From d371f77dcc6a6f2ad6f77ed8a417b6a85814b5f3 Mon Sep 17 00:00:00 2001
From: Feng Ruohang <rh@vonng.com>
Date: Wed, 16 Sep 2026 00:10:31 +0800
Subject: [PATCH] docs: record final Opus 5 Max R7 implementation review

Signed-off-by: Feng Ruohang <rh@vonng.com>
---
 docs/investigations/r7/README.md              | 10 ++-
 .../r7/implementation-review/dispositions.md  | 27 ++++++
 .../opus-implementation.md                    | 82 +++++++++++++++++++
 .../opus-implementation.metadata.json         | 39 +++++++++
 .../opus-implementation.prompt.md             | 17 ++++
 5 files changed, 173 insertions(+), 2 deletions(-)
 create mode 100644 docs/investigations/r7/implementation-review/dispositions.md
 create mode 100644 docs/investigations/r7/implementation-review/opus-implementation.md
 create mode 100644 docs/investigations/r7/implementation-review/opus-implementation.metadata.json
 create mode 100644 docs/investigations/r7/implementation-review/opus-implementation.prompt.md

diff --git a/docs/investigations/r7/README.md b/docs/investigations/r7/README.md
index 148f3f818..cde2af8cc 100644
--- a/docs/investigations/r7/README.md
+++ b/docs/investigations/r7/README.md
@@ -19,6 +19,12 @@
 
 共识在产品代码修改前记录；Opus 审阅代码和方案，测试由本任务执行，二者分别留证。
 
+## 最终实现复核与合并准备
+
+用户随后追加授权：使用 Opus 5 Max 核实，确认无误后合并 main。已对提交 `4fcdf37ce656152b32ad0f615d47f5e3f9748c3a`（基线 `9ebe81c1b3611f9cc73e676b5b741c2be62c467a`）执行新的独立实现复核，实际评审模型为 `claude-opus-5`，显式 `--effort max`。结论为 **APPROVE_WITH_NONBLOCKING_NOTES，阻塞 0**；适用 PR CI 实际通过后才可合并。
+
+[实现复核原文](implementation-review/opus-implementation.md)、[身份与哈希](implementation-review/opus-implementation.metadata.json)、[逐项处置](implementation-review/dispositions.md) 分别记录审阅与执行方验证边界。本次补充仅为文档；生产代码与测试维持已审阅、已本地验证版本。
+
 ## 兼容性与边界
 
 Snowball 无 PAX 的可信复制条目不再继承外层归档的 content-type/cache-control/用户元数据，与普通 Snowball 一致。外层的六个复制专用字段仍可按既有规则作用于已授权条目。相同 tar 的普通和 replica 写入已纳入条目元数据一致性回归。
@@ -63,6 +69,6 @@ make build
 
 证据为本机认证请求处理链路及实际存储、读取和既有 SSE 往返，不是双站点调度器、进程重启、网络故障或线上验收。
 
-## 状态
+## 初始交付状态
 
-研究、真实 Opus 共识、本地实现与验证均完成。结果保存在 `codex/r7-replication-content-encoding` 分支；合并、远端推送、发布、部署和现网存量处理均未执行。
+初始提交形成时，研究、真实 Opus 方案共识、本地实现与验证均完成，结果保存在 `codex/r7-replication-content-encoding` 分支；当时尚未推送或合并。随后按用户追加授权进行上述最终实现复核与合并准备。实际 PR、CI 与主干合并状态以对应远端记录和 `/Users/vonng/tmp/silo-r7-merge-20260916-ad51/` 中的执行回执为准。
diff --git a/docs/investigations/r7/implementation-review/dispositions.md b/docs/investigations/r7/implementation-review/dispositions.md
