sillyspec 3.27.6 → 3.27.9

package/.worktrees/e58fcc4c/templates/claude-instruction.md

@@ -0,0 +1,23 @@
+# Claude Code 指引
+
+## 项目说明
+本项目使用 **SillySpec** 管理变更，采用文档驱动开发。SillySpec 是给 Agent 调用的 CLI 流程控制器，不是给人类直接使用的产品，也不是处理业务逻辑的工具——你（Agent）通过 CLI 告诉它"我在哪"，它告诉你"下一步做什么"；你执行步骤，它校验产出、推进状态，人类只在关键决策点介入审批。要考虑多 agent 同时操作代码，代码随时可能变化。所有变更以稳定、可用、可维护为目标，按生产级标准处理。
+
+## 核心规则
+1. **禁止绕过本文件规则和 SillySpec 流程**。所有变更走 sillyspec 流程，不裸改裸提交。
+2. **改代码前必须先说明依据**——依据的文档路径（design.md / 模块文档 / file-lifecycle.md）或现有代码依据，无依据不改。
+3. **新功能 / 大改动走完整流程**：`brainstorm → plan → execute → verify → archive`。
+4. **小修复 / 小调整走 quick**：`sillyspec run quick`。
+5. **执行顺序**：文档 → 读代码 → 写测试 → 写实现 → 跑测试 → 验收 → 更新文档。
+6. **判规模选档**：≤3 文件、范围明确走 `quick`；多阶段 / 架构级走完整流程。
+7. **代码先行不补流程（倒推 B 模式）**：代码若已先写好，**不回头补 brainstorm/plan 装样子**——用 `quick --done` 收尾 + 补 quicklog 条目，把已落盘改动如实登记进进度库。
+8. **实证核验再 `--done`**：`quick --done` 前，触及 `src`/`test` 的改动先 `npm test` + `npm run lint`；纯 doc/配置改动可跳过（lint 不扫 docs/，空转无信息），以落盘文件与测试结果为准，不信口头"已完成"。
+9. **中途停下不靠额外命令存进度**——进度已由上一次 `--done` 自动落盘；恢复时用 `sillyspec progress show` 查看进度，再用 `sillyspec run <stage>` 续跑，不直接 commit 半成品。
+10. **实现完成后对照文档验收**（design.md / 模块文档），并检查是否影响已有测试。
+11. **非测试逻辑本身有误时，禁止改测试来"通过"**——修逻辑，不修测试。
+12. **hook 拦截提交时禁止跳过**（`.husky/pre-push`），修复问题后再提交。
+13. **代码必须兼容 Windows / Linux / macOS**（路径 / 换行 / 并发都要顾）。
+14. **任务记录隔离**：永不重置 / reset / 清零已存在的 change；多个活跃 change 各自 `--change <名>` 隔离不重叠；quick 同一 QUICKLOG 按 ql-ID 条目追加，不冲突。
+15. **quicklog 结构化落盘**：末步 `--done` 用四参数 `--req/--cause/--solution/--result`（CLI 合成结构化 output 并自动提取标题/四段分行）；文件括注用 `--file-notes "path::注 || path2"`。骨架由 CLI 接管，`--done` 后按需核对即可，勿手拼模板。
+16. **代码可能随时在修改**（多 agent 并行），Edit 前重跑 + 查最新态；破坏性 git op 前先备份。
+17. **不奉承用户**，禁止"你说得对"类话术，直接给结论、依据、方案。

