sillyspec 3.28.4 → 3.28.5

package/src/stages/brainstorm.js

@@ -1,3 +1,5 @@
+import { REVIEW_CHECKLISTS } from '../stage-review-checklist.js'
+
 export const definition = {
   name: 'brainstorm',
   title: '头脑风暴',
@@ -380,6 +382,7 @@ design.md 文件路径 + 自审结果
 tier: {REVIEW_TIER}（{REVIEW_TIER_REASON}）
 - tier=self：当前 agent 直接执行下方交叉审查（小变更）
 - tier=independent：必须用 Agent tool 启动一个独立的设计审查子代理（独立上下文，不共享你的分析与倾向），子代理按下方"交叉审查模型"审查 design.md 并输出 review.json。review.json 产物契约（CLI Stage Review Gate 将硬校验，schema + 完整示例 + docHash 算法如下，照抄改值）:
+  宿主环境无 Agent tool 可用（调用报 Unknown agent / Available agents: none）→ 不卡死：主代理切换为审查者角色自审替代，reviewerNotes 首行记录「降级：环境无子代理可用」，逐条结论附源码锚点（file:line 或 grep/read 证据）补偿独立性。
 {REVIEW_JSON_CONTRACT}
   子代理只产出 review + Unresolved Blockers，**是否调用 sillyspec run brainstorm --wait 仍由你（主 agent）根据其 verdict 决定**（子代理不直接操作 CLI 状态机）。
 
@@ -403,18 +406,11 @@ tier: {REVIEW_TIER}（{REVIEW_TIER_REASON}）
 
 ### 交叉审查模型
 按三层检查并输出 cross-check matrix：
-1. **定义层**：模糊概念是否有可测试定义。例如"高可用""异常数据""本地缓存""重试"。
-2. **一致性层**：跨章节/跨产物是否打架。例如数据流 vs 容错策略、schema vs 输入格式、非目标 vs tasks。
-3. **可行性层**：关键假设是否有来源。例如 P99 延迟、上游 SLA、缓存 TTL、数据量、权限模型、兼容旧配置。
+${REVIEW_CHECKLISTS.brainstorm.slice(0, 3).map((item, index) => (index + 1) + '. ' + item).join('\n')}
 
 ### 交叉点抽取
 重点找这些交叉点：
-- 模块 A 依赖模块 B 的实体/状态/接口
-- requirements.md 的 FR 与 design.md 的数据模型/API/状态机
-- design.md 的容错策略与数据流、缓存、重试、回滚
-- tasks.md 的执行范围与 design.md 的非目标
-- decisions.md 的 D-xxx@vN 与 design.md 当前说法
-- scan/module docs 或源码中的真实约束与 design.md 假设
+${REVIEW_CHECKLISTS.brainstorm.slice(3).map((item) => '- ' + item).join('\n')}
 
 ### 问答处理
 1. 先自动交叉审查，不要一上来问用户。

package/src/stages/execute.js

@@ -6,6 +6,7 @@ import { renderDispatchInstruction } from '../dispatch/strategy.js'
 import { isPathASupported } from '../dispatch/backends/sillyhub-mcp.js'
 import { readMcpConfig } from '../sillyhub-mcp/config.js'
 import { gitQuiet } from '../git-helper.js'
+import { REVIEW_CHECKLISTS } from '../stage-review-checklist.js'
 import { parseRepo } from './plan-postcheck.js'
 // 模块卡分级解析（token 成本优化 P0a）。注意：module-resolve.js 反向 import 本文件的
 // parseTaskRegistry（注册表同口径）——双向引用均为函数声明 + 调用时解引（无模块初始化期
@@ -323,6 +324,7 @@ worktree 路径 + 分支名 + 模式
 
 如上为 CLI 用 git 事实算出的本变更触及模块文档欠账（无输出=无欠账或归属数据缺失）。
 欠账处理：Wave 收尾时顺手同步对应模块卡，不必为此停下。变更索引类条目追加到卡同目录 \`<module>.changelog.md\` sidecar（无则创建；可先跑 \`sillyspec modules split-changelog\` 迁出历史段）——勿把历史条目堆回模块卡正文（卡是子代理的读取税）。
+⚠️ **铁律：模块卡 / sidecar 一律写主仓绝对路径 \`{SPEC_ROOT}/docs/<project>/modules/\`（CLI 已替换为绝对路径）**——在 worktree 内执行时**绝不**写 worktree checkout 出来的 \`.sillyspec\` 副本（该副本随 worktree cleanup 整目录蒸发，主仓永远读不到；2026-09-10 实证 task-13 子代理写副本、归档阶段被迫 checkout 补救）。
 
 ### 铁律
 - **不要询问用户确认频率**，默认 wave 模式；用户已明确口头指定时遵从其指定`,
@@ -342,13 +344,12 @@ const acceptanceSteps = [
 tier: {REVIEW_TIER}（{REVIEW_TIER_REASON}）
 - tier=self：当前 agent 汇总执行（对照 design.md 逐项检查 + 偏差说明）
 - tier=independent：必须用 Agent tool 启动一个独立的 QA 子代理（独立上下文，不共享实现者的分析），子代理对照 design.md 逐项检查实现一致性并输出 review.json。review.json 产物契约（CLI Stage Review Gate 将硬校验，schema + 完整示例 + docHash 算法如下，照抄改值；reviewedFiles 除主文档 design.md 外可追加 git diff 涉及的源码文件）:
+  宿主环境无 Agent tool 可用（调用报 Unknown agent / Available agents: none）→ 不卡死：主代理切换为审查者角色自审替代，reviewerNotes 首行记录「降级：环境无子代理可用」，逐条结论附源码锚点（file:line 或 grep/read 证据）补偿独立性。
 {REVIEW_JSON_CONTRACT}
   该 acceptance review 同时覆盖"代码审查"视角（风格/bug/安全/冗余），后续代码审查步骤仅需轻量复审。
 
   **审查范围分级（省重复消耗，task review 已覆盖的不全量重审）**：每个 task 在 Task Review Gate 已产出 review.json（{SPEC_ROOT}/.runtime/execute-runs/{EXECUTE_RUN_ID}/tasks/task-XX/review.json，specVerdict/qualityVerdict 双 pass）。QA 子代理按它分层：双 pass 的 task 只**抽查**（读 1-2 个核心 diff 文件抽验 reviewerNotes 与实际改动相符，不必逐文件重审）；未双 pass（fail/cannot_verify/缺失）的 task 必须全量重审。无论抽查还是全量，以下三项始终必查——task review 铁律是"只看当前 task 的 diff"，这三项是它覆盖不到、只有 stage review 能兜住的：
-  1. 跨 task 交界（A 产出的接口/数据结构与 B 的消费是否对得上）
-  2. design.md 整体对照（最终实现拼起来是否仍符合设计意图，而非仅各 task 局部合规）
-  3. 组装行为（全量测试/构建/启动通过——单 task 测试全绿 ≠ 组装正确）
+${REVIEW_CHECKLISTS.execute.map((item, index) => '  ' + (index + 1) + '. ' + item).join('\n')}
 
