[CLAUDE] Docs: S159-S160 closeout arc-2 "Tong quan quy trinh" - STATUS/HANDOFF arc-2 + gotcha #84 revoker-2-chieu + session-log + tick S160

- STATUS CURRENT: +arc-2 5 dot (bo ten 4-GD chot + rui-ro-co-y-thuc verbatim + revoker) + baseline moi (menu 142, bundle D0sXA0fe/Y6dW_5CM, gate 562) + bo claim "0 prod-code" + Gotchas row 84
- HANDOFF: khoi ARC-2 + risk verbatim + luat khong-SQL-tay-cho-menu + va stale _mind 37,9->69,2%
- gotchas: +#84 revoker-2-chieu (data tay prod bi code-path ungated @restart dao nguoc im lang; khuon 3-chan-kieng; lien-quan #75/#76/#82)
- session-log S159: 2 nua phien + 5 dot arc-2 + errata + PARK + chot dau viec (anh @S160, 7 slot treo)
- counter: tick S160 CLEAN 33->34
(spec KHKK note W1 + diary designer/cicd + _tiep-1 da vao wal-flush 57a4155 theo 4-path hook)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

.claude/governance/.session-counter.json

@@ -11,10 +11,10 @@
                   },
     "_tick_invariant_note":  "Tick invariant (hub dede7ec5 Delta-1, verbatim): moi LAN-CHOT +1; mot cap dung-noi tang DUNG +1, khong +2, khong +0. SE form = tick-at-entry-gate idempotent-per-label (hub Delta-2 recovery-gate +1 = permitted form) - NET +1/session-label EQUIV hub +1/cap on CLOSED pairs; an OPEN pair is transiently +0 until its entry gate fires (hub blessed, 9a35405b block-1 phep dung-noi). Guard song-con = label-convention (session-start 2.1.8: new conversation = new S\u003cnn\u003e label, NEVER reuse). history[] is append-unbounded BY DESIGN =\u003e absence of a marker = never-happened (safe semantics); IF a FIFO cap is ever added, eviction MUST be handled explicitly (absence-vi-bi-day != absence-vi-chua-xay-ra - log-BOUNDED design-note dede7ec5).",
     "_seed_honesty":  "Seeded UNTICKED on purpose. counter=0 and last_ticked_* = null mean \u0027no tick has ever happened\u0027, which is the truth at S121 - the ritual that performs the tick lands in W3. Seeding a fake first tick here would make the very first cadence reading a lie, and H24 exists to catch exactly that kind of invented number.",
-    "counter":  33,
+    "counter":  34,
-    "last_ticked_session":  "S159",
+    "last_ticked_session":  "S160",
-    "last_ticked_head":  "bbc39be3abf80285ca11a665a574427bdb2d602c",
+    "last_ticked_head":  "febe6b1696b834d7b3922866ddcea25768952c08",
-    "last_ticked_at":  "2026-07-28",
+    "last_ticked_at":  "2026-07-29",
     "last_audit":  {
                        "light_at_counter":  27,
                        "deep_at_counter":  25,
@@ -171,6 +171,11 @@
                         "at": "2026-07-28",
                         "session": "S159",
                         "event": "squash-benign (session-counter-tick.ps1 M2, contract fail_loud_on_regress trigger-2 BENIGN branch): counter 32->33, session S158->S159, head 6c263dd->bbc39be. last_ticked_head 6c263dd object EXISTS (cat-file=commit) but NOT reachable (merge-base --is-ancestor exit!=0), counter not regressed => a closeout squash lifted the ticked wal:/session commit out of history (expected drift, not tamper). Trace appended, continue, no owner alarm. Written atomically (temp + Move-Item -Force)."
+                    },
+                    {
+                        "at": "2026-07-29",
+                        "session": "S160",
+                        "event": "CLEAN tick (session-counter-tick.ps1 M2): counter 33->34, session S159->S160, head bbc39be->febe6b1. Classify-before-tick: no regression (n=160 >= stored n=159); last_ticked_head reachable (merge-base --is-ancestor exit 0). 4 fields updated, 1 history entry appended, written atomically (temp + Move-Item -Force)."
                     }
                 ]
 }

