sillyspec 3.28.12 → 3.29.0

package/src/run/shared.js

@@ -23,6 +23,7 @@ import { createHash } from 'node:crypto'
 // 分级门禁画像信号层（2026-09-14-quick-exit-tiered-gates task-01 / FR-02）：纯函数零 IO，
 // 仅依赖 change-risk-profile，无环——auditQuickCompletion 静态 import 安全（task-02 接线）。
 import { computeGateProfile, resolveGateThresholds } from '../quick-gate-profile.js'
+import { loadSpanRiskPatterns } from '../span-risk-surface.js'
 export { safeGit, unquoteGitPath }
 
 const __dirname = dirname(fileURLToPath(import.meta.url))
@@ -1771,10 +1772,15 @@ export async function auditQuickCompletion(cwd, guard, options = {}) {
         } catch { /* 坏 YAML → 纯默认阈值 */ }
       }
       const gateFiles = result.changedFiles.filter(f => !isQuicklogFileLineNoise(f, guard.linkedChanges))
+      // span 声明面装载（2026-09-19-span-risk-pattern-migration task-03）：与 loadQuickModuleIndex 同
+      // specBase/projectName 上下文（_module-map.yaml 顶层 span_risk 段）→ gateOpts.riskTable；
+      // 无声明项目 → 空表（riskTable 已默认 []，此处显式装载与其他声明面入参同风格，D-003）
+      const riskTable = loadSpanRiskPatterns({ specBase, project: projectName })
       const gateOpts = {
         ...(thresholds ? { thresholds } : {}),
         ...(noDocs ? { noDocs: true } : {}),
         ...(Array.isArray(fileNotes) && fileNotes.length > 0 ? { fileNotes } : {}),
+        riskTable,
       }
       const moduleIndex = await loadQuickModuleIndex(specBase, projectName)
       result.gateProfile = computeGateProfile(gateFiles, moduleIndex, gateOpts)
@@ -1783,6 +1789,36 @@ export async function auditQuickCompletion(cwd, guard, options = {}) {
         const attrGateFiles = gateFiles.filter(f => !undeclaredNorm.has(String(f).replace(/\\/g, '/')))
         result.gateProfile.checks.docClaim = computeGateProfile(attrGateFiles, moduleIndex, gateOpts).checks.docClaim
       }
+      // ── FR 写面腐烂 suspect 遥测（钩子 #1，L3 裁决数据，advisory 零阻断）──
+      // quick 永不归档 → FR 索引对 quick 改动无感知（L1 显式划出覆盖面），改掉 FR 覆盖行为后
+      // 条目仍标 active——账本从 quick 路径腐烂且今天完全不可见。此钩子把它量出来：changedFiles
+      // 经 moduleIndex 路径匹配得触达域（与 computeGateProfile 同 join），域内有 active FR 即记
+      // fr-rot-suspect 事件+一行 warn（只提醒不阻断——看得见约束≠声明取代，L3 才有裁决权）。
+      // 盲区预登（评审要求）：①unmapped 文件静默漏 join（新路径未录 map 即无信号）②map 文件
+      // 清单自身漂移——**无信号 ≠ 无腐烂**。fail-open：异常跳过不碰审计结论。
+      try {
+        const { readActiveFrDigest } = await import('../fr-index.js')
+        const { appendKnowledgeHit } = await import('../knowledge-hits.js')
+        const gateFilesNorm = gateFiles.map(f => String(f).replace(/\\/g, '/'))
+        const touchedDomains = new Set()
+        for (const [modId, mod] of Object.entries(moduleIndex || {})) {
+          const prefixes = [...(mod && Array.isArray(mod.paths) ? mod.paths : []), ...(mod && Array.isArray(mod.core_files) ? mod.core_files : [])]
+          for (const raw of prefixes) {
+            const p = String(raw).replace(/\\/g, '/').replace(/\/+$/, '')
+            if (p && gateFilesNorm.some(f => f === p || f.startsWith(p + '/'))) { touchedDomains.add(modId); break }
+          }
+        }
+        if (touchedDomains.size > 0) {
+          const frs = readActiveFrDigest(join(specBase, 'knowledge'), [...touchedDomains])
+          if (frs.length > 0) {
+            appendKnowledgeHit(join(specBase, '.runtime'), {
+              type: 'fr-rot-suspect', change: guard.changeName || null,
+              domains: [...touchedDomains], count: frs.length, source: 'quick-done',
+            })
+            console.warn(`⚠️ [FR 腐烂 suspect·advisory] 本次 quick 触达 ${[...touchedDomains].join('、')} 域的 ${frs.length} 条 active FR——quick 不走归档，若改动影响这些行为，索引不会自动 supersede（L3 声明义务；盲区：unmapped 文件/map 漂移不报警）`)
+          }
+        }
+      } catch { /* fail-open：遥测异常不影响审计 */ }
     } catch { /* 画像 fail-open：异常只跳过（gateProfile 保持 null，D-003 不碰 status） */ }
 
