sillyspec 3.27.6 → 3.27.9

package/src/stages/plan-postcheck.js

@@ -387,11 +387,17 @@ export function collectTaskDepMap(tasksDir) {
 /**
  * 本地一致性校验器
  * @param {string} changeDir - 变更目录
+ * @param {{ repoRegistry?: Map<string,string> }} [opts]
+ *   repoRegistry：local.yaml repos: 段解析结果（executePlanPostcheck 传入）。提供时启用两类
+ *   跨仓口径校验：① task 卡 repo: 键未注册 → error（提前到 plan 期拦，不等 execute fail-closed）；
+ *   ② allowed_paths 带其他注册键前缀 → warning。缺省（plan-adopt-waves / 单仓旧调用）只做
+ *   无注册表依赖的形态校验（绝对路径 / 自仓前缀），零回归。
  * @returns {{ ok: boolean, errors: string[], warnings: string[] }}
  */
-export function validateBlueprintConsistency(changeDir) {
+export function validateBlueprintConsistency(changeDir, opts = {}) {
   const errors = []
   const warnings = []
+  const repoRegistry = opts.repoRegistry instanceof Map ? opts.repoRegistry : null
 
   const tasksDir = pJoin(changeDir, 'tasks')
   if (!existsSync(tasksDir)) {
@@ -441,6 +447,48 @@ export function validateBlueprintConsistency(changeDir) {
       warnings.push(bsRule.data.messageTdd.replaceAll('${id}', `${taskId} (${file})`))
     }
 
+    // ── 跨仓路径口径校验（坑 cross-repo-allowed-path-base，2026-08-26 实证）──
+    // allowed_paths 的统一口径 = task 卡 repo: 声明仓的**仓根相对路径**（review 归属按
+    // `git -C <仓根> diff` 产出的仓根相对路径匹配、design 覆盖对账按「## <repo> 仓变更」
+    // 段内相对路径匹配）。agent 生成跨仓 task 卡时易把仓库名前缀 / 绝对盘符路径写进
+    // allowed_paths（如 sub-grid-security/src/...），两种对账都永不命中——task 改完却判
+    // 「无归属」、design 报「未被覆盖」，错误信号在下游且误导。此处前置拦根因：
+    //   绝对路径 / 自仓前缀（repo: X + 路径以 X/ 开头）→ error 硬拦（无合法布局）；
+    //   其他注册键前缀 → warning（主仓内与 repo 同名目录的罕见合法布局不阻断）。
+    for (const p of allowedPaths) {
+      const isAbsoluteShape = p.startsWith('/') || p.startsWith('\\\\') || /^[A-Za-z]:[\\/]/.test(p)
+      if (isAbsoluteShape) {
+        errors.push(
+          `${taskId} (${file}): allowed_paths 含绝对路径「${p}」——必须写 repo 声明仓的仓根相对路径（如 src/routes/x.js）。` +
+          `绝对路径在 review 归属对账（git -C <仓根> diff 产仓根相对路径）与 design 覆盖对账中永不命中，task 改完会被判「无归属」。`
+        )
+        continue
+      }
+      const firstSeg = p.split(/[\\/]/)[0]
+      if (repo !== 'main' && firstSeg === repo) {
+        errors.push(
+          `${taskId} (${file}): allowed_paths「${p}」带了自仓前缀「${repo}/」——该 task 已声明 repo: ${repo}，子代理 workdir 即该仓根，` +
+          `路径应为仓根相对（${p.slice(repo.length + 1)}），去掉前缀「${repo}/」。带前缀路径在两种对账中永不命中。`
+        )
+      } else if (repoRegistry && firstSeg !== 'main' && repoRegistry.has(firstSeg)) {
+        warnings.push(
+          `${taskId} (${file}): allowed_paths「${p}」首段「${firstSeg}」是 local.yaml repos: 注册键——` +
+          `若本 task 属于该跨仓仓：补 repo: ${firstSeg} 并去掉路径前缀（仓根相对）；` +
+          `若主仓内确有同名目录（罕见合法布局）：忽略本警告。`
+        )
+      }
+    }
+
+    // repo: 键注册校验（仅注册表可用时；execute 启动 MultiRepoContext 也会 fail-closed 拦，
+    // 此处提前到 plan --done，报错即给注册命令，不等 execute 才发现）
+    if (repoRegistry && repo !== 'main' && !repoRegistry.has(repo)) {
+      errors.push(
+        `${taskId} (${file}): repo: ${repo} 未在 local.yaml repos: 段注册——先跑 ` +
+        `\`sillyspec local register-repo ${repo} <${repo} 仓根路径>\` 注册（main 隐式不用注册），` +
+        `否则 execute 启动 fail-closed 阻断。`
+      )
+    }
+
     for (const p of allowedPaths) {
       const key = `${repo}|${p}`
       if (!pathOwners.has(key)) pathOwners.set(key, { repo, path: p, owners: [] })
@@ -1199,8 +1247,20 @@ export async function executePlanPostcheck(context) {
     }
   }
 