docs/HANDOFF.md

@@ -2,9 +2,13 @@
 
 > **Tiering rule (S40):** giữ **2-3 session gần nhất**. Cũ hơn → `docs/changelog/sessions/`. Full brief history pre-S40 → `docs/_archive/HANDOFF-preS40-fullhistory.md`.
 
-**🆕 Last updated:** 2026-07-29 (**S159** — phiên-LOGIC **L8**, window 1). Chi tiết = `docs/STATUS.md` dòng CURRENT + run-trace `.claude/workflows/runs/2026-07-29-S159-bookend-open/`.
+**🆕 Last updated:** 2026-07-29 chiều (**S159→S160** — phiên-LOGIC **L8**, window-1 `/pause` @14:40 + window-2 `/tiep` closeout). Chi tiết = `docs/STATUS.md` dòng CURRENT + run-trace `.claude/workflows/runs/2026-07-29-S159-bookend-open/` (bookend) + `.claude/workflows/runs/2026-07-29-S159-tong-quan-pipeline-menu/` (arc-2).
 
-**Tóm S159 (governance-heavy, 0 prod-code):** anh giao 2 việc — **chạy đủ 5 vòng bookend** + **vá 2 chỗ hở spec KHKK** — rồi chốt tiếp *"có giải pháp thì làm luôn, các vòng này tự động luôn"*. Kết quả: 10 vai · 9 spawn + 6 resume · 11 artifact ~231 KB · **5 khoản (49)-(53) thi hành xong**.
+**Tóm S159 window-1 = 2 nửa.** **Nửa đầu governance:** anh giao 2 việc — **chạy đủ 5 vòng bookend** + **vá 2 chỗ hở spec KHKK** — rồi chốt tiếp *"có giải pháp thì làm luôn, các vòng này tự động luôn"*. Kết quả: 10 vai · 9 spawn + 6 resume · 11 artifact ~231 KB · **5 khoản (49)-(53) thi hành xong**. **Nửa sau ARC-2 UI SHIP PROD (khối 🆕 dưới)** — dòng "0 prod-code" chỉ đúng nửa đầu.
+
+**🆕 ARC-2 UI "Tổng quan quy trình" — 5 đợt / 5 commit ship prod trong 1 buổi chiều** (`b5799fc`→`1a47a61`→`2a72695`→`a2bbcb9`→`ea962b1`; cicd 5/5 verdict: PASS · **PARTIAL 8/9** · PASS restart-proof · PASS durability-2 · **PASS 9/9 đợt-5 về kịp trước chốt**): trang tổng-quan fe-user pipeline 4 GĐ + tab strip trên phiếu + menu 4-GĐ đánh số 01-07 + list chi tiết toàn-trình (bỏ KPI/hero theo lệnh anh *"Ồ đẹp đấy, vậy bỏ cái trên đi nhé"*) + menu 6-leaf y-chang-Duyệt-NCC ×7 loại HĐ + `GET /api/contracts/deleted` + sidebar "Tổng quan quy trình" (tên anh đề). **Bộ tên 4-GĐ chốt (lời anh):** ❶ Duyệt NCC · ❷ Kế hoạch ký kết HĐ · ❸ Duyệt hợp đồng (*"Trình ký Hợp đồng đổi thành Duyệt hợp đồng"*) · ❹ Hợp đồng cứng (*"ký cứng -> Hợp đồng cứng"*); nhãn leaf Hdc "- Bảng cứng" theo verbatim anh vẽ (nghi "Bản cứng" — 1 lệnh đổi được, chờ anh). Baseline mới: **menu 142 · bundle admin `D0sXA0fe`/`DWDbm5As`(frozen-hợp-lệ) · user `Y6dW_5CM`/`6YIAufJR` · test 562 giữ · 0 mig**.
