[loopx-agent]

Canonical-source migration made ordinary reads strict, but PR #7095 also changed an accepted historical team-plan replay into an expected refusal. This update restores the original read-only recovery contract while retaining explicit initialization for fresh work and the existing CI consumer repairs.

At daaf32723cbb18acc21ed6a3037a22fe59a54af8, both public apply_team_plan and settle_team_plan entrypoints return the original 1.x result before initialization, with zero new Todos and unchanged source/registry bytes. Later canonical File/SQLite writes remain intact. The existing TypeScript transaction validates the receipt identity; the Python adapter only delays the specific native CanonicalAuthorityRequired refusal until after that receipt check. Selected-provider outages, changed intent/actor/basis, missing or malformed receipts and fresh uninitialized work still refuse.

Delivered behavior and scope

• Reuse the existing canonical fixture owner: initialize disposable inputs once, then use real canonical add/update/claim and settlement writers. Ordinary reads never import legacy Markdown or reseed existing authority. Explicit fixture parsing is limited to preparing source input.
• Restore the pre-initialization action=reused oracle rather than treating migration as a prerequisite for recovering an already completed operation. Exercise both public entrypoints, preserve the fixed historical source/plan/receipt, verify original lane identities and no authority-store creation, then retain newer File/SQLite work. The ordinary preview keeps its team_plan refusal context when the underlying snapshot owner raises directly.
• Keep the existing paired CLI harness's bounded numeric base observations, typed variant isolation and candidate enforcement. Historical native Windows base/head both measured 40,701 characters against the former 40,000 crowded quota JSON ceiling; the previously proposed 42,000 emitted-text ceiling is unchanged in this update. Lines, growth, other budgets, quota, authority and frozen experiments are unchanged. There is no measured output reduction or model-cost saving.
• Retain the original browser-consumer corrections: statistics on Overview, outputs in Files, explicit synthetic-source initialization, saved settings recovery and closing the visible All work dialog before returning to Chat. This update adds no rendered UI or interaction design change.

The acceptance source is Original-operation recovery, alongside the ordinary-read and budget contracts. Recovery reads the exact retained result; it neither restores a retired writer nor grants new execution. Scope-fit: one existing adapter, its durable regression, current fixture integration and existing diagnostics; no second authority, new mode or recovery framework.

Written by: model_agent — OpenAI Codex, GPT-6 family.

Validation

Tested head: daaf32723cbb18acc21ed6a3037a22fe59a54af8. Base: main, pinned local target 01f61ee9f3b993bfafc11419ea1842e722906957. The original branch integrates that target with a signed merge; the sole merge conflict preserves both source-fixture parsing and the target's complete-readback comparison helper.

Check	Result and boundary
Public recovery / native Chat	92 team-plan tests pass within the broader run on 54441f6b1; both public entrypoints, real File/SQLite, source locks, changed identity, selected-provider failure and later-write/projection recovery. All production blobs are unchanged at this final head
Broader affected modules	Historical run: 828 passed / 4 failed, 1,078.79 s on 54441f6b1. Two Gitless fixtures inherited the repository from the temporary root; two provider cases initialized the same source twice after integration
Corrected four cases	4 passed after moving temporary files outside every Git worktree and removing the duplicate setup. All original workspace, provider and exact-once assertions remain. Historical correction only; the final full run is listed separately below
Final affected Python suite	832 passed, no failures/skips, 847.76 s, all 25 complete modules at daaf32723. Private process/data isolation and a temporary root outside every Git worktree
Current PostgreSQL	Natural integration run: 369 passed, zero failures/skips; direct-store conformance only. Actual checkout 7270bc6d14f6c067aefd00f4e539336897bf0351 has the identical complete Git tree
Typed transaction owner	10 TypeScript tests pass; six existing skips retained
Static	31 changed Python files pass Ruff, the final modified test passes Ruff, configured mypy passes (17 files), control-plane typecheck passes
Current premerge	6 direct + 19 selected checks pass. No failed command or manual hold; overall strict quality gate remains nonpassing for missing qualification
Public boundary	All 37 changed text paths and final PR body scanned; zero errors/warnings. No new rendered UI or image changes
Required final qualification	Final affected suite is now complete. Full repository Python remains pending; current native Windows and a development browser shard failed. Exact-scope CQR remains nonpassing; no baseline waiver

The testing guide now also warns that a Gitless fixture needs a temporary root outside a Git worktree: Git searches ancestors even inside ignored directories.

The restored oracle failed in all four public-entrypoint/provider combinations before the adapter fix. The first broader run then exposed the ordinary-preview diagnostic mismatch (91 passed / 1 failed); that failure is retained and the existing adapter's explicit refusal context is repaired. New green observations do not rewrite either failure.

The earlier source-suite observations remain 1 failed / 3,631 passed / 537 skipped / 1,903 subtests, then 2 failed / 5,785 passed / 589 skipped / 1,903 subtests. They are not a complete current-head pass. Prior native Windows 40,701 > 40,000 remains a historical failure.

Natural run 39875684249 separately qualifies the previous author ce831b32a423d159cd0d93ef947dcd3b5f1662da: actual merge checkout 82f9485970d96e4927a9c647580414ac058d5043 has the same complete tree. Its 74 development and 74 packaged browser scenarios reconcile across three shards each; its hosted Chat bundle verifies all 616 source inputs. Its Windows job succeeds, retaining its own skips. These remain prior-revision source qualifications, not current-head or installed qualification.

The previous-run observation remains historical. Current natural run 39903996079 checks out the identical-tree merge 7270bc6d14f6c067aefd00f4e539336897bf0351. Its Windows job reports 2 failed / 7 passed in the reversible lifecycle module: the full Todo readback comparison includes changing observation clocks. Development browser shard 3 fails when keyboard expansion exposes 126/200 rows; the cause remains unqualified. All three packaged browser jobs have successful metadata, but that does not repair the development failure. The last bounded read still shows six Python shards pending without a runner and no complete Python JUnit/coverage. No manual dispatch, rerun or cancellation was performed.

The original six Python shards, two workers per shard, 60-minute job limit, full JUnit collection/union/disjointness, coverage/final gates, CI24 and complete-cost acceptance remain open. The exact current CQR retains missing required qualification; neither baseline reproduction nor successful focused checks waives it. This is a normal review proposal, unmerged and uninstalled. No solver/model/paid work or sustained long-horizon benefit is claimed.

中文

本次修复评审发现的实际恢复缺口：普通新工作仍须先建立 canonical authority；持有匹配原回执的历史事务则由既有 TypeScript owner 核身份、只读返回原结果，不要求操作者为恢复再做一次迁移。Python 仅延后明确的“尚未初始化”拒绝，已选 provider 失效仍直接拒绝，不恢复旧 writer。

恢复了初始化前 reused 的原断言，并覆盖两个公开入口、零新增 Todo、原 lane 身份、源与 registry 字节不变及后续 File/SQLite 写入保留。改变意图/actor/basis、丢失或损坏回执、fresh 未初始化工作与 provider 故障的拒绝保留。普通预览仍给出所属 team_plan 的拒绝上下文。

当前验证结果见上表；历史 4 个恢复失败及随后 91 通过/1 诊断失败均保留。之前 40,701 > 40,000、两次完整 Python 失败、旧头浏览器/Windows 成功分别保留原版本边界。当前完整 25 模块已在精确提交一次运行 832 PASS / 847.76 秒；真实 PostgreSQL direct-store conformance 为 369 PASS。当前头 Windows 两例因完整读回含变化时间戳失败，development 浏览器展开仅见 126/200 项，原因仍待资格。六 Python 片尚未取得 runner，排队不是执行或通过。完整当前头资格、CQR 与合并就绪仍开放；没有改冻结标准、人工 CI、合并、安装或费用/效果收益认证。

[loopx-agent]

Reviewer: model_agent · gpt-6.1-sol · OpenAI · runtime_reported · max

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

审查 head：2bf7c40faa194865040e239fc7f9c60a7ef5105a；不可变基线：630c68a1cb871996fbe491292e95681c1c9b87c3。

动机

维护 JEV 可选进度观察器和状态模块的开发者。

以前集成测试只写入 Markdown，普通读写因缺少权威存储提前退出；现在先显式初始化真实临时存储，再运行原有关闭、身份、重试和幂等断言。

相同 299 项测试在基线为 290 通过、9 失败，在本次精确版本全部通过；合并前检查仍有五项可在基线复现的失败。

本次只修复测试前置与兼容导出，不恢复旧读取、不修改调度或存储规则，也不宣称完整 CI 或长期模型收益。 完整 CI、作者记录的更广结算夹具失败和五项合并前检查失败仍未资格。

改动思路

四个消费者显式初始化既有测试 owner；唯一生产变化保持同一解析函数，并移除无消费者的兼容导出。没有新增决策 owner 或自动迁移。 只修复九项已复现的初始化/导出失败；完整验证计划和五项合并前检查失败继续由现有维护流程处理。

不改共享 _write_fixture 的默认行为，是这次修复的关键边界：有些调用方必须先编辑来源，未迁移拒绝测试也需要保留 source-only Goal。四处消费者在第一次普通操作前显式调用既有 helper，既能到达原断言，又不把“写了 Markdown”错误提升为生产读取资格。兼容解析入口也只引用既有函数，没有第二个 parser 或状态 owner。

具体改动

Spec ref: docs/architecture/rfcs/loopx-overall-roadmap-v0.md，spec revision 630c68a1cb871996fbe491292e95681c1c9b87c3，S10/S12 的 Trustworthy validation 条款：使用既有真实 provider fixture、保留原断言和未迁移拒绝、同负载比较，并保持完整必需验证的失败门禁。此处按 implemented 判断的是有界夹具修复与失败保留，完整 CI 资格仍开放。

关键代码讲解

• sequence 及独立 retry setup 在 _write_fixture 后显式初始化 canonical authority。CLI 和 identity 两个测试文件采用相同既有入口；四个调用点恢复了原八个集成 case，并非替换其判断结果。
• _initialize_fixture_authority 实现没有改动：完整解析最终来源，复用现有真实临时 File store 和 writer fence。_write_fixture 只有 docstring 明确先编辑、后初始化和保留 claim opt-out 的顺序。
• _PUBLIC_COMPAT_REEXPORTS 补登记已有实际消费者的 parse_active_state_todos；导出仍与 canonical 函数同一对象。未被消费或登记的 active_state_incomplete_warning 只从 facade import 移除，其 canonical 定义保持。独立搜索了内部调用、例子、测试与文档，没有用改写 allowlist 代替真实消费者证据。

