superpowers-mcp 6.3.10 → 6.4.2

package/README.ja.md

@@ -2,7 +2,7 @@
 
 [English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![バージョン](https://img.shields.io/badge/version-6.3.10-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![バージョン](https://img.shields.io/badge/version-6.4.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 このドキュメントは、Superpowers スキルライブラリと自律型ワークフローを、独立した高パフォーマンスかつ安全な **Model Context Protocol (MCP)** サーバーにパッケージ化した使用説明書です。
@@ -23,7 +23,7 @@
 | :--- | :--- | :--- |
 | **Tools** | `list_skills`, `read_skill` | 14 種類の Superpowers スキルをオンデマンドで検索・読み込み。 |
 | **Prompts** | 9 個のネイティブ Prompts | `session-start`, `feature-pipeline`, `structured-debug`, `skill-composition`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer` |
-| **Resources** | 14 個の Skill URI + 1 ガイド | `skill://superpowers/<skill-name>` と `guide://superpowers/skill-compositions` |
+| **Resources** | 15 個の Skill URI + 1 ガイド | `skill://superpowers/<skill-name>` と `guide://superpowers/skill-compositions` |
 
 ### AI エージェントとの対話（基本操作）
 
@@ -154,15 +154,15 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ---
 
-## 📋 サポートされているスキル総覧 (14 のコアスキルと推奨シナリオ)
+## 📋 サポートされているスキル総覧 (15 のコアスキルと推奨シナリオ)
 
-適切なスキルを迅速に選択できるように、14 のスキルをソフトウェア開発ライフサイクル (SDLC) に沿って分類し、主要な役割と推奨シナリオを統合しました：
+適切なスキルを迅速に選択できるように、15 のスキルをソフトウェア開発ライフサイクル (SDLC) に沿って分類し、主要な役割と推奨シナリオを統合しました：
 
 | # | 開発フェーズ (Phase) | スキル名 (Skill Name) | 役割とコアバリュー (Purpose & Core Value) | 推奨利用シナリオ (Recommended Scenario) |
 | :-: | :--- | :--- | :--- | :--- |
 | 1 | **🚀 計画と設計** | **`brainstorming`** | **要件定義と設計探索**：コードを書く前に設計案や制約を明確化し仕様書を作成。Visual Companion による画面レビューも提供。 | 新機能や大幅な改修の開始前。AI がいきなりコードを書き始めるのを防止。 |
 | 2 | **🚀 計画と設計** | **`writing-plans`** | **実装計画の作成**：仕様書を独立検証可能なタスク一覧に分解し、Recommended Skill と変更対象を明記。 | 複数ファイルのリファクタリングや複雑な移行作業の前に実行計画を確立。 |
-| 3 | **💻 実装と開発** | **`executing-plans`** | **計画の順次実行**：現在のセッションでタスクをステップバイステップで実行し、チェックポイントで検証。 | サブエージェントを起動せず、同一セッション内で計画を順次実行したい時。 |
+| 3 | **💻 実装と開発** | **`executing-plans`** | **計画の順次実行**：現在のセッションで全タスクをステップバイステップで実行し、最後にブランチ全体を一度レビュー。 | サブエージェントを起動せず、同一セッション内で計画を順次実行したい時。 |
 | 4 | **💻 実装と開発** | **`subagent-driven-development`** | **サブエージェント駆動開発 (SDD)**：タスクごとにクリーンなコンテキストのサブエージェントを起動し、2 段階の対抗的レビューを実施。 | 複雑な計画を実行する際の推奨方式。コンテキスト汚染を防ぎ精度を向上。 |
 | 5 | **💻 実装と開発** | **`test-driven-development`** | **テスト駆動開発 (TDD)**：Red ➔ Green ➔ Refactor サイクルを厳格に適用し、テストを伴う高品質なコードを実装。 | ロジックの複雑な機能やコアアルゴリズムの実装時。 |
 | 6 | **🔍 デバッグと調査** | **`systematic-debugging`** | **体系的根本原因デバッグ**：エラーを検証可能な仮説に分解し、推測を排して体系的にバグを特定・修正。 | エラー、予期しない動作、再現困難なバグが発生した時。 |
@@ -174,12 +174,40 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 | 12 | **🤖 高度なエージェント制御** | **`dispatching-parallel-agents`** | **並行エージェントディスパッチ**：隔離環境で複数のサブエージェントを並行稼働させ、複数の仮説を同時に検証。 | 複数のテストが同時に失敗し、並行調査で原因特定を加速したい時。 |
 | 13 | **🤖 高度なエージェント制御** | **`using-superpowers`** | **基本規律とスキル導入**：適切なスキルを必ず検索・適用するための Superpowers の基本規律を確立。 | セッション開始時に自動読み込みされ、AI の行動規範を規定。 |
 | 14 | **🤖 高度なエージェント制御** | **`writing-skills`** | **スキルの作成と管理**：新しい Superpowers スキルの作成、テスト、パッケージ化の標準手順。 | チーム独自の新しいスキルを作成または拡張したい時。 |
+| 15 | **🤖 高度なエージェント制御** | **`diagnosing-superpowers`** | **セッションのフォレンジックとバグ報告**：ディスク上のトランスクリプトから問題の経緯を証拠付きで再構成し、スクラブ済みバンドルや GitHub issue 草案を作成。 | セッションが迷走した原因を証拠で解明したい時や、Superpowers メンテナへバグ報告する時。 |
 
 ---
 
 ## 🆕 最近の更新
 
-### v6.3.10（最新）
+### v6.4.2（最新）
+
+- **v6.4.2 セキュリティ監査とコードレビュー（2026-09-24）**:MCP サーバー、セットアップスクリプト、ビルドパイプライン、テストハーネスの監査指摘を是正しました（詳細は [SECURITY.md](SECURITY.md)）。
+  - **トラバーサルとエラー処理の修正**: スキル名を許可リスト検証の**前**にデコードし、二重エンコードされた `..%2f` / `%2e%2e` ペイロードは `InvalidParams` で拒否。未知のツール／プロンプトは `MethodNotFound` ではなく具体的な `InvalidParams` を返します。
+  - **TOCTOU と破壊的操作の防御**: シンボリックリンク検査後に canonical path を再検証、キャッシュ掃除はコピーマニフェストでゲート（フォーク固有スキルは絶対に削除されない）、drift/coverage レコードは一時ファイル + rename でアトミックに書き込み。
+  - **競合しないビルドとソフトフェイル同期**: `out/setup.js` のビルドは排他ロック + mtime 新鮮度の再確認、watch モード出力にも chmod を適用、上流ソース欠損時は偽の drift を出さずに正常終了。
+  - **正直なテストハーネス**: watchdog を ref 化し `exit`/`close` ハンドラでハングを検出、drift テストはネットワーク遮断下で実行、権限限定の skip は合格に数えない — 回帰フロアは **365/365** アサーションを維持。
+
+### v6.4.1
+
+- **上流 obra/superpowers v6.4.1 への同期**：
+  - **ネイティブなインライン実行**：書き直された `executing-plans` は新しい `task-start` / `task-done` で計画全体を実行し、最後にブランチ全体を一度レビュー（途中チェックインなし）。
+  - **新スキル `diagnosing-superpowers`**：ディスク上の記録から証拠付きでセッションを鑑識し、スクラブ済みバンドルや GitHub issue 草案を作成（全 15 スキル）。
+  - **レビュー動作**：未定義動作は合理的な利用者の期待で評価、`Declined to judge` リスト、`BASE_SHA` は `git merge-base origin/main HEAD`。
+  - **計画の Review Focus**：仕様が示唆するエッジケースを担当タスクに紐付ける新規テンプレート節とセルフレビュー項目。
+  - **新規ハーネス参照**：Muse と Claude Code のツール対応表；Devin / OpenCode 参照は維持。
+  - スクリプトはインタプリタ（`bash` / `node`）経由で呼び出し、マーケットプレイス packaging による実行ビット剥落に耐性化。
+- **Windows 対応と回帰フロア**：
+  - 新規 `task-start.ps1` / `task-done.ps1` と sh/ps1 対称テストスイート。
+  - 採用済み PR の耐久コンテンツを全て維持（Discoveries 台帳、レビューファイル契約、greenfield スクリプト、リモート安全境界）；drift ベースラインを再記録し差分ゼロ。
+- **包括的セキュリティ監査と回帰テスト基盤**（[`SECURITY.md`](SECURITY.md)）：
+  - 全テストスイート **365 件の自動化アサーション**（Node.js: 170、Bash: 67、PowerShell: 128）が 100% 合格、脆弱性ゼロ・機密漏洩ゼロを確認。
+  - インライン `task-done` は操作者が指定したテストを argv として実行（`"$@"` / `& $exe @rest`）。シェル解釈はしない。台帳の記録は表示専用。
+  - `diagnosing-superpowers` はローカル読み取り・エクスポートは相手承認後。スクラブはベストエフォートのため、共有前に必ず目視確認。
+  - 延期 findings のエクスポートは `Final: minor (deferred):` を含み、完了行の parked 件数には一致しない。
+  - ローカル Devin 設定（`.devin/`）は gitignore 済み。
+
+### v6.3.10
 
