[CLAUDE] Docs: S172 closeout — verdict 998ea55 PASS + bookend 5 vòng/11 sub + vá stale

Verdict sản phẩm: `998ea55` (KHKK 3-panel mirror Duyệt NCC) = PASS.
Test-gate #447 644/644 Failed 0 khớp baseline tách-phần Δ0 · bundle 4/4 rotate
khớp log CI tới byte · 2 endpoint MỚI 401 · mig repo 71 = prod 71 set-diff 0/0
hai chiều, tables 97 · smoke 8/8. Không rollback, prod khoẻ.

Chân #44/#85 đóng bằng đo — nấc cũ "credential UAT chết" SAI (tra nhầm account
đời cũ; bộ sống ở HANDOFF slot 64). Phạm vi = 2 tổ-hợp vai
(Drafter+Procurement · CostControl+DeptManager); CHƯA loại nhánh vai thường
khác vẫn 403 — siết 5 site/3 file sau ring2 ESCALATE-1.

Bookend-close 5 vòng / 11 sub → runs/2026-08-05-S172-bookend-close/:
H1 DRIFT 7 · H2 GATE-HOLD 6 · lead-stale 9 FLAG(SÀN)+1 ESCALATE ·
lead-gap 8 FLAG(3 HIGH) · ring1 67/69 · ring2 ĐẠT 17/17 ·
trio MIXED → 2 action/15 bác → MIXED-PASS 50/59 · ctx-audit TRUOT 3 FLAG.

Vá stale @closeout:
- STATUS:479 bundle hash (stale 2 phiên, lần 2 cùng ô) → Ajv-MaCz/YsXRkBSR
- STATUS:6 counter 42→46, deep 2/15→6/15; Recently Done S171-S172
- HANDOFF segment @S172: E-7 + 5 acceptance có nhà (trước đó 0 hit/6 sổ bền),
  carry re-stamp sau 4 phiên bỏ, 4 site neo tuyệt đối (1 site sai DẤU), slot 67-72
- skills/README ×2 ổ số cứng nằm cạnh chính con trỏ B1
- gotcha #87 (mã pre-auth 411/415 trả lời sai câu hỏi authz)
- run.md S171 hết mồ côi (0→4 hit) · 8 dir rỗng mis-land đã dọn
- MIND-3 neo xuất xứ sai 2 trường (ts tương lai + HEAD stale) — ctx-audit F-1

§L.c completeness-gate: vòng 4/5 (V4 không-nhịp) | phép ĐẠT 2 / TRƯỢT 2 / vacuous 0.
2 TRƯỢT cùng một bệnh: S169·S170·S171 chạy xong mà 0 session-log durable.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/HANDOFF.md

@@ -2,13 +2,53 @@
 
 > **Tiering rule (S40):** giữ **2-3 session gần nhất**. Cũ hơn → `docs/changelog/sessions/`. Full brief history pre-S40 → `docs/_archive/HANDOFF-preS40-fullhistory.md`.
 
