sillyspec 3.28.12 → 3.29.0

package/src/change-risk-profile.js

@@ -4,72 +4,31 @@
  * 根据变更涉及的文件类型、关键词、git diff、brainstorm 产物，
  * 判定 5 级风险（doc-only / unit-sufficient / contract-required /
  * integration-critical / deployment-critical），产出门控验证需求。
+ *
+ * 2026-09-19-ceremony-pricing-five-cuts：判级唯一入口 resolveChangeRisk（危险面=项目
+ * _module-map.yaml 顶层 blast 段路径声明 × 变更文件，D-008；explicit frontmatter 只压仪式档
+ * 不豁免证据，D-009）。散文词表判级（detectChangeRisk 及词表/否定抑制/枚举继承机器）已整体
+ * 退役删除。RISK_TO_TIER 五级词→档位映射表迁入本文件（ceremony-tier re-export 保持既有
+ * import 面——依赖方向 ceremony-tier→本文件已有先例）。证据门判据（VERIFICATION_NEEDS /
+ * checkIntegrationEvidence / auditRuntimeReceipt）原样保留；span 轴路径模式已迁项目声明面
+ * （_module-map.yaml 顶层 span_risk 段，装载 src/span-risk-surface.js——2026-09-19-
+ * span-risk-pattern-migration 硬退役，不留 legacy 别名）。
  */
 import { readFileSync, statSync } from 'fs'
 import { join, isAbsolute } from 'path'
+import { resolveBlastSurfaces } from './blast-surface.js'
 
-// ============ 向后兼容：旧的 INTEGRATION_CRITICAL_PATTERNS ============
-
-const INTEGRATION_CRITICAL_PATTERNS = [
-  /\bdaemon\b/i,
-  /\bbackend\b/i,
-  /\bclient.*api\b/i,
-  /\bgrpc\b/i,
-  /\bwebsocket\b/i,
-  /\bhttp.*client\b/i,
-  /\bsession\b/i,
-  /\blease\b/i,
-  /\bagent.?run\b/i,
-  /\blifecycle\b/i,
-  /\bstate.?transition\b/i,
-  /\bclaim\b/i,
-  /\bheartbeat\b/i,
-  /\bcross.?process\b/i,
-  /\bipc\b/i,
-  /\bmessage.?queue\b/i,
-  /\bpub.?sub\b/i,
-  /\bcli\.ts\b/i,
-  /\bmain\.ts\b/i,
-  /\bentrypoint\b/i,
-  /\bserver\.(js|ts)\b/i,
-  /\bbootstrap\b/i,
-  /\bdockerfile\b/i,
-  /\bdocker.?compose\b/i,
-]
-
-const INTEGRATION_FILE_PATTERNS = [
-  /daemon/i,
-  /session.?manager/i,
-  /agent.?run/i,
-  /lifecycle/i,
-  /state.?machine/i,
-  /lease/i,
-  /cli\.(js|ts)$/,
-  /main\.(js|ts)$/,
-  /server\.(js|ts)$/,
-  /bootstrap/i,
-  /startup/i,
-]
+// ============（已退役）词表散文判级 ============
 
-// ============ quick 出口门禁：路径模式风险表（2026-09-14-quick-exit-tiered-gates task-01） ============
-//
-// quick 侧「风险特征命中」的单一数据源（design D-004@v2：v1 仅路径模式——不做 diff 关键词
-// 扫描、不加 git 子进程，R-04 零子进程承诺；diff 维度待真实需求另立变更）。与上方 verify 侧
-// INTEGRATION_FILE_PATTERNS 语义不同（那张表收跨进程/集成域、供 detectChangeRisk 判级），本表
-// 收 quick 实证踩坑域（R-03 从窄收录：auth/permission/billing/migration/锁/调度），供
-// quick-gate-profile.js 的 computeGateProfile 经 opts.riskTable 默认引用——命中即画像 L2 +
-// checks.runtimeEvidence='required'。detectChangeRisk 判级逻辑不消费本表（verify 侧行为零变化）。
-//
-// 匹配口径：POSIX 路径、大小写不敏感、段边界锚定——前界 (^|[/_-]) + 后界 (?=[/._-]|$)，
-// 防 author/booking/lockfile 类子串假阳（R-03）；pattern 为稳定域标识（riskHits 审计输出用）。
-export const QUICK_RISK_PATH_PATTERNS = [
-  { pattern: 'auth', re: /(?:^|[/_-])(?:oauth2?|auth(?:orization|entication|enticator)?)(?=[/._-]|$)/i },
-  { pattern: 'permission', re: /(?:^|[/_-])permissions?(?=[/._-]|$)/i },
-  { pattern: 'billing', re: /(?:^|[/_-])billing(?=[/._-]|$)/i },
-  { pattern: 'migration', re: /(?:^|[/_-])(?:migrations?|migrate)(?=[/._-]|$)/i },
-  { pattern: 'lock', re: /(?:^|[/_-])(?:locks?|mutex(?:es)?)(?=[/._-]|$)/i },
-  { pattern: 'scheduling', re: /(?:^|[/_-])(?:schedul(?:er|ing)|cron|jobs?)(?=[/._-]|$)/i },
-]
+// 2026-09-19-ceremony-pricing-five-cuts task-03 删除收口：INTEGRATION_CRITICAL_PATTERNS /
+// INTEGRATION_FILE_PATTERNS 全宇宙词表与 detectChangeRisk 散文扫描整体退役（D-008：撞词≠危险、
+// 自指陷阱——判级唯一入口是 resolveChangeRisk 声明面口径；知识库 conventions.md「判级/定价/门禁
+// 输入必须项目声明」条目为口径真相源）。
+// 2026-09-19-span-risk-pattern-migration task-03 同款删除收口：quick 出口门禁的六域硬编码
+// 路径模式风险表（auth/permission/billing/migration/lock/scheduling，2026-09-14-quick-exit-
+// tiered-gates task-01 引入）退役——span 模式维与 quick 画像 riskTable 唯一输入源改为项目声明
+// _module-map.yaml 顶层 span_risk 段（装载 src/span-risk-surface.js；匹配口径段边界锚定逐字
+// 继承）。无声明项目 → 空表（维度关闭，禁回退内置表——与 blast 未配置禁回退同款取舍）。
 
