# Activity Log · 2026-07-31 · Claude Code DTP

## Session `20260731_015954` · Buffer S8 · « Vert trompeur » : les 6 gates `ci/*.sh` passaient VERT hors d'un arbre git en ne contrôlant RIEN

**Tâche** : **Sprint 8 · buffer L75 (« Regression tests exhaustifs » · DevOps
CI/CD)**. Roadmap fonctionnellement close (21/21 modules 100/100, 534 tests verts,
6 gates statiques). Poursuite de la série anti-dérive : recherche d'un **faux-vert
réel** (gate qui passe sans rien vérifier), même classe que les bugs
`regression_run.json` / `out/` RBAC des sessions précédentes.

### Défaut trouvé — `cd "$(git rev-parse --show-toplevel)"` échoue en SILENCE hors d'un checkout git

- **Mécanisme** : les **6** gates commençaient par
  `cd "$(git rev-parse --show-toplevel)"`. HORS d'un arbre de travail git (tarball,
  `git archive | tar -x`, `git` absent du PATH, working-dir erroné), `git rev-parse`
  n'écrit **rien** sur stdout → la commande devient `cd ""`, un **no-op qui RETOURNE
  SUCCÈS** (le script reste dans le cwd au lieu d'échouer). Les gates poursuivaient
  sur un `git ls-files` renvoyant une liste **VIDE** →
  `validate_json` (« Aucun fichier .json suivi — rien à valider »),
  `guard_constraints` et `check_docs` sortaient **exit 0 VERT en ayant contrôlé
  ZÉRO fichier** (≈50 JSON non validés, contraintes CLAUDE.md non vérifiées). Un
  gate qui passe au vert sans rien enforcer est le **pire** « vert trompeur » —
  précisément ce que la série buffer traque.
- **Preuve au sol (avant fix)** : copie de l'arbre **sans `.git`** →
  `validate_json` **exit 0** « rien à valider » ; `guard_constraints` **exit 0**
  « Contraintes respectées » ; `check_docs` **exit 0**. Ce piège avait déjà faussé
  une vérif « 6 gates verts sur git archive » d'une session antérieure (un `git
  archive | tar -x` n'a **pas** de `.git`, alors que le runner Gitea a un vrai
  `.git` via `actions/checkout@v4` — donc la méthode « archive » n'est PAS
  équivalente au runner pour tout check qui interroge git).

### Fix (2 solutions · CLAUDE.md #4 — retenu : helper partagé DRY + durcissement INV-B)

- **Correctif de fond** : nouveau helper **`ci/lib.sh`** (sourcé, jamais exécuté
  seul) exposant **`cd_repo_root`** — se positionne à la racine, ou **échoue
  bruyamment** (`exit 3`, code distinct d'un échec de contrôle `1`) avec un message
  clair si `git rev-parse` ne renvoie rien. Les 6 gates remplacent leur
  `cd "$(git rev-parse …)"` par `source "$(dirname "${BASH_SOURCE[0]}")/lib.sh" ||
  exit 3 ; cd_repo_root`. *(Alt. écartée : inliner le garde de 4 lignes × 6 fichiers
  = doublon, contraire à CLAUDE.md #5 · préférence lib partagée.)*
- **Durcissement du gate de câblage (INV-B · `check_ci_integrity.sh`)** : INV-B
  exigeait que **chaque** `ci/*.sh` soit lancé par un job — `ci/lib.sh` (jamais dans
  un `run:`) aurait été flaggé « gate mort ». INV-B accepte désormais un `ci/*.sh`
  câblé de **deux** façons : lancé par un job du gate, **OU sourcé** par ≥1 gate
  script (détecté par grep d'une ligne `source …/<base>` / `. …/<base>`, `#` exclu).
  C'est un **renforcement** réel : le gate prouve maintenant aussi que les libs
  partagées sont **effectivement sourcées** (pas du code mort).