+🔴 **❹-risk CÓ Ý THỨC (verbatim anh, giữ nguyên văn):** *"đang phát triển → cho hiển thị hết để mọi người góp ý, còn duyệt NCC thì cứ để như cũ"* — menu HĐ public 13/13 role trong khi authz HĐ còn `[Authorize]` trần (lỗ hổng S156 treo chủ-đích *"chỗ hợp đồng cứ từ từ"*, HANDOFF mục "Treo CÓ CHỦ ĐÍCH" dưới); em đã cảnh báo, anh tái khẳng định. **Wave 5 KHKK chạm HĐ ⇒ vẫn phải hỏi lại anh.**
+🔴 **Sự cố revoker → gotcha #84 (bài đắt nhất arc):** grant menu SQL tay bị `RevokeTemporarilyHiddenModulesAsync` nhánh [S92] lật **447/494 row** @restart (#423 bắt ở mục-9) → regrant 447 + **gỡ nhánh code** + guard test 2-vế (`StillHiddenKeys`∧`ReopenedKeys` — re-add là CI đỏ) → bền ×3 restart. **Luật: KHÔNG SQL tay cho menu — code-first seeder; comment nêu LUẬT+lệnh grep, CẤM số-đếm** (2 lần trong ngày số-comment thành nợ tự-lan).
 🔴 **Ba lần vòng kiểm chặn lead trước khi làm hỏng:** ① `ring2` **D-4** — lead suýt chép `gap-carry-dropped=3` (đơn-vị **trong-phiên**) vào ô tally đang **=7** (**consecutive-audit**) ⇒ **xoá 7 vòng lịch-sử**; *cùng tên ≠ cùng đơn-vị* ② `ring1` thách-CLEAN lật claim *"stray 0 · empty-dir 0"* của H2 → thật **1** + **5→6 đang tăng**, ngay trong run-folder phiên này (0 file, class `agent-cwd-relative-memory-misland` S54) — 🔴 **`git status` MÙ CẤU-TRÚC với thư-mục rỗng** nên post-wave assertion báo sạch *đúng lệnh* mà vẫn sót ⇒ **close-gate phải chạy RIÊNG `find -type d -empty`** ③ `ctx-audit` dùng **mtime** chứng lead ghi `_mind` **sớm 13–54 phút**, ngược `session-start.md:358` — **1 nguyên-nhân gốc sinh 4 triệu-chứng**.
 ⭐ **Bài đắt nhất phiên — "khâu hỏng là APPEND, không phải phát hiện":** 11 vai diary đóng băng tại đúng commit `11db5ef`; và vì diary đóng băng, `harness-refine` đọc sổ chốt-dừng của **chính nó** **sai 2 vòng** — nó phát hiện **6/6 đề-xuất qua S153+S154+S158 CHƯA từng thi hành**, nên cố ý đề **ít** action. ⇒ Cái hỏng ở khâu **GHI** quay lại làm hỏng khâu **QUYẾT ĐỊNH** = **vòng phản hồi dương**, không phải nợ kỹ-thuật. Đã seed **10/10 diary** on-behalf.
 ⭐ **Anti-Goodhart đo được:** vá lọc detector ⇒ INFORM **8→14**. **Số xấu đi CHÍNH LÀ bản vá chạy đúng** (3 lane trio + ctx trước đây vô hình với glob `sub-*.md` nên **không bao giờ bị flag**). Nếu chấm bản vá bằng *"flag-count có giảm không"* thì sẽ revert đúng thứ vừa mở mắt cho lưới.
@@ -27,7 +31,7 @@
 