 /**
  * task 级「端到端/deployment-critical」文本判定（execute 批量完成 autoCheckPlanFromReviews 用）。
@@ -138,88 +97,27 @@ export const VERIFICATION_NEEDS = {
   },
 }
 
-/** 风险分级的判定来源（命中关键词来源 = design.md / plan.md 内容，非改动文件本身） */
+/** 风险分级的判定来源（2026-09-19-ceremony-pricing-five-cuts task-03 改声明面口径） */
 export const RISK_LEVEL_CAUSES = {
   'deployment-critical':
-    'design.md / plan.md 命中启动入口关键词（cli.ts / main.ts / server.(js|ts) / bootstrap / entrypoint）。' +
-    '注意：这是按 design/plan 里的措辞判定的，不一定代表你真改了启动入口；若属误判可在 design.md frontmatter 用 risk_level 显式声明真实等级（如 unit-sufficient）覆盖——不要靠删措辞绕门控，危险链路该有真实启动证据。',
+    '变更文件面命中项目声明危险面（_module-map.yaml 顶层 blast 段）且判级为顶档。' +
+    '这是按「文件路径 × 项目声明」判定的——若认为该路径不该定此价：改 map 声明（git 可见）；危险链路该有真实启动证据。',
   'integration-critical':
-    'design.md / plan.md 命中跨进程/状态机关键词（daemon / backend / session / lease / lifecycle / heartbeat 等）。' +
-    '关键词前方同句有否定提示（不/未/无/避免…）的命中已被抑制不参与判级——若本变更实际涉及跨进程/状态机改动，请在 design.md frontmatter 用 risk_level 声明真实等级。',
-  'contract-required': 'design.md / plan.md 命中 API contract 关键词（api / client / contract / dto）。',
-  'explicit': 'design.md frontmatter 的 risk_level 显式声明（覆盖关键词判级）。',
+    '变更文件面命中项目声明危险面的 evidence:true 路径（需要真实集成证据，D-009）。' +
+    'frontmatter risk_level 只压仪式档、不豁免证据要求——证据豁免=改 map 的 evidence 声明（git 可见）。',
+  'contract-required': '变更文件面命中项目声明的 S2 档危险面（跨模块契约域）。',
+  'explicit': 'design.md frontmatter 的 risk_level 显式声明（压仪式档；不豁免 evidence 要求）。',
 }
 
-/** design.md frontmatter 可显式声明的合法 risk_level 值（与 detectChangeRisk 判级结果同集合） */
+/** design.md frontmatter 可显式声明的合法 risk_level 值（存量五级词兼容集合） */
 const RISK_LEVELS = ['doc-only', 'unit-sufficient', 'contract-required', 'integration-critical', 'deployment-critical']
 
