solution-erp/.claude/workflows/runs/2026-07-31-S164-4gd-khkk-fanout/sub-reviewer-gate-k4a.md

GATE-K4A: PASS-WITH-FLAGS 4

Gate K4a — adversarial review wave K4a (49 row menu KHKK 8-nhóm)

• Spawn: S166 2026-08-01, HEAD 7a903cf, diff CHƯA commit.
• Artifact ghi TỪNG MỤC (anti-#53). Dòng-1 = verdict.

Mốc đo (neo — sẽ re-đo trước verdict, bài S166 cây-phình)

• HEAD THẬT lúc review = ce15c64 ("wal: flush 20260801T0914"), KHÔNG phải 7a903cf như đề bài. Đã kiểm git show --stat ce15c64: chỉ chạm .claude/** (WAL + agent-memory + run-folder) ⇒ KHÔNG có code src/fe lọt vào commit đó. Đề bài lệch 1 commit governance = vô hại, ghi để neo.
• git diff --stat -- src fe-user fe-admin @T0 = 6 file, +213 / −5.
• git status --porcelain -- src fe-user fe-admin tests @T0 = 6 M + 1 ?? (tests/SolutionErp.Infrastructure.Tests/Application/KhkkGroupMenuSeedTests.cs) — khớp kỳ vọng 7 file.
• Ngoài scope code: 5 file .claude/** M (memory/run-folder/session-counter) — KHÔNG tính cây-phình code, nhưng lead PHẢI git add có chọn lọc (đừng git add -A kéo .session-counter.json vào commit code).

Mục 7 — thứ tự static initializer (ĐO)

MenuKeys.cs: KhkkGroupNumbers :72 → KhkkLeafActions :73 → KhkkGroup/KhkkLeaf :76-77 → KhkkGroupMenuKeys :81-84 → spread .. KhkkGroupMenuKeys trong All :244. Thứ tự văn bản ĐÚNG. Nếu ai dời khai báo xuống dưới All: spread mảng null → NRE trong static ctor → TypeInitializationException ở BẤT KỲ truy cập MenuKeys.* ⇒ T1+T2 (và ~mọi test chạm MenuKeys) ĐỎ. ⇒ có răng, tuy răng là "nổ" chứ không phải assert-đẹp. PASS.

Mục 6 — vá-10/11/13 (comment) — ĐO

• Vá-13 1893: grep -n 1893 DbInitializer.cs = 0 hit; grep -rn 1893 src/ chỉ ra file .dll nhị phân (nhiễu, không phải mã nguồn). 2 comment đã trỏ :2162-2179 + mỏ neo existingItems.TryGetValue. Kiểm neo mới: existingItems.TryGetValue THẬT ở :2164, vòng foreach bắt đầu :2162, added++ kết :2178, đóng ngoặc :2179 ⇒ khoảng trỏ ĐÚNG (chứa trọn nhánh "key đã tồn tại → re-set Order → continue" :2164-2176). PASS.
• Vá-11 revoker: comment :2335-2340 khai "filter chỉ bắt prefix Hrm*/Off* + key Personal ⇒ 0 match Khkk_*" — sẽ verify bằng đọc RevokeTemporarilyHiddenModulesAsync (mục dưới).
• Vá-10 lý-do site-2: comment khai GetMyMenuTreeQuery.cs:96 HasAccess — sẽ verify.

Mục 4 — nhãn 8 nhóm vs transcribe (ĐO BẰNG SCRIPT, không mắt)

So khớp CHUỖI THÔ (==, không chỉ NFC) giữa khkkGroupLabels[2..8] + ("Khkk_G1", …) trong DbInitializer.cs và bảng danh-muc-sp002-transcribe.md:22-29: 8/8 rawEq=True, gồm cả nhóm dài nhất N2 "2. Kết cấu, hạ tầng, phá dỡ & DV hỗ trợ thi công (A2-A3)" (CÓ vế "phá dỡ") và N8 có em-dash — "8. HĐ chưa ủy quyền — CEO (5.2)". Ngoài ra tree.Add("Khkk_G1", …) == labelBackfill["Khkk_G1"] đúng từng ký tự ⇒ DB-trống và DB-đang-chạy hội tụ CÙNG một chuỗi. PASS.

