feat(api): public-api-analyzer als fail-closed gate aktivieren

Directory.Build.props

@@ -22,10 +22,14 @@
   </ItemGroup>
   <ItemGroup Condition="'$(MSBuildProjectName)' == 'FileTypeDetectionLib'">
     <PackageReference Include="Microsoft.CodeAnalysis.BannedApiAnalyzers" PrivateAssets="all" />
+    <PackageReference Include="Microsoft.CodeAnalysis.PublicApiAnalyzers" PrivateAssets="all" />
     <AdditionalFiles Include="$(MSBuildThisFileDirectory)tools/analyzers/BannedSymbols.txt"
                      Condition="Exists('$(MSBuildThisFileDirectory)tools/analyzers/BannedSymbols.txt')" />
   </ItemGroup>
+  <PropertyGroup Condition="'$(MSBuildProjectName)' == 'FileTypeDetectionLib'">
+    <WarningsAsErrors>$(WarningsAsErrors);RS0016;RS0017;RS0026;RS0027;RS0022;RS0023;RS0024;RS0025</WarningsAsErrors>
+  </PropertyGroup>
   <PropertyGroup>
-    <RepoVersion>6.1.15</RepoVersion>
+    <RepoVersion>6.1.16</RepoVersion>
   </PropertyGroup>
 </Project>

Directory.Packages.props

@@ -9,6 +9,7 @@
     <PackageVersion Include="FsCheck" Version="3.3.2" />
     <PackageVersion Include="Meziantou.Analyzer" Version="3.0.12" />
     <PackageVersion Include="Microsoft.CodeAnalysis.BannedApiAnalyzers" Version="3.3.4" />
+    <PackageVersion Include="Microsoft.CodeAnalysis.PublicApiAnalyzers" Version="3.3.4" />
     <PackageVersion Include="Microsoft.CodeAnalysis.NetAnalyzers" Version="10.0.103" />
     <PackageVersion Include="Microsoft.Extensions.Logging.Abstractions" Version="10.0.3" />
     <PackageVersion Include="Microsoft.IO.RecyclableMemoryStream" Version="3.0.1" />

docs/0_de/governance/045_CODE_QUALITY_POLICY_DE.MD

@@ -788,3 +788,16 @@ Diese Policy ist in der CI-RoC-Matrix auf folgende Regeldateien gemappt:
   - `Microsoft.CodeAnalysis.BannedApiAnalyzers` (fail-closed über `BannedSymbols.txt`)
   - `Meziantou.Analyzer`
 - Für `FileTypeDetectionLib` ist mindestens `Microsoft.CodeAnalysis.BannedApiAnalyzers` mit derselben zentralen Banlist (`tools/analyzers/BannedSymbols.txt`) verpflichtend.
+
+## 13. Public-API-Governance (fail-closed)
+- `FileTypeDetectionLib` muss `Microsoft.CodeAnalysis.PublicApiAnalyzers` als `PrivateAssets=all` referenzieren.
+- Baseline-Dateien liegen unter `src/FileTypeDetection/`:
+  - `PublicAPI.Shipped.txt` (veröffentlichte API)
+  - `PublicAPI.Unshipped.txt` (noch nicht veröffentlichte API-Änderungen)
+- Bei absichtlichen API-Änderungen:
+  1. Eintrag zuerst in `PublicAPI.Unshipped.txt`.
+  2. Vor Stable-Release in `PublicAPI.Shipped.txt` überführen und `PublicAPI.Unshipped.txt` leeren.
+  3. Changelog/Versionshistorie aktualisieren und Evidence im PR nachziehen.
+- Der Build läuft fail-closed über folgende RS-Fehler:
+  - `RS0016`, `RS0017`, `RS0022`, `RS0023`, `RS0024`, `RS0025`, `RS0026`, `RS0027`
+- Nicht beabsichtigte API-Drift ist blocker und darf nicht gemerged werden.

