# R1.1 任务报告

## 复现与合同

- 根因记录于 [agent_skills#7](https://github.com/pikasTech/agent_skills/issues/7)：双引号 positional 标题在 CLI 启动前被 shell 展开，反引号和 `$()` 可执行 command substitution。
- positional 标题包含 CR、LF、NUL 或空标题时，必须在文件锁与写入前拒绝，并返回 `validation-failed`、`mutation=false`。
- `add`、`add-sub`、`update` 的安全标题入口固定为 quoted heredoc `--stdin`。
- batch 任一标题非法时整批零写入；错误不得回显原始敏感正文。
- update 必须保留原任务 ID、children、相邻任务、报告路径和文件锁语义。

## 证据

- 上游 PR #8 的固定测试覆盖 CR/LF/NUL、shell 敏感字符、stdin/positional 冲突和 update 恢复。
- 本轮临时 fixture 复测了反引号、`$()`、空格与引号，确认 shell substitution 未执行。
