Merge authoritative main into the task branch

Why: include the current integration baseline before verification.
Evidence: fetched origin/main=692735e91d6a9ab07ddd3686feb60a56b270728a.
Impact: integrate upstream changes without rewriting task history.
Refs: task-sync
Co-authored-by: Cursor <cursoragent@cursor.com>

policy/adoption.md

@@ -6,7 +6,7 @@
 - 过程文档位置：modules/documents（docs/records/）
 - 版本权威：父仓 gitlink
 - 批准/生效依据：Dev PR#1（19/19 正负例 + make test）；guidelines PR#1
-- 本次升级候选：`0.1.0-draft.11`，实际合入提交 `2f5b19872be2a4597838a4131ad75d1be089ee5e`（Guidelines PR #5）；本候选父仓固定该源码版本。基础门禁继续执行，合入调度流程单独记 approved/pending-activation；Dev 组合验收、平台正负例和全部写入者覆盖完成前不切换交付模式。
+- 合入调度通用版本：`0.1.0-draft.11`，实际合入提交 `2f5b19872be2a4597838a4131ad75d1be089ee5e`（Guidelines PR #5）；本仓 gitlink 固定该源码版本。Dev 采用 [manual 串行合入规则](merge-queue.md)：并行开发，轮到后才同步、跑最终 CI 并由智能体合入。该规则不要求先完成全写者审计或第二轮试行，也不宣称自动互斥已经实现。
 - 过程计划固定：Documents PR #96 实际合入 `129cc3579d9c9e3edfb46c99270d65f3e1dad0a0`，包含既有主干文档及获批 U1–U6 计划；当前进展以任务/PR 记录为准。
 
 | 规范/工作流 | 适用条件与范围 | 执行方式/证据 |
@@ -22,7 +22,7 @@
 | standards/tool-adaptation.md（draft.8） | 为工具创建规则/钩子实例 | 本组合 CLI/git 级实例已登记：policy/tool-adaptation-matrix.md（A1–A7 逐行定级+正负例证据） |
 | 同上（zcode 实例） | zcode 客户端写路径 | policy/tool-adaptation-zcode.md：PreToolUse 写守卫；脚本负例与客户端接线分开，客户端 pending-live |
 | core/baseline.md「规范层级」+ documentation.md「记忆分层/机制化」（draft.9） | 层级效力、记忆权威、经验机制化 | manual：本仓 policy/ 仅收紧不放宽；记忆四层按条文执行（任务卡=任务记忆，documents/records=项目记忆，Dev 仓 AGENTS.md 指针已就位） |
-| draft.11 合入调度候选 | approved/pending-activation；本候选组合固定实际合入 SHA，Dev 验收待完成 | CLI/文档已有 SELF、独立 REPLAY 和历史固定对象 GATE；当前新组合须另验。Issue #518 已建且协调者已指定，平台正负例、所有写入者覆盖及真实试行未完成；现行准入条件保留 |
+| draft.11 合入调度 | active/manual；Dev main 使用 #518 排序和单一最终窗口 | 等待分支不追 main；窗口任务同步一次、固定 HEAD、跑当前必需 CI、由智能体合入并回读结果。Issue 不是原子锁，平台保护仍承担最终准入 |
 
 ## 项目差异
 

policy/governance.md

@@ -25,7 +25,7 @@ make task-start NAME=feature/my-task PRECHECK_RECEIPT=/tmp/my-task-precheck.json
 默认 `TASK_WORK_MODE=delivery`，继续要求严格 READY 和当前目标一致。
