sillyspec 3.28.3 → 3.28.5

package/src/sync-noise.js

@@ -0,0 +1,158 @@
+/**
+ * sync-noise.js — 平台连接类失败的跨进程噪音闸（2026-09-08 用户反馈③）。
+ *
+ * 场景：平台 sillyhub 未就绪（端点 404 / 断连 / 超时）期间，每条 CLI 命令的自动同步
+ * （triggerSync → sync() / syncSpecTree）都会打同一批 `[sync] … → 404` / `[spec-sync] …`
+ * 失败 warn，淹没真正的门禁输出。CLI 是短命进程，进程内去重无效——必须跨进程落 marker
+ * （对齐 run/shared.js 自动 pull 的 AUTO_PULL_THROTTLE_MS marker 先例）。
+ *
+ * 语义：
+ * - 首个失败进程（开窗者）完整展示本轮所有失败行：首行打 warn 并写 mutedUntil 窗口，
+ *   同轮**不同**失败行照打（诊断完整性），逐字重复只打一次；
+ * - 窗口内**后续进程**的同类失败静默（SILLYSPEC_DEBUG_SYNC=1 时降级为可见输出，排障不瞎）
+ *   ——每步 CLI 命令重刷的正是这种；
+ * - 窗口过期后下一个失败进程再完整报一轮并重开窗——保活信号约每窗口一轮，不静默死；
+ * - 任意一次同步成功清 marker，且此前在闸内时打一行恢复提示；
+ * - SILLYSPEC_DEBUG_SYNC=1 全程不静默。
+ *
+ * 边界：只覆盖「连接类」失败（HTTP 404/5xx、网络错、超时/abort）。409 冲突与其余
+ * 4xx 业务态（平台就绪但状态冲突/鉴权问题）不走闸——那些是每轮都该看见的语义信号，
+ * 且已有各自的冲突降噪机制（sync-conflict-banner-spam 一族）。用户显式命令
+ * （platform connect 的 health ping）不应被静默——调用方传 noMute 绕过本闸。
+ */
+import { readFileSync, writeFileSync, mkdirSync, unlinkSync } from 'fs'
+import { join } from 'path'
+
+const NOISE_MARKER = 'sync-noise-mute.json'
+// 静默窗口：10 分钟 ≈ 一个平台重启/发布窗口；期间每步命令的重复失败全部静默。
+const MUTE_WINDOW_MS = 10 * 60_000
+
+// 进程内绑定的 marker 目录（.runtime 绝对路径）。CLI 单用途短进程，last-wins 足够；
+// 未绑定（库形态调用）时闸门退化为直通——宁可多一行 warn 不可丢信号。
+let _runtimeDir = null
+// 本进程是否已开窗（打印过失败并写了 marker）。区分「窗口是本进程开的」与「窗口是先前
+// 进程留下的」：首报命令（开窗者）内后续**不同**失败行仍应完整可见（诊断信息，用户正
+// 在看第一条失败）；只有先前进程留下的窗口才静默本进程——这正是跨步去重的目标形态
+// （platform-sync-failure-visibility 契约：同轮清单 500 + POST 500 都要打）。
+let _openedByThisProcess = false
+// 本进程已打印/已静默过的消息集合：同进程内逐字重复的失败行只打一次。
+const _seenInProcess = new Set()
+
+/**
+ * 绑定噪音闸 marker 的落盘目录（specRoot 下的 .runtime）。幂等，last-wins。
+ * @param {string|null} runtimeDir
+ */
+export function bindSyncNoiseRoot(runtimeDir) {
+  _runtimeDir = runtimeDir || null
+}
+
+/**
+ * 从 cwd 静默推导 marker 目录（SyncManager 构造器用）：有平台指针 → 指针 specRoot/.runtime；
+ * 否则 cwd/.sillyspec/.runtime。**零副作用**——只读指针 JSON，不做存在性/自指/temp 守卫，
+ * 也不 resolveSpecDir 上溯：resolvePlatformSpecDir 会打「指针不可用/temp 残留」warn
+ * （其职责），卫生 marker 不该引入新的输出副作用（cli-top-level-aliases 字节一致契约）。
+ * 坏指针/缺字段落回本地目录——marker 落点只需稳定，不需权威。
+ * @param {string} cwd
+ */
+export function bindSyncNoiseFromCwd(cwd) {
+  try {
+    const p = join(cwd, '.sillyspec-platform.json')
+    if (existsSync(p)) {
+      const s = JSON.parse(readFileSync(p, 'utf8'))
+      if (s && typeof s.specRoot === 'string' && s.specRoot) {
+        _runtimeDir = join(s.specRoot, '.runtime')
+        return
+      }
+    }
+  } catch { /* 坏指针：回落本地目录 */ }
+  _runtimeDir = join(cwd, '.sillyspec', '.runtime')
+}
+
+function _markerPath() {
+  return _runtimeDir ? join(_runtimeDir, NOISE_MARKER) : null
+}
+
+function _readMute() {
+  const p = _markerPath()
+  if (!p) return null
+  try {
+    const s = JSON.parse(readFileSync(p, 'utf8'))
+    return typeof s.mutedUntil === 'number' ? s : null
+  } catch {
+    return null
+  }
+}
+
+function _writeMute(mutedUntil, lastMsg) {
+  const p = _markerPath()
+  if (!p) return
+  try {
+    mkdirSync(_runtimeDir, { recursive: true })
+    writeFileSync(p, JSON.stringify({ mutedUntil, lastMsg }) + '\n', 'utf8')
+  } catch { /* marker 写失败 = 闸门失效退化为直通，仅损失降噪 */ }
+}
+
+/**
+ * 连接类失败 warn 的闸门口。判序（platform-sync-failure-visibility 契约）：
+ * 1. debug env → 恒打；
+ * 2. 本进程内逐字重复 → 静默（重复行无新信息）；
+ * 3. 窗口是**本进程**开的（本进程是首报命令）→ 不同失败行照打——首报命令应完整展示
+ *    自己轮次内的所有失败细节；
+ * 4. 窗口是**先前进程**留的 → 静默（每步命令重刷的正是这种），标记已见；
+ * 5. 无窗口（首次/已过期/刚成功清闸）→ 打 + 开窗。
+ * @param {string} msg 已拼好的 warn 文案
+ * @returns {boolean} true=已输出到 stderr
+ */
+export function syncConnectionWarn(msg) {
+  if (process.env.SILLYSPEC_DEBUG_SYNC) {
+    console.warn(msg)
+    _seenInProcess.add(msg)
+    return true
+  }
+  if (_seenInProcess.has(msg)) return false
+  const now = Date.now()
+  const m = _readMute()
+  if (m && now < m.mutedUntil) {
+    if (_openedByThisProcess) {
+      // 首报命令的后续不同失败行：可见（诊断完整性），不重复开窗
+      console.warn(msg)
+      _seenInProcess.add(msg)
+      return true
+    }
+    _seenInProcess.add(msg)
+    return false
+  }
+  console.warn(msg)
+  _seenInProcess.add(msg)
+  _writeMute(now + MUTE_WINDOW_MS, msg)
+  _openedByThisProcess = true
+  return true
+}
+
+/**
+ * 判定 HTTP 状态码是否属连接类（可静默）：404（端点未部署/未就绪）与 5xx（服务端故障）。
+ * 409 与其余 4xx 不在此列（见模块头注释边界）。
+ */
+export function isConnectionClassStatus(status) {
+  return status === 404 || (typeof status === 'number' && status >= 500)
+}
+
+/**
+ * 任意一次同步成功：清 marker。此前处于闸内（marker 存在）时打一行恢复提示——
+ * 平台恢复的第一个信号应该可见，之后的成功照常静默（成功不打扰）。
+ */
+export function noteSyncSuccess() {
+  _openedByThisProcess = false
+  _seenInProcess.clear()
+  if (!_readMute()) return
+  const p = _markerPath()
+  if (p) { try { unlinkSync(p) } catch { /* 残留 marker 只多静默一轮失败，无害 */ } }
+  console.log('[sync] 平台连接已恢复（此前静默的同步失败已停止）')
+}
+
+/** 测试复位：清进程内绑定与开窗状态。 */
+export function _resetSyncNoiseForTest() {
+  _runtimeDir = null
+  _openedByThisProcess = false
+  _seenInProcess.clear()
+}

