Validate method substitution before definition updates and execution

docs/README.md

@@ -6,7 +6,7 @@
 | 解释执行、资源修订与引擎升级 | [执行与版本](architecture/execution-and-versions.md) | frontend／compiler／core |
 | EndorObject、句柄、默认操作 | [对象模型](runtime/objects.md) | objects/src |
 | 原生上下文、只读调用、子调用读取依赖及校验分类、统一参数数量/类型/联合/效果、委托返回与变更通知 | [原生调用](runtime/native-calls.md) | objects/src/native.rs、changes.rs、core/src/eval.rs |
-| 托管类型、宿主类注册、原生分配继承、字段存储、显式能力、函数分类、声明字段与可选源码注解检查 | [名义类型](runtime/types.md) | objects/src/types.rs |
+| 托管类型、宿主类注册、原生分配继承、字段存储、显式能力、函数分类、声明字段/源码注解与方法覆写检查 | [名义类型/方法覆写](runtime/types.md) | objects/src/types.rs、contracts.rs |
 | Number、String、Dict、Cell、Function | [基本对象](runtime/builtins.md) | objects/src |
 | 源码读取与来源 | [Reader](runtime/reader.md) | frontend/src/reader.rs |
 | 词法、语法、裸赋值和诊断 | [Frontend](runtime/frontend.md) | frontend/src/lexer.peg／grammar.peg |

docs/runtime/README.md

@@ -2,7 +2,7 @@
 
 | 文档 | 内容 |
 | --- | --- |
-| [types.md](types.md) | 托管 Object／Type、名义继承、声明字段／函数注解检查、构造与类型边生命周期 |
+| [types.md](types.md) | 托管 Object／Type、名义继承、方法覆写方差/动态检查、声明字段／函数注解检查、构造与类型边生命周期 |
 | [objects.md](objects.md) | 对象、句柄与默认操作 |
 | [native-calls.md](native-calls.md) | 原生上下文、读取分类、统一参数数量/类型/联合/效果、非递归委托返回、弱引用、托管赋值与变更批次 |
 | [builtins.md](builtins.md) | Number、String、Dict、Cell、Function、异常数据 |

docs/runtime/native-calls.md

@@ -102,7 +102,7 @@ NativeResult::Invoke 仍是尾委托，不递归进入 Rust/VM。VM 为每层已
 
 CallEffect::ReadOnly 声明只读现存对象，可分配临时结果；Mutating 与 External 在 ObjectStore 只读作用域内、进入实现前拒绝。普通执行允许这些效果。ReadOnly 声明不绕过已有写屏障，也不证明可信 Rust 不会进行隐藏 I/O；未知旧原生函数仍沿原调用/宿主检查，不能把 None 理解为纯函数。这不是静态效果推断、完整 I/O 沙箱或对阻塞原生代码的抢占。
 
-Tessera 的 measure/arrange/paint/hitTest、Point 几何查询、Window、Block/Container/Page、Mount、Task、Event、Subscription 方法和 ObjectList.at 发布签名。Page.open 的 Window | Unit、Page.window 的 Window | Unit 返回，以及 Block.on 的 Bool | String 可选阶段有准确元数据；Mount 的父/子/同级/Page 弱查询为可空结果。Mount.bounds 现在返回带 Bounds 名义类型的现有几何记录，可直接组合到 Point.inside 或视觉方法。滚动位置/字典等通用记录仍声明 Object，不冒充新语言类型；任务 owner 的具体资源资格仍按原域检查。构造器、其他管理 API 和完整源码覆写方差仍未全部接入。能力注册目前继续检查参数数量，不声称已经比较签名类型或效果。
+Tessera 的 measure/arrange/paint/hitTest、Point 几何查询、Window、Block/Container/Page、Mount、Task、Event、Subscription 方法和 ObjectList.at 发布签名。Page.open 的 Window | Unit、Page.window 的 Window | Unit 返回，以及 Block.on 的 Bool | String 可选阶段有准确元数据；Mount 的父/子/同级/Page 弱查询为可空结果。Mount.bounds 现在返回带 Bounds 名义类型的现有几何记录，可直接组合到 Point.inside 或视觉方法。滚动位置/字典等通用记录仍声明 Object，不冒充新语言类型；任务 owner 的具体资源资格仍按原域检查。构造器和其他管理 API 的签名覆盖仍未全部接入。已接入的方法覆写方差与动态名称规则见类型主题。能力注册目前继续检查参数数量，不声称已经比较签名类型或效果。
 