 - **ユニバーサルセットアップエンジンのキー名衝突解消とユーザー設定の無損失保持**：
   - 既存の `servers`、`mcp`、`mcpServers` を自動探索し、異なる AI Client 間で競合する重複設定ブロックが作成されるのを防止。
@@ -211,33 +239,6 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 - **デスクトップセットアップガイド**：
   - LM Studio、Roo Code、ChatWise、Cherry Studio の設定手順を解説した [`docs/desktop-setup.md`](docs/desktop-setup.md) を追加。
 
-### v6.3.8
-
-- **実行可能な対話型ワークフローランチャー**：
-  - `feature-pipeline` と `structured-debug` は、ステージごとに明示的な `read_skill` 呼び出しを示し、必要なユーザー承認ゲートを保持し、実行が MCP サーバー内ではなくクライアント Agent 側で行われることを明記します。
-  - マルチ Agent 対応 Host では Subagent を使い、非対応 Host では利用できない機能を称することなくインラインまたは逐次実行にフォールバックします。
-  - `read_skill` はスキル名単体と、文書化された `superpowers:` プレフィックスの両方を受け付けます。
-  - Skill Compositions ガイドを npm パッケージに含め、`guide://superpowers/skill-compositions` からも参照できます。
-- **ユニバーサルセットアップエンジンの並行安全性・Inode 防御・シンボリックリンク脱出防止**：
-  - **Allowed Roots 境界隔離**：設定の書き込み先を明示的な許可ルート（`homeDir`、`appData`、`localAppData`）内に限定し、親ディレクトリシンボリックリンク経由の脱出攻撃を遮断。
-  - **楽観的並行競合検知**：アトミックな `fs.renameSync` の直前にディスク内容と `expectedContent` を照合し、マルチプロセス競合による新しい設定の上書きを防止。
-  - **ディレクトリ Inode & Dev TOCTOU 防御**：一時ファイル書き込み前後でディレクトリのデバイス ID と inode を検証し、ディレクトリ差し替え攻撃を無効化。
-  - **Fail-Closed 厳格構文検証**：JSON のルートまたはサーバー項目が Plain Object でない場合は即座に拒絶し、プロトタイプ汚染を防止。
-- **コアスキルエンジンの確定性ソートと動的キャッシュ再検証**：
-  - **確定性ディレクトリ走査と衝突防止**：ディレクトリをアルファベット順に確定ソートし、競合キーを即座に検知して重複を安全にスキップ。
-  - **自動キャッシュ再検証 (`CACHE_REVALIDATE_MS = 1000`)**：ディスクの変更を 1 秒以内に自動検知・同期し、サーバー再起動なしで編集を反映。
-  - **大文字小文字フォールディングと正規パス防御**：`src/server.ts` が darwin/win32 で大文字小文字フォールディングと `fs.realpathSync` を実行し、システム保護ディレクトリを確実に遮断。
-- **RFC 6455 WebSocket プロトコル強化と弾力性ログ圧縮**：
-  - `CONTINUATION` (0x00) 分割メッセージの再構築を完全サポートし、制御フレームの分割禁止（`opcode >= 0x8 && !fin`）と非標準 RSV 拡張の排除を徹底。
-  - 末尾弾力性ログ圧縮：イベントログが 1 MB 上限に達した際、改行区切りの直近レコードを保持したままローテーションし、履歴の全損を回避。
-  - 秘密ファイル記述子を `O_RDWR | O_APPEND | O_CREAT | O_NOFOLLOW` で安全にオープン。
-- **Shell および PowerShell スクリプトのコマンドインジェクション防御**：
-  - `find-polluter.sh` および `find-polluter.ps1`：配列展開引数受け渡し (`"${TEST_COMMAND[@]}"`、`& $testCommand @testCommandArgs`) と空白セーフな読み込みループにより、シェルインジェクションを根絶。
-  - `sdd-workspace`：`cd` 実行前に `CDPATH=''` をリセットし、環境変数によるディレクトリハイジャックを防止。
-  - `sdd-workspace.ps1`：BOM なし UTF-8 (`[System.Text.UTF8Encoding]::new($false)`) でプランマーカーを保存し、Unicode パスの完全性を保護。
-- **全自動回帰テストの基盤**：
-  - テストスイートを **274 の全自動アサーション**（Node.js: 145、Bash: 35、PowerShell: 94）に拡張し、100% の合格率を維持。
-
 👉 *これまでの詳細なリリース履歴については、完全な [CHANGELOG.md](CHANGELOG.md) を参照してください。*
 
 ---

package/README.ko.md

@@ -2,7 +2,7 @@
 
 [English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![Version](https://img.shields.io/badge/version-6.3.10-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.4.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 이 문서는 Superpowers 스킬 라이브러리와 자율 에이전트 워크플로우를 독립적이고 고성능이며 안전한 **Model Context Protocol (MCP)** 서버로 패키징한 사용 지침을 요약한 것입니다.
@@ -23,7 +23,7 @@
 | :--- | :--- | :--- |
 | **Tools** | `list_skills`, `read_skill` | 14개의 Superpowers 스킬을 온디맨드로 검색, 로드 및 확인합니다. |
 | **Prompts** | 9개의 네이티브 Prompts | `session-start`, `feature-pipeline`, `structured-debug`, `skill-composition`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer` |
-| **Resources** | 14개 Skill URI + 1개 가이드 | `skill://superpowers/<skill-name>` 및 `guide://superpowers/skill-compositions` |
+| **Resources** | 15개 Skill URI + 1개 가이드 | `skill://superpowers/<skill-name>` 및 `guide://superpowers/skill-compositions` |
 
 ### AI 에이전트와 대화하기 (기본 사용법)
 
@@ -154,15 +154,15 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ---
 
-## 📋 지원되는 스킬 총람 (14대 핵심 스킬 및 추천 시나리오)
+## 📋 지원되는 스킬 총람 (15대 핵심 스킬 및 추천 시나리오)
 
