工程(撤销证明工具化): undo_proof 一条命令出「改前绿→真撤销复红→还原复绿」三连回执并自还原(支持新增文件型撤销与--repo 跨区)＋变异禁令收编进 test-conventions §8.4(此前只活在 req-card 技能,执行侧空挂)——孤立验证通过/恒绿缺漏判红路径通过;断言配额维持现状(用户裁);条目完成即删

design/engineering/test-conventions.md

@@ -105,6 +105,7 @@
 - **撤销后仍然绿**：说明断言没钉在这个改动上，判缺漏；不得用「代码能跑通」代替。
 - **判据绑可观测提交面**：端到端断言的判据要绑「被测改动特有的可观测提交面」（信号发射、事件、入参、绘制记录），不绑多层防御之后的终态——否则改动被下游兜底吸收时终态不变、断言假绿。例：探针「雾不扩可点域」首版只看屏／选路态终态，命中面放宽后断言仍绿；改绑 `route_chosen` 发射面后即红。
 - 每张任务卡至少一条撤销证明记录；持久化、生命周期、存档、跨战共享这类接线逐行做。
+- **合法手段只有真撤销（2026-10-24 用户立：全项目禁做变异类测试）**——改断言极性、置空库存/状态、改名键、删调用行等「人为制造红」都属伪造证据，一律禁止；证明只认「回退本批真实改动 → 断言红 → 还原复绿」。自动化载体＝`tools/undo_proof.py`（给最窄测试命令与撤销对象，自动出三连红绿回执并自还原），人工三连跑由此免做。
 
 ### 8.5 禁止削弱测试