sillyspec 3.28.4 → 3.28.6

package/src/run/gates.js

@@ -21,6 +21,7 @@
  */
 import { basename, join, relative, dirname } from 'node:path'
 import { createHash } from 'node:crypto'
+import { execFileSync } from 'node:child_process'
 import { existsSync, readFileSync, readdirSync, statSync, mkdirSync, unlinkSync, writeFileSync } from 'node:fs'
 import { writeAtomicSync } from '../fs-atomic.js'
 import { triggerSync, resolveChangeDir, resolveRuntimeRoot } from './shared.js'
@@ -29,6 +30,7 @@ import { handleScanStageCompleted, handleExecuteWorktreeCleanup } from './comple
 import { detectConcurrentChanges, formatConcurrentWarning } from './concurrent-detect.js'
 import { stageRegistry } from '../stages/index.js'
 import { normalizeTaskId } from '../taskcard.js'
+import { recordFrictionEvent } from '../friction-tally.js'
 
 /**
  * 从任务注册表（tasks.md）提取全部 task id（task-XX）——符号影响面覆盖度校验用。
@@ -505,7 +507,11 @@ function rollbackStageCompletion(stageData, steps, currentIdx) {
  * 漏写 triggerSync / 写错 return 结构导致行为分裂。返回 nextPendingIdx=currentIdx，
  * 让上层走「完成但不推进」分支，--done 被拒、agent 修复产物后重跑。
  */
-function rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts) {
+function rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, friction) {
+  // friction 尾参（friction-signal-hint task-02）：gate 失败摩擦埋点标签 {type, detail}——各调用点
+  // 按所属 gate 段传来源标签（审查两段走 review_rejected），未传兜底通用 gate-cascade。
+  // recordFrictionEvent 自带静默降级（非法类型/写失败返回 null），不影响回滚/返回语义。
+  recordFrictionEvent({ cwd, changeName, platformOpts, ...(friction || { type: 'gate_rollback', detail: 'gate-cascade' }) })
   rollbackStageCompletion(stageData, steps, currentIdx)
   progress.lastActive = new Date().toLocaleString('zh-CN', { hour12: false })
   pm._write(cwd, progress, changeName)
@@ -556,12 +562,14 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
   // ── verify 收尾前置：facts slot-backfill + verifyStartAt（2026-09-08-ir-verify-facts FR-03）──
   // 执行次序（design Phase 3）：backfill（结论/证据/回执槽固化）先行 → runValidators（结论门/
   // 集成证据门读得到固化值与 context.verifyStartAt）→ verify 专属块（test 实测 → tests 段二次
-  // 回填 → cannot_verify 硬门）。verifyStartAt = DB execute 行 completed_at（只读；缺省 null →
-  // 证据核验走 R-05 design created_at fallback）。
+  // 回填 → cannot_verify 硬门）。verifyStartAt 锚点（2026-09-10 用户反馈②放宽）：execute 行
+  // **started_at**（证据合法产自 execute 或 verify 两窗口）→ 缺列/旧行退 completed_at →
+  // 再缺走 R-05 design created_at fallback。
   let verifyStartAtIso = null
   if (stageName === 'verify') {
     try {
-      verifyStartAtIso = pm.getStageCompletedAt(cwd, changeName, 'execute')
+      verifyStartAtIso = (pm.getStageStartedAt && pm.getStageStartedAt(cwd, changeName, 'execute'))
+        || pm.getStageCompletedAt(cwd, changeName, 'execute')
     } catch { verifyStartAtIso = null }
     try {
       const verifyMdPath = join(specBase, 'changes', changeName, 'verify-result.md')
@@ -593,7 +601,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
     // 产物校验失败必须阻断完成 —— 否则 validator 形同虚设，
     // verify 会带着 FAIL/缺 verify-result.md 被 ✅ 标记完成（历史教训）。
     // plan/execute 的专项契约校验（下方）在产物齐全后才需要继续跑，故此处先 return。
-    return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+    return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'validators' })
   }
   if (contractResult.warnings.length > 0) {
     console.warn(`\n⚠️ 阶段 ${stageName} 校验警告：`)
@@ -622,10 +630,39 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
   // 自报告 PASS 但实测失败 → 阻断（防止"文案通过"绕过验证）。
   if (stageName === 'verify') {
     const { runVerifyTestCheck, printVerifyTestCheck } = await import('../verify-postcheck.js')
-    // 测试实测是同步 execSync，长套件可跑 2~10min 且中途无输出——先预告避免 agent 误判卡死
-    console.log(`\n⏳ Verify 测试对账：CLI 亲自执行 local.yaml 的 commands.test（同步，耗时可能较长，请等待…）`)
-    const testCheck = runVerifyTestCheck({ cwd, specBase, changeName, ctx })
-    printVerifyTestCheck(testCheck)
+    // P0-1 指纹复用（noai-ir-roadmap §3 前置一·防重复跑）：noAI 质量扫描步已实测且代码指纹
+    // 未变 → 直接复用免重跑（长套件 2~10 分钟不再跑两遍）；无记录/失配/git 不可用 → 照旧
+    // 亲测（本路径语义与产物逐字不变）。
+    const { loadReusableQualityScan } = await import('./verify-quality-scan.js')
+    const reusableScan = loadReusableQualityScan({ specBase, cwd, changeName })
