sourcecode 5.8.21__tar.gz → 5.8.23__tar.gz

{sourcecode-5.8.21 → sourcecode-5.8.23}/CHANGELOG.md

@@ -1,5 +1,88 @@
 # Changelog
 
+## [5.8.23] — 2026-08-22
+
+*The external corpus follow-up is closed: pack output is durable by default,
+the gate verdict matrix is covered, and the 37-repository read-only baseline is
+recorded without overstating the seven scale-limited cases.*
+
+### Fixed
+
+- **Pack aggregate persistence (`AUD-599-C01`)** — `--output-dir` now writes
+  the aggregate as `pack.json`, `pack.yaml` or `pack.md`; an explicit
+  `--output FILE` remains authoritative.
+- **Gate verdict coverage (`AUD-599-T01`)** — controlled tests distinguish
+  `PASS`, `BLOCK` and `UNVERIFIED` without conflating their exit codes.
+- **Corpus audit follow-up (`AUD-599-P01`, `AUD-599-Q01`)** — the baseline and
+  before/after Git snapshots for all 37 repositories are documented. The seven
+  repeated timeouts are classified as a scale limitation, not claimed as a
+  regression without a comparable phase-level baseline.
+
+## [5.8.22] — 2026-08-22
+
+*The eleventh audit-pass queue is closed entire: all fourteen open rows shipped
+as separate commits, regressions first, with the full suite green at 12 176
+tests. Four reported mechanisms are corrected against measurement and one half
+of one row is refused with its price on the record.*
+
+### Fixed — the two regressions the pass led with
+
+- **Root help (`AUD-597-R01`)** — `ask --help` went to 177.4 s in the field
+  because the page is *recursive* through the Typer→Click conversion: one
+  `--help` rebuilt the whole command tree 249 times. The tree is built once per
+  process. Measured here: **13.3 s → 0.45 s**.
+- **Self-check encoding and exit (`AUD-597-R02`)** — `selftest` decoded its
+  children with the host locale, so on a `cp1252` host three checks died with
+  tracebacks and the command still exited 0. Children are read as UTF-8, an
+  unreadable stream is no longer a traceback, and `summary.error > 0` exits 75.
+  The battery now asserts its own exit contract as a ledger row.
+
+### Fixed — bounding, identity and determinism
+
+- **Bounded is never larger (`AUD-597-R03`)** — `--compact` could grow a payload,
+  because a cut's disclosure outweighed the rows it replaced. The trade is
+  measured at each cut; a bounded answer is never the larger one, asserted over
+  the whole bounded-flag population. `--limit N` is still answered literally.
+- **Build provenance (`AUD-597-X01`)** — the generated commit stamp is declared a
+  wheel artifact, so an installed build can name the tree it came from. Proved
+  from the built wheel, not from a checkout.
+- **Front page (`AUD-597-A01`)** — every recommended line carries the bounding
+  flag its own command declares, typed with a value where the flag needs one, and
+  the comment column is padded after the substitution.
+- **Smaller answers (`AUD-597-A02`)** — the output ceiling learns that a smaller
+  answer can be a *mode*, so `export --c4` offers its three sections; and
+  `rename-class --dry-run` prints its plan without the diffs, so the most
+  destructive command in the product can be previewed.
+- **Bean population (`AUD-597-A03`)** — a class's stereotype was picked out of a
+  Python set, so the bean population moved with the per-process hash seed. The
+  choice takes a declared rank; every Spring stereotype outranks every JPA one.
+
+### Fixed — contracts, grammar and disclosure
+
+- **Ledger coherence (`AUD-597-A04`)** — a row declared closed in this document's
+  own prose can no longer ship reading `open`, and a closure declaration must
+  name its rows unambiguously.
+- **Analysis budget (`AUD-597-D01`)** — the help names the commands the budget
+  *stops* and the commands it only *advises*, instead of calling all eight a
+  deadline. The gating flags are asserted over the population that can gate.
+- **Mutually exclusive hints (`AUD-597-D02`)** — `delta` and `contract-diff` no
+  longer answer "not both" with a hint containing both.
+- **Partial timings (`AUD-597-D04`)** — a phase the run declares complete is
+  charged for its own duration, so `unaccounted_pct` on a partial answer means
+  what it means on a full one.
+- **Option suggestions (`AUD-597-D05`)** — suggestions come from this product's
+  guarded matcher rather than the parser's, and the guard measures a real edit
+  distance; where nothing is plausible, the hint names what the command takes.
+- **One repository grammar (`AUD-597-D06`)** — `--path`, `--repo` and `--dir` are
+  accepted everywhere as aliases for the positional repository argument, with no
+  payload change and without overriding a command that declares one already.
+- **Query sink scope (`AUD-597-D07`)** — the vocabulary states that it composes an
+  existing finding and does not originate one, so an absent row is not published
+  as safety.
+- **Exit-code contract (`AUD-596-D11`, residual)** — the rule that closed that row
+  shipped without the batteries that assert it, leaving 23 tests red against the
+  build that fixed them. `error_schema.EXIT_CODE_FOR` publishes the table.
+
 ## [5.8.21] — 2026-08-22
 