-상황에 맞는 스킬을 신속하게 선택할 수 있도록, 14개의 스킬을 소프트웨어 개발 라이프사이클(SDLC)에 맞추어 분류하고 주요 역할과 커뮤니티 권장 시나리오를 하나로 통합했습니다:
+상황에 맞는 스킬을 신속하게 선택할 수 있도록, 15개의 스킬을 소프트웨어 개발 라이프사이클(SDLC)에 맞추어 분류하고 주요 역할과 커뮤니티 권장 시나리오를 하나로 통합했습니다:
 
 | # | 개발 단계 (Phase) | 스킬 이름 (Skill Name) | 역할 및 핵심 가치 (Purpose & Core Value) | 추천 사용 시나리오 (Recommended Scenario) |
 | :-: | :--- | :--- | :--- | :--- |
 | 1 | **🚀 계획 및 설계** | **`brainstorming`** | **요구사항 명확화 및 설계 탐색**：코드 작성 전 아키텍처 방안과 제약을 명확히 하고 스펙을 산출. Visual Companion 브라우저 UI 검토 지원. | 새 기능이나 대규모 변경을 시작하기 전, AI가 바로 코딩하는 것을 방지. |
 | 2 | **🚀 계획 및 설계** | **`writing-plans`** | **구현 계획 분해**：스펙을 독립 검증 가능한 작업 목록으로 분해하고 Recommended Skill 및 파일 계약 명시. | 여러 파일 리팩토링이나 복잡한 마이그레이션 전 명확한 청사진 수립. |
-| 3 | **💻 구현 및 개발** | **`executing-plans`** | **세션 내 계획 순차 실행**：현재 세션에서 계획에 따라 단계별로 작업을 실행하고 체크포인트 검토 수행. | 서브에이전트를 생성하지 않고 동일 세션 내에서 순차적으로 계획을 실행할 때. |
+| 3 | **💻 구현 및 개발** | **`executing-plans`** | **세션 내 계획 순차 실행**：현재 세션에서 모든 작업을 단계별로 실행한 뒤 마지막에 브랜치 전체를 한 번 검토. | 서브에이전트를 생성하지 않고 동일 세션 내에서 순차적으로 계획을 실행할 때. |
 | 4 | **💻 구현 및 개발** | **`subagent-driven-development`** | **서브에이전트 주도 개발 (SDD)**：작업별로 깨끗한 컨텍스트의 서브에이전트를 디스패치하고 이중 대립 코드 리뷰 수행. | 복잡한 계획 실행 시 컨텍스트 오염을 방지하고 정확도를 높이는 권장 방식. |
 | 5 | **💻 구현 및 개발** | **`test-driven-development`** | **테스트 주도 개발 (TDD)**：Red ➔ Green ➔ Refactor 주기를 엄격히 준수하여 견고한 테스트를 갖춘 코드 구현. | 논리적으로 복잡한 기능이나 핵심 알고리즘을 구현할 때. |
 | 6 | **🔍 디버깅 및 조사** | **`systematic-debugging`** | **체계적 근본 원인 디버깅**：오류를 검증 가능한 가설로 분해하고 체계적으로 원인을 추적하여 임의 수정을 방지. | 오류, 비정상 동작 또는 재현하기 어려운 버그가 발생했을 때. |
@@ -174,10 +174,38 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 | 12 | **🤖 고급 에이전트 제어** | **`dispatching-parallel-agents`** | **병렬 에이전트 조율**：격리된 환경에서 여러 서브에이전트를 병렬 디스패치하여 복수 가설을 동시에 검증. | 여러 테스트가 동시에 실패하여 병렬 조사로 원인 규명을 가속화할 때. |
 | 13 | **🤖 고급 에이전트 제어** | **`using-superpowers`** | **기본 규율 및 스킬 로드**：작업 전 적절한 스킬을 탐색하고 적용하도록 안내하는 Superpowers 기본 규율. | 세션 시작 시 자동으로 로드되어 AI의 행동 규범을 설정. |
 | 14 | **🤖 고급 에이전트 제어** | **`writing-skills`** | **스킬 작성 및 관리**：새로운 Superpowers 스킬을 생성, 테스트 및 패키징하는 표준 가이드. | 팀 전용 새 스킬을 작성하거나 기존 스킬을 확장할 때. |
+| 15 | **🤖 고급 에이전트 제어** | **`diagnosing-superpowers`** | **세션 포렌식 및 버그 리포트**：디스크의 트랜스크립트에서 문제 경위를 증거와 함께 재구성하고, 스크럽된 번들과 GitHub 이슈 초안을 작성. | 세션이 어긋난 원인을 증거로 규명하거나 Superpowers 메인테이너에게 버그를 보고할 때. |
 
 ## 🆕 최근 업데이트
 
-### v6.3.10 (최신)
+### v6.4.2 (최신)
+
+- **v6.4.2 보안 감사 및 코드 리뷰 (2026-09-24)**: MCP 서버, 설정 스크립트, 빌드 파이프라인, 테스트 하네스의 감사 지적 사항을 수정했습니다(자세한 내용은 [SECURITY.md](SECURITY.md)).
+  - **경로 탐색 및 오류 위생**: 스킬 이름을 허용 목록 검증 *전*에 디코드하여 이중 인코딩된 `..%2f` / `%2e%2e` 페이로드를 `InvalidParams`로 거부합니다. 미지의 도구와 프롬프트도 `MethodNotFound` 대신 실행 가능한 `InvalidParams` 오류를 반환합니다.
+  - **TOCTOU 및 파괴적 경로 방어**: 심볼릭 링크 검사 후 canonical path 재검증, 캐시 정리를 복사 매니페스트로 게이트(포크 전용 스킬은 절대 삭제되지 않음), drift/coverage 기록은 임시 파일 + rename으로 원자적으로 기록.
+  - **경쟁 없는 빌드와 소프트 페일 동기화**: `out/setup.js` 빌드는 배타적 잠금 + mtime 신선도 재확인, watch 모드 출력에 chmod 적용, 업스트림 소스 누락 시 오탐 drift 없이 정상 종료.
+  - **정직한 테스트 하네스**: watchdog에 ref와 서버 `exit`/`close` 핸들러로 조용한 종료 차단, drift 테스트는 네트워크 차단 하에 실행, 권한 제한 skip은 합격으로 집계되지 않음 — 회귀 기준선은 **365/365** 어서션 유지.
+
+### v6.4.1
+
+- **상류 obra/superpowers v6.4.1 동기화**:
+  - **네이티브 인라인 실행**: 새로 작성된 `executing-plans`가 신규 `task-start` / `task-done`으로 전체 계획을 실행한 뒤 브랜치 전체를 한 번만 리뷰(중간 체크인 없음).
+  - **신규 스킬 `diagnosing-superpowers`**: 디스크 기록에서 증거와 함께 세션을 감식하고 스크럽된 번들과 GitHub 이슈 초안 작성(총 15개 스킬).
+  - **리뷰 동작**: 미정의 동작은 합리적 사용자 기대로 평가, `Declined to judge` 목록, `BASE_SHA`는 `git merge-base origin/main HEAD` 사용.
+  - **계획 Review Focus**: 스펙이 시사하는 엣지 케이스를 담당 태스크에 연결하는 신규 템플릿 섹션과 셀프 리뷰 항목.
+  - **신규 하네스 참조**: Muse 및 Claude Code 도구 매핑; Devin / OpenCode 참조 유지.
+  - 스크립트는 인터프리터(`bash` / `node`) 경유 호출로 마켓플레이스 패키징의 실행 비트 손상에 내성 확보.
+- **Windows 대응 및 회귀 플로어**:
+  - 신규 `task-start.ps1` / `task-done.ps1`과 sh/ps1 대칭 테스트 스위트.
+  - 채택된 PR 내구성 콘텐츠 전부 유지(Discoveries 원장, 리뷰 파일 계약, greenfield 스크립트, 원격 안전 경계); drift 베이스라인 재기록, 잔여 차이 없음.
+- **포괄적인 보안 감사 및 자동화 회귀 테스트 기준선** ([`SECURITY.md`](SECURITY.md)):
+  - 전체 스위트 **365개 자동 어서션**(Node.js: 170, Bash: 67, PowerShell: 128) 100% 통과, 취약점 0건, 기밀 유출 0건 확인.
+  - 인라인 `task-done`은 운영자가 지정한 테스트를 argv로 실행(`"$@"` / `& $exe @rest`)하며 셸로 재해석하지 않음. 원장 기록은 표시 전용.
+  - `diagnosing-superpowers`는 로컬 읽기만 수행하고 내보내기는 상대 승인 후. 스크럽은 최선을 다하는 수준이므로 공유 전 반드시 검토.
+  - 지연 findings 내보내기는 `Final: minor (deferred):`를 포함하며 완료 줄의 parked 건수에는 일치하지 않음.
+  - 로컬 Devin 설정(`.devin/`)은 gitignore됨.
+
+### v6.3.10
 
 - **유니버설 글로벌 설정 엔진 키 충돌 해소 및 사용자 설정 무손실 보존**:
   - 기존의 `servers`, `mcp`, `mcpServers`를 자동 감지하여 서로 다른 AI Client 환경에서 중복되거나 모순되는 설정 블록이 생성되는 것을 방지.
@@ -209,33 +237,6 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 - **데스크톱 설정 가이드**:
   - LM Studio, Roo Code, ChatWise, Cherry Studio의 상세 설정 지침을 담은 [`docs/desktop-setup.md`](docs/desktop-setup.md) 추가.
 
