Merge branch 'master' into test-criterion-pilot-20261028

AGENTS.md

@@ -89,7 +89,7 @@
 - 五段流水线铁律——**需求改动**（游戏代码）按「登记 → 文档设计／美术设计 → 写需求卡片 → 迭代编排 → 实现」五段推进，段间不自动流转、每段转进由用户发令；编入迭代的卡片必须设计闭合＋零待裁点——需求卡片任何工作量皆可写、皆可编入迭代，工作量限制只属迭代层（迭代估时总量 <5 个工作日＝「冻结待凑批」、不可开工）；流水线闸 `tools/pipeline_gate.py` 强制（已注册进 run_all_gates.sh 文档域）；实现段零裁断——卡片没写清=上游缺陷，停该卡退回上游，禁内联求裁（process-conventions §2，格式与状态机=doc-conventions §12）。工程／文档设计／美术素材三类改动不走写卡与编排段：登记 →（如需设计讨论）→ 用户发令直改 → 主区直改＋commit 点闸 → 完成删条目（车道细则=process-conventions §1）
 - MC/模拟：无数值改动零跑；档位硬闸见 `sim-data/README.md`「MC 采集档位表」，一档只能由用户发起
 - 闸机轮次纪律：新码先孤立验证 → 出红只跑红件最小单元 → 长批先最小参数试车 → 开工扫坑册（process-conventions §6）
-- **验收闭合**——每个需求点与每个行为改动都要有从真实入口进入的验收断言，撤销该改动能让对应断言变红；禁删断言/放宽阈值换绿；合回前独立验收审计未过则禁止合并（细则=test-conventions §8＋iter 技能第 5 步）
+- **验收闭合**——每个需求点与每个行为改动都要有从真实入口进入的验收断言，可 grep 定位、在当轮真实跑批中执行并通过，判据绑被测改动特有的可观测提交面；**禁变异类测试与撤销类取证**（2026-10-24／2026-10-28 用户裁——人为制造红属伪造证据），证明做不出＝停卡呈报；禁删断言/放宽阈值换绿；合回前独立验收审计未过则禁止合并（细则=test-conventions §8＋iter 技能第 5 步）
 - 规则评估——没在真实任务上评估过的规则修订，不算完成。
 - 中间产物吸收即死——结论先吸收进权威文档、未决先迁待办清单，文件即删且永不提交（doc-conventions 第 11 节）
 - **禁写变更记录**——文档与代码文件内一律禁设「版本历史／修订记录／变更记录／修改记录／更新记录／更新日志」节或表格，禁写「本版改了哪些条款」式逐版本叙述与 `# 2026-xx-xx 缺陷修批——` 式行内修订注记；沿革只进 git commit log。版本号可作文档现行身份标记留在文首状态行与正文引用中（doc-conventions 第 5 节，机检闸 gdd_lint R4 反转拦截）

design/engineering/architecture/architecture.md

@@ -2,8 +2,8 @@
 
 ## 文档状态
 
-- 版本：1.21
-- 最近更新：2026-10-28（测试判据升级——测试与质量域三层承载表单元行判什么对齐新写法判据：从对外方法进、钉对外可观测面，判据正文归 test-conventions §8.2）
+- 版本：1.22
+- 最近更新：2026-10-28（迭代 40 拆件批反哺落文——编排域拆件定稿节转现状登记：reward_economy 消费依赖改注入 Callable 口径、BattleFxHost 补 luck_bias_for 查询口、接线款补注入 Callable 款与 battle_hooks 三键回调束形态、补 RunLedger 退役后战斗域读面款、S13 豁免登记补第三条 battle_orchestrator 类变量键）
 - 引擎：Godot 4.7.2-stable（GDScript 单语言；2026-09-07 锁定）
 - 评审模式：solo（`review-mode.txt`，2026-09-12 用户拍板——TD/LP 门禁按 solo 跳过，用户授权架构产出自主推进、迭代期回调）
 - 覆盖 GDD：现行全集（根索引＝`design/gdd/02-系统清单.md`，文档树构成以根索引为准）
@@ -103,7 +103,7 @@
 | **board_generator**（A1） | 生成算法（五阶段管线）、BoardGenTable 回填、生成期指标集、合法性谓词（clearable / R₀≠S / min_safe）、可推理率度量（metric_version）；生成姿态 = MVP 同步生成 + 加载幕（切片实证 10×10/12×12 同步可接受，WorkerThread 留扩展） | `generate(L, D, rng) -> Board`；度量独立入口×3（推理器 / F3 度量 / 合法性谓词——独立纯函数、同一实现） | ConfigDB（BoardGenTable/VariationTable）；board_gen 流（一次 open_stream = 一张图）；dig_ap_cost 只读 | 无 |
 | **minesweeper_rules**（A2） | 棋盘状态（已开集 O / 封印集 G / 小人位）、三事件面、批次仲裁、install 四不变式 | `install_board(board)`；`settle_batch(intents)`（唯一提交入口）；查询只读面（current_board / hero_pos / is_revealed / has_seal 等）；`compute_move_path(cell)` 只读；`retire_board()`；三源拒绝（board_face / resource_face / phase）+ sub_reason 封闭枚举 | A1 产物（Board class_name 数据契约）；A3 try_spend / last_round_end / 相位 | 无（零表读取、零 UI——切片实证） |
