wal: flush 20260727T1700

.claude/WAL.md

@@ -28,6 +28,10 @@ chain:
 
 [x] A2: đọc PDF (fitz — `pdftoppm` KHÔNG có, render bằng `fitz` rồi Read ảnh) + trích 21 bước vào `runs/2026-07-27-S156-bch-post-ceo-flow/run.md` + grounding 4 phép: `PE.DaDuyet=7` khớp "xong bước 6" · cầu PE→HĐ CÓ SẴN `CreateContractFromEvaluationFeatures.cs` · **`shopdrawing|TVGS|duyệt mẫu` = 0 hit toàn repo** (bước 8-9 đất trắng) · `ContractPhase` **6/9 `[LEGACY]`**
 [x] A2 `wf:` `/fable-real investigator-codebase` (Fable) — 2 lượt (lượt 1 **#53 mất return**, cứu từ đĩa; lượt 2 resume cắt-ngắn, CLEAN). `sub-invest-bch-1.md` **22.659 B** verify khớp return. **VERDICT `LAI`**: b.13→21 **TÁI DÙNG** Contract V2 · b.7→12 **DỰNG MỚI**. Chứng quyết định: `ContractPhase.cs:3-13` — 7 phase vật-lý (góp ý/đàm phán/in ký/CCM/trình ký/đóng dấu) **bị CỐ Ý gỡ** post-Mig 21+S17, mà đó CHÍNH LÀ trạm của b.13→21 ⇒ hồi sinh = đi ngược kiến trúc
+[x] A2 `wf:` `/fable-clone reviewer` **`wf_1618ae3c-a17` — 4/4 lane SẠCH 0 chết** (đóng gói C2 ăn: ≤3 file/lane + ép khung rỗng lượt 1-2 + trần 25; lane tốn nhất 7/25). **35 điểm**: verdict `LUNG-LAY 11` · fidelity `CO-VAN-DE 10` · q2 `THIEU-PHUONG-AN 14 + thiên-vị-có-hướng` · gaps `4/4 THẬT 0 dương-giả`. **Lõi `LAI` SỐNG**, đổ ở NHÃN chi phí + CÁCH ĐẶT VẤN ĐỀ. Synthesis: `review-synthesis.md`
+[!] 🔴🔴 **LỖ HỔNG AN NINH PROD — gotcha #82 TÁI PHÁT, KHÔNG liên quan tính năng mới**: `ContractWorkflowService.cs:48-66` nhánh Reject chạy TRƯỚC MỌI GUARD (0 role/0 approver/0 fromPhase) + `ContractsController.cs:13` **`[Authorize]` trần duy nhất phủ 22 endpoint ghi** ⇒ **mọi user đăng nhập Từ-chối/Trả-lại được BẤT KỲ HĐ nào kể cả `DaPhatHanh` terminal**, kèm xoá `SlaDeadline`. **Lead tự verify 2 tầng độc lập** (đối chứng PE controller có 3 per-action policy ⇒ loại trừ "dự án không làm kiểu đó"; grep có răng: bắt 22 endpoint ghi). → chờ anh quyết tách task riêng
+[ ] 🔴 invest có **1 claim SAI SỰ THẬT** phải sửa trước khi trình: "hardcoded policy fallback" → thật là `ConflictException :115-116` ⇒ HĐ từ phiếu **KẸT CỨNG ChoDuyet không ai duyệt được** (nặng hơn, không phải degrade êm). Gốc: **invest tin skill-doc `contract-workflow` hơn ĐĨA** (doc tả fallback `WorkflowPolicyRegistry`, đĩa 0 hit ở đường transition, chỉ còn ở đường HIỂN THỊ ⇒ lệch DISPLAY⟂GUARD mà doc stale che luôn)
+[ ] A2 6 việc sửa bản invest trước khi trình anh 14 câu (xem `review-synthesis.md` §G) — gồm thêm Q vai-người-TRÌNH (`:70-79` PMH role `Procurement` bị 403 ở b.13/b.17 = lớp "cơ-chế đúng dữ-liệu không có" **lần 5**) + Q5 thêm phương án (d) `skipToFinal` ĐÃ WIRE mà invest bỏ sót + viết lại Q2 theo 2-trục + 3 số đo từ twin repo
 [!] A2 **CHẶN: Q1-Q6 chờ anh** (14 câu tổng). §4 wire + §5 checklist chưa làm được vì "trả lời khác ⇒ wire khác". Nặng nhất **Q2 kiến trúc khúc 8-12** (a: module PostAward mới `ApplicableType=10` · b: HĐ trình 2 vòng — invest KHUYÊN TRÁNH · c: tối giản attachment+checklist trên PE). Rồi mới `/fable-clone review`
 [ ] 🔴 4 lỗ "cột CÓ mà 0 ai đọc" invest đào ra — cầu PE→HĐ pin V1 không nhận V2 · `CeoApprovalThreshold` **0-consumer phía HĐ** (b.18 "CEO ký >5 tỷ" KHÔNG có cơ chế, admin set bị ngó lơ IM LẶNG) · SLA V2 hardcode `AddDays(7)` (sơ đồ ghi 3 ngày) · `AttachmentPurpose` không phân biệt ký-nháy/ký-chính. Cùng lớp lỗi đã cắn 4 lần đợt PE ⇒ **đặc tính kiến trúc** (schema chung ⟂ service riêng per-type), không phải xui
 [ ] 🔴 vết lỗi lead @S156: viết `run.md` đã **điền SẴN kết-quả S2 cho lượt chạy CHƯA xảy ra** (byte-count + `TOTAL=14 GAP` + verdict = BỊA). Tự bắt ngay sau Write, sửa về `[ ]`, ghi vết trong `run.md`. Lớp `SHA-bịa` — xảy ra ngay trong lượt vừa khoe "đo-trước-tin" ⇒ ứng viên memory datum