+    // ── 隔离快照定向跑（2026-09-10 驾驭小结第八批，用户第二次真实阻塞：verify 实测门跑
+    // main 工作区，多会话并发任何人的 WIP 都能弄红别人的门）：HEAD 干净基线 + 本变更文件集
+    // overlay（worktree meta 在则源=worktree 根——等价「--worktree 定向跑本变更分支内容」）+
+    // 变更文档随快照（test_strategy 消费）。并行会话在途文件物理不进快照、不参与本门判定。
+    // 快照基建失败 → 回退主仓现行为（失败路径沿用 renderVerifyTestAttribution 归因提示）。
+    let verifyGateSnap = null
+    if (!process.env.SILLYSPEC_VERIFY_GATE_SNAPSHOT_OFF) {
+      try {
+        const { createVerifyGateSnapshot } = await import('./gate-snapshot.js')
+        verifyGateSnap = await createVerifyGateSnapshot({ cwd, changeName, specBase, platformOpts })
+        if (verifyGateSnap) {
+          console.log(`🧪 Verify 实测隔离快照：HEAD + 本变更 ${verifyGateSnap.changeFileCount} 个文件${verifyGateSnap.sourceRoot ? '（overlay 自 worktree——本变更分支内容定向跑）' : ''}（并行会话脏文件不参与门判定）`)
+        }
+      } catch { /* 快照链路异常 → 主仓现行为 */ }
+    }
+    const gateCwd = verifyGateSnap ? verifyGateSnap.snapshotRoot : cwd
+    const gateSpecBase = verifyGateSnap ? join(verifyGateSnap.snapshotRoot, '.sillyspec') : specBase
+    let testCheck
+    if (reusableScan && reusableScan.testResult) {
+      testCheck = reusableScan.testResult
+      console.log(`\n♻️ Verify 测试对账：复用 noAI 质量扫描步的实测结果（代码指纹匹配，免重跑；实测于 ${reusableScan.ranAt || '本变更 verify 期间'}${testCheck.resultPath ? `，台账 ${testCheck.resultPath}` : ''}）`)
+      printVerifyTestCheck(testCheck)
+    } else {
+      // 测试实测是同步 execSync，长套件可跑 2~10min 且中途无输出——先预告避免 agent 误判卡死
+      console.log(`\n⏳ Verify 测试对账：CLI 亲自执行 local.yaml 的 commands.test（同步，耗时可能较长，请等待…）`)
+      testCheck = runVerifyTestCheck({ cwd: gateCwd, specBase: gateSpecBase, changeName, ctx })
+      printVerifyTestCheck(testCheck)
+    }
     // tests 段二次回填（2026-09-08-ir-verify-facts FR-03 次序：实测在 runValidators 之后，
     // tests 快照此刻才可得；不参与门禁——供 P3d 追溯）
     try {
@@ -642,56 +679,35 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
       }
     } catch { /* fail-soft：回填失败不影响门禁 */ }
     if (testCheck.status === 'failed') {
+      if (verifyGateSnap) { try { verifyGateSnap.cleanup() } catch {} ; verifyGateSnap = null }
       console.error('\n❌ verify 阶段被阻断：verify-result.md 自报告通过，但 CLI 实测测试失败。')
-      // 并行 WIP 归因鉴别（坑 verify-reconcile-foreign-wip）：实测跑在主仓共享工作区，并行会话
-      // 在途 WIP 物理在场——他者文件命中声明集时提示复验归因（EADDRINUSE 鉴别同款风格），不静默背锅。
+      // 并行 WIP 归因鉴别（坑 verify-reconcile-foreign-wip）：单一实现迁至 verify-quality-scan.js
+      // renderVerifyTestAttribution（P0-1 前置二：noAI 质量扫描失败路径与本 --done 路径共用，
+      // 输出逐字保持）——实测跑在主仓共享工作区，并行会话在途 WIP 物理在场，他者文件命中
+      // 声明集时提示复验归因（含判据②生成产物旧基线 / verify-attr2 双过滤），不静默背锅。
       try {
-        const { collectForeignDeclaredFiles } = await import('../verify-postcheck.js')
-        const { gitQuiet } = await import('../git-helper.js')
-        const foreignMap = collectForeignDeclaredFiles(cwd, changeName, { specBase, runtimeRoot: resolveRuntimeRoot(platformOpts, specBase) })
-        // dirty 集提前算好：归因提示①（他者在途）与②（生成产物旧基线）共用
-        const dirty = (gitQuiet(cwd, ['diff', '--name-only', 'HEAD']) || '')
-          .split('\n').filter(Boolean).map(f => f.replace(/\\/g, '/'))
-        const dirtySet = new Set(dirty)
-        if (foreignMap.size > 0) {
-          const hitForeign = dirty.filter(f => foreignMap.has(f))
-          if (hitForeign.length > 0) {
-            console.error(`   ℹ️ 归因提示：主仓检出 ${hitForeign.length} 个并行会话声明的在途文件（${hitForeign.slice(0, 5).join(', ')}${hitForeign.length > 5 ? ' 等' : ''}）——实测失败可能混入他者 WIP 而非本变更问题。待其提交/收尾后复验，仍失败才是本变更的。`)
-          }
-        }
-        // 第二判据（坑 derived-artifact-stale-baseline）：本变更 apply 的文件（apply-pathspec 落盘）
-        // 与主仓近期提交重叠——本变更旧基线的生成产物可能覆盖了已合入内容，先在新基线重跑生成命令再复验。
-        // 坑 verify-attr2-foreign-wip-misdirection（2026-08-28 实证）：并行会话在途/近期收尾文件
-        // 让重叠集虚高（51 文件），每轮误导 agent 重跑 gen:types，实际失败源是他者 WIP。两道过滤：
-        //   - 必须 dirty：apply 落盘的旧内容此刻物理在场（verify gate 时本变更未提交，旧基线覆盖
-        //     必然表现为对 HEAD 的修改）——内容与 HEAD 一致时重跑生成命令改变不了本轮实测；
-        //   - 剔除他者声明集：那是归因提示①的领地（待其收尾后复验），不是生成产物过期。
-        try {
-          const pathspecFile = join(resolveRuntimeRoot(platformOpts, specBase), `apply-pathspec-${changeName}.txt`)
