sourcecode 5.8.25__tar.gz → 5.8.26__tar.gz

{sourcecode-5.8.25 → sourcecode-5.8.26}/.github/workflows/windows-battery.yml

@@ -16,6 +16,14 @@ on:
 jobs:
   battery:
     runs-on: windows-latest
+    env:
+      NO_COLOR: "1"
+      TERM: "dumb"
+      # CLI payloads and diagnostics are UTF-8 contracts. Without this Windows
+      # decodes child-process output with the active code page, turning a valid
+      # JSON answer containing source text into an empty/failed test response.
+      PYTHONUTF8: "1"
+      PYTHONIOENCODING: "utf-8"
     steps:
       - uses: actions/checkout@v4
 
@@ -31,11 +39,22 @@ jobs:
 
       - name: Suite
         run: pytest
+        # `runner.*` is valid at step scope. Both stores stay outside the
+        # checkout so their files never become untracked input to an analysis.
+        env:
+          SOURCECODE_CACHE_DIR: ${{ runner.temp }}/ask-cache
+          SOURCECODE_CONTEXT_CACHE_DIR: ${{ runner.temp }}/ask-context-cache
 
       # Named separately so a Windows-only failure is legible in the job list
       # rather than one dot in nine thousand.
       - name: The envelope names its command on every entry path
         run: pytest tests/test_the_envelope_names_its_command_on_every_entry_path_aud601_x01.py -v
+        env:
+          SOURCECODE_CACHE_DIR: ${{ runner.temp }}/ask-cache
+          SOURCECODE_CONTEXT_CACHE_DIR: ${{ runner.temp }}/ask-context-cache
 
       - name: A footprint sample is a number or a stated null, never a zero
         run: pytest tests/test_resource_budget_d10.py -v
+        env:
+          SOURCECODE_CACHE_DIR: ${{ runner.temp }}/ask-cache
+          SOURCECODE_CONTEXT_CACHE_DIR: ${{ runner.temp }}/ask-context-cache

{sourcecode-5.8.25 → sourcecode-5.8.26}/CHANGELOG.md

@@ -1,5 +1,13 @@
 # Changelog
 
+## [5.8.26] — 2026-08-23
+
+*Patch release for the expanded-corpus audit. It preserves endpoint declarations
+whose FQN is reused by separate modules, pairs MyBatis XML against the analysed
+tree rather than a compact display subset, and reports the runtime source commit
+for editable installs. Route inheritance and JAX-RS locator composition were
+revalidated after the module-identity change.*
+
 ## [5.8.25] — 2026-08-23
 
 *Version and documentation synchronization release. The audited `5.8.24` tree is

{sourcecode-5.8.25 → sourcecode-5.8.26}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sourcecode
-Version: 5.8.25
+Version: 5.8.26
 Summary: Persistent structural context and ultra-fast repeated analysis for AI coding agents
 Project-URL: Homepage, https://github.com/HarounDominique/sourcecode
 Project-URL: Repository, https://github.com/HarounDominique/sourcecode
@@ -58,7 +58,7 @@ Description-Content-Type: text/markdown
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.25-blue)
+![Version](https://img.shields.io/badge/version-5.8.26-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -176,7 +176,7 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.25 retains the shared Canonical IR
+**Current performance status.** Release 5.8.26 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
 runs; the no-label path remains parse-free. The one-model-per-declared-label path is
 also retained. These are implementation properties, not duration promises:
@@ -210,7 +210,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.25 — and, on a build that has aged,
+ask version                    # ask 5.8.26 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 

{sourcecode-5.8.25 → sourcecode-5.8.26}/README.md

@@ -10,7 +10,7 @@
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.25-blue)
+![Version](https://img.shields.io/badge/version-5.8.26-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -128,7 +128,7 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.25 retains the shared Canonical IR
+**Current performance status.** Release 5.8.26 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
 runs; the no-label path remains parse-free. The one-model-per-declared-label path is
 also retained. These are implementation properties, not duration promises:
@@ -162,7 +162,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.25 — and, on a build that has aged,
+ask version                    # ask 5.8.26 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 