 | **unit_container**（B2） | hero/enemy 单位实例（hp/atk/实例池：池快照+冷却+摇定动作+保底计数）、行值快照 | spawn / query_alive / rollable_skills / special_skills / check_trigger_unlocks / set_pending_action / pending_action / basic_streak / commit_action / tick_cooldowns / apply_damage / heal / default_target / check_skill_unlocks / despawn_all（2026-09-16 敌人技能池批：query_beat/query_attack/advance 随行为环退役；rollable_skills/special_skills/check_trigger_unlocks 带 facts 参——2026-10-27 情境条件触发器实装，事实缺键=条件假拦下，百分比事实走阈值式折算） | ConfigDB（EnemyTable/SkillTable/HeroTable） | 无 |
-| **reward_economy**（B4） | 格面资源身份映射（install 期预分配、Ready 只读、换图映射消亡）、极性路由字典面（（类型, 极性）→ 字典行查询；路由执行归 B1 授予段）、F6 当量供给投影 | 封闭 API：roll_board / query_identity / query_full_snapshot / grant / grant_clear / retire_mapping / polarity_row / phase / weighted_pick；另有 is_mapped 静默布尔投影（批量工具用） | ConfigDB（RewardTable）；effect_engine（事件发射 dispatch——上层消费基础层）；reward_roll 流（scope = 每次 install 批） | 无 |
+| **reward_economy**（B4） | 格面资源身份映射（install 期预分配、Ready 只读、换图映射消亡）、极性路由字典面（（类型, 极性）→ 字典行查询；路由执行归 B1 授予段）、F6 当量供给投影 | 封闭 API：roll_board / query_identity / query_full_snapshot / grant / grant_clear / retire_mapping / polarity_row / phase / weighted_pick；另有 is_mapped 静默布尔投影（批量工具用） | ConfigDB（RewardTable）；BattleFxHost 经注入 Callable `luck_bias_query` 取偏运合计（reward_roll 发射与 bias_rewards 求和移至效果层完成）；reward_roll 流（scope = 每次 install 批） | 无 |
 | **helper_items**（A5，切片已实装秘宝域） | HelperItemTable、探测显影语义 | （契约规范源：`../../gdd/systems/跨局循环/秘宝.md`——桥接位：A2 查询接口 + A4 counter_item_ids） | A2 / A4 / B4 | 无 |
 | **CurioDeck**（`core/curio_deck.gd`，A5 秘宝域令牌池件，迭代 37 自 AdventureRunner 拆出） | 三选一/商店共享池的持久多重集、抽签（候选抽取）、cap 库存与专长凭证三计数与判定唯一所有者——件只管池与判定，停点编排与兑付推进留冒险编排器 | `draw_candidates(channel)` 抽签；`consume_deck_token` / `consume_pool_purchase` 池消耗；`cap_ok` 上限判定；`feat_ticket_consider` 凭证判定；`stock_snapshot` / `pool_stock` 只读投影；商店购买消费经注入 Callable 链至 CurioStop 兑付单点（迭代 39 起转纯池——bind_handlers 反向回调已退役） | ConfigDB（秘宝令牌行集）；注入 RngServiceCore（reward_pick 封闭流，禁自建随机） | 无（RefCounted 纯逻辑） |
 | **ShopSession**（`core/shop_session.gd`，商店会话件，迭代 37 自 LevelRunner 拆出） | 关卡商店双模式（legacy 固定三件加定价／pool 共享令牌池）的货架、定价、购买与刷新唯一宿主——账本/钱包/装配集归宿主 LevelRunner（共享引用经 `bind` 注入，出账直接落同一引用改写宿主账本）；legacy 模式零 RNG 零池消费（off 对照承载） | 货架与定价只读面（`shop_products` / `shop_shelf` / `current_price` / `shop_refresh_cost`）＋写入口（`buy_product` / `buy_pool_item` / `shop_refresh` / `player_request_refresh` / `open_pool`）；外部调用面由 LevelRunner 同签名委托承载（外部零变化） | ConfigDB（商店行集）；注入 RngServiceCore；宿主钱包/账本引用；pool 模式令牌消耗与判定经注入 Callable 转 CurioDeck | 无 |
@@ -115,8 +115,8 @@
 
