sillyspec 3.33.0 → 3.33.2

package/.claude/skills/sillyspec-flow/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: sillyspec:flow
-description: 轻量变更（默认快道）——需求明确的小/中改动两步收口。适合用户说"直接改、快速修、顺手调整、改个文案、修个小 bug、更新一个文件、需求很明确、开干吧、把这个改了"。2 次协议调用：flow start → 直接干活（改代码写测试）→ flow done（实测门+测试绑定+patch 留档）。
+description: 轻量变更（默认快道）——需求明确的小/中改动。适合用户说"直接改、快速修、顺手调整、改个文案、修个小 bug、更新一个文件、需求很明确、开干吧、把这个改了"。协议链：flow start → 补 spec 面（FR 绑定+design 四节）→ 批准（flow approve / 用户显式 --autopilot）→ 干活（改代码写测试）→ flow done（实测门+测试绑定+patch 留档）。顺序纪律：先答 spec 面、批准后才动码（读代码探究不算动码）。
 ---
 
 ## 何时使用
@@ -11,12 +11,14 @@ description: 轻量变更（默认快道）——需求明确的小/中改动两
 - 需求不清晰 → CLI 会在 flow start 处拦下给两选一（头脑风暴预段 / 确认输入已含决策）；或直接先走 `/sillyspec:brainstorm`，完成后 `flow start` 收编续跑（design 以头脑风暴版为准）
 - 大改动（跨模块取舍 / 需要 Wave 计划编排 / 设计期人机对抗）→ 不走本 skill，走完整五阶段流程
 
-## 两步协议
+## 协议链与顺序纪律
+
+顺序正典：flow start 后**先答 spec 面 → 断点① 批准 → 才动码**（读代码探究不算动码）。批准是动码前置义务，不是收口补救动作。
 
 ### ① flow start（立项 + 锁基线）
 
 ```bash
-sillyspec flow start --change <变更名> --input "<一句中文概括（首行即变更标题）；随后动机与背景
+sillyspec flow start --change <变更名> --input "<一句 10-30 字中文概括（首行即变更标题，硬区间 10-30 必须、建议 ~20 字）；随后动机与背景
 
 成功标准：
 - <可验证标准>"
@@ -35,16 +37,22 @@ sillyspec flow start --change <变更名> --input "<一句中文概括（首行
 - 新增单测覆盖窗口翻转边界，npm test 全绿
 ```
 
-### ② 直接干活
-
-改代码、写测试。治理工件（proposal/requirements/design）CLI 机器起草，你只需要：
+### ② 补 spec 面（动码前）
 
-- 填 design.md 四节 AGENT 槽（做法概述/接口契约/边界并发四问/风险与死路）——每节至少一行，写「不适用：<理由>」也算答，空槽 flow done 拒收
+- requirements：每条 FR 行为句（带强度词 必须/禁止/SHOULD）+ 测试绑定行（无测试面写「不适用：理由」）
+- design.md 四节 AGENT 槽作答（做法概述/接口契约/边界并发四问/风险与死路）——**动码前完成**，每节至少一行，写「不适用：<理由>」也算答，空节 flow done 拒收；列改动文件用独立「## 文件变更清单」节
 - 变更目录若已有收割生成的 decisions.md（frontmatter `author: flow-machine-draft`），它是底稿不是终稿：槽4 作答含「放弃方案」的，收口前把每个放弃方案拆成独立 rejected 条目（问题=决策专属问句、否决理由=放弃理由、复潮条件=重提前提），风险与对策留在主条目——rejected 条目才走蒸馏防复潮通道，埋在散文里的否决理由进不了通道；无实质放弃方案则不动
-- 干活以 tasks.md 为进度源：做一件 → 勾一格（`- [ ]` → `- [x]`）→ 继续下一条，勿攒一把勾（勾选是收口哨兵的证据面——逐 task 核提交 token/review.json）；`flow status --change <名>` 为自愿查看/恢复面（②阶段给下一任务指针与进度，非协议必需——D-007）
-- 交付代码用显式 pathspec 提交（`git commit -m "..." -- 文件1 文件2`；patch 冻结面=baseline..HEAD 提交面，未提交的代码不进审计件）
+- tasks.md 改写为真实工作分解（机器种子按实现路径改写，保持 `- [ ] task-NN:` 行形态）
+
+### ③ 断点①：批准后才动码
+
+把 FR 条目+design 四节摘要给用户看 → 用户运行 `sillyspec flow approve --change <名>`（agent 代跑如实声明通道 `--user-confirmed` / `--self-approved`，无 flag 按 unattested 留痕）；用户明确说「直接跑完/不用问我」→ 重跑 `flow start --autopilot` 声明豁免（用户显式授权，非 agent 自选补救）。未批准且未声明 --autopilot 时 flow done 拒收。
+
+### ④ 干活（已批准）
+
+写测试、改代码（按层适用——纯逻辑先写测试、行为契约断言用户可见行为、视觉样式与纯配置不写测试）。以 tasks.md 为进度源：做一件 → 勾一格（`- [ ]` → `- [x]`）→ 继续下一条，勿攒一把勾（勾选是收口哨兵的证据面——逐 task 核提交 token/review.json）；`flow status --change <名>` 为自愿查看/恢复面（②阶段给下一任务指针与进度，非协议必需——D-007）；交付代码用显式 pathspec 提交（`git commit -m "..." -- 文件1 文件2`；patch 冻结面=baseline..HEAD 提交面，未提交的代码不进审计件）
 
