sillyspec 3.28.8 → 3.28.10

package/README.md

@@ -4,7 +4,7 @@
 
 <h1 align="center">SillySpec</h1>
 
-<p align="center">规范驱动开发工具包 · 流程状态机，让 AI 严格按步骤来</p>
+<p align="center">规范驱动开发工具包 · 多 agent 时代的变更账本与确定性验收层</p>
 
 <p align="center">
   融合 Superpowers + OpenSpec + GSD，从「你说要啥」到「代码能跑」的完整流程<br>
@@ -25,7 +25,9 @@
 
 AI agent（Claude Code / Cursor 等）直接上手编码时，容易跳过需求澄清、方案设计、任务拆解这些关键步骤，产出偏离预期、且无法审计。
 
-SillySpec 把一个变更的完整生命周期固化为一组**强制阶段**——每个阶段都有明确的入口契约、产物文件名和门禁校验，AI 必须按状态机推进，不能跳步、不能偷工。进度、决策、产物全部持久化到 SQLite，可审计、可回溯、可断点恢复。
+更要命的是**多 agent 并行**：多个会话同时改一个仓库时，谁改了哪个文件分不清、任务编号会被抢注、测试结果靠自报、中断即失忆、跨仓改动误伤用户在途文件。
+
+SillySpec 把一个变更的完整生命周期固化为一组**强制阶段**——每个阶段都有明确的入口契约、产物文件名和门禁校验，AI 必须按状态机推进，不能跳步、不能偷工。进度、决策、产物全部持久化到 SQLite，可审计、可回溯、可断点恢复。**纪律不靠模型自觉，靠进程、磁盘和门禁：自报的不算，CLI 亲自跑过的才算。**
 
 ## 快速开始
 
@@ -133,16 +135,38 @@ sillyspec change-delete <变更名>    删除变更（DB status=deleted 与归
 
 ## 核心特性
 
-- **规范驱动** — 所有代码产出先有设计文档支撑，文档是 AI 的记忆
-- **阶段状态机** — 以 stage + step 粒度强制流转，sillyspec.db（SQLite）单一进度源记录状态
-- **TDD 强制** — execute 阶段先写测试再写实现
-- **子代理并行** — 同一 Wave 内任务并行执行，加快交付
+> 完整能力地图与对外叙事基准：[docs/sillyspec/capability-highlights-2026-09-14.md](docs/sillyspec/capability-highlights-2026-09-14.md)
+
+**第一层：护城河（外部状态，模型能力不可替代）**
+
+- **多 agent 并发控制** — 会话/变更/worktree 三级隔离；文件锁 ID 分配 + 双占用 fail-closed 硬拦；`--files` 边界声明切分"这是谁改的"；`--done` 前并发写预检告警他者未提交改动；平台同步乐观锁（base_ts + 身份 + 服务器权威钟）+ 冲突血统归属（自回声不误报）
+- **实测验收门禁** — verify / quick 收尾时 CLI **亲自执行** test / lint 与 agent 自报对账，不符即阻断回滚；docHash 重算比对 + git 提交证据交叉对账防伪造；门禁跑在隔离快照，不受并行会话脏文件污染
+- **持久账本 + 断点恢复** — SQLite（node:sqlite）单一进度源，进度/决策/审批答复全落库，跨会话跨天续跑；quicklog 四字段结构化台账可检索
+- **跨仓变更管理** — task 卡声明 `repo:` 字段即可管理跨仓任务：同构 worktree 隔离、base 锚快照、apply 永不覆盖用户在途改动
+
+**第二层：确定性对账（机械核验，零模型轮次）**
+
+- **范围对账** — 计划改动 × 实际改动三态对账（planned / unplanned / untouched），"偷偷改了计划外的东西"会被告警
+- **API 契约矩阵** — 自动识别 task 间 provider / consumer 关系，后端完成提取 endpoint 契约注入前端 task，verify 阶段前后端 API parity 对账
+- **文档一致性棘轮** — 文档里源码引用真实性校验（HEAD 模式），失败数只降不升
+- **noAI 下沉** — 机械轮次（骨架预生成 / 上下文注入 / 归档核对代算）下沉为 CLI 代码，判断层留给 agent，token 成本与模型能力同向优化
+
+**第三层：协作与流程**
+
+- **规范驱动 + 阶段状态机** — 入口契约 / 产物文件名 / 门禁校验强制流转，不能跳步
+- **子代理并行 + Wave 拓扑排序** — depends_on 自动排序，同 Wave 并行执行
 - **Worktree 隔离** — execute 在独立 git worktree 中工作，不污染主分支
-- **拓扑排序 Wave** — plan 阶段按蓝图依赖关系自动重排 Wave 分组
-- **进度持久化** — SQLite（node:sqlite）持久化，支持断点恢复
-- **模块文档** — 模块级知识库，AI 执行时按需加载相关上下文
-- **浏览器自动化** — 可选 MCP（Playwright / Chrome DevTools），供集成/E2E 冒烟验证
-- **平台同步** — 可选对接 SillyHub，文档同步 + 团队审批 + 本地 agent 会话日志路径主动上报（平台会话展示本地 agent 完整日志；支持 Claude Code / Codex / ZCode 自动探测，其他 CLI 用 `SILLYSPEC_AGENT_LOG` 显式指定）
+- **分层独立审查** — Design Grill / stage review / task review 带 provenance 盖章
+- **跨机派发** — 子代理任务可派到 SillyHub MCP 远端 worker 池，自动探测回退本机
+- **平台同步（可选）** — 对接 SillyHub：文档同步 + 团队审批 + 本地 agent 会话日志路径主动上报（支持 Claude Code / Codex / ZCode 自动探测，其他 CLI 用 `SILLYSPEC_AGENT_LOG` 显式指定）；本地独立使用功能完整
+- **棕地入库** — scan 扫描已有代码库生成 7 份架构文档 + 模块映射
+- **知识飞轮** — 模块知识按需注入、成功变更 export 为模板、决策 D-xxx@vN 版本化
+
+**第四层：自我运维**
+
+- **doctor 自诊自愈** — 13 维诊断，幽灵 worktree / 僵尸会话自动归档
+- **摩擦计数** — 门禁回滚 / 实测失败 / 审查打回结构化计数，喂改进循环
+- **dashboard 可视化** — 本地 Web 进度面板（`packages/dashboard/`）
 