package/.worktrees/e58fcc4c/templates/prompts/taskcard-rules.md

@@ -0,0 +1,29 @@
+TaskCard 格式规则（必须严格遵守）：
+- 总长度 20~40 行，不要写成长文档
+- frontmatter 只含必要字段，不加 estimated_hours
+- title 用英文短语（kebab 风格动词短语，如 "Add readonly auxiliary constant"），title_zh 用对应中文标题——两字段是同一任务的双语表示，非不同信息；归档产物与 sillyhub 平台解析各取所需（title_zh 为中文展示首选）
+- goal: 一句话，用 > 多行字符串
+- implementation: 列表，每条一个具体步骤
+- acceptance: 列表，每条可独立验证（不是表格）
+- verify: 列表，实际可执行的命令
+- constraints: 列表，明确边界（含 brownfield 兼容、异常处理）
+- 不需要：修改文件章节、覆盖来源章节、接口定义章节、TDD 步骤章节、参考章节
+- frontmatter 必须以三减号结尾闭合（开头和结尾各一行 ---）。缺结尾会让 postcheck 提取不到 frontmatter，误报「字段缺失 / allowed_paths 为空」
+- allowed_paths 用块式写法（键名换行后每项一行「  - 路径」），不要用流式方括号 [path]——块式与所有校验器一致最稳
+- implementation / acceptance / constraints / verify 的每条列表项是 YAML plain scalar，避免以下特殊字符触发 ScannerError：
+  - 冒号+空格（如代码签名 provider_id:str、queryUsage(id:string)）会被当映射键报 mapping values are not allowed here——去掉冒号后空格或改成中文描述
+  - 花括号且内部含冒号或引号（如 JS 对象、JS 模板字面量）会报 expected block end——改用不含这些字符的中文描述
+  - 引号不成对会报扫描错误
+  - 注：goal 用 > 折叠标量可容忍花括号，goal 里写占位符不炸；只有上述 plain scalar 列表项需注意
+- provides / expects_from 是可选字段：仅当跨 task 契约（一个 task 的接口/DTO/响应被另一个 task 消费）时才填，单 task 或无对外接口场景留空即可
+- 填写后 plan-postcheck 会做硬对账：consumer 的每个 expects_from[provider].needs 字段必须在对应 provider 的 provides.fields 里，否则 plan 阶段阻断（不进入 execute）
+- 不要把内部实现字段塞进 provides；只暴露给其他 task 的对外契约形状
+- related_tests 是可选字段：当本 task 改动会导致既有测试断言失效时填（判据 = 是否有既有测试因本次改动而失败，而非源文件是否共享——覆盖改共享/被多 task 依赖源文件、改被测试精确匹配的值如 UI 文案/按钮文本/错误信息/常量/枚举字面量、改函数签名或返回结构等单文件场景），列出失效测试文件 + 为何失效。关键：这些测试路径必须同时写进本 task 的 allowed_paths（否则子代理被 allowed_paths 铁律锁死、改不了测试 → 退化成主代理事后兜底）；若测试由独立的测试 task 负责，则在该测试 task 的 allowed_paths 覆盖、本字段留空
+- 如果存在 decisions.md，无法覆盖的 D-xxx@vN 在 constraints 中标注
+- **保存前格式自检**（plan-postcheck 会硬校验，不通过到 Step 4 会批量报错，先在这里逐条自查）：
+  - **硬校验字段**（缺失 plan-postcheck 直接报错阻断，必须齐全）：id、title、title_zh、allowed_paths、goal、implementation、acceptance、verify、constraints
+  - **占位符硬拦**（未替换视同缺字段，plan --done 直接报错阻断）：FR-XX（requirement_ids）、D-XXX（decision_ids）、src/example/file.ts（allowed_paths）、一句话说明这个 task（goal）、具体步骤 1（implementation）、可验证的验收条件 1（acceptance）、边界约束 1（constraints）——骨架带出来的占位值必须逐个替换成真实内容
+  - **规范约定字段**（应填但不硬校验，缺失不阻断完成、只影响规范性）：author、created_at、priority、depends_on、blocks
+  - allowed_paths 非空（至少一个真实源文件路径；回归类 task 无源码改动时填被验证的关键入口文件）
+  - acceptance 与 verify 都在 frontmatter 内（漏写会被 plan-postcheck 报「缺少验收标准」/「缺少验证步骤」）
+- **生成方式**：由主 agent 一次性 `sillyspec taskcard <change-name> --all` 预生成全部安全骨架（LF 行尾 + frontmatter 必闭合 + 九个硬校验字段齐全 + author/created_at 自动填；幂等，已存在跳过）。**子代理不要并行跑 taskcard CLI**（2026-08-25 实证撞进度库 SQLite 锁），只往骨架里填语义内容（LF 行尾 + frontmatter 必闭合 + 九个硬校验字段齐全 + author/created_at 自动填），再往骨架里填语义内容——**勿用 Write tool 整文件手写**（CRLF / 漏闭合 `---` / 漏字段的根源，postcheck 报错大多由此来）；已存在的卡命令会跳过不覆盖，局部修改用 Edit 定点改

