sillyspec 3.27.5 → 3.27.7

package/src/foreign-declared.js

@@ -13,13 +13,92 @@
 import { existsSync, readFileSync, readdirSync } from 'fs'
 import { join } from 'path'
 import { parseFileChangeListDetailed } from './change-list.js'
+import { safeGit, unquoteGitPath } from './git-helper.js'
+
+/**
+ * 主仓未提交文件集（staged + unstaged + untracked，rename 取新路径）。
+ * 活性判定的事实源：他者声明的文件若已不在未提交集，说明其工作已 apply+commit（或从未发生），
+ * 声明随之失效（坑 foreign-declared-stale-noise，2026-08-25 实证：并行会话 pathspec 重叠期
+ * execute/verify 每轮重复刷「已排除 N 个并行会话声明的文件」，其中大量是对方早已 apply+commit
+ * 的存量声明——design §6 清单与残留 quick guard 不随 commit 自动失效，纯噪音）。
+ * @param {string} cwd 项目根
+ * @returns {Set<string>|null} null = git 调用失败（调用方 fail-closed 不过滤）
+ */
+function getMainDirtySet(cwd) {
+  const r = safeGit(cwd, ['status', '--porcelain', '--untracked-files=all'], { trim: false })
+  if (r.value === null) return null
+  const set = new Set()
+  for (const line of r.value.split('\n')) {
+    if (!line.trim()) continue
+    let p = line.slice(3).trim()
+    const arrow = p.lastIndexOf(' -> ')
+    if (arrow !== -1) p = p.slice(arrow + 4)
+    if (p.startsWith('"') && p.endsWith('"')) p = unquoteGitPath(p.slice(1, -1))
+    p = p.replace(/\\/g, '/')
+    if (p) set.add(p)
+  }
+  return set
+}
+
+/**
+ * 变更 worktree 活性速查（.runtime/worktrees/<change>/meta.json）。
+ * isolated=true：有存活隔离 worktree（meta 在、非 in-place、worktreePath 目录在）——
+ * 其 WIP 在 worktree 内主仓 porcelain 不可见，整份 design 声明按在途处理。
+ * @returns {Map<string, { isolated: boolean }>|null} null = 读取失败（fail-closed）
+ */
+function loadWorktreeLiveness(specBase) {
+  const map = new Map()
+  try {
+    const dir = join(specBase, '.runtime', 'worktrees')
+    for (const e of readdirSync(dir, { withFileTypes: true })) {
+      if (!e.isDirectory()) continue
+      try {
+        const meta = JSON.parse(readFileSync(join(dir, e.name, 'meta.json'), 'utf8'))
+        const isolated = Boolean(meta && meta.mode !== 'in-place-fallback'
+          && meta.worktreePath && existsSync(meta.worktreePath))
+        map.set(meta.changeName || e.name, { isolated })
+      } catch { /* 单条损坏跳过（该变更走主仓 dirty 判定） */ }
+    }
+  } catch { return null }
+  return map
+}
+
+/**
+ * 他者声明活性收敛：声明只在「工作仍在途」时有效，已 apply+commit 的存量声明自动失效。
+ *   - quick 会话（主仓直接改）：文件仍在主仓未提交集才算在途
+ *   - 变更：有存活隔离 worktree → 整份声明在途；否则与 quick 同口径看主仓未提交集
+ * 判定所需事实读不出来（git/meta 失败）→ 一律保留（fail-closed，不放大放行面）。
+ * @param {Map<string, string[]>} foreign collectForeignDeclaredFiles 的原始结果（原地收敛）
+ */
+function filterStaleForeignDeclarations(foreign, cwd, specBase) {
+  if (foreign.size === 0) return
+  const dirty = getMainDirtySet(cwd)
+  const worktrees = loadWorktreeLiveness(specBase)
+  if (dirty === null && worktrees === null) return // 两个事实源全失败 → 原样保留
+  for (const [file, owners] of [...foreign.entries()]) {
+    const live = owners.filter(owner => {
+      if (!owner.startsWith('quick-')) {
+        const wt = worktrees ? worktrees.get(owner) : undefined
+        if (wt && wt.isolated) return true // 隔离 worktree 在途，声明整份有效
+      }
+      // quick 会话 / 无存活 worktree 的变更：看主仓未提交集；dirty 集不可用则保守保留
+      return dirty === null ? true : dirty.has(file)
+    })
+    if (live.length === 0) foreign.delete(file)
+    else if (live.length < owners.length) foreign.set(file, live)
+  }
+}
 