   **产物唯一化（省重复消耗）**：本步逐项对照结论**只落盘一份**——直接写进 review.json 的 \`checklist\` 数组（item=设计要点/FR/决策，note=实现状态 ✅/⚠️/❌ + 偏差说明 + commit 锚点），reviewerNotes 写汇总。**不要**另写独立的 design-check.md 长文（同一份 design×diff 二次消费；2026-08-22 实测该重复一遍 ≈8 分钟全量重读）。
   **gate 重试修复**：review.json 落盘后若 design.md 又有改版，gate 会**自动机械重算 docHash 放行**（verdict/checklist 保留，结论是否仍适用于新文档需人工确认）——**不要重做审查**（重做=同一材料第三遍）；主文档路径错/缺失不会被自动修复，按 gate 报错修正 reviewedFiles[0]，或跑 \`sillyspec register-stage-review --change <变更名> --stage execute --refresh-hash\`。
@@ -1061,7 +1062,7 @@ ${indexLines}
 ${crossLines}${crossWorktreeSection}${crossLegacySection}
 
 **回收跨仓 task（head 锡点，CLI 自动落盘，勿手写）：**
-- 子代理完成 commit 后，正常写 review.json（verdict/notes）并勾选 checkbox 即可。execute \`--done\` 时 CLI 自动对跨仓仓（worktree 模式=该仓 worktree，legacy=仓根）\`git rev-parse HEAD\` 写入该 task 卡 \`head_commit:\`（幂等，已存在不覆盖——你若手写了精确锚点则以你的为准）。
+- 子代理完成 commit 后，正常写 review.json（verdict/notes）即可——checkbox 由 CLI 按 review verdict 自动勾选（review write 落盘即勾）。execute \`--done\` 时 CLI 自动对跨仓仓（worktree 模式=该仓 worktree，legacy=仓根）\`git rev-parse HEAD\` 写入该 task 卡 \`head_commit:\`（幂等，已存在不覆盖——你若手写了精确锚点则以你的为准）。
 - review.json 的 mechanics 字段（\`base\`/\`head\`/\`changedFiles\`/\`diffPaths\`）无需手算：\`base\` 取 task 卡 \`base_commit\`、\`head\` 取 task 卡 \`head_commit\`，写完跑 \`sillyspec backfill-reviews --change <变更名> --adopt\` 一键代填（verdict 保留）。
 `
   }
@@ -1111,7 +1112,9 @@ ${workdirLines}
 \`\`\`
 
 ### 注意
-蓝图文件（tasks.md / design.md / proposal.md / requirements.md）在主工作区 {SPEC_ROOT}/changes/<change>/ 下（CLI 已替换为主仓绝对路径），它们可能不在 worktree 中。读取蓝图时使用主工作区路径，不要拼接到 worktree 路径下；同理，spec 流程产物（module-impact.md / knowledge 条目 / 模块文档）只写主仓 {SPEC_ROOT}，绝不写进 worktree 副本。
+蓝图文件（tasks.md / design.md / proposal.md / requirements.md）在主工作区 {SPEC_ROOT}/changes/<change>/ 下（CLI 已替换为主仓绝对路径），它们可能不在 worktree 中。读取蓝图时使用主工作区路径，不要拼接到 worktree 路径下。
+
+⚠️ **铁律：spec 流程产物只写主仓 {SPEC_ROOT}，绝不写进 worktree 副本**——包括 module-impact.md / knowledge 条目 / 模块卡与 \`<module>.changelog.md\` sidecar。在 worktree 内发现 \`.sillyspec/\` 目录是 checkout 副本，写进去的任何内容都会随 worktree cleanup 整目录蒸发（2026-09-10 实证：模块文档写副本、归档被迫 checkout 补救）。子代理 prompt 中涉及此类产物时，必须原样带上主仓绝对路径。
 `
       : ''
   }
@@ -1158,7 +1161,7 @@ ${workdirLines}
 你的角色是调度者 + 审查者（batch 只合并实现、不合并审查）：
 1. 为每个任务启动一个子代理（Agent tool），或按上述三条件把多个任务合并为一个 batch 子代理，同 Wave 内可并行
 2. 子代理完成后审查结果——batch 子代理只做实现与自验，task 审查、review.json 产出与 checkbox 勾选仍归你（主 agent），在子代理返回后逐 task 进行；审查 batch 报告时逐 task 对照 allowed_paths 检查改动文件清单有无越权
-3. 勾选 tasks.md 中对应任务的 checkbox
+3. checkbox 由 CLI 自动勾选（review write 落盘即按 verdict 勾选 tasks.md；勿手动勾选）
 4. 记录改动文件和测试结果
 
 ${worktreeSection}${crossRepoCommitSection}${dispatchSection}
@@ -1211,21 +1214,21 @@ ${taskList}
    - 用户明确要求编译时
 4. 每个任务完成后：
    - **在 worktree 内 git add -A && git commit -m "<task-NN 摘要>"**（坑 subagent-uncommitted-newfile-apply3way，2026-08-22 实证：纯新增文件不 commit 时 apply 的 git apply --3way 报 "does not exist in index" 直接炸——未 commit 的新文件不在 base commit 也不在 index，patch 生成取不到。commit 后 base..HEAD diff 完整、apply 顺畅，review.json 的 head 也有真实锚点）
-   - **先写 review.json 再勾选 checkbox**（见下方 Task Review Gate）
-   - **任务边界上报（每任务一次，主仓根目录）**：勾选 checkbox 后跑一次 \`sillyspec platform sync --change <change-name>\`——以任务粒度把「最后信号」（last_pushed_at）与 tasks.md 勾选状态推上平台（变更中心「进行中」可见性）；未连接平台时该命令静默跳过，无需先检查连接状态
+   - **写 review.json 即可**（checkbox 由 CLI 自动勾选，见下方 Task Review Gate）
+   - **任务边界上报（每任务一次，主仓根目录）**：review write 落盘（CLI 已自动勾选）后跑一次 \`sillyspec platform sync --change <change-name>\`——以任务粒度把「最后信号」（last_pushed_at）与 tasks.md 勾选状态推上平台（变更中心「进行中」可见性）；未连接平台时该命令静默跳过，无需先检查连接状态
    - **既跑 lint check 也跑 formatter**：凡变更涉及的源码跑项目的 lint 检查 **和** 格式化（如 \`ruff format\` / \`prettier --write\`），不要只跑 check——只 check 不 format 会把格式问题留到 commit 时被 pre-commit hook 拦截（worktree 内二进制可能缺失，先 \`which <bin>\` 确认，缺则 \`uv tool install\` / \`uv sync\`）
    - 记录改动文件和测试结果
 5. 遇到 BLOCKED → 记录原因，选择：重试/跳过/停止
 