 | 模块 | 独占职责 | 对外暴露 | 消费依赖 | 引擎 API |
 |---|---|---|---|---|
-| **battle_orchestrator**（B1） | 段序骨架（七段结构冻结）、轮 facts 缓冲、可回放步骤流、[明细行协议](../../gdd/systems/战斗循环/战斗结算.md#明细流水每一行都能指回你刚才的哪一步棋)（基础行型＋扩展行两层 + 字段分层，词表以 owner「明细流水」节为准）、条款③⑤闭合对账、**战斗域全部跨系统调用权**、效果引擎宿主面与树规则挂点施加面（**已定稿拆出 BattleFxHost——本行此段实现批后改写为现状，过渡期以「战斗编排域拆件定稿」节为准**） | `begin_battle(encounter)`；窗口/刷新意图提交面（扮演 D1）；`level_clear()`；步骤流（输出契约） | B2/B3/B4 全调用面（**唯一调用方＝B1 域文件集：battle_orchestrator.gd ＋ settlement/ 五段段类 ＋ damage_controller ＋ 拆件后两新件**）；A3 request_refresh 代理 + 回发；A2 install/retire + 三事件订阅；A1 generate（attempt 非 scope 事件）；D2 SettlementTable + set_reload_gate | 无（零随机、禁 await——切片 88 冒烟实证可回放） |
-| **BattleFxHost**（`core/battle_fx_host.gd`，B1 域·效果引擎宿主件，2026-10-26 编排域拆件设计定稿——实现批建件） | 效果引擎挂点施加面唯一承载（自 battle_orchestrator 收编 fx 族）：事件发射与事实判定（_fx_emit/_fx_fact）、主角 AC 基线与本轮/本战 AC 累积、bonus_delta 四轴累积（战末宿主 drain 汇入账本）、揭示待兑队列与兑付（含 _fx_revealing 再入闸——同步信号回环防二次缓冲二次兑付）、树规则合成订阅的 round/battle 桶计数器持有（桶随编排器生灭语义不变） | 构造＝引用束注入（防 _init max-parameters 新键）；bind 时注入 emit Callable（行发射经宿主协议面单点）与兑付 Callable（RewardGrant 授予面——揭示队列 flush 回调）；只读投影分两类消费方：AC 累积/bonus_delta 供宿主呈现快照与战末 drain，揭示态供宿主 A2 订阅旁路判定 | EffectEngine（EffectContext 引用束）；RngServiceCore（fx_reveal 封闭流——除该流外零随机）；A2 minesweeper（板读与 fx_reveal 调用）；A3 action_economy（queue_ap_delta/charge_layers 读）；B3 status_container 读；B2 unit_container 读（hp_ratio）；DamageController（set_hero_ac_override）；ConfigDB；encounter 引用 | 无（零 await——效果引擎全同步解释器） |
+| **battle_orchestrator**（B1） | 段序骨架（七段结构冻结）、轮 facts 缓冲、可回放步骤流、[明细行协议](../../gdd/systems/战斗循环/战斗结算.md#明细流水每一行都能指回你刚才的哪一步棋)（基础行型＋扩展行两层 + 字段分层，词表以 owner「明细流水」节为准）、条款③⑤闭合对账、**战斗域全部跨系统调用权**、效果引擎宿主面与树规则挂点施加面（**已拆出 BattleFxHost 并实装（2026-10-28 迭代 40——battle_fx_host.gd／reward_grant.gd 两件在库，效果引擎宿主面归 BattleFxHost 行承载，拆件细则见「战斗编排域拆件定稿」节）**） | `begin_battle(encounter)`；窗口/刷新意图提交面（扮演 D1）；`level_clear()`；步骤流（输出契约） | B2/B3/B4 全调用面（**唯一调用方＝B1 域文件集：battle_orchestrator.gd ＋ settlement/ 五段段类 ＋ damage_controller ＋ 拆件后两新件**）；A3 request_refresh 代理 + 回发；A2 install/retire + 三事件订阅；A1 generate（attempt 非 scope 事件）；D2 SettlementTable + set_reload_gate | 无（零随机、禁 await——切片 88 冒烟实证可回放） |
+| **BattleFxHost**（`core/battle_fx_host.gd`，B1 域·效果引擎宿主件，2026-10-26 编排域拆件设计定稿——实现批建件） | 效果引擎挂点施加面唯一承载（自 battle_orchestrator 收编 fx 族）：事件发射与事实判定（_fx_emit/_fx_fact）、主角 AC 基线与本轮/本战 AC 累积、bonus_delta 四轴累积（战末宿主 drain 汇入账本）、揭示待兑队列与兑付（含 _fx_revealing 再入闸——同步信号回环防二次缓冲二次兑付）、树规则合成订阅的 round/battle 桶计数器持有（桶随编排器生灭语义不变） | 构造＝引用束注入（防 _init max-parameters 新键）；bind 时注入 emit Callable（行发射经宿主协议面单点）与兑付 Callable（RewardGrant 授予面——揭示队列 flush 回调）；只读投影分两类消费方：AC 累积/bonus_delta 供宿主呈现快照与战末 drain，揭示态供宿主 A2 订阅旁路判定；`luck_bias_for(cell_count) -> int` 偏运合计查询口（体内三参形 dispatch——reward_roll 发射与 bias_rewards 求和自 RewardEconomy 收回本件，RewardEconomy 经注入 Callable 消费） | EffectEngine（EffectContext 引用束）；RngServiceCore（fx_reveal 封闭流——除该流外零随机）；A2 minesweeper（板读与 fx_reveal 调用）；A3 action_economy（queue_ap_delta/charge_layers 读）；B3 status_container 读；B2 unit_container 读（hp_ratio）；DamageController（set_hero_ac_override）；ConfigDB；encounter 引用 | 无（零 await——效果引擎全同步解释器） |
 | **RewardGrant**（`core/reward_grant.gd`，B1 域·奖励授予件，2026-10-26 编排域拆件设计定稿——实现批建件） | 奖励授予唯一兑付管线（自 battle_orchestrator 收编 grant 族）：极性字典路由与封印溢价兑付（_grant_routed）、三种行应用（flat/percent/gp）、伤害单据提交面（_submit 族）、清图奖励与身份授予、秘宝使用编排（use_treasure 四步）、战斗域 GP 缓冲 escrow 与授予段暂存伤害闸（_defer_board_damage/_deferred_board） | use_treasure 编排入口（treasure_interact_controller 经组合根现值回调直连）；授予入口（结算段类直调）；只读投影（escrow 读与 GP 掉落合计——宿主呈现快照与 _roll_gp_drop 消费） | B4 RewardEconomy（polarity_row/grant）；B1 域 DamageController（开单）；BattleFxHost 引用（treasure_used 事件发射与计数器消耗）；A2 minesweeper（校验回调/fx_reveal/remove_mines_in）；A3 action_economy（相位闸/grant_ap/queue_ap_delta）；B3 status_container（apply_effect/池读）；B2 unit_container（hero_unit/heal）；ConfigDB；注入 emit Callable、宿主 fatal Callable（battle_result 状态机唯一写点留宿主）、宿主 attune 读投影（_attune_safe_seen）、encounter 账本引用；TreasureItems 经宿主 setter 转发注入（库存注入时序在宿主构造之后） | 无（零随机零 await——授予期零随机口径，roll 值授予前已定） |
 | **damage_controller**（B1 域·伤害单据管线） | 伤害单据唯一兑现管线（单据九栏目声明→分量掷点/克制修正/伤害下限归一→明细行发射；双方同规） | 兑付入口（编排侧开单）＋ fx 揭示回调注入位 | B2 单位实例（单据目标传入）；B1 注入（EffectContext 引用束与编排回调） | 无 |
 | **settlement/ 五段段类**（B1 域·结算段件） | B1 每轮结算序列的五段逻辑件（授予/增益减益/战斗/衰减/判定——细则见下「战斗域装配现状」节） | 段处理入口（B1 接线调用）；可直接 `new()` 单测 | B2/B3/B4 兑付面与 B1 轮 facts 缓冲（各段按职责） | 无 |
@@ -129,10 +129,11 @@
 
