inkstone/ISEP - ISEP - Gitea: Git with a cup of tea

inkstone/ISEP

Fork 0

Commit Graph

Author	SHA1	Message	Date
Leo	950c3e1919	測試不再偽造「有一筆推 main 在等總管裁」（inkstone/ISEP#59）現象（實測，不是推論）：跑完 main-and-prod-push-guard 那三支測試之後 $ git status --short M hooks/lib/__pycache__/strip_heredoc.cpython-314.pyc M pending-main-push/unnamed--ISEP.md ?? pending-main-push/unnamed--A.md 成因：這支閘擋下推 main 的同時，會把那次請求寫成 `<hooks 的上一層>/pending-main-push/<誰>--<repo>.md`，而三支測試的測資本來就全是推 main。於是每跑一次測試，工作區就多／改幾筆偽造的待裁決。兩個後果，後者比較貴： ① `git add -A` 很容易把它們帶進 commit（08-27 那次真的帶進去了，事後才拔掉） ② 總管的迴圈讀那個目錄，讀到的每一筆都該是真的在等他裁—— 測試每跑一次就偽造一筆 ⇒ 下一筆真的請求會混在雜訊裡。這跟「永遠在響的警報」是同一個病。改法（產品程式碼一行都沒動）： - 新增 hooks/tests/lib/hook-sandbox.sh：把整個 hooks/ 複製到暫存區再跑複本。閘算 pending 目錄的位置靠的是 `$0` 的上一層 ⇒ 請求寫進暫存區。刻意不在閘上開一個「寫去哪」的環境變數——那種開關同時是一條把紀錄關掉的路。 - 三支測試改測沙盒複本，並各補兩條斷言： ① repo 的 pending-main-push 一個位元都沒動 ② 沙盒裡真的有留下請求（只驗 ① 的話，把留紀錄的功能整個關掉也會綠） - pending-main-push/ 不再進版控（它是本機狀態不是原始碼），只留一份 README 說明規約；既有的兩筆與那顆被追蹤的 .pyc 一併 `git rm --cached`，檔案留在硬碟上不刪。實測： - 三支各自 10/10、19/19、13/13（原本 8／17／11，各多兩條新斷言） - 把 `H` 改回真跡重跑 ⇒ 新斷言兩條都紅（11/13）＋工作區又髒 ⇒ 這兩條斷言真的抓得到它要抓的東西 - 全套 16 支測試檔跑完 0 失敗，`git status` 沒有多出任何一行 - `claude plugin validate .` ✔ Validation passed 沒有升版：這次只動測試與版控範圍，沒有任何閘的行為改變，不需要靠新版本號送到任何人手上；請跟著總管下一個 release 一起出去。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-27 18:33:44 +08:00
Leo	41c56acd32	推 main 的戳記改綁「push 真正的目標 repo」，不再綁 hook 自己的 cwd 跨 repo 交辦時（總管站在 A repo，要推 B repo 的 main）main-and-prod-push-guard 的戳記機制永遠對不上：HERE 讀的是 hook 自己的 cwd（=session 的真身，不會變）， WANT 是總管替目標 repo（B）寫進戳記的路徑——兩者結構性地不可能相等，不是判斷錯，是這個情境在舊模型裡根本不存在（inkstone/ISEP#30 comment 3949，脈絡 inkstone/InkStoneCo#57，2026-08-21 實撞）。新增 hooks/lib/push_target_dir.py：純 tokenize（不執行任何指令）解析指令裡 `cd <path> && git push` 或 `git -C <path> push` 真正會落地的目錄，對多層 cd 鏈與子殼（`(cd A && ...); git push` 這種子殼 cd 不能外洩出去）都做了範圍化—— 這條範圍化是防穿透的關鍵，不是順手：沒有它，`(cd A && true); git push` 會被誤判成推向 A，讓替 A 開的舊戳記錯誤地放行推到殼外真正的目標。解不出來一律退回舊行為（hook 自己的 cwd），維持 fail-closed 方向不變。順手修掉補測時自己抓到的另一個洞：`(git push origin HEAD:main)`——單純加一層括號——舊版目的地判斷完全偵測不到，整段直接放行，跟戳記無關。成因是截斷 refspec 尾巴的 sed 只認 `;`／`&`／`\|` 三種字元，沒算到 `)`；補上即可，git 的 refspec 語法本來就不允許出現 `)`，這裡截斷永遠安全。綁 repo＋單次用完即丟兩條 2026-08-11/12 用血換來的性質完全沒有鬆動：只是把「現在人在哪個 repo」問得更準，比對邏輯一個字沒動。實測： - hooks/tests/main-and-prod-push-guard.test.sh 舊有 8 向：8/8 - scripts/test-main-and-prod-push-guard.sh 舊有 11 向：11/11 - 新增 hooks/tests/main-and-prod-push-guard-cross-repo.test.sh 17 向（跨 repo 正向／反向不准鬆／git -C／子殼範圍化／括號洞／單次用完即丟／ 900 秒逾時／空戳記／既有行為零回歸）：17/17 本輪只驗證，未拿去放行任何真實推送；plugin.json 隨慣例 bump 0.3.4 -> 0.3.5 並重跑 vendor-to-shell.py（.shell-payload 為 gitignore 產物，不入版控）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-23 14:18:28 +08:00

