feat(explore): --plan-review gjoer "be om svar, bruke svarene" naabar fra CLI (F4, ORDRE 20260825T133139Z)

F4 fra misjonsreviewen: begge operatorflatene nektet enable_plan_review, og eneste doer var
explore(..., plan_reviewer=...) i bibliotek-APIet. Maalbildets HITL-loop var dermed unaabar for
enhver som ikke importerte pakka. Reviewens tre fil:linje-paastander ble verifisert mot kilden foer
bygging og stemte.

Flate: CLI. `--plan-review` bygger en terminal_plan_reviewer() og gir den til den UENDREDE sloeyfa.
Operatoren vises planen og svarer "approve" eller "revise <hva>"; en revisjon gaar tilbake til
manageren, som replanlegger og spoer IGJEN om den NYE planen.

Gaten er den ANDRE halvdelen av setningen. En doer som printer planen, leser linja og kaster den
bestaar "operatoren ble spurt" og feiler maalbildet -- repoets vakuoes-gate-klasse. T1 er derfor
test_explore_loadbearing sin T15 loeftet til CLI-niva og er ROED mot en alltid-godkjenn-reviewer.
Vitnet er {run_id}-exploration.json (skrevet fra en finally), ikke skrapet stdout.

Fail-closed paa operatorens egen input: alt utenfor vokabularet spoerres paa nytt, og EOF raiser
PlanReviewInputError -- stillhet er aldri en signatur.

Fire nekter ved navn, hvorav to lukket et stille dropp ingen test dekket: report_forbidden (report-
modus returnerer FOER hver utforsknings-nekt) og portefoelje-partisjonen. De to konfig-avhengige
nektene deler tokenet enable_plan_review og har derfor ulik saertekst; den eksisterende testen
asserterte paa det delte tokenet og er rettet (oekt-57-mutasjonen, niende gang).

Hosting nekter fortsatt -- reviewen er synkron og ville blokkert bade HTTP-requesten og event-loekka
som svarer /readiness -- men meldingen navngir na CLI-doeren i stedet for aa paasta at biblioteket er
den eneste.

Mid-loep-spoersmaal er IKKE bygget, og fravaeret er MAALT: _magentic.py har noeyaktig ETT
ctx.request_info (:1044, plan review) i hele modulen. Reviewens "kun plan-review FOER loepet" er
derimot upresist -- samme forespoersel fyrer ogsaa ved re-plan etter en stall.

Load-bearing MAALT (tests/test_plan_review_cli_door_loadbearing.py, 12 tester), elleve mutasjoner
alle roede mot HELE suiten + groenn kontroll 1040/5 og golden demo-transcript.stdout BYTE-UENDRET
(ea8c534773acdbe41ae68f2c55724d69aaf8be4f).

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01LtMDsh2zfp4Bmw8KGJ4aLD

README.md

@@ -438,8 +438,28 @@ when the seam is detached, so the loop cannot silently degrade into theater.
   `--explore-config` states the bounds, and **every field is required** — `max_rounds`,
   `max_tokens`, `max_stall_count`, `max_reset_count`, `max_plan_revisions`, `enable_plan_review`.
   None of them has a default, because an omitted cap falls back to an *unbounded* loop rather than
-  a conservative one. `enable_plan_review` must be `false` on this surface: the plan review is
-  synchronous and there is no reviewer at a CLI to answer it (the library API takes one).
+  a conservative one.
+
+  **Answering the plan review (`--plan-review`).** With `enable_plan_review` set, the exploration
+  stops before the loop is allowed to run and asks you to sign the plan off. `--plan-review`
+  answers it *at your terminal*: you are shown the plan, and you type `approve` or
+  `revise <what to change>`. A revision goes back to the manager, which replans and asks you
+  again about the **new** plan; `max_plan_revisions` bounds how many revisions are applied. Every
+  round trip is recorded in `{run_id}-exploration.json` with your words verbatim. Input that ends
+  without an answer is an error, never a sign-off — an autonomous loop must not run on a plan
+  nobody approved. The two flags are refused apart: `enable_plan_review` without `--plan-review`
+  would stop at a review nobody can answer, and `--plan-review` without it would build a reviewer
+  nobody ever asks.
+
+  ```bash
+  uv run python -m portfolio_optimiser.run FV42-GSV-E1 --docs-dir <docs> --bundle-dir <bundle> \
+    --explore "Find the cheapest saving worth testing here" --explore-config exploration.json \
+    --plan-review --outbox-dir out --run-id r1
+  ```
+
+  The review is **synchronous**: the loop waits on you. That is why the hosted surface refuses it
+  — blocking an HTTP request on a human would also block the event loop that answers
+  `/readiness`.
 
   `--explore` is refused together with `--mandate` — they are two sources of one mandate, and
   merging would silently overwrite what you wrote. To seed an exploration with a domain expert's