diff --git a/design/dev/architecture/architecture.md b/design/dev/architecture/architecture.md
index 7af251b6..85d460ff 100644
--- a/design/dev/architecture/architecture.md
+++ b/design/dev/architecture/architecture.md
@@ -141,8 +141,8 @@
 | 模块 | 载体 | 独占职责 | 对外暴露 | 判定口径 |
 |---|---|---|---|---|
 | **run_smoke**（系统级断言面） | `tools/run_smoke.py` | 冒烟总入口与判定权：headless 跑 `res://smoke/smoke_all.gd` 全量（轻闸首项，迭代 28 后在册 1125 项检查）+ 三闸判定 | 进程退出码（0=PASS / 1=FAIL） | 三闸齐备、判定无洞：①退出码 = 0；②摘要行「冒烟完成：N 项检查，0 项失败」在案且失败数为 0；③输出扫 `SCRIPT ERROR` / `Parse Error` 标记行。外部 wall-clock 超时在位（超时 = FAIL） |
-| **run_all**（单元套件） | `game/tests/run_all.gd` | 27 套件单元测试统一入口：套件 manifest 逐条「套件 → 期望退出码」，致命类 expect=1 独立子进程实跑 | 逐套件结果 + 汇总退出码（任一套件失败 quit(1)） | 套件级退出码协议在位；**SCRIPT ERROR 扫描缺失**（脚本错误不改套件退出码时静默漏过）；**断言数下限缺失**（套件零断言退出 0 照样绿） |
-| **probe_gate**（场景探针） | `tools/probe_gate.sh` | headless 场景探针段编排：默认段 ui_input_probe / ui_struct_probe / ui_contrast_probe，`--click` 加跑 ui_click_probe，`--full` 加跑 ui_probe / ui_tune_probe / t17_defer_probe / fx_probe；孤儿 Godot 预清 + 批末残留清点（必须 0） | 段级 FAIL 输出 + 汇总退出码 | 每段 timeout 守卫在位（挂死 124/137 = FAIL，不静默）；**多数探针不查进程退出码**（仅个别段以 grep PASS 标记兜底）——退出码判定缺失 |
+| **run_all**（单元套件＋L2 集成） | `game/tests/run_all.gd` | 33 套统一入口（32 单元/集成 + 见下）：套件 manifest 逐条「套件 → 期望退出码」，致命类 expect=1 独立子进程实跑；`negative` 字段标负面套件（仅豁免错误扫描一闸） | 逐套件结果 + 汇总退出码（任一套件失败 quit(1)） | 套件级退出码协议在位；三硬闸齐备（入口内扫子套件输出 + 编排层扫 `unit.log`；`Kit.finish` 零断言返回专用码 2）。子进程输出须经系统命令解释器重定向落盘再读——`OS.execute` 的输出管道在本机恒空 |
+| **probe_gate**（场景探针） | `tools/probe_gate.sh` | headless 场景探针段编排：默认段 ui_input_probe / ui_struct_probe / layout_probe / ui_contrast_probe / **screen_flow_probe**（L3 屏壳切换），`--click` 加跑 ui_click_probe，`--full` 加跑 ui_probe / ui_tune_probe / t17_defer_probe / fx_probe；孤儿 Godot 预清 + 批末残留清点（必须 0） | 段级 FAIL 输出 + 汇总退出码 | 每段 timeout 守卫在位（挂死 124/137 = FAIL，不静默）；判定统一走 `verdict` 函数——退出码为唯一权威判据，PASS 串降级为附加判据，逐段跑 `tools/error_scan.py` |
 | **render_gate**（视觉 golden） | `tools/render_gate.sh` | 窗口化渲染闸：①shot_probe 七屏截图 → shot_checker A-D 语义断言；②fx_shot_probe / board_shot_probe 取证（超时/零字节/文件缺失任一 = FAIL）；③棋盘 golden 逐像素容差比对（差 ≤16 / changed ≤2%，provisional）+ 菜单 golden；④批末孤儿残留清零 | 段级 FAIL 输出 + 汇总退出码 | 查退出码在位（每段 timeout 守卫 + 退出码/取证文件双检）；**SCRIPT ERROR 扫描缺失**；断言数下限不适用（判定主体 = golden 容差与取证文件存在性，非断言计数） |
 | **static_scan**（静态扫描域） | `game/tests/static_scan.sh` | 静态扫描域 S1–S10 可执行载体（grep 规则 + `tools/audit_type_hints.py`〔S9〕+ `tools/audit_file_headers.py`〔S10〕） | fail 聚合退出码（任一硬失败规则命中即 exit 1） | 查退出码在位；SCRIPT ERROR 扫描与断言数下限不适用（逐规则命中即红，无运行时错误面与断言计数）；S3 现为 warning 级、不参与 fail 判定（见下表） |
 
