E04 修到零被拒线,harness 补七刀:跨进程租约与广播桥、原子写、引用墙、对话区按序号排

活动侧(E04 2.1.0 → 2.1.9,I01 1.2.2):
- 覆盖闭合成为机检:基座新增 distinct 读数,「计划盖住的客户数 = 候选行数」钉进
  S3 收步 / S4 哨兵 / 放行 L2;人加的候选客户不再被整单无视
- 「关键人待识别」占位句式全链退役:查无联系人先发数据录入卡收人;契约新增 refersTo,
  计划/回执的 contact_code 只许引用真实存在的联系人(安装期核引用目标)
- 台账更新确认摆全落库面:客户档案/联系人档案两张落库预览(touched: 数据源,
  正式现值 + 草稿叠加),可补改、可加行(自增主键由基座续号);姓名升必填
- 更新明细:update_key 位置键 + 「同一处只留一条」L2;依据写人话不带机器键;
  标题旁不摆单号;判据与文案不夹字段名;行标识去掉单标识那一段
- 回执骨架 = 计划行数钉进 S3 收步与 S4 哨兵;重做分支不许删计划凑数
- 阶段刻度对齐文档 7 步;起单样例预填满

基座侧:
- 两个后端连同一个库:task-claim 跨进程租约(迁移 0030)+ Postgres LISTEN/NOTIFY
  广播桥;对话区按任务内记忆序号排,不按墙上时钟;并卡「刚说过话」按记忆序列判紧邻
- 多行 write 整批先验后写(dryRun),被拒 = 一行都没落
- 决策卡意见与本单草稿字面比对,归属以观察进轨迹(note-anchors)
- 括号栈补「补闭括号」两形(少一个 } / 行对象没关直接跟下一行)
- 件上加行:空着的自增主键直进续号,不从别的行借号;未落下的行点名回给前端
- 人答复落库那一刻就把 runtime 翻 running(task.wake),两块同帧变脸
- 试跑单可落真库(land_master,迁移 0031,默认开);数据域按活动分组;
  JSON 列不再是 [object Object];按钮键感 + 在办进度条 + 防抖
- 报价链 A1–A7 从系统卸载(只卸不删源码),种子只装 E04/I01

契约变更(api-report 已刷新):FieldDeclaration.distinct / refersTo,
objectDeclaration.file,landMaster,unkeyed,assetFiles,ledgerByActivityRoute。
1700 测 / typecheck / lint / depcruise / api:check 绿。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EEJX8Z7CHejvwmDQyPQuBX