 /**
  * @param {string} cwd 项目根
  * @param {string|null} currentChangeName 本变更名（quick 会话名或 change 名，排除自身）
+ * @param {{ specBase?: string, runtimeRoot?: string }} [opts] 平台模式路径（A4 同族）：
+ *   specBase 覆盖默认 join(cwd,'.sillyspec')（他者 design 清单 / quick 会话所在 spec 根），
+ *   runtimeRoot 覆盖 quick-sessions 目录（平台模式 runtime 可与 specBase/.runtime 分离）。
+ *   不传保持本地行为，零回归。
  * @returns {Map<string, string[]>} file → 声明者列表（quick-<hex> 或变更名）
  */
-export function collectForeignDeclaredFiles(cwd, currentChangeName) {
+export function collectForeignDeclaredFiles(cwd, currentChangeName, opts = {}) {
   const foreign = new Map()
   const add = (file, owner) => {
     const f = String(file || '').replace(/\\/g, '/')
@@ -27,10 +106,11 @@ export function collectForeignDeclaredFiles(cwd, currentChangeName) {
     if (!foreign.has(f)) foreign.set(f, [])
     if (!foreign.get(f).includes(owner)) foreign.get(f).push(owner)
   }
+  const specBase = opts.specBase || join(cwd, '.sillyspec')
+  const runtimeRoot = opts.runtimeRoot || join(specBase, '.runtime')
   try {
-    const specBase = join(cwd, '.sillyspec')
     // ① 其他 quick 会话的 --files 显式声明（guard.json）
-    const sessionsDir = join(specBase, '.runtime', 'quick-sessions')
+    const sessionsDir = join(runtimeRoot, 'quick-sessions')
     let sessionDirs = []
     try { sessionDirs = readdirSync(sessionsDir, { withFileTypes: true }).filter(e => e.isDirectory()).map(e => e.name) } catch {}
     for (const sid of sessionDirs) {
@@ -53,6 +133,8 @@ export function collectForeignDeclaredFiles(cwd, currentChangeName) {
       } catch { /* 清单解析失败跳过该变更 */ }
     }
   } catch { /* 整体异常 → 空集（等价不过滤，回到原行为） */ }
+  // 活性收敛（坑 foreign-declared-stale-noise）：已 apply+commit 的他者声明不再产生排除噪音
+  try { filterStaleForeignDeclarations(foreign, cwd, specBase) } catch { /* 收敛失败 → 原样保留（fail-closed） */ }
   return foreign
 }
 
@@ -61,11 +143,12 @@ export function collectForeignDeclaredFiles(cwd, currentChangeName) {
  * @param {string} cwd 项目根
  * @param {string|null} currentChangeName 本变更名
  * @param {string[]|null} diffFiles 待切分文件列表（null 透传，保持调用方 null 语义）
+ * @param {{ specBase?: string, runtimeRoot?: string }} [opts] 平台模式路径（透传 collectForeignDeclaredFiles）
  * @returns {{ own: string[]|null, foreign: Array<{file: string, owners: string[]}> }}
  */
-export function splitOwnVsForeignDiffFiles(cwd, currentChangeName, diffFiles) {
+export function splitOwnVsForeignDiffFiles(cwd, currentChangeName, diffFiles, opts = {}) {
   if (!Array.isArray(diffFiles)) return { own: diffFiles, foreign: [] }
-  const foreignMap = collectForeignDeclaredFiles(cwd, currentChangeName)
+  const foreignMap = collectForeignDeclaredFiles(cwd, currentChangeName, opts)
   if (foreignMap.size === 0) return { own: diffFiles, foreign: [] }
   const own = []
   const foreign = []

package/src/fs-atomic.js

@@ -7,7 +7,7 @@
  * 注意：DB 持久化由 node:sqlite 引擎承担（提交即落盘 sillyspec.db + WAL 侧车），
  * 不经此处的 writeAtomicSync；sillyspec.db 不走原子写改名。
  */
-import { writeFileSync, renameSync, unlinkSync } from 'fs';
+import { renameSync, unlinkSync, openSync, writeSync, fsyncSync, closeSync, statSync } from 'fs';
 import { randomBytes } from 'node:crypto';
 import { dirname, basename, join } from 'path';
 
