plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效

[kiki830621]

現象

plugin-update 全程假設 plugin 位於 $MP_ROOT/plugins/$PLUGIN_NAME。對於 marketplace entry 使用 source: "./plugin"（或任何非 ./plugins/<name> 的值）的 self-hosted marketplace，這個路徑指向不存在的目錄，而每一個依賴它的偵測都會靜默回答「沒有」。

證據

plugins/harness-devtools/skills/plugin-update/SKILL.md：

• L99 — Step 0.1 的說明表格自己就寫著 PLUGIN_DIR="$MP_ROOT/plugins/$PLUGIN_NAME"
• L146 — Phase 0.3 Step 1
• L763 — Phase 2.5 Step 1
• 全檔 plugins/{plugin_name} / plugins/{name} 硬編路徑共 17 處
• 全檔沒有任何一處讀取 marketplace.json 的 plugins[].source

為什麼這是 Step 0.1 想防的那類失敗

Step 0.1 的存在理由寫得很清楚：MP_ROOT 為空時，下游每個 phase 都建立在空字串上，而**「偵測全部落空」與「檢查過沒問題」不可區分**。路徑寫死是同一個缺陷的另一個入口 —— MP_ROOT 這次是對的，錯的是接在它後面的那一段。後果一模一樣：

Phase	受影響	錯誤路徑下的結果
0.3 Step 1	.mcp.json / bin/*-wrapper.sh 偵測	IS_BINARY_BACKED=false → binary-backed 分支整條不跑
0.3 Step 2	plugin.json 讀 version / binary_version	讀不到 → 三信號全空 → 可能誤判 Case A「nothing to sync」
1.5	Signal 1 (release asset) / Signal 2 (repo drift)	兩個信號都不會執行
2.5	README 六信號	README 不存在 → 「跳過」

這些全都不報錯。使用者看到 plugin-update 跑完、綠燈，而 binary gate 從頭到尾沒驗證任何東西。

實例

PsychQuant/che-apple-mail-mcp 在 #335 之後把 plugin shell 併回 binary 的 repo，root .claude-plugin/marketplace.json 用 source: "./plugin"。實際路徑是 $MP_ROOT/plugin，skill 找的是 $MP_ROOT/plugins/che-apple-mail-mcp。2026-08-31 出貨 v3.0.0 時是人工改路徑才跑得動。

che-ical-mcp 是同一個 pilot 佈局（#335 的 CHANGELOG 明說 layout follows the che-ical-mcp pilot），推測同樣受影響 —— 未實測。

方向（不指定作法）

source 是 marketplace schema 裡既有的欄位，應該從那裡解析而不是重新約定一次。若採此路線，resolve-marketplace.sh 的 find_plugin_marketplace 回傳值可能適合從 name|root 擴成帶 plugin dir 的三元組，讓 17 個硬編點收斂到一處 —— 但那是實作決定。

無論怎麼修，偵測不到 plugin dir 時應該 abort 而非當成「沒有」，理由與 Step 0.1 相同。

---

Current Status

Phase: verified
Last updated: 2026-09-14 by idd-verify

Key Decisions

• verify R10 PASS（0 HIGH；6 agents 全完成）→ tag idd-18-verified = b5e0efb（13 commits，main 已 push）；MEDIUM 7 條與可動手的 LOW 收成 plugin-update: #18 R10 遺留 — Step 5 unresolved 語意、commit fence pathspec / 退出碼、Phase 2.5 信號 4 與 SKIPPED 消毒 #24（Conflict Class C，與 plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 / plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22 同檔）
• 十輪 verify 逼出的設計：manifest 驅動解析（resolve_plugin_dir / find_plugin_marketplace 三元組 / plugin_holders / plugin_manifest_path）、單一持有判準、私有純資料 context 檔（索引重驗 + TTL）、每個 fence 帶前導且 git 動作只在 fence 內跑、巢狀同名 marketplace 外層勝、fence 在 bash 與 zsh 下各實跑（test-plugin-update-fences.sh 36 條；resolver 139 條）
• 實作完成（3 commits，7 檔，253+/36−）；find_plugin_marketplace 三元組為 breaking，兩個直接消費者同批更新；版本 bump 留到 plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 / plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22 之後
• Plan tier approval gate 已通過（EnterPlanMode/ExitPlanMode，2026-09-12）；Implementation Plan：三元組 name|root|plugin_dir + resolve_plugin_dir，直接 chain 到 idd-implement --no-pr
• Root cause 雙層：find_plugin_marketplace 只以 plugins/<name> 目錄存在判定命中、從不讀 plugins[].source；plugin-update/SKILL.md 另有 18 處硬編路徑
• Complexity = Plan（hard-gate：≥5 檔 + shared abstraction find_plugin_marketplace）；Conflict Class = C（與 plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 / plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22 共用 SKILL.md 與 resolver，序列化，本 issue 先做）

Scope Changes

• plugin-debug 其餘硬編、plugin-deploy 6 處、plugin-upgrade 另一半、plugin-health Phase 3、tool-readme-sync、hooks/ 目錄比對 → plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23（sister concern，R6–R9 陸續補記）
• R10 的 MEDIUM / LOW（Step 5 unresolved 語意、commit fence pathspec / 退出碼、Phase 2.5 信號 4 與 SKIPPED 消毒等）→ plugin-update: #18 R10 遺留 — Step 5 unresolved 語意、commit fence pathspec / 退出碼、Phase 2.5 信號 4 與 SKIPPED 消毒 #24
• Phase 0.3 對純 shell plugin 執行 → plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19；binary-backed 偵測（wrapper 命名、binary_version canonical）→ plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22

Blocking

• (none)

Commits

• 4449b66 85e6fc8 81ff498 初版實作（R1）
• a06f236 36c2f2c bdacfd1 585320d 1972488 R2–R6（rc 分流、前導 / context 檔、possession 統一、索引重驗 + TTL）
• 643482e R7（plugin_manifest_path / plugin_holders、Case B 三模板、_dir_mode）
• 0354d05 8f609fb R8（zsh nomatch → find、fence smoke test、Step 0.1 最內層 tie-break）
• 16c76e4 R9（Phase 2.5 while-read、巢狀同名外層勝、binary pin 信號、Phase 1.5 Step 3）
• b5e0efb R10（find_plugin_marketplace 走 holders、Step 5 移到 push 前、heredoc commit message）— idd-18-verified

[kiki830621]

Diagnosis

Type

bug

Root Cause / Analysis

Root cause：plugin 目錄的位置在兩個地方被「重新約定」而不是從 marketplace manifest 讀出來：

1. scripts/resolve-marketplace.sh find_plugin_marketplace() L244 —— 命中條件是 [ -d "$root/plugins/$plugin" ]。這個函式唯一用來辨認「plugin 在哪個 marketplace」的證據，就是 aggregator 佈局的目錄存在與否；它從不讀 marketplace.json 的 plugins[].source。單一 plugin marketplace（source: "./plugin"）在這裡直接 return 1。
2. skills/plugin-update/SKILL.md —— 18 處字面 plugins/{name} / plugins/{plugin_name} / $MP_ROOT/plugins/$PLUGIN_NAME（L99、L146、L185、L518–L521、L533、L560、L587、L609–L610、L708、L727、L757、L763、L912、L1014）。就算 resolver 修好，這 18 處仍會各自算出錯的路徑。

兩層疊在一起的結果依 marketplace 佈局不同而不同，但都不會指出問題在佈局：

佈局	0.1 find_plugin_marketplace	後續
aggregator（./plugins/<name>）	命中	正常
單一 plugin（./plugin）	rc=1 → Step 0.1 abort「不在任何已註冊的 marketplace」	訊息指向 plugin-deploy / plugin-create，錯的方向
同名 marketplace 兩份 checkout、其一有 plugins/	命中有 plugins/ 的那份（tie-break 只看目錄存在）	可能選到不是使用者要的 checkout

第二列是 2026-09-11 che-keychain 0.3.0 與 2026-08-31 che-apple-mail-mcp 3.0.0 實際撞到的：兩次都靠人工改路徑跑完。issue body 說的「靜默」在第三層成立：若操作者繞過 0.1 手動塞 MP_ROOT，Phase 0.3 / 1.5 / 2.5 的偵測會對一個不存在的目錄全部回答「沒有」，與 #16 當初要防的失敗同形。

證據：

• resolve-marketplace.sh L165–L175 的註解已經承認 ./plugin（單數）佈局存在，且刻意讓 marketplace_candidates 的 tie-break 不淘汰它 —— 但 L244 的 find_plugin_marketplace 仍用目錄存在當唯一判準，兩段對同一佈局的認知不一致。
• 本機三個 ./plugin 佈局的 manifest：che-keychain、che-apple-mail-mcp、che-ical-mcp（jq '.plugins[].source' 皆為 ./plugin）。
• plugin-debug/SKILL.md L60–L61 是 find_plugin_marketplace 的另一個消費者，同樣接 plugins/$PLUGIN_NAME。

Impact

• 影響的檔案：scripts/resolve-marketplace.sh、scripts/test-resolve-marketplace.sh、skills/plugin-update/SKILL.md（18 處）、skills/plugin-debug/SKILL.md（消費回傳值的那一行）、README.md / CLAUDE.md / CHANGELOG.md（函式契約文件）
• 影響的使用者流程：所有單一 plugin marketplace 的 release 後同步（/plugin-update <name>）；plugin-debug 對同類 plugin 的定位

Strategy

source 是 marketplace schema 既有欄位，唯一 source of truth 應在 resolver：

• resolve-marketplace.sh：新增 _plugin_source_of <manifest> <plugin>（bash 3.2 clean；先 sed 快路徑、退回 python3，與 _marketplace_name_of 同款）讀 plugins[].source；新增 resolve_plugin_dir <root> <plugin>，把相對 source 接在 root 後、-d 才回傳，否則 return 1（缺 entry / 目錄不存在 / source 是 git URL 都算「找不到」）
• find_plugin_marketplace 改用 resolve_plugin_dir 判定命中，輸出擴成 name|root|plugin_dir 三元組；aggregator 佈局的輸出前兩欄逐 byte 不變
• test-resolve-marketplace.sh：fixture 新增（a）./plugin 單一 plugin 佈局命中並回傳正確 dir、（b）./plugins/<name> 仍命中、（c）entry 存在但目錄不存在 → non-zero、（d）三元組格式；沿用既有 mktemp fixture 慣例、stderr 淨空斷言
• plugin-update/SKILL.md Step 0.1：讀三元組，PLUGIN_DIR 由 resolver 給；PLUGIN_DIR 空或不是目錄 → abort（與 MP_ROOT 空同一道 gate、同一段理由）
• plugin-update/SKILL.md：其餘 17 處 plugins/{name} 收斂為 $PLUGIN_DIR（Phase 2「新 plugin 加 entry」的 "source": "./plugins/{plugin_name}" 範本例外——那是 aggregator 新增 entry 的寫法，改為註明僅適用 aggregator）
• plugin-debug/SKILL.md L60–L61：讀三元組並用 $PLUGIN_DIR（其餘 9 處與 plugin-deploy 的 4 處由 plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 處理）
• README.md / CLAUDE.md / CHANGELOG.md：函式契約更新為三元組 + 新函式；harness-devtools 版本 bump

Conflict Class

C_shared_module_coord —— 與 #19、#22 共用 skills/plugin-update/SKILL.md 與 scripts/resolve-marketplace.sh；三者必須序列化，本 issue 先做（#22 第 2 點的偵測改寫依賴本 issue 的 $PLUGIN_DIR）。

Complexity

Plan

Hard-gate: triggered — 單一概念（plugin dir 解析）散佈 ≥ 5 檔（resolve-marketplace.sh、test-resolve-marketplace.sh、plugin-update/SKILL.md、plugin-debug/SKILL.md、README/CLAUDE/CHANGELOG），且動到 shared abstraction find_plugin_marketplace（被 plugin-update、plugin-debug、test 三處引用）；Family-wide scope 須列出該函式所有消費者。
Layer P 另命中：2+ 檔有順序依賴（resolver 先於 SKILL.md）、decision-heavy（三元組 vs 新函式、缺 entry 時 abort vs fallback）。
Layer 2 未命中（resolve-marketplace.sh 是 plugin 內部 helper，非對外 published API）→ 不走 Spectra。

→ 建議 pre-implementation staging: superpowers:brainstorming（非綁定）

Risks

• 三元組改變 find_plugin_marketplace 的輸出格式：任何 IFS="|" read -r a b 的舊消費者會把第三欄吞進 b。已知消費者只有 plugin-update 與 plugin-debug（都在本 issue 改），但 CHANGELOG 要明寫 breaking。
• source 可能是 git URL / 絕對路徑 / ./：只接受相對路徑並要求目錄存在，其餘視為「找不到」並在 abort 訊息指名該 source 值。
• 測試依賴本機 ~/Developer 真實佈局的既有斷言（che-keychain 等）不動；新斷言用 mktemp fixture，避免耦合機器狀態。

Residue

issue 的 horizon 是「self-hosted marketplace 在整個 harness-devtools 都是一等公民」；本 issue 只涵蓋 resolver 與 plugin-update（含 plugin-debug 的直接消費行），其餘 skill 的硬編路徑在 #23。marketplace 註冊表（claude plugin marketplace list）與本機 clone 的對應仍靠 ~/Developer 掃描，不在本 issue 範圍。

Vagueness Pre-check

• V1: 2 — 要做什麼很清楚：從 plugins[].source 解析 plugin dir、收斂 17 處硬編、找不到就 abort（issue「方向」段逐條列出）
• V4: 2 — 完成定義可驗證：三種佈局的 fixture 測試、./plugin 佈局跑 plugin-update 不再 abort 於 0.1、找不到 dir 時 abort 而非靜默
• Triggered: no — both axes ≤ 3

Sister Concerns Filed (mid-diagnose, v2.47.0+ #528)

• Filed: plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 — plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局（same-root-cause-different-file；plugin-create / mcp-to-plugin 的 plugins/<name> 是建新 plugin 的合法佈局，不列）

Recommended Agent

idd-route：四個候選皆 insufficient_data（本 repo 無 routing-stats）；不提供 data-driven 推薦，沿用 session 預設。

[kiki830621]

Implementation Plan (Plan tier)

Files & Changes

• plugins/harness-devtools/scripts/resolve-marketplace.sh — 新增 _plugin_source_of <manifest> <plugin>（先 grep -q "\"$plugin\"" 便宜預篩，命中才 spawn python3 讀 plugins[] | select(.name==plugin).source；無 python3 時退回 legacy plugins/<name> 目錄探測並保留舊行為）；新增 resolve_plugin_dir <root> <plugin>（source 必須是相對路徑且目錄存在 → 印絕對 dir、rc 0；無 entry → rc 1；有 entry 但 source 非相對路徑或目錄不存在 → rc 2；一律不寫 stderr）；find_plugin_marketplace 改以 resolve_plugin_dir 判定命中，輸出 name|root|plugin_dir。bash 3.2 clean。
• plugins/harness-devtools/scripts/test-resolve-marketplace.sh — 既有 find_plugin_marketplace 兩處斷言改為三元組；新增 mktemp fixture 區段（沿用 MARKETPLACE_SEARCH_ROOT 覆寫慣例）：(a) ./plugin 單一佈局 → fixture-solo|<tmp>/solo|<tmp>/solo/plugin；(b) ./plugins/x aggregator → 三元組；(c) entry 在但目錄不存在 → resolve_plugin_dir rc 2、find_plugin_marketplace rc 1；(d) source 為 github:owner/repo → rc 2；(e) 無 entry → rc 1；(f) 三個函式呼叫皆 stderr 淨空；zsh 區段同步改三元組。
• plugins/harness-devtools/skills/plugin-update/SKILL.md — Step 0.1：IFS="|" read -r MP_NAME MP_ROOT PLUGIN_DIR；gate 擴成「MP_ROOT 空 → 既有 abort；PLUGIN_DIR 空或非目錄 → 新 abort，訊息用 resolve_plugin_dir 的 rc 區分『manifest 沒這個 entry』與『entry 的 source 指向不存在的目錄（印出 source 值）』」；L99 表格列改寫；L146 / L763 的 PLUGIN_DIR= 賦值刪除（改註明由 Step 0.1 提供）；其餘 15 處 plugins/{name} / plugins/{plugin_name} 改為 $PLUGIN_DIR（L185 的 git log -- 路徑改 "${PLUGIN_DIR#$MP_ROOT/}/"）；L727 新 entry 範本保留 ./plugins/{plugin_name} 但加註「aggregator 佈局；單一 plugin marketplace 用 ./plugin」。
• plugins/harness-devtools/skills/plugin-debug/SKILL.md L60–L61 — 讀三元組，SRC="$PLUGIN_DIR"（其餘硬編處 → plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23）。
• plugins/harness-devtools/CLAUDE.md L23、README.md L120 附近 — 函式契約改三元組 + 列出 resolve_plugin_dir。
• plugins/harness-devtools/CHANGELOG.md — [Unreleased] 下記 Changed（find_plugin_marketplace 輸出擴為三元組，直接消費者需改 read）+ Added（resolve_plugin_dir）+ Fixed（plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18）。版本 bump 留到 plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 / plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22 一起（同一支 skill 三個修正，一次 2.5.0）。

Family-wide scope (shared-abstraction hard-gate trigger only)

find_plugin_marketplace 的全部已知消費者：skills/plugin-update/SKILL.md（Step 0.1）、skills/plugin-debug/SKILL.md（L60）、scripts/test-resolve-marketplace.sh（bash 與 zsh 兩段）、CLAUDE.md、README.md、CHANGELOG.md（契約敘述）。六處全部列入本 plan；grep -rn find_plugin_marketplace plugins/harness-devtools 在實作結束時不得再出現兩欄 read。

