feat(mo): M.O. 执行记账全链——P1 观察清单 / P2 人确认才写账 / P3 声明与行为脱节检出 - #452

新增 src/pipeline-nudge.js：会话日志（多帧 zstd 逐帧解）→ 重复序列候选
→ 能算的缺席对照 + 答不出的封闭问题 → status:"draft" 草稿（过 validatePipeline）。

判据不自动下结论：buildCounterfactual().verdict 恒为 null，答案只能由人回答、
经 applyAnswers 写进 steps[].evidence[]。机器只写观察到的，其余留「（待补）」。
默认只挖能力级（skill/mcp）：真数据里工具级口径全是 read→pwsh 这类通用动作，
不是项目手法。

README 与包内 README 的测试徽章同步到 1878。

专家团复核抓出六条，全部落在这一笔：

1. step id 闸门在生产路径上是死代码。expectedStepIds 有定义、有测试、有注释声称
   「当场报出来」，但 readRuns / appendRun / 端点的 loadRunsById 没有一个传它——
   写错 step id 的 run 能落盘、能读回，却零节点拿到 credit，症状与「从没跑过」同形。
   现在端点把工作流的步骤表当白名单传进写侧与读侧；写盘前当场拒，不留半条。
2. 绕开被记成使用。normalizeRun 的定长六键丢掉了 kind，而读侧仍认 kind==="detour"，
   同一行经读回后由 {uses:0,detoured:1} 翻成 {uses:1,detoured:0}。修在收口处，
   写侧/读侧/手写账/历史账走同一条；不认识的 kind 值一并拒掉。
3. 坏一行曾让整份账本永久不可读，而写侧继续报成功。改为逐行收：好行照收，
   坏行进 problems（带行号、标出是否只是一截尾巴），状态降 partial/broken；
   顺带修掉 BOM 会让第一行解析失败的问题。
4. 读盘路径对缺失的布尔不能再补默认——那是拿默认值当语义值，会把一行 {id,at}
   算成一次「照图走了」。读写拆成两条校验路径：写侧补默认，读侧缺了就报。
5. 追加时的尾字节检查曾整份读账本（代价随历史线性增长），改用尾 1 字节。
6. 「账本坏了」与「从没跑过」在节点状态上完全同形，且默认视图没有兜底。
   现在按 pipeline 逐条显式带 runsState（absent/empty/ok/partial/broken），
   并撤掉坏账本的 500——它会让客户端当成离线，还吞掉读得出来的那张图。

新增 17 条回归用例，每条都能在旧实现上变红。

专家团复核抓出七条，全部落在这一笔（外加两条顺手）：

1. 空回答不算「已答」：applyAnswers(c, {}) 与 (c, null) 曾返回 ok:true 并推进到
   answered——判据链路上唯一一处「没人回答也算答了」。现在空回答直接拒。
2. 跨工作区不并账、不冒充归属：支持度只在同一个工作区桶内累加；给了 projectRoot
   却没给 scoped sessionDir 时降级为无归属普查（不贴项目名、不写桶、不落草稿）。
   文件头那句「扫全部时不要声称候选属于某个项目」现在有代码执行了。
3. unanswered 补回出口：它早就算出来了，却没跟着草稿一起交出去。
4. 草稿与提议改原子落盘（同目录 tmp + rename），一个半截文件曾能让整个项目层的
   工作流从面板上消失。
5. 校验层拒绝任何非 null 的 counterfactual.verdict（缺键也拒）——「机器不给结论」
   从此是边界的性质，不只是产者的自觉。
6. 按层过滤后的相邻不许当真相邻：留 elided 痕迹，措辞分三档，夹着别的东西就不写
   「紧跟在」。
7. failures 不再用 null 同时表示「未接线」与「确实没有失败记录」。

顺手两条：长度为 2 的候选对照栏显式留白（留白与「反例为零」分开报）；
会话文件上限改成「先全收、再排序、后截断」，消掉按遍历序截断的选择偏差。

判据红线未动：verdict 恒为 null。新增 11 条回归用例。

.runs.jsonl 是每次跑都追加一行的流水，而读侧对账本是「一行坏则整条不可读」。
它一旦被提交，两条并行车道先后追加同一份账本就会产生冲突标记——那些标记不是
合法 JSON，于是流水污染会升级成工作流状态永久消失。