new file mode 100644
index 000000000..5ede20507
--- /dev/null
+++ b/docs/investigations/r7/implementation-review/dispositions.md
@@ -0,0 +1,27 @@
+# R7 最终实现复核意见处置
+
+## 审阅身份与范围
+
+用户追加指令：使用 Opus 5 Max 核实，确认无误后合并 main。该指令授权此次推送、PR 与主干合并。
+
+候选提交 `4fcdf37ce656152b32ad0f615d47f5e3f9748c3a`，基线 `9ebe81c1b3611f9cc73e676b5b741c2be62c467a`。实际评审 assistant 消息均为 `claude-opus-5`，命令显式指定 `--effort max`；辅助 Haiku 用量与评审模型分开记录。结果为 **APPROVE_WITH_NONBLOCKING_NOTES，阻塞 0**。
+
+完整独立意见见 [Opus 原文](opus-implementation.md)，模型、源文件、diff 和原始日志哈希见 [metadata](opus-implementation.metadata.json)。原始 JSONL 保存在 `/Users/vonng/tmp/silo-r7-merge-20260916-ad51/opus-implementation.jsonl`。
+
+## 七项非阻塞意见
+
+| 意见 | 处置与证据 |
+| --- | --- |
+| 1. 必须等待本分支自己的真实 CI | 接受。合并前核验适用检查全部通过，尤其是不使用本机容量 overlay 的完整 `cmd` 测试。现有 main CI 通过不能替代候选 PR 的 CI。 |
+| 2. 自检提交对象、署名和 diff | 已核对实际提交：树 `d5cc904bf2a8b57aea1aac53999b5007522279fc`，包含 Mikhail Khadarenka 的 Co-authored-by 与提交作者匹配的 DCO Signed-off-by。相对基线仅一个生产文件、三个测试文件及调查文档变化；四个 Go 文件哈希与通过的验证日志一致。 |
+| 3. POST 表单路径仍未归一化 | 确认是原有低层调用路径，本修复不改变它。作为独立后续研究项记录；没有把本次结果宣称为所有上传方式的编码归一化。 |
+| 4. 普通请求还可断言六个 wire 字段不泄漏 | 现有 `TestExtractMetadataHeaders` 已输入全部六个 wire 字段，仅期望 `content-type`，并用 `reflect.DeepEqual` 比较完整 metadata map，任何 wire 或 internal 字段泄漏都会失败。该测试已包含在通过的 `fixed-targeted` 验证中；无需增加重复断言。新增 canonical/lowercase 矩阵进一步覆盖恢复行为。 |
+| 5. 可补充 Snowball untrusted-marker 对照 | 保留为可选增强。当前测试含同一归档 ordinary/replica 元数据一致性，以及既有 Snowball 逐条目权限回归；此次调用点与授权门控未改。 |
+| 6. GET/HEAD 使用 getPutObjectURL 命名不够直观 | 确认 URL 构造等价，不影响方法、签名或断言。无需为命名改动已经通过的测试。 |
+| 7. PR 描述必须说明存量与来源污染限制 | 接受并写入 PR 描述。旧对象不会自动修复；来源仍受污染时，后续 heal/resync/比较可能反复选择元数据复制。参见既有存量处理设计；本次没有现网扫描或改写。 |
+
+## 合并条件
+
+此次处置只增加审阅文档，生产与测试代码维持 Opus 审阅版本。推送前再次核对源文件哈希、DCO 和 main 基线；main 若前进，先检查集成增量，相关行为改变时重新验证和评审。通过正常 PR 合并流程保留 #187 作者署名，不修改贡献者分支。
+
+本记录形成时尚未发布本分支的 PR，不能作为 CI 通过或已合并的证据。实际 PR、CI 与合并回执另行核验并保存于 `/Users/vonng/tmp/silo-r7-merge-20260916-ad51/`。发布、部署、线上对象改写和双站点故障验收不在此次执行范围。
diff --git a/docs/investigations/r7/implementation-review/opus-implementation.md b/docs/investigations/r7/implementation-review/opus-implementation.md
new file mode 100644
index 000000000..0f2350e95
--- /dev/null
+++ b/docs/investigations/r7/implementation-review/opus-implementation.md
@@ -0,0 +1,82 @@
+## R7 实现与可合并性独立复审（Opus 5，只读会话）
+
+### 1. 审阅对象
+
+| 项 | 值 |
+| --- | --- |
+| 候选提交 | `4fcdf37ce656152b32ad0f615d47f5e3f9748c3a` |
+| 候选树 | `d5cc904bf2a8b57aea1aac53999b5007522279fc` |