Mục 1 — routes/params fe-user (ĐO TRÊN ĐĨA)

Khớp:

• /khkk/workflow-matrix CÓ route fe-user (App.tsx:83), KHÔNG có fe-admin (:107-110 chỉ list/create/:id) ⇒ lời khai "fe-admin không có WorkflowMatrixViewPage" ĐÚNG.
• filter=ChoDuyet / filter=DaDuyet: FILTER_TO_PHASE (KhkkListPage.tsx:40-46) có ĐÚNG 2 khoá ChoDuyet/DaDuyet — khớp hoa/thường từng ký tự (Record<string,…> ⇒ case-SENSITIVE, sai chữ là ?? null = list không lọc, câm).
• view=deleted: :62 searchParams.get('view') === 'deleted' — khớp chính xác, đổi endpoint sang /contract-signing-plans/deleted.
• Không leaf nào rơi if (!path) return null Ở FE-USER: regex phủ đúng 6 action, mọi nhánh có return.
• Thứ tự query param: queryMatches dựng URLSearchParams 2 phía rồi so theo KHOÁ ⇒ thứ tự không ảnh hưởng. OK.

🔴 FLAG A (MAJOR) — ?group=n KHÔNG AI ĐỌC. Phép đo: grep -rn "get('group')" fe-user/src fe-admin/src = 0 hit; grep -n group WorkflowMatrixViewPage.tsx chỉ ra <colgroup> (:195/:200). Hệ quả đo được, không phải suy diễn:

• /khkk/list?group=5&filter=ChoDuyet trả cùng dữ liệu với group=2 (query key ['khkk-list', {phase, search, page, deletedView}] — không có group; params gửi BE cũng không có).
• /khkk/create?group=5 KHÔNG chọn sẵn nhóm 5.
• /khkk/workflow-matrix?type=10&group=5 bỏ qua group hoàn toàn (:53 chỉ đọc type) ⇒ 7 leaf "Luồng duyệt" của 7 nhóm hiện y hệt nhau: toàn bộ workflow type-10. ⇒ Sau K4a, sidebar có 8 nhóm nhưng nội dung 8 nhóm giống hệt nhau (trừ nhóm 1 vốn cũng vậy). Comment Layout.tsx:196-199 CÓ khai đúng bản chất ("?group= là DANH TÍNH điều hướng, không phải bộ lọc") ⇒ đây là khai-báo-thật, không phải claim sai; nhưng nó là trạng-thái người dùng NHÌN THẤY và chưa thấy dòng nào trong artifact 3 lane nói "K4a giao 8 nhóm rỗng-lọc". Cần lead/owner dispose tường minh (giống FLAG-3) TRƯỚC khi commit, kèm chỉ đích wave nào nối (K4b? K5?).

🔴 FLAG B (MAJOR) — 2 mỏ-neo dòng MỚI trong fe-user/Layout.tsx SAI, lệch đúng bằng chính khối vừa chèn. Cùng lớp lỗi mà diff này vừa VÁ ở BE (vá-13 1893), tái phát ở FE trong CÙNG một lượt:

Comment mới nói	Dòng THẬT (đo grep -n)	Lệch
TRANSIENT_QUERY_KEYS (:311) — Layout.tsx:198	:345	+34
MenuLeaf :342 if (!path) return null — Layout.tsx:189	:376 (và :431)	+34
Khối K4a chèn vào fe-user Layout.tsx đúng +34 dòng ⇒ tác giả tính mỏ neo trên bản TRƯỚC khi chèn
chính khối của mình. Đây là mỏ-neo tự-vô-hiệu ngay lúc land, không phải trôi theo thời gian.
Đối chứng: 6 mỏ neo còn lại trong cùng đợt vá ĐỀU ĐÚNG (MenuKeys.cs:77 ✔ · DbInitializer.cs:1960 ✔ ·
khkkGroupLabels :2127-2136 ✔ · labelBackfill:2235 ✔ · GetMyMenuTreeQuery.cs:96 ✔ ·
ContractSigningPlanFeatures.cs:420 regex ^KHKK-N([1-8])$ ✔ · KhkkListPage :61/:62 ✔) ⇒ lệch chỉ ở
đúng 2 mỏ neo TRỎ VÀO CHÍNH FILE ĐANG SỬA. Không chặn chạy, nhưng chính vá-13 vừa chứng loại lỗi này
tốn 1 lượt điều tra.