docs/0_de/versioning/002_HISTORY_VERSIONS.MD

@@ -12,14 +12,15 @@ Heuristik für die Rückwirkungs-Zuordnung:
 - `docs|test|ci|chore|tooling|refactor|fix` => Patch
 
 Aktueller Entwicklungsstand:
-- Aktuelle Entwicklungslinie enthält `6.x` (aktueller Arbeitsstand: `v6.1.15`; Details in `docs/versioning/003_CHANGELOG_RELEASES.MD`).
+- Aktuelle Entwicklungslinie enthält `6.x` (aktueller Arbeitsstand: `v6.1.16`; Details in `docs/versioning/003_CHANGELOG_RELEASES.MD`).
 
 Hinweis:
 - Die Spalte `Keyword` verwendet den technischen Klassifizierungswert aus der Historie.
 - Einzelne Committitel bleiben in der Originalsprache, wenn sie als exakter Quelltextnachweis übernommen wurden.
 
 | Version | Kurzbeschreibung | Commit | Keyword |
 |---|---|---|---|
+| `6.1.16` | API-Auditierbarkeit fail-closed aktiviert: `Microsoft.CodeAnalysis.PublicApiAnalyzers` zentral eingebunden, Public-API-Baseline (`PublicAPI.Shipped.txt`/`PublicAPI.Unshipped.txt`) für `FileTypeDetectionLib` eingeführt und Governance-/Versioning-Dokumentation um den verbindlichen API-Änderungsprozess erweitert | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.15` | Governance-Drift geschlossen: Branch-Protection-Review-Policy und Scorecard-Governance-Mappings auf den verifizierten Ist-Stand `required_approving_review_count = 0` konsolidiert, inklusive aktualisierter Prozesskontrollen für verpflichtende Required-Checks und Review-Thread-Evidence gemäß `AGENTS.md` | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.14` | 6.1.14 Pipeline-Konvergenz geschlossen: Release-Workflow erzwingt NuGet-Online-Konvergenz jetzt fail-closed auch für `workflow_dispatch`, Release-Metadaten werden artefaktbasiert deterministisch aufgelöst und Fuzzing-Blocker-/Governance-Evidence-Dokumentation entsprechend nachgezogen | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.13` | FC-0016 abgeschlossen: In-Code-XML-Dokumentation im gesamten CSCore sprachlich auf Deutsch vereinheitlicht (inkl. konsistenter `<b>`- und `<br/>`-Verwendungsstruktur) und Terminologie für Audit-/Betriebskontexte konsolidiert | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |

docs/0_de/versioning/003_CHANGELOG_RELEASES.MD

@@ -7,6 +7,16 @@
 Alle Änderungen werden hier technisch dokumentiert. Die Release-Version selbst ist
 der Git-Tag `vX.Y.Z` (optional `-prerelease`) als SSOT.
 
+## [6.1.16]
+- Added:
+  - `Microsoft.CodeAnalysis.PublicApiAnalyzers` als zentrales Analyzer-Paket aufgenommen und für `FileTypeDetectionLib` aktiviert.
+  - Public-API-Baseline-Dateien `src/FileTypeDetection/PublicAPI.Shipped.txt` und `src/FileTypeDetection/PublicAPI.Unshipped.txt` eingeführt.
+- Changed:
+  - Build-Gate für Public API ist fail-closed aktiv: Änderungen an der öffentlichen API müssen nun explizit als shipped/unshipped deklariert werden.
+- Docs/CI/Tooling:
+  - Governance-Policy (DE/EN + Spiegel) um verbindlichen API-Änderungsprozess ergänzt.
+  - Versionskonvergenz aktiv auf `6.1.16` gesetzt (`RepoVersion`, `Version`, `PackageVersion`, Versionshistorie DE/EN).
+
 ## [6.1.15]
 - Changed:
   - Governance-Mapping für `CodeReviewID` auf den verifizierten Branch-Protection-Iststand harmonisiert (`required_approving_review_count = 0`, `require_code_owner_reviews = false`, `require_last_push_approval = false`).