+  // ── local.yaml 预读（跨仓 repos 注册表 + monorepo modules，一次读两用）──
+  // repos 喂检查 1 的 allowed_paths 路径口径校验 + repo: 键注册校验；
+  // modules 喂检查 1c-b 的命令存在性校验（monorepo 子包感知）。
+  const localYamlPath = pJoin(specDir, 'local.yaml')
+  let taskModules = null
+  let repoRegistry = null
+  if (existsSync(localYamlPath)) {
+    const localYamlText = readFileSync(localYamlPath, 'utf8')
+    taskModules = parseLocalYamlModules(localYamlText)
+    repoRegistry = parseRepoRegistry(localYamlText)
+  }
+
   // ── 1. 一致性校验 ──
-  const consistency = validateBlueprintConsistency(changeDir)
+  const consistency = validateBlueprintConsistency(changeDir, { repoRegistry })
   if (consistency.errors.length > 0) {
     failures.push({ name: '蓝图一致性校验', errors: consistency.errors, hint: '请修复上述问题后重新完成此步骤。' })
   }
@@ -1230,11 +1290,7 @@ export async function executePlanPostcheck(context) {
   // scripts 中存在（monorepo 子包感知——读 local.yaml modules 块定位）。
   // invalid → error 硬阻断，避免 execute 子代理跑死命令（design D-04 / 问题 3）。
   // modules 块可选：无块时仅查根 package.json（与 scan-postcheck 历史行为一致）。
-  const localYamlPath = pJoin(specDir, 'local.yaml')
-  let taskModules = null
-  if (existsSync(localYamlPath)) {
-    taskModules = parseLocalYamlModules(readFileSync(localYamlPath, 'utf8'))
-  }
+  // local.yaml 已在检查 1 前预读（taskModules），此处直接消费。
   const taskCmds = validateTaskCommands(changeDir, context.cwd, taskModules)
   if (taskCmds.errors.length > 0) {
     failures.push({

package/src/stages/plan.js

@@ -137,6 +137,12 @@ const stepGeneratePlan = {
 4. **写回任务清单**：把展开后的任务清单写回 tasks.md（checkbox 行 \`- [ ] task-XX: 一句话任务名\`，可附 \`[model:xxx]\`/\`(depends_on: task-01,02)\` 行内标注）。**写回规则（D-002@v1）**：保留 frontmatter/中文标题/所有非 task-XX 行（quick 挂载的 ql-xxx 勾选行、注记等逐行保留），仅重写 task-XX checkbox 行集合——防摧毁 quick 挂载条目
 5. 保存 plan.md（审查在下一步"审查计划"独立进行，不在本步自审——避免生成与自审同一次输出）；frontmatter 保留 plan_level 字段不删。**plan.md Wave 段下任务一律纯 ID 引用行**（\`- task-XX\`，不重抄任务名——任务名唯一真相在 tasks.md，重抄即双写漂移）
 
+> ⚠️ **Wave 段格式铁律（踩坑：旧先例 \`- [ ] task-XX: 描述\` 格式会导致 postcheck 告警）：**
+> ✅ 正确：\`- task-01\`（裸 ID 引用行，无 checkbox 无任务名）
+> ❌ 错误：\`- [ ] task-01: 添加用户创建接口\`（checkbox + 任务名——这是 tasks.md 格式，不是 plan.md Wave 段格式）
+> tasks.md 格式：\`- [ ] task-01: 一句话任务名\`（execute 从这里解析任务清单）
+> plan.md Wave 段格式：\`- task-01\`（纯 ID 引用，execute 据此分组）
+
 ---
 