@@ -49,8 +49,13 @@ export function renameSyncRetry(from, to, retries = 5) {
 }
 
 /**
- * 原子写文本文件：同目录 tmp 写入 → rename 覆盖目标（带 Windows 退避重试）。
+ * 原子写文本文件：同目录 tmp 写入 → fsync → rename 覆盖目标（带 Windows 退避重试）。
  * - tmp 名含 pid，避免多进程并发写同一目标时 tmp 名碰撞（如多会话写 local.yaml）。
+ * - 写入后 fsync（fd 级）：rename 只保证「读者见旧版或新版」的并发原子性，不保证崩溃持久性——
+ *   tmp 数据滞留页缓存时 rename 的元数据先落盘，断电/蓝屏后目标可能是 0 字节或半截 JSON
+ *   （本函数契约对象恰是 local.yaml（含明文 token）/pointer/guard.json 这类跨进程凭据文件）。
+ * - 新 tmp 按目标现有 mode 创建：POSIX 下 local.yaml(0600) 重写不再有 0644 窗口
+ *   （Windows 上 chmod 近似 no-op，不受影响）。
  * - rename 失败时清理 tmp，避免留下孤儿 .tmp 文件。
  * - Node 的 rename 在 Windows 上用 MoveFileEx(REPLACE_EXISTING)，可覆盖已存在目标；
  *   EPERM 仅在文件被其他进程锁定时出现，由 renameSyncRetry 退避重试。
@@ -63,7 +68,19 @@ export function writeAtomicSync(filePath, content) {
   // crypto 随机源（Math.random 可预测，tmp 名被预猜中有 symlink 预放置理论面）
   const rnd = randomBytes(6).toString('hex');
   const tmpPath = join(dir, `.${basename(filePath)}.${process.pid}.${rnd}.tmp`);
-  writeFileSync(tmpPath, content);
+  let mode = 0o644;
+  try { mode = statSync(filePath).mode & 0o777; } catch { /* 目标不存在 → 默认 */ }
+  const fd = openSync(tmpPath, 'w', mode);
+  try {
+    const buf = Buffer.from(content, 'utf8');
+    let offset = 0;
+    while (offset < buf.length) {
+      offset += writeSync(fd, buf, offset);
+    }
+    fsyncSync(fd);
+  } finally {
+    closeSync(fd);
+  }
   try {
     renameSyncRetry(tmpPath, filePath);
   } catch (err) {

package/src/hooks/worktree-guard.js

@@ -29,8 +29,8 @@ const READONLY_COMMANDS = new Set([
   'node', 'npm', 'npx', // 只允许 --version 等只读子命令，在 matchReadonlyWhitelist 中处理
 ])
 
-/** 只读 git 子命令 */
-const READONLY_GIT_SUBS = new Set(['diff', 'status', 'log', 'show', 'branch', 'stash'])
+/** 只读 git 子命令（stash 不在此列：drop/clear/pop 破坏性，仅下方 matchReadonly 细化放行 list/裸查询） */
+const READONLY_GIT_SUBS = new Set(['diff', 'status', 'log', 'show', 'branch'])
 
 /** 危险 git 子命令 */
 const DANGER_GIT_SUBS = new Set([
@@ -510,7 +510,13 @@ function isSingleCommandReadonly(cmd, extraReadonlyCommands = []) {
       // 不能用 rest.includes('--version')：`npx any-pkg --version` 会执行 any-pkg，
       // 旧实现因 && 优先级高于 || 使 --version 分支无长度约束，可绕过只读白名单。
       const isBareVersionQuery = parts.length === 2 && (parts[1] === '--version' || parts[1] === '-v')
-      return isBareVersionQuery || rest === 'run test' || rest.startsWith('test')
+      // npm test（含 npm run test / npm test -- 传参）放行；词边界收紧（坑 test-prefix-bypass）：
+      // 旧实现 rest.startsWith('test') 使 `npx test-<任意包>`/`node test-<任意脚本>` 绕过白名单
+      // 下载执行任意代码。npx/node 只保留纯版本查询。
+      if (cmdName === 'npm') {
+        return isBareVersionQuery || /^test(\s|$)/.test(rest) || /^run test([:\s]|$)/.test(rest)
+      }
+      return isBareVersionQuery
     }
     return true
   }

package/src/index.js

@@ -182,7 +182,7 @@ async function main() {
   }
 
   // E22：重路径统一加载（轻路径 --version/help 已早退，未付此税）。
-  const { ProgressManager, resolvePlatformSpecDir } = await import('./progress.js');
+  const { ProgressManager, resolvePlatformSpecDir, resolvePlatformOpts } = await import('./progress.js');
   const { didYouMean, assertSafeChangeName, resolveSpecDir, detectWorktreeSpecDrift } = await import('./run/shared.js');
 
