soloforge 1.1.47 → 1.1.49

package/templates/verify/enforced.md

@@ -10,114 +10,14 @@ extra:
 checks:
   - id: SOLID-DIP
     executor: regex_pattern_scan
-    rule: "禁止直接构造依赖（new Service/Repository/Dao），必须依赖注入"
+    rule: "禁止直接构造依赖（new Service/Repository/Dao），必须依赖注入（Java/Spring；TS 无 DI 容器不适用）"
     severity: error
     check_type: deterministic
     pattern: '/\bnew\s+\w*(Service|Repository|Repo|Dao|Mapper|Manager)\s*\(/'
-    languages: [通用]
+    languages: [java]
     evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无直接构造依赖命中）"]
     gate: verify-gate
     target: "self"
-  - id: CON-01
-    executor: regex_pattern_scan
-    rule: "共享可变状态必须有并发保护"
-    severity: error
-    check_type: deterministic
-    pattern: '/\b(public|private|protected)\s+static\s+[\w<>,\s]*\b(HashMap|ArrayList|HashSet|LinkedList)\b/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无未保护共享状态命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-02
-    executor: regex_pattern_scan
-    rule: "分布式环境禁止使用 JVM 级锁"
-    severity: error
-    check_type: deterministic
-    pattern: '/\bsynchronized\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无 JVM 级锁误用命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-03
-    executor: regex_pattern_scan
-    rule: "先查后改（如库存/计数）必须用原子操作"
-    severity: error
-    check_type: deterministic
-    pattern: '/\.(findById|getById|getOne|selectById)\s*\([^)]*\)/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无非原子先查后改命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-04
-    executor: regex_pattern_scan
-    rule: "禁止 @Transactional 同类内部调用导致事务失效"
-    severity: error
-    check_type: deterministic
-    pattern: '/\bthis\.\w+\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无事务自调用命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-05
-    executor: regex_pattern_scan
-    rule: "事务内禁止执行外部调用（HTTP/RPC）"
-    severity: error
-    check_type: deterministic
-    pattern: '/\.(getForObject|postForObject|exchange|execute)\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无事务内外部调用命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-06
-    executor: regex_pattern_scan
-    rule: "SimpleDateFormat 非线程安全，禁止作为共享成员"
-    severity: error
-    check_type: deterministic
-    pattern: '/\bstatic\s+[\w<>,\s]*SimpleDateFormat\b/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无 SimpleDateFormat 共享命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-07
-    executor: regex_pattern_scan
-    rule: "ThreadLocal 必须清理避免内存泄漏"
-    severity: error
-    check_type: deterministic
-    pattern: '/\bnew\s+ThreadLocal\b/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无 ThreadLocal 未清理命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-08
-    executor: regex_pattern_scan
-    rule: "HashMap/ArrayList 等禁止作为共享可变类成员"
-    severity: error
-    check_type: deterministic
-    pattern: '/\b(private|protected|public)\s+(?!static)[\w<>,\s]*\b(HashMap|ArrayList|HashSet|LinkedList)\s*[=;]/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无非线程安全集合成员命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-09
-    executor: regex_pattern_scan
-    rule: "CompletableFuture 链必须处理异常"
-    severity: error
-    check_type: deterministic
-    pattern: '/\.(runAsync|supplyAsync)\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无未处理异常命中）"]
-    gate: build-gate
-    target: "self"
-  - id: CON-10
-    executor: regex_pattern_scan
-    rule: "线程池必须正确配置拒绝策略"
-    severity: error
-    check_type: deterministic
-    pattern: '/\bnew\s+ThreadPoolExecutor\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无未配置拒绝策略命中）"]
-    gate: build-gate
-    target: "self"
   - id: PER-01
     executor: regex_pattern_scan
     rule: "禁止循环内逐条数据库调用（N+1 问题）"
@@ -208,112 +108,13 @@ checks:
     evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无未优化图片命中）"]
     gate: verify-gate
     target: "self"
-  - id: API-01
-    executor: regex_pattern_scan
-    rule: "Controller 禁止返回 Entity，必须返回 DTO"
-    severity: error
-    check_type: deterministic
-    pattern: '/\bpublic\s+\w*Entity\b\s+\w+\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无 Entity 直接返回命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-02