-          if (changeName && existsSync(pathspecFile)) {
-            const ownFiles = new Set(readFileSync(pathspecFile, 'utf8').split('\n').map(l => l.trim()).filter(Boolean).map(f => f.replace(/\\/g, '/')))
-            if (ownFiles.size > 0) {
-              const recent = (gitQuiet(cwd, ['log', '-n', '10', '--name-only', '--pretty=format:']) || '')
-                .split('\n').map(l => l.trim().replace(/\\/g, '/')).filter(Boolean)
-              const overlap = [...new Set(recent)].filter(f => ownFiles.has(f))
-              const actionable = filterStaleBaselineOverlap(overlap, dirtySet, foreignMap)
-              if (actionable.length > 0) {
-                console.error(`   ℹ️ 归因提示②：本变更有 ${actionable.length} 个文件与主仓最近 10 条提交重叠且旧内容仍在工作区（${actionable.slice(0, 5).join(', ')}${actionable.length > 5 ? ' 等' : ''}）——若为生成产物（api-types 等），本变更可能在旧基线生成并覆盖了已合入内容；先在新基线重跑生成命令（如 gen:types）再复验。（重叠共 ${overlap.length} 个，其余未在工作区改动或属他者会话在途文件，已归提示①/无需处理）`)
-              }
-            }
-          }
-        } catch { /* 判据②失败不影响主流程 */ }
+        const { renderVerifyTestAttribution } = await import('./verify-quality-scan.js')
+        await renderVerifyTestAttribution({ cwd, changeName, specBase, runtimeRoot: resolveRuntimeRoot(platformOpts, specBase) })
       } catch { /* 归因提示失败不影响阻断语义 */ }
       console.error('   请修复失败的测试并更新 verify-result.md 后重新完成此步骤。')
-      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'verify-test' })
     }
     // lint 对账（2026-08-21 审查 CLI-1）：test 侧"自报告 PASS 但实测失败→阻断"已闭环，
     // lint 侧此前纯口头——CLI 亲自执行 commands.lint，advisory 起步（失败打印不阻断，观察期后升级）
     const { runVerifyLintCheck, printVerifyLintCheck } = await import('../verify-postcheck.js')
-    const lintCheck = runVerifyLintCheck({ cwd, specBase })
-    if (lintCheck.status !== 'skipped') {
-      console.log(`\n⏳ Verify lint 对账：CLI 亲自执行 local.yaml 的 commands.lint…`)
+    // P0-1 指纹复用：noAI 质量扫描记录同指纹时 lint 一并复用（lint tally 只记真实执行次数）
+    let lintCheck = (reusableScan && reusableScan.lintResult) || null
+    if (lintCheck) {
+      console.log(`\n♻️ Verify lint 对账：复用 noAI 质量扫描步的实测结果（代码指纹匹配，免重跑）`)
+    } else {
+      lintCheck = runVerifyLintCheck({ cwd: gateCwd, specBase: gateSpecBase })
+      if (lintCheck.status !== 'skipped') {
+        console.log(`\n⏳ Verify lint 对账：CLI 亲自执行 local.yaml 的 commands.lint…`)
+      }
     }
+    // 快照收尾（test+lint 两检查都已完成；parity/删除探针走主仓 git 事实不依赖快照）
+    const usedSnapshot = Boolean(verifyGateSnap)
+    if (verifyGateSnap) { try { verifyGateSnap.cleanup() } catch {} ; verifyGateSnap = null }
     printVerifyLintCheck(lintCheck)
     // lint 硬门（2026-09-09 升硬：观察期 14 次 5 败全真阳性，pre-push 本就硬拦——fail-fast 前移；
     // 逃生 SILLYSPEC_VERIFY_LINT_GATE=advisory）
@@ -703,8 +719,19 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
         console.error('   输出（末尾）：')
         for (const line of tail.split('\n')) console.error(`   | ${line}`)
       }
+      // 污染归属提示（2026-09-10 驾驭小结第八批建议②，对齐 test 侧 renderVerifyTestAttribution
+      // 先例）：实测跑在主仓共享工作区（快照不可用/被 ENV 关闭的 fallback 路径）且存在非本变更
+      // 的未提交文件时，失败可能是并行会话污染——先做归属鉴定，不静默背锅。
+      if (!usedSnapshot) {
+        try {
+          const { renderVerifyTestAttribution } = await import('./verify-quality-scan.js')
+          console.error('   ℹ️ 本次实测跑在主仓共享工作区（未走隔离快照）：')
+          await renderVerifyTestAttribution({ cwd, changeName, specBase, runtimeRoot: resolveRuntimeRoot(platformOpts, specBase) })
+          console.error('   亦可跑 sillyspec scope-audit --change ' + changeName + ' 做污染归属鉴定（计划×实际三态全表）。')
+        } catch { /* 归因提示失败不影响阻断语义 */ }
+      }
       console.error('   修复后重跑 --done（进度不丢）；确认要跳过实测请设 SILLYSPEC_VERIFY_LINT_GATE=advisory（审计留痕）。')
-      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'verify-lint' })
     }
     // 契约 parity 对账：扫前端 API 调用 vs execute 提取的 provider endpoint artifact。
     // 接线自 contract-matrix pipeline（verifyApiParity 的 CLI 入口）。
@@ -720,9 +747,19 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
     // execute Task Review Gate 把 cannot_verify 任务的 evidence 落盘 verify-required-evidence.json。
     // v2 槽优先分类核验（FR-02）：blocked = missing 无豁免或 satisfied 核验不过 → 阻断 verify 完成