规则放在 .mneme/pipelines/ 里而不是仓库根：这份保护要跟着这个目录走，
不该依赖宿主项目自己有没有想起去改根 .gitignore。手写的流程定义仍然照常跟踪。

本批新增 28 条用例（执行链 17 + 沉淀链 11），测试基线从 1878 涨到 1906。

validatePipeline 的步骤归一化是显式字段映射：白名单外的键静默丢弃，不告警、不报错。
实测往步骤里塞 assert / onFailure / retries，三个全部消失——这正是本仓历史上反复
抓到的「声称改了但产物里查不到」的同型装置。

将来真要加字段，必须同时改三处：归一化返回、toPipelineV1 的节点投影、
summarizePipeline 的首屏计数。漏掉任何一处，症状都是「加了但看不见」且不会红。

两条锁把四个投影面的键集合钉住（步骤 13 键、节点 15 键、首屏清单 14 键、状态四态），
断言写的是全集而不是包含——多出来的字段同样是契约变更。

锁本身做过反向验证：故意往白名单加一个字段，这条当场变红；还原后回绿。

新增字段白名单锁 2 条，基线 1906 → 1908。

专家团指出的前置条件：观察挂上去之前，必须先有「宿主的一次动作 ↔ 工作流里的哪一步」
的对应规则。没有它，认真记下来的账没人能对账，面板会显示一份看起来完整的假历史。

实测（拿仓库自己那条 19 步工作流）：`tool` 字段是人手写的自由文本——单命令
（`npm test`）、多命令并列（`git log / gh pr list`）、带占位符（`git push <tag>`），
还有 4 步是空的。拿这种文本做精确匹配注定命中率不高，而**误匹配的代价远大于漏匹配**：
把「推 tag」记成「推分支」，deriveState 就会把错误的一步染成可信。

所以这条规则只出**候选 + 理由**，绝不下结论：
- exact  ：归一化后整条命令相等
- weak   ：词前缀关系（人写 `gh pr create`，agent 跑 `gh pr create --base main`）
- 认不出来就是空数组——「认不出来」是合法答案，不许猜

弱匹配用**词前缀**而不是「第一个词相同」：真实工作流里 `git` 出现 5 次，按首词匹配会让
一次 `git push` 报出六条候选，噪声盖过信号。压到 2-3 条之后人才愿意看。

报告分三桶（有候选 / 认不出来 / 拼不出命令行），并把**结构性无法归属的步骤**单列出来——
那是「为什么这一步永远没账」的答案。观察对象的成败是**三态**（真/假/不知道），
不许把「不知道」折叠成「失败」。

16 条用例，重点都压在诚实性上：认不出来必须为空、多条候选必须全报、空 tool 不许匹配成
「什么都能中」。零新依赖，纯函数。

新增归属规则 16 条用例，基线 1908 → 1924。

ponytail-review 的结果，只砍四条（都经过实测取证，不是凭感觉）：

1. `attributionReport` 整块删除（-34 行）。它把 attributionCandidates 的返回值换个形状，
   模块内零消费者、src 里也零消费者。真正接线时调用方循环一遍即可。
   它承载的纪律（「认不出来」与「没有这一步」必须长得不一样）移到文件头保留——设计意图
   不该跟着代码一起消失。
2. `normalizeObservation` 的 `at` / `actor` 两个字段（-2 行）。写了没人读：归属规则不比
   时间也不比谁做的，这是替一个还不存在的写者预留的。
3. `SEPARATOR_RE` 的 `|` `;` `&&` 三个分支（-1 行）。真数据 15 条 tool 只出现 ` / ` 一种
   （3 次），其余各 0 次。
4. `PLACEHOLDER_RE` 的 `{}` 与 `[]` 两种形态（-1 行）。真数据只出现 `<>`（2 次），各 0 次。

保留不动：attributionCandidates 的匹配核心、词前缀抗噪、空 tool 返回空——它们是这个模块
存在的理由；两条 shrink 建议（排序三元链、注释压缩）也主动放弃，省 1-2 行换可读性损失不划算。

src 189 → 165 行，test 203 → 176 行，均 CRLF 无 BOM。测试 16 → 15 条（三条合并为一条，
被删的逻辑用新形状保住了断言：不许猜、三态 ok、空 tool 不可归属、坏输入不抛）。