 ## 可靠性保障
 

package/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: sillyspec
-description: "规范驱动开发工具包。绿地用 /sillyspec:init，棕地用 /sillyspec:scan，全自动用 /sillyspec:auto。完整流程：scan → brainstorm → plan → execute → verify → archive。支持 TDD、子代理并行、worktree 隔离、E2E 验证。兼容 Claude Code / Cursor / Codex / OpenCode / OpenClaw / Gemini。"
+description: "多 agent 仓库的变更账本 + 确定性验收层，规范驱动开发工具包。绿地用 /sillyspec:init，棕地用 /sillyspec:scan，全自动用 /sillyspec:auto。完整流程：scan → brainstorm → plan → execute → verify → archive。核心能力：CLI 实测验收门禁（自报不算、亲测才算）、多 agent 并发控制（会话/worktree/跨仓隔离 + 竞态硬门）、SQLite 持久账本断点恢复、范围对账与 API 契约矩阵。兼容 Claude Code / Cursor / Codex / OpenCode / OpenClaw / Gemini。"
 ---
 
 # SillySpec
@@ -73,15 +73,29 @@ sillyspec init                初始化（零交互，自动检测工具）
 
 ## 核心特性
 
-- **规范驱动** — 所有代码产出先有设计文档支撑，文档是 AI 的记忆
-- **TDD 强制** — execute 阶段强制先写测试再写实现
-- **子代理并行** — 同一 Wave 内任务并行执行，加快交付
-- **Worktree 隔离** — execute 在独立 worktree 中工作，不污染主分支
-- **拓扑排序 Wave** — plan 阶段根据蓝图依赖关系自动重排 Wave 分组
-- **E2E 验证** — 内置 E2E 测试流程，支持 Playwright / 浏览器 MCP
-- **模块文档** — 支持模块级知识库，AI 执行时按需加载相关模块上下文
-- **进度管理** — SQLite 持久化进度，断点恢复
-- **MCP 增强** — 一键安装 Context7、Chrome DevTools、PinchTab
+**护城河层（外部状态，模型能力不可替代）**
+- **多 agent 并发控制** — 会话/变更/worktree 三级隔离；文件锁 ql-ID 分配 + 双占用 fail-closed 硬拦；边界声明归属切分（窗口∩声明）；并发写预检告警；平台乐观锁（base_ts + 身份头 + 服务器权威钟）
+- **实测验收门禁** — verify/quick 收尾时 CLI 亲自执行 test/lint 与自报对账，不符即阻断回滚；docHash 重算 + git 证据交叉对账防伪造；门禁跑在隔离快照里不受并行会话脏文件污染
+- **持久账本 + 断点恢复** — SQLite 单一进度源，进度/决策/审批答复全落库，跨会话跨天续跑；quicklog 四字段结构化台账
+- **跨仓变更管理** — task 卡声明 `repo:` 字段，跨仓同构 worktree 隔离，base 锚快照，apply 不覆盖用户在途改动
+
+**确定性对账层（机械核验，零模型轮次）**
+- **范围对账** — 计划改动 × 实际改动三态对账（planned/unplanned/untouched），execute/verify/archive/quick 四处收尾注入
+- **API 契约矩阵** — provider/consumer 识别、endpoint 工件提取、前后端 API parity 对账
+- **文档一致性棘轮** — 源码引用真实性校验（HEAD 模式），失败数只降不升
+- **noAI 下沉 / IR 事实层** — 机械轮次下沉 CLI（骨架预生成、注入、代算对账），判断层留给 agent；同一契约清单事前渲染预览、事后引擎核验
+
+**协作与流程层**
+- **规范驱动 + 阶段状态机** — 每阶段入口契约、产物文件名、门禁校验强制流转，不能跳步
+- **子代理并行 + Wave 拓扑** — depends_on 自动拓扑排序，同 Wave 并行
+- **独立审查 + 人类审批** — Design Grill / stage review / task review 分层审查带 provenance；wait 等待态与审批答复持久化
+- **跨机派发 / 棕地入库 / 知识飞轮** — SillyHub MCP worker 池 + 本机逐级回退；scan 生成七文档；export 模板蒸馏 + 决策版本化
+
+**自我运维层**
+- **doctor 自诊自愈** — 13 维诊断 + 幽灵 worktree/僵尸会话自动归档
+- **摩擦计数** — 门禁回滚/实测失败/审查打回结构化计数喂复盘循环
+
+> 📖 完整能力地图与对外叙事基准：`docs/sillyspec/capability-highlights-2026-09-14.md`
 
 ## MCP 工具
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sillyspec",
-  "version": "3.28.8",
+  "version": "3.28.10",
   "description": "SillySpec CLI — 流程状态机，让 AI 严格按步骤来",
   "icon": "logo.jpg",
   "homepage": "https://sillyspec.ppdmq.top/",

package/src/change-list.js

@@ -168,6 +168,37 @@ function looksLikePath(p) {
  */
 const INCIDENTAL_RE = /顺带修复|附带修复|顺带|drive-?by|incidental/i
 
