feat(diff): compare call-graph edges in snapshot diff — 25,876 edges saved to disk but never compared

[Wolfvin]

Mengapa (falsifiable — diverifikasi 2026-07-17)

Snapshot CodeLens menyimpan edge call-graph ke disk tapi tidak pernah membandingkannya. _diff_backend() (scripts/diff_engine.py:303-353) hanya membaca nodes — kata edges tidak muncul sekali pun di seluruh fungsi itu, padahal _empty_backend() (baris 204-205) mendeklarasikan {"nodes": [], "edges": []} dan save_snapshot() men-deepcopy seluruh dict backend.

Repro (snapshot nyata di repo ini, scripts/.codelens/snapshots/20260714T080003Z.json):

backend keys: ['last_updated', 'workspace', 'nodes', 'edges']
nodes: 2429   edges: 25876

Data di snapshot	Dibandingkan oleh _diff_backend()?
2.429 nodes	✅ ya (added/removed/changed + new_dead/resolved_dead)
25.876 edges	❌ tidak — diabaikan total

Akibatnya impact --check diff bisa bilang "fungsi X jadi dead", tapi tidak bisa bilang:

• edge baru muncul dari modul A ke modul B (arsitektur melar diam-diam)
• edge X→Y hilang (perilaku berubah tanpa fungsi mana pun hilang)

Perubahan struktural yang tidak menghapus/menambah fungsi = tak terlihat sepenuhnya hari ini. Padahal datanya sudah ada di disk.

Mekanisme (dari inspeksi data snapshot, bukan asumsi)

Edge tidak seragam bentuknya — ada 3 shape, dan ini menentukan desain:

Shape	Jumlah	Arti
{from, to_fn, resolved:false}	21.323	call tak ter-resolve (target = nama saja)
{from, to}	3.669	call ter-resolve (to = node id)
{from, to, via_self}	884	call ter-resolve via self.x()

Fakta terukur yang membentuk constraint:

• 82% edge tak ter-resolve. Target teratasnya: get, append, group, strip, join, startswith, search, match — method builtin/stdlib. Nol nilai arsitektural.
• Resolved edge: 4.553 total tapi hanya 3.309 pasangan (from,to) unik — 547 pasangan berulang (maks 26×), karena satu edge dicatat per call-site.
• via_self bernilai True (884) atau absen (3.669) → kualifier, bukan bagian identitas.

Konsekuensi: diff naif atas 25.876 edge = sampah (21k noise builtin), dan diff sebagai multiset akan melaporkan "berubah" hanya karena jumlah call-site bergeser — padahal bentuk graph sama.

Konteks

• impact --check diff → commands/diff.py → diff_engine.diff_snapshots() / diff_current_vs_last().
• Snapshot infra sudah lengkap dan dipakai: save_snapshot(), list_snapshots(), _load_snapshot(), retensi 20 terakhir (_cleanup_old_snapshots). 7 snapshot nyata ada di repo.
• deps --check export-snapshot / import-snapshot (chore(deps): import-snapshot permanently broken since export-snapshot was dropped #218) round-trip sudah terverifikasi.
• Ini prasyarat langsung untuk named-flow diff (issue lanjutan): "bentuk flow pembayaran berubah di PR ini" = edge-diff yang dipersempit ke satu flow bernama. Tanpa edge-diff, checkpoint hanya bisa lapor jumlah node.
• Selaras RFC rfc(scope): narrow core to call-graph + agent ergonomics; demote security/a11y/css to optional plugins #279 (core = call-graph + agent ergonomics) di kedua cabang keputusan — ini memperkuat call-graph, bukan memperluas permukaan.

Tujuan

_diff_backend() membandingkan bentuk call-graph, bukan cuma keberadaan fungsi. Setelah ini, satu perintah bisa menjawab: "edge apa yang muncul/hilang antara dua checkpoint?"

