O trabalho começou com uma pergunta estreita: o manifesto privado de proveniência bate com os arquivos que realmente estão no disco? A resposta medida foi sim: 153 hashes, 153 arquivos físicos válidos, zero inválidos e zero conflitos.
O controle negativo vem primeiro
Sem o manifesto, o comando recusa a execução antes de escrever. Com ele, o dry-run planeja apenas o que pode provar: hash, bytes, MIME e origem física. Nenhum SKU ou nome conveniente vira identidade semântica por aproximação.
Aplicar não é promover
A aplicação explícita abriu uma transação e inseriu 153 linhas em media_assets, todas com origem=acervo e os vínculos de peça e persona nulos. Não copiamos binários, não alteramos documentos de projeto e não publicamos catálogo.
O erro que ficou na história
O primeiro replay encontrou uma falha nossa: o PostgreSQL entregava BIGINT como string e o comparador estrito classificou 153 falsos conflitos. Registramos o incidente, normalizamos o tipo e repetimos o oráculo no serviço real. O resultado final foi 153 iguais, zero conflitos e stable=true. A falha não foi editada para parecer que nunca existiu.
Quarentena protege a próxima decisão
O índice físico agora é reproduzível e reversível. A semântica continua protegida: os 102 blobs sem vínculo documentado não ganham peça ou persona por inferência. GemCam continua com seus 8 arquivos ausentes separados. G1 avança na factualidade, mas não é promovido além do que a prova sustenta.