雲端要拿得到票、主線與通知：白名單住 ISEP、主線檔隨 repo 走、leo21c 讀放寫擋（inkstone/ISEP#130）

- docs/permissions-allow.json ＋ scripts/settings-allow-sync：四個 Gitea 正門工具的權限白名單一份，
  setup script 裝完 plugin 寫一次、SessionStart 每次再對一次（只加不減、冪等）
- hooks/lib/mainline.py／scripts/mainline：家目錄沒主線就讀 InkStoneCo/system-dev/mainline.json；
  set／adopt／clear 兩份一起寫，refresh 只寫家目錄
- hooks/leo21c-write-guard.sh：唯讀 -d（tr/cut/sort…）先剪掉再判、notify_leo trigger 放行
  （與 prod-write-guard 同一份白名單）、改法段改印 09-02 起的 youlin 子網域；補第一支測試（26 條）
- prod-write-guard／main-and-prod-push-guard／kbdb-live-exam：認得 youlin 新子網域 arcrun-yuga3bse
- scripts/ticket：收件 repo 寫 inkstone/ISEP 不再 404（org 寫錯當場講）
- scripts/isep-notify：有 TELEGRAM_BOT_TOKEN／TELEGRAM_CHAT_ID 先走 Bot API 直送（雲端唯一通的路）
- 測試：A31–A35 共 79 條；README／plugin.json／hooks-inventory 數字實數（61 支、85 條、53 支腳本）

假設（記在這裡等 review）：權限規則的形狀沿用 leo 09-07 親手加、實測有效的那四條；
「分類器真的不擋」要雲端一趟 run 的 permission_denials 才驗得到，本 PR 驗不了。
版本：待總管定版（plugin.json 仍 0.22.0）。

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01DTZ9QtvjY7MNxjfQbexAm7

hooks/main-and-prod-push-guard.sh

@@ -315,12 +315,13 @@ fi
 #
 #   整套測試環境＝下列任一出現在命令裡：
 #     · `youlin-hsieh-dev`  ── 帳號名（D37 定的 stage 帳號）
+#     · `arcrun-yuga3bse`   ── 該帳號 09-02 重裝後的 workers.dev 子網域（inkstone/ISEP#130；舊名 DNS 已死）
 #     · `1129efd7df2e8899d537e9c8fbabb6cb` ── 該帳號 ID（用 env 指過去時只有它看得見）
 #     · `_YOULIN_`          ── 憑證變數名（如 `CLOUDFLARE_API_TOKEN_YOULIN_CC_USE`）
 #     · `X-Arcrun-API-Key: youlin` ── 打該實例 API 時的身分標頭
 case "$CMD" in
   *staging*|*-staging*|*"--env stage"*|*"--env=stage"*|*stage.*) exit 0 ;;
-  *youlin-hsieh-dev*|*1129efd7df2e8899d537e9c8fbabb6cb*|*_YOULIN_*|*"X-Arcrun-API-Key: youlin"*) exit 0 ;;
+  *youlin-hsieh-dev*|*arcrun-yuga3bse*|*1129efd7df2e8899d537e9c8fbabb6cb*|*_YOULIN_*|*"X-Arcrun-API-Key: youlin"*) exit 0 ;;
 esac
 
 # 🔴 2026-08-12 leo 拍板「加閘」：**geek6688（出貨機）是明文授權「總管可以直接動」的那一台。**