-    executor: regex_pattern_scan
-    rule: "写操作（POST/PUT/DELETE）必须有 @Transactional"
-    severity: error
-    check_type: deterministic
-    pattern: '/\.(save|insert|update|delete|remove)\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无写操作缺事务命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-03
-    executor: regex_pattern_scan
-    rule: "接口必须有权限注解"
-    severity: error
-    check_type: deterministic
-    pattern: '/@(Get|Post|Put|Delete|Request)Mapping\s*\(/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无接口缺权限注解命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-04
-    executor: regex_pattern_scan
-    rule: "禁止硬编码分页参数，必须参数化"
-    severity: error
-    check_type: deterministic
-    pattern: '/\b(pageNum|pageSize)\s*=\s*\d/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无硬编码分页命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-05
-    executor: regex_pattern_scan
-    rule: "请求参数必须有 @Valid/@RequestBody 等校验注解"
-    severity: error
-    check_type: deterministic
-    pattern: '/@RequestBody\b/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无缺参数校验命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-06
-    executor: regex_pattern_scan
-    rule: "接口路径须符合 RESTful 规范"
-    severity: error
-    check_type: deterministic
-    pattern: '/@(Get|Post|Put|Delete)Mapping\s*\(\s*[^\)]*(get|list|create|delete|update)/i'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无路径违规命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-07
-    executor: regex_pattern_scan
-    rule: "接口必须使用统一响应包装（ApiResult/Result/R）"
+  - id: REVIEW-STRUCT
+    executor: document_structure
+    rule: "代码审查报告须含「审查信息」「维度覆盖矩阵」「发现项」「审查清单校验」「完成判定」章节"
     severity: error
     check_type: deterministic
-    pattern: '/\bResponseEntity\s*<\s*\w*Entity\b/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无裸返回命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-08
-    executor: regex_pattern_scan
-    rule: "分页接口必须返回标准分页结构"
-    severity: error
-    check_type: deterministic
-    pattern: '/\.(findAll|listAll)\s*\(\s*\d/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无非标准分页命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-09
-    executor: regex_pattern_scan
-    rule: "接口路径须含版本号"
-    severity: error
-    check_type: deterministic
-    pattern: '/@(Get|Post|Put|Delete|Request)Mapping\s*\(\s*"\/(?!api\/v\d)/i'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无缺版本号命中）"]
-    gate: build-gate
-    target: "self"
-  - id: API-10
-    executor: regex_pattern_scan
-    rule: "接口必须有 Swagger/OpenAPI 文档注解"
-    severity: error
-    check_type: deterministic
-    pattern: '/@(Get|Post|Put|Delete)Mapping\s*\([^)]*\)[\s\S]{0,200}(?!.*@ApiOperation)/'
-    languages: [java]
-    evidence_required: ["regex_pattern_scan 扫描结果（git diff 变更文件无缺文档注解命中）"]
-    gate: build-gate
-    target: "self"
-  - id: VRF-G02
-    executor: semantic
-    rule: "所有信任分级为黑盒的审查项必须有人类签署确认（人工签署判断，不可代码确定性判定）"
-    severity: info
-    check_type: semantic
-    evidence_required: ["LLM/人工语义评估结论（pending 标记，advisory 不阻断，随 Reflexion 反馈供客户端 AI 评判）"]
+    required_artifact: 代码审查报告模版
+    evidence_required: ["docs/audits/02-代码审查报告.md"]
     gate: verify-gate
     target: "self"
   - id: VRF-G03
@@ -334,15 +135,15 @@ checks:
     target: "self"
   - id: VRF-G05
     executor: file_evidence
-    rule: "验收场景覆盖正常路径、边界条件和异常路径，证据含截图或日志，三类均有 >=1 条证据"
-    severity: error
+    rule: "产出验收证据文件（file_evidence 验证存在+非空）；正常/边界/异常三类覆盖须人工确认（每类≥1条）"
+    severity: warning
     check_type: deterministic
     evidence_required: ["正常路径验收证据","边界条件验收证据","异常路径验收证据","场景覆盖统计（3 类均有 >=1 条证据）"]
     gate: verify-gate
     target: "self"
   - id: VRF-G06
     executor: report_structure
-    rule: "主链路集成检查：所有模块为 integrated 状态，无孤岛模块；部署决策必须经人类审批"
+    rule: "代码审查报告结构完整非空壳（report_structure 验证≥200字+≥2章节）；integrated 无孤岛 + 部署审批须人工确认"
     severity: error
     check_type: deterministic
     required_artifact: 代码审查报告模版
@@ -351,79 +152,108 @@ checks:
     target: "self"
   - id: ARC-09
     executor: external_command