package/.worktrees/e58fcc4c/templates/prompts/testcase-design.md

@@ -0,0 +1,12 @@
+### 测试用例设计（写测试时按此检查）
+
+写测试是为了拦住回归，不是"有测试文件"。
+**基础习惯照做、不展开**：FIRST（快/独立/可重复/自校验/及时）、金字塔分层（单元为主/集成少量/E2E 只冒烟）、AAA 结构、测试名描述场景、测试数据轻量构造（Object Mother/Builder）、覆盖率不追数字。
+
+逐条对照检查：
+1. **覆盖**：正常路径 + 边界 + 异常/非法输入，不只写业务正例；单测全绿 ≠ 集成正确。
+2. **断言**：断言真实输出/副作用，禁止只"不抛错"的空断言；不 mock 被测方法自身。
+3. **行为 vs 实现**：走公开 API 测行为；重构后功能不变，测试不应失败。
+4. **契约与回归**：覆盖本次改动会破坏的既有行为与相邻模块接口；改公共签名/文案/常量时同步修复受影响既有测试并跑全量，禁止删断言凑绿。
+5. **时间敏感分支**：超时/重试/并发分支别真等——超时参数做成可注入，测试传毫秒级极小值或注入可控时钟推进，再断言超时后的行为（走哪个分支/返回什么/资源是否回收）。
+6. **隔离确定性**：独立 fixture、可重复跑，不依赖共享状态/执行顺序。

package/.worktrees/e58fcc4c/templates/prompts/verify-probes.md

@@ -0,0 +1,32 @@
+### 自动探针（必须先执行）
+
+> 🔧 **先跑 CLI 机械探针（一条命令）**：`sillyspec verify-probes --change <change-name> [--init]`
+> 输出已包含四个纯机械探针的结果（可直接进验证报告）：**探针 1** 未实现标记扫描（design 清单文件逐行 TODO/FIXME 命中 + 行号）、**探针 3** 测试文件递归查找（含 co-located tests/，逐 task 覆盖）、**探针 5** API 契约对账表（endpoints.json × 前端调用 diff）、**探针 6** 删除对账三态（git 事实 × design 声明）。`--init` 顺带生成 verify-result.md 九章节骨架（探针结果已预填，`<!--TODO-->` 占位替换即可）。
+>
+> 下列条目中，只有**半语义部分**需要你执行：探针 2（关键词提取）、探针 3.4 集成盲区标注、探针 3.5 断言有效性抽查、探针 4（决策追踪闭环判定）。CLI 已跑的部分勿重复手跑——对 CLI 输出的 warning 项做语义复核即可。
+
+**探针 2：设计关键词覆盖探针（你执行——关键词提取是语义）**
+1. 读取 design.md，从中提取所有能力关键词（如"登录"、"导出"、"批量"、"删除"、"搜索"等动作词）
+2. 对每个关键词，在源码目录中 grep 确认是否有对应的实现代码：
+```bash
+grep -rl "<关键词>" <源码目录>/ --include="*.java" --include="*.js" --include="*.ts" --include="*.jsx" --include="*.tsx" --include="*.py"
+```
+3. 如果某个关键词在源码中完全没有匹配，标记为 ⚠️ 可能未实现
+
+**探针 3 补充（CLI 已查存在性，你补语义）**
+- **集成盲区提示**：测试文件存在 ≠ 集成正确——路由/layout 守卫重定向、跨模块装配这类集成 bug 组件单测覆盖不到，只有集成/冒烟/E2E 才暴露。对路由/layout/跨进程装配敏感的 task，额外检查是否有集成冒烟覆盖；无则标 ⚠️ 集成层未验证（需人工或部署确认）
+- **断言有效性抽查（与 execute「测试用例设计」闭环）**：测试文件存在 ≠ 测试有效。对最能代表本次变更行为的 2-3 个核心测试做抽查：① 断言验证真实输出/副作用，不是只"不抛错"的空断言、只测 getter/setter；② 覆盖边界/异常分支，不只业务正例；③ 走公开 API 测行为，不测实现细节（重构后功能不变测试不应失败）。不达标标 ⚠️ 断言薄弱或无效（advisory：CLI 不阻断，是否 FAIL 由你诚实判定；execute 已按「测试用例设计」写的，这里只抽查核验，不重审全量）
+
+**探针 4：决策追踪覆盖探针（如存在 decisions.md——闭环图机械，证据真伪是语义）**
+1. 从 decisions.md 提取所有当前版本 D-xxx@vN
+2. 检查 requirements.md 是否引用每个 D-xxx@vN，并映射到 FR-xxx
+3. 检查 plan.md 或 tasks/task-NN.md 是否引用每个 FR-xxx/D-xxx@vN
+4. 检查本步骤收集的实现证据是否能回指到对应 D-xxx@vN/FR-xxx
+5. 任意 D-xxx@vN 无下游覆盖时标记为 ⚠️ 决策未闭环
+6. 任意 P0/P1 unresolved/blocking 决策标记为 FAIL blocker
+
+**探针 5 补充（CLI 已出对账表，你做诚实判定）**
+CLI 的 missing backend endpoint 是 advisory（不硬阻断归档）——但 contract gap 是真实集成缺陷，应诚实标 FAIL 并回 execute 补端点，勿因 CLI 不拦而放行。后端 router 的端点清单可用 `sillyspec endpoints extract --change <变更名> --task <task-NN>` 重新静态提取（勿手扫装饰器）。
+
+**探针 6 补充（CLI 已出三态判定，你做终审）**
+以 git 事实为准（真实 > 声明）；CLI 的三态（合规/高风险/未声明）是机械判定，是否构成 FAIL blocker 由你诚实判定，务必如实记录——静默删除代码是 verify 的最大盲区。

