.reason}`);
+            // 报错兜底：指定变更名无冲突文件时，列出 .runtime 下实际存在的冲突文件（防 flag 误当变更名再次误导）
+            const pendingConflicts = syncModule.listConflictFiles(dir);
+            if (pendingConflicts.length > 0 && !pendingConflicts.some((c) => c.change === resolveName)) {
+              console.error('   当前未决冲突:');
+              for (const c of pendingConflicts) console.error(`   - ${c.change}`);
+            }
             process.exit(1);
           }
           break;
@@ -1673,7 +1710,7 @@ SillySpec config — local.yaml 配置键速查
       // 已知产物 → 用途说明。agent 据此判断每份产物能否作为证据/该读哪个。
       const KNOWN = {
         'sillyspec.db': '进度库 SQLite（stages/steps/changes 表）',
-        'sillyspec.db.bak': '进度库备份（写前快照）',
+        'sillyspec.db.bak': '进度库备份（sql.js 时代写前快照遗留，node:sqlite 不再写入，仅 _openWithFallback 向后兼容恢复用）',
         'sillyspec.db.schema-version': '进度库 schema 版本标记',
         'doctor-diagnosis.json': 'doctor --json 结构化诊断快照',
         'doctor-dumps': 'doctor --dump-db 取证输出目录',

package/src/progress/stage-machine.js

@@ -3,7 +3,7 @@
 // 调 pm.read/_write/_ensureDB/_getSpecDir/readGlobal/_runtimePath/listChanges/_appendAuditLog/
 // _renderBatchProgress（persistence-core + 其他组 delegate）。组内方法互调保持 this.X（同 class）。
 // completeStage 五层（resolve/validate/force/tx/history/print）整体搬迁，不拆流水线（保行为、最低风险）。
-import { mkdirSync } from 'fs';
+import { mkdirSync, existsSync } from 'fs';
 import { join, resolve, basename } from 'path';
 import { writeAtomicSync } from '../fs-atomic.js';
 import { runValidators } from '../stage-contract.js';
@@ -140,21 +140,27 @@ export class StageMachine {
     console.log('');
     console.log('  ═══════════════════════════════════════');
     console.log(`  项目: ${(global?.project) || basename(cwd) || '(未命名)'}`);
-    console.log(`  活跃变更: ${changes.length} 个`);
+    // 当前操作目标与活跃列表区分（坑 status-change-pointer-ambiguous）：多活跃时不带
+    // --change 的 run/progress 不隐式选任何一个（index.js --change 解析多活跃报错），明确
+    // 说出来，防止把残留空壳（default/quick-xxx/目录缺失记录）误当操作目标跑错 change。
+    console.log(`  当前操作目标: （多活跃——不带 --change 时不隐式选定，run 须显式 --change <name>）`);
+    console.log(`  活跃变更记录: ${changes.length} 个（下列为 DB 中存在的活跃记录，非操作目标）`);
     console.log('  ═══════════════════════════════════════');
     console.log('');
 
+    const changesRoot = join(this.pm._getSpecDir(cwd), 'changes');
     for (const cn of changes) {
       const data = this.pm.read(cwd, cn);
+      const dirMissing = !existsSync(join(changesRoot, cn));
       if (!data) {
-        console.log(`  📂 ${cn} — (无法读取)`);
+        console.log(`  📂 ${cn} — (无法读取)${dirMissing ? ' ⚠️ 目录缺失（残留记录，可用 doctor 清理）' : ''}`);
         continue;
       }
       const currentStage = data.currentStage || '(无)';
       const stageLabel = STAGE_LABELS[data.currentStage] || currentStage;
       const lastActive = data.lastActive ? this._timeAgo(data.lastActive) : '未知';
 
-      console.log(`  📂 ${cn}`);
+      console.log(`  📂 ${cn}${dirMissing ? ' ⚠️ 目录缺失（残留记录，可用 doctor 清理）' : ''}`);
       console.log(`     当前阶段: ${stageLabel}  最近活跃: ${lastActive}`);
       console.log('');
     }

package/src/quicklog.js

@@ -81,6 +81,14 @@ export function sanitizeDesc(description) {
   return s.length > 120 ? s.slice(0, 120) + '…' : s
 }
 
+// git user.name → 文件名安全形式：白名单保留字母数字._- 与中文等 Unicode 字，
+// 剥路径元字符（/ \ ..）与控制字符。防 QUICKLOG-<user>.md / 锁文件 / 轮转归档穿越写。
+export function sanitizeQuicklogUser(user) {
+  const s = String(user || '').replace(/[\\/\r\n\0]/g, '').replace(/\.{2,}/g, '.').trim()
+  if (!s) return ''
+  return s.length > 64 ? s.slice(0, 64) : s
+}
+
 // 从关联变更的 proposal/design 提取首个 # 标题（去「提案书（Proposal）— / 设计文档（Design）—」固定前缀）。
 // 让 quick --linked-changes 启动时（用户常不带 --input）也能拿到语义标题，而非 (quick 任务) 占位。
 // 读不到任何标题返回 ''（调用方再回退占位符，保持向后兼容）。
@@ -134,6 +142,9 @@ export function getQuickFileNotes() { return _pendingFileNotes }
  */
 export function parseFileNotes(raw) {
   if (!raw) return []
+  // note 单行化 + 限长：bullet 是「数组元素内嵌 \n」落盘（flipEntryInContent），note 带换行会伪造
+  // QUICKLOG 条目结构（\n## ql-… 可伪造后续条目头）。与 sanitizeDesc 同风格。
+  const sanitizeNote = (n) => n.replace(/[\r\n]+/g, ' ').trim().slice(0, 200)
   return String(raw)
     .split('||')
     .map((seg) => {
@@ -141,7 +152,7 @@ export function parseFileNotes(raw) {
       if (!s) return null
       const idx = s.indexOf('::')
       const path = (idx === -1 ? s : s.slice(0, idx)).replace(/\\/g, '/').trim()
-      const note = idx === -1 ? '' : s.slice(idx + 2).trim()
+      const note = idx === -1 ? '' : sanitizeNote(s.slice(idx + 2))
       return path ? { path, note } : null
     })
     .filter(Boolean)
@@ -234,7 +245,7 @@ async function rotateIfNeeded(userFile, gitUser) {
   const dateStr = lastDate
     ? `${lastDate.slice(0, 4)}-${lastDate.slice(4, 6)}-${lastDate.slice(6, 8)}`
     : nowDatetime().slice(0, 10)
-  const archiveFile = join(dirname(userFile), `QUICKLOG-${gitUser}-${dateStr}.md`)
+  const archiveFile = join(dirname(userFile), `QUICKLOG-${sanitizeQuicklogUser(gitUser) || 'unknown'}-${dateStr}.md`)
   // 同日已轮转过：两步各自原子化（append+clear 无法单原子，reader 容忍中间态——见 writeAtomic 注释）
   if (existsSync(archiveFile)) {
     const existing = readFileSync(archiveFile, 'utf8')
@@ -394,7 +405,9 @@ function flipEntryInContent(content, qlId, result, changedFiles = [], fileNotes
 export async function allocateQuicklogEntry(specBase, gitUser, { description, linkedChanges = [], allowedFiles = [] } = {}) {
   const quicklogDir = join(specBase, 'quicklog')
   mkdirSync(quicklogDir, { recursive: true })
-  const user = gitUser || 'unknown'
+  // git user.name 无字符限制，可含 / \ .. 等路径元字符（git config 或 .git/config 可控）——
+  // 白名单消毒防穿越写（QUICKLOG-<user>.md / 锁文件 / 轮转归档三处拼接），与 assertSafeChangeName 同风格
+  const user = sanitizeQuicklogUser(gitUser) || 'unknown'
   const userFile = join(quicklogDir, `QUICKLOG-${user}.md`)
   const lockPath = join(quicklogDir, `.QUICKLOG-${user}.md.lock`)
   const desc = sanitizeDesc(description)
@@ -437,7 +450,9 @@ export async function allocateQuicklogEntry(specBase, gitUser, { description, li
  */
 export async function completeQuicklogEntry(specBase, gitUser, qlId, { resultText = '', linkedChanges = [], changedFiles = [] } = {}) {
   const quicklogDir = join(specBase, 'quicklog')
-  const lockPath = join(quicklogDir, `.QUICKLOG-${(gitUser || 'unknown')}.md.lock`)
+  // 与 allocateQuicklogEntry 同源消毒：锁文件路径含 user（防穿越写，两入口必须一致否则锁不上同一文件）
+  const user = sanitizeQuicklogUser(gitUser) || 'unknown'
+  const lockPath = join(quicklogDir, `.QUICKLOG-${user}.md.lock`)
   const result = sanitizeResult(resultText)
   const linked = Array.isArray(linkedChanges) ? linkedChanges : []
   // 实际改动文件（调用方 complete-handlers 已用 isQuickMetadata 过滤 quick 自身元数据）。空 → 不动文件行。