-### v6.3.8
-
-- **실행 가능한 대화형 워크플로 런처**:
-  - `feature-pipeline`과 `structured-debug`는 단계별 명시적 `read_skill` 호출을 제공하고, 필수 사용자 승인 게이트를 유지하며, MCP 서버 내부가 아닌 클라이언트 Agent가 실행한다는 점을 명확히 밝힙니다.
-  - 멀티 Agent를 지원하는 Host에서는 Subagent를 사용하고, 그 외에는 없는 기능을 사용했다고 표현하지 않고 인라인 또는 순차 실행으로 폴백합니다.
-  - `read_skill`은 스킬 이름 단독 형식과 문서화된 `superpowers:` 접두사 형식을 모두 지원합니다.
-  - Skill Compositions 가이드가 npm 패키지에 포함되며 `guide://superpowers/skill-compositions`에서도 읽을 수 있습니다.
-- **유니버설 글로벌 설정 엔진 동시성 안전, Inode 방어 및 심볼릭 링크 탈출 격리**:
-  - **Allowed Roots 경계 격리**: 설정 파일 대상을 사용자가 명시한 허용 루트(`homeDir`, `appData`, `localAppData`) 내부로 제한하여 상위 디렉터리 심볼릭 링크 탈출 공격 차단.
-  - **낙관적 동시성 충돌 감지**: 원자적 `fs.renameSync` 직전에 디스크 내용과 `expectedContent`를 대조하여 다중 프로세스 경쟁으로 인한 최신 설정 덮어쓰기 방지.
-  - **디렉터리 Inode & Dev TOCTOU 방어**: 임시 파일 작성 전후로 디렉터리의 디바이스 ID와 inode를 검증하여 디렉터리 교체 공격 차단.
-  - **Fail-Closed 엄격 구문 분석**: JSON 루트 또는 서버 필드가 Plain Object가 아닐 경우 즉시 거부하여 프로토타입 오염 방지.
-- **핵심 스킬 엔진 결정론적 정렬 및 동적 캐시 재검증**:
-  - **결정론적 디렉터리 색인 및 충돌 방어**: 디렉터리를 알파벳순으로 정렬하고 충돌 키를 즉시 감지하여 안전하게 중복 건너뛰기.
-  - **자동 캐시 재검증 (`CACHE_REVALIDATE_MS = 1000`)**: 디스크 변경 사항을 1초 내에 자동 감지하여 서버 재시작 없이 편집 내용 반영.
-  - **대소문자 폴딩 및 정규 경로 방어**: `src/server.ts`가 darwin/win32에서 대소문자 폴딩과 `fs.realpathSync`를 수행하여 시스템 보호 디렉터리 접근 원천 차단.
-- **RFC 6455 WebSocket 프로토콜 강화 및 복원력 있는 로그 압축**:
-  - `CONTINUATION` (0x00) 분할 메시지 재조합 완전 지원, 제어 프레임 분할 금지(`opcode >= 0x8 && !fin`) 및 비표준 RSV 확장 엄격 차단.
-  - 후미 탄력적 로그 압축: 이벤트 로그가 1 MB 한도에 도달하면 개행 정렬된 최근 레코드를 보존하여 전체 손실 방지.
-  - 비공개 파일 디스크립터를 `O_RDWR | O_APPEND | O_CREAT | O_NOFOLLOW`로 안전하게 열기.
-- **Shell 및 PowerShell 스크립트 명령 주입 방어**:
-  - `find-polluter.sh` 및 `find-polluter.ps1`: 배열 전개 인자 전달 (`"${TEST_COMMAND[@]}"`, `& $testCommand @testCommandArgs`)과 공백 안전 읽기 루프로 셸 주입 원천 차단.
-  - `sdd-workspace`: `cd` 실행 전 `CDPATH=''`를 재설정하여 환경 변수를 통한 디렉터리 탈취 차단.
-  - `sdd-workspace.ps1`: BOM 없는 UTF-8(`[System.Text.UTF8Encoding]::new($false)`)로 플랜 마커를 저장하여 Unicode 경로 정합성 유지.
-- **전체 자동 회귀 테스트 기준선**:
-  - 테스트 스위트를 **274개 자동 어서션**(Node.js: 145, Bash: 35, PowerShell: 94)으로 확장하고 100% 통과율 유지.
-
 👉 *이전 버전의 전체 릴리스 내역은 [CHANGELOG.md](CHANGELOG.md)를 참조하세요.*
 
 ---

package/README.md

@@ -2,7 +2,7 @@
 
 [English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![Version](https://img.shields.io/badge/version-6.3.10-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![Version](https://img.shields.io/badge/version-6.4.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 This document summarizes the information and usage instructions for packaging the Superpowers skills and autonomous workflow system into an independent, high-performance, and secure **Model Context Protocol (MCP)** server.
@@ -23,7 +23,7 @@ This document summarizes the information and usage instructions for packaging th
 | :--- | :--- | :--- |
 | **Tools** | `list_skills`, `read_skill` | Discover, search, and load full skill instructions and checklists on demand. |
 | **Prompts** | 9 Native Prompts | `session-start`, `feature-pipeline`, `structured-debug`, `skill-composition`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer` |
-| **Resources** | 14 Skill URIs + 1 Guide | `skill://superpowers/<skill-name>` plus `guide://superpowers/skill-compositions` |
+| **Resources** | 15 Skill URIs + 1 Guide | `skill://superpowers/<skill-name>` plus `guide://superpowers/skill-compositions` |
 
 ### Chatting with the AI Agent (Basic Usage)
 
@@ -155,15 +155,15 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ---
 
-## 📋 Supported Skills Overview (14 Core Skills & Scenarios)
+## 📋 Supported Skills Overview (15 Core Skills & Scenarios)
 
-To help you choose the right skill, we have structured all 14 skills across the Software Development Lifecycle (SDLC), merging core capabilities and community-recommended scenarios:
+To help you choose the right skill, we have structured all 15 skills across the Software Development Lifecycle (SDLC), merging core capabilities and community-recommended scenarios:
 
 | # | SDLC Phase | Skill Name | What It Does (Purpose & Core Value) | Recommended Scenario |
 | :-: | :--- | :--- | :--- | :--- |
 | 1 | **🚀 Planning & Design** | **`brainstorming`** | **Requirements & Architecture Design**: Explores options and constraints before coding; outputs Design Specs; includes Visual Companion browser UI review. | Before starting any new feature or major change; prevents jumping straight into code. |
 | 2 | **🚀 Planning & Design** | **`writing-plans`** | **Implementation Planning**: Decomposes specs into bite-sized, testable tasks annotated with Recommended Skills and file contracts. | Before multi-file refactoring, complex migrations, or major implementations. |
-| 3 | **💻 Implementation** | **`executing-plans`** | **In-Session Plan Execution**: Executes planned tasks step-by-step with checkpoint reviews in the current session. | Batch execution of plans within the same session without spawning subagents. |
+| 3 | **💻 Implementation** | **`executing-plans`** | **In-Session Plan Execution**: Executes every planned task step-by-step in the current session, then one whole-branch review at the end. | Batch execution of plans within the same session without spawning subagents. |
 | 4 | **💻 Implementation** | **`subagent-driven-development`** | **Subagent-Driven Development (SDD)**: Dispatches fresh, context-isolated subagents per task with dual-layer adversarial reviews. | Recommended execution model for complex plans to eliminate context pollution. |
 | 5 | **💻 Implementation** | **`test-driven-development`** | **Test-Driven Development (TDD)**: Enforces strict Red ➔ Green ➔ Refactor cycles ensuring robust test coverage. | When implementing logically challenging features or critical algorithms. |
 | 6 | **🔍 Debugging** | **`systematic-debugging`** | **Systematic Root Cause Debugging**: Deconstructs complex errors into testable hypotheses with validation experiments. | When encountering any unexpected error, test failure, or intermittent bug. |
@@ -175,10 +175,38 @@ To help you choose the right skill, we have structured all 14 skills across the
 | 12 | **🤖 Advanced Agents** | **`dispatching-parallel-agents`** | **Parallel Agent Orchestration**: Dispatches concurrent subagents in isolated workspaces to investigate multiple hypotheses simultaneously. | When facing multiple failing tests or investigating independent theories in parallel. |
 | 13 | **🤖 Advanced Agents** | **`using-superpowers`** | **Superpowers Foundation & Discipline**: Establishes mandatory skill discovery, loading discipline, and priority rules. | Automatically loaded at session start to enforce software engineering standards. |
 | 14 | **🤖 Advanced Agents** | **`writing-skills`** | **Skill Authoring & Maintenance**: Guides the creation, testing, and packaging of new Superpowers skills. | When creating custom skills or enhancing existing skill instructions. |
+| 15 | **🤖 Advanced Agents** | **`diagnosing-superpowers`** | **Session Forensics & Maintainer Reports**: Reconstructs what went wrong in a session from on-disk transcripts with cited evidence; drafts scrubbed bundles and GitHub issues. | When a session went sideways and you need evidence of why, or a bug report for the Superpowers maintainers. |
 
