fix: exit 127 恢复为 CLI 失败（按场景分歧取代误统一）

CI 实证：test_mcp_server 的失败日志/安静模式用例依赖 check 面在工具缺失
（exit 127）时报失败这一环境无关性（runner 无 ruff，靠 127=失败才进得了
失败路径）——v0.8.1 首版把 127 并入 unverified 导致 PR#28 CI 红。

- run_per_language：仅 exit 2 归 unverified；127 恢复为失败（含设计注释）
- 交互钩子路径对 127 仍 skipped：按场景的有意分歧（健康面红、工作面不挡人），
  UnverifiedParityTests 反转锁住该分歧（127 失败 / 2 unverified）
- README 双语 exit-127 句改为按场景分流表述
- OpenSpec 2026-09-22-restore-cli-127-strictness（skip_specs）归档，
  记录对 push-face-delta 归档文案的取代

验证：unittest 85、run_all 141/0、test_mcp_server 5/5、openspec 12/12、lint 全绿

Author: loong10k

README.md

@@ -250,9 +250,12 @@ Gate scanning is scoped to **what you are about to change**, decided by git stat
   `exclude` customize language detection. Full scans always skip vendor/build
   snapshots (immutable supply-chain content).
 
-Verdict honesty: a linter crashing with exit 2 (usage/dependency failure) or
-exit 127 (command missing) is reported as **unverified**, never as a lint failure
-— "cannot verify" is not "verified bad". A tool crash never triggers auto-fix.
+Verdict honesty: a linter crashing with exit 2 (usage/dependency failure) is
+reported as **unverified**, never as a lint failure — "cannot verify" is not
+"verified bad", and a tool crash never triggers auto-fix. Exit 127 (command
+missing) is split by context on purpose: interactive hooks skip it (never block
+a person for missing tooling), while `check`/CI treats it as **failure** — a
+health surface must go red when tooling is absent.
 
 Escape hatch: `git config codeguard.skipGate true` bypasses both the soft and
 hard gate for one repository; every bypass is counted and surfaced by the Stop

README.zh-CN.md

@@ -233,9 +233,10 @@ codeguard:
   `extensions` 与 `exclude` 自定义语言识别。全仓扫描始终剔除 vendor/build
   快照（供应链不可变内容）。
 
-判定诚实性：linter 以 exit 2（用法/依赖崩溃）或 exit 127（命令不存在）退出时
-按**未验证**上报，绝不计为 lint 失败——"无法验证"不等于"验证失败"；工具崩溃
-也不会触发自动修复。
+判定诚实性：linter 以 exit 2（用法/依赖崩溃）退出时按**未验证**上报，绝不计
+为 lint 失败——"无法验证"不等于"验证失败"，工具崩溃也不会触发自动修复。
+exit 127（命令不存在）**按场景有意分流**：交互钩子跳过它（不因工具缺失挡人）；
+`check`/CI 面按**失败**处理——健康面在工具缺失时就该变红。
 
 逃生门：`git config codeguard.skipGate true` 对单仓同时豁免软门与硬门；每次
 绕过都会计数并由 Stop 汇总展示，标志遗留未清时也会提醒。钩子共享状态位于

openspec/changes/archive/2026-09-22-restore-cli-127-strictness/.openspec.yaml

@@ -0,0 +1,3 @@
+schema: spec-driven
+created: 2026-09-22
+skip_specs: true

openspec/changes/archive/2026-09-22-restore-cli-127-strictness/proposal.md

@@ -0,0 +1,24 @@
+## Why
+
+`2026-09-22-push-face-delta` 的 proposal/design 文案把 exit 127 与 exit 2 一并写成"同归 unverified"。落地后 CI 立刻红了：`test_mcp_server` 的失败日志与安静模式用例依赖 **CLI 在工具缺失（127）时报失败**这一环境无关性（CI runner 无 ruff，靠 127=失败才能可靠进入失败路径）。结论：127 的 CLI/hook 分叉是**按场景的有意分歧**，不是口径 bug——交互钩子跳过（不挡人），健康面必须红。该行为已恢复，此处仅记录对归档文案的取代；spec 层无变更（主 spec 的 unverified 要求只写了 exit 2，未涉及 127）。
+
+## What Changes
+
+- 恢复 `run_per_language` 的 exit 127 = 失败（rc 2 的 unverified 保持，0.8.0 起 CI 已验证）。
+- 回归测试反转为锁住该分歧（`UnverifiedParityTests`：CLI 127 失败 / CLI 2 unverified）。
+- README 双语的 exit-127 句同步改为按场景分流的表述。
+- 本文档取代 `2026-09-22-push-face-delta` 归档 proposal/design 中关于 127 的那段陈述。
+
+## Capabilities
+
+### New Capabilities
+
+None. Infrastructure-only correction; `skip_specs: true`.
+
+### Modified Capabilities
+
+None.
+
+## Impact
+
+`scripts/run_per_language.py`、`tests/test_hardening_fixes.py`、README 双语；不影响退出码总契约（PostToolUse 恒 0、PreToolUse 0/2 未动）与 JSON schema。