Constraint

• Identitas edge = pasangan (from, to) unik atas resolved edge saja. Set, bukan multiset — perubahan jumlah call-site bukan perubahan arsitektur.
• Unresolved edge (to_fn) TIDAK masuk detail diff — hanya delta jumlah. 21k append/strip/get akan menenggelamkan sinyal.
• via_self dikeluarkan dari kunci identitas (kualifier).
• Count selalu eksak; list detail dibatasi (cap) + flag truncated — 3.309 pasangan bisa meledak jadi ribuan entri saat file di-rename.
• Backward compatible: field lama (added_nodes, removed_nodes, changed_nodes, *_count, new_dead, resolved_dead) tidak boleh berubah bentuk/nama — commands/diff.py, dashboard.py, formatter, dan MCP mengonsumsinya.
• Snapshot lama (tanpa key edges, atau shape campur) harus di-handle tanpa crash → .get("edges", []).
• Zero dead code. Tidak ada command baru — command count tetap 12.
• Bukan feature-class file baru (engine sudah ada) → tidak butuh design doc; PR pakai label skip-design-doc bila CI meminta.

Definition of Done

• _diff_backend() mengembalikan added_edges, removed_edges (resolved-only, distinct (from,to), capped + truncated) dan added_edge_count / removed_edge_count (eksak)
• Delta unresolved dilaporkan sebagai jumlah saja (unresolved_count from→to), tanpa detail per-edge
• summary di diff_snapshots() dan diff_current_vs_last() menyertakan edges_added / edges_removed
• Field lama tidak berubah — test existing impact --check diff tetap hijau
• Snapshot tanpa edges tidak crash (backward compat)
• Unit test: edge ditambah → muncul di added_edges; edge dihapus → muncul di removed_edges; call-site bertambah tanpa pasangan baru → tidak dilaporkan; unresolved edge tidak bocor ke detail
• Diverifikasi di workspace polyglot nyata (Coretax-Auto-Downloader/smart-tax-assistance/app, 425 file): dua checkpoint + satu perubahan nyata → edge delta benar
• Full test suite hijau

[Wolfvin]

🔄 Taking this issue — BOS langsung (bukan worker), 2026-07-17. Root cause + lokasi sudah pasti: _diff_backend() di scripts/diff_engine.py:303-353.

[Wolfvin]

⚠️ Koreksi spec — constraint identitas edge di issue ini SALAH

Ditemukan saat implementasi, dibuktikan terhadap data nyata. Constraint asli menulis:

Identitas edge = pasangan (from, to) unik atas resolved edge saja.

Itu salah dan akan menghasilkan mesin derau. from/to adalah node id yang memuat nomor baris (formatters/__init__.py:200). Akibatnya fungsi yang cuma bergeser baris membuat SEMUA edge yang menyentuhnya dilaporkan hilang lalu muncul kembali.

Repro pada dua snapshot nyata di repo ini (20260714T023015Z vs 20260714T080003Z):

	Desain (from,to) id mentah
Dilaporkan	11 added + 11 removed
Perubahan nyata (nama-level)	0 added, 0 removed

Ke-11 nya edge yang sama persis di kedua sisi (format_output → format_sarif dst) — format_output cuma pindah baris. 22 laporan palsu dari 0 perubahan.

Pada workspace polyglot nyata (425 file, 4.188 node / 12.982 edge), geser baris seluruh codebase:

Desain	added	removed	laporan palsu
(from,to) id mentah (spec asli)	1.589	1.589	3.178
(file, impl_for, fn) (dipakai)	0	0	0

Constraint yang benar

Identitas endpoint = (file, impl_for, fn), di-resolve lewat node map — bukan node id mentah.

Pemilihan kunci diukur, bukan ditebak (2.429 node, registry CodeLens sendiri):

Kunci	Distinct	Tabrakan	Derau geser-baris
node id mentah	2429	0	fatal (3.178 palsu)
(file, fn)	2357	38	nol
(file, impl_for, fn)	2415	9 (0,37%)	nol

impl_for = kelas/struct pemilik; memisahkan method senama dalam satu file (TaintInfo.copy vs TaintState.copy). Ke-9 tabrakan sisa semuanya sudah ditandai duplicate_define: true oleh CodeLens sendiri — closure visit/_walk/visitor yang memang didefinisikan berulang di scope sama, jadi ambigu secara hakiki. Menggabungkannya jujur, bukan kehilangan presisi.

Endpoint yang tak resolve ke node (source module-level sintetis app.py:0:<module> dari #219/#223 sengaja tanpa node) fallback ke id mentah — yang sudah line-independent (:0:<module>).

Sisa constraint asli tetap berlaku dan terbukti benar: resolved-only, set bukan multiset, via_self kualifier, count eksak + detail ter-cap, backward compat.

DoD tambahan: geser baris murni → 0 added / 0 removed (test regresi + verifikasi skala nyata).