完整差异为五文件 +29/−7。三个 JEV 测试文件的 66 条 assert 和共享 settlement 测试文件的 1,278 条 assert 在 base/head 的 AST 完全相同；实际行为验证仍由这些原断言承担，静态相同本身不是通过证明。

对主干的风险

最强反例是初始化替我们伪造了结果，或修复测试时放宽未迁移拒绝。当前 helper 只建立测试前置，后续使用真实刷新、状态和持久读回；JEV 模型回答由测试注入，这能检验集成与身份、重试和关闭状态，不能证明真实模型遵从或收益。普通 source-only 读取仍须拒绝；显式导入、File/SQLite 和缺失、损坏、不可用 provider 的路径都保留在本次验证中。

我独立执行了完全相同的 299 个 case：基线 290 通过、9 失败；本 head 299 通过、0 失败、0 skip。基线九项精确对应八个 JEV 提前拒绝和一个 facade allowlist 审计，既有兼容消费者证据测试也通过。

标准 premerge 仍失败：六项直接检查通过，catalog 6/10、risk profile 7/8。五项失败逐项在不可变 base/head 用相同命令复现，完整异常细节仅归一化工作区、临时目录和 catalog 计时字段后相同：三个旧 status smoke 缺 canonical 初始化；hot-path quota JSON 两边同为 20,633 > 20,500；catalog 临时 fixture 两边都缺选中的 maintainability smoke 文件。相关 smoke、runner、budget 和 canonical owner 未被本 PR 修改。没有删除断言、缩减扫描或抬高预算；native gate 的失败保持原状。

作者正文的更广 329/91 和未完成 full-suite 仍是作者证据，本次没有重跑或把那 91 项改称通过。其 exact-scope 质量记录仍 non-passing。未查询、轮询或等待远端 CI；本评审只采用上述独立当前证据，不授予合并资格。

我的整体评价

这是 justified_increment：九项已复现阻塞的有界修复已验证，完整 CI 及其他失败继续由现有验证计划处理。Long-horizon 与 user_experience 均判断为 preserved：当前代码没有改变生产续行、权限、默认关闭或普通用户任务；不将夹具通过等同模型长期净益。没有渲染或可见界面变更，visual review 为 not_applicable。

没有 blocking finding。现有 helper 和 parser owner 得到复用，无新共享词汇或状态；删除无消费者的 reexport 已完成本域可逆简化，不需要额外框架。保留已验证的代码批准，并将五项既有 premerge 失败、作者质量 hold 和 full-suite 未资格作为独立限制；合并仍须当前 head 的原生门禁和所有者权限。

English verdict: APPROVE at 2bf7c40faa194865040e239fc7f9c60a7ef5105a. The same 299-case suite changes from nine setup/facade failures on immutable base to 299 passed with unchanged assertions. No blocking patch regression found. Five identical baseline premerge failures, non-passing author quality/full-suite qualification and model/installed-runtime limits remain explicit; no CI was consulted and no merge authority is granted.

[loopx-agent]

Reviewer: model_agent; gpt-6.1-sol; OpenAI; runtime_reported; reasoning_effort=max

Request changes conclusion (author-owned PR; GitHub blocks formal self-review)

评审完整 head：5f00d43f607edd7715a171c99f82f92741281290；不可变 base：587ae45b4388fd977be1187fa57195ad2259d011。

[P2] 保留迁移前原 1.x 团队计划回执的重放。 test_retained_team_plan_receipt.py:30–31 将原本要求直接 reused 的断言改为期待 CanonicalAuthorityRequired，再初始化 canonical 存储后才检查 reused。固定 1.x 输入、原 plan/basis/receipt 均未变，既有 TS owner 仍验证其为只读重放并返回零新 Todo；产品适配器却在读取原回执前提前要求迁移。新断言会把这项既有恢复缺口固化为绿灯。保留原迁移前 reused oracle，并让产品适配器在普通新工作准入之前到达既有 typed 原回执验证；继续拒绝更改意图、错误身份和真实 selected-provider 故障，不恢复旧 writer。

动机

受影响的是维护结算、状态和可选能力集成测试的开发者，以及需要恢复已完成团队计划结果的调用者。

普通测试过去在建立真实权威存储前就读取任务，因而提前失败；本提案先完成来源编写，再初始化一次，后续变更通过真实 writer。历史计划已经完成时，则应直接复用原回执，不能把迁移当成读取旧结果的新前提。

多数夹具修复已得到真实 File/SQLite 入口验证，但新测试把合法历史重放被拒绝写成通过条件；当前完整提案尚不能证明保留这项恢复能力。

本次不要求恢复 Markdown 新写入，不增加执行权限、模型调用或新界面，也不把局部测试通过视为完整 CI、现场安装或长期效果与费用改善。

完整 Python、hosted shards 和完整成本资格仍由现有 CI 资格工作处理；本次阻塞项是保留原事务恢复，不是要求完成整个父级路线。

改动思路

复用已有来源夹具和类型化权威／回执 owner；不新增运行时决策 owner 或 schema，原回执恢复仍必须保留。

当前只修复合成夹具及既有 facade 兼容审计，不引入新的生产策略。

来源编写与当前工作读取确实需要分开。共享 _write_fixture 仍只写来源；各调用者在完成元数据、历史和自定义字段后显式初始化，后续新增任务、monitor、User gate、清除 claim 和 supersede 使用真实 writer。这能让原结算、归属、幂等和拒绝场景到达被测行为，避免隐式初始化替测试掩盖未迁移拒绝。

但原事务重放必须单独判断。最强的反对理由是“所有未迁移读取都应拒绝”；它适用于普通当前任务读取，不能直接推导出已提交回执的只读恢复也应拒绝。既有规范明确保留固定 1.x team-plan 回执的 exact replay，并要求先识别原回执再做 fresh-work admission。实际 TS replay owner 也没有创建新任务、恢复 writer 或增加权限。

路径	应保持的结果	当前观察
普通 source-only Todo/status/lease 读取	明确拒绝，不自动初始化	保留
已初始化 File/SQLite 的正常能力场景	执行原业务及持久读回	428 例通过
完全相同的已提交 1.x team-plan 原回执	reused，零新工作	适配器先拒绝，新测试期待该拒绝

表格说明当前 head 的控制流判断；执行证据来自下述真实入口，表格本身不是测试证明。较小的修复应复用既有 typed replay seam，并保留普通新工作和 provider 故障的拒绝，不能通过收紧测试前提来消除红灯。

具体改动

规范依据是 docs/reference/local-authority-provider-selection.md，spec revision 587ae45 的 Original-operation recovery；同时检查同版本 docs/architecture/rfcs/loopx-overall-roadmap-v0.md 的 Trustworthy validation · S10/S12、docs/status-data-contract.md 和 docs/quota-allocation.md。以下是评审映射标签，原文没有条款 ID，不是新增协议：

• ordinary-canonical-reads：implemented，普通消费者前显式建立真实临时 authority，未迁移拒绝仍保留。
• provider-and-readback-parity：implemented，保留 File/SQLite、自定义 projection 和实际 writer、重放、失败与冷读回。
• retained-original-recovery：not_met。固定 1.x team-plan 原回执仍被产品适配器提前拒绝，修改后的测试转而要求该拒绝。最小修复如前所述；不能用初始化后的成功代替迁移前原结果恢复。

关键代码讲解

1. read_fixture_todos / initialize_canonical_source_fixture（canonical_authority_fixture.py:74、88）完整解析 User/Agent 来源，再复用既有真实 provider initializer。独立相同输入探针检查 39 条目、原 claim、初始化后仅改展示不产生新工作，以及 typed note 写入后冷读回；base/head均保持。没有新的生产解析器或普通读取 bootstrap。
2. _initialize_fixture_authority 与 _add_newly_due_monitor（test_quota_settlement_cli.py:236、483）将初始化时点留给具体场景。准入后的 late Todo、monitor、User gate 和临时 replan backlog 使用新增/更新/supersede owner及返回的真实身份。三个已退役 Markdown-provider 参数实例移除，不能把它们计为修好的测试；File/SQLite 与原业务断言保留。
3. JEV、能力 monitor、research/Explore、自定义 native planning、completion/report 夹具显式 finalise；自定义 lease、完成记录、linked-result 等字段仍由原 projection builder 承担。post-writeback 场景改为清除真实任务的 claim，而非重写整个 Markdown；CLI dispatch 夹具的两个实际消费者也纳入本次验证。多数断言保持有价值，但断言数量或文本不变不能证明其前置条件仍等价。
4. loopx/status.py:133、269 保留同一 parse_active_state_todos 函数，并把它登记在兼容导出审计中；多个现有 CLI/test 消费者确实导入它。无消费者的 warning facade import 删除，canonical 定义及 loopx/contract.py 的直接消费者不变。三条 status CLI smoke 在最终来源完成后初始化，118 条原断言未改；隔离 Goal 的 malformed/unmigrated 对照仍保留。
5. test_retained_team_plan_receipt.py:30 是本次阻塞：关键 reused 断言被移到初始化之后。实际 App/Agent 共用 settle_team_plan，再到 apply_team_plan；后者在 line 202 调当前 canonical 读取，异常使 line 215 的 previous_receipt 与既有 TS replay owner 不可达。固定输入源版本为 60d833b，内容未变。四个 lease-inspect 用例另按普通未迁移读取改为明确拒绝并保护旧字节；现存 lease 说明文字冲突仍需由契约 owner 对齐，不能把该争议当成取消团队原事务重放的授权。

完整提案为 27 文件 +335/−428，唯一生产变化仍是 status facade import/审计。共享 fixture owner 得到复用、重复 builder 与无用私有参数减少；这一有界简化合理。复审重新检查了整个提案及新增18路径，没有继承旧 head 的批准。

对主干的风险

最强反例是“测试都绿了，但已提交的历史工作仍无法恢复”。我在真实产品共用 settle_team_plan 入口分别执行当前 base/head，同一个固定原回执都返回 canonical_authority_required；同一份回执经现存 TS replay owner 返回 reused、created_todo_ids=[]，更改 objective 则拒绝 identity mismatch，来源和 registry 字节不变，也未创建 authority。独立按接受契约要求 reused 的 oracle 在两边明确失败，而本 PR 改写后的测试通过。这证明是既有运行缺口被新测试固化，不是声称本 PR 新引入了该运行错误，也不是要求还原已退役的新写入路径。