 ### Task Review Gate
 
-每个子代理完成后、勾选 checkbox **之前**，你必须创建 task review。
+每个子代理完成后，你必须创建 task review（review write 落盘后 CLI 自动勾选 checkbox——P2-f 起勾选唯一写入者是 CLI）。
 
 **操作步骤：**
 1. 读取当前 task 的 git diff（从 task 开始到完成的变更）
 2. 对照 plan.md 中该 task 的描述和 tasks/task-XX.md（如果存在）检查实现是否符合要求
 3. 写入 review.json 文件
-4. **只有 review.json 写入成功后，才允许勾选 tasks.md 中对应任务的 checkbox**（勾选唯一落点；CLI 的 autoCheckPlanFromReviews 机器勾选器同样写 tasks.md，文件锁 .tasks.md.lock 串行化双路勾选）
+4. **禁止手动勾选 tasks.md 的 checkbox**（P2-f task 真源归一：review.json verdict 是唯一真源，tasks.md 勾选是它的显示态，唯一写入者是 CLI——review write 落盘即勾、execute --done 时 autoCheckPlanFromReviews 兜底；agent 手勾与机器勾的漂移面就此退役）
 
 **review.json 路径：**
 

package/src/stages/plan.js

@@ -1,6 +1,7 @@
 import { existsSync, readFileSync, readdirSync } from 'fs'
 import path from 'path'
 import { getRule } from '../stage-contract-spec.js'
+import { REVIEW_CHECKLISTS } from '../stage-review-checklist.js'
 
 // 从 plan-postcheck.js 重导出（保持向后兼容）
 export {
@@ -331,18 +332,10 @@ plan.md 审查通过后、进入 execute 前，若 plan_level=full（跨模块/
 tier: {REVIEW_TIER}（{REVIEW_TIER_REASON}）
 - tier=self：当前 agent 直接执行下方审查清单（小变更，独立审查仪式成本 > 收益）
 - tier=independent：必须用 Agent tool 启动一个独立的计划审查子代理（独立上下文，不共享你生成 plan 时的分析与倾向），由子代理执行下方审查清单并输出 review.json
+  宿主环境无 Agent tool 可用（调用报 Unknown agent / Available agents: none）→ 不卡死：主代理切换为审查者角色自审替代，reviewerNotes 首行记录「降级：环境无子代理可用」，逐条结论附源码锚点（file:line 或 grep/read 证据）补偿独立性。
 
 ### 审查清单（读取 plan.md 的 plan_level，逐条核对）
-- [ ] task 编号与 Wave checkbox 格式正确，execute 依赖此格式解析任务
-- [ ] plan_level 档位与实际复杂度匹配（none/light/full 没选错）
-- [ ] 跨任务契约：task-A 的产出（接口/DTO/响应）被 task-B 消费时，consumer 是否在 TaskCard expects_from 声明所需字段、provider 是否在 provides 承诺、两边字段一致？（plan-postcheck 会硬校验，此处是独立视角复查）
-- [ ] 文件覆盖：design.md 文件变更清单中的每个源码文件，是否都被至少一个 task 的 allowed_paths 覆盖？（漏覆盖 = execute 必然漏改。跨仓变更对账口径：design 清单按「## <repo-key> 仓变更」分段、路径相对各仓根，task 卡 repo: + 同口径相对路径匹配——allowed_paths 带仓库名前缀或绝对路径 = 永不命中、对账不上）
-- [ ] 不存在 P0/P1 unresolved blocker 残留
-- [ ] 没有实现细节泄漏到 plan.md（接口签名/代码示例应在 tasks/task-NN.md）
-- [ ] 关键路径与 Wave 依赖合理（无循环依赖、无遗漏前置）
-- [ ] Wave 分组说明：依赖方向违规（depends_on 同 Wave / 后置 Wave）在 --done 时会按拓扑**自动修复**（提案经一致性+文件面验证后落盘）；共享文件的手工分 Wave 串行是合法安全模式，不会被自动改写
-- [ ] 连带测试归属：本批改动是否会导致既有测试断言失效（改共享/被多 task 依赖源文件、改被测试精确匹配的值如 UI 文案/按钮文本/错误信息/常量/枚举字面量、改函数签名或返回结构等单文件场景）？此类 task 是否在 related_tests 声明了失效测试、且路径在 allowed_paths 内（或由独立测试 task 覆盖）？（漏声明 = execute 阶段测试债、主代理事后兜底）
-- [ ] acceptance 字段对照实际 schema/类型源文件核验存在性与形态，不凭 design.md 文字臆断（plan-postcheck best-effort grep 会给 allowed_paths 源文件未命中的 snake_case/camelCase 标识符提 warning，此处是语义层复查；臆断 = execute 阶段返工）
+${REVIEW_CHECKLISTS.plan.map((item) => '- [ ] ' + item).join('\n')}
 
 ### tier=independent 时：启动 plan-review 子代理
 用 Agent tool 启动子代理（subagent_type: general），prompt 要点：

package/src/stages/verify.js

@@ -98,7 +98,7 @@ export const definition = {
     },
     {
       name: '逐项检查任务',
-      prompt: `对照 tasks.md（任务注册表唯一真相）检查每个任务完成状态。勾选由 execute 双路写入（agent 按 review gate 手动勾 + CLI autoCheckPlanFromReviews 机器勾选器按 review.json 自动勾），本阶段只读对照、不改勾。
+      prompt: `对照 tasks.md（任务注册表唯一真相）检查每个任务完成状态。勾选唯一写入者是 CLI（review write 落盘即按 review.json verdict 勾选，execute --done 时 autoCheckPlanFromReviews 兜底；P2-f 起 agent 不再手勾），本阶段只读对照、不改勾。
 