package/.worktrees/e58fcc4c/templates/workflows/archive-impact.yaml

@@ -0,0 +1,79 @@
+name: archive-impact
+description: 分析变更影响的模块并同步模块文档
+spec_version: 1
+
+roles:
+  - id: impact-analyzer
+    name: "影响分析"
+    task: "分析 git diff，提取变更影响模块"
+    inputs:
+      paths: [".sillyspec/changes/", ".sillyspec/docs/*/modules/"]
+      hints:
+        grep_patterns: ["_module-map", "module-impact", "git diff"]
+    outputs:
+      - path: ".sillyspec/changes/<change-name>/module-impact.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 20
+          - type: contains_sections
+            sections: ["模块影响矩阵", "未匹配文件"]
+    constraints:
+      - "以 git diff 为准（真实 > 声明）"
+      - "影响类型：逻辑变更/数据结构变更/接口变更/调用关系变更/配置变更/新增"
+      - "需要 review 标记不确定的影响"
+
+  - id: doc-syncer
+    name: "文档同步"
+    task: "根据 module-impact.md 同步更新模块索引和卡片"
+    depends_on:
+      - impact-analyzer
+    inputs:
+      from_role: impact-analyzer
+      output: module-impact
+      output_description: "变更影响分析结果，包含模块影响矩阵"
+      paths: [".sillyspec/docs/*/modules/"]
+      hints:
+        grep_patterns: ["_module-map", "module-impact"]
+    outputs:
+      - path: ".sillyspec/docs/sillyspec/modules/_module-map.yaml"
+        required: false
+        checks:
+          - type: file_exists
+      - path: ".sillyspec/docs/sillyspec/modules/<module-id>.md"
+        required: false
+        # checks 跳过：路径含动态 <module-id> 占位符，不适合静态检查
+    constraints:
+      - "结构化事实改 _module-map.yaml，语义解释改模块卡片"
+      - "人工备注区域永远保护，不覆盖"
+      - "更新前展示 diff 摘要，请用户确认"
+
+orchestration:
+  mode: sequential
+  timeout_per_role: 180
+
+checks:
+  role_level:
+    - type: file_exists
+    - type: min_lines
+      min: 10
+  workflow_level:
+    - type: file_exists
+      path: ".sillyspec/changes/<change-name>/module-impact.md"
+
+retry:
+  max_attempts: 1
+  include_failure_context: true
+  retry_scope: failed_role_only
+
+on_check_failure: prompt_retry
+
+permissions:
+  write_mode: patch_only
+  write_scope:
+    - ".sillyspec/docs/"
+    - ".sillyspec/changes/<change-name>/"
+  allow_shell: true
+  allow_network: false
+  allow_git: true