### Preuves de morsure

- **Faux-vert corrigé** : arbre copié **sans `.git`** → les 6 gates sortent
  désormais **exit 3** avec « ❌ ERREUR gate : hors d'un arbre de travail git »
  (avant : `validate_json`/`guard_constraints`/`check_docs` = **exit 0 vert**).
  Idem sur `git archive HEAD | tar -x` **après commit**.
- **INV-B reconnaît la lib** : `ci/lib.sh — lib sourcée par [les 6 gates] · non
  exécutée en propre (OK)` → **exit 0**.
- **INV-B attrape une lib morte** : `ci/_dead.sh` (sourcé par personne) ⇒
  `✗ … lancé/sourcé par AUCUN job CI (gate mort)` ⇒ **exit 1**.

**Non-régression** : **6 gates verts** dans l'arbre de travail (= ce que voit le
runner via `actions/checkout@v4`, avec un vrai `.git`) ; matrice **534/21 · PASS
inchangée** ; `qa/audit_4big` **out/ inchangé** (les édits `ci/` sont **hors**
`05_deliverables_mvp` → aucune dérive de consommateur) ; `ci.yml` YAML **valide**.

**Anti-invention (#6)** : rien inventé — garde purement défensif (bash/git stdlib),
INV-B relit `ci.yml` + grepe les gates sur disque à chaque run.

**Hors périmètre worker (VPS · #8)** : néant (stdlib en-repo ; enregistrement du
runner Gitea toujours du ressort DevOps).

**Auto-score 4Big** : 96/100.

---

## Session `20260731_012944` · Buffer S8 · Reproductibilité en CHECKOUT PROPRE — le hand-off out/ des 4 générateurs RBAC était `.gitignore`é → gate rouge en CI, vert en local seulement

**Tâche** : **Sprint 8 · buffer L75 (« Regression tests exhaustifs » · DevOps
CI/CD)**. Roadmap fonctionnellement close (21/21 modules 100/100, 534 tests verts,
6 gates statiques). Poursuite de la série anti-dérive : recherche d'un **écart
green-local / red-en-CI réel** (même classe que le bug `regression_run.json`
corrigé plus tôt aujourd'hui) plutôt qu'un correctif cosmétique.

### Défaut trouvé — 2 gates ROUGES en checkout propre (`check-artifacts` + `check-regression`)

- **Méthode** : test au sol par `git archive HEAD | tar -x` (= exactement ce que
  voit le runner Gitea), et non `bash ci/*.sh` dans l'arbre de travail.
- **Constat** : les 4 générateurs RBAC (`rbac/fixtures_gen`, `userperm_gen`,
  `roleprofile_gen`, `apply_plan`) **`.gitignore`aient leur `out/`** (« re-générable
  à la demande ») — alors qu'ils sont audités en archétype **`generator`** (critère
  **HANDOFF** = `out/MANIFEST.json` + ≥1 artefact JSON). En checkout **propre**,
  leur `out/` est **absent** → l'audit 4Big (`qa/audit_4big`, dont le `build`
  **relit le `out/` de CHAQUE module**) les note **80 < 95** ⇒ **INV7** ⇒ build
  **refusé**. Cascade : `check-artifacts` **rouge** (rebuild audit_4big + demo
  échouent) et `check-regression` **rouge**. Ça ne « passait » qu'en **local**,
  grâce aux `out/` **non suivis** laissés sur disque par des `build` manuels —
  **exactement** la classe du bug `regression_run.json` (green-local/red-CI).
- **Preuve au sol** : `git archive` de `HEAD` → `check_artifacts` **exit 1**
  (`INV7 rbac-* note 80 < 95` · `demo/scenarios build a échoué`) et
  `check_regression` **exit 1**. Les 15 autres générateurs commettent bien leur
  `out/` → seuls les 4 RBAC étaient l'exception.