-// ============ 同句否定抑制（坑 risk-negation-blindness） ============
-//
-// detectChangeRisk 原为全文 blob 字面命中：design 写「本次不新增 daemon 协议」仍判
-// integration-critical、强制全套集成证据，对无状态后端变更误伤（用户实证 2026-08-24）。
-// 机械抑制规则（不做事语义理解，三段判定）：
-//   ① 子句切分：按 句号/分号/逗号/换行 切子句，否定只在同子句内生效——「不改动 A。新增 B」
-//      的 B 不继承否定；
-//   ② 直接否定：命中位置前方 NEGATION_WINDOW 字符内出现否定提示 → 抑制；
-//   ③ 枚举继承：「不改动 daemon / session / lifecycle」中后位关键词与前位被抑制关键词之间
-//      只隔枚举连接符（空格 / 、 , 和 与 及 and or）→ 继承抑制——纯距离窗口盖不住长枚举，
-//      而「不涉及 daemon 的情况下重构 session」的间隔是普通文字，不继承（session 正常命中）。
-// 同一关键词的**全部**命中都被抑制才不参与判级（任一处未抑制命中仍算数）。降级不静默：
-// design/verify 两道 gate 会把被抑制词打进 warning（可审计），design.md frontmatter
-// risk_level 仍是双向权威覆盖通道（声明优先级最高，行为不变）。
-//
-// 否定提示词排除假阳：不同/不断/不久/不时/不仅（「不」的非否定合成词）、无状态/无法
-// （「无状态后端」是常见肯定表述）、非常/非空/非法（「非空校验 session」是在改 session）。
-const NEGATION_CUES = /不(?!同|断|久|时|仅|妨)|未|无(?!状态|法)|非(?!常|空|法)|避免|排除|无需|不再|no\s+new|not\b|don'?t|without|avoid/i
-const NEGATION_WINDOW = 16
-const CLAUSE_SPLIT_RE = /[。；;，,\n]/
-const ENUM_GAP_RE = /^[\s/|、,，]*(?:(?:和|与|及|and|or)[\s/|、,，]*)*$/i
-
-/**
- * 单行内统计各关键词命中（同子句否定窗口 + 枚举继承）。
- * @returns {Map<string, {kept: number, suppressed: number}>} trigger 原文 → 命中统计
- */
-function collectLineTriggerStats(line, patterns, stats = new Map()) {
-  for (const pattern of patterns) {
-    const re = new RegExp(pattern.source, pattern.flags.includes('g') ? pattern.flags : pattern.flags + 'g')
-    let m
-    while ((m = re.exec(line)) !== null) {
-      if (m[0].length === 0) { re.lastIndex++; continue }
-      // 行内绝对偏移 → 子句内相对偏移（子句内可能有多命中，逐一判定）
-      const clauseStart = line.slice(0, m.index).split(CLAUSE_SPLIT_RE).pop().length
-      const clauseStartAbs = m.index - clauseStart
-      const clause = line.slice(clauseStartAbs).split(CLAUSE_SPLIT_RE)[0]
-      const relIndex = m.index - clauseStartAbs
-      const prefix = clause.slice(0, relIndex)
-      let negated = NEGATION_CUES.test(prefix.slice(-NEGATION_WINDOW))
-      if (!negated && prefix.length > 0) {
-        // 枚举继承：查同子句内更早的关键词命中，且间隔只有枚举连接符
-        for (const other of patterns) {
-          const ore = new RegExp(other.source, other.flags.includes('g') ? other.flags : other.flags + 'g')
-          let om
-          while ((om = ore.exec(clause)) !== null) {
-            if (om[0].length === 0) { ore.lastIndex++; continue }
-            if (om.index >= relIndex) break
-            const gap = clause.slice(om.index + om[0].length, relIndex)
-            const prevSuppressed = NEGATION_CUES.test(clause.slice(0, om.index).slice(-NEGATION_WINDOW))
-            if (prevSuppressed && ENUM_GAP_RE.test(gap)) { negated = true; break }
-          }
-          if (negated) break
-        }
-      }
-      const stat = stats.get(m[0]) || { kept: 0, suppressed: 0 }
-      if (negated) stat.suppressed++
-      else stat.kept++
-      stats.set(m[0], stat)
-    }
-  }
-  return stats
-}
-
 /**
  * 从 design.md 顶部 frontmatter 提取显式 risk_level 声明。
  * 只认文档最开头 `---\n...\n---` 块内的 `risk_level: <level>` 单行（与 plan.md 的 plan_level 同款解析），
  * 不扫正文——避免正文里讨论 risk_level 措辞时被误当声明。返回合法 level 或 null。
+ * 2026-09-19-ceremony-pricing-five-cuts task-03 删除收口后保留：声明面判级 explicit 通道的
+ * 唯一提取器（stage-contract / review-tier / verify-quality-scan / run-gates 消费）。
  */
 export function extractExplicitRiskLevel(designContent = '') {
   const fm = designContent.match(/^---\r?\n([\s\S]*?)\r?\n---/)
@@ -230,75 +128,50 @@ export function extractExplicitRiskLevel(designContent = '') {
   return RISK_LEVELS.includes(value) ? value : null
 }
 
