sourcecode 5.8.25__tar.gz → 5.8.27__tar.gz

{sourcecode-5.8.25 → sourcecode-5.8.27}/.github/workflows/windows-battery.yml

@@ -16,8 +16,18 @@ on:
 jobs:
   battery:
     runs-on: windows-latest
+    env:
+      NO_COLOR: "1"
+      TERM: "dumb"
+      # CLI payloads and diagnostics are UTF-8 contracts. Without this Windows
+      # decodes child-process output with the active code page, turning a valid
+      # JSON answer containing source text into an empty/failed test response.
+      PYTHONUTF8: "1"
+      PYTHONIOENCODING: "utf-8"
     steps:
       - uses: actions/checkout@v4
+        with:
+          fetch-depth: 0
 
       - uses: actions/setup-python@v5
         with:
@@ -31,11 +41,22 @@ jobs:
 
       - name: Suite
         run: pytest
+        # `runner.*` is valid at step scope. Both stores stay outside the
+        # checkout so their files never become untracked input to an analysis.
+        env:
+          SOURCECODE_CACHE_DIR: ${{ runner.temp }}/ask-cache
+          SOURCECODE_CONTEXT_CACHE_DIR: ${{ runner.temp }}/ask-context-cache
 
       # Named separately so a Windows-only failure is legible in the job list
       # rather than one dot in nine thousand.
       - name: The envelope names its command on every entry path
         run: pytest tests/test_the_envelope_names_its_command_on_every_entry_path_aud601_x01.py -v
+        env:
+          SOURCECODE_CACHE_DIR: ${{ runner.temp }}/ask-cache
+          SOURCECODE_CONTEXT_CACHE_DIR: ${{ runner.temp }}/ask-context-cache
 
       - name: A footprint sample is a number or a stated null, never a zero
         run: pytest tests/test_resource_budget_d10.py -v
+        env:
+          SOURCECODE_CACHE_DIR: ${{ runner.temp }}/ask-cache
+          SOURCECODE_CONTEXT_CACHE_DIR: ${{ runner.temp }}/ask-context-cache

{sourcecode-5.8.25 → sourcecode-5.8.27}/CHANGELOG.md

@@ -1,5 +1,21 @@
 # Changelog
 
+## [5.8.27] — 2026-08-26
+
+*Audit remediation release. Detached workers avoid the Windows console shim,
+security scanning excludes platform and deprecated encoder definitions, and
+non-applicable Boot 3 readiness is represented consistently. `selftest` warns
+when an implicit current-directory run contains nested Git repositories. The
+release also synchronizes the user-facing documentation with these guarantees.*
+
+## [5.8.26] — 2026-08-23
+
+*Patch release for the expanded-corpus audit. It preserves endpoint declarations
+whose FQN is reused by separate modules, pairs MyBatis XML against the analysed
+tree rather than a compact display subset, and reports the runtime source commit
+for editable installs. Route inheritance and JAX-RS locator composition were
+revalidated after the module-identity change.*
+
 ## [5.8.25] — 2026-08-23
 
 *Version and documentation synchronization release. The audited `5.8.24` tree is
@@ -461,7 +477,7 @@ the evidence for outstanding field reproduction and performance work.*
 
 *Performance-mitigation and release-hygiene update. The external cross-version
 performance regression remains open until it is reproduced under its controlled
-`saint-server` protocol; this release does not present local warm-cache results
+`reference-service` protocol; this release does not present local warm-cache results
 as that closure.*
 
 ### Changed
@@ -1217,7 +1233,7 @@ said to name no smaller variant when one exists.*
 - An analysed population does not move between releases without a field that
   explains the move (B17-sv / AS-16). 5.8.0's E-35 fix removed symbols that were
   never declarations — `return unknownHelper("x");` parsed as one — and
-  `metadata.symbols_analyzed` fell with them (`saint-server` 43 642 → 43 003,
+  `metadata.symbols_analyzed` fell with them (`reference-service` 43 642 → 43 003,
   −1,46 %, after five constant versions). The correction was right and the
   release said nothing, so the next field re-audit read it as lost coverage and
   filed it P0. Every command that publishes `symbols_analyzed` now publishes
@@ -1600,7 +1616,7 @@ closed here, two refuted with the measurement that contradicts them.*
 
 ## [5.5.5] — 2026-08-13
 
-**MSAS performance-audit corrections and read-only hygiene verification.**
+**reference corpus performance-audit corrections and read-only hygiene verification.**
 
 ### Fixed
 - `spring-audit` now preserves full default JSON when it fits the stdout
@@ -1619,7 +1635,7 @@ closed here, two refuted with the measurement that contradicts them.*
   explicitly where no semantic model is available.
 
 ### Documentation
-- Recorded the MSAS findings, their reproductions, the resolved commits, and
+- Recorded the reference corpus findings, their reproductions, the resolved commits, and
   the remaining bounded-output, schema, timeline, benchmark, and Git-basis
   work in the roadmap.
 
@@ -2369,7 +2385,7 @@ product does not model — Keycloak, 8 204 Java files, Quarkus + JAX-RS,
 `spring_detected: false` in all six audited modules, 47 invocations under
 `ASK_READONLY=1` — and it split the product cleanly in two: every structural axis
 worked alone, and the axes that guess produced 86 `high` findings with zero true
-positives. Eval #21 is the seventh measurement of `saint-server`, and its
+positives. Eval #21 is the seventh measurement of `reference-service`, and its
 contribution is a partition rather than a defect.
 