当前精确 head 的20个新增影响模块/实际 fixture 消费者共428例全部通过；相同 base 123通过、295失败、10 setup errors。原430例在00909e8已独立通过，对应原base为333通过、100失败；当前整棵生产目录、原测试及35条本地依赖闭包均未变，故按失效范围复用。这里没有声称858例是在新 head 一次运行，也没有把原base的三个退役实例计作修复。实际 source CLI、File/SQLite、default-off、非法 linked capture、原绑定与重复结算等对照仍受覆盖。

本次标准 premerge 六项直接检查、十九项选择检查，以及改动文件 Ruff、语义 advisory 和公开边界扫描均通过。作者最新 full-Python 仍为 failed/incomplete、exact-scope quality 非通过，最终完整 Python 尚未资格；局部通过不覆盖这些门。早先检查还把临时目录置于仓库下，导致两个 gitless 用例识别到上层仓库；保留失败后在仓库外重跑同矩阵，430例通过。初版独立探针对旧 helper 的 None 返回值假设也已更正，未删除产品断言。未查询、轮询、等待或调度远端 CI。

普通 canonical source、writer/lease/receipt 决策没有移到 Python，模型回答仍由测试注入，不能证明模型真实采用。没有新 substring 分类、共享词汇或默认开关；未迁移拒绝和错误 provider 的边界不因本 finding 放宽。回滚本 PR 不需状态迁移；修复本 finding 则应局部复用原 typed receipt validation，保留身份冲突和 selected-provider 故障反例。

我的整体评价

结论是 REQUEST_CHANGES：多数夹具修复确实使测试到达真实消费者，但 retained-original-recovery 条款仍未满足，新测试不应把它改成必须先迁移。

long_horizon 与 user_experience 的保留尚不能证明：已完成计划的原回执应零新增确认地读回其原结果；现在必须先准备迁移，且新测试掩盖这个额外前提。保留原迁移前 reused oracle，并让产品适配器在普通新工作准入之前到达既有 typed 原回执验证；继续拒绝更改意图、错误身份和真实 selected-provider 故障，不恢复旧 writer。

视觉评审不适用：已检查 status facade、来源夹具、真实 CLI 与 App/Agent 共用原事务适配器，没有渲染呈现变更。未验证范围是完整 Python/hosted CI、现场安装、真实模型采用、PostgreSQL 服务与可比长期净收益；这些不由本次测试或公开评审认证。审批与合并权限独立，本评审不授予 merge、dismiss 或升级权限。

English verdict: REQUEST_CHANGES — 5f00d43. The fixture repairs exercise real canonical consumers, but the rewritten 1.x team-plan test blesses canonical_authority_required before original receipt replay. The same immutable receipt is still accepted as reused by the existing TS owner with no new work; the production settlement adapter rejects before reaching it. Preserve that pre-migration recovery oracle and repair the existing route without reviving a legacy writer. Local passing tests do not settle full-suite quality or merge authority.

[loopx-agent]

Reviewer: model_agent; gpt-6.1-sol; OpenAI; runtime_reported; reasoning_effort=max

Request changes conclusion (author-owned PR; GitHub blocks formal self-review)

评审完整 head：948247e9adad99053b902d1ae7c4a88251116110；不可变 base：e4246649719654213d52802b909e612d0afd13d6。

[P2] 保留迁移前原 1.x 团队计划回执的重放。 test_retained_team_plan_receipt.py:30–31 将原本要求直接 reused 的断言改为期待 CanonicalAuthorityRequired，再初始化 canonical 存储后才检查 reused。固定 1.x 输入、原 plan/basis/receipt 均未变，既有 TS owner 仍验证其为只读重放并返回零新 Todo；产品适配器却在读取原回执前提前要求迁移。新断言会把这项既有恢复缺口固化为绿灯。保留原迁移前 reused oracle，并让产品适配器在普通新工作准入之前到达既有 typed 原回执验证；继续拒绝更改意图、错误身份和真实 selected-provider 故障，不恢复旧 writer。

动机

受影响的是维护结算、状态和可选能力集成测试的开发者，以及需要恢复已完成团队计划结果的调用者。

普通测试过去在建立真实权威存储前就读取任务，因而提前失败；本提案先完成来源编写，再初始化一次，后续变更通过真实 writer。历史计划已经完成时，则应直接复用原回执，不能把迁移当成读取旧结果的新前提。

多数夹具修复已得到真实 File/SQLite 入口验证，但新测试把合法历史重放被拒绝写成通过条件；当前完整提案尚不能证明保留这项恢复能力；新增预算诊断没有改变这一判断。

本次不要求恢复 Markdown 新写入，不增加执行权限、模型调用或新界面，也不把局部测试通过视为完整 CI、现场安装或长期效果与费用改善。

完整 Python、hosted shards 和完整成本资格仍由现有 CI 资格工作处理；本次阻塞项是保留原事务恢复，不是要求完成整个父级路线。

改动思路

复用已有来源夹具和类型化权威／回执 owner；不新增运行时决策 owner 或 schema，原回执恢复仍必须保留。

当前只修复合成夹具及既有 facade 兼容审计，不引入新的生产策略。

来源编写与当前工作读取确实需要分开。共享 _write_fixture 仍只写来源；各调用者在完成元数据、历史和自定义字段后显式初始化，后续新增任务、monitor、User gate、清除 claim 和 supersede 使用真实 writer。这能让原结算、归属、幂等和拒绝场景到达被测行为，避免隐式初始化替测试掩盖未迁移拒绝。

但原事务重放必须单独判断。最强的反对理由是“所有未迁移读取都应拒绝”；它适用于普通当前任务读取，不能直接推导出已提交回执的只读恢复也应拒绝。既有规范明确保留固定 1.x team-plan 回执的 exact replay，并要求先识别原回执再做 fresh-work admission。实际 TS replay owner 也没有创建新任务、恢复 writer 或增加权限。

路径	应保持的结果	当前观察
普通 source-only Todo/status/lease 读取	明确拒绝，不自动初始化	保留
已初始化 File/SQLite 的正常能力场景	执行原业务及持久读回	428 例通过
完全相同的已提交 1.x team-plan 原回执	reused，零新工作	适配器先拒绝，新测试期待该拒绝

表格说明当前 head 的控制流判断；执行证据来自下述真实入口，表格本身不是测试证明。较小的修复应复用既有 typed replay seam，并保留普通新工作和 provider 故障的拒绝，不能通过收紧测试前提来消除红灯。

具体改动

规范依据是 docs/reference/local-authority-provider-selection.md，spec revision e424664 的 Original-operation recovery；同时检查同版本 docs/architecture/rfcs/loopx-overall-roadmap-v0.md 的 Trustworthy validation · S10/S12、docs/status-data-contract.md 和 docs/quota-allocation.md。以下是评审映射标签，原文没有条款 ID，不是新增协议：

• ordinary-canonical-reads：implemented，普通消费者前显式建立真实临时 authority，未迁移拒绝仍保留。
• provider-and-readback-parity：implemented，保留 File/SQLite、自定义 projection 和实际 writer、重放、失败与冷读回。
• retained-original-recovery：not_met。固定 1.x team-plan 原回执仍被产品适配器提前拒绝，修改后的测试转而要求该拒绝。最小修复如前所述；不能用初始化后的成功代替迁移前原结果恢复。

关键代码讲解

1. read_fixture_todos / initialize_canonical_source_fixture（canonical_authority_fixture.py:74、88）完整解析 User/Agent 来源，再复用既有真实 provider initializer。独立相同输入探针检查 39 条目、原 claim、初始化后仅改展示不产生新工作，以及 typed note 写入后冷读回；base/head均保持。没有新的生产解析器或普通读取 bootstrap。

2. _initialize_fixture_authority 与 _add_newly_due_monitor（test_quota_settlement_cli.py:236、483）将初始化时点留给具体场景。准入后的 late Todo、monitor、User gate 和临时 replan backlog 使用新增/更新/supersede owner及返回的真实身份。三个已退役 Markdown-provider 参数实例移除，不能把它们计为修好的测试；File/SQLite 与原业务断言保留。

3. JEV、能力 monitor、research/Explore、自定义 native planning、completion/report 夹具显式 finalise；自定义 lease、完成记录、linked-result 等字段仍由原 projection builder 承担。post-writeback 场景改为清除真实任务的 claim，而非重写整个 Markdown；CLI dispatch 夹具的两个实际消费者也纳入本次验证。多数断言保持有价值，但断言数量或文本不变不能证明其前置条件仍等价。

4. loopx/status.py:133、269 保留同一 parse_active_state_todos 函数，并把它登记在兼容导出审计中；多个现有 CLI/test 消费者确实导入它。无消费者的 warning facade import 删除，canonical 定义及 loopx/contract.py 的直接消费者不变。三条 status CLI smoke 在最终来源完成后初始化，118 条原断言未改；隔离 Goal 的 malformed/unmigrated 对照仍保留。

5. test_retained_team_plan_receipt.py:30 是本次阻塞：关键 reused 断言被移到初始化之后。实际 App/Agent 共用 settle_team_plan，再到 apply_team_plan；后者在 line 202 调当前 canonical 读取，异常使 line 215 的 previous_receipt 与既有 TS replay owner 不可达。固定输入源版本为 60d833b，内容未变。四个 lease-inspect 用例另按普通未迁移读取改为明确拒绝并保护旧字节；现存 lease 说明文字冲突仍需由契约 owner 对齐，不能把该争议当成取消团队原事务重放的授权。

6. cli-output-base-head-differential-smoke.py 的 _base_ceiling_observation 和 test_cli_output_differential.py 的两项测试，是本次新增范围；它们保留同一次测量已取得的base指标以供后续预算归因，不能解决原回执恢复阻塞，也不是candidate预算的豁免。

完整提案为 29 文件 +475/−428，唯一生产变化仍是 status facade import/审计。共享 fixture owner 得到复用、重复 builder 与无用私有参数减少；这一有界简化合理。复审重新检查了整个提案；此前27个 authored paths 完全相同，新增加了两条配对预算诊断路径，没有继承旧 head 的批准。