+/**
+ * 从清单子段标题 / 路径前缀解析跨仓 repoKey（scope-audit-cross-repo-blindness 改进点 2，
+ * 2026-09-15）：多仓变更 design 清单按「main 仓 / sub-xxx / spdemo」分段书写，主仓跑
+ * scope-audit 时这些条目不是主仓路径，须识别出来标注「跨仓（本表不含）」而非恒「计划未动」。
+ *
+ * 两种书写形态：
+ *   ① 子段标题含注册 repoKey（`### sub-grid-security`、`### sub-grid-security 新增文件`、
+ *      `### spdemo 仓`）——标题 token 化后含 key，或以 key 开头且带「仓/仓库」后缀；
+ *   ② 路径 cell 显式前缀 `cross-repo:<repo-key>:`（_module-map.yaml 同款约定）。
+ * 只认调用方传入的注册表 repoKeys（local.yaml repos 段）——未注册的 key 不剥前缀不标仓，
+ * fail-closed 防把普通路径误判跨仓。repoKeys 缺省 null → 全部按主仓解析（零回归）。
+ */
+function detectRepoFromSubsection(title, repoKeys) {
+  if (!Array.isArray(repoKeys) || repoKeys.length === 0) return null
+  const tokens = String(title || '').split(/[\s（）()：:，,、/\\]+/)
+  for (const k of repoKeys) {
+    if (tokens.includes(k)) return k
+    if (new RegExp(`^${k.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')}(?:\\s*仓|\\s*仓库)$`).test(String(title || '').trim())) return k
+  }
+  return null
+}
+
+/** `cross-repo:<key>:` 前缀拆分（key 须在注册表内）；无前缀/未注册 → null */
+function splitCrossRepoPrefix(rawPath, repoKeys) {
+  if (!Array.isArray(repoKeys) || repoKeys.length === 0) return null
+  const m = String(rawPath || '').match(/^cross-repo:([A-Za-z0-9_.\-]+):(.*)$/)
+  if (!m) return null
+  if (!repoKeys.includes(m[1])) return null
+  return { repo: m[1], path: m[2].trim() }
+}
+
 /**
  * 从 design.md 解析文件变更清单（含 incidental 标记）。兼容两种真实写法：
  *   ① 表格：`| 操作 | 文件路径 | 说明 |`（brainstorm 模板默认）
@@ -175,13 +206,15 @@ const INCIDENTAL_RE = /顺带修复|附带修复|顺带|drive-?by|incidental/i
  * 表头列顺序自适应（定位「文件/路径/file/path」列，列顺序写反时不会把操作名当路径）；
  * 忽略 `.sillyspec/`（keepSillyspecDocs=true 时保留 `.sillyspec/docs/`）与占位符（`—`/`-`/`N/A`/`无`）；「不修改/暂缓」子段下的路径会被排除；
  * CRLF 容错。incidental 嗅探：表格非路径列（说明列）+ 路径 cell 原始值（剥注释前的括号内容）+ 列表项原文。
+ * repoKeys 传入时识别跨仓子段 / `cross-repo:` 前缀（detectRepoFromSubsection），命中的条目
+ * repo 字段携带 repoKey（默认 null = 主仓）——scope-audit 计划侧跨仓标注的数据源。
  *
  * 内核函数：parseFileChangeList（Set 包装，向后兼容）与 parseFileChangeListDetailed 共用，
  * 单一真相源，避免两处各自重写清单解析漂移。
  * @param {string} designMdPath - design.md 文件路径
- * @returns {Array<{ path: string, operation: string|null, incidental: boolean }>}（顺序按首次出现，exclude 子段移除）
+ * @returns {Array<{ path: string, operation: string|null, incidental: boolean, repo: string|null }>}（顺序按首次出现，exclude 子段移除）
  */
-function _parseFileListDetailed(designMdPath, { keepSillyspecDocs = false } = {}) {
+function _parseFileListDetailed(designMdPath, { keepSillyspecDocs = false, repoKeys = null } = {}) {
   if (!designMdPath || !existsSync(designMdPath)) return []
 
   const content = readFileSync(designMdPath, 'utf8').replace(/\r\n/g, '\n')
@@ -202,10 +235,11 @@ function _parseFileListDetailed(designMdPath, { keepSillyspecDocs = false } = {}
   let opColIdx = -1             // 操作列下标（表头扫描后定位；-1 = 无操作列 → operation=null）
   let listMode = 'include'      // include | exclude（分类列表子段）
   let currentOp = null          // 分类列表子标题推导的 operation（表格模式不用）
-  const entries = new Map()     // path -> { path, operation, incidental }（exclude 子段 delete）
+  let currentRepo = null        // 分类列表子标题推导的跨仓 repoKey（detectRepoFromSubsection）
+  const entries = new Map()     // path -> { path, operation, incidental, repo }（exclude 子段 delete）
 
   for (const line of lines) {
-    // 分类列表子标题：### 新增文件 / ### 修改文件 / ### 不修改文件
+    // 分类列表子标题：### 新增文件 / ### 修改文件 / ### 不修改文件 / ### sub-grid-security（跨仓段）
     const subHeader = line.match(/^###\s+(.+?)\s*$/)
     if (subHeader) {
       // ⚠️ EXCLUDE 优先：「### 不修改文件」含「修改」二字，会被 classifySubsectionOp 误匹配。
@@ -213,9 +247,13 @@ function _parseFileListDetailed(designMdPath, { keepSillyspecDocs = false } = {}
       if (EXCLUDE_SUBSECTION_RE.test(subHeader[1])) {
         listMode = 'exclude'
         currentOp = null
+        currentRepo = null
       } else {
         listMode = 'include'
         currentOp = classifySubsectionOp(subHeader[1])
+        // 跨仓段识别（scope-audit-cross-repo-blindness 改进点 2）：子段标题含注册 repoKey
+        // 或以「<key> 仓/仓库」收尾 → 其下条目标 repo；不含 key 的普通操作子段 → 回主仓。
+        currentRepo = detectRepoFromSubsection(subHeader[1], repoKeys)
       }
       continue
     }
@@ -237,7 +275,12 @@ function _parseFileListDetailed(designMdPath, { keepSillyspecDocs = false } = {}
         continue
       }
 