docs/1_en/governance/045_CODE_QUALITY_POLICY_DE.MD

@@ -155,3 +155,16 @@ This policy is mapped in the CI RoC matrix to the following rule files:
 - `tools/ci/policies/rules/naming_snt.yaml`
 - `tools/ci/policies/rules/shell_safety.yaml`
 - `tools/ci/policies/rules/versioning_svt.yaml`
+
+## 12. Public API Governance (fail-closed)
+- `FileTypeDetectionLib` must reference `Microsoft.CodeAnalysis.PublicApiAnalyzers` with `PrivateAssets=all`.
+- Baseline files are stored in `src/FileTypeDetection/`:
+  - `PublicAPI.Shipped.txt` (released API)
+  - `PublicAPI.Unshipped.txt` (not-yet-released API changes)
+- For intentional API changes:
+  1. Add entries to `PublicAPI.Unshipped.txt` first.
+  2. Move entries into `PublicAPI.Shipped.txt` before a stable release and clear `PublicAPI.Unshipped.txt`.
+  3. Update changelog/version history and attach PR evidence.
+- Build enforcement is fail-closed via these RS diagnostics:
+  - `RS0016`, `RS0017`, `RS0022`, `RS0023`, `RS0024`, `RS0025`, `RS0026`, `RS0027`
+- Unintended public API drift is a blocker and must not be merged.

docs/1_en/versioning/002_HISTORY_VERSIONS.MD

@@ -12,13 +12,14 @@ Heuristics for retroactive classification:
 - `docs|test|ci|chore|tooling|refactor|fix` => patch
 
 Current state:
-- Current release line contains `6.x` (current working state: `v6.1.15`; details in `docs/versioning/103_CHANGELOG_RELEASES.MD`).
+- Current release line contains `6.x` (current working state: `v6.1.16`; details in `docs/versioning/103_CHANGELOG_RELEASES.MD`).
 
 Note:
 - The \"short description\" column follows the original commit/PR intent text for deterministic traceability and is not normalized to a single language.
 
 | Version | Short description | Commit | Keyword |
 |---|---|---|---|
+| `6.1.16` | API auditability fail-closed enabled: `Microsoft.CodeAnalysis.PublicApiAnalyzers` was added centrally, a public API baseline (`PublicAPI.Shipped.txt`/`PublicAPI.Unshipped.txt`) was introduced for `FileTypeDetectionLib`, and governance/versioning docs now define the mandatory API-change process | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.15` | Governance drift closed: branch-protection review policy and Scorecard governance mappings were aligned to the verified state `required_approving_review_count = 0`, including updated process controls for mandatory required checks and review-thread evidence per `AGENTS.md` | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.14` | 6.1.14 pipeline convergence closed: release workflow now enforces NuGet online convergence fail-closed for `workflow_dispatch` too, resolves release metadata deterministically via artifact, and aligns fuzzing-blocker/governance evidence documentation | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.13` | FC-0016 completed: unified in-code XML documentation language to German across CSCore (including consistent `<b>` and `<br/>` structure) and consolidated terminology for audit/operational contexts | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |

docs/1_en/versioning/003_CHANGELOG_RELEASES.MD

@@ -6,6 +6,16 @@
 
 All changes are documented here in technical terms. The release version itself is the Git tag `vX.Y.Z` (optional `-prerelease`) as SSOT.
 