 ### 勾选状态（CLI 注入，勿手数）
 {TASKS_CHECKBOX}
@@ -169,36 +169,17 @@ export const definition = {
     },
     {
       name: '运行测试和质量扫描',
-      prompt: `运行代码质量扫描（测试实测统一由 CLI 对账执行，本步不重复手动跑全量）。
-
-### 操作
-1. 构建命令（CLI 自 local.yaml 注入，勿再读文件；未配置时按注入说明跑 local detect）：
-{LOCAL_COMMANDS}
-2. **不要手动重复跑 commands.test**——CLI 会在最终 --done 时统一执行一次（按变更命中模块子集），本步再跑 = 与 CLI 对账重复耗时（实测 198s×2）。如为提前发现实现问题，可对变更模块做**针对性快速冒烟**（可选，非必需）：
-   - Maven：\`mvn test -pl <变更模块> -am\`（仅编译变更模块及其依赖）
-   - Gradle：\`./gradlew :<模块>:test\`
-   - npm/pnpm：\`pnpm test --filter=<包名>\` 或 \`npm test -- --testPathPattern=<相关文件>\`
-   - Python：\`pytest <变更模块路径>/\`
-3. 如果 local.yaml 有 lint 命令，运行 lint 检查并修复报出的问题（--done 时 CLI 会亲自实测 commands.lint 对账，实测失败会明示）
-4. 搜索技术债务：grep TODO/FIXME/HACK/XXX（仅限变更文件）
-
-### 注意
-- **CLI 对账机制**：verify 阶段最终 --done 时，CLI 会亲自执行 local.yaml 的 commands.test（同步，耗时可能较长）；实测失败会直接阻断 verify 完成，谎报测试结果没有意义。commands.lint 同样会被 CLI 实测对账（advisory）
-- 冒烟测试非必需：全量/模块实测结果以 CLI 对账为准，本步跑的结果仅供你提前发现问题并写入验证报告
-
-### 检查选择指引（按变更影响面收窄，本地聚焦；FR-12）
-按本次变更的实际影响面选择检查组合，避免无差别全量：
-- **行为类改动**（源码逻辑/数据结构/接口/调用关系/配置）→ 聚焦测试：只跑变更命中模块的子集（local.yaml 配 \`test_strategy: module\` + modules 映射），CLI --done 对账同口径收窄
-- **文档/prompt 类改动**（*.md、docs/** 等）→ 文档检查（\`sillyspec docs check\` 口径），不跑代码测试
-- **门禁/契约类改动**（gate/contract 相关文件、对外接口契约）→ 契约对账（\`sillyspec gate\` 口径）优先于跑测试
-- **全量**仅在用户明确要求、或仓库级不可分变更（横切基础设施/全仓重命名等无法按模块拆分）时执行——本地聚焦，全量留给 CI 或明确要求
-
-### 测试策略推荐（CLI 注入；test_strategy: evidence-auto 时非空，其余策略为空）
-{EVIDENCE_AUTO_RECOMMENDATION}
-
-### 输出
-质量扫描结果 + 技术债务标记`,
-      outputHint: '质量扫描结果 + 技术债务',
+      // noAI 化（P0-1，docs/sillyspec/noai-ir-roadmap.md §3）：test/lint 实测提前到本步由 CLI
+      // 亲自执行（run/verify-quality-scan.js executeVerifyQualityScan）——本步此前的 agent 角色
+      // 是「可选冒烟 + lint 转述」纯中继（旧 prompt 自述「CLI 会在 --done 统一跑，实测 198s×2」）。
+      // 结果按代码指纹落盘，--done 对账指纹匹配即复用免重跑（前置一）；失败打印输出 + 并行 WIP
+      // 归因提示后不盖 completed，agent 修复后 run verify 复入本步（前置二）。步骤名不变
+      //（存量进度库按名匹配迁移）；test_strategy 收窄（module/evidence-auto/skip）由实测函数
+      // 自行解析，检查选择指引随之退役。
+      noAI: true,
+      _cliAction: 'verifyRunQualityScan',
+      prompt: '',
+      outputHint: '质量扫描结果（CLI 实测输出 + 指纹复用记录）',
       optional: false
     },
     {
@@ -230,9 +211,9 @@ export const definition = {
 
 ### 🧹 服务进程登记与自动回收（真实启动验证必读，坑 verify-service-process-leak）
 「真实启动一次」起的长驻服务（uvicorn/node server 等）**必须登记 PID，CLI 在 verify 收尾自动回收**——不登记的进程会挂死机器（实测 uvicorn 漏挂一天多）：
-1. 后台启动服务并取 PID（PowerShell：\`Start-Process -PassThru\` 取 \`.Id\`；bash：\`cmd & echo $!\`）
+1. 后台启动服务并取 PID（PowerShell：\`Start-Process -PassThru\` 取 \`.Id\`；bash：\`cmd & echo $!\`）。**优先登记服务本体（叶子）PID**——经 shell 包装启动（\`sh -c\` / \`cmd /c\` / uvicorn --reload 的 reloader）时 CLI 虽已按进程树击杀（2026-09-10 起连带子进程），但叶子 PID 最稳：包装 shell 退出后子进程 PID 不漂移、跨平台一致
 2. 每行一个 PID 追加到 \`{SPEC_ROOT}/.runtime/verify-services-<change-name>.pids\`（\`Add-Content\` / \`echo >>\`；**按变更名分片**——多会话并发 verify 时各自的 --done 只回收自己的服务，互不误杀）
-3. verify \`--done\` 时 CLI 读该文件逐个 kill 并清空——你在 verify-result.md 的「生命周期终态断言」里写「PID 已登记，CLI 收尾回收」即可
+3. verify \`--done\` 时 CLI 读该文件**逐进程树击杀**（包装进程连同子进程）并清空——你在 verify-result.md 的「生命周期终态断言」里写「PID 已登记，CLI 收尾回收」即可
 登记是硬要求：没有 PID 登记的「真实启动」证据在 deployment-critical 门控下视为不完整（进程无法证明被回收）。
 