-      const filePath = normalizePath(cells[pathColIdx] || '')
+      const filePathRaw = normalizePath(cells[pathColIdx] || '')
+      // 跨仓显式前缀（scope-audit-cross-repo-blindness 改进点 2）：`cross-repo:<key>:` 剥前缀
+      // 标 repo；无前缀/未注册 key → 按当前子段 repo（缺省主仓 null）
+      const crossRepo = splitCrossRepoPrefix(filePathRaw, repoKeys)
+      const filePath = crossRepo ? crossRepo.path : filePathRaw
+      const entryRepo = crossRepo ? crossRepo.repo : currentRepo
       // 列定位兜底：取到纯操作词（表头未命中且列顺序异常）→ 跳过，避免把「修改」当路径
       if (/^(新增|修改|删除|重命名|new|modify|update|delete|create|rename)$/i.test(filePath)) continue
       if (isPlaceholder(filePath) || (filePath.startsWith('.sillyspec/') && !(keepSillyspecDocs && filePath.startsWith('.sillyspec/docs/')))) continue
@@ -252,29 +295,37 @@ function _parseFileListDetailed(designMdPath, { keepSillyspecDocs = false } = {}
       // 校验器）。拆分符：+ / ／ / | / 、 / ; / ；——每个 token 独立过校验入表；单路径零变化。
       const pathTokens = splitCombinedPaths(filePath)
       if (listMode === 'exclude') { for (const t of pathTokens) entries.delete(t); continue }
-      for (const t of pathTokens) entries.set(t, { path: t, operation, incidental })
+      for (const t of pathTokens) entries.set(t, { path: t, operation, incidental, repo: entryRepo })
       continue
     }
 
     // 分类列表项：`- path` / `- \`path\``
     const listItem = line.match(/^\s*-\s+(.+)/)
     if (listItem) {
-      // 坑 brainstorm-gate-agent-unavailable-and-list-path-parse 坑2：列表项「路径：描述」
-      // 整行当路径 existsSync 假阴性（文件存在却报幻觉路径）——剥首个中/英冒号及之后描述。
-      // 仅列表分支剥、且冒号前段须 looksLikePath：normalizePath 全局剥会毁 Windows 绝对路径
-      // （C:\...），列表项是仓根相对路径无盘符，安全。
+      // 跨仓显式前缀（改进点 2，同表格分支口径）须先于「路径：描述」剥离判——
+      // `cross-repo:<key>:<path>` 的首个冒号在 key 段内，先剥描述会把整条砍成 `cross-repo`。
+      const preCross = splitCrossRepoPrefix(normalizePath(listItem[1]), repoKeys)
       let rawItem = listItem[1]
-      const colonIdx = rawItem.search(/[：:]/)
-      if (colonIdx > 0) {
-        const head = rawItem.slice(0, colonIdx).trim()
-        if (looksLikePath(head)) rawItem = head
+      if (!preCross) {
+        // 坑 brainstorm-gate-agent-unavailable-and-list-path-parse 坑2：列表项「路径：描述」
+        // 整行当路径 existsSync 假阴性（文件存在却报幻觉路径）——剥首个中/英冒号及之后描述。
+        // 仅列表分支剥、且冒号前段须 looksLikePath：normalizePath 全局剥会毁 Windows 绝对路径
+        // （C:\...），列表项是仓根相对路径无盘符，安全。
+        const colonIdx = rawItem.search(/[：:]/)
+        if (colonIdx > 0) {
+          const head = rawItem.slice(0, colonIdx).trim()
+          if (looksLikePath(head)) rawItem = head
+        }
       }
-      const filePath = normalizePath(rawItem)
+      const itemNorm = normalizePath(rawItem)
+      const itemCross = preCross || splitCrossRepoPrefix(itemNorm, repoKeys)
+      const filePath = itemCross ? itemCross.path : itemNorm
+      const itemRepo = itemCross ? itemCross.repo : currentRepo
       if (isPlaceholder(filePath) || (filePath.startsWith('.sillyspec/') && !(keepSillyspecDocs && filePath.startsWith('.sillyspec/docs/')))) continue
       if (!looksLikePath(filePath)) continue // 脏描述兜底
       const incidental = INCIDENTAL_RE.test(listItem[1])
       if (listMode === 'exclude') { entries.delete(filePath); continue }
-      entries.set(filePath, { path: filePath, operation: currentOp, incidental })
+      entries.set(filePath, { path: filePath, operation: currentOp, incidental, repo: itemRepo })
     }
   }
 