+    command: grep
+    args: ["-rl", "--include=*.java", "@RestControllerAdvice", "src/"]
     rule: "项目须配置全局异常处理器；grep 项目级存在性，找到(@RestControllerAdvice/@ControllerAdvice)=exitCode 0 通过，缺失=exitCode 1 失败"
     severity: warning
     check_type: deterministic
     evidence_required: ["external_command 结果（项目存在全局异常处理器 = exitCode 0 通过）"]
     gate: verify-gate
     target: "self"
-  - id: ARC-05
-    executor: external_command
-    rule: "单个前端组件文件超过 300 行应拆分；eslint max-lines 检测，超长=exitCode 非0。引用 rules/架构审查.md ARC-05"
+  # —— ARCH-DEP 已删（假覆盖：external_command 缺 command → dependency-cruiser 从未真跑、永远 fail-closed）。
+  #     分层依赖 / 组件行数非确定性（需 AST / 项目特定规则 / 跨语言工具 dependency-cruiser·ArchUnit），
+  #     降级软下限《架构语义红线》+ AI/人工审查。ARC-05（组件<300行）幽灵 check 引用同步清除 ——
+  - id: XVAL-REVIEW-REQ
+    executor: cross_validation
+    rule: "REQ-* 一致性"
+    severity: warning
+    check_type: deterministic
+    required_artifact: 代码审查报告模版
+    evidence_required: ["需求分析模版"]
+    gate: verify-gate
+    target: "self"
+  - id: XVAL-REVIEW-API
+    executor: cross_validation
+    rule: "DD-A* 一致性"
+    severity: warning
+    check_type: deterministic
+    required_artifact: 代码审查报告模版
+    evidence_required: ["API接口规格文档模版"]
+    gate: verify-gate
+    target: "self"
+  - id: XVAL-REVIEW-DB
+    executor: cross_validation
+    rule: "DD-T* 一致性"
+    severity: warning
+    check_type: deterministic
+    required_artifact: 代码审查报告模版
+    evidence_required: ["数据库设计文档模版"]
+    gate: verify-gate
+    target: "self"
+  # —— 前端承接一致性（XVAL-REVIEW-FE：审查报告引用的 FE-* 须与架构 §6.3 一致；纯后端双方无 FE-* warning 可忽略）——
+  - id: XVAL-REVIEW-FE
+    executor: cross_validation
+    rule: "FE-* 一致性"
     severity: warning
     check_type: deterministic
-    evidence_required: ["external_command 结果（eslint max-lines 报告，超 300 行组件 = exitCode 非0）"]
+    required_artifact: 代码审查报告模版
+    evidence_required: ["架构设计模版"]
     gate: verify-gate
     target: "self"
-  - id: ARCH-DEP
+  # —— 附件校验（openapi.yaml，redocly lint）——
+  - id: OPENAPI-LINT
     executor: external_command
-    rule: "模块依赖须遵循分层方向、无循环依赖、表现层不得直接访问数据层；dependency-cruiser 检测，违规=exitCode 非0。覆盖 rules/架构设计.md ARCH-DEP-01/02/03"
+    command: npx
+    args: ["@redocly/cli", "lint", "--config", "redocly.yaml", "docs/api/openapi.yaml"]
+    rule: "openapi.yaml 须通过 redocly lint --config redocly.yaml（SoloForge 锁定规则；YAML 语法+OpenAPI 规范）"
+    severity: warning
+    check_type: deterministic
+    evidence_required: ["redocly lint 输出（exitCode 0 通过）"]
+    gate: verify-gate
+    target: "self"
+  # —— 字段映射复审（数据库 §3/§7 ↔ schema.sql，verify 域复审一致）——
+  - id: FMAP-REVIEW
+    executor: field_mapping_validation
+    rule: "表.字段 一致性+覆盖率"
     severity: warning
     check_type: deterministic
-    evidence_required: ["external_command 结果（dependency-cruiser 报告，依赖违规 = exitCode 非0）"]
+    required_artifact: 数据库设计文档模版
+    evidence_required: ["docs/design/schema.sql"]
+    gate: verify-gate
+    target: "self"
+  # —— 验收点↔测试覆盖校验（REQ-* 验收点须有 @covers 标注覆盖，治测试凑数 / coverage theater）——
+  - id: AC-COVERAGE
+    executor: acceptance_coverage
+    rule: "REQ-* 覆盖率"
+    severity: error
+    check_type: deterministic
+    evidence_required: ["需求分析模版"]
     gate: verify-gate
     target: "self"
-  - id: ARCH-C-REVIEW
-    executor: semantic
-    rule: "客户端 AI 评判架构语义红线（不可代码确定性判定，需结合业务上下文人工/AI 评估）：① 禁止 Patch JAR/docker commit/运行时文件替换交付代码 ② 禁止前端/Controller/定时任务跨服务边界直接访问持久化实现 ③ 禁止绕过统一认证与数据范围控制暴露业务接口 ④ 新增写操作须有可追溯审计记录 ⑤ 异步消息/定时任务/补偿逻辑须幂等 ⑥ 模块边界单一职责无过度耦合（ARCH-R04）⑦ NFR 目标值可测量（ARCH-R07）⑧ 部署方案环境规划/CI-CD 完整（ARCH-R09）⑨ 风险登记覆盖度充分（ARCH-R10）"
-    severity: info
-    check_type: semantic
-    evidence_required: ["LLM 语义评估结论（pending 标记，advisory 不阻断，随 Reflexion 反馈供客户端 AI 评判/重试）"]
+  - id: CODEREVIEW-BLOCK
+    executor: document_structure
+    check_type: deterministic
+    severity: error
     gate: verify-gate
+    required_artifact: 代码审查报告模版
+    rule: "审查维度矩阵/发现项章节须有表格行（反退化：禁只列前几条后省略/其余见附件）"
+    block_check:
+      item_pattern: '^##\s+(2|3)\.'
+      require_table: true
+      min_table_rows: 1
+    evidence_required: ["代码审查报告模版"]
     target: "self"
 ---
 
