雲端拿得到 youlin 那把 CF token，而且清單會自己跟機器對帳（inkstone/ISEP#115 → comment 5526）
scripts/make-cloud-env.sh 的 NEEDED 只有 1 個變數，裡面從來沒有任何 CF 憑證 ——雲端 `env | grep -ciE 'cloudflare|^CF_|wrangler'` 回 0 是這麼來的，不是漏設。 - NEEDED 加 CLOUDFLARE_API_TOKEN_YOULIN_CC_USE（youlin ＝ AI 的 stage）。 leo21c 正式環境那 7 把（B 段）一把都沒動，理由寫在清單旁邊。 - 新增 scripts/test-make-cloud-env.sh（docs/TESTING.md A25，10 條）： A 段用假 .env 隔離跑（證明缺值會被標紅、什麼都不寫進 repo）； B 段拿真 .env 對帳，判準是「值出自哪個檔案」而不是名字裡有沒有某個字， 並用一個已知住在 polaris/mira/.env 的變數自驗偵測真的會亮。 - TESTING.md B1 原本點名「加一個 GITEA_TOKEN_CLAUDE_CODE」已經過時， 改成「① 區塊每一行都貼」。 - README／plugin.json 的 scripts 數字在自己的樹上實數：48 → 49。 值全程沒有進版控、沒有進對話（只印名字與長度）。 版本號待總管定。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
@@ -27,7 +27,7 @@
|
||||
| `agents/` | 7 位 | **工人名單**（`inkstone/ISEP#86`）——派工時指名派給誰，規約見 `docs/governance/worker-roster.md` |
|
||||
| `commands/` | 7 支 | `/wiki-recall` `/ship-check` `/cp-write` … |
|
||||
| `skills/` | 2 支 | |
|
||||
| `scripts/` | 48 支 | `ticket`／`roster`／`isep-nag`／`wiki-compress`／`github-arm.sh` …（頂層檔案，不含 `lib/` 等子目錄） |
|
||||
| `scripts/` | 49 支 | `ticket`／`roster`／`isep-nag`／`wiki-compress`／`github-arm.sh` …（頂層檔案，不含 `lib/` 等子目錄） |
|
||||
|
||||
> 🔴 這五個數字**每次都要在自己的樹上實數**，不准沿用上一版、也不准用加減推
|
||||
> （`system-dev/wiki/mistakes.md`：那是 leo 的驗收介面，多報就是假綠）：
|
||||
|
||||
+37
-3
@@ -564,6 +564,37 @@ bash hooks/tests/sdd-guard-retired.test.sh
|
||||
🔴 **順序不可顛倒**：要等這一版 ISEP 出去、兩邊 `/plugin update` 之後，
|
||||
那半才動得——先拿掉 active SDD 就會鎖死。
|
||||
|
||||
### A26 — 雲端該有的憑證清單，這台機器真的拿得到：10 條
|
||||
```
|
||||
bash scripts/test-make-cloud-env.sh
|
||||
```
|
||||
**該看到**：`10/10 通過，跳過 0 條`。**全程只印變數名字與值的長度，一個字元的值都不印。**
|
||||
A 段用假的 `.env` 隔離跑（不碰真金鑰、不碰 `~/.claude/cloud-env`）；
|
||||
B 段拿這台機器真正的 `.env` 對帳——**`.env` 不在的機器（雲端就是）會印 `⏭️ SKIP`**，
|
||||
不算失敗，但也不算驗過。
|
||||
|
||||
**它在守什麼**（inkstone/ISEP#115，2026-09-01 實撞）：
|
||||
`make-cloud-env.sh` 的 `NEEDED` 是「雲端總管手上有哪些憑證」的**唯一**清單。
|
||||
那天雲端要清空 youlin，`env | grep -ciE 'cloudflare|^CF_|wrangler'` → **0**——
|
||||
不是雲端漏設，是**這份清單裡從來沒有任何 CF 憑證**。