 #### plan_level = none
@@ -329,7 +335,7 @@ tier: {REVIEW_TIER}（{REVIEW_TIER_REASON}）
 - [ ] task 编号与 Wave checkbox 格式正确，execute 依赖此格式解析任务
 - [ ] plan_level 档位与实际复杂度匹配（none/light/full 没选错）
 - [ ] 跨任务契约：task-A 的产出（接口/DTO/响应）被 task-B 消费时，consumer 是否在 TaskCard expects_from 声明所需字段、provider 是否在 provides 承诺、两边字段一致？（plan-postcheck 会硬校验，此处是独立视角复查）
-- [ ] 文件覆盖：design.md 文件变更清单中的每个源码文件，是否都被至少一个 task 的 allowed_paths 覆盖？（漏覆盖 = execute 必然漏改）
+- [ ] 文件覆盖：design.md 文件变更清单中的每个源码文件，是否都被至少一个 task 的 allowed_paths 覆盖？（漏覆盖 = execute 必然漏改。跨仓变更对账口径：design 清单按「## <repo-key> 仓变更」分段、路径相对各仓根，task 卡 repo: + 同口径相对路径匹配——allowed_paths 带仓库名前缀或绝对路径 = 永不命中、对账不上）
 - [ ] 不存在 P0/P1 unresolved blocker 残留
 - [ ] 没有实现细节泄漏到 plan.md（接口签名/代码示例应在 tasks/task-NN.md）
 - [ ] 关键路径与 Wave 依赖合理（无循环依赖、无遗漏前置）
@@ -407,7 +413,8 @@ depends_on: []
 blocks: []
 requirement_ids: [FR-XX]
 decision_ids: [D-XXX@vN]
-allowed_paths:
+repo: <repo-key>                          # 可选。仅跨仓 task 填：local.yaml repos: 注册的仓 key（缺省=main，主仓 task 省略此行）
+allowed_paths:                            # ⚠️ 路径相对 repo 声明的仓根（跨仓=跨仓仓根，主仓=主仓根），禁止带仓库名前缀/绝对路径
   - frontend/src/lib/errors.ts
 provides:                              # 可选。仅当本 task 给其他 task 提供接口/DTO/响应时填
   - contract: <DTO或响应类型名>          # 如 DaemonRuntimeRead
@@ -445,6 +452,8 @@ related_tests:                           # 可选。当本 task 改动会导致
 - **task id 从 1 连续**：task-01、task-02、task-03… 不能跳号或重号（postcheck 校验 id 连续性，gap 会拦）
 这两条是跨 task 全局约束，子代理只写单卡看不到全局——你（主 agent）分派子代理前必须先在 plan.md 里确认 Wave 划分与编号正确。
 
+⚠️ **TaskCard 必备字段（缺一 postcheck 直接阻断）：** id、title（英文）、**title_zh（中文标题，必填）**、allowed_paths、goal、implementation、acceptance、verify、constraints。骨架已由 taskcard CLI 预生成（含 title_zh 占位），子代理只需 Edit 填值，不要删除任何必备字段。
+
 ## 任务清单
 ${taskList}
 
@@ -500,6 +509,7 @@ ${taskcardTemplate}
 ## 约束
 - 每个 task 20~40 行；禁止在 TaskCard 里写实现细节之外的冗长设计
 - 同 batch 内 task 的 allowed_paths 不要互相冲突
+- **跨仓 task 路径口径（涉及 local.yaml repos: 注册仓的变更必读）**：跨仓 task frontmatter 必须填 \`repo: <repo-key>\`（local.yaml repos: 注册键，缺省=main 省略不填）；allowed_paths 相对**该仓根**写（\`src/routes/x.js\`），从 design.md「\`## <repo-key> 仓变更\`」段内路径原样搬。❌ 禁止带仓库名前缀（\`sub-grid-security/src/...\`）、❌ 禁止绝对路径/盘符（\`C:/repo/src/...\`）——review 对账按 \`git -C <仓根> diff\` 的仓根相对路径匹配 allowed_paths，带前缀/绝对路径永不命中 → task 改完却判「无归属」对账不上
 - 若 task 之间有 provides/expects_from 契约，同 batch 生成时必须字段对齐
 - 只生成本 batch 声明的任务，不要多写或少写
 - 不要在 TaskCard 里泄露 plan.md 中未出现的实现假设
@@ -519,6 +529,7 @@ ${taskcardTemplate}
 - 每个 task 总长度 20~40 行
 - **一致性自查**：
   - allowed_paths 有无冲突
+  - 跨仓 task：repo: 键是 local.yaml repos: 已注册键；allowed_paths 全部为仓根相对路径（无仓库名前缀、无绝对路径/盘符）；与 design.md 对应「仓变更」段路径同口径
   - depends_on 与 plan.md Wave 分组是否一致
   - provides/expects_from 契约自洽：每个 expects_from[provider].needs 字段都在该 provider task 的 provides.fields 里（plan-postcheck 会硬校验，这里提前自查）
   - related_tests 判据 = 是否有既有测试因本次改动而失败（非「源文件是否共享」；UI 文案/常量/签名变更等单文件场景也算）；若填，测试路径必须都在本 task 或某 task 的 allowed_paths 内（否则子代理无权改 → execute 测试债、主代理事后兜底）