 # verify-gate 强制检查清单
 
-39 条确定性检查。bridge 从此文件聚合。
+24 条确定性检查（ARCH-DEP 已删：external_command 缺 command → dependency-cruiser 从未真跑，降级软下限；ARC-05 幽灵引用已清）。bridge 按 check.gate 聚合（CON-*/API-* 并发与 API 规范已归位 build/enforced.md——gate 本就是 build-gate；API-01/02 与 build ARC-02/03 重复已删；VRF-G02/ARCH-C-REVIEW semantic advisory 移至 guidance《架构语义红线》）。
 
 对应工程经验：
-- SOLID-DIP
-- CON-01
-- CON-02
-- CON-03
-- CON-04
-- CON-05
-- CON-06
-- CON-07
-- CON-08
-- CON-09
-- CON-10
-- PER-01
-- PER-02
-- PER-03
-- PER-04
-- PER-05
-- PER-06
-- PER-07
-- PER-08
-- PER-09
-- API-01
-- API-02
-- API-03
-- API-04
-- API-05
-- API-06
-- API-07
-- API-08
-- API-09
-- API-10
-- VRF-G02
-- VRF-G03
-- VRF-G04
-- VRF-G05
-- VRF-G06
-- ARC-09
-- ARC-05
-- ARCH-DEP
-- ARCH-C-REVIEW
+- SOLID-DIP（依赖注入，Java/Spring；TS 无 DI 容器不适用）
+- PER-01~09（性能：N+1/SELECT */分页/循环/重渲染/useMemo/连接池/大事务/图片）
+- VRF-G03（vitest E1+）/ VRF-G04（tsc）/ VRF-G05（验收三类覆盖）/ VRF-G06（主链路无孤岛+部署审批）
+- ARC-09（全局异常处理器，grep 项目级存在性）
+- XVAL-REVIEW-REQ/API/DB/FE（审查报告↔需求/API/DB/前端 一致性）
+- OPENAPI-LINT / FMAP-REVIEW
+- 分层依赖 / 组件行数：非确定性（需 AST/项目规则/跨语言工具），归软下限《架构语义红线》+ AI/人工审查

package/templates/verify//344/272/244/344/273/230/345/256/214/345/244/207/346/200/247/345/256/241/346/237/245.md

