sillyspec 3.26.6 → 3.26.8

package/src/run/stage.js

@@ -89,15 +89,20 @@ export async function runStage(pm, progress, stageName, cwd, changeName, skipApp
   // ── execute 阶段启动时固定 executeRunId（绑定变更名，避免跨变更复用） ──
   let currentExecuteRunId = null
   if (stageName === 'execute') {
-    const { generateExecuteRunId } = await import('../task-review.js')
+    const { generateExecuteRunId, isValidExecuteRunId } = await import('../task-review.js')
     const execSpecBase = platformOpts?.specRoot || join(cwd, '.sillyspec')
     const runtimeRoot = resolveRuntimeRoot(platformOpts, execSpecBase)
     const runIdFile = join(runtimeRoot, `current-execute-run-id-${changeName}`)
     mkdirSync(runtimeRoot, { recursive: true })
-    // 优先读取已有的变更专属标记文件
+    // 优先读取已有的变更专属标记文件（agent 可写内容，格式校验防注入/穿越，非法视为缺失重生成）
     try {
       if (existsSync(runIdFile)) {
-        currentExecuteRunId = readFileSync(runIdFile, 'utf8').trim()
+        const c = readFileSync(runIdFile, 'utf8').trim()
+        if (c && !isValidExecuteRunId(c)) {
+          console.warn(`⚠️ execute run marker 内容非法（期望 exec-YYYY-MM-DD-HHMMSS，实得 ${JSON.stringify(c.slice(0, 60))}），重新生成`)
+        } else {
+          currentExecuteRunId = c
+        }
       }
     } catch {}
     if (!currentExecuteRunId) {