Sequencing & Dependencies

1. 測試先寫（RED）：三元組斷言與 fixture (a)–(f) 在現行 resolver 下失敗（現行輸出兩欄；./plugin 佈局 rc 1；resolve_plugin_dir 不存在）。
2. resolver 實作（GREEN）：_plugin_source_of → resolve_plugin_dir → find_plugin_marketplace。
3. plugin-update SKILL.md（依賴 2 的三元組契約）。
4. plugin-debug 一行、CLAUDE.md / README.md / CHANGELOG.md。
5. 煙霧測試：source resolve-marketplace.sh && find_plugin_marketplace che-keychain 必須回 che-keychain|<root>|<root>/plugin；find_plugin_marketplace harness-devtools 回 aggregator 三元組。

Decision Points

• 擴三元組 vs 新函式：選擴三元組（issue 提議）。理由：Step 0.1 已是「先查 rc 再拆欄位」的唯一入口，多一個函式等於再約定一次；已知消費者只有兩處且都在本 plan 內。代價是 breaking，寫進 CHANGELOG。
• JSON 解析：python3 主路徑（陣列內取欄位，sed 不可靠），grep 預篩避免 38 個 manifest 各 spawn 一次（實測 python3-per-file 0.8 s → 預篩後只對含該 plugin 名的 manifest 解析）。python3 缺席 → legacy 目錄探測，不新增依賴。
• 缺 dir 的處置：find_plugin_marketplace 對「entry 在但目錄不在」仍回 rc 1（不命中，繼續找下一個 marketplace —— 同名 plugin 可能在別的 checkout 是完整的），由 Step 0.1 在最終未命中時額外呼叫 resolve_plugin_dir 對每個候選 root 取 rc 2 訊息。這維持「找不到 → abort」而非「當成沒有」。

Risks & Mitigations

• 三元組 breaking：唯二消費者同 PR 內改；CHANGELOG 明寫；test 的 zsh 段確保 IFS="|" read 在 zsh 下三欄正確。
• 效能：grep 預篩 + 只在 find_plugin_marketplace 走訪時解析；resolve_marketplace_root / list_marketplaces 路徑不受影響。
• source 形態：只接受相對路徑（./x、x）；github: / URL / 物件 → rc 2；絕對路徑也 rc 2（manifest 應可攜）。
• stderr 淨空契約：新函式全部 2>/dev/null 包 python3；測試 (f) 守住。

Test Plan

測試	對應改動	RED 預期	GREEN 預期
harness-devtools 三元組（bash + zsh）	find_plugin_marketplace 輸出	得兩欄	`che-plugin-devtools
fixture solo ./plugin	resolve_plugin_dir + 命中判定	rc 1	三元組，dir 以 /plugin 結尾
fixture aggregator ./plugins/x	同上	兩欄	三元組
entry 在、目錄不在	resolve_plugin_dir rc 2	函式不存在	rc 2；find_plugin_marketplace rc 1
source github:o/r	非相對路徑	函式不存在	rc 2
無 entry	rc 1	函式不存在	rc 1
stderr 淨空 ×3	所有新路徑	—	空字串

Out-of-scope (will NOT be touched)

• plugin-debug 其餘 9 處、plugin-deploy 4 處硬編路徑（plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23）
• Phase 0.3 / 0.5 的互斥裁決（plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19）、binary-backed 偵測與 binaryVersion（plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22）
• harness-devtools 版本 bump 與 marketplace 同步（三 issue 完成後一次做）
• marketplace_candidates 的 tie-break 規則（仍以 plugins/ 目錄存在為準，與 resolve-marketplace.sh 硬編 4 個 marketplace，本機實有 33 個 — Phase 0.1 對 88% 的合法 marketplace 誤診為「不存在」 #20 決定一致）

Tangential Observations (filed mid-plan, v2.42.0+ #524)

• plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23（diagnose Step 3.6 已 file；本 step 無新增）

[kiki830621]

Implementation Complete

Checklist (synced from TaskList)

• scripts/resolve-marketplace.sh — _plugin_source_of + resolve_plugin_dir（rc 0/1/2）+ find_plugin_marketplace 三元組 → commit 4449b66
• scripts/test-resolve-marketplace.sh — 既有兩處斷言改三元組 + fixture 十一條（./plugin、./plugins/x、無 entry、目錄不在、github:、絕對路徑、stderr 淨空）→ commit 4449b66（RED 11 failures → GREEN 38/38）
• skills/plugin-update/SKILL.md — Step 0.1 讀三元組 + PLUGIN_DIR gate + 未命中時逐 marketplace 印 rc 2 訊息；17 處硬編收斂為 $PLUGIN_DIR；entry 範本加註兩種佈局 → commit 85e6fc8
• skills/plugin-debug/SKILL.md L60–61 讀三元組 → commit 81ff498
• CLAUDE.md / README.md 函式契約三元組 + resolve_plugin_dir → commit 81ff498
• CHANGELOG.md [Unreleased] Changed / Added / Fixed → commit 81ff498

Legend: - [x] done · - [~] skipped (may revisit) · - [-] won't fix (scope)
idd-close will refuse to close if any - [ ] remains in this checklist.

Changes

• 4449b66: fix: find_plugin_marketplace 從 manifest 的 plugins[].source 解析 plugin 目錄，輸出三元組
• 85e6fc8: fix: plugin-update 的 plugin 目錄一律取自 Step 0.1 三元組，PLUGIN_DIR 找不到即 abort
• 81ff498: docs: 三元組契約同步到 plugin-debug、CLAUDE.md、README、CHANGELOG

Files Changed

 plugins/harness-devtools/CHANGELOG.md              |  10 ++
 plugins/harness-devtools/CLAUDE.md                 |   8 +-
 plugins/harness-devtools/README.md                 |   8 +-
 .../scripts/resolve-marketplace.sh                 | 101 +++++++++++++++++++--
 .../scripts/test-resolve-marketplace.sh            |  82 ++++++++++++++++-
 .../harness-devtools/skills/plugin-debug/SKILL.md  |   4 +-
 .../harness-devtools/skills/plugin-update/SKILL.md |  76 ++++++++++++----
 7 files changed, 253 insertions(+), 36 deletions(-)

Verification (pre-verify)

• test-resolve-marketplace.sh 38/38；/bin/bash 3.2 與 zsh 來源 + 呼叫皆零 stderr
• 煙霧：find_plugin_marketplace che-keychain / che-apple-mail-mcp / che-ical-mcp 皆回 <name>|<root>|<root>/plugin；harness-devtools 回 aggregator 三元組；未知名稱 rc 1
• check-skill-references.sh 通過；grep -rn 'read -r MP_NAME MP_ROOT <<<' 零命中（family-wide scope 六處全改）
• 單次 lookup 約 0.7 s（含 worktree 判定的 index walk；python3 只對 grep -F 命中的 manifest spawn）

Scope Compliance

改動全部在 plugins/harness-devtools/；plugin-debug 其餘硬編路徑與 plugin-deploy 未動（#23）；版本未 bump（三 issue 完成後一次）。

Sister Bugs Filed (mid-impl, v2.44.0+ #526)

• none new — plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 已於 diagnose Step 3.6 file；實作期未再發現同根因的其他檔案

Next: verification pending

[kiki830621]

Verify: #18 — Round 1

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error（codex 本輪有回 3 條）。Frozen SHA 81ff498（idd-22-baseline..HEAD）。

Result

FAIL — 9 HIGH / 13 MEDIUM / 12 LOW / 4 INFO。

要求覆蓋率

issue 的三項要求（從 manifest 讀 source、17 處硬編收斂、找不到即 abort）在 diff 內成立，但 R1 抓到四類真問題：(a) $PLUGIN_DIR 只在 Step 0.1 那個 shell 定義，其餘 block 是獨立 Bash 呼叫，空值時偵測又全部答「沒有」（#2/#6）；(b) object 型 git-subdir source 是合法 schema，卻被判成「manifest 壞了」並叫人改 manifest —— 本機 akashic-mcp 實測從命中變不命中（#5/#8/#9/#21）；(c) $PLUGIN_DIR 內嵌進 python3 -c "..." 字串，路徑含 ' 即任意執行（#4/#12）；(d) python3 / JSON 解析失敗與「無 entry」共用 rc 1，legacy fallback 不可達（#3/#13/#15/#19/#29）。另兩處 grep '^plugins/' 佈局猜測漏在 census 之外（#1）。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	Two aggregator-layout hardcodings survive in plugin-update; the issue's named self-hosted marketplaces still get wrong answers（SKILL.md:486）	requirements	fixed R2 — Phase 0.5 Step 5 / Phase 1 Step 1 改由 manifest 對映觸及路徑→plugin
2	HIGH	PLUGIN_DIR 的唯一定義點在 Step 0.1，但每個消費 block 是另一個 shell —— 空值時偵測又全部靜默答「沒有」（SKILL.md:180）	logic	fixed R2 — 每個消費 block 開頭加 resolve 前導（重新 source + find_plugin_marketplace + gate），不再依賴跨 shell 變數
3	HIGH	python3 存在但執行失敗 → _plugin_source_of 回 rc 1，rc 3 legacy fallback 永遠到不了（aggregator 佈局相對 #18 前是 regression）（resolve-marketplace.sh:249）	logic	fixed R2 — python3 exit code 分流：找不到 / 解析失敗 / 直譯器失敗各自處理；python3 檢查提到 grep 之前
4	HIGH	manifest-controlled $PLUGIN_DIR is interpolated into python3 -c "..." — confirmed arbitrary code execution（SKILL.md:594）	security	fixed R2 — 全部 python3 -c 改用 sys.argv 傳路徑
5	HIGH	迴歸：object 型 source（git-subdir）的既有 plugin 從「找得到」變成「找不到」——akashic-mcp 實測已壞（resolve-marketplace.sh:286）	regression	fixed R2 — object / URL source（合法 schema）→ rc 5，且先探 plugins/ 是否已物化（物化即命中，同 #18 前行為）
6	HIGH	迴歸：後續 phase 改成依賴 Step 0.1 的 shell 變數，但 skill 的每個 bash block 是獨立 Bash 呼叫、變數不跨呼叫存活（SKILL.md:180）	regression	fixed R2 — 同 #2
7	HIGH	迴歸：Phase 2 Step 3「新 Plugin 需加入 entry」自此不可達，與 SKILL.md L128 既有的明文說明直接牴觸（resolve-marketplace.sh:328）	regression	fixed R2 — 「目錄在、無 entry」→ legacy 探測命中（Phase 2 Step 3 可達），L128 說明保留成立
8	HIGH	官方 schema 的 object 型 source 被判成「manifest 壞了」，新 ⚠ 訊息要使用者去改一份正確的 manifest — #16/#18 要消滅的 wrong-fix message 換門進來（resolve-marketplace.sh:285）	devils-advocate	fixed R2 — 同 #5；Step 0.1 對 rc 5 的訊息改為「非本地 source，plugin-update 只處理本地佈局」，不再叫人改 manifest
9	HIGH	diff 自己新增的三處 worked example 斷言了一個在作者本機為假的輸出（akashic-mcp）（resolve-marketplace.sh:13）	devils-advocate	fixed R2 — 三份文件範例改用 harness-devtools（本 repo 必真）
10	MEDIUM	_plugin_source_of 先序列化非字串 source，再用字串前綴判型；空字串 source 回 rc 1 而非 rc 2（resolve-marketplace.sh:None）	codex	fixed R2 — python 端要求非空字串；空字串 / 數字 / 布林 → rc 2
11	MEDIUM	Step 0.1 失敗診斷迴圈只檢查每個 marketplace 名稱的優先 root，與 find_plugin_marketplace 實際遍歷範圍不一致（SKILL.md:None）	codex	fixed R2 — 診斷迴圈改走 marketplace_candidates 全部 root
12	MEDIUM	Phase 1.5 Step 2 把 $PLUGIN_DIR 直接內嵌進 python3 -c 原始碼，路徑含單引號會讓 BINARY_VERSION 靜默變空（SKILL.md:None）	codex	fixed R2 — 同 #4
13	MEDIUM	Every python3/JSON failure is reported as "manifest lists no such plugin", re-creating the wrong-fix message #18 set out to remove（resolve-marketplace.sh:249）	requirements	fixed R2 — manifest 解析失敗 → rc 4（先探 legacy 目錄，存在即命中）
14	MEDIUM	The documented alternative resolution path leaves PLUGIN_DIR unset, and the new gate then blames the resolver contract（SKILL.md:81）	requirements	fixed R2 — 「直接解析已知名稱」範例補 resolve_plugin_dir 並 gate
15	MEDIUM	marketplace.json 語法壞掉 → rc 1（「沒這個 entry」）而不是 rc 2（「entry 在但不可用」），Step 0.1 的 ⚠ 分支不會觸發（resolve-marketplace.sh:284）	logic	fixed R2 — 同 #13
16	MEDIUM	${PLUGIN_DIR#$MP_ROOT/} 相對化：同檔其他 git log 都直接吃絕對 $PLUGIN_DIR，這兩處多一個跨 block 依賴又會安靜產生 git 不收的 pathspec（SKILL.md:219）	logic	fixed R2 — git pathspec 一律用絕對 "$PLUGIN_DIR/"；cd {marketplace_repo_path} 改 cd "$MP_ROOT"
17	MEDIUM	resolve_plugin_dir accepts .. in plugins[].source — PLUGIN_DIR escapes the marketplace root（resolve-marketplace.sh:285）	security	fixed R2 — 拒絕 .. 路徑段、引號、反斜線、控制字元
18	MEDIUM	raw third-party manifest text is echoed into the agent-facing abort message unsanitized（SKILL.md:133）	security	fixed R2 — 訊息中的 source 值經 tr -d cntrl + 截斷，並標明 untrusted
19	MEDIUM	manifest 壞掉 / 讀不出來被歸成「沒有這個 entry」——本 issue 要消滅的 cannot-tell→no 又出現一次（resolve-marketplace.sh:237）	regression	fixed R2 — 同 #13
20	MEDIUM	plugin-debug 跟著改三元組卻沒有跟著加 gate，空的 PLUGIN_DIR 會讓 diff 回報「沒有差異」（SKILL.md:61）	regression	fixed R2 — plugin-debug 加同款 gate
21	MEDIUM	修正 regression 審閱者的 HIGH：akashic-mcp 不是「本來能用的 plugin 壞掉」，而是「靜默錯 → 大聲指錯方向」（resolve-marketplace.sh:275）	devils-advocate	accepted — DA 對 #5 的修正性描述；處置已納入 #5
22	MEDIUM	"source": "." / "./"（repo 根目錄就是 plugin）解析成 marketplace root 本身，rc 0 靜默通過，下游 git pathspec 隨即失真（resolve-marketplace.sh:288）	devils-advocate	fixed R2 — "." / "./" 正規化為 root（repo 即 plugin 為合法佈局），pathspec 改絕對路徑後語意正確
23	LOW	Step 0.1's rc-2 surfacing only checks the precedence-winning root, so a broken entry in a shadowed candidate never surfaces（SKILL.md:128）	requirements	fixed R2 — 同 #11
24	LOW	The no-python3 legacy fallback is advertised in the CHANGELOG but has no test（test-resolve-marketplace.sh:225）	requirements	fixed R2 — 加 command -v shim 與 假 python3 兩條 fixture
25	LOW	resolve_plugin_dir 的 source 過濾擋了絕對路徑 / URL / 非字串，但沒擋 ..：plugin dir 可以落在 marketplace root 之外（resolve-marketplace.sh:285）	logic	fixed R2 — 同 #17
26	LOW	"source": "" 被判成 rc 1（沒這個 entry）而不是 rc 2（resolve-marketplace.sh:250）	logic	fixed R2 — 同 #10
27	LOW	新增的 10 條測試只覆蓋 happy path 與三種格式良好的拒絕，上面 4 個錯分支全部從測試底下穿過去（test-resolve-marketplace.sh:225）	logic	fixed R2 — fixture 補齊四個錯分支
28	LOW	a newline in plugins[].source silently truncates the name|root|plugin_dir contract（resolve-marketplace.sh:328）	security	fixed R2 — 同 #17（控制字元）
29	LOW	無 python3 的 fallback 並未如註解宣稱「維持 #18 之前的行為」——grep 前篩排在 python3 檢查之前（resolve-marketplace.sh:240）	regression	fixed R2 — 同 #3
30	LOW	${PLUGIN_DIR#$MP_ROOT/} 把 MP_ROOT 當 glob pattern，且 Phase 1.5 仍混用 {marketplace_repo_path} 樣板佔位符（SKILL.md:219）	regression	fixed R2 — 同 #16
31	LOW	Step 0.1 的診斷迴圈呼叫私有函式 _plugin_source_of，且每個 marketplace 名稱只檢查第一個候選 root（SKILL.md:133）	regression	fixed R2 — 公開 plugin_source_of 取代私有呼叫；同 #11
32	LOW	補強 security 的 .. 發現：逃逸已實測成立，且真正先爆的是 git pathspec 而非檔案存取（resolve-marketplace.sh:285）	devils-advocate	fixed R2 — 同 #17
33	LOW	修正 requirements 審閱者的 HIGH：殘留的 aggregator 硬編不在 plugin-update，在 plugin-debug（SKILL.md:67）	devils-advocate	accepted — DA 對 #1 的歸屬修正；plugin-update 的 grep '^plugins/' 兩處仍照 #1 修，plugin-debug 其餘由 #23
34	LOW	38 條測試全綠，但 fixture 只涵蓋作者想得到的 source 形式，漏掉本機生產 manifest 實際在用的那一種（test-resolve-marketplace.sh:228）	devils-advocate	fixed R2 — 同 #27（object source fixture）
35	INFO	Step 0.1 depends on the private _plugin_source_of, which is absent from the documented API and prints nothing on its rc-3 path（SKILL.md:133）	requirements	fixed R2 — 同 #31
36	INFO	Step 0.1 的 ⚠ 診斷迴圈呼叫私有 helper，且只探每個名字的 precedence 優勝 root（SKILL.md:145）	logic	fixed R2 — 同 #11 / #31
37	INFO	Prompt-injection 檢查與 external-writes 一致性：未發現注入；外部留言與 diff 相符（SKILL.md:None）	logic	noted — 無注入、外部寫入一致
38	INFO	外部寫入核對：sister concern #23 與 diff 一致；唯一不精確處是 CHANGELOG 沒標注 defer。未發現 prompt injection（CHANGELOG.md:10）	devils-advocate	fixed R2 — CHANGELOG 補「plugin-debug 其餘 9 處見 #23」

