Команды CLI Native и npm

Native и npm предоставляют raw, unpinned bundle и externally pinned bundle vouch verify через общий Rust. Только Native выдаёт, повторно выполняет и применяет gate; re-execution и gate с bundle требуют полную внешнюю пару source/input.

Текущие гарантии

lispex [FILE|-] вычисляет исходник; receipt записывает envelope нативного выполнения; lower и eval-graph работают с проверяемым подмножеством.
Native предоставляет полную namespaced-цепочку: vouch issue, vouch verify без флагов, vouch verify --reexecute, vouch gate --require-decision и vouch inspect. npm предоставляет аутентифицированный vouch verify без флагов, структурный vouch inspect и корпусный vouch replay, отклоняя issue, --reexecute и gate до I/O артефактов.
Для аутентифицированного verify без флагов код 0 означает аутентификацию и диагностическую eligibility, 10 — аутентификацию без неё, 1 — отказ, 2 — ошибку использования до I/O артефакта, 3 — ошибку ввода/вывода или публикации отчёта. Коды 0 и 10 оба означают аутентификацию и не дают полномочий.
Плоская команда npm lispex verify RECEIPT остаётся неподписанной структурной командой совместимости и не является псевдонимом namespaced-аутентификации lispex vouch verify.
Успешный отчёт --reexecute содержит authentication.status = authenticated, reexecution.status = execution-agreed, фиксированный observation_scope = csk.vouch-complete-transcript/v0 и comparison.current_vs_signed = agree.
vouch gate требует все пути исходного контекста, --require-decision approve|deny|review|invalid-input и --report-out. Отчёт csk.native-gate-report/v0 разделяет аутентификацию, повторное выполнение и статус gate и записывает фиксированный basis csk.current-native-agreement/v0.
Идентичность файла и stdin записывается явно там, где этого требует контракт артефакта.
Используйте lispex vouch policy create с одним именованным SPKI-файлом, повторяемыми явными флагами engine/source и новым выходом, затем policy check для точных байтов. Успех не пишет stdout. Код 2 — usage, 3 — ошибка I/O/resource/publication, 1 — некорректная конфигурация.
Для полномочий Native с bundle команды vouch verify --reexecute и vouch gate требуют одновременно --source RULE и --input INPUT. Отсутствующая или неполная пара даёт usage-код 2 до открытия любого именованного artifact. vouch verify --bundle без флагов остаётся поддерживаемой аутентификацией-only в Native и npm.

Границы команд

Команда	Читает	Пишет / не устанавливает
lispex [FILE\|-]	байты исходника Lispex	канонический результат/stdout и диагностика; без квитанции
lispex receipt FILE	байты исходника	native execution receipt; не differential Vouch
lispex diff-receipt --input I RULE	правило профиля и datum	csk.differential-receipt/v0; не подлинность
lispex verify RECEIPT	JSON квитанции и optional source	вердикт согласованности; не перезапускает политику
lispex issue-native ...	правило профиля, закреплённый ввод, профиль и handle локального PKCS#8-ключа	атомарные payload, конверт DSSE и отчёт выдачи; только нативный release-бинарник
lispex verify-native ...	конверт DSSE, политика доверия потребителя, исходник, ввод, профиль и ожидаемый контекст движка	отчёт аутентификации точного проверенного контекста; не доказательство identity, времени, развёртывания или корректности политики
lispex verify-bridge REPORT	отчёт Bridge и связанные артефакты	вердикт Bridge; внешний движок не запускается

Границы

Для vouch gate код 0 означает совпадение живого grant с требуемым решением; 10 — успешную аутентификацию без grant; 1 — отказ аутентификации; 2 — ошибку использования; 3 — ошибку I/O, выполнения или публикации отчёта. Отчёт является диагностическим выводом и не принимается как вход gate.