From ca9ea9993bedefb4a5d133353b6b8574411f87ab Mon Sep 17 00:00:00 2001 From: richblack Date: Tue, 1 Sep 2026 11:47:55 +0800 Subject: [PATCH] =?UTF-8?q?=E9=9B=B2=E7=AB=AF=E6=8B=BF=E5=BE=97=E5=88=B0?= =?UTF-8?q?=20youlin=20=E9=82=A3=E6=8A=8A=20CF=20token=EF=BC=8C=E8=80=8C?= =?UTF-8?q?=E4=B8=94=E6=B8=85=E5=96=AE=E6=9C=83=E8=87=AA=E5=B7=B1=E8=B7=9F?= =?UTF-8?q?=E6=A9=9F=E5=99=A8=E5=B0=8D=E5=B8=B3=EF=BC=88inkstone/ISEP#115?= =?UTF-8?q?=20=E2=86=92=20comment=205526=EF=BC=89?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit scripts/make-cloud-env.sh 的 NEEDED 只有 1 個變數，裡面從來沒有任何 CF 憑證 ——雲端 `env | grep -ciE 'cloudflare|^CF_|wrangler'` 回 0 是這麼來的，不是漏設。 - NEEDED 加 CLOUDFLARE_API_TOKEN_YOULIN_CC_USE（youlin ＝ AI 的 stage）。 leo21c 正式環境那 7 把（B 段）一把都沒動，理由寫在清單旁邊。 - 新增 scripts/test-make-cloud-env.sh（docs/TESTING.md A25，10 條）： A 段用假 .env 隔離跑（證明缺值會被標紅、什麼都不寫進 repo）； B 段拿真 .env 對帳，判準是「值出自哪個檔案」而不是名字裡有沒有某個字， 並用一個已知住在 polaris/mira/.env 的變數自驗偵測真的會亮。 - TESTING.md B1 原本點名「加一個 GITEA_TOKEN_CLAUDE_CODE」已經過時， 改成「① 區塊每一行都貼」。 - README／plugin.json 的 scripts 數字在自己的樹上實數：48 → 49。 值全程沒有進版控、沒有進對話（只印名字與長度）。 版本號待總管定。 Co-Authored-By: Claude Opus 5 --- README.md | 2 +- docs/TESTING.md | 40 ++++++++++- scripts/make-cloud-env.sh | 16 ++++- scripts/test-make-cloud-env.sh | 120 +++++++++++++++++++++++++++++++++ system-dev/wiki/mistakes.md | 28 ++++++++ 5 files changed, 201 insertions(+), 5 deletions(-) create mode 100755 scripts/test-make-cloud-env.sh diff --git a/README.md b/README.md index 5a0cb3d..3c5e55d 100644 --- a/README.md +++ b/README.md @@ -27,7 +27,7 @@ | `agents/` | 7 位 | **工人名單**（`inkstone/ISEP#86`）——派工時指名派給誰，規約見 `docs/governance/worker-roster.md` | | `commands/` | 7 支 | `/wiki-recall` `/ship-check` `/cp-write` … | | `skills/` | 2 支 | | -| `scripts/` | 48 支 | `ticket`／`roster`／`isep-nag`／`wiki-compress`／`github-arm.sh` …（頂層檔案，不含 `lib/` 等子目錄） | +| `scripts/` | 49 支 | `ticket`／`roster`／`isep-nag`／`wiki-compress`／`github-arm.sh` …（頂層檔案，不含 `lib/` 等子目錄） | > 🔴 這五個數字**每次都要在自己的樹上實數**，不准沿用上一版、也不准用加減推 > （`system-dev/wiki/mistakes.md`：那是 leo 的驗收介面，多報就是假綠）： diff --git a/docs/TESTING.md b/docs/TESTING.md index 0bcf7b9..efb54c1 100644 --- a/docs/TESTING.md +++ b/docs/TESTING.md @@ -564,6 +564,37 @@ bash hooks/tests/sdd-guard-retired.test.sh 🔴 **順序不可顛倒**：要等這一版 ISEP 出去、兩邊 `/plugin update` 之後， 那半才動得——先拿掉 active SDD 就會鎖死。 +### A26 — 雲端該有的憑證清單，這台機器真的拿得到：10 條 +``` +bash scripts/test-make-cloud-env.sh +``` +**該看到**：`10/10 通過，跳過 0 條`。**全程只印變數名字與值的長度，一個字元的值都不印。** +A 段用假的 `.env` 隔離跑（不碰真金鑰、不碰 `~/.claude/cloud-env`）； +B 段拿這台機器真正的 `.env` 對帳——**`.env` 不在的機器（雲端就是）會印 `⏭️ SKIP`**， +不算失敗，但也不算驗過。 + +**它在守什麼**（inkstone/ISEP#115，2026-09-01 實撞）： +`make-cloud-env.sh` 的 `NEEDED` 是「雲端總管手上有哪些憑證」的**唯一**清單。 +那天雲端要清空 youlin，`env | grep -ciE 'cloudflare|^CF_|wrangler'` → **0**—— +不是雲端漏設，是**這份清單裡從來沒有任何 CF 憑證**。 +🔴 更貴的是它**發生在流程末端**：工人已經把清空腳本與測試都寫完了， +到要真的跑的那一刻才知道跑不了。 + +**失敗**： +- **B7 紅** ⇒ 清單上有一把這台機器根本拿不到值 ⇒ leo 貼出去的會是 + `<🔴 找不到>`，而雲端要到**用到那一刻**才知道。這就是 ISEP#115 那一天的形狀 +- **B8 紅** ⇒ 清單裡混進了值出自 `polaris/mira/.env` 的變數，那是 **leo21c 現役正式環境**。 + leo 2026-08-20 已把那 7 把分進 B 段並選擇不放（`inkstone/InkStoneCo#14` → comment `3890`） +- **B8x 紅或長期 SKIP** ⇒ B8 的偵測**不會亮**。全綠有兩種可能（真的沒有正式憑證／ + 偵測根本壞了），分不開就等於沒驗 +- **A5a／A5b 紅** ⇒ 缺值時不會被標成 `<🔴 …>`、收尾也不點名 ⇒ **假綠**， + 而假綠正是這張票要解的病 +- **A6 紅** ⇒ 有東西被寫進 repo。那支腳本的產物含金鑰真身，**刻意不在任何 repo 裡** + +> 🔴 **B8 的判準是「值從哪個檔案拿到的」，不是「名字裡有沒有某個字」。** +> 關鍵字黑名單擋不住沒被列進黑名單的新名字；「這個值出自 leo21c 那份 `.env`」 +> 是 grep 得出來的事實，換什麼名字都躲不掉。 + ### A5 — 開票前的搜尋是跨 repo 的 ``` python3 scripts/ticket where 標籤 模組化 @@ -732,9 +763,11 @@ bash scripts/make-cloud-env.sh 打開上一步產生的檔，裡面兩塊分別貼進 claude.ai → **Cloud environments** → 你的環境： -1. **Environment variables** 加一個 - - 名稱：`GITEA_TOKEN_CLAUDE_CODE` - - 值：**既有的** claude-code 機器帳號 Gitea token（不要新造一把） +1. **Environment variables**：把 ① 區塊**每一行**都貼進去（一行一個，名字與值分開填）。 + 現在是 2 個：`GITEA_TOKEN_CLAUDE_CODE`（機器帳號 Gitea token）與 + `CLOUDFLARE_API_TOKEN_YOULIN_CC_USE`（youlin ＝ AI 的 stage 實例）。 + 🔴 **不要照這裡的名字數**——以腳本產出的 ① 區塊為準，這份文件會落後。 + 值全部是**既有的**，一把都沒有新造。 