package/src/sync.js

@@ -17,6 +17,7 @@ import { safeGit } from './git-helper.js';
 import { openDatabase } from './db-engine.js';
 import { PLATFORM_MANAGED_FILENAME, QUICK_SID_RE } from './run/shared.js';
 import { syncSpecTree } from './spec-sync.js';
+import { bindSyncNoiseFromCwd, syncConnectionWarn, isConnectionClassStatus, noteSyncSuccess } from './sync-noise.js';
 
 // sync 是 best-effort（网络失败只 warn）：平台指针失效时不抛，跳过平台、回退本地。
 function safePlatformSpecDir(cwd) {
@@ -218,11 +219,18 @@ function combineSignals(external, timeoutMs = REQUEST_TIMEOUT_MS) {
 
 async function fetchJson(url, options = {}) {
   const signal = combineSignals(options.signal);
+  // noMute 是本模块的闸门开关不是 fetch 参数，先剥掉再透传
+  const { noMute, ...init } = options;
   try {
-    const res = await fetch(url, { ...options, signal });
+    const res = await fetch(url, { ...init, signal });
     if (!res.ok) {
       const text = await res.text().catch(() => '');
-      console.warn(`[sync] ${options.method || 'GET'} ${url} → ${res.status} ${text.slice(0, 200)}`);
+      const line = `[sync] ${options.method || 'GET'} ${url} → ${res.status} ${text.slice(0, 200)}`;
+      // 连接类失败（404=端点未就绪 / 5xx）走跨进程噪音闸：平台未就绪期每条命令的自动
+      // 同步都撞同一批失败，重复刷屏淹没门禁输出（见 sync-noise.js 模块头）。409 冲突与
+      // 其余 4xx 业务态每轮都该看见，不走闸。用户显式命令（connect health ping）传 noMute。
+      if (!noMute && isConnectionClassStatus(res.status)) syncConnectionWarn(line);
+      else console.warn(line);
       return null;
     }
     const ct = res.headers.get('content-type') || '';
@@ -231,11 +239,11 @@ async function fetchJson(url, options = {}) {
     }
     return null;
   } catch (err) {
-    if (err.name === 'AbortError') {
-      console.warn(`[sync] ${url} 请求超时/中断 (${REQUEST_TIMEOUT_MS}ms 上限或外部熔断)`);
-    } else {
-      console.warn(`[sync] ${url} 请求失败: ${err.message}`);
-    }
+    const line = err.name === 'AbortError' || err.name === 'TimeoutError'
+      ? `[sync] ${url} 请求超时/中断 (${REQUEST_TIMEOUT_MS}ms 上限或外部熔断)`
+      : `[sync] ${url} 请求失败: ${err.message}`;
+    if (!noMute) syncConnectionWarn(line);
+    else console.warn(line);
     return null;
   }
 }
@@ -247,23 +255,26 @@ async function fetchJson(url, options = {}) {
  */
 async function fetchJsonWithStatus(url, options = {}) {
   const signal = combineSignals(options.signal);
+  const { noMute, ...init } = options;
   try {
-    const res = await fetch(url, { ...options, signal });
+    const res = await fetch(url, { ...init, signal });
     const text = await res.text().catch(() => '');
     let body = null;
     if (text) {
       try { body = JSON.parse(text); } catch { body = null; }
     }
     if (!res.ok) {
-      console.warn(`[sync] ${options.method || 'GET'} ${url} → ${res.status} ${text.slice(0, 200)}`);
+      const line = `[sync] ${options.method || 'GET'} ${url} → ${res.status} ${text.slice(0, 200)}`;
+      if (!noMute && isConnectionClassStatus(res.status)) syncConnectionWarn(line);
+      else console.warn(line);
     }
     return { ok: res.ok, status: res.status, body };
   } catch (err) {
-    if (err.name === 'AbortError') {
-      console.warn(`[sync] ${url} 请求超时/中断 (${REQUEST_TIMEOUT_MS}ms 上限或外部熔断)`);
-    } else {
-      console.warn(`[sync] ${url} 请求失败: ${err.message}`);
-    }
+    const line = err.name === 'AbortError' || err.name === 'TimeoutError'
+      ? `[sync] ${url} 请求超时/中断 (${REQUEST_TIMEOUT_MS}ms 上限或外部熔断)`
+      : `[sync] ${url} 请求失败: ${err.message}`;
+    if (!noMute) syncConnectionWarn(line);
+    else console.warn(line);
     return { ok: false, status: 0, body: null };
   }
 }
@@ -399,6 +410,12 @@ export class SyncManager {
     // 归档尾声静默化旗标（坑 post-archive-sync-noise）：sync() 探测到已归档时置位，
     // 链内 syncDocuments 的「变更不存在」降 debug（每次 sync 调用重置）
     this._suppressDocsMissingWarn = false;
+    // 绑定连接类失败噪音闸的 marker 目录（sync-noise.js）：本实例所有 fetch 失败 warn 的
+    // 跨进程静默窗口落这里。bindSyncNoiseFromCwd 零副作用（只读指针 JSON，不触发
+    // resolvePlatformSpecDir 的指针守卫 warn——doctor 两路字节一致契约）。
+    try {
+      bindSyncNoiseFromCwd(cwd);
+    } catch { /* 未绑定 = 闸门直通（多一行 warn，无正确性影响） */ }
   }
 
   /**
@@ -423,7 +440,8 @@ export class SyncManager {
       console.warn(`[sync] platform.url 非 https（${normalizedUrl.slice(0, 60)}），同步 token 将明文传输——请确认为受控内网环境`);
     }
     const healthUrl = `${normalizedUrl}/api/health`;
-    const result = await fetchJson(healthUrl);
+    // noMute：connect 是用户显式命令，health ping 的失败细节不走静默闸（用户正在诊断连接）
+    const result = await fetchJson(healthUrl, { noMute: true });
     if (result === null) {
       console.warn(`[sync] 平台连接验证失败: ${url}`);
       return;
@@ -453,6 +471,28 @@ export class SyncManager {
       );
     }
 