 **🔴 NEXT anh @S158 (đánh số — anh trả lời bằng số):**
 **(42)(43)(44)** — 🔴 **3 slot này đã cấp ở WAL từ S155 nhưng CHƯA BAO GIỜ xuất hiện ở HANDOFF** (lead-stale FLAG-6 @S158: sổ anh đọc dừng ở slot 41 trong khi sổ lead đã tới 44) ⇒ 3 câu dưới đây anh **chưa từng được hỏi**: **(42)** canonRows · **(43)** carry con-trỏ-vs-slug · **(44)** END-line-thành-luật.
-~~**(45)** 🔴 **Trần `_mind` — CHẶN cửa `/pause` kế tiếp.**~~ ✅ **RÚT @S159 — BÁO ĐỘNG GIẢ, không cần anh quyết.** `lead-stale-auditor` FLAG-3 (`view-stale-count`, HIGH) + `ring2-audit` tái-dựng 6/6 số: con số **30.305/32.768 B = 92,5%** là của **`_mind-s-7.md`** — file **ĐÃ ĐÓNG BĂNG** cùng phiên-LOGIC L7 (`4169e14`). File **đang hiệu lực** là `_mind-s-8.md` = **37,9%**, dư **20.338 B** — gấp **8,3×** con số trong sổ, thừa sức chứa block kế. **Cửa `/pause` tiếp theo KHÔNG bị chặn.**
+~~**(45)** 🔴 **Trần `_mind` — CHẶN cửa `/pause` kế tiếp.**~~ ✅ **RÚT @S159 — BÁO ĐỘNG GIẢ, không cần anh quyết.** `lead-stale-auditor` FLAG-3 (`view-stale-count`, HIGH) + `ring2-audit` tái-dựng 6/6 số: con số **30.305/32.768 B = 92,5%** là của **`_mind-s-7.md`** — file **ĐÃ ĐÓNG BĂNG** cùng phiên-LOGIC L7 (`4169e14`). File **đang hiệu lực** là `_mind-s-8.md` = 37,9% lúc đo @S159 (**69,2% @S160** sau MIND-1/MIND-2 — 22.665/32.768 B, dư 10.103 B; số này TRÔI theo phiên, số sống đọc `mind-check` phép (7), đừng neo literal ở đây). Vẫn thừa chỗ cho block kế. **Cửa `/pause` tiếp theo KHÔNG bị chặn.**
 🔴 **Vì sao slot này nguy hiểm hơn một con số sai:** nó xin anh tiêu một **quyết định owner** (nâng khoá `mind_ctx_kb` / vá luật nén) dựa trên số đo của một artifact đã chết. Quyết-định của owner là tài-nguyên hiếm; báo-động-giả tiêu mất một lượt. Class = **tham-chiếu trượt khi L7 `_end` và L8 mở, sổ owner không đi theo**.
 🔸 **Giữ phần CÒN ĐÚNG (không vứt cả cụm):** mối lo NỀN là thật — `ctx-verifier` dự báo tường này từ **S156**, và L8 sẽ lớn dần. Cái bị bác là **BỘ SỐ + tính khẩn "cửa kế tiếp"**, không phải câu hỏi thiết kế. Khi `_mind-s-8` thật sự tới ~90% thì mở lại slot mới, đo trên file SỐNG.
 **(46)** 🔴 **Thước "17,1K" là thước MA — chọn 1 trong 3 ngã** (`harness-refine` A1, nó **cố ý không đặt số** vì số là quyền anh): **(i) WIRE** thêm key `tiers.l1_hot.self_target_bytes` để máy soi được · **(ii) RETIRE** gỡ luật khỏi 5 diary vì thước thật là 25.600 · **(iii) RELABEL** giữ nhưng ghi rõ "advisory". Bằng chứng nó **đang tốn công thật**: `investigator-codebase:58` nén về ~17,1K @S155, **3 ngày sau 20.646 B lại**; áp thước này thì **9/23 vai vượt** trong khi mọi máy in "0 over".