package/src/scan-staleness.js

@@ -0,0 +1,90 @@
+/**
+ * scan-staleness — scan 文档漂移检测（债单 D-7 方案 A，change: 2026-08-15 ql-20260815-013）
+ *
+ * 原则（doc-consistency-debt 第六节用户裁决）：CLI 算事实注入——git 算出 scan 文档落后程度，
+ * 注入给 agent 的是一行结论不是一段劝说指令。brainstorm「加载项目上下文」读 scan 文档前
+ * 就知道"我读的架构描述可能过期"，不再盲信。
+ *
+ * 判定口径：scan 文档 frontmatter 的 source_commit（modules.js 写入、worktree-guard 覆盖
+ * 保护同源字段）vs 当前 HEAD——`git rev-list --count <source_commit>..HEAD` + 提交时间差。
+ * 纯读操作（git 只读 + frontmatter 解析），任何失败降级 null（advisory 信号不阻断流程）。
+ */
+import { existsSync, readFileSync, readdirSync } from 'node:fs'
+import { join } from 'node:path'
+import { safeGit } from './git-helper.js'
+
+/** 漂移阈值（commit 数 / 天数，超过任一即 stale；advisory 性质允许保守默认） */
+export const STALENESS_THRESHOLDS = { commits: 50, days: 14 }
+
+/**
+ * 纯函数：从 scan 文档内容解析 frontmatter 的 source_commit。
+ * @param {string} content 文档全文
+ * @returns {string|null} commit hex（短/长均可）；无字段/无 frontmatter → null
+ */
+export function parseSourceCommit(content) {
+  if (!content || typeof content !== 'string') return null
+  // \r? 容错 CRLF（$ 前的 \r 会致 LF 正则失配）
+  const m = content.match(/^---\r?\n[\s\S]*?^source_commit:\s*([0-9a-f]{7,40})\s*\r?$/m)
+  return m ? m[1] : null
+}
+
+/**
+ * 计算单个 project 的 scan 文档漂移事实。
+ * @param {{ projectRoot: string, specBase: string, projectName: string, thresholds?: { commits: number, days: number } }} opts
+ * @returns {{ status: 'fresh'|'stale'|'unknown', behindCommits: number|null, daysSinceScan: number|null, sourceCommit: string|null, message: string }|null}
+ *   null = 无 scan 文档目录（绿地项目等），调用方直接跳过；unknown = 有文档但算不出（无
+ *   source_commit 字段 / git 失败），message 说明降级原因。
+ */
+export function computeScanStaleness(opts) {
+  const { projectRoot, specBase, projectName, thresholds = STALENESS_THRESHOLDS } = opts || {}
+  if (!projectRoot || !specBase || !projectName) return null
+  const scanDir = join(specBase, 'docs', projectName, 'scan')
+  if (!existsSync(scanDir)) return null
+
+  // 任一 scan 文档带 source_commit 即可代表整批（modules.js 同批写入同值）
+  let sourceCommit = null
+  let checked = 0
+  for (const f of readdirSync(scanDir)) {
+    if (!f.endsWith('.md')) continue
+    checked++
+    const c = parseSourceCommit(readFileSync(join(scanDir, f), 'utf8'))
+    if (c) { sourceCommit = c; break }
+  }
+  if (checked === 0) return null
+  if (!sourceCommit) {
+    return { status: 'unknown', behindCommits: null, daysSinceScan: null, sourceCommit: null,
+      message: 'scan 文档无 source_commit 字段（旧版生成），无法判漂移——如架构已大改建议重跑 sillyspec run scan --standard' }
+  }
+
+  const head = safeGit(projectRoot, ['rev-parse', 'HEAD'])
+  if (head.error || !head.value) {
+    return { status: 'unknown', behindCommits: null, daysSinceScan: null, sourceCommit,
+      message: `git 读取失败（${head.error || '无 HEAD'}），跳过漂移判定` }
+  }
+  const isAncestor = safeGit(projectRoot, ['merge-base', '--is-ancestor', sourceCommit, head.value.trim()])
+  if (isAncestor.error) {
+    return { status: 'unknown', behindCommits: null, daysSinceScan: null, sourceCommit,
+      message: `source_commit ${sourceCommit.slice(0, 7)} 不在当前分支历史（分支切换/rebase），跳过漂移判定` }
+  }
+  const countRes = safeGit(projectRoot, ['rev-list', '--count', `${sourceCommit}..HEAD`])
+  const behindCommits = countRes.error ? null : parseInt(countRes.value, 10)
+  if (behindCommits === null || Number.isNaN(behindCommits)) {
+    return { status: 'unknown', behindCommits: null, daysSinceScan: null, sourceCommit,
+      message: 'rev-list 计数失败，跳过漂移判定' }
+  }
+  const dateRes = safeGit(projectRoot, ['log', '-1', '--format=%cI', sourceCommit])
+  const daysSinceScan = dateRes.error ? null
+    : Math.floor((Date.now() - new Date(dateRes.value.trim()).getTime()) / 86400000)
+
+  const stale = behindCommits >= thresholds.commits || (daysSinceScan !== null && daysSinceScan >= thresholds.days)
+  if (!stale) {
+    return { status: 'fresh', behindCommits, daysSinceScan, sourceCommit,
+      message: `scan 文档新鲜（落后 ${behindCommits} commit / ${daysSinceScan ?? '?'} 天）` }
+  }
+  return {
+    status: 'stale', behindCommits, daysSinceScan, sourceCommit,
+    message: `⚠️ scan 文档过期：停在 ${sourceCommit.slice(0, 7)}（${daysSinceScan ?? '?'} 天前），期间源码已推进 ${behindCommits} commit。` +
+      `本次加载的架构/结构描述可能失真——涉及结构变更的 design 不要盲信 scan 文档，以实读代码为准；` +
+      `如需刷新基线跑 sillyspec run scan --standard --force-rescan`,
+  }
+}

