plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary

[kiki830621]

Problem

Original text（使用者，2026-09-12，剛用 /harness-devtools:plugin-update che-keychain 把 che-keychain 0.3.0 上架之後）:
「這個skill有需要改嗎？？」
— Source: Claude Code session, che-keychain 0.3.0 release

實跑紀錄（che-keychain 是 self-hosted marketplace：root .claude-plugin/marketplace.json 的 entry 是 source: "./plugin"；plugin/.claude-plugin/plugin.json 用 "binaryVersion"；wrapper 是 plugin/bin/che-keychain，變數名 REPO=；session-start hook 不 curl、委派給 wrapper）：

Phase	實際發生	原因
0.1	find_plugin_marketplace che-keychain → rc=1 → 照 skill 該 abort「不在任何 marketplace」	佈局假設 — #18
0.3 Step 1	IS_BINARY_BACKED=false	(a) PLUGIN_DIR 錯（#18）；(b) 就算路徑對，偵測只認 bin/*-wrapper.sh 含 GITHUB_REPO= 或 hook 內 api.github.com.*releases — che-keychain 三個信號全 miss（本 issue 第 2 點）
0.3 Step 2	BINARY_VERSION='' → Signal 2 永不觸發	讀 binary_version，檔案寫 binaryVersion（第 1 點）
0.3 Step 2	MP_DRIFT=yes「剛好」	marketplace entry 原本沒有 version 欄位 → '' ≠ 0.2.0；Phase 2 Step 1 的 p['version'] 對同一份檔案會 KeyError（第 4 點）
0.5	clean + 0 unpushed → Case A「Nothing to push」	release 剛 push 完、binaryVersion 還是 0.2.0 而 latest tag 已是 v0.3.0；沒有任何 phase 負責「latest release 比 pin 新 → bump」，Phase 1.5 只有反方向的 Signal 2（main 超前 release）（第 3 點；abort 本身是 #19）
5	claude plugin list 顯示 0.3.0 就算完成	沒驗 wrapper 是否真的把新 binary 抓到 ~/bin、.che-keychain.version 是否等於 binaryVersion（第 5 點）— 我是手動跑 wrapper --version 才確認的

全部都是安靜的：沒有一個 phase 報錯，skill 自己在 Phase 1.5 就寫過「沉默與『檢查過沒問題』不可區分」（#17）。本 issue 只收 #18 / #19 沒有涵蓋的五點；#18（PLUGIN_DIR / resolver 佈局）與 #19（0.3 與 0.5 互斥）各自處理。

Type

bug

Expected

1. 欄位名：binaryVersion（camelCase）與 binary_version（snake_case）二選一為 canonical，另一個在讀取時視同 alias（本機 20 個 binary-backed plugin.json：17 個 binary_version、3 個 binaryVersion；che-keychain / che-transport-mcp 的 wrapper 讀的是 binaryVersion）。Phase 0.3 Step 2 與 Phase 1.5 Signal 2 都改用同一個讀取 helper。
2. binary-backed 偵測：改成「bin/ 下任何檔案（不限 *-wrapper.sh）含 releases/(download|latest|tags) 或 gh release download」— 與 issue-driven-dev idd-close Step 6.5 的 has_binary_wrapper 同一判準；hook 委派給 wrapper 的佈局不再漏判。GITHUB_REPO= / REPO= / 其他變數名都能抓到 repo（從 URL pattern 抽，不靠變數名）。
3. Release 之後的正向信號：新增「latest release tag（或 --binary-version 引數）比 binaryVersion pin 新」的偵測 → AskUserQuestion「bump pin 到 vX.Y.Z 並同步？」。這是 common-release-flow「release 完自動跑 plugin-update」鏈唯一需要的動作，目前只能手動改 plugin.json。與 plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 的關係：plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 讓 0.5 不再對 clean tree abort，本點提供 0.3 判定 sync intent 的正向依據。
4. marketplace entry 缺 version：視為「缺 → 由 plugin.json 補上」而非 KeyError / 巧合 drift；Phase 2 Step 1 用 .get('version')。
5. Phase 5 驗證 binary：binary-backed plugin 更新後跑 wrapper --version（或讀 ~/bin/.<name>.version），對比 binaryVersion；不一致就報出來（wrapper 下載失敗常見於 release 漏上傳 asset，Phase 1.5 Signal 1 只在 update 前看一次）。

每一點都要有 fixture 級測試（self-hosted 佈局、binaryVersion 拼法、無 version 的 entry），比照 scripts/test-resolve-marketplace.sh 的做法。

Actual

如上表：五個 phase 在 che-keychain 這類佈局上全部沒有作用，且不報錯；使用者靠手動改 plugin.json、手動跑 wrapper 才完成 0.3.0 上架。

Impact

三個 ./plugin 佈局的 marketplace（che-keychain、che-apple-mail-mcp、che-ical-mcp）與所有 binaryVersion 拼法的 plugin，每次 release 後的 plugin-update 都是手動流程；binary 沒換到新版時沒有任何訊號。

Refs #18, #19（同一支 skill 的另外兩個缺陷；三者一起修時共用 plugins/harness-devtools/skills/plugin-update/SKILL.md 與 scripts/resolve-marketplace.sh，需序列化）。

---

Current Status

Phase: implemented
Last updated: 2026-09-16 by idd-implement (R8)

Key Decisions

• R8：E-auto staging 逐檔檢查 + index 一致、最後一次賦值須為字面或 manifest 讀取、partial 讀取不印值、TMPDIR 解析失敗即關座標、Phase 5 PEND 行全狀態、Step 3 checked 只算比對過、Case B no-pin 模板改 wrapper pin 模型、Phase 0.5 abort 提醒
• R7：writer 改 mkstemp + 保留 mode（修 R6 掉 exec bit 的回歸）、寫入後失敗獨立出口、helper 載入 fail-closed、測試座標限系統 temp 樹、行內覆寫 / jq 讀法 / 移動 ref 都 rc 4、pin rollback 守門、Signal 1 checked 只算查到的
• R6：repo 逐檔分級再跨檔合併、*_REPO= 賦值須被用進下載行、字面 pin 須為最後一個賦值、寫入階段失敗明說已改檔案、E-auto 寫後失敗印 AUDIT、seam 三條件；plugin-update: #22 verify 遺留 — --binary-version 引數、plugin-health KeyError、Step 3 執行門檻、E-auto 跳幅、sidecar 拼法、_pbm_json_field 非字串值 #26 已開、第 1 點 errata 已貼
• R5：asset 預檢狀態只升不降、所有 Case E 拒絕走 refuse()（unattended 印 AUDIT 回 75）、同 manifest 多 key 單一 buffer、多 repo 不進 Case E 且 bump 拒絕、Case B 加 no-wrapper、Phase 5 分 PENDING-FETCH / MISMATCH、helper 註解行對稱、BINARY_NAME 只在用於下載時算 asset
• R4：key regex 認 macdoc 寫法（非註解行 "<key>"[^"]*:）、Signal 1 先查 v<pin> tag、hook-only 有 pin 的佈局用 hooks 列當下載器、共用 pin 的 wrapper 全部同改且寫後重讀 rc、repo 以 bin/ 為準、asset 只認宣告、E-auto 加 asset 預檢、version 來源不做預設
• R3：pin 逐 wrapper 從三種封閉來源讀（wrapper 字面 DESIRED_VERSION / wrapper grep 的 manifest key / none），不再有 manifest 全域 version 回退；plugin_binary_version_effective 刪除
• R3：Phase 1.5 Step 2 只算 bin/ 列、hooks 列交 Step 3（有 bin wrapper 的 plugin 跳過）；unattended Case E 專用來源 → E-auto（樹乾淨且 0 0 才 commit+push）、version 來源不 bump
• R3：Phase 5 逐 bin wrapper 對各自 pin，任一 unresolved 即 UNVERIFIED k/N；收尾移到 Step 1.9
• R2：逐 wrapper 驗證、repo 抽取分級、Case E 不 abort unattended（verify R1 6 HIGH）
• Plan tier（hard-gate：shared abstraction）：新 helper scripts/plugin-binary-meta.sh 收斂 binary metadata 讀取，SKILL.md 各 phase 只消費 helper；Case E 優先於 C
• 版本 bump 2.5.0 + root marketplace.json 鏡像留到 verify PASS 後最後一個 commit（idd-22-verified 即 2.5.0 的 SHA）
• Conflict Class C：與 plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18 / plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 序列化（同一支 SKILL.md）

Scope Changes

• --binary-version CLI 引數替代方案不實作（issue 寫「或」）→ follow-up issue
• plugin-deploy / plugin-health 的 *-wrapper.sh 掃描 → plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23；has_binary_wrapper 的 bin/*.sh → issue-driven-development#344

Blocking

• verify Round 8 進行中（R1 6 HIGH、R2 8 HIGH、R3 8 HIGH、R4 2 HIGH、R5 2 HIGH、R6 3 HIGH、R7 3 HIGH，皆已修）

Commits

• 17ac698 fix(plugin-update): E-auto staging 逐檔檢查、最後一次賦值須可讀、partial 不印值、TMPDIR 解析、Phase 5 全狀態、Case B 模板 (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)
• ad265e7 fix(plugin-update): writer 保留 mode 且用 mkstemp、寫入後失敗獨立出口、helper 載入 fail-closed、座標限 temp 樹、pin 讀法邊界、rollback 守門 (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)
• 2695ccf fix(plugin-update): repo 逐檔分級再合併、賦值須被用進下載、字面 pin 須為最後一個賦值、寫入失敗不宣稱零變更、seam 三條件 (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)
• e3729d9 fix(plugin-update): Case E asset 預檢單調、拒絕一律 AUDIT、同 manifest 多 key 單一 buffer、多 repo 拒絕、no-wrapper、PENDING-FETCH、註解行對稱 (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)
• 9389c9c fix(plugin-update): key regex 認 macdoc 寫法、Signal 1 查 v 前綴 tag、hook-only 有 pin 可達、共用 pin 全部同改、repo 以 bin 為準 (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)
• 475f905 fix(plugin-update): pin 逐 wrapper 從三種來源讀、hooks 列分流、unattended Case E-auto commit+push、Phase 5 不再假 all-N (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)
• e5c0a27 fix(plugin-update): 逐 wrapper 驗證、repo 抽取分級、version 回退顯式化、Case E 不 abort unattended (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)
• 72996f8 feat(plugin-update): binary metadata 收斂到 plugin-binary-meta.sh、Phase 0.3 加 release-ahead Case E、Phase 5 驗 binary 到位 (plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22)

[kiki830621]

Diagnosis

Type

bug

Root Cause / Analysis

五點是同一個根因的五個症狀：plugin-update 對「binary-backed plugin 的 metadata」沒有單一讀取點，每個 phase 各自用一組字面假設（欄位名、檔名後綴、變數名、marketplace entry 一定有 version、claude plugin list 的版本等於裝好的 binary）去猜，而每個猜錯的地方都以「沒有」收場，不以「不知道」收場。

逐點對照現況（plugins/harness-devtools/skills/plugin-update/SKILL.md，行號為 #18 之後）：

#	假設	現況證據	實際分布（本機 ~/Developer 四層內）
1	欄位叫 binary_version	Phase 0.3 Step 2 (a) get('binary_version','')；Phase 1.5 Signal 2 get('binary_version') or get('version')	plugin.json：3 個 binary_version、2 個 binaryVersion（che-keychain、che-transport-mcp）；che-keychain 的 wrapper 本身讀 binaryVersion（plugin/bin/che-keychain L26–L34），所以檔案不能單方面改名
2	wrapper 是 bin/*-wrapper.sh 且含 GITHUB_REPO=	Phase 0.3 Step 1 ls bin/*-wrapper.sh | xargs grep -l GITHUB_REPO；Phase 1.5 grep '^GITHUB_REPO='	psychquant 的 wrapper 變數：REPO= 9 個、GITHUB_REPO= 2 個；che-keychain 的 wrapper 是 bin/che-keychain（無副檔名、REPO=）；hook 委派給 wrapper、不 curl → 三個信號全 miss
3	sync intent 只看「shell 改了 / marketplace 落後 / binary main 超前 release」	Phase 0.3 Step 2 (a)–(d)；Phase 1.5 Signal 2 只有反方向	che-keychain 0.3.0：release 已 push、binaryVersion 仍 0.2.0 → 沒有任何 phase 會說「pin 落後 release」；common-release-flow 的「release 完自動 plugin-update」鏈唯一需要的動作只能手動
4	marketplace entry 一定有 version	Phase 2 Step 1 p['version']（KeyError）；Phase 0.3 Step 2 (b) p.get('version','') → '' != x 被當 drift	che-keychain 的 entry 原本沒有 version（本次 0.3.0 才補）
5	claude plugin list 顯示新版 = 完成	Phase 5 Step 1 只跑 claude plugin list	wrapper 下載成功與否、~/bin/.<name>.version 是否等於 pin，沒有任何 phase 看；0.3.0 是手動跑 wrapper --version 才確認

與 #18 / #19 的邊界：#18 已把 PLUGIN_DIR 修好（本 issue 的偵測全部以 $PLUGIN_DIR 為起點）；#19 讓 0.3 對所有 plugin 執行並解掉 0.5 的誤攔。本 issue 提供 0.3 判定 sync intent 的正向依據（第 3 點）與其餘四點。

證據補充：idd-close Step 6.5 的 has_binary_wrapper() 用 URL pattern（gh release download|api\.github\.com/.*/releases|github\.com/.*/releases/(download|tags|latest)）而非變數名，是正確方向 —— 但它也只掃 bin/*.sh，同樣漏掉 bin/che-keychain（已另開 PsychQuant/issue-driven-development#344）。

Impact

• 影響的檔案：plugins/harness-devtools/skills/plugin-update/SKILL.md（Phase 0.3 Step 1/2、Phase 1.5 Step 1–3、Phase 2 Step 1、Phase 5）、新 helper plugins/harness-devtools/scripts/plugin-binary-meta.sh + 測試、README.md / CLAUDE.md / CHANGELOG.md
• 影響的使用者流程：三個 ./plugin 佈局 marketplace 與所有 binaryVersion / REPO= / 無副檔名 wrapper 的 plugin，每次 release 後的 plugin-update；binary 沒換新版時零訊號

Strategy

把「binary-backed metadata 怎麼讀」收斂成一個 bash 3.2 helper（比照 resolve-marketplace.sh 的做法：函式化、無 stderr、fixture 測試），SKILL.md 各 phase 只消費 helper 的輸出：

• 新增 scripts/plugin-binary-meta.sh：plugin_binary_version <dir>（讀 binary_version → binaryVersion → 空；不回退 version，回退會把 shell 版本當 binary 版本）、plugin_binary_version_key <dir>（回報檔案實際用的 key，寫回時保留原 key）、plugin_is_binary_backed <dir>（.mcp.json ∨ bin/ 下任何一般檔案含 release URL pattern ∨ hooks/*.sh 含同 pattern —— 與 idd-close has_binary_wrapper 同一 pattern）、plugin_binary_repo <dir>（從 URL pattern 抽 owner/repo，不靠變數名；多個不同值 → 回第一個並 rc 2）、plugin_binary_name <dir>（BINARY_NAME= → INSTALL_NAME= → 空）、plugin_installed_binary_version <dir>（讀 ${PLUGIN_BIN_DIR:-$HOME/bin}/.<name>.version；name 抽不到 → rc 2 = UNKNOWN，不是「沒裝」）、marketplace_entry_version <mp_root> <plugin>（缺 entry rc 1、缺 version 印空 rc 0）、latest_release_version <owner/repo>（gh release view --json tagName，去 v；可用 PBM_GH 注入 stub）
• scripts/test-plugin-binary-meta.sh：fixture 覆蓋 binary_version / binaryVersion / 兩者皆無；bin/<name>（無副檔名、REPO=）/ bin/x-wrapper.sh（GITHUB_REPO=）/ 只有 hook curl / 三者皆無；entry 缺 version；sidecar 一致 / 不一致 / 缺 name；latest_release_version 用 stub；bash 3.2 + zsh source 皆零 stderr
• SKILL.md Phase 0.3 Step 1 改用 plugin_is_binary_backed；Step 2 (a) 改用 plugin_binary_version、(b) 改用 marketplace_entry_version（空 = 「缺 → 由 plugin.json 補上」，不算 drift 也不 KeyError）；新增 (e) RELEASE_AHEAD：latest_release_version > pin → Step 4 新 Case E：AskUserQuestion「bump pin 到 vX.Y.Z（保留原 key）並同步？」（unattended → auto-abort + structured error，同 Case B）
• SKILL.md Phase 1.5 Step 1 表格與 Step 2 迴圈改用 helper（plugin_binary_repo / plugin_binary_name），抽不到 → 明講 UNKNOWN（保留 Step 2.5 的 BLOCK 對 75% 的 wrapper 從沒執行過——抽不到就靜默 continue #17 的紀律）；Step 3 CLI 情境同樣改用 helper
• SKILL.md Phase 2 Step 1 用 .get('version')，缺 → 印「(missing — will be set from plugin.json)」；Step 2/3 保留
• SKILL.md Phase 5 新增 Step 1.5「binary-backed 驗證」：plugin_installed_binary_version 對比 plugin_binary_version；不一致或 UNKNOWN → 顯眼報出（含 wrapper 手動觸發指令），不當成完成
• README.md / CLAUDE.md：helper 契約；CHANGELOG.md [Unreleased] Added / Fixed；harness-devtools 版本 bump 2.4.0 → 2.5.0 + root marketplace.json 鏡像（三 issue 一次；本 issue 最後做）

Conflict Class

C_shared_module_coord —— 與 #18、#19 共用 skills/plugin-update/SKILL.md；序列在兩者之後（依賴 #18 的 $PLUGIN_DIR 與 #19 的通用 0.3）。新 helper 檔與 resolve-marketplace.sh 並列、不互相引用。

Complexity

Plan

Hard-gate: triggered — 單一概念（binary-backed metadata 讀取）散佈 ≥ 5 檔（新 helper、新測試、SKILL.md、README、CLAUDE.md、CHANGELOG），且引入被 SKILL.md 四個 phase 消費的 shared abstraction；Family-wide scope 須列出 helper 每個函式的消費 phase。
Layer P 另命中：5+ ordered steps、decision-heavy（canonical 欄位名：讀兩者、寫回保留原 key，而非改檔）。
Layer 2 未命中（helper 是 plugin 內部，非 published API）。