docs/changelog/sessions/2026-07-29-1440-S159-tong-quan-quy-trinh-arc2-bookend.md

@@ -0,0 +1,58 @@
+# S159 (2026-07-29) — Phiên-LOGIC L8 window-1: bookend @open 5 vòng + vá spec KHKK + 5 khoản owner + ARC-2 UI "Tổng quan quy trình" 5 đợt SHIP PROD
+
+> Window-1 đóng bằng `/pause` @14:40 (lệnh anh *"xong thì /pause nhé"*). Closeout sổ bền chạy ở window-2 (`/tiep` @S160 cùng ngày ~15:00).
+> Chi tiết máy-đọc-được: `docs/STATUS.md` dòng CURRENT ①-⑧ + run-trace 2 folder (dưới). File này = bản kể + disposition + errata.
+
+## Nửa đầu — governance (sáng)
+
+- **Sàn-3 ① kêu ×2** (orphan S155+S157 dạng-4) → anh chốt *"nối mạch tiếp cho xong hẳn rồi bootstrap"* → retro-harvest 2 synthesis L7; detector về 0-orphan.
+- **Bookend @open 5 vòng ĐỦ** (anh chốt chạy đủ): 10 vai · 9 spawn + 6 resume · 11 artifact ~231KB → `runs/2026-07-29-S159-bookend-open/`. Nặng nhất: `ring2` **D-4** chặn lead trước một nước xoá-lịch-sử tally (đơn-vị trong-phiên ≠ consecutive-audit) · `ctx-audit` mtime-proof lead ghi `_mind` sớm 13–54 phút (1 gốc → 4 triệu-chứng) · REGRESSION diary 11 vai đóng băng — khâu hỏng là **APPEND**, không phải phát hiện → seed 10/10 on-behalf.
+- **Vá 2 chỗ hở spec KHKK:** H5 đóng **2 site** (`N ≥ 6`+6 tên · `N ≥ 2`+2 tên) · H6 đóng **4 site** (site-4 `DbInitializer` chỉ lộ khi hỏi nhân-quả — *grep tìm CHUỖI, mô-hình nhân-quả tìm HỆ-QUẢ*).
+- **5 khoản (49)-(53) thi hành xong** (anh: *"đã có giải pháp rồi thì làm luôn, tao muốn các vòng này tự động luôn"*): vá 6 site 2 file LỆNH (cặp H24 vô-điều-kiện mỗi bookend) + phép (10) mind-check FI 4/4 · seed diary · `_INDEX` cicd +Run #407 mồ-côi · slot (45) RÚT (báo động giả) · vá lọc detector `(sub|harness)-*` ⇒ INFORM 8→14 (**số xấu đi = bản vá chạy đúng**, anti-Goodhart).
+
+## Nửa sau — ARC-2 UI "Tổng quan quy trình" (chiều, 5 đợt / 5 commit / ~3h)
+
+Khuôn làm việc: **{đợt nhỏ → ship → anh nhìn prod → vẽ tiếp}** — không phải spec-trước-làm-sau. Mỗi đợt qua đủ build + test + reviewer + cicd.
+
+| Đợt | Commit | Nội dung | cicd |
+|---|---|---|---|
+| 1 | `b5799fc` | Trang tổng-quan fe-user: hero pipeline 4 GĐ (designer T1) | PASS 9/9 (#422) |
+| 2 | `1a47a61` | Tab strip 4 GĐ trên phiếu + menu 4-GĐ + đánh số 01-07 (anh Kiệt) | **PARTIAL 8/9** (#423 — mục-9 lộ revoker) |
+| 3 | `2a72695` | Gỡ nhánh [S92] khỏi revoker + regrant 447 + guard test 2-vế + skeleton menu GĐ2 `Khkk_*`/GĐ4 `Hdc_*` + ComingSoonPage ×2 | PASS 9/9 (#424, restart-proof 3-chân-kiềng) |
+| 4 | `a2bbcb9` | Bỏ KPI/gần-đây → list chi tiết toàn-trình (anh: *"hiện theo list chi tiết đàng hoàng"*) + nhãn Hdc "- Bảng cứng" + 7 FLAG reviewer fix | PASS 9/9 (#425, durability-2) |