package/src/setup.js

@@ -1,6 +1,6 @@
 import { existsSync, readFileSync, writeFileSync, mkdirSync } from 'fs';
 import { join, dirname } from 'path';
-import { execSync } from 'child_process';
+import { execSync, execFileSync } from 'child_process';
 import chalk from 'chalk';
 import ora from 'ora';
 import { checkbox, input } from '@inquirer/prompts';
@@ -13,7 +13,9 @@ const MCP_TOOLS = [
     name: 'Context7',
     description: '查询最新库文档和 API 参考',
     command: 'npx',
-    args: ['-y', '@upstash/context7-mcp@latest'],
+    // 版本锁定（sec-c）：MCP server 常驻且有系统访问能力，@latest = trust-on-future-publish，
+    // 上游被攻破会直接进用户 AI 工具执行环境。升级走 setup 重跑。
+    args: ['-y', '@upstash/context7-mcp@4.0.2'],
     url: 'https://github.com/upstash/context7-mcp',
   },
   {
@@ -21,7 +23,7 @@ const MCP_TOOLS = [
     name: 'Chrome DevTools MCP',
     description: '浏览器自动化，支持 E2E 测试（需 Chrome 已运行）',
     command: 'npx',
-    args: ['chrome-devtools-mcp@latest'],
+    args: ['chrome-devtools-mcp@1.7.0'],
     url: 'https://github.com/ChromeDevTools/chrome-devtools-mcp',
   },
   {
@@ -29,7 +31,7 @@ const MCP_TOOLS = [
     name: 'Agent Browser (Vercel)',
     description: 'Rust 原生浏览器 CLI，token 消耗极低，50+ 命令覆盖导航/表单/截图/网络',
     command: 'npx',
-    args: ['@anthropic-ai/agent-browser@latest'],
+    args: ['agent-browser@0.34.0'],
     url: 'https://github.com/vercel-labs/agent-browser',
   },
   {
@@ -37,7 +39,7 @@ const MCP_TOOLS = [
     name: 'PinchTab',
     description: '12MB Go 二进制，零依赖，accessibility tree 极省 token，有 MCP 支持',
     command: 'npx',
-    args: ['pinchtab-mcp@latest'],
+    args: ['pinchtab-mcp@1.4.1'],
     url: 'https://github.com/pinchtab/pinchtab',
   },
 ];
@@ -50,7 +52,7 @@ const DB_MCP_TOOLS = [
     name: 'PostgreSQL',
     description: '只读访问 PostgreSQL 数据库',
     command: 'npx',
-    args: ['-y', '@modelcontextprotocol/server-postgres'],
+    args: ['-y', '@modelcontextprotocol/server-postgres@0.6.2'],
     envTemplate: { POSTGRES_CONNECTION_STRING: 'postgresql://user:password@localhost:5432/dbname' },
     url: 'https://github.com/modelcontextprotocol/servers/tree/main/src/postgres',
   },
@@ -59,7 +61,7 @@ const DB_MCP_TOOLS = [
     name: 'SQLite',
     description: '访问 SQLite 数据库文件',
     command: 'npx',
-    args: ['-y', '@modelcontextprotocol/server-sqlite'],
+    args: ['-y', 'mcp-server-sqlite@0.0.2'],
     envTemplate: { SQLITE_DB_PATH: './data.db' },
     url: 'https://github.com/modelcontextprotocol/servers/tree/main/src/sqlite',
   },
@@ -68,7 +70,8 @@ const DB_MCP_TOOLS = [
     name: 'MySQL / MariaDB',
     description: '访问 MySQL / MariaDB 数据库',
     command: 'npx',
-    args: ['-y', '@nicobailon/mysql-mcp-server'],
+    // 原 @nicobailon/mysql-mcp-server 已 404（包下架），换存在的 mysql-mcp-server（dpflucas，read-only）
+    args: ['-y', 'mysql-mcp-server@0.1.3'],
     envTemplate: { MYSQL_HOST: 'localhost', MYSQL_PORT: '3306', MYSQL_USER: 'root', MYSQL_PASSWORD: '', MYSQL_DATABASE: '' },
     url: 'https://github.com/modelcontextprotocol/servers',
   },
@@ -77,7 +80,7 @@ const DB_MCP_TOOLS = [
     name: 'Redis',
     description: '访问 Redis 数据库，查看缓存和键值数据',
     command: 'npx',
-    args: ['-y', '@modelcontextprotocol/server-redis'],
+    args: ['-y', '@modelcontextprotocol/server-redis@2025.4.25'],
     envTemplate: { REDIS_URL: 'redis://localhost:6379' },
     url: 'https://github.com/modelcontextprotocol/servers/tree/main/src/redis',
   },
@@ -353,6 +356,21 @@ export async function cmdSetup(dir, options = {}) {
       }
       writeMcpConfig(dir, path, config);
       spinner.succeed(`${tool} MCP 完成 (${allMcp.length} 个工具)`);
+      // 凭据提交风险提示（sec-c）：.claude/mcp.json / .cursor/mcp.json 是项目共享文件、通常随 git
+      // 提交，而 DB MCP 的 env 含明文连接串/密码。检测 git 跟踪状态，已跟踪/未忽略时显式警告。
+      if (selectedDb.length > 0) {
+        try {
+          execFileSync('git', ['-C', dir, 'ls-files', '--error-unmatch', path], { stdio: 'pipe' });
+          console.warn(chalk.yellow(`  ⚠️ ${path} 已被 git 跟踪——其中数据库连接串/密码会随提交进入仓库，建议加入 .gitignore 或改用环境变量`));
+        } catch {
+          // 未被跟踪：再查是否被 ignore；都不满足（未忽略未跟踪）时提示防止将来误提交
+          try {
+            execFileSync('git', ['-C', dir, 'check-ignore', '-q', path], { stdio: 'pipe' });
+          } catch {
+            console.warn(chalk.yellow(`  ⚠️ ${path} 含数据库连接串/密码且未被 .gitignore 忽略——提交前请先加入 .gitignore 或改用环境变量`));
+          }
+        }
+      }
     }
   }
 