package/src/review-tier.js

@@ -13,8 +13,9 @@
  *   - tier=self         → 当前 agent 自审，CLI 放行（不要求 review.json）
  *   - tier=independent  → 强制独立审查子代理 + review.json，CLI 硬校验
  *
- * CLI 侧（run.js done gate）与 prompt 注入侧用同一个函数，保证两边判定一致——
- * 不信 agent 自报 tier。
+ * CLI 侧（run.js done gate）与 prompt 注入侧用同一个函数，保证两边判定一致。
+ * 判定权归 agent 的 plan_level 自主判断（CLI 只做确定性映射，见 classifyReviewTier 注释）；
+ * 无 plan_level 的阶段才退文件数启发式。
  */
 
 import { parseFileChangeList } from './change-list.js'
@@ -28,14 +29,21 @@ export const SELF_REVIEW_FILE_THRESHOLD = 3
 /**
  * 审查分级
  *
+ * 判定权归 agent 的 plan_level 判定（2026-08-14 tier-plan-level 改造）：plan_level 是 agent
+ * 在 plan step1 按 prompt 分级规则做的自主判断，tier 直接映射它——CLI 不再用文件数启发式
+ * 推翻 agent 判定（此前 light + 4 文件会被文件数强制 independent，两套标准打架且不透明，
+ * 实证：agent 判 light 自审通过，完成时 CLI 按 7 文件强制 independent review.json）。
+ *
  * 判定顺序（短路）：
- *   1. plan_level === 'none'                          → self（极小变更）
- *   2. design.md 变更文件数 ≤ SELF_REVIEW_FILE_THRESHOLD → self
- *   3. 否则                                            → independent
+ *   1. plan_level === 'none'  → self（极小变更）
+ *   2. plan_level === 'light' → self（agent 自主判定轻量，自审）
+ *   3. plan_level === 'full'  → independent（full 语义即大变更需独立审查，CLI 确定性强制）
+ *   4. 无 plan_level（brainstorm 等阶段 plan.md 未生成）→ 退文件数启发式：
+ *      design.md 变更文件数 ≤ SELF_REVIEW_FILE_THRESHOLD → self，否则 independent
  *
- * fail-safe：designPath 传了但解析不到文件清单（fileCount=0）按字面 0 处理（真无文件
- * 变更 = 极小）；designPath 完全没传（fileCount=null，无法证明规模）→ independent
- * （宁严勿松）。
+ * fail-safe：无 plan_level 且 designPath 传了但解析不到文件清单（fileCount=0）按字面 0
+ * 处理（真无文件变更 = 极小）；designPath 完全没传（fileCount=null，无法证明规模）→
+ * independent（宁严勿松）。
  *
  * @param {object} [opts]
  * @param {string} [opts.planLevel] - plan_level 分类结果（none/light/full）。brainstorm/propose 在 plan 之前，可能拿不到。
@@ -44,7 +52,13 @@ export const SELF_REVIEW_FILE_THRESHOLD = 3
  */
 export function classifyReviewTier({ planLevel, designPath } = {}) {
   if (planLevel === 'none') {
-    return { tier: 'self', reason: `plan_level=none（极小变更，≤${SELF_REVIEW_FILE_THRESHOLD} 文件等价）`, fileCount: null }
+    return { tier: 'self', reason: 'plan_level=none（极小变更，agent 自主判定自审）', fileCount: null }
+  }
+  if (planLevel === 'light') {
+    return { tier: 'self', reason: 'plan_level=light（agent 自主判定轻量变更，自审）', fileCount: null }
+  }
+  if (planLevel === 'full') {
+    return { tier: 'independent', reason: 'plan_level=full（agent 自主判定大变更，独立审查防确认偏差）', fileCount: null }
   }
 
   let fileCount = null
@@ -53,13 +67,11 @@ export function classifyReviewTier({ planLevel, designPath } = {}) {
   }
 
   if (fileCount !== null && fileCount <= SELF_REVIEW_FILE_THRESHOLD) {
-    return { tier: 'self', reason: `变更文件 ${fileCount} ≤ ${SELF_REVIEW_FILE_THRESHOLD}`, fileCount }
+    return { tier: 'self', reason: `无 plan_level，变更文件 ${fileCount} ≤ ${SELF_REVIEW_FILE_THRESHOLD}（启发式）`, fileCount }
   }
 
   const reason = fileCount === null
-    ? (planLevel
-        ? `plan_level=${planLevel}，无法解析变更文件数，按正常规模处理`
-        : '无法解析 design.md 变更文件清单，按正常规模处理')
-    : `变更文件 ${fileCount} > ${SELF_REVIEW_FILE_THRESHOLD}`
+    ? '无法解析 design.md 变更文件清单，按正常规模处理（fail-safe）'
+    : `无 plan_level，变更文件 ${fileCount} > ${SELF_REVIEW_FILE_THRESHOLD}（启发式）`
   return { tier: 'independent', reason, fileCount }
 }

package/src/run/complete.js

@@ -12,13 +12,17 @@
  * 依赖（completeStep 仅用已抽叶子 + 随搬 helper，零 run.js 闭包，零动态 import）：
  *   - shared.js: triggerSync/WAIT_MARKER_RE/getStageSteps；prompt.js: outputStep；gates.js: enforceDepsGate/runStageCompletionGates
  *   - complete-handlers.js: 8 handler；stages/index.js: stageRegistry；worktree-apply.js: formatExecuteSummary
+ *   - scan-profile.js: executeScanPreflight/executeScanPostcheck/computeScanProfile（noAI 硬门）
+ *   - stages/plan-postcheck.js: executePlanPostcheck（noAI 硬门）
  *   - node: join(path) + existsSync/readdirSync/readFileSync/mkdirSync/writeFileSync/appendFileSync/statSync(fs)
  */
 import { join } from 'node:path'
 import { existsSync, readFileSync, mkdirSync, writeFileSync, appendFileSync } from 'node:fs'
 import { writeAtomicSync } from '../fs-atomic.js'
 import { withFileLock } from '../quicklog.js'
-import { triggerSync, WAIT_MARKER_RE, getStageSteps, formatWaitOptions, resolveRuntimeRoot, getOrCreateMultiRepoContext } from './shared.js'
+import { triggerSync, WAIT_MARKER_RE, getStageSteps, formatWaitOptions, resolveRuntimeRoot, getOrCreateMultiRepoContext, resolveChangeDir } from './shared.js'
+import { executeScanPreflight, executeScanPostcheck, computeScanProfile } from './scan-profile.js'
+import { executePlanPostcheck as runPlanPostcheckLib } from '../stages/plan-postcheck.js'
 import { outputStep } from './prompt.js'
 import { enforceDepsGate, enforceReviewJsonGate, completeStageGates, readDesignScale } from './gates.js'
 import { handleArchiveConfirmStep, handlePlanGeneratePlanStep, handleScanProjectListStep, handleWorkflowPostCheck, handleQuickStageCompletion, handleExecuteWaveArtifact } from './complete-handlers.js'
@@ -60,6 +64,32 @@ export function resolveWaitingStepWithAnswer(steps, doneAnswer, nowStr) {
   return waitIdx
 }
 
