測試不再偽造「有一筆推 main 在等總管裁」（inkstone/ISEP#59）

現象（實測，不是推論）：跑完 main-and-prod-push-guard 那三支測試之後

    $ git status --short
     M hooks/lib/__pycache__/strip_heredoc.cpython-314.pyc
     M pending-main-push/unnamed--ISEP.md
    ?? pending-main-push/unnamed--A.md

成因：這支閘擋下推 main 的同時，會把那次請求寫成
`<hooks 的上一層>/pending-main-push/<誰>--<repo>.md`，而三支測試的測資本來
就全是推 main。於是每跑一次測試，工作區就多／改幾筆**偽造的待裁決**。

兩個後果，後者比較貴：
  ① `git add -A` 很容易把它們帶進 commit（08-27 那次真的帶進去了，事後才拔掉）
  ② 總管的迴圈讀那個目錄，讀到的每一筆都該是真的在等他裁——
     測試每跑一次就偽造一筆 ⇒ **下一筆真的請求會混在雜訊裡**。
     這跟「永遠在響的警報」是同一個病。

改法（產品程式碼一行都沒動）：
- 新增 hooks/tests/lib/hook-sandbox.sh：把整個 hooks/ 複製到暫存區再跑複本。
  閘算 pending 目錄的位置靠的是 `$0` 的上一層 ⇒ 請求寫進暫存區。
  **刻意不在閘上開一個「寫去哪」的環境變數**——那種開關同時是一條把紀錄關掉的路。
- 三支測試改測沙盒複本，並各補兩條斷言：
  ① repo 的 pending-main-push 一個位元都沒動
  ② 沙盒裡**真的有**留下請求（只驗 ① 的話，把留紀錄的功能整個關掉也會綠）
- pending-main-push/ 不再進版控（它是本機狀態不是原始碼），只留一份 README 說明規約；
  既有的兩筆與那顆被追蹤的 .pyc 一併 `git rm --cached`，檔案留在硬碟上不刪。

實測：
- 三支各自 10/10、19/19、13/13（原本 8／17／11，各多兩條新斷言）
- 把 `H` 改回真跡重跑 ⇒ 新斷言兩條都紅（11/13）＋工作區又髒
  ⇒ 這兩條斷言真的抓得到它要抓的東西
- 全套 16 支測試檔跑完 0 失敗，`git status` 沒有多出任何一行
- `claude plugin validate .` ✔ Validation passed

沒有升版：這次只動測試與版控範圍，沒有任何閘的行為改變，
不需要靠新版本號送到任何人手上；請跟著總管下一個 release 一起出去。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

pending-main-push/README.md

@@ -0,0 +1,16 @@
+# `pending-main-push/` — 被擋下的推 main 請求（本機狀態，不進版控）
+
+`hooks/main-and-prod-push-guard.sh` 擋下一次推 main 的同時，會把那次請求寫成
+`<誰>--<哪個 repo>.md` 丟進這個目錄：repo／分支／逐筆 commit／改了哪些檔，**原始資料**。
+
+> leo 2026-08-12：「**它會問你的意見，所以每個你叫起來的 subagent 都有名字。**」
+> 閘做不到「同步問總管」（不同行程），做得到的是「**當場擋 ＋ 留下是誰要求的**」。
+
+## 規約
+
+- **一份檔案 ＝ 一筆還沒裁的請求。** 總管裁完就刪掉它——留著代表還沒裁。
+- **這個目錄的內容不進版控**（`.gitignore` 有一段寫了為什麼），只有本檔在版控裡。
+- **測試不准在這裡留東西。** 推 main 的測資本來就都會觸發這支閘，
+  所以那幾支測試改成跑 `hooks/tests/lib/hook-sandbox.sh` 建的複本，請求寫進暫存區；
+  每支測完都會驗兩件：這裡沒被碰過、而且沙盒裡**真的有**留下請求
+  （只驗前者的話，「把留紀錄的功能關掉」也會綠——那是假綠）。

pending-main-push/unnamed--ISEP.md

@@ -1,43 +0,0 @@
-# 推 main 的請求：未署名
-
-- repo：/Users/youlinhsieh/Documents/tech_projects/ISEP
-- 分支：fix/push-guard-target-not-substring
-- 時間：2026-08-21 01:28:51
-
-- 它想跑的指令：
-```
-git push -q origin master
-```
-
-## 還沒推上去的 commit（原始資料，不是轉述）
-
-```
-43c328d Merge pull request 'feat/milestone-must-have-due' (#50) from feat/milestone-must-have-due into main
-bcb736e Merge pull request 'fix/worksheet-dedup-by-content' (#49) from fix/worksheet-dedup-by-content into main
-6772ca6 每個里程碑都要有真的期限，9999 也擋
-1b55512 待驗工作單改用宣稱內容去重，驗過的不再冒出來
-1920d4c Merge pull request '身為 leo，我要雲端 clone 下來就有閘，我才不用先處理憑證' (#48) from fix/b4-real-probe into main
-47ed778 改走「直接複製進薄殼 repo」，並修掉一支會偷跑指令的閘
-03d9782 查了官方文件才發現：setup script 根本讀不到環境變數，而 exit 1 會鎖死 session
-36d8e05 認證驗證加 timeout：掛住比失敗更糟
-1356372 B4 的探針我自己沒撞過，實撞後發現它根本不會擋
-d306158 Merge pull request '身為 leo，我要雲端 env 檔能直接產在桌面，我才不用去翻隱藏目錄' (#46) from feat/cloud-env-outdir into main
-9099c3f make-cloud-env.sh：輸出路徑可指定，且不再對使用者指定的目錄動權限
-5bceb03 v0.3.1
-4e73b8b Merge pull request '身為 leo，我要雲端驗收步驟在閘死掉時真的變紅，我才不會再被三個綠燈騙一次' (#45) from fix/testing-b-section-discriminating into main
-291787e TESTING.md B 段整段換掉——舊版在閘全滅時會回綠
-3a95121 雲端零閘的兩個真因：setup 不自驗＋沒有 release 撐版本號 (#44)
-daa1674 雲端零閘的兩個真因：setup 從不驗證自己＋沒有任何 release 撐版本號
-c48495d Merge pull request 'fix(hooks): sdd-guard.sh 修「解析失敗仍照擋、且訊息洩漏 /nonexistent」' (#42) from fix/sdd-guard-path-resolution into main
-8718658 fix(hooks): sdd-guard.sh 修「解析失敗仍照擋、且訊息洩漏 /nonexistent」（InkStoneCo#22）
-e6d183d Merge pull request '產生雲端 env 設定給 leo 貼（InkStoneCo#14）' (#41) from feat/cloud-env-generator into main
-f855d82 產生雲端 env 設定，不要 leo 自己拼湊（InkStoneCo#14）
-```
-
-## 改了哪些檔
-
-```
-```
-
----
-總管裁完請刪掉這個檔——留著代表「還沒裁」。

pending-main-push/unnamed--InkStoneCo.md

@@ -1,23 +0,0 @@
-# 推 main 的請求：未署名
-
-- repo：/Users/youlinhsieh/Documents/tech_projects/InkStoneCo
-- 分支：main
-- 時間：2026-08-21 01:28:23
-
-- 它想跑的指令：
-```
-git push -q origin master
-```
-
-## 還沒推上去的 commit（原始資料，不是轉述）
-
-```
-```
-
-## 改了哪些檔
-
-```
-```
-
----
-總管裁完請刪掉這個檔——留著代表「還沒裁」。