|
||||
🔴 更貴的是它**發生在流程末端**：工人已經把清空腳本與測試都寫完了，
|
||||
到要真的跑的那一刻才知道跑不了。
|
||||
|
||||
**失敗**：
|
||||
- **B7 紅** ⇒ 清單上有一把這台機器根本拿不到值 ⇒ leo 貼出去的會是
|
||||
`<🔴 找不到>`，而雲端要到**用到那一刻**才知道。這就是 ISEP#115 那一天的形狀
|
||||
- **B8 紅** ⇒ 清單裡混進了值出自 `polaris/mira/.env` 的變數，那是 **leo21c 現役正式環境**。
|
||||
leo 2026-08-20 已把那 7 把分進 B 段並選擇不放（`inkstone/InkStoneCo#14` → comment `3890`）
|
||||
- **B8x 紅或長期 SKIP** ⇒ B8 的偵測**不會亮**。全綠有兩種可能（真的沒有正式憑證／
|
||||
偵測根本壞了），分不開就等於沒驗
|
||||
- **A5a／A5b 紅** ⇒ 缺值時不會被標成 `<🔴 …>`、收尾也不點名 ⇒ **假綠**，
|
||||
而假綠正是這張票要解的病
|
||||
- **A6 紅** ⇒ 有東西被寫進 repo。那支腳本的產物含金鑰真身，**刻意不在任何 repo 裡**
|
||||
|
||||
> 🔴 **B8 的判準是「值從哪個檔案拿到的」，不是「名字裡有沒有某個字」。**
|
||||
> 關鍵字黑名單擋不住沒被列進黑名單的新名字；「這個值出自 leo21c 那份 `.env`」
|
||||
> 是 grep 得出來的事實，換什麼名字都躲不掉。
|
||||
|
||||
### A5 — 開票前的搜尋是跨 repo 的
|
||||
```
|
||||
python3 scripts/ticket where 標籤 模組化
|
||||
@@ -732,9 +763,11 @@ bash scripts/make-cloud-env.sh
|
||||
|
||||
打開上一步產生的檔，裡面兩塊分別貼進 claude.ai → **Cloud environments** → 你的環境：
|
||||
|
||||
1. **Environment variables** 加一個
|
||||
- 名稱：`GITEA_TOKEN_CLAUDE_CODE`
|
||||
- 值：**既有的** claude-code 機器帳號 Gitea token（不要新造一把）
|
||||
1. **Environment variables**：把 ① 區塊**每一行**都貼進去（一行一個，名字與值分開填）。
|
||||
現在是 2 個：`GITEA_TOKEN_CLAUDE_CODE`（機器帳號 Gitea token）與
|
||||
`CLOUDFLARE_API_TOKEN_YOULIN_CC_USE`（youlin ＝ AI 的 stage 實例）。
|
||||
🔴 **不要照這裡的名字數**——以腳本產出的 ① 區塊為準，這份文件會落後。
|
||||
值全部是**既有的**，一把都沒有新造。
|
||||
2. **Setup script** 欄位：貼進 `docs/cloud-setup-script.sh` 的全文，一字不改。
|
||||
|
||||
**該看到**：儲存後沒有紅字。
|
||||
@@ -832,6 +865,7 @@ B2（信標那行）／B3（setup 輸出）／B4（閘的訊息）三個畫面
|
||||
| **A12 留言身份欄（兩道門）** | 總管 | ✅ 11/11（2026-08-27） |
|
||||
| **A23 同時跑的線有上限** | isep-guard | ✅ 33/33（2026-08-29，inkstone/ISEP#109） |
|
||||
| **A24 一條線要有自己的工作目錄** | isep-guard | ✅ 35/35（2026-08-29，inkstone/ISEP#109→5391） |
|
||||
| **A26 雲端憑證清單這台拿得到** | isep-hand | ✅ 10/10（2026-09-01，inkstone/ISEP#115→5526） |
|
||||
| **A16 放行的門真的打得開** | 總管 | ✅ 17/17（2026-08-28，inkstone/ISEP#90） |
|
||||
| **A17 未推警察不誤攔雲端分支** | 總管 | ✅ 10/10（2026-08-28，inkstone/ISEP#90） |