-export function detectChangeRisk({ designContent = '', planContent = '', changedFiles = [] } = {}) {
-  const triggers = []
-
-  // ── 显式豁免优先：design.md frontmatter 声明 risk_level → 以声明为准，跳过关键词判级 ──
-  // 历史教训：detectChangeRisk 是机械字面匹配——design 写「本次不改动 daemon/session」曾命中关键词
-  // 被误判 integration/deployment-critical，强制要全套集成证据，对无状态后端变更误伤。现给两条通道：
-  // ① 同句否定抑制（上方 NEGATION_CUES，机械可审计、只认「关键词前方否定窗口」不做语义理解）；
-  // ② frontmatter 显式声明（显式、诚实、可审计，落在 design frontmatter + verify-result）——本分支。
-  // 声明仍走门控（结论 FAIL 仍拦），但豁免级（unit-sufficient 等）不再强制集成证据。
-  const explicit = extractExplicitRiskLevel(designContent)
-  if (explicit) {
-    const requiredVerification =
-      explicit === 'deployment-critical' ? ['unit_tests', 'contract_tests', 'real_daemon_backend_integration', 'runtime_log_evidence', 'real_startup_once'] :
-      explicit === 'integration-critical' ? ['unit_tests', 'contract_tests', 'real_daemon_backend_integration', 'runtime_log_evidence', 'terminal_state_assertion'] :
-      explicit === 'contract-required' ? ['unit_tests', 'contract_tests'] :
-      explicit === 'doc-only' ? ['static_check'] :
-      ['unit_tests']
-    return { level: explicit, triggers: ['risk_level (explicit)'], suppressedTriggers: [], requiredVerification, explicit: true }
-  }
-
-  const combined = [designContent, planContent].join('\n')
-
-  // 逐行收集命中：同句否定窗口内的命中进 suppressed（全部命中均被抑制才剔除该 trigger）
-  const stats = new Map()
-  for (const line of combined.split('\n')) {
-    collectLineTriggerStats(line, INTEGRATION_CRITICAL_PATTERNS, stats)
-  }
-  const suppressedTriggers = []
-  for (const [t, stat] of stats) {
-    if (stat.kept > 0) triggers.push(t)
-    else suppressedTriggers.push(t)
-  }
-
-  for (const file of changedFiles) {
-    for (const pattern of INTEGRATION_FILE_PATTERNS) {
-      if (pattern.test(file)) {
-        pattern.lastIndex = 0
-        const match = file.match(pattern)
-        if (match && !triggers.includes(match[0])) triggers.push(match[0])
-      }
-    }
-  }
-
-  if (triggers.length === 0) {
-    // 关键词命中全被否定语境抑制（或本就无命中）→ doc-only；抑制词随 suppressedTriggers 上报可审计
-    return { level: 'doc-only', triggers: [], suppressedTriggers, requiredVerification: ['static_check'] }
-  }
-
-  const deploymentTrigger = triggers.some(t => /cli\.ts|main\.ts|server\.(js|ts)|bootstrap|entrypoint/i.test(t))
-  const lifecycleTrigger = triggers.some(t => /session|lease|agent.?run|lifecycle|state.?transition|claim|heartbeat/i.test(t))
-  const crossProcessTrigger = triggers.some(t => /daemon|backend|client.*api|grpc|websocket|cross.?process|ipc|message.?queue/i.test(t))
-
-  let level
-  const requiredVerification = ['unit_tests']
+/**
+ * 五级风险词 → 仪式档位映射（integration 与 deployment 同归 S3：顶档仪式不分家）。
+ * 2026-09-19-ceremony-pricing-five-cuts task-02 自 ceremony-tier.js 迁入（判级域归属本文件，
+ * ceremony-tier re-export 保持既有 import 面不变）；resolveChangeRisk 的 explicitRiskLevel
+ * 兼容通道消费本表（存量 frontmatter 五级词）。
+ */
+export const RISK_TO_TIER = {
+  'doc-only': 'S0',
+  'unit-sufficient': 'S1',
+  'contract-required': 'S2',
+  'integration-critical': 'S3',
+  'deployment-critical': 'S3',
+}
 
-  if (deploymentTrigger) {
-    level = 'deployment-critical'
-    requiredVerification.push('contract_tests', 'real_daemon_backend_integration', 'runtime_log_evidence', 'real_startup_once')
-  } else if (lifecycleTrigger || crossProcessTrigger) {
-    level = 'integration-critical'
-    requiredVerification.push('contract_tests', 'real_daemon_backend_integration', 'runtime_log_evidence', 'terminal_state_assertion')
-  } else if (triggers.some(t => /api|client|contract|dto/i.test(t))) {
-    level = 'contract-required'
-    requiredVerification.push('contract_tests')
-  } else {
-    level = 'unit-sufficient'
-  }
+// ============ 声明面判级（2026-09-19-ceremony-pricing-five-cuts task-02 / D-008 / D-009）============
+//
+// 新判级入口：files × 项目声明危险面（loadBlastDeclarations 装载 map blast 段 + local 只升合并）
+// → { tier, evidenceRequired, explicit, hitPrefixes, requiredVerification }。
+//   tier：命中声明面最高档（无命中 S1——未配置项目禁回退词表，D-008）；explicitRiskLevel
+//   （frontmatter 五级词经 RISK_TO_TIER 存量兼容）存在时覆盖 tier（人工通道升/降均尊重），
+//   **不豁免 evidenceRequired**（D-009：证据豁免=改 map，git 可见——收掉旧显式短路连证据门
+//   一起免的懒 agent 洞）。
+//   evidenceRequired → requiredVerification 取现行 integration-critical 组原样（证据门判据零改动）。
 
