sillyspec 3.28.9 → 3.28.11

package/src/stage-contract.js

@@ -17,6 +17,9 @@ import { evaluateRules } from './stage-contract-engine.js'
 import { getRule } from './stage-contract-spec.js'
 import { backfillFrontmatter } from './scan-postcheck.js'
 import { parseAllowedPaths } from './stages/plan-postcheck.js'
+// design.md 文件清单解析（2026-09-17-pass-cap-semantics task-02 事实③）：change-list 是纯 fs
+// 叶子模块（design-facts / scope-audit / verify-probes 等同款直连惯例），静态引入无环。
+import { parseFileChangeListDetailed } from './change-list.js'
 
 /**
  * 校验结果
@@ -403,8 +406,17 @@ function validatePlanOutputs(cwd, changeName, context = {}) {
     const sm = fm && fm[1].match(/^scale:[ \t]*['"]?(\w+)/m)
     if (sm) scale = sm[1]
   }
+  // plan.md frontmatter plan_level 传入引擎 ctx(ql-20260917-003)：plan.global-constraints warning
+  // 的 condition 用。读不到(无 frontmatter/旧格式)→ undefined → eq:'full' 不成立 → 规则跳过
+  // (存量零误报 fail-safe，同 scale 读取模式)。
+  let planLevel = null
+  if (existsSync(planFile)) {
+    const pfm = readFileSync(planFile, 'utf8').match(/^---[ \t]*\r?\n([\s\S]*?)\r?\n---[ \t]*\r?\n/)
+    const plm = pfm && pfm[1].match(/^plan_level:[ \t]*['"]?(\w+)/m)
+    if (plm) planLevel = plm[1]
+  }
   // plan.md 存在性由引擎消费 manifest。entryPoint/id-trace/decisions 为 custom kind(下方保留)。
-  const engineResult = evaluateRules('plan', { changeDir, scale })
+  const engineResult = evaluateRules('plan', { changeDir, scale, planLevel })
   const errors = [...engineResult.errors]
   const warnings = [...engineResult.warnings]
 