@@ -42,6 +42,7 @@ extra:
 - [ ] 每条需求 REQ 有对应实现，且实现行为符合需求
 - [ ] 交付内容不超出需求范围（无多余功能，[[工程执行总纲]] 精准修改）
 - [ ] 根本目标（fundamental_need）已达成，非只完成表面功能
+- [ ] **前端**（涉及 FE-* 时）：交付的端覆盖需求 §9 声明的所有端，每个 FE-* 端骨架完整（路由/状态/API service 壳/认证拦截器），无前端孤岛
 
 ## 二、证据充分（逼证据）
 

package/templates/verify//344/273/243/347/240/201/345/256/241/346/237/245/346/212/245/345/221/212.md

@@ -21,6 +21,7 @@ extra:
 
 > **产物定位**：verify 阶段必出。代码审查的最终裁决——发现项按严重度分级，黑盒项须人类签署。
 > **核心纪律**：审查 Agent 与编码 Agent 须独立（[[证据驱动与反幻觉]]）；黑盒项未经 `[Human-Audit: APPROVED]` 不得判通过（[[开发者宪法]]）。
+> **反退化纪律**：发现项表须逐条填写（维度/严重度/信任分级/文件/描述/建议/来源），禁止只列前几条后省略、禁止用「其余发现见附件」代替；维度覆盖矩阵每个维度都要标注覆盖状态。
 
 # 代码审查报告
 
@@ -41,13 +42,14 @@ extra:
 | 安全 | SEC-01~SEC-12 | ✅/❌ | <!-- 数量 --> | |
 | 性能 | PER-01~PER-09 | ✅/❌ | <!-- 数量 --> | |
 | 并发 | CON-01~CON-10 | ✅/❌ | <!-- 数量 --> | |
-| 架构 | ARC-01~ARC-09 | ✅/❌ | <!-- 数量 --> | |
+| 架构 | ARC-02/04/06/08（build-gate；ARC-03 事务降级编码纪律） | ✅/❌ | <!-- 数量 --> | |
 | SOLID | SOLID-SRP~SOLID-OCP | ✅/❌ | <!-- 数量 --> | |
-| 接口契约 | API-01~API-NN | ✅/❌ | <!-- 数量 --> | <!-- 接口审查规则 --> |
+| 接口契约 | API-03/04/06/07/08/09（build-gate） | ✅/❌ | <!-- 数量 --> | <!-- 接口审查规则 --> |
 | 可维护性 | MNT-01~MNT-05 | ✅/❌ | <!-- 数量 --> | **AI 盲区** |
 | 交付完备 | DEL-01~DEL-05, SEL-01~SEL-02, TRA-01~TRA-02 | ✅/❌ | <!-- 数量 --> | |
 | 决策完整性 | DEC-01~DEC-04 | ✅/❌ | <!-- 数量 --> | **AI 盲区** |
 | 上游交叉验证 | UCV-REV-01~UCV-REV-04 | ✅/❌ | <!-- 数量 --> | |
+| 前端工程 | FE-SKELETON/FE-CONTRACT/FE-AUTH | ✅/❌ | <!-- 数量 --> | 涉及 FE-* 时：骨架完整/前后端契约一致/前端权限承接（XVAL-REVIEW-FE + 交付完备性审查前端维度） |
 
 > **AI 盲区维度标注**：design（设计意图）/ maintainability（可维护性深层）/ documentation（文档完备）——这些维度 AI 审查置信度较低，建议人类重点复核。
 
@@ -67,3 +69,11 @@ extra:
 | 检查项 | 通过 |
 |---|---|
 | <!-- 检查项 --> | 是/否 |
+
+## 完成判定
+
+- [ ] 审查覆盖所有变更文件
+- [ ] 发现项按严重度分级（error/warning/info）
+- [ ] 审查清单全部校验通过
+- [ ] 无未处理的 error 级发现
+- [ ] 发现项表逐条完整填写，维度覆盖矩阵无遗漏维度

package/templates/verify//345/256/241/346/237/245/346/270/205/345/215/225.md

@@ -35,6 +35,8 @@ extra:
 > 合并旧的十几个审查碎拆（SOLID/性能/并发/错误处理/数据隐私/可维护性等）。
 > verify-gate 的 SEC/PER/CON/API 是确定性正则门禁；本清单是审查者的维度指引。
 > 注入到代码审查报告（review_report）产出时。
+>
+> **对抗审查独立于此**：verify 后 `sf_work action=adversarial_review` 做 K=3 次独立采样取交集（每轮独立 session 不互参、取多数复现），findings 留痕不阻断（不追求"零 error 收敛"）。本清单是单次审查维度，对抗审查是多次独立交叉验证。
 