 - **结算五段**：B1 编排器的每轮结算序列拆为 `game/core/settlement/` 五个段类——GrantSegment（①授予段，含封印判定与 counter/grant 助手单点）→ AuraSegment（②增益/减益段）→ CombatSegment（③战斗段）→ DecaySegment（④衰减段）→ VerdictSegment（⑤判定段，返回裁定，终局早退语义留 B1）。段序骨架冻结于 `SettlementTable.segment_order` 语义，B1 退为段序编排+接线；段类可直接 `new()` 单测（`settle_segments_test` 在役）。
 
-### 战斗编排域拆件定稿（2026-10-26 用户裁写入——gdstyle 存量债波 1 设计闭合；同日独立审查（grilling＋godot-master 双子代理）阻断 8 条去重 6 组全折入本节，v1.18；实现批完成后改写为现状登记）
+### 战斗编排域拆件定稿（2026-10-26 用户裁写入——gdstyle 存量债波 1 设计闭合；同日独立审查（grilling＋godot-master 双子代理）阻断 8 条去重 6 组全折入本节，v1.18；2026-10-28 迭代 40 实现批合回（合并提交 514457d1），本节为现状登记）
 
 - **轴甲两件**：battle_orchestrator（1313 行／50 成员，S13 全库单文件最大户）按变化原因拆出 BattleFxHost（效果引擎宿主域）与 RewardGrant（奖励授予域）两协作件；宿主保留架构在册职责全部——战斗状态机与生命周期、轮 facts 缓冲（_facts_reveals/seals/path）、A2 三事件订阅、结算五段驱动、attune 族原位、行发射基建（_emit_row/_assert_row_source/_fatal）、呈现投影（presentation/diagnostic_snapshot 唯一出口不变）、刷新面、nest_preview_count（巢穴预告读数口——外部直读面 main.gd 与 treasure_effects_test 随批点名冻结）。拆件动机与残留债口径见待办清单「gdstyle 存量债全量清偿」条目。
-- **跨件单向接线**：RewardGrant 持 BattleFxHost 引用（treasure_used 事件发射与计数器消耗）；BattleFxHost 对授予面走 bind 时注入的兑付 Callable（揭示队列 flush 回调）——禁双向强引用（两件均 RefCounted，环引用随每战新建泄漏）。行发射经 bind 时注入的 emit Callable（协议面单点留宿主——CurioDeck bind_handlers 同款先例，禁件回调宿主私有族）；轮 facts 缓冲留宿主、fx 件经注入取值；_seal_consumed 留宿主（与 A2 seal_judged 订阅同域）；fatal 经注入 Callable 转宿主 _fatal（battle_result 状态机唯一写点不变）。
+- **跨件单向接线**：RewardGrant 持 BattleFxHost 引用（treasure_used 事件发射与计数器消耗）；BattleFxHost 对授予面走 bind 时注入的兑付 Callable（揭示队列 flush 回调）——禁双向强引用（两件均 RefCounted，环引用随每战新建泄漏）。行发射经 bind 时注入的 emit Callable（协议面单点留宿主——CurioDeck bind_handlers 同款先例，禁件回调宿主私有族）；轮 facts 缓冲留宿主、fx 件经注入取值；_seal_consumed 留宿主（与 A2 seal_judged 订阅同域）；fatal 经注入 Callable 转宿主 _fatal（battle_result 状态机唯一写点不变）。注入 Callable 亦属接线面、同单向纪律——禁为省参数改持对象引用。授予件对账本零强引用：战斗期消费经 `battle_hooks` 三键回调束（attune_consume/vision_add/negative_blast，bind_battle 缺键 assert），宿主侧三单点记账（2026-10-28 迭代 40 合并适配实装——RunLedger 类已随迭代 39 退役，直持对象引用无处可指）。
+- **战斗域读面（RunLedger 退役后）**：账本读经编排器 `_journal()`／`_attune_loadout()` 现值派生（GainJournal／AttuneLoadout，enc 派生、无成员接收）；冒险桶经 `enc["adv_bucket"]` 下传 `battle_fx_host.mount_buckets`；战末 bonus 四轴经 `GainJournal.gain_bonus` 汇入（2026-10-27 迭代 39 主角账三件落地、迭代 40 合并适配承接）。
 - **settlement/ 段类随动**：段类构造注入直持宿主＋两新件三引用（Middle Man 禁令封转发壳——调用点改指），授予段读写面点名：_grant_routed×5／_submit×6／escrow 写／_fx_new_resource_types／_feat_first_dig_used／_fx_bonus_delta 写／_apply_ac_bonus／_fx_enqueue_reveal／_flush_pending_reveals／_grant_clear_reward／counters_ctx；战斗段 _defer_board_damage 复位与 _deferred_board 结账改指 RewardGrant。四个授予段 helper（_feat_yield_adjust/_harmful_variants/_harmful_adjacent/_hits_of）与 _pool_effective/perfect_sweep_earned 留宿主（段类经宿主引用直调，现状形态）。
 - **attune 族原位保留**：同调配装 8 成员不进新件——迭代 39 副卡（AttuneLoadout 充能单源化）语义领地，两批零冲突；本波残留债归尾波。RewardGrant 经宿主 attune 读投影取 _attune_safe_seen。
 - **呈现零变化**：两快照出口签名与载荷逐字不变，内部改读两件只读投影（快照本体不读揭示态——揭示态投影消费方＝宿主 A2 订阅旁路判定）；treasure_interact_controller 三触点分家——use_treasure 经组合根现值回调改注 RewardGrant（每战新建编排器，禁一次性直引防悬挂），minesweeper 读与 attune_convert_state 仍走宿主取值回调（双取值面）；nest_preview_count 直读面零变化。
@@ -309,6 +310,8 @@
 
 **S13 测量面豁免登记（2026-10-27）**：`game/presentation/tune_sim_controller.gd` 的循环内 `await`（测速循环逐帧让出）是调参测量的 wall-clock 步进承载语义——重构即测量口径漂移，违行为零变化红线。该键按架构豁免（键永久基线内），豁免理由在册本段；同件 `print` 残留不豁免（信息已由 toast/JSONL 承载，随全清批删除）。
 
+**S13 豁免登记第三条（2026-10-28 迭代 40 卡①）**：`game/core/battle_orchestrator.gd` 的 max-class-variables 键——宿主保留面为「战斗编排域拆件定稿」节第 1 款锁定的职责承载面（状态机与生命周期、账本读面、attune 族原位、行发射基建、呈现投影），类变量阈值 15 在保留面锁定下不可达，按全清口径第二支臂登记架构豁免（键永久基线内、禁再恶化；实测键账 50→38）。
+
 ---
 