→ 建議 pre-implementation staging: superpowers:brainstorming（非綁定）

Risks

• 欄位名 canonical 化若選「改檔統一」會弄壞 che-keychain / che-transport-mcp 自己讀 binaryVersion 的 wrapper —— 因此 reader 接受兩者、writer 保留原 key；docs 建議新 plugin 用 binary_version（#77 schema）。
• plugin_binary_repo 從 URL 抽：wrapper 可能同時引用 releases/latest 與 releases/tags（同 repo），或引用第二個 repo（極少）；取第一個並在多值時 rc 2 讓 SKILL.md 印出來。
• latest_release_version 走網路：0.3 從此多一個 gh 呼叫；失敗 → 信號標 UNKNOWN、不阻擋（同 Phase 1.5 best-effort 紀律），測試用 stub 不打網路。
• Phase 5 binary 驗證只在 wrapper 已被觸發過（sidecar 存在）時有意義；未觸發 → UNKNOWN + 印手動觸發指令，不假裝通過。

Residue

issue 的 horizon 是「release 後的 plugin-update 對每種 plugin 佈局都不是手動流程」；本 issue 修的是偵測與驗證，不改 wrapper 契約本身（.<name>.version sidecar、binaryVersion 讀法）。20 個 plugin.json 欄位名的實際統一（改檔）不在範圍；has_binary_wrapper 在 IDD 端的同款漏洞在 #344。

Vagueness Pre-check

• V1: 2 — Expected 五點各自有明確判準與對照實例
• V4: 2 — issue 明寫「每一點都要有 fixture 級測試，比照 test-resolve-marketplace.sh」
• Triggered: no — both axes ≤ 3

Sister Concerns Filed (mid-diagnose, v2.47.0+ #528)

• Filed: idd-close Step 6.5 has_binary_wrapper 只掃 bin/*.sh，漏掉無副檔名的 wrapper (sister concern from che-plugin-devtools#22) issue-driven-development#344 — idd-close Step 6.5 has_binary_wrapper 只掃 bin/*.sh，漏掉無副檔名的 wrapper（同判準、不同 repo）

Recommended Agent

idd-route：四個候選皆 insufficient_data；沿用 session 預設。

[kiki830621]

Implementation Plan (Plan tier)

Diagnosis：https://github.com/PsychQuant/che-plugin-devtools/issues/22#issuecomment-5640969554（Plan，hard-gate：shared abstraction；Conflict Class C，序列在 #18 b5e0efb、#19 937d40e 之後）。本 plan 以 937d40e（idd-19-verified）為基底。

Files & Changes

• plugins/harness-devtools/scripts/plugin-binary-meta.sh（新）— bash 3.2、zsh-safe、查詢路徑零 stderr、可 source 多次；與 resolve-marketplace.sh 並列、不互相 source（消費端兩個都 source）。函式：
  • plugin_binary_version <manifest> — 讀 binary_version → binaryVersion → 空；不回退 version（那是 shell 版本）。rc 0；manifest 讀不到 rc 4。值經 [A-Za-z0-9.+-] allowlist，不合法印空 + rc 3。
  • plugin_binary_version_key <manifest> — 印檔案實際使用的 key（binary_version / binaryVersion），兩者皆有時以 binary_version 為準並 rc 2；皆無 rc 1。寫回時保留原 key（che-keychain / che-transport-mcp 的 wrapper 自己讀 binaryVersion，改檔會弄壞它們）。
  • plugin_is_binary_backed <dir> [manifest] — 四個結構信號任一命中 rc 0 並印命中清單（mcp.json / bin:<file> / hook:<file> / pin:<key>），皆無 rc 1 印空。bin/ 下任何一般檔案（find -maxdepth 1 -type f，不限 *-wrapper.sh）與 hooks/*.sh 用同一條 release URL pattern：gh release download ∨ api\.github\.com/repos/[^/]+/[^/]+/releases ∨ github\.com/[^/]+/[^/]+/releases/(download|tags|latest)（與 idd-close has_binary_wrapper 同一判準）。不掃 skills/ 散文（plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18 R4）。
  • plugin_binary_repo <dir> — 從 bin/* 與 hooks/*.sh 抽 owner/repo：認 URL 字面（api.github.com/repos/o/r、github.com/o/r/releases）與 <任何>_REPO="o/r" / REPO="o/r" 賦值（gifthub 是 GFH_REPO=），兩段英數開頭、只含 [A-Za-z0-9._-]。去重後恰一個 → rc 0；多個不同值 → 印第一個 rc 2；抽不到 rc 1。
  • plugin_binary_name <dir> — BINARY_NAME="…" → INSTALL_NAME="…" → hook 內 $HOME/bin/<name> 字面 → 空 rc 1；allowlist 同上。
  • plugin_installed_binary_version <dir> — name 抽不到 → rc 2（UNKNOWN，印空）；讀 ${PLUGIN_BIN_DIR:-$HOME/bin}/.<name>.version，不存在 → rc 1（wrapper 從未觸發 / 未裝），存在印值 rc 0。
  • marketplace_entry_version <mp_root> <plugin> — entry 不存在 rc 1；entry 在、version 缺 → 印空 rc 0；manifest 讀不到 / 形狀不對 rc 4。（.get，不 KeyError。）
  • latest_release_version <owner/repo> — ${PBM_GH:-gh} release view --repo o/r --json tagName -q .tagName，去前導 v；失敗 rc 1 印空。測試以 PBM_GH 注入 stub，不打網路。
  • version_gt <a> <b> — 三段數字比較用 awk（不用 sort -V：BSD sort 沒有）；任一段非數字 rc 2（不可比）。
• plugins/harness-devtools/scripts/test-plugin-binary-meta.sh（新）— 比照 test-resolve-marketplace.sh：mktemp fixture、/bin/bash 3.2 跑全部 + zsh -c 'source …' 零 stderr。fixture：binary_version / binaryVersion / 兩者皆有 / 皆無；bin/kc（無副檔名、REPO=、INSTALL_NAME=）/ bin/x-wrapper.sh（GITHUB_REPO=、BINARY_NAME=）/ 只有 hook curl / 三者皆無 / 兩個 wrapper 指向不同 repo（rc 2）；entry 缺 version / entry 不存在；sidecar 一致 / 不一致 / 缺 name / 缺檔；latest_release_version 用 stub（正常 / 失敗 / 無 v 前綴）；version_gt 六組（含 10.0.0 > 9.9.9、非數字 rc 2）。
• plugins/harness-devtools/skills/plugin-update/SKILL.md：
  • Step 0 task list：sync_intent_gate 描述加「release-ahead 正向信號（Case E）」；verify_and_report 加「binary-backed 驗證 installed == pin」。
  • Phase 0.3 Step 1 fence：四個手寫信號改為 plugin_is_binary_backed "$PLUGIN_DIR" "$PLUGIN_MANIFEST"，印命中清單；未命中訊息改列 helper 的四個信號。
  • Phase 0.3 Step 2 fence：(a) BINARY_VERSION=$(plugin_binary_version "$PLUGIN_MANIFEST")；IS_BINARY_BACKED 用 helper；(b) marketplace_entry_version 以 rc 分「entry 不存在（Phase 2 Step 3 新增）」與「缺 version（Phase 2 補上）」，兩者 MP_DRIFT=yes 但印不同理由；detect_binary_repo 改用 plugin_binary_repo（rc 2 印「多個 repo，取第一個」）；新增 (e) RELEASE_AHEAD：binary-backed ∧ 有 pin ∧ repo 可抽 → latest_release_version；version_gt latest pin → RELEASE_AHEAD=<latest>；取不到 → unknown（印一行，不阻擋）。決定行加 latest=… release_ahead=…。
  • Phase 0.3 Step 3 表格加一列「latest release > pin → YES（Case E，先問 bump）」；Step 4 新增 Case E：Release ahead of pin，判定順序 E → C → B → A（pin 落後時先問 bump，否則 Case C 會帶著舊 pin 同步 shell——正是 che-keychain 0.3.0 的情況）。AskUserQuestion 三選項：「bump pin 到 vX.Y.Z（保留原 key）」／「bump pin 與 plugin version 一起到 X.Y.Z」（che-keychain 的兩欄同步慣例）／「abort」。bump 由專用 fence 做（python json.load 保序、plugin_binary_version_key 決定寫哪個 key、indent=2 + 尾端換行、寫回前後印兩個值），bump 後回 Step 2 重跑（此時 SHELL_DIRTY 非空 → Case C）。Case D unattended：Case E 同 Case B → auto-abort + structured error + remove_plugin_ctx。
  • Phase 1.5 Step 1 表格三列改為 helper 的判準；Step 2 fence：wrapper 列表改 find "$PLUGIN_DIR/bin" -maxdepth 1 -type f，BINARY_NAME / GITHUB_REPO 改 plugin_binary_name / plugin_binary_repo（每 plugin 一次，rc 1 / 2 各印一行；不再逐 wrapper grep ^GITHUB_REPO=）；Signal 1 / 2 邏輯不變。Step 3 CLI fence 的 GFH_REPO / BINARY_NAME 同樣改 helper。
  • Phase 2 Step 1 fence：p.get('version')，缺 → 印 (missing — will be set from plugin.json)；Step 4 fence 的 MP_NOW 改 marketplace_entry_version，rc 1 → 「entry 不存在 → Step 3」、空 → 「缺 version → Step 2 Edit 補上」（現在兩者共用一句錯的處方）。
  • Phase 5 新增 Step 1.5：binary-backed 驗證（fence）：非 binary-backed 印 n/a；否則 plugin_installed_binary_version 對比 plugin_binary_version：相等 ✅；不等 ⚠️ 印兩個值 + 「wrapper 下次啟動會抓 pin 的版本；要立刻驗證：<bin file> --version」；rc 1 印「sidecar 不存在 — wrapper 從未在本機觸發過，binary 是否到位未驗證」；rc 2 印 UNKNOWN（抽不到 name）。不當成完成。Step 3 report 加一列 - Phase 5: binary <n/a | installed vX == pin | MISMATCH installed vX pin vY | UNVERIFIED (no sidecar) | UNKNOWN>。
• plugins/harness-devtools/scripts/test-plugin-update-fences.sh — 新 fixture plugin kc（self-hosted 形：bin/kc 無副檔名、REPO=、INSTALL_NAME=、manifest 用 binaryVersion、marketplace entry 無 version、hooks/session-start.sh 只委派不 curl）；PBM_GH stub 印 v9.9.9；PLUGIN_BIN_DIR="$T/bin" 放 sidecar。斷言：Step 1 印 IS_BINARY_BACKED=true (bin:kc pin:binaryVersion)；Step 2 印 Case E 與 release_ahead=9.9.9；stub 失敗時印 release_ahead=unknown 且不是 Case E；Phase 2 Step 1 印 (missing …)；Phase 5 Step 1.5 sidecar 一致 ✅ / 不一致 MISMATCH / 缺檔 UNVERIFIED；既有 nobin / pure 斷言不變（bash + zsh 各跑一次）。
• plugins/harness-devtools/README.md L56「怎麼判斷是不是 binary-backed」改為 helper 的四信號；CLAUDE.md 加 plugin-binary-meta.sh 函式契約表；rules/mcp-binary-distribution.md 若有 *-wrapper.sh 字面則改「bin/ 下任何含 release URL 的檔案」。
• plugins/harness-devtools/CHANGELOG.md [Unreleased] Added（helper + 測試）/ Fixed（五點，plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22）；最後一個 commit：[Unreleased] → [2.5.0] - 2026-09-15，plugin.json version 2.4.0 → 2.5.0（description 依慣例前置 v2.5.0: 一句），root .claude-plugin/marketplace.json 的 harness-devtools entry 鏡像 2.5.0。

Family-wide scope (shared-abstraction hard-gate trigger only)

helper 每個函式的消費點，全部 in-scope：

函式	消費 phase
plugin_is_binary_backed	0.3 Step 1、0.3 Step 2、1.5 Step 1（表格敘述）、5 Step 1.5
plugin_binary_version / _key	0.3 Step 2 (a)、0.3 Case E bump fence、1.5 Step 2 Signal 2、5 Step 1.5
plugin_binary_repo	0.3 Step 2 detect_binary_repo、0.3 Step 2 (e)、1.5 Step 2、1.5 Step 3
plugin_binary_name	1.5 Step 2、1.5 Step 3、5 Step 1.5（經 plugin_installed_binary_version）
plugin_installed_binary_version	5 Step 1.5
marketplace_entry_version	0.3 Step 2 (b)、2 Step 1、2 Step 4
latest_release_version + version_gt	0.3 Step 2 (e)；1.5 Step 3 的 curl … releases/latest 改用它（同一份 stub 可測）

plugin-debug / plugin-health / plugin-deploy 不消費（它們的 binary 判定在 #23 名單內，不在本 issue）。

Sequencing & Dependencies

1. RED：寫 test-plugin-binary-meta.sh（helper 不存在 → 全部 fail）。
2. GREEN：plugin-binary-meta.sh；跑到全綠 + zsh source 零 stderr。
3. RED：test-plugin-update-fences.sh 加 kc fixture 與新斷言（SKILL.md 未改 → fail）。
4. SKILL.md：Phase 0.3（Step 1 → Step 2 → Step 3/4 Case E）→ Phase 1.5 → Phase 2 → Phase 5 → Step 0 描述。每改一個 fence 跑 /bin/bash -n 與 ${VAR} 全形標點掃描（plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18 R7 教訓）。
5. GREEN：兩個 smoke test 套件 + test-resolve-marketplace.sh（139）不動 + check-skill-references.sh。
6. docs + CHANGELOG（commit 1–N）；版本 bump 2.5.0 + root marketplace.json（最後一個 commit）。

Decision Points

• manifest-reading 函式收 manifest 路徑、不收 dir：消費端已有 load_plugin_ctx 給的 $PLUGIN_MANIFEST（.claude-plugin/plugin.json 或根目錄 plugin.json）；收 dir 就得重做 manifest 查找、或 source resolver——diagnosis 定的是兩支 script 不互相引用。
• Case E 優先於 C：release-ahead 時 Case C 會把舊 pin 連同 shell 一起同步出去（che-keychain 0.3.0 實例）；先問 bump，bump 後回 Step 2 自然落到 C。不做「C 的摘要順便印 release-ahead」——那是資訊、不是裁決點。
• bump 提供兩個選項而非自動判斷：che-keychain 兩欄同版、MCP plugin 兩欄獨立（#77 schema）；哪一種是使用者的慣例 helper 判不出來，問一次比猜錯便宜。
• 版本比較用 awk：macOS BSD sort 沒有 -V；三段數字以外（1.0.0-beta）回 rc 2 不可比，Case E 不觸發、印 unknown。
• latest_release_version 走 gh、不走 curl：gh 帶認證（rate limit 5000/h vs 60/h）、失敗回 rc；Phase 1.5 Step 3 既有的 curl 一併改用同一函式，讓 stub 覆蓋兩處。
• 2.5.0 bump 在本 issue 最後做（三 issue 一次）；不在 plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18 / plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 的 verified SHA 之後補 tag，idd-22-verified 即 2.5.0 的 SHA。

Risks & Mitigations

• 0.3 多一次網路呼叫（gh release view）：失敗 / 未登入 / 無 release → unknown，印一行、不阻擋、不進 Case E；測試零網路（PBM_GH stub）。
• bump fence 寫回 plugin.json 會重排格式（indent=2）：本 repo 的 plugin.json 都是 2 空格縮排；寫回前後印值、git diff --stat 讓使用者看到只動一或兩行。key 順序由 json.load 保序。
• plugin_binary_repo 在 wrapper 同時引用兩個 repo（極少）：rc 2 印第一個 + 警告，Phase 1.5 不靜默選。
• Phase 5 Step 1.5 只在 sidecar 存在時有結論：從未觸發 wrapper → UNVERIFIED，不是 ✅；不主動執行 wrapper（那會在 marketplace repo 的 cwd 下載 binary）。
• find -type f 會把 bin/setup-tdx.sh、bin/verify-download.sh 這類輔助檔也掃進 plugin_is_binary_backed：判準是內容含 release URL、不是檔名，輔助檔含 URL 本來就代表 binary-backed，不是誤報。
• plugin-update: #19 R4 遺留 — upstream remote 拆解、behind 檢查、Phase 2.5 push 硬化、Phase 5 report 不可達列、E' 狀態 #25 已記錄 Phase 5 report 有不可達取值；本 issue 新增的那一列五個取值都可達（fence 印哪個就填哪個），不擴大 plugin-update: #19 R4 遺留 — upstream remote 拆解、behind 檢查、Phase 2.5 push 硬化、Phase 5 report 不可達列、E' 狀態 #25 的問題。

Test Plan

測試	對應改動	RED 預期	GREEN 預期
test-plugin-binary-meta.sh（約 45 斷言）	helper 八個函式	source 失敗、全部 ✗	全 ✓，zsh -c 'source …' stderr 為空
fences：kc Step 1	plugin_is_binary_backed	印 IS_BINARY_BACKED=false	true (bin:kc pin:binaryVersion)
fences：kc Step 2 + stub v9.9.9	Case E	印 Case A/C、無 release_ahead=	Case E … release_ahead=9.9.9
fences：kc Step 2 + stub 失敗	unknown 不阻擋	—	release_ahead=unknown，Case ≠ E
fences：kc Phase 2 Step 1	.get('version')	python KeyError	kc: (missing — will be set from plugin.json)
fences：kc Phase 5 Step 1.5 三態	sidecar 對比	fence 不存在	✅ / MISMATCH / UNVERIFIED 各一
fences：nobin / pure 既有 79 斷言	回歸	—	不變
test-resolve-marketplace.sh	未動	—	139/139
check-skill-references.sh	docs 引用	—	綠

Out-of-scope (will NOT be touched)