-### ③ flow done（收口）
+### ⑤ flow done（收口）
 
 ```bash
 sillyspec flow done --change <变更名>

package/.github/workflows/ci.yml

@@ -20,7 +20,8 @@ jobs:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
         with:
-          node-version: '22'
+          node-version: '24'
+        # mock.module 内置模块 named exports 枚举在 node 22 不全（appendFileSync 等缺失实证 38859877373）——统一 24 与本地开发环一致
       - name: lint（check-syntax 全文件）
         run: npm run lint --silent
 
@@ -32,12 +33,18 @@ jobs:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
         with:
-          node-version: '22'
+          node-version: '24'
+        # mock.module 内置模块 named exports 枚举在 node 22 不全（appendFileSync 等缺失实证 38859877373）——统一 24 与本地开发环一致
       # 依赖必须装：测试框架零三方（node:sqlite/test 内置）但被测 CLI 本体 import 7 个
       # 运行时依赖（js-yaml/chalk/@inquirer/prompts 等，src 下 10+ 文件）——CI 首跑
       # （121a33ee）无 install 步实证两 job 全灭（Cannot find package 'js-yaml'）
       - name: install（npm ci 锁定 package-lock）
         run: npm ci --no-audit --no-fund
+      - name: 诊断：node/dash 可用性（run-tests 子进程 shell 语义面）
+        run: |
+          which node
+          node -e "0" && echo "sh 直跑 node -e OK"
+          /bin/sh -c 'node -e "0"' && echo "sh -c 内嵌引号 OK"
       - name: test（run-tests 并发池 + TEMP/HOME 套件隔离）
         run: npm test --silent
 
@@ -48,7 +55,8 @@ jobs:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
         with:
-          node-version: '22'
+          node-version: '24'
+        # mock.module 内置模块 named exports 枚举在 node 22 不全（appendFileSync 等缺失实证 38859877373）——统一 24 与本地开发环一致
       # docs-check.js 同样 import js-yaml——无 install 首跑 7s 即灭（同 test job 根因）
       - name: install（npm ci 锁定 package-lock）
         run: npm ci --no-audit --no-fund

package/AGENTS.md

@@ -7,7 +7,7 @@
 ## 选道（动手前先对号入座）
 | 需求形态 | 走法 |
 |---|---|
-| 需求已含决策（改什么、成功标准说得清——成功标准须来自**用户原话或既有文档转写**；要靠你推断拟出的标准＝需求不清晰） | **轻量变更（默认快道）**：`flow start` → 直接干活 → `flow done`（2 次协议调用；操作细节见 `/sillyspec:flow` skill 与 flow start 输出） |
+| 需求已含决策（改什么、成功标准说得清——成功标准须来自**用户原话或既有文档转写**；要靠你推断拟出的标准＝需求不清晰） | **轻量变更（默认快道）**：`flow start` → 补 spec 面（FR 绑定+design 四节）→ 批准（`flow approve` / 用户显式 `--autopilot`）→ 干活 → `flow done`（协议调用仍 2 次，批准由用户运行；操作细节见 `/sillyspec:flow` skill 与 flow start 输出） |
 | 用户显式要求极速（「极速/别验证/只要 spec 和代码」类原话）且需求已含决策 | **轻量变更极速版**：同上行加 `--turbo`（`flow start --change <名> --input "<...>" --turbo`）——**仅用户显式触发，禁止你自行启用**；收口跳过实测与重仪式门（hunk/dirty/ui 探针/评审），spec 结构校验/tasks 全勾/ledger/patch 冻结/distill/归档照常（跳的是验证不是证据）；升厚即失效恢复全量仪式；收口输出显式标注「不含测试客观核验」。预段组合极速：头脑风暴预段走轻量跑判定+单轮合并问询+burst 一次 --done，收编时按用户要求带 --turbo |
 | 需求不清晰 / 需要方案探索（含「成功标准要你替用户拟」的形态——自己拟标准再自答是把默认共识伪装成共识） | 头脑风暴预段：`run brainstorm --change <名>` → 完成后 `flow start --change <名>` 收编续跑（design 以头脑风暴版为准）。上个轻量变更被 route-hindsight 标记时全新 start 会被同意门拦下要求显式选道：确认已含决策带 `--no-prestage` 声明留痕，否则先走本行预段 |
 | 大改动：跨模块取舍 / Wave 计划编排 / 多阶段治理 / 设计期人机对抗 | 完整流程五阶段：`run brainstorm → plan → execute → verify → archive`（每阶段一次渲染 + 一次 --done 收口；细节见各阶段 skill 与 CLI 输出） |
@@ -16,7 +16,7 @@
 `--input` 过门格式（轻量道首次调用即过，勿靠报错学；引号内换行合法，下例可照抄）：
 
 ```bash
-sillyspec flow start --change <YYYY-MM-DD-名> --input "<一句中文概括（首行即变更标题）；随后动机与背景
+sillyspec flow start --change <YYYY-MM-DD-名> --input "<一句 10-30 字中文概括（首行即变更标题，必须落在 10-30 字硬区间、建议 ~20 字——不合区间 flow start 拒启）；随后动机与背景
 