 *The tenth audit-pass queue is closed: seven remaining P3 fixes shipped as

{sourcecode-5.8.21 → sourcecode-5.8.23}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sourcecode
-Version: 5.8.21
+Version: 5.8.23
 Summary: Persistent structural context and ultra-fast repeated analysis for AI coding agents
 Project-URL: Homepage, https://github.com/HarounDominique/sourcecode
 Project-URL: Repository, https://github.com/HarounDominique/sourcecode
@@ -58,7 +58,7 @@ Description-Content-Type: text/markdown
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.21-blue)
+![Version](https://img.shields.io/badge/version-5.8.23-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -78,6 +78,48 @@ Every time an AI coding agent starts a new session, it has to re-parse the repos
 
 ASK Engine solves this with a persistent structural cache keyed on file content hashes. After the first scan, later invocations reuse pre-built context whenever their command can consume the warmed layers. The repo doesn't change? The cache doesn't expire.
 
+## Product route: individual commands and packs
+
+ASK Engine keeps individual commands for precise, scriptable questions and adds
+workflow-shaped packs for users who want one consumable result:
+
+```bash
+ask pack assessment . --profile prod --output-dir .ask/packs/assessment
+ask pack gate . --since origin/main --output-dir .ask/packs/gate
+ask pack assessment . --format markdown -o assessment.md
+```
+
+For deployment-aware posture evidence, pass the artefacts that describe the
+environment being assessed:
+
+```bash
+ask pack assessment . --deployment k8s/deployment-prod.yaml \
+  --output-dir .ask/packs/assessment
+```
+
+The gate also renders native CI log annotations without changing its JSON
+contract:
+
+```bash
+ask pack gate . --since origin/main --format github-actions
+ask pack gate . --since origin/main --format gitlab
+```
+
+`PASS`, `BLOCK` and `UNVERIFIED` are data decisions. The process exit code is
+the CI signal; `--allow-unverified` can change only that exit code, never the
+reported verdict. Every pack carries a manifest with component invocations,
+source evidence and content fingerprints.
+
+The [Product Route](docs/PRODUCT-ROUTE.md) is normative: ASK focuses on
+deterministic evidence for Java/Spring modernization and safe change. Packs
+compose existing commands; they do not hide or replace them.
+
+For agent integrations, local MCP exposes the same pack evidence through
+`get_assessment_pack` and `get_change_safety_gate`. MCP defaults to a compact
+projection that preserves the decision and manifest; use the CLI with
+`--output-dir` to persist complete component artifacts. See
+[MCP pack evidence](docs/architecture/DESIGN-pack-mcp-api.md).
+
 **The cache is not a performance optimization. It is what makes ASK Engine usable as infrastructure rather than a one-off tool.**
 