 **Fixed in this release:**
@@ -3499,7 +3515,7 @@ them.
 ### Documentation
 
 - README and user guide examples now report `4.8.0`.
-- The development roadmap records the saint-server field-evaluation fixes and
+- The development roadmap records the reference-service field-evaluation fixes and
   future feature queue.
 
 ## [4.7.0] — 2026-08-04
@@ -4245,7 +4261,7 @@ verification against 4.0.1.
 
 - **SEC-007 — a credential stored in a deployment descriptor** (CL-10). The audit
   found `monitor:{SHA-256}dc20b820…` in
-  `src/main/options/{DPA,M3,M3DEV}/WEB-INF/web.xml`: unsalted, the same hash in all
+  `src/main/options/{DPA,sample,tenant-dev}/WEB-INF/web.xml`: unsalted, the same hash in all
   three per-environment overlays, and found by hand because *"los overlays
   `src/main/options/**` son punto ciego"*. The gap was admission surface, not
   detection — those descriptors are files `environment_resolution`,
@@ -5669,13 +5685,13 @@ and `registries` in both `ask schema` and `ask version`) are additive.
 
 - **A class was reported as conditional on a profile *and* on its negation, contradicting
   `ask posture` in the same run.** Found in the third field evaluation (3.2.0): a
-  configuration class declaring `@Profile("!m3")` — active exactly when `m3` is **absent** —
-  appeared in `signals.spring_profiles.profile_conditional_beans` under `m3` as well. Read as
+  configuration class declaring `@Profile("!sample")` — active exactly when `sample` is **absent** —
+  appeared in `signals.spring_profiles.profile_conditional_beans` under `sample` as well. Read as
   a security fact, it inverts the answer.
   - Root cause, reproduced: the source scan attributed every `@Profile` to *the next type
     declaration ahead of it*, falling back to the file name when there was none. A
-  `@Profile("m3")` on a `@Bean` **method** inside that class was therefore attributed to the
-    class itself, next to the class-level `@Profile("!m3")`.
+  `@Profile("sample")` on a `@Bean` **method** inside that class was therefore attributed to the
+    class itself, next to the class-level `@Profile("!sample")`.
   - Attribution is now the declaration the annotation actually annotates: only annotations
     and modifiers may stand between it and a type declaration; a member-level annotation is
     reported as `Type#member`, and an annotation whose target cannot be read is **not
@@ -8632,7 +8648,7 @@ Dependency audit (`pip-audit`): no known vulnerabilities in runtime dependencies
 
 ### Added
 - **`export --c4` now emits `components.module_roots` — architectural module
-  enumeration + DDD/legacy classification.** Field test (saint-server C4 doc pass)
+  enumeration + DDD/legacy classification.** Field test (reference-service C4 doc pass)
   surfaced that the C4 export keyed modules by *leaf source directory*
   (`dirname(source_file)`), so a DDD module split across
   `domain/` / `application/` / `infrastructure/` subdirs fragmented into several

sourcecode-5.8.27/CODE_OF_CONDUCT.md

@@ -0,0 +1,27 @@
+# Code of Conduct
+
+## Our Pledge
+
+We pledge to make participation in this project a harassment-free experience for everyone,
+regardless of age, body size, disability, ethnicity, gender identity and expression, level of
+experience, nationality, personal appearance, race, religion, or sexual identity and
+orientation.
+
+## Expected Behaviour
+
+- Use welcoming and inclusive language.
+- Respect differing viewpoints and experiences.
+- Give and accept constructive feedback.
+- Focus on what is best for the community and the project.
+
+## Unacceptable Behaviour
+
+Harassment, discriminatory language, personal attacks, publication of private information, or
+other conduct that would be inappropriate in a professional setting is not acceptable.
+
+## Enforcement
+
+Report unacceptable behaviour privately to the project maintainers. Maintainers will review
+reports promptly and may remove, edit, or reject contributions, or take other action needed to
+protect participants.
+

{sourcecode-5.8.25 → sourcecode-5.8.27}/CONTRIBUTING.md

@@ -189,6 +189,11 @@ Rules:
 - Docstrings are optional but welcome for non-obvious logic
 - No inline comments explaining what the code does — names should do that
 - Comments only for non-obvious constraints or workarounds
+- Do not add customer names, trademarks, private repository identities, or
+  licensed third-party material to source, fixtures, examples, documentation,
+  benchmark labels, or generated artefacts. Use neutral names such as
+  `sample-service`, `example.org`, and `tenant-a`. Required legal notices and
+  dependency attributions are the only exception and must remain verbatim.
 