+    // mcp 段成对签发（2026-09-10 平台侧 P0-2 修复的消费侧落地，交付遗留②）：mcp-tokens
+    // 签发 API 的 201 响应带 gateway_url，与 token 成对——「url 指哪、token 就在哪生效」，
+    // 消 spike 实证的凭据三头分裂（mcp.url 指远端而 token 属本地部署 / 旧 token 缺 read
+    // scope 致 get_daemon_status 等全挂）。scope 定 read+dispatch（P2 审查通道：get_daemon_
+    // status/get_worker_result 需 read，dispatch_worker 需 dispatch；converge 按 D-004 不申请）。
+    // 失败（旧 backend 无端点 / 403 / 断网）→ 降级旧行为（下方 §7.4 分支），不阻断 connect。
+    let mcpIssued = null;
+    if (resolved && resolved.workspace_id) {
+      const issueUrl = `${normalizedUrl}/api/workspaces/${resolved.workspace_id}/mcp-tokens`;
+      const issued = await fetchJson(issueUrl, {
+        method: 'POST',
+        headers: { Authorization: `Bearer ${token}`, 'Content-Type': 'application/json' },
+        body: JSON.stringify({ name: 'sillyspec-cli', scope: ['read', 'dispatch'] }),
+      });
+      if (issued && typeof issued.token === 'string' && issued.token.startsWith('shmcp_')) {
+        mcpIssued = issued;
+        console.log(`[sync] MCP token 成对签发成功 (gateway: ${issued.gateway_url || normalizedUrl})`);
+      } else {
+        console.warn('[sync] MCP token 签发失败（旧 backend 无端点/权限不足），mcp 段按旧口径处理');
+      }
+    }
+
     // 解析推送者身份（D-004）：显式 > git user.name > env；全失败留空不写 user 字段
     const resolvedUser = resolvePlatformUser(this.cwd, user);
 
@@ -471,10 +511,16 @@ export class SyncManager {
     }
     let text = readLocalYamlRaw(this.cwd);
     text = replaceTopLevelSection(text, 'platform', platformEntries.join('\n'));
-    // mcp 段同源假设（design §7.4）：url 复用 platform 的 url；token 用原始 user 级 token
-    // （非换发的 effectiveToken——MCP 派发需 user 级权限，platform 段才是最小权限的 shpsync_）。
-    // 用户已手填 mcp 段则保留不覆盖（R-09，文本级检测）
-    if (findTopLevelSectionRange(text, 'mcp') === null) {
+    // mcp 段写入优先级（2026-09-10 成对签发批次）：①签发成功 → 覆盖写（含手填旧段——
+    // 成对值是确定性有效凭据，覆盖陈旧/错部署段是修复不是破坏，spike 实证的「旧 token
+    // 永不愈合」正源于旧口径的不覆盖）；②签发失败但段缺 → §7.4 同源假设补 url + user
+    // token（旧行为）；③签发失败且段在 → 手填段保留（R-09 不覆盖）。
+    if (mcpIssued) {
+      const gwUrl = typeof mcpIssued.gateway_url === 'string' && mcpIssued.gateway_url
+        ? mcpIssued.gateway_url.replace(/\/+$/, '')
+        : `${normalizedUrl}/mcp`;
+      text = replaceTopLevelSection(text, 'mcp', `  url: ${yamlStr(gwUrl)}\n  token: ${yamlStr(mcpIssued.token)}`);
+    } else if (findTopLevelSectionRange(text, 'mcp') === null) {
       text = replaceTopLevelSection(text, 'mcp', `  url: ${yamlStr(normalizedUrl)}\n  token: ${yamlStr(token)}`);
     }
     writeLocalYamlRaw(this.cwd, text);
@@ -653,14 +699,28 @@ export class SyncManager {
       });
 
       // X1（task-04 契约）：409 + code='change_deleted' = 平台已删 key 拒收——不是 base_ts 冲突。
-      // 单行提示即可，不落冲突文件、不打全幅横幅：墓碑已收敛后的重复上行（归档收尾多步各推一次）、
+      // 不落冲突文件、不打全幅横幅：墓碑已收敛后的重复上行（归档收尾多步各推一次）、
       // 多用户下他端删除后本地仍在推进，都是可预期态，按冲突卡死人工 resolve 反而是误报。
       if (res.status === 409 && res.body && res.body.code === 'change_deleted') {
-        console.warn(`⚠️ [sync] 平台已删除变更「${changeName}」，本次进度上行被拒收（change_deleted）；本地如仍需推进请在平台侧确认`);
+        // 预期回执分流（2026-09-10 驾驭小结第四批③，用户实锤「提示语义滞后一个动作」）：本地 DB
+        // status 已是 archived/deleted（unregisterChange 链——CLI 归档/change-delete 收尾自己置的）
+        // 时，本次上行本就是 CLI 主动发的墓碑，409 是平台「已删」幂等回执——本地注销早已完成，
+        // 「请在平台侧确认」口吻滞后一个动作；降为 ℹ️ 单行。仅本地仍 active（他端删除）才 warn。
+        const localTombstone = tombstoneDue
+          || progressData?.changes?.[0]?.status === 'archived'
+          || progressData?.changes?.[0]?.status === 'deleted'
+        if (localTombstone) {
+          console.log(`ℹ️ [sync] 平台已删除变更「${changeName}」——本地注销已由 CLI 完成，墓碑上行 409 属预期回执，无需动作`);
+        } else {
+          console.warn(`⚠️ [sync] 平台已删除变更「${changeName}」，本次进度上行被拒收（change_deleted）；本地如仍需推进请在平台侧确认`);
+        }
         return { synced: 0, errors: [], platformDeleted: true, reason: '平台已删除（change_deleted 拒收）' };
       }
 