-  return { level, triggers, suppressedTriggers, requiredVerification }
+/**
+ * 声明面判级（纯函数）。
+ * @param {{ files?: string[], blastDeclarations?: Array<{prefixes: string[], tier: string, evidence?: boolean}>, explicitRiskLevel?: string|null }} opts
+ * @returns {{ tier: 'S0'|'S1'|'S2'|'S3', level: string, evidenceRequired: boolean, explicit: boolean, hitPrefixes: string[], requiredVerification: string[] }}
+ *   level＝五级词兼容字段（存量消费面零改动）：evidenceRequired → 'integration-critical'；
+ *   否则 tier 反查（S0 doc-only / S1 unit-sufficient / S2 contract-required / S3 integration-critical）。
+ */
+const TIER_TO_COMPAT_LEVEL = { S0: 'doc-only', S1: 'unit-sufficient', S2: 'contract-required', S3: 'integration-critical' }
+
+export function resolveChangeRisk({ files = [], blastDeclarations = [], explicitRiskLevel = null } = {}) {
+  const surfaces = resolveBlastSurfaces(files, blastDeclarations)
+  const level = typeof explicitRiskLevel === 'string' ? explicitRiskLevel.trim().toLowerCase() : ''
+  const explicitTier = level ? RISK_TO_TIER[level] : undefined
+  const tier = explicitTier ? explicitTier : surfaces.tier
+  const evidenceRequired = surfaces.evidence
+  const requiredVerification = evidenceRequired
+    ? ['unit_tests', 'contract_tests', 'real_daemon_backend_integration', 'runtime_log_evidence', 'terminal_state_assertion']
+    : ['unit_tests']
+  const compatLevel = evidenceRequired ? 'integration-critical' : TIER_TO_COMPAT_LEVEL[tier]
+  return { tier, level: compatLevel, evidenceRequired, explicit: Boolean(explicitTier), hitPrefixes: surfaces.hitPrefixes, requiredVerification }
 }
 
 // ============ 回执来源分类打标（X-10 / D-002 / D-006，2026-09-17-pass-cap-semantics task-02） ============
@@ -321,7 +194,7 @@ export function detectChangeRisk({ designContent = '', planContent = '', changed
 // 变动）。对齐目标：verify-probes.js classifyReceiptCommandSource（judgeIntegrationRan 消费）
 // 同款 sourceMark 参数与标记族——**任一侧增改标记族必须双侧同步**（G-3 先例：producer 侧
 // 曾漏 smoke 一词致口径分裂）。
-const RECEIPT_SOURCE_CROSS_LAYER_RE = new RegExp([
+export const RECEIPT_SOURCE_CROSS_LAYER_RE = new RegExp([
   '\\bcurl\\b', '\\bwget\\b', '\\bhttpie\\b', '\\bInvoke-WebRequest\\b', '\\bInvoke-RestMethod\\b',
   '\\biwr\\b', '\\birm\\b', 'https?://',
   'spring-boot:run', '\\bjava\\b[^|\\n]*\\s-jar\\b',
@@ -329,9 +202,9 @@ const RECEIPT_SOURCE_CROSS_LAYER_RE = new RegExp([
   '\\bdotnet\\s+run\\b', '\\bflask\\s+run\\b', '\\buvicorn\\b', '\\bgunicorn\\b',
   '\\b(?:nc|netcat|telnet|socat)\\b',
 ].join('|'), 'i')
-const RECEIPT_SOURCE_UNIT_RE = /\bJUnitCore\b|\bnode\s+--test\b|\bmocha\b|\bjest\b|\bvitest\b|\bpytest\b|\bphpunit\b|\b(?:npm|pnpm|yarn|bun)\s+(?:run\s+)?test\b/i
+export const RECEIPT_SOURCE_UNIT_RE = /\bJUnitCore\b|\bnode\s+--test\b|\bmocha\b|\bjest\b|\bvitest\b|\bpytest\b|\bphpunit\b|\b(?:npm|pnpm|yarn|bun)\s+(?:run\s+)?test\b/i
 /** CLI 机器段来源标记（与 verify-probes.js SMOKE_RECEIPT_SOURCE_MARK / task-01 记录 source 同值，双侧同步） */
-const CLI_SMOKE_SOURCE_MARK = 'cli-noai-smoke'
+export const CLI_SMOKE_SOURCE_MARK = 'cli-noai-smoke'
 function classifyReceiptSourceTag(command, sourceMark) {
   if (sourceMark === CLI_SMOKE_SOURCE_MARK) return 'cross-layer'
   const cmd = String(command || '')

