verify-ac

verify-ac — 第二關：執行 oracle

輸出有兩部分，權力不一樣：機械判定會擋（由 exit code 承載，不需要讀者同意）； 判斷報告不擋（帶引用的意見，由人裁）。把兩者混在一起，關卡就會開始擋一些沒人能精確 定義的東西，然後大家學會繞過它。

機械判定：三件事

# 1. assertion 沒被動過。這一步同時查兩件事：校驗值與內文對得上，且內文與 git 歷史一致。
#    對不上就停——這時審查根本還沒開始，因為成功的定義變了。
bash .claude/skills/verify-ac/scripts/frozen-assertion-fence.sh verify {issue}/index.md

# 2. 手上這條量測命令是登錄過的。換過而沒帶紅過證據的命令不被承認。
bash .claude/skills/verify-ac/scripts/record-measurement-change.sh verify \
  --ledger {issue}/.spine/measurement-ledger.json \
  --assertion-id A-P1 --command '<cmd>'

# 3. 跑量測。同時看 exit code 與正向證據——exit 0 而沒有正向證據不是通過。
bash .claude/skills/verify-ac/scripts/run-hardened-oracle.sh --command '<cmd>' \
  --require-tool rg --expect-evidence '<真的量到東西的痕跡>' \
  --evidence-out {issue}/.spine/evidence/<assertion-id>.json

任一項不成立就是非 PASS，沒有討論空間。

一條命令被好幾條 assertion 共用時，用 --assertion 分組，一趟就產出全部證據：

bash .claude/skills/verify-ac/scripts/run-hardened-oracle.sh --command '<cmd>' \
  --assertion A-P1 --expect-evidence '<A-P1 自己的痕跡>' --evidence-out {issue}/.spine/evidence/A-P1.json \
  --assertion A-P2 --expect-evidence '<A-P2 自己的痕跡>' --evidence-out {issue}/.spine/evidence/A-P2.json

命令只跑一次，每一組在同一份輸出上各自判、各自寫——不是把同一個判定複製 N 份，那會讓 「這條 assertion 真的被檢查過」變成假的。一組沒有自己的輸出路徑、或兩組指到同一個檔案，它會停。

run-hardened-oracle.sh 會先探工具能力再釘住、要求命令產出證明自己量到東西的輸出、 並原樣保留 stderr 與 exit code。

釘住的意思是那條命令跑在一組固定的系統目錄上，所以沒有用 --require-tool 宣告的工具， 在它底下就是不存在。 那不是理論上的：2026-08-30 有兩支 selftest 用 rg，在一般 shell 底下全綠，在這條命令底下直接 command not found。而它紅的樣子跟「斷言真的沒過」離場碼 相同——分得開它們的只有輸出裡那一行說著缺了什麼。這是因為工具會說謊：PATH 上較早的 shim、靜默跳過的測試、 被吞成 generic timeout 的錯誤，三者都能讓一個空的執行看起來像綠的。

命令與探針都不准把位置抄下來

一張單住在哪一格是它的狀態的投影，會被重算。 所以登錄下來的命令、以及探針解 repo 根 的寫法，兩邊都不准把「現在在哪」寫成字面值——寫下去的那一刻它就是一個會在下一次重算之後 失效的指標，而失效的樣子是「開不到檔」，讀起來像交付壞了。

命令這一邊，執行當下才問位置：

bash "$(bash .claude/skills/driving-work-to-done/scripts/spine-loop-state.sh find <單的目錄名>)/probes/probe.sh"

後面不要接 | tail -1。find 命中不是剛好一個的時候會回非 0（3 ＝ 多於一個，4 ＝ 一個 都沒有），而那個離場碼會被 tail 吃掉，於是兩行路徑被當成一條用。record-measurement-change.sh 在登錄的時候會擋下把單自己的目錄名連著斜線抄進去的命令，三種寫法都算：展開後的絕對路徑、 以 $HOME 開頭的、相對於另一棵樹的。