@@ -9,6 +9,7 @@
 
 | 版本 | 日期 | 变更摘要 | 详细 |
 |------|------|---------|------|
+| [v1.11.29](./changelogs/releases/v1.11.29.md) | 2026-07-08 | 🔧 **coverage 与外部 runtime 生命周期验证收口**：新增 V79，固化 `CoverageGateDecision`、`ExternalRuntimePluginLifecycleGate`、`ExternalRegistryLifecycleMatrixGate`、`FunctionSourceFingerprintMatrixGate`、`ClusterEscalationGate` 与 `RiskBasedValidationLadder` | [查看](./changelogs/releases/v1.11.29.md) |
 | [v1.11.28](./changelogs/releases/v1.11.28.md) | 2026-07-08 | 🔧 **分析默认 Skill、复审收敛与发布退出码门禁收口**：归档 V75~V78，新增 `analyze-default`、`SpecRadarSubgate` / `GovernanceGateRegistry`、`PromptLongGateListDriftProbe`、`ReviewEscapeRecordGate`、`NativeCommandExitCodeGate`、`PostConfirmationReviewScopeGate`、`DevelopmentDriftGate` 与文档 IA / 中文主表达探针 | [查看](./changelogs/releases/v1.11.28.md) |
 | [v1.11.27](./changelogs/releases/v1.11.27.md) | 2026-07-07 | 🔧 **分层吸纳架构与历史通用规范迁移收口**：归档 V71~V74，新增 Skill-first / 分层吸纳架构、最终用户文档与复审清单独立 Skill、自我进化治理 Skill、完整吸纳补强、历史通用规范逐文件矩阵迁移和 V74 探针 | [查看](./changelogs/releases/v1.11.27.md) |
 | [v1.11.26](./changelogs/releases/v1.11.26.md) | 2026-07-06 | 🔧 **用户文档主面与 V70 吸纳门禁收口**：归档 V69/V70，固化需求复审状态同步、用户文档即时理解、用户文档主面、用户文档驱动交付链、复审证据化、构建产物 smoke、生成站点验证、公开用户路径契约和性能回归门禁 | [查看](./changelogs/releases/v1.11.26.md) |
 
@@ -51,6 +51,7 @@ DevCodex 通过 `.github/`（Copilot）、`CLAUDE.md + .claude/ + .mcp.json`（C
 - **Profile 新鲜度审查**: audit 会先执行 `Profile Freshness Check`，反向核对 Profile 是否仍匹配当前包版本、目录资产、脚本、发布状态、宿主能力和任务现实
 - **项目工程泄漏审查**: 项目工程 / 代码质量审查执行 `PE-12 资源生命周期与泄漏风险`，必须检查内存泄露、资源泄漏、监听器/定时器/连接/流未释放、缓存无界增长和组件卸载清理缺失
 - **泄漏风险稳定性压测**: 写测试用例或回归验证时先执行 `LeakRiskStabilityPressureTest` 条件判定；命中长运行、高并发、缓存/连接/监听器/定时器/流/socket/worker/订阅/组件生命周期或 `PE-12` 风险时，TestRoute 纳入场景/负载/稳定性压测并记录基线、冷却后回落和资源指标前后对比；低风险任务写 `N/A + skipReason`
+- **coverage 与外部 runtime 生命周期验证**: 项目存在 coverage 阈值、CI coverage 或发布覆盖率要求时执行 `CoverageGateDecision`，区分断言通过与覆盖率门禁通过；外部 runtime/plugin/registry/adapter/provider、injected runtime、owner mutation 或 function source fingerprint 风险执行 `ExternalRuntimePluginLifecycleGate`、`ExternalRegistryLifecycleMatrixGate`、`FunctionSourceFingerprintMatrixGate`、`ClusterEscalationGate` 与 `RiskBasedValidationLadder`
 - **前端体验质量门禁**: 前端页面、组件、控制台、官网、文档站、可视化工具或游戏任务执行 `FrontendExperienceQualityGate` 条件判定，覆盖设计来源、UI 还原度、风格主题、响应式状态、视觉验证、用户流、交互反馈、输入方式/可访问性、错误恢复和动效转场；Figma/截图/既有页面还原追加 `FigmaHighFidelityRestorationGate`、`ScopedVisualChangeGate`、`InstalledPluginVisualVerificationGate`、`ActualPreviewChainAndMockFallbackGate`、`FrontendRuntimeNetworkProbeGate`、`UIStateScopeRegressionGate`、`FigmaProductionAssetBudgetGate`、`RuntimeI18nArtifactVerificationGate`、`VisualDeviationTypeGate` 与 `DesignFramePurposeClassificationGate`；浏览器验证先执行 `FrontendBrowserVerificationBudgetGate`，用户明确自验或禁止浏览器/截图时执行 `UserSelfVerificationOverrideGate`；命中时 TestRoute 纳入 Browser/截图、Playwright/E2E、console/network/resource/runtime、代码级替代验证或人工复核证据
 - **复审覆盖增量与维度增量**: audit / review / ECR 的连续零发现必须附 `ReviewCoverageDelta`（覆盖面增量）与 `ReviewDimensionDeltaGate`（维度焦点增量），优先阅读此前未审查但相关联的代码、配置、测试、文档、部署副本和消费者链，并避免每轮机械重复同一组维度；无新增覆盖、无新增维度焦点且无证据化理由时，不计入有效零发现
 - **规范治理 Intake**: 所有模式下每条用户消息在合理性评估后都会额外检查是否命中可泛化改进；命中时主动写入 `data/process-improvements.md`（优化清单，PI），必要时联动 `data/pending-fixes.md`（PF），并显式回执 `PI/PF`
 