package/src/config-schema.js

@@ -226,6 +226,16 @@ export const LOCAL_YAML_SCHEMA = {
         { path: 'change-ownership.heartbeat_minutes', type: 'integer', optional: true, status: 'live', readers: ['assertChangeOwnership (src/progress/change-registry.js — 本变更 task-02 接线消费)'], desc: '所有者活跃心跳窗口（分钟）：owner 非本会话且 last_active 距今在窗口内 → 拒绝接管类操作（--takeover 显式接管）；窗口外 → 放行并自动接管。缺省 15。', example: '15' },
       ],
     },
+    {
+      id: 'ceremony',
+      title: '评审仪式档位（ceremony tier）',
+      note: '仪式档位（S0~S3）由 CLI 按 blast/span/friction 三轴风险客观定价（blast 轴输入=项目声明危险面 _module-map.yaml 顶层 blast 段，2026-09-19-ceremony-pricing-five-cuts；span 轴路径模式输入=项目声明 _module-map.yaml 顶层 span_risk 段，2026-09-19-span-risk-pattern-migration，无声明项目该维关闭不回退内置表）；完成门声明追赶重定价——无摩擦迁移随声明面可升可降、有摩擦迁移地板不退，force_tier 仍只升不降；本段是逃生阀/影子期开关/逐机升档面。读键按「存在则读、不存在用缺省」容错（读取走 readCeremonyLocalConfig）。',
+      keys: [
+        { path: 'ceremony.blast_surfaces', type: 'json', optional: true, status: 'live', readers: ['loadBlastDeclarations (src/blast-surface.js — local 逐机升档，与 map 声明逐文件取 max)'], desc: 'blast 危险面逐机覆盖：[{ prefixes: [...], tier: S0~S3 }]——主声明在 _module-map.yaml 顶层 blast 段（进 git、可挂 evidence 位）；本键只升不降（与 map 命中逐文件取 max，压低共享声明无效）、不承载 evidence（证据语义属共享 map，D-009）。非法条目静默跳过。', example: '[{ prefixes: [src/my-daemon/], tier: S3 }]' },
+        { path: 'ceremony.force_tier', type: 'enum', values: ['S0', 'S1', 'S2', 'S3'], optional: true, status: 'live', readers: ['readCeremonyLocalConfig (src/run/prompt.js — {REVIEW_TIER} 注入档位菜单/强制轻仪审计痕)', '影子派发前置校验 (src/review-dispatch.js — task-06 影子期框架接线)'], desc: '档位逃生阀：强制仪式档 S0~S3，绕过客观定价（过渡期「就是不信这套」用）。prompt 注入面只升不降——强制档低于客观定价档时不降档（防 prompt 面与 gate 侧判定分裂）；非法值 warn 后忽略。', example: 'S3' },
+        { path: 'ceremony.shadow', type: 'boolean', optional: true, status: 'live', readers: ['readCeremonyLocalConfig (src/run/prompt.js — S0/S1 轻档注入影子期注记)', 'runReviewDispatch 影子前置校验 (src/review-dispatch.js — task-06 影子期框架接线)'], desc: '影子期开关，默认 true（on）：S0/S1 轻档明面轻仪、后台静默派发重仪式只记账不阻断（影子派发框架随 task-06 落地）；置 off = 轻仪转正（转正判据由 doctor 影子对照维度公示，CLI 只出判据不出手）。', example: 'true' },
+      ],
+    },
   ],
 };
 
@@ -435,5 +445,16 @@ docs-check:
 # owner 非本会话且 last_active 在窗口内 → 拒绝（--takeover 显式接管）；窗口外 → 自动接管。
 # change-ownership:
 #   heartbeat_minutes: 15   # 所有者活跃心跳窗口（分钟）
+
+# ── 评审仪式档位（ceremony tier：S0~S3 由 CLI 按 blast/span/friction 三轴风险客观定价；本段为逃生阀/影子期开关/逐机升档面）──
+# blast 轴输入=项目声明危险面（_module-map.yaml 顶层 blast 段）；完成门声明追赶重定价（无摩擦随声明、有摩擦地板不退）。
+# force_tier 强制档位绕过客观定价（过渡逃生阀，prompt 注入面只升不降）；shadow 影子期默认 on——
+# S0/S1 轻档明面轻仪、后台静默派发重仪式对照只记账不阻断；置 off = 轻仪转正（转正判据见 doctor 影子对照）。
+# ceremony:
+#   force_tier: S3            # 强制全重仪式（逃生阀；S0 | S1 | S2 | S3）
+#   shadow: true              # 影子期开关（默认 true）
+#   blast_surfaces:           # blast 逐机升档（只升不降、不承载 evidence；主声明在 _module-map.yaml blast 段）
+#     - prefixes: [src/my-daemon/]
+#       tier: S3
 `;
 }

package/src/decision-distill.js

@@ -211,8 +211,9 @@ function parseModulePathsSubset(content) {
 /** 未注入 moduleIndex 时的尽力发现：knowledgeRoot 同级 docs/<项目>/modules/_module-map.yaml。
  * 多子项目仓（如本仓 sillyspec+dashboard）各项目有自己的 map——dogfood 实证（2026-08-24）：
  * 只取首个命中会把主项目条目全部误落 unmapped（dashboard 的 map 按字母序先命中）。
- * 改为合并全部项目的 map（同名模块合并 paths/core_files 去重），失败归 null → 全部 unmapped。 */
-function discoverModuleIndex(knowledgeRoot) {
+ * 改为合并全部项目的 map（同名模块合并 paths/core_files 去重），失败归 null → 全部 unmapped。
+ * 2026-09-18-fr-index-l1：导出供 fr-index 域解析复用。 */
+export function discoverModuleIndex(knowledgeRoot) {
   try {
     const docsDir = join(dirname(knowledgeRoot), 'docs')
     if (!existsSync(docsDir)) return null
@@ -319,15 +320,19 @@ function renderBlockLines(entry, headHash, supersedesNote, changeName) {
   return lines
 }
 
