# دليل التدقيق · Audit evidence

قياسات 20 أكتوبر 2026، من صفحات عامة وبسياقات Chromium جديدة عند 390×844، دون تسجيل دخول أو معاملات أو طلبات تحليل مدفوعة. لا تعديل لمستودعات المنتجات. الخام الكامل واللقطات محفوظان خارج worktree في:

- `workspace/open-library/audit/`
- `workspace/open-library/shots/audit-*.png`

هذه نسخة قابلة للنشر من الأدلة ذات الصلة. السجل: [problems.json](/labs/problems.json). تعكس هذه اللقطات القياس الأصلي؛ حالات الإصلاح ونتائج التحقق اللاحق محفوظة في السجل وفي [تحقق المرحلة الثانية](/labs/evidence/phase2-verification.json)، وقياس العيب وحده ليس إثبات إصلاحه. المقصود أعلى ثلاث ملاحظات مرصودة في نطاق هذه الجولة، لا ادعاء حصر جميع عيوب المنتج أو ترتيبها عالميًا.

## طريقة القياس وحدودها

- `<product>.json`: `curl -L -sS --max-time 40 -o /dev/null -w JSON <url>` لرمز HTTP والحجم والزمن؛ Chromium بعد DOMContentLoaded وانتظار 8 ثوانٍ، ثم DOM وResource Timing وأخطاء console/page والطلبات الفاشلة. جميع الجذور الثمانية أعادت200. الأرقام عينة مختبر عبر بيئة العمل، لا قياسات ميدانية ولا نتيجة Lighthouse.
- `<product>-deep.json`: axe-core4.10.3 لقواعد WCAG2 A/AA و2.1 AA، مع مستطيلات عناصر الواجهة. النتائج `incomplete` ليست عيوبًا مؤكدة. لا تعدّ الصور غير المحمّلة بـlazy-loading روابط مكسورة.
- `<product>-routes.json`: مسارات عامة مختارة، axe الافتراضي مع تعطيل فحص التباين في هذه الجولة وحدها؛ قواعد best-practice موسومة كذلك في وصف المشكلة. `bypassCSP` استُعمل لحقن أداة التدقيق فقط؛ ليس تغييرًا في الموقع. النتائج لا تثبت خطأ سياسة CSP.
- `<product>-links.json`: فحص روابط عائلة المواقع الموجودة في HTML العام بـcurl، بحد أقصى65 وجهة للمنتج، دون الروابط ذات fragment. عينات الفحص: حصتي13، هدوء34، منضدة15، لمعة5، واحة33، تهجد6، الموقع22؛ لا روابط في غلاف حياة. لا أخطاء HTTP في هذه العينة. مسار `/tasks` الذي جُرّب استكشافيًا في واحة أعاد404 لكنه **ليس رابطًا مكسورًا مثبتًا** ولم يُدرج مشكلة.
- `<product>-source-review.json`: موضع الكود المحلي وHEAD إن توفر، وملفات HARK التي قُرئت للسياق. دليل HARK التاريخي ليس إثبات عيب حي. علامات TODO/FIXME لا تتحول تلقائيًا إلى مشاكل؛ بعض فحص النصوص توقف عند حد10 ثوانٍ ومسجّل كذلك.
- `market-null.json`: دالة `geminiAnalystPrompt` من المصدر الفعلي داخل VM، بصف اصطناعي يحوي نسبتين null؛ النتيجة صفر للنسبتين. لا Gemini ولا شبكة ولا تغيير بيانات. أمر الإعادة في التقرير؛ لا ندّعي نسبة حدوثه في البيانات الحية.
- `hayat-loader-live.txt`: المصدر العام للمحمّل0.8.3. حجم WASM مأخوذ من `GODOT_CONFIG.fileSizes`، وليس قياس نقل مضغوط أو زمن بدء. الكود المحلي قد يسبق النسخة الحية؛ لم نخلط إصدار0.8.4 المحلي بقياس0.8.3 الحي.
- **تهجد:** لم نجد مستودعًا محليًا مستقلًا ضمن نطاق البحث. استُخدمت الصفحة الحية وHTML العام وتعريف المنتج في `projects/tahajjud/index.html`. لا تدقيق لحساب المواقيت أو بوصلة القبلة أو تطبيق iOS أو أجهزة فعلية.
- أحجام اللمس هي مستطيلات DOM، وليست حكم فشل WCAG2.5.8 دون قياس الاستثناءات والمسافات. أهداف44px مقترحات نجاح للتجربة.
- لم تُختبر تدفقات حسابات حقيقية، أو فقد بيانات، أو دقة مالية/دينية، أو الهاتف الفعلي. كلفة نقل زائدة مرصودة لا تثبت بطئًا محسوسًا؛ سجّلنا فرضية قياس قبل الادعاء بتحسن.

## الاختبارات المحلية للمنتجات

- حصتي:10/10 في اختبارات الوصول والتقدم المختارة؛ `hissati-tests.txt` في الخام الخارجي.
- واحة:2/2 في اختبار الكتب المنتقاة المختار؛ `waha-tests.txt` في الخام الخارجي.
- هدوء: `npm test` أمر وهمي يفشل قبل أي اختبار؛ `hudoo-tests.txt`.
- لمعة:24 نجاحًا وفشل واحد عند تحميل SQLite محليًا بـ`invalid ELF header`؛ `games-tests.txt`. هذا قيد لهذه البيئة ولا يثبت تعطل الإنتاج. لم نعد تشغيل مجموعة استغرقت وقتًا طويلًا.
- هذه نتائج منتج منفصلة عن اختبارات صفحات Labs، ولا تُقدّم كأنها اختبارات شاملة للمنتجات.

## التراخيص

`licenses-verified.json` يربط كل مرشح بملف LICENSE العام على GitHub وتاريخ التحقق ونسخة النص المحفوظة (وحّدنا نهايات الأسطر وأزلنا فراغات نهاية الأسطر فقط؛ الخام الأصلي محفوظ خارج المستودع). تعذّر الاعتماد على بعض أجوبة GitHub License API (504/NOASSERTION)، لذلك قُرئ **ملف الترخيص نفسه** من raw.githubusercontent.com. النواة المفتوحة فقط، دون الإضافات المدفوعة. لم تُضف أي مكتبة مرشحة إلى موقع Labs.

Raw data comes from one unthrottled lab run, not field measurements. Hypotheses are untested; every problem remains open. Public source and synthetic tests are distinguished from live behavior. Tahajjud has no independently located local repository. Native binary failures describe this environment only. Browser automation now runs one Chromium instance and one context at a time; Lighthouse is not used.