@@ -150,9 +150,9 @@
 
 | 硬闸 | run_smoke | run_all | probe_gate | render_gate | static_scan |
 |---|---|---|---|---|---|
-| **退出码优先** | 已落实（闸①） | 已落实（套件 manifest expect 协议） | **缺失**（多数探针不查退出码） | 已落实（段级退出码 + 取证双检） | 已落实（fail 聚合退出） |
-| **SCRIPT ERROR 扫描** | 已落实（闸③，外部扫描——GDScript 无脚本错误陷阱 API，闸设在外部包装） | **缺失** | **缺失** | **缺失** | 不适用（静态域无运行时错误面） |
-| **断言数下限** | 无独立下限（闸②摘要行必须在案，防「跑一半仍 PASS」；脚本错误吞断言路径由闸③兜住） | **缺失**（27 套件跑完不校验断言总数，零断言套件可绿） | 不适用（逐段 PASS 标记判定，无断言总数概念） | 不适用（golden 容差 + 取证存在性判定） | 不适用（逐规则命中判定） |
+| **退出码优先** | 已落实（闸①） | 已落实（套件 manifest expect 协议） | 已落实（`verdict` 函数逐段判退出码，PASS 串不作判据） | 已落实（段级退出码 + 取证双检） | 已落实（fail 聚合退出） |
+| **SCRIPT ERROR 扫描** | 已落实（闸③，外部扫描——GDScript 无脚本错误陷阱 API，闸设在外部包装） | 已落实（入口内扫子套件输出；子进程的 stdout/stderr 须先落盘——`OS.execute` 管道在本机恒空） | 已落实（逐探针段 `tools/error_scan.py`，标记与 run_smoke 同源） | **缺失**（本批未收——判定主体是 golden 容差与取证存在性；登记 06） | 不适用（静态域无运行时错误面） |
+| **断言数下限** | 无独立下限（闸②摘要行必须在案，防「跑一半仍 PASS」；脚本错误吞断言路径由闸③兜住） | 已落实（`Kit.finish` 零断言返回专用退出码 2——与「断言失败=1」区分，防致命类套件的 expect 协议放过） | 已落实（退出码 0 但无该探针签名标记亦判红——防静默退出） | 不适用（golden 容差 + 取证存在性判定） | 不适用（逐规则命中判定；另有扫描面为空即判红的零命中自检） |
 
 背景事实（run_smoke 头注在案）：GDScript 运行时脚本错误不改进程退出码、不计入冒烟失败数、且静默中断所在函数剩余断言——2026-09-19 状态记录 83 实证「309 项 0 失败」实为断言未跑全。这是 SCRIPT ERROR 扫描必须存在于判定层的原因。
 
@@ -164,15 +164,29 @@
 |---|---|---|
 | S1 | 玩法代码禁 `randomize()`、自建 `RandomNumberGenerator`（D2 Rule 5） | **在位**（硬失败；扫描面 game/core + game/presentation） |
 | S2 | 禁全局随机函数 `randi()` / `randf()` / `randf_range()`——全局 RNG 绕开 RngService（specialist 补登） | **在位**（与 S1 同段硬失败；实例方法 `.randi()` 排除、`rng-seed-exempt` 豁免注记在案） |
-| S3 | core/ 禁 ConfigDB 外 data 表加载（`load(` / `preload(` / `ResourceLoader.load`；schema class_name 直引豁免）（D2 Rule 2） | **未落地**（脚本内仅 warning 级占位、不参与 fail 判定；且扫描路径 `core/` 自 2026-09-24 布局迁移后不存在——实际为 game/core，现行实跑恒零命中） |
+| S3 | core/ 禁 ConfigDB 外 data 表加载（`load(` / `preload(` / `ResourceLoader.load`；schema class_name 直引豁免）（D2 Rule 2） | **在位**（warning 级——class_name 直引误报需人工复核；路径已由裸 `core` 修正为 `game/core`，此前恒零命中静默空转；豁免 config_db.gd 自身＝数值单一事实源的正主） |
 | S4 | core/ 禁 `extends Control/Node2D`、禁 `.tscn` preload（D2 Rule 7） | **在位**（硬失败） |
-| S5 | core/ 禁裸引用 autoload 全局标识符（`ConfigDB` / `RngService` 直接写 = --script 模式 parse error）——构造注入 only（specialist 升格） | **未落地**（脚本 TODO 注记在案：grep 近似误报多，需 AST 级或精确白名单；已有真实反面案例） |
+| S5 | core/ 禁裸引用 autoload 全局标识符（`ConfigDB` / `RngService` 直接写 = --script 模式 parse error）——构造注入 only（specialist 升格） | **在位**（硬失败；形态＝标识符后紧跟 `.` 的成员访问，排除注释行与字符串字面量） |
 | S6 | core↔core 信号连接只许方法 Callable（禁 lambda 捕获 self）；发射者禁持有订阅者反向引用 | **未落地**（脚本 TODO 注记在案） |
 | S7 | B1 编排唯一性：B2/B3/B4 API 符号命中文件 ⊆ B1 文件集；A2/B3/B4 零相互直调（B1 AC-43） | **未落地**（脚本 TODO 注记在案） |
 | S8 | 结算路径 `await` 零命中（B1 结算/编排文件集）；字面量扫描 = warning 级 + 人工三要素复核（D2 AC-14 口径） | **未落地**（脚本 TODO 注记在案） |
 