@@ -634,12 +646,23 @@ function validateVerifyOutputs(cwd, changeName, context = {}) {
           `若属关键词误伤（实际未触碰 daemon/session/启动入口/跨进程），可在 design.md frontmatter 加 risk_level: <真实等级>（如 unit-sufficient）显式覆盖后重跑。`
         )
       }
-      // 显式 risk_level 声明（design frontmatter，非关键词误判）下，PASS WITH NOTES 视为对残留项的
-      // 诚实声明，不强求全量集成证据——豁免本就来自 design 的明确判断。自动关键词判级维持严格：
-      // PASS WITH NOTES 仍要求证据齐全，防 agent 用 PASS WITH NOTES 绕证据门控。
-      const requiresEvidence = conclusion === 'PASS' || (conclusion === 'PASS WITH NOTES' && !changeRiskProfile.explicit)
-      if (conclusion === 'PASS WITH NOTES' && changeRiskProfile.explicit) {
-        warnings.push(`[${changeRiskProfile.level}] 结论 PASS WITH NOTES：design frontmatter 显式声明 risk_level=${changeRiskProfile.level}，残留项须为真实集成证据缺口，并在 verify-result.md 如实说明`)
+      // ── 显式 risk_level 豁免洞分层（D-002@v1，2026-09-17-pass-cap-semantics task-02）──
+      // ① explicit + 降级 unit-sufficient/contract-required：不进本 critical 块（上方 level 门），
+      //   PASS WITH NOTES 维持免证据——关键词误伤逃生保留；
+      // ② explicit 且仍 integration/deployment-critical + PASS WITH NOTES：必须携带结构化 handover
+      //   （facts.handover 有效行；blocking 级计入封顶口径同 validatePassEligibility 条件②）或齐全
+      //   集成证据，二选一——无 handover 即挂证据门（checkIntegrationEvidence 不过 → error）；
+      // ③ 非显式（关键词判级）判定式一字不动（防 PASS WITH NOTES 绕证据门控）。
+      const notesExplicitCritical = conclusion === 'PASS WITH NOTES' && changeRiskProfile.explicit
+      const handoverRows = notesExplicitCritical ? countFactsHandoverItems(changeDir) : 0
+      const requiresEvidence = conclusion === 'PASS'
+        || (conclusion === 'PASS WITH NOTES' && (!changeRiskProfile.explicit || handoverRows === 0))
+      if (notesExplicitCritical) {
+        if (handoverRows > 0) {
+          warnings.push(`[${changeRiskProfile.level}] 结论 PASS WITH NOTES：design frontmatter 显式声明 risk_level=${changeRiskProfile.level}，缺口由结构化移交项承载（facts.handover ${handoverRows} 行，「## 移交项（结构化）」）——blocking 级行在结论=PASS 时按封顶口径拦截（validatePassEligibility 条件②），请如实分行勿漏报。`)
+        } else {
+          warnings.push(`[${changeRiskProfile.level}] 结论 PASS WITH NOTES：显式声明 risk_level=${changeRiskProfile.level} 且「## 移交项（结构化）」零有效行——按齐全集成证据口径校验（二选一：补结构化移交项承载缺口，或提供齐全集成证据；两者皆缺将 error）。`)
+        }
       }
       if (requiresEvidence) {
         // CLI 回执注入（坑 verify-literal-evidence-mismatch，2026-08-22 实证：证据第一轮就齐
@@ -677,6 +700,11 @@ function validateVerifyOutputs(cwd, changeName, context = {}) {
           extraEvidenceText: receiptText,
           ...(runtimeEvidence ? { runtimeEvidence } : {}),
           ...(context.verifyStartAt ? { verifyStartAt: context.verifyStartAt } : {}),
+          // 回执来源声明透传（X-10 / D-006，2026-09-17-pass-cap-semantics task-02）：调用侧只透传
+          // context 携带的声明源（quality-scan 记录的命令 / verify_precedents 声明同思想），不在
+          // 本侧做任何分类——分类打标单点在 change-risk-profile（auditRuntimeReceipt 内按回执
+          // command 来源 classifyReceiptSourceTag）；未透传时按各回执 command 就地分类。
+          ...(context.receiptSourceTag ? { sourceTag: context.receiptSourceTag } : {}),
           cwd,
           specBase: context.specRoot || join(cwd, '.sillyspec'),
         })
@@ -820,6 +848,12 @@ export function extractAcceptanceMatrixSlots(verifyMd) {
  *   - 段缺失：严格档（isIrStrictVerifyChange / IR_STRICT_SINCE 同源常量，与结论槽
  *     「删槽回退已关闭」同口径）ERROR；非严格（存量变更）warning 提示补段不阻断
  *   - 段在场：unfilled / missingEvidence > 0 → ERROR 列出违规行（task+acceptance 截断 40 字）
+ *   - 段在场：partial/uncovered 行 >0 且 facts.handover 零有效行（任意 severity）→ ERROR
+ *     「部分实现必须有移交去向」（D-003/FR-04，task-03；矩阵 MD 槽解析即防篡改锚点 X-05——
+ *     不读 facts.matrixPartialRows producer 快照，锚定当前文档实态；factsExpected=false 存量
+ *     零行为变化，factsExpected=true 而 facts 缺失 → fail-closed 按零有效行处理）
+ *   - 同分支放行路径 advisory（R-05 第一版）：handover 有效行在场时逐行核对行标识（task 锚 /
+ *     acceptance 文本）↔ 条目 item/condition 文本命中，未命中 → console.warn 攒实证，不阻断
  */
 function validateAcceptanceMatrix(cwd, changeName, context = {}) {
   const { specRoot } = context
@@ -867,9 +901,279 @@ function validateAcceptanceMatrix(cwd, changeName, context = {}) {
       `修复：在证据列补测试锚点（如 \`test/foo.test.mjs\` 或 \`src/x.js:42\`）或 non-testable 理由。`
     )
   }
+
+  // ── partial/uncovered × facts.handover 联动（D-003/FR-04，2026-09-17-pass-cap-semantics task-03）──
+  // 部分实现必须有移交去向：矩阵含 partial/uncovered 行且 facts.handover 零有效行（任意
+  // severity）→ error；有行 → 本分支放行，blocking 级是否封顶归 validatePassEligibility 条件②
+  // （④管「有去向」、②管「去向是否 blocking」）。handover 数据只读 facts.handover（task-01
+  // producer 四列产出；不在此重复解析 MD 移交项表——防篡改锚点由上方矩阵 MD 槽解析承担，X-05）。
+  // factsExpected 口径复用 task-02 判定式：false（存量未跑管线）→ 分支空转零行为变化；
+  // true 而 facts 缺失 → 按零有效行 fail-closed，文案附「重跑 verify-probes」出路。
+  // 放行路径上做逐行关联 advisory（R-05 第一版：验收项 ID ↔ handover 条目文本命中，只攒实证
+  // 不做硬门）：行标识（task / acceptance 文本）未命中任何条目 → console.warn 提示，不阻断不进 errors。
+  const partialRows = matrix.rows.filter(r => r.verdict === 'partial' || r.verdict === 'uncovered')
+  if (partialRows.length > 0 && resolveFactsExpected(changeDir)) {
+    const facts = readFactsForEligibility(changeDir)
+    const factsMissing = facts === null
+    // 有效行口径同 countFactsHandoverItems（task-02）：只计对象行；此处需逐条取文本故就地展开
+    const handoverItems = facts && facts.handover && Array.isArray(facts.handover.items)
+      ? facts.handover.items.filter(it => it && typeof it === 'object') : []
+    if (handoverItems.length === 0) {
+      const list = partialRows.map(rowLabel).join('；')
+      errors.push(
+        `探针 7 验收×测试覆盖矩阵含 ${partialRows.length} 行 partial/uncovered 且「## 移交项（结构化）」零有效行（facts.handover）——部分实现必须有移交去向：${list}。` +
+        `修复：在 verify-result.md 补「## 移交项（结构化）」有效行（任意 severity 均可，blocking 级另受 PASS 封顶约束），或修正矩阵判定（实际已覆盖的行改 covered），或降级结论为 PASS WITH NOTES 承载。` +
+        (factsMissing
+          ? `另：verify-facts.json 缺失/不可读而 factsExpected=true，fail-closed 按零有效行处理——重跑 verify-probes（\`sillyspec verify-probes --change ${changeName} --init\` 幂等刷新底稿）。`
+          : '')
+      )
+    } else {
+      // 逐行关联 advisory（R-05 第一版，D-003）：行标识（task 锚 / acceptance 文本）命中任一
+      // handover 条目的 item/condition 文本即视为有去向；未命中 → console.warn 攒实证（文本
+      // 命中是弱关联，误报/漏报均可能——先 advisory 攒数据，硬门等实证后再议），不阻断。
+      const itemTexts = handoverItems.map(it => `${it.item || ''}｜${it.condition || ''}`)
+      for (const r of partialRows) {
+        const keys = [r.task, r.acceptance].map(k => String(k || '').trim()).filter(Boolean)
+        const hit = keys.some(k => itemTexts.some(t => t.includes(k)))
+        if (!hit) {
+          console.warn(`ℹ️ [advisory] 验收项 ${rowLabel(r)} 的移交去向未在 handover 条目中命中——建议条目文本含该标识（advisory，攒实证，D-003/R-05；不阻断）`)
+        }
+      }
+    }
+  }
   return { ok: errors.length === 0, errors, warnings }
 }
 