• 20 個 plugin.json 欄位名的實際統一（改檔）；wrapper 契約（sidecar 檔名、binaryVersion 讀法）。
• plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23（其他 skill 的 plugins/<name> 硬編與 binary 判定）、plugin-update: #18 R10 遺留 — Step 5 unresolved 語意、commit fence pathspec / 退出碼、Phase 2.5 信號 4 與 SKIPPED 消毒 #24（plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18 R10 遺留）、plugin-update: #19 R4 遺留 — upstream remote 拆解、behind 檢查、Phase 2.5 push 硬化、Phase 5 report 不可達列、E' 狀態 #25（plugin-update: Phase 0.3 與 Phase 0.5 可對同一次執行給出互相矛盾的裁決 #19 R4 遺留：upstream 拆解、behind 檢查、Phase 2.5 push、Phase 5 不可達列、E' 狀態）。
• IDD 端 has_binary_wrapper 的 bin/*.sh glob（idd-close Step 6.5 has_binary_wrapper 只掃 bin/*.sh，漏掉無副檔名的 wrapper (sister concern from che-plugin-devtools#22) issue-driven-development#344）。
• Phase 0.3 的 30 天窗口啟發式。

Tangential Observations (filed mid-plan, v2.42.0+ #524)

none surfaced beyond already-filed follow-ups（#23 / #24 / #25 / issue-driven-development#344）。

[kiki830621]

Implementation Complete

Commit: 72996f8（main，direct-commit；基底 937d40e = idd-19-verified）
Plan: https://github.com/PsychQuant/che-plugin-devtools/issues/22#issuecomment-5674525688（approved in plan mode）

Checklist

• scripts/plugin-binary-meta.sh（新）— plugin_binary_version / plugin_binary_version_key / plugin_is_binary_backed / plugin_binary_repo / plugin_binary_name / plugin_installed_binary_version / marketplace_entry_version / latest_release_version / version_gt。與 resolver 並列不互 source；查詢零 stderr；答不出來回 distinct rc 印空。release URL 判準與 idd-close has_binary_wrapper 同一條，但 owner/repo 段允許 $VAR（真實 wrapper 的 URL 是 …/repos/$REPO/releases/…，字面 owner/repo 由 plugin_binary_repo 另抽）。
• scripts/test-plugin-binary-meta.sh（新，61 斷言）— 兩種 key / 皆有 / 皆無 / 值不合法；bin/kc 無副檔名 + REPO= + INSTALL_NAME=、bin/x-wrapper.sh + GITHUB_REPO= + BINARY_NAME=、hook-only（gifthub 形）、純 shell（~/bin/ 散文不算）、gh release download、兩 wrapper 不同 repo（rc 2）、traversal 段拒絕；entry 缺 version / 缺 entry / manifest 壞；sidecar 一致 / 不一致 / 缺檔 / 缺名；PBM_GH stub 三態；version_gt 六組；bash 3.2 與 zsh 零 stderr。RED（helper 不存在）→ GREEN 實測。
• SKILL.md Phase 0.3 — Step 1 改 plugin_is_binary_backed（印命中清單）；Step 2 (a) plugin_binary_version、(b) marketplace_entry_version 以 rc 分「entry 不存在 → Step 3」與「缺 version → Step 2」、(d) plugin_binary_repo（多值印出取第一個）、新 (e) RELEASE_AHEAD（latest_release_version + version_gt；取不到 → unknown 印一行不阻擋）；決定行加 repo= latest= release_ahead=；判定順序 E → C → B → A；Step 3 表加一列；Step 4 新增 Case E 三選項 + bump 專用 fence（python 保序、indent=2、保留原 key、印前後值 + git diff --stat、回 Step 2 重跑）；Case D unattended 加 E → auto-abort；Step 0 描述同步。
• SKILL.md Phase 1.5 — Step 1 表改四列判準；Step 2 wrapper 列表 find -type f、名稱 / repo 改 helper（每 plugin 一次，抽不到各印一行）、Signal 2 pin 不再回退 version；Step 3 CLI 改 helper、curl → latest_release_version。
• SKILL.md Phase 2 — Step 1 .get('version') 印 (missing — will be set from plugin.json)；Step 4 MP_NOW 改 helper，缺 entry / 缺 version / 非法字元 / 讀不動四種處方。
• SKILL.md Phase 5 — 新 Step 1.5 sidecar 對比（✅ / MISMATCH / UNVERIFIED (no sidecar) / UNKNOWN / n/a），remove_plugin_ctx 移到此 fence 結尾；Step 3 report 加 Phase 5: binary <…> 一列、Phase 0.3 列加 E→bump→C 與 release_ahead=。
• scripts/test-plugin-update-fences.sh — fixture kc（che-keychain 形）+ PBM_GH stub + PLUGIN_BIN_DIR sidecar；新增 run_both_ctx（fence 結尾清 ctx 的那一支在 bash / zsh 之間重新 prep01）；既有 Phase 2 Step 4 marker 改 MP_NOW=$(marketplace_entry_version；RED 20 → GREEN，79 → 112。
• README「怎麼判斷是不是 binary-backed」改四信號；CLAUDE.md 加 helper 契約段；rules/mcp-binary-distribution.md 註明 plugin-deploy Step 2.5 的掃描仍是 *-wrapper.sh（plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23）；CHANGELOG [Unreleased] Added ×4 / Fixed ×1（plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22）。
• 版本 bump 2.4.0 → 2.5.0 + root .claude-plugin/marketplace.json 鏡像 — 刻意留到 verify PASS 之後的最後一個 commit（plan Sequencing 第 7 步；idd-22-verified 即 2.5.0 的 SHA）。

Verification（本機，commit 前）

套件	結果
test-plugin-binary-meta.sh	61/61（bash 3.2；zsh source 零 stderr）
test-plugin-update-fences.sh	112/112（bash + zsh 各一次，無 no matches found）
test-resolve-marketplace.sh	139/139（未動）
check-skill-references.sh	綠
32 個 bash fence /bin/bash -n	0 錯
fence 內裸 $VAR 接全形字元掃描	0
真實 plugin 探測	che-keychain → bin:che-keychain pin:binaryVersion / PsychQuant/che-keychain / che-keychain / 0.3.0；gifthub → hook:session-start.sh / PsychQuant/GiftHub / gfh；harness-devtools → 非 binary-backed

Decisions（實作中）

• 偵測 regex 的 owner/repo 段從「字面英數」放寬為「非空白非引號」：真實 wrapper 一律寫 $REPO / $GITHUB_REPO，字面判準會把 che-apple-mail-mcp 這種標準 wrapper 判成非 binary-backed。
• Phase 1.5 Step 2 保留 while … done <<EOF once EOF 迴圈殼（只跑一輪）：helper 已把「每個 wrapper 各抽一次」收斂成每 plugin 一次，殼留著是為了既有測試 marker 與 continue 語意。
• Phase 5 Step 1.5 接管 remove_plugin_ctx（Step 1 不再清）：Step 1.5 需要 context 才能找 $PLUGIN_DIR；封閉列舉「Phase 5 的正常收尾」那一項仍成立。

Sister Bugs Filed (per IC_R011 #526)

• none new — 本次碰到的相鄰缺陷都已在冊：plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23（plugin-deploy / plugin-health 的 *-wrapper.sh 掃描）、plugin-update: #19 R4 遺留 — upstream remote 拆解、behind 檢查、Phase 2.5 push 硬化、Phase 5 report 不可達列、E' 狀態 #25（Phase 2.5 push、E' 狀態等）、idd-close Step 6.5 has_binary_wrapper 只掃 bin/*.sh，漏掉無副檔名的 wrapper (sister concern from che-plugin-devtools#22) issue-driven-development#344（has_binary_wrapper 的 bin/*.sh）。

Next

/idd-verify #22（freeze idd-19-verified..HEAD）→ PASS → 版本 bump 2.5.0 commit → tag idd-22-verified。

[kiki830621]

Verify: #22 — Round 1

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA 72996f8（idd-19-verified..HEAD，1 commit）。

Result

FAIL — 0 CRITICAL / 6 HIGH / 17 MEDIUM / 12 LOW / 5 INFO。

要求覆蓋率

五點的偵測面（欄位名雙拼法、bin/ 任何檔案、release-ahead、entry 缺 version、Phase 5 sidecar）都在 diff 中，但 R1 對真實 marketplace 沒有量過：(a) 拿掉 version 回退讓本機 13/13 binary-backed plugin 從「有 pin」變「無 pin」，第 3 點的 Case E 與第 5 點的 Phase 5 ✅ 對現行 plugin 全部不可達，只有合成 fixture 證明過（DA 實測）；(b) Phase 1.5 / Phase 5 從逐 wrapper 塌成每 plugin 一組，che-telegram-mcp 的第二個 binary 不再被驗卻印 wrappers checked: 4（codex / regression / logic / DA 四方命中）；(c) plugin_binary_repo 把 bare github.com/o/r 文件連結當候選且 first-wins，錯 repo 會驅動 Case E 把別的 repo 的版本寫進 pin（logic / security / regression / DA，DA 做出可重現 fixture；3/13 真實 plugin rc 2 誤報）；(d) plugin_binary_name 第一個候選不合法就整個放棄。R2（e5c0a27）逐條處置見 Action 欄；fence smoke 112 → 160、helper 61 → 92，真實 marketplace 掃描（13 plugin）作為 IC addendum 的量測附上。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	Phase 5 binary verification collapses per-wrapper checks into one per-plugin lookup — can pair binary name with the wrong repo and silently skip other binaries（SKILL.md:1093）	codex	fixed R2 — Phase 1.5 Step 2 恢復逐 wrapper（plugin_binary_wrappers 每列 file
2	HIGH	plugin_binary_repo 把任何 github.com// 字面都當 repo 候選、且「檔案內第一個」勝出 — 會選到 wrapper 註解裡的文件連結，然後拿它去問 latest release 並驅動 Case E 的 bump 預設值（plugin-binary-meta.sh:154）	logic	fixed R2 — plugin_binary_repo 分級：*_REPO= 賦值 > release URL 字面；bare github.com/o/r 不再是候選（必須接 /releases/…）；rc 2 只在同一級多值。che-things-mcp / che-zotero-mcp 的 rc 2 是真陽性（hook 指舊 fork），訊息列出各檔的 repo
3	HIGH	plugin_binary_name 只驗第一個候選，失敗就整個 key 放棄 —— 有效的 BINARY_NAME 會被前面檔案的無效值吃掉，回 rc 1「判定不出」（plugin-binary-meta.sh:167）	logic	fixed R2 — plugin_binary_name 逐候選驗證（_pbm_file_asset_name 每檔各自過 allowlist，壞的跳過）；fixture badfirst
4	HIGH	Phase 1.5 Step 2 silently collapses per-wrapper coverage to one binary, while still printing "wrappers checked: N"（SKILL.md:1147）	regression	fixed R2 — 同 #1；hook-only 佈局明說 0 of 0 … 走 Step 3 並停住；unresolved 檔名列出
5	HIGH	拿掉 version 回退是錯的判斷：本 marketplace 13/13 binary-backed plugin 因此從「有 pin 可比」變成「沒有 pin」	devils-advocate	fixed R2 — plugin_binary_version_effective（binary_version → binaryVersion → version，印 `value
6	HIGH	需求覆蓋落空：#22 第 3 點（Case E）與第 5 點（Phase 5 ✅）對現行 marketplace 的每一個 plugin 都不可達，只有合成 fixture 證明過	devils-advocate	fixed R2 — 同 #5：本機 13/13 真實 plugin 現在都有有效 pin（key=version），Case E / Phase 5 ✅ 可達；fixture two 用 version 回退跑通 Phase 5 ✅
7	MEDIUM	plugin_binary_repo extracts a truncated repo from a dynamic assignment (e.g. REPO="owner/tool${FLAVOR}") and returns it as a confident answer（plugin-binary-meta.sh:148）	codex	fixed R2 — 賦值必須是完整字面（值後只能接引號 / 空白 / ; / # / EOL），REPO="owner/tool${FLAVOR}" 回 rc 1 印空；fixture dyn
8	MEDIUM	Case E "bump together" can lower the plugin version — it only proves latest release > binary pin, never > plugin version（SKILL.md:None）	codex	fixed R2 — bump fence：ALSO_VERSION=yes 時 version_gt CUR NEW 為真即拒絕（印「會把 version 降版」）；不可比也拒絕；問句顯示目前 plugin version；fixture 斷言 0.3.0 → 0.2.5 被拒
9	MEDIUM	Point 2: detection regex diverges from idd-close's has_binary_wrapper — gh api …/releases wrappers are silently missed（plugin-binary-meta.sh:46）	requirements	fixed R2 — _PBM_RELEASE_RE 改為逐字 idd-close 的那一條（含 gh api[[:space:]]+.*/releases、api\.github\.com/.*/releases）；fixture ghapi
10	MEDIUM	Point 4: the "entry 缺 version → 由 plugin.json 補上" remedy is detected but never instructed（SKILL.md:1334）	requirements	fixed R2 — Phase 2 Step 2 散文補「entry 沒有 version 欄位時在 entry 加一行 "version": "<plugin.json 的 version>"」
11	MEDIUM	Point 3: the Case E bump fence (the only code that writes the pin) has no fixture test（test-plugin-update-fences.sh:216）	requirements	fixed R2 — fence smoke 加 bump fence 三態：只 bump pin（key 保留、version 不動）、一起 bump、降版拒絕；bump 後 Step 2 → release_ahead=no + Case C
12	MEDIUM	Phase 1.5 Step 2 的迴圈被壓成「每 plugin 一輪」，多 binary 的 plugin 只驗第一個 wrapper，結尾卻仍報 "wrappers checked: N"（SKILL.md:1150）	logic	fixed R2 — 同 #1 / #4
13	MEDIUM	Phase 1.5 Step 2 先印「沒有 bin/ 檔案 — Signal 1 沒有 wrapper 可驗證」，接著照樣跑 Signal 1（用 hooks 抽到的名字），並給 MCP 專屬的處方（SKILL.md:1092）	logic	fixed R2 — 沒有 bin/ 檔案或沒有會下載的 wrapper → 印 wrappers checked: 0 of N … hook-only 佈局走 Step 3 後 exit 0，不再用 hooks 抽到的名字查 MCP asset
14	MEDIUM	Case E 沒有「不 bump、照樣同步 shell」的選項，且順序在 C 之前 —— 刻意落後的 pin 會讓 plugin-update 整條卡住（unattended 永遠 auto-abort）（SKILL.md:586）	logic	fixed R2 — Case E 加第三選項「proceed without bumping（本次只同步 shell）」；unattended 不 abort（見 #18）
15	MEDIUM	Phase 5 Step 1.5 interpolates an unvalidated bin/ filename into a shell command it tells the operator to run（SKILL.md:1803）	security	fixed R2 — 貼給使用者的驗證指令只用過 allowlist 的檔名（plugin_binary_wrappers 首列，不合法印 <wrapper>）；helper 的命中清單對不合法檔名印 bin:?
16	MEDIUM	plugin_binary_name gives up on the first malformed BINARY_NAME instead of trying the next file（plugin-binary-meta.sh:164）	regression	fixed R2 — 同 #3
17	MEDIUM	plugin_binary_repo's github.com/ alternative is not anchored to /releases — documentation links become repo candidates（plugin-binary-meta.sh:154）	regression	fixed R2 — 同 #2
18	MEDIUM	Case E's unattended auto-abort turns the post-release automation chain from "partially wrong" into "does nothing"（SKILL.md:651）	regression	fixed R2 — unattended 下 Case E 不 abort：印 `AUDIT: Phase 0.3 pin vY (key) behind latest release vX of — not bumped under unattended; continuing as Case <C
19	MEDIUM	"Same criterion as idd-close has_binary_wrapper" is asserted in four places, but the two regexes differ（plugin-binary-meta.sh:46）	regression	fixed R2 — 同 #9：四處「同一條」的宣稱現在字面為真
20	MEDIUM	plugin_binary_name 是單值模型，多 binary 的 plugin 不是少驗一個就是完全驗不到；BINARY_NAME 與 INSTALL_NAME 的語意被混為一談	devils-advocate	fixed R2 — asset 名（BINARY_NAME → INSTALL_NAME）與 install 名（INSTALL_NAME → BINARY_NAME）分成兩個 getter；plugin_install_names 多值；fixture split（CheKeychainMCP / che-keychain）與 two
21	MEDIUM	plugin_binary_repo 的 <X>_REPO= 抽取是行首錨定，縮排／export 的賦值抓不到，而三份文件都沒有這個但書	devils-advocate	fixed R2 — 賦值 regex 接受行首空白、export / local；fixture indented
22	MEDIUM	寫在 diff 之外的 sister concern（issue-driven-development#344）把分歧描述成「同判準、只差 glob」——實際上正則本身就不同，下游照著修仍會分岔	devils-advocate	noted — R2 把 regex 改為逐字同一條後，#344 的描述（同判準、只差 glob）重新成立；IC addendum 記錄 R1 曾有的分歧
23	MEDIUM	rc 2「引用了多個 repo」在 3/13 個真實 plugin 上是誤報（來源是註解與錯誤訊息裡的文件連結），且同一次執行最多印三次	devils-advocate	fixed R2 — 同 #2：文件連結不再是候選，rc 2 對三個真實 plugin 中的 che-telegram-mcp 消失、另兩個為真陽性
24	LOW	Point 3: the --binary-version 引數 alternative is not implemented anywhere（SKILL.md:4）	requirements	#26 (follow-up) — --binary-version 引數未實作（issue 用「或」，release-tag 路徑已滿足）
25	LOW	New gh dependency for the point-3 signal is not declared in the skill's allowed-tools（SKILL.md:5）	requirements	fixed R2 — frontmatter allowed-tools 加 Bash(gh:*) / Bash(curl:*)
26	LOW	Named fixture 「self-hosted 佈局」 is not exercised by the new #22 tests（test-plugin-update-fences.sh:200）	requirements	fixed R2 — fence smoke 加 self-hosted marketplace fx-self（source: "./plugin"、entry 無 version）：Step 0.1 / Step 1 / Step 2 Case E
27	LOW	marketplace_entry_version 的 rc 3 是封閉列舉外的第五種回傳值：script header 與 CLAUDE.md 都只列 0/1/4，兩個消費端卻各自 branch 在 3（plugin-binary-meta.sh:214）	logic	fixed R2 — header 與 CLAUDE.md 契約表補 marketplace_entry_version rc 3
28	LOW	Case A（唯一宣稱「Nothing to sync」的分支）在 RELEASE_AHEAD=unknown 時不印未核對的註記，而 Case C 會印（SKILL.md:466）	logic	fixed R2 — Case A 補 release-ahead check could not run 一行（DA #40 認為 INFO，補上沒有成本）
29	LOW	plugin_binary_name 的迴圈變數 key 沒有宣告 local，會污染呼叫端（helper 是被 source 進 fence 的）（plugin-binary-meta.sh:167）	logic	fixed R2 — key 改 local（helper 重寫後所有迴圈變數皆 local）；測試斷言 $key 不被污染
30	LOW	Phase 5 Step 1.5 與 Case E bump fence 忽略 plugin_binary_version 的 rc 3/4，把「pin 值不合法 / manifest 讀不動」報成「沒有 pin」；UNVERIFIED 訊息印字面 ..version 而非已解析的名字（SKILL.md:1813）	logic	fixed R2 — Phase 5 與 bump fence 依 PBV_RC 分流（3 → 值不合法、4 → 讀不動）；UNVERIFIED 印真實 sidecar 路徑 .<name>.version
31	LOW	plugin_is_binary_backed embeds raw filenames in the decision line the agent dispatches on (no control-char strip, no truncation)（plugin-binary-meta.sh:127）	security	fixed R2 — 同 #15
32	LOW	PBM_GH / PLUGIN_BIN_DIR are unguarded environment seams: one names a command to execute, the other relocates the file that decides Phase 5's ✅（plugin-binary-meta.sh:223）	security	fixed R2 — PBM_GH 只接受絕對路徑的可執行檔，否則 rc 1；CLAUDE.md 標明兩者是測試座標
33	LOW	Phase 1.5 Step 3 changed how the remote version is normalized (and now requires gh), which can manufacture a false "binary 落後"（SKILL.md:1190）	regression	fixed R2 — Step 3 的 LATEST 用 grep -oE '[0-9]+\.[0-9]+\.[0-9]+' 正規化，與 LOCAL 同一格式
34	LOW	remove_plugin_ctx moved out of the unconditional Phase 5 Step 1 fence into the new, conditional-looking Step 1.5（SKILL.md:1822）	regression	fixed R2 — Step 1.5 標題改「binary-backed 驗證 + 收尾（每個 plugin 都跑）」並在散文明寫跳過會留下 context
35	LOW	Phase 1.5 Step 3 的錯誤訊息把失敗歸給 $HOOK，實際上 helper 掃的是整個 plugin 目錄	devils-advocate	fixed R2 — Step 3 兩條失敗訊息改指 $PLUGIN_DIR 的 bin/ 與 hooks/；MCP+hook 混合佈局的 version 執行門檻留 #26
36	INFO	No prompt-injection found in the reviewed artifacts	requirements	noted
37	INFO	plugin_binary_name leaks key into the caller's scope (the helper is sourced straight into the fences)（plugin-binary-meta.sh:167）	security	fixed R2 — 同 #29
38	INFO	Prompt-injection scan: nothing injected in the diff; the untrusted context block does carry scope directives, treated as data（plugin-binary-meta.sh:1）	security	noted
39	INFO	Scope check clean; no unrelated changes, no weakened tests, no prompt injection（test-plugin-update-fences.sh:128）	regression	noted
40	INFO	更正：logic reviewer 說「Case A 在 RELEASE_AHEAD=unknown 時不印未核對的註記」——資訊沒有遺失，只是 bullet 沒複述	devils-advocate	noted — 採納：#28 降為 cosmetic，仍補上