@@ -1,6 +1,6 @@
-# DevCodex v1.11.28 — 使用入口
+# DevCodex v1.11.29 — 使用入口
 
-> AI workflow injector for Copilot / Claude Code / Codex · publisher: Rocky · version: 1.11.28
+> AI workflow injector for Copilot / Claude Code / Codex · publisher: Rocky · version: 1.11.29
 
 ## 正式主支持客户端
 
 
@@ -0,0 +1,50 @@
+# v1.11.29 coverage 与外部 runtime 生命周期验证收口
+
+## 版本信息
+
+| 项目 | 内容 |
+|------|------|
+| 版本号 | v1.11.29 |
+| 发布日期 | 2026-07-08 |
+| 变更类型 | 规范增强 / 治理探针 / 测试路线 |
+| 风险级别 | P2 (Low) |
+| 向后兼容 | ✅ 兼容 |
+
+## 变更摘要
+
+本版本吸纳工作区 data 台账中仍有泛化价值的测试与运行时验证缺口：coverage 必须独立判定，不能用测试断言通过替代；外部 runtime、plugin、registry、adapter、provider、injected runtime 与 owner mutation 需要生命周期矩阵；function source / hash / toString / fingerprint 参与 key、checkpoint、幂等或去重时需要误判矩阵；同一风险簇连续返修需要先升级风险模型，再按 targeted / related suite / full gate 分层验证。
+
+## 新增 / 强化门禁
+
+- `CoverageGateDecision`
+- `ExternalRuntimePluginLifecycleGate`
+- `ExternalRegistryLifecycleMatrixGate`
+- `FunctionSourceFingerprintMatrixGate`
+- `ClusterEscalationGate`
+- `RiskBasedValidationLadder`
+
+## Skill 与执行链调整
+
+- `test-router` 新增 coverage、runtime/plugin/registry lifecycle、function fingerprint、cluster escalation 与 risk ladder 输入、路由矩阵、输出字段和跳过规则。
+- `dev-testing` 新增 coverage 门禁、风险分层验证、外部 runtime/plugin/registry 注入矩阵和 function fingerprint 矩阵。
+- `audit-project` 在 PE-6 与跨项目已吸纳守门中纳入 coverage、registry lifecycle、fingerprint 与同风险簇升级检查。
+- `dev-plan-review` 在 PR-2 阻断项与 PR-7 测试风险中要求 CP2 方案提前物化这些门禁。
+- `report` 与 dev/fix/audit 报告模板新增对应证据字段，避免执行后只口头说明。
+
+## 验证与探针
+
+- 新增 V79 `coverage gate and external runtime lifecycle matrix sync`，反查 Skill、instructions、prompts、report、README、website、changelog、`validate.js` 与 `test-spec-governance.js`。
+- V79 changelog 检查读取 `changelogs/unreleased.md` 与 `changelogs/releases/*.md` 语料，归档后仍能防回退。
+
+## 兼容性
+
+- 不改变工作流入口、Skill 数量、包公开 API、CLI 命令或发布包文件结构。
+- 新增规则只强化验证路线、审查维度、报告证据和发布前检查。
+
+## 验证摘要
+
+- `node scripts/validate.js` V1~V79
+- `node scripts/test-spec-governance.js`
+- `git diff --check`
