feat: 重构配置校验为 TypeBox + Ajv + semantic validator，严格禁止未知字段

- 新增 config-contract 模块（TypeBox fragments、Ajv 契约校验、ConfigValidationIssue） - CheckerDefinition 扩展为含 configKey、schemas、validate 的完整插件接口 - HTTP/Command 各自维护 contract.ts + validate.ts，校验从 resolve 中分离 - resolve 不再承担校验，只做默认值合并和路径/单位解析 - config-loader 流程: unknown → RawProbeConfig → ValidatedProbeConfig → ResolvedConfig - 导出 probe-config.schema.json，新增 schema/schema:check 脚本 - 更新 DEVELOPMENT.md 新增 1.7 开发新 Checker 完整指引 - 同步更新 4 个 main specs（probe-config、command-checker、expect-body-checkers、checker-runner-abstraction）
2026-05-13 12:19:36 +08:00
parent bce0f8e7a8
commit 7b20b59b79
38 changed files with 3034 additions and 675 deletions
--- a/openspec/specs/checker-runner-abstraction/spec.md
+++ b/openspec/specs/checker-runner-abstraction/spec.md
@@ -4,17 +4,70 @@

 ## Requirements

+### Requirement: Checker 配置契约片段
+系统 SHALL 支持 checker 提供自身 TypeBox 配置契约片段，用于描述该 checker 的 defaults 分组、target 领域分组和 expect 分组。公共配置加载模块 SHALL 通过 registry 获取已注册 checker 的契约片段，并组合为启动期 Ajv 契约校验流程和外部 `probe-config.schema.json` 导出流程。
+
+#### Scenario: HTTP checker 提供契约片段
+- **WHEN** HTTP checker 被注册
+- **THEN** registry SHALL 能提供 HTTP defaults、HTTP target 和 HTTP expect 的 TypeBox 契约片段
+
+#### Scenario: Command checker 提供契约片段
+- **WHEN** Command checker 被注册
+- **THEN** registry SHALL 能提供 Command defaults、Command target 和 Command expect 的 TypeBox 契约片段
+
+#### Scenario: 新 checker 只维护自身契约
+- **WHEN** 开发者新增一个 checker 类型
+- **THEN** 该 checker SHALL 提供自身 TypeBox 配置契约和语义 validator，而不需要把 checker 专属字段写入中央手工校验逻辑
+
+#### Scenario: 外部 schema 通过 registry 生成
+- **WHEN** 系统生成 `probe-config.schema.json`
+- **THEN** 生成流程 SHALL 从 registry 获取已注册 checker 的契约片段，并将其组合进完整配置 schema
+
+#### Scenario: 契约组装不依赖全局 singleton
+- **WHEN** 测试或 schema 生成流程需要组装配置契约
+- **THEN** 系统 SHALL 支持传入 fresh CheckerRegistry 实例完成契约组装，避免重复注册或全局状态污染
+
+### Requirement: Checker 启动期语义校验
+系统 SHALL 支持 checker 提供启动期语义 validator，用于校验 TypeBox/Ajv 契约不适合表达或需要 checker 业务知识判断的配置规则。语义 validator MUST 在 resolver 填充最终 ResolvedTarget 之前执行，并 MUST 返回 `ConfigValidationIssue[]`。
+
+#### Scenario: checker 语义校验先于 resolve
+- **WHEN** config-loader 准备解析一个 target
+- **THEN** 系统 SHALL 先完成该 target 的 checker 语义校验，再调用 checker.resolve()
+
+#### Scenario: 语义校验失败阻止启动
+- **WHEN** checker 语义 validator 发现非法配置
+- **THEN** 系统 SHALL 以配置错误退出，不进入 checker 执行阶段
+
+### Requirement: 结构化配置校验 issue
+系统 SHALL 使用统一 `ConfigValidationIssue` 表示配置校验问题，至少包含 `code`、`path`、`message`，并支持可选 `targetName`。契约校验和 checker 语义校验都 SHALL 产出该结构，由配置加载模块统一渲染为中文错误。
+
+#### Scenario: Ajv 错误转换为 issue
+- **WHEN** Ajv 校验发现 required、type 或 additionalProperties 错误
+- **THEN** 系统 SHALL 将该错误转换为 `ConfigValidationIssue`，保留配置路径和可读 message
+
+#### Scenario: checker validator 返回 issue
+- **WHEN** checker 语义 validator 发现非法 XPath 或正则表达式
+- **THEN** checker SHALL 返回 `ConfigValidationIssue`，而不是直接抛出最终用户错误字符串
+
 ### Requirement: Checker 接口定义
-系统 SHALL 在 `src/server/checker/runner/types.ts` 中定义 `Checker` 接口，包含 `type`、`resolve`、`execute`、`serialize` 四个成员。`CheckerContext` SHALL 包含引擎注入的 `AbortSignal`。
+系统 SHALL 在 `src/server/checker/runner/types.ts` 中定义面向扩展的 `CheckerDefinition`，包含 `type`、`configKey`、TypeBox 配置契约、启动期语义校验、`resolve`、`execute`、`serialize` 成员。`CheckerContext` SHALL 包含引擎注入的 `AbortSignal`。