 回归源码 native_context.rs 覆盖参数副作用前拒绝、错误结果清理、跨原生/源码委托检查、单帧限制、名义签名边与绑定方法循环回收、只读效果拒绝、传统直接函数及重复参数和元数据错误。只编译，不本地执行。
 

docs/runtime/types.md

@@ -96,7 +96,7 @@ implement_trait(Type, Trait)明确建立能力关系并校验必需方法。只
 | Type／Trait | 真实 Type／Trait 定义载荷 |
 | 其他名称 | 从函数自己的 globals、其次创建时捕获的 builtins 找到实际 Type 或 Trait；前者检查名义实例／继承，后者检查显式能力 |
 
-普通名称每次调用重新解析，不是静态推断或定义时冻结的类型绑定。同名新定义不等于旧定义；自由函数可观察后续全局类型名重绑定。方法注解中指向自身声明类的名称，优先从实际接收者祖先中查找仍持有该函数的方法定义，因此 REPL 重定义全局类名后，原实例保存的绑定方法仍可调用。其他类型名仍遵循上述全局解析规则。此机制不提供重写方差、泛型、效果类型或原生参数／返回类型与效果签名；位置参数数量元数据见[原生调用](native-calls.md#统一位置参数数量)。字段赋值检查见下文。
+普通名称每次调用重新解析，不是静态推断或定义时冻结的类型绑定。同名新定义不等于旧定义；自由函数可观察后续全局类型名重绑定。方法注解中指向自身声明类的名称，优先从实际接收者祖先中查找仍持有该函数的方法定义，因此 REPL 重定义全局类名后，原实例保存的绑定方法仍可调用。其他类型名仍遵循上述全局解析规则。源码方法替换规则见下文；泛型和静态效果类型仍未实现，原生参数／返回类型与效果签名见原生调用主题；位置参数数量元数据见[原生调用](native-calls.md#统一位置参数数量)。字段赋值检查见下文。
 
 源码与原生函数的统一名义分类由 `ObjectStore::set_function_type`／`Vm::set_function_type` 显式配置。配置验证 Type、拒绝只读修改，只保留弱引用且不可改成另一个定义；设置后新分配的显式 `ObjectPayload::is_function` 载荷自动附加该类型，已有对象不追溯改写。语言函数、两类原生函数及绑定方法提供此标记；仅有 call 能力不算函数。配置类型过期则函数分配报错并清理新对象，不引入隐藏 GC 根。宿主应在创建函数前配置，并通过正常对象边保活定义。
 
@@ -111,6 +111,21 @@ Record 构造在分配前校验全部位置字段。NativeTyped 分配器通过
 
 继承字段总是使用声明它的祖先定义和环境。注解为本类名时匹配该实际定义，REPL 重定义同名类不会改变旧实例的自引用字段约束；其他名称在每次构造／写入时从声明环境动态解析真实 Type／Trait，前向名称可在构造前建立，未知名称写入报错。不会仅以字符串相同判断名义兼容。基本注解与函数检查共用匹配规则。字段环境尚不解析函数局部类型名称或捕获的类型变量。
 
