inkstone/ISEP - ISEP - Gitea: Git with a cup of tea

inkstone/ISEP

Fork 0

Commit Graph

Author	SHA1	Message	Date
Leo	1dfc4e373a	v0.2.1：43 支閘的白話盤點、測試手冊、補上兩個被抓到的洞 leo 2026-08-20 問「InkStoneCo#40 加入了嗎？如果是這樣我應該可以白話文看到 hooks 的內容？」答案是不行——43 支閘沒有任何白話清單。這一版補上。 docs/hooks-inventory.md 43 支逐支一行，按「你會在什麼時候撞到它」分 9 組抽驗 5 支逐行核對源碼；順帶抓到 3 支有檔案沒註冊 docs/TESTING.md A1-A8 + B1-B5，每格都有「怎麼跑/該看到什麼/什麼算失敗」 scripts/test-*.sh 兩支閘的測試，共 21 條，全過兩個實撞的洞： - release-tag-guard 的排除清單是前綴比對，x 整條放行（A8 那個新 session 抓到的，總管複驗屬實）。改用 #23 驗證過的判準：關鍵字要在指令位置才算執行。補 3 條複合指令測試，8/8。 ⇒ 這是 InkStoneCo#36「包一層就繞過去」的同一個病，發生在同一天新寫的閘上。 - scripts/ticket 寫死只認名叫 gitea 的 remote，在 ISEP（remote 叫 origin）整個跑不起來 ⇒「開票前先搜」那道閘在新 repo 等於不存在。改成掃所有指向本站的 remote + 環境變數 fallback。 A8 已通過：新 session 裡 plugin 的閘真的觸發（exit 2、tag 未建立、訊息來自 plugin 路徑）。文件漂移訂正：plugin.json 與 README 寫 42 支/52 條，實際 43 支/53 條。兩支新閘補上 #40 §1 要求的三行中文檔頭。 🔴 但仍違反 #40 §3「新規則一律先 warn」——兩支都是 block。理由記在 #40 留言，等 leo 裁。	2026-08-20 17:08:00 +08:00
Leo	2cd3af2764	開票的側門也封上：Gitea API 直接開票要有搜尋戳記 leo 2026-08-20 問「如何防止」。規範早就有（leo 2026-08-16「開票前先去搜尋要開在哪裡」），閘也早就有—— 但它長在 scripts/ticket 這支工具裡，而總管當天走 API 這條側門，一口氣開了 12 張與舊票重疊的票，事後全部只能關掉指回舊票。 ⇒ 同一個動作有兩條路，只封了一條。本支封的是動作：Bash 指令只要打到 issues 集合端點且帶 POST，就要有新鮮的搜尋戳記（與 scripts/ticket 共用 /tmp/.ticket-where-ok，30 分鐘）。判準刻意簡單：端點 + 一個裸字 POST。原本寫成逐個比對 -X POST／"POST"／req("POST"，實測第二種就因為跳脫引號逃掉——那正是 leo 08-17 說的「自然語言的變體無限， blacklist 追不完」。端點已經確定是開票那條，純讀取不會出現 POST，一個字就夠。實測 13 條：4 種該擋全擋、8 種不該擋（GET／留言／改標籤／關票／scripts\/ticket／文字提到／grep 自己／撈清單）全放行、有戳記時放行。	2026-08-20 16:43:49 +08:00

Author

SHA1

Message

Date

Leo

1dfc4e373a

v0.2.1：43 支閘的白話盤點、測試手冊、補上兩個被抓到的洞

leo 2026-08-20 問「InkStoneCo#40 加入了嗎？如果是這樣我應該可以白話文看到 hooks 的內容？」
答案是不行——43 支閘沒有任何白話清單。這一版補上。

docs/hooks-inventory.md   43 支逐支一行，按「你會在什麼時候撞到它」分 9 組
                          抽驗 5 支逐行核對源碼；順帶抓到 3 支有檔案沒註冊
docs/TESTING.md           A1-A8 + B1-B5，每格都有「怎麼跑/該看到什麼/什麼算失敗」
scripts/test-*.sh         兩支閘的測試，共 21 條，全過

兩個實撞的洞：
- release-tag-guard 的排除清單是前綴比對，x 整條放行
  （A8 那個新 session 抓到的，總管複驗屬實）。改用 #23 驗證過的判準：
  關鍵字要在指令位置才算執行。補 3 條複合指令測試，8/8。
  ⇒ 這是 InkStoneCo#36「包一層就繞過去」的同一個病，發生在同一天新寫的閘上。
- scripts/ticket 寫死只認名叫 gitea 的 remote，在 ISEP（remote 叫 origin）整個跑不起來
  ⇒「開票前先搜」那道閘在新 repo 等於不存在。改成掃所有指向本站的 remote + 環境變數 fallback。

A8 已通過：新 session 裡 plugin 的閘真的觸發（exit 2、tag 未建立、訊息來自 plugin 路徑）。

文件漂移訂正：plugin.json 與 README 寫 42 支/52 條，實際 43 支/53 條。

兩支新閘補上 #40 §1 要求的三行中文檔頭。
🔴 但仍違反 #40 §3「新規則一律先 warn」——兩支都是 block。理由記在 #40 留言，等 leo 裁。

2026-08-20 17:08:00 +08:00

Leo

2cd3af2764

開票的側門也封上：Gitea API 直接開票要有搜尋戳記

leo 2026-08-20 問「如何防止」。

規範早就有（leo 2026-08-16「開票前先去搜尋要開在哪裡」），閘也早就有——
但它長在 scripts/ticket 這支工具裡，而總管當天走 API 這條側門，
一口氣開了 12 張與舊票重疊的票，事後全部只能關掉指回舊票。
⇒ 同一個動作有兩條路，只封了一條。

本支封的是動作：Bash 指令只要打到 issues 集合端點且帶 POST，就要有新鮮的搜尋戳記
（與 scripts/ticket 共用 /tmp/.ticket-where-ok，30 分鐘）。

判準刻意簡單：端點 + 一個裸字 POST。原本寫成逐個比對 -X POST／"POST"／req("POST"，
實測第二種就因為跳脫引號逃掉——那正是 leo 08-17 說的「自然語言的變體無限，
blacklist 追不完」。端點已經確定是開票那條，純讀取不會出現 POST，一個字就夠。

實測 13 條：4 種該擋全擋、8 種不該擋（GET／留言／改標籤／關票／scripts\/ticket／
文字提到／grep 自己／撈清單）全放行、有戳記時放行。

2026-08-20 16:43:49 +08:00

2 Commits