-**🆕 Last updated:** 2026-08-01 tối (**S163→S168** — phiên-LOGIC **L9** windows 1-6). **Chuỗi SP-002 B0→B4 TRỌN 8/8 wave** [K1 `50e6d8c` · K2 `0779f2d` · K3 `15349e8` · F-1 `7a903cf` · K4a+K4b `88e7ecf` · K5+K4c `ce35f90`+`e202393` · K6 `1c6d77a` · K7 `aaed699` · **K8 dry-run PASS toàn trình 2 nhánh**] + **GĐ3-D `081557b`** (owner slot (63)(b)=D) + **K8-blocker Lines-editor `0bfadc2`** (+5 Fact) + **bộ fixture TEST** `dd7db21` + **bộ dữ liệu fx3** `6918fa9`. cicd **#444 PASS 6/6** · suite **644/0** (45D+599I) · bundle admin `DLRf9TeA`/eoffice `C7TGA4Kn` · Mig GIỮ **71**. Bookend @close 5 vòng/9 vai (2 vai + trio-nấc-3 **chết session-limit ⇒ nợ**). Chi tiết = `docs/STATUS.md` dòng CURRENT + `.claude/WAL.md` + run-trace `runs/2026-07-31-S164-4gd-khkk-fanout/` + `runs/2026-08-01-S168-bookend-close/`.
+**🆕 Last updated:** 2026-08-05 sáng (**S171→S172** — phiên-LOGIC **L10** windows 3-4). **`998ea55` KHKK 3-panel: cicd verdict = PASS** (644/644 · bundle 4/4 rotate · 2 endpoint MỚI 401 · mig set-diff 0/0 hai chiều · smoke 8/8) · chân #44/#85 đóng bằng đo **trên 2 tổ-hợp vai** · bookend-close **5 vòng / 11 sub**. Bundle prod nay **`Ajv-MaCz`/`YsXRkBSR`** · Mig GIỮ **71** · counter **46**. Chi tiết → `docs/STATUS.md` Recently Done S171–S172 + `docs/changelog/sessions/2026-08-05-0900-S172-cicd-verdict-998ea55-close.md` + `.claude/workflows/runs/2026-08-05-S172-bookend-close/`.
+
+---
+
+## 🔴 CHỜ ANH @S172 — ĐÁNH SỐ (trả lời bằng số)
+
+**(67) 🔴 Người SOẠN có được upload file-khi-duyệt không? — CHỈ ANH PHÁN.** Đo trên prod: `test.drafter@` (vai **Drafter+Procurement**, tức người **soạn** phiếu) **qua được** `[Authorize(Policy = "KeHoachKyKet.Update")]` ở `POST /api/contract-signing-plans/{id}/approval-attachments` (trả 400-gọi-tên-field, tức đã qua authz và chạm validator).
+> 🔴 **Chữ của anh, nguyên văn (ảnh 2 @S171):** *"File do **người duyệt** tải lên trong quá trình duyệt"* — discriminator nằm ở **CHỦ THỂ** (ai tải), không ở **BƯỚC** (tải lúc nào). Bản diễn-giải cũ của em (*"spec đặt upload ở bước duyệt"*) làm mất đúng chỗ đó ⇒ anh sẽ phán trên câu sai. `lead-gap-auditor` FLAG-4 bắt.
+
+Nếu ý anh là **chỉ người duyệt**, policy hiện **rộng hơn ý định** ⇒ cần siết `KeHoachKyKet.Update` hoặc thêm guard theo trạm. Nếu soạn-viên cũng được phép thì **không phải bug**, chỉ cần ghi rõ vào spec. Em **không tự sửa** vì đây là ý-định nghiệp-vụ.
+
+**(68) 🔴 Mở class enum `view-claim-broader-than-sample`?** `ring2-audit` ESCALATE-1: em tuyên *"role thường có đủ Read+Update"* dựa trên **2 tài-khoản đều mang vai cấp riêng** (0/2 là user trần) ⇒ **chủ-ngữ rộng hơn tập đã thực-đo**. Em đã siết câu chữ **5 site / 3 file**. Nhưng `ring2` soi cả 11 class trong `lead_self_audit.flag_classes` và **không class nào chứa nổi** kiểu hỏng này (không stale · không thiếu · không bất-đối-xứng) ⇒ nó **nằm ngoài TOTAL** ⇒ **không bao giờ chạm `jump_on_class_repeat`**, dù đã tái diễn ≥3 lần (`claim-stronger-than-work` · `meta-count-blindspot` · ca này). Tiền-lệ đúng cửa: `gap-incident-unrecorded` anh thêm @S143 qua chính đường này. 🔴 Nếu anh gật, phải seed `class_repeat.counts` khoá mới **= 0 cùng nhịp**, kẻo bất-biến `counts ≡ enum` vỡ.
+
+**(69) 🔴 Wire cổng ép-seed C2 vào `/pause.md`?** `lead-gap-auditor` FLAG-6 truy được **cơ chế** vì sao seed bị sót: cổng ép-seed (phép đếm A∖B) **chỉ tồn tại trong `/session-end`**; `/pause.md` = **0 hit** trên cả 5 token. S171 kết bằng `/pause` ⇒ sót seed là **tất yếu cấu trúc**, không phải đãng trí ⇒ **lần 6 sẽ tới ở cửa `/pause` kế**. Em **không tự wire** vì đổi nghi-thức `/pause` là quyết định của anh.
+
+**(70) 🔴 Tách 2 sổ đếm H24 — vì trung thực đang XOÁ streak.** `ring2-audit` A4: em tự khai 2 header stale **trước** khi con-đo soi ⇒ chúng bị xếp §0-bis **ngoài TOTAL** ⇒ máy thấy class có 0 ca ⇒ **reset tally 4→0**. Tức càng tự thú càng xoá được dấu vết class. Đề nghị tách: *số FLAG mới* ⟂ *class nào có ca trong vòng*.
+> 🔴 Kèm một lỗi máy `ring2` cài lại bằng python và chứng được: detector **H24-2 dựng segment từ `marks[0]`**, mà marker `**NEXT anh/em` đầu tiên nằm ở `HANDOFF:90` ⇒ **toàn bộ L1-89 không bao giờ được đọc**, nuốt **12 slug** gồm cả hai khối Carry đỉnh. Detector chấm tuổi trên segment cũ rồi in `[ok]`.
+
+**(71) Nợ harvest ~306 KB — gom hay để ngủ?** `S168-bookend-close` **162.916 B** (9/10 vai) + `S171-khkk-ui-mirror-pe` **143.682 B** (4 vai: invest-cb · impl-be · impl-fe · reviewer×3) + `a2bbcb9`/`b5799fc` (mở từ **S162**, 3 phiên). ⚠️ **KHÔNG** gom `S159-bookend-open` — `ring1-audit` mở 4 vai và chứng **4/4 byte-exact** rằng chữ đã về nhà (dương-giả của detector-theo-TÊN); gom sẽ đẻ entry S159 **trùng trên 10 sổ**.
+