     // （此前 advisory 只查「提及」——死链不闭环）；无槽存量 md 降级 legacy 子串对账（warning 不阻断）。
-    const { runVerifyRequiredEvidenceCheck, printVerifyRequiredEvidenceCheck } = await import('../verify-postcheck.js')
+    const { runVerifyRequiredEvidenceCheck, printVerifyRequiredEvidenceCheck, trackVerifyResultRegression } = await import('../verify-postcheck.js')
     const evidenceCheck = runVerifyRequiredEvidenceCheck({ cwd, specBase, changeName, verifyStartAt: verifyStartAtIso })
     printVerifyRequiredEvidenceCheck(evidenceCheck)
+    // verify-result.md 内容回退检测（2026-09-10 用户反馈③：报告被平台同步覆盖回旧版一次，
+    // 只能靠人眼发现重写）：高水位指纹（hash+mtime）检出「内容变且 mtime 回退」→ ⚠️ 告警。
+    // 纯 advisory——真回退也由 agent 决定重写，CLI 只保证可见。
+    try {
+      const vr = trackVerifyResultRegression(specBase, changeName, join(specBase, 'changes', changeName, 'verify-result.md'))
+      if (vr.regressed) {
+        console.warn(`\n⚠️ verify-result.md 疑被覆盖回旧版（内容变化 + mtime 回退至 ${new Date(vr.prevMtime).toLocaleString('zh-CN')} 之前）——平台/daemon 按服务端旧版本回写的指纹。`)
+        console.warn(`   若你刚重写过请忽略本行（下次读取刷新高水位）；否则当前盘上可能是旧内容，需对照记忆/git 重新补写。`)
+      }
+    } catch { /* 检测失败静默（advisory） */ }
     if (evidenceCheck.status === 'blocked') {
       console.error(`\n❌ verify 阶段被阻断：cannot_verify 证据账未闭环（${evidenceCheck.summary}）。`)
       for (const d of (evidenceCheck.detailed || [])) {
@@ -734,7 +771,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
       console.error(`   修复：在 verify-result.md「## 证据账（cannot_verify 任务）」槽段逐 task 一行——`)
       console.error(`   - task-NN: satisfied | verifiedFiles: <精确路径>（CLI 核验：代码类 存在×mtime×diff 交集；日志/文档类豁免 diff）`)
       console.error(`   - 确实无法验证 → 填 missing 并加（豁免：<一句话理由>）后缀；部分满足 → partial + 已核验路径`)
-      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'verify-contract' })
     }
     // ── target_files 声明 ↔ 实际改动 对账（task-05 / ir-stage-p3a：②ERROR 阻断 / ③WARNING 放行）──
     // 「计划落空」（task 卡声明没做）此前全盲区：review.json changedFiles 是 agent 手写不能当
@@ -760,7 +797,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
     // 放行态），fail-soft 不影响 gate 判定；②类阻断回执同样留档供平台/审计消费
     writeReconcileRunResult({ runtimeRoot: reconcileRuntimeRoot, changeName, envelope: reconcileEnvelope, result: reconcileCheck })
     if (reconcileBlocked) {
-      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'verify-contract' })
     }
     // ── verify-result.md 探针预填段一致性抽查（task-03 / ir-stage-p3b D-002@v1 方案A）──
     // 「#### 探针 N」机械预填段（verify-probes --init 生成）长在 agent 可编辑的正文里，其防篡改
@@ -789,7 +826,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
     // 两检查间耦合；各写各的回执、按文件名订阅更干净。fail-soft 不影响 gate 判定
     writeProbeConsistencyRunResult({ runtimeRoot: reconcileRuntimeRoot, changeName, envelope: probeEnvelope, result: probeCheck })
     if (probeBlocked) {
-      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'verify-contract' })
     }
     // ── 行号漂移自动重锚（2026-09-09 §7-6：quick --done 已接，verify/archive 收尾补接）──
     // 本变更 diff 中的 .md 文档经 autoReanchorDocRefs 定点重锚（fixable 唯一/优选命中才改 +
@@ -823,7 +860,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
           console.error(`\n❌ verify 阶段被阻断：module-impact.md「更新结果」表存在 ${pendingRows.length} 个未清 pending/待办项（死信）`)
           for (const row of pendingRows) console.error(`   - ${row}`)
           console.error('   文档同步是 verify 的收尾义务：请完成模块文档同步并回填状态为 done/skipped（说明原因），再重新完成 verify。')
-          return rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+          return rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'verify-contract' })
         }
       }
     }
@@ -852,7 +889,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
         for (const err of planValidation.errors) console.error(`   - ${err}`)
         console.error(`\n   tasks.md/plan.md 不满足 execute 契约，请修复后重新完成此步骤。`)
         // 阻断 completed
-        return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+        return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'plan-execute-contract' })
       }
       if (planValidation.warnings.length > 0) {
         console.warn(`\n⚠️  Plan contract 警告（不阻断完成）：`)
@@ -913,13 +950,27 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
         const reviewResult = gated.result