openspec/changes/archive/2026-09-22-restore-cli-127-strictness/tasks.md

@@ -0,0 +1,4 @@
+- [x] 1.1 恢复 run_per_language rc127=失败（rc2 unverified 保留）
+- [x] 1.2 UnverifiedParityTests 反转锁住有意分歧
+- [x] 1.3 README 双语 127 句按场景分流
+- [x] 1.4 `openspec validate --strict` 通过并归档

scripts/run_per_language.py

@@ -57,19 +57,19 @@ def run_check(languages: list[str], project_root: Path,
         # 否则规则集随机器漂移、供应链快照给出不可修的永久红。
         lint_cmd = scope_cmd(lint_cmd, project_root, full_excludes=True)
         rc, out, err = _run(lint_cmd, cwd=project_root, timeout=timeout)
-        if rc in (2, 127):
-            # exit 2 = 用法/依赖/配置崩溃；127 = 命令不存在——都与仓库内容无关，
-            # 与钩子路径同归「无法验证 ≠ 验证失败」（此前 CLI 把 127 报成失败、
-            # 与 hook skipped 口径分叉）。不触发 fix、不写失败日志。
-            reason = (
-                "exit 2（工具链异常，非 lint 结论）" if rc == 2
-                else "命令不存在（exit 127）"
-            )
+        if rc == 2:
+            # exit 2 = 用法/依赖/配置崩溃，与仓库内容无关 → unverified
+            # （不计失败、不触发 fix、不写失败日志）。
+            # exit 127（命令不存在）**故意保持失败**：check CLI 是 CI/健康面，
+            # "工具没装"在那里就该红——test_mcp_server 的失败日志与安静模式用例
+            # 依赖这条环境无关性（CI 无 ruff，靠 127=失败才进得了失败路径）。
+            # 交互钩子路径对 127 归 skipped（不挡人工作）：按场景的有意分歧，
+            # 不是口径 bug（v0.8.1 曾误统一过一次，本提交修正）。
             results.append({
                 "language": lang,
                 "passed": True,
-                "exit_code": rc,
-                "unverified": reason,
+                "exit_code": 2,
+                "unverified": "exit 2（工具链异常，非 lint 结论）",
                 "stderr_tail": err[-2000:] if err else "",
                 "stdout_tail": out[-1000:] if out else "",
             })

tests/test_hardening_fixes.py

@@ -435,24 +435,48 @@ def test_ups_uses_push_face_for_push_intent(self) -> None:
 
 
 class UnverifiedParityTests(unittest.TestCase):
-    """CLI exit 127 与钩子 skipped 口径对齐（此前 CLI 报失败）。"""
+    """rc2/127 按场景分流：rc2 = unverified（两处一致）；rc127 = 故意分歧。
 
-    def test_rc_127_is_unverified_in_run_per_language(self) -> None:
+    check CLI 是 CI/健康面——工具缺失必须红（环境无关性由 test_mcp_server
+    的失败日志/安静模式用例依赖）；交互钩子对 127 归 skipped 不挡工作。
+    这是有意设计，本测试锁住它，防止再被"统一"。
+    """
+
+    @staticmethod
+    def _fake_run(returncode: int):
         import run_per_language as rpl
 
         class _Fake:
-            returncode = 127
-            stdout = ""
-            stderr = "command not found"
+            pass
 
+        _Fake.returncode = returncode
+        _Fake.stdout = ""
+        _Fake.stderr = "boom" if returncode != 0 else ""
         original = rpl.subprocess.run
         rpl.subprocess.run = lambda *a, **k: _Fake()
+        return original
+
+    def test_rc_127_is_failure_in_cli(self) -> None:
+        import run_per_language as rpl
+
+        original = self._fake_run(127)
         try:
             results = rpl.run_check(["python"], Path(tempfile.mkdtemp(prefix="cg-127-")))
         finally:
             rpl.subprocess.run = original
+        self.assertFalse(results[0]["passed"], "CLI 面工具缺失必须报失败")
+        self.assertNotIn("unverified", results[0])
+
+    def test_rc_2_is_unverified_in_cli(self) -> None:
+        import run_per_language as rpl
+
+        original = self._fake_run(2)
+        try:
+            results = rpl.run_check(["python"], Path(tempfile.mkdtemp(prefix="cg-2-")))
+        finally:
+            rpl.subprocess.run = original
         self.assertTrue(results[0]["passed"])
-        self.assertIn("exit 127", results[0].get("unverified", ""))
+        self.assertIn("exit 2", results[0].get("unverified", ""))
 
 
 class FourHookDedupTests(unittest.TestCase):