 ## 审查维度（每类都要过一遍）
 
@@ -57,7 +59,7 @@ extra:
 ### 架构（对应 ARC-*）
 - 分层依赖、循环依赖、单一职责、Controller 不含业务逻辑
 
-### 接口契约（对应 API-01~10）
+### 接口契约（对应 API-03/04/06/07/08/09）
 - DTO 不暴露 Entity、写操作事务、权限注解、参数校验、RESTful、统一响应、分页、版本号、文档
 
 ### 可维护性（AI 盲区，重点人工复核）

package/templates/verify//346/236/266/346/236/204/350/257/255/344/271/211/347/272/242/347/272/277.md

@@ -0,0 +1,60 @@
+---
+id: ka-guidance-架构语义红线
+kind: guidance
+title: 架构语义红线
+sync_policy: engine_only
+status: active
+triggers:
+  - 架构红线
+  - 跨服务
+  - 跨边界
+  - 幂等
+  - 审计记录
+  - 绕过认证
+  - 部署方案
+  - 风险登记
+  - 黑盒审查
+  - 人工确认
+  - 人工签署
+extra:
+  name: architecture-semantic-redline
+  scope:
+    - '*'
+  products:
+    - '*'
+  type: constraint
+  lifecycle_status: active
+  version: 1.0.0
+  domain: verify
+  owner_mechanism: mc-stage-gate-engine
+---
+
+# 架构语义红线
+
+> **来源**：从 verify/enforced.md 的 `ARCH-C-REVIEW`（架构语义红线 9 条）+ `VRF-G02`（黑盒审查须人工确认）拆出。
+> 这些规则**不可代码确定性判定**（需业务上下文 / 人工判断），故归软下限（triggers 注入 + AI/人工评判），不进 gate。确定性架构检查仅 ARC-09（全局异常处理器，grep 项目级存在性）；**分层依赖 / 组件行数同样不可代码确定性判定**（需 AST / 项目特定规则 / 跨语言工具 dependency-cruiser·ArchUnit），归本软下限 + AI/人工审查（原 ARCH-DEP enforced 假覆盖已删，ARC-05 幽灵引用已清）。
+
+## 架构语义红线（原 ARCH-C-REVIEW 9 条）
+
+客户端 AI 结合业务上下文评判：
+
+1. **禁止 Patch JAR / docker commit / 运行时文件替换交付代码** —— 交付物须可重建、可追溯
+2. **禁止跨服务边界直访持久化** —— 前端 / Controller / 定时任务不得绕过服务层直接访问数据库实现
+3. **禁止绕过统一认证与数据范围控制暴露业务接口** —— 所有业务接口须经认证 + 数据权限
+4. **新增写操作须有可追溯审计记录** —— 谁 / 何时 / 改了什么
+5. **异步消息 / 定时任务 / 补偿逻辑须幂等** —— 重复执行不产生副作用
+6. **模块边界单一职责无过度耦合**（ARCH-R04）
+7. **NFR 目标值可测量**（ARCH-R07）—— 性能 / 容量指标有具体数值可验证
+8. **部署方案环境规划 / CI-CD 完整**（ARCH-R09）
+9. **风险登记覆盖度充分**（ARCH-R10）
+10. **模块依赖遵循分层方向、无循环依赖**（原 ARCH-DEP 降级）—— 表现层不得直接访问数据层、service 不得跨层直访；分层违规 / 循环依赖须 AI/人工审查（dependency-cruiser/ArchUnit 项目特定，不进确定性 gate）
+
+## 黑盒审查须人工确认（原 VRF-G02）
+
+所有信任分级为**黑盒**的审查项，必须有人类签署确认（人工签署判断，不可代码确定性判定）。
+
+> 为何软：机器无法判定"黑盒审查是否经人工签署"。靠本纪律提醒 AI 主动要求人工确认，并在审查报告记录签署人/时间。
+
+## 关联
+- 确定性架构检查：仅 ARC-09（全局异常处理器）。分层依赖 / 组件行数 → 本软下限 + AI/人工（非确定性，原 ARCH-DEP enforced 假覆盖已删）
+- [[证据驱动与反幻觉]] / [[开发者宪法]]