+// ============ PASS 封顶事实面 validator（2026-09-17-pass-cap-semantics task-02 / D-001@v2 / D-010 / D-011） ============
+//
+// 「要不要集成证据」（validateVerifyOutputs 的 requiresEvidence）与「能不能写 PASS」（本
+// validator）解耦：结论=PASS 时四个已知未验证区任一在场即 error——
+//   ① 集成实测未跑（facts.integrationRan=not-ran，D-006 判定表）
+//   ② blocking 级移交项在场（facts.handover[].severity，D-005@v2——④管「有去向」、②管「去向是否 blocking」）
+//   ③ db 脚本未声明执行（verify 时点文件集 ∩ db/**/*.sql 对账 facts.dbScriptDeclarations，D-012）
+//   ④ 矩阵含 partial/uncovered 且移交项零有效行（facts.matrixPartialRows × facts.handover）
+//   附加：runtimeEndpointExcluded=true 且判级 integration/deployment-critical 且 handover 零行
+//   → 计入①事实面（D-004/FR-03，仅判级时计入）。
+//
+// 分层纪律（D-011）：事实生产走 facts 管线（verify-probes backfillFactsFromMdAndTests 首次
+// backfill 主路径无条件产出，X-08 时序——gates 收尾前置 backfill 先于 runValidators）；本壳只做
+// 取数组装，判定是 evaluatePassEligibility 纯函数（零 MD 解析、零 IO——MD 锚点防篡改兜底并入
+// checkProbeConsistency 抽查面属 task-03）。双源 fail-closed：factsExpected=true 而 facts 缺失
+// （篡改/管线故障）→ 全条件按触发拦下；factsExpected=false（存量未跑 --init）→ 兼容 ok 不误伤。
+
+/**
+ * 读 <changeDir>/verify-facts.json（缺失/不可解析/非对象 → null）——与 checkProbeConsistency
+ * 的 readVerifyFacts（verify-postcheck.js）同口径「有 facts」判别。不静态 import
+ * verify-postcheck/verify-probes（verify-probes 顶层 await 动态 import 回指本模块，静态依赖
+ * 会在其 TLA 上成环死锁；分层单向，全局硬约束 3），就地等价实现。
+ */
+function readFactsForEligibility(changeDir) {
+  const factsPath = join(changeDir, 'verify-facts.json')
+  if (!existsSync(factsPath)) return null
+  try {
+    const parsed = JSON.parse(readFileSync(factsPath, 'utf8'))
+    return parsed && typeof parsed === 'object' && !Array.isArray(parsed) ? parsed : null
+  } catch { return null }
+}
+
+/**
+ * factsExpected 判定（D-011 双源 fail-closed 的「应写」侧）：isIrStrictVerifyChange（严格档
+ * 变更删 facts.json 另由 checkProbeConsistency error 级 MD 锚点兜底拦，通道 gates probeBlocked）
+ * || verify-facts.json 在场（readVerifyFacts 同口径，含探针子节判别的「有 facts」面）。
+ * factsExpected=false（存量未跑管线）→ 封顶兼容 skip 不误伤。
+ * @param {string} changeDir 变更目录
+ * @returns {boolean}
+ */
+export function resolveFactsExpected(changeDir) {
+  return isIrStrictVerifyChange(changeDir) || readFactsForEligibility(changeDir) !== null
+}
+
+/** facts.handover 有效行数（producer parseHandoverRows 已滤占位/表头行；无 facts/handover → 0） */
+function countFactsHandoverItems(changeDir) {
+  const facts = readFactsForEligibility(changeDir)
+  const items = facts && facts.handover && Array.isArray(facts.handover.items) ? facts.handover.items : []
+  return items.filter(it => it && typeof it === 'object').length
+}
+
+/**
+ * PASS 资格事实面封顶纯函数（X-09 双层形态的判定层：零 MD 解析、零 IO，消费 task-01 契约字段）。
+ * @param {{
+ *   conclusion?: string|null,
+ *   facts?: object|null,
+ *   factsExpected?: boolean,
+ *   changeRiskProfile?: { level?: string }|null,
+ *   changeName?: string,
+ *   dbScriptCandidates?: string[],
+ * }} [args] dbScriptCandidates = 壳内取数的 verify 时点文件集（design 清单 ∪ worktree 变更）∩ db 目录任意层级 .sql
+ * @returns {{ ok: boolean, errors: string[], triggered: Array<{ fact: 'integration-not-run'|'blocking-handover-present'|'db-script-undeclared'|'matrix-partial-no-handover', detail: string }> }}
+ */
+export function evaluatePassEligibility(args) {
+  const errors = []
+  const triggered = []
+  const a = args || {}
+  // factsExpected=false（存量未跑管线）→ 沿用存量兼容口径 ok 不误伤（checkProbeConsistency 同款边界）
+  if (!a.factsExpected) return { ok: true, errors, triggered }
+  // 封顶只管 PASS：结论 ≠ PASS（FAIL / PASS WITH NOTES / 未识别未填）→ 直接 ok
+  if (a.conclusion !== 'PASS') return { ok: true, errors, triggered }
+
+  const factsMissing = !a.facts || typeof a.facts !== 'object'
+  const facts = factsMissing ? {} : a.facts
+  const handoverItems = (facts.handover && Array.isArray(facts.handover.items)) ? facts.handover.items : []
+  const blockingRows = handoverItems.filter(it => it && it.severity === 'blocking')
+  const criticalLevel = a.changeRiskProfile && ['integration-critical', 'deployment-critical'].includes(a.changeRiskProfile.level)
+  const NOTES_FIX = '改写结论为 PASS WITH NOTES 并在「## 移交项（结构化）」表格如实分行（类型枚举 env-blocked/manual-acceptance/db-script/other）'
+
+  // ── factsExpected=true 而 facts 缺失 → 双源 fail-closed：全条件按触发（D-011），附重跑 verify-probes 出路（R-07）──
+  if (factsMissing) {
+    errors.push(
+      `[pass-eligibility] verify-facts.json 缺失/不可读但 factsExpected=true（严格档或底稿曾在场后消失——疑似删除/管线故障），按双源 fail-closed 全条件触发拦下。` +
+      `出路：重跑 verify-probes（sillyspec verify-probes --change ${a.changeName || '<变更名>'} --init 幂等刷新底稿后重跑 --done 回填），或${NOTES_FIX}降级承载。`
+    )
+  }
+
+  // ① 集成实测未跑（时序口径 X-01：validator 时点只认已落盘 quality-scan 记录，被拦出路=重跑质量扫描步或降级 NOTES，不算失败）
+  if (factsMissing || facts.integrationRan === 'not-ran') {
+    triggered.push({ fact: 'integration-not-run', detail: factsMissing ? 'facts 缺失（fail-closed 按未跑处理）' : 'facts.integrationRan=not-ran' })
+    errors.push(
+      `[fact integration-not-run] 集成实测未跑（${factsMissing ? 'verify-facts.json 缺失，fail-closed 按未跑处理' : 'facts.integrationRan=not-ran'}）——结论=PASS 须集成实测已跑（D-006 判定表：quality-scan 实测记录（skip 除外）或跨层回执条目）。` +
+      `出路：重跑质量扫描步落实测记录，或提供跨层实测回执后重跑 verify-probes 刷新 facts；仍未跑则${NOTES_FIX}承载（不算失败）。`
+    )
+  }
+
+  // ② blocking 级移交项在场（blocking 移交项与结论 PASS 互斥）
+  if (factsMissing || blockingRows.length > 0) {
+    const list = blockingRows.map(it => `${it.type || '未知类型'}｜${String(it.item || '').slice(0, 60)}`).join('；')
+    triggered.push({ fact: 'blocking-handover-present', detail: factsMissing ? 'facts 缺失（fail-closed）' : `${blockingRows.length} 条 blocking 行：${list}` })
+    errors.push(
+      `[fact blocking-handover-present] ${factsMissing
+        ? '移交项 blocking 级行无法核对（verify-facts.json 缺失，fail-closed 按在场触发）'
+        : `移交项含 ${blockingRows.length} 条 blocking 级行——承认有必须兜底的未竟事项即不是 PASS（④管「有去向」、②管「去向是否 blocking」）`}。` +
+      `触发行：${factsMissing ? '（facts 缺失，无法核对——fail-closed）' : list}。修复：${NOTES_FIX}；确属 advisory 的按降级文法「（降级：<理由>，依据 <file:line 或 D-xxx>）」显式降级。`
+    )
+  }
+
+  // ③ db 脚本未声明执行（D-012：verify 时点按声明面/diff 对账，apply/archive 兜底门归 task-04；零连库）
+  const candidates = Array.isArray(a.dbScriptCandidates) ? a.dbScriptCandidates : []
+  const declared = factsMissing ? [] : (Array.isArray(facts.dbScriptDeclarations) ? facts.dbScriptDeclarations : [])
+  const undeclared = candidates.filter(f => !declared.includes(f))
+  if (undeclared.length > 0) {
+    triggered.push({ fact: 'db-script-undeclared', detail: `${undeclared.join('、')} 未进 facts.dbScriptDeclarations` })