+## [6.1.16]
+- Added:
+  - Added `Microsoft.CodeAnalysis.PublicApiAnalyzers` as a centrally managed analyzer package and enabled it for `FileTypeDetectionLib`.
+  - Introduced public API baseline files `src/FileTypeDetection/PublicAPI.Shipped.txt` and `src/FileTypeDetection/PublicAPI.Unshipped.txt`.
+- Changed:
+  - Public API build gate is now fail-closed: any public API change must be declared explicitly as shipped/unshipped.
+- Docs/CI/Tooling:
+  - Extended governance policy docs (DE/EN + mirrors) with a mandatory API-change process.
+  - Version convergence set to `6.1.16` (`RepoVersion`, `Version`, `PackageVersion`, DE/EN version history).
+
 ## [6.1.15]
 - Changed:
   - Harmonized the governance mapping for `CodeReviewID` with the verified branch-protection state (`required_approving_review_count = 0`, `require_code_owner_reviews = false`, `require_last_push_approval = false`).

docs/governance/045_CODE_QUALITY_POLICY_DE.MD

@@ -788,3 +788,16 @@ Diese Policy ist in der CI-RoC-Matrix auf folgende Regeldateien gemappt:
   - `Microsoft.CodeAnalysis.BannedApiAnalyzers` (fail-closed über `BannedSymbols.txt`)
   - `Meziantou.Analyzer`
 - Für `FileTypeDetectionLib` ist mindestens `Microsoft.CodeAnalysis.BannedApiAnalyzers` mit derselben zentralen Banlist (`tools/analyzers/BannedSymbols.txt`) verpflichtend.
+
+## 13. Public-API-Governance (fail-closed)
+- `FileTypeDetectionLib` muss `Microsoft.CodeAnalysis.PublicApiAnalyzers` als `PrivateAssets=all` referenzieren.
+- Baseline-Dateien liegen unter `src/FileTypeDetection/`:
+  - `PublicAPI.Shipped.txt` (veröffentlichte API)
+  - `PublicAPI.Unshipped.txt` (noch nicht veröffentlichte API-Änderungen)
+- Bei absichtlichen API-Änderungen:
+  1. Eintrag zuerst in `PublicAPI.Unshipped.txt`.
+  2. Vor Stable-Release in `PublicAPI.Shipped.txt` überführen und `PublicAPI.Unshipped.txt` leeren.
+  3. Changelog/Versionshistorie aktualisieren und Evidence im PR nachziehen.
+- Der Build läuft fail-closed über folgende RS-Fehler:
+  - `RS0016`, `RS0017`, `RS0022`, `RS0023`, `RS0024`, `RS0025`, `RS0026`, `RS0027`
+- Nicht beabsichtigte API-Drift ist blocker und darf nicht gemerged werden.

docs/governance/145_CODE_QUALITY_POLICY_DE.MD

@@ -155,3 +155,16 @@ This policy is mapped in the CI RoC matrix to the following rule files:
 - `tools/ci/policies/rules/naming_snt.yaml`
 - `tools/ci/policies/rules/shell_safety.yaml`
 - `tools/ci/policies/rules/versioning_svt.yaml`
+
+## 12. Public API Governance (fail-closed)
+- `FileTypeDetectionLib` must reference `Microsoft.CodeAnalysis.PublicApiAnalyzers` with `PrivateAssets=all`.
+- Baseline files are stored in `src/FileTypeDetection/`:
+  - `PublicAPI.Shipped.txt` (released API)
+  - `PublicAPI.Unshipped.txt` (not-yet-released API changes)
+- For intentional API changes:
+  1. Add entries to `PublicAPI.Unshipped.txt` first.
+  2. Move entries into `PublicAPI.Shipped.txt` before a stable release and clear `PublicAPI.Unshipped.txt`.
+  3. Update changelog/version history and attach PR evidence.
+- Build enforcement is fail-closed via these RS diagnostics:
+  - `RS0016`, `RS0017`, `RS0022`, `RS0023`, `RS0024`, `RS0025`, `RS0026`, `RS0027`
+- Unintended public API drift is a blocker and must not be merged.

docs/versioning/002_HISTORY_VERSIONS.MD

@@ -12,14 +12,15 @@ Heuristik für die Rückwirkungs-Zuordnung:
 - `docs|test|ci|chore|tooling|refactor|fix` => Patch
 
 Aktueller Entwicklungsstand:
-- Aktuelle Entwicklungslinie enthält `6.x` (aktueller Arbeitsstand: `v6.1.15`; Details in `docs/versioning/003_CHANGELOG_RELEASES.MD`).
+- Aktuelle Entwicklungslinie enthält `6.x` (aktueller Arbeitsstand: `v6.1.16`; Details in `docs/versioning/003_CHANGELOG_RELEASES.MD`).
 