   // 解析全局选项
@@ -456,7 +456,7 @@ async function main() {
       // 自然报「跨仓 commit 找不到」等错误进入 check.errors，gate 结论仍如实反映问题（D-002@v1 只读契约不破）。
       try {
         const { getOrCreateMultiRepoContext } = await import('./run/shared.js');
-        const _ctx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: gateChange, platformOpts: specDir ? { specRoot: specDir } : {} });
+        const _ctx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: gateChange, platformOpts: { specRoot: gateSpecBase } });
         if (_ctx) gateOpts.ctx = _ctx;
       } catch (e) {
         console.warn(`⚠️ gate ctx 构造失败，降级单仓核验（${e.message}）`);
@@ -509,7 +509,7 @@ async function main() {
       // W3 task-09：derive 同 gate，best-effort 构造 ctx 透传给 verify-test/task-reviews facet（D-013）。
       try {
         const { getOrCreateMultiRepoContext } = await import('./run/shared.js');
-        const _ctx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: deriveChange, platformOpts: specDir ? { specRoot: specDir } : {} });
+        const _ctx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: deriveChange, platformOpts: { specRoot: deriveSpecBase } });
         if (_ctx) deriveOpts.ctx = _ctx;
       } catch (e) {
         console.warn(`⚠️ derive ctx 构造失败，降级单仓核验（${e.message}）`);
@@ -548,9 +548,14 @@ async function main() {
       // 与 run 入口同源消毒（防路径穿越；backfill 下游拼 marker/changes/review 路径）
       assertSafeChangeName(brChange, '--change 变更名');
       const { generateTaskReviewDrafts } = await import('./task-review.js');
-      // --spec-dir 透传 platformOpts.specRoot（与 gate/derive 对称）；不传走默认 join(cwd,'.sillyspec')。
+      // --spec-dir / 平台指针二合一解析（A4 同族，与 register-stage-review case 对称）：此前
+      // 只认显式 --spec-dir，平台模式下 specRoot 缺失 → 草稿/adopt 落本地 join(cwd,'.sillyspec')。
       const brPlatformOpts = {};
-      if (specDir) brPlatformOpts.specRoot = specDir;
+      const brResolved = resolvePlatformOpts(dir, specDir);
+      if (brResolved) {
+        brPlatformOpts.specRoot = brResolved.specRoot;
+        if (brResolved.runtimeRoot) brPlatformOpts.runtimeRoot = brResolved.runtimeRoot;
+      }
       // W3 task-09：best-effort 构造 ctx 透传（D-013），让 task-04 generateTaskReviewDrafts 跨仓 task
       // 用跨仓 gitDir 取 base..head diff。失败降级 null（与 gate/derive 同语义，辅助修复命令不阻断）。
       let _brCtx = null;
@@ -1052,8 +1057,17 @@ async function main() {
       // 与 run 入口同源消毒（防路径穿越；register 下游写 marker、拼 changes/review 路径）
       assertSafeChangeName(rsrChange, '--change 变更名');
       const { registerStageReview } = await import('./stage-review.js');
+      // A4 同族修复（2026-08-26 实证）：此前只认显式 --spec-dir 拼 platformOpts，平台模式
+      // （cwd/.sillyspec-platform.json 指针存在）下 specRoot 缺失 → registerStageReview 落
+      // join(cwd,'.sillyspec')/changes/... 找主审查文档 → 「主审查文档不存在，无法算 docHash」
+      // → 逼 agent 手算 sha256 兜底。改走 resolvePlatformOpts（--spec-dir > 指针 specRoot+
+      // runtimeRoot > 纯本地 null），指针失效 fail-closed 由顶层 catch 优雅引导。
       const rsrPlatformOpts = {};
-      if (specDir) rsrPlatformOpts.specRoot = specDir;
+      const rsrResolved = resolvePlatformOpts(dir, specDir);
+      if (rsrResolved) {
+        rsrPlatformOpts.specRoot = rsrResolved.specRoot;
+        if (rsrResolved.runtimeRoot) rsrPlatformOpts.runtimeRoot = rsrResolved.runtimeRoot;
+      }
       const rsrStages = rsrAll ? ['brainstorm', 'plan', 'execute'] : [rsrStage];
       const rsrResults = [];
       let rsrFailed = 0;
@@ -1260,9 +1274,9 @@ async function main() {
           }
         }
         const { runDocsGate } = await import('./docs-gate.js');
-        // specBase：平台模式（specDir 指针）优先，本地回退 <repo>/.sillyspec——基线文件锚定
+        // specBase：平台指针 / 显式 --spec-dir / 本地 fallback 三合一（A4 同族）——基线文件锚定
         // 进度库根（与 .runtime 同级），跨命令稳定。
-        const gateSpecBase = specDir || join(dir, '.sillyspec');
+        const gateSpecBase = resolvePlatformSpecDir(dir, specDir) || join(dir, '.sillyspec');
         const g = await runDocsGate(
           { projectRoot: dir, specBase: gateSpecBase, initBaseline },
           cliGatePaths ? { paths: cliGatePaths } : undefined
@@ -1459,11 +1473,12 @@ async function main() {
         const { runScanDiff } = await import('./scan-diff.js')
         const diffBaseIdx = filteredArgs.indexOf('--base')
         const diffBase = diffBaseIdx >= 0 && filteredArgs[diffBaseIdx + 1] ? filteredArgs[diffBaseIdx + 1] : null
-        // specBase/projectName 与 scan 主流程同口径（scan-profile.js：specBase=进度库根，projectName=仓库根 basename）
+        // specBase/projectName 与 scan 主流程同口径（scan-profile.js：specBase=进度库根，projectName=仓库根 basename）。
+        // A4 同族：平台指针 / 显式 --spec-dir / 本地 fallback 三合一，平台模式下 diff 不落本地孤儿库。
         const diffEffectiveDir = specDir ? dir : resolveEffectiveDir(dir)
         process.exitCode = runScanDiff({
           projectRoot: diffEffectiveDir,
-          specBase: specDir || join(diffEffectiveDir, '.sillyspec'),
+          specBase: resolvePlatformSpecDir(dir, specDir) || join(diffEffectiveDir, '.sillyspec'),
           projectName: basename(diffEffectiveDir),
           base: diffBase,
           full: filteredArgs.includes('--full'),
@@ -1553,8 +1568,8 @@ async function main() {
 SillySpec worktree — git worktree 隔离管理
 