+/**
+ * wait 选项单选校验（坑 wait-choice-enforcement）：定义了 waitOptions 的 requiresWait/
+ * repeatableWait 步骤，--answer 必须命中预设选项之一——防止 agent 一句话代答绕过人工
+ * 选择（方案选择类 wait 的 answer 本就该是选项本身）。开放回答型步骤（澄清追问，answer
+ * 为自由文本）在 step 定义显式声明 waitFreeAnswer: true 豁免。
+ * 校验失败打印选项清单 + exit 1（fail-loud，与 requiresWait 门同风格）。
+ *
+ * waitOptions 优先取 stepDef（运行时构建的步骤定义，与 brainstorm/plan 静态定义同源），
+ * 回退 DB step entry（--continue 路径 waiting 步骤的 waitOptions 已落盘）。
+ */
+function enforceWaitChoice(stepDef, stepEntry, answer, stageName, changeName) {
+  if (answer == null) return
+  const opts = Array.isArray(stepDef?.waitOptions) ? stepDef.waitOptions
+    : (Array.isArray(stepEntry?.waitOptions) ? stepEntry.waitOptions : null)
+  if (!opts || opts.length === 0) return
+  if (stepDef?.waitFreeAnswer === true) return
+  if (opts.includes(answer)) return
+  console.error(`❌ Step "${stepEntry?.name || '当前步骤'}" 是封闭单选 wait，--answer 必须命中预设选项之一（防 AI 代答绕过人工选择）。`)
+  console.error(`   你的 --answer: ${JSON.stringify(answer)}`)
+  console.error(`   可选值（复制其一）: ${opts.join(' / ')}`)
+  console.error(`   自由文本回答的场景，该步骤应声明 waitFreeAnswer（当前未声明）。`)
+  if (changeName) console.error(`   重试：sillyspec run ${stageName} --done --answer "<选项>" --change ${changeName}`)
+  else console.error(`   重试：sillyspec run ${stageName} --done --answer "<选项>"`)
+  process.exit(1)
+}
+
 export async function completeStep(pm, progress, stageName, cwd, outputText, inputText = null, options = {}) {
   const { printNext = true, confirm = false, changeName, platformOpts = {}, nonInteractive = false, isForceBaseline = false, isAllowNew = false, isAllowDelete = false } = options
   const specBase = platformOpts.specRoot || join(cwd, '.sillyspec')
@@ -118,6 +148,10 @@ export async function completeStep(pm, progress, stageName, cwd, outputText, inp
   const defStepsForCurrent = await getStageSteps(stageName, cwd, progress, platformOpts?.specRoot || null)
   const currentStepDef = defStepsForCurrent?.[currentIdx] || {}
   const currentStep = steps[currentIdx]
+  // --done --answer 解 waiting 的路径同样过单选校验（与下方 requiresWait doneAnswer 分支同规则）
+  if (_resolvedWaitIdx !== -1 && _doneAnswer) {
+    enforceWaitChoice(currentStepDef, currentStep, _doneAnswer, stageName, changeName)
+  }
   if (currentStepDef.requiresWait === true && !currentStep.waitAnswer) {
     // 检查 --done 是否带了 --answer：如果是，自动补全 waitAnswer 状态，一步完成
     const doneAnswer = typeof options !== 'undefined' && options.doneAnswer ? options.doneAnswer : null
@@ -134,6 +168,7 @@ export async function completeStep(pm, progress, stageName, cwd, outputText, inp
       currentStep.waitReason = currentStepDef.waitReason || '等待用户输入'
       console.log(`⚠️  Step "${currentStep.name}" 的确认（${currentStepDef.waitReason}）已在前置步骤完成，自动跳过。`)
     } else if (doneAnswer) {
+      enforceWaitChoice(currentStepDef, currentStep, doneAnswer, stageName, changeName)
       currentStep.status = 'waiting'
       currentStep.waitAnswer = doneAnswer
       currentStep.waitReason = currentStepDef.waitReason || '等待用户输入'
@@ -157,6 +192,27 @@ export async function completeStep(pm, progress, stageName, cwd, outputText, inp
   // 提前到每次 --done 校验（而非等 Task Review Gate 在整阶段收尾才暴露，迫使用户事后批量补）。
   await enforceReviewJsonGate(stageName, cwd, changeName, steps[currentIdx], steps, currentIdx, specBase, platformOpts)
 
+  // ── noAI 步骤硬门（坑 noai-done-bypass）：noAI 步骤的确定性校验不可被 --done 绕过 ──
+  // 正常路径 agent 跑 `run <stage>` 推进到 noAI step 时，runStage 自动执行 _cliAction
+  // （stage.js noAI 分支，不写 step output）；若 agent 对 noAI step 直接 --done，此前
+  // completeStep 无 noAI 检测直接标 completed，executePlanPostcheck 等 CLI 确定性校验被
+  // 静默跳过（实证：multi-agent-platform 2026-08-13-spec-sync-visibility tasks/ 从未
+  // 生成但 plan 阶段 completed——step4 output 为 agent 口吻 178 字符而非 CLI 自动路径的
+  // 空 output）。修复：--done 落到 noAI step 时同样执行 _cliAction，校验 throw →
+  // completeStep 不推进（step 保持 pending）。分支对齐 stage.js 的 noAI 自动执行。
+  const _isNoAIStep = currentStepDef.noAI === true || currentStep?.noAI === true
+  if (_isNoAIStep) {
+    const _cliAction = currentStepDef._cliAction || currentStep?._cliAction
+    console.log(`⚙️ Step ${currentIdx + 1}/${steps.length}: ${steps[currentIdx].name}（noAI，--done 路径执行 CLI 校验）`)
+    if (_cliAction === 'scanPreflight') {
+      await executeScanPreflight(cwd, platformOpts, stageData.scanProfile || computeScanProfile(cwd, platformOpts))
+    } else if (_cliAction === 'scanPostcheck') {
+      await executeScanPostcheck(cwd, platformOpts, stageData.scanProfile || computeScanProfile(cwd, platformOpts))
+    } else if (_cliAction === 'planPostcheck') {
+      await runPlanPostcheckLib({ cwd, specRoot: platformOpts?.specRoot, resolveChangeDir, progress })
+    }
+  }
+
   steps[currentIdx].status = 'completed'
   steps[currentIdx].completedAt = new Date().toLocaleString('zh-CN',{hour12:false})
   if (outputText) {
@@ -452,8 +508,14 @@ async function autoCheckPlanFromReviews({ stageName, changeName, cwd, platformOp
     if (!existsSync(planPath) || !existsSync(runIdFile)) {
       return { autoChecked: false, checkedCount: 0, skippedCount: 0 }
     }
-    const executeRunId = readFileSync(runIdFile, 'utf8').trim()
-    const { readReview } = await import('../task-review.js')
+    const c = readFileSync(runIdFile, 'utf8').trim()
+    const { readReview, isValidExecuteRunId } = await import('../task-review.js')
+    // marker 是 agent 可写内容：格式校验防注入/穿越，非法视为缺失（跳过 autoCheck，不误勾）
+    if (c && !isValidExecuteRunId(c)) {
+      console.warn(`⚠️ execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），跳过 review 自动勾选`)
+      return { autoChecked: false, checkedCount: 0, skippedCount: 0 }
+    }
+    const executeRunId = c
     // plan.md 是 agent 与 CLI 都会写的共享文件（agent 勾 checkbox、此处 autoCheck 也勾选）。
     // 读-改-写必须整体持锁（withFileLock 串行化多进程），否则并发 execute --done / 手动勾选互相覆盖
     // （后到者覆盖先到者）；写入用 writeAtomicSync（tmp+rename 原子），防 Windows 整文件覆盖被读半截
@@ -688,6 +750,7 @@ export async function continueStep(pm, progress, stageName, cwd, answer, options
   const prevOutput = currentStep.output || ''
   const waitRound = (currentStep.waitRound || 0) + 1
   currentStep.waitRound = waitRound
+  enforceWaitChoice(currentStepDef, currentStep, answer, stageName, changeName)
   currentStep.waitAnswer = answer
   currentStep.waitAnswers = Array.isArray(currentStep.waitAnswers) ? currentStep.waitAnswers : []
   currentStep.waitAnswers.push({