+**(72) `mfe-eval` CHẠY ĐƯỢC nhưng 2 nấc dưới khai chết** — `harness-audit` tự chạy: exit 0, bảng đủ 23 role. Tiền-đề sai đó **ăn trọn lớp-① reinject = 0** và **E3** của `harness-refine`. Datum bị chôn theo: **`implementer-frontend 11/13 = 85%`**, role duy nhất dưới 100%. Cần anh quyết có bật MFE vào nhịp closeout thường xuyên không.
+
+### 🔵 NEXT em @S172 (em tự làm, không cần anh gật)
+
+1. **Nợ E-7 — bảng "cột nào chết, chuyển đi đâu"** cho màn KHKK 3-panel: **8 cột + 6 KpiCard → card 400px**. 🔴 **Lý do bỏ từng cột đã MẤT theo lane FE chết ở lượt trả về** ⇒ **PHẢI soi diff `998ea55` bằng MẮT**, CẤM suy đoán/dựng lại bằng trí nhớ. Nguồn: `git show 998ea55 -- fe-admin/src fe-user/src` + spec `.claude/workflows/runs/2026-08-04-S171-khkk-ui-mirror-pe/spec-khkk-ui-mirror-pe-04-08-2026.md`. *(FLAG-1 HIGH `gap-carry-dropped`: mục này từng có **0 hit trên cả 6 sổ bền**, chỉ sống ở WAL — thứ `§6.4` xoá mỗi closeout.)*
+2. **5 acceptance RUNTIME chờ UAT** (chưa đo được lúc S171 vì DB dev 0 hàng KHKK): (a) màn approvals có dòng **Trả lại** + tên người · (b) `fe-user:8080` ẩn-danh · (c) deep-link `fe-admin:8082` khi menu KHKK bị ẩn · (d) negative-control gỡ fallback `canPe` · (e) khối file **tự ẩn** khi rỗng.
+   ✅ **Nay (a)-(c) đo được** — credential non-admin còn sống: `test.drafter@solutions.com.vn` / `test.approver@solutions.com.vn`, password chung `Test@12345678` (HANDOFF slot 64).
+3. **Vá `run.md` S171 mồ côi** — file có **0 hit** `cicd`/`deploy`/`998ea55` (control-dương `canPe`=1), ledger dừng `[ ] E` ⇒ spawn nào pin `run.md` để nối sẽ không thấy việc đang dở. *(lead-gap FLAG-5 — em đã hứa "@closeout" và **chưa land**, đúng class `dry-run bắt lời-hứa-chưa-land`.)*
+4. **Dọn 8 dir rỗng mis-land class-S54** (7 dưới `runs/2026-08-01-S169-bookend-open/` + `fe-user/.claude`) — git-invisible, `find -type d -empty`.
+5. **Tầng gist ĐÔI** (`harness-refine` E2): 4 vai (cicd · impl-be · inv-cb · reviewer) có **2 họ gist cùng phủ 2026-05**, cả hai `distill-gen: 1`, **0 bản khai canonical** ⇒ một lượt pour sẽ **rót trùng 2026-05 hai lần**. Sửa rẻ = 1 dòng khai canonical.
+6. **`harness-refine` diary disposition** (E4, leo thang lần 2 chưa trả lời): sổ nó đóng băng từ S162 (thiếu S163+S168+S169), mà `:23` vẫn khẳng định *"CHƯA chạy lần nào"* trong khi **11 return nằm trên đĩa** ⇒ chốt-dừng của nó dựng sai. Cần **disposition tường minh**: thi hành, hoặc **HỦY và ghi rõ là hủy**.
+7. **6 site neo tương-đối** (`tooling-auditor` C-1→C-3 + `ring2` mở rộng): `HANDOFF:70` **sai DẤU** · `:62` · slot (65) · `:402` — đã vá 4 site @S172; **2 site còn lại nằm trong `_mind` BẤT BIẾN theo luật** ⇒ khai nợ, không sửa.
+
+**Carry @S172 (RE-STAMP — nghi-thức §L.b(j)(iv); 🔴 bỏ 4 phiên liên tiếp S169-S172, `gap-carry-dropped` nay **10 lượt liên tiếp = 3,3× ngưỡng jump**):** `[carry:e7-cot-chet-khkk]` *(MỚI — ưu-tiên-1, xem NEXT-em #1)* · `[carry:acceptance-runtime-khkk]` *(MỚI — 5 chân UAT)* · `[carry:harvest-no-s168-s171]` *(MỚI — ~306 KB)* · `[carry:tiep-3ter-seed-unwired]` *(🔄 ĐỔI TÊN từ `[carry:ctx-verifier-no-self-append]` @S170 — quy-kết đúng là **wiring của lead**, không phải vai quên ghi; `ring2` F-6 chứng vế "bất-khả-giải" SAI vì `Bash` nằm trong whitelist, nhưng vế "khai read-only ⇒ ghi = residual-write vi-phạm" ĐÚNG)* · `[carry:ctx-t9-dogfood]` · `[carry:ring5-audit-gap]` · `[carry:hmw-width-vs-roster]` · `[carry:hmw-subfile-index-collision]` · `[carry:synthesis-roll-s159-s160]` · `[carry:harvest-orphan-s159-tongquan]` · `[carry:endline-sub-md]` · `[carry:tra-bui-relogin]` · `[carry:mind-tran-nen-moi-cua]` · `[carry:tiep-reload-underfill]`.
+> 🔴 **Slug cũ `[carry:ctx-verifier-no-self-append]` còn 2 hit trong file này** (segment cũ, BẤT BIẾN theo tiering) — `ring2` G-2 đo: slug mới trước lượt này = **0 hit**, tổng `[carry:*]` = 247 (control-dương). Từ segment này trở đi dùng **tên mới**.
+
+---
+
+🧊 **Segment cũ (S163→S168, phiên-LOGIC L9) — giữ nguyên, KHÔNG đọc làm hiện-hành:**
+
+**Last updated:** 2026-08-01 tối (**S163→S168** — phiên-LOGIC **L9** windows 1-6). **Chuỗi SP-002 B0→B4 TRỌN 8/8 wave** [K1 `50e6d8c` · K2 `0779f2d` · K3 `15349e8` · F-1 `7a903cf` · K4a+K4b `88e7ecf` · K5+K4c `ce35f90`+`e202393` · K6 `1c6d77a` · K7 `aaed699` · **K8 dry-run PASS toàn trình 2 nhánh**] + **GĐ3-D `081557b`** (owner slot (63)(b)=D) + **K8-blocker Lines-editor `0bfadc2`** (+5 Fact) + **bộ fixture TEST** `dd7db21` + **bộ dữ liệu fx3** `6918fa9`. cicd **#444 PASS 6/6** · suite **644/0** (45D+599I) · bundle admin `DLRf9TeA`/eoffice `C7TGA4Kn` · Mig GIỮ **71**. Bookend @close 5 vòng/9 vai (2 vai + trio-nấc-3 **chết session-limit ⇒ nợ**). Chi tiết = `docs/STATUS.md` dòng CURRENT + `.claude/WAL.md` + run-trace `runs/2026-07-31-S164-4gd-khkk-fanout/` + `runs/2026-08-01-S168-bookend-close/`.
 
