雲端拿得到 youlin 那把 CF token，而且清單會自己跟機器對帳（inkstone/ISEP#115 → comment 5526）

scripts/make-cloud-env.sh 的 NEEDED 只有 1 個變數，裡面從來沒有任何 CF 憑證
——雲端 `env | grep -ciE 'cloudflare|^CF_|wrangler'` 回 0 是這麼來的，不是漏設。

- NEEDED 加 CLOUDFLARE_API_TOKEN_YOULIN_CC_USE（youlin ＝ AI 的 stage）。
  leo21c 正式環境那 7 把（B 段）一把都沒動，理由寫在清單旁邊。
- 新增 scripts/test-make-cloud-env.sh（docs/TESTING.md A25，10 條）：
  A 段用假 .env 隔離跑（證明缺值會被標紅、什麼都不寫進 repo）；
  B 段拿真 .env 對帳，判準是「值出自哪個檔案」而不是名字裡有沒有某個字，
  並用一個已知住在 polaris/mira/.env 的變數自驗偵測真的會亮。
- TESTING.md B1 原本點名「加一個 GITEA_TOKEN_CLAUDE_CODE」已經過時，
  改成「① 區塊每一行都貼」。
- README／plugin.json 的 scripts 數字在自己的樹上實數：48 → 49。

值全程沒有進版控、沒有進對話（只印名字與長度）。
版本號待總管定。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/TESTING.md

@@ -564,6 +564,37 @@ bash hooks/tests/sdd-guard-retired.test.sh
 🔴 **順序不可顛倒**：要等這一版 ISEP 出去、兩邊 `/plugin update` 之後，
 那半才動得——先拿掉 active SDD 就會鎖死。
 
+### A26 — 雲端該有的憑證清單，這台機器真的拿得到：10 條
+```
+bash scripts/test-make-cloud-env.sh
+```
+**該看到**：`10/10 通過，跳過 0 條`。**全程只印變數名字與值的長度，一個字元的值都不印。**
+A 段用假的 `.env` 隔離跑（不碰真金鑰、不碰 `~/.claude/cloud-env`）；
+B 段拿這台機器真正的 `.env` 對帳——**`.env` 不在的機器（雲端就是）會印 `⏭️ SKIP`**，
+不算失敗，但也不算驗過。
+
+**它在守什麼**（inkstone/ISEP#115，2026-09-01 實撞）：
+`make-cloud-env.sh` 的 `NEEDED` 是「雲端總管手上有哪些憑證」的**唯一**清單。
+那天雲端要清空 youlin，`env | grep -ciE 'cloudflare|^CF_|wrangler'` → **0**——
+不是雲端漏設，是**這份清單裡從來沒有任何 CF 憑證**。
+🔴 更貴的是它**發生在流程末端**：工人已經把清空腳本與測試都寫完了，
+到要真的跑的那一刻才知道跑不了。
+
+**失敗**：
+- **B7 紅** ⇒ 清單上有一把這台機器根本拿不到值 ⇒ leo 貼出去的會是
+  `<🔴 找不到>`，而雲端要到**用到那一刻**才知道。這就是 ISEP#115 那一天的形狀
+- **B8 紅** ⇒ 清單裡混進了值出自 `polaris/mira/.env` 的變數，那是 **leo21c 現役正式環境**。
+  leo 2026-08-20 已把那 7 把分進 B 段並選擇不放（`inkstone/InkStoneCo#14` → comment `3890`）
+- **B8x 紅或長期 SKIP** ⇒ B8 的偵測**不會亮**。全綠有兩種可能（真的沒有正式憑證／
+  偵測根本壞了），分不開就等於沒驗
+- **A5a／A5b 紅** ⇒ 缺值時不會被標成 `<🔴 …>`、收尾也不點名 ⇒ **假綠**，
+  而假綠正是這張票要解的病
+- **A6 紅** ⇒ 有東西被寫進 repo。那支腳本的產物含金鑰真身，**刻意不在任何 repo 裡**
+
+> 🔴 **B8 的判準是「值從哪個檔案拿到的」，不是「名字裡有沒有某個字」。**
+> 關鍵字黑名單擋不住沒被列進黑名單的新名字；「這個值出自 leo21c 那份 `.env`」
+> 是 grep 得出來的事實，換什麼名字都躲不掉。
+
 ### A5 — 開票前的搜尋是跨 repo 的
 ```
 python3 scripts/ticket where 標籤 模組化
@@ -732,9 +763,11 @@ bash scripts/make-cloud-env.sh
 
 打開上一步產生的檔，裡面兩塊分別貼進 claude.ai → **Cloud environments** → 你的環境：
 
-1. **Environment variables** 加一個
-   - 名稱：`GITEA_TOKEN_CLAUDE_CODE`
-   - 值：**既有的** claude-code 機器帳號 Gitea token（不要新造一把）
+1. **Environment variables**：把 ① 區塊**每一行**都貼進去（一行一個，名字與值分開填）。
+   現在是 2 個：`GITEA_TOKEN_CLAUDE_CODE`（機器帳號 Gitea token）與
+   `CLOUDFLARE_API_TOKEN_YOULIN_CC_USE`（youlin ＝ AI 的 stage 實例）。
+   🔴 **不要照這裡的名字數**——以腳本產出的 ① 區塊為準，這份文件會落後。
+   值全部是**既有的**，一把都沒有新造。
 2. **Setup script** 欄位：貼進 `docs/cloud-setup-script.sh` 的全文，一字不改。
 
 **該看到**：儲存後沒有紅字。
@@ -832,6 +865,7 @@ B2（信標那行）／B3（setup 輸出）／B4（閘的訊息）三個畫面
 | **A12 留言身份欄（兩道門）** | 總管 | ✅ 11/11（2026-08-27） |
 | **A23 同時跑的線有上限** | isep-guard | ✅ 33/33（2026-08-29，inkstone/ISEP#109） |
 | **A24 一條線要有自己的工作目錄** | isep-guard | ✅ 35/35（2026-08-29，inkstone/ISEP#109→5391） |
+| **A26 雲端憑證清單這台拿得到** | isep-hand | ✅ 10/10（2026-09-01，inkstone/ISEP#115→5526） |
 | **A16 放行的門真的打得開** | 總管 | ✅ 17/17（2026-08-28，inkstone/ISEP#90） |
 | **A17 未推警察不誤攔雲端分支** | 總管 | ✅ 10/10（2026-08-28，inkstone/ISEP#90） |
 | **A18 信標會報雲端接線缺陷** | 總管 | ✅ 14/14（2026-08-28，inkstone/ISEP#90） |