package/src/sync.js

@@ -28,7 +28,6 @@ function safePlatformSpecDir(cwd) {
 }
 
 const LOCAL_YAML = '.sillyspec/local.yaml';
-const CHANGES_DIR = '.sillyspec/changes';
 const REQUEST_TIMEOUT_MS = 10_000;
 
 // 未连接平台是本地独立用户的合法默认状态。sync / checkApproval 由 run 流程在后台 best-effort
@@ -429,13 +428,17 @@ export class SyncManager {
     }
 
     // 检查变更目录是否存在（归档后目录已移走但 DB 仍有最终状态需推平台，serializeForSync 从
-    // DB 读不依赖文件系统目录）。归档终态探测（坑 post-archive-sync-noise，2026-08-21 实证：
-    // 归档尾声连打「目录不存在/变更不存在」warn，观感像出错）：确认已归档（changes/archive/
-    // 有实体 或 DB status='archived'）时降为一行 info 措辞——正常时序不是告警。
-    const changeDir = join(this.cwd, CHANGES_DIR, changeName);
+    // DB 读不依赖文件系统目录）。树根与 syncDocuments/spec 树同源（safePlatformSpecDir，
+    // BUG-01 同族）：此前硬编码 cwd/.sillyspec/changes，平台模式（specRoot 指向外部）目录
+    // 恒不存在 → 每次同步打「变更目录不存在」warn 噪音。归档终态探测（坑 post-archive-
+    // sync-noise，2026-08-21 实证：归档尾声连打「目录不存在/变更不存在」warn，观感像出错）：
+    // 确认已归档（changes/archive/ 有实体 或 DB status='archived'）时降为一行 info 措辞——
+    // 正常时序不是告警。
+    const specBase = safePlatformSpecDir(this.cwd) || join(this.cwd, '.sillyspec');
+    const changeDir = join(specBase, 'changes', changeName);
     let archivedQuietly = false;
     if (!existsSync(changeDir)) {
-      archivedQuietly = existsSync(join(this.cwd, CHANGES_DIR, 'archive', changeName))
+      archivedQuietly = existsSync(join(specBase, 'changes', 'archive', changeName))
         || this._isChangeArchivedInDb(changeName);
       if (archivedQuietly) {
         console.log(`[sync] 变更已归档（目录在 archive/），继续从 DB 推送最终状态: ${changeName}`);
@@ -768,23 +771,36 @@ export class SyncManager {
 
   /**
    * 查看同步状态。
-   * 读取 local.yaml 中的 platform 配置，返回连接信息。
+   * 基于本实例解析出的平台配置（env 优先，见 _getPlatform）返回连接信息；
+   * env 通道无 last_connected 可读，返回 null。
    */
   status() {
-    const config = readLocalYaml(this.cwd);
-    const platform = config.platform;
+    const platform = this._getPlatform();
     if (!platform) {
       return { connected: false };
     }
     return {
       connected: true,
       url: platform.url,
-      lastSync: platform.last_connected || null,
+      lastSync: readLocalYaml(this.cwd).platform?.last_connected || null,
     };
   }
 
