 claude-code
|
617315e3dd
|
把四個雲端接線缺陷的診斷寫下來（inkstone/ISEP#90）
docs/governance/cloud-wiring.md：四個缺陷分成兩種病——
①④ 是「閘的判準寫的是地端才成立的假設」，②③ 是「同一個東西有兩份，雲端跑到舊的」。
每一格都附實測證據與修法，並標明還沒關掉的兩格住在哪張票（ISEP#67／真身 repo）。
TESTING.md 補 A14／A15／A16 三格：怎麼跑、該看到什麼、什麼算失敗。
三支閘被擋下的訊息也一併指向 scripts/gate-ok（原本的手打法保留當等價寫法）。
|
2026-08-28 00:14:01 +00:00 |
|
|
claude-code
|
3e83a4b4f3
|
修好「總管可以放行」那道門——它在 Linux（＝每個雲端 session）上是焊死的（inkstone/ISEP#90 ④）
三支閘（prod-write-guard／main-and-prod-push-guard／stage-before-prod-guard）
判斷戳記新不新，都寫成這一行：
MT=$(stat -f %m "$STAMP" 2>/dev/null || stat -c %Y "$STAMP" 2>/dev/null || echo 0)
macOS（BSD stat）上 `-f %m` 就是 mtime，對的。
**GNU coreutils 的 `-f` 是「顯示檔案系統資訊」**，而且它一邊回非零、
一邊往 stdout 吐一整段區塊 ⇒ `||` 接上的秒數被那段文字污染
⇒ 下一行的 `case "$NOW$MT" in *[!0-9]*) return 1` 必然命中
⇒ **在 Linux 上那三支閘的戳記永遠不會被接受。**
後果不是少一個便利功能：那三支閘都是「擋下來、但總管看過就能放行」，
而放行那道門在雲端打不開 ⇒ **它們在雲端等於純擋**，
總管照著閘自己印的指示做，做幾次都打不開，閘也不會告訴他門是壞的
（inkstone/InkStoneCo#99 那次「連續四次蓋不出戳記」就是這個形狀）。
· hooks/lib/mtime.sh：先 `-c %Y`（GNU）再 `-f %m`（BSD），**每一步都驗是不是純數字**
——這個 bug 的成因正是「命令失敗了卻還是印了東西」，只看離開碼會再被騙一次。
四支用到的檔各自帶一份 inline fallback：這道門不能因為少一個檔案就再關上一次。
· scripts/gate-ok：把散在各閘訊息裡的七種逃生口收斂成一個名字、一種形狀
（`gate-ok <閘名> [參數]`）。原因是逃生口原本是「臨時湊出來的 Bash 指令」，
而臨時湊的指令沒有穩定形狀可以事先放行——settings.json 的 allow 只能逐條完全比對，
多一個 `&&`、換一個 session id 就落在規則外。它蓋的戳記與閘原本認的完全同一個檔、
同一種語意（單次、綁 repo、綁 session、有效期都沒動），換掉的只有「怎麼蓋」。
測試 hooks/tests/gate-ok.test.sh：16/16。既有的三支測試（29／16／10）不受影響。
拿 main 跑同一份：②⑤（門打得開）紅、⑥⑦⑧（門沒變寬）全綠
⇒ 這支補的正是既有測試從來沒驗過的那半邊。
|
2026-08-28 00:11:42 +00:00 |
|
 Leo
|
41c56acd32
|
推 main 的戳記改綁「push 真正的目標 repo」，不再綁 hook 自己的 cwd
跨 repo 交辦時（總管站在 A repo，要推 B repo 的 main）main-and-prod-push-guard
的戳記機制永遠對不上：HERE 讀的是 hook 自己的 cwd（=session 的真身，不會變），
WANT 是總管替目標 repo（B）寫進戳記的路徑——兩者結構性地不可能相等，不是
判斷錯，是這個情境在舊模型裡根本不存在（inkstone/ISEP#30 comment 3949，
脈絡 inkstone/InkStoneCo#57，2026-08-21 實撞）。
新增 hooks/lib/push_target_dir.py：純 tokenize（不執行任何指令）解析指令裡
`cd <path> && git push` 或 `git -C <path> push` 真正會落地的目錄，對多層 cd
鏈與子殼（`(cd A && ...); git push` 這種子殼 cd 不能外洩出去）都做了範圍化——
這條範圍化是防穿透的關鍵，不是順手：沒有它，`(cd A && true); git push`
會被誤判成推向 A，讓替 A 開的舊戳記錯誤地放行推到殼外真正的目標。解不出來
一律退回舊行為（hook 自己的 cwd），維持 fail-closed 方向不變。
順手修掉補測時自己抓到的另一個洞：`(git push origin HEAD:main)`——單純加一層
括號——舊版目的地判斷完全偵測不到，整段直接放行，跟戳記無關。成因是截斷
refspec 尾巴的 sed 只認 `;`／`&`／`|` 三種字元，沒算到 `)`；補上即可，git 的
refspec 語法本來就不允許出現 `)`，這裡截斷永遠安全。
綁 repo＋單次用完即丟兩條 2026-08-11/12 用血換來的性質完全沒有鬆動：只是把
「現在人在哪個 repo」問得更準，比對邏輯一個字沒動。
實測：
- hooks/tests/main-and-prod-push-guard.test.sh 舊有 8 向：8/8
- scripts/test-main-and-prod-push-guard.sh 舊有 11 向：11/11
- 新增 hooks/tests/main-and-prod-push-guard-cross-repo.test.sh 17 向