sourcecode-5.8.26/docs/AUDIT-2026-08-23-CORPUS-AMPLIADO.md

@@ -0,0 +1,63 @@
+# Intake de hallazgos — corpus ampliado ASK 5.8.25
+
+**Fecha:** 2026-08-23  
+**Build externo:** `5.8.25`, `b6e0e0f`  
+**Fuente:** [`/Users/user/Documents/workspace/testing/ASK-FINDINGS-CORPUS-AMPLIADO-2026-08-23.md`](/Users/user/Documents/workspace/testing/ASK-FINDINGS-CORPUS-AMPLIADO-2026-08-23.md)  
+**Estado:** intake incorporado; sin correcciones de código en esta tarea.
+
+## Criterio de triage
+
+El corpus aporta reproducción exacta y contraste manual. Los hallazgos se registran como
+**reportados externamente** hasta reproducirlos contra el checkout o wheel correspondiente.
+No se convierten en vulnerabilidades del repositorio auditado: describen límites, falsos
+negativos, falsos positivos o contratos ambiguos de ASK. Los cuatro P0 deben tener prioridad
+antes de nuevas features comerciales.
+
+## Bugs y regresiones
+
+| Severidad | ID | Hallazgo | Acción requerida | Estado |
+|---|---|---|---|---|
+| P0 | `AUD-CA-001` | `posture.security` es Spring-Security-only, pero `stack_fit` trata Spring + Shiro como ausencia de control. | Separar `spring_detected` de `spring_security_detected`; publicar `unknown` y framework no modelado. | Corregido 5.8.25: Shiro queda declarado como no modelado y el acceso como `unknown` |
+| P0 | `AUD-CA-002` | `@RequiresPermissionsDesc` descriptiva suprime un finding al retirar el gate real `@RequiresPermissions`. | Exigir evidencia de enforcement; no inferir gates por nombre; cualquier transición desde roles debe activar `security_delta`. | Reportado, reproducir |
+| P0 | `AUD-CA-003` | Colisión de FQN entre módulos descarta rutas y seguridad sin declaración. | Identidad `(módulo, FQN)` o ruta; declarar descartes si se conserva una sola definición. | Reportado, reproducir |
+| P0 | `AUD-CA-014` | 89 controladores Micronaut no aparecen en `endpoints` y el vocabulario no declara el framework. | Añadir `micronaut` como estilo detectado-no-soportado y gap cuantificado; después implementar soporte. | Parcial 5.8.25: superficie Micronaut declarada y cuantificada; soporte HTTP pendiente |
+| P1 | `AUD-CA-004` | `none_detected` mezcla cadena no modelada con ruta pública por regla URL. | Modelar `ShiroFilterFactoryBean` o separar estados `chain_not_modelled` y `chain_public`. | Reportado, reproducir |
+| P1 | `AUD-CA-005` | Regla por nombre de módulo excluye código real bajo `src/main`. | Basar exclusión en source sets (`src/test`, `src/it`), no en nombre de módulo. | Corregido 5.8.25: `src/main` prevalece; sólo quedan módulos fixture explícitos |
+| P1 | `AUD-CA-006` | `entry_points` alterna objeto/array bajo `schema_version: 1.0`; además duplica `(path, kind)`. | Fijar un schema; separar poblaciones si procede y deduplicar por `(path, kind)`. | Reportado, reproducir |
+| P1 | `AUD-CA-007` | Repositorio políglota sin build file en raíz deja inventario Java vacío pese a `primary: java`. | Descubrir manifests en el reactor; particionar dependencias por stack y declarar contradicciones. | Reportado, reproducir |
+| P1 | `AUD-CA-008` | Índice MyBatis incompleto produce `mapper_interfaces: 0` y 100% de XML huérfanos falsos. | Resolver namespace contra índice completo; si el índice está incompleto, no emitir huérfanos. | Reportado, reproducir |
+| P1 | `AUD-CA-009` | `migrate-check` omite dependencias directas incompatibles con Boot 3 y publica esfuerzo con confianza alta. | Añadir compatibilidad de dependencias declaradas; mientras tanto, publicar `non_coverage` y retirar `point_estimate/high`. | Reportado, reproducir |
+| P1 | `AUD-CA-015` | Titular `7 endpoints` oculta 21.023 rutas excluidas. | Incluir proporción y exclusiones en el titular cuando superen el umbral; mantener detalle en `answer_bounds`. | Reportado, reproducir |
+| P2 | `AUD-CA-010` | `ask --compact` y `endpoints` discrepan en el censo de controladores. | Unificar autoridad y población; publicar unidad y base del censo. | Reportado, reproducir |
+| P2 | `AUD-CA-011` | SEC-008 no cualifica alcanzabilidad; 41% del volumen procede de boilerplate MyBatis Generator. | Filtrar por rutas HTTP alcanzables y agrupar por expresión + fichero. | Reportado, reproducir |
+| P2 | `AUD-CA-012` | `verify-edit` publica `source_file: null` aunque `endpoints` sí tiene ancla `file:line`. | Reutilizar la autoridad de endpoints para anclar el diff. | Reportado, reproducir |
+| P2 | `AUD-CA-016` | `zero_result_reason` termina en una conjunción (`and `) y espacio final. | Construir la enumeración sin elementos vacíos y probar el texto completo. | Reportado, reproducir |
+| P3 | `AUD-CA-013` | `explain.public_methods` colapsa sobrecargas y carece de unidad/población/base. | Publicar firmas o identificadores de método y metadatos de población. | Corregido 5.8.25: `public_methods_detail` conserva firmas y anclas |
+| P3 | `AUD-CA-017` | `excluded_by_module_name_rule.count` es `null` mientras la cifra sólo existe en prosa. | Publicar el contador numérico desde la misma autoridad que genera el gap. | Corregido 5.8.25: `count` y `unit` publicados |
+
+## Prioridad de ejecución
+
+1. Seguridad y superficie: `AUD-CA-001`, `AUD-CA-002`, `AUD-CA-003`, `AUD-CA-004` y
+   `AUD-CA-014`.
+2. Integridad de inventario y contratos: `AUD-CA-005` a `AUD-CA-010` y `AUD-CA-012`.
+3. Precisión comercial y legibilidad: `AUD-CA-011`, `AUD-CA-015`, `AUD-CA-016`,
+   `AUD-CA-013` y `AUD-CA-017`.
+
+## Criterios de cierre
+
+- Cada hallazgo reproducido debe tener test de regresión con el repositorio testigo o una
+  fixture mínima equivalente.
+- Toda exclusión debe declarar población, motivo, contador y efecto sobre `answer_bounds`.
+- Ningún `none`, `0`, `clean` o `point_estimate/high` puede publicarse cuando el eje o el
+  índice necesario no está modelado.
+- Cambios de schema deben conservar una única forma por versión y actualizar consumidores,
+  schemas y fixtures.
+- Los P0 no se cierran por texto o mitigación documental: requieren evidencia de código y
+  batería verde.
+
+## No clasificado como bug
+
+El corpus también confirma determinismo caliente, ausencia de escrituras en los checkouts,
+separación correcta de fuentes de test, `declared_not_served`, varias coberturas Quarkus y
+Micronaut a escala de ejecución. Es evidencia positiva que debe preservarse, no trabajo
+pendiente.