|
||||
| **A18 信標會報雲端接線缺陷** | 總管 | ✅ 14/14（2026-08-28，inkstone/ISEP#90） |
|
||||
|
||||
@@ -11,8 +11,22 @@ set -euo pipefail
|
||||
|
||||
# ── 雲端需要哪些變數（只有名字。要加就加在這裡）──────────────────
|
||||
NEEDED=(
|
||||
GITEA_TOKEN_CLAUDE_CODE # 機器帳號 claude-code 的 Gitea token；bootstrap 與 plugin 安裝都靠它
|
||||
GITEA_TOKEN_CLAUDE_CODE # 機器帳號 claude-code 的 Gitea token；bootstrap 與 plugin 安裝都靠它
|
||||
CLOUDFLARE_API_TOKEN_YOULIN_CC_USE # youlin ＝ AI 的 stage 實例；D37 起這把就是設計給 CC 用的
|
||||
)
|
||||
#
|
||||
# 🔴 這份清單的邊界——加一把之前先問「這把打得到哪個實例」，不是「這把方便嗎」
|
||||
# （依據：inkstone/InkStoneCo#14 comment 3890，leo 2026-08-20 親自把憑證分成 A／B 段）
|
||||
#
|
||||
# 可以進來的：雲端總管做**自己的工作**要用到的（stage、機器帳號、測試實例）。
|
||||
# 🔴 不准進來的：leo21c 正式環境那一段（B 段，leo 明確選擇不放）。
|
||||
# 其中 `CLOUDFLARE_API_TOKEN` / `CLOUDFLARE_ACCOUNT_ID` 這兩個**沒有名字**的，
|
||||
# 值就是 leo21c 的，而且所有 CF 工具都把它們當預設 ⇒ 雲端一個沒指定帳號的
|
||||
# 指令就會打到正式環境。2026-08-14 那輪審查把它列為「本輪最危險的發現」。
|
||||
#
|
||||
# ⚠️ youlin 沒有對應的 `CLOUDFLARE_ACCOUNT_ID_*`——六個 .env 裡都沒有這個名字。
|
||||
# 要 account id 的工具請拿上面那把 token 去問 CF `/accounts`，
|
||||
# **不要退而求其次填那個沒有名字的 `CLOUDFLARE_ACCOUNT_ID`**（那是 leo21c）。
|
||||
|
||||
# ── 去哪裡找值（credentials-map.md 記的六個 .env）────────────────
|
||||
BASE="${INKSTONE_ROOT:-$HOME/Documents/tech_projects/InkStoneCo}"
|
||||
|
||||
Executable
+120
@@ -0,0 +1,120 @@
|
||||
#!/bin/bash
|
||||
# make-cloud-env.sh 的測試（docs/TESTING.md A14）
|
||||
#
|
||||
# 它守什麼: 那支腳本是「雲端總管手上有哪些憑證」的唯一清單。清單漏一把，
|
||||
# 雲端會在**流程末端**才發現跑不了（inkstone/ISEP#115 內文：派了工人寫完
|
||||
# 清空腳本、寫完測試，到要真的跑的那一刻才知道 CF token 根本不在）。
|
||||
#
|
||||
# 兩段:
|
||||
# A 段 —— 用假的 .env 隔離跑，證明「產物長對、缺值不會假綠、什麼都不寫進 repo」。
|
||||
# 全程不碰真金鑰、不碰 ~/.claude/cloud-env。
|
||||
# B 段 —— 拿這台機器真正的 .env 對帳，證明清單上每一把**這台都拿得到值**，
|
||||
# 而且**沒有一把的值來自 polaris/mira/.env**（leo21c 現役正式環境）。
|
||||
# .env 不在（例如雲端）⇒ 印 ⏭️ SKIP，不算通過也不算失敗。
|
||||
#
|
||||
# 🔴 B8 的判準是「值從哪個檔案拿到的」，不是「名字裡有沒有某個字」。
|
||||
# 關鍵字黑名單擋不住沒被列進黑名單的新名字；「這個值出自 leo21c 那份 .env」
|
||||
# 是 grep 得出來的事實，換什麼名字都躲不掉。
|
||||
#
|
||||