 成功标准：
 - <可验证标准>"
@@ -32,7 +32,7 @@ sillyspec flow start --change <YYYY-MM-DD-名> --input "<一句中文概括（
 ## 核心规则
 1. **禁止绕过本文件规则和 SillySpec 流程**。所有变更走 sillyspec 流程，不裸改裸提交。
 2. **改代码前必须先说明依据**——依据的文档路径（design.md / 模块文档 / file-lifecycle.md（如有））或现有代码依据，无依据不改。
-3. **执行顺序**：文档 → 读代码 → 写测试 → 写实现 → 跑测试 → 验收 → 更新文档。测试按层适用：纯逻辑先写测试，行为契约断言用户可见行为，视觉样式与纯配置/文档不写测试（记「不适用：理由」，验收靠规范与人工）。
+3. **执行顺序**：文档 → 读代码 → 写测试 → 写实现 → 跑测试 → 验收 → 更新文档（轻量道即：FR 绑定+design 四节+用户批准先于动码，读代码探究不算动码）。测试按层适用：纯逻辑先写测试，行为契约断言用户可见行为，视觉样式与纯配置/文档不写测试（记「不适用：理由」，验收靠规范与人工）。
 4. **实证核验再收口**：触及 `src`/`test` 的改动，CLI 会在收口时亲自实测（实测失败阻断收口；纯 doc/配置自动跳过）。测试面按变更动态推断（本变更测试 ∪ FR 关联回归 ∪ import 依赖，runner 自项目结构推断——无需配置）；lint 走 `.sillyspec/local.yaml` 的 `commands.lint`。以落盘文件与测试结果为准，不信口头"已完成"。
 5. **非测试逻辑本身有误时，禁止改测试来"通过"**——修逻辑，不修测试。
 6. **git hook 拦截提交时禁止跳过**（如 `.husky/pre-push`），修复问题后再提交。

package/README.md

@@ -46,9 +46,9 @@ npx sillyspec init
 | Claude Code（推荐） | `claude` | `AGENTS.md`（完整指引）+ `CLAUDE.md`（`@AGENTS.md` 指针）+ `.claude/skills/sillyspec-*/` |
 | Cursor | `cursor` | `.cursor/skills/sillyspec-*/` |
 | OpenAI Codex | `codex` | `AGENTS.md`（完整指引） |
-| OpenCode | `opencode` | `INSTRUCTIONS.md` |
 | OpenClaw | `openclaw` | `.openclaw/skills/sillyspec-*/` |
-| Gemini | `gemini` | `GEMINI.md` |
+| OpenCode | `opencode` | `AGENTS.md`（完整指引）+ `.opencode/skills/sillyspec-*/` |
+| Gemini | `gemini` | `AGENTS.md`（完整指引） |
 
 ```bash
 npx sillyspec init --tool claude      # 指定工具

package/assets/command-cards/flow.md

@@ -1,6 +1,6 @@
 ---
 name: sillyspec:flow
-description: 轻量变更（默认快道）：需求明确的小/中改动两步收口——flow start → 直接干活 → flow done
+description: 轻量变更（默认快道）：需求明确的小/中改动——flow start → 补 spec 面 → 批准 → 干活 → flow done
 ---
 # 何时用
 
@@ -11,19 +11,23 @@ description: 轻量变更（默认快道）：需求明确的小/中改动两步
 ```bash
 export SILLYSPEC_SESSION_ID=<agent名+任务名>   # 每条命令都带（shell 状态不持久；多会话并行的所有权判定依赖它）
 # ① 立项 + 锁基线（--input 引号内换行合法，可照抄；缺「成功标准」条目会被清晰度门拦下）：
-sillyspec flow start --change <变更名> --input "<一句中文概括（首行即变更标题）；随后动机与背景
+sillyspec flow start --change <变更名> --input "<一句 10-30 字中文概括（首行即变更标题，硬区间 10-30 必须、建议 ~20 字）；随后动机与背景
 
 成功标准：
 - <可验证标准>"
 #    极速变体：用户显式说「极速/别验证/只要 spec 和代码」类原话时才加 --turbo（仅用户显式触发，
 #    禁止你自行启用）——flow-state 留痕，收口跳过实测与重仪式门（hunk/dirty/ui 探针/评审），
 #    spec 结构校验、tasks 全勾、ledger、patch 冻结、distill、归档照常；升厚即失效恢复全量仪式。
-# ② 直接干活：改代码写测试（按层适用——纯逻辑先写、行为契约断用户所见、样式/纯配置不写）；填 design.md 四节（空节 flow done 拒收；列改动文件用独立「## 文件变更清单」节）；
-#    tasks.md 是你的工作队列——机器种子改写为实现步骤（每行做什么+怎么验证，保持 `- [ ] task-NN:` 行形态），
+# ② 补 spec 面（动码前）：requirements FR 行为句（强度词）+ 测试绑定行、design.md 四节作答
+#    （空节 flow done 拒收；列改动文件用独立「## 文件变更清单」节）；tasks.md 改写为工作队列
+#    ——机器种子改写为实现步骤（每行做什么+怎么验证，保持 `- [ ] task-NN:` 行形态）。
+#    然后过断点①：摘要给用户看 → 用户运行 sillyspec flow approve --change <名>（批准留痕；
+#    用户显式说「直接跑完」→ 重跑 start --autopilot 豁免）。批准是动码前置义务，不是收口补救。
+# ③ 干活（已批准）：写测试、改代码（按层适用——纯逻辑先写、行为契约断用户所见、样式/纯配置不写）；
 #    执行循环：Working on task N/M → 做一件 → 测试绿后当场勾一格（sillyspec task tick --change <名> --task task-NN
 #    即时回显进度与下一任务）→ 下一行；每格勾选要有对应提交（消息带 task-NN），一把勾收口被拒。
 #    交付代码显式 pathspec 提交（patch 冻结面=baseline..HEAD 提交面，未提交不进审计件）
-# ③ 收口（CLI 亲自实测 test/lint + 独立评审定档 + patch 留档；--turbo 变更自动跳过实测与重仪式门）：
+# ④ 收口（CLI 亲自实测 test/lint + 独立评审定档 + patch 留档；--turbo 变更自动跳过实测与重仪式门）：
 sillyspec flow done --change <变更名>
 # 断点恢复 / 随时查进度：
 sillyspec flow status --change <变更名>