-/** 知识文件切段：preamble 行 + D-xxx@vN 条目段（段边界 = 下一 `## D-` 头）。
+/** 知识文件切段：preamble 行 + 条目段（段边界 = 下一节头）。
  * 段的变更归属取段内 `变更：<name>` 行；无该行的历史条目 → change=null（legacy：
- * 升级前落库的条目，不参与新条目的同号匹配/supersede——只共存不误删）。 */
-function splitKnowledgeSections(content) {
+ * 升级前落库的条目，不参与新条目的同号匹配/supersede——只共存不误删）。
+ * 2026-09-18-fr-index-l1 参数化：sectionRegex/buildId 经参（decisions 缺省不变；fr 侧传 FR 节头
+ * 正则与恒等 id），decisions 调用点零改动。 */
+export function splitKnowledgeSections(content, opts = {}) {
+  const sectionRegex = opts.sectionRegex || /^## (D-\d+)@v(\d+)\s*(.*)$/
+  const buildId = opts.buildId || ((n, v) => `${n}@v${v}`)
   const sections = []
   const preamble = []
   let cur = null
   for (const line of content.replace(/\r\n/g, '\n').split('\n')) {
-    const m = line.match(/^## (D-\d+)@v(\d+)\s*(.*)$/)
+    const m = line.match(sectionRegex)
     if (m) {
       if (cur) sections.push(cur)
       cur = { number: m[1], version: parseInt(m[2], 10), title: m[3].trim(), lines: [line] }
@@ -338,7 +343,7 @@ function splitKnowledgeSections(content) {
   }
   if (cur) sections.push(cur)
   for (const s of sections) {
-    s.id = `${s.number}@v${s.version}`
+    s.id = buildId(s.number, s.version)
     const cm = s.lines.find(l => /^变更[：:]/.test(l))
     s.change = cm ? cm.replace(/^变更[：:]\s*/, '').trim() || null : null
   }
@@ -346,7 +351,7 @@ function splitKnowledgeSections(content) {
 }
 
 /** 段落重组落盘文本（幂等归一：段间恰好一个空行 + 文件单一尾换行） */
-function joinKnowledgeFile(preamble, sections) {
+export function joinKnowledgeFile(preamble, sections) {
   const parts = []
   const pre = preamble.join('\n').replace(/\s+$/, '')
   if (pre) parts.push(pre)
@@ -394,19 +399,21 @@ function applyEntryToSections(sections, entry, headHash) {
 // INDEX.md decisions 路由行幂等维护（FR-05：写入责任在本模块；只动 ## Decisions 段内指向 decisions/ 的行）
 // ---------------------------------------------------------------------------
 
-/** INDEX 路由行格式与 knowledge-match 解析口径一致：`- <域>|decision|决策 → [decisions/<域>.md](decisions/<域>.md)` */
-function routingLine(domain) {
-  return `- ${domain}|decision|决策 → [decisions/${domain}.md](decisions/${domain}.md)`
-}
-
-const ROUTING_TARGET_RE = /^-\s+.*→\s*\[[^\]]*\]\(decisions\/([^)#]+?)(?:\.md)?(?:#[^)]*)?\)\s*$/
-
-/** 域文件实况 ↔ ## Decisions 段路由行对账：缺行补、失效行删、重复行去重；不动其他类别行 */
-function syncIndexRoutingLines(knowledgeRoot) {
-  const decisionsDir = join(knowledgeRoot, 'decisions')
+/**
+ * 域文件实况 ↔ INDEX 段路由行对账：缺行补、失效行删、重复行去重；不动其他类别行。
+ * 2026-09-18-fr-index-l1 参数化：section/subdir/makeLine/matchTarget 经参（decisions 缺省不变），
+ * fr 侧传 'FR 需求索引' 段与 fr/ 子目录——两类路由行各守各段互不干扰。
+ */
+export function syncIndexRoutingLines(knowledgeRoot, opts = {}) {
+  const sectionName = opts.section || 'Decisions'
+  const subdir = opts.subdir || 'decisions'
+  const makeLine = opts.makeLine || ((d) => `- ${d}|decision|决策 → [${subdir}/${d}.md](${subdir}/${d}.md)`)
+  const esc = subdir.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')
+  const targetRe = opts.matchTarget || new RegExp(`^-\\s+.*→\\s*\\[[^\\]]*\\]\\(${esc}/([^)#]+?)(?:\\.md)?(?:#[^)]*)?\\)\\s*$`)
+  const domainDir = join(knowledgeRoot, subdir)
   let domains
   try {
-    domains = readdirSync(decisionsDir).filter(f => f.endsWith('.md')).map(f => f.replace(/\.md$/, ''))
+    domains = readdirSync(domainDir).filter(f => f.endsWith('.md')).map(f => f.replace(/\.md$/, ''))
   } catch { return false }
   if (domains.length === 0) return false
 
@@ -417,29 +424,29 @@ function syncIndexRoutingLines(knowledgeRoot) {
   }
   const lines = original ? original.replace(/\r\n/g, '\n').split('\n') : ['# Knowledge Index', '']
 
