fix(v5.4.9): close human-review change and projection gaps

Why:
- Review handoffs still exposed machine IDs in the primary reading path and could omit implementation-critical context.
- Post-review edits, deletions and additions lacked a regression-backed lifecycle contract.

What:
- Add human-first overview, flow, boundary and collapsed technical-trace projections without changing product behavior.
- Strengthen PRD/prototype semantic coverage and review-workspace validation.
- Add modify/delete/add review regression fixtures and browser-verifiable linkage behavior.
- Align migration wording, release evidence and consolidated review tests with 5.4.9.

Scope:
- No new stage, downstream format or schema file; review mode remains opt-in.
- Runtime allowlist remains 115 source files; legacy 5.4.7/5.4.8 artifacts stay compatibility-readable.

Validation:
- pytest 84/84; review workspace 31/31.
- Full CLI release profile, public quickstarts, stage contracts and Skill Creator validation PASS.
- Local dual installation verified; browser change scenario and missing-marker badcase verified.

Author: franklinxkk

CHANGELOG.md

@@ -6,8 +6,10 @@
 - **Frozen-kernel stability patch**：不新增工作站、Schema、下游格式或工件语义。`prototype` profile 显式收到 PRD 时会同时执行 PRD 与 handoff 校验；L2+ handoff 增加 `FLD-*`、`METRIC-*` 与 PRD 合同的一致性检查。纯产品态、未传 PRD 的小原型仍保持轻量。
 - **Clarification and evidence discipline**：跨系统批量“部分失败”被收紧为隔离粒度、批次/记录状态、幂等键、可重报范围、聚合回执五项不可分 P0 组。任何 PASS 声明必须来自实际目标 profile，并报告退出码和 `not_proven`；HTML/JS 语法检查不能替代需求、原型或交接门禁。
 - **Review runtime and golden examples**：中型评审样例修复窄屏业务抽屉遮挡重新展开入口；黄金 PRD 就近补齐来源、指标、流程、集成、状态、规则与 AC 定义，不再以 dangling-reference WARN 冒充干净样例。README 的角色价值、快速入口、生命周期、三种表面、门禁与边界均增加紧邻英文说明，并删除重复的 GitHub 表格入口。
-- **Validation**：Kimi K3 与 DeepSeek V4 Pro 在相同脱敏材料上完成 CRM/AI Native 四角色冷读；修复前反例分别被候选门禁拦截 13 项与 14 项，修复后两组正例均为 `PASS / blockers=0 / gaps=0`。独立 Codex Coding Agent 只读 CRM 正例完成有界服务实现，主代理复跑 25/25 自动化测试通过。评审运行时聚焦回归 35/35 通过；此前 fixture 创建前的 23 个错误经正常 Windows 临时目录权限复跑确认属于 ACL 环境伪失败。完整发布门禁、Skill Creator、运行包和安全扫描结果见 Release Notes。
+- **Validation**：Kimi K3 与 DeepSeek V4 Pro 在相同脱敏材料上完成 CRM/AI Native 四角色冷读；修复前反例分别被候选门禁拦截 13 项与 14 项，修复后两组正例均为 `PASS / blockers=0 / gaps=0`。独立 Codex Coding Agent 只读 CRM 正例完成有界服务实现，主代理复跑 25/25 自动化测试通过。当前评审工作台专项 31/31、全量 pytest 84/84；此前 fixture 创建前的权限错误经宿主临时目录复跑确认属于 Windows ACL 环境伪失败。两个本地主安装目录均升级为 5.4.9 并通过结构校验；评审后“1—4 修改、5 删除、6 新增”正例在安装版 CLI 下 PASS，标号断链反例按预期 BLOCKED，浏览器证明 marker/card/target 双向同步与业务动作隔离。完整发布门禁、Skill Creator、运行包和安全扫描结果见 Release Notes。
 - **Evidence boundary**：上述证据证明确定性合同、模型冷读和有界 Coding Agent 实现，不证明真人团队完整盲审、真实数据库/接口/IAM、AI 模型效果、性能、安全、客户签认或生产稳定性。AI Native 本轮未执行盲实现；CRM 原始评测工件在 390px 下仍有 63px 横向溢出，未包装成公共运行时已全面解决。
+- **Human-first review projection patch（同版本）**：R1/R2 右栏收敛为“总览 / 功能与流转 / 边界与验收”。复杂模块在总览展示核心流程并高亮当前页面；功能点默认使用自然语言，前端、后端与测试细节按需展开；边界页只在跨页、跨角色、跨系统或关键状态流转时显示状态/数据图，并配少量可执行正反例。稳定 ID、字段枚举与技术链路移入默认收起的“技术追溯”，简单 CRUD 不机械画图。
+- **Review-change lifecycle patch（同版本）**：评审后的“修改、删除、新增标注”必须先进入 `CHG-*` 与澄清决定，再同步 PRD、语义覆盖分母、ReviewPoint Declaration、DOM marker/card/target、验收与回归。被删除的稳定身份保留在变更记录中但退出新基线分母；新增项取得新稳定身份；可见序号按新 Declaration 重排，不能把序号当永久业务 ID。旧 baseline 的评审记录和分享定位不得静默复用于新 baseline。
 