 #### Scenario: Checker 接口包含必要方法
 - **WHEN** 开发者实现一个新的 Checker
- **THEN** 该实现 MUST 提供 `type`（字符串标识）、`resolve(target, context)`（解析配置并校验）、`execute(target, ctx)`（执行探测返回 CheckResult）和 `serialize(target)`（返回 target 展示文本和 config JSON）
+- **THEN** 该实现 MUST 提供 `type`（字符串标识）、`configKey`（配置分组名）、TypeBox 配置契约、启动期语义校验、`resolve(target, context)`（解析配置并填充默认值）、`execute(target, ctx)`（执行探测返回 CheckResult）和 `serialize(target)`（返回 target 展示文本和 config JSON）

 #### Scenario: CheckerContext 注入 signal
 - **WHEN** 引擎调用 `checker.execute(target, ctx)`
 - **THEN** `ctx.signal` SHALL 是一个由引擎创建的 `AbortSignal`，在超时或引擎关闭时 abort

+#### Scenario: resolve 不承担通用契约校验
+- **WHEN** config-loader 调用 checker.resolve()
+- **THEN** checker.resolve() SHALL 假定配置已经通过 TypeBox/Ajv 契约校验和启动期语义校验，只负责默认值填充、路径解析和领域配置转换
+
+#### Scenario: type 与 configKey 默认一致
+- **WHEN** checker 定义 `type: "tcp"`
+- **THEN** checker 的 `configKey` SHALL 默认使用 `"tcp"`，对应 target 的 `tcp` 分组和 defaults.tcp 分组
+
 ### Requirement: CheckerRegistry 注册中心
 系统 SHALL 在 `src/server/checker/runner/registry.ts` 中提供 `CheckerRegistry` 类，支持 `register(checker)`、`get(type)` 和 `supportedTypes`。重复注册同一 type SHALL 抛出错误。

@@ -46,27 +99,31 @@
 - **THEN** engine SHALL 创建 `AbortController`，设置超时定时器，将 `controller.signal` 注入 `CheckerContext`，执行完成后清理定时器

 ### Requirement: 配置解析通过 registry 委托 checker
-系统 SHALL 在 `config-loader.ts` 的 `resolveTarget()` 中通过 `checkerRegistry.get(target.type).resolve(target, context)` 委托解析，替代原有的 `if/else` 分支。`validateConfig()` SHALL 仅校验通用字段（name 非空、name 不重复、group 类型），不再包含 type 专属字段校验。
+系统 SHALL 在 `config-loader.ts` 的配置加载流程中通过 `checkerRegistry` 发现已注册 checker，组合公共 TypeBox 契约与 checker 契约，并将 checker 专属语义校验和解析委托给对应 checker。`validateConfig()` SHALL 仅保留公共语义校验（name 非空、name 不重复、group 类型、type 已注册等）和契约调度职责，不包含 checker 专属字段校验。
+
+#### Scenario: 配置契约通过 registry 组合
+- **WHEN** config-loader 校验配置文件
+- **THEN** config-loader SHALL 从 `checkerRegistry` 获取已注册 checker 的契约片段，并用于校验 defaults 与 targets 中对应 checker 的配置形状