Follow-up Findings Filed (v2.44.0+ #526)

• plugin-update: #22 verify 遺留 — --binary-version 引數、plugin-health KeyError、Step 3 執行門檻、E-auto 跳幅、sidecar 拼法、_pbm_json_field 非字串值 #26 — 待 R2 結束一併開（--binary-version 引數；MCP+hook 混合佈局下 Step 3 執行 version 的門檻）。

Next

R2 已 commit（e5c0a27）、diff 重新凍結（idd-19-verified..HEAD，2 commits）；R2 ensemble 進行中。

[kiki830621]

Implementation Complete — R2 addendum (#22 verify R1)

Commit: e5c0a27（main；R1 diff 基底 72996f8 之上）
Verify R1: FAIL — 6 HIGH / 17 MEDIUM / 12 LOW / 5 INFO（報告見 R1 comment）；逐條處置在報告 Action 欄。

Checklist（R2）

• helper：plugin_binary_version_effective（binary_version → binaryVersion → version，印 value|key）、plugin_binary_wrappers（逐 wrapper file|asset|install|repo）、plugin_install_names、release_assets（Signal 1 走 gh）；plugin_binary_repo 分級（賦值 > release URL、bare github.com/o/r 不是候選、賦值須完整字面、認縮排 / export、rc 2 只在同級）；plugin_binary_name 逐候選驗證、key local；wrapper 判定須真的下載 release；偵測 regex 逐字 = idd-close has_binary_wrapper；檔名 allowlist；PBM_GH 只收絕對路徑。61 → 92 斷言。
• SKILL.md：Phase 0.3 Step 2 用有效 pin 並印 key、純 shell 不拿 version 當 pin、unattended 下 Case E 印 AUDIT: 不 abort、Case A 補未核對註記；Case E 四選項（含 proceed without bumping）、bump fence 拒絕降版 / key=version 時說明等價；Phase 1.5 Step 2 逐 wrapper + 誠實計數 + hook-only 導向 Step 3；Step 3 latest 正規化、訊息指 $PLUGIN_DIR；Phase 2 Step 2 補加 version 欄位處方；Phase 5 Step 1.5 逐 sidecar（for all N / MISMATCH <name>=vX / UNVERIFIED (no sidecar for: …) k/N）、標題明寫每個 plugin 都跑；report 兩列更新；allowed-tools 加 gh / curl。
• fence smoke 112 → 160：bump fence 三態、unattended E、多 binary two（version 回退 + 兩個 sidecar）、hook-only 0 of 0、self-hosted fx-self（source: "./plugin"、entry 無 version）。
• CLAUDE.md 契約表重寫（含 rc 3、測試座標）、README 判準、CHANGELOG「verify R1 修正」段。
• 版本 bump 2.5.0 + root marketplace.json 鏡像 — 仍留到 verify PASS 後的最後一個 commit。

真實 marketplace 掃描（DA #6 / #22 要求的量測；psychquant-claude-plugins，R2 helper）

plugin	hits	repo (rc)	effective pin|key	install names
agent-cacher	mcp.json bin:cacher-mcp-wrapper.sh	PsychQuant/agent-cacher (rc 0)	0.1.0	version
che-apple-notes-mcp	mcp.json bin:che-apple-notes-mcp-wrapper.sh hook:check-mcp.sh	PsychQuant/che-apple-notes-mcp (rc 0)	0.2.1	version
che-biblatex-mcp	mcp.json bin:che-biblatex-mcp-wrapper.sh	kiki830621/che-biblatex-mcp (rc 0)	0.4.0	version
che-duckdb-mcp	mcp.json bin:che-duckdb-mcp-wrapper.sh hook:check-duckdb.sh	PsychQuant/che-duckdb-mcp (rc 0)	2.3.0	version
che-latex-mcp	mcp.json bin:che-latex-mcp-wrapper.sh	PsychQuant/che-latex-mcp (rc 0)	0.6.0	version
che-pixel-mcp	mcp.json bin:che-pixel-mcp-wrapper.sh	PsychQuant/che-pixel-mcp (rc 0)	0.1.1	version
che-svg-mcp	mcp.json bin:che-svg-mcp-wrapper.sh	PsychQuant/che-svg-mcp (rc 0)	0.1.1	version
che-telegram-mcp	mcp.json bin:che-telegram-all-mcp-wrapper.sh bin:che-telegram-bot-mcp-wrapper.sh hook:check-mcp.sh	PsychQuant/che-msg (rc 0)	1.3.2	version
che-things-mcp	mcp.json bin:che-things-mcp-wrapper.sh hook:check-mcp.sh	PsychQuant/che-things-mcp (rc 2)	1.6.2	version
che-xcode-mcp	mcp.json bin:che-xcode-mcp-wrapper.sh	PsychQuant/che-xcode-mcp (rc 0)	1.0.1	version
che-zotero-mcp	mcp.json bin:che-zotero-mcp-wrapper.sh hook:check-zotero.sh	PsychQuant/che-zotero-mcp (rc 2)	1.0.2	version
gifthub	hook:session-start.sh	PsychQuant/GiftHub (rc 0)	1.2.1	version
postgresql-guide	mcp.json	— (rc 1)	1.0.0	version

13/13 有有效 pin（全部 key=version）；che-telegram-mcp 兩個 binary 都列出，測試 stub 不算；che-things-mcp / che-zotero-mcp 的 rc 2 是真陽性（hooks/check-*.sh 指向 kiki830621/… 舊 fork，wrapper 指 PsychQuant/…），R1 對 che-telegram-mcp 的 rc 2 誤報消失。

Sister Concerns — 更正

R1 的 DA 指出 ### Sister Concerns Filed 把與 IDD has_binary_wrapper 的分歧描述成「同判準、只差 glob」，而 R1 的 regex 實際少了 gh api …/releases 一支、api.github.com/.*/releases 被收窄。R2 已把 _PBM_RELEASE_RE 改成逐字同一條，PsychQuant/issue-driven-development#344 的描述在 R2 之後為真；R1 期間的分歧記錄於此。

Verification（本機，commit 前）

helper 92/92（bash 3.2 + zsh 零 stderr）；fence smoke 160/160（bash + zsh，無 no matches found）；resolver 139/139；check-skill-references 綠；32 fence bash -n 0 錯；裸 $VAR 接全形 0。

Next

凍結 idd-19-verified..HEAD（72996f8 + e5c0a27）→ R2 ensemble。

[kiki830621]

Verify: #22 — Round 2

Engine

pai-ensemble 2.23.0 (canonical #207) — 4 IDD lenses + DA + Codex (gpt-6-astra, effort medium), model: opus。6 agents 全部完成、0 error。Frozen SHA e5c0a27（idd-19-verified..HEAD，2 commits）。

Result

FAIL — 0 CRITICAL / 8 HIGH / 24 MEDIUM / 12 LOW / 7 INFO。

要求覆蓋率

R2 的核心假設「有效 pin = binary_version → binaryVersion → version」對真實 wrapper 是錯的前提：本機 22 支 wrapper / hook 實測，4 支的 pin 是 wrapper 檔內字面 DESIRED_VERSION="x.y.z"（agent-cacher、che-latex-mcp、che-telegram-mcp ×2，從不讀 plugin.json），R2 對它們的 Phase 5 報假 MISMATCH（requirements / logic / DA 三方命中）；8 支讀 version（R2 對它們是對的）；3 支讀 binaryVersion / binary_version 再回退；1 支什麼都不讀。R1 不回退、R2 回退都錯，因為兩者都用 manifest 猜 wrapper 在做什麼。其餘 HIGH：Phase 5 把抽不到名字的 wrapper 直接丟掉仍印 all N（codex）；hooks/*.sh 混進 Phase 1.5 Step 2 的 wrapper 列（regression / logic / DA）；unattended Case E「continuing as Case B/A」實際仍 abort（DA）；Case E 在 version 來源時的選項標籤說謊（regression / requirements / logic）。R3（475f905）：pin 逐 wrapper 從三種來源讀（無全域回退）、列帶 dir 欄、E-auto 在乾淨樹上 commit + push、Phase 5 unresolved 不印 all N、單行字面替換、seam 守門；逐條處置見 Action 欄。