-  /** 获取当前平台配置，未连接返回 null */
+  /**
+   * 获取当前平台配置，未连接返回 null。
+   * 优先级：env SILLYHUB_PLATFORM_URL + SILLYHUB_PLATFORM_TOKEN（两键齐全才生效——
+   * daemon 注入通道，平台模式 specRoot/local.yaml 常无 platform 段，与链路 D
+   * readPlatformPushConfig 同款先例）> local.yaml platform 段。
+   * env 由 daemon 注入、CLI 不管其生命周期（disconnect 仍只清 local.yaml——daemon
+   * 停止注入即失效）；triggerSync 平台模式放行（2026-08-26）后这是回传走通的关键通道。
+   */
   _getPlatform() {
+    if (process.env.SILLYHUB_PLATFORM_URL && process.env.SILLYHUB_PLATFORM_TOKEN) {
+      return {
+        url: process.env.SILLYHUB_PLATFORM_URL,
+        token: process.env.SILLYHUB_PLATFORM_TOKEN,
+      };
+    }
     const config = readLocalYaml(this.cwd);
     return config.platform || null;
   }

package/src/task-review.js

@@ -370,7 +370,9 @@ function isTaskLowRisk(changeDir, taskId) {
   if (!existsSync(taskFile)) return false
   try {
     const content = readFileSync(taskFile, 'utf8')
-    const fm = content.match(/^---\n([\s\S]*?)\n---/)
+    // \r? 容错（Windows 卡片 CRLF）：与下方 isTaskVerification 同款——硬锚 ^---\n 在 CRLF
+    // 文件上失配 → low_risk 豁免静默失效，缺 review.json 会被误判 error
+    const fm = content.match(/^---\r?\n([\s\S]*?)\r?\n---/)
     if (!fm) return false
     return /^low_risk:\s*true\s*$/im.test(fm[1])
   } catch {
@@ -1033,7 +1035,7 @@ export async function generateTaskReviewDrafts({ changeName, cwd, platformOpts =
   }
 
   // base..head diff 文件集（worktree-aware；null=git 不可用，[]=无 commit diff）
-  let diffFiles = resolveVerifyChangedFiles(cwd, changeName)
+  let diffFiles = resolveVerifyChangedFiles(cwd, changeName, null, { specBase })
   // ⚠️ 并入 worktree 未提交改动（坑 draft-attribution-uncommitted-worktree，2026-08-21 实证）：
   // 子代理默认不 commit（execute 复盘 a 同源事实），真实改动全在 worktree working-tree——只看
   // base..HEAD commit diff 时归属恒空，9/9 草稿全成「无归属」靠主代理手写升级。与
@@ -1105,11 +1107,18 @@ export async function generateTaskReviewDrafts({ changeName, cwd, platformOpts =
     const reviewPath = join(reviewDir, 'review.json')
 
     // 幂等：review.json 已存在（无论合法/解析错/schema 错）一律跳过，绝不覆盖人工/子代理 verdict
+    // 双重守卫：readReview 判定 + existsSync 兜底（坑 task-review-draft-overwrite：已存在真实
+    // review 仍被草稿覆盖的变体——readReview 路径/权限异常时 existsSync 作为最后防线）
     const existing = readReview(reviewPath)
     if (existing.ok || existing.parseError || existing.schemaError) {
       skipped++
       continue
     }
+    if (existsSync(reviewPath)) {
+      // readReview 未捕获但文件存在（极端：权限/路径长度等）→ 宁跳不覆盖
+      skipped++
+      continue
+    }
 
     const content = readFileSync(join(tasksDir, tf), 'utf8')
     const allowedPaths = parseAllowedPaths(content)
@@ -1275,7 +1284,7 @@ export async function adoptTaskReviewMechanics({ changeName, cwd, platformOpts =
 
   // base/head + diff：与 generateTaskReviewDrafts 同源口径（meta 锡点 + worktree rev-parse +
   // resolveVerifyChangedFiles），保证 adopt 产物与 gate 校验输入一致。
-  const diffFiles = resolveVerifyChangedFiles(cwd, changeName)
+  const diffFiles = resolveVerifyChangedFiles(cwd, changeName, null, { specBase })
   let base = null
   let head = null
   let reviewGitDir = cwd