 ## 🆕 Recent Updates
 
-### v6.3.10 (Latest)
+### v6.4.2 (Latest)
+
+- **v6.4.2 security audit & code review (2026-09-24)**: closed the audit findings across the MCP server, setup scripts, build pipeline, and test harness (details in [SECURITY.md](SECURITY.md)).
+  - **Traversal & error hygiene**: skill names are decoded *before* allowlist validation, so double-encoded `..%2f` / `%2e%2e` payloads are rejected with `InvalidParams`; unknown tools and prompts now return actionable `InvalidParams` errors instead of `MethodNotFound`.
+  - **TOCTOU & destructive-path defense**: canonical paths are re-verified after symlink checks, cache cleanup is gated by the copy manifest (fork-specific skills can never be deleted), and drift/coverage records are written atomically via temp file + rename.
+  - **Race-free builds & fail-soft sync**: `out/setup.js` builds take an exclusive lock with an mtime staleness re-check, watch-mode output is chmod-ed executable, and missing upstream sources exit cleanly instead of raising false drift.
+  - **Honest test harness**: a ref'd watchdog plus server `exit`/`close` handlers end silent hangs, drift tests run behind a network guard, and privilege-limited skips can no longer count as passes — regression floor holds at **365/365** assertions.
+
+### v6.4.1
+
+- **Upstream Sync to obra/superpowers v6.4.1**:
+  - **Native inline plan execution**: rewritten `executing-plans` runs the whole plan via new `task-start` / `task-done` helpers, then one whole-branch review — no mid-plan check-ins.
+  - **New skill: `diagnosing-superpowers`**: session forensics from on-disk transcripts with cited evidence, plus scrubbed bundles and GitHub issue drafts (15 skills total).
+  - **Review behavior**: grade unspecified behavior by reasonable-user expectation, `Declined to judge` list, `BASE_SHA` via `git merge-base origin/main HEAD`.
+  - **Plan Review Focus**: new template section and self-review item pinning spec-implied edge cases to owning tasks.
+  - **New harness refs**: Muse and Claude Code tool mappings; Devin/OpenCode refs retained.
+  - Scripts invoked through their interpreter (`bash` / `node`) so marketplace packaging can't break them.
+- **Windows Parity & Regression Floor**:
+  - New `task-start.ps1` / `task-done.ps1` ports with sh/ps1 symmetry test suites.
+  - All adopted-PR durability content retained (Discoveries ledger, review-file contract, greenfield scripts, remote-safety); drift baseline re-recorded with zero drift.
+- **Comprehensive Security Audit & Automated Regression Floor** ([`SECURITY.md`](SECURITY.md)):
+  - 100% verified across **365 automated test assertions** (Node.js 170, Bash 67, PowerShell 128), 0 vulnerabilities, 0 hardcoded secrets.
+  - Inline `task-done` runs operator-chosen tests as argv (`"$@"` / `& $exe @rest`), not a shell; ledger text is display-only.
+  - `diagnosing-superpowers` is local-read and export-gated; redaction is best-effort — review every file before sharing.
+  - Deferred-findings export now includes `Final: minor (deferred):` without matching completion-line parked counts.
+  - Local Devin config (`.devin/`) is gitignored.
+
+### v6.3.10
 
 - **Universal Setup Key Conflict Resolution & Lossless Field Preservation**:
   - Automatically discovers existing declarations across recognized server keys (`servers`, `mcp`, `mcpServers`), preventing duplicate conflicting configurations.
@@ -210,33 +238,6 @@ To help you choose the right skill, we have structured all 14 skills across the
 - **Desktop Setup Guide**:
   - Added comprehensive [`docs/desktop-setup.md`](docs/desktop-setup.md) covering LM Studio, Roo Code, ChatWise, and Cherry Studio setup.
 
-### v6.3.8
-
-- **Actionable Interactive Workflow Launchers**:
-  - `feature-pipeline` and `structured-debug` now emit explicit stage-by-stage `read_skill` calls, preserve required user approval gates, and clearly state that execution happens through the client agent rather than inside the MCP server.
-  - Hosts with multi-agent support can use subagent execution; other hosts fall back to inline or sequential execution without claiming unavailable capabilities.
-  - `read_skill` accepts both bare skill names and the documented `superpowers:` prefix.
-  - The composition guide is included in the npm package and available through `guide://superpowers/skill-compositions`.
-- **Universal Global Setup Concurrency & Symlink Breakout Defense**:
-  - **Allowed Roots Boundary Containment**: Enforces destination restriction to explicit allowed user roots (`homeDir`, `appData`, `localAppData`), blocking parent-directory symlink breakout attacks.
-  - **Optimistic Concurrency Conflict Defense**: Compares file content against `expectedContent` immediately prior to atomic `fs.renameSync`, preventing race conditions from silently overwriting newer configurations.
-  - **Directory Inode & Device TOCTOU Verification**: Re-checks parent directory canonical path, device ID (`dev`), and inode (`ino`) before and after temporary file creation, blocking directory swap attacks.
-  - **Fail-Closed Validation**: Rejects non-object JSON roots or server fields and duplicate YAML keys.
-- **Skills Core Engine Collision Defense & Dynamic Cache Revalidation**:
-  - **Deterministic Directory Cataloging**: Catalogs directories in deterministic alphabetical order and detects alias/name collisions in `newSkillMap`, emitting diagnostic warnings and skipping duplicates.
-  - **Automatic Cache Revalidation (`CACHE_REVALIDATE_MS = 1000`)**: Detects disk modifications within 1 second without requiring MCP server restarts.
-  - **Canonical Path Blacklisting**: Platform case-folding and `fs.realpathSync` validation to prevent symlink bypass of system directories (`/private/etc`, `/private/var`, `C:\Windows`).
-- **RFC 6455 WebSocket Protocol & Resilient Stream Hardening**:
-  - Support for fragmented text messages (`CONTINUATION` opcode `0x00`) with payload size tracking and RFC 6455 control frame constraints (`opcode >= 0x8 && !fin` rejected).
-  - Resilient tail event log compaction: Preserves recent newline-delimited event records when approaching the 1 MB file cap rather than dropping all historical events.
-  - Event log append mode hardened with `O_RDWR | O_APPEND | O_CREAT | O_NOFOLLOW`.
-- **Shell & PowerShell Script Hardening**:
-  - `find-polluter.sh` & `find-polluter.ps1`: Caller-supplied test command with safe array expansion (`"${TEST_COMMAND[@]}"`, `& $testCommand @testCommandArgs`) and space-safe while loop, preventing shell command injection.
-  - `sdd-workspace`: Sanitizes `CDPATH=''` before all `cd` operations, neutralizing directory redirection attacks.
-  - `sdd-workspace.ps1`: Lossless Unicode plan marker persistence using UTF-8 without BOM (`[System.Text.UTF8Encoding]::new($false)`).
-- **Automated Regression Verification Floor**:
-  - Expanded test suite to **274 automated test assertions** across Node.js (145), Bash (35), and PowerShell (94) with a 100% pass rate.
-
 👉 *For the complete release history, see [CHANGELOG.md](CHANGELOG.md).*
 
