# M07 workflow policy

1. Один target-файл на один generation STEP.
2. До генерации проверяется точный source SHA256.
3. Transform работает по точному AST/assignment/function anchor, а не по придуманному абсолютному пути.
4. Сначала transformer test на private source, затем полный STEP.
5. SHA256SUMS создаётся только после последнего изменения workspace.
6. State-файлы читаются по ключам; выполнять source запрещено.
7. Publication current выполняется только после независимого validator PASS.
8. VM101 installation разрешается отдельным STEP после review diff.