雲端拿得到 youlin 那把 CF token，而且清單會自己跟機器對帳（inkstone/ISEP#115 → comment 5526）

scripts/make-cloud-env.sh 的 NEEDED 只有 1 個變數，裡面從來沒有任何 CF 憑證
——雲端 `env | grep -ciE 'cloudflare|^CF_|wrangler'` 回 0 是這麼來的，不是漏設。

- NEEDED 加 CLOUDFLARE_API_TOKEN_YOULIN_CC_USE（youlin ＝ AI 的 stage）。
  leo21c 正式環境那 7 把（B 段）一把都沒動，理由寫在清單旁邊。
- 新增 scripts/test-make-cloud-env.sh（docs/TESTING.md A25，10 條）：
  A 段用假 .env 隔離跑（證明缺值會被標紅、什麼都不寫進 repo）；
  B 段拿真 .env 對帳，判準是「值出自哪個檔案」而不是名字裡有沒有某個字，
  並用一個已知住在 polaris/mira/.env 的變數自驗偵測真的會亮。
- TESTING.md B1 原本點名「加一個 GITEA_TOKEN_CLAUDE_CODE」已經過時，
  改成「① 區塊每一行都貼」。
- README／plugin.json 的 scripts 數字在自己的樹上實數：48 → 49。

值全程沒有進版控、沒有進對話（只印名字與長度）。
版本號待總管定。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

system-dev/wiki/mistakes.md

@@ -199,3 +199,31 @@ leo 當場：「**這些為什麼不寫到票裡？**」
 📌 推廣：**一支閘的價值是「擋下來 ＋ 給一條走得通的路」。**
 出路走不通時它不是幫你，是擋你——而被擋的人不會停下來修閘，
 他會去找繞過去的方法。所以「出路能不能跑」要跟「判準準不準」一樣被測。
+## ⚠️ MISTAKE: 「雲端該有哪些憑證」的清單是唯一真相源，卻沒有任何東西在跟機器對帳
+
+票: `inkstone/ISEP#115`（→ comment `5522`／`5526`）
+日期: 2026-09-01
+
+症狀: 雲端 session 要清空 youlin，`env | grep -ciE 'cloudflare|^CF_|wrangler'` → **0**。
+      而 `credentials-map.md` 明明寫著那把 token 在 `InkStoneCo/.env`。
+
+實查: 不是雲端漏設。`scripts/make-cloud-env.sh` 的 `NEEDED` 當時**只有 1 個變數**，
+      裡面從來沒有任何 CF 憑證。而 `inkstone/InkStoneCo#14` comment `3890`
+      （2026-08-20）盤點出的 A 段是 **8 個**——那一版三段輸出的腳本，
+      到今天為止只活在**沒併進 `main` 的分支 `fix/cloud-env-parity-14`（PR #43）**上。
+
+原因: 盤點做在票上、實作做在分支上、`main` 上的清單是另一回事——**三份，互不對帳**。
+      🔴 而清單漏一項的代價**在流程末端才付**：工人已經把腳本與測試都寫完了，
+      到要真的跑的那一刻才知道跑不了。
+
+正確做法: 清單要有測試逼它跟這台機器對帳（`scripts/test-make-cloud-env.sh`，
+      `docs/TESTING.md` A25）——B 段逐一去 `.env` 找值，找不到就紅。
+      🔴 而「不准混進正式環境憑證」這一條，判準是**值從哪個檔案拿到的**
+      （出自 `polaris/mira/.env` ＝ leo21c 現役正式環境就紅），
+      **不是名字裡有沒有某個字**：黑名單擋不住沒被列進去的新名字，
+      「這個值出自那份 `.env`」是 grep 得出來的事實，換什麼名字都躲不掉。
+      同時釘住反面（B8x）：拿一個已知住在那份 `.env` 的變數餵它，證明偵測**真的會亮**——
+      否則「全綠」有兩種可能（真的乾淨／偵測壞了），而分不開就等於沒驗。
+
+⇒ **推廣**：repo 裡任何「這台機器該有什麼」的清單，都要有一支東西定期拿它去問機器。
+   清單自己不會知道它漏了什麼。