 ---
@@ -134,7 +176,7 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.21 retains the shared Canonical IR
+**Current performance status.** Release 5.8.23 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
 runs; the no-label path remains parse-free. The one-model-per-declared-label path is
 also retained. These are implementation properties, not duration promises:
@@ -168,7 +210,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.21 — and, on a build that has aged,
+ask version                    # ask 5.8.23 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 
@@ -649,6 +691,8 @@ Matching endpoints report `policy: "custom"` and drop out of the `no_security_si
 
 ## Documentation
 
+- [Product Route](docs/PRODUCT-ROUTE.md) — individual commands, packs, evidence contract and boundaries
+
 | Doc | What it covers |
 |-----|----------------|
 | [USER_GUIDE.md](docs/USER_GUIDE.md) | Full command reference, flags, output schema, workflows |

{sourcecode-5.8.21 → sourcecode-5.8.23}/README.md

@@ -10,7 +10,7 @@
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.21-blue)
+![Version](https://img.shields.io/badge/version-5.8.23-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -30,6 +30,48 @@ Every time an AI coding agent starts a new session, it has to re-parse the repos
 
 ASK Engine solves this with a persistent structural cache keyed on file content hashes. After the first scan, later invocations reuse pre-built context whenever their command can consume the warmed layers. The repo doesn't change? The cache doesn't expire.
 
+## Product route: individual commands and packs
+
+ASK Engine keeps individual commands for precise, scriptable questions and adds
+workflow-shaped packs for users who want one consumable result:
+
+```bash
+ask pack assessment . --profile prod --output-dir .ask/packs/assessment
+ask pack gate . --since origin/main --output-dir .ask/packs/gate
+ask pack assessment . --format markdown -o assessment.md
+```
+
+For deployment-aware posture evidence, pass the artefacts that describe the
+environment being assessed:
+
+```bash
+ask pack assessment . --deployment k8s/deployment-prod.yaml \
+  --output-dir .ask/packs/assessment
+```
+
+The gate also renders native CI log annotations without changing its JSON
+contract:
+
+```bash
+ask pack gate . --since origin/main --format github-actions
+ask pack gate . --since origin/main --format gitlab
+```
+
+`PASS`, `BLOCK` and `UNVERIFIED` are data decisions. The process exit code is
+the CI signal; `--allow-unverified` can change only that exit code, never the
+reported verdict. Every pack carries a manifest with component invocations,
+source evidence and content fingerprints.
+
+The [Product Route](docs/PRODUCT-ROUTE.md) is normative: ASK focuses on
+deterministic evidence for Java/Spring modernization and safe change. Packs
+compose existing commands; they do not hide or replace them.
+
+For agent integrations, local MCP exposes the same pack evidence through
+`get_assessment_pack` and `get_change_safety_gate`. MCP defaults to a compact
+projection that preserves the decision and manifest; use the CLI with
+`--output-dir` to persist complete component artifacts. See
+[MCP pack evidence](docs/architecture/DESIGN-pack-mcp-api.md).
+
 **The cache is not a performance optimization. It is what makes ASK Engine usable as infrastructure rather than a one-off tool.**
 
 ---
@@ -86,7 +128,7 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.21 retains the shared Canonical IR
+**Current performance status.** Release 5.8.23 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
 runs; the no-label path remains parse-free. The one-model-per-declared-label path is
 also retained. These are implementation properties, not duration promises:
@@ -120,7 +162,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.21 — and, on a build that has aged,
+ask version                    # ask 5.8.23 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 
@@ -601,6 +643,8 @@ Matching endpoints report `policy: "custom"` and drop out of the `no_security_si
 