 ## 数据流

design/engineering/test-conventions.md

@@ -48,6 +48,7 @@
 
 4. **调试注入两层（能力测试与流程体验两分法的落码面）**：自动化测试=测试代码直调核心层写口构造状态（直改数据表行/计数器/存档域，不经 UI、不走正常资源积累流程——冒烟现役做法）；人工体验=DebugOverlay/DS_DEBUG 调试面，服务用户目检（发布态该面恒隐、无 UI 开启口——写死行已随迭代 38 卡⑦ 删除，开发期临时启用＝本地改 `_debug_entry` 缺省、不提交；能力测试不经 UI，本条口径不受影响）。清单条目的「怎么测」必须写到数据面粒度：改哪张表哪行、置哪个计数、调哪个核心写口。
 5. **换代批旧验证约束同生死**：删除旧数据行/旧实现代码的批次，必须同批摘除只验证旧实现的断言与护栏校验，由新断言替代——旧件断言残留=冒烟假绿来源；合并后冒烟全绿且全仓无旧件残留引用为证。
+6. **违约通道类需求点必须落独立负面套件（2026-10-28 迭代 40 立）**：预期运行期违约/致命路径的需求点（handler 通道、fail-fast 分支）一律落独立负面套件并按 manifest 登记 `expect=1, negative=true`，禁落现役非负面套件——headless 下 assert 失败必产不可捕获的 SCRIPT ERROR，非负面套件的输出被错误扫描命中即假红（先例＝reward_dangling_treasure／counter_prefix_fatal／extended_row_violation／run_time_fatal 四件）。
 
 ## 6. 判定三硬闸——闸承载的构造义务（迭代 29 起）
 
@@ -65,7 +66,7 @@
 
 - 「跑一遍没崩＝通过」无效：测试绿只证明**当前代码没犯这个错**，不证明**犯了这个错会被抓住**；断言存在不等于断言执行。
 - **脚本错误会静默中断所在函数的剩余断言，而套件仍报全绿**（机制事实）：GDScript 无脚本错误陷阱 API，错误不改进程退出码、不计失败数。三处实证：①2026-09-19「309 项 0 失败」实为断言未跑全（状态记录 83）；②敌人表行集纪律 10 条断言因定型数组赋值错误从未执行（迭代 29 修复后两条正向见红＝夹具本缺锚行）；③`Callable` 形参类型写错致解析函数返回 null、后续断言整段蒸发。
-- 由此产生两条义务：**写闸件**按 §6 配三硬闸；**写验收函数**必须自证断言全数执行——撤销证明（§8.4）为主证，零命中自检（扫描面为空即判红）为辅证。
+- 由此产生两条义务：**写闸件**按 §6 配三硬闸；**写验收函数**必须自证断言全数执行——真实入口断言在当轮执行并通过（§8.4）为主证，零命中自检（扫描面为空即判红）为辅证。
 - **覆盖率不是目标**：行覆盖率度量缺失（Godot 无内建，第三方属新基建，是否引入待办清单在册待裁）；现行补洞=零指名单测清单+人工判定，判定可靠性靠上列自证手段，不靠覆盖率数字。
 
 ## 8. 改动级验收闭合（2026-10-21 立）
@@ -87,25 +88,24 @@
 
 需求卡片列需求侧对照表；实现报告列实际对照表。每行至少六格：
 
-| 需求点 | 改动（文件:行/行为） | 验收测试（名称＋文件:行＋尾缀） | 层级 | 真实入口 | 撤销证明 |
+| 需求点 | 改动（文件:行/行为） | 验收测试（名称＋文件:行＋尾缀） | 层级 | 真实入口 | 判据绑定面 |
 |---|---|---|---|---|---|
 
 实现报告另加「结果」格（绿/红/未过及依据）。两端都要对上：
 
-- **正向**：每个需求点至少一行；每行必须有真实入口和证明方式。缺任一项＝该需求点未验收。
+- **正向**：每个需求点至少一行；每行必须有真实入口和判据绑定面。缺任一项＝该需求点未验收。
 - **反向**：diff 里每个行为改动至少一行；没有对应行的改动，必须写明「非行为改动」或「由第 X 行覆盖」。
 - **测试侧**：新增或改写的每条断言至少挂一行；挂不上的孤儿断言删掉或补挂到需求点。
 
 **验证集清单维护锚（2026-10-22 用户裁）**：`game/tests/验证集清单.md` 是迁移断言全体的冻结参照清单（机器提取生成、只剪切禁改写、出口逐条核对，机制见该文件头注；清单自断言迁移批第 0 步建立时起存在）——清单在册后，任何断言**新增、删除或改判**必须同步该清单，与改动—验收对照表同一条纪律：清单没跟上的断言改动视同未完成。
 
-### 8.4 撤销证明
+### 8.4 真实入口断言（验收闭合的主判据）
 
-- **修改既有行为**：只撤销该改动（回退该 hunk 或该处接线）→ 跑能覆盖它的最窄测试 → 对应断言必须变红 → 还原 → 复绿。
-- **新增行为**：只撤销该新增（回退该 hunk 或删去该新增段）→ 跑能覆盖它的最窄测试 → 对应断言必须变红 → 还原 → 复绿。
-- **撤销后仍然绿**：说明断言没钉在这个改动上，判缺漏；不得用「代码能跑通」代替。
-- **判据绑可观测提交面**：端到端断言的判据要绑「被测改动特有的可观测提交面」（信号发射、事件、入参、绘制记录），不绑多层防御之后的终态——否则改动被下游兜底吸收时终态不变、断言假绿。例：探针「雾不扩可点域」首版只看屏／选路态终态，命中面放宽后断言仍绿；改绑 `route_chosen` 发射面后即红。
-- 每张任务卡至少一条撤销证明记录；持久化、生命周期、存档、跨战共享这类接线逐行做。
-- **合法手段只有真撤销（2026-10-24 用户立：全项目禁做变异类测试）**——改断言极性、置空库存/状态、改名键、删调用行等「人为制造红」都属伪造证据，一律禁止；证明只认「回退本批真实改动 → 断言红 → 还原复绿」。自动化载体＝`tools/undo_proof.py`（给最窄测试命令与撤销对象，自动出三连红绿回执并自还原），人工三连跑由此免做。
+- **唯一口径（2026-10-24／2026-10-28 用户两裁）**：每个需求点与每个行为改动的验收＝一条从真实入口进入的断言，可 grep 定位、在当轮真实跑批中执行并通过。**禁变异类测试**（把生产码或数据表改成错值看断言抓不抓得到）；**禁撤销类取证**（回退本批改动或该 hunk 看断言红不红）——两者都是人为制造红，属伪造证据，一律禁止。
+- **判据绑可观测提交面**：断言判据要绑「被测改动特有的可观测提交面」（信号发射、事件、入参、绘制记录、状态源取值），不绑多层防御之后的终态——否则改动被下游兜底吸收时终态不变、断言假绿。例：探针「雾不扩可点域」首版只看屏／选路态终态，命中面放宽后断言仍绿；改绑 `route_chosen` 发射面后即红。
+- **判据绑不上的出口＝停卡呈报**：某改动确实造不出可观测提交面（纯防御分支、release 独有位）时，走静态判据＋代码评审注记并在对照表申报观测面局限；不得自造替代证明。
+- **正面效力自检**：精确等式优于不等式与非空即过；扫描类断言带「扫描面 > 0」非空前置，防扫描面为空静默绿。
+- 持久化、生命周期、存档、跨战共享这类接线逐条配断言；判定可靠性细则见 §7。
 