sourcecode-5.8.26/docs/AUDIT-2026-08-23-EXTERNAL-5.8.25.md

@@ -0,0 +1,121 @@
+# Auditoría externa de regresión — ASK Engine 5.8.25
+
+**Fecha de recepción:** 2026-08-23  
+**Artefacto auditado:** ASK Engine `5.8.25`, build `b6e0e0f157687a962ce66627afe2e9b388fb2f06`  
+**Entornos:** Windows 11 Pro y MSAS (`3dde0376`)  
+**Alcance:** aproximadamente 180 invocaciones, 0 tracebacks, 0 escrituras observadas.
+
+## Estado posterior del checkout
+
+**Verificado el 2026-08-23 contra `HEAD 3d56d11`**, posterior al artefacto auditado.
+Este bloque es el estado operativo actual; la evidencia del informe externo que sigue se
+conserva sin alterar.
+
+- La versión del repositorio es `5.8.25`.
+- `125e486` corrigió la serialización de rutas en Windows y la detección de `ask.exe` en
+  selftest.
+- `735d766` corrigió el fallback de contexto de comando, el bounding de flags en variantes
+  Click/Typer, las rutas POSIX del workspace y la configuración de salida del job Windows.
+- `434d0e2` excluyó `_cache` runtime del `content_id` y añadió la regresión frío/caliente.
+- `cd3f8f1` añadió un sweep final del parse cache para no dejar el último intervalo sin
+  eviction al terminar una invocación.
+- `e9f5861` definió `--ci` para migraciones como gate de `migration_blocking_count`, y
+  `49187f9` etiqueta explícitamente los benchmarks históricos antes de reutilizarlos.
+- `3d56d11` reinició la observabilidad de caché por invocación, evitando que una ejecución
+  embebida contamine el tamaño o el estado de la siguiente.
+- La batería completa pasa en verde usando directorios separados para
+  `SOURCECODE_CONTEXT_CACHE_DIR` y `SOURCECODE_CACHE_DIR`. Configurar sólo uno produce
+  falsos fallos de snapshots/RIS.
+- `ASK-DET-002`, `B-26` y `ASK-GATE-001` tienen fix en el checkout y batería dirigida verde;
+  falta validar el wheel/CI Windows para cerrar la evidencia externa.
+- `ASK-UX-001`, `ASK-UX-002` y `ASK-ENV-001` tienen corrección o mitigación en el checkout,
+  pero requieren verificación del wheel publicado y un job Windows verde antes de cerrarse.
+- `B-11` tiene mitigación de comunicación en el checkout; la regeneración numérica de
+  anclas requiere una captura reproducible posterior. Siguen abiertos `ASK-PERF-003` y la
+  reconciliación `B-13`/`B-14`; las filas sin cita y `B-30` permanecen como deuda P3.
+
+### Cola vigente después de `HEAD 3d56d11`
+
+| Estado | IDs | Siguiente evidencia requerida |
+|---|---|---|
+| Fix local / validación externa | `ASK-DET-002`, `B-26`, `ASK-GATE-001` | Confirmar wheel publicado y batería Windows/GitHub. |
+| Mitigación local / dato pendiente | `B-11` | Capturar benchmarks con build, commit y protocolo actuales. |
+| Validación | `ASK-UX-001`, `ASK-UX-002`, `ASK-ENV-001` | Repetir contra wheel exacto y confirmar batería Windows en CI. |
+| Investigación | `ASK-PERF-003`, `B-13`/`B-14` | Medición aislada y reproducción con artefacto/par exactos. |
+| Futuro | Gate PR, contexto acotado, migración Boot/Java, provenance HTTP, SARIF | Plan de producto posterior a los contratos de confianza. |
+
+## Veredicto ejecutivo
+
+El informe no demuestra una regresión funcional del analizador. Sí demuestra un defecto
+de determinismo/procedencia en el payload raíz, varios contratos de producto incompletos y
+una divergencia de entorno Windows que no puede darse por cerrada desde macOS/Linux.
+
+La prioridad de la siguiente iteración no es optimizar todas las cifras de tiempo: es hacer
+que una misma respuesta sea estable, explicable y utilizable en CI. Sin esa base, los
+benchmarks y la procedencia pierden valor comercial.
+
+## Bugs y regresiones prioritarios
+
+| Prioridad | ID | Resultado de la auditoría | Decisión |
+|---|---|---|---|
+| P1 | `ASK-DET-002` | `ask . --output raw1.json` produjo dos `content_id` para el mismo árbol: `8e3a1cd54154e2eb` en frío y `f81481e0fea47e02` en caliente. Las 20 diferencias están en `_cache` (`cache_source`, `ris_exists`, `ris_git_head`, `ris_is_stale`). | **Bug confirmado.** El hash de contenido incluye estado de ejecución. Separar respuesta analítica de metadatos de ejecución, o excluir `_cache` del `content_id`; añadir prueba frío/caliente y estabilidad tras repetir. |
+| P1 | `B-26` / `ASK-17` | En la flota de 16 repositorios el parse cache alcanzó aproximadamente 559.48 MB frente a un presupuesto de 512 MB, con 25.560 entradas. | **Problema de capacidad confirmado, no fallo aislado de análisis.** Publicar exceso, política de eviction y estado efectivo; decidir si el límite es por workspace, usuario o flota antes de prometer escala empresarial. |
+| P1/P2 | `ASK-UX-001` / `N-01` | El bloque “Runs now” sigue presentando `posture . --diff dev:prod` y `endpoints .` sin una forma de acotar el resultado. | **Residuo confirmado en el artefacto auditado.** El generador ya se corrigió parcialmente en el checkout; falta verificar el wheel publicado y cubrir la población completa del bloque. |
+| P1/P2 | `ASK-UX-002` | El sistema de sugerencias entra en ciclo: sin flags ofrece `--compact`/`--limit`; con uno ofrece el otro; ambas variantes producen exactamente 71.722 tokens. | **Bug confirmado.** Las sugerencias deben ser conscientes del comando, del camino de renderizado y de `flags_already_passed`; nunca recomendar una transformación que no reduzca el payload. |
+| P1/P2 | `ASK-ENV-001` | En Windows, 9/9 payloads llegaron con `envelope_status=degraded`, `command=unknown` y razón “the running command could not be named”. | **Regresión ambiental pendiente de reproducir.** No contradice la prueba local, pero sí invalida declarar el caso cerrado. El pipeline Windows debe fallar si el contrato se degrada sin base explícita. |
+| P2 | `ASK-GATE-001` | `spring-audit --ci` y `risk --ci` devuelven el contrato de gate; `migrate-check --ci` y `migrate-apply --ci` rechazan la opción. | **Contrato inconsistente confirmado.** Definir por comando si `--ci` es gate de completitud, gate de findings o no aplica; después alinear help, exit code, schema y pruebas. No añadir la bandera por simetría sin definir su semántica. |