package/src/run/gates.js

@@ -115,9 +115,14 @@ export async function enforceReviewJsonGate(stageName, cwd, changeName, step, st
   const runIdFile = join(runtimeRoot, `current-execute-run-id-${changeName}`)
   const planPath = join(specBase, 'changes', changeName, 'plan.md')
   if (!existsSync(runIdFile) || !existsSync(planPath)) return true
+  const { validateCheckedTaskReviews, resolveLatestExecuteRunIdWithTasks, isValidExecuteRunId } = await import('../task-review.js')
   let executeRunId = readFileSync(runIdFile, 'utf8').trim()
+  // marker 是 agent 可写内容：格式校验防注入/穿越，非法视为缺失走漂移兜底重定位
+  if (executeRunId && !isValidExecuteRunId(executeRunId)) {
+    console.warn(`⚠️ execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(executeRunId.slice(0, 60))}），改扫真实 run 目录`)
+    executeRunId = ''
+  }
   const planContent = readFileSync(planPath, 'utf8')
-  const { validateCheckedTaskReviews, resolveLatestExecuteRunIdWithTasks } = await import('../task-review.js')
   // marker 漂移兜底（gate-atom-a 正确修法）：marker 指向的 run 缺 tasks/（generateExecuteRunId 只写
   // marker 不建目录，漂移后新 run 不继承旧 review）时，无视 marker 改扫 execute-runs/ 取 mtime 最新
   // 且真正含 tasks/ 的 run，用其齐备的 review.json 校验，避免误报「review.json 不存在」。注意不能用
@@ -333,12 +338,18 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
         const planContent = readFileSync(planPath, 'utf8')
         const runtimeRoot = resolveRuntimeRoot(platformOpts, effectiveSpecBase)
 
-        // execute run id：从变更专属标记文件读取
+        // execute run id：从变更专属标记文件读取（agent 可写内容，格式校验防注入/穿越）
         const runIdFile = join(runtimeRoot, `current-execute-run-id-${changeName}`)
         let executeRunId = ''
         try {
           if (existsSync(runIdFile)) {
-            executeRunId = readFileSync(runIdFile, 'utf8').trim()
+            const c = readFileSync(runIdFile, 'utf8').trim()
+            const { isValidExecuteRunId } = await import('../task-review.js')
+            if (c && !isValidExecuteRunId(c)) {
+              console.warn(`⚠️ execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），视为缺失回退扫描`)
+            } else {
+              executeRunId = c
+            }
           }
         } catch {}
         if (!executeRunId) {

package/src/run/prompt.js

@@ -24,7 +24,7 @@ import { stageRegistry } from '../stages/index.js'
 import { resolvePromptIncludes, resolveRuntimeRoot, safeGit, WAIT_MARKER_RE } from './shared.js'
 import { renderStageContract } from '../stage-contract-spec.js'
 import { parseModuleMapSimple } from '../modules.js'
-import { REVIEW_SCHEMA_VERSION } from '../task-review.js'
+import { REVIEW_SCHEMA_VERSION, isValidExecuteRunId } from '../task-review.js'
 
 /**
  * 从 _module-map.yaml 读取模块上下文索引
@@ -428,7 +428,14 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
     const runIdFile = join(runtimeRoot, `current-execute-run-id-${changeName}`)
     try {
       if (existsSync(runIdFile)) {
-        runId = readFileSync(runIdFile, 'utf8').trim()
+        const c = readFileSync(runIdFile, 'utf8').trim()
+        // marker 是 agent 可写内容，直接注入 prompt + 拼进 gate 读 review.json 的路径——
+        // 格式校验同时防提示词注入与路径穿越（对齐 stage-review marker 的前缀校验范式）
+        if (c && !isValidExecuteRunId(c)) {
+          console.warn(`[sillyspec] execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），视为缺失重新生成`)
+        } else {
+          runId = c
+        }
       }
     } catch {}
     if (!runId) {

package/src/run/stage.js

@@ -89,15 +89,20 @@ export async function runStage(pm, progress, stageName, cwd, changeName, skipApp
   // ── execute 阶段启动时固定 executeRunId（绑定变更名，避免跨变更复用） ──
   let currentExecuteRunId = null
   if (stageName === 'execute') {
-    const { generateExecuteRunId } = await import('../task-review.js')
+    const { generateExecuteRunId, isValidExecuteRunId } = await import('../task-review.js')
     const execSpecBase = platformOpts?.specRoot || join(cwd, '.sillyspec')
     const runtimeRoot = resolveRuntimeRoot(platformOpts, execSpecBase)
     const runIdFile = join(runtimeRoot, `current-execute-run-id-${changeName}`)
     mkdirSync(runtimeRoot, { recursive: true })
-    // 优先读取已有的变更专属标记文件
+    // 优先读取已有的变更专属标记文件（agent 可写内容，格式校验防注入/穿越，非法视为缺失重生成）
     try {
       if (existsSync(runIdFile)) {
-        currentExecuteRunId = readFileSync(runIdFile, 'utf8').trim()
+        const c = readFileSync(runIdFile, 'utf8').trim()
+        if (c && !isValidExecuteRunId(c)) {
+          console.warn(`⚠️ execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），重新生成`)
+        } else {
+          currentExecuteRunId = c
+        }
       }
     } catch {}
     if (!currentExecuteRunId) {

package/src/setup.js

@@ -1,6 +1,6 @@
 import { existsSync, readFileSync, writeFileSync, mkdirSync } from 'fs';
 import { join, dirname } from 'path';
-import { execSync } from 'child_process';
+import { execSync, execFileSync } from 'child_process';
 import chalk from 'chalk';
 import ora from 'ora';
 import { checkbox, input } from '@inquirer/prompts';
@@ -13,7 +13,9 @@ const MCP_TOOLS = [
     name: 'Context7',
     description: '查询最新库文档和 API 参考',
     command: 'npx',
-    args: ['-y', '@upstash/context7-mcp@latest'],
+    // 版本锁定（sec-c）：MCP server 常驻且有系统访问能力，@latest = trust-on-future-publish，
+    // 上游被攻破会直接进用户 AI 工具执行环境。升级走 setup 重跑。
+    args: ['-y', '@upstash/context7-mcp@4.0.2'],
     url: 'https://github.com/upstash/context7-mcp',
   },
   {
@@ -21,7 +23,7 @@ const MCP_TOOLS = [
     name: 'Chrome DevTools MCP',
     description: '浏览器自动化，支持 E2E 测试（需 Chrome 已运行）',
     command: 'npx',
-    args: ['chrome-devtools-mcp@latest'],
+    args: ['chrome-devtools-mcp@1.7.0'],
     url: 'https://github.com/ChromeDevTools/chrome-devtools-mcp',
   },
   {
@@ -29,7 +31,7 @@ const MCP_TOOLS = [
     name: 'Agent Browser (Vercel)',
     description: 'Rust 原生浏览器 CLI，token 消耗极低，50+ 命令覆盖导航/表单/截图/网络',
     command: 'npx',
-    args: ['@anthropic-ai/agent-browser@latest'],
+    args: ['agent-browser@0.34.0'],
     url: 'https://github.com/vercel-labs/agent-browser',
   },
   {
@@ -37,7 +39,7 @@ const MCP_TOOLS = [
     name: 'PinchTab',
     description: '12MB Go 二进制，零依赖，accessibility tree 极省 token，有 MCP 支持',
     command: 'npx',
-    args: ['pinchtab-mcp@latest'],
+    args: ['pinchtab-mcp@1.4.1'],
     url: 'https://github.com/pinchtab/pinchtab',
   },
 ];
@@ -50,7 +52,7 @@ const DB_MCP_TOOLS = [
     name: 'PostgreSQL',
     description: '只读访问 PostgreSQL 数据库',
     command: 'npx',
-    args: ['-y', '@modelcontextprotocol/server-postgres'],
+    args: ['-y', '@modelcontextprotocol/server-postgres@0.6.2'],
     envTemplate: { POSTGRES_CONNECTION_STRING: 'postgresql://user:password@localhost:5432/dbname' },
     url: 'https://github.com/modelcontextprotocol/servers/tree/main/src/postgres',
   },
@@ -59,7 +61,7 @@ const DB_MCP_TOOLS = [
     name: 'SQLite',
     description: '访问 SQLite 数据库文件',
     command: 'npx',
-    args: ['-y', '@modelcontextprotocol/server-sqlite'],
+    args: ['-y', 'mcp-server-sqlite@0.0.2'],
     envTemplate: { SQLITE_DB_PATH: './data.db' },
     url: 'https://github.com/modelcontextprotocol/servers/tree/main/src/sqlite',
   },
@@ -68,7 +70,8 @@ const DB_MCP_TOOLS = [
     name: 'MySQL / MariaDB',
     description: '访问 MySQL / MariaDB 数据库',
     command: 'npx',
-    args: ['-y', '@nicobailon/mysql-mcp-server'],
+    // 原 @nicobailon/mysql-mcp-server 已 404（包下架），换存在的 mysql-mcp-server（dpflucas，read-only）
+    args: ['-y', 'mysql-mcp-server@0.1.3'],
     envTemplate: { MYSQL_HOST: 'localhost', MYSQL_PORT: '3306', MYSQL_USER: 'root', MYSQL_PASSWORD: '', MYSQL_DATABASE: '' },
     url: 'https://github.com/modelcontextprotocol/servers',
   },
@@ -77,7 +80,7 @@ const DB_MCP_TOOLS = [
     name: 'Redis',
     description: '访问 Redis 数据库，查看缓存和键值数据',
     command: 'npx',
-    args: ['-y', '@modelcontextprotocol/server-redis'],
+    args: ['-y', '@modelcontextprotocol/server-redis@2025.4.25'],
     envTemplate: { REDIS_URL: 'redis://localhost:6379' },
     url: 'https://github.com/modelcontextprotocol/servers/tree/main/src/redis',
   },
@@ -353,6 +356,21 @@ export async function cmdSetup(dir, options = {}) {
       }
       writeMcpConfig(dir, path, config);
       spinner.succeed(`${tool} MCP 完成 (${allMcp.length} 个工具)`);
+      // 凭据提交风险提示（sec-c）：.claude/mcp.json / .cursor/mcp.json 是项目共享文件、通常随 git
+      // 提交，而 DB MCP 的 env 含明文连接串/密码。检测 git 跟踪状态，已跟踪/未忽略时显式警告。
+      if (selectedDb.length > 0) {
+        try {
+          execFileSync('git', ['-C', dir, 'ls-files', '--error-unmatch', path], { stdio: 'pipe' });
+          console.warn(chalk.yellow(`  ⚠️ ${path} 已被 git 跟踪——其中数据库连接串/密码会随提交进入仓库，建议加入 .gitignore 或改用环境变量`));
+        } catch {
+          // 未被跟踪：再查是否被 ignore；都不满足（未忽略未跟踪）时提示防止将来误提交
+          try {
+            execFileSync('git', ['-C', dir, 'check-ignore', '-q', path], { stdio: 'pipe' });
+          } catch {
+            console.warn(chalk.yellow(`  ⚠️ ${path} 含数据库连接串/密码且未被 .gitignore 忽略——提交前请先加入 .gitignore 或改用环境变量`));
+          }
+        }
+      }
     }
   }
 