 ## 🔴 CHỜ ANH @S168 — ĐÁNH SỐ (trả lời bằng số)
 
 **(64) 🔴 Gắn 2 user TEST vào quy trình duyệt qua Designer — CHỈ ANH LÀM ĐƯỢC** ((54)-FINAL anh chốt *"nếu điều chỉnh, tao sẽ tự tay"*). `TEST Người duyệt` (`test.approver@solutions.com.vn`) hiện có role CostControl+DeptManager nên **thấy** màn duyệt nhưng **không nằm trong trạm nào** ⇒ chưa bấm duyệt thật được. Bộ user test: **`ADMIN_TEST`** (`admin_test@…`, Admin) · `test.drafter@…` (Drafter+Procurement) · `test.approver@…` — **password chung `Test@12345678`** (policy prod ≥12 ký tự). Anh muốn em đổi mật khẩu sau buổi thử thì nói 1 câu.
 
-**(65) 🔴 Nhắn team bỏ qua notification ZZTEST — hạn **2026-08-01**, ĐÃ QUÁ HẠN 2 ngày (phát-hiện @S170 `/tiep` 2026-08-03; bản cũ ghi "HẠN HÔM NAY" = neo tương-đối tự-phá sau nửa đêm — ctx-verifier cờ ⑩).** Dry-run + bộ fx3 đã bắn thông báo tới roster THẬT (11 người `KHKK-N4` + trạm HĐ) trong khung 16:12→19:38 ngày 01/08. Mọi bản ghi mang tiền tố **ZZTEST/TEST**. Em **không có kênh Zalo/email** (khai từ B0.iv) ⇒ việc này chỉ anh làm.
+**(65) 🔴 Nhắn team bỏ qua notification ZZTEST — hạn **2026-08-01**, CHƯA LÀM.** *(🧊 lineage neo tương-đối tự thối: "HẠN HÔM NAY" → "QUÁ HẠN 2 ngày" @S170 → thật đã 4 ngày @S172. Bản vá @S170 **tự cảnh-báo class đó ở vế sau mà lại đẻ ra một neo tương-đối MỚI** — `tooling-auditor` C-1. Neo tuyệt-đối từ nay: sửa "2"→"4" là tái phạm cùng class.)* Dry-run + bộ fx3 đã bắn thông báo tới roster THẬT (11 người `KHKK-N4` + trạm HĐ) trong khung 16:12→19:38 ngày 01/08. Mọi bản ghi mang tiền tố **ZZTEST/TEST**. Em **không có kênh Zalo/email** (khai từ B0.iv) ⇒ việc này chỉ anh làm.
 
 **(66) Dọn HĐ ZZTEST trên prod — chờ anh gật.** 2 HĐ `ZZTEST-K8/…/01` + `ZZTEST-K8-2/…/01` đều **DaPhatHanh** ⇒ guard numeric chặn xóa qua API (HỐ-1). Lối thoát = `sqlcmd` soft-delete + NULL lại `Line.ContractId`/`pe.ContractId`, lệnh sẵn ở `sub-k8-dryrun.md` §B15. Backup pre-K8 27,8 MB đã có (`C:\Backups\SolutionErp\SolutionErp_preK8_S168.bak`). Giữ nguyên cũng được (có tiền tố, không lẫn HĐ thật) — **anh chọn**.
 
@@ -67,7 +107,7 @@
 4. **Luật END-line** cho mọi `sub-*.md` (`END <slug> — VERDICT=<…>`) — F-03: `ship-synthesis` trích `SHIP-READY` mà sub-file **0 hit** chuỗi đó.
 5. `agents/README.md:242` tự xưng "ĐỦ roster" liệt **20 tên** / thật **23** (thiếu đúng bộ-ba `ctx-*`, sống 9 nhãn phiên) + "10 monitor" / thật **13**. *(lead-stale FLAG-11/12)*
 6. `CLAUDE.md:62/:69` danh-sách mig thiếu 68+69; `_context-s-8` PAUSE-3 ghi menu "135→142" trong khi cicd đo **142→142 (0 row thêm)** — file này nằm trong `tiep_reload.sources` ⇒ **sai số tái sinh mỗi `/tiep`**. *(FLAG-13/15)*
-7. Monthly drift-audit **2026-08-01 (2 ngày nữa)** + re-sync `measured{}` — 🔴 6 vai (3 ctx + 3 ring) **KHÔNG có baseline** ⇒ "delta 0" với chúng = **chưa từng đo**.
+7. Monthly drift-audit **hạn 2026-08-01 — CHƯA LÀM** + re-sync `measured{}` (nay **17/23**) — 🔴 6 vai (3 ctx + 3 ring) **KHÔNG có baseline** ⇒ "delta 0" với chúng = **chưa từng đo**. *(🧊 câu cũ ghi "(2 ngày nữa)" — **sai DẤU**, đặt hạn ở tương lai trong khi đã quá khứ; `tooling-auditor` C-1 bắt @S172. Neo tuyệt-đối từ nay, cấm đếm ngày.)*
 
 **Carry @S162 (RE-STAMP — nghi-thức §L.b(j)(iv), bỏ 2 kỳ liên tiếp S159+S160 nên `gap-carry-dropped` lên streak 8):** `[carry:ctx-t9-dogfood]` · `[carry:ring5-audit-gap]` · `[carry:hmw-width-vs-roster]` · `[carry:hmw-subfile-index-collision]` · `[carry:ctx-verifier-no-self-append]` *(MỚI @S162 — F-01, 3 phiên liên tiếp lead-seed)* · `[carry:synthesis-roll-s159-s160]` *(rẻ — đổi-tên/roll file synthesis đã có)* · `[carry:harvest-orphan-s159-tongquan]` *(thật — đọc-gom folder tổng-quan)* *(2 slug này = TÁCH từ `[carry:orphan-retro-harvest-s159]` @S164 theo lead-gap INFORM-G1: chữ "retro-harvest" gộp làm nợ TRÔNG đắt hơn thật → dễ bị hoãn mãi; anh đã chốt @S163 "bỏ mạch" nên đây là nợ ngủ, tách để phần rẻ khỏi bị phần đắt kéo)* · `[carry:endline-sub-md]` *(MỚI)* · `[carry:tra-bui-relogin]` · `[carry:mind-tran-nen-moi-cua]` *(MỚI — slot 58)* · `[carry:tiep-reload-underfill]` *(MỚI — slot 59)*. *(khối re-stamp cũ giữ nguyên hiệu lực — con-trỏ ĐÚNG ĐỐI-TƯỢNG: khối gốc **26 slug** nằm ở segment **S151** dòng `Carry MỞ re-stamp @S151`; tại S152 còn **23 giữ / 3 đóng**. Câu cũ ghi "26 slug re-stamp @S152" SAI đối-tượng — lead-gap FLAG-1 @S163 nhường turf, 0 vai nhặt, lead thu-về @S164. KHÔNG chép slug để tránh drift.)*
 

