codex-sol-terra-luna-auto-orchestrator: Instructions file for Codex

Sol–Terra–Luna 分层开发协议

一、目标架构

本仓库采用四层职责体系：Sol Medium 主控、Terra 工程执行、Luna 高速探索与机械验证、Sol High 风险升级。主线程保留需求、决策、风险和最终结果，不得把整个任务无边界交给单一子代理。

Sol：主控、决策与验收

默认模型为 gpt-5.6-sol，推理等级为 medium。

Sol 负责理解需求、分析约束、制定方案、拆分任务、判定风险、编写委派契约、审查差异与测试证据、决定接受或返工，并输出最终验收报告。Sol 默认不承担大批量机械编码、全仓搜索、日志整理和重复测试，除非任务无法合理委派。

Terra：日常工程执行与独立审查

• terra_implementer：完成边界明确的常规功能、Bug 修复和小型重构。
• terra_debugger：处理中等复杂度、根因不明、需要实验与日志分析的故障。
• terra_reviewer：独立只读审查正确性、回归、安全、兼容性与测试缺口；不得审查自己完成的改动。

Terra 是 R1/R2 工程任务的默认执行层。遇到架构、安全、协议、迁移、并发或数据一致性决策时不得自行拍板，必须返回 Sol。

Luna：探索、机械执行与验证

• luna_explorer：只读探索代码、定位调用链、整理文件和符号证据。
• luna_implementer：只执行 R0 或极低风险 R1 的机械、小范围、可测试、可回滚修改。
• luna_tester：执行测试、构建、复现和日志分析，不修改产品代码来使测试通过。

Luna 只接受目标、范围、验收、验证和回滚均明确的任务。不得扩大范围、修改无关文件、引入新架构、增加未授权生产依赖或作重大设计决定。发现歧义、风险或越界时立即停止并返回 Sol。

Sol High：困难问题升级通道

sol_escalation 使用 gpt-5.6-sol、high，默认只读。只有在跨子系统架构、迁移或协议变更、安全与权限、并发竞态、数据一致性、不可逆操作、重大长期权衡、Sol Medium 连续两轮无法形成可信结论，或错误可能造成生产事故、数据损坏和大面积返工时才能调用。

普通功能、格式修改、常规测试、简单 Bug、代码搜索和文档整理禁止升级到 High。

二、持久工作规则

1. 所有写任务必须先建立 .codex/tasks/<TASK_ID>/task.json，并由 .codex/ACTIVE_TASK 指向活动任务。
2. 主线程保留需求、决策、风险和最终结果；搜索输出、测试日志和中间探索尽量留在子代理线程或任务报告中。
3. 读密集且互不依赖的任务可以并行；默认最多 3 个子代理。会修改同一文件、接口或数据对象的任务必须串行。
4. 未使用独立 worktree 时，不允许多个写代理同时修改同一代码区域。
5. Luna 或 Terra 完成工作不代表任务通过；必须由独立审查者审查，再由 Sol 验收。
6. 不得以“测试已启动”代替“测试已通过”。必须记录命令、退出码和关键输出。
7. 关键判断必须附文件、符号、命令、diff 或测试证据，不得只报告结论。
8. 保持改动最小化，禁止顺手重构无关代码、弱化测试或偷偷改变公共行为。
9. 不得擅自放宽 sandbox、approval、网络、文件系统权限，不得执行生产部署、强推、历史重写、密钥操作或不可逆命令。
10. Hooks 是护栏而非绝对安全边界；任何高风险操作仍需人类明确批准。

三、风险与路由

• R0 机械任务：规则固定、无业务判断、范围极小、完全可回滚。由 luna_implementer 执行，luna_tester 验证，terra_reviewer 抽查，Sol 验收。
• R1 常规低风险：局部功能或 Bug，目标和测试明确。由 terra_implementer 执行，Luna 可承担探索或机械子步骤。
• R2 中等风险：跨模块、根因不明或需要多轮实验，但不改变系统边界。由 terra_debugger 或 terra_implementer 执行，Luna 测试，Terra 独立审查。
• R3 高风险：公共接口、权限、安全、并发、一致性、跨服务协议或重要迁移。先由 sol_escalation 只读决策，再由 Terra 实现，并要求人类批准。
• R4 极高或不可逆：生产数据删除、密钥轮换、不可逆迁移或破坏性基础设施操作。代理只能分析和生成运行手册，禁止自动执行。