 ---
 

{sourcecode-5.8.25 → sourcecode-5.8.27}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sourcecode
-Version: 5.8.25
+Version: 5.8.27
 Summary: Persistent structural context and ultra-fast repeated analysis for AI coding agents
 Project-URL: Homepage, https://github.com/HarounDominique/sourcecode
 Project-URL: Repository, https://github.com/HarounDominique/sourcecode
@@ -22,12 +22,13 @@ Classifier: Programming Language :: Python :: 3.12
 Classifier: Topic :: Software Development :: Libraries :: Python Modules
 Classifier: Topic :: Utilities
 Requires-Python: >=3.9
+Requires-Dist: click<8.4,>=8.2
 Requires-Dist: defusedxml>=0.7
 Requires-Dist: mcp<2,>=1.2
 Requires-Dist: pathspec>=1.0
 Requires-Dist: ruamel-yaml>=0.18
 Requires-Dist: tomli>=2.0; python_version < '3.11'
-Requires-Dist: typer>=0.24
+Requires-Dist: typer<0.26,>=0.24
 Provides-Extra: ast
 Requires-Dist: tree-sitter-javascript>=0.21; extra == 'ast'
 Requires-Dist: tree-sitter-typescript>=0.21; extra == 'ast'
@@ -58,7 +59,7 @@ Description-Content-Type: text/markdown
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.25-blue)
+![Version](https://img.shields.io/badge/version-5.8.27-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -176,15 +177,14 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.25 retains the shared Canonical IR
+**Current performance status.** Release 5.8.27 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
-runs; the no-label path remains parse-free. The one-model-per-declared-label path is
-also retained. These are implementation properties, not duration promises:
-run `ask cache model <repo>` to see which command benefits from a warm cache and
-use `--progress stderr` for supervised runs. The external `data-exposure --config`
-remeasurement and portable cost-anchor calibration remain open because measurements
-from different hosts are not interchangeable; see the
-[roadmap](docs/DEVELOPMENT-ROADMAP.md).
+runs; the no-label path remains parse-free. These are implementation properties,
+not duration promises. A controlled external warm-path audit has opened performance
+and bounded-output regressions for this release; use `ask cache model <repo>` and
+`--progress stderr` for supervised runs, and consult the
+[active audit intake](docs/AUDIT-2026-08-23-EXTERNAL-5.8.26.md) before treating a
+historical timing or bounded flag as a current guarantee.
 
 **What a warm actually covers.** `ask cache warm` runs the compact analysis: it rebuilds the
 shared structural layers (L1/L2 + the Repository Intelligence Snapshot + the shared Canonical
@@ -210,7 +210,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.25 — and, on a build that has aged,
+ask version                    # ask 5.8.27 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 
@@ -218,16 +218,13 @@ ask version                    # ask 5.8.25 — and, on a build that has aged,
 > (renaming the distribution is a separate, breaking change). Installing it gives you the
 > canonical **`ask`** command plus the deprecated **`sourcecode`** alias.
 
-> **Platforms.** Developed and tested on macOS and Linux; every release runs its full
-> battery there. **Windows/PowerShell is a target we cannot verify:** the CLI is written
-> for it — UTF-8 streams are forced at both console entry points, a successful run writes
-> nothing to stderr (PowerShell 5.1 raises `NativeCommandError` on any stderr write), and
-> the MCP server strips the BOM PowerShell puts on stdin — but no Windows runner exists in
-> the battery. Three separate field reports of console mojibake (`—` rendering as `â€"`)
-> have never reproduced under measurement, and the only variable those reports share is the
-> platform we cannot exercise (C3-3, C3-12, C3-38 in the
-> [defect ledger](docs/DEFECT-LEDGER.md)). On Windows, prefer `--output <file>` over shell
-> redirection, and report a rendering problem rather than assuming it is known.
+> **Platforms.** macOS, Linux and Windows are exercised in CI. The Windows battery runs the
+> full suite on every push, with focused envelope and memory-footprint cases. UTF-8 streams
+> are forced at both console entry points; a successful run writes nothing to stderr
+> (PowerShell 5.1 raises `NativeCommandError` on any stderr write), and the MCP server strips
+> the BOM PowerShell can put on stdin. For PowerShell, prefer `--output <file>` over shell
+> redirection when retaining an artefact. A successful CI run is the portability evidence for
+> a release; report a rendering problem with the command, shell and encoding.
 
 ---
 

{sourcecode-5.8.25 → sourcecode-5.8.27}/README.md

@@ -10,7 +10,7 @@
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.25-blue)
+![Version](https://img.shields.io/badge/version-5.8.27-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -128,15 +128,14 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.25 retains the shared Canonical IR
+**Current performance status.** Release 5.8.27 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
-runs; the no-label path remains parse-free. The one-model-per-declared-label path is
-also retained. These are implementation properties, not duration promises:
-run `ask cache model <repo>` to see which command benefits from a warm cache and
-use `--progress stderr` for supervised runs. The external `data-exposure --config`
-remeasurement and portable cost-anchor calibration remain open because measurements
-from different hosts are not interchangeable; see the
-[roadmap](docs/DEVELOPMENT-ROADMAP.md).
+runs; the no-label path remains parse-free. These are implementation properties,
+not duration promises. A controlled external warm-path audit has opened performance
+and bounded-output regressions for this release; use `ask cache model <repo>` and
+`--progress stderr` for supervised runs, and consult the
+[active audit intake](docs/AUDIT-2026-08-23-EXTERNAL-5.8.26.md) before treating a
+historical timing or bounded flag as a current guarantee.
 
 **What a warm actually covers.** `ask cache warm` runs the compact analysis: it rebuilds the
 shared structural layers (L1/L2 + the Repository Intelligence Snapshot + the shared Canonical
@@ -162,7 +161,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.25 — and, on a build that has aged,
+ask version                    # ask 5.8.27 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 
@@ -170,16 +169,13 @@ ask version                    # ask 5.8.25 — and, on a build that has aged,
 > (renaming the distribution is a separate, breaking change). Installing it gives you the
 > canonical **`ask`** command plus the deprecated **`sourcecode`** alias.
 