 #### Scenario: 配置解析委托 checker
 - **WHEN** config-loader 解析一个 type 为 "command" 的 target
- **THEN** config-loader SHALL 调用 `checkerRegistry.get("command").resolve()` 进行解析、校验和默认值填充
+- **THEN** config-loader SHALL 调用 `checkerRegistry.get("command")` 获取对应 checker，并委托该 checker 执行语义校验和 resolve

 #### Scenario: 通用字段校验保留在 config-loader
 - **WHEN** YAML 配置中某个 target 缺少 name 或 type 字段
- **THEN** config-loader 的 `validateConfig()` SHALL 仍负责校验这些通用字段
+- **THEN** config-loader 的公共校验流程 SHALL 仍负责校验这些通用字段

 #### Scenario: type 专属校验下沉到 checker
 - **WHEN** YAML 配置中 HTTP target 缺少 `http.url`
- **THEN** HttpChecker 的 `resolve()` SHALL 抛出校验错误，提示缺少必填字段
+- **THEN** HTTP checker 的契约或语义校验 SHALL 抛出校验错误，提示缺少必填字段

 #### Scenario: HTTP method 非法校验
- **WHEN** YAML 配置中 HTTP target 的 `http.method` 不在合法方法列表中
- **THEN** HttpChecker 的 `resolve()` SHALL 抛出校验错误，提示 method 不合法
+- **WHEN** YAML 配置中 HTTP target 的 `http.method` 不是大写合法方法枚举值
+- **THEN** HTTP checker 契约或语义校验 SHALL 抛出校验错误，提示 method 不合法

 #### Scenario: URL 格式校验
 - **WHEN** YAML 配置中 HTTP target 的 `http.url` 不以 `http://` 或 `https://` 开头
- **THEN** HttpChecker 的 `resolve()` SHALL 抛出校验错误，提示 URL 格式不合法
+- **THEN** HttpChecker 的语义校验 SHALL 抛出校验错误，提示 URL 格式不合法