 用法:
-  sillyspec worktree create <change-name> [--base <branch>]   创建隔离 worktree
-  sillyspec worktree apply <change-name> [--check-only] [--base merge-base|baseline] [--merge]   校验并应用变更到主工作区
+  sillyspec worktree create <change-name> [--base <branch>] [--adopt-branch]   创建隔离 worktree（--adopt-branch：收编既有同名分支为工作分支，分支现状作 baseline）
+  sillyspec worktree apply <change-name> [--check-only] [--base merge-base|baseline] [--merge] [--skip-overlap] [--stash-dirty]   校验并应用变更到主工作区（--stash-dirty：主仓在途改动自动 stash→apply→恢复，SHA 兜底可审计）
   sillyspec worktree assess <change-name>                     风险审计 + 自动 apply
   sillyspec worktree diff <change-name> [--base <commit>]      查看 worktree 相对 base 的变更
   sillyspec worktree list                                      列出所有活跃 worktree
@@ -1572,7 +1587,7 @@ SillySpec worktree — git worktree 隔离管理
       switch (wtSubCmd) {
         case 'create': {
           if (!wtName) {
-            console.error('❌ 用法: sillyspec worktree create <change-name> [--base <branch>]');
+            console.error('❌ 用法: sillyspec worktree create <change-name> [--base <branch>] [--adopt-branch]');
             process.exit(1);
           }
           // F6 路径穿越消毒：worktree 名用于分支名 + worktree 目录，含 ../ 会逃出 .sillyspec/worktrees/。
@@ -1580,8 +1595,9 @@ SillySpec worktree — git worktree 隔离管理
           catch (e) { console.error(`❌ ${e.message}`); process.exit(2); }
           const baseIdx = args.indexOf('--base');
           const base = baseIdx >= 0 && args[baseIdx + 1] ? args[baseIdx + 1] : undefined;
+          const adoptBranch = args.includes('--adopt-branch'); // 收编既有同名分支为工作分支（坑 worktree-user-branch-conflict）
           try {
-            const info = wm.create(wtName, { base });
+            const info = wm.create(wtName, { base, adoptBranch });
             console.log(`✅ worktree 已创建`);
             console.log(`   分支: ${info.branch}`);
             console.log(`   路径: ${info.worktreePath}`);
@@ -1601,12 +1617,13 @@ SillySpec worktree — git worktree 隔离管理
         }
         case 'apply': {
           if (!wtName) {
-            console.error('❌ 用法: sillyspec worktree apply <change-name> [--check-only] [--base merge-base|baseline] [--merge] [--skip-overlap]');
+            console.error('❌ 用法: sillyspec worktree apply <change-name> [--check-only] [--base merge-base|baseline] [--merge] [--skip-overlap] [--stash-dirty]');
             process.exit(1);
           }
           const checkOnly = args.includes('--check-only');
           const merge = args.includes('--merge');
           const skipOverlap = args.includes('--skip-overlap');
+          const stashDirty = args.includes('--stash-dirty');
 
           // 解析 --base 参数（默认 merge-base）
           let base = 'merge-base';
@@ -1627,7 +1644,7 @@ SillySpec worktree — git worktree 隔离管理
           let _applyCtx = null;
           try {
             const { getOrCreateMultiRepoContext } = await import('./run/shared.js');
-            _applyCtx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: wtName, platformOpts: specDir ? { specRoot: specDir } : {} });
+            _applyCtx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: wtName, platformOpts: { specRoot: resolvePlatformSpecDir(dir, specDir) } });
           } catch (e) {
             console.error(`❌ apply 失败：跨仓 MultiRepoContext 构造失败（${e.message}）`);
             process.exit(1);
@@ -1637,8 +1654,8 @@ SillySpec worktree — git worktree 隔离管理
           let result;
           try {
             result = checkOnly
-              ? applyWorktree(wtName, { cwd: dir, checkOnly, merge, base, ctx: _applyCtx, skipOverlap })
-              : await withMainRepoLock(dir, wtName, 'apply', () => applyWorktree(wtName, { cwd: dir, checkOnly, merge, base, ctx: _applyCtx, skipOverlap }));
+              ? applyWorktree(wtName, { cwd: dir, checkOnly, merge, base, ctx: _applyCtx, skipOverlap, stashDirty })
+              : await withMainRepoLock(dir, wtName, 'apply', () => applyWorktree(wtName, { cwd: dir, checkOnly, merge, base, ctx: _applyCtx, skipOverlap, stashDirty }));
           } catch (lockErr) {
             console.error(`❌ ${lockErr.message}`);
             process.exit(1);
@@ -1711,7 +1728,7 @@ SillySpec worktree — git worktree 隔离管理
           let _assessCtx = null;
           try {
             const { getOrCreateMultiRepoContext } = await import('./run/shared.js');
-            _assessCtx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: wtName, platformOpts: specDir ? { specRoot: specDir } : {} });
+            _assessCtx = await getOrCreateMultiRepoContext({ cwd: dir, changeName: wtName, platformOpts: { specRoot: resolvePlatformSpecDir(dir, specDir) } });
           } catch (e) {
             if (assessment.decision === 'SAFE' || assessment.decision === 'WARNING') {
               console.error(`❌ assess 自动 apply 失败：跨仓 MultiRepoContext 构造失败（${e.message}）`);