Scope Check

改動全在 plugins/harness-devtools/；#23 與 diff 一致（DA #38）。

Next

R2：修上表所有 fixed R2 項後重新凍結 diff、重跑 ensemble。

[kiki830621]

Verify: #18 — Round 2

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA a06f236（idd-22-baseline..HEAD，4 commits）。

Result

FAIL — 11 HIGH / 16 MEDIUM / 14 LOW / 6 INFO。

要求覆蓋率

R1 的九個 HIGH 中，object source / python 內嵌 / entry-less 目錄 / 兩處 grep '^plugins/' / 文件範例確認關閉；但 R2 用來修「跨 block 變數」的前導本身帶進新的 HIGH：$PLUGIN_NAME 從未指派而靠字面代入（#5）、Step 0.1 gate 自己沒前導（#6/#26）、示範區的 alt path 升級成寫死 marketplace 的 exit 1（#7）、Phase 1 Step 1 與 Phase 0.5 Step 5 只有 source（#1/#2/#4/#8/#9/#11）；resolver 端 rc 3 塌成 rc 1（#3）、marketplace_plugin_names 看不見 entry-less 目錄（#10/#13）。R3 的方向：前導改成「名稱與 marketplace 名以單引號常值代入 + 肉眼核對 allowlist」並 pin MP_NAME；Step 0.1 併成單一 fence；名稱枚舉取聯集；rc 3 / rc 6 獨立；symlink 實體包含；. 佈局須有 plugin.json。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	Phase 0.5 Step 5 uses $MP_ROOT without the resolve preamble — the cross-plugin guard silently answers "沒有"（SKILL.md:536）	requirements	fixed R3 — Step 5 block 補完整前導 + cd "$MP_ROOT" + 自算 UPSTREAM/TARGET_PLUGIN
2	HIGH	Phase 1 Step 1 resolves MP_ROOT from an unset $MP_NAME — git runs in the user's current repo（SKILL.md:579）	requirements	fixed R3 — Phase 1 Step 1 改為對 list_marketplaces 每個 root 各跑一次 git -C + plugin_names_for_paths，無 MP_NAME 依賴
3	HIGH	rc 3 (no usable python3) is folded into rc 1 ("not listed"), so the single-plugin layout still gets the wrong diagnosis（resolve-marketplace.sh:349）	requirements	fixed R3 — rc 3 獨立保留；Step 0.1 迴圈印「此機器無可用 python3」
4	HIGH	Phase 1 Step 1 的新 block 用了不存在的 $MP_NAME —— 正是這個 commit 要消滅的未解析變數（SKILL.md:579）	logic	fixed R3 — 同 #2
5	HIGH	12 new bash preambles interpolate an unvalidated $PLUGIN_NAME that the skill never assigns — the comment orders literal text substitution into a double-quoted shell string（SKILL.md:186）	security	fixed R3 — 前導改為 PLUGIN_NAME=''（單引號、代入前先以肉眼核對 ^[A-Za-z0-9._-]+$，不合即拒絕不執行）+ MP_NAME='<Step 0.1 決定>'；resolver 名稱驗證改回 rc 6 作第二層
6	HIGH	Step 0.1 gate 自己沒拿到新的 resolve 前導——依這次新立的教條，它會對每個 plugin 都 abort（SKILL.md:110）	regression	fixed R3 — Step 0.1 的 usage 與 gate 併成同一個 fence，gate block 自己做 find_plugin_marketplace
7	HIGH	Step 0 參考 block 新增的 \|\| exit 1 綁在寫死的 psychquant-claude-plugins 上，會覆蓋正確解析並致命（SKILL.md:81）	regression	fixed R3 — alt path 從可執行 fence 移除（改散文），不再 exit 1 也不再寫死 marketplace 名
8	HIGH	Phase 1 Step 1 新依賴一個沒有任何地方設定的 $MP_NAME，取代了原本一定可用的樣板佔位符（SKILL.md:579）	regression	fixed R3 — 同 #2
9	HIGH	Phase 0.5 Step 5 的 cross-plugin 檢查被改成依賴 $MP_ROOT，但只加了 source、沒有 resolve/gate（SKILL.md:537）	regression	fixed R3 — 同 #1
10	HIGH	plugin_names_for_paths 看不見「有目錄、沒 manifest entry」的 plugin — R1 #7「entry-less 可達」的 fixed R2 宣稱在兩個新呼叫點不成立（本機實證 5 個）（resolve-marketplace.sh:365）	devils-advocate	fixed R3 — marketplace_plugin_names 改為 manifest 宣告 ∪ plugins/ 子目錄（sort -u）
11	HIGH	Phase 0.5 Step 5 還依賴另一個 block 的 $UPSTREAM：空值時 ..HEAD 是合法的空集合（rc 0、零錯誤），補了 MP_ROOT 也修不好（SKILL.md:536）	devils-advocate	fixed R3 — 同 #1（block 內 git rev-parse @{u}）
12	MEDIUM	Git pathspec 未用 --literal-pathspecs，來源含萬用字元時會把別的 plugin 變更算進來（resolve-marketplace.sh:None）	codex	fixed R3 — pathspec 的 git 呼叫加 --literal-pathspecs
13	MEDIUM	plugin_names_for_paths 只列 manifest 宣告名稱，漏掉尚未登錄的 plugins/（resolve-marketplace.sh:None）	codex	fixed R3 — 同 #10
14	MEDIUM	source 路徑未正規化：'./plugin/.' 等等價寫法可解析卻對映不到變更（resolve-marketplace.sh:None）	codex	fixed R3 — source 正規化（收斂 /./、//、尾端 /.）後再 -d 與對映；補 fixture
15	MEDIUM	The 12 resolve preambles reference $PLUGIN_NAME but never assign it（SKILL.md:188）	requirements	fixed R3 — 同 #5
16	MEDIUM	Step 0.1's alternate resolution path is not honoured by any later block — the marketplace approved at the gate is not necessarily the one Phase 2 pushes to（SKILL.md:81）	requirements	fixed R3 — 前導以 MP_NAME pin 走 resolve_marketplace_root，Step 0.1 決定的 marketplace 綁到每個 block
17	MEDIUM	Phase 0.5 Step 5 只補了 source、沒補 resolve：$MP_ROOT 為空時會誤報「commits 沒碰任何 plugin」（SKILL.md:537）	logic	fixed R3 — 同 #1
18	MEDIUM	rc 3（python3 缺席或跑不起來）被塌成 rc 1，單一 plugin 佈局在無 python3 機器上回到 #18 原本的錯誤訊息（resolve-marketplace.sh:349）	logic	fixed R3 — 同 #3
19	MEDIUM	rc 4「manifest 讀不動」對權限錯誤與結構錯誤都不成立，兩者都掉回 rc 1「沒這個 entry」（resolve-marketplace.sh:259）	logic	fixed R3 — [ -r ] 不可讀 → rc 4；plugins 非陣列 / 頂層非物件 → rc 4；rc 1 語意改寫為「未提及或未列」並改測試描述
20	MEDIUM	resolve_plugin_dir containment is textual only — a symlink under the marketplace root defeats the new .. / absolute-path rejection（resolve-marketplace.sh:353）	security	fixed R3 — 目錄以 pwd -P 做實體包含檢查，逃出 root → rc 2；補 symlink fixture
21	MEDIUM	plugin_source_of is a public helper returning raw third-party bytes; its sanitization requirement is prose in a comment, enforced at exactly one call site（resolve-marketplace.sh:289）	security	fixed R3 — plugin_source_of 內部去控制字元並截斷 200；raw 只留私有函式
22	MEDIUM	同一個 Step 5 的輸出行仍寫死 plugins/ 前綴——修了偵測、沒修顯示（SKILL.md:557）	regression	fixed R3 — Step 5 輸出去掉 plugins/ 前綴
23	MEDIUM	12 個新前導全部引用 $PLUGIN_NAME，但 plugin-update 全檔沒有任何一處指派它（SKILL.md:186）	regression	fixed R3 — 同 #5
24	MEDIUM	plugin-debug 新 gate 用 exit 1 砍掉整個 block，連 cache-only 診斷都做不了；且它後面的 block 仍靠跨呼叫變數（SKILL.md:63）	regression	fixed R3 — plugin-debug gate 改 warn + SRC 留空；用到 $SRC 的 block 各加前導與 UNKNOWN 訊息
25	MEDIUM	沒有 python3 的機器上，rc 3 被摺成 rc 1，而 Step 0.1 診斷迴圈又把 rc 1 跳過——#18 的誤診原封不動地重現（resolve-marketplace.sh:1）	regression	fixed R3 — 同 #3
26	MEDIUM	Step 0.1 自己沒有 source 前導：新增的四分類診斷迴圈在自己的 shell 裡是 command-not-found(127)，而 case 只列 2/4/5、無 default → 一個字都不會印（SKILL.md:110）	devils-advocate	fixed R3 — 同 #6（gate block 有 source）；case 加 default 分支
27	MEDIUM	Step 0.1 診斷迴圈對 33 個 marketplace 各重建一次索引：實測 ~15 秒無輸出才吐 abort，把 CHANGELOG 記載已修掉的 O(N²) 索引重建搬回失敗路徑（SKILL.md:129）	devils-advocate	fixed R3 — 診斷迴圈改走一次 marketplace_index（nameroot），不再每名重建索引
28	LOW	Step 0.1's rc 2 message blames the manifest source when the real cause is an invalid plugin name（SKILL.md:137）	requirements	fixed R3 — 名稱不合法 → rc 6，Step 0.1 進迴圈前先擋並指名原因
29	LOW	CHANGELOG states che-ical-mcp as an affected marketplace; the issue marked it unverified and it was not verified here（CHANGELOG.md:17）	requirements	accepted — DA #47 已驗證 che-ical-mcp 為 ./plugin 佈局，CHANGELOG 陳述為真
30	LOW	rc 2（空字串 / 非字串 source）不走 legacy probe，與 rc 1/3/4/5 的「manifest 給不出本地路徑就探 plugins/」規則不一致（resolve-marketplace.sh:351）	logic	fixed R3 — rc 2 與字串驗證失敗也先探 plugins/，規則一致並寫進註解
31	LOW	$PLUGIN_NAME 本身格式不合法時，Step 0.1 會對機器上每一個 marketplace root 印出「你的 manifest 壞了」（resolve-marketplace.sh:341）	logic	fixed R3 — 同 #28
32	LOW	find_plugin_marketplace 新註解說「requires the manifest to declare the plugin」，但 entry-less legacy probe 讓未宣告的 plugins/ 也算命中（resolve-marketplace.sh:431）	logic	fixed R3 — find_plugin_marketplace 註解改寫為實際命中條件
33	LOW	plugin_names_for_paths 宣稱 deduped 但沒有去重，TOUCHED_COUNT 會把同一個目錄算成多個 plugin（resolve-marketplace.sh:388）	logic	fixed R3 — plugin_names_for_paths 輸出 sort -u
34	LOW	root-is-plugin 佈局下「commits 沒碰任何 plugin」這道空集合守衛永遠不會觸發（resolve-marketplace.sh:397）	logic	fixed R3 — root-is-plugin 擁有全部路徑：註解與 Step 5 明寫此語意（刻意）
35	LOW	三欄契約用 \| 當分隔符，但 source / root 路徑裡的 \| 沒被驗證擋掉（resolve-marketplace.sh:354）	logic	fixed R3 — source 含
36	LOW	Step 0.1's new diagnostic loop sanitizes $src but echoes $mp, $root and $PLUGIN_NAME on the same lines unsanitized（SKILL.md:136）	security	fixed R3 — $mp / $root / $PLUGIN_NAME 同樣去控制字元截斷
37	LOW	"source": "." lets any manifest on the search path claim any plugin name, widening what find_plugin_marketplace accepts as a hit（resolve-marketplace.sh:444）	security	fixed R3 — . / ./ 命中須有 /.claude-plugin/plugin.json
38	LOW	Step 0.1 診斷迴圈沒有 rc 0 分支：唯一真正可用的 root 反而不會被印出來（SKILL.md:133）	regression	fixed R3 — 迴圈加 rc 0 分支（印「這個 root 其實命中」）
39	LOW	共用 helper 的輸入域被悄悄縮窄：plugin 名只允許 [[:alnum:]._-]，舊的目錄探測則來者不拒（resolve-marketplace.sh:1）	regression	fixed R3 — 同 #28（rc 6 + 訊息區分）
40	LOW	root-is-plugin（source: "."）佈局讓兩個既有偵測永久誤報（resolve-marketplace.sh:1）	regression	fixed R3 — 同 #34；Phase 0.3 (c) 對 root-is-plugin 加註 shell-drift 恆真的語意
41	LOW	「12 個前導」普查漏掉兩處表格內的指令：Phase 2.5 Step 1 信號表與 Phase 3「更新 README」選項用了 $PLUGIN_DIR，卻不在任何 block 內，照抄執行必為空值且 git 在錯的 repo（SKILL.md:604）	devils-advocate	fixed R3 — 表格儲存格內的 $PLUGIN_DIR 改為 <PLUGIN_DIR> 敘述並指向帶前導的 block
42	INFO	cross-model 結果檔未刪除（plan mode 禁止非唯讀操作）（:None）	codex	noted — codex 結果檔清理屬 pai 端
43	INFO	Prompt-injection scan: clean, and untrusted manifest content is handled as data（resolve-marketplace.sh:331）	requirements	noted
44	INFO	Prompt-injection 檢查：未發現企圖改寫審查者任務的內容（:None）	logic	noted
45	INFO	No prompt-injection attempt found in the reviewed artifacts（:None）	security	noted
46	INFO	無 prompt-injection；外部寫入與 diff 內容一致；契約破壞的爆炸半徑已確認侷限於本 repo（:None）	regression	noted
47	INFO	更正 requirements 的 LOW：CHANGELOG 把 che-ical-mcp 列為受影響 marketplace 已可在本機驗證為真，不是未驗證的宣稱（CHANGELOG.md:17）	devils-advocate	noted — 採納此更正（#29）

Scope Check

改動全在 plugins/harness-devtools/；外部寫入與 diff 一致（#46）。

Next

R3：修上表所有 fixed R3 項後重新凍結、重跑 ensemble。

[kiki830621]

Verify: #18 — Round 3

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。5/6 完成；DA 因 session limit 未完成（fail-closed → integrity HIGH #9）。Frozen SHA 36c2f2c（idd-22-baseline..HEAD，5 commits）。