 ### Requirement: 存储序列化通过 registry 获取展示格式
 系统 SHALL 在 `ProbeStore.syncTargets()` 中通过 `checkerRegistry.get(t.type).serialize(t)` 获取每个 target 的展示摘要（`target` 列）和配置 JSON（`config` 列），替代 `buildTargetDisplay()` / `buildTargetConfig()` 中的类型分支。
--- a/openspec/specs/command-checker/spec.md
+++ b/openspec/specs/command-checker/spec.md
@@ -80,3 +80,62 @@
 #### Scenario: stdout 失败后不检查 stderr
 - **WHEN** command target 同时配置 stdout 和 stderr 规则，且 stdout 规则失败
 - **THEN** 系统 SHALL 快速失败并 MUST NOT 继续执行 stderr 规则
+
+### Requirement: command checker 启动期配置校验
+系统 SHALL 在启动期对 command checker 的配置契约和语义执行严格校验。Command target 的 `command` 分组 SHALL 只允许 `exec`、`args`、`cwd`、`env`、`maxOutputBytes` 字段；Command expect SHALL 只允许 `exitCode`、`maxDurationMs`、`stdout`、`stderr` 字段。未知字段、非法类型和不可编译正则 MUST 导致启动期配置错误。`expect.exitCode` SHALL 保留原有有限整数数组语义，不限制到特定平台范围。
+
+#### Scenario: command args 类型非法
+- **WHEN** YAML 中 command target 配置 `command.args` 不是字符串数组
+- **THEN** 系统 SHALL 以配置错误退出，提示 command.args 格式错误
+
+#### Scenario: command cwd 类型非法
+- **WHEN** YAML 中 command target 配置 `command.cwd` 不是字符串
+- **THEN** 系统 SHALL 以配置错误退出，提示 command.cwd 必须为字符串
+
+#### Scenario: command env 值类型非法
+- **WHEN** YAML 中 command target 配置 `command.env`，且任一环境变量值不是字符串
+- **THEN** 系统 SHALL 以配置错误退出，提示 command.env 对应变量值必须为字符串
+
+#### Scenario: command maxOutputBytes 非法
+- **WHEN** YAML 中 command target 或 defaults.command 配置的 `maxOutputBytes` 不是合法 size 值
+- **THEN** 系统 SHALL 以配置错误退出，提示 maxOutputBytes 格式错误
+
+#### Scenario: command 分组未知字段失败
+- **WHEN** YAML 中 command target 的 `command` 分组包含 `shell: true` 等未知字段
+- **THEN** 系统 SHALL 以配置错误退出，提示 command 分组包含未知字段
+
+#### Scenario: command expect exitCode 类型非法
+- **WHEN** YAML 中 command target 配置 `expect.exitCode` 不是整数数组
+- **THEN** 系统 SHALL 以配置错误退出，提示 expect.exitCode 必须为整数数组
+
+#### Scenario: command expect exitCode 不限制平台范围
+- **WHEN** YAML 中 command target 配置 `expect.exitCode` 为有限整数数组
+- **THEN** 系统 SHALL 接受该数组，不额外限制为 0-255 等平台相关范围
+
+#### Scenario: command expect maxDurationMs 非法
+- **WHEN** YAML 中 command target 配置 `expect.maxDurationMs` 不是非负有限数字
+- **THEN** 系统 SHALL 以配置错误退出，提示 expect.maxDurationMs 格式错误
+
+#### Scenario: stdout 必须为规则数组
+- **WHEN** YAML 中 command target 配置 `expect.stdout` 但其值不是数组
+- **THEN** 系统 SHALL 以配置错误退出，提示 expect.stdout 必须为数组
+
+#### Scenario: stderr 必须为规则数组
+- **WHEN** YAML 中 command target 配置 `expect.stderr` 但其值不是数组
+- **THEN** 系统 SHALL 以配置错误退出，提示 expect.stderr 必须为数组
+
+#### Scenario: stdout text rule 空对象非法
+- **WHEN** YAML 中 command target 配置 `expect.stdout: [{}]`
+- **THEN** 系统 SHALL 以配置错误退出，提示 stdout 规则必须包含至少一个合法 operator
+
+#### Scenario: stderr text rule 未知字段非法
+- **WHEN** YAML 中 command target 配置 `expect.stderr: [{foo: "bar"}]`
+- **THEN** 系统 SHALL 以配置错误退出，提示 stderr 规则包含未知 operator
+
+#### Scenario: stdout match 正则非法
+- **WHEN** YAML 中 command target 配置 `expect.stdout: [{match: "[invalid"}]`
+- **THEN** 系统 SHALL 在启动期配置校验失败，而不是延迟到运行期抛错
+
+#### Scenario: command expect 未知字段失败
+- **WHEN** YAML 中 command target 的 expect 包含 `status: [200]` 或其他非 command expect 字段
+- **THEN** 系统 SHALL 以配置错误退出，提示 expect 包含未知字段
--- a/openspec/specs/expect-body-checkers/spec.md
+++ b/openspec/specs/expect-body-checkers/spec.md
@@ -163,7 +163,7 @@
 - **THEN** 系统 SHALL 在启动期配置校验失败

 ### Requirement: HTTP expect 规则启动期校验
-系统 SHALL 在启动期校验 HTTP expect 中已支持字段的类型、格式和可编译表达式。未知字段 SHALL 被忽略，但每个规则对象 MUST 至少包含可产生有效断言的支持字段。
+系统 SHALL 在启动期校验 HTTP expect 中已支持字段的类型、格式、未知字段和可编译表达式。HTTP expect、body rule、json/css/xpath rule 和 operator 对象中的未知字段 SHALL 导致启动期配置失败。每个 body rule 对象 MUST 恰好包含 contains、regex、json、css、xpath 中的一种规则类型。纯 operator 对象 MUST 至少包含一个已知 operator；body 提取规则可以不配置 operator，并以路径、元素或节点存在作为通过语义。`equals` operator SHALL 支持任意 JSON value，包括数组和对象。