         printStageReviewResult(reviewResult, { stage: stageName, reviewRunId, runtimeRoot, changeName })
         if (!reviewResult.ok) {
-          return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+          return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'review_rejected', detail: 'stage-review' })
+        }
+        // 降级自审留痕（2026-09-10 用户反馈①：PI agent 等宿主无 Agent tool，prompt 降级条款允许
+        // 当前 agent 自审产出 review.json）。放行但独立性折损必须可见：⚠️ 审计行区分降级 review
+        // 与真子代理 review（事后可审计），与 ⚖️/🔍 软归属同哲学——可见的折损优于静默的伪装。
+        // channel 识别（2026-09-10 通道优先序批次）：reviewer.channel 结构化落款优先，兼容
+        // reviewerNotes 首行「降级：」约定；platform 通道（P2 review-dispatch 落地后）ℹ️ 留痕
+        // missionId 供追溯，其余通道正常放行。
+        const { classifyReviewerChannel } = await import('../stage-review.js')
+        const reviewChannel = classifyReviewerChannel(reviewResult.review)
+        if (reviewChannel === 'self') {
+          console.warn(`\n⚠️ Stage Review 降级自审（tier=independent 但宿主无 Agent tool）：${stageName} review 按 prompt 降级条款由当前 agent 自审产出——独立性折损已留痕（reviewerNotes 首行「降级：」），结论应附源码锚点补偿，建议人工抽查关键结论。`)
+        } else if (reviewChannel === 'platform') {
+          const mid = reviewResult.review && reviewResult.review.reviewer && reviewResult.review.reviewer.missionId
+          console.log(`\nℹ️ Stage Review 平台派发（channel=platform${mid ? `，missionId=${mid}` : '，missionId 未落款'}）：${stageName} review 由平台独立 worker 产出（独立进程/会话）。`)
         }
       }
     } catch (e) {
       // fail-closed：Gate 自身异常阻断完成，不静默放行（与 Task Review Gate 一致）
       console.error('❌ Stage Review Gate 异常，阻断 ' + stageName + ' 完成: ' + e.message)
-      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'review_rejected', detail: 'stage-review' })
     }
   }
 
@@ -978,14 +1029,16 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
           // marker 缺失：先扫描 execute-runs/ 既有目录找回真实 runId（与 getLatestStageReviewRunId
           // 目录扫描兜底同语义），避免 marker 丢失而 agent 已用旧 runId 落盘时，直接 generate 新 ID
           // 找不到旧 review、误判缺 review.json。仅当确实无既有 run 才 generate 新 ID 并落盘。
-          const { generateExecuteRunId, resolveLatestExecuteRunId, stampExecuteRunChange } = await import('../task-review.js')
+          const { generateExecuteRunId, resolveLatestExecuteRunId, stampExecuteRunChange, claimExecuteRunId } = await import('../task-review.js')
           executeRunId = resolveLatestExecuteRunId({ runtimeRoot, changeName }) || ''
           if (!executeRunId) {
-            executeRunId = generateExecuteRunId()
+            executeRunId = generateExecuteRunId(changeName)
             // 落盘（marker 缺失时 fallback 生成后写盘，保证后续 checkbox/gate 读到同一 ID）
             // D-001#1 fallback 写入点：mkdir execute-runs/<runId>/tasks 先于 marker（不变量：
             // marker 在则目录在）。不 try/catch——异常直穿外层 catch 走 fail-closed 阻断
             //（gate 自身写 run 目录失败不能静默放行完成）。
+            // 排他认领（坑 exec-run-id-same-second-collision）：并行会话同秒碰撞在认领处消解
+            executeRunId = claimExecuteRunId(runtimeRoot, executeRunId)
             mkdirSync(join(runtimeRoot, 'execute-runs', executeRunId, 'tasks'), { recursive: true })
             writeAtomicSync(runIdFile, executeRunId + '\n')
             stampExecuteRunChange(runtimeRoot, executeRunId, changeName)
@@ -1026,7 +1079,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
             console.error('\n⚠️  部分任务已在 tasks.md 中勾选，但 review.json 不存在。')
             console.error(`   请取消勾选这些任务的 checkbox，或补充对应的 review.json（execute run ID: ${executeRunId}）。`)
           }
-          return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+          return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'review_rejected', detail: 'task-review' })
         }
 
         // cannot_verify 的 requiredEvidence 写入 change 目录，供 verify 阶段消费
@@ -1042,7 +1095,7 @@ export async function runStageCompletionGates({ stageName, cwd, changeName, plat
       // fail-closed：Gate 自身异常时不能默认放行，否则异常成了绕过评审的通道
       console.error(`❌ Task Review Gate 异常，阻断 execute 完成: ${e.message}`)
       console.error('   请检查 review.json / plan.md 是否可读，修复后重新完成此步骤。')