 ### 8.5 禁止削弱测试
 
@@ -113,14 +113,14 @@
 
 ### 8.6 测试时机
 
-不要求 TDD，不要求先红后绿。允许实现后补测试；但补的测试必须通过 §8.4 的撤销证明。实现完再补、补完就绿，不算验收。
+不要求 TDD，不要求先红后绿。允许实现后补测试；但补的测试必须满足 §8.4 的真实入口断言口径。实现完再补、补完就绿，不算验收。
 
 ### 8.7 独立验收审计
 
 合并前由没有参与实现的会话或子代理做一次审计。审计只读需求卡片、实际对照表、diff、测试文件和实现报告，自己跑最窄测试抽查，不采信报告里的「已全绿」。审计至少做四件事：
 
 1. 逐行核对对照表：测试存在、真的执行、尾缀能 grep 到、真实入口没有绕过改动点；
-2. 抽查撤销证明：每张任务卡至少一条，按记录复现红/绿；
+2. 抽查判据绑定面：断言从真实入口进入、钉在被测改动的特有可观测提交面上，且当轮真实跑批执行过；
 3. 检查测试削弱：删除断言、放宽阈值、缩小扫描面、换下层直调，逐处要卡片申报或用户批准。
 4. 核对内部字段直查的受控例外：直查行是否已在对照表注明理由（该行为无公开可观测面可钉）。
 

roadmap.md

@@ -73,7 +73,7 @@
 | 迭代 37 | 已完成（2026-10-25） | 已退役（git 历史可考） | 2026-10-25 | ≈8.25 个工作日 | 已退役（git 历史可考） |
 | 迭代 38 | 已完成（2026-10-26） | 已退役（git 历史可考） | 2026-10-26 | ≈5.225 个工作日 | 已退役（git 历史可考） |
 | 迭代 39 | 已完成（2026-10-27） | 已退役（git 历史可考） | 2026-10-26 | ≈10.15 个工作日〔用户特批 2026-10-26 超 10 个工作日〕 | 已退役（git 历史可考） |
-| 迭代 40 | 待开工 | reports/需求卡片-B1战斗域拆件批-2026-10-27.md<br>reports/需求卡片-结构小件定点修批-2026-10-26.md | 2026-10-27 | ≈6.225 个工作日 | — |
+| 迭代 40 | 待开工 | reports/需求卡片-B1战斗域拆件批-2026-10-27.md<br>reports/需求卡片-结构小件定点修批-2026-10-26.md | 2026-10-27 | ≈6.375 个工作日 | — |
 | 迭代 41 | 待开工 | reports/需求卡片-核心数据面结构收敛批-2026-10-27.md<br>reports/需求卡片-呈现层结构收敛批-2026-10-27.md | 2026-10-27 | ≈13.15 个工作日〔用户特批 2026-10-27 超 10 个工作日〕 | — |
 
 - 迭代 38 收口为带红合并〔用户特批 2026-10-26〕：09 静态扫描 S13 gdstyle 恶化 2 条经批准记入基线存量红（git 提交 c4c69701），卡② 停卡退上游，处方已于 2026-10-26 修订定稿 v1.3（git 提交 b3ea7532），随「gdstyle 存量债全量清偿」条目波 7 待编排。