+| 5 | `ea962b1` | Menu 6-leaf y-chang-Duyệt-NCC ×7 loại HĐ (21 key mới) + `GET /api/contracts/deleted` + bỏ hero (anh: *"Ồ đẹp đấy, vậy bỏ cái trên đi nhé"*) + sidebar **"Tổng quan quy trình"** | **PASS 9/9** (#426 — menu 119→142=+23 khớp toán, durability-3, cứu 1 FALSE-FAIL) |
+
+**Quyết định anh (verbatim, đầy đủ trong `_context-s-8.md` PAUSE-1):** ranh 4-GĐ (b.12∈GĐ2) · ẩn 3 nhóm chưa-public = *"chỉ hiển thị ở trang admin — để tao khỏi nhầm giữa cái đã public và cái đang làm"* · ❹ *"đang phát triển → cho hiển thị hết để mọi người góp ý, còn duyệt NCC thì cứ để như cũ"* (**RỦI-RO CÓ Ý THỨC** — authz HĐ trần S156 treo chủ-đích, đã cảnh báo, anh tái khẳng định) · bộ tên 4-GĐ chốt: **Duyệt NCC · Kế hoạch ký kết HĐ · Duyệt hợp đồng · Hợp đồng cứng** (*"Trình ký Hợp đồng đổi thành Duyệt hợp đồng, ký cứng -> Hợp đồng cứng"*) · *"Thêm chữ bảng cứng vào nhé"* · AskUser *"Chạy cả 2"* (endpoint deleted + matrix HĐ chung — đo `ApplicableType.Contract=3` ⇒ 7 leaf trỏ chung 1 matrix) · *"vậy là tròn 1 quy trình của Solution rồi đấy."*
+
+**Sự cố revoker → gotcha #84:** grant menu SQL tay bị `RevokeTemporarilyHiddenModulesAsync` [S92] lật 447/494 row @restart. Xử 2 nhịp (regrant + gỡ nhánh code + `StillHiddenKeys`∧`ReopenedKeys`), bền ×3 restart. Luật: **KHÔNG SQL tay cho menu — code-first seeder; comment nêu LUẬT+grep, CẤM số-đếm** (2 lần/ngày số-comment thành nợ: `531` task-id + "chỗ THỨ HAI").
+
+**#53 trong arc:** designer ×2 + cicd + reviewer đều có lượt garble first-return — **mất 0 B** nhờ ghi-đĩa-trong-lúc-làm (sub-file là sản phẩm chính; `cicd-verify-ea962b1.md` về kịp PASS 9/9 ngay trước chốt).
+
+## Window-2 closeout (@S160 `/tiep`, ~15:00)
+
+- `/tiep` trọn nghi-thức: Sàn-3 5 tín-hiệu kêu ĐÚNG (khớp WAL, không phải sổ-trống-≠-sạch) · tick counter 33→34 (CLEAN) · `NHIP-NO: light 7/6 OVERDUE — /tiep không phải bookend, cặp H24 chạy ở bookend kế` · thư-mới se=0 all=0 (pull-cách 7 ngày = lành, không có gì để kéo) · mind-check **đạt 11/0** · `ctx-verifier` **CO-CO 9 cờ** (nạp-lại 15 dòng; `LEAD-PHAI-NHAC-LAI` giữ đúng).
+- Sổ bền: STATUS CURRENT viết lại (arc-2 ⑦⑧ + baseline mới + bỏ claim "0 prod-code") · HANDOFF khối ARC-2 + ❹-risk verbatim + vá số stale `_mind` 37,9%→69,2% · gotcha **#84** · spec KHKK note W1 (tái dùng `Khkk_*`, tiền-đề dark-launch menu ĐẢO, skip-existing) · diary designer entry S159 on-behalf + cicd baseline #426.