Findings（合併後）

#	Severity	Finding	Source	Action
1	HIGH	Phase 5 排除無法解析的 wrapper，卻宣告「全部 binary 驗證通過」（plugin-binary-meta.sh:None）	codex	fixed R3 — Phase 5 逐 bin wrapper 列：抽不到 install 名的列計入 unresolved，任一 unresolved / no sidecar / no pin 就印 UNVERIFIED — k/N verified; …，不再印 all N；fixture two + 第三支無名 wrapper → 2/3 verified; unresolved wrapper: c-wrapper.sh。一支 wrapper 多 binary（agent-cacher 的 ensure_binary <name>）抽不到名字 → 同樣 unresolved（契約改寫為此）
2	HIGH	Point 5 mis-covered: version fallback makes Phase 5 report a false MISMATCH for every wrapper that pins its own DESIRED_VERSION (3 real plugins)（SKILL.md:1868）	requirements	fixed R3 — pin 逐 wrapper 從 wrapper 讀（plugin_binary_wrappers 列 `dir
3	HIGH	Points 1 & 3 mis-covered: "binary-backed but unpinned" became unrepresentable, so release-ahead silently compares a binary tag against the shell version（SKILL.md:434）	requirements	fixed R3 — 同 #2：no-pin 重新可達（wrapper 不讀任何版本 → plugin_binary_pin rc 1 → Case B no-pin；fixture nopin）；(e) 只在有 pin 時跑，不再拿 shell version 比 tag
4	HIGH	version fallback is used as the binary pin for every real plugin → Phase 5 Step 1.5 reports MISMATCH on correctly-installed binaries（plugin-binary-meta.sh:216）	logic	fixed R3 — 同 #2
5	HIGH	Phase 1.5 Step 2 (MCP asset check) now iterates hooks/*.sh as "wrappers" — false "asset missing → run mcp-deploy" on two real plugins（SKILL.md:1123）	regression	fixed R3 — 列帶 dir 欄；Phase 1.5 Step 2 只迭代 dir=bin（分子分母同集合，hook wrappers: N → Step 3 另計）；Step 3 守門改「hooks/ 有會下載 release 的檔」且有 bin wrapper 的 plugin 跳過 Step 3（MCP 的 check hook 不執行 version）；fixture mixed
6	HIGH	The version fallback makes the pre-existing why=no-pin sub-state unreachable — the "go add a binary pin" prompt is silently deleted while the prose still advertises it（SKILL.md:434）	regression	fixed R3 — 同 #3：why=no-pin 分支與 Case B no-pin 模板重新可達，文案改為「wrapper 沒有可讀的 pin」
7	HIGH	Case E's default option rewrites the plugin's shipped version whenever the effective pin key is version — and that value propagates to marketplace.json and to installed users（SKILL.md:610）	regression	fixed R3 — Case E 依 pinsrc 三分：version 來源時第一個選項明寫「這會改 plugin 的 version」並套降版守門；manifest key / wrapper 字面來源不動 published version
8	HIGH	unattended 的 Case E「continuing as Case <SHELL_CASE>」是謊：A / B 在 unattended 下都是 auto-abort，而 binary-only release 正好落在那裡（SKILL.md:None）	devils-advocate	fixed R3 — unattended：專用來源（manifest key / wrapper 字面）→ Case E-auto：bump fence 以 AUTO_PUSH=yes 在樹乾淨且分歧 0 0 時改 + commit + push（Phase 2 Step 4 同套 refspec + 事後驗證），否則印 AUDIT: … refused；version 來源 → 不改、印 AUDIT、Case A bullet 也印 pin 落後。Phase 0.5 封閉列舉加 (0)。fixture：kc E-auto 成功 / 髒樹拒絕、ver 不 bump
9	MEDIUM	Phase 1.5 Step 3 用 asset 名稱而非 install 名稱查本機 CLI 版本（SKILL.md:None）	codex	fixed R3 — Step 3 取 hook 列的 install 名（col 4）與 repo（col 5）
10	MEDIUM	hook-only plugin 的驗證指令被組成不存在的 bin/ 路徑（plugin-binary-meta.sh:None）	codex	fixed R3 — 驗證指令只由 dir=bin 且檔名合法的列產生；hook-only 佈局印 UNKNOWN 指向 Step 3
11	MEDIUM	Spec prose contradicts shipped behaviour for point 1, in two places inside the diff（CHANGELOG.md:26）	requirements	fixed R3 — Phase 0.3 Step 2 註解與 CHANGELOG Fixed (1) 改寫為「pin 由 wrapper 決定」，與實作一致
12	MEDIUM	Point 3's stated purpose (the common-release-flow auto chain) is still not met: unattended never bumps the pin（SKILL.md:487）	requirements	fixed R3 — 同 #8：專用 key 在 unattended 自動 bump + commit + push；version 留給人（issue 第 3 點的自動鏈用的是前者）
13	MEDIUM	Case E option labelled "plugin version 不動" writes the plugin's published version when key == version（SKILL.md:610）	requirements	fixed R3 — 同 #7
14	MEDIUM	Point 2's criterion widened: bare existence of .mcp.json still marks a plugin binary-backed, with no content check（plugin-binary-meta.sh:236）	requirements	fixed R3 — .mcp.json 要 mcpServers 非空才算命中（postgresql-guide {} 不再是 binary-backed）；DA #43 指出這是既有行為，仍一併修
15	MEDIUM	The version fallback makes the no-pin branch unreachable, so Case B's no-pin message and template can never fire and the printed reason becomes the wrong one（SKILL.md:435）	logic	fixed R3 — 同 #3 / #6
16	MEDIUM	Case E's default option promises "plugin version 不動" but writes version whenever the effective key is version — which is every plugin in the live marketplace（SKILL.md:610）	logic	fixed R3 — 同 #7
17	MEDIUM	Phase 1.5 Step 2 iterates hook rows as if they were MCP wrappers — spurious "unresolved" reports and duplicated Signal-1 checks on real plugins（SKILL.md:1126）	logic	fixed R3 — 同 #5
18	MEDIUM	Phase 5 Step 1.5 builds the suggested verification command as $PLUGIN_DIR/bin/<row> even when the first wrapper row is a hooks/ file（SKILL.md:1843）	logic	fixed R3 — 同 #10
19	MEDIUM	Phase 1.5 Step 3 uses the ASSET name where the INSTALL name is required, contradicting the helper's own documented rule（SKILL.md:1222）	logic	fixed R3 — 同 #9
20	MEDIUM	plugin_binary_repo accepts a *REPO= assignment from any bin//hooks file, not only from a file that downloads a release — silent repo hijack that drives the Case E pin write（plugin-binary-meta.sh:300）	security	fixed R3 — plugin_binary_repo / plugin_binary_name / plugin_install_names 只看會下載 release 的 wrapper 檔（_pbm_wrapper_files）；fixture hijack
21	MEDIUM	allowed-tools gains Bash(curl:) although the diff removes every curl call site; Bash(gh:) is a wildcard for two read-only calls（SKILL.md:12）	security	fixed R3 — 刪 Bash(curl:*)，Bash(gh:*) 收窄成 Bash(gh release view:*)
22	MEDIUM	Phase 1.5 Step 3 executes $HOME/bin/ — wrong variable (asset ≠ install) and a widened third-party-named exec surface（SKILL.md:1224）	security	fixed R3 — 同 #9；Step 3 對有 bin wrapper 的 plugin 不執行
23	MEDIUM	Case E bump fence echoes the raw version string from a third-party plugin.json without the allowlist the helper contract and Phase 2 both apply（SKILL.md:648）	security	fixed R3 — SHELL_VERSION / CUR_VERSION 過 [0-9A-Za-z.+-] allowlist，不合就 abort
24	MEDIUM	Case E bump fence rewrites the whole plugin.json with json.dump(indent=2), reformatting manifests that do not use that style（SKILL.md:656）	regression	fixed R3 — bump 改單行字面替換（manifest "<key>": "<old>" / wrapper DESIRED_VERSION="<old>" 恰一命中才寫，不 json.dump）；fixture 斷言單行 manifest 仍是單行
25	MEDIUM	Phase 0.3 now mutates a tracked file before the Phase 0.5 git-state gate; an abort after the bump leaves the edit stranded（SKILL.md:622）	regression	fixed R3 — bump fence 印復原指令 git checkout -- <file>；Case E 散文明寫 Phase 0.5 abort 時 bump 仍在工作樹
26	MEDIUM	Phase 1.5 Step 3 switched from hook-scoped extraction to plugin-wide ASSET-name lookup — it now executes binaries it previously refused to identify, and can probe the wrong on-disk name（SKILL.md:1220）	regression	fixed R3 — 同 #9 / #22
27	MEDIUM	Bash(curl:*) added to allowed-tools by a diff whose whole point is removing the last curl calls（SKILL.md:12）	regression	fixed R3 — 同 #21
28	MEDIUM	Case A 的文件判準 (d) 與 shipped 行為矛盾：unattended 下 RELEASE_AHEAD 是版本號時 Case A 仍會觸發並印「Nothing to sync」（SKILL.md:None）	devils-advocate	fixed R3 — Case A bullet 在 RELEASE_AHEAD 為版本號時印 NEWER than the pin … not bumped under unattended
29	MEDIUM	release_assets 把不合 allowlist 的 asset 名靜默濾掉，消費端把「被濾掉」當成「asset 不存在」→ 假的「run mcp-deploy」（plugin-binary-meta.sh:None）	devils-advocate	fixed R3 — release_assets 對不合 allowlist 的名字印 ?，消費端見 ? 說「有無法顯示的 asset，未核對」
30	MEDIUM	契約點名的「一支 wrapper 裝兩個 binary」（agent-cacher）在實作上不可表達，Phase 5 會對它印出有信心的「✅ for all 1 binary」（plugin-binary-meta.sh:None）	devils-advocate	fixed R3 — 同 #1：單一 wrapper 多 binary 不可列舉 → unresolved → UNVERIFIED；契約段改寫
31	MEDIUM	hook 不叫 session-start.sh 的 binary-backed plugin 掉進 Step 2 ↔ Step 3 的互推空隙，兩邊都聲稱對方會處理（SKILL.md:None）	devils-advocate	fixed R3 — Step 3 守門改「hooks/ 有會下載 release 的檔」（fixture mixed 的 hooks/prefetch）
32	MEDIUM	「wrappers checked: X of Y (bin/ files: Z)」的分母與分子算的不是同一個集合；且 BIN_FILES=0 的守門只擋得住「完全沒有 bin/」的 hook-only 佈局（SKILL.md:None）	devils-advocate	fixed R3 — 同 #5：分子分母同集合，bin/ files 與 hook wrappers 另列
33	LOW	Point 5's named failure mode (release missing an asset) is still only checked against latest, never against the pin（plugin-binary-meta.sh:389）	requirements	fixed R3 — release_assets <repo> [tag]：Signal 1 對 wrapper 自己的 pin tag 查（無 pin 才 latest 並標明）
34	LOW	Point 4's root cause still crashes plugin-health, and the #23 deferral note does not name it（SKILL.md:201）	requirements	#26 (follow-up) — plugin-health 的 p['version'] KeyError 記入 #23 名單
35	LOW	CHANGELOG assertion counts are stale for the new test suite（CHANGELOG.md:18）	requirements	fixed R3 — CHANGELOG 斷言數改為 107
36	LOW	plugin_binary_version_effective swallows the rc 2 "both spellings present" signal, so only the Case E fence ever warns about a conflicting pin（plugin-binary-meta.sh:216）	logic	fixed R3 — plugin_binary_version_key rc 2 由 Case E fence 印警告（bump 時），Step 2 的 pin 由 wrapper 決定不再依賴 key 選擇
37	LOW	_pbm_scan_files keeps the *.sh restriction on hooks/ while dropping it for bin/ — the same silent false-negative #22 exists on the hook side（plugin-binary-meta.sh:110）	logic	fixed R3 — hooks/ 不限 *.sh
38	LOW	The rc-2 repo-conflict diagnostic prints wrapper rows, but plugin_binary_repo also counts *REPO= assignments in non-wrapper files（SKILL.md:418）	logic	fixed R3 — 同 #20：rc 2 的診斷列出 wrapper 列（現在候選就只來自 wrapper）
39	LOW	PBM_GH and PLUGIN_BIN_DIR test seams are live in the shipped code path with no test-mode gate（plugin-binary-meta.sh:371）	security	fixed R3 — PBM_GH / PLUGIN_BIN_DIR 只在 PBM_TEST=1 生效；測試 export
40	LOW	Phase 5 Step 1.5 hard-codes bin/ when building the user-facing verification command, so hook-only plugins get a nonexistent path（SKILL.md:1843）	regression	fixed R3 — 同 #10
41	LOW	remove_plugin_ctx relocated from Phase 5 Step 1 to the new Step 1.5 — a skipped or failed Step 1.5 now leaks the context file（SKILL.md:1877）	regression	fixed R3 — remove_plugin_ctx 移到獨立 Step 1.9「收尾（每次 invocation 必跑）」
42	LOW	CHANGELOG states the new helper suite has 61 assertions; it has 92, and CLAUDE.md in the same diff says 92（CHANGELOG.md:18）	regression	fixed R3 — 同 #35
43	LOW	更正：requirements 的「Point 2 判準被放寬成 .mcp.json 裸存在」是誤判——那是既有行為，diff 只修正了說錯的 README 散文（README.md:None）	devils-advocate	noted — 採納（#14 仍一併修，理由改為既有設計問題）
44	LOW	Case E bump fence 用來正當化 json.dump(indent=2) 的理由（「本 repo 所有 plugin.json 的縮排」）被 diff 自己新增的 fx-self fixture 證偽（SKILL.md:None）	devils-advocate	fixed R3 — 同 #24
45	INFO	plugin_installed_binary_version's rc 3 is undocumented in the usage header（plugin-binary-meta.sh:22）	logic	fixed R3 — header 補 rc 3
46	INFO	No prompt-injection content found in the diff or the external-writes block（SKILL.md:None）	logic	noted
47	INFO	_pbm_file_repo_tier1's &&/|| chain lets tier 2 run inside the tier-1 pass when tier 1 returns non-zero（plugin-binary-meta.sh:306）	security	fixed R3 — `$( a && b
48	INFO	Untrusted-marked ROUND CONTEXT contains directives shaping the review; treated as data	security	noted
49	INFO	Phase 0.3 — previously a purely local pre-flight — now makes a network gh call on essentially every binary-backed invocation（SKILL.md:449）	regression	noted — 0.3 的 gh 呼叫只在有 pin 且抽得到 repo 時發生；失敗 unknown 不阻擋
50	INFO	更正：security 的 _pbm_file_repo_tier1「&&/|| 讓 tier 2 在 tier 1 的回合裡跑」在本實作中不可達（plugin-binary-meta.sh:None）	devils-advocate	noted — 採納
51	INFO	外部寫入面（22 Sister Concerns / Tangential Observations / Sister Bugs）無法核對；diff 本身未發現 prompt-injection	devils-advocate	noted — DA 未拿到外部寫入全文（pai canonical DA 只收結構摘要），IC R3 addendum 記錄

Follow-up Findings Filed (v2.44.0+ #526)

• plugin-update: #22 verify 遺留 — --binary-version 引數、plugin-health KeyError、Step 3 執行門檻、E-auto 跳幅、sidecar 拼法、_pbm_json_field 非字串值 #26 — 待 R3 結束一併開（--binary-version 引數；plugin-health p['version'] KeyError → plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 名單；Step 3 執行 version 的門檻）。

Next

R3 已 commit（475f905）、diff 重新凍結（idd-19-verified..HEAD，3 commits）；R3 ensemble 進行中。

[kiki830621]

Implementation Complete — R3 addendum (#22 verify R2)

Commit: 475f905（main；R1 72996f8 + R2 e5c0a27 之上）
Verify R2: FAIL — 8 HIGH / 24 MEDIUM / 12 LOW / 7 INFO（報告見 R2 comment）；逐條處置在報告 Action 欄。

為什麼 R3 改了模型

R1 不回退 version、R2 回退 version，兩輪都用 manifest 猜「wrapper 會下載哪個版本」。實測本機 22 支 wrapper / hook：4 支 pin 是 wrapper 檔內字面 DESIRED_VERSION="x.y.z"（agent-cacher、che-latex-mcp、che-telegram-mcp ×2，從不讀 plugin.json）；8 支 grep version；3 支 grep binaryVersion / binary_version 再回退 version；1 支不讀（omlx fetch-release-binary.sh）；hooks 全部不讀版本。R3：pin 逐 wrapper 從 wrapper 本身讀，三種來源封閉列舉（檔內字面 / 檔內 grep 的 manifest key / none），沒有 manifest 層的全域回退。

Checklist（R3）

• helper：plugin_binary_wrappers 列改 dir|file|asset|install|repo|pin|pinsrc；新 plugin_binary_pin（rc 0 一致 / 1 no-pin / 2 不一致）；刪 plugin_binary_version_effective；plugin_binary_repo / plugin_binary_name / plugin_install_names 只看會下載 release 的 wrapper 檔；.mcp.json 要 mcpServers 非空；hooks/ 不限 *.sh；release_assets <repo> [tag] + ?；PBM_GH / PLUGIN_BIN_DIR 只在 PBM_TEST=1；$( a && b || c ) 改 if/else；header 補 rc 3。92 → 107 斷言。
• SKILL.md Phase 0.3：Step 2 用 plugin_binary_pin（rc 1 → no-pin 可達、rc 2 → 印各 wrapper 的 pin 視為 unknown）、SHELL_VERSION allowlist、決定行 pinsrc=；unattended：專用來源 → Case E-auto（bump fence AUTO_PUSH=yes：樹乾淨且分歧 0 0 才改 + commit + push，refspec + 事後驗證；否則 AUDIT: … refused）、version 來源 → 不改、AUDIT、Case A bullet 印 pin 落後；Case E 選項標籤依 pinsrc 三分（version 時明寫會改 published version + 降版守門）；bump 改單行字面替換（manifest key 行或 wrapper DESIRED_VERSION 行，恰一命中才寫）並印復原指令；Case D 與 Phase 0.5 封閉列舉 (0) 同步。
• SKILL.md Phase 1.5：Step 2 只迭代 dir=bin 列（wrappers checked: k of N bin/ wrapper(s) (bin/ files: …; hook wrappers: … → Step 3)），Signal 1 對 wrapper 自己的 pin tag 查、? 說未核對；Step 3 守門改「hooks/ 有會下載 release 的檔」、有 bin wrapper 的 plugin 跳過（MCP 的 check hook 不執行 version）、本機名用 hook 列的 install 名。
• SKILL.md Phase 5：Step 1.5 逐 bin wrapper 列對各自的 pin；抽不到 install 名 / 無 pin / 無 sidecar 任一即 UNVERIFIED — k/N verified; …（不印 all N）；驗證指令只由合法檔名的 bin 列產生；收尾 remove_plugin_ctx 移到 Step 1.9（每次必跑）；report 兩列更新；frontmatter 刪 curl、gh 收窄成 gh release view。
• fence smoke 160 → 211：kc 改讀 binaryVersion（真 che-keychain 形）；two 改字面 pin 1.0.0 而 manifest version 1.3.2（che-telegram-mcp 形）；ver（讀 version）unattended 不 bump；nopin → Case B no-pin；mixed（bin + 會 curl 的 hook）→ Step 2 只算 bin、Step 3 skipped；two + 第三支無名 wrapper → UNVERIFIED — 2/3 verified; unresolved wrapper；E-auto 三態（成功 commit+push 且 @{u} == HEAD、髒樹 refused、之後 Step 2 release_ahead=no）；bump 單行替換保持單行 manifest；降版拒絕。
• CLAUDE.md 契約表重寫、README 判準、CHANGELOG「verify R2 修正」段 + Fixed (1) 改寫 + 斷言數。
• 版本 bump 2.5.0 + root marketplace.json 鏡像 — 仍留到 verify PASS 後的最後一個 commit。

真實 marketplace 掃描（R3 helper；含 sidecar）

plugin	hits	pin (rc)	wrapper rows	installed sidecars
plugins/agent-cacher	bin:cacher-mcp-wrapper.sh	0.1.0	wrapper:cacher-mcp-wrapper.sh (rc 0)	bin/cacher-mcp-wrapper.sh inst=? pin=0.1.0(wrapper:cacher-mcp-wrapper.sh);
plugins/che-apple-notes-mcp	bin:che-apple-notes-mcp-wrapper.sh hook:check-mcp.sh	0.2.1	version (rc 0)	bin/che-apple-notes-mcp-wrapper.sh inst=CheAppleNotesMCP pin=0.2.1(version); hooks/check-mcp.sh inst=CheAppleNotesMCP pin=-(none);
plugins/che-biblatex-mcp	bin:che-biblatex-mcp-wrapper.sh	0.4.0	version (rc 0)	bin/che-biblatex-mcp-wrapper.sh inst=CheBiblatexMCP pin=0.4.0(version);
plugins/che-duckdb-mcp	bin:che-duckdb-mcp-wrapper.sh hook:check-duckdb.sh	2.3.0	version (rc 0)	bin/che-duckdb-mcp-wrapper.sh inst=CheDuckDBMCP pin=2.3.0(version); hooks/check-duckdb.sh inst=CheDuckDBMCP pin=-(none);
plugins/che-latex-mcp	bin:che-latex-mcp-wrapper.sh	0.5.0	wrapper:che-latex-mcp-wrapper.sh (rc 0)	bin/che-latex-mcp-wrapper.sh inst=che-latex-mcp pin=0.5.0(wrapper:che-latex-mcp-wrapper.sh);
plugins/che-pixel-mcp	bin:che-pixel-mcp-wrapper.sh	0.1.1	version (rc 0)	bin/che-pixel-mcp-wrapper.sh inst=ChePixelMCP pin=0.1.1(version);
plugins/che-svg-mcp	bin:che-svg-mcp-wrapper.sh	0.1.1	version (rc 0)	bin/che-svg-mcp-wrapper.sh inst=CheSvgMCP pin=0.1.1(version);
plugins/che-telegram-mcp	bin:che-telegram-all-mcp-wrapper.sh bin:che-telegram-bot-mcp-wrapper.sh hook:check-mcp.sh	0.5.0	wrapper:che-telegram-all-mcp-wrapper.sh (rc 0)	bin/che-telegram-all-mcp-wrapper.sh inst=CheTelegramAllMCP pin=0.5.0(wrapper:che-telegram-all-mcp-wrapper.sh); bin/che-telegram-bot-mcp-wrapper.sh inst=CheTelegramBotMCP pin=0.5.0(wrapper:che-telegram-bot-mcp-wrapper.sh); hooks/check-mcp.sh inst=? pin=-(none);
plugins/che-things-mcp	bin:che-things-mcp-wrapper.sh hook:check-mcp.sh	1.6.2	version (rc 0)	bin/che-things-mcp-wrapper.sh inst=CheThingsMCP pin=1.6.2(version); hooks/check-mcp.sh inst=CheThingsMCP pin=-(none);
plugins/che-xcode-mcp	bin:che-xcode-mcp-wrapper.sh	1.0.1	version (rc 0)	bin/che-xcode-mcp-wrapper.sh inst=CheXcodeMCP pin=1.0.1(version);
plugins/che-zotero-mcp	bin:che-zotero-mcp-wrapper.sh hook:check-zotero.sh	1.0.2	version (rc 0)	bin/che-zotero-mcp-wrapper.sh inst=CheZoteroMCP pin=1.0.2(version); hooks/check-zotero.sh inst=CheZoteroMCP pin=-(none);
plugins/gifthub	hook:session-start.sh		none (rc 1)	hooks/session-start.sh inst=gfh pin=-(none);
che-keychain/plugin	bin:che-keychain pin:binaryVersion	0.3.0	binaryVersion (rc 0)	bin/che-keychain inst=che-keychain pin=0.3.0(binaryVersion);
che-apple-mail-mcp/plugin	bin:che-apple-mail-mcp-wrapper.sh pin:binary_version	3.1.0	binary_version (rc 0)	bin/che-apple-mail-mcp-wrapper.sh inst=CheAppleMailMCP pin=3.1.0(binary_version);
rush/plugin	bin:rush-wrapper.sh pin:binaryVersion	1.0.0	binaryVersion (rc 0)	bin/rush-wrapper.sh inst=Rush pin=1.0.0(binaryVersion);
omlx-connector/plugin	bin:fetch-release-binary.sh		none (rc 1)	bin/fetch-release-binary.sh inst=? pin=-(none);