 Hinweis:
 - Die Spalte `Keyword` verwendet den technischen Klassifizierungswert aus der Historie.
 - Einzelne Committitel bleiben in der Originalsprache, wenn sie als exakter Quelltextnachweis übernommen wurden.
 
 | Version | Kurzbeschreibung | Commit | Keyword |
 |---|---|---|---|
+| `6.1.16` | API-Auditierbarkeit fail-closed aktiviert: `Microsoft.CodeAnalysis.PublicApiAnalyzers` zentral eingebunden, Public-API-Baseline (`PublicAPI.Shipped.txt`/`PublicAPI.Unshipped.txt`) für `FileTypeDetectionLib` eingeführt und Governance-/Versioning-Dokumentation um den verbindlichen API-Änderungsprozess erweitert | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.15` | Governance-Drift geschlossen: Branch-Protection-Review-Policy und Scorecard-Governance-Mappings auf den verifizierten Ist-Stand `required_approving_review_count = 0` konsolidiert, inklusive aktualisierter Prozesskontrollen für verpflichtende Required-Checks und Review-Thread-Evidence gemäß `AGENTS.md` | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.14` | 6.1.14 Pipeline-Konvergenz geschlossen: Release-Workflow erzwingt NuGet-Online-Konvergenz jetzt fail-closed auch für `workflow_dispatch`, Release-Metadaten werden artefaktbasiert deterministisch aufgelöst und Fuzzing-Blocker-/Governance-Evidence-Dokumentation entsprechend nachgezogen | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.13` | FC-0016 abgeschlossen: In-Code-XML-Dokumentation im gesamten CSCore sprachlich auf Deutsch vereinheitlicht (inkl. konsistenter `<b>`- und `<br/>`-Verwendungsstruktur) und Terminologie für Audit-/Betriebskontexte konsolidiert | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |

docs/versioning/003_CHANGELOG_RELEASES.MD

@@ -7,6 +7,16 @@
 Alle Änderungen werden hier technisch dokumentiert. Die Release-Version selbst ist
 der Git-Tag `vX.Y.Z` (optional `-prerelease`) als SSOT.
 
+## [6.1.16]
+- Added:
+  - `Microsoft.CodeAnalysis.PublicApiAnalyzers` als zentrales Analyzer-Paket aufgenommen und für `FileTypeDetectionLib` aktiviert.
+  - Public-API-Baseline-Dateien `src/FileTypeDetection/PublicAPI.Shipped.txt` und `src/FileTypeDetection/PublicAPI.Unshipped.txt` eingeführt.
+- Changed:
+  - Build-Gate für Public API ist fail-closed aktiv: Änderungen an der öffentlichen API müssen nun explizit als shipped/unshipped deklariert werden.
+- Docs/CI/Tooling:
+  - Governance-Policy (DE/EN + Spiegel) um verbindlichen API-Änderungsprozess ergänzt.
+  - Versionskonvergenz aktiv auf `6.1.16` gesetzt (`RepoVersion`, `Version`, `PackageVersion`, Versionshistorie DE/EN).
+
 ## [6.1.15]
 - Changed:
   - Governance-Mapping für `CodeReviewID` auf den verifizierten Branch-Protection-Iststand harmonisiert (`required_approving_review_count = 0`, `require_code_owner_reviews = false`, `require_last_push_approval = false`).

docs/versioning/102_HISTORY_VERSIONS.MD

@@ -12,13 +12,14 @@ Heuristics for retroactive classification:
 - `docs|test|ci|chore|tooling|refactor|fix` => patch
 
 Current state:
-- Current release line contains `6.x` (current working state: `v6.1.15`; details in `docs/versioning/103_CHANGELOG_RELEASES.MD`).
+- Current release line contains `6.x` (current working state: `v6.1.16`; details in `docs/versioning/103_CHANGELOG_RELEASES.MD`).
 