@@ -285,8 +336,8 @@ function _parseFileListDetailed(designMdPath, { keepSillyspecDocs = false } = {}
  * 从 design.md 解析文件变更清单（路径集合，向后兼容）。
  * @param {string} designMdPath - design.md 文件路径
  * @param {string} designMdPath - design.md 文件路径
- * @param {{ keepSillyspecDocs?: boolean }} [opts] - keepSillyspecDocs=true 时保留 `.sillyspec/docs/`（dogfood 模块文档=交付物，apply gate 需识别；默认 false 跳过全部 .sillyspec/ 保持 fileCount 判档不变）
- * @returns {Set<string>} 文件路径集合（相对路径，如 "src/worktree.js"）
+ * @param {{ keepSillyspecDocs?: boolean, repoKeys?: string[]|null }} [opts] - keepSillyspecDocs=true 时保留 `.sillyspec/docs/`（dogfood 模块文档=交付物，apply gate 需识别；默认 false 跳过全部 .sillyspec/ 保持 fileCount 判档不变）；repoKeys=注册仓 key 清单（local.yaml repos 段）时识别跨仓子段 / `cross-repo:` 前缀
+ * @returns {Set<string>} 文件路径集合（相对路径，如 "src/worktree.js"；跨仓前缀已剥）
  */
 export function parseFileChangeList(designMdPath, opts) {
   return new Set(_parseFileListDetailed(designMdPath, opts).map(e => e.path))
@@ -296,9 +347,11 @@ export function parseFileChangeList(designMdPath, opts) {
  * 从 design.md 解析文件变更清单（含 operation + incidental 标记）。
  * operation 供 verify 删除探针对账（声明「新增/修改」却整文件删除 = 高风险）；
  * incidental 供 assess allowed_paths 豁免。
+ * repo（跨仓标注，scope-audit-cross-repo-blindness 改进点 2）：命中注册跨仓子段标题或
+ * `cross-repo:<key>:` 前缀的条目标 repoKey，否则 null（= 主仓）。
  * @param {string} designMdPath - design.md 文件路径
- * @param {{ keepSillyspecDocs?: boolean }} [opts] - 同 parseFileChangeList
- * @returns {Array<{ path: string, operation: string|null, incidental: boolean }>}
+ * @param {{ keepSillyspecDocs?: boolean, repoKeys?: string[]|null }} [opts] - 同 parseFileChangeList
+ * @returns {Array<{ path: string, operation: string|null, incidental: boolean, repo: string|null }>}
  */
 export function parseFileChangeListDetailed(designMdPath, opts) {
   return _parseFileListDetailed(designMdPath, opts)

package/src/change-risk-profile.js

@@ -51,6 +51,26 @@ const INTEGRATION_FILE_PATTERNS = [
   /startup/i,
 ]
 
+// ============ quick 出口门禁：路径模式风险表（2026-09-14-quick-exit-tiered-gates task-01） ============
+//
+// quick 侧「风险特征命中」的单一数据源（design D-004@v2：v1 仅路径模式——不做 diff 关键词
+// 扫描、不加 git 子进程，R-04 零子进程承诺；diff 维度待真实需求另立变更）。与上方 verify 侧
+// INTEGRATION_FILE_PATTERNS 语义不同（那张表收跨进程/集成域、供 detectChangeRisk 判级），本表
+// 收 quick 实证踩坑域（R-03 从窄收录：auth/permission/billing/migration/锁/调度），供
+// quick-gate-profile.js 的 computeGateProfile 经 opts.riskTable 默认引用——命中即画像 L2 +
+// checks.runtimeEvidence='required'。detectChangeRisk 判级逻辑不消费本表（verify 侧行为零变化）。
+//
+// 匹配口径：POSIX 路径、大小写不敏感、段边界锚定——前界 (^|[/_-]) + 后界 (?=[/._-]|$)，
+// 防 author/booking/lockfile 类子串假阳（R-03）；pattern 为稳定域标识（riskHits 审计输出用）。
+export const QUICK_RISK_PATH_PATTERNS = [
+  { pattern: 'auth', re: /(?:^|[/_-])(?:oauth2?|auth(?:orization|entication|enticator)?)(?=[/._-]|$)/i },
+  { pattern: 'permission', re: /(?:^|[/_-])permissions?(?=[/._-]|$)/i },
+  { pattern: 'billing', re: /(?:^|[/_-])billing(?=[/._-]|$)/i },
+  { pattern: 'migration', re: /(?:^|[/_-])(?:migrations?|migrate)(?=[/._-]|$)/i },
+  { pattern: 'lock', re: /(?:^|[/_-])(?:locks?|mutex(?:es)?)(?=[/._-]|$)/i },
+  { pattern: 'scheduling', re: /(?:^|[/_-])(?:schedul(?:er|ing)|cron|jobs?)(?=[/._-]|$)/i },
+]
+
 /**
  * task 级「端到端/deployment-critical」文本判定（execute 批量完成 autoCheckPlanFromReviews 用）。
  *