-      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+      return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'review_rejected', detail: 'task-review' })
     }
   }
   return null
@@ -1263,9 +1316,13 @@ export async function completeStageGates({ stageName, cwd, changeName, platformO
     validateFileLocations(cwd, stageName, progress, changeName, specBase)
   }
 
-  // 辅助阶段完成后重置步骤（scan 等 auxiliary 阶段重置回 pending 可重跑）
+  // 辅助阶段完成后重置步骤（scan 等 auxiliary 阶段重置回 pending 可重跑）。
+  // archive 例外（P0-4 并步补丁）：确认归档成为末步后本重置会与 unregisterChange 的终态
+  // （steps 全 completed + current_stage=archive——平台按步骤数渲染完成度的数据源）互相
+  // 覆盖，把已注销变更抹回 0/N。archive 是终态阶段（变更已注销，不存在「重跑归档」流），
+  // 不参与可重跑重置。
   const stageDef = stageRegistry[stageName]
-  if (stageDef?.auxiliary) {
+  if (stageDef?.auxiliary && stageName !== 'archive') {
     const freshSteps = (stageDef.steps || []).map(s => ({
       name: s.name,
       status: 'pending',
@@ -1292,7 +1349,7 @@ export async function completeStageGates({ stageName, cwd, changeName, platformO
   }
   } catch (e) {
     console.error(`\n❌ ${stageName} 阶段完成收尾异常（已 rollback 为 in-progress，请修复后重新 --done）：${e?.message || e}`)
-    return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts)
+    return await rollbackCompletionAndReturn(pm, progress, stageData, steps, currentIdx, cwd, changeName, platformOpts, { type: 'gate_rollback', detail: 'internal-error' })
   }
 
   // execute worktree cleanup（completeStep / continueStep 完成分支统一调用，避免双清理）
@@ -1615,11 +1672,50 @@ export function printProbeConsistencyCheck(r, envelope = buildProbeConsistencyEn
  * 一天多——verify prompt 要求 PID 按变更分片登记 .runtime/verify-services-<change>.pids。
  * 坑 verify-pids-cross-session-kill（2026-08-23）：原单文件无归属，A 会话 --done 会把 B 正在
  * 收集 Runtime Evidence 的服务一并杀掉——分片后各回收各的；旧单文件兼容回收（升级过渡期）。
+ * 坑 verify-service-process-leak 子进程泄漏（2026-09-10 驾驭小结第三批③，用户实锤 python
+ * 子进程泄漏）：原 process.kill(pid) 只杀登记的 shell 包装进程（`cmd /c` / `sh -c` 起的
+ * uvicorn 等），子进程成了孤儿继续挂机——改 killProcessTree 进程树击杀（win taskkill /T /F
+ * + POSIX 递归枚举子进程）；prompt 指引同步补「优先登记服务本体（叶子）PID」。
  * 回执同样按变更分片（原单份被并行会话后写覆盖），checkIntegrationEvidence（stage-contract）
  * 读分片名注入证据匹配。best-effort：ESRCH（已退出）静默，kill 失败 warn 不阻断 verify。
  *
  * @returns {{ reaped: number, receiptPath: string|null }}
  */
+export function killProcessTree(pid, sig = 'SIGTERM') {
+  const pidNum = parseInt(pid, 10)
+  if (!Number.isInteger(pidNum) || pidNum <= 0) return false
+  if (process.platform === 'win32') {
+    // /T = 连同子进程树（shell 包装下的 python/node 服务本体）；/F = 强制（长驻服务常吞 SIGTERM 等价物）
+    try {
+      execFileSync('taskkill', ['/PID', String(pidNum), '/T', '/F'], { stdio: 'ignore', timeout: 15000 })
+      return true
+    } catch (e) {
+      // taskkill 对不存在进程退出码 128（等价 ESRCH，已退出按回收静默）；其余（拒绝访问等）上抛
+      if (e && (e.status === 128 || /could not be found|找不到/i.test(String(e.stderr || '') + String(e.message || '')))) return false
+      throw e
+    }
+  }
+  // POSIX：先递归杀子进程（shell 包装的子进程是服务本体），再杀登记进程本身
+  for (const child of listChildPids(pidNum)) {
+    try { killProcessTree(child, sig) } catch { /* 子进程已退出/权限不足不连坐父进程回收 */ }
+  }
+  try { process.kill(pidNum, sig); return true }
+  catch (e) { if (e.code === 'ESRCH') return false; throw e }
+}
+
+/** ps 枚举直接子进程 PID（POSIX；失败返回空——杀不到子进程不阻断父进程回收） */
+function listChildPids(parentPid) {
+  try {
+    const out = execFileSync('ps', ['-axo', 'pid=,ppid='], { encoding: 'utf8', timeout: 5000 })
+    const children = []
+    for (const line of String(out).split('\n')) {
+      const m = line.trim().match(/^(\d+)\s+(\d+)$/)
+      if (m && Number(m[2]) === parentPid) children.push(Number(m[1]))
+    }
+    return children
+  } catch { return [] }
+}
+
 export function reapVerifyServices(platformOpts, specBase, changeName) {
   const runtimeDir = resolveRuntimeRoot(platformOpts, specBase)
   const reapFile = (path, label) => {
@@ -1627,11 +1723,12 @@ export function reapVerifyServices(platformOpts, specBase, changeName) {
     const pids = readFileSync(path, 'utf8').split('\n').map(l => l.trim()).filter(l => /^\d+$/.test(l))
     const reaped = []; const failed = []
     for (const pid of pids) {
-      try { process.kill(parseInt(pid, 10), 'SIGTERM'); reaped.push(pid) }