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sillyspec",
-  "version": "3.33.0",
+  "version": "3.33.2",
   "description": "SillySpec CLI — 流程状态机，让 AI 严格按步骤来",
   "icon": "logo.jpg",
   "homepage": "https://sillyspec.ppdmq.top/",

package/src/archive-delta.js

@@ -29,6 +29,7 @@
  * endpoint-extractor，被依赖者均不反向 import 本模块。
  */
 import { existsSync, readFileSync, readdirSync, writeFileSync, mkdirSync } from 'node:fs'
+import { runtimeStatePath } from './runtime-paths.js'
 import { basename, dirname, join } from 'node:path'
 import { parseDecisionDomains, loadModuleMap, deriveActualModules } from './design-facts.js'
 import { parseModuleMapSimple } from './modules.js'
@@ -153,7 +154,7 @@ export function collectDeltaSources({ changeDir, specRoot, project, runtimeRoot,
   // 兜底（Gap-2/D-003）：全无 reconcile → apply-pathspec-<change>.txt 逐行路径作交付清单
   let deliverables = []
   if (!reconcile && runtimeRoot && change) {
-    const text = readTextSafe(join(runtimeRoot, `apply-pathspec-${change}.txt`))
+    const text = readTextSafe(runtimeStatePath(runtimeRoot, `apply-pathspec-${change}.txt`))
     if (text !== null) {
       deliverables = text.split(/\r?\n/).map(s => s.trim()).filter(Boolean)
     }
@@ -454,8 +455,8 @@ export function writeLastDeltaSidecar(runtimeRoot, summary) {
       updatedAt: new Date().toISOString(),
     }
     mkdirSync(runtimeRoot, { recursive: true })
-    writeFileSync(join(runtimeRoot, 'last-delta.json'), JSON.stringify(payload, null, 2) + '\n')
-    return { ok: true, path: join(runtimeRoot, 'last-delta.json') }
+    writeFileSync(runtimeStatePath(runtimeRoot, 'last-delta.json'), JSON.stringify(payload, null, 2) + '\n')
+    return { ok: true, path: runtimeStatePath(runtimeRoot, 'last-delta.json') }
   } catch (e) {
     console.error(`[sillyspec] last-delta sidecar 写入失败（advisory 将缺席，不阻断 delta 生成）：${e && e.message ? e.message : e}`)
     return { ok: false, reason: e && e.message ? e.message : String(e) }

package/src/change-delete.js

@@ -12,7 +12,7 @@
  *     不因删变更丢用户唯一副本的代码；顺带清 execute/stage-review runId marker
  *     + 该变更的 runtime 取证（pruneArchivedChangeRuntime））
  *   - git：safeGit add -A 暂存目录删除（best-effort，对齐 archive CLI 下沉 git add）
- *   - 平台：triggerSync 推终态（sync.js 对 status='deleted' 上行墓碑，平台收敛软删）
+ *   - 平台：triggerSyncTerminalStrict 推终态（sync.js 对 status='deleted' 上行墓碑，平台收敛软删；文件树推送失败显性化）
  *
  * 两段式安全（对齐 --cleanup-remnant / --cleanup-ghosts / --align-execute-progress 家族）：
  * 默认 dry-run 只报告将发生什么，--confirm 才执行。
@@ -23,7 +23,7 @@
 import { existsSync, readdirSync, rmSync, statSync } from 'fs';
 import { join, relative } from 'path';
 import { safeGit } from './git-helper.js';
-import { assertSafeChangeName, triggerSync } from './run/shared.js';
+import { assertSafeChangeName, triggerSyncTerminalStrict } from './run/shared.js';
 import { archiveWorktreeCleanup } from './run/complete-handlers.js';
 
 function countFiles(dir) {
@@ -156,10 +156,11 @@ export async function deleteChange({ cwd, specDir = null, changeName, confirm =
       safeGit(cwd, ['add', '-A', '--', relDir]);
     }
   } catch { /* 非 git 仓等场景：删除在 git status 可见，暂存非必需 */ }
-  // 5. 平台终态/墓碑上行（triggerSync 内建 8s 熔断 + 未连接静默；change-delete 是终态
-  //    一次性命令，await 保证墓碑发出后再退出，输出顺序确定）
+  // 5. 平台终态/墓碑上行（终态强校验：内联有界同步，文件树推送失败显性化——🚨 告警 +
+  //    自救命令 + exit 1；未连接静默。change-delete 是终态一次性命令，await 保证墓碑
+  //    发出后再退出，输出顺序确定）
   try {
-    await triggerSync(cwd, changeName, { specRoot: specBase });
+    await triggerSyncTerminalStrict(cwd, changeName, { specRoot: specBase });
   } catch (e) {
     warnings.push(`平台终态同步失败（不阻断删除，下次常规同步重试）：${e.message}`);
   }