（跨 repo 正向／反向不准鬆／git -C／子殼範圍化／括號洞／單次用完即丟／
900 秒逾時／空戳記／既有行為零回歸）：17/17
本輪只驗證，未拿去放行任何真實推送；plugin.json 隨慣例 bump 0.3.4 -> 0.3.5
並重跑 vendor-to-shell.py（.shell-payload 為 gitignore 產物，不入版控）。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
2026-08-23 14:18:28 +08:00 |
|
|
Leo
|
67dae3b814
|
推送閘改成判目標，不判整條指令裡有沒有那個字
一個晚上誤攔六次，全都不是在推預設分支：
① checkout -b 建新分支時把預設分支寫在後面，再推那條新分支
② gh pr create 指定 base——根本不是 git push
③ 推 tag（refs/tags/…）
④ 推 feature 分支（帶 -u）
⑤ 它擋住了我用來**測試它自己**的那條指令
⑥ 它擋住了這一筆的 commit——因為 message 裡引用了那幾個字
leo 2026-08-17 早就講過這個形狀：文字層封路必敗，
「紅線寫得越細，命中關鍵字的機率越高 ⇒ 那些閘在懲罰謹慎」。
舊版掃整條指令字串，正是文字層。
改成解析 push 的目標 refspec：
旗標跳過／第一個非旗標＝remote／a:b 取 b／refs/tags/* 不算分支
一個 refspec 都沒給，才退回看當前分支
八向實測（hooks/tests/main-and-prod-push-guard.test.sh，8/8）：
五種該放行的（今晚誤攔的原形狀，含分支名帶 domain 那種）全過
三種該擋的全擋
中途自己抓到一個 bug：tag 被跳過後目標清單變空 → 退回猜當前分支
⇒ 當前分支剛好叫預設名時誤擋。改成看到 refspec 就不退回猜測。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
2026-08-21 01:29:55 +08:00 |
|
|
Leo
|
0cdb6f2c05
|
fix(hooks): 讓四支閘認得出「指令位置」跟「heredoc/引號裡的文字」
inkstone/InkStoneCo#23、#56 同一個病：閘對整條指令字串做關鍵字掃描，
把「檔案內容/留言引用裡剛好提到某個關鍵字」當成「真的在執行」，
同時放過包一層讀取指令、或藏在 heredoc body 裡的真動作。
- 新增共用輔助 hooks/lib/strip_heredoc.py：heredoc body 是資料不是指令，
四支閘（github-contact / main-and-prod-push / stage-before-prod /
kbdb-api-wall 的 Bash 分支）呼叫前一律先拿掉 body 再比對。
- main-and-prod-push-guard.sh：修掉跟 release-tag-guard.sh 同款的
「開頭是讀取工具就整條放行」前綴繞過洞；git push 的偵測改成指令位置比對；
main/master 目標改用單字邊界，不再誤中 "domain" 這種子字串。
- github-contact-guard.sh：拿掉 gh CLI／git push 判準裡「前面隨便一個空白
就算數」的鬆散邊界，只認真正的指令分隔符。
- kbdb-api-wall-guard.sh：Bash 分支原本引用不存在的 kbdb_cmd_check.py，
python3 找不到檔案就吃掉錯誤印 "OK"，該分支形同虛設——任何
`wrangler d1 execute` 直打 kbdb 都會被放行。邏輯搬進新檔
hooks/lib/kbdb_cmd_check.py（shlex 分詞、quote-aware），把 .sh 的
參照路徑改過去，補回 Bash 分支的 kbdb-sql-ok 逃生口。
四支各補 InkStoneCo#40 §1 要求的三行中文檔頭。
新增四支可重跑測試（scripts/test-*.sh），共 69 條斷言全過，
含 #23／#56 票上實撞的原始形狀（寫 docs/TESTING.md 的 heredoc、
貼引用 #56 敘述的留言、`grep git push`）。
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
|
2026-08-20 18:51:52 +08:00 |
|
|
Leo
|
c2638668e3
|
ISEP 0.1.0：環境設定收成一個 plugin，本機與雲端共用一份
leo 2026-08-20：「同一個 plugin 你用，薄殼也用，保證兩邊同步」
「我要你幫雲端做薄殼，永遠都有問題，你要做的就是這組設定
你自己可以 dogfooding」
搬進來：41 支 hook（51 條註冊）／7 支 command／2 支 skill／23 支腳本。
不搬 .env、wiki、docs——那些是知識不是環境。
51 條 hook 路徑全部從 $CLAUDE_PROJECT_DIR/.claude/hooks/ 改成 ${CLAUDE_PLUGIN_ROOT}/hooks/，
零漏網。那正是薄殼一直壞掉的根：雲端 cwd 不是真身，寫死路徑就斷。
尚未驗證：Claude Code 能不能從私有 Gitea repo 裝 marketplace（要憑證）。
下一步就是在本機實際裝一次，通了才動雲端 bootstrap.sh。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
2026-08-20 11:41:46 +08:00 |
|