package/.worktrees/e58fcc4c/templates/workflows/scan-docs.yaml

@@ -0,0 +1,132 @@
+name: scan-docs
+description: 并行生成项目的扫描文档（7份）
+spec_version: 1
+
+roles:
+  - id: arch
+    name: "技术架构"
+    task: "生成 ARCHITECTURE.md"
+    inputs:
+      paths:
+        - "src/*.js"
+        - "package.json"
+      hints:
+        grep_patterns: ["class ", "export ", "import ", "schema", "CREATE TABLE"]
+    outputs:
+      - path: "{SPEC_ROOT}/docs/<project>/scan/ARCHITECTURE.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 20
+          - type: contains_sections
+            sections: ["技术栈", "架构概览"]
+    constraints:
+      - "禁止读源码全文，只用 grep/rg 搜索"
+      - "Schema 只记表名+说明+字段数"
+
+  - id: conventions
+    name: "代码约定"
+    task: "生成 CONVENTIONS.md"
+    inputs:
+      paths: ["src/"]
+      hints:
+        grep_patterns: ["function ", "const ", "async ", "try ", "catch "]
+    outputs:
+      - path: "{SPEC_ROOT}/docs/<project>/scan/CONVENTIONS.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 15
+          - type: contains_sections
+            sections: ["框架隐形规则", "代码风格"]
+    constraints:
+      - "禁止读源码全文"
+      - "提取 3-5 个典型模式"
+
+  - id: structure
+    name: "目录结构+外部集成"
+    task: "生成 STRUCTURE.md 和 INTEGRATIONS.md"
+    inputs:
+      paths: ["./"]
+      hints:
+        grep_patterns: ["fetch", "http", "WebSocket", "ws", "chokidar"]
+    outputs:
+      - path: "{SPEC_ROOT}/docs/<project>/scan/STRUCTURE.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 15
+      - path: "{SPEC_ROOT}/docs/<project>/scan/INTEGRATIONS.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 15
+    constraints:
+      - "STRUCTURE: 目录树+模块说明"
+      - "INTEGRATIONS: 按类型分组外部依赖"
+
+  - id: quality
+    name: "测试+债务+概览"
+    task: "生成 TESTING.md、CONCERNS.md、PROJECT.md"
+    inputs:
+      paths: ["src/", "packages/"]
+      hints:
+        grep_patterns: ["TODO", "FIXME", "deprecated", "test", "describe"]
+    outputs:
+      - path: "{SPEC_ROOT}/docs/<project>/scan/TESTING.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 10
+          - type: no_placeholder
+      - path: "{SPEC_ROOT}/docs/<project>/scan/CONCERNS.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 10
+          - type: contains_sections
+            sections: ["代码质量", "依赖风险"]
+      - path: "{SPEC_ROOT}/docs/<project>/scan/PROJECT.md"
+        required: true
+        checks:
+          - type: file_exists
+          - type: min_lines
+            min: 15
+          - type: contains_sections
+            sections: ["项目简介", "技术栈"]
+    constraints:
+      - "CONCERNS 按严重程度分组（🔴/🟡/🟢）"
+      - "不编造不存在的测试"
+
+orchestration:
+  mode: parallel
+  max_concurrent: 4
+  timeout_per_role: 120
+
+checks:
+  workflow_level:
+    - type: file_count
+      path: "scan/"
+      min: 7
+    - type: no_empty_files
+
+retry:
+  max_attempts: 1
+  include_failure_context: true
+  retry_scope: failed_role_only
+
+on_check_failure: prompt_retry
+
+permissions:
+  write_mode: direct
+  write_scope:
+    - "{SPEC_ROOT}/docs/<project>/scan/"
+  allow_shell: true
+  allow_network: false
+  allow_git: false

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sillyspec",
-  "version": "3.27.6",
+  "version": "3.27.9",
   "description": "SillySpec CLI — 流程状态机，让 AI 严格按步骤来",
   "icon": "logo.jpg",
   "homepage": "https://sillyspec.ppdmq.top/",

package/src/contract-matrix.js

@@ -117,22 +117,50 @@ export function buildContractMatrix(planContent, changeDir) {
 function parseTaskDependencies(registryContent) {
   const deps = {}
 