       if (res.ok) {
+        // 平台连接恢复信号（sync-noise.js）：此前静默窗口内的失败在恢复的第一笔成功时
+        // 打一行提示并清 marker；之后照常「成功不打扰」。
+        noteSyncSuccess();
         // 更新 platform_last_sync + 推进 base_ts（ql-20260818-008：值优先平台回执 last_pushed_at，
         // 缺省用本次 pushedAt——服务器 _apply 存的就是客户端 X-SillySpec-Pushed-At 原值，回写一致。
         // 修复前该列从不写，下次 push 永不带 X-SillySpec-Base-Ts、pull 脏度检测恒 false）
@@ -1054,10 +1114,12 @@ export class SyncManager {
   /**
    * 获取当前平台配置，未连接返回 null。
    * 优先级：env SILLYHUB_PLATFORM_URL + SILLYHUB_PLATFORM_TOKEN（两键齐全才生效——
-   * daemon 注入通道，平台模式 specRoot/local.yaml 常无 platform 段，与链路 D
-   * readPlatformPushConfig 同款先例）> local.yaml platform 段。
-   * env 由 daemon 注入、CLI 不管其生命周期（disconnect 仍只清 local.yaml——daemon
-   * 停止注入即失效）；triggerSync 平台模式放行（2026-08-26）后这是回传走通的关键通道。
+   * 预留的外部注入通道，与链路 D readPlatformPushConfig 同款先例。⚠️ daemon 并未实现
+   * 该注入（2026-09-09 核对全仓历史，见 multi-agent-platform 仓
+   * docs/sillyspec/init-lease-silent-no-local-yaml.md）——env 需用户/脚本在 shell 显式
+   * export，别按「daemon 会注」排障）> local.yaml platform 段。
+   * env 生命周期 CLI 不管（disconnect 仍只清 local.yaml）；triggerSync 平台模式放行
+   * （2026-08-26）后平台模式回传的主凭据实为 local.yaml platform 段（env 缺席时）。
    */
   _getPlatform() {
     if (process.env.SILLYHUB_PLATFORM_URL && process.env.SILLYHUB_PLATFORM_TOKEN) {
@@ -1268,8 +1330,12 @@ export class SyncManager {
       signal: opts.signal, // HUB-09：熔断 abort 传到底层请求
     });
     if (result === null) {
-      // sillyhub 未就绪 / 404 / 网络失败均 fetchJson 返回 null → Best Effort 降级
-      console.warn(`[sync] 拉取变更进度失败: ${changeName}（sillyhub 未就绪或变更不存在）`);
+      // sillyhub 未就绪 / 404 / 网络失败均 fetchJson 返回 null → Best Effort 降级。
+      // 自动注入点（triggerPull，opts.autoPull）走噪音闸防刷屏；手动 `platform pull`
+      // 是用户显式诊断动作，恒可见。
+      const line = `[sync] 拉取变更进度失败: ${changeName}（sillyhub 未就绪或变更不存在）`;
+      if (opts.autoPull) syncConnectionWarn(line);
+      else console.warn(line);
       return { ok: false, imported: false, conflict: false, reason: '拉取变更进度失败' };
     }
 

package/src/task-review.js

@@ -781,25 +781,83 @@ export function writeVerifyRequiredEvidence(changeDir, requiredEvidence) {
 }
 
 /**
- * 生成 execute run id
- * @returns {string} 如 'exec-2026-06-23-131400'
+ * 生成 execute run id。
+ * changeName 给定时附 change 名 FNV-1a 哈希后缀（坑 exec-run-id-same-second-collision
+ * 结构化隔离层，2026-09-10 驾驭小结第三批①，用户建议「run 目录取 change 名哈希隔离」）：
+ * 两变更同秒启动 execute 必得不同 runId（run 目录天然分家），与 claimExecuteRunId 的
+ * 排他认领互补——认领治「同 ID 两主」，哈希治「不同变更天生同 ID」。同变更重试（marker
+ * 断裂 regenerate）哈希恒同，幂等；无参调用保持裸秒级形态（向后兼容/测试注入）。
+ * @param {string|null} [changeName] 变更名（缺省=裸秒级形态，无哈希后缀）
+ * @returns {string} 如 'exec-2026-06-23-131400' / 'exec-2026-06-23-131400-3fa2c1'
  */
-export function generateExecuteRunId() {
+export function generateExecuteRunId(changeName = null) {
   const now = new Date()
   const pad = (n) => String(n).padStart(2, '0')
-  return `exec-${now.getFullYear()}-${pad(now.getMonth() + 1)}-${pad(now.getDate())}-${pad(now.getHours())}${pad(now.getMinutes())}${pad(now.getSeconds())}`
+  const base = `exec-${now.getFullYear()}-${pad(now.getMonth() + 1)}-${pad(now.getDate())}-${pad(now.getHours())}${pad(now.getMinutes())}${pad(now.getSeconds())}`
+  if (!changeName) return base
+  return `${base}-${changeNameHash(changeName)}`
+}
+
+/** change 名 → 6 位小写十六进制哈希（FNV-1a 32bit 截断；确定性、字符集落在 runId 后缀合法域 [a-z0-9]） */
+function changeNameHash(name) {
+  let h = 0x811c9dc5
+  for (let i = 0; i < name.length; i++) {
+    h ^= name.charCodeAt(i)
+    h = Math.imul(h, 0x01000193) >>> 0
+  }
+  return h.toString(16).padStart(6, '0').slice(0, 6)
 }
 
