merge: master 吸收——迭代28变异验证硬规则按新结构归位（细则迁 test-conventions §6+批次清单插第9条+红线索引一行）

design/dev/code-conventions.md

@@ -54,7 +54,7 @@
 
 ## 3. 测试纪律
 
-已独立成文：`design/dev/test-conventions.md`（探针标配 / 回归断言 / 提交前全量验证 / 验收清单落码规范）。
+已独立成文：`design/dev/test-conventions.md`（探针标配 / 回归断言 / 提交前全量验证 / 验收清单落码规范 / 变异验证）。
 
 ---
 

design/dev/process-conventions.md

@@ -41,14 +41,15 @@
 **实施**
 7. **新功能必配新测试**——新增玩法/机制必须配套新测试套件进 `tests/run_all`；没有对应测试的变更不许合并
 8. **验收改动先行声明**——验收变化（基线换代/探针增改/旧断言改判）预先写进需求卡片，禁事后补
+9. **验收函数变异验证**——新增/改写的验收函数（冒烟断言/探针自检/闸机判据）必须配一次变异验证：故意把被测件改坏成该类缺陷形态 → 跑最窄那道闸确认变红 → `git checkout` 精确还原；变异点/跑的闸/红输出摘要/还原结论四件记入实现报告变异验证记录表；**无变异红记录的断言不写「已验收」，只写「已实现，拦截能力未证」**（细则见 test-conventions §6）
 
 **收口**
-9. **批末四闸全绿才合并**——冒烟+单元测试+场景探针+改前改后读数对拍
-10. **合并后主区全量复跑**——合并可能引入冲突或环境差异，落回 master 后再跑全套
-11. **会话收口落记**——active.md 快照与状态记录更新（含删除已完结旧条目，doc-conventions 第 10 节）；跨会话教训写入记忆库
-12. **文档同步闸**——机械面文档（roadmap 行/registry/active.md 记账/README 工具注）合并前随批更新完毕方算收口；设计权威文档批内不更新：实现批收口出迭代实现报告（`design/qa/iter<N>-实现报告-<日期>.md`：各卡状态+代拍板追认单+GDD 反哺点节），反哺点同步登记 `06-待办清单`，用户逐点裁决后另批落文；反哺点未落文期间相关 GDD 节视为待反哺，读前先查 06；需求卡片必列「关联文档同步面」按两层标注
-13. **实机目检归用户，只登记不阻塞**——真人检测项登记进实现报告目检总清单与 07-体验验证清单即完成批内义务；禁把等目检当停工理由或收口前置
-14. **中间产物吸收即死**——细则见 CLAUDE.md 硬性红线与 doc-conventions 第 11 节
+10. **批末四闸全绿才合并**——冒烟+单元测试+场景探针+改前改后读数对拍
+11. **合并后主区全量复跑**——合并可能引入冲突或环境差异，落回 master 后再跑全套
+12. **会话收口落记**——active.md 快照与状态记录更新（含删除已完结旧条目，doc-conventions 第 10 节）；跨会话教训写入记忆库
+13. **文档同步闸**——机械面文档（roadmap 行/registry/active.md 记账/README 工具注）合并前随批更新完毕方算收口；设计权威文档批内不更新：实现批收口出迭代实现报告（`design/qa/iter<N>-实现报告-<日期>.md`：各卡状态+代拍板追认单+GDD 反哺点节），反哺点同步登记 `06-待办清单`，用户逐点裁决后另批落文；反哺点未落文期间相关 GDD 节视为待反哺，读前先查 06；需求卡片必列「关联文档同步面」按两层标注
+14. **实机目检归用户，只登记不阻塞**——真人检测项登记进实现报告目检总清单与 07-体验验证清单即完成批内义务；禁把等目检当停工理由或收口前置
+15. **中间产物吸收即死**——细则见 CLAUDE.md 硬性红线与 doc-conventions 第 11 节
 
 ## 4. 测试执行两入口铁规（细则）
 

design/dev/test-conventions.md

@@ -47,3 +47,21 @@
 
 4. **调试注入两层（能力测试与流程体验两分法的落码面）**：自动化测试=测试代码直调核心层写口构造状态（直改数据表行/计数器/存档域，不经 UI、不走正常资源积累流程——冒烟现役做法）；人工体验=DebugOverlay/DS_DEBUG 调试面，服务用户目检。清单条目的「怎么测」必须写到数据面粒度：改哪张表哪行、置哪个计数、调哪个核心写口。
 5. **换代批旧验证约束同生死**：删除旧数据行/旧实现代码的批次，必须同批摘除只验证旧实现的断言与护栏校验，由新断言替代——旧件断言残留=冒烟假绿来源；合并后冒烟全绿且全仓无旧件残留引用为证。
+
+## 6. 变异验证——验收函数的拦截能力自证
+
+测试绿只证明「当前代码没犯这个错」，不证明「犯了这个错会被抓住」。新增或改写的验收函数（冒烟断言／探针自检／闸机判据）必须配一次变异验证，把拦截能力自证一遍。**无变异红记录的断言不写「已验收」，只写「已实现，拦截能力未证」。**
+
+**操作四步（逐条落实现报告变异验证记录表）**：
+
+1. **注入**——把被测件改坏成该类缺陷的最小形态（翻装配序、注释一行 `add_child`、把状态源取反、把层 `visible` 置 false）。一次只注入一处；可直接改源码，不必留长期开关。
+2. **跑最窄的那一道闸**——只跑能覆盖该断言的最小单元（单冒烟脚本／单探针／单比对命令），禁跑全套闸（见 process-conventions §6 闸机轮次纪律）。判据：注入后该断言**必须变红**；红在别处而目标断言仍绿＝判据没打在缺陷上，按第 4 条处理。
+3. **精确还原**——`git checkout -- <文件>`（不用 `git stash`、不手工回改，防残留）。还原后复跑同一道闸确认回绿，才算本轮闭环。
+4. **记录**——变异点（文件:行）、跑的闸、红输出摘要、还原结论，逐条进实现报告记录表。
+
+**变异不红怎么办（二选一，不许含糊带过）**：
+
+- **改判据**——把断言打到真正的缺陷面上（例：断言「菜单标题可见」只查截图墨色占比时，把菜单层藏起来仍不红——底层棋盘透过标题框照样给出高反差像素；改查 `is_visible_in_tree` 或加 golden 逐像素比对才红）。
+- **如实标注拦截边界**——判据本身只覆盖弱面的（如「只证伪整框空白／整框糊，不证明框里是何内容」），在断言注释与报告里写明边界，并说明强判据由哪一件承担。
+
+**判据强弱分层**：同一缺陷面往往需要多件配合——**可见性／状态源类**缺陷由 `is_visible_in_tree`、树序、状态源取值的**运行期断言**抓；**内容／观感类**缺陷由 **golden 逐像素比对**抓；**占比／统计类**判据（墨色占比、纹理幅度）只能兜「整框空白／整框糊／压 busy 纹理」，是补充不是主力。写卡时按此分层配齐，别指望一条断言包打。