docs/changelog/sessions/2026-08-05-0900-S172-cicd-verdict-998ea55-close.md

@@ -0,0 +1,135 @@
+# S172 (2026-08-05) — nối L10 window-4: chốt verdict deploy `998ea55` + đóng chân #44/#85 + closeout
+
+> Phiên vào bằng `/tiep` (nối L10 sau `_pause-1` window-3 lúc 2026-08-04T20:20). **KHÔNG có bookend @open** ⇒ trio memory chạy bù @close (§L.b(k)(i)).
+
+run=2026-08-05-S172-bookend-close
+run=2026-08-04-S171-khkk-ui-mirror-pe *(run của S171, phiên này nối tiếp để đóng verdict — không phải run sinh mới)*
+
+---
+
+## 1. Cửa vào `/tiep` — Sàn-3 sạch
+
+| Tín-hiệu | Kết quả |
+|---|---|
+| ① orphan run-folder (DUAL-ACCEPT) | kêu **4** — 3 legacy bookend/pipeline + 1 run S171 đang mở; probe độc lập `run-chua-gom 4` corroborate |
+| ② commit ≠ `wal:` chưa push | im |
+| ③ `closing:` treo | im |
+| ④ `wal:` chạm `runs/` | kêu (đúng kỳ vọng — có việc dở) |
+| ⑤ `wal:` chạm `sessions/` | kêu (đúng kỳ vọng) |
+| ⑤b ORPHAN-L (đĩa) | **0** — p=1 ≤ tiep=2, cân sổ |
+
+WAL có ô `[!]` sống ⇒ **không phải ca "sổ trống ≠ sạch"**. `verify:` **5/5 KHỚP**. tick 45→46 (S171→S172, clean). `mind-check` 11Đ/0T. Biên-nhận `_tiep-3.md` (window-ordinal 4).
+
+**1 lệch đã vá (ground-truth thắng WAL):** dir rỗng mis-land **7 → 8** — thêm `fe-user/.claude` (cwd-relative class-S54). Không tính 4 dir build/IDE (`.vs/sd`, 2× `obj/*/staticwebassets`).
+
+## 2. `ctx-verifier` (vai-2 vòng Ctx) — `NAP-LAI-SAN-SANG — 9 cờ`
+
+Cờ đắt nhất (**cờ-2**): `run.md` của run S171 có **0 hit** cho `cicd`·`deploy`·`push`·`commit`·`998ea55`·`#446/#447` (6 từ khác nhau) trong khi **control-dương `canPe`=1 trong chính file đó** ⇒ phép grep không rỗng ⇒ `cicd-verify-998ea55.md` **mồ côi ngay trong run-folder của nó**, ledger dừng `[ ] E`.
+
+> 🔑 **Class mới: mồ-côi-trong-chính-nhà-mình** — khác con-trỏ-thối. Path đúng, file đúng, **chỉ thiếu người trỏ VÀO**. Là đảo chiều của inbound-pointer check (S166). Hệ quả thực tế: spawn nào PIN `run.md` để nối việc sẽ **không thấy việc duy nhất đang dở**.
+
+Cờ khác: **số đếm tương-đối tự thối** ("thư day-wake 1 món" thật 5; "quá hạn 3 ngày" viết 08-04 nay là 4) · STATUS §CURRENT còn "S161→S168 L9" ⇒ **đừng đọc STATUS làm bản-đồ hiện-hành giữa phiên** · khoản-4 SẠCH (chạm đĩa kiểm 5/5 chú-thích byte khớp).
+
+Delta: `mind_ctx_kb`=48 ⇒ `_mind` 27.519/49.152 = **56,0%** ⇒ luật "nén xong trước pause" (S166/S168) **hết hiệu lực** tới ít nhất MIND-4.
+
+## 3. `cicd-monitor` nối Stage 3·4·4b·5 — **VERDICT = PASS**
+
+Return **#53-garble** ("Writing Stage 5 + Verdict") nhưng **đĩa cứu trọn**: `cicd-verify-998ea55.md` 10.156 → **24.096 B**, `grep -c '_(chờ đo)_'` = **0**.
+
+| Chân | Kết quả |
+|---|---|
+| Test gate #447 | **45/45 + 599/599 = 644**, Failed 0, Skipped 0 — khớp baseline **tách-phần**, Δ0 (commit chạm 0 file test) |
+| Ship FE ×2 app | 4/4 hash rotate · size khớp log CI **tới byte** · LM trong cửa-sổ · hash cũ rơi `text/html` |
+| 2 endpoint MỚI | cả hai **401** (không 200 ⇒ không lỗ hổng authz; không 500 ⇒ không hỏng deploy) |
+| Migration | repo 71 = prod 71 · **set-diff `comm -23`/`comm -13` = 0/0 HAI CHIỀU** · tables 97 |
+| Smoke prod | 8/8 |
+
+**3 nghề mới tái dùng được:** (a) **Stage 3b cặp đối-chứng miễn phí** — #446 vs #447 khác **đúng 1 commit** ⇒ cô lập nhân-quả, thay được `git worktree` đã fail · (b) **bẫy 415 = họ hàng bẫy 411** — POST `application/json` vào endpoint multipart bị loại ở **action-selection, TRƯỚC authz** ⇒ 415 vô nghĩa cho câu hỏi authz, phải re-probe đúng dạng · (c) **wire-proof mạnh hơn 401 = thông-điệp-lỗi gọi tên field** — 400 liệt `ContractSigningPlanId` + whitelist đuôi file ⇒ chứng binary MỚI đang phục vụ, mạnh hơn đo `w3wp` StartTime.
+
+🔴 **2 vế giữ tách, cấm nén:** ✅ *không hồi-quy do S171* (cặp #446/#447 khép kín) ⟂ ❌ *flake pre-exist* **vẫn chưa chứng** — nay **0/4 log CI** tái hiện.
+
+## 4. Lead đóng chân #44/#85 mà `cicd-monitor` bỏ ngỏ
+
+Sub kết `nv.test@` login 401 ×2 ⇒ *"credential UAT chết trên prod, KHÔNG ĐO ĐƯỢC"*. **Sai** — không phải credential chết mà **tra nhầm sổ**: bộ đang sống nằm ở `docs/HANDOFF.md` slot **(64)** (`test.drafter@` · `test.approver@`, `Test@12345678`).
+