2. **Setup script** 欄位：貼進 `docs/cloud-setup-script.sh` 的全文，一字不改。 **該看到**：儲存後沒有紅字。 @@ -832,6 +865,7 @@ B2（信標那行）／B3（setup 輸出）／B4（閘的訊息）三個畫面 | **A12 留言身份欄（兩道門）** | 總管 | ✅ 11/11（2026-08-27） | | **A23 同時跑的線有上限** | isep-guard | ✅ 33/33（2026-08-29，inkstone/ISEP#109） | | **A24 一條線要有自己的工作目錄** | isep-guard | ✅ 35/35（2026-08-29，inkstone/ISEP#109→5391） | +| **A26 雲端憑證清單這台拿得到** | isep-hand | ✅ 10/10（2026-09-01，inkstone/ISEP#115→5526） | | **A16 放行的門真的打得開** | 總管 | ✅ 17/17（2026-08-28，inkstone/ISEP#90） | | **A17 未推警察不誤攔雲端分支** | 總管 | ✅ 10/10（2026-08-28，inkstone/ISEP#90） | | **A18 信標會報雲端接線缺陷** | 總管 | ✅ 14/14（2026-08-28，inkstone/ISEP#90） | diff --git a/scripts/make-cloud-env.sh b/scripts/make-cloud-env.sh index 35e8102..00795b0 100755 --- a/scripts/make-cloud-env.sh +++ b/scripts/make-cloud-env.sh @@ -11,8 +11,22 @@ set -euo pipefail # ── 雲端需要哪些變數（只有名字。要加就加在這裡）────────────────── NEEDED=( - GITEA_TOKEN_CLAUDE_CODE # 機器帳號 claude-code 的 Gitea token；bootstrap 與 plugin 安裝都靠它 + GITEA_TOKEN_CLAUDE_CODE # 機器帳號 claude-code 的 Gitea token；bootstrap 與 plugin 安裝都靠它 + CLOUDFLARE_API_TOKEN_YOULIN_CC_USE # youlin ＝ AI 的 stage 實例；D37 起這把就是設計給 CC 用的 ) +# +# 🔴 這份清單的邊界——加一把之前先問「這把打得到哪個實例」，不是「這把方便嗎」 +# （依據：inkstone/InkStoneCo#14 comment 3890，leo 2026-08-20 親自把憑證分成 A／B 段） +# +# 可以進來的：雲端總管做**自己的工作**要用到的（stage、機器帳號、測試實例）。 +# 🔴 不准進來的：leo21c 正式環境那一段（B 段，leo 明確選擇不放）。 +# 其中 `CLOUDFLARE_API_TOKEN` / `CLOUDFLARE_ACCOUNT_ID` 這兩個**沒有名字**的， +# 值就是 leo21c 的，而且所有 CF 工具都把它們當預設 ⇒ 雲端一個沒指定帳號的 +# 指令就會打到正式環境。2026-08-14 那輪審查把它列為「本輪最危險的發現」。 +# +# ⚠️ youlin 沒有對應的 `CLOUDFLARE_ACCOUNT_ID_*`——六個 .env 裡都沒有這個名字。 +# 要 account id 的工具請拿上面那把 token 去問 CF `/accounts`， +# **不要退而求其次填那個沒有名字的 `CLOUDFLARE_ACCOUNT_ID`**（那是 leo21c）。 # ── 去哪裡找值（credentials-map.md 記的六個 .env）──────────────── BASE="${INKSTONE_ROOT:-$HOME/Documents/tech_projects/InkStoneCo}" diff --git a/scripts/test-make-cloud-env.sh b/scripts/test-make-cloud-env.sh new file mode 100755 index 0000000..8c530c6 --- /dev/null +++ b/scripts/test-make-cloud-env.sh @@ -0,0 +1,120 @@ +#!