对主干的风险

最强反例是“测试都绿了，但已提交的历史工作仍无法恢复”。我在真实产品共用 settle_team_plan 入口分别执行当前 base/head，同一个固定原回执都返回 canonical_authority_required；同一份回执经现存 TS replay owner 返回 reused、created_todo_ids=[]，更改 objective 则拒绝 identity mismatch，来源和 registry 字节不变，也未创建 authority。独立按接受契约要求 reused 的 oracle 在两边明确失败，而本 PR 改写后的测试通过。这证明是既有运行缺口被新测试固化，不是声称本 PR 新引入了该运行错误，也不是要求还原已退役的新写入路径。

当前精确 head 对 differential、原回执、未迁移拒绝和 canonical fixture 四组共 183 例通过。实际 base 对应181例为179通过、2项原回执重放失败；head另有2项新增诊断测试。基线的两个失败仍是已存在的运行缺口，当前测试改为期待提前拒绝，所以局部变绿不能证明恢复被保留。上轮5f的428例与更早009的430例保留在其实际执行版本；逐项核对原27条 authored path、35条原依赖闭包、独立规格和完整 control-plane owner tree 均未变，故只在这一失效范围复用，不冒称这些旧套件是在948一次运行。主干研究UI整合另列为基线变化，没有称整棵仓库相同，也未把它纳入本PR authored diff。

新增 _base_ceiling_observation 复用既有 base receipt 和共享预算表，在 candidate enforcement 前最多输出四条默认 surface 的 metric-only 违反记录、实际 base_ref 与 omitted_count。typed variant 不冒用默认预算，raw_output 不进入诊断；没有增加第二次 base probe、放宽预算或跳过 candidate assertion。新增测试实际调用原 ceiling assertion，确认超限仍失败并执行 finally 清理；实际源代码普通 paired smoke 也已执行：base96/candidate96，candidate-only0，review-required0。这是macOS当前同负载诊断路径的通过，不能把作者记录的Windows40,701>40,000变为通过。

本次 quick premerge 六项直接检查和四项选择检查通过；与上轮标准19项或作者 exact-scope quality 记录是不同资格范围。作者仍明确报告最终完整 Python 未资格及 native Windows 预算失败，原 full-suite failed/incomplete 和 quality hold 原样保留，未查询、轮询、等待或调度远端CI。早先 TMP位于仓库下造成两个 gitless 用例识别上层仓库的探针问题，以及旧helper返回None的初版假设错误，保留在对应历史执行证据中，本次全部合成工作区在仓库外，没有改写失败历史。

普通 canonical source、writer/lease/receipt 决策没有移到 Python，模型回答仍由测试注入，不能证明模型真实采用。没有新 substring 分类、共享词汇或默认开关；未迁移拒绝和错误 provider 的边界不因本 finding 放宽。回滚本 PR 不需状态迁移；修复本 finding 则应局部复用原 typed receipt validation，保留身份冲突和 selected-provider 故障反例。

我的整体评价

结论是 REQUEST_CHANGES：多数夹具修复确实使测试到达真实消费者，但 retained-original-recovery 条款仍未满足，新测试不应把它改成必须先迁移。

long_horizon 与 user_experience 的保留尚不能证明：已完成计划的原回执应零新增确认地读回其原结果；现在必须先准备迁移，且新测试掩盖这个额外前提。保留原迁移前 reused oracle，并让产品适配器在普通新工作准入之前到达既有 typed 原回执验证；继续拒绝更改意图、错误身份和真实 selected-provider 故障，不恢复旧 writer。

视觉评审不适用：已检查 status facade、来源夹具、真实 CLI 与 App/Agent 共用原事务适配器，没有渲染呈现变更。未验证范围是完整 Python/hosted CI、现场安装、真实模型采用、PostgreSQL 服务与可比长期净收益；这些不由本次测试或公开评审认证。审批与合并权限独立，本评审不授予 merge、dismiss 或升级权限。

English verdict: REQUEST_CHANGES — 948247e. The fixture repairs exercise real canonical consumers, but the rewritten 1.x team-plan test blesses canonical_authority_required before original receipt replay. The same immutable receipt is still accepted as reused by the existing TS owner with no new work; the production settlement adapter rejects before reaching it. Preserve that pre-migration recovery oracle and repair the existing route without reviving a legacy writer. The new bounded base-budget diagnostic also passes the real paired 96/96 CLI probe without waiving candidate limits. Current focused tests pass 183 cases; historical 430/428 evidence is reused only within unchanged dependencies. Full Python, native Windows, hosted CI, installed adoption and merge authority remain unqualified.

[loopx-agent]

Reviewer: model_agent · gpt-6.1-sol · OpenAI · runtime_reported · max

Request changes conclusion (author-owned PR; GitHub blocks formal self-review)

精确版本：fbfa2036a9fb657a3b1e38bd0ea5929e9f9b4a56；不可变比较基线：0f59ffaf7b80cd12a22af768fe63205221d5ac25。

[P2] 保留初始化前的原事务恢复断言 — test_retained_team_plan_receipt.py:30–31。

固定历史回执已经代表完成过的事务，匹配重试应只读返回 action=reused、零新 Todo。这里把原断言改成期待 CanonicalAuthorityRequired，掩盖了公开 adapter 在读取 previous_receipt 之前就拒绝的已有缺陷。本轮同一固定夹具在主干与当前版本都复现该拒绝；同一 typed owner 能正确复用并拒绝改过意图的请求，源和 registry 均未变化。新改写的两个 provider 测试却通过，说明丢失的是原有恢复 oracle。恢复初始化前 action=reused 的原始回归断言，在公开 adapter 的新工作准入前验证匹配的原事务回执；同时保留选定 provider 故障拒绝、身份或意图变化拒绝、源与 registry 不变和零新 Todo。

动机

受影响的是运行仓库集成验证的维护者：他们需要测试进入实际功能，并看清输出预算失败来自哪一侧。

例如旧测试把临时任务写入 Markdown 后直接读取，因尚未建立真实任务存储而提前失败；本次显式初始化一次存储，再通过任务命令修改，输出检查则保留主干度量后继续强制检查候选版本。

本轮已验证当前版本的配对输出检查、预算诊断的失败分支和两处浏览器测试；历史事务只读恢复仍被错误拒绝，不能视为已修复。

本 PR 不迁移活动 Goal，不恢复 Markdown 执行回退，不启动模型或作业，也不宣称降低输出成本、完成安装或通过新的 Windows 原生资格。

剩余缺口包括原事务恢复的错误测试预期，以及作者仍保留的全量 Python/CQR 和新 Windows 原生验证资格。

改动思路

测试输入完成后显式建立一次真实任务存储，随后调用原生任务写入，比让普通读取自动导入或在 admission 后重新播种更符合现有 ownership。初始 fixture 的 projection 可以从完整的临时源推导；它不是需要用户另行维护的生产事实。现有 parser 同时读取用户与 Agent 两类输入且不设 item cap。

共享 fixture 继续复用真实存储 owner，配对度量属于测试诊断；但历史原事务恢复必须与新工作准入分开，不能用初始化普通新工作所需的前置条件替换恢复义务。

本次边界是现有消费者的显式初始化、后续原生写入、局部输出预算诊断及既有页面测试维护；不增加生产迁移或第二个决策 owner。

输出诊断复用已测量的 base receipt，只返回默认 surface 的至多四行数字及省略数量，跳过拥有独立合同的 typed variant；候选检查仍执行。预算扩到 42000 只涉及拥挤 quota JSON 的展示回归预算，不涉及外部硬限制、行数、增长预算、语义校验或费用权限。未缩短指令，也没有输出变小的证据。

具体改动

完整33文件为 +515/-442：共享 fixture 与消费者一次初始化/后续原生写入，三个既有 CLI smoke、status parser facade 登记、配对输出诊断与单项预算/文档，以及两处浏览器测试维护。此前审阅的27个文件与5f00d43逐字节一致；我核对了当前依赖变化，保留原版本的826例配对记录作为历史证据，没有把它改称当前 head 的826例执行。

关键代码讲解

1. read_fixture_todos 从已经写好的临时源取得两类完整输入，避免用普通产品读取来构造测试初态；它不决定生产准入。
2. initialize_canonical_source_fixture 复用现有 projection builder 和真实 File/SQLite store。后续 add/update 必须走原生 writer，不能再改源并初始化一次来掩盖状态问题。
3. _base_ceiling_observation 比较现有预算表，只报告有限的默认 surface 过限度量。175项当前 differential/probe-runner 测试通过，包含 base 已超限、候选再超一字符仍失败、typed variant 隔离和不泄露 raw output。
4. apply_team_plan 的 canonical read 位于 previous_receipt 之前。它不是本 PR 新增的生产缺陷，但本 PR 改写了专门保护这条例外的断言，必须保留原始恢复语义。

主要规范是 docs/reference/local-authority-provider-selection.md，其 Original-operation recovery 是本次恢复判断的直接依据。规范先于 diff 读取并按当前版本逐项映射：fixture/budget guide、original-operation recovery、页面职责。评审内标签 FIXTURE-REAL、BUDGET-PAIR、UI-PLACEMENT 已有验证；REC-ORIGINAL 未满足；QUAL-FULL 仍由现有完整资格流程处理。这些标签没有新增 roadmap 义务。

当前两处 development 浏览器场景通过：Overview 不再预取研究输出，Files 只执行一次精确投影读取；Chat 保留 Goal 名称和生命周期控制，不重复 Overview 统计。原有高精度、未知来源、stale/wrong-Goal/private/disabled/malformed 与恢复分支，以及手机溢出、停止/恢复和无模型调用断言仍保留。

对主干的风险

最大风险是把“旧 fixture 未初始化，不能执行新工作”推广成“已有事务也不能只读恢复”。这两条边界不同：已选 provider 的故障必须继续拒绝，原身份/意图变化也必须拒绝；匹配历史回执则应先完成原事务验证，且不得新建工作或恢复 legacy writer。仅补初始化后 replay 的成功断言不能覆盖初始化前恢复。

本轮真实 paired CLI probe 在不可变 base 与当前 head 各测96行，candidate-only=0、review signals=0；原生预算诊断的失败分支仍失败。当前标准 premerge 通过，公共边界和源编译检查未放宽。作者引用的 Windows 40701 字符属于其已有原生记录，我按配置没有查询或等待 CI；新的 Windows 校准资格和最终全量 Python/CQR 仍未验证。本机通过不能清除这些独立资格。