讀法：che-telegram-mcp / che-latex-mcp 的 pin 現在是 wrapper 字面 0.5.0，與 sidecar 0.5.0 一致（R2 的假 MISMATCH 消失）；8 支讀 version 的 plugin pin = version（che-apple-notes 等，sidecar 一致者 ✅、rc1 者 UNVERIFIED）；agent-cacher 抽不到 install 名 → Phase 5 unresolved wrapper；gifthub / omlx 無 pin → Case B no-pin；che-things-mcp / che-zotero-mcp 的 hook 列（舊 fork）現在只出現在 hooks 列、Step 2 不碰、Step 3 跳過。

Verification（本機，commit 前）

helper 107/107（bash 3.2 + zsh 零 stderr）；fence smoke 211/211（bash + zsh，無 no matches found）；resolver 139/139；check-skill-references 綠；33 fence bash -n 0 錯；裸 $VAR 接全形 0。

Next

凍結 idd-19-verified..HEAD（3 commits）→ R3 ensemble。

[kiki830621]

Verify: #22 — Round 3

Engine: pai-ensemble 2.23.0（4 lens × opus + devil's-advocate + Codex gpt-6-astra）— 6 agents, 184 tool uses, 24.6 min
Scope: idd-19-verified..HEAD = 72996f8 + e5c0a27 + 475f905（R3）
Result: FAIL — CRITICAL 0 / HIGH 8 / MEDIUM 16 / LOW 11 / INFO 7

要求覆蓋率（issue 五點）

#	要求	R3 狀態	R4
1	兩種拼法同一 helper	✅ 讀得到，但「wrapper grep 哪個 key」的 regex 對 macdoc 家族失配（HIGH #8）	修
2	binary-backed 偵測不靠檔名 / 變數名	✅；asset 名仍是變數名封閉列舉且漏 RELEASE_ASSET（MEDIUM #12）	修
3	release-ahead → bump	✅ 對 bin/ 佈局；hook-only 有 pin（macdoc）不可達（HIGH #3）；多 wrapper 共 pin 只改一支（HIGH #1/#5）	修
4	entry 缺 version	✅	—
5	Phase 5 驗 binary	✅ 逐列；但 Signal 1 用裸 tag 查 → 永遠未核對（HIGH #2/#4）；同名不同 pin 被去重（MEDIUM #11）	修

Findings（42）

#	Severity	Finding	Source	Action
1	HIGH	Case E 多 wrapper 共用同一 pin 時只改第一支，仍 commit + push 並宣稱成功 （skills/plugin-update/SKILL.md）	codex	R4 9389c9c — bump fence 逐 wrapper 列建目標（每個有 pin 的列都改）、先全部驗再一起寫、寫後用 helper 重讀 rc 必須 0 且值 == NEW_PIN 才 commit（不再 `
2	HIGH	Issue point 5's sibling check is inert on every real plugin: release_assets queries the pin tag WITHOUT the v prefix （scripts/plugin-binary-meta.sh:419）	requirements	R4 9389c9c — release_assets 先查 v<x.y.z> 再查裸值；兩套測試 stub 改成依 tag 回答、未知 tag 回找不到；kc Signal 1 ✅ 斷言、ver 未知 tag → 未核對斷言
3	HIGH	Hook-only plugins with a declared pin (real case: macdoc) get no pin at all — issue points 3 and 5 are unreachable for them, and the message tells the user to add a pin that already exists （scripts/plugin-binary-meta.sh:300）	requirements	R4 9389c9c — 「會下載的列」= 有 bin/ 時 bin/、沒有時 hooks/（plugin_binary_pin / Phase 5 / Step 3 同判準）；hp fixture（macdoc 形）走 Case E / E-auto / Phase 5 ✅ / Step 3 比 pin；no-pin 訊息改寫
4	HIGH	Signal 1 queries the release by a bare pin while real tags are v-prefixed → asset check never runs again （skills/plugin-update/SKILL.md:1211）	logic	R4 9389c9c — 同 #2
5	HIGH	Case E bumps only one of several wrappers that share a pin; E-auto commits and pushes the half-bump （skills/plugin-update/SKILL.md:669）	logic	R4 9389c9c — 同 #1；plugin_binary_pin 印全部來源（逗號串）
6	HIGH	_pbm_file_pin prints the wrapper's raw basename into pinsrc without the allowlist the file's own contract mandates — injection channel into agent-facing decision lines （scripts/plugin-binary-meta.sh:212）	security	R4 9389c9c — _pbm_file_pin 的 basename 過 _pbm_name_ok，不合法印 wrapper:?；unsafelit fixture 斷言列保持 7 欄
7	HIGH	plugin_binary_repo lets a hooks/ file's *_REPO= override the bin/ wrapper's real release repo, silently (rc 0), and that repo drives the unattended Case E-auto bump+push （scripts/plugin-binary-meta.sh:313）	security	R4 9389c9c — plugin_binary_repo 有 bin/ wrapper 時只看 bin/（hook-only 才看 hooks/）；hookrepo fixture：bin Real/proj + hook attacker → Real/proj rc 0；che-things-mcp / che-zotero-mcp 實掃 rc 0
8	HIGH	_pbm_file_pin 的 manifest-key regex 對 "binary_version"[[:space:]]*: 這種寫法完全失配 — 四個真實 plugin 宣告了 pin 卻被判成 no-pin（且與同一行印出的 hits 自相矛盾） （scripts/plugin-binary-meta.sh:223）	devils-advocate	R4 9389c9c — key regex 改成非註解行上 "<key>"[^"]*:（spaced fixture 仿 che-word-mcp：註解先提 version、程式碼 grep binary_version → 4.0.10）；macdoc 四個 plugin 實掃 rc 0
9	MEDIUM	Signal 1 用裸版本號當 release tag 查詢，漏掉 wrapper 實際使用的 v 前綴 tag （scripts/plugin-binary-meta.sh）	codex	R4 9389c9c — 同 #2
10	MEDIUM	wrapper 字面 pin 的「一起 bump plugin version」會到 shell script 裡找 JSON 的 version 欄位 （skills/plugin-update/SKILL.md）	codex	R4 9389c9c — ALSO_VERSION=yes 的 version 一律改 manifest（字面 pin 時是第二個檔）；two 一起 bump 斷言三檔
11	MEDIUM	Phase 5 依 install 名提前去重，掩蓋同名 binary 的衝突 pin 並誤報全部通過 （skills/plugin-update/SKILL.md）	codex	R4 9389c9c — Phase 5 不再依 install 名提前去重，每列對自己的 pin；dup fixture（同名不同 pin）→ MISMATCH
12	MEDIUM	Asset-name extraction is still variable-name literalism: RELEASE_ASSET= (che-keychain's own wrapper) is not in the closed list, and the install-name fallback turns a guess into a definitive 'asset missing' verdict （scripts/plugin-binary-meta.sh:186）	requirements	R4 9389c9c — asset 只認宣告的 RELEASE_ASSET= / ASSET_NAME= / BINARY_NAME=，不從 install 名猜（未宣告 → Signal 1 未核對）；kc fixture 加 RELEASE_ASSET
13	MEDIUM	CHANGELOG's headline #22 bullet still describes R1 behaviour that the shipped code contradicts — including 'unattended aborts' where it now auto-commits and pushes （CHANGELOG.md:19）	requirements	R4 9389c9c — CHANGELOG 第一條改成出貨模型（單行替換、asset 預檢、E-auto commit+push、version 來源不做預設）
14	MEDIUM	Unreadable manifest / illegal pin value silently degrade to “no pin”; the rc 3|4 handler is dead code （skills/plugin-update/SKILL.md:372）	logic	R4 9389c9c — wrapper 點名 key 而 manifest 無可用值 → plugin_binary_pin rc 4 `
15	MEDIUM	Repo-conflict warning prints install names, not the conflicting repos (fires on two real plugins) （skills/plugin-update/SKILL.md:420）	logic	R4 9389c9c — `cut -d'
16	MEDIUM	Attended Case E prints no shell-signal case, so “proceed without bumping” has no dispatch target on the decision line （skills/plugin-update/SKILL.md:489）	logic	R4 9389c9c — attended Case E 行印 shell_case=，散文說「proceed without bumping → 照 shell_case 走」
17	MEDIUM	Case E-auto writes, commits and pushes a value taken straight from a remote tag, gated only on "tree clean" — no provenance or plausibility check on the bumped version （skills/plugin-update/SKILL.md）	security	R4 9389c9c 部分 — E-auto 寫入前 asset 預檢（全 ok 才寫）、repo 只能來自 bin/ 列（#7）；版本跳幅上限不做（monotonic 已有 version_gt；bounded jump 的判準沒有客觀依據）→ #26 記錄
18	MEDIUM	Case E's default option now rewrites plugin.json's published version — a file the skill previously never wrote （skills/plugin-update/SKILL.md:674）	regression	R4 9389c9c — pinsrc 含 version 時預設選項改為「proceed without bumping」，bump 不再是預設；表格與散文同步
19	MEDIUM	The pin is bumped, committed and pushed before anything checks the new release actually has the wrapper's asset （skills/plugin-update/SKILL.md:715）	regression	R4 9389c9c — bump fence 寫入前對每支有 pin 的 wrapper 查 release_assets <repo> <NEW_PIN>：asset 缺 → 拒絕（attended / E-auto 皆是）；查不到 → attended 放行並印 ❓、E-auto 拒絕；two asset 缺拒絕斷言
20	MEDIUM	Unattended runs now commit and push from Phase 0.3, a gate that previously only decided or aborted （skills/plugin-update/SKILL.md:487）	regression	accepted（設計）— R3 計畫經 approve：unattended 在 Phase 0.3 commit+push 是 common-release-flow 自動鏈唯一需要的寫入；已列為 Phase 0.5 封閉列舉 (0)；R4 再加 asset 預檢與 repo 來源限制縮小 blast radius
21	MEDIUM	The *_REPO= conflict warning prints the wrong two fields — it shows dir+install name, not file+repo （skills/plugin-update/SKILL.md:420）	regression	R4 9389c9c — 同 #15
22	MEDIUM	Signal 1 對 che-keychain 猜出的 asset 名是錯的（che-keychain vs 真實 CheKeychain），目前被 v-prefix bug 遮住 — 修好 tag 之後會變成明確的假警報 （scripts/plugin-binary-meta.sh:186）	devils-advocate	R4 9389c9c — 同 #12；helper header 的旗艦案例改成 RELEASE_ASSET="CheKeychain"
23	MEDIUM	外部寫入面（IC R3 addendum 的「真實 marketplace 掃描」表）漏掉的正好是 helper 失效的那四個 plugin，且 R3 據以改模型的 wrapper 統計因此低估 （scripts/plugin-binary-meta.sh:40）	devils-advocate	R4 9389c9c — IC R4 addendum 的掃描表含 macdoc 四個 plugin；helper header / CLAUDE.md / CHANGELOG 語料統計改 26 支（4 字面 / 8 version / 6 binary key 再 version / 1 hook 只讀 binary_version / 1 不讀）
24	MEDIUM	Phase 1.5 的 gh stub 忽略 tag 參數，讓「Signal 1 對 ITS pin tag 查」這條斷言根本沒驗到 tag 解析 — v-prefix HIGH 之所以能活過三輪 （scripts/test-plugin-update-fences.sh:312）	devils-advocate	R4 9389c9c — 兩套 stub 都依 tag 回答，未知 tag exit 1；ver fixture 斷言未知 tag → 未核對
25	LOW	Spec prose still says hooks/*.sh in five places while the implemented criterion is any regular file under hooks/ （skills/plugin-update/SKILL.md:1151）	requirements	R4 9389c9c — 五處散文改「hooks/ 下任何一般檔案」
26	LOW	Phase 1.5 Step 3 checks only the first hooks row and prints no k-of-N, unlike the Step 2 counting that R2 required （skills/plugin-update/SKILL.md:1296）	requirements	R4 9389c9c — Step 3 逐 hook 列、印 hooks checked: k of N
27	LOW	plugin_binary_repo resolves tiers globally, so a hooks file can outrank a bin wrapper — contradicting the stated “hooks rows are untouched by Step 2” handling （scripts/plugin-binary-meta.sh:316）	logic	R4 9389c9c — 同 #7
28	LOW	Phase 0.3 (d)'s repo-conflict disclosure prints the wrong columns, so the "don't pick silently" promise emits no repos （skills/plugin-update/SKILL.md）	security	R4 9389c9c — 同 #15
29	LOW	Phase 1.5 Step 3 dropped its inline allowlist guard before executing $HOME/bin/$BINARY_NAME, and widened where the name may come from （skills/plugin-update/SKILL.md）	security	R4 9389c9c — Step 3 exec 前對本機名再過一次 allowlist
30	LOW	Hook-only binary plugins can never have a pin: plugin_binary_pin filters dir=bin, contradicting the hit list printed on the same line （scripts/plugin-binary-meta.sh:300）	regression	R4 9389c9c — 同 #3
31	LOW	Wrapper detection is URL-shape-only over every file in bin/ and hooks/, so a docs link can create a phantom wrapper （scripts/plugin-binary-meta.sh:113）	regression	R4 9389c9c — _pbm_file_is_wrapper 只看非註解行；commentonly fixture
32	LOW	Release lookups moved from unauthenticated curl to gh, so machines without gh lose a check that previously worked （skills/plugin-update/SKILL.md:10）	regression	accepted — gh 帶認證且失敗回 distinct rc（curl 匿名有 rate limit 且失敗形狀不可區分）；沒有 gh 的機器 Signal 1 / release-ahead 印「未核對」不印假結果
33	LOW	Two new hard aborts in Phase 0.3 Step 2 for input that previously flowed through （skills/plugin-update/SKILL.md:358）	regression	accepted — version 缺或非法時 sync intent 無法判定，abort 比靜默比對空字串正確（#19 判準）
34	LOW	remove_plugin_ctx moved to its own Step 1.9 fence, opening a window where the context file leaks （skills/plugin-update/SKILL.md:1955）	regression	accepted — Step 1.9 獨立收尾是 R2 finding 的要求；ctx 檔在私有目錄、TTL 重驗，殘留只影響下一次執行的 Step 0.1（會重新 gate）
35	LOW	plugin_installed_binary_version 把 sidecar 拼法寫死成 .<name>.version，並把 rc 1 定義成「wrapper 從未觸發」——這正是 helper 自己禁止的 plausible default （scripts/plugin-binary-meta.sh:367）	devils-advocate	R4 9389c9c 部分 — rc 1 訊息改「wrapper 還沒在本機寫過 sidecar（從未觸發，或它不寫這個檔）」；sidecar 拼法是 wrapper 契約，不在本 issue 改 → #26
36	INFO	跨模型盲審完成，未偵測到 prompt-injection	codex	noted — 無 prompt injection
37	INFO	CHANGELOG Unreleased entry still describes the superseded json.dump bump mechanism （CHANGELOG.md）	logic	R4 9389c9c — 同 #13
38	INFO	No prompt-injection content found in the reviewed material	logic	noted
39	INFO	No prompt-injection attempt found in the supplied issue body, round context, or external-writes block	security	noted
40	INFO	SKILL.md calls the helper's private _pbm_bin_dir （skills/plugin-update/SKILL.md:1937）	regression	R4 9389c9c — plugin_bin_dir 公開，SKILL 改用
41	INFO	No prompt injection found; external-write claims check out against the diff	regression	noted — 外部寫入面與 diff 一致
42	INFO	更正 security MEDIUM：E-auto 並非「只 gate 在 tree clean、對 bump 的值毫無合理性檢查」 （skills/plugin-update/SKILL.md:455）	devils-advocate	noted — DA 對 security MEDIUM (#17) 的更正；R4 仍補了 asset 預檢

Follow-up Findings Filed (v2.44.0+ #526)

• plugin-update: #22 verify 遺留 — --binary-version 引數、plugin-health KeyError、Step 3 執行門檻、E-auto 跳幅、sidecar 拼法、_pbm_json_field 非字串值 #26 — 待 R4 結束一併開（累積：--binary-version 引數；plugin-health p['version'] KeyError → plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 名單；Step 3 執行 version 的門檻；E-auto 版本跳幅上限（Step 2.5 的 BLOCK 對 75% 的 wrapper 從沒執行過——抽不到就靜默 continue #17）；sidecar 拼法為 wrapper 契約（#35））。

Next

R4 已 commit（9389c9c）、diff 重新凍結（idd-19-verified..HEAD，4 commits）；R4 ensemble 進行中。

[kiki830621]

Implementation Complete — R4 addendum (#22 verify R3)

Commit: 9389c9c（main；R1 72996f8 + R2 e5c0a27 + R3 475f905 之上）
Verify R3: FAIL — 8 HIGH / 16 MEDIUM / 11 LOW / 7 INFO（報告見 R3 comment；逐條處置在 Action 欄）。

R3 模型對、四處讀法錯

R3 把 pin 改成逐 wrapper 讀是對的；R3 verify 抓到的是這個模型在真資料上的四個讀法缺口：(1) 「wrapper grep 哪個 key」的 regex 只認 che-keychain 的 '"binaryVersion":…' 寫法，macdoc marketplace 四個 plugin 寫 '"binary_version"[[:space:]]*:'（引號後接 [）全被判 no-pin——而 R3 的語料掃描表恰好漏了那個 marketplace；(2) release_assets 拿裸 pin 當 tag 查，真實 tag 全是 v 前綴，Signal 1 對每支有 pin 的 wrapper 都變成永久「未核對」——兩套測試的 gh stub 對任何 tag 都回 asset，所以三輪都沒接住；(3) hook-only 但有 pin 的佈局（macdoc 的 hook 讀 binary_version 再自己下載）被 bin-only 過濾丟掉；(4) 兩支 wrapper 共用同一字面 pin（che-telegram-mcp）時只改第一支就 commit+push，事後 | cut 又吃掉 rc。