 ## 5.4.8 - 2026-08-26
 

README.md

@@ -124,6 +124,8 @@ openclaw skills install @franklinxkk/ai-delivery-spec
   **EN:** Key functions receive markers beside real targets; selecting either side highlights the target, marker, and explanation together.
 - 简单功能可用一句话说明；装饰元素不强行标注。  
   **EN:** Simple functions may use one sentence; decorative elements are not annotated mechanically.
+- 说明先写人能连续读懂的业务语言；复杂点再按需展开前端、后端和测试细节。稳定 ID、字段名和机器枚举默认收进“技术追溯”。
+  **EN:** Lead with continuous business language; expand frontend, backend, and QA detail only for complex points. Stable IDs, field names, and machine enums stay in a collapsed technical trace.
 - 指标卡必须写清口径、时间窗、范围、来源、刷新、缺失/延迟和验收。  
   **EN:** Every metric card defines formula, time window, scope, authority, refresh, missing/delayed data, and acceptance.
 - 泳道或状态页必须写清迁移条件、角色守卫、副作用、失败与恢复。  
@@ -133,8 +135,8 @@ openclaw skills install @franklinxkk/ai-delivery-spec
 - 评审栏可以收起再展开；窄屏可在产品态和评审态间切换，不覆盖关键操作。  
   **EN:** The panel can collapse and reopen; narrow screens switch between product and review surfaces without covering key operations.
 
-跨页面、模块或角色主链才画流程图；受守卫的状态变化画状态图；跨系统或多权威源画数据流。简单 CRUD 不机械堆图。  
-**English:** Use a journey diagram for real cross-page/module/role chains, a state diagram for guarded transitions, and a data-flow diagram for cross-system or multi-authority data. Do not add diagrams to simple CRUD work by default.
+跨页面、模块或角色主链才在总览画核心流程并高亮当前页面；受守卫的状态变化在边界页画状态图；跨系统或多权威源画数据流，并保留少量可执行正反例。简单 CRUD 不机械堆图。
+**English:** Overview shows a current-context-highlighted core flow only for real cross-page/module/role chains; Boundary & Acceptance adds guarded state or cross-system data-flow diagrams plus a few executable positive/negative cases. Simple CRUD stays diagram-free.
 
 ## 与 Spec Kit / OpenSpec 的边界｜Boundary with Spec Kit and OpenSpec
 

SKILL.md

@@ -57,9 +57,9 @@ description: Use for creating, changing, reviewing, reverse-engineering or accep
 
 实时对话先交付判断，不展示内部 YAML/ID。持久化只在跨会话、跨角色、审计、变更或工具校验时发生。默认最小主产物：frame/problem brief；explore/solution sketch；clarify/requirement brief；specify/需求卡或统一 PRD；review/baseline 复用同一规格并绑定签署、版本/hash；change/acceptance 回链当前基线。Product Truth 只在多投影、反复变更、血缘或强审计确有需要时启用。
 
-客户演示/确认默认产品态；评审态只在用户要求或首次交开发前确认后生成。它遵守 `Review Explains, Product Operates`：左侧是完整产品，右侧只解释当前页面/业务浮层；R1/R2 固定“总览 / 功能与流转 / 边界与验收”。每个页面和二级浮层从 PRD、Stage 0 与锚点建立语义账本；影响实现/验收的动作、字段规则、指标、状态、权限、写入、交接、异常和角色路径必须映射同 Context 的正式评审点，或有来源地声明不适用。简单项可一句话/规则组，关键口径不得省略。`review_contexts` 是评审点分母，语义账本是完整性分母；Candidate 只防漏，评审动作不得改变 Product Fingerprint。机器模型保留在同 hash 的 PRD 与结构化 handoff。生成前完整读取 `references/review-workspace.md`。
+客户演示/确认默认产品态；评审态只在用户要求或首次交开发前确认后生成，左侧完整产品、右侧解释当前页面/浮层；R1/R2 固定“总览 / 功能与流转 / 边界与验收”。从基线与锚点建立语义账本；影响实施验收的动作、字段、指标、状态、权限、写入、交接和异常必须映射当前 Context，或声明不适用。跨页/角色/系统或三步以上依赖才画核心流程并高亮当前页；状态/数据流图按复杂度触发。正文先用自然语言，复杂点再收起前端/后端/测试详情；ID、字段原名和枚举只进收起的技术追溯；简单 CRUD 不机械画图。`review_contexts` 是评审点分母，语义账本是完整性分母；Candidate 只防漏，评审动作不得改变 Product Fingerprint。生成前读取 `references/review-workspace.md`。
 
-Candidate 与 Declaration 物理分离且 `subject_ref` 不重叠；观察只生成带理由的 `candidate_review_points`，不得自动晋级。正式 RVP 的 subject/source/precondition/result/boundary/AC 必须解析到 PRD；纯观察使用 `PROTO-OBS-* + gap + prototype_inferred`，禁止伪造已确认事实。每张指标卡冻结对象、公式、时间窗、过滤/去重、权威源、刷新、空值/失败、精度和下钻；工作流覆盖迁移、角色守卫、非法路径与恢复；二级弹窗/抽屉是独立 CurrentContext。
+机器投影使用结构化 handoff。Candidate 与 Declaration 物理分离且 `subject_ref` 不重叠；观察只生成带理由的 `candidate_review_points`，不得自动晋级。正式 RVP 的 subject/source/precondition/result/boundary/AC 必须解析到 PRD；纯观察使用 `PROTO-OBS-* + gap + prototype_inferred`，禁止伪造已确认事实。每张指标卡冻结对象、公式、时间窗、过滤/去重、权威源、刷新、空值/失败、精度和下钻；工作流覆盖迁移、角色守卫、非法路径与恢复；二级弹窗/抽屉是独立 CurrentContext。
 
 评审态不得把真实导航降级成静态装饰。每个 `VIEW-*` 必须绑定唯一可见菜单路径，或说明为什么是扫码页、H5 独立页等无菜单入口；页面切换同步活动菜单、父级展开、路由、面包屑、标题和 `CurrentContext`。业务浮层继承父页面位置，只改变浮层 `CurrentContext`。任何静态假菜单、位置漂移或评审动作改变产品位置都阻断交付。