 ## Documentation
 
+- [Product Route](docs/PRODUCT-ROUTE.md) — individual commands, packs, evidence contract and boundaries
+
 | Doc | What it covers |
 |-----|----------------|
 | [USER_GUIDE.md](docs/USER_GUIDE.md) | Full command reference, flags, output schema, workflows |

sourcecode-5.8.23/docs/AUDIT-2026-08-22-5.8.22.md

@@ -0,0 +1,96 @@
+# ASK Engine 5.8.22: auditoría metodológica y de regresión
+
+**Fecha:** 2026-08-22  
+**Artefacto auditado:** release `5.8.22`, `build_commit`
+`583c07c405358d3e76dd20968960f5ab928608fd`  
+**Sujeto principal:** MSAS / `banyan-v2`, HEAD `3dde0376`, 3.342 ficheros Java  
+**Registro relacionado:** [`docs/DEFECT-LEDGER.md`](DEFECT-LEDGER.md), entrada
+`AUD-598-X01` y filas derivadas
+
+## Alcance y método
+
+Se consolidan dos rondas independientes sobre la misma release:
+
+- Ronda A: MSAS, 57 invocaciones, 52 cronometradas, 3 `pr-impact` y 5 ayudas,
+  `ASK_READONLY=1`, presupuesto explícito y 0 escrituras.
+- Ronda B: banco de 16 repositorios Java/Spring, unas 95 invocaciones, Windows
+  11 Pro, pipx y Git Bash.
+
+Ambas rondas comprobaron estado Git antes y después. No se observaron
+tracebacks, regresiones funcionales ni escrituras no autorizadas.
+
+## Resultado ejecutivo
+
+| Ronda | Resultado | Veredicto del auditor |
+|---|---:|---|
+| A | `8.58/10` | Comprar y actualizar |
+| B | `8.8/10` | Adoptar sin reservas |
+
+La mejora es válida para fiabilidad y rendimiento general, pero no autoriza a
+cerrar automáticamente defectos del ledger. La propia auditoría demuestra que
+el artefacto empaquetado puede no contener los cierres que el árbol de trabajo
+declara.
+
+## Confirmado cerrado
+
+- `ask --help`: la regresión de reconstrucción del árbol Click queda corregida.
+- `selftest`: 12 filas, 0 errores y 0 bytes de stderr en la ronda de campo.
+- Determinismo de `posture`: `population_total=1908` y
+  `unconditional=1903` en cinco ejecuciones.
+- Las regresiones de 5.8.21 sobre `compare`, `endpoints --servlets` e `impact`
+  no reaparecen.
+- No-regresión funcional en el barrido de cierres anteriores.
+
+Estos cierres permanecen en el ledger histórico con su commit. No se duplican
+como nuevas filas.
+
+## Hallazgos abiertos
+
+El estado siguiente es el que debe usarse para planificación y release:
+
+| ID | Estado | Hallazgo |
+|---|---|---|
+| `AUD-598-R01` / `ASK-PERF-002` | `open` | `ask . --compact` sube a 214,6 s frente a 154,0 s en 5.8.21, con payload byte-identical; es una regresión condicionada a esa vista/escala. |
+| `AUD-598-X01` | `open` | El ledger del producto va por delante del wheel: cinco cierres declarados no se observan en el artefacto `583c07c`. |
+| `AUD-598-B01` / `ASK-META-001` | `open` | La auditoría de wheel no observa `_meta`, `content_id` ni memoria en 9/9 payloads inspeccionados. Debe resolverse dentro de un wheel construido, no sólo en checkout. |
+| `AUD-598-B02` / `ASK-UX-002` | `open` | `posture --diff` ofrece `--compact` y `--limit`, pero ambos son no-op en el caso medido y los hints forman un ciclo. |
+| `AUD-598-B03` / `B-11` | `open` | Persisten 17 anclas de coste con texto `on 5.1.0` dentro de un build 5.8.22; además `risk` no alcanza su ancla publicada en MSAS. |
+| `AUD-598-B04` / `N-02` | `open` parcial | `1e9` y `1_000` son presupuestos válidos, pero se aceptan sin advertir que no vincularán el proceso. |
+
+## Cierres que el artefacto no confirma
+
+La auditoría identifica cinco testigos de `AUD-598-X01`:
+
+- `AUD-597-A01` / `N-01`: cuatro de cinco líneas de `Runs now` siguen sin
+  bounding flag en el wheel.
+- `AUD-596-D01` / `B-13`, `B-14`: `validation` y `data-exposure` carecen de
+  identidad y `schema_version`; además se repite un hash entre repositorios.
+- `AUD-596-D10` / `B-29`: no aparece memoria en cinco payloads completos.
+- `AUD-597-D03` / `N-06`: `route_surface_changed.source_file` es `""` y no
+  lleva `declaration_line`.
+
+La interpretación documentada no es mala fe ni una nueva regresión funcional:
+el ledger y el wheel proceden de estados distintos. La corrección requerida es
+hacer que el build genere y compruebe la relación entre `build_commit` y cada
+commit de cierre antes de publicar.
+
+## Observaciones no convertidas en defectos nuevos
+
+- `ASK-GATE-001`: `migrate-check --ci` y `migrate-apply --ci` siguen rechazados
+  porque son `advisory_only`; la documentación conserva ese precio y no los
+  presenta como gates que puedan fallar.
+- `B-22`: la declaración de `compare` mejoró, pero el residuo de `rc=0` con
+  cero candidatos se mantiene en su fila histórica.
+- `B-21`, `B-26`, `B-27` y `B-30` siguen siendo residuos abiertos ya mapeados a
+  `AUD-596-X02`, `ASK-17`, `C3-128` y la superficie contractual,
+  respectivamente.
+- `N-04` y `ASK-CLI-001` conservan residuos de mensaje/diseño ya trazados en
+  sus filas; no se cierran por la mejora parcial del coste.
+
+## Regla de release
+
+Hasta que `AUD-598-X01` se cierre, una fila no debe marcarse `closed` sólo
+porque el commit de la corrección exista en el checkout. El cierre requiere
+identificar el wheel o artefacto instalado, comprobar que contiene el commit y
+reproducir el comportamiento o declarar explícitamente que se cerró contra un
+fixture distinto del testigo original.