Checklist（R4）

• helper：key regex 改非註解行 "<key>"[^"]*:；plugin_binary_pin 的「會下載的列」= 有 bin/ 時 bin/、否則 hooks/，印全部來源（逗號串），wrapper 點名 key 無值 → rc 4；plugin_binary_repo 有 bin/ 時只看 bin/；release_assets 先 v<x.y.z> 再裸值；asset 只認宣告的 RELEASE_ASSET= / ASSET_NAME= / BINARY_NAME=；wrapper:<file> 過 allowlist；release URL 只在非註解行算下載；plugin_bin_dir 公開；header 統計 26 支。107 → 127 斷言。
• SKILL.md Phase 0.3：Step 2 rc 4 → pin-unreadable、rc 2 → pin-conflict（Case B 四個封閉子態，Case A/B/C 行同步）；repo 衝突印 file|repo；unattended 派發看逗號串是否含 version；attended E 印 shell_case=；Case E 表格 / 選項：version 來源預設「不 bump」；bump fence 重寫——逐 wrapper 列建目標、asset 預檢（缺 → 拒絕；查不到 → attended 放行 / E-auto 拒絕）、先全部驗再一起寫、ALSO_VERSION 一律改 manifest、寫後重讀 rc 0 且值 == NEW_PIN 才 commit、復原指令列全部檔案。
• SKILL.md Phase 1.5：Step 2 rc 4 分支、未解析訊息說明 asset 只認宣告；Step 3 逐 hook 列、有 pin 比 pin（latest ≠ pin 交 Case E）、exec 前再過 allowlist、印 hooks checked: k of N。
• SKILL.md Phase 5：會下載的列（bin/ 否則 hooks/，hook-only 印說明）、每列對自己的 pin 不去重、sidecar 缺的訊息改寫、用 plugin_bin_dir。
• 散文五處 hooks/*.sh → hooks/ 下任何一般檔案；CHANGELOG 第一條改成出貨模型 + 「verify R3 修正」段；CLAUDE.md 契約表 / README 判準。
• fence smoke 211 → 272：gh stub 依 tag 回答（未知 tag → 找不到）；kc 宣告 RELEASE_ASSET + Signal 1 ✅；ver 未知 tag → 未核對；two asset 缺拒絕 / 一起 bump 三檔 / E-auto 兩支同改 + commit 恰兩檔；dup 同名不同 pin → MISMATCH；kl pin-unreadable；hp（macdoc 形 hook-only）Step 1 / Case E / Step 3 比 pin 1 of 1 / Phase 5 ✅ / E-auto bump manifest。
• 版本 bump 2.5.0 + root marketplace.json 鏡像 — 仍留到 verify PASS 後的最後一個 commit。

真實語料掃描（R4 helper；含 macdoc marketplace）

plugin	hits	pin (rc)	repo (rc)	rows (dir|file|asset|install|repo|pin|pinsrc)
agent-cacher	bin:cacher-mcp-wrapper.sh	`0.1.0	wrapper:cacher-mcp-wrapper.sh` (rc 0)	PsychQuant/agent-cacher (rc 0)
che-apple-notes-mcp	bin:che-apple-notes-mcp-wrapper.sh hook:check-mcp.sh	`0.2.1	version` (rc 0)	PsychQuant/che-apple-notes-mcp (rc 0)
che-biblatex-mcp	bin:che-biblatex-mcp-wrapper.sh	`0.4.0	version` (rc 0)	kiki830621/che-biblatex-mcp (rc 0)
che-duckdb-mcp	bin:che-duckdb-mcp-wrapper.sh hook:check-duckdb.sh	`2.3.0	version` (rc 0)	PsychQuant/che-duckdb-mcp (rc 0)
che-latex-mcp	bin:che-latex-mcp-wrapper.sh	`0.5.0	wrapper:che-latex-mcp-wrapper.sh` (rc 0)	PsychQuant/che-latex-mcp (rc 0)
che-pixel-mcp	bin:che-pixel-mcp-wrapper.sh	`0.1.1	version` (rc 0)	PsychQuant/che-pixel-mcp (rc 0)
che-svg-mcp	bin:che-svg-mcp-wrapper.sh	`0.1.1	version` (rc 0)	PsychQuant/che-svg-mcp (rc 0)
che-telegram-mcp	bin:che-telegram-all-mcp-wrapper.sh bin:che-telegram-bot-mcp-wrapper.sh hook:check-mcp.sh	`0.5.0	wrapper:che-telegram-all-mcp-wrapper.sh,wrapper:che-telegram-bot-mcp-wrapper.sh` (rc 0)	PsychQuant/che-msg (rc 0)
che-things-mcp	bin:che-things-mcp-wrapper.sh hook:check-mcp.sh	`1.6.2	version` (rc 0)	PsychQuant/che-things-mcp (rc 0)
che-xcode-mcp	bin:che-xcode-mcp-wrapper.sh	`1.0.1	version` (rc 0)	PsychQuant/che-xcode-mcp (rc 0)
che-zotero-mcp	bin:che-zotero-mcp-wrapper.sh hook:check-zotero.sh	`1.0.2	version` (rc 0)	PsychQuant/che-zotero-mcp (rc 0)
gifthub	hook:session-start.sh	`	none` (rc 1)	PsychQuant/GiftHub (rc 0)
che-pdf-mcp	bin:che-pdf-mcp-wrapper.sh pin:binary_version	`0.2.0	binary_version` (rc 0)	PsychQuant/che-pdf-mcp (rc 0)
che-pptx-mcp	bin:che-pptx-mcp-wrapper.sh pin:binary_version	`0.1.0	binary_version` (rc 0)	PsychQuant/che-pptx-mcp (rc 0)
che-word-mcp	bin:che-word-mcp-wrapper.sh pin:binary_version	`4.0.10	binary_version` (rc 0)	PsychQuant/che-word-mcp (rc 0)
macdoc	hook:session-start.sh pin:binary_version	`0.7.0	binary_version` (rc 0)	PsychQuant/macdoc (rc 0)
che-keychain/plugin	bin:che-keychain pin:binaryVersion	`0.3.0	binaryVersion` (rc 0)	PsychQuant/che-keychain (rc 0)
che-apple-mail-mcp/plugin	bin:che-apple-mail-mcp-wrapper.sh pin:binary_version	`3.0.0	binary_version` (rc 0)	PsychQuant/che-apple-mail-mcp (rc 0)
rush/plugin	bin:rush-wrapper.sh pin:binaryVersion	`1.0.0	binaryVersion` (rc 0)	PsychQuant/rush (rc 0)
omlx-connector/plugin	bin:fetch-release-binary.sh	`	none` (rc 1)	PsychQuant/omlx-connector (rc 0)

讀法：che-word-mcp / che-pdf-mcp / che-pptx-mcp 的 pin 現在是 binary_version（R3 判 no-pin）；macdoc 是 hook-only 有 pin（0.7.0）；che-telegram-mcp 的 pin 來源列出兩支 wrapper；che-things-mcp / che-zotero-mcp 的 repo 以 bin/ 為準 rc 0（hook 列仍顯示舊 fork，但不被諮詢）；che-keychain 的 asset 是 CheKeychain（R3 猜成 che-keychain）；gifthub / omlx 仍是真的 no-pin。

Verification（本機，commit 前）

helper 127/127（bash 3.2 + zsh 零 stderr）；fence smoke 272/272（bash + zsh，無 no matches found）；resolver 139/139；check-skill-references 綠；33 fence bash -n 0 錯；裸 $VAR 接全形 0。

Sister concerns

無新增；R3 verify 的 MEDIUM #20（unattended 在 Phase 0.3 commit+push）是經 approve 的設計，R4 以 asset 預檢與 repo 來源限制縮小 blast radius，不改方向。

Next

凍結 idd-19-verified..HEAD（4 commits）→ R4 ensemble。

[kiki830621]

Verify: #22 — Round 4

Engine: pai-ensemble 2.23.0（4 lens × opus + devil's-advocate + Codex gpt-6-astra）— 6 agents, 110 tool uses, 18.1 min
Scope: idd-19-verified..HEAD = 72996f8 + e5c0a27 + 475f905 + 9389c9c（R4）
Result: FAIL — CRITICAL 0 / HIGH 2 / MEDIUM 13 / LOW 13 / INFO 9（兩個 HIGH 是同一個缺陷；三個 MEDIUM 是誤報，DA 已更正兩個）

要求覆蓋率（issue 五點）

#	要求	R4 狀態	R5
1	兩種拼法同一 helper	✅（per-wrapper 精確讀取；alias 語意刻意取代，R5 入冊）	文件
2	binary-backed 偵測不靠檔名 / 變數名	✅；tier 2 repo 與 $HOME/bin/<name> 仍讀註解行（MEDIUM #4/#10、LOW #21）	修
3	release-ahead → bump	✅；asset 預檢狀態不單調（HIGH #1/#2）、多 key 同 manifest 互相還原（MEDIUM #3）、多 repo 寫錯 tag（MEDIUM #8）	修
4	entry 缺 version	✅	—
5	Phase 5 驗 binary	✅；bump 後必報 MISMATCH 與真失敗同形（MEDIUM #6）	修（PENDING-FETCH）

Findings（37）

#	Severity	Finding	Source	Action
1	HIGH	Case E asset 預檢：missing 狀態會被後續 wrapper 的 unknown 覆蓋，已知缺 asset 仍可 bump （skills/plugin-update/SKILL.md）	codex	R5 e3729d9 — worsen() 讓 ASSET_STATE 只升不降（missing > unknown > ok）；lat fixture：第一支缺、第二支未知 → 仍拒絕
2	HIGH	Case E asset pre-check state is not monotonic — a later unknown row overwrites missing, so an attended bump proceeds to a release that is known to lack a wrapper's asset （skills/plugin-update/SKILL.md）	logic	R5 e3729d9 — 同 #1
3	MEDIUM	同一 manifest 多個 pin key 時，後一份寫入計畫覆蓋前一份修改 （skills/plugin-update/SKILL.md）	codex	R5 e3729d9 — python 以檔案為鍵維護單一 buffer，同一 manifest 的多個 key 累積後只寫一次；tk fixture（binary_version + binaryVersion + version 三處同 manifest）
4	MEDIUM	_pbm_file_repo_tier2 未排除註解行，文件範例中的 release URL 可被當成驅動 Case E 的 repo （scripts/plugin-binary-meta.sh）	codex	R5 e3729d9 — _pbm_file_repo_tier2 只看非註解行；cmtrepo fixture（註解 URL + 動態 REPO → rc 1）
5	MEDIUM	Issue 點 1 的「另一個拼法在讀取時視同 alias」在產線路徑上不可達——plugin_binary_version 沒有任何 phase 消費 （scripts/plugin-binary-meta.sh:386）	requirements	accepted（設計，已入冊）— DA #35 更正：兩種拼法都在生產路徑被讀（plugin_is_binary_backed 用 _key），不可達的只是獨立函式；per-wrapper 精確讀取是刻意取代 alias（wrapper 自己讀不到另一種拼法）。R5 在 helper header / CLAUDE.md / CHANGELOG 明記 plugin_binary_version 為 detection-only
6	MEDIUM	Phase 5 Step 1.5 在 Case E bump 之後必然報 MISMATCH——與它要抓的真失敗（asset 漏傳 / 下載失敗）無法區分 （skills/plugin-update/SKILL.md:2219）	requirements	R5 e3729d9 — Phase 5 分 PENDING-FETCH（pin 比已安裝新：剛 bump 完的預期狀態）與 MISMATCH（已安裝比 pin 新或不可比）；report 列同步；kc/two/dup 斷言改 PENDING-FETCH、kc 加真 MISMATCH 斷言
7	MEDIUM	Phase 1.5 Signal 2 now runs with an empty BINARY_VERSION and reports the wrong cause (refs/tags/v missing → "git fetch --tags") （skills/plugin-update/SKILL.md）	logic	false positive — Signal 2 區塊本來就有 [ -n "$BINARY_REPO_PATH" ] && [ -n "$BINARY_VERSION" ] 守門，空 pin 不會查 refs/tags/v；R5 仍加一行 ℹ Signal 2 skipped for <repo> — no plugin-level pin 讓略過可見
8	MEDIUM	Multi-repo plugin: Case E takes latest from the first repo but rewrites every wrapper's pin, including wrappers that download from a different repo （skills/plugin-update/SKILL.md）	logic	R5 e3729d9 — Phase 0.3 (e) 對 plugin_binary_repo rc 2 印 release_ahead=unknown（不進 Case E）；bump fence 對有 pin 的列蒐集 repo，>1 即拒絕；mr fixture
9	MEDIUM	A manifest pin with no downloading file in bin/ or hooks/ is reported as why=no-pin ("the downloading wrapper has no pin") and never gets the release-ahead check （skills/plugin-update/SKILL.md）	logic	R5 e3729d9 — Case B 第五個子態 no-wrapper（hits 沒有 bin:/hook:）：Step 2 ⚠、Case B 行、Case C bullet、模板段；nw fixture
10	MEDIUM	Repo extraction (tier 2) does not exclude comment lines — unlike wrapper detection — and a comment-supplied owner/repo can drive the unattended Case E-auto bump + commit + push （scripts/plugin-binary-meta.sh）	security	R5 e3729d9 — 同 #4
11	MEDIUM	Phase 5 的 remove_plugin_ctx 被移到 Step 1.5 之後的新 fence，而 Step 1.5 的三種結果都被寫成「不是完成」——停在那裡就會留下 context 檔 （skills/plugin-update/SKILL.md:2044）	regression	false positive（DA #34 更正）— 出貨版已有 Step 1.9「每次 invocation 必跑」；Step 1.5 的三種結果不會留下 ctx 檔
12	MEDIUM	Case E 的 asset 預檢把「猜出來的 asset 名」從 warn 升格成 blocker：BINARY_NAME= 同時是 install 名與 asset 名的 fallback （scripts/plugin-binary-meta.sh:1）	regression	R5 e3729d9 — BINARY_NAME= 只在非註解行用它下載（releases/download/…/$BINARY_NAME 或字面值、--pattern、browser_download_url）時才算 asset，否則 asset 未宣告 → 預檢「未預檢」不 block；語料 20 支宣告 BINARY_NAME 的 wrapper 全部符合；installonly fixture
13	MEDIUM	mixed 佈局（bin wrapper + 會下載 release 的 hook）：那支 hook 在 Step 2 / Step 3 / Phase 5 三處全被排除，沒有任何地方驗證它，而 Step 2 還印「→ Step 3」指向一個必定 skip 的步驟 （skills/plugin-update/SKILL.md）	devils-advocate	R5 e3729d9 — Step 2 摘要在有 bin/ 時印 hook wrappers: N — 有 bin/，視為 check script，其下載未核對（不再指向必 skip 的 Step 3）；Step 3 skip 行明說「其下載未核對（判準，不是檢查過）」；Phase 5 印 hooks 列數與未核對；mixed 斷言更新
14	MEDIUM	Case E bump fence 的拒絕路徑不一致：asset missing 在 AUTO_PUSH 區塊之前就 exit 1，unattended 下既不印 AUDIT 也不是 exit 75，Phase 5 report 契約要收的那一行根本不存在 （skills/plugin-update/SKILL.md:1832）	devils-advocate	R5 e3729d9 — 所有拒絕走 refuse()：attended ✗/1、AUTO_PUSH=yes 印 AUDIT: Phase 0.3 Case E-auto refused — … 回 75（asset 缺、pin-conflict、降版、替換被拒、寫後重讀不符、多 repo、未知來源）；lat E-auto × missing 斷言 AUDIT + 75
15	MEDIUM	（補強 logic reviewer 的 MEDIUM）Phase 1.5 Step 2 的 rc 1 / 2 / 4 三個分支都白紙黑字宣稱「Signal 2 沒有 pin 可比／略過」，但程式裡沒有任何 guard，三種情況都會以空 BINARY_VERSION 去查 refs/tags/v （skills/plugin-update/SKILL.md）	devils-advocate	false positive — 同 #7（守門存在）；略過訊息現在會印
16	LOW	CHANGELOG「Added」的 helper API 描述與出貨版本不符（plugin_binary_name 的來源清單、hooks/*.sh） （CHANGELOG.md:9）	requirements	R5 e3729d9 — CHANGELOG Added 第一條逐函式對齊出貨（detection-only、hooks/ 任何檔案、repo 分級與 bin-only、asset 名規則）
17	LOW	Issue 點 2「其他變數名都能抓到 repo」只在變數名以 REPO 結尾時成立（其餘靠 URL tier 兜） （scripts/plugin-binary-meta.sh:311）	requirements	accepted — <X>_REPO= 賦值 + URL tier 已覆蓋語料全部 22 支；其他變數名靠 URL tier；issue 第 2 點的「從 URL pattern 抽」正是這條
18	LOW	_pbm_json_field maps a present-but-non-string value to "absent", against the helper's own "never a plausible default" contract （scripts/plugin-binary-meta.sh）	logic	accepted → #26 — _pbm_json_field 對非字串值印空（與缺同形）；區分需要新 rc，不在本輪
19	LOW	Reader and writer disagree on the accepted DESIRED_VERSION= shapes: local DESIRED_VERSION= is readable but un-bumpable （skills/plugin-update/SKILL.md）	logic	R5 e3729d9 — writer regex 加 local（與 _pbm_assign 同形）
20	LOW	CHANGELOG describes helper behaviour that the shipped helper does not have (hooks/*.sh, plugin_binary_name fallbacks, plugin_binary_version_effective) （CHANGELOG.md）	logic	R5 e3729d9 — 同 #16
21	LOW	_pbm_file_home_bin_name reads comment lines, and the name it returns is executed as $HOME/bin/<name> version （scripts/plugin-binary-meta.sh）	security	R5 e3729d9 — _pbm_file_home_bin_name 只看非註解行；cmtbin fixture
22	LOW	Phase 1.5 Step 3 widens the execute-a-local-binary trigger from hooks/session-start.sh to every hooks/ file matching the release-URL regex （skills/plugin-update/SKILL.md）	security	accepted — Step 3 執行的名字過兩次 allowlist、只在 hook-only 佈局、從 / 執行；擴大的觸發面是 R2 finding 要求的（不限 session-start.sh）；執行本身是否改成只讀 → #26 第 3 項
23	LOW	Case E bump writer can leave a half-modified working tree when two wrappers name two different manifest keys holding the same value （skills/plugin-update/SKILL.md）	security	R5 e3729d9 — 同 #3
24	LOW	CHANGELOG 的 Phase 5 Step 1.5 條目仍描述 R1 模型（manifest pin、remove_plugin_ctx 在本 fence 結尾），與出貨行為不符 （CHANGELOG.md:20）	regression	R5 e3729d9 — Phase 5 Step 1.5 的 CHANGELOG 條目改成出貨模型（逐列、PENDING-FETCH / MISMATCH / UNVERIFIED k/N、Step 1.9）
25	LOW	Phase 1.5 Step 3 硬編 $HOME/bin，與 Phase 5 Step 1.5 改用的公開 plugin_bin_dir 形成兩個真相來源 （skills/plugin-update/SKILL.md:1356）	regression	R5 e3729d9 — Step 3 改用 plugin_bin_dir；hp 斷言用 seam 目錄的假 CLI 跑 Step 3 → ✅
26	LOW	新增兩條「版本字串含非法字元 → 硬 abort」路徑，超出 issue 的五個點且未入 CHANGELOG （skills/plugin-update/SKILL.md:357）	regression	R5 e3729d9 — 兩條 abort 入 CHANGELOG（Phase 0.3 Step 2 version 缺/非法、Phase 2 Step 4 entry version 非法）
27	LOW	多 repo 時 Case E 的 asset 預檢對「第二個 repo 沒有這個 tag」只給 unknown，attended 照樣放行，於是把 A repo 的 tag 寫成 B repo wrapper 的 pin （skills/plugin-update/SKILL.md:1821）	devils-advocate	R5 e3729d9 — 同 #8（多 repo 直接拒絕，不靠 unknown 放行）
28	LOW	helper 的四個 public 函式在生產路徑上零消費端，CHANGELOG 卻宣稱 Phase 1.5「binary 名改 plugin_binary_name」 （CHANGELOG.md:19）	devils-advocate	R5 e3729d9 — 同 #16；helper 的四個 detection-only 函式在 header 標明用途
29	INFO	未發現 prompt injection；外部 write 與 diff 內容一致；五點需求的主體已覆蓋	requirements	noted
30	INFO	No prompt-injection content found in the reviewed material	logic	noted
31	INFO	Prompt-injection scan of the reviewed content: nothing found （scripts/test-plugin-binary-meta.sh）	security	noted
32	INFO	Signal 2 對「wrapper 完全不讀版本」的 plugin 從有信號變成沒信號（已誠實揭露，非靜默） （skills/plugin-update/SKILL.md:1264）	regression	noted — 已誠實揭露（Signal 2 對不讀版本的 wrapper 明說略過）
33	INFO	Scope 檢查：diff 未觸及 #22 以外的介面，external writes 與 diff 一致，無 prompt-injection	regression	noted
34	INFO	更正 regression reviewer 的 MEDIUM：「Step 1.5 停住會留下 context 檔」是誤報——出貨版已有 Step 1.9「每次 invocation 必跑，不論 plugin 種類、不論上一步結果」 （skills/plugin-update/SKILL.md）	devils-advocate	noted — DA 更正 #11
35	INFO	更正 requirements reviewer 的 MEDIUM：「另一個拼法視同 alias 在產線路徑上不可達」框錯了——兩種拼法都在生產路徑被讀，不可達的只有獨立函式 plugin_binary_version （scripts/plugin-binary-meta.sh:394）	devils-advocate	noted — DA 更正 #5
36	INFO	三位 reviewer 各記一則的「CHANGELOG 與出貨不符」實為同一則，且本檔體例是逐輪追加、line 12–14 已明寫取代關係 （CHANGELOG.md:11）	devils-advocate	noted — DA 指出三則 CHANGELOG 同源；R5 仍把 Added 條目對齊出貨（逐輪追加保留、但第一條不能說錯的 API）
37	INFO	外部寫入面（22 Sister Concerns / Tangential Observations / Sister Bugs）不在我的 context，我不背書其他 reviewer「external writes 與 diff 一致」的結論	devils-advocate	noted — DA 沒有外部寫入面的 context；requirements / regression 兩位有核對並回報一致

