E04 修到零被拒线,harness 补七刀:跨进程租约与广播桥、原子写、引用墙、对话区按序号排

活动侧(E04 2.1.0 → 2.1.9,I01 1.2.2):
- 覆盖闭合成为机检:基座新增 distinct 读数,「计划盖住的客户数 = 候选行数」钉进
  S3 收步 / S4 哨兵 / 放行 L2;人加的候选客户不再被整单无视
- 「关键人待识别」占位句式全链退役:查无联系人先发数据录入卡收人;契约新增 refersTo,
  计划/回执的 contact_code 只许引用真实存在的联系人(安装期核引用目标)
- 台账更新确认摆全落库面:客户档案/联系人档案两张落库预览(touched: 数据源,
  正式现值 + 草稿叠加),可补改、可加行(自增主键由基座续号);姓名升必填
- 更新明细:update_key 位置键 + 「同一处只留一条」L2;依据写人话不带机器键;
  标题旁不摆单号;判据与文案不夹字段名;行标识去掉单标识那一段
- 回执骨架 = 计划行数钉进 S3 收步与 S4 哨兵;重做分支不许删计划凑数
- 阶段刻度对齐文档 7 步;起单样例预填满

基座侧:
- 两个后端连同一个库:task-claim 跨进程租约(迁移 0030)+ Postgres LISTEN/NOTIFY
  广播桥;对话区按任务内记忆序号排,不按墙上时钟;并卡「刚说过话」按记忆序列判紧邻
- 多行 write 整批先验后写(dryRun),被拒 = 一行都没落
- 决策卡意见与本单草稿字面比对,归属以观察进轨迹(note-anchors)
- 括号栈补「补闭括号」两形(少一个 } / 行对象没关直接跟下一行)
- 件上加行:空着的自增主键直进续号,不从别的行借号;未落下的行点名回给前端
- 人答复落库那一刻就把 runtime 翻 running(task.wake),两块同帧变脸
- 试跑单可落真库(land_master,迁移 0031,默认开);数据域按活动分组;
  JSON 列不再是 [object Object];按钮键感 + 在办进度条 + 防抖
- 报价链 A1–A7 从系统卸载(只卸不删源码),种子只装 E04/I01

契约变更(api-report 已刷新):FieldDeclaration.distinct / refersTo,
objectDeclaration.file,landMaster,unkeyed,assetFiles,ledgerByActivityRoute。
1700 测 / typecheck / lint / depcruise / api:check 绿。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01EEJX8Z7CHejvwmDQyPQuBX

docs/debt.md

@@ -993,3 +993,33 @@ A2 踩过「媒体查询被基础规则盖掉」),两包各自的编辑态孪生
 而不是台账后来被下一单改成的样子。工作成果那一屏另起一摞「产出的资料」,
 点开即预览、可下载原件。冻结这件事就此定了:**归档的资料与台账脱钩** ——
 台账后来改了,归档件不改口。
+
+## 2026-08-24 · 两个后端连同一个库:局面被并发覆盖(已修一半)
+
+**症状**(柴浩实测,E04 一单五拍熔断):`finish S2` 被拒「从没给它发过卡」,
+而重发那张卡又被拒「这件事刚问过,人也答过了」—— 两堵墙对着撞,推不动。
+
+**根因**:本机与局域网另一台机器上各跑着一个后端,连的是同一个库。两边的推进器各自
+2 秒扫一次「running 的单」,**同时推同一张**;而互斥只在进程内(`task-lock.ts` 开头
+自己写着「MVP 单进程…多进程部署时再叠一层」)。两拍并发跑在同一份 `sys.loop_state` 上,
+**后写的整份覆盖先写的** —— 「给 S2 发过卡」这个事实(`worldTouched`)被抹掉,
+S1 被收了两遍(两条 rationale 只差一个标点,是两次独立采样)。
+
+**已修**:`workers/task-claim.ts` —— 库里一列 `advancing_until` 当**跨进程租约**,
+推之前一条 SQL 判+占(`where advancing_until is null or advancing_until < now() … returning`),
+推完就还,带 5 分钟过期(进程崩了不锁死)。推进器与派发器两条推进路径都接了。
+实测:两条真连接对着真库抢 20 轮,每轮恰好一个赢;租约过期后另一方接得上。
+
+**还欠**:`loop_state` 本身**没有乐观并发**(没有版本号 / CAS)。租约挡住了「两边同时推」
+这条主路,但只要有第三条路绕过租约去写局面,后写的仍会整份覆盖先写的,而且**悄无声息**。
+该补的是:`save` 带上读到的版本号,`update … where version = ?`,不命中就当场炸
+(「这一拍的局面已被别处改过」),而不是默默覆盖。等真要多机部署时补齐。
+
+## 2026-08-24 · 覆盖闭合是条数对账,不是集合对账
+
+「每家候选客户都进了经营计划」(E04@2.1.1,S3 收步 / S4 哨兵 / 放行 L2 三处同一句)
+数的是 `plan_distinct_customer_code = candidate_rows` —— **两个数相等,集合未必相等**:
+计划里冒出一家非候选客户、同时又漏掉一家真候选,条数照样对得上。这一半靠 S3 guide 的
+「抄名单逐条核对,一家都不能多」看着(实测这半边模型守得住;漏家那半边守不住,
+所以才立的机检)。真要机检集合相等,得让基座出「A 表某列的值集 ⊆ B 表某列的值集」
+这类读数 —— 等第二次真踩到再立,别为想象中的路修桥。