+    errors.push(
+      `[fact db-script-undeclared] db 脚本在 verify 时点文件集（design 清单 ∪ worktree 变更）∩ db/**/*.sql 中但未声明执行：${undeclared.join('、')}。` +
+      `修复：已对目标库执行则在 verify-result.md 补声明（「已对目标库执行：db/<file>.sql」或回执槽 command 含该文件）后重跑 verify-probes 刷新 facts；未执行则${NOTES_FIX}承载（db-script 类恒 blocking）。`
+    )
+  }
+
+  // ④ 矩阵含 partial/uncovered 且移交项零有效行（任意 severity——部分实现必须有移交去向）
+  if (factsMissing || ((facts.matrixPartialRows || 0) > 0 && handoverItems.length === 0)) {
+    triggered.push({ fact: 'matrix-partial-no-handover', detail: factsMissing ? 'facts 缺失（fail-closed）' : `matrixPartialRows=${facts.matrixPartialRows} 且 handover 零有效行` })
+    errors.push(
+      `[fact matrix-partial-no-handover] 验收×测试覆盖矩阵含 ${factsMissing ? '（facts 缺失，无法核对——fail-closed）' : `${facts.matrixPartialRows} 行 partial/uncovered`} 且「## 移交项（结构化）」零有效行——部分实现必须有移交去向。修复：${NOTES_FIX}承载（任意 severity 均可，blocking 级另受条件②约束）。`
+    )
+  }
+
+  // ── 附加条件（D-004/FR-03，仅判级 integration/deployment-critical 时计入①事实面）：
+  // Runtime Evidence「服务端点」行自声明「不涉及」（facts.runtimeEndpointExcluded，X-18 文法）
+  // 且移交项零行——端点不得以「不涉及」免检，须真实回执或 handover 承载。
+  if (criticalLevel && (factsMissing || facts.runtimeEndpointExcluded === true) && handoverItems.length === 0) {
+    triggered.push({
+      fact: 'integration-not-run',
+      detail: factsMissing ? 'facts 缺失（fail-closed，runtimeEndpointExcluded 不可证伪）' : 'facts.runtimeEndpointExcluded=true 且 handover 零行',
+    })
+    errors.push(
+      `[fact integration-not-run] 判级 ${a.changeRiskProfile.level} 且 Runtime Evidence 服务端点行自声明「不涉及」（facts.runtimeEndpointExcluded=true）且无移交项承载——端点不得以「不涉及」免检（D-004）。` +
+      `出路：提供真实端点回执（跨层实测）后重跑 verify-probes，或${NOTES_FIX}承载。`
+    )
+  }
+
+  return { ok: errors.length === 0, errors, triggered }
+}
+
+/**
+ * 事实③文件集取数（D-012，纯声明面/diff 对账零连库）：design.md 文件清单
+ * （change-list.parseFileChangeListDetailed——design-facts.validateDesignFileList 同源解析器）
+ * ∪ worktree changed files（worktree meta baseHash..HEAD diff ∪ porcelain——checkExecuteCodeEvidence
+ * 同款取数形态，与 task-review resolveAttributionDiffFiles 内 resolveVerifyChangedFiles 同源口径；
+ * 本模块不静态 import verify-postcheck/verify-probes，TLA 动态环，就地等价实现）∩ db 目录任意层级 .sql。
+ * @param {{ cwd: string, changeName: string, specRoot?: string|null, changeDir: string }} opts
+ * @returns {string[]} 排序后的候选 db 脚本（posix 相对路径）
+ */
+function collectDbScriptCandidates({ cwd, changeName, specRoot, changeDir }) {
+  const files = new Set()
+  const add = (p) => {
+    const n = String(p || '').trim().replace(/^"|"$/g, '').replace(/\\/g, '/')
+    if (n && n !== '.sillyspec' && !n.startsWith('.sillyspec/')) files.add(n)
+  }
+  // design 清单半边（design.md 缺失/无清单段 → 空集，fail-soft，diff 半边仍覆盖）
+  try {
+    for (const entry of parseFileChangeListDetailed(join(changeDir, 'design.md'))) add(entry && entry.path)
+  } catch { /* 解析异常退 diff 半边 */ }
+  // worktree 变更半边：meta 双根候选（specBase 优先 + cwd/.sillyspec 兜底，_readWorktreeMeta 样板）
+  try {
+    const specBase = specRoot || join(cwd, '.sillyspec')
+    const metaCandidates = [
+      join(specBase, '.runtime', 'worktrees', changeName, 'meta.json'),
+      join(cwd, '.sillyspec', '.runtime', 'worktrees', changeName, 'meta.json'),
+    ]
+    let meta = null
+    for (const p of metaCandidates) {
+      if (existsSync(p)) {
+        try { meta = JSON.parse(readFileSync(p, 'utf8')) } catch { meta = null }
+        if (meta) break
+      }
+    }
+    if (meta && meta.baseHash) {
+      const gitDir = (meta.worktreePath && meta.mode !== 'in-place-fallback' && existsSync(meta.worktreePath))
+        ? meta.worktreePath
+        : cwd
+      const diff = gitTry(gitDir, ['diff', '--name-only', `${meta.baseHash}..HEAD`])
+      if (diff.ok) for (const f of diff.out.split('\n')) add(f)
+      const status = gitTry(gitDir, ['status', '--porcelain'])
+      if (status.ok) {
+        for (const line of status.out.split('\n')) {
+          if (!line.trim()) continue
+          add(line.slice(3).trim().split(' -> ').pop())
+        }
+      }
+    }
+  } catch { /* meta/git 取数失败退 design 清单半边（fail-soft） */ }
+  return [...files].filter(p => /^db\/.+\.sql$/i.test(p)).sort()
+}
+
+/**
+ * PASS 封顶 validator 注册壳（与 validateAcceptanceMatrix 同三参签名同构，D-010：注册进
+ * contracts.verify.validators 即覆盖 gates / machine-interface 等全部 runValidators 调用方，
+ * gates.js 零改动）。壳内取数组装：verify-result.md 结论（槽优先，legacy 回退）、
+ * verify-facts.json（缺失容 null）、detectChangeRisk 判级、事实③文件集；判定调
+ * evaluatePassEligibility 纯函数。
+ */
+export function validatePassEligibility(cwd, changeName, context = {}) {
+  const { specRoot } = context
+  const errors = []
+  const warnings = []
+  const changeDir = resolveChangeDir(cwd, changeName, specRoot)
+  // 变更目录缺失 → 引擎 manifest 存在性规则兜底（validateVerifyOutputs 同名 error），此处 no-op
+  if (!existsSync(changeDir)) return { ok: true, errors, warnings }
+  // verify-result.md 中间步骤未落盘 → no-op（同 validateAcceptanceMatrix：存在性归引擎末步规则）
+  const verifyResultPath = join(changeDir, 'verify-result.md')
+  if (!existsSync(verifyResultPath)) return { ok: true, errors, warnings }
+
+  const conclusion = resolveVerifyConclusion(readFileSync(verifyResultPath, 'utf8'))
+  const facts = readFactsForEligibility(changeDir)
+  const result = evaluatePassEligibility({
+    conclusion,
+    facts,
+    factsExpected: isIrStrictVerifyChange(changeDir) || facts !== null,
+    changeRiskProfile: detectChangeRisk({
+      designContent: readIfExists(join(changeDir, 'design.md')),
+      planContent: readIfExists(join(changeDir, 'plan.md')),
+    }),
+    changeName,
+    dbScriptCandidates: collectDbScriptCandidates({ cwd, changeName, specRoot, changeDir }),
+  })
+  return { ok: result.ok, errors: result.errors, warnings }
+}
+
 /**
  * 计算归档目标目录名：保持原变更名不变，直接移入 archive/。
  */
@@ -1064,7 +1368,9 @@ const contracts = {
     allowedTo: ['archive'],
     // validateAcceptanceMatrix：探针 7 矩阵槽 fail-closed（2026-09-14-acceptance-test-matrix FR-02），
     // 注册进 validator 链即覆盖 gates / machine-interface 等全部 runValidators 调用方（gates.js 零改动）。
-    validators: [validateVerifyOutputs, validateAcceptanceMatrix],
+    // validatePassEligibility：PASS 封顶事实面（2026-09-17-pass-cap-semantics task-02 / D-001@v2 /
+    // D-010）——注册即覆盖同上；回退 = 移除本注册行（纯加法，未触发四条件行为零变化）。
+    validators: [validateVerifyOutputs, validateAcceptanceMatrix, validatePassEligibility],
   },
   archive: {
     stage: 'archive',