-  // 定位 ## Decisions 段边界
+  // 定位段边界（参数化段名）
   let secStart = -1
   let secEnd = lines.length
   for (let i = 0; i < lines.length; i++) {
     const h = lines[i].match(/^##\s+(.+?)\s*$/)
     if (!h) continue
     if (secStart === -1) {
-      if (h[1] === 'Decisions') secStart = i + 1
+      if (h[1] === sectionName) secStart = i + 1
     } else { secEnd = i; break }
   }
 
-  const desired = domains.map(routingLine)
+  const desired = domains.map(makeLine)
   if (secStart === -1) {
     // 无段则追加（保留原文件其余内容）
     while (lines.length > 0 && lines[lines.length - 1].trim() === '') lines.pop()
-    lines.push('', '## Decisions', ...desired)
+    lines.push('', `## ${sectionName}`, ...desired)
   } else {
     const body = lines.slice(secStart, secEnd)
     const kept = []
     const seen = new Set()
     const domainSet = new Set(domains)
     for (const l of body) {
-      const m = l.match(ROUTING_TARGET_RE)
+      const m = l.match(targetRe)
       if (!m) { kept.push(l); continue } // 非路由行（注释/空行）原样保留
       // 目标域文件仍存在的路由行原样保留（关键词可能被人工扩充）；失效行（文件已不存在）与重复行删
       if (domainSet.has(m[1]) && !seen.has(m[1])) { seen.add(m[1]); kept.push(l) }
@@ -448,7 +455,7 @@ function syncIndexRoutingLines(knowledgeRoot) {
     const tail = []
     while (kept.length > 0 && kept[kept.length - 1].trim() === '') tail.unshift(kept.pop())
     for (const d of desired) {
-      const m = d.match(ROUTING_TARGET_RE)
+      const m = d.match(targetRe)
       if (m && !seen.has(m[1])) kept.push(d) // 缺行补
     }
     kept.push(...tail)

package/src/decisions-io.js

@@ -94,3 +94,35 @@ export function upsertDecision(changeDir, decision) {
   writeAtomicSync(filePath, eol === '\n' ? next : next.replace(/\n/g, '\r\n'))
   return { path: filePath, action: 'replaced' }
 }
+
+/**
+ * hasDecisionId —— decisions.md 内决策 ID 的字面存在性校验（机械零语义）。
+ * （2026-09-18-preflight-slimming Phase 3，D-003@v2：`--wait --inherit-from D-xxx@vN` 的
+ * fail-closed 锚点校验——防伪造决策锚点完成 wait 记录态，R-04。）
+ *
+ * 语义边界（机械，本模块无现成标题解析器可复用——upsertDecision 是写入者，读取侧解析归
+ * decision-distill；此处只做字面存在性，对齐 upsertDecision 块定位的双形态匹配）：
+ *   - 只认 canonical 标题行 `## D-xxx@vN`（upsertDecision 的唯一产出格式），匹配形态与其
+ *     块定位逐字同源：行前缀 `## <id> `（后随标题）或整行恰为 `## <id>`。
+ *   - 不做版本归一（D-1@v1 不匹配 D-001@v1）、不做别名展开、不做标题级漂移容收（###/####
+ *     形态归 distill parseDecisions 的知识库提炼语义，锚点校验不放宽——fail-closed 保守）。
+ *   - 文件不存在 / 不可读 / 参数形态非法 → 一律 false 不抛错（调用方 exit 2 即可）。
+ *
+ * @param {string} changeDir 变更目录（其下 decisions.md）
+ * @param {string} id 决策 ID 字面（如 `D-001@v2`）
+ * @returns {boolean} 标题行字面存在与否
+ */
+export function hasDecisionId(changeDir, id) {
+  if (typeof changeDir !== 'string' || !changeDir) return false
+  if (typeof id !== 'string' || id === '') return false
+  try {
+    const filePath = join(changeDir, 'decisions.md')
+    if (!existsSync(filePath)) return false
+    const raw = readFileSync(filePath, 'utf8')
+    // CRLF 归一（Windows 换行防御，与 upsertDecision 同款口径）
+    const lines = raw.replace(/\r\n/g, '\n').split('\n')
+    return lines.some((l) => l.startsWith(`## ${id} `) || l.trim() === `## ${id}`)
+  } catch {
+    return false
+  }
+}

package/src/design-facts.js

@@ -301,6 +301,7 @@ export function generateDesignSkeleton({ changeName, decisionsText, author, now
   lines.push(`# 设计文档（Design）— ${change}`)
   lines.push('')
   lines.push(`<!-- 由 sillyspec design-init 生成的骨架（${change}）——逐节填散文后删除本注释；存量手写路径不受影响 -->`)
+  lines.push('<!-- 引用规范：全文源码位置写仓根相对全路径+行号（src/foo.js:123）——裸文件名在 docs-check 层1 靠 basename 全仓扫描找候选，找不到候选或关键词窗口不匹配即失效，到 pre-push 才拦（2026-09-19 实证 64 处返工） -->')
   lines.push('')
 
   lines.push('## 背景')