Mục 6 (tiếp) — vá-8/10/11/15 nội dung có tự-mâu-thuẫn không

• Vá-11 (revoker) ĐÚNG, đã đo: RevokeTemporarilyHiddenModulesAsync :2554-2567 lọc StartsWith("Hrm") || StartsWith("Off") || MenuKey == Personal ⇒ Khkk_G* 0 match. Comment khớp.
• Vá-10 (lý-do site-2) ĐÚNG: GetMyMenuTreeQuery.cs:96 static bool HasAccess(MenuNodeDto n) => n.CanRead || n.Children.Any(HasAccess); ⇒ group KHÔNG cần row của chính nó; đính chính lý-do sai cũ là chính xác.
• Vá-8 (fe-admin isAdminHidden) ĐÚNG: :207-209 thân hàm đúng là return key.startsWith('Ct_') ⇒ lời khai "hàm này CHỈ ẩn Ct_*" khớp đĩa; KeHoachKyKet KHÔNG bị ẩn. Và MenuGroup (fe-admin/Layout.tsx:223-262) render header + container vô điều kiện ⇒ 7 nhóm rỗng THẬT SỰ hiện trên sidebar admin (khớp FLAG-3 lead đã dispose, không phải suy đoán).
• Vá-15 (2 khuôn key trong MenuKeys.cs) ĐÚNG: Ct_*/Pe_* thật sự KHÔNG có trong All (chỉ factory), còn AwV2_*/Khkk_G* có ⇒ mô tả 2 khuôn không tự mâu thuẫn.

Mục 2 — DELTA Menu keys 113 · Policies 452 (ĐO ĐỘC LẬP, không tin test cũng không tin lane)

Phép đo tự dựng (parse MenuKeys.cs, KHÔNG gọi lại bộ sinh — tránh tautology): tách phần tử của All, phân biệt token thường vs token spread, resolve từng const string sang giá trị chuỗi, rồi tự bung 7×(1+6):

• token thường = 64 · resolve được 64/64 (0 token không tra ra hằng)
• spread duy nhất = .. KhkkGroupMenuKeys → bung 49
• |All| = 113 · trùng lặp = 0 (duplicates: [])
• Policies = 113 × 4 = 452, khớp đúng vòng sinh Program.cs:82-89 (foreach menu in MenuKeys.All / foreach action in MenuKeys.Actions / AddPolicy($"{menu}.{action}")), Actions = 4 phần tử (MenuKeys.cs:252). Đây là chỗ DUY NHẤT sinh policy theo menu-key (grep AddPolicy Program.cs = 2 hit, hit còn lại :113 là rate-limit auth-login, không tính). ⇒ 452 = 113×4 ĐÚNG LOGIC SINH, không phải số chép tay. PASS.

STATUS.md (lead vá SAU khi spawn — coi là phần của commit K4a):

• :6 Menu keys 64→113 ✔ khớp máy · Policies 256→452 ✔ khớp máy.
• bảng canonical :470-471 452 + 113 ✔ khớp máy, kèm câu "test T2 đỏ nếu drift" — câu này ĐÚNG (T2 assert HaveCount(113)), tức con số có phép-kiểm-làm-nó-trượt. Đạt cổng nhãn-đo-lường.
• :6 test 614→620 (45D + 575I): file test mới có đúng 6 [Fact] (grep -c = 6) ⇒ số học khớp. Đang chạy dotnet test SolutionErp.slnx để đo tươi (kết quả ghi ở mục 8).
• bảng canonical :465 Mig 71: đếm đĩa src/Backend/SolutionErp.Infrastructure/Persistence/Migrations/ (bỏ .Designer.cs + ModelSnapshot) = 71 ✔ khớp.