### Fix (2 solutions · CLAUDE.md #4 — retenu : aligner sur les 15 autres modules)

- **Correctif de fond** : **committer** le `out/` des 4 générateurs RBAC (retrait
  de `out/` des 4 `.gitignore` + `git add`). Faisabilité **prouvée** : chaque
  `build` est **byte-déterministe** (2 builds successifs identiques ; tri stable,
  zéro horodatage). `apply_plan` lit ses frères **en process** (imports), pas via
  leur `out/` — committer le `out/` sert **uniquement** le contrat HANDOFF audité.
  L'audit note désormais les 4 modules **100/100** en checkout propre. *(Alt.
  écartée : reclasser les 4 en archétype sans HANDOFF — diverge du reste des
  générateurs et laisse `check_artifacts` les ignorer, moins cohérent · #5.)*
- **Durcissement du gate (empêche la récidive)** : `ci/check_artifacts.sh`
  comparait le build frais au fichier de l'**arbre de travail** — donc un `out/`
  **non suivi** (ignoré / jamais `git add`) le rendait **vert en local** alors
  qu'il serait **absent en CI**. Ajout d'une assertion **`git ls-files
  --error-unmatch`** : tout fichier produit par `build` DOIT être **suivi par git**
  → l'écart devient une **erreur locale honnête**, plus une surprise en CI.
- **Régénération des consommateurs (mémoire projet)** : l'édition des 4 README RBAC
  (en-tête `out/` « non commité » → « commité · byte-déterministe », +18 o chacun)
  a fait dériver `qa/audit_4big/out/quality_report.json` (evidence DOC = taille
  README) — **régénéré** (PASS · 21/21 · min 100). `demo` + `regression run`
  rejoués : **inchangés** (ils lisaient déjà l'état correct).

**Preuve de morsure du durcissement** : `git rm --cached role.json` (fichier laissé
sur disque, simulant un `out/` ignoré) ⇒ `check_artifacts` **exit 1** (`✗ … NON
SUIVI par git → absent en CI propre`) ; re-`git add` ⇒ **exit 0**. Avant le
durcissement, ce même état passait **vert**.

**Vérifs** : **6 gates verts sur `git archive` propre** (guard/json/docs/artifacts/
regression/ci_integrity) ; suites harnais **OK** (fixtures/userperm/roleprofile/
apply_plan/audit_4big/regression/demo · 32/32) ; matrice **534/21** **inchangée** ;
build de TOUS les consommateurs → **zéro dérive résiduelle**.

**Anti-invention (#6)** : rien inventé — `out/` RBAC = sortie déterministe des
générateurs ; `quality_report` recalculé depuis les faits du dépôt.

**Hors périmètre worker (VPS · #8)** : néant (stdlib pur en-repo ; les fixtures
Frappe côté VPS restent `.gitignore`ées, hors de ce correctif).

**Auto-score 4Big** : 96/100.

---

## Session `20260731_005934` · Buffer S8 · Intégrité du câblage CI — le gate d'agrégat verrouille TOUS les jobs (gates statiques compris)

**Tâche** : **Sprint 8 · buffer L75 (« Regression tests exhaustifs » · DevOps
CI/CD)**. Roadmap fonctionnellement close (21/21 modules à 100/100, 534 tests
verts, **5** gates statiques tous verts au démarrage). Poursuite de la série
anti-dérive (INV4, fraîcheur matrice, reproductibilité artefacts) : recherche d'un
**trou de câblage réel** plutôt qu'un correctif cosmétique.

