把四個雲端接線缺陷的診斷寫下來（inkstone/ISEP#90）

docs/governance/cloud-wiring.md：四個缺陷分成兩種病——
①④ 是「閘的判準寫的是地端才成立的假設」，②③ 是「同一個東西有兩份，雲端跑到舊的」。
每一格都附實測證據與修法，並標明還沒關掉的兩格住在哪張票（ISEP#67／真身 repo）。

TESTING.md 補 A14／A15／A16 三格：怎麼跑、該看到什麼、什麼算失敗。
三支閘被擋下的訊息也一併指向 scripts/gate-ok（原本的手打法保留當等價寫法）。

hooks/prod-write-guard.sh

@@ -104,7 +104,9 @@ leo 原話：
 ━━━ 你是總管 ━━━
 看清楚它會覆蓋什麼（`arcrun_get_workflow` 先撈一份現況存起來，好回滾），確定要推，再：
 
-    touch /tmp/.prod-write-ok      # ⚠️ 只放行「下一個」動作，用完即消失
+    bash "$CLAUDE_PLUGIN_ROOT/scripts/gate-ok" prod-write   # ⚠️ 只放行「下一個」動作，用完即消失
+    （等價的手打法：touch /tmp/.prod-write-ok。gate-ok 是所有閘共用的同一個入口，
+      好處是它的形狀固定 ⇒ 一條規則就能事先放行，不會每次被權限層擋在門外）
 
 戳記 15 分鐘有效。**若這一推會讓封測者／用戶當場拿到東西，那就不是你的層級——要 leo 解保險。**
 MSG
@@ -268,7 +270,9 @@ leo 原話：
 ━━━ 你是總管 ━━━
 確認過要推什麼、會蓋掉什麼之後：
 
-    touch /tmp/.prod-write-ok      # ⚠️ 只放行「下一個」動作，用完即消失
+    bash "$CLAUDE_PLUGIN_ROOT/scripts/gate-ok" prod-write   # ⚠️ 只放行「下一個」動作，用完即消失
+    （等價的手打法：touch /tmp/.prod-write-ok。gate-ok 是所有閘共用的同一個入口，
+      好處是它的形狀固定 ⇒ 一條規則就能事先放行，不會每次被權限層擋在門外）
 
 ⚠️ `acr recipe push` 另有一道**互動式暴露同意閘**（終端機裡要人親手輸入資源名）。
 那道閘擋的是「把資源變成可被外部呼叫」，**本閘的戳記蓋不過它**——那是 leo 的手。