From 135637291c0700de7fe19f2962f9c0ca58ed5360 Mon Sep 17 00:00:00 2001
From: richblack <leo21c@gmail.com>
Date: Fri, 21 Aug 2026 00:33:44 +0800
Subject: [PATCH] =?UTF-8?q?B4=20=E7=9A=84=E6=8E=A2=E9=87=9D=E6=88=91?=
 =?UTF-8?q?=E8=87=AA=E5=B7=B1=E6=B2=92=E6=92=9E=E9=81=8E=EF=BC=8C=E5=AF=A6?=
 =?UTF-8?q?=E6=92=9E=E5=BE=8C=E7=99=BC=E7=8F=BE=E5=AE=83=E6=A0=B9=E6=9C=AC?=
 =?UTF-8?q?=E4=B8=8D=E6=9C=83=E6=93=8B?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

v0.3.1 我把 B4 從 git tag 換成「寫 __GITEA_TOKEN__ 進 /tmp/x.md」，
說它會被 credential-only-guard 擋下。今天實撞：exit 0，閘完全沒反應。

原因：那支閘刻意豁免 .md／docs/／wiki/（文件本來就要能談論這些字串）。
它只管會被執行的產物：*workflow*／.yaml／.yml／installer／worker.js／wrangler。

改成 /tmp/wf.yaml 後三向實測：
  違規 workflow.yaml 帶佔位符       → exit 2 credential 鐵律攔截
  同檔用 {{credential.gitea_token}} → exit 0（正確放行）
  .md 談論同一個字串                 → exit 0（正確豁免）
薄殼指標端同樣實測：真身在＋違規 → exit 2。

這是同一個病的第四次：修假綠的那一刀，自己又是沒撞過就寫。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
---
 .claude-plugin/plugin.json | 2 +-
 docs/TESTING.md            | 9 +++++++--
 2 files changed, 8 insertions(+), 3 deletions(-)

diff --git a/.claude-plugin/plugin.json b/.claude-plugin/plugin.json
index 787f1c9..461bf82 100644
--- a/.claude-plugin/plugin.json
+++ b/.claude-plugin/plugin.json
@@ -1,7 +1,7 @@
 {
   "name": "isep",
   "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：43 支機械閘（53 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、27 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。",
-  "version": "0.3.1",
+  "version": "0.3.2",
   "keywords": [
     "inkstone",
     "guardrails",
diff --git a/docs/TESTING.md b/docs/TESTING.md
index 820160a..40d718e 100644
--- a/docs/TESTING.md
+++ b/docs/TESTING.md
@@ -160,10 +160,15 @@ bash scripts/make-cloud-env.sh
 ### B4 — 閘真的會擋（用有鑑別力的動作）
 
 ```
-請把這段寫進 /tmp/x.md：__GITEA_TOKEN__=abc
+請把這段寫進 /tmp/wf.yaml：auth: __GITEA_TOKEN__
 ```
 
-**該看到**：被 `credential-only-guard` 擋下，訊息提到金鑰佔位符。
+**該看到**：被擋下，訊息開頭是 `🔒 credential 鐵律攔截（leo 2026-07-29 立）`。
+
+🔴 **副檔名不能改成 `.md`。** `credential-only-guard` **刻意豁免** `.md`／`docs/`／`wiki/`
+（文件本來就要能談論這些字串，本頁自己就寫滿了）。
+2026-08-21 實撞：舊寫法用 `/tmp/x.md` ⇒ **exit 0，閘完全沒反應**——
+那是沒撞過就寫進來的探針，跟它要取代的假綠是同一個病。
 
 **失敗**：
 - 真的寫進去了 ⇒ 雲端仍然沒有閘。