 ---

package/README.zh-TW.md

@@ -2,7 +2,7 @@
 
 [English](README.md) | [繁體中文](README.zh-TW.md) | [日本語](README.ja.md) | [한국어](README.ko.md)
 
-[![版本](https://img.shields.io/badge/version-6.3.10-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
+[![版本](https://img.shields.io/badge/version-6.4.2-blue.svg)](https://github.com/Poseidoncode/superpowers-mcp)
 [![授權](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
 
 本文檔總結了將 Superpowers 技能庫與自主 Agent 工作流架構打包成獨立、高效能且安全加固的 **Model Context Protocol (MCP)** 伺服器之相關資訊與使用說明。
@@ -23,7 +23,7 @@
 | :--- | :--- | :--- |
 | **Tools (工具)** | `list_skills`, `read_skill` | 依需求隨時探索、搜尋並載入技能完整內容與操作規範。 |
 | **Prompts (提示詞)** | 9 個原生 Prompts | `session-start`, `feature-pipeline`, `structured-debug`, `skill-composition`, `sdd-implementer`, `sdd-task-reviewer`, `sdd-re-review`, `spec-reviewer`, `plan-reviewer` |
-| **Resources (資源)** | 14 項技能 URI + 1 項指南 | `skill://superpowers/<skill-name>`，以及 `guide://superpowers/skill-compositions` |
+| **Resources (資源)** | 15 項技能 URI + 1 項指南 | `skill://superpowers/<skill-name>`，以及 `guide://superpowers/skill-compositions` |
 
 ### 與 AI Agent 對話（基礎操作）
 
@@ -154,15 +154,15 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 
 ---
 
-## 📋 支援技能總覽 (14 項核心技能與適用情境)
+## 📋 支援技能總覽 (15 項核心技能與適用情境)
 
-為了讓您能快速選用合適的技能，我們將 14 個技能依照軟體開發生命週期 (SDLC) 進行分類，並整合其核心用途與社群推薦使用情境：
+為了讓您能快速選用合適的技能，我們將 15 個技能依照軟體開發生命週期 (SDLC) 進行分類，並整合其核心用途與社群推薦使用情境：
 
 | # | 開發階段 (Phase) | 技能名稱 (Skill Name) | 它是幹嘛用的？ (Purpose & Core Value) | 推薦使用情境 (Recommended Scenario) |
 | :-: | :--- | :--- | :--- | :--- |
 | 1 | **🚀 規劃與設計** | **`brainstorming`** | **需求澄清與設計探索**：在寫代碼前探索架構方案、釐清邊界，產出 Spec。內建 Visual Companion 瀏覽器即時設計審查。 | 啟動任何新功能或大改版前，防止 AI 直接衝進去寫 code。 |
 | 2 | **🚀 規劃與設計** | **`writing-plans`** | **實作計畫拆解**：將設計規格分解為獨立可測試的原子任務清單，標註檔案契約與 Recommended Skill。 | 進行多檔案重構、複雜遷移或大型開發前，建立清晰藍圖。 |
-| 3 | **💻 開發與實作** | **`executing-plans`** | **會話內計畫執行**：在當前會話中依據計畫逐步批次執行任務，並於關鍵節點進行檢查點審查。 | 不需要開多個 Subagent 時的連續計畫執行。 |
+| 3 | **💻 開發與實作** | **`executing-plans`** | **會話內計畫執行**：在當前會話中依據計畫逐步執行全部任務，完成後再做一次全分支審查。 | 不需要開多個 Subagent 時的連續計畫執行。 |
 | 4 | **💻 開發與實作** | **`subagent-driven-development`** | **子代理驅動開發 (SDD)**：為各任務派發乾淨上下文的獨立 Subagent 實作，並在任務間發起雙層對抗式代碼審查。 | 推薦的複雜計畫執行方式，防止上下文污染並提高精確度。 |
 | 5 | **💻 開發與實作** | **`test-driven-development`** | **測試驅動開發 (TDD)**：嚴格執行「紅燈（寫失敗測試）➔ 綠燈（最小實作）➔ 重構」循環。 | 實作邏輯複雜功能時，確保代碼隨附測試且具備回歸防護。 |
 | 6 | **🔍 除錯與排查** | **`systematic-debugging`** | **系統性除錯與根因分析**：將問題拆解為可測試的假說並設計驗證實驗，徹底杜絕盲猜式亂改。 | 遇到任何報錯、異常行為或難以重現的 Bug 時。 |
@@ -174,10 +174,38 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 | 12 | **🤖 進階調度** | **`dispatching-parallel-agents`** | **並行代理調度**：在隔離環境中同時派發多個 Subagent 平行驗證獨立假說或處理多個子任務。 | 多個測試同時失敗，需要加速並行排查根因時。 |
 | 13 | **🤖 進階調度** | **`using-superpowers`** | **Superpowers 基礎紀律**：MCP 入口技能，引導 Agent 在任何任務前主動搜尋並載入對應技能規範。 | 開啟對話時自動載入，規範 AI 的行為準則。 |
 | 14 | **🤖 進階調度** | **`writing-skills`** | **技能撰寫與維護**：規範如何為團隊建立、測試與封裝新的 Superpowers 技能。 | 需要擴充專屬新技能或更新既有技能時。 |
+| 15 | **🤖 進階調度** | **`diagnosing-superpowers`** | **會話鑑識與錯誤回報**：依據磁碟上的對話紀錄重建出錯原因並附引證；可產出脫敏 bundle 與 GitHub issue 草稿。 | 會話走偏需要證據釐清原因，或要向 Superpowers 維護者回報問題時。 |
 
 ## 🆕 最近更新
 
-### v6.3.10 (最新版)
+### v6.4.2 (最新版)
+
+- **v6.4.2 安全審計與程式碼審計（2026-09-24）**：補上 MCP 伺服器、安裝腳本、建置管線與測試工具的審計缺口（詳見 [SECURITY.md](SECURITY.md)）。
+  - **路徑穿越與錯誤訊息修正**：技能名稱先解碼再通過白名單驗證，double-encoding 的 `..%2f` / `%2e%2e` 載荷會以 `InvalidParams` 拒絕；未知工具與 Prompt 改回傳具體可操作的 `InvalidParams`，不再誤報 `MethodNotFound`。
+  - **TOCTOU 與破壞性路徑防護**：符號連結檢查後重新驗證 canonical path、快取清理須通過 copy manifest 閘門（fork 自有技能絕不會被誤刪）、drift/coverage 記錄改以暫存檔 + rename 原子寫入。
+  - **無競態建置與軟失敗同步**：`out/setup.js` 建置加上獨佔鎖與 mtime 新鮮度重查、watch 模式輸出補上 chmod 執行權限、上游來源缺漏時優雅結束而不是誤報 drift。
+  - **誠實的測試工具**：watchdog 加 ref、server `exit`/`close` 處理器杜絕靜默掛死、drift 測試加上網路封鎖、特權降級的 skip 不再計為通過 — 回歸基準維持 **365/365** 斷言。
+
+### v6.4.1
+
+- **上游同步至 obra/superpowers v6.4.1**：
+  - **原生會話內執行**：重寫的 `executing-plans` 以新版 `task-start` / `task-done` 跑完全部計畫，最後再做一次全分支審查，不再中途停下來確認。
+  - **新技能 `diagnosing-superpowers`**：依據磁碟紀錄做會話鑑識並附引證，可產出脫敏 bundle 與 GitHub issue 草稿（共 15 個技能）。
+  - **審查行為**：以合理使用者期望評斷未載明行為、`Declined to judge` 清單、`BASE_SHA` 改用 `git merge-base origin/main HEAD`。
+  - **計畫 Review Focus**：新增模板章節與自查項，將規格隱含的邊界案例釘到負責的任務。
+  - **新平台參照**：Muse 與 Claude Code 工具對照；Devin / OpenCode 參照保留。
+  - 腳本一律透過直譯器（`bash` / `node`）呼叫，避免市集打包剝除執行位元導致失效。
+- **Windows 對等與迴歸防線**：
+  - 新增 `task-start.ps1` / `task-done.ps1` 與 sh/ps1 對稱測試。
+  - 既有 PR 採用內容全數保留（Discoveries 帳本、審查檔契約、greenfield 腳本、遠端安全邊界）；drift 基準重錄，零殘留差異。
+- **全方位安全審計與回歸測試底線**（[`SECURITY.md`](SECURITY.md)）：
+  - 全套件 **365 項自動化測試斷言**（Node.js: 170、Bash: 67、PowerShell: 128）100% 通過，0 漏洞、0 敏感資訊外洩。
+  - 會話內 `task-done` 以 argv 執行操作者指定的測試（`"$@"` / `& $exe @rest`），不是 shell；帳本內容僅供顯示。
+  - `diagnosing-superpowers` 僅讀本機紀錄、匯出需對方同意；脫敏為盡力而為，分享前仍須人工檢查。
+  - 延後發現匯出已涵蓋 `Final: minor (deferred):`，且不會誤抓完成列的 parked 計數。
+  - 本機 Devin 設定（`.devin/`）已列入 gitignore。
+
+### v6.3.10
 