+- **Curate 2 diary (hook read-limit 24,4KB kêu):** designer 23.570→19.388B (2 entry S69 → `archive/2026-06.md` + `_INDEX` pointer) · cicd 23.678→21.852B (đợt-3 #424 → `archive/2026-07.md`, moved-not-cut verify True ×3). 🔴 **Pointer `_INDEX` cicd cho bản-ghi #424 TREO chờ slot (51-bis)** — index đo tươi **20.313/20.480 = 99,2%, headroom 167B** (HANDOFF ghi 19.958/97,45% đã cũ: +355B do pointer #423 vào cùng commit `wal: pause`). Đích 17,1K của hook KHÔNG ép — đó là thước MA slot (46) chờ anh.
+- Re-chạy `governance-detectors` sau khi diary đã commit (HANDOFF NEXT①) — kết quả ghi ở WAL/báo cáo cuối.
+
+## Errata (FLOW `_context` bất-biến nên đính-chính ở đây)
+
+1. `_context-s-8.md` PAUSE-1 mục (3) đếm run-folder arc-2 "5 đợt + **3 cicd-verify + 2 sub-reviewer**" — đĩa thật: **5 cicd-verify + 3 sub-reviewer + 2 sub-designer** (+ run.md + 2 prod-txt = 13 file). Con số trong FLOW là undercount lúc viết, không sửa entry.
+2. HANDOFF segment S159 (viết @window-1) khai "(governance-heavy, 0 prod-code)" cho cả phiên — đúng nửa đầu, sai nửa sau; đã sửa @closeout.
+
+## PARK chờ anh (mang sang từ PAUSE-1 + closeout)
+
+- **FLAG-4** định nghĩa "Đã duyệt" HĐ: phase=9 Đã-phát-hành đang bỏ sót phase-8 đã-qua-BOD; nhãn menu ↔ chip lệch (`run.md:104`).
+- **(51-bis)** `cicd-monitor/_INDEX` **99,2% / 167B** (số tươi @S160): (a) split (đã mở lại được) · (b) nâng cap (refine BÁC) · (c) để nguyên. Kèm nợ mới: pointer #424 treo.
+- **"Bảng cứng" vs "Bản cứng"** — nhãn theo verbatim anh vẽ; nếu ý là "Bản cứng" thì 1 lệnh đổi.
+- **StaticLeaf "Hộp thư"** chưa viết hoa đồng bộ "TỔNG QUAN QUY TRÌNH" — đồng bộ hay để.
+- **6 FLAG-L park đợt-4/5** trong `sub-reviewer-diff-dot4.md`/`-dot5.md` (`run.md:87` F6 + `:105` F5–F9).
+- Slot cũ giữ nguyên: (42)(43)(44)(46)(47)(48) + nhóm không-chặn-W1 (xem HANDOFF).
+
+## Chốt đầu việc (@S160, sau báo cáo /tiep)
+
+> anh: **"OK tạm thời các điều chỉnh vừa rồi ổn. Xem như đóng đầu việc."**
+
+Disposition: đầu việc **arc-2 + closeout ĐÓNG** theo lời anh. **7 khoản checklist đánh-số KHÔNG được trả lời ⇒ tất cả GIỮ SLOT TREO** (không suy diễn "im lặng = đồng ý" cho bất kỳ khoản nào): (1) FLAG-4 "Đã duyệt" HĐ · (2)=(51-bis) `_INDEX` cicd 99,2%/167B a/b/c + nợ pointer #424 · (3) Bảng↔Bản cứng · (4) Hộp thư hoa · (5) 6 FLAG-L park · (6)=(46) thước 17,1K (dữ kiện mới: hook kêu ×3 @S160) · (7) slot cũ (42)(43)(44)(47)(48). "Tạm thời" trong lời anh = các điều chỉnh có thể còn được rà lại — không phải ratify vĩnh viễn.
+
+→ Run-trace: `.claude/workflows/runs/2026-07-29-S159-bookend-open/` · `.claude/workflows/runs/2026-07-29-S159-tong-quan-pipeline-menu/`