     // --confirm 模式：展示 diff 并等待确认

package/src/run/verify-quality-scan.js

@@ -33,7 +33,9 @@ import { join, dirname } from 'node:path'
 import { writeAtomicSync } from '../fs-atomic.js'
 import { gitQuiet } from '../git-helper.js'
 import { resolveRuntimeRoot, parsePorcelainPath } from './shared.js'
-import { detectChangeRisk } from '../change-risk-profile.js'
+import { resolveChangeRisk, extractExplicitRiskLevel } from '../change-risk-profile.js'
+import { loadBlastDeclarationsAllProjects } from '../blast-surface.js'
+import { parseFileChangeListDetailed } from '../change-list.js'
 import { recordFrictionEvent } from '../friction-tally.js'
 
 const RECORD_SCHEMA_VERSION = 1
@@ -524,13 +526,19 @@ export function evaluateConclusionDraft({ cwd, specBase, changeName, changeDir,
   const p6 = (probes.probe6 && probes.probe6.deletions) || []
   if (p6.length > 0) reasons.push(`探针 6 删除对账 ${p6.length} 项（待人工判定）`)
   try {
+    // 2026-09-19-ceremony-pricing-five-cuts task-03：声明面判级（design 文件清单 × blast 声明 + explicit；
+    // evidenceRequired → 集成证据链不预填——level 兼容字段为 integration-critical）
     const designPath = join(changeDir || '', 'design.md')
-    const planPath = join(changeDir || '', 'plan.md')
     const designContent = existsSync(designPath) ? readFileSync(designPath, 'utf8') : ''
-    const planContent = existsSync(planPath) ? readFileSync(planPath, 'utf8') : ''
-    const risk = detectChangeRisk({ designContent, planContent, changedFiles: [] })
-    if (risk && (risk.level === 'integration-critical' || risk.level === 'deployment-critical')) {
-      reasons.push(`风险等级 ${risk.level}——需集成证据链（回执槽 + Runtime Evidence），不预填`)
+    const declaredFiles = parseFileChangeListDetailed(designPath, { keepSillyspecDocs: true }).map(e => e.path)
+    const blastDeclarations = loadBlastDeclarationsAllProjects({ specBase: specBase || dirname(dirname(dirname(designPath))) })
+    const risk = resolveChangeRisk({ files: declaredFiles, blastDeclarations, explicitRiskLevel: designContent ? extractExplicitRiskLevel(designContent) : null })
+    // 否决面＝evidence:true 命中 或 agent 显式自报 critical（诚实承认集成风险 → 不代笔 PASS 草稿；
+    // explicit 低档声明不豁免 evidence 命中，D-009）
+    if (risk && (risk.evidenceRequired || (risk.explicit && risk.tier === 'S3'))) {
+      reasons.push(risk.evidenceRequired
+        ? `命中 evidence:true 声明危险面（${risk.hitPrefixes.join('、')}）——需集成证据链（回执槽 + Runtime Evidence），不预填`
+        : `显式自报 risk_level=integration-critical（tier=${risk.tier}）——需集成证据链（回执槽 + Runtime Evidence），不预填`)
     }
   } catch (e) {
     reasons.push(`风险判级异常（${e && e.message ? e.message : e}）——保守不预填`)