package/src/stage-review-checklist.js

@@ -8,7 +8,7 @@
  *
  * 条目为纯文本，不含序号/checkbox/缩进等结构性前缀（渲染层负责前缀形态）：
  * - brainstorm：前 3 条 =「交叉审查模型」三层检查（prompt 内渲染为「N. 」序号行），
- *   后 6 条 =「交叉点抽取」（渲染为「- 」列表行）；
+ *   后 8 条 =「交叉点抽取」（渲染为「- 」列表行）；
  * - plan：渲染为「- [ ] 」checkbox 行（审查清单段）；
  * - execute：渲染为 2 空格缩进的「N. 」序号行（QA 段「以下三项始终必查」）。
  */
@@ -23,6 +23,8 @@ export const REVIEW_CHECKLISTS = {
     'tasks.md 的执行范围与 design.md 的非目标',
     'decisions.md 的 D-xxx@vN 与 design.md 当前说法',
     'scan/module docs 或源码中的真实约束与 design.md 假设',
+    '涉及角色/权限/字典类数据时，实证不能只看静态定义：须以生产查询口径可解析到目标结果——用真实租户/库下可执行的查询（如按 enname+tenant 查询）确认返回非空，仅 enname 存在不算通过',
+    '涉及新页面/前端路由时，用户入口 × 菜单/注册 DML 对账：入口路由与菜单表、角色-权限注册 DML 逐一对账——能点到的入口必有对应菜单与授权注册行，菜单/注册 SQL 必须出现在交付清单（design.md 文件变更清单或 db/ 脚本）',
   ],
   plan: [
     'task 编号与 Wave checkbox 格式正确，execute 依赖此格式解析任务',

package/src/stage-review.js

@@ -422,6 +422,111 @@ export function getLatestStageReviewRunId(runtimeRoot, stage, changeName) {
   }
 }
 