+| 现场 main/base | `9ebe81c1b3611f9cc73e676b5b741c2be62c467a` |
+| 审阅 diff | `/Users/vonng/tmp/silo-r7-merge-20260916-ad51/reviewed-code.diff` |
+| diff SHA-256（按调用方声明采信） | `5af32dc2cb4acc34ac91a3e48c5decfcac0d25c70bfa7d6399934c66f629df2a` |
+| 原始 PR | #187，head `b8f2fdde41dff3dc3b8db669c1d42d30ca5c1d3d`，未合并 |
+
+本会话无 shell，未运行任何测试、未计算任何哈希、未做任何网络操作，未修改任何文件。
+
+### 2. 结论
+
+**APPROVE_WITH_NONBLOCKING_NOTES。阻塞问题 0。**
+
+**这份代码在其自身 PR 的 CI 实际变绿后可以合入 main。** 合并前提是 CI 真实通过，而不是"预期会通过"（理由见 §5.1）。
+
+### 3. 我实际核验的内容（非采信）
+
+逐行对读了 diff 与工作区当前源码，确认两者一致（`cmd/handler-utils.go:247-308` 就是 diff 后的内容；三个测试文件的 grep 行号与 diff 偏移量精确对应，如 `replication-content-encoding_test.go:108` = diff:246−138，`replication-metadata_test.go:68/90` = diff:488/510−420）。
+
+**3.1 等价性（普通路径零行为变化）**
+基线 `allowReplication=false` 分支是"命中 supportedHeader → 若属复制映射则 continue"；新代码是"若属复制映射则 continue → 再查表写入"。对 `nv` 的查找、`strings.Join(value, ",")` 的拼接、user-metadata 前缀循环全部逐字保留（`handler-utils.go:262-281`）。普通提取路径字节级等价。
+
+**3.2 六个 SSE 字段与空标记**
+`supportedHeaders` 的后六项（`handler-utils.go:86-91`）与 `replicationToInternalHeaders` 的键集完全相同（`:106-114`），且六→六为单射（含 `ReplicationSsecChecksumHeader` 的恒等映射，`bucket-replication.go:81`），因此由"遍历 slice"改为"遍历 map"后迭代顺序无关，无覆盖歧义。空标记 `X-Minio-Replication-Encrypted-Multipart: ""` 走 `ok=true` 分支、`Join([""])==""`，与基线一致，且 `internal/crypto` 按键存在性消费——测试 `replication-metadata_test.go:82-86` 的 want 映射显式固定了这一点。
+
+**3.3 信任边界（PUT/COPY/MPU/Snowball）**
+diff **未触碰任何调用点与信任判定**。我复核了全部五处调用与门控：
+- PUT：`object-handlers.go:2199` 先提取 → `:2263` `evaluateReplicationTrust` → `:2278-2280` `applyReplicationTrust` → `:2281-2282` 仅 `replicaTrusted` 恢复。注意提取发生在剥离之前，因此普通提取器**必须**无条件跳过复制专用头——新代码正是无条件 `continue`（`:263-265`），这道纵深防御被完整保留。
+- COPY：`object-handlers.go:1144-1152`，仅 REPLACE 分支且 `allowReplication` 为真时恢复；COPY 指令分支语义不变。
+- MPU：`object-multipart-handlers.go:233` + `:246`，仅初始化阶段恢复；Part/Complete 不再提取元数据，测试里的 `Content-Encoding: br` 因此是未来回归护栏。
+- Snowball：`replication-trust.go:78-90` 的整包判定 + `object-handlers.go:2786-2793` 的逐条目 `ReplicateObjectAction` 复核未变；`replicationRequestHeaders`（`replication-trust.go:96-112`）仍覆盖六个 wire 头与 REPLICA 状态。
+无新增投毒面。
+
+**3.4 Snowball 普通/replica parity（最实质的行为变化，判定为修复而非回归）**
+`object-handlers.go:2802-2804` 的 `metadata` 只含 storage class。基线在 `:2836` 的恢复调用会把**外层 archive 请求**的 supportedHeaders + 用户元数据整体灌进每个条目（普通条目则完全没有），补丁后只剩六个映射；PAX 分支 `:2864-2872` 同理不再用原始 wire 值覆盖 `extractMetadata` 已归一化的 `m`。我另行确认仓库内**没有生产代码发送** `X-Amz-Meta-Snowball-Auto-Extract`（只有 `api-router.go:391` 接收），即不存在依赖旧继承行为的内部生产者。