-      catch (e) { if (e.code !== 'ESRCH') failed.push(`${pid}(${e.code || e.message})`) }
+      // 进程树击杀（坑 verify-service-process-leak 子进程泄漏）：连带 shell 包装下的服务本体
+      try { if (killProcessTree(pid)) reaped.push(pid) }
+      catch (e) { if (e.code !== 'ESRCH') failed.push(`${pid}(${e.code || e.status || e.message})`) }
     }
     try { unlinkSync(path) } catch {}
-    if (reaped.length > 0) console.log(`🧹 verify 服务进程已回收 ${reaped.length} 个${label}（PID: ${reaped.join(', ')}）`)
+    if (reaped.length > 0) console.log(`🧹 verify 服务进程已回收 ${reaped.length} 个${label}（PID: ${reaped.join(', ')}，进程树击杀）`)
     return { reaped: reaped.length, failed }
   }
   const own = reapFile(join(runtimeDir, `verify-services-${changeName}.pids`), '')

package/src/run/prompt.js

@@ -803,13 +803,15 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
       }
     } catch {}
     if (!runId) {
-      const { generateExecuteRunId } = await import('../task-review.js')
-      runId = generateExecuteRunId()
+      const { generateExecuteRunId, claimExecuteRunId } = await import('../task-review.js')
+      runId = generateExecuteRunId(changeName)
       // 落盘（与启动站点一致），保证 agent 收到的 ID == gate/checkbox 读取的 ID
       // D-001#1 fallback 写入点：mkdir execute-runs/<runId>/tasks 先于 marker（不变量：marker 在则目录在）。
       // 渲染路径异常不能炸 prompt 输出 → catch 内 console.error 留痕 + 保留降级（ID 注入继续，
       // 目录由下游 review 写入 / 其他写入点补齐）。
       try {
+        // 排他认领（坑 exec-run-id-same-second-collision）：并行会话同秒碰撞在认领处消解
+        runId = claimExecuteRunId(runtimeRoot, runId)
         mkdirSync(join(runtimeRoot, 'execute-runs', runId, 'tasks'), { recursive: true })
         writeAtomicSync(runIdFile, runId + '\n')
       } catch (e) {
@@ -825,7 +827,7 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
   if (['brainstorm', 'plan', 'execute'].includes(stageName) && promptText.includes('{REVIEW_TIER}')) {
     try {
       const { classifyReviewTier } = await import('../review-tier.js')
-      const { generateStageReviewRunId, renderReviewJsonContract, stageReviewMarkerPath } = await import('../stage-review.js')
+      const { generateStageReviewRunId, renderReviewJsonContract, stageReviewMarkerPath, readReviewChannelPriority } = await import('../stage-review.js')
       const tierSpecBase = resolvePromptSpecBase(platformOpts, cwd)
       const tierChangeDir = changeName ? join(tierSpecBase, 'changes', changeName) : null
       const designPath = tierChangeDir ? join(tierChangeDir, 'design.md') : null
@@ -859,8 +861,12 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
           console.log(`  📁 Stage Review 写入目录（直接复制给 review 子代理，勿手拼 runId）：${reviewDir}/`)
         } catch {}
       }
-      // review.json 产物契约(schema + 示例 + docHash 算法 + 重算提示)事前注入,与 validateStageReviewSchema 同源
-      const reviewContractMd = renderReviewJsonContract({ stage: stageName, changeDir: tierChangeDir, reviewRunId, tier: tier.tier })
+      // review.json 产物契约(schema + 示例 + docHash 算法 + 重算提示)事前注入,与 validateStageReviewSchema 同源。
+      // 通道优先序显式传入（readReviewChannelPriority 吃精确 cwd——平台模式 specRoot 异位时
+      // process.cwd 兜底会读错 local.yaml，2026-09-10 通道配置批次）；tier=independent 时契约
+      // 头部渲染「审查执行通道」段（按用户配置序，见 local.yaml review_dispatch.channel_priority）。
+      const reviewChannelPriority = readReviewChannelPriority(cwd)
+      const reviewContractMd = renderReviewJsonContract({ stage: stageName, changeDir: tierChangeDir, reviewRunId, tier: tier.tier, channelPriority: reviewChannelPriority })
       promptText = promptText
         .split('{REVIEW_TIER}').join(tier.tier)
         .split('{REVIEW_TIER_REASON}').join(tier.reason)
@@ -1012,6 +1018,29 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
     promptText = promptText.split('{ARCHIVE_IMPACT_AUDIT}').join(auditBlock)
   }
 
+  // {SCOPE_AUDIT_TABLE}（2026-09-10-change-scope-audit task-05，FR-03）：archive「确认归档」步的
+  // 变更范围对账全表注入——computeChangeScopeAudit + renderScopeAuditTable 代算（计划×实际
+  // 三态 + 行数，D-003 同源：只 import scope-audit.js 导出，不自研采集）。maxRows 60 截断防
+  // prompt 膨胀（R-03，表尾自带「完整表跑 scope-audit」指引）。fail-soft：注入异常降级单行
+  // 指引（回退手跑 scope-audit 命令），不阻断归档 prompt 输出（对齐 {ARCHIVE_IMPACT_AUDIT}