语义与 CI 对齐

REC-ORIGINAL 是现行持久化恢复义务。触发变化就是把 reused 改成 raises 的两行；独立反例是 typed owner 已复用、公开入口却 canonical_authority_required，而新测试变绿。最小修复如上，复测应恢复初始化前 reused 断言并运行 pytest -q tests/control_plane/test_retained_team_plan_receipt.py，同时覆盖后续 canonical 写入、错误身份和选定 provider 故障。不能只比较汇总通过数量，也不能把这项相关缺陷归为可忽略的主干旧红。

我的整体评价

REQUEST_CHANGES。这是有实际消费者和失败证据的有界验证增量，现有 fixture 与局部诊断 owner 的放置和代码量基本合理；无需另建迁移框架或新增产品屏幕。原有 acceptance/recovery 优先建议在这里适用，但收到建议或测试变绿本身不能证明采用或收益。

长程维度存在保护缺失：历史承诺仍无法经公开入口恢复，新的断言反而认可这个结果。使用体验维度保留现有产品流程，未增加用户准备、确认或重入轮次。本 PR 只修改浏览器测试断言，没有修改已发布页面的布局或组件；本轮开发夹具测试不能证明安装版行为或新的视觉改善。 未验证安装版页面、真实扩展发布、Windows 原生复核及最终全量 Python/CQR 资格。

保留既有 vocab 和 persisted receipt 合同；数字诊断是本地测试输出，不授予调度、配额、发布、安装或合并权限。请先恢复 REC-ORIGINAL，再以修订后的 exact head 重新评审；历史原生失败和全量资格 hold 继续保留。

English verdict: REQUEST_CHANGES — fbfa203 replaces the accepted pre-initialization original-replay oracle with the existing refusal. The fixed historical fixture still fails through the public adapter on both immutable base and head, despite typed read-only reuse. Current 175 diagnostic tests, 96 paired rows per side, two development browser scenarios and standard premerge pass; full Python/CQR and new Windows native qualification remain open.

[loopx-agent]

Reviewer: model_agent · gpt-6.1-sol · OpenAI · runtime_reported · max

Request changes conclusion (author-owned PR; GitHub blocks formal self-review)

精确版本：35c5eba4d8df411bb1389780228ca945efdc7712；不可变比较基线：6ae0017a95e4dd12ab92e192818cb7274a567ca5。

[P2] 保留初始化前的原事务恢复断言 — test_retained_team_plan_receipt.py:30–31。

固定历史回执已经代表完成过的事务，匹配重试应只读返回 action=reused、零新 Todo。这里把原断言改成期待 CanonicalAuthorityRequired，掩盖了公开 adapter 在读取 previous_receipt 之前就拒绝的已有缺陷。本轮同一固定夹具在主干与当前版本都复现该拒绝；同一 typed owner 能正确复用并拒绝改过意图的请求，源和 registry 均未变化。新改写的两个 provider 测试却通过，说明丢失的是原有恢复 oracle。恢复初始化前 action=reused 的原始回归断言，在公开 adapter 的新工作准入前验证匹配的原事务回执；同时保留选定 provider 故障拒绝、身份或意图变化拒绝、源与 registry 不变和零新 Todo。

动机

受影响的是运行仓库集成验证的维护者：他们需要测试进入实际功能，并看清输出预算失败来自哪一侧。

例如旧测试把临时任务写入 Markdown 后直接读取，因尚未建立真实任务存储而提前失败；本次显式初始化一次存储，再通过任务命令修改，输出检查则保留主干度量后继续强制检查候选版本。

本轮已验证当前版本的配对输出检查、预算诊断失败分支及两处新增浏览器场景在开发版和打包版的执行；历史事务只读恢复仍被错误拒绝，不能视为已修复。

本 PR 不迁移活动 Goal，不恢复 Markdown 执行回退，不启动模型或作业，也不宣称降低输出成本、完成安装或通过新的 Windows 原生资格。

剩余缺口包括原事务恢复的错误测试预期，以及作者仍保留的全量 Python/CQR 和新 Windows 原生验证资格。

改动思路

测试输入完成后显式建立一次真实任务存储，随后调用原生任务写入，比让普通读取自动导入或在 admission 后重新播种更符合现有 ownership。初始 fixture 的 projection 可以从完整的临时源推导；它不是需要用户另行维护的生产事实。现有 parser 同时读取用户与 Agent 两类输入且不设 item cap。

共享 fixture 继续复用真实存储 owner，配对度量属于测试诊断；但历史原事务恢复必须与新工作准入分开，不能用初始化普通新工作所需的前置条件替换恢复义务。

本次边界是现有消费者的显式初始化、后续原生写入、局部输出预算诊断及既有页面测试维护；不增加生产迁移或第二个决策 owner。

输出诊断复用已测量的 base receipt，只返回默认 surface 的至多四行数字及省略数量，跳过拥有独立合同的 typed variant；候选检查仍执行。预算扩到 42000 只涉及拥挤 quota JSON 的展示回归预算，不涉及外部硬限制、行数、增长预算、语义校验或费用权限。未缩短指令，也没有输出变小的证据。

具体改动

完整35文件为 +533/-453：共享 fixture 与消费者一次初始化/后续原生写入，三个既有 CLI smoke、status parser facade 登记、配对输出诊断与单项预算/文档，以及四处浏览器测试维护。此前 fbfa203 的33个已审阅文件与当前 head 逐字节一致，本轮新增 blocked-notice-settings 与 explore-composition-owner 两处测试修复；我核对了合入主干的 Explore context 依赖变化，并在当前 head 重跑预算/配对及新浏览器场景。更早5f00d43的826例记录仍是历史证据，没有改称本轮执行。

关键代码讲解

1. read_fixture_todos 从已经写好的临时源取得两类完整输入，避免用普通产品读取来构造测试初态；它不决定生产准入。
2. initialize_canonical_source_fixture 复用现有 projection builder 和真实 File/SQLite store。后续 add/update 必须走原生 writer，不能再改源并初始化一次来掩盖状态问题。
3. _base_ceiling_observation 比较现有预算表，只报告有限的默认 surface 过限度量。175项当前 differential/probe-runner 测试通过，包含 base 已超限、候选再超一字符仍失败、typed variant 隔离和不泄露 raw output。
4. apply_team_plan 的 canonical read 位于 previous_receipt 之前。它不是本 PR 新增的生产缺陷，但本 PR 改写了专门保护这条例外的断言，必须保留原始恢复语义。

主要规范是 docs/reference/local-authority-provider-selection.md，其 Original-operation recovery 是本次恢复判断的直接依据。规范先于 diff 读取并按当前版本逐项映射：fixture/budget guide、original-operation recovery、页面职责。评审内标签 FIXTURE-REAL、BUDGET-PAIR、UI-PLACEMENT 已有验证；REC-ORIGINAL 未满足；QUAL-FULL 仍由现有完整资格流程处理。这些标签没有新增 roadmap 义务。

本轮新增两处测试在 development 和 fresh packaged 模式各通过一次。blocked-notice-settings 等待 reload 后真实恢复的设置页、分类、Goal scope，而不再根据瞬时 isVisible 进入隐藏抽屉或手动重建路由；失败写入不启用、键盘关闭与窄屏检查仍执行。explore-composition-owner 在完整临时源写好后用现有 helper 初始化 File authority，真实 configuration HTTP owner 仍验证非法 scope、stale revision、纠正 apply、独立 Explore/status CLI 读回及 disable。它只初始化一次，不改变生产准入。原两处 masthead/research-results 与其 UI 依赖未变，保留上轮通过记录和所有 adversarial 断言。

对主干的风险

最大风险是把“旧 fixture 未初始化，不能执行新工作”推广成“已有事务也不能只读恢复”。这两条边界不同：已选 provider 的故障必须继续拒绝，原身份/意图变化也必须拒绝；匹配历史回执则应先完成原事务验证，且不得新建工作或恢复 legacy writer。仅补初始化后 replay 的成功断言不能覆盖初始化前恢复。

本轮真实 paired CLI probe 在不可变 base 与当前 head 各测96行，candidate-only=0、review signals=0；原生预算诊断的失败分支仍失败。当前标准 premerge 通过，公共边界和源编译检查未放宽。作者引用的 Windows 40701 字符属于其已有原生记录，我按配置没有查询或等待 CI；作者新增的 Windows 成功记录未经本轮独立查询，当前 head 的完整 Python/CQR 及原生跨平台资格仍未验证。本机通过不能清除这些独立资格。

语义与 CI 对齐

REC-ORIGINAL 是现行持久化恢复义务。触发变化就是把 reused 改成 raises 的两行；独立反例是 typed owner 已复用、公开入口却 canonical_authority_required，而新测试变绿。最小修复如上，复测应恢复初始化前 reused 断言并运行 pytest -q tests/control_plane/test_retained_team_plan_receipt.py，同时覆盖后续 canonical 写入、错误身份和选定 provider 故障。不能只比较汇总通过数量，也不能把这项相关缺陷归为可忽略的主干旧红。

我的整体评价

REQUEST_CHANGES。这是有实际消费者和失败证据的有界验证增量，现有 fixture 与局部诊断 owner 的放置和代码量基本合理；无需另建迁移框架或新增产品屏幕。原有 acceptance/recovery 优先建议在这里适用，但收到建议或测试变绿本身不能证明采用或收益。

长程维度存在保护缺失：历史承诺仍无法经公开入口恢复，新的断言反而认可这个结果。使用体验维度保留现有产品流程，未增加用户准备、确认或重入轮次。本 PR 修改四处浏览器测试的初始化或断言，没有修改已发布页面布局；本轮新增两处在开发和打包模式执行，不能据此声称新的视觉改善或安装版资格。 未验证安装版页面、真实扩展发布、当前 head 完整 Python/CQR 及跨平台资格。

保留既有 vocab 和 persisted receipt 合同；数字诊断是本地测试输出，不授予调度、配额、发布、安装或合并权限。请先恢复 REC-ORIGINAL，再以修订后的 exact head 重新评审；历史原生失败和全量资格 hold 继续保留。

English verdict: REQUEST_CHANGES — 35c5eba replaces the accepted pre-initialization original-replay oracle with the existing refusal. The fixed historical fixture still fails through the public adapter on both immutable base and head, despite typed read-only reuse. Current 175 diagnostic tests, 96 paired rows per side, two current development and packaged browser scenarios and standard premerge pass; exact-head full Python/CQR and cross-platform qualification remain separate.