Author

SHA1

Message

Date

Leo

950c3e1919

測試不再偽造「有一筆推 main 在等總管裁」（inkstone/ISEP#59）

現象（實測，不是推論）：跑完 main-and-prod-push-guard 那三支測試之後

    $ git status --short
     M hooks/lib/__pycache__/strip_heredoc.cpython-314.pyc
     M pending-main-push/unnamed--ISEP.md
    ?? pending-main-push/unnamed--A.md

成因：這支閘擋下推 main 的同時，會把那次請求寫成
`<hooks 的上一層>/pending-main-push/<誰>--<repo>.md`，而三支測試的測資本來
就全是推 main。於是每跑一次測試，工作區就多／改幾筆**偽造的待裁決**。

兩個後果，後者比較貴：
  ① `git add -A` 很容易把它們帶進 commit（08-27 那次真的帶進去了，事後才拔掉）
  ② 總管的迴圈讀那個目錄，讀到的每一筆都該是真的在等他裁——
     測試每跑一次就偽造一筆 ⇒ **下一筆真的請求會混在雜訊裡**。
     這跟「永遠在響的警報」是同一個病。

改法（產品程式碼一行都沒動）：
- 新增 hooks/tests/lib/hook-sandbox.sh：把整個 hooks/ 複製到暫存區再跑複本。
  閘算 pending 目錄的位置靠的是 `$0` 的上一層 ⇒ 請求寫進暫存區。
  **刻意不在閘上開一個「寫去哪」的環境變數**——那種開關同時是一條把紀錄關掉的路。
- 三支測試改測沙盒複本，並各補兩條斷言：
  ① repo 的 pending-main-push 一個位元都沒動
  ② 沙盒裡**真的有**留下請求（只驗 ① 的話，把留紀錄的功能整個關掉也會綠）
- pending-main-push/ 不再進版控（它是本機狀態不是原始碼），只留一份 README 說明規約；
  既有的兩筆與那顆被追蹤的 .pyc 一併 `git rm --cached`，檔案留在硬碟上不刪。

實測：
- 三支各自 10/10、19/19、13/13（原本 8／17／11，各多兩條新斷言）
- 把 `H` 改回真跡重跑 ⇒ 新斷言兩條都紅（11/13）＋工作區又髒
  ⇒ 這兩條斷言真的抓得到它要抓的東西
- 全套 16 支測試檔跑完 0 失敗，`git status` 沒有多出任何一行
- `claude plugin validate .` ✔ Validation passed

沒有升版：這次只動測試與版控範圍，沒有任何閘的行為改變，
不需要靠新版本號送到任何人手上；請跟著總管下一個 release 一起出去。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-27 18:33:44 +08:00

Leo

41c56acd32

推 main 的戳記改綁「push 真正的目標 repo」，不再綁 hook 自己的 cwd

跨 repo 交辦時（總管站在 A repo，要推 B repo 的 main）main-and-prod-push-guard
的戳記機制永遠對不上：HERE 讀的是 hook 自己的 cwd（=session 的真身，不會變），
WANT 是總管替目標 repo（B）寫進戳記的路徑——兩者結構性地不可能相等，不是
判斷錯，是這個情境在舊模型裡根本不存在（inkstone/ISEP#30 comment 3949，
脈絡 inkstone/InkStoneCo#57，2026-08-21 實撞）。

新增 hooks/lib/push_target_dir.py：純 tokenize（不執行任何指令）解析指令裡
`cd <path> && git push` 或 `git -C <path> push` 真正會落地的目錄，對多層 cd
鏈與子殼（`(cd A && ...); git push` 這種子殼 cd 不能外洩出去）都做了範圍化——
這條範圍化是防穿透的關鍵，不是順手：沒有它，`(cd A && true); git push`
會被誤判成推向 A，讓替 A 開的舊戳記錯誤地放行推到殼外真正的目標。解不出來
一律退回舊行為（hook 自己的 cwd），維持 fail-closed 方向不變。

順手修掉補測時自己抓到的另一個洞：`(git push origin HEAD:main)`——單純加一層
括號——舊版目的地判斷完全偵測不到，整段直接放行，跟戳記無關。成因是截斷
refspec 尾巴的 sed 只認 `;`／`&`／`|` 三種字元，沒算到 `)`；補上即可，git 的
refspec 語法本來就不允許出現 `)`，這裡截斷永遠安全。

綁 repo＋單次用完即丟兩條 2026-08-11/12 用血換來的性質完全沒有鬆動：只是把
「現在人在哪個 repo」問得更準，比對邏輯一個字沒動。

實測：
- hooks/tests/main-and-prod-push-guard.test.sh 舊有 8 向：8/8
- scripts/test-main-and-prod-push-guard.sh 舊有 11 向：11/11
- 新增 hooks/tests/main-and-prod-push-guard-cross-repo.test.sh 17 向
  （跨 repo 正向／反向不准鬆／git -C／子殼範圍化／括號洞／單次用完即丟／
  900 秒逾時／空戳記／既有行為零回歸）：17/17

本輪只驗證，未拿去放行任何真實推送；plugin.json 隨慣例 bump 0.3.4 -> 0.3.5
並重跑 vendor-to-shell.py（.shell-payload 為 gitignore 產物，不入版控）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-23 14:18:28 +08:00

2 Commits