 Note:
 - The \"short description\" column follows the original commit/PR intent text for deterministic traceability and is not normalized to a single language.
 
 | Version | Short description | Commit | Keyword |
 |---|---|---|---|
+| `6.1.16` | API auditability fail-closed enabled: `Microsoft.CodeAnalysis.PublicApiAnalyzers` was added centrally, a public API baseline (`PublicAPI.Shipped.txt`/`PublicAPI.Unshipped.txt`) was introduced for `FileTypeDetectionLib`, and governance/versioning docs now define the mandatory API-change process | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.15` | Governance drift closed: branch-protection review policy and Scorecard governance mappings were aligned to the verified state `required_approving_review_count = 0`, including updated process controls for mandatory required checks and review-thread evidence per `AGENTS.md` | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.14` | 6.1.14 pipeline convergence closed: release workflow now enforces NuGet online convergence fail-closed for `workflow_dispatch` too, resolves release metadata deterministically via artifact, and aligns fuzzing-blocker/governance evidence documentation | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |
 | `6.1.13` | FC-0016 completed: unified in-code XML documentation language to German across CSCore (including consistent `<b>` and `<br/>` structure) and consolidated terminology for audit/operational contexts | [unreleased](https://github.com/tomtastisch/FileClassifier/compare/main...HEAD) | patch |

docs/versioning/103_CHANGELOG_RELEASES.MD

@@ -6,6 +6,16 @@
 
 All changes are documented here in technical terms. The release version itself is the Git tag `vX.Y.Z` (optional `-prerelease`) as SSOT.
 
+## [6.1.16]
+- Added:
+  - Added `Microsoft.CodeAnalysis.PublicApiAnalyzers` as a centrally managed analyzer package and enabled it for `FileTypeDetectionLib`.
+  - Introduced public API baseline files `src/FileTypeDetection/PublicAPI.Shipped.txt` and `src/FileTypeDetection/PublicAPI.Unshipped.txt`.
+- Changed:
+  - Public API build gate is now fail-closed: any public API change must be declared explicitly as shipped/unshipped.
+- Docs/CI/Tooling:
+  - Extended governance policy docs (DE/EN + mirrors) with a mandatory API-change process.
+  - Version convergence set to `6.1.16` (`RepoVersion`, `Version`, `PackageVersion`, DE/EN version history).
+
 ## [6.1.15]
 - Changed:
   - Harmonized the governance mapping for `CodeReviewID` with the verified branch-protection state (`required_approving_review_count = 0`, `require_code_owner_reviews = false`, `require_last_push_approval = false`).

src/FileTypeDetection/FileTypeDetectionLib.vbproj

@@ -7,8 +7,8 @@
         <IsPackable>true</IsPackable>
         <GeneratePackageOnBuild>false</GeneratePackageOnBuild>
         <PackageId>Tomtastisch.FileClassifier</PackageId>
-        <Version>6.1.15</Version>
-        <PackageVersion>6.1.15</PackageVersion>
+        <Version>6.1.16</Version>
+        <PackageVersion>6.1.16</PackageVersion>
         <Authors>tomtastisch</Authors>
         <Description>Deterministic file type and MIME detection with fail-closed archive safety checks, secure extraction primitives, and reproducible hashing evidence for .NET.</Description>
         <PackageTags>filetype;mime;detection;magic-bytes;sniffing;archive;zip;tar;7z;rar;zipslip;security;hashing;sha256;deterministic;dotnet;netstandard2.0;net8;net10</PackageTags>