+  // 注入先例）；ok=false（quick 会话不存在 / 实际侧整体失败等）同样附手跑指引——归档零新增
+  // 阻断面（D-006）。
+  if (stageName === 'archive' && promptText.includes('{SCOPE_AUDIT_TABLE}')) {
+    let scopeTable = ''
+    try {
+      const { computeChangeScopeAudit, renderScopeAuditTable } = await import('../scope-audit.js')
+      const saSpecBase = resolvePromptSpecBase(platformOpts, cwd)
+      const saResult = await computeChangeScopeAudit({ cwd, specBase: saSpecBase, changeName, platformOpts })
+      scopeTable = renderScopeAuditTable(saResult, { maxRows: 60 })
+      if (saResult && saResult.ok === false) {
+        scopeTable += '\n（对账降级——回退手跑 sillyspec scope-audit --change <name> 查看原因后再确认归档，注入失败不阻断归档）'
+      }
+    } catch (e) {
+      scopeTable = '（变更范围对账表注入失败：' + (e && e.message ? e.message : e) + '——回退手跑 sillyspec scope-audit --change <name> 查看后再确认归档，注入失败不阻断归档）'
+    }
+    promptText = promptText.split('{SCOPE_AUDIT_TABLE}').join(scopeTable)
+  }
+
   // 注入模块上下文（brainstorm/plan/execute 阶段全步 + quick 首步「理解任务」——刀①：quick
   // step1 原让 agent cat module-map 再挑模块卡读，改为按任务描述匹配后注入，基于 Module Context Index）
   const quickFirstStep = stageName === 'quick' && step && step.name === '理解任务'
@@ -1087,7 +1116,7 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
     console.log('- CLI 子命令以本 prompt 或上一条 --done 输出的字面为准；不确定时停下问用户，猜测命令会让状态机推进到错误位置。')
     console.log('- 本步骤产物落盘后立即执行 prompt 末尾的 --done：CLI 据此校验产出并推进状态机；不跑则进度永远停在本步。')
     console.log('- 变更目录改名用 `sillyspec change-rename <旧名> <新名>`：mv/rename 会漏改进度库引用，导致变更失联。')
-    console.log('- 文档类型文件（.md/.yaml/.json 等）头部必须包含 author（git 用户名）和 created_at（精确到秒）')
+    console.log('- 变更产物文档一律用 CLI 骨架命令生成（fourpiece-init / design-init / taskcard / module-impact / verify-probes --init）——骨架已预填 author/created_at/generated_by 元数据，勿删勿手拼 frontmatter；仅从零手写的补充文档才需手填 author（git 用户名）与 created_at（精确到秒）')
     console.log('- 执行构建/测试前必须先读 local.yaml，优先使用其中配置的命令、路径和环境变量；未配置时才使用默认值')
   }
   // 平台模式 + 路径规则（安全关键，每步注入；step1+ 起带精简标题，不复述通用铁律）
@@ -1123,6 +1152,13 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
   const mayNeedWait = WAIT_MARKER_RE.test(stepPrompt) || requiresWait || conditionalWait
 
   console.log(`\n### 完成后执行`)
+  // P0-3（noai-ir-roadmap §3）：gate 预检前置——gate 失败 → rollback → 重做一轮是最贵的循环，
+  // 多数失败是机械的（占位符未替换/文件未建/行号失效）。gate 是只读聚合预检，--done 前跑一次
+  // 把「重做一轮」变「本地预检」。主阶段且有 change 才提示（quick 边界审计在 --done 内联、
+  // 辅助阶段无 gate 语义）。
+  if (['brainstorm', 'plan', 'execute', 'verify', 'archive'].includes(stageName) && changeName) {
+    console.log(`💡 预检（只读，省一轮 gate 失败重跑）：sillyspec gate ${stageName} --change ${changeName} [--json]`)
+  }
   // requiresConfirm 步骤（如 archive「确认归档」）的完成命令必须带 --confirm——坑
   // archive-batch-31-tool-notes ②：通用 --done 模板不带该 flag，agent 照抄执行撞
   // 「请添加 --confirm」确认门，误以为参数没带。
@@ -1146,15 +1182,24 @@ export async function outputStep(stageName, stepIndex, steps, cwd, changeName, d
     console.log(`如果不需要用户决策，正常完成：`)
   }
   console.log(doneCommand + (autoMeta ? '' : ' --input "用户原始需求/反馈"'))
+  // P0-2（noai-ir-roadmap §3）：--output 可省略提示（auto 模式除外——auto driver 的
+  // SS-META doneCommand 仍带 --output，照抄路径零变化；省略路径由 command.js 同源合成）。
+  if (!autoMeta) {
+    console.log(`（--output 可省略：省略时 CLI 按门禁与 diff 事实合成事实性摘要；方案取舍/用户反馈等语义说明才需要手写）`)
+  }
 
   // ── SS-META 机器可读元数据块（change: 2026-09-08-auto-driver，D-002@v1，FR-01）──
-  // 仅 auto 模式（autoMeta 非空）渲染：单行 HTML 注释内 JSON，agent 低噪可读、脚本一行正则
-  // 可提取（<!--SS-META:(.*)-->）。requiresUser 四源见上方纯函数；doneCommand 与正文同源。
-  if (autoMeta) {
+  // 单行 HTML 注释内 JSON，agent 低噪可读、脚本一行正则可提取（<!--SS-META:(.*)-->）。
+  // requiresUser 四源见上方纯函数；doneCommand 与正文同源。
+  // P1-3（noai-ir-roadmap §4）：SS-META 从 auto 专属毕业——常规模式 `run <stage> --meta`
+  // 同样渲染（command.js 置 SILLYSPEC_RUN_META=1，CLI 短进程生命周期内有效，不跨调用泄漏）；
+  // meta 增补 change 字段（宿主脚本免再从正文 header 行解析变更名，向后兼容追加）。
+  if (autoMeta || process.env.SILLYSPEC_RUN_META === '1') {
     const meta = {
       stage: stageName,
       stepIndex: stepIndex + 1,
       stepName: step.name,
+      change: changeName || null,
       requiresUser: requiresWait || mayNeedWait || step.requiresConfirm === true,
       doneCommand,
       waitHint: (requiresWait || mayNeedWait)