+Lead đo bằng bearer non-admin: list **200** · `changelogs` **404 KHÔNG 403** · `approval-attachments` (multipart) **400 gọi tên field** · CTRL-ÂM route bịa **404**.
+⇒ **2 tổ-hợp vai đã đo** — `Drafter+Procurement` (`test.drafter@`) và `CostControl+DeptManager` (`test.approver@`) — **có đủ** `KeHoachKyKet.Read`+`Update` (4/4 probe, CTRL-ÂM 404). 🔴 **CHƯA LOẠI** nhánh *"một vai thường KHÁC (vd `Employee` trần) vẫn 403"* ⇒ **#85 không tái phát TRÊN 2 TỔ-HỢP NÀY**, **chưa phải kết-luận toàn-cục**. Phép này mạnh hơn §6.3 của sub ở chỗ chạm được bearer **non-admin**, không phải ở chỗ phủ hết vai.
+
+> 🧊 **Bản đầu của mục này viết *"role thường có đủ … ⇒ #85 KHÔNG tái phát"* + *"đúng role người dùng thật"* — CẢ HAI VẾ RỘNG HƠN MẪU.** Mẫu = **2 tài-khoản**, và slot (64) khai **0/2 là user trần** (`test.approver@` còn *"KHÔNG nằm trong trạm nào"* ⇒ không đại-diện "người dùng thật"). `ring2-audit` bắt (ESCALATE-1), lead siết **cả 5 site / 3 file cùng lượt** — sửa lẻ tẻ là tự đẻ `view-residual-asym` cho vòng sau.
+> 🔴 **Bài rút ra — kiểu hỏng THỨ TƯ, enum ĐÓNG chưa có ô:** không stale · không thiếu · không bất-đối-xứng, mà **SUY-LUẬN VƯỢT MẪU** (chủ-ngữ kết-luận rộng hơn tập đã thực-đo). Vì nằm ngoài enum nên nó **không bao giờ chạm `jump_on_class_repeat`**. Đề-nghị owner mở class **`view-claim-broader-than-sample`** (0/11 va-chạm từ-vựng; phải seed `class_repeat.counts` khoá mới = 0 **cùng nhịp**, kẻo bất-biến `counts ≡ enum` vỡ). Tiền-lệ đúng cửa: `gap-incident-unrecorded` owner thêm @S143 qua chính đường này.
+
+> 🔑 **LUẬT rút ra:** trước khi khai *"KHÔNG ĐO ĐƯỢC"*, phải trả lời **"đã tra hết sổ có sẵn chưa?"** (HANDOFF · STATUS · run-folder). Cùng lớp `feedback_mechanism_right_data_absent` — cơ-chế đúng, dữ-liệu tưởng không có nhưng thật ra có, chỉ nằm chỗ khác.
+
+⚠️ **Câu hỏi MỚI đẻ từ chính phép đo (chờ owner phán, KHÔNG phải bug):** `test.drafter@` (người **soạn**) cũng qua `KeHoachKyKet.Update` ⇒ soạn-viên upload được file-khi-duyệt, trong khi spec 3-QĐ đặt upload ở bước **duyệt**. Policy có thể rộng hơn ý định.
+
+## 5. Thư cross-project — kéo 5, KHÔNG áp
+
+`se=0 all=5`. **Đính chính số:** phép đếm thô đầu tiên ra **56**, sai vì bỏ qua **watermark `outbox/all` ≤ 2026-07-15** (51 file lớp đã-adopt-đọc-tại-chỗ, vắng mặt trong inbox là BÌNH THƯỜNG). Số đúng = **5**.
+
+`stamp_verify.py` **5/5 OK canonical match**. 🔴 Phép hash tôi tự chế lúc đầu ra "4/4 không khớp" — đó chính là bẫy **FALSE-TAMPER** mà `check-email.md:70` đã ghi tên sẵn (mẫu quote-strict whiff ngay dấu `"`). Bài: **script canonical có sẵn thì đừng chép tay lệnh rút hash.**
+
+Gói `2026-08-04-Governance-upgrade-pack-phased-*` (4 món, 120 KB): `status: DRAFT` · `reviewer_gate: PENDING` · mô hình opt-in ("kéo về nếu muốn") · hub tự khai *"cả sáu lượt chấm chéo đều KHÔNG ĐẠT ở lần đầu"*. ⇒ **KHÔNG tự áp** — đẩy chờ-anh. Thư còn nói rõ: khai `không áp dụng` kèm lý do **là kết luận hợp lệ**.
+
+## 6. Datum memory-system: 2/2 sub KHÔNG tự ghi
+
+| Vai | mtime MEMORY.md | `grep -c S172` | Xử |
+|---|---|---|---|
+| `ctx-verifier` | 2026-08-01 16:10 | 0 | lead seed on-behalf **gộp S171+S172** (S171 cũng bị sót) |
+| `cicd-monitor` | 2026-08-01 17:23 | 0 | lead seed on-behalf |
+
+🔴 **Giả-thuyết "bệnh riêng `ctx-verifier`" YẾU ĐI:** `cicd-monitor` **có Write/Edit thật** trong tools mà cũng 0 đường ghi. Carry `tiep-3ter-seed-unwired` cần đọc lại ở phạm vi rộng hơn 1 vai.
+
+C2 checklist (§L.b(j)(ii-ter)3-bis) làm đúng việc của nó: cột-A∖cột-B = {cả 2} ⇒ **ép seed trước commit chốt**, thay vì trông vào trí nhớ như M9 (đã rớt 3 lần S153·S158·S162).
+
+## 7. memory-triple + do-record
+
+```
+memory-triple: do=scripts/measure-agent-memory.ps1 · exit 0 (23 agent, over30kb=0, zero-byte=0)
+memory-triple: de-xuat=scripts/memory-archive-gate.ps1 DRY · exit 0 (A7 PASS 429/429/0)
+memory-triple: kiem=harness-audit · (xem harness-audit-return.md)
+memory-triple: do-record=governance-detectors TOTAL=48 (INFORM-only 21 riêng, self-match 0)
+memory-triple: do-record=NHIP-NO: kiem light 2/6 deep 6/15 ok | tran-bo-nho 0 over-cap l2idx 0 over | run-chua-gom 4 | pull-cach 14 ngay
+```
+
+## 8. Test gate local
+