 /**
- * execute run id 格式校验：exec-YYYY-MM-DD-HHMMSS。
+ * 排他认领 execute run 目录（坑 exec-run-id-same-second-collision，2026-09-10 用户两次实锤）：
+ * generateExecuteRunId 是秒级时间戳，并行会话（不同 change）同秒启动 execute 会生成同一
+ * runId——两变更的 tasks/task-NN/review.json 落进同一 execute-runs/<runId>/ 互相覆盖。
+ * 认领靠非递归 mkdir 的原子性：目录已存在（EEXIST）= 他者已认领同秒 ID → 附随机短后缀
+ * 重试；真实 fs 障碍（execute-runs 被普通文件占用等）原样上抛，由四处写入点既有分层 fail
+ * 语义接管（stage throw / gates 直穿 fail-closed / prompt+task-review catch 降级，
+ * execute-run-dir-fail-loud.test.mjs 锁定）。认领成功即含 tasks/ 子目录（不变量：认领则在，
+ * 后续 marker 写入点 mkdir 为幂等 no-op）。
+ * @param {string} runtimeRoot .sillyspec/.runtime 绝对路径
+ * @param {string|null} [baseId] 认领基准 ID（须为裸秒级形态；缺省现取 generateExecuteRunId()。
+ *   测试注入定值以确定性模拟「同秒两会话」，消除跨秒抖动）
+ * @returns {string} 已认领的 runId（无碰撞=原样秒级形态；碰撞=带 -<rand4> 后缀）
+ */
+export function claimExecuteRunId(runtimeRoot, baseId = null) {
+  const base = baseId || generateExecuteRunId()
+  mkdirSync(join(runtimeRoot, 'execute-runs'), { recursive: true })
+  for (let attempt = 0; attempt < 8; attempt++) {
+    const candidate = attempt === 0 ? base : `${base}-${randomRunIdSuffix()}`
+    try {
+      mkdirSync(join(runtimeRoot, 'execute-runs', candidate)) // 非递归=排他：EEXIST 即同秒碰撞
+      mkdirSync(join(runtimeRoot, 'execute-runs', candidate, 'tasks'), { recursive: true })
+      return candidate
+    } catch (e) {
+      if (e.code !== 'EEXIST') throw e
+    }
+  }
+  // 极端拥挤兜底：放弃排他返回带后缀 ID（调用方 marker 写入点的 recursive mkdir 兜住；
+  // 同秒 8 次随机后缀连续碰撞的概率可忽略，行为不劣于修复前）
+  return `${base}-${randomRunIdSuffix()}`
+}
+
+function randomRunIdSuffix() {
+  return Math.random().toString(36).slice(2, 6).padEnd(4, '0')
+}
+
+/**
+ * execute run id 格式校验：exec-YYYY-MM-DD-HHMMSS（可选 1-2 段小写字母数字短后缀）。
  * marker 文件是 agent 可写内容，读回后既注入 prompt（{EXECUTE_RUN_ID}）又拼进
  * join(runtimeRoot, 'execute-runs', runId) 路径——格式校验同时防提示词注入与路径穿越
  * （对齐 stage-review marker 的 review- 前缀校验范式）。
+ * 后缀两段语义：①change 哈希段（generateExecuteRunId(changeName)，坑
+ * exec-run-id-same-second-collision 结构化隔离）；②claim 碰撞随机段（claimExecuteRunId
+ * 同秒认领冲突换道）。存量无后缀 ID（历史 run）继续通过，读侧全形态兼容。
  * @param {string} runId
  * @returns {boolean}
  */
 export function isValidExecuteRunId(runId) {
-  return typeof runId === 'string' && /^exec-\d{4}-\d{2}-\d{2}-\d{6}$/.test(runId)
+  return typeof runId === 'string'
+    && /^exec-\d{4}-\d{2}-\d{2}-\d{6}(?:-[a-z0-9]{1,8}){0,2}$/.test(runId)
 }
 