-  // 方式 1: 任务总表表格形式 | task-04 | ... | 01,02 |
-  // 列前缀用 [^|\d]*（不吃数字）：旧 [^|]* 贪婪会吃掉 deps 列前导 0（" 01" → g2=1 → task-1），
-  // 导致 provider task-1.md 不存在 → contracts 恒空，端点契约管线失效。
-  const tableRows = registryContent.matchAll(/\|[^|]*task-(\d+)[^|]*\|[^|]*\|[^|\d]*(?:task-)?(\d+(?:\s*[,，]\s*\d+)*)[^|]*\|/gi)
-  for (const match of tableRows) {
-    const task = `task-${match[1]}`
-    const depList = match[2].split(/[,，\s]+/).map(d => `task-${d.trim()}`).filter(d => d.startsWith('task-'))
-    deps[task] = depList
+  // 方式 1: 任务总表表格形式（两种常见格式）
+  //   A: | task-04 | Wave | 优先级 | 说明 | 依赖 |  （task-NN 在独立列）
+  //   B: | task | desc | deps |                       （task-NN 在任意列，bare 数字依赖）
+  // 逐行按 | 分列解析，避免旧单正则 [^|]* 跨列贪婪误读说明列数字（409/HTTP 状态码）
+  // 为假依赖（坑 contract-matrix-false-deps）。
+  // deps 列判定：从行尾倒数第一个「非分隔符、非 task 自身、非单数字(Wave/优先级)」的列，
+  // 且须含逗号/task- 引用/bare 两位以上数字。
+  const lines = registryContent.split('\n')
+  for (const line of lines) {
+    const taskIdMatch = line.match(/task-(\d+)/i)
+    if (!taskIdMatch) continue
+    const taskId = `task-${taskIdMatch[1]}`
+
+    const cells = line.split('|').map(c => c.trim()).filter(c => c.length > 0)
+    if (cells.length < 2) continue
+
+    // 从行尾倒数找 deps 列
+    let depCell = null
+    for (let i = cells.length - 1; i >= 0; i--) {
+      const c = cells[i]
+      if (/^-+$/.test(c)) continue                          // 分隔符 "-"
+      if (c.toLowerCase() === taskId.toLowerCase()) continue // task 自身列
+      // deps 列候选：含逗号（多依赖）或含 task- 引用
+      if (/[,，]/.test(c) || /task-\d+/i.test(c)) { depCell = c; break }
+      // bare 数字：须 ≥2 位且位于行尾第2+列（跳过优先级/Wave 列的个位数）
+      if (/^\d{2,}$/.test(c) && i >= cells.length - 2) { depCell = c; break }
+    }
+    if (!depCell) continue
+    const depNums = depCell.match(/\d+/g) || []
+    deps[taskId] = depNums.map(d => `task-${d.padStart(2, '0')}`)
   }
 
   // 方式 2: tasks.md 行内标注 "- [ ] task-04: 名称 (depends_on: task-01,02)"（新家，D-003@v1；
-  // 旧 plan.md checkbox 行内标注同格式兼容）
-  const dependsPattern = registryContent.matchAll(/task-(\d+).*?depends_on.*?(\d+(?:\s*[,，]\s*\d+)*)/gi)
+  // 旧 plan.md checkbox 行内标注同格式兼容）。仅匹配 (depends_on: ...) 括号内内容，
+  // 不在自由文本上全文正则（坑 contract-matrix-false-deps：说明列数字被误读为依赖）。
+  const dependsPattern = registryContent.matchAll(/task-(\d+)\b[^)]*?\(depends_on:\s*([^)]+)\)/gi)
   for (const match of dependsPattern) {
     const task = `task-${match[1]}`
-    const depList = match[2].split(/[,，\s]+/).map(d => `task-${d.trim()}`).filter(d => d.startsWith('task-'))
+    const depStr = match[2]
+    // 兼容两种写法：task-01, task-02 或 01, 02
+    const depList = depStr.split(/[,，]\s*/).map(s => {
+      const num = s.trim().match(/\d+/)
+      return num ? `task-${num[0].padStart(2, '0')}` : null
+    }).filter(Boolean)
     if (!deps[task]) deps[task] = []
     for (const d of depList) {
       if (!deps[task].includes(d)) deps[task].push(d)
@@ -198,7 +226,7 @@ export function extractProviderArtifact(changeDir, worktreePath, specBase, taskN
  * @param {{ changeDir: string, specBase: string, changeName: string, worktreePath: string|null }} args
  * @returns {string|null} 日志摘要；无 provider/无 plan/worktree 缺失时返回 null（不打扰）
  */
-export function extractArtifactsForChange({ changeDir, specBase, changeName, worktreePath }) {
+export function extractArtifactsForChange({ changeDir, specBase, changeName, worktreePath, runtimeRoot }) {
   if (!worktreePath || !changeDir || !existsSync(changeDir)) return null
   const planFile = join(changeDir, 'plan.md')
   if (!existsSync(planFile)) return null
@@ -207,7 +235,10 @@ export function extractArtifactsForChange({ changeDir, specBase, changeName, wor
   if (providers.length === 0) return null
   let withEndpoints = 0
   for (const taskName of providers) {
-    const r = extractProviderArtifact(changeDir, worktreePath, specBase, taskName)
+    // runtimeRoot 透传（坑 contract-artifact-runtime-split）：读侧（verify parity / consumer 注入）
+    // 统一走 resolveRuntimeRoot(platformOpts, specBase)，写侧不透传时平台模式落 specBase/.runtime
+    // → 读侧恒空 → parity 静默 skipped、契约注入整体失效
+    const r = extractProviderArtifact(changeDir, worktreePath, specBase, taskName, runtimeRoot)
     if (r.ok && r.endpoints.length > 0) withEndpoints++
   }
   return `📦 契约 artifact 提取: providers=${providers.join(',')}（${withEndpoints}/${providers.length} 含端点）`
@@ -394,7 +425,7 @@ function _resolveDiffFilesForParity(specBase, scanRoot, changeName) {
     // 本变更端点」的 missingBackend 误报——剔除他者显式声明文件（fail-closed：无主保留）。
     const out = gitQuiet(scanRoot, ['diff', '--name-only', 'HEAD'], { timeout: 30000 })
     if (out === null) return null
-    const { own, foreign } = splitOwnVsForeignDiffFiles(scanRoot, changeName, out.split('\n').filter(Boolean))
+    const { own, foreign } = splitOwnVsForeignDiffFiles(scanRoot, changeName, out.split('\n').filter(Boolean), { specBase })
     if (foreign.length > 0) {
       console.warn(`⚠️ parity 对账已排除 ${foreign.length} 个并行会话声明的文件（${foreign.slice(0, 5).map(x => x.file).join(', ')}${foreign.length > 5 ? ' 等' : ''}）`)
     }