package/src/module-impact.js

@@ -94,7 +94,7 @@ export function generateModuleImpactSkeleton({ cwd, changeName, specDir = null }
 
   // includeWorkingTree 同 verify module 子集（坑 module-subset-zero-hit-uncommitted）：
   // worktree 未提交改动也计入模块影响面（module-impact 按实际 diff 归属模块）
-  const diffFiles = resolveVerifyChangedFiles(cwd, changeName, null, { includeWorkingTree: true }) || []
+  const diffFiles = resolveVerifyChangedFiles(cwd, changeName, null, { includeWorkingTree: true, specBase }) || []
   const sourceFiles = diffFiles.map(f => f.split('\\').join('/')).filter(f => !f.startsWith('.sillyspec/'))
   if (sourceFiles.length === 0) return null
 

package/src/modules.js

@@ -78,29 +78,27 @@ export async function rebuildModuleMap(cwd, { force = false } = {}) {
   if (existsSync(modulesDir)) {
     const files = readdirSync(modulesDir).filter(f => f.endsWith('.md') && f !== '_module-map.yaml');
     for (const f of files) {
-      const content = readFileSync(join(modulesDir, f), 'utf8');
+      // CRLF 归一：Windows 卡片 \r 会使 parseModuleCardFrontmatter 的 ^---\n 与
+      // extractSection 的 ## <名>\n 失配 → module_id 回退文件名、role 提取恒空
+      const content = readFileSync(join(modulesDir, f), 'utf8').replace(/\r\n/g, '\n');
       const fm = parseModuleCardFrontmatter(content);
       const moduleId = fm.module_id || parseModuleIdFromFilename(f);
       cards.push({ filename: f, moduleId, content });
     }
   }
 
-  // 解析现有 _module-map.yaml 保留已有字段
+  // 解析现有 _module-map.yaml 保留已有字段（复用 parseModuleMapSimple：原内置解析只收模块名、
+  // 从不收集列表项 → existingPaths 恒空 → --force 重建后 core_files 全丢，scan-diff scope 退化
+  // 为全量、module-impact classifyFile 全 unmatched——注释声称的「从已有 map 保留」名存实亡）
   let existingModules = {};
   if (existingMap) {
-    // 简单解析：提取 modules: 下的条目
-    const lines = existingMap.split('\n');
-    let currentModule = null;
-    let inModules = false;
-    for (const line of lines) {
-      if (line.startsWith('modules:')) { inModules = true; continue; }
-      if (!inModules) continue;
-      if (line.startsWith('  ') === false && line.trim() !== '') break;
-      const moduleMatch = line.match(/^  ([a-zA-Z0-9_-]+):/);
-      if (moduleMatch) {
-        currentModule = moduleMatch[1];
-        existingModules[currentModule] = existingModules[currentModule] || { paths: [] };
-      }
+    const parsed = parseModuleMapSimple(existingMap);
+    for (const [id, fields] of Object.entries(parsed || {})) {
+      existingModules[id] = {
+        core_files: Array.isArray(fields.core_files) ? fields.core_files : [],
+        test_files: Array.isArray(fields.test_files) ? fields.test_files : [],
+        entrypoints: Array.isArray(fields.entrypoints) ? fields.entrypoints : [],
+      };
     }
   }
 
@@ -152,11 +150,13 @@ export async function rebuildModuleMap(cwd, { force = false } = {}) {
     yaml += `    review_reasons: []\n`;
     // context index 字段（v2）
     if (role) yaml += `    role: "${escapeYamlString(role)}"\n`;
-    // core_files / test_files / entrypoints 从已有 _module-map 保留，或从卡片文件名推导
-    const existingPaths = existingModules[moduleId]?.paths || [];
-    if (existingPaths.length > 0) {
-      yaml += `    core_files:\n`;
-      for (const p of existingPaths) yaml += `      - ${p}\n`;
+    // core_files / test_files / entrypoints 从已有 _module-map.yaml 全量保留（列表项级保真）
+    const existing = existingModules[moduleId] || {};
+    for (const [field, items] of [['core_files', existing.core_files], ['test_files', existing.test_files], ['entrypoints', existing.entrypoints]]) {
+      if (Array.isArray(items) && items.length > 0) {
+        yaml += `    ${field}:\n`;
+        for (const p of items) yaml += `      - ${p}\n`;
+      }
     }
     if (card) yaml += `    verify_commands: []\n`;
     yaml += `    risk_level: low\n`;
@@ -383,7 +383,9 @@ export function parseModuleMapSimple(content) {
   let currentArray = null;
 