package/src/contract-matrix.js

@@ -9,6 +9,7 @@
  */
 
 import { existsSync, readFileSync, writeFileSync, mkdirSync, readdirSync } from 'fs'
+import { runtimeStatePath } from './runtime-paths.js'
 import { join, resolve, basename, dirname, relative, isAbsolute } from 'path'
 import { gitQuiet } from './git-helper.js'
 import { splitOwnVsForeignDiffFiles } from './foreign-declared.js'
@@ -440,7 +441,7 @@ function _resolveDiffFilesForParity(specBase, scanRoot, changeName, runtimeRoot)
     // 主仓 diff 空（apply 后已 commit / cleanup 完毕）→ apply-pathspec 兜底：apply 成功时落盘的
     // 本变更精确文件清单（与 gates 归因提示②同源）。仍拿不到才回 null（调用方退全仓）。
     try {
-      const pathspecFile = join(runtimeRoot || join(specBase, '.runtime'), `apply-pathspec-${changeName}.txt`)
+      const pathspecFile = runtimeStatePath(runtimeRoot || join(specBase, '.runtime'), `apply-pathspec-${changeName}.txt`)
       if (existsSync(pathspecFile)) {
         const fromPathspec = readFileSync(pathspecFile, 'utf8').split('\n').map(l => l.trim()).filter(Boolean)
         if (fromPathspec.length > 0) {

package/src/cross-placement.js

@@ -48,9 +48,13 @@ export function crossWorktreePath(specBase, changeName, repoKey, placementRoot =
  * @param {string} mainRoot 主仓根（相对路径解析基准）
  * @returns {string} 绝对落位根
  */
+// Windows 盘符形态判定（坑跨平台 CI：POSIX isAbsolute('C:/x')=false → 带引号的盘符路径
+// 被相对主仓根拼接成 test/C:/quoted 伪路径）。跨仓落位本就面向 Windows 盘符场景设计，
+// 语义上盘符路径恒绝对（与 win32 path.isAbsolute 同判，跨平台自洽）。
+const WIN_DRIVE_ABS_RE = /^[A-Za-z]:[/\\]/;
 export function resolvePlacementRoot(raw, mainRoot) {
   const trimmed = String(raw || '').trim().replace(/^['"]|['"]$/g, '');
-  if (isAbsolute(trimmed)) return resolvePath(trimmed);
+  if (isAbsolute(trimmed) || WIN_DRIVE_ABS_RE.test(trimmed)) return resolvePath(trimmed);
   return resolvePath(mainRoot, trimmed);
 }
 

package/src/cross-repo-reconcile.js

@@ -215,8 +215,11 @@ export function collectRepoActual({ repoKey, specBase, cwd, runtimeRoot = null,
     // 2) 仓根（isAbsolute/resolve 兼容 Windows 盘符绝对注册与相对 cwd 注册）
     const repoPath = isAbsolute(rawPath) ? rawPath : resolve(cwd, rawPath)
     if (!existsSync(repoPath)) {
+      // degradedReason 不嵌绝对路径（2026-10-19-cross-repo-face-tool-filter，平台评审 P2）：
+      // 该文案会随 change-patch.json 冻结并透出到平台资产卡，本机布局属环境信息不外泄；
+      // repoPath 仍留在返回值供本机诊断使用。
       return { repo: repoKey, repoPath, anchor: degradedAnchor(), files: [],
-        degradedReason: `注册路径不可达：${repoPath}` }
+        degradedReason: `注册路径不可达（local.yaml repos.${repoKey} 的注册值在本机不存在）——请人工到对应仓核对` }
     }
 
     // 3) A 档 reviews-range：runtimeRoot 与 changeName 双提供才尝试（缺省跳过 = 向后兼容）

package/src/db.js

@@ -1,4 +1,5 @@
 import { openDatabase, applyPragmas, runTransaction } from './db-engine.js';
+import { runtimeTempPath } from './runtime-paths.js'
 import { copyFileSync, existsSync, mkdirSync, readFileSync, rmSync, statSync, writeFileSync } from 'fs';
 import { dirname } from 'path';
 
@@ -102,7 +103,8 @@ export class DB {
    * 全新 node:sqlite 项目不产生主 .bak）。
    */
   _openWithFallback() {
-    const bakPath = `${this.dbPath}.bak`;
+    // .bak 2026-10-18 布局分层后归 temp/；根路径保留兜底（未迁移旧仓/混版本窗口）
+    const bakPath = existsSync(`${this.dbPath}.bak`) ? `${this.dbPath}.bak` : runtimeTempPath(dirname(this.dbPath), 'sillyspec.db.bak');
     // readValid: null=文件不存在；'empty'=存在但 0 字节；'ok'=有内容
     const readValid = (p) => {
       if (!existsSync(p)) return null;
@@ -156,7 +158,11 @@ export class DB {
         // 覆盖前救援快照（2026-08-21 审查 BUG-7）：主库有内容但打不开（"损坏"）时，其中可能
         // 含比 .bak 更新的数据——静默覆盖即静默丢。best-effort 留一份 .corrupt-<ts> 副本供人工恢复。
         if (primaryRaw === 'ok') {
-          try { copyFileSync(this.dbPath, `${this.dbPath}.corrupt-${Date.now()}`); } catch { /* 救援失败不阻断恢复 */ }
+          try {
+          const corruptPath = runtimeTempPath(dirname(this.dbPath), `sillyspec.db.corrupt-${Date.now()}`);
+          try { mkdirSync(dirname(corruptPath), { recursive: true }); } catch { /* fail-open */ }
+          copyFileSync(this.dbPath, corruptPath);
+        } catch { /* 救援失败不阻断恢复 */ }
         }
         // node:sqlite 绑定路径，无 _save：把 .bak 内容 copy 回主库，统一用 dbPath。
         // 体检 BUG-18：主库可能正被其他进程（daemon/另一 CLI）打开——Windows 覆盖他人