+| P2 | `B-11` | 16 de 19 anclas de coste siguen referenciando `5.1.0`; una referencia `5.8.23`. | **Deuda de credibilidad.** No rompe el análisis, pero debilita cualquier benchmark comercial. Regenerar anclas o marcarlas explícitamente como históricas y exigir versión/build en cada cifra. |
+| P2 | `ASK-PERF-003` | Varios comandos parecen más lentos que en `5.8.24`, mientras `export --c4` mejora y `ask --compact` también. | **No es regresión confirmada.** El auditor identifica contaminación por ejecuciones concurrentes y estados de caché. Repetir en aislamiento, con protocolo frío/sembrado/caliente y al menos tres muestras antes de abrir un fix. |
+| P3 | Cierre de auditoría | 25 filas cerradas permanecen sin cita (`uncited`). | **Higiene de procedencia.** Automatizar la cita o etiquetar la ausencia intencionada; no bloquear una release salvo que afecte a una afirmación comercial. |
+| P3 | `B-30` | 20 contratos arquitectónicos aparecen como `forbid_finding` y no utilizan la población “17 endpoints / 39 tipos”. | **Oportunidad futura.** Convertirlo en producto sólo cuando existan contratos positivos, tipos útiles y una explicación de por qué una regla no aplica. |
+| Reconciliación | `B-13` / `B-14` | El informe externo observa identidad ausente y una negativa byte-identical; el re-audit del checkout documenta identidad y no reproduce el caso `mall`/`nacos`. | **No reabrir automáticamente.** Reproducir contra el wheel exacto y el par exacto del informe. Si reproduce, prevalece el test de población; si no, registrar discrepancia de artefacto, no un bug nuevo. |
+
+## Qué no se clasifica como regresión
+
+- No hay regresión funcional demostrada, crash, traceback, escritura o mutación del repositorio auditado.
+- Las diferencias de tiempos no son atribuibles todavía a una versión: faltan ejecuciones aisladas y control de caché.
+- El resultado de “clean repo no encuentra riesgo” no es un bug; es el límite correcto del análisis. Debe expresarse como no-cobertura, no maquillarse como finding.
+- `data-exposure` sin labels/configuración suficiente es una limitación de entrada y onboarding, no una vulnerabilidad del motor.
+
+## Recomendaciones del auditor, validadas como CTO
+
+| Recomendación | Validación | Acción de producto |
+|---|---|---|
+| Priorizar un gate semántico de PR | **Alta.** Es la demostración más directa de valor: cambio concreto, finding accionable, evidencia `file:line` y exit code. | Convertir `pack gate --since <ref>` en workflow de referencia y medir findings por PR, severidad y bugs evitados. |
+| Entregar contexto acotado para agentes | **Alta.** Reduce tokens y tiempo de integración; ya hay evidencia de payloads bajo techo. | Consolidar `--compact`, `--agent` y `prepare-context` con límites verificables y KPI de tokens/call y éxito de tarea. |
+| Inventario Boot 2→3 / Java LTS | **Alta.** Tiene comprador, urgencia y unidad de trabajo clara: archivo, línea, bloqueo y esfuerzo. | Hacer de `migrate-check` + recipe el segundo caso comercial, con blockers/lines/days como métricas. |
+| HTTP exposure con provenance | **Alta.** Es defendible ante seguridad si cada ruta lleva fuente, declaración, postura y límites. | Completar `endpoints` + `posture` + `explain-endpoint`, incluyendo negativas y población. |
+| Enriquecimiento SARIF de Semgrep/CodeQL | **Media-alta, después de lo anterior.** Amplía distribución sin competir construyendo otro SAST. | Mantenerlo como integración: anclar, componer y explicar findings externos; medir porcentaje alcanzable por request no autenticada. |
+| Mejorar hints, CI y envelope | **Imprescindible, aunque no sea una feature vendible por sí sola.** Son prerequisitos de confianza y adopción. | Tratar `ASK-DET-002`, UX-001/002, ENV-001 y GATE-001 como condición de calidad de la siguiente iteración. |
+| Resolver primero el cache de flota | **Válida con matiz.** Es capacidad y coste operativo, no el “holy shit” comercial. | Añadir límites observables y eviction; no convertirlo en iniciativa principal hasta fijar el modelo de workspace/flota. |
+
+### Recomendación propia
+
+La próxima demo debe ser un flujo completo de cambio, no un catálogo de comandos:
+
+```text
+PR con cambio Spring -> pack gate -> findings file:line -> impacto transitivo
+-> endpoints/posture -> decisión CI -> contexto compacto para remediación
+```
+
+El entregable comercial debe responder tres preguntas en una página: **qué cambió, qué
+riesgo nuevo introduce y qué queda explícitamente fuera del alcance**. El KPI principal no
+debe ser el número de findings, sino el tiempo hasta una decisión defendible y la proporción
+de resultados con unidad, población, evidencia y exclusión negativa.
+
+## Criterios de aceptación para próximas iteraciones
+
+1. Dos ejecuciones frío/caliente del mismo árbol producen el mismo `content_id`; cualquier diferencia de ejecución vive bajo `_meta` y se declara como tal.
+2. El bloque de inicio sólo recomienda comandos que pueden ejecutarse dentro del techo con la bandera que realmente los acota.
+3. Ningún hint propone un flag ya usado o semánticamente ineficaz; la batería cubre todas las combinaciones publicadas.
+4. Cada comando que anuncie `--ci` documenta su gate, exit code, base y comportamiento ante resultado parcial; los demás lo rechazan de forma explícita y coherente.
+5. Windows ejecuta la batería de envelope y no permite publicar `command=unknown` como éxito silencioso.
+6. Cada benchmark comercial incluye build, commit, tamaño de población, estado de caché, número de muestras y protocolo de aislamiento.
+7. La demo PR/migración genera evidencia de fuente, población, límites y exclusiones negativas; sin esos campos el resultado se marca no concluyente.
+
+## Estado documental
+
+Este documento registra el informe externo y su evaluación independiente. El estado maestro
+de cada fila continúa en [`DEFECT-LEDGER.md`](DEFECT-LEDGER.md). Las diferencias entre wheel
+auditado y checkout deben resolverse mediante reproducción contra el artefacto exacto, no
+mediante una actualización manual del estado.