docs/gotchas.md

@@ -1366,6 +1366,14 @@ for h in resp.points:    # ← .points không phải iterable trực tiếp
 
 **Fix:** (1) Outward artifact mời-reproduce: trích **bảng per-lane theo run-id** (bất-biến), KHÔNG trích COUNTS tổng; buộc trích tổng → scope rõ "cumulative cả phiên". (2) Internal doc đông-cứng số tổng = ĐÚNG point-in-time nhưng CẤM thừa-kế nguyên-văn ra thư. (3) Biến-thể số-đếm của bài "acceptance literal tự-lão-hoá" (S121). Reviewer-gate G-015 bắt; em-main-solo sót.
 
+### 84. Sửa data tay trên prod bị code-path ungated @restart ĐẢO NGƯỢC im lặng — revoker 2 chiều (Session 159)
+
+**Triệu chứng:** S159 đợt-2 grant menu 4-GĐ bằng SQL tay trên prod (494 row canread) → deploy kế restart pool → cicd mục-9 đo lại chỉ còn **47/494** (Admin 38 + Procurement 9): `RevokeTemporarilyHiddenModulesAsync` (nhánh ẩn-module [S92], **ungated, chạy MỌI restart**) lật 447 row về `false`. Grant "thành công" sống đúng tới lần restart kế — không lỗi, không log phía người sửa.
+
+**Cơ chế — 2 CHIỀU của cùng một lớp lỗi:** DbInitializer chạy mỗi boot có cả 2 loại code-path ngược nhau: (a) **seeder grant `skip-existing`** — chỉ insert row THIẾU, KHÔNG nâng row `false` sẵn có ⇒ xóa/hạ tay sẽ KHÔNG được seed lại đúng kỳ vọng "seeder tự chữa" (mặt này là gotcha #75/#76); (b) **revoker ungated** — lật XUỐNG mọi row khớp điều kiện ⇒ grant tay bị nuốt @restart (mặt mới S159). Hệ quả chung: **MỌI thay đổi permission/menu tay trên prod đều tạm thời nếu tồn tại code-path @startup theo hướng ngược** — phải grep DbInitializer cả 2 hướng (Seed* VÀ Revoke*) trước khi tin thao tác tay là bền.
+
+**Fix:** (1) Đổi trạng thái menu/permission = **code-first qua seeder + deploy**, KHÔNG SQL tay (S159 đợt-3 gỡ nhánh [S92] khỏi revoker rồi mới regrant). (2) Muốn chứng "fix bền": khuôn **3-chân-kiềng** — (i) chứng restart THẬT (`w3wp` StartTime in-window + dòng đầu log mới), (ii) đo chỉ-số đích SAU restart, (iii) **control ÂM chứng checker còn sống** (`Hrm/Off/Personal` non-Admin vẫn =0 ⇒ revoker không bị vô hiệu hoá cả hàm — thiếu vế này thì "fix" bằng cách xoá luôn revoker cũng xanh y hệt). (3) Khoá regression bằng test 2-vế `StillHiddenKeys` (false) ∧ `ReopenedKeys` (true) — re-add nhánh là CI đỏ. (4) Comment quanh seeder nêu **LUẬT + lệnh grep tự-kiểm**, CẤM ghi số-đếm (số thành nợ tự-lan — 2 lần lệch trong 1 ngày @S159). Liên-quan: #75/#76 (chiều seeder re-add), #51 (seed gate), #82 (menu-flag ⟂ API-authz).
+
 ---
 
 ## Checklist debug bug mới