package/src/config-schema.js

@@ -128,6 +128,14 @@ export const LOCAL_YAML_SCHEMA = {
         { path: 'known_failures', type: 'array', optional: true, status: 'live', readers: ['extractKnownFailures (src/verify-postcheck.js)'], desc: '失败行模式列表（匹配测试输出失败行）。', example: 'tests/some-old-test' },
       ],
     },
+    {
+      id: 'verify_precedents',
+      title: '等效验证先例库',
+      note: '标准测试/构建命令在本仓不可用（框架硬编码 skip、依赖外部基础设施等）时，登记已验证的等效验证口径，verify prompt 自动注入提示复用（2026-09-15 EHS 实证：mvn test 被框架 parent pom 硬编码 surefire skip，等效口径第二次靠 agent 翻旧 verify-result 正文续命——先例只活在散文里换 agent 即断档）。',
+      keys: [
+        { path: 'verify_precedents', type: 'array', optional: true, status: 'live', readers: ['parseVerifyPrecedents (src/run/prompt.js)'], desc: '等效验证先例对象数组（id/standard_command/reason/equivalent/established_by/notes）。verify 阶段 prompt 与 test_strategy 预检提示同挂点注入；行动指引=把等效命令配进 commands.test 照常全量实测对账，而非只靠 test_strategy: skip 放行。', example: '- id: mvn-test-surefire-skip\n  standard_command: mvn test\n  reason: parent pom 硬编码 surefire skip=true\n  equivalent: dependency:build-classpath + javac + JUnitCore 直跑\n  established_by: 2026-08-26-building-area-ledger' },
+      ],
+    },
     {
       id: 'worktree-hook',
       title: 'worktree-guard 扩展',
@@ -136,6 +144,14 @@ export const LOCAL_YAML_SCHEMA = {
         { path: 'worktree-hook.readonlyCommands', type: 'array', optional: true, status: 'live', readers: ['loadLocalConfig (src/hooks/worktree-guard.js)'], desc: '额外放行的只读命令名列表（如 rg/fd），绕过 worktree-guard 写操作拦截。', example: 'rg' },
       ],
     },
+    {
+      id: 'worktree',
+      title: 'worktree 生成物供给',
+      note: 'gitignore 生成物（如构建期产出的 src/build-id.ts）不在 git 树也不进 untracked overlay（ls-files --others --exclude-standard 尊重 .gitignore），worktree 缺失致构建炸 Failed to load url——create 期按本清单从主仓复制供给（2026-09-15-worktree-dual-truth-gates 坑③，D-003@v1）。块列表或 inline flow 数组均可解析。',
+      keys: [
+        { path: 'worktree.supplyFiles', type: 'array', optional: true, status: 'live', readers: ['readSupplyFilesConfig + _supplyGeneratedFiles (src/worktree.js — create step 5.9 供给步)'], desc: '随 worktree create 从主仓复制的生成物清单：精确路径或 glob（* 单层 / ** 多层），相对仓根。展开上限 200 文件超出截断警告；实供清单记 meta.supplyFiles；缺省 [] = 供给步空转零行为变化。', example: 'src/build-id.ts' },
+      ],
+    },
     {
       id: 'auto_mode',
       title: '变更规模自动分类',
@@ -181,6 +197,25 @@ export const LOCAL_YAML_SCHEMA = {
         { path: 'semantic_guard.enabled', type: 'boolean', optional: true, status: 'live', readers: ['readSemanticGuardEnabled (src/semantic-guard.js)'], desc: '语义守卫总开关，默认 true；设 false 时 quick 进场注入与 --done 断言 WARNING 全停零开销。', example: 'true' },
       ],
     },
+    {
+      id: 'quick-gate',
+      title: 'quick 出口门禁阈值',
+      note: 'quick --done 分级门禁（L0/L1/L2 advisory）的四个数值阈值覆写（2026-09-14-quick-exit-tiered-gates，D-009）。缺省=src/quick-gate-profile.js 的 THRESHOLDS 代码内校准值，仅确知调参时配置；键非法（非 ≥1 整数）回退默认并 warn。',
+      keys: [
+        { path: 'quick-gate.l1_span', type: 'integer', optional: true, status: 'live', readers: ['resolveGateThresholds (src/quick-gate-profile.js)'], desc: 'L1 模块跨度阈值：非文档文件命中 ≥N 个模块 → L1（缺省 2）。', example: '2' },
+        { path: 'quick-gate.l1_files', type: 'integer', optional: true, status: 'live', readers: ['resolveGateThresholds (src/quick-gate-profile.js)'], desc: 'L1 文件数阈值：变更文件 ≥N → L1（缺省 4）。', example: '4' },
+        { path: 'quick-gate.l2_span', type: 'integer', optional: true, status: 'live', readers: ['resolveGateThresholds (src/quick-gate-profile.js)'], desc: 'L2 模块跨度阈值：命中 ≥N 个模块 → L2（缺省 4）。', example: '4' },
+        { path: 'quick-gate.l2_files_degraded', type: 'integer', optional: true, status: 'live', readers: ['resolveGateThresholds (src/quick-gate-profile.js)'], desc: 'module-map 缺失降级档的 L2 文件数阈值：变更文件 ≥N → L2（缺省 8）。', example: '8' },
+      ],
+    },
+    {
+      id: 'change-ownership',
+      title: '变更所有权守卫',
+      note: '接管类操作（apply/cleanup/archive）对他人活跃 change 的所有权校验调参（2026-09-14-change-ownership-guards，D-001/D-005@v1）。缺省 15 分钟，仅确知调参时配置。',
+      keys: [
+        { path: 'change-ownership.heartbeat_minutes', type: 'integer', optional: true, status: 'live', readers: ['assertChangeOwnership (src/progress/change-registry.js — 本变更 task-02 接线消费)'], desc: '所有者活跃心跳窗口（分钟）：owner 非本会话且 last_active 距今在窗口内 → 拒绝接管类操作（--takeover 显式接管）；窗口外 → 放行并自动接管。缺省 15。', example: '15' },
+      ],
+    },
   ],
 };
 
@@ -324,12 +359,26 @@ semantic_guard:
 known_failures:
   - tests/some-old-stable-failure
 
+# ── 等效验证先例库（标准测试/构建命令在本仓不可用时的既有替代口径；verify prompt 自动注入）──
+verify_precedents:
+  - id: standard-test-command-blocked
+    standard_command: mvn test
+    reason: 框架 parent pom 硬编码 surefire skip=true，-D 覆盖无效
+    equivalent: mvn dependency:build-classpath + javac + JUnitCore 直跑
+    established_by: <确立该等效口径的变更名>
+
 # ── worktree-guard 只读命令扩展（execute worktree 隔离期内放行额外只读命令）──
 worktree-hook:
   readonlyCommands:
     - rg
     - fd
 