 /**
@@ -838,8 +896,10 @@ export function resolveLatestExecuteRunIdWithTasks({ runtimeRoot, changeName = n
       .sort((a, b) => b.mtime - a.mtime)
     if (entries.length === 0) return null
     // changeName 给定时优先 change 戳等值的 run（坑 worktree-cleanup-marker-chain：mtime 最新
-    // 会错拿其他变更的 run）；无戳命中退回 mtime 最新（向后兼容，调用方多为 marker 漂移兜底，
-    // 宁可拿最新 run 也不空手而归——覆盖度由调用方 validateTaskReviews 复校验）
+    // 会错拿其他变更的 run）；无戳命中退 mtime 最新——但排除「戳属他变更」的有主 run（坑
+    // exec-run-id-same-second-collision 收尾，2026-09-10 驾驭小结第二批②：与
+    // resolveExecuteRunForChange / resolveLatestExecuteRunId 同语义，戳存在且不等值 = 有明确
+    // 主人，误拿即串台）。无 changeName（旧行为，调用方 marker 漂移兜底）纯 mtime 零回归。
     if (changeName) {
       for (const x of entries) {
         try {
@@ -847,6 +907,11 @@ export function resolveLatestExecuteRunIdWithTasks({ runtimeRoot, changeName = n
           if (c === changeName) return x.e
         } catch {}
       }
+      const ownerless = entries.find(x => {
+        try { return !existsSync(join(runsDir, x.e, 'change')) } catch { return true }
+      })
+      if (ownerless) return ownerless.e
+      return null
     }
     return entries[0].e
   } catch {
@@ -865,11 +930,16 @@ export function resolveLatestExecuteRunId({ runtimeRoot, changeName }) {
   } catch {}
   // marker 缺失（worktree cleanup / 归档清理 / 并行会话误删——坑 worktree-cleanup-marker-chain）
   // 时不再盲目取 mtime 最新（会拿到其他变更的 run）：先按 change 归属戳过滤，命中才返回；
-  // 无戳（旧 run）退回 mtime 最新保持向后兼容。
+  // 无戳（旧 run）退 mtime 最新——但排除「戳属他变更」的有主 run（坑
+  // exec-run-id-same-second-collision 收尾，2026-09-10 驾驭小结第二批②：writeTaskReview 在
+  // marker 缺失场景靠本函数定位 run，误拿有主 run 即把本变更 review.json 写进他变更 run 的
+  // tasks/——串台残余入口。与 resolveExecuteRunForChange 的覆盖度启发排除同语义）；全部 run
+  // 有主 → null（宁缺毋错，调用方走「无 run」分支而非错写）。
   try {
     const candidates = listExecuteRunCandidates(runtimeRoot, changeName)
     if (candidates.stamped.length > 0) return candidates.stamped[0]
-    if (candidates.all.length > 0) return candidates.all[0]
+    const ownerless = candidates.all.find(runId => readExecuteRunChangeStamp(runtimeRoot, runId) === null)
+    if (ownerless) return ownerless
   } catch {}
   return null
 }
@@ -1054,11 +1124,13 @@ export async function generateTaskReviewDrafts({ changeName, cwd, platformOpts =
     }
   } catch {}
   if (!executeRunId) {
-    executeRunId = generateExecuteRunId()
+    executeRunId = generateExecuteRunId(changeName)
     // D-001#1 fallback 写入点：mkdir execute-runs/<runId>/tasks 先于 marker（不变量：marker 在则目录在）。
     // 保留 fail-open 契约（调用方 catch 降级）——只去静默：失败 console.error 留痕，不 throw
     //（草稿兜底缺了也只是退回 gate 报缺 review.json，不比修复前差）。
     try {
+      // 排他认领（坑 exec-run-id-same-second-collision）：并行会话同秒 runId 碰撞在认领处消解
+      executeRunId = claimExecuteRunId(runtimeRoot, executeRunId)
       mkdirSync(join(runtimeRoot, 'execute-runs', executeRunId, 'tasks'), { recursive: true })
       writeFileSync(runIdFile, executeRunId + '\n')
       stampExecuteRunChange(runtimeRoot, executeRunId, changeName)
@@ -1086,9 +1158,27 @@ export async function generateTaskReviewDrafts({ changeName, cwd, platformOpts =
       const wtFiles = parsePorcelainFiles(wtStatus)
         .map(p => String(p).replace(/\\/g, '/'))
