core: fail closed without current Program evidence

[lemone112]

Что изменено

• Ready по-прежнему проецируется в Set; Stale и любой Failed теперь проецируются в Remove для каждого output slot.
• Удалены публичные HoldV1 и OperationV1::Hold: прошлый сертификат остаётся только в EvidenceViewV1 для диагностики.
• Добавлены RED→GREEN сценарии Ready → Observed violation → Remove и Ready → Unknown → Remove, включая доказательство сохранности исторического сертификата.
• Обновлены закрытые runtime- и source-boundary тесты; generic Session lifecycle не менялся.

Корневая причина

Прошлый Verified-сертификат связан с прошлым наблюдением. Он не может разрешать эмиссию после известного нарушения нового контекста; Unknown также не доказывает, что контекст не изменился. Старый Hold смешивал историческое evidence с полномочием текущей эмиссии.

Влияние

Runtime fail-closed удаляет ранее установленное значение, пока текущий контекст не получит новый Verified-сертификат. Диагностика сохраняет прошлый сертификат и конфликт без второго presentation-policy слоя.

Проверки

• RED: оба новых focused-теста падали на прежнем Hold.
• cargo +1.96.0 fmt --all --check
• cargo +1.96.0 clippy --workspace --all-targets --locked -- -D warnings
• cargo +1.96.0 test --workspace --locked
• RUSTDOCFLAGS=-D warnings cargo +1.96.0 doc --workspace --no-deps --locked
• focused program_boundary, program_mixed_evaluator_tests и anti-regrowth generic boundary tests

Stacked on #463.

Summary by CodeRabbit

• Изменения
  • Пересобран публичный жизненный цикл: операция удержания Hold удалена, вместо неё для выходов теперь формируется Remove.
  • Для состояний Stale и Failed все выходы удаляются, при этом ранее полученные подтверждения остаются в evidence как диагностика.
  • Уточнены правила для Waiting, включая случаи с пустым наблюдением.
• Исправления
  • Обновлены граничные сценарии для неизвестного контекста и наблюдаемых нарушений: лишние действия исключены, диагностические данные сохраняются.
• Тесты
  • Пересмотрены проверки и добавлены новые сценарии переходов и ревокаций.

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Path: .coderabbit.yaml

Review profile: ASSERTIVE

Plan: Pro Plus

Run ID: f8da3dd2-49a9-4e97-8e2e-e5180c5cf9f2

📥 Commits

Reviewing files that changed from the base of the PR and between c6e9d0a and 3dc76d7.

📒 Files selected for processing (4)

• crates/labcolors-core/src/generic_boundary_tests.rs
• crates/labcolors-core/src/program.rs
• crates/labcolors-core/src/program_mixed_evaluator_tests.rs
• crates/labcolors-core/tests/program_boundary.rs

---

Walkthrough

Из публичного и внутреннего API удалена операция Hold. Для состояний Waiting с ненулевым raw head, Stale и Failed операции теперь формируются как Remove, а прежние Verified-сертификаты сохраняются в evidence. Тесты проверяют обновлённый lifecycle.

Changes

Контракт и lifecycle операций

Layer / File(s)	Summary
Удаление операции Hold из контрактов crates/labcolors-core/src/program.rs	Удалены HoldV1, варианты Hold и их генерация; обновлены описание Remove, итератор, size_hint и compile-fail пример.
Генерация Remove для Waiting, Stale и Failed crates/labcolors-core/src/program.rs	Пустой Waiting остаётся без операций, а Waiting с ненулевым raw head, Stale и Failed создают Remove для каждого output.
Проверки lifecycle и границ API crates/labcolors-core/src/program_mixed_evaluator_tests.rs, crates/labcolors-core/tests/program_boundary.rs, crates/labcolors-core/src/generic_boundary_tests.rs	Тесты проверяют Remove, порядок output-слотов, сохранение evidence, хеширование только output-слотов и отсутствие Hold в исходном коде.

Estimated code review effort: 3 (Moderate) | ~25 minutes

Sequence Diagram(s)

sequenceDiagram
  participant UpdateV1
  participant SessionState
  participant ProjectionV1_operations
  participant OperationV1
  UpdateV1->>SessionState: переводит контекст в Waiting, Stale или Failed
  SessionState->>ProjectionV1_operations: передаёт состояние, raw head и outputs
  ProjectionV1_operations->>OperationV1: создаёт Remove для каждого output
  SessionState->>SessionState: сохраняет прежний Verified-сертификат в evidence

Loading

🚥 Pre-merge checks | ✅ 4 | ❌ 1

❌ Failed checks (1 warning)

Check name	Status	Explanation	Resolution
Docstring Coverage	⚠️ Warning	Docstring coverage is 76.47% which is insufficient. The required threshold is 80.00%.	Write docstrings for the functions missing them to satisfy the coverage threshold.

✅ Passed checks (4 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	Заголовок соответствует основному изменению: поведение стало fail-closed при отсутствии актуального Program evidence.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

📝 Generate docstrings

• Create stacked PR
• Commit on current branch

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch agent/program-safe-emission

---

_{Comment @coderabbitai help to get the list of available commands.}

[lemone112]

@coderabbitai review

[coderabbitai]

✅ Action performed

Review finished.

Note: CodeRabbit is an incremental review system and does not re-review already reviewed commits. This command is applicable only when automatic reviews are paused.

[lemone112]

@coderabbitai review

[coderabbitai]

✅ Action performed

Review finished.

Note: CodeRabbit is an incremental review system and does not re-review already reviewed commits. This command is applicable only when automatic reviews are paused.

[lemone112]

@coderabbitai review

[coderabbitai]

✅ Action performed

Review finished.

Note: CodeRabbit is an incremental review system and does not re-review already reviewed commits. This command is applicable only when automatic reviews are paused.

[lemone112]

Superseded by the reviewed cumulative squash merge #465 (24fd1f4). The lower stacked branch was intentionally not merged on its own because its intermediate head was not the safe terminal public boundary.