package/src/decision-distill.js

@@ -1,3 +1,15 @@
+/**
+ * 蒸馏异态判定（2026-10-20-distill-abnormal-upgrade-fix）：needsWait 非空是唯一异态信号——
+ * 与 needsWait 产出（distillIntoKnowledge）单一源同处，返回值契约变化时两处同文件可见不漂移。
+ * 历史：flow done 曾内联 `res.rejected > 0 || res.needsWait > 0`——前半引用返回值不存在的字段
+ * （幽灵引用恒 undefined），后半字符串与 >0 比较恒 false，「异态升厚留人工裁决」从未生效。
+ * @param {{ written?: unknown[], skipped?: string|null, needsWait?: string|null }} res distillIntoKnowledge 返回值（容错 null/undefined）
+ * @returns {boolean} needsWait 为非空字符串时 true
+ */
+export function isDistillAbnormal(res) {
+  return Boolean(res && typeof res.needsWait === 'string' && res.needsWait.length > 0)
+}
+
 /**
  * decision-distill — 决策提炼纯函数（change: 2026-08-23-adopt-harness-practices，FR-02/03/04，D-007@v1）
  *
@@ -24,14 +36,16 @@
 import { existsSync, mkdirSync, readFileSync, readdirSync, writeFileSync } from 'node:fs'
 import { modulePathMatches } from './modules.js'
 import { basename, dirname, join } from 'node:path'
-
-/** FR-02：有实现影响的五类 type（scope 与未知 type 的 confirmed/accepted 不入选） */
-// feasibility 补录（2026-09-11 驾驭第十二批，本仓归档 2026-08-08-concurrent-write-preflight 实证：
-// 8 条 feasibility+accepted 决策因五类集漏选从未入知识库）——可行性裁决是设计决策（技术选型/
-// 可行 vs 不可行），与五类同格；排除集本意只针对 scope（范围裁决不入库）。
-const IMPLEMENTED_TYPES = new Set(['architecture', 'compatibility', 'boundary', 'definition', 'process', 'feasibility', 'consistency'])
-/** FR-02：implemented 入选的 status（superseded 等其余状态不入选） */
-const IMPLEMENTED_STATUSES = new Set(['confirmed', 'accepted'])
+import { KNOWLEDGE_STATUSES, KNOWLEDGE_TYPES } from './decision-values.js'
+
+// 入选集=正典单一源派生（2026-10-20-decision-caliber-unify）。历史：五类集漏选 8 条
+// feasibility+accepted 决策（2026-09-11 驾驭第十二批，2026-08-08-concurrent-write-preflight
+// 实证）后扩为 7 值字面集；scope 排除是刻意设计（范围裁决不入库）。现改 KNOWLEDGE_TYPES 派生
+// （恰等于历史 7 值零漂移）。状态集纳入 implemented：知识库入选输出值本就是「状态：implemented」，
+// 输入侧声明 implemented 却永不入选是白名单后加未同步蒸馏的遗留缺陷。
+const IMPLEMENTED_TYPES = new Set(KNOWLEDGE_TYPES)
+/** FR-02：implemented 入选的 status（proposed/draft/superseded 等其余状态不入选） */
+const IMPLEMENTED_STATUSES = new Set(KNOWLEDGE_STATUSES)
 /** 三级兜底终点域（仍不中归此；域文件由本模块自管） */
 const UNMAPPED_DOMAIN = 'unmapped'
 /** 旧格式容错占位值（FR-01：缺锚点/缺 headHash 不阻断） */

package/src/decision-values.js

@@ -0,0 +1,34 @@
+/**
+ * decision-values.js — 决策 type/status 正典值集单一源（2026-10-20-decision-caliber-unify）。
+ *
+ * 背景：值集此前三套口径并存——decisions-io 写入白名单（type 6 值缺 feasibility/consistency）、
+ * decision-distill 蒸馏入选集（类型 7 值含 scope 排除；状态仅 confirmed/accepted，implemented
+ * 写入合法却永不入选）、brainstorm 提示面两处清单（term/premise/risk/unresolved 等机器永不
+ * 收录的值）。写入者拒绝蒸馏想收的值、提示面教 agent 写机器不认的值——口径漂移是事故温床
+ * （八条 feasibility 决策因五类集漏选入库事故，见 decision-distill.js 头注）。
+ *
+ * 单一消费契约：
+ *   - decisions-io 写入白名单 = 正典全集（fail-fast 拦正典外值）
+ *   - decision-distill 入选裁决 = KNOWLEDGE_* 派生集（scope 刻意不入知识库——范围裁决，
+ *     文档明载；KNOWLEDGE_TYPES 恒等于正典去 scope）
+ *   - brainstorm 决策记录提示清单 = 正典全集（渲染产物 docs/prompt/ 经 _extract 链同步）
+ *
+ * 开放世界边界：手写 decisions.md 的历史散值（40+ 种 type）不在正典集，由 parseDecisions
+ * 宽容解析保留、蒸馏不入选——存量行为零变化，本集只约束机器面（写入校验/入选裁决/提示文案）。
+ */
+
+/** 正典 type：写入白名单全集（8 值）。 */
+export const DECISION_TYPES = Object.freeze([
+  'architecture', 'compatibility', 'boundary', 'definition', 'process', 'scope', 'feasibility', 'consistency',
+])
+
+/** 正典 status：写入白名单全集（7 值）。 */
+export const DECISION_STATUSES = Object.freeze([
+  'confirmed', 'accepted', 'implemented', 'rejected', 'proposed', 'superseded', 'draft',
+])
+
+/** 蒸馏入选 type：正典去 scope（范围裁决刻意不入知识库，保持既有 7 值口径）。 */
+export const KNOWLEDGE_TYPES = Object.freeze(DECISION_TYPES.filter((t) => t !== 'scope'))
+
+/** 蒸馏入选 status：定案/接受/已实现三值（rejected 走独立防复潮通道，其余状态不入选）。 */
+export const KNOWLEDGE_STATUSES = Object.freeze(['confirmed', 'accepted', 'implemented'])