Result

FAIL — 9 HIGH / 11 MEDIUM / 13 LOW / 4 INFO。

Process Gaps

• devils-advocate: 撞 session limit（09:20 重置）→ R4 重跑整組。

要求覆蓋率

R2 的 11 個 HIGH 中，Step 0.1 單一 fence、名稱驗證、rc 3 / rc 6、名稱聯集、Phase 0.5 Step 5 / Phase 1 Step 1 自足確認關閉；但「以 MP_NAME 常值 pin marketplace」的設計本身不成立：resolve_marketplace_root 套 tie-break、find_plugin_marketplace 不套，同名多 checkout 時兩者選到不同 root（#2/#4/#5/#8，本機 che-local-plugins 可重現）；且 MP_NAME 來自第三方 manifest，要 agent 代入常值等於注入面（#7/#16）。resolver 端：legacy 探測沒做實體包含（#1/#17）、possession 只驗目錄存在（#6/#18）、路徑對映假設 marketplace root = git toplevel（#11/#12）。R4 改為 Step 0.1 寫 context 檔、後續 block 只 source + 重驗，agent 不再代入任何第三方值。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	resolve_plugin_dir 的 legacy fallback 繞過實體 containment 檢查（symlink 可逃逸 root）（resolve-marketplace.sh:None）	codex	fixed R4 — legacy 探測回傳前同樣做 pwd -P 實體包含檢查；補 plugins/ 為 symlink 的 fixture
2	HIGH	跨 block 只重傳 MP_NAME，無法固定 Step 0.1 實際選中的 checkout（SKILL.md:None）	codex	fixed R4 — Step 0.1 把驗證過的 MP_NAME / MP_ROOT / PLUGIN_DIR 寫進 context 檔（load_plugin_ctx 重驗 root 仍是該 marketplace 候選且 resolve_plugin_dir 結果一致）；後續 block 只 source 它，不再靠名稱重選 checkout
3	HIGH	Phase 2.5 Step 1 的 fence 沒有 cd "$MP_ROOT"／git -C，四個 git log 跑在 agent 當下的 cwd — README 信號 2 與 6 靜默跳過（#18 表格點名的 Phase 2.5）（SKILL.md:982）	requirements	fixed R4 — 前導末尾統一 cd "$MP_ROOT"，Phase 2.5 Step 1 隨之在 repo 內跑
4	HIGH	每個 block 的前導用 resolve_marketplace_root（有 tie-break）重推 MP_ROOT，Step 0.1 用的是 find_plugin_marketplace（刻意跳過 tie-break）—— 同名 marketplace 時兩者解到不同 root，且與 SKILL.md 自己的保證相反（SKILL.md:186）	requirements	fixed R4 — 同 #2
5	HIGH	每個 block 的前導用 MP_NAME 重新解析 root，會選到跟 Step 0.1 不同的 checkout（已實地重現）（SKILL.md:200）	logic	fixed R4 — 同 #2
6	HIGH	resolve_plugin_dir 的「possession」檢查只驗目錄存在、不驗身分：任何既有目錄都能當 PLUGIN_DIR，source: "." 可冒名（resolve-marketplace.sh:387）	logic	fixed R4 — manifest 來源的目錄須含 .claude-plugin/plugin.json 且其 name（若有）等於請求名；. 佈局同樣比對 name；legacy plugins/ 以目錄名為持有判準（akashic 型物化 subtree 沒有 plugin.json）
7	HIGH	MP_NAME 來自第三方 manifest、未經驗證就交給 agent 代入單引號常值 → 指令注入（已實測）（SKILL.md:168）	security	fixed R4 — MP_NAME 由 write_plugin_ctx 驗證（[A-Za-z0-9._-]）後寫進檔案，agent 不再代入任何第三方值；Phase 1 Step 1 輸出經 clean()
8	HIGH	每個 block 的前導只 pin marketplace「名稱」，重解析出的 MP_ROOT 可能不是 Step 0.1 gate 過的那個 checkout（#16 失敗模式回來）（SKILL.md:200）	regression	fixed R4 — 同 #2
9	HIGH	devils-advocate did not complete（:None）	devils-advocate	process gap — DA 撞 session limit（09:20 重置）；R4 重跑
10	MEDIUM	Phase 2.5 Step 1 未 cd/-C 到 MP_ROOT，git 訊號依賴呼叫時的工作目錄而靜默落空（SKILL.md:None）	codex	fixed R4 — 同 #3
11	MEDIUM	plugin_names_for_paths 拿「git repo root 相對路徑」去比對「marketplace root 相對前綴」：marketplace root 不是 git repo root 時靜默回空 → Phase 0.5 Step 5 誤報「沒碰到任何 plugin」、Phase 1 Step 1 推斷不到（resolve-marketplace.sh:443）	requirements	fixed R4 — plugin_names_for_paths 以 git rev-parse --show-prefix 把 repo-relative 路徑對齊到 marketplace root；補巢狀 marketplace fixture
12	MEDIUM	plugin_names_for_paths 預設 marketplace root == git repo root；巢狀 marketplace（本機的 che-local-plugins）安靜回傳空集合（resolve-marketplace.sh:443）	logic	fixed R4 — 同 #11
13	MEDIUM	plugin-debug 的新 diff 迴圈把 diff 的 rc 2（cache 目錄不存在/讀不動）報成「DIFFERS」（SKILL.md:120）	logic	fixed R4 — diff rc 三分：0 相同 / 1 差異 / ≥2 UNKNOWN；cache 目錄不存在先報 UNKNOWN
14	MEDIUM	Phase 0.3 Step 2 呼叫的 detect_binary_repo 全 repo 找不到定義；在新明訂的「每個 fence 各自一個 shell」模型下必然靜默失效（SKILL.md:293）	logic	fixed R4 — Step 2 (d) 內定義 detect_binary_repo（從 wrapper 的 GITHUB_REPO= / REPO= 取 owner/repo，三個候選路徑）
15	MEDIUM	「變數不跨 block」這條規則只套用在 MP_ROOT / PLUGIN_DIR，Phase 0.3 Step 4 仍跨 block 讀 Step 2 的六個變數（SKILL.md:320）	logic	fixed R4 — Step 2 fence 自行算出 Case A/B/C 並印出數字，Step 4 只依印出的 case 派發（不再跨 block 讀六個變數）
16	MEDIUM	「代入後才檢查」在結構上擋不住注入：shell 守衛永遠跑在逃逸之後（SKILL.md:199）	security	fixed R4 — 同 #2（context 檔取代代入；只剩使用者自己的引數 PLUGIN_NAME，仍以 allowlist 雙層驗證）
17	MEDIUM	legacy plugins/<name> 探測沒有實體包含檢查，symlink 可把 PLUGIN_DIR 指到 root 之外（已實測）（resolve-marketplace.sh:407）	security	fixed R4 — 同 #1
18	MEDIUM	source: "." 的「宣告不等於持有」守門只檢查 root 有 plugin.json，不比對它的 name（resolve-marketplace.sh:385）	regression	fixed R4 — 同 #6
19	MEDIUM	plugin-debug 新 diff 迴圈把「cache 路徑不存在」誤報成 DIFFERS——unknown/no 混淆換個位置重演（SKILL.md:118）	regression	fixed R4 — 同 #13
20	MEDIUM	Phase 2.5 Step 1 的前導漏了 cd "$MP_ROOT" / git -C，signal-2 與 signal-6 會安靜失效（SKILL.md:981）	regression	fixed R4 — 同 #3
21	LOW	Phase 1.5 Step 1 訊號表的第 4 列（skills/hooks 引用 ~/bin/$BINARY）被降格為純敘述，但它指向的 Phase 0.3 Step 1 fence 並未實作該訊號（SKILL.md:652）	requirements	fixed R4 — 表格第 4 列指向的判斷加進 Phase 0.3 Step 1 fence
22	LOW	前導把兩個名字串接後才檢查空值，等於只擋「兩個都空」（SKILL.md:199）	logic	fixed R4 — 兩個名字分開驗、含 . 與 ..
23	LOW	[[:alnum:]] 受 locale 影響，實際允許集合不是註解宣稱的 [A-Za-z0-9._-]（resolve-marketplace.sh:365）	logic	fixed R4 — 改用明確範圍 [A-Za-z0-9._-] 並 LC_ALL=C
24	LOW	Step 0.1 診斷迴圈 rc 0 分支的解釋指向一個到不了的成因（SKILL.md:141）	logic	fixed R4 — rc 0 分支說明改為「walk 時被同名前序 root 遮住」
25	LOW	plugin-debug 的名稱 gate 比 plugin-update 少擋 . / ..，而後面仍有未引號的插值（SKILL.md:59）	logic	fixed R4 — 同 #22（plugin-debug）
26	LOW	Phase 1 Step 1 對每個 marketplace × 每個 plugin 名各啟動一次 python3（SKILL.md:621）	logic	accepted — LOW；Phase 1 Step 1 是互動式推斷，成本可接受
27	LOW	前導守衛把兩個值串起來檢查，空的 PLUGIN_NAME 與 ./.. 都會漏過（SKILL.md:199）	security	fixed R4 — 同 #22
28	LOW	plugin-debug 的新守衛允許 . / ..，而 PLUGIN_NAME 未加引號地進入 cache 路徑（含一處 rm -rf）（SKILL.md:59）	security	fixed R4 — 同 #22
29	LOW	marketplace_plugin_names 是公開 API，卻回傳未過濾的第三方名稱字串（resolve-marketplace.sh:311）	security	fixed R4 — marketplace_plugin_names 只回傳合法字元的名字
30	LOW	Phase 0.5 Step 5 移除了自我守門與 TOUCHED 的舊語意，兩者都沒進 CHANGELOG（SKILL.md:566）	regression	fixed R4 — CHANGELOG 補 Step 5 語意變更
31	LOW	前導的名稱驗證把兩個名字串接後才檢查，比 Step 0.1 的檢查弱（SKILL.md:199）	regression	fixed R4 — 同 #22
32	LOW	Phase 1 Step 1 從「掃一個 marketplace repo」擴成「掃機器上每個 marketplace root」（SKILL.md:618）	regression	fixed R4 — 散文明寫 Phase 1 Step 1 掃全機 marketplace（刻意，供使用者挑）
33	LOW	External write 宣稱同根因檔案只有 plugin-debug / plugin-deploy，但 rules/tool-readme-sync-plugin.md 也寫死 aggregator 佈局（tool-readme-sync-plugin.md:123）	regression	fixed R4 — 在 #23 補一則 comment 列入 rules/tool-readme-sync-plugin.md
34	INFO	cut -c1-200 是字元數且未在 C locale 下執行，與「capped at 200 bytes」的敘述不符（resolve-marketplace.sh:200）	logic	fixed R4 — LC_ALL=C cut
35	INFO	Step 0.1 診斷把最多 200 字元的第三方 source 值印進 agent context，僅去控制字元、未加界定（SKILL.md:140）	security	noted — 已去控制字元並截斷；值前後有引號界定
36	INFO	提供的 issue 內文與 EXTERNAL_WRITES 區塊未發現 prompt-injection 嘗試（:None）	security	noted
37	INFO	prompt-injection 掃描：diff 與 issue 內容中未發現針對審閱者的注入（:None）	regression	noted

Scope Check

改動全在 plugins/harness-devtools/；#33 指出 rules/tool-readme-sync-plugin.md 也寫死 aggregator 佈局 → 補進 #23。

Next

R4：修上表 fixed R4 項後重新凍結，09:20 後重跑 ensemble（含 DA）。

[kiki830621]

Verify: #18 — Round 4

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA bdacfd1（idd-22-baseline..HEAD，6 commits）。

Result

FAIL — 7 HIGH / 16 MEDIUM / 15 LOW / 7 INFO。

要求覆蓋率

R3 的「pin checkout 而非名稱」與「第三方值不經 agent」在設計上成立（DA #45 實證 possession 規則對本機 96 個真實佈局全部通過），但 context 檔的實作有兩個結構性洞：load_plugin_ctx 用 source 載入（先執行後驗證，#1/#4/#15/#20）、write_plugin_ctx 對可預測路徑做 truncate-write（跟隨 symlink，#7）。另外 R4 順手加的 ~/bin 散文信號會把 harness-devtools 自己判成 binary-backed（#2/#6/#11）——超出 #18 範圍，移除。R5：ctx 改純資料 parse + 私有 state 目錄 + 擁有者/symlink 檢查 + Phase 5 清除；possession 對壞 JSON fail-closed、legacy 目錄須有 plugin 形狀；typo source 不再被 legacy 救回；Phase 3/4/5 fence 補前導。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	load_plugin_ctx 先 source 再驗證：context 檔內容在任何檢查之前就已被當 shell 執行（resolve-marketplace.sh:None）	codex	fixed R5 — load_plugin_ctx 改為逐行 parse（sed 抽四個 key，值再過 allowlist），不再 source
2	HIGH	新增的 ~/bin 信號會把任何「只是在文件裡提到 ~/bin/」的 plugin 判成 binary-backed（harness-devtools 自己就中）（SKILL.md:255）	logic	fixed R5 — 移除 ~/bin 散文信號（表格第 4 列保留為文件敘述，標明非可執行判準；wrapper 偵測歸 #22）
3	HIGH	Case A 斷言「binary vX has no unreleased commits on main」，但 tag／local clone 不存在時 BINARY_UNRELEASED 恆為 0，又是「查不到」變「沒有」（SKILL.md:335）	logic	fixed R5 — BINARY_UNRELEASED 三態：數字 / unknown（無 clone、無 tag、非 main）；unknown 不落 Case A，訊息改「未能查證」
4	HIGH	load_plugin_ctx .-sources a predictably-named file in a shared temp dir → arbitrary code execution before any verification（resolve-marketplace.sh:537）	security	fixed R5 — ctx 改放 ${XDG_STATE_HOME:-~/.local/state}/harness-devtools/（mkdir 700），mktemp 後 mv、拒絕 symlink、要求 [ -O ]；load 不 source
5	HIGH	_is_plugin_named fails open on an unparseable or name-less plugin.json, so a foreign repo can claim any plugin name with source: "."（resolve-marketplace.sh:394）	security	fixed R5 — plugin.json 解析失敗 / 無 name → 不算持有（rc 2）；python3 缺席時只接受目錄名等於請求名的情況
6	HIGH	Phase 0.3 Step 1 的新 ~/bin 信號把純 shell plugin 誤判為 binary-backed（本 issue 範圍外的新增偵測，且 harness-devtools 自己就中）（SKILL.md:255）	regression	fixed R5 — 同 #2
7	HIGH	write_plugin_ctx 跟隨 symlink：Step 0.1 會截斷並覆寫任意可寫檔案（實測成立，與已回報的「讀」側 RCE 是不同漏洞）（resolve-marketplace.sh:529）	devils-advocate	fixed R5 — 同 #4（mktemp+mv 不跟 symlink；Phase 5 結束 rm ctx）
8	MEDIUM	context 僅以 plugin 名稱索引：並行 session 可悄悄把已過 gate 的 checkout 換掉，而 load_plugin_ctx 的重驗抓不到（SKILL.md:None）	codex	accepted（理由更正）— 一人一機、plugin-update 不會同名並行；非「重驗會擋」。ctx 內另寫 invocation id 與時間戳供 Phase 5 對照
9	MEDIUM	A typo'd source is silently rescued by the legacy probe — contradicting the doc this same diff adds（resolve-marketplace.sh:439）	requirements	fixed R5 — 有 entry 但相對 source 不可用（含 typo）→ rc 2 不再被 legacy 救回；legacy 只救 rc 1/3/4/5
10	MEDIUM	Phase 3/4/5 still take {marketplace_name} / {plugin_name} by agent substitution — the Step 0.1 pin never reaches the phases that mutate the install（SKILL.md:1169）	requirements	fixed R5 — Phase 3/4/5/批次 fence 加前導並改用 "$MP_NAME" / "$PLUGIN_NAME"
11	MEDIUM	The newly added 4th binary-backed signal misclassifies pure-shell plugins — including harness-devtools itself（SKILL.md:255）	requirements	fixed R5 — 同 #2
12	MEDIUM	The nameless invocation is now unspecified: Step 0.1 hard-aborts on an empty name, and the old deferral branch was deleted（SKILL.md:100）	requirements	fixed R5 — Step 0.1 對空名稱給獨立訊息：先跑 Phase 1 Step 1 推斷再帶名稱重跑；Step 0 stage list 註明無引數時順序
13	MEDIUM	SHELL_VERSION / MP_VERSION 同時解析失敗時 MP_DRIFT=no，Case A 拿兩個空字串宣布「已同步」（SKILL.md:279）	logic	fixed R5 — SHELL_VERSION 讀不到 → abort（讀不到 ≠ 已同步）
14	MEDIUM	rc 2 的診斷訊息與 resolve_plugin_dir 的 rc 表把新 possession 規則只寫成「'.' 佈局缺 plugin.json」，指錯修復對象（SKILL.md:143）	logic	fixed R5 — rc 2 訊息與 rc 表補「目標目錄無 plugin.json / name 不符」，建議指向目錄而非 manifest
15	MEDIUM	load_plugin_ctx 先 . "$file" 執行、後才驗證；TMPDIR 未設時檔案落在可預測的 /tmp 路徑（resolve-marketplace.sh:543）	logic	fixed R5 — 同 #1/#4
16	MEDIUM	PLUGIN_NAME is interpolated into a single-quoted shell literal in 13 fences with only a model-side eyeball check as the guard（SKILL.md:97）	security	accepted — 殘餘注入面只剩使用者自己的引數（代入前肉眼核對 + shell 端 case + load 端 _valid_name）；文件明寫這是唯一代入值
17	MEDIUM	Phase 0.3 Step 2 合併後，Case C（sync intent confirmed）這條 happy path 的 fence 以 exit 1 結束（SKILL.md:344）	regression	fixed R5 — Case C 分支尾端 exit 0
18	MEDIUM	Phase 1 Step 1 從「掃一個 repo」擴成「掃全機 35 個 marketplace」，實測 11.07s —— 與本次改動自己訂下的效能標準相牴觸（SKILL.md:659）	regression	fixed R5 — Phase 1 Step 1 只掃一個 marketplace：cwd 在某 marketplace root 內就用它，否則請使用者先選；不再全機掃
19	MEDIUM	Phase 0.5 Step 5 刪掉 TARGET_PLUGIN 的 deferral，未帶 plugin 名的呼叫變成無出口的循環（Step 0 stage list 未同步）（SKILL.md:602）	regression	fixed R5 — 同 #12
20	MEDIUM	load_plugin_ctx 先 source 再驗證，且 ctx 檔路徑可預測、從不清除（resolve-marketplace.sh:543）	regression	fixed R5 — 同 #1/#4；Phase 5 結束 rm ctx
21	MEDIUM	plugin-debug 的改動超出 #18（路徑解析）範圍，與 #23 的既有記錄對不上（SKILL.md:121）	regression	fixed R5 — #23 補 comment 明寫 #18 已改的 plugin-debug 語意（SRC 留空、diff rc 三分、hooks 目錄比對）
22	MEDIUM	possession 只補了 manifest 這一半：任何 repo 用一個「空的 plugins// 目錄」仍可冒名頂替，且索引序在前者直接勝出（resolve-marketplace.sh:439）	devils-advocate	fixed R5 — legacy plugins/ 須含 .claude-plugin / skills / commands / hooks / agents / .mcp.json 其一，空目錄不算持有
23	MEDIUM	「第三方 manifest 的值不經 agent 代入」這個宣稱與同一份 SKILL.md 的 Phase 3/4/5 直接矛盾，而且本 diff 刪掉了唯一示範怎麼取得該值的片段（SKILL.md:1169）	devils-advocate	fixed R5 — 同 #10
24	LOW	_plugin_source_of 的原始文字 grep 預篩對 JSON \u 跳脫名稱會給出假的 rc 1，並與 marketplace_plugin_names 自相矛盾（resolve-marketplace.sh:None）	codex	accepted — grep 預篩對 \u 跳脫名稱的假 rc 1 屬已記錄的成本取捨
25	LOW	Phase 1 Step 1 surfaces the marketplace for the user to choose, then throws the choice away（SKILL.md:666）	requirements	fixed R5 — 同 #18
26	LOW	Duplicated cd "$MP_ROOT" left behind by mechanical preamble insertion（SKILL.md:428）	requirements	fixed R5 — 移除前導後重複的 cd
27	LOW	[[:cntrl:]] 在 resolve_plugin_dir / write_plugin_ctx 沒有 LC_ALL=C —— 正是本輪在 _valid_name 修掉的那類 locale 依賴（resolve-marketplace.sh:417）	logic	fixed R5 — 相關函式 local LC_ALL=C
28	LOW	marketplace_plugin_names 用 find -type d（不跟 symlink）而 resolve_plugin_dir 的 legacy 探測用 [ -d ]（跟 symlink），兩種 possession 判準不一致（resolve-marketplace.sh:463）	logic	fixed R5 — marketplace_plugin_names 用 -type d -o -type l 與 legacy 探測一致
29	LOW	load_plugin_ctx 錯誤訊息的 rc $? 在「解析成功但值不符」時印 1，與 resolve_plugin_dir 的 rc 1（未列）撞號；契約註解漏了 rc 6（resolve-marketplace.sh:549）	logic	fixed R5 — load 錯誤訊息改印實際 rc；契約註解補 rc 6
30	LOW	前導之後多出一行未檢查回傳值的 cd "$MP_ROOT"（6 個 fence）（SKILL.md:298）	logic	fixed R5 — 同 #26
31	LOW	沒有 python3 的機器上，Step 0.1 診斷迴圈會對「單純打錯名字」列出全機每一個 marketplace 的 rc 3 警告（SKILL.md:137）	logic	accepted — 無 python3 機器上的 rc 3 迴圈訊息屬正確描述
32	LOW	_valid_name accepts names beginning with - and dotfile-shaped names such as .git / .claude-plugin（resolve-marketplace.sh:370）	security	fixed R5 — _valid_name 拒絕以 . 或 - 開頭
33	LOW	Third-party source strings are echoed into the agent's context by Step 0.1's diagnostic loop (bounded and labelled, but still an untrusted-text channel)（SKILL.md:137）	security	accepted — 已界定、去控制字元、截斷
34	LOW	前導插入留下 5 處重複的 cd "$MP_ROOT"（SKILL.md:428）	regression	fixed R5 — 同 #26
35	LOW	plugin-debug 版本查詢把「plugin.json 讀不到」誤報成「源碼未解析」（SKILL.md:88）	regression	fixed R5 — plugin-debug 版本查詢區分「源碼未解析」與「plugin.json 讀不到」
36	LOW	Phase 1 Step 1 的 --literal-pathspecs 在該處無作用（沒有 pathspec）（SKILL.md:659）	regression	fixed R5 — 移除無 pathspec 處的 --literal-pathspecs
37	LOW	plugin_names_for_paths 看不到 git 引號化的路徑：非 ASCII 檔名 → TOUCHED_COUNT=0 →「沒有 plugin 被 touch」誤報（正是本 issue 要消滅的那類「不知道變成沒有」）（resolve-marketplace.sh:501）	devils-advocate	fixed R5 — 餵 plugin_names_for_paths 的 git 加 -c core.quotePath=false
38	LOW	更正兩項被高估的指控：重複 cd 是 5 處不是 6；新增的第 4 個 binary 信號不是「本 issue 範圍外的新增偵測」（SKILL.md:254）	devils-advocate	noted
39	INFO	Prompt-injection scan: nothing found; the adversarial strings in the diff are test fixtures（:None）	requirements	noted
40	INFO	_is_plugin_named 的兩條「python3 不可用」退路是不可達的（resolve-marketplace.sh:400）	logic	noted — 不可達的退路一併移除（同 #5）
41	INFO	plugin-debug: CACHE_VER 的 ls 沒有 2>/dev/null，cache 不存在時使用者先看到裸的 ls 錯誤（SKILL.md:111）	logic	fixed R5 — ls 加 2>/dev/null
42	INFO	Prompt-injection 掃描：未發現指向審查者的注入（:None）	logic	noted
43	INFO	No prompt-injection attempt found in the reviewed artifacts（:None）	security	noted
44	INFO	未發現 prompt-injection（:None）	regression	noted
45	INFO	驗證項 (f) 實證通過：possession 規則沒有弄壞任何真實佈局（96/96）；順帶查出一筆真實的壞 manifest entry（resolve-marketplace.sh:409）	devils-advocate	noted — 96/96 真實佈局通過；壞 entry 另行處理