 #### Scenario: body rule 使用 regex 字段
 - **WHEN** HTTP target 配置 `expect.body: [{regex: "ok|healthy"}]` 且 regex 可编译
@@ -173,9 +173,9 @@
 - **WHEN** HTTP target 配置 `expect.body: [{match: "ok"}]` 且该规则没有 contains、regex、json、css、xpath 任一支持字段
 - **THEN** 系统 SHALL 在启动期配置校验失败

-#### Scenario: body rule 忽略未知字段
+#### Scenario: body rule 忽略未知字段 → body rule 未知字段启动失败
 - **WHEN** HTTP target 配置 `expect.body: [{contains: "ok", note: "ignored"}]`
- **THEN** 系统 SHALL 忽略 note 字段并按 contains 规则校验响应体
+- **THEN** 系统 SHALL 在启动期配置校验失败，提示 `note` 是未知字段

 #### Scenario: body rule 多支持字段非法
 - **WHEN** HTTP target 的同一条 body rule 同时配置 contains 和 regex
@@ -197,6 +197,34 @@
 - **WHEN** HTTP target 的 json body rule path 不符合系统支持的 JSONPath 子集
 - **THEN** 系统 SHALL 在启动期配置校验失败

+#### Scenario: operator 未知字段非法
+- **WHEN** HTTP target 的 expect operator 配置了 `foo: "bar"` 等未知 operator 字段
+- **THEN** 系统 SHALL 在启动期配置校验失败
+
+#### Scenario: equals 支持对象
+- **WHEN** HTTP target 配置 `expect.body: [{json: {path: "$.payload", equals: {status: "ok"}}}]`
+- **THEN** 系统 SHALL 接受该配置，并在运行期使用深度相等比较提取值和对象期望
+
+#### Scenario: equals 支持数组
+- **WHEN** HTTP target 配置 `expect.body: [{json: {path: "$.items", equals: ["a", "b"]}}]`
+- **THEN** 系统 SHALL 接受该配置，并在运行期使用深度相等比较提取值和数组期望
+
+#### Scenario: 纯 operator 对象不能为空
+- **WHEN** HTTP target 的 `expect.headers` 中某个 header 期望配置为空对象 `{}`
+- **THEN** 系统 SHALL 在启动期配置校验失败，要求显式配置至少一个 operator
+
+#### Scenario: json rule 允许存在性语义
+- **WHEN** HTTP target 配置 `expect.body: [{json: {path: "$.status"}}]`
+- **THEN** 系统 SHALL 接受该配置，并在运行期以 JSONPath 值存在作为通过语义
+
+#### Scenario: css rule 未知字段非法
+- **WHEN** HTTP target 配置 `expect.body: [{css: {selector: "h1", unknown: true}}]`
+- **THEN** 系统 SHALL 在启动期配置校验失败，提示未知字段
+
+#### Scenario: xpath rule 未知字段非法
+- **WHEN** HTTP target 配置 `expect.body: [{xpath: {path: "/html/body", unknown: true}}]`
+- **THEN** 系统 SHALL 在启动期配置校验失败，提示未知字段
+
 ### Requirement: HTTP body 运行期失败结构化
 系统 SHALL 将 HTTP body 运行期失败记录为结构化 CheckFailure，并保留与具体规则相关的 phase 和 path。响应内容不符合配置 SHALL 记录为 mismatch；响应内容无法按配置解析或解码 SHALL 记录为 error。

--- a/openspec/specs/probe-config/spec.md
+++ b/openspec/specs/probe-config/spec.md
@@ -47,7 +47,13 @@
 - **THEN** 系统 SHALL 以错误退出并提示文件不存在