package/src/decisions-io.js

@@ -17,9 +17,12 @@
 import { existsSync, readFileSync } from 'node:fs'
 import { join } from 'node:path'
 import { writeAtomicSync } from './fs-atomic.js'
+import { DECISION_STATUSES, DECISION_TYPES } from './decision-values.js'
 
-const STATUS_VALUES = new Set(['confirmed', 'accepted', 'implemented', 'rejected', 'proposed', 'superseded', 'draft'])
-const TYPE_VALUES = new Set(['architecture', 'compatibility', 'boundary', 'definition', 'process', 'scope'])
+// 白名单=正典全集单一源派生（2026-10-20-decision-caliber-unify）：此前字面集与蒸馏入选集、
+// brainstorm 提示清单三套口径漂移——feasibility/consistency 被写入者拒绝而蒸馏想收。
+const STATUS_VALUES = new Set(DECISION_STATUSES)
+const TYPE_VALUES = new Set(DECISION_TYPES)
 
 /**
  * canonical 条目渲染（正文散文行原样保留在 body 数组）。

package/src/deleted-ledger.js

@@ -14,12 +14,13 @@
  * 坏行容错：单行 JSON 解析失败跳过该行（外部编辑/半写截断不拖垮读取）。
  */
 import { appendFileSync, existsSync, readFileSync } from 'node:fs'
+import { runtimeStatePath } from './runtime-paths.js'
 import { join } from 'node:path'
 
 const LEDGER_FILENAME = 'deleted-changes.jsonl'
 
 function ledgerPath(specDir) {
-  return join(specDir, '.runtime', LEDGER_FILENAME)
+  return runtimeStatePath(join(specDir, '.runtime'), LEDGER_FILENAME)
 }
 
 /**

package/src/doctor-diagnostics.js

@@ -23,6 +23,7 @@
  * writer 落盘到 <authoritySpecDir>/.runtime/。
  */
 import { openDatabase, pluckGet, pluckAll } from './db-engine.js';
+import { runtimeTempPath } from './runtime-paths.js'
 import { safeGit } from './git-helper.js';
 import { createHash } from 'crypto';
 import { existsSync, statSync, readFileSync, readdirSync, mkdirSync, writeFileSync, unlinkSync, rmSync } from 'fs';
@@ -1109,12 +1110,15 @@ export function detectSelfMaintenanceTax(cwd, authoritySpecDir) {
     const warnings = [];
 
     // ① 活跃非零 tally 列示（events:{type:{count,lastAt}}，X-10 结构）
+    // 2026-10-18 布局分层：tally 落 state/；根目录扫描保留旧布局兜底（入口迁移收敛后恒空）
     try {
-      for (const f of readdirSync(runtimeRoot)) {
+      const tallyDirs = [join(runtimeRoot, 'state'), runtimeRoot]
+      for (const tallyDir of tallyDirs) {
+      for (const f of (() => { try { return readdirSync(tallyDir) } catch { return [] } })()) {
         const m = f.match(/^friction-tally-(.+)\.json$/);
         if (!m) continue;
         let tally = null;
-        try { tally = JSON.parse(readFileSync(join(runtimeRoot, f), 'utf8')); } catch { continue; }
+        try { tally = JSON.parse(readFileSync(join(tallyDir, f), 'utf8')); } catch { continue; }
         const events = tally && typeof tally === 'object' && tally.events && typeof tally.events === 'object' && !Array.isArray(tally.events) ? tally.events : {};
         const segs = [];
         let total = 0;
@@ -1131,6 +1135,7 @@ export function detectSelfMaintenanceTax(cwd, authoritySpecDir) {
         findings.push(`活跃摩擦：${m[1]}（${segs.join('、')}${lastAt ? `，最近 ${lastAt}` : ''}）`);
         if (total >= TAX_HEAVY_TOTAL) warnings.push(`税重——评估该机制群简化/退役（对照其 decisions 退役判据）：${m[1]}（活跃 total ${total}）`);
       }
+      }
     } catch { /* runtimeRoot 不可读 → 无活跃数据，不误报 */ }
 
