CODE-DESIGN-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-V005

• 事项：DEV-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-REPAIR-20260725-001
• 计划：DEV-PLAN-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-IMPLEMENTATION-R4
• task_id：TASK-DEV-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-REPAIR-PLAN-20260725-001
• submission_id：SUBMIT-DEV-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-REPAIR-PLAN-V005
• handoff_id：HANDOFF-DEV-ANA-SEMI-ROOT-PREFLIGHT-V007-REPAIR-PLAN-REVIEW-20260725-001
• 当前唯一角色：dev.developer.ana.cai
• 独立审核角色：dev.reviewer.ana.cai
• 专业设计：DESIGN-ANA-SEMI-ROOT-IDENTITY-GRANT-PREFLIGHT-V007=PASS/0/0
• predecessor：CODE-DESIGN-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-V004
• predecessor bytes/SHA-256：10483/445d9449b223a0d2abae79f95bdca09cfda8518c99b3b6e9f1517cd967c9628b
• predecessor plan audit：AUDIT-DEV-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-PLAN-V004=PASS/0/0
• failure audit：AUDIT-DEV-ANA-SEMI-ROOT-PREFLIGHT-ORCHESTRATION-V007-IMPLEMENTATION-FAILURE-001=PASS_FAILURE_PATH/2/2
• 当前状态：PENDING_INDEPENDENT_REPAIR_PLAN_REVIEW
• implementation authorization：NOT_ISSUED
• synthetic/database authorization：NOT_ISSUED/NOT_ISSUED

1. 修复目标与历史冻结边界

本版只定义一次**全新实现链**，关闭下列两个阻断：

1. BLOCK-IMPLEMENTATION-FAILURE-01=I12_INVALID_JCS_WINDOWS_PATH_ESCAPE；
2. BLOCK-IMPLEMENTATION-FAILURE-02=L0_PRIMARY_AND_CLOSURE_NOT_DURABLY_OBSERVABLE。

历史授权 AUTH-DEV-ANA-SEMI-ROOT-PREFLIGHT-V007-IMPLEMENTATION-20260724-001、attempt ...A001 和 run RUN-DEV-ANA-SEMI-ROOT-PREFLIGHT-V007-IMPLEMENTATION-20260724-001 已永久终止，禁止 retry、resend、A002、replacement 或 renewal。旧 I01—I12 只作不可变历史证据；旧 I13—I16 必须继续物理 absent，禁止覆盖、删除、重命名、修补或回填。

历史冻结向量：

本计划不授权写新源码、编译、L0/L1、synthetic、proof、config-editor、mysql、SQL、数据库、网络、credential、正式 target 或业务产物。

2. 根因合同

2.1 JCS 路径转义根因

旧 I07 的 Escape-JsonString 在 switch 内追加反斜杠转义后仍可能继续执行 switch 后的普通字符追加，实际 I12 出现 E:\\\mb-ms-doc...，严格 JSON 解析在 offset 274 报 Unrecognized escape sequence。旧 L0/L1 还各自持有类似序列化逻辑，存在实现漂移。

修复原则：新链只允许一个共享 JCS writer；所有 JSON 证据必须调用该模块，禁止复制第二套 escape/排序/写入实现。

2.2 L0 原因丢失根因

旧 I07 以 catch { exit 23 } 吞掉 exact L0 stop。实际 outer exit=23，但 I13 absent；既不能证明哪个 L0 check 失败，也没有在 I13 收口失败时升级 PACKAGE_UNCLOSED_STOP/27。

修复原则：L0 模块必须先以 CreateNew 持久化完整 I13，再抛出带固定 stop code 的 typed failure；outer 只有在 I13 严格解析、canonical 重算和状态校验全部通过后，才可返回 23。I13 absent/invalid/无法复验时唯一 final exit=27。

3. 全新 target universe

全新实现 run：RUN-DEV-ANA-SEMI-ROOT-PREFLIGHT-V007-REPAIR-IMPLEMENTATION-20260725-001。

所有 target 均为新路径，禁止复用旧 I01—I16：

target count=20，formal target count=0。R01—R20 和新 run root 必须在未来授权前全部 absent；任何预存在、reparse/path escape 或路径漂移均 STOP。源码和证据只允许 CreateNew/no-overwrite；失败后保留已物化子集，禁止修补或回填。

4. 单一 JCS writer 合同

R02 唯一导出下列三个函数，R05、R06、R08 必须从同一绝对解析路径加载，且模块在加载前后均只能出现一个 module instance：

1. ConvertTo-AnaSemiJcsUtf8BytesV001(object value) -> byte[]
2. Write-AnaSemiJcsCreateNewV001(string path, object value) -> fixed result object
3. Test-AnaSemiJcsFileV001(string path, string schemaId) -> fixed result object

