雲端要拿得到票、主線與通知：白名單住 ISEP、主線檔隨 repo 走、leo21c 讀放寫擋（inkstone/ISEP#130）

- docs/permissions-allow.json ＋ scripts/settings-allow-sync：四個 Gitea 正門工具的權限白名單一份，
  setup script 裝完 plugin 寫一次、SessionStart 每次再對一次（只加不減、冪等）
- hooks/lib/mainline.py／scripts/mainline：家目錄沒主線就讀 InkStoneCo/system-dev/mainline.json；
  set／adopt／clear 兩份一起寫，refresh 只寫家目錄
- hooks/leo21c-write-guard.sh：唯讀 -d（tr/cut/sort…）先剪掉再判、notify_leo trigger 放行
  （與 prod-write-guard 同一份白名單）、改法段改印 09-02 起的 youlin 子網域；補第一支測試（26 條）
- prod-write-guard／main-and-prod-push-guard／kbdb-live-exam：認得 youlin 新子網域 arcrun-yuga3bse
- scripts/ticket：收件 repo 寫 inkstone/ISEP 不再 404（org 寫錯當場講）
- scripts/isep-notify：有 TELEGRAM_BOT_TOKEN／TELEGRAM_CHAT_ID 先走 Bot API 直送（雲端唯一通的路）
- 測試：A31–A35 共 79 條；README／plugin.json／hooks-inventory 數字實數（61 支、85 條、53 支腳本）

假設（記在這裡等 review）：權限規則的形狀沿用 leo 09-07 親手加、實測有效的那四條；
「分類器真的不擋」要雲端一趟 run 的 permission_denials 才驗得到，本 PR 驗不了。
版本：待總管定版（plugin.json 仍 0.22.0）。

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01DTZ9QtvjY7MNxjfQbexAm7

scripts/mainline

@@ -23,6 +23,8 @@ leo 2026-08-27：「**14 個里程碑同時亮著卻不知道該看哪個**」
 
 ── 答案為什麼唯一 ─────────────────────────────────────────────────
 主線住在一個檔裡（`~/.claude/isep-countdown/mainline.json`），那個檔**放得下一條**。
+（inkstone/ISEP#130 起它有一份隨 repo 走的鏡像：`InkStoneCo/system-dev/mainline.json`——
+ 雲端沒有家目錄那份，讀的就是它；`set`／`adopt`／`clear` 兩份一起寫，`refresh` 只寫家目錄。）
 沒有清單、沒有優先序、沒有「前三名」——`set` 覆蓋掉的那條就不再是主線。
 ⇒ 問一次只會拿到 0 或 1 個答案，不會拿到 14 個。
 
@@ -212,22 +214,36 @@ def cmd_set(argv):
         "closed_issues": m.get("closed_issues") or 0,
         "members": refs,
         "set_at": now, "refreshed_at": now,
-    })
+    }, mirror=True)
     if not ok:
         die("🔴 寫不進 %s——主線沒有被標上。" % ML.path())
     print("✅ 主線已標定：%s/%s#%d「%s」" % (owner, repo, mid, title))
     if scanned:
         print("   跨 repo 收到同名 milestone 的票 %d 張：%s"
               % (len(refs), "、".join("%s %d" % (r, n) for r, n in scanned)))
+    print(mirror_line())
     print()
     cmd_show([])
 
 
+def mirror_line():
+    """repo 那份有沒有跟著寫（inkstone/ISEP#130）：寫了要人去 commit，沒寫要講為什麼。"""
+    rp = ML.repo_path(for_write=True)
+    if rp and os.path.isfile(rp):
+        return ("   已同步寫進 repo 那份：%s\n"
+                "   📌 這份要 commit／開 PR 併進 inkstone/InkStoneCo，雲端 clone 才拿得到" % rp)
+    return ("   ⚠️ 這台找不到 InkStoneCo 的 system-dev/（CLAUDE_PROJECT_DIR 或 cwd 底下都沒有），"
+            "repo 那份沒更新——雲端仍會讀到舊主線")
+
+
 def cmd_clear(argv):
     had = ML.load()
-    ML.clear()
+    rp = ML.repo_path()
+    ML.clear(mirror=True)
     print("✅ 已清掉主線%s。現在沒有主線——每回合的 🎯 那一行會照實說。"
           % ("（原本是 %s「%s」）" % (ML.ref_of(had), had.get("title")) if had else ""))
+    if rp:
+        print("   repo 那份也刪了：%s（要 commit 才會到雲端）" % rp)
 
 
 # ── refresh ──────────────────────────────────────────────────────────────
@@ -278,8 +294,9 @@ def cmd_adopt(argv):
     T.api("/repos/%s/%s/issues/%d" % (owner, repo, num), {"milestone": mid}, method="PATCH")
     ref = "%s/%s#%d" % (owner, repo, num)
     ms["members"] = sorted(set(ms.get("members") or []) | {ref})
-    ML.save(ms)
+    ML.save(ms, mirror=True)
     print("✅ 補收：%s 已掛進「%s」（%s/%s#%d）" % (ref, ms["title"], owner, repo, mid))
+    print(mirror_line())
 
 
 # ── has ──────────────────────────────────────────────────────────────────