风险与待决

场景：L2 失败 → 改 SDD → 再失败 → 再改 SDD…

对策：三层预算守护

• 每 unit retry ≤ 5 次（L1 内）
• 每 PRD rev 内 L2 修复轮次 ≤ 3 轮
• BugTriager confidence < 0.5 立即上报 L3

超出 → 项目挂起，发 SSE，等人类介入。绝不静默丢弃。

参见 CLAUDE.md L91-99。所有需要带 JSON body 的命令必须先写 /tmp/*.json 再 curl -d @file。

对策：

1. 在 Coder / Tester / Integrator 的 system prompt 中强制声明铁律
2. 沙箱层 hook 检测 -d '{...}' 模式直接拒绝
3. Bash 工具增加 jsonGuard middleware（约 30 行）

三种方案对比见 L2 页 · 集成测试套件从哪来。初版选 A：Architect 同步产 integration/spec.json，理由：

• 少一个 Agent，少一次握手
• spec 与 SDD 同源演化，不会脱节
• Architect 已经 Opus，能力够

若 P3 实测发现 Architect 写 spec 质量差，回退到方案 B 单独加 IntegrationAuthor。

HTML 结构化 diff 比纯文本难。初版策略：section 级粒度，按 data-rev 属性区分新旧（每个 section 要么完全新，要么完全旧）。这避免文本级 diff 算法的复杂度。

已知限制：同一 section 内修改不会高亮，只能整段标 changed。

P5+ 升级：引入 diff-dom 做精细化 inline diff。但需要先看 P4 实测是否够用。

EvolutionLoop（在 packages/evolution/）负责 Skill 进化，是另一套独立系统。DevLoopController 负责工程化代码开发。两者不交叉。

唯一耦合：retryWithReflection() 抽到公共包供两者共用。从 evolution-loop.js 抽出约 80 行代码，外部接口保持不变。

BugTriager 输出 affected_units 是 string[]，靠字符串匹配 UnitRegistry。如果不同轮 Architect 用 auth-be / auth-backend / auth-server 三种风格，归因会丢。

对策：Architect 强制后缀（参见 Architect · ④ Unit 拆解策略）。Schema 校验同时强制 id =~ /^[a-z]+(-[a-z]+)*-(be|fe|mw|db)$/。

5 次 unit retry × 多 unit × 3 次 L2 修复 × Opus 模型 = 单项目可能烧几十刀。

对策：

• project.json 加 token_budget 字段（默认 5M tokens / 项目）
• LoopController 每次 callAgent 后累计，超出立刻挂起
• Tester 默认 Haiku（最便宜）
• Dashboard 实时显示已用 token 与剩余预算

具体阈值由 P2 实测 token 消耗后再定。