package/src/scope-audit.js

@@ -29,6 +29,7 @@ import { createHash } from 'node:crypto'
 import { join, dirname } from 'node:path'
 import { locateQuickSessionGuard, auditQuickCompletion, resolveRuntimeRoot, collectOtherQuickSessionDeclarations, ancestorSpecDirs, isQuickMetadata } from './run/shared.js'
 import { computeGateProfile, resolveGateThresholds } from './quick-gate-profile.js'
+import { loadSpanRiskPatternsAllProjects } from './span-risk-surface.js'
 import { safeGit } from './git-helper.js'
 import { parseFileChangeListDetailed, pathMatches } from './change-list.js'
 import { classifyToolScaffold } from './worktree-apply.js'
@@ -432,10 +433,16 @@ async function buildQuickRecordResult(rec, requestedName) {
         .filter(Boolean)
       if (rowsPaths.length > 0) {
         const thresholds = await resolveReplayGateThresholds(rec.specBase)
+        // span 声明面装载（2026-09-19-span-risk-pattern-migration task-03）：重放态 rec 只有
+        // specBase 无 projectName 语境 → AllProjects 并集口径（与 verify-postcheck 双跑事实面
+        // 同款；单项目仓与实时态 auditQuickCompletion 的 project 装载逐字相同）；无声明 → 空表。
+        // :517 pickModuleMapProject 内的 computeGateProfile 唯一消费 unmappedFiles.length，
+        // riskTable 不参与——不接线（Grill X-7 避免死接线）
+        const riskTable = loadSpanRiskPatternsAllProjects({ specBase: rec.specBase })
         gateProfile = computeGateProfile(
           rowsPaths,
           await loadGateModuleIndex(rec.specBase, rowsPaths),
-          thresholds ? { thresholds } : {},
+          { ...(thresholds ? { thresholds } : {}), riskTable },
         )
       }
     }