 ### Requirement: 配置校验
-系统 SHALL 在启动时对 YAML 配置进行完整校验，校验失败时以非零状态退出并输出清晰的错误信息。HTTP checker SHALL 对已支持字段执行严格启动期校验；未知字段 SHALL 被忽略，不触发启动失败且不影响运行行为。
+系统 SHALL 在启动时对 YAML 配置进行完整校验，校验失败时以非零状态退出并输出清晰的错误信息。系统 SHALL 使用 TypeBox 定义配置契约和 raw config TypeScript 类型，由 Ajv 校验 TypeBox 生成的 JSON Schema，再执行启动期语义 validator。配置加载流程 SHALL 明确区分 `RawProbeConfig`、`ValidatedProbeConfig`、`ResolvedConfig` 三段生命周期。JSON Schema 契约 SHALL 覆盖业务无关的结构规则，包括字段类型、必填字段、枚举、数组与对象形状、数值范围和未知字段。语义 validator SHALL 覆盖契约不适合表达的业务规则，包括 target name 唯一性、checker type 注册状态、时长和大小解析、HTTP URL、正则可编译、JSONPath 子集和 XPath 可编译。
+
+契约校验和语义 validator SHALL 统一产出 `ConfigValidationIssue`，最终由配置加载流程统一渲染为中文错误信息。
+
+系统 SHALL 导出完整 `probe-config.schema.json`，该文件 SHALL 与运行期 TypeBox fragments 生成的 JSON Schema 保持一致，用于用户配置引用和编辑器提示。
+
+除 `headers`、`env` 等明确声明为动态键值表的对象外，配置中的未知字段 SHALL 导致启动期配置错误。系统 MUST NOT 静默忽略未知字段。

 #### Scenario: target 缺少必填字段
 - **WHEN** YAML 中某个 target 缺少 name 或 type 字段
@@ -62,8 +68,8 @@
 - **THEN** 系统 SHALL 以错误退出，提示该 target 缺少 command.exec 字段

 #### Scenario: target type 非法
- **WHEN** YAML 中某个 target 的 type 不是 `http` 或 `command`
- **THEN** 系统 SHALL 以错误退出，提示不支持的 target type
+- **WHEN** YAML 中某个 target 的 type 不是已注册 checker 类型
+- **THEN** 系统 SHALL 以错误退出，提示不支持的 target type 和当前支持的 type 列表

 #### Scenario: target name 重复
 - **WHEN** YAML 中存在两个 name 相同的 target
@@ -81,16 +87,28 @@
 - **WHEN** runtime.maxConcurrentChecks 不是正整数
 - **THEN** 系统 SHALL 以错误退出并提示 runtime.maxConcurrentChecks 格式错误

+#### Scenario: interval 或 timeout 解析结果非法
+- **WHEN** interval 或 timeout 解析结果不是正整数毫秒（如 `0ms` 或 `1.5ms`）
+- **THEN** 系统 SHALL 以错误退出并提示必须为正整数毫秒
+
 #### Scenario: size 格式非法
 - **WHEN** maxBodyBytes 或 maxOutputBytes 值不是有效的 size 格式
 - **THEN** 系统 SHALL 以错误退出并提示支持 B、KB、MB、GB 格式

+#### Scenario: size 解析结果非法
+- **WHEN** maxBodyBytes 或 maxOutputBytes 解析结果不是非负安全整数字节数（如 `1.5B`）
+- **THEN** 系统 SHALL 以错误退出并提示必须为非负安全整数字节数
+
 #### Scenario: HTTP method 非法
 - **WHEN** YAML 中某个 HTTP target 的 `http.method` 不是 GET、HEAD、POST、PUT、PATCH、DELETE、OPTIONS 之一
 - **THEN** 系统 SHALL 以错误退出，提示该 target 的 method 不合法