 ### 输出

package/src/sync.js

@@ -471,6 +471,28 @@ export class SyncManager {
       );
     }
 
+    // mcp 段成对签发（2026-09-10 平台侧 P0-2 修复的消费侧落地，交付遗留②）：mcp-tokens
+    // 签发 API 的 201 响应带 gateway_url，与 token 成对——「url 指哪、token 就在哪生效」，
+    // 消 spike 实证的凭据三头分裂（mcp.url 指远端而 token 属本地部署 / 旧 token 缺 read
+    // scope 致 get_daemon_status 等全挂）。scope 定 read+dispatch（P2 审查通道：get_daemon_
+    // status/get_worker_result 需 read，dispatch_worker 需 dispatch；converge 按 D-004 不申请）。
+    // 失败（旧 backend 无端点 / 403 / 断网）→ 降级旧行为（下方 §7.4 分支），不阻断 connect。
+    let mcpIssued = null;
+    if (resolved && resolved.workspace_id) {
+      const issueUrl = `${normalizedUrl}/api/workspaces/${resolved.workspace_id}/mcp-tokens`;
+      const issued = await fetchJson(issueUrl, {
+        method: 'POST',
+        headers: { Authorization: `Bearer ${token}`, 'Content-Type': 'application/json' },
+        body: JSON.stringify({ name: 'sillyspec-cli', scope: ['read', 'dispatch'] }),
+      });
+      if (issued && typeof issued.token === 'string' && issued.token.startsWith('shmcp_')) {
+        mcpIssued = issued;
+        console.log(`[sync] MCP token 成对签发成功 (gateway: ${issued.gateway_url || normalizedUrl})`);
+      } else {
+        console.warn('[sync] MCP token 签发失败（旧 backend 无端点/权限不足），mcp 段按旧口径处理');
+      }
+    }
+
     // 解析推送者身份（D-004）：显式 > git user.name > env；全失败留空不写 user 字段
     const resolvedUser = resolvePlatformUser(this.cwd, user);
 
@@ -489,10 +511,16 @@ export class SyncManager {
     }
     let text = readLocalYamlRaw(this.cwd);
     text = replaceTopLevelSection(text, 'platform', platformEntries.join('\n'));
-    // mcp 段同源假设（design §7.4）：url 复用 platform 的 url；token 用原始 user 级 token
-    // （非换发的 effectiveToken——MCP 派发需 user 级权限，platform 段才是最小权限的 shpsync_）。
-    // 用户已手填 mcp 段则保留不覆盖（R-09，文本级检测）
-    if (findTopLevelSectionRange(text, 'mcp') === null) {
+    // mcp 段写入优先级（2026-09-10 成对签发批次）：①签发成功 → 覆盖写（含手填旧段——
+    // 成对值是确定性有效凭据，覆盖陈旧/错部署段是修复不是破坏，spike 实证的「旧 token
+    // 永不愈合」正源于旧口径的不覆盖）；②签发失败但段缺 → §7.4 同源假设补 url + user
+    // token（旧行为）；③签发失败且段在 → 手填段保留（R-09 不覆盖）。
+    if (mcpIssued) {
+      const gwUrl = typeof mcpIssued.gateway_url === 'string' && mcpIssued.gateway_url
+        ? mcpIssued.gateway_url.replace(/\/+$/, '')
+        : `${normalizedUrl}/mcp`;
+      text = replaceTopLevelSection(text, 'mcp', `  url: ${yamlStr(gwUrl)}\n  token: ${yamlStr(mcpIssued.token)}`);
+    } else if (findTopLevelSectionRange(text, 'mcp') === null) {
       text = replaceTopLevelSection(text, 'mcp', `  url: ${yamlStr(normalizedUrl)}\n  token: ${yamlStr(token)}`);
     }
     writeLocalYamlRaw(this.cwd, text);
@@ -671,10 +699,21 @@ export class SyncManager {
       });
 
       // X1（task-04 契约）：409 + code='change_deleted' = 平台已删 key 拒收——不是 base_ts 冲突。
-      // 单行提示即可，不落冲突文件、不打全幅横幅：墓碑已收敛后的重复上行（归档收尾多步各推一次）、
+      // 不落冲突文件、不打全幅横幅：墓碑已收敛后的重复上行（归档收尾多步各推一次）、
       // 多用户下他端删除后本地仍在推进，都是可预期态，按冲突卡死人工 resolve 反而是误报。
       if (res.status === 409 && res.body && res.body.code === 'change_deleted') {
-        console.warn(`⚠️ [sync] 平台已删除变更「${changeName}」，本次进度上行被拒收（change_deleted）；本地如仍需推进请在平台侧确认`);
+        // 预期回执分流（2026-09-10 驾驭小结第四批③，用户实锤「提示语义滞后一个动作」）：本地 DB
+        // status 已是 archived/deleted（unregisterChange 链——CLI 归档/change-delete 收尾自己置的）
+        // 时，本次上行本就是 CLI 主动发的墓碑，409 是平台「已删」幂等回执——本地注销早已完成，
+        // 「请在平台侧确认」口吻滞后一个动作；降为 ℹ️ 单行。仅本地仍 active（他端删除）才 warn。
+        const localTombstone = tombstoneDue
+          || progressData?.changes?.[0]?.status === 'archived'
+          || progressData?.changes?.[0]?.status === 'deleted'
+        if (localTombstone) {
+          console.log(`ℹ️ [sync] 平台已删除变更「${changeName}」——本地注销已由 CLI 完成，墓碑上行 409 属预期回执，无需动作`);
+        } else {
+          console.warn(`⚠️ [sync] 平台已删除变更「${changeName}」，本次进度上行被拒收（change_deleted）；本地如仍需推进请在平台侧确认`);
+        }
         return { synced: 0, errors: [], platformDeleted: true, reason: '平台已删除（change_deleted 拒收）' };
       }
 
@@ -1075,10 +1114,12 @@ export class SyncManager {
   /**
    * 获取当前平台配置，未连接返回 null。
    * 优先级：env SILLYHUB_PLATFORM_URL + SILLYHUB_PLATFORM_TOKEN（两键齐全才生效——
-   * daemon 注入通道，平台模式 specRoot/local.yaml 常无 platform 段，与链路 D
-   * readPlatformPushConfig 同款先例）> local.yaml platform 段。
-   * env 由 daemon 注入、CLI 不管其生命周期（disconnect 仍只清 local.yaml——daemon
-   * 停止注入即失效）；triggerSync 平台模式放行（2026-08-26）后这是回传走通的关键通道。
+   * 预留的外部注入通道，与链路 D readPlatformPushConfig 同款先例。⚠️ daemon 并未实现
+   * 该注入（2026-09-09 核对全仓历史，见 multi-agent-platform 仓
+   * docs/sillyspec/init-lease-silent-no-local-yaml.md）——env 需用户/脚本在 shell 显式
+   * export，别按「daemon 会注」排障）> local.yaml platform 段。
+   * env 生命周期 CLI 不管（disconnect 仍只清 local.yaml）；triggerSync 平台模式放行
+   * （2026-08-26）后平台模式回传的主凭据实为 local.yaml platform 段（env 缺席时）。
    */
   _getPlatform() {
     if (process.env.SILLYHUB_PLATFORM_URL && process.env.SILLYHUB_PLATFORM_TOKEN) {

package/src/task-review.js

@@ -781,25 +781,83 @@ export function writeVerifyRequiredEvidence(changeDir, requiredEvidence) {
 }
 