package/src/span-risk-surface.js

@@ -0,0 +1,127 @@
+/**
+ * span-risk-surface.js — 项目声明风险路径面（span 轴路径模式唯一输入源，2026-09-19-span-risk-pattern-migration D-003）
+ *
+ * 口径真相源：knowledge/conventions.md「判级/定价/门禁输入必须项目声明」条——src/
+ * change-risk-profile.js 的旧六域硬编码表（auth/permission/billing/migration/lock/
+ * scheduling 全宇宙路径模式，2026-09-19-span-risk-pattern-migration 已退役删除）是
+ * 判级/定价域最后一张违反该口径的表，本模块按 D-003 口径取而代之（表退役与消费面切换
+ * 见本变更 design.md）。
+ *
+ *   主声明 = `_module-map.yaml` 顶层 `span_risk:` 段（token 扁平字符串列表，进 git 手工
+ *   维护；modules rebuild --force 按未知顶层段原样回插保留——D-008@v2 机制）。token 只做
+ *   字面量编译（零新文法：无通配/正则语法，防 YAML 里写正则的转义与评审不可读问题），
+ *   编译口径与旧表逐字相同：前界 `(?:^|[/_-])` + 后界 `(?=[/._-]|$)` + `/i`——段边界锚定
+ *   防 author/booking/lockfile 类子串假阳（旧表 R-03 口径原样继承）。
+ *   未配置/坏声明项目 → 空表（span 模式维度关闭），禁止回退内置表——与 blast「未配置禁
+ *   回退」（2026-09-19-ceremony-pricing-five-cuts D-008 先例）同款取舍。
+ *
+ * 零依赖纯函数（compile/match）+ 两个 IO 装载器（仅 fs/path/js-yaml，与 blast-surface.js
+ * 同栈）；无 CLI/DB/锁副作用。装载容错立场同 parseModuleMapSimple / loadBlastDeclarations：
+ * 坏数据不缺省不拦截（map 缺失/坏 YAML/段非数组 → 空表，条目脏值逐条跳过）。
+ */
+import { readFileSync, existsSync, readdirSync } from 'fs'
+import { join } from 'path'
+import jsYaml from 'js-yaml'
+
+/** 正则字面量转义（先例：knowledge-classify.js escapeRegExp——token 只做字面量编译，防特殊字符注入文法） */
+function escapeRegExp(s) {
+  return String(s).replace(/[.*+?^${}()|[\]\\]/g, '\\$&')
+}
+
+/**
+ * token 编译（纯函数）：token 字符串数组 → 边界锚定正则表。
+ *   逐 token：非字符串跳过（design 兼容策略：条目非字符串逐条跳过）；trim 后空串跳过；
+ *   重复 token 去重（首个保留，按 trim 后字面量判重）。产物 { pattern, re } 与旧六域
+ *   硬编码表条目同形（两消费面现有循环零适配消费）——pattern 为 token
+ *   原始字面量（审计标签，ceremony reasons / quick riskHits 输出用），re 编译为
+ *   `(?:^|[/_-])<token>(?=[/._-]|$)` /i。
+ * @param {string[]} tokens
+ * @returns {Array<{pattern: string, re: RegExp}>}
+ */
+export function compileSpanRiskPatterns(tokens) {
+  if (!Array.isArray(tokens)) return []
+  const seen = new Set()
+  const out = []
+  for (const raw of tokens) {
+    if (typeof raw !== 'string') continue // 条目非字符串逐条跳过（手工维护数据容错）
+    const token = String(raw).trim()
+    if (token === '') continue // 空/纯空白 token 跳过
+    if (seen.has(token)) continue // 重复 token 去重（首个保留）
+    seen.add(token)
+    out.push({ pattern: token, re: new RegExp('(?:^|[/_-])' + escapeRegExp(token) + '(?=[/._-]|$)', 'i') })
+  }
+  return out
+}
+
+/**
+ * 共享命中语义（纯函数）：files × patterns → `[{ pattern, file }]` 扁平命中数组
+ * （两消费面 span 命中的单一语义）。files 逐条反斜杠归一 POSIX（Windows 兼容）并过滤
+ * 空串；patterns 逐条防御（null/非对象/re 非 RegExp 跳过）；global 正则每次 test 前归零
+ * lastIndex——调用方多次调用语义安全（先例：src/ceremony-tier.js span 命中循环同款写法）。
+ * @param {string[]} files 变更文件面
+ * @param {Array<{pattern: string, re: RegExp}>} patterns compileSpanRiskPatterns 产物
+ * @returns {Array<{pattern: string, file: string}>} file 为归一后（POSIX）路径
+ */
+export function matchSpanRiskPatterns(files, patterns) {
+  const norm = (Array.isArray(files) ? files : []).map((f) => String(f).replace(/\\/g, '/')).filter(Boolean)
+  const list = Array.isArray(patterns) ? patterns : []
+  const hits = []
+  for (const file of norm) {
+    for (const entry of list) {
+      if (entry == null || typeof entry !== 'object') continue
+      const re = entry.re
+      if (!(re instanceof RegExp)) continue
+      if (re.global) re.lastIndex = 0 // 防调用方传入 /g 正则跨文件携带 lastIndex 状态
+      if (re.test(file)) hits.push({ pattern: entry.pattern, file })
+    }
+  }
+  return hits
+}
+
+/**
+ * 声明面装载（IO，project 域）：`docs/<project>/modules/_module-map.yaml` 顶层 `span_risk:`
+ * 段（token 字符串数组）→ 编译产物。容错逐款对照 loadBlastDeclarations（src/blast-surface.js）：
+ * map 缺失/坏 YAML/顶层非对象/段非数组 → 空表（不缺省不拦截）；条目脏值经
+ * compileSpanRiskPatterns 逐条跳过。无声明 = span 模式维度关闭（禁回退内置表）。
+ * @param {{ specBase: string, project?: string|null }} opts specBase=.sillyspec 根；project=子项目名
+ * @returns {Array<{pattern: string, re: RegExp}>}
+ */
+export function loadSpanRiskPatterns({ specBase, project = null } = {}) {
+  if (!specBase || !project) return []
+  const mapPath = join(specBase, 'docs', project, 'modules', '_module-map.yaml')
+  try {
+    if (existsSync(mapPath)) {
+      const doc = jsYaml.load(readFileSync(mapPath, 'utf8'))
+      const spanRisk = doc && typeof doc === 'object' ? doc.span_risk : null
+      if (Array.isArray(spanRisk)) return compileSpanRiskPatterns(spanRisk)
+    }
+  } catch { /* 坏 map → 空表（手工数据容错，不拦截判级） */ }
+  return []
+}
+
+/**
+ * 多项目并集装载（事实面用——调用方无 project 语境时扫各 docs/<project>/modules/
+ * _module-map.yaml 取全部项目声明并集）：跨项目 token 按 trim 后字面量去重（并集语义，
+ * 防重复 pattern 在消费面重复计命中条数）；任一项目装载异常 → 该项目按空表跳过
+ * （loadSpanRiskPatterns 内建 catch；形态对照 loadBlastDeclarationsAllProjects）。
+ * @param {{ specBase: string }} opts
+ * @returns {Array<{pattern: string, re: RegExp}>}
+ */
+export function loadSpanRiskPatternsAllProjects({ specBase } = {}) {
+  const all = []
+  if (!specBase) return all
+  try {
+    const docsDir = join(specBase, 'docs')
+    if (!existsSync(docsDir)) return all
+    const seen = new Set()
+    for (const entry of readdirSync(docsDir, { withFileTypes: true })) {
+      if (!entry.isDirectory()) continue
+      for (const p of loadSpanRiskPatterns({ specBase, project: entry.name })) {
+        if (seen.has(p.pattern)) continue
+        seen.add(p.pattern)
+        all.push(p)
+      }
+    }
+  } catch { /* docs 目录不可读 → 空表（手工数据容错） */ }
+  return all
+}

