雲端對 stage 的寫入有正門：scripts/stage（secret／api）只寫 youlin，白名單放固定形狀（inkstone/ISEP#137）

09-07 三種寫入在雲端全被 auto mode 分類器擋：npx wrangler secret put、
stage-deploy-artifacts.py --confirm、curl POST 到 arcrun-yuga3bse——
白名單是逐條比前綴，複合指令與任意 curl 永遠對不上；放整類又是紅線。

- scripts/stage secret put|list|delete：直接打 CF API（不經 npx）；先 GET /accounts
  看這把 token 打得到誰，stage 的 ID 不在裡面就拒絕並印出它打得到誰；URL 永遠只帶
  1129efd7…；值只從 --from-env 讀，--value 拒收。
- scripts/stage api <METHOD> <worker>/<path>：curl 打實例，主機只會是
  *.arcrun-yuga3bse.workers.dev，別的主機拒絕；標頭與 body 走 stdin 設定檔＋管線，
  不走 argv；--bearer-env／--header-env／--data-env 從環境變數讀。
- docs/permissions-allow.json：stage 四種形狀＋Arcrun 自己那支 stage-deploy-artifacts.py
  的相對形狀（它已寫死只認 youlin 帳號 ID、不收 --account／--token，不重造）。
- scripts/test-stage.sh 45 條（假 CF 對 PUT 回 201——第一次實跑 CF 回 201 被講成失敗，
  就是這格抓的）；test-settings-allow-sync 仍 19/19。
- 真跑：探針種進 youlin arcrun-cypher-executor、CF API 獨立列到、刪掉恢復原狀；
  api GET health 200、無 Bearer POST 401、leo21c 主機拒絕零請求。
  「帶 Bearer 真寫 KBDB」缺 KBDB_INTERNAL_TOKEN 沒跑（TESTING A36 標明）。

盤點在本樹實數：hooks 61、註冊 85（都沒動）、scripts 56（＋stage、＋test-stage.sh）。
版本待總管定版。

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01DTZ9QtvjY7MNxjfQbexAm7

README.md

@@ -27,7 +27,7 @@
 | `agents/` | 7 位 | **工人名單**（`inkstone/ISEP#86`）——派工時指名派給誰，規約見 `docs/governance/worker-roster.md` |
 | `commands/` | 7 支 | `/wiki-recall` `/wiki-capture` `/cp-write` `/issue-handle` … |
 | `skills/` | 2 支 | `ship-check`（東西要出去之前）／`deep-recall`（把散落的枝葉還原成一棵樹）。🔴 **這兩支的內容不一定是在這裡寫的**——誰是真相源查 `docs/file-ownership.tsv` |
-| `scripts/` | 54 支 | `ticket`／`roster`／`isep-nag`／`wiki-compress`／`github-arm.sh` …（頂層檔案，不含 `lib/` 等子目錄） |
+| `scripts/` | 56 支 | `ticket`／`roster`／`isep-nag`／`wiki-compress`／`github-arm.sh` …（頂層檔案，不含 `lib/` 等子目錄） |
 
 > 🔴 這五個數字**每次都要在自己的樹上實數**，不准沿用上一版、也不准用加減推
 > （`system-dev/wiki/mistakes.md`：那是 leo 的驗收介面，多報就是假綠）：