+/**
+ * 同阶段上一轮审查结论采集（ql-20260916-021，Superpowers scoped re-review 采纳①）。
+ *
+ * 复审派发 prompt 原本只有跨阶段 pass 结论注入（prompt.js {PRIOR_REVIEW_FACTS} 的前序阶段段），
+ * 同 stage 上一轮 FAIL 的 findings 与已实证 pass 面不回灌——独立复审子代理全量重读并重复报告
+ * 已修问题。本函数机械提取「该 stage 本变更最近一轮有效 review」的两份清单供回灌：
+ *   - openFindings：checklist result=fail/gap 的未决项（verdict=fail 但 checklist 无明细时以
+ *     reviewerNotes 合成一条，防 fail 轮零线索）；
+ *   - passItems：checklist result=pass 的已实证面（复审勿重复报告/重验，除非修复改动触及该面）。
+ *
+ * 采集规则：
+ *   - runId 字典序 = 时间序（generateStageReviewRunId 时间戳格式），取最新有效轮——含 marker
+ *     当前指向 run 的已写 review（同目录覆盖式复审路径下它就是最新轮，无需调用方区分）；
+ *   - 跨变更过滤：reviewedFiles[0] 不含 `changes/<changeName>/` 的轮不采（与
+ *     getLatestStageReviewRunId 的 cross-change 防护同口径）；
+ *   - 骨架轮跳过（register-stage-review 生成的双 cannot_verify 待审骨架）；
+ *   - 坏 JSON 轮跳过不抛（best-effort）；两者皆空（无未决也无 pass 面）→ null。
+ *
+ * @param {string} runtimeRoot - .runtime 绝对路径
+ * @param {string} stage - brainstorm|plan|execute
+ * @param {string} changeName - 变更名（跨变更过滤锚）
+ * @returns {{ priorRunId: string, verdicts: string, openFindings: string[], passItems: string[], notesPreview: string }|null}
+ */
+export function collectSameStagePriorReview(runtimeRoot, stage, changeName) {
+  if (!runtimeRoot || !stage || !changeName) return null
+  const dir = join(runtimeRoot, 'stage-reviews')
+  if (!existsSync(dir)) return null
+  let entries
+  try {
+    entries = readdirSync(dir, { withFileTypes: true })
+      .filter(e => e.isDirectory() && e.name.startsWith(`${stage}-review-`))
+      .map(e => e.name)
+  } catch { return null }
+  if (entries.length === 0) return null
+
+  const candidates = []
+  for (const name of entries) {
+    const rp = join(dir, name, 'review.json')
+    if (!existsSync(rp)) continue
+    try {
+      const review = JSON.parse(readFileSync(rp, 'utf8'))
+      const r0 = Array.isArray(review.reviewedFiles) ? String(review.reviewedFiles[0]) : ''
+      if (!r0.includes(`changes/${changeName}/`)) continue
+      // 骨架占位跳过（register-stage-review 待审骨架：双 cannot_verify + 骨架 notes 标记）
+      const isSkeleton = review.specVerdict === 'cannot_verify' && review.qualityVerdict === 'cannot_verify'
+        && String(review.reviewerNotes || '').includes('骨架由 register-stage-review')
+      if (isSkeleton) continue
+      candidates.push({ runId: name.slice(stage.length + 1), review })
+    } catch { continue }
+  }
+  if (candidates.length === 0) return null
+
+  candidates.sort((a, b) => a.runId.localeCompare(b.runId))
+  const latest = candidates[candidates.length - 1]
+  const openFindings = []
+  const passItems = []
+  for (const c of (Array.isArray(latest.review.checklist) ? latest.review.checklist : [])) {
+    if (!c || typeof c !== 'object' || !c.item) continue
+    const text = String(c.item).replace(/\s+/g, ' ').slice(0, 120)
+    if (c.result === 'fail' || c.result === 'gap') openFindings.push(`[${c.result}] ${text}`)
+    else if (c.result === 'pass') passItems.push(text)
+  }
+  // verdict=fail 但 checklist 无明细：fail 结论不丢线索——notes 合成一条（复审者据此核验）
+  if (openFindings.length === 0 && (latest.review.specVerdict === 'fail' || latest.review.qualityVerdict === 'fail')) {
+    const notes = String(latest.review.reviewerNotes || '').replace(/\s+/g, ' ').slice(0, 160)
+    openFindings.push(`[verdict-fail] verdict=fail 但 checklist 无明细——以 reviewerNotes 为准：${notes || '（无 notes）'}`)
+  }
+  if (openFindings.length === 0 && passItems.length === 0) return null
+  return {
+    priorRunId: latest.runId,
+    verdicts: `spec=${latest.review.specVerdict}, quality=${latest.review.qualityVerdict}`,
+    openFindings,
+    passItems,
+    notesPreview: String(latest.review.reviewerNotes || '').replace(/\s+/g, ' ').slice(0, 160),
+  }
+}
+
+/**
+ * renderPriorRoundFindingsMd——把 collectSameStagePriorReview 产物渲染为复审派发 prompt 的
+ * 回灌块（prompt.js 注入 {PRIOR_REVIEW_FACTS}，与前序阶段 pass 结论段同串拼接）。
+ *
+ * 语义双向：未决项**必须**逐项核验（已修给证据、未解决如实再次 fail——漏放行=假通过）；
+ * pass 面**勿重复报告/重验**（除非修复改动明确触及该面）——一堵一疏，复审以增量为主。
+ *
+ * @param {{ priorRunId: string, verdicts: string, openFindings: string[], passItems: string[] }|null} collected
+ * @param {number} [cap=15] 每段展示封顶（防 prompt 灌爆，对齐前序实证段的 15 条惯例）
+ * @returns {string} markdown 块；collected 空 → 空串
+ */
+export function renderPriorRoundFindingsMd(collected, cap = 15) {
+  if (!collected) return ''
+  const L = []
+  L.push(`**同阶段上一轮审查结论（run ${collected.priorRunId}，verdict ${collected.verdicts}）——本次为复审，以增量为主，不重演全量审查**：`)
+  if (collected.openFindings.length > 0) {
+    const shown = collected.openFindings.slice(0, cap)
+    L.push(`- **上一轮未决问题（逐项核验修复状态：已修给证据、未解决必须如实再次 fail——漏放行=假通过）**（${shown.length}/${collected.openFindings.length} 条）：`)
+    for (const f of shown) L.push(`  - ${f}`)
+  }
+  if (collected.passItems.length > 0) {
+    const shown = collected.passItems.slice(0, cap)
+    L.push(`- **上一轮已实证 pass 面（勿重复报告/重验——除非本次修复改动明确触及该面才定向复查）**（${shown.length}/${collected.passItems.length} 条）：`)
+    for (const p of shown) L.push(`  - ${p}`)
+  }
+  return `\n${L.join('\n')}\n`
+}
+
 /**
  * 降级自审检测（2026-09-10 用户反馈①：PI agent 等宿主环境无 Agent tool，tier=independent
  * 硬要求子代理时只能降级自审——stage prompts 降级条款约定 reviewerNotes **首行**记
@@ -437,6 +542,19 @@ export function isDegradedSelfReview(review) {
   return /^降级[：:]/.test(firstLine)
 }
 