 工作区忙或落后时先由 owner 保存现场并同步；远端不可达时只继续不依赖新鲜基线的阅读和分析。
 
-局部恢复接口已具备，流程启用仍以 [合入调度](merge-queue.md#采纳顺序与停止条件) 的采纳条件为准。
+局部恢复接口已具备，正式交付仍按[合入调度](merge-queue.md)的单一最终窗口执行。
 启用后，既有任务可以显式选择 local，保持原 R0，标记落后，继续已授权局部工作：
 
 ```bash

policy/merge-queue.md

@@ -1,136 +1,74 @@
-# 最终验证与合入调度（r1，manual 受控试行）
+# 并行开发与串行合入
 
-状态：approved（r1 条文作为实施计划基线）；执行模式：manual 受控试行；更新日期：2026-10-14（Asia/Shanghai）；规范采纳负责人：weichen。实际启用时间、对象和窗口以调度记录 #518 为准，候选文件不代替当前平台准入。
-r1 条文来源提交为 913b214f2826a50b3dab65f79d9ebf83e84f2519；Documents 实施与测试计划 r1@ba4044d57e38d0887dd425d052abf26b20a28bf4 已于 2026-10-13 获用户「批准」。阶段结论与执行进展按 [迭代交付](delivery.md) 记录在任务主记录，候选固定后的结论保存在关联 PR 与源码外收据中；规范及计划批准不等于模式已启用。
-现行规则仍以根 AGENTS.md、[迭代交付](delivery.md)、[开发门禁](governance.md) 和已采纳 gitlink 为准。
-本分支已实施 CLI 同步/恢复及源码外证据基础，自检依据见任务主记录及固定后记录；通用条文和实施计划已经各自 PR 合入，本候选组合固定实际合入版本。用户已于 2026-10-14 明确授权当前智能体接管 #489/#488/#486，完成平台验证、试行、实际合入与清理。平台所有者操作已实际回读，隔离正反例及独立重放已完成；本轮使用单一智能体协调的 manual 窗口，原 CI 触发和全部必需作业保持，未建设自动调度。
+状态：active；执行方式：manual。目标是让多个分支并行开发，同时避免所有分支随着
+`main` 持续移动而反复同步、解决冲突和重跑最终 CI。
 
-## 通用规范与项目职责
+本规则只安排 Dev `refs/heads/main` 的最终交付顺序。各任务的需求、授权、阶段结论和证据
+仍保存在原任务卡；受保护分支的最终准入仍由 Gitea 执行。
 
-通用正文的唯一候选来源是 Development-Guidelines 的 `standards/merge-queue.md`，
-配套模板为该仓 `templates/merge-queue.md`，候选内容版本 `0.1.0-draft.11`。
-本仓仅细化目标、入口、阶段、预算和采纳条件，不复制通用调度正文。
-通用候选已经 [Guidelines PR #5](https://git-home.u1680832.nyat.app:30319/weichen/Development-Guidelines/pulls/5) 合入为 `2f5b19872be2a4597838a4131ad75d1be089ee5e`；本候选 `deps/development-guidelines` 已物化该固定版本及上述文件。Dev 已经 #519/#536 固定采纳并通过其精确 HEAD 的全部必需 CI。平台机制与手动写者覆盖的实际依据见 #518；受控试行的当前候选仍须独立组合测试、当前 HEAD CI 与平台准入，不把已采纳规范标成自动 enforced。
+## 队列与职责
 
-Dev 目标身份使用实际托管实例、仓库 ID 与 `refs/heads/main`；其他组件仓各有自己的目标队列。
-跨仓组合按任务中的依赖关系先交付组件，再固定父仓组合；保留其他任务已经合入的 gitlink 能力。
-队列仅安排工作，受保护分支最终准入继续由 Gitea 或等价受信入口负责。
+- Dev main 使用一份[合入队列 #518](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Dev/issues/518)。
+- 队列只记录顺序和当前窗口：任务/PR、owner、依赖、就绪状态、当前 base/head、CI、合入结果。