package/src/sillyhub-mcp/client.js

@@ -20,10 +20,13 @@
  */
 
 import { readMcpConfig } from './config.js';
+import { getVersion } from '../version.js';
 
 const DEFAULT_TIMEOUT_MS = 10_000;
 // MCP streamable HTTP 协议版本（task 指定 2025-11-25）
 const MCP_PROTOCOL_VERSION = '2025-11-25';
+// 单次 RPC 返回哨兵：server 回 400 Missing session（session 未建立/过期）→ _sendRpc 重连重试
+const SESSION_EXPIRED = Symbol('SESSION_EXPIRED');
 
 export class SillyHubMcpClient {
   /**
@@ -38,9 +41,15 @@ export class SillyHubMcpClient {
     const cfg = readMcpConfig(workCwd);
     const u = url !== undefined ? url : (cfg?.url ?? '');
     const t = token !== undefined ? token : (cfg?.token ?? '');
-    // 去掉 url 尾部斜杠，便于后续稳定拼 /mcp/（跨平台：URL 一律用正斜杠，不用 path.join）
+    // 去 url 尾部斜杠，便于后续稳定拼 /mcp/（跨平台：URL 一律用正斜杠，不用 path.join）
     this._url = typeof u === 'string' ? u.replace(/\/+$/, '') : '';
     this._token = typeof t === 'string' ? t : '';
+    // 安全提示（sec-e 缓解）：url 来自 local.yaml（agent 可写），非 https 时 Bearer token 明文上线。
+    // 一次性 warn（构造时）不刷屏；本机 http://localhost 调试场景 warn 可接受。
+    if (this._url && !/^https:\/\//i.test(this._url) && !/^http:\/\/(localhost|127\.0\.0\.1|\[::1\])(:|\/|$)/i.test(this._url)) {
+      console.warn(`[sillyhub-mcp] mcp.url 非 https（${this._url.slice(0, 60)}），Bearer token 将明文传输——请确认为受控环境`);
+    }
+    this._token = typeof t === 'string' ? t : '';
     this._timeoutMs = typeof timeoutMs === 'number' && timeoutMs > 0
       ? timeoutMs
       : DEFAULT_TIMEOUT_MS;
@@ -49,6 +58,9 @@ export class SillyHubMcpClient {
     // 端点必须带尾斜杠
     this._endpoint = this._url ? `${this._url}/mcp/` : '';
     this._rpcId = 0;
+    // MCP streamable HTTP session 状态：惰性 initialize 后才有（见 _ensureSession）
+    this._sessionId = null;
+    this._sessionPromise = null;
   }
 
   // ── 内部辅助 ──
@@ -69,7 +81,15 @@ export class SillyHubMcpClient {
   }
 
   /**
-   * 发 JSON-RPC 请求（fetch/SSE/鉴权骨架，tools/call 与 tools/list 共用）。best-effort 不抛。
+   * 发 JSON-RPC 请求（fetch/SSE/鉴权/session 骨架，tools/call 与 tools/list 共用）。best-effort 不抛。
+   *
+   * MCP streamable HTTP（2025-11-25）要求先 initialize 拿 session，后续请求带
+   * Mcp-Session-Id header，否则 server 回 -32600 Missing session ID（2026-08-14 实测：
+   * SillyHub FastMCP v1.29 streamable_http_app 强制 session；此前本 client 直接发
+   * tools/call 无 session → 一律 400，probe 误判 daemon-unreachable）。本方法：
+   *   1. 惰性 _ensureSession（并发安全，仅 initialize 一次）；
+   *   2. _rpcOnce 发单次请求；
+   *   3. 遇 session 过期（400 Missing session）→ 重置重连重试一次。
    *
    * task-11 抽出：原 _callTool 的网络骨架；method/params 泛化——tools/call 带 {name,arguments}，
    * tools/list 带空 params。warn 文案用 label 作 tag（tools/call 传 toolName 保文案不变，
@@ -88,14 +108,43 @@ export class SillyHubMcpClient {
       return null;
     }
 
-    this._rpcId += 1;
-    const id = this._rpcId;
+    // 惰性 initialize + 过期重连（最多 2 次：首次 + 重试）
+    for (let attempt = 0; attempt < 2; attempt++) {
+      await this._ensureSession(quiet);
+      if (!this._sessionId) {
+        // initialize 失败（网络/非 2xx/无 session）→ best-effort 降级，不再发业务请求
+        if (!quiet) console.warn(`[sillyhub-mcp] ${tag} initialize 失败，跳过`);
+        return null;
+      }
+      this._rpcId += 1;
+      const result = await this._rpcOnce(method, params, { quiet, tag, id: this._rpcId });
+      if (result !== SESSION_EXPIRED) return result;
+      // session 过期（400 Missing session）→ 重置重连重试一次
+      if (!quiet) console.warn(`[sillyhub-mcp] ${tag} session 过期，重连重试`);
+      this._sessionId = null;
+      this._sessionPromise = null;
+    }
+    return null;
+  }
+
+  /**
+   * 发单次 JSON-RPC 请求（不管理 session）。返回 rpc.result；失败返回 null；
+   * 400 Missing session ID → 返回 SESSION_EXPIRED 哨兵（调用方 _sendRpc 据此重连重试）。
+   */
+  async _rpcOnce(method, params, { quiet, tag, id }) {
     const body = {
       jsonrpc: '2.0',
       id,
       method,
       params,
     };
+    const headers = {
+      Authorization: `Bearer ${this._token}`,
+      'Content-Type': 'application/json',
+      Accept: 'application/json, text/event-stream',
+      'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
+    };
+    if (this._sessionId) headers['Mcp-Session-Id'] = this._sessionId;
 