 - **全域安裝引擎鍵名衝突化解與使用者設定無損保留**：
   - 自動探索既有的 `servers`、`mcp`、`mcpServers`，防止在不同 AI Client 環境中重複建立互相矛盾的設定區塊。
@@ -209,33 +237,6 @@ systematic-debugging ➔ using-git-worktrees ➔ dispatching-parallel-agents ➔
 - **桌面整合指南**：
   - 新增完整文件 [`docs/desktop-setup.md`](docs/desktop-setup.md)，涵蓋 LM Studio、Roo Code、ChatWise 與 Cherry Studio 步驟指引。
 
-### v6.3.8
-
-- **可執行的互動式工作流啟動器**：
-  - `feature-pipeline` 與 `structured-debug` 會逐階段給出明確的 `read_skill` 呼叫，保留必要的使用者核准關卡，並清楚說明流程由客戶端 Agent 執行，不是 MCP 伺服器內部自動執行。
-  - 支援多 Agent 的 Host 可使用 Subagent；其他 Host 會退回會話內或序列執行，不會聲稱使用不存在的能力。
-  - `read_skill` 同時接受純技能名稱與文件所載的 `superpowers:` 前綴。
-  - Skill Compositions 指南已納入 npm 套件，並可透過 `guide://superpowers/skill-compositions` 讀取。
-- **全域安裝引擎並行安全、Inode 防禦與符號連結跳脫隔離**：
-  - **Allowed Roots 邊界隔離**：強制限制目的地路徑必須在使用者允許目錄（`homeDir`、`appData`、`localAppData`），杜絕父層符號連結跳脫攻擊。
-  - **樂觀並行衝突檢測**：在原子 `fs.renameSync` 前比對磁碟檔案與 `expectedContent`，防止多行程競態覆寫較新的設定檔。
-  - **目錄 Inode & Dev TOCTOU 防禦**：比對暫存檔案目錄之真實裝置與 inode 識別碼，防止目錄置換攻擊。
-  - **Fail-Closed 嚴格解析防護**：JSON 根目錄或伺服器欄位非 Plain Object 時即刻拒絕，阻斷原型污染與畸形設定。
-- **核心技能引擎確定性排序與動態快取驗證**：
-  - **目錄確定性排序與別名衝突防禦**：目錄按字母確定性排序並即時阻擋衝突鍵名，杜絕隨機覆寫與快取錯位。
-  - **自動快取驗證 (`CACHE_REVALIDATE_MS = 1000`)**：磁碟變更在 1 秒內自動同步，無需重啟 MCP 伺服器即可反映檔案編輯。
-  - **大小寫折疊與真實路徑防禦**：`src/server.ts` 在 darwin/win32 進行大小寫折疊與 `fs.realpathSync` 驗證，徹底攔截系統保護目錄（`/private/etc`、`/private/var`、`C:\Windows`）。
-- **RFC 6455 WebSocket 協議加固與日誌彈性壓縮**：
-  - 完整支援 `CONTINUATION` (0x00) 分段訊息重組，並嚴格驗證控制幀不得分段 (`opcode >= 0x8 && !fin`)，阻絕非標準 RSV 擴展。
-  - 尾部彈性日誌壓縮：日誌達 1 MB 上限時保留最新換行對齊記錄，避免整檔抹除遺失事件上下文。
-  - 私有檔案描述元以 `O_RDWR | O_APPEND | O_CREAT | O_NOFOLLOW` 安全開啟。
-- **Shell 與 PowerShell 腳本指令注入防禦**：
-  - `find-polluter.sh` 與 `find-polluter.ps1`：指令參數陣列化展開 (`"${TEST_COMMAND[@]}"`、`& $testCommand @testCommandArgs`) 搭配含空白檔名安全讀取迴圈，杜絕 Shell 注入。
-  - `sdd-workspace`：執行 `cd` 前重設 `CDPATH=''`，阻絕環境變數目錄劫持。
-  - `sdd-workspace.ps1`：以 UTF-8 without BOM (`[System.Text.UTF8Encoding]::new($false)`) 寫入計畫標記，確保無損 Unicode 路徑往返。
-- **全自動化回歸測試底線**：
-  - 擴展測試套件至 **274 項自動化斷言全數通過**（Node.js: 145 項、Bash: 35 項、PowerShell: 94 項），維持 100% 通過率。
-
 👉 *更多歷史版本更新紀錄，請參閱完整的 [CHANGELOG.md](CHANGELOG.md)。*
 
 ---

package/docs/skill-compositions.ja.md

@@ -8,7 +8,7 @@
 
 ## 1. スキル構成が重要な理由 (Why Skill Compositions Matter)
 
-`superpowers-mcp` に含まれる 14 のコアスキルは、要件の明確化、アーキテクチャ設計、分離されたワークスペースの構築、テスト駆動開発 (TDD)、体系的なデバッグから、完全検証、コードレビュー、ブランチ統合に至るまで、ソフトウェア開発ライフサイクル (SDLC) 全体を網羅しています。
+`superpowers-mcp` に含まれる 15 のコアスキルは、要件の明確化、アーキテクチャ設計、分離されたワークスペースの構築、テスト駆動開発 (TDD)、体系的なデバッグから、完全検証、コードレビュー、ブランチ統合に至るまで、ソフトウェア開発ライフサイクル (SDLC) 全体を網羅しています。
 
 各スキルは単体でも高精度なエンジニアリングツールですが、実践的な開発には「ワークフローのオーケストレーション（編排）」が不可欠です。スキル構成（Skill Composition）によって、アドホックな AI 操作を、規律ある再現可能で安全保護されたエンジニアリングパイプラインへと昇華させます。
 
@@ -117,6 +117,10 @@ flowchart LR
 4. **`systematic-debugging`**：保護テストで発見された潜在的欠陥を特定・修正。
 5. **`verification-before-completion`**：安全網の完全性を検証。
 
+### メタスキル：セッションフォレンジック (Session Forensics)
+
+4 つのパイプラインの外側で、**`diagnosing-superpowers`** はディスク上のトランスクリプトから過去セッションの問題経緯を再構成します：インテーク、セッション特定、証拠付きの並列アナリスト報告、そして任意でスクラブ済みバンドルや GitHub issue 草案。セッションが計画を無視した、作業を繰り返した、説明不能な結果を出した時に使い、所見が上流に属する場合はメンテナ向け報告も起草します。MCP サーバーはスキル内容の提供のみを担い、エージェントが自身のツールでホストの記録を読むため、トランスクリプトがサーバーを経由することはありません。
+
 ---
 