sourcecode-5.8.23/docs/AUDIT-TESTING-CORPUS-2026-08-22.md

@@ -0,0 +1,228 @@
+# Auditoría de features contra el corpus `testing`
+
+**Fecha:** 2026-08-22  
+**Producto auditado:** ASK Engine en el checkout actual  
+**Propósito:** probar las features nuevas de packs, manifests, gates, artefactos,
+MCP y evidencia de despliegue contra repositorios reales, antes de iniciar la
+batería de correcciones.
+
+## Veredicto ejecutivo
+
+La implementación es funcional en el caso normal y no se ha confirmado una
+regresión de análisis, de determinismo ni de los adaptadores MCP/CI. En la
+batería completa, 30 de 37 repositorios produjeron un pack de assessment
+completo (`MEASURED`, seis componentes, `rc=0`). Los siete restantes agotaron el
+presupuesto externo de 120 segundos sin producir el agregado final.
+
+La batería encontró y reprodujo un gap de contrato/ergonomía: usar únicamente
+`--output-dir` dejaba el agregado en stdout. Ese gap queda corregido en el
+checkout actual: el agregado se escribe ahora como `pack.json` (o la extensión
+del formato solicitado), mientras que `--output FILE` explícito conserva
+prioridad.
+
+Este documento no convierte los siete timeouts en una regresión: no existe una
+medición comparable anterior con el mismo corpus, host, flags y presupuesto.
+La repetición completa con snapshots antes/después confirmó que son un límite
+operativo repetible del corpus, no una mutación atribuible a ASK. El baseline
+queda en [`docs/perf/corpus-testing-2026-08-22.md`](perf/corpus-testing-2026-08-22.md).
+
+## Protocolo reproducible
+
+Todas las invocaciones se ejecutaron en modo de sólo lectura:
+
+```text
+ASK_READONLY=1 ASK_TELEMETRY=0 ASK_PROGRESS=off
+ask pack assessment REPO --compact --format json \
+  --output /tmp/assessment.json \
+  --output-dir /tmp/assessment-components
+```
+
+Se usaron procesos aislados, salidas fuera del repositorio y un timeout externo
+de 120 s por repositorio en la batería completa. El timeout es una condición de
+la prueba, no el valor de `ASK_MAX_ANALYSIS_SECONDS` ni una afirmación sobre el
+presupuesto interno de cada comando.
+
+La batería completa cubrió 37 repositorios Git de
+`/Users/user/Documents/workspace/testing`. El corpus no estaba limpio de forma
+homogénea y no se tomó una instantánea de `git status` antes de comenzar; por
+tanto, la prueba no permite atribuir a ASK los cambios ya existentes en esos
+repositorios. Las salidas y resúmenes temporales se conservaron bajo
+`/private/tmp/ask-testing-all*` y `/private/tmp/ask-testing-deep*`, no como
+artefactos del producto.
+
+## Resultado de la batería completa
+
+| Resultado | Repositorios | Interpretación |
+|---|---:|---|
+| Pack completo | 30/37 | `ask-pack-assessment-v1`, `MEASURED`, `rc=0`, seis componentes y agregado parseable |
+| Timeout externo | 7/37 | Sin agregado final dentro de 120 s; requiere baseline y profiling |
+| Traceback observado | 0 | No se observó traceback en los procesos que terminaron ni en la captura de los timeouts |
+| Escritura intencionada | 0 | `ASK_READONLY=1`; la ausencia de snapshot inicial impide certificar causalidad sobre dirty trees |
+
+Los siete repositorios que no terminaron dentro del presupuesto fueron:
+
+- `alfresco-community-repo`
+- `cas`
+- `keycloak`
+- `nacos`
+- `neo4j`
+- `shenyu`
+- `tutorials`
+
+El resultado debe leerse como “30 casos completados y 7 casos no resueltos en