 域外扩充两件（均硬失败在位）：**S9** 类型闸（`tools/audit_type_hints.py`，迭代 27 T5——产品码无类型容器/有值返回缺类型/参数缺类型）；**S10** 文件头闸（`tools/audit_file_headers.py`——头注 ≤8 行 + 日期/变更叙事黑名单）。
 
+### 三层承载与判定原则
+
+测试分三层，各有在册承载与入闸方式（细目见 `game/tests/README.md`）：
+
+| 层 | 判什么 | 承载 | 入闸 |
+|---|---|---|---|
+| L1 单元 | 最单元的逻辑代码对不对 | `game/tests/unit/` | `run_all.gd`（闸 02） |
+| L2 集成 | 跨系统闭环对不对 | `game/tests/integration/` | 同上（同一入口同一协议） |
+| L3 系统/场景 | 跑起来之后 UI 与场景切换对不对 | `game/smoke/*.tscn` 探针 | `probe_gate.sh`（闸 03/04） |
+
+**判定原则**：验收不能只是「跑一遍没崩」。三硬闸（退出码／脚本错误扫描／断言数下限）是判定的底线，
+缺一即判定有洞；「日志里写着 PASS」不作判据。另有两类静默失效必须机制性防范——规则扫描面为空
+（路径写错即恒零命中恒绿）与子进程输出丢失（本机 `OS.execute` 管道恒空），两者都以显式自检拦住。
+
 ### 依赖约束
 
 测试域禁止反向依赖呈现层具体实现。五闸及其调用的探针场景、审计脚本只允许依赖两类边界：
diff --git a/design/gdd/06-待办清单.md b/design/gdd/06-待办清单.md
index 346915ce..1df4a9e2 100644
--- a/design/gdd/06-待办清单.md
+++ b/design/gdd/06-待办清单.md
@@ -676,3 +676,21 @@
 
 ---
 
+
+#### 测试域遗留（2026-10-16 迭代 29 测试分层与门禁语义修正批登记）
+
+**现状**：迭代 29 把验收语义从「跑一遍没崩＝通过」扭到「三层完备＋判定可靠」，三硬闸（退出码／脚本错误扫描／断言数下限）已落地，L2/L3 从零建起承载。本批未收的余量集中登记在此，均不阻塞、不排期。
+
+| # | 事项 | 归属与要点 |
+|---|---|---|
+| 1 | **余下 3 个 core 模块仍零指名单测**：`board_data`／`reward_economy`／`skill_lottery` | 测试基建批。本批补了 minesweeper_rules／board_generator／config_db_resolver／config_db_cross_validator 四件；余三件按同一手法补（判据＝能否在 `--script` 模式不加载 autoload 验完） |
+| 2 | **render_gate 的 SCRIPT ERROR 扫描仍缺失** | 测试基建批。判定主体是 golden 容差与取证文件存在性，脚本错误不改退出码时无扫描面；本批只把矩阵状态如实记为「缺失」，收它的写法待裁 |
+| 3 | **静态扫描域 S7／S8 仍未落地** | 工程债批。S7＝B1 编排唯一性（B2/B3/B4 API 符号命中文件 ⊆ B1 文件集）；S8＝结算路径 `await` 零命中。本批补的是 S3 路径与 S5，S6 亦仍在 TODO |
+| 4 | **E 级卫生件**（test_kit static var 串台风险、4 套件自建断言出口、157 处 untyped 容器、76 处 lambda） | 工程债批。本批只统一了**新写**断言的出口，存量未动；test_kit 的 static var 是「并发跑批」的前置障碍（并发分层方案的前提） |
+| 5 | **行覆盖率度量缺失** | 基建评估项。Godot 无内建、第三方属新基建；现行补洞靠「零指名清单 + 人工判定」，是否引入度量待裁 |
+| 6 | **`smoke_all.gd` 拆分**（单文件承载 1127 项检查） | 工程债批。本批按契约只做入闸与改名裁点，不拆不重构；拆分登记在册 |
+| 7 | **parity 逐位一致比对的触面判定为粗粒度路径匹配** | 测试基建批。触面表含 `battle_orchestrator.gd`，改该文件即要求批准发起 MC；若嫌过重可精化到「是否改动取数/结算数值」的语义面 |
+
+**归属**：测试基建批／工程债批（不阻塞，不排期）
+
+**状态**：**在册待裁**（七条均为本批未收的余量；迭代 29 已交付的部分见实现报告与 architecture.md 测试与质量域节）