+# ── worktree 生成物供给（gitignore 生成物不随 git 树/untracked overlay 进 worktree，create 期从主仓复制）──
+# 精确路径或 glob（* 单层 / ** 多层），相对仓根；展开上限 200 文件超出截断警告；缺省不供给零行为变化。
+# worktree:
+#   supplyFiles:
+#     - src/build-id.ts
+
 # ── 变更规模自动分类（sillyspec run auto 时按需求描述强制 quick/full；正则数组，i 大小写无关）──
 auto_mode:
   force_full_patterns:
@@ -350,5 +399,18 @@ docs-check:
   #   - docs/sillyspec/architecture.md
   # cross_repo_roots:   # repo://<仓库名> 跨仓引用 → 本机仓库根（每台设备各自配，绝对路径勿提交）
   #   sillyspec: /c/Users/you/IdeaProjects/sillyspec
+
+# ── quick 出口门禁阈值（quick --done 分级门禁 L0/L1/L2 的 advisory 阈值覆写；缺省=代码内校准值）──
+# 仅确知调参时配置；键非法（非 ≥1 整数）回退默认并 warn。
+# quick-gate:
+#   l1_span: 2              # 跨 ≥2 模块 → L1
+#   l1_files: 4             # 或 ≥4 文件 → L1
+#   l2_span: 4              # 跨 ≥4 模块 → L2
+#   l2_files_degraded: 8    # module-map 缺失降级档：≥8 文件 → L2
+
+# ── 变更所有权守卫（接管类操作 apply/cleanup/archive 对他人活跃 change 校验；缺省 15 分钟）──
+# owner 非本会话且 last_active 在窗口内 → 拒绝（--takeover 显式接管）；窗口外 → 自动接管。
+# change-ownership:
+#   heartbeat_minutes: 15   # 所有者活跃心跳窗口（分钟）
 `;
 }

package/src/contract-matrix.js

@@ -9,9 +9,10 @@
  */
 
 import { existsSync, readFileSync, writeFileSync, mkdirSync, readdirSync } from 'fs'
-import { join, resolve, basename, dirname, relative } from 'path'
+import { join, resolve, basename, dirname, relative, isAbsolute } from 'path'
 import { gitQuiet } from './git-helper.js'
 import { splitOwnVsForeignDiffFiles } from './foreign-declared.js'
+import { parseFileChangeListDetailed } from './change-list.js'
 import {
   scanBackendEndpoints,
   scanFrontendApiCalls,
@@ -19,7 +20,7 @@ import {
   normalizePath,
   diffApiParity,
 } from './endpoint-extractor.js'
-import { parseTaskContracts } from './stages/plan-postcheck.js'
+import { parseTaskContracts, parseRepoRegistry, parseAllowedPaths } from './stages/plan-postcheck.js'
 
 // ─── 关键词检测 ─────────────────────────────────────────────────────────
 
@@ -382,7 +383,9 @@ export function _readWorktreeMeta(specBase, scanRoot, changeName) {
   for (const metaPath of candidates) {
     try {
       if (!existsSync(metaPath)) continue
-      const meta = JSON.parse(readFileSync(metaPath, 'utf8'))
+      // BOM 容错（worktree.js:283 同坑）：Windows 编辑器写入的 UTF-8 BOM 会让 JSON.parse
+      // 失败——双候选下会静默跳根，先剥 BOM 再解析
+      const meta = JSON.parse(String(readFileSync(metaPath, 'utf8')).replace(/^\uFEFF/, ''))
       const gitDir = (meta.worktreePath && meta.mode !== 'in-place-fallback' && existsSync(meta.worktreePath))
         ? meta.worktreePath : scanRoot
       return { meta, gitDir }
@@ -559,6 +562,74 @@ export function verifyApiParity(specBase, scanRoot, runtimeRoot, changeName = nu
     frontendCalls = scanFrontendApiCalls(frontendRoot)
   }
 