+- 协调智能体维护顺序和窗口；任务 owner 负责分支内容和必要整改；窗口内的同步、冲突处置、Review、当前 HEAD CI 核验和所有 PR 合入由智能体执行。
+- 普通功能 PR、修复 PR 和任务卡闭合 PR 都会移动 main，因此使用同一队列。组件仓按各自目标分支单独安排。
 
-## 项目调度记录
+入队表示内容基本就绪且已取得该任务所需授权，不要求分支已经包含不断移动的最新 main。
+依赖未完成或仍待人工决定的任务标为 `blocked`，不占窗口。默认按就绪顺序处理；紧急插队须在
+#518 写明原因。
 
-采纳后的首版使用每个目标一份 Gitea 调度 Issue，由一个明确协调者维护，标为 manual。
-任务卡引用 Issue 条目及尝试标识，原任务仍是授权、需求和阶段的状态权威。
-共享记录已建立：[Dev main 调度记录 #518](https://git-home.u1680832.nyat.app:30319/weichen/Agent-System-Dev/issues/518)，包含实际托管实例、仓库 ID 和目标引用。用户已指定当前交付智能体负责后续人工协调，weichen 保留阶段评审和平台保护操作；具体任期与接管约束以该记录为准。
-本轮仅协调已获授权的三个真实任务，入队/阻塞/当前窗口及时维护于 #518。普通、闭合、机器人与紧急通道都必须经智能体和同一目标窗口；owner-only 合入账号与无自动合入 workflow/活跃 webhook 的当场清单另留 SELF 收据。用户不亲手合入；API 不具备区分人工与智能体共用账号的身份隔离，协调能力保持 manual。
+## 开发与等待
 
-必须记录目标、条目、执行者、源 HEAD、依赖、顺序、尝试、最终 base/head、组件清单、
-检查定义及相关配置、实际 CI 链接/身份、Review 对象、真实合入结果和暂停/恢复原因。
-平台结果先保存于调度记录；本地命令仍用 `make evidence` 保存完整 SELF 收据。
-候选固定后新增命令收据使用源码之外的唯一绝对 `RECEIPT` 路径，不立即提交进被测分支。
-收据之后按已授权闭合流程原样导入；不能手抄、补写或自行提升来源。
+等待中的分支继续独立开发、提交和运行必要的局部检查，但不因为别的任务合入 main 就自动：
 
-候选固定前完成任务卡、必要收据和其他需提交内容，再推送最终 HEAD。
-固定后如果必须提交新内容，即使是任务卡，也建立新尝试并核验新 HEAD 的必需 CI；不复用旧提交状态放行。
-合入 SHA 和清理结果在实际发生后回填，不能提前将未来合入或清理标为已完成。
-闭合 PR 进入同一队列；可在授权范围内批量闭合已合入任务，保留每个真实主 PR 和结果。
+- 合并最新 main；
+- 解决与最终交付无关的冲突；
+- 推送新的最终候选；
+- 重跑完整的最终 PR CI。
 
-## 启动与同步要求
+main 前进时，等待任务只记录“待轮到后同步”。开发期检查可以按任务需要运行，但不能作为之后
+新 HEAD 的最终准入证据。
 
-根 AGENTS.md、`policy/governance.md` 与 `scripts/task.sh` 的联合入口已随 #519 合入。启用状态仍须核对 #518；新任务严格 READY，既有任务只在明确选择 local 时允许已知落后，正式交付仍真实同步。
+## 最终交付窗口
 
-| 场景 | 拟采用动作 | 当前实现边界 |
-|---|---|---|
-| 新任务启动 | 保留唯一 precheck 收据与 `task-start`，从最新权威 main 建独立工作区 | 现有命令保留 |
-| 恢复落后任务的局部工作 | 核对现场、授权和落后状态，记录待最终同步；允许已授权局部编辑 | 已实现显式 local/LOCAL_READY 及 task-resume；默认仍严格，本轮在授权试行范围启用 |
-| 其他任务合入、排队等待 | 更新落后/依赖提示，不自动同步各分支或触发完整 CI | 无自动调度能力，不能宣称已接线 |
-| 领取最终交付窗口 | 成功 fetch，运行 `make task-sync`，实际合并最新 main、处置冲突、物化固定组件 | 使用真实同步及祖先检查，保留脏状态/远端失败拒绝 |
-| 窗口内再次到达验收、审核、合入节点 | 再查最新目标和候选；未变只核验，不创建元数据提交 | 已实现同基线不提交，保留组件核对和完整最终 SHA |
-| base/head、组件或相关配置变化 | 保留旧结果对象范围，重新建立尝试并按影响补测/复审 | 当前 HEAD 的全部必需 CI 仍必须实际通过 |