package/dist/core/scope_checker.d.ts

@@ -1,29 +0,0 @@
-/**
- * Scope 检查器 — 写路径 scope 硬检查（工具层拦截）。
- *
- * 职责边界：
- * - 负责：判断文件路径是否在任务允许的写范围内
- * - 不负责：门禁检查、业务逻辑、状态派生
- *
- * 被谁调用：sf_work（act 动作，写入前拦截）
- * 调用谁：无（纯计算）
- *
- * 数据流：文件路径 + allowed_paths → boolean
- * 持久化：无
- */
-/** Scope 检查结果 */
-export interface ScopeCheckResult {
-    /** 是否在范围内 */
-    allowed: boolean;
-    /** 拒绝原因（allowed=false 时有值） */
-    reason?: string;
-}
-/**
- * 检查文件路径是否在允许范围内。
- * 规则：
- * 1. 不能匹配全局禁止模式
- * 2. 必须匹配 allowed_paths 中的至少一个前缀/glob
- * 3. read_only_paths 只允许读，不允许写
- */
-export declare function checkScope(filePath: string, allowedPaths: string[], readOnlyPaths?: string[]): ScopeCheckResult;
-//# sourceMappingURL=scope_checker.d.ts.map

package/dist/core/scope_checker.d.ts.map

@@ -1 +0,0 @@
-{"version":3,"file":"scope_checker.d.ts","sourceRoot":"","sources":["../../src/core/scope_checker.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AAIH,iBAAiB;AACjB,MAAM,WAAW,gBAAgB;IAC/B,aAAa;IACb,OAAO,EAAE,OAAO,CAAC;IACjB,8BAA8B;IAC9B,MAAM,CAAC,EAAE,MAAM,CAAC;CACjB;AAWD;;;;;;GAMG;AACH,wBAAgB,UAAU,CACxB,QAAQ,EAAE,MAAM,EAChB,YAAY,EAAE,MAAM,EAAE,EACtB,aAAa,GAAE,MAAM,EAAO,GAC3B,gBAAgB,CA2BlB"}

package/dist/core/scope_checker.js

@@ -1,53 +0,0 @@
-/**
- * Scope 检查器 — 写路径 scope 硬检查（工具层拦截）。
- *
- * 职责边界：
- * - 负责：判断文件路径是否在任务允许的写范围内
- * - 不负责：门禁检查、业务逻辑、状态派生
- *
- * 被谁调用：sf_work（act 动作，写入前拦截）
- * 调用谁：无（纯计算）
- *
- * 数据流：文件路径 + allowed_paths → boolean
- * 持久化：无
- */
-/** 全局禁止写入的路径模式 */
-const DENIED_PATTERNS = [
-    /\.soloforge\/tasks\//, // 任务文件由 TaskStore 管理
-    /\.soloforge\/gates\//, // 门禁记录由 GateRecordStore 管理
-    /\.env/, // 环境变量文件
-    /\.git\//, // git 内部文件
-    /node_modules\//, // 依赖目录
-];
-/**
- * 检查文件路径是否在允许范围内。
- * 规则：
- * 1. 不能匹配全局禁止模式
- * 2. 必须匹配 allowed_paths 中的至少一个前缀/glob
- * 3. read_only_paths 只允许读，不允许写
- */
-export function checkScope(filePath, allowedPaths, readOnlyPaths = []) {
-    // 规则 1：全局禁止
-    for (const pattern of DENIED_PATTERNS) {
-        if (pattern.test(filePath)) {
-            return { allowed: false, reason: `路径匹配全局禁止模式：${pattern.source}` };
-        }
-    }
-    // 规则 2：只读路径
-    for (const roPath of readOnlyPaths) {
-        if (filePath.startsWith(roPath) || filePath.includes(roPath)) {
-            return { allowed: false, reason: `路径为只读：${roPath}` };
-        }
-    }
-    // 规则 3：必须在允许范围内
-    if (allowedPaths.length === 0) {
-        return { allowed: true }; // 未设限制 = 允许全部（除全局禁止外）
-    }
-    for (const allowed of allowedPaths) {
-        if (filePath.startsWith(allowed) || filePath.includes(allowed)) {
-            return { allowed: true };
-        }
-    }
-    return { allowed: false, reason: `路径不在允许范围内：${filePath}` };
-}
-//# sourceMappingURL=scope_checker.js.map

