fix: /bug não trava mais no cap de recuperação — red_check amarrado à reprodução + ledger de declarações de toda rodada

[elberrd]

O que muda

Diagnóstico do /goal travado no info-move em "limite obrigatório de recuperação do FDA eb0df857: 4/4". Pelo events.jsonl, duas das quatro recuperações morreram em red_check com "bug not reproduced" (14s, 0 tokens cada) e a quarta só existiu porque o run anterior fechou goal_met deixando 10 arquivos do próprio run sem commit. Dois bugs reais, com o mesmo código na main.

1. fda_bug: o gate one-way do red_check usava build.json como chave

O replay da prova RED só acontecia se phase_results/build.json existisse. Dois caminhos legítimos não têm esse arquivo:

• builder que aplica o fix e reporta status=fail (fase falha não persiste resultado — foi o que aconteceu às 03:29: "implemented all planned M1 QA repairs, but 5 unrelated E2E failures remain");
• verdict --redo build, que apaga o arquivo de propósito.

Nos dois, o teste focal passa (fix na árvore) e o run fecha como "bug not reproduced" — dead-end determinístico que consome uma recuperação a cada resume. rm verdict_history.json + "continue" (o que a FIA recomendou) repetiria o loop.

Fix: a prova é amarrada à reprodução, não a outra fase. red_check replay o resultado salvo quando red_test foi replayado (run.replayed antes/depois) e o proof_of bate com savedPhaseKey(red_test) (hash do resultado persistido); um red_test executado (--redo red_test) apaga a prova stale antes de validar, para uma validação que falhe nunca ser confundida com a prova antiga num resume posterior. Prova legada (sem binding) é aceita numa reprodução replayada. Tudo em gates.replayableRedProof + utils.savedPhaseKey.

2. Rodada de builder que falha perdia a declaração — e o commit deixava sobras

builderDeclaredFiles lia só phase_results/, que o runner escreve apenas em sucesso. O envelope da rodada falha declarava 17 arquivos (está no sqlite); a rodada seguinte declarou só os 9 que ela tocou; o commit levou 9 e deixou 10 como sujeira "do run" — que o orquestrador tentou reconciliar gastando o último verdict.

Fix: ledger imp/data/sessions/<id>/declared_files.json, escrito por agents.execute em todo envelope (gate failure e status=fail inclusos, antes do throw); builderDeclaredFiles une ledger + phase_results com o mesmo padrão de nome de fase. fda_bug passa a logar changed_by_run_but_uncommitted como os outros FDAs testados.

Verificação

• npm test 1523/1523 + npm run lint limpos.
• Novos: test/fia-bug-red-gate.test.js — runner real (Run + phaseParams) na mesma sequência do fda_bug: build falho após aplicar o fix → resume replay a prova e re-executa build; --redo build idem; --redo red_test valida a reprodução nova e a prova stale some para sempre; prova de outra reprodução nunca é replayada; tabela de decisão + savedPhaseKey. test/fia-declared-files-ledger.test.js — ledger, união no commit, pin de fonte no agents.mjs. Pins novos em fia-bug-repro-guard.
• DOCS.md: exceções de replay do resume + higiene de commit.

Fora desta PR

O runtime do info-move (~alpha.20) continua com o bug até imp update após o publish; as 10 sobras lá são commitadas à mão (mesmo reparo já commitado em 2eb33a1, suíte verde com elas na árvore).

🤖 Generated with Claude Code

https://claude.ai/code/session_01MWuJUakJ2JzReCFE4vcHtt