安全 & 正确性：
- quality-gate.js：数组命令 shell 注入风险（直接 spawn，不经 sh -c）
- executor.js：transcriptOut/pricingFile/files 路径未做安全校验
- orchestrator/validate.js：并发测试 race condition（dryrun runId 碰撞→rename ENOENT）

可靠性：
- subflow.js：超时 SIGTERM→SIGKILL 与 spawn.js 对齐（给子 flow 5s 清理机会）
- loop.js：isDone 抛错时状态未落盘（补 try/catch，先落盘 failed 再抛）
- orchestrator/validate.js：validateFlow 瞬态 dry-run 目录无限积累，修复后自动清理

代码质量：
- orchestrator/run.js：archiveChildRun 改为顶部静态 import
- bin/flowcast.js：flows list 漏扫 .mjs
- schema.js：oneOf/anyOf/allOf 静默忽略，补 warn
- dry-run.js + executor.js：FLOWX_* deprecated 环境变量无警告

文档：
- EVALUATION.md：完整重写，术语对齐 flowcast L3 codegen
- README.md：快速上手路径修复（provider 前置说明，删除 force-dev）
- docs/GAP-ANALYSIS.md：记录本轮全部发现与修复状态

Co-authored-by: Cursor <cursoragent@cursor.com>