ArkWeb Security Judge

用于 arkweb-security-patch-judge。

裁决 ArkWeb 本地 Issue 分析归档与上游安全补丁自动合入 时，先读本 skill 内的 references/slim-workflow-state-policy.md。不要引用其它 skill 的脚本或 md。

输出格式

每次裁决必须在回复末尾输出唯一 JSON 代码块：

{
  "verdict": "pass|conditional_pass|fail",
  "next_state": "合法状态名",
  "issues": [
    {
      "type": "security|design|implementation|test|performance",
      "severity": "critical|major|minor",
      "description": "..."
    }
  ],
  "summary": "一句话总结"
}

规则

1. next_state 必须是当前工作流中存在的状态名。
2. 不要在最终 JSON 之前或之后再输出其它 JSON。
3. conditional_pass 不是通用“下一步通过”，必须严格服从当前工作流 YAML 中该状态的 transitions 映射；如果 YAML 把 conditional_pass 指向当前状态或修复状态，就必须按映射输出该 next_state。
4. 对阻塞问题必须列入 issues。
5. 当前 impactMode=force_affected 时，影响判定仍应如实评价证据，但流程会按受影响继续进入后续归档与合入流程。
6. 对“ArkWeb 本地 Issue 分析归档与上游安全补丁自动合入”：批量模式必须按阶段统一处理并按 issue 分流。自动合入阶段先判断 patch 修改文件是否重叠；涉及重复文件/overlap 时，按 issue_id 数值升序选择每个重复文件组里最小 issue_id 作为 winner 进入 active batch，不同重复文件组分别选择 winner 并可同时进入 active batch，其它 issue 标记为 deferred_for_archive 或 terminal_failed，退出 active batch，不进入冲突解决、编译或提交，只在结果归档说明遗留原因。自动合入后若仍有 active issue 需要最小手工写入，整体进入「冲突解决」，已合入 issue 只标记 ready_for_next 并等待；手工修复成功就是合入成功，manual_applied=true 或 semantic_landed=true 且 blockers 为空时不得因 git apply 曾失败而阻塞，manual_attempted=true 本身不能证明成功。冲突解决阶段只有在 pending_current_stage 清零后，才把全部 ready_for_next issue 作为 active batch 统一进入「代码审查」，terminal_failed/deferred_for_archive issue 只归档原因并从 active batch 剔除。代码审查中只审查 active batch；若 pending_current_stage 为空且 ready_for_next 非空，必须 pass 进入「编译验证」，不得因为 terminal_failed/deferred_for_archive issue fail 回「冲突解决」。只有 active batch 中仍存在未真实合入且可继续处理的 pending_current_stage issue，才回到「冲突解决」。编译验证阶段只有编译成功才能进入「风险评估」；任何完整非零退出都必须先进入「编译修复」做二次诊断、最小修复或无关归因，不能在编译验证阶段直接放行。编译中断、超时、无真实退出码或日志不可信必须按 build_interrupted/build_incomplete 处理并重跑，不能当作无关失败。只有编译修复阶段证明完整编译失败与本次 patch 无关时，才对该 issue 标记 ready_for_next 并等待统一进入「风险评估」；编译修复 no_progress 只让对应 issue terminal_failed；若修复已产生可验证修复 diff 或失败根因变化，必须 pass 进入「编译验证」统一重跑；若 pending 清零且仍有 ready_for_next issue，必须 conditional_pass 进入「风险评估」，不得因为部分 issue terminal_failed 让整批进入「结果归档」。编译修复不得输出 conditional_pass,next_state=编译修复。编译修复导致和上游 patch 原文不完全一致时，按 semantic_landed、local_adaptations[]、compile_fix_files[]、deviation_reason 和编译结果裁决，不能按字节差异直接失败。不得输出回到「自动合入」的裁决。
7. 本工作流里的“冲突解决”就是 git apply 失败、三方合并缺 blob 或上下文漂移后，在 modified_files[] 允许范围内执行最小等价手工写入；受控手工写入本身不得作为失败原因。
8. 裁决 Patch抓取 阶段时，必须实际读取 02_patch_fetch.json 中 patch_files[] 指向的本地 .patch/.diff 文件内容；只有存在标准 diff 信号的文件才算 patch 已抓取成功。HTML 错误页、JSON metadata、空文件或 HTTP/Gerrit/Gitiles 错误响应必须作为阻塞问题列入 issues。

禁止的最终回复形态

• 不得输出 <step-conclusion> 或任何 XML/HTML 风格总结标签。
• 不得输出多个 JSON 代码块。
• 不得输出只有 remaining_issues 而缺少 next_state / issues 的半截 JSON。
• 不得在最终回复中输出“下一步建议 / 下一步所需上下文 / 涉及对象 / 验证状态”等额外裁决块；这些内容只能写入阶段产物。