待办清单.md

@@ -16,7 +16,7 @@
 
 #### gdstyle 存量债全量清偿——216 键按病根分波整改（2026-10-26 登记，来源=会话提及，优先级＝P0）
 
-**实况**：S13 闸实测存量债 216 键／60 文件（2026-10-26，master f3b148ce，gdstyle v0.4.0 默认阈值；基线登记 234 键＝实存 216＋陈旧 18）。全量清单、波次方案与纪律见清点报告（本条目裁决源）。2026-10-26 用户裁：撤销「一条总账」与「按病根拆多条」两案，并为本条单账（存量债全部清除，紧急优先级）；原「gdstyle 基线陈旧键待人工清理」条目并入波 0（基线对账刷新），原「结构审查未立项小件候审」条目并入波 7（卡已写；iter38 施工停卡后经用户裁于 2026-10-26 修订定稿 v1.3，待编排）。**2026-10-26 设计段闭合（逐波裁定全数落定）**：①段组织＝逐波开设计段，纯代码波（波 0/2/3/4/5/6/8）写卡前确认零设计改动＋按当时 master 重测读数即可写卡；②波 2 各文件内部拆、波 6 视图内部拆私有函数、波 8 config_db 纯代码收敛（三处零设计改动）；③波 1 拆件定稿＝轴甲两件——battle_orchestrator 拆出 BattleFxHost（效果引擎宿主域）＋RewardGrant（奖励授予域），宿主保留状态机/facts 缓冲/订阅/段驱动/行发射基建/呈现投影，attune 族原位保留（迭代 39 副卡语义领地），emit 经 bind 注入 Callable，行数恶化债（c4c69701 挂账）本波还债归绿，残留债「改善非清零」口径预计 8–10 键；定稿落文 architecture.md v1.18（功能层两新件行＋「战斗编排域拆件定稿」节）；**同日独立审查折入**（grilling＋godot-master 双子代理并行、双判回炉补裁级——骨架成立、接线未闭合）：阻断 8 条去重 6 组＋建议 5 条全数折入 v1.18——跨件单向接线裁死（RewardGrant 持 fx 件引用/fx 兑付走注入 Callable，禁 RefCounted 环）、settlement/ 段类随动（直持三引用封转发壳）、12 随迁键卡内收敛义务（禁波 0 refresh 吸收）、两新件消费依赖列补全＋引用束注入、treasure_interact_controller 三触点分家（现值回调双取值面）、_fx_revealing 再入闸归 fx 件（裁定全文见清点报告 §六第 6 条）；④全部波不改游戏规则与玩家可见行为，design/gdd/systems/ 零修订预期；波 5 已实查落定纯代码（open_ticket 12 参＝单据声明形态）。波 7 的 wr5/wr6 验收载体重裁为写卡段用户裁点（卡 v1.2 在册，写卡补呈报）。裁定全文见清点报告 §六。**2026-10-28 交接注记（迭代 39 收尾批迁入——实现报告 §六第 6 条未决项出账）**：迭代 40 卡① 卡面接口块仍引用已退役的 RunLedger——该批 T0 须按现态改写（RunLedger 已随迭代 39 拆件批整类退役，encounter 注入面换代为桶字典＋实体账＋配装件多路）。
+**实况**：S13 闸实测存量债 216 键／60 文件（2026-10-26，master f3b148ce，gdstyle v0.4.0 默认阈值；基线登记 234 键＝实存 216＋陈旧 18）。全量清单、波次方案与纪律见清点报告（本条目裁决源）。2026-10-26 用户裁：撤销「一条总账」与「按病根拆多条」两案，并为本条单账（存量债全部清除，紧急优先级）；原「gdstyle 基线陈旧键待人工清理」条目并入波 0（基线对账刷新），原「结构审查未立项小件候审」条目并入波 7（卡已写；iter38 施工停卡后经用户裁于 2026-10-26 修订定稿 v1.3，待编排）。**2026-10-26 设计段闭合（逐波裁定全数落定）**：①段组织＝逐波开设计段，纯代码波（波 0/2/3/4/5/6/8）写卡前确认零设计改动＋按当时 master 重测读数即可写卡；②波 2 各文件内部拆、波 6 视图内部拆私有函数、波 8 config_db 纯代码收敛（三处零设计改动）；③波 1 拆件定稿＝轴甲两件——battle_orchestrator 拆出 BattleFxHost（效果引擎宿主域）＋RewardGrant（奖励授予域），宿主保留状态机/facts 缓冲/订阅/段驱动/行发射基建/呈现投影，attune 族原位保留（迭代 39 副卡语义领地），emit 经 bind 注入 Callable，行数恶化债（c4c69701 挂账）本波还债归绿，残留债「改善非清零」口径预计 8–10 键；定稿落文 architecture.md v1.18（功能层两新件行＋「战斗编排域拆件定稿」节）；**同日独立审查折入**（grilling＋godot-master 双子代理并行、双判回炉补裁级——骨架成立、接线未闭合）：阻断 8 条去重 6 组＋建议 5 条全数折入 v1.18——跨件单向接线裁死（RewardGrant 持 fx 件引用/fx 兑付走注入 Callable，禁 RefCounted 环）、settlement/ 段类随动（直持三引用封转发壳）、12 随迁键卡内收敛义务（禁波 0 refresh 吸收）、两新件消费依赖列补全＋引用束注入、treasure_interact_controller 三触点分家（现值回调双取值面）、_fx_revealing 再入闸归 fx 件（裁定全文见清点报告 §六第 6 条）；④全部波不改游戏规则与玩家可见行为，design/gdd/systems/ 零修订预期；波 5 已实查落定纯代码（open_ticket 12 参＝单据声明形态）。波 7 的 wr5/wr6 验收载体重裁为写卡段用户裁点（卡 v1.2 在册，写卡补呈报）。裁定全文见清点报告 §六。**2026-10-28 交接注记（迭代 39 收尾批迁入——实现报告 §六第 6 条未决项出账）**：迭代 40 卡① 卡面接口块仍引用已退役的 RunLedger——该批 T0 须按现态改写（RunLedger 已随迭代 39 拆件批整类退役，encounter 注入面换代为桶字典＋实体账＋配装件多路）。**2026-10-28 迭代 40 合回出账（波 1＋波 7 闭合，合并提交 514457d1）**：卡①（波 1）45 键清 44、宿主类变量键豁免第三条顺带落 architecture v1.22 S13 豁免登记，行数恶化债还清（实测 1036≤登记 1302；契约 2 残余 36 行系合并适配承接 master 迭代 39 内容带入，用户裁登记残余债归后续批）；卡②（波 7）六件定点修＋运行期违约通道负面套件（run_time_fatal_test）落地合回。余波 2/4/6/8 归迭代 41 两卡（在册）。
 
 关联文档清单：
 - 清点报告 reports/审计-gdstyle存量债清点与清偿方案-2026-10-26.md（2026-10-26，216 键全量清单＋波次方案＋纪律＋设计段裁定记录 §六含整合裁定第 7 条）
@@ -34,8 +34,8 @@
 #### 战斗域结构深拆批——效果发射端口＋宿主瘦身＋掷格/受理分件（2026-10-27 登记，来源=批次移交）
 