         .filter(p => p !== '.sillyspec' && !p.startsWith('.sillyspec/'))
-      if (wtFiles.length > 0) {
-        diffFiles = [...new Set([...(Array.isArray(diffFiles) ? diffFiles : []), ...wtFiles])]
-        console.log(`[sillyspec] 草稿归属并入 ${wtFiles.length} 个 worktree 未提交文件（子代理未 commit 的改动按 allowed_paths 归属）`)
+      // 已提交口径补齐（2026-09-10 用户反馈②「先提交则 diff 空」：worktree 内已 commit 的改动
+      // 对主仓 base..head 与 status 双不可见，草稿 changedFiles 恒空）——merge-base(主仓 HEAD,
+      // worktree HEAD)（= 创建锚点）..worktree HEAD 的 commit diff 并入，与
+      // resolveVerifyChangedFiles 的同款补齐同源（verify-postcheck.js，两处口径须同步改）。
+      // in-place 退化（wtGitDir===cwd）时已提交改动在主仓 diff 内，跳过防双并；git 失败 fail-open。
+      let committedFiles = []
+      if (wtGitDir !== cwd) {
+        try {
+          const mainHead = runGit(cwd, ['rev-parse', 'HEAD'])
+          const wtHead = runGit(wtGitDir, ['rev-parse', 'HEAD'])
+          const mb = (mainHead && wtHead) ? runGit(wtGitDir, ['merge-base', wtHead, mainHead]) : null
+          if (mb) {
+            committedFiles = String(runGit(wtGitDir, ['diff', '--name-only', mb, wtHead]) || '')
+              .split('\n').map(p => p.replace(/^"|"$/g, '').replace(/\\/g, '/').trim())
+              .filter(p => p && p !== '.sillyspec' && !p.startsWith('.sillyspec/'))
+          }
+        } catch { /* 已提交补齐失败退回 status-only（fail-open，不拖垮未提交并入） */ }
+      }
+      if (wtFiles.length > 0 || committedFiles.length > 0) {
+        diffFiles = [...new Set([...(Array.isArray(diffFiles) ? diffFiles : []), ...wtFiles, ...committedFiles])]
+        console.log(`[sillyspec] 草稿归属并入 worktree 改动 ${wtFiles.length + committedFiles.length} 个（未提交 ${wtFiles.length} + 已提交 ${committedFiles.length}，按 allowed_paths 归属）`)
       }
     }
   } catch { /* working-tree 并入失败退回 commit diff 口径（fail-open，不阻断草稿） */ }
@@ -1398,7 +1488,21 @@ export async function adoptTaskReviewMechanics({ changeName, cwd, platformOpts =
         ? crossDiffFiles.filter(f => allowedPaths.some(p => pathMatches(f, p)))
         : crossDiffFiles
     } else {
-      const mainDiff = Array.isArray(diffFiles) ? diffFiles : []
+      // 坑 backfill-reviews-adopt-empties-changedfiles（2026-09-08 实证）：主仓 task 同样
+      // 优先卡锚点切片（base_commit/head_commit），不再共用「worktree 基线..当前 HEAD」——
+      // per-task commit 模式下 base 必须是本 task 起点commit，diff 才与 allowed_paths 对齐
+      // （跨仓路径本就按卡切片）；卡无锚点回落 change 级切片（旧语义，兼容 wave 级提交）。
+      const cardHead = parseHeadCommit(content)
+      const cardBase = parseBaseCommit(content)
+      let mainDiff = Array.isArray(diffFiles) ? diffFiles : []
+      if (cardHead) {
+        taskHead = cardHead
+        taskBase = cardBase || taskBase
+        try {
+          const out = runGit(reviewGitDir, ['diff', '--name-only', `${taskBase}..${taskHead}`])
+          mainDiff = out ? out.split('\n').filter(Boolean).map(p => p.replace(/\\/g, '/')) : []
+        } catch { /* 锚点不可解析（如卡记短 hash 仓内无引用）→ 回落 change 级切片 */ }
+      }
       taskChangedFiles = allowedPaths.length > 0
         ? mainDiff.filter(f => allowedPaths.some(p => pathMatches(f, p)))
         : []
@@ -1410,6 +1514,16 @@ export async function adoptTaskReviewMechanics({ changeName, cwd, platformOpts =
       continue
     }
 
