From 7aef9436c90ffb43c499871b157cc475c644f4cd Mon Sep 17 00:00:00 2001 From: richblack Date: Tue, 1 Sep 2026 12:04:49 +0800 Subject: [PATCH] =?UTF-8?q?=E5=85=A9=E5=8F=B0=E5=85=A8=E7=B5=A6=EF=BC=88yo?= =?UTF-8?q?ulin=EF=BC=8Bgeek6688=EF=BC=89=EF=BC=8C=E6=B8=85=E5=96=AE?= =?UTF-8?q?=E5=AE=88=E5=89=87=E5=BE=9E=E5=90=8D=E5=AD=97=E6=94=B9=E6=88=90?= =?UTF-8?q?=E4=BA=8B=E5=AF=A6=EF=BC=88inkstone/ISEP#115=20=E2=86=92=20comm?= =?UTF-8?q?ent=205541=EF=BC=8F5542=EF=BC=89?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit leo 2026-09-01：「youlin 和 geek6688 都全給，因為這兩個都是讓 CC 操作 一個 stage 一個 test prod，不給所有的就是受阻。」覆蓋 comment 5526 的 youlin-only。 - NEEDED 從 2 把變 8 把：youlin 五把（CF token／account id／MCP owner secret／ stage 帳密兩把）＋ geek6688 兩把（出貨 token／account id）＋ 機器帳號 Gitea token。 CLOUDFLARE_ACCOUNT_ID_YOULIN 是 comment 5542 才補進 .env 的，已實查在場。 CLOUDFLARE_API_TOKEN_leo21c 沒加（leo 只點名那兩台）。 - 新增 B9：leo21c 那把住在頂層 .env，不在 polaris/mira/.env ⇒ B8 抓不到它。 B9 比的是**值相等**不是名字——把它改名叫 CF_TOKEN_BACKUP 照樣紅， 而黑名單會放它過去。兩條「該紅」方向都在拋棄式副本上實跑證過。 - 密碼類兩把進清單是給人拿的；credentials-map.md「密碼類憑證的用法限制」照舊： AI 不得把密碼打進登入欄位。這條寫在清單旁邊，下一個要加變數的人一定會看到。 順手修掉一個不是我造成的假綠： - hooks/tests/sdd-guard-retired.test.sh 用了 mapfile，macOS 內建 bash 3.2 沒有這個內建， 在乾淨的 origin/main 上就是離開碼 1（實驗證過），而 TESTING.md 標著「通過 8」。 改成 while-read（同 scripts/gitea-labels-sync.sh:56 的前例）後：通過 8 ／ 失敗 0。 接基底與衝突： - rebase 到 013a987，main 那 8 筆一筆沒掉。 - TESTING.md 兩邊都新增了 A25 ⇒ main 的 A25（sdd-guard 退役）保留原編號， 本節改為 A26；狀態表那列跟著改。 - plugin.json 取 main 那邊（version 0.18.0 未動），六個數字在併完的樹上實數： 61／84／7／7／2／49。 - mistakes.md 兩邊各自 append，兩條都留。 值全程沒有進版控、沒有進對話（只印名字與長度）。版本號待總管定。 Co-Authored-By: Claude Opus 5 --- .claude-plugin/plugin.json | 2 +- docs/TESTING.md | 22 +++++++++---- hooks/tests/sdd-guard-retired.test.sh | 8 +++-- scripts/make-cloud-env.sh | 46 ++++++++++++++++++++------- scripts/test-make-cloud-env.sh | 30 +++++++++++++++-- system-dev/wiki/mistakes.md | 10 +++--- 6 files changed, 91 insertions(+), 27 deletions(-) diff --git a/.claude-plugin/plugin.json