package/src/foreign-declared.js

@@ -92,9 +92,13 @@ function filterStaleForeignDeclarations(foreign, cwd, specBase) {
 /**
  * @param {string} cwd 项目根
  * @param {string|null} currentChangeName 本变更名（quick 会话名或 change 名，排除自身）
+ * @param {{ specBase?: string, runtimeRoot?: string }} [opts] 平台模式路径（A4 同族）：
+ *   specBase 覆盖默认 join(cwd,'.sillyspec')（他者 design 清单 / quick 会话所在 spec 根），
+ *   runtimeRoot 覆盖 quick-sessions 目录（平台模式 runtime 可与 specBase/.runtime 分离）。
+ *   不传保持本地行为，零回归。
  * @returns {Map<string, string[]>} file → 声明者列表（quick-<hex> 或变更名）
  */
-export function collectForeignDeclaredFiles(cwd, currentChangeName) {
+export function collectForeignDeclaredFiles(cwd, currentChangeName, opts = {}) {
   const foreign = new Map()
   const add = (file, owner) => {
     const f = String(file || '').replace(/\\/g, '/')
@@ -102,10 +106,11 @@ export function collectForeignDeclaredFiles(cwd, currentChangeName) {
     if (!foreign.has(f)) foreign.set(f, [])
     if (!foreign.get(f).includes(owner)) foreign.get(f).push(owner)
   }
-  const specBase = join(cwd, '.sillyspec')
+  const specBase = opts.specBase || join(cwd, '.sillyspec')
+  const runtimeRoot = opts.runtimeRoot || join(specBase, '.runtime')
   try {
     // ① 其他 quick 会话的 --files 显式声明（guard.json）
-    const sessionsDir = join(specBase, '.runtime', 'quick-sessions')
+    const sessionsDir = join(runtimeRoot, 'quick-sessions')
     let sessionDirs = []
     try { sessionDirs = readdirSync(sessionsDir, { withFileTypes: true }).filter(e => e.isDirectory()).map(e => e.name) } catch {}
     for (const sid of sessionDirs) {
@@ -138,11 +143,12 @@ export function collectForeignDeclaredFiles(cwd, currentChangeName) {
  * @param {string} cwd 项目根
  * @param {string|null} currentChangeName 本变更名
  * @param {string[]|null} diffFiles 待切分文件列表（null 透传，保持调用方 null 语义）
+ * @param {{ specBase?: string, runtimeRoot?: string }} [opts] 平台模式路径（透传 collectForeignDeclaredFiles）
  * @returns {{ own: string[]|null, foreign: Array<{file: string, owners: string[]}> }}
  */
-export function splitOwnVsForeignDiffFiles(cwd, currentChangeName, diffFiles) {
+export function splitOwnVsForeignDiffFiles(cwd, currentChangeName, diffFiles, opts = {}) {
   if (!Array.isArray(diffFiles)) return { own: diffFiles, foreign: [] }
-  const foreignMap = collectForeignDeclaredFiles(cwd, currentChangeName)
+  const foreignMap = collectForeignDeclaredFiles(cwd, currentChangeName, opts)
   if (foreignMap.size === 0) return { own: diffFiles, foreign: [] }
   const own = []
   const foreign = []

package/src/fs-atomic.js

@@ -7,7 +7,7 @@
  * 注意：DB 持久化由 node:sqlite 引擎承担（提交即落盘 sillyspec.db + WAL 侧车），
  * 不经此处的 writeAtomicSync；sillyspec.db 不走原子写改名。
  */
-import { writeFileSync, renameSync, unlinkSync } from 'fs';
+import { renameSync, unlinkSync, openSync, writeSync, fsyncSync, closeSync, statSync } from 'fs';
 import { randomBytes } from 'node:crypto';
 import { dirname, basename, join } from 'path';
 