+
+**3.5 空格 token 行为**
+`trimAwsChunkedContentEncoding`（`handler-utils.go:367-378`）按 `,` 切分后做**精确等值**比较、不做 TrimSpace。因此 `"aws-chunked, gzip" → " gzip"`（保留前导空格）、`"gzip, aws-chunked" → "gzip, aws-chunked"`（整串不变）。测试 `replication-metadata_test.go:44-51` 的两条期望与代码一致，属于**现状固化**，不得对外宣称为本次修复。
+
+**3.6 原始普通元数据的删除（GHSA 相关，正面收益）**
+`extractMetadata:219-223` 删除 `X-Amz-Meta-X-Amz-Unencrypted-Content-Length/-Md5`。基线的恢复函数会通过 `x-amz-meta-` 前缀循环把它们**重新注入**，这是对该 advisory 缓解的实际回退（仅限可信 replica 写）。补丁消除了该路径，测试在 canonical/lowercase 两种写法下都做了断言（`:100-105`）。
+
+**3.7 GET/HEAD 与原始字节**
+`ObjectInfo.ContentEncoding` 来自 `fi.Metadata["content-encoding"]`（`erasure-metadata.go:138`），`setObjectHeaders` 仅在非空时下发（`api-headers.go:129-131`）。所以测试同时断言"落盘 UserDefined 无该键"和"响应头不存在该键"是有意义且互相独立的。GET 分支比较原始字节，replica/gzip 用例写入的是真实 gzip 字节。
+
+**3.8 签名与请求体**
+`replicaEncodingStream` 的顺序正确：`newTestStreamingRequest` → 设置全部头 → `signStreamingRequest` → `assembleStreamingChunks`，chunk 签名逐块校验；非 chunked 分支 `newTestSignedRequestV4` 对 payload 计算 `x-amz-content-sha256` 并走 `authTypeSigned` 校验。测试确实经过签名验证链路，不是绕过。无权 replica 用例断言 XML `Code == AccessDenied` 并复核对象未被创建，能区分"签名失败"与"授权拒绝"。
+
+**3.9 生产代码与 PR #187 的关系**
+逐行比对 `pr187.diff` 与候选 diff：`cmd/handler-utils.go` 与 `cmd/handler-utils_test.go` **完全一致**，唯一差异是恢复函数的三行注释（pr187.diff:76-78 vs 候选:76-78），候选版补充了 Snowball 语义。"仅澄清注释"的说法属实。`commit-message.txt` 含 `Co-authored-by: Mikhail Khadarenka` 与 PR #187 归属声明。
+
+**3.10 容量夹具是否削弱证据：不削弱**
+`capacity-overlay.json` 只替换 `cmd/test-utils_test.go`；夹具唯一的功能性改动是 `ExecObjectLayerAPITest` 开头用仓库**既有**的 `tagTestCapacityDisk`（`cmd/erasure-server-pool-tags_test.go:258-264`，`DiskInfo` 返回 `Total=Free, Used=0`）包装 set 磁盘。对象字节与 xl.meta 仍写真实临时盘。未适配时的 `507/XMinioStorageFull` 原始日志保留（`http-baseline-unadapted.log`）。该文件在仓库外，**不在交付 diff 中**。
+反事实同样成立：`exact-baseline-overlay.json` 只额外把**生产文件**换成 `baseline-handler-utils.go`（我核对该文件确含 `extractMetadataFromMimeWithReplication`/`allowReplication` 布尔开关），测试文件一字未改。失败点精确落在 `replica/bare`、`replica/mixed`、全部 8 个 Snowball 用例与全部 16 个 helper 子用例，`ordinary`/`untrusted-marker`/`gzip`/`unauthorized-replica` 全通过——44 通过 / 36 失败与声明吻合。
+
+### 4. 我采信而未独立验证的部分
+
+- 四个源文件与各日志的 SHA-256、diff SHA-256、提交/树对象哈希（无 shell，无法计算）。
+- 所有测试的**执行事实**：`fixed-targeted`（80 叶子）、`fixed-sse-trust`、`fixed-race`、`make verifiers`、`make build` 的通过是读日志所得（我确认了 `fixed-targeted.log:179-180` 的 `PASS/ok`、`fixed-race.log:209-210`、`fixed-sse-trust.log:125-126`，以及四个 fixed 日志中无 `--- FAIL`），但这些进程不是本会话运行的。