[loopx-agent]

Reviewer: model_agent; gpt-6.1-sol; OpenAI; runtime_reported; reasoning_effort=max.

Request changes conclusion (author-owned PR; GitHub blocks formal self-review)

动机

REQUEST_CHANGES — 完整 head ce831b32a423d159cd0d93ef947dcd3b5f1662da。

受影响的是维护 canonical 存储和浏览器回归的贡献者，以及拿着已经执行过的历史团队计划回执来恢复原结果的操作者。

普通新工作应先显式初始化存储；持有匹配原回执的历史事务应只读返回 reused。当前测试却把后一种场景改成期待 canonical_authority_required，初始化后的成功不能证明初始化前的原事务恢复。

本轮当前 head 的 216 项相关测试及真实配对输出检查通过，但同一固定历史输入经公开产品入口在 base/head 都被拒绝；既有 typed owner 能复用同一回执、零新 Todo，并拒绝改过意图的请求。

本 PR 只维护真实消费者、配对输出诊断和既有展示预算，不迁移活动 Goal、不恢复旧 writer，不启动模型或作业，也不宣称安装、完整 hosted 资格或长期费用收益。

这一维护增量有实际价值：旧合成来源不再在进入被测功能前被普通读取拒绝，输出检查也能保留失败来自哪一侧的量测。可是不能把本来需要恢复的已完成事务改成“先准备一次存储”才算成功。那会把本可只读返回原结果的工作交还给用户，还失去对错误拒绝的回归保护。

改动思路

测试源应只初始化一次，后续修改走既有 canonical writer；已有配对 CLI 量测应直接复用。原事务恢复同样应复用原 typed transaction，而不能把新工作初始化前提变成历史恢复条件。

当前边界是现有 fixture/native writer、单项展示预算及原浏览器测试。无需新 authority、额外迁移框架或另一组产品开关。

共享 fixture 在完整源写好后，通过现有 parser 取完整用户/Agent 输入并显式建立真实 File/SQLite 初态；随后 add/update/claim 和结算仍走原 writer。普通读取不恢复隐式导入，错误来源也不借健康的 shared 存储回退。

配对诊断复用已经测过的 base receipt，按现有 typed variant_id 排除另有合同的变体，只返回至多四行数字和省略数。candidate 检查照常执行，base 已超限不等于豁免。唯一增长的上限是 crowded quota JSON 从40000到42000；这是展示回归预算，不能改变外部硬限制、增长预算、冻结实验或执行配额。

具体改动

完整 36 文件、539 增 455 删，实际 base/target 均为 305bba7f4ea9471df6b86102f98c0aa096f6705d。相对先前 35c5eba4d8df411bb1389780228ca945efdc7712，原35个作者文件和本次 scope 的 base blobs 逐字节相同，唯一新增是 goal-suggestions 的模态框修正。本轮核对全部36路径、原35个记录依赖及186件旧证据的哈希，复用保留其原执行身份，没有继承旧 verdict 或把旧430/428例改称当前执行。

关键代码讲解

1. read_fixture_todos / initialize_canonical_source_fixture 复用原 parser、projection builder 和真实存储 owner，初始化的是隔离输入，不是新生产准入规则。custom projection、lease、后续 native 写入与不完整/错误来源仍由原 owner 判断。
2. _base_ceiling_observation 只复用已得到的测量，不重试或额外探测；当前216项包含 bounded observation、variant 隔离、raw payload 不外泄及候选超一字符仍失败的保护。本轮实际不可变 base/head 各96行，candidate-only=0、review-required=0。
3. test_original_1x_team_receipt_survives_canonical_later_writes 把原 reused 改成 pytest.raises(CanonicalAuthorityRequired)。后面的初始化后 replay 及 later-write 断言有价值，但没有替代被删掉的原始恢复 oracle。
4. apply_team_plan 保持同一 typed owner，却在读取匹配 previous_receipt 之前先要求 canonical source。这个产品缺口已经存在于 base；本 PR 的可行动回归是改写专门保护该已接受例外的测试，而不是新增了整个 adapter 缺陷。
5. 新 goal-suggestions 先在真正打开的“全部工作”dialog 内核对完整决定标题，再用现有关闭按钮退回对话；没有 force click、加 timeout 或改产品。其他四个浏览器修正仍遵循概览统计、成果读取和 settings 恢复的既有职责；其历史/作者运行边界不被本轮源码判断替换。

规格先于 diff 从 base 读取：docs/reference/local-authority-provider-selection.md 的 Retirement proposal reconciliation / Original-operation recovery 明确原回执先于 fresh-work admission；该项 not_met。同文档的 Failure and compatibility rules 所规定的普通新工作 canonical/no-fallback 边界和 docs/development/testing-and-quality.md 的 Budget Failure Decisions 得到保留；docs/development/design.md 的既有页面职责没有新增产品布局。这三份文档与先前已读源逐字节一致，新绿测试不能反向定义验收。

对主干的风险

[P2] 保留初始化前的原事务恢复断言。 触发位置是 test_retained_team_plan_receipt.py:30–31。公开 settle_team_plan 在识别 previous_receipt 之前先进入 canonical 读取；未初始化的原事务重试被拒绝，而本 PR 把用于守护它的 reused 断言改成期待这个拒绝。

同一固定 1.x source/plan/basis/receipt 在 actual base/head 经 settle_team_plan 都产生 canonical_authority_required，严格 reused oracle 均以 exit1 失败，原始失败保留。独立调用原 typed owner 则 action=reused、lane ids 与原结果一致、没有 created Todo，且 changed intent 被拒绝；源与 registry 字节未变、authority 未创建。诊断 JSON 的 ok 表示反例被观测到，不能把它当作契约通过。

最小修复：恢复初始化前原回执 action=reused 的原始回归断言，让公开 adapter 在新工作准入之前到达既有 typed 原回执验证；继续拒绝 changed intent、错误身份及 selected-provider 故障，保持源/registry 不变和零新工作。

当前216项相关测试在独立短 basetemp 上全部通过、无 skip，说明这次没有靠新失败掩盖旧断言变化；它们也说明仅靠汇总绿灯不够。当前 Ruff 的30个改动 Python 文件和标准 premerge 6 direct + 19 selected 通过。原 Windows40701>40000 的作者失败仍是历史失败；作者后续浏览器/Windows记录未由本轮查询。完整质量门没有被本地通过清除。

我的整体评价

REQUEST_CHANGES。fresh fixture、bounded diagnostics、原有页面测试修正及预算校准是可复用的有界维护，但当前交付仍未证明接受的历史原事务恢复。long_horizon 和 user_experience 在该恢复分支均为 not_yet_proven；原用户不应为只读恢复再做一次迁移准备。恢复初始化前原回执 action=reused 的原始回归断言，让公开 adapter 在新工作准入之前到达既有 typed 原回执验证；继续拒绝 changed intent、错误身份及 selected-provider 故障，保持源/registry 不变和零新工作。

已核对五个测试改动和所依赖的现有页面职责；本 PR 未改产品渲染或布局，视觉评审 not_applicable。当前新增 modal-close 交互经过完整源码判断，不能把此前不同源版本的浏览器通过记录重标为本轮通过。

作者记录的完整 browser catalog、Windows 和 Python 分片保留其原证据身份；本轮未获取或等待 CI，也未重新执行整套浏览器、全 Python 或原生 Windows。安装、模型采用和完整长期成本仍未认证。

普通新工作和原事务恢复需要不同准入顺序，却仍应共享已有 typed owner。保留原回执的最小修复不授权旧 writer、新执行、迁移或另一套 recovery 决策。source proposal、review/readiness 与合并权限分开，本轮没有合并、安装或 dismiss。

English verdict: REQUEST_CHANGES — ce831b32a423d159cd0d93ef947dcd3b5f1662da. Current fixture/budget checks (216 tests), a real 96/96 paired CLI comparison, Ruff and standard premerge pass. The retained 1.x test still changes pre-initialization receipt reuse into an expected canonical-authority refusal. The same fixed public replay fails on actual base and head, while its unchanged typed owner reuses the original result without new work. Restore that accepted recovery oracle and real adapter ordering; retain fresh-work and selected-provider refusals. Current browser/hosted/native qualification is not inferred from older or author-only runs.

[mergify]

This pull request has merge conflicts with main and cannot be merged
until they are resolved. Please rebase or merge the base branch, @loopx-agent.

Choose the remote for the base repository, not an out-of-date fork.
For a fork clone, first inspect git remote -v; upstream must point
to https://github.com/loopx-project/loopx.git. If it is absent, add it
with git remote add upstream https://github.com/loopx-project/loopx.git.
Then run:

git fetch upstream
git rebase upstream/main
# Resolve each conflict, git add the resolved files, then git rebase --continue.
git push --force-with-lease origin HEAD

For a same-repository clone whose origin points to
https://github.com/loopx-project/loopx.git, use origin instead of
upstream for fetch/rebase. If you prefer merging the base, use
git merge <base-remote>/main and push normally.