package/src/taskcard.js

@@ -120,6 +120,8 @@ constraints:
      ⚠️ plan --done 硬校验会拦截未替换的占位符（FR-XX / D-XXX / src/example/file.ts /
      一句话说明这个 task / 具体步骤 1 / 可验证的验收条件 1 / 边界约束 1）——占位符视同缺字段。
      可选字段按需插进上方 frontmatter（规则见 taskcard-rules）：
+     repo:          仅跨仓 task 填（local.yaml repos: 注册的仓 key；缺省=main。allowed_paths 相对该仓根写，
+                    禁止带仓库名前缀/绝对路径——review 对账按仓根相对路径匹配，带前缀永不命中）
      provides:      仅当本 task 给其他 task 提供接口/DTO/响应时填
      expects_from:  仅当本 task 消费其他 task 的契约时填
      related_tests: 仅当本 task 改动导致既有测试断言失效时填（测试路径须同时进 allowed_paths） -->

package/src/verify-postcheck.js

@@ -22,7 +22,7 @@
  *                 task-12 经 run/prompt.js 注入 prompt 供用户否决）。
  */
 
-import { execSync } from 'child_process'
+import { execSync, spawnSync } from 'child_process'
 import { gitQuiet } from './git-helper.js'
 import { existsSync, mkdirSync, readFileSync, writeFileSync, readdirSync } from 'fs'
 import { join } from 'path'
@@ -457,15 +457,17 @@ export function extractModules(yamlText) {
   const modules = {}
   for (let i = startIdx + 1; i < lines.length; i++) {
     const line = lines[i]
-    // 子条目：以 2 空格缩进 + key + ':' 开头
-    const entry = line.match(/^  ([A-Za-z0-9_.\-]+):\s*(.*)$/)
+    // 条目缩进放宽为「任意非零空白」（坑 modules-indent-hardcoded，plan-postcheck parseLocalYamlModules
+    // 同款修复）：此前硬编码恰 2 空格——4 空格缩进条目被静默跳过、Tab 缩进直接截断整个块 →
+    // modules 丢失 → modulesPresent=false 回退全量实测（600s 超时必炸）或 0 命中误跳过。
+    const entry = line.match(/^([ \t]+)([A-Za-z0-9_.\-]+):\s*(.*)$/)
     if (!entry) {
       // 遇到新的顶层 key（行首非空格且非注释）→ modules 块结束
       if (line.length > 0 && !line.startsWith(' ') && !line.startsWith('#') && line.trim() !== '') break
       continue
     }
-    const name = entry[1]
-    const rest = entry[2].trim()
+    const name = entry[2]
+    const rest = (entry[3] || '').trim()
     if (rest === '' || rest.startsWith('#')) continue // 子块展开式（本实现只支持 inline flow）
     // 解析 inline flow mapping: { path: "...", test: "..." }
     const pathVal = parseFlowValue(rest, 'path')
@@ -810,12 +812,15 @@ import { splitOwnVsForeignDiffFiles } from './foreign-declared.js'
  * @param {string} cwd - 项目根目录（主仓）
  * @param {string|null} changeName
  * @param {object|null} [ctx] - MultiRepoContext 实例（可选，缺省/null 走单仓原逻辑）
+ * @param {object} [opts]
+ * @param {boolean} [opts.includeWorkingTree=false]
+ * @param {string|null} [opts.specBase] spec 根（平台模式=specRoot，透传 resolveMainChangedFiles）
  * @returns {string[]|null} 变更文件列表；git 不可用返回 null（调用方按 hitCount=-1 处理）
  */
 export function resolveVerifyChangedFiles(cwd, changeName, ctx = null, opts = {}) {
   const { includeWorkingTree = false } = opts
   // 主仓 diff（原逻辑不动，单仓零回归）
-  let mainFiles = resolveMainChangedFiles(cwd, changeName)
+  let mainFiles = resolveMainChangedFiles(cwd, changeName, opts.specBase)
 