b/.claude-plugin/plugin.json index e8515a8..43d00c8 100644 --- a/.claude-plugin/plugin.json +++ b/.claude-plugin/plugin.json @@ -1,6 +1,6 @@ { "name": "isep", - "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：61 支機械閘（84 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、7 位有名字的工人（agents/，見 docs/governance/worker-roster.md）、48 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。", + "description": "InkStone Environment Plugin —— leo 的 Claude Code 環境唯一真相源：61 支機械閘（84 條註冊，白話盤點見 docs/hooks-inventory.md）、7 支 slash command、2 支 skill、7 位有名字的工人（agents/，見 docs/governance/worker-roster.md）、49 支腳本，外加治理規範與標籤真相源。本機與雲端裝同一份，沒有子集。", "version": "0.18.0", "keywords": [ "inkstone", diff --git a/docs/TESTING.md b/docs/TESTING.md index efb54c1..b2b0acf 100644 --- a/docs/TESTING.md +++ b/docs/TESTING.md @@ -564,11 +564,11 @@ bash hooks/tests/sdd-guard-retired.test.sh 🔴 **順序不可顛倒**：要等這一版 ISEP 出去、兩邊 `/plugin update` 之後， 那半才動得——先拿掉 active SDD 就會鎖死。 -### A26 — 雲端該有的憑證清單，這台機器真的拿得到：10 條 +### A26 — 雲端該有的憑證清單，這台機器真的拿得到：11 條 ``` bash scripts/test-make-cloud-env.sh ``` -**該看到**：`10/10 通過，跳過 0 條`。**全程只印變數名字與值的長度，一個字元的值都不印。** +**該看到**：`11/11 通過，跳過 0 條`（清單現在是 8 把）。**全程只印變數名字與值的長度，一個字元的值都不印。** A 段用假的 `.env` 隔離跑（不碰真金鑰、不碰 `~/.claude/cloud-env`）； B 段拿這台機器真正的 `.env` 對帳——**`.env` 不在的機器（雲端就是）會印 `⏭️ SKIP`**， 不算失敗，但也不算驗過。 @@ -585,15 +585,25 @@ B 段拿這台機器真正的 `.env` 對帳——**`.env` 不在的機器（雲 `<🔴 找不到>`，而雲端要到**用到那一刻**才知道。這就是 ISEP#115 那一天的形狀 - **B8 紅** ⇒ 清單裡混進了值出自 `polaris/mira/.env` 的變數，那是 **leo21c 現役正式環境**。 leo 2026-08-20 已把那 7 把分進 B 段並選擇不放（`inkstone/InkStoneCo#14` → comment `3890`） +- **B9 紅** ⇒ 清單裡有一把的**值**就是 `CLOUDFLARE_API_TOKEN_leo21c`。 + leo 2026-09-01 的紅線是「那把不准加」，而 B9 比的是值不是名字 ⇒ **改個名字照樣紅** - **B8x 紅或長期 SKIP** ⇒ B8 的偵測**不會亮**。全綠有兩種可能（真的沒有正式憑證／ 偵測根本壞了），分不開就等於沒驗 - **A5a／A5b 紅** ⇒ 缺值時不會被標成 `<🔴 …>`、收尾也不點名 ⇒ **假綠**， 而假綠正是這張票要解的病 - **A6 紅** ⇒ 有東西被寫進 repo。那支腳本的產物含金鑰真身，**刻意不在任何 repo 裡** -> 🔴 **B8 的判準是「值從哪個檔案拿到的」，不是「名字裡有沒有某個字」。** -> 關鍵字黑名單擋不住沒被列進黑名單的新名字；「這個值出自 leo21c 那份 `.env`」 -> 是 grep 得出來的事實，換什麼名字都躲不掉。 +> 🔴 **B8 與 B9 的判準都不是名字，是機器算得出來的事實。** +> B8 看「值從哪個檔案拿到的」，B9 看「這個值是不是就是 leo21c 那把」。 +> **兩條是分工不是重複**：`CLOUDFLARE_API_TOKEN_leo21c` 住在**頂層** `.env`， +> 不在 `polaris/mira/.env` ⇒ B8 抓不到它，那就是 B9 存在的理由。 +> +> **兩條的「該紅」方向都實跑過**（2026-09-01，拋棄式副本，分支一個字沒動）： +> ``` +> 混進 mira 的 NAMESPACE → ❌ B8 …want=0 got=1，並指出「來自 polaris/mira/.env」 +> 把 leo21c 那把改名 CF_TOKEN_BACKUP → ❌ B9 …want=0 got=1（B8 此時仍綠，因為值不出自 mira） +> ``` +> ⇒ 第二條正是黑名單會放過去的形狀。 ### A5 — 開票前的搜尋是跨 repo 的 ``` @@ -865,7 +875,7 @@ B2（信標那行）／B3（setup 輸出）／B4（閘的訊息）三個畫面 | **A12 留言身份欄（兩道門）** | 總管 | ✅ 11/11（2026-08-27） | | **A23 同時跑的線有上限** | isep-guard | ✅ 33/33（2026-08-29，inkstone/ISEP#109） | | **A24 一條線要有自己的工作目錄** | isep-guard | ✅ 35/35（2026-08-29，inkstone/ISEP#109→5391） | -| **A26 雲端憑證清單這台拿得到** | isep-hand | ✅ 10/10（2026-09-01，inkstone/ISEP#115→5526） | +| **A26 雲端憑證清單這台拿得到** | isep-hand | ✅ 11/11（2026-09-01，inkstone/ISEP#115→5526／5541／5542）＋兩條「該紅」方向實跑 | | **A16 放行的門真的打得開** | 總管 | ✅ 17/17（2026-08-28，inkstone/ISEP#90） | | **A17 未推警察不誤攔雲端分支** | 總管 | ✅ 10/10（2026-08-28，inkstone/ISEP#90） | | **A18 信標會報雲端接線缺陷** | 總管 | ✅ 14/14（2026-08-28，inkstone/ISEP#90） | diff --git a/hooks/tests/sdd-guard-retired.test.sh b/hooks/tests/sdd-guard-retired.test.sh index 11ee96a..c61cbc7 100755 --- a/hooks/tests/sdd-guard-retired.test.sh +++ b/hooks/tests/sdd-guard-retired.test.sh @@ -76,7 +76,11 @@ printf -- '---\nstatus: active\n---\n# A\n' > "$REPO_MULTI/system-dev/docs/3-spe printf -- '---\nstatus: active\n---\n# B\n' > "$REPO_MULTI/system-dev/docs/3-specs/b/design.md" # 撈出所有掛在 Write|Edit|MultiEdit 上的 PreToolUse 閘（照 hooks.json 的實況，不寫死清單） -mapfile -t WRITE_HOOKS < <(python3 - "$HOOKS_DIR/hooks.json" <<'PY' +# macOS 內建 bash 是 3.2，沒有 mapfile/readarray——用相容寫法收陣列 +# （同 scripts/gitea-labels-sync.sh:56 的前例；2026-09-01 inkstone/ISEP#115 實撞： +# 這支測試在 leo 的 mac 上一次都沒跑成功過，離開碼 1，而 TESTING.md 標著「通過 8」） +WRITE_HOOKS=() +while IFS= read -r _l; do WRITE_HOOKS+=("$_l"); done < <(python3 - "$HOOKS_DIR/hooks.json" <<'PY' import json, sys