编码规范 · Vibe-Trading Wiki

外部依赖（scheduler、clock、reconcile_fn、agent_caller、job_store、heartbeat_fn、submit_fn 等）一律通过构造函数参数注入，默认值指向模块内函数以便单元测试替换为 stub。
所有安全关键路径遵循 fail-closed 语义：无法解析的到期时间、不可读的哨兵、reconcile 异常、报价获取失败均返回 DENY/阻塞而非继续交易。
对账与哨兵持久化采用 temp 文件 + os.replace 原子替换模式，避免进程崩溃留下截断文件导致后续误读。
纯决策函数（如 due_now、market_is_open_at、compute_sleep_ms、advance_after_fire）接受显式 now_ms 参数而不读取全局时钟，仅薄包装函数 _now_ms() 负责取当前时间。
每个 tick/订单决策都通过 write_live_action 写入结构化审计事件，审计写入失败被吞掉并记录日志，绝不让审计故障改变阻断型决策结果。
Broker 只读能力通过注入的 ReadCallable 暴露给对账与门控，写能力仅在 run_once 的 preemptive sweep 中通过 SubmitCallable 注入，对账模块自身不持有任何写句柄。