sourcecode-5.8.26/docs/AUDIT-2026-08-23-THINGSBOARD-FINDINGS.md

@@ -0,0 +1,173 @@
+# ThingsBoard field audit findings — commercial value and product gaps
+
+**Date:** 2026-08-23  
+**ASK:** 5.8.25 (`b6e0e0f157687a962ce66627afe2e9b388fb2f06`)  
+**Subject:** ThingsBoard, `181ac1392b9728d3e2aed9cd698a246bf1de3de7`  
+**Status:** five corrections implemented in the working tree; release/commit pending
+
+## Implementation status
+
+| Finding | Implemented correction |
+|---|---|
+| `AUD-THB-001` | `impact-chain` now publishes `endpoint_disposition` / `negative_scope` with `in_scope`, `out_of_scope` and `unknown_scope`, using the shared disposition authority. |
+| `AUD-THB-002` | `TX-006` now labels `material_proxy_bypass` versus `structural_proxy_bypass` in evidence. |
+| `AUD-THB-003` | Security projections now publish `security_signal` while preserving `security_policy` for compatibility. |
+| `AUD-THB-004` | `audit-report` now publishes and renders `evidence_bounds`. |
+| `AUD-THB-005` | Migration output now separates legacy `headline_blocker` from `headline_action`. |
+
+The focused contract battery passes. The full repository battery still has five unrelated
+pre-existing failures in delegated-command cache reuse and RIS freshness/cold-start tests;
+they are recorded separately and were not introduced by these changes.
+
+## Executive assessment
+
+The external review is accepted: the audit is technically credible but does not yet
+demonstrate enough business value. It proves that ASK can inventory, prioritize and produce
+defensible hypotheses. It does not yet prove the strongest commercial promise: that a customer
+can make a safer change faster because ASK narrows the affected scope and explains what is
+outside it.
+
+The next commercial proof should therefore be a **change case**, not another broad posture
+report: one concrete modernization or refactor, its transitive impact, endpoint/security
+intersection, explicit exclusions, and a before/after decision that would otherwise require
+hours of manual work.
+
+## Findings from the field audit
+
+### AUD-THB-001 — Impact output has no explicit negative scope
+
+**Severity:** P1 product gap  
+**Observed:** `impact` and `impact-chain` produced large positive cones (528–556 related
+endpoints for several targets) but no explicit, evidence-backed `negative_scope` section.
+`UserController` provided a useful control case with 0 direct callers and 31 endpoints, but
+that is not equivalent to a systematic exclusion set.
+
+**Customer impact:** the output can increase uncertainty rather than reduce it. A CTO cannot
+quickly distinguish “affected”, “not reached by this model”, and “proven outside the change”.
+Large counts are therefore commercially weak and easy to misread.
+
+**Required correction:** publish, for every impact result:
+
+- `in_scope` with the path and evidence basis;
+- `out_of_scope` only when a graph boundary proves exclusion;
+- `unknown_scope` for unresolved, dynamic or unsupported paths;
+- counts and representative examples for all three;
+- the exact boundary that prevents a node from entering the positive cone.
+
+Never infer negative scope from absence in a truncated result list.
+
+**Regression test:** a fixture with two independent controller/service branches must show one
+branch in `in_scope`, the other in `out_of_scope`, and an unresolved reflective edge in
+`unknown_scope`.
+
+### AUD-THB-002 — TX-006 overstates equivalent self-invocation cases
+
+**Severity:** P1 precision defect  
+**Observed:** the Spring audit reported 18 defects, including many TX-006 findings where an
+annotated method calls another annotated method internally but both use the default transaction
+semantics. Manual review of `AssetProfileServiceImpl`, `DeviceServiceImpl` and
+`DashboardServiceImpl` confirmed the proxy limitation, but did not demonstrate a changed
+runtime contract.
+
+**Customer impact:** inflated defect counts reduce trust and make the report look like a lint
+dump. The `SqlPartitioningRepository#save` case is materially different because it declares
+`Propagation.NOT_SUPPORTED`; the report must distinguish it from equivalent defaults.
+
+**Required correction:** classify TX findings by semantic delta:
+
+- `material_proxy_bypass`: propagation/isolation/rollback/timeout changes across the proxy;
+- `structural_proxy_bypass`: annotation is bypassed but no changed contract is proven;
+- `verified_runtime_effect`: integration evidence proves the behavior;
+- `requires_validation`: static evidence is insufficient.
+