   for (const line of content.split('\n')) {
-    const moduleMatch = line.match(/^  ([a-zA-Z0-9_-]+):$/);
+    // 模块 id 字符集含点（db.engine 等，与 module-impact.js classifyFile 同口径）：
+    // 不含点时带点 id 的条目被静默丢弃，上下文注入/scan-diff 侧与 module-impact 侧给相反结论
+    const moduleMatch = line.match(/^  ([a-zA-Z0-9_.\-]+):$/);
     if (moduleMatch) {
       if (currentArray && currentModule && currentKey) {
         modules[currentModule][currentKey] = currentArray;

package/src/progress/stage-machine.js

@@ -9,6 +9,20 @@ import { writeAtomicSync } from '../fs-atomic.js';
 import { runValidators } from '../stage-contract.js';
 import { VALID_STAGES, STAGE_LABELS, STAGE_ORDER, MAIN_FLOW_ORDER, SPEC_DIR_NAME, CURRENT_VERSION, emptyStage } from './shared.js';
 
+/**
+ * 归一化步骤的已记录等待回答（show 渲染用，跨会话恢复数据源）。
+ * waitAnswers 走 pm.read 时已 JSON.parse，但容错字符串/损坏；单值列 wait_answer（旧路径）并入第 1 轮。
+ */
+function _stepWaitRounds(step) {
+  let arr = step.waitAnswers;
+  if (typeof arr === 'string') { try { arr = JSON.parse(arr); } catch { arr = null; } }
+  const rounds = Array.isArray(arr) ? arr.filter(r => r && typeof r.answer === 'string' && r.answer.trim() !== '') : [];
+  if (rounds.length === 0 && typeof step.waitAnswer === 'string' && step.waitAnswer.trim() !== '') {
+    return [{ round: 1, answer: step.waitAnswer }];
+  }
+  return rounds.map((r, i) => ({ round: typeof r.round === 'number' ? r.round : i + 1, answer: r.answer }));
+}
+
 export class StageMachine {
   constructor(pm) {
     this.pm = pm;
@@ -245,6 +259,15 @@ export class StageMachine {
             if (step.waitOptions) console.log(`       选项：${(() => { try { const p = JSON.parse(step.waitOptions); return Array.isArray(p) ? p.join(', ') : step.waitOptions; } catch { return step.waitOptions; }})()}`);
             if (step.waitedAt) console.log(`       等待时间：${step.waitedAt}`);
           }
+          // 已记录的历史回答（等待中/已完成步骤都可能累积多轮；续跑时由 outputStep 自动回放，
+          // 此处摘要供人工排查「中断后哪些用户回答还在」）。每轮截断 120 字，全文在进度库 wait_answers。
+          const rounds = _stepWaitRounds(step);
+          if (rounds.length > 0) {
+            console.log(`       历史回答（${rounds.length} 轮，续跑自动回放）：`);
+            for (const r of rounds) {
+              console.log(`         第${r.round}轮: ${r.answer.length > 120 ? r.answer.slice(0, 120) + '…' : r.answer}`);
+            }
+          }
         }
       }
 

package/src/progress.js

@@ -25,8 +25,7 @@ import { STAGE_ORDER, MAIN_FLOW_ORDER, VALID_STAGES, STAGE_LABELS, SPEC_DIR_NAME
 // resolveSpecDir 单一真相源在 src/run/shared.js（含 home 拒绝守卫，坑 cwd-correction-home-collision
 // 根治：home 下 .sillyspec 恒不命中，防 smoke/临时目录污染自我延续）。此处 re-export 保持
 // 既有 import 路径兼容；run/shared.js 对 progress.js 只有动态 import，无静态循环。
-import { resolveSpecDir } from './run/shared.js';
-import { checkPlatformManaged, PLATFORM_MANAGED_FILENAME } from './run/shared.js';
+import { resolveSpecDir, checkPlatformManaged, PLATFORM_MANAGED_FILENAME, isSelfReferentialSpecRoot } from './run/shared.js';
 export { resolveSpecDir };
 
 // 默认规范目录名（相对于 cwd）
@@ -145,6 +144,43 @@ export function resolvePlatformSpecDir(cwd, explicitSpecDir = null) {
   return ptr.specRoot;
 }
 