/bin/bash +# make-cloud-env.sh 的測試（docs/TESTING.md A14） +# +# 它守什麼: 那支腳本是「雲端總管手上有哪些憑證」的唯一清單。清單漏一把， +# 雲端會在**流程末端**才發現跑不了（inkstone/ISEP#115 內文：派了工人寫完 +# 清空腳本、寫完測試，到要真的跑的那一刻才知道 CF token 根本不在）。 +# +# 兩段: +# A 段 —— 用假的 .env 隔離跑，證明「產物長對、缺值不會假綠、什麼都不寫進 repo」。 +# 全程不碰真金鑰、不碰 ~/.claude/cloud-env。 +# B 段 —— 拿這台機器真正的 .env 對帳，證明清單上每一把**這台都拿得到值**， +# 而且**沒有一把的值來自 polaris/mira/.env**（leo21c 現役正式環境）。 +# .env 不在（例如雲端）⇒ 印 ⏭️ SKIP，不算通過也不算失敗。 +# +# 🔴 B8 的判準是「值從哪個檔案拿到的」，不是「名字裡有沒有某個字」。 +# 關鍵字黑名單擋不住沒被列進黑名單的新名字；「這個值出自 leo21c 那份 .env」 +# 是 grep 得出來的事實，換什麼名字都躲不掉。 +# +# 🔴 全程只印變數**名字**與值的**長度**，一個字元的值都不印。 +cd "$(dirname "$0")/.." || exit 1 +S=scripts/make-cloud-env.sh +PASS=0; FAIL=0; SKIP=0 +ok(){ PASS=$((PASS+1)); printf ' ✅ %s\n' "$1"; } +bad(){ FAIL=$((FAIL+1)); printf ' ❌ %s\n' "$1"; } +skip(){ SKIP=$((SKIP+1)); printf ' ⏭️ SKIP %s\n' "$1"; } +chk(){ [ "$1" = "$2" ] && ok "$3（$2）" || bad "$3：want=$1 got=$2"; } + +# 清單與搜尋路徑都從腳本本身讀出來——測試不另養一份，養了就會漂。 +# 註：macOS 內建的是 bash 3.2，沒有 mapfile／readarray，一律用 while read 收陣列。 +NEEDED=() +while IFS= read -r l; do NEEDED+=("$l"); done < <( + sed -n '/^NEEDED=(/,/^)/p' "$S" | sed -E '1d;$d; s/[[:space:]]*#.*$//; s/[[:space:]]//g' | grep -v '^$') +[ "${#NEEDED[@]}" -gt 0 ] || { echo "🔴 從 $S 讀不出 NEEDED，測試本身壞了"; exit 1; } +echo "清單（只有名字）：${NEEDED[*]}" +echo + +TMP=$(mktemp -d); trap 'rm -rf "$TMP"' EXIT +FAKE="$TMP/fakeroot"; OUTD="$TMP/out"; mkdir -p "$FAKE" + +echo "── A. 隔離跑（假 .env，不碰真金鑰、不碰 ~/.claude/cloud-env）──" +: > "$FAKE/.env" +for n in "${NEEDED[@]}"; do echo "$n=FAKEVALUE-$n" >> "$FAKE/.env"; done + +BEFORE=$(git status --porcelain) +OUT_LINE=$(INKSTONE_ROOT="$FAKE" OUT_DIR="$OUTD" bash "$S" 2>&1) +F=$(printf '%s\n' "$OUT_LINE" | sed -n 's/^✅ 產生完成：//p') + +[ -f "$F" ] && ok "A1 產物產出來了" || bad "A1 產物不存在（腳本輸出：$OUT_LINE）" +chk 600 "$(stat -f '%OLp' "$F" 2>/dev/null || stat -c '%a' "$F" 2>/dev/null)" "A2 產物權限" + +miss=0 +for n in "${NEEDED[@]}"; do grep -qx "$n=FAKEVALUE-$n" "$F" || { miss=$((miss+1)); echo " ↑ 