+同一时间只给一个 Dev main 任务最终窗口。领取窗口前，协调智能体确认前一窗口已经释放、依赖
+已完成，并在 #518 记录任务、PR、owner、当前 source HEAD 和领取时间。
 
-SYNC_REQUIRED 不整体降级为 READY；local 与 delivery 用独立结果和验证用途区分。
-已同步启动收据验证、恢复入口及回归，写守卫保留原分支检查，不宣称已校验阶段批准。
-共享工作区忙、未知远端和活动 Git 操作继续拒绝相应写入。
+窗口内按以下顺序执行：
 
-幂等化的判据是：成功 fetch、目标已包含、递归组件检查通过时，重复核验不改变 HEAD、索引和提交内容；
-仍产生可复核的实际输出。任务真正需要纳入新目标时保留 merge 与对应对象记录。
-所有候选身份使用必要记录提交完成后的最终 HEAD，不能把记录提交前的 SHA 当作最终被测对象。
+1. 运行一次 `make task-sync`，纳入当时最新的 `origin/main`，解决冲突并核对组件组合。
+2. 完成需要进入候选的代码、文档和任务卡内容，提交后固定 `base_sha` 与最终 `head_sha`。
+3. 运行任务要求的本地检查；固定后的命令收据保存在源码外，避免为了记结果再改变 HEAD。
+4. 对固定 PR HEAD 运行现有完整 CI；当前必需作业为 `test`、`test-pg`、`svc-realcombo`。
+5. 完成当前 HEAD 的人工阶段结论和智能体 Review。合入前再次核对 main、head、冲突和三项 CI。
+6. 智能体使用固定 `head_commit_id`、`force_merge=false` 经 PR 合入，回读实际 main 与候选内容一致后释放窗口。
 
-## 交付阶段与窗口
+同一 base/head 下，验收、Review 和合入前的 `make task-sync` 只核验，输出 `changed=0`，不创建
+额外提交，也不重复仍然有效的完整 CI。
 
-人工评审和独立 Review 要求不变；提前审阅可以并行，最终有效性核验和受影响重放在窗口内完成。
-入队与领取不构成人工批准，也不授权跳过缺失阶段。
+## 对象变化与失败
 
-| 原阶段 | 采纳后的调度衔接 |
-|---|---|
-| 1–6 需求、设计、计划、实施 | 各任务并行推进，在既有授权内局部检查；内容就绪时登记交付条目 |
-| 7 正式测试与验收 | 领取窗口后实际同步最新 main，固定候选，完成正式验证并取得必要人工结论 |
-| 8 代码 Review | 对同一固定候选核验有效 Review、独立重放和问题闭合；同步或整改后按影响复审 |
-| 9 合入 | 保持窗口，核验最新 base/head、全部必需 CI 和平台准入，经 PR 合入并查询真实结果 |
-| 10 核验与收口 | 核对合入内容和组件后释放窗口；部署、清理另按原授权，闭合 PR 单独排队 |
+以下任一对象变化都会使旧的最终结果失效：目标 base、候选 HEAD、组件 pin、检查定义或与结果
+相关的环境。受影响任务保留旧结果的适用对象，回到队列等待新窗口；不得复制旧绿色状态或为了
+省 CI 而降低检查。
 
-等待人工结论超过预算时进入 blocked 并安全释放窗口；再次领取时判断原结论及证据是否仍适用。
-窗口不得长期持有等待新的需求或方案批准；必要前置安排应在入队时说明。
-普通失败和需要决策只阻塞当前条目及依赖项；未知合入结果则保持该目标在 reconciling，先对账。
+冲突、代码/Review/CI 失败或等待人工决定时，当前任务保存现场、标为 `blocked` 并释放窗口，
+其它分支继续局部开发。合入请求超时或返回不明时，先查询 PR 和 main 的真实状态；结果查清前
+保持该目标暂停，不重复发送合入请求。
 
-## CI 资源与检查
+若窗口之外仍有 main 推进，当前固定候选按对象变化处理。协调智能体记录实际推进和受影响任务，
+然后继续按队列安排；不要求为启用本规则证明所有历史写者、所有角色或自动互斥机制已经覆盖。
 
-首版由协调者安排固定候选的顺序；`.gitea/workflows/ci.yaml` 当前行为保持原样。
-后续将局部反馈与最终准入的触发和资源安排区分，不通过跳过必需作业返回绿色来节省成本。
-当前 workflow 中的 `test`、`test-pg`、`svc-realcombo` 等作业须按最终已批准集合核验；