Scope Check

改動全在 plugins/harness-devtools/；plugin-debug 的語意變更補記到 #23（#21）。

Next

R5：修上表 fixed R5 項後重新凍結、重跑 ensemble。

[kiki830621]

Verify: #18 — Round 5

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA 585320d（idd-22-baseline..HEAD，7 commits）。

Result

FAIL — 7 HIGH / 13 MEDIUM / 16 LOW / 3 INFO。

要求覆蓋率

R4 的 7 HIGH 確認關閉（ctx 純資料、symlink、~/bin 信號、BINARY_UNRELEASED 三態）。R5 抓到四個真問題：(1) possession 只認 .claude-plugin/plugin.json，safari-browser / che-apple-dev / anything-downloader（plugin.json 在根目錄）從命中變 rc 1——DA #7 的駁回經本機實測是錯的，採 logic/regression 的結論；(2) load_plugin_ctx 用 marketplace_candidates（有 tie-break）重驗，Step 0.1 用索引序，巢狀同名 marketplace（che-local-plugins）Step 0.1 通過後每個 fence 都失敗；(3) Step 1 wrapper 偵測 pipeline 退出碼恆 0；(4) binary-backed 但 plugin.json 無 binary_version（che-ical-mcp、che-keychain 用 binaryVersion）被當非 binary → Case A。另 Phase 1 選定的 marketplace 沒帶進 Step 0.1、ctx 無 TTL、troubleshooting block 依賴已刪的 ctx。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	Phase 1 confirms a marketplace from cwd but hands Step 0.1 only the plugin name, which re-resolves globally（SKILL.md:None）	codex	fixed R6 — Step 0.1 接受可選 MP_NAME（使用者 / Phase 1 選定；shell allowlist 守門）：有值時只在該 marketplace 的候選 root 內解析，不再全域重選
2	HIGH	Binary gate still verifies nothing for two of the three plugins #18 names: binary_version absent ⇒ treated as "not binary-backed" ⇒ Case A "Nothing to sync"（SKILL.md:325）	requirements	fixed R6 — Step 2 fence 內重算 IS_BINARY_BACKED；binary-backed 但 plugin.json 無 binary_version / binaryVersion → BINARY_UNRELEASED=unknown → Case B 並明講
3	HIGH	Possession check requires .claude-plugin/plugin.json — three installed plugins regress from resolvable to a hard Step 0.1 abort（resolve-marketplace.sh:403）	logic	fixed R6 — 已實測確認（DA #7 駁回錯誤）：possession 接受 /plugin.json（Claude Code 亦支援的位置），_looks_like_plugin 亦計入
4	HIGH	新的 possession 檢查讓三個現役 plugin 在 Step 0.1 直接 abort（plugin.json 放在 plugin 根目錄、不在 .claude-plugin/ 下）（resolve-marketplace.sh:401）	regression	fixed R6 — 同 #3
5	HIGH	新增的 load_plugin_ctx 重驗與 find_plugin_marketplace 用兩套 source of truth：plaud-transcriber / teaching-toolkit 在 Step 0.1 通過、之後每個 fence 都 rc 2 abort（本機實測）（resolve-marketplace.sh:616）	devils-advocate	fixed R6 — load_plugin_ctx 改以 marketplace_index 的 nameroot 列重驗（與 find_plugin_marketplace 同一份 source of truth，不套 tie-break）；補同名雙 checkout fixture
6	HIGH	（修正 + 加碼）Phase 0.3 Step 1 的 binary 偵測退出碼恆為 0，而 diff 新增的 echo 把這個常數印成量測值；requirements 對「兩個 plugin 沒有 binary_version」的計數則是錯的（SKILL.md:253）	devils-advocate	fixed R6 — Step 1 wrapper 偵測改 grep -lq（pipeline 退出碼恆 0 的 bug）；Case A 條列補 binary 狀態
7	HIGH	（駁回）「possession 檢查讓三個現役 plugin 在 Step 0.1 直接 abort」是假陽性——實測三個佈局全部 rc 0（resolve-marketplace.sh:264）	devils-advocate	rejected — DA 對 #3/#4 的駁回本身錯誤：safari-browser / che-apple-dev / anything-downloader 實測 rc 1（plugin.json 在根目錄），已修
8	MEDIUM	Trailing newline in marketplace.json source is stripped by command substitution before the control-char check, so an invalid source passes as valid（resolve-marketplace.sh:None）	codex	fixed R6 — python 端先檢查原始字串的控制字元（含尾端換行）→ rc 2；補測試
9	MEDIUM	Phase 1.5 Step 5's auto-sync fence still depends on a cross-fence $BINARY_NAME, with no preamble and no guard（SKILL.md:886）	requirements	fixed R6 — Phase 1.5 Step 5 兩個 fence 加前導與 BINARY_NAME 守門（由 Step 2 輸出代入、allowlist 核對）
10	MEDIUM	The context file's stated freshness guarantee is not implemented: cleanup only on the Phase 5 happy path, and CTX_ID / WRITTEN are written but never checked（resolve-marketplace.sh:570）	requirements	fixed R6 — WRITTEN_EPOCH 寫入、load 端 TTL（6 h）；Case A/B 與 Phase 0.5 abort 分支明寫 remove_plugin_ctx；troubleshooting block 改為自足（直接 find_plugin_marketplace）
11	MEDIUM	plugin_names_for_paths swallows every unresolvable name — “cannot tell” becomes “not touched”, the exact failure #18 forbids（resolve-marketplace.sh:527）	logic	fixed R6 — plugin_names_for_paths 對解析失敗的名稱印 stderr 警告（不再靜默 continue）；Step 5 / Phase 1 Step 1 看得到
12	MEDIUM	Legacy probe and manifest path use different possession rules, so a plugin can pass Step 0.1 and then stop resolving the moment Phase 2 Step 3 writes its entry（resolve-marketplace.sh:401）	logic	fixed R6 — possession 規則統一：manifest 路徑與 legacy 探測都走同一個 _is_plugin_named（有 plugin.json 就比對 name，沒有則目錄名 + 形狀）
13	MEDIUM	Phase 0.3 Step 1 wrapper detection is unconditionally true — IS_BINARY_BACKED=true for every plugin without .mcp.json（SKILL.md:253）	logic	fixed R6 — 同 #6
14	MEDIUM	plugin-debug: a component directory missing from the cache is classified UNKNOWN, not DIFFERS — that is the staleness the phase exists to find（SKILL.md:127）	logic	accepted — DA #39 下修；cache 缺目錄的 diff 本身會印出缺哪個路徑，UNKNOWN 分支訊息已點名
15	MEDIUM	Legacy plugins/<name> possession is name-only, and find_plugin_marketplace takes the first index hit — a shadow root can capture the plugin and become the repo later fences cd into and git push（resolve-marketplace.sh:465）	security	fixed R6 — 同 #12（legacy 目錄若帶 plugin.json 必須 name 相符）；純目錄名 + 形狀的殘餘冒名面記錄為已知取捨（entry-less 新 plugin 狀態所需）
16	MEDIUM	Context file has no freshness binding: CTX_ID/WRITTEN are written but never checked, so a context left by an aborted run pins that run's checkout for the next one（resolve-marketplace.sh:604）	security	fixed R6 — 同 #10
17	MEDIUM	常見問題（troubleshooting）區段的 block 需要 context 檔，但 Phase 5 Step 1 已經把它刪掉（SKILL.md:1292）	regression	fixed R6 — 同 #10（troubleshooting 自足）
18	MEDIUM	沒帶 plugin 名的 invocation 在非 marketplace 目錄下沒有可走的路：Phase 1 Step 1 叫你「重跑本 block」，但重跑必然得到同一個結果（SKILL.md:686）	regression	fixed R6 — Phase 1 Step 1 接受可選 MP_NAME（已設就沿用，不再被 cwd 推斷清空）
19	MEDIUM	「每個 bash block 都以前導開頭、值不跨 fence」的宣稱沒有涵蓋 Phase 1.5 Step 5，而那裡的空變數會 cd 到隨機 repo（SKILL.md:884）	regression	fixed R6 — 同 #9
20	MEDIUM	批次更新 fence 的信任模型與 Step 0.1 自相矛盾：同一個 marketplace 名在 Step 0.1 被當 untrusted 拒收，在這裡卻由 agent 手貼且零 shell 檢查（SKILL.md:1314）	devils-advocate	fixed R6 — 批次更新 fence 加同款 case 守門
21	LOW	Context file keyed only by plugin name (Codex re-raises the documented concurrency trade-off, with a CTX_ID detail)（resolve-marketplace.sh:None）	codex	accepted — 同名並行的既有取捨（一人一機）
22	LOW	README/CLAUDE.md claim ./plugin layouts "都能命中", but an entry-less single-plugin layout still resolves rc 1 — the "new plugin, add its entry" state is aggregator-only（README.md:95）	requirements	fixed R6 — README / CLAUDE.md 措辭限縮：entry-less 只救 plugins/
23	LOW	_ctx_value_ok rejects '=', so a legal path containing '=' resolves but aborts Step 0.1 with a message that never mentions '='（resolve-marketplace.sh:579）	logic	fixed R6 — 允許路徑含 =
24	LOW	Context file survives every abort path and nothing enforces the stated staleness guarantee (CTX_ID is written, loaded, never compared)（resolve-marketplace.sh:612）	logic	fixed R6 — 同 #10
25	LOW	plugin-debug's name gate is looser than _valid_name, so dotfile/option-shaped names get the wrong failure reason（SKILL.md:57）	logic	fixed R6 — plugin-debug 名稱 gate 與 _valid_name 一致，grep 加 --
26	LOW	Phase 0.3 Step 2: MP_VERSION extraction has no failure handling; a mis-shaped manifest entry silently becomes “” and forces Case C（SKILL.md:295）	logic	fixed R6 — MP_VERSION 抽取加 try / .get 並 2>/dev/null；移除 Step 2 殘留的重複 cd
27	LOW	plugin_ctx_dir trusts $XDG_STATE_HOME and only inspects the final directory component — ancestor symlinks and a pre-existing world-writable state dir both pass（resolve-marketplace.sh:572）	security	fixed R6 — 既有 state 目錄檢查 mode 700（group/other 可寫即拒絕）
28	LOW	detect_binary_repo builds a filesystem path from plugin file content without rejecting ./.. segments（SKILL.md:317）	security	fixed R6 — detect_binary_repo 的 owner/repo 兩段各過 allowlist
29	LOW	plugin-debug's new preamble allowlist is weaker than _valid_name, and its grep still lacks --（SKILL.md:59）	security	fixed R6 — 同 #25
30	LOW	Step 0.1's diagnostic loop echoes untrusted manifest strings into the agent's own transcript; only source is labelled untrusted, the marketplace name is not（SKILL.md:143）	security	accepted — 已界定、去控制字元、截斷（顯示層）
31	LOW	plugin-debug 的 hooks 比對語意順手換掉（單檔 hooks.json → 整個 hooks/ 目錄遞迴 diff），與 #18 無關且無測試（SKILL.md:123）	regression	fixed R6 — hooks 比對改回單檔 hooks.json（rc 三分保留）
32	LOW	write_plugin_ctx 對路徑的 allowlist 連 = 都拒絕，會讓合法 checkout 路徑在 Step 0.1 硬 abort（resolve-marketplace.sh:579）	regression	fixed R6 — 同 #23
33	LOW	Phase 0.5 Step 5 的跨 plugin 警告會把「manifest 壞掉的 plugin」算成「沒碰到任何 plugin」（SKILL.md:631）	regression	fixed R6 — 同 #11
34	LOW	Phase 2 Step 4 的 commit 訊息留著 {version} 佔位，違反同一個 fence 前導宣告的「唯一由 agent 代入的是 PLUGIN_NAME」（SKILL.md:996）	devils-advocate	fixed R6 — commit 訊息的版本在 fence 內從 plugin.json 讀（argv python）
35	LOW	CHANGELOG 宣稱 Step 0.1 未命中時「印出的每個值去控制字元並截斷」，但同一分支的 list_marketplaces 輸出未消毒（實測 ESC 可穿過）（SKILL.md:118）	devils-advocate	fixed R6 — 「已搜尋」那行也過 clean()
36	LOW	沒帶 plugin 名的 invocation：R5 給的脫困指示（ROOT=$(resolve_marketplace_root ) 重跑本 block）是無效的——block 開頭就把 ROOT 清空重推（SKILL.md:688）	devils-advocate	fixed R6 — 同 #18；Step 0.1 把字面 佔位也歸入「沒帶名稱」分支
37	INFO	External write on #18 undercounts plugin-deploy's remaining hardcodes ("plugin-deploy 4 處" vs 5 sites)（SKILL.md:56）	requirements	fixed R6 — #23 補記 plugin-deploy 為 5 處
38	INFO	No prompt-injection content found in the untrusted blocks（:None）	requirements	noted
39	INFO	（下修）plugin-debug 把 cache 缺目錄判成 UNKNOWN 而非 DIFFERS，沒有 logic 說的那麼嚴重——diff 自己會印出缺哪個路徑，分支訊息也點名（SKILL.md:118）	devils-advocate	noted — 採納此下修（#14）