+/**
+ * resolvePlatformSpecDir 的 platformOpts 版本：除 specRoot 外连 runtimeRoot 一起恢复。
+ *
+ * 供 register-stage-review / backfill-reviews 等需要拼 runtime 路径（marker、stage-reviews、
+ * execute-runs）的顶层子命令使用——此前这些 case 只认显式 --spec-dir，平台模式（指针存在）
+ * 下 specRoot 缺失 → 下游回退 join(cwd,'.sillyspec')，在项目本地找 design.md 报「主审查文档
+ * 不存在」，逼 agent 手算 docHash 兜底（2026-08-26 实证）。
+ *
+ * 语义（与 resolvePlatformSpecDir / runCommand 恢复链对齐）：
+ *   - 显式 --spec-dir：{ specRoot: resolve(显式), runtimeRoot: null }（runtimeRoot 走
+ *     resolveRuntimeRoot 默认 specRoot/.runtime）；
+ *   - 无指针：调一次 resolvePlatformSpecDir 保留接管声明 fail-closed（声明存在 →
+ *     PlatformManagedError 上抛），随后返回 null = 纯本地，调用方 platformOpts 保持空；
+ *   - 有指针：specRoot 经 resolvePlatformSpecDir 全量校验（损坏/缺字段/不可达 →
+ *     PointerUnreachableError 上抛），另读指针 runtimeRoot；自指回环（repo-native junction）
+ *     忽略指针返回 null（对齐 run/command.js:326 恢复链免疫）。
+ *
+ * @param {string} cwd 项目根
+ * @param {string|null} [explicitSpecDir] 显式 --spec-dir
+ * @returns {{ specRoot: string, runtimeRoot: string|null } | null} null = 纯本地（不设 specRoot）
+ */
+export function resolvePlatformOpts(cwd, explicitSpecDir = null) {
+  if (explicitSpecDir) return { specRoot: resolve(explicitSpecDir), runtimeRoot: null }
+  const pointerPath = join(resolve(cwd), '.sillyspec-platform.json')
+  const hasPointer = existsSync(pointerPath)
+  // 无指针也先过 resolvePlatformSpecDir：接管声明存在时它负责 fail-closed 上抛
+  const specRoot = resolvePlatformSpecDir(cwd, null)
+  if (!hasPointer) return null
+  if (isSelfReferentialSpecRoot(cwd, specRoot)) return null
+  let runtimeRoot = null
+  try {
+    runtimeRoot = JSON.parse(readFileSync(pointerPath, 'utf8')).runtimeRoot || null
+  } catch { /* specRoot 校验已在 resolvePlatformSpecDir 内做过，此处仅补读字段 */
+  }
+  return { specRoot, runtimeRoot }
+}
+
 const CHANGES_SUBDIR = 'changes';
 // CURRENT_VERSION → ./progress/shared.js（W6 Step9d）
 // VALID_STAGES → ./progress/shared.js（W6 Step9c）

package/src/quicklog.js

@@ -813,7 +813,7 @@ export async function cancelQuickSession({ specBase, gitUser, qlId, sessionId =
       const content = existsSync(p) ? readFileSync(p, 'utf8') : ''
       if (!content.includes(`## ${qlId} |`)) continue
       quicklogFile = p
-      const lines = content.split('\n')
+      const lines = content.split(/\r?\n/)
       const startIdx = lines.findIndex(l => l.startsWith(`## ${qlId} |`))
       let endIdx = lines.length
       for (let i = startIdx + 1; i < lines.length; i++) {
@@ -832,8 +832,10 @@ export async function cancelQuickSession({ specBase, gitUser, qlId, sessionId =
         }
       }
       if (flipped) {
+        // split(/\r?\n/) 吃掉行尾 \r 再按原 eol join：旧写法 split('\n') 保留 \r 又 join('\r\n')
+        // 会产出 \r\r\n 字节级污染（git diff 全文件红）；原子写防 agent/dashboard 轮询读半截
         const eol = content.includes('\r\n') ? '\r\n' : '\n'
-        writeFileSync(p, lines.join(eol === '\r\n' ? '\r\n' : '\n'))
+        await writeAtomic(p, lines.join(eol))
       }
       break
     }
@@ -849,10 +851,10 @@ export async function cancelQuickSession({ specBase, gitUser, qlId, sessionId =
       if (!c.isDirectory() || c.name === 'archive') continue
       const tp = tasksPath(specBase, c.name)
       if (!existsSync(tp)) continue
-      await withFileLock(tasksLockPath(tp), () => {
+      await withFileLock(tasksLockPath(tp), async () => {
         const content = readFileSync(tp, 'utf8')
         if (!content.includes(qlId)) return
-        const lines = content.split('\n')
+        const lines = content.split(/\r?\n/)
         const kept = lines.filter(l => {
           const m = l.match(/^[-*]\s*\[([ xX])\]\s*(\S+)/)
           if (m && m[2] === qlId) {
@@ -864,7 +866,7 @@ export async function cancelQuickSession({ specBase, gitUser, qlId, sessionId =
         })
         if (kept.length !== lines.length) {
           const eol = content.includes('\r\n') ? '\r\n' : '\n'
-          writeFileSync(tp, kept.join(eol === '\r\n' ? '\r\n' : '\n'))
+          await writeAtomic(tp, kept.join(eol))
         }
       })
     }