-> **Platforms.** Developed and tested on macOS and Linux; every release runs its full
-> battery there. **Windows/PowerShell is a target we cannot verify:** the CLI is written
-> for it — UTF-8 streams are forced at both console entry points, a successful run writes
-> nothing to stderr (PowerShell 5.1 raises `NativeCommandError` on any stderr write), and
-> the MCP server strips the BOM PowerShell puts on stdin — but no Windows runner exists in
-> the battery. Three separate field reports of console mojibake (`—` rendering as `â€"`)
-> have never reproduced under measurement, and the only variable those reports share is the
-> platform we cannot exercise (C3-3, C3-12, C3-38 in the
-> [defect ledger](docs/DEFECT-LEDGER.md)). On Windows, prefer `--output <file>` over shell
-> redirection, and report a rendering problem rather than assuming it is known.
+> **Platforms.** macOS, Linux and Windows are exercised in CI. The Windows battery runs the
+> full suite on every push, with focused envelope and memory-footprint cases. UTF-8 streams
+> are forced at both console entry points; a successful run writes nothing to stderr
+> (PowerShell 5.1 raises `NativeCommandError` on any stderr write), and the MCP server strips
+> the BOM PowerShell can put on stdin. For PowerShell, prefer `--output <file>` over shell
+> redirection when retaining an artefact. A successful CI run is the portability evidence for
+> a release; report a rendering problem with the command, shell and encoding.
 
 ---
 

{sourcecode-5.8.25 → sourcecode-5.8.27}/docs/AUDIT-2026-08-22-5.8.22.md

@@ -3,7 +3,7 @@
 **Fecha:** 2026-08-22  
 **Artefacto auditado:** release `5.8.22`, `build_commit`
 `583c07c405358d3e76dd20968960f5ab928608fd`  
-**Sujeto principal:** MSAS / `banyan-v2`, HEAD `3dde0376`, 3.342 ficheros Java  
+**Sujeto principal:** reference corpus / `banyan-v2`, HEAD `3dde0376`, 3.342 ficheros Java
 **Registro relacionado:** [`docs/DEFECT-LEDGER.md`](DEFECT-LEDGER.md), entrada
 `AUD-598-X01` y filas derivadas
 
@@ -11,7 +11,7 @@
 
 Se consolidan dos rondas independientes sobre la misma release:
 
-- Ronda A: MSAS, 57 invocaciones, 52 cronometradas, 3 `pr-impact` y 5 ayudas,
+- Ronda A: reference corpus, 57 invocaciones, 52 cronometradas, 3 `pr-impact` y 5 ayudas,
   `ASK_READONLY=1`, presupuesto explícito y 0 escrituras.
 - Ronda B: banco de 16 repositorios Java/Spring, unas 95 invocaciones, Windows
   11 Pro, pipx y Git Bash.
@@ -54,7 +54,7 @@ El estado siguiente es el que debe usarse para planificación y release:
 | `AUD-598-X01` | `open` | El ledger del producto va por delante del wheel: cinco cierres declarados no se observan en el artefacto `583c07c`. |
 | `AUD-598-B01` / `ASK-META-001` | `open` | La auditoría de wheel no observa `_meta`, `content_id` ni memoria en 9/9 payloads inspeccionados. Debe resolverse dentro de un wheel construido, no sólo en checkout. |
 | `AUD-598-B02` / `ASK-UX-002` | `open` | `posture --diff` ofrece `--compact` y `--limit`, pero ambos son no-op en el caso medido y los hints forman un ciclo. |
-| `AUD-598-B03` / `B-11` | `open` | Persisten 17 anclas de coste con texto `on 5.1.0` dentro de un build 5.8.22; además `risk` no alcanza su ancla publicada en MSAS. |
+| `AUD-598-B03` / `B-11` | `open` | Persisten 17 anclas de coste con texto `on 5.1.0` dentro de un build 5.8.22; además `risk` no alcanza su ancla publicada en reference corpus. |
 | `AUD-598-B04` / `N-02` | `open` parcial | `1e9` y `1_000` son presupuestos válidos, pero se aceptan sin advertir que no vincularán el proceso. |
 
 ## Cierres que el artefacto no confirma

{sourcecode-5.8.25 → sourcecode-5.8.27}/docs/AUDIT-2026-08-23-5.8.24.md

@@ -4,7 +4,7 @@
 **Artefacto auditado:** release `5.8.24`, `build_commit`
 `61b9c12b0e354cda157038bc8be6e19384a42368`
 **Sujetos:** banco de 16 repositorios Java/Spring sobre Windows 11 Pro (ronda A, ~145
-invocaciones) · MSAS / `banyan-v2`, HEAD `3dde0376`, 3 342 ficheros Java (ronda B, octava
+invocaciones) · reference corpus / `banyan-v2`, HEAD `3dde0376`, 3 342 ficheros Java (ronda B, octava
 ronda sobre el mismo árbol bit a bit, ~55 invocaciones, `ASK_READONLY=1` y techo explícito
 en todas, 0 tracebacks, 0 escrituras)
 **Registro relacionado:** [`DEFECT-LEDGER.md`](DEFECT-LEDGER.md), *Fourteenth Audit Pass* y
@@ -15,7 +15,7 @@ filas `AUD-601-*`
 | Ronda | Nota | Anterior | Veredicto del auditor |
 |---|---:|---:|---|
 | A — banco de 16 repos | `8,7/10` | 8,3 | Adoptar |
-| B — MSAS | `8,88/10` | 8,84 | Comprar y actualizar, con una reserva operativa |
+| B — reference corpus | `8,88/10` | 8,84 | Comprar y actualizar, con una reserva operativa |
 