 /**
- * 生成 execute run id
- * @returns {string} 如 'exec-2026-06-23-131400'
+ * 生成 execute run id。
+ * changeName 给定时附 change 名 FNV-1a 哈希后缀（坑 exec-run-id-same-second-collision
+ * 结构化隔离层，2026-09-10 驾驭小结第三批①，用户建议「run 目录取 change 名哈希隔离」）：
+ * 两变更同秒启动 execute 必得不同 runId（run 目录天然分家），与 claimExecuteRunId 的
+ * 排他认领互补——认领治「同 ID 两主」，哈希治「不同变更天生同 ID」。同变更重试（marker
+ * 断裂 regenerate）哈希恒同，幂等；无参调用保持裸秒级形态（向后兼容/测试注入）。
+ * @param {string|null} [changeName] 变更名（缺省=裸秒级形态，无哈希后缀）
+ * @returns {string} 如 'exec-2026-06-23-131400' / 'exec-2026-06-23-131400-3fa2c1'
  */
-export function generateExecuteRunId() {
+export function generateExecuteRunId(changeName = null) {
   const now = new Date()
   const pad = (n) => String(n).padStart(2, '0')
-  return `exec-${now.getFullYear()}-${pad(now.getMonth() + 1)}-${pad(now.getDate())}-${pad(now.getHours())}${pad(now.getMinutes())}${pad(now.getSeconds())}`
+  const base = `exec-${now.getFullYear()}-${pad(now.getMonth() + 1)}-${pad(now.getDate())}-${pad(now.getHours())}${pad(now.getMinutes())}${pad(now.getSeconds())}`
+  if (!changeName) return base
+  return `${base}-${changeNameHash(changeName)}`
+}
+
+/** change 名 → 6 位小写十六进制哈希（FNV-1a 32bit 截断；确定性、字符集落在 runId 后缀合法域 [a-z0-9]） */
+function changeNameHash(name) {
+  let h = 0x811c9dc5
+  for (let i = 0; i < name.length; i++) {
+    h ^= name.charCodeAt(i)
+    h = Math.imul(h, 0x01000193) >>> 0
+  }
+  return h.toString(16).padStart(6, '0').slice(0, 6)
+}
+
+/**
+ * 排他认领 execute run 目录（坑 exec-run-id-same-second-collision，2026-09-10 用户两次实锤）：
+ * generateExecuteRunId 是秒级时间戳，并行会话（不同 change）同秒启动 execute 会生成同一
+ * runId——两变更的 tasks/task-NN/review.json 落进同一 execute-runs/<runId>/ 互相覆盖。
+ * 认领靠非递归 mkdir 的原子性：目录已存在（EEXIST）= 他者已认领同秒 ID → 附随机短后缀
+ * 重试；真实 fs 障碍（execute-runs 被普通文件占用等）原样上抛，由四处写入点既有分层 fail
+ * 语义接管（stage throw / gates 直穿 fail-closed / prompt+task-review catch 降级，
+ * execute-run-dir-fail-loud.test.mjs 锁定）。认领成功即含 tasks/ 子目录（不变量：认领则在，
+ * 后续 marker 写入点 mkdir 为幂等 no-op）。
+ * @param {string} runtimeRoot .sillyspec/.runtime 绝对路径
+ * @param {string|null} [baseId] 认领基准 ID（须为裸秒级形态；缺省现取 generateExecuteRunId()。
+ *   测试注入定值以确定性模拟「同秒两会话」，消除跨秒抖动）
+ * @returns {string} 已认领的 runId（无碰撞=原样秒级形态；碰撞=带 -<rand4> 后缀）
+ */
+export function claimExecuteRunId(runtimeRoot, baseId = null) {
+  const base = baseId || generateExecuteRunId()
+  mkdirSync(join(runtimeRoot, 'execute-runs'), { recursive: true })
+  for (let attempt = 0; attempt < 8; attempt++) {
+    const candidate = attempt === 0 ? base : `${base}-${randomRunIdSuffix()}`
+    try {
+      mkdirSync(join(runtimeRoot, 'execute-runs', candidate)) // 非递归=排他：EEXIST 即同秒碰撞
+      mkdirSync(join(runtimeRoot, 'execute-runs', candidate, 'tasks'), { recursive: true })
+      return candidate
+    } catch (e) {
+      if (e.code !== 'EEXIST') throw e
+    }
+  }
+  // 极端拥挤兜底：放弃排他返回带后缀 ID（调用方 marker 写入点的 recursive mkdir 兜住；
+  // 同秒 8 次随机后缀连续碰撞的概率可忽略，行为不劣于修复前）
+  return `${base}-${randomRunIdSuffix()}`
+}
+
+function randomRunIdSuffix() {
+  return Math.random().toString(36).slice(2, 6).padEnd(4, '0')
 }
 
 /**
- * execute run id 格式校验：exec-YYYY-MM-DD-HHMMSS。
+ * execute run id 格式校验：exec-YYYY-MM-DD-HHMMSS（可选 1-2 段小写字母数字短后缀）。
  * marker 文件是 agent 可写内容，读回后既注入 prompt（{EXECUTE_RUN_ID}）又拼进
  * join(runtimeRoot, 'execute-runs', runId) 路径——格式校验同时防提示词注入与路径穿越
  * （对齐 stage-review marker 的 review- 前缀校验范式）。
+ * 后缀两段语义：①change 哈希段（generateExecuteRunId(changeName)，坑
+ * exec-run-id-same-second-collision 结构化隔离）；②claim 碰撞随机段（claimExecuteRunId
+ * 同秒认领冲突换道）。存量无后缀 ID（历史 run）继续通过，读侧全形态兼容。
  * @param {string} runId
  * @returns {boolean}
  */
 export function isValidExecuteRunId(runId) {
-  return typeof runId === 'string' && /^exec-\d{4}-\d{2}-\d{2}-\d{6}$/.test(runId)
+  return typeof runId === 'string'
+    && /^exec-\d{4}-\d{2}-\d{2}-\d{6}(?:-[a-z0-9]{1,8}){0,2}$/.test(runId)
 }
 