归属规则砍掉冗余后用例 16 → 15（三条合并为一条），基线同步。

接线前先落地的那一半：不碰任何宿主钩子的纯逻辑。

## 为什么是「窗口」而不是「自动观察一切」

宿主钩子能看到「这次调了什么工具」，但**看不到「正在走哪条工作流」**。工作流的 trigger
是人话（`{kind:"phrase",value:"发版"}`），今天没有任何代码消费它；想靠它自动判定
「用户说了这句话 = 开始走某条流程」，只能猜——而猜错会把一条从没跑过的流程记成跑过，
正是本仓反复防的伪造正面证据。

所以窗口边界由**显式动作**划：有人说「按 X 走一遍」窗口才开，关窗 flush 成一条 run。
**窗口之外发生的一切一个字都不记**——漏记可接受，编造不可。

## 一次观察三种结局，必须分得开

- 归属成功（显式点名，或唯一 exact）→ 写进 run.steps
- 认不出来 → unattributed
- 有歧义（weak / 多候选）→ ambiguous，**绝不自选一条**

weak 匹配**不自动记账**：把「推 tag」自动认成「推分支」，deriveState 就会把错误的那一步
染成可信。认不准就请人确认，这与反事实判据那边同一条纪律。

## 另外三条不许编造的地方

- 同一步被观察到多次只计一次（tallyRuns 按 run 计数，重复会让 uses 虚高），次数进 note
- 任一环节失败就**永久** refuted——后来的成功不许抹掉跑砸过这件事
- 没观察到的步骤进 unobserved，**既不写 skipped 也不写 used**（缺席 ≠ 跳过）
- 窗口内一步都没走成 → 如实返回 no-steps，**不伪造一条空 run** 去凑「至少一步」的契约
  （这条也是账本契约的一个已知缺口，要真正表示失败得先让零步 run 合法）

10 条用例，重点压在「不许编造」上。产出直接过账本 normalizer，两个契约对得上。

执行窗口 10 条用例，基线 1923 → 1933。

接线前的实测发现（400 个会话实跑）：会话日志里的工具名是 pwsh(1399) / read(1709) /
grep(1040) / glob(183)，而工作流里人写的 tool 是 `npm test`、`git push <tag>` 这种**命令行**
——**两者不重叠**，直接拿 name 去比一条都对不上。

唯一能对上的是「命令跑在哪个工具里」：pwsh 的 arguments.command 才是那条命令行。
所以这一层只做一件事：把它抽出来。

三条纪律，都是「不许编造」的具体形态：

1. **非命令执行器一律不产观察**（read/write/glob/grep 是代理的日常动作，不是任何工作流
   的一步）。硬把文件路径拼成「命令行」去匹配只会制造噪声，而噪声的代价是把某一步
   凭空染色。认不出来就返回 null，由上游记进 skipped 桶——**「不是工作流的动作」与
   「认不出是哪一步」是两件事**。
2. **只有拿到结果的调用才产观察**：配对靠 callId，成败来自 tool/result 的 isError。
   「调了但没结果」（被中断）既不是成功也不是失败，拿它当一次成功使用是编造，
   如实进 dangling。
3. **成败是三态**：只认布尔，拿不到留 null——把「不知道」折叠成「失败」会给这一步
   打上不该有的 refuted 标记。

实测端到端链路：会话事件 → 观察 → 归属 → 一步进账（10 条用例，含一条完整链路锁）。

观察层 10 条用例，基线 1933 → 1943。

整条链至此闭合：

    session/event → pairObservations → attributionCandidates → openRun → appendRun
     （宿主事件）     （事件→观察）        （观察→哪一步）       （窗口）   （落盘）

前面四段已各自落地并被测过；这一刀补上最后一段：**挂到宿主 + 一条命令**。

## 为什么必须由一条命令开窗，而不是插件自己判断

工作流的 trigger 是人话（`{kind:"phrase",value:"发版"}`），拿它去匹配用户消息只能猜。
猜错的代价不是「少记一笔」，而是**把一条从没跑过的流程记成跑过**、还把节点染成可信。
所以窗口边界由人的显式动作划：`/mo-run start <id>` → 走一遍 → `/mo-run stop`。