 Ronda B marca **su propio eje de rendimiento como provisional** y nombra el confound. Ronda A
 **retracta una fila propia** tras cuatro informes. Ambas cosas cuentan a favor del método y
@@ -202,7 +202,7 @@ byte-idéntico a 156 902 B en dos corridas donde antes oscilaba ±1–3 B por re
 
 **De rendimiento: las dos rondas se contradicen, y no se declara regresión.**
 
-| | Ronda A (banco, protocolo con `cache warm` explícito, intercalado ×4, mediana, primera descartada) | Ronda B (MSAS) |
+| | Ronda A (banco, protocolo con `cache warm` explícito, intercalado ×4, mediana, primera descartada) | Ronda B (reference corpus) |
 |---|---|---|
 | Lectura | **8 de 9 anclas mejoran 4–17 %**, y las seis que subieron en `5.8.23` vuelven todas a su banda o por debajo. `ask --help` a 1,74 s, bajo el ×1,25 de vigilancia | `posture` +55 %, `spring-audit` ×2,1, `migrate-check` ×2,2, `selftest` +45 %, `compare` +39 %, `export --c4` peor — y `ask . --compact` **mejor 1,3×** (94,6 → 74,9 s), `validation` 1,5×, `verify --init` 1,3× |
 | Estado | firme | **provisional, declarado por su autor** |

sourcecode-5.8.27/docs/AUDIT-2026-08-23-CORPUS-AMPLIADO.md

@@ -0,0 +1,63 @@
+# Intake de hallazgos — corpus ampliado ASK 5.8.25
+
+**Fecha:** 2026-08-23  
+**Build externo:** `5.8.25`, `b6e0e0f`  
+**Fuente:** [`/Users/user/Documents/workspace/testing/ASK-FINDINGS-CORPUS-AMPLIADO-2026-08-23.md`](/Users/user/Documents/workspace/testing/ASK-FINDINGS-CORPUS-AMPLIADO-2026-08-23.md)  
+**Estado:** intake incorporado; sin correcciones de código en esta tarea.
+
+## Criterio de triage
+
+El corpus aporta reproducción exacta y contraste manual. Los hallazgos se registran como
+**reportados externamente** hasta reproducirlos contra el checkout o wheel correspondiente.
+No se convierten en vulnerabilidades del repositorio auditado: describen límites, falsos
+negativos, falsos positivos o contratos ambiguos de ASK. Los cuatro P0 deben tener prioridad
+antes de nuevas features comerciales.
+
+## Bugs y regresiones
+
+| Severidad | ID | Hallazgo | Acción requerida | Estado |
+|---|---|---|---|---|
+| P0 | `AUD-CA-001` | `posture.security` es Spring-Security-only, pero `stack_fit` trata Spring + Shiro como ausencia de control. | Separar `spring_detected` de `spring_security_detected`; publicar `unknown` y framework no modelado. | Corregido 5.8.25: Shiro queda declarado como no modelado y el acceso como `unknown` |
+| P0 | `AUD-CA-002` | `@RequiresPermissionsDesc` descriptiva suprime un finding al retirar el gate real `@RequiresPermissions`. | Exigir evidencia de enforcement; no inferir gates por nombre; cualquier transición desde roles debe activar `security_delta`. | Reportado, reproducir |
+| P0 | `AUD-CA-003` | Colisión de FQN entre módulos descarta rutas y seguridad sin declaración. | Identidad `(módulo, FQN)` o ruta; declarar descartes si se conserva una sola definición. | Reportado, reproducir |
+| P0 | `AUD-CA-014` | 89 controladores Micronaut no aparecen en `endpoints` y el vocabulario no declara el framework. | Añadir `micronaut` como estilo detectado-no-soportado y gap cuantificado; después implementar soporte. | Parcial 5.8.25: superficie Micronaut declarada y cuantificada; soporte HTTP pendiente |
+| P1 | `AUD-CA-004` | `none_detected` mezcla cadena no modelada con ruta pública por regla URL. | Modelar `ShiroFilterFactoryBean` o separar estados `chain_not_modelled` y `chain_public`. | Reportado, reproducir |
+| P1 | `AUD-CA-005` | Regla por nombre de módulo excluye código real bajo `src/main`. | Basar exclusión en source sets (`src/test`, `src/it`), no en nombre de módulo. | Corregido 5.8.25: `src/main` prevalece; sólo quedan módulos fixture explícitos |