     const controller = new AbortController();
     const timer = setTimeout(() => controller.abort(), this._timeoutMs);
@@ -103,12 +152,7 @@ export class SillyHubMcpClient {
     try {
       res = await fetch(this._endpoint, {
         method: 'POST',
-        headers: {
-          Authorization: `Bearer ${this._token}`,
-          'Content-Type': 'application/json',
-          Accept: 'application/json, text/event-stream',
-          'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
-        },
+        headers,
         body: JSON.stringify(body),
         signal: controller.signal,
       });
@@ -127,11 +171,13 @@ export class SillyHubMcpClient {
     }
 
     if (!res.ok) {
-      if (!quiet) {
-        let detail = '';
-        try { detail = await res.text(); } catch { /* best effort */ }
-        console.warn(`[sillyhub-mcp] ${tag} → HTTP ${res.status} ${String(detail).slice(0, 200)}`);
+      let detail = '';
+      try { detail = await res.text(); } catch { /* best effort */ }
+      // session 未建立/过期：FastMCP 回 HTTP 400 + body 含 "Missing session ID"
+      if (res.status === 400 && detail.includes('Missing session')) {
+        return SESSION_EXPIRED;
       }
+      if (!quiet) console.warn(`[sillyhub-mcp] ${tag} → HTTP ${res.status} ${String(detail).slice(0, 200)}`);
       return null;
     }
 
@@ -167,6 +213,95 @@ export class SillyHubMcpClient {
     return rpc.result || null;
   }
 
+  /**
+   * 确保已建立 MCP session（惰性 initialize，并发安全）。已初始化直接返回 true；
+   * 初始化进行中则复用同一 promise。失败返回 false 且不留半成品状态。
+   * @param {boolean} [quiet] - 静默初始化失败警告（探测路径默认用）
+   * @returns {Promise<boolean>}
+   */
+  async _ensureSession(quiet = false) {
+    if (this._sessionId) return true;
+    if (this._sessionPromise) return this._sessionPromise;
+    this._sessionPromise = this._initialize(quiet).finally(() => { this._sessionPromise = null; });
+    return this._sessionPromise;
+  }
+
+  /**
+   * MCP initialize 握手：POST initialize → 从响应 header（或 body _meta）读 mcp-session-id。
+   * 成功存 this._sessionId；失败返回 false（best-effort，warn 不抛）。
+   *
+   * 注：协议要求 initialize 后发 notifications/initialized，本客户端只做探测
+   * （tools/list / 只读 tool），实测 FastMCP 不强制该通知即可用（2026-08-14 验证），
+   * 为省一次 RPC 不发；若未来 server 强校验再补。
+   * @returns {Promise<boolean>}
+   */
+  async _initialize(quiet = false) {
+    this._rpcId += 1;
+    const id = this._rpcId;
+    const body = {
+      jsonrpc: '2.0',
+      id,
+      method: 'initialize',
+      params: {
+        protocolVersion: MCP_PROTOCOL_VERSION,
+        capabilities: {},
+        // MCP 2025-11-25 协议要求 clientInfo 必含 name + version，缺 version FastMCP
+        // 回 -32602 Invalid request parameters（2026-08-14 实测锁定）
+        clientInfo: { name: 'sillyspec-cli', version: getVersion() },
+      },
+    };
+    const controller = new AbortController();
+    const timer = setTimeout(() => controller.abort(), this._timeoutMs);
+    let res;
+    try {
+      res = await fetch(this._endpoint, {
+        method: 'POST',
+        headers: {
+          Authorization: `Bearer ${this._token}`,
+          'Content-Type': 'application/json',
+          Accept: 'application/json, text/event-stream',
+          'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
+        },
+        body: JSON.stringify(body),
+        signal: controller.signal,
+      });
+    } catch (err) {
+      if (!quiet) {
+        const msg = err && err.message ? err.message : String(err);
+        console.warn(`[sillyhub-mcp] initialize 请求失败: ${msg}`);
+      }
+      return false;
+    } finally {
+      clearTimeout(timer);
+    }
+
+    if (!res.ok) {
+      if (!quiet) console.warn(`[sillyhub-mcp] initialize → HTTP ${res.status}`);
+      return false;
+    }
+
+    // 优先取 header mcp-session-id（FastMCP 实测返回）；缺失再查 body _meta.sessionId。
+    // ⚠️ 无论 header 是否有 session，都必须读完 body（消费 SSE 流）——FastMCP 在
+    // initialize 响应流未消费完时 session 未就绪，后续 tools/call 回 -32602
+    // "Invalid request parameters"（2026-08-14 实测：node 只读 header 不读 body 必现，
+    // python 读完 body 则过）。
+    let sid = res.headers.get('mcp-session-id');
+    let text = '';
+    try { text = await res.text(); } catch { /* best effort */ }
+    if (!sid && text) {
+      const rpc = this._parseSseResponse(text, id);
+      if (rpc && rpc.result && rpc.result._meta && typeof rpc.result._meta.sessionId === 'string') {
+        sid = rpc.result._meta.sessionId;
+      }
+    }
+    if (!sid) {
+      if (!quiet) console.warn('[sillyhub-mcp] initialize 响应无 mcp-session-id');
+      return false;
+    }
+    this._sessionId = sid;
+    return true;
+  }
+
   /**
    * 解析 SSE 响应：取含 JSON-RPC result/error 的事件；优先 id 精确匹配，否则取首个。
    * 事件间空行分隔；事件内 data: 行可多行，拼装时用 \n 连接。

package/src/stages/brainstorm-auto.js

@@ -66,6 +66,7 @@ export const definition = {
       maxWaitRounds: 5,
       waitReason: '等待用户回答需求问题',
       waitOptions: ['回答见--answer', '信息够了，进入设计'],
+      waitFreeAnswer: true, // 开放回答型：--answer 内容为自由文本（需求澄清回答），非封闭单选，豁免 enforceWaitChoice
       prompt: `分析需求，必要时追问，然后设计方案。
 
 ### 操作

package/src/stages/brainstorm.js

@@ -79,6 +79,7 @@ export const definition = {
       maxWaitRounds: 8,
       waitReason: '等待用户回答需求问题或澄清',
       waitOptions: ['回答见--answer', '信息够了，进入方案讨论'],
+      waitFreeAnswer: true, // 开放回答型：--answer 内容为自由文本（需求澄清回答），非封闭单选，豁免 enforceWaitChoice
       prompt: `通过对话探索需求细节、分析原型（如有）、判断拆分/批量、并对歧义点做需求澄清 Grill。本步骤合并了原有的对话探索、原型分析、需求范围评估、需求澄清 Grill 四个环节——按下方 A→D 顺序按需执行。提问遵守「一次只问一个」（见 D 节追问策略）：必须问的问题逐个问，能查代码/文档解决的不问；不要把多个歧义打包成一屏清单一次抛给用户（用户记不住、答不全，反而漏掉关键约束）；也不要为凑数把单个问题拖成多轮。
 
 ### A. 原型/设计图分析（如用户提供）

package/src/sync.js

@@ -27,9 +27,10 @@ const LOCAL_YAML = '.sillyspec/local.yaml';
 const CHANGES_DIR = '.sillyspec/changes';
 const REQUEST_TIMEOUT_MS = 10_000;
 