+  // ── 跨仓前端调用并集（坑 probe5-cross-repo-frontend-blind，2026-09-15 EHS 生产实证：三端
+  // 全栈变更的前端在兄弟仓（cross-repo: 前缀声明），主仓 change-diff 永远不含它们 → 报告
+  // 「0 frontend calls」假象、本变更端点全落 unused、契约对账只能靠人工逐条对齐 11 端点）。
+  // 声明源双取：task 卡 allowed_paths 的 cross-repo:<key>: 前缀 + design 清单跨仓条目
+  // （change-list repoKeys 解析，与探针 1 清单同源）；仓根经 local.yaml repos 注册表解析
+  // （resolveCrossRepoDeclarations 同款）。各仓根扫前端调用并按「该仓声明文件集」收窄后并入
+  // frontendCalls——「探针已知口径限制」注记从人肉兜底变机器对账。fail-soft：仓未注册/
+  // 不可达 → crossRepoNotes 一行注记不炸整体；无跨仓声明/无注册表零行为（存量单仓流不受影响）。
+  const crossRepoNotes = []
+  if (changeName && specBase) {
+    try {
+      const declaredByRepo = {}
+      const addDecl = (repo, p) => {
+        const n = String(p || '').trim().replace(/^\.\//, '').replace(/\\/g, '/')
+        if (repo && n) (declaredByRepo[repo] = declaredByRepo[repo] || new Set()).add(n)
+      }
+      // 源1：task 卡 allowed_paths 的 cross-repo:<key>: 前缀（与 _module-map.yaml 约定一致）——
+      // 不按注册表过滤：未注册 key 也要现身「未注册」注记（漏登记可见，而非静默消失）
+      const tasksDir = join(specBase, 'changes', changeName, 'tasks')
+      if (existsSync(tasksDir)) {
+        for (const f of readdirSync(tasksDir)) {
+          if (!/^task-\d+\.md$/.test(f)) continue
+          try {
+            for (const p of parseAllowedPaths(readFileSync(join(tasksDir, f), 'utf8'))) {
+              const m = String(p).match(/^cross-repo:([A-Za-z0-9_.\-]+):(.*)$/)
+              if (m) addDecl(m[1], m[2])
+            }
+          } catch { /* 单卡读取失败不拖垮 */ }
+        }
+      }
+      const registry = parseRepoRegistry(existsSync(join(specBase, 'local.yaml')) ? readFileSync(join(specBase, 'local.yaml'), 'utf8') : '')
+      // 源2：design.md 文件清单跨仓子段/前缀（change-list repoKeys 解析需注册表在——
+      // 注册表空时源2 不可判跨仓，跳过；源1 已保证未注册声明仍可见）。注意
+      // parseFileChangeListDetailed 吃文件路径非文本（内部 existsSync+readFileSync）。
+      if (registry.size > 0) {
+        const designPath = join(specBase, 'changes', changeName, 'design.md')
+        if (existsSync(designPath)) {
+          for (const e of parseFileChangeListDetailed(designPath, { repoKeys: [...registry.keys()] })) {
+            if (e.repo) addDecl(e.repo, e.path)
+          }
+        }
+      }
+      for (const [key, declared] of Object.entries(declaredByRepo)) {
+        const raw = registry.get(key)
+        if (!raw) {
+          crossRepoNotes.push(`repo「${key}」未在 local.yaml repos 注册——该仓前端调用未进对账（register-repo 登记后自动并入）`)
+          continue
+        }
+        const repoRoot = isAbsolute(raw) ? raw : resolve(scanRoot, raw)
+        if (!existsSync(repoRoot)) {
+          crossRepoNotes.push(`repo「${key}」注册路径不可达：${repoRoot}——该仓前端调用未进对账`)
+          continue
+        }
+        const calls = scanFrontendApiCalls(repoRoot).filter(c => {
+          // source 是绝对路径且 Windows 反斜杠形态——与主仓 change-diff 过滤同款手工归一
+          // （normalizePath 是 URL 路径归一器，不碰反斜杠，此处不能用）
+          const src = String(c.source || '').replace(/\\/g, '/')
+          return [...declared].some(dp => src === dp || src.endsWith('/' + dp) || dp.endsWith('/' + src))
+        })
+        if (calls.length > 0) frontendCalls.push(...calls)
+        crossRepoNotes.push(`repo「${key}」@ ${repoRoot}：${calls.length} 前端调用（跨仓声明 ${declared.size} 文件收窄）`)
+        frontendScope += ` + cross-repo:${key}(${calls.length})`
+      }
+    } catch (e) {
+      crossRepoNotes.push(`跨仓前端扫描失败（fail-soft 跳过）：${e && e.message ? e.message : e}`)
+    }
+  }
+
   // ── 挂载前缀收集（坑 endpoints-mount-prefix-gap，2026-08-31 用户实证）：endpoints 提取的是
   // 「router 自身前缀 + 装饰器路径」，不含挂载点前缀（main.py 的 include_router(prefix=)/app.use
   // 与 router 文件分离，静态扫描不做导入图关联）→ 前端全路径调用（/api/xxx）对不上欠前缀端点
@@ -575,6 +646,14 @@ export function verifyApiParity(specBase, scanRoot, runtimeRoot, changeName = nu
     const key = `${u.method} ${u.path}`
     return liveKeys.has(key) || liveEndpoints.length === 0
   })
+  // unused 分层（坑 probe5-unused-stock-noise，2026-09-15 EHS 生产实证：490 个 unused 全是
+  // urgent 等他模块存量端点——全仓 live 扫描 × 本变更对账的口径噪音刷屏）。本变更相关 =
+  // contract artifact 端点集内（本变更换的端点漏配才是真信号）；存量其余折叠计数。无
+  // artifact（非契约流）回退全列零回归。
+  const artifactKeys = new Set(allProviderEndpoints.map(e => `${e.method} ${e.path}`))
+  const hasArtifacts = allProviderEndpoints.length > 0
+  const unusedChangeRelevant = hasArtifacts ? narrowedUnused.filter(u => artifactKeys.has(`${u.method} ${u.path}`)) : narrowedUnused
+  const unusedStockCount = narrowedUnused.length - unusedChangeRelevant.length
 
   const ok = missingBackend.length === 0
   const liveRootSummary = liveByRoot.map(r => `${r.label} ${r.endpoints.length}`).join(' + ')
@@ -583,11 +662,11 @@ export function verifyApiParity(specBase, scanRoot, runtimeRoot, changeName = nu
     : `❌ API parity check failed: ${missingBackend.length} frontend calls have no matching backend endpoint [scope: ${frontendScope}]`
 
   if (narrowedUnused.length > 0) {
-    summary += ` | ${narrowedUnused.length} backend endpoints unused by frontend`
+    summary += ` | ${unusedChangeRelevant.length} backend endpoints unused by frontend${unusedStockCount > 0 ? ` (+${unusedStockCount} stock noise collapsed)` : ''}`
   }
   if (prefixAlignedCount > 0) {
     summary += ` | ${prefixAlignedCount} calls matched after mount-prefix alignment (artifact paths exclude include_router/app.use prefixes)`
   }
 
-  return { ok, missingBackend, unusedBackend: narrowedUnused, summary, backendCount: mergedProviderEndpoints.length, frontendCount: frontendCalls.length, prefixAlignedCount, scanRoots: liveByRoot.map(r => r.root) }
+  return { ok, missingBackend, unusedBackend: narrowedUnused, unusedChangeRelevant, unusedStockCount, crossRepoNotes, summary, backendCount: mergedProviderEndpoints.length, frontendCount: frontendCalls.length, prefixAlignedCount, scanRoots: liveByRoot.map(r => r.root) }
 }