固定规则：

• object key 按 UTF-16 code unit 的 ordinal 升序；duplicate key、大小写碰撞或非 string key STOP。
• 只接受 object、array、string、bool、null 和有符号/无符号整数；float、decimal、NaN、Infinity、自定义对象或超界整数 STOP。
• string 逐 Unicode scalar 处理：quote 输出 \"，backslash 输出 \\，并支持 \b、\t、\n、\f、\r，每个输入 scalar 只消费一次；U+0000—U+001F 其余字符使用小写 \u00xx；非控制 Unicode 输出原始 UTF-8；未配对 surrogate STOP。
• 输出严格 UTF-8、无 BOM、无尾 LF、无空白格式化。
• 写入使用 FileMode.CreateNew；write 后 Flush(true)、关闭 writer、独占只读复开；严格 JSON parse 后以同一 writer 重序列化并要求 bytes 完全相等，再记录 bytes/SHA-256。
• 任何 count/type/property/write/flush/close/reopen/parse/reserialize/hash 不确定均 STOP；禁止把异常对象或非预期 pipeline output 混入结果。

以下 canonical byte preimage 及 hash 固定进入 R07，并由 R16 独立验证：

负向向量至少覆盖：单反斜杠非法 escape、重复 escape、trailing LF、BOM、duplicate key、non-ordinal key order、浮点、未配对 surrogate、CreateNew 冲突和重序列化 byte drift。R16 每行必须记录 case_id,expected_status,actual_status,expected_stop_code,actual_stop_code,preimage_bytes,preimage_sha256，全部匹配才 status=PASS。

5. L0 primary 与 closure 持久化合同

5.1 R14 先落盘

R05 的 L0 检查必须累计完整 ordered check rows，并确定唯一 primary_stop_code。离开 L0 之前必须调用 R02 CreateNew 写 R14；R14 顶层固定键：

schema_id,run_id,status,primary_stop_code,failed_check_id,check_count,passed_check_count,failed_check_count,checks,runner_assembly_path,runner_assembly_bytes,runner_assembly_sha256,expected_vectors_path,expected_vectors_bytes,expected_vectors_sha256,created_at

枚举：status=TEST_PASS|TEST_FAIL；PASS 时 primary_stop_code/failed_check_id=null,failed_check_count=0；FAIL 时二者非空、failed_check_count>=1，且 primary_stop_code 必须由第一个 ordinal check failure 唯一映射。R14 成功写入、复开、严格解析、canonical byte equality 和 hash 完成后，R05 才可返回 PASS 或抛出固定 typed L0 failure。禁止先 throw 再尝试补写。

5.2 outer exit 23/27 判定

R08 禁止 catch { exit 23 }。捕获 L0 typed failure 后按以下顺序：

1. 验证异常类型、primary_stop_code 与 failed_check_id 均属于 R07 固定枚举；
2. 要求 R14 materialized；
3. 以 R02 严格验证 R14 schema/canonical bytes/hash；
4. 要求 R14 status=TEST_FAIL 且 exact primary 与异常完全一致；
5. 只有 1—4 全部 PASS，才设 primary_exit_code=23,primary_evidence_state=VALID_TEST_FAIL,closure_state=CLOSED,final_exit_code=23；
6. R14 absent、invalid、内容不一致或其写/复开/hash 状态不确定时，保留 primary_exit_code=23，但设 closure_state=PACKAGE_UNCLOSED,final_exit_code=27。

R15 在 L0 primary failure 下必须 absent=NOT_RUN_UPSTREAM_STOP。R18 必须在退出前以 CreateNew 尝试持久化；若 R18 自身无法安全物化，则不伪造 closed package，由 native terminal 回报 PACKAGE_UNCLOSED/27 和已物化矩阵。

R17 以纯内存 reducer 验证以下固定 preimage，不启动子进程：

6. R18 terminal schema 与退出总映射

R18 顶层 key 集合固定且不得缺失/增加：

schema_id,run_id,primary_phase,primary_exit_code,primary_stop_code,primary_evidence_target_id,primary_evidence_state,closure_state,closure_stop_code,final_exit_code,materialized_target_ids,absent_target_ids,outer_process_count,csc_process_count,harness_process_count,synthetic_child_process_count,network_count,database_count,credential_count,status

类型与枚举：

• schema_id=ANA-SEMI-IMPLEMENTATION-TERMINAL-JCS-V001；run_id 为本版固定 run。
• primary_phase=PASS|PRECHECK|CSC|PUBLISH|ASSEMBLY|MODULE|L0|L1|PACKAGE。
• primary_exit_code/final_exit_code=INT32，只允许 0|11..28；PASS 为 0。
• primary_stop_code/closure_stop_code=string|null，FAIL 时按 R07 固定 enum。
• primary_evidence_target_id=null|R13|R14|R15|R16|R17。
• primary_evidence_state=NOT_APPLICABLE|VALID_PASS|VALID_TEST_FAIL|ABSENT|INVALID。
• closure_state=CLOSED|PACKAGE_UNCLOSED|RECEIPT_CREATE_STOP|MANIFEST_CREATE_STOP。
• materialized_target_ids/absent_target_ids 为 ordinal 排序、无重复、全集恰好 R01—R20 的 string array。
• 五个 process/access count 均为非负 INT32；本实现阶段 harness/synthetic/network/database/credential 必须为 0。
• status=PASS|PRIMARY_FAILED_CLOSED|PACKAGE_UNCLOSED。

