inkstone/ISEP - ISEP - Gitea: Git with a cup of tea

inkstone/ISEP

Fork 0

Commit Graph

Author	SHA1	Message	Date
Leo	c1d80756d7	審核補件：第二個空殼閘（irreversible_dispatch_check.py）＋既有測試套總管複驗 PR 時發現 subagent 只補了一個空殼，還有第二個同款的： arcrun-intent-guard.sh → exec 不存在的 .py ⇒ 擋掉全部（吵，PR 已修） irreversible-dispatch-guard.sh → 同款，但寫法是 python3 <不存在> 2>/dev/null \|\| echo '{"verdict":"OK"}' ⇒ 靜默放行全部（危險，本 commit 補）實測同一份派工單「驗過了就把舊分支刪掉」： InkStoneCo 版（有 .py）exit=2 擋／ ISEP 版（缺 .py）exit=0 放行補完後：不可逆派工 exit=2、正常派工 exit=0、合規工作流 exit=0。系統性掃描 ISEP 全部 hooks 引用的同目錄檔案：補完後 0 個缺檔（InkStoneCo 本來就是 0）。順帶把 InkStoneCo 的 hooks/tests/ 四支既有測試一併帶過來。 🔴 這件事很重要：若先併 InkStoneCo#64（刪掉 .claude/hooks/），這台機器會失去那支唯一還能用的副本——變成真的沒有那道閘。	2026-08-20 20:06:23 +08:00
Leo	0cdb6f2c05	fix(hooks): 讓四支閘認得出「指令位置」跟「heredoc/引號裡的文字」 inkstone/InkStoneCo#23、#56 同一個病：閘對整條指令字串做關鍵字掃描，把「檔案內容/留言引用裡剛好提到某個關鍵字」當成「真的在執行」，同時放過包一層讀取指令、或藏在 heredoc body 裡的真動作。 - 新增共用輔助 hooks/lib/strip_heredoc.py：heredoc body 是資料不是指令，四支閘（github-contact / main-and-prod-push / stage-before-prod / kbdb-api-wall 的 Bash 分支）呼叫前一律先拿掉 body 再比對。 - main-and-prod-push-guard.sh：修掉跟 release-tag-guard.sh 同款的「開頭是讀取工具就整條放行」前綴繞過洞；git push 的偵測改成指令位置比對； main/master 目標改用單字邊界，不再誤中 "domain" 這種子字串。 - github-contact-guard.sh：拿掉 gh CLI／git push 判準裡「前面隨便一個空白就算數」的鬆散邊界，只認真正的指令分隔符。 - kbdb-api-wall-guard.sh：Bash 分支原本引用不存在的 kbdb_cmd_check.py， python3 找不到檔案就吃掉錯誤印 "OK"，該分支形同虛設——任何 `wrangler d1 execute` 直打 kbdb 都會被放行。邏輯搬進新檔 hooks/lib/kbdb_cmd_check.py（shlex 分詞、quote-aware），把 .sh 的參照路徑改過去，補回 Bash 分支的 kbdb-sql-ok 逃生口。四支各補 InkStoneCo#40 §1 要求的三行中文檔頭。新增四支可重跑測試（scripts/test-*.sh），共 69 條斷言全過，含 #23／#56 票上實撞的原始形狀（寫 docs/TESTING.md 的 heredoc、貼引用 #56 敘述的留言、`grep git push`）。 Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-20 18:51:52 +08:00

Author

SHA1

Message

Date

Leo

c1d80756d7

審核補件：第二個空殼閘（irreversible_dispatch_check.py）＋既有測試套

總管複驗 PR 時發現 subagent 只補了一個空殼，還有第二個同款的：

  arcrun-intent-guard.sh      → exec 不存在的 .py ⇒ 擋掉全部（吵，PR 已修）
  irreversible-dispatch-guard.sh → 同款，但寫法是
      python3 <不存在> 2>/dev/null || echo '{"verdict":"OK"}'
    ⇒ **靜默放行全部**（危險，本 commit 補）

實測同一份派工單「驗過了就把舊分支刪掉」：
  InkStoneCo 版（有 .py）exit=2 擋 ／ ISEP 版（缺 .py）exit=0 放行
補完後：不可逆派工 exit=2、正常派工 exit=0、合規工作流 exit=0。

系統性掃描 ISEP 全部 hooks 引用的同目錄檔案：補完後 0 個缺檔（InkStoneCo 本來就是 0）。
順帶把 InkStoneCo 的 hooks/tests/ 四支既有測試一併帶過來。

🔴 這件事很重要：若先併 InkStoneCo#64（刪掉 .claude/hooks/），
   這台機器會失去那支唯一還能用的副本——變成真的沒有那道閘。

2026-08-20 20:06:23 +08:00

Leo

0cdb6f2c05

fix(hooks): 讓四支閘認得出「指令位置」跟「heredoc/引號裡的文字」

inkstone/InkStoneCo#23、#56 同一個病：閘對整條指令字串做關鍵字掃描，
把「檔案內容/留言引用裡剛好提到某個關鍵字」當成「真的在執行」，
同時放過包一層讀取指令、或藏在 heredoc body 裡的真動作。

- 新增共用輔助 hooks/lib/strip_heredoc.py：heredoc body 是資料不是指令，
  四支閘（github-contact / main-and-prod-push / stage-before-prod /
  kbdb-api-wall 的 Bash 分支）呼叫前一律先拿掉 body 再比對。
- main-and-prod-push-guard.sh：修掉跟 release-tag-guard.sh 同款的
  「開頭是讀取工具就整條放行」前綴繞過洞；git push 的偵測改成指令位置比對；
  main/master 目標改用單字邊界，不再誤中 "domain" 這種子字串。
- github-contact-guard.sh：拿掉 gh CLI／git push 判準裡「前面隨便一個空白
  就算數」的鬆散邊界，只認真正的指令分隔符。
- kbdb-api-wall-guard.sh：Bash 分支原本引用不存在的 kbdb_cmd_check.py，
  python3 找不到檔案就吃掉錯誤印 "OK"，該分支形同虛設——任何
  `wrangler d1 execute` 直打 kbdb 都會被放行。邏輯搬進新檔
  hooks/lib/kbdb_cmd_check.py（shlex 分詞、quote-aware），把 .sh 的
  參照路徑改過去，補回 Bash 分支的 kbdb-sql-ok 逃生口。

四支各補 InkStoneCo#40 §1 要求的三行中文檔頭。

新增四支可重跑測試（scripts/test-*.sh），共 69 條斷言全過，
含 #23／#56 票上實撞的原始形狀（寫 docs/TESTING.md 的 heredoc、
貼引用 #56 敘述的留言、`grep git push`）。

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

2026-08-20 18:51:52 +08:00

2 Commits