沒出現：$n"; }; done +chk 0 "$miss" "A3 每個名字都帶著值出現在 ① 區塊" + +printf '%s\n' "$OUT_LINE" | grep -q "找不到值的 0 個" \ + && ok "A4 收尾那行說「找不到值的 0 個」" || bad "A4 收尾計數不對：$OUT_LINE" + +# 缺值時不准假綠：拿掉第一個，它要變成 <🔴 …> 且計數變 1 +grep -v "^${NEEDED[0]}=" "$FAKE/.env" > "$FAKE/.env.tmp" && mv "$FAKE/.env.tmp" "$FAKE/.env" +OUT2=$(INKSTONE_ROOT="$FAKE" OUT_DIR="$OUTD" bash "$S" 2>&1) +F2=$(printf '%s\n' "$OUT2" | sed -n 's/^✅ 產生完成：//p') +grep -q "^${NEEDED[0]}=<🔴" "$F2" && ok "A5a 缺值那行標成 <🔴 …>" || bad "A5a 缺值沒被標出來" +printf '%s\n' "$OUT2" | grep -q "找不到值的 1 個 ${NEEDED[0]}" \ + && ok "A5b 收尾點名缺的是誰" || bad "A5b 收尾沒點名：$OUT2" + +if [ "$BEFORE" = "$(git status --porcelain)" ]; then ok "A6 跑完沒有任何檔案被寫進 repo" +else bad "A6 repo 裡多了東西：$(diff <(printf '%s\n' "$BEFORE") <(git status --porcelain) | tr '\n' ' ')"; fi + +echo +echo "── B. 拿這台機器真正的 .env 對帳（只印長度，不印值）──" +ENVF=() +while IFS= read -r l; do ENVF+=("$l"); done < <( + sed -n '/^ENV_FILES=(/,/^)/p' "$S" | sed -E '1d;$d; s/^[[:space:]]*"//; s/"[[:space:]]*$//' | grep -v '^$') +BASE="${INKSTONE_ROOT:-$HOME/Documents/tech_projects/InkStoneCo}" +real_src(){ # $1=名字 → 印出「值的長度 來源檔」；找不到回非 0 + local name="$1" f p v + for p in "${ENVF[@]}"; do + f="${p/\$BASE/$BASE}"; f="${f/\$\{BASE\}/$BASE}" + [ -f "$f" ] || continue + v=$(grep -E "^[[:space:]]*(export[[:space:]]+)?${name}=" "$f" 2>/dev/null | tail -1 \ + | sed -E "s/^[[:space:]]*(export[[:space:]]+)?${name}=//" | sed -E 's/^"(.*)"$/\1/; s/^'"'"'(.*)'"'"'$/\1/') + [ -n "$v" ] && { printf '%s %s' "${#v}" "$f"; return 0; } + done + return 1 +} +found=0 +for p in "${ENVF[@]}"; do f="${p/\$BASE/$BASE}"; [ -f "$f" ] && found=1; done + +if [ "$found" = 0 ]; then + skip "B7 這台機器一個 .env 都沒有（雲端就是這個狀態），對帳跳過" + skip "B8 同上" +else + gone=0; prod=0 + for n in "${NEEDED[@]}"; do + if r=$(real_src "$n"); then + len="${r%% *}"; src="${r#* }" + printf ' %-38s → 找得到（長度 %s）來自 %s\n' "$n" "$len" "${src#$BASE/}" + case "$src" in */polaris/mira/.env) prod=$((prod+1)); echo " 🔴 ↑ 這是 leo21c 現役正式環境那份 .env";; esac + else + printf ' %-38s → 🔴 這台拿不到\n' "$n"; gone=$((gone+1)) + fi + done + chk 0 "$gone" "B7 清單上每一把這台都拿得到值" + chk 0 "$prod" "B8 沒有一把的值來自 polaris/mira/.env（leo21c 正式環境）" + + # B8 全綠有兩種可能：真的沒有正式憑證，或**偵測根本不會亮**。