退出优先级沿用 V004 的 0 与 11—28 总映射，新增约束只收紧 closure：任何 primary 若其必须证据 absent/invalid，均不得保留原 primary exit，唯一 final exit=27；未知状态仍为 28。尤其 L0：23+VALID_TEST_FAIL+CLOSED -> 23；23+ABSENT|INVALID|unknown -> 27。

7. Manifest、状态矩阵与 hash DAG

R20 固定列序：

run_id,target_id,artifact_role,media_type,schema_id,path,expected_presence,materialized,exists,status,bytes,sha256,created_at,upstream_stop_code

• 主键 (run_id,target_id)；恰好 20 行、R01—R20 各一行；path 唯一。
• expected_presence=REQUIRED_ON_PASS|CONDITIONAL_ON_PRIMARY|SELF。
• status=SOURCE_FROZEN|COMPILER_STAGING_READY|COMPILER_STAGING_PARTIAL|BUILD_PUBLISHED|RAW_CAPTURED|PROCESS_RESULT_PASS|PROCESS_RESULT_FAIL|TEST_PASS|TEST_FAIL|TEST_OUTPUT_INVALID|CONTRACT_PASS|CONTRACT_FAIL|TERMINAL_PASS|TERMINAL_FAIL|ATTEMPTED_NO_OUTPUT|RECEIPT_FINALIZED|MANIFEST_SELF_EXTERNAL_HASH|NOT_RUN_UPSTREAM_STOP。
• materialized/exists 必须同值。materialized=true 时 bytes/SHA-256/created_at 非空；R20 self 行例外：materialized/exists=true，bytes/SHA-256 为空，外部 hash 只进入 native handoff/audit。materialized=false 时 bytes/SHA-256/created_at 为空，upstream_stop_code 非空。
• R14 在 L0 closed failure 为 TEST_FAIL；R14 absent/invalid 的物理状态分别为 NOT_RUN_UPSTREAM_STOP 或 TEST_OUTPUT_INVALID，R18 必须 PACKAGE_UNCLOSED/27。
• R15 在 L0 failure 下为 NOT_RUN_UPSTREAM_STOP。R16/R17 必须在调用 L0 前完成，避免 L0 failure 丢失修复合同的验收证据。

唯一 DAG：

V007 design/audit + V005 plan/audit → R01-R08 → R16/R17 contract validation → csc/R09/R11/R12 → CreateNew publish R10 → R13 → unique LoadFile(R10) → R14 → R15 → R18 → freeze R01-R18 → R19 → R20(self hash blank) → external R20 bytes/hash。

L0 failure 的 closed DAG 为：...→R13→R14(TEST_FAIL)→R18(final 23)→R19→R20→external hash，R15 absent。L0 evidence absent/invalid 的 safe terminal 为：...→R13→attempt R14→R18(final 27)；只有 R18 后续 receipt/manifest 安全闭合时才可物化 R19/R20，否则 native terminal 回报已物化子集。禁止 receipt 引用自身或 R20 hash；R20 记录 R19 hash，R20 自身 hash只由外部 handoff/audit记录，DAG 无环。

8. 未来单次实现边界

本计划审核 PASS 后，开发者只能向 management.admin 申请一个绑定新 run、新 authorization、新 attempt 和 R01—R20 的单次实现授权。授权未签发前仍为零物化、零进程。

未来实现允许的成功进程上限：outer PowerShell exactly 1，csc 0..1；L0/L1/R16/R17 均在 outer 内执行；harness/synthetic child/proof/config-editor/mysql/SQL/database/network/credential 均为 0。R03/R04 在本实现阶段只作静态 source，不执行。

任何失败立即 fail-closed；不得删除、覆盖、重命名、重跑、补造、回填或复用 run。Git 继续是 INFORMATIONAL_NON_BLOCKING_BY_HUMAN_OVERRIDE，不得 clean、stage、revert 或把其重新设为 STOP gate。root_never_readonly_proven=true，BATCH-001 与全部市场/业务动作继续 HELD。

9. 独立审核请求

请 dev.reviewer.ana.cai 只审核本修复计划，不执行源码、compiler、测试或数据库，并独立确认：

1. 旧 A001/run/I01—I16 的不可变与 absent 边界无回退；新路径和 run 不复用历史 target。
2. R02 是唯一 JCS writer；Windows path/quote/tab/Unicode 固定 preimage 的 bytes/hash 可复算，负向合同可拒错。
3. R14 先持久化再抛 typed L0 failure；exit 23 只对应 VALID_TEST_FAIL+CLOSED，absent/invalid 必定 exit 27。
4. R18 schema、R01—R20 status/materialization/null/upstream 真值、DAG 和 self-exclusion 唯一且无环。
5. 本计划不构成实现、synthetic 或数据库授权；审核角色与开发角色独立。

审核 PASS 后唯一下一步：把 V005 bytes/hash、审核 PASS、旧证据不变和 R01—R20/new run absent 的事实提交 management 请求新的单次实现授权。审核 HOLD 时只允许 append-only 新计划修订，不得物化任何实现 target。