+- 提交对象实际携带的 author/trailer（`commit-message.txt` 内容正确，但我无法确认它就是 `4fcdf37ce` 的提交信息）。
+- PR #187 远端当前状态（读取的是本地缓存 `pr187.json` / `pr187.diff`）。
+- 无任何两站点调度器 / 进程重启 / 网络故障 / 线上验收；本次结论只覆盖本机认证 handler 接收链路与既有 SSE 回归。
+
+### 5. 非阻塞意见
+
+1. **CI 是真正的门，不是形式。** 这两个 HTTP 级测试从未在"无容量 overlay"的环境里跑过（本机盘满，未适配时直接 507）。CI 机器盘空间正常时不需要 overlay，预期可过，但这一点**本地无证据**。请等该分支自己的 CI 变绿再合，不要用本地日志替代。
+2. **提交对象自检**（推送前，一条命令）：`git log -1 --format='%H %T %an %ae%n%b' 4fcdf37ce` 与 `git diff --stat 9ebe81c1b..4fcdf37ce`，确认树哈希、`Co-authored-by` 与"只动 2 个产品/测试文件 + 2 个新测试 + docs"。
+3. **POST 表单路径仍未归一化**：`bucket-handlers.go:1262` 直接调用低层 `extractMetadataFromMime`，不走 `extractMetadata` 的 `aws-chunked` 裁剪与默认 content-type。本补丁按 N9 刻意不动它，但这意味着 POST policy 上传仍可能落盘原始 `aws-chunked`。建议单独开 issue，不要在本 PR 顺手统一。
+4. **测试可加一条断言**：`replication-metadata_test.go:68-72` 只断言普通路径不出现六个 **internal** 键；再断言六个 **wire** 键名也不在 metadata 中，可完整封死这一面（当前实现确实不会写入，属加固）。
+5. **Snowball 可选对照**：现有 parity 只比 ordinary vs replica，可再加一条 untrusted-marker archive 对照（Opus v1 的可选建议，非必须）。
+6. **小瑕疵**：`assertReplicaEncodingObject` 用 `getPutObjectURL` 构造 GET/HEAD 目标，功能等价但读起来别扭，`getGetObjectURL` 更清楚。
+7. **存量限制需在 PR 描述里写明**：本补丁只阻止目的端再次污染，不修复既有对象；若来源端仍存错误编码，`bucket-replication.go` 的逐字符串比较会在后续 heal/resync/比较时反复选择元数据复制。措辞按 N5 收窄（"可能反复选中"，不是"不间断热循环"）。设计见 `stored-metadata-remediation.md`，本次不授权任何现网扫描或改写。
+
+### 6. 明确许可声明
+
+**本次审阅的这份代码（候选 `4fcdf37ce…`，基线 `9ebe81c1b…`，即上述 diff）在其 PR 的适用 CI 实际通过后，允许合入 main。** 不得修改原贡献者的 #187 分支；不授权发布、部署或线上对象改写。若在此期间 main 前进，需重新查看集成增量，并在相关行为改变时重跑相应测试并重新评审。
diff --git a/docs/investigations/r7/implementation-review/opus-implementation.metadata.json b/docs/investigations/r7/implementation-review/opus-implementation.metadata.json
new file mode 100644
index 000000000..addb28e6b
--- /dev/null
+++ b/docs/investigations/r7/implementation-review/opus-implementation.metadata.json
@@ -0,0 +1,39 @@
+{
+  "baseline": "9ebe81c1b3611f9cc73e676b5b741c2be62c467a",
+  "candidate_commit": "4fcdf37ce656152b32ad0f615d47f5e3f9748c3a",
+  "candidate_tree": "d5cc904bf2a8b57aea1aac53999b5007522279fc",
+  "code_diff_sha256": "5af32dc2cb4acc34ac91a3e48c5decfcac0d25c70bfa7d6399934c66f629df2a",
+  "source_sha256": {
+    "cmd/handler-utils.go": "76d6f98a8c9b04fcf1ae7c79d5832396bbf234bd5b5efc32a7f80dec64179b1a",
+    "cmd/handler-utils_test.go": "f8a53dd29170280eb007c4e43773187710f027e2aa49aadda91d2777bd0e034e",