d = json.load(open(sys.argv[1])) for g in d["hooks"].get("PreToolUse", []): @@ -87,7 +91,7 @@ for g in d["hooks"].get("PreToolUse", []): PY ) -if [ "${#WRITE_HOOKS[@]}" -eq 0 ]; then +if [ "${#WRITE_HOOKS[@]:-0}" -eq 0 ]; then bad "撈不到任何 Write|Edit 的 PreToolUse 閘——測試本身失效了，先修這裡" fi diff --git a/scripts/make-cloud-env.sh b/scripts/make-cloud-env.sh index 00795b0..b874ab7 100755 --- a/scripts/make-cloud-env.sh +++ b/scripts/make-cloud-env.sh @@ -10,23 +10,47 @@ set -euo pipefail # ── 雲端需要哪些變數（只有名字。要加就加在這裡）────────────────── +# +# 範圍＝**youlin（stage）與 geek6688（測試 prod ＆ 出貨機）兩台全給**。 +# leo 2026-09-01：「youlin 和 geek6688 都全給，因為這兩個都是讓 CC 操作 +# 一個 stage 一個 test prod，**不給所有的就是受阻**。」 NEEDED=( - GITEA_TOKEN_CLAUDE_CODE # 機器帳號 claude-code 的 Gitea token；bootstrap 與 plugin 安裝都靠它 - CLOUDFLARE_API_TOKEN_YOULIN_CC_USE # youlin ＝ AI 的 stage 實例；D37 起這把就是設計給 CC 用的 + # ── 機器帳號 ── + GITEA_TOKEN_CLAUDE_CODE # claude-code 的 Gitea token；bootstrap 與 plugin 安裝都靠它 + + # ── youlin ＝ AI 的 stage（沒指定帳號時的預設，agent-memory.md §2）── + CLOUDFLARE_API_TOKEN_YOULIN_CC_USE # D37 起這把就是設計給 CC 用的 + CLOUDFLARE_ACCOUNT_ID_YOULIN # 上面那把的配對 account id（帳號 id 不是機密） + YOULIN_MCP_OWNER_SECRETS # youlin 那台 MCP 的 owner secret + STAGE_USERNAME_YOULIN # ⚠️ 密碼類，見下面那條限制 + STAGE_PASSWORD_YOULIN # ⚠️ 密碼類，見下面那條限制 + + # ── geek6688 ＝ 測試 prod ＆ 出貨機 ── + CLOUDFLARE_API_TOKEN_CC_SHIPPING_CORE # 出貨線寫入用 + CLOUDFLARE_ACCOUNT_ID_GEEK6688 # 上面那把的配對 account id ) # # 🔴 這份清單的邊界——加一把之前先問「這把打得到哪個實例」，不是「這把方便嗎」 -# （依據：inkstone/InkStoneCo#14 comment 3890，leo 2026-08-20 親自把憑證分成 A／B 段） # -# 可以進來的：雲端總管做**自己的工作**要用到的（stage、機器帳號、測試實例）。 -# 🔴 不准進來的：leo21c 正式環境那一段（B 段，leo 明確選擇不放）。 -# 其中 `CLOUDFLARE_API_TOKEN` / `CLOUDFLARE_ACCOUNT_ID` 這兩個**沒有名字**的， -# 值就是 leo21c 的，而且所有 CF 工具都把它們當預設 ⇒ 雲端一個沒指定帳號的 -# 指令就會打到正式環境。2026-08-14 那輪審查把它列為「本輪最危險的發現」。 +# 可以進來的：**youlin 與 geek6688** 這兩台的全部，加上機器帳號自己的 token。 +# 🔴 不准進來的： +# ① `CLOUDFLARE_API_TOKEN_leo21c`——leo 2026-09-01 只點名那兩台； +# leo21c 是現役正式環境，`inkstone/InkStoneCo#14` → comment `3890` 已分進 B 段不放。 +# ② `polaris/mira/.env` 裡的任何東西——那整份都是 leo21c 現役正式環境。 +# 其中 `CLOUDFLARE_API_TOKEN` / `CLOUDFLARE_ACCOUNT_ID` 這兩個**沒有名字**的最危險： +# 所有 CF 工具都把它們當預設 ⇒ 雲端一個沒指定帳號的指令就會打到正式環境。 +# 2026-08-14 那輪審查把它列為「本輪最危險的發現」。 +# 🔎 這一條不必靠人記得：`scripts/test-make-cloud-env.sh` 的 B8 會去看 +# **每一把的值是從哪個檔案拿到的**，出自 `polaris/mira/.env` 就紅。 # -# ⚠️ youlin 沒有對應的 `CLOUDFLARE_ACCOUNT_ID_*`——六個 .env 裡都沒有這個名字。 -# 要 account id 的工具請拿上面那把 token 去問 CF `/accounts`， -# **不要退而求其次填那個沒有名字的 `CLOUDFLARE_ACCOUNT_ID`**（那是 leo21c）。 +# 🔴 密碼類（`STAGE_PASSWORD_YOULIN` 等）進清單是為了讓**人**拿得到。 +# `credentials-map.md`「密碼類憑證的用法限制」（2026-08-17 立）照舊有效： +# **AI 不得把密碼打進登入欄位**，這是 surface 層硬規則，leo 交代了也不解除。 +# 機器要驗登入後的畫面走那節寫的兩條：帶 token/cookie 打 API，或接 leo 已登入的分頁。 +# +# 📌 兩台的 account id 都有具名變數了（`…_YOULIN` 是 2026-09-01 才補進頂層 `.env` 的， +# inkstone/ISEP#115 → comment `5542`；帳號 id 不是機密，wiki 的帳號表本來就公開記著）。 +# **所以永遠不需要去用那個沒有名字的 `CLOUDFLARE_ACCOUNT_ID`**——那是 leo21c。 # ── 去哪裡找值（credentials-map.md 記的六個 .env）──────────────── BASE="${INKSTONE_ROOT:-$HOME/Documents/tech_projects/InkStoneCo}" diff --git a/scripts/test-make-cloud-env.sh b/scripts/test-make-cloud-env.sh index 8c530c6..e28eea3 100755 --- a/scripts/test-make-cloud-env.sh +++ b/scripts/test-make-cloud-env.sh @@ -12,9 +12,13 @@ # 而且**沒有一把的值來自 polaris/mira/.env**（leo21c 現役正式環境）。 # .env 不在（例如雲端）⇒ 印 ⏭️ SKIP，不算通過也不算失敗。 # -# 🔴 B8 的判準是「值從哪個檔案拿到的」，不是「名字裡有沒有某個字」。 -# 關鍵字黑名單擋不住沒被列進黑名單的新名字；「這個值出自 leo21c 那份 .env」 -# 是 grep 得出來的事實，換什麼名字都躲不掉。 +# 🔴 B8／B9 的判準都不是名字，是機器算得出來的事實——**換什麼名字都躲不掉**。 +# B8 看「這個值是從哪個檔案拿到的」（出自 polaris/mira/.env ＝ leo21c 現役正式環境）。 +# B9 看「這個值是不是就是 leo21c 那把 token」（值相等就紅，改名叫什麼都一樣）。 +# 🔴 兩條是分工不是重複：`CLOUDFLARE_API_TOKEN_leo21c` 住在**頂層** .env， +# 不在 polaris/mira/.env ⇒ **B8 抓不到它**，這正是 B9 存在的理由。 +# 關鍵字黑名單反過來只擋得住已經被列進去的那幾個名字，新名字一律漏掉 +# （leo 2026-08-17 已證偽文字層封路：當日 8 次誤攔、0 次正確攔截）。 # # 🔴 全程只印變數**名字**與值的**長度**，一個字元的值都不印。 cd "$(dirname "$0")/.." || exit 1 @@ -83,6 +87,11 @@ real_src(){ # $1=名字 → 印出「值的長度 來源檔」；找不到回 done return 1 } +# 只取值、不取來源，給 B9 比對用。值只活在變數裡，從不印出、也不寫檔。 +_val(){ local r f; r=$(real_src "$1") || return 1; f="${r#* }" + grep -E "^[[:space:]]*(export[[:space:]]+)?$1=" "$f" | tail -1 \ + | sed -E "s/^[[:space:]]*(export[[:space:]]+)?$1=//" | sed -E 's/^"(.*)"$/\1/; s/^'"'"'(.*)'"'"'$/\1/'; } + found=0 for p in "${ENVF[@]}"; do f="${p/\$BASE/$BASE}"; [ -f "$f" ] && found=1; done @@ -103,6 +112,21 @@ else chk 0 "$gone" "B7 清單上每一把這台都拿得到值" chk 0 "$prod" "B8 沒有一把的值來自 polaris/mira/.env（leo21c 正式環境）" + # B9 —— leo 2026-09-01 的紅線：「CLOUDFLARE_API_TOKEN_leo21c 不准加」。 + # 🔴 判準是**值**不是名字：拿 leo21c 那把的值，比對清單上每一把解出來的值。 + # 有人把它改名叫 CF_TOKEN_BACKUP 照樣會紅，而黑名單會放它過去。 + # B8 抓不到這一條（那把住在頂層 .env，不在 polaris/mira/.env）。 + if leoval=$(_val CLOUDFLARE_API_TOKEN_leo21c); then + hit=0 + for n in "${NEEDED[@]}"; do + v=$(_val "$n") || continue + [ "$v" = "$leoval" ] && { hit=$((hit+1)); echo " 🔴 $n 的值就是 leo21c 那把"; } + done + chk 0 "$hit" "B9 清單上沒有一把的值等於 CLOUDFLARE_API_TOKEN_leo21c" + else + skip "B9 這台找不到 CLOUDFLARE_API_TOKEN_leo21c，沒有比對基準" + fi + # B8 全綠有兩種可能：真的沒有正式憑證，或**偵測根本不會亮**。分得開才算驗過。 # 拿一個已知住在 polaris/mira/.env 的名字餵它，看它認不認得出來。 if r=$(real_src CLOUDFLARE_ACCOUNT_ID); then diff --git a/system-dev/wiki/mistakes.md b/system-dev/wiki/mistakes.md index 5a1f476..cf93c9b 100644 --- a/system-dev/wiki/mistakes.md +++ b/system-dev/wiki/mistakes.md @@ -217,10 +217,12 @@ leo 當場：「**這些為什麼不寫到票裡？**」 到要真的跑的那一刻才知道跑不了。 正確做法: 清單要有測試逼它跟這台機器對帳（`scripts/test-make-cloud-env.sh`， - `docs/TESTING.md` A25）——B 段逐一去 `.env` 找值，找不到就紅。 - 🔴 而「不准混進正式環境憑證」這一條，判準是**值從哪個檔案拿到的** - （出自 `polaris/mira/.env` ＝ leo21c 現役正式環境就紅）， - **不是名字裡有沒有某個字**：黑名單擋不住沒被列進去的新名字， + `docs/TESTING.md` A26）——B 段逐一去 `.env` 找值，找不到就紅。 + 🔴 而「不准混進正式環境憑證」這一條，判準一律是**機器算得出來的事實**， + **不是名字裡有沒有某個字**——兩條分工： + B8 看**值從哪個檔案拿到的**（出自 `polaris/mira/.env` ＝ leo21c 現役正式環境就紅）； + B9 看**這個值是不是就是 `CLOUDFLARE_API_TOKEN_leo21c`**（那把住在頂層 `.env`， + B8 抓不到，而改個名字黑名單就放它過去——實跑證過）。黑名單擋不住沒被列進去的新名字， 「這個值出自那份 `.env`」是 grep 得出來的事實，換什麼名字都躲不掉。 同時釘住反面（B8x）：拿一個已知住在那份 `.env` 的變數餵它，證明偵測**真的會亮**—— 否則「全綠」有兩種可能（真的乾淨／偵測壞了），而分不開就等於沒驗。