## 四个刻意的取舍

1. **窗口按会话开，一个会话同时只允许一个**。再开一个会被拒（already-open）而不是顶掉
   前一个——顶掉会让前一次执行悄无声息地消失，比拒绝难查得多。
2. **事件先缓冲、到 stop 才配对**：tool/call 与 tool/result 靠 callId 配对，结果可能比调用
   晚很久，边到边配会把「还没等到结果」误判成「没有这个调用」。
3. **v1 只在显式 stop 时结账**，不在回合结束自动关：一条流程常跨多个回合（跑测试 → 等人
   点头 → 再继续），按回合关会把一次执行切成好几条半截账。忘了 stop 的兜底是缓冲封顶
   + truncated 标记。
4. **热路径永不抛**：挂的是宿主的会话事件通道，本仓对此有明文不变量（可选插件的可选
   能力把 agent 的一步带崩，比丢一次抢救严重得多）。所有异常只 warn。

## 门控与实测边界

新增独立旗标 `actionRunEnabled`（默认关，且进 LIGHT_MODE_OFF——它挂在热路径上）。
与既有的 actionPipelineEnabled 分开：**看图与写账是两件事**，混成一个键会让只想看图的
人不知不觉获得写入能力。三处对齐（config schema / settings 白名单 / api.test 计数锁）
同步更新，计数锁如期先红后绿。

**仍未实测的前提**：实时 session/event 通道是否逐条投递 tool/call 与 tool/result 我没在活
宿主上验过（本仓现有消费者只用 turn/end 与压缩边缘，工具事件是从日志文件读的）。事件
类型联合与落盘日志都包含它们，所以同一通道应当也带——但这是推断。所以 stop 在一条观察
都没认出来时返回 `no-observations` 并明说**没有落盘**，而不是写一条空账假装成功；
接线后第一次真实执行就能用它验证。

接线波次：执行记录器 13 条 + 命令层 14 条用例，基线 1943 → 1970。

桉桉拍板加这个字段。它不是普通字段：它是「可断言节点 vs 判断节点」这整个划分的
**唯一载体**。没有它，「哪些步骤能被机器自动盯着」在代码里就没有地方表达——
评测报告的实测是 0/19 步，一条流程全靠人判，而那个事实当时没处可写。

## 一次改四处（这正是那道防呆锁存在的理由）

校验（只收字符串数组）、归一化返回、`toPipelineV1` 的节点投影、`summarizePipeline`
的首屏计数。**漏任何一处，症状都是「加了但面板看不见」且不报错**——评审报告点名的
正是这一类。锁逼着人一次改完：我做了反向验证——故意只改归一化、把投影那处留空，
3 条测试立刻变红；还原后回绿。

## 两个语义决定

1. **没写断言时投影成 `null`，不是空数组**。空数组会让「作者没写」与「写了但一条都
   没通过」长得一样，而验收时这是两件事（前者是判断节点，后者是失败）。
2. **首屏新增 `assertable` 计数，与既有的 `contrast` 并列**。两者含义不同：contrast
   数「写了没有」（内容仍靠人判），assertable 数「机器能不能判」。0/19 是实话、不是
   缺陷，但清单上必须看得见——否则「这条流程能不能自动盯」只能靠人翻文件。

`onFailure` / `retries` 仍在白名单外（执行侧的形状还没定，不加两个存不下的字段），
锁里对它们有明写断言：将来接住了会红，提醒更新契约。

assert 字段落成：新增 3 条语义用例，基线 1970 → 1973。

## 背景：自动归属被实测否决

三条实测把原方案一步步逼掉（详见 mneme-research 的 08/09）：
1. 单条命令匹配手写步骤表 → 唯一归属仅 14.2%（非发版会话 4.4%，区分力 3 倍）
2. 整段命令当分组键 → 每会话中位 539 组、最多 7373 组，人扫不过来
3. 换动词当键 → 密度最高的是 PowerShell 管道语法（write-output/select-object/} …）
   → **「命令 ≈ 动作」这个预设是错的**
4. 只留业务命令（git/gh/npm/node/docker…）→ 业务段占 6.5%，动词 8 个、两词组 1010 个
   → 这才是人能扫的量级

## 这一版做什么

不猜。开窗走一遍后，回执列出**本次观察到哪些业务动作、各几次**，由人判断对得上哪一步。

为此新增 pipeline-activities.js（业务命令分桶）并接进 runner / command 回执。
`stop` 在没归属到步骤时**不再只说"没有落盘"**，而是同时给出观察清单——
清单才是这一版真正的交付物。