Follow-up Findings Filed (v2.44.0+ #526)

• plugin-update: #22 verify 遺留 — --binary-version 引數、plugin-health KeyError、Step 3 執行門檻、E-auto 跳幅、sidecar 拼法、_pbm_json_field 非字串值 #26 — 待 R5 結束一併開（累積：--binary-version 引數；plugin-health p['version'] KeyError → plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23 名單；Step 3 執行本機 binary 的門檻（plugin-update: binary-backed detection misses binaryVersion, non-wrapper.sh wrappers, missing marketplace version, and the post-release pin bump; Phase 5 never verifies the binary #22）；E-auto 版本跳幅上限；sidecar 拼法為 wrapper 契約；_pbm_json_field 非字串值與缺同形（plugin-update: PLUGIN_DIR 寫死 aggregator 佈局，self-hosted marketplace 會讓 binary gate 靜默失效 #18）。

Next

R5 已 commit（e3729d9）、diff 重新凍結（idd-19-verified..HEAD，5 commits）；R5 ensemble 進行中。

[kiki830621]

Implementation Complete — R5 addendum (#22 verify R4)

Commit: e3729d9（main；R1 72996f8 + R2 e5c0a27 + R3 475f905 + R4 9389c9c 之上）
Verify R4: FAIL — 2 HIGH（同一缺陷）/ 13 MEDIUM（3 誤報）/ 13 LOW / 9 INFO（報告見 R4 comment；逐條處置在 Action 欄）。

R5 改了什麼

模型不變。R4 verify 抓到的是 Case E bump fence 自己的兩個狀態機缺口與幾處「註解行 vs 程式行」的不對稱：

• asset 預檢狀態只升不降（worsen()：missing > unknown > ok）——第一支 wrapper 已知缺 asset、第二支查不到，結論仍是「缺」；先前每列無條件覆寫。
• 所有拒絕走同一出口 refuse()：attended 印 ✗ 回 1；unattended（AUTO_PUSH=yes）印 AUDIT: Phase 0.3 Case E-auto refused — <理由> 回 75——asset 缺、pin-conflict、降版、替換被拒、寫後重讀不符、多 repo、未知來源全部一致；先前 asset 缺（最主要的理由）在 AUDIT 出口之前就 exit 1。
• 替換以檔案為鍵累積：兩支 wrapper 各讀 binary_version / binaryVersion 時同一 manifest 只寫一次（先前第二份計畫從原文重讀、還原第一份）；ALSO_VERSION 併入同一 buffer；writer 與 reader 同樣接受 local DESIRED_VERSION=。
• 多 repo：Phase 0.3 (e) 對 plugin_binary_repo rc 2 印 release_ahead=unknown 不進 Case E；bump fence 蒐集有 pin 的列的 repo，>1 即拒絕——latest 只屬於一個 repo，不能寫進每支 wrapper。
• Case B 第五子態 no-wrapper：manifest 有 pin / .mcp.json 非空，但 bin/ 與 hooks/ 沒有任何檔案會下載——訊息不再說「wrapper 沒有 pin」（沒有 wrapper）。
• Phase 5 分 PENDING-FETCH / MISMATCH：pin 比已安裝新（剛 bump 完的預期狀態，wrapper 下次啟動才抓）與「已安裝比 pin 新或不可比」分開標；兩者都不是完成。
• mixed 佈局明說未核對：有 bin/ 又有會下載的 hook 時，Step 2 摘要印「hook wrappers: N — 有 bin/，視為 check script，其下載未核對」、Step 3 skip 行與 Phase 5 同語（不再指向必 skip 的 Step 3）；Signal 2 沒有 plugin 層 pin 時印 skipped；Step 3 本機目錄改 plugin_bin_dir。
• helper 註解行對稱：_pbm_file_repo_tier2 與 _pbm_file_home_bin_name 也只看非註解行（註解裡的 release URL 不能決定 E-auto 追誰的 tag、$HOME/bin/<name> 不能決定被執行的檔名）；BINARY_NAME= 只在非註解行用它下載（releases/download/…/$BINARY_NAME 或字面值、--pattern、browser_download_url）時才算 asset 名——語料 20 支宣告它的 wrapper 全部符合；只當 install 目標的 → asset 未宣告 → 預檢「未預檢」而非 blocker。
• 文件：CHANGELOG Added 條目逐函式對齊出貨（plugin_binary_version detection-only、hooks/ 任何檔案、repo 分級與 bin-only、asset 名規則、Phase 5 出貨模型）、「verify R4 修正」段、兩條 R1 起就有的硬 abort 入冊；CLAUDE.md 契約表同步。

Checklist（R5）

• helper：tier2 / home-bin 非註解行；_pbm_file_asset_name 的 BINARY_NAME 下載判準；header 註記 detection-only。127 → 133 斷言（cmtrepo / cmtbin / installonly、hijack 字面 asset、two 改依名下載）。
• SKILL.md：worsen()、refuse()、buffer-per-file、multi-repo 拒絕與 (e) unknown、no-wrapper、PENDING-FETCH、mixed 訊息、Signal 2 skipped、Step 3 plugin_bin_dir、writer local。
• fence smoke 272 → 305：lat（missing 後接 unknown 仍拒絕；E-auto → AUDIT + 75）、tk（兩 key 同 manifest + version，一行不變）、mr（release_ahead=unknown + bump 拒絕）、nw（no-wrapper）、kc/two/dup PENDING-FETCH + kc 真 MISMATCH、hp Step 3 用 seam 目錄跑本機 CLI ✅、mixed 新摘要；fixture 的 API 形 wrapper 補真實的 browser_download_url grep。
• CHANGELOG / CLAUDE.md。
• 版本 bump 2.5.0 + root marketplace.json 鏡像 — 仍留到 verify PASS 後的最後一個 commit。

真實語料重掃（R5 helper vs R4）

與 R4 掃描表相比只有四列不同：che-apple-notes-mcp / che-duckdb-mcp / che-things-mcp / che-zotero-mcp 的 check hook 列的 asset 欄變空——它們的 BINARY_NAME 只用來檢查本機檔，不下載，本來就不進 Signal 1；所有 bin/ wrapper 的 asset 欄不變。

Verification（本機，commit 前）

helper 133/133（bash 3.2 + zsh 零 stderr）；fence smoke 305/305（bash + zsh，無 no matches found）；resolver 139/139；check-skill-references 綠；33 fence bash -n 0 錯；裸 $VAR 接全形 0。

Next

凍結 idd-19-verified..HEAD（5 commits）→ R5 ensemble。

[kiki830621]

Errata（#22 第 1 點「alias」語意）

原文（issue body ## Expected 第 1 點）：
「binaryVersion（camelCase）與 binary_version（snake_case）二選一為 canonical，另一個在讀取時視同 alias」

更正（verify R4 定案、R5 INFO 提醒要入冊）：出貨的實作不做跨拼法 alias。

• 偵測層（plugin_is_binary_backed 經 plugin_binary_version_key）兩種拼法都認——manifest 用哪一種都算 binary-backed。
• 各 phase 消費的 pin 來自 plugin_binary_pin，讀的是wrapper 自己 grep 的那個 key；wrapper 讀 binaryVersion 而 manifest 只有 binary_version 時，wrapper 自己也讀不到，helper 回 rc 4 pin-unreadable（不是靜默改讀另一種拼法）。
• 第 1 點的實質目標（兩種拼法都不再靜默失效、Phase 0.3 Step 2 與 Phase 1.5 Signal 2 用同一個 reader）已達成；「alias」這個字的字面語意被 per-wrapper 精確讀取取代。理由記在 helper header、CLAUDE.md、CHANGELOG「verify R3 修正」段。

[kiki830621]

Verify: #22 — Round 5

Engine: pai-ensemble 2.23.0（4 lens × opus + devil's-advocate + Codex gpt-6-astra）— 3/6 完成（logic / regression / devils-advocate 撞 session limit，07:10 重置）；87 tool uses, 7.5 min
Scope: idd-19-verified..HEAD = 72996f8 + e5c0a27 + 475f905 + 9389c9c + e3729d9（R5）
Result: FAIL（fail-closed） — CRITICAL 0 / HIGH 5（2 Codex 真缺陷 + 3 個「lens 未完成」佔位）/ MEDIUM 2 / LOW 5 / INFO 3。三路未跑 → 本輪不能 PASS；Codex 的兩個 HIGH 經程式碼核對成立。

要求覆蓋率（issue 五點）

#	要求	R5 狀態	R6
1	兩種拼法同一 helper	✅（alias 語意由 per-wrapper 精確讀取取代；errata 已貼）	errata
2	binary-backed 偵測不靠檔名 / 變數名	⚠ 出貨是賦值 > URL（MEDIUM #7）；跨 wrapper 的 tier 合併漏判多 repo（HIGH #1）	修：賦值須被用進下載行、逐檔分級再合併
3	release-ahead → bump	⚠ 字面 pin 取第一個賦值（HIGH #2）；多檔寫入非交易式（MEDIUM #6）	修
4	entry 缺 version	✅	—
5	Phase 5 驗 binary	✅；PENDING-FETCH 措辭、hook-only 驗證指令（LOW #8/#9）	修

Findings（15）

#	Severity	Finding	Source	Action
1	HIGH	plugin_binary_repo 跨 wrapper 套用 tier 優先級，漏判多 repo 衝突 （scripts/plugin-binary-meta.sh）	codex	R6 2695ccf — plugin_binary_repo 改逐檔 _pbm_file_repo（檔內賦值 > URL）再跨檔合併，不同即 rc 2；mixrepo fixture（賦值 a/one + URL 字面 b/two → rc 2）
2	HIGH	_pbm_file_pin 取第一個非空 DESIRED_VERSION 字面，忽略後續覆寫 （scripts/plugin-binary-meta.sh）	codex	R6 2695ccf — 字面 DESIRED_VERSION= 只在它是檔內最後一個賦值時算數；最後一個讀不出且沒點名 key → rc 4 `
3	HIGH	logic lens did not complete	logic	not run — session limit（07:10 重置）；R6 ensemble 重跑
4	HIGH	regression lens did not complete	regression	not run — 同上
5	HIGH	devils-advocate did not complete	devils-advocate	not run — 同上
6	MEDIUM	Case E 多檔寫入非交易式，失敗時仍宣稱「沒有任何檔案被改」 （skills/plugin-update/SKILL.md）	codex	R6 2695ccf — 逐檔 temp + os.replace；任何寫入例外印 write-failed: written=[…] pending=[…] 回 2，bash 明說已改的檔案與復原指令（驗證拒絕的 rc 1 才說「沒有任何檔案被改」）；two 以唯讀 manifest 目錄斷言
7	MEDIUM	Point 2 mis-covered: repo is taken from *_REPO= assignments in preference to the release URL, and that repo drives the unattended auto-bump （scripts/plugin-binary-meta.sh）	requirements	R6 2695ccf — *_REPO= 賦值只在該變數被用進 release 下載行（$X / ${X} 出現在符合 release URL 形狀或 --repo 的非註解行）時才算；沒被用的 DOCS_REPO= 不是候選——issue 第 2 點「從 URL 抽」成立：賦值只是 URL 裡那個變數的值；unusedrepo fixture；Phase 0.3 (d) 註解同步
8	LOW	Phase 5 PENDING-FETCH line claims Signal 1 already checked the pin's assets, which is untrue for hook-only layouts and for gh failures （skills/plugin-update/SKILL.md）	requirements	R6 2695ccf — PENDING-FETCH 括號句改「asset 只有 Phase 1.5 Signal 1 對這個 tag 查到時才算核對過：hook-only 佈局與 gh 查不到時沒有」
9	LOW	Phase 5 Step 1.5's "要驗證" command degrades to the literal placeholder <wrapper> --version for hook-only plugins （skills/plugin-update/SKILL.md）	requirements	R6 2695ccf — hook-only 佈局的「要驗證」印 $PLUGIN_DIR/hooks/<file>（執行下載器）；hp 斷言
10	LOW	PBM_TEST/PBM_GH test seam lets the ambient environment substitute the gh binary whose output drives the unattended commit+push （scripts/plugin-binary-meta.sh:135）	security	R6 2695ccf — seam 三條件：PBM_TEST=1 且 PBM_TEST_ROOT 已設且 $PWD 在其下（production fence cd "$MP_ROOT"，永遠不在測試根下）；兩套測試改在 $T 下跑；lrv_noroot / lrv_outside 斷言
11	LOW	_pbm_file_asset_name interpolates the asset name into an ERE unescaped, so . in a declared name acts as a wildcard （scripts/plugin-binary-meta.sh:213）	security	R6 2695ccf — BINARY_NAME 字面值進 ERE 前轉義 .；dotname fixture
12	LOW	Case E-auto commit/push failure leaves a modified, locally-committed marketplace repo with no AUDIT: line for the final report （skills/plugin-update/SKILL.md:812）	security	R6 2695ccf — E-auto 寫後 commit / push 失敗印 AUDIT: Phase 0.3 Case E-auto FAILED after write — …（列出本地 commit 與復原方式）；two 以壞 remote 斷言
13	INFO	Point 1's "canonical + alias" wording is superseded by the per-wrapper key model; the issue body still states the old Expected （scripts/plugin-binary-meta.sh）	requirements	done — idd-comment --type errata 已貼在 #22（第 1 點 alias 語意由 per-wrapper 精確讀取取代）
14	INFO	Point 3's --binary-version argument is not implemented and the follow-up issue does not exist yet （skills/plugin-update/SKILL.md）	requirements	done — #26 已開（六項：--binary-version、plugin-health KeyError、Step 3 執行門檻、E-auto 跳幅、sidecar 拼法、_pbm_json_field 非字串值）
15	INFO	No prompt-injection attempt found in the diff or the external-writes block; the one real injection channel is closed by the allowlists （scripts/plugin-binary-meta.sh）	security	noted — 無 prompt injection

Follow-up Findings Filed (v2.44.0+ #526)

• plugin-update: #22 verify 遺留 — --binary-version 引數、plugin-health KeyError、Step 3 執行門檻、E-auto 跳幅、sidecar 拼法、_pbm_json_field 非字串值 #26 — 已開：--binary-version 引數、plugin-health p['version'] KeyError → plugin-debug / plugin-deploy 也寫死 plugins/<name> 佈局 (sister concern from #18) #23、Step 3 執行本機 binary 的門檻、E-auto 版本跳幅上限、sidecar 拼法為 wrapper 契約、_pbm_json_field 非字串值與缺同形。

Next

R6 已 commit（2695ccf）、diff 重新凍結（idd-19-verified..HEAD，6 commits）；R6 ensemble 於 07:10 session limit 重置後啟動，六路全部完成才判定。