package/dist/core/scope_checker.js.map

@@ -1 +0,0 @@
-{"version":3,"file":"scope_checker.js","sourceRoot":"","sources":["../../src/core/scope_checker.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AAYH,kBAAkB;AAClB,MAAM,eAAe,GAAG;IACtB,sBAAsB,EAAY,qBAAqB;IACvD,sBAAsB,EAAY,2BAA2B;IAC7D,OAAO,EAA4B,SAAS;IAC5C,SAAS,EAA0B,WAAW;IAC9C,gBAAgB,EAAmB,OAAO;CAC3C,CAAC;AAEF;;;;;;GAMG;AACH,MAAM,UAAU,UAAU,CACxB,QAAgB,EAChB,YAAsB,EACtB,gBAA0B,EAAE;IAE5B,YAAY;IACZ,KAAK,MAAM,OAAO,IAAI,eAAe,EAAE,CAAC;QACtC,IAAI,OAAO,CAAC,IAAI,CAAC,QAAQ,CAAC,EAAE,CAAC;YAC3B,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,cAAc,OAAO,CAAC,MAAM,EAAE,EAAE,CAAC;QACpE,CAAC;IACH,CAAC;IAED,YAAY;IACZ,KAAK,MAAM,MAAM,IAAI,aAAa,EAAE,CAAC;QACnC,IAAI,QAAQ,CAAC,UAAU,CAAC,MAAM,CAAC,IAAI,QAAQ,CAAC,QAAQ,CAAC,MAAM,CAAC,EAAE,CAAC;YAC7D,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,SAAS,MAAM,EAAE,EAAE,CAAC;QACvD,CAAC;IACH,CAAC;IAED,gBAAgB;IAChB,IAAI,YAAY,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC9B,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,CAAC,CAAC,sBAAsB;IAClD,CAAC;IAED,KAAK,MAAM,OAAO,IAAI,YAAY,EAAE,CAAC;QACnC,IAAI,QAAQ,CAAC,UAAU,CAAC,OAAO,CAAC,IAAI,QAAQ,CAAC,QAAQ,CAAC,OAAO,CAAC,EAAE,CAAC;YAC/D,OAAO,EAAE,OAAO,EAAE,IAAI,EAAE,CAAC;QAC3B,CAAC;IACH,CAAC;IAED,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,MAAM,EAAE,aAAa,QAAQ,EAAE,EAAE,CAAC;AAC7D,CAAC"}

package/dist/gate/executors/executors_openapi_sync.d.ts

@@ -1,23 +0,0 @@
-/**
- * openapi_sync_check 执行器 — 比对 openapi.yaml 与详细设计文档的接口一致性。
- *
- * 职责边界：
- * - 负责：解析 openapi.yaml 和详细设计文档，比对路径/方法/参数/返回值
- * - 不负责：文档质量评估（语义层面的完整性由 AI 判断）
- *
- * 被谁调用：gate_engine evaluateCheck → gateExecutors.get("openapi_sync_check")
- * 调用谁：fs（读取文件）、yaml 解析（解析 openapi.yaml）
- *
- * 数据流：openapi.yaml + 详细设计文档 → 结构化比对 → 一致/不一致
- * 持久化：无
- */
-import type { GateExecutorFn } from "../gate_executors.js";
-/**
- * openapi_sync_check 执行器入口。
- *
- * 比对 openapi.yaml 与详细设计文档，检查：
- * 1. 设计文档引用的 endpoint 在 openapi.yaml 中存在
- * 2. 方法一致（GET/POST/PUT/DELETE 等）
- */
-export declare const executeOpenApiSyncCheck: GateExecutorFn;
-//# sourceMappingURL=executors_openapi_sync.d.ts.map

package/dist/gate/executors/executors_openapi_sync.d.ts.map

@@ -1 +0,0 @@
-{"version":3,"file":"executors_openapi_sync.d.ts","sourceRoot":"","sources":["../../../src/gate/executors/executors_openapi_sync.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;GAYG;AAKH,OAAO,KAAK,EAAE,cAAc,EAAE,MAAM,sBAAsB,CAAC;AAsE3D;;;;;;GAMG;AACH,eAAO,MAAM,uBAAuB,EAAE,cA+ErC,CAAC"}