 **实况**：三条同病根的结构债，需先一次设计讨论定端口形态，再谈切卡；`RewardEconomy` 的最小缝拆样本已由迭代 40 卡② 落卡。
-- 效果发射端口（设计题本体）：`game/core/damage_controller.gd:46/47/71` 与 `game/core/action_economy.gd:44/45/50` 仍直持 `EffectEngine`＋`EffectContext`——前者用 attack_commit/armor_roll/clamp_check/kill/damage_taken 五枚事件并带计数器读写回写（:348/:354），后者用 dig_paid/dig_stop/charge_full 三枚事件。`RewardEconomy` 同款直连只服务一枚 `bias_rewards` 求和，已由 reports/需求卡片-结构小件定点修批-2026-10-26.md v1.4 的 p5 缝拆成单枚查询口（成员 −2＋2、类变量净 15）——最小样本成立；另两处事件多且带计数器回写，缝拆不成立，必须先设计「业务类只持一个回调、取回命中批」的端口形态。
-- battle_orchestrator 瘦身：迭代 40 卡① 拆出 `BattleFxHost`／`RewardGrant` 后宿主仍留 38 类变量（阈值 15；卡① §11 裁决记录④ 按「改善非清零」为该类变量键立了在册豁免——豁免不等于了结），`tools/gdstyle_baseline.txt` 在册 `game/core/battle_orchestrator.gd|quality/max-class-variables = 50` 与 `|quality/max-file-length = 1302` 两键，实际计数与行数以卡① 合回后实测重锚。
+- 效果发射端口（设计题本体）：`game/core/damage_controller.gd:46/47/71` 与 `game/core/action_economy.gd:44/45/50` 仍直持 `EffectEngine`＋`EffectContext`——前者用 attack_commit/armor_roll/clamp_check/kill/damage_taken 五枚事件并带计数器读写回写（:348/:354），后者用 dig_paid/dig_stop/charge_full 三枚事件。`RewardEconomy` 同款直连已由迭代 40 卡② p5 缝拆实装合回（单枚查询口 `luck_bias_query`——成员 −2＋2、类变量净 15、判定归 `BattleFxHost.luck_bias_for`），最小样本在库可考；另两处事件多且带计数器回写，缝拆不成立，必须先设计「业务类只持一个回调、取回命中批」的端口形态。
+- battle_orchestrator 瘦身：迭代 40 卡① 拆出 `BattleFxHost`／`RewardGrant` 后宿主实测 38 类变量（阈值 15；豁免第三条已顺带落 architecture v1.22 S13 豁免登记——豁免不等于了结），`tools/gdstyle_baseline.txt` 在册 `game/core/battle_orchestrator.gd|quality/max-class-variables = 50` 与 `|quality/max-file-length = 1302` 两键，实测 38／1036 均已收敛到登记值内（波 0 刷新时按实测重锚）。
 - reward_economy 分件：`RewardEconomy` 现 15 类变量恰在阈值线上（加第 16 枚即出闸 09 新增红——迭代 40 卡② 施工实测撞见，正是本条登记起因），掷格面（install 期 roll／池行装配／权重合成）与受理账面（grant／身份查询／快照／retire）两职责同居一件。
 - 相关文档：design/engineering/architecture/architecture.md（系统分层图与功能层 B1/B4 行、「战斗编排域拆件定稿」节须随端口定稿改写）· reports/审计-gdstyle存量债清点与清偿方案-2026-10-26.md（216 键波次方案与残留债口径；在册「尾波」只覆盖迭代 39 三宿主，不含本条）· reports/需求卡片-结构小件定点修批-2026-10-26.md v1.4（缝拆样本与 2026-10-27 用户裁记载于该卡 §12）
 
@@ -518,9 +518,17 @@
 #### 闸与探针批上下文挂死防护——probe_gate 进程树回收与 run_all 阻塞面超时（2026-10-25 登记，来源=批次移交）
 
 **实况**：证据＝迭代 36 批末闸机观测（非本批引入）。原登记两件存量噪声，件①（battle_log_view.gd:17 类型声明错致运行期 TypedArray 错误、日志失真）已随迭代 38 卡⑥ 收口出账（git 提交 ce49a8ee），本条只剩件②：`level_shop_economy_test` 在闸批量上下文存在挂死形态（直跑恒绿），`tools/probe_gate.sh` 的 per-suite timeout 只杀 wrapper 不杀引擎子进程，孤儿泄漏会殃及后续全部 Godot 启动（批末四次闸跑批中断的根源，处置＝清杀泄漏进程＋删重建 `game/.godot`）。挂死防护＝闸壳/测试基建，按改动四类属**工程改动走直改通道**。
-- 直改落点：tools/probe_gate.sh（per-suite 进程树回收）＋game/tests/run_all.gd（OS.execute 阻塞面超时守护）——测试基建直改。**2026-10-28 用户裁四批全做，probe_gate 件已落**（run_suite 整树回收：启动记 WINPID → 超时先 `taskkill /T` 杀全树再 `kill -9` 收 MSYS 侧〔顺序颠倒会让 /T 走不到已死父进程〕→ 标志文件判超时〔taskkill 强杀后 MSYS wait 可能报 0〕；默认五段实跑全绿＋超时/正常双路径机制验证通过）。run_all.gd 件属代码面（game/tests），按车道铁律留待触及测试基建的 worktree 批顺带，本条目保持待执行。
+- 直改落点：tools/probe_gate.sh（per-suite 进程树回收）＋game/tests/run_all.gd（OS.execute 阻塞面超时守护）——测试基建直改。**2026-10-28 用户裁四批全做，probe_gate 件已落**（run_suite 整树回收：启动记 WINPID → 超时先 `taskkill /T` 杀全树再 `kill -9` 收 MSYS 侧〔顺序颠倒会让 /T 走不到已死父进程〕→ 标志文件判超时〔taskkill 强杀后 MSYS wait 可能报 0〕；默认五段实跑全绿＋超时/正常双路径机制验证通过）。run_all.gd 件属代码面（game/tests），按车道铁律留待触及测试基建的 worktree 批顺带，本条目保持待执行。**2026-10-28 迭代 40 批末补实证（阻塞面挂死实拍）**：迁移类改动的回退使测试 `_init` 在 `quit()` 前中断（红行形态 `Invalid call. Nonexistent function`），进程挂至外层超时 124——卡① wr1/wr4/wr9 取证轮三例复现，与件②同根（阻塞面无超时守护），实证链在案（实现报告 §三第 1 条）。
 
 
+**改动面**：工具代码
+
+**状态**：待执行
+
+#### undo_proof.py 退役——撤销证明禁令生效后的死工具（2026-10-28 登记，来源=批次移交）
+
+**实况**：证据＝test-conventions §8.4 现行口径（2026-10-24／2026-10-28 用户两裁：禁变异类测试＋禁撤销类取证，验收唯一主判据＝真实入口断言当轮执行并通过；AGENTS.md 红线「验收闭合」与 req-card SKILL 第 8 条同批换代）。`tools/undo_proof.py`（159 行，挂死防护批产物）为撤销证明的自动化载体（三连红绿回执并自还原），服务对象已被禁令整体废止——工具本体退役删除。同族残留顺带裁：`.zcode|.qoder/skills/iter/evals/files/mock-card-iter40-1.md` 表头「撤销/变异证明」字样（两份，反向残留）；`tools/pipeline_gate.py` 是否加「变异测试／撤销证明」短语级扫描防复发（**短语级**——按「变异」单词扫会命中地形变异等玩法词，实测假红面大）。
+
 **改动面**：工具代码
 
 **状态**：待执行