     // ② 台账聚合（近 90 天 top5 + 累计总量）；④ 缺失渲染提示不告警
@@ -1748,7 +1753,7 @@ export function writeDoctorDiagnosis(json, specDir) {
   try {
     const runtimeDir = join(specDir, '.runtime');
     mkdirSync(runtimeDir, { recursive: true });
-    const outPath = join(runtimeDir, 'doctor-diagnosis.json');
+    const outPath = runtimeTempPath(runtimeDir, 'doctor-diagnosis.json');
     writeFileSync(outPath, JSON.stringify(json, null, 2) + '\n');
     return outPath;
   } catch (e) {

package/src/flow-draft.js

@@ -23,6 +23,7 @@ import { wrapSection, verifyMarkers, reanchorText, bodyHash, parseMarkerBlocks }
 // 占位句常量真同源（2026-10-03-fr-skeleton-gate 评审 P3 清偿）：起草端 Then 兜底与骨架判据
 // （fr-index.isThinSkeletonBodies）共用同一字面量——两处独立字符串会被评审实证为「镜像非同源」。
 import { SKELETON_THEN_PLACEHOLDER } from './fr-index.js'
+import { runtimeStatePath } from './runtime-paths.js'
 
 /** 读文件并归一化 CRLF→LF（2026-09-25-feedback-fixes④：Python/编辑器写盘 CRLF 会破坏 
  锚定的槽位识别 regex）。 */
@@ -88,7 +89,7 @@ const QUESTION_REPAIR_SIM_THRESHOLD = 0.5
 
 /** sidecar 台账路径（.runtime 下，verify-draft sidecar 同族；命名空间=文件:段键）。 */
 export function draftLedgerPath(runtimeRoot, changeName) {
-  return join(runtimeRoot, `draft-ledger-${changeName}.json`)
+  return runtimeStatePath(runtimeRoot, `draft-ledger-${changeName}.json`)
 }
 
 const AGENT_SLOT = (n, hint) => `<!--AGENT:槽${n} ${hint}——例外裁决书写面（机器段之外合法） -->`
@@ -326,7 +327,7 @@ function draftTasksV2({ change, criteria, withTasks }) {
  * 零 advisory——工作分解归 agent，2026-10-07-thin-tasks-v3）。
  * adopted brainstorm 变更（opts.skipDesign）豁免 design 四节门（设计承诺以 brainstorm design 为准）。
  */
-export function verifyThinDocsV2({ changeDir, ledger, skipDesign = false }) {
+export function verifyThinDocsV2({ changeDir, ledger, skipDesign = false, repair = true }) {
   const violations = []
   const advisories = []
   const repairs = []
@@ -391,12 +392,18 @@ export function verifyThinDocsV2({ changeDir, ledger, skipDesign = false }) {
         }
       }
       if (repairEntries.length > 0) {
-        try {
-          writeAtomicSync(join(changeDir, 'design.md'), repairedLines.join('\n'))
-          dLines = repairedLines
-          for (const e of repairEntries) repairs.push(`design「${e.heading}」问题行曾被改写——已按锚回填原文（agent 作答保留）：${e.q}`)
-        } catch {
-          for (const e of repairEntries) violations.push(`design「${e.heading}」问题文本被改写——原文：${e.q}（机器回填写盘失败，请手工恢复此行，答案写在下方）`)
+        // repair:false 只读轨（2026-10-19-approve-gate-tick-nudge）：approve 批准面不做自动
+        // 回填（写盘修复属 flow done 面）——违规照报，design.md 字节不动。
+        if (repair === false) {
+          for (const e of repairEntries) violations.push(`design「${e.heading}」问题文本被改写——原文：${e.q}（批准校验只读不自动回填，手工恢复此行后重试）`)
+        } else {
+          try {
+            writeAtomicSync(join(changeDir, 'design.md'), repairedLines.join('\n'))
+            dLines = repairedLines
+            for (const e of repairEntries) repairs.push(`design「${e.heading}」问题行曾被改写——已按锚回填原文（agent 作答保留）：${e.q}`)
+          } catch {
+            for (const e of repairEntries) violations.push(`design「${e.heading}」问题文本被改写——原文：${e.q}（机器回填写盘失败，请手工恢复此行，答案写在下方）`)
+          }
         }
       }
       for (const sec of anchorSections) {
@@ -1056,13 +1063,13 @@ export function amendFlowDraft({ changeDir, change, runtimeRoot }) {
  *  schemaVersion===2 → verifyThinDocsV2（文档↔锚对比：问题/节/FR/绑定拒收 + 漂移 advisory）；
  *  v1（缺省）→ verifyMarkers 指纹三态（存量在途变更零影响）。
  *  opts.skipDesign：adopted brainstorm 变更豁免 design 四节门（flow.js 判定后透传）。 */
-export function verifyFlowDrafts({ changeDir, change, runtimeRoot, skipDesign = false }) {
+export function verifyFlowDrafts({ changeDir, change, runtimeRoot, skipDesign = false, repair = true }) {
   const ledgerPath = draftLedgerPath(runtimeRoot, change)
   if (!existsSync(ledgerPath)) return { applicable: false, violations: [] }
   let ledger
   try { ledger = JSON.parse(readFileSync(ledgerPath, 'utf8')) } catch { return { applicable: false, violations: [] } }
   if (ledger.schemaVersion === DRAFT_SCHEMA_V2) {
-    const r = verifyThinDocsV2({ changeDir, ledger, skipDesign })
+    const r = verifyThinDocsV2({ changeDir, ledger, skipDesign, repair })
     return { applicable: true, schema: DRAFT_SCHEMA_V2, ...r }
   }
   const violations = []