+| P1 | `AUD-CA-006` | `entry_points` alterna objeto/array bajo `schema_version: 1.0`; además duplica `(path, kind)`. | Fijar un schema; separar poblaciones si procede y deduplicar por `(path, kind)`. | Reportado, reproducir |
+| P1 | `AUD-CA-007` | Repositorio políglota sin build file en raíz deja inventario Java vacío pese a `primary: java`. | Descubrir manifests en el reactor; particionar dependencias por stack y declarar contradicciones. | Reportado, reproducir |
+| P1 | `AUD-CA-008` | Índice MyBatis incompleto produce `mapper_interfaces: 0` y 100% de XML huérfanos falsos. | Resolver namespace contra índice completo; si el índice está incompleto, no emitir huérfanos. | Reportado, reproducir |
+| P1 | `AUD-CA-009` | `migrate-check` omite dependencias directas incompatibles con Boot 3 y publica esfuerzo con confianza alta. | Añadir compatibilidad de dependencias declaradas; mientras tanto, publicar `non_coverage` y retirar `point_estimate/high`. | Reportado, reproducir |
+| P1 | `AUD-CA-015` | Titular `7 endpoints` oculta 21.023 rutas excluidas. | Incluir proporción y exclusiones en el titular cuando superen el umbral; mantener detalle en `answer_bounds`. | Reportado, reproducir |
+| P2 | `AUD-CA-010` | `ask --compact` y `endpoints` discrepan en el censo de controladores. | Unificar autoridad y población; publicar unidad y base del censo. | Reportado, reproducir |
+| P2 | `AUD-CA-011` | SEC-008 no cualifica alcanzabilidad; 41% del volumen procede de boilerplate MyBatis Generator. | Filtrar por rutas HTTP alcanzables y agrupar por expresión + fichero. | Reportado, reproducir |
+| P2 | `AUD-CA-012` | `verify-edit` publica `source_file: null` aunque `endpoints` sí tiene ancla `file:line`. | Reutilizar la autoridad de endpoints para anclar el diff. | Reportado, reproducir |
+| P2 | `AUD-CA-016` | `zero_result_reason` termina en una conjunción (`and `) y espacio final. | Construir la enumeración sin elementos vacíos y probar el texto completo. | Reportado, reproducir |
+| P3 | `AUD-CA-013` | `explain.public_methods` colapsa sobrecargas y carece de unidad/población/base. | Publicar firmas o identificadores de método y metadatos de población. | Corregido 5.8.25: `public_methods_detail` conserva firmas y anclas |
+| P3 | `AUD-CA-017` | `excluded_by_module_name_rule.count` es `null` mientras la cifra sólo existe en prosa. | Publicar el contador numérico desde la misma autoridad que genera el gap. | Corregido 5.8.25: `count` y `unit` publicados |
+
+## Prioridad de ejecución
+
+1. Seguridad y superficie: `AUD-CA-001`, `AUD-CA-002`, `AUD-CA-003`, `AUD-CA-004` y
+   `AUD-CA-014`.
+2. Integridad de inventario y contratos: `AUD-CA-005` a `AUD-CA-010` y `AUD-CA-012`.
+3. Precisión comercial y legibilidad: `AUD-CA-011`, `AUD-CA-015`, `AUD-CA-016`,
+   `AUD-CA-013` y `AUD-CA-017`.
+
+## Criterios de cierre
+
+- Cada hallazgo reproducido debe tener test de regresión con el repositorio testigo o una
+  fixture mínima equivalente.
+- Toda exclusión debe declarar población, motivo, contador y efecto sobre `answer_bounds`.
+- Ningún `none`, `0`, `clean` o `point_estimate/high` puede publicarse cuando el eje o el
+  índice necesario no está modelado.
+- Cambios de schema deben conservar una única forma por versión y actualizar consumidores,
+  schemas y fixtures.
+- Los P0 no se cierran por texto o mitigación documental: requieren evidencia de código y
+  batería verde.
+
+## No clasificado como bug
+
+El corpus también confirma determinismo caliente, ausencia de escrituras en los checkouts,
+separación correcta de fuentes de test, `declared_not_served`, varias coberturas Quarkus y
+Micronaut a escala de ejecución. Es evidencia positiva que debe preservarse, no trabajo
+pendiente.