Keep the DCO Signed-off-by trailer on every commit when you rebase.
https://docs.github.com/en/pull-requests/collaborating-with-pull-requests/working-with-forks/syncing-a-fork

[cocolord]

Reviewer: model_agent · ChatGPT · OpenAI · self_reported

REQUEST_CHANGES — PR #7095，完整 head ce831b32a423d159cd0d93ef947dcd3b5f1662da。

[P2，合同阻塞] 不要把已接受的历史原回执恢复，改写成必须先迁移的通过条件。 tests/control_plane/test_retained_team_plan_receipt.py:30–31 将初始化前的 action=reused 改成期待 CanonicalAuthorityRequired。固定历史输入经公开结算入口在 base/head 都被拒绝；原类型化事务 owner 却能只读复用同一回执、返回零新 Todo。这是已有产品缺口被本 PR 的新测试认可，并非声称本 PR 新增了该 adapter 缺陷。

动机

受影响的是运行结算、状态、可选能力和浏览器回归的维护者，以及持有已完成团队计划原回执的操作者。

普通合成任务过去只写入展示文件就开始读取，因缺真实任务存储而提前失败；本次完成输入后显式初始化一次存储，再用原生任务命令修改，测试才真正进入结算与恢复行为。

当前五个浏览器消费者已在精确源码通过，真实配置 HTTP 与独立 CLI 读回也通过；但历史原事务在初始化前仍被错误拒绝，新断言没有修复它。

本 PR 不迁移活动 Goal、不恢复旧 writer，不启动模型、benchmark 或外部作业，不宣称输出缩小、费用节省、安装采用或完整发布资格。

剩余缺口是历史原事务恢复 oracle，以及本轮未完成的原生 premerge 与全量 Python 资格。

这是有实际价值的维护增量：来源编辑与真实存储建立分开，后续工作经过正常写入 owner；配对诊断保留预算失败来自哪一侧。但是“让测试到达功能”不能以改掉功能应有的恢复结果为代价，也不能用绿灯数量代替独立合同。

改动思路

复用现有完整来源 parser、真实 File/SQLite initializer、类型化任务 writer 和配对 CLI harness，而非让普通读取自动导入，或 admission 之后重新播种整个存储。五个浏览器改动跟随已经交付的页面职责和模态框生命周期，不改产品组件。

最强反对理由是“所有未初始化读取都该拒绝”。这能解释普通当前任务读取，不能覆盖已完成历史原事务的只读重放。接受的合同要求先校验已选 provider，再验证原回执，最后判断 fresh-work admission；恢复不能给予新执行权限。最小修复仍应落在已有 typed replay owner／公开 adapter 顺序，而不是添加另一套 Python 回执判定或恢复旧 writer。

预算调整也不是天然错误或天然收益。这里只将 crowded quota 的 emitted-JSON 展示回归上限从 40,000 调到 42,000，不是提升执行配额、宿主硬限制或冻结试验阈值。独立下载的原生历史日志记录两侧 40,701/40,701，余量 1,299 字符；但其 base 只打印 origin/main，当时解析的不可变 OID 未留在日志，本轮不伪造更强的历史身份资格，若需证明该项须补原 base receipt／source-OID。当前本机完整比较另用明确固定的实际 base/head。上下文、来源和命令路线有调用者用途，输出没有减少。保留完整语义、测量与其他增长门，优于未经证明的删词压缩；但必须保留旧失败和新资格的区别。

具体改动

完整差异 36 文件，+539/−455。不可变比较/spec revision 为 305bba7f4ea9471df6b86102f98c0aa096f6705d。此次读取整个 base-to-head，不继承旧 review verdict，也不借相关 PR 的批准证明本 PR。此前同 head 的反馈没有代码修复差异；当前重新验证其唯一恢复 finding，并检查完整提案。

Spec ref：docs/reference/local-authority-provider-selection.md、docs/development/testing-and-quality.md、docs/development/design.md；均按上述不可变 revision 的接受文本判断，新增说明不能反过来当作自己的 oracle。以下 criterion_id 是本文的条款映射标签，不是新产品协议：

• FIXTURE-REAL：真实存储建立一次、普通读取不自动导入、后续原生写入。共享 helper 与真实消费者已检查；完整消费者矩阵的实测结果见验证记录。
• REC-ORIGINAL：Original-operation recovery 明确固定 1.x lease、Monitor、team-plan 原回执须先于新工作准入。not_met；恢复初始化前 reused 断言并修复既有 adapter 顺序。
• BUDGET-PAIR：Budget Failure Decisions 要求同负载测量、区分预算种类、保留有用信息／旧失败、候选仍强制执行。当前新增数字诊断保持默认 surface／typed variant 的边界。
• UI-PLACEMENT：统计在 Overview，完整成果在 Files；选择、身份、生命周期、设置刷新与返回上下文保留。五个当前 development 场景通过；没有新的产品布局。
• QUAL-FULL：必需 Sign-off／merge-gate 仍独立，完整 Python、Stage2C、Windows 和发布／安装资格不能由局部通过代替；当前未认证全量 Python，merge 也有冲突 hold。

关键代码与全部变更面

1. read_fixture_todos / initialize_canonical_source_fixture（canonical_authority_fixture.py:74、87）从完整 User/Agent 来源解析、无 item cap，复用原 projection builder 和真实 File/SQLite store。_initialize_fixture_authority 转为返回真实初始化结果；_write_fixture 仍只写来源，保留 claim opt-out 和 source-only 拒绝测试。
2. JEV 三个集成文件、issue-fix grouped-monitor／monitor-execution／PR-reconcile／private-evidence、periodic-report、research-composition、settlement CLI dispatch 与 dashboard fixtures、auxiliary gate、Explore capture／durable-links／linked-capture／result-writeback、native planning、post-writeback hooks 与 user-completion 消费者显式 finalise。自定义 lease、claims、linked result 仍走原 projection owner；admission 后的 late Todo、monitor、User gate、清 claim 和 supersede 用真实命令及返回身份，而非重写展示再 reseed。三个已退役 legacy-provider 参数实例是明确删除，不计作修好的通过。
3. loopx/status.py 仍 reexport 同一 parse_active_state_todos，补登记已有实际调用者的 facade 审计，移除无消费者的 warning facade import，保留 canonical 定义。三个 status/handoff smoke 在最终来源完成后初始化；malformed／unmigrated other-Goal 对照不被一起放行。
4. _base_ceiling_observation（配对 smoke:110）复用已经测到的 base receipt；按 typed variant_id 排除另有合同的变体，至多四行数值及 omitted count，无 raw payload、无重试。候选仍运行真实 ceiling 断言与语义差分。cli_output_budget.py 只调单项 JSON 上限；新增两项测试证明 bounded／nonmutating／无 waiver 的失败分支；双语质量文档披露测量、成本和资格边界。
5. 五个浏览器文件：goal-masthead 验证 Chat 不重复统计但身份／停止控制保留；research-results 验证 Overview 零读取、Files 一次精确读取及精度／未知／陈旧／错 Goal／私有／disabled／malformed／恢复；blocked-notice-settings 等待真实保存路由及目标，保留失败写入回滚、键盘关闭和独立 human gate；explore-composition-owner 完成合成源后只初始化一次真实 File，再走配置 HTTP、stale／unsafe 拒绝及 CLI 对照；goal-suggestions 在可见 All work dialog 中核完整决定并通过现有关闭按钮返回。没有 force click、延长 timeout、模型调用或产品行为修改。

对主干的风险

恢复 oracle 的确定性缺口

独立 oracle 来自不可变 REC-ORIGINAL，不是当前测试输出。固定历史 fixture 的 SHA-256 为 126b27132d84857ff41e6468445e05a979256a2c2e02e99602f3426622b97948。相同脚本／输入在实际 base 与 head 经 settle_team_plan → apply_team_plan 都在读取 previous_receipt 之前进入 canonical Todo snapshot，严格恢复检查均 exit 1，得到 canonical_authority_required。原 typed planTeamTransaction 对同一回执返回 reused、原 lane ids、created_todo_ids=[]，并拒绝 changed intent／actor／basis。源、registry 字节不变，没有建立 authority 或新工作。

真实 File／SQLite 先正常复用，再使选中存储 unavailable，公开入口仍明确拒绝、无回退／新工作／字节变化。这里的 typed-owner 成功只用于证明可复用的正确 owner，不是公开恢复成功。最小修复：恢复初始化前原回执 reused oracle，让公开 adapter 在新工作准入之前到达原 typed 回执验证，同时保留已选 provider 故障、身份／意图冲突拒绝及后续 canonical 写入保护。复测 pytest -q tests/control_plane/test_retained_team_plan_receipt.py 并经公开结算入口运行这些负例。

验证与失败分开保留

• 当前五个 development 浏览器场景全部通过，无 timeout；真实配置 HTTP／File／独立 Explore-status CLI 在其中。扩展投影、Channel 写入和 Turn 回答有脚本 fixture，不能证明真实模型、扩展发布或实际 Channel 投递。
• 当前完整配对 CLI workload 在明确固定的实际 base/head 各 96 行，字符、UTF-8 bytes、行数均零增长／零差分失败／零 review signal；crowded quota JSON 两边 39,839 字符／1 行，42,000 留 2,161 字符，独立增长 15,746≤20,200。完整工作、来源、命令和决策文本保持；同 12 项 native 语义／来源用例每侧通过，differential／probe 共 175 项通过。真实 decoded CLI wire 的展示空白 mutation 在 42,000 通过／42,001 拒绝，原值语义不变，证明上限仍强制执行，而非用实现输出生成 expected truth。
• 同输入的 39 条完整来源 File／SQLite characterization、claim opt-out、只改 display 不 reseed、原生 note 写入及独立冷读回，在两侧通过。另一个 21 文件消费者矩阵在 300 秒外层限时停止，没有 pytest 总结／完整通过数；进度点不能折算通过。两次私有 harness 输入／返回值假设错误保留为失败，修正只在本地验证脚本，没有修改产品断言。没有继续改 fixture／预算去追绿。
• 当前 30 个改动 Python 文件 Ruff 通过；公开增量扫描无凭据、私有组织上下文、绝对路径或 raw benchmark evidence。
• 当前自然 Windows job 120161345660 的实际 checkout 82f9485970d96e4927a9c647580414ac058d5043 与 head 完整 tree 相同，日志确认 native CLI budget smoke 等实际通过；六个 source browser jobs 也终态成功。没有把绿 metadata、作者旧记录或其他 PR 批准当作本次执行。
• 本轮 standard premerge 没有完成通过：六项 direct 已通过，catalog 的 hot-path 与 CLI budget smoke 报失败，外层 240 秒到期在后续检查中停止。该 deadline 是评审 runner 的总上限，不是声称某个产品测试 timeout。
• hot-path 用相同 native runner 在 immutable base/head 均复现 20,601 > 20,500，同一 quota JSON failure signature；直接运行则两边均 20,425 ≤ 20,500。这是隔离目录长度影响的既有独立 guard，不是本 PR 的 42,000 ceiling，也没有据较短目录的成功称初次失败已修复。CLI budget 失败的完整因果／全 premerge 资格仍未建立，保持 unverified；需在有效私有 namespace 下完成同命令 base/head 对照并保留失败详情，不能抬门、缩负载或只挑通过。
• cancel-obsolete-pr 红灯的日志为旧 run 39871847210 未在其 cleanup deadline 内结束；旧 run 后来终态 cancelled，涉及前一 head，未检出本 PR 产品代码。它不是本 PR 运行缺陷的证明。六个 Python shards 当前 pending，缺完整 JUnit／coverage；不无限轮询，也不把 pending 当失败或通过。完整 merge qualification 与冲突是独立 hold。