# 🔴 全程只印變數**名字**與值的**長度**，一個字元的值都不印。
|
||||
cd "$(dirname "$0")/.." || exit 1
|
||||
S=scripts/make-cloud-env.sh
|
||||
PASS=0; FAIL=0; SKIP=0
|
||||
ok(){ PASS=$((PASS+1)); printf ' ✅ %s\n' "$1"; }
|
||||
bad(){ FAIL=$((FAIL+1)); printf ' ❌ %s\n' "$1"; }
|
||||
skip(){ SKIP=$((SKIP+1)); printf ' ⏭️ SKIP %s\n' "$1"; }
|
||||
chk(){ [ "$1" = "$2" ] && ok "$3（$2）" || bad "$3：want=$1 got=$2"; }
|
||||
|
||||
# 清單與搜尋路徑都從腳本本身讀出來——測試不另養一份，養了就會漂。
|
||||
# 註：macOS 內建的是 bash 3.2，沒有 mapfile／readarray，一律用 while read 收陣列。
|
||||
NEEDED=()
|
||||
while IFS= read -r l; do NEEDED+=("$l"); done < <(
|
||||
sed -n '/^NEEDED=(/,/^)/p' "$S" | sed -E '1d;$d; s/[[:space:]]*#.*$//; s/[[:space:]]//g' | grep -v '^$')
|
||||
[ "${#NEEDED[@]}" -gt 0 ] || { echo "🔴 從 $S 讀不出 NEEDED，測試本身壞了"; exit 1; }
|
||||
echo "清單（只有名字）：${NEEDED[*]}"
|
||||
echo
|
||||
|
||||
TMP=$(mktemp -d); trap 'rm -rf "$TMP"' EXIT
|
||||
FAKE="$TMP/fakeroot"; OUTD="$TMP/out"; mkdir -p "$FAKE"
|
||||
|
||||
echo "── A. 隔離跑（假 .env，不碰真金鑰、不碰 ~/.claude/cloud-env）──"
|
||||
: > "$FAKE/.env"
|
||||
for n in "${NEEDED[@]}"; do echo "$n=FAKEVALUE-$n" >> "$FAKE/.env"; done
|
||||
|
||||
BEFORE=$(git status --porcelain)
|
||||
OUT_LINE=$(INKSTONE_ROOT="$FAKE" OUT_DIR="$OUTD" bash "$S" 2>&1)
|
||||
F=$(printf '%s\n' "$OUT_LINE" | sed -n 's/^✅ 產生完成：//p')
|
||||
|
||||
[ -f "$F" ] && ok "A1 產物產出來了" || bad "A1 產物不存在（腳本輸出：$OUT_LINE）"
|
||||
chk 600 "$(stat -f '%OLp' "$F" 2>/dev/null || stat -c '%a' "$F" 2>/dev/null)" "A2 產物權限"
|
||||
|
||||
miss=0
|
||||
for n in "${NEEDED[@]}"; do grep -qx "$n=FAKEVALUE-$n" "$F" || { miss=$((miss+1)); echo " ↑ 沒出現：$n"; }; done
|
||||
chk 0 "$miss" "A3 每個名字都帶著值出現在 ① 區塊"
|
||||
|
||||
printf '%s\n' "$OUT_LINE" | grep -q "找不到值的 0 個" \
|
||||
&& ok "A4 收尾那行說「找不到值的 0 個」" || bad "A4 收尾計數不對：$OUT_LINE"
|
||||
|
||||
# 缺值時不准假綠：拿掉第一個，它要變成 <🔴 …> 且計數變 1
|
||||
grep -v "^${NEEDED[0]}=" "$FAKE/.env" > "$FAKE/.env.tmp" && mv "$FAKE/.env.tmp" "$FAKE/.env"
|
||||
OUT2=$(INKSTONE_ROOT="$FAKE" OUT_DIR="$OUTD" bash "$S" 2>&1)
