没有 forbidden_files 的契约是不完整的。负空间是契约的一半。

真实仓库会移动文件。将契约固定到glob（app/**/*.py、tests/test_signup*.py），使会话间的重构不会使契约无效。

列出如何回滚迫使契约作者思考什么可能出错。你无法回滚的契约是不应该被批准的契约。

Agent写入diff。检查器读取diff、允许glob、禁止glob和运行的任何验收命令列表。每个违规是一个标记的发现，验证门可以拒绝。

任务契约限定一个任务。它不限定项目。Agent可以完美地停留在登录修复的契约内，但在下一轮决定项目还需要设置页面、暗模式切换和路由器重写。

第二种高度需要自己的原语：Agent在会话开始时读取的 feature_list.json。它是项目待办事项作为机器可读的有序文件。Agent选择一个 status 为 todo 的功能，将其 id 写入活跃作用域契约，并被禁止在同一会话中启动第二个功能。

两条规则使列表承重而非装饰。首先，“最多一个 in_progress”的不变量本身是一个启动检查。其次，功能列表是文件，不是聊天消息，因为聊天会滚出上下文，而文件跨会话和跨Agent持久化。

违规预算，不是二进制失败。 agent-guardrails 发布每个任务的 violationBudget：预算内的轻微范围滑移作为警告显示；只有当预算超出时合并门才拒绝。
按路径族的严重性不对称。 docs/** 的范围外写入通常是 warn；scripts/**、migrations/**、config/prod/** 的范围外写入始终是 block。
文件预算旁边的时间和网络预算。 time_budget_minutes 限定挂钟时间；network_egress 允许列表防止Agent静默命中不属于任务的外部API。
多契约合并语义（最小权限）。 当两个作用域契约适用时，合并是：交集 allowed_files（两个契约都必须允许路径），并集 forbidden_files（任一可以禁止），time_budget_minutes 是最严格的（最小值），approvals_required 累积。

实践

code/main.py实现：scope_contract.json schema、diff解析器、scope_check 返回 (violations, in_scope, off_scope)，以及两个演示运行（一个在范围内，一个蔓延）。

交付

outputs/skill-scope-contract.md为任务描述生成作用域契约和在CI中对每个Agent diff运行的glob感知检查器。