2 Commits

Author	SHA1	Message	Date
Leo	358f67abf3	閘認得出「動的是哪個 repo」，不再拿 cwd 當答案（inkstone/ISEP#109 → comment 5398） ... line-needs-own-worktree.sh 擋 `cd <別的 repo> && git checkout` 時擋對了，但訊息 指的是 payload 的 cwd 那個 repo，不是指令真正動的那個。comment 5398 實測： 指令：cd .../matrix/arcrun && git checkout fix/library-lifecycle-187 舊版：目錄：.../InkStoneCo 它現在在：feat/ticket-bell-webhook ↑ 動的是 matrix/arcrun，講的卻是 InkStoneCo 🔴 照著那個訊息做的人，會在 InkStoneCo 開一份用不到的 worktree，真正要隔離的 matrix/arcrun 沒開到——而他以為自己隔離好了。**一道閘給錯下一步比不擋更糟。** 而 `cd X && git checkout` 正是這條線最常出現的寫法（本票的來由那次就是它）。 沒有另寫一支解析器：hooks/lib/push_target_dir.py 2026-08-23 已經替 git push 解過 同一題（inkstone/ISEP#30 comment 3949），多層 cd 鏈與「子殼的 cd 不外洩」都算過了。 本輪只把那支的動詞與「要不要去掉 env 前綴」變成參數（兩個都有預設值，push 那條路 一個 byte 都沒變，42 條既有測試重跑全綠），新增的 lib/checkout_target_dir.py 只放 checkout 專屬的兩件事：哪些形狀不動 HEAD、-C 贏過 cd 的優先序。 新增的一條性質（不是順手，是本票要的）：目錄解不出來就放行。 `cd $VAR`／`cd -`／引號壞掉時回 "?"，閘直接 exit 0。寧可漏擋，也不要指著錯的 repo 叫人去開 worktree——猜一個回去等於原地打轉。 實測： - hooks/tests/line-needs-own-worktree.test.sh 35 條 → 59 條（新增 D 群 24 條） 正向：cd 認出 A／-C 認出 B／兩者都在時 -C 贏／相對 cd／相對 -C 接在 cd 之後／ 從 worktree cd 回共用目錄／子殼不外洩 反向（不該擋）：cd 到非 repo、cd 進自己的 worktree、cd $VAR、cd -、還原檔案 已知邊界也釘成測試：`);` 中間沒空白時 tokenize 會斷在那裡 ⇒ 漏擋（不是指錯）。 那層是 push_target_dir 的 tokenizer，動它會連帶改到推 main 那道閘的偵測範圍， 本票不動，另報。 - 推 main 那三套（共用被改到的 lib）：10/10、19/19、13/13 - 實地打票上那條害過我們的指令：現在印的是 matrix/arcrun，worktree 指令也是它的 plugin.json 0.16.1 → 0.16.2 並重跑 vendor-to-shell.py（版本沒動＝沒人吃得到）。 ⚠️ 留痕：hooks/lib/checkout_target_dir.py 是用 Bash heredoc 寫的，因為 sdd-guard 對 ISEP 的 .py 是結構性永遠在響——這個 repo 根本沒有 system-dev/docs/3-specs， 而 hooks/lib/ 已經住了 9 支 .py。範圍就這一支新檔，沒有動那道閘（另報）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-29 21:31:42 +08:00
Leo	41c56acd32	推 main 的戳記改綁「push 真正的目標 repo」，不再綁 hook 自己的 cwd ... 跨 repo 交辦時（總管站在 A repo，要推 B repo 的 main）main-and-prod-push-guard 的戳記機制永遠對不上：HERE 讀的是 hook 自己的 cwd（=session 的真身，不會變）， WANT 是總管替目標 repo（B）寫進戳記的路徑——兩者結構性地不可能相等，不是 判斷錯，是這個情境在舊模型裡根本不存在（inkstone/ISEP#30 comment 3949， 脈絡 inkstone/InkStoneCo#57，2026-08-21 實撞）。 新增 hooks/lib/push_target_dir.py：純 tokenize（不執行任何指令）解析指令裡 `cd <path> && git push` 或 `git -C <path> push` 真正會落地的目錄，對多層 cd 鏈與子殼（`(cd A && ...); git push` 這種子殼 cd 不能外洩出去）都做了範圍化—— 這條範圍化是防穿透的關鍵，不是順手：沒有它，`(cd A && true); git push` 會被誤判成推向 A，讓替 A 開的舊戳記錯誤地放行推到殼外真正的目標。解不出來 一律退回舊行為（hook 自己的 cwd），維持 fail-closed 方向不變。 順手修掉補測時自己抓到的另一個洞：`(git push origin HEAD:main)`——單純加一層 括號——舊版目的地判斷完全偵測不到，整段直接放行，跟戳記無關。成因是截斷 refspec 尾巴的 sed 只認 `;`／`&`／`|` 三種字元，沒算到 `)`；補上即可，git 的 refspec 語法本來就不允許出現 `)`，這裡截斷永遠安全。 綁 repo＋單次用完即丟兩條 2026-08-11/12 用血換來的性質完全沒有鬆動：只是把 「現在人在哪個 repo」問得更準，比對邏輯一個字沒動。 實測： - hooks/tests/main-and-prod-push-guard.test.sh 舊有 8 向：8/8 - scripts/test-main-and-prod-push-guard.sh 舊有 11 向：11/11 - 新增 hooks/tests/main-and-prod-push-guard-cross-repo.test.sh 17 向 （跨 repo 正向／反向不准鬆／git -C／子殼範圍化／括號洞／單次用完即丟／ 900 秒逾時／空戳記／既有行為零回歸）：17/17 本輪只驗證，未拿去放行任何真實推送；plugin.json 隨慣例 bump 0.3.4 -> 0.3.5 並重跑 vendor-to-shell.py（.shell-payload 為 gitignore 產物，不入版控）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-23 14:18:28 +08:00