package/src/sillyhub-mcp/client.js

@@ -20,10 +20,13 @@
  */
 
 import { readMcpConfig } from './config.js';
+import { getVersion } from '../version.js';
 
 const DEFAULT_TIMEOUT_MS = 10_000;
 // MCP streamable HTTP 协议版本（task 指定 2025-11-25）
 const MCP_PROTOCOL_VERSION = '2025-11-25';
+// 单次 RPC 返回哨兵：server 回 400 Missing session（session 未建立/过期）→ _sendRpc 重连重试
+const SESSION_EXPIRED = Symbol('SESSION_EXPIRED');
 
 export class SillyHubMcpClient {
   /**
@@ -38,9 +41,15 @@ export class SillyHubMcpClient {
     const cfg = readMcpConfig(workCwd);
     const u = url !== undefined ? url : (cfg?.url ?? '');
     const t = token !== undefined ? token : (cfg?.token ?? '');
-    // 去掉 url 尾部斜杠，便于后续稳定拼 /mcp/（跨平台：URL 一律用正斜杠，不用 path.join）
+    // 去 url 尾部斜杠，便于后续稳定拼 /mcp/（跨平台：URL 一律用正斜杠，不用 path.join）
     this._url = typeof u === 'string' ? u.replace(/\/+$/, '') : '';
     this._token = typeof t === 'string' ? t : '';
+    // 安全提示（sec-e 缓解）：url 来自 local.yaml（agent 可写），非 https 时 Bearer token 明文上线。
+    // 一次性 warn（构造时）不刷屏；本机 http://localhost 调试场景 warn 可接受。
+    if (this._url && !/^https:\/\//i.test(this._url) && !/^http:\/\/(localhost|127\.0\.0\.1|\[::1\])(:|\/|$)/i.test(this._url)) {
+      console.warn(`[sillyhub-mcp] mcp.url 非 https（${this._url.slice(0, 60)}），Bearer token 将明文传输——请确认为受控环境`);
+    }
+    this._token = typeof t === 'string' ? t : '';
     this._timeoutMs = typeof timeoutMs === 'number' && timeoutMs > 0
       ? timeoutMs
       : DEFAULT_TIMEOUT_MS;
@@ -49,6 +58,9 @@ export class SillyHubMcpClient {
     // 端点必须带尾斜杠
     this._endpoint = this._url ? `${this._url}/mcp/` : '';
     this._rpcId = 0;
+    // MCP streamable HTTP session 状态：惰性 initialize 后才有（见 _ensureSession）
+    this._sessionId = null;
+    this._sessionPromise = null;
   }
 