package/src/stage-contract-spec.js

@@ -52,7 +52,7 @@ const CUSTOM_KINDS = new Set([
   'task-card-fields',        // task-NN.md 卡片字段存在性(validateBlueprintConsistency + validatePlanFeasibility)
   'verify-conclusion-gate',  // verify-result.md 结论 PASS/FAIL 门控
   'integration-evidence',    // verify-result.md 集成证据(change-risk-profile.checkIntegrationEvidence)
-  'change-risk-gate',        // 变更风险分级门控(detectChangeRisk)
+  'change-risk-gate',        // 变更风险分级门控(resolveChangeRisk)
 ])
 
 export function isCustomKind(kind) {
@@ -226,7 +226,7 @@ const VERIFY_RULES = [
     failMessage: 'verify-result.md 结论为 FAIL — 验证未通过，不能标记 verify 完成；请修复后重新运行验证。⚠️ 重验成本预告：修复后 verify --done 时 CLI 会重新执行 local.yaml 的 commands.test 全量对账（同步执行，长套件可达数分钟、中途无输出属正常；可按 local.yaml test_strategy: module + modules 收窄命中模块），请在修复时一并评估测试范围',
     noConclusionWarning: 'verify-result.md 未识别到结论章节（含 结论/Conclusion/Result/结果 的二级标题，后跟 PASS / PASS WITH NOTES / FAIL）',
   },
-  // integration-evidence(custom,D10 事前契约):风险门控。判定算法 detectChangeRisk +
+  // integration-evidence(custom,D10 事前契约):风险门控。判定算法 resolveChangeRisk +
   // checkIntegrationEvidence 留 change-risk-profile.js(需运行时读 design/plan 内容,引擎无法纯判定);
   // 此处只作事前提示——renderStageContract 把 spec/hint 注入 verify step0,让 agent 写 verify-result.md
   // 前就知道:若 design/plan 命中部署/启动或跨进程关键词,必须提供对应字面证据,否则完成时被门控阻断。