   // 并入 worktree 未提交改动（坑 module-subset-zero-hit-uncommitted，2026-08-21 实证：
   // 子代理默认不 commit，真实改动全在 worktree working-tree——只看 base..HEAD commit diff
@@ -857,6 +862,7 @@ export function resolveVerifyChangedFiles(cwd, changeName, ctx = null, opts = {}
   // 那是 task-04 的 scope，本函数不消费锡点——跨仓合并 diff 在 verify-postcheck 内仅供
   // 「per-repo diff 合并」语义契约 + 未来 consumer，module 子集只用主仓 diff）。
   const merged = mainFiles ? mainFiles.slice() : []
+  const seen = new Set(merged) // Set 去重：merged.includes 线性扫在大 diff × 多仓合并时是 O(n²)
   let anyAvailable = mainFiles !== null
   for (const entry of crossEntries) {
     // 跨仓仓 gitDir = 跨仓仓根（MultiRepoContext._buildCrossRepoEntry 已 fail-closed 保证可达）
@@ -864,7 +870,10 @@ export function resolveVerifyChangedFiles(cwd, changeName, ctx = null, opts = {}
     if (files !== null) {
       anyAvailable = true
       for (const f of files) {
-        if (!merged.includes(f)) merged.push(f)
+        if (!seen.has(f)) {
+          seen.add(f)
+          merged.push(f)
+        }
       }
     }
   }
@@ -877,11 +886,14 @@ export function resolveVerifyChangedFiles(cwd, changeName, ctx = null, opts = {}
  *
  * @param {string} cwd - 主仓根
  * @param {string|null} changeName
+ * @param {string|null} [specBase] spec 根（平台模式=specRoot；缺省 join(cwd,'.sillyspec')，
+ *   meta.json 查找与他者声明过滤同用此根——A4 同族修复）
  * @returns {string[]|null}
  */
-function resolveMainChangedFiles(cwd, changeName) {
+function resolveMainChangedFiles(cwd, changeName, specBase = null) {
+  const sb = specBase || join(cwd, '.sillyspec')
   if (changeName) {
-    const metaPath = join(cwd, '.sillyspec', '.runtime', 'worktrees', changeName, 'meta.json')
+    const metaPath = join(sb, '.runtime', 'worktrees', changeName, 'meta.json')
     if (existsSync(metaPath)) {
       let meta = null
       try { meta = JSON.parse(readFileSync(metaPath, 'utf8')) } catch {}
@@ -902,7 +914,7 @@ function resolveMainChangedFiles(cwd, changeName) {
   // verify-reconcile-foreign-wip）：他者显式声明（quick --files / 他者 design 清单）的
   // 文件剔除归他者——不混入本变更 module 命中。无主文件保留（fail-closed）。
   if (fallback !== null && changeName && fallback.length > 0) {
-    const { own, foreign } = splitOwnVsForeignDiffFiles(cwd, changeName, fallback)
+    const { own, foreign } = splitOwnVsForeignDiffFiles(cwd, changeName, fallback, { specBase: sb })
     if (foreign.length > 0) {
       console.warn(`⚠️ verify 对账已排除 ${foreign.length} 个并行会话声明的文件（不参与本变更判定）：${foreign.slice(0, 5).map(x => `${x.file}←${x.owners[0]}`).join(', ')}${foreign.length > 5 ? ' 等' : ''}`)
       return own
@@ -977,7 +989,7 @@ export function runVerifyTestCheck({ cwd, specBase, changeName = null, ctx = nul
       modulesPresent = true
       // includeWorkingTree（坑 module-subset-zero-hit-uncommitted）：子代理不 commit 的改动
       // 也参与 module 命中判定，0 命中跳过不再误伤 worktree 未提交的真实变更
-      const changedFiles = resolveVerifyChangedFiles(cwd, changeName, null, { includeWorkingTree: true })
+      const changedFiles = resolveVerifyChangedFiles(cwd, changeName, null, { includeWorkingTree: true, specBase })
       lastChangedFiles = Array.isArray(changedFiles) ? changedFiles : []
       if (changedFiles === null) {
         hitCount = -1 // git 不可用 / 非仓库
@@ -1259,7 +1271,6 @@ function extractPortsFromCommand(cmd) {
  */
 function isPortOccupiedSync(port) {
   try {
-    const { spawnSync } = require('node:child_process')
     const r = spawnSync(process.execPath, ['-e',
       `const n=require('node:net');const s=n.connect(${port},'127.0.0.1',()=>{console.log('Y');s.end()});s.on('error',()=>console.log('N'));setTimeout(()=>{console.log('N');process.exit(0)},1500)`],
       { encoding: 'utf8', timeout: 4000 })
@@ -1576,7 +1587,7 @@ export function runVerifyDeletionCheck({ cwd, specBase, changeName = null }) {
   // WIP 时，他者显式声明（quick --files / 他者 design 清单）的删除不参与本变更删除对账
   // （否则「他者删的文件 × 本变更 design 三态」产出未声明删除误报）。无主删除保留（fail-closed）。
   if (changeName && deliverable.length > 0) {
-    const { own, foreign } = splitOwnVsForeignDiffFiles(cwd, changeName, deliverable.map(d => d.path))
+    const { own, foreign } = splitOwnVsForeignDiffFiles(cwd, changeName, deliverable.map(d => d.path), { specBase })
     if (foreign.length > 0) {
       console.warn(`⚠️ 删除对账已排除 ${foreign.length} 个并行会话声明的删除（${foreign.slice(0, 5).map(x => `${x.file}←${x.owners[0]}`).join(', ')}${foreign.length > 5 ? ' 等' : ''}）`)
       const keep = new Set(own)