   // ── 内部辅助 ──
@@ -69,7 +81,15 @@ export class SillyHubMcpClient {
   }
 
   /**
-   * 发 JSON-RPC 请求（fetch/SSE/鉴权骨架，tools/call 与 tools/list 共用）。best-effort 不抛。
+   * 发 JSON-RPC 请求（fetch/SSE/鉴权/session 骨架，tools/call 与 tools/list 共用）。best-effort 不抛。
+   *
+   * MCP streamable HTTP（2025-11-25）要求先 initialize 拿 session，后续请求带
+   * Mcp-Session-Id header，否则 server 回 -32600 Missing session ID（2026-08-14 实测：
+   * SillyHub FastMCP v1.29 streamable_http_app 强制 session；此前本 client 直接发
+   * tools/call 无 session → 一律 400，probe 误判 daemon-unreachable）。本方法：
+   *   1. 惰性 _ensureSession（并发安全，仅 initialize 一次）；
+   *   2. _rpcOnce 发单次请求；
+   *   3. 遇 session 过期（400 Missing session）→ 重置重连重试一次。
    *
    * task-11 抽出：原 _callTool 的网络骨架；method/params 泛化——tools/call 带 {name,arguments}，
    * tools/list 带空 params。warn 文案用 label 作 tag（tools/call 传 toolName 保文案不变，
@@ -88,14 +108,43 @@ export class SillyHubMcpClient {
       return null;
     }
 
-    this._rpcId += 1;
-    const id = this._rpcId;
+    // 惰性 initialize + 过期重连（最多 2 次：首次 + 重试）
+    for (let attempt = 0; attempt < 2; attempt++) {
+      await this._ensureSession(quiet);
+      if (!this._sessionId) {
+        // initialize 失败（网络/非 2xx/无 session）→ best-effort 降级，不再发业务请求
+        if (!quiet) console.warn(`[sillyhub-mcp] ${tag} initialize 失败，跳过`);
+        return null;
+      }
+      this._rpcId += 1;
+      const result = await this._rpcOnce(method, params, { quiet, tag, id: this._rpcId });
+      if (result !== SESSION_EXPIRED) return result;
+      // session 过期（400 Missing session）→ 重置重连重试一次
+      if (!quiet) console.warn(`[sillyhub-mcp] ${tag} session 过期，重连重试`);
+      this._sessionId = null;
+      this._sessionPromise = null;
+    }
+    return null;
+  }
+
+  /**
+   * 发单次 JSON-RPC 请求（不管理 session）。返回 rpc.result；失败返回 null；
+   * 400 Missing session ID → 返回 SESSION_EXPIRED 哨兵（调用方 _sendRpc 据此重连重试）。
+   */
+  async _rpcOnce(method, params, { quiet, tag, id }) {
     const body = {
       jsonrpc: '2.0',
       id,
       method,
       params,
     };
+    const headers = {
+      Authorization: `Bearer ${this._token}`,
+      'Content-Type': 'application/json',
+      Accept: 'application/json, text/event-stream',
+      'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
+    };
+    if (this._sessionId) headers['Mcp-Session-Id'] = this._sessionId;
 
     const controller = new AbortController();
     const timer = setTimeout(() => controller.abort(), this._timeoutMs);
@@ -103,12 +152,7 @@ export class SillyHubMcpClient {
     try {
       res = await fetch(this._endpoint, {
         method: 'POST',
-        headers: {
-          Authorization: `Bearer ${this._token}`,
-          'Content-Type': 'application/json',
-          Accept: 'application/json, text/event-stream',
-          'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
-        },
+        headers,
         body: JSON.stringify(body),
         signal: controller.signal,
       });
@@ -127,11 +171,13 @@ export class SillyHubMcpClient {
     }
 
     if (!res.ok) {
-      if (!quiet) {
-        let detail = '';
-        try { detail = await res.text(); } catch { /* best effort */ }
-        console.warn(`[sillyhub-mcp] ${tag} → HTTP ${res.status} ${String(detail).slice(0, 200)}`);
+      let detail = '';
+      try { detail = await res.text(); } catch { /* best effort */ }
+      // session 未建立/过期：FastMCP 回 HTTP 400 + body 含 "Missing session ID"
+      if (res.status === 400 && detail.includes('Missing session')) {
+        return SESSION_EXPIRED;
       }
+      if (!quiet) console.warn(`[sillyhub-mcp] ${tag} → HTTP ${res.status} ${String(detail).slice(0, 200)}`);
       return null;
     }
 