🔴 FLAG C (MAJOR) — ô canonical bundle STATUS.md:479 SAI NGAY LÚC VIẾT, đo bằng 2 lệnh curl. Ô mới ghi admin mySTlx42 (css Cf3iCOOv) · user/eoffice CZAYiWWa (css DX1FRk5n). Đo LIVE 2026-08-01 trong lượt review:

Site	STATUS vừa ghi	Đo live (curl | grep assets/index-)	Khớp?
admin.solutions.com.vn (js)	mySTlx42	1yiNV4VH	✗
admin (css)	Cf3iCOOv	Cf3iCOOv	✓
eoffice.solutions.com.vn (js)	CZAYiWWa	DoULfmdT	✗
eoffice (css)	DX1FRk5n	DX1FRk5n	✓

2 css khớp ⇒ phép đo của tôi đang trỏ ĐÚNG site (không phải đo nhầm chỗ). Chỉ 2 hash JS lệch — đúng như chính ô đó tiên đoán ("F-1 7a903cf + K4a push sau đó SẼ rotate tiếp"). Vấn đề: ô này là hàng canonical, và nó đang ghi giá-trị đã chết trong khi giá-trị sống lấy được bằng 1 lệnh curl 25 giây. Sửa rẻ: hoặc thay bằng 2 hash vừa đo, hoặc ghi thẳng "chưa đo lại sau 7a903cf" thay vì để hash cũ đứng ở ô canonical. (Đây là ca claim mạnh hơn việc đã làm — nhãn "FROZEN-hợp-lệ K3" đọc như đã-xác- nhận, nhưng thứ được xác nhận là mốc K3, không phải trạng thái prod lúc commit.)

Mục 3 — vá-4/12: diff có CHẶN phép đo prod không?

Không chặn. Đo từng vế:

• A4 (SELECT DISTINCT MenuKey FROM Permissions WHERE MenuKey LIKE 'Khkk%' ⊆ MenuItems.Key): mọi key được grant đều có menu-row — site-1 cấp theo MenuKeys.All (113 key, invariant T6 K1 phủ), site-2 cấp KhkkKeys() = 7 key G1 (có row cứng ở tree initializer) + 49 key mới (có row từ vòng seed mới) ⇒ tập grant ⊆ tập row by-construction. Không có đường sinh Permission cho key không-row.
• A5 (restart ×2 → Khkk% = 56 row): 7 + 49 = 56; không key nào khác bắt đầu bằng Khkk (AwV2_KhkkN* bắt đầu bằng AwV2) ⇒ phép đếm LIKE 'Khkk%' sạch, không nhiễu.
• ⚠️ Bẫy CHO LANE CICD, không phải lỗi của diff: MenuItems có 2 cột override (MenuItem.cs: IsVisible mặc định true, DisplayLabel nullable — Mig 27). Seeder không bao giờ ghi 2 cột này (grep DisplayLabel DbInitializer.cs = 0 hit) ⇒ 49 row mới sinh ra IsVisible=true, DisplayLabel=null (đúng, hiện được). NHƯNG với Khkk_G1 trên prod: nếu admin từng bấm đổi tên qua PATCH /api/menus/{key} thì DisplayLabel khác null và fe-user render DisplayLabel, không phải Label (GetMyMenuTreeQuery.cs:86-88) ⇒ acceptance đo NHÃN TRÊN UI có thể thấy chữ cũ dù labelBackfill đã đổi Label thành công. ⇒ khi nghiệm thu A5 phải đo Label bằng SQL, và nếu đo trên UI thì kiểm DisplayLabel IS NULL trước. Ghi ra đây để cicd không kết luận nhầm "backfill hỏng".

Mục 8 — idempotent + revoker-proof: test đủ răng chưa?

Đo tươi suite (chính tôi chạy, không tin lane): dotnet test SolutionErp.slnx exit-0 — Domain 45/45, Infrastructure 575/575, tổng 620 PASS / 0 FAIL. Khớp đúng số STATUS :6 ghi (620 = 45D+575I). Con số này có phép-kiểm-làm-nó-trượt và tôi đã chạy phép kiểm đó.