+Only the first and third categories should contribute to a commercial “defect” count by
+default. The second should be a review signal.
+
+**Regression test:** fixtures must cover `NOT_SUPPORTED`, `REQUIRES_NEW`, custom rollback,
+isolation and timeout versus two default `@Transactional` methods. The output must not assign
+the same severity to semantically equivalent and materially different cases.
+
+### AUD-THB-003 — `none_detected` is too easy to read as public exposure
+
+**Severity:** P1 communication/contract defect  
+**Observed:** the endpoint inventory reported 28 mappings as `none_detected`. Manual review
+showed static resources, redirects, no-auth routes, device-token routes, readiness and error
+handlers among the examples.
+
+**Customer impact:** a non-specialist reader can interpret the metric as “28 unprotected
+endpoints”, which would create a false security escalation.
+
+**Required correction:** rename or qualify the state as `security_signal_not_inferred`, and
+publish a mandatory explanation per route: recognized control, unsupported control model,
+public-by-design, token-gated, static, health/readiness, or unresolved. A naked count must not
+appear in the executive summary.
+
+**Regression test:** endpoint fixtures covering `@PreAuthorize`, request-chain authorization,
+device token, `/api/noauth`, static resources and unsupported servlet mappings must produce
+distinct states.
+
+### AUD-THB-004 — Audit report does not carry evidence bounds consistently
+
+**Severity:** P1 evidence-contract gap  
+**Observed:** component outputs exposed coverage gaps, while the generated `audit-report`
+section declared evidence completeness without explicit bounds. The report therefore looks
+more exhaustive than the underlying evidence supports.
+
+**Customer impact:** a buyer cannot tell which claims are measured, inferred, unsupported or
+profile-dependent without reading raw JSON.
+
+**Required correction:** every report claim must carry an evidence envelope with:
+
+- source component and schema version;
+- repository commit and tree state;
+- scope and unsupported surfaces;
+- profile/configuration used;
+- confidence and validation status;
+- unresolved gaps and their commercial consequence.
+
+The renderer must refuse “complete” language when any required bound is absent.
+
+**Regression test:** build an assessment containing one known non-coverage gap and assert that
+all Markdown, JSON and compact renderings expose it and cannot emit an unqualified complete
+verdict.
+
+### AUD-THB-005 — Baseline summary mixes incompatible migration signals
+
+**Severity:** P2 presentation defect  
+**Observed:** the assessment combined `readiness 94`, `headline blocker jakarta_migration`
+and `migration blockers 0`.
+
+**Customer impact:** the executive decision is ambiguous: a customer cannot tell whether a
+blocker exists, whether the score is a readiness score or a risk score, or whether the issue is
+actionable in the current Spring Boot 3 baseline.
+
+**Required correction:** define separate fields and wording for `readiness_score`,
+`blocking_findings`, `headline_action` and `non_applicable_dimensions`. Enforce the invariant
+that zero blockers cannot render as “blocker” without the qualifier “non-blocking action”.
+
+**Regression test:** cases with zero blockers, one blocker and a non-applicable migration
+dimension must produce mutually unambiguous summaries in JSON, Markdown and compact output.
+
+## Bugs versus gaps
+
+No runtime regression, crash, write leakage or checkout mutation was observed during this
+field audit. The findings above are product defects or commercial gaps in precision, evidence
+boundaries and decision presentation. They are not evidence that ThingsBoard itself is broken.
+
+The strongest confirmed ASK defect is **TX-006 precision**, because static findings were
+presented as defects despite equivalent default transaction semantics. The remaining rows are
+contract or product-surface gaps that materially limit the sales value of the report.
+
+## Recommended commercial proof case
+
+Build the next demo around a deliberately controlled change:
+
+1. choose one service or transaction boundary with a known interface/implementation split;
+2. show the baseline callers, endpoints and security controls;
+3. introduce a controlled change;
+4. show the exact positive scope, proven exclusions and unknowns;
+5. compare ASK output with a manually curated ground truth;
+6. quantify analyst time avoided and the decision enabled.
+
+The acceptance bar is not “more findings”. It is **precision, explainability and a bounded
+change decision**.