+#### Scenario: HTTP method 小写非法
+- **WHEN** YAML 中某个 HTTP target 配置 `http.method: get`
+- **THEN** 系统 SHALL 以错误退出，提示该 target 的 method 必须为大写枚举值
+
 #### Scenario: URL 格式非法
- **WHEN** YAML 中某个 HTTP target 的 `http.url` 不以 `http://` 或 `https://` 开头
+- **WHEN** YAML 中某个 HTTP target 的 `http.url` 不是合法 URL，或协议不是 `http:` / `https:`
 - **THEN** 系统 SHALL 以错误退出，提示该 target 的 URL 格式不合法

 #### Scenario: maxRedirects 非法
@@ -106,7 +124,7 @@
 - **THEN** 系统 SHALL 以错误退出，提示该 target 的 ignoreSSL 必须为布尔值

 #### Scenario: HTTP headers 类型非法
- **WHEN** YAML 中某个 HTTP target 的 `http.headers` 不是对象，或任一 header 名和值不能作为字符串使用
+- **WHEN** YAML 中某个 HTTP target 的 `http.headers` 不是对象，或任一 header 值不是字符串
 - **THEN** 系统 SHALL 以错误退出，提示该 target 的 http.headers 格式错误

 #### Scenario: HTTP body 类型非法
@@ -165,11 +183,37 @@
 - **WHEN** YAML 中某个 HTTP expect operator 的 match 不是可编译正则字符串，empty/exists 不是布尔值，或 gt/gte/lt/lte 不是有限数字
 - **THEN** 系统 SHALL 以错误退出，提示对应 operator 配置不合法

-#### Scenario: unknown 字段忽略
- **WHEN** YAML 中某个 HTTP target、expect 或 rule 对象包含未知字段，且所有已支持字段均合法
- **THEN** 系统 SHALL 忽略未知字段并正常启动
+#### Scenario: expect operator 类型非法
+- **WHEN** YAML 中某个 expect operator 的 match 不是可编译正则字符串，empty/exists 不是布尔值，或 gt/gte/lt/lte 不是有限数字
+- **THEN** 系统 SHALL 以错误退出，提示对应 operator 配置不合法

-### Requirement: size 配置解析
+#### Scenario: unknown 字段失败
+- **WHEN** YAML 中任一结构化配置对象包含契约未声明的字段，且该对象不是明确允许动态键的对象
+- **THEN** 系统 SHALL 以错误退出，提示未知字段所在路径
+
+#### Scenario: 动态 headers 字段允许
+- **WHEN** YAML 中 `http.headers`、`defaults.http.headers` 或 `expect.headers` 包含任意 header 名称，且对应值符合契约
+- **THEN** 系统 SHALL 接受这些动态 header 名称
+
+#### Scenario: 动态 env 字段允许
+- **WHEN** YAML 中 `command.env` 包含任意环境变量名称，且对应值为字符串
+- **THEN** 系统 SHALL 接受这些动态 env 名称
+
+#### Scenario: JSON Schema 不修改输入
+- **WHEN** 系统执行 JSON Schema 契约校验
+- **THEN** 系统 MUST NOT 通过契约校验器强制转换类型、注入默认值或删除未知字段
+
+#### Scenario: 配置生命周期分离
+- **WHEN** 系统加载配置文件
+- **THEN** 系统 SHALL 按 `unknown -> RawProbeConfig -> ValidatedProbeConfig -> ResolvedConfig` 的顺序执行契约校验、语义校验和运行期配置解析
+
+#### Scenario: 结构化校验 issue
+- **WHEN** 契约校验或语义 validator 发现非法配置
+- **THEN** 系统 SHALL 先生成包含 code、path、message 和可选 targetName 的结构化 `ConfigValidationIssue`，再统一渲染为中文错误
+
+#### Scenario: 导出配置 JSON Schema
+- **WHEN** 仓库生成或检查配置契约
+- **THEN** 根目录 SHALL 存在 draft-07 `probe-config.schema.json`，且其内容 SHALL 与当前公共 fragments 和已注册 checker fragments 组装出的完整 schema 一致
 系统 SHALL 支持使用单位字符串配置读取上限，单位包括 `B`、`KB`、`MB` 和 `GB`。

 #### Scenario: 解析 MB