+    // 切片空不冲声明（2026-09-08 用户反馈：backfill-reviews --adopt 冲掉 review）：task 卡
+    // 无 allowed_paths、或 allowed_paths 与 change 级 diff 的路径形态失配时，上方过滤产出
+    // 空 changedFiles——旧代码照样整字段覆写，reviewer 已声明且过证据校验的 changedFiles
+    // 被清空，gate（verifyReviewGitEvidence）随即按空集误判。adopt 的职责是重算 mechanics，
+    // 不是降级声明：计算切片为空而原声明非空时保留原声明并留 reason 可追溯。
+    if (taskChangedFiles.length === 0 && Array.isArray(prev.changedFiles) && prev.changedFiles.length > 0) {
+      taskChangedFiles = prev.changedFiles
+      reasons.push(`${taskId}: allowed_paths 未切出任何 diff 文件（卡无声明/路径形态失配），保留原 changedFiles ${prev.changedFiles.length} 条不冲空`)
+    }
+
     const merged = { ...prev }
     merged.schemaVersion = REVIEW_SCHEMA_VERSION
     merged.task = taskId
@@ -1544,12 +1658,14 @@ export async function writeTaskReview({
     executeRunId = resolveLatestExecuteRunId({ runtimeRoot, changeName }) || ''
   }
   if (!executeRunId) {
-    executeRunId = generateExecuteRunId()
-    warnings.push(`无 execute run marker——已生成新 runId ${executeRunId} 并建目录（正常应先跑过 execute Wave 步）`)
+    executeRunId = generateExecuteRunId(changeName)
     try {
+      // 排他认领（坑 exec-run-id-same-second-collision）+ 幂等 mkdir，认领碰撞换后缀
+      executeRunId = claimExecuteRunId(runtimeRoot, executeRunId)
       mkdirSync(join(runtimeRoot, 'execute-runs', executeRunId, 'tasks'), { recursive: true })
       writeFileSync(markerFile, executeRunId + '\n')
       stampExecuteRunChange(runtimeRoot, executeRunId, changeName)
+      warnings.push(`无 execute run marker——已生成新 runId ${executeRunId} 并建目录（正常应先跑过 execute Wave 步）`)
     } catch (e) {
       return { ok: false, errors: [`execute run 目录/marker 写入失败：${e.message}`], warnings }
     }