+/**
+ * 代落盘披露识别（C4，坑 delegated-write-audit-blind，2026-09-15 wp EHS 会话实证：平台写通道
+ * 故障下主流程 4 次代子代理落盘 review.json/交付物——独立性全靠 agent 自觉 + notes 留痕，gate
+ * 无任何可见标记。审查派发 prompt 已要求代落盘时 reviewerNotes 首行记「代落盘：…」，本识别让
+ * gate 侧补 ⚠️ 审计行（与 isDegradedSelfReview 同哲学：可见的折损优于静默的伪装——首行约定
+ * 识别，不承诺全文语义判定）。
+ */
+export function hasDelegatedWriteDisclosure(review) {
+  const notes = review && typeof review.reviewerNotes === 'string' ? review.reviewerNotes : ''
+  const firstLine = notes.split(/\r?\n/, 1)[0].trim()
+  return /^代落盘[：:]/.test(firstLine)
+}
+
 /**
  * stage-level review 总校验（brainstorm/plan/execute-acceptance 的 done gate）
  *
@@ -572,10 +690,20 @@ export function validateStageReviewWithAutoRefresh(opts) {
   if (!docHash) return { result, autoRefreshed: false }
 
   const refreshedAt = new Date().toISOString().slice(0, 19).replace('T', ' ')
+  // C3 声明化（坑 dochash-autorefresh-silent-drift，2026-09-15 wp EHS 会话实证：审查通过后
+  // 主文档多次改版——NEW: 前缀批注、需求调整改名、Reverse Sync——gate 每次都静默机械重算放行，
+  // verdict 原样保留，「审查后的变更不再见审查」零痕迹可读。旧内容不可复原（只有 hash），改用
+  // 可实现且更贴风险的两个信号做声明：① hash 漂移（旧→新短前缀）② 刷新序数——同一 review 被
+  // 反复刷新 = 主文档在审查后反复变更，序数 ≥2 时 gate 侧升级提醒人工确认结论续用。
+  const priorNotes = String(result.review.reviewerNotes || '')
+  const refreshOrdinal = (priorNotes.match(/docHash auto-refreshed at /g) || []).length + 1
+  const oldHashShort = String(result.review.docHash || '').slice(0, 8)
+  const newHashShort = String(docHash).slice(0, 8)
+  const auditLine = `docHash auto-refreshed at ${refreshedAt}（第 ${refreshOrdinal} 次；hash ${oldHashShort}→${newHashShort}；gate 检测主文档改版，机械重算；verdict 保留，结论是否仍适用于新文档需人工确认${refreshOrdinal >= 2 ? '——已多次刷新：主文档在审查后反复变更，建议人工复核结论续用或重审' : ''}）`
   const refreshed = {
     ...result.review,
     docHash,
-    reviewerNotes: `${result.review.reviewerNotes || ''}\ndocHash auto-refreshed at ${refreshedAt}（gate 检测主文档改版，机械重算；verdict 保留，结论是否仍适用需人工确认）`.trim(),
+    reviewerNotes: `${priorNotes}\n${auditLine}`.trim(),
   }
   try {
     writeAtomicSync(reviewPath, JSON.stringify(refreshed, null, 2) + '\n')
@@ -583,7 +711,7 @@ export function validateStageReviewWithAutoRefresh(opts) {
     return { result, autoRefreshed: false } // 写失败回落原失败结果，不静默放行
   }
   const recheck = validateStageReview(opts)
-  return { result: recheck, autoRefreshed: recheck.ok, refreshedPath: reviewPath, previousErrors: result.errors }
+  return { result: recheck, autoRefreshed: recheck.ok, refreshedPath: reviewPath, previousErrors: result.errors, refreshOrdinal, hashDrift: `${oldHashShort}→${newHashShort}` }
 }
 
 /**
@@ -708,6 +836,13 @@ export function registerStageReview({ changeName, stage, fromFile, cwd, platform
     } catch (e) {
       throw new Error(`register-stage-review: 既有 review.json 解析失败 ${existingPath}: ${e.message}`)
     }
+    // 幂等跳过（2026-09-17 用户反馈⑥-②，ql-20260917-005）：docHash 已一致时 refresh 仍整文件
+    // 重写 + 追加审计行——会话内多次 refresh 每次都 bump mtime/改内容，agent 的 Read→Edit 窗口
+    // 被「file modified since read」打断（本会话两次实证）。hash 未变 = 无可刷新内容，直接
+    // no-op 返回（不写盘不 bump mtime）；行为差异只在「少一次无意义重写」。
+    if (existing.docHash === docHash && JSON.stringify(existing.reviewedFiles) === JSON.stringify(reviewedFiles)) {
+      return { ok: true, reviewRunId: existingRunId, reviewPath: existingPath, markerPath: stageReviewMarkerPath(runtimeRoot, stage, changeName), mode: 'noop-unchanged', mainDoc, review: existing }
+    }
     const refreshedAt = new Date().toISOString().slice(0, 19).replace('T', ' ')
     const review = {
       ...existing,