Scope Check

改動全在 plugins/harness-devtools/；#23 補記 plugin-deploy 為 5 處。

Next

R6：修上表 fixed R6 項後重新凍結、重跑 ensemble。

[kiki830621]

Sister Bugs Filed (mid-impl, v2.44.0+ #526) — R6 更正

Implementation Complete 那則寫的「實作期未再發現同根因的其他檔案」不成立。verify R6 的 requirements / regression lens 對 repo 全掃後另找到兩支同根因、針對既有 plugin 的 skill，已補進 #23：

• skills/plugin-upgrade/SKILL.md L70 — PLUGIN_DIR="$MARKETPLACE_ROOT/plugins/{plugin-name}"（與本 issue 標題的構造一模一樣）
• skills/plugin-health/SKILL.md L192–205 — Phase 3 只列舉 plugins/ 子目錄且 marketplace 名寫死，單一 plugin marketplace 不會被檢查

同時更正 #23 的計數：plugin-deploy 是 6 處（非 4 / 5）。#23 已 comment 補記。本 issue 的 diff 不動這兩支（同 #23 的分工）。

[kiki830621]

Verify: #18 — Round 6

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA 1972488（idd-22-baseline..HEAD，8 commits）。

Result

FAIL — 6 HIGH / 11 MEDIUM / 13 LOW / 5 INFO。

要求覆蓋率

R5 的 7 HIGH 確認關閉（possession 一套規則、索引重驗 + TTL、Step 0.1 可指定 marketplace、binary unknown 態）。R6 的 6 HIGH 是四個新缺口，全部實測屬實：(1) resolver 在 R5 承認根目錄 plugin.json，但 plugin-update / plugin-debug 每個讀 plugin.json 的點仍寫死 .claude-plugin/plugin.json——Phase 2 abort、Phase 2.5 靜默「沒有 stale」（safari-browser / che-apple-dev / anything-downloader 命中）；(2) Step 0.1 帶 MP_NAME 對 che-local-plugins 誤判為多份 checkout（父子兩列解析到同一實體目錄）；(3) Case B 沒跟上 unknown 態（本機 28 個 binary-backed plugin 有 21 個無 pin）；(4) _dir_mode 在 GNU coreutils 下 stdout 被污染。R7（643482e）處置見 Action 欄：resolver 新增 plugin_manifest_path / plugin_holders，load_plugin_ctx 給 PLUGIN_MANIFEST 且失敗不設全域，marketplace 名在索引層 allowlisted；tests 111 → 129；real layouts 實跑 Step 0.1 / Phase 0.3 驗證。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	_dir_mode 的 BSD/GNU stat fallback 在 Linux 會污染 stdout，使 write_plugin_ctx 永遠回 rc 2（resolve-marketplace.sh:None）	codex	fixed R7 — _dir_mode 先捕捉 BSD stat 輸出、驗證為八進位才印，否則走 GNU 分支；測試以 GNU-shaped stat shim 覆蓋（舊寫法在 shim 下實測輸出被污染）
2	HIGH	resolver 新接受 root-level plugin.json，但 SKILL.md 各 phase 仍寫死 .claude-plugin/plugin.json（SKILL.md:None）	codex	fixed R7 — 新增 plugin_manifest_path（與 _is_plugin_named 同一套查法），load_plugin_ctx 另給 PLUGIN_MANIFEST；Phase 0.3 / 1.5 / 2 / 2.5 全改讀它；Step 0.1 對沒有 manifest 的目錄 abort 說明（沒有 version 可同步）。safari-browser 實跑 Step 0.1 + Phase 0.3 通過
3	HIGH	Resolver now admits plugin dirs with no .claude-plugin/plugin.json, but every consumer still hardcodes that path — one abort, one SILENT false-negative（SKILL.md:1112）	logic	fixed R7 — 同 #2；Phase 2.5 讀不到 version 即 abort（不再讓空 NEW_VERSION 變成 v|）
4	HIGH	新增的 Step 0.1 MP_NAME 路徑對真實的 che-local-plugins 一律誤判為「多份 checkout」而 abort，且與 Phase 1 Step 1 自相矛盾（SKILL.md:128）	regression	fixed R7 — 新增 plugin_holders：解析到同一實體目錄的索引列只算一個持有者（che-local-plugins 父子兩列）；teaching-toolkit 帶 MP_NAME 實跑通過。真的多份時以 cwd 消歧、不在任何一份就 abort 列出（che-apple-mail-mcp 兩份 clone 實測）
5	HIGH	possession 放寬到根目錄 plugin.json，但所有下游仍只讀 .claude-plugin/plugin.json：新增的 version 硬 gate 直接 abort，Phase 2.5 signal-1 反而靜默失效（SKILL.md:1068）	regression	fixed R7 — 同 #2
6	HIGH	Phase 0.3 Case B 的問句、選項與前置條件沒跟著新增的 unknown 態改；實測本機 28 個 binary-backed plugin 有 21 個會走進這條路（SKILL.md:437）	devils-advocate	fixed R7 — Step 2 印 `why=no-pin
7	MEDIUM	plugin context 檔名只用 plugin 名，跨 checkout 同名並行會互相覆寫已通過 gate 的 root（resolve-marketplace.sh:None）	codex	accepted — 同名並行（含不同 checkout）是已記錄的一人一機取捨；R7 的 Step 0.1 以 cwd 綁定 checkout 後，兩個 session 若真的同時跑同名 plugin，後寫者覆寫前者的 context，重驗仍會過——文件已明寫此殘留；invocation-ID 比對需再多一個貼回值，不在本 issue 做
8	MEDIUM	Phase 2.5 Step 1 是唯一沒補「讀不到 version」守門的偵測點——legacy 探測命中的 plugin 目錄（本機 akashic-mcp：只有 skills/、無 plugin.json）會讓 signal-1 靜默回答「沒有 stale」（SKILL.md:1103）	requirements	fixed R7 — Phase 2.5 讀 version 加 2>/dev/null + 空即 abort；DESC 同
9	MEDIUM	同根因掃描不完整：plugin-health / plugin-upgrade 也寫死 $MARKETPLACE_ROOT/plugins/<name>，既不在本 diff、也不在 #23 的範圍，而 #18 的 external write 宣稱「實作期未再發現同根因的其他檔案」（SKILL.md:70）	requirements	fixed R7 — #23 已 comment 補記 plugin-upgrade L70 與 plugin-health L192–205，並更正 plugin-deploy 為 6 處；#18 另貼 ### Sister Bugs Filed — R6 更正
10	MEDIUM	MP_NAME-scoped Step 0.1 miss prints the wrong diagnosis (and the scope is already destroyed by then)（SKILL.md:171）	logic	fixed R7 — 指定範圍另存 WANT_MP；未命中訊息指名「不在 '<MP_NAME>'」；診斷迴圈 rc 0 分支第一個原因改為「它屬於另一個 marketplace」（實跑 educator × psychquant 驗證）
11	MEDIUM	Multi-checkout abort in scoped Step 0.1 is unactionable, and omitting MP_NAME bypasses the gate entirely（SKILL.md:128）	logic	fixed R7 — 有無 MP_NAME 都走 plugin_holders：多份實體不同的持有者以 cwd 消歧，cwd 不在任何一份就 abort 列出，不再 first-wins 靜默選；補救指示（cd 進要用的那份再跑 Step 0.1）現在是可達的
12	MEDIUM	source: "." possession does NOT require a root plugin.json, contradicting the rule stated in four places（resolve-marketplace.sh:424）	logic	fixed R7 — 依 DA 更正：改文件不改程式。resolver 註解、CLAUDE.md、README、CHANGELOG 四處改為實際規則（. 佈局與其他目錄同一套持有判準；宣告 . 不能冒認任意名稱，只有以該名為名的 repo 才會被承認）
13	MEDIUM	marketplace 名（第三方 manifest 內容）未經 allowlist 就進入 agent 代入的 shell 字面值——而 SKILL/README/CLAUDE/CHANGELOG 四處都聲稱「第三方 manifest 的值不經 agent 代入」（SKILL.md:752）	security	fixed R7 — _marketplace_index 在索引層就過 _valid_name：list_marketplaces / marketplace_index / find_plugin_marketplace / plugin_holders 印不出不合法的 marketplace 名（測試：ok'; touch pwned; # 不進索引）；SKILL (b) / README / CLAUDE.md / CHANGELOG 的不變式改寫為「唯一貼回的第三方值是 marketplace 名，來源處已 allowlisted、代入時再守門」
14	MEDIUM	CHANGELOG 宣稱 Case A/B 都清 context，程式只在 Case A 清——照 CHANGELOG 去「對齊」會弄壞 Case B 的 proceed 路徑（CHANGELOG.md:12）	regression	fixed R7 — CHANGELOG 改為「A 清、B 的 abort 選項亦先清、proceed 保留」；Case B 文字補 remove_plugin_ctx 指示
15	MEDIUM	#23 的殘留清單漏了 plugin-upgrade（同根因、非建新 plugin），plugin-deploy 的計數也不對（SKILL.md:70）	regression	fixed R7 — 同 #9
16	MEDIUM	Step 0.1 多-checkout abort 給的補救指示在程式上不可達；而且本機重名 marketplace 不只 che-local-plugins，還包含本 issue 點名要修的 che-apple-mail-mcp（SKILL.md:130）	devils-advocate	fixed R7 — 同 #4 / #11；Phase 1 Step 1 的 cwd 推斷改取最內層 checkout
17	MEDIUM	plugin-debug 這次新寫的 UNKNOWN 分支只認 .claude-plugin/plugin.json，對本 diff 剛剛放寬承認的根目錄 plugin.json 佈局誤報「讀不到版本」（SKILL.md:89）	devils-advocate	fixed R7 — plugin-debug 版本查詢改經 plugin_manifest_path
18	LOW	#18 comment 對 #23 的範圍描述與 #23 body 不一致（「plugin-deploy 5 處 + tool-readme-sync-plugin.md」vs body 的「plugin-deploy 4 處」、body 未提 rules 檔）（SKILL.md:56）	requirements	fixed R7 — #23 comment 更正計數（6 處）並補 rules 檔
19	LOW	CHANGELOG claims the context file is cleared in Case A and B; only Case A clears it (and clearing it in B would break the flow)（CHANGELOG.md:11）	logic	fixed R7 — 同 #14
20	LOW	Context TTL check silently degrades to "never expires" on a non-numeric TTL or a future timestamp（resolve-marketplace.sh:644）	logic	fixed R7 — PLUGIN_CTX_TTL_SECONDS 非數字退回 21600；未來時間戳（> now+60s）拒絕；兩者有測試
21	LOW	The two MP_NAME allowlist gates disagree on the first character（SKILL.md:726）	logic	fixed R7 — Step 0.1 / Phase 1 Step 1 的 MP_NAME gate 統一為 _valid_name 的拒絕形式 `.*
22	LOW	BINARY_NAME 的來源是 wrapper 檔案內容而非使用者引數，卻只在貼上之後才守門；應在 Phase 1.5 Step 2/3 抽取當下就過 allowlist（SKILL.md:953）	security	fixed R7 — Phase 1.5 Step 2 抽出 BINARY_NAME 當下即過 allowlist，不合就 ❓ 報出並略過
23	LOW	Phase 1.5 Step 2 的 GITHUB_REPO 完全未驗證就進 curl URL 與檔案系統路徑——同一份 diff 的 detect_binary_repo 對同一個欄位做了驗證（SKILL.md:803）	security	fixed R7 — 同上，GITHUB_REPO 須為 owner/repo（各段 [A-Za-z0-9._-]）才進 curl / 路徑
24	LOW	Step 0.1 abort 診斷迴圈把機器上「每一個」marketplace 的 source／名稱字串送進 agent 的 context，clean() 不去引號也沒有可見邊界（SKILL.md:103）	security	fixed R7（部分）— marketplace 名在索引層已 allowlisted；source 值改以 [...] 包住標示邊界；root 路徑仍印（已去控制字元、截斷）——診斷需要它
25	LOW	巢狀同名 marketplace「哪一份 root 會贏」被悄悄換掉，CHANGELOG 沒有任何一行提到（resolve-marketplace.sh:688）	regression	fixed R7 — CHANGELOG Fixed 新增一條：巢狀同名 marketplace 命中父層（實際被註冊 / 服務的那份），明寫為語意變更（依 DA #29 的實測）
26	LOW	同一條 marketplace 名稱規則出現三種拼法（_valid_name / Step 0.1 / Phase 1 Step 1）（SKILL.md:731）	regression	fixed R7 — 同 #21
27	LOW	BINARY_UNRELEASED=unknown → Case B 把原本安靜的 no-op 變成每次都要人回答的 gate，取決於三個寫死的 clone 路徑（SKILL.md:386）	regression	accepted — 這正是 #18 的原則：未核對 ≠ 沒問題。R7 讓 no-pin 子態的問句與建議正確（補 pin，不是 release）；#22 的 plugin-binary-meta 落地後 no-pin 子態會消失
28	LOW	更正 logic HIGH / regression HIGH#2：「新增的 version 硬 gate 直接 abort」指錯了位置——Phase 0.3 那道 gate 對受影響的五個 plugin 全都到不了（SKILL.md:1068）	devils-advocate	noted — DA 更正正確：受影響的五個 plugin 都非 binary-backed，真正的 abort 在 Phase 2 Step 4、靜默在 Phase 2.5；兩處 R7 都已改讀 PLUGIN_MANIFEST，Phase 2 Step 2 的 `cat
29	LOW	更正 regression LOW#5：巢狀同名 marketplace 的贏家確實換了，但換對了——HEAD 選的才是實際被註冊/服務的那份（resolve-marketplace.sh:688）	devils-advocate	noted — 採納：CHANGELOG 補 Fixed 條目（見 #25）
30	LOW	更正 logic MEDIUM（source "." 不需 root plugin.json）：程式與文件不符屬實，但文件寫的威脅模型不成立，真正的洞比宣稱的窄（resolve-marketplace.sh:330）	devils-advocate	noted — 採納：文件改寫為實際規則，不回頭在 . 佈局強加 plugin.json（見 #12）
31	INFO	無 prompt injection：diff 內的 pwned / rm -rf / touch EXECUTED 字串全是安全測試 fixture，不是對 reviewer 的指令（test-resolve-marketplace.sh:None）	requirements	noted — 無 injection
32	INFO	load_plugin_ctx publishes MP_NAME/MP_ROOT/PLUGIN_DIR into the caller before it verifies them（resolve-marketplace.sh:538）	logic	fixed R7 — load_plugin_ctx 全部 parse 進 local，只在成功路徑設全域（測試：失敗後 sentinel 不變）
33	INFO	殘留：未指定 MP_NAME 時，索引第一個「宣告且持有」該名稱的 checkout 無聲勝出（resolve-marketplace.sh:688）	security	changed R7 — 未指定 MP_NAME 也走 plugin_holders：第二個實體不同的持有者不再無聲敗給第一個，而是以 cwd 消歧、否則 abort
34	INFO	未信任內容掃描結果：issue body 與 external-writes 區塊未發現 prompt-injection，且與 diff 內容一致（:None）	security	noted — 無 injection；外部寫入與 diff 一致（R7 另補 #23 / #18 的 sister 更正）
35	INFO	未發現 prompt-injection：issue 本文與外部寫入內容都只是資料（test-resolve-marketplace.sh:None）	regression	noted — 無 injection

Follow-up Findings Filed (v2.44.0+ #526)

• none new — fix: --marketplace 接受目錄，並停止把兩方檢查報成三方 (#3) #8 / 新增 mcp-protocol-migrate：把 MCP server 遷移到最新 protocol 版本 #14 / Step 2.5 的 BLOCK 對 75% 的 wrapper 從沒執行過——抽不到就靜默 continue #17 併入既有 plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23（comment 補記 plugin-upgrade / plugin-health、計數更正）；plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18 另貼 sister 更正 comment。

Next

R7 已 commit 643482e、diff 重新凍結；R7 ensemble 進行中。

[kiki830621]

Verify: #18 — Round 7

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA 643482e（idd-22-baseline..HEAD，9 commits）。