+
+> 完整发布验证证据见本版本发布报告。
@@ -26,5 +26,6 @@
 - 复审遗漏闭环需显式标明 `ReviewEscapeRecordGate`、escape record、`whyMissed`、`prevention`、`checklistPatch`、`rerunEvidence` 和 V76 探针，避免二次复审只修问题但不沉淀防复发机制。
 - 发布 / pack / install smoke 验证需显式标明 `NativeCommandExitCodeGate`、真实 `exitCode`、PowerShell `$LASTEXITCODE` 或等价 wrapper、auth/config 来源和 V77 探针，避免命令失败后仍输出成功文案。
 - 确认后复审、开发偏移、验证计划、用户建议采纳和文档 IA 相关变更需显式标明 `PostConfirmationReviewScopeGate`、`DevelopmentDriftGate`、`VerificationPlanMaterializationProbe`、`AcceptedSuggestionRootCauseGate`、`ChinesePrimaryExpressionGate`、`SidebarPageRoleMaterializationProbe`、`SidebarGroupSemanticModelProbe` 和 V78 探针。
+- coverage 与外部 runtime 生命周期类变更需显式标明 `CoverageGateDecision`、`ExternalRuntimePluginLifecycleGate`、`ExternalRegistryLifecycleMatrixGate`、`FunctionSourceFingerprintMatrixGate`、`ClusterEscalationGate`、`RiskBasedValidationLadder` 和 V79 探针，避免测试断言通过、happy path 或单例函数对象被误当成完整验证。
 - 宿主输出、Hook 或项目现实扩展相关条目，建议显式写出 `verified-present / verified-missing / unverified`、sticky `activeProject` 与用户可见 `意图扩展摘要` 是否发生变化。
 - 执行闭环、确认机制或发布门禁相关条目，建议补充 `Intent Expansion Card`、`ConfirmationRequest`、`ECR` 与验证证据，方便正式发版时直接归档到版本 changelog。
@@ -2,7 +2,7 @@
 applyTo: "**"
 description: 安全底线与输出语言规则，定义 S01~S07、违规处理与不可豁免边界
 priority: P2
-version: 1.11.28
+version: 1.11.29
 ---
 # 安全底线规范（S01~S07）
 
 
@@ -2,7 +2,7 @@
 applyTo: "**"
 description: 通用规范总则，覆盖优先级、意图路由、Profile/active-root、宿主适配与治理总线
 priority: P5
-version: 1.11.28
+version: 1.11.29
 ---
 # 通用规范
 
 
@@ -2,7 +2,7 @@
 applyTo: "**"
 description: Profile 加载、active-root 路径、目标项目识别与项目现实扩展的通用规范
 priority: P5
-version: 1.11.28
+version: 1.11.29
 ---
 # Profile 加载与项目现实扩展
 
 
@@ -2,7 +2,7 @@
 applyTo: "**"
 description: 任务切换边界、RecordRouter 分流、Improvement Intake 与提交发布边界的通用规范
 priority: P5
-version: 1.11.28
+version: 1.11.29
 ---
 # 任务边界与 RecordRouter
 
 
@@ -2,7 +2,7 @@
 applyTo: "**"
 description: 意图识别、Intent Expansion Card、上下文重建与可见回复证据的通用规范
 priority: P5
-version: 1.11.28
+version: 1.11.29
 ---
 # 意图扩展与上下文重建