-原生共享引用对象以当前 type_target 决定声明，以 attribute_target 决定存储；共享替换后的别名因而按新内容的字段契约写入。宿主直接写裸存储对象、改载荷、附加类型或改变字段所引用对象的共享转发，不属于 `set_attr` 的完整初始化／持续不变量保证；这些低层入口仍由宿主维护。没有静态推断、字段默认值、非空递归图初始化语法、重写方差或效果系统。
+原生共享引用对象以当前 type_target 决定声明，以 attribute_target 决定存储；共享替换后的别名因而按新内容的字段契约写入。宿主直接写裸存储对象、改载荷、附加类型或改变字段所引用对象的共享转发，不属于 `set_attr` 的完整初始化／持续不变量保证；这些低层入口仍由宿主维护。没有静态推断、字段默认值、非空递归图初始化语法或静态效果系统。
 
 回归源码位于 compiler/tests/classes.rs，覆盖普通／原生构造、继承、错误写入的值／版本保持、未知名称、动态类型重绑定、自引用定义、开关、删除和 GC 清理，仅编译未本地执行。Tessera 在真实原生程序中验证共享字段更新、错误赋值与构造前副作用保护。
+
+
+## 方法覆写兼容
+
+声明字段检查开关同时控制 new_class 与 define_method 的覆写替换验证；Vm.set_source_type_checks(true) 同时启用它。默认关闭以保留旧宿主行为。它与 Trait 的规范数量检查不同：对具有类型签名的实际基类方法，子方法必须接受基类允许的全部位置数量，参数类型只能扩大（逆变），返回类型只能缩小（协变）。接收者不按父类实例逆变，而必须接受子方法自己的声明类；self: Child 因而可以覆写 self: Base。普通未覆写的新方法仍按自身调用注解检查。
+
+CallType::accepts_type 判断包含关系，支持 Object、基础值、实际名义继承、显式 Trait 实现及平坦联合；联合提供方的每一分支都必须被接收方至少一个分支覆盖。不同名义定义不以名称相同视作相等。不推断泛型、结构类型、函数内部可调用签名或关联类型。源码签名从真实参数/默认值和 SourceSignature 解析；自己的声明类绑定到实际定义，包括尚未发布的源码类和复用的祖先方法，不依赖重定义后的同名全局变量。
+
+new_class 在发布之前校验本类覆写，失败释放候选定义。define_method 用候选替换进行只读检查，覆盖本类及所有已有后代的同名覆写，成功后才改变方法表；不能因后代遮蔽祖先的旧方法而跳过兼容验证。失败保持原方法、版本和继承关系。检查只借用定义/函数/注解身份，不引入强后代索引或冻结名称。
+
+未知前向注解在类建立和方法更新时暂缓，其他已知不兼容以 OverrideViolation 报类名、方法名和原因。启用 VM 类型检查时，源码和原生调用均在进入实现前检查实际接收者所属方法的当前替换契约；UnknownAnnotation 此时不能暂缓。普通函数的首参数恰好是对象，不会因此被视为方法。默认接收者也使用实际默认参数值参与复查。每次复查动态全局注解，所以 REPL 重绑定使旧覆写不兼容时，函数体执行前拒绝；恢复兼容绑定后可继续普通调用。不回滚先前已发生的其他输入副作用。
+
+已知原生效果只允许缩小：ReadOnly 基类只能被 ReadOnly 原生覆写；Mutating 基类不允许 External 覆写；External 可接受三者。源码效果尚无静态元数据，不能声称已经证明其纯度；实际只读布局/绘制仍通过原有堆屏障与原生效果入口限制执行。未知旧基类类型签名仍是未证明的兼容边界，Trait 当前仍仅校验数量，尚未提供独立的类型/效果要求。
+
+回归源码 core/tests/method_contracts.rs 覆盖合法参数扩大/返回缩小、错误参数/返回、祖先替换对已有覆写后代的原子拒绝、调用前动态重绑定拒绝和恢复、前向名称、原生联合与效果及根清理，仅编译，不在本地执行。