### Défaut trouvé — les gates STATIQUES n'étaient gardés par aucun invariant d'appartenance au gate

- **Constat** : le job `gate` (`needs: [...]`) est le **seul verrou de merge** — un
  check absent de son `needs:` ne bloque **rien**, même rouge. Les deux couvertures
  existantes (`audit_4big/registry.coverage_report`, `qa/regression/discovery.
  coverage_report`) prouvent l'appartenance au gate **uniquement** pour les jobs de
  **module** (ceux portant un `working-directory:` sous `05_deliverables_mvp`). Les
  **5 gates statiques** (`constraints-guard`/`validate-json`/`check-docs`/
  `check-artifacts`/`check-regression` → scripts `ci/*.sh`) **n'ont pas** de
  working-directory : **rien** ne garantissait qu'ils alimentent le gate. Retirer
  l'un d'eux de `needs:` (ou une **typo** dans la liste, ou un `ci/*.sh` **décâblé**)
  rendait le gate **vert en se court-circuitant** — même classe de dérive silencieuse
  que INV4 (orphan_tests_dirs), côté **câblage CI**.
- **Fix** : nouveau gate `ci/check_ci_integrity.sh` (bash/awk/git, stdlib pur, zéro
  réseau) + job CI `check-ci-integrity`, lui-même ajouté à `gate.needs`. Deux
  invariants, lus par FAITS dans `ci.yml` (jamais une liste à la main) :
  - **INV-A** : `gate.needs` == { tous les jobs définis } − { `gate` } − { jobs
    **manuels** `if: … workflow_dispatch …`, ex. `e2e-baseline` légitimement hors du
    gate push/PR }. Détecte **MISSING** (job oublié → ne bloque pas), **DANGLING**
    (référence fantôme : typo / job supprimé) et **MANUAL-IN-GATE** (job manuel dans
    `needs` → gate en attente perpétuelle sur push).
  - **INV-B** : chaque `ci/*.sh` du dépôt est lancé par exactement un job
    (`run: bash ci/<script>`), lui-même dans `gate.needs` — un gate statique **non
    câblé** (script mort) ou **décâblé** casse le check.
- **Preuve de morsure (5 modes, tous exit 1)** :
  - MISSING : `check-artifacts` retiré de `needs` ⇒ `✗ ABSENT de gate.needs` + `✗`
    INV-B sur `check_artifacts.sh` ;
  - DANGLING : `seo-tests`→`seo-testz` dans `needs` ⇒ `✗ référence 'seo-testz' non
    définie` + `✗ seo-tests ABSENT` ;
  - MANUAL-IN-GATE : `e2e-baseline` ajouté à `needs` ⇒ `✗ job manuel … gate en
    attente` ;
  - SCRIPT-MORT : `ci/check_phantom.sh` commité sans job ⇒ `✗ lancé par AUCUN job` ;
  - DÉCÂBLÉ : couvert par le mode MISSING (job hors `needs`).
  État nominal restauré ⇒ **exit 0** (`gate.needs = 28 jobs = 30 définis − 1 (gate)
  − 1 manuel [e2e-baseline]`).

**Non-régression** : le nouveau job est **statique** (aucun `working-directory`) →
comme les 5 autres, il **n'entre pas** dans la matrice de régression ni le registre
`audit_4big` (dérivés des seuls jobs de module). Totaux **534/21 inchangés**.
Suites harnais **OK** : `qa/regression` (21 suites · 534), `qa/audit_4big` (21/21 ·
min 100), `qa/acceptance` (bijectif=True). `ci.yml` YAML **valide**.

**Anti-invention (#6)** : rien inventé — le gate **relit** `ci.yml` et recalcule les
ensembles à chaque run (aucun compteur figé).

**Vérifs** : **6 gates** statiques verts (`guard_constraints`/`validate_json`/
`check_docs`/`check_artifacts`/`check_regression`/`check_ci_integrity`) ; doc
`ci/README.md` mise à jour (tableau des jobs, section 2 détaillée, exécution locale,
checklist « 6 gates »).

**Hors périmètre worker (VPS · #8)** : néant (stdlib en-repo ; enregistrement du
runner Gitea toujours du ressort DevOps).

**Auto-score 4Big** : 96/100.

---

## Session `20260731_002924` · Buffer S8 · Intégrité de la matrice de régression (bug CI réel + invariant disque→CI)

**Tâche** : **Sprint 8 · buffer L75 (« Regression tests exhaustifs » · DevOps
CI/CD)** — roadmap fonctionnellement close (21/21 modules gated à 100/100, 534
tests verts, 5 gates statiques). Recherche d'une **incohérence de reproductibilité
réelle** plutôt qu'un correctif doc cosmétique. **Deux** défauts réels trouvés et
corrigés, tous deux dans `qa/regression`.