Result

FAIL — 1 HIGH / 10 MEDIUM / 13 LOW / 8 INFO。

要求覆蓋率

R6 的 6 HIGH 確認關閉（plugin_manifest_path / PLUGIN_MANIFEST、plugin_holders、Case B 三模板、_dir_mode）。R7 唯一的 HIGH 是 DA 實測出的環境事實：Bash 工具跑在 zsh 且 nomatch 開著，bin/*-wrapper.sh 對不到（gifthub 沒有 bin/、che-keychain 的 bin/ 沒有 wrapper）整個 fence exit 1——R7 剛把同型 glob 複製進 Phase 0.3 Step 2，等於決定行對這些 plugin 從未印出。R8（8f609fb，含補齊 awk ENVIRON 與 shim 可攜化的第二個 commit）三處改 find，並新增在 bash 與 zsh 下實跑 fence 的 smoke test（RED 三處重現）。MEDIUM 全數處置（見 Action 欄）；#8 純 shell plugin 的 Phase 0.3 涵蓋面歸 #19 已核准的 plan。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	zsh 的 nomatch 讓 bin/*-wrapper.sh 那個 glob 直接炸掉整個 fence —— gifthub / che-keychain 實測 exit 1，本次新增的 IS_BINARY_BACKED= 與 Case X 兩行都印不出來（SKILL.md:292）	devils-advocate	fixed R8 — 三處 glob 改 find（Phase 0.3 Step 1 / Step 2、Phase 1.5 Step 2 的 for-loop，另含 detect_binary_repo 的 bin/*）；新增 scripts/test-plugin-update-fences.sh 在 bash 與 zsh 下各跑四個 fence 並拒絕任何 no matches found（RED 三處重現、GREEN 15/15）；工具 shell 實跑 gifthub / che-keychain 四個 fence 全部 rc 0
2	MEDIUM	新增的 GNU stat shim 測試在 Linux 上必然失敗，無法作為 _dir_mode 修正的跨平台回歸驗證（test-resolve-marketplace.sh:None）	codex	fixed R8 — 測試的兩處權限斷言改用 python 讀 mode；GNU-shaped shim 的 -c 分支改以 python 算 mode，不再假設 /usr/bin/stat 是 BSD
3	MEDIUM	Phase 2.5（issue 表格第四列）只修了路徑，「README 不存在」與「六信號全過」仍然同樣沉默——skill 自己的狀況表要求的 ✅ 從未被印出（SKILL.md:1165）	requirements	fixed R8 — Phase 2.5 開頭 [ -f "$README" ]（缺席明說並 exit 0）、結尾依 STALE_README 印 ✅ fresh 或 stale；信號 3 的 grep 消音（依 DA #11 的實測：原本並非六信號全沉默，而是診斷詞誤導）
4	MEDIUM	Phase 0.5 Step 3 的 push / commit 動作沒有任何帶前導的 fence，git push 會跑在使用者當下的 cwd——與本 diff 自己宣告的不變式 (c) 直接相牴觸（SKILL.md:651）	requirements	fixed R8 — Phase 0.5 Step 3 新增 commit fence 與 push fence（皆帶前導、git push 用 upstream 不代入 branch）；(c) 措辭改為「每個含 git 的 fence」並明寫不在對話裡現組
5	MEDIUM	Step 0.1's multi-holder cwd tie-break is first-index-row-wins, not innermost — the exact defect Phase 1 Step 1 fixed in the same diff（SKILL.md:134）	logic	fixed R8 — Step 0.1 的 cwd 消歧改取最長包含 root（同 Phase 1 Step 1）
6	MEDIUM	Phase 0.3 Step 2 turns "git could not tell" into "no changes", and Case A then asserts it as fact（SKILL.md:375）	logic	fixed R8 — Step 2 先探 git rev-parse --is-inside-work-tree 與 HEAD，答不出來即 abort（Phase 0.3 是第一個碰 git 的地方）
7	MEDIUM	plugin_names_for_paths assumes toplevel-relative git output; diff.relative=true silently empties the cross-plugin gate（resolve-marketplace.sh:550）	logic	fixed R8 — 兩處 git … --name-only 加 -c diff.relative=false
8	MEDIUM	BINARY_NAME is allowlisted for shell safety but then used as a grep REGEX — . and - are permitted metacharacters (Phase 1.5 Step 2 and Step 5)（SKILL.md:888）	security	fixed R8 — 兩處改 grep -cF / grep -lF
9	MEDIUM	Phase 0.3 Step 1 的 wrapper 偵測修正（超出 #18 路徑範圍）讓整個 sync-intent gate 對「純 shell plugin」從此不再執行（SKILL.md:None）	regression	deferred → #19（已核准的 plan：Phase 0.3 對所有 plugin 執行）；CHANGELOG 補記修正後純 shell plugin 暫時只剩 Phase 0.5 Case A 早退（依 DA #32：實質損失一行訊息）
10	MEDIUM	Step 0.1 新增的「多持有者」hard abort：建議文字漏掉 MP_NAME 這條出路，且「清掉過時的副本」對本機 7 例中的 6 例是錯的處方（SKILL.md:None）	regression	fixed R8 — abort 訊息依持有者的 marketplace 名是否相同分流：跨 marketplace → 建議代入 MP_NAME、明寫「不是副本、別刪」；同名多 clone → cd / 只清確定過時的
11	MEDIUM	更正 requirements 的 MEDIUM 與 logic 的 LOW：README 不存在時，Phase 2.5 的信號 3 與信號 4 實測會觸發，不是「六信號全沉默」（SKILL.md:1223）	devils-advocate	noted — 採納：#3 的修法縮為 README 存在性 + 結論行 + 信號 3 消音
12	LOW	_plugin_source_of 的 grep 原文前置過濾漏掉 JSON \u 跳脫名稱，可能讓「source 壞掉不得 fallback」規則被繞過（resolve-marketplace.sh:None）	codex	accepted — rc 1 pre-filter 是記錄在案的成本取捨（含 \u 跳脫名稱）
13	LOW	Phase 1.5 Step 1 的偵測表被改成純敘述，但它指向的 Phase 0.3 Step 1 只給 IS_BINARY_BACKED（布林），從不產生 MCP / CLI 的分流判定（SKILL.md:838）	requirements	deferred → #22（MCP / CLI 分流屬 binary-backed 偵測重做）
14	LOW	Phase 0.5 Case A 的 abort fence 沒有 remove_plugin_ctx，與其正上方兩行的規定和 Phase 0.3 Case A 的做法不一致（SKILL.md:633）	requirements	fixed R8 — Phase 0.5 Case A fence 加前導與 remove_plugin_ctx（#19 會改 Case A 語意，屆時一併調整）
15	LOW	Phase 2.5 never checks that $README exists — a missing README reads as "not stale" on all six signals（SKILL.md:1176）	logic	fixed R8 — 同 #3
16	LOW	Phase 0.3 Case C's unknown-state line renders as binary v: and names the wrong cause in the no-pin sub-state（SKILL.md:435）	logic	fixed R8 — Case C 的 unknown 行依 BINARY_UNKNOWN_WHY 分流，no-pin 不再印 binary v:
17	LOW	Step 0.1 abort messages name the wrong function and mis-describe multi-marketplace holders（SKILL.md:209）	logic	fixed R8 — 訊息改稱 plugin_holders
18	LOW	Phase 1.5 Step 2 is the only plugin.json reader without the [ -n "$PLUGIN_MANIFEST" ] guard（SKILL.md:903）	logic	fixed R8 — Phase 1.5 Step 2 加 [ -n "$PLUGIN_MANIFEST" ] 守門（best-effort 的 silent skip 語意不變）
19	LOW	Sanitization of third-party manifest values strips control characters but not backslash escape sequences, and the values are printed with echo under zsh（SKILL.md:188）	security	fixed R8 — clean() 亦去反斜線（zsh 的 echo 會展開）；印值的行改用 clean
20	LOW	對 git-subdir 物化子樹（akashic-mcp）新增的 Step 0.1 abort 等於移除既有能力，而它給的補救會在下次物化時被覆蓋（SKILL.md:None）	regression	accepted — 依 DA #30：修前對 akashic-mcp 本來就是無聲 no-op，現在是明說的 abort
21	LOW	_marketplace_index 的名稱 allowlist 會靜默移除整個 marketplace，影響 #18 範圍外的既有呼叫端（resolve_marketplace_root / plugin-health / plugin-upgrade / tool-readme-sync-plugin.md）（resolve-marketplace.sh:None）	regression	accepted — CHANGELOG 明寫影響面（所有呼叫端一致；這類 manifest 本來就無法被安全地貼回或當路徑段）
22	LOW	所有 git 信號現在假設 $PLUGIN_DIR 由 $MP_ROOT 的 repo 追蹤；巢狀獨立 checkout 佈局會讓它們整批歸零而不報錯（SKILL.md:None）	regression	accepted → 記入 #23 範圍外的已知限制（巢狀獨立 checkout 的 git 信號以 $MP_ROOT 的 repo 為準；本機無此佈局）
23	LOW	#23 的 body 仍寫「plugin-deploy 4 處」且完全沒提 plugin-upgrade / plugin-health / rules 檔——R7 對「body 與 comment 不一致」那條的 fixed 宣告沒有兌現（CHANGELOG.md:10）	devils-advocate	noted — #23 的更正以 comment 形式存在（body 的 Problem 段是原始記錄，idd-update 只管 Current Status）；R7 報告的措辭應為「已 comment 更正」
24	LOW	更正 regression 的「多持有者 abort 漏掉 MP_NAME 這條出路」：本機 7 例中 che-apple-mail-mcp 那一例 MP_NAME 證明無效，建議文字不能寫成無條件的「指定 marketplace」（SKILL.md:140）	devils-advocate	fixed R8 — 同 #10（che-apple-mail-mcp 那一例走「同 marketplace 多 clone」分支，不建議 MP_NAME）
25	INFO	cross-model leg 完成；一項 Codex 發現屬既知接受 trade-off，已依指示不列為 finding（:None）	codex	noted
26	INFO	「每個讀 plugin.json 的 fence 都會在 version 為空時 abort」對 Phase 1.5 Step 2 不成立（該處設計上是 best-effort silent skip）；另 #18 點名未實測的 che-ical-mcp 已可驗證為修復（SKILL.md:896）	requirements	noted — Phase 1.5 Step 2 的 silent skip 是設計；che-ical-mcp 已可驗證為修復
27	INFO	awk -v p="$rel" performs escape-sequence expansion on the path prefix（resolve-marketplace.sh:568）	logic	fixed R8 — awk -v 改 ENVIRON
28	INFO	plugin_names_for_paths passes a filesystem path through awk -v, which processes backslash escapes（resolve-marketplace.sh:None）	security	fixed R8 — 同 #27
29	INFO	No prompt-injection content found; the pwned / rm -rf strings in the diff are deliberate negative-test fixtures（:None）	security	noted
30	INFO	範圍與外部寫入的核對結果：plugin-debug 改動屬已揭露的順手修、external writes 與 repo 現況一致、未發現 prompt injection（:None）	regression	noted
31	INFO	更正 regression 對 akashic-mcp 的 LOW：新 abort 不是「移除既有能力」——修前 plugin-update 對它本來就是無聲的 no-op（SKILL.md:216）	devils-advocate	noted
32	INFO	更正 regression 的 MEDIUM「純 shell plugin 從此不再跑 sync-intent gate」：實質損失只剩一行訊息，但它把 Phase 0.5 Case A 缺 remove_plugin_ctx 這個 LOW 變成主要路徑（SKILL.md:640）	devils-advocate	noted — 見 #9

Follow-up Findings Filed (v2.44.0+ #526)

• none new — fix: --marketplace 接受目錄，並停止把兩方檢查報成三方 (#3) #8 → plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19（既有 plan）；fix: 改名殘留的失效引用 + 11 處死路徑 (#1, #2) #12 → plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22（既有）；[refactor] 兩支 resolver 的共用面：先判斷值不值得抽象，再決定合併 #21 記為已知限制。

Next

R8 已 commit、diff 重新凍結；R8 ensemble 進行中。

[kiki830621]

Verify: #18 — Round 8

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA 8f609fb（idd-22-baseline..HEAD，11 commits）。