@@ -167,6 +213,95 @@ export class SillyHubMcpClient {
     return rpc.result || null;
   }
 
+  /**
+   * 确保已建立 MCP session（惰性 initialize，并发安全）。已初始化直接返回 true；
+   * 初始化进行中则复用同一 promise。失败返回 false 且不留半成品状态。
+   * @param {boolean} [quiet] - 静默初始化失败警告（探测路径默认用）
+   * @returns {Promise<boolean>}
+   */
+  async _ensureSession(quiet = false) {
+    if (this._sessionId) return true;
+    if (this._sessionPromise) return this._sessionPromise;
+    this._sessionPromise = this._initialize(quiet).finally(() => { this._sessionPromise = null; });
+    return this._sessionPromise;
+  }
+
+  /**
+   * MCP initialize 握手：POST initialize → 从响应 header（或 body _meta）读 mcp-session-id。
+   * 成功存 this._sessionId；失败返回 false（best-effort，warn 不抛）。
+   *
+   * 注：协议要求 initialize 后发 notifications/initialized，本客户端只做探测
+   * （tools/list / 只读 tool），实测 FastMCP 不强制该通知即可用（2026-08-14 验证），
+   * 为省一次 RPC 不发；若未来 server 强校验再补。
+   * @returns {Promise<boolean>}
+   */
+  async _initialize(quiet = false) {
+    this._rpcId += 1;
+    const id = this._rpcId;
+    const body = {
+      jsonrpc: '2.0',
+      id,
+      method: 'initialize',
+      params: {
+        protocolVersion: MCP_PROTOCOL_VERSION,
+        capabilities: {},
+        // MCP 2025-11-25 协议要求 clientInfo 必含 name + version，缺 version FastMCP
+        // 回 -32602 Invalid request parameters（2026-08-14 实测锁定）
+        clientInfo: { name: 'sillyspec-cli', version: getVersion() },
+      },
+    };
+    const controller = new AbortController();
+    const timer = setTimeout(() => controller.abort(), this._timeoutMs);
+    let res;
+    try {
+      res = await fetch(this._endpoint, {
+        method: 'POST',
+        headers: {
+          Authorization: `Bearer ${this._token}`,
+          'Content-Type': 'application/json',
+          Accept: 'application/json, text/event-stream',
+          'MCP-Protocol-Version': MCP_PROTOCOL_VERSION,
+        },
+        body: JSON.stringify(body),
+        signal: controller.signal,
+      });
+    } catch (err) {
+      if (!quiet) {
+        const msg = err && err.message ? err.message : String(err);
+        console.warn(`[sillyhub-mcp] initialize 请求失败: ${msg}`);
+      }
+      return false;
+    } finally {
+      clearTimeout(timer);
+    }
+
+    if (!res.ok) {
+      if (!quiet) console.warn(`[sillyhub-mcp] initialize → HTTP ${res.status}`);
+      return false;
+    }
+
+    // 优先取 header mcp-session-id（FastMCP 实测返回）；缺失再查 body _meta.sessionId。
+    // ⚠️ 无论 header 是否有 session，都必须读完 body（消费 SSE 流）——FastMCP 在
+    // initialize 响应流未消费完时 session 未就绪，后续 tools/call 回 -32602
+    // "Invalid request parameters"（2026-08-14 实测：node 只读 header 不读 body 必现，
+    // python 读完 body 则过）。
+    let sid = res.headers.get('mcp-session-id');
+    let text = '';
+    try { text = await res.text(); } catch { /* best effort */ }
+    if (!sid && text) {
+      const rpc = this._parseSseResponse(text, id);
+      if (rpc && rpc.result && rpc.result._meta && typeof rpc.result._meta.sessionId === 'string') {
+        sid = rpc.result._meta.sessionId;
+      }
+    }
+    if (!sid) {
+      if (!quiet) console.warn('[sillyhub-mcp] initialize 响应无 mcp-session-id');
+      return false;
+    }
+    this._sessionId = sid;
+    return true;
+  }
+
   /**
    * 解析 SSE 响应：取含 JSON-RPC result/error 的事件；优先 id 精确匹配，否则取首个。
    * 事件间空行分隔；事件内 data: 行可多行，拼装时用 \n 连接。