package/src/verify-probes.js

@@ -173,14 +173,17 @@ export function runVerifyProbes({ cwd, changeName, specDir = null }) {
   const probe5 = verifyApiParity(specBase, cwd, runtimeRoot, changeName)
 
   // ── 探针 6：代码删除对账（git diff --name-status HEAD 的 D/R × design 声明三态）──
-  const probe6 = { deletions: [], note: '以 git 事实为准（真实 > 声明）；是否 FAIL blocker 由 agent 诚实判定' }
+  const probe6 = { deletions: [], unavailable: false, note: '以 git 事实为准（真实 > 声明）；是否 FAIL blocker 由 agent 诚实判定' }
   // 他者声明归属过滤（坑 verify-reconcile-foreign-wip）：并行会话在途删除/改动不进本变更对账
-  const nsOut = gitQuiet(cwd, ['diff', '--name-status', 'HEAD']) || ''
-  let nsRows = nsOut.split('\n').filter(Boolean)
+  // gitQuiet 失败（非仓库/git 缺失/报错）返回 null ≠ 空结果：null 必须显式标记不可用，
+  // 否则半截对账被渲染成「✅ 无删除」的错误全清信号（对照 verify-postcheck runVerifyDeletionCheck 的 skipped 口径）
+  const nsOut = gitQuiet(cwd, ['diff', '--name-status', 'HEAD'])
+  if (nsOut === null) probe6.unavailable = true
+  let nsRows = (nsOut || '').split('\n').filter(Boolean)
   {
     const rawTargets = nsRows.map(row => ((row.split('\t')[1]) || ''))
       .filter(Boolean).map(t => t.split('\\').join('/'))
-    const { foreign } = splitOwnVsForeignDiffFiles(cwd, changeName, rawTargets)
+    const { foreign } = splitOwnVsForeignDiffFiles(cwd, changeName, rawTargets, { specBase, runtimeRoot })
     if (foreign.length > 0) {
       const foreignSet = new Set(foreign.map(x => x.file))
       nsRows = nsRows.filter(row => !foreignSet.has((row.split('\t')[1] || '').split('\\').join('/')))
@@ -191,8 +194,8 @@ export function runVerifyProbes({ cwd, changeName, specDir = null }) {
     const [status, ...paths] = row.split('\t')
     const st = (status || '').trim().toUpperCase()
     if (!/^[DRC]/.test(st)) continue
-    // R/C 的旧路径等价删除（paths[0]）；D 的唯一路径
-    const target = (st.startsWith('D') ? paths[0] : paths[0]) || ''
+    // R/C 的旧路径等价删除（paths[0]）；D 的唯一路径——两者都取 paths[0]
+    const target = paths[0] || ''
     const posix = target.split('\\').join('/')
     if (!posix || posix.startsWith('.sillyspec/') || posix === 'meta.json' || basename(posix) === 'meta.json') continue
     const op = designOps.get(posix)
@@ -270,7 +273,9 @@ export function renderVerifyProbesReport(result) {
   L.push('')
 
   L.push('#### 探针 6：代码删除对账')
-  if (probe6.deletions.length === 0) {
+  if (probe6.unavailable) {
+    L.push('- ⚠️ git 不可用或非仓库，删除对账无法执行（不能视为「无删除」，agent 需人工核对）')
+  } else if (probe6.deletions.length === 0) {
     L.push('- ✅ git diff 无整文件删除（D/R/C）记录')
   } else {
     for (const d of probe6.deletions) {