-// 未连接平台是本地独立用户的合法默认状态。sync / syncDocuments / checkApproval 由 run 流程
-// 在后台 best-effort 触发（每步完成、execute 阶段启动），未连接时默认静默跳过——不每步催连
-// 平台制造噪音（本地用户根本不需要平台）。需要排查同步行为时设 SILLYSPEC_DEBUG_SYNC=1。
+// 未连接平台是本地独立用户的合法默认状态。sync / checkApproval 由 run 流程在后台 best-effort
+// 触发（每步完成、execute 阶段启动）；syncDocuments 仅由手动 `sillyspec platform sync-docs`
+// 命令触发（index.js sync-docs 分支），run 流程不自动推文档。未连接时默认静默跳过——不每步
+// 催连平台制造噪音（本地用户根本不需要平台）。需要排查同步行为时设 SILLYSPEC_DEBUG_SYNC=1。
 function debugLog(msg) {
   if (process.env.SILLYSPEC_DEBUG_SYNC) console.warn(msg)
 }
@@ -136,6 +137,13 @@ function writeLocalYamlRaw(cwd, text) {
 }
 
 function parseSimpleYaml(content) {
+  // 剥 YAML 双/单引号包裹（connect 写侧 yamlStr 加引号防 # : 注入，读侧对称剥；无引号值零影响）
+  const unquote = (v) => {
+    if (v.length >= 2 && ((v.startsWith('"') && v.endsWith('"')) || (v.startsWith("'") && v.endsWith("'")))) {
+      return v.slice(1, -1);
+    }
+    return v;
+  };
   const result = {};
   let currentSection = null;
   for (const line of content.split('\n')) {
@@ -147,7 +155,7 @@ function parseSimpleYaml(content) {
       const m = trimmed.match(/^(\S+)\s*:\s*(.*)$/);
       if (m) {
         const key = m[1];
-        const val = m[2].trim();
+        const val = unquote(m[2].trim());
         if (val) {
           result[key] = val;
           currentSection = null;
@@ -159,7 +167,7 @@ function parseSimpleYaml(content) {
     } else if (currentSection) {
       const m = trimmed.match(/^(\S+)\s*:\s*(.*)$/);
       if (m && result[currentSection] && typeof result[currentSection] === 'object') {
-        result[currentSection][m[1]] = m[2].trim();
+        result[currentSection][m[1]] = unquote(m[2].trim());
       }
     }
   }
@@ -296,19 +304,24 @@ export class SyncManager {
 
     // 文本级改写 local.yaml：定向替换 platform 段，原文件注释/其他段/数组/深嵌套/CRLF 字节级保留
     // （旧 read-modify-write 经 parseSimpleYaml 丢注释+丢非扁平结构，round-trip 清空用户手填内容）。
+    // YAML 值加引号：token/url 含 # : 或首尾空白时裸写会破坏段结构或注入额外键（shpsync_ token
+    // 当前不含这些字符，防御性包裹零成本；parseSimpleYaml 读侧剥引号兼容）
+    const yamlStr = (v) => JSON.stringify(String(v));
     const platformEntries = [
-      `  url: ${normalizedUrl}`,
-      `  token: ${effectiveToken}`,
-      `  last_connected: ${new Date().toISOString()}`,
+      `  url: ${yamlStr(normalizedUrl)}`,
+      `  token: ${yamlStr(effectiveToken)}`,
+      `  last_connected: ${yamlStr(new Date().toISOString())}`,
     ];
     if (resolvedUser) {
-      platformEntries.push(`  user: ${resolvedUser}`);
+      platformEntries.push(`  user: ${yamlStr(resolvedUser)}`);
     }
     let text = readLocalYamlRaw(this.cwd);
     text = replaceTopLevelSection(text, 'platform', platformEntries.join('\n'));
-    // mcp 段同源假设（design §7.4）：复用 platform 的 url/token；用户已手填 mcp 段则保留不覆盖（R-09，文本级检测）
+    // mcp 段同源假设（design §7.4）：url 复用 platform 的 url；token 用原始 user 级 token
+    // （非换发的 effectiveToken——MCP 派发需 user 级权限，platform 段才是最小权限的 shpsync_）。
+    // 用户已手填 mcp 段则保留不覆盖（R-09，文本级检测）
     if (findTopLevelSectionRange(text, 'mcp') === null) {
-      text = replaceTopLevelSection(text, 'mcp', `  url: ${normalizedUrl}\n  token: ${token}`);
+      text = replaceTopLevelSection(text, 'mcp', `  url: ${yamlStr(normalizedUrl)}\n  token: ${yamlStr(token)}`);
     }
     writeLocalYamlRaw(this.cwd, text);
   }
@@ -390,8 +403,8 @@ export class SyncManager {
     if (baseTs) headers['X-SillySpec-Base-Ts'] = baseTs; // base_ts 乐观锁（NULL=首次同步不设，平台接受首次 push）
     headers['X-SillySpec-Pushed-At'] = pushedAt; // 平台存 last_pushed_at，作下次其他用户 push 的 base_ts 比对基准
 
-    // POST 到平台（带状态码版本：识别 409 冲突，读回平台最新 JSON）
-    const syncUrl = `${platform.url}/api/changes/${changeName}/progress`;
+    // POST 到平台（带状态码版本：识别 409 冲突，读回平台最新 JSON）。changeName encode 对齐 pull（:673）
+    const syncUrl = `${platform.url}/api/changes/${encodeURIComponent(changeName)}/progress`;
     const res = await fetchJsonWithStatus(syncUrl, {
       method: 'POST',
       headers,
@@ -475,7 +488,7 @@ export class SyncManager {
       return { synced: 0, errors: [...errors, '无可用文档'] };
     }
 
-    const docUrl = `${platform.url}/api/changes/${changeName}/documents`;
+    const docUrl = `${platform.url}/api/changes/${encodeURIComponent(changeName)}/documents`;
     const result = await fetchJson(docUrl, {
       method: 'POST',
       headers: {
@@ -510,7 +523,7 @@ export class SyncManager {
       return { status: 'pending', reason: '未指定变更名称' };
     }
 
-    const approvalUrl = `${platform.url}/api/changes/${changeName}/approval`;
+    const approvalUrl = `${platform.url}/api/changes/${encodeURIComponent(changeName)}/approval`;
     const result = await fetchJson(approvalUrl, {
       headers: { Authorization: `Bearer ${platform.token}` },
     });
@@ -924,6 +937,11 @@ export async function collectStatus(cwd) {
   return new SyncManager(cwd).collectStatus();
 }
 
+// 未决冲突文件列表便捷导出（index.js platform resolve 参数解析/报错兜底用，只读）
+export function listConflictFiles(cwd) {
+  return new SyncManager(cwd).listConflictFiles();
+}
+
 // TBD-hub-api: approve/reject 端点路径与请求体以 SillyHub 仓库实际 API 为准；
 // 对齐时只改本函数（_submitApproval），无需动 approve/reject 入口。
 /**

package/src/task-review.js

@@ -118,10 +118,16 @@ export function summarizeTaskCompletion({ changeDir, runtimeRoot, changeName })
       report: '⚠️ plan.md 未解析出任何 task-NN 条目（plan 可能未按规范写 checkbox 列表）。' }
   }
 
-  // runId 解析：marker → 扫描最新目录
+  // runId 解析：marker → 扫描最新目录（marker 是 agent 可写内容，格式校验防注入/穿越）
   let runId = null
   const marker = join(runtimeRoot, `current-execute-run-id-${changeName}`)
-  try { if (existsSync(marker)) runId = readFileSync(marker, 'utf8').trim() } catch {}
+  try {
+    if (existsSync(marker)) {
+      const c = readFileSync(marker, 'utf8').trim()
+      if (c && !isValidExecuteRunId(c)) console.warn(`[sillyspec] execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），忽略并回退目录扫描`)
+      if (isValidExecuteRunId(c)) runId = c
+    }
+  } catch {}
   if (!runId) {
     try {
       const runsDir = join(runtimeRoot, 'execute-runs')
@@ -657,6 +663,18 @@ export function generateExecuteRunId() {
   return `exec-${now.getFullYear()}-${pad(now.getMonth() + 1)}-${pad(now.getDate())}-${pad(now.getHours())}${pad(now.getMinutes())}${pad(now.getSeconds())}`
 }
 