## 🔴 一条硬规则：位置参数一律丢弃

回执会显示在界面上（可能被截图），而完整命令行里几乎必然含绝对路径
（路径含本机用户名）。所以只保留**动词 / 子命令 / 旗标**：
`git status --porcelain ×4` 可以，`git add src/foo.js` 不行。

这条不是顺手过滤——它是 pipeline-activities.js 存在的第二个理由。

## 端到端实测抓出并修掉四个真 bug（都补了回归）

1. 脚本路径被当成子命令 → 回执带出本机路径（踩了上面那条红线）
2. `git -C <path> log` 把 `-C` 的值当子命令 → 清单出现读不懂的 `git (join-path -C …`
3. 带点的文件名（`x.test.js`）通过子命令校验 → 同样是路径泄露
4. 键用旗标时又在展示里追加同一个旗标 → 渲染成 `node --test --test`

修法：子命令做**形状校验**（字符集窄 + 排除含点的），且**扫描**而非取第一个非旗标 token。

实测后清单长这样（真实会话，33 条命令）：
  node --test ×9 / npm test ×5 / git status ×4 / git log ×2 / node --check ×1 / git diff ×1
  另有 338 段 shell 语法被正确排除

测试 1973 → 1989。

P1 业务命令分桶 14 条用例（含 4 条实测抓出的回归），基线 1973 → 1989。

## 契约变更

`stop` 从"结账并落盘"改成"结账并产出一份待确认清单"；**写账只发生在 `confirm`**。
新增 `/mo-run confirm <步骤>` 子命令。

依据是被实测否决的自动归属（08/09）：机器唯一归属只有 14.2%，而非发版会话也有
4.4%——**区分力仅 3 倍**。猜错的代价不是少记一笔，而是把没走过的步骤记成走过
（`deriveState` 会据此把它染成 trusted）。所以这一版把自动归属**降级成 hint**：
仍然算出来，但只作提示、不预选、不落盘。

## 三个语义决定（都有测试锁）

1. **「没确认」≠「没发生」**。人没提到的步骤**什么都不写**——既不记 uses 也不记
   skipped。若把"忘了勾"记成"被跳过"，`RETIRE_AFTER_SKIPS` 就会据此发出错误的
   删步提议（跳过计数正是那个阈值的唯一依据）。
2. **unsure 与 notDone 必须分开**：`?` 表示不确定 → 不写；`-` 表示确认没做 → 记 skipped。
3. **「全部没做」≠「零步」**：人确认"这两步这次都没做"是一条合法且完整的记录
   （两条 skipped），描述的是"走了流程但一步没执行"。真正不产 run 的只有
   **什么都没确认**（全 unsure / 全没答）。

## 命令写法（尽量短）

  /mo-run start <工作流 id>   开窗
  /mo-run stop                结账 → 出待确认清单
  /mo-run confirm P6 V2       这两步做了
  /mo-run confirm P6 V2:- A3:?   带标记：* 做了 / - 没做 / ? 不确定

`stop` 的回执给出**步骤表 + 本次观察到的业务动作**供对照；未提到的步骤不写。

## 顺手清掉

P2 改契约后 5 个文案键成了孤儿（unobserved/unattributed/ambiguous/
nothingObserved/noSteps），删除；开窗文案原文说"按步骤表归属"已不成立，改成
"确认之后才写账"；`shellNoise` 之前算了没渲染，现在如实显示。

端到端实测（真读盘真写盘）：结账时账本文件**不存在** → 确认 P6 后 → 写账
（by=human）→ 读回投影 P6=trusted；再走一遍确认 V2:- → skipped 落盘。

测试 1989 → 2011。

P2 人确认层 12 条用例 + runner/command 契约更新，基线 1989 → 2011。

## 八条（都是零消费者或假想预留）

1. runner 里 `const before = ...` / `void before;` —— 死代码（赋值后立刻 void）
2. runner 导入的 `projectPipelineDir` —— 全文件只出现在 import 行
3. confirm 返回的 `answers` 词表 —— 命令层有自己的解析表，写死两份只会漂
4. confirm 返回的 `pipelineTitle` —— 零引用
5. confirm 返回的 `observations` —— 零引用
6. runner 的 `pending.stats` 六字段 → 三字段（bufferedEvents/observations/dangling
   在确认阶段零渲染；stop() 的即时返回里保留，那里调试有用）
7. BUSINESS_VERBS 24 个 → 6 个（实测 21723 次调用只命中 git/gh/npm/node；
   其余是"猜未来会用到"的预留）
8. `looksLikeSubcommand` 五道 if → 一个正则（字符集天然挡住旗标、含点文件名、
   `$(…)` 片段与超长值）