 /**
@@ -838,8 +896,10 @@ export function resolveLatestExecuteRunIdWithTasks({ runtimeRoot, changeName = n
       .sort((a, b) => b.mtime - a.mtime)
     if (entries.length === 0) return null
     // changeName 给定时优先 change 戳等值的 run（坑 worktree-cleanup-marker-chain：mtime 最新
-    // 会错拿其他变更的 run）；无戳命中退回 mtime 最新（向后兼容，调用方多为 marker 漂移兜底，
-    // 宁可拿最新 run 也不空手而归——覆盖度由调用方 validateTaskReviews 复校验）
+    // 会错拿其他变更的 run）；无戳命中退 mtime 最新——但排除「戳属他变更」的有主 run（坑
+    // exec-run-id-same-second-collision 收尾，2026-09-10 驾驭小结第二批②：与
+    // resolveExecuteRunForChange / resolveLatestExecuteRunId 同语义，戳存在且不等值 = 有明确
+    // 主人，误拿即串台）。无 changeName（旧行为，调用方 marker 漂移兜底）纯 mtime 零回归。
     if (changeName) {
       for (const x of entries) {
         try {
@@ -847,6 +907,11 @@ export function resolveLatestExecuteRunIdWithTasks({ runtimeRoot, changeName = n
           if (c === changeName) return x.e
         } catch {}
       }
+      const ownerless = entries.find(x => {
+        try { return !existsSync(join(runsDir, x.e, 'change')) } catch { return true }
+      })
+      if (ownerless) return ownerless.e
+      return null
     }
     return entries[0].e
   } catch {
@@ -865,11 +930,16 @@ export function resolveLatestExecuteRunId({ runtimeRoot, changeName }) {
   } catch {}
   // marker 缺失（worktree cleanup / 归档清理 / 并行会话误删——坑 worktree-cleanup-marker-chain）
   // 时不再盲目取 mtime 最新（会拿到其他变更的 run）：先按 change 归属戳过滤，命中才返回；
-  // 无戳（旧 run）退回 mtime 最新保持向后兼容。
+  // 无戳（旧 run）退 mtime 最新——但排除「戳属他变更」的有主 run（坑
+  // exec-run-id-same-second-collision 收尾，2026-09-10 驾驭小结第二批②：writeTaskReview 在
+  // marker 缺失场景靠本函数定位 run，误拿有主 run 即把本变更 review.json 写进他变更 run 的
+  // tasks/——串台残余入口。与 resolveExecuteRunForChange 的覆盖度启发排除同语义）；全部 run
+  // 有主 → null（宁缺毋错，调用方走「无 run」分支而非错写）。
   try {
     const candidates = listExecuteRunCandidates(runtimeRoot, changeName)
     if (candidates.stamped.length > 0) return candidates.stamped[0]
-    if (candidates.all.length > 0) return candidates.all[0]
+    const ownerless = candidates.all.find(runId => readExecuteRunChangeStamp(runtimeRoot, runId) === null)
+    if (ownerless) return ownerless
   } catch {}
   return null
 }
@@ -1054,11 +1124,13 @@ export async function generateTaskReviewDrafts({ changeName, cwd, platformOpts =
     }
   } catch {}
   if (!executeRunId) {
-    executeRunId = generateExecuteRunId()
+    executeRunId = generateExecuteRunId(changeName)
     // D-001#1 fallback 写入点：mkdir execute-runs/<runId>/tasks 先于 marker（不变量：marker 在则目录在）。
     // 保留 fail-open 契约（调用方 catch 降级）——只去静默：失败 console.error 留痕，不 throw
     //（草稿兜底缺了也只是退回 gate 报缺 review.json，不比修复前差）。
     try {
+      // 排他认领（坑 exec-run-id-same-second-collision）：并行会话同秒 runId 碰撞在认领处消解
+      executeRunId = claimExecuteRunId(runtimeRoot, executeRunId)
       mkdirSync(join(runtimeRoot, 'execute-runs', executeRunId, 'tasks'), { recursive: true })
       writeFileSync(runIdFile, executeRunId + '\n')
       stampExecuteRunChange(runtimeRoot, executeRunId, changeName)
@@ -1086,9 +1158,27 @@ export async function generateTaskReviewDrafts({ changeName, cwd, platformOpts =
       const wtFiles = parsePorcelainFiles(wtStatus)
         .map(p => String(p).replace(/\\/g, '/'))
         .filter(p => p !== '.sillyspec' && !p.startsWith('.sillyspec/'))
-      if (wtFiles.length > 0) {
-        diffFiles = [...new Set([...(Array.isArray(diffFiles) ? diffFiles : []), ...wtFiles])]
-        console.log(`[sillyspec] 草稿归属并入 ${wtFiles.length} 个 worktree 未提交文件（子代理未 commit 的改动按 allowed_paths 归属）`)
+      // 已提交口径补齐（2026-09-10 用户反馈②「先提交则 diff 空」：worktree 内已 commit 的改动
+      // 对主仓 base..head 与 status 双不可见，草稿 changedFiles 恒空）——merge-base(主仓 HEAD,
+      // worktree HEAD)（= 创建锚点）..worktree HEAD 的 commit diff 并入，与
+      // resolveVerifyChangedFiles 的同款补齐同源（verify-postcheck.js，两处口径须同步改）。
+      // in-place 退化（wtGitDir===cwd）时已提交改动在主仓 diff 内，跳过防双并；git 失败 fail-open。
+      let committedFiles = []
+      if (wtGitDir !== cwd) {
+        try {
+          const mainHead = runGit(cwd, ['rev-parse', 'HEAD'])
+          const wtHead = runGit(wtGitDir, ['rev-parse', 'HEAD'])
+          const mb = (mainHead && wtHead) ? runGit(wtGitDir, ['merge-base', wtHead, mainHead]) : null
+          if (mb) {
+            committedFiles = String(runGit(wtGitDir, ['diff', '--name-only', mb, wtHead]) || '')
+              .split('\n').map(p => p.replace(/^"|"$/g, '').replace(/\\/g, '/').trim())
+              .filter(p => p && p !== '.sillyspec' && !p.startsWith('.sillyspec/'))
+          }
+        } catch { /* 已提交补齐失败退回 status-only（fail-open，不拖垮未提交并入） */ }
+      }
+      if (wtFiles.length > 0 || committedFiles.length > 0) {
+        diffFiles = [...new Set([...(Array.isArray(diffFiles) ? diffFiles : []), ...wtFiles, ...committedFiles])]
+        console.log(`[sillyspec] 草稿归属并入 worktree 改动 ${wtFiles.length + committedFiles.length} 个（未提交 ${wtFiles.length} + 已提交 ${committedFiles.length}，按 allowed_paths 归属）`)
       }
     }
   } catch { /* working-tree 并入失败退回 commit diff 口径（fail-open，不阻断草稿） */ }
@@ -1568,12 +1658,14 @@ export async function writeTaskReview({
     executeRunId = resolveLatestExecuteRunId({ runtimeRoot, changeName }) || ''
   }
   if (!executeRunId) {
-    executeRunId = generateExecuteRunId()
-    warnings.push(`无 execute run marker——已生成新 runId ${executeRunId} 并建目录（正常应先跑过 execute Wave 步）`)
+    executeRunId = generateExecuteRunId(changeName)
     try {
+      // 排他认领（坑 exec-run-id-same-second-collision）+ 幂等 mkdir，认领碰撞换后缀
+      executeRunId = claimExecuteRunId(runtimeRoot, executeRunId)
       mkdirSync(join(runtimeRoot, 'execute-runs', executeRunId, 'tasks'), { recursive: true })
       writeFileSync(markerFile, executeRunId + '\n')
       stampExecuteRunChange(runtimeRoot, executeRunId, changeName)
+      warnings.push(`无 execute run marker——已生成新 runId ${executeRunId} 并建目录（正常应先跑过 execute Wave 步）`)
     } catch (e) {
       return { ok: false, errors: [`execute run 目录/marker 写入失败：${e.message}`], warnings }
     }