+    "cmd/replication-content-encoding_test.go": "c71c4cf79a3ea6336febaf14bcb8ddfd68fcbef7625ff18830c14e9143749ee7",
+    "cmd/replication-metadata_test.go": "2cd3c45687d7333a9466906a278d7953fe4eeb008e07e2c7e2d167480c8b64bb"
+  },
+  "prior_validation_log_hashes_verified": true,
+  "requested_model": "claude-opus-5",
+  "requested_effort": "max",
+  "cli_version": "2.1.270",
+  "started_at": "2026-09-15T16:03:50.465537+00:00",
+  "raw_output": "/Users/vonng/tmp/silo-r7-merge-20260916-ad51/opus-implementation.jsonl",
+  "stderr": "/Users/vonng/tmp/silo-r7-merge-20260916-ad51/opus-implementation.stderr.log",
+  "status": "completed",
+  "command": "claude --print --model claude-opus-5 --effort max --safe-mode --permission-mode plan --tools Read,Grep,Glob --strict-mcp-config --no-session-persistence --output-format stream-json --verbose --add-dir /Users/vonng/tmp/silo-r7-20260915-ad51 --add-dir /Users/vonng/tmp/silo-r7-merge-20260916-ad51",
+  "exit_code": 0,
+  "actual_review_models": [
+    "claude-opus-5"
+  ],
+  "auxiliary_usage_models": [
+    "claude-haiku-4-5-20251001"
+  ],
+  "session_id": "80cab374-7884-47ab-a83f-4cc6d4aa4303",
+  "duration_ms": 179439,
+  "num_turns": 40,
+  "verdict": "APPROVE_WITH_NONBLOCKING_NOTES",
+  "blocking_issues": 0,
+  "merge_condition": "The exact candidate must pass its own applicable PR CI. Inspect main integration changes before merge.",
+  "raw_sha256": "d77c1f1ad308640aefa035a6ebefbe0e15f376613561aa38aa8890cded320485",
+  "stderr_sha256": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
+  "review_sha256": "cf0f5d4c19c0477b3742dd2de24387886cdd77123b1ca8186768319674e41573",
+  "prompt_sha256": "c95202843857c6b4d079820189473119d8911b09715d012fae4e2862c9a2f780",
+  "permission_denials": []
+}
diff --git a/docs/investigations/r7/implementation-review/opus-implementation.prompt.md b/docs/investigations/r7/implementation-review/opus-implementation.prompt.md
new file mode 100644
index 000000000..a4e3e84e8
--- /dev/null
+++ b/docs/investigations/r7/implementation-review/opus-implementation.prompt.md
@@ -0,0 +1,17 @@
+Perform a new independent IMPLEMENTATION and merge-readiness review for R7, not another plan approval. User explicitly requests real "opus 5 max" verification and authorizes merging main only if correct. Do not edit files or attempt Write, do not make any network mutations or claim tests you did not run. Return review text only.