## 额外一处（清单之外，但必须修）

`hints[stepId] = [observation.command]` 存的是**完整命令行**，而它会经 proposal
流到命令回执里。P1 的分桶层刚花力气把位置参数剥掉防路径泄露，这里等于从另一个
口子把路径带回来。改成**只存次数**：`hintCount`。

这一步改了契约，连带更新 buildProposal 的返回与命令层渲染，以及三处测试断言。
按 ponytail 的边界这属于隐私问题、不该混进复杂度复核——它只是恰好和删字段
在同一段代码里，所以一并做了，并在提交里点明。

## 数字

实际净减 **16 行**（activities 186→178、confirm 143→142、runner 306→299），
不是清单预估的 28——有几处加了说明注释抵消了一部分。

测试 2011 / 2010 pass / 0 fail，check-sync 一致。

# Conflicts:
#	README.md
#	dsh-mneme/README.md

## 这一刀做什么

P2 之后，人确认「哪几步真的走了」；P3 把两样都有的东西对一遍：

  人说这步做了 + 声明的 tool 本次一次都没出现 → 步骤表可能与实际行为脱节

实测背书：gh pr merge --rebase 在 21723 次调用里出现 0 次（08 号文）。
系统只把矛盾摆出来让人判（声明该改 / 本来不必敲 / 我记错了），
**不改步骤表**——改表是人的动作。

## 为什么是丙方案（旁挂文件，不动账本）

账本 .runs.jsonl 是 v0.9.0 发出去的数据契约，为 P3 加字段是动已发布契约。
观察走旁挂：

  <memoryDir>/observations/<项目键>/<工作流id>.jsonl

这个仓库有三次同构先例（candidates / proposals / observations）：
项目键分桶、只增不改（append-only、按 confirmAt 幂等）、不进仓库、坏行跳过但计数。
可回放（提议层能从旁挂重算），又零契约改动。

## 🔴 隐私（第二道闸）

观察行只存 {key, count, flags?}。形状闸**拒收**任何带 command/args/segments 的
输入——完整命令行含绝对路径（路径含本机用户名）。且是**验原始输入再构造**：
上游多带的字段要大声拒，不是悄悄剥掉（静默剥离会把上游形状 bug 藏进一次成功写入）。

## 接线

  · runner 工厂加 memoryDir 注入项（与 resolvePipeline/persistRun 同款）；
    null = P3 静默关闭，不落旁挂——runner 不读 config，测试不碰真文件系统
  · stop 把 activities 带进 pending；confirm 时：旁挂落盘 + toolMismatches 检出
  · 旁挂写失败不连累记账（账本才是唯一事实），只 logger.warn
  · 回执双语：不符清单逐条列「声明 X，本次未出现；实际看到 …」
  · multi-anchor tool（a / b）任一出现即算对上；unsure/没答不进判据

## 过程里抓到的自己两个错（都修了）

  · 形状闸第一版先构造再验——多余字段被静默剥掉，闸形同虚设。
    改成先验原始输入；测试锁死
  · 失败路径测试第一版用了「cwd 为空」场景，但 start 在 no-project-root
    就拦了，场景不可达。改成 node mkdirSync 实测会抛的 ENOTDIR（占位文件
    当父目录）；PowerShell New-Item -Force 的行为骗了我一次

## 数字

测试 2045 → 2058（+13：observations 模块 10 + runner 接线 3），
全量 2058/2057 pass/0 fail，check-sync 72 文件一致。

P3 丙方案：observations 模块 10 条 + runner 接线 3 条，基线 2045 → 2058。

合并冲突时 git 把两边的加法串自动拼了，但只体现了一个 +1——实际上
两边各加了一键（actionRunEnabled 与 personaEnabled），effective 应为 99。
顺手把那条 26 项加法串收成一个字面量：这串每合并一次就要重算一遍，
拼得越长越没人验算，换成 99 配一行注释反而可查。

同步重新生成 lib/（合并时 lib/config.js 与 lib/settings.js 的冲突标记
是脏的，sync 后清零）。

全量 2080/2079 pass/0 fail，check-sync 72 文件一致。