{sourcecode-5.8.25 → sourcecode-5.8.26}/docs/DEFECT-LEDGER.md

@@ -16,6 +16,75 @@ The facts these rows are keyed to are published: `ask schema facts-v1` prints th
 
 ## Current Synchronization
 
+**Corpus ampliado recibido, 2026-08-23 — 17 hallazgos nuevos en intake.**
+[`AUDIT-2026-08-23-CORPUS-AMPLIADO.md`](AUDIT-2026-08-23-CORPUS-AMPLIADO.md) registra cuatro
+P0 (`AUD-CA-001`, `002`, `003`, `014`), ocho P1, cuatro P2 y un P3. La evidencia externa
+aporta reproducción y contraste manual, pero estas filas permanecen **pendientes de
+reproducción contra checkout/wheel**: no se declaran corregidas ni se atribuyen al código
+auditado. La prioridad inmediata es seguridad no modelada, colisiones de FQN y superficie
+HTTP Micronaut; después siguen contratos de inventario, cobertura y precisión de salida.
+
+**Correcciones iniciadas, 2026-08-23.** `AUD-CA-001` (declaración segura de Shiro),
+`AUD-CA-005` (autoridad de `src/main`), `AUD-CA-013` (sobrecargas y anclas de
+`explain`) y `AUD-CA-017` (contador estructurado) están corregidos en commits atómicos
+de `5.8.25`. `AUD-CA-014` tiene una corrección parcial: Micronaut ya aparece como
+superficie detectada-no-modelada y cuantificada, pero el soporte HTTP sigue pendiente.
+Los restantes hallazgos permanecen abiertos hasta reproducirlos y cubrirlos con pruebas.
+
+**Estado autoritativo del repositorio, 2026-08-23 — `5.8.25`, `HEAD 3d56d11`.** Este
+snapshot supersede cualquier estado de release indicado en las secciones históricas de
+este ledger. La batería completa pasa en verde cuando se configuran ambos almacenes
+temporales: `SOURCECODE_CONTEXT_CACHE_DIR` para CIR/parse y `SOURCECODE_CACHE_DIR` para
+snapshots/RIS. Usar sólo el primer directorio produce falsos fallos de persistencia.
+
+Los commits `125e486`, `735d766`, `434d0e2`, `cd3f8f1`, `e9f5861`, `49187f9` y `3d56d11` están incluidos
+en el checkout actual. Cubren rutas
+Windows, selftest con `ask.exe`, resolución bounded de comandos y flags, fallback de
+contexto, rutas POSIX del workspace, salida estable del job Windows, fingerprint sin estado
+runtime de caché, sweep final del parse cache, gate CI de migraciones, trazabilidad explícita
+de benchmarks históricos y aislamiento de observabilidad por invocación. Por tanto,
+`ASK-UX-001`, `ASK-UX-002` y `ASK-ENV-001` ya no deben describirse como fallos sin
+corrección: quedan **pendientes de verificación contra el wheel publicado y de confirmación
+en GitHub Windows**.
+
+La cola abierta actual es: validación externa de `ASK-DET-002`, `B-26` y `ASK-GATE-001`,
+regeneración reproducible de cifras `B-11`, `ASK-PERF-003` (medición aislada aún
+necesaria), `B-13`/`B-14` (reconciliación contra artefacto exacto), y la deuda P3 de filas
+sin cita y `B-30`. No quedan fallos locales reproducidos pendientes en esta batería.
+
+Las menciones posteriores a `5.8.24`, “release/commit pending” o “no audit, no release”
+son fotografías históricas de sus respectivas iteraciones. Se mantienen para trazabilidad,
+pero no representan el estado vigente ni deben usarse para decidir el siguiente release.
+
+**External `5.8.25` regression audit received, 2026-08-23 — triage recorded.**
+[`AUDIT-2026-08-23-EXTERNAL-5.8.25.md`](AUDIT-2026-08-23-EXTERNAL-5.8.25.md) separates the
+Windows/MSAS wheel evidence from this checkout. The only new confirmed product defect is
+`ASK-DET-002`: root `content_id` changes between cold and warm runs because `_cache` runtime
+state is included in the answer fingerprint. `ASK-UX-001`/`ASK-UX-002` and
+`ASK-GATE-001` remain actionable contract residues in the audited artefact; `ASK-ENV-001`
+is a Windows-specific witness still requiring reproduction. `B-26` is recorded as a fleet
+capacity issue (559.48 MB against 512 MB), not as a finding-analysis error. The reported
+performance deltas are not accepted as regressions until isolated measurements control cache
+state and concurrency. `B-13`/`B-14` require reconciliation against the exact wheel and
+repository pair because the source re-audit disagrees with the external field result.
+
+The validated commercial queue is now: deterministic/provenance envelope, bounded UX and
+hint correctness, coherent CI gates, Windows envelope verification, then PR semantic gate,
+bounded agent context, Java/Spring migration inventory, HTTP exposure provenance and SARIF
+enrichment. The complete CTO assessment and acceptance criteria are in the linked audit;
+they are not a claim that every auditor suggestion is a next-iteration fix.
+
+**ThingsBoard field audit, 2026-08-23 — five findings documented and corrected in the
+working tree; included in `5.8.25` and commit `2c551db`.**
+[`AUDIT-2026-08-23-THINGSBOARD-FINDINGS.md`](AUDIT-2026-08-23-THINGSBOARD-FINDINGS.md)
+records the evidence and acceptance tests for the missing negative scope (`AUD-THB-001`),
+TX-006 precision (`AUD-THB-002`), ambiguous `none_detected` exposure semantics
+(`AUD-THB-003`), incomplete evidence bounds in the generated report (`AUD-THB-004`) and
+contradictory migration summary wording (`AUD-THB-005`). The audit found no runtime
+regression, crash, write leakage or mutation of the audited checkout. The five authorities
+and focused regression tests were updated and released; these rows are product gaps/defects, not
+claims that ThingsBoard itself is broken.
+
 **`AUD-601` queue closed, 2026-08-23 — seven rows, one commit each, no release.** Six closed
 and one (`AUD-601-X01`) held with the half it was owed. Suite **12 702 / 0 red**,
 `__version__` unchanged at `5.8.24`. ⚠ **Three more reported mechanisms are corrected by the