+este presupuesto”, no como “7 fallos funcionales”.
+
+## Muestra profunda corregida
+
+Se repitió una muestra de ocho repositorios con un timeout de 180 s y con
+`--output` explícito para separar el agregado de stdout:
+
+| Repositorio | Tiempo | Resultado |
+|---|---:|---|
+| `spring-petclinic` | 4,85 s | Completo, `MEASURED`, 6 componentes |
+| `examples` | 6,33 s | Completo, `MEASURED`, 6 componentes |
+| `keycloak-config-cli` | 9,07 s | Completo, `MEASURED`, 6 componentes |
+| `mall` | 28,42 s | Completo, `MEASURED`, 6 componentes |
+| `halo` + `--deployment Dockerfile` | 28,83 s | Completo, `MEASURED`, 6 componentes |
+| `open-banking-gateway` + `--deployment docker-compose.yml` | 24,07 s | Completo, `MEASURED`, 6 componentes |
+| `BroadleafCommerce` | 68,47 s | Completo, `MEASURED`, 6 componentes |
+| `spring-security` | 59,12 s | Completo, `MEASURED`, 6 componentes |
+
+En los ocho casos se generaron el agregado y los seis JSON de componente.
+Esto confirma que el problema de la primera pasada de la muestra grande no
+era un fallo del análisis: era la ruta de salida del agregado.
+
+## Hallazgo reproducible: salida agregada con `--output-dir`
+
+### Síntoma
+
+La primera pasada de la muestra profunda usó `--output-dir` sin `--output`.
+Cuatro repositorios terminaron con `rc=1`, error `OUTPUT_TOO_LARGE` y el
+agregado sin persistir:
+
+| Repositorio | Estimación del agregado |
+|---|---:|
+| `mall` | 481.677 tokens / 1.926.709 bytes |
+| `spring-security` | 83.077 tokens / 332.310 bytes |
+| `open-banking-gateway` | 93.781 tokens / 375.127 bytes |
+| `BroadleafCommerce` | 377.907 tokens / 1.511.628 bytes |
+
+El error informa que no hay una variante inline menor y recomienda `--output
+FILE` o `ASK_MAX_OUTPUT_TOKENS=0`. Al repetir con `--output FILE`, los cuatro
+repositorios completaron correctamente.
+
+### Clasificación
+
+`AUD-599-C01` — **P2, gap de contrato/ergonomía, corregido en el checkout actual**.
+
+No era una falsedad del payload ni una pérdida de evidencia: los componentes sí
+se escribían. La implementación ahora hace persistente también el agregado con
+un nombre determinista y mantiene la ruta explícita como autoridad superior.
+La regresión de CLI cubre ambas rutas.
+
+## Contratos comprobados
+
+### Assessment pack
+
+- Los 30 resultados completos publicaron `ask-pack-assessment-v1`.
+- Cada resultado completo publicó seis componentes y fingerprints
+  `content_id`.
+- El catálogo `ask pack list --format json` publicó
+  `ask-pack-catalog-v1`, con los packs `assessment` y `gate`.
+- `ask schema schemas-v1 --format json` resolvió
+  `ask-pack-assessment-v1`, `ask-pack-gate-v1` y
+  `ask-pack-mcp-projection-v1`.
+
+### Gate y códigos de salida
+
+En la muestra profunda, `pack gate REPO --since HEAD~1` produjo
+`ask-pack-gate-v1`, tres artefactos y `verdict=UNVERIFIED`, `exit_code=2`.
+Esto es correcto para una verificación no certificable; no se debe presentar
+como PASS ni como un bug. La muestra no cubrió un caso positivo `PASS`, por lo
+que ese camino queda pendiente de una fixture controlada.
+
+### CI renderers
+
+Los renderers de GitHub Actions y GitLab se probaron en
+`spring-petclinic`, `halo` y `open-banking-gateway`.
+
+- GitHub produjo anotaciones `::warning`/`::notice` válidas y la línea final
+  `ASK_GATE verdict=UNVERIFIED exit_code=2`.