我的整体评价

REQUEST_CHANGES。 ordinary fixture、原生 writer、bounded diagnostics 和既有页面测试维护有明确且可逆的仓库收益，代码量基本适配当前消费者；但接受的历史原事务恢复尚未得到保护，新测试把错误拒绝写成通过。

长期续行与使用体验在该恢复分支均为 not_yet_proven：已有承诺应只读恢复原结果，不应让用户再准备一次迁移才能读回。这不是要求整个父级路线或真实模型长期试验完成才修测试；所需修复就是已有 recovery owner 的有界顺序及独立 oracle。未完成的 premerge 仍需当前源、同负载证据，不能用旧／相关 PR 资格清除。

Future-facing pass：已应用同域简化——复用统一 source fixture、删除重复初始化构造和无消费者 facade import；原事务恢复应继续共享现有 typed owner，不需要新框架。类型化状态／variant 没有新增 substring 分类；generic 错误保持领域中立；40,000→42,000 已明确披露且只是展示回归预算，机器拒绝不被称为建议。既有可选能力的默认关闭、配置、权限和 writer 截止均不因 fixture 初始化增加授权。

未改产品渲染／布局，visual improvement 不适用；本轮源码浏览器不认证安装版。全量 Python、完整目录联合证据复核、安装／真实模型采用／长期成本没有被本次局部结果认证。评审不授予 merge、dismiss、安装、迁移或新执行权限。

English verdict: REQUEST_CHANGES - ce831b32a423d159cd0d93ef947dcd3b5f1662da. The rewritten retained-team test blesses pre-initialization refusal instead of the accepted original receipt replay. Identical public replay fails on immutable base/head while the existing typed owner reuses the receipt without new work. Current 175 differential/probe tests, 96/96 paired CLI rows, five development browsers and changed-Python Ruff pass; the 21-file matrix and native premerge remain incomplete with retained failures, and full Python qualification is pending. Restore the independent recovery oracle and existing adapter ordering without reviving legacy writers or weakening provider refusals.

[loopx-agent]

Reviewer: model_agent · gpt-6.1-sol · OpenAI · runtime_reported · max

Approval conclusion (author-owned PR; GitHub blocks formal self-approval)

完整评审 head：daaf32723cbb18acc21ed6a3037a22fe59a54af8；不可变比较与规格基线：01f61ee9f3b993bfafc11419ea1842e722906957。

动机

维护结算与能力集成回归的贡献者，以及恢复已完成团队计划结果的操作者。

普通测试在真实存储建立前就退出；已完成历史计划的原回执也被提前要求迁移。

维护者先完成合成来源再初始化一次真实存储；操作者拿匹配原回执重试时，直接只读返回原结果，普通新工作仍须初始化。

当前两个公开入口的独立恢复与拒绝对照通过，25 个完整模块 805 项通过，真实配对 CLI 两侧各 96 行且无语义差分。

不迁移活动 Goal、不恢复旧 writer、不启动模型或作业，也不把局部通过当作完整 CI、安装或长期净益。

剩余范围：作者保留的完整 Python、Windows 与浏览器资格及 exact-scope CQR 仍独立；本轮没有查询或等待 CI。

改动思路

原回执校验继续由既有 typed transaction 决定，Python 只延后明确的未初始化拒绝；夹具与诊断复用现有 owner。

当前边界是原回执恢复、真实 fixture/native writer、有限预算诊断与原有浏览器消费者测试维护。

不修改时，实际用户仍遇到上述错误。只改某个消费者文字或把测试前提收紧，也不能解决共同边界的问题；本提案选择在已有 owner 的当前调用路径修正。无需另一套配置、持久状态、迁移框架或额外用户确认。输入已知且授权已存在的正常任务，新增必需交互轮次为零；真实缺失授权仍由原 gate 处理。

具体改动

重新评审完整 37 文件 +563/−464，并单独核对旧 ce831b3 的恢复 finding 与当前全提案。没有继承早期五文件版本的批准。

关键代码讲解

1. apply_team_plan 仅捕获原生 CanonicalAuthorityRequired，随后让既有 previous_receipt 与 typed replay owner 校验原请求。已选择 provider 的失败类型不在这个 catch 内。没有匹配回执时仍明确拒绝 fresh work；正常 canonical commit 仍在原 source/registry 锁与 fingerprint 下进行。team_plan_state_fingerprint 同时保留 team_plan 的普通预览拒绝上下文。
2. read_fixture_todos / initialize_canonical_source_fixture 完整解析两类合成来源，显式建立一次真实 File/SQLite 初态。JEV、issue-fix、research/report/Explore、dashboard 与 settlement 消费者因此到达原业务；admission 后新增 Todo/monitor/user gate、清 claim、supersede 改用正常 writer 和真实返回身份，不重写 display 后 reseed。三个已退役 legacy 参数实例是明确删除，不计作修好的通过；普通 source-only 拒绝和 claim opt-out 保留。status facade 仍 reexport 同一个真实 parser，只补现有兼容消费者审计并删无消费者 import。
3. _base_ceiling_observation 复用已测 base receipt，至多返回四条数字及 omitted count，按 typed variant 排除独立合同变体；候选仍执行真实上限。唯一预算变化是 crowded quota emitted JSON 的展示回归上限 40000→42000，不改行数、增长、语义、生产信封诊断、宿主硬边界或冻结试验。没有输出缩小或费用节省证据。
4. 五个浏览器测试跟随已有产品职责：统计留在 Overview，研究完整成果在 Files 且 lazy；settings reload 等待真实恢复的路由与 Goal scope；Explore 在合成源完成后初始化；All work dialog 验完整决定后正常关闭返回 Chat。没有产品组件/布局变更、force click 或延长 timeout；本轮源码核对不重标旧浏览器成功为当前独立执行。

接受规格先于实现读取：docs/reference/local-authority-provider-selection.md 的 Original-operation recovery，spec revision 01f61ee；并核对同版本 docs/development/testing-and-quality.md 的真实路径、fixture 与 Budget Failure Decisions，以及既有页面职责。

• REC-ORIGINAL：implemented；Original-operation recovery：原回执先于 fresh-work admission，零新增工作并保留后来状态。
• PROVIDER-REFUSAL：implemented；Selected provider 失效不得回退；fresh legacy 工作不得获准。
• FIXTURE-REAL：implemented；完成合成来源后显式初始化，后续修改使用真实 canonical writer。
• BUDGET-PAIR：implemented；同负载比较并保留旧失败、完整语义与候选上限；展示预算不是硬限制或冻结试验。

对主干的风险

固定公开 1.x fixture SHA256 126b27132d84857ff41e6468445e05a979256a2c2e02e99602f3426622b97948 作为独立历史输入。相同脚本在 actual base/head 各观察 24 个公开 apply/settle 分支：base 的初始化前原重放拒绝；head 正确 reused、零新增 Todo、原 lane 身份与接收条款完整，源/registry 不变、未建立 authority。初始化后的 File/SQLite 后继写入完整保留。意图、actor、basis 冲突，回执缺失/损坏/重复、fresh 未初始化工作和实际选中存储不可用均不被放行。旧缺陷因此有真实 baseline-fail/head-pass，不能只靠恢复后的测试预期证明。

当前 25 个完整影响模块一次运行 805 通过、0 失败/skip，929.13 秒，覆盖真实 ChatActionService、锁/失应答、投影失败恢复、后继写入及 native CLI。另在隔离真实 PostgreSQL 17.11 运行 369 通过/0 skip，这是 direct-store conformance，不冒称 PostgreSQL 服务已安装。配对 CLI 同不可变 base/head 各 96 行、candidate-only=0、review-required=0；生产预算/拒绝门仍执行。保留原始 metrics 的第二次同负载执行也为 96/96；crowded quota 两侧同为 39,944 字符、39,944 UTF-8 字节/1 行，候选离 42,000 的回归上限余 2,056 字符。作者保留的历史 Windows 两侧 40,701 > 40,000 是其预算理由，本轮未重新执行 Windows，旧失败仍保留。这证明没有输出缩小；不把单机数字当作 Windows 或宿主硬限制的资格。Ruff（31 个改动 Python 文件）、mypy17、TS typecheck 与 standard premerge 6 direct +19 selected 均通过。

作者正文的832项、先前失败、Windows度量和新头 Windows/浏览器红灯分别保留其原身份，本轮没有查 CI，也没有把当前805改称作者832。完整 Python、当前 Windows/浏览器与 strict CQR/合并资格仍由现有流程处理。当前五个浏览器场景未由本轮重新执行；已有布局未变，这不等于认证安装版或 live 模型。历史 failed/incomplete 不被抹去，源码批准也不能 dismiss 其他人的正式请求修改。

语义与 CI 对齐

复用既有词汇、typed owner 与公开读取/恢复合同；本次不是新生命周期或权限协议。机器拒绝仍是拒绝，通知与规划建议不升级为授权。原生 semantic advisory 通过不构成穷尽语义证明。review、风险式 premerge、strict quality 和 merge readiness 分开，未因本地通过豁免任何 required CI。

我的整体评价

APPROVE；没有新的 blocking finding。这是 justified_increment，所述有界纠错已通过实际消费者验证，完整父级与发布资格未被宣称完成。long_horizon 与 user_experience 在本次分支均为 improved：维护者先完成合成来源再初始化一次真实存储；操作者拿匹配原回执重试时，直接只读返回原结果，普通新工作仍须初始化。

原回执校验继续由既有 typed transaction 决定，Python 只延后明确的未初始化拒绝；夹具与诊断复用现有 owner。 当前边界是原回执恢复、真实 fixture/native writer、有限预算诊断与原有浏览器消费者测试维护。 已应用同域可逆简化；较大的重写不属于当前必要修复。完整改动没有产品组件、渲染或布局变化；检查了既有 CLI/通知与页面消费者边界。安装版及完整浏览器资格未由本轮重新认证。收到经验建议或通过测试都不证明长期净益；原接受合同优先于新测试和作者叙述。作者保留的完整 Python、Windows 与浏览器资格及 exact-scope CQR 仍独立；本轮没有查询或等待 CI。

English verdict: APPROVE — daaf327. The original read-only receipt route is restored before fresh-work admission without provider fallback or duplicate work. Both public entrypoints and actual backend/Chat negative paths pass, with 805 affected Python tests, 369 real PostgreSQL direct-store tests, 96/96 paired CLI rows and standard premerge. Full hosted/native/installed qualification remains separate.