sourcecode-5.8.27/docs/AUDIT-2026-08-23-EXTERNAL-5.8.25.md

@@ -0,0 +1,121 @@
+# Auditoría externa de regresión — ASK Engine 5.8.25
+
+**Fecha de recepción:** 2026-08-23  
+**Artefacto auditado:** ASK Engine `5.8.25`, build `b6e0e0f157687a962ce66627afe2e9b388fb2f06`  
+**Entornos:** Windows 11 Pro y reference corpus (`3dde0376`)
+**Alcance:** aproximadamente 180 invocaciones, 0 tracebacks, 0 escrituras observadas.
+
+## Estado posterior del checkout
+
+**Verificado el 2026-08-23 contra `HEAD 3d56d11`**, posterior al artefacto auditado.
+Este bloque es el estado operativo actual; la evidencia del informe externo que sigue se
+conserva sin alterar.
+
+- La versión del repositorio es `5.8.25`.
+- `125e486` corrigió la serialización de rutas en Windows y la detección de `ask.exe` en
+  selftest.
+- `735d766` corrigió el fallback de contexto de comando, el bounding de flags en variantes
+  Click/Typer, las rutas POSIX del workspace y la configuración de salida del job Windows.
+- `434d0e2` excluyó `_cache` runtime del `content_id` y añadió la regresión frío/caliente.
+- `cd3f8f1` añadió un sweep final del parse cache para no dejar el último intervalo sin
+  eviction al terminar una invocación.
+- `e9f5861` definió `--ci` para migraciones como gate de `migration_blocking_count`, y
+  `49187f9` etiqueta explícitamente los benchmarks históricos antes de reutilizarlos.
+- `3d56d11` reinició la observabilidad de caché por invocación, evitando que una ejecución
+  embebida contamine el tamaño o el estado de la siguiente.
+- La batería completa pasa en verde usando directorios separados para
+  `SOURCECODE_CONTEXT_CACHE_DIR` y `SOURCECODE_CACHE_DIR`. Configurar sólo uno produce
+  falsos fallos de snapshots/RIS.
+- `ASK-DET-002`, `B-26` y `ASK-GATE-001` tienen fix en el checkout y batería dirigida verde;
+  falta validar el wheel/CI Windows para cerrar la evidencia externa.
+- `ASK-UX-001`, `ASK-UX-002` y `ASK-ENV-001` tienen corrección o mitigación en el checkout,
+  pero requieren verificación del wheel publicado y un job Windows verde antes de cerrarse.
+- `B-11` tiene mitigación de comunicación en el checkout; la regeneración numérica de
+  anclas requiere una captura reproducible posterior. Siguen abiertos `ASK-PERF-003` y la
+  reconciliación `B-13`/`B-14`; las filas sin cita y `B-30` permanecen como deuda P3.
+
+### Cola vigente después de `HEAD 3d56d11`
+
+| Estado | IDs | Siguiente evidencia requerida |
+|---|---|---|
+| Fix local / validación externa | `ASK-DET-002`, `B-26`, `ASK-GATE-001` | Confirmar wheel publicado y batería Windows/GitHub. |
+| Mitigación local / dato pendiente | `B-11` | Capturar benchmarks con build, commit y protocolo actuales. |
+| Validación | `ASK-UX-001`, `ASK-UX-002`, `ASK-ENV-001` | Repetir contra wheel exacto y confirmar batería Windows en CI. |
+| Investigación | `ASK-PERF-003`, `B-13`/`B-14` | Medición aislada y reproducción con artefacto/par exactos. |
+| Futuro | Gate PR, contexto acotado, migración Boot/Java, provenance HTTP, SARIF | Plan de producto posterior a los contratos de confianza. |
+
+## Veredicto ejecutivo
+
+El informe no demuestra una regresión funcional del analizador. Sí demuestra un defecto
+de determinismo/procedencia en el payload raíz, varios contratos de producto incompletos y
+una divergencia de entorno Windows que no puede darse por cerrada desde macOS/Linux.
+
+La prioridad de la siguiente iteración no es optimizar todas las cifras de tiempo: es hacer
+que una misma respuesta sea estable, explicable y utilizable en CI. Sin esa base, los
+benchmarks y la procedencia pierden valor comercial.
+
+## Bugs y regresiones prioritarios
+
+| Prioridad | ID | Resultado de la auditoría | Decisión |
+|---|---|---|---|
+| P1 | `ASK-DET-002` | `ask . --output raw1.json` produjo dos `content_id` para el mismo árbol: `8e3a1cd54154e2eb` en frío y `f81481e0fea47e02` en caliente. Las 20 diferencias están en `_cache` (`cache_source`, `ris_exists`, `ris_git_head`, `ris_is_stale`). | **Bug confirmado.** El hash de contenido incluye estado de ejecución. Separar respuesta analítica de metadatos de ejecución, o excluir `_cache` del `content_id`; añadir prueba frío/caliente y estabilidad tras repetir. |
+| P1 | `B-26` / `ASK-17` | En la flota de 16 repositorios el parse cache alcanzó aproximadamente 559.48 MB frente a un presupuesto de 512 MB, con 25.560 entradas. | **Problema de capacidad confirmado, no fallo aislado de análisis.** Publicar exceso, política de eviction y estado efectivo; decidir si el límite es por workspace, usuario o flota antes de prometer escala empresarial. |
+| P1/P2 | `ASK-UX-001` / `N-01` | El bloque “Runs now” sigue presentando `posture . --diff dev:prod` y `endpoints .` sin una forma de acotar el resultado. | **Residuo confirmado en el artefacto auditado.** El generador ya se corrigió parcialmente en el checkout; falta verificar el wheel publicado y cubrir la población completa del bloque. |
+| P1/P2 | `ASK-UX-002` | El sistema de sugerencias entra en ciclo: sin flags ofrece `--compact`/`--limit`; con uno ofrece el otro; ambas variantes producen exactamente 71.722 tokens. | **Bug confirmado.** Las sugerencias deben ser conscientes del comando, del camino de renderizado y de `flags_already_passed`; nunca recomendar una transformación que no reduzca el payload. |
+| P1/P2 | `ASK-ENV-001` | En Windows, 9/9 payloads llegaron con `envelope_status=degraded`, `command=unknown` y razón “the running command could not be named”. | **Regresión ambiental pendiente de reproducir.** No contradice la prueba local, pero sí invalida declarar el caso cerrado. El pipeline Windows debe fallar si el contrato se degrada sin base explícita. |
+| P2 | `ASK-GATE-001` | `spring-audit --ci` y `risk --ci` devuelven el contrato de gate; `migrate-check --ci` y `migrate-apply --ci` rechazan la opción. | **Contrato inconsistente confirmado.** Definir por comando si `--ci` es gate de completitud, gate de findings o no aplica; después alinear help, exit code, schema y pruebas. No añadir la bandera por simetría sin definir su semántica. |