@@ -49,8 +49,13 @@ export function renameSyncRetry(from, to, retries = 5) {
 }
 
 /**
- * 原子写文本文件：同目录 tmp 写入 → rename 覆盖目标（带 Windows 退避重试）。
+ * 原子写文本文件：同目录 tmp 写入 → fsync → rename 覆盖目标（带 Windows 退避重试）。
  * - tmp 名含 pid，避免多进程并发写同一目标时 tmp 名碰撞（如多会话写 local.yaml）。
+ * - 写入后 fsync（fd 级）：rename 只保证「读者见旧版或新版」的并发原子性，不保证崩溃持久性——
+ *   tmp 数据滞留页缓存时 rename 的元数据先落盘，断电/蓝屏后目标可能是 0 字节或半截 JSON
+ *   （本函数契约对象恰是 local.yaml（含明文 token）/pointer/guard.json 这类跨进程凭据文件）。
+ * - 新 tmp 按目标现有 mode 创建：POSIX 下 local.yaml(0600) 重写不再有 0644 窗口
+ *   （Windows 上 chmod 近似 no-op，不受影响）。
  * - rename 失败时清理 tmp，避免留下孤儿 .tmp 文件。
  * - Node 的 rename 在 Windows 上用 MoveFileEx(REPLACE_EXISTING)，可覆盖已存在目标；
  *   EPERM 仅在文件被其他进程锁定时出现，由 renameSyncRetry 退避重试。
@@ -63,7 +68,19 @@ export function writeAtomicSync(filePath, content) {
   // crypto 随机源（Math.random 可预测，tmp 名被预猜中有 symlink 预放置理论面）
   const rnd = randomBytes(6).toString('hex');
   const tmpPath = join(dir, `.${basename(filePath)}.${process.pid}.${rnd}.tmp`);
-  writeFileSync(tmpPath, content);
+  let mode = 0o644;
+  try { mode = statSync(filePath).mode & 0o777; } catch { /* 目标不存在 → 默认 */ }
+  const fd = openSync(tmpPath, 'w', mode);
+  try {
+    const buf = Buffer.from(content, 'utf8');
+    let offset = 0;
+    while (offset < buf.length) {
+      offset += writeSync(fd, buf, offset);
+    }
+    fsyncSync(fd);
+  } finally {
+    closeSync(fd);
+  }
   try {
     renameSyncRetry(tmpPath, filePath);
   } catch (err) {

package/src/hooks/worktree-guard.js

@@ -29,8 +29,8 @@ const READONLY_COMMANDS = new Set([
   'node', 'npm', 'npx', // 只允许 --version 等只读子命令，在 matchReadonlyWhitelist 中处理
 ])
 
-/** 只读 git 子命令 */
-const READONLY_GIT_SUBS = new Set(['diff', 'status', 'log', 'show', 'branch', 'stash'])
+/** 只读 git 子命令（stash 不在此列：drop/clear/pop 破坏性，仅下方 matchReadonly 细化放行 list/裸查询） */
+const READONLY_GIT_SUBS = new Set(['diff', 'status', 'log', 'show', 'branch'])
 
 /** 危险 git 子命令 */
 const DANGER_GIT_SUBS = new Set([
@@ -510,7 +510,13 @@ function isSingleCommandReadonly(cmd, extraReadonlyCommands = []) {
       // 不能用 rest.includes('--version')：`npx any-pkg --version` 会执行 any-pkg，
       // 旧实现因 && 优先级高于 || 使 --version 分支无长度约束，可绕过只读白名单。
       const isBareVersionQuery = parts.length === 2 && (parts[1] === '--version' || parts[1] === '-v')
-      return isBareVersionQuery || rest === 'run test' || rest.startsWith('test')
+      // npm test（含 npm run test / npm test -- 传参）放行；词边界收紧（坑 test-prefix-bypass）：
+      // 旧实现 rest.startsWith('test') 使 `npx test-<任意包>`/`node test-<任意脚本>` 绕过白名单
+      // 下载执行任意代码。npx/node 只保留纯版本查询。
+      if (cmdName === 'npm') {
+        return isBareVersionQuery || /^test(\s|$)/.test(rest) || /^run test([:\s]|$)/.test(rest)
+      }
+      return isBareVersionQuery
     }
     return true
   }