{sourcecode-5.8.25 → sourcecode-5.8.26}/docs/DEVELOPMENT-ROADMAP.md

@@ -523,7 +523,7 @@ moves ahead of everything except `S-23`.
 | # | Row | Mechanism | Done when |
 |---|---|---|---|
 | `S-27` | **The licence axis cannot charge the buyer the product is being built for** ⭐ — `P-13` | `is_large_repo()` counts Java files **per repository path** against `_FREE_REPO_JAVA_FILE_LIMIT = 500` (`license.py:121`, `:521`), and the only other axis is the `delta` automation quota (`:267`). An organisation of 40 microservices at 300 Java files each crosses no threshold on any repository and **pays nothing**. That is precisely the buyer the third memo identifies correctly — flota, defendibilidad, *"how many unauthenticated routes does my organisation have"* — so the product's own price model excludes it. This is not a pricing preference: it is a measured contradiction between the gate in `license.py` and the route in `PRODUCT-ROUTE.md` | An axis that can charge an organisation — repository count, or a fleet manifest, or seats over a workspace — declared in `license.entitlement()` with `when_it_changes` saying what it costs, exactly as `P-2` established for the existing axis. **Not** by lowering the per-repo threshold, which would start charging the users the current rule deliberately leaves free. Acceptance: a fixture workspace of N small repositories reaches the same entitlement decision as one large repository of the same total size, or the difference is published as a stated product decision rather than an accident of the counter |
-| `S-28` | **SARIF out — the findings reach the tab the developer already reads** | The schema is already in the house: `sarif.py` parses SARIF 2.1.0 for `enrich`, with severity mapping, location resolution and an `unresolved` list that names why a result could not be placed. Nothing emits it. The memo is right that this is the cheapest conversion in the backlog and wrong that SARIF is *"a format"*: it is the channel into GitHub's Security tab, so the buyer installs nothing and learns no commands | `--format sarif` on the commands whose answer is a finding population, emitting **only claims ASK owns** — an unguarded route, a contract violation, a reachability verdict. A result that arrived through `enrich` stays attributed to the tool that found it and is never re-emitted as ASK's own: the enrichment is the reachability, not the detection (`NC-001`, `NC-002`). Round-trip assertion: emit, re-parse with `sarif.parse_sarif`, and the population and its `non_coverage` survive |
+| `S-28` ◑ | **SARIF out — the findings reach the tab the developer already reads** — **first safe increment in `17fe1ca`**: `ask pack gate --format sarif` emits SARIF 2.1.0 decision diagnostics from the gate manifest only. A BLOCK/UNVERIFIED component becomes a locationless result with its component, status and exit code; a PASS emits nothing. This is deliberately narrower than an audit-finding export: no source location is invented and no component payload is re-emitted. | The schema was already in the house: `sarif.py` parses SARIF 2.1.0 for `enrich`, with severity mapping, location resolution and an `unresolved` list that names why a result could not be placed. The implemented gate channel reaches CI without presenting imported findings as ASK discoveries. **Remaining:** source-level exports for commands that own a finding population, with a round-trip assertion over their locations and non-coverage. A result that arrived through `enrich` stays attributed to the tool that found it and is never re-emitted as ASK's own: the enrichment is the reachability, not the detection (`NC-001`, `NC-002`). |
 | `S-29` | **The remediation record becomes a public, generated page** | Twenty rows closed and field-verified in twenty-four hours, a mechanism in source per row, two rejected with their measurement and their price. It lives in `docs/DEFECT-LEDGER.md`, which is shipped inside the wheel and nowhere else. The commercial argument is exact and is the memo's best: the first objection to a single-maintainer proprietary product is *"what if it disappears"*, and the hardest answer is not an SLA promise but the product's own numbers | A **generated projection**, never the raw file — `P-14`: rows open and closed per version, median days to closure, declined rows with their reason, derived from the ledger plus `build_commit` so it cannot drift from what shipped. Redaction is part of the acceptance criterion, not a follow-up: no absolute maintainer paths, no third-party evaluation subjects named as audited. Assertion over the generator, not over the output |
 | `S-30` | **The token bill becomes a measured number, and `--since` carries the budget** | Two halves of one thesis the memo states correctly: the customer's real cost is the agent's context bill, not the licence. The stateful half it proposes (a session that remembers what the agent was given) is **refused** — it makes the answer depend on what the agent claims it saw, which breaks the determinism this product sells. The stateless half is already almost built: `--since`, `delta`, `regress`, content-addressed answers and the declared `--compact` / `--agent` ceilings | (a) `--since <ref>` composed with a token budget on the existing bounded views, so an agent supplies the sha it holds and gets only what changed inside a stated ceiling, with `non_coverage` for what the budget cut. (b) A reproducible harness in the repository that runs one real agent task with and without ASK and publishes tokens per resolved task — under the honest-benchmark rule: what did **not** work is reported first, and no figure is published that a reader cannot re-run |
 

{sourcecode-5.8.25 → sourcecode-5.8.26}/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "hatchling.build"
 
 [project]
 name = "sourcecode"
-version = "5.8.25"
+version = "5.8.26"
 description = "Persistent structural context and ultra-fast repeated analysis for AI coding agents"
 readme = "README.md"
 requires-python = ">=3.9"

{sourcecode-5.8.25 → sourcecode-5.8.26}/scripts/perf_harness.py

@@ -21,7 +21,6 @@ from __future__ import annotations
 import argparse
 import json
 import os
-import resource
 import shutil
 import subprocess
 import sys
@@ -29,6 +28,11 @@ import tempfile
 import time
 from pathlib import Path
 
+try:
+    import resource
+except ImportError:  # Windows has no POSIX resource module.
+    resource = None  # type: ignore[assignment]
+
 # Import the frozen collector from the package under test.
 sys.path.insert(0, str(Path(__file__).resolve().parent.parent / "src"))
 from sourcecode import __version__ as TOOL_VERSION  # noqa: E402
@@ -154,7 +158,10 @@ def run_once(argv: list[str], env: dict[str, str], perf_log: Path) -> tuple[floa
     """
     if perf_log.exists():
         perf_log.unlink()
-    rss_before = resource.getrusage(resource.RUSAGE_CHILDREN).ru_maxrss
+    rss_before = (
+        resource.getrusage(resource.RUSAGE_CHILDREN).ru_maxrss
+        if resource is not None else 0
+    )
     t0 = time.perf_counter()
     proc = subprocess.run(argv, env=env, capture_output=True, timeout=1800)
     wall_ms = (time.perf_counter() - t0) * 1000.0
@@ -163,7 +170,10 @@ def run_once(argv: list[str], env: dict[str, str], perf_log: Path) -> tuple[floa
         raise HarnessRunFailed(
             f"exit {proc.returncode} from `{' '.join(argv)}`: {detail or 'no stderr'}"
         )
-    rss_after = resource.getrusage(resource.RUSAGE_CHILDREN).ru_maxrss
+    rss_after = (
+        resource.getrusage(resource.RUSAGE_CHILDREN).ru_maxrss
+        if resource is not None else 0
+    )
     # ru_maxrss for RUSAGE_CHILDREN is the peak among reaped children; the delta
     # approximates this run's peak. Approximate by construction — documented.
     rss_bytes = max(rss_after - rss_before, rss_after) * RSS_UNIT if rss_after else 0.0

{sourcecode-5.8.25 → sourcecode-5.8.26}/src/sourcecode/__init__.py

@@ -4,4 +4,4 @@ ASK Engine is the product. ``ask`` is the canonical CLI command; ``sourcecode``
 the legacy compatibility alias and the Python/PyPI package name. See
 docs/PRODUCT_IDENTITY.md (normative)."""
 
-__version__ = "5.8.25"
+__version__ = "5.8.26"