+`dotnet test SolutionErp.slnx` → **45 + 599 = 644, Failed 0, Skipped 0**. 🔸 Flaky `Create_DifferentEvaluationType_DoesNotAffect_Other` **không nổ** lượt này dù chạy đúng điều kiện hay nổ (2 project cùng lượt). Datum mới, **không** chứng flake đã hết (cùng logic vắng-mặt-bằng-chứng).
+
+## 9. Vòng Ctx @close — `ctx-audit: TRUOT — 3 FLAG`
+
+**F-1 (HIGH) — neo xuất-xứ MIND-3 sai CẢ HAI TRƯỜNG.** Lead ghi `ts 09:55:00` (mtime thật **09:53:31** — giờ ở **tương lai**, số tròn khít ⇒ dấu gõ tay) và `HEAD 37f18e9` (thật **`f499d49`** — stale 1 commit + **13,5 giờ**; `37f18e9` là cây **đóng window-3**, **không chứa** 11 spawn mà chính block đó kể). Cơ chế: chép `head-sha` từ `_tiep-3.md`.
+
+> 🔴 **Nặng ở chỗ tái phát:** cùng class `ctx-audit` đã bắt @S169, và **bản vá nằm cách 103 dòng TRONG CÙNG TỆP**. ⇒ **comment-cạnh-chỗ-đau KHÔNG đủ răng** — nó thất bại ngay trong file chứa nó. Đề xuất đúng hướng: thêm 2 phép `$0` vào `mind-check` (`ts` heading vs mtime ±2ph · `HEAD` heading vs `git rev-parse --short HEAD`). Cùng bài với `dry-run bắt lời-hứa-chưa-land`: **luật soi-được thay trí nhớ**.
+
+**F-2 + F-3 — một gốc: chiều ghi đang MỘT chiều.** 8/12 ý §D của MIND-2 rời đi không có dòng disposition — nhưng **8/8 đều có nhà** (WAL · `_context` · HANDOFF slot 67-72) ⇒ **không mất việc**, khác hẳn S158. Lệch thật: §D còn **4** `treo-chờ-anh` vs **9** ở cả 3 sổ kia — lệch **theo hướng trấn an**, trên đúng bề mặt được đọc đầu tiên ở cửa mới. Gốc: lead dựng hàng đợi owner ở HANDOFF/WAL **trong chính closeout này** rồi **không back-propagate về `_mind`**. Đã vá: 3 nhãn + 1 dòng con-trỏ từ §D về hàng đợi đầy đủ.
+
+**2 lần vai BÁC đề-bài của lead vì đo không ủng hộ** (ghi nhận — đây là hành vi đúng): nhãn `tiep-3ter-seed-unwired` `gần-chốt` **ĐÚNG** (ring2 F-6 không bác carry mà *tinh chỉnh quy kết*, và `_mind` chép **cả hai vế** trung thực) · MIND-2 §D là **12 ý** không phải 11.
+
+**ĐẠT:** bất-biến chuỗi (tự đếm đĩa) · block-top có nội dung THẬT · **§E 11/11 spawn, 0 sót** · 3 rào sạch **có control-dương** · kiểm vết vai-2. Vai **tự re-chạy máy thay vì tin PIN — lần 4, và lần này bắt CHÍNH NÓ** (số PIN hết hạn do artifact chính nó ghi ⇒ khai rõ *không tính lỗi lead*).
+
+## 10. §L.c completeness-gate
+
+```
+completeness-gate S172: vong 4/5 chuc-nang (khong-nhip: V4 nen-ngu — shard pending=1/15 => IM) | phep DAT 2 / TRUOT 2 / vacuous 0
+```
+
+| Phép | Kết | Bằng chứng dán vào |
+|---|---|---|
+| **1** tick vs cửa | 🔴 **TRƯỢT** | counter **42→46 (+4)** · proxy L=**2** (`S168 S170`) · session-log sinh trong range = **0**. **Cửa CÂM: S169 · S170 · S171** |
+| **2** dòng-nợ | ✅ **ĐẠT** | `NHIP-NO: kiem light 0/6 deep 6/15 ok \| tran-bo-nho 0 over-cap l2idx 0 over \| run-chua-gom 4 \| pull-cach 14 ngay` |
+| **3** closeout đủ 4 sổ | 🔴 **TRƯỢT** | kỳ `e5123ff..a2b37dc`: STATUS 1 · HANDOFF 1 · **sessions/ = 0** · agent-memory 27 |
+| **4** vai chạy có sổ | ✅ **ĐẠT** | 12/12 vai byte>0 + nhãn S172 (A∖B **rỗng**). `ring4-audit` = **vacuous** (2.315 B, không chạy phiên này) |
+
+🔴 **Hai TRƯỢT cùng MỘT bệnh, và gate đo được QUY MÔ mà FLAG lẻ không đo được:** `lead-gap` FLAG-1 chỉ ra *một món việc* chỉ sống ở WAL; gate chỉ ra **ba phiên liên tiếp (S169·S170·S171) chạy xong mà 0 session-log durable**. S171 là phiên làm trọn KHKK 3-panel + deploy `998ea55` — toàn bộ chỉ nằm ở WAL và run-folder, mà `§6.4` xoá WAL mỗi closeout.
+
+**Đổ vào sổ đích:** cả hai TRƯỢT → `docs/HANDOFF.md` NEXT-em @S172 + `[carry:harvest-no-s168-s171]`; nguyên nhân gốc (nghi thức không ép sinh session-log per phiên) → slot **(69)** cùng cụm với cổng ép-seed `/pause`.
+
+## 11. memory-triple (bổ sung nấc 3)
+
+```
+memory-triple: kiem=harness-audit · MIXED-PASS 50 ĐẠT / 9 TRƯỢT / 59 claim · 6 instrument re-chạy · 23/24 byte-exact
+```
+
+## 12. 🔴 ESCALATE ngoài trục — chờ anh phán
+
+`ctx-audit` nêu: **password tài khoản test đang nằm plaintext trong `docs/HANDOFF.md` + `.claude/WAL.md`** (cả hai **git-tracked**). Đây là bộ user TEST trên **prod**, do chính anh chốt ở slot (64) @S168 để đưa cho người thử. Em **không tự gỡ** vì gỡ sẽ làm slot (64) mất tác dụng — nhưng nêu rõ: nó **đã vào lịch sử git**, nên đổi mật khẩu là biện pháp duy nhất có tác dụng nếu anh muốn đóng. Cùng họ với món `vrapp` đang treo.