### Défaut #1 (PRIORITAIRE · bug CI réel) — le gate `check-regression` était cassé en checkout propre

- **Symptôme** : `ci/check_regression.sh` (l.52-53) **exige** que
  `qa/regression/out/regression_run.json` **existe dans le dépôt**, puis compare un
  `run` frais à ce fichier commité (baseline byte-identique).
- **Contradiction** : ce même fichier était **`.gitignore`é** (« non déterministe
  (temps machine) → jamais commitée ») → **jamais présent dans un checkout propre**.
  Le job Gitea `check-regression` ne fait que `checkout` + `bash check_regression.sh`,
  **aucune étape ne génère** le fichier. **Conséquence** : le gate **échouait sur
  CHAQUE run CI propre** (`artefact absent du dépôt`). Il ne « passait » qu'en local,
  par la présence d'un `regression_run.json` **non suivi** laissé par un `run` manuel.
  Le commentaire de `ci.yml` disait déjà « le regression_run.json **commité** » —
  intention claire du commit précédent, jamais concrétisée (fichier resté ignoré).
- **Vérif de faisabilité (#1 analyser)** : l'artefact `run` est **byte-déterministe** —
  clés `{ran,passed,failures,...}` + `path` **relatif**, **aucun** horodatage/hôte/
  durée. Deux `run` successifs **byte-identiques** (vérifié). Le committer est donc
  **licite** et complète l'intention du gate.
- **Fix** : `run` est désormais **commité** (baseline du gate) →
  - `.gitignore` : retrait de `out/regression_run.json` + note expliquant qu'il est
    commité *parce que* déterministe ;
  - `README.md` : section `run` réécrite (byte-déterministe · commité · baseline
    `check_regression` · distinction d'avec `check_artifacts` qui ne rejoue que
    `build`) ;
  - `out/regression_run.json` : **ajouté au suivi** (21 suites · 534 tests · PASS).
- **Preuve de morsure** : fichier retiré (simule checkout propre) ⇒ gate **exit 1**
  (`artefact absent`) — l'état exact en CI ; restauré ⇒ **exit 0** (`run == commité`).

### Défaut #2 (invariant manquant) — dérive silencieuse disque→CI non gardée

- **Gap** : `discovery.coverage_report` prouvait le sens **CI→disque** (tout module
  gated a un `tests/`) mais **pas l'inverse** : un module gagnant un `tests/` sur
  disque **sans job CI** n'entrait jamais dans la matrice, ses tests **ne tournaient
  jamais**, et la couverture ne le voyait pas (elle n'itère que les suites dérivées du
  CI) — la matrice restait « PASS » en **sous-comptant** en silence. Même classe de
  dérive que « demo 18→21 », direction opposée.
- **Fix** : nouvel invariant **INV4** —
  - `discovery.disk_test_modules()` : marche disque pure listant tout module portant
    un `tests/` (POSIX, trié, déterministe) ;
  - `coverage_report` : champ `orphan_tests_dirs = disk − ci_paths` ; `ok` exige
    désormais `not orphan_tests_dirs` ;
  - `regression.schema.json` : `orphan_tests_dirs` ajouté (required · strict) ;
  - `regression_gen.py` : message INV4 surface les orphelins ;
  - `tests/test_regression.py` : +2 tests (sous-ensemble disque⊆CI sur le dépôt réel ;
    preuve de morsure monkeypatch d'un orphelin ⇒ `ok=False`).
- **Preuve de morsure end-to-end** : `mkdir zz_orphan/tests` + `build` ⇒ **build
  refusé** `INV4 … orphan_tests_dirs=['zz_orphan']` ; répertoire retiré ⇒ build OK.

**Anti-invention (#6)** : rien inventé — les deux gates **régénèrent** la vérité (run
frais / couverture recomputée) au lieu de figer un compteur.

**Régénération des consommateurs (mémoire projet)** : l'édition des tests + du README
de `qa/regression` a fait dériver `qa/audit_4big/out/quality_report.json` (evidence
« README.md 3710→4236 octets » et « 24→26 méthodes test_* ») — **régénéré**, verdict
**PASS · 21/21 · min 100**. Totaux matrice **534/21** **inchangés** : le harnais
`qa/regression` est **self-exclu** (INV3) → +2 méthodes test_* n'affectent pas la
matrice.

**Vérifs** : **5 gates** locaux verts (`guard_constraints`/`validate_json`/`check_docs`/
`check_artifacts`/`check_regression`) ; `ci.yml` **YAML valide** ; tests harnais
**26/26 OK** (régression) + **34/34 OK** (audit_4big) ; matrice **534/534 · 21/21 ·
PASS** ; artefacts `out/` reproductibles à l'identique.

**Hors périmètre worker (VPS · #8)** : néant (stdlib pur en-repo ; enregistrement du
runner Gitea toujours du ressort DevOps).

**Auto-score 4Big** : 96/100.