merge(master)＋禁令残留清扫：并回 master 新进提交（gdstyle 闸件批/S9 卡/iter36 收尾），冲突 test-conventions §8.4 保重编号版＋吸收 master 新条款「判据绑可观测提交面」（措辞去变异化）；随批清扫——待办清单 gdstyle/S9 两条目「变异验证义务」改撤销证明口径；S9 活卡全量改写（契约 3/T2/D2/D4/来源行/对照表列头/审计面/两轮 grilling 记录——旧「闸件豁免」定界标注经用户全项目禁令推翻，验证义务统一撤销证明，禁令条款原文保留）

design/engineering/test-conventions.md

@@ -1,7 +1,7 @@
 # 测试规范（Dungeon Sweeper）
 
 > 约束范围：`game/probe/ 与 game/sim/`、`game/tests/` 与一切场景探针的编写与验收。
-> 分工：测试**执行许可**（什么时候允许跑测试）归 AGENTS.md「硬性红线·测试执行两入口铁规」；**跑什么闸、什么顺序**归 `tools/run_all_gates.sh`（脚本即清单，本文与 AGENTS.md 均不另列）；本文管测试怎么写、怎么算合格。
+> 分工：测试**执行许可**（什么时候允许跑测试）归 AGENTS.md「硬性红线·测试执行两入口铁规」；**跑什么闸、什么顺序**归 `tools/run_all_gates.sh`（脚本即清单，本文与 AGENTS.md 均不另列）；本文管测试怎么写、怎么算合格。每件测试工具**是什么、判什么、怎么单独跑、什么时候适合单独用**——见 `game/tests/README.md`（测试工具手册），本文不重复工具介绍。
 
 **写任何测试前必须通读本文。**
 
@@ -102,6 +102,7 @@
 - **修改既有行为**：只撤销该改动（回退该 hunk 或该处接线）→ 跑能覆盖它的最窄测试 → 对应断言必须变红 → 还原 → 复绿。
 - **新增行为**：只撤销该新增（回退该 hunk 或删去该新增段）→ 跑能覆盖它的最窄测试 → 对应断言必须变红 → 还原 → 复绿。
 - **撤销后仍然绿**：说明断言没钉在这个改动上，判缺漏；不得用「代码能跑通」代替。
+- **判据绑可观测提交面**：端到端断言的判据要绑「被测改动特有的可观测提交面」（信号发射、事件、入参、绘制记录），不绑多层防御之后的终态——否则改动被下游兜底吸收时终态不变、断言假绿。例：探针「雾不扩可点域」首版只看屏／选路态终态，命中面放宽后断言仍绿；改绑 `route_chosen` 发射面后即红。
 - 每张任务卡至少一条撤销证明记录；持久化、生命周期、存档、跨战共享这类接线逐行做。
 
 ### 8.5 禁止削弱测试