+- GitLab produjo `section_start`, líneas `ASK_GATE_COMPONENT`, línea final
+  `ASK_GATE` y `section_end`.
+
+El chequeo inicial que esperaba literalmente `::group::` era incorrecto: ese
+token no es requisito del renderer y su ausencia no es un defecto.
+
+### MCP
+
+Las llamadas externas sobre `spring-petclinic` devolvieron correctamente:
+
+- `get_assessment_pack`: `success=true`,
+  `ask-pack-assessment-v1`, proyección
+  `ask-pack-mcp-projection-v1`, `MEASURED`.
+- `get_change_safety_gate`: `success=true`, `ask-pack-gate-v1`, la misma
+  proyección, `UNVERIFIED`.
+
+Ambas conservaron `schema_version`, `verdict`, `exit_code` y `manifest`. No se
+observó pérdida de identidad al adaptar el pack a MCP.
+
+### Determinismo
+
+`spring-petclinic` se ejecutó dos veces con los mismos flags. Los seis
+`content_id` fueron idénticos en ambas pasadas:
+
+```text
+migrate-check  ae64790941c201de
+posture        84f0efc7c020d72b
+endpoints      d3ba88844e0f6c9a
+spring-audit   1cf314c5d323438d
+risk           24ce1698282868ce
+audit-report   4109a5829c4472ac
+```
+
+Los manifests completos no fueron byte-identical porque contienen metadatos de
+ejecución (`run_id` y tiempos), lo que es esperado. La identidad del contenido
+sí fue estable.
+
+### Evidencia de despliegue
+
+`Dockerfile` y `docker-compose.yml` se conservaron en `manifest.inputs` en los
+casos de `halo` y `open-banking-gateway`. El payload de posture mantuvo
+honestamente:
+
+```text
+profile_set_is_assumption: true
+decided_in_this_payload: false
+```
+
+Es decir, aceptar el artefacto no implica afirmar qué perfil se ejecuta. No es
+un bug; es la frontera correcta de evidencia cuando el deployment no decide el
+perfil dentro del payload analizado.
+
+## No hallazgos / límites que no deben convertirse en bugs
+
+- No se confirmó regresión en el análisis de endpoints, riesgo, postura,
+  migración o auditoría a partir de esta batería.
+- Los `UNVERIFIED` del gate no son `BLOCK` falsos: no hubo payload suficiente
+  para establecer un bloqueo.
+- La ausencia de un `PASS` en la muestra no demuestra que el camino positivo
+  esté roto; sólo indica cobertura pendiente.
+- Los siete timeouts no son una comparación de regresión hasta obtener baseline
+  anterior con la misma población y protocolo.
+- Los repositorios con dirty trees no permiten atribuir sus cambios a ASK sin
+  un estado inicial capturado.
+
+## Cola para la siguiente fase
+
+| Prioridad | ID | Acción previa a corregir |
+|---|---|---|
+| Cerrado | `AUD-599-C01` | Agregado persistido como `pack.<format>` cuando sólo se usa `--output-dir`; test de fallback, prioridad de `--output` y documentación actualizada |
+| Cerrado como límite operativo | `AUD-599-P01` | Baseline de 37 repositorios y repetición completa; no hay regresión demostrada ni optimización defendible sin timings internos comparables |
+| Cerrado en el checkout actual | `AUD-599-T01` | Fixture controlada para `PASS`, `BLOCK` y `UNVERIFIED`, con códigos de salida diferenciados |
+| Cerrado | `AUD-599-Q01` | Segunda batería completa: 37/37 snapshots Git idénticos antes/después |
+
+Ninguna fila de esta cola debe marcarse como cerrada hasta que exista una
+corrección, una aserción de regresión y una repetición sobre el artefacto que se
+va a distribuir, conforme a la regla de
+[`DEFECT-LEDGER.md`](DEFECT-LEDGER.md).