package/src/stages/archive.js

@@ -75,13 +75,17 @@ export const definition = {
 
 {SCOPE_AUDIT_TABLE}
 
-3. 确保任务清单（tasks.md）所有 task checkbox 都已勾选；对照下方完成度快照做归档前最后注视（未完成/存疑 → 停下勿确认）：
+3. 展示移交项清单（verify 阶段 facts.handover——CLI 机械注入如下，勿手改勿手算；blocking 置顶 + severity 标注，超封顶截断；确认前逐项核对 blocking 移交项已有处置安排（db-script 类须先在 verify-result.md 补执行声明——归档门会拦未声明/互斥态，env-blocked 确认复跑条件已登记，manual-acceptance 确认验收安排），advisory 项记录备查；无移交项时本区为空，注入异常时置换单行降级指引，全量见 changes/<变更名>/verify-facts.json）：
+
+{HANDOVER_SUMMARY}
+
+4. 确保任务清单（tasks.md）所有 task checkbox 都已勾选；对照下方完成度快照做归档前最后注视（未完成/存疑 → 停下勿确认）：
 {TASK_COMPLETION_REPORT}
-4. 若上一步机械决策提炼输出「⚠️ rejected 决策缺否决理由/复潮条件（needsWait）」：先按其指引处理——补录 decisions.md 缺失字段后重跑提炼命令（幂等），或经用户裁决跳过该条；处理结果写进本步 --output
-5. **git 暂存已由 CLI 自动完成**（归档完成时自动 add：\`.sillyspec/changes/archive/\`、本次同步的模块文档、\`.sillyspec/knowledge/decisions/\`——未提交，由用户通过统一提交工具处理）——你不需要也不应该手动 git add
-6. 让用户确认后，用 \`--confirm\` 完成本步骤：
+5. 若上一步机械决策提炼输出「⚠️ rejected 决策缺否决理由/复潮条件（needsWait）」：先按其指引处理——补录 decisions.md 缺失字段后重跑提炼命令（幂等），或经用户裁决跳过该条；处理结果写进本步 --output
+6. **git 暂存已由 CLI 自动完成**（归档完成时自动 add：\`.sillyspec/changes/archive/\`、本次同步的模块文档、\`.sillyspec/knowledge/decisions/\`——未提交，由用户通过统一提交工具处理）——你不需要也不应该手动 git add
+7. 让用户确认后，用 \`--confirm\` 完成本步骤：
    \`sillyspec run archive --done --confirm --output "确认归档"\`
-7. CLI 会创建 \`.sillyspec/changes/archive/\`，并将变更目录移动到 \`.sillyspec/changes/archive/<原变更名>/\`
+8. CLI 会创建 \`.sillyspec/changes/archive/\`，并将变更目录移动到 \`.sillyspec/changes/archive/<原变更名>/\`
 
 ### 输出
 归档完成 + archive 目录路径`,

package/src/stages/brainstorm.js

@@ -286,10 +286,11 @@ design.md 第一行标题必须用中文：# 设计文档（Design）— <变更
 
 | 操作 | 文件路径 | 说明 |
 |---|---|---|
-| 新增 | src/xxx/NewFile.java | ... |
+| 新增 | NEW:src/xxx/NewFile.java | ... |
 | 修改 | src/xxx/ExistingFile.java | 新增 xx 方法 |
 | 删除 | src/xxx/OldFile.java | 已被 xx 替代 |
 
+   **路径存在性核验（NEW: 前缀铁律，2026-09-17 用户反馈⑥-①前移）**：清单条目在「生成规范文件」步 \`--done\` 门禁会逐一核验仓内存在性——**计划新建的文件必须在路径前加 \`NEW:\` 前缀**（冒号后不加空格，\`NEW:src/foo.js\` 合法、\`NEW: src/foo.js\` 属书写错误）；未加前缀的新建路径会以 \`design_file_ref_invalid\`（幻觉路径/书写错误）在末步被拦，返工一轮。已有文件写仓根相对正斜杠路径，禁绝对路径/glob。
    **字段数据流标注**（避免新增字段到 execute 才发现没透传）：当清单含「新增/修改对外字段、接口、DTO、响应体、事件 payload、配置键」时，对应行「说明」列必须交代 producer→consumer 数据流——产出方（producer）→ 每跳流转/归一化点（序列化/反序列化/字段映射/默认值兜底）→ 消费方（consumer）。漏标 = 字段在某跳 dormant（声明了却没透传），到 execute/verify 才暴露，属设计层缺口。
    - 示例：「修改 daemon.ts：新增 budget_tokens，producer=backend/api-types.ts → ws_hub envelope 透传 → daemon.ts normalizeUsage（snake→camel）→ consumer=runtime/lease.ts 写 lease」
    - 仅改内部实现、无对外字段变动时，说明列照常写「新增 xx 方法」即可，无需数据流。
@@ -385,8 +386,12 @@ tier: {REVIEW_TIER}（{REVIEW_TIER_REASON}）
 - tier=self：当前 agent 直接执行下方交叉审查（小变更）
 - tier=independent：必须用 Agent tool 启动一个独立的设计审查子代理（独立上下文，不共享你的分析与倾向），子代理按下方"交叉审查模型"审查 design.md 并输出 review.json。review.json 产物契约（CLI Stage Review Gate 将硬校验，schema + 完整示例 + docHash 算法如下，照抄改值）:
   宿主环境无 Agent tool 可用（调用报 Unknown agent / Available agents: none）→ 不卡死：主代理切换为审查者角色自审替代，reviewerNotes 首行记录「降级：环境无子代理可用」，逐条结论附源码锚点（file:line 或 grep/read 证据）补偿独立性。
+{PRIOR_REVIEW_FACTS}
 {REVIEW_JSON_CONTRACT}
   子代理只产出 review + Unresolved Blockers，**是否调用 sillyspec run brainstorm --wait 仍由你（主 agent）根据其 verdict 决定**（子代理不直接操作 CLI 状态机）。
+  **子代理执行纪律（坑 review-subagent-stall，2026-09-15 wp EHS 会话实证：独立审查 94 分钟无收敛被用户三催、写通道故障空转 35 分钟）**：
+  - 时间盒收敛：审查子代理的调研是收敛动作不是发散——必读材料读完即逐条出结论并落盘 review.json；仅个别结论存疑时定向补证，禁止循环扩大核验面（连续读文件 10+ 次仍零结论 = 立即停止扩展、基于已读材料收敛）。
+  - 写通道降级：子代理写操作持续被平台拒绝（session not in running turn 类故障）→ 重试 ≤3 次即停，把完整审查结论（含 review.json 全文）作为最终文本回传主代理，由主代理代为落盘并在 reviewerNotes 首行留痕「代落盘：子代理写通道故障」；禁止长时间空转重试。
 
 ### 默认行为
 1. 默认必须执行一次交叉审查；不要让用户凭主观判断决定"要不要 Grill"。
@@ -413,6 +418,7 @@ ${REVIEW_CHECKLISTS.brainstorm.slice(0, 3).map((item, index) => (index + 1) + '.
 ### 交叉点抽取
 重点找这些交叉点：
 ${REVIEW_CHECKLISTS.brainstorm.slice(3).map((item) => '- ' + item).join('\n')}
+后两条为命中条件注入项：变更涉及角色/权限/字典类数据或新页面/前端路由时必查。
 
 ### 问答处理
 1. 先自动交叉审查，不要一上来问用户。