docs/debt.md

@@ -993,3 +993,33 @@ A2 踩过「媒体查询被基础规则盖掉」),两包各自的编辑态孪生
 而不是台账后来被下一单改成的样子。工作成果那一屏另起一摞「产出的资料」,
 点开即预览、可下载原件。冻结这件事就此定了:**归档的资料与台账脱钩** ——
 台账后来改了,归档件不改口。
+
+## 2026-08-24 · 两个后端连同一个库:局面被并发覆盖(已修一半)
+
+**症状**(柴浩实测,E04 一单五拍熔断):`finish S2` 被拒「从没给它发过卡」,
+而重发那张卡又被拒「这件事刚问过,人也答过了」—— 两堵墙对着撞,推不动。
+
+**根因**:本机与局域网另一台机器上各跑着一个后端,连的是同一个库。两边的推进器各自
+2 秒扫一次「running 的单」,**同时推同一张**;而互斥只在进程内(`task-lock.ts` 开头
+自己写着「MVP 单进程…多进程部署时再叠一层」)。两拍并发跑在同一份 `sys.loop_state` 上,
+**后写的整份覆盖先写的** —— 「给 S2 发过卡」这个事实(`worldTouched`)被抹掉,
+S1 被收了两遍(两条 rationale 只差一个标点,是两次独立采样)。
+
+**已修**:`workers/task-claim.ts` —— 库里一列 `advancing_until` 当**跨进程租约**,
+推之前一条 SQL 判+占(`where advancing_until is null or advancing_until < now() … returning`),
+推完就还,带 5 分钟过期(进程崩了不锁死)。推进器与派发器两条推进路径都接了。
+实测:两条真连接对着真库抢 20 轮,每轮恰好一个赢;租约过期后另一方接得上。
+
+**还欠**:`loop_state` 本身**没有乐观并发**(没有版本号 / CAS)。租约挡住了「两边同时推」
+这条主路,但只要有第三条路绕过租约去写局面,后写的仍会整份覆盖先写的,而且**悄无声息**。
+该补的是:`save` 带上读到的版本号,`update … where version = ?`,不命中就当场炸
+(「这一拍的局面已被别处改过」),而不是默默覆盖。等真要多机部署时补齐。
+
+## 2026-08-24 · 覆盖闭合是条数对账,不是集合对账
+
+「每家候选客户都进了经营计划」(E04@2.1.1,S3 收步 / S4 哨兵 / 放行 L2 三处同一句)
+数的是 `plan_distinct_customer_code = candidate_rows` —— **两个数相等,集合未必相等**:
+计划里冒出一家非候选客户、同时又漏掉一家真候选,条数照样对得上。这一半靠 S3 guide 的
+「抄名单逐条核对,一家都不能多」看着(实测这半边模型守得住;漏家那半边守不住,
+所以才立的机检)。真要机检集合相等,得让基座出「A 表某列的值集 ⊆ B 表某列的值集」
+这类读数 —— 等第二次真踩到再立,别为想象中的路修桥。

docs/活动开发规范.md

@@ -114,14 +114,15 @@ activities/<id>/src/ ──(pnpm activities:build)──> dist/{manifest.json,in
   它存在的理由:门拦住一件办错的事却不给改正的手段,那扇门就只是个死胡同。
 - **归型前移**:`draftWrite` 按声明列型归(空值 = 不写这一列、数值/布尔字符串转真类型、
   归不了当场拒)。**人手改的值与 AI 写的值过同一道门**。
-- **字段四标记**(`fieldDeclarationSchema`):
+- **字段五标记**(`fieldDeclarationSchema`):
 
 | 标记 | 语义 | 基座据此产出 |
 |---|---|---|
 | `required` | 这一列缺了就是活没干完(验收标准;不建 NOT NULL) | `域_对象_missing` / `_missing_keys`;执行卡提交闸;件上缺项红带 |
 | `expect` | 缺了不拦单,但那一问不能省(客户该给而没给的) | `域_对象_gaps` / `_gaps_keys`;L4「选填缺口」谓词读它 |
 | `tally: ['A','B','C']` | 分类列,给出取值域 | `域_对象_<列>_<值>` 按值现数(没出现的值也铺 0) |
-| `auto` | 内部流水号,**不问人、不让模型编** | 写入那一刻按「同组其余主键值-两位序号」生成(`CU-9001-01`);录入卡上那一格不出现,另摆一句「由系统按顺序生成」 |
+| `auto` | 内部流水号,**不问人、不让模型编** | 写入那一刻按「同组其余主键值-两位序号」生成(`CU-9001-01`);录入卡上那一格不出现,另摆一句「由系统按顺序生成」;**件上「加一行」同规**(2026-08-24):其余主键都填了、缺的恰好是 auto 列 → 基座续号落行,拒回也不点名人填不了的 auto 列 |
+| `distinct` | 这一列要数「有几个不同的值」(2026-08-24 加,E04 首用) | `域_对象_distinct_<列>`(空值不算一种;零行铺 0)。**覆盖闭合判据的落点**:「每家候选客户都进了计划」= `计划_distinct_客户码 = 候选_rows` —— 行数 ≠ 客户数,没有这个数,「盖没盖住每一家」就只能靠模型自觉(实测靠不住:人在确认卡上加的客户被从计划到收口无视了一整单) |
 
   注意 `expect` 的边界:**我方写的注(如备注列)不算** —— 标了它 `_gaps` 恒大于 0,
   那条判据永远绿不了,门就废了。