{sourcecode-5.8.21 → sourcecode-5.8.23}/docs/CACHE.md

@@ -141,6 +141,7 @@ The second anchor is the field one, and it carries its own build for the same re
 | `mcp` | the shared work | not timed | yes | `snapshot`, `ris`, `cir`, `parse` | Serves the same commands over MCP, with the same layers. |
 | `schema` | nothing | not timed | no | — | Prints registries; reads no repository. |
 | `telemetry` | nothing | not timed | no | — | Not an analysis. |
+| `pack` | the shared work | not timed | no | `cir`, `parse` | Composes existing analyses; the pack adds no separate parser. |
 | `version` | nothing | not timed | no | — | Not an analysis. |
 <!-- END GENERATED -->
 

{sourcecode-5.8.21 → sourcecode-5.8.23}/docs/COMMERCIAL-OFFER.md

@@ -11,6 +11,16 @@ and [`MODERNIZATION.md`](MODERNIZATION.md) (the flagship product narrative). CLI
 > deterministically, with the source to prove it. Free on normal repos; Pro when the
 > work gets enterprise-scale or automated.**
 
+The commercial route is delivered through two packs while preserving every
+individual command: `ask pack assessment` for modernization and risk discovery,
+and `ask pack gate` for recurring change safety in CI. See
+[`PRODUCT-ROUTE.md`](PRODUCT-ROUTE.md) for the normative scope and evidence
+contract.
+
+The assessment can be delivered as JSON evidence for automation or as an
+executive/procurement Markdown report with `--format markdown`; both views are
+renderings of the same measured pack.
+
 The gating axis is **size + automation**, never capability. Nothing is crippled on Free;
 you pay exactly when the tool is replacing the most engineering time — a monolith above
 **500 Java source files**, or CI/CD automation. **€19/mo · €190/yr, per developer.**