Result

FAIL — 2 HIGH / 12 MEDIUM / 10 LOW / 9 INFO。

要求覆蓋率

R7 的 HIGH（zsh nomatch glob）確認關閉。R8 的 2 HIGH 是同一根因的另一個 zsh 差異：未加引號的 for x in $VAR 在 zsh 不分詞，Phase 2.5 信號 4 / 6 在真實環境從未觸發，而 R8 新加的 ✅ 結論把它們算成「六信號全過」——DA 與 logic lens 各自實測。R9（16c76e4）四個迴圈改 while read、Phase 2.5 先探 git 並把無法判定的信號分開講、smoke test 納入 Phase 2.5（fixture 兩個 skill：HEAD 舊 fence 在 zsh 下印 fresh、bash 印 stale，RED 重現）。MEDIUM 12 條全數處置，其中兩條是設計層：resolve_marketplace_root 與 find_plugin_marketplace 對巢狀同名 marketplace 對齊為「外層勝」（_drop_nested_roots，反轉 #20 時代的 tie-break 預期）；Step 1 / Step 2 補「manifest 有 binary pin 即 binary-backed」讓 che-keychain 回到 Phase 0.3。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	Phase 2.5 signals 4 and 6 are inert under zsh (for v in $VAR does not word-split) — the new "✅ README fresh（六信號全過）" line asserts detection that never ran（SKILL.md:1348）	logic	fixed R9 — Phase 2.5 四個 for x in $VAR 改 while read 吃 heredoc；smoke test 納入 Phase 2.5（fixture 兩個 skill、README 只提一個 → 必須印 signal-4 … skill:t 與 stale；HEAD 舊 fence 在 zsh 下實測印 ✅ fresh、bash 印 stale——RED 重現，GREEN 33/33）
2	HIGH	Phase 2.5 新增的「✅ README fresh（六信號全過）」在真正的執行環境（zsh）下是假的：signal-4 的 for 迴圈不分詞，實測把「3 個 skill 全都沒寫進 README」判成 fresh（SKILL.md:1314）	devils-advocate	fixed R9 — 同 #1；結論行分三態：stale / fresh（六信號全過）/ fresh（信號 1/3/4/5 通過、2/6 無法判定：非 git）
3	MEDIUM	write_plugin_ctx 的 mv -f 對「symlink→目錄」或既存目錄不會取代，會回報寫入成功但沒有可載入的 context（resolve-marketplace.sh:653）	codex	fixed R9 — write_plugin_ctx 在 mv 前 [ ! -d "$file" ]（symlink 指向目錄亦拒），mv 後再驗是一般檔案；測試：目錄與 symlink→目錄各 rc 2、不留暫存檔
4	MEDIUM	Phase 1.5 Step 3（CLI 情境）仍是「偵測落空 = 沒問題」——本 issue 點名的四個 phase 之一只修了一半（SKILL.md:1020）	requirements	fixed R9 — Phase 1.5 Step 3 比照 Step 2：hook 缺席 ℹ、抽不到 repo / binary 名 ❓、取不到版本 ❓、結尾 ✅ 或 ⚠️；repo 只認 GITHUB_REPO= / REPO= / api.github.com/repos/；smoke test 涵蓋
5	MEDIUM	Phase 2.5 Step 2「更新 README」仍指示在對話裡現組 commit + push，違反本輪自己新立的 git-fence 規定（SKILL.md:1395）	requirements	fixed R9 — Phase 2.5 Step 2 新增 README commit + push fence（帶前導、git --literal-pathspecs add -- "$PLUGIN_DIR/README.md"）；表格改為指向 fence
6	MEDIUM	Phase 1.5 Step 3 (CLI) still has the silent-pass shape its sibling Step 2 was just fixed for: empty GFH_REPO / BINARY_NAME produce zero output（SKILL.md:1020）	logic	fixed R9 — 同 #4
7	MEDIUM	Phase 1 Step 1 newly suppresses git's stderr on HEAD~3, so "fewer than 4 commits / shallow clone" now reads as "no plugin changed"（SKILL.md:869）	logic	fixed R9 — Phase 1 Step 1 先驗 HEAD（沒有 commit 明說）與 HEAD~3（不足就從 root commit 起算），印「N 個 commit 觸到 M 個 plugin」或明說沒對映到
8	MEDIUM	Step 0.1 診斷迴圈把 untrusted source 值繞過 clean() 直接 echo — zsh 會展開 \n / \e，可偽造 fence 自己的輸出行（SKILL.md:198）	security	fixed R9 — 診斷迴圈印 source 值改 printf '%s'（不展開反斜線）；plugin_source_of 契約明寫「控制字元去除、反斜線保留（JSON 跳脫形是診斷資訊）、呼叫端用 printf」
9	MEDIUM	新的 root 選擇只改了 find_plugin_marketplace，同一個 script 裡的 resolve_marketplace_root 仍回舊答案 —— 兩支公開函式對同一個 marketplace 名給出不同 root（resolve-marketplace.sh:686）	regression	fixed R9 — marketplace_candidates 新增 _drop_nested_roots：巢狀在另一個同名候選裡的 root 是它的 subtree、不算第二份 checkout，plugins/ tie-break 只在真的多份 checkout 時適用；resolve_marketplace_root che-local-plugins 現在與 find_plugin_marketplace / plugin_holders 同回父層（測試反轉 #20 時代的預期並補「不巢狀時 plugins/ 仍勝」）；CHANGELOG 記為語意變更並點名 plugin-upgrade / plugin-health / tool-readme-sync-plugin.md 因此指向父層（其 plugins/<name> 硬編仍在 #23）
10	MEDIUM	「git 一律走 fence」的新規則只涵蓋 commit / push，Case E 的 fetch / rebase / merge 仍由 agent 在對話裡現組；CLAUDE.md 的 invariant (c) 卻宣稱全部涵蓋（SKILL.md:740）	regression	fixed R9 — Case E 新增 sync fence（`MODE=rebase
11	MEDIUM	CHANGELOG 同一個 bullet 對同一處修法自相矛盾：先說「改 grep -lq」，後說「不再用 shell glob、改 find」；grep -lq 在出貨的 SKILL.md 裡不存在（CHANGELOG.md:12）	regression	fixed R9 — CHANGELOG 改為「改 find … -exec grep -l（R6 曾是 grep -lq，R8 因 zsh nomatch 改 find）」
12	MEDIUM	同一個 diff 為 Phase 0.3 Step 2 加了 git work-tree 探測，卻讓 Phase 2.5 在非 git marketplace 下照樣宣告「六信號全過」（SKILL.md:1367）	devils-advocate	fixed R9 — Phase 2.5 先探 git；非 git 時印 ℹ、信號 2 / 6 記為無法判定、結論行分開講（不再宣告六信號全過）
13	MEDIUM	Phase 0.3 Step 1 的偵測修好之後，che-keychain（#18 自己的 motivating plugin）被判成非 binary-backed → 整個 Phase 0.3 被跳過，Step 2 已經算出的 unreleased=1 永遠不會被看到；CHANGELOG 把受影響族群寫成「純 shell plugin」（SKILL.md:336）	devils-advocate	fixed R9 — Step 1 / Step 2 新增第四個信號「manifest 有 binary_version / binaryVersion pin 即 binary-backed」（che-keychain 因此不再被漏掉，Step 2 的 unreleased=1 會被看到）；Step 1 印 false 時明說四個信號皆未命中、不等於沒有 binary（其他命名見 #22）；CHANGELOG 受影響族群改為「四個信號都抓不到的 plugin」
14	MEDIUM	External write 與 diff 不符：#23 的 comment 宣稱 #18 已把 plugin-debug 的 hooks 比對「從單一 hooks.json 改為整個 hooks/ 目錄」，diff 明確地沒有這樣做（而且本 diff 的 CHANGELOG 自己寫了相反的話）（SKILL.md:125）	devils-advocate	fixed R9 — #23 新 comment 更正：hooks 比對仍只比 hooks.json，整個 hooks/ 目錄的比對留給 #23（session-start.sh 目前不會被比到）
15	LOW	CHANGELOG 對 Phase 0.3 Step 1 wrapper 偵測的描述（grep -lq）已被同一輪的 de-globbing 取代，條目自相矛盾（CHANGELOG.md:12）	requirements	fixed R9 — 同 #11
16	LOW	troubleshooting 的自足 block 用 find_plugin_marketplace（index 首命中、無 cwd 消歧），可能指向與本次 run 不同的 checkout 而不自知（SKILL.md:1553）	requirements	fixed R9 — 兩個 troubleshooting block 印出它用的 root 並註明是索引首命中、可能與 Step 0.1 以 cwd 選到的不同
17	LOW	README.md / CLAUDE.md 說 plugin_source_of 「同 rc 表」，但它不做 legacy 探測、也沒有 rc 6（README.md:128）	requirements	fixed R9 — README / CLAUDE.md 改為「rc 1 = manifest 未列，不做 legacy 探測、無 rc 6；印它用 printf」
18	LOW	Context-file cleanup is only wired into the Phase 0.3 / 0.5 abort paths; the later abort options leave a live context behind（SKILL.md:1045）	logic	fixed R9 — 「abort 就清 context」改為封閉列舉（Phase 0.3 / 0.5 的 abort 選項、Phase 1.5 Step 4 的「中止」、Phase 5 收尾），其餘中途停住由 TTL 兜底並明寫；Phase 1.5 Step 4 的「中止」補 remove_plugin_ctx
19	LOW	plugin_holders dedups by physical directory regardless of marketplace NAME, so a plugin listed by two differently-named marketplaces collapses to one holder（resolve-marketplace.sh:792）	logic	fixed R9 — plugin_holders 以「marketplace 名 + 實體目錄」去重（同名巢狀仍合併且保留最外層；不同名列同一目錄是兩個持有者 → Step 0.1 的跨 marketplace 分支）；測試：pd-top / pd-deep 兩個持有者
20	LOW	Phase 1.5 Step 2: an unquoted BINARY_NAME=foo in a wrapper now reports "name not in [A-Za-z0-9._-]" instead of "could not extract"（SKILL.md:927）	logic	fixed R9 — 抽值改 cut -s（沒有引號的賦值不再整行當值）
21	LOW	Phase 1.5 Step 3（CLI 情境）從 plugin 檔案內容抽出 BINARY_NAME / GFH_REPO 後直接執行與組 URL，缺 R6 為 Step 2 / Step 5 加的 allowlist 與空值守門（SKILL.md:1021）	security	fixed R9 — 同 #4（Step 3 的 BINARY_NAME / repo 抽出即過 allowlist，空值報出）
22	LOW	plugin-debug 的改動超出「三欄契約的連帶修正」，且新加的分支沒有任何測試覆蓋（SKILL.md:103）	regression	fixed R9（部分）— smoke test 納入 plugin-debug 的版本查詢 fence（經 plugin_manifest_path）；diff 迴圈與 cache 路徑的 fence 依賴本機 cache，留 #23
23	LOW	本 diff 新訂的「abort 就清 context」規則只套在 Phase 0.3 與 Phase 0.5，Phase 1.5 / 2.5 的 abort 路徑沒套（SKILL.md:644）	regression	fixed R9 — 同 #18
24	LOW	Phase 0.3 新增的 git work-tree 探測把原本會降級的路徑改成 exit 1，非 git / 無 commit 的 marketplace 現在在 0.3 就硬失敗（SKILL.md:392）	regression	accepted — Phase 0.5 Step 1 的 upstream gate 本來就會攔下同一批 repo；訊息補一句「plugin-update 的 Phase 0.5 / 2 / 5 都要 push，純本地目錄型 marketplace 不在服務範圍」
25	INFO	Codex re-raised the plugin-name-keyed context file (concurrent same-name runs) — already documented as accepted（resolve-marketplace.sh:None）	codex	noted
26	INFO	Codex re-raised the grep -qF pre-filter missing \u-escaped plugin names — already documented as an accepted cost trade-off（resolve-marketplace.sh:None）	codex	noted
27	INFO	fence smoke test 的 fixture 用 aggregator 佈局，沒有一個自動化測試跑「source: "./plugin" 的 fence 端到端」——也就是 issue 的頭號情境（test-plugin-update-fences.sh:25）	requirements	noted — DA #33 已收斂：真正沒被守住的是 Phase 2.5，R9 已納入 smoke test；./plugin 佈局的端到端在 R7 以 che-keychain / che-apple-mail-mcp 手動跑過
28	INFO	Prompt-injection 掃描：issue #18 內文、EXTERNAL_WRITES 的兩則 comment、以及 diff 內容皆無針對審閱者的注入（:None）	requirements	noted
29	INFO	load_plugin_ctx 只驗 context 檔本身，不驗其所在目錄（write_plugin_ctx 驗 -O + 700），兩端不對稱（resolve-marketplace.sh:None）	security	noted — 載入端另驗檔案本身 -O / regular / not symlink；目錄的 700 由寫入端保證，記為已知不對稱
30	INFO	注入掃描結果：untrusted 區塊無 prompt-injection；external writes 與 diff 內容一致（:None）	security	noted
31	INFO	plugin_names_for_paths 把 O(1) 的路徑對映換成 O(plugins) 的 resolver 迴圈：實測 31-plugin marketplace 1.9 s，且在互動路徑上被呼叫兩次（SKILL.md:795）	regression	accepted — 1.9 s 是正確性的代價（每個名稱都走 manifest 解析）；互動路徑兩次呼叫可接受
32	INFO	prompt-injection 掃描結果：issue body、external-writes comment、diff 內容皆未發現對審查者的嵌入式指令（:None）	regression	noted
33	INFO	對 requirements lens「沒有自動化測試跑 source: "./plugin" 的 fence 端到端」的補充與收斂：手動端到端是通的，真正沒被守住的是 Phase 2.5（test-plugin-update-fences.sh:11）	devils-advocate	noted — 見 #27

Follow-up Findings Filed (v2.44.0+ #526)

• none new — 新增 mcp-protocol-migrate：把 MCP server 遷移到最新 protocol 版本 #14 的更正以 plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 comment 記錄（hooks 比對留 plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23）；plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22 / plugin-update: #18 R10 遺留 — Step 5 unresolved 語意、commit fence pathspec / 退出碼、Phase 2.5 信號 4 與 SKIPPED 消毒 #24 記為已知限制。

Next

R9 已 commit、diff 重新凍結；R9 ensemble 進行中。

[kiki830621]

Verify: #18 — Round 9

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。5 agents 完成、DA 執行失敗（1 error；同時段系統記憶體不足、兩個舊背景程序被殺）→ 依 fail-closed 記為 integrity HIGH，R10 整組重跑。Frozen SHA 16c76e4（idd-22-baseline..HEAD，12 commits）。

Result

FAIL — 2 HIGH（1 實質 + 1 DA 未完成）/ 7 MEDIUM / 8 LOW / 5 INFO。

要求覆蓋率

R8 的 2 HIGH 確認關閉。R9 的實質 HIGH：R9 把「巢狀同名 marketplace 外層勝」只做在 marketplace_candidates，find_plugin_marketplace 仍取索引首命中（che-local-plugins 命中哪層取決於 readdir 順序），plugin_holders 對巢狀但實體不同目錄的同名 root 也不收斂——與 R9 自己在註解 / CHANGELOG 宣稱的「同一規則」不符。R10（b5e0efb）讓 find_plugin_marketplace 走 plugin_holders 首列、plugin_holders 先套 subtree 規則再去重，測試對巢狀案例改為斷言外層。7 MEDIUM 全數處置，含本次「外層勝」造成的三處回歸就地修掉（plugin-debug / plugin-upgrade / tool-readme-sync）。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	巢狀同名 marketplace 的「外層勝」規則只做在 marketplace_candidates；find_plugin_marketplace 仍是索引首命中（順序相依），plugin_holders 只在兩列解析到同一實體目錄時才收斂（resolve-marketplace.sh:212）	logic	fixed R10 — find_plugin_marketplace 改為 plugin_holders 的首列；plugin_holders 先對同名 root 套 subtree 規則（巢狀即使實體目錄不同也丟內層）再以名稱 + 實體目錄去重保留最外層；測試對 pd-nest 斷言外層（不再順序容忍）、新增巢狀不同目錄 fixture；Phase 1 Step 1 指定 MP_NAME 改走 marketplace_candidates；真機：che-local-plugins 三支查詢一致回外層
2	HIGH	devils-advocate did not complete（:None）	devils-advocate	rerun — DA agent 執行失敗（與同時段系統記憶體不足、兩個舊背景程序被殺相符）；R10 ensemble 整組重跑（含 DA），fail-closed
3	MEDIUM	Phase 0.5 Step 5 的 cross-plugin 警告排在 push fence 之後，$UPSTREAM..HEAD 已被清空（SKILL.md:None）	codex	fixed R10 — Step 3 前言與 Step 5 標題明寫「在 push fence 之前跑」（push 後 $UPSTREAM..HEAD 為空）
4	MEDIUM	Phase 0.5 Step 5 的 cross-plugin gate：解析失敗的 plugin 被丟掉後，gate 走「只動到 target」的靜默分支（#18 自己的反模式）（SKILL.md:829）	requirements	fixed R10 — Step 5 收下 plugin_names_for_paths 的 stderr 算出未解析數量，有就印警告並走 case (c)；結尾印 → Phase 0.5 Step 5: N plugin(s) touched … unresolved=K；smoke test 加 bare remote 覆蓋
5	MEDIUM	「巢狀同名 marketplace 外層勝」改動讓 plugin-upgrade / tool-readme-sync 對 che-local-plugins 組出不存在的 PLUGIN_DIR（#18 的失敗模式外溢，卻延到 #23）（resolve-marketplace.sh:206）	requirements	fixed R10 — 三處本次造成的回歸就地修：plugin-upgrade PLUGIN_DIR 改 resolve_plugin_dir（解析不到即 abort）、tool-readme-sync 的 plugin 計數改 marketplace_plugin_names；#23 comment 補記；其餘 plugins/<name> 硬編仍在 #23
6	MEDIUM	Phase 2.5 的 ✅「六信號全過」仍把「沒有輸入所以沒評估」的信號算成通過 —— 只修了 git 缺席的信號 2/6（SKILL.md:1417）	logic	fixed R10 — 六個信號各自在無輸入時記一筆 SKIPPED，結論行三態：stale / 六信號全過 / 已評估通過並列出未評估的信號與原因；smoke test 的 fresh 斷言改為含未評估清單的那一行
7	MEDIUM	COMMIT_MSG is pasted into a single-quoted shell literal with no allowlist and no re-check — unlike every other substituted value（SKILL.md:667）	security	fixed R10 — 兩個 commit fence 的訊息改 quoted heredoc → 檔案 → git commit -F（唯一逃逸是一整行恰等於 MSGEOF）
8	MEDIUM	_drop_nested_roots 把 resolve_marketplace_root che-local-plugins 從子層翻到父層，讓同一份 diff 裡未更新的 SRC_LOCAL 靜默失效（SKILL.md:68）	regression	fixed R10 — plugin-debug SRC_LOCAL 改 resolve_plugin_dir（同 #5）
9	MEDIUM	Phase 1.5 Step 3 收緊 repo 抽取後，生態系裡唯一的 CLI plugin（gifthub）永遠抽不到 repo、比對從此不執行（SKILL.md:1036）	regression	fixed R10 — repo 抽取認 *_REPO="owner/repo" / api.github.com/repos/ / github.com/ 字面（封閉列舉，❓ 訊息點名）；真機 gifthub 抽到 PsychQuant/GiftHub 與 gfh
10	LOW	Step 0.1 的 rc 4 診斷分支在「單行 manifest 且 JSON 壞掉」時打不到：該 marketplace 根本不在索引裡，使用者仍拿到「沒上架」的錯誤處方（resolve-marketplace.sh:170）	requirements	accepted — 單行且壞掉的 manifest 不進索引；_marketplace_name_of 的 sed 已有 python fallback，兩者都失敗代表整份 JSON 壞掉，訊息會落到通用分支；記為已知窄邊界
11	LOW	PLUGIN_CTX_TTL_SECONDS 只驗「全是數字」不驗量級：一個超大數值會讓 context 過期檢查整個失效（正是該防呆想防的事）（resolve-marketplace.sh:670）	logic	fixed R10 — TTL 超過 8 位數退回預設（測試：超大 TTL 下過期 context 仍 rc 2）
12	LOW	Phase 0.5 commit fence 的 git add -A 在「marketplace root 是 git toplevel 的子目錄」佈局下會 stage 整個外層 repo（SKILL.md:670）	logic	fixed R10 — git add -A -- "$MP_ROOT"
13	LOW	Phase 1.5 Step 3's repo allowlist accepts .. segments that Step 2's rejects, and the value reaches an api.github.com URL（SKILL.md:1053）	security	fixed R10 — 與 Step 2 同一條：兩段英數開頭（擋 .. / .git）、只含 [A-Za-z0-9._-]、恰一個斜線
14	LOW	Phase 1.5 Step 3 executes an arbitrary ~/bin binary chosen by plugin-repo file content, now with cwd inside the marketplace repo（SKILL.md:1056）	security	fixed R10 — binary 從 / 執行（cd / && …）；它是 plugin 自己點名的 CLI，這點記為設計
15	LOW	signal-4/6 interpolate component filenames into grep -E patterns, so a metacharacter in a name can make the staleness check silently pass（SKILL.md:1356）	security	fixed R10 — component 名只接受 [A-Za-z0-9._-]（其餘記為未評估）、拼進 ERE 前跳脫 .；不再經 xargs（sed 取 basename）
16	LOW	多持有者改為 abort：7 個 plugin 名稱的 /plugin-update 從「任何 cwd 都能跑」變成需要 cd 或補 MP_NAME，但只寫在 CHANGELOG（SKILL.md:90）	regression	fixed R10 — SKILL Step 0.1 說明段補「同名多持有者需站在目標 checkout 或帶 marketplace 名」並列出本機 7 例
17	LOW	延後清單漏了 plugin-debug 的硬編 marketplace 名（L277），該行會叫使用者對單一 plugin marketplace 下錯誤的指令（SKILL.md:277）	regression	fixed R10 — #23 comment 補記 plugin-debug L277 硬編 marketplace 名
18	INFO	Codex 另報兩項，均落在本輪已宣告的 accepted trade-offs（記錄但不重複計入）（resolve-marketplace.sh:None）	codex	noted
19	INFO	CHANGELOG 對 plugin-debug 更新範圍的描述已過時（「僅直接消費回傳值的那一行」實際是三個前導 block）（CHANGELOG.md:11）	requirements	fixed R10 — CHANGELOG 改為「三個帶前導的 block 都改」
20	INFO	Step 0.1 診斷迴圈的 rc 0 訊息只列了兩個原因，實際還有第三個（plugin_holders 的實體路徑解析失敗會整列丟掉）（SKILL.md:186）	logic	noted — rc 0 分支訊息可再列第三個原因；影響是診斷文字，留待下一輪一併
21	INFO	The context-file trust boundary takes two controls from the environment (PLUGIN_CTX_TTL_SECONDS, XDG_STATE_HOME) with no sanity cap（resolve-marketplace.sh:None）	security	noted — XDG_STATE_HOME 是使用者自己的環境；TTL 已加量級上限
22	INFO	新增的 git 變更型 fence（commit / amend / rebase / merge / push）是唯一沒被新 smoke test 覆蓋的一批（test-plugin-update-fences.sh:91）	regression	accepted — git 寫入型 fence 需要 remote，smoke test 已加 bare remote 覆蓋 Step 5；commit / push fence 本身留手動驗證

Follow-up Findings Filed (v2.44.0+ #526)

• none new — 16 個 skill 的 description 過短，實質只能靠名字觸發（12 個 mcp-* + 4 個 cli-*） #5 / fix: --marketplace 接受目錄，並停止把兩方檢查報成三方 (#3) #8 / Step 2.5 的 BLOCK 對 75% 的 wrapper 從沒執行過——抽不到就靜默 continue #17 以 plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 comment 記錄（三處回歸已在本 issue 修掉，L277 硬編補進 plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 工作單）。

Next

R10 已 commit、diff 重新凍結；R10 ensemble（含 DA 重跑）進行中。