|
||||
F2=$(printf '%s\n' "$OUT2" | sed -n 's/^✅ 產生完成：//p')
|
||||
grep -q "^${NEEDED[0]}=<🔴" "$F2" && ok "A5a 缺值那行標成 <🔴 …>" || bad "A5a 缺值沒被標出來"
|
||||
printf '%s\n' "$OUT2" | grep -q "找不到值的 1 個 ${NEEDED[0]}" \
|
||||
&& ok "A5b 收尾點名缺的是誰" || bad "A5b 收尾沒點名：$OUT2"
|
||||
|
||||
if [ "$BEFORE" = "$(git status --porcelain)" ]; then ok "A6 跑完沒有任何檔案被寫進 repo"
|
||||
else bad "A6 repo 裡多了東西：$(diff <(printf '%s\n' "$BEFORE") <(git status --porcelain) | tr '\n' ' ')"; fi
|
||||
|
||||
echo
|
||||
echo "── B. 拿這台機器真正的 .env 對帳（只印長度，不印值）──"
|
||||
ENVF=()
|
||||
while IFS= read -r l; do ENVF+=("$l"); done < <(
|
||||
sed -n '/^ENV_FILES=(/,/^)/p' "$S" | sed -E '1d;$d; s/^[[:space:]]*"//; s/"[[:space:]]*$//' | grep -v '^$')
|
||||
BASE="${INKSTONE_ROOT:-$HOME/Documents/tech_projects/InkStoneCo}"
|
||||
real_src(){ # $1=名字 → 印出「值的長度 來源檔」；找不到回非 0
|
||||
local name="$1" f p v
|
||||
for p in "${ENVF[@]}"; do
|
||||
f="${p/\$BASE/$BASE}"; f="${f/\$\{BASE\}/$BASE}"
|
||||
[ -f "$f" ] || continue
|
||||
v=$(grep -E "^[[:space:]]*(export[[:space:]]+)?${name}=" "$f" 2>/dev/null | tail -1 \
|
||||
| sed -E "s/^[[:space:]]*(export[[:space:]]+)?${name}=//" | sed -E 's/^"(.*)"$/\1/; s/^'"'"'(.*)'"'"'$/\1/')
|
||||
[ -n "$v" ] && { printf '%s %s' "${#v}" "$f"; return 0; }
|
||||
done
|
||||
return 1
|
||||
}
|
||||
found=0
|
||||
for p in "${ENVF[@]}"; do f="${p/\$BASE/$BASE}"; [ -f "$f" ] && found=1; done
|
||||
|
||||
if [ "$found" = 0 ]; then
|
||||
skip "B7 這台機器一個 .env 都沒有（雲端就是這個狀態），對帳跳過"
|
||||
skip "B8 同上"
|
||||
else
|
||||
gone=0; prod=0
|
||||
for n in "${NEEDED[@]}"; do
|
||||
if r=$(real_src "$n"); then
|
||||
len="${r%% *}"; src="${r#* }"
|
||||
printf ' %-38s → 找得到（長度 %s）來自 %s\n' "$n" "$len" "${src#$BASE/}"
|
||||
case "$src" in */polaris/mira/.env) prod=$((prod+1)); echo " 🔴 ↑ 這是 leo21c 現役正式環境那份 .env";; esac
|
||||
else
|
||||
printf ' %-38s → 🔴 這台拿不到\n' "$n"; gone=$((gone+1))
|
||||
fi
|
||||
done
|
||||
chk 0 "$gone" "B7 清單上每一把這台都拿得到值"
|
||||