package/src/taskcard.js

@@ -74,6 +74,7 @@ export function buildTaskcardSkeleton({ taskId, title, titleZh, author, now, dep
     title: yamlScalar(title),
     title_zh: yamlScalar(titleZh),
     author: yamlScalar(author),
+    generated_by: 'sillyspec-taskcard', // P2-e provenance 戳（CLI 骨架出品标记）
     created_at: now,
     priority: 'P0',
     depends_on: (Array.isArray(dependsOn) && dependsOn.length > 0)
@@ -93,6 +94,7 @@ id: ${fm.id}
 title: ${fm.title}
 title_zh: ${fm.title_zh}
 author: ${fm.author}
+generated_by: ${fm.generated_by}
 created_at: ${fm.created_at}
 priority: ${fm.priority}
 depends_on: ${fm.depends_on}
@@ -232,6 +234,18 @@ export function cmdTaskcard(changeName, opts = {}) {
   // 本地墙钟（坑 taskcard-created-at-utc：toISOString 落 UTC，本地 09:39 写 01:39，子代理手工改两次）
   const now = nowWallClock()
 
+  // ── depends_on 的 plan.md Wave 反填（坑 taskcard-depends-wave-backfill，2026-09-10 驾驭
+  // 小结第五批③，三批子代理均发现骨架 depends_on 为空）：注册表行内注解
+  // `(depends_on: task-01,02)` 是第一来源，但 agent 写 tasks.md 常漏注解 → 骨架全空 →
+  // plan-adopt-waves 拓扑退化全进 Wave 1。plan.md Wave 段（`## Wave N` + `- task-NN` 纯 ID
+  // 引用行）是 plan 阶段的分组真相——Wave N 任务 depends_on = Wave N-1 全部任务（波间串行
+  // 波内并行的既定语义，传递闭包等价）。仅注解缺失时兜底，注解在场优先（更细粒度）。
+  const waveDepsByTask = parsePlanWaveDeps(existsSync(planPath) ? planPath : null)
+  function depsFor(id, reg) {
+    if (reg && Array.isArray(reg.dependsOn) && reg.dependsOn.length > 0) return reg.dependsOn
+    return waveDepsByTask.get(id) || []
+  }
+
   const tasksDir = join(changeDir, 'tasks')
   mkdirSync(tasksDir, { recursive: true })
 
@@ -248,12 +262,41 @@ export function cmdTaskcard(changeName, opts = {}) {
     }
     writeFileSync(filePath, buildTaskcardSkeleton({
       taskId: id, title: finalTitle, titleZh: finalTitleZh, author, now,
-      // depends_on 从 tasks.md 行内注解反填（坑 taskcard-design-field-conflicts）：注册表
-      // 注解与 plan/design 的依赖声明同源，骨架直接带上省主代理逐卡转录
-      dependsOn: reg ? reg.dependsOn : [],
+      // depends_on 双来源：① tasks.md 行内注解反填（坑 taskcard-design-field-conflicts）
+      // ②注解缺失时按 plan.md Wave 分组兜底（坑 taskcard-depends-wave-backfill，见上）
+      dependsOn: depsFor(id, reg),
       sets,
     }), 'utf8')
     created.push(filePath)
   }
   return { created, skipped, tasksDir }
 }
+
+/**
+ * plan.md Wave 段解析 → 每任务的跨波依赖（Wave N 任务 → Wave N-1 全部任务 ID）。
+ * Wave 段形态（plan 铁律）：`## Wave N` 标题 + `- task-NN` 纯 ID 引用行。Wave 1 / 无 Wave /
+ * 解析异常 → 空 Map（调用方回退注解来源，fail-soft）。
+ * @param {string|null} planPath plan.md 绝对路径（null → 空 Map）
+ * @returns {Map<string, string[]>} taskId → 前一波任务 ID 列表
+ */
+export function parsePlanWaveDeps(planPath) {
+  const out = new Map()
+  if (!planPath) return out
+  let content
+  try { content = readFileSync(planPath, 'utf8').replace(/\r\n/g, '\n') } catch { return out }
+  const waves = [] // 每元素：task id 数组（按 Wave 标题出现顺序）
+  let cur = null
+  for (const line of content.split('\n')) {
+    const w = line.match(/^##\s+Wave\s+(\d+)\s*$/i)
+    if (w) { cur = []; waves.push(cur); continue }
+    if (cur === null) continue
+    const t = line.match(/^[-*]\s+(task-\d{1,3})\s*$/i)
+    if (t) cur.push(`task-${t[1].replace(/^task-/i, '').padStart(2, '0')}`)
+  }
+  for (let w = 1; w < waves.length; w++) {
+    const prev = waves[w - 1]
+    if (!prev || prev.length === 0) continue
+    for (const id of waves[w]) out.set(id, [...prev])
+  }
+  return out
+}