• Site-2 .Concat chạy 2 lần — KHÔNG double-grant. 3 lớp chặn, đọc trên đĩa: ① reviewKeys kết thúc bằng .Distinct() (:2480) ⇒ trong 1 lượt không có key lặp; ② nhánh key đã tồn tại: existingRows.TryGetValue((role.Id, key), …) → non-Pe continue (:2497-2508) ⇒ lượt 2 là no-op; ③ backstop DB: PermissionConfiguration.cs:26 HasIndex(x => new { x.RoleId, x.MenuKey }).IsUnique() ⇒ nếu 2 lớp trên hỏng thì NỔ chứ không âm thầm nhân đôi. PASS.
• T3/T4 có răng cho phần chúng đo: T3 seed ×2 rồi so khkkAfter2.Equal(khkkAfter1) + totalAfter2 == totalAfter1 (đếm TOÀN bảng, không riêng họ Khkk) ⇒ bắt cả nhân-row chỗ khác. T4 đo DB↔DB lấy nhóm 1 làm mốc + chốt trước "6 nhãn nhóm 1 phân biệt" (chống vacuous). T5 dùng ma-trận cùng-ruột-khác-1-biến (G1 có entry backfill tự lành / G2 không có entry giữ chữ hỏng) — đúng cách chứng CƠ CHẾ chứ không chứng kết quả. Đây là bộ test viết tốt hơn mức trung bình của repo.

🔴 FLAG D (MAJOR) — bất-biến DUY NHẤT từng vỡ trên prod lại là bất-biến KHÔNG có test. RevokeTemporarilyHiddenModulesAsync không đụng Khkk_* — tôi đã verify bằng mắt trên LINQ (:2554-2567, chỉ Hrm/Off/Personal) và comment vá-11 khai đúng. Nhưng:

• Không test nào khoá điều đó. Thêm 1 chữ || p.MenuKey.StartsWith("Khkk") vào bộ lọc ⇒ 620/620 vẫn XANH, còn thực tế 49 row CanRead vừa cấp bị lật sạch ở lần restart kế.
• Đúng kịch bản đã xảy ra THẬT và được chính comment :2558-2565 dẫn lại: Run #423, "447/494 row rơi, 11/13 role về 0".
• Khuôn có sẵn, rẻ: AdminOnlyModulesRevokeTests.cs:188 Revoke_DoesNotTouch_PeModule — mirror thành Revoke_DoesNotTouch_KhkkGroups là xong.
• T3/T4/T5/T6 đều gọi từng seeder lẻ qua reflection, không chạy chuỗi SeedAsync đầy đủ ⇒ thứ tự grant → revoke → site-3 hoàn toàn ngoài vùng test. Vì vậy acceptance A5 (restart API ×2 THẬT) chưa thể thay bằng test — giữ nguyên là việc bắt buộc của lane cicd, đừng tick sớm.

Mục 9 — đụng key cũ? cây phình?

• Va key: 0. Đo bằng chính phép parse All: duplicates: []; 7 key nhóm 1 (Khkk_G1, Khkk_WfView…Khkk_Deleted) không nằm trong All (đúng chủ ý, T2 khoá bằng NotContain); giao của 49 key sinh với 7 key nhóm 1 = ∅; họ AwV2_KhkkN1..N8 (K3) tách namespace hoàn toàn (AwV2_ ≠ Khkk_), 8/8 vẫn nguyên trong All.
• Kế thừa quyền: không lây. GetMyMenuTreeQuery chỉ inherit từ 4 root (Contracts, Workflows, PurchaseEvaluations, PeWorkflows); KeHoachKyKet không có case ⇒ 49 key mới không thừa cờ từ root, đúng thiết kế "grant từng dòng" (khớp gotcha #85 — endpoint vẫn gate KeHoachKyKet.*).
• Cây phình (mốc CUỐI, re-đo sau khi lead vá STATUS):
  • HEAD trôi 2 lần trong lượt review: ce15c64 → 21908b4 → 0cae243; cả 2 commit mới là wal: flush, đo git diff --stat ce15c64..HEAD -- src fe-user fe-admin tests docs = RỖNG ⇒ không có mã nào lọt vào commit governance. OK.
  • git diff --stat -- src fe-user fe-admin docs = 7 file, +219 / −11 (6 code + docs/STATUS.md).
  • git status --porcelain = 10 M + 1 ??. Trong đó 8 file thuộc commit K4a (6 code + STATUS + file test untracked); 3 file KHÔNG thuộc: .claude/auto-memory/MEMORY.md, .claude/auto-memory/feedback_return_terminates_agent.md, .claude/governance/.session-counter.json.
  • ⚠️ Note E: git add -A sẽ kéo 3 file governance vào commit mã. Add đích danh 8 file.
  • So mốc đầu (T0: 6 file code) → mốc cuối (7 file + test): phần thêm đúng bằng docs/STATUS.md mà coordinator đã báo trước ⇒ không có phình lén.