package/src/stage-contract-spec.js

@@ -47,6 +47,7 @@ export const CUSTOM_KINDS = new Set([
   'cross-task-contract',     // task 卡片 provides/expects_from 对账(plan-postcheck)
   'design-file-coverage',    // design.md 文件清单 vs allowed_paths 覆盖(plan-postcheck)
   'task-id-continuity',      // task-NN id 连续性
+  'task-plan-reconciliation', // plan.md 声明任务 ↔ tasks/ 卡片双向对账(plan-postcheck)
   'design-readiness',        // design.md 进入 plan 前的章节就绪检查(validateDesignForPlan)
   'task-card-fields',        // task-NN.md 卡片字段存在性(validateBlueprintConsistency + validatePlanFeasibility)
   'verify-conclusion-gate',  // verify-result.md 结论 PASS/FAIL 门控
@@ -321,6 +322,20 @@ const PLAN_RULES = [
     spec: 'design.md「文件变更清单」中的每个源码文件,必须被至少一个 task 的 allowed_paths 覆盖(前缀/glob 容差匹配),否则 execute 子代理无权改它→必然漏改。有 task 卡片但 design 缺「文件变更清单」章节也阻断(清单是覆盖对账的基准)。',
     failMessage: 'design.md 文件变更清单中 ${count} 个文件未被任何 task 的 allowed_paths 覆盖：\n${files}\n   这些文件在 execute 阶段将无 task 有权修改 → 必然漏改。\n   修复：为每个遗漏文件新建/补充 task 并在其 allowed_paths 声明，或在 design.md「不修改文件」章节说明不改原因。',
   },
+  // task-plan-reconciliation(custom):plan.md 声明任务 ↔ tasks/ 卡片双向对账（债单 D-2b）。
+  // 修复场景：plan 列 17 个任务只生成 12 张卡（尾部文档同步类任务漏卡），execute 审计只看
+  // 卡片 → 漏卡任务零失败信号（sillyhub conversation-driven T-13~T-17 实证）。
+  // ${declared}/${cards} replaceAll。
+  {
+    id: 'plan.task-plan-reconciliation', stage: 'plan', source: 'validateBlueprintConsistency', severity: 'error', kind: 'task-plan-reconciliation',
+    target: { root: 'change', path: 'tasks' },
+    data: {
+      messageMissingCards: 'plan.md 声明了 ${declared} 个任务，但 tasks/ 只有部分卡片。缺卡: ${missing}\n   无卡片的任务不进 Wave、不受 execute 审计（allowed_paths/review.json 都不覆盖）→ 必然漏做（典型：尾部文档同步类任务）。\n   修复：为每个缺卡任务补 task-NN.md（含 allowed_paths/验收标准），或从 plan.md 删除该任务。',
+      messageOrphanCards: 'tasks/ 存在 plan.md 未声明的卡片: ${orphans}\n   这些任务不进任何 Wave，execute 不会执行。修复：在 plan.md 补声明，或删除孤儿卡片。',
+    },
+    spec: 'plan.md 中声明的每个 task-NN 必须有对应 tasks/task-NN.md 卡片（反向亦然），否则阻断——无卡片任务不受 execute 审计，必然漏做。',
+    failMessage: 'plan.md 任务与 tasks/ 卡片不对账',
+  },
   // task-id-continuity(custom):task-NN id 从 task-01 起连续。算法留 validatePlanFeasibility。
   // ${expected}/${actual} replaceAll(零填充 2 位)。
   {

package/src/stage-contract.js

@@ -12,6 +12,7 @@ import { detectChangeRisk, checkIntegrationEvidence, VERIFICATION_NEEDS, RISK_LE
 import { SCAN_REQUIRED_DOCS, AUXILIARY_STAGES } from './constants.js'
 import { evaluateRules } from './stage-contract-engine.js'
 import { getRule } from './stage-contract-spec.js'
+import { parseAllowedPaths } from './stages/plan-postcheck.js'
 