docs/gotchas.md

@@ -1386,6 +1386,18 @@ for h in resp.points:    # ← .points không phải iterable trực tiếp
 
 **Đo trước khi tin:** Dev DB 13/13 role đều có `Contracts=1 ∧ KeHoachKyKet=1` ⇒ ca này **chưa lộ**; nó chờ đúng 1 lần chỉnh ma-trận quyền. Lớp lỗi "chưa vỡ vì dữ-liệu hiện tại may mắn" phải vá ngay, không đợi triệu chứng.
 
+### 87. Mã lỗi PRE-AUTH (415/411) trả lời SAI câu hỏi authz — phải re-probe đúng dạng body (Session 172)
+
+**Triệu chứng.** Probe endpoint MỚI để kiểm quyền: `POST /api/contract-signing-plans/{id}/approval-attachments` với `Content-Type: application/json` ⇒ **415**. Đọc thành *"route tồn tại nhưng authz chưa wire"* hoặc *"deploy hỏng"* — **cả hai đều sai**.
+
+**Cơ chế.** Endpoint nhận **multipart** (upload file). Content-type mismatch bị loại ở tầng **action-selection**, tức **TRƯỚC** authorization filter ⇒ request **chưa bao giờ chạm** `[Authorize(Policy = …)]`. Cùng cơ chế với **411 Length Required** của IIS ở `POST /hubs/notifications/negotiate` bodyless (họ hàng #25). Gửi đúng multipart ⇒ **401**; kèm bearer ⇒ **400 liệt tên field** (validator MỚI đã chạy).
+
+**Luật.** Mã pre-auth (**411 · 415**) là **vô nghĩa cho câu hỏi authz** — nó chỉ chứng *route tồn tại*. Muốn đọc được authz thì **re-probe đúng dạng body**, rồi mới tin 401/403.
+
+**Bonus — wire-proof mạnh hơn 401.** `401` chỉ chứng route + có gác. **`400` mà thân lỗi GỌI ĐÚNG TÊN FIELD** của command MỚI (kèm whitelist đuôi file) chứng end-to-end **Api → Application** rằng **binary mới đang phục vụ** — mạnh hơn cả đo `w3wp` StartTime. Dùng làm ship-proof khi hash-delta không đủ.
+
+⚠️ **Kèm bẫy phạm-vi (cùng phiên):** probe bằng **2 tài-khoản test** rồi kết luận *"role thường có đủ quyền"* là **suy-luận vượt mẫu** — cả 2 đều mang vai cấp riêng, không cái nào là user trần ⇒ nhánh *"vai thường khác vẫn 403"* (chính hình dạng gốc của **#85**) **chưa bị loại**. Phát biểu kết luận **đúng bằng tập đã đo**.
+
 ### 86. Hai push sát nhau — Gitea auto-CANCEL run đầu: CANCELLED ≠ FAIL, verifier đọc run CUỐI của range (Session 167)
 
 **Triệu chứng:** K7 `aaed699` push xong, governance `628132c` push sát sau. Run Gitea Actions của `aaed699` chuyển **CANCELLED** → tra run theo commit thấy như deploy fail, trong khi **K7 ĐÃ LIVE**: ship qua run **#442** của push sau (checkout HEAD ⊇ K7). cicd-K7 verify artifact-level xác nhận: bundle rotate ×2 app + marker 8/8 + seeder log `"0 added + 2 upgraded"` + CanCreate 1→3 — live sạch.
@@ -1431,3 +1443,4 @@ for h in resp.points:    # ← .points không phải iterable trực tiếp
 32. Nếu thao tác theo-email/code trên data prod (lock/seed/migrate) trả 0 row affected → DUMP bảng env đích trước khi nghi code — population Dev ≠ prod (seed silent-fail `IdentityResult` không throw) (#60)
 33. Nếu thêm enum value vào entity DÙNG-CHUNG mà UI/guard phân-loại sai (file lẫn section / false-pass guard) → grep MỌI predicate field-proxy (`supplierId===null`...) loại value mới + build-verify TỪNG app riêng (#71)
 34. Nếu Gitea Actions run CANCELLED ngay sau khi push 2 commit sát nhau → auto-cancel cùng-branch: đọc run CUỐI của range + verify artifact-level (bundle/marker/seeder-log), KHÔNG đọc CANCELLED thành deploy-fail; side-effect @startup chỉ chạy 1 lần cho cả cụm (#86)
+35. Nếu probe endpoint để hỏi **authz** mà nhận **415/411** → đó là mã **PRE-AUTH**, vô nghĩa cho câu hỏi authz: request bị loại ở tầng **action-selection / IIS** TRƯỚC authorization filter. Re-probe đúng dạng body (multipart cho endpoint upload; có body cho SignalR negotiate) rồi mới đọc 401/403 (#87)