chk 0 "$prod" "B8 沒有一把的值來自 polaris/mira/.env（leo21c 正式環境）"
|
||||
|
||||
# B8 全綠有兩種可能：真的沒有正式憑證，或**偵測根本不會亮**。分得開才算驗過。
|
||||
# 拿一個已知住在 polaris/mira/.env 的名字餵它，看它認不認得出來。
|
||||
if r=$(real_src CLOUDFLARE_ACCOUNT_ID); then
|
||||
case "${r#* }" in
|
||||
*/polaris/mira/.env) ok "B8x 反例自驗：把 leo21c 那份 .env 的變數餵進去，偵測認得出來" ;;
|
||||
*) skip "B8x 反例自驗：CLOUDFLARE_ACCOUNT_ID 這次解到 ${r#* }，不是 mira 那份，這台沒得驗" ;;
|
||||
esac
|
||||
else
|
||||
skip "B8x 反例自驗：這台找不到 CLOUDFLARE_ACCOUNT_ID，沒有現成的反例可餵"
|
||||
fi
|
||||
fi
|
||||
|
||||
echo
|
||||
echo "$PASS/$((PASS+FAIL)) 通過，跳過 $SKIP 條"
|
||||
[ "$FAIL" -eq 0 ]
|
||||
@@ -199,3 +199,31 @@ leo 當場：「**這些為什麼不寫到票裡？**」
|
||||
📌 推廣：**一支閘的價值是「擋下來 ＋ 給一條走得通的路」。**
|
||||
出路走不通時它不是幫你，是擋你——而被擋的人不會停下來修閘，
|
||||
他會去找繞過去的方法。所以「出路能不能跑」要跟「判準準不準」一樣被測。
|
||||
## ⚠️ MISTAKE: 「雲端該有哪些憑證」的清單是唯一真相源，卻沒有任何東西在跟機器對帳
|
||||
|
||||
票: `inkstone/ISEP#115`（→ comment `5522`／`5526`）
|
||||
日期: 2026-09-01
|
||||
|
||||
症狀: 雲端 session 要清空 youlin，`env | grep -ciE 'cloudflare|^CF_|wrangler'` → **0**。
|
||||
而 `credentials-map.md` 明明寫著那把 token 在 `InkStoneCo/.env`。
|
||||
|
||||
實查: 不是雲端漏設。`scripts/make-cloud-env.sh` 的 `NEEDED` 當時**只有 1 個變數**，
|
||||
裡面從來沒有任何 CF 憑證。而 `inkstone/InkStoneCo#14` comment `3890`
|
||||
（2026-08-20）盤點出的 A 段是 **8 個**——那一版三段輸出的腳本，
|
||||
到今天為止只活在**沒併進 `main` 的分支 `fix/cloud-env-parity-14`（PR #43）**上。
|
||||
|
||||
原因: 盤點做在票上、實作做在分支上、`main` 上的清單是另一回事——**三份，互不對帳**。
|
||||
🔴 而清單漏一項的代價**在流程末端才付**：工人已經把腳本與測試都寫完了，
|
||||
到要真的跑的那一刻才知道跑不了。
|
||||
|
||||
正確做法: 清單要有測試逼它跟這台機器對帳（`scripts/test-make-cloud-env.sh`，
|
||||
`docs/TESTING.md` A25）——B 段逐一去 `.env` 找值，找不到就紅。
|
||||
🔴 而「不准混進正式環境憑證」這一條，判準是**值從哪個檔案拿到的**
|
||||
（出自 `polaris/mira/.env` ＝ leo21c 現役正式環境就紅），
|
||||
**不是名字裡有沒有某個字**：黑名單擋不住沒被列進去的新名字，
|
||||
「這個值出自那份 `.env`」是 grep 得出來的事實，換什麼名字都躲不掉。
|
||||
同時釘住反面（B8x）：拿一個已知住在那份 `.env` 的變數餵它，證明偵測**真的會亮**——
|
||||
否則「全綠」有兩種可能（真的乾淨／偵測壞了），而分不開就等於沒驗。
|
||||
|
||||
⇒ **推廣**：repo 裡任何「這台機器該有什麼」的清單，都要有一支東西定期拿它去問機器。
|
||||
清單自己不會知道它漏了什麼。
|
||||
|
||||
Reference in New Issue
Block a user