-平台状态上下文的完整名称、运行身份和被测 SHA 从当次实际运行核对，不从历史文档直接照抄。
+## 验收标准
 
-建议首轮人工试行预算，待本文件及试行计划获批后使用：
+一次排队交付满足以下条件即完成：
 
-- 每个目标一个最终候选；其独立作业可在实际 runner 能力内并行。
-- 最大无进展时间 20 分钟，单次窗口预算 90 分钟；有效进展、延长及原因记入尝试。
-- 已知基础设施失败最多额外重试一次；代码失败直接退出整改，不自动重复跑完整 CI。
-- 等待队列每 30 分钟复查一次；最终准入优先，但不无限延后其他目标、main 验证或发布检查。
-- 当场读取 home-runner 配置 capacity=12、timeout=3h（SELF）；试行每个目标最多一个最终候选，候选内三作业按现有 runner 安排。配置容量不证明抢占/优先级或可用空槽，不调整全局平台。
+- 等待任务没有仅为追 main 而反复生成最终候选或重跑最终 CI；
+- 轮到的任务只在窗口内同步最新 main，冲突在固定候选前解决；
+- 实际合入的 HEAD 拥有当前必需 CI 和有效 Review；
+- 合入由智能体执行，实际 main 内容与受审候选一致；
+- 窗口结果写回 #518，随后才处理下一任务。
 
-预算是试行参数，长期值由真实耗时和等待情况复盘决定。
-容量不足时先等待 runner，再领取目标窗口；不得持有另一个仓库窗口去等待组件窗口。
-取消仅针对失效且归属明确的当前尝试，其他任务有效的局部检查继续运行。
-
-## 平台与接管边界
-
-现有 [平台准入所有者操作](platform-admission.md) 是历史准备材料，执行前仍需当场重验。
-最新只读配置观察、命令和对象由本任务 evidence 收据保存；配置读取属于 SELF，不证明拒绝路径已经有效。
-本草案不修改分支保护、批准数或白名单。
-
-人工协调期间，全部正常合入者按窗口约定行动。没有执行端覆盖全部写入者及原子准入的正负例时，能力上限为 manual。
-发现外部目标推进，立即判定本轮候选失效，保留结果并建立新尝试；不能以目标锁的本地存在绕过平台拒绝。
-自动模式未来必须具备原子持久领取和合入入口的旧执行者拒绝；租约到期不直接授权接管。
-合入请求超时先核对 PR 和目标真实状态，旧执行者退出后才能安全重试或释放。
-
-需要调整平台保护时，由 Agent 准备具体配置、回退和隔离验证命令，用户按根 AGENTS.md 双钥匙要求确认并亲手执行。
-至少验证合法候选可合入，以及缺检查、失败检查、陈旧候选和无权限推进被拒。
-人工首版验证旧执行者确认退出后交接及未知结果对账；自动接管启用前另须验证实际合入入口拒绝旧代次。
-本轮隔离机制实测已完成：缺检查/受控失败、陈旧绿色候选、匿名请求及已认证绿色候选直推被拒，合法固定候选由智能体合入；原始 SELF 收据与独立 REPLAY 身份见 #518。夹具 CI 只验证机制，不替代 Dev 的完整业务 CI；所有认证角色、自动互斥和旧代次 fencing 未验证，也不宣称具备。
-
-## 采纳顺序与停止条件
-
-1. 人工审阅通用候选、Dev 条文及记录模板；确认同步时机、阶段衔接、预算和恢复边界。
-2. 在通用仓完成候选修订 Review 与其文档验证，按授权经 PR 合入；宿主采纳完整固定 SHA。
-3. 另行提交实施计划，覆盖 task-sync 幂等化、恢复/写守卫兼容、源码外收据、CI 分配和能力矩阵。
-4. 在隔离场景完成治理脚本正负例；涉及脚本必须运行 `make test-governance`。
-5. 跨仓 gitlink 正式推进前运行 Dev `make test`；最终对象的 CI/构建及平台准入遵循现行规则。
-6. 完成所有者平台操作和对应验证，登记真实协调者与调度 Issue，才切换新交付模式。
-7. 用三个就绪任务试行，记录同步轮数、CI 次数/耗时、废弃运行、排队和恢复，复盘后决定扩大。
-
-第 2 步规范文本合入或第 5 步指针推进均不自动将新模式标 active/enforced。
-迁移期保留现行准入规则，直到新条文、命令和平台条件一致；未满足时暂停模式切换，已授权局部开发可继续。
-回退先停止新领取并对账活动合入，再恢复旧同步流程，保留尝试和证据历史。
-
-| 验收 ID | 需验证的行为 | 本轮状态 |
-|---|---|---|
-| MQ1 | A/B/C 正常顺序交付；各任务轮到后最终同步一次，无外部推进时不因其他正常合入反复跑最终 CI | NOT_RUN（后续隔离试行） |