 ## 4. スキル作成とメタデータ標準 (Skill Authoring & Metadata Standards)
@@ -162,7 +166,7 @@ flowchart LR
 
 ## 6. IDE での実際の操作方法 (How to Use in Practice)
 
-`superpowers-mcp` を設定すれば、**14 個の個別スキル名を覚える必要は一切ありません**。以下の 2 つの方法で簡単に利用できます：
+`superpowers-mcp` を設定すれば、**15 個の個別スキル名を覚える必要は一切ありません**。以下の 2 つの方法で簡単に利用できます：
 
 ### 方法 A: クライアントの MCP Prompts メニューを使用（推奨）
 Cursor、Antigravity、VS Code、Devin Desktop などのチャット入力欄で：

package/docs/skill-compositions.ko.md

@@ -8,7 +8,7 @@
 
 ## 1. 스킬 조합이 중요한 이유 (Why Skill Compositions Matter)
 
-`superpowers-mcp`의 14개 핵심 스킬은 요구사항 명확화, 아키텍처 설계, 격리된 작업 환경 구축, 테스트 주도 개발(TDD), 체계적 디버깅부터 전체 검증, 코드 리뷰, 브랜치 통합에 이르기까지 소프트웨어 개발 라이프사이클(SDLC) 전반을 다룹니다.
+`superpowers-mcp`의 15개 핵심 스킬은 요구사항 명확화, 아키텍처 설계, 격리된 작업 환경 구축, 테스트 주도 개발(TDD), 체계적 디버깅부터 전체 검증, 코드 리뷰, 브랜치 통합에 이르기까지 소프트웨어 개발 라이프사이클(SDLC) 전반을 다룹니다.
 
 각 스킬은 단독으로도 정밀한 엔지니어링 도구 역할을 하지만, 실제 프로덕션 개발에는 **워크플로우 오케스트레이션(편성)**이 필수적입니다. 스킬 조합(Skill Composition)을 통해 임의적인 AI 상호작용을 체계적이고 재현 가능하며 안전하게 보호되는 엔지니어링 파이프라인으로 전환합니다.
 
@@ -117,6 +117,10 @@ flowchart LR
 4. **`systematic-debugging`**: 테스트 추가 과정에서 발견된 잠재 결함 해결.
 5. **`verification-before-completion`**: 자동화된 CI 테스트 장벽 구축.
 
+### 메타 스킬: 세션 포렌식 (Session Forensics)
+
+네 가지 파이프라인 밖에, **`diagnosing-superpowers`**는 디스크의 트랜스크립트에서 과거 세션의 문제 경위를 재구성합니다: 인테이크 인터뷰, 세션 탐색, 인용 증거가 있는 병렬 애널리스트 보고서, 그리고 선택적으로 스크럽된 번들이나 GitHub 이슈 초안. 세션이 계획을 무시했거나 작업을 반복했거나 설명할 수 없는 결과를 냈을 때 사용하고, 소견이 업스트림에 속하면 메인테이너 보고도 대신 작성합니다. MCP 서버는 스킬 내용 제공만 담당하며, 에이전트가 자체 도구로 호스트의 기록 파일을 읽기 때문에 트랜스크립트가 서버를 경유하지 않습니다.
+
 ---
 
 ## 4. 계획 기반 스킬 구성 스키마 (Plan-Driven Skill Metadata Schema)
@@ -162,7 +166,7 @@ flowchart LR
 
 ## 6. IDE에서 실제로 사용하는 방법 (How to Use in Practice)
 
-`superpowers-mcp`를 설정하면 **14개의 개별 스킬 이름을 일일이 기억할 필요가 없습니다**. 아래의 두 가지 간단한 방법으로 시작할 수 있습니다:
+`superpowers-mcp`를 설정하면 **15개의 개별 스킬 이름을 일일이 기억할 필요가 없습니다**. 아래의 두 가지 간단한 방법으로 시작할 수 있습니다:
 
 ### 방법 A: 클라이언트의 MCP Prompts 메뉴 사용 (권장)
 Cursor, Antigravity, VS Code, Devin Desktop 등의 대화창에서:

package/docs/skill-compositions.md

@@ -29,7 +29,7 @@ The same guide is exposed to MCP clients as `guide://superpowers/skill-compositi
 
 ## 2. Why Skill Compositions Matter
 
-The 14 core skills in `superpowers-mcp` span the entire software development lifecycle (SDLC): from requirements discovery, architecture planning, isolated workspace setup, test-driven development (TDD), and systematic debugging, to full verification, code review, and branch integration.
+The 15 core skills in `superpowers-mcp` span the entire software development lifecycle (SDLC): from requirements discovery, architecture planning, isolated workspace setup, test-driven development (TDD), and systematic debugging, to full verification, code review, and branch integration.
 
 While each atomic skill acts as a precision engineering tool, production-grade development requires **workflow orchestration**. Skill compositions transform ad-hoc AI interactions into disciplined, reproducible, and safety-guarded engineering pipelines.
 
@@ -136,6 +136,10 @@ flowchart LR
 4. **`systematic-debugging`**: Root-cause hidden defects surfaced while establishing test baselines.
 5. **`verification-before-completion`**: Solidify automated CI test barriers.
 
+### Meta Skill: Session Forensics
+
+Outside the four pipelines, **`diagnosing-superpowers`** reconstructs what went wrong in a past session from its on-disk transcripts: intake interview, session discovery, parallel analyst reports with cited evidence, then an optional scrubbed bundle or GitHub issue draft. Reach for it when a session ignored the plan, repeated work, or produced a result nobody can explain — and when the finding belongs upstream, it drafts the maintainer report too. The MCP server only serves the skill content; the agent reads the host's transcript files with its own tools, so no transcript ever crosses the server boundary.
+
 ---
 
 ## 5. Plan-Driven Skill Metadata Schema

package/docs/skill-compositions.zh-TW.md

@@ -8,7 +8,7 @@
 
 ## 1. 為什麼需要技能組合 (Why Skill Compositions Matter)
 
-`superpowers-mcp` 的 14 個核心技能涵蓋了現代軟體工程生命週期（SDLC）的各個階段：從需求澄清、架構規劃、隔離實作、TDD 開發、系統化除錯，到全套驗證、代碼審查與分支整合。
+`superpowers-mcp` 的 15 個核心技能涵蓋了現代軟體工程生命週期（SDLC）的各個階段：從需求澄清、架構規劃、隔離實作、TDD 開發、系統化除錯，到全套驗證、代碼審查與分支整合。
 
 單一技能如同「高精度的專業工具」，但真實開發需要「工作流編排（Orchestration）」。透過技能組合（Skill Composition），能將鬆散的 AI 操作轉化為嚴謹、可重複驗證、防護嚴密的工程流水線。
 
@@ -117,6 +117,10 @@ flowchart LR
 4. **`systematic-debugging`**：針對補測試過程中發現的潛在隱患進行根因排查。
 5. **`verification-before-completion`**：建立 CI/CD 測試防線。
 
+### Meta 技能：會話鑑識 (Session Forensics)
+
+四條管線之外，**`diagnosing-superpowers`** 可依據磁碟上的對話紀錄重建過去某次會話的出錯經過：需求訪談、會話定位、多路分析師並行產出附引證的報告，之後可選擇性產出脫敏 bundle 或 GitHub issue 草稿。當某次會話無視計畫、重複勞動，或產出無人能解釋的結果時就用它；若發現應回報上游，它也能代擬維護者報告。MCP server 只負責提供技能內容，Agent 以自身工具讀取主機上的紀錄檔，因此對話紀錄不會經過 server。
+
 ---
 
 ## 4. 計畫驅動的技能編排規格 (Plan-Driven Skill Metadata Schema)
@@ -162,7 +166,7 @@ flowchart LR
 
 ## 6. 如何在 IDE 中實際操作與觸發 (How to Use in Practice)
 
-只要安裝了 `superpowers-mcp`，您**完全不需要手動記住 14 個技能名稱**。有以下兩種最簡單的使用方式：
+只要安裝了 `superpowers-mcp`，您**完全不需要手動記住 15 個技能名稱**。有以下兩種最簡單的使用方式：
 
 ### 方式 A：使用客戶端的 MCP Prompts 選單（最推薦）
 在 Cursor, Antigravity, VS Code 或 Devin Desktop 的對話框中：