当前项目状态多维审查

结论摘要

当前业务代码仍处于 LOCAL_CANDIDATE_PASS，不是已部署或可公网测试；07-18 收口后的业务代码没有新增提交。
本次重新执行完整本地门禁通过：Prisma schema 有效，服务端 161 个测试文件 / 985 项测试全部通过，前端 typecheck 与 production build 通过，流程合同、Trellis governance、敏感扫描和功能矩阵通过。
Trellis 项目版本为 0.5.19，本机 CLI 为 0.6.8，npm 最新为 0.6.9。升级应直接以 0.6.9 为目标。
当前最需要优先处理的新增工程风险是前端 React Router 两项 moderate advisory；最重要的既有业务开放项仍是统一导出安全与客户端离线数据生命周期。

全局 CLI 与项目模板已从 0.6.8 / 0.5.19 对齐到 0.6.9，并完成官方 migration。
升级时临时隔离仅含本地设置的 .claude/，恢复后未生成 Claude 托管资产；项目继续保持 Codex-only。
四个冲突文件按设计完成合并，保留 Trellis-first overlay、Codex inline、禁止自动提交和 workspace/ 忽略规则；未保留 .new 冲突副本。
0.6.9 runtime 的 task_context.py 包含 Python 3.9.2 不接受的嵌套多行 f-string；已改为先构造 warning 再着色，并通过全量 compileall 与 task runtime 验证。
升级后 dry-run 不再改变 manifest，仅报告 task_context.py、config.yaml、.gitignore、workflow.md、AGENTS.md 五个有意保留的项目定制。

项目：0.5.19。
本机 CLI：0.6.8。
npm latest：0.6.9。
0.6.9 将更新 Trellis runtime、共享 skills、Codex agents/hooks/config，并新增 .trellis/agents/、trellis-channel、trellis-session-insight 和拼写修正后的 trellis-spec-bootstrap。
AGENTS.md、.trellis/workflow.md、.trellis/config.yaml、.trellis/.gitignore 被识别为本地修改，必须三方合并。

仅因为项目存在 .claude/settings.local.json，CLI 就把 Claude 判定为已配置平台，计划新增整套 .claude/ commands、skills、agents、hooks 与 settings；这与 Codex-only 边界冲突。
0.6.9 的 update --dry-run 会实际清理 .template-hashes.json 中旧拼写 trellis-spec-bootstarp 的 5 个条目，尽管结尾显示 No changes made。预演后的非预期修改已恢复。
上游建议 --migrate，涉及旧拼写目录迁移；不能手工提前删除旧 skill 或强制覆盖本地 workflow。

规模：服务端约 200 个跟踪源文件，前端约 297 个跟踪源文件；服务端 161 个单元测试文件，前端测试目录 81 个文件；Prisma migration 61 项。
全量门禁：985/985 服务端测试通过；前端 typecheck/build 通过。
覆盖率配置能生成报告，但没有风险阈值；既有 QA-COVERAGE-001 仍开放。建议针对认证、付款、worker、迁移/恢复入口建立风险型阈值，不追求全仓统一百分比。
前端生产依赖审计报告 2 项 moderate，均来自 React Router 6.30.4；公开修复指向 7.18.1，属于需要专项回归的 major migration。
服务端 npm audit 因 npm quick-audit endpoint 返回 invalid package tree 而不可用；npm ls 无 problem、npm ci --dry-run 可完成，说明更像审计接口/锁树兼容问题，但仍应在依赖维护任务中闭合。
可安全优先升级一批服务端 patch/minor；Vitest、React、Vite、Tailwind、pg-boss 等 major 不应混成一次升级。
构建观察：PWA precache 约 2.1 MiB，扫码 vendor chunk 约 411 KiB，Material Symbols 字体约 479 KiB；目前无行为故障证据，先测真实首屏/弱网再优化。
非阻断工具提示：Node punycode 弃用；Browserslist 数据约 6 个月未更新。

事实源矩阵最近审计为 07-16，已正确声明当前可信基线与 Trellis-first 优先级。
audit-docs --check-registry 报 22 个未注册文件，但这 22 个文件都在同一文档后续“当前事实源/手册/证据/技术参考”章节列出；脚本只解析首个主表，因此 warning 噪声高。
建议让 registry checker 识别后续分类表，或把 22 项合并进主台账；优先改检查器，避免复制 22 行冗长元数据。
历史 Issue CSV 共 349 个、约 3 MiB；Trellis archive 78 个 task、850 个文件、约 5.7 MiB。体积不大且有审计价值，不建议本轮物理删除。
后续应停止向历史 Issue CSV 增长；Trellis archive 只保留 PRD/设计/关键结论和最小证据，不再重复提交大批 raw log。

整体工作目录约 1.2 GiB，但 Git 仓库仅约 27 MiB；主要是本地依赖与忽略产物，不是 Git 历史膨胀。
server/node_modules 约 644 MiB，client/node_modules 约 253 MiB，属于可重建依赖缓存。
ignored 证据/输出中，output 约 154 MiB、artifacts 约 17 MiB，加上 build/report/coverage 可安全回收约 174 MiB；当前 .gitignore 已覆盖这些路径。
建议新增一个显式的本地清理命令，只删除已忽略且可重建的固定路径；默认不删 node_modules，不清理已跟踪 Trellis archive。