-| MQ2 | 同目标重复领取被拒，不同目标可在资源预算内并行 | NOT_RUN（后续机制验证） |
-| MQ3 | 同步后目标未变，重复核验不改 HEAD；固定后记录不改变候选 | 本地 CLI/证据回归已执行（SELF，原始输出见任务卡）；平台试行 NOT_RUN |
-| MQ4 | 新 HEAD、base 或组合不能使用旧 CI/Review 直接放行 | NOT_RUN（后续正负例） |
-| MQ5 | 冲突、代码失败、等待人工决定超时释放窗口，不阻塞无依赖任务 | NOT_RUN（后续试行） |
-| MQ6 | 紧急插队有依据，受影响候选失效；跨仓依赖和组件能力不回退 | NOT_RUN（后续试行） |
-| MQ7 | 请求超时、协调者退出先对账；不能仅因租约过期让旧新执行者同时合入 | NOT_RUN（后续恢复验证） |
-| MQ8 | 平台拒绝未满足准入者，合法固定候选可合入；manual 能力如实登记，自动接管另验证旧代次拒绝 | 隔离机制已实测并独立重放；Dev 精确 CI 另核验。manual，所有角色及自动 fencing NOT_RUN |
-| MQ9 | 文档链接、入口、版本、单一来源、状态与模板字段一致 | 本轮执行；原始输出见任务卡 SELF 收据 |
-
-这些验收 ID 用于实施与验收追溯；本分支已完成可独立实施的 CLI/证据基础、规则与模板准备及临时真实 Git 场景自检。固定规范已采纳，平台机制实测已独立重放，当前执行 manual 受控试行；真实三任务及复盘仍待完成，未执行项保持 NOT_RUN。动态进展以 #518 和各任务/PR 为准，原始命令由工具收据保存。
+本规则不建设自动优先级、合并列车、批量预测合并、原子租约、旧执行者 fencing，也不修改
+分支保护、CI workflow 或 runner 配置。将来需要自动队列时另行设计；不得从本 manual 流程推断
+这些能力已经存在。

policy/tool-adaptation-matrix.md

@@ -16,7 +16,7 @@
 | A7 证据 | 本地 SELF 收据；外部来源独立核验 | 首次捕获、完整脱敏输出/摘要、对象记录、原样导入 | `tests/test_evidence.py`；CI/审阅链接另核 |
 | A8 阶段评审与迭代 | manual（人工/Agent 执行）；前序人工决策，智能体 Review/合入；模板和提示不构成批准身份校验或全流程阻断 | policy/delivery.md；任务卡分别记录阶段结论、Review、冲突、当前 HEAD 的 CI 和合入；post-merge 默认仅提示 | `tests/test_task.py` 核对模板及钩子不自动写入；智能体核对 Review、冲突及匹配 HEAD 的 CI/平台准入；人工批准范围仍须核验 |
 | A9 长期方向与后续任务 | manual；模板不校验规划有效性或自动调度任务 | policy/delivery.md；PROJECT.md 提供规划入口，任务卡关联规划/里程碑并记录下一步建议 | `tests/test_task.py` 核对生成字段与未授权默认值；人工核对当前规划、进展、重复任务和建议依据 |
-| A10 交付窗口 | manual 受控试行；无自动互斥或接管 | policy/merge-queue.md；Issue #518 与协调者已登记，本候选固定实际合入规范版本；用户授权本轮三个任务并指定单一协调者；已实测平台机制及当前写者清单，当前候选组合与最终准入另核验 | tests/test_merge_queue_trial.py 临时 Git 场景 SELF；平台机制独立 REPLAY 已完成（范围见 Issue518）；真实三任务及复盘待完成 |
+| A10 交付窗口 | manual；无自动互斥或接管 | [合入调度](merge-queue.md)与 #518：同一目标一个最终窗口，等待分支不追 main；轮到后同步、固定、验证并由智能体合入 | 每个实际 PR 核对窗口记录、精确 HEAD 三项 GATE、Review 和合入后 main；不要求额外试行或全写者审计 |
 | A11 固定后证据 | manual 选择源码外位置；工具捕获绝对未用路径/原始输出；无 OS 冻结 | policy/governance.md；RECEIPT 捕获，后续授权闭合再原样导入 | `tests/test_evidence.py` 固定对象、权限、覆盖拒绝、原样导入与幂等 |
 
 ## 失败处理