+/**
+ * execute run id 格式校验：exec-YYYY-MM-DD-HHMMSS。
+ * marker 文件是 agent 可写内容，读回后既注入 prompt（{EXECUTE_RUN_ID}）又拼进
+ * join(runtimeRoot, 'execute-runs', runId) 路径——格式校验同时防提示词注入与路径穿越
+ * （对齐 stage-review marker 的 review- 前缀校验范式）。
+ * @param {string} runId
+ * @returns {boolean}
+ */
+export function isValidExecuteRunId(runId) {
+  return typeof runId === 'string' && /^exec-\d{4}-\d{2}-\d{2}-\d{6}$/.test(runId)
+}
+
 /**
  * 解析最新 execute run id：优先 current-execute-run-id-<changeName> marker；
  * marker 缺失/为空则扫描 execute-runs/ 下子目录、取 mtime 最新的（尽力定位已有 run）。
@@ -699,7 +717,13 @@ export function resolveLatestExecuteRunIdWithTasks({ runtimeRoot }) {
 
 export function resolveLatestExecuteRunId({ runtimeRoot, changeName }) {
   const marker = join(runtimeRoot, `current-execute-run-id-${changeName}`)
-  try { if (existsSync(marker)) { const c = readFileSync(marker, 'utf8').trim(); if (c) return c } } catch {}
+  try {
+    if (existsSync(marker)) {
+      const c = readFileSync(marker, 'utf8').trim()
+      if (c && !isValidExecuteRunId(c)) console.warn(`[sillyspec] execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），忽略并回退目录扫描`)
+      if (isValidExecuteRunId(c)) return c
+    }
+  } catch {}
   try {
     const runsDir = join(runtimeRoot, 'execute-runs')
     if (existsSync(runsDir)) {
@@ -758,7 +782,13 @@ export async function generateTaskReviewDrafts({ changeName, cwd, platformOpts =
   // exec-id：与 Task Review Gate（gates.js:269）/ autoCheckPlanFromReviews 同源
   const runIdFile = join(runtimeRoot, 'current-execute-run-id-' + changeName)
   let executeRunId = ''
-  try { if (existsSync(runIdFile)) executeRunId = readFileSync(runIdFile, 'utf8').trim() } catch {}
+  try {
+    if (existsSync(runIdFile)) {
+      const c = readFileSync(runIdFile, 'utf8').trim()
+      if (c && !isValidExecuteRunId(c)) console.warn(`[sillyspec] execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），视为缺失重新生成`)
+      if (isValidExecuteRunId(c)) executeRunId = c
+    }
+  } catch {}
   if (!executeRunId) {
     executeRunId = generateExecuteRunId()
     try { mkdirSync(runtimeRoot, { recursive: true }); writeFileSync(runIdFile, executeRunId + '\n') } catch {}
@@ -915,7 +945,8 @@ export function getLatestExecuteRunId(runtimeRoot) {
   try {
     if (existsSync(markerPath)) {
       const content = readFileSync(markerPath, 'utf8').trim()
-      if (content) return content
+      if (content && !isValidExecuteRunId(content)) console.warn(`[sillyspec] execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(content.slice(0, 60))}），忽略并回退目录扫描`)
+      if (isValidExecuteRunId(content)) return content
     }
   } catch {}
 

package/src/verify-postcheck.js

@@ -15,7 +15,7 @@
  *           测试，避免 monorepo 全量测试超 gate timeout。
  */
 
-import { execSync } from 'child_process'
+import { execSync, execFileSync } from 'child_process'
 import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'fs'
 import { join } from 'path'
 import { verifyApiParity } from './contract-matrix.js'
@@ -367,14 +367,28 @@ function runOneModule(name, testCommand, cwd, knownFailures = []) {
   }
 }
 
+// refSpec 来源 meta.json（agent 可写），仅放行 git ref/range 安全字符（含 HEAD~1..HEAD 类区间），
+// 防经 shell 的命令/参数注入。剥空白与引号/分号/反引号/$ 等 shell 元字符。
+// 注：允许 ".."/"../.."（相对路径 ref 语法上合法）不影响安全——execFileSync 数组形式下它只是
+// 一个 git rev 参数，git 自会报 not a valid ref，无 shell 解释面。
+function assertSafeRefSpec(refSpec) {
+  if (typeof refSpec !== 'string') return null
+  if (!/^[A-Za-z0-9._~/^-]+$/.test(refSpec)) return null
+  if (/~~/.test(refSpec)) return null // 连续 ~（垃圾串）
+  return refSpec
+}
+
 /**
  * 在指定 cwd 跑 `git diff --name-only <refSpec>`，返回相对仓库根的文件列表。
  * git 不可用 / 非仓库 / ref 无效 → 返回 null（调用方 fallback）。
  */
 function runGitDiffNameOnly(cwd, refSpec) {
   try {
-    const cmd = refSpec ? `git diff --name-only ${refSpec}` : 'git diff --name-only'
-    const out = execSync(cmd, {
+    const ref = refSpec ? assertSafeRefSpec(refSpec) : null
+    if (refSpec && !ref) return null
+    const args = ['diff', '--name-only']
+    if (ref) args.push(ref)
+    const out = execFileSync('git', args, {
       cwd,
       encoding: 'utf8',
       timeout: 30 * 1000,
@@ -392,8 +406,11 @@ function runGitDiffNameOnly(cwd, refSpec) {
  */
 function runGitDiffNameStatus(cwd, refSpec) {
   try {
-    const cmd = refSpec ? `git diff --name-status ${refSpec}` : 'git diff --name-status'
-    return execSync(cmd, {
+    const ref = refSpec ? assertSafeRefSpec(refSpec) : null
+    if (refSpec && !ref) return null
+    const args = ['diff', '--name-status']
+    if (ref) args.push(ref)
+    return execFileSync('git', args, {
       cwd,
       encoding: 'utf8',
       timeout: 30 * 1000,

package/src/worktree-deps.js

@@ -10,7 +10,7 @@
 
 import { existsSync, readFileSync, realpathSync } from 'fs';
 import { join } from 'path';
-import { execSync } from 'child_process';
+import { execSync, execFileSync } from 'child_process';
 import { createHash } from 'crypto';
 
 const LOCKFILES = ['pnpm-lock.yaml', 'package-lock.json', 'yarn.lock'];
@@ -118,10 +118,12 @@ function tryLink(mainNodeModules, linkPath) {
   }
   try {
     if (process.platform === 'win32') {
-      execSync(`mklink /J "${linkPath}" "${mainNodeModules}"`, { shell: 'cmd.exe', stdio: ['pipe', 'pipe', 'pipe'] });
+      // execFileSync 数组形式不经 shell：POSIX 双引号内 `/$() 会执行、cmd.exe 双引号内 %VAR% 仍展开，
+      // linkPath 含 local.yaml 模块 path，属项目内可配置值（安全收敛，与 git-helper 同范式）
+      execFileSync('cmd.exe', ['/c', 'mklink', '/J', linkPath, mainNodeModules], { stdio: ['pipe', 'pipe', 'pipe'] });
       return { ok: true, method: 'junction' };
     }
-    execSync(`ln -s "${mainNodeModules}" "${linkPath}"`, { stdio: ['pipe', 'pipe', 'pipe'] });
+    execFileSync('ln', ['-s', mainNodeModules, linkPath], { stdio: ['pipe', 'pipe', 'pipe'] });
     return { ok: true, method: 'symlink' };
   } catch (e) {
     return { ok: false, error: e.message };

package/src/worktree.js

@@ -813,7 +813,8 @@ export class WorktreeManager {
           try {
             if (process.platform === 'win32') {
               // Windows rmdir 删 junction（reparse point）不跟随目标，保护主 checkout
-              execSync(`rmdir "${wtNodeModules}"`, { shell: 'cmd.exe' });
+              // execFileSync 数组形式：路径含引号/特殊字符时不会经 shell 解析（安全收敛，与 git-helper 同范式）
+              execFileSync('cmd.exe', ['/c', 'rmdir', wtNodeModules]);
             } else {
               unlinkSync(wtNodeModules);
             }
@@ -946,7 +947,8 @@ export class WorktreeManager {
           if (isLink) {
             try {
               if (process.platform === 'win32') {
-                execSync(`rmdir "${wtNodeModules}"`, { shell: 'cmd.exe' });
+                // execFileSync 数组形式：不经 shell，防 meta.worktreePath 注入（安全收敛）
+                execFileSync('cmd.exe', ['/c', 'rmdir', wtNodeModules]);
               } else {
                 unlinkSync(wtNodeModules);
               }