+
+Exact candidate commit: 4fcdf37ce656152b32ad0f615d47f5e3f9748c3a
+Exact live main/base fetched now: 9ebe81c1b3611f9cc73e676b5b741c2be62c467a
+Candidate git tree: d5cc904bf2a8b57aea1aac53999b5007522279fc
+Reviewed implementation diff: /Users/vonng/tmp/silo-r7-merge-20260916-ad51/reviewed-code.diff
+Diff SHA-256: 5af32dc2cb4acc34ac91a3e48c5decfcac0d25c70bfa7d6399934c66f629df2a
+Source hashes and full local test evidence: /Users/vonng/.codex/worktrees/ad51/silo/docs/investigations/r7/verification.json
+Caller just recomputed all four code hashes and previous validation log hashes: all match. No source changes since tests passed. The prior evidence includes 80 focused cases, existing SSE-C and trust/poisoning/trailer/Snowball regressions, race, make verifiers and build. Capacity adaptation is explicit, temporary, and real storage I/O still runs. Exact baseline counterfactual: same final tests, old product extractor, 44 controls pass/36 fail. Review logs are available at /Users/vonng/tmp/silo-r7-20260915-ad51/ and permitted via add-dir.
+
+Read the complete actual diff and relevant current call sites/source/tests. Prior agreed plan: docs/investigations/r7/plan-v1.md; prior dispositions and final Opus agreement: plan-v1.dispositions.md and review/opus-v1-confirmation.md. Treat them as context, not a reason to rubber-stamp implementation. Production change adopts PR #187, with only a clarified Snowball comment; candidate also adds stronger tests and documents. PR #187 head remains b8f2fdde41dff3dc3b8db669c1d42d30ca5c1d3d and unmerged; its checks were awaiting outside-contributor workflow approval, not successful CI.
+
+Assess correctness, unintended regressions, trust boundary (PUT/COPY/MPU/Snowball), six SSE metadata fields including empty marker/checksum, request-body signature handling, GET/HEAD/raw-byte expectations, whether tests actually exercise promised paths, and whether capacity fixtures or evidence fail to justify the narrow fix. Inspect especially Snowball ordinary-vs-replica parity, source polluted-metadata limitation, exact token whitespace behavior, and raw ordinary metadata redaction. Do not broaden to R4/R5/R8 or claim full distributed testing. Identify real merge blockers with file/line/evidence and smallest repair; separate optional improvements.
+
+Intended integration: publish this complete reviewed local branch to a normal pgsty/silo PR, wait for its applicable CI, and merge into main. This includes the originally credited PR #187 implementation plus local tests/docs. Do not mutate the original contributor's branch. If main advances first, inspect integration delta, revalidate necessary tests and review again if relevant behavior changed. Merely adding this review report changes documentation only. Merging main is now explicitly authorized by the user, superseding the earlier workflow's no-merge boundary; no release/deploy/live object rewrite is authorized.
+
+Return in Chinese: exact reviewed candidate/base/hash; APPROVE / APPROVE_WITH_NONBLOCKING_NOTES / REQUEST_CHANGES; each blocking finding and optional note; what you inspected vs trusted as supplied test evidence; and explicit whether this exact code may merge once CI is verified. Be concise but evidence-based. No model substitution, no fake test execution.