分得開才算驗過。 + # 拿一個已知住在 polaris/mira/.env 的名字餵它，看它認不認得出來。 + if r=$(real_src CLOUDFLARE_ACCOUNT_ID); then + case "${r#* }" in + */polaris/mira/.env) ok "B8x 反例自驗：把 leo21c 那份 .env 的變數餵進去，偵測認得出來" ;; + *) skip "B8x 反例自驗：CLOUDFLARE_ACCOUNT_ID 這次解到 ${r#* }，不是 mira 那份，這台沒得驗" ;; + esac + else + skip "B8x 反例自驗：這台找不到 CLOUDFLARE_ACCOUNT_ID，沒有現成的反例可餵" + fi +fi + +echo +echo "$PASS/$((PASS+FAIL)) 通過，跳過 $SKIP 條" +[ "$FAIL" -eq 0 ] diff --git a/system-dev/wiki/mistakes.md b/system-dev/wiki/mistakes.md index 3e7da8f..5a1f476 100644 --- a/system-dev/wiki/mistakes.md +++ b/system-dev/wiki/mistakes.md @@ -199,3 +199,31 @@ leo 當場：「**這些為什麼不寫到票裡？**」 📌 推廣：**一支閘的價值是「擋下來 ＋ 給一條走得通的路」。** 出路走不通時它不是幫你，是擋你——而被擋的人不會停下來修閘， 他會去找繞過去的方法。所以「出路能不能跑」要跟「判準準不準」一樣被測。 +## ⚠️ MISTAKE: 「雲端該有哪些憑證」的清單是唯一真相源，卻沒有任何東西在跟機器對帳 + +票: `inkstone/ISEP#115`（→ comment `5522`／`5526`） +日期: 2026-09-01 + +症狀: 雲端 session 要清空 youlin，`env | grep -ciE 'cloudflare|^CF_|wrangler'` → **0**。 + 而 `credentials-map.md` 明明寫著那把 token 在 `InkStoneCo/.env`。 + +實查: 不是雲端漏設。`scripts/make-cloud-env.sh` 的 `NEEDED` 當時**只有 1 個變數**， + 裡面從來沒有任何 CF 憑證。而 `inkstone/InkStoneCo#14` comment `3890` + （2026-08-20）盤點出的 A 段是 **8 個**——那一版三段輸出的腳本， + 到今天為止只活在**沒併進 `main` 的分支 `fix/cloud-env-parity-14`（PR #43）**上。 + +原因: 盤點做在票上、實作做在分支上、`main` 上的清單是另一回事——**三份，互不對帳**。 + 🔴 而清單漏一項的代價**在流程末端才付**：工人已經把腳本與測試都寫完了， + 到要真的跑的那一刻才知道跑不了。 + +正確做法: 清單要有測試逼它跟這台機器對帳（`scripts/test-make-cloud-env.sh`， + `docs/TESTING.md` A25）——B 段逐一去 `.env` 找值，找不到就紅。 + 🔴 而「不准混進正式環境憑證」這一條，判準是**值從哪個檔案拿到的** + （出自 `polaris/mira/.env` ＝ leo21c 現役正式環境就紅）， + **不是名字裡有沒有某個字**：黑名單擋不住沒被列進去的新名字， + 「這個值出自那份 `.env`」是 grep 得出來的事實，換什麼名字都躲不掉。 + 同時釘住反面（B8x）：拿一個已知住在那份 `.env` 的變數餵它，證明偵測**真的會亮**—— + 否則「全綠」有兩種可能（真的乾淨／偵測壞了），而分不開就等於沒驗。 + +⇒ **推廣**：repo 裡任何「這台機器該有什麼」的清單，都要有一支東西定期拿它去問機器。 + 清單自己不會知道它漏了什麼。