+| P2 | `B-11` | 16 de 19 anclas de coste siguen referenciando `5.1.0`; una referencia `5.8.23`. | **Deuda de credibilidad.** No rompe el análisis, pero debilita cualquier benchmark comercial. Regenerar anclas o marcarlas explícitamente como históricas y exigir versión/build en cada cifra. |
+| P2 | `ASK-PERF-003` | Varios comandos parecen más lentos que en `5.8.24`, mientras `export --c4` mejora y `ask --compact` también. | **No es regresión confirmada.** El auditor identifica contaminación por ejecuciones concurrentes y estados de caché. Repetir en aislamiento, con protocolo frío/sembrado/caliente y al menos tres muestras antes de abrir un fix. |
+| P3 | Cierre de auditoría | 25 filas cerradas permanecen sin cita (`uncited`). | **Higiene de procedencia.** Automatizar la cita o etiquetar la ausencia intencionada; no bloquear una release salvo que afecte a una afirmación comercial. |
+| P3 | `B-30` | 20 contratos arquitectónicos aparecen como `forbid_finding` y no utilizan la población “17 endpoints / 39 tipos”. | **Oportunidad futura.** Convertirlo en producto sólo cuando existan contratos positivos, tipos útiles y una explicación de por qué una regla no aplica. |
+| Reconciliación | `B-13` / `B-14` | El informe externo observa identidad ausente y una negativa byte-identical; el re-audit del checkout documenta identidad y no reproduce el caso `mall`/`nacos`. | **No reabrir automáticamente.** Reproducir contra el wheel exacto y el par exacto del informe. Si reproduce, prevalece el test de población; si no, registrar discrepancia de artefacto, no un bug nuevo. |
+
+## Qué no se clasifica como regresión
+
+- No hay regresión funcional demostrada, crash, traceback, escritura o mutación del repositorio auditado.
+- Las diferencias de tiempos no son atribuibles todavía a una versión: faltan ejecuciones aisladas y control de caché.
+- El resultado de “clean repo no encuentra riesgo” no es un bug; es el límite correcto del análisis. Debe expresarse como no-cobertura, no maquillarse como finding.
+- `data-exposure` sin labels/configuración suficiente es una limitación de entrada y onboarding, no una vulnerabilidad del motor.
+
+## Recomendaciones del auditor, validadas como CTO
+
+| Recomendación | Validación | Acción de producto |
+|---|---|---|
+| Priorizar un gate semántico de PR | **Alta.** Es la demostración más directa de valor: cambio concreto, finding accionable, evidencia `file:line` y exit code. | Convertir `pack gate --since <ref>` en workflow de referencia y medir findings por PR, severidad y bugs evitados. |
+| Entregar contexto acotado para agentes | **Alta.** Reduce tokens y tiempo de integración; ya hay evidencia de payloads bajo techo. | Consolidar `--compact`, `--agent` y `prepare-context` con límites verificables y KPI de tokens/call y éxito de tarea. |
+| Inventario Boot 2→3 / Java LTS | **Alta.** Tiene comprador, urgencia y unidad de trabajo clara: archivo, línea, bloqueo y esfuerzo. | Hacer de `migrate-check` + recipe el segundo caso comercial, con blockers/lines/days como métricas. |
+| HTTP exposure con provenance | **Alta.** Es defendible ante seguridad si cada ruta lleva fuente, declaración, postura y límites. | Completar `endpoints` + `posture` + `explain-endpoint`, incluyendo negativas y población. |
+| Enriquecimiento SARIF de Semgrep/CodeQL | **Media-alta, después de lo anterior.** Amplía distribución sin competir construyendo otro SAST. | Mantenerlo como integración: anclar, componer y explicar findings externos; medir porcentaje alcanzable por request no autenticada. |
+| Mejorar hints, CI y envelope | **Imprescindible, aunque no sea una feature vendible por sí sola.** Son prerequisitos de confianza y adopción. | Tratar `ASK-DET-002`, UX-001/002, ENV-001 y GATE-001 como condición de calidad de la siguiente iteración. |
+| Resolver primero el cache de flota | **Válida con matiz.** Es capacidad y coste operativo, no el “holy shit” comercial. | Añadir límites observables y eviction; no convertirlo en iniciativa principal hasta fijar el modelo de workspace/flota. |
+
+### Recomendación propia
+
+La próxima demo debe ser un flujo completo de cambio, no un catálogo de comandos:
+
+```text
+PR con cambio Spring -> pack gate -> findings file:line -> impacto transitivo
+-> endpoints/posture -> decisión CI -> contexto compacto para remediación
+```
+
+El entregable comercial debe responder tres preguntas en una página: **qué cambió, qué
+riesgo nuevo introduce y qué queda explícitamente fuera del alcance**. El KPI principal no
+debe ser el número de findings, sino el tiempo hasta una decisión defendible y la proporción
+de resultados con unidad, población, evidencia y exclusión negativa.
+
+## Criterios de aceptación para próximas iteraciones
+
+1. Dos ejecuciones frío/caliente del mismo árbol producen el mismo `content_id`; cualquier diferencia de ejecución vive bajo `_meta` y se declara como tal.
+2. El bloque de inicio sólo recomienda comandos que pueden ejecutarse dentro del techo con la bandera que realmente los acota.
+3. Ningún hint propone un flag ya usado o semánticamente ineficaz; la batería cubre todas las combinaciones publicadas.
+4. Cada comando que anuncie `--ci` documenta su gate, exit code, base y comportamiento ante resultado parcial; los demás lo rechazan de forma explícita y coherente.
+5. Windows ejecuta la batería de envelope y no permite publicar `command=unknown` como éxito silencioso.
+6. Cada benchmark comercial incluye build, commit, tamaño de población, estado de caché, número de muestras y protocolo de aislamiento.
+7. La demo PR/migración genera evidencia de fuente, población, límites y exclusiones negativas; sin esos campos el resultado se marca no concluyente.
+
+## Estado documental
+
+Este documento registra el informe externo y su evaluación independiente. El estado maestro
+de cada fila continúa en [`DEFECT-LEDGER.md`](DEFECT-LEDGER.md). Las diferencias entre wheel
+auditado y checkout deben resolverse mediante reproducción contra el artefacto exacto, no
+mediante una actualización manual del estado.