VERDICT — PASS-WITH-FLAGS 4 (0 blocker)

Phần lõi K4a đúng và đo được: 49 key by-construction 3 phía (All · seed menu-row · grant site-2), |All| = 113 / Policies = 452 khớp logic sinh, 8/8 nhãn khớp TỪNG KÝ TỰ với bảng owner đã soát, 0 va key, idempotent 3 lớp, revoker không đụng, suite 620/620 PASS đo tươi. Không có gì trong diff chặn phép đo prod A4/A5. Không kiến nghị sửa mã — dưới đây là vấn đề + tiêu chí nghiệm thu.

#	Mức	Vấn đề	Tiêu chí đóng
A	MAJOR	?group=n không code nào đọc (get('group') 0 hit ×2 app) ⇒ 7 nhóm mới × 6 leaf mở ra cùng một nội dung; WfView hiện TOÀN BỘ workflow type-10 chứ không riêng KHKK-N{n}. Chính spec đã tiên đoán (sub-invest-fable-b2-cum2.md:9 "silent-wrong, không lỗi build")	Lead/owner dispose tường minh như FLAG-3, ghi rõ wave nào nối (K4b đọc group → params API; K4c lọc WfView) và không deploy ra người dùng trước khi nối, hoặc chấp nhận có văn bản
B	MAJOR	2 mỏ neo MỚI trong fe-user/Layout.tsx sai đúng +34 dòng = kích thước khối vừa chèn: TRANSIENT_QUERY_KEYS (:311) → thật :345; MenuLeaf :342 → thật :376. Cùng lớp lỗi mà vá-13 vừa dọn ở BE	Sửa 2 số, hoặc bỏ số dùng mỏ neo grep (như BE đã làm: grep existingItems.TryGetValue)
C	MAJOR	docs/STATUS.md:479 ghi bundle admin mySTlx42 / user CZAYiWWa, đo live cùng lượt = 1yiNV4VH / DoULfmdT (2 css khớp ⇒ đo đúng site). Ô canonical sai ngay lúc commit	Thay bằng 2 hash vừa đo, hoặc ghi thẳng "chưa đo lại sau 7a903cf" thay vì để hash chết ở ô canonical
D	MAJOR	Bất-biến "revoker không đụng Khkk_*" — thứ đã vỡ thật trên prod (Run #423, 447/494 row rơi, chính comment :2558-2565 dẫn lại) — không có test. Thêm 1 chữ vào bộ lọc revoke thì 620/620 vẫn xanh	Thêm Revoke_DoesNotTouch_KhkkGroups mirror khuôn sẵn có AdminOnlyModulesRevokeTests.cs:188
E	NOTE	3 file .claude/** (auto-memory ×2 + .session-counter.json) đang dirty cùng cây	Add đích danh 8 file (6 code + docs/STATUS.md + file test), KHÔNG git add -A

Ghi chú độc lập: A5 (restart API ×2 THẬT) không được coi là đã phủ bởi T3/T4 — 4 test đều gọi từng seeder lẻ qua reflection, chuỗi SeedAsync (grant → revoke → site-3) chưa từng chạy trong test.

END sub-reviewer-gate-k4a — VERDICT=PASS-WITH-FLAGS 4 (A ?group= chết-lâm-sàng · B 2 mỏ-neo tự-vô-hiệu · C ô bundle canonical sai đo-được · D bất-biến-từng-vỡ không test) · 0 blocker · suite 620/620 đo tươi · All=113/Policies=452 đo độc lập · nhãn 8/8 khớp từng ký tự