 /**
  * 校验结果
@@ -381,11 +382,13 @@ function validatePlanOutputs(cwd, changeName, context = {}) {
         const taskFiles = readdirSync(tasksDir).filter(f => /^task-\d+\.md$/i.test(f))
         for (const taskFile of taskFiles) {
           const taskContent = readFileSync(join(tasksDir, taskFile), 'utf8')
-          const allowedSection = taskContent.match(/allowed_paths:\s*\n((?:\s+-\s+.+\n?)+)/)
-          if (allowedSection) {
-            const paths = allowedSection[1].match(/-\s+(.+)/g) || []
-            for (const p of paths) allAllowedPaths.add(p.replace(/^-\s+/, '').trim().toLowerCase())
-          }
+          // 复用 parseAllowedPaths（坑6①：认 inline 数组/缩进块/顶格块 + 剥反引号 + CRLF 归一，
+          // 消除此处内联正则与 plan-postcheck 的解析漂移）。卡片无 frontmatter 时退全文扫描
+          // （包裹伪 frontmatter 复用同一解析器）——原内联正则是全文匹配语义，entry-point-wiring
+          // 只关心路径覆盖，卡片格式合法性归 plan-postcheck 把关，此处不收紧。
+          const paths = parseAllowedPaths(taskContent)
+          const effective = paths.length > 0 ? paths : parseAllowedPaths(`---\n${taskContent}\n---`)
+          for (const p of effective) allAllowedPaths.add(p.toLowerCase())
         }
       }
       // 也从 plan.md 文件变更清单中收集

package/src/stages/brainstorm-auto.js

@@ -66,7 +66,6 @@ export const definition = {
       maxWaitRounds: 5,
       waitReason: '等待用户回答需求问题',
       waitOptions: ['回答见--answer', '信息够了，进入设计'],
-      waitFreeAnswer: true, // 开放回答型：--answer 内容为自由文本（需求澄清回答），非封闭单选，豁免 enforceWaitChoice
       prompt: `分析需求，必要时追问，然后设计方案。
 
 ### 操作

package/src/stages/brainstorm.js

@@ -32,6 +32,7 @@ export const definition = {
 
 ### 操作
 1. 读取项目总览 \`{SPEC_ROOT}/docs/<project>/scan/PROJECT.md\` + 共享规范 + 子项目上下文
+   - 漂移事实（CLI 算）：{SCAN_STALENESS}
 2. 加载项目信息：\`cat {SPEC_ROOT}/projects/*.yaml 2>/dev/null\`
 3. 加载本地配置：\`cat {SPEC_ROOT}/local.yaml 2>/dev/null\`
 4. 棕地项目：读取 {SPEC_ROOT}/docs/<project>/scan/ 下的 STRUCTURE.md、CONVENTIONS.md、ARCHITECTURE.md
@@ -79,7 +80,6 @@ export const definition = {
       maxWaitRounds: 8,
       waitReason: '等待用户回答需求问题或澄清',
       waitOptions: ['回答见--answer', '信息够了，进入方案讨论'],
-      waitFreeAnswer: true, // 开放回答型：--answer 内容为自由文本（需求澄清回答），非封闭单选，豁免 enforceWaitChoice
       prompt: `通过对话探索需求细节、分析原型（如有）、判断拆分/批量、并对歧义点做需求澄清 Grill。本步骤合并了原有的对话探索、原型分析、需求范围评估、需求澄清 Grill 四个环节——按下方 A→D 顺序按需执行。提问遵守「一次只问一个」（见 D 节追问策略）：必须问的问题逐个问，能查代码/文档解决的不问；不要把多个歧义打包成一屏清单一次抛给用户